CN102622555A - 用于计算资源预发布的安全系统 - Google Patents

Abstract

本发明涉及用于计算资源预发布的安全系统。提供了用于向用户计算机系统供应特权集内的成员资格以便执行预发布资源的技术。预发布资源的某些示例是可被下载到用户计算机系统的固件或软件的α版本和β版本。预发布资源基于其安全风险级别与不同的特权集相关联。在一个示例中，安全风险级别可以表示具有预发布资源的完整性故障的风险的用户计算机系统的数量。在其他示例中，安全风险可以表示受资源影响的用户计算机系统的操作层或预发布资源的安全测试认证成功的级别。特权集标识符指示一个或多个特权集内的成员资格。

Description

用于计算资源预发布的安全系统

技术领域

本发明涉及计算资源预发布，尤其涉及用于计算资源预发布的安全系统。 

背景技术

很多计算设备的创建者构建它们以仅仅运行非常具体、被良好地定义的计算资源，诸如在软件或固件中嵌入的代码，极大地限制了(包括完全地限制了)终端用户可在其上运行的资源的类型和种类。这种设备的某些示例是移动设备和像 Sony 

Xbox 和Windows Phone 

的游戏控制台。维护对运行在这些系统上的代码的控制是这些设备的有效运行以及由这些设备提供的用户体验的主要部分。 

向顾客分发计算资源的原型或预发布的过程(诸如，用于在软件或固件中嵌入的升级或新功能的代码)的重要部分是对软件的正确确认，该确认耗费时间，并且推迟了对由顾客测试的新的或改进的原型的发布。例如，创建运行在特定类型的游戏控制台的软件游戏的一方可能希望预发布游戏的不同版本以查看哪个最受欢迎。在另一个示例中，一方可能希望使原型升级尽快可用以跟上竞争者的发布。 

发明内容

提供用于由用户计算机系统访问与特权集相关联的预发布计算资源的技术。预发布计算资源尚未接收如向公众的发布的完全量的确认测试，对在针对资源的任何用户计算机系统上运行的安全性的期望非常高。预发布资源的某些示例是固件、引导代码、系统管理程序、系统代码、第三方驱动程序、第三方软件、或可以在要保护的用户计算机系统上运行的其他软件的α(alpha)或β(beta)版本。 

特权集包括一组预发布资源和具有对访问该组预发布资源的许可或特权的一组用户计算机系统作为成员。预发布资源基于其安全风险级别与不同的特 权集相关联。用于确定安全风险级别的因素的某些示例包括，对存在预发布资源的完整性故障风险的用户计算机系统的数量的限制、受资源影响的用户计算机系统的操作层、以及预发布资源成功的安全测试认证级别。用户计算机系统满足成员标准以位于特权集内。成员标准的一个示例是是否已经达到对集内用户计算机系统的数量的限制。在另一个示例中，用户计算机系统必须拥有所需的资源，例如系统软件的一个版本。另外，特权集可以位于的较高特权集内的成员授予降低特权集内的成员资格的分层结构。 

在一个实施例中，用于访问与特权集相关联的预发布计算资源的方法包括向用户计算机系统供应特权集标识符用于特权集内的成员资格。资源所需的特权集内的成员资格基于特权集标识符以及资源的资源特权集标识符来验证。 

在一个实施例中，用户计算机系统包括可访问通信接口和存储器的处理器。通信接口允许处理器与软件预发布计算机系统进行通信。存储器存储用于将处理器编程为从软件预发布计算机系统获得特权集标识符并将该标识符存储到存储器中的软件。另外，处理器通过通信接口下载与特权集相关联的软件预发布。存储器还存储软件预发布。在一个示例中，软件预发布包括用于基于特权集标识符对用户计算机系统具有与该发布相关联的特权集内的成员资格进行验证的代码。如果用户计算机系统缺少成员资格，那么软件预发布不再执行。 

技术提供特权集的自动供应的实施例。特权集可以位于基于安全风险级别的分层结构中。在一个示例中，较高特权的特权集在较低特权集内也具有成员资格。在一个实施例中，方法包括通过为资源生成特权集标识符来将预发布计算资源与特权集相关联。响应于对特权集的成员资格标准的满足，为用户计算机系统生成授予成员资格的特权集标识符。 

将特权集标识符和预发布资源分发给用户计算机系统。对于缺少特权集内的成员资格的用户计算机系统来说，资源是不可执行的。 

提供本发明内容以便以简化的形式介绍将在以下具体实施方式中还描述的一些概念。本发明内容并非旨在标识所要求保护的主题的关键特征或必要特征，也不旨在用于帮助确定所要求保护的主题的范围。 

附图说明

图1A示出了用户参与游戏的目标识别、分析，和跟踪系统的示例实施例。 

图1B示出可用于技术的实施例可在其中操作的目标识别、分析，和跟踪系统的示例捕捉设备的框图视图。 

图2A示出可以是技术的实施例可在其中操作的计算环境的用户计算机系统的示例实施例。 

图2B示出可以是技术的实施例可在其中操作的计算环境的用户计算机系统的另一个示例实施例。 

图3A示出可执行特权检查并被存储在非易失性存储器中的软件的操作层的示例。 

图3B示出作为软件预发布应用程序的一部分被存储在非易失性存储器中的特权检查软件的示例。 

图3C示出存储可用于技术的一个或多个实施例的安全数据项的可移动存储介质的示例。 

图4A示出可包括在特权集检查软件中的软件组件的示例。 

图4B示出可至少部分地包括在已下载的软件预发布中的用于特权集检查的软件的另一个示例。 

图5A示出包括硬件和软件组件的成员资格授权计算机系统的系统架构的示例实施例。 

图5B示出可被包括在成员资格授权软件应用程序中或由其利用的软件组件和数据项的示例。 

图6是用于自动地供应特权集的方法的实施例的流程图。 

图7是用于将资源与特权集相关联的方法的实施例的流程图。 

图8是用于向用户计算机系统分发指示成员资格的特权集标识符的方法的实施例的流程图。 

图9是用户计算机系统访问与特权集相关联的预发布计算资源的方法的实施例的流程图。 

图10是由用户计算机系统自动供应以获得特权集内的成员资格的方法的 实施例的流程图。 

图11是用于确定从远程授权计算机系统接收的特权集标识符的有效性的方法的实施例的流程图。 

图12是用于验证与预发布资源相关联的特权集内用户计算机系统的成员资格的方法的实施例的流程图。 

图13是用于确定用户计算机系统与预发布资源是否在相同的集内共享成员资格的方法的实施例的流程图。 

具体实施方式

技术提供了用于供应特权集以控制与预发布计算资源相关联的安全风险并从快速原型建立获得益处的安全模型的实施例。通过将对代码的使用限制在系统的特定集，可在完全省略或使用缩减的验证检查的风险与允许代码更尽快地在系统上运行的优势之间维持谨慎的平衡。 

多种因素构成预发布资源的安全风险。一个示例是计算机安全问题的确认测试水平。在完整性检查中执行若干安全测试以验证发布对安全威胁是有回复力的。安全测试的某些示例是威胁建模、笔测试、模糊测试，以及数据流验证。如果预发布资源传递特定数量的测试或特定类型的测试，那么为该资源分配安全测试认证成功的级别。该级别少于完全认证，但提供了用于风险评估的基线。例如，成功的测试结果可以使计算资源有资格进行指示避免特定风险的保护级别的完整性认证。 

构成所分配的安全测试认证成功的级别的其他因素可以是资源的运行尚未被完整地测试或者尚未在不同的场景中测试以验证它如预期运行。由于很多安全漏洞来自不稳定的代码，用户计算机系统中的一般测试和一般稳定性极大地构成了该用户计算机系统(例如电话或控制台)的总体回复力。黑客可以使用病毒和诸如特洛伊木马和后门的恶意程序来损害软件或固件。受损害的资源的风险会变化，但可以是显著的。在一个示例中，受损害的软件可导致禁用许可检查，使得盗版版本的软件可以在计算机系统中执行。在另一个示例中，诸如游戏控制台的专用计算机系统可以被重新用于运行未预期用于该控制台的软件。 

