CN100563242C - 证书信息存储系统和方法 - Google Patents

Abstract

提供了一种在计算机设备中存储来自数字证书的数字证书数据的系统和方法。当在计算机设备处接收到数字证书时，确定是否在数字证书中的数字证书数据存储在计算机设备中的第一存储器存储单元中。一旦确定所述数字证书数据没有存储在所述第一存储器存储单元，数字证书数据存储在第一存储器存储单元中。

Description

证书信息存储系统和方法

本申请要求2002年3月20号提交的序列号为60/365,516的美国临时专利申请的利益，其全部公开以引用方式包含于此。

技术领域

本申请一般地涉及安全电子消息领域，并且特别涉及在计算机设备的存储器中存储包含在电子消息中的密码信息。

背景技术

已知的安全消息客户机，诸如在一个计算机设备上运行的电子邮件软件应用保持分离的数据存储单元或数据存储区，用于存储与其它信息分离的安全消息信息。该种安全消息信息可以包括数字证书、公钥等。其它信息可以包括诸如地址本之类的联系信息、诸如日历提醒器和约会之类的计划信息。数字证书可以包括与其它类型的存储信息相关的信息。例如，数字证书通常包括实体的公钥及用一个或多个数字签名捆绑到公钥的标识信息。当一个数字证书被加载到一个系统上用于由消息客户机使用时，如果实体的联系信息还没有存储到消息客户机可访问的地址存储单元，那么用户必须人工增加用于在数字证书中标识的实体的联系信息到地址本或存储在消息客户机上的类似的联系表，或每次一个消息发送到该实体时人工输入该实体的地址。

发明内容

按照本发明一个方面在消息客户机处存储来自接收的数字证书的数字证书信息的方法包括步骤：从所述数字证书中提取所述数字证书信息，确定所提取的数字证书信息是否存储在所述消息客户机处的数据存储单元中，和在所提取的数字证书信息没有存储在数据存储单元中的情况下，在所述数据存储单元中存储所述提取的数字证书信息。

按照本发明另一个方面在消息客户机处存储数字证书信息的系统包括：数字证书加载器模块，被配置接收数字证书；和数字证书信息注入器模块(digital certificate injector module)，被配置在所述数字证书由所述数字证书加载器模块接收之后，从数字证书提取数字证书信息，确定是否所述提取的数字证书信息存储在第一数据存储单元中的条目中，并且在所述提取的数字证书信息没有存储在所述第一数据存储单元中的条目中的情况下，存储所述提取的数字证书信息在所述第一数据存储单元中。

按照本发明的另一方面，管理存储在移动通信设备中的数字证书数据的方法包括步骤：在移动通信设备处接收所传送的数字证书数据，比较所述传送的数字证书数据与存储在移动通信设备中的存储器存储单元中的数字证书数据，和更新所述存储器存储单元以包括没有存储在所述存储器存储单元中的传送的数字证书数据。

附图描述

图1是消息系统的方框图。

图2是图示消息系统和安全电子邮件消息交换的方框图。

图3是带有数字证书信息存储系统的移动设备的方框图。

图4是图示存储的数字证书信息的方法的流程图。

图5是图示产生和发送具有存储在数字证书信息存储系统中的数字证书信息的消息的方法流程图。

图6是图示基于数字证书相关事件执行数字证书相关操作的方法流程图。

图7是数字证书信息存储系统的结构方框图。

图8是无线移动通信设备的方框图。

图9是展示示例通信系统的方框图。

图10是可选通信系统的方框图。

图11是另一可选通信系统的方框图。

具体实施方式

安全消息包括已经用数字签名签名的、加密的或其它处理以保证一个或多个数据保密性、数据整体性和用户验证(user authentication)的消息。例如，安全消息可以是由消息发送器已经签名、加密、加密然后签名或签名然后加密的消息。这些操作可以按照已知标准诸如安全多用途互联网邮件扩展(S/MIME)标准执行。

图1是一个消息系统的方框图。有很多不同的系统拓扑，并且图1所示的系统是可以由在此公开的系统和方法使用的多个系统之一。

系统10包括：广域网络(WAN)12，其耦合到计算机系统14、无线网络网关16和公司局域网络(LAN)18。无线网络网关16还连接到无线通信网络20，其中配置一无线移动通信设备22运行其中，所述无线移动通信设备在此主要指移动设备。

计算机系统14代表被配置连接到WAN 12的桌上型或膝上型PC。WAN 12能够是专用网络或较大的公共可访问的网络诸如互联网。PC诸如计算机系统14通常通过互联网服务提供商(ISP)，应用服务提供商(ASP)等访问互联网。

公司LAN18是基于互联网的消息客户机的例子。如所示，公司LAN18通常位于安全防火墙24的后面。在公司LAN30内，是运行于防火墙24内的计算机上的消息服务器26，其作为主要接口用于公司在LAN18内交换信息和通过WAN12与其它外部消息客户机交换消息。两个所知的最普通的消息服务器26是Microsoft^TM Exchange和Lotus Domino^TM。这些服务器通常与路由和传递邮件的互联网邮件路由器一起使用。消息服务器26可以扩展超过仅仅的消息发送和接收功能，提供诸如已经预定义数据库格式用于如日历、计划表、任务表、电子邮件和文档数据的动态数据库存储引擎的功能。

消息服务器26向LAN18中的一个或多个网络计算机系统28提供消息能力。典型的LAN包括总的示为计算机系统28的多个计算机系统，每个实现一消息客户机，最通常作为诸如Microsoft Outlook^TM的软件应用，用于消息功能。在LAN 18内，消息由消息服务器26接收，分布给在接收的消息中编址的用户帐户的合适信箱，并且能够由用户通过在一个或多个计算机系统28中的计算机访问。尽管在LAN18内的消息客户机运行于计算机系统28上，还有很多已知的与手持设备和其它系统或带有电子消息能力的设备一起运行的消息客户机。象消息服务器26，消息客户机还可以具有附加的非消息功能。

无线网关16给无线网络20提供接口，通过该接口可与移动设备22交换消息。这些功能诸如移动设备22的编址、用于无线传输的编码或其它转换消息和其它需要的接口功能由无线网络网关16执行。如果配置无线网关16与多于一个无线网络20操作，无线网关16也可以确定用于定位一个给定的用户的最可能的网络，并且当用户在国家或网络之间漫游时可跟踪他们。

任何访问WAN 12的计算机系统可以通过无线网络网关16与移动设备22交换消息。或者，也可以实现专有无线网络网关诸如无线虚拟专有网络(VPN)路由器以给无线网络诸如20提供一个专有接口。例如，在LAN 18中实现的无线VPN可以通过无线网络20提供一个从LAN 18到一个或多个移动设备的专有接口。

这种通过无线网络网关16和/或无线网络20到无线设备的专有接口通过提供与消息服务器26操作的消息转发或重定向系统有效地扩展到LAN 18外部的实体。在该类型的系统中，由消息服务器26接收并且编址到具有移动设备22的用户的输入消息通过无线网络接口，例如一无线VPN路由器、无线网关16或其它接口重定向到无线网络20及到用户移动设备22。在消息服务器26上运行的示例重定向器系统可以具有在美国专利号6,219,694中公开的类型，该专利标题为“用于从主系统到具有共享电子地址的移动数据通信设备推信息的系统和方法”，其全部公开通过引用包含在此。

在无线网络诸如20中，通常通过无线网络20中的基站和移动设备之间的RF传输，传递消息到移动设备诸如移动设备22和从移动设备诸如移动设备22接收信息。当代无线网络典型地服务成千的订户(subscriber)，每个订户具有一个移动设备。无线网络20例如可以是不同类型的无线网络之一，诸如数据中心型无线网络、语音中心型无线网络或/和通过相同的物理基站能够支持语音和数据通信的双模式网络。双模式网络包括但不限于最近开发的码分多址(CDMA)网络、移动特别小组或全球移动通信系统(GSM)和通用分组无线业务(GPRS)、和将来第三代(3G)网络象用于全球演进的增进型数据比率(EDGE)和通用移动电信系统(UMTS)。GPRS是在GSM无线网络上的数据覆盖，实际运行于欧洲中的每个国家。

其它数据中心网络的例子，包括但不限于Mobitex^TM无线网络(“Mobitex”)，和DataTAC^TM无线网络(“DataTAC”)。较老的语音中心型数据网络的例子包括个人通信系统(PCS)网络象CDMA、GSM和时分多址(TDMA)。

移动设备22可以是数据通信设备、语音通信设备或能够进行语音、数据和其它类型通信的多模式设备。参照图8在下面进一步详细描述一个示例的移动设备22。

也许当前使用的最普遍的消息是电子邮件。在标准的电子邮件系统中，电子邮件消息由电子邮件发送器很可能通过消息服务器和/或服务提供者系统发送、并且典型地经互联网路由到一个或多个消息接收器。电子邮件消息通常用未加密发送，并且使用传统的简单邮件传递协议(SMTP)、RFC822首标(header)和MIME主体部分定义电子邮件消息的格式。如上简单描述的，路由到编址的消息接收器的消息能够重定向到移动设备。由于无线链路不能以与有线连接相同的方式得到物理保护，通常加密消息用于通过无线网络传送。如果消息发送器和每个接收器之间也使用安全传输机制，能够进一步增强整个消息安全性。

在近些年，安全消息技术已经得到发展以保护消息诸如电子邮件消息的内容和完整性。S/MIME和Pretty Good Privacy^TM(PGP^TM)是两个公钥安全电子邮件消息协议，设有加密以保护数据内容，和签名以保护消息的完整性和设有由消息接收器进行的发送器验证。

图2是图示一个消息系统和安全电子邮件消息交换的方框图。图2中的消息系统示出了涉及在电子邮件发送器30和移动设备22处运行的两个消息客户机之间示例电子邮件消息交换中的组件。很多其它组件可以出现在整个消息系统中，并且在路由从发送器30到接收器、移动设备22的消息中涉及，但这些组件没有示于图2以避免图中的拥挤。图2还示出了一个加密和签名的消息作为安全消息的一个例子。在此公开的系统和方法还可以应用到能够发送和接收其它类型的安全消息的消息客户机。例如，也可以配置消息客户机以发送安全的或未加安全的消息，以响应于缺省的配置设置或在发送器系统处由用户进行的每个消息的选择。

图2中的系统包括被配置对WAN 32访问的电子邮件发送器30。无线网关34提供到调整移动设备22操作于其中的无线网络36的接口。

电子邮件发送器30例如可以是PC诸如图1中的系统14，或它可以是联网的计算机诸如28。电子邮件发送器30也可以是移动设备，在其上可以创建和发送电子邮件消息。WAN32、无线网关34、无线网络36和移动设备22实际上与图1中类似标记的组件相同。

