《在移动通信设备上实施安全策略的系统.pdf》由会员分享，可在线阅读，更多相关《在移动通信设备上实施安全策略的系统.pdf（36页珍藏版）》请在专利查询网上搜索。
1、10申请公布号CN104202325A43申请公布日20141210CN104202325A21申请号201410459717222申请日20060327200680054653120060327H04L29/06200601H04W8/24200901H04W12/0820090171申请人意大利电信股份公司地址意大利米兰72发明人C阿尔德拉P德卢蒂斯MT格里罗M里昂A巴索M米拉格利亚74专利代理机构中国国际贸易促进委员会专利商标事务所11038代理人鲍进54发明名称在移动通信设备上实施安全策略的系统57摘要本发明涉及一种在移动通信设备115上实施安全策略的系统，移动通信设备115与客户身份。
2、模块120在操作上相关联地用于移动通信网络105中。具有客户机服务器体系结构的系统包括由移动通信网络运营商110操作的服务器140，和驻留在移动通信设备上的客户机135，其中将在移动通信设备上实施安全策略。服务器适于确定将在移动通信设备上应用的安全策略，并将待应用的安全策略发送到移动通信设备。客户机适于从服务器接收并应用安全策略。服务器包括鉴权将被发送到移动通信设备的安全策略的服务器鉴权功能327；客户机还通过使用驻留在客户身份模块上的客户机鉴权功能435，评定从服务器接收的安全策略的真实性。62分案原申请数据51INTCL权利要求书3页说明书24页附图8页19中华人民共和国国家知识产权局12。
3、发明专利申请权利要求书3页说明书24页附图8页10申请公布号CN104202325ACN104202325A1/3页21一种在移动通信设备115上实施安全策略的系统，所述移动通信设备115与客户身份模块120在操作上相关联地用于移动通信网络105中，所述系统具有客户机服务器体系结构，并且包括由移动通信网络运营商110操作的服务器140；驻留在移动通信设备上的客户机135，其中将在所述移动通信设备上实施安全策略；其中所述服务器确定将在所述移动通信设备上应用的安全策略，并将待应用的安全策略发送到所述移动通信设备，其中所述服务器包括用于鉴权将被发送到所述移动通信设备的安全策略的服务器鉴权功能327；。
4、并且其中所述客户机从所述服务器接收待应用的安全策略，并应用所述接收的安全策略，所述客户机还通过使用驻留在所述客户身份模块上的客户机鉴权功能435，评定从所述服务器接收的安全策略的真实性，其特征在于，所述服务器鉴权功能用于计算用于允许评定将被发送到所述移动通信设备的安全策略的真实性的鉴权信息，并将所述鉴权信息添加到所述安全策略中；以及通过计算用于允许评定将被发送到所述移动通信设备的传输经鉴权的安全策略的消息的真实性的消息鉴权信息并将所述消息鉴权信息添加到所发送的消息中来鉴权所述消息；并且所述客户机鉴权功能用于通过对于从所述服务器接收的消息计算消息鉴权信息，来评定从服务器接收的消息的真实性；比较所。
5、计算的消息鉴权信息和包含在所接收的消息中的消息鉴权信息；对于从所述服务器接收的安全策略计算鉴权信息；和比较所计算的鉴权信息和包含在所接收的安全策略中的鉴权信息。2按照权利要求1所述的系统，其中所述鉴权信息还用于允许评定将被发送到所述移动通信设备的安全策略的完整性。3按照权利要求1所述的系统，其中所述消息鉴权信息还用于允许评定将被发送到所述移动通信设备的消息的完整性。4按照权利要求1或2所述的系统，其中所述鉴权信息包含关于与将被发送到所述移动通信设备的安全策略对应的数据块计算的消息鉴权码。5按照权利要求1或2所述的系统，其中所述消息鉴权信息包含在整个消息上计算的消息鉴权码。6按照权利要求4或5所。
6、述的系统，其中所述服务器鉴权功能用于利用与客户身份模块共享的秘密加密密钥，计算所述消息鉴权码，并且所述客户机鉴权功能用于利用相同的秘密加密密钥，重新计算所述消息鉴权码。7按照权利要求6所述的系统，其中所述客户机包括用于管理从所述服务器接收的消息的管理器模块405；将由所述移动通信设备应用的安全策略的本地数据库420；和用于在所述移动通信设备上实施选择的安全策略的实施器模块425。权利要求书CN104202325A2/3页38按照权利要求7所述的系统，其中所述管理器模块用于在从所述服务器接收到包含待应用的安全策略的消息时，调用所述客户机鉴权功能，并在所述消息和所述安全策略被评定为真实的情况下，将。
