通信控制方法、装置、电子设备、存储介质及程序产品与流程

本技术涉及通信，具体而言，涉及一种通信控制方法、装置、电子设备、存储介质及程序产品。

背景技术：

1、d-bus（desktop bus）是 linux 桌面环境中广泛使用的进程间通信（inter-process communication，ipc）机制，为应用程序提供了一种标准化的消息传递方式。在现代桌面操作系统中，系统服务（如网络管理、电源管理、音频服务等）通过 d-bus 暴露接口，应用程序可以通过调用这些接口获取系统状态或执行系统操作。随着桌面操作系统安全要求的不断提高，对 d-bus 通信的安全控制变得日益重要。恶意应用可能通过 d-bus 接口越权访问系统服务或获取敏感系统信息。因此，需要对 d-bus 通信进行细粒度的访问控制，确保只有授权的应用才能调用特定的 d-bus 接口。

2、然而，相关技术中的d-bus通信安全控制方案存在访问控制粒度粗、无法精确到进程或应用包级别的问题，难以有效防范恶意应用通过d-bus接口越权访问系统服务或获取敏感信息。

3、针对上述的问题，目前尚未提出有效的解决方案。

技术实现思路

1、本技术实施例提供了一种通信控制方法、装置、电子设备、存储介质及程序产品，以至少解决相关技术中访问控制粒度粗，无法精确到进程或应用包级别，难以实现细粒度、动态化的桌面总线通信安全控制的技术问题。

2、根据本技术实施例的一个方面，提供了一种通信控制方法，包括：接收桌面总线消息，基于预注册的匹配规则对桌面总线消息进行匹配，并根据匹配结果确定桌面总线消息对应的客体实体，其中，客体实体用于表征被访问的桌面总线资源；识别桌面总线消息的发送主体，并依据发送主体对应的标识信息，确定桌面总线消息对应的主体实体，其中，主体实体对应于发起访问请求的应用实体；依据匹配规则，确定客体实体对应的访问控制模式，以及依据主体实体与客体实体的对应关系，在匹配规则中确定与对应关系相匹配的显式策略，其中，显式策略用于表征主体实体对客体实体的特定访问权限；依据访问控制模式和/或显式策略进行权限判定，其中，权限判定用于确定发送主体对客体实体的访问权限；依据权限判定的结果，对桌面总线消息执行相应的访问控制操作。

3、可选地，在接收桌面总线消息之前，方法还包括：从多级配置目录中加载主体实体和客体实体的定义文件、以及策略配置文件，其中，多级配置目录中包含多种不同优先级的配置，不同优先级的配置分别包含不同的定义文件和策略配置文件，主体实体和客体实体采用统一的数据模型进行定义，主体实体包括以下至少之一：可执行文件类型、软件包类型和沙箱应用类型，客体实体包括以下至少之一：目标服务名、对象路径、接口名和方法名；按照优先级从低到高的顺序，对多种不同优先级的配置进行字段级覆盖合并，其中，字段级覆盖合并包括：将相同主体实体对不同客体实体的策略条目进行累加合并，相同主体实体对相同客体实体的策略条目由高优先级配置覆盖低优先级配置；将合并后的主体实体的定义文件、客体实体的定义文件及策略配置文件转换为匹配规则，以供桌面总线消息到达时进行匹配和权限判定。

4、可选地，将合并后的主体实体的定义文件、客体实体的定义文件及策略配置文件转换为匹配规则包括：解析客体实体的实体属性，将不包含正则表达式的实体属性直接映射为客体匹配规则的键值对，将包含正则表达式的实体属性保留至消息检查阶段进行正则匹配验证，以及在客体实体包含多个访问成员的情况下，为每个访问成员分别生成独立的客体匹配规则；将主体实体的定义文件中的主体识别信息转换为主体匹配规则，其中，主体匹配规则用于在消息检查阶段依据发送主体的标识信息识别对应的主体实体；将策略配置文件中的策略配置及客体实体的访问控制模式转换为策略匹配规则，其中，策略匹配规则用于在消息检查阶段依据已识别的主体实体和客体实体进行权限判定；将合并后的主体实体的定义文件、客体实体的定义文件及策略配置文件转换为匹配规则之后，还包括：将客体匹配规则、主体匹配规则和策略匹配规则，注册到桌面总线守护进程。

5、可选地，方法还包括：监听多级配置目录的文件变更事件，其中，文件变更事件包括以下至少之一：文件的创建、修改、删除和移动；在检测到文件变更事件的情况下，重新从多级配置目录中加载主体实体和客体实体的定义文件、以及策略配置文件，并按照优先级进行合并；将经重新合并后的主体实体的定义文件、客体实体的定义文件及策略配置文件转换为新的匹配规则；用新的匹配规则替换当前生效的匹配规则，并通知桌面总线守护进程进行刷新，以使新的匹配规则对后续到达的桌面总线消息生效。