无意地依赖于硬件的正确行为、依赖于对从存储或网络读取的数据的格式化的任何编写得糟糕的代码可能导致攻击者所使用的漏洞。此外，硬件的本地用户可以通过各种手段来攻击诸如用户控制台的用户计算机系统。例如，用户可以将系统连接到用户可访问以及非用户可访问的总线，并且通过这些总线发送恶意形成的数据。对硬件的简单和复杂的改变可能导致用户计算机系统接收恶意形成的数据。可以直接攻击硬件存储器，并且在闪存或驱动器上创建恶意形成的数据文件。联网设备甚至可被实现为影响用户计算机系统的联网。例如，可以对上游路由器以及影响动态主机配置协议(DHCP)和域名系统(DNS)协议的网络地址转换(NAT)设备进行改变。 

另一个风险因素是有多少用户计算机系统将要接收预发布资源。换言之，风险池的大小有多少。在少于完全确认的资源(例如软件)中发现的任何漏洞将因此仅具有与其运行的用户计算机系统的数量成比例的影响，商业影响以及用户体验影响。此外，在某些实施例中，计算资源越危险并且应用于该资源的有效性检查越少，该资源被限制于的用户计算机系统的特权集也越小。技术提供对随观众的多少缩放的特权集的供应。 

另一个风险因素是将由预发布资源改变的用户计算机系统的操作层的功能。例如，在像以下图2A中讨论的多媒体控制台100中，使用错误或一件恶意软件对音频处理单元123中固件驱动器进行的预发布更新可能干扰3D实时游戏应用程序的平滑执行或用户体验。尽管这是不期望的，但还不如带有后门的新的系统管理程序的软件预发布那么糟，后者使黑客破坏系统管理程序并由此影响多媒体控制台100的大部分的广泛操作。 

通过供应预发布资源以具有特权集内的成员资格并向用户计算机系统授予那些特权集内的成员资格，技术提供安全模型，平衡对免受安全风险的保护与快速原型建立需求。在大多数实施例中，对具有安全风险级别的特权集内的成员资格的供应和验证独立于许可预发布资源。换言之，出于安全目的，用户计算机系统可能具有执行预发布资源的特权，但仍需要获得执行预发布的许可证。 

图1A提供了当前技术在其中可能有用的上下文示例。图1A示出了目标识别、分析和跟踪系统的示例实施例。目标识别、分析和跟踪系统10可用来 识别、分析和/或跟踪诸如用户18等的人类目标。目标识别、分析和跟踪系统10的各实施例包括用于执行游戏或其他应用的计算环境12，以及用于从游戏或其他应用程序提供音频和视觉表示的视听设备16。系统10还包括用于捕捉3D中的位置和由用户所执行的移动的捕捉设备20，计算环境12接收、解释并使用这些位置和移动来控制游戏或其他应用程序。 

计算环境12的实施例可以包括硬件组件和/或软件组件，使得计算系统12可以用于执行诸如游戏应用程序和非游戏应用程序之类的应用程序。在一个实施例中，计算环境12可以包括诸如标准化处理器、专用处理器、微处理器等之类的处理器，该处理器可以执行存储在处理器可读存储设备上的用于执行在此所述的过程的指令。 

系统10还包括一个或多个捕捉设备20，用于捕捉与一个或多个用户有关的图像数据和/或由捕捉设备感测到的对象。在各实施例中，捕捉设备20可以用于捕捉与一个或多个用户的移动和姿势相关的信息，所述信息被计算环境接收并且被用于呈现游戏或其他应用程序的各方面、与所述各方面交互和/或控制所述各方面。下面更详细地解释计算环境12和捕捉设备20的示例。 

目标识别、分析和跟踪系统10的实施例可以连接到具有显示器14的音频/视觉设备16。设备16例如可以是可以向用户提供游戏或应用程序视觉和/或音频的电视机、监视器、高清电视机(HDTV)等。例如，计算环境12可以包括诸如图形卡之类的视频适配器和/或诸如声卡之类的音频适配器，这些适配器可提供与游戏或其他应用程序相关联的音频/视觉信号。音频/视觉设备16可以从计算环境12接收音频/视觉信号，并且然后可以向用户18输出与该音频/视觉信号相关联的游戏或应用程序视觉和/或音频。根据一个实施例，音频/视觉设备16可以通过例如S-视频电缆、同轴电缆、HDMI电缆、DVI电缆、VGA电缆、分量视频电缆等等连接到计算环境12。 

在示例实施例中，在计算环境12中执行的应用程序可以是带有实时交互的游戏，诸如用户18正在播放的拳击游戏。例如，计算环境12可使用视听设备16来向用户18提供拳击对手22的视觉表示。计算环境12还可使用视听设备16来提供用户18可通过他的或她的移动来控制的玩家化身24的视觉表示。例如，用户18可在物理空间中挥拳猛击，这使得玩家化身24在游戏空间中挥 拳猛击。由此，根据示例实施例，捕捉设备20使用此处描述的技术来捕捉物理空间中重拳的3D表示。捕捉设备20中的处理器(参见图1B)和目标识别、分析和跟踪系统10的计算环境12可用于识别并分析用户18在物理空间中的重拳，从而使得该重拳可被实时地解释为对游戏空间中的玩家化身24的姿势或游戏控制。 

图1B示出了可以在目标识别、分析和跟踪系统10中使用的捕捉设备20的示例的框图视图。在示例实施例中，捕捉设备20可以被配置为经由任何合适的技术来捕捉具有可以包括深度值的深度图像的视频，这些技术包括例如飞行时间、结构化光、立体图像等。根据一个实施例，捕捉设备20可将所计算的深度信息组织为“Z层”，或与从深度相机沿其视线延伸的Z轴垂直的层。 

如图1B所示，根据示例实施例，图像相机组件22可包括可用于捕捉场景的深度图像的IR光组件24、三维(3-D)相机26、和RGB相机28。例如，在飞行时间分析中，捕捉设备20的IR光组件24可以将红外光发射到场景上，并且然后可使用相机26和/或28的光敏面上的传感器来感测从场景中的一个或多个目标和对象的表面反向散射的光。 

在示例实施例中，捕捉设备20还可以包括可与图像相机组件22进行可操作的通信的处理器32。处理器32可包括标准化处理器、专用处理器、微处理器等，它们可执行用于接收深度图像、判断合适的目标是否可被包括在深度图像中、将合适的目标转换为目标的骨架表示或模型的指令，或任何其他适合的指令。 

捕捉设备20还可以包括存储器组件34，该存储器组件34可以存储可以由处理器32执行的指令、由3-D相机或RGB相机捕捉到的图像或图像的帧、或任何其他合适的信息、图像等等。根据一个示例实施例，存储器组件34可包括随机存取存储器(RAM)、只读存储器(ROM)、高速缓存、闪存、硬盘或任何其他合适的存储组件。如图1B所示，在一个实施例中，存储器组件34可以是与图像相机组件22和处理器32进行通信的分开的组件。根据另一个实施例，存储器组件34可以集成到处理器32和/或图像相机组件22中。 

如图1B所示，捕获设备20可以经由通信链路36与计算环境12通信。通信链路36可以是包括例如USB连接、火线连接、以太网线缆连接之类的有 线连接和/或诸如无线802.11b、802.11g、802.11a或802.11n连接之类的无线连接。 

另外，捕捉设备20可以通过通信链路36向计算环境12提供深度信息和由例如3-D相机26和/或RGB相机28捕捉到的图像，以及可以由捕捉设备20生成的骨架模型。存在用于判断由捕捉设备20检测到的目标或对象是否与人类目标相对应的各种已知技术。骨架映射技术可随后用于确定该用户的骨架上的各个人体部分。其他技术包括将图像转换为人的人体模型表示以及将图像转换为人的网格模型表示。 

骨架模型然后可被提供给计算环境12，使得计算环境可跟踪骨架模型并呈现与该骨架模型相关联的化身。在姿势识别引擎软件190的控制下，计算环境12还可基于，例如从骨架模型的各部分的三维移动中已经识别出的用户的姿势，来确定在计算机环境上执行的应用程序中要执行哪些控制命令。 

