[發明專利]用于web運行時刻系統的沙盤技術

在審

• 申請號: 201280048863.5
• 申請日: 2012-07-31
• 公開（公告）號: CN103890772A
• 公開（公告）日: 2014-06-25
• 發明（設計）人: A.C.布萊克;O.阿西克梅茲
• 申請（專利權）人: 三星電子株式會社
• 主分類號: G06F21/57
• 分類號: G06F21/57
• 代理公司: 北京市柳沈律師事務所 11105
• 代理人: 張泓

1.一種在具有處理器和存儲器的計算機系統中提供小組件的安全性強制執行的方法，包括：

從請求服務的小組件進程提取訪問控制信息、生成為該小組件進程定制的訪問控制規則，并且向Web運行時刻（WRT）系統的用戶代碼空間外的計算機系統的可信部分提供訪問控制規則；以及

對于任何靜態訪問控制規則，將小組件進程的安全性檢查從WRT系統委托到計算機系統的可信部分。

2.根據權利要求1所述的方法，進一步包括：

對于任何非靜態訪問控制規則：

從安全服務器請求一次性令牌，其中該一次性令牌在小組件進程消耗所請求的服務之后期滿；并且

其中，由小組件進程使用一次性令牌來訪問服務。

3.根據權利要求1所述的方法，其中，靜態訪問控制規則包括以下中的一個：

覆蓋式提示；

許可提示；和

拒絕提示。

4.根據權利要求2所述的方法，其中，非靜態訪問控制規則包括以下中的一個：

會話提示；和

一次使用提示。

5.根據權利要求2所述的方法，其中，對于作為會話提示的任何非靜態訪問控制規則，該方法進一步包括：

在啟動小組件進程之前，從用戶請求許可；

丟棄WRT的特權；以及

在小組件進程的下一次啟動時，重置小組件進程的動態訪問控制配置并且請求安全服務器撤回一次性令牌。

6.根據權利要求2所述的方法，其中，對于作為一次性提示的任何非靜態訪問控制規則，該方法進一步包括：

當小組件進程請求服務時，從用戶請求許可；

請求安全服務器僅僅單次兌現一次性令牌。

7.根據權利要求1所述的方法，其中，可信部分是操作系統內核。

8.根據權利要求7所述的方法，其中，訪問控制規則被實施為由內核強制執行的強制訪問控制規則。

9.根據權利要求7所述的方法，其中，由WRT管理進程來執行提取、生成和提供。

10.根據權利要求1所述的方法，其中，安全服務器是服務位置協議（SLP）訪問控制的一部分。

11.一種在具有處理器和存儲器的計算機系統中提供小組件的安全性強制執行的方法：包括：

從請求服務的小組件進程提取訪問控制信息、生成為該小組件進程定制的訪問控制規則，并且向Web運行時刻（WRT）系統的用戶代碼空間外的計算機系統的可信部分提供訪問控制規則；以及

對于任何靜態訪問控制規則，將小組件進程的一些但非所有安全性檢查從WRT系統委托到計算機系統的可信部分，使得執行兩個級別的安全性檢查，一個由WRT系統執行，并且一個由計算機系統的可信部分執行。

12.根據權利要求11所述的方法，其中，可信部分是操作系統內核。

13.根據權利要求12所述的方法，其中，訪問控制規則被實施為由內核強制執行的強制訪問控制規則。

14.一種具有改善的小組件安全性的計算機系統，包括：

處理器；

存儲器；

操作系統；以及

Web運行時刻（WRT）系統，支持小組件的安裝和調用，WRT系統被配置為從每個被安裝的小組件接收小組件清單并且確定可從WRT委托到與操作系統相關聯的計算機系統的更安全的部分的訪問控制規則，WRT系統進一步被配置為將可委托的靜態訪問控制規則的集合傳遞到更安全的部分以執行安全性檢查。

15.根據權利要求14所述的計算機系統，其中，WRT系統包括WRT管理進程，其被配置為與安全服務器通信以對于任何非靜態訪問控制規則獲取一次性令牌。

16.根據權利要求14所述的計算機系統，其中，WRT系統被配置為當小組件被調用時傳遞可委托的靜態訪問控制規則的集合。

17.根據權利要求15所述的計算機系統，其中，WRT管理進程進一步被配置為當為了作為會話提示的任何非靜態訪問控制規則調用小組件時與安全服務器通信。