7、所接收的安全策略保存在所述本地数据库中。9按照权利要求8所述的系统，其中所述消息是指令述客户机应用已经存储在所述本地数据库中的指定安全策略的策略应用消息。10按照权利要求9所述的系统，其中当从所述服务器接收到所述策略应用消息时，所述管理器模块用于在所述本地数据库中识别所述指定安全策略，调用所述客户机鉴权功能，以便使用鉴权信息来评定所识别的安全策略的完整性，并在完整性被评定的情况下，将所识别的安全策略传递给所述实施器模块，以应用所述安全策略。11按照权利要求710中的任何一个所述的系统，其中所述消息是指令所述向客户机更新已存储在所述本地数据库中的指定安全策略的更新消息，所述更新消息包括用于更新指。
8、定策略的更新信息，以及由所述服务器鉴权功能对于更新的安全策略所计算的鉴权信息。12按照权利要求9所述的系统，其中当从所述服务器接收到所述更新消息时，所述管理器模块用于在所述本地数据库中识别所述指定安全策略，根据所述更新信息更新所述安全策略，并调用客户机鉴权功能，根据包含在更新消息中的鉴权信息，评定更新的安全策略的真实性。13按照任何一个前述权利要求所述的系统，其中所述服务器包括事件收集和管理功能315，325，所述事件收集和管理功能315，325用于从在所述移动通信设备外的系统和在所述移动通信设备内的系统中的一个或两者收集和管理事件，并响应于所收集的事件，确定将在所述移动通信设备上应用的安全策。
9、略。14按照权利要求13所述的系统，其中所述事件收集和管理功能用于与选自包括下述的组中的一个或多个平台交互作用用于根据异常检测，早期检测恶意软件攻击的早期检测平台150；用于确定所述移动通信设备的地理定位的一个或多个地理定位平台320；防欺诈系统；入侵检测系统；用于检测移动通信设备的用户在规定区域内的存在的存在检测系统；和环境感知平台。15一种在移动通信设备115上实施安全策略的方法，其中所述移动通信设备115与客户身份模块120在操作上相关联地用于所述移动通信网络105中，所述方法包含使所述移动通信网络确定将在移动通信设备上应用的安全策略，并将所述安全策略发送到所述移动通信设备，所述发送安全。
10、策略包括鉴权将被发送到所述移动通信设备的安全策略；和使所述移动通信设备接收并实施所述安全策略，所述使所述移动通信设备接收和实施安全策略包括使所述移动通信设备使用驻留在所述客户身份模块上的鉴权功能，评定所接收的安全策略的真实性，其特征在于，权利要求书CN104202325A3/3页4所述鉴权安全策略包括计算用于允许评定所述安全策略的真实性的鉴权信息，并将所述鉴权信息添加到所述安全策略中，并且所述将所述安全策略发送到所述移动通信设备包括通过计算用于允许评定将被发送到所述移动通信设备并传输经鉴权的安全策略的消息的真实性的消息鉴权信息并将所述消息鉴权信息添加到所发送的消息中来鉴权所述消息；并且所述使所。
11、述移动通信设备评定所接收的安全策略的真实性包括通过对于接收的消息计算消息鉴权信息，来评定接收的消息的真实性；比较所计算的消息鉴权信息和包含在所接收的消息中的消息鉴权信息；对于接收的安全策略计算鉴权信息；和比较所计算的鉴权信息和包含在所接收的安全策略中的鉴权信息。16一种用于与客户身份模块120在操作上相关联地用于移动通信网络105中的移动通信设备115，其中所述移动通信设备用于从所述移动通信网络接收将被实施的安全策略，并应用所述接收的安全策略，所述移动通信设备还通过使用驻留在操作上与其相关联的所述客户身份模块上的鉴权功能435，评定从所述移动通信网络接收的安全策略的真实性，其特征在于，所述鉴权。
12、功能用于通过对于从所述移动通信网络接收并传输将被实施的安全策略的消息计算消息鉴权信息，来评定接收的消息的真实性；比较所计算的消息鉴权信息和包含在所接收的消息中的消息鉴权信息；对于从所述移动通信网络接收的安全策略计算鉴权信息；和比较所计算的鉴权信息和包含在所接收的安全策略中的鉴权信息。17一种客户身份模块120，所述客户身份模块在操作上与移动通信设备115相关联，从而在所述移动通信网络105中实现移动通信设备的使用，所述客户身份模块实现用于评定所述移动通信设备接收的安全策略的真实性的鉴权功能，其中所述鉴权功能用于通过对于从所述移动通信网络接收并传输安全策略的消息计算消息鉴权信息，来评定接收的消息。
