管理无线网络中的移动设备应用

摘要

描述了用于管理移动设备应用的方法、系统和计算机程序。在一些方案中，防止移动设备应用访问无线网络的资源。例如，无线网络运营商系统可以确定一个或更多个移动设备应用未被准许在无线网络中使用。在一些实现中，无线网络运营商拒绝未准许的移动设备应用访问无线网络资源。在一些实现中，移动设备禁止未准许的移动设备应用接入无线网络。

说明书

要求优先权

本申请要求于2011年9月23日提交的美国专利申请No.13/241,911的优先权，其全部内容通过引用的方式并入本文。

技术领域

本说明书涉及管理无线网络中的移动设备应用。

背景技术

很多移动设备具有无线通信能力。例如，一些移动设备可以与无线局域网(WLAN)、个域网(PAN)(例如，蓝牙等)、或者使用蜂窝技术(例如，全球移动通信系统(GSM)、通用移动电信服务(UMTS)、长期演进(LTE)等)的公共陆地移动网进行通信。一些移动设备运行利用例如移动设备的无线通信能力与外部系统或设备进行通信的应用。

附图说明

图1是示例性通信系统的示意图。

图2是示例性无线终端的示意图。

图3是示出了用于管理移动设备应用的示例性技术的流程图。

图4是示出了用于管理移动设备应用的示例性技术的信令和流程图。

图5是示出了用于管理移动设备应用的示例性系统的示意图。

图6是示出了用于管理移动设备应用的另一示例性技术的信令和流程图。

图7是示出了用于管理移动设备应用的另一示例性技术的信令和流程图。

在各个附图中，相似的附图标记和名称指示相似的元素。

具体实施方式

无线网络系统可以主动地控制被配置为接入无线网络的恶意(rogue)移动设备应用的操作。在一些方面，无线网络可以向每一个移动设备应用指派唯一标识，认证需要接入无线网络的移动设备应用，并且识别要被拒绝使用无线网络的“恶意”移动设备应用。在识别出恶意移动设备应用之后，无线网络可以阻止或禁用移动设备应用以防止移动设备应用消耗无线网络的资源。例如，如果未准许的移动设备应用发起对网络资源的请求，则无线网络可以拒绝该请求。举另一个例子，无线网络可以指示移动用户设备禁用未准许的移动设备应用并且向用户通知原因。举另一个例子，无线网络可以指示应用商店限制或终止未准许的移动设备应用的分发。

当移动设备应用能够自主地通过无线网络访问的数据时，移动设备应用可以呈现恶意行为，这进而可能对网络正常工作的能力造成不期望的影响。例如，移动设备应用可能落入非预期的编程循环中，该编程循环在短时间内在蜂窝网络上发出成百上千个对数据的请求，这可能(例如，通过最终使网络用尽信令资源(例如，随机接入信道))引起服务攻击的拒绝。此外，无线网络可能想要在各个情形中(例如在无线终端正在网络中漫游的时段期间或在其他情形中)抑制特定移动设备应用以避免该应用重复尝试接入网络。

无线网络运营商可以维护移动设备应用的信息的数据库。在一些情况下，该数据库可以指示特定移动设备应用未被准许。此外或备选地，在一些情况下，该数据库可以指示特定移动设备应用经准许。通常，未准许的移动设备应用可以包括已经被识别为限制接入或不接入无线网络的任意类型的应用或程序。因此，未准许的移动设备应用可以包括先前准许的移动设备应用、先前未准许的移动设备应用、或者这些类型和其他类型的移动设备应用的任意合适组合。在一些情况下，未准许的移动设备应用包括已经未准许、未被允许、被禁止、被取消资格或以其他方式识别为永久地或暂时地限制接入无线网络的移动设备应用。

通常，可以使用各种技术以在不中断其他移动设备应用的操作的情况下防止未准许的移动设备应用访问无线网络资源。例如，如果未准许的移动设备应用已经被安装在无线终端上，则可以防止未准许的移动设备应用访问无线网络资源，并且安装在无线终端上的其他移动设备应用可以被允许访问无线网络资源。可以通过由无线网络运营商采取的动作、由无线终端使用无线网络采取的动作、由应用商店采取的动作或者由额外或不同的实体采取的动作来防止移动设备应用访问无线网络资源。

在一些实现中，无线网络运营商采取防止未准许的移动设备应用访问无线网络资源的动作。例如，无线网络运营商可以拒绝移动设备应用访问无线网络资源。在一些实例中，当移动设备应用发起对无线网络资源的请求时(例如，当移动设备应用在随机接入信道上发起无线资源请求时)，无线网络运营商可以拒绝移动设备应用访问无线网络资源。在一些实例中，当移动设备应用已经被安装在在无线网络中操作的无线终端上或者在该无线终端上运行时，无线网络运营商可以拒绝移动设备应用访问无线网络资源。例如，无线网络运营商可以向无线终端发送用于禁用移动设备应用的指令。无线网络运营商可以执行额外或不同操作以防止移动设备应用访问无线网络资源。

在一些实现中，无线终端采取防止未准许的移动设备应用访问无线网络资源的行动。例如，无线终端可以禁止安装在无线终端上的未准许的移动设备应用访问无线网络资源。在一些实例中，在无线网络拒绝由移动设备应用发起的请求之后(例如，当无线网络拒绝由移动设备应用发起的无线资源请求时)，无线终端可以禁止移动设备应用访问无线网络资源。在一些实例中，当无线终端接收到用于禁用未准许的移动设备应用列表时，无线终端可以禁止移动设备应用访问无线网络资源。无线终端可以执行额外或不同的操作以防止移动设备应用访问无线网络资源。

图1是示例性通信系统100的示意图。示例性通信系统100包括移动设备102、无线网络系统103、广域网120、应用商店122、以及应用提供商124。通信系统100可以包括额外或不同的特征和组件。例如，通信系统100可以包括一个或更多个服务器、计算系统、额外或不同的网络、无线终端、或者这些其他组件的任意合适的组合。无线网络系统103包括一个或更多个无线网络104和无线网络运营商系统106。无线网络系统103可以包括额外或不同的特征和组件。可以如图1中所示的配置通信系统100的组件，或者可以视情况以另一种方式配置通信系统100。

图1中所示的示例性无线网络104可以包括一个或更多个无线电信网络、无线数据网络、组合的语音和数据网络、或者这些和其他类型的无线网络的任意合适组合。无线网络104可以是使用蜂窝技术(例如，全球移动通信系统(GSM)、通用移动电信服务(UMTS)、长期演进(LTE)等)的公共陆地移动网。无线网络104可以例如通过射频信号或另一种模式的通信与移动设备102进行通信。无线网络104可以包括一个或更多个局部网络、区域网络、国内网络和/或全球网络。无线网络104可以包括一个或更多个蜂窝网络。例如，蜂窝网络可以包括一个或更多个基站、无线电天线、以及其他子系统和基础设施。无线网络104可以利用一个或更多个通信协议标准，例如，3G、4G、GSM、LTE、CDMA、GPRS、EDGE、LTE等。

在图1中所示的示例中，移动设备102可以与无线网络系统103进行通信。在一些实例中，无线网络104可以向移动设备102提供对广域网120的接入。因此，在一些实例中，移动设备102可以使用无线网络104提供的接入通过广域网120与其他设备或子系统进行通信。移动设备102可以通过额外或不同类型的网络进行通信，并且可以具有接入广域网120的其他方式。通常，移动设备可以被配置为通过无线局域网(WLAN)、个域网(PAN)(例如，蓝牙和其他短距离通信系统)、城域网、使用蜂窝技术(例如，全球移动通信系统(GSM)、通用移动电信服务(UMTS)、长期演进(LTE)等)的公共陆地移动网以及通过其他类型的无线网络进行通信。

在图1中所示的示例中，无线网络104、无线网络运营商系统106、应用商店122、以及应用提供商124可以通过广域网120以及可能附加的或不同类型的网络进行通信。广域网120可以包括任意合适的数据网络。广域网120可以包括诸如互联网等的公共网络、虚拟私有网络(VPN)、企业网或另一类型的数据网。广域网120可以包括驻留在本地区域、地区区域、多地区区域和/或全球区域中的设备、系统或网络。

移动设备102包括无线接口110、处理器112和存储器114。存储器114包括应用116和数据118。移动设备102可以包括额外或不同的特征。在一些实例中，移动设备102可以包括一个或更多个用户接口。例如，用户接口可以包括触摸屏、键盘、麦克风、定点设备(例如，鼠标、轨迹球、手写笔等)或者另一种类型的用户接口。此外，可以如关于图1所示和所述的或者以不同的方式配置移动设备102的特征和组件。通常，移动设备102可以包括任意合适类型的子系统、模块、设备、组件及其组合。移动设备的示例包括各种类型的移动电信设备、电子阅读器、媒体播放器、智能电话、膝上型计算机系统、平板设备等。图2中所示的无线终端200是移动设备的示例。

移动设备102的无线接口110可以包括任意合适的硬件、软件、固件或其组合。在一些实现中，无线接口110可以被包含在移动设备102的无线通信子系统(例如，图2中所示的无线终端200的通信子系统204)中。无线接口110可以包括额外或不同的特征或组件。在一些实现中，无线接口110可以包括或有权访问可以由数据处理装置执行的程序、代码、脚本、功能或其他类型的指令。在一些实现中，无线接口110可以包括或有权访问预编程或重新编程的逻辑电路、逻辑门、或者其他类型的硬件或固件组件。无线接口110处理移动设备102与无线网络104之间的无线通信。

处理器112可以执行指令以例如基于数据输入生成输出数据。指令可以包括存储在存储器中的程序、代码、脚本或其他类型的数据。此外或备选地，指令可以编码为预编程或重新编程的逻辑电路、逻辑门、或者其他类型的硬件或固件组件。在一些实例中，处理器112可以通过运行或解释存储在存储器114中的软件、脚本、程序、功能、可执行程序或其他模块来生成输出数据。处理器112可以视情况执行图3、图4、图5、图6或图7中所示的操作中的一个或更多个。

存储器114可以包括任意合适的计算机可读介质。存储器114可以包括易失性存储器设备、非易失性存储器设备或者这二者。存储器114可以包括一个或更多个只读存储器设备、随机存取存储器设备、缓存存储器设备、或者这些和其他类型的存储器设备的组合。在一些实例中，存储器的一个或更多个组件可以与移动设备102的另一组件集成在一起或者以其他方式相关联。

存储在存储器114上的应用116可以包括与操作系统、计算机应用、虚拟机、和/或其他资源相关联的指令(例如，计算机代码)。存储在存储器114上的数据可以包括可以由应用中的一个或更多个解释的应用数据和数据对象。在一些实现中，存储器114可以视情况存储或访问额外或不同类型的信息。

