一种安全保护系统及方法与流程

本发明涉及信息安全领域，并且更具体地，涉及一种基于安全区域进行安全保护的系统、方法以及移动终端。

背景技术：

目前，基于安全区域进行信息保护的技术通常会将应用所创建、修改以及删除的文件和数据进行虚拟化重定向，也就是说所有操作都是虚拟的。而真实的文件和注册表不会被改动，这样可以确保病毒或恶意代码无法对系统关键部位进行改动破坏系统。这种技术通过重定向把应用生成和修改的文件定向到安全文件夹中。当某个应用试图发挥作用时，可以先让它在安全区域中运行。如果这个应用含有恶意代码，则禁止其进一步运行，而这不会对系统造成任何危害。例如，在安全区域中运行浏览器或其他应用时，浏览器或其他应用所产生的变化可以随时被删除。这种方式可用来保护浏览网页或启动应用时系统的安全，也可以用来清除上网、运行程序的痕迹，还可以用来测试软件，测试病毒等用途。

最初，安全区域技术被设计用来针对计算机病毒进行处理。在个人计算机端设置虚拟空间，对虚拟空间内应用或程序进行应用程序接口(API，Application Program Interface)调用的截获，从而实现病毒隔离。通常，为了实现病毒隔离，安全区域中的应用不能调用任何本地或远程可执行程序、不能从本地计算机文件系统中读取任何信息、不能往本地计算机文件系统中写入任何信息以及不能查看少数几个无害的操作系统详细信息外的任何有关本地计算机的信息。但是，安全区域内和外的完全隔离对于应用对外部安全内容的正常调用造成不便。

另一种安全区域保护技术借助于操作系统多用户之间互相隔离的原理实现安全保护。但是这种方式使得安全区域内部和外部应用完全隔离，即无法进行内部和外部的数据交互。当安全区域内的应用需要访问外部的安全应用、获取外部的数据以及进行安全的网络访问时，安全区域无法区分访问或获取是否安全并且因此会拒绝所有的数据交互。安全区域禁止内部和外部的数据交互，但是这种方式无法满足目前应用间的数据交互要求并且给用户操作造成的极大的困扰。

技术实现要素：

本发明针对目前安全区域技术的完全隔离方案的不便利性，提供一种安全保护系统及方法。本发明的技术方案采用能够进行安全区域内外数据交互的安全保护技术来保护用户设备中应用、数据以及网络的信息安全。

本发明的安全保护系统和方法能够在使安全区域内的应用访问安全区域外的应用、数据以及网络等，以及使安全区域外的应用访问安全区域内的应用和数据等。

根据本发明的一个方面，提供一种安全保护系统，包括：

生成器，用于生成安全区域，所述安全区域用于容纳需要进行安全保护的应用，并且所述需要进行安全保护的应用在运行时所生成的数据被存储在安全区域内；

接收器，用于接收安全区域内的应用针对非安全区域内项目的访问请求并且将所述访问请求发送给访问控制器；以及

访问控制器，根据访问控制策略确定所述访问请求是否被允许，在根据所述访问控制策略确定所述访问请求被允许的情况下，允许安全区域内的应用对非安全区域内项目进行访问。

优选地，在根据所述访问控制策略确定所述访问请求不被允许的情况下，不允许安全区域内的应用对非安全区域内项目进行访问。

还包括，存储器，用于存储访问控制策略。

其中，访问控制策略包括黑名单，黑名单中包括不允许访问的项目的列表。

其中，访问控制策略还包括白名单，白名单中包括允许访问的项目的列表。

其中，访问控制策略还包括灰名单，灰名单中包括需要进行安全控制访问的项目的列表。

其中，项目可以是应用、数据或网络。

当非安全区域内项目位于黑名单中时，确定所述访问请求不被允许；当非安全区域内项目位于白名单中时，确定所述访问请求被允许；以及当非安全区域内项目位于灰名单中时，确定所述访问请求仅被允许进行安全控制访问。

