[發明專利]一種安卓軟件完整性校驗方法和裝置

在審

• 申請號: 202011137934.1
• 申請日: 2020-10-22
• 公開（公告）號: CN112163224A
• 公開（公告）日: 2021-01-01
• 發明（設計）人: 崔超;林偉斌;肖勇;趙云;曾勇剛;王浩林
• 申請（專利權）人: 南方電網科學研究院有限責任公司;中國南方電網有限責任公司
• 主分類號: G06F21/57
• 分類號: G06F21/57
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 沈闖

本發明公開了一種安卓軟件完整性校驗方法和裝置，包括：在從第三方軟件平臺獲取安卓軟件并安裝后，獲取安卓軟件的基本信息；對基本信息進行填充處理，生成填充信息；通過SM3密碼雜湊算法對填充信息進行雜湊運算，得到雜湊值；從第三方軟件平臺獲取安卓軟件的初始雜湊值；采用初始雜湊值對雜湊值進行完整性校驗，根據校驗結果判斷安卓軟件是否完整。本發明采用SM3密碼雜湊算法對所獲取的信息進行雜湊運算得到安卓軟件的雜湊值，避免了MD5算法、SHA?1算法所帶來了安全隱患。此外，采用從第三方軟件平臺獲取初始雜湊值對雜湊值進行校驗，通過第三方平臺校驗當前安裝的安卓軟件的完整性，提高了對安卓軟件進行校驗的安全性。

技術領域

本發明涉及完整性校驗技術領域，尤其涉及一種安卓軟件完整性校驗方法和裝置。

背景技術

隨著互聯網的快速發展，Android設備成為人們生活、學習的重要組成部分。基于Android平臺的移動設備讓工作和生活變得高效、便捷的同時，因為其系統的開源性，Android成為最易受惡意攻擊的平臺之一，安全問題日益嚴重。由于勒索軟件的制作成本低廉，可以進行點對點式直接敲詐，所以受到攻擊者青睞，且二維碼解鎖與語音解鎖正成為新的勒索形式。

為了提高移動設備的安全性，需要提供一種校驗機制，在用戶使用Android前的安裝階段就能夠識別該APK(Android application package，安卓應用程序包)是否完整，是否是開發者提供的原始安裝包，是否發生過第三方的篡改。Android應用程序采用簽名機制來保證開發者的唯一性，對APK的完整性和唯一性進行校驗。所有的Android應用程序，包括系統應用，必須由開發者簽名。數據摘要算法是Android應用程序簽名機制中重要的算法，目前Android市場上對于APK的校驗都是基于MD5、SHA-1等傳統密碼算法，存在以下兩個方面的問題：

(1)MD5算法、SHA-1算法是屬于國際密碼算法，可能存在算法上的后門，安全問題存在隱患。

(2)MD5算法對原始數據進行運算后可以產生16字節是散列值，即128bit數據長度；SHA-1算法對原始數據進行哈希運算后產生160bit的信息摘要作為輸出。2160的數據映射空間盡管已經有很高的安全性，但是為了更大的數據映射空間以獲得更高的安全性，還有其它數據摘要算法可以選擇替代。

發明內容

本發明提供了一種安卓軟件完整性校驗方法和裝置，用于解決現有的安卓軟件完整性校驗方法安全性低的技術問題。

本發明提供的一種安卓軟件完整性校驗方法，應用于安裝有安卓系統的電子設備；所述電子設備與第三方軟件平臺通信；所述方法包括：

在從所述第三方軟件平臺獲取安卓軟件并安裝后，獲取所述安卓軟件的基本信息；

對所述基本信息進行填充處理，生成填充信息；

通過SM3密碼雜湊算法對所述填充信息進行雜湊運算，得到雜湊值；

從所述第三方軟件平臺獲取所述安卓軟件的初始雜湊值；

采用所述初始雜湊值對所述雜湊值進行完整性校驗，根據校驗結果判斷所述安卓軟件是否完整。

可選地，所述采用所述初始雜湊值對所述雜湊值進行完整性校驗，根據校驗結果判斷所述安卓軟件是否完整的步驟，包括：

判斷所述初始雜湊值與所述雜湊值是否相等，若相等，則判定校驗通過，所述安卓軟件完整。

可選地，還包括：

當所述雜湊值與所述初始雜湊值不相等時，則判定校驗失敗，所述安卓軟件不完整，并卸載所述安卓軟件。

可選地，所述在從所述第三方軟件平臺獲取安卓軟件并安裝后，獲取所述安卓軟件的基本信息的步驟包括：