13、的真实性；比较所计算的消息鉴权信息和包含在所接收的消息中的消息鉴权信息；对于从所述移动通信网络接收的安全策略计算鉴权信息；和比较所计算的鉴权信息和包含在所接收的安全策略中的鉴权信息。权利要求书CN104202325A1/24页5在移动通信设备上实施安全策略的系统0001本申请是申请日为2006年3月27日、申请号为2006800546531、发明名称为“在移动通信设备上实施安全策略的系统”的发明专利申请的分案申请。技术领域0002本发明一般涉及无线通信领域。更具体地说，本发明一般涉及在适合于在移动通信网络中使用的移动通信设备上实施安全策略的系统和方法。背景技术0003近年来，移动通信终端已提高。
14、其数据处理能力，以便除了能够实现普通的个人间通信之外，还能够支持更多，更丰富的服务；另一方面，已用无线通信能力增强以前的诸如个人数字助理PDA之类的便携式数据处理设备。从而，许多移动通信终端目前可以被看作实际的数据处理系统，比如个人计算机PC，趋势是朝着进一步增大处理能力的方向发展。0004作为不受欢迎的副作用，类似于任何其它数据处理设备，无线通信设备已成为计算机病毒、特洛伊木马、蠕虫和恶意软件的攻击目标。0005恶意软件会导致欺诈、数据的破坏或丢失、未经授权的访问、服务的不可用性、隐私的侵犯，对于移动终端的用户和移动通信网络运营商来说，这都会转化成重大的经济损失。0006为了降低移动通信设备。
15、受到攻击的风险，提出了实施特定安全策略的方法和系统。0007安全策略实施系统负责在移动通信设备上实现和保证所需安全策略的执行。安全策略通常由安全管理员创建，包括定义有益于使对普通移动设备和保存于其中的数据的安全性，以及移动网络运营商的安全性，和/或雇用移动设备的用户或被移动设备的用户访问的公司企业的安全性的威胁可能性降至最小的容许行为的规则。0008安全策略可按照考虑的具体情况由不同的行动者定义。例如，在消费者情况下，安全策略可由移动通信设备的最终用户定义，在企业/公司情况下，可由关于雇员的移动通信设备的安全管理员定义，可由移动通信网络运营商定义，或者由移动通信设备的制造商定义，等等。0009。
16、通常，在企业/公司情况下，按照集中的方式实现和管理安全策略，以便建立均匀统一的安全域。US2005/0055578公开一种管理和实施安全策略，并监视移动设备的状态的客户机/服务器体系结构。在该文献中，描述了通过服务器计算机系统，比如企业网络内的服务器计算机系统对于客户机移动计算设备上的数据，或者单独的移动计算设备上的数据的保护。描述了提供根据与移动设备所工作的网络环境相关的位置而实施的不同安全策略的安全工具。描述了检测移动设备的位置的方法。该安全工具还提供根据安全特征实施不同的策略。安全特征的示例包括通过其传送数据的连接的类型有线连接或无线连接，防病毒软件的操作，或者网络适配器卡的类型。不同的。
17、安全策略提供可根据与移动设备相关说明书CN104202325A2/24页6的检测位置和/或有效安全特征而调整的实施机制。所提供的实施机制的示例是自适应端口阻塞，文件隐藏和文件加密。0010WO2005/064498公开一种利用动态生成的安全简表，在移动设备上实施安全策略的系统和方法。用于实施安全参数的系统和方法从与移动设备相关的来源收集信息。根据收集的信息，确定移动设备的身份状态，所述身份状态唯一地识别移动设备，将其与其它移动设备区分开。当移动设备与计算节点源连接时，或者当移动设备访问网络内的资源时，可确定该移动设备的身份状态。生成基于移动设备的身份状态的安全策略，并将该安全策略应用于该移动设。
18、备。发明内容0011申请人已经注意到本领域中现有的在移动通信设备上实现和实施安全策略的解决方案并不很令人满意。这样的解决方案实际上基本以软件为基础。因此，它们易于攻击例如，将在移动通信设备上实施的安全策略可能被攻击者，例如病毒操控，并被修改，以便在移动通信设备上产生与安全管理员预期的动作不同的动作；这会危害通信、用户和应用数据，鉴权凭证等的安全。0012申请人已经解决了改进由移动通信设备的安全策略实施平台保证的安全的程度的问题。0013申请人已经发现，通过提供一种适合于保证将被实施的安全策略的真实性和完整性的机制，能够实现更高的安全级别。特别地，申请人发现使用硬件令牌，尤其是移动通信设备用户的。
19、SIM客户身份模块和由SIM提供的功能，保证要实施的安全策略的真实性和完整性应是有利的；如在本领域中已知的，并且就本发明的目的来说，SIM是以IC集成电路智能卡的形式实现的，并且是需要与任何移动通信设备关联，以便能够访问和使用移动通信网络，比如GSM全球移动通信系统网络，或UMTS通用移动电信系统网络及符合相似标准的网络的服务的模块。就本发明的目的来说，术语SIM应被解释成包含操作上必须与移动通信设备相关联比如可拆卸的，并且适合于允许识别和/或鉴权移动通信网络中的移动通信设备的用户的任何模块，例如呈卡形式的模块；特别地，术语SIM还包含USIMUMTSSIM。0014SIM一般配有至少一个数据。
