CN104133670B - 一种基于虚拟隔离技术的智能终端安全gui生成方法 - Google Patents

Abstract

本发明公开了一种基于虚拟隔离技术的智能终端安全GUI生成方法。本方法为：1)虚拟机监控器将***划分为多个隔离的虚拟机，包括一设有安全标记模块的***虚拟机和不同安全级别的应用虚拟机；2)将包管理器分为运行于应用虚拟机中的前端包安装器和位于***虚拟机中的安全等级管理器；3)当安装一应用程序时，包管理器将该应用程序的解析信息发送给安全标记模块，增加安全级别信息，将其扩展为安全解析信息(sLevel、sSign)；4)安全等级管理器根据该sLevel值将安装指令发送给对应安全级别应用虚拟机中的前端包安装器进行安装；5)***虚拟机根据该sSign在***虚拟机的GUI上对该应用程序进行界面绘制。

Description

一种基于虚拟隔离技术的智能终端安全GUI生成方法

技术领域：

本发明属于终端安全领域，主要涉及终端的***安全，更确切地是涉及一种基于虚拟隔离技术的智能终端***安全GUI(图形用户界面)生成方法。该方法基于虚拟隔离技术，为智能终端***增加了安全启动器以及应用内安全提示，对智能终端原有的用户交互***进行扩展，给出了智能终端操作***的GUI安全增强方案。

背景技术：

智能终端设备的普及以及智能终端应用的日益丰富极大的丰富了人们获取信息的方式，为人们日常的工作生活带来了极大的便利。但种类繁多的恶意软件也给智能终端设备带来了极大的安全隐患。攻击者通过恶意软件欺骗用户从而获取非法利益，导致用户蒙受巨大的损失。恶意软件的攻击方式主要有两种：利用漏洞破坏其他程序以及通过欺骗用户窃取信息。恶意软件制约了智能终端设备的普及，并直接关系到人们的财产安全和通信安全。智能终端***的安全研究对于限制恶意软件具有重要意义。智能终端***中的GUI***作为***中直接与用户交互的部分，在保障智能终端***安全性中占有重要地位。

目前Android操作***主要依靠应用市场、许可管理以及应用隔离来防范恶意软件。其中应用市场能够通过审核机制在一定程度上保证应用的安全性。但是由于受到大量第三方市场的影响，以及本身处理安全问题的滞后性应用市场提供的安全保障十分有限。许可机制可以在一定程度上提醒用户应用需要的访问权限，但其在实际应用中存在许可管理以及用户难于理解的问题。应用隔离提供了有效的数据安全保障措施，但是对于Android本身的组件共享没有提供有效的隔离方案。

相对于传统的PC，种类繁多的开源操作***为移动互联网安全带来了更多的问题和隐患，这些操作***的主要问题是他们不能有效的隔离在同一台物理机器上运行的多个程序。当一个***的某个组件被入侵时，操作***很难保护其他部分的用户应用程序和数据不被侵害。这种情况是由于架构设计缺陷导致的，比如过度复杂的操作***API，不安全的图形用户界面(GUI)设计以及所采用的单内核结。目前，主流操作***采用的安全措施是对已知的***安全漏洞发布补丁进行更新，但是这种措施不仅很难覆盖大规模的用户，而且并不十分有效。因为这类安全补丁只能保护***不受已知的、主流的***漏洞侵害，对于新的漏洞作用十分有限。

目前，广泛应用于服务器和桌面端的虚拟隔离技术允许通过创建隔离的容器来保证***安全。虚拟隔离技术通过将程序隔离到不同的虚拟机中运行，有效保证应用程序的隔离。Xen作为目前主流的虚拟机监控器，在服务器端已经得到广泛应用，桌面端基于Xen的安全操作***Qubes也得到了广泛关注。作为桌面端的安全操作***，Qubes实现了一套基于虚拟隔离技术的安全GUI，为用户提供应用程序安全等级管理及显示的机制，极大的提升了用户隐私信息的安全性。目前已经有企业科研机构将虚拟隔离技术移植到智能终端上来保证***安全，包括XenARM和Emmbedded Xen虚拟机监控器项目。这些方案只实现了在一台智能终端上运行多个操作***，其存在的问题主要是没有提供用户图形界面的分离及显示方案。

