移动终端安全防护方法及移动终端、安全系统和应用方法
【技术领域】
[0001]本发明涉及移动安全和数据业务领域，特别涉及一种基于隔离区的移动终端安全防护方法，以及具有安全区的移动终端及该移动终端的应用方法，以及一种安全区系统及该系统的应用方法。
【背景技术】
[0002]随着科学技术的发展，手机成为人们生活中不可缺少的一部分，而且现在的手机不仅仅局限于打电话，它还能完成其他好多功能，例如购物、支付、玩游戏等，但是同时也给用户带来很多问题，像密码被盗，手机被植入病毒等情况，为此手机安全问题成为当今一大难题。
[0003]目前，解决上述问题的移动安全防护方案主要有如下三种:
第一种是安全检测软件，例如360安全卫士、腾讯安全卫士等，提供相关的云查杀、运行环境监测等技术对恶意软件进行安全检测。此技术需要在采集大量样本之后对样本进行分析，从而得出其是否是恶意软件。第一类安全方案是基于检测的堵漏式方案，工作在应用层，容易被旁路，适用于安全要求不高的场景。
[0004]第二种为安全区方案。在移动终端上隔离出一个独立的空间安全工作区，将需要保护的应用和数据保存在安全工作区中，采用此方案的厂商有恒信安的第一代产品SafeZone及360公司的天机产品。
[0005]第三种为基于人体生物特征(如人脸识别)的应用数据访问登陆机制。此方案对于需要保护的应用设置基于生物特征识别的登陆进入方式，以此来防止对此应用的非法访问。
[0006]综上，现有移动安全方案存在以下问题:非安全区的方案，属于事后检测型，容易被旁路，且受保护的应用与其他第三方应用软件混杂在相同的运行环境中，信息容易被窃取。目前普通的安全区方案，基本采用设置密码、设置手写图形等方式实现登陆认证功能，个人属性关联度不高。
【发明内容】
[0007]为了克服现有技术中所存在的上述不足，本发明的一个目的在于提供一种基于隔离区的移动终端安全防护方法，能提高移动终端(如手机、PAD等)的安全性且易于操作。
[0008]本发明的又一个目的在于提供一种具有安全区的移动终端，其具有更高的安全性。
[0009]本发明的又一个目的在于提供一种具有安全区的移动终端的应用方法，能提高移动终端的安全性且易于操作。
[0010]本发明的又一个目的在于提供一种安全区系统，其为移动终端提供更高安全性的应用环境。
[0011]本发明的又一个目的在于提供一种安全区系统的应用方法，具有更好的安全性且易于操作。
[0012]为了实现上述发明目的，本发明提供以下主要技术方案:
本方案的主要思路是:首先，在移动终端上隔离出一个单独的安全区域，利用安全区实现一机两用，既保证了普通应用的正常使用，也对特定应用提供了更高的安全防护，解决了一些特定应用和数据的可信、可管、可控以及数据防泄露的问题。其次，用户进入安全区的方式为生物特征识别，初始化时记录用户的生物特征，当用户试图进入安全区时，通过特征识别与设置的特征值进行比对，生物特征识别通过后方可进入安全区。
[0013]一种基于隔离区的移动终端安全防护方法，其在移动终端上隔离出一个单独的区域作为安全区，安全区外的应用(包括第三方应用)无法访问安全区中的应用和/或数据，用户需要经过安全验证才能进入安全区(该隔离是指安全区中的应用和/或数据既不能访问安全区外，也不能被安全区外的应用、数据访问)。
[0014]其中，也用户也可以设定为不进行认证直接进入安全区。以便在预定场景下，用户不要登录验证，直接进入安全区。
[0015]其中，在移动终端上物理地划分出一个单独的区域作为安全区。
[0016]其中，安全区工作在移动终端的最底层硬件层。
[0017]其中，在移动终端上通过软件的方式逻辑上划分出一个安全区。
[0018]其中，安全区工作在移动终端的最上层应用层。
[0019]其中，安全区工作在移动终端的最底层硬件层至最上层应用层中的任一层或任几层。
[0020]其中，安全区的最底层深入到Linux内核层，与内核形成相互校验并确保系统级的环境安全。
[0021]其中，安全区的上层与Android运行环境及系统框架进行交互，以对应用运行环境进行控制和保护。
[0022]其中，通过自底层内核至Android系统框架的交互与互动，并通过将安全区以松耦合的方式注入移动终端系统，实现系统级的移动终端安全区环境。
[0023]其中，在安全区内建立一个安全的运行环境，对应用的运行实时监测和安全管理，对应用进程间的通信提供安全保护，来防止对安全区的非法注入。
