专利名称：安全策略设置、确定方法、应用程序执行操作方法及装置的制作方法
技术领域：
本发明涉及通信技术领域，尤其涉及一种安全策略设置方法及装置、安全策略确定方法及装置、应用程序执行操作的方法及装置。
背景技术：
移动终端上的应用程序认证技术已经成为了智能终端上对应用程序行为进行安全防护的主流技术之一，Windows Mobile平台和Symbian平台均有其相应的应用程序签名认证机制。应用程序签名认证机制是指使用数字证书对移动终端中运行的应用程序进行签名，实现签名的过程主要包括首先，应用程序的开发者向移动终端操作系统制造商授权的证书发行者申请获得用以验证应用程序身份和要求权限的数字证书；然后，证书发行者使用数字证书对应用程序进行签名并授权开发者进行发布。在应用程序签名认证机制中，数字证书包含根证书和签名证书两部分，其中，根证书内置于移动终端，签名证书用以对应用程序进行签名，后续在验证得到根证书与签名证书匹配一致后，就可以实现对应用程序的发行者和权限的解析与确定，并根据验证后确定的应用程序权限，为应用程序分配安全策略。在现有技术中，在为应用程序分配安全策略时，采用的分配方案是数字证书验证系统在根据数字证书确定出应用程序权限后，从预先设置好的多种安全策略中选取对应于应用程度权限的安全策略分配给应用程序，并根据为应用程序分配的安全策略，将应用程序标识映射到相应的静态安全域。这样的方案存在的缺陷在于，预先设置的安全策略均是按照已知的应用程序权限进行设置的，因此不利于安全策略灵活分配。比如，针对已知的应用程序权限1 3，预先设置的安全策略1指示的是具有权限1的应用程序能够执行操作 1、2 ；而安全策略2指示的是应用程序2能够执行操作1、2、3 ；安全策略3指示的是应用程序3能够执行操作3、4。而针对预定的能够执行操作1、3、4的应用程序4来说，由于预设的安全策略1 3中没有应用程序能够执行操作1、3、4这样的应用策略，因此，数字证书验证系统只能选取安全策略3作为该应用程序4采用的安全策略，而这样的结果直接导致的就是将应用程序4本应该能进行的操作1限制为不能进行。
发明内容
本发明实施例提供一种安全策略设置方法及装置，用以解决现有技术中存在的为应用程序分配安全策略的方案不灵活的问题。本发明实施例还提供一种安全策略确定方法及装置、应用程序执行操作的方法及装置。本发明实施例采用以下技术方案一种安全策略设置方法，包括确定应用程序的安全策略；将用于指示所述安全策略的安全策略信息设置在对所述应用程序进行签名的签名证书中并发送。较佳地，确定应用程序的安全策略具体包括根据应用程序的权限，从预定的权限与安全策略的对应关系中，确定对应于所述应用程序的第一安全策略；获得数字证书验证系统的状态信息；根据所述状态信息，从预定的状态信息与安全策略的对应关系中，确定与所述状态信息对应的第二安全策略；根据所述第一安全策略和第二安全策略，确定所述应用程序的安全策略。较佳地，所述状态信息为所述数字证书验证系统的系统环境信息和/或系统安全等级信息。较佳地，将所述安全策略信息设置在所述签名证书的字段进行扩展后得到的安全策略信息扩展字段中。一种安全策略确定方法，包括接收并解析对应用程序进行签名的签名证书，获得预先设置在所述签名证书中的用以指示安全策略的安全策略信息；确定所述安全策略信息指示的安全策略为分配给所述应用程序的安全策略。一种应用程序执行操作的方法，包括获得设置有所述应用程序的移动终端发送的应用程序执行请求消息，所述请求消息中承载有请求通过所述应用程序执行的操作的标识及该操作的安全等级信息；根据所述安全等级信息，判断出所述应用程序执行的操作为指定操作时，根据所述分配给所述应用程序的安全策略，确定允许所述应用程序进行的操作，并通过对所述应用程序执行请求消息中承载的标识指示的操作与确定的所述操作的匹配，允许所述应用程序执行与确定的所述操作匹配一致的操作，禁止所述应用程序执行与确定的所述操作匹配不一致的操作。一种安全策略设置装置，包括确定单元，用于确定应用程序的安全策略；发送单元，用于将用于指示确定单元确定的安全策略的安全策略信息设置在对所述应用程序进行签名的签名证书中并发送。