在网络上访问安全信息的制作方法
【专利摘要】本文的各实施例涉及在网络上访问安全信息。安全信息是与设备的操作系统(OS)的运行状态和/或设备的电源状态无关地根据所接收的网络上的请求被读取和/或修改。
【专利说明】在网络上访问安全信息
【背景技术】
[0001]通信各方可在计算网络上通信。例如，主机可在网络上向客户端提供服务。此外，通信各方可共享保密信息，例如，密码系统的秘钥或数字证书。有时，第一方会通过网络试图访问或修改存储在第二方的计算平台的保密信息。但是，第二方的计算平台会出现问题，从而阻止第一方访问或修改保密信息。
[0002]例如，第二方与第一方的操作系统(OS)的通信会有困难，或者，在允许远程访问保密信息之前，第一方的OS会首先请求来自用户的现场批准，例如，通过物理输入个人识别码或密码。制造商、供应商和/或用户在提供允许在网络上访问保密信息、且不包括计算平台的完整性和安全性的更有效的方法方面面临挑战。
【专利附图】
【附图说明】
[0003]下面的详细描述参照多个图，其中:
[0004]图1是访问安全信息的设备的一示例框图；
[0005]图2是在网络上访问安全信息的设备的另一示例框图；
[0006]图3是包括在网络上访问安全信息的指令的计算设备的一示例框图；
[0007]图4是在网络上访问安全信息的方法的一示例流程图。
【具体实施方式】
[0008]在下面的描述中给出了具体细节，以提供对各实施例的深入理解。但是，本领域的普通技术人员将理解，可不需要这些具体细节实施各实施例。例如，为了使各实施例不因不必要的细节而模糊，会以框图示出各系统。在其他情况下，为了避免模糊各实施例，会不显示不必要的细节地示出众所周知的过程、结构和技术。
[0009]第一方会试图在网络上访问或修改存储在第二方的计算平台的保密信息。例如，管理员或主机会试图远程更新客户端设备的保密信息或专有信息，例如，软件或数据。例如，管理员会试图用新的数字证书填入客户端设备，或清除全部已有的用户私人数据。通常，管理员会在网络上与客户端设备的操作系统(OS)通信，以访问或修改客户端设备的保密信息。
[0010]但是，客户端设备会出现问题，例如，客户端设备的OS会发生故障，或者客户端设备电源未开，从而阻止管理员访问或修改保密信息。此外，在允许远程访问保密信息之前，OS会首先请求来自用户的现场批准，例如，通过在客户端设备物理输入个人识别码或密码。此外，允许OS访问保密信息会降低客户端设备存储的保密信息的完整性和安全性。
[0011]各实施例会允许对保密信息的更多的访问，同时保持保密信息的完整性或安全性。例如，各实施例会允许在网络上访问存储在设备的保密信息，而与该设备的操作系统(OS)的运行状态以及该设备的电源状态无关。因此，即便设备电源关闭或OS发生故障，仍可例如管理、移动、更新保密信息，等。
[0012]此外，由于访问保密信息不涉及OS，会提高设备的计算平台的安全性或完整性。另夕卜，在访问保密信息之前，可不需要设备的用户实际出现，甚至可不需要通知用户，从而向使用设备的用户以及试图访问保密信息的远程通信方提供更大的便利。
[0013]现参照各图，图1是访问安全信息110的设备100的一示例框图。设备100可包括在连接至网络(未示出)的任意类型的用户设备中，例如，安全微处理器、笔记本电脑、台式电脑、一体化系统、平板计算设备、便携式阅读设备、无线电子邮件设备、移动电话，等等。在图1的实施例中，设备100包括控制模块120以及安全信息110。
[0014]控制模块120可包括例如硬件设备，该硬件设备包括实现下面描述的功能的电子电路，例如控制逻辑和/或存储器。另外或可选的，控制模块120可实现为编码在机器可读存储介质上且由处理器执行的一系列指令。
[0015]安全信息110可包括任意类型的保密信息。安全信息110的示例可包括秘钥、证书、与设备100的平台安全性相关联的信息、加密信息、用户私人数据，等等。控制模块120用于控制来自网络上的对安全信息I1的访问。此外，控制模块120用于与设备100的操作系统(OS)的运行状态和/或设备100的电源状态无关地根据所接收的网络上的请求读取安全信息110和/或修改安全信息110。
[0016]例如，即便设备100电源未开和/或设备100上的OS尚未加载或发生故障，控制模块120也可接收请求。因此，即便在设备100关闭或处于低功率状态时，控制模块120也可接收请求并修改和/或发送安全信息110。低功率状态的各示例可包括睡眠、休眠，等等。当设备100仍在启动时，OS可能尚未加载，且OS会在遇到严重错误时发生故障，例如，引起OS崩溃或冻结。
