CN102449596A - 用于智能卡虚拟化的方法和系统 - Google Patents

Abstract

提供方法和系统以允许个人计算机用户虚拟化本地智能卡的，使得它们可以远程连接至服务器并且与该服务器交互，就好像本地智能卡物理上连接至该服务器一样。他们通过物理连接（诸如USB连接）将远程智能卡目标硬件设备连接至目标系统，并且该设备通过网络与本地用户的计算机和智能卡读取器进行交互。目标系统察觉不到智能卡读取器没有通过物理连接直接连接至系统，并且目标系统不需要特别的软件来实现远程智能卡读取器。连接至目标计算机的智能卡目标设备可以在物理上连接和断开。

Description

用于智能卡虚拟化的方法和系统

技术领域

这一般地涉及智能卡，并且更特别地涉及通过网络的智能卡读取器的虚拟化。

背景技术

电子商务行业具有在提供对计算机的处理能力的访问之前或在登录到计算机上时执行电子交互之前提供对用户的认证的需要。在允许访问计算机资源之前，计算机需要确定正在尝试获得访问的用户何时是授权用户。此外，当通过因特网进行商业交易时，在转移钱和宝贵的数据时，对用户身份的认证是重要的。不论何种活动，都期望仅允许授权用户执行对安全计算机系统的操作。

在电子令牌可用之前，典型系统使用简单口令来认证用户并且允许对计算机进行访问。已经发现提供访问控制的口令方法在保护具有存储在计算机上的宝贵数据的商业数据时是不足够的。可以发现并且不适当地使用简单口令。当通过网络传输口令时，可以拦截它们并且将它们用于未授权的目的。很多商业使用一次性口令，其每几秒就改变以确定对计算机系统的访问。对于甚至更大的安全性，使用包含注册账号的智能卡，其很难被伪造。

智能卡是保持经由卡读取器读入到计算机中的电子令牌（例如，数字签名、用户标识和信息、加密和解密密钥、安全令牌、生物测量学信息）的塑料卡。智能卡通常包含大的编码消息，该消息很难被伪造。

此外，描述用户的信息可以作为电子令牌存储在卡上。电子令牌可以在用于经由访问控制程序对计算机系统的用户授予访问的过程中使用。当将用户识别为系统的授权用户时，计算机系统对用户授予访问，当用户未能被识别为系统的授权用户时，计算机系统拒绝用户访问。

在计算的另一方面中，存在促进远程站处的操作者对计算机的远程控制和访问的系统。此类系统通常使用使远程站处的操作者能够控制所谓的目标（或本地）计算机的方面的设备或机制。更特别地，此类系统通常允许远程站向目标计算机提供鼠标和键盘输入，并且还允许远程站查看目标计算机的视频显示输出。这些类型的系统通常被称作键盘-视频-鼠标（KVM）系统。

远程KVM系统允许用户经由键盘、鼠标和视频与世界中任何地方的计算机进行交互，好像他们就位于计算机的旁边。除了键盘、鼠标和视频的虚拟化之外，诸如CD/DVD-ROM、闪存驱动器以及软盘之类的存储介质也已经被虚拟化。用户可以向世界中任何地方的服务器提供对盘上数据的访问。

随着对计算机安全性需要的增长，越来越多的用户使用智能卡来授权和认证他们对计算机系统和程序的访问。传统系统提供安装和运行在目标计算机上的特定软件来通过网络连接与远程智能卡读取器进行交互。然而，必须对在目标上运行的该软件进行特别地定制，这需要更大的开销和基础设施并且提供更少的灵活性。

传统的USB-over-IP系统允许用户在一个位置使用USB设备，而在另一个位置从PC对其进行虚拟化。然而，这些产品也需要安装在本地PC和远程PC上的特定软件。在客户端PC上安装软件可能是可接受的，但是将其安装在目标PC上通常不可接受，因为其可能违背将访问计算机的安全性。

在不将软件安装在目标计算机上的情况下，目标计算机通常不具有到智能卡读取器的物理USB连接。因而，存在对以下系统的需要，该系统提供智能卡使用的虚拟化而不需要特定软件这样做。