图2A示出了可以是用于像图1A和1B中所示的目标识别、分析和跟踪系统中使用的计算环境的用户计算机系统的示例实施例。计算环境12可以是诸如游戏控制台的多媒体控制台100。如图2A所示，多媒体控制台100包括具有一级高速缓存102、二级高速缓存104和闪存ROM 106的中央处理单元(CPU)101。一级高速缓存102和二级高速缓存104临时存储数据并因此减少存储器访问周期数，由此改进处理速度和吞吐量。CPU 101可以设置成具有一个以上的内核，以及由此的附加的一级和二级高速缓存102和104。闪存ROM106可存储在多媒体控制台100通电时引导过程的初始阶段期间加载的可执行代码。 

图形处理单元(GPU)108和视频编码器/视频编解码器(编码器/解码器)114形成用于高速、高分辨率图形处理的视频处理流水线。数据经由总线从GPU108传送到视频编码器/视频编解码器114。视频处理流水线向A/V(音频/视频)端口140输出数据，以便传输到电视机或其他显示器。存储器控制器110连接到GPU 108，以便于处理器对各种类型的存储器112、诸如但不限于RAM的访问。 

多媒体控制台100包括优选地在模块118上实现的I/O控制器120、系统管理控制器122、音频处理单元123、网络接口控制器124、第一USB主控制 器126、第二USB主控制器128以及前面板I/O子部件130。USB控制器126和128用作外围控制器142(1)-142(2)、无线适配器148、和外置存储器设备146(例如闪存、外置CD/DVD ROM驱动器、可移动介质等)的主机。网络接口124和/或无线适配器148提供对网络(例如，因特网、家庭网络等)的访问，并且可以是包括以太网卡、调制解调器、蓝牙模块、电缆调制解调器等的各种不同的有线或无线适配器组件中任何一种。 

提供系统存储器143来存储在引导过程期间加载的应用程序数据。提供媒体驱动器144，该媒体驱动器可以包括DVD/CD驱动器、硬盘驱动器，或其他可移动媒体驱动器等。媒体驱动器144可以内置或外置于多媒体控制台100。应用数据可经由媒体驱动器144访问，以由多媒体控制台100执行、回放等。介质驱动器144经由诸如串行ATA总线或其他高速连接(例如IEEE 1394)等总线连接到I/O控制器120。 

系统管理控制器122提供涉及确保多媒体控制台100的可用性的各种服务功能。音频处理单元123和音频编解码器132形成具有高保真度和立体声处理的对应的音频处理流水线。音频数据经由通信链路在音频处理单元123与音频编解码器132之间传输。音频处理流水线将数据输出到A/V端口140以供外置音频播放器或具有音频能力的设备再现。 

前面板I/O子部件130支持暴露在多媒体控制台100的外表面上的电源按钮150和弹出按钮152以及任何LED(发光二极管)或其他指示器的功能。系统供电模块136向多媒体控制台100的组件供电。风扇138冷却多媒体控制台100内的电路。 

CPU 101、GPU 108、存储器控制器110、和多媒体控制台100内的各个其他组件经由一条或多条总线互连，包括串行和并行总线、存储器总线、外围总线、和使用各种总线架构中任一种的处理器或局部总线。作为示例，这些架构可以包括外围部件互连(PCI)总线、PCI-Express总线等。 

当多媒体控制台100通电时，应用数据可从系统存储器143加载到存储器112和/或高速缓存102、104中并在CPU 101上执行。应用程序可呈现在导航到多媒体控制台100上可用的不同媒体类型时提供一致的用户体验的图形用户界面。在操作中，媒体驱动器144中包含的应用和/或其他媒体可从媒体驱动器 144启动或播放，以向多媒体控制台100提供附加功能。 

ROM 106、高速缓存102、104、存储器112、系统存储器143、存储器单元146和介质驱动器是计算机可读存储介质的示例，还在下面对其进行讨论。 

多媒体控制台100可通过将该系统简单地连接到电视机或其他显示器而作为独立系统来操作。在该独立模式中，多媒体控制台100允许一个或多个用户与该系统交互、看电影、或听音乐。然而，随着通过网络接口124或无线适配器148可用的宽带连接的集成，多媒体控制台100还可作为较大网络社区中的参与者来操作。 

当多媒体控制台100通电时，可以保留设定量的硬件资源以供多媒体控制台操作系统作系统使用。这些资源可包括存储器的保留量(诸如，16MB)、CPU和GPU周期的保留量(诸如，5％)、网络带宽的保留量(诸如，8kbs)，等等。因为这些资源是在系统引导时间保留的，所保留的资源对于应用视角而言是不存在的。 

具体而言，存储器保留优选地足够大，以包含启动内核、并发系统应用程序和驱动程序。CPU保留优选地为恒定，使得若所保留的CPU用量不被系统应用使用，则空闲线程将消耗任何未使用的周期。 

对于GPU保留，通过使用GPU中断来调度代码来将弹出窗口呈现为覆盖图以显示由系统应用程序生成的轻量消息(例如，弹出窗口)。覆盖图所需的存储器量取决于覆盖区域大小，并且覆盖图优选地与屏幕分辨率成比例缩放。在完整的用户界面被并发系统应用使用的情况下，优选地使用独立于应用分辨率的分辨率。定标器可用于设置该分辨率，从而无需改变频率并引起TV重新同步。 

在多媒体控制台100引导且系统资源被保留之后，就执行并发系统应用来提供系统功能。系统功能被封装在上述所保留的系统资源中执行的一组系统应用中。操作系统内核标识是系统应用程序线程而非游戏应用程序线程的线程。系统应用程序优选地被调度为在预定时间并以预定时间间隔在CPU 101上运行，以便为应用程序提供一致的系统资源视图。进行调度是为了把由在控制台上运行的游戏应用程序所引起的高速缓存中断最小化。 

当并发系统应用程序需要音频时，则由于时间敏感性而将音频处理异步地 调度给游戏应用程序。多媒体控制台应用程序管理器(如下所述)在系统应用程序活动时控制游戏应用程序的音频水平(例如，静音、衰减)。 

输入设备(例如，控制器142(1)和142(2))由游戏应用程序和系统应用程序共享。输入设备不是保留资源，而是在系统应用程序和游戏应用程序之间切换以使其各自具有设备的焦点。应用程序管理器优选地控制输入流的切换，而无需知道游戏应用程序的知识，并且驱动程序维护关于焦点切换的状态信息。相机26、28和捕捉设备20可为控制台100定义额外的输入设备。 

图2B示出了可以是包括个人计算机的计算环境210的用户计算机系统的另一个示例实施例，计算环境210可以是用于像图1A-1B中所示的目标识别、分析和跟踪系统10的计算环境12。计算系统环境210只是合适的计算环境的一个示例，并且不旨在对所公开的主题的使用范围或功能提出任何限制。也不应该将计算环境210解释为对示例性操作环境210中示出的任一组件或其组合有任何依赖性或要求。 

参考图2B，用于实现本技术的一个示例系统包括计算机210形式的通用计算设备。计算机210的组件可以包括，但不仅限于，处理单元220、系统存储器230，以及将包括系统存储器的各种系统组件耦合到处理单元220的系统总线221。系统总线221可以是若干类型的总线结构中的任一种，包括使用各种总线体系结构中的任一种的存储器总线或存储器控制器、外围总线、以及局部总线。作为示例而非限制，这样的体系结构包括工业标准体系结构(ISA)总线、微通道体系结构(MCA)总线、增强型ISA(EISA)总线、视频电子标准协会(VESA)局部总线，以及也称为夹层总线的外围部件互连(PCI)总线。 

