[發明專利]用于將通信信任鏈延伸到客戶機應用的技術

有效

• 申請號: 201380080501.9
• 申請日: 2013-11-26
• 公開（公告）號: CN105683982B
• 公開（公告）日: 2019-11-05
• 發明（設計）人: A·沙立維;J·沃克
• 申請（專利權）人: 英特爾公司
• 主分類號: G06F21/30
• 分類號: G06F21/30;G06F15/16
• 代理公司: 上海專利商標事務所有限公司 31100
• 代理人: 黃嵩泉

各實施例總體上涉及用于在兩個計算設備之間形成安全通信的技術，其中，那些通信的信任鏈被延伸到由這兩個計算設備中的一個計算設備執行的特定的應用例程。一種裝置包括：處理器組件；驗證組件，用于：驗證從服務器接收到鏈路認證憑證以驗證服務器形成安全流水線的能力；以及用信號向應用例程通知由驗證組件進行的驗證的結果的指示；以及散列組件，用于：生成與應用例程相關聯的返回簽名的返回散列，從而向服務器指示應用例程也已經驗證鏈路認證憑證以便在服務器與應用例程之間形成安全流水線。描述了其他實施例并要求保護這些實施例。

技術領域

本文中描述的實施例總體上涉及將服務器與客戶機設備之間的通信中的信任鏈延伸到客戶機設備的客戶機應用。

背景技術

已經變得常見的是采用各種安全協議和認證方案中的任一種來使兩個設備中的每一個設備都能夠評估另一個的可信度且隨后在它們之間形成并維護安全的通信“流水線”或“信道”以便甚至通過可公共訪問的網絡(例如，互聯網)來安全地交換數據。此類方法頻繁地用于金融交易、在線購物、流式音頻/視覺程序等中。

尋求由此類方法尋求解決的關鍵擔憂是防止所謂的“中間人”場景出現，在這種場景中，另一計算設備可以捕捉命令和/或數據和/或將命令和/或數據注入到此類通信中，或者可以甚至插入到此類通信中以便選擇性地中繼和/或更改此類通信。換言之，此類方式的主要目標在于，在尋求參與安全通信的兩個設備之間直接形成信任鏈，以便在它們之間形成安全的流水線或信道。

遺憾的是，允許兩個設備之間的此類安全通信的此類信任鏈的成功形成無助于解決對這兩個設備中的一個或另一個設備內的關于安全漏洞的擔憂。在復雜的設備中，可能存在旨在與其發生安全通信的特定的應用例程，但是可能存在眾多方式，通過這些方式，另一例程可內插在那個特定的應用與那個設備通過其參與同另一設備之間的安全通信的接口之間。也存在以下可能性：旨在與其發生安全通信的應用可能實際上不在參與那個安全通信的這兩個設備中的一個設備上執行，而是實際上可以在通過不安全的通信而與這兩個設備中的一個設備通信的第三個設備上執行。

附圖說明

圖1示出安全通信系統的實施例。

圖2示出安全通信系統的替代實施例。

圖3示出交換安全憑證的實施例。

圖4至圖6各自示出安全通信系統的實施例的部分。

圖7至圖9各自示出根據實施例的邏輯流。

圖10示出根據實施例的處理架構。

具體實施方式

各個實施例總體上涉及用于在兩個計算設備之間形成安全通信的技術，其中，那些通信的信任鏈被延伸到由這兩個計算設備中的一個計算設備執行的特定的應用例程。更具體而言，在兩個計算設備之間形成安全通信，隨后在這些計算設備中的一個計算設備內將此安全通信延伸到特定的應用例程，以便確保安全通信不由那個計算設備內的另一例程干擾，并且確保在那個計算設備內而不是在另一計算設備內執行此特定的應用。

形成此類安全通信以在安全通信系統的兩個計算設備之間形成單向的安全流水線或信道開始。當在這兩個計算設備之間形成之后，隨后使此單向的安全流水線進一步延伸到這些計算設備中的一個中，并且延伸到在那個計算設備內執行的特定的應用例程。現在經延伸的單向的安全流水線隨后被制成為雙向的安全流水線，由此在較低的鏈路或流水線層級上、在這些端點中的一個端點處、與那個應用例程建立雙向的安全通信。這之后是在較高的應用層級上、通過那個雙向的安全流水線來驗證雙向的安全通信的建立。