CN103246846A

CN103246846A - 检测定制rom的安全性的方法和装置

Info

Publication number: CN103246846A
Application number: CN2013101444594A
Authority: CN
Inventors: 张军; 陈继; 刘敏; 安卫亚
Original assignee: Beijing Netqin Technology Co Ltd
Current assignee: Beijing Netqin Technology Co Ltd
Priority date: 2013-04-24
Filing date: 2013-04-24
Publication date: 2013-08-14

Abstract

本发明提供了在移动终端中检测定制***升级固件的安全性的方法、装置和对应的***。该方法包括：提取***升级固件的特征；将提取的***升级固件的特征发送给云端，以与云端特征库进行比较；以及根据云端返回的比较结果，执行处理。根据本发明的方法可以提供云端ROM特征库。用户在移动终端上安装了根据本发明的客户端程序后，可以将本机的特征与安全ROM的特征进行比对，从而确保本机ROM的安全。

Description

检测定制ROM的安全性的方法和装置

技术领域

本发明涉及移动通信领域，更具体地，涉及在移动终端中检测定制***升级固件(ROM)的安全性的方法、装置和对应的***。

背景技术

近些年，移动终端的使用越来越普及。其中，安卓(Android)平台的智能手机因为其开源性变得越来越流行。为了满足用户自身的特定喜好和需求，Android智能手机的刷机行为越来越多。第三方开发的定制ROM的数量大幅度增加。第三方的定制ROM的特色在于加入很多个性化的功能和特征，给用户带来了便利。但是针对这些日益增多的定制ROM，其安全性问题开始凸显。比如，第三方可能出于各种目的在定制ROM中内置病毒或者扣费等恶意软件。恶意软件如果被内置于ROM中，会获取很高的***权限，例如作为超级用户(superuser)获得根(Toot)权限等。这种定制ROM中内置的恶意软件的潜在的破坏风险远远大于一般的恶意应用。

目前，针对ROM的检测手段比较单一，仅仅是将ROM当作一种特殊格式的文件，基于传统的病毒特征扫描方式，来检测ROM中是否包含恶意软件。但是，由于ROM自身的特殊性，这种单一的手段很难发现刻意隐藏自身的内置恶意应用。例如，目前的一种突出情况是将恶意应用重新打包***到手机厂家官方发布的ROM中。在这种情况下，基于病毒特征的检测手段，很有可能会认为此种ROM是安全的，从而遗漏被***的恶意应用。

因此，需要一种能够有效地检测定制ROM的安全性的机制。

发明内容

本发明提供了在移动终端中检测定制***固件(ROM)的安全性的方法、装置和对应的***。根据本发明的方法可以提供安全ROM的特征库。用户在移动终端上安装了根据本发明的客户端程序后，可以将本机的特征与安全ROM的特征进行比对，从而确保本机ROM的安全。

具体地，根据本发明的第一方面，提供了一种在移动终端中检测定制***升级固件的安全性的方法，包括：提取***升级固件的特征；将提取的***升级固件的特征发送给云端，以与云端特征库进行比较；以及根据云端返回的比较结果，执行处理。

根据本发明的另一方面，提供了一种用于在移动终端中检测定制***升级固件的安全性的装置，包括：提取单元，用于提取***升级固件的特征；通信单元，用于将提取的***升级固件的特征发送给云端，以与云端特征库进行比较，以及接收云端返回的比较结果；以及处理单元，用于根据云端返回的比较结果，执行处理。

根据本发明的一些实施例，所述云端特征库包括云端收集的多个定制***升级固件的特征。

根据本发明的一些实施例，所述***升级固件的特征包括***升级固件的数字摘要算法值(SHA1)。

根据本发明的一些实施例，所述移动终端包括Android智能移动电话。

根据本发明的一些实施例，所述处理包括向用户提供不安全提醒。

根据本发明的又一方面，提供了一种用于检测移动终端的定制***升级固件的安全性的***，包括：如前所述的根据本发明的用于在移动终端中检测定制***升级固件的安全性的装置；以及云端服务器，其包括所述云端特征库。