计算机210通常包括各种计算机可读介质。计算机可读介质可以是能由计算机210访问的任何可用介质，而且包含易失性和非易失性介质、可移动和不可移动介质。作为示例而非限制，计算机可读介质可包括计算机存储介质和通信介质。计算机存储介质包括以用于存储诸如计算机可读指令、数据结构、程序模块或其他数据等信息的任何方法或技术实现的易失性和非易失性、可移动和不可移动介质。计算机存储介质包括，但不限于，RAM、ROM、EEPROM、闪存或其它存储器技术、CD-ROM、数字多功能盘(DVD)或其它光盘存储、 记忆棒或存储卡、磁带盒、磁带、磁盘存储或其它磁性存储设备、或能用于存储所需信息且可以由计算机210访问的任何其它介质。通信介质通常以诸如载波或其他传输机制等已调制数据信号来体现计算机可读指令、数据结构、程序模块或其他数据，并包括任意信息传送介质。术语“已调制数据信号”是指具有以在信号中编码信息的方式被设定或改变其一个或多个特征的信号。作为示例而非限制，通信介质包括诸如有线网络或直接线连接之类的有线介质，以及诸如声学、RF、红外及其他无线介质之类的无线介质。上述中任一组合也应包括在计算机可读介质的范围之内。 

系统存储器230包括易失性和/或非易失性存储器形式的计算机存储介质，如只读存储器(ROM)231和随机存取存储器(RAM)232。基本输入/输出系统233(BIOS)包含诸如在启动期间帮助在计算机210内的元件之间传输信息的基本例程，基本输入/输出系统(BIOS)通常储存储在ROM 231中。RAM 232通常包含处理单元220可立即访问和/或目前正在运行的数据和/或程序模块。作为示例而非限制，图2B示出操作系统234、应用程序235、其它程序模块236和程序数据237。 

计算机210也可以包括其他可移动/不可移动、易失性/非易失性计算机存储介质。仅作为示例，图2B示出了从不可移动、非易失性磁介质中读取或向其写入的硬盘驱动器240，从可移动、非易失性磁盘252中读取或向其写入的磁盘驱动器251，非易失性磁盘252、以及从诸如CD ROM或其它光学介质等可移动、非易失性光盘256中读取或向其写入的光盘驱动器255。另外，图2B示出了从可移动的记忆棒254或可移动的存储卡254中读取或向其写入的可移动介质驱动器253。在某些示例中，存储卡可以是闪存卡或棒。可以在示例性操作环境中使用的其它可移动/不可移动、易失性/非易失性计算机存储介质包括但不限于，磁带盒、闪存、数字多功能盘、数字录像带、固态RAM、固态ROM等。硬盘驱动器241通常由例如接口240等不可移动存储器接口连接至系统总线221，而磁盘驱动器251、可移动介质驱动器253和光盘驱动器255通常由例如接口250等可移动存储器接口连接至系统总线221。 

以上描述和图2B中示出的驱动器及其关联计算机存储介质为计算机210提供了计算机可读指令、数据结构、程序模块和其它数据的存储。例如在图2B 中，硬盘驱动器241被示为存储操作系统244、应用程序245、其它程序模块246和程序数据247。注意，这些组件可以与操作系统234、应用程序235、其他程序模块236和程序数据237相同，也可以与它们不同。在此操作系统244、应用程序245、其他程序模块246以及程序数据247被给予了不同的编号，以说明至少它们是不同的副本。用户可以通过输入设备，例如键盘262和指向设备261——通常是指鼠标、跟踪球或触摸垫——向计算机210输入命令和信息。其他输入设备(未示出)可包括话筒、操纵杆、游戏手柄、圆盘式卫星天线、扫描仪等。这些和其他输入设备通常通过耦合至系统总线的用户输入接口260连接至处理单元220，但也可以由其他接口和总线结构，例如并行端口、游戏端口或通用串行总线(USB)来连接。监视器291或其他类型的显示设备也通过诸如视频接口290之类的接口连接至系统总线221。除监视器之外，计算机还可以包括可以通过输出外围接口295连接的诸如扬声器297和打印机296之类的其他外围输出设备。 

计算机210可以使用到一个或多个远程计算机(如远程计算机280)的逻辑连接，以在联网环境中运行。远程计算机280可以是个人计算机、服务器、路由器、网络PC、对等设备或其它常见的网络节点，并且通常包括以上就计算机210描述的元件中多个或全部，虽然在图2B中仅仅示出了存储器存储设备281。在图2B中所描绘的逻辑连接包括局域网(LAN)271和广域网(WAN)273，但是也可以包括其它网络。这些联网环境在办公室、企业范围计算机网络、内联网和因特网中是常见的。 

当用于LAN网络环境中时，计算机210通过网络接口或适配器270连接到LAN 271。当在WAN联网环境中使用时，计算机210通常包括调制解调器272或用于通过诸如因特网等WAN 273建立通信的其他手段。调制解调器272，可以是内置的或外置的，可以经由用户输入接口260或其他适当的机制，连接到系统总线221。在联网环境中，相对于计算机210所描述的程序模块或其部分可被存储在远程存储器存储设备中。作为示例而非限制，图2B示出驻留在存储器设备281上的远程应用程序285。应当理解，所示的网络连接是示例性的，并且可使用在计算机之间建立通信链路的其他手段。 

图3A至5B示出了可以存在于授予特权集内的成员资格的计算机系统中 或者有可能是特权集的一部分的用户计算机系统上的软件模块或软件子组件的某些示例。如下所述，对于模块、例程、特征、属性、方法和其他方面的具体命名和划分并非是强制性的，并且实现本技术或其特征的机制可具有不同的名称、划分和/或格式。 

用于供应并验证特权集内的成员资格的软件或固件可以位于计算机系统的一个或多个操作层，因为不同的预发布资源是在计算机系统的启动和运行的不同时间点被加载和识别的。并非所有操作层都可以访问计算机系统的全部存储器位置。例如，在诸如图2A中多媒体控制台100的用户计算机系统的一个架构中，引导软件无法在引导过程中访问诸如媒体驱动器144的硬盘，因此引导软件加载的用于检查或供应对资源的特权的软件必须存储在引导软件可访问的存储器中。例如，特权检查或供应代码可以是引导软件本身的部分。 

此外，诸如唯一标识符、特权集标识符以及特权集密钥的数据项还可以在不同的操作层是可访问的，以便那些层中的特权检查软件对其进行访问，该特权集密钥用作对请求或检查访问预发布资源的特权的不同的实现示例的部分。 

另外，对引导软件的预发布可能需要经由诸如记忆棒、闪存卡、DVD或CD的可移动存储介质来加载。特权检查软件的多个副本可以存在于用户计算机系统中的各个存储器位置，取决于哪个操作层、引导、系统管理程序、系统或应用程序可能在进行特权检查或供应。 

图3A示出了在示例性非易失性存储器302(此示例中是闪存)中存储的操作层的示例。存储器302表示可位于计算机系统的不同区域的非易失性存储器。例如，图2A的多媒体控制台100示例中的引导软件312可被存储在ROM106中，或者如图2B的计算机210示例中ROM 231中的BIOS 233所示。引导软件312包括软件310b，为方便引用起见仅指特权集检查软件。对于引导软件本身或系统管理程序、操作系统或引导软件可能加载的其他系统软件的更新，特权集检查软件301b可以获得特权集内的成员资格，并且在加载这种软件以执行之前对该成员资格进行验证。 

单独的计算机系统的一个或多个唯一标识符319也存储在存储器302中，以便甚至在引导软件层访问。密钥保险库318也存储在存储器302中，该密钥保险库在计算机(100、210)的制造中包括像制造商的密钥的密钥集、对用户 计算机系统唯一的一个或多个密钥、以及可随后被上载的其他密钥。特权集标识符320也存储在存储器302中，该标识符指示用户计算机系统(100、210)是哪些特权集的一个或多个中的成员。在一个示例中，特权集标识符是位字段，并且被设置为特定值的一个或多个位可用于指示集成员资格。在位字段的示例中，可以使用掩码来方便地更新集成员资格以访问预发布资源，而不会干扰位字段中所指示的其他成员资格。 

特权集标识符可以受到一个或多个安全特征的保护。例如，特权集标识符可以与受到密码地完整性保护的软件数据和/或代码包括在一起。在另一个示例中，特权集标识符320可被存储在受保护的非易失性存储器中。在另一个示例中，可以使用包括特权的用户计算机系统的特定实例的受密码地保护的证书(例如，非对称签名)。受保护的非易失性存储器的示例是仅可由系统管理程序访问的存储器。 

