访问控制方法及装置的制造方法
【技术领域】
[0001]本发明涉及通信领域，具体而言，涉及一种访问控制方法及装置。
【背景技术】
[0002]随着智能手机上的应用越来越多，很多应用都需要访问手机上的用户数据，比如社交应用需要访问通讯录、导航应用需要访问手机位置、鉴权类软件需要访问手机标识，但是往往用户并没有意识到手机的这些信息被应用读取，而且也常常发生某些应用访问一些与自身并无关联的数据，这就为信息泄露提供了机会。
[0003]目前业内对于应用访问数据的权限控制，基本采用下述方式:
[0004]A.检查应用对私密权限的访问情况，如:拨打电话、发送消息、读取联系人、读取消息、获取GPS位置、录音、拍照摄像、手机识别信息等；
[0005]B.用户对上述私密权限是否允许应用访问，进行允许或禁止的控制。
[0006]采用这种方式进行权限控制，仅仅对上述特定类别权限和数据访问进行了控制，具有局限性，不能对任意敏感的数据进行安全保护。
[0007]针对相关技术中访问数据的权限控制方式具有局限性的问题，目前尚未提出有效的解决方案。
【发明内容】
[0008]针对相关技术中访问数据的权限控制方式具有局限性的问题，本发明提供了一种访问控制方法及装置，以至少解决上述问题。
[0009]根据本发明的一个方面，提供了一种访问控制方法，包括:获取访问指定数据的应用的身份识别密钥，其中，所述身份识别密钥根据所述应用的标识和从寄存器或独立的安全芯片中读取的硬件密钥生成；根据所述身份识别密钥判断所述应用是否合法，并根据判断结果控制所述应用对所述指定数据的访问。
[0010]优选地，根据所述身份识别密钥判断所述应用是否合法包括:判断所述身份识别密钥对应的应用是否属于预设的应用白名单中，如果是，则确定所述应用合法。
[0011]优选地，在判断所述身份识别密钥对应的应用是否属于预设的应用白名单中之前，还包括:从所述寄存器或独立的安全芯片中读取RSA公钥；用所述RSA公钥校验使用RSA私钥签名后的所述应用白名单对应的白名单数据，并用aes_CbC_128解密所述白名单数据得到所述应用白名单。
[0012]优选地，在从所述寄存器或独立的安全芯片中读取RSA公钥之前，还包括:对所述应用白名单经过aes_CbC_128加密，并用RSA私钥签名得到所述白名单数据；将与所述RSA私钥对应的RSA公钥保存在所述寄存器或独立的安全芯片中。
[0013]优选地，所述方法还包括:对应用客户端与服务器的交互信令使用服务器的RSA公钥进行认证，其中，所述服务器的公钥保存在所述寄存器或独立的安全芯片中，所述公钥对应的服务器的私钥保存在所述服务器一侧。
[0014]根据本发明的另一方面，提供了一种访问控制装置，包括:获取模块，用于获取访问指定数据的应用的身份识别密钥，其中，所述身份识别密钥根据所述应用的标识和从寄存器或独立的安全芯片中读取的硬件密钥生成；控制模块，用于根据所述身份识别密钥判断所述应用是否合法，并根据判断结果控制所述应用对所述指定数据的访问。
[0015]优选地，所述控制模块包括:判断单元，用于判断所述身份识别密钥对应的应用是否属于预设的应用白名单中，如果是，则确定所述应用合法。
[0016]优选地，所述装置还包括:读取模块，用于从所述寄存器或独立的安全芯片中读取RSA公钥；解密模块，用于用所述RSA公钥校验使用RSA私钥签名后的所述应用白名单对应的白名单数据，并用aes_CbC_l28解密所述白名单数据得到所述应用白名单。
[0017]优选地，所述装置还包括:加密模块，用于对所述应用白名单经过aes_CbC_128加密，并用RSA私钥签名得到所述白名单数据；保存模块，用于将与所述RSA私钥对应的RSA公钥保存在所述寄存器或独立的安全芯片中。
[0018]优选地，所述装置还包括:认证模块，用于对应用客户端与服务器的交互信令使用服务器的RSA公钥进行认证，其中，所述服务器的公钥保存在所述寄存器或独立的安全芯片中，所述公钥对应的服务器的私钥保存在所述服务器一侧。
[0019]通过本发明，采用获取访问指定数据的应用的身份识别密钥，其中，所述身份识别密钥根据所述应用的标识和从寄存器或独立的安全芯片中读取的硬件密钥生成；根据所述身份识别密钥判断所述应用是否合法，并根据判断结果控制所述应用对所述指定数据的访问的方式，解决了相关技术中访问数据的权限控制方式具有局限性的问题，使得对访问数据的权限控制更加灵活多样，并且安全性更高。
【附图说明】
[0020]此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中:
[0021]图1是根据本发明实施例的访问控制方法的流程图；
[0022]图2是根据本发明实施例的访问控制装置的结构框图；
[0023]图3是根据本发明优选实施例的应用软件的系统结构示意图；
[0024]图4是根据本发明优选实施例的应用身份认证流程图；
[0025]图5是根据本发明优选实施例的应用白名单的验证流程示意图；
