CN100592311C

CN100592311C - 独立于操作系统的数据管理

Info

Publication number: CN100592311C
Application number: CN200610064247A
Authority: CN
Inventors: A·D·罗斯; D·摩甘
Original assignee: Intel Corp
Current assignee: Intel Corp
Priority date: 2005-11-12
Filing date: 2006-11-13
Publication date: 2010-02-24
Anticipated expiration: 2026-11-13
Also published as: JP4769304B2; CN101008966A; JP2009512959A; US7565685B2; WO2007058889A8; EP1946238A2; US20070113266A1; WO2007058889A2; WO2007058889A3; EP1946238B1

Abstract

提供对利于操作系统的数字权利管理的装置和方法。作出能由安全模块监控的数据请求。所述安全模块独立于主机操作系统，并且管理用于所述请求的数据的数字权利。因此，数字权利管理发生于主机操作系统的环境之外。所述安全模块可以分类所述数据，并基于所述数据分类来确定安全策略。策略可以本地地或远程地存储，并且可以被关联到服从所述策略的数据。

Description

独立于操作系统的数据管理

技术领域

本发明实施例涉及计算设备的安全性，并且特别涉及企业数字权利管理。

背景技术

企业今天面对着对于企业中创建和/或操作的数据的知识产权(IP)权利保护的挑战。雇员也许不太了解关于特定数据的IP权利的目标的企业利益，也不太了解怎样对他们生成或使用的数据进行分类。有时企业发布关于数据中IP权利保护的指示，但该指示不能有效地使雇员遵循该指示。许多企业太晚才发现未能规范地遵循正确的过程。

存在数字权利管理(DRM)，但其传统上被局限于压缩盘(CD)或多媒体保护的范围。此外，就DRM可以用于计算设备中的其它数据来说，传统的DRM技术完全依赖于操作系统来控制对数据的访问。在一个企业中，用户可以是他们自己的计算设备的管理员，并且具有在操作系统中毫无安全控制地创建、修改和分发IP的权限。

附图说明

下面的描述包括多个附图的讨论，所述附图中通过实现本发明实施例的例子的方式给出示例。所述附图应该理解为示例，而不应该理解为限制。

图1是具有安全能力管理器的一个系统实施例的方框图。

图2是具有安全能力管理器以判定和应用数字权利管理策略的一个系统实施例的方框图。

图3是具有安全能力管理器、连接到远程策略服务器的系统实施例的方框图。

图4是根据由安全能力管理器管理的策略来访问数据的应用实施例的方框图。

图5是安全能力管理器的实施例的方框图。

图6是文档创建的实施例的流程图。

图7是文档修改的实施例的流程图。

具体实施方式

如此处使用的，对一个或多个“实施例”的引用可理解为描述包括在本发明的至少一个实现中的特定特征、结构或特性。因此，此处出现的例如“在一实施例中”或“在可选实施例中”这样的短语描述本发明的多个实施例和实现，不必要全部都指向相同的实施例。可是，它们也不必相互排斥。下面是特定的细节和实现的描述，包括附图的描述和对在此表示的创造性概念的其它潜在实施例或实现的讨论，所述附图描述了一些或全部的下面所描述的实施例。下面给出了本发明实施例的综述，然后是参考附图的更详细的描述。

计算设备包括硬件平台，所述硬件平台能包括安全模块以提供数据安全管理。因此所述数据安全能从主机操作系统和驻留的应用中隔离出来。安全模块的一个例子包括使用AMT(活动管理技术)的模块，所述AMT可从Santa Clara，California的INTEL公司得到。当在所述平台上生成数据请求时，所述安全模块能够监控所述请求并管理与所述请求相关或涉及所述请求的安全问题。因此，能够从所述平台上的主机操作系统中生成请求到数据管理系统，并且所述安全模块能够确保所述数据的数字权利管理(DRM)的应用和执行。如此处使用的，请求将被理解为在存储器(memory)和存储装置(storage)之间的数据任一方向上的交换。存储器通常指易失性的系统存储器，而存储装置指非易失性的存储装置。请求也指由处理器或中央处理单元(CPU)从存储器(如超高速缓存，随机访问存储器(RAM))中访问或调用数据。数据指一组一位或多位的信息。此处使用的DRM通常指安全管理，以及潜在地对任意数据的访问/修改/创建的限制。更详细地，DRM可以指企业中的策略服务，其控制一种或多种数据分类、(用户)鉴别、使用数据的授权和认可(用户身份的证明，如通过数字证书)中的一个或多个。