该实施例中的软件的其他操作层包括存储在非易失性存储器(例如，图2A的ROM 106)中的系统管理程序314，引导软件312可使该系统管理程序由处理器101来执行，或者可以在其他示例中加载到系统存储器143中。系统管理程序有时被称为虚拟机管理器，该虚拟机管理器控制对处理器和资源(例如存储器)的分配。系统管理程序可以允许多个操作系统共享单个硬件，并且控制操作系统之间的资源的分配。 

如所示的，系统管理程序314还可以具有特权集检查软件310h的一个版本，该特权集检查软件供应并检查用于该系统管理程序可能加载的软件的预发布版本或更新的特权。类似地，系统软件316还可具有特权集检查软件310s的一个版本，以在系统软件316加载软件应用程序时执行。系统软件316的一个示例是也可存储在ROM 106中并由引导软件312或系统管理程序314加载到系统存储器143中的内核。 

系统软件316和系统管理程序314可以访问可存储在磁盘(参见图3B)上而非ROM或闪存中的特权集标识符320或特权集密钥326。系统管理程序314和系统软件316可以访问硬盘，诸如图2A中的媒体驱动器144或者图2B中的存储器接口241。另外，其他磁盘可以由系统管理程序314和系统软件316经由诸如图2A中的USB控制器128或经由图2B中的非易失性存储器接口250 来访问。 

在某些示例中，“闪存版本”可用于指包括引导软件、系统管理程序和系统软件的软件的版本。 

预发布软件通常是应用程序(例如游戏应用程序)的更新、修复或增强。作为预发布软件的一部分的软件和数据项在为应用程序被下载时可在继续执行之前执行至少部分的特权检查。 

图3B示出作为软件预发布应用程序322的一部分被存储在非易失性存储器304中的特权检查软件310a的示例。在该示例中，存储器304是硬盘，但也可以存储在可移动介质上。应用程序预发布软件322也可以被下载，并且包括特权集检查软件310a的至少一部分。特权集标识符320和至少一个特权集密钥326也存储在非易失性存储器304中。 

如以下将更详细地讨论的，某些实施例使用安全特征作为添加的保护：特权集标识符由预期的用户计算机系统接收。另外，包括与资源相关联的资源特权集标识符的数据项也得到保护。 

在某些实施例中，用户可以经由另一个计算机资源位置来接收包括特权集标识符的安全数据项，例如经由该用户在第三方计算机系统而不是用户计算机系统上访问的电子邮件。用户可以随后将安全数据项并在某些情形中将预发布软件或固件下载到可移动存储介质上，诸如紧致盘、记忆棒或存储卡等。例如，可以以此方式检索包括预发布引导版本或系统管理程序的新的闪存版本。用户可将可移动介质插入到可移动介质接口中，诸如图2A中的USB控制器128、可移动非易失性存储器接口250和示例性驱动器253、251和255。 

图3B示出存储可用于技术的一个或多个实施例中的安全数据项的可移动存储介质306的示例。在此示例中，安全数据项328包括用于用户计算机系统的特权集标识符320和一个或多个唯一标识符319。在某些示例中，一个或多个唯一标识符可以是用户计算机系统使用随机数生成器来随机地生成的数字。另外，安全数据项328还可以包括已加密的特权密钥，以便用于验证资源或发布特权集标识符。 

基于加密方案的密钥通常用于保护特权集标识符数据项。可使用对称或共享的密钥加密，以此两个通信的计算机系统存储用于加密的相同的密钥。在某 些示例中，可以使用不同的密钥，但在它们之间存在已定义的关系，使得一个密钥可以相当容易地从其密钥获得另一个密钥。在某些示例中，可以使用每次对一位进行加密的流密码。在其他示例中，使用块密码，该块密码输出与未加密数据的输入长度不同的长度的已加密数据。块密码的标准的某些示例是基于数据加密标准(DES)和国际数据加密算法(IDEA)并从其导出的。 

还可以使用诸如广泛使用的公钥加密的非对称加密。包括两个密钥。第一计算机系统发布公钥供第二计算机系统用来向其发送数据。私钥仅对第一计算机系统可知。密钥可以相关，但是一般而言，使用已定义关系从公钥导出私钥是非常困难的。两个密钥或者其使用的非对称加密密码通常是可逆的，意味着私钥可用于加密仅公钥可以解密的数据，反之亦然。可使用的密码的示例是RSA和其他公钥密码标准(PKCS)。 

非对称加密的可逆性也可用于验证身份，如数字签名的情形那样。消息摘要算法与非对称加密一起可用于实现数字签名。消息摘要算法实现非常难于逆转的散列函数，由此所得的散列值很有可能将是唯一的。散列函数接收可变大小的输入数据，并且输出固定长度的散列值(例如串)。消息摘要算法的某些示例是安全散列算法(SHA)和MD2、MD4、MD5以及其变型。 

在一个示例中，可以如下创建并验证经签名的数字证书。发送者计算机系统生成消息摘要，即消息内容的散列值，并且使用发送者的私钥来加密该消息摘要。接收者计算机系统接收该消息，并使用发送者的公钥来解密该消息摘要。接收者计算该消息摘要。如果接收者的消息摘要或散列值与已解密的消息摘要不匹配，那么签名未验证。可用于生成并验证证书的数字签名的密码的某些示例是RSA、数字签名标准(DSS)及其变型。 

在其他示例中，安全数据项也可被包括在如RFC 2743所描述的安全团块中。 

图4A示出可被包括在图3A至3C中各个操作层所示的特权集检查软件310的实施例中的软件组件的示例。自动供应软件402执行对于对特权集标识符的请求的处理，使得用户计算机系统访问资源。下面在对附图的讨论中进一步描述这种处理的示例。 

在某些实例中，用户计算机系统将首先获得资源，但是该资源将不会执行， 直到用户计算机系统具有特权集内的成员资格。例如，用户可以通过邮件或在商店中购买或接收预发布资源。在软件的情形中，用户可能能够下载预发布软件，但在没有从授权计算机系统请求与该软件相同的特权集内的成员资格的情况下，无法执行该软件。在其他情形中，下载软件或固件才不能被许可，直到用户计算机系统的特权集标识符已被更新为指示适合的特权集内的成员资格。同样，在某些实施例中，用户可以在请求时不选择特定资源的情况下请求特定特权集内的成员资格。 

成员资格验证软件404对在特定资源的执行被许可之前该资源与用户计算机系统共享相同的成员资格进行验证。下面在对附图的讨论中进一步描述这种处理的示例。 

图4B示出可至少部分地包括在已下载的软件预发布中的用于特权集检查的软件的另一个示例。在此示例中，成员资格验证软件404被包括在已下载的软件预发布322中。在其他示例中，预发布还可以包括供应代码。 

提供预发布资源的实体提供用于与用户计算机系统通信的硬件和软件以便自动供应特权集。例如，对于图1A和1B的游戏控制台12，该实体可以是计算环境12的实施例经由因特网可以访问的控制台的在线游戏服务。另外，该实体提供用于跟踪哪些预发布资源是哪些特权集的成员，以及用于确定哪些用户计算机系统具有哪些特权集的成员资格的硬件和软件资源。实体的计算机系统也可基于逻辑和输入数据(诸如上述的安全风险因素)来分配安全风险级别。在图5A和5B中描述这些硬件和软件组件的示例实施例。 

图5A示出包括硬件和软件组件的成员资格授权计算机系统的系统架构的示例实施例。系统500包括可包括一个或多个处理器的处理单元502，并且包括本地存储器503，该本地存储器可具体化各种高速缓存设计。 

通信总线504提供各个系统组件之间的通信路径。例如，总线504向处理单元502提供对存储器控制器506的访问，该存储器控制器506在此示例中控制对易失性存储器508和非易失性存储器510的访问。这种非易失性地存储的数据的某些示例是应用程序，诸如操作系统512、成员资格授权软件514、经由网络接口522数据库(诸如以下详细讨论的特权集数据库527和存储软件和软件预发布的资源数据库529)进行访问的数据库接口526，以及其他软件应 用程序516。这些仅是可被存储在非易失性存储器510中的项的示例，并且该存储器当然包括其他数据和软件。 

