WO2014067222A1 - 一种移动数据隔离的系统及方法 - Google Patents

一种移动数据隔离的系统及方法 Download PDF

Info

Publication number
WO2014067222A1
WO2014067222A1 PCT/CN2013/000281 CN2013000281W WO2014067222A1 WO 2014067222 A1 WO2014067222 A1 WO 2014067222A1 CN 2013000281 W CN2013000281 W CN 2013000281W WO 2014067222 A1 WO2014067222 A1 WO 2014067222A1
Authority
WO
WIPO (PCT)
Prior art keywords
tag
data
mobile
app
intelligent terminal
Prior art date
Application number
PCT/CN2013/000281
Other languages
English (en)
French (fr)
Other versions
WO2014067222A8 (zh
Inventor
柯宗贵
杨育斌
程丽明
Original Assignee
蓝盾信息安全技术股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 蓝盾信息安全技术股份有限公司 filed Critical 蓝盾信息安全技术股份有限公司
Priority to US14/369,238 priority Critical patent/US9350736B2/en
Publication of WO2014067222A1 publication Critical patent/WO2014067222A1/zh
Publication of WO2014067222A8 publication Critical patent/WO2014067222A8/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H04W12/086—Access security using security domains
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/30—Security of mobile devices; Security of mobile applications
    • H04W12/37—Managing security policies for mobile devices or for controlling mobile applications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general

