本发明专利技术实施例公开了一种访问控制方法和装置，用于加强对隐藏在可信计算平台的硬件保护机制下的数据的保护，防止恶意应用程序的暴力破解。本发明专利技术实施例方法包括：为运行的应用程序建立容器，再判断该应用程序是否为可信的安全应用程序，若不能确定该应用程序为可信的安全应用程序，则不对该容器开放安全访问接口的访问权限。
【技术实现步骤摘要】
本专利技术涉及通信领域，尤其涉及一种访问控制方法和装置。
技术介绍
可信计算(Trusted Computing)是在计算和通信系统中广泛使用基于硬件安全模块支持下的可信计算平台，以提高系统整体的安全性。ARM的TrustZone技术为一种芯片级可信计算框架，其硬件构架是整个系统设计过程中的安全体系的扩展，目的是防范设备可能遭受到的多种特定威胁。在处理器构架上，每个物理的处理器核提供两个虚拟核，一个是非安全核，另一个是安全核，它们通过安全驱动的访问可以进行切换，非安全核只能访问非安全核的系统资源，而安全核能访问所有的系统资源，包括在隐藏在硬件保护机制下的数据。应用了该TrustZone技术的手机等移动设备，能采用ARM推荐的方式，将应用程序的执行环境分为可信执行环境和不可信执行环境，以此来实现普通应用与安全应用的隔离，应用程序可以通过该可信计算平台提供的安全访问接口访问安全驱动，从而触发安全切换机制，从不可信执行环境切换到可信执行环境，在可信环境下，应用程序可以访问该隐藏在硬件保护机制下的数据。在实际应用中，虽然可信应用平台会对触发该安全切换机制的应用程序进行验证，但是运行在不可信执行环境中的所有应用程序都可以接触该安全切换机制，给了恶意程序提供尝试攻击的可能，该安全切换机制的验证过程可能会被恶意程序暴力破解，从而造成重要隐私信息泄露。
技术实现思路
本专利技术实施例提供了一种访问控制方法和装置，用于加强对隐藏在可信计算平台的硬件保护机制下的数据的保护，防止恶意应用程序的暴力破解。本专利技术实施例第一方面提供了一种访问控制方法，应用于运行有可信计算平台的访问控制装置，所述方法包括:当访问控制装置中安装的应用程序运行时，所述访问控制装置使用操作系统支持的应用隔离技术为所述应用程序建立容器；所述访问控制装置判断所述应用程序是否为可信的安全应用程序；若确定所述应用程序是所述可信的安全应用程序，所述访问控制装置对所述容器开放安全访问接口的访问权限，所述安全访问接口用于访问安全驱动，所述安全驱动用于在可信计算平台中访问隐藏在硬件保护机制下的数据；若确定所述应用程序不是所述可信的安全应用程序，所述访问控制装置不对所述容器开放所述安全访问接口的访问权限。结合本专利技术实施例的第一方面，本专利技术实施例第一方面的第一种实现方式中，所述访问控制装置判断所述应用程序是否为可信的安全应用程序，具体包括:所述访问控制装置判断所述应用程序是否具有认证为可信的安全应用程序的认证依据；当确定所述应用程序具有所述认证依据时，确定所述应用程序是可信的安全应用程序；当确定所述应用程序不具有所述认证依据时，确定所述应用程序不是可信的安全应用程序。结合本专利技术实施例的第一方面，本专利技术实施例第一方面的第二种实现方式中，所述访问控制装置对所述容器开放所述安全访问接口的访问权限，具体包括:所述访问控制装置将所述安全访问接口表现为一个虚拟网络设备，将所述虚拟网络设备移入所述容器的网络空间，成为所述容器的私有接口 ；或，所述访问控制装置将所述安全访问接口表现为一个虚拟设备或文件接口，采用设备访问控制技术控制将所述虚拟设备或文件接口的访问权限开放给所述容器。结合本专利技术实施例的第一方面，本专利技术实施例第一方面的第三种实现方式中，所述访问控制装置不对所述容器开放所述安全访问接口的访问权限，具体包括:所述访问控制装置控制所述安全访问接口对所述容器不可见且不可访问。结合本专利技术实施例的第一方面至第一方面的第三种实现方式，本专利技术实施例第一方面的第四种实现方式中，若确定所述应用程序是所述可信的安全应用程序，所述访问控制装置对所述容器开放所述安全访问接口的访问权限的步骤之后，所述方法还包括:当所述应用程序通过所述安全访问接口访问所述安全驱动时，所述访问控制装置验证所述应用程序的安全凭证，所述安全凭证与所述认证依据不同；当所述安全凭证验证通过后，所述访问控制装置允许所述应用程序访问所述隐藏在硬件保护机制下的数据。