一种安全策略确定装置，包括获得单元，用于接收并解析对应用程序进行签名的签名证书，获得预先设置在所述签名证书中的用以指示安全策略的安全策略信息；确定单元，用于确定获得单元获得的所述安全策略信息指示的安全策略为分配给所述应用程序的安全策略。一种应用程序执行操作的装置，包括请求消息获得单元，用于获得设置有所述应用程序的移动终端发送的应用程序执行请求消息，所述请求消息中承载有请求通过所述应用程序执行的操作的标识及该操作的安全等级信息；处理单元，用于根据请求消息获得单元获得的所述请求消息中承载的安全等级信息，判断出通过所述应用程序执行的操作为指定操作时，根据所述分配给所述应用程序的安全策略，确定允许所述应用程序进行的操作， 并通过对所述应用程序执行请求消息中承载的标识指示的操作与确定的所述操作的匹配， 允许所述应用程序执行与确定的所述操作匹配一致的操作，禁止所述应用程序执行与确定的所述操作匹配不一致的操作。本发明有益效果如下本发明实施例提供的方案通过确定应用程序的安全策略，并将指示该安全策略的安全策略信息设置在对应用程序进行签名的签名证书中并进行发送，从而可以灵活地确定并设置安全策略信息，无需从数字证书验证系统预设的安全策略中选取既定的安全策略，因此与现有技术相比，本发明实施例提供的方案大大提高了安全策略设置的灵活性。
图1为本发明实施例提供的一种安全策略设置方法的具体流程示意图；图2为本发明实施例提供的一种安全策略确定方法的具体流程示意图；图3为本发明实施例中扩展后的基于X. 509证书格式的签名证书示意图；图4为本发明实施例提供的安全策略确定方法应用在数字证书验证系统中的应用流程示意图；图5为本发明实施例提供的一种应用程序执行操作的方法的具体流程示意图；图6为发明实施例提供的程序执行操作的方法应用在数字证书验证系统中的应用流程示意图；图7为本发明实施例提供的一种安全策略设置装置的具体结构示意图；图8为本发明实施例提供的一种程序执行操作的装置的具体结构示意图；图9为本发明实施例中设计的动态安全系统的具体结构示意图。
具体实施例方式发明人在对现有技术提供的安全策略分配方案进行分析时，发现其缺点主要体现于以下两点一、证书体系的静态性。当应用程序被签名证书进行签名之后，其安全域映射、安全权限等一系列的安全属性均被静态确定，无法做到动态的可配置可调整；二、安全体系的单一和简单化。当采用现有技术提供的安全策略分配方案时，是从预先设置好的多个安全策略中进行选取的，从而导致应用程序标识将被映射到固定的若干个安全域，而通过背景技术部分的分析可知，这些安全域有可能并不能反映出应用程序所能进行的全部操作。为了解决现有技术中存在的为应用程序分配安全策略的方案存在的上述问题，本发明实施例首先提供一种安全策略设置方法，该方法的具体流程示意图如图1所示，包括以下步骤步骤11，确定应用程序的安全策略。比如，可以直接为应用程序确定一个安全策略，也可以通过先确定应用程序的权限，然后再从预定的权限与安全策略的对应关系中，确定对应于应用程序的安全策略。此外，本发明实施例中，还可以考虑根据数字证书验证系统的状态信息来确定应用程序的安全策略，比如，可以预先针对不同的状态信息设置相应的安全策略，然后，在确定应用程序的安全策略时，就可以实现先根据应用程序的权限，从预定的权限与安全策略的对应关系中，确定对应于应用程序的第一安全策略，再根据获得的数字证书验证系统的状态信息，从预定的状态信息与安全策略的对应关系中，确定与获得的该状态信息对应的第二安全策略，从而根据第一安全策略和第二安全策略，确定应用程序的安全策略。比如，若确定的第一安全策略为应用程序可以执行操作1、2、3、4，而确定的第二安全策略为应用程序可以执行操作1、2、3，则确定将第二安全策略确定为应用程序的安全策略。需要说明的是，上述状态信息可以但不限于为数字证书验证系统的系统环境信息和/或系统安全等级信息。本发明实施例中，通过根据数字证书验证系统的状态信息来确定应用程序的安全策略，可以起到一定的保护数字证书验证系统、增强数字证书验证系统安全性的作用。步骤12，将用于指示确定的安全策略的安全策略信息设置在对应用程序进行签名的签名证书中并发送，在本发明实施例中，为了将安全策略信息设置在签名证书中，可以直接将安全策略信息设置在签名证书的空闲字段里，也可以对签名证书的字段进行扩展，将扩展得到的字段作为安全策略信息扩展字段，并将预设的安全策略信息设置在该扩展字段中，例如，针对前文背景技术部分所述的能够执行操作1、3、4的应用程序4，可以将关于该应用程序4能够执行操作1、3、4的相关信息作为安全策略信息的一部分内容设置到上述扩展字段中。