Definitions

  • the present invention relates to the field of information security technologies, and in particular, to a system and method for mobile data isolation. Background technique
  • the data protection of mobile terminals in the existing MDM products mainly includes the Chinasec (China Security) mobile security management platform of Mingda Wanda, which is mainly realized by file encryption and VPN security transmission. All data sent from the internal network to the mobile terminal is encrypted, and the data can be manipulated after the mobile terminal enters the password authentication through the client of the product.
  • Chinasec China Security
  • this technology cannot perform fine-grained separation of data. All data is encrypted by the mobile gateway and transmitted to the mobile intelligent terminal, and all data that is pushed to the mobile intelligent terminal through the mobile gateway can operate on the data. Data confidentiality is guaranteed only through unified encryption and VPN transmission. Different protection policies cannot be implemented for different types of data, and different mobile applications cannot be restricted to operate different data. Once an illegally authorized application is pushed by mistake, the application has permission to read all data. In addition, all data transmitted to the mobile intelligent terminal through the mobile gateway adopts an encryption and VPN transmission mode, which consumes a large amount of resources.
  • the existing personal mobile terminal data protection mainly includes Tencent mobile phone housekeepers, 360 mobile phone security guards and other products, all using the file security box method.
  • the user puts the specified data into the "safe", and when the mobile application accesses the data, the user is authenticated (the user enters the password verification), and the authorized application operates on all the data to realize the confidentiality of the mobile data. Sexual control.
  • this technology can only achieve coarse-grained control of data. Not only does each sensitive data need to be manually added to the file security box by the user, but the user is required to manually enter the password each time the sensitive data is used.
  • the confidentiality level of the data is very monotonous, and it is only divided into two levels: "confidential" and "non-confidential"; the confidentiality of the data is not strong, once the password is leaked or other applications obtain the data operation confirmation through a mobile application. Permission, all data is not effectively protected; in addition, these sensitive data can only be protected on the mobile terminal, and once the legitimate permission application sends it to the mobile terminal, the sensitive data can no longer be protected. .
  • the object of the present invention is to overcome the deficiencies of the prior art and provide a system and method for mobile data isolation, which solves the security isolation and complete confidentiality of data in a mobile intelligent terminal.
  • a mobile data isolation system consists of a tag tag control management module and a mobile data management module; a tag tag control management module includes a tag tag generator, a tag tag storage management module, and a tag tag transmission control module; the tag tag generator includes data The tag data-tag generator and the mobile application tag app-tag generator notify the tag tag storage management module after the data tag data-tag and the mobile application tag app-tag are generated or changed; the tag tag storage management module is responsible for the data tag data -tag and mobile application tag app-tag storage; tag tag transmission control module includes transmission management of data-tag and synchronization management of app-tag.
  • the mobile data management module controls the mobile application of the mobile data according to the user identity and the data security level of the tag, so as to implement fine-grained security protection of the mobile data.
  • the mobile data management module is divided into security isolation control of data processing process, security control of data transmission process and security isolation control in data storage; security isolation control of data processing process is implemented on mobile intelligent terminal and mobile access gateway; data transmission
  • security control of the process includes data security control of data transmission from the mobile access gateway to the mobile intelligent terminal process and data transfer from the mobile intelligent terminal to the external process; security isolation control in the data storage is static on the mobile terminal
  • the data is isolated; if the data access message notification is received, the security isolation control module of the data processing process is immediately notified; if the data transmission message notification is received, the security control module of the data transmission process is immediately notified.
  • the tag tag storage management is also responsible for running and maintaining the three databases of the mobile device data-tag database, the mobile device app-tag database, and the mobile access gateway app-tag database.
  • the data tag data-tag generator is responsible for generating tags of the mobile data, and is divided into a mobile intelligent terminal data-tag generator and a mobile access gateway data-tag generator; setting a data-tag database in the mobile intelligent terminal, The data-tag database is not set in the mobile access gateway.
  • the mobile application tag app-tag generator is mainly responsible for generating tags of the mobile application, and is divided into two parts: a mobile smart terminal app-tag generator and a mobile access gateway app-tag generator; in the mobile intelligent terminal and mobile access
  • the gateway has an app-tag database.
  • the mobile smart terminal data-tag generator is responsible for creating and modifying the data-tag of the corresponding data in the mobile intelligent terminal; the mobile access gateway data-tag generator is responsible for generating data corresponding data in the mobile access gateway. After that, the data is directly transmitted to the mobile terminal in an appropriate manner without being saved to the database.
  • the mobile application tag app-tag can only be modified at the access gateway, and the modified encryption is pushed to the corresponding mobile intelligent terminal user; the mobile intelligent terminal does not modify the app-tag.
  • the data-tag transmission management is responsible for processing the encrypted data-tag with the corresponding data synchronization;
  • the app-tag transmission synchronization management is divided into an app-tag new transmission management and an app-tag synchronous transmission management, and is responsible for processing the synchronization application with the corresponding application.
  • -tag and transfer the app-tag to the mobile intelligent terminal used by the "app.user using the app" specified by the tag;
  • the tag tag transmission is a one-way transmission from the mobile access gateway to the mobile intelligent terminal.
  • the specific steps of the permission confirmation algorithm used in the data processing process are as follows: Input: app-tag, data-tag; Output: Yes or No
  • the specific step of transmitting data from the mobile access gateway to the mobile intelligent terminal is: transmitting data from the internal network to the secure isolation storage area of the mobile access gateway, and notifying the label tag generator of the tag control management module, waiting for the label Tag generator feedback message;
  • the collaborative tag control management module is sent to the mobile intelligent terminal together with the corresponding data-tag; the specific steps of data transmission from the mobile intelligent terminal to the outside are:
  • the label tag management module of the tag control management module After receiving the data transmission application of the mobile intelligent terminal, the label tag management module of the tag control management module is notified, and the data-tag tag corresponding to the data is returned from the data-tag database;
  • the invention also provides a mobile data isolation method, which generates a data privacy level and usage right by generating a data label data-tag, and generates a mobile application label app-tag, a mobile application app when the mobile application app is launched.
  • the corresponding operation authority is also set, and the operation permission of the mobile application tag app-tag is matched with the data tag data-tag by the permission confirmation algorithm, so that the data of the corresponding security level and usage authority can be activated by the mobile application app of the corresponding operation authority.
  • S1 the data transmitted from the intranet generates a data tag data-tag through the mobile gateway tag generator, and sets a data-tag security level and user rights according to the mobile access gateway data-tag creation algorithm, and notifies the tag.
  • Tag transmission control module the data transmitted from the intranet generates a data tag data-tag through the mobile gateway tag generator, and sets a data-tag security level and user rights according to the mobile access gateway data-tag creation algorithm, and notifies the tag.
  • the tag tag transmission control module encrypts the tag data-tag, notifies the security control module of the data transmission process in the mobile data management module, and transmits the data to the mobile intelligent terminal together with the corresponding data in a secure manner;
  • the mobile intelligent terminal after receiving the data and data-tag, the mobile intelligent terminal calls the tag transmission control module to decrypt, and then notifies the tag tag generator;
  • the tag generator obtains the data storage address from the security isolation module in the data storage in the mobile data management module, invokes the mobile intelligent terminal data-tag modification algorithm to generate a final data-tag, and notifies the tag tag storage management module;
  • the tag storage management module stores the data-tag in the data-tag database
  • S6 The application app pushed from the intranet generates a mobile application tag app-tag through the mobile access gateway tag generator, and sets an identifiable flag of the mobile application tag app-tag according to the mobile access gateway app-tag creation algorithm. Id, the operation authority and the security level of the generated data, and notify the tag tag storage management module;
  • the notification tag storage management module stores the generated mobile application tag app-tag into the app-tag database, and then notifies the tag tag transmission control module to encrypt the tag app-tag, and in a secure manner. Sending it to the mobile intelligent terminal together with the corresponding app; if the mobile application app changes, modifying the corresponding mobile application tag app-tag at the mobile access gateway, notifying the mobile access gateway of the tag tag storage management module to update the app- The tag database, and then notifying the tag tag transmission control module to encrypt the mobile application tag app-tag, and transmitting it to the mobile intelligent terminal in a secure manner;
  • the mobile intelligent terminal After receiving the pushed app and the app-tag, the mobile intelligent terminal calls the tag transmission control module to decrypt, and then notifies the tag storage management module; S9: The tag tag storage management module stores the app-tag in the app-tag database;
  • S10 The permission authority of the app-tag is matched with the data-tag by the permission confirmation algorithm, so that the data of the corresponding security level and the usage authority can be operated by the app of the corresponding operation authority, thereby realizing fine-grained security isolation of the data.
  • the creation and modification of the data-tag of the corresponding data by the mobile intelligent terminal are respectively implemented by the mobile intelligent terminal data-tag generator creation algorithm and the mobile intelligent terminal data-tag generator modification algorithm; the mobile intelligent terminal data-tag generator Create algorithm usage: Generate data, merge data, copy data, back up data:
  • Generating data merging data one by one according to the application of the data operation "app-tag. Generate data security level", the “tag. security level” of the data read by the application of the data operation to determine the "tag.”
  • the security level "takes the highest level; the location of the new data is recorded to the "tag.data storage address”; "tag. user rights” according to all the data used by the application “tag.user rights” take the minimum privilege level, if not used
  • the data is set to "tag.user permissions" set to the current user read and write permissions.
  • the beneficial effects of the technical solution of the present invention can effectively isolate data on the mobile intelligent terminal and ensure the security of the confidentiality of the mobile data.
  • the invention can perform fine-grained operation control on data on the mobile intelligent terminal to implement different privacy policies.
  • the data on the mobile intelligent terminal can be authorized to operate the mobile application corresponding to the operation authority according to different security levels, thereby effectively ensuring data isolation.
  • a differentiated encryption and transmission strategy is implemented, and the limited computing resources of the mobile intelligent terminal are effectively utilized.
  • FIG. 1 is a structural diagram of a system for moving data isolation according to the present invention
  • FIG. 2 is a schematic diagram of tag tag transmission control in the present invention
  • FIG. 3 is a schematic diagram of data-tag transmission management in the present invention.
  • FIG. 4 is a schematic diagram of a new transmission management of an app-tag in the present invention.
  • Figure 5 is a flow chart of the method of mobile data isolation of the present invention.
  • the invention provides a mobile data isolation system, which marks mobile data by tags, and operates and controls mobile data according to the user rights and data security levels of the tags to realize data isolation on the mobile intelligent terminal. Achieve fine-grained security protection against mobile data.
  • FIG. 1 shows the structure of the system.
  • the system consists of a tag tag control management module and a mobile data management module.
  • the tag control management module includes a tag tag generator, a tag tag storage management module, and a tag tag transmission control module.
  • the tag of the tag is divided into a tag of the data tag data tag and a tag of the mobile app tag app-tag, where the tag content of the data tag data-tag includes:
  • Mobile app tag app-tag tag content includes:
  • the data security level at which the app can operate thereby determining the purpose of the data, specifying which programs can be used/specifying that all applications are available. Iii the level of security of the generated data;
  • Iv use the user id of the app.
  • the tag tag generator includes a data tag data-tag generator and a mobile app tag app-tag generator.
  • the tag management management module is notified after the data tag data-tag and the mobile app tag app-tag are generated or changed.
  • the data-tag generator is mainly responsible for generating tags for mobile data, which are divided into two parts: the mobile intelligent terminal data-tag generator and the mobile access gateway data-tag generator.
  • the data-tag database is set in the mobile intelligent terminal, and the data-tag database is not set in the mobile access gateway.
  • the data-tag generator of the mobile intelligent terminal is responsible for creating and modifying the data-tag of the corresponding data in the mobile intelligent terminal; the data-tag generator of the mobile access gateway is responsible for generating a data-tag corresponding to the data at the mobile access gateway.
