BRPI0209741B1 - distribuição e execução de aplicativo seguras em um ambiente sem fio - Google Patents

Abstract

"distribuição e execução segura de aplicação em um ambiente sem fio". a presente invenção provê distribuição e execução protegida e segura de aplicação mediante provimento de sistemas e métodos que testam uma aplicação para assegurar que satisfaz critérios predeterminados associados ao ambiente no qual executará. ademais, usando listas de regras e de permissão, remoção de aplicação e uma técnica de detecção de modificação, tal como assinaturas digitais, a presente invenção prove mecanismos para distribuir e executar seguramente aplicações testadas, ou não testadas, mediante determinação de se a aplicação foi modificada, determinação de se possui permissão para executar em um determinado ambiente de dispositivo sem fio e remover a aplicação.

Description

"DISTRIBUIÇÃO E EXECUÇÃO DE APLICATIVO SEGURAS EM UM AMBIENTE SEM FIO" Campo da Invenção A presente invenção relaciona-se ao processamento de aplicativos para uso em um dispositivo sem fio, e mais especificamente, para aumentar a segurança, proteção e integridade de aplicativos executados em um dispositivo sem fio.

Histórico A comunicação sem fio experimentou crescimento explosivo em anos recentes. Como os consumidores e negócios confiam mais em seus dispositivos sem fio, tais como telefones móveis e assistentes pessoais digitais (PDAs -Personal Digital Assistants), os provedores de serviço sem fio, isto é, operadoras, se esforçam para prover funcionalidade adicional nestes dispositivos sem fio. Esta funcionalidade adicional não apenas aumentaria a demanda para dispositivos sem fio mas também aumentaria o uso entre usuários atuais. 0 aumento da funcionalidade, especificamente mediante aumento dos aplicativos acessíveis pelo dispositivo sem fio, porém, é oneroso e complicado, desencorajando, assim, operadoras de prover esta funcionalidade.

Ademais, há pouca a nenhuma garantia de que um aplicativo, uma vez colocado em um dispositivo sem fio, executará corretamente. Atualmente, a confiança na capacidade do aplicativo de executar em um dispositivo sem fio repousam no desenvolvedor, no fabricante de dispositivo sem fio e/ou na operadora. Como mais aplicativos são desenvolvidos e o número de aplicativos em um dispositivo sem fio aumenta, o ambiente do dispositivo sem fio torna-se mais dinâmico. Como exemplo, um dispositivo sem fio pode escolher recuperar ou executar vários aplicativos diferentes de um grande conjunto de aplicativos disponíveis em qualquer determinado momento. Assim, assegurar que qualquer determinado aplicativo será distribuído ao dispositivo sem fio e será executado seguramente torna-se muito mais difícil de controlar.

Isto possui uma relevância específica porque uma execução imprópria de um aplicativo não apenas pode afetar de modo a lesar o dispositivo sem fio, mas também pode ser prejudicial à rede operadora (carrier network) e outros componentes de rede, incluindo outros dispositivos sem fio. Como exemplo, um aplicativo, se não contido, poderia assumir o controle do controle de potência de um dispositivo sem fio e causar interferência em outros dispositivos sem fio e diminuir a capacidade total na célula que está atendendo o dispositivo sem fio.

Atualmente, nem fabricantes de dispositivos sem fio nem operadoras são equipadas para suportar o teste e distribuição segura de aplicativos em uma distribuição de aplicativo dinâmica e ambiente de execução. Assim, há um interesse que aplicativos sejam distribuídos e executados em dispositivos sem fio que podem causar dano ao dispositivo sem fio, à rede operadora, ou outros componentes de rede.

Além disso, outros assuntos de segurança surgem quando mais aplicativos são desenvolvidos e o ambiente pelo qual aplicativos são transmitidos a um dispositivo sem fio torna-se mais dinâmico. Como o número de aplicativos e o número de desenvolvedores que criam estes aplicativos aumentam, o desejo de saber a fonte de qualquer determinado aplicativo, isto é, o desenvolvedor, também aumenta. Uma operadora ou um fabricante de aparelho telefônico quererão saber, com algum grau de confiança, que eles podem determinar a fonte de um aplicativo caso o aplicativo cause dano.

Por conseguinte, o que é necessário na técnica é um sistema e um método para prover um ambiente mais seguro para a distribuição e execução de aplicativos em um dispositivo sem fio.

SUMÁRIO DA INVENÇÃO

Sistemas e métodos consistentes com a presente invenção superam as deficiências de sistemas existentes mediante criação de um ambiente mais seguro para distribuição e execução de aplicativo, que aplicativos de teste com padrões predeterminados, provêem rastreabilidade ao desenvolvedor para não repúdio, verificação de modificações não intencionais para o aplicativo, autorização da remoção do aplicativo a partir do dispositivo sem fio e/ou uso de regras e permissões que definem o ambiente no qual um aplicativo pode executar. A certificação de que um aplicativo satisfaz padrões predeterminados provê a vantagem de identificar de antemão possíveis erros que poderíam ocorrer durante a execução. Isto ajuda a impedir o efeito prejudicial da execução de um aplicativo. A rastreabilidade provê a vantagem de não repúdio. Caso haja qualquer problema com o aplicativo, é benéfico rastrear de volta à fonte do aplicativo, isto é, o desenvolvedor, para corrigir o problema. Adicionalmente, a rastreabilidade desencoraja desenvolvedores de criar aplicativos que tenham resultados prejudiciais, seja intencional ou não intencional.

Ademais, a capacidade de determinar se um aplicativo é modificado antes de recebê-lo no dispositivo sem fio provê a vantagem de segurança aumentada ao assegurar que o aplicativo recebido é o mesmo que foi transmitido. Uma vez que aplicativos são distribuídos mais livremente no ambiente sem fio, a capacidade de determinar se um aplicativo foi modificado aumenta a confiança de que um aplicativo recebido pelo dispositivo sem fio não foi modificado, seja acidentalmente ou intencionalmente.