系统500还包括一个或多个输出设备驱动器518以控制输出设备519(例如显示器、音频输出设备)、以及用于解释来自像键盘和指向设备的输入设备521的输入的至少一个输入设备驱动器520。 

还提供一个或多个网络接口522，使得成员资格授权计算机系统500可以诸如通过因特网80与一个或多个计算机网络通信，或者通过内部网络访问一个或多个数据库527、529。接口522可包括有线、无线或二者。 

图5B示出可被包括在成员资格授权软件应用程序中或由其利用的软件组件和数据项的示例。很多数据项可被存储在像图5B中详细示出的特权集数据库527的实施例的数据库中。 

每个特权集与安全风险级别相关联。在该实施例中，可以在风险级别策略数据项552中定义安全风险级别。另选地，可以存储每个集的安全风险级别策略552。特权集标识符554和特权集密钥556可被链接到风险策略。风险的示例包括对集内所允许的用户计算机系统的数量的限制，从而限制可受完整性故障影响的用户系统的数量。例如，软件游戏应用程序的β版本的风险池或观众大小可被限制为五千万个计算机系统中的五十万个。引导软件更新可被限制为五千个用户计算机系统。其他风险因素示例包括对预发布资源执行的测试和认证成功的级别，和用户计算机系统的运行将受预发布资源的故障影响的该用户计算机系统的操作层。 

集成员资格标准562包括要被满足从而被授予特权集内的成员资格的标准。一个示例是是否已经达到对集内用户或用户计算机系统的数量的限制。在另一个示例中，用户计算机系统必须拥有所需资源。所需资源的一个示例是计算资源的特定版本或多个版本，例如由版本号或版本号的范围所指示的内核或系统管理程序。例如，用户计算机系统可能缺少用户计算机系统可以通过使用闪存软件的最新版本更新其自身来修复的引导软件更新。 

特权集标识符554被设置为指示资源和用户计算机系统的具体的特权集成员资格。为每个特权集标识至少一个特权集密钥556。在公钥-私钥对的情形中，特权集密钥可以是用于仅存储在用户计算机系统的私钥的公钥，或 者可以是与被发送到用户计算机系统的公钥配对的私钥。用户计算机系统的成员简档558包括该系统的唯一标识符、该用户计算机系统上的资源的版本号、到一个或多个特权集标识符的链接，以及被发送给不同集内的标识符成员资格的一个或多个特权集密钥。 

图5B中的软件组件使用特权集数据库527中的数据来执行它们的各种功能。特权集资格软件534基于特权集成员资格标准562确定用户计算机系统何时可以成为与资源相同的特权集内的成员。资格软件534通知新成员的成员简档更新软件542，该成员简档更新软件542准备简档。安全数据项创建模型536创建诸如图3C中所示的安全数据项328的安全数据项。特权传输模块540响应于用户计算机具有成员资格，将包括特权集标识符的安全数据项发布到用户计算机系统。 

资源特权集标识符生成软件538基于可存储在资源简档中的资源的所分配的特权集，来生成该资源的资源特权集标识符，该资源存储在资源数据库529中。数据库529中的资源简档被更新以包括资源特权集标识符。生成软件538还可在某些情形中将该标识符插入到该资源中，或者经由特权传输模块540单独地发送给用户计算机系统。 

为了说明性的上下文，参考图2A至5B的实施例讨论图6至13，尽管其他计算机系统实施例也可以实现图6至13的方法。 

在用户计算机系统请求集内的成员资格之前，诸如在线游戏服务的实体必须建立特权集，制定成员资格标准和对软件可用的诸如每个数据库(像特权集数据库527)的安全风险级别，以便在实体侧自动地管理该特权集。 

图6是用于自动地供应特权集的方法600的实施例的流程图。像图5A中系统500的远程成员资格授权计算机系统及其诸如成员资格授权软件514的软件可以实现该方法。图6的讨论引用成员资格授权软件514及其子模块仅用于说明性上下文。在步骤602中，资源特权集标识符生成模块538为计算资源标识所分配的安全风险级别，并且在步骤604中，基于所标识的安全风险级别将该资源与特权集相关联。在一个示例中，安全风险级别可以由诸如特权集标识符生成模块538的软件来确定并分配。在一个示例中，实体人员可能经由输入设备521已经输入了指示安全风险级别的资源的元数据，生成模块538将其存 储在资源数据库529中。在另一个示例中，可能已经为资源输入了元数据，诸如风险池大小、由预发布资源正修改的资源的类型、或者认证测试成功的级别。基于对风险因素的加权，特权集标识符生成模块538可以应用逻辑以向资源分配安全风险级别。生成模块534随后为资源生成资源特权集标识符，将其标识为特权集的成员。 

在步骤606中，特权集资格软件534接收远程计算机系统访问资源的请求。在此实施例中，请求包括用户计算机系统的一个或多个唯一标识符。这些唯一标识符在出于安全目的以及跟踪不同集内不同的用户计算机系统时是有用的。 

特权集资格软件534在步骤608中确定发出请求的用户计算机系统是否具有与资源相同的特权集内的成员资格。例如，资格软件534可从所提供的一个或多个唯一标识符确定用户计算机系统具有或缺少必要的闪存软件或其他应用程序软件的哪些版本或更新。资格软件534还可以确定是否已经达到对特权集的观众大小或风险池大小的限制。 

响应于用户计算机系统具有成员资格，特权传输模块540在步骤610中将指示资源集内的成员资格的特权集标识符分发给用户计算机系统。如果用户计算机系统不具备访问的资格，那么资格软件534可在步骤612中向用户计算机系统发送指示对该资源的访问已被拒绝的消息。该消息可以指示拒绝的理由，诸如缺少资源的更新或版本，因此用户可对此进行修复并再次尝试注册为成员。 

如在以下更详细的实现示例中所示的，安全数据项创建模块536可被特权集资格软件534、资源特权集标识符生成模块538、或特权传输模块540用来保护安全数据项中的用户或资源的特权集标识符。 

图7是用于将资源与可用于实现步骤604的特权集相关联的方法的实施例的流程图。在步骤702中，安全数据项创建模块536生成包括资源特权集标识符的安全数据项，并在步骤704中将该安全数据项包括在资源中。例如，在软件预发布中，安全数据项被存储在作为预发布软件一部分的数据或位中。 

图8是用于向用户计算机系统分发指示成员资格的特权集标识符的方法的实施例的流程图，如可用于实现图6的步骤610。如果用户计算机系统具有资格，则资格软件534在步骤802中将指示资源特权集内的成员资格的特权集 标识符分配给用户计算机系统。软件534向安全数据项创建软件536发送指示该分配的消息。安全数据项804在该示例中生成包括特权集标识符和该示例中的一个或多个唯一标识符的完整性证书。 

在一个实施例中，特权集具有分层结构中的位置。在某些示例中，特权集内的成员资格不仅提供对与该特权集相关联的资源的访问，还提供对与被认为具有较低或较少特权的特权集相关联的资源的访问。在步骤806中，安全数据项创建模块使用为所分配的特权集标识符的特权集指定的密钥556来签署证书。安全数据项创建模块536警告特权传输模块540安全数据项(此情形中经签署的证书)可以被传输，并且特权传输模块540在步骤808中发送该证书以供远程用户计算机系统使用。 

用户计算机系统还包括用于请求并且自动地将其系统作为特权集的成员来供应的软件，从而获得对预发布计算资源的访问。在供应处理中，用户计算机系统与控制资源的实体的远程计算机系统通信以获得特权集内的成员资格，并且由此获得访问资源的许可或特权。访问资源的一个示例是执行该资源。用户计算机系统本地地执行对执行资源的其自身特权的验证。图9至13提供涉及试图访问与特权集相关联的预发布资源的用户计算机系统的方法的实施例的细节。仅为了说明性的上下文，在特权集检查软件310及其自动供应软件402、以及另外地图4A和4B的软件预发布322的成员资格验证软件404的上下文中讨论图9至13。当然，可以在具有硬件和软件的不同配置的用户计算机系统中执行方法。 

