一种终端数据保护的方法及装置的制造方法
【技术领域】
[0001]本申请属于智能移动设备领域，具体地说，涉及一种终端数据保护的方法及装置。
【背景技术】
[0002]随着智能终端的成熟与普及，以手机、平板电脑为代表的个人智能终端设备逐渐进入企业领域。众多企业已经开始支持员工在个人移动设备上使用企业应用程序，员工使用个人智能终端设备办公已经成为一种无法逆转的潮流。这类被称为BY0D(Bring YourOwn Device,自带设备办公)的现象为企业带来了全新的机遇。但是，机遇常伴随着风险。移动设备由于其便携性极易丢失，每年有7000万部手机丢失，其中60%的手机包含敏感信息，而移动设备中所保存的企业敏感数据也因此面临泄密风险。Varonis在2013年发布的关于企业中BYOD的趋势调查报告显示，50 %的受访企业表示曾经丢失过储存企业重要数据的设备，其中23%的企业遭遇了数据安全事故。设备丢失不但意味着敏感商业信息的泄漏，所丢失的设备也可能会变成黑客攻击企业网络的跳板。根据调查，尽管85%的企业采取了保密措施，但仍有23 %的企业发生过泄密事件，员工的主要泄密途径除了拍照泄漏、存储在手机中进而外泄外，还有离职员工拷贝企业重要信息，从而出卖资料。员工的这些行为，导致企业重要信息无意或有意泄密，不仅为企业带来财产损失，影响企业的业务运营，还带来了商誉受损等问题。
[0003]因此，一种终端数据保护的方法亟待提出。
【发明内容】
[0004]有鉴于此，本申请所要解决的技术问题是提供一种终端数据保护的方法及装置。
[0005]本申请开了一种终端数据保护的方法，位于硬件层执行，主要包括如下步骤:
[0006]在终端中建立用于存储企业数据的工作区；
[0007]根据预设的加密算法在所述终端的TF卡对所述工作区存储数据进行加密；
[0008]当检测到数据访问请求时，获取所述数据访问请求的身份认证信息；
[0009 ]当判定所述身份认证信息通过认证，则接受所述数据访问请求。
[0010]其中，根据预设的加密算法对存储数据进行加密，具体包括:
[0011]根据终端用户的设置选择相应的加密算法，调用TF卡的软件开发工具包对所述终端保存的数据进行加密运算。
[0012]其中，获取所述数据访问请求的身份认证信息，所述身份认证信息包括:所述终端的TF卡标识、S頂卡标识、终端的设备识别号以及网络状态。
[0013]其中，当判定所述身份认证信息通过认证，则接受所述数据访问请求，进一步包括:
[0014]当检测到通话的主叫方以及被叫方电话号码存储在所述工作区的数据库中时，对所述通话过程进行加密处理。
[0015]其中，当判定所述身份认证信息通过认证，则接受所述数据访问请求，进一步包括:
[0016]当检测到短信的发件人以及收件人的电话号码存储在所述工作区的数据库中时，从密钥管理服务器获取收件人的公钥并使用TF卡对明文短信内容进行加密运算得到加密短信，以使收件人通过私钥在TF卡中进行加密短信的解密运算从而获得明文短信。
[0017]—种终端数据保护的方法，位于应用层执行，进一步包括:
[0018]对终端的系统事件进行监测，判断所述系统事件是否符合预设的工作区规则；其中，所述系统事件包括:通话事件和短信事件；
[0019]当所述系统事件符合所述工作区规则时，在工作区空间内执行与所述系统事件对应的操作，将与所述操作相对应的数据加密并存储在所述工作区空间的数据库中。
[0020]具体地，当判断所述通话的主叫方或被叫方电话号码、或短信的发件人或收件人的电话号码存储在工作区空间的数据库中时，对所述通话记录或短信加密，将此通话记录或短信存储在所述工作区空间的数据库中，并在所述终端的通话记录或短消息记录中将此通话记录或短消息删除;其中，当所述通话事件为去电事件时，在所述终端的来电记录中将此通话记录删除；提供通话选项界面，由用户选择当来电的主叫方或被叫方电话号码存储在工作区空间的数据库中时，是否删除所述终端的通话记录。
[0021]具体地，提供邮件规则选项界面，由用户设置只能在工作区或使用工作区应用接收的邮箱账号，并将所述邮箱账号存储在所述工作区空间的数据库中；
[0022]当判断所述系统事件为接收邮件、并且发件人的邮箱账号存储在工作区空间的数据库中时，将邮件内容以及下载的邮件附件加密，并将邮件内容以及下载的邮件的附件存储在所述工作区空间的数据库中。
[0023]—种终端数据保护的方法，位于操作系统层执行，进一步包括:
[0024]接收针对应用自由安装列表中列出的应用程序发起的安装请求，所述应用自由安装列表从服务器获取；
[0025]当确认配置有应用黑名单时，判断待安装的应用程序是否在所述应用黑名单中，如果是，则禁止所述应用程序的安装，否则，对所述应用程序进行安装；
[0026]当确认配置有应用白名单时，判断待安装的应用程序是否在所述应用白名单中，如果是，则对所述应用程序进行安装，否则，禁止所述应用软件的安装;其中，所述应用黑名单或应用白名单由服务器配置。
[0027]其中，所述对所述应用程序进行安装，具体包括:
[0028]根据所述安装请求从服务器处下载所述应用程序的安装包；修改所述安装包的Manifest文件，将应用程序的入口强制变更至工作区。
[0029]其中，接收到所述服务器配置的应用黑名单时，根据应用黑名单中列出的应用程序的名称及版本号检测个人区内存空间中是否安装有所述应用黑名单中列出的应用程序，并针对检测到的应用程序发出所述应用程序禁止安装的告警信息；