Ao prover um conjunto de regras e permissões que definem quando aplicativos podem executar, também aumenta a segurança de uma distribuição e execução de aplicativo de sistema mediante prevenção da execução não autorizada de um aplicativo em plataformas, por exemplo, sistemas ou ambientes nos quais não seja autorizado. A capacidade de remover aplicativos de um dispositivo sem fio também aumenta a segurança de um sistema de distribuição de aplicativo. Se um aplicativo é instalado em um aparelho telefônico, seja pelo fabricante ou pelo download de um aplicativo, possuindo um mecanismo para remover o aplicativo devido a conseqüências negativas imprevistas, aumenta a segurança de distribuição e execução de um aplicativo de sistema mediante remoção de código prejudicial e indesejável que podería ser danoso.

Os sistemas e métodos consistentes com a presente invenção podem recorrer a uma ou mais das técnicas aqui descritas. Ao recorrer a todas as técnicas aqui descritas e designadas, porém, os sistemas e métodos consistentes com a presente invenção provêem alta qualidade e distribuição e execução segura de aplicativos.

Em uma modalidade da presente invenção, um método para distribuir e processar um aplicativo, compreende as etapas de receber o aplicativo è informações de identificação, certificar que o aplicativo satisfaz um critério predeterminado, designar uma permissão ao aplicativo, transmitir o aplicativo, a permissão e as informações de identificação para o dispositivo utilizando uma técnica de detecção de modificação, determinar se o aplicativo foi modificado durante a transmissão, armazenar uma regra no dispositivo, determinar se o aplicativo pode ser processado utilizando a permissão e a regra, e remover o aplicativo do dispositivo.

Em outra modalidade da presente invenção, é apresentado um método para executar um aplicativo em um dispositivo sem fio, compreendendo as etapas de armazenar uma regra para avaliar uma permissão, receber informações que compreendem o aplicativo, a permissão e uma identificação utilizando uma técnica de detecção de modificação, receber uma requisição para executar o aplicativo no dispositivo sem fio, avaliar as informações recebidas para determinar se as informações recebidas foram modificadas, no evento em que as informações recebidas não foram modificadas, avaliar a permissão associada ao aplicativo e no evento em que a permissão é concedida, executar o aplicativo.

Em ainda outra modalidade da presente invenção, é apresentado um método para executar um aplicativo em um dispositivo sem fio, compreendendo as etapas de armazenar uma regra para avaliar uma permissão, receber informações que compreendem o aplicativo, a permissão e uma identificação utilizando uma técnica de detecção de modificação, receber uma requisição para executar o aplicativo no dispositivo sem fio, avaliar as informações recebidas para determinar se as informações recebidas foram modificadas, no evento em que as informações recebidas não foram modificadas, avaliar a permissão associada ao aplicativo e no evento em que a permissão é concedida, executar o aplicativo.

BREVE DESCRIÇÃO DOS DESENHOS

Os desenhos anexos, que estão incorporados e constituem uma parte da especificação, ilustram modalidades preferidas atualmente da invenção e, junto com a descrição geral dada acima e a descrição detalhada das modalidades preferidas dada abaixo, serve para explicar os princípios da invenção. Nos desenhos: A Figura 1 é um fluxograma que descreve o processo de alto nivel de distribuição e execução segura de aplicativo em uma modalidade exemplar da presente invenção; A Figura 2 é um diagrama de blocos que descreve uma arquitetura de sistema na qual uma modalidade exemplar da presente invenção pode ser praticada; A Figura 3 é um diagrama de blocos que descreve uma arquitetura de rede sem fio na qual um sistema de processamento de distribuição segura de aplicativo pode ser praticada em uma modalidade exemplar da presente invenção; A Figura 4 é um diagrama de blocos que descreve um dispositivo sem fio e alguns componentes internos em uma modalidade exemplar da presente invenção; A Figura 5 é um diagrama de blocos que descreve as informações usadas para criar uma assinatura digital e transmiti-la a um dispositivo sem fio em uma modalidade exemplar da presente invenção; A Figura 6 é um fluxograma que descreve as etapas usadas por um servidor ou servidores na distribuição de um aplicativo em uma modalidade exemplar da presente invenção; e A Figura 7 é um fluxograma que descreve as etapas usadas por um dispositivo sem fio ao executar um aplicativo em uma modalidade exemplar da presente invenção.

DESCRIÇÃO DETALHADA DA MODALIDADE PREFERIDA

Será realizada agora referência, em detalhes, para as modalidades exemplares e preferidas da invenção como ilustrado nos desenhos anexos, nas quais referências de caracteres similares ou partes similares ou correspondentes ao longo dos diversos desenhos. A natureza, objetivos e vantagens da presente invenção ficarão mais aparentes para os técnicos na área depois de considerar a seguinte descrição detalhada em relação aos desenhos anexos. A presente invenção provê distribuição e execução protegida e segura de aplicativo ao prover sistemas e métodos que testam um aplicativo para assegurar que satisfazem os critérios predeterminados associados ao ambiente no qual executará. Ademais, mediante uso de listas de regras e de permissão, a remoção de aplicativo e uma técnica de detecção de modificação, tal como assinaturas digitais, a presente invenção provê mecanismos para distribuir e executar com segurança um aplicativo testado, ou não testado, mediante determinação de se o aplicativo foi modificado, determinar se possui permissão para executar em um determinado ambiente de dispositivo sem fio, e remover o aplicativo caso seja desejável fazê-lo.

