权限控制方法、权限控制设备、用户设备及系统与流程

本发明涉及信息安全技术领域，尤其涉及一种权限控制方法、权限控制设备、用户设备及系统。

背景技术：

当前具有核心技术的厂商将自己的产品销往下游客户时，因其技术的独特性，希望能够对自己产品涉及的核心技术信息加以保护。现有技术中，常通过软件手段进行保护，例如通过输入包装盒上的授权码，来完成远程授权；又或是通过白盒密钥，或者其他的软件手段来进行保护。但此类做法由于其自身的局限性，易受到攻击，被逆向代码破解。如何增强保护强度，是本领域亟待解决的技术问题。

技术实现要素：

本发明实施例提供一种权限控制方法、权限控制设备、用户设备及系统，安全性高，灵活性强。

一方面，本发明实施例提供一种权限控制方法，应用于权限控制设备，包括：接收并存储用户设备的识别码以及安全模块信息；以预设算法加密所述用户设备中的预设应用；建立基于所述安全模块的安全传输通道；生成并经所述安全传输通道发送权限控制信息给所述用户设备，以对所述用户设备中的预设应用进行授权、对所述用户设备中的已授权应用取消授权或进行授权范围的调整。

第二方面，本发明实施例还提供一种权限控制设备，包括:接收存储模块，用于接收存储用户设备的识别码以及安全模块信息；加密模块，用于以预设算法加密所述用户设备中的预设应用；安全传输通道建立模块，用于建立基于所述安全模块的安全传输通道；权限控制模块，用于生成并经所述安全传输通道发送权限控制信息给所述用户设备；所述权限控制信息用于对所述用户设备中的预设应用进行授权、对所述用户设备中的已授权应用取消授权或进行授权范围的调整。

第三方面，本发明实施例还一种权限控制方法，应用于用户设备，该用户设备包括存储有加密密钥的安全模块，方法包括：提取所述用户设备的识别码以及安全模块信息；发送所述识别码和安全模块信息给权限控制设备，以建立基于所述安全模块的安全传输通道；存储经所述权限控制设备加密后的预设应用；接收所述权限控制设备经所述安全传输通道发送来的权限控制信息；利用所述安全模块解析所述权限控制信息，根据所述权限控制信息获取预设应用的授权，或根据所述权限控制信息取消已授权应用的授权或进行授权范围的调整。

第四方面，本发明实施例还提供一种用户设备，包括：安全模块，用于存储加密密钥；所述安全模块为所述用户设备芯片中集成的硬件安全模块，或专用的安全芯片；提取模块，用于提取所述用户设备的识别码以及安全模块信息；发送模块，用于发送所述识别码和安全模块信息给权限控制设备，以建立基于所述安全模块的安全传输通道；存储模块，用于存储经所述权限控制设备加密后的所述预设应用；接收模块，用于接收所述权限控制设备经所述安全传输通道发送来的权限控制信息，并将所述权限控制信息存放至预设位置；所述安全模块还用于解析所述权限控制信息，根据所述权限控制信息获取预设应用的授权，或根据所述权限控制信息取消已授权应用的授权或进行授权范围的调整。

第五方面，本发明实施例还提供了一种权限控制系统，包括上述的权限控制设备和用户设备。

本发明实施例提供的权限控制方法、权限控制设备、用户设备和系统。权限控制设备通过加密技术将用户设备中的预设应用进行加密，建立基于所述安全模块的安全传输通道，安全的传递权限控制信息，且根据权限控制信息的不同，能够对用户设备的预设应用进行授权，取消收取或调整授权范围，安全性高，灵活性强。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的应用于权限控制设备的权限控制方法实施例的流程图；

图2为本发明实施例提供的权限控制设备的示意图；

图3为本发明实施例提供的应用于用户设备的权限控制方法实施例的流程图；

图4为本发明实施例提供的用户设备的示意图；

图5为本发明实施例提供的权限控制系统的交互示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明实施例中的安全模块为基于硬件的安全模块，实现方式可以为用户设备芯片内部集成的硬件安全模块，也可以是专用的安全芯片，存储有加密密钥。本发明实施例中的用户设备包括任何可以加入所述安全模块的产品。例如手机，门锁，存储控制器，硬盘，服务器，数据中心等设备，即只要有授权需求，且其上有安全模块的设备。

