单元，包括:
[0096]安全等级设置模块，用于根据用户设置和/或系统预设规则判定当前应用是否涉及用户隐私信息，将涉及用户隐私信息的应用设置为高安全等级应用，将不涉及用户隐私信息的应用设置为低安全等级应用；
[0097]划分模块，用于将所述高安全等级应用划分为受控应用，将所述低安全等级应用划分为非受控应用。
[0098]可信列表记录模块，用于记录所述可信域单元中所述受控应用的详细信息；
[0099]进一步地，本发明实施例中，所述可信域单元和非可信域单元，包括:
[0100]应用加载单元，用于当用户进入相应区域后，根据所述区域对应的应用的详细信息对所述应用进行加载。
[0101]进一步地，本发明实施例中，当移动终端从休眠状态转换到工作态时，所述认证单元，包括:
[0102]用户交互模块，用于发送身份认证请求，并接收用户输入的身份认证信息；
[0103]认证模块，用于对所述身份认证信息与预设信息进行验证比对，若验证失败，则提示用户进行再次输入，若验证成功，则将验证结果发送给所述可信域；
[0104]记录模块，用于保存用户访问记录；
[0105]信息提示模块，用于发送系统已切换到可信域的第一提示信息。
[0106]进一步地，本发明实施例中，当用户从非可信域切换到可信域时，所述认证单元，还包括:
[0107]判断模块，用于判断在移动终端从休眠态转换到工作态后的时间阈值内，是否存在用户对可信域的访问记录，若是，则直接进入所述可信域，否则，进入所述用户交互模块，发送身份认证请求；
[0108]进一步地，所述信息提示模块，还用于发送系统已切换到可信域的第二提示信息。
[0109]进一步地，本发明实施例中，当用户从可信域切换到非可信域时，所述信息提示模块，还用于发送系统已退出可信域，切换到非可信域的第三提示信息。
[0110]进一步地，本发明实施例提供的基于应用安全等级的访问控制装置还包括显示单元，用于显示所述第一提示信息、第二提示信息和第三提示信息。独立的区域状态显示单元，把显示单元从用户界面的操作单元提取出来，封装成一个独立的单元，只接受可信域的控制，独立显示与终端区域状态相关的最关键的状态信息，杜绝了由于非可信域遭受攻击使得显示单元失效的问题，为用户提供可靠的区域状态提示。
[0111]本发明提出的基于应用安全等级的访问控制方法及装置，可以适用于任何的移动通信机制(包括GSM、CDMA, TD-SCDMA, WCDMA, LTE、集群及未来可能出现的通信体制)和操作系统(包括Android、1S、Windows Phone、Linux等)下的移动终端。本发明与操作系统无关的终端安全架构，使得基于应用的安全等级对应用统一进行访问控制的方法更加具有通用性，适用于任何的操作系统平台。
[0112]综上所述，本发明根据应用的安全等级将应用分为受控应用和非受控应用，在移动终端设置不同的安全域一一可信域和非可信域，用来分别存放不同安全等级的应用，并采用身份认证机制对用户进入可信域进行准入保护。该方法实现了受控应用与非受控应用的有效隔离，从根本上禁止了非法用户对应用的非授权访问或修改。
[0113]通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可以通过硬件实现，也可以借助软件加必要的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。
[0114]本领域技术人员可以理解附图只是一个优选实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。
[0115]本领域技术人员可以理解实施例中的装置中的模块可以按照实施例描述进行分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。
[0116]以上公开的仅为本发明的几个具体实施例，但是，本发明并非局限于此，任何本领域的技术人员能思之的变化都应落入本发明的保护范围。
【主权项】