Será reconhecido pelos técnicos na área que a seguir será descrito um tipo de arquivo de aplicativo sendo distribuído e executado por simplicidade de descrição. Um "aplicativo" também pode incluir arquivos que possuem conteúdo executável, tal como: código de objeto, Scripts, arquivos em java, um arquivo de marcador (ou arquivos PQA) , scripts WML, código de byte e scripts perl. Adicionalmente, no "aplicativo" aqui designado, também pode incluir arquivos que não são executáveis em natureza, tal como documentos que podem precisar ser abertos ou outros arquivos de dados que precisam ser acessados. A Figura 1 é um fluxograma que descreve o processo de alto nível de distribuição e execução de aplicativo seguro de uma maneira consistente com uma modalidade exemplar da presente invenção. Uma modalidade da presente invenção habilita uma identificação de desenvolvedor a ser associada ao aplicativo, executa teste no aplicativo para o ambiente em que é pretendido que o aplicativo seja executado, designa permissões que podem ser usadas para ditar quais dispositivos ou sistemas podem executar o aplicativo, e provê remoção de aplicativo caso um aplicativo execute ações ilegais ou indesejáveis. É preferível que sistemas e métodos empreguem todas estas técnicas para aumentar a distribuição e execução segura de um aplicativo. Será reconhecido, porém, que mesmo o emprego de uma ou mais destas técnicas aumentará a distribuição e execução segura de um aplicativo. O processo de alto nível começa mediante associação da identificação de desenvolvedor com um aplicativo (Etapa 100). Este processo pode ser executado ao ligar a identificação de desenvolvedor com o aplicativo como ele é distribuído. Alternativamente, a identificação de desenvolvedor associado pode ser armazenada junto com o aplicativo correspondente em um servidor no sistema. Também é preferível que as informações de identificação de desenvolvedor sejam armazenadas e associadas com as informações de aplicativo de forma que não sejam facilmente modificadas. O aplicativo é a seguir testado para operação imprópria (Etapa 105) . 0 aplicativo pode ser usado em um ambiente em que a operação imprópria não apenas afeta o dispositivo no qual o aplicativo está sendo executado, mas também aqueles outros dispositivos que estão conectados ou em rede com aquele dispositivo. É preferível testar o aplicativo de forma que não faça chamadas de sistema impróprias ou afete negativamente o dispositivo ou outros dispositivos conectados durante sua operação. Em uma modalidade, este teste é executado por um processo de certificação em que o aplicativo é testado para determinar se atende critérios predeterminados. Também é preferível, ter um processo de certificação independente do desenvolvedor, para testar o aplicativo. A independência do processo de certificação encoraja teste mais acurado e confiável.

Antes de executar o aplicativo, o aplicativo é verificado para determinar se é "permitido" a executar no dispositivo (Etapa 110). Esta verificação pode ser executada pelo uso de permissões e regras, descritas abaixo, ou por outros mecanismos de permissão conhecidos pelos técnicos na área. Ademais, é preferível que o aplicativo seja verificado antes de cada tentativa de execução do aplicativo. Este processo de verificação persistente aumenta a segurança da execução do aplicativo. Como exemplo, ele vigia um aplicativo que possui cavalo de Tróia (Trojan horse) que pode ter sido inserido naquele aplicativo no dispositivo em execução através de outro aplicativo.

Um aplicativo que executa uma operação imprópria ou indesejável é então removida do dispositivo (Etapa 115). Isto impede o aplicativo de fazer qualquer dano adicional e também libera memória no dispositivo para outros usos. Alternativamente, o aplicativo não precisa ser removido do aplicativo. A remoção de um aplicativo pode estar relacionada a desabilitação do aplicativo e deixar o aplicativo no dispositivo. A Figura 2 descreve uma arquitetura de sistema na qual uma modalidade exemplar da presente invenção pode ser praticada. Um desenvolvedor 200 cria um aplicativo para uso no dispositivo sem fio 230. Como descrito acima, será reconhecido pelos técnicos na área que, enquanto a descrição precedente inclui um tipo de arquivo de aplicativo, outros tipos de arquivo podem ser usados. Ademais, será reconhecido pelos técnicos na área que a presente invenção pode ser usada com outros dispositivos sejam sem fio ou não e pode empregar redes sem fio, redes que não sejam sem fio, ou uma combinação de tais.

Tipicamente, o desenvolvedor 200 terá um conjunto de especificações de desenvolvimento para as quais desenvolver o aplicativo para executar no dispositivo sem fio 230. Em uma modalidade, o dispositivo sem fio inclui uma plataforma de software para ajudar na interface do aplicativo com o dispositivo sem fio, tal como o software BREW™ desenvolvido pela QUALCOMM, Incorporated, sediada em San Diego, Califórnia, EUA. 0 desenvolvedor pode criar o aplicativo que satisfaz a plataforma de software, ou software BREW™, padrões de especificação e convenções.

0 desenvolvedor 200 é conectado a um servidor central 205, em uma modalidade, de forma ele possa transmitir eletronicamente o aplicativo ao servidor central 205. Em uma modalidade, o servidor central é um servidor de sede de centro de controle de aplicativo (ACCHQ

Application Control Center Headquarters) usado na distribuição de aplicativos ao dispositivo sem fio. O desenvolvedor 200 pode assinar digitalmente o aplicativo (discutido adicionalmente abaixo) para determinar se o aplicativo foi modificado. Será reconhecido que uma conexão física ao servidor central não é necessária. Como exemplo o desenvolvedor 200 pode enviar, tal como através de correio de primeira classe, o aplicativo para o servidor central 205 armazenado em um CD-ROM.

Adicionalmente, o desenvolvedor envia várias informações de identificação de fonte ao servidor central 205. Estas informações de identificação de fonte podem incluir qualquer tipo de informações que podem ser associadas ao aplicativo que identifica o desenvolvedor, tal como um nome de companhia, identificação de imposto da companhia, ou outras informações identificadoras. 0 servidor central 205, seja apenas por si ou utilizando um servidor de certificação 210, é usado na análise e certificação de aplicativos. Em uma modalidade, um centro de controle de aplicativo (ACC - Application Control Center) pode ser usado como um servidor de certificação. O servidor de certificação 210 pode ser usado para analisar o aplicativo para determinar se o aplicativo satisfaz critérios de certificação predeterminados. Estes critérios podem incluir se o aplicativo satisfez a especificação de desenvolvimento para execução em um dispositivo sem fio ou plataforma. Os critérios de certificação, porém, podem ser qualquer critério que um aplicativo deve satisfazer antes da execução em um dispositivo sem fio ou plataforma. Tais critérios podem incluir a verificação: (a) de que o aplicativo funciona como reivindicado pelo desenvolvedor, de forma que o aplicativo não prejudica a operação do dispositivo sem fio (por exemplo, não estraga o telefone); (b) de que o aplicativo não acessa dados ou memória que não deve (por exemplo, não acessa dados ou arquivos de propriedade de outros aplicativos, o sistema operacional ou software de plataforma); e (c) de que não impacta negativamente nos recursos de dispositivos sem fio, tal como monopolízação danosa da entrada e da saida do dispositivo sem fio. 0 servidor central 205 também pode designar um conjunto de permissões em uma lista associada ao aplicativo. Esta lista de permissão é determinada através de diversos fatores, incluindo uma análise de se o aplicativo passou pelo processo de certificação, quais redes 220 o aplicativo é aprovado para executar, e se o dispositivo sem fio suporta o aplicativo. Pode haver muitos fatores usados para determinar uma lista de permissão o que é deixado aos técnicos na área ao implementar a presente invenção. 0 servidor central 205 recebe as informações de identificação de desenvolvedor e as correlaciona com o aplicativo criado pelo desenvolvedor 200. Caso existam quaisquer problemas com o aplicativo, o servidor central poderá identificar a fonte do aplicativo. Em uma modalidade, as informações de desenvolvedor são passadas ao dispositivo sem fio 230 de forma que a correlação possa ser executada pelo dispositivo sem fio ou outros sistemas conectados ao dispositivo sem fio.