本发明实施例中的权限控制设备可以为服务器，控制中心等，即包括任何具备远程控制功能的设备。

为便于对本发明实施例的理解，下面将结合附图以具体实施例做进一步的解释说明，实施例并不构成对本发明的限定。

图1为本发明实施例提供的应用于权限控制设备的控制方法一种实施例的流程图；请参照图1，该实施例包括：

s101、接收并存储用户设备的识别码以及安全模块信息；

具体的，用户设备的识别码以及安全模块信息由用户设备提取，并发送给所述权限控制设备；安全模块信息可以为该安全模块的密钥信息，也可以是只有该安全模块存储的某个其他信息，可用于权限控制设备识别该安全模块对应用户设备的唯一身份。权限控制设备存储有可更新的记录表，用于记录用户设备的信息，当然，记录的信息中包括用户设备的安全模块信息。

s102、以预设算法加密所述用户设备中的预设应用；预设加密算法可以为任何加密算法。将加密后的预设应用存储于用户设备上。

s103、建立基于所述安全模块的安全传输通道；权限控制设备验证安全模块的身份，从而确定安全模块对应的用户设备的身份；安全模块预存有权限控制设备的验证证书，亦通过权限控制设备的验证证书验证权限控制设备的身份，即，权限控制设备与安全模块双向互验证身份，建立基于所述安全模块的安全传输通道。

s104、生成并经所述安全传输通道发送权限控制信息给所述用户设备，以对所述用户设备中的预设应用进行授权、对所述用户设备中的已授权应用取消授权或进行授权范围的调整。具体的，控制信息的不同功能，取决于控制信息的内容。

通过本发明实施例，权限控制设备与用户设备之间建立基于安全模块的传输通道，通过加密技术将用户设备中的预设应用进行加密，再通过所述安全传输通道传递权限控制信息，安全性高。

具体实现中，权限控制设备存在一个记录表，用来记录用户设备的识别码和安全模块信息。可以理解的是，每一个用户设备的识别码和其安全模块信息是一一对应的，从而以此为基础，针对每一个用户设备建立唯一的基于其安全模块的安全传输通道。

可选的，在生成并经过所述安全传输通道发送权限控制信息之前，还包括接收用户设备发送来的授权请求的步骤，当然该过程主要针对用户设备请求授权的过程，也对应了s104中对用户设备预设应用进行授权的内容，本发明实施例并不排除，权限控制设备在未收到用户设备授权请求的情况下发送权限控制信息给所述用户设备的情况。

可选的，在生成并经过所述安全传输通道发送权限控制信息之后，还包括接收用户设备发来的反馈信息的步骤，反馈信息用来表明用户设备的当前状态，包括但不限于授权成功、授权成功范围、授权失败、授权取消、授权取消范围等，即任何用来表明所述用户设备状态的信息。

下面展开“对所述用户设备中的预设应用进行授权、对所述用户设备中的已授权应用取消授权或进行授权范围的调整”这部分内容的详细阐述：

若对所述用户设备的预设应用进行授权，则所述权限控制信息为第一授权证书，第一授权证书中包括第一授权码和第一授权范围值；第一授权码用于支持所述用户设备产生第一授权密钥，第一授权范围值用于控制所述授权的第一授权范围，即可能授权并非是全部预设应用的授权，只是预设应用中的一部分，允许用户设备使用这一部分的应用功能。如此，用户设备可通第一授权证书解密预设应用，获取所述预设应用在所述第一授权范围下的授权。

若对所述用户设备已授权应用取消授权，则所述权限控制信息为授权证书删除指令，用于使所述用户设备删除已有的授权证书。

若对所述用户设备已授权应用进行授权范围的调整，则所述权限控制信息包括授权证书更新指令和第二授权证书，授权证书更新指令用于使所述用户设备将已有的授权证书替换为所述第二授权证书；第二授权证书中包括：第二授权码，用于支持所述用户设备产生第二授权密钥；以及，第二授权范围值，用于控制所述授权的第二授权范围。

通过本发明实施例，建立基于安全模块的传输通道，通过加密技术将用户设备中的预设应用进行加密，再通过所述安全传输通道传递权限控制信息，安全性高；而且根据权限控制信息的不同，可以对用户设备授权范围进行控制，灵活性强。