结合本专利技术实施例的第一方面至第一方面的第三种实现方式，本专利技术实施例第一方面的第五种实现方式中，若确定所述应用程序不是所述可信的安全应用程序，所述访问控制装置不对所述容器开放所述安全访问接口的访问权限的步骤之后，所述方法还包括:当满足预置条件时，触发所述访问控制装置判断所述应用程序是否为可信的安全应用程序的步骤。结合本专利技术实施例第一方面的第五种实现方式，本专利技术实施例第一方面的第六种实现方式中，所述预置条件包括:经过预置时间间隔，或，接收到重新判断指令，或，检测到所述应用程序的认证依据更新。本专利技术实施例第二方面提供了一种访问控制装置，运行有可信计算平台，包括:建立模块，用于当安装的应用程序运行时，使用操作系统支持的应用隔离技术为所述应用程序建立容器；判断模块，用于判断所述应用程序是否为可信的安全应用程序；权限开放模块，用于当所述判断模块确定所述应用程序是所述可信的安全应用程序时，对所述容器开放安全访问接口的访问权限，所述安全访问接口用于访问安全驱动，所述安全驱动用于在可信计算平台中访问隐藏在硬件保护机制下的数据；权限限制模块，用于当所述判断模块确定所述应用程序不是所述可信的安全应用程序时，不对所述容器开放所述安全访问接口的访问权限。结合本专利技术实施例的第二方面，本专利技术实施例第二方面的第一种实现方式中，所述判断模块具体包括:判断单元，用于判断所述应用程序是否具有认证为可信的安全应用程序的认证依据；第一确定单元，用于当所述判断单元确定所述应用程序具有所述认证依据时，确定所述应用程序是可信的安全应用程序；第二确定单元，用于当所述判断单元确定所述应用程序不具有所述认证依据时，确定所述应用程序不是可信的安全应用程序。结合本专利技术实施例的第二方面，本专利技术实施例第二方面的第二种实现方式中，所述权限开放模块具体用于，当所述判断模块确定所述应用程序是所述可信的安全应用程序时，将所述安全访问接口表现为一个虚拟网络设备，将所述虚拟网络设备移入所述容器的网络空间，成为所述容器的私有接口 ；或，将所述安全访问接口表现为一个虚拟设备或文件接口，采用设备访问控制技术控制将所述虚拟设备或文件接口的访问权限开放给所述容器。结合本专利技术实施例的第二方面，本专利技术实施例第二方面的第三种实现方式中，所述权限限制模块具体用于，控制所述安全访问接口对所述容器不可见且不可访问。结合本专利技术实施例的第二方面至第二方面的第三种实现方式，本专利技术实施例第二方面的第四种实现方式中，所述访问控制装置还包括:验证模块，用于在所述权限开放模块对所述容器开放安全访问接口的访问权限之后，当所述应用程序通过所述安全访问接口访问所述安全驱动时，验证所述应用程序的安全凭证，所述安全凭证与所述认证依据不同；访问允许模块，用于当所述应用程序的安全凭证被所述验证模块验证通过后，允许所述应用程序访问所述隐藏在硬件保护机制下的数据。结合本专利技术实施例的第二方面至第二方面的第三种实现方式，本专利技术实施例第二方面的第五种实现方式中，所述访问控制装置还包括:触发模块，用于在所述权限限制模块不对所述容器开放所述安全访问接口的访问权限之后，当满足预置条件时，触发所述判断模块。结合本专利技术实施例第二方面的第五种实现方式，本专利技术实施例第二方面的第六种实现方式中，所述预置条件包本文档来自技高网...
【技术保护点】
一种访问控制方法，应用于运行有可信计算平台的访问控制装置，其特征在于，所述方法包括：当访问控制装置中安装的应用程序运行时，所述访问控制装置使用操作系统支持的应用隔离技术为所述应用程序建立容器；所述访问控制装置判断所述应用程序是否为可信的安全应用程序；若确定所述应用程序是所述可信的安全应用程序，所述访问控制装置对所述容器开放安全访问接口的访问权限，所述安全访问接口用于访问安全驱动，所述安全驱动用于在可信计算平台中访问隐藏在硬件保护机制下的数据；若确定所述应用程序不是所述可信的安全应用程序，所述访问控制装置不对所述容器开放所述安全访问接口的访问权限。
【技术特征摘要】
【专利技术属性】
技术研发人员：叶磊，
申请(专利权)人：华为技术有限公司，
类型：发明
国别省市：广东;44
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。