按照安全消息方案诸如S/MIME和PGP，使用由电子邮件发送器30选择的一次性会话密钥加密消息40。使用会话密钥加密消息体，然后使用消息将要被发送到的每个编址消息接收器的公钥，进行自身加密。用该方法加密的消息40包括加密的消息体44和加密的会话密钥46。在这种类型的消息加密方案中，消息发送器诸如电子邮件发送器30必须具有对加密的消息要发送到的每个实体的公钥的访问。

安全电子邮件消息发送器诸如30通常通过取消息的摘要并且使用发送器的私钥签名摘要来对消息进行签名。例如可以通过对消息执行校验和(check-sum)、循环冗余检验(CRC)、摘要算法诸如消息摘要算法5(MD5)、散列算法诸如安全散列算法1(SHA-1)或某些其它优选的非可逆操作，产生摘要。在图2所示的例子中，加密的消息体44和加密的会话密钥二者被使用产生一个摘要。然后由发送器30使用发送器私钥签名该摘要。例如使用签名私钥对摘要执行加密或其它转换操作以产生摘要签名。包括摘要和摘要签名的数字签名然后被附加到输出消息，如在42示出的。发送器数字证书，其包括发送器公钥和用一个或多个数字签名捆绑到公钥的发送器标识信息的发送器证书、及可能的任何链式数字证书和与发送器数字证书及任何链式证书相关的证书注销列表(CRL)，也可以附加到安全消息40。

在S/MIME中，数字签名，以及任何数字证书和CRL(如果包括)通常放置在消息的开始，如图2所示。按照其它安全消息方案的消息可以以与所示出的不同的次序放置消息组件，或者包括附加的和/或不同的组件。例如，安全消息40至少包括可能被签名但大部分通常不加密的编址和可能其它首标信息。

当从电子邮件发送器30发送安全电子邮件消息40时，它通过WAN 32路由到无线网关34。如上所述，电子邮件发送器30可以直接发送消息40到无线网关34，或可以替换为消息40传递到与移动设备22相关的计算机系统然后通过无线网关34重定向到移动设备22。或者，消息可以通过无线网络36经无线VPN路由器路由到或重定向到移动设备22。

这样一个签名消息的接收器，在图2中所示的例子中的移动设备22，可以验证数字签名42。为了验证摘要签名42，移动设备使用对应于消息发送器使用的签名产生算法的数字签名检验算法(其可以在消息首标或数字签名42中指定)和发送器公钥。如果安全消息包括发送器的数字证书，然后可以从数字证书中提取发送器公钥。例如在公钥从来自发送器的较早消息提取并且存储在接收器本地存储单元中的密钥存储单元中、或发送器的数字证书存储在本地存储单元中的情况下，或公钥从公钥服务器中提取的情况下，可替换为从本地存储单元中提取发送器公钥。PKS是通常与证书权威机构(Certificate Authoruty：CA)相关的服务器，从证书权威机构得到一个实体的数字证书包括实体的公钥。PKS可以驻留在公司LAN内诸如图1的LAN 18，或WAN32上、互联网或其它网络或系统上的任何地方，通过它消息接收器可以建立与PKS的通信。

尽管数字签名算法和摘要算法可能是公知的，发送器使用其自己的私钥签名原始消息。因此，改变原始消息的实体不能产生用发送者公钥验证的数字签名。如果一个发送消息在由发送器已经签名之后由攻击者改变，那么基于发送器公钥的数字签名验证失败。这些数学运算不防止任何人看到安全消息的内容，但是保证消息没有被篡改，因为它由发送器签名，并且保证消息由如消息的‘From(来自)’字段所指示的人签名。

当数字签名42已经被验证，或者某些时候即使数字签名验证失败，那么加密的消息主体44在能够被显示或进一步处理之前被解密。消息接收器使用其私钥解密被加密的会话密钥46然后使用解密的会话密钥解密被加密的消息主体44并且由此恢复原始消息。解密通常需要用户方的行动，诸如口令字或口令词的输入。通常，加密的消息将仅以其加密的形式存储在接收消息客户机处。每次显示或另外处理消息，首先解密它。本领域技术人员将理解实体可以具有多于一个相关的加密密钥对，诸如签名私钥/公钥对和加密私钥/公钥对。于是，移动设备22可以使用一个私钥以解密加密的消息主体44和不同的私钥以数字签名一个输出的安全消息。

被编址到多于一个接收器的加密消息包括使用接收器的公钥加密的用于每个接收器的会话密钥的加密版本。每个接收器执行相同的数字签名验证操作，但是将使用其自己的私钥解密不同的一个加密会话密钥。

因此，在安全消息系统中，发送消息客户机必须可以使用加密消息将发送到的任何接收器的公钥。接收消息客户机必须能够获得发送器的公钥，这可通过各种机制对消息客户机可用，以便验证签名消息中的数字签名。

公钥通常提供于数字证书中。如上所述，对于任何特定的实体的数字证书典型地包括实体公钥和用数字签名捆绑到公钥的标识信息。几个类型的数字证书当前广泛使用，包括例如典型用于S/MIME中的X.509数字证书。PGP使用稍微不同格式的数字证书。也可以使用其它数字证书，诸如按照专用的标准的数字证书的数字证书。

在数字证书中的数字签名由数字证书的发行者产生，并且实际如上所述能够由消息接收者检验。数字证书可以包括过期时间或有效期，根据其消息客户机确定数字证书是否已经过期。数字证书的有效性的验证也可涉及通过证书链跟踪证书路径，证书链包括用户的数字证书和其它数字证书以验证用户数字证书是真实的。数字证书还可以针对CRL检验，以保证证书没有被注销。

如果对于特定实体的证书中的数字签名是有效的，数字证书没有过期或被注销，并且数字证书或链式数字证书的发行者是信任的，则假定数字证书中的公钥是数字证书被发行的实体、也称为证书主题的公钥。

数字证书可用于来自几个源的消息客户机。当数字证书附加到接收的消息时，数字证书能够从消息中提取，并且存储在消息客户机中的存储器存储单元(memory store)中。另外，数字证书可从LAN上的PKS、互联网或其它请求者可以建立通信的网络被请求并且下载。也期望，消息客户机可以从其它源而不是PKS加载数字证书。例如很多现代的移动设备被配置连接到PC。通过将移动设备连接到PC以通过物理连接诸如串行口或USB口，下载数字证书，可以减少数字证书的无线传送。如果使用这种物理连接加载用于用户希望发送加密消息的实体的证书，然后，当加密消息发送到这些实体的任何一个时，这些证书不需要被下载。用户可类似地加载用于将接收签名的消息的实体的证书，这样可以验证数字签名，即使这些实体之一不将其数字证书附加到签名的消息。

当数字证书已经被存储并且由消息客户机可访问时，如果联系信息没有已经被存储用于该主题实体，已知的消息客户机需要人工联系信息输入用于每个数字证书的主题实体(subject entity)。当多个数字证书下载到移动设备时，与每个数字证书相关的人联系信息的人工输入可变得特别繁重。在数字证书中的其它信息诸如数字证书过期时间或有效期对于消息客户机操作也可能是重要的，并且其人工输入可能同样是不方便的。

在一个实施例中，数字证书信息当被加载到移动设备22并且存储在移动设备22上的地址本中或类似的联系信息存储单元中，或可能其它数据存储单元中时，从每个数字证书提取。

图3是带有数字证书信息存储系统的移动设备22的方框图。参照图8更详细地描述示例的移动设备22。

如图3中所示，包含数字证书信息存储系统的移动设备22包括：存储器52、数字证书加载器60、联系信息注入器62、键盘和用户接口(UI)64、无线收发器66和串行或通用串行总线(USB)口68。存储器52最好包括多个不同的存储区或数据存储单元，在图3中示为数字证书存储单元54、存储联系信息的地址本56、存储其它数字证书信息的提取的数字证书信息存储单元57和应用数据存储区58。

存储器52是可写存储器诸如其它设备组件可以写入数据的RAM或快闪存储器。数字证书存储单元54是设备22上专用于数字证书的存储的存储区。数字证书可以以它们被接收的格式存储在数字证书存储单元54中，或者可选地在写到存储单元54之前被解析或另外翻译成一种存储格式。地址本56是存储移动设备22的用户可以与其交换消息的实体的联系信息。地址本还可以存储物理地址、通信地址和其它联系信息，除了或代替用于使用移动设备22通信使用的信息。所提取的数字证书信息存储单元57被配置存储来自存储在数字证书存储单元中的数字证书的其它信息，以使能特定数字证书信息的更简单或更快的处理或安装在移动设备22上的其它系统或软件应用对数字证书信息的应用。例如，能够从数字证书中提取过期时间或有效期，并且用于为移动设备22的用户建立约会或提醒器由此当存储的数字证书已经过期或不再有效时，提供一个指示给用户。应用数据存储单元58存储与在移动设备22上的软件应用相关的数据，并且代表可以存储在存储器52中的其它信息的一个示例。存储器52也可以由除了示于图3中的那些之外的其它设备系统使用。

将通常实现为软件模块或应用(application)的是证书加载器管理数字证书到移动设备22上的加载。如上所述，移动设备可以从各种源获得数字证书。因此，数字证书加载器60连接到信息模块诸如无线收发器66和串行或USB口68，通过这些模块可以能够请求和接收数字证书。例如，当从没有数字证书已经存储在数字证书存储单元54中的实体接收安全消息或安全消息要发送到该实体时，移动设备22可以通过无线收发器66从PKS请求数字证书，并且还通过无线收发器66从数字证书源响应于所述请求接收数字证书。串行或USB口68还可以结合类似装备的PC使用以将数字证书下载到移动设备22上。

数字证书信息注入器62最好监视数字证书存储单元54，以当新数字证书存储到数字证书存储单元54中时检测新数字证书。或者，可以配置数字证书加载器60当一个数字证书加载到设备22时，通知数字证书信息注入器62。一旦确定一个新数字证书已经存储到数字证书存储单元54，数字证书信息注入器62从数字证书提取信息。当提取联系信息时，数字证书信息注入器62通过或者使用所提取的联系信息在地址本56中创建一个新条目或者通过存储所提取的联系信息到地址本56中的一个现有条目中，存储所提取的联系信息到地址本56。

在建立一个新地址本条目之前，数字证书信息注入器62最好检查地址本56以确定是否联系信息或可能联系信息的某部分已经存储在地址本56中的条目中。例如，当使用一个电子邮件地址在数字证书中指定一个主题名时，数字证书信息注入器62可以从地址本56搜索一个电子邮件地址，并且只有当在地址本56中没有发现该电子邮件地址时创建一个新地址本条目。当在地址本56中存在用于数字证书主题的条目时，如果进一步的联系信息在数字证书中被提供并且由数字证书信息注入器62提取时，数字证书信息注入器62最好为所述主题检查现有条目，以确定是否在地址本项目中还存在进一步的联系信息。没有，那么最好通过存储进一步的联系信息到现有条目更新现有条目。因此，数字签名信息注入器62可以通过或者使用提取的信息增加新条目或者存储提取的信息到现有条目，更新地址本。