使用本发明的方法和***，用户无需使用计算机，可以直接在移动终端上检测本设备的ROM是否安全，便于用户及时发现潜在的风险，保护用户隐私等。

附图说明

通过下面结合附图说明本发明的优选实施例，将使本发明的上述及其它目的、特征和优点更加清楚，其中：

图1示出了根据本发明的实施例的用于检测移动终端的定制***升级固件的安全性的***；

图2示出了根据本发明实施例的云端服务器的框图；

图3示出了根据本发明实施例的在云端创建ROM特征库的流程图；

图4示出了根据本发明实施例的移动终端的框图；以及

图5示出了根据本发明实施例的在移动终端中检测定制ROM的安全性的方法的流程图。

具体实施方式

下面参照附图对本发明的优选实施例进行详细说明，在描述过程中省略了对于本发明来说是不必要的细节和功能，以防止对本发明的理解造成混淆。

如本文中所使用的，术语“***升级固件”指的是用于对移动终端的操作***进行升级的固件。在移动终端中，为了保护***文件，通常将操作***存储在只读存储器(ROM)中。ROM所存数据一般是在装入机器前事先写好的，在机器正常操作期间只能读出而不像随机存储器那样能够快速方便地改写。这种事先写好的用于装入ROM的诸如操作***之类的数据被称为***升级固件，也可被称为ROM镜像文件，或简称为ROM。通过工具将这种事先写好的程序或数据装入(或称“烧写”)移动终端中的ROM芯片的过程也称为刷机(Recovery)或刷ROM。特别地，在移动终端领域中，将官方或者第三方的ROM镜像文件通过工具烧写到ROM芯片中的过程通常被称为刷机或刷ROM。

下面将以Android ROM作为***升级固件的示例对本发明进行描述。如本文所使用的，术语“Android ROM”指的是用于对Android移动终端的存储***文件的ROM进行刷机的ROM镜像文件。在下文中，如无特殊说明，ROM指的是ROM镜像文件，而不是随机存储器器件本身。

应该理解，本发明并不局限于Android移动终端，也可以适用于现在和未来开发的能够使用第三方ROM的任何移动终端。

还应该理解，本发明并不局限于所涉及的各个移动通信终端的具体通信协议，可以包括但不限于2G、3G、4G、5G网络，WCDMA、CDMA1100、TD-SCDMA***等。

图1是示出了根据本发明的实施例的用于检测移动终端的定制***升级固件的安全性的***100。如图1所示，***100可以包括移动终端110和云端服务器130。移动终端110可以通过通信网络120与服务器130相连。

移动终端110包括安装在其中的***升级固件安全性检测客户端(未示出)。该安全性检测客户端可以由用户以软件的形式自行安装在移动终端110中，或者可以由移动终端生产厂商以硬件或固件的形式安装在移动终端110中。移动终端110例如可以是Android智能手机。在Android智能手机的情况下，其定制***升级固件可以是第三方提供的各种Android ROM。如前所述，第三方的定制ROM的特色在于加入很多个性化的功能和特征，给用户带来了便利。但是，第三方可能出于各种目的在定制ROM中内置病毒或者扣费等恶意软件，给使用者形成危害。根据本发明的安装了***升级固件安全性检测客户端的移动终端110能够通过与云端服务器1300的交互，有效地检测这些定制ROM是否包含恶意软件，从而确保本机的安全。

云端服务器130包括云端特征库。所述云端服务器可以包括安全的***升级固件(如ROM)特征库或不安全ROM特征库或二者。这些云端数据库可以是云端通过收集和分析各种定制ROM而生成的。例如，服务器可以通过爬虫、交换等途径收集各种定制ROM。然后，使用backsmail、IDA等安全分析工具来分析各种定制ROM是否安全。然后，可以针对已知的安全的和/或不安全的ROM，提取ROM特征，构建安全ROM特征库和/或不安全ROM特征库。在这些特征库中，例如可以关联地记录ROM的名称、安全性、特征列表等。所述特征例如可以是数字摘要算法值(SHA1)、特征程序代码，等等。

通信网络120可以是支持移动终端110与云端服务器130进行通信的任何网络。例如，通信网络120可以包括但不限于：2G、3G、4G、5G移动通信网络，如WCDMA、CDMA1100、TD-SCDMA、LTE，或者无线局域网(WLAN)，等等。

