云中心应用信任验证的制作方法
【技术领域】
[0001] 依照本发明的示例实施例的教示一般设及云中屯、应用信任验证，W及更具体地， 设及由应用服务提供商用于认证在云网络中运行的应用的多因素信任验证。
【背景技术】
[0002] 该部分旨在提供在权利要求书中陈述的本发明的背景或上下文。此处的描述可W 包含可W被追求的构思，但其不是必须是先前已设想或追求的构思。因此，除非此处另外指 出，否则本部分所述的内容不是本申请中的说明书和权利要求书的现有技术，并且不通过 包含在本部分中而承认其为现有技术。
[0003] 在本说明书中和/或在附图中可W找到的某些缩写在此被定义如下： AES 高级加密标准 AMI 亚马逊机器映像 API 应用编程接口 AWS 应用网络服务 DB 数据库 DC 域控制器 EBS 弹性块存储 ELB 弹性负载均衡器 EMR 弹性映射化简 FIPS 联邦信息处理标准 ID 标识 HSM 硬件安全模块 KM 密钥管理 KMS 密钥管理服务 RDS 关系数据库服务 SDK 软件开发套件 SSL 安全套接字层
[0004] 云计算是通过互联网共享计算资源的方法。云计算的一个领域包含；主机提 供商（例如，云提供商），其提供虚拟服务器实例，在虚拟服务器实例上用户设备能够 运行应用。在此类云环境中可W使用的应用的示例可W包含；社交媒体应用，W及由 Yahoo愈、EBay愈和Amazon⑥（仅举几例）提供的应用。当该些应用在与用户设备 分开的云中运行时，它的应用服务提供商需要对应用数据安全给予特别关注。在该点上，至 少存在W下问题；由云提供商提供的应用数据安全可能不被信任。
【发明内容】
[0005] 在本发明的示例性方面，有一种方法，所述方法包括；使用云网络的应用服务器向 针对应用的与应用服务提供商相关联的密钥管理设备发送针对在所述云网络中被引导的 应用的密钥请求；W及响应于所述密钥请求，接收针对所述应用的应用特定密钥，其中所述 密钥基于与所述应用服务器相关联的多个因素。
[0006] 在本发明的示例性方面，有一种装置，所述装置包括至少一个处理器；和包含计算 机程序代码的至少一个存储器，其中所述至少一个存储器和所述计算机程序代码被配置为 使用所述至少一个处理器使得所述装置至少：使用云网络的应用服务器向针对应用的与应 用服务提供商相关联的密钥管理设备发送针对在所述云网络中被引导的应用的密钥请求； W及响应于所述密钥请求，接收针对所述应用的应用特定密钥，其中所述密钥基于与所述 应用服务器相关联的多个因素。
[0007] 在本发明的另一个示例性方面，有一种装置，所述装置包括；用于使用云网络的应 用服务器向针对应用的与应用服务提供商相关联的密钥管理设备发送针对在所述云网络 中被引导的应用的密钥请求的构件；W及用于响应于所述密钥请求，接收针对所述应用的 应用特定密钥的构件，其中所述密钥基于与所述应用服务器相关联的多个因素。
[0008] 依照如在W上段落中的本发明的示例性方面，用于发送的构件和用于接收的构件 包括；至通信网的接口，W及包含计算机程序代码的计算机可读存储器，由至少一个处理器 来执行所述计算机程序代码。
[0009] 在本发明的另一个示例性方面，有一种方法，所述方法包括；使用针对应用的与应 用服务提供商相关联的密钥管理设备来接收来自云网络的应用服务器的针对在所述云网 络中被引导的应用的密钥请求；响应于所述密钥请求，使用与所述应用服务器相关联的多 个属性来认证所述请求；W及向所述应用服务器发送针对所述应用的应用特定密钥。
[0010] 在本发明的又一个示例性方面，有一种装置，所述装置包括至少一个处理器；和包 含计算机程序代码的至少一个存储器，其中所述至少一个存储器和所述计算机程序代码被 配置为使用所述至少一个处理器使得所述装置至少：使用针对应用的与应用服务提供商相 关联的密钥管理设备来接收来自云网络的应用服务器的针对在所述云网络中被引导的应 用的密钥请求；响应于所述密钥请求，使用与所述应用服务器相关联的多个属性来认证所 述请求；W及向所述应用服务器发送针对所述应用的应用特定密钥。
[0011] 在本发明的又一个示例性方面，有一种装置，所述装置包括；用于使用针对应用的 与应用服务提供商相关联的密钥管理设备来接收来自云网络的应用服务器的针对在所述 云网络中被引导的应用的密钥请求的构件；用于响应于所述密钥请求，使用与所述应用服 务器相关联的多个属性来认证所述请求的构件；W及用于向所述应用服务器发送针对所述 应用的应用特定密钥的构件。
[0012] 依照如在W上段落中的本发明的示例性方面，用于接收的构件，用于认证的构件 和用于发送的构件包括；至通信网的接口，W及包含计算机程序代码的计算机可读存储器， 由至少一个处理器来执行所述计算机程序代码。
【附图说明】
[0013] 当结合附图来阅读时，在W下的详细描述中将使得本发明的实施例的上述和其它 方面更加明显，其中：