数字证书信息注入器62可以类似地从加载到移动设备22上的数字证书中提取其它信息用于存储在不同存储单元或存储区57中。例如，如上简述，数字证书可以包括数字证书过期或有效信息，其能够用于为移动设备22的用户创建一个约会或提醒器，以当数字证书过期或无效或将要过期或变得无效时告警用户。在该例中，数字证书信息注入器62最好提取数字证书主题名和过期或有效性信息，并且检查所提取的数字证书信息存储单元57以确定是否一个条目已经存在用于所述主题。没有，然后一个新条目即新提醒器或约会使用所提取的数字证书信息在存储单元57中被创建。当在存储单元57中存储用于该主题的条目时，然后可以检查在现存条目中的过期或有效性信息，以确定是否它与提取的信息相同。没有，然后数字证书信息注入器62最好用提取的信息更新现有的条目。例如当新数字证书信息已经被加载以替换还没有过期的数字证书时有用。因此，如上，数字证书信息注入器62可以通过或者使用提取的信息增加新条目或存储提取的信息到现有条目，更新存储单元57。

数字签名中的其它信息能够被类似地提取并且存储在移动设备22上的存储器52中。被提取和存储的数字证书信息的类型能够由移动设备用户例如通过建立与数字证书信息注入器62相关的设定可配置。

在另一实施例中，数字证书信息注入器62访问数字证书存储单元54以提取数字证书信息。从存储的数字证书提取数字证书信息的特定方案，依赖于数字证书存储在数字证书存储单元54中的格式。数字证书以它们被接收的格式存储在数字证书存储单元54中，那么数字证书信息注入器62从数字证书存储单元获得数字证书，并且解析或另外将数字证书翻译成合适的格式，以便能够识别和提取数字证书信息。如果通过数字证书加载器60解析或翻译接收的数字证书，以便所解析的数据存储在数字证书存储单元54中，那么数字证书信息注入器62当被要求填充(populate)其它数据存储单元56、57中的条目中的字段时，可以在数字证书存储单元54中从解析的数据只读取相关信息字段。在后者例子中，数字证书加载器60可以被配置从数字证书到数字证书信息注入器62传递数字证书信息，然后所述注入器如上所述存储数字证书信息到地址本56或提取的数字证书信息存储单元57。

诸如图3所示的数字证书信息存储系统的实现，最好不排除通过输入装置诸如键盘/UI 64的地址本或其它信息的输入。当可能偶尔需要时，例如当一个用户希望增加进一步的联系信息到现有的地址本条目或改变现有地址本条目中的信息或人工增加新地址本条目时，键盘/UI或可能其它输入设备提供人工联系信息输入和编辑。

尽管在图3中示出了单个存储器52，移动设备22可以包括几个不同的存储器单元，使得存储单元54，56，57，58可以以分离的存储器单元实现。然而，在多存储器系统中的数字证书信息存储系统的整个操作基本如上所述。

在此公开的系统和方法不限于具有图3中所示的存储器配置的移动设备22中的实现。例如，可以提供另外的数据存储单元，并且配置用于存储从数字证书中提取的信息。所提取的数字证书信息存储单元57被打算作为用于数字证书信息而不是联系信息的存储单元的一般例子。类似地，可以使能较少的数据存储单元用于数字证书信息提取和存储，以便只有一种数字证书信息例如联系信息被自动存储。

尽管数字证书加载器60和数字证书信息注入器在图3中所为分离的方块示出，数字证书加载器60和数字证书信息注入器62可以作为单个软件模块或作为分离的软件模块被实现。

数字证书信息存储系统还可以在应用数据存储单元58中创建或更新应用数据。在基于从数字签名中提取的过期或有效性信息创建或修改提醒器或约会的上述例子中，这样的一个提醒器或约会将典型地通过移动设备22上的一个议程或日历软件应用使用。

数字证书信息存储还可以应用到不是移动设备22的其它类型的系统。例如在桌面或膝上PC上，即使数据条目趋于比移动设备22上的更容易，数字证书信息提取和存储节省了与用于存储在系统上的每个数字证书的人工数字证书信息输入相关的时间和努力。

图4是图示存储数字证书信息的方法的流程图。当数字证书加载到设备上，诸如当检测到一个数字证书存储到数字证书存储单元时，在步骤70开始该方法。在步骤72，从数字证书提取数字证书信息。为了防止在数据存储单元中创建双重的条目，最好在步骤74执行判定，判定是否数字证书信息或其一部分诸如电子邮件地址或主题名是否已经存储在数据存储单元中的一个条目中。如果在数据存储单元中已经存在数字证书信息，然后在步骤75，最好检查现有条目，以确定是否进一步提取的数字证书信息(如果有的话)存在于条目中。如上所述，在步骤74能够使用数字证书主题名，以检验在数据存储单元中的条目，而在步骤75能够检查一个现有条目，以确定是否其它提取的信息诸如过期时间或有效期已经存储在现有条目中。在步骤77，如果在现有条目中没有发现进一步的联系信息，那么通过增加进一步提取的信息更新现有条目。

当从数字证书中提取的信息是联系信息时，在步骤79可以在包括提取的联系信息或已经用提取的联系信息更新的地址本条目中设定安全消息标记。该标记指示一个相应的数字证书被存储用于该联系。当用户编址一个消息给该联系时，由此可以容易地确定是否已经接收和加载用于该联系的数字证书，并且由此确定是否安全消息可以发送到该联系，而不用首先从外部数字证书源获得用于该联系的数字证书。该标记或一个进一步的标记或指示符也能用于使得安全消息按照一个优选的可配置缺省安全消息方式发送到一个联系。或者，无论何时一个消息被编址到具有一个安全消息标记设置的联系时，用户可以被提示选择一个消息模式，例如包括明文模式(非安全)或多签名和/或加密安全模式之一。

当在任何现有的数据存储条目中没有发现提取的数字证书信息，在步骤74产生否定的判决时，在步骤78自动创建一个新条目，并且在步骤80使用提取的信息填充新条目中的字段。然后在步骤82，如上所述为一个新地址本条目设定安全消息标记。然后，新条目可以类似于在数据存储单元中的任何其它条目，或可能的在另一数据存储单元中的类似条目被使用，并且新条目例如可以被编辑，删除，转发到其它用户，显示等。在新地址本条目的情况下，也可以使用新条目编址输出消息或用熟悉的名字代替在接收的消息中的发送者地址。

图5是图示产生和发送具有存储在数字证书信息存储系统中的数字证书信息的消息的流程图。在步骤90开始该方法，其中在移动设备22产生消息并且被编址到一个或多个接收者。例如可以通过用户从地址本存储单元56中人工选择电子邮件地址，或通过答复先前在移动设备22处接收的消息，可以编址该消息。

在步骤92，移动设备22确定是否数字证书信息存储在数字证书存储单元54(或提取的数字证书信息存储单元57)中用于消息被编址到的相应的实体。通过检验与编址的接收者相关的安全消息标记或通过搜索数字证书存储单元54(或提取的数字证书信息存储单元57)接收者的电子地址，可以进行确定。如果数字证书信息没有存储在数字证书存储单元54中，然后如在步骤94中所示的，显示无证书信息选项列表。然后，由用户选择无证书信息选项中的一个，如在步骤96中所示的。如图示，显示并且可选地选择的无证书信息选项包括：请求编址的接收者的一个数字证书的选项，如在步骤98中所示的；退出消息的选项，如在步骤100中所示的；或发送消息的选项，如在步骤102中选择的。

如果选择请求编址的接收者的数字证书的选项，如在步骤98中所示的，那么消息存储在移动设备22，并且移动设备22为了消息的被编址接收者的数字证书发送一个请求到数字证书提供者。一旦接收到数字证书，用户例如可以从几个安全操作之一诸如加密消息或使用编址的接收者的公钥的会话密钥进行选择。

如果选择退出消息，如在步骤100中所示的，然后退出消息操作，并且不发送产生的消息。

如果选择发送消息的选项，如在步骤102中所示的，那么不加密发送消息。当然，用户可以使用私钥数字签名消息，并且可以进一步附加用户数字证书到输出消息。

在步骤92，如果移动设备22确定数字证书信息存储在数字证书存储单元54中，那么在步骤104，移动设备22确定是否数字证书时一个有效的数字证书。如果数字证书不有效，然后执行步骤94，也可以按照用户确定，执行随后的步骤96、98、100和102。

如果在步骤104移动设备确定数字证书是一个有效证书，然后移动设备确定是否已经设定缺省的发送标记，如在步骤106中示出的。

如果设定所述缺省的发送标记，则如在步骤102中所示发送消息。确定发送标记的设定可以由用户人工设定或可以自动的。缺省的发送标记的自动设定可以结合到安全消息标记的设定。在一个实施例中，安全消息标记也执行缺省发送标记的功能。在另一实施例中，缺省的发送标记和安全消息标记是可以独立设定的分离的标记，或如上所述。

通过缺省的发送标记发送一个消息也可以包括其它操作的执行，诸如用用户私钥数字签名消息，附加用户数字证书到消息，或用编址的接收者公钥加密消息。

如果移动设备22确定还没有设定缺省的发送标记，那么如在步骤108中所示的，可以显示证书信息选项的列表。如在步骤110中所示，可以由用户选择证书信息选项之一。如图示，显示和可选地选择证书信息选项包括：对消息执行安全操作的选项，如在步骤102中所示的；或发送消息，如在步骤102中所示的。

如果如在步骤112中所示的，选择对消息执行安全操作的选项，然后在消息发送之前，可以对消息执行一个或更多安全操作，诸如用用户私钥数字签名消息，附加用户数字证书到消息或用编址的接收者公钥加密消息。

如果如在步骤102中所示的，选择发送消息的选项，然后消息未加密发送。当然，用户可以使用私钥数字签名消息，并且可以进一步附加用户数字证书到输出消息。

图5中描述的过程也可以被用于单个消息的多个接收者，诸如当用户答复在移动设备22先前接收的消息的所有接收者时，或编址一个新消息到多个一个接收者时。

图6是基于数字证书相关事件执行数字证书相关操作的方法的流程图。在步骤120，系统检测数字证书事件的发生。数字证书事件是涉及数字证书的一个事件或操作，诸如或者通过用户或者通过应用程序接收要存储在数字证书存储单元中的数字证书数据、相关日历日期的发生或数字证书的访问。

如果数字证书事件是数字证书存储事件，则在步骤122数字证书相关数据被存储在数字证书存储单元中，而涉及数字证书数据的日历数据诸如数字证书的过期日期存储在日历应用存储单元中。