发明内容

根据与本发明一致的方法和系统，提供一种用于智能卡读取器的虚拟化的数据处理系统，该数据处理系统包括目标计算机，被配置为发送和接收到本地连接设备的智能卡数据，以及客户端计算机，其本地连接至智能卡读取器。其还提供智能卡虚拟化设备，其本地连接至目标计算机，被配置为从本地连接的目标计算机接收智能卡命令、通过网络向客户端计算机发送接收的智能卡命令、以及通过网络从客户端智能卡读取器接收智能卡命令响应。智能卡虚拟化设备还被配置为处理接收的智能卡命令响应数据，以及通过物理连接向本地连接的目标计算机发送处理的智能卡响应数据。

在一个实现中，提供一种智能卡虚拟化设备，其包括网络接口，被配置为与客户端计算机交互以通过网络发送智能卡命令并且接收智能卡命令响应，以及输入/输出接口，被配置为物理地连接至目标计算机，并且从目标计算机接收智能卡命令以及发送智能卡命令响应。智能卡虚拟设备还包括处理器，被配置为转译从物理输入/输出接口接收的智能卡命令用于对网络接口的输出，并且转译从网络接口接收的智能卡命令响应以及用于对物理输入/输出接口的输出。

在另一实现中，提供一种在数据处理系统中用于智能卡读取器的虚拟化的方法，包括从本地连接的目标计算机接收智能卡命令，并且通过网络向连接至智能卡读取器的客户端计算机发送接收的智能卡命令。该方法还包括通过网络从客户端计算机接收智能卡命令响应数据，处理接收的智能卡命令响应数据，并且通过物理连接向本地连接的目标计算机发送处理的智能卡响应数据。

附图说明

图1示出了根据与本发明一致的方法和系统的示例性KVM计算机系统。

图2示出了同与本发明一致的系统和方法一致的示例性目标计算机系统。

图3示出了根据与本发明一致的方法和系统的计算机网络中的智能卡虚拟化设备。

图4示出了根据与本发明一致的方法和系统的用于计算机网络中的智能卡虚拟化的方法的示例性步骤的流程图。

具体实施方式

根据本发明的方法和系统允许个人计算机用户虚拟化本地智能卡，使得它们可以远程连接至服务器并且与该服务器交互，就好像本地智能卡物理上连接至该服务器一样。它们允许智能卡被虚拟化，使得远程用户可以将他们的智能卡读取器附接至他们的本地PC、将他们的智能卡插入本地智能卡读取器，并且继而虚拟化智能卡读取器以及智能卡，使得其可以与世界上任何地方的计算机一起使用。在一个实现中，他们通过物理连接（诸如USB连接）将远程智能卡虚拟化硬件设备连接至目标计算机，并且该设备通过网络与本地用户的计算机和智能卡读取器交互。因此，目标系统察觉不到实际的智能卡读取器没有通过物理连接直接连接至系统，并且目标系统不需要特别的软件来实现远程智能卡读取器。连接至目标计算机的智能卡目标设备可以在物理上连接和断开，并且目标计算机与好像其是智能卡读取器的设备交互，从而避免在目标计算机上安装特别的软件。这些系统将智能卡添加到那些设备，可以为那些设备提供远程存在，诸如键盘、鼠标、视频和媒体。

根据本发明的方法和系统不需要远程PC上的特别软件。通过使用远程位置处的电器或嵌入式硬件设备，到远程PC的连接可以通过正常USB设备。通常已经利用在远程PC上运行的基础操作系统安装了用于USB设备的设备驱动和中间层软件。如果用户将智能卡读取器直接连接至远程PC，则在远程PC上不需要比本来需要的更多的软件。对于目标系统，通过网络的实现表现为与本地智能卡读取器相同。例如，Windows或Linux已经被配置为接受插入智能卡，并且不需要主机或目标上的任何附加软件。操作系统好像物理USB卡读取器插入目标计算机一样操作。

没有对在目标计算机上具有特别软件的需求提供了灵活的、通用的以及由具有最小基础设施需求的各种客户端和基础设施使用的能力。目标计算机不必是特定目标或具有特定软件，并且因此，针对实现需要开发更少的开销。

