一种控制方法、装置及电子设备

技术领域

本申请涉及计算机技术领域，尤其涉及一种控制方法、装置及电子设备。

背景技术

目前，多数配置有操作系统的计算机都能够安装并运行具有相应功能的软件代码。

但是，可能存在某些恶意软件会绕过操作系统中配置的安全拦截机制的情况，导致计算机仍然存在被攻击的风险。

发明内容

有鉴于此，本申请提供一种控制方法、装置及电子设备，如下：

一种控制方法，包括：

接收对象执行请求，所述对象执行请求中至少包含目标对象的目标标识；

在标识集合中查找是否有与所述目标标识相匹配的对象标识，其中，所述标识集合中包含至少一个可执行对象的对象标识，所述标识集合预先从电子设备中的目标固件内读取；

在所述标识集合中查找到与所述目标标识相匹配的对象标识的情况下，允许所述目标对象在所述电子设备上执行；

在所述标识集合中没有查找到与所述目标标识相匹配的对象标识的情况下，禁止所述目标对象在所述电子设备上执行。

上述方法，优选的，所述标识集合在所述目标固件出厂之前被刷新到所述目标固件中。

上述方法，优选的，还包括：

接收标识更新请求，所述标识更新请求中至少包含更新标识；

在所述更新标识满足固件刷新规则的情况下，利用固件刷新工具对所述标识集合中的对象标识进行更新。

上述方法，优选的，利用固件刷新工具对所述标识集合中的对象标识进行更新，包括：

利用固件刷新工具将所述标识更新请求中的第一标识添加到所述标识集合中。

上述方法，优选的，利用固件刷新工具对所述标识集合中的对象标识进行更新，包括：

利用固件刷新工具对所述标识集合中与所述标识更新请求中的第二标识相匹配的对象标识进行修改。

上述方法，优选的，利用固件刷新工具对所述标识集合中的对象标识进行更新，包括：

利用固件刷新工具将所述标识集合中与所述第三标识相匹配的对象标识进行删除。

上述方法，优选的，所述标识集合中的对象标识以相应的可执行对象的对象签名或对象证书表示，所述对象签名或所述对象证书唯一表征所述可执行对象。

上述方法，优选的，所述可执行对象被执行所实现的功能与物联网功能和/或边缘计算功能相关。

一种控制装置，包括：

请求接收单元，用于接收对象执行请求，所述对象执行请求中至少包含目标对象的目标标识；

标识查找单元，用于在标识集合中查找是否有与所述目标标识相匹配的对象标识，其中，所述标识集合中包含至少一个可执行对象的对象标识，所述标识集合预先从电子设备中的目标固件内读取；

对象控制单元，用于在所述标识集合中查找到与所述目标标识相匹配的对象标识的情况下，允许所述目标对象在所述电子设备上执行；在所述标识集合中没有查找到与所述目标标识相匹配的对象标识的情况下，禁止所述目标对象在所述电子设备上执行。

一种电子设备，包括：

目标固件，用存储标识集合，所述标识集合中包含至少一个可执行对象的对象标识；

存储器，用于存储应用程序和所述应用程序运行所产生的数据；

处理器，用于执行所述应用程序，以实现：接收对象执行请求，所述对象执行请求中至少包含目标对象的目标标识；在标识集合中查找是否有与所述目标标识相匹配的对象标识，其中，所述标识集合预先从所述目标固件内读取；在所述标识集合中查找到与所述目标标识相匹配的对象标识的情况下，允许所述目标对象在所述电子设备上执行；在所述标识集合中没有查找到与所述目标标识相匹配的对象标识的情况下，禁止所述目标对象在所述电子设备上执行。

从上述技术方案可以看出，本申请公开的一种控制方法、装置及电子设备中，在接收包含目标对象的目标标识的对象执行请求之后，在从电子设备的目标固件中读取出的标识集合中查找是否有与目标标识相匹配的对象标识，由此，在标识集合中查找到与目标标识相匹配的对象标识的情况下，允许目标对象在电子设备上执行，但是在标识集合中没有查找到与目标标识相匹配的对象标识的情况下，禁止目标对象在电子设备上执行。可见，本申请中利用固件内信息不可篡改的特点，将允许执行的对象的对象标识预先保存在电子设备的固件内，由此就可以通过在固件内查找对象标识来实现对可执行对象的有效判断从而实现安全拦截，避免恶意对象绕过电子设备的操作系统无法被拦截的情况，从而提高电子设备的安全性。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例一提供的一种控制方法的流程图；

