CN112948807A - 应用程序合法性验证方法及装置 - Google Patents

Abstract

本发明提供一种应用程序合法性验证方法及装置，响应于接收到验证代理服务器发送的应用程序验证请求，获取其中携带的验证标识和代码摘要信息，应用程序验证请求由终端设备发送给代理服务器，代码摘要信息和验证标识由终端设备获取；根据验证标识、代码摘要信息和本应用程序合法性验证装置生成的代码摘要信息和验证标识验证终端设备所安装的应用程序的合法性；本发明由终端设备自动识别应用程序的代码摘要信息，并将代码摘要信息通过验证代理服务器发给应用程序合法性验证装置，由应用程序合法性验证装置根据代码摘要信息对安装在终端设备上的应用程序的合法性进行验证，可以识别出第三方提供的伪造应用程序，提高应用程序的安全性和可靠性。

Description

应用程序合法性验证方法及装置

技术领域

本发明涉及计算机技术领域，具体涉及一种应用程序合法性验证方法及装置。

背景技术

移动互联网应用的客户端APP(Application，应用程序)通常安装在用户的终端(如智能手机)上，并访问应用服务器。由应用开发方自己提供的客户端APP称为官方APP，但市场上经常会出现第三方提供的伪造APP，给移动互联网应用的正常运营带来破坏。伪造APP模拟官方APP与应用服务器之间的通信过程，从而可以访问服务器，如果用户使用伪造APP，会带来较大的信息安全风险。

目前，应用服务器识别用户使用的APP是否为官方APP的方法是：在官方APP内预置一个密码，APP与服务器通信时，使用密码来进行合法性验证。虽然目前APP普遍采用了代码混淆等技术，但仍无法有效阻止第三方从APP安装文件中提取密码。一旦密码被获取，伪造APP同样可以模拟官方APP的行为。因此，在APP中预置密码的方法仍然无法保证密码的安全。

发明内容

本发明针对现有技术中存在的上述不足，提供一种应用程序合法性验证方法及装置。

本发明为解决上述技术问题，采用如下技术方案：

本发明提一种应用程序合法性验证方法，包括：

响应于接收到验证代理服务器发送的应用程序验证请求，获取其中携带的验证标识和代码摘要信息，所述应用程序验证请求由终端设备发送给所述代理服务器，所述代码摘要信息和所述验证标识由所述终端设备获取；