图2为本发明实施例提供的权限控制设备的示意图，权限控制设备20包括：

接收存储模块201，用于接收存储用户设备的识别码以及安全模块信息；

加密模块202，用于以预设算法加密所述用户设备中的预设应用；

安全传输通道建立模块203，用于建立基于所述安全模块的安全传输通道；

权限控制模块204，用于生成并经所述安全传输通道发送权限控制信息给所述用户设备；所述权限控制信息用于对所述用户设备中的预设应用进行授权、对所述用户设备中的已授权应用取消授权或进行授权范围的调整。

可以理解的是，所述接收存储模块201，还用于接受所受用户设备的授权请求；以及，接收所述用户设备的反馈信息，以根据所述反馈信息更新所述用户设备的状态。

具体各模块的运作方式，对应于前述应用于权限控制设备的控制方法，实施例中已有描述，此处不再赘述。

通过本发明实施例的权限控制设备，建立基于安全模块的传输通道，通过加密技术将用户设备中的预设应用进行加密，再通过所述安全传输通道传递权限控制信息，安全性高；而且根据权限控制信息的不同，可以对用户设备授权范围进行控制，灵活性强。

图3为本发明实施例提供的应用于用户设备的权限控制方法流程图；本发明实施例中的用户设备设有安全模块，安全模块为基于硬件的安全模块，实现方式可以为用户设备芯片内部集成的硬件安全模块，也可以是专用的安全芯片，存储有加密密钥。本发明实施例包括步骤：

s301、提取用户设备的识别码以及安全模块信息；

每个用户设备均有自己相应的识别码，即设备id，以及相应的安全模块信息，安全模块信息可以为该安全模块的密钥信息，也可以是只有该安全模块存储的某个其他信息，可用于权限控制设备识别该安全模块对应用户设备的唯一身份。用户设备识别码与安全模块信息具有严格对应的特性。

s302、发送所述识别码和安全模块信息给权限控制设备，以建立基于所述安全模块的安全传输通道；

权限控制设备在获取用户设备的识别码和安全模块信息后，可以存储二者的对应关系，并基于所述安全模块做双向身份认证，从而建立基于所述安全模块的安全传输通道，对应所述安全模块所属的用户设备。具体的，权限控制设备验证安全模块的身份，从而确定安全模块对应的用户设备的身份；安全模块预存有权限控制设备的验证证书，亦通过权限控制设备的验证证书验证权限控制设备的身份，即，权限控制设备与安全模块双向互验证身份，建立基于所述安全模块的安全传输通道。

s303、存储经所述权限控制设备加密后的预设应用；

权限控制设备对预设应用的加密可以为任何加密算法，经权限控制设备加密后，用户设备将加密后的预设应用存储。

s304、接收所述权限控制设备经所述安全传输通道发送来的权限控制信息；通过s303的描述可以知道，预设应用是以预设算法被加密存储在用户设备上的，用户设备在没有得到授权的情况下是无法使用预设应用的，权限控制信息的作用即对预设应用的权限做调整。在接收到权限控制信息之后，将权限控制信息存放至预设位置，权限控制信息可以存放于安全模块401中，也可以由安全模块401加密后存放在其他一般的存储位置，但是加密的密钥需存放在安全模块401中，以保证安全。

s305、利用所述安全模块解析所述权限控制信息，根据所述权限控制信息获取预设应用的授权，或根据所述权限控制信息取消已授权应用的授权或进行授权范围的调整；

根据权限控制信息的不同，可执行不同的功能：

具体的，若权限控制信息为第一授权证书，第一授权证书中包括第一授权码和第一授权范围值；第一授权码用于支持所述用户设备产生第一授权密钥，第一授权范围值用于控制所述授权的第一授权范围，即可能授权并非是全部预设应用的授权，只是预设应用中的一部分，允许用户设备使用这一部分的应用功能。如此，用户设备可通第一授权证书解密预设应用，获取所述预设应用在所述第一授权范围下的授权。

若所述权限控制信息为授权证书删除指令，则用户设备根据授权证书删除指令删除所述安全模块中已有的授权证书。

若所述权限控制信息包括授权证书更新指令和第二授权证书，则用户设备根据授权证书更新指令用将所述安全模块中已有的授权证书替换为所述第二授权证书；第二授权证书中包括：第二授权码，用于支持所述用户设备产生第二授权密钥；以及，第二授权范围值，用于控制所述授权的第二授权范围，如此，用户设备可通过更新后的第二授权证书解密预设应用，获取所述预设应用在所述第二授权范围下的授权。