图2为本申请实施例一提供的一种控制方法的部分流程图；

图3为本申请实施例二提供的一种控制装置的结构示意图；

图4为本申请实施例二提供的一种控制装置的另一结构示意图；

图5为本申请实施例三提供的一种电子设备的结构示意图；

图6为本申请适用于计算机上实现安全拦截机制的结构图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

参考图1，为本申请实施例一提供的一种控制方法的实现流程图，该方法可以适用于能够对可执行对象进行处理的电子设备中，如手机、pad、计算机或服务器等。本实施例中的技术方案主要用于提高电子设备的安全性。

具体的，本实施例中的方法可以包含以下步骤：

步骤101：接收对象执行请求。

其中，对象执行请求中至少包含目标对象的目标标识，以表征：请求在电子设备上执行该目标对象。这里的目标对象为目标标识对应的可执行对象，如应用程序或软件代码等，该可执行对象被运行时能够实现相应的功能。以电子设备为物联网设备和/或边缘计算服务器为例，这些可执行对象所实现的功能与物联网功能和/或边缘计算功能相关，能够实现物联网传输或边缘计算等功能。

例如，对象执行请求中包含有待安装的软件的软件标识，以表征：请求在电子设备上安全该软件；或者，对象执行请求中包含有待运行的应用的应用名称，以表征：请求在电子设备上运行该应用，等等。

步骤102：在标识集合中查找是否有与目标标识相匹配的对象标识，如果在标识集合中查找到与目标标识相匹配的对象标识，那么执行步骤103，如果在标识集合中没有查找到与目标标识相匹配的对象标识，那么执行步骤104。

其中，标识集合中包含至少一个可执行对象的对象标识，而标识集合中所包含的对象标识对应的可执行对象为：允许在电子设备上被执行的可执行对象，也就是说，标识集合中所包含的对象标识为电子设备上允许执行的可执行对象的白名单。标识集合中的对象标识可以根据安全规则或者用户需求预先被设置。而被设置好的标识集合存储在电子设备的目标部件中，本实施例中在标识集合中查找目标标识之前，预先从电子设备的目标固件内读取到标识集合，再在读取到的标识集合中查找是否有与目标标识相匹配的对象标识。

需要说明的是，标识集合中的对象标识可以以相应的可执行对象的对象签名或者对象证书表示，这些对象签名或者对象证书能够唯一表征相应的可执行对象，且表征相应的可执行对象已经被电子设备认证或注册，为合法的被允许在电子设备上执行的对象。

而保存标识集合的目标固件可以为电子设备不易被攻击的固件，如基本输入输出系统BIOS(Basic Input Output System)等固件，由此，本实施例中的标识集合预先从电子设备中的BIOS内读取。

具体实现中，本实施例中可以将目标标识依次与标识集合内的每个对象标识进行比对，进而查找到与目标标识相匹配的对象标识，此时，执行步骤103；或者，直到将所有对象标识均与目标标识进行比对也没有找到与目标标识相匹配的对象标识，此时，执行步骤104。

步骤103：允许目标对象在电子设备上执行。

其中，允许目标对象在电子设备上执行可以包含有多种执行操作，如允许目标对象在电子设备上被安装、被运行或者被卸载等执行操作。

例如，允许应用标识在标识集合中的物联网传输功能的应用程序在物理网设备上被安装，或者，允许软件名称在标识集合中的边缘计算功能的软件代码在边缘计算服务器上被运行，以计算得到相应的数据结果，等等。

步骤104：禁止目标对象在电子设备上执行。

其中，禁止目标对象在电子设备上执行可以包含有多种执行操作，如禁止目标对象在电子设备上被安装、被运行或者被卸载等执行操作。

例如，禁止应用标识不在标识集合中的物联网传输功能的应用程序在物理网设备上被安装，或者，禁止软件名称不在标识集合中的边缘计算功能的软件代码在边缘计算服务器上被运行，等等。

从上述技术方案可以看出，本申请实施例一提供的一种控制方法中，在接收包含目标对象的目标标识的对象执行请求之后，在从电子设备的目标固件中读取出的标识集合中查找是否有与目标标识相匹配的对象标识，由此，在标识集合中查找到与目标标识相匹配的对象标识的情况下，允许目标对象在电子设备上执行，但是在标识集合中没有查找到与目标标识相匹配的对象标识的情况下，禁止目标对象在电子设备上执行。可见，本实施例中利用固件内信息不可篡改的特点，将允许执行的对象的对象标识预先保存在电子设备的固件内，由此就可以通过在固件内查找对象标识来实现对可执行对象的有效判断从而实现安全拦截，避免恶意对象绕过电子设备的操作系统无法被拦截的情况，从而提高电子设备的安全性。