  • the following treatments are available:
  • the mobile smart terminal data-tag generator processing method is shown in Table 1:
  • Notification tag tag storage management module deletes the corresponding in the database
  • the storage management module modifies the corresponding data-tag in the database.
  • the tag storage management module saves the data-tag.
  • the tag storage management module saves the data-tag.
  • the notification tag tag storage management module saves the data-tag.
  • the notification tag tag storage management module saves the data- ta g .
  • the storage management module modifies the corresponding data-tag in the database.
  • the mobile access gateway data-tag generator is called to create an algorithm to create a data-tag, and the tag tag transmission control sends the data-tag along with the corresponding data. After the mobile access gateway generates the data data-tag, the data is directly transmitted to the mobile terminal in an appropriate manner, and is not saved to the database.
  • mobile intelligent terminal data-tag generator creation algorithm mobile intelligent terminal data-tag generator modification algorithm
  • access gateway data-tag generator creation algorithm Three algorithms are mentioned in the mobile intelligent terminal data-tag generator processing method: mobile intelligent terminal data-tag generator creation algorithm, mobile intelligent terminal data-tag generator modification algorithm, access gateway data-tag generator creation algorithm .
  • Modify the usage of the algorithm Receive data from the mobile gateway, modify the original data, and transfer the data within the device.
  • Mobile app tag The app-tag generator is responsible for generating tags for mobile apps, which are divided into mobile smart app app-tag generator and mobile access gateway app-tag generator. Both the mobile smart terminal and the mobile access gateway have an app-tag database.
  • the app-tag of the mobile app is generated when the mobile app is placed in the "Enterprise Mobile App Store" and is pushed to the corresponding mobile smart terminal user along with the mobile app.
  • the mobile application tag app-tag can only be modified at the access gateway, and the modified encryption is pushed to the corresponding mobile smart terminal user.
  • the mobile smart terminal does not make any modifications to the app-tag.
  • Mobile app tag The app-tag generator has an access gateway app-tag creation algorithm.
  • the tag tag storage management module is responsible for storing the data tag data-tag and the mobile app tag app-tag, and the three databases of the mobile device data-tag database, the mobile device app-tag database, and the mobile access gateway app-tag database. maintain.
  • the tag tag storage management module After receiving the new or modified tag notification from the tag tag generator notification, the tag tag storage management module operates on the database as follows:
  • the label tag transmission control module is simultaneously notified
  • the mobile intelligent terminal When the mobile intelligent terminal newly creates or receives a new tag data-tag, it stores it in the data-tag database;
  • the access gateway creates the mobile application label
  • the newly created app-tag is stored in the app-tag database of the access gateway, and the tag tag transmission control module is notified at the same time;
  • the access gateway modifies the mobile application label
  • the newly created app-tag is stored in the app-tag database of the access gateway, and the tag tag transmission control module is notified at the same time;
  • the mobile intelligent terminal After receiving the app-tag, the mobile intelligent terminal stores it in the app-tag database; 6. After the data terminal of the data is modified by the mobile terminal, the data-tag database is updated;
  • FIG. 2 shows the tag tag transmission control diagram.
  • the tag tag transmission control module includes transmission management of data-tag and synchronization management of app-tag transmission.
  • the data-tag transmission management is responsible for processing and encrypting the data-tag with the corresponding data synchronization;
  • the app-tag transmission synchronization management is divided into app-tag new transmission management and app-tag synchronous transmission management, and is responsible for processing and encrypting the app-tag with the corresponding application.
  • Tag tag transmission is a one-way transmission from a mobile access gateway to a mobile intelligent terminal.
  • Figure 3 shows the data-tag transmission management diagram. Specifically:
  • the mobile access gateway When the data needs to be pushed to the terminal, the mobile access gateway notifies the tag generator to generate a data-tag, and notifies the tag tag transmission control module;
  • Tag tag transmission control module encrypts the tag data-tag, notifies the security control module of the data transmission process in the mobile data management module, and transmits it to the mobile intelligent terminal together with the corresponding data in a secure manner;
  • the mobile intelligent terminal After receiving the data and data-tag, the mobile intelligent terminal calls the tag transmission control module to decrypt, and then notifies the tag tag generator;
  • the tag generator obtains the data storage address from the security isolation module in the data storage in the mobile data management module, generates a final data-tag, and notifies the tag tag storage management module.
  • Tag The tag storage management module stores the data-tag in the data-tag database.
  • FIG 4 shows the app-tag transmission management diagram, which is specifically as follows:
  • the mobile access gateway When a certain enterprise wants to establish a new application to push to the terminal, the mobile access gateway notifies the tag tag generator to generate an app-tag, and notifies the tag tag storage management module;
  • the tag storage management module stores the generated app-tag in the app-tag database, and notifies the tag tag transmission control module;
  • the tag transmission control module encrypts the tag app-tag and transmits it to the mobile intelligent terminal together with the corresponding app in a secure manner;
  • the mobile intelligent terminal After receiving the pushed app and app-tag, invokes the tag transmission control module to decrypt the secret, and then notifies the tag tag storage management module;
  • the tag tag storage management module stores the app-tag in the app-tag database.
  • the enterprise has established application tag information to be changed:
  • the mobile access gateway When the application tag information that has been established by the enterprise is to be changed, the mobile access gateway notifies the tag tag generator to modify the app-tag, and notifies the tag tag storage management module;
  • the tag storage management module updates the modified app-tag in the app-tag database, and notifies the tag tag transmission control module;
  • the tag transmission control module encrypts the tag app-tag and transmits it to the mobile intelligent terminal in a secure manner
  • the mobile intelligent terminal receives the modified app-tag, calls the tag transmission control module to decrypt, and then notifies the tag tag storage management module;
  • Tag The tag storage management module updates the modified app-tag in the app-tag database.
  • the mobile data management module mainly controls the user rights and data security levels according to the tags, and performs operation control on the mobile application of the mobile data to implement fine-grained security protection of the mobile data.
  • the mobile data management module is divided into security isolation control of the data processing process, security control of the data transmission process, and security isolation control in the data storage.
  • the security isolation control of the data processing process is implemented on the mobile intelligent terminal and the mobile access gateway. The following is a description of the different situations of data processing.
  • a rights confirmation algorithm is invoked to confirm whether the user has the mobile application using encryption and decryption.
  • a permission confirmation algorithm is invoked to confirm that the user has permission to destroy the data. If not, reject the operation; if yes, then
  • the tag storage management module deletes the corresponding data-tag.
  • the tag generator creates a data-tag.
  • the tag generator creates a data-tag.
  • a rights confirmation algorithm is invoked to confirm that the user has permission to operate on the merged data using the mobile application. If not, then
  • the notification tag tag generator creates a data-tag.
  • the notification tag tag storage management module modifies the corresponding da ta-tag
  • call permission confirmation If the data is transferred from the mobile intelligent terminal to the outside, call permission confirmation
  • the algorithm verifies that the user has permission to do this transfer to the data. If not, the operation is rejected; if so, the security control module that invokes the data transfer process transfers the data out of the device.
  • the security control of the data transmission process includes data security control of data transmission from the mobile access gateway to the mobile intelligent terminal process and data transmission from the mobile intelligent terminal to the external process.
  • the specific steps for data transmission from the mobile access gateway to the mobile intelligent terminal are:
  • the data is transmitted from the intranet to the secure isolated storage area of the mobile access gateway, and the tag tag generator of the tag control management module is notified, and the tag tag generator feedback message is awaited; 2. After obtaining the tag tag generator feedback message (corresponding data-tag), select an appropriate encryption mode and transmission mode according to "data-tag. security level";
  • the tag control management module is sent to the mobile intelligent terminal together with the corresponding data-tag.
  • the specific steps for transferring data from the mobile intelligent terminal to the outside are:
  • the tag tag control management module tags the tag storage management module, and returns the data-tag tag corresponding to the data from the data-tag database;
  • the security isolation control in the data store isolates the still data on the mobile terminal. If the data access message notification is received, the security isolation control module of the data processing process is immediately notified; if the data transmission message notification is received, the security control module of the data transmission process is immediately notified.
  • the present invention also provides a method for mobile data isolation.
  • the method generates a data label data-tag to create a data security level and usage rights, and generates a mobile application when the mobile application app is launched.
  • the tag app-tag, the mobile application app also sets the corresponding operation authority, and the operation permission of the mobile application tag app-tag is matched with the data tag data-tag through the permission confirmation algorithm, thereby realizing the data of the corresponding security level and usage authority. It is operated by the mobile application app with corresponding operation authority to achieve fine-grained security isolation of data.
  • the specific steps of the method are:
  • S1 The data data transmitted from the intranet generates a data tag data-tag through the mobile gateway tag generator, and sets a data-tag security level and user rights according to the mobile access gateway data-tag creation algorithm, and notifies the tag.
  • Tag transmission control module
  • the tag tag transmission control module encrypts the tag data-tag, notifies the security control module of the data transmission process in the mobile data management module, and transmits the data to the mobile intelligent terminal together with the corresponding data in a secure manner;
  • the mobile intelligent terminal after receiving the data and data-tag, the mobile intelligent terminal calls the tag transmission control module to decrypt, and then notifies the tag tag generator;
  • S4 the tag generator obtains the data storage address from the security isolation module in the data storage in the mobile data management module, invokes the mobile intelligent terminal data-tag modification algorithm to generate a final data-tag, and notifies the tag storage management module;
  • S5 the tag tag storage management module stores the data-tag in the data-tag database;
  • S6 The application app pushed from the intranet generates a mobile application tag app-tag through the mobile access gateway tag generator, and sets an identifiable flag of the mobile application tag app-tag according to the mobile access gateway app-tag creation algorithm (id) ), the user id ( user-id ), the operation authority and the security level of the generated data, and notify the tag tag storage management module;
  • the notification tag storage management module stores the generated mobile application tag app-tag into the app-tag database, and then notifies the tag tag transmission control module to encrypt the tag app-tag, and in a secure manner. Sending it to the mobile intelligent terminal together with the corresponding app; if the mobile application app changes, modifying the corresponding mobile application tag app-tag at the mobile access gateway, notifying the mobile access gateway of the tag tag storage management module to update the app- The tag database, and then notifying the tag tag transmission control module to encrypt the mobile application tag app-tag, and transmitting it to the mobile intelligent terminal in a secure manner;
  • the tag tag storage management module stores the app-tag in the app-tag database
  • S10 The permission authority of the app-tag is matched with the data-tag by the permission confirmation algorithm, so that the data of the corresponding security level and the usage authority can be operated by the app of the corresponding operation authority, thereby realizing fine-grained security isolation of the data.
  • the tag in the embodiment of the present invention is stored in the data-tag database and the app-tag database, and in addition, the data-tag can be directly bound to the data, and the app-tag is bound to the mobile application to implement the mobile data.
  • Security isolation but this is not conducive to centralized protection and management of tags. In this case, the risk of tag leakage is high, and the possibility of copying and modifying tags is also increased. Once the tag cannot guarantee security, the security isolation protection of data is also obtained. Not guaranteed.
  • the embodiments of the present invention can effectively isolate data on the mobile intelligent terminal and ensure the security of the confidentiality of the mobile data.
  • the invention can perform fine-grained operation control on data on the mobile intelligent terminal to implement different privacy policies.
  • the data on the mobile intelligent terminal can be authorized to operate to the mobile application corresponding to the operation authority according to different security levels, thereby effectively ensuring data isolation.
  • a differentiated encryption and transmission strategy is implemented, and the limited computing resources of the mobile intelligent terminal are effectively utilized.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明公开了一种移动数据隔离的系统，该系统包括系统由标签tag控制管理模块和移动数据管理模块组成。标签tag控制管理模块包括标签tag生成器、标签tag存储管理和标签tag传输控制。移动数据管理模块主要是根据标签识别用户权限和数据保密级别，对移动数据的移动应用进行操作控制，以实现移动数据细粒度的保密安全防护。移动数据管理模块分为数据处理过程的安全隔离控制、数据传输过程的安全控制和数据存储中的安全隔离控制。同时，本发明还公开了一种移动数据隔离的方法。通过本发明能有效对移动智能终端上的数据进行隔离，进行细粒度的操作控制，实现不同的保密策略，确保移动数据的保密安全性。

