一种移动终端信息安全防护系统和方法
【专利摘要】本发明提供了一种移动终端信息安全防护系统和方法。该系统包括监控模块、文件加密模块、文件解密模块、信息访问控制模块、文件访问控制模块和日志记录模块。所述系统随着移动终端系统启动时自动启动。监控模块实时监控移动终端系统访问信息系统时的操作。文件加密模块将从信息系统中保存出来的文件进行加密处理。文件解密模块对指定的文件解密操作，成功解密后打开文件。信息访问控制模块实现对移动终端访问信息系统时的操作进行控制。文件访问控制模块实现对解密后的文件对象的访问操作进行权限控制。日志记录模块实现对所有操作进行日志记录。本发明所述的系统和方法，可对以文件为信息存储方式的移动终端应用提供加密防护，防护全面、可扩展性强、安全性高、系统资源占用率、用户体验好。
【专利说明】一种移动终端信息安全防护系统和方法
【技术领域】
[0001]本发明涉及一种移动终端信息安全防护系统和方法，基于企业信息化系统在移动终端上应用时，通过使用数据加密和权限控制的技术，可实现对信息化系统中信息数据的防护，以避免通过移动终端进行信息泄露的可能。
[0002]缩略语及名词解释:
[0003]AP1:应用程序接口
[0004]PIN:全称Personal Identification Number,就是移动终端SIM卡的个人识别密码。
[0005]SD卡:全称Secure Digital Memory Card,中文翻译为安全数码卡,是一种基于半导体快闪记忆器的存储设备，它被广泛地于便携式装置上使用，如手机、数码相机等。
【背景技术】
[0006]随着企业信息化的不断发展，企业通过构建信息化系统，方便地为企业用户提供大量的信息数据，其中不乏有企业合同信息、企业客户信息等敏感的信息数据。在使用这些信息化系统时，用户通过计算机或智能移动终端(包括智能手机和平板电脑)接入信息化系统，并获取信息数据。信息化系统能够在系统内部通过用户帐户管理、用户权限管理，防范信息的泄漏；然而这些信息一旦到达用户访问终端(计算机或智能移动终端)，则不再受控于信息化系统的保护，例如用户可通过屏幕复制获取显示在访问终端屏幕上的信息数据，用户可以通过合法的数据下载功能，将信息数据下载至访问终端上存储，等等。因此由于访问终端的接入所引发的信息泄露事件频频发生。对于计算机上的信息泄露防护目前已比较成熟，然而在智能移动终端上仍无有效地防护手段和方法。
[0007]现有的手机安全软件，都是基于数据存储安全实现，对于访问信息化系统所面临的信息泄露问题，存在如下严重缺失:
[0008]1、对访问信息化系统时的操作无法进行管理。智能移动终端在访问信息化系统时，信息数据通过网络传输到智能移动终端后，并不以文件方式存储，而是直接通过应用软件显示到屏幕上，此时用户可进行例如屏幕拷贝、内容的复制粘贴等手段将信息数据获取。
[0009]2、对从信息化系统中下载、或导出的数据文件仅进行加密处理，能够有效地防止因丢失造成的信息泄露。然而，因为无法配合信息系统中的权限管理，不能有效地限制下载者的使用权限，可能会造成下载者的越权使用所导致的信息泄露。
【发明内容】
[0010]本发明提供了一种移动终端信息安全防护系统和方法，基于企业信息化系统在移动终端上应用时，通过加解密技术和访问控制技术，可实现对信息化系统中信息数据的防护，以避免通过移动终端进行信息泄露的可能。
[0011]本发明所述的信息系统在移动终端上的安全防护系统，可从三个层面防护当智能移动终端访问信息系统时的安全。[0012]1.对访问信息化系统时的操作进行管理和控制。防止用户进行屏幕复制、浏览的信息数据复制粘贴等操作。
[0013]2.对从信息化系统中下载、或导出的数据文件进行自动加密处理。
[0014]3.对从信息化系统中下载、或导出的数据文件，在使用时进行权限管理。继承信息系统中对用户的权限管理，防止用户滥用、越权等造成的信息泄露。
[0015]图1为本发明所述的移动终端信息安全防护系统，其中包括监控模块、文件加密模块、文件解密模块、信息访问控制模块、文件访问控制模块和日志记录模块。该系统随着移动终系统启动时自动启动。
[0016]监控模块实时监控移动终端系统访问信息系统时的操作，并根据操作类型向下层的文件加密模块、文件解密模块或信息访问控制模块发送指令。监控模块实时监控的操作类型包括:保存文件操作、打开文件操作、复制粘贴操作、屏幕拷贝操作和打印操作。当保存文件操作发生时，监控模块将通知文件加密模块；当复制粘贴操作、屏幕拷贝操作和打印操作发生时，监控模块将通知信息访问控制模块；当访问该系统所加密的文件时，监控模块将通知文件解密模块。