20、处理器例如，微处理器，其中所述数据处理器包含至少一个数据处理逻辑中央处理器CPU和至少一个存储器，以及适合于允许将由数据处理器执行的程序装入存储器的接口。0015SIM已被证明是一种非常可靠的保证真实性的方式。SIM实现固有的安全机制，比如受保护的存储区，防篡改屏蔽和传感器，加密功能等等。除了严格与移动通信网络中的操作相关的功能之外，SIM还实现移动网络运营商专有的意图实现客户可利用的增值服务的相对简单的应用程序。特别地，ETSI欧洲电信标准协会在文献GSM1114中陈述了一种称为SATSIM应用工具包的标准，SAT定义如何在SIM上实现相对简单的应用程序。驻留在SIM上的这些应用程序可进一步。
21、由网络运营商按照OTA空中下载模式远程管理，例如更新。0016按照本申请，所有这些使SIM非常有益于实现高度安全的安全策略实施平台，尤其是保证待实施的安全策略的真实性和完整性。说明书CN104202325A3/24页70017事实上，由于实施针对SIM的专门攻击所需的设备和技能的缘故，这使针对SIM的专门攻击一般相当昂贵。0018将SIM用于与在移动通信设备上实现和实施安全策略相关的目的还使移动通信网络运营商能够在安全策略实施架构中扮演主动角色。特别地，移动通信网络运营商可开发一种安全策略实施平台，其中网络运营商扮演还适合于保护移动通信网络和所提供服务的安全提供者的角色。这被认为是非常理想的，。
22、因为针对移动通信网络的几种攻击例如使用安装在移动设备上的恶意软件进行的服务拒绝DOS和分布式DOSDDOS攻击可通过用户的移动通信终端而实施。0019从而，按照本发明的一个方面，提供一种如在所附权利要求1中陈述的系统，用于在移动通信设备上实施安全策略，其中所述移动通信设备与客户身份模块在操作上相关联地用于移动通信网络中。0020所述系统具有客户机服务器体系结构，包括由移动通信网络运营商操作的服务器，以及驻留在移动通信设备上的客户机，其中将在所述移动通信设备上实施安全策略。0021所述服务器适合于确定将在所述移动通信设备上应用的安全策略，并将待应用的安全策略发送到所述移动通信设备，所述客户机适合。
23、于从服务器接收待应用的安全策略，并应用接收的安全策略。0022所述服务器包括适于鉴权将被发送到移动通信设备的安全策略的服务器鉴权功能，所述客户机还适于通过使用驻留在客户身份模块上的客户机鉴权功能，评定从服务器接收的安全策略的真实性。0023按照本发明的系统建立一种安全策略实施平台，该平台适于通过使用基于SIM的机制来证明待应用的安全策略的真实性和完整性，保证移动设备应用所需的安全策略，所述基于SIM的机制固有地比纯粹基于软件的机制更安全。0024在一个优选实施例中，策略实施平台适于利用OTA机制，动态地修改移动设备上的安全策略。特别地，可响应移动通信网络的状态，异步地修改安全策略，以便使在普通。
24、移动通信设备上实现的安全级别适应于网络的安全状态。0025另外，由移动通信设备应用的安全策略的修改可由对移动通信设备本地产生的，例如由在移动设备上运行的其它安全相关应用，比如防恶意软件防病毒应用，个人防火墙等本地产生的信令触发。0026这样，安全策略实施平台还允许移动通信网络的运营商修改在移动通信设备上应用的安全策略，以便保护移动通信网络，和网络运营商提供的服务免受可能的攻击。0027通过使用来自网络核心，或者移动网络的其它平台或与移动网络连接的其它平台的信令，动态地激活移动设备上的特定安全策略，可以建立一种能够早期阻止恶意软件的扩散的自适应安全策略实施平台。0028按照本发明的第二方面，提供。
25、一种如在所附权利要求22中陈述的方法，用于在移动通信设备上实施安全策略，其中所述移动通信设备与客户身份模块在操作上相关联地用于移动通信网络中。所述方法包括0029使移动通信网络确定将在移动通信设备上应用的安全策略，并将该安全策略发送到移动通信设备，0030使移动通信设备接收并实施该安全策略。说明书CN104202325A4/24页80031所述发送安全策略包括鉴权将被发送到移动通信设备的安全策略，所述使移动通信设备接收并实施该安全策略包括使移动通信设备通过使用驻留在客户身份模块上的鉴权功能，评定接收的安全策略的真实性。0032按照本发明的第三方面，提供一种如在所附权利要求39中陈述的移动通信设。