应用116可以包括一个或更多个移动设备应用。一些移动设备应用是独立的，并且不需要与移动通信域进行交互。一些移动设备应用可以被动地利用从移动无线通信网络接收或导出的特定信息。例如，移动设备应用可以通过无线系统的接收信号强度(RSSI)、误码率(BER)等的度量来导出位置。一些移动设备应用可以通过在无线网络104上交换的通信来与远端服务实体进行交互。例如，一些移动设备应用被配置为取回存储在远端系统上的数据，或者提供与远端设备的交互。在一些实例中，应用116可以包括例如：电子邮件客户端应用，被配置为与远端邮件服务器进行通信；web浏览器应用或互联网应用，被配置为与远端web服务器进行通信；游戏，被配置为与其他用户设备进行通信；企业应用，被配置为与企业服务器进行通信；日历应用，被配置为与其他设备或系统进行同步(仅举几个例子)。

在一些实现中，移动设备102包括管理应用116的网络接入的应用管理模块。例如，应用管理模块可以被配置为防止特定的移动设备应用在无线网络104上建立通信信道；应用管理模块可以被配置为允许特定的移动设备应用在无线网络104上建立通信信道。在一些情况下，应用管理模块可以被实现为移动设备102的应用层、表示层、或者另一协议层中的软件模块。可以以任意合适类型的软件、硬件或固件配置来实现应用管理模块的各个方面。

在图1中所示的示例中，无线网络运营商系统106包括应用管理器107和认证机构109。无线网络运营商系统106可以包括额外或不同的特征、组件或子系统，并且可以包括多个应用管理器或多个认证机构。应用管理器107和认证机构109以及无线网络运营商系统106的可能额外特征可以实现在一个或更多个计算系统上。例如，无线网络运营商系统106可以包括一个或更多个服务器、或者服务器群集以及其他合适的子系统。

应用管理器107可以管理向移动设备应用的无线网络资源的分配。例如，应用管理器107可以防止特定的移动设备应用在无线网络上建立通信信道，并且允许其他移动设备应用在无线网络上建立通信信道。在一些情况下，应用管理器107确定特定的移动设备应用未被准许在无线网络104中使用。例如，应用管理器107可以评估、测试或监控移动设备应用，并且基于其预期或实际性能或者基于其他因素来准许它们或者不准许它们在无线网络104中使用。

应用管理器107可以处理与无线终端的通信。例如，应用管理器107可以通过无线网络104上的通信向移动设备102发送消息并且从移动设备102接收消息。在一些实现中，应用管理器107从在无线终端上运行的移动设备应用接收对网络资源的请求。在一些实现中，应用管理器107可以向无线终端分发未准许的移动设备应用列表。可以将该列表与控制消息一起分发，该控制消息指示无线终端禁用未准许的移动设备应用。在一些实现中，接收到该信息的无线终端可以向应用管理器107发送认证请求，并且应用管理器107可以生成并发送允许无线终端认证应用管理器107的适合响应。

认证机构109可以发布针对设备、用户、应用或其他实体的密码证书。通常，密码证书验证与实体相关联的特定公共密钥，并且还可以验证实体拥有与验证的公共密码相对应的私有密钥。在一些示例中，应用管理器107、应用商店122、或者另一实体获得针对每一个移动设备应用的密码证书。在一些情况下，密码证书可以用于给移动设备应用签名，使得当下载移动设备应用时移动设备102可以验证移动设备应用的完整性。在一些情况下，移动设备102可以使用密码证书来提供对消息或设备的认证。密码证书可以包括隐式证书、显式证书、或者其他类型的数字证书。传统的密码证书的示例包括X.509证书、椭圆曲线Qu Vanstone(ECQV)隐式证书等。认证机构109可以用作最高认证机构(root certificate authority)、下级认证机构、或者另一类型的认证机构。

应用商店122使移动设备应用可以被移动设备(包括移动设备102)下载和运行。应用商店122可以包括任意合适的设备或子系统。例如，应用商店122的各个方面可以实现在一个或更多个服务器或者服务器群集或者另一类型的计算系统上。在一些实现中，用户具有应用商店122的账户，并且用户使用用户证书登录应用商店。可以通过广域网120、无线网络104或这些和其他类型的通信链路的任意合适组合来将移动设备应用从应用商店122下载到移动设备。可以在使用移动设备102期间、在预配置移动设备102期间、在制造移动设备102期间或者在其他时候将移动设备应用下载到移动设备102。应用商店122可以提供与移动设备应用有关的更新和其他相关数据。

在一些实现中，应用商店122向每一个移动设备应用指派唯一应用标识符。此外或备选地，认证机构109或无线网络运营商系统106的另一组件可以向每个移动设备应用指派唯一应用标识符。应用标识符可以用于管理移动设备应用对无线网络资源的使用。例如，应用管理器107可以维护经准许或未准许接入无线网络104的特定移动设备应用的应用标识符列表。应用管理器107可以防止未准许的移动设备应用在无线网络上建立通信信道。例如，无线网络运营商系统106可以拒绝由未准许的移动设备应用发起的无线资源请求，或者可以禁用移动设备102上的未准许的移动设备应用。

应用标识符针对移动设备应用的每一个版本、发布或其他变体可以是不同的。可以随机地将应用标识符指派给移动设备应用，或者可以例如根据方案为每一个移动设备应用系统地创建应用标识符。在一些情况下，应用标识符可以是字母字符、二进制值或者另一种类型的标识符的组合。

应用提供商124设计、配置或以其他方式生成可以安装在移动设备上的移动设备应用。应用提供商124可以包括创建移动设备应用的软件开发商、个人、企业或任何其他类型的实体。应用提供商124可以向应用商店122提供移动设备应用或者针对移动设备应用的更新，并且应用商店122可以使无线终端通常可得到移动设备应用或更新。在一些实现中，无线终端可以以除了通过应用商店122之外的方式访问来自应用提供商124的移动设备应用。例如，移动设备102可以通过互联网、在商店位置或者以另一种方式来从应用提供商124接收移动设备应用。

在操作的一个方面，应用商店122从应用提供商124接收移动设备应用。应用商店122、认证机构109或者另一实体生成移动设备应用的应用标识符。认证机构109生成移动设备应用的密码证书。应用商店122、认证机构109或者另一实体使用与密码证书相关联的私有数据给移动设备应用签名。应用管理器107评估移动设备应用，并且准许或不准许移动设备应用。如果移动设备应用未准许，则应用商店122被通知并且可以被指示不分发移动设备应用在无线网络104中使用。如果移动设备应用经准许，则移动设备102可以下载并安装移动设备应用的实例。移动设备102可以使用密码证书以基于数字签名来验证移动设备应用的完整性。移动设备102可以例如在移动设备102处运行移动设备应用之后提取移动设备应用的应用标识符。

在操作的另一方面，应用管理器107确定移动设备应用未准许。例如，应用管理器107可以确定移动设备应用是恶意应用，或者可以确定由于额外或不同原因应当不允许移动设备应用。应用管理器107可以防止未准许的移动设备应用消耗无线网络104的资源。例如，移动设备102可以被配置为在针对指派网络资源的所有请求中包括应用标识符，并且应用管理器107可以监视这些请求。当应用管理器107识别由未准许的移动设备应用发起的请求时，应用管理器107可以采取行动来拒绝请求。举另一个例子，应用管理器107可以分发控制消息，该控制消息指示移动设备102禁用未准许的移动设备应用中的任意一个。移动设备102可以认证应用管理器107以例如确保控制消息是合法的。可以基于与未准许的移动设备应用相关联的密码证书来认证应用管理器107。

图2是示例性无线终端200的示意图。例如，无线终端200可以是电信设备和/或另一种类型的移动电信设备。在一些实现中，无线终端200是双模式设备。图2中的示例性无线终端200包括微处理器202、通信子系统204、随机存取存储器(RAM)206、非易失性存储器208、显示器210、一个或更多个辅助输入/输出(I/O)设备212、数据端口214、键盘216、扬声器218、麦克风220、短距离通信短距离通信子系统222、其它设备子系统224、SIM/RUIM卡(即，订户标识模块或可拆卸用户标识模块)226、SIM/RUIM接口228、可再充电电池230、电池接口232和可能的其它组件。无线终端200可以包括相同、额外或不同的特征，这些特征可以被布置或配置为以所示的方式或者以不同的方式操作。

示例性无线终端200是电池供电的设备，该电池供电的设备包括从一个或更多个可再充电电池230接收直流电功率的电池接口232。电池230可以是具有嵌入的微处理器的智能电池或者不同类型的电池。电池接口232可以耦合到稳压器(未示出)，稳压器可以辅助电池230来向无线终端200提供功率V+。此外或备选地，无线终端200可以从外部源(例如，交流电源、适配器、转换器等)和/或不同类型的内部电源接收功率。

图2中所示的示例性无线终端200可以作为具有语音和数据通信能力的双向通信设备来操作。无线终端200可以通过无线网络进行通信。例如，无线终端200可以通过图1中所示的无线网络104或不同无线网络或不同类型的无线网络进行通信。因此，无线终端200可以通过语音网络(例如，模拟或数字蜂窝网络中的任意一个)来进行通信，并且还可以通过数据网络来进行通信。可以使用诸如基站、网络控制器等的单独的基础设施将语音和数据网络实现为单独的通信网络，或者语音和数据网络可以集成到单个无线网络中。在一些实现中，无线网络使用一个或更多个通信协议标准，例如，3G、4G、GSM、CDMA、GPRS、EDGE、LTE等。

在图2中所示的示例性无线终端200中，通信子系统204包括接收机250、发射机252、天线254和256、一个或更多个本地振荡器258、数字信号处理器(DSP)260和可能的其它特征。天线254和256可以包括多元件天线、嵌入式天线、射频(RF)天线和/或其它类型天线的天线元件。通信子系统204可以用于使用网络进行通信。DSP260可以用于分别通过接收机250和发射机252来接收和发送信号，并且DSP260可以向接收机250和发射机252提供控制信息。可以通过在DSP260中实现的自动增益控制算法来自适应地控制在接收机250和发射机252中施加于通信信号的增益电平。可以在DSP260中执行额外和/或不同类型的控制算法以提供对通信子系统204的更复杂的控制。

在一些实现中，本地振荡器258包括单个本地振荡器，该单个本地振荡器向例如接收机250和发射机252提供参考信号，在该接收机250和发射机252中，以单个频率或者小间距的频率集合来发生语音和数据通信。在一些情况下，例如，如果不同的频率用于语音通信和数据通信，则本地振荡器258可以包括多个本地振荡器，多个本地振荡器用于生成与语音和数据网络相对应的多个不同的频率。可以通过DSP260与微处理器202之间的链路或总线在无线终端200内向通信子系统204或从通信子系统204传送可包括数字语音和数字数据信息的信息。通信子系统204的诸如频带、分量选择、功率电平等的设计和配置可以取决于无线终端200旨在其中操作的通信网络。例如，通信子系统204可以被配置用于2G、2.5G、3G、4G以及其它语音和数据网络，例如，GSM、CDMA2000、GPRS、EDGE、W-CDMA(UMTS)、FOMA、EV-DO、TD-SCDMA、HSPA、HSOPA等。

在已经完成任何所需的网络注册或激活过程以后，无线终端200可以通过无线网络104发送和接收通信信号(包括语音和数据信号)。天线254从通信网络接收的信号可以被路由至接收机250，接收机250可以提供信号放大、下变频、滤波、信道选择等，并且还可以提供模数信号转换。接收信号的模数转换可以允许DSP260对由此产生的数字信号进行解码。要发送到网络的信号可以由DSP260处理(例如，调制、编码等)、然后被提供给发射机252以进行数模转换、上变频、滤波、放大并且经由天线256发送到通信网络。