[0014] 图1基于3GPPTS36. 300的图4-1，并且示出了E-UTRAN系统的整体架构；
[0015] 图2示出了适用于在实践本发明的示例性实施例中使用的各种电子设备的简化 框图。
[0016] 图3A和图3B每个图示出了依照本发明的示例实施例的云应用信任验证的操作；
[0017] 图4是说明依照示例实施例的密钥管理系统的不同模块的框图；
[001引图5A、5B和5C说明了依照本发明的示例实施例的通信和/或操作架构；
[0019] 图6说明了使用本发明的示例实施例所减轻的安全威胁；
[0020] 图7A、7B、7C和7D每个图说明了使用本发明的示例实施例所解决的内部安全问题 的方面；化及
[0021] 图8和图9每一个图是依照本发明的示例性实施例的逻辑流图，逻辑流图说明了 方法的操作和在计算机可读介质上具体化的计算机程序指令的执行结果。
【具体实施方式】
[0022] 本发明的示例实施例提供了至少方法，该方法用于提供云中屯、信任验证W便使得 可信应用能够访问加密的内容和加密密钥管理服务。
[0023] 图1基于3GPPTS36. 300的图4-1，W及示出了E-UTRAN系统的总体架构，在 E-UTRAN系统中，用户设备可W受益于本发明的示例实施例。E-UTRAN系统包含网络接入点 或eNB，网络接入点或eNB提供朝向UE的E-UTRAN用户平面和控制平面（无线电资源控制 (RRC))协议终止。eNB借助于X2接口彼此互连。eNB还借助于S1接口连接到演进的分组 核屯、巧PC)，W及更具体地，借助于S1MME接口连接到移动性管理实体（MM巧和连接到服务 网关（S-GW)。S1接口支持在MME、S-GW与eNB之间的多对多关系。
[0024] 当前的现有技术依赖于加密操作和在公共云环境内部署的和/或利用信任验 证解决方案的密钥管理系统，该信任验证解决方案排他地或很大程度上依赖于从公共云 内的应用验证。该两种因素将对用户和其它实体造成各种安全和合规风险（compliance risks)。
[0025] 尽管可W使用对特定实体（诸如Nokia⑥和乂mazon?)的参考来描述和/或 说明本发明，但是该些实体的使用是非限制性的，W及可W实践本发明W有利于包括类似 技术的任何实体。
[0026] 依照本发明的示例实施例（W下将更详细地描述该示例实施例），至少有一种方 法，该方法用于认证在云中运行的可信应用，W便至少确保向此类云中屯、应用提供的或来 自此类云中屯、应用的敏感数据是安全的。
[0027] 在进一步地详细描述本发明的示例性实施例之前，参照图2,图2用于说明适用于 在实践本发明的示例性实施例中使用的各种电子设备和装置的简化框图。在图2中，服务 器22、应用提供商设备（AP) 21和密钥存储设备23适应于经由有线和/或无线链路与装置 (诸如在本文中被称为肥10的通信和/或计算设备）通信。该种通信能够经由网络接入 点（诸如节点B(基站））来发生。另外，UE10可W是诸如移动电话的移动设备或诸如台 式计算机的固定设备。此外，肥10可W是被配置为运行此类云中屯、应用的任何电子设备。 此类肥设备可W包含但不限于膝上型计算机、个人数字助理、GI^S和移动电话等。应用提 供商网络可W包含服务器22,服务器22可W包含在图1中示出的MME/SGW功能，化及其提 供与另外网络（诸如电话网络和/或数据通信网络（例如，互联网））的连通性。
[002引肥10包含控制器，诸如至少一个计算机或数据处理器值巧lOA、被具体化为存储 器（MEM) 10B的至少一个计算机可读存储介质（其存储计算机指令的程序（PROG) 10C)，W 及至少一个合适的射频（R巧传送器和接收器对（收发器）10DW用于经由天线或多个天线 200F和/或硬接线连接与服务器22和/或应用提供商200的另一个设备通信。
[0029] 服务器22也包含控制器，诸如至少一个计算机或数据处理器值巧22A、被具 体化为存储器（MEM) 22B的至少一个计算机可读存储介质（其存储计算机指令的程序 (PR0G)22C)，W及至少一个合适的RF收发器22DW用于经由天线11B(当使用MIM0时，若 干天线）与肥10通信。服务器22经由数据/控制路径212F禪合到AP21。路径212F可 W被实现为在图1中示出的S1接口。服务器22还可W禪合到另一个设备，诸如经由数据 /控制路径215F禪合到密钥存储设备23,该数据/控制路径215F可W被实现为图1中示 出的X2接口。
[0030] 出于描述本发明的示例实施例的目的，服务器、应用提供商设备21和/或密钥存 储设备23可W被认为包含；应用证书模块功能（ACMF)。ACMF10G、ACMF21G、ACMF22G和 /或ACMF23G被认为被配置为依照如在本文描述的本发明的实施例的非限制性示例进行 操作。
[0031] 程序10C、21C、22C和23C中的至少一个程序被认为包含程序指令，当由相关联的 数据处理器来执行程序指令时，程序指令使得设备能够依照如W下将更详细描