[0017]为了在设备100断电时接收请求和/或访问安全信息110，控制模块120可接收来自独立于设备100的电源(未示出)的电力。此外，控制模块120可包括允许控制模块120接收、解析并实施请求以及与网络和安全信息110的交互的软件，例如其自身的OS和/或应用。在一个实施例中，控制模块120的软件还可实施在网络层的操作，例如，开放系统互连(OSI)模型或互联网协议模型的第三层。如关于图2在下面更详细的解释的，在网络层，控制模块120能够与网络中的元件(未示出)通信。
[0018]图2是在网络250上访问安全信息110的设备200的另一示例框图。设备200可包括在连接至网络的任意类型的用户设备中，例如，安全微处理器、笔记本电脑、台式电脑、一体化系统、平板计算设备、便携式阅读设备、无线电子邮件设备、移动电话，等等。在图2的实施例中，设备200包括安全模块210、控制模块220、网络控制器230以及0S240。
[0019]图2的控制模块220可类似于图1的控制模块120。网络250包括网络元件252。网络元件252的示例包括主机、路由器、交换机、网关、域控制器、服务器，等等。网络控制器230可为连接至网络的任意类型的设备，例如，网络接口卡。例如，网络控制器230可包括使用物理层和数据链路层标准(例如，以太网、W1-F1、令牌环网等等)通信的电子电路。为了在设备200断电时运行，网络控制器230可接收来自独立于设备200的电源(未示出)的电力。
[0020]在图2中，网络控制器230可将设备200 (包括控制模块220)连接至网络250。控制模块220可通过网络控制器230与网络元件252通信，以接收来自网络元件252的请求和/或向网络元件252发送信息。网络元件252和控制模块220可通过管理协议通信，例如，网络服务管理(WS-管理)、简单网络管理协议(SNMP)，等等。
[0021]安全模块210用于存储安全信息110。安全模块210可为机器可读存储介质的一部分，例如，任意类型的电的、磁的、光的、或能够存储数据或指令这样的信息的其他物理存储设备。机器可读存储介质的示例包括随机存取存储器(RAM)、电可擦可编程只读存储器(EEPROM)、存储设备、光盘只读存储器(CD-ROM)，等等。此外，安全模块210还可为像可信平台模块(TPM)这样的安全处理器的一部分，像管理程序或OS这样的软件的一部分，基本输入/输出系统(B1S)(未不出)的一部分，和/或控制模块220的一部分。
[0022]根据通过网络元件252在网络250上接收的请求，控制模块220从安全模块210读取，和/或向安全模块210写入。在一个实施例中，安全模块210可为0S240不可见的和/或不可访问的。因此，通过减少会访问安全信息110的组件的数量，可提高安全信息110的安全性。
[0023]在控制模块220实施接收的请求之前，控制模块220可首先验证网络元件252是可信方。术语可信方可指授权访问和/或修改安全信息110的任意方。例如，网络元件252可通过以数字证书的形式发送其身份证明来向设备200验证其身份，其中，数字证书可包括网络元件252的名字、可信认证机构(CA)和/或网络元件252的加密秘钥。然后，控制模块220可在继续之前联系CA以确认数字证书的合法性。随着认证网络元件252的身份，控制模块220可实施网络元件252访问和/或修改安全信息110的请求。
[0024]例如，控制模块可读取安全信息110的至少一部分，并向网络元件252发送安全信息I1的至少一部分，清除安全信息110的至少一部分，和/或将接收的来自网络元件252的新的信息向安全模块210写入，作为安全信息110的至少一部分。网络元件252可例如由管理员控制，以远程更新、移动或管理安全信息110。
[0025]此外，设备200还可在网络元件252向设备200验证其身份之前或之后，向网络元件252验证其身份。例如，在网络元件252向设备200发送任意保密信息(例如，将要存储在安全模块210的信息)之前，网络元件252请求设备200确认其身份。此外，在读取安全信息110之前，网络元件252会试图确认设备200的身份。