Description

一种移动数据隔离的系统及方法 技术领域
本发明涉及信息安全技术领域， 尤其涉及一种移动数据隔离的系统及方法。 背景技术
随着 BYOD的兴起， 政府、 企业使用移动智能终端处理事务的增加， 移动 智能终端上的数据安全保密性问题越来越受到重视。 但在同一台移动智能终端 上运行着办公应用和私人应用， 一旦移动应用未授权读取及修改政府、 企业数 据就可能造成政府或企业机密泄露， 造成安全威胁。 现在急需对在移动智能终 端上进行读取和处理数据进行有效控制， 确保其安全保密。
现有的 MDM产品中移动终端数据保护主要有明朝万达的 chinasec (安元） 移动安全管理平台， 主要通过文件加密加 VPN安全传输来实现。 所有从内部网 络发送到移动终端的数据均加密， 在移动终端通过产品的客户端输入密码认证 后， 才可对数据进行操作。
目前此技术不能对数据进行细粒度的区分隔离。 所有的数据都通过移动网 关加密后传输到移动智能终端， 所有通过移动网关推送至移动智能终端的应用 均可对这些数据进行操作。 数据保密性仅通过统一的加密和 VPN传输来保证， 不能针对不同类型的数据实行不同的保护策略， 也不能限定不同的移动应用对 不同数据的操作权限。 一旦误推送一非法授权应用， 此应用便具有权限读取所 有数据。 另外对所有通过移动网关传输到移动智能终端的数据都采用加密和 VPN的传输方式， 对资源的耗用较大。
现有的个人移动终端数据保护主要有腾讯手机管家、 360手机安全卫士等产 品， 均使用文件保密箱的方法。 用户将指定的数据放入 "保险箱"， 当移动应用 对这些数据进行访问操作时对此应用进行权限验证 (用户输入密码验证）， 判别 后授权应用对所有数据进行操作， 以实现对移动数据保密性的控制。
目前此技术只能实现对数据粗粒度的控制。 不仅每个敏感数据都需要用户 手动添加到文件保密箱内， 而且每次使用该敏感数据时都需要用户手动输入密 码。 数据的保密性级别十分单调， 只分为 "保密"、 "不保密" 这 2个级别； 数 据的保密性也不强， 一旦密码泄露或其它应用通过某一移动应用获得数据操作 确认本 权限， 则所有的数据都得不到有效保护； 此外这些敏感数据只能在移动终端上 得到保护 , 一旦取得合法权限的应用将其发送到本移动终端之外则不能再对此 敏感数据进行保护。
发明内容
本发明的目的是为了克服现有技术的缺陷， 提供一种移动数据隔离的系统 及方法， 解决移动智能终端中数据的安全隔离及完整保密性。
一种移动数据隔离的系统， 由标签 tag控制管理模块和移动数据管理模块组 成； 标签 tag控制管理模块包括标签 tag生成器、 标签 tag存储管理模块和标签 tag 传输控制模块； 标签 tag生成器包括数据标签 data-tag生成器和移动应用标签 app-tag生成器， 在数据标签 data-tag和移动应用标签 app-tag生成或变动完成后通 知标签 tag存储管理模块；标签 tag存储管理模块负责数据标签 data-tag和移动应用 标签 app-tag的存储； 标签 tag传输控制模块包括对 data-tag的传输管理和对 app-tag 的传输同步管理。
移动数据管理模块根据标签识别用户权限和数据保密级别， 对移动数据的 移动应用进行操作控制， 以实现移动数据细粒度的保密安全防护。
移动数据管理模块分为数据处理过程的安全隔离控制、 数据传输过程的安 全控制和数据存储中的安全隔离控制； 数据处理过程的安全隔离控制在移动智 能终端和移动接入网关上实现； 数据传输过程的安全控制包括数据从移动接入 网关传输到移动智能终端过程和数据从移动智能终端传输到外部过程这两种情 况进行的数据安全控制； 数据存储中的安全隔离控制对移动终端上的静止数据 进行隔离； 若收到数据访问消息通知， 立即通知数据处理过程的安全隔离控制 模块； 若收到数据传送消息通知， 立即通知数据传输过程的安全控制模块。
优选的， 标签 tag存储管理还负责对移动设备 data-tag数据库、 移动设备 app-tag数据库、 移动接入网关 app-tag数据库这三个数据库的运行维护。
优选的，数据标签 data-tag生成器负责生成移动数据的标签， 分为移动智能 终端 data-tag生成器和移动接入网关 data-tag生成器两部分； 在移动智能终端设 置 data-tag数据库， 在移动接入网关不设置 data-tag数据库。
优选的， 移动应用标签 app-tag生成器主要负责生成移动应用的标签， 分为 移动智能终端 app-tag生成器和移动接入网关 app-tag生成器两部分； 在移动智 能终端和移动接入网关均有 app-tag数据库。 优选的， 移动智能终端 data-tag生成器负责在移动智能终端对相应数据的 data-tag的创建、 修改； 移动接入网关 data-tag生成器负责在移动接入网关生成数 据相应的 data-tag后， 直接将数据以合适的方式传送给移动终端， 不保存至数据 库。
优选的， 移动应用标签 app-tag只能在接入网关处修改， 修改后加密推送给 相应的移动智能终端用户； 移动智能终端不对 app-tag进行任何修改。
优选的， data-tag传输管理负责处理与对应数据同步加密传送 data-tag; app-tag传输同步管理分为 app-tag新建传输管理和 app-tag同步传输管理， 负责 处理与对应应用同步加密 app-tag， 并传送 app-tag到该标签指定的 "app.使用 app的用户 id" 所使用的移动智能终端处； 标签 tag传输是从移动接入网关向移 动智能终端的单向传输。
优选的， 在数据处理过程中使用到的权限确认算法具体步驟如下： 输入： app-tag、 data-tag; 输出： Yes或 No
1.查看 "app.操作权限"， 读取用户使用此 app进行操作的数据保密级别；
2.查看所有的 "data-tag.数据使用权限"， 读取最高数据使用权限；
3.比较 "app.操作权限"与最高 "data-tag.数据使用权限" 的大小； 若大于等 于关系， 则返回 Yes; 若小于关系， 则返回 No。
优选的， 数据从移动接入网关传输到移动智能终端的具体步骤为： 数据从内网传送至移动接入网关的安全隔离存储区，并通知标签 tag控制管 理模块的标签 tag生成器， 等待标签 tag生成器反馈消息；
获得标签 tag生成器反馈消息后， 根据 "data-tag.保密级别" 选择合适的加 密方式和传输方式；
协同标签 tag控制管理模块， 与对应的 data-tag—起发送至移动智能终端； 数据从移动智能终端传输到外部的具体步骤为：
接到移动智能终端的数据传输申请后，通知标签 tag控制管理模块的标签 tag 存储管理模块， 从 data-tag数据库中返回数据对应的 data-tag标签；
调用数据处理过程的安全控制模块的权限确认算法， 判断该用户是否拥有 权限做此传输操作；
如有权限， 根据 "data-tag.保密级别" 选择合适的加密方式和传输方式将数 据转移出设备。 本发明还提供了一种移动数据隔离的方法， 该方法通过生成数据标签 data-tag, 从而创建数据的保密级别和使用权限， 当推出移动应用 app时生成移动 应用标签 app-tag， 移动应用 app也设置了相应的操作权限， 通过权限确认算法实 现移动应用标签 app-tag的操作权限与数据标签 data-tag相匹配， 从而实现相应保 密级别和使用权限的 data可以由相应操作权限的移动应用 app来操作， 实现数据 细粒度的安全隔离； 具体步驟为：
S1 :从内网传输过来的数据 data通过移动网关标签 tag生成器生成数据标签 data-tag,并根据移动接入网关 data-tag创建算法设定 data-tag的保密级别和用户 权限， 并通知标签 tag传输控制模块；
S2:标签 tag传输控制模块加密标签 data-tag,通知移动数据管理模块中数据 传输过程的安全控制模块， 并以安全的方式传输与对应的数据一起发送至移动 智能终端；
S3:移动智能终端接收到数据和 data-tag后，调用 tag传输控制模块解密，之 后通知标签 tag生成器；
S4: tag生成器从移动数据管理模块中数据存储中的安全隔离模块获取数据 存放地址， 调用移动智能终端 data-tag修改算法生成最终的 data-tag, 通知标签 tag存储管理模块；
S5:标签 tag存储管理模块将 data-tag存入 data-tag数据库；
S6:从内网推送出的应用 app通过移动接入网关 tag生成器生成移动应用标 签 app-tag, 根据移动接入网关 app-tag创建算法设定移动应用标签 app-tag的可 辨识标志， 用户 id， 操作权限和生成数据的保密级别， 并通知标签 tag存储管理 模块；
S7:若移动应用 app是新建的则通知标签 tag存储管理模块将生成的移动应 用标签 app-tag存入 app-tag数据库， 然后通知标签 tag传输控制模块加密标签 app-tag, 并以安全的方式将其与对应的 app—起发送至移动智能终端； 若移动 应用 app发生变化， 在移动接入网关修改对应的移动应用标签 app-tag, 通知移 动接入网关的标签 tag存储管理模块更新 app-tag数据库， 然后通知标签 tag传 输控制模块加密移动应用标签 app-tag, 并以安全的方式发送至移动智能终端；
S8: 移动智能终端接收到推送的 app和 app-tag后， 调用 tag传输控制模块 解密， 之后通知标签 tag存储管理模块； S9: 标签 tag存储管理模块将 app-tag存入 app-tag数据库；
S10: 通过权限确认算法实现 app-tag的操作权限与 data-tag相匹配，从而实 现相应保密级别和使用权限的 data可以由相应操作权限的 app来操作， 实现数 据细粒度的安全隔离。
优选的， 移动智能终端对相应数据的 data-tag的创建、修改分别通过移动智 能终端 data-tag生成器创建算法和移动智能终端 data-tag生成器修改算法实现； 移动智能终端 data-tag生成器创建算法使用情况： 生成数据， 合并数据， 复 制数据， 备份数据的情景：
生成数据、 合并数据一一根据对数据操作的应用 "app-tag.生成数据保密级 别"， 对该数据操作的应用所读取的数据的 "tag.保密级别" 以确定生成数据的 "tag.保密级别" 取最高級别； 记录新数据的位置至 "tag.数据存放地址"； "tag. 用户权限"根据该应用所使用的所有数据 "tag.用户权限" 取最小权限级别， 若 无使用数据则 "tag.用户权限" 设置为当前用户可读写权限。