发明内容

针对现有技术存在的技术问题，本发明的目的在于提供一种基于虚拟隔离技术的智能终端安全GUI生成方法。该方法提出了符合智能终端设备特点的安全GUI，为智能终端***提供了特别的保护。该方法涉及以下三个环节：(1)根据智能终端设备交互特点，Android***架构设计安全GUI方案；(2)设计基于Android包管理器实现的安全标记模块；(3)设计基于Android显示***实现的安全显示模块。

本发明的技术方案为：

一种基于虚拟隔离技术的智能终端安全GUI生成方法，其步骤为：

1)虚拟机监控器将***划分为多个隔离的虚拟机，包括一***虚拟机和不同安全级别的若干应用虚拟机；所述***虚拟机为每一所述应用虚拟机建立相互隔离的文件***；所述***虚拟机中设有安全标记模块；

2)将包管理器分为运行于所述应用虚拟机中的前端包安装器和位于所述***虚拟机中的安全等级管理器；前端包安装器与安全等级管理器通过共享内存通信；

3)当安装一应用程序时，所述包管理器将该应用程序的解析信息发送给所述安全标记模块；

4)所述安全标记模块为该解析信息增加安全级别信息，将其扩展为安全解析信息：表示安全等级数据值的sLevel以及指向安全等级标记图像资源的标识符sSign；

5)所述安全等级管理器根据该sLevel值将安装指令发送给对应安全级别应用虚拟机中的前端包安装器，对该应用程序进行安装；

6)所述***虚拟机根据该标识符sSign在所述***虚拟机的图形用户界面GUI上对该应用程序进行界面绘制。

进一步的，所述***虚拟机中设置一安全显示模块，用于接收应用程序安全等级的修改信息；所述***虚拟机根据修改后的安全等级重新对该应用程序进行界面绘制，并在该应用程序从当前应用虚拟机迁移到对应安全级别的应用虚拟机。

进一步的，当一应用程序a从一应用虚拟机A迁移到另一应用虚拟机B时，其迁移方法为：

31)所述安全等级器通过共享内存向该应用虚拟机A中的前端包安装器发出迁移指令；

32)该前端包安装器在应用虚拟机A中获取该应用程序a的文件位置并删除该应用程序a的安装信息；

33)包管理器向应用虚拟机B中迁移该应用程序a的文件，并通过前端包安装器在应用虚拟机B中注册该应用程序a。

进一步的，所述安全显示模块包括安全启动器和安全显示服务两部分；所述安全启动器用于列出已安装的应用程序，并在用户执行启动操作前提示应用程序的安全等级，以及向用户提供设置应用安全等级的入口；所述安全显示服务用于应用程序运行时的安全信息提示，显示应用程序的安全信息。

进一步的，所述安全显示服务进行安全信息提示的方法为：

51)用户启动应用程序时，所述安全启动器向底层的安全服务发送当前应用程序的名称；

52)安全服务根据该应用程序的名称向所述安全标记模块查询该应用程序的安全级别；

53)所述安全服务将收到的安全级别信息给窗口管理器，由窗口管理器将该安全级别信息绘制到一个新的图层；该新的图层位于原有显示界面之上。

进一步的，将粘合驱动Binder分为运行于所述应用虚拟机中的Binder前端驱动以及运行于所述***虚拟机中的Binder后端驱动；所述Binder前端驱动负责与应用程序通信，并将数据通过所述虚拟机监控器传递给所述Binder后端驱动。

进一步的，所述***虚拟机对该应用程序进行界面绘制的方法为：

71)所述应用虚拟机中的窗口管理器将绘制该应用程序要显示的内容发送给该应用虚拟机上的所述Binder前端驱动；

72)所述Binder前端驱动将要传递的显示数据通过所述虚拟机监控器提供的共享内存机制传递给位于***虚拟机的所述Binder后端驱动；

73)所述Binder后端驱动将该显示数据传递给所述***虚拟机完成界面绘制。

与现有技术相比，本发明的积极效果：

针对智能终端***安全问题，本发明设计了基于Xen虚拟机监控器和Android***实现的安全GUI方案，其优点如下：

1)在Android***中引入安全标记模块，在兼容Android原有包管理***的基础上，为***增加了安全级别的概念。安全标记模块提出的安全级别作为虚拟机在应用框架层的抽象，有效连接了底层的虚拟隔离机制与安全GUI的显示***，为虚拟隔离技术在GUI层的展现提供了良好的支持。