[0026]控制模块220可例如发送数字证书、全局唯一标识符(⑶ID)、MAC地址等，以向网络元件252认证其身份。此外，控制模块220可独立于使用设备200的用户而向网络元件252传送设备200的身份。控制模块220可实施任意上述操作，例如，与网络元件252和/或安全模块210通信，不需要通知用户。因此，在网络元件252试图访问安全信息110时，不会打扰设备200的用户。另外，通过在访问安全信息110之前等待用户的动作，网络元件252不会造成不便。此外，由于访问安全信息110不涉及0S240，会提高设备200的计算平台的安全性或完整性。
[0027]可利用为了安全性的安全连接实施上述验证身份和/或在网络250上发送安全信息的过程，例如，通过利用加密协议。加密协议的示例包括传输层安全(TLS)、安全套接层
(QQ] \ 坐坐\OOL-/，ο
[0028]在一个实施例中，控制模块220可沿单独的通信信道与网络控制器230通信，例如，0S240不可访问的、总是可用的带外通信信道。虽然示出控制模块220是单独的，各实施例可具有包括在例如B1S中的控制模块220。可选地，管理程序(未示出)可运行控制模块202和0S210。因此，与设备的0S240的运行状态和/或设备200的电源状态无关，各实施例均允许访问安全信息110。
[0029]图3是包括在网络上访问安全信息的指令的计算设备300的一示例框图。在图3的实施例中，计算设备300包括处理器310、机器可读存储介质320、网络控制器330以及安全信息340。图3的网络控制器330和安全信息340可分别类似于图2的网络控制器230以及图1和图2的安全信息110。机器可读存储介质320进一步包括在网络上访问安全信息的指令322、324以及326。
[0030]计算设备300可为例如芯片组、笔记本电脑、平板计算设备、便携式阅读设备、无线电子邮件设备、移动电话、或能够执行指令322、324和326的任意其他类型的用户设备。在某些示例中，计算设备300可包括或连接至另外的组件，例如，存储器、传感器、显示器，
坐坐寸寸ο
[0031]处理器310可为至少一个中央处理器(CPU)、至少一个基于半导体的微处理器、至少一个图形处理器(GPU)、适用于获取及执行存储在机器可读存储介质320中的指令的其他硬件设备、或其组合。处理器310可提取、解码和执行指令322、324以及326，以实现在网络上的安全信息访问。作为可选的或除获取并执行指令以外，处理器310可包括至少一个集成电路(IC)、其他控制逻辑、其他电子电路、或包括执行指令322、324和326的功能的多个电子元件的组合。
[0032]机器可读存储介质320可为任意电的、磁的、光的、或包含或存储可执行指令的其他物理存储设备。因此，机器可读存储介质320可为例如随机存取存储器(RAM)、电可擦可编程只读存储器(EEPROM)、存储设备、光盘只读存储器(⑶-R0M)，等等。因此，机器可读存储介质320可为非临时性的。如下面详细描述的，机器可读存储介质320可编码有在网络上访问安全信息的一系列可执行指令。
[0033]此外，当由处理器(例如，通过处理器的一个处理元件或多个处理元件)执行时，指令322、324以及326可使处理器执行例如图4的过程那样的过程。例如，可由处理器310执行接收指令322，以不依赖于设备200的电源状态，和/或设备300的操作系统(OS)(未示出)的运行状态，接收来自网络(未示出)上的网络元件(未示出)的请求。请求涉及访问设备300的安全信息110。可沿与OS用于在网络上通信的第二通信信道(未示出)分离的第一通信信道(未示出)，从网络上的网络元件接收请求。
[0034]可由处理器310执行确定指令324，以确定发送请求的网络元件的身份。上面关于图1和图2提供了确定身份的示例。可由处理器310执行授权指令326，以根据所确定的身份授权访问设备300的安全信息110。例如，如果所确定的身份被认为是具有访问安全信息的许可的身份，设备300可授权访问。可将所确定的身份与设备300的内部数据库(未示出)和/或外部认证机构(CA)作比较。安全信息340的示例包括秘钥、证书和/或与设备300的平台安全性相关联的信息。
[0035]图4是在网络上访问安全信息的方法400的一示例流程图。尽管下面参照设备200描述方法400的执行，还可使用执行方法400的其他合适的组件，例如，设备100。此外，执行方法400的组件可覆盖多个设备(例如，与输入和输出设备通信的处理设备)。在某些场景中，协作的多个设备可被认为是执行方法400的一个设备。方法400可实现为存储在机器可读存储介质(例如存储介质320)上的可执行指令的形式，和/或实现为电子电路的形式。