如果数字证书事件是日历事件，则在步骤124，日历应用基于存储在日历应用存储单元中的过期数据，检验数字证书有效期的过期。当移动设备接通时可发生日历事件或驻留的日历应用程序为过期数据检验日历数据时日历事件发生，或可以可选地是给定过期数据的日历事件的发生。在步骤126，系统确定是否基于日历数据发现无效(因为过期)数字证书。如果发现无效数字证书，然后在步骤128中，通知用户无效的数字证书。

如果数字证书事件是数字证书访问，则系统确定是否访问的数字证书是有效的，如在步骤130中所示。当如前所述移动设备的用户编址一个消息给与存储在数字证书存储单元中的数字证书相关的地址时，或当用户访问数字证书存储单元和选择特定的数字证书时，可发生数字证书访问。在步骤132，系统例如基于存储在数字证书存储单元中的数字证书数据、有效或过期信息或CRL，确定是否数字证书是有效的。如果数字证书是无效的，然后在步骤132，用户被通知无效的数字证书。

图7是自动数字证书信息管理器系统的结构方框图。数字证书信息管理器150最好是一个软件应用存储在移动设备22上并且在移动设备22上可执行。在一个实施例中，数字证书信息管理器150示例性地包括如参照图3所示描述的数字证书加载器60和数字证书信息注入器62和相关组件。

数字证书信息管理器150可操作以监视数字证书输入事件152、数字证书访问事件154和日历事件156，并且执行相应的功能。例如，如果数字证书信息管理器150检测到一个数字证书输入事件152，诸如接收一个包括数字证书的消息152a或接收要被存储的数字证书，然后执行相应的数字证书输入事件功能。示例的相应数字证书输入事件功能包括在数字证书存储单元中存储数字证书数据、解析数字证书数据、设定涉及数字证书的消息标记或更新移动设备应用存储单元诸如日历应用或地址本应用存储单元。

如果数字证书信息管理器150检测到一个数字证书访问事件154，诸如用存储在数字证书存储单元中的相关数字证书编址一个消息154a到一个地址，访问数字证书存储单元154b和选择一个数字证书，或由移动设备软件应用154c对数字证书的访问，那么执行相应的数字证书访问事件功能。示例的相应数字证书访问事件功能包括数字证书有效性检验和请求一个新的数字证书，在无效数字证书的情况下同通知用户，或执行安全操作诸如签名消息加密消息等。

如果数字证书信息管理器150检测到一个日历事件156诸如数字证书过期日期的发生，那么用户被通知数字证书的过期。

图8是作为可实现在此公开的系统和方法的设备的例子的无线移动通信设备的方框图。移动设备600最好是至少具有语音和数据通信能力的双向通信设备。移动设备600最好具有与互联网上的其它计算机系统通信的能力。根据移动设备提供的功能，移动设备可称为数据消息设备、双向寻呼机、带有数据消息能力的移动电话、无线互联网设备或数据通信设备(带有或不带有电话功能)。如上所述，这种设备在此简单统称为移动设备。

移动设备600包括收发器611、微处理器638、显示器622、快闪存储器624、随机访问存储器(RAM)626、辅助输入/输出(I/O)设备628、串行口630、键盘632、扬声器634、麦克风636和短距离无线通信子系统640，和其它设备子系统642。收发器611包括发送和接收天线616、618、接收器(Rx)612、发送器(Tx)614、一个或多个本地振荡器(LO)613和数字信号处理器(DSP)620。在快闪存储器624内，移动设备600包括多个可由微处理器638(和/或DSP 620)执行的软件模块624A-624N，包括语音通信模块624A、数据通信模块624B和多个用于执行多个其它功能的其它操作模块624N。

移动设备600最好是具有语音和数据通信能力的双向通信设备。于是，例如移动设备600可以在语音网络诸如任何模拟或数字蜂窝网络上通信，也可以在数据网络上通信。语音和数据网络在图8中由通信塔619表示。这些语音和数据网络可以是使用分离的基础设施诸如基站、网络控制器等的分离的通信网络，或它们可以集成为一个单个的无线网络。因此对网络619的引用应解释为包括单个语音和数据网络和分离的网络。

通信子系统611用于与网络619的通信。DSP 620用于发送信号给发送器614和从接收器612接收通信信号，并且也可以与发送器614和接收器612交换控制信息。如果语音和数据通信发生在单个频率上，或近间隔的频率组上，那么单个LO 613可以与发送器614和接收器612一起使用。或者，如果不同频率用于语音和数据通信，那么能够使用多个LO产生对应于网络619的多个频率。尽管在图8中示出了两个天线616、618，移动设备600能够使用单天线结构。包括语音和数据信息二者的信息经DSP 620和微处理器638之间的链路与通信模块611交互通信。

通信子系统611的详细设计诸如频带、分量选择和功率电平等取决于移动设备600将运行其中的通信网络619。例如，打算运行于北美市场的移动设备600可包括通信子系统611，该子系统设计运行于Mobitex或DataTAC移动数据通信网络，并且也设计运行于各种语音通信网络诸如AMPS、TDMA、CDMA、PCS等，而打算用在欧洲的移动设备600可被配置运行于GPRS数据通信网络和GSM语音通信网络。其它类型的数据和语音网络，分离的和集成的，也可以用于移动设备600。

取决于网络619的类型，对于移动设备600的访问需要也可改变。例如，在Mobitex和DataTAC数据网络中，移动设备使用与每个设备相关的唯一标识号注册在网络上。然而在GPRS数据网络中，网络访问与移动设备600的订户或用户相关。GPRS设备典型地需要用户标识模块(“SIM”)，需要它以便移动设备500运行于GPRS网络上。没有SIM，本地或非网络通信功能(如果有)可能是可运行的，但是移动设备600将不能执行涉及在网络619上通信的任何功能，除了任何合法需要的操作诸如‘911’紧急呼叫之外。

在已经完成任何需要的网络注册或激活程序之后，移动设备600可经网络619发送和接收通信信号，最好包括语音和数据两种信号。由天线616从通信网络619接收的信号被路由到接收器612，该接收器设有信号放大、频率下转换、滤波、信道选择和模拟到数字转换的操作。接收信号的模拟到数字转换允许更复杂的通信功能，诸如将使用DSP 620执行的数字解调和解码。以类似方式，处理将发送到网络619的信号，包括例如由DSP 620执行的调制和编码，然后提供给发送器614用于数字模拟转换、频率上变换、滤波、放大和经天线618发送给通信网络619。尽管图8中所示的单个接收器611用于语音和数据二种通信，移动设备611能够包括两个不同的收发器、用于发送和接收语音信号的第一收发器和用于发送和接收数据信号的第二收发器。也可以在移动设备中提供多个收发器，该移动设备用于操作于多于一个通信网络或多个频带内。

除了处理通信信号之外，DSP 620还可设有接收器和发送器控制。例如，应用到接收器612和发送器614中的通信信号的增益电平也可以通过在DSP 620中实现的自动增益控制算法得到自适应控制。其它收发器控制算法也能够在DSP 620中实现以便提供更复杂的收发器611的控制。

微处理器638最好管理和控制移动设备600的整个操作。这里可以使用很多类型的微处理器或微控制器，或者，可选地，能够使用单个DSP 620执行微处理器638的功能。低级通信功能包括至少数据和语音通信通过收发器611中的DSP 620执行。其它高级通信功能诸如语音通信应用624A和数据通信应用624B也可以存储在快闪存储器624中用于由微处理器638执行。例如，语音通信模块624A可提供高级用户接口，该接口可操作经网络619在移动设备600和多个其它语音设备之间发送和接收语音呼叫。类似地，数据通信模块624B可提供高级用户接口，可操作用于经网络619在移动设备600和多个其它数据设备之间发送和接收数据诸如电子邮件消息、文件、组织者信息、短文本消息等。在移动设备600上，安全消息软件应用，例如包含对应于图3中的数字证书加载器60和数字证书信息注入器62的软件模块，可与数据通信模块624B一起运行，以实现上述的技术。

微处理器638还与其它设备子系统交互，这些子系统诸如是显示器622、快闪存储器624、RAM 526、辅助输入/输出(I/O)子系统628、串行口630、键盘632、扬声器634、麦克风636、短距离通信子系统640和总的表示为642的任何其它设备子系统。例如，模块624A-N由微处理器638执行，并且可提供用户和移动设备600之间的高级接口。该接口典型包括通过显示器622提供的图形组件和通过辅助I/O628、键盘632、扬声器634或麦克风636提供的输入/输出组件。这些接口在图3中总的表示为键盘UI 64。

图8中所示的某些子系统执行与通信相关的功能，而其它子系统可提供“驻留”或设备内置功能。明显的是，某些子系统诸如键盘632和显示器622可以用于通信相关功能诸如输入文本消息用于经数据通信网络传送，以及设备驻留功能诸如计算器或任务列表或其它PDA型功能。

微处理器638使用的操作系统软件最好存储在非易失存储器诸如快闪存储器624中。除了操作系统和通信模块624A-N，快闪存储器624还能包括用于存储数据的文件系统。最好还在快闪存储器624中提供存储区域以存储数字证书、地址本条目、提醒器或约会信息和其它可能的信息。操作系统、特定的设备应用或模块或其部件，可以临时装进易失存储器诸如RAM 626用于较快操作。此外，接收的通信信号在永久将它们写到位于快闪存储器624中的文件系统之前也可以临时存储到RAM 626。

可以装到双模式设备600的示例应用模块624N是个人信息管理器(PIM)应用，其提供PDA功能诸如日历事件、约会和任务项。该模块能够使用从数字证书中提取、并且存储在例如快闪存储器624或RAM 626中的过期或有效期信息，以提供数字证书过期等提醒器给移动设备600的用户。该模块624N还能与语音通信模块624A交互用于管理电子邮件通信和其它数据传输。或者，语音通信模块624A和数据通信模块624B的所有功能可以集成到PIM模块中。

快闪存储器624最好提供文件系统以方便在该设备上PIM数据项的存储。PIM应用最好包括经无线网络619或者通过其自身或者结合语音和数据通信模块624A和624B发送和接收数据项的能力。PIM数据项通过无线网络619最好与所存储的或与主机算机系统相关的一组相应的数据项无缝集成、同步和更新，由此为与特定的用户相关的数据项建立镜像系统。

尽管示为快闪存储器624，本领域技术人员将理解除了或代替快闪存储器624可以使用其它类型的非易失存储器诸如象电池支持RAM。

通过将移动设备600放置在连接移动设备600的串行口630到主系统的串行口的底座中，移动设备600还能与主系统人工同步。串行口630还能用于使用户能够通过外部设备或软件应用程序设定偏爱，以下载其它应用模块624N用于安装，并且如上所述加载数字证书到设备上。可以使用该有线下载路径，以将加密密钥加载到设备上，这个是比通过无线网络619交换加密信息更安全的方法。