Em uma modalidade, o servidor central também é conectado a um servidor de download de aplicativo (ADS -Application Download Server) 215. 0 servidor de download de aplicativo 215 é usado para conectar com um dispositivo sem fio através de uma rede sem fio 220 para fazer download de um aplicativo. O servidor central também pode enviar a lista de permissões e identificação de desenvolvedor associado com o aplicativo ao ADS em que pode ser armazenado até transmissão a um dispositivo sem fio. É preferido que o aplicativo, a lista de permissão e a identificação de desenvolvedor sejam assinadas digitalmente pelo servidor central para aumentar a segurança contra modificação.

Será reconhecido pelos técnicos na área que um ADS pode ser usado para conectar a múltiplas redes 220 para a distribuição de aplicativos, arquivos e outras informações para os diversos dispositivos sem fio 230. Ademais, redes sem fio ou não sem fio podem ser empregadas para transmitir a lista de permissão do aplicativo e identificação de desenvolvedor ao dispositivo sem fio.

Em resposta a uma requisição de um aplicativo, o ADS 215 enviará o aplicativo, a lista de permissão, a identificação de desenvolvedor e a(s) assinatura(s) digital(is) para o dispositivo sem fio 230 através da rede 220. Em uma modalidade, o dispositivo sem fio 230 conterá uma chave para verificar a assinatura digital para determinar se o aplicativo, a lista de permissão e/ou informações de desenvolvedor são modificadas. É preferido, caso assinaturas digitais sejam empregadas na presente invenção, que o servidor central use uma chave segura para criar a assinatura digital e instalar uma chave em um dispositivo sem fio para avaliar a assinatura digital. Mediante uso de uma chave segura, o dispositivo sem fio terá um grau maior de confiança de que a assinatura digital foi criada pelo servidor central e não por um impostor.

Caso o aplicativo cause qualquer erro no dispositivo sem fio, ou por qualquer outra razão desejada, o dispositivo sem fio pode iniciar a remoção do aplicativo. Ademais, um aplicativo pode ser removido do dispositivo sem fio com base em uma requisição do ADS ou servidor central. Esta requisição a partir do servidor pode ser iniciada para qualquer razão desejada. Como exemplo, o servidor pode iniciar a remoção de aplicativos de um dispositivo sem fio porque o aplicativo foi executado impropriamente em outro dispositivo, uma nova versão do aplicativo é distribuída, ou mesmo razões de negócios que ditam que o aplicativo deve ser removido. Este processo de remoção de aplicativo protege adicionalmente o ambiente de dispositivo sem fio de execução repetida de aplicativos corrompidos e/ou destrutivos. A Figura 3 descreve uma arquitetura de rede sem fio na qual um sistema de distribuição de aplicativo pode ser praticado em uma modalidade exemplar da presente invenção. Um servidor central 302 é uma entidade que certifica, seja por si mesma ou em combinação com um servidor de certificação, os programas de aplicativo como compatíveis com um conjunto definido de padrões de programação ou convenções. Como descrito anteriormente, estes padrões de programação podem ser estabelecidos de forma que o aplicativo executará em uma plataforma de software, tal como a plataforma BREW™.

Em uma modalidade, o banco de dados de servidor central 304 consiste em um registro das identificações para cada programa aplicativo que foi feito download a qualquer hora em cada dispositivo sem fio 330 na rede 300, um número de serviço eletrônico ("ESN" - Electronic Service Number) para o indivíduo que fez o download do programa aplicativo, e um número de identificação de móvel ("MIN" - Mobile Identification Number) único para o dispositivo sem fio 330 que porta aquele programa aplicativo. Alternativamente, o banco de dados de servidor central 304 contém registros de cada dispositivo sem fio 330 na rede 300 do modelo de dispositivo sem fio, operadora da rede sem fio, a região em que o dispositivo sem fio 330 é usado, e quaisquer outras informações úteis para identificar quais dispositivos sem fio 330 estão portando quais programas aplicativo. Adicionalmente, o banco de dados de servidor central também pode armazenar estas informações de identificação de desenvolvedor associadas a um aplicativo.

Em uma modalidade, o servidor central 302 também pode incluir uma fonte de comando de remoção 322. A fonte de comando de remoção 322 é a pessoa (s) ou entidade (s) que pode tomar a decisão de remover um ou mais programas aplicativo meta. A fonte de comando de remoção 322 também é a entidade que constrói um comando de remoção 316 (discutido abaixo) que é difundido a dispositivo sem fio identificado 330 que porta o(s) programa(s) aplicativo(s) meta(s). Alternativamente, e sem limitação, a fonte de comando de remoção 322 pode ser uma ou mais pessoas ou entidades envolvidas com o desenvolvimento e emissão do programa aplicativo meta, pessoas ou entidades envolvidas com a fabricação do dispositivo sem fio 330, e/ou pessoas ou entidades envolvidas com a função de qualquer parte da rede 300. O servidor central 302 comunica-se com um ou mais servidores de computador 306, por exemplo, um ADS, através de uma rede 308, tal como a Internet, preferivelmente segura. Os servidores 306 também se comunicam com uma rede operadora 310 através de uma rede 308. A rede operadora 310 comunica-se com o MSC 312 pela Internet e pelo sistema de telefonia ordinário plano (POTS - Plain Ordinary Telephone System) (coletivamente identificado na Figura 3 como 311) . A conexão de Internet 311 entre a rede operadora 310 e o MSC 312 transfere dados, e o POTS 311 transfere informações de voz. 0 MSC 312, por sua vez, é conectado a múltiplas estações base ("BTS") 314. 0 MSC 312 é conectado ao BTS pela Internet 311 (para transferência de dados) e pelo POTS 311 (para informações de voz). 0 BTS 314 envia mensagens de forma sem fio aos dispositivos sem fio 330 através do serviço de mensagens curtas ("SMS" - Short Message Service), ou qualquer outro método através do ar.