具体实现中，根据所述权限控制信息获取预设应用的授权，或根据所述权限控制信息取消已授权应用的授权或进行授权范围的调整之前，还包括根据解析结果判断所述权限控制信息是否正确的步骤，如果正确，则执行根据权限控制信息获取预设应用授权、取消已授权应用授权或进行授权范围的调整，如果不正确，则发送反馈信息给权限控制设备。

判断权限控制信息是否正确，主要包括两个检查：其一为根据用户设备存储的权限控制设备的验证证书或公钥来验证所述权限控制信息是否合法，即确认是由正确的权限控制设备发来的权限控制信息；其二为验证权限控制信息本身的格式是否满足预设格式。

当然，可以理解的是，在顺利达成授权、取消授权、或授权范围调整之后，用户设备也会发送反馈信息给权限控制设备，以利权限控制设备更新用户设备的状态。

具体实现中，在接收所述权限控制设备经所述安全传输通道发送来的权限控制信息之前，所述方法还可包括发送授权请求给所述权限控制设备的步骤。

具体实现中，还通过所述安全模块存储的密钥对所述第一授权证书或所述第二授权证书加密存储，以在用户使用已授权的所述预设应用时利用所述安全模块存储的密钥解密所述第一授权证书或所述第二授权证书。

通过本发明实施例，在建立基于用户设备安全模块的传输通道的情况下，通过加密技术将用户设备中的预设应用进行加密，再通过所述安全传输通道传递权限控制信息，安全性高；用户设备通过安全模块对授权证书加密存储，进一步提高了安全性；而且根据权限控制信息的不同，授权范围也可进行控制，灵活性强。

图4为本发明实施例提供的一种用户设备的示意图；请参照图4，用户设备40包括：

安全模块401，用于存储加密密钥；安全模块401为基于硬件的安全模块，实现方式可以为用户设备芯片内部集成的硬件安全模块，也可以是专用的安全芯片。

提取模块402，用于提取所述用户设备的识别码以及安全模块信息。

发送模块403，用于发送所述识别码和安全模块信息给权限控制设备，以建立基于所述安全模块的安全传输通道；当然，发送模块403还用于发送授权请求给所述权限控制设备；以及在解析权限控制信息后发送反馈信息给所述权限控制设备，反馈信息用于表明用户设备状态，以利权限控制设备更新存储。

存储模块404，用于存储经所述权限控制设备加密后的所述预设应用。

接收模块405，用于接收所述权限控制设备经所述安全传输通道发送来的权限控制信息，并将所述权限控制信息存放至预设位置；权限控制信息可以存放于安全模块401中，也可以由安全模块401加密后存放在其他一般的存储位置，但是加密的密钥需存放在安全模块401中，以保证安全。

安全模块401，还用于解析所述权限控制信息，根据所述权限控制信息获取预设应用的授权，或根据所述权限控制信息取消已授权应用的授权或进行授权范围的调整。

具体的，若权限控制信息为第一授权证书，第一授权证书中包括第一授权码和第一授权范围值；第一授权码用于支持所述用户设备产生第一授权密钥，第一授权范围值用于控制所述授权的第一授权范围，即可能授权并非是全部预设应用的授权，只是预设应用中的一部分，允许用户设备使用这一部分的应用功能。如此，用户设备可通第一授权证书解密预设应用，获取所述预设应用在所述第一授权范围下的授权。

若所述权限控制信息为授权证书删除指令，则用户设备根据授权证书删除指令删除已有的授权证书。

若所述权限控制信息包括授权证书更新指令和第二授权证书，则用户设备根据授权证书更新指令用将已有的授权证书替换为所述第二授权证书；第二授权证书中包括：第二授权码，用于支持所述用户设备产生第二授权密钥；以及，第二授权范围值，用于控制所述授权的第二授权范围，如此，用户设备可通过更新后的第二授权证书解密预设应用，获取所述预设应用在所述第二授权范围下的授权。

进一步的，还包括判断模块406，用于根据所述权限控制信息的解析结果判断所述权限控制信息是否正确；若正确，则所述解析模块406会根据所述权限控制信息获取预设应用的授权，或根据所述权限控制信息取消已授权应用的授权或进行授权范围的调整；若错误，则通过发送模块403发送权限控制失败的反馈信息给权限控制设备。