复制数据、 备份数据一一创建新 data-tag, 记录新数据的位置至 "tag.数据 存放地址"； 复制原数据的 "tag.保密级别"； 复制原数据的 "tag.用户权限"。
移动智能终端 data-tag生成器修改算法：
修改算法使用情况： 从移动网关接收数据、 修改原数据、 数据在本设备内 转移的情景：
从移动网关接收数据一一填写 "tag.数据存放地址"。
修改原数据一一根据对数据操作的应用 "app-tag.生成数据保密级别"，原数 据 "tag.保密级别" 确定新数据 "tag.保密级别" （取最高级别）； 其他不变。
在本设备内转移一一修改 "tag.数据存放地址"。
本发明技术方案带来的有益效果： 本发明能有效对移动智能终端上的数据 进行隔离， 确保移动数据的保密安全性。 通过本发明能对移动智能终端上的数 据进行细粒度的操作控制， 实现不同的保密策略。 移动智能终端上的数据能根 据不同的保密级别授权给相应操作权限的移动应用进行操作， 有效保证数据隔 离性。 同时根据智能终端上数据的不同保密级别对实现有区别的加密和传输策 略， 有效利用了移动智能终端有限的计算资源。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案， 下面将对实施 例或现有技术描述中所需要使用的附图作简单地介绍， 显而易见地， 下面描述 中的附图仅仅是本发明的一些实施例， 对于本领域普通技术人员来讲， 在不付 出创造性劳动的前提下， 还可以根据这些附图获得其它的附图。
图 1是本发明的移动数据隔离的系统结构图；
图 2是本发明中标签 tag传输控制示意图；
图 3是本发明中 data-tag传输管理示意图；
图 4是本发明中 app-tag新建传输管理示意图；
图 5是本发明的移动数据隔离的方法流程图。
具体实施方式
下面将结合本发明实施例中的附图， 对本发明实施例中的技术方案进行清 楚、 完整地描述， 显然， 所描述的实施例仅仅是本发明一部分实施例， 而不是 全部的实施例。 基于本发明中的实施例， 本领域普通技术人员在没有作出创造 性劳动前提下所获得的所有其他实施例， 都属于本发明保护的范围。
本发明提供了一种移动数据隔离的系统， 该系统通过标签对移动数据进行 标记， 根据标签识别用户权限和数据保密级别， 对移动数据进行操作控制， 以 实现在移动智能终端上的数据隔离， 实现对移动数据细粒度的保密安全防护。
如图 1所示为该系统的结构图，该系统由标签 tag控制管理模块和移动数据 管理模块组成。 标签 tag控制管理模块包括标签 tag生成器、 标签 tag存储管理 模块和标签 tag传输控制模块。
标签的标记分为数据标签 data-tag的标记和移动应用标签 app-tag的标记， 其中数据标签 data-tag的标记内容包括：
i保密级别；
0~N, 不同级别， 用于确认是否需加 /解密， 安全传输。
ϋ数据存放地址；
iii数据使用权限。
移动应用标签 app-tag的标记内容包括：
i app id;
ii操作权限；
该 app 能操作的数据保密级别， 由此可确定数据用途， 指定可被使用的 程序 /指定所有应用均可用。 iii生成数据的保密级别；
iv使用 app的用户 id。
标签 tag生成器包括数据标签 data-tag生成器和移动应用标签 app-tag生成 器。在数据标签 data-tag和移动应用标签 app-tag生成或变动完成后通知标签 tag 存储管理模块。
数据标签 data-tag生成器主要负责生成移动数据的标签，分为移动智能终端 data-tag生成器和移动接入网关 data-tag生成器两部分。 在移动智能终端设置 data-tag数据库， 在移动接入网关不设置 data-tag数据库。
其中移动智能终端 data-tag 生成器负责在移动智能终端对相应数据的 data-tag的创建、 修改功能； 移动接入网关 data-tag生成器负责在移动接入网关 生成数据相应的 data-tag。 针对不同的标签生成情况， 有以下处理方式：
移动智能终端 data-tag生成器处理方式如表 1所示：
移动智能终端 data-tag生成器处理方式
序号 触发状态 操作
1 数据加密 /解密 data-tag不变
2 数据共享 data-tag不变
通知标签 tag 存储管理模块删除数据库中对应的
3 数据销毁
data—tag。
调用移动智能终端 data-tag 修改算法， 修改 data-tag;
4 数据修改
通知标签 tag 存储管理模块修改数据库中对应的 data-tag。
调用移动智能终端 da ta-tag 创建算法， 创建
5 数据复制 （整体复制） data-tag;
通知标签 tag存储管理模块保存该 data-tag。
调用移动智能终端 data-tag 创建算法， 创建
6 数据备份 data-tag;
通知标签 tag存储管理模块保存该 data-tag。
部分复制 （复制数据中
7 data-tag不变。 （禁止复制数据中的一部分）
的一部分）
调用移动智能终端 da ta-tag 创建算法， 创建
8 数据创建
data-tag; 通知标签 tag存储管理模块保存该 data-tag。
调用移动智能终端 da ta-tag 创建算法， 创建
9 数据合并 data-tag;
通知标签 tag存储管理模块保存该 data- tag。
调用移动智能终端 data-tag 修改算法， 修改 data-tag;
10 数据转移
通知标签 tag 存储管理模块修改数据库中对应的 data-tag。
移动接入网关将数据传输到移动智能终端之前， 调用移动接入网关 data-tag 生成器创建算法，创建 data-tag，通知标签 tag传输控制将此 data-tag与相应的数 据一起发送。 其中移动接入网关生成数据 data-tag后， 直接将数据以合适的方式 传送给移动终端， 不保存至数据库。
在移动智能终端 data-tag生成器处理方式中提到三个算法： 移动智能终端 data-tag生成器创建算法、 移动智能终端 data-tag生成器修改算法、 接入网关 data-tag生成器创建算法。
移动智能终端 data-tag生成器创建算法：
创建算法使用情况： 生成数据， 合并数据， 复制数据， 备份数据的情景。 生成数据、 合并数据一一根据对数据操作的应用 "app-tag.生成数据保密级 别"， 对该数据操作的应用所读取的数据的 "tag.保密级别" 以确定生成数据的 "tag.保密级别" （取最高级别）;记录新数据的位置至 "tag.数据存放地址"； "tag. 用户权限" 根据该应用所使用的所有数据 "tag.用户权限" 取最小权限级别， 若 无使用数据则 "tag.用户权限" 设置为当前用户可读写权限。
复制数据、 备份数据一一创建新 data-tag, 记录新数据的位置至 "tag.数据 存放地址"； 复制原数据的 "tag.保密级别"； 复制原数据的 "tag.用户权限"。
移动智能终端 data-tag生成器修改算法：
修改算法使用情况： 从移动网关接收数据、 修改原数据、 数据在本设备内 转移的情景。
从移动网关接收数据一一填写 "tag.数据存放地址"。
修改原数据一一根据对数据操作的应用 "app-tag.生成数据保密级别"，原数 据 "tag.保密级别" 确定新数据 "tag.保密级别" （取最高級别）； 其他不变。
在本设备内转移一一修改 "tag.数据存放地址" 移动接入网关 data-tag生成器创建算法：
1. "data-tag.数据 id" 留空 （由移动智能终端 tag Generator设定）；
2.根据该 data的来源设定 "data-tag.保密级别"；
3.根据数据接收方用户的情况设定 "data-tag.用户权限"。
移动应用标签 app-tag生成器主要负责生成移动应用的标签， 分为移动智能 终端 app-tag生成器和移动接入网关 app-tag生成器两部分。 在移动智能终端和 移动接入网关均有 app-tag数据库。 移动应用的 app-tag在移动应用放入 "企业 移动应用库" 时生成， 同移动应用一同推送给相应的移动智能终端用户。 移动 应用标签 app-tag只能在接入网关处修改， 修改后加密推送给相应的移动智能终 端用户。 移动智能终端不对 app-tag进行任何修改。 移动应用标签 app-tag生成 器主要有接入网关 app-tag创建算法。
移动接入网关 app-tag创建算法：
1.设定此 app唯一的可辨识标志， 记录到 "app-tag.id";
2.记录用户 id至 "app-tag.user-id" ;
3.根据用户 id设定应用的 "app-tag.操作权限"；
4.根据用户 id "app-tag.user-id" 和此 app生成 "app-tag.生成数据的保密级 别，，。
标签 tag存储管理模块负责数据标签 data-tag和移动应用标签 app-tag的存 储，以及移动设备 data-tag数据库、移动设备 app-tag数据库、移动接入网关 app-tag 数据库这三个数据库的运行维护。
在收到标签 tag生成器通知的新建或修改 tag通知后， 标签 tag存储管理模 块对数据库操作的情况如下：
1.在接入网关创建移动数据标签后， 同时通知标签 tag传输控制模块；
2.移动智能终端新建或接收到新的标签 data-tag时， 将其存储到 data-tag数 据库；
3.在接入网关创建移动应用标签后， 将新建的 app-tag存储到接入网关的 app-tag数据库， 同时通知标签 tag传输控制模块；
4.在接入网关修改移动应用标签后， 将新建的 app-tag存储到接入网关的 app-tag数据库， 同时通知标签 tag传输控制模块；
5.移动智能终端接收 app-tag后， 将其存储至 app-tag数据库； 6.在移动终端对数据的 data-tag修改后， 更新 data-tag数据库；
7.在数据销毁时， 删除数据库中对应的 data-tag。
如图 2所示为标签 tag传输控制图。 标签 tag传输控制模块包括对 data-tag 的传输管理和对 app-tag的传输同步管理。 data-tag传输管理负责处理与对应数 据同步加密传送 data-tag; app-tag传输同步管理分为 app-tag新建传输管理和 app-tag 同步传输管理， 负责处理与对应应用同步加密 app-tag, 并传送 app-tag 到该标签指定的 "app.使用 app的用户 id" 所使用的移动智能终端处。 标签 tag 传输是从移动接入网关向移动智能终端的单向传输。