在一些实现中，无线终端200可以在已经完成无线网络注册或激活过程以后通过无线网络104发送和接收通信信号。无线终端200的无线网络注册或激活过程可以基于无线终端200在其中操作的网络的类型而改变。对图2中所示的示例性无线终端200的无线网络访问可以与无线终端200的订户或用户相关联。具体地，SIM/RUIM接口228中的SIM/RUIM卡226可以标识无线终端200的订户或用户。SIM/RUIM接口228中的SIM/RUIM卡226可使得能够通过无线网络104访问预订的服务。例如，预订的服务可以包括web浏览、电子邮件、语音邮件、短消息服务(SMS)、多媒体消息传送服务(MMS)等。SIM/RUIM接口228中的SIM/RUIM卡226可以与无线终端200上的微处理器202进行通信。为了标识订户，SIM/RUIM卡226可以包括用户参数，例如，国际移动订户标识(IMSI)和/或另一类型的订户标识符。SIM/RUIM卡226可以存储额外和/或不同的订户信息，包括：日程信息、通话记录信息、联系人信息和/或其它类型的信息。此外或备选地，用户标识信息也可以存储在非易失性存储器208中。

数据端口214可以包括串行端口、并行端口和/或另一种类型的连接端口。在一些实现中，数据端口214是通用串行总线(USB)端口，该USB端口包括用于数据传递的数据线和可以提供充电电流以给无线终端200的电池230充电的电源线。可以例如通过经由(例如，在接口支架和/或另一种类型的有线连接中的)数据端口214连接无线终端200来手动地将无线终端200与主机系统进行同步，该数据端口214将无线终端200耦合到计算机系统或其它设备的数据端口。数据端口214也可以用于使用户能够通过外部设备或软件应用设置偏好，或者下载其它程序以进行安装。数据端口214的有线连接可被用于将加密密钥加载到设备上。

短距离通信子系统222可以在无需使用无线网络104的情况下提供无线终端200与不同系统或设备之间的通信。例如，短距离通信子系统222可以包括用于短距离通信的任意合适的射频设备以及相关联的电路和组件。无线终端200可以包括蓝牙子系统、NFC子系统、红外线通信子系统、WiFi通信子系统、另一种类型的短距离通信子系统或任意适当的组合。在一些实现中，短距离通信子系统222可以根据一个或更多个标准或者其它类型的规范来配置。短距离通信标准的示例包括由红外线数据协会(IrDA)开发的标准、由IEEE、NFC论坛开发的802.11标准族等。

示例性微处理器202可以管理和控制无线终端200的整体操作。可以根据需要使用很多类型的微处理器或微控制器。此外或备选地，单个DSP260可以用于执行微处理器202的一个或更多个功能。可以通过通信子系统204中的DSP260来执行包括数据和语音通信的低级通信功能。可以在非易失性存储器208中存储诸如语音通信应用、数据通信应用和/或其它类型的软件应用等的高级通信应用以便由微处理器202来执行。微处理器202可以与其它设备子系统进行交互，该其它设备子系统例如是显示器210、RAM206、辅助输入/输出(I/O)设备212、数据端口214、键盘216、扬声器218、麦克风220、SIM/RUIM接口228、电池接口232、短距离通信子系统222和一般地指定为224的任何其它设备子系统。

非易失性存储器208包括可擦除持久性存储器设备，例如，闪存存储器、电池支持RAM和/或其它类型的存储器。在图2中所示的示例中，非易失性存储器208存储与操作系统234、向无线终端200提供各种类型的功能的程序236以及其它类型的信息相关联的指令和数据。非易失性存储器208可以包括便于在设备上存储数据项的文件系统。例如，在微处理器202上执行的操作系统234、程序236和/或其它模块可以通过访问(例如，读取、写入等)非易失性存储器208上提供的文件系统来存储、取回、修改、删除和/或以其它方式处理数据。

在无线终端200上的非易失性存储器208和/或其它计算机可读介质中存储的数据可以包括用户在无线终端200处生成的或者由无线终端200接收并存储的用户应用数据、文本文件、图像文件、语音邮件数据和其它数据。用户应用数据可以包括例如：电子邮件消息数据、地址簿数据、联系人信息数据、日程约定数据、即时消息数据、SMS消息数据、语音邮件数据、用户输入的数据和/或其它类型的应用数据。语音邮件数据可以包括可用于在消息传送应用中查看的数字化音频记录和/或存根项(stub entry)，该数字化音频记录和/或存根项指示存储在另一位置处的语音邮件消息的可用性。用户输入的数据可以包括由用户加载到无线终端200上的基于文本的文件、图形文件或其它多媒体文件。

操作系统234可以控制无线终端200的低级功能并且便于程序236的操作。例如，操作系统234可以提供一个或更多个程序236与无线终端200上的一个或更多个硬件组件之间的接口。程序236包括可以由微处理器202(和/或在一些实例中，DSP260)执行的计算机程序模块。在一些实现中，一个或更多个程序236由微处理器202执行，并且提供用户与无线终端200之间的高级接口。程序236提供的用户界面通常包括通过显示器210提供的图形组件，并且可以另外包括通过辅助I/O设备212、键盘216、扬声器218和/或麦克风220提供的输入/输出组件。操作系统234、特定的设备应用或程序236或者其一部分可被临时加载到诸如RAM206等易失性存储设备中以便于更快速的操作。此外，在接收的通信信号被永久地写入非易失性存储器208中的文件系统中以前，还可以将这些通信信号临时存储到RAM206。

在非易失性存储器208中存储的程序236可以包括例如：消息应用、日程应用、一个或更多个第三方应用和其它类型的移动设备应用。程序236可以包括额外或不同的模块、程序或应用，例如，个人信息管理器(PIM)模块、连接模块、设备状态模块、IT策略模块、多服务平台管理器等。程序236可以包括控制基本设备操作的程序，可以在无线终端200的制造和/或初始配置期间将该程序安装到无线终端200上。可以在制造和初始配置无线终端200以后添加诸如第三方应用和/或其它类型的模块等的其它类型的软件应用。第三方应用的示例包括游戏、工具、互联网应用等。通常，可以在任意时间更新和/或修改程序236中的任意一个。可以通过无线网络104、辅助I/O设备212、数据端口214、短距离通信子系统222或任何其它适当的设备子系统224来将额外应用和/或对应用的更新加载到无线终端200上。非易失性存储器208还可以存储密钥，密钥可以包括在无线终端200与服务器之间的通信中使用的加密密钥和解密密钥以及寻址信息。

图3是示出了用于管理移动设备应用的示例性过程300的流程图。可以在通信系统中执行过程300。例如，可以由图1中所示的通信系统100的一个或更多个组件或者由不同类型的系统来执行过程300。在一些情况下，过程300的一些或全部方面可以由无线终端(例如，图1的移动设备102、图2的无线终端200等)或另一种类型的无线终端来执行。在一些情况下，过程300的一些或全部方面可以由无线网络运营商系统(例如，图1的无线网络运营商系统106等)或另一种类型的无线网络系统来执行。在一些情况下，过程300可以由图1、图2或图5中所示的类型的多个组件、设备或子系统或者额外或不同类型的组件、设备或子系统来执行。

图3中所示的示例性过程300可以被修改或重配置为包括额外、更少或不同的操作，这些操作可以按所示的顺序或者按不同的顺序来执行。在一些实例中，例如可以重复或迭代操作中的一个或更多个，直到达到终止条件为止。在一些实现中，图3中所示的单独的操作中的一个或更多个单独的操作中可被作为多个单独的操作来执行，或者可以对图3中所示的操作中的一个或更多个子集进行组合并作为单个操作来执行。

在302，向移动设备应用指派应用标识符。可以由应用商店、由无线网络运营商或者由另一实体向移动设备应用指派应用标识符。应用标识符可以用于管理移动设备应用的操作。在一些实现中，可以向每一个移动设备应用指派唯一应用标识符。在一些实现中，向每一个移动设备应用的每一个版本、发布、更新指派新应用标识符。

可以基于命名惯例、基于方案随机地、顺序地或者基于另一技术来生成指派给移动设备应用的应用标识符。在一些情况下，移动设备应用的应用标识符可以包括指示或者基于以下一项或更多项的信息：移动设备应用的名称、移动设备应用的版本号、移动设备应用的发布日期、移动设备应用被配置用于的无线终端的类型、移动设备应用的开发商或其他信息。在一些情况下，无线网络运营商指派字母应用标识符并且维护将每一个应用标识符映射到相应移动设备应用的名称的表格。

在304，生成未准许的应用列表。该列表可以包括任意合适类型的列表或数据结构。在一些实现中，该列表可以被构造为一个或更多个数据库，或者该列表可以根据一个或更多个数据库来生成。通常，数据库在一个或更多个系统中存储信息。所存储的数据(可以包括针对所存储的数据的指针)可以存储在关于SQL语句或脚本所描述的关系数据库中的一个或更多个表格中，或者可以以不同格式存储数据。数据可以被格式化、存储和/或定义为文本文件、可扩展标记语言(XML)文档、虚拟存储存取方法(VSAM)文件、平面文件、Btrieve文件、逗号分隔值(CSV)文件、内部变量、一个或更多个库等中的各个数据结构。

列表可以包括例如针对每一个移动设备应用的条目。每一个条目可以包括与移动设备应用有关的信息的一个或更多个数据字段。在一些情况下，列表仅包括未准许的移动设备应用的应用标识符。列表可以包括针对每一个未准许的移动设备应用的额外或不同信息，例如，未准许的时间段、移动设备应用未准许的原因、移动设备应用被添加至列表的日期或其他信息。列表可以包括多个子集或子列表。例如，列表可以包括永久不准许的移动设备应用子集、暂时不准许的移动设备应用子集或者另一类型的子集。

在306，防止未准许的应用使用无线网络资源。在一些情况下，访问未准许的移动设备应用列表，并且防止未准许的移动设备应用在无线网络上建立通信链路。例如，可以通过从存储器取回列表、通过从远端源接收列表、通过生成列表或者以任意其他合适的方式来访问列表。

在一些实现中，在306，在无线网络运营商系统处，响应于接收到对指派无线网络资源的请求，访问列表。例如，无线网络运营商可以在随机接入信道(RACH)上接收无线资源请求。在一些实现中，请求可以包括发起请求的移动设备应用的应用标识符。如果应用标识符与列表上的未准许的移动设备应用之一相对应，则无线网络运营商可以拒绝指派无线网络资源。因此，无线网络运营商可以通过将对网络资源的每一个请求与未准许的移动设备应用列表进行比较并且拒绝列表上的移动设备应用发起的请求来防止未准许的移动设备应用在无线网络上建立通信链路。无线网络运营商系统可以使用额外或不同的技术来防止向未准许的移动设备应用指派网络资源。例如，可以向应用商店通知移动设备应用未被准许在无线网络上使用。举另一个例子，未准许的移动设备应用列表可以被广播到无线网络范围内的无线终端，或者未准许的移动设备应用列表可以寻址到无线网络范围内的特定无线终端。