根据所述验证标识、所述代码摘要信息和本应用程序合法性验证装置生成的代码摘要信息和验证标识验证所述终端设备所安装的应用程序的合法性。

在一些实施例中，所述方法还包括生成代码摘要信息的步骤，所述生成代码摘要信息的步骤包括：根据应用程序的安装文件生成代码摘要信息；

在生成代码摘要信息之后，所述方法还包括：

根据所述代码摘要信息和所述应用程序的安装文件生成所述应用程序的安装包；

响应于接收到所述终端设备发送的安装包获取请求，将所述安装包发送给所述终端设备。

在一些实施例中，所述根据应用程序的安装文件生成代码摘要信息，包括：

处理应用程序的预定安装文件，得到处理结果；

利用私钥加密所述处理结果，以生成代码摘要信息。

在一些实施例中，接收验证代理服务器发送的应用程序验证请求之前，还包括：

响应于接收到终端设备发送的访问请求，生成验证标识，并将所述验证标识发送给所述终端设备。

在一些实施例中，所述根据所述验证标识、所述代码摘要信息和本应用程序合法性验证装置生成的代码摘要信息和验证标识验证所述终端设备所安装的应用程序的合法性，包括：

响应于所述验证标识与本应用程序合法性验证装置生成的验证标识一致，且所述代码摘要信息与本应用程序合法性验证装置生成的代码摘要信息一致，确定所述应用程序合法。

本发明还提一种应用程序合法性验证方法，包括：

响应于接收到应用程序合法性验证装置发送的验证标识，确定待验证的应用程序的代码摘要信息；

向验证代理服务器发送应用程序验证请求，所述应用程序验证请求中携带所述代码摘要信息、所述验证标识和所述应用程序合法性验证装置的地址。

在一些实施例中，在确定待验证的应用程序的代码摘要信息之后，向验证代理服务器发送应用程序验证请求之前，还包括：

与所述验证代理服务器建立安全连接，并与所述验证代理服务器进行双向认证；

所述向验证代理服务器发送应用程序验证请求，包括：响应于与所述验证代理服务器进行双向认证通过，向验证代理服务器发送应用程序验证请求。

在一些实施例中，所述应用程序合法性验证方法，还包括：

响应于接收到所述应用程序合法性验证装置发送的应用程序的安装包，获取所述安装包中的代码摘要信息；

利用公钥解密所述代码摘要信息得到第一摘要明文信息；

处理所述安装包中的预定安装文件，得到第二摘要明文信息；

响应于所述第一摘要明文信息与所述第二摘要明文信息一致，根据所述安装包安装相应的应用程序。

本发明还提供一种应用程序合法性验证装置，包括：包括：接收模块、获取模块和验证模块，所述接收模块用于，接收验证代理服务器发送的应用程序验证请求，所述应用程序验证请求由终端设备发送给所述代理服务器；

所述获取模块用于，获取所述应用程序验证请求中携带的验证标识和代码摘要信息，所述代码摘要信息和所述验证标识由所述终端设备获取；

所述验证模块用于，根据所述验证标识、所述代码摘要信息和本应用程序合法性验证装置生成的代码摘要信息和验证标识验证所述终端设备所安装的应用程序的合法性。

本发明还提供一种终端设备，包括：接收模块、处理模块和发送模块，所述接收模块用于，接收到应用程序合法性验证装置发送的验证标识；

所述处理模块用于，确定待验证的应用程序的代码摘要信息；

所述发送模块用于，向验证代理服务器发送应用程序验证请求，所述应用程序验证请求中携带所述代码摘要信息、所述验证标识和所述应用程序合法性验证装置的地址。

本发明实施例提供的应用程序合法性验证方法，响应于接收到验证代理服务器发送的应用程序验证请求，获取其中携带的验证标识和代码摘要信息，应用程序验证请求由所述终端设备发送给代理服务器，代码摘要信息和验证标识由终端设备获取；根据所述验证标识、所述代码摘要信息和本应用程序合法性验证装置生成的代码摘要信息和验证标识验证终端设备所安装的应用程序的合法性；本发明由终端设备自动识别应用程序的代码摘要信息，并将代码摘要信息通过验证代理服务器发给应用程序合法性验证装置，由应用程序合法性验证装置根据代码摘要信息对安装在终端设备上的应用程序的合法性进行验证，可以识别出第三方提供的伪造应用程序，提高应用程序的安全性和可靠性。

附图说明

图1为本发明实施例提供的***架构示意图；

图2为本发明一个实施例提供的应用程序合法性验证方法流程示意图；

图3为本发明实施例提供的生成代码摘要信息的流程示意图；

图4为本发明另一实施例提供的应用程序合法性验证方法流程示意图；

图5为本发明实施例提供的安装应用程序的流程示意图；

图6为本发明实施例提供的应用程序合法性验证装置的结构示意图；

图7为本发明实施例提供的终端设备的结构示意图。

具体实施方式

下面将结合本发明中的附图，对本发明中的技术方案进行清楚、完整的描述，显然，所描述的实施例是本发明的一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

针对现有技术存在的上述问题，本发明实施例构建了一种应用程序合法性验证***，如图1所示，该***包括：应用程序合法性验证装置、终端设备和验证代理服务器，终端设备可以为手机、智能终端等能够安装APP的终端，可以通过验证代理服务器向应用程序合法性验证装置发送应用程序验证请求；应用程序合法性验证装置可以是应用服务器，用于验证终端设备上所安装的APP来源是否合法(即验证是否为官方APP)。终端设备的操作***用于在本地获取代码摘要信息，并发送给SIM(Subscriber Identification Module，用户身份识别卡)卡，由SIM卡将代码摘要信息发送给验证代理服务器。

