[發(fā)明專利]一種基于用戶權(quán)限的安卓應(yīng)用程序間的安全性鑒定方法

有效

• 申請?zhí)枺?/td>: 201310521790.3
• 申請日: 2013-10-30
• 公開（公告）號: CN103560883A
• 公開（公告）日: 2014-02-05
• 發(fā)明（設(shè)計(jì)）人: 王堃;房碩;孫雁飛;吳蒙;郭篁;徐賀
• 申請（專利權(quán)）人: 南京郵電大學(xué)
• 主分類號: H04L9/32
• 分類號: H04L9/32;H04L29/06;G06F21/44
• 代理公司: 南京經(jīng)緯專利商標(biāo)代理有限公司 32200
• 代理人: 葉連生

1.一種基于用戶權(quán)限的安卓應(yīng)用程序間的安全性鑒定方法，其特征在于該方法基于安卓系統(tǒng)中的三個主體，所述的三個主體，一是服務(wù)器端，二是作為主程序的安卓應(yīng)用程序簡稱主程序，三是作為主程序的插件的安卓應(yīng)用程序簡稱插件程序；在安卓設(shè)備中設(shè)計(jì)一個應(yīng)用程序和另一個獨(dú)立安裝且作為該程序插件的應(yīng)用程序兩者間的安全性鑒定方法，這種鑒定方法是基于用戶權(quán)限的，主程序中登錄的不同的用戶對被調(diào)用的插件程序具有不同的執(zhí)行權(quán)限；設(shè)計(jì)主程序加載插件程序時對插件程序執(zhí)行的基于用戶權(quán)限的安全性鑒定方法，以及設(shè)計(jì)插件程序被調(diào)用時對主程序執(zhí)行的基于用戶權(quán)限的安全性鑒定方法。

2.根據(jù)權(quán)利要求1所述的一種基于用戶權(quán)限的安卓應(yīng)用程序間的安全性鑒定方法，其特征在于所述的設(shè)計(jì)主程序加載插件程序時對插件程序執(zhí)行的基于用戶權(quán)限的安全性鑒定方法，當(dāng)主程序掃描到安卓設(shè)備中一個已安裝的插件程序時鑒定該插件程序是否為原版程序，并鑒定登錄用戶對該插件程序的使用權(quán)限，根據(jù)登錄用戶的權(quán)限選擇是否加載被該插件程序，鑒定流程為：

（1）主程序獲取插件程序的包名FunctionPackageName和插件程序的簽名信息FunctionSignature；

（2）主程序?qū)unctionPackageName和對應(yīng)的FunctionSignature以及包含用戶名和用戶密碼信息的密文UserID和用戶登錄時由服務(wù)器端生成的具有時效性的驗(yàn)證信息TempKey這四個字符串進(jìn)行逐字符相加的運(yùn)算，得到一個字符串；

（3）主程序該字符串進(jìn)行哈希值運(yùn)算，得到一個新字符串命名為HashKey1；

（4）主程序向服務(wù)器發(fā)送鑒定請求，請求參數(shù)包括HashKey1和用戶名UserName和FunctionPackageName三個信息；

（5）服務(wù)器先根據(jù)UserName和FunctionPackageName進(jìn)行執(zhí)行權(quán)限的驗(yàn)證，若驗(yàn)證失敗則向主程序返回鑒定失敗信息，執(zhí)行步驟（12），若驗(yàn)證成功則執(zhí)行步驟（6）；

（6）服務(wù)器使用本地記錄的FunctionPackageName和FunctionSignature以及UserID和TempKey這四個字符串進(jìn)行逐字符相加的運(yùn)算，得到一個字符串，對該字符串進(jìn)行哈希值運(yùn)算，得到一個新字符串命名為HashKey1’；

（7）服務(wù)器將HashKey1’與HashKey1進(jìn)行比較，若不一致則返回鑒定失敗信息，執(zhí)行步驟（12），若驗(yàn)證一致則執(zhí)行步驟（8）；

（8）?服務(wù)器將HashKey1和服務(wù)器端記錄的UserID兩個字符串進(jìn)行逐字符相加運(yùn)算，得到一個字符串，再對該字符串進(jìn)行哈希值運(yùn)算，得到HashKey2?；

（9）服務(wù)器將HashKey2發(fā)送給主程序；

（10）主程序?qū)ashKey1和UserID兩個字符串進(jìn)行逐字符相加運(yùn)算，得到一個字符串，再對該字符串進(jìn)行哈希值運(yùn)算，得到HashKey2’?；

（11）主程序?qū)ashKey2’和HashKey2進(jìn)行比較，若不一致則執(zhí)行步驟（12），若驗(yàn)證一致則將加載該插件程序，鑒定完畢；

（12）鑒定失敗，不加載該插件程序；

其中UserID根據(jù)用戶名信息和密碼信息加密計(jì)算得到，目的為驗(yàn)證用戶信息且不使用明文包含密碼信息，以提高安全性，TempKey為用戶登錄時由服務(wù)器隨機(jī)生成的驗(yàn)證碼，在用戶登錄成功后發(fā)送至客戶端，它具有時效性，一段時間之后即失效，在驗(yàn)證信息中加入具有時效性的信息，即便驗(yàn)證信息在傳遞中被惡意者截獲，也會很快失去價值。