图2示出了根据本发明实施例的云端服务器130的框图。如图2所示，云端服务器130包括收集单元131、分析单元132、存储单元133、通信单元134、查询单元135。收集单元131可以收集各种定制ROM。这些定制ROM包括手机厂商官方发布的ROM，善意第三方发布的具有定制功能的ROM，恶意第三方发布的包含恶意应用的ROM(诸如通过在手机厂商官方发布的ROM中嵌入病毒或者扣费等恶意应用的ROM)等等。收集单元131可以通过爬虫(crawler)等工具来实现，也可以通过能够与网路上的其他设备交换数据的任何实体来实现。分析单元132可以使用安全分析工具对收集单元所收集的各种定制ROM的安全性进行分析。分析单元132例如可以使用backsmail、IDA等等工具。分析单元还可以根据分析结果，生成ROM特征。例如，分析单元可以针对分析结果，确定ROM的名称、安全性(是否安全)以及特征的列表。例如，该特征可以包括针对ROM执行数字摘要算法获得的值。又如，该特征可以包括与特定恶意应用关联的特征代码等等。存储单元133可以存储ROM特征库。所述ROM特征库可以是包括安全ROM和不安全ROM二者的综合特征库。也可以是单独的安全ROM特征库或不安全ROM特征库，或者可以同时包括这二者。存储单元133可以用任何计算机可读介质来实现，包括但不限于磁存储设备(例如硬盘、软盘、磁带等等)、光盘(例如，压缩盘(CD)、数字多功能盘(DVD)等等)、智能卡、以及闪存设备(例如，卡、带等等)。服务器130还可以通过与网络上的其他设备交换信息以更新存储单元133中存储的ROM特征库。通信单元134可以向移动终端110发送消息，以及从移动终端110接收消息。查询单元135可以通过将待判断的ROM的特征与存储单元133中存储的特征库进行匹配，以发现该ROM特征对应的ROM是否安全。应该理解，尽管在图2中服务器130示出为单独的设备，但是本发明不限于此。服务器130可以是单独的物理实体(如单个计算机)，也可以是通信地耦合在一起的多个物理实体(如一组联网的计算机)。服务器130中的示出的单个单元的功能可以由单个设备来实现或由多个设备协作来实现。可选地，服务器130中示出的多个单元可以由单个设备来实现。此外，应该理解，服务器130可以包括比示出的单元更多或更少的单元。

图3示出了根据本发明实施例的在云端创建ROM特征库的方法300的流程图。如图所示，云端创建ROM特征库的方法300可以包括步骤S310、S320和S330。在步骤S310中，收集单元130收集各种定制ROM。收集单元可以使用爬虫工具来实现所述收集。备选地，收集单元可以通过通信单元134经由网络从其他设备接收收集结果。在步骤S320中，可以由分析单元132使用各种分析工具(诸如backsmail)对所收集的各种定制ROM进行分析，以确定其是否安全。于是，在步骤S330中，可以通过汇总分析结果，创建特征库。应该理解，服务器130可以持续地维护该特征库。例如，不断地加入新收集的ROM特征等等。应该理解，本发明的在云端创建ROM特征库的方法300并不局限于图3所示的具体操作。例如，方法300还可以包括修改(或更新)特征库等其他步骤。

图4示出了根据本发明实施例的移动终端110的框图。如图所示，移动终端110包括提取单元112、通信单元114以及处理单元116。提取单元112可以提取移动终端110的ROM的特征，诸如ROM名称、ROM的SHA1值等等。通信单元114可以将所提取的ROM特征发送给云端服务器以进行查询。通信单元114还可以接收从云端服务器返回的查询结果。处理单元116可以根据查询结果判定当前设备的ROM是否安全，然后做出相应的处理。作为示例，当判定当前设备ROM不安全时，可以向用户发出告警。例如，通过在显示器上显示文字或图标以及/或者通过语音或其他警示音向用户提醒ROM存在安全隐患，或者提醒用户重新安装其他安全的ROM等。当判定当前设备ROM是安全的时，可以向用户发出表示安全的提示等，或者不做出任何特殊提示。

图5示出了根据本发明实施例的在移动终端中检测定制ROM的安全性的方法500的流程图。如图所示，检测定制ROM的安全性的方法500可以包括步骤S510、S520、S530以及S540。