在一些实现中，在无线终端处访问列表，并且无线终端防止未准许的移动设备应用在无线网络上建立通信链路。列表可以包括从无线网络运营商系统接收的信息或者来自另一源的信息。无线终端可以通过禁用无线终端处的无线终端应用中的一个或更多个来防止未准许的移动设备应用在无线网络上建立通信链路。例如，可以通过禁止用户访问移动设备应用、通过禁止运行移动设备应用或者通过另一种方式在无线终端上禁用未准许的移动设备应用。在一些实现中，无线终端通过对在无线终端上运行的移动设备应用生成的对网络资源的请求进行过滤来禁用未准许的移动设备应用。例如，无线终端可以通过将对网络资源的每一个请求与未准许的移动设备应用进行比较并且终止由列表上的移动设备应用发起的请求来防止未准许的移动设备应用在无线网络上建立通信链路。无线终端可以使用额外或不同的技术来防止向未准许的移动设备应用指派网络资源。

图4是示出了用于管理移动设备应用的示例性过程400的信令和流程图。图4中所示的示例性过程400可以被修改或重配置为包括额外、更少或不同的操作，这些操作可以按所示的顺序或者按不同的顺序来执行。在一些实例中，例如可以重复或迭代操作中的一个或更多个，直到达到终止条件为止。在一些实现中，图4中所示的一个或更多个单独的操作中可被作为多个单独的操作来执行，或者图4中所示的操作的一个或更多个子集可以被组合为单个操作或者作为单个操作来执行。

可以在通信系统中执行过程400。例如，过程400可以由图1中所示的通信系统100的一个或更多个组件或者由不同类型的系统来执行。图4示出了由无线终端402、无线网络运营商404和应用商店406执行的特定操作。在过程400的一些实现中，图4中所示的操作中的一个或更多个可以视情况由额外或不同组件、设备或子系统或者由其组合来执行。

在一些方面，无线网络运营商404可以通过其相应的应用标识符来识别移动设备应用，并且确定移动设备应用是否是恶意应用，或者移动设备应用是否被授权使用无线网络。无线网络运营商404可以针对识别的恶意应用阻止无线终端402访问无线网络。无线网络运营商404可以向无线终端402、无线网络运营商404或者这二者通知移动设备应用已经被取消资格在无线网络上使用，并且已经防止移动设备应用接入无线网络。

过程400的各个方面可以用于控制对无线网络的接入。无线网络可以是公共陆地移动网(PLMN)、私有无线网络、局域网(LAN)、个域网(PAN)或者其他短距离无线网络或任何其他适当的无线网络。在一些情况下，无线网络运营商404可以以应用选择性方式准许或拒绝无线终端402接入无线网络。例如，当无线终端402上的未准许的应用尝试接入无线网络时，无线网络运营商404可以拒绝无线终端404接入无线网络，并且当无线终端402上的其他应用尝试接入无线网络时，无线网络运营商404可以允许无线终端402接入无线网络。通过(在无线网络运营商系统处)维持对网络接入的集中式控制，在一些实例中，应用管理解决方案可以对攻击、变通方法和其他形式的潜在滥用更鲁棒。

在410，应用商店406向每一个移动设备应用指派应用标识符。应用标识符可以包括基于移动设备应用的名称、版本号、发布号、发布日期、移动设备应用被配置用于的目标设备、第三方(例如，无线网络运营商、用户设备制造商等)的证书级别的信息、或其他信息。每一个移动设备应用可以由应用的开发商、由应用商店、由无线网络运营商或者由另一实体与唯一标识符相关联。在一些实例中，中央机构(例如，认证机构、代码签名机构等)可以被配置为创建和维护应用标识符信息。可以使用额外或不同的系统。无线网络运营商404可以(例如，周期性地、应请求、或者以其他方式)接收移动设备应用列表及其相应的应用标识符。无线网络运营商404可以使用该列表以例如识别并跟踪移动设备应用的访问权限。此外或备选地，可以给予无线网络运营商404访问查找服务的权限以检查(例如，以应请求为基础)哪一个移动设备应用对应于每一个应用标识符。例如，查找表格可以被实现为轻量目录访问协议(LDAP)或另一种类型的协议。

在412，应用商店给每一个移动设备应用签名。此外或备选地，可以针对每一个移动设备应用生成密码证书。例如，公共密钥基础设施或另一种类型的信息安全基础设施可以用于防止潜在滥用。来自在线商店、制造商或其他实体的移动设备应用可以由无线终端402识别的实体来签名。应用标识符、应用特权(例如，对网络的接入、对联系人数据库的访问、GPS定位等)或者这些和其他数据的任意合适的组合可以绑定到代码签名机构的数字签名。

在414a和414b，向无线网络运营商404和无线终端402发送移动设备应用。可以通过无线网络或者由额外或不同的通信系统或链路来发送移动设备应用。可以从应用商店406直接向无线终端402以及直接向无线网络运营商404发送移动设备应用，或者可以通过中间实体或系统从应用商店406向一个或更多个接收方发送移动设备应用。在一些实现中，向无线终端402提供移动设备应用、与移动设备应用相关联的数字证书、与移动设备应用相关联的应用标识符、与移动设备应用相关联的数字签名、或者这些和其他类型的信息的组合。可以一起或者在单独的传输中提供这些信息。可以例如通过有线或无线通信链路将信息中的一些或全部直接发送到无线终端402。可以在无线终端402的制造期间或之后通过与预配置设备的直接连接将信息中的一些或全部存储在无线终端402上。

无线终端402可以在尝试运行应用之前或者在其他时候对应用进行认证。例如，无线终端402可以管理可信代码签名机构列表并且维护(例如，在认证机构签名的证书、自签名的证书等中)每一个可信代码签名者的公共密钥的可靠副本。无线终端设备402可以(例如，在第一次运行移动设备应用之后、或者在其他时候)通过验证应用上的数字签名为由可信代码签名机构发出的数字签名来认证移动设备应用。无线终端402可以使用移动设备应用的应用标识符来联系代码签名机构，并且代码签名机构可以通过向无线终端402发送关于是否已经撤销应用的指示来做出响应。在一些实例中，如果应用具有有效数字签名并且还未被代码签名机构撤销，则可以认为移动设备应用是已认证的。

因此，应用商店406、网络系统404、或者另一系统或实体可以用作特定的移动设备应用或移动设备应用集合的可靠控制点。例如，控制点可以用作其自己的代码签名机构。在一些情况下，在从无线终端402接收到应用标识符之后，控制点可以验证针对无线网络准许移动设备应用。例如，如果无线终端402是由无线网络提供的或者在其他情况下，则网络运营商可以被指定为无线终端402的唯一可信代码签名机构。在一些实例中，移动设备应用可以由多个代码签名机构来签名，并且无线终端402与网络运营商之间的协商可以用于商定针对无线网络上的操作的适合的代码签名机构。在一些实例中，移动设备应用由应用商店签名，并且应用商店可以由无线终端402识别为可信代码签名机构。

无线终端402可以使用任意合适的技术来验证移动设备应用上的签名。在一些情况下，对签名代码的验证利用散列过程、基于应用创建消息摘要、以及验证签名的公共密钥操作。例如，一些签名方案在签名或验证期间执行两个基本操作。首先，使用密码散列函数来对消息进行散列，其中，密码散列函数采用任意长度消息并且产生固定摘要长度的散列值。其次，在签名(或验证)过程中使用散列值以产生(或确认)具有固定摘要长度散列值的消息上的签名。在一些实例中，无线终端402(例如，在安全存储器位置中)存储移动设备应用的最近散列。可以与移动设备应用的应用标识符相关联地存储最近散列值。因此，例如可以对存储的散列值进行重用，而不是在运行应用期间对移动设备应用进行重新散列以验证可靠性。在一些实现中，可以在初始安装应用期间生成初始散列值。可以见机(opportunistically)(例如，当处理资源在无线终端402上变得可用时)而不是在应用的加载期间更新散列值。在处理器可用期间更新散列值可以减小应用的加载时间。举一个例子，可以在每一次运行移动设备应用之后或者在其他时候更新散列值。

在416，无线网络运营商404更新应用标识符映射。应用标识符映射可以包括应用标识符列表和针对每一个移动设备应用的额外信息。应用标识符映射可以针对每一个移动设备应用指示移动设备应用的属性、移动设备应用是否被准许在无线网络中使用、移动设备应用的网络使用特性、以及额外信息。

在418，无线终端402安装移动设备应用。在接收到、安装或运行移动设备应用之后(或者在其他时候)，无线终端402可以基于与移动设备应用包含在一起或者以其他方式与移动设备应用相关联的密码证书来准许应用。无线终端402可以基于任意合适的认证技术(例如，通过验证数字签名、通过执行挑战-响应协议或者通过这些和其他技术的组合)来准许应用。在一些实现中，无线终端402可以向签名机构发送挑战值和密码证书的公共密钥部分，并且签名机构可以(例如，基于与公共密钥相关联的私有密钥)计算响应并向无线终端402发回响应。然后，无线终端402可以验证签名机构已经发送适合的响应，并且如果是，则准许移动设备应用在无线终端402上运行。在一些实现中，无线终端402被配置为识别未经认证的应用，并且在无线终端402上电时向无线网络发送应用标识号。

可以由无线网络运营商404、由应用商店406或者由另一实体来提供认证控制点。可以提供多认证控制点子系统，并且每一个认证控制点可以执行针对单独的移动设备应用或者针对多个移动设备应用的认证。在一些实现中，认证控制点存储每一个移动设备应用的私有数据。私有数据可以存储在私有数据库或另一种类型的安全信息系统或设备中。私有数据可以包括例如与通过密码证书验证的公共密钥相对应的私有密钥。私有数据可以包括或者可以用于生成对从无线终端接收的挑战的响应。例如，认证控制点可以包括密码模块，该密码模块基于私有密钥和挑战值生成数字签名或另一种类型的响应。

在420，无线网络运营商404识别要防止其访问网络资源的移动设备应用(例如，恶意应用或者另一种类型的应用)。在不同的上下文中，可以基于多个不同的因素将移动设备应用识别为在无线网络上永久取消资格或暂时取消资格。

在一些方面，无线网络具有有限带宽资源。例如，无线网络通常提供可以用于在无线网络上建立通信的有限数量的无线信道(例如，LTE系统中的随机接入信道)。一些移动设备应用可以潜在地被设计(故意地、偶然地或以其他方式)或可以潜在地具有欺骗性或不受管理使用的能力，这影响无线网络的性能。例如，此类移动设备应用可以潜在地使用消息充满接入信道，从而阻止或限制其他用户接入无线网络。更一般地，移动设备应用可以按将降低无线网络的性能的方式工作。发生这种行为可能是由于移动设备应用的配置、运行移动设备应用的无线终端的配置、用户与移动设备应用的交互或者这些和其他因素的组合。

在一些上下文中，无线网络运营商可以取消移动设备应用在某些时候或地理区域在无线网络中使用的资格，从而限制移动设备应用接入无线网络。在一些情况下，例如，如果移动设备应用消耗过多带宽或者具有不适合于本地或区域消耗的经过检查的内容，则无线网络运营商可以防止移动设备应用在高峰期或者在特定区域中使用无线网络。在这些情况下，另一网络运营商可以允许在另一无线网络中使用相同的移动设备应用。