2)设计了Android的显示子***Surface在Xen上的移植方案。Android的进程间通信主要基于底层的Binder机制(粘合机制)实现，它是Android***专有的一种进程间通信机制。在Android***中，Binder机制是作为一种特殊的字符型设备实现的，位于/dev/binder。将粘合驱动(Binder驱动)分为运行于应用虚拟机中的Binder前端驱动以及运行于***虚拟机中的Binder后端驱动，位于应用虚拟机中的Binder前端驱动负责与应用程序通信，并将数据通过虚拟机监控器传递给位于GUI域中的Binder后端驱动。Binder后端驱动通过虚拟机监控器接收数据，并传递给位于安全GUI域中的显示服务，实现了Surface子***显示数据的域间传递。

3)在Android***原有启动器的基础上，设计具有安全等级提示和设置功能的安全启动器。安全启动器保留了Android原生启动器的基本显示型式以及用户原有的操作习惯，并基于安全标记模块提供的安全包信息实现了启动前的安全提示功能。

4)基于所述的安全提示服务以及安全启动为Android***提供了应用内的安全提示，使得用户在应用位于终端上的整个生命周期内都能得到安全提示。

附图说明

图1为安全GUI参考模型图；

图2为可实施的安全GUI模型图；

图3为扩展包管理***架构图；

图4为安装应用阶段安全等级的设定方法图；

图5为安装后安全等级的设定方法图；

图6为应用在虚拟机间的迁移图；

图7为安全显示模块图；

图8为绘制界面流程图；

图9为安全启动机器界面图；

图10为基于***服务的应用内安全提示架构图；

图11为基于***服务的应用内安全提示图。

具体实施方式

下面结合附图对本发明进行进一步详细描述；本发明涉及以下三个环节：(1)根据智能终端设备交互特点，Android***架构设计安全GUI方案；(2)设计基于Android包管理器实现的安全标记模块；(3)设计基于Android显示***实现的安全显示模块。

(1)基于Xen虚拟机监控器的安全GUI；

目前，广泛应用于服务器和桌面端的虚拟隔离技术允许通过创建隔离的容器来保证***安全。这些被称为虚拟机的容器能够提供比操作***进程间更好的隔离性。

所述安全GUI采用虚拟隔离技术，从***架构层面实现应用与***用户图形界面的隔离，保证***图形界面子***不受到恶意软件入侵的影响，同时，实现面向智能终端的安全GUI提示用户应用安全等级提示，保护用户的隐私安全。

所述改进后的安全GUI参考模型如图1所示。架构主要包含三个层次：硬件层、虚拟机监控器层以及虚拟机层。

其中，硬件层主要是智能终端的显示设备。虚拟机监控器将***划分为多个隔离的虚拟机，虚拟机分为***虚拟机和应用虚拟机，***虚拟机主要负责管理***资源和应用虚拟机的权限，只有***虚拟机拥有直接访问硬件设备的权限，其他应用虚拟机依赖于***虚拟机来和硬件通信。应用虚拟机用于运行应用程序，一个***可以有多个应用虚拟机，他们被赋予不同的安全级别。安全的应用运行于安全的虚拟机中，非安全的应用根据其安全等级运行于不同的非安全虚拟机中。

运行安全GUI的***虚拟机被称为安全GUI域，它具有直接访问硬件设备驱动的权限。安全GUI域利用虚拟机监控器提供的隔离机制，将自身与应用虚拟机隔离，即使应用虚拟机被恶意软件破坏，***仍然能够保证安全GUI域的安全。

一个可实施的安全GUI***架构如图2所示。***采用XenARM作为虚拟机监控器，Android***作为客体操作***。将安全GUI运行于XenARM的管理域Dom0中，只有Dom0拥有直接访问硬件的权限，***利用XenARM提供应用虚拟机DomU与***虚拟机Dom0之间以及应用虚拟机之间的隔离。