附加的应用模块624N可通过网络619、通过辅助I/O子系统628、通过串行口630、通过短距离通信子系统640或通过任何其它合适的子系统642被加载到移动设备600上，并且由用户安装在快闪存储器624或RAM 626中。这种在应用安装方面的灵活性增加了移动设备600的功能，并且能够提供增强的设备内置功能、通信相关功能或二者。例如，安全通信应用可以使得电子商务功能和其它财务交易能够使用移动设备600执行。

当移动设备600运行于数据通信模式时，接收的信号诸如文本消息或网页下载由收发器611处理并且提供给微处理器638，其最好进一步处理接收的信号用于输出到显示器622，或可选地输出到辅助I/O设备628。由收发器611接收的数字证书例如响应于对一PKS的请求或附加到一安全消息将按如上所述进行处理以将数字证书加到快闪存储器624中的数字证书存储单元(如果它还没有被存储)，并且如果必要，提取和存储数字证书信息在快闪存储器624中的一个或多个数据存储单元中。移动设备600的用户也可以使用键盘632编辑数据项诸如电子邮件信息，键盘632最好是QWERTY型的完整字母数字键盘布局，尽管也能使用其它类型的完整字母数字键盘诸如已知的DVORAK型。对移动设备600的用户输入用多个辅助I/O设备628得到进一步增强，该辅助设备可包括指轮输入设备、触板、各种开关、摇杆输入开关等。然后用户输入的编辑的数据项可经收发器611在通信网络619上被发送。

当移动设备600操作在语音通信模式中时，移动设备600的整个操作基本上类似于数据模式，除了接收的信号最好输出到扬声器634和用于发送的语音信号由麦克风636产生之外。此外，上述的安全消息技术可以不一定必须应用于语音通信。可选的语音或音频I/O子系统诸如语音消息记录子系统也可以在移动设备600上实现。尽管语音或音频信号输出最好基本通过杨声器634完成，也能使用显示器622提供呼叫方标识的指示、语音呼叫的持续时间或其它语音呼叫相关的功能。例如，微处理器638结合语音通信模块624A和操作系统软件可以检测接收的语音呼叫的呼叫方标识信息并且将其显示在显示器622上。

短距离通信子系统640可以包括红外设备及相关电路和组件或诸如蓝牙模块或802.11模块的短距离无线通信模块，以提供与类似使能的系统和设备的通信。本领域技术人员将理解“蓝牙”和“802.11”指从电气和电子工程师协会得到的规范组，分别涉及无线个人区域网络和无线LAN。

还可以使用在此公开的系统和方法的变体。例如，尽管无线移动通信设备示于图3和5中并且被描述为一个可能的消息客户机，在此描述的系统和方法还可以在其它消息客户机包括桌面和膝上计算机系统、网络计算机系统和其它类型的消息客户机中实现。

数字证书信息存储系统也能是可配置的，以便根据消息客户机的通信功能或用户偏爱，只在一定的条件下创建新数据存储条目。例如，如果消息客户机是电子邮件客户机而数字证书不包含电子邮件地址，然后可以配置联系信息存储系统使得没有新地址本条目将被创建，因为消息操作需要的信息从数字证书中不能得到。

图9-11描述了可以使用数字证书信息存储系统的附加通信系统。图9是展示示例通信系统的方框图。在图9中，示出了计算机系统802、WAN 804、安全防火墙808之后的公司LAN 806、无线基础设施810、无线网络812和814和移动设备816和818。公司LAN 806包括消息服务器820、无线连接器系统828、包括至少多个信箱819的数据存储单元817、桌面计算机系统822(具有直接到移动设备的通信链路诸如通过物理连接824到接口或连接器826)和无线VAN路由器832。下面将参考消息833、834和836描述图9中的系统的操作。

计算机系统802例如可以是被配置连接到WAN 804的膝上、桌面或掌上型计算机系统。这样的计算机系统可以通过ISP或ASP连接到WAN 804。或者，计算机系统802可以是联网的计算机系统，例如象计算机系统822，其通过LAN或其它网络访问WAN 804。很多现代的移动设备被使能用于通过各种基础设施和网关配置连接到WAN，这样计算机系统802也可以是一移动设备。

公司LAN 806是已经能够用于无线通信的、中央型、基于服务器的消息系统的例子。公司LAN 806可以称为“主系统”，因为它主持带有用于消息的信箱819的数据存储单元817，及可能地用于可以发送到移动设备816和818或从移动设备816和818接收的其它数据项的另外的数据存储单元(未示出)，和无线连接器系统828，无线VAN路由器832或能够进行公司LAN 806和一个或多个移动设备816和818之间的通信的其它可能的组件。用更通用的术语，主系统可以是无线连接器系统在其上运行或与无线连接器系统一起运行或相关运行的一个或多个计算机。公司LAN 806是主系统的一个优选实施例，其中主系统是在至少一个安全通信防火墙808之后操作并且由其保护的公司网络环境内运行的服务器计算机。其它可能的中央主系统包括ISP，ASP和其它服务提供商或邮件系统。尽管桌面计算机系统824和接口/连接器826可以位于这些主系统之外，无线通信操作可以类似于下面描述的那些。

公司LAN 806将无线连接器系统828作为相关无线通信使能组件实现，其将通常是软件程序、软件应用或建立与至少一个消息服务器820工作的软件组件。使用无线连接器系统828通过一个或多个无线网络812和814发送用户选择的信息到一个或多个移动设备816和818并且从这些移动设备接收信息。无线连接器系统828可以是消息系统的分离的组件，如图9所示，或者可以是部分或全部包含于其它通信系统组件中。例如，消息服务器820可以包含实现无线连接器系统828、无线连接器系统828的一部分、或某些功能或全部功能的软件程序、应用或组件。

运行在防火墙808后面的计算机上的消息服务器820当作主接口，用于公司与诸如互联网的WAN 804交换消息，该消息包括例如电子邮件、日历数据、语音信件、电子文档和其它PIM数据。具体中间的操作和计算机将取决于经其交换消息的消息传递机构和网络的特定类型，因此没有在图9中示出。消息服务器820的功能可以扩展到超过消息发送和接收，如上所述提供诸如动态数据库存储用于数据如日历、待办事件表、任务表、电子邮件和文档这些特征。

消息服务器诸如820通常在一个或多个数据存储单元诸如817中保持多个信箱819，用于在服务器上具有帐户的每个用户。数据存储单元817包括信箱819用于多个(“n”)用户帐户。标识用户、用户帐号、信箱或与用户、帐号或信箱819相关的其它可能的地址作为消息接收者的、由消息服务器820接收的消息，通常被存储在相应的信箱819内。如果一个消息编址到多个接收者或一个分布表，那么相同消息的复制件可被存储在多于一个信箱819内。或者，消息服务器820可以在一数据存储单元中存储该消息的单个复制件，该数据存储单元对于具有在消息服务器上的帐户的所有用户是可访问的，并且在每个接收者的信箱819中存储指针或其它标识符。在典型的消息系统中，每个用户于是可以使用通常运行于连接在LAN 806内的PC象桌面计算机系统822上的消息客户诸如Microsoft Outlook或Lotus Notes访问他或她的信箱819和其内容。尽管在图9中仅示出了一个桌面计算机系统822，本领域技术人员应理解LAN将通常包含很多桌面、笔记本和膝上计算机系统。每个消息客户通常通过消息服务器820访问信箱819，尽管在某些系统中，消息客户可能够直接访问由桌面计算机系统822在其上进行存储的信箱819和数据存储单元817。消息也可以从数据存储单元817下载到桌面计算机系统822上的本地数据存储单元(未示出)中。

在公司LAN 806内，无线连接器系统828结合消息服务器820操作。无线连接器系统828可驻留在与消息服务器820相同的计算机系统上，或可以改为在不同的计算机系统上实现。实现无线连接器系统828的软件也可以部分或全部地与消息服务器820集成。最好设计无线连接器系统828和消息服务器820合作并且交互以允许信息推到移动设备816，818。在这样的安装中，最好配置无线连接器系统828将存储在一个或多个与公司LAN 806相关的数据存储单元中的信息通过公司防火墙808和经WAN 804和无线网络812，814之一，发送到一个或多个移动设备816，818。例如，在数据存储单元817中具有一个帐户和相关信箱819的用户也可以具有移动设备诸如816。如上所述，标识用户、帐号或信箱819的由消息服务器820接收的消息由消息服务器820存储到相应的信箱819。如果用户具有移动设备，诸如816，由消息服务器820接收并且存储到用户信箱819的消息最好由无线连接器系统828检验并且发送到用户的移动设备816。该类型的功能代表“推”消息发送技术。无线连接器系统828可以改为采用“拉”技术(其中存储在信箱819中的项目响应于使用移动设备进行的请求或访问操作发送到移动设备816，818)，或两种技术的某些组合。

因此无线连接器828的使用使得包括消息服务器820的消息系统能够被扩展，这样每个用户的移动设备816，818具有对消息服务器820的存储消息的访问。尽管在此描述的系统和方法不仅限于基于推的技术，基于推消息的更详细描述可被发现于上述被引用参考的美国专利和申请中。该推技术使用无线友好编码、压缩和加密技术以将所有信息传递到移动设备，于是有效地扩展了公司防火墙808以包括移动设备816，818。

如图9所示，有几个路径用于从公司LAN 806与移动设备816，818交换信息。一个可能的信息传送路径是使用接口或连接器826通过物理连接824诸如串行口。该路径能够是有用的例如用于在移动设备816，818初始化经常执行的或当移动设备816，818的用户工作于LAN 806上的计算机系统诸如计算机系统822时周期执行的庞大信息更新。例如，如上所述，PIM数据通常通过这样的连接，例如连接到一个移动设备816，818可以放入或放上的底座的串行口，被交换。物理连接824也可以用于从桌面计算机系统822到移动设备816，818传送其它信息，包括私有安全密钥(私钥)诸如与桌面计算机系统822相关的私有加密或签名密钥，或其它诸如数字证书和CRL的相对大的信息。

使用物理连接824和连接器或接口826的私钥交换允许用户的桌面计算机系统822和移动设备816或818共享至少一个标识用于访问所有加密和/或签名的信件。用户的桌面计算机系统822和移动设备816或818由此也能够用于共享私钥，这样主系统822或移动设备816或818能够处理编址到消息服务器820上的用户信箱或帐户的安全消息。需要经过这种物理连接传送证书和CRL，因为它们代表S/MIME、PGP和其它公钥安全方法需要的大量数据。用户自己的数字证书、用于验证用户数字证书的一连串证书和CRL，及用于其它用户的数字证书、数字证书链和CRL可以从用户桌面计算机系统822加载到移动设备816，818上。该其它用户数字证书和CRL到移动设备816，818的加载允许移动设备用户选择其它的实体或用户(这些实体或用户可能与移动设备用户正在交换安全消息)，并且通过物理连接代替无线将大信息预加载到移动设备上，于是节省了当从这些其它用户接收到安全消息或安全消息发送到这些用户时，或当数字证书的状态将被基于一个或多个CRL确定时的时间和无线带宽。在采用在此描述的系统和方法的情况下也能避免基于CRL的状态检验。

