基于加密的數(shù)據(jù)訪問管理的制作方法
【專利說明】
[0001] 相關(guān)申請(qǐng)的交叉引用
[000引 本申請(qǐng)要求2012年12月12日提交的題為"Enciyption-BasedDataAccess Management(基于加密的數(shù)據(jù)訪問管理）"的13/712, 333號(hào)美國(guó)專利申請(qǐng)的優(yōu)先權(quán)。前述 申請(qǐng)的全部?jī)?nèi)容通過引用并入本文用于各種目的。
技術(shù)領(lǐng)域
[0003] 本公開的各方面整體上設(shè)及數(shù)據(jù)存儲(chǔ)和訪問管理。
【背景技術(shù)】
[0004] 許多企業(yè)、公司、組織和其他實(shí)體保持大量的數(shù)據(jù)。該種數(shù)據(jù)的大部分或全部可W 包括敏感信息，諸如商業(yè)機(jī)密、業(yè)務(wù)方法、客戶信息或其他此類數(shù)據(jù)。各公司往往希望通過 限制對(duì)"按需知密"數(shù)據(jù)的訪問來保護(hù)此類數(shù)據(jù)。大規(guī)模保持?jǐn)?shù)據(jù)可能有時(shí)候是困難和昂 貴的。而且，隨著經(jīng)濟(jì)全球化，各組織可能有從世界各地訪問數(shù)據(jù)的承包商、員工或其他人。 使此類數(shù)據(jù)在廣域網(wǎng)諸如互聯(lián)網(wǎng)上可得到，向員工和其他人提供訪問數(shù)據(jù)的改進(jìn)便利，但 是增加了安全風(fēng)險(xiǎn)。黑客、屯、懷不滿的員工或者其他流巧個(gè)人可能試圖攻擊、危及甚至僅僅 訪問敏感數(shù)據(jù)。

【發(fā)明內(nèi)容】

[0005] 所描述的是使用加密提供數(shù)據(jù)訪問管理的示例實(shí)施例、特征和其他方面。在一個(gè) 示例實(shí)施例中，加密數(shù)據(jù)被存儲(chǔ)在數(shù)據(jù)存儲(chǔ)服務(wù)器上。計(jì)算裝置由希望訪問加密數(shù)據(jù)的用 戶使用。計(jì)算裝置向數(shù)據(jù)存儲(chǔ)服務(wù)器傳送用戶的認(rèn)證憑證。數(shù)據(jù)存儲(chǔ)服務(wù)器向域服務(wù)器認(rèn) 證用戶，并確定用戶的域組成員身份。數(shù)據(jù)存儲(chǔ)服務(wù)器向計(jì)算裝置傳送驗(yàn)證令牌。隨后，計(jì) 算裝置向一個(gè)或多個(gè)密鑰倉庫服務(wù)器（例如，兩個(gè)，立個(gè)，五個(gè)，十個(gè)等）傳送該驗(yàn)證令牌。 每個(gè)密鑰倉庫服務(wù)器與數(shù)據(jù)存儲(chǔ)服務(wù)器確認(rèn)計(jì)算裝置被認(rèn)證到數(shù)據(jù)存儲(chǔ)服務(wù)器W及用戶 或裝置具有適當(dāng)訪問權(quán)限，隨后傳送解密密鑰或秘密。計(jì)算裝置使用從第一密鑰倉庫服務(wù) 器收到的第一解密密鑰或秘密和從第二密鑰倉庫服務(wù)器收到的第二解密密鑰或秘密來生 成解密密鑰。所生成的解密密鑰隨后用于解密所加密的數(shù)據(jù)。因此，解密密鑰管理可W與 數(shù)據(jù)存儲(chǔ)分別處理。因此，在某些示例中，為了訪問未加密形式的數(shù)據(jù)，可能需要訪問密鑰 倉庫服務(wù)器。
[0006] 本公開的各個(gè)示例實(shí)施例、方面和特征的細(xì)節(jié)在下面的附圖和描述中闡述。
【附圖說明】
