[發明專利]利用密封包圍區的數據密封的方法及系統

有效

• 申請號: 201780084410.0
• 申請日: 2017-12-20
• 公開（公告）號: CN110199286B
• 公開（公告）日: 2023-04-14
• 發明（設計）人: M·科斯塔
• 申請（專利權）人: 微軟技術許可有限責任公司
• 主分類號: G06F21/60
• 分類號: G06F21/60;G06F21/62
• 代理公司: 北京世輝律師事務所 16093
• 代理人: 王俊

1.一種用于密封包圍區數據的方法，包括：

向被托管在第一本機包圍區平臺上的源包圍區，發送被托管在第二本機包圍區平臺上的密封包圍區的第一證明報告；

在所述密封包圍區處從所述源包圍區，接收許可列表和相關聯的包圍區數據，其中所述許可列表包括被許可解封所述包圍區數據的一個或多個包圍區身份的列表；

安全地存儲所述包圍區數據和所述許可列表，其中所述安全地存儲包括：

在從目的地包圍區接收到針對所述包圍區數據的請求以創建密封的包圍區數據之前，由所述密封包圍區利用與所述密封包圍區相關聯的密鑰加密所述包圍區數據；以及

將所述密封的包圍區數據存儲在永久存儲裝置中；以及

利用根據所述許可列表被許可的經認證的身份，來限制包圍區對所述包圍區數據的訪問，其中所述限制包括：

至少部分地基于與所述密封包圍區不同的所述目的地包圍區是否被包括在被許可解封所述包圍區數據的所述一個或多個包圍區身份的所述列表中，確定是否從所述密封包圍區向所述目的地包圍區發送所述包圍區數據；以及

在至少部分地基于所述目的地包圍區被包括在被許可解封所述包圍區數據的所述一個或多包圍區身份的所述列表中，確定所述包圍區數據將從所述密封包圍區發送到所述目的地包圍區之后，響應于從所述目的地包圍區接收到針對所述包圍區數據的所述請求，解密所述密封的包圍區數據。

2.根據權利要求1所述的方法，其中：

所述第一本機包圍區平臺位于第一計算機上，并且所述第二本機包圍區平臺被托管在第二計算機上。

3.根據權利要求1所述的方法，其中所述許可列表是抽象身份類型的列表；并且還包括：

接收所述源包圍區的源證明報告；以及

從所述源證明報告和所述許可列表中的抽象身份類型得出許可身份值。

4.根據權利要求1所述的方法，其中所接收的所述包圍區數據被加密，并且還包括：

執行所述源包圍區與所述密封包圍區之間的證明過程；以及

利用在所述證明過程期間生成的密鑰來解密所加密的所述包圍區數據。

5.根據權利要求1所述的方法，其中在所述許可列表中的所述一個或多包圍區身份由所述一個或多個相應的包圍區的一個或多個公鑰指定。

6.根據權利要求1所述的方法，其中利用與所述密封包圍區相關聯的所述密鑰加密所述包圍區數據包括：

利用與托管所述密封包圍區的所述第二本機包圍區平臺相關聯的所述密鑰加密所述包圍區數據。

7.根據權利要求1所述的方法，其中存儲所述密封的包圍區數據包括：

將所述密封的包圍區數據存儲在不安全的存儲裝置中。

8.一種用于密封包圍區數據的方法，包括：

在被托管在第一本機包圍區平臺上的源包圍區處，接收被托管在第二本機包圍區平臺上的密封包圍區的第一證明報告；

驗證對所述密封包圍區的信任；

在所述源包圍區中部分地完成安全處理操作；

向所述密封包圍區發送許可列表和相關聯的包圍區數據，其中所述許可列表包括被許可解封所述包圍區數據的一個或多個包圍區身份的列表，其中所述包圍區數據包括所述源包圍區的足以許可另一包圍區實例化繼續被部分地完成的所述安全處理操作的狀態數據，所述發送包括：使得所述密封包圍區至少部分地基于與所述密封包圍區不同的目的地包圍區是否被包括在被許可解封所述包圍區數據的所述一個或多個包圍區身份的所述列表中，確定是否向所述目的地包圍區發送所述包圍區數據，其中所述許可列表是與身份層級的相應層級級別對應的抽象身份類型的列表；以及

向所述密封包圍區發送所述源包圍區的源證明報告，其中所述源證明報告包括所述源包圍區的與所述許可列表中的抽象身份類型相對應的至少一個身份值。