所述平台上的安全模块独立于所述平台上的一个或多个操作系统。如此处使用的，独立于操作系统是指操作系统通常不检测或不能够直接访问安全模块的概念。独立于操作系统的安全模块不易遭受与操作系统相同弱点的攻击。因此，如果操作系统被泄密或攻击，安全模块的完整性应该保持未受攻击的状态。除了被称作独立于操作系统，这样的系统可以被称为在操作系统的“带外(out of band)，“逻辑上在操作系统之下”，或存在由其它术语来进行描述，这些术语暗示安全模块通常不需要由操作系统控制/管理的硬件或软件这一概念。然而，安全模块的功能可以与由操作系统控制的硬件/软件联系在一起。

在一个实施例中，应用存在于操作系统中，或在操作系统下执行，所述操作系统与安全模块对接。在操作系统下执行的应用是指由操作系统管理/调度的程序。所述应用能存在于操作系统中，例如作为操作系统的安全内核或其它系统应用或本地组件。所述应用与安全模块进行通信以提供有关数据或可用来存取数据的程序的信息。在一个实施例中，所述应用提供信息以使安全模块能分类数据。

当从存储装置作出将数据加载到存储器中的请求，或者从存储器作出将全部或部分数据替换的请求，或者将新创建的数据存储在存储装置中时或之后，安全模块能够监控与所述数据相关的动作。当平台处理器作出与存储器中数据的动作(如，加载、访问、创建)相关的请求时或之后，安全模块能监控所述动作。在任何这种情况下监控所述动作可以包括确定所述数据的类型、与所述数据相关的安全策略、或应该与所述数据相关的事务，以及确保正确的安全策略规则或过程被正确地执行。

在一个实施例中，安全模块对选择的新创建的数据进行强制的访问控制。对其进行强制访问控制的数据的选择能够通过以下方式进行，如确定数据类型、平台的地理位置(如，在特定公司设施、在公司设施的特定位置、在场所之外(off site))、平台的虚拟位置(如，在特殊的局域网(LAN)或虚拟LAN(VLAN)、在特殊的无线LAN(WLAN)、在不安全的网络)、文件类型(如，由特殊的文件扩展名指定)、文档类型(如，由一个或多个特殊的文件扩展名指定、从特殊的模板中创建、从特殊类型的其它数据中复制或重复的数据)、数据用途(如，表示、代码、内部文档)、用户的身份(如，用户名或口令组合、任何数字证书、特殊的数字证书、媒体访问控制(MAC)地址)、用于加密所述数据的加密密钥的长度(如，128位或更高、256位或更高)、具有特殊关键词(如，项目代码名)等。任一上述的条件可以被认为在此涉及“数据类型”。在一个实施例中，所有新创建的数据具有与其相关的强制访问控制。注意到，无论数据的创建者在操作系统中具有怎样的权限，均能对所述数据施加强制访问控制。因此，用户可以在她/他的计算设备上生成数据，并且安全模块能够将安全规则与所述文档联系在一起而不需要所述用户理解所述安全规则或尝试引发所述安全规则。

在一个实施例中，将安全规则与数据关联是指用于特定策略对于特定数据的关联。在另一实施例中，安全规则的关联是指默认安全策略对于数据的关联。可以使用同一默认安全策略，或基于数据类型存在不同的默认策略。由安全模块作出的安全关联不但减少偶然的或恶意的数据修改的可能性，而且可以增加与政府和管理标准(如，2002年的Sarbanes-Oxley(SOX)Act，H.R.3763)之间的一致性。

图1是具有安全能力管理器的一个系统实施例的方框图。主机系统100表示电子系统或计算系统。例如，主机系统100能够是移动计算设备或移动计算平台。移动计算设备可包括膝上型计算机、手持计算系统、个人数字助理(PDA)和智能手机等。主机系统100也可以是桌上型计算机、服务器类型计算机或工作站。主机系统100包括总线或总线系统102。总线102被理解为任意数量的连线、部件和桥接器等，以提供多个平台部件间的互连。总线102可包括一个或多个多点(multi-drop)和/或单点(single drop)通信路径。总线102表示用于将部件彼此连接的机构。可以使用其它形式的互连或连接。如在此使用的，连接不必仅指物理连接，尽管可以指物理连接。连接或互连能够指物理连接、通信连接和/或电子连接。