如图 3所示为 data-tag传输管理示意图。 具体为：
1.数据需要推送到终端时， 在移动接入网关通知标签 tag 生成器生成 data-tag, 并通知标签 tag传输控制模块；
2.标签 tag传输控制模块加密标签 data-tag, 通知移动数据管理模块中的数 据传输过程的安全控制模块， 并以安全的方式传输与对应的数据一起发送至移 动智能终端；
3.移动智能终端接收到数据和 data-tag后， 调用 tag传输控制模块解密， 之 后通知标签 tag生成器；
4. tag生成器从移动数据管理模块中的数据存储中的安全隔离模块获取数据 存放地址， 生成最终的 data-tag， 通知标签 tag存储管理模块。
5.标签 tag存储管理模块将 data-tag存入 data-tag数据库。
如图 4为 app-tag传输管理示意图， 具体为：
当某一企业要建立新的应用时：
1. 当某一企业要建立新的应用推送到终端时，在移动接入网关通知标签 tag 生成器生成 app-tag, 并通知标签 tag存储管理模块；
2. 标签 tag存储管理模块将生成的 app-tag存入 app-tag数据库， 通知标签 tag传输控制模块；
3.标签 tag传输控制模块加密标签 app-tag， 并以安全的方式传输与对应的 app一起发送至移动智能终端；
4. 移动智能终端接收到推送的 app和 app-tag后， 调用 tag传输控制模块解 密， 之后通知标签 tag存储管理模块；
5. 标签 tag存储管理模块将 app-tag存入 app-tag数据库。 此外， 当企业已建立的应用标签信息要发生改变时：
1.当企业已建立的应用标签信息要发生改变时， 在移动接入网关通知标签 tag生成器修改 app-tag, 并通知标签 tag存储管理模块；
2.标签 tag存储管理模块在 app-tag数据库更新修改后的 app-tag, 通知标签 tag传输控制模块；
3.标签 tag传输控制模块加密标签 app-tag，并以安全的方式传输至移动智能 终端；
4.移动智能终端接收到修改后的 app-tag， 调用 tag传输控制模块解密，之后 通知标签 tag存储管理模块；
5.标签 tag存储管理模块在 app-tag数据库更新修改后的 app-tag。
移动数据管理模块主要是根据标签识别用户权限和数据保密级别， 对移动 数据的移动应用进行操作控制， 以实现移动数据细粒度的保密安全防护。 移动 数据管理模块分为数据处理过程的安全隔离控制、 数据传输过程的安全控制和 数据存储中的安全隔离控制。
数据处理过程的安全隔离控制在移动智能终端和移动接入网关上实现。 以 下针对数据处理的不同情况分别表述。
数据处理有以下情况：
表 2 数据处理表
序号 触发状态 操作
若数据加解密发生在移动智能终端， 调用权限确认 算法以确认该用户是否具有使用加解密移动应用
1 数据加密 /解密 对该数据进行操作的权限。 如无， 则拒绝操作； 如 有， 则根据 "app. 保密级别" 对数据进行加密或 解密以继续下一步操作。
调用权限确认算法以确认该用户是否具有对该数
2 数据共享 据进行共享的权限。 如无， 则拒绝操作； 如有， 则 继续下一步。
调用权限确认算法以确认该用户是否具有对该数 据进行销毁的权限。 如无， 则拒绝操作； 如有， 则
3 数据销毁
销毁数据并通知标签 tag存储管理模块删除对应的 data-tag。
4 数据修改 调用权限确认算法以确认该用户是否具有使用此 移动应用对该数据进行操作的权限。 如无， 则拒绝 操作； 如有， 则对数据进行修改， 通知标签 tag存 储管理模块修改对应的 da ta-tag。
调用权限确认算法以确认该用户是否具有复制该 数据复制
5 数据的权限。 如无， 则拒绝操作； 如有， 则复制数
(整体复制）
据， 通知标签 tag生成器创建 data-tag。
调用权限确认算法以确认该用户是否具有备份该
6 数据备份 数据的权限。 如无， 则拒绝操作； 如有， 则备份数 据， 通知标签 tag生成器创建 data-tag。
部分复制 （复制数据中
7 禁止移动设备复制数据中的一部分的功能。
的一部分）
8 数据创建 通知标签 tag生成器创建 data-tag。
调用权限确认算法以确认该用户是否具有使用该 移动应用对合并的数据进行操作的权限。 如无， 则
9 数据合并
拒绝操作；如有，则对数据进行合并。通知标签 tag 生成器创建 data-tag。
若数据在本移动智能终端内转移， 允许操作， 通知 标签 tag存储管理模块修改对应的 da ta- tag;
若数据从移动智能终端转移至外部， 调用权限确认
10 数据转移
算法以确认该用户是否具有对该数据做此转移操 作的权限。 如无， 则拒绝操作； 如有， 则调用数据 传输过程的安全控制模块将数据转移出设备。
其中， 在数据处理过程中使用到的权限确认算法具体步骤如下：
输入： app-tag、 data-tag; 输出： Yes或 No
1.查看 "app.操作权限"， 读取用户使用此 app进行操作的数据保密级别；
2.查看所有的 "data-tag.数据使用权限"， 读取最高数据使用权限；
3.比较 "app.操作权限"与最高 "data-tag.数据使用权限" 的大小； 若大于等 于关系， 则返回 Yes; 若小于关系， 则返回 No。
数据传输过程的安全控制包括数据从移动接入网关传输到移动智能终端过 程和数据从移动智能终端传输到外部过程这两种情况进行的数据安全控制。
数据从移动接入网关传输到移动智能终端的具体步骤为：
1.数据从内网传送至移动接入网关的安全隔离存储区， 并通知标签 tag控制 管理模块的标签 tag生成器， 等待标签 tag生成器反馈消息； 2.获得标签 tag生成器反馈消息（相应的 data-tag )后， 根据 "data-tag.保密 级别" 选择合适的加密方式和传输方式；
3.协同标签 tag控制管理模块，与对应的 data-tag—起发送至移动智能终端。 数据从移动智能终端传输到外部的具体步骤为：
1.接到移动智能终端的数据传输申请后， 通知标签 tag控制管理模块的标签 tag存储管理模块， 从 data-tag数据库中返回数据对应的 data-tag标签；
2.调用数据处理过程的安全控制模块的权限确认算法，判断该用户是否拥有 权限做此传输操作；
3.如有权限， 根据 "data-tag.保密级别" 选择合适的加密方式和传输方式将 数据转移出设备。
数据存储中的安全隔离控制对移动终端上的静止数据进行隔离。 若收到数 据访问消息通知， 立即通知数据处理过程的安全隔离控制模块； 若收到数据传 送消息通知， 立即通知数据传输过程的安全控制模块。
此外， 本发明还提供了一种移动数据隔离的方法， 如图 5 所示， 该方法通 过生成数据标签 data-tag, 从而创建数据的保密级别和使用权限， 当推出移动应 用 app时生成移动应用标签 app-tag, 移动应用 app也设置了相应的操作权限， 通过权限确认算法实现移动应用标签 app-tag的操作权限与数据标签 data-tag相 匹配， 从而实现相应保密级别和使用权限的 data可以由相应操作权限的移动应 用 app来操作， 实现数据细粒度的安全隔离。 该方法的具体步驟为：
S1：从内网传输过来的数据 data通过移动网关标签 tag生成器生成数据标签 data-tag,并根据移动接入网关 data-tag创建算法设定 data-tag的保密级别和用户 权限， 并通知标签 tag传输控制模块；
S2:标签 tag传输控制模块加密标签 data-tag,通知移动数据管理模块中数据 传输过程的安全控制模块， 并以安全的方式传输与对应的数据一起发送至移动 智能终端；
S3:移动智能终端接收到数据和 data-tag后，调用 tag传输控制模块解密，之 后通知标签 tag生成器；
S4: tag生成器从移动数据管理模块中数据存储中的安全隔离模块获取数据 存放地址， 调用移动智能终端 data-tag修改算法生成最终的 data-tag, 通知标签 tag存储管理模块； S5:标签 tag存储管理模块将 data-tag存入 data-tag数据库；
S6:从内网推送出的应用 app通过移动接入网关 tag生成器生成移动应用标 签 app-tag， 根据移动接入网关 app-tag创建算法设定移动应用标签 app-tag的可 辨识标志（id )， 用户 id ( user-id )， 操作权限和生成数据的保密级别， 并通知标 签 tag存储管理模块；
S7:若移动应用 app是新建的则通知标签 tag存储管理模块将生成的移动应 用标签 app-tag存入 app-tag数据库， 然后通知标签 tag传输控制模块加密标签 app-tag, 并以安全的方式将其与对应的 app—起发送至移动智能终端； 若移动 应用 app发生变化， 在移动接入网关修改对应的移动应用标签 app-tag， 通知移 动接入网关的标签 tag存储管理模块更新 app-tag数据库， 然后通知标签 tag传 输控制模块加密移动应用标签 app-tag, 并以安全的方式发送至移动智能终端；
S8: 移动智能终端接收到推送的 app和 app-tag后， 调用 tag传输控制模块 解密， 之后通知标签 tag存储管理模块；
S9: 标签 tag存储管理模块将 app-tag存入 app-tag数据库；
S10: 通过权限确认算法实现 app-tag的操作权限与 data-tag相匹配，从而实 现相应保密级别和使用权限的 data可以由相应操作权限的 app来操作， 实现数 据细粒度的安全隔离。
本发明实施例中的 tag是存放在 data-tag数据库和 app-tag数据库中的， 除 此之外还可以将 data-tag直接与数据绑定， app-tag与移动应用绑定， 实现移动 数据的安全隔离， 但是这样不利于 tag的集中保护和管理， 这种情况下 tag泄露 的风险较高、 仿制及修改 tag的可能性也增大； 一旦 tag不能保证安全， 数据的 安全隔离保护也得不到保证。
本发明的实施例能有效对移动智能终端上的数据进行隔离， 确保移动数据 的保密安全性。 通过本发明能对移动智能终端上的数据进行细粒度的操作控制， 实现不同的保密策略。 移动智能终端上的数据能根据不同的保密级别授权给相 应操作权限的移动应用进行操作， 有效保证数据隔离性。 同时根据智能终端上 数据的不同保密级别对实现有区别的加密和传输策略， 有效利用了移动智能终 端有限的计算资源。