在已知的“同步”型无线消息系统中，物理路径也已经用来从与消息服务器820相关的信箱819到移动设备816和818传送消息。

用于与移动设备816，818数据交换的另一方法是通过无线连接器系统828和使用无线网络812，814的无线交换。如图8所示，这能够涉及无线VPN路由器832(如果在网络806中存在的话)，或可选地，涉及到无线基础设施810的传统WAN连接，其提供到一个或多个无线网络诸如814的接口。无线VPN路由器832设有直接通过特定无线网络812建立到无线设备816的VPN连接。这种无线VPN路由器832可以与静态寻址方案例如IPV6一起使用。例如，如果无线网络812是基于IP的无线网络。那么IPV6将提供足够的IP地址以分配一个IP地址给被配置操作在网络812内的每个移动设备816，由此能够在任何时间推信息到移动设备816。使用无线VPN路由器832的主要优点是它是不需要无线基础设施810的现成的VPN组件。VPN连接可以使用TCP/IP或UDP/IP连接直接传递消息到移动设备816和从移动设备816传递信息。

如果无线VPN路由器832不可用，那么与WAN 804(通常是一互联网)的连接，是可由无线连接器系统828使用的常使用的连接机制。为了处理移动设备816的寻址和任何其它需要的接口功能，最好使用无线基础设施810。无线基础设施810也可以确定用于定位一个给定的用户的最可能的无线网络，并且当用户在国家或网络之间漫游时跟踪用户。在无线网络诸如812和814中，消息通常经基站和移动设备之间的RF发射传递到移动设备或从该移动设备传递。

可以提供到无线网络812和814的多个连接，包括例如使用在整个互联网中使用的TCP/IP协议的ISDN、帧中继或T1连接。无线网络812和814能够表示清楚的唯一的和不相关的网络，或它们能够表示不同国家中的相同网络，并且可以是下列不同类型的网络的任何一个，这些网络包括但不限于：数据为核心的无线网络、语音为核心的无线网络和能够支持经相同或类似基础设施诸如上述描述的那些中的任何一种的语音和数据通信的双模式网络。

在某些实现中，可以在公司LAN 806中提供多于一个无线信息交换机制。例如在图9例子中，配置与用户相关的移动设备816，818运行在不同的无线网络812和814中，所述用户具有与消息服务器820上的用户帐户相关的信箱819。如果无线网络812支持IPv6寻址，那么无线VPN路由器832可由无线连接器828使用以与运行在无线网络812内的任何移动设备816交换数据。然而无线网络814可以是不同类型的无线网络，诸如Mobitex网络，在该情况下，信息可改为经到WAN 804和无线基础设施810的连接与运行于无线网络814内的移动设备818交换。

现在使用从计算机系统802发送并且编址到具有帐号和信箱819或与消息服务器820和移动设备816或818相关的数据存储单元的至少一个接收者的电子邮件消息833的例子，描述图9中的系统的操作。然而，电子邮件消息833仅用于示例。公司LAN 806之间的其它类型信息的交换最好也能由无线连接器系统828进行。

从计算机系统802经WAN 804发送的电子邮件消息833可以是根据使用的具体消息方案，完全未加密的或用数字签名进行签名的和/或被加密的。例如，如果使用S/MIME使得计算机系统802能够用于安全消息，那么电子邮件消息833可以被签名、加密或签名和加密。电子邮件消息诸如833通常使用传统SMTP、RFC822首标和MIME主体部分以定义电子邮件消息的格式。这些技术对于本领域技术人员全部公知的。电子邮件消息833到达消息服务器820，其确定电子邮件消息833应该存储进哪个信箱819。如上所述，消息诸如电子邮件消息833可包括用户名、用户帐户、信箱标识符或可由消息服务器820映射到特定的帐户或相关信箱819的其它类型的标识符。对于电子邮件消息833，接收者通常使用对应于用户帐户和由此的一个信箱819的电子邮件地址被识别。

无线连接器系统828最好一旦检测到已经发生了一个或多个触发事件，通过无线网络812或814从公司LAN 806到用户移动设备816或818发送或映射某些用户选择的数据项或数据项的一部分。一个触发事件包括但不限于，下列情况的一个或多个：在用户联网的计算机系统822上的屏幕保护程序的激活；用户移动设备816或818从接口826断开；或接收从移动设备816或818发送到主系统以开始发送存储在主系统上的一个或多个消息的命令。这样，无线连接器系统828可以检测与消息服务器820相关的触发事件，诸如命令的接收，或与一个或多个联网的计算机系统822相关的触发事件，包括上述的屏幕保护程序和断开事件。当在LAN 806已经激活对于移动设备816或818对公司数据的无线访问时，例如，当无线连接器系统828检测到对于移动设备用户发生了触发事件时，由用户选择的数据项最好发送到用户移动设备。在电子邮件消息833的例子中，假定一旦已经检测到触发事件，由无线连接器系统828检测在消息服务器820处消息833的到达。这个例如可以通过监视或询问与消息服务器820相关的信箱819完成，或者如果消息服务器820是微软交换服务器(MicrosoftExchange server)，那么，无线连接器系统828可以登记由微软消息应用编程接口(MAPI)提供的建议同步(advise syncs)，由此当新消息存储到信箱819时接收通知。

当一数据项诸如电子邮件消息833将发送到移动设备816或818时，无线连接器系统828最好以对移动设备816或818透明的方式重新打包数据项，这样，发送到移动设备816或818或由移动设备816或818接收的信息类似于存储在主系统、图8中的LAN 806上并且可访问的信息出现。一个优选的重新打包的方法包括：在对应于消息将发送到的移动设备816或818的无线网络地址的电子信封中，打包将通过无线网络812或814发送的所接收的消息。或者，可以使用其它重新打包的方法诸如专用TCP/IP打包技术。这种重新打包的方法最好还导致从移动设备816或818发送的电子邮件消息，似乎来自一个相应的主系统帐户或信箱819即使它们从移动设备编写并且发送。因此移动设备816或818的用户最好在主系统帐户或信箱819和移动设备之间可以有效地共享单个电子邮件地址。

电子邮件消息833的重新打包在834和836中指示。重新打包技术对于任何有效的传送路径可以是类似的，或可以取决于具体的传送路径无线基础设施810或无线VPN路由器832。例如，电子邮件消息833最好被压缩和加密，或者在834处被重新打包之前或之后，由此有效地提供到移动设备818的安全传送。压缩减少了发送消息需要的带宽，而加密保证了发送到移动设备816和818的任何消息或其它信息的保密性。相反，经VPN路由器832传送的消息可能仅被压缩，但不加密，因为由VPN路由器832建立的VPN连接是固有安全的。由此经在无线连接器系统828处的加密，例如可被考虑一非标准的VPN隧道或类VPN连接，或者经VPN路由器832，消息安全发送到移动设备816和818。由此使用移动设备816或818访问消息与使用桌面计算机系统822访问LAN 806处信箱同样安全。

当重新打包的消息834或836经无线基础设施810或经无线VPN路由器832到达移动设备816或818时，移动设备816或818从重新打包的消息834或836移去外面的电子信封，并且执行任何需要的解压缩和解密操作。从移动设备816或818发送并且指向一个或多个接收者的消息最好被类似重新打包，并且可能压缩和加密，和发送到主系统诸如LAN 806。然后主系统从重新打包的消息移去电子信封，如果需要解密和解压缩消息，并且将消息路由到被编址的接收者。

使用外部信封的另一目的是至少保持在原始电子邮件消息833中的某些编址信息。尽管用来路由信息到移动设备816，818的外部信封使用一个或多个移动设备的网络地址编址，外部信封最好将整个原始的电子邮件消息833包括至少一个地址字段能够以压缩和/或加密的形式封装。这使得当外部信封被去除并且消息显示在移动设备816或818上时电子邮件消息833的原始的“To(去向)”“From(来自)”和“CC”地址得到显示。当从移动设备发送的重新打包的输出消息的外部信封由无线连接器系统828移去时，重新打包也使得用反映主系统上移动设备用户帐户或信箱的地址的“From”字段，答复消息被传递到所编址的接收者。使用来自移动设备816或818的用户帐户或信箱地址使得从移动设备发送的消息以象是来自主系统上用户信箱819或帐户的消息而不是来自移动设备而出现。

图10是可选的通信系统例子的方框图，其中无线通信由与无线网络的运营者相关的组件使能。如图10所示，系统包括：计算机系统802、WAN 804、位于安全防火墙808后面的公司LAN 807、网络运营者基础设施840、无线网络811和移动设备813和815。计算机系统802、WAN 804、安全防火墙808、消息服务器820、数据存储单元817、信箱819和VPN路由器835，它们实际上与图9中相同标记的组件相同。然而，由于VPN路由器835与网络运营者基础设施840通信，它不必是图10的系统中的无线VPN路由器。网络运营者基础设施840使能分别与计算机系统842和852相关并且配置运行在无线网络811中的LAN 807和移动设备813，815之间的无线信息交换。在LAN 807中，示出了多个桌面计算机系统842和852，每个具有到接口或连接器848或858的物理连接846或856。无线连接器系统844或854运行在每个计算机系统842和852上或与每个计算机系统842和852一起工作。

无线连接器系统844和854类似于上述的无线连接器系统828，因为它使得数据项诸如电子邮件消息和存储在信箱819中的其它项、并且可能的存储在本地或网络数据存储单元中的数据项，能够从LAN807发送到一个或多个移动设备813，815。然而在图10中，网络运营者基础设施840提供移动设备813和815和LAN 807之间的接口。如同上面，下面将以电子邮件消息作为可以发送到移动设备813和815的数据项的例子描述图10所示的系统的操作。

当由消息服务器820接收编址到具有消息服务器820上的帐户的一个或多个接收者的电子邮件消息833时，消息或可能是存储在中央信箱或数据存储单元中的消息的单个复制件的指针，被存储在每个这种接收者的信箱819中。一旦电子邮件消息833或指针已经存储在信箱819中，它最好能够使用移动设备813或815被访问。在图10示出的例子中，电子邮件消息833已经被编址到与桌面计算机系统842和852二者以及由此相应的移动设备813和815二者相关的信箱819中。

正如本领域技术人员理解的，通常用在有线网络诸如LAN 807和/或WAN 804中的通信网络协议不适合于或不匹配无线网络诸如811中使用的无线网络通信协议。例如，在无线网络通信中主要关心的通信带宽、协议开销和网络等待时间，在有线网络中不重要，有线网络比无线网络典型地具有更高容量和速度。因此，移动设备813和815不能直接正常访问数据存储单元817。网络运营者基础设施840提供无线网络811和LAN 807之间的桥梁。