处理器110表示主机系统100的一个或多个计算元件。处理器110能够是任何类型的计算元件，并可包括一个或多个中央处理单元(CPU)、处理内核、数字信号处理器(DSP)、可编程逻辑(PLD)和微控制器等、或者这些部件的一些组合。处理器110通常提供计算资源给主机系统100，并执行主机系统100的主要操作。处理器110提供在其上执行主机操作系统的硬件环境。主机系统100还包括存储器120，所述存储器120可包括随机访问存储器(RAM)的一个或多个部件，其包括动态RAM(DRAM)、同步DRAM(SDRAM)、双倍数据率RAM(DDRRAM)等，或者这些部件的一些组合。存储器120也可理解为包括一个或多个超高速缓存元件。通常，存储器120提供临时存储以为处理器110提供指令和数据来计算/执行。存储器120能够提供资源，将在主机系统100上执行的程序被加载到所述资源中。在其它存储在存储器120中的数据或指令中，存储器120能够包括一个或多个应用122以及操作系统(OS)124。OS124是主机系统100的软件计算环境的主要组件。

在一个实施例中，存储器120还包括数字权利管理(DRM)应用126，所述应用表示一个或多个使OS124与安全能力管理器130对接的软件模块。DRM应用126可以是OS124的本地组件，或者可以作为分离的应用、函数和动态链接库(DLL)等存在。DRM应用126提供在OS124和安全能力管理器130之间的通信。例如，DRM应用126可以提供关于数据的信息给安全能力管理器130，和/或从安全能力管理器130接收关于安全的信息以应用于数据。

主机系统100还包括一个或多个输入/输出(I/O)接口140，所述接口表示提供与用户的交互和/或与主机系统100的外围部件和设备的互连的一个或多个组件。主机系统100可包括一个或多个网络接口150，所述接口可以是有线的和/或无线的。对于有线的或无线的接口中的其中之一或两者而言，网络接口150表示硬件部件(如，接口电路、接口端口、控制器)，也表示运行所述硬件部件的软件组件(如，驱动程序)。

主机系统100包括海量存储装置160，所述存储装置表示以非易失方式存储数据和/或程序的一个或多个部件。非易失存储装置是即使对所述存储设备移除电源后也保持其信息的存储装置。因此，海量存储装置160可包括一个或多个可移除存储设备162(如，光/磁盘驱动器)、非易失存储装置164(如，闪存或其它以半导体为基础的存储系统，包括通用串行总线(USB)存储装置兼容性)、或者磁硬盘驱动器(HDD)166、或者这些部件的一些组合。

在一个实施例中，主机系统100包括安全能力管理器130，用于监控和/或管理主机系统100中的数据安全。安全能力管理器130表示依据在此讨论的任何实施例的安全模块。安全能力管理器130包括策略132，所述策略表示一个或多个本地存储到安全能力管理器130的安全策略，或者一个或多个从主机系统100(如，通过网络接口150)远程获取的安全策略，或一些组合。策略132提供与关联于该策略132的数据的访问、使用和/或传播有关规则。安全能力管理器130独立于OS124，并且提供安全策略的管理，所述策略是从主机系统100的主机操作系统的环境提取的。

图2是具有安全能力管理器以判定和应用数字权利管理策略的一个系统实施例的方框图。主机系统200是依据在此描述的任一实施例的主机系统或平台的一个例子。主机系统200包括CPU210，所述CPU表示在主机系统200上执行指令的处理器。CPU210可包括一个或多个设备和/或处理内核。OS220是系统200的主机操作系统，并且在CPU210上执行。在一个实施例中，主机系统200包括平台管理230，所述平台管理可基于AMT的概念构建。

平台管理230独立于OS220，并且典型地具有独立于CPU210的控制和/或处理逻辑。在一个实施例中，平台管理230存在存储器控制器集线器上。平台管理230包括安全能力管理器(CM)232和策略234。策略234可以是本地策略，或者可以从包括远程策略250的远程设备处获取。远程策略250能够来自于网络策略服务器。策略234表示现在或将要与数据262关联的规则或条件。策略234和数据262关联是指使策略234可用于数据262，或者限制与策略234一致的数据262的访问或使用。数据262变得受相关联的策略234的支配。相关的策略234可包括添加元数据或附加信息到数据262以指示策略234的细节，或指示在哪访问策略234。在一个实施例中，策略234包括与数据262的主文件/文档一起保存的或者否则的话就与其关联的可扩展标记语言(XML)文档/文件。