在一种实现方式中，本实施例中的标识集合可以在目标固件出厂之前被刷新到目标固件中。

例如，在为某个行业或某个企业出厂一件或一批电子设备时，在目标固件出厂之前，将该行业或企业允许在电子设备上被执行的可执行对象的对象标识组成标识集合并烧录到电子设备中的目标固件如BIOS中。

或者，本实施例中的标识集合可以在目标固件出厂之后被刷新到目标固件中。

例如，在将电子设备提供给用户使用之后，用户可以根据需求将允许在电子设备上被执行的可执行对象的对象标识组成标识集合并刷新到电子设备的目标固件如BIOS中。

基于以上实现，本实施例中在电子设备的使用过程中，可以根据需求对目标固件中的标识集合进行更新，具体如图2中所示：

步骤105：接收标识更新请求。

其中，标识更新请求中至少包含更新标识，这里的更新标识至少表征请求对标识集合进行更新，另外，更新标识还可以表征对标识集合进行更新的类型，如更换整个标识集合的类型、对标识集合中添加新的对象标识的类型、删除原有的对象标识的类型、修改其中一个或多个对象标识的类型，等等。

步骤106：判断更新标识是否满足固件刷新规则，在更新标识满足固件刷新规则的情况下，执行步骤107，在更新标识不满足固件刷新规则的情况下，结束当前流程。

其中，固件刷新规则可以为：更新标识是否与预设的合法标识相匹配，基于此，本实施例中判断更新标识是否满足固件刷新规则，实际上是对标识更新请求进行合法性验证。

例如，在固件刷新规则中设置有一个或多个合法标识，如合法口令、合法账号或合法序列号等，如果是这些合法标识对应的用户或者终端请求对标识集合进行更新时，是允许对目标固件进行刷新进而对标识集合进行更新的，但是如果不是这些合法标识对应的用户或终端，那么不允许对目标固件进行刷新。

基于此，本实施例中在标识更新请求中携带用户或终端的更新标识，如用户口令、用户账号或终端序列号等，以表征用户或终端的身份，由此，本实施例中在将更新标识与固件刷新规则中的合法标识进行一一对比之后，就可以确定更新标识是否满足固件刷新规则，如果满足，那么可以执行步骤107，如果不满足，则表征当前的标识更新请求不是合法的用户或终端进行操作的请求，此时不做任何更新操作。

当然，固件刷新规则中也可以为空，不设置任何合法标识，也就是说，在目标固件中的标识集合被设置之后不再允许任何用户或终端再次对标识集合中的对象标识进行更新。

步骤107：利用固件刷新工具对标识集合中的对象标识进行更新。

其中，固件刷新工具可以为电子设备中能够对目标固件进行刷新的工具，基于此，本实施例中可以利用固件刷新工具对目标固件中的标识集合中的对象标识进行更新。

具体实现中，利用固件刷新工具对目标固件中的标识集合进行更新包含有多种更新操作，如更换整个标识集合、对标识集合中添加新的对象标识、删除原有的对象标识、修改其中一个或多个对象标识，等等。具体如下：

在一种实现方式中，本实施例中利用固件刷新工具对标识集合中的对象标识进行更新，具体可以为：

利用固件刷新工具将标识更新请求中的第一标识添加到标识集合中。

也就是说，在标识更新请求中除了包含有表征请求对标识集合添加新标识的更新标识之外，还包含有待添加的第一标识，基于此，本实施例中就可以在更新标识满足固件刷新规则的情况下，利用固件刷新工具将第一标识添加到目标固件中的标识集合中，以便于下次进行安全控制时，可以从目标固件中读取添加有第一标识的标识集合并据此对新的对象执行请求进行处理，从而不再禁止第一标识对应的可执行对象在电子设备上执行，从而进一步提高电子设备的安全性。

