[发明专利]一种基于TrustZone的共享库安全隔离方法及系统

权利要求书

1.一种基于TrustZone的共享库安全隔离系统，其特征在于，所述系统至少包括：沙盒环境构建器、库控制器和拦截器，

沙盒环境构建器，在普通域中动态构建与Rich OS隔离的沙盒，

拦截器，基于进程间堆栈检测的方式拦截相对应的系统调用信息和/或Androidframework APIs，

库控制器，基于拦截的所述系统调用信息和/或Android framework APIs进行分析，重定向库函数至沙盒，并且对所述沙盒中库函数的调用状态进行切换并设置库权限。

2.如权利要求1所述的基于TrustZone的共享库安全隔离系统，其特征在于，

所述拦截器对非沙盒中的库函数调用行为进行检测，和/或

所述拦截器获取普通域中程序库的物理地址信息并调用库控制器对所述物理地址信息进行重定向。

3.如权利要求2所述的基于TrustZone的共享库安全隔离系统，其特征在于，

所述沙盒环境构建器基于拦截器监测的异常信息在普通域构建所述沙盒。

4.如权利要求3所述的基于TrustZone的共享库安全隔离系统，其特征在于，所述库控制器设置库权限的方式包括：

基于至少一个应用程序的启动信息创建对应的特定线程和/或可信基，

所述特定线程基于敏感资源请求在framework层和/或内核层进行堆栈权限检查，

基于所述应用程序的访问请求以遍历所述访问请求涉及的程序的方式确定所述应用程序的合法权限。

5.如权利要求4所述的基于TrustZone的共享库安全隔离系统，其特征在于，

所述库控制器基于所述拦截器拦截的系统调用信息与访问控制列表白名单的匹配结果确定应用程序的合法权限。

6.如权利要求5所述的基于TrustZone的共享库安全隔离系统，其特征在于，

所述拦截器基于应用程序或库运行的行为信息判断拦截的系统调用信息的调用模式。

7.如权利要求6所述的基于TrustZone的共享库安全隔离系统，其特征在于，

所述库控制器基于所述拦截器判断的库函数调用模式将对应库的起始地址重定向至所述沙盒中，其中，

所述库控制器用于重定向所述沙盒的切换代码。

8.如权利要求6所述的基于TrustZone的共享库安全隔离系统，其特征在于，

所述库控制器基于所述拦截器判断的回调函数调用模式调整所述沙盒中的库函数指针。

9.一种基于TrustZone的共享库安全隔离方法，其特征在于，所述方法至少包括：

在普通域中动态构建与Rich OS隔离的沙盒，

基于进程间堆栈检测的方式拦截相对应的系统调用信息和/或Android frameworkAPIs，

基于拦截的所述系统调用信息和/或Android framework APIs进行分析，重定向库函数至沙盒，并且对所述沙盒中库函数的调用状态进行切换并设置库权限。

10.如权利要求9所述的基于TrustZone的共享库安全隔离方法，其特征在于，所述方法还包括：

对非沙盒中的库函数调用行为进行检测，和/或

获取普通域中程序库的物理地址信息并调用库控制器对所述物理地址信息进行重定向。