安全能力管理器232表示依据在此公开的任一实施例的安全模块或安全管理器。安全能力管理器232管理应用到数据262上的策略234。管理策略234是指安全能力管理器232的如下功能，使策略234与数据关联、确定是否遵循所述策略、和/或强制违反策略、或者与策略判定或策略实施有关的任何其它功能。根据策略234的强制，可以拒绝或限制对数据262的访问。

在一个实施例中，管理应用222与OS220关联，或者作为OS220的本地组件，或者作为在OS220下操作的单独应用。安全能力管理器232可以连接到应用222以便和与在OS220下请求的数据的安全性有关的应用222对接。通常，对数据262的请求将在OS220的环境(如，由OS220，由运行在OS220的环境上的应用)中作出，并且安全能力管理器232将执行用于所述数据的安全策略。可以如图2中所描述的一样控制安全能力管理器232的接口，或者这可以通过例如CPU210的一个或多个部件来进行。

平台管理230连接到输入/输出(I/O)集线器240，所述集线器表示为主机系统200提供外围支持的一个或多个部件。例如，在主机系统200中可利用一个或多个网络连接机构。I/O集线器240连接到无线LAN(WLAN)242和以太网244，所述无线LAN表示无线网络接口电路，所述以太网是有线网络接口电路的例子。

I/O集线器240也可以连接到存储装置260，所述存储装置能够是任意类型的非易失存储设备。尽管存储装置260在图2中被描述为在主机系统200中，存储装置260不局限于位于主机系统200中。在一个实施例中，存储装置260位于主机系统200外部，通过网络远离，并且可例如通过WLAN242和/或以太网244访问。存储装置260提供可存储数据262的位置。因此，数据262可以是位于主机系统200本地的数据和/或在网络上共享的数据。也注意到，在图2中数据262被描述为在存储装置260和存储器280之间。这样的在该位置的数据262的描述应被理解为仅仅表示为主机系统200的单个快照，并且数据262可以在存储装置260中、在存储器280中、在CPU210上执行和在超高速缓存中等。数据262在这些多个位置间的“移动”可以由DRM272和/或DRM274控制。DRM272-274可以基于或不基于单独的数字权利规则。在一个实施例中，DRM272和DRM274是对数据262执行不同动作的策略234的应用。如在此使用的，对数据262的“移动”或“动作”是指对数据262的一位或多位进行的一个或多个操作。因此，加载、保存、修改、变化、读取、发送、打印等都是指发生在数据262上的操作，其可以被认为是对数据262的“移动”或“动作”。当请求对数据262的一个或多个动作时，可以检查DRM，并且策略234可以施加与一个或多个所述动作有关的约束或限制。

通常，对于受策略234支配的数据262，用由安全能力管理器232管理/操作/控制的策略234，创建数据262、修改数据262、访问数据262和传输数据262等均可以是请求。所述请求在OS220的环境中作出，并且不由OS220或由在OS220(如，运行在OS220下)的环境中的组件所管理安全性，而由平台管理230的独立于操作系统的组件(如，安全能力管理器232)管理安全性。安全能力管理器232能够是与策略234相关的在主机系统200本地的策略执行点，因为安全能力管理器232应用策略234到数据262。在一个实施例中，安全能力管理器232也能生成策略234和/或从远程/外部策略250中获取策略234，并且作出关于向数据262正确应用策略的判定(如，关联数据262的规则，特殊用户是否被授权访问所述数据，应用一个或多个用户应用的规则等)。因此，安全能力管理器232也可以是驻留于主机系统200上的策略决定点。

图3是具有安全能力管理器的连接到远程策略服务器的系统实施例的方框图。主机系统310代表依据在此描述的任一实施例的具有安全能力管理器320的系统或平台，所述管理器代表依据在此描述的任一实施例的安全模块或能力管理器。安全能力管理器320以在此描述的任意方式管理和应用策略322到主机系统310中的数据上。安全能力管理器320可以直接或间接地连接到网络330。安全能力管理器320的连接可通过通常可用的网络接口电路的网络端口/资源，又或者以可选择的方式成为带外通信链路。带外通信链路是指对主机系统310的主机操作系统不可访问的通信通道/连线。

