何合适的信息。另外，消息、请求、响应、回复、查询等可W是网络流的形式。
[0024] 客户机设备(诸如，客户机设备130)旨在表示可W用于在网络环境中发起网络通 信并且可W从其传递私有数据的任何类型的计算设备。在一些实施例中，客户机设备可W 与希望经由某个网络而在网络环境100中建立网络会话的最终用户相关联。术语"客户机设 备"还旨在包括在不具有用户交互的情况下在网络环境中与服务器通信的任何类型的计算 设备(例如，自动地通过网络向服务认证的嵌入式控制器、具有自动地通过网络向服务认证 的客户机应用的计算设备）。客户机设备可w包括但不限于，工作站、终端、膝上型计算机、 台式计算机、平板、游戏系统、移动设备、智能电话、智能传感器、信息娱乐系统、嵌入式控制 器、智能应用、全球定位系统(GPS)或能够在网络换机100内发起语音、音频、视频、媒体或数 据交换的任何其他设备、组件或元件。在一些实施例中，客户机设备130还可W包括至人类 用户的合适的接口（例如，用户接口 137)，诸如，显示器、键盘、触摸板、遥控器、其他终端设 备或上述各项的任何合适的组合。
[0025]代理(诸如，代理140)是充当客户机设备与web服务器(或其他计算设备或系统)之 间的通信的中介。如本文中所使用，术语"网络元件"旨在涵盖路由器、交换机、网关、桥、负 载均衡器、防火墙、内联服务节点、代理、服务器、处理器、模块、SDN控制器/交换机或可操作 W在网络环境中交换信息的任何其他合适的设备、组件、元件或专属电器。此网络元件可W 包括促进其操作的任何合适的硬件、软件、固件、组件、模块、接口或对象。运可W包括允许 数据或信息的有效交换的适当的算法和通信协议。代理140可W被包括到任何网络元件中。 [00%] 在一些实施例中，如图1中所示，代理140可W与客户机设备130分开，并且在适当 的情况下且基于特定的需要，可W在客户机设备130与服务器120之间的任何地方实现代理 140。如果在与客户机设备130分开的设备中实现代理140,则代理140的代码可W在安全环 境中操作W保护响应于来自服务器120的对私有数据的请求而提供的私有数据。
[0027]在示例实现方式中，代理140可W是受保护的企业网络中的安全路由器或网关。代 理140可W配置成用于拦截受保护企业网络内的服务器与多个客户机设备之间的在途中的 (en route)网络流。代理140可W配置成用于例如经由互联网而连接到服务器120。在另一 示例中，可W在家庭网络的安全路由器中实现代理140。代理140可W配置成用于拦截家庭 网络中的客户机设备（例如，客户机设备130)与可经由网络(诸如，互联网）访问的服务器 (例如，服务器120)之间的在途中的网络流。在又一实现方式中，代理140可W在受信任的云 中实现。发起到服务器120的连接的客户机设备可W首先经由互联网而连接到代理140。因 此，代理140可W保护多个客户机设备的私有数据免受各种网络（例如，企业网络、家庭网 络、学校网络等)和独立式客户机设备(例如，使用蜂窝技术的移动设备、使用无线技术的移 动设备等）的影响。本文中提供的示例仅说明代理140的可能的实现方式，并且不旨在限制 本公开的广泛教导W及本文中公开的实施例的潜在应用和其他实现方式。
[00%]在至少一个示例中，如本文中所概述，代理140包括用于实现(或促成)私有数据保 护的软件。运些元件中的每一个都可W具有用于促进本文中描述的操作中的一些操作的内 部结构(例如，处理器、存储器元件等）。在其他实施例中，运些私有数据保护可W在运些元 件外部实现，或可被包括在某个其他网络元件中W实现运个预期的功能。或者，代理140可 W包括可W与其他网络元件协调W实现本文中概述的操作的运个软件(或往复式软件）。在 又一些实施例中，一个或若干个设备可W包括促进其操作的任何合适的算法、硬件、软件、 固件、组件、模块、接口或对象。
[0029]服务器(诸如，图1中的服务器120)是可W通过一个或多个网络(诸如，网络110)来 将服务提供给客户机设备或其他计算设备的网络元件。由服务器120提供的服务可W配置 成用于请求私有数据(诸如，向服务认证所需的证书）。服务122可W包括例如，访问各种资 源或账户（例如，金融、医疗、零售、组织、商业等等）、文件传输、电子邮件、web内容等。在至 少一些实施例中，服务器120可W包括但不限于:递送web内容的web服务器、当被请求时将 文件传输至客户机设备的文件传输服务器、用于将电子邮件消息从客户机设备传输到目的 地的电子邮件服务器、用于访问新闻组的新闻服务器、用于提供交互式游戏的游戏服务器、 用于提供对应用和/或数据的访问的应用服务器、或上述各项的任何组合。