通过本发明实施例提供的该安全策略设置方法，能够将指示该安全策略的安全策略信息设置在对应用程序进行签名的签名证书内，从而可以灵活地确定并设置安全策略信息，无需从数字证书验证系统预设的安全策略中选取既定的安全策略，从而避免了从预设的安全策略中选取既定的安全策略而存在的不灵活的问题。本发明实施例还提供一种安全策略确定方法，该方法的具体流程示意图如图2所示，包括以下步骤步骤21，接收并解析对应用程序进行签名的签名证书，获得预先设置在签名证书中的用以指示安全策略的安全策略信息，比如，针对上述的将应用程序4能够执行操作1、 3、4的相关信息作为安全策略信息的一部分内容设置到上述扩展字段中的情况，可以通过对该扩展字段中的该内容进行解析，从而确定签名证书中是否包含用以指示应用程序4能够执行操作1、3、4的安全策略信息，如果确定结果为是，则就从该扩展字段中获得该安全策略信息；步骤22，将安全策略信息指示的安全策略确定为分配给应用程序的安全策略。在本发明实施例中，设置到签名证书中的安全策略信息可以采用多种格式，或者， 针对同一安全策略信息，也可以采用不同格式分别进行设置后再设置到签名证书中。针对安全策略信息具有多种格式的情况，本发明实施例中为了快速准确地获得安全策略信息， 在获得安全策略信息时，可以先确定签名证书中包含的各安全策略信息的格式，然后，再根据预先设置的格式信息和确定的各安全策略信息的格式，从签名证书中获得具有预设的该格式信息所指示格式的安全策略信息。利用本发明实施例提供的上述方法，通过将安全策略信息预设在签名证书内，并通过对签名证书的解析，将解析出的安全策略信息指示的安全策略确定为分配给应用程序的安全策略，从而可以根据需要预先灵活地设置安全策略，而不是从数字证书验证系统预设的安全策略中选取既定的安全策略，从而与现有技术相比，本发明实施例提供的方案大大提高了安全策略设置的灵活性。在本发明实施例提供的上述方法中，提到了可以对签名证书的字段进行扩展，具体地，字段进行扩展后的基于X. 509证书格式的签名证书示意图如图3所示，图中的版本号 主体唯一标示符这部分均为未进行扩展的签名证书中的既有部分，在此不再赘述。本发明实施例中主要描述扩展(Extensions)字段中包含的具体内容，该具体内容也可称为安全策略描述，该安全策略描述如图3右边部分所示，其主要包含了扩展类型、关键标识、扩展值。其中，扩展类型用以描述安全策略信息的格式，在本发明实施例中，使用Mring类型的扩展字段存储以XML描述的安全策略信息；关键标识用以描述预设的安全策略的安全标示级别；扩展值标示了一条授权策略，其具体内容为将对某个目标的访问能力授权予一个特定主体，通过对扩展值的设置，可以预先设定应用程序能够执行的操作。一般地，应用程序所能执行的操作是与其安全标示级别相匹配的，比如，当安全标示级别越高代表应用程序越能被信任时，应用程序所能执行的相应的操作也越多，应用程序的权限越大。以下以本发明实施例提供的上述安全策略确定方法应用在数字证书验证系统中的应用流程为例，详细说明该方法的实施过程，该应用流程的示意图如图4所示，包括以下步骤步骤41，数字证书验证系统接收到应用程序安装请求；步骤42，数字证书验证系统读取应用程序的签名证书，并按照现有技术中常用的签名证书校验流程，对应用程序的来源、安全性和完整性进行校验；步骤43，在校验结果为应用程序来源正常且安全并完整时，数字证书验证系统读取签名证书中的安全策略信息扩展字段，并对该安全策略信息扩展字段中包含的内容进行解析，确定是否包含有与该应用程序相对应的安全策略信息，如不存在对应的安全策略信息，则执行步骤47，否则，则执行步骤44 ；步骤44，按照预定的格式，数字证书验证系统读取扩展字段中具有该格式的安全策略信息；步骤45，数字证书验证系统对读取的安全策略信息进行解析，将解析得到的安全策略信息指示的安全策略确定为该应用程序对应的安全策略；步骤46，对安全策略信息进行存储；步骤47，完成整个应用程序的安装流程。