本发明实施例提供一种应用程序合法性验证方法，结合图1、2所示，所述应用程序合法性验证方法包括以下步骤：

步骤21，响应于接收到验证代理服务器发送的应用程序验证请求，获取其中携带的验证标识和代码摘要信息。

所述应用程序验证请求由终端设备发送给代理服务器，代码摘要信息和验证标识由终端设备获取。需要说明的是，代码摘要信息由终端设备在安装APP时从APP安装包中获取并保存在本地。在终端设备安装APP时，终端设备的操作***可以通过代码摘要信息确定APP的身份信息。

在本步骤中，终端设备向验证代理服务器发送代码摘要信息、验证标识和应用程序合法性验证装置的地址，验证代理服务器根据该地址向相应的应用程序合法性验证装置发送代码摘要信息和验证标识，以供应用程序合法性验证装置验证终端设备上安装的相应APP的合法性。

步骤22，根据验证标识、代码摘要信息和本应用程序合法性验证装置生成的代码摘要信息和验证标识验证终端设备所安装的应用程序的合法性。

在本步骤中，应用程序合法性验证装置通过将接收到的验证标识和自身生成的验证标识进行比对，以及将接收到的代码摘要信息和自身生成的代码摘要信息进行比对，来确定相应APP的合法性。

本发明实施例提供的应用程序合法性验证方法，响应于接收到验证代理服务器发送的应用程序验证请求，获取其中携带的验证标识和代码摘要信息，应用程序验证请求由所述终端设备发送给代理服务器，代码摘要信息和验证标识由终端设备获取；根据所述验证标识、所述代码摘要信息和本应用程序合法性验证装置生成的代码摘要信息和验证标识验证终端设备所安装的应用程序的合法性；本发明由终端设备自动识别应用程序的代码摘要信息，并将代码摘要信息通过验证代理服务器发给应用程序合法性验证装置，由应用程序合法性验证装置根据代码摘要信息对安装在终端设备上的应用程序的合法性进行验证，可以识别出第三方提供的伪造应用程序，提高应用程序的安全性和可靠性。

在一些实施例中，生成代码摘要信息的步骤包括以下步骤：根据应用程序的安装文件生成代码摘要信息。

在一些实施例中，在生成代码摘要信息之后，所述应用程序合法性验证方法还可以包括以下步骤：根据代码摘要信息和应用程序的安装文件生成所述应用程序的安装包；响应于接收到终端设备发送的安装包获取请求，将安装包发送给终端设备。也就是说，APP安装包至少包括安装文件和代码摘要信息，应用程序合法性验证装置通过APP安装包将代码摘要信息下发给终端设备，以便后续根据代码摘要信息对APP的合法性进行验证。

在一些实施例中，APP安装包还可以包括数字证书，数字证书由应用程序合法性验证装置根据公钥生成，并连同APP安装包下发给终端设备，以便终端设备根据该数字证书与验证代理服务器进行认证。

在一些实施例中，如图3所示，所述根据应用程序的安装文件生成代码摘要信息，包括以下步骤：

步骤31，处理应用程序的预定安装文件，得到处理结果。

在一些实施例中，应用程序合法性验证装置对APP安装包中的预定安装文件进行hash(哈希)运算(例如采用SHA1算法)，得到处理结果，预定安装文件可以为关键的安装文件。

步骤32，利用私钥加密处理结果，以生成代码摘要信息。

在本步骤中，应用程序合法性验证装置使用非对称秘钥的私钥对步骤31得到的处理结果进行加密，从而生成代码摘要信息。在一些实施例中，可以使用非对称密钥算法，例如ECC(Error Correcting Code，错误检查和纠正)算法进行加密，得到密文形式的代码摘要信息。需要说明的是，私钥由应用程序合法性验证装置安全保存，不向外透露。公钥用于生成一张数字证书，数字证书可以与代码摘要信息一起包含在APP安装包中。

在一些实施例中，在接收验证代理服务器发送的应用程序验证请求(即步骤21)之前，还包括以下步骤：响应于接收到终端设备发送的访问请求，生成验证标识，并将验证标识发送给终端设备。