在以下的讨论中，被控制或访问的计算机或系统通常被称作目标计算机或目标系统。在某些情况中，目标计算机也被称作本地计算机，然而，对于客户端计算机而言是本地的组件也可以被称作本地。用于访问或控制目标计算机的系统通常在此被称作客户端系统。

图1示出了根据与本发明一致的方法和系统的示例性KVM计算机系统。在图1中示出的KVM系统100，其中一个或多个客户端站124-1、124-2,…，124-r（统称124）控制或访问一个或多个目标系统114-1…114-k。每个目标系统114包括具有关联的或附着的本地单元116的目标计算机102。每个客户端站124通常包括客户端单元126、键盘106、视频监视器108和鼠标（或类似的点和点击（point-and-click）设备）110，尽管某些客户端站可以仅包括视频显示器108和客户端单元。可以在任意客户端站124的视频监视器108上远程观看特定目标计算机102-i的操作，并且可以将客户端站124的键盘106和鼠标110用于向目标计算机102-i提供键盘和鼠标输入。如图1所示，在KVM系统100中，客户端站124能够控制或访问不止一个目标计算机。注意，在图1中绘制在目标系统与客户端站之间的线表示那些侧之间潜在的（并且不必是实际的）有线或无线（例如，RF）链路。因此，每个目标计算机102可以由不止一个客户端站124控制或访问，并且每个客户端站124可以控制不止一个目标计算机102。在一个实现中，客户端站可以位于目标系统的数百英尺内。

此外，在某些上下文中，将目标系统视为视频发射器或发送单元，并且客户端系统是视频接收单元或接收器，尽管两个单元都发射和接收。通常，视频从目标系统向客户端站传播，而键盘和鼠标数据从客户端站向目标系统移动。

如图1所示，本地或目标系统114包括目标计算机102和关联的本地单元116。本地系统114还可以包括键盘118、鼠标（或其他点和点击类型设备）120以及本地监视器122，每个都直接连接至本地单元116。客户端站124包括客户端单元126。本地或目标计算机102可以是计算机、服务器、处理器或处理器或逻辑元件的其他集合。通常，目标计算机可以包括任何处理器或处理器的集合。通过示例，目标计算机可以是位于（或嵌入在）服务器、桌面计算机（诸如PC、Apple Macintosh等）、报亭、ATM、交换机、机顶盒、电器（诸如电视、DVR、DVD播放器等）、车辆、电梯中、制造或处理产品线上的处理器或处理器或逻辑元件的集合。目标计算机的集合例如可以是机架中的服务器集合或某些其他集合，它们可以彼此独立或在网络中或通过某些其他结构彼此连接。本地和客户端监视器122、108可以是数字的或模拟的。

本地单元116是设备或机构（例如，印刷电路板（“PCB”）），其本地安装到目标/本地计算机102。该设备可以接近计算机但是在计算机的外部，或可以安装在计算机外壳的内部。不论本地单元116如何定位，在一个实现中，在目标计算机102与本地单元116之间存在直接电气连接。

本地/目标系统114上的各种组件无线地或经由有线连接与客户端站124上的组件经由无线连接链路134通信。在一个实现中，无线连接或链路134遵循IEEE 802.11a标准协议，尽管本领域技术人员将认识到通信的其他协议和方法是可能的。

本地单元116接收本地鼠标和键盘信号，例如，如PS2信号。这些信号由本地单元116提供给目标计算机102。目标计算机102生成视频输出信号，例如RGB（红、绿，蓝）信号，将它们提供给本地单元116，本地单元116继而提供信号以驱动本地监视器122。目标计算机102还可以生成提供给本地单元116的音频输出信号。如指出的那样，目标计算机102不需要具有键盘、鼠标或监视器，并且可以由客户端站124完全控制。

本地单元116向客户端站（例如，经由客户端单元126）传输图像数据用于传输。可以在传输之前压缩某些或所有数据。此外，本地单元116可以（从客户端站124）接收鼠标和键盘数据，继而将鼠标和键盘数据提供给本地/目标计算机102。目标计算机102可以执行接收的数据并且可以在其本地监视器122上显示输出。