[0007] 通過結(jié)合附圖參考下列描述，前述和其他目標(biāo)、方面、特征和優(yōu)點(diǎn)將變得更加明顯 和易于理解，其中：
[000引圖1是根據(jù)本文所述的各方面的具有與服務(wù)器通信的客戶機(jī)的遠(yuǎn)程訪問的聯(lián)網(wǎng) 環(huán)境的實(shí)施例的示意框圖；
[0009] 圖2是根據(jù)本文所述的各方面的說明用于數(shù)據(jù)訪問管理的認(rèn)證過程的框圖；
[0010] 圖3示出根據(jù)本文所述的各方面的加密文件和未加密文件的示例結(jié)構(gòu)；
[0011] 圖4是根據(jù)本文所述的各方面說明在數(shù)據(jù)存儲(chǔ)服務(wù)器與計(jì)算裝置之間的示例數(shù) 據(jù)同步過程的流程圖；
[0012] 圖5是根據(jù)本文所述的各方面說明計(jì)算裝置通過其訪問加密數(shù)據(jù)的示例過程的 流程圖；
[0013] 圖6是根據(jù)本文所述的各方面說明計(jì)算裝置利用多個(gè)密鑰倉庫服務(wù)器訪問加密 數(shù)據(jù)的示例過程的流程圖；
[0014] 圖7是根據(jù)本文所述的各方面說明數(shù)據(jù)存儲(chǔ)服務(wù)器認(rèn)證用于數(shù)據(jù)訪問的計(jì)算裝 置的示例過程的流程圖；
[0015] 圖8是根據(jù)本文所述的各方面說明密鑰倉庫服務(wù)器與計(jì)算裝置交互用于數(shù)據(jù)訪 問管理的示例過程的流程圖；W及
[0016] 圖9是根據(jù)本文所述的各方面說明用于刪除存儲(chǔ)在客戶端裝置上的安全數(shù)據(jù)的 示例過程的流程圖。
[0017] 當(dāng)結(jié)合附圖時(shí)，本公開的各方面的特征和優(yōu)點(diǎn)將從下面闡述的詳細(xì)描述變得顯而 易見，其中，相同的參考字符識(shí)別所有附圖中的對(duì)應(yīng)元件。在附圖中，相同的編號(hào)通常指示 唯一的、功能相似或結(jié)構(gòu)相似的元件。
【具體實(shí)施方式】
[0018] 在具有移動(dòng)計(jì)算裝置的遠(yuǎn)程或移動(dòng)用戶的企業(yè)或公司中，允許用戶遠(yuǎn)程訪問安全 數(shù)據(jù)是被期望的。對(duì)于具有大量員工或客戶的企業(yè)來說，要被管理的數(shù)據(jù)量可能非常大，從 而導(dǎo)致存儲(chǔ)裝置的高成本W(wǎng)及極端復(fù)雜或錯(cuò)綜復(fù)雜的數(shù)據(jù)管理程序。
[0019] 因此，本文討論的各方面提供與加密數(shù)據(jù)存儲(chǔ)分離的加密密鑰的存儲(chǔ)和管理。例 如，公司（或其他實(shí)體）可W從基于云的存儲(chǔ)供應(yīng)商諸如加利福巧亞州舊金山的DROPBOX 公司租用或購(gòu)買大量的存儲(chǔ)空間。而且，在一些環(huán)境中，基于云的存儲(chǔ)服務(wù)器可W位于公司 或?qū)嶓w域之外。存儲(chǔ)在DROPBOX服務(wù)器上的數(shù)據(jù)被加密，但是DROPBOX管理員或員工沒有 對(duì)解密密鑰的權(quán)限。由希望保護(hù)加密數(shù)據(jù)的安全的公司控制的一個(gè)或多個(gè)密鑰倉庫服務(wù)器 存儲(chǔ)或管理解密密鑰。該公司可W保持兩個(gè)或多于兩個(gè)密鑰倉庫服務(wù)器，每個(gè)密鑰倉庫服 務(wù)器提供解密密鑰的一部分。因此，如果有兩個(gè)密鑰倉庫服務(wù)器，為了訪問加密文件，用戶 必須訪問第一密鑰和第二密鑰，第一密鑰和第二密鑰組合形成用于解密數(shù)據(jù)的加密密鑰。 因此，黑客或其他未授權(quán)的用戶將被要求獲得加密數(shù)據(jù)W及來自多個(gè)密鑰倉庫服務(wù)器的加 密密鑰。因此，在某些示例中，與數(shù)據(jù)存儲(chǔ)分離保持解密密鑰可W增加加密的公司數(shù)據(jù)的安 全和保護(hù)程度，并且各公司可W通過使用基于云的存儲(chǔ)解決方案來降低他們的數(shù)據(jù)存儲(chǔ)成 本。