验证标识用于标识每一次验证操作，当终端设备安装APP之后，通过APP访问应用程序合法性验证装置时，应用程序合法性验证装置会生成一个验证标识，并将该验证标识返回给终端设备。验证标识的生成可以有多种方法，在一些实施例中，可以将时间戳作为验证标识，也可以生成随机数作为验证标识，或者，维护一个递增的计数器，以计数器值作为验证标识。在一些实施例中，验证标识中还可以包括其它信息，例如APP当前使用者的账号信息等。

在一些实施例中，所述根据验证标识、代码摘要信息和本应用程序合法性验证装置生成的代码摘要信息和验证标识验证终端设备所安装的应用程序的合法性(即步骤22)，包括以下步骤：响应于验证标识与本应用程序合法性验证装置生成的验证标识一致，且代码摘要信息与本应用程序合法性验证装置生成的代码摘要信息一致，确定应用程序合法，即该应用程序为官方APP。

本发明另一实施例还提供一种应用程序合法性验证方法，如图4所示，所述方法包括以下步骤：

步骤41，响应于接收到应用程序合法性验证装置发送的验证标识，确定待验证的应用程序的代码摘要信息。

在本步骤中，终端设备的APP接收应用程序合法性验证装置发送的验证标识，APP向操作***中的卡访问模块发送应用程序验证请求，以请求进行APP验证，应用程序验证请求中携带所述验证标识，在一些实施例中，应用程序验证请求中还可以携带应用程序合法性验证装置的地址。操作***中的卡访问模块识别出应用程序验证请求来自于哪一个APP，并从其保存的APP代码摘要数据库中查询到该APP的代码摘要。操作***中的卡访问模块将接收到的验证标识、查询到的代码摘要以及应用程序合法性验证装置的地址发送给终端设备SIM卡中的辅助验证卡应用。

步骤42，向验证代理服务器发送应用程序验证请求，所述应用程序验证请求中携带代码摘要、验证标识和应用程序合法性验证装置的地址。

在本步骤中，终端设备SIM卡中的辅助验证卡应用向验证代理服务器发送携带代码摘要信息、验证标识和应用程序合法性验证装置的地址的应用程序验证请求。

在一些实施例中，在确定待验证的应用程序的代码摘要信息(即步骤41)之后，向验证代理服务器发送应用程序验证请求(即步骤42)之前，还包括以下步骤：

步骤41’，与验证代理服务器建立安全连接，并与验证代理服务器进行双向认证。

在本步骤中，终端设备SIM卡中的辅助验证卡应用可以通过BIP(BearerIndependent Protocol)协议，如CAT_TP(Computer-Aided Translator TrainingPlatform)、HTTPS(Hyper Text Transfer Protocol over Secure Socket Layer，超文本传输安全协议)等，与验证代理建立安全连接。建立安全连接之后，辅助验证卡应用还可以与验证代理服务器之间通过预共享密钥或者数字证书等方式进行双向认证，确保来自SIM卡的访问可靠。

相应的，所述向验证代理服务器发送应用程序验证请求(即步骤42)，包括以下步骤：响应于与验证代理服务器进行双向认证通过，向验证代理服务器发送应用程序验证请求。在本步骤中，若终端设备SIM卡中的辅助验证卡应用与验证代理服务器进行双向认证通过，则向验证代理服务器发送携带代码摘要、验证标识和应用程序合法性验证装置的地址的应用程序验证请求。

验证代理服务器根据应用程序合法性验证装置的地址访问相应的应用程序合法性验证装置，即向相应的应用程序合法性验证装置发送携带验证标识和代码摘要信息的应用程序验证请求，以使应用程序合法性验证装置验证相应APP的合法性。

在一些实施例中，如图5所示，所述应用程序合法性验证方法还包括以下步骤：

步骤51，响应于接收到应用程序合法性验证装置发送的应用程序的安装包，获取安装包中的代码摘要信息。

在本步骤中，终端设备的操作***在根据APP安装包安装APP时，从安装包中提取代码摘要。需要说明的是，若APP安装包中还包括数字证书，则在本步骤中，也相应提取数字证书。