各个技术可以用于识别恶意移动设备应用或者用于确定是否应当取消特定的移动设备应用的资格。在一些实例中，基于移动设备应用的预期性能将移动设备应用识别为取消资格。例如，无线网络运营商404可以执行诊断测试并且确定在正常或预期使用期间移动设备应用将消耗特定水平的网络资源。无线网络运营商404可以基于移动设备应用预期在正常或预期使用期间消耗的网络资源水平来取消移动设备应用的资格。在一些实例中，基于移动设备应用的实际行为来将移动设备应用识别为取消资格。例如，无线网络运营商404可以监控移动设备应用在实际使用期间消耗的网络资源水平，并且基于网络资源的实际使用来取消移动设备应用的资格。因此，无线网络运营商404可以确定可准许网络使用的阈值，并且如果实际使用超过阈值，则可以取消移动设备应用的资格。在一些实现中，可以通过额外或不同技术来识别取消资格的移动设备应用。例如，无线网络运营商404可以接收取消资格的应用的报告或列表。此类报告可以包括操作人员、自动化监控系统或者这些和其他源的组合提供的输入。

在一些实现中，当移动设备应用被添加至应用商店时，首先针对性能对应用进行评估和验证。可以基于评估来生成应用网络使用映射。应用网络使用映射可以包括例如与典型的接入要求、平均带宽使用和其他因素有关的信息。可以基于任意合适的技术或过程来生成、更新或修改应用网络使用映射。例如，可以在应用评估阶段的网络使用期间或者在无线终端的实际网络使用期间执行获知和验证过程。应用网络使用映射可以存储在无线网络运营商服务器上(例如，操作、实施和管理(OA&M)子系统、维护子系统等中)。在一些实现中，无线网络运营商服务器可以周期性地监控应用网络使用映射，并将应用网络使用映射与实际测量的应用使用相关联。当网络使用超过移动设备应用的阈值时，可以取消移动设备应用的资格。因此，可以检测到可信移动设备应用的恶意行为、不可信移动设备应用的恶意行为和其他类型的不想要的行为。

无线网络运营商404可以维护未准许的移动设备应用列表。因此，当无线网络运营商404在420处识别出恶意应用(或者以其他方式确定应用应当被取消资格)时，无线网络运营商404可以将恶意应用的应用标识符添加至未准许的移动设备应用列表。可以以例如安全的方式存储该列表，以避免篡改或恶意使用。可以使其他网络运营商或者其他类型的实体可访问列表。该列表可以包括未准许的移动设备应用的应用标识符、版本号、目标用户设备或者其他标识信息。无线网络运营商404可以维护经准许的移动设备应用列表。例如，该列表可以包括可以在特定网络中由用户设备集合使用的所有应用、以及额外信息。

在422，无线终端402向无线网络发送无线资源请求。无线终端402可以通过任意合适的技术来发送无线资源请求。在一些实现中，无线资源请求是在随机接入信道(RACH)上发送的。在一些实现中，无线资源请求是在物理上行链路控制信道(PUCCH)上发送的，以例如允许随机接入信道可用于无线终端的初始进入。

无线资源请求包括生成请求的移动设备应用的应用标识符。无线终端可以被配置为当移动设备应用首次接入无线网络时向无线网络发送应用标识符号。无线终端可以被配置为当无线终端402下载、安装或运行应用时向无线网络发送应用标识符号。

无线终端402可以被配置为从无线终端402中提取尝试与无线网络进行通信的任何移动设备应用的应用标识符。在一些情况下，当在无线终端上运行移动设备应用时，无线终端402提取应用标识符。无线终端402可以被配置为与移动设备应用发起的每一个无线资源请求相关联地发送应用标识符。可以在随机接入信道中、在用于发送无线资源请求的信令信道中或者在不同的信令信道中对应用标识符进行编码。无线网络运营商404访问无线资源请求和相关联的应用标识符。

在424，无线网络运营商404确定取消资格的移动设备应用是否已经发起无线资源请求。例如，无线网络运营商404可以将应用标识符与取消资格的应用列表进行比较，无线网络运营商404可以将应用标识符与准许应用列表进行比较，或者无线网络运营商404可以使用不同的技术。

在无线网络运营商404确定无线资源请求不是由取消资格的移动设备应用发起的情况下，无线网络运营商404可以准许无线资源请求。例如，在426，无线网络运营商404可以发起要发送到无线终端402的信道资源指派。无线终端402可以使用信道资源指派以通过无线网络进行通信。例如，无线终端402可以使用信道资源指派来接入互联网、访问远端系统上的数据、向远端系统发送数据等。

在无线网络运营商404确定无线资源请求是由取消资格的移动设备应用发起的情况下，无线网络运营商404可以拒绝无线资源请求并且防止移动设备应用建立信道资源指派。例如，在430，无线网络运营商404可以向无线终端402发送拒绝移动设备应用访问无线网络资源的响应。

在一些实例中，在432，无线网络运营商404还向无线终端402发送原因代码，该原因代码指示拒绝移动设备应用访问无线网络资源的原因。无线终端402可以使用从无线网络运营商404接收的信息来防止移动设备应用进一步尝试接入无线网络。例如，无线终端402可以永久地或暂时地禁用移动设备应用。

无线网络运营商404还可以向应用商店406通知拒绝移动设备应用访问无线网络资源。应用商店406可以使用从无线网络运营商404接收的信息来防止将来下载移动设备应用或者向用户通知移动设备应用的取消资格状态。

图5是示出了用于管理移动设备应用的示例性系统500的示意图。示例性系统500包括无线终端502和无线网络运营商系统504。系统500可以视情况包括额外或不同的设备、系统和特征。系统500可以如图5中所示的操作，或者系统500可以被配置为以不同的方式进行操作。

无线网络运营商系统504可以访问未准许的应用数据库522。备选地或此外，无线网络运营商系统504可以访问允许应用数据库。未准许的应用数据库522可以由所有无线网络访问，或者未准许的应用数据库522可以由无线网络运营商系统504私下维护。无线网络运营商系统504可以向无线终端502发送控制消息。控制消息可以包括未准许的应用文件或数据库，并且可以指示无线终端502禁用未准许的应用。在一些情况下，无线网络运营商系统504还可以向无线终端502发送一个或更多个公共密钥，并且无线终端502可以认证发送控制消息的认证控制点。无线终端502可以禁用无线网络不允许的移动设备应用。

此外或备选地，某些运营商可以选择在其网络中禁用特定移动设备应用。例如，运营商可能由于用于管理峰值业务需求的政府规定或在其他环境中选择禁用移动设备应用。无线网络可以例如通过将广播消息与未准许的移动设备应用列表一起发送到无线网络范围内的无线终端，来主动禁用多个无线终端上的移动设备应用。在一些实例中，当无线终端首次与无线网络建立连接时，无线网络可以指示无线终端禁用特定移动设备应用。当无线网络通知无线终端502暂时禁用指定的移动设备应用时，无线终端502可以暂时禁用指定的移动设备应用。此外，在一些实例中，无线网络可以指示无线终端启用先前禁用的特定移动设备应用。例如，当无线网络通知无线终端502重新重新启用指定应用时或者当无线终端502进入新无线网络时，无线终端502可以重新启用指定应用。

无线终端502和无线网络运营商系统504被配置为通过射频传输来进行通信。在一些实例中，无线终端502和无线网络运营商系统504被配置为基于额外或不同类型的有线或无线通信链路(例如，使用有线、红外、光学和其他类型的硬件)来进行通信。无线终端502和无线网络运营商系统504可以直接或者通过中间系统、网络或通信链路相互通信。例如，无线终端502和无线网络运营商系统504可以通过一个或更多个路由器、基站、天线、服务器或其他类型的通信系统来相互通信。

图5中所示的示意图示出了由无线终端502和无线网络运营商系统504执行的协议层。图5中所示的协议层是作为示例提供的，并且所示的示例可以视情况被修改、替换、省略或以其他方式重配置。无线终端502和无线网络运营商系统504均包括物理层510、无线链路控制/媒体访问控制层512、一个或更多个网络、传输和会话层514和表示层516。无线终端502或无线网络运营商系统504或这二者可以包括额外或不同的协议层。

物理层510可以包括用于无线发送数据的硬件。物理层510可以被配置为在任意合适的频率范围内发送和接收射频信号。例如，物理层510可以包括数字信号处理器、收发机、滤波器、天线或者这些和其他组件的任意合适的组合。物理层510可以包括额外或不同的特征。

无线链路控制/媒体访问控制层512是可以提供物理层510与网络、传输和会话层514中的一个或更多个之间的通信的数据链路层。在一些情况下，无线链路控制/媒体访问控制层512可以被配置为执行纠错、级联、流控制和其他功能。无线链路控制/媒体访问控制层512可以在可以由数据处理装置执行的软件中实现。无线链路控制/媒体访问控制层512可以包括额外或不同的特征。

网络、传输和会话层514可以提供无线链路控制/媒体访问控制层512与表示层516之间的通信。网络、传输和会话层514可以被配置为建立和利用例如与无线网络中的路由器、节点、主机、以及其他控制点的连接。网络、传输和会话层514可以被实现在可以由数据处理装置执行的软件中。网络、传输和会话层514可以包括额外或不同的特征。

表示层516可以与网络、传输和会话层514中的一个或更多个进行通信。无线终端502上的表示层516可以提供应用(例如，518a、518b、518c)与无线网络之间的通信。无线网络运营商系统504上的表示层516可以提供高层网络运营商应用与无线网络之间的通信。无线终端502上的表示层516或者无线网络运营商系统504上的表示层516或者这二者可以包括被配置为控制一个或更多个移动设备应用对无线网络的接入的一个或更多个特征、模块或组件。无线终端502的表示层516有利于对应用518a、518b、518c的运行。无线网络运营商系统504的表示层516包括或者有权访问未准许的应用数据库522。表示层516可以包括额外或不同的特征。

图5中所示的示例性表示层516包括对等应用管理模块520a和520b；无线终端502的表示层516包括应用管理模块520a，并且无线网络运营商系统504的表示层516包括应用管理模块520b。可以使用现有的无线通信协议和标准将应用管理模块520a和520b并入到通信系统中。例如，可以在物理层使用现有信令标准来执行无线终端502与无线网络运营商系统504之间的通信。通过在表示层516中并入应用管理解决方案，该解决方案可以与任意合适的通信协议兼容。

当识别未准许的移动设备应用时，无线网络运营商系统504可以向无线终端502发送列表。可以在表示层或应用层从应用管理模块520b向应用管理模块520a发送列表。无线网络运营商系统504还可以向应用商店或者向另一子系统或实体发送列表，以禁止将来分发列表上的移动设备应用。列表可以包括一个或更多个应用标识符、原因代码、认证数据、以及额外信息。可以将列表与控制消息一起发送，该控制消息指示无线终端502禁用在列表中标识的安装在无线终端502上的任何移动设备应用。然后，应用管理模块520a可以确定无线终端502是否包括列表上的任何移动设备应用并且禁用任何此类移动设备应用。在一些情况下，应用管理模块520a可以向用户通知移动设备应用已经被禁用并且还向用户通知原因。通过这种方式或者通过使用额外或不同的技术，应用管理模块520a可以用作无线终端502上的应用监督者。控制消息可以被配置为例如通过禁用移动设备应用的特定服务或特征来以粒度水平禁用移动设备应用。例如，控制消息可以被配置为将移动设备应用的网络接入限制于仅WiFi、仅蜂窝、非GPS、仅安全模式(例如，传输层安全)或者被配置为应用其他可能的限制。