[0020] 另外或另選地，某些現(xiàn)有的解決方案假設(shè)用戶的機(jī)器是公司資產(chǎn)和是公司或其他 組織域的成員，并利用域管理特性和策略。因此，該些解決方案需要用戶的機(jī)器是該域中的 成員。例如，華盛頓雷德蒙的微軟公司的B口LOCKER在與用戶相關(guān)聯(lián)的活動(dòng)目錄空間中存 儲(chǔ)用于加密數(shù)據(jù)的密鑰信息。由于域管理員"受信任"，任何域管理員可W訪問管理員想要 訪問的任何加密數(shù)據(jù)的密鑰。但是某些實(shí)體可能不想每個(gè)域管理員具有訪問系統(tǒng)中的所有 加密數(shù)據(jù)的權(quán)限。因此，在該域內(nèi)，不同級(jí)別管理員可w有不同數(shù)據(jù)訪問權(quán)等級(jí)。本文所述 的各方面提供實(shí)施域管理員的不同級(jí)別的能力。
[0021] 在討論基于文件的加密密鑰管理的細(xì)節(jié)之前，下列描述提供可W結(jié)合各個(gè)方面 來使用的示例性計(jì)算環(huán)境的概述。圖1示出計(jì)算環(huán)境的示例實(shí)施例，該計(jì)算環(huán)境包括與 一個(gè)或多個(gè)服務(wù)器106A-106N(本文通稱為"服務(wù)器106")通信的一個(gè)或多個(gè)客戶端機(jī)器 102A-102N(本文通稱為"客戶端機(jī)器102")。安裝在客戶端機(jī)器102與服務(wù)器106之間的 是網(wǎng)絡(luò)104。
[0022] 在一個(gè)實(shí)施例中，計(jì)算環(huán)境100可W包括安裝在服務(wù)器106與客戶端機(jī)器102之 間的設(shè)備。該個(gè)設(shè)備可W管理客戶端/服務(wù)器連接，并且在某些情況下可W負(fù)載均衡多個(gè) 后端服務(wù)器之間的客戶端連接。
[0023] 在某些示例中，客戶端機(jī)器102可W被稱為單個(gè)客戶端機(jī)器102或單組客戶端機(jī) 器102,而服務(wù)器106可W被稱為單個(gè)服務(wù)器106或單組服務(wù)器106。在一個(gè)實(shí)施例中，單 個(gè)客戶端機(jī)器102與一個(gè)W上服務(wù)器106通信，而在另一實(shí)施例中，單個(gè)服務(wù)器106與一個(gè) W上客戶端機(jī)器102通信。在又一實(shí)施例中，單個(gè)客戶端機(jī)器102與單個(gè)服務(wù)器106通信。
[0024] 在某些示例中，客戶端機(jī)器102可W被稱為下列術(shù)語中的任意一個(gè)；客戶端機(jī)器 102 ;客戶端；客戶端計(jì)算機(jī)；客戶端裝置；客戶端計(jì)算裝置；本地機(jī)器；遠(yuǎn)程機(jī)器；客戶端 節(jié)點(diǎn)；端點(diǎn)；端部節(jié)點(diǎn)；或第二機(jī)器。在某些實(shí)施例中，服務(wù)器106可W被稱為下列術(shù)語中 的任意一個(gè)；服務(wù)器，本機(jī)機(jī)器；遠(yuǎn)程機(jī)器；服務(wù)器群，主機(jī)計(jì)算裝置，或第一機(jī)器。