网络运营者基础设施840使得移动设备813或815能够通过WAN804建立到LAN 807的连接，并且例如可以由无线网络811的运营者或为移动设备813和815提供无线通信服务的服务提供商操作。在基于拉的系统中，使用无线网络匹配通信方案，当信息应该保持保密时最好使用安全方案诸如无线传输层安全(WTLS)，和无线网络浏览器诸如无线应用协议(WAP)浏览器，移动设备813或815可以建立与网络运营者基础设施840的通信会话。然后用户可以请求(通过人工选择或驻留在移动设备里的软件中的预选择缺省)存储在LAN 807上数据存储单元817中的信箱819中的任何或所有信息或例如仅仅新信息。然后如果没有会话已经建立，例如使用安全超文本传输协议(HTTPS)，网络运营者基础设施840建立与无线连接器系统844或854的连接或会话。如上，可以经一个典型的WAN连接或通过VPN路由器835(如果有的话)进行网络运营者基础设施840和无线连接器系统844或854之间的会话。当接收来自移动设备813或815的一个请求和传递所请求的信息回到设备之间的时间延迟将被最小化时，可以配置网络运营者基础设施840和无线连接器系统844和854使得通信连接一旦被建立保持开通。

在图10的系统中，来自移动设备A 813和B 815的请求将分别发送到无线连接器系统844和854。一旦接收到来自网络运营者基础设施840的信息请求，无线连接器系统844或854从数据存储单元中获得所请求的信息。对于电子邮件信息833，无线连接器系统844或854通常通过结合计算机系统842或852操作的消息客户(或者经消息服务器820或者直接可访问信箱819)，从适当的信箱819获取电子邮件消息833。或者，可以配置无线连接器系统844或854直接或通过消息服务器820访问信箱819本身。此外，其它数据存储单元，类似于数据存储单元817的网络数据存储单元和与每个计算机系统842和852相关的本地数据存储单元，对于无线连接器系统844或854来说可以访问，并且由此对于移动设备813或815可以访问。

如果电子邮件消息833编址到与计算机系统842和852及设备813和815两者相关的消息服务器帐户或信箱819，那么电子邮件消息833可发送到网络运营者基础设施840如860和862示出的，然后发送一个电子邮件消息的复制件到每个移动设备813和815，如864和866指示的。信息可以经到WAN 804的连接或VPN路由器835在无线连接器系统844和854和网络运营者基础设施840之间传送。当网络运营者基础设施840经不同的协议与无线连接器系统844和854和移动设备813和815通信时，可由网络运营者基础设施840执行翻译操作。重新打包技术也可以在无线连接器系统844和854和网络运营者基础设施840之间，和每个移动设备813和815和网络运营者基础设施840之间使用。

要从移动设备813或815发送的消息或其它信息可以以类似方式得到处理，这些信息首先从移动设备813或815传送到网络运营者基础设施840。然后网络运营者基础设施840可以发送信息到无线连接器系统844或854用于存储在信箱819中并且例如通过消息服务器820传递到任何编址的接收者，或者可选地将信息传递到编址的接收者。

图10中的系统的上述描述涉及基于拉的操作。无线连接器系统844和854和网络运营者基础设施可被替换地配置为将数据项推到移动设备813和815。也能够是一组合的推/拉系统。例如，当前存储在LAN 807处的数据存储单元中的一列数据项或新消息的通知可以推到移动设备813或815，然后可以用来经网络运营者基础设施840从LAN807请求消息或数据项。

如果与LAN 807上的用户帐户相关的移动设备被配置操作于不同的无线网络内，然后，每个无线网络可以具有类似于840的相关无线网络基础设施部件。

尽管在图10的系统中为每个计算机系统842和852示出了分离的专用的无线连接器系统844和854。最好配置一个或多个无线连接器系统844和854以与多于一个计算机系统842和852一起操作，或访问与多于一个计算机系统相关的数据存储单元或信箱819。例如，无线连接器系统844可被授权访问与计算机系统842和计算机系统852二者相关的信箱819。然后从移动设备A 813或B 815对数据项的请求可以由无线连接器系统844处理。该配置可用于启动LAN 807和移动设备813和815之间的通信不需要为每个移动设备用户运行的桌面计算机系统842和852。无线连接器系统可被替换为与消息服务器820一起实现以能够进行无线通信。

图11是另一个可选的通信系统的方框图。该系统包括：计算机系统802、WAN 804、位于安全防火墙808后面的公司LAN 809、访问网关880、数据存储单元882、无线网络884和886和移动设备888和890。计算机系统802、WAN 804、安全防火墙808、消息服务器820、数据存储单元817、信箱819、桌上型计算机系统822、物理连接824、接口或连接器826和VPN路由器835实质上与上述相应的组件相同。接入网关880和数据存储单元882给移动设备888和890提供对存储在LAN809中的数据项的访问。在图11中，无线连接器系统878运行于消息服务器820上或与消息服务器820一起操作，尽管无线连接器系统可替换为运行于LAN 809中的一个或多个桌面计算机系统上或与LAN 809中的一个或多个桌面计算机系统一起工作。

无线连接器系统878提供存储在LAN 809上的数据项到一个或多个移动设备888和890的传送。这些数据项最好包括存储在数据存储单元817上的信箱819中的电子邮件消息，以及存储在数据存储单元817或另一网络数据存储单元或计算机系统诸如822的本地数据存储单元中的可能的其它数据项。

如上所述，编址到具有消息服务器820上的帐户的一个或多个接收者并且由消息服务器820接收的电子邮件消息833可以存储到每个这样的接收者的信箱819中。在图11的系统中，外部数据存储单元882最好具有与数据存储单元817类似的结构，并且保持与数据存储单元817同步。存储在数据存储单元882中的PIM信息或数据最好独立于存储在主系统上的PIM信息或数据可修改的。在该种具体配置中，在外部数据存储单元882处独立可修改的信息可保持与一个用户相关的多个数据存储(例如移动设备上的数据，家中个人计算机上的数据，公司LAN上的数据)的同步。该同步例如可通过由无线连接器系统878以一定的时间间隔(每次数据存储单元817中的一项被添加或改变)、在一天的某些时候发送到数据存储单元882的更新完成，或在LAN 809启动时，由消息服务器820或计算机系统822在数据存储单元882处完成，或可能由移动设备888或890通过访问网关880完成。

在电子邮件消息833的情况下，接收电子邮件消息833之后的某时间发送到数据存储单元882的更新资料指示消息833已经存储在存储单元817中的某一信箱819中，并且电子邮件消息的一个复制件将被存储到数据存储单元882中的相应的存储区域中。当电子邮件消息833已经存储在对应于移动设备888和890的信箱819中时，在图11中以892和894指示的电子邮件消息的一个或多个复制件将被发送到并且存储到数据存储单元882中的相应的存储区域或信箱中。正如示出的，在数据存储单元817中存储信息的更新或复制可通过到WAN804的连接或VPN路由器835的连接发送到数据存储单元882。例如，无线连接器系统878可经HTTP投寄请求投寄更新资料或存储的信息到数据存储单元882中的源。或者，可以使用安全协议诸如HTTPS或安全套层(SSL)。本领域技术人员将理解存储在LAN 809处的数据存储单元中多于一个位置的一个数据项的单个复制件可以被替换为发送到数据存储单元882。然后，数据项的该复制件，用存储在数据存储单元882中的每个相应位置中的所存储数据项的指针或其它标识符，能够存储在数据存储单元882中多于一个相应的位置，或者单个复制件可存储在数据存储单元882中。

接入网关880是一个有效的访问平台，因为它为移动设备888和890提供了对数据存储单元882的访问。数据存储单元882可以配置为在WAN 804上可访问的资源，并且接入网关880可以是ISP系统或WAP网关，通过其移动设备888和890可以连接到WAN 804。然后与无线网络884和886匹配的WAP浏览器或其它浏览器可被用于访问与数据存储单元817同步的数据存储单元882，并且或者自动地或者响应于来自移动设备888的请求，下载存储的数据项。如在896和898示出的，存储在数据存储单元817中的电子邮件消息833的复制件，可发送到移动设备888和890。由此，在每个移动设备888，890上的数据存储单元(未示处)可以与公司LAN 809上的数据存储单元817的一部分诸如信箱819同步。移动设备数据存储单元的变化可类似地反映在数据存储单元882和817中。

在此描述的实施例是具有对应于在权利要求中列举的发明单元的组件的系统和方法。该书面说明书可以使得本领域普通技术人员制能够造和使用具有同样对应于权利要求中列举的发明单元的可选组件的实施例。由此本发明的打算范围包括不同于权利要求的文字语言的其它结构、系统或方法，并且进一步包括具有与权利要求的文字语言无实质区别的其它结构，系统或方法。

Claims (46)

1.一种在消息客户机处存储来自接收的数字证书的数字证书信息的方法，该方法包括步骤：

从所述数字证书中提取所述数字证书信息；

确定所提取的数字证书信息是否存储在所述消息客户机处的数据存储单元中；和

当所提取的数字证书信息没有存储在数据存储单元中时，在所述数据存储单元中存储所述提取的数字证书信息。

2.如权利要求1所述的方法，其中，在所述数据存储单元中存储所述提取的数字证书信息的步骤包括步骤：

在所述数据存储单元中创建新条目；和

在数据存储单元中的所述新条目中存储所提取的数字证书信息。

3.如权利要求1所述的方法，其中，在所述数据存储单元中存储所述提取的数字证书信息的步骤包括步骤：

在数据存储单元中的现有条目中存储所提取的数字证书信息。

4.如权利要求1所述的方法，其中，所述提取的数字证书信息包括主题标识符和附加数字证书信息，以及确定所提取的数字证书信息是否存储在所述消息客户机处的数据存储单元中的步骤包括步骤：

确定所述主题标识符是否存储在所述数据存储单元中的现有条目中；和

在所述主题标识符存储在数据存储单元中的现有条目中的情况下，确定所述附加的数字证书信息是否存储在数据存储单元中的现有条目中，

其中，存储所述提取的数字证书信息在所述数据存储单元中的步骤包括步骤：在所述附加数字证书信息没有存储在所述数据存储单元中的现有条目中的情况下，存储所述附加数字证书信息在数据存储单元中的现有条目中。