其中，安全控制访问包括：访问控制器促使从安全服务器下载与所要访问的应用内容相同的安全应用，将所述访问请求重定向到所述安全应用。

其中，所述安全应用位于安全区域或非安全区域中。

根据本发明的另一方面，提供一种移动终端，包括或用于执行如上所述的安全保护系统。

根据本发明的另一方面，提供一种安全保护系统，包括：

生成器，用于生成安全区域，所述安全区域用于容纳需要进行安全保护的应用，并且所述需要进行安全保护的应用在运行时所生成的数据被存储在安全区域内；

接收器，用于接收非安全区域内的应用针对安全区域内项目的访问请求并且将所述访问请求发送给访问控制器；以及

访问控制器，根据访问控制策略确定所述访问请求是否被允许，在根据所述访问控制策略确定所述访问请求被允许的情况下，允许非安全区域内的应用对安全区域内项目进行访问。

优选地，在根据所述访问控制策略确定所述访问请求不被允许的情况下，不允许非安全区域内的应用对安全区域内项目进行访问。

还包括，存储器，用于存储访问控制策略。

其中，访问控制策略包括黑名单，黑名单中包括不允许访问的项目的列表。

其中，访问控制策略还包括白名单，白名单中包括允许访问的项目的列表。

其中，访问控制策略还包括灰名单，灰名单中包括需要进行安全控制访问的项目的列表。

其中，项目可以是应用或数据。

当安全区域内项目位于黑名单中时，确定所述访问请求不被允许；当安全区域内项目位于白名单中时，确定所述访问请求被允许；以及当安全区域内项目位于灰名单中时，确定所述访问请求仅被允许进行安全控制访问。

其中，安全控制访问包括：访问控制器促使非安全区域内应用发送认证请求给安全服务器，在非安全区域内应用成功通过安全服务器的认证后，允许所述访问请求；以及在非安全区域内应用未成功通过安全服务器的认证时，拒绝所述访问请求。

根据本发明的另一方面，提供一种移动终端，包括或用于执行如上所述的安全保护系统。

根据本发明的另一方面，提供一种安全保护方法，包括：

生成安全区域，所述安全区域用于容纳需要进行安全保护的应用，并且所述需要进行安全保护的应用在运行时所生成的数据被存储在安全区域内；

接收安全区域内的应用针对非安全区域内项目的访问请求；以及

根据访问控制策略确定所述访问请求是否被允许，在根据所述访问控制策略确定所述访问请求被允许的情况下，允许安全区域内的应用对非安全区域内项目进行访问。

优选地，在根据所述访问控制策略确定所述访问请求不被允许的情况下，不允许安全区域内的应用对非安全区域内项目进行访问。

还包括，存储访问控制策略。

其中，访问控制策略包括黑名单，黑名单中包括不允许访问的项目的列表。

其中，访问控制策略还包括白名单，白名单中包括允许访问的项目的列表。

其中，访问控制策略还包括灰名单，灰名单中包括需要进行安全控制访问的项目的列表。

其中，项目可以是应用、数据或网络。

当非安全区域内项目位于黑名单中时，确定所述访问请求不被允许；当非安全区域内项目位于白名单中时，确定所述访问请求被允许；以及当非安全区域内项目位于灰名单中时，确定所述访问请求仅被允许进行安全控制访问。

其中，安全控制访问包括：从安全服务器下载与所要访问的应用内容相同的安全应用，将所述访问请求重定向到所述安全应用。

其中，所述安全应用位于安全区域或非安全区域中。

根据本发明的另一方面，提供一种安全保护方法，包括：

生成安全区域，所述安全区域用于容纳需要进行安全保护的应用，并且所述需要进行安全保护的应用在运行时所生成的数据被存储在安全区域内；

接收非安全区域内的应用针对安全区域内项目的访问请求；以及

根据访问控制策略确定所述访问请求是否被允许，在根据所述访问控制策略确定所述访问请求被允许的情况下，允许非安全区域内的应用对安全区域内项目进行访问。

优选地，在根据所述访问控制策略确定所述访问请求不被允许的情况下，不允许非安全区域内的应用对安全区域内项目进行访问。

还包括，存储访问控制策略。

其中，访问控制策略包括黑名单，黑名单中包括不允许访问的项目的列表。

其中，访问控制策略还包括白名单，白名单中包括允许访问的项目的列表。

其中，访问控制策略还包括灰名单，灰名单中包括需要进行安全控制访问的项目的列表。

其中，项目可以是应用或数据。

当安全区域内项目位于黑名单中时，确定所述访问请求不被允许；当安全区域内项目位于白名单中时，确定所述访问请求被允许；以及当安全区域内项目位于灰名单中时，确定所述访问请求仅被允许进行安全控制访问。