1.一种基于应用安全等级的访问控制方法，其特征在于，所述方法包括: 将移动终端的应用程序按照预设的安全等级划分为受控应用和非受控应用； 在第一存储域存储所述受控应用，形成可信域； 在第二存储域存储所述非受控应用，形成非可信域； 采用身份认证机制对进入所述可信域的用户进行身份认证。
2.根据权利要求1所述的方法，其特征在于，所述方法还包括: 记录所述受控应用的详细信息，当用户进入可信域后，根据所述受控应用的详细信息对所述受控应用进行加载。
3.根据权利要求1所述的方法，其特征在于，当移动终端从休眠状态转换到工作态时，终端界面提示用户选择进入的区域，若用户选择进入可信域时，所述采用身份认证机制对进入所述可信域的用户进行身份认证，包括: 发送身份认证请求，并接收用户输入的身份认证信息； 对所述身份认证信息与预设信息进行验证比对，若验证失败，则提示用户进行再次输入，若验证成功，则将验证结果发送给所述可信域； 获取所述可信域内受控应用的详细信息，对所述受控应用进行加载显示； 保存用户访问记录，并发送系统已切换到可信域的第一提示信息。
4.根据权利要求1所述的方法，其特征在于，当用户从非可信域切换到可信域时，所述采用身份认证机制对进入所述可信域的用户进行身份认证，包括: 判断在移动终端从休眠态转换到工作态后的时间阈值内，是否存在用户对可信域的访问记录，若是，则直接进入所述可信域，否则，发送身份认证请求； 接收用户输入的身份认证信息； 对所述身份认证信息与预设信息进行验证比对，若验证失败，则提示用户进行再次输入，若验证成功，则将验证结果发送给所述可信域； 获取所述可信域内受控应用的详细信息，对所述受控应用进行加载显示； 保存用户访问记录，并发送系统已切换到可信域的第二提示信息。
5.根据权利要求3或4所述的方法，其特征在于，当用户从可信域切换到非可信域时，所述方法还包括: 显示所述非可信域内的非受控应用，并发送系统已退出可信域，切换到非可信域的第二提不十目息。
6.根据权利要求3-5任一项所述的方法，其特征在于，所述方法还包括: 显示所述第一提示信息、第二提示信息或第三提示信息。
7.根据权利要求1或2所述的方法，其特征在于，所述步骤:将应用按照预设的安全等级划分为受控应用和非受控应用，包括: 根据用户设置和/或系统预设规则判定当前应用是否涉及用户隐私信息，将涉及用户隐私信息的应用设置为高安全等级应用，将不涉及用户隐私信息的应用设置为低安全等级应用； 将所述高安全等级应用划分为受控应用，将所述低安全等级应用设置为非受控应用。
8.根据权利要求1-7任一项所述的方法，其特征在于，所述身份认证机制为基于口令的认证、基于数字证书的认证或基于用户生物特征的认证。
9.一种基于应用安全等级的访问控制装置，其特征在于，所述装置包括: 应用划分单元，用于将移动终端的应用程序按照预设的安全等级划分为受控应用和非受控应用； 可信域单元，用于存储并加载所述受控应用，形成可信域，并可对受控应用进行管理；非可信域单元，用于存储并加载所述非受控应用，形成非可信域，并可对非受控应用进行管理； 认证单元，用于采用身份认证机制对进入所述可信域的用户进行身份认证。 显示单元，用于通过移动终端界面告知用户，系统当前存在的区域为可信域或非可信域。
【专利摘要】本发明提供了一种基于应用安全等级的访问控制方法及装置，该方法包括：将应用按照预设的安全等级划分为受控应用和非受控应用；在第一存储域存储所述受控应用，形成可信域；在第二存储域存储所述非受控应用，形成非可信域；采用身份认证机制对进入所述可信域的用户进行身份认证。本发明通过在移动终端设置不同的安全域——可信域和非可信域，用来分别存放不同安全等级的应用，并采用身份认证机制对用户进入可信域进行准入保护，实现了受控应用与非受控应用的有效隔离，从根本上禁止了非法用户对应用的非授权访问或修改，提高了可信域中应用的访问权限，隔离了非可信域中应用的安全威胁。
【IPC分类】G06F21-31
【公开号】CN104850768
【申请号】CN201510070613
【发明人】邵洁, 朱晖, 刘国庆, 夏捷
【申请人】数据通信科学技术研究所
【公开日】2015年8月19日
【申请日】2015年2月10日