[发明专利]一种业务安全保护方法及装置

说明书

本发明涉及移动互联网业务安全技术领域，特别涉及一种业务安全保护方法及装置。该方法为：接收应用程序发起的业务请求，并向应用程序发起身份认证请求，其中，应用程序嵌入有安全代码；接收应用程序发送的认证凭证，并对应用程序进行身份认证，以及在确定身份认证通过时，基于应用程序的应用环境，向应用程序发起相应的应用完整性验证请求，其中，认证凭证是应用程序基于部署应用程序的终端标识生成的，针对任一应用程序设置有多个与任一应用程序的应用环境相关联的不同安全等级的应用完整性验证策略；基于应用程序根据应用完整性验证请求发送的应用指纹对应用程序进行完整性验证；云服务器在确定完整性验证通过时，与应用程序进行业务交互。

技术领域

本发明涉及移动互联网业务安全技术领域，特别涉及一种业务安全保护方法及装置。

背景技术

随着移动互联网技术的快速发展，智能终端的快速普及，移动互联网业务层出不穷，移动互联网业务已经渗透到各行各业，对国民经济的发展起到极大的促进作用。移动互联网在网络、客户及业务方面的规模增长的同时，需要确保移动互联网业务的安全保护。

现有技术中，对移动互联网业务的安全保护方案为：在应用的开发阶段，将安全软件开发工具包(Software Development Kit，SDK)嵌入到应用中，利用安全SDK实现对应于的身份认证等功能，利用针对应用整包或指定代码预先设定的应用指纹进行应用指纹验证，确保应用的安全性，以保障移动互联网业务的安全。

然而，通过在移动端本地对应用进行相应的安全认证，存在被破解和反编译篡改的风险，预设的应用指纹验证策略不能调整，且通过在应用开发过程中嵌入安全SDK的形式来实现相应的安全认证的安全保护策略，对于开发者来说，需要考虑安全SDK的大小，开发周期和开发成本。

发明内容

本发明实施例的目的是提供一种业务安全保护方法及装置，用以解决现有技术中存在的应用程序容易被破解和反编译篡改的风险，应用指纹验证策略不能灵活调整的问题。

本发明实施例中提供的具体技术方案如下：

第一方面，本发明提供一种业务安全保护方法，应用于云服务器侧，该业务安全保护方法包括：

云服务器接收应用程序发起的业务请求，并基于所述业务请求向所述应用程序发起身份认证请求，其中，所述应用程序是基于代码加固处理后，嵌入有安全代码的应用程序；

云服务器接收所述应用程序发送的，基于所述身份认证请求生成的认证凭证，并基于所述认证凭证对所述应用程序进行身份认证，以及在确定身份认证通过时，基于所述应用程序的应用环境，向所述应用程序发起相应的应用完整性验证请求，其中，所述认证凭证是所述应用程序基于部署所述应用程序的终端标识生成的，针对任一应用程序设置有多个与所述任一应用程序的应用环境相关联的不同安全等级的应用完整性验证策略；

云服务器基于所述应用程序根据所述应用完整性验证请求发送的应用指纹对所述应用程序进行应用完整性验证；

云服务器在确定应用完整性验证通过时，与所述应用程序进行业务交互。

可选的，对应用程序进行代码加固，嵌入安全代码的步骤包括：

将开发完成的目标应用程序提交至加固平台，以触发所述加固平台将安全代码嵌入所述目标应用程序中，其中，所述加固平台为第三方平台，或者，所述加固平台集成于所述云服务器。

可选的，将安全代码嵌入所述目标应用程序的步骤包括：

对所述目标应用程序的安装包进行反编译处理，得到相应的应用配置文件和应用启动文件；

基于所述应用配置文件，确定所述应用启动文件中注入安全代码的目标位置，并在所述目标位置注入预设的安全代码，其中，所述目标位置为启动所述目标应用程序时第一个显示的应用活动；