图9是用户计算机系统访问与特权集相关联的预发布计算资源的方法的实施例的流程图。用户计算机系统试图注册特权集内的成员资格时，用户计算机系统执行处理以便接收、确认并存储特权标识符，从而访问诸如更高风险的预发布软件的资源。 

诸如β软件发布的预发布资源由于例如相比于公众可用的软件更少的测试而具有安全漏洞的更高风险。构成更高风险安全级别的另一个因素是由于受所请求的预发布资源影响的用户计算机系统的操作层，对用户计算机系统的损坏的程度。例如，带有对引导软件的改变的β闪存发布，系统管理程序软件或内核软件可能导致用户计算机系统的灾难性故障。 

作为示例性上下文，对诸如多媒体控制台100或计算机系统210的用户计算机系统的用户输入指示了将原型升级下载到游戏应用程序的请求。在步骤902中，在用户系统的处理器101、220上执行的特权集检查软件310为用户计算机系统自动地提供计算资源的特权集内的成员资格。如果供应是成功的，则在步骤904中，特权集检查软件310验证用户计算机系统在执行该资源之前在特权集内的成员资格。在另一个示例中，资源是软件原型322，并且在用户计算机系统上执行的它的成员资格验证软件404执行步骤904的验证的至少部分。 

图10是用户计算机系统自动供应以获得特权集内的成员资格的可用于实现步骤902的方法的实施例的流程图。自动供应软件402在步骤1002中将对预发布资源的请求中的用户计算机系统的一个或多个唯一标识符发送给远程授权计算机系统。自动供应软件402在步骤1004中基于所接收的消息确定该请求是否被批准。如果该请求未被批准，则在步骤1006中，自动供应软件402接收指示访问被拒绝的消息。如前所述，该消息可以指示拒绝的理由，诸如缺少软件更新，用户可随后下载该更新并尝试再次注册。 

在步骤1012中，自动供应软件402从远程授权系统500接收包括特权集标识符的安全数据项，并在步骤1014中确定该特权标识符是否有效。若否，则在步骤1016中向远程授权系统发送指示所接收的特权集标识符为无效的消息。无效的基础的某些示例包括未能解密特权集标识符、与所发送的唯一标识符不匹配的至少一个唯一标识符，或者安全数据项中的数据项之间的其他不匹配。 

在其他示例中，安全数据项可以经由用户计算机系统以外的计算机系统发送给用户。例如，包括特权集标识符的安全团块或证书可以被发送到电子邮件地址。用户可以随后将安全数据项328下载到如图3C中的可移动存储介质306上。用户将可移动存储介质306插入到用户计算机系统中，并且自动供应软件402从该可移动存储介质306读取安全数据项。 

响应于特权集标识符是有效的，自动供应软件在步骤1018中将所接收的特权集标识符本地地存储在(例如用户计算机系统的)存储器中。可选地，在该点，资源可在步骤1020中被置于用户计算机系统中。在固件的情形中，固 件可以被下载，并且重新启动计算机系统以便引导软件识别。在软件的情形中，软件可以通过将该软件下载到用户计算机系统来放置，并且例如响应于执行该软件的用户请求，内核可以执行特权集检查。 

特别是在软件和固件的情形中，资源可以被首先下载，并且随后执行对用户计算机系统的供应以查看如果系统尚未具有许可访问资源的特权集标识符，该系统是否能够访问该资源。在其他情形中，即使下载软件或固件也必须获得特权集标识符。 

图11是用于确定从远程授权计算机系统接收的特权集标识符的有效性的可用于实现图10的步骤1014的方法的实施例的流程图。自动供应软件402在步骤1102中从远程授权计算机系统接收安全数据，并在步骤1104中确定本地特权集密钥能否从安全数据项中检索特权集标识符。如果未能成功检索特权集标识符，则供应软件402在步骤1106中向远程授权系统500发送出错消息。 

在该实施例中，本地存储的特权集密钥可以是与用户计算机系统作为唯一标识符发送的公钥相对应的私钥。相反，特权集密钥可以是与用户计算机系统作为唯一标识符或与远程授权系统500的共享密钥发送的私钥相对应的公钥。另外，远程授权系统500可在发送安全数据项之前发送已加密的特权集密钥。供应软件402解密该所发送的密钥，并将其本地地存储以便在接收包括特权集标识符的安全数据项时使用。如图3A、3B和3C所示，密钥保险库318中的某些密钥是诸如引导软件312、系统管理程序314和系统软件316的更低层的软件可以访问的，并且其他密钥可以存储在如图3B中的应用层。 

如前所述，在一个实施例中存在特权集的分层结构。分层结构中的位置与集的特权程度相关。不同的安全措施可用于保护或确保位于分层结构中不同位置的特权集的特权集标识符。例如，特权集的密钥或标识符本身可以与受到密码地完整性保护的软件数据和/或代码包括在一起。在以下的示例中，不同的签名密钥可以与不同的特权集相关联。例如，仅由唯一的用户计算机系统已知的用户计算机系统唯一的密钥可用于保护完整性。表示特权的不同级别的不同的特权集标识符可存储在带有不同保护级别的存储器位置中，该保护级别通常与分层结构中特权集的风险级别相对应。 

不同的本地存储的密钥可由自动供应软件402指定为解密特定特权级别 的特权集。如果可以检索到密钥，则在步骤1108中执行附加的安全检查以确定所检索的特权集密钥是否具有安全数据项中特权集标识符的可接受的特权级别。 

例如，自动供应软件402可以按照例如最高特权指定密钥到最低特权指定密钥的次序尝试不同的密钥，直到检索成功或者不再有可用的密钥供尝试。在另一个实例中，资源的特权级别在之前对请求的交换中被标识，并且首先尝试为该特权级别指定的密钥。在一个示例中，如果特权集标识符的特权级别与所检索的密钥的特权级别不同，则所检索的特权集密钥不具有特权集标识符可接受的特权级别。结果是该标识符被视为无效，并且供应软件402在步骤1106中向远程授权系统500发送出错消息。 

如果所检索的密钥具有特权集标识符可接受的特权级别，作为另一个有效性检查，自动供应软件402在步骤1110中确定安全数据项中一个或多个唯一标识符是否与本地地存储的和之前发送的标识符相对应。例如，与所发送的标识符相同的标识符可以证明相应。在其他示例中，如果唯一标识符是一对中的对应成员或已存储的唯一标识符的导出值，则示出相应。如果存在与一个或多个唯一标识符中至少一个的不匹配，则供应软件402在步骤1106中发送出错消息。如果一个或多个唯一标识符均相对应，则供应软件402在步骤1112中基于安全数据项中的特权集标识符更新本地存储的特权集标识符。在一个示例中，特权集标识符可以是位字段，其中各个位被设置为预定指定的值以指示特权集内的成员资格。验证特权集内的成员资格的一种方便的方式是通过应用掩码以查看用于该特权集的一位或多位是否被设置为指定值。另外，具有其他集内的成员资格的本地地存储的特权集标识符，可以通过应用仅改变需要被更新的位的掩码来方便地被更新为标识自动供应中获得的最新的成员资格。 

此外，在某些实施例中，安全数据项包括来自授权系统500的新的特权集密钥。该特权集密钥具有特权集标识符中所标识的集的特权级别。该密钥也可被本地地存储在用户计算机系统中，例如密钥保险库318中或盘上的数据存储位置326中。在一个示例中，特权集密钥可以是公私钥对中的私钥。 

在一个示例中，特权集标识符授予用户计算机系统访问与特权集标识符中所指示的特权集相关联的全部资源的完整性检查的许可。例如，一旦用户计算 机系统具有特权集内的成员资格，则在下载或以其他方式获得与相同集相关联的其他资源的请求中，用户计算机系统无需经历供应方法以获得另一个特权集标识符。 

图12是用于验证与预发布资源相关联的特权集内的用户计算机系统的成员资格的可用于实现图9的步骤904的方法的实施例的流程图。取决于预发布资源的操作级，软件(例如引导、系统管理程序或内核)的操作级将在步骤1202中接收执行预发布计算资源的请求。 