其中，安全控制访问包括：非安全区域内应用发送认证请求给安全服务器，在非安全区域内应用成功通过安全服务器的认证后，允许所述访问请求；以及在非安全区域内应用未成功通过安全服务器的认证时，拒绝所述访问请求。

本方面的安全保护系统和方法能够在使安全区域内的应用访问安全区域外的应用、数据以及网络等，以及使安全区域外的应用访问安全区域内的应用、数据等。本发明通过对安全区域内的应用对非安全区域内项目的访问和对非安全区域内的应用对安全区域内项目的访问进行控制，在保护安全的情况下允许安全区域内外数据交互，极大地提高了用户的便利性。

附图说明

通过参考下面的附图，可以更为完整地理解本发明的示例性实施方式：

图1为根据本发明优选实施方式的安全保护系统的结构示意图；

图2为根据本发明优选实施方式的安全保护方法的流程图；以及

图3为根据本发明另一优选实施方式的安全保护方法的流程图。

具体实施方式

现在参考附图介绍本发明的示例性实施方式，然而，本发明可以用许多不同的形式来实施，并且不局限于此处描述的实施例，提供这些实施例是为了详尽地且完全地公开本发明，并且向所属技术领域的技术人员充分传达本发明的范围。对于表示在附图中的示例性实施方式中的术语并不是对本发明的限定。在附图中，相同的单元/元件使用相同的附图标记。

除非另有说明，此处使用的术语(包括科技术语)对所属技术领域的技术人员具有通常的理解含义。另外，可以理解的是，以通常使用的词典限定的术语，应当被理解为与其相关领域的语境具有一致的含义，而不应该被理解为理想化的或过于正式的意义。

图1为根据本发明优选实施方式的安全保护系统10的结构示意图。安全保护系统10针对目前安全区域技术的完全隔离方案的不便利性，能够在保护用户设备中应用、数据以及网络的信息安全的同时进行安全区域内外的数据交互。安全保护系统10能够使安全区域内的应用访问安全区域外的应用、数据以及网络等，以及使安全区域外的应用访问安全区域内的应用和数据等。

如图1所示，安全保护系统10包括用户设备100和安全服务器110。其中，用户设备100包括：接收器101、访问控制器102、通信单元103、存储器104和生成器105。其中安全服务器110包括：通信单元111、认证单元112和存储单元113。优选地，用户设备100可以是任意类型的移动终端、固定终端、或便携式终端，包括移动手机、站、单元、设备、多媒体计算机、多媒体平板、因特网节点、通信器、桌面计算机、膝上型计算机、个人数字助理(PDA)、或其任意组合。

优选地，在逻辑上，可以将用户设备100划分为安全区域106和非安全区域107。其中，用户设备100对安全区域106中的项目，例如应用、数据(文本、音频、视频以及图片等)等，进行额外的安全保护。通常，用户设备100会对其中的任何项目进行安全保护。但是，由于越来越多的项目需要进行网络访问或交互、需要与其他项目进行交互，因此用户设备100不得不放开部分安全限制以对这种交互提供方便。然而，这种安全限制的放开会威胁部分安全级别较高的项目的安全性。例如，用户设备100上的银行应用、理财应用、个人隐私数据等内容，可能面临着极大的安全挑战。为此，在用户设备100上设置安全区域106以对这些项目进行额外的安全保护。优选地，在用户设备100上设置非安全区域107以方便用户的操作，这是因为在例如非安全区域106中的项目进行网络访问或交互时不需要进行额外的安全控制，并且因此能够提高速度和效率。此外，非安全区域107也可以包括用户设备100之外的区域，例如网络服务器等。在这种情况下，图1中所示的非安全区域107可以被理解为是非安全区域的一部分。