步骤52，利用公钥解密代码摘要信息得到第一摘要明文信息，并处理安装包中的预定安装文件，得到第二摘要明文信息。

在一些实施例中，终端设备的操作***使用公钥解密代码摘要信息，得到第一摘要明文信息，并对APP安装包中的预定文件进行hash运算(例如采用SHA1算法)得到第二摘要明文信息，预定安装文件可以为关键的安装文件。

步骤53，响应于第一摘要明文信息与第二摘要明文信息一致，根据安装包安装相应的应用程序。

在本步骤中，若终端设备的操作***判断出第一摘要明文信息和第二摘要明文信息一致，则允许APP安装。完成APP安装后，终端设备的操作***保存代码摘要信息(密文)，相应的，应用程序合法性验证装置在生成代码摘要信息之后也在本地保存。

基于相同的技术构思，本发明实施例还提供一种应用程序合法性验证装置，如图6所示，该应用程序合法性验证装置包括：接收模块101、获取模块102和验证模块103，接收模块101用于，接收验证代理服务器发送的应用程序验证请求，所述应用程序验证请求由终端设备发送给所述代理服务器。

获取模块102用于，获取所述应用程序验证请求中携带的验证标识和代码摘要信息，所述代码摘要信息和所述验证标识由所述终端设备获取。

验证模块103用于，根据所述验证标识、所述代码摘要信息和本应用程序合法性验证装置生成的代码摘要信息和验证标识验证所述终端设备所安装的应用程序的合法性。

在一些实施例中，所述应用程序合法性验证装置还包括第一生成模块、第二生成模块和发送模块，第一生成模块用于，根据应用程序的安装文件生成代码摘要信息。

第二生成模块用于，在第一生成模块生成代码摘要信息之后，根据所述代码摘要信息和所述应用程序的安装文件生成所述应用程序的安装包。

接收模块101还用于，接收所述终端设备发送的安装包获取请求。

发送模块用于，响应于接收模块101接收到所述终端设备发送的安装包获取请求，将所述安装包发送给所述终端设备。

在一些实施例中，第一生成模块用于，处理应用程序的预定安装文件，得到处理结果；利用私钥加密所述处理结果，以生成代码摘要信息。

在一些实施例中，所述应用程序合法性验证装置还包括第三生成模块，第三生成模块用于，响应于接收模块101接收到终端设备发送的访问请求，生成验证标识，并指示发送模块将所述验证标识发送给所述终端设备。

在一些实施例中，验证模块103用于，响应于所述验证标识与本应用程序合法性验证装置生成的验证标识一致，且所述代码摘要信息与本应用程序合法性验证装置生成的代码摘要信息一致，确定所述应用程序合法。

基于相同的技术构思，本发明实施例还提供一种终端设备，如图7所示，该终端设备包括：接收模块201、第一处理模块202和发送模块203，接收模块201用于，接收到应用程序合法性验证装置发送的验证标识。

第一处理模块202用于，确定待验证的应用程序的代码摘要信息。

发送模块203用于，向验证代理服务器发送应用程序验证请求，所述应用程序验证请求中携带所述代码摘要信息、所述验证标识和所述应用程序合法性验证装置的地址。

在一些实施例中，所述终端设备还包括认证模块，认证模块用于，与所述验证代理服务器建立安全连接，并与所述验证代理服务器进行双向认证。

发送模块203用于，响应于与所述验证代理服务器进行双向认证通过，向验证代理服务器发送应用程序验证请求。

在一些实施例中，所述终端设备还包括第二处理模块。

接收模块201还用于，接收所述应用程序合法性验证装置发送的应用程序的安装包。

第二处理模块用于，获取所述安装包中的代码摘要信息；利用公钥解密所述代码摘要信息得到第一摘要明文信息；处理所述安装包中的预定安装文件，得到第二摘要明文信息；响应于所述第一摘要明文信息与所述第二摘要明文信息一致，根据所述安装包安装相应的应用程序。

可以理解的是，以上实施方式仅仅是为了说明本发明的原理而采用的示例性实施方式，然而本发明并不局限于此。对于本领域内的普通技术人员而言，在不脱离本发明的精神和实质的情况下，可以做出各种变型和改进，这些变型和改进也视为本发明的保护范围。

Claims (10)