Um exemplo de uma mensagem enviada pela BTS 314 na presente invenção é um comando de remoção 316. Como discutido adicionalmente aqui, o dispositivo sem fio 330, em resposta à recepção de um comando de remoção 316, responde desinstalando um programa aplicativo meta armazenado no dispositivo sem fio 330. Em uma modalidade, o programa de remoção pode adicionalmente ou alternativamente ser programado para desabilitar o programa aplicativo meta ou reprogramá-lo para executar diferentemente. O dispositivo sem fio também pode apagar o aplicativo e quaisquer informações relacionadas, tal como uma lista de permissão. O comando de remoção 316 é construído pela fonte de comando de remoção 322 (que pode ou não ser a(s) mesma(s) pessoa(s) ou entidade(s) que tomam a decisão de iniciar uma remoção do programa aplicativo meta). O comando de remoção 316 é enviado pela fonte de comando de remoção 322 através da rede 300 para difusão aos dispositivos sem fio 330.

Mediante utilização do comando de remoção como descrito na modalidade acima, a segurança de distribuição e execução de aplicativo é aumentada ao prover um mecanismo para desinstalar aplicativos corrompidos ou indesejáveis. Será reconhecido pelos técnicos na área que, enquanto a descrição precedente descreveu um comando de remoção iniciado pelo servidor central, o dispositivo sem fio também pode iniciar a remoção ou desinstalação do aplicativo e de suas informações relacionadas.

De modo similar, a rede acima pode ser usada para enviar o aplicativo, a lista de permissão e as assinaturas digitais associadas a partir do servidor central para diversos servidores 306 (por exemplo, ADS) através do MSC e BTS para os dispositivos sem fio 330. A Figura 4 descreve um dispositivo sem fio e alguns componentes internos em uma modalidade exemplar da presente invenção. Enquanto esta modalidade é dirigida a um dispositivo sem fio 4 00, é usada como um exemplo sem qualquer limitação intencional. A invenção pode alternativamente ser executada em qualquer forma de módulo remoto capaz de se comunicar através de uma rede, incluindo, sem limitação, dispositivos sem fio e não sem fio, tal como assistentes pessoais digitais ("PDAs"), modems sem fio, cartões PCMCIA, terminais de acesso, computadores pessoais, dispositivos sem uma tela ou teclado, ou qualquer combinação ou subcombinação de tais. Estes exemplos de módulos remotos também podem possuir uma interface de usuário, tal como um teclado, tela visual ou tela sonora. O dispositivo sem fio 400 mostrado na Figura 4 possui um circuito integrado de aplicação especifica ("ASIC" - Application Specific Integrated Circuit) 415 instalado na ocasião em que o dispositivo sem fio 400 é fabricado. O ASIC é um componente de hardware que é dirigido por software incluído no ASIC. Uma interface de programação de aplicativo ("API" - Application Programming Interface) 410 também é instalada no dispositivo sem fio 400 no momento da fabricação. Em uma modalidade, a API representa uma API BREW ou plataforma de software. A API 410 é um programa de software configurado para interagir com o ASIC. A API 410 serve como uma interface entre o hardware do ASIC 415 e programas aplicativo (discutido abaixo) instalados no dispositivo sem fio 400. Alternativamente, o dispositivo sem fio 400 pode conter qualquer outra forma de conjunto de circuitos que permitiría que programas de serem operados da maneira que seja compatível com a configuração de hardware do dispositivo sem fio 400. O dispositivo sem fio 400 também possui armazenamento 405. O armazenamento 405 consiste em RAM e ROM, mas, alternativamente, podería ser qualquer forma de memória, tal como EPROM, EEPROM ou inserções de cartões flash. A área de armazenamento 405 do dispositivo sem fio pode ser usada para armazenar aplicativos recebidos e listas de permissão 425. Adicionalmente, a área de armazenamento 405 pode ser usada para armazenar uma ou mais "chaves" 430. Estas chaves podem ser aplicadas a uma assinatura digital que usa um algoritmo de assinatura para determinar se as informações assinadas foram modificadas.

As regras 435 também podem ser instaladas no dispositivo sem fio 400. Estas regras podem ser usadas junto com a lista de permissão para determinar se é permitido para um aplicativo executar. Como exemplo, uma regra pode declarar que é permitido para um aplicativo executar se um flag de certificação for configurado na lista de permissão (isto é, indicando a certificação de aplicativo aprovada). A lista de permissão terá o flag de certificação configurado ou não, dependendo se passou pela certificação. Mediante aplicação da regra às informações contidas na lista de permissão, a permissão para executar o aplicativo é concedida ou negada. O fabricante (não mostrado) do dispositivo sem fio 400 pode fazer download de programas aplicativo no armazenamento 405 do dispositivo sem fio 400 no momento em que o dispositivo sem fio 400 é fabricado. Estes programas aplicativo podem ser quaisquer programas potencialmente úteis ou de entretenimento para o usuário do dispositivo sem fio, tal como jogos, livro, ou qualquer outro tipo de dados ou programas de software. Os programas aplicativo também podem sofrer download pelo dispositivo sem fio 400 através do ar depois que o dispositivo sem fio é fabricado. O programa de remoção, quando executado pelo dispositivo sem fio 400, desinstala um ou mais programas aplicativo meta de um dos aplicativos armazenados no dispositivo sem fio 400. O programa aplicativo meta é um programa aplicativo que precisa ser desinstalado do dispositivo sem fio 400 por várias razões discutidas abaixo. O dispositivo sem fio 400 possui um banco de dados local 420 instalado pelo fabricante. A API do dispositivo sem fio é programada para atualizar automaticamente o banco de dados local 420 com um registro de informações de identificação sobre cada um dos programas aplicativo armazenados no dispositivo sem fio 400. 0 banco de dados local 420 contém um registro das identificações de assinatura únicas para cada programa aplicativo armazenado no dispositivo sem fio 402. Adicionalmente, o banco de dados local 420 pode conter um registro do local dos programas aplicativo dentro do armazenamento 405 no dispositivo sem fio 400 e quaisquer outras informações úteis para manter rastro de quais programas aplicativo sofrem download pelo dispositivo sem fio 400, e onde eles ficam situados. A Figura 5 é um diagrama de blocos que descreve informações usadas para criar uma assinatura digital e transmiti-la a um dispositivo sem fio em uma modalidade exemplar da presente invenção. Como é conhecido pelos técnicos na área, as assinaturas digitais podem ser usadas para rastrear se um arquivo digital foi modificado. Como descrito, as assinaturas digitais podem ser aplicadas a qualquer arquivo digital, incluindo documentos, aplicativos, bancos de dados, etc. Em geral, uma assinatura digital é criada mediante aplicação de uma chave a um arquivo utilizando um algoritmo de assinatura. Esta assinatura digital é criada utilizando as informações contidas no arquivo. Tipicamente, a assinatura digital é enviada junto com o arquivo a um destinatário. 0 destinatário do arquivo e da assinatura digital pode a seguir aplicar uma chave ao arquivo recebido e à assinatura digital para determinar se o arquivo foi modificado durante a transmissão ao destinatário.