通过如图4所示的步骤可知，与现有技术提供的安全策略的分配方式相比，采用本发明实施例提供的本方案，通过将安全策略信息设置到签名证书中，可以灵活地实现对安全策略的设置，后续若需要对应用程序对应的安全策略进行改动，可以很方便地通过对安全策略信息的修改即能实现安全策略的更改。基于本发明实施例提供的安全策略确定方法，本发明实施例中还提供一种程序执行操作的方法，该方法的具体流程示意图如图5所示，包括下述步骤步骤51，获得设置有应用程序的移动终端发送的应用程序执行请求消息，该请求消息中承载有请求通过该应用程序执行的操作的标识以及该操作的安全等级信息，其中， 这里的安全等级信息可以但不限于为上述的安全策略的安全标示级别；步骤52，根据安全等级信息，判断通过应用程序执行的操作是否为指定操作，在判断结果为否时，执行步骤53，在判断结果为是时，执行步骤M，在本发明实施例中，这里的指定操作可以视具体需求而指定，比如，可以将移动终端利用应用程序拨打电话、连接无线网络等敏感操作设为指定操作，或者也可以将可能对移动终端系统运行安全和用户数据安全造成重大影响的行为请求设为指定操作，包括利用应用程序更改移动终端系统设置、拨打电话、发送短信、删除联系人、启动摄像头的操作等；步骤53，上述步骤52得到的判断结果为否时，说明通过应用程序欲执行的操作不在指定操作范围之内，因此，应用程序欲执行的操作可以被认为是安全的、被允许的，从而允许应用程序执行上述请求消息承载的操作标识指示的操作；步骤54，由于上述步骤53得到的判断结果为是，则说明应用程序欲执行的操作为指定操作，该操作可能具有一定的安全风险，从而需要进一步根据分配给应用程序的安全策略，确定允许该应用程序进行的操作，并通过对上述请求消息中承载的标识指示的操作与确定的操作的匹配，允许应用程序执行与确定的操作匹配一致的操作，禁止应用程序执行与确定的操作匹配不一致的操作。需要说明的是，在本发明实施例中，还可以结合数字证书验证系统当前的状态来决定是否允许应用程序执行与上述确定的操作匹配一致的操作。具体地，可以先获得数字证书验证系统的状态信息，然后，再根据该状态信息指示的数字证书验证系统状态，判断出在该数字证书验证系统状态下，应用程序能够执行与上述确定的操作匹配一致的操作时， 才允许应用程序执行匹配一致的操作。这里的状态信息可以是数字证书验证系统的系统环境信息和/或系统安全等级信息等。比如，若状态信息指示数字证书验证系统当前的状态为“高危状态”或“戒备状态”，则可能在数字证书验证系统处于“正常状态”下原本可以允许应用程序执行的某些操作当前也不能被允许执行了。在本发明实施例中，结合数字证书验证系统状态来判断是否运行应用程序执行相应的操作，可以起到一定的保护数字证书验证系统、增强数字证书验证系统安全性的作用。以下以本发明实施例提供的上述程序执行操作的方法应用在数字证书验证系统中的应用流程为例，详细说明该方法的实施过程，该应用流程的示意图如图6所示，包括以下步骤步骤61，获取设置有应用程序的移动终端发送的应用程序执行请求消息；步骤62，根据该请求消息中承载的通过应用程序执行的操作的安全等级信息，判断通过应用程序执行的操作是否为指定操作，在判断结果为是时，执行步骤63，否则，执行步骤68 ；步骤63，由于判断结果为通过应用程序执行的操作是指定操作(如通过应用程序拨打电话、连接无线网络等)，则进一步判断是否为该应用程序分配了相应的安全策略，比如，可以根据该应用程序的标识，在存储于安全策略数据库的安全策略与应用程序的标识的对应关系中，判断该应用程序的标识是否对应有相应的安全策略，在判断结果为是时，执行步骤64，否则，执行步骤68 ；步骤64，从安全策略数据库获取与该应用程序对应的安全策略；步骤65，安全策略读取完毕后，对读取到的安全策略进行分类检查，在本发明实施例中，按照安全策略功能的不同，可以将其划分为授权策略、职责策略和认证策略等，其中， 授权策略应用最为广泛，分为肯定授权策略和否定授权策略，用于规定许可或禁止应用程序的指定操作，职责策略用于规定应用程序对于数字证书验证系统环境变化的被动响应， 认证策略用于对应用程序的合法性进行认证，上述三种策略均可以使用XML的标签进行区分和分类；步骤66，安全策略的分类检查结束后，判断安全策略中是否限定了允许应用程序执行的操作，若判断结果为是，则执行步骤67，否则，执行步骤68 ；步骤67，根据安全策略，确定允许应用程序执行的操作，并对请求消息中承载的标识指示的操作与确定的操作进行匹配，通过匹配，允许应用程序执行与确定的操作匹配一致的操作，禁止应用程序执行与确定的操作匹配不一致的操作；步骤68，跳转到正常的签名证书验证流程，在验证应用程序的签名证书合法后，允许应用程序执行请求消息承载的操作标识指示的操作。