下面参考图1、2、4和图5对根据本发明实施例的检测移动终端的定制***升级固件的安全性的方法和***进行详细的描述。

在步骤S510中，移动终端的提取单元112提取本机ROM的名称和/或一个或更多个特征。该特征例如可以是针对ROM计算的数字摘要算法值(SHA1)。

然后，在步骤S520中，移动终端110通过通信单元114将提取的ROM的名称和/或一个或更多个特征发送给云端。

云端服务器130通过通信单元134接收到移动终端发送的ROM的名称和/或一个或更多个特征。于是，服务器130的查询单元135根据接收的ROM的名称和/或一个或更多个特征查询存储单元中存储的特征库。查询单元135可以通过匹配操作等来执行查询。如上所述，服务器130中可以存储安全ROM特征库、不安全ROM特征库、或者这二者。备选地，服务器130可以存储包括安全和不安全ROM的综合特征库。在存在多个特征库(例如，安全ROM特征库和不安全ROM特征库)的情况下，查询单元135可以首先执行与第一ROM特征库的匹配，然后按照匹配结果根据需要执行与第二特征库的匹配。作为示例，如果通过匹配发现接收的ROM名称与手机厂商官方发布的某个ROM的名称一致，但是接收的与该ROM名称关联的特征(如SHA1值)与该官方发布的ROM的特征(如SHA1值)不一致，则可以判定该待决ROM是假冒的，因此是不安全的。反之，如果所接收的ROM名称和关联特征与官方发布的ROM的名称和特征一致，则可以判定该待决ROM是安全的。服务器130的通信单元134可以向移动终端110返回查询结果。

在步骤S530中，移动终端110中的通信单元114可以接收服务器130返回的查询结果。

在步骤S540中，移动终端110的处理单元116可以根据查询结果，做出相应的处理。作为示例，当查询结果表明当前设备ROM不安全时，可以向用户发出告警。例如，通过在显示器上显示文字或图标以及/或者通过语音或其他警示音向用户提醒ROM存在安全隐患，或者提醒用户重新安装其他安全的ROM等。当查询结果表明当前设备ROM是安全的时，可以向用户发出表示安全的提示等，或者不做出任何特殊提示。

至此已经结合优选实施例对本发明进行了描述。本领域技术人员可以理解，上面示出的方法和设备仅是示例性的。本发明的方法并不局限于上面示出的步骤和顺序。本发明的移动终端和服务器可以包括比示出的部件更多或更少的部件。本领域技术人员根据所示实施例的教导可以进行许多变化和修改。

本发明的设备及其部件可以由诸如超大规模集成电路或门阵列、诸如逻辑芯片、晶体管等的半导体、或者诸如现场可编程门阵列、可编程逻辑设备等的可编程硬件设备的硬件电路实现，也可以用由各种类型的处理器执行的软件实现，也可以由上述硬件电路和软件的结合实现。

本发明可以实现诸多优点。当用户在移动终端上安装了本发明的客户端之后，可以将本机ROM的特征与云端特征库中的ROM特征进行比对，从而鉴别本机ROM是否安全。因此，使用本发明的方法和***，用户无需使用计算机，可以直接在移动终端上检测本设备的ROM是否安全，便于用户及时发现潜在的风险，保护用户隐私等。

本领域技术人员应该理解，尽管通过具体实施例描述了本发明，但是本发明的范围不限于这些具体实施例。本发明的范围由所附权利要求及其任何等同含义限定。

Claims

1.一种在移动终端中检测定制***升级固件(ROM)的安全性的方法，包括：

提取***升级固件的特征；

将提取的***升级固件的特征发送给云端，以与云端特征库进行比较；以及

根据云端返回的比较结果，执行处理。

2.根据权利要求1所述的方法，其中所述云端特征库包括云端收集的多个定制***升级固件的特征。

3.根据权利要求1所述的方法，其中所述***升级固件的特征包括***升级固件的数字摘要算法值(SHA1)。

4.根据权利要求1所述的方法，其中所述移动终端包括Android智能移动电话。

5.根据权利要求1所述的方法，所述处理包括向用户提供不安全提醒。

6.一种用于在移动终端中检测定制***升级固件的安全性的装置，包括：

提取单元，用于提取***升级固件的特征；

通信单元，用于将提取的***升级固件的特征发送给云端，以与云端特征库进行比较，以及接收云端返回的比较结果；以及

处理单元，用于根据云端返回的比较结果，执行处理。

7.根据权利要求6所述的装置，其中所述云端特征库包括云端收集的多个定制***升级固件的特征。

8.根据权利要求6所述的装置，其中所述***升级固件的特征包括***升级固件的数字摘要算法值(SHA1)。

9.根据权利要求6所述的装置，其中所述移动终端包括Android智能移动电话。

10.根据权利要求6所述的装置，其中所述处理单元还配置为向用户提供不安全提醒。

11.一种用于检测移动终端的定制***升级固件的安全性的***，包括：

移动终端，包括根据权利要求6-10中任一项所述的装置；以及

云端服务器，包括所述云端特征库。