As chaves usadas para criar e avaliar uma assinatura digital podem ser usadas para determinar a identidade do signatário. Por exemplo, uma chave pode ser gerada para criar uma assinatura digital por uma entidade e mantida em segurança. Esta entidade pode distribuir uma chave correspondente que pode ser usada para avaliar a assinatura digital. Se a chave é mantida em segurança e não comprometida, o destinatário que avalia a assinatura digital não apenas pode determinar se as informações foram modificadas, mas também a identidade do signatário.

Alternativamente, entidades de terceira parte podem criar chaves para entidades especificas de uma forma segura. Portanto, um destinatário que possui uma chave associada a uma identidade especifica poderá determinar se aquela entidade foi o signatário.

Em uma modalidade da presente invenção, uma assinatura digital 515 é gerada mediante uso da chave do signatário 525, por exemplo, uma chave do servidor central (ver Figura 2) , o aplicativo 500, a lista de permissão 505 e as informações de identidade de desenvolvedor 510 como entrada para um algoritmo de assinatura digital 530. 0 resultado é uma assinatura digital 515 que é dependente das informações contidas nas entradas.

Depois de criar a assinatura digital 515, o aplicativo 500, a lista de permissão 505, as informações de identidade de desenvolvedor 510 e a assinatura digital 515 são transmitidos ao dispositivo sem fio 520. O dispositivo sem fio pode a seguir usar a assinatura digital para determinar se quaisquer do aplicativo ou informações relacionadas (isto é, a lista de permissão e as informações de identidade de desenvolvedor) foram modificadas. Adicionalmente, o uso de uma das técnicas descritas acima, tal como uma chave segura, o dispositivo sem fio também pode ter confiança na identidade do signatário que transmitiu estas informações ao dispositivo sem fio. A Figura 6 é um fluxograma que descreve as etapas usadas por um servidor ou servidores na distribuição de um aplicativo de uma maneira consistente com uma modalidade exemplar da presente invenção. Nesta modalidade exemplar, o processo começa recebendo um aplicativo e uma assinatura digital (Etapa 600) . A assinatura digital é informações relacionadas ao aplicativo tal que possa ser determinado se o aplicativo foi modificado antes de sua recepção. Ademais, é preferível que a chave usada para assinar a assinatura digital seja designada por uma terceira parte de modo a validar que a entidade ou desenvolvedor que assinam o aplicativo é o desenvolvedor que recebeu a chave designada.

Depois de receber o aplicativo e a assinatura digital, a assinatura digital é avaliada para determinar se o desenvolvedor que enviou o aplicativo é o mesmo que assinou o aplicativo (Etapa 605) . Caso uma terceira parte tenha designado a chave ao desenvolvedor para criar a assinatura digital, a terceira parte pode também designar a chave para avaliar a assinatura digital à parte receptora, tal como para o servidor central descrito com relação à Figura 2. A identificação do desenvolvedor, ou qualquer que seja a entidade que assinou e/ou criou o aplicativo, é a seguir armazenada e associada ao aplicativo (Etapa 610). 0 armazenamento pode estar em uma tabela, banco de dados ou em alguma outra forma tal que possa ser recuperado depois no evento em que a identidade do desenvolvedor precisar ser determinada. Em uma modalidade, o armazenamento da identificação do desenvolvedor é armazenado em um dispositivo sem fio e não em um servidor. O aplicativo recebido é a seguir certificado para determinar se atende critérios especificados (Etapa 615) . Em uma modalidade, um aplicativo pode ser escrito para executar em uma plataforma especifica, tal como a plataforma BREW™ desenvolvida pela QUALCOMM, Incorporated, sediada em San Diego, Califórnia, EUA, usada em dispositivos sem fio. Uma plataforma especifica, ou dispositivo, pode possuir requerimentos específicos que um aplicativo deve satisfazer antes de tê-lo executado no dispositivo. Como exemplo, uma plataforma ou dispositivo pode requerer que um aplicativo não acesse localizações de memória específicas no dispositivo de modo que a integridade do dispositivo ou outros aplicativos localizados na memória não sejam comprometidos. Estes critérios podem ser especificados e o aplicativo pode ser testado para determinar se estes critérios serão atendidos. Preferivelmente, estes critérios são predeterminados e providos ao desenvolvedor para ser incorporado no desenvolvimento do aplicativo.