客户端站124经由有线或无线连接（例如，802.11a无线连接134）从目标计算机102的本地单元116接收视频数据。客户端单元126从本地单元116接收（可能压缩的）视频数据（不是所有数据都需要压缩）。客户端单元126解压缩（按需）来自于客户端单元126的视频数据并且将其提供给适当的呈现设备，例如，提供给客户端监视器108，其显示视频数据。此外，客户端鼠标110和键盘106可以用于生成适当的信号（例如，PS2信号），可以经由客户端单元126向本地单元116传输该信号以便在目标计算机102上执行。

图2示出了同与本发明一致的系统和方法一致的示例性客户端计算机系统。客户端计算机124包括总线203或用于传送信息的其他通信机制，以及与总线203耦合的处理器205用于处理信息。客户端站124还可以包括与客户端计算机124类似的组件，包括提及的某些或所有组件。客户端计算机124还包括耦合至总线203的用于存储由处理器205执行的信息和指令的主存储器207，诸如随机访问存储器（RAM）或其他动态存储设备。此外，主存储器207可以用于存储在指令的执行期间将由处理器205执行的临时变量或其他中间信息。主存储器207包括用于实现与根据本发明的方法和系统一致的处理的程序213。客户端计算机124还包括只读存储器（ROM）209或耦合至总线203的其他静态存储设备，用于存储用于处理器205的静态信息和指令。提供存储设备211（诸如磁盘或光盘）并且存储设备211耦合至总线203用于存储信息和指令。

根据一个实施例，处理器205执行包含在主存储器207中的一个或多个指令的一个或多个序列。可以将此类指令从另一计算机可读介质（诸如存储设备211）读入主存储器207中。对主存储器207中指令序列的执行使得处理器205执行自此描述的过程。还可以采用多处理布置中的一个或多个处理器来执行包含在主存储器207中的指令序列。在替代实施例中，可以使用硬线电路代替软件指令或与之组合。因此，实施例不限于硬件电路和软件的任何具体组合。

尽管相对于主存储器207和存储设备211进行了描述，但是指令和与本发明一致的方法和系统的其他方面可以驻留在另一计算机可读介质上，另一计算机可读介质诸如软盘、柔性盘、硬盘、磁带、CD-ROM、磁、光或物理介质、RAM、PROM和EPROM、FLASH-EPROM、任何其他存储器芯片或带盒、或现在已知的或之后发现的计算机可以从其读取的任何其他介质。

图3示出了根据与本发明一致的方法和系统的计算机网络中的智能卡虚拟设备322。如图所示，客户端站124包括客户端操作系统302，客户端操作系统302可以连接至外部设备，例如，USB设备或其他设备，诸如CD/DVD驱动器304、可移除介质设备308、智能卡读取器306或任何其他合适的组件。客户端用户将他们的智能卡插入该智能卡读取器306，使得其可以被认证并且与目标计算机102远程交互。这些外部组件可以与诸如串行连接、USB连接或任何其他合适连接的连接进行连接。

目标计算机102上的目标操作系统310可以是正常操作系统。而且，目标计算机102可以连接至USB CD/DVD 312、USB智能卡读取器314或USB可移除介质316或任何其他合适组件。

客户端操作系统302还包括智能卡虚拟化客户端组件318，其可以是客户端计算机124上的软件，客户端计算机124与远程目标智能卡虚拟化设备322交互，在一个实现中，远程目标智能卡虚拟化设备322是硬件设备。客户端计算机124可以下载智能卡虚拟化客户端组件318。智能卡虚拟化客户端组件318使用TCP/IP通过网络与智能卡虚拟化服务器320远程通信并且与本地智能卡读取器306交互。

在一个实现中，智能卡虚拟化设备322是硬件组件，其包括智能卡虚拟化服务器320，智能卡虚拟化服务器320可以是用于与智能卡虚拟化客户端组件318远程交互并且与目标计算机102和目标计算机操作系统310本地交互的固件、软件或硬件。可以利用物理连接（诸如USB连接）将该智能卡虚拟化设备322插入到目标计算机102中。在一个实现中，智能卡虚拟化服务器320以Avocent公司开发的Avocent虚拟介质协议（AVMP）与智能卡虚拟化客户端组件318通信。