网络330为安全能力管理器320提供连接以与服务器340和/或DRM策略服务350对接。服务器340表示服务器类计算设备或具有网络管理服务的计算设备。DRM策略服务可以是服务器340的服务，或可由服务器340从网络330上的另一位置或另一网络(未示出)进行访问。DRM策略服务350是远离主机系统300的实体，该实体提供策略给安全能力管理器320以在主机系统300的数据上实现。DRM策略服务350可以访问具有各种规则或策略的策略342。所述策略可基于安全能力管理器320实现安全性所针对的数据类型而有所不同。策略342表示对安全能力管理器320可利用的远程策略。在一个实施例中，除了本地创建安全策略，安全能力管理器320可以访问策略342和在本地存储一些或所有策略作为策略322，以使安全能力管理器320能起策略判定点的作用。

图4是根据由安全能力管理器管理的策略来访问数据的应用实施例的方框图。应用410表示在主机系统上的生成数据请求的程序或应用，典型地在主机操作系统的环境中。应用410可包括例程412以调用/获取数据。数据调用可以是访问或修改数据。数据的调用或获取也可表示对主机操作系统的分配资源以将一位或多位作为新的数据元素(如，一个文件，一个文档)管理的请求。就一些或所有的数据来说，例程412受应用DRM420的影响。敏感的、网络上共享的和与特殊用户、项目和/或其它数据等有关的数据可以有关联的安全性，所述安全性由安全能力管理器440进行管理。

在一个实施例中，安全能力管理器440包括或具有对非易失性(nv)存储装置442的访问，所述存储装置表示一种或多种形式的持续存储装置。在一个实施例中，非易失性存储装置442是安全能力管理器440独占的，而没有其它的实体能访问非易失性存储装置442。在一个实施例中，非易失性存储装置442是、或者包括可信计算组的可信平台模块(TPM)。因此，当作为TPM或其它存储设备时，非易失性存储装置442能够是安全的或隔离的存储装置。仅仅如果其它模块不被允许访问所述存储装置时，非易失性存储装置442能够是安全的或隔离的。如果主机操作系统可利用的硬件平台的部件(如，CPU、主系统存储器、硬盘驱动器等)不能直接访问所述存储装置，则非易失性存储装置442可以是带外的。安全能力管理器440能够在非易失性存储装置442上存储，例如，策略或数字签名。安全能力管理器440也可以在易失性存储器中存储数据。策略能够在每次需要的时候被获取，而不是本地地存储在非易失性存储装置中。在一个实施例中，策略被有选择地存储在非易失性存储装置442中。例如，需要特殊级别或更高安全性的数据以总是从网络获取策略。或者相反地，特殊级别或更高安全性的数据可以总是被存储在非易失性存储装置442中。此外，特殊数据类型的安全策略可以总是被存储在非易失性存储装置442中。因此，信息能够被有选择地存储在非易失性存储装置442中。

数据430表示在此描述的例程412正在请求的数据。元数据432与数据430关联以提供有关数据430的安全策略的信息。在一个实施例中，元数据432是具有应用于数据430的规则的XML文件。策略460表示与数据430关联的策略。策略460可包括与数据430的权限或使用情况有关的一个或多个项目或规定。如所解释的，策略460能够驻留于元数据432中，由元数据432进行指示，或独立于元数据432地存在。

在一个实施例中，对新数据在创建时施加默认策略450。例如，如果安全能力管理器440确定不存在用于数据430的安全策略，则在修改时默认策略450也能与数据430关联。基于在此通常描述为“数据类型”的众多因素，数据430能够被默认为多个安全级别中的一个。例如，公司可具有安全策略的级别，从提供数据430的最严格控制的秘密级别，一直到对数据430应用很少或不应用安全规则的公开级别。默认策略450能够被设置为所述级别中的一个，如果所述数据还没有安全策略，则该级别被应用于所有数据。可选地，默认策略450能够确定对应于数据类型的级别。因此，特殊地理位置的数据可以被给予比来自不同地理位置的数据更严格的策略规则。因此，就像数据安全策略的实现和/或执行可以与数据类型相关一样，默认策略可以基于数据类型。