无线网络运营商系统504使用控制点来向无线终端502发送列表。控制点可以位于网络、应用商店或者沿着数据路径的其他逻辑位置中。无线终端502可以认证控制点。在一些情况下，无线终端502实现要求在可以在无线终端502上禁用任何移动设备应用之前认证控制点的策略。

在一些实现中，控制点维护由可信代码签名机构发出的密码证书。可信代码签名机构可以发出每一个移动设备应用的密码证书。每一个控制点还可以具有来自可信认证机构的私有密钥和证书，以被识别为用于管理移动设备应用的授权控制点。移动终端502可以维护可信认证机构列表。

当控制点发出用于禁用移动设备应用的控制消息时，控制消息可以包括使用控制点的私有密钥签名的应用标识符。控制消息还可以包括来自可信认证机构的控制点的证书。无线终端502可以通过验证控制点的证书上的签名是从移动终端502识别的可信认证机构发出的，来认证控制点。无线终端502可以通过使用证书中的公共密钥验证控制消息上的签名来认证控制点。如果无线终端502验证控制消息上的签名并且验证禁用命令中的应用标识符与从签名的移动设备应用(或者移动设备应用的证书)提取的应用标识符相匹配，则移动台可以禁用移动设备应用。

认证过程可以视情况使用任意合适的技术或协议。在一些情况下，可以在无线终端502上与相应应用标识符相关联地维护(例如，存储)移动设备应用的散列值。在用于在网络提供商的网络上运行应用的请求期间，无线终端502可以向无线网络运营商转发应用标识符和相关联的散列值，其中，可以验证相关联的签名。在一些实现中，无线网络运营商可以生成并存储与无线网络准许的授权移动设备应用相关联的散列值。可以应要求(例如，响应于来自无线终端502的用于在无线网络上运行移动设备应用的请求)来生成散列值。在一些实例中，可以见机(例如，当处理资源变得可用(例如，而不是应要求或者除了应要求之外))更新存储的散列值数据库。

无线终端502可以使用任意合适的技术来禁用未准许的移动设备应用。在一些实现中，应用管理模块520a可以禁用移动设备应用，使得移动设备应用不再能在无线终端502上运行。因此，用户不再能进一步访问应用。在一些实现中，应用管理模块520a可以删除移动设备应用及其应用数据。在一些实现中，应用管理模块520a可以禁用移动设备应用，使得移动设备应用在无线终端502上运行但是不能使用移动设备应用的利用无线网络资源的功能。例如，当未准许的移动设备应用尝试在无线网络上建立通信信道时，在无线接入请求发送到物理层510之前，应用管理模块520a可以执行表格查找以检查是否禁止移动设备应用接入特定无线网络。如果无线网络不准许移动设备应用，则应用管理模块520a可以终止请求。因此，在一些实例中，应用管理模块520a可以防止请求发送到无线网络运营商系统504。表格1是可以用于禁止未准许的移动设备应用进行网络接入的示例性表格。

表格1

无线网络永久禁用的应用临时禁用的应用LTEX1234A9999WiMAX--WiFi-Y4567GSMX1234；A9999-

表格1的左边一列示出了可以由无线终端502接入的无线网络的示例。所示出的示例性无线网络是LTE、WiMAX、WiFi、和GSM。可以在表格中标识额外或不同类型的无线网络。可以通过网络的类型(例如，LTE、WiFi等)、服务提供商的名称(例如，AT&T、Sprint、Verizon等)、无线网络的位置(例如，家里、工作场所、咖啡店等)或者以不同的方式来标识无线网络。

表格1的中间一列示出了永久禁用的移动设备应用的应用标识符。表格1的右边一列示出了暂时禁用的移动设备应用的应用标识符。更一般地，表格可以包括额外或不同的信息。例如，表格可以指示每一个暂时禁用的移动设备应用被禁用的时间段，或者表格可以指示每一个被禁用的移动设备应用被禁用的位置。

在示例性情况下，假设与应用标识符“X1234”相关联的移动设备应用尝试接入LTE无线网络。在该情况下，应用管理模块520a执行表格查找并且发现“X1234”是禁用的移动设备应用。然后，应用管理模块520a可以防止移动设备应用在LTE网络上建立通信信道。因此，安装在无线终端502上的移动设备应用的实例不再能接入LTE网络。因此，移动设备应用不再能向网络发送消息。在一些情况下，这可以防止或减小拒绝随机接入信道(RACH)上的服务攻击的可能性。如表格1中所示，可能未拒绝相同的移动设备应用(X1234)接入其他网络(例如，WiFi)，因此仍然可以在此类其他网络上建立通信信道。

图6是示出了用于管理移动设备应用的另一示例性过程600的信令和流程图。图6中所示的示例性过程600可以被修改或重配置为包括额外、更少或不同的操作，这些操作可以按所示的顺序或者按不同的顺序来执行。在一些实例中，例如可以重复或迭代操作中的一个或更多个，直到达到终止条件为止。在一些实现中，图6中所示的一个或更多个单独的操作中可被作为多个单独的操作来执行，或者图6中所示的操作的一个或更多个子集可以被组合为单个操作或者作为单个操作来执行。

可以在通信系统中执行过程600。例如，过程600可以由图1中所示的通信系统100的一个或更多个组件或者由不同类型的系统来执行。图6示出了由无线终端602和无线网络运营商604执行的特定操作。在过程600的一些实现中，图6中所示的一个或更多个操作可以由额外或不同组件、设备或子系统或者其组合来执行。

在610，无线终端602下载移动设备应用。可以在制造或预配置无线终端期间、在操作无线终端期间或者在其他时候下载移动设备应用。可以通过无线网络、通过有线连接或者通过另一种类型的通信链路来下载移动设备应用。在一些实现中，从应用商店下载移动设备应用，或者可以从另一源下载移动设备应用。

下载的信息可以包括移动设备应用的应用代码、移动设备应用的应用数据、以及定义移动设备应用的操作的其他信息。下载的信息可以包括移动设备应用的应用标识符、移动设备应用的数字签名、移动设备应用的密码证书、或者这些数据和其他数据的任意合适的组合。在一些情况下，无线终端基于数字签名方案来验证数字签名。

在一些情况下，无线终端与无线网络运营商通信以确定移动设备应用是否被准许接入无线网络。例如，如果移动设备应用未被准许在无线网络中使用，则无线终端可以延迟或取消安装移动设备应用。无线终端可以与无线网络运营商通信以当在无线终端上安装移动设备应用之前或之后对移动设备应用认证一次或多次。在一些实例中，无线终端可以被配置为与无线网络运营商系统进行通信以在安装移动设备应用之前或之后、在运行移动设备应用之前或之后、响应于无线终端上电、响应于识别移动设备应用还未被认证、或者在这些时候或其他时候的组合来对移动设备应用进行认证。

在612，无线终端602生成认证请求。认证请求可以包括标识移动设备应用的应用标识符或其他适合的信息。在一些实现中，认证请求包括挑战值。认证请求还可以包括来自与移动设备应用相关联的密码证书的信息，例如，公共密钥值。认证请求可以视情况包括额外或不同的信息。

在614，无线终端602向无线网络运营商604发送认证请求。例如，无线终端可以通过无线网络或者通过不同类型的通信链路发送认证请求。无线网络运营商系统接收认证请求。认证请求可以被路由到无线网络运营商系统上的适合实体或控制点或者由该适合实体或控制点处理。

在616，无线网络运营商604生成响应。例如，可以由认证管理机构、应用管理系统或者由无线网络运营商系统上的这些和其他组件或子系统的任意合适组合来生成对认证请求的响应。在一些实现中，认证请求包括与特定移动设备应用相对应的应用标识符，并且为了生成响应，无线网络运营商可以访问与相应移动设备应用相关联的私有数据。例如，在一些情况下，无线网络运营商具有与每一个移动设备应用相关联的私有密钥值。在一些实现中，认证请求包括来自密码证书的公共密钥值，并且为了生成响应，无线网络运营商可以访问与密码证书相关联的私有密钥值。

无线网络运营商和无线终端可以使用预先建立的认证协议，该认证协议可以包括一个或更多个预先建立的参数或值。可以使用任意合适的认证技术。例如，无线网络运营商可以基于密码挑战-响应认证协议或者另一种类型的技术来生成响应。在一些密码挑战-响应认证技术中，认证者接收挑战值并且基于挑战值和私有数据来生成响应值。例如，响应可以是挑战值上的数字签名。可以根据任意合适的数字签名方案使用私有密钥值(或者另一种类型的私有数据)来生成数字签名。举另一个例子，响应可以是挑战值上的消息认证代码。可以根据带密钥的基于散列的消息认证代码或者任意合适的密码技术使用私有密钥值(或者另一种类型的私有数据)来生成消息认证代码。在一些实例中，用于生成响应的私有密钥与通过密码证书验证的公共密钥相对应。可以使用额外或不同的技术。

在618，无线网络运营商604向无线终端602发送响应。例如，无线网络运营商可以通过无线网络或者通过不同类型的通信链路发送认证请求。为了发起对响应的传输，响应可以被路由到无线网络运营商系统上的适合实体或者控制点或者由该适合实体或控制点处理。无线终端系统接收响应。在一些实例中，响应包括提供的响应值，或者响应可以包括不同类型的信息。

在620，无线终端602验证响应。无线终端可以基于提供的响应值、密码证书、公共密钥值或者这些数据和其他数据的任意合适的组合来验证响应。验证提供的响应值确定是否根据挑战-响应协议基于挑战值和正确私有密钥值正确地生成提供的响应值。

可以通过任意合适的技术来验证提供的响应值。可以视情况基于预先建立的认证技术以及相应的系统参数来验证响应。例如，在无线网络运营商系统被配置为根据数字签名算法生成提供的响应的情况下，无线终端可以使用签名验证技术来验证提供的响应。举另一个例子，在无线网络运营商系统被配置为基于带密钥的基于散列的消息认证代码生成提供的响应的情况下，无线终端可以使用适合的HMAC验证技术来验证提供的响应。可以使用额外或不同的技术。

如果无线终端验证响应并且确定提供的响应是正确的响应，则已经认证了移动设备应用。在这种情况下，无线终端可以响应于认证移动设备应用，安装移动设备应用，运行移动设备应用，恢复移动设备应用，或者执行任何其他适当的动作。移动设备应用已经被认证的事实可以允许无线终端信任移动设备应用或者在可信操作模式中运行移动设备应用。可以例如周期性地、在启动无线终端之后、在进入新无线网络范围之后或者基于额外或不同的条件来重新认证移动设备应用。

