针对移动终端应用软件的个人信息安全保护方法及系统

技术领域

本发明属于个人信息保护领域，具体涉及一种针对移动终端应用软件的个人信息安全保护方法及系统。

背景技术

随着互联网技术的快速发展，互联网用户在急剧增长。根据中国互联网络信息中心(CNNIC)发布的第43次《中国互联网络发展状况统计报告》显示，我国网民规模达8.29亿，手机网民规模达8.17亿。工信部发布的我国《2018年互联网和相关服务业经济运行情况》显示，市场上APP数量总量达到449万款。但是，由于APP本身安全防护能力弱、收集和处理个人信息不规范、用户安全意识有待提高等因素，导致个人信息泄露严重，安全事件频发。2018年8月份，中消协发布App个人信息泄露报告显示，个人信息泄露情况相当严重，泄露途径主要是经营者未经本人同意，暗自收集个人信息、经营者或不法分子故意泄露、出售或者非法向他人提供个人信息和网络服务系统存有漏洞，造成个人信息泄露。

目前，针对市场上众多APP，无论是在其安装使用前(静态状态)，还是安装后的使用过程中(动态状态)，都没有合适的工具或软件，评价APP的个人信息保护能力。不过，市场上有一些方法和工具，可以查看和管理APP获取手机各种权限的状态。一是APP各应用市场，APP介绍信息，通常会描述其将会获取哪些权限；APP安装时，应用市场也会再次提示将会获取哪些权限；二是手机操作系统和某些管理工具，通常在APP安装后，可以查看某个APP获取了哪些权限，并进行开放或关闭的管理操作。但这不能准确反映APP对于个人信息的管理情况，主要有两方面的原因，一是APP获取的权限可能是APP正常运行所必须的，或者已获得用户的授权；二是不管是APP运行所必须的，还是用户已授权的，都不能反映通过这些权限获取的用户信息或数据，是否用于APP声明的目的，或者是改变和扩大其使用目的。

因此，为了更好保护个人信息安全，方便用户清楚地掌握、并管理其个人信息的使用和处理，需要有一种方法可以APP在安装使用前(静态状态)，评价其对个人信息的安全保护能力或威胁程度。

发明内容

为了克服技术瓶颈，本发明提出了一种针对移动终端应用软件的个人信息安全保护方法，包括：

S1：根据应用软件(APP)涉及个人信息安全的应用行为和影响因素，生成应用软件(APP)的个人信息安全计算策略；

S2：移动终端安装新的应用软件(APP)时，根据所述个人信息安全计算策略，计算当前安装的应用软件(APP)的个人信息安全威胁值；

S3：利用所述个人信息安全威胁值，确定当前安装的应用软件(APP)所对应的个人信息安全威胁等级，根据所述个人信息安全威胁等级控制所述当前安装的应用软件(APP)各项功能的使用权限。

还提出了一种针对移动终端应用软件的个人信息安全保护系统，包括：

策略单元：用于根据应用软件(APP)涉及个人信息安全的应用行为和影响因素，生成应用软件(APP)的个人信息安全计算策略；

计算单元：用于移动终端安装新的应用软件(APP)时，根据所述个人信息安全计算策略，计算当前安装的应用软件(APP)的个人信息安全威胁值；

控制单元：用于利用所述个人信息安全威胁值，确定当前安装的应用软件(APP)所对应的个人信息安全威胁等级，根据所述个人信息安全威胁等级控制所述当前安装的应用软件(APP)各项功能的使用权限。

本发明创新的提出了一种针对移动终端应用软件的个人信息安全保护方法及系统。根据应用软件(APP)涉及个人信息安全的应用行为和影响因素，生成应用软件(APP)的个人信息安全计算策略，根据不同应用行为和影响因素，对每一个应用行为进行赋值。在安装APP时，计算其个人信息安全威胁值，判断一个APP的威胁程度或个人信息保护能力，指导用户是否使用该APP，保护用户的个人信息安全。

附图说明

图1本发明的方法流程图；

图2本发明的系统框架图。

具体实施方式

为了更好地理解本发明，下面结合附图参考实施例的描述，对本发明的方法和系统进行进一步的说明。

为了全面理解本发明，在以下详细描述中提到了众多具体细节。但是本领域技术人员应该理解，本发明可以无需这些具体细节而实现。在实施例中，不详细描述公知的方法、过程、组件，以免不必要地使实施例繁琐。