(2)面向Android***的安全标记模块；

在Android GUI***中安全等级的提示和设置功能依赖于实现的安全标记模块。安全标记模块将运行于不同安全级别虚拟机中的应用信息提供给安全显示模块。安全标记模块主要实现两个功能：应用安装时对该应用进行安全标记，以及在应用位于终端的整个生命周期内对安全标记进行管理。

所述安全标记模块的一个具体的实施方式是扩展Android***的包管理器来实现安全标记功能。加入安全标记模块的包管理器称为扩展包管理器。安全标记模块加入安全等级信息后，为安全GUI中的安全提示提供底层的数据支持。研究将加入了安全等级信息的包管理信息称为安全包管理信息，它在提供额外的安全信息的同时，兼容原有的针对Android包管理器的操作。安全包管理信息对于安全性的增强基于安全GUI设计的安全等机制实现，为GUI针对不同的应用程序给出不同的显示方式提供支持。

扩展包管理器的架构如图3所示：其主要包含前端包安装器和安全等级管理器两部分。前端包安装器位于应用虚拟机中，负责应用程序的安装和启动；安全等级管理器位于GUI域(即***虚拟机)中，负责管理各个应用域中应用的安全等级的设置、修改以及查询。前端包安装器与安全等级管理器通过共享内存通信。

扩展包管理器安装应用的流程如图4所示：1)扩展包管理器解析Android应用的安装文件以获取应用的包信息(PackageInfo)以及解析信息(ResolveInfo)；2)安全标记模块为解析信息(ResolveInfo)增加安全级别信息(SecureLevel)相关数值，将其扩展为安全解析信息(SecureResolveInfo)，后续安全标记模块读取安全解析信息，显示于***用户界面GUI。扩展加入的安全级别信息(SecureLevel)结构包括两个部分：表示安全等级数据值的sLevel以及指向安全等级标记图像资源的标识符sSign。其中sLevel由用户根据对应用的信任程度指定，sSign由***根据不同的安全级别提供统一的显示方式。3)前端包安装器将应用安装到对应安全级别的虚拟机中。位于指定应用虚拟机中的前端包安装器通过共享内存与***虚拟机通信，接收***虚拟机的安装指令后，在应用虚拟机中完成应用程序的安装和注册。安装与注册应用的过程与一个普通Android***中包安装器安装以及注册应用的过程相同。

扩展包管理器管理应用安全等级的实现如图5所示。应用程序安装后，可以在任何阶段修改应用程序的安全等级。用户通过基于扩展包管理***的图形界面对安全等级进行修改。修改后，扩展包管理器迁移应用移动到对应安全级别的虚拟机中，***采用新的安全等级来支持安全GUI的应用启动前及运行时的安全提示。

所述扩展包管理器迁移应用是基于Xen虚拟机监控器的管理域Dom0实现的。如图6所示***虚拟机为不同的应用域建立了相互隔离的文件***，每个应用域只能在对应的文件***上进行操作。Dom0做为管理域拥有读写所有应用域文件***的权限，应用的迁移由运行于Dom0的扩展包管理器利用文件***实现。

应用迁移的流程如下：1)扩展包管理器的安全等级管理器接收由安全显示模块发出的应用安全级别变化指令；2)安全等级管理器通过Xen提供的共享内存向应用所在的应用虚拟机中的前端包安装器发出指令；3)前端包安装器在对应应用虚拟机中获取应用对应的文件位置并删除该应用的安装信息；4)扩展包管理器向目标应用虚拟机中迁移应用程序的文件，并通过前端包安装器在目标应用虚拟机中注册该应用程序。

(3)基于Android显示***实现的安全显示；

终端用户界面的应用资源显示在PC端主要为以桌面为主的显示***，在智能终端设备则主要以应用启动器为主。安全GUI的安全显示模块是整个安全GUI的主体部分。它还负责向用户提供一套安全的图形界面，来提示用户应用的安全信息。

