摘要

　　近些年來(lái)，智能手機日益普及，安卓操作系統已經(jīng)逐漸成為移動(dòng)設備中市場(chǎng)份額最大的應用操作平臺，給人們的日常生活帶來(lái)了極大的便利。在這基礎上，各類(lèi)移動(dòng)終端面臨著(zhù)前所未有的安全威脅。為了保障普通用戶(hù)的信息安全，安卓平臺上已存在各類(lèi)的安全軟件，提供如安全郵件，安全短信，安全電話(huà)等服務(wù)。

　　但是市面上并未對軟件的防篡改安全做特別的研究，本選題正是對于安卓終端的整機軟件安全做出了提升。

　　本文中首先介紹了安卓應用市場(chǎng)的基本概念，國內外的研究現狀與發(fā)展動(dòng)態(tài)現有商店使用的技術(shù)與方法。其次介紹了安卓操作系統的概念、體系結構和 dalvik虛擬機，對安卓操作系統的安全機制進(jìn)行了研究。之后揭示了安卓系統的安全隱患，一些針對安卓系統的攻擊方法以及本文中涉及到的安全隱患，介紹了數字簽名算法的概念以及應用。

　　其次在正文中給出了安卓應用商店的網(wǎng)絡(luò )服務(wù)器的設計，實(shí)現其訪(fǎng)問(wèn)控制，軟件管理、存儲和查詢(xún)，管理設計，日志審計，數據庫設計等功能。給出安卓應用商店應用商店套件端的設計，實(shí)現界面設計，下載模塊設計和系統功能模塊設計等功能。

　　最后根據對應測試環(huán)境給出較為完善的測試手段和方法，完成對安卓應用商店的功能性和安全性的測試。

　　關(guān)鍵詞：應用商店，安卓，數字簽名，防篡改

ABSTRACT

　　In recent years, the smart mobile phone is becoming more and more popular, android operating system has gradually become the largest market share in the mobile device application platform, which brings great convenience to people's daily life. On this basis, android operating system is facing all kinds of mobile terminal security threats. In order to guarantee the information security of ordinary users, all kinds of security software already exists on the android platform, provide safety messages , email, and calling. But the software in the market have no specialty in preventing tampering for now, The purpose of this thesis is to enhance the security of the android operating system overall.

　　This paper firstly introduces the basic concept of the android application market, the technology and method of current situation and development trend of research at home and abroad to use the existing stores. Secondly, introduces the concept of the android operating system architecture and the Dalvik virtual machine, security mechanism on the android operating system is studied. After revealing the security risks android system, relates to the security risks of several attack methods for android, this paper introduces the concept of digital signature algorithm and application.

　　Secondly, the design of the Android application store network server is given in the text, the realization of access control, software management, storage and query, design management, log audit, database design and other functions.Android application store to give the design of the application store suite, to achieve the interface design, download module design and system function module design and other functions.

　　Finally, according to the corresponding test environment is given a more perfect testing methods and methods to complete the functional and security testing of Android application store.

　　Keywords: The app store, android, digital signature, tamper proof

　　伴隨終端智能化的潮流，以手機為代表的智能移動(dòng)終端已廣泛應用于各行各業(yè)，給人們的日常生活帶來(lái)了極大的便利。在這基礎上，各類(lèi)移動(dòng)終端面臨著(zhù)前所未有的安全威脅。為了保障普通用戶(hù)的信息安全，安卓平臺上已存在各類(lèi)的安全軟件，提供如安全郵件，安全短信，安全電話(huà)等服務(wù)。

　　現有的安全軟件注重對傳輸的信息進(jìn)行安全防護，而對移動(dòng)終端的應用安全卻未做出統一的管理：移動(dòng)終端上使用的應用軟件來(lái)源復雜、涉及廣泛，可能夾帶惡意代碼、木馬或病毒，給移動(dòng)終端的使用安全帶來(lái)隱患，甚至在某些品牌手機的“刷機包”內，就已經(jīng)被移植有附帶惡意代碼的軟件。因此，解決移動(dòng)終端的應用軟件的安全問(wèn)題是當務(wù)之急。為加強移動(dòng)終端應用軟件的管理，提高移動(dòng)終端的安全防護能力，現在需要對安卓應用商店的安全性進(jìn)行提升，研制安全的安卓應用商店（以下簡(jiǎn)稱(chēng)安全商店），實(shí)現對終端安裝的應用軟件的統一安全檢測、標識、下載和管理。移動(dòng)終端安裝的應用軟件全部通過(guò)安全商店下載、安裝，可防止包含惡意代碼、木馬、病毒的非法應用軟件的入侵。