该智能卡虚拟化设备322从目标操作系统310接收用于智能卡交互的信息，诸如智能卡命令，并且它们由智能卡虚拟化设备322上的智能卡虚拟化服务器320处理。智能卡虚拟化服务器320以AVMP协议处理、转译智能卡命令并且以AVMP协议通过TCP/IP向智能卡虚拟化客户端组件318传输智能卡命令。智能卡虚拟化设备322包括运行智能卡虚拟化服务器320软件的处理器，并且该处理器还可以具有内置USB设备控制器（未示出）。其使用网络连接连接至客户端计算机124，并且使用USB设备连接连接至目标计算机102。智能卡虚拟化设备322从网络格式向USB格式转译智能卡命令和响应，并且反之亦然。

例如，智能卡虚拟化服务器320从目标计算机102接收智能卡命令，转译该命令并且通过TCP/IP向智能卡虚拟化客户端组件318发送命令。对智能卡命令的响应从智能卡虚拟化客户端组件318移回智能卡虚拟化设备322上的AMVP服务器，并且通过到目标计算机102的物理USB连接。在一个实现中，智能卡命令可以符合智能卡的ISO规范。智能卡命令的一个示例是用于认证用户和智能卡的命令。

在客户端系统124上，智能卡虚拟化客户端组件318使用有客户端操作系统302提供的服务来发出智能卡命令到连接至客户端计算机的物理智能卡读取器306。

在一个实现中，RIP（机架接口槽）324可以被包括在目标计算机102与智能卡虚拟化设备322之间。该RIP 324是可选的并且可以应用于电器产品以及可以具有USB设备控制器。在某些电器中，USB控制器与主处理器分离，这与同处理器绑定相反。到智能卡虚拟化设备322客户端的可选RIP连接可以在电器内部使用的不同协议上使用，诸如来自于Avocent公司的Avocent高速接口（AHI）协议。

图4示出了根据与本发明一致的方法和系统的用于计算机网络中智能卡虚拟化的方法的示例性步骤的流程图。首先，经由诸如USB的物理连接将智能卡虚拟化设备322插入目标计算机102中（步骤402）。目标操作系统310将USB连接的智能卡虚拟化设备322识别为本地USB智能卡读取器并且相应地操作（步骤404）。此外，将智能卡读取器306插入客户端计算机124中（步骤406）。

目标操作系统310通过USB连接向智能卡虚拟化设备322传输智能卡命令，因为其将到物理连接的本地智能卡读取器314（步骤408）。接下来，智能卡虚拟化设备322接收智能卡命令并且将其传递到智能卡虚拟化服务器320（步骤410）。此外，智能卡虚拟化设备322上的智能卡虚拟化服务器320接收USB智能卡命令并且将其转译为由智能卡虚拟化服务器320和智能卡虚拟化客户端组件318使用的协议，诸如AVMP协议（步骤412）。

智能卡虚拟化服务器320通过TCPIP向远程客户端计算机124传输转译的智能卡命令（步骤414）。远程客户端计算机的操作系统302接收转译的智能卡命令并且将其传递到智能卡虚拟化客户端组件318（步骤416）。

附接到客户端计算机124的智能卡读取器306读取智能命令并且将智能卡信息传递到智能卡虚拟化客户端组件318（步骤418）。而且，智能卡虚拟化客户端组件318处理接收的智能卡命令请求并且经由TCPIP向智能卡命令设备322上的智能卡虚拟化服务器320发送智能卡命令响应（步骤420）。因此，智能卡虚拟化服务器320将智能卡命令响应转译到USB格式以输出到目标计算机102上的目标操作系统310（步骤422）。该过程对于客户端计算机124和发起智能卡交互的智能卡读取器306而言可以反向工作。