所述安全显示模块在安全GUI中的位置如图7所示。安全显示模块底层主要依赖于GUI域中的安全标记模块和Android的显示子***实现。安全标记模块为安全显示模块提供了安全等级相关操作的支持，而Android的显示子***负责对来自不同虚拟机中的应用进行界面的绘制。

Android***中底层的显示功能由Android的显示子***(Surface子***)提供。所述扩展后的安全GUI显示子***结构如图8所示。扩展后的安全GUI显示子***运行于应用虚拟机和GUI域两个虚拟机中。Activity中所有UI组件的绘制工作，都要在一块缓存上实现，对它的操作基于Surface类型实现。这块缓存通过一个Surface类型的变量进行操作。一次典型的绘制界面流程如图8所示：

1.Window将Android应用程序界面组件的显示数据传递给Surface会话。

2.Surface会话与位于应用虚拟机中的Binder前端进行通信，将要传递的显示数据通过Binder转发。

3.Binder前端驱动利用Xen提供的共享内存机制将显示数据传递给位于GUI域中的Binder后端驱动。

4.Binder后端驱动将显示数据传递给SurfaceFlinger，SurfaceFlinger将各个Surface中传输的数据进行混合，再传输到FrameBuffer中进行显示，完成界面绘制。

所述安全显示模块本身包括安全启动器和安全显示服务两部分。启动器是用户与***交互的主要部分，它的基本功能是列出安装的应用，并在用户执行启动操作时，打开应用程序。目前Android已有的启动器已经具有完善的基本功能。安全启动器在应用启动前提示应用的安全等级，并向用户提供设置应用安全等级的入口，这就需要在参考Android原有启动器实现的基础上，增加对安全等级的支持。***的安全显示服务主要用于应用运行时的安全信息提示，因为应用运行时的显示范围由应用的Activity组件接管，因此实现开启了一个***服务来显示应用的安全信息。

1)安全启动器

Android***启动器是Android图形界面***中与用户交互的最主要部分，它主要具有两项基本功能：列出已安装的应用程序以及启动应用程序。启动器的显示部分主要负责以网格布局展示已安装应用的图标和名称，这些信息由Android中的包管理器提供。同时，在点击界面中的应用程序时，启动器通过Android的Intent机制启动应用程序，将屏幕显示和交互交给应用程序的对应组件处理。Android原生的启动器具有相对完善的展示和启动应用的基本功能，但其并没有针对应用的安全提示的相关机制，也没有为显示安全信息提供显示控件的支持。

所述安全启动器在完成基本的展示和启动应用程序的基础上，增加安全提示功能。同时，作为安全显示模块***最顶层与用户接触的部分，安全启动器还为用户提供了设置应用安全级别的功能。提供安全级别设置功能的目的在于为用户在使用过程中动态改变安全级别提供便利。在用户实际使用过程中，其对应用安全性的认识随着时间而发生改变。因此，相比于许可机制，可以动态改变的安全级别更符合用户的认识过程。安全级别设置功能底层基于扩展的***包管理服务实现，是对安全标记模块中设置SecureResolveInfo提供的图形界面接口。

一个可实施的安全启动器图形界面如图9所示。该实现参考了Android现有启动器的显示和交互方式，基于安全标记模块提供安全提示。安全启动器在显示时充分利用了原有启动器的显示空间，修改应用程序名称的背景色区分拥有不同安全等级的应用。安全级别设置界面包括应用选择界面和应用安全级别设置界面两部分。应用选择界面和启动器的展示功能类似，主要为用户提供***中应用程序的列表；应用安全级别的设置界面展示了可用的高中低三个安全级别，分别对应虚拟机层的非安全，一般安全和安全三个应用虚拟机。

2)应用内安全提示

将安全提示置于目前已有的***UI中，无法达到在应用启动后的整个生命周期内提示用户的目的，因此还需要对安全GUI的兼容性做出调整。因此，所述***设计一种新的显示方式，发明设计了一套基于***服务的应用内安全提示。

基于***服务的应用内安全提示架构如图10所示。安全服务的实现依赖于安全启动器、安全标记模块以及窗口管理器的支持。提示的具体显示流程如下：1)用户启动应用程序时，安全启动器向底层的安全服务发送当前应用程序的名称等基本信息；2)安全服务获取到应用程序的基本信息后，向安全标记模块查询该应用程序的安全级别；3)将安全级别信息的标记信息传递给窗口管理器，由窗口管理绘制内容到一个新的图层。新的图层位于原有显示界面之上，以保证其不会被覆盖和篡改。