对应于本发明实施例提供的安全策略确定方法，本发明实施例还提供一种安全策略设置装置，用以解决现有技术中存在的为应用程序分配安全策略的方案不灵活的问题， 该装置的具体结构示意图如图7所示，包括以下功能单元确定单元71，用于确定应用程序的安全策略，其中，该确定单元71可以但不限于根据应用程序的权限，从预定的权限与安全策略的对应关系中，确定对应于应用程序的安全策略；发送单元72，用于将用于指示确定单元71确定的安全策略的安全策略信息设置在对应用程序进行签名的签名证书中并发送，其中，发送单元具体可以用于将安全策略信息设置在签名证书的字段进行扩展后得到的安全策略信息扩展字段中并发送。具体地，若考虑到根据数字证书验证系统的状态信息来确定应用程序的安全策略，则本发明实施例提供的该确定单元可以进一步包括以下功能模块第一安全策略确定模块，用于根据应用程序的权限，从预定的权限与安全策略的对应关系中，确定对应于应用程序的第一安全策略；状态信息获得模块，用于获得数字证书验证系统的状态信息；第二安全策略确定模块，用于根据状态信息获得模块获得的状态信息，从预定的状态信息与安全策略的对应关系中，确定与状态信息对应的第二安全策略；应用程序安全策略确定模块，用于根据第一安全策略确定模块确定的第一安全策略和第二安全策略确定模块确定的第二安全策略，确定应用程序的安全策略。相应地，本发明实施例还提供一种安全策略确定装置，该装置具体包括获得单元，用于接收并解析对应用程序进行签名的签名证书，获得预先设置在签名证书中的用以指示安全策略的安全策略信息；确定单元，用于确定获得单元获得的安全策略信息指示的安全策略为分配给应用程序的安全策略。当安全策略信息设置在签名证书的安全策略信息扩展字段中时，上述获得单元可以进一步划分为接收模块，用于接收签名证书；解析模块，用于解析预先设置在接收模块接收的签名证书中的安全策略信息扩展字段中的内容，获得安全策略信息。进一步地，为了快速地获得安全策略信息，上述获得单元还可以进一步划分为以下功能模块，包括接收模块，用于接收签名证书；格式确定模块，用于通过解析接收模块接收的签名证书，确定签名证书中包含的各安全策略信息的格式；安全策略信息获得模块， 用于根据预先设置的格式信息和格式确定模块确定的各安全策略信息的格式，从签名证书中获得具有预先设置的该格式信息所指示格式的安全策略信息。相应于本发明实施例提供的程序执行操作的方法，本发明实施例还提供一种应用程序执行操作的装置，该装置的具体结构示意图如图8所示，包括以下功能单元请求消息获得单元81，用于获得设置有应用程序的移动终端发送的应用程序执行请求消息，该请求消息中承载有请求通过应用程序执行的操作的标识及该操作的安全等级 in息；处理单元82，用于根据请求消息获得单元81获得的请求消息中承载的安全等级信息，判断出通过应用程序执行的操作是否为指定操作时，根据分配给应用程序的安全策略，确定允许应用程序进行的操作，并通过对应用程序执行请求消息中承载的标识指示的操作与确定的允许应用程序执行的操作的匹配，允许应用程序执行与确定的允许应用程序执行的操作匹配一致的操作，禁止应用程序执行与确定的允许应用程序执行的操作匹配不一致的操作。在本发明实施例中，还可以结合数字证书验证系统的状态信息，来判断是否允许应用程序执行相应的操作，针对该功能，可以将处理单元82进一步划分为以下功能模块， 具体包括状态信息获得模块，用于根据请求消息获得单元获得的请求消息中承载的安全等级信息，判断出通过应用程序执行的操作是否为指定操作时，获得数字证书验证系统的状态信息；允许操作模块，用于通过对应用程序执行请求消息中承载的标识指示的操作与确定的操作的匹配，禁止应用程序执行与确定的所述操作匹配不一致的操作，并在判断出在状态信息获得模块获得的状态信息指示的数字证书验证系统状态下，应用程序能够执行与确定的操作匹配一致的操作时，允许应用程序执行所述匹配一致的操作。