优选地，安全区域106中的项目存在与外部项目进行交互的需求。其中外部项目例如是非安全区域107中的项目，或者是经由通信单元103进行网络访问。为了满足这种需求，用户设备100提供灵活的安全控制策略，以使得安全区域内的应用访问安全区域外的应用、数据以及网络等，以及使安全区域外的应用访问安全区域内的应用和数据等。

优选地，接收器101用于接收安全区域内的应用针对非安全区域内项目的访问请求并且将所述访问请求发送给访问控制器102。此外，接收器101用于接收非安全区域内的应用针对安全区域内项目的访问请求并且将所述访问请求发送给访问控制器102。通常，接收器101用于安全区域内或非安全区域内的数据交互请求进行响应，并且将这种数据交互请求转发给访问控制器102以进行进一步判断。

优选地，访问控制器102根据访问控制策略确定所述访问请求是否被允许，在根据所述访问控制策略确定所述访问请求被允许的情况下，允许安全区域内的应用对非安全区域内项目进行访问。此外，访问控制器102根据访问控制策略确定所述访问请求是否被允许，在根据所述访问控制策略确定所述访问请求被允许的情况下，允许非安全区域内的应用对安全区域内项目进行访问。

优选地，访问控制器102用于实现安全区域内外进行数据交互时的访问控制。通常，在根据所述访问控制策略确定所述访问请求不被允许的情况下，访问控制器102不允许安全区域内的应用对非安全区域内项目进行访问。并且，在根据所述访问控制策略确定所述访问请求不被允许的情况下，访问控制器102不允许非安全区域内的应用对安全区域内项目进行访问。

优选地，存储器104用于存储访问控制策略。其中，访问控制策略包括黑名单、白名单和/或灰名单。黑名单中包括不允许访问的项目的列表；白名单中包括允许访问的项目的列表以及灰名单中包括需要进行安全控制访问的项目的列表。在安全区域内的应用请求访问非安全区域内项目的情况中，项目可以是非安全区域内应用、数据或网络等。例如，安全区域内的银行应用需要访问非安全区域内应用以获取位置信息。或者，安全区域内的银行应用需要访问非安全区域的数据以进行数额计算。或者，安全区域内的银行应用需要访问网络以进行用户身份认证等。优选地，在非安全区域内的应用请求访问安全区域内项目的情况中，项目可以是安全区域内应用或数据。例如，非安全区域内的账户统计应用请求访问安全区域内银行应用以获取相关账户信息。或者，非安全区域内的应用请求访问安全区域内的图片数据以进行图像处理。

优选地，生成器105用于生成安全区域，所述安全区域用于容纳需要进行安全保护的应用，并且所述需要进行安全保护的应用在运行时所生成的数据被存储在安全区域内。安全区域提供应用、数据以及网络的安全保护。安全区域会在用户终端内生成安全区域并且对安全区域内的应用、数据以及网络进行安全保护。附加地，在安全区域内的应用在运行时所产生的数据存储在与非安全区域内应用在运行时所产生的数据不同的位置，例如，将处于非安全区域中过的普通应用所生成的数据存储到分区A中，而将处于安全区域中的沙箱应用所生成的数据存储到分区B中。这种方式使得普通应用和安全应用之间的数据存储是独立的，并且因此不会造成安全应用的数据被非法读取、修改或删除。优选地，分区B可以位于安全区域内。

优选地，访问控制器102实现安全区域内外进行数据交互时的访问控制包括：当非安全区域内项目位于黑名单中时，确定所述访问请求不被允许；当非安全区域内项目位于白名单中时，确定所述访问请求被允许；以及当非安全区域内项目位于灰名单中时，确定所述访问请求仅被允许进行安全控制访问。优选地，在安全区域内的应用请求访问非安全区域内项目的情况中，安全控制访问包括：访问控制器102促使从安全服务器110下载与所要访问的应用内容相同的安全应用，将所述访问请求重定向到所述安全应用。通常，用户设备100通过通信单元103从安全服务器110下载与所要访问的应用内容相同的安全应用，并且将安全应用存储于安全区域或非安全区域中。