[0030]接收到所述服务器配置的应用白名单时，根据应用白名单中列出的应用程序的名称及版本号检测个人区内存空间中是否安装有所述应用白名单中未列出的应用程序;并针对检测到的应用程序发出所述应用程序禁止安装的告警信息。
[0031]所述方法还包括:在所述应用程序的安装包中添加卸载监听代码，用以所述终端监听到所述数据保护方法对应的装置卸载后，清除所述工作区内目标的应用程序的数据。
[0032]所述方法还包括:在所述应用程序的安装包中添加与服务器通信代码，用以所述终端在接收到由服务器端发送的数据清除命令时，清除所述工作区内相应的应用程序的数据。
[0033]所述方法还包括:在所述应用程序的安装包中添加解密与加密代码，用以所述终端对工作区读写的数据进行加密以及解密。
[0034]所述方法还包括:在所述应用程序的安装包中隔离代码，用以所述终端拦截工作区内应用程序的开启行为，并将开启请求发送至服务器，由服务器判断应用程序的开启方式。
[0035]—种终端数据保护的方法，位于应用层执行，所述方法进一步包括:
[0036]接收服务器下发的所述移动端对应的基于地理位置的安全策略信息；其中，所述安全策略包括:在指定的地理区域范围内，关闭终端中至少一个特定的系统功能;在指定的地理区域范围内，禁止终端中至少一个特定的应用程序的启动和运行。
[0037]周期性查看自身是否在所述基于地理位置的安全策略信息指定的地理区域范围内；
[0038]若在，则执行所述安全策略。
[0039]其中，当所述安全策略为:
[0040]在指定的区域内，禁止终端中至少一个特定的应用程序的启动和运行时，所述安全策略包括:指定的地理区范围信息、允许和不允许启动和运行的应用的安全类别信息;所述执行所述安全策略，具体包括:
[0041 ]向服务器发送查询本地所有应用的私有属性信息和公有属性信息；
[0042]并从获取到的各应用的私有属性信息和公有属性信息中分别查找对应的安全类别?目息;
[0043]将查找到的每个应用私有属性信息和公有属性信息中的安全类别信息的组合，作为该应用的安全类别信息；
[0044]根据每个应用的安全类别信息，确定在所述指定区域内，是否允许该应用的启动和运行。
[0045]—种终端数据保护的方法，位于通信层执行，进一步包括:
[0046]采用VPN建立专用网络，当所述工作区的应用程序进行网络访问时，将VPN服务器和移动端之间的通讯数据进行加密处理;和/或
[0047]当所述工作区的应用程序访问外网时，对所述外网的URL进行检测；
[0048]当判定所述外网的URL存在访问风险，则禁止应用程序访问，并将所述外网URL添加至风险列表以用于后续判断。
[0049]本申请开了一种终端数据保护的装置，所述装置位于硬件层，主要包括如下模块:
[0050]建立模块，用于在终端中建立用于存储企业数据的工作区；
[0051 ]加密模块，用于根据预设的加密算法在所述终端的TF卡对所述工作区存储数据进行加密；
[0052]认证模块，用于当检测到数据访问请求时，获取所述数据访问请求的身份认证信息;
[0053]访问控制模块，用于当判定所述身份认证信息通过认证，则接受所述数据访问请求。
[0054]其中，所述加密模块，具体用于:根据终端用户的设置选择相应的加密算法，调用TF卡的软件开发工具包对所述终端保存的数据进行加密运算。
[0055]所述身份认证信息包括:所述终端的TF卡标识、S頂卡标识、终端的设备识别号以及网络状态。
[0056]所述访问控制模块进一步用于:当检测到通话的主叫方以及被叫方电话号码存储在所述工作区的数据库中时，对所述通话过程进行加密处理。
[0057]所述访问控制模块进一步用于:
[0058]当检测到短信的发件人以及收件人的电话号码存储在所述工作区的数据库中时，从密钥管理服务器获取收件人的公钥并使用TF卡对明文短信内容进行加密运算得到加密短信，以使收件人通过私钥在TF卡中进行加密短信的解密运算从而获得明文短信。
[0059]—种终端数据保护的装置，所述装置位于应用层，进一步包括:
[0060]监测模块，用于对终端的系统事件进行监测，判断所述系统事件是否符合预设的工作区规则;其中，所述系统事件包括:通话事件和短信事件；
[0061]执行模块，用于当所述系统事件符合所述工作区规则时，在工作区空间内执行与所述系统事件对应的操作，将与所述操作相对应的数据加密并存储在所述工作区空间的数据库中。
[0062]其中，所述执行模块进一步包括通话和短信执行模块，所述通话和短信执行模块用于:
[0063]当判断所述通话的主叫方或被叫方电话号码、或短信的发件人或收件人的电话号码存储在工作区空间的数据库中时，对所述通话记录或短信加密，将此通话记录或短信存储在所述工作区空间的数据库中，并在所述终端的通话记录或短消息记录中将此通话记录或短消息删除;其中，当所述通话事件为去电事件时，在所述终端的来电记录中将此通话记录删除；提供通话选项界面，由用户选择当来电的主叫方或被叫方电话号码存储在工作区空间的数据库中时，是否删除所述终端的通话记录。
[0064]其中，所述执行模块进一步包括用户选项模块和邮件执行模块，所述用户选项模块用于提供邮件规则选项界面，由用户设置只能在工作区或使用工作区应用接收的邮箱账号，并将所述邮箱账号存储在所述工作区空间的数据库中；
[0065]所述邮件执行模块用于当判断所述系统事件为接收邮件、并且发件人的邮箱账号存储在工作区空间的数据库中时，将邮件内容以及下载