其中，这里的状态信息可以但不限于为数字证书验证系统的系统环境信息和/或系统安全等级信息等。在实际应用中，将本发明实施例提供的安全策略确定方案与应用程序执行操作的方案相结合后，本发明实施例设计了一个数字证书验证系统，该数字证书验证系统由于可以动态地实现将安全策略信息设置到签名证书中，因此，又将该数字证书验证系统称为动态安全系统，该系统的具体结构示意图如图9所示，其由四大子系统部分组成，分别为应用安全策略读取子系统、应用行为截获判定子系统、安全策略提取子系统、安全策略执行子系统，其中，各个子系统又分别包含多个组成模块。以下分别对各子系统的具体功能进行说明。一、应用安全策略读取子系统。其主要用于在对应用程序进行安装时，从应用程序的签名证书中解析并获取安全策略信息，并根据安全策略信息，确定相应的安全策略，并最终将安全策略存储至图9中所示的安全策略数据库，完成应用程序的安装操作。如图9所示，应用安全策略读取子系统包含4个部分，其中，预定义安全策略数据库用于存储动态安全系统所支持的预定义安全策略元数据，该元数据用于描述动态安全系统支持的编辑安全策略的程序语言种类以及安全策略的格式等，此元数据是后续对从签名证书中获取到的安全策略信息进行分析的依据；应用安全策略读取模块，用于读取应用程序签名证书中所包含的安全策略信息，具体地，应用安全策略读取模块可以对签名证书扩展字段中的内容进行逐条解析，并实现对安全策略信息的获取；安全策略编译/分析模块， 用于与预定义安全策略数据库交互，分析应用安全策略读取模块所获取的安全策略信息， 例如，若预定义安全策略数据库中描述该动态安全系统支持XML格式的安全策略信息描述语言，则安全策略编译/分析模块对XML格式的安全策略信息进行解析，确定该安全策略信息所指示的安全策略确定为分配给应用程序的安全策略；安全策略存储模块，用于与安全策略编译/分析模块进行交互，将确定的安全策略存储到安全策略数据库中，具体地，为了后续便于对应用程序相应的安全策略进行提取，在存储安全策略的同时，还可以存储安全策略与相应的应用程序标识的对应关系。从上述对应用安全策略读取子系统的描述可知，该子系统主要完成本发明实施例提供的上述应用程序安全策略的确定方案。
二、应用行为截获判定子系统。其主要对各种应用程序与动态安全系统之间的接口进行监控，并获取安装有应用程序的移动终端通过该些接口发送来的应用程序执行请求消息，并通过对应用程序执行的操作是否为指定操作，执行后续不同的处理流程。该应用行为截获判定子系统主要包括如图9中所示的行为请求获取模块和特权行为请求判定模块，其中，行为请求获取模块用于对动态安全系统与各种应用程序的接口进行监控，获取安装有应用程序的移动终端通过该些接口发送来的应用程序执行请求消息，并将获取到的请求消息提交给特权行为请求判定模块进行判定；特权行为请求判定模块用于对行为请求获取模块提交的请求消息进行判定，判定其承载的通过应用程序执行的操作是否属于指定操作，如果判断为是，则将请求消息提交给安全策略执行子系统做进一步的处理。三、安全策略提取子系统。其主要用于从安全策略数据库中提取并分析过滤得到当前应用程序适用的安全策略，并将得到的安全策略提交给安全策略执行子系统进行策略执行。安全策略提取子系统主要由两部分构成，其中，第一部分为安全策略提取模块，该模块与安全策略数据库紧密联系，用于根据当前的应用程序执行请求消息中包含的应用程序标识，从安全策略数据库中读取与该应用程序标识相对应的安全策略，并将读取的安全策略提交给安全策略过滤模块进行过滤；安全策略过滤模块则用于获取安全策略提取模块提取安全策略，并根据安全策略所对应的描述确定该安全策略是何种安全策略，将同类的安全策略进行归类，并根据上述请求消息的具体情况，对不相关的安全策略进行过滤，最后再将过滤后的得到的安全策略提交给安全策略执行子系统。四、安全策略执行子系统。其主要用于根据应用行为截获判定子系统提交的应用程序执行请求消息，以及安全策略提取子系统提交的与该应用程序相关的安全策略，对应用程序执行的操作进行判断和决策，最终确定是否允许应用程序执行相应的操作。