[发明专利]权限信息的确定方法和装置

说明书

本公开提供了一种权限信息的确定方法和装置，涉及信息安全技术领域，所述方法包括：获取在真机沙箱环境中模拟运行一组应用程序的过程中的多个权限请求；将每个权限请求输入训练好的机器学习模型，以确定每个权限请求的发起方，所述发起方为所述一组应用程序或所述一组应用程序调用的软件开发工具包；根据每个权限请求的发起方，确定至少一个软件开发工具包发起的权限请求对应的权限信息。

技术领域

本公开涉及信息安全技术领域，尤其是一种权限信息的确定方法和装置。

背景技术

近年来，随着移动终端的普及，人们在日常生活中越来越多地使用移动终端上安装的各种应用程序(Application，APP)。

这些应用程序虽然给日常生活带来了许多便利，但是，随之产生的信息安全风险也不容忽视。近期，中国消费者协会通报了针对100款应用程序的“个人信息收集与隐私政策”的测评结果。测评结果显示，这100款应用程序中的59款应用程序涉嫌过度收集“位置信息”、28款应用程序涉嫌过度收集“通讯录信息”、23款应用程序涉嫌过度收集“身份信息”、22款应用程序涉嫌过度收集“手机号码”等。各类应用程序过度地索要权限是信息安全风险产生的主要原因。

发明内容

发明人注意到，软件开发工具包(Software Development Kit，SDK)的广泛应用造成了应用程序过度索要权限的现状。

开发人员在应用程序的开发过程中直接调用某些SDK即可使得应用程序具有期望的功能，例如，广告功能、支付功能、统计功能、社交功能、推送功能、地图功能等。这降低了应用程序的开发周期、成本和难度。

然而，由于调用的SDK被封装，开发人员难以获取这些SDK的源代码，从而也难以获知SDK索要的权限信息。换言之，这些SDK在应用程序运行时会以应用程序的名义向操作系统索要开发人员未知的各种权限，从而造成了应用程序过度地索要权限。

有鉴于此，本公开实施例提出了如下能够准确确定SDK对应的权限信息的解决方案。

根据本公开实施例的一方面，提供一种权限信息的确定方法，包括：获取在真机沙箱环境中模拟运行一组应用程序的过程中的多个权限请求；将每个权限请求输入训练好的机器学习模型，以确定每个权限请求的发起方，所述发起方为所述一组应用程序或所述一组应用程序调用的软件开发工具包；根据每个权限请求的发起方，确定至少一个软件开发工具包发起的权限请求对应的权限信息。

在一些实施例中，所述一组应用程序仅包括一个应用程序。

在一些实施例中，所述方法还包括：对至少一个样本应用程序的应用程序包进行反编译，以得到标识信息，所述标识信息包括每个样本应用程序调用的软件开发工具包的标识；针对所述标识信息中的每个标识，以携带该标识的权限请求作为输入、以该标识作为输出对机器学习模型进行训练，以得到训练好的机器学习模型。

在一些实施例中，所述标识信息还包括每个样本应用程序的标识。

在一些实施例中，对至少一个样本应用程序的应用程序包进行反编译，以得到标识信息包括：对所述至少一个样本应用程序的应用程序包进行反编译，以得到每个样本应用程序的至少一个文件，所述至少一个文件包括源码文件；确定所述源码文件的导包信息中的软件开发工具包的第一组标识；其中，所述标识信息包括所述第一组标识。

在一些实施例中，所述至少一个文件还包括lib文件夹下的文件和build.gradle文件；所述方法还包括：确定所述lib文件夹下的文件中的软件开发工具包的第二组标识，并确定所述build.gradle文件的依赖信息中的软件开发工具包的第三组标识；其中，所述标识信息还包括所述第二组标识和所述第三组标识。

在一些实施例中，所述源码文件为java类源码文件。