6、可选地， 基于预注册的匹配规则对桌面总线消息进行匹配，并根据匹配结果确定桌面总线消息对应的客体实体包括：将已注册的匹配规则与桌面总线消息的消息属性进行比对，其中，匹配规则中包括由客体实体中不包含正则表达式的实体属性转换得到的键值对；在消息属性与匹配规则中的键值对一致的情况下，判断初步匹配成功，触发消息检查阶段；在消息检查阶段，提取桌面总线消息中与客体实体中保留的正则表达式对应的属性值，进行正则匹配验证；在正则匹配验证通过的情况下，依据编码于匹配规则中的实体标识，确定桌面总线消息对应的客体实体。

7、可选地，主体实体包括以下至少之一：可执行文件类型、软件包类型和沙箱应用类型；依据发送主体对应的标识信息，确定桌面总线消息对应的主体实体包括：获取发送主体对应的标识信息，其中，标识信息包括以下至少之一：进程标识、可执行文件路径；依据标识信息，检测发送主体是否包含沙箱应用特征；在发送主体包含沙箱应用特征的情况下，提取沙箱应用标识，并基于沙箱应用标识，在匹配规则中匹配沙箱应用类型的主体实体；在发送主体不包含沙箱应用特征，或基于沙箱应用标识未匹配到对应的主体实体的情况下，依据标识信息按照预设优先级顺序匹配其他类型的主体实体，将匹配成功的其他类型的主体实体确定为标识信息对应的主体实体。

8、可选地，访问控制模式包括：白名单模式和黑名单模式；显式策略包括以下至少之一：访问权限信息、有效期、上下文约束条件；依据访问控制模式和/或显式策略进行权限判定包括：在存在显式策略的情况下，校验有效期是否已过期，以及校验上下文约束条件是否满足，其中，上下文约束条件包括运行时环境状态约束，通过将当前系统运行环境与上下文约束条件中的期望值进行比对，以校验上下文约束条件是否满足；在有效期未过期，且上下文约束条件满足的情况下，判定主体实体对客体实体具有访问权限信息对应的访问权限；在不存在显式策略，或有效期已过期，或上下文约束条件不满足的情况下，依据访问控制模式对应的默认行为，判定主体实体对客体实体的访问权限，其中，在白名单模式下默认行为为允许访问，在黑名单模式下默认行为为拒绝访问。

9、根据本技术实施例的另一个方面，还提供了一种通信控制装置，包括：客体匹配模块，用于接收桌面总线消息，基于预注册的匹配规则对桌面总线消息进行匹配，并根据匹配结果确定桌面总线消息对应的客体实体，其中，客体实体用于表征被访问的桌面总线资源；主体匹配模块，用于识别桌面总线消息的发送主体，并依据发送主体对应的标识信息，确定桌面总线消息对应的主体实体，其中，主体实体对应于发起访问请求的应用实体；权限判断模块，用于依据匹配规则，确定客体实体对应的访问控制模式，以及依据主体实体与客体实体的对应关系，在匹配规则中确定与对应关系相匹配的显式策略，其中，显式策略用于表征主体实体对客体实体的特定访问权限；依据访问控制模式和/或显式策略进行权限判定，其中，权限判定用于确定发送主体对客体实体的访问权限；访问控制模块，用于依据权限判定的结果，对桌面总线消息执行相应的访问控制操作。

10、根据本技术实施例的又一方面，还提供了一种电子设备，包括：存储器和处理器，处理器用于运行存储在存储器中的程序，其中，程序运行时执行通信控制方法。

11、根据本技术实施例的再一方面，还提供了一种非易失性存储介质，非易失性存储介质包括存储的计算机程序，其中，非易失性存储介质所在设备通过运行计算机程序执行通信控制方法。

12、根据本技术实施例的再一方面，还提供了一种计算机程序产品，包括计算机程序，计算机程序被处理器执行时实现通信控制方法的步骤。

13、在本技术实施例中，采用接收桌面总线消息，基于预注册的匹配规则对桌面总线消息进行匹配，并根据匹配结果确定桌面总线消息对应的客体实体，其中，客体实体用于表征被访问的桌面总线资源；识别桌面总线消息的发送主体，并依据发送主体对应的标识信息，确定桌面总线消息对应的主体实体，其中，主体实体对应于发起访问请求的应用实体；依据匹配规则，确定客体实体对应的访问控制模式，以及依据主体实体与客体实体的对应关系，在匹配规则中确定与对应关系相匹配的显式策略，其中，显式策略用于表征主体实体对客体实体的特定访问权限；依据访问控制模式和/或显式策略进行权限判定，其中，权限判定用于确定发送主体对客体实体的访问权限；依据权限判定的结果，对桌面总线消息执行相应的访问控制操作的方式，通过建立统一的主客体实体化抽象模型，将主体对客体的访问策略自动转换为桌面总线内部可执行的匹配规则，并基于进程级标识信息将发送主体精确识别到应用粒度，结合访问控制模式与显式策略进行权限判定，达到了对桌面总线通信进行应用粒度级细粒度访问控制，并支持策略动态热更新的目的，进而解决了相关技术中访问控制粒度粗，无法精确到进程或应用包级别，难以实现细粒度、动态化的桌面总线通信安全控制的技术问题。