安全策略执行子系统由三部分组成，其中，系统状态获取模块用于获取当前的数字证书验证系统的状态信息，该状态信息可以作为后续判断是否允许应用程序执行相应操作依据之一；安全策略分析模块，用于分析当前的请求消息中承载的应用程序欲执行的操作的标识是否包含在上述提交的安全策略所允许的操作的标识内；安全策略决策模块，用于综合安全策略分析模块得到的结果以及系统状态获取模块获取到的数字证书验证系统的状态信息，对应用程序的请求进行决策和回应。整个动态安全系统的工作机制举例如下移动终端上安装着应用程序APP，在移动终端正常运行的过程中，APP向动态安全系统发出请求执行发送短消息操作的请求消息SMS_REQ ；动态安全系统接收到SMS_REQ后，应用行为截获判定子系统判定出SMS_REQ中承载的操作标识属于指定操作的标识，则执行与指定操作对应的后续处理；安全策略提取子系统根据APP的标识，提取安全策略数据库中与APP相关的安全策略，比如，假设安全策略数据库中存在三条与APP相关的安全策略Pl、P2和P3，其中Pl是一条授权策略，其标识APP被授权予发送短信的权限，策略描述如下<authorization+id = “APP一Pl，，><subject>APP</subject><target>SMS</target><author_action>SEND_SMS</author_action>
13
〈/authorization+〉安全策略过滤模块过滤得到该条授权策略后，将其提交给安全策略决策子系统；安全策略决策子系统解析出Pl的授权行为是允许APP执行发送短消息的操作，并比较得到应用行为截获判定子系统获取的请求消息中承载的发送短消息的操作与解析得到的该操作匹配一致，于是最终做出决策，允许APP执行发送短消息的操作。显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。
权利要求
1.一种安全策略设置方法，其特征在于，包括确定应用程序的安全策略；将用于指示所述安全策略的安全策略信息设置在对所述应用程序进行签名的签名证书中并发送。
2.如权利要求1所述的方法，其特征在于，确定应用程序的安全策略具体包括根据应用程序的权限，从预定的权限与安全策略的对应关系中，确定对应于所述应用程序的第一安全策略；获得数字证书验证系统的状态信息；根据所述状态信息，从预定的状态信息与安全策略的对应关系中，确定与所述状态信息对应的第二安全策略；根据所述第一安全策略和第二安全策略，确定所述应用程序的安全策略。
3.如权利要求2所述的方法，其特征在于，所述状态信息为所述数字证书验证系统的系统环境信息和/或系统安全等级信息。
4.如权利要求1 3任一所述的方法，其特征在于，将所述安全策略信息设置在所述签名证书的字段进行扩展后得到的安全策略信息扩展字段中。
5.一种安全策略确定方法，其特征在于，包括接收并解析对应用程序进行签名的签名证书，获得预先设置在所述签名证书中的用以指示安全策略的安全策略信息；确定所述安全策略信息指示的安全策略为分配给所述应用程序的安全策略。
6.如权利要求5所述的方法，其特征在于，解析所述签名证书，获得预所述安全策略信息具体包括解析预先设置在所述签名证书中的安全策略信息扩展字段中的内容，获得所述安全策略信息。
7.如权利要求5所述的方法，其特征在于，获得所述安全策略信息具体包括确定所述签名证书中包含的各安全策略信息的格式；根据预先设置的格式信息和确定的所述各安全策略信息的格式，从所述签名证书中获得具有所述格式信息所指示格式的安全策略信息。
8.一种应用程序执行操作的方法，其特征在于，包括获得设置有所述应用程序的移动终端发送的应用程序执行请求消息，所述请求消息中承载有请求通过所述应用程序执行的操作的标识及该操作的安全等级信息；根据所述安全等级信息，判断出所述应用程序执行的操作为指定操作时，根据所述分配给所述应用程序的安全策略，确定允许所述应用程序进行的操作，并通过对所述应用程序执行请求消息中承载的标识指示的操作与确定的所述操作的匹配，允许所述应用程序执行与确定的所述操作匹配一致的操作，禁止所述应用程序执行与确定的所述操作匹配不一致的操作。