[0017]文件加密模块在接收到监控模块或文件访问控制模块发送的指令后，将从信息系统中保存出来的文件进行加密处理，并通知日志记录模块将文件加密保存操作记录至日志文件中。
[0018]文件解密模块根据监控模块传送的指令，对指令中指定的文件解密操作，成功解密并打开文件后，通知文件访问控制模块，并通知日志记录模块将解密操作记录至日志文件中。
[0019]信息访问控制模块位于移动操作系统的内核层，通过接收从监控模块传送的指令，实现对移动终端访问信息系统时的操作进行控制，并将通知日志记录模块将操作记录至日志文件中。信息访问控制模块所控制的操作包括对访问到的信息数据进行屏幕复制、内容复制粘贴、内容打印操作。
[0020]文件访问控制模块位于移动操作系统的内核层，通过接收从文件解密模块传送的指令，实现对解密后的文件对象的访问操作进行权限控制，当监控到文件关闭操作时，文件访问控制模块将文件信息通知给文件加密模块，并将通知日志记录模块将文件对象的访问操作记录至日志文件中。文件访问控制模块所控制的访问操作包括对文件对象的打开、创建、删除、改名、复制、移动、保存、属性设置操作。文件访问控制模块对文件进行权限控制包括只读、隐藏、禁止删除、禁止打开、禁止拷贝、禁止非法应用程序访问一个已经被合法应用程序打开的文件。
[0021 ]日志记录模块根据文件加密模块、文件解密模块、文件访问控制模块和信息访问控制模块发来的指令，实现对所有操作进行日志记录。
[0022]本发明还提供一种移动终端信息安全防护方法，它采用本发明所述的移动终端信息安全防护系统，系统随着移动终端的操作系统启动而自动启动，监控模块实时监控移动终端系统访问信息系统时的保存文件操作、复制粘贴操作、屏幕拷贝操作和打印操作，当保存文件操作发生时，监控模块将通知文件加密模块对文件进行加密操作，并通知日志记录模块记录加密日志；当复制粘贴操作、屏幕拷贝操作和打印操作发生时，监控模块将通知信息访问控制模块，信息访问控制模块实现对移动终端访问信息系统时的操作进行控制，并通知日志记录模块将操作记录至日志文件中；在移动终端中，当被系统加密的文件被打开时，打开操作将会被监控模块监控到，监控模块会通知文件解密模块将加密文件解密；文件解密模块在成功解密并打开文件后，向文件访问控制模块发送指令保护被打开的文件，并通知日志记录模块记录解密日志；文件访问日志记录模块根据文件解密模块传送的指令，实时监视文件的所有操作，并进行日志记录；当文件访问控制模块监视到文件关闭操作时，将通知文件加密模块，文件加密模块对文件进行加密操作。
【具体实施方式】:
[0023]以AniOid智能手机为例说明本发明的应用。
[0024]Android 系统分为四个层次:Applications (应用层)、ApplicationFrameworks (应用框架层)、Libraries and Android Runtime (类库和实时运行库层)、Linux Kernel (Linux 内核层)。
[0025]1、Applications (应用层)
[0026]Android将预装一组核心应用程序，包括email客户端、短信服务、日历日程、地图服务、浏览器、联系人和其他应用程序。所有应用程序都是Java编程语言编写。
[0027]2、Application Frameworks (应用框架层)
[0028]Anroid系统设计该层的初衷是:简化组件复用机制；任何应用都能发布自己的功能，这些功能又可以被任何其他应用使用(当然要受来自框架的强制安全规范的约束)。和复用机制相同，框架允许组件的更换。
[0029]3、Libraries and Android Runtime (类库和实时运行库层)
[0030]Android包含一套C/C++库，Android系统的各式组件都在使用。这些功能通过Android应用框架给开发人员。
[0031]本发明所述的监控模块、文件加密模块、文件解密模块、信息访问控制模块、文件访问控制模块和日志记录模块均位于该层。
[0032]监控模块、信息访问控制模块、文件访问控制模块和文件访问日志记录模块均采用Hook系统调用方式，通过更改操作系统工作流程，实现对文件的访问控制和日志记录。信息访问控制模块、文件访问控制模块和文件访问日志记录模块具体Hook操作系统的系统调用:0pen、Read、Write、Delete和Move,文件访问控制模块通过逻辑判断是否允许文件访问操作来继续或阻断系统调用，文件访问日志记录模块则在允许文件访问操作时进行日志记录。信息访问控制模块、文件访问控制模块和文件访问日志记录模块挂钩子的方法采用成熟的kernel inline hook技术，即通过写入jmp或push ret等指令跳转到新的内核函数中，从而达到修改或过滤的功能。