优选地，访问控制器102实现安全区域内外进行数据交互时的访问控制还包括：当安全区域内项目位于黑名单中时，确定所述访问请求不被允许；当安全区域内项目位于白名单中时，确定所述访问请求被允许；以及当安全区域内项目位于灰名单中时，确定所述访问请求仅被允许进行安全控制访问。优选地，在非安全区域内的应用请求访问安全区域内项目的情况中，安全控制访问包括：访问控制器102促使非安全区域内应用发送认证请求给安全服务器110。安全服务器110对所述应用进行安全认证，在非安全区域内应用成功通过安全服务器110的认证后，允许所述访问请求；以及在非安全区域内应用未成功通过安全服务器110的认证时，拒绝所述访问请求。

优选地，通信单元103可以通过各种类型的通信网络与安全服务器110进行通信。通信网络例如是数据网络、无线网络、电话网络、或其任意组合。数据网络可以是任意局域网(LAN)、城域网(MAN)、广域网(WAN)、公共数据网(例如因特网)、或任意其他适合的分组交换网络，例如商业所有、私有分组交换网，例如私有电缆或光纤网络。此外，无线网络可以是例如蜂窝网络，并且可采用各种技术，包括用于全球演进的增强数据率(EDGE)、通用分组无线业务(GPRS)、全球移动通信系统(GSM)、因特网协议多媒体子系统(IMS)、通用移动电信系统(UMTS)等、以及任意其他适合的无线介质，例如微波接入(WiMAX)、长期演进(LTE)网络、码分多址(CDMA)、宽带码分多址(WCDMA)、无线保真(WiFi)、卫星、移动自组织网络(MANET)等。

优选地，安全服务器110能够通过通信网络与用户设备100进行交互。其中，通信单元111可以通过各种类型的通信网络与用户设备100进行交互。认证单元112用于对非安全区域内应用所发送的认证请求进行处理。认证单元112对所述应用进行安全认证，在非安全区域内应用成功通过认证后，允许所述访问请求；以及在非安全区域内应用未成功通过认证时，拒绝所述访问请求。其中，认证单元112通过对非安全区域内应用的名称、发行商、版本等信息进行核对来确定所述应用是否通过安全认证。

优选地，存储单元113用于存储安全应用。此外，存储单元113还用于存储各种应用的名称、发行商、版本等信息，以用于进行安全认证。

在一个实施方式中，安全区域可以是沙箱并且通过沙箱应用的方式来提供应用、数据以及网络的安全保护。沙箱应用会在用户终端内建立安全区域并且对安全区域内的应用、数据以及网络进行安全保护。其中对安全区域内的应用、数据以及网络进行安全保护的主要方式为：

1.针对应用进行安全保护：针对API组件的调用进行隔离。针对Andriod系统的四个主要组件Activity，Service,Content Provider以及BroadcastReceiver的调用进行保护。当安全区域内的应用调用安全区域外部应用的上述组件或与上述组件进行数据交互时，安全保护系统接收安全区域内的应用针对非安全区域内组件的访问请求并且将所述访问请求发送给访问控制器。随后，访问控制器根据访问控制策略确定所述访问请求是否被允许，在根据所述访问控制策略确定所述访问请求被允许的情况下，允许安全区域内的应用对非安全区域内项目进行访问。

此外，当非安全区域内的应用调用安全区域内应用的上述组件或与上述组件进行数据交互时，安全保护系统接收非安全区域内的应用针对安全区域内项目的访问请求并且将所述访问请求发送给访问控制器。随后，访问控制器根据访问控制策略确定所述访问请求是否被允许，在根据所述访问控制策略确定所述访问请求被允许的情况下，允许非安全区域内的应用对安全区域内项目进行访问。

2.数据隔离：通过命名空间Namespace将数据存储在不同分区，例如，将处于非安全区域中过的普通应用所生成的数据存储到分区NamespaceA中，而将处于安全区域中的沙箱应用所生成的数据存储到分区NamespaceB中。这种方式使得普通应用和沙箱应用之间的数据存储是独立的，并且因此不会造成沙箱应用的数据被非法读取、修改或删除。