如果无线终端验证响应并且确定提供的响应不是正确的响应，则移动设备应用还未被认证。在这种情况下，无线终端可以响应于确定移动设备应用还未被认证，删除移动设备应用，禁用移动设备应用，重新尝试认证，或者执行任何其他适当的动作。移动设备应用已经被认证的事实可以防止无线终端信任移动设备应用或者在可信操作模式中运行移动设备应用。

图7是示出了用于管理移动设备应用的另一示例性技术的信令和流程图。图7中所示的示例性过程700可以被修改或重配置为包括额外、更少或不同的操作，这些操作可以按所示的顺序或者按不同的顺序来执行。在一些实例中，例如可以重复或迭代操作中的一个或更多个，直到达到终止条件为止。在一些实现中，图7中所示的一个或更多个单独的操作中可被作为多个单独的操作来执行，或者图7中所示的操作的一个或更多个子集可以被组合为单个操作或者作为单个操作来执行。

可以在通信系统中执行过程700。例如，过程700可以由图1中所示的通信系统100的一个或更多个组件或者由不同类型的系统来执行。图7示出了由无线终端702和无线网络运营商704执行的特定操作。在过程700的一些实现中，图7中所示的操作中的一个或更多个可以由额外或不同组件、设备或子系统或者由其组合来执行。

在710，无线网络运营商704确定移动设备应用未被准许。例如，无线网络运营商可以确定移动设备应用在某些时候、一直、在某些地理位置、在所有地理位置或者针对其他类型的条件未被准许在无线网络中使用。

任意合适的技术可以用于确定移动设备应用未被准许。在一些实现中，基于网络使用数据不准许移动设备应用。无线网络运营商可以访问网络使用数据，网络使用数据标识移动设备应用访问的无线网络资源。例如，网络使用数据可以包括与移动设备应用发起的无线资源请求有关的信息、与移动设备应用使用的数据信道有关的信息、以及其他信息。在一些实现中，网络使用数据指示在给定时间段移动设备应用已经请求指派网络资源的次数。网络使用数据可以基于移动设备应用对无线网络的实际使用或实际尝试使用。例如，网络使用数据可以包括通过监控移动设备应用的网络使用而获得的信息。

在一些实现中，网络使用数据用于将移动设备应用访问的无线网络资源与移动设备应用的网络使用映射进行比较。可以基于(例如，由网络使用数据指示的)实际使用与(例如，由网络使用映射指示的)准许使用之间的比较不准许移动设备应用。网络使用映射可以包括指示移动设备应用的预期、准许或计划网络使用的任何信息。例如，网络使用映射可以包括关于移动设备应用通常将发起无线资源请求的频率、移动设备应用通常将向远端服务器或者从远端服务器传输数据的量的信息、以及其他信息。在一些实现中，网络使用映射指示阈值，例如，移动设备应用被准许在给定时间段请求指派网络资源的最大次数、移动设备应用被准许在给定时间段传输的最大数据量等。

可以通过测试、评估或者以其他方式分析移动设备应用来生成网络使用映射。在一些示例中，对移动设备应用的性能特性进行测试或评估以估计移动设备应用将在正常或预期操作期间消耗的网络资源的量。例如，可以对移动设备应用进行分析以估计它将在无线网络上发起通信的频率。可以在无线网络中实际使用移动设备应用之前生成网络使用映射，或者可以在不同或额外时候生成、更新或以其他方式修改网络使用映射。在一些情况下，无线网络运营商可以基于针对移动设备应用所生成的网络使用映射来准许或不准许移动设备应用。例如，如果网络使用映射指示移动设备应用呈现可能引起服务攻击的拒绝或者以其他方式降低无线网络的性能的行为，则可以不准许移动设备应用。

在712，无线网络运营商704拒绝移动设备应用访问网络资源。无线网络运营商可以使用任意合适的技术来拒绝将网络资源给移动设备应用。在一些实例中，可以使用两种类型的技术。根据第一技术，每当移动设备应用请求资源时，无线网络运营商拒绝将资源给移动设备应用。根据第二技术，无线网络运营商通过指示无线终端702禁用移动设备应用请求网络资源的能力来抢先拒绝将网络资源给移动设备应用。这两个示例性技术可以被修改、相互组合、替换为其他技术、或者与额外或不同的技术相结合。在一些实现中，在拒绝移动设备应用在初始时间段期间接入无线网络之后，无线网络运营商可以确定移动设备应用被准许在另一时间段期间使用，并且准许移动设备应用在另一时间段期间接入无线网络。

在一些实例中，根据用于拒绝移动设备应用接入的第一示例性技术，无线网络运营商从无线终端接收对指派无线网络资源的请求。该请求可以是无线终端在随机接入信道上发送的无线资源请求。该请求可以包括移动设备应用的应用标识符以及额外信息。应用标识符可以嵌入在相同的随机接入信道或不同的信道中。例如，可以在第一信令信道上发送该请求，并且可以在第二信令信道上发送应用标识符。该请求可以包括额外或不同的信息，可以以相同或不同的方式向无线网络运营商发送该额外或不同的信息。

响应于接收到对指派无线网络资源的请求，无线网络运营商可以通过任意合适的技术来拒绝向无线终端指派无线网络资源。无线网络运营商可以向无线终端发送指示已经拒绝向无线终端指派无线网络资源的消息。无线网络运营商可以向无线终端发送指示已经拒绝向无线终端指派无线网络资源的原因的消息。在一些实现中，无线终端可以显示向用户通知原因的消息。在一些情况下(例如，当移动设备应用暂时未被准许时)，无线网络运营商可以准许由移动设备应用在不同时间或不同位置发起的后续请求。

在一些实例中，根据用于拒绝移动设备应用接入的第二示例性技术，无线网络运营商向无线终端发送指示移动设备应用未被准许在无线网络中使用的信息。例如，无线网络运营商可以访问标识未准许的移动设备应用的数据库，并且向无线终端发送未准许的移动设备应用列表。

在一些实现中，当无线终端接收到用于禁用移动设备应用的指令时，无线终端可以认证发送指令的无线网络控制点。因此，响应于指令，无线网络运营商可以从无线终端接收认证请求。当无线网络运营商接收到认证请求时，无线网络运营商生成提供的响应并且发起向无线终端发送提供的响应。

在一些实现中，无线网络运营商可以使用额外或不同的技术来拒绝移动设备应用访问网络资源。例如，无线网络运营商可以向应用商店通知拒绝移动设备应用接入无线网络。响应于接收到通知，应用商店可以防止进一步分发移动设备应用或者视情况采取其他行动。举另一个例子，无线网络运营商可以广播包括未准许的移动设备应用列表的消息。例如，可以向无线网络范围内的所有无线终端广播消息。广播消息可以指示将拒绝由列表上的移动设备应用发起的无线资源请求；或者广播消息可以指示应当禁用列表上的移动设备应用。广播消息可以视情况包括额外或不同的信息或指令。

在714，无线终端702访问标识未准许的移动设备应用的信息。可以以任意合适的格式、在任意合适的时间或者通过任意合适的方式来接收信息。在一些情况下，在制造无线终端期间、在预配置无线终端期间、在使用无线终端期间或者在其他时候在无线终端处接收信息。可以通过无线网络或者通过另一通信链路在无线终端处接收信息。

在一些实例中，响应于对指派网络资源的请求来接收信息。例如，可以响应于未准许的移动设备应用发起的无线资源请求来接收信息，并且信息可以指示无线网络运营商已经拒绝无线资源请求。在一些实例中，在进入无线网络范围之后、在给无线终端上电之后、或者响应于另一事件或条件来接收信息。信息可以标识单个未准许的移动设备应用，或者信息可以标识多个未准许的移动设备应用。例如，信息可以包括未准许的移动设备应用列表。

在716，无线终端702禁止移动设备应用接入无线网络。在一些实例中，响应于从无线网络运营商704接收的信息来禁止移动设备应用的接入。可以响应于无线网络拒绝由无线终端上的移动设备应用发起无线资源请求，在无线终端上禁止移动设备应用接入无线网络。例如，无线终端可以接收指示由于移动设备应用未被准许而拒绝无线资源请求的消息。可以响应于从无线网络接收到未准许的移动设备应用列表并且识别该列表包括特定的移动设备应用，在无线终端上禁止该特定移动设备应用接入无线网络。可以响应于其他事件或条件来禁止移动设备应用的接入。

可以通过任意合适的技术在无线终端上禁止移动设备应用接入无线网络。在一些情况下，通过禁用无线终端上的移动设备应用、通过禁止用户访问无线终端上的移动设备应用、通过禁止在无线终端上运行移动设备应用或者通过这些技术和其他技术的任意合适的组合来禁止移动设备应用的接入。

在一些实现中，通过更新无线终端上的查找表格并且使用查找表格来对无线终端上的移动设备应用生成的对网络资源的请求进行过滤，来在无线终端上禁止移动设备应用接入无线网络。例如，对无线终端上的移动设备应用生成的请求进行过滤可以包括将每一个请求与查找表格进行比较以确定请求是否是由未准许的移动设备应用生成的。查找表格可以标识永久禁用的移动设备应用、暂时禁用的移动设备应用、或者任意合适的组合。

本说明书中描述的操作可被实现为数据处理装置对一个或更多个计算机可读存储设备上存储的或者从其它源接收的数据执行的操作。术语“数据处理装置”涵盖用于处理数据的所有类型的装置、设备和机器，例如包括可编程处理器、计算机、片上系统或者前述各项中的多个或者组合。装置可以包括专用逻辑电路，例如，FPGA(现场可编程门阵列)或者ASIC(专用集成电路)。除了硬件以外，装置还可以包括为所讨论的计算机程序创建运行环境的代码，例如，构成处理器固件、协议栈、数据库管理系统、操作系统、跨平台运行时环境、虚拟机或者上述各项中的一项或多项的组合的代码。装置和运行环境可以实现各种不同的计算模型基础设施，例如，web服务、分布式计算和网格计算基础设施。

可以以任何形式的编程语言来写计算机程序(也称作程序、软件、软件应用程序、脚本或代码)，所述编程语言包括：编译或解释语言、声明或程序语言，并且可以以任何形式来部署计算机程序，包括部署为单独的程序或者部署为适合于用于计算环境的模块、组件、子例程、对象，或者其它单元。计算机程序可以、但无需与文件系统中的文件相对应。程序可以存储在文件的保存其它程序或数据(例如，存储在标记语言文档中的一个或更多个脚本)的部分中、专用于考虑中的程序的单个文件中、或者多个协同文件(例如，存储一个或更多个模块、子程序或者代码的各个部分的文件)中。计算机程序可以被部署为在一个计算设备上或者在位于一个站点或分布在多个站点并且通过通信网络互连的多个计算机上执行。

本说明书中描述的过程和逻辑流可以由一个或更多个可编程处理器来执行，所述一个或更多个可编程处理器执行一个或更多个计算机程序以通过操作输入数据并且产生输出来执行动作。过程和逻辑流也可以由以下各项来执行并且装置也可以实现为以下各项：专用逻辑电路，例如，FPGA(现场可编程门阵列)或者ASIC(专用集成电路)。