26、备，该移动通信设备与客户身份模块在操作上相关联地用于移动通信网络中。该移动通信设备适于从移动通信网络接收将实施的安全策略，并应用接收的安全策略。该移动通信设备还适于通过使用驻留在操作上与之关联的客户身份模块上的鉴权功能，评定从移动通信网络接收的安全策略的真实性。0033按照本发明的第四方面，提供一种如在所附权利要求48中陈述的客户身份模块，该客户身份模块在操作上与移动通信设备相关联，从而在移动通信网络中实现移动通信设备的使用。该客户身份模块实现适合于评定移动通信设备接收的安全策略的真实性的鉴权功能。附图说明0034参考附图，根据仅仅作为非限制性示例而提供的本发明的实施例的下述详细说明，本发明的。
27、特征和优点将变得明显，其中0035图1示意表示其中应用按照本发明的一个实施例的安全策略实施平台的移动通信网络的场景；0036图2利用功能块，示意表示适合于用在图1的移动通信网络中的移动通信设备；0037图3利用功能块，更详细地示意表示图1的安全策略实施平台的服务器端；0038图4利用功能块，更详细地示意表示适合与图3的服务器端合作的图1的安全策略实施平台的客户机端；0039图5仍然示意地，不过更详细地表示客户机端的策略管理模块；0040图6仍然示意地，不过更详细地表示客户机端的策略实施模块；0041图7示意表示在本发明的一个实施例中，增加到用于将安全策略从平台服务器传送给平台客户机，或者反之亦。
28、然的SMS消息中的例证首标；0042图8A和8B是描述平台的操作的示意的简化流程图，描绘了所涉及各实体的主要动作。具体实施方式0043参见附图，图1描述其中应用按照本发明的一个实施例的安全策略实施平台的移动通信网络的场景。0044移动通信网络105是或者包括例如GSM网络，GPRS通用分组无线系统网络，EDGE增强数据速率的GSM演进网络，UMTS网络，遵从相似标准的网络或者基于专有技术的移动网络。移动通信网络105的详细结构未被示出，也不进行详细说明，因为为本领域的技术人员公知，并且与描述的本发明实施例的理解无关。0045移动通信网络105由移动网络运营商110经营。0046移动通信网络10。
29、5可被移动通信设备，例如移动电话机、具有移动通信能力的PDA、智能电话机、具有GSM/GPRS/EDGE/UMTS适配器的便携式计算机、或者等同设备的用户说明书CN104202325A5/24页9访问。附图中，示出了普通的移动通信设备115。0047为了访问并登录到移动通信网络105中，移动通信设备的用户需要预先与移动网络运营商110，或者与和移动网络运营商110具有漫游协议的另一移动网络运营商签约。依据所述签约，移动网络运营商110向客户提供SIM120，SIM120是设计成与移动通信设备115在操作上相关联，使移动通信设备115能够工作和登录到被识别和/或被鉴权移动通信网络105的IC智能。
30、卡。移动通信设备115与SIM120的关联使移动通信设备115能够在移动通信网络05中工作，并在图1中被表示成123。0048在移动通信网络105具有支持数据分组通信的分组交换基础结构，比如GPRS的情况下，移动通信网络105可与诸如因特网之类的公共分组数据网络图1中示意出，并表示成125，和/或一个或多个专用分组数据网络，例如一个或多个企业的专用LAN，比如附图中所示的LAN130交互作用。0049移动通信设备115可装备照相机、蓝牙接口、WIFI接口、IRDA红外数据协会接口中的一个或多个；它可以安装有几个应用，例如包括虚拟专用网络的客户机、个人防火墙、数据加密应用。0050参见图2，图2。
31、中表示了例证的移动通信设备115的主要功能块的示意图。这里举例考虑的移动通信设备115包括适合于发射/接收的天线205，射频收发器210，GSM/GPRS/EDGE/UMTS模块215，SMS/MMS模块117，编码/解码单元220，扬声器225，摄像机230，麦克风235，屏幕240，键盘245，具有与之相关的存储器260RAM、ROM和闪速EEPROM的处理器或者说CPU，中央处理器255。移动通信设备115与SIM120的关联是通过适当的电接触来实现的。0051天线205和射频收发器210按照惯例允许往来于移动通信网络105的无线电基站的通信。扬声器225和麦克风235按照惯例将电信号转。
