[发明专利]一种安卓应用程序中不可信第三方库访问权限控制方法

说明书

本发明提供了一种安卓应用程序中不可信第三方库访问权限控制方法。所述安卓应用程序中不可信第三方库访问权限控制方法包括如下步骤：对第三方库的权限进行分配；对第三方库的不可调用API集合进行分析，根据第三方库被分配的权限，结合权限与API的映射关系，分析得出第三方库的不可调用API集合；对第三方库的系统API调用安全性进行分析，根据第三方库不可调用的权限API集合、及涉及敏感信息访问的非权限API集合，分析记录第三方库中涉及这两类API的调用信息；根据代码安全性分析结果，在第三方库代码中加入访问控制策略。

技术领域

本发明涉及模式识别技术领域，特别涉及一种安卓应用程序中不可信第三方库访问权限控制方法。

背景技术

第三方库在Android应用程序开发过程中使用非常普遍，开发者为了提高开发效率或者减少开发成本，从而在应用内引入相应功能的第三方库模块。

但是，一旦引入的第三方库存在恶意行为，用户隐私信息将存在泄露的威胁。这种安全问题的主要原因在于：安卓系统的访问权限控制是粗粒度的，无法对应用内模块的访问权限机制隔离控制。第三方库的安全使用主要有两类方案：扩展Android系统的安全机制，利用Android的安全机制，加入对应用程序细粒度的访问控制策略；重写APK文件，反编译字节码为中间码文件，然后对第三方库进行重写，加入细粒度访问控制策略。两种方案都存在着防御方案不便部署、访问控制策略不完善、性能开销大等缺陷。

发明内容

本发明的目的在于针对现有技术的缺陷或问题，提供一种安卓应用程序中不可信第三方库访问权限控制方法，通过对第三方库字节码的静态分析以及重写，实现了对第三方库访问权限的控制，以解决现有方案存在的安全措施不便部署等问题。

本发明的技术方案如下：一种安卓应用程序中不可信第三方库访问权限控制方法包括如下步骤：步骤1、对第三方库的权限进行分配；步骤2、对第三方库的不可调用API集合进行分析，根据第三方库被分配的权限，结合权限与API的映射关系，分析得出第三方库的不可调用API集合；步骤3、对第三方库的系统API调用安全性进行分析，根据第三方库不可调用的权限API集合、及涉及敏感信息访问的非权限API集合，分析记录第三方库中涉及这两类API的调用信息；步骤4、根据代码安全性分析结果，在第三方库代码中加入访问控制策略，所述访问控制策略包括：对第三方库的权限API不合法调用行为进行替换，根据代码安全性分析结果中关于第三方库中出现的权限API不合法行为，对其进行替换操作；对第三方库的非权限API可疑调用行为进行插桩，根据代码安全性分析结果中关于第三方库中出现的非权限API可疑调用行为，对其进行插桩操作。

优选地，步骤1具体包括如下步骤：

步骤1.1、根据第三方库的附加说明信息提取出第三方库申请的访问权限；

步骤1.2、根据库功能依次对第三方库申请的访问权限的合理性进行分析；

步骤1.3、为某条权限申请是否为合理性判定过程，如果为不合理的权限申请，则直接跳转到步骤1.5，如果为合理的权限申请，则进入步骤1.4；

步骤1.4、将合理的权限申请条目加入第三方库权限配置文件ThirdLib_Permissions.xml文件中，并进入步骤1.5；

步骤1.5、判断是否对所有的第三方库权限申请条目分析完成，如果存在权限申请条目未进行分析，则跳转到步骤1.2继续进行分析；如果已完成对所有的权限申请条目合理性分析，则结束权限分配流程。

优选地，ThirdLib_Permissions.xml文件中为对第三方库访问权限的分配。

优选地，步骤2具体包括如下步骤：

步骤2.1、将第三方库的权限集合保存在ThirdLibPermissionSet中；