成员资格验证软件404在步骤1204中从预发布资源检索资源特权集标识符，并在步骤1206中确定计算机系统的特权集标识符是否指示该资源特权集标识符所指示的集内的成员资格。例如，验证软件404可对其进行比较以查看相同的位字段是否被设置为指示成员资格。如果用户计算机系统和资源不是相同特权集的成员，则成员资格验证软件404在步骤1208中显示指示执行资源的请求未被授权的消息。此外，验证软件404在步骤1212中停止对预发布资源的执行。例如，游戏应用程序的β发布更新将不执行。 

如果特权集标识符指示资源与用户计算机系统是相同特权集的成员，则控制被返回到控制预发布资源的用户计算机系统的操作层，在步骤1210中执行该预发布资源。例如，如果用户计算机系统具有执行系统管理程序补丁、或β(测试)位的其他发布、或为该系统管理程序下载的数据的特权，则引导软件312的特权检查软件310b将控制返回给调用它的引导软件，并且该引导软件将控制交给引导软件312的系统管理程序加载代码。 

图13是用于确定用户计算机系统与预发布资源是否在相同的集内共享成员资格的可用作实现图12的步骤1206的一个示例的方法的实施例的流程图。成员资格验证软件404在步骤1302中确定特权集密钥是否签署了包括资源特权集标识符的完整性证书。如果证书未由特权集密钥签署，则方法返回到步骤1208和1212。 

如果证书已由特权集密钥签署，则验证软件404在步骤1306中确定签名特权集密钥是否位于资源特权集标识符可接受的特权级别。例如，对指示较高特权集内的成员资格的资源特权集标识符进行解密的较低特权集的密钥标识了无效的证书。如果签名密钥缺少必要的特权，则方法返回到步骤1208和 1212。 

在步骤1308中，成员资格验证软件404确定计算机系统的特权集标识符是否指示了由资源特权集标识符所指示的集内的成员资格。例如，在特权集成员资格由位字段中设置的一位或多位来指示的情形中，可以应用掩码来对两个标识符进行比较以查看所指定的位是否被设置为指示成员资格的值。再次，如果确定是资源与用户计算机系统不共享相同集内的成员资格，则方法返回到步骤1208和1212。 

如果资源与用户计算机系统是相同集内成员，则验证软件404或特权集检查软件310的某些其它代码在步骤1310中确定是否满足完整性证书中的期满标准。如果未满足期满标准，则方法返回到步骤1208和1212。如果满足了期满标准，则方法返回到步骤1210并执行预发布资源。 

在某些示例中，期满标准可以是基于时间的标准。例如，设置日期可被提供为软件预发布的执行的结束日期。在另一个示例中，基于时间的标准可以是始于诸如下载软件预发布的时间的指定的起始时间点的时间段。在其他示例中，期满标准可以是资源仅与用户计算机系统上软件和硬件组件的特定版本一同工作例如，β引导软件更新可以具有在之前公开发布的引导软件的版本上运行的期满标准。只要β更新与引导软件的之前发布在一起，用户计算机系统就可以运行该测试更新。然而，用户必须下载包括引导、系统管理程序和系统软件的闪存软件的新的公开发布的版本，从而在像多媒体控制台100的游戏控制台上玩新游戏。这限制了时域中以及用户将可能希望玩新游戏的风险范围。 

本技术可具体化为其他具体形式而不背离其精神或本质特征。类似地，对于模块、例程、特征、属性、方法和其他方面的具体命名和划分并非是强制性的，实现本技术或其特征的机制可具有不同的名称、划分和/或格式。此外，如本领域技术人员将显而易见的，所公开的实施例的模块、例程、特征、属性、方法和其他方面可被实现为软件、硬件、固件或三者的任意组合。当然，在组件(其示例是模块)被实现为软件的情况下，该组件可被实现为独立的程序、更大程序的一部分、多个单独的程序、静态或动态链接库、内核可加载模块、设备驱动程序、和/或编程技术领域中的技术人员现在已知或将来知晓的每一个和任何其他方式。 

尽管用结构特征和/或方法动作专用的语言描述了本主题，但可以理解，所附权利要求书中定义的主题不必限于上述具体特征或动作。更确切而言，上述具体特征和动作是作为实现权利要求的示例形式公开的。 

Claims (10)

1.一种用于访问与特权集相关联的预发布计算资源的方法，包括：

为了所述特权集内的成员资格向用户计算机系统供应特权集标识符(902)，所述特权集指示所述计算资源的安全风险级别；以及

基于所述特权集标识符和所述资源的资源特权集标识符，验证所述用户计算机系统具有所述资源所需的所述特权集内的成员资格(904)。

2.如权利要求1所述的方法，其特征在于，为了所述特权集内的成员资格向用户计算机系统供应特权集标识符还包括：

向远程授权计算机系统发送所述用户计算机系统的一个或多个唯一标识符(1002)；

从远程授权计算机系统接收包括用于所述用户计算机系统的特权集标识符的安全数据项(1012)；

确定所述安全数据项中的所述一个或多个唯一标识符是否与之前发送的一个或多个标识符相匹配(1014)；

将所述特权集标识符本地地存储在能够由所述用户计算机系统访问的存储器中(1018)，其中所述特权集标识符受到完整性保护；以及

响应于所述一个或多个唯一标识符与之前发送的至少一个标识符不匹配，停止所述预发布资源的执行(1212)。

3.如权利要求1所述的方法，其特征在于：

验证所述用户计算机系统具有所述资源所需的所述特权集内的成员资格还包括：

验证包括所述资源特权集标识符的完整性证书是否已经由特权集密钥签署(1302)，所述特权集密钥本地地存储在能够由所述用户计算机系统访问的所述存储器中；响应于对所述特权集密钥的签名的验证，确定签名特权集密钥是否对所述资源特权集标识符是能够接受的特权级别的(1306)；以及

响应于签名密钥不是所述能够接受的特权级别的，停止所述预发布资源的执行(1212)。

4.如权利要求1的方法，其特征在于，所述安全风险级别表示所述预发布资源的安全测试认证成功的级别。

5.一种用户计算机系统，包括：

处理器(101、220)；

通信接口(124、270)，能够由所述处理器访问以与远程计算机系统(500)通信，用于下载与特权集(320)相关联的软件预发布(322)，所述特权集指示所述软件预发布的安全风险级别，其中所述安全风险级别表示对具有所述软件预发布的完整性故障的风险的用户计算机系统的数量的限制；以及

能够由所述处理器访问的存储器(302、304、306)，所述存储器存储软件(310)，用于将所述处理器编程为从所述远程计算机系统获得特权集标识符并将所述标识符存储在所述存储器中；

所述特权集标识符(320)指示所述用户计算机系统在所述特权集内的成员资格，所述成员资格授予运行所述软件预发布(322)的许可；

所述存储器存储所述软件预发布，用于将所述处理器编程为基于所述特权集标识符验证所述用户计算机系统具有与所述发布相关联的所述特权集内的成员资格，并响应于所述用户计算机系统缺少成员资格而停止所述软件预发布的执行。

6.如权利要求5所述的用户计算机系统，其特征在于，

所述用户计算机系统的所述特权集标识符已经与受到以其他方式密码地完整性保护的所述软件包括在一起。

7.如权利要求5所述的用户计算机系统，其特征在于，

所述特权集是特权集的分层结构中的一个；以及

至少两个标识符被不同的安全措施保护，所述至少两个标识符的每个与所述分层结构中不同的特权集相关联。

8.一种用于特权集的自动供应的方法，包括：

将预发布计算资源与特权集分层结构中的特权集相关联(604)，所述分层结构中的每个特权集具有安全风险级别；

根据所述特权集的成员资格标准，为用户计算机系统生成指示所述特权集内的成员资格的特权集标识符(702)；以及

将所述特权集标识符和所述资源分发给所述用户计算机系统(610)，其中所述预发布资源对于缺少所述特权集内的成员资格的用户计算机系统是不可执行的。

9.如权利要求8的方法，其特征在于，所述安全风险级别是基于所述资源所改变的所述用户计算机系统的操作层(312、314、316、322)。

10.如权利要求8的方法，其特征在于，将所述特权集标识符和所述资源分发给所述用户计算机系统独立于许可所述用户计算机系统使用所述资源。

Images