Claims

权 利 要 求 书
1、 一种移动数据隔离的系统， 其特征在于， 该系统由标签 tag控制管理模块 和移动数据管理模块组成；
标签 tag控制管理模块包括标签 tag生成器、 标签 tag存储管理模块和标签 tag 传输控制模块；
标签 tag生成器包括数据标签 data-tag生成器和移动应用标签 app-tag生成器， 在数据标签 data-tag和移动应用标签 app-tag生成或变动完成后通知标签 tag存储 管理模块；
标签 tag存储管理模块负责数据标签 data-tag和移动应用标签 app-tag的存储； 标签 tag传输控制模块包括对 data-tag的传输管理和对 app-tag的传输同步管 理；
移动数据管理模块根据标签识别用户权限和数据保密级别 , 对移动数据的 移动应用进行操作控制， 以实现移动数据细粒度的保密安全防护；
移动数据管理模块分为数据处理过程的安全隔离控制、 数据传输过程的安 全控制和数据存储中的安全隔离控制；
数据处理过程的安全隔离控制在移动智能终端和移动接入网关上实现； 数据传输过程的安全控制包括数据从移动接入网关传输到移动智能终端过 程和数据从移动智能终端传输到外部过程这两种情况进行的数据安全控制； 数据存储中的安全隔离控制对移动终端上的静止数据进行隔离； 若收到数 据访问消息通知， 立即通知数据处理过程的安全隔离控制模块； 若收到数据传 送消息通知， 立即通知数据传输过程的安全控制模块。
2、 如权利要求 1所述的系统， 其特征在于， 标签 tag存储管理模块还负责 对移动设备 data-tag数据库、移动设备 app-tag数据库、移动接入网关 app-tag数 据库这三个数据库的运行维护。
3、 如权利要求 1所述的系统， 其特征在于， 数据标签 data-tag生成器负责 生成移动数据的标签，分为移动智能终端 data-tag生成器和移动接入网关 data-tag 生成器两部分； 在移动智能终端设置 data-tag数据库， 在移动接入网关不设置 data-tag数据库
移动应用标签 app-tag生成器主要负责生成移动应用的标签， 分为移动智能 终端 app-tag生成器和移动接入网关 app-tag生成器两部分； 在移动智能终端和 移动接入网关均有 app-tag数据库。
4、 如权利要求 3所述的系统， 其特征在于， 移动智能终端 data-tag生成器负 责在移动智能终端对相应数据的 data-tag的创建、 修改； 移动接入网关 data-tag生 成器负责在移动接入网关生成数据相应的 data-tag后， 直接将数据以合适的方式 传送给移动终端， 不保存至数据库。
5、 如权利要求 3所述的系统， 其特征在于， 移动应用标签 app-tag只能在 接入网关处修改， 修改后加密推送给相应的移动智能终端用户； 移动智能终端 不对 app-tag进行任何修改。
6、 如权利要求 1所述的系统， 其特征在于， data-tag传输管理负责处理与 对应数据同步加密传送 data-tag; app-tag传输同步管理分为 app-tag新建传输管 理和 app-tag 同步传输管理， 负责处理与对应应用同步加密 app-tag, 并传送 app-tag到该标签指定的 "app.使用 app的用户 id" 所使用的移动智能终端处； 标签 tag传输是从移动接入网关向移动智能终端的单向传输。
7、 如权利要求 1或 2所述的系统， 其特征在于， 在数据处理过程中使用到 的权限确认算法具体步骤如下：
输入： app-tag、 data-tag; 输出： Yes或 No
1.查看 "app.操作权限"， 读取用户使用此 app进行操作的数据保密级别；
2.查看所有的 "data-tag.数据使用权限"， 读取最高数据使用权限；
3.比较 "app.操作权限"与最高 "data-tag.数据使用权限" 的大小； 若大于等 于关系， 则返回 Yes; 若小于关系， 则返回 No。
8、 如权利要求 1或 2所述的系统， 其特征在于， 数据从移动接入网关传输 到移动智能终端的具体步骤为：
数据从内网传送至移动接入网关的安全隔离存储区，并通知标签 tag控制管 理模块的标签 tag生成器， 等待标签 tag生成器反馈消息；
获得标签 tag生成器反馈消息后， 根据 "data-tag.保密级别" 选择合适的加 密方式和传输方式；
协同标签 tag控制管理模块， 与对应的 data-tag—起发送至移动智能终端； 数据从移动智能终端传输到外部的具体步驟为：
接到移动智能终端的数据传输申请后，通知标签 tag控制管理模块的标签 tag 存储管理模块， 从 data-tag数据库中返回数据对应的 data-tag标签； 调用数据处理过程的安全控制模块的权限确认算法， 判断该用户是否拥有 权限做此传输操作；
如有权限， 根据 "data-tag.保密级别" 选择合适的加密方式和传输方式将数 据转移出设备。
9、 一种移动数据隔离的方法， 其特征在于， 该方法通过生成数据标签 data-tag, 从而创建数据的保密级别和使用权限， 当推出移动应用 app时生成移动 应用标签 app-tag， 移动应用 app也设置了相应的操作权限， 通过权限确认算法实 现移动应用标签 app-tag的操作权限与数据标签 data-tag相匹配， 从而实现相应保 密级别和使用权限的 data可以由相应操作权限的移动应用 app来操作， 实现数据 细粒度的安全隔离； 具体步骤为：
S1:从内网传输过来的数据 data通过移动网关标签 tag生成器生成数据标签 data-tag,并根据移动接入网关 data-tag创建算法设定 data-tag的保密级别和用户 权限， 并通知标签 tag传输控制模块；
S2:标签 tag传输控制模块加密标签 data-tag，通知移动数据管理模块中数据 传输过程的安全控制模块， 并以安全的方式传输与对应的数据一起发送至移动 智能终端；
S3:移动智能终端接收到数据和 data-tag后，调用 tag传输控制模块解密，之 后通知标签 tag生成器；
S4: tag生成器从移动数据管理模块中数据存储中的安全隔离模块获取数据 存放地址， 调用移动智能终端 data-tag修改算法生成最终的 data-tag, 通知标签 tag存储管理模块；
S5:标签 tag存储管理模块将 data-tag存入 data-tag数据库；
S6:从内网推送出的应用 app通过移动接入网关 tag生成器生成移动应用标 签 app-tag, 根据移动接入网关 app-tag创建算法设定移动应用标签 app-tag的可 辨识标志， 用户 id, 操作权限和生成数据的保密级别， 并通知标签 tag存储管理 模块；
S7:若移动应用 app是新建的则通知标签 tag存储管理模块将生成的移动应 用标签 app-tag存入 app-tag数据库， 然后通知标签 tag传输控制模块加密标签 app-tag, 并以安全的方式将其与对应的 app—起发送至移动智能终端； 若移动 应用 app发生变化， 在移动接入网关修改对应的移动应用标签 app-tag, 通知移 动接入网关的标签 tag存储管理模块更新 app-tag数据库， 然后通知标签 tag传 输控制模块加密移动应用标签 app-tag， 并以安全的方式发送至移动智能终端；
S8: 移动智能终端接收到推送的 app和 app-tag后， 调用 tag传输控制模块 解密， 之后通知标签 tag存储管理模块；
S9: 标签 tag存储管理模块将 app-tag存入 app-tag数据库；
S10: 通过权限确认算法实现 app-tag的操作权限与 data-tag相匹配，从而实 现相应保密级别和使用权限的 data可以由相应操作权限的 app来操作， 实现数 据细粒度的安全隔离。
10、 如权利要求 9所述的方法， 其特征在于， 权限确认算法具体步骤为： 输入： app-tag、 data-tag; 输出： Yes或 No;
查看 "app.操作权限"， 读取用户使用此 app进行操作的数据保密级别； 查看所有的 "data-tag.数据使用权限"， 读取最高数据使用权限；
比较 "app.操作权限" 与最高 "data-tag.数据使用权限" 的大小； 若大于等 于关系， 则返回 Yes; 若小于关系， 则返回 No;
移动智能终端对相应数据的 data-tag 的创建、 修改分别通过移动智能终端 data-tag生成器创建算法和移动智能终端 data-tag生成器修改算法实现；
移动智能终端 data-tag生成器创建算法使用情况： 生成数据， 合并数据, 复 制数据， 备份数据的情景：
生成数据、 合并数据一一根据对数据操作的应用 "app-tag.生成数据保密级 别"， 对该数据操作的应用所读取的数据的 "tag.保密级别" 以确定生成数据的 "tag.保密级别" 取最高级别； 记录新数据的位置至 "tag.数据存放地址"； "tag. 用户权限"根据该应用所使用的所有数据 "tag.用户权限" 取最小权限级别， 若 无使用数据则 "tag.用户权限" 设置为当前用户可读写权限；
复制数据、 备份数据一一创建新 data-tag, 记录新数据的位置至 "tag.数据 存放地址"； 复制原数据的 "tag.保密级别"； 复制原数据的 "tag.用户权限"； 移动智能终端 data-tag生成器修改算法：
修改算法使用情况： 从移动网关接收数据、 修改原数据、 数据在本设备内 转移的情景；
从移动网关接收数据一一填写 "tag.数据存放地址"； 修改原数据一一根据对数据操作的应用 "app-tag.生成数据保密级别"， 原数tag.保密级别，， 确定新数据 "tag.保密级别" （取最高级别）； 其他不变； 在本设备内转移一一修改 "tag.数据存放地址"。
PCT/CN2013/000281 2012-10-31 2013-03-14 一种移动数据隔离的系统及方法 WO2014067222A1 (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US14/369,238 US9350736B2 (en) 2012-10-31 2013-03-14 System and method for isolating mobile data