Depois da certificação, as permissões associadas com o aplicativo para um determinado ambiente são designadas (Etapa 620). A permissão pode ser designada com base em muitos fatores, dependendo do ambiente no qual a presente invenção é implementada. Em uma modalidade, os aplicativos são planejados para um dispositivo sem fio. Nesta modalidade, a designação de permissões pode depender da rede operadora, requerimentos de um dispositivo sem fio, resultados de testes de certificação, e desenvolvedor, operadora ou outros ambientes de testes, por exemplo. Portanto, um exemplo de uma lista de permissão é uma indicação de que o aplicativo passou no teste de certificação e que pode executar na rede de uma operadora especifica. 0 servidor a seguir assina digitalmente o aplicativo, a lista de permissão, e a identificação de desenvolvedor (Etapa 625) . Em uma modalidade, esta assinatura é executada utilizando uma chave segura de forma que a identidade do servidor possa ser determinada por aqueles que estejam recebendo estas informações assinadas digitalmente. Não é requerido que a assinatura do desenvolvedor que foi recebida pelo servidor também seja assinada ou que a assinatura do desenvolvedor seja enviada ao dispositivo sem fio. 0 aplicativo, a lista de permissão, a identificação de desenvolvedor e a assinatura criados na etapa 625 são a seguir transmitidos a um dispositivo sem fio (Etapa 630). A Figura 7 é um fluxograma que descreve as etapas usadas por um dispositivo sem fio ao executar um aplicativo de uma forma consistente com uma modalidade exemplar da presente invenção. Nesta modalidade, o dispositivo sem fio armazena regras para avaliar permissões associadas a um aplicativo (Etapa 700). Será reconhecido pelos técnicos na área que, enquanto a presente invenção descreve um paradigma de regras/permissões, há muitos paradigmas que podem ser usados para conceder permissão a um aplicativo para um dispositivo especifico ou plataforma e estes são considerados como dentro do escopo da presente invenção. 0 dispositivo sem fio a seguir recebe o aplicativo, a lista de permissão, a identificação de desenvolvedor e a assinatura digital (Etapa 705). Em uma modalidade, o dispositivo sem fio pode avaliar a assinatura digital recebida para determinar a identidade do signatário. A assinatura digital também pode ser usada para determinar se o aplicativo, a lista de permissão ou identificação de desenvolvedor foram modificados depois de terem sido assinados. 0 dispositivo sem fio a seguir recebe uma requisição para executar o aplicativo (Etapa 710) . Esta requisição pode ser procedente do usuário do dispositivo sem fio que deseja executar um programa. Alternativamente, a requisição pode ser realizada pelo próprio dispositivo sem fio ou alguma requisição transmitida ao dispositivo sem fio, ou através de uma rede ou conexão direta para o dispositivo sem fio.

Depois de receber a requisição, o dispositivo sem fio avalia a assinatura digital e a lista de permissão associada ao aplicativo antes de sua execução (Etapa 720). Como descrito, o dispositivo sem fio, em uma modalidade, pode usar regras para avaliar a lista de permissões. Caso mediante avaliação da assinatura digital seja determinado que o aplicativo, a lista de permissão ou a identificação de desenvolvedor não foram modificados, o dispositivo sem fio avalia a lista de permissão utilizando as regras armazenadas. Caso não houvesse nenhuma modificação e a avaliação das regras contra a lista de permissão indicasse que é concedida permissão para o aplicativo de executar no dispositivo sem fio, o processamento procede para executar o aplicativo no dispositivo (Etapa 730).

Caso a avaliação na Etapa 720 indicar que o aplicativo, a lista de permissão ou a identificação de desenvolvedor foram modificados depois de serem assinados, ou que seja negada permissão para o aplicativo de executar no dispositivo sem fio, o aplicativo não é executado (Etapa 725) . O processamento prossegue para remover o aplicativo do dispositivo sem fio (Etapa 750). Também é preferido que a lista de permissão e a identificação de desenvolvedor também sejam removidas do dispositivo sem fio. A etapa seguinte 730, a execução do aplicativo é monitorada para determinar se executar uma operação ilegal ou imprópria (Etapa 735) . 0 dispositivo sem fio ou a plataforma que o dispositivo sem fio está utilizando pode definir que certas operações são ilegais ou impróprias. Estas operações podem incluir aquelas de áreas de memória restritas ou localizações de memória usadas por outros programas ou arquivos. Adicionalmente, tais operações podem envolver usos prejudiciais dos recursos do dispositivo sem fio tal que eles não apenas possam afetar o dispositivo sem fio, mas outros dispositivos na rede do dispositivo sem fio que estejam ligados.

Caso uma tal operação ilegal ou imprópria seja tentada, a execução do aplicativo é parada (Etapa 745) e removida do dispositivo sem fio (Etapa 750) junto com, preferivelmente, a identificação de desenvolvedor e a lista de permissão. Como declarado acima, alternativamente, o processo de remoção pode envolver a desabilitação do aplicativo, impedindo assim sua execução, e mantendo o aplicativo no dispositivo sem fio.

Caso nenhuma operação ilegal, imprópria, ou indesejável seja executada na etapa 735, o aplicativo é permitido continuar sua execução (Etapa 740).

CONCLUSÃO O uso de mecanismos para certificar, detectar modificações, determinar a identidade de fonte, designar permissões, e incorporar a capacidade de remover o aplicativo, sistemas e métodos consistentes com a presente invenção aumentam a proteção e segurança na distribuição e execução de aplicativo. Os sistemas e métodos podem implementar poucos ou todos estes mecanismos. Quanto mais mecanismos implementados, maior será o grau de segurança que é alcançado.

Em uma modalidade, um desenvolvedor envia um aplicativo a um servidor. O desenvolvedor pode assinar o aplicativo para protegê-la contra modificação não autorizada. Um servidor verifica a identidade do desenvolvedor, e executa teste de certificação no aplicativo. 0 servidor também designa permissões ao aplicativo, ao criar uma lista de permissão. 0 aplicativo, a lista de permissão, a identificação de desenvolvedor são assinados digitalmente pelo servidor e enviados a um dispositivo sem fio junto com a assinatura digital. Um dispositivo sem fio verifica a assinatura digital por modificações e a lista de permissão em relação a regras armazenadas antes de executar o aplicativo. Em uma modalidade, estas verificações são executadas antes de cada tentativa de executar o aplicativo no dispositivo sem fio. Caso as verificações indicarem que o aplicativo foi modificado ou teve permissão negada de executar, o aplicativo não é executado e é removido do dispositivo sem fio. Ademais, se durante execução, o aplicativo tentar uma operação ilegal ou imprópria, o aplicativo é finalizado e a seguir removido do dispositivo sem fio. A descrição precedente de uma implementação da invenção foi apresentada para propósitos de ilustração e descrição. Não é exaustivo e não limita a invenção à forma precisa revelada. Modificações e variações são possíveis levando em conta os ensinamentos acima ou podem ser adquiridos a partir da prática da invenção. Como exemplo, a implementação descrita inclui software mas uma modalidade da presente invenção pode ser implementada como uma combinação de hardware e software ou apenas em hardware. A invenção pode ser implementada com sistemas de programação orientados a objeto e não orientados a objeto. Adicionalmente, embora aspectos da presente invenção sejam descritos como sendo armazenados em memória, os técnicos na área apreciarão que estes aspectos também podem ser armazenados em outros tipos de meios legíveis por computador, tal como dispositivos de armazenamento secundários, como discos rígidos, disquetes, ou CD-ROM; uma onda portadora da Internet ou outro meio de propagação; ou outras formas de RAM ou ROM. 0 escopo da invenção está definido pelas reivindicações e suas equivalentes.

