[發明專利]對受保護數據集進行基于網絡的管理

有效

• 申請號: 201380032549.2
• 申請日: 2013-06-13
• 公開（公告）號: CN104471584B
• 公開（公告）日: 2017-06-13
• 發明（設計）人: M·F·諾瓦克;A·J·雷曼;M·尼斯特倫;S·湯姆
• 申請（專利權）人: 微軟技術許可有限責任公司
• 主分類號: G06F21/57
• 分類號: G06F21/57;G06F21/60
• 代理公司: 上海專利商標事務所有限公司31100
• 代理人: 陳斌

背景

受信平臺模塊(即“TPM”)是與計算設備的常規操作環境隔離的受信執行環境。通常，TPM以物理上綁定到計算設備的芯片形式來實現。常規計算環境可以通過接口(該接口的一個示例是基于TPM的服務(即“TBS”))與TPM通信。

TPM提供各種功能，這些功能中最常用的是密碼密鑰生成、策略驅動的密鑰使用、密封存儲、以及證明。TPM具有被稱為“受保護區域”的存儲器區域，該“受保護區域”包含無法被讀取的數據，但是可以使用這些數據來執行操作和/或對這些數據執行操作。一些數據是不可改變的，并且因而由正在執行的操作讀取(但不被改變)，而一些數據是可改變的并且可以通過這些操作來改變。注意到，讀取數據的是在TPM內部正在執行的操作。受保護數據在TPM外部是不可讀的。

因而，TPM具有執行操作的操作組件，以及保留不能夠在TPM外部被讀取的受保護數據的存儲器組件。TPM的操作速度受限于TPM內硬件的能力。同樣，受保護區域的大小受限于TPM內的空間。

簡要概述

本文描述的至少一個實施例涉及一種包括被配置成維持受保護賬戶的賬戶管理模塊的系統。例如，特定受保護賬戶包括從系統外部無法訪問并且可能甚至從賬戶外部無法訪問的受保護數據集。該特定數據集與指派給特定賬戶的特定實體(例如，設備、系統、用戶、組件、或其組合)相對應并且包括對應于特定設備的密鑰。安全處理器響應于從特定實體接收到一個或多個受信執行環境命令而使用這些密鑰中的至少一些以執行密碼和安全過程。在一些實施例中，可能存在針對屬于相同賬戶的不同實體的多個數據集。

提供本概述是為了以簡化的形式介紹將在以下具體實施方式中進一步描述的概念選擇。本概述不旨在標識出所要求保護的主題的關鍵特征或必要特征，也不旨在用于幫助確定所要求保護的主題的范圍。

附圖說明

為了描述能夠獲得上述和其它優點和特征的方式，各實施例的更具體的描述將通過參考各附圖來呈現。可以理解，這些附圖只描繪了示例實施例，并且因此不被認為是對其范圍的限制，將通過使用附圖并利用附加特征和細節來描述和解釋各實施例，在附圖中：

圖1示出可用于采用本文描述的各實施例并且包括管理級和本地受信執行環境級的示例計算系統；

圖2示出了一環境，其中多個客戶端中的一些客戶端通過網絡利用受信平臺模塊(TPM)與系統對接，該系統包括多個賬戶，每一個賬戶具有一個或多個受保護數據集，這些受保護數據集服從響應于從客戶端接收到的本地受信執行環境命令而實現的密碼過程；

圖3將受保護數據集抽象地示為包括不可改變數據和可改變數據；以及

圖4示出了用于管理受信執行環境命令的方法的流程圖。

具體實施方式

根據本文描述的至少一個實施例，描述了一種系統，其中賬戶管理模塊維持受保護賬戶。例如，特定受保護賬戶包括從系統外部無法訪問并且可能甚至從賬戶外部無法訪問的受保護數據集。該特定數據集與指派給特定賬戶的特定實體(例如，設備、系統(諸如計算系統)、用戶、組件、或其組合)相對應并且包括對應于特定實體的密鑰。安全處理器響應于從特定實體接收到的一個或多個受信執行環境命令而使用多個密鑰中的至少一些以執行密碼和安全過程。在一些實施例中，可能存在多個數據集，每個數據集對應于不同的實體。此外，盡管未作要求，但也可能在單個賬戶內存在多個受保護數據集。

計算系統現在越來越多地采取多種多樣的形式。例如，計算系統可以是手持式設備(諸如智能電話)、電器、膝上型計算機、臺式計算機、大型機、分布式計算系統或甚至常規上不被認為是計算系統的設備(諸如腕帶手表、廚房電器、汽車、醫療植入設備等)。在本說明書以及權利要求書中，術語“計算系統”被廣義地定義為包括任何設備或系統(或其組合)，該設備或系統包含至少一個物理有形的處理器以及其上能含有可由處理器執行的計算機可執行指令的物理有形的存儲器。存儲器可以采取任何形式，并可以取決于計算系統的性質和形式。

如此處所使用的那樣，術語“模塊”或“組件”可以指在計算系統上執行的軟件對象或例程。此處所描述的不同組件、模塊、引擎，以及服務可以實現為在計算系統上執行的對象或進程(例如，作為分開的線程)。