参见图1所示，本发明提供了一种针对移动终端应用软件的个人信息安全保护方法，包括：

S1：根据应用软件(APP)涉及个人信息安全的应用行为和影响因素，生成应用软件(APP)的个人信息安全计算策略；

S2：移动终端安装新的应用软件(APP)时，根据所述个人信息安全计算策略，计算当前安装的应用软件(APP)的个人信息安全威胁值；

S3：利用所述个人信息安全威胁值，确定当前安装的应用软件(APP)所对应的个人信息安全威胁等级，根据所述个人信息安全威胁等级控制所述当前安装的应用软件(APP)各项功能的使用权限。

优选地，其中，所述S1：根据应用软件(APP)涉及个人信息安全的应用行为和影响因素，生成应用软件(APP)的个人信息安全计算策略，具体包括：

S1-1：确定应用软件涉及个人信息安全的应用行为：

S1-1-1：获取手机操作系统自定义的危险权限；

如安卓系统，每个应用软件APP都在进程沙盒中运行，如APP需要某一权限来获取基本沙盒未提供的额外功能，应以静态方式声明所需权限，然后安卓系统根据声明提示用户并获取同意。对于正常权限，涵盖需访问沙盒外部数据或资源，但对用户隐私或其他应用操作风险较小的权限，如设置时区等。APP获取权限声明中列出的正常权限时，系统会自动授予。对于危险权限，涵盖可能对用户隐私数据或资源，或其他应用操作产生影响的权限，如读取用户通信录等。所有危险的安卓系统权限都属于一个权限组。APP声明获取危险权限时，则需用户明确向该APP授予该权限。

S1-1-2：获取应用软件所属应用商店确定的隐私权限；

S1-1-3：根据所述自定义的危险权限和应用商店确定的隐私权限，确定应用软件涉及个人信息安全的n个应用行为Mi,(i＝1,2,…,n)；

其中，所确定的涉及个人信息安全的n个应用行为至少包括：访问通讯录、读取短信/彩信、访问通话记录、获取通话状态和来电号码、获取本机识别码、读取日历数据、获取精确地理位置、获取粗略地理位置、调用摄像头、启用录音、读取和传输存储数据、获取已安装应用程序列表、重启、关机、网络连接和流量进出；

S1-2：将应用行为Mi根据不同的危险等级划分为三类，各自赋予不同的危险基础值α：

一级危险应用行为，危险基础值设置为α1，至少包括：重启、关机、网络连接和流量进出、获取本机识别码、读取和/或传输存储数据；

二级危险应用行为，危险基础值设置为α2，至少包括：访问通讯录、读取短信/彩信、访问通话记录、获取通话状态和来电号码、获取精确地理位置、调用摄像头、启用录音；

三级危险应用行为，危险基础值设置为α3，至少包括：读取日历数据、获取粗略地理位置、获取已安装应用程序列表；

S1-3：确定涉及个人信息安全的影响因素，根据影响因素设置应用行为的安全保护权重β；

S1-4：计算应用软件的个人信息安全威胁值；

公式中：V是应用软件的个人信息安全威胁值，分数越高，说明所述应用软件在保护其处理个人信息或个人敏感信息方面能力越弱，对个人信息安全的威胁性越高；L是调节系数；αj