Claims (12)

1. Método para um servidor processar e distribuir um aplicativo para uso em um dispositivo sem fio que se comunica através de uma rede sem fio, caracterizado pelo fato de que compreende: receber o aplicativo e uma primeira informação de identificação associada ao aplicativo, a primeira informação de identificação utilizável para confirmar uma identidade de uma origem do aplicativo; certificar se o aplicativo satisfaz a cada critério de um conjunto de critérios predeterminados, em que cada critério está respectivamente associado a um ambiente sem fio no qual o aplicativo pode ser executado; após a certificação, designar um conjunto de permissões ao aplicativo, o conjunto de permissões incluindo permissões dependentes dos resultados da certificação; e transmitir o aplicativo, o conjunto de permissões e uma segunda informação de identificação utilizável para confirmar uma identidade do servidor, para o dispositivo sem fio.

2. Método, de acordo com a reivindicação 1, caracterizado pelo fato de o conjunto de critérios predeterminados compreende um primeiro critério associado a um dispositivo de rede sem fio especifico ou plataforma no qual o aplicativo pode ser executado.

3. Método, de acordo com a reivindicação 1, caracterizado pelo fato de que na transmissão, pelo menos o aplicativo é transmitido utilizando uma técnica de detecção de modulação.

4. Método, de acordo com a reivindicação 3, caracterizado pelo fato de que a técnica de detecção de modulação usa uma assinatura digital.

5. Método, de acordo com a reivindicação 1, caracterizado pelo fato de que compreende adicionalmente: avaliar o aplicativo recebido e informação de identificação para determinar a identidade do desenvolvedor do aplicativo.

6. Sistema para processar e distribuir um aplicativo para uso em um dispositivo sem fio que se comunica através de uma rede sem fio, compreendendo: uma rede operadora; uma infraestrutura para suportar a rede sem fio, acoplada à rede operadora; e um servidor acoplado à rede operadora, caracterizado pelo fato de que compreende: dispositivo para receber o aplicativo e uma primeira informação de identificação associada ao aplicativo, a primeira informação de identificação utilizável para confirmar uma identidade de uma fonte do aplicativo; dispositivo para certificar se o aplicativo satisfaz a cada critério em um conjunto de critérios predeterminados, em que cada critério está respectivamente associado a um ambiente sem fio no qual o aplicativo pode ser executado; dispositivo para designar um conjunto de permissões ao aplicativo após o aplicativo ter sido certificado pelo dispositivo para certificar, o conjunto de permissões incluindo permissões que dependem dos resultados da certificação do aplicativo pelo dispositivo para certificar; e dispositivo para transmitir o aplicativo, o conjunto de permissões e uma segunda informação de identificação utilizável para confirmar uma identidade do servidor, para o dispositivo sem fio.

7. Sistema, de acordo com a reivindicação 6, caracterizado pelo fato de que o dispositivo para transmitir utiliza uma técnica de detecção de modificação para transmitir o aplicativo, o conjunto de permissões e a segunda informação de identificação para o dispositivo sem fio.

8. Sistema, de acordo com a reivindicação 6, caracterizado pelo fato de que o servidor compreende: uma rede inter-servidor; um primeiro servidor configurado para receber o aplicativo; um segundo servidor configurado para certificar o aplicativo; e um terceiro servidor configurado para designar um conjunto de permissões e transmitir o aplicativo; em que os primeiro, segundo e terceiro servidores estão, cada um, acoplados à rede inter-servidora e o terceiro servidor está acoplado à rede operadora.

9. Método para processar um aplicativo para execução em um dispositivo sem fio que se comunica através de uma rede sem fio, caracterizado pelo fato de que compreende: receber, de um servidor através da rede sem fio, uma transmissão compreendendo o aplicativo, um conjunto de permissões, cada permissão associada a um critério de certificação, e uma informação de identificação utilizável para confirmar a identidade do servidor; determinar, com base na avaliação, uma regra previamente armazenada no dispositivo sem fio no conjunto de permissões, se se habilita o aplicativo para execução; executar o aplicativo com base no aplicativo tendo sido habilitado para execução; e remover o aplicativo do dispositivo sem fio com base no aplicativo não tendo sido habilitado para execução.

10. Método, de acordo com a reivindicação 9, caracterizado pelo fato de que compreende: determinar se o aplicativo foi modificado durante a transmissão; e com base na determinação de que o aplicativo foi modificado durante a transmissão, remover o aplicativo do dispositivo sem fio.

11. Método, de acordo com a reivindicação 9, caracterizado pelo fato de que compreende adicionalmente: determinar se o aplicativo foi modificado durante a transmissão; e armazenar uma regra dispositivo sem fio.

12. Dispositivo sem fio que se comunica através de uma rede sem fio e é capaz de executar um aplicativo, caracterizado pelo fato de que compreende: uma interface sem fio para receber o aplicativo, um conjunto de permissões e uma informação de identificação; uma plataforma de computador, acoplada à interface sem fio, a plataforma de computador compreendendo um primeiro armazenador para armazenar uma regra definida previamente, e um segundo armazenador para armazenar o aplicativo, o conjunto de permissões e a informação de identificação; em que a plataforma de computador é configurada para determinar, com base na avaliação da regra no conjunto de permissões: se se habilita o aplicativo para execução; executa o aplicativo com base no aplicativo tendo sido habilitado para execução; remove o aplicativo com base no aplicativo não tendo sido habilitado para execução.