此外，当安全区域内的应用希望获取(包括修改、删除、读取等)安全区域外部数据时，安全保护系统接收安全区域内的应用针对非安全区域内数据的获取请求并且将所述获取请求发送给访问控制器。随后，访问控制器根据访问控制策略确定所述获取请求是否被允许，在根据所述访问控制策略确定所述获取请求被允许的情况下，允许安全区域内的应用对非安全区域内的数据进行获取。

此外，当非安全区域内的应用希望获取(包括修改、删除、读取等)安全区域内的数据时，安全保护系统接收非安全区域内的应用针对安全区域内数据的获取请求并且将所述获取请求发送给访问控制器。随后，访问控制器根据访问控制策略确定所述获取请求是否被允许，在根据所述访问控制策略确定所述获取请求被允许的情况下，允许非安全区域内的应用对安全区域内数据进行获取。

3.网络隔离：将网络访问引导至安全服务器，由安全服务器实现安全区域内部应用与外部应用的交互。通常，当沙箱内部的应用想要访问外部网络时，安全保护系统在这个应用和安全服务器建立VPN连接，从而使得安全服务器替代外部网络中的服务器。这种方式能够保证沙箱内部应用的网络访问是安全的。

通常地，沙箱可以针对内部应用进行全部三种安全保护，或者针对内部应用进行三种安全保护中的任意一种或两种。

优选地，本发明的安全保护系统同样可以按照上面的方式来控制安全区域内的应用对网络的访问。此外，作为一个优选实施方式，以系统服务的方式提供安全保护，即安全区域选定为用户终端内的全部应用。当用户终端内的任何应用启动时，必须通知沙箱服务以由沙箱服务来确定是否要对所启动的应用进行安全保护。

优选地，安全保护系统利用存储器来存储访问控制策略。访问控制策略用于确定应用、数据和网络的访问权限，即安全区域内和非安全区域内的交互是否被允许。优选地，访问控制策略包括黑名单和白名单，黑名单中包括不允许访问的应用、数据或网络，并且白名单中包括可以访问的应用、数据或网络。优选地，访问控制策略还包括灰名单，灰名单中包括需要进行安全控制访问的应用、数据或网络。

优选地，当非安全区域内应用、数据或网络位于黑名单中时，确定所述访问请求不被允许；当非安全区域内应用、数据或网络位于白名单中时，确定所述访问请求被允许；以及当非安全区域内应用、数据或网络位于灰名单中时，确定所述访问请求仅被允许进行安全控制访问。

其中，安全控制访问包括：访问控制器驱动下载器从安全服务器下载与所要访问的应用相同的安全应用，将所述访问请求重定向到所述安全应用。

在另一种情况下，即非安全区域内的应用针对安全区域内应用或数据进行访问的情况下，安全控制访问包括：访问控制器促使非安全区域内应用或数据发送验证请求给安全服务器，在非安全区域内应用或数据成功通过安全服务器的验证后，允许所述访问请求；在非安全区域内应用或数据未成功通过安全服务器的验证后，拒绝所述访问请求。

优选地，根据本发明的优选实施方式，如上所述的系统100可以被包括在移动终端中，或由移动终端来执行。

图2为根据本发明优选实施方式的安全保护方法200的流程图。安全保护方法200针对目前安全区域技术的完全隔离方案的不便利性，能够在保护用户设备中应用、数据以及网络的信息安全的同时进行安全区域内外的数据交互。安全保护方法200能够使安全区域内的应用访问安全区域外的应用、数据以及网络等。

如图2所示，安全保护方法200主要涉及安全区域内的应用请求访问非安全区域内项目的方案，并且从步骤201处开始。在步骤201处，生成安全区域，所述安全区域用于容纳需要进行安全保护的应用，并且所述需要进行安全保护的应用在运行时所生成的数据被存储在安全区域内。

在步骤202，例如由接收器，接收安全区域内的应用针对非安全区域内项目的访问请求。通常，安全区域内的应用在运行时，可能需要调用外部的应用、访问外部的数据或进行网络访问。例如，安全区域内的银行应用需要访问非安全区域内应用以获取位置信息。或者，安全区域内的银行应用需要访问非安全区域的数据以进行数额计算。或者，安全区域内的银行应用需要访问网络以进行用户身份认证等。