所述基于***服务的应用内安全提示如图11所示。安全服务将安全提示绘制于***标题栏与应用程序界面组件之间，并采用了与安全启动器一致的颜色来标识当前运行应用的安全等级。

Claims (7)

1.一种基于虚拟隔离技术的智能终端安全GUI生成方法，其步骤为：

1)虚拟机监控器将***划分为多个隔离的虚拟机，包括一***虚拟机和不同安全级别的若干应用虚拟机；所述***虚拟机为每一所述应用虚拟机建立相互隔离的文件***；所述***虚拟机中设有安全标记模块；

2)将包管理器分为运行于所述应用虚拟机中的前端包安装器和位于所述***虚拟机中的安全等级管理器；前端包安装器与安全等级管理器通过共享内存通信；

3)当安装一应用程序时，所述安全等级管理器将该应用程序的解析信息发送给所述安全标记模块；

4)所述安全标记模块为该解析信息增加安全级别信息，将其扩展为安全解析信息：表示安全等级数据值的sLevel以及指向安全等级标记图像资源的标识符sSign；

5)所述安全等级管理器根据该sLevel值将安装指令发送给对应安全级别应用虚拟机中的前端包安装器，对该应用程序进行安装；

6)所述***虚拟机根据该标识符sSign在所述***虚拟机的图形用户界面GUI上对该应用程序进行界面绘制。

2.如权利要求1所述的方法，其特征在于所述***虚拟机中设置一安全显示模块，用于接收应用程序安全等级的修改信息；所述***虚拟机根据修改后的安全等级重新对该应用程序进行界面绘制，并在该应用程序从当前应用虚拟机迁移到对应安全级别的应用虚拟机。

3.如权利要求1或2所述的方法，其特征在于当一应用程序a从一应用虚拟机A迁移到另一应用虚拟机B时，其迁移方法为：

31)所述安全等级管理器通过共享内存向该应用虚拟机A中的前端包安装器发出迁移指令；

32)该前端包安装器在应用虚拟机A中获取该应用程序a的文件位置并删除该应用程序a的安装信息；

33)安全等级管理器向应用虚拟机B中迁移该应用程序a的文件，并通过前端包安装器在应用虚拟机B中注册该应用程序a。

4.如权利要求2所述的方法，其特征在于所述安全显示模块包括安全启动器和安全显示服务两部分；所述安全启动器用于列出已安装的应用程序，并在用户执行启动操作前提示应用程序的安全等级，以及向用户提供设置应用安全等级的入口；所述安全显示服务用于应用程序运行时的安全信息提示，显示应用程序的安全信息。

5.如权利要求4所述的方法，其特征在于所述安全显示服务进行安全信息提示的方法为：

51)用户启动应用程序时，所述安全启动器向底层的安全服务发送当前应用程序的名称；

52)安全服务根据该应用程序的名称向所述安全标记模块查询该应用程序的安全级别；

53)所述安全服务将收到的安全级别信息给窗口管理器，由窗口管理器将该安全级别信息绘制到一个新的图层；该新的图层位于原有显示界面之上。

6.如权利要求1所述的方法，其特征在于将粘合驱动Binder分为运行于所述应用虚拟机中的Binder前端驱动以及运行于所述***虚拟机中的Binder后端驱动；所述Binder前端驱动负责与应用程序通信，并将数据通过所述虚拟机监控器传递给所述Binder后端驱动。

7.如权利要求6所述的方法，其特征在于所述***虚拟机对该应用程序进行界面绘制的方法为：

71)所述应用虚拟机中的窗口管理器将绘制该应用程序要显示的内容发送给该应用虚拟机上的所述Binder前端驱动；

72)所述Binder前端驱动将要传递的显示数据通过所述虚拟机监控器提供的共享内存机制传递给位于***虚拟机的所述Binder后端驱动；

73)所述Binder后端驱动将该显示数据传递给所述***虚拟机完成界面绘制。