32、换成移动通信设备115的用户听得见的对应语音信号，反之亦然。键盘245按照惯例允许用户手动地与移动通信设备交互作用，拨打电话号码和发送与选择菜单选项，或者地址簿中电话号码的选择相关的命令，等等。屏幕240例如可以是LCD液晶显示器，并且适合于显示视频片断。摄像机230，例如CCD电荷耦合器件照相机，按照惯例适合于捕捉视频或静止图像。GSM/GPRS/EDGE/UMTS模块215按照惯例包括适合于支持与GSM/GPRS/EDGE/UMTS标准相应的通信的装置；例如，对于GPRS通信来说，模块215包括分组化/去分组化装置和缓冲器，能够将来自移动网络的无线电块RADIOBLOCK封装在分组中，或者。
33、从上面的协议层提供的分组中取出无线电块，以便通过射频收发器210和天线205传送给移动通信网络。编码/解码单元220例如，H263视频编解码器与扬声器225、麦克风235、屏幕240和摄像机230连接；按照惯例，编码/解码单元220管理由摄像机捕捉的，或者将显示在屏幕上的视频，和/或由麦克风捕捉的或将被传送给扬声器的音频分量的编码/解码。SMS/MMS模块117管理SMS/MMS消息的接收/传送。处理器255监督包括在移动通信设备115中的不同模块的操作和活动。与处理器255结合的存储器260包括至少一个用于管理与移动通信网络和/或与通信网络的其它用户的通信的软件应用。0052移动通信设备11。
34、5还可包括管理WIFI网络中的通信的WIFI通信模块265，管理按照蓝牙标准的通信的蓝牙模块270，管理IRDA通信的IRDA模块275，管理ZIGBEE通信的ZIGBEE模块280，和适合于管理按照不同标准的通信，特别是但不限于短程通信的其它说明书CN104202325A6/24页10通信模块中的一个或多个。0053注意到尽管在图2中，不同的单元利用相对于存储器260的独立实体表示，不过至少一些所示单元可以至少部分地利用保存在存储器260中，并且当被处理器255执行时执行相同功能的软件程序来实现。例如，编码/解码单元和/或GPRS模块被表示成独立的实体，不过也可以至少部分地利用驻留在存储器中。
35、，并由移动通信设备的处理器执行的软件程序来实现。特别地，可完全地以软件形式来实现，但是被描述成不同实体的单元可包括VPN虚拟专用网络客户机模块285，个人防火墙模块290，防恶意软件模块295比如安装在移动通信设备115上的防病毒应用。移动通信设备的操作由附图中未示出的操作系统管理。0054本领域技术人员业已知晓，SIM120还包括至少一个数据处理器，例如微处理器，包括至少一个CPU，非易失性存储器，比如闪速EEPROM、RAM，与移动通信设备115连接的接口组件。由于本身已知，因此未示出SIM的详细结构。0055返回参见图1，安全策略实施平台具有客户机服务器结构，包括适合于相互通信和合作的客。
36、户机端135和服务器端140。0056平台的服务器端140下面称为平台服务器位于移动网络运营商110。平台服务器140管理各种活动，包括将在用户的移动通信设备中实现的安全策略的定义，需要实现特定安全策略的条件的定义，安全策略在中央安全策略数据库143中的存储，以及采用多种可用通信信道中的一种或多种，将安全策略传送给移动通信设备。0057平台的客户机端135下面称为平台客户机位于移动通信设备115，包括安装在移动通信设备115上，并由移动通信设备115执行的专用客户机软件。平台客户机135特别适合于与平台服务器140通信以便接收安全策略和其它信令，本地保存接收的安全策略，对移动通信设备115本地。
37、实施安全策略。0058后面提供平台客户机135和服务器140的详细说明。0059平台服务器140包括适合于从多个不同来源，捕捉可用于安全策略实施平台的操作的事件，尤其是可用于确定最好应该应用哪些安全策略的事件的事件收集功能145。事件收集功能145可从预警平台150根据异常检测机制工作的，适合于在恶意软件被基于模式例如病毒签名检测工作的其它机制，比如防病毒机制拦截之前，检测恶意软件的攻击的平台，环境感知平台155，网络入侵检测系统160，防欺诈系统165，企业的存在检测系统170，以及其它可能的来源总体表示成175捕捉事件。0060平台服务器140适合于与移动通信设备通信，尤其适合于利用几种通。