　　近年來(lái)，隨著(zhù)互聯(lián)網(wǎng)的呈指數級的迅速擴張發(fā)展和和安卓手機的日新月異，豐富的安卓應用越來(lái)越多，而作為手機應用的前端和上游，應用程序商店類(lèi)應用也陸續出現，這類(lèi)功能性的應用商店已經(jīng)成了普通手機的裝機標配，其所提供的服務(wù)能幫助用戶(hù)自由高效地獲取并管理手機應用。[1]。在國內，google 自帶的安卓電子市場(chǎng)所帶的愿景市場(chǎng)是全球化的，默認語(yǔ)言為英文的應用特別多，再加上服務(wù)器建設的問(wèn)題，導致了官方服務(wù)器的鏈接速度特別慢，造成了國內本地的用戶(hù)使用起來(lái)及其不習慣，易用性較差。這樣，在以開(kāi)放源碼為特色的安卓系統下，很多第三方開(kāi)發(fā)的應用市場(chǎng)開(kāi)始嶄露頭角，在用戶(hù)的體驗上和服務(wù)器的鏈接速度上具有較大的優(yōu)勢。2010 年開(kāi)始至今，市面上出現多種第三方應用商店，現穩定占有絕大多數國內市場(chǎng)的大概有 20 多款。其中不乏如 360，騰訊，網(wǎng)易等互聯(lián)網(wǎng)巨頭或是 appchina，安智市場(chǎng)，機鋒市場(chǎng)等從社區起始的市場(chǎng)。用戶(hù)可以通過(guò)多種渠道購買(mǎi)和下載 APP，選擇空間變得很大。

　　而發(fā)展總歸來(lái)說(shuō)是一把雙刃劍，很多的問(wèn)題和困難也出現在了國內的第三方的應用商店上。其中較為明顯的一點(diǎn)就是應用商店很難持續性地賺到錢(qián)，現在的第三方的應用市場(chǎng)主要的目標還是盡可能的擴張，占有更多的市場(chǎng)份額，這樣浮躁的發(fā)展方式造成了應用市場(chǎng)的持續發(fā)展的能力較差，現在越來(lái)越多的國內第三方應用商店已經(jīng)舉步維艱，靠微薄的廣告費用生存著(zhù)，這樣也不利于自身軟件的健康發(fā)展。目前應用的開(kāi)發(fā)商只要付費給錢(qián)，就可以在很多應用商店上占據顯眼和重要的位置，而不管應用的質(zhì)量和水準如何，而這類(lèi)費用已經(jīng)是第三方安卓應用商店的非常重要的收入來(lái)源了。還有一個(gè)問(wèn)題就是應用商店的同質(zhì)化的問(wèn)題，第三方的安卓應用商店并沒(méi)有太大的差別，這樣導致了用戶(hù)打開(kāi)各個(gè)應用商店粗淺的用戶(hù)體驗幾乎相同。不僅如此，應用商店開(kāi)發(fā)公司追求其商店應用程序的數量個(gè)數，并未對應用程序的質(zhì)量有全方位的掌控，缺乏細化經(jīng)營(yíng)的意識，在國內盜版如潮的大環(huán)境下，更是加劇了同質(zhì)化的程度，應用程序商店的移動(dòng)應用程序市場(chǎng)已經(jīng)推出了一種新的方法來(lái)定義和銷(xiāo)售軟件應用程序。