1.一种应用程序合法性验证方法，其特征在于，包括：

响应于接收到验证代理服务器发送的应用程序验证请求，获取其中携带的验证标识和代码摘要信息，所述应用程序验证请求由终端设备发送给所述代理服务器，所述代码摘要信息和所述验证标识由所述终端设备获取；

根据所述验证标识、所述代码摘要信息和本应用程序合法性验证装置生成的代码摘要信息和验证标识验证所述终端设备所安装的应用程序的合法性。

2.如权利要求1所述的方法，其特征在于，所述方法还包括生成代码摘要信息的步骤，所述生成代码摘要信息的步骤包括：根据应用程序的安装文件生成代码摘要信息；

在生成代码摘要信息之后，所述方法还包括：

根据所述代码摘要信息和所述应用程序的安装文件生成所述应用程序的安装包；

响应于接收到所述终端设备发送的安装包获取请求，将所述安装包发送给所述终端设备。

3.如权利要求2所述的方法，其特征在于，所述根据应用程序的安装文件生成代码摘要信息，包括：

处理应用程序的预定安装文件，得到处理结果；

利用私钥加密所述处理结果，以生成代码摘要信息。

4.如权利要求1所述的方法，其特征在于，接收验证代理服务器发送的应用程序验证请求之前，还包括：

响应于接收到终端设备发送的访问请求，生成验证标识，并将所述验证标识发送给所述终端设备。

5.如权利要求1-4任一项所述的方法，其特征在于，所述根据所述验证标识、所述代码摘要信息和本应用程序合法性验证装置生成的代码摘要信息和验证标识验证所述终端设备所安装的应用程序的合法性，包括：

响应于所述验证标识与本应用程序合法性验证装置生成的验证标识一致，且所述代码摘要信息与本应用程序合法性验证装置生成的代码摘要信息一致，确定所述应用程序合法。

6.一种应用程序合法性验证方法，其特征在于，包括：

响应于接收到应用程序合法性验证装置发送的验证标识，确定待验证的应用程序的代码摘要信息；

向验证代理服务器发送应用程序验证请求，所述应用程序验证请求中携带所述代码摘要信息、所述验证标识和所述应用程序合法性验证装置的地址。

7.如权利要求6所述的方法，其特征在于，在确定待验证的应用程序的代码摘要信息之后，向验证代理服务器发送应用程序验证请求之前，还包括：

与所述验证代理服务器建立安全连接，并与所述验证代理服务器进行双向认证；

所述向验证代理服务器发送应用程序验证请求，包括：响应于与所述验证代理服务器进行双向认证通过，向验证代理服务器发送应用程序验证请求。

8.如权利要求6所述的方法，其特征在于，还包括：

响应于接收到所述应用程序合法性验证装置发送的应用程序的安装包，获取所述安装包中的代码摘要信息；

利用公钥解密所述代码摘要信息得到第一摘要明文信息；

处理所述安装包中的预定安装文件，得到第二摘要明文信息；

响应于所述第一摘要明文信息与所述第二摘要明文信息一致，根据所述安装包安装相应的应用程序。

9.一种应用程序合法性验证装置，其特征在于，包括：接收模块、获取模块和验证模块，所述接收模块用于，接收验证代理服务器发送的应用程序验证请求，所述应用程序验证请求由终端设备发送给所述代理服务器；

所述获取模块用于，获取所述应用程序验证请求中携带的验证标识和代码摘要信息，所述代码摘要信息和所述验证标识由所述终端设备获取；

所述验证模块用于，根据所述验证标识、所述代码摘要信息和本应用程序合法性验证装置生成的代码摘要信息和验证标识验证所述终端设备所安装的应用程序的合法性。

10.一种终端设备，其特征在于，包括：接收模块、处理模块和发送模块，所述接收模块用于，接收到应用程序合法性验证装置发送的验证标识；

所述处理模块用于，确定待验证的应用程序的代码摘要信息；

所述发送模块用于，向验证代理服务器发送应用程序验证请求，所述应用程序验证请求中携带所述代码摘要信息、所述验证标识和所述应用程序合法性验证装置的地址。

Images