[0025] 在一個(gè)實(shí)施例中，客戶端機(jī)器102可W是虛擬機(jī)。該虛擬機(jī)可W是任何虛擬機(jī)，而 在某些實(shí)施例中，該虛擬機(jī)可W是通過XENSOLUTIONS、Citrix系統(tǒng)、IBM、VMware開發(fā)的系 統(tǒng)管理程序或任何其他系統(tǒng)管理程序管理的任何虛擬機(jī)。在其他實(shí)施例中，虛擬機(jī)可W由 任何系統(tǒng)管理程序來管理，而在其他實(shí)施例中，虛擬機(jī)可W通過在服務(wù)器106上執(zhí)行的系 統(tǒng)管理程序或在客戶端102上執(zhí)行的系統(tǒng)管理程序來管理。
[0026] 在某些實(shí)施例中，客戶端機(jī)器102可W執(zhí)行、運(yùn)行或W其他方式提供可W是下列 中的任意一個(gè)的應(yīng)用；軟件；程序；可執(zhí)行指令；虛擬機(jī)；系統(tǒng)管理程序；網(wǎng)頁瀏覽器；基于 網(wǎng)頁的客戶端；客戶端-服務(wù)器應(yīng)用；産客戶端計(jì)算客戶端；ActiveX控件Java小應(yīng)用程 序；類似于軟IP電話的與互聯(lián)網(wǎng)協(xié)議（Vol巧上的語音通信相關(guān)的軟件；用于流傳輸視頻 和/或音頻的應(yīng)用；為便于實(shí)時(shí)數(shù)據(jù)通信的應(yīng)用；HTTP客戶端；FTP客戶端；Oscar(奧斯 卡）客戶端；Telnet客戶端；或任何其他可執(zhí)行指令集。某些實(shí)施例還可W包括顯示由在 服務(wù)器106或其他定位在遠(yuǎn)端的機(jī)器上遠(yuǎn)程執(zhí)行的應(yīng)用所生成的應(yīng)用輸出的客戶端裝置 102。在該些實(shí)施例中，客戶端裝置102可W在應(yīng)用窗口、瀏覽器或其他輸出窗口中顯示應(yīng) 用輸出。在一個(gè)實(shí)施例中，應(yīng)用是桌面，而在其他實(shí)施例中，應(yīng)用是生成桌面的應(yīng)用。桌面 可W包括提供用于操作系統(tǒng)的實(shí)例的用戶界面的圖形殼，本地和/或遠(yuǎn)程應(yīng)用可W被集成 到該圖形殼中。如本文所使用的應(yīng)用是在操作系統(tǒng)的實(shí)例及，可選地，也包括桌面）已 被加載后執(zhí)行的程序。每個(gè)操作系統(tǒng)的實(shí)例可W是物理的（例如，每個(gè)裝置一個(gè)操作系統(tǒng)） 或虛擬的（例如，在單個(gè)裝置上運(yùn)行的許多0S實(shí)例）。每個(gè)應(yīng)用可W在本地裝置上執(zhí)行，或 在位于遠(yuǎn)端的裝置（例如，遠(yuǎn)程的）上執(zhí)行。應(yīng)用可多種方式定位在遠(yuǎn)端。在一個(gè)示 例中，應(yīng)用可WW無縫方式被定位在遠(yuǎn)端，在該無縫方式中，窗口在客戶端裝置上形成，W 便使得應(yīng)用顯示似乎是在客戶端裝置及其桌面上本地運(yùn)行。在另一示例中，可WW桌面模 式提供遠(yuǎn)程應(yīng)用，其中桌面遠(yuǎn)程到客戶端裝置，該應(yīng)用顯示為在遠(yuǎn)程桌面上執(zhí)行的應(yīng)用。各 種其他遠(yuǎn)程方法和技術(shù)也可W被實(shí)施或使用。