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201210428682.7A CN102984125B (zh) 2012-10-31 2012-10-31 一种移动数据隔离的系统及方法
CN201210428682.7 2012-10-31

Publications (2)

Publication Number Publication Date
WO2014067222A1 true WO2014067222A1 (zh) 2014-05-08
WO2014067222A8 WO2014067222A8 (zh) 2014-06-05

Family

ID=47857873

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2013/000281 WO2014067222A1 (zh) 2012-10-31 2013-03-14 一种移动数据隔离的系统及方法

Country Status (3)

Country Link
US (1) US9350736B2 (zh)
CN (1) CN102984125B (zh)
WO (1) WO2014067222A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016122410A1 (en) 2015-01-29 2016-08-04 Huawei International Pte. Ltd. Method for data protection using isolated environment in mobile device

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103648114A (zh) * 2013-12-24 2014-03-19 北京奇虎科技有限公司 通过移动终端监控工作区使用量信息的方法、系统及装置
CN106060003A (zh) * 2016-05-09 2016-10-26 北京航天数控系统有限公司 一种网络边界单向隔离传输装置
CN106022143B (zh) * 2016-05-10 2018-12-04 武汉华工安鼎信息技术有限责任公司 一种数据库密级标志安全网关操作的方法、装置及系统
CN110753060B (zh) * 2019-10-25 2022-06-21 深信服科技股份有限公司 一种进程操作控制方法、装置及电子设备和存储介质
CN114928464A (zh) * 2022-03-21 2022-08-19 上海课亦信息科技有限公司 一种基于互联网的数据云存储调度系统

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1770898A (zh) * 2004-10-28 2006-05-10 株式会社泛泰 限制数据访问的方法和装置
CN101557584A (zh) * 2009-05-14 2009-10-14 中兴通讯股份有限公司 一种实现移动终端应用权限控制的方法及装置
CN102026172A (zh) * 2010-12-02 2011-04-20 东莞宇龙通信科技有限公司 一种数据传输控制方法、系统及移动终端

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2002182983A (ja) * 2000-12-13 2002-06-28 Sharp Corp データベースへのアクセス制御方法、データベース装置、リソースへのアクセス制御方法、情報処理装置
JP4051924B2 (ja) * 2001-12-05 2008-02-27 株式会社日立製作所 送信制御可能なネットワークシステム
US7134022B2 (en) * 2002-07-16 2006-11-07 Flyntz Terence T Multi-level and multi-category data labeling system
US7725501B1 (en) * 2004-11-12 2010-05-25 Northrop Grumman Corporation System and method for rapid database application deployment and use
US8161281B1 (en) * 2006-04-13 2012-04-17 Rockwell Collins, Inc. High assurance data tagger for I/O feeds
US8689349B2 (en) * 2010-05-05 2014-04-01 Intel Corporation Information flow tracking and protection
US20120185911A1 (en) * 2010-09-30 2012-07-19 Khandys Polite Mlweb: a multilevel web application framework
CN101997912A (zh) * 2010-10-27 2011-03-30 苏州凌霄科技有限公司 基于Android平台的强制访问控制装置及控制方法
CN102404727B (zh) * 2011-11-24 2017-12-05 中兴通讯股份有限公司 移动终端的安全控制方法及装置
JPWO2013080659A1 (ja) * 2011-12-01 2015-04-27 Ｎｅｃソリューションイノベータ株式会社 機密情報漏洩防止システム、機密情報漏洩防止方法、及びプログラム
US9173055B2 (en) * 2012-08-03 2015-10-27 Blackberry Limited Managing of application access to centrally stored place-related data on a mobile device
US8745617B1 (en) * 2013-02-11 2014-06-03 Google Inc. Managing applications on a client device

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1770898A (zh) * 2004-10-28 2006-05-10 株式会社泛泰 限制数据访问的方法和装置
CN101557584A (zh) * 2009-05-14 2009-10-14 中兴通讯股份有限公司 一种实现移动终端应用权限控制的方法及装置
CN102026172A (zh) * 2010-12-02 2011-04-20 东莞宇龙通信科技有限公司 一种数据传输控制方法、系统及移动终端

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016122410A1 (en) 2015-01-29 2016-08-04 Huawei International Pte. Ltd. Method for data protection using isolated environment in mobile device

Also Published As

Publication number Publication date
US20150012978A1 (en) 2015-01-08
US9350736B2 (en) 2016-05-24
CN102984125A (zh) 2013-03-20
CN102984125B (zh) 2016-01-13
WO2014067222A8 (zh) 2014-06-05

Similar Documents

Publication Publication Date Title
WO2020181845A1 (zh) 区块链数据加密方法、装置、计算机设备及存储介质
WO2014067222A1 (zh) 一种移动数据隔离的系统及方法
CN106685645B (zh) 一种用于安全芯片业务密钥的密钥备份与恢复方法及系统
CN103248479A (zh) 云存储安全系统、数据保护以及共享方法
CN103530570A (zh) 一种电子文档安全管理系统及方法
CN102567688B (zh) 一种安卓操作系统上的文件保密系统及其保密方法
CN105760764A (zh) 一种嵌入式存储设备文件的加解密方法、装置及终端
CN106230584B (zh) 一种可信平台控制模块的密钥迁移方法
CN105072107A (zh) 增强数据传输及存储安全的系统和方法
US10505905B2 (en) Transport envelope
CN107066885A (zh) 跨平台可信中间件的实现系统及实现方法
US20240039709A1 (en) Method and apparatus for sharing encrypted data, and device and readable medium
US11375065B2 (en) Control information for public switched telephone network (PSTN) using blockchain system
CN105471901A (zh) 一种工业信息安全认证系统
CN106100834A (zh) 一种算法密钥库的生成和更新方法
CN114050915A (zh) 隔离网络下细粒度权限访问同步方法、装置及设备
CN112307508A (zh) 一种基于sgx、cp-abe和区块链的可撤销数据共享系统
CN113901507B (zh) 一种多参与方的资源处理方法及隐私计算系统
CN104283868A (zh) 面向物联网和云计算安全存储分布式文件系统的加密方法
CN112906032B (zh) 基于cp-abe与区块链的文件安全传输方法、系统及介质
Dadhania et al. Access control mechanism in Internet of Things using blockchain technology: a review
CN108173880A (zh) 一种基于第三方密钥管理的文件加密系统
Min et al. Practices of agile manufacturing enterprise data security and software protection
US20220092193A1 (en) Encrypted file control
Lihong et al. Research and Design of Multi Dimension Protection System for Data Security in Cloud Computing Environment

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13851937

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 14369238

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 13851937

Country of ref document: EP

Kind code of ref document: A1