适合于执行计算机程序的处理器包括例如通用微处理器和专用微处理器以及任何类型的数字计算设备的任意一个或更多个处理器。通常，处理器将从只读存储器或随机存取存储器或者这二者接收指令和数据。计算设备的必不可少的元件是用于根据指令执行动作的处理器和用于存储指令和数据的一个或更多个存储器设备。通常，计算设备还将包括或者被可操作地耦合以从用于存储数据的一个或更多个存储设备接收数据或者向所述一个或更多个存储设备传递数据或者进行这两个操作。然而，计算设备不需要具有这些设备。此外，计算机可以嵌入在另一设备中，例如，移动电话、个人数字助理(PDA)、移动音频或视频播放器、游戏机、全球定位系统(GPS)接收机或者便携式存储设备(例如，通用串行总线(USB)闪存驱动器)，仅举几个例子。适合于存储计算机程序指令和数据的设备包括所有形式的非易失性存储器、媒体和存储器设备，例如包括半导体存储器设备，例如，EPROM、EEPROM和闪存存储器设备；磁盘，例如，内部硬盘或可拆卸磁盘；磁光盘；和CD ROM和DVD-ROM磁盘。处理器和存储器可以由专用逻辑电路来补充或者并入到专用逻辑电路中。

为了提供与用户的交互，本说明书中描述的主题可以实现在计算机上，该计算机具有用于向用户显示信息的显示设备(例如，LCD(液晶显示器)屏幕)和用户可以向计算机提供输入的键盘和定点设备(例如，触摸屏、触控笔、鼠标等)。其它类型的设备也可以用于提供与用户的交互；例如，提供给用户的反馈可以是任何类型的传感反馈，例如，视觉反馈、听觉反馈或触觉反馈；并且可以通过任何形式接收来自用户的输入，包括：听觉、语音或触觉输入。此外，计算设备可以通过向用户使用的设备发送文档(例如，通过响应于从web浏览器接收的请求向用户的客户端设备上的web浏览器发送网页)并且从该设备接收文档来与用户进行交互。

本说明书中描述的主题中的一些可以实现在计算系统中，该计算系统包括后端组件(例如，数据服务器)、或包括中间件组件(例如，应用服务器)、或者包括前端组件(例如，具有用户通过其可以与本说明书中描述的主题的实现进行交互的图形用户界面或者web浏览器的客户端计算设备)、或者一个或更多个此类后端组件、中间件组件或前端组件的任意组合。可以通过任意形式或方式的数字数据通信(例如，数据网络)来互连系统的组件。

计算系统可以包括客户端和服务器。客户端和服务器通常远离彼此并且通常通过数据网络进行交互。客户端和服务器的关系通过在相应计算机上运行并且相互具有客户端-服务器关系的计算机程序而出现。在一些实现中，服务器向客户端设备发送数据。可以在服务器处从客户端设备接收在客户端设备处生成的数据。

虽然本说明书包含很多具体实现细节，但是这些细节不应当被理解为对要求保护的内容的范围的限制，而是应当被理解为特定实现特有的特征的描述。在说明书中在单独实现的上下文中描述的特定特征也可以组合地实现在单个实现中。相反，在单个实现的上下文中描述的各个特征也可以单独地实现在多个实现中或者实现在任意合适的子组合中。此外，虽然特征可以在上文中被描述为以特定组合操作并且甚至最初这样要求保护，但是在一些情况下，来自要求保护的组合的一个或更多个特征可以从组合中排除，并且要求保护的组合可以涉及子组合或子组合的变形。

类似地，虽然以特定的顺序在附图中描绘了操作，但是这不应当被理解为需要以所示出的特定顺序或者连续顺序执行这些操作或者所有示出的操作被执行以实现期望的结果。在特定的环境中，多任务处理和并行处理可以是有利的。此外，上述实现中的各个系统组件的分离不应当被理解为需要所有实现中的分离，并且应当理解的是，所描述的程序组件和系统通常可以一起集成在单个软件产品中或者封装在多个软件产品中。

在一些方面，访问未被准许在无线网络上使用的移动设备应用列表。防止这些移动设备应用在无线网络上建立通信链路。

这些和其他方面的实现可以包括以下特征中的一个或更多个。响应于接收到对指派无线网络资源的请求，在无线网络运营商系统处访问列表。防止移动设备应用建立通信链路包括：拒绝指派无线网络资源。防止移动设备应用建立通信链路包括：向无线网络范围内的移动设备广播列表。

此外或备选地，这些和其他方面的实现可以包括以下特性中的一个或更多个。在移动设备处访问列表。防止移动设备应用建立通信链路包括：禁用移动设备处的移动设备应用中的一个或更多个。列表标识多个永久未准许的移动设备应用和多个暂时未准许的移动设备应用。

在一些方面，确定移动设备应用未被准许在无线网络上使用。然后，拒绝移动设备应用接入无线网络。

这些和其他方面的实现可以包括以下特征中的一个或更多个。拒绝移动设备应用接入包括：从移动设备接收对指派无线网络资源的请求。该请求包括移动设备应用的应用标识符。响应于接收到请求，拒绝向移动设备指派无线网络资源。向移动设备发送消息。该消息指示已经拒绝向移动设备指派无线网络资源。消息指示拒绝向移动设备指派无线网络资源的原因。

此外或备选地，这些和其他方面的实现可以包括以下特征中的一个或更多个。确定移动设备应用未被准许在无线网络上使用包括：访问标识由移动设备应用访问的无线网络资源的网络使用数据。确定移动设备应用未被准许在无线网络上使用包括：将由移动设备应用访问的无线网络资源与移动设备应用的网络使用映射进行比较。基于比较，不准许移动设备应用。确定移动设备应用未被准许在无线网络上使用包括：测试移动设备应用的性能特性。基于测试，不准许移动设备应用。确定移动设备应用未被准许在无线网络上使用包括：确定移动设备应用呈现降低无线网络的性能的特性。确定移动设备应用未被准许在无线网络上使用包括：确定移动设备应用未被准许在时间段期间使用。在时间段期间拒绝移动设备应用接入无线网络。

此外或备选地，这些和其他方面的实现可以包括以下特征中的一个或更多个。拒绝移动设备应用接入包括：向移动设备发送指示移动设备应用未被准许在无线网络中使用的信息。访问标识多个未准许的移动设备应用的数据库。在包括未准许的移动设备应用列表的消息中将该信息发送到移动设备。

在一些方面，在无线网络运营商系统处接收认证请求。认证请求是从移动设备接收的，并且认证请求包括移动设备应用的应用标识符。在无线网络运营商系统处访问与移动设备应用相关联的私有数据。基于私有数据和认证请求来生成响应。发起向移动设备发送响应。

这些和其他方面的实现可以包括以下特征中的一个或更多个。认证请求包括挑战值。基于挑战值生成响应。通过由无线网络运营商操作的无线网络从移动设备接收认证请求。通过无线网络向移动设备发送响应。私有数据包括私有密钥值。根据密码挑战-响应协议生成响应。响应包括与移动设备应用相关联的公共密钥值。私有密钥值与公共密钥值相对应。

此外或备选地，这些和其他方面的实现可以包括以下特征中的一个或更多个。在接收到认证请求之前，在无线网络运营商系统处访问移动设备应用。基于移动设备应用和私有数据来生成数字证书。在接收到认证请求之前，生成包括应用标识符的数字证书。

在一些方面，在移动设备处接收信息。该信息标识移动设备应用，并且指示移动设备应用未被准许在无线网络中使用。该信息是从与无线网络相关联的无线网络运营商系统接收的。在移动设备处禁止移动设备应用接入无线网络。

这些和其他方面的实现可以包括以下特征中的一个或更多个。响应于对指派无线网络资源的请求，从无线网络接收信息。信息指示拒绝向移动设备指派无线网络资源。在移动设备处生成请求。向无线网络运营商系统发送请求。将移动设备应用的应用标识符发送到无线网络运营商系统。与请求相关联地发送应用标识符。通过将代码嵌入到随机接入信道中来发送应用标识符。通过单个信令信道来发送请求和应用标识符。通过第一信令信道发送请求，并且通过第二信令信道发送应用标识符。

此外或备选地，这些和其他方面的实现可以包括以下特征中的一个或更多个。信息包括未准许的移动设备应用列表。禁止移动设备应用接入无线网络包括：禁用移动设备上的移动设备应用。移动设备包括应用管理模块，应用管理模块访问列表并且禁用移动设备应用。应用管理模块被配置为在移动设备的表示层中操作。禁用移动设备应用包括：禁止用户访问移动设备上的移动设备应用。禁用移动设备应用包括：禁止在移动设备上运行移动设备应用。禁用移动设备应用包括：基于列表更新移动设备上的查找表格并且使用查找表格来对由移动设备处的移动设备应用生成的对网络资源的请求进行过滤。对请求进行过滤包括：将每一个请求与查找表格中的信息进行比较以确定请求是否是由未准许的移动设备应用生成的。

在一些方面，在移动设备处访问移动设备应用的应用标识符。移动设备与无线网络运营商系统进行通信，以基于应用标识符来认证移动设备应用。

这些和其他方面的实现可以包括以下特征中的一个或更多个。与无线网络运营商系统进行通信以认证移动设备应用包括向无线网络运营商系统发送认证请求。认证请求包括应用标识符和挑战值。提供的响应是从无线网络运营商系统接收的。在移动设备处根据密码挑战-响应协议来验证提供的响应。接收与移动设备应用相关联的数字证书。接收与移动设备应用相关联地数字签名。基于数字签名和数字证书来验证移动设备应用。与无线网络运营商系统进行通信包括与认证机构进行通信。

此外或备选地，这些和其他方面的实现可以包括以下特征中的一个或更多个。移动设备与无线网络运营商系统进行通信以在在移动设备处运行移动设备应用之前认证移动设备应用。移动设备与无线网络运营商系统进行通信以在在移动设备处安装移动设备应用之前认证移动设备应用。移动设备与无线网络运营商系统进行通信，以在在移动设备处安装移动设备应用之后并且在第一次使用安装的移动设备应用之前认证移动设备应用。移动设备与无线网络运营商系统进行通信，以响应于移动设备上电来认证移动设备应用。

在一些方面，在移动设备处接收信息。由与无线网络相关联的无线网络运营商系统通过无线网络向移动设备提供信息。移动设备基于信息认证无线网络运营商系统。

这些和其他方面的实现可以包括以下特征中的一个或更多个。信息包括未被准许在无线网络中使用的移动设备应用列表。响应于认证无线网络运营商系统，禁用移动设备应用中的一个或更多个。禁用移动设备应用包括：禁止用户访问移动设备上的移动设备应用或者禁止在移动设备上运行移动设备应用。认证无线网络运营商系统包括向无线网络运营商系统发送认证消息并且从无线网络运营商系统接收响应。认证消息包括挑战值。响应包括提供的响应值。认证无线网络运营商系统还包括：在移动设备处验证提供的响应值。信息包括公共密钥值。根据密码挑战-响应协议基于公共密钥值来验证响应。

因此，已经描述了主题的特性实现。其它实现在所附的权利要求的范围内。在一些情况下，权利要求中记载的动作可以以不同的顺序来执行并且仍然实现期望的结果。此外，附图中描绘的过程不一定需要所示的特定顺序或者连续顺序来实现期望的结果。在特定实现中，多任务处理和并行处理可以是有利的。