优选地，其中，S1-3：确定涉及个人信息安全的影响因素，根据影响因素设置应用行为的安全保护权重β，具体包括：

S1-3-1：判断应用行为是否符合行业标准；如果是，第一安全保护权重β1设置为0.1，否则，设置为0.25；

S1-3-2：判断个人信息政策展示和授权告知方式是否符合预设标准；如果是，第二安全保护权重β2设置为0.1，否则，设置为0.25；

S1-3-3：判断个人信息政策内容是否符合预设标准；如果是，第三安全保护权重β3设置为0.1，否则，设置为0.25；

S1-3-4：判断产品功能和核心功能的运行是否符合隐私政策；如果是，第四安全保护权重β4设置为0.1，否则，设置为0.25。

优选地，其中，一级危险应用行为的危险基础值α1设置为3；二级危险应用行为的危险基础值α2设置为2；三级危险应用行为的危险基础值α3设置为1。

优选地，其中，S3：利用所述个人信息安全威胁值，确定当前安装的应用软件(APP)所对应的个人信息安全威胁等级，具体包括：

S3-1：根据历史统计数据，将应用软件的个人信息安全威胁等级分为3个等级：

A级，个人信息安全威胁值小于或等于V1，用绿色标识；

B级，个人信息安全威胁值大于V1且小于或等于V2，用蓝色标识；

C级，个人信息安全威胁值大于V2，用红色标识；

其中，V1，V2为根据历史统计数据确定的等级分界点，V1

S3-2：对于当前安装的应用软件，根据其个人信息安全威胁值，对比上述等级划分，判断其个人信息安全威胁等级；

优选地，其中，S3：根据所述个人信息安全威胁等级控制所述当前安装的应用软件(APP)各项功能的使用权限，具体包括：

所述当前安装的应用软件执行一应用行为以调用对应功能时，查看所述应用软件的个人信息安全威胁等级；若为A级，则允许所述应用软件调用该功能；若为B级，则弹出选择框，由用户选择是否允许所述应用软件调用该功能，再根据用户的选择允许或拒绝应用软件调用该功能；若为C级，则拒绝应用软件调用该功能，忽略此应用行为对该应用软件执行后续操作。

参见图2所示，本发明提供了一种针对移动终端应用软件的个人信息安全保护系统，包括：

策略单元：用于根据应用软件(APP)涉及个人信息安全的应用行为和影响因素，生成应用软件(APP)的个人信息安全计算策略；

计算单元：用于移动终端安装新的应用软件(APP)时，根据所述个人信息安全计算策略，计算当前安装的应用软件(APP)的个人信息安全威胁值；

控制单元：用于利用所述个人信息安全威胁值，确定当前安装的应用软件(APP)所对应的个人信息安全威胁等级，根据所述个人信息安全威胁等级控制所述当前安装的应用软件(APP)各项功能的使用权限。

优选地，其中，所述策略单元：用于根据应用软件(APP)涉及个人信息安全的应用行为和影响因素，生成应用软件(APP)的个人信息安全计算策略，具体包括：

行为确定单元：用于确定应用软件涉及个人信息安全的应用行为：

危险权限获取单元：用于获取手机操作系统自定义的危险权限；

如安卓系统，每个应用软件APP都在进程沙盒中运行，如APP需要某一权限来获取基本沙盒未提供的额外功能，应以静态方式声明所需权限，然后安卓系统根据声明提示用户并获取同意。对于正常权限，涵盖需访问沙盒外部数据或资源，但对用户隐私或其他应用操作风险较小的权限，如设置时区等。APP获取权限声明中列出的正常权限时，系统会自动授予。对于危险权限，涵盖可能对用户隐私数据或资源，或其他应用操作产生影响的权限，如读取用户通信录等。所有危险的安卓系统权限都属于一个权限组。APP声明获取危险权限时，则需用户明确向该APP授予该权限。

隐私权限获取单元：用于获取应用软件所属应用商店确定的隐私权限；

应用行为获取单元：用于根据所述自定义的危险权限和应用商店确定的隐私权限，确定应用软件涉及个人信息安全的n个应用行为Mi,(i＝1,2,…,n)；

其中，所确定的涉及个人信息安全的n个应用行为至少包括：访问通讯录、读取短信/彩信、访问通话记录、获取通话状态和来电号码、获取本机识别码、读取日历数据、获取精确地理位置、获取粗略地理位置、调用摄像头、启用录音、读取和传输存储数据、获取已安装应用程序列表、重启、关机、网络连接和流量进出；