9.如权利要求8所述的方法，其特征在于，允许所述应用程序执行与确定的所述操作匹配一致的操作具体包括获得数字证书验证系统的状态信息；判断出在所述状态信息指示的数字证书验证系统状态下，所述应用程序能够执行与确定的所述操作匹配一致的操作时，允许所述应用程序执行所述匹配一致的操作。
10.一种安全策略设置装置，其特征在于，包括 确定单元，用于确定应用程序的安全策略；发送单元，用于将用于指示确定单元确定的安全策略的安全策略信息设置在对所述应用程序进行签名的签名证书中并发送。
11.如权利要求10所述的装置，其特征在于，所述确定单元具体包括第一安全策略确定模块，用于根据应用程序的权限，从预定的权限与安全策略的对应关系中，确定对应于所述应用程序的第一安全策略；状态信息获得模块，用于获得数字证书验证系统的状态信息； 第二安全策略确定模块，用于根据状态信息获得模块获得的状态信息，从预定的状态信息与安全策略的对应关系中，确定与所述状态信息对应的第二安全策略；应用程序安全策略确定模块，用于根据第一安全策略确定模块确定的第一安全策略和第二安全策略确定模块确定的第二安全策略，确定所述应用程序的安全策略。
12.如权利要求10或11所述的装置，其特征在于，所述发送单元具体用于将所述安全策略信息设置在所述签名证书的字段进行扩展后得到的安全策略信息扩展字段中并发送。
13.一种安全策略确定装置，其特征在于，包括获得单元，用于接收并解析对应用程序进行签名的签名证书，获得预先设置在所述签名证书中的用以指示安全策略的安全策略信息；确定单元，用于确定获得单元获得的所述安全策略信息指示的安全策略为分配给所述应用程序的安全策略。
14.如权利要求13所述的装置，其特征在于，所述获得单元具体包括 接收模块，用于接收所述签名证书；解析模块，用于解析预先设置在接收模块接收的签名证书中的安全策略信息扩展字段中的内容，获得所述安全策略信息。
15.如权利要求13所述的装置，其特征在于，所述获得单元具体包括 接收模块，用于接收所述签名证书；格式确定模块，用于通过解析接收模块接收的签名证书，确定所述签名证书中包含的各安全策略信息的格式；安全策略信息获得模块，用于根据预先设置的格式信息和格式确定模块确定的各安全策略信息的格式，从所述签名证书中获得具有所述格式信息所指示格式的安全策略信息。
16.一种应用程序执行操作的装置，其特征在于，包括请求消息获得单元，用于获得设置有所述应用程序的移动终端发送的应用程序执行请求消息，所述请求消息中承载有请求通过所述应用程序执行的操作的标识及该操作的安全等级信息；处理单元，用于根据请求消息获得单元获得的所述请求消息中承载的安全等级信息， 判断出通过所述应用程序执行的操作为指定操作时，根据所述分配给所述应用程序的安全策略，确定允许所述应用程序进行的操作，并通过对所述应用程序执行请求消息中承载的标识指示的操作与确定的所述操作的匹配，允许所述应用程序执行与确定的所述操作匹配一致的操作，禁止所述应用程序执行与确定的所述操作匹配不一致的操作。
17.如权利要求16所述的装置，其特征在于，所述处理单元具体包括 状态信息获得模块，用于根据请求消息获得单元获得的所述请求消息中承载的安全等级信息，判断出通过所述应用程序执行的操作为指定操作时，获得数字证书验证系统的状态信息；允许操作模块，用于通过对所述应用程序执行请求消息中承载的标识指示的操作与确定的所述操作的匹配，禁止所述应用程序执行与确定的所述操作匹配不一致的操作，并在判断出在状态信息获得模块获得的状态信息指示的数字证书验证系统状态下，所述应用程序能够执行与确定的所述操作匹配一致的操作时，允许所述应用程序执行所述匹配一致的操作。
全文摘要
本发明公开了一种安全策略设置方法及装置，用以解决现有技术中存在的为应用程序分配安全策略的方案不灵活的问题。该方法包括步骤确定应用程序的安全策略；将用于指示所述安全策略的安全策略信息设置在对所述应用程序进行签名的签名证书中并发送。相应地，本发明实施例还提供一种安全策略确定方法及装置、应用程序执行操作的方法及装置。
文档编号H04L29/06GK102340398SQ20101023964
公开日2012年2月1日 申请日期2010年7月27日 优先权日2010年7月27日
发明者匡硕, 樊科, 程子川, 袁园 申请人:中国移动通信有限公司