[0024]其中，还可以同时确保安全区外部的第三方应用无法访问安全区，实现访问隔离。
[0025]其中，安全区中支持应用的安装、运行、升级、卸载的全生命周期安全管理。
[0026]其中，安全区中的内容是加密的，加密内容包括应用、数据和/或应用间的消息。
[0027]上述任一种基于隔离区的移动终端安全防护方法，其中，所述安全验证指生物特征识别。
[0028]其中，所述生物特征识别包括人脸识别、虹膜识别、指纹识别、DNA识别和/或静脉识别。
[0029]其中，所述生物特征识别包括生物特征初始化和生物特征识别认证两部分。
[0030]其中，所述生物特征初始化主要包括如下步骤:
511、用户第一次进入时或成功登陆后，启动生物特征初始化操作；
512、采集用户的生物特征信息；
513、基于步骤S12提取用户生物特征信息，并建立用户生物特征模型； S14、将步骤S13的用户生物特征及模板数据存储。
[0031 ] 其中，所述生物特征识别认证主要包括如下步骤:
521、用户欲访问安全区时，启动生物特征识别认证；
522、即时采集用户的生物特征信息；
523、基于步骤S22提取用户生物特征信息，并建立用户生物特征模型；
524、将步骤S23的用户生物特征信息及模板与初始化时保存的生物特征信息进行比对；
525、经过步骤S24的比对，如果识别通过，则提示用户认证成功并进入安全区；如果识别失败，则提示用户识别失败，用户可以选择继续尝试识别或退回到普通用户区域。
[0032]一种具有安全区的移动终端，其在移动终端上隔离出一个单独的区域作为安全区，安全区外的应用(包括第三方应用)无法访问安全区中的应用和/或数据，用户需要经过安全验证才能进入安全区(该隔离是指安全区中的应用和/或数据既不能访问安全区外，也不能被安全区外的应用、数据访问)。
[0033]其中，所述安全区包括在移动终端上物理地划分出的一个单独的区域作为安全区的硬件层。
[0034]其中，安全区的最底层深入到Linux内核层，与内核形成相互校验并确保系统级的环境安全。
[0035]其中，安全区的上层与Android运行环境及系统框架进行交互，以对应用运行环境进行控制和保护。
[0036]其中，通过自底层内核至Android系统框架的交互与互动，实现系统级的移动终端安全区环境。
[0037]其中，通过自底层内核至Android系统框架的交互与互动，并通过将安全区模块以松耦合的方式注入移动终端系统，实现系统级的移动终端安全区环境。
[0038]上述任一种具有安全区的移动终端，其中，所述安全区具有下列模块中的任一个、任几个或全部:
设备管理模块，设于Linux内核层；
接入管理模块，设于Linux内核层；
秘钥管理模块，设于Linux内核层；
远程协同管理模块，设于Linux内核层；
文件管理模块，设于Android运行环境及库层；
审计管理模块，设于Android运行环境及库层；
访问管理模块，设于Android运行环境及库层；
策略管理模块，设于Android运行环境及库层；
隔离区管理模块，设于Android系统框架层；
加密管理模块，设于Android系统框架层；
应用管理模块，设于Android系统框架层；
信任管理模块，设于Android系统框架层。
[0039]其中，安全区中的应用程序，设于Andro i d应用层。
[0040]其中，所述设备管理模块:当安全区处于工作状态时，对底层核心设备进行监控和管理，包括网络、连接、内存、存储；当安全区方案存在定制安全硬件支持时，设备管理模块也负责管理安全硬件。
[0041]其中，所述接入管理模块:封装实现各种安全连接协议，(如SSL、VPN等，)以实现对各种远程业务平台的安全接入和双向校验功能。
[0042]其中，所述秘钥管理模块:管理安全区的安全根，应用及文件的秘钥生成、存储和使用。
[0043]其中，所述远程协同管理模块:远程安全管理平台驻留在本地的轻量级代理，实现不定期的安全策略下载、动态安全区环境校验，支持用户通过此模块将数据进行上传备份和下载恢复功能，支持管理平台发起的远程主动管理功能(如数据擦除)，支持安全审计日志的用户发起的上传与下载。
[0044]其中，所述文件管理模块:对安全区的应用文件、内容文件进行独立的系统性的管理。
[0045