[0030] 代理140是包括配置成用于保护已经被指定为私有的数据的一个或多个模块的安 全代理。数据存储可W配置为与一个或多个网络代理设备(agent)相关联的私有数据的储 存库。如本文中所使用，术语"网络代理设备"旨在包括用户、客户机应用W及客户机设备。 当数据被存储在数据存储145中时，此数据被指定为私有的。在至少一些实施例中，除了与 至少一个网络代理设备相关联之外，私有数据还可W与至少一个服务(及其对应的服务器） "相关联"。数据存储145中的私有数据项(或私有数据项集合)可W被映射到特定服务的一 个或多个标识符W指示其与服务的关联。运些标识符可W包括但不限于，服务器的域名、月良 务的统一资源定位符化化）（例如，HTML网页的URL)、服务器的网络地址，等等。私有数据项 (或私有数据项集合)还可W被映射到一个或多个网络代理设备的标识符W指示其与运一 个或多个网络代理设备的关联。运些标识符可W包括但不限于，客户机设备标识符(诸如， 介质访问控制(MAC)地址）、用户标识符(诸如，安全标识符(SID))、客户机应用标识符(诸 如，文件名）等等。私有数据项集合的示例可W是用于由特定的用户在一个或多个特定的客 户机设备上访问特定的服务的用户名和密码。多个私有数据项集合可W与相同的（多个)网 络代理设备相关联，其中，每一个私有数据项集合与不同的服务相关联。单独的私有数据项 还可W与指示此项表示什么类型的私有数据(例如，用户名、密码、通行短语、账号、个人标 识号(PIN)、安全问题答案等)的任何合适的描述符或标记相关联。
[0031] 在至少一些实施例中，可W使用任何合适的映射、标记或链接技术(例如，列表、 表、关联阵列、指针、索引、图形、链表、文件名、关系型数据库、散列表，等等)或表示私有数 据项与标识符之间的关联、连接或链接的任何其他技术或机制来将服务和/或网络代理设 备的标识符映射到私有数据项(或私有数据项的集合）。例如，简单的表格配置(其通常是用 于组织电子信息的数据结构）是实现如先前所述的数据存储145的一种可能的方式。然而， 将认识到，能W各种其他方式来对数据存储145建模，并且运些其他配置可W基于给定的实 现方式的特定偏好和需要。私有数据项还可W映射到指示其类型的标记或描述符。
[0032] 在至少一些实施例中，当代理配置成用于处置与相同的私有数据相关联的一个或 多个网络代理设备的私有数据时(例如，使用一个或多个客户机设备的单个用户、具有单个 客户机应用的单个客户机设备，等等），私有数据项可能无需被映射到相关联的网络代理设 备的任何标识符(尽管它们可W被映射）。如果代理配置成用于处置与不同的私有数据相关 联的多个网络代理设备的私有数据，则与特定的网络代理设备相关联的私有数据项(或私 有数据项的集合)可W被映射到那个网络代理设备的标识符。此外，在一些实例中，多个网 络代理设备可W与私有数据项（或私有数据项的集合)相关联。例如，由用户经由客户机设 备（即，手动地或自动地)而提供给服务的私有数据项与此用户和此客户机设备相关联。如 果用户经由多个客户机设备将私有数据项供应至服务，则此私有数据项可W关联至此用户 W及由此用户使用的所有的客户机设备。在此实例中，数据存储145中的私有数据项可W被 映射到由此用户使用的运一个或多个客户机设备中的每一个的标识符、或此用户的标识 符、或上述各项的组合。在另一示例中，如果私有数据项由客户机应用经由客户机设备提供 给服务，则此私有数据项与此客户机应用和此客户机设备相关联。在此实例中，数据存储 145中的私有数据项可W被映射到此客户机应用的标识符、或此客户机设备的标识符、或上 述各项的组合。在又一示例中，如果私有数据项由客户机设备(其是嵌入式控制器)提供给 服务，则此私有数据项与此嵌入式控制器相关联，并且可W被映射到此嵌入式控制器的标 识符。
[0033] 作为说明，当特定的实体(诸如，金融机构)在允许通过机构的web服务器来访问账 户之前要求提供已注册用户名和密码，则用户1所拥有的账户的用户名和密码可W在代理 140的数据存储145中与此金融机构相关联。在至少一个实施例中，此用户名和密码可W被 映射到此金融机构的域名或此金融机构的、请求此用户名和密码的网页的统一资源定位符 化化）。如果代理包括多个用户的私有数据，则此用户名和密码还可W被映射到用户1的标 识符、由用户1使用的一个或多个客户机设备的标识符、或上述各项的组合。