在步骤203处，访问控制器根据访问控制策略确定所述访问请求是否被允许。其中，访问控制策略包括黑名单、白名单和/或灰名单。其中，黑名单中包括不允许访问的项目的列表；白名单中包括允许访问的项目的列表；以及灰名单中包括需要进行安全控制访问的项目的列表。优选地，利用存储器来存储访问控制策略。其中，项目可以是应用、数据或网络

如果允许，那么在步骤204处，即在根据所述访问控制策略确定所述访问请求被允许的情况下，允许安全区域内的应用对非安全区域内项目进行访问。通常，当非安全区域内项目位于白名单中时，确定所述访问请求被允许。

如果不允许，那么在步骤205处，即在根据所述访问控制策略确定所述访问请求不被允许的情况下，不允许安全区域内的应用对非安全区域内项目进行访问。通常，当非安全区域内项目位于黑名单中时，确定所述访问请求不被允许。

此外，当非安全区域内项目位于灰名单中时，确定所述访问请求仅被允许进行安全控制访问。其中，安全控制访问包括：从安全服务器下载与所要访问的应用内容相同的安全应用，将所述访问请求重定向到所述安全应用。其中，通过通信单元下载所述安全应用并且将其存储在安全区域或非安全区域中。

图3为根据本发明另一优选实施方式的安全保护方法300的流程图。安全保护方法300针对目前安全区域技术的完全隔离方案的不便利性，能够在保护用户设备中应用、数据以及网络的信息安全的同时进行安全区域内外的数据交互。安全保护方法300能够使安全区域外的应用访问安全区域内的应用和数据等。

如图3所示，安全保护方法300主要涉及非安全区域内的应用请求访问安全区域内项目的方案，并且从步骤301处开始。在步骤301处，生成安全区域，所述安全区域用于容纳需要进行安全保护的应用，并且所述需要进行安全保护的应用在运行时所生成的数据被存储在安全区域内。

在步骤302处，例如由接收器，接收非安全区域内的应用针对安全区域内项目的访问请求。通常，非安全区域内的应用在运行时，可能需要调用安全区域内的应用或访问外部的数据。例如，非安全区域内的账户统计应用请求访问安全区域内银行应用以获取相关账户信息。或者，非安全区域内的应用请求访问安全区域内的图片数据以进行图像处理。

在步骤303处，例如由访问控制器，根据访问控制策略确定所述访问请求是否被允许。其中，访问控制策略包括黑名单、白名单和/或灰名单。其中，黑名单中包括不允许访问的项目的列表；白名单中包括允许访问的项目的列表；以及灰名单中包括需要进行安全控制访问的项目的列表。优选地，还包括，利用存储器来存储访问控制策略。其中，项目可以是应用或数据。

如果允许，那么在304处，即在根据所述访问控制策略确定所述访问请求被允许的情况下，允许非安全区域内的应用对安全区域内项目进行访问。通常，当安全区域内项目位于黑名单中时，确定所述访问请求不被允许。

如果不允许，那么在305处，即在根据所述访问控制策略确定所述访问请求不被允许的情况下，不允许非安全区域内的应用对安全区域内项目进行访问。通常，当安全区域内项目位于黑名单中时，确定所述访问请求不被允许。

此外，当安全区域内项目位于灰名单中时，确定所述访问请求仅被允许进行安全控制访问。其中，安全控制访问包括：非安全区域内应用发送认证请求给安全服务器，在非安全区域内应用成功通过安全服务器的认证后，允许所述访问请求；以及在非安全区域内应用未成功通过安全服务器的认证时，拒绝所述访问请求。

已经通过参考少量实施方式描述了本发明。然而，本领域技术人员所公知的，正如附带的专利权利要求所限定的，除了本发明以上公开的其他的实施例等同地落在本发明的范围内。

通常地，在权利要求中使用的所有术语都根据他们在技术领域的通常含义被解释，除非在其中被另外明确地定义。所有的参考“一个/所述/该[装置、组件等]”都被开放地解释为所述装置、组件等中的至少一个实例，除非另外明确地说明。这里公开的任何方法的步骤都没必要以公开的准确的顺序运行，除非明确地说明。