图5是安全能力管理器的实施例的方框图。图5的安全能力管理器是依据在此描述的任一实施例的安全能力管理器的一个例子。管理器300包括控制逻辑510，所述逻辑实现逻辑功能控制以指导管理器500的操作，和/或与管理器500的指导操作关联的硬件的操作。逻辑可以是硬件逻辑电路和/或软件例程。在一个实施例中，管理器500包括一个或多个应用520，所述应用表示提供指令给控制逻辑510的代码序列和/或程序。管理器500包括存储器530和/或用于存储数据和/或指令的对存储器资源530的访问。存储器530可包括管理器500本地的存储器，也或者可选地，包括管理器500所位于的主机系统的存储器。管理器500还包括一个或多个接口540，所述接口表示与管理器500外部的实体(电子设备或人)有关的到/来自管理器500的访问接口。接口540可包括从管理器500到管理器500所位于的主机系统的其它组件的接口，以及到主机系统外部的实体的接口。

管理器500还包括管理引擎550，所述引擎表示使管理器500能提供安全策略管理的一个或多个功能。所述功能包括如下的一个或多个部件，或由如下的一个或多个部件提供：确定数据类型部件(feature)552、访问策略部件554、分配策略部件556、应用策略部件558、验证ID部件560和访问数据部件562。还可包括其它部件以构建其它版本的管理引擎550，所述引擎或多或少地比所示的要复杂一些。如在此使用的，部件可以指函数、模块、例程、子系统等，是硬件、软件、还是一些组合。因此，“部件”应该以示例的方式解释，而不是限制的意思。每个部件能够是管理器500中的一个模块。

确定数据类型部件552使管理引擎550能确定用于安全策略管理目的的数据类型，如前面详细讨论的。通用类别可用于定义用户属性、主机系统位置和数据功能等。数据类型对管理引擎550是可访问的，例如所述引擎能够简单地从存储器管理器中获取信息。可选地，管理引擎550可以处理数据请求以确定数据类型。

访问策略部件554使管理引擎550能获取策略以关联和/或执行数据。在一个实施例中，访问策略部件554包括生成策略的能力。在一个实施例中，访问策略部件554包括访问远程策略服务以获取策略的能力。访问策略部件554可包括本地存储或高速缓冲存储所获取的用于数据的策略的能力。每当对于数据发生与安全管理有关的动作时，策略可以从网络位置获取。

分配策略部件556使管理引擎550能将安全策略与数据联系在一起。例如，安全能力管理器500可包括在分配策略部件556中的XML生成器。分配策略部件556还可包括用于其它类型元数据文件的生成器。分配策略部件556可结合确定数据类型部件552来操作，以提供数据类型的分类。分配的或与数据关联的策略能够整体或部分地基于所确定的数据分类。

应用策略部件558使管理引擎550能执行与数据关联的策略。应用策略部件558可因此使安全能力管理器500能约束请求用户对数据的访问或限制其的控制(如，查看、复制、打印)。应用策略部件558可与操作在主机操作系统的环境中的外部应用对接以执行安全策略。

验证ID部件560使管理引擎550能对请求用户执行认可验证。认可可包括使用数字签名的数据签名。验证ID部件560可因此确定数据是否具有有效的数字签名。有效的数字签名指示接受者所述数据来自于签名源(signing source)。因此，如果数据被生成和签名，所述数据能够被发送到能够基于所述数字签名验证数据源的另一实体。在一个实施例中，没有请求用户的用户身份的证明，安全能力管理器500拒绝修改或创建数据。

访问数据部件562使管理引擎550能监控或接收请求，和/或访问数据。访问数据部件562使安全能力管理器500能确定何时对于平台主机操作系统下的数据作出数据请求，安全能力管理器500是所述平台的一部分。监控是指确定何时对数据进行操作的能力，所述数据受安全策略的支配或应该受安全策略的支配。所述数据可被标记或标志，所述标记或标志可发生于存储器管理器中或文件管理器中。访问数据可以指安全能力管理器500获取数据本身和/或关于数据的信息的能力。