38、信信道中的一种或几种，向移动通信设备发送要实施的安全策略，所述通信信道包括移动通信网络105的SMS短消息收发服务消息和/或MMS多媒体消息收发服务消息，通过利用移动通信网络105的GPRS基础结构建立的TCP/IP连接发送的数据分组，ZIGBEE通信信道，蓝牙通信信道，IRDA通信信道。0061对于本说明来说，“安全策略”意味以一条或者通常多条，比如一组规则为特征的策略。特别地但不限于，可通过向称为“属性”按照NIST国家标准技术研究所采用的命名法的元素赋予特定值，构成组成普通安全策略的规则。根据赋予策略中的属性的特定值，驻留在移动通信设备115中的平台客户机135能够管理用户和应用在访问使。
39、移动设备可用的资源和服务方面的授权和/或特权。说明书CN104202325A107/24页110062按照本发明的一个实施例，可利用XML可扩展置标语言定义策略。这种情况下，策略可被表述成一系列的属性和赋予属性的特定值，比如0063，0064并且能够构成一行或多行的属性赋值，以定义策略。0065仅仅作为一个非限制性示例，安全策略领域的技术人员已知，NIST定义必须被用于定义安全策略的至少三种属性“动作”属性，“来源”属性和“目标”属性不过，本发明并不应局限于NIST的定义。0066动作属性代表将由负责策略实施的实体管理的控制。对于动作属性，NIST定义了三种值“接口”、“套接字”和“文件”。接。
40、口属性值指示在OSI栈的通信物理层的控制例如，在普通的通用计算机中，这些控制包括评定串行端口、红外端口、对智能卡或对存储卡的访问是否被允许的控制。套接字属性值指示在OSI传输层的控制。文件属性值指示在OSI应用层的控制它允许将对特定文件的访问仅仅限制于某些应用软件；策略可被进一步修改，指示每个单一的读取、写入和执行许可。0067来源属性规定适合于限制动作属性的赋值可能性的值；对其指定来源属性的对象可包括IP地址，文件名等。就套接字动作来说，来源属性包括例如指示允许因特网业务流的端口号，批准用户连接的地址范围等等的几个子参数。0068目标属性进一步规定完成该动作的接口单元或基准。0069仅仅作为。
41、一个非限制性示例，按照这里描述的本发明实施例的安全策略实施平台可以管理的安全策略可包括驻留在用户的移动通信设备上的VPN客户机假定包括在VPN模块285中的激活和配置策略；个人防火墙290的激活/去激活/配置策略；摄像机230的激活/去激活策略；蓝牙接口270、IRDA接口275、WIFI接口265的激活/去激活/配置策略；GPRS/EDGE/UMTS功能215的激活/去激活/配置策略；本地保存在移动通信设备115的数据的加密例如，本地文件系统的加密或文件/文件夹的加密策略；可能在移动通信设备115上实现的数据备份服务的激活/去激活/配置策略；安装在移动通信设备115上的特定应用的激活/去激活。
42、策略，或者禁止在移动通信设备115上安装新应用的策略。上面的列举是非穷尽的。0070按照本发明的一个实施例，普通安全策略由属于两种规则类别XML格式的规则，和配置文件格式的规则之一的一条或多条规则构成。0071将XML格式用于安全策略规则被认为是更可取的，因为操作系统常常允许按照自然XML格式定义策略，另外还由于一些不断出现的标准，比如OMA设备管理；例如，假定安装在移动通信设备115上、管理移动通信设备115的操作的操作系统是WINDOWS可能借助XML配置VPN模块285的VPN客户机，GPRS连接的配置，WIFI接口265的配置等等。0072考虑到其配置不支持XML的应用的存在，使用配置。
43、文件格式的安全策略规则。配置文件格式的安全策略从而允许作用于依赖特定文件的应用配置。例如，这允许作用于将其配置保存在文本文件比如MICROSOFT环境中具有扩展名“INI”的文件中，而不是二进制文件的第三方THIRDPART应用的设置。0073普通安全策略可由标识符，例如字母数字标识符识别，并且按照本发明的一个实施例，借助适合于保证平台客户机135和平台服务器140具有检查安全策略的真实性和完说明书CN104202325A118/24页12整性的可能性的适当机制，在完整性和真实性方面保护普通安全策略；特别地，如后所述，在本发明的一个实施例中，采用加密的消息鉴权码MAC机制。已知，加密MAC是可。
44、用于鉴权诸如消息之类的数据块的一条较短的信息。MAC由MAC算法生成，MAC算法接受秘密密钥和待鉴权的任意长度的数据块作为输入，并输出MAC有时称为标记。MAC值通过允许验证者他也拥有该秘密密钥检测数据块内容的任何变化，保护该数据块的完整性和真实性。MAC算法能够由其它基本加密算法，比如加密散列函数就HMAC来说，或者由块密码算法OMAC，CBCMAC和PMAC构成。0074策略可由特定的XML标记，比如下面的POLICYID标记引入00750076BODYOFTHEPOLICY00770078属性ID“POLICYNAME“指示识别该策略的字母数字代码，而属性MAC“POLICYMAC“包含。
