[发明专利]一种面向安卓平台的移动应用安全防护方法

说明书

本发明公开了一种面向安卓平台的移动应用安全防护方法，包括以下步骤：(1)构造Android方法调用API与其访问权限之间的映射关系，并识别出不同Android平台所有的安全关键的API；(2)识别出Android应用的所有安全关键的API；(3)拦截步骤(2)中识别出来的安全关键的API的调用，注入防护策略，产生新的可部署APK安装文件，实现面向安卓平台的移动应用安全防护。本发明的为不可信的安卓平台上的移动应用提供一种运行时安全防护方法，该方法能够扩展Android应用安装时的粗粒度授权机制，提供一种运行时的细粒度授权机制，应对包括用户隐私数据泄露，恶意提权等在内的多种攻击方式。

技术领域

本发明属于应用程序安全防护技术领域，具体涉及一种面向安卓平台的移动应用安全防护方法。

背景技术

随着智能终端的日益普及、网络宽带化的高速发展，以移动应用与服务不断丰富为标志的移动互联网时代为人们带来了更便捷与智能的数字生活。然而，兼具开放性与灵活性的终端系统及其应用中潜在的信息安全问题可能对其电力用户、企业、承载网络等各个环节造成影响，甚至危及国家安全与社会稳定，阻碍其健康发展。

安卓操作系统由美国Google公司发布，因其开源性质已被广泛应用于手机、平板电脑等多种智能移动设备中。随着Android系统不断发展，其应用数量连年增长的同时，基于Android系统开发的恶意软件、病毒和木马等，窃取隐私、恶意扣费、破坏系统等问题引起了广泛关注。与同为智能终端操作系统的苹果IOS相比，安卓应用的发布缺乏严格的软件审核与自律机制，某些热门软件被植入恶意代码与插件，重新打包上传到第三方软件市场供用户下载的现象层出不穷。恶意开发者或者某些第三方软件市场利用法律监管对此约束的不足，以在应用中静默执行窃取用户个人隐私、发送垃圾短信、甚至恶意扣费等方式谋取利益，使得平台上的恶意软件肆虐发展。根据国家互联网应急中心的数据，2015年，移动互联网恶意应用超过148万，其中超过99％针对安卓平台，恶意开发者通过对市场中知名应用进行代码层面的破解，再对其中代码进行修改，最后重新打包上传至应用市场供用户下载传播。其中以植入恶意扣费代码的篡改以超过62％比例居首，超过300家应用商店存在此类隐患。由于目前第三方应用市场数量庞大，无法强有力的进行监管，加上恶意应用真伪难辨，有些恶意应用表面上以破解版本作为诱饵吸引玩家下载，实际上还进行扣费病毒植入、窃取隐私等恶意操作。因此，如何针对移动应用提供安全防护机制成为热点研究方向。

针对从第3方应用市场下载的应用程序安装文件，APK文件，虽然我们有恶意软件检测工具，但是同样不能保证每个APK文件的恶意性验证都是正确的。因为每一种恶意软件检测工具都有其局限性，没有100％的准确率。因此，我们不得不将这些经过检测的应用仍然视为不可信应用，不得不为其提供一种安全防护措施以确保其不能执行方法操作，不能侵犯使用者的隐私，不能谋取非法利益。