[0033]文件加密模块和文件解密模块作为系统组件，以动态连接库的方式提供被调用接口，供其它模块调用。
[0034]4、Linux Kernel (Linux 内核层)
[0035]Android依赖Linux 2.6版，提供核心系统服务:安全、内存管理、进程管理、网络组、驱动模型。内核部分还相当于一个介于硬件层和系统中其他软件组之间的一个抽象层次。【专利附图】
【附图说明】
[0036]图1为本发明所述的移动终端信息安全防护系统示意图。
【权利要求】
1.一种移动终端信息安全防护系统，其特征在于该系统运行在移动操作系统上，为在移动终端上访问信息系统时提供安全保护；包括监控模块、文件加密模块、文件解密模块、信息访问控制模块、文件访问控制模块和日志记录模块。其中: A.监控模块实时监控移动终端系统访问信息系统时的操作，并根据操作类型向下层的文件加密模块、文件解密模块或信息访问控制模块发送指令； B.文件加密模块在接收到监控模块或文件访问控制模块发送的指令后，将从信息系统中保存出来的文件进行加密处理，并通知日志记录模块将文件加密保存操作记录至日志文件中； C.文件解密模块根据监控模块传送的指令，对指令中指定的文件解密操作，成功解密并打开文件后，通知文件访问控制模块，并通知日志记录模块将解密操作记录至日志文件中； D.信息访问控制模块位于移动操作系统的内核层，通过接收从监控模块传送的指令，实现对移动终端访问信息系统时的操作进行控制，并将通知日志记录模块将操作记录至日志文件中； E.文件访问控制模块位于移动操作系统的内核层，通过接收从文件解密模块传送的指令，实现对解密后的文件对象的访问操作进行权限控制，当监控到文件关闭操作时，文件访问控制模块将文件信息通知给文件加密模块，并将通知日志记录模块将文件对象的访问操作记录至日志文件中； F.日志记录模块根据文件加密模块、文件解密模块、文件访问控制模块和信息访问控制模块发来的指令，实现对所有操作进行日志记录。
2.如权利要求1所述的移动终端信息安全防护系统，其特征在于，该系统随着移动终端系统启动时自动启动。
3.如权利要求1所述的移动终端信息安全防护系统，其特征在于，监控模块实时监控的操作类型包括:保存文件操作、打开文件操作、复制粘贴操作、屏幕拷贝操作和打印操作。当保存文件操作发生时，监控模块将通知文件加密模块；当复制粘贴操作、屏幕拷贝操作和打印操作发生时，监控模块将通知信息访问控制模块；当访问该系统所加密的文件时，监控模块将通知文件解密模块。
4.如权利要求1所述的移动终端信息安全防护系统，其特征在于，信息访问控制模块所控制的操作包括对访问到的信息数据进行屏幕复制、内容复制粘贴、内容打印操作。
5.如权利要求1所述的移动终端信息安全防护系统，其特征在于，文件访问控制模块所控制的访问操作包括对文件对象的打开、创建、删除、改名、复制、移动、保存、属性设置操作。
6.如权利要求1所述的移动终端信息安全防护系统，其特征在于，文件访问控制模块对文件进行权限控制包括只读、隐藏、禁止删除、禁止打开、禁止拷贝、禁止非法应用程序访问一个已经被合法应用程序打开的文件。
7.一种移动终端信息安全护方法，其特征在于采用权利要求1-6任一所述之移动终端信息安全防护系统，系统随着移动终端的操作系统启动而自动启动，监控模块实时监控移动终端系统访问信息系统时的保存文件操作、复制粘贴操作、屏幕拷贝操作和打印操作，当保存文件操作发生时，监控模块将通知文件加密模块对文件进行加密操作，并通知日志记录模块记录加密日志；当复制粘贴操作、屏幕拷贝操作和打印操作发生时，监控模块将通知信息访问控制模块，信息访问控制模块实现对移动终端访问信息系统时的操作进行控制，并通知日志记录模块将操作记录至日志文件中；在移动终端中，当被系统加密的文件被打开时，打开操作将会被监控模块监控到，监控模块会通知文件解密模块将加密文件解密；文件解密模块在成功解密并打开文件后，向文件访问控制模块发送指令保护被打开的文件，并通知日志记录模块记录解密日志；文件访问日志 记录模块根据文件解密模块传送的指令，实时监视文件的所有操作，并进行日志记录；当文件访问控制模块监视到文件关闭操作时，将通知文件加密模块，文件加密模块对文件进行加密操作。
【文档编号】G06F11/34GK103632107SQ201210300624
【公开日】2014年3月12日 申请日期:2012年8月23日 优先权日:2012年8月23日
【发明者】王晓波, 周亮 申请人:苏州慧盾信息安全科技有限公司