各种实施例的前述描述提供示范和描述，但是不旨在穷举本发明或将本发明限制为公开的精确形式。修改和变型按照上述教导是可能的或可以从根据本发明的实践中获取。应该理解，本发明旨在覆盖包括在所附权利要求书的精神和范围内的各种修改和等同布置。

Claims (20)

1.一种用于智能卡读取器的虚拟化的数据处理系统，包括：

目标计算机，被配置为发送和接收到本地连接设备的智能卡数据，

客户端计算机，其本地连接至智能卡读取器;

智能卡虚拟化设备，其本地连接至所述目标计算机，所述智能卡虚拟化设备被配置为：

从本地连接的目标计算机接收智能卡命令；

通过网络向所述客户端计算机发送接收的智能卡命令；

通过所述网络从客户端智能卡读取器接收智能卡命令响应数据；

处理接收的智能卡命令响应数据；以及

通过物理连接向所述本地连接的目标计算机发送处理的智能卡响应数据。

2.根据权利要求1所述的数据处理系统，其中所述目标计算机以与其同本地连接的智能卡读取器交互的相同方式来与所述智能卡虚拟化设备进行交互。

3.根据权利要求1所述的数据处理系统，其中所述物理连接是USB连接。

4.根据权利要求1所述的数据处理系统，其中用于远程智能卡交互的所有软件在所述智能卡虚拟化设备和所述客户端计算机上。

5.根据权利要求1所述的数据处理系统，其中所述客户端计算机是控制所述目标计算机的KVM客户端。

6.根据权利要求1所述的数据处理系统，其中所述客户端计算机包括被配置为与本地连接的智能卡读取器和所述智能卡虚拟化设备交互的程序。

7.根据权利要求1所述的数据处理系统，其中通过所述网络的通信是TCP/IP通信。

8.根据权利要求1所述的数据处理系统，其中将智能卡插入所述智能卡读取器中。

9.一种智能卡虚拟化设备，包括：

网络接口，被配置为与客户端计算机交互以通过网络发送智能卡命令并且接收智能卡命令响应；

输入/输出接口，被配置为物理地连接至目标计算机，并且从所述目标计算机接收智能卡命令以及发送智能卡命令响应；以及

处理器，被配置为：

转译来自物理输入/输出接口的接收的智能卡命令用于对所述网络接口的输出；以及

转译来自所述网络接口的接收的智能卡命令响应用于对所述物理输入/输出接口的输出。

10.根据权利要求9所述的智能卡虚拟化设备，其中所述输入/输出接口是USB接口。

11.根据权利要求9所述的智能卡虚拟化设备，其中所述目标计算机以与同本地连接的智能卡读取器交互的相同方式来与所述智能卡虚拟化设备进行交互。

12.根据权利要求9所述的智能卡虚拟化设备，其中所述客户端计算机是控制所述目标计算机的KVM客户端。

13.根据权利要求9所述的智能卡虚拟化设备，其中所述客户端计算机包括被配置为与本地连接的智能卡读取器和所述智能卡虚拟化设备交互的程序。

14.根据权利要求9所述的智能卡虚拟化设备，其中所述网络接口使用TCP/IP通信。

15.一种在数据处理系统中用于智能卡读取器的虚拟化的方法，包括：

从本地连接的目标计算机接收智能卡命令；

通过网络向连接至智能卡读取器的客户端计算机发送接收的智能卡命令；

通过所述网络从所述客户端计算机接收智能卡命令响应数据；

处理接收的智能卡命令响应数据；以及

通过物理连接向本地连接的目标计算机发送处理的智能卡响应数据。

16.根据权利要求15所述的方法，还包括以与本地连接的智能卡读取器相同的方式与所述目标计算机进行交互。

17.根据权利要求15所述的方法，其中所述物理连接时USB连接。

18.根据权利要求15所述的方法，其中用于远程智能卡交互的所有软件在所述智能卡虚拟化设备和所述客户端计算机上。

19.根据权利要求15所述的方法，其中所述客户端计算机是控制所述目标计算机的KVM客户端。

20.根据权利要求15所述的方法，其中所述客户端计算机包括被配置为与本地连接的智能卡读取器和所述智能卡虚拟化设备交互的程序。

Images