[0034] 在一些实施例中，某些私有数据可能不一定直接与特定的服务和对应的服务器相 关联。例如，性质上更普遍且由众多服务请求的私有数据可W简单地与合适的描述符或标 签一起被存储在数据存储145中，所述合适的描述符或标签指示此项表示什么类型的私有 数据。例如，家庭地址、电话号码、性别、婚姻状态等可与任何适当的描述符、标签等一起被 存储在数据存储145中。当服务122将对运个通用的私有数据的请求发送至客户机设备130 时，代理140可W配置成用于拦截正在被请求的特定类型的私有数据。代理140还可W向数 据存储145捜索与对应于来自服务器的请求的客户机设备和/或另一个网络代理设备（例 如，用户、客户机应用)相关联的私有数据。代理140还可W标识数据存储140中的哪些私有 数据项与表示由服务器120请求的特定类型的数据的描述符或标签相关联。
[0035] 在至少一个实施例中，数据存储145是在代理140中集成的并且受保护的私有数据 的安全仓。在其他实施例中，数据存储145可W在代理140可访问的分开的存储设备中受保 护。任何合适的技术可W配置成用于填充数据存储145。在一个示例中，可利用任何一个或 多个通信信道(例如，撰写的邮件、经加密的文件传输、口头交流等将私有数据项及其相 关联的服务的列表提供给经授权的人员或实体(例如，服务提供商、网络管理员等）。随后， 可用私有数据项来填充数据存储145。例如，在企业网络环境中，用户可W将私有数据项和 相关联的服务的标识符提供给网络管理员W便输入到数据存储145中。每一个用户还可W 提供由那个用户在企业网络环境内使用的所有客户机设备的列表。客户机设备的标识符可 W被输入在数据存储145中，并且可被映射到用户的私有数据项。在至少一个实施例中，受 保护数据存储模块143可W配置成用于促进将私有数据项存储到数据存储145中（例如，经 由用于手动输入私有数据项的用户接口、经由用于读取特定类型的文件并且存储来自文件 的数据项的软件，等等）。在其他示例中，可W由制造商将某些私有数据项填充在数据存储 145中。例如，嵌入式控制器的制造商可W用密码和用户/设备标识符来填充数据存储，W便 使嵌入式控制器能够向制造商的服务认证。
[0036] 在一些实施例中，可W使用用于填充和/或更新数据存储145的递增式方法。代理 140可W配置成用于自动地检测到由服务器请求的私有数据不可用。在此场景下，代理140 可W将创建用于所请求的私有数据的条目的请求发送至客户机设备130。对应于来自服务 器的、对私有数据的请求的任何网络代理设备（即，用户、客户机应用或客户机设备)可W创 建所请求的私有数据。在一个示例中，代理140可W配置成用于允许用户向代理140指示此 用户认为哪些web元素是私有的。例如，用户可W具有与代理140之间的带外通信W指示哪 些数据项应当被认为是私有的。在另一个示例中，对信息的未经修改的请求(诸如，未经修 改的HTML网页)可W提供给客户机设备130,并且用户可W提供对所请求的数据项的输入。 代理140可W配置成用于在后续的网络流中识别并处置运些新元素。在至少一些实施例中， 代理140还可W用由用户指示的运个新私有数据来填充数据存储145。
[0037] 代理140还可W配置成用于学习客户机设备到用户的关联。可W在配置时学习此 关联，并且此关联可W被存储为一系列MAC地址，运些MAC地址使由相同的用户使用的所有 客户机设备成组。还可W自动地学习此关联。例如，如果不存在针对特定服务的密码，则用 户可W用对密码的请求来获得未经更改的对象。用户可W供应一个密码。如果从多个客户 机设备输入相同的密码，则将来它们可W自动地与相同的用户相关联。
[0038] 当最初填充数据存储145时，可W发起解锁机制W使网络代理设备能够授权代理 140使用来自数据存储145的相关的私有数据。在至少一个实施例中，可W使用一次性密码 (0TP)技术，其中，使用非重复密码的序列来授权对私有数据的使用。一次性密码可W由算 法预生成(或随机地生成），并且可使用任何适当的通信信道(例如，带外信道，诸如，短消息 服务(SMS)消息、安全令牌、在分开的设备(诸如，移动电话)上运行的软件，等等)来与网络 代理设备共享。在另一实施例中，可采用至代理140的一个或多个安全通信信道来提供认证 (例如，多因子认证、人类存在性，等等）。在一些实施例中，也可W使用生物计量数据(例如， 指纹、视网膜和虹膜、语音识别，等等)来解锁私有数据。在一些实施例中，在某些场景下(例 如，用户存在经验证、先前授权的历史、用户请求代理140不要求对特定的