在另一种实现方式中，本实施例中利用固件刷新工具对标识集合中的对象标识进行更新，具体可以为：

利用固件刷新工具对标识集合中与标识更新请求中的第二标识相匹配的对象标识进行修改。

也就是说，在标识更新请求中除了包含有表征请求对标识集合中的原有标识进行修改的更新标识之外，还包含有待修改的第二标识，基于此，本实施例中就可以在更新标识满足固件刷新规则的情况下，利用固件刷新工具对标识集合中与第二标识相匹配的对象标识进行修改，如更新对象标识的版本号等修改操作，以便于下次进行安全控制时，可以从目标固件中读取包含有被修改的对象标识的标识集合并据此对新的对象执行请求进行处理，从而禁止修改前的第二标识对应的可执行对象在电子设备上执行，并允许修改后的第二标识对应的可执行对象在电子设备上执行，从而进一步提高电子设备的安全性。

在另一种实现方式中，本实施例中利用固件刷新工具对标识集合中的对象标识进行更新，具体可以为：

利用固件刷新工具将标识集合中与第三标识相匹配的对象标识进行删除。

也就是说，在标识更新请求中除了包含有表征请求对标识集合中的原有标识进行删除的更新标识之外，还包含有待删除的第三标识，基于此，本实施例中就可以在更新标识满足固件刷新规则的情况下，利用固件刷新工具将标识集合中与第三标识相匹配的对象标识进行删除，以便于下次进行安全控制时，可以从目标固件中读取已经被删除第三标识对应的对象标识的标识集合并据此对新的对象执行请求进行处理，从而禁止第三标识对应的可执行对象在电子设备上执行，从而进一步提高电子设备的安全性。

参考图3，为本申请实施例二提供得一种控制装置的结构示意图，该装置可以配置在能够对可执行对象进行处理的电子设备中，如手机、pad、计算机或服务器等。本实施例中的技术方案主要用于提高电子设备的安全性。

具体的，本实施例中的装置可以包含以下单元：

请求接收单元301，用于接收对象执行请求，所述对象执行请求中至少包含目标对象的目标标识；

标识查找单元302，用于在标识集合中查找是否有与所述目标标识相匹配的对象标识，其中，所述标识集合中包含至少一个可执行对象的对象标识，所述标识集合预先从电子设备中的目标固件内读取；

对象控制单元303，用于在所述标识集合中查找到与所述目标标识相匹配的对象标识的情况下，允许所述目标对象在所述电子设备上执行；在所述标识集合中没有查找到与所述目标标识相匹配的对象标识的情况下，禁止所述目标对象在所述电子设备上执行。

从上述技术方案可以看出，本申请实施例二的一种控制装置中，在接收包含目标对象的目标标识的对象执行请求之后，在从电子设备的目标固件中读取出的标识集合中查找是否有与目标标识相匹配的对象标识，由此，在标识集合中查找到与目标标识相匹配的对象标识的情况下，允许目标对象在电子设备上执行，但是在标识集合中没有查找到与目标标识相匹配的对象标识的情况下，禁止目标对象在电子设备上执行。可见，本实施例中利用固件内信息不可篡改的特点，将允许执行的对象的对象标识预先保存在电子设备的固件内，由此就可以通过在固件内查找对象标识来实现对可执行对象的有效判断从而实现安全拦截，避免恶意对象绕过电子设备的操作系统无法被拦截的情况，从而提高电子设备的安全性。

在一种实现方式中，所述标识集合在所述目标固件出厂之前被刷新到所述目标固件中。

在一种实现方式中，本实施例中的装置还可以包含以下单元，如图4中所示：

标识更新单元304，用于接收标识更新请求，所述标识更新请求中至少包含更新标识；在所述更新标识满足固件刷新规则的情况下，利用固件刷新工具对所述标识集合中的对象标识进行更新。

可选的，标识更新单元304利用固件刷新工具对所述标识集合中的对象标识进行更新，具体为：利用固件刷新工具将所述标识更新请求中的第一标识添加到所述标识集合中。

可选的，标识更新单元304利用固件刷新工具对所述标识集合中的对象标识进行更新，具体为：利用固件刷新工具对所述标识集合中与所述标识更新请求中的第二标识相匹配的对象标识进行修改。

可选的，标识更新单元304利用固件刷新工具对所述标识集合中的对象标识进行更新，具体为：利用固件刷新工具将所述标识集合中与所述第三标识相匹配的对象标识进行删除。

在一种实现方式中，所述标识集合中的对象标识以相应的可执行对象的对象签名或对象证书表示，所述对象签名或所述对象证书唯一表征所述可执行对象。

在一种实现方式中，所述可执行对象被执行所实现的功能与物联网功能和/或边缘计算功能相关。

需要说明的是，本实施例中各单元的具体实现可以参考前文中的相应内容，此处不再详述。

参考图5，为本申请实施例三提供的一种电子设备的结构示意图，该电子设备可以为能够对可执行对象进行处理的电子设备，如手机、pad、计算机或服务器等。本实施例中的技术方案主要用于提高电子设备的安全性。

