[发明专利]用于来自高级别应用程序许可的细粒度访问控制的框架

权利要求书

1.一种用于应用程序特征对移动计算装置上的资源的访问控制的方法，包括以下步骤：

准备应用程序用于经由处理器而安装在所述移动计算装置上；

识别与所述应用程序相关的应用程序许可，所述应用程序许可与所述移动计算装置的资源访问有关；

确定与所述应用程序许可相关的限制；

基于所述限制，定义用于所述应用程序许可的一组强制访问控制规则；

将所述一组强制访问控制规则与所述应用程序许可合并在可加载强制访问控制策略模块中；及

将所述可加载强制访问控制策略模块存储在所述移动计算装置的存储器中，所述可加载强制访问控制策略模块能够由所述移动计算装置的操作系统强制执行；

其中清单文件将所述应用程序许可映射到所述一组强制访问控制规则。

2.如权利要求1所述的方法，其中所述清单文件列举出由所述应用程序请求的所述应用程序许可。

3.如权利要求2所述的方法，其中将所述清单文件中的所述许可映射到提供用于访问所述移动计算装置资源的授权规则的所述一组强制访问控制规则。

4.如权利要求3所述的方法，其中所述强制访问控制规则定义对各自套接字的访问。

5.如权利要求4所述的方法，其中所述强制访问控制规则定义在所述各自套接字上被允许的操作。

6.如权利要求3所述的方法，其中所述强制访问控制规则定义对各自端口的访问。

7.如权利要求6所述的方法，其中所述强制访问控制规则定义经过所述各自端口的发送能力。

8.如权利要求6所述的方法，其中所述强制访问控制规则定义经过所述各自端口的接收能力。

9.如权利要求1所述的方法，其中所述强制访问控制规则被生成为SELinux强制访问控制规则。

10.如权利要求1所述的方法，其中所述策略模块被生成为SELinux策略。

11.如权利要求1所述的方法，其中所述策略模块、强制访问控制规则和所述映射在脱机处理期间作为输入而获得。

12.如权利要求1所述的方法，其中在联机处理期间，处理器扫描含有应用程序正在请求的所述许可的清单文件。

13.如权利要求1所述的方法，其中处理器将所述清单文件中的所述许可转换成所述一组强制访问控制规则。

14.如权利要求1所述的方法，其中所述可加载强制访问控制策略模块被生成为SELinux策略模块。

15.如权利要求1所述的方法，其中沙盒框架用于防止所述应用程序访问所述移动计算装置的资源，其中所述沙盒框架起到在请求的应用程序与所述移动计算装置的资源之间的代理服务器的作用。

16.如权利要求15所述的方法，其中所述代理服务器提供对所述移动计算装置的系统文件的虚拟复本的访问，其中只允许对所述系统文件的虚拟复本进行选择性访问，由此防止对所述移动计算装置的所述系统文件的访问。

17.如权利要求15所述的方法，其中所述沙盒框架起到请求的应用程序与控制所述资源的操作系统之间的代理服务器的作用。

18.如权利要求15所述的方法，其中所述沙盒强制执行所述强制访问控制策略模块。