45、对于安全策略计算的，例如利用BASE64编码进行编码的MAC。0079如前所述，安全策略由一条或多条规则构成，每条规则包含必须在其上实施该安全策略的系统在此情况下，移动通信设备115的设置或配置。为了相互区分安全策略，按照本发明的一个实施例，提供一种适合于指定一般规则的内容的方法。为此，引入另一个XML标记，该标记允许确定包含在策略中的规则00800081BODYOFTHERULE00820083属性ID“RULENAME“可以是识别特定规则的整数，而属性TYPE“RULETYPE“指示定义的规则的类型。规则类型属性可取下述值之一0084TYPE属性值“XML”该属性值识别XML形式的安全策略。
46、规则；0085TYPE属性值“FILE”该属性值识别配置文件形式的安全策略规则。0086注意到通过以均包含与在其上必须实施安全策略的系统移动通信设备115的相同功能相关的设置和配置的规则恰当地构成安全策略，可使安全策略的维护，例如更新更容易。例如，移动通信设备上的VPN功能285的激活由最好被归入相同规则中的几个配置VPN客户机的配置，通信接口的配置等等构成。这样，可利用与单一规则相同的粒度更新安全策略。0087为了管理必须持续预先未确定的一段时间而被认为某一安全策略有效的情况，可以提供临时安全策略。临时安全策略可重新定义某些安全策略规则的行为。例如，考虑其中发现和公布例如在安全公告板上可能影。
47、响移动通信设备的某一组件，并且还未发布对其的补救措施例如补丁的新威胁或新弱点的情况。可在移动通信设备上实施实现工作区WORKAROUND的临时安全策略，该临时安全策略适合于提供可能通过去激活或限制由所涉及的组件提供的功能，适于至少限制可能的损害的临时解决方案。一旦该问题被解决，并且补救措施可用于该威胁，那么使临时安全措施被去激活。如后所述，在按照本发明的一个实施例的平台中，移动通信设备上临时安全策略的激活和去激活是借助平台服务器具体地说，来自平台服务器的命令实现的。0088平台服务器140和平台客户机135通过经由可用的通信信道之一交换适当格式的说明书CN104202325A129/24页13。
48、消息，进行相互通信。0089在本发明的一个例证的但非限制性实施例中，在平台服务器140和平台客户机135之间交换的普通消息是由适合于描述由消息传送的安全策略的类型的多个XML标记，加上可能的控制信息构成的。0090普通消息可被封装在如下定义的预定XML标记，例如“MESSAGE”标记内00910092属性MAC“MESSAGEMAC“包含对于整个消息计算的，例如借助BASE64编码进行编码的MAC，表示消息的保护机制，具体地说目的在于保护消息真实性和完整性的加密完整性检查。0093例如，存在于从服务器端140接收的消息中的MAC被驻留在移动通信设备115上的平台的客户机端135用于核实消息真实。
49、性和完整性，如后详细所述。0094在本发明的一个实施例中，“MESSAGE”标记还包括属性TIME“YYYYMMDDHHMMSS“，其值指示分派该消息的日期和时间特别地，将分派该消息的日期和时间已被传给OSI传输层。“TIME”属性的值“YYYYMMDDHHMMSS“例如是年4位格式，月2位格式，日2位格式，小时2位格式，分钟2位格式和秒2位格式的级联；不过其它格式也是可能的。如果平台服务器140的本地时钟和平台客户机135的本地时钟被同步，那么“TIME”属性的值可被用于进行对接收消息的进一步检查。0095在平台服务器140和平台客户机135之间可以交换不同类型的消息。例如，在本发明的一个实施例中，能够交换四种不同类型的消息“ACTION”消息，“REQUEST”消息，“REPLY”消息和“NOTIFY”消息。这些消息的其中一个的发送者和接收者可以是平台服务器140或平台客户机135。0096ACTION消息涉及必须由消息接收者执行的动作。REQUEST消息涉及要求消息接收者利用答复消息回应的请求；NOTIFY消息被用于通知消息发送者的某种状况。0097消息的类型是由例如特定的XML标记定义的；例如，就ACTION消息来说，使用下述标记00980099BODYOFTHEACTION01000101属性TYPE被用于识别要采取的动作的类型；例如，在本发明的一个实施例中，。