管理器500可包括硬件、软件、和/或这些的组合。在管理器500或其成分组件包括软件的情况下，所述软件数据、指令和/或配置可由机器/电子设备/硬件通过一种产品的方式提供。一种产品可包括具有提供指令和数据等内容的机器可访问/可读的介质。所述内容可导致电子设备，例如在此描述的文件管理器、磁盘或磁盘控制器，执行所描述的各种操作或运行。机器可访问介质包括以机器(如，计算设备、电子设备、电子系统/子系统等)可访问的形式提供(如，存储和/或传输)信息/内容的任意机制。例如，机器可访问介质包括可记录/不可记录媒体(如，只读存储器(ROM)、随机访问存储器(RAM)、磁硬盘存储媒体、光存储媒体、闪存设备等)、以及电、光、声学或其它形式的传播信号(如，载波、红外信号、电子信号等)等。机器可访问介质可进一步包括具有加载到存储装置上的代码的电子设备，当所述电子设备运行时所述代码可被执行。因此，分发具有这种代码的电子设备可被理解为提供具有如上所述的这种内容的一种产品。进一步地，存储代码到数据库或其它存储单元以及通过通信介质以传播信号的方式提供代码下载，可以被理解为提供具有如上所述的这种内容的一种产品。

图6是文档创建的一个实施例的流程图。步骤602，作出访问标记数据的请求。请求被如前所述地描述。访问数据是指创建、修改或其它的加载和使用数据。标记数据是指具有安全指示符的数据。安全指示符是指元数据或数据标题或标记所述数据为受安全策略支配的其它机制。访问所述数据的应用然后能基于所述数据受安全性支配的事实来执行操作。所述指示符可以在创建数据时或创建数据后与数据一起放置。所述指示符可由数据创建器生成，或由系统管理员或安全模块添加到所述数据。在一个实施例中，安全模块在创建时对数据执行语义搜索以确定所述数据是否受安全策略支配。例如，所述安全策略可使用与文档中的智能标签相同或相似的机制来确定关键词或短语出现在数据中。

请求在主机操作系统下的应用的环境中作出。步骤604中，当标记数据被访问或创建时，所述应用访问平台权利管理器。所述平台权利管理器是指操作系统中处理安全性的应用，或是如在此描述的安全模块，或者是指上述两者。步骤606中，所述平台权利管理器从所述应用接收用于将被创建的新数据的创建请求。步骤608中，所述平台权利管理器检查用于所述数据的数据类型的安全策略。如在此描述的，所述安全策略可以是本地的或远程的，并且所述数据类型被如前所述地描述。检查用于所述数据类型的安全策略可包括确定所述数据的数据类型，如果所述数据类型是已知的或被指明则所述操作可相对简单，否则所述操作可包含由平台权利管理器执行的某些操作。

步骤610中，如果根据所述数据类型不存在用于数据创建的策略，则在步骤612中不定义所述策略，并将默认策略与所述数据关联。所述默认策略可基于数据类型进行选择。步骤610中，如果策略存在，则在步骤614中批准所述数据创建。一旦由步骤612中得出所述数据具有与其关联的策略，也批准数据创建。步骤616中，所述安全策略具有与所述数据关联的特定控制。所述控制影响数据能够怎样使用和访问。步骤618中，所述数据被创建和可利用。创建和可利用能包括使用存储器管理器或使用存储表来注册所述数据(如，分配文件名)。注意到，数据能够被认为在使用特定引用或文件名进行数据保存之前被创建和可利用。在一个实施例中，在步骤620中使用认可，并且所创建的数据被数字签名和保存。

图7是文档修改的一个实施例的流程图。注意到，在下面的参考图7的文档修改的描述和图6的文档创建之间有许多相似之处。在一个实施例中，除了所示的区别以外，处理可以是同样的。步骤702中，作出改变标记数据的请求。步骤704中，当标记数据被改变时，为所述请求提供环境的应用访问平台权利管理器。步骤706中，所述平台权利管理器从所述应用接收修改请求。步骤708中，所述平台权利管理器检查用于所述数据的数据类型的安全策略。

步骤710中，如果没有对所述数据应用策略，则在步骤712中不定义所述策略，并将默认策略与所述数据关联。注意到，利用此处描述的安全模块的部署，可以对于已存在的数据追溯(retroactive)应用策略。每次数据被访问或修改时，能够评估数据以确定是否存在用于所述数据的策略。此外，确定是否已应用所述策略能够包括确定最近的策略是否被用于所述数据。如果最近的策略没有被用于所述数据，则所述策略能够简单地被更新，而不是关联默认策略。因此，数据能与在此描述的安全模块保持同步。默认策略或更新的策略能够基于数据类型进行选择。步骤710中，如果已经应用策略，并且潜在地如果是最新的，则在步骤714中批准所述数据修改。一旦由步骤712中得出所述数据具有与其关联的策略，也批准数据修改。步骤716中，所述安全策略具有与所述数据关联的特定控制。所述控制影响数据能够怎样使用或访问。步骤718中，所述数据被打开和可利用。在一个实施例中，在步骤720中使用认可，并且所创建的数据被数字签名和保存。