具体的，本实施例中的电子设备可以包含以下结构：

目标固件501，用存储标识集合，所述标识集合中包含至少一个可执行对象的对象标识。其中，目标固件501可以为BIOS等固件。

存储器502，用于存储应用程序和所述应用程序运行所产生的数据；

处理器503，用于执行所述应用程序，以实现：接收对象执行请求，所述对象执行请求中至少包含目标对象的目标标识；在标识集合中查找是否有与所述目标标识相匹配的对象标识，其中，所述标识集合中包含至少一个可执行对象的对象标识，所述标识集合预先从电子设备中的目标固件内读取；在所述标识集合中查找到与所述目标标识相匹配的对象标识的情况下，允许所述目标对象在所述电子设备上执行；在所述标识集合中没有查找到与所述目标标识相匹配的对象标识的情况下，禁止所述目标对象在所述电子设备上执行。

从上述技术方案可以看出，本申请实施例三的一种电子设备中，在接收包含目标对象的目标标识的对象执行请求之后，在从电子设备的目标固件中读取出的标识集合中查找是否有与目标标识相匹配的对象标识，由此，在标识集合中查找到与目标标识相匹配的对象标识的情况下，允许目标对象在电子设备上执行，但是在标识集合中没有查找到与目标标识相匹配的对象标识的情况下，禁止目标对象在电子设备上执行。可见，本实施例中利用固件内信息不可篡改的特点，将允许执行的对象的对象标识预先保存在电子设备的固件内，由此就可以通过在固件内查找对象标识来实现对可执行对象的有效判断从而实现安全拦截，避免恶意对象绕过电子设备的操作系统无法被拦截的情况，从而提高电子设备的安全性。

以电子设备为物联网IOT(Internet of Things)或边缘计算Edge Computing中的计算机为例，本申请的发明人经过研究发现：很多计算机系统的功能都有安装软件功能，但是许多恶意软件无法阻挡。

针对这一缺陷，本申请的发明人提出一种基于固件安全代码的控制方案，通过在BIOS firmware内建安全代码审核模块，其中包含安全白名单，白名单中包含允许执行的软件代码的数字签名，基于此，计算机系统根据BIOS固件的不可被攻击的特点，只有BIOS固件内白名单中被认证的软件代码才可以在计算机上被执行，由此实现安全的软件拦截，提高计算机的安全性，从而满足IOT、Edge Computing中的安全要求。

结合图6中所示的计算机架构图，以下对本申请提出的技术方案进行详细说明：

首先，在BIOS的固件中预先烧录有安全代码审核模块，其中包含由用户根据需求设置的经过注册认证的软件代码的数字签名，即白名单；

而在计算机操作系统OS(operation system)加载后能够读取到BIOS固件中的白名单，基于此，在OS的用户层接收到对象执行请求之后，在计算机OS的内核层(基于硬件抽象层构建)中通过调用其中的线程与进程模块在从BIOS的固件中读取到的白名单中查找是否有对象执行请求中的目标标识。当然，OS中还有能够实现其他功能的层或模块，而OS的内核层中还有能够支持线程与进程模块实现其功能的模块以及能够实现其他功能的模块等等。

基于此，如果OS在白名单中查找到目标标识，那么可以确定该目标标识对应的软件代码为可信的代码，此时，用户层向用户反馈允许执行的结果并在内核层上允许该代码执行；而如果在表名单中没有找到目标标识，那么可以确定该目标标识对应的软件代码为不可信的代码，此时，用户层向用户反馈不允许执行的结果，并在内核层上禁止该代码执行，由此任何“没有注册认证”的代码不可以被执行。

需要说明的是，具体实现中，BIOS中还可以配置有能够实现本申请的安全拦截机制的驱动程序，基于此，在OS加载时，BIOS安装驱动程序并加载驱动程序到OS中，以使得OS使用加载的驱动程序能够读取到BIOS固件中的白名单，并根据白名单按照类似前文中的执行方案对请求执行的软件代码进行合法性判断，从而实现安全拦截机制。

综上，本申请中利用固件的不可攻击的特点能够实现计算机上软件代码的拦截机制，提高计算机的安全性。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本申请。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本申请的精神或范围的情况下，在其它实施例中实现。因此，本申请将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。