行为划分单元：用于将应用行为Mi根据不同的危险等级划分为三类，各自赋予不同的危险基础值α：

一级危险应用行为，危险基础值设置为α1，至少包括：重启、关机、网络连接和流量进出、获取本机识别码、读取/传输存储数据；

二级危险应用行为，危险基础值设置为α2，至少包括：访问通讯录、读取短信/彩信、访问通话记录、获取通话状态和来电号码、获取精确地理位置、调用摄像头、启用录音；

三级危险应用行为，危险基础值设置为α3，至少包括：读取日历数据、获取粗略地理位置、获取已安装应用程序列表；

影响判断单元：用于确定涉及个人信息安全的影响因素，根据影响因素设置应用行为的安全保护权重β；

威胁计算单元：用于计算应用软件的个人信息安全威胁值；

公式中：V是应用软件的个人信息安全威胁值，分数越高，说明所述应用软件在保护其处理个人信息或个人敏感信息方面能力越弱，对个人信息安全的威胁性越高；L是调节系数；αj

优选地，其中，影响判断单元，具体包括：

第一判断单元：用于判断应用行为是否符合行业标准；如果是，第一安全保护权重β1设置为0.1，否则，设置为0.25；

第二判断单元：用于判断个人信息政策展示和授权告知方式是否符合预设标准；如果是，第二安全保护权重β2设置为0.1，否则，设置为0.25；

第三判断单元：用于判断个人信息政策内容是否符合预设标准；如果是，第三安全保护权重β3设置为0.1，否则，设置为0.25；

第四判断单元：用于判断产品功能和核心功能的运行是否符合隐私政策；如果是，第四安全保护权重β4设置为0.1，否则，设置为0.25。

优选地，其中，一级危险应用行为的危险基础值α1设置为3；二级危险应用行为的危险基础值α2设置为2；三级危险应用行为的危险基础值α3设置为1。

优选地，其中，控制单元：利用所述个人信息安全威胁值，确定当前安装的应用软件(APP)所对应的个人信息安全威胁等级，具体包括：

等级划分单元：用于根据历史统计数据，将应用软件的个人信息安全威胁等级分为3个等级：

A级，个人信息安全威胁值小于或等于V1，用绿色标识；

B级，个人信息安全威胁值大于V1且小于或等于V2，用蓝色标识；

C级，个人信息安全威胁值大于V2，用红色标识；

其中，V1，V2为根据历史统计数据确定的等级分界点，V1

等级判断单元：用于对于当前安装的应用软件，根据其个人信息安全威胁值，对比上述等级划分，判断其个人信息安全威胁等级。

优选地，其中，控制单元：根据所述个人信息安全威胁等级控制所述当前安装的应用软件(APP)各项功能的使用权限，具体包括：

所述当前安装的应用软件执行一应用行为以调用对应功能时，查看所述应用软件的个人信息安全威胁等级；若为A级，则允许所述应用软件调用该功能；若为B级，则弹出选择框，由用户选择是否允许所述应用软件调用该功能，再根据用户的选择允许或拒绝应用软件调用该功能；若为C级，则拒绝应用软件调用该功能，忽略此应用行为对该应用软件执行后续操作。

测试选取了23类121个APP，选取时考虑了以下因素：

(1)APP都运行于安卓系统；

(2)来自于华为应用市场、360手机助手、应用宝、豌豆荚等应用市场或APP官网；

(3)综合考虑了华为应用市场、360手机助手、应用宝等应用市场对APP的分类、装机量、用户活跃度等因素。

测试结果表明，没有APP达到A级；14款APP达到B级；其余APP均为C级，而且还有32款APP无法评级(没有提供隐私政策)，大多集中在金融理财、学习教育、交通出行、汽车服务、手机游戏等类别。

这与国内APP整体个人信息保护水平低下的情况相符。

本发明创新的提出了一种针对移动终端应用软件的个人信息安全保护方法及系统。根据应用软件(APP)涉及个人信息安全的应用行为和影响因素，生成应用软件(APP)的个人信息安全计算策略，根据不同应用行为和影响因素，对每一个应用行为进行赋值。在安装APP时，计算其个人信息安全威胁值，判断一个APP的威胁程度或个人信息保护能力，指导人们是否使用该APP，或者在使用更加注意保护其个人信息。

这里只说明了本发明的优选实施例，但其意并非限制本发明的范围、适用性和配置。相反，对实施例的详细说明可使本领域技术人员得以实施。应能理解，在不偏离所附权利要求书确定的本发明精神和范围情况下，可对一些细节做适当变更和修改。