　　而在安全應用這一領(lǐng)域，國內手機上面對惡意代碼軟件、木馬病毒的橫行，也是造成了很多用戶(hù)不選擇安卓系統而選擇微軟或蘋(píng)果操作系統的原因。出現這種問(wèn)題，究其原因是因為安卓系統源碼開(kāi)放的特性，一些人或團體人為地制造了具有惡意代碼、木馬病毒的應用軟件，后臺暗中吸取流量，惡意扣費，記錄用戶(hù)信息等，這些也是第三方軟件商店需要承擔起的安全審核的責任。作為國內最安全的應用下載市場(chǎng)，360 手機衛士對自己平臺上的每一款應用經(jīng)過(guò)了 360 手機衛士的安全檢測，供用戶(hù)下載使用。而其他應用市場(chǎng)，由于國內應用審核快，審核團隊資源、水平參差不齊，山寨應用橫行，嚴重損害用戶(hù)的終端安全。而在應用防篡改、防植入代碼這一方面，國內應用市場(chǎng)還是主要依靠安卓自帶的數字簽名技術(shù)，并無(wú)應用商店對其發(fā)布的應用做任何專(zhuān)有的標示和管理。

　　在國外，蘋(píng)果公司作為行業(yè)近 10 年來(lái)光芒萬(wàn)丈的行業(yè)領(lǐng)導者，也作為創(chuàng )始者建立了應用商店這一概念，由于蘋(píng)果操作系統的封閉，用戶(hù)也被動(dòng)的適應了起初可能并不易用的 App Store，而目前來(lái)看蘋(píng)果的應用市場(chǎng)已經(jīng)非常通用和強力。通過(guò)蘋(píng)果應用商店的模式，蘋(píng)果并不負責用戶(hù)的應用選擇，也不負責應用開(kāi)發(fā)商對用戶(hù)的推廣，這樣做讓用戶(hù)和應用開(kāi)發(fā)者自發(fā)的進(jìn)行了結合，推翻了以前手機制造商制作應用，用戶(hù)只能使用手機制造商的應用這種單一的局面。在應用商店上線(xiàn)的應用軟件，用戶(hù)通過(guò)網(wǎng)絡(luò )連接 App Store 的界面，自行選擇消費應用軟件，將其安裝在手機中。蘋(píng)果公司近 10 年在史蒂夫喬布斯的帶領(lǐng)下，建立了完成的產(chǎn)業(yè)盈利模式，比如 App Store 將合作方的資源進(jìn)行了規劃和整合，以一站式的服務(wù)方式將手機應用、音樂(lè )、運營(yíng)商、增值業(yè)務(wù)平臺等各類(lèi)業(yè)務(wù)整合到了包括 iphone、ipod、ipad 等數字產(chǎn)品中。02、Orange 這類(lèi)國外的運營(yíng)商都已經(jīng)開(kāi)始自行推出應用商店。

　　而國內的運營(yíng)商雖然暫時(shí)落后，不過(guò)也在積極地布局這類(lèi)模式，因為畢竟運營(yíng)上的資源是得天獨厚的，想要推廣應用商店或應用也是有著(zhù)其他第三方安卓應用商店所不具備的優(yōu)勢的。[3]。

　　因為安卓系統的開(kāi)放，這樣搭建一個(gè)應用市場(chǎng)還是很簡(jiǎn)單的，但由于 GMS（Google 開(kāi)發(fā)并推動(dòng)安卓系統的動(dòng)力，也是安卓系統的靈魂所在）在美國的統治地位，Google 各種服務(wù)的整合以及開(kāi)發(fā)者沒(méi)有那么多精力維護那么多應用市場(chǎng)的更新，所以其他的應用市場(chǎng)對于多數消費者沒(méi)有存在的必要。而在國外官方市場(chǎng)強勢，手機預裝官方市場(chǎng)，三星或者其他的廠(chǎng)商應用市場(chǎng)存在感很低，國外公司不敢公然做盜版這些條件，以至于相對于國內，國外的應用市場(chǎng)整合的更加集中，在管理方面也更為規范。但是在對于軟件安全方面，投機的個(gè)人或團隊將惡意代碼、木馬病毒移植到了一些熱門(mén)應用，隨后上傳到一些第三方的應用市場(chǎng)，消費者通常都無(wú)法分辨原版應用和已被修改過(guò)的應用，在點(diǎn)擊下載使用后，造成了消費者的安全威脅，這種俗稱(chēng)“打包黨”，這種行為也側面反應了應用市場(chǎng)應用審核能力的不足。目前 97%的移動(dòng)惡意軟件將安卓系統作為攻擊目標，相比之下針對應用程序安全的發(fā)展顯得特別緩慢。