进一步的，用户设备40还包括加解密模块407，用于在根据所述权限控制信息获取预设应用的授权，或进行授权范围的调之后，通过所述安全模块401存储的密钥对所述第一授权证书或所述第二授权证书加密存储，以在用户使用已授权的所述预设应用时利用所述安全模块存储的密钥解密所述第一授权证书或所述第二授权证书。

通过本发明实施例，在建立基于用户设备安全模块的传输通道的情况下，通过加密技术将用户设备中的预设应用进行加密，再通过所述安全传输通道传递权限控制信息，安全性高；用户设备通过安全模块存储的密钥对授权证书加密存储，进一步提高了安全性；而且根据权限控制信息的不同，授权范围也可进行控制，灵活性强。

需要说明的是，前述本发明实施例中的第一、第二的表述，仅为在命名上做到区别，不应被理解为先后顺序的限定。可以理解的是，在实际应用中，可能存在第n授权证书、第n授权码、第n授权范围值的情况，n为大于0的整数。

请参阅图5，为本发明实施例提供的权限控制系统的交互示意图，以对本发明实施例中权限控制系统在具体的应用场景中，其工作方式做进一步阐述说明。

权限控制系统包括前述权限控制设备20和用户设备40。

出厂过程：在用户设备出厂时或出厂之前，提取其识别码和安全模块信息，并发送至权限控制设备；权限控制设备接收用户设备的识别码和安全模块信息，并存储于记录表上；以预设算法加密预设应用存储于用户设备上；之后，建立基于安全模块的安全传输通道。

以下的传输均经所述安全通道传输。

用户设备授权过程：提取用户设备的识别码，生成授权请求发送至权限控制设备；权限控制设备获取授权请求，根据出厂记录找到用户设备识别码对应的安全模块的相应信息；生成权限控制信息，包含授权证书，授权证书中有授权码和授权范围值，发送权限控制信息给用户设备；用户设备解析权限控制信息，得到包含授权码和授权范围值的授权证书，通过授权证书解密相应应用获取授权；并使用安全模块中的密钥加密授权证书，用户使用时通过安全模块解密；之后用户设备生成反馈信息，权限控制设备接收反馈信息，并更新保存用户设备的授权状态。

授权取消及范围调整过程：权限控制设备根据管理员的授权控制指令生成权限控制信息，若取消对用户设备已授权应用的授权，则权限控制信息为授权取消指令；若调整对用户设备已授权应用的授权范围，则权限控制信息包括授权证书更新指令以及新的授权证书；发送权限控制信息给用户设备，用户设备解析权限控制信息，根据权限控制信息控制预设应用的状态，包括已授权应用的取消授权，或根据新的授权证书进行授权范围的调整；用户设备生成反馈信息，权限控制设备接收反馈信息，并更新保存用户设备的授权状态。

本发明实施例提供的权限控制系统，在建立基于用户设备安全模块的传输通道的情况下，通过加密技术将用户设备中的预设应用进行加密，再通过所述安全传输通道传递权限控制信息，安全性高；用户设备通过安全模块存储的密钥对授权证书加密存储，进一步提高了安全性；而且根据权限控制信息的不同，授权范围也可进行控制，灵活性强。

本领域普通技术人员可以理解上述实施例的各种方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，该程序可以存储于终端设备的计算机可读存储介质中，存储介质可以包括：闪存盘、只读存储器(read-onlymemory，rom)、随机存取器(randomaccessmemory，ram)、磁盘或光盘等。

本发明实施例的方法的步骤顺序可以根据实际需要进行调整、合并或删减，且顺序不作为限制，对本发明方法实施例、系统实施例中步骤顺序的调整、步骤的合并或删减均应属于本发明的保护范围。

可以理解的是，本发明实施例的权限控制设备、用户设备实施例中的模块描述是为举例，但具体实现方式可以根据实际需要进行整合、进一步划分或删减，任何整合、划分或删减均应属于本发明保护范围。

以上对本发明实施例公开的权限控制方法、权限控制设备、用户设备及系统进行了详细的介绍，本文中应用了具体实例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想，而不是对本发明的范围的限制。同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均可能会有改变之处，亦应属本发明保护范围。