[0036]在方框405，设备200接收网络250上的访问具有安全信息110的安全模块210的请求。安全信息I1包括秘钥、证书以及与设备200的平台安全性相关联的信息中至少之一。接下来，在方框410，设备200确认发送请求的网络250的网络元件252的身份。然后，与设备的电源状态无关，在方框415，设备200根据该确认接受请求。此外，与在设备200上运行的0S240的运行状态无关，在方框415，设备200还根据该确认接受请求。例如，如果确认网络元件252的身份为具有访问安全信息110的许可的身份，设备200接受请求。如上面关于图1和图2解释的，所述请求是通过网络250上的管理协议从网络元件252接收的。
[0037]根据前面的描述，各实施例提供一种允许对设备的安全信息的更多的访问，同时保持安全信息的完整性或安全性的方法和/或设备。例如，各实施例可允许不依赖于设备的OS和/或设备的电源状态，在网络上进行安全信息的管理、移动、更新等。
【权利要求】
1.一种设备包括: 控制模块，用于控制来自网络上的对安全信息的访问，其中， 所述控制模块与所述设备的操作系统(OS)的运行状态和/或所述设备的电源状态无关地根据所接收的所述网络上的请求，读取所述安全信息和/或修改所述安全信息。
2.根据权利要求1所述的设备，进一步包括: 安全模块，用于存储所述安全信息，其中， 所述控制模块根据接收的所述网络上的所述请求从所述安全模块读取和/或向所述安全模块写入。
3.根据权利要求2所述的设备，其中，所述安全模块为所述OS不可见的，和/或所述OS不能访问的。
4.根据权利要求2所述的设备，进一步包括: 网络控制器，用于将所述设备连接至网络，其中， 所述控制模块通过所述网络控制器接收所述网络上的所述请求。
5.根据权利要求4所述的设备，其中，所述控制模块沿一通信信道与所述网络控制器和所述安全控制器通信，而不依赖于操作系统(OS)状态和/或所述设备的电源状态。
6.根据权利要求4所述的设备，进一步包括: 网络元件，用于向所述设备认证所述网络元件的身份，和/或通过所述控制模块在网络上修改所述安全信息。
7.根据权利要求6所述的设备，其中，所述控制模块独立于使用所述设备的用户向所述网络元件传送所述设备的所述身份。
8.根据权利要求6所述的设备，其中，所述网络元件和所述控制模块通过管理协议通?目。
9.根据权利要求1所述的设备，其中，所述安全信息包括秘钥、证书以及与所述设备的平台安全性相关联的信息中至少之一。
10.根据权利要求1所述的设备，其中，所述控制模块包括在基本输入/输出系统(B1S)和管理程序中的至少一个中。
11.一种方法，包括: 接收网络上的访问具有安全信息的安全模块的请求，所述安全信息包括秘钥、证书以及与设备的平台安全性相关联的信息中至少之一； 确认发送所述请求的所述网络的网络元件的身份；以及 根据所述确认，接收所述请求，其中， 所述请求是与所述设备的电源状态无关地被接收的。
12.根据权利要求11所述的方法，其中， 所述请求是与所述设备上运行的操作系统的运行状态无关地被接收的，以及 所述请求是通过所述网络上的管理协议从网络元件接收的。
13.一种非临时性计算机可读存储介质，存储指令，所述指令如果由设备的处理器执行，则使所述处理器: 不依赖于所述设备的电源状态和/或所述设备的操作系统(OS)的运行状态，接收来自网络上的网络元件的请求，所述请求涉及访问所述设备的安全信息；确定发送所述通信的所述网络元件的身份；以及 根据所确定的身份，授权访问所述设备的安全信息。
14.根据权利要求13所述的非临时性计算机可读存储介质，其中，所述安全信息包括秘钥、证书以及与所述设备的平台安全性相关联的信息中至少之一。
15.根据权利要求13所述的非临时性计算机可读存储介质，其中，所述请求是沿第一通信信道从所述网络上的所述网络元件接收的，所述第一通信信道与所述OS用于在所述网络上通信的第二通信信道分离。
【文档编号】G06F21/62GK104054315SQ201280066973
【公开日】2014年9月17日 申请日期:2012年1月30日 优先权日:2012年1月30日
【发明者】克里斯托弗·J·格雷姆 申请人:惠普发展公司，有限责任合伙企业