　　本論文主要設計并實(shí)現了一個(gè)基于安卓平臺的應用商店，服務(wù)器端為 web 服務(wù)器，通過(guò) http 連接為終端上的應用商店提供下載服務(wù)，安裝 Oracle、SqlSever或 MySQL 等數據庫。終端為應用 apk，通過(guò)在 eclipse、SDK 等安卓軟件開(kāi)發(fā)環(huán)境上使用 JAVA 語(yǔ)言開(kāi)發(fā)。本課題中在此基礎上通過(guò)私有的數字簽名技術(shù)，對服務(wù)器端應用商店中的軟件進(jìn)行二次數字簽名，加強了軟件來(lái)源的唯一性，防止應用在網(wǎng)絡(luò )過(guò)程中被篡改。終端上通過(guò)對系統服務(wù)的定制，對下載軟件的簽名驗證，保障應用的可靠性和軟件來(lái)源的唯一性。

　　在開(kāi)發(fā)的前期，研究了國內外安卓商店類(lèi)應用的歷史和發(fā)展現狀，研究了安卓系統體系架構、安全機制、安全威脅等概念。研究了數字簽名技術(shù)并比較了安卓自帶的數字簽名技術(shù)的優(yōu)缺點(diǎn)。研究了安卓系統級開(kāi)發(fā)的相關(guān)知識，最終完成了本論文中的應用商店。

安卓應用商店設計開(kāi)發(fā)：

軟件下載

非應用商店軟件安裝圖

被篡改簽名的軟件安裝圖

合法安裝示意圖

目 錄

　　第一章 緒論
　　　　1.1 國內外研究與發(fā)展現狀
　　　　1.2 本文主要工作
　　　　1.3 本論文的結構安排
　　第二章 安卓操作系統和安全
　　　　2.1 安卓操作系統概述
　　　　　　2.1.1 安卓操作系統體系結構
　　　　　　2.1.2 安卓 Dalvik 虛擬機
　　　　2.2 安卓的安全機制
　　　　　　2.2.1 應用和框架層安全
　　　　　　2.2.2 本地庫安全
　　　　　　2.2.3 內核安全
　　　　2.3 安卓安全威脅和解決方法
　　　　　　2.3.1 root 權限威脅
　　　　　　2.3.2 隱私數據威脅
　　　　　　2.3.3 惡意代碼和病毒威脅
　　　　　　2.3.4 終端刷機威脅
　　　　　　2.3.5 應用商店面臨的安全威脅
　　　　2.4 本章小結
　　第三章 安全的安卓應用商店技術(shù)研究
　　　　3.1 數字簽名技術(shù)研究
　　　　　　3.1.1 數字簽名的定義
　　　　　　3.1.2 數字簽名過(guò)程
　　　　　　3.1.3 安卓應用中的數字簽名
　　　　3.2 安卓應用程序開(kāi)發(fā)的研究
　　　　3.3 安卓系統層開(kāi)發(fā)的研究
　　　　3.4 安卓 UI 開(kāi)發(fā)的研究
　　　　3.5 網(wǎng)絡(luò )服務(wù)器開(kāi)發(fā)的研究
　　　　3.6 本章小結
　　第四章 安全的安卓應用商店的設計實(shí)現
　　　　4.1 網(wǎng)絡(luò )服務(wù)器的設計實(shí)現
　　　　　　4.1.1 需求分析
　　　　　　4.1.2 硬件設計
　　　　　　4.1.3 軟件設計實(shí)現
　　　　4.2 應用商店套件的設計實(shí)現
　　　　　　4.2.1 需求分析
　　　　　　4.2.2 硬件設計
　　　　　　4.2.3 軟件設計
　　　　4.3 本章小結
　　第五章 安全的安卓應用商店的測試
　　　　5.1 服務(wù)器測試
　　　　　　5.1.1 測試環(huán)境
　　　　　　5.1.2 測試方法和結論
　　　　5.2 應用商店套件測試
　　　　　　5.2.1 測試環(huán)境
　　　　　　5.2.2 測試方法和結論
　　　　5.3 本章小結
　　第六章 結 論
　　　　6.1 本文的主要貢獻
　　　　6.2 下一步工作的展望
　　致 謝
　　參考文獻

（如您需要查看本篇畢業(yè)設計全文，請您聯(lián)系客服索取）