[0026]图6是根据本发明优选实施例的应用客户端与服务器信令加密流程示意图。
【具体实施方式】
[0027]下文中将参考附图并结合实施例来详细说明本发明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。
[0028]发明人发现，采用相关技术中的方式进行权限控制，会存在以下缺陷:首先，这种控制方式仅仅对上述特定类别权限和数据访问进行了控制，具有局限性，不能对任意敏感的数据进行安全保护；其次，这种控制方式并没有从应用身份认证方面进行访问控制，更没有白名单机制，没有完整的解决方案；此外，对于应用客户端和服务器之间的指令传输，也没有进行认证保护。
[0029]基于上述考虑，在本实施例中，提供了一种访问控制方法，图1是根据本发明实施例的访问控制方法的流程图，如图1所示，该方法包括如下步骤:
[0030]步骤S102，获取访问指定数据的应用的身份识别密钥，其中，所述身份识别密钥根据所述应用的标识和从寄存器或独立的安全芯片中读取的硬件密钥生成；
[0031]步骤S104，根据所述身份识别密钥判断所述应用是否合法，并根据判断结果控制所述应用对所述指定数据的访问。
[0032]本实施例通过上述步骤，使用应用的标识和从寄存器或独立的安全芯片中读取的硬件密钥生产应用的身份识别密钥，根据该身份识别密钥判断应用是否合法，并根据判断结果控制应用对指定数据的访问，使得访问控制方式由针对应用进行权限控制变成了根据受控的指定数据进行权限控制，并且将权限控制与硬件密钥关联，解决了相关技术中访问数据的权限控制方式具有局限性的问题，使得对访问数据的权限控制更加灵活多样，并且安全性更高。
[0033]优选地，在根据所述身份识别密钥判断所述应用是否合法时，可以采用白名单的方式进行判断，具体地，可以判断所述身份识别密钥对应的应用是否属于预设的应用白名单中，如果是，则确定所述应用合法。
[0034]优选地，该白名单也可以使用硬件密钥进行签名及加密，具体地，可以对所述应用白名单经过aes_CbC_128加密，并用RSA私钥签名得到所述白名单数据；将与所述RSA私钥对应的RSA公钥保存在所述寄存器或独立的安全芯片中。对应地，在需要使用上述白名单时，可以在判断所述身份识别密钥对应的应用是否属于预设的应用白名单中之前，从所述寄存器或独立的安全芯片中读取RSA公钥；用所述RSA公钥校验使用RSA私钥签名后的所述应用白名单对应的白名单数据，并用aes_CbC_128解密所述白名单数据得到所述应用白名单。
[0035]优选地，还可以使用上述硬件密钥对应用客户端与服务器之间的交互信令进行签名及加密，具体如下:对应用客户端与服务器的交互信令使用服务器的RSA公钥进行认证，其中，所述服务器的公钥保存在所述寄存器或独立的安全芯片中，所述公钥对应的服务器的私钥保存在所述服务器一侧。
[0036]对应于上述方法，在本实施例中还提供了一种访问控制装置，该装置用于实现上述实施例及优选实施方式，已经进行过说明的不再赘述。如以下所使用的，术语“模块”可以实现预定功能的软件和/或硬件的组合。尽管以下实施例所描述的装置较佳地以软件来实现，但是硬件，或者软件和硬件的组合的实现也是可能并被构想的。
[0037]图2是根据本发明实施例的访问控制装置的结构框图，如图2所示，该装置包括获取模块22和控制模块24，下面对各个模块进行详细说明:
[0038]获取模块22，用于获取访问指定数据的应用的身份识别密钥，其中，所述身份识别密钥根据所述应用的标识和从寄存器或独立的安全芯片中读取的硬件密钥生成；控制模块24，与获取模块22相连，用于根据所述身份识别密钥判断所述应用是否合法，并根据判断结果控制所述应用对所述指定数据的访问。
[0039]优选地，所述控制模块24可以包括:判断单元，用于判断所述身份识别密钥对应的应用是否属于预设的应用白名单中，如果是，则确定所述应用合法。
[0040]优选地，所述装置还可以包括:读取模块，与控制模块24相连，用于从所述寄存器或独立的安全芯片中读取RSA公钥；解密模块，与读取模块相连，用于用所述RSA公钥校验使用RSA私钥签名后的所述应用白名单对应的白名单数据，并用aes_CbC_128解密所述白名单数据得到所述应用白名单。
[0041]优选地，所述装置还可以包括:加密模块，用于对所述应用白名单经过aes_cbc_128加密，并用RSA私钥签名得到所述白名单数据；保存模块，与读取模块相连，用于将与所述RSA私钥对应的RSA公钥保存在所述寄存器或独立的安全芯片中。
[0042]优选地，所述装置还包括:认证模块，用于对应用客户端与服务器的交互信令使用服务器的RSA公钥进行认证，其中，所述服务器的公钥保存在所述寄存器或独立的安全芯片中，所述公钥对应的服务器的私钥保存在所述服务器一侧。
[0043]下面结合优选实施例进行说明，以下优选实施例结合了上述实施例及其优选实施方式。
[0044]考虑到智能手机上的应用越来越多，很多应用都需要访