除了在此描述的，可以对所公开的本发明实施例和实现方式进行各种修改而不脱离于它们的范围。因此，此处的示例和例子应该被解释为示例，而不是限制的意思。本发明的范围应完全参考下面的权利要求进行确定。

Claims

1、一种用于数据安全管理的方法，包括：

经平台的操作系统OS不能访问的带外通信通道在平台的安全模块处接收安全策略；

利用安全模块管理所接收的安全策略，包括将所接收的安全策略存储在所述操作系统OS不能直接访问的、隔离的存储装置中；

所述安全模块从所述操作系统OS环境中操作的平台的应用程序接收平台数据请求；以及

所述安全模块实现安全策略，包括响应于所接收的请求，

分类数据以便确定数据类型，

识别所述安全策略应用于所确定的数据类型，以及

响应于所述识别，所述安全模块存储所述安全策略与所述数据相关联的指示，存储所述指示以便提供对所述数据的安全控制，其中独立于所述操作系统OS执行存储所述指示。

2、权利要求1所述的方法，其中所述数据请求包括修改现有数据的请求。

3、权利要求1所述的方法，其中所述数据请求包括存储新创建数据的请求。

4、权利要求2所述的方法，其中所述安全策略与所述数据的关联进一步包括自动分配安全策略给新创建数据。

5、权利要求1所述的方法，其中所述安全策略包括网络上共享的数据的数字权利管理。

6、权利要求1所述的方法，其中分类数据包括基于文件类型、文档类型或数据用途中的至少一个来识别数据类型。

7、权利要求1所述的方法，其中分类数据包括基于请求所述数据的用户身份、平台的地理位置、网络上平台的虚拟位置或用于加密数据的加密密钥的长度中的至少一个来识别数据类型。

8、权利要求1所述的方法，其中分类数据包括基于数据的语义搜索来识别数据类型。

9、权利要求8所述的方法，其中所述数据的语义搜索包括在数据中搜索特定的关键词。

10、权利要求1所述的方法，其中识别所述安全策略应用于所确定的数据类型包括识别用于所述数据类型的默认安全策略。

11、权利要求1所述的方法，进一步包括使用数字证书对数据进行签名，以向所述安全模块验证请求用户的身份。

12、一种用于管理数据安全的装置，包括：

主机处理器，用于执行主机操作系统和执行用于生成数据请求的应用；以及

安全能力管理器，连接到所述主机处理器且位于所述主机操作系统的环境之外，用于监控所述主机处理器中的数据请求，响应于所述请求来确定与数据相关联的安全策略，将所述安全策略存储在所述操作系统不能直接访问的、隔离的非易失性存储装置中，并且响应于确定来存储所确定的安全策略与所述数据相关联的指示，存储所述指示以便提供对所述数据的安全控制，其中独立于所述操作系统OS执行存储所述指示。

13、权利要求12所述的装置，其中所述安全能力管理器服从高级管理技术。

14、权利要求12所述的装置，进一步包括存储所述安全策略的可信平台模块。

15、一种用于管理数据安全的系统，包括：

主机处理器，用于执行主机操作系统和执行用于生成数据请求的应用；

安全能力管理器，连接到所述主机处理器且位于所述主机操作系统的环境之外，用于监控所述主机处理器中的数据请求，响应于所述请求而至少部分地基于数据类型来确定与数据相关联的安全策略，并且响应于确定来存储所确定的安全策略与所述数据相关联的指示，存储所述指示以便提供对所述数据的安全控制，其中独立于所述操作系统OS执行存储所述指示；以及

隔离的非易失性存储装置，连接到所述安全能力管理器以存储所述安全策略，其中所述操作系统不能直接访问所述隔离的非易失性存储装置。

16、权利要求15所述的系统，所述隔离的非易失性存储装置还经所述操作系统不能直接访问的安全的带外通信通道接收所述安全策略。

17、权利要求15所述的系统，所述隔离的非易失性存储装置至少部分基于数据类型来有选择地存储所述安全策略。