[0027] 在某些實(shí)施例中，服務(wù)器106可W執(zhí)行使用瘦客戶端或遠(yuǎn)程顯示協(xié)議采集由在服 務(wù)器106上執(zhí)行的應(yīng)用生成的顯示輸出并向遠(yuǎn)程客戶端102傳送應(yīng)用顯示輸出的遠(yuǎn)程呈現(xiàn) 客戶端或其他客戶端或程序。瘦客戶端或遠(yuǎn)程顯示協(xié)議可W是下列協(xié)議中的任意一個(gè)；通 過佛羅里達(dá)州勞德代爾堡的CitrixSystems公司開發(fā)的獨(dú)立計(jì)算架構(gòu)（ICA)協(xié)議；或通過 華盛頓雷德蒙德的微軟公司開發(fā)的遠(yuǎn)程桌面協(xié)議（RD巧。
[0028] 計(jì)算環(huán)境100可W包括一個(gè)W上服務(wù)器106A-106N，使得服務(wù)器106A-106N-起 被邏輯分組到服務(wù)器群106中。服務(wù)器群106可W包括地理分散但一起被邏輯分組在服務(wù) 器群106中的服務(wù)器106,或彼此位置接近但一起被邏輯分組在服務(wù)器群106中的服務(wù)器 106。在某些示例中，服務(wù)器群106內(nèi)的地理分散服務(wù)器106A-106N可W使用WAN、MAN或LAN 通信，其中不同的地理區(qū)可W被表征為；不同大洲；洲的不同區(qū)域；不同國(guó)家；不同州；不同 城市；不同校區(qū)；不同房間；或前述地理位置的任何組合。在某些實(shí)施例中，服務(wù)器群106可 W作為單一實(shí)體來管理，而在其他實(shí)施例中，服務(wù)器群106可W包括多個(gè)服務(wù)器群106。
[0029] 在某些示例中，服務(wù)器群106可W包括執(zhí)行大致相似類型操作系統(tǒng)平臺(tái)（例如，由 華盛頓州雷德蒙德的微軟公司開發(fā)的WINDOWS,UNIX,LINUX,或SNOWLEOPA畑）的服務(wù)器 106。在其他實(shí)施例中，服務(wù)器群106可W包括執(zhí)行第一類型操作系統(tǒng)平臺(tái)的第一服務(wù)器群 106和執(zhí)行第二類型操作系統(tǒng)平臺(tái)的第二服務(wù)器群106。在其他實(shí)施例中，服務(wù)器群106可 W包括執(zhí)行不同類型操作系統(tǒng)平臺(tái)的服務(wù)器106。
[0030] 在某些示例中，服務(wù)器106可W是任何服務(wù)器類型。例如，服務(wù)器106可W是下列 服務(wù)器類型中的任何一個(gè)；文件服務(wù)器；應(yīng)用服務(wù)器；網(wǎng)頁服務(wù)器；代理服務(wù)器；設(shè)備；網(wǎng) 絡(luò)設(shè)備；網(wǎng)關(guān)；應(yīng)用網(wǎng)關(guān)；網(wǎng)關(guān)服務(wù)器；虛擬服務(wù)器；部署服務(wù)器；S化VPN服務(wù)器；防火墻； 網(wǎng)頁服務(wù)器；應(yīng)用服務(wù)器或被配置為主應(yīng)用服務(wù)器；執(zhí)行動(dòng)態(tài)目錄的服務(wù)器106 ;或提供防 火墻功能、應(yīng)用功能或負(fù)載平衡功能的執(zhí)行應(yīng)用加速程序的服務(wù)器106。在某些實(shí)施例中， 服務(wù)器106可W是包括遠(yuǎn)程認(rèn)證撥號(hào)用戶服務(wù)的RADIUS服務(wù)器。在服務(wù)器106包括設(shè)備 的實(shí)施例中，服務(wù)器106可W是由下列制造商中的任意一個(gè)制造的設(shè)備；Citrix應(yīng)用聯(lián)網(wǎng) 組；SilverPeakSystems公司；RiverbedTechnology公司；FSNetworks公司；或Juniper