5.如权利要求4所述的方法，还包括步骤：

在所述主题标识符没有存储在所述数据存储单元的现有条目中的情况下，在所述数据存储单元中创建一个新条目，

其中，存储所述提取的数字证书信息在所述数据存储单元中的步骤包括步骤：存储所述主题标识符和所述附加数字证书信息在所述数据存储单元中的新条目中。

6.如权利要求1所述的方法，其中，所述数字证书是X.509数字证书。

7.如权利要求1所述的方法，还包括步骤：

一旦接收到所述数字证书，存储所述数字证书在所述消息客户机处的数字证书存储单元中；和

产生所述数字证书已经存储在所述数字证书存储单元中的信号。

8.如权利要求7所述的方法，其中，从所述数字证书提取所述数字证书信息的步骤包括步骤：解析所述数字证书以提取所述数字证书信息。

9.如权利要求7所述的方法，其中：

存储所述数字证书在所述消息客户机处的数字证书存储单元中的步骤包括步骤：

解析所述数字证书以产生解析的数字证书数据；和

存储所述解析的数字证书数据在所述数据证书存储单元中；和

从所述数字证书提取所述数字证书信息的步骤包括步骤：从所述解析的数字证书数据获得所述数字证书信息。

10.如权利要求1所述的方法，其中：

所述数字证书包括标识与所述数字证书相关的实体的主题标识符；和

从所述数字证书提取所述数字证书信息的步骤包括步骤：从所述数字证书提取所述主题标识符的步骤。

11.如权利要求10所述的方法，其中，所述主题标识符包括电子邮件地址。

12.如权利要求11所述的方法，其中，所述数据存储单元包括地址本。

13.如权利要求2所述的方法，其中：

所述数据存储单元包括地址本；和

在所述数据存储单元中创建新条目的步骤进一步包括步骤：设定与所述新条目相关的安全消息标记，以指示已经接收到与所述新条目相关的数字证书。

14.如权利要求13所述的方法，还包括步骤：

在所述消息客户机处产生消息；

访问所述数据存储单元中的所述新条目，以编址所述消息给一个接收者；和

基于与所述新条目相关的安全消息标记，确定是否对消息执行一个安全操作。

15.如权利要求14所述的方法，其中，所述安全操作是加密操作。

16.如权利要求14所述的方法，其中，基于与所述新条目相关的安全消息标记，确定是否对消息执行一个安全操作的步骤包括步骤：

确定与所述新条目相关的安全消息标记是否被设定；和

一旦确定与所述新条目相关的安全消息标记被设定，提醒所述消息客户机的用户以确定是否对消息执行安全操作。

17.如权利要求3所述的方法，其中：

所述数据存储单元包括地址本；和

存储所述提取的数字证书信息在所述数据存储单元中的现有条目中的步骤进一步包括步骤：

确定与现有条目相关安全消息标记是否已经被设定；和

一旦确定还没有设定与所述现有条目相关的安全消息标记，设定所述安全消息标记以指示所述数字证书信息已经存储在所述现有条目中。

18.如权利要求17所述的方法，还包括步骤：

在所述消息客户机处产生一个消息；

访问所述数据存储单元中的所述现有条目以编址所述消息给一个接收者；和

基于与所述现有条目相关的安全消息标记确定是否对所述消息执行安全操作。

19.如权利要求18所述的方法，其中，基于与所述现有条目相关的安全消息标记确定是否对所述消息执行安全操作的步骤包括步骤：

确定与所述现有条目相关的安全消息标记是否被设定；和

一旦确定与所述现有条目相关的安全消息标记被设定，提醒所述消息客户机的用户以确定是否对消息执行安全操作。

20.如权利要求1所述的方法，其中：

所述提取的数字证书信息包括主题标识符和数字证书有效性信息；和

确定所述提取的数字证书信息是否存储在所述消息客户机处的数据存储单元中的步骤包括步骤：

确定所述主题标识符是否存储在所述数据存储单元中的现有条目中；和

一旦确定所述主题标识符没有存储在所述数据存储单元中的现有条目中，确定所述数字证书有效性信息是否存储在所述数据存储单元中的现有条目中；和

在所述数据存储单元中存储所述数字证书信息的步骤包括步骤：

在所述主题标识符没有存储在所述数据存储单元中的现有条目中的情况下，在所述数据存储单元中创建新条目，并且存储所述主题标识符和数字证书有效性信息在所述数据存储单元中的所述新条目中；和

在所述主题标识符存储在所述数据存储单元中的现有条目中的情况下，存储所述数字证书有效性信息在所述数据存储单元中的现有条目中。

21.如权利要求20所述的方法，还包括步骤：

基于所述主题标识符和所述数字证书有效性信息确定数字证书是否是无效的；和

一旦确定数字证书是无效的，通知消息客户机的用户所述数字证书是无效的。

22.如权利要求21所述的方法，其中，所述数字证书有效性信息定义一个有效期。

23.如权利要求21所述的方法，其中，所述数字证书有效性信息定义一个过期时间。

24.如权利要求1所述的方法，其中，所述消息客户机在无线移动通信设备上实现。

25.如权利要求1所述的方法，其中所述消息客户机是移动通信设备，并且还包括：

在移动通信设备处接收所传送的数字证书数据；

比较所述传送的数字证书数据与存储在移动通信设备中的存储器存储单元中的数字证书数据；

其中，所述在所提取的数字证书信息没有存储在数据存储单元中的情况下，在所述数据存储单元中存储所述提取的数字证书信息的步骤包括：更新所述存储器存储单元以包括没有存储在所述存储器存储单元中的传送的数字证书数据。

26.如权利要求25所述的方法，其中，比较所述传送的数字证书数据与存储在所述存储器存储单元中的数字证书数据的步骤包括步骤：

选择与所述传送的数字证书数据相关的数字证书标识符；和

确定所述数字证书标识符是否存储在所述存储器存储单元中。

27.如权利要求26所述的方法，其中，更新所述存储器存储单元以包括没有存储在所述存储器存储单元中的所述传送的数字证书数据的步骤包括步骤：

一旦确定所述数字证书标识符没有存储在所述存储器存储单元：

存储所述数字证书标识符在所述存储器存储单元中；

存储所述传送的数字证书数据在所述存储器存储单元中；和

关联所述传送的数字证书数据与所述数字证书标识符。

28.如权利要求27所述的方法，进一步包括步骤：

在所述存储器存储单元中设定安全消息标识符；和

关联所述安全消息标识符与所述数字证书标识符。

29.如权利要求28所述的方法，其中，所述存储器存储单元是地址本存储单元，所述数字证书标识符是电子邮件地址。

30.如权利要求29所述的方法，进一步包括步骤：

在所述移动通信设备处产生消息；

编址所述消息到所述电子邮件地址；和

基于所述安全消息标识符确定是否对所述消息执行安全操作。

31.如权利要求30所述的方法，其中，基于所述安全消息标识符确定是否对所述消息执行安全操作的步骤包括步骤：

确定所述安全消息标识符是否被设定；

在所述安全消息标识符被设定的情况下，提醒所述移动通信设备的用户选择所述安全操作。

32.如权利要求25所述的方法，进一步包括步骤：

基于存储在所述存储器存储单元中的所述数字证书数据，选择数字证书的有效性事件；和

一旦发生有效性事件，通知用户。

33.如权利要求32所述的方法，其中，所述有效性事件是所述数字证书的有效期的过期。

34.如权利要求32所述的方法，其中，基于存储在所述存储器存储单元中的所述数字证书数据，选择数字证书的有效性事件的步骤包括步骤：

在第二存储器存储单元中存储有效性事件；和

周期地访问所述第二存储器存储单元，以确定是否已经发生所述有效性事件。

35.如权利要求34所述的方法，其中，所述第二存储器存储单元是日历事件存储单元，所述有效性事件是所述数字证书的过期。

36.一种在消息客户机处存储数字证书信息的系统，该系统包括：

数字证书加载器模块，被配置接收数字证书；和

数字证书信息注入器模块，被配置在所述数字证书由所述数字证书加载器模块接收之后，从数字证书提取数字证书信息，确定所述提取的数字证书信息是否存储在第一数据存储单元中的条目中，并且在所述提取的数字证书信息没有存储在所述第一数据存储单元中的条目中的情况下，存储所述提取的数字证书信息在所述第一数据存储单元中。

37.如权利要求36所述的系统，其中，所述数字证书信息注入器模块进一步被配置一旦确定所述提取的数字证书信息没有存储在所述第一数据存储单元中的条目中，在所述第一数据存储单元中创建新条目。

38.如权利要求37所述的系统，其中：

所述提取的数字证书信息包括主题标识符和附加数字证书信息；和

所述数字证书信息注入器模块进一步被配置以：

确定所述主题标识符是否存储在所述第一数据存储单元中的现有条目中，和一旦确定所述主题标识符没有存储在所述第一数据存储单元中的条目中时，在所述第一数据存储单元中创建新条目，并且存储所述主题标识符和附加数字证书信息在所述第一数据存储单元中的所述新条目中；和

一旦确定所述主题标识符存储在所述第一数据存储单元中的条目中，确定所述附加数字证书信息是否存储在所述第一数据存储单元中的条目中，和一旦确定所述附加数字证书信息没有存储在所述第一数据存储单元中，存储所述附加数字证书信息在所述第一数据存储单元中的条目中。

39.如权利要求36所述的系统，进一步包括第二数据存储单元，其中所述数据证书加载器模块被配置在所述第二数据存储单元中存储所述数字证书。

40.如权利要求39所述的系统，其中，所述数字证书信息注入器模块进一步被配置以检测接收的数字证书到所述第二数据存储单元的存储，和一旦检测到从所述第二数据存储单元中获得所述接收的数字证书。

41.如权利要求39所述的系统，其中：

所述数字证书加载器模块被配置以当一个接收的数字证书已经存储到所述第二数据存储单元时，通知所述数字证书信息注入器模块；和

所述数字证书信息注入器模块被配置，一旦被通知从所述第二数据存储单元获得所述接收的数字证书。

42.如权利要求36所述的系统，其中：

所述系统还包括数字证书存储单元；

所述数字证书加载器模块被配置，以解析数字证书创建解析的数字证书数据和在所述数字证书存储单元中存储所述解析的数字证书数据；和

所述数字证书信息注入器模块被配置，以从存储在所述数据证书存储单元中的所述解析的数字证书数据获取所述数字证书信息。

43.如权利要求36所述的系统，其中，所述数字证书加载器模块被配置以提供所述数字证书信息给所述数字证书信息注入器模块。

44.如权利要求36所述的系统，其中，所述消息客户机是无线移动通信设备。

45.如权利要求39所述的系统，其中，所述数字证书信息注入器模块进一步被配置以从所述第二数据存储单元提取用于数字证书的数字证书信息，确定从所述第二数据存储单元中提取的所述数字证书信息是否存储在所述第一数据存储单元中的条目中，并且一旦确定从所述第二数据存储单元中提取的数字证书信息没有存储在所述第一数据存储单元中的条目中，存储所述提取的数字证书信息在所述第一数据存储单元中。

46.如权利要求45所述的系统，其中，所述第一数据存储单元包括存储联系信息的地址本存储单元和存储约会信息的约会存储单元。

Images