CN102792313A

CN102792313A - 对数据的基于证书的访问

Info

Publication number: CN102792313A
Application number: CN2011800147602A
Authority: CN
Inventors: R.P.佩鲁马尔; J.B.汉布林
Original assignee: Microsoft Corp
Current assignee: Microsoft Technology Licensing LLC
Priority date: 2010-03-19
Filing date: 2011-03-16
Publication date: 2012-11-21
Also published as: US20110231940A1; WO2011116086A3; WO2011116086A2

Abstract

基于尝试访问数据的用户是否在被允许访问数据的用户中被识别出来的现有控制对数据的访问的机制可以扩展到基于用户或与其相关联的过程所提供的证书数据的进一步的访问控制。访问控制条目可基于包含那些引用的证书数据的布尔条件来限制访问，以使得只对提供了证书数据的特定用户，或可替换地，对提供了证书数据的任意用户授权该访问。出于安全目的，可以以模糊的形式在访问控制信息中指定所引用的证书数据。当用户提供证书数据时，与用户相关联的信息，例如用户令牌，可以暂时地更新以包含证书数据，以便使得能够访问数据，但阻止这样的访问在过长时间内保持开放。

Description

对数据的基于证书的访问

背景技术

计算机可读数据的安全最通常是通过把关机制来实现，把关机制使得授权用户，或更准确地，代表这些用户而行动的过程，能够访问计算机可读数据，并同时阻止未授权用户以及他们的相关过程访问数据。数据加密就是一个这样的把关机制，该数据耦合有只给那些被授权访问此数据的用户解密以及随后访问该数据所必需的信息。这样的把关机制传统上是通过专用的计算机可执行指令来提供，比如加密应用程序，其中，试图访问这些数据的用户为了解密以及随后访问数据，需要拥有加密应用程序或它的类似物。

计算装置使用的操作系统通过使用访问控制也能够实现把关机制，所述访问控制基于用户和被授权访问数据的用户列表或用户组之间的比较来限制用户访问数据。传统上地，这样的操作系统要求用户比如通过输入用户名和密码来登录。一旦用户已经登录到这样的操作系统，识别用户的数据组（通常被称为用户令牌）被生成，用于代表用户且与用户相关联。每当用户或代表这些用户而行动的应用尝试访问某些数据，与被访问的数据相关联的访问控制列表被引用。利用对访问控制列表中的授权数据、以及用户令牌中的身份数据进行计算，以指明登录的用户的访问数据的能力。如果与被访问的数据相关联的访问控制列表以某种方式指明登录的用户没有被授权访问数据，操作系统将会使访问请求失败。

不幸地，在很多环境下，与计算装置以及它的操作系统进行交互的真实人类用户，和生成的令牌所识别的用户并不相同。例如，许多家庭使用单个登录，这样，不论哪个家庭用户正在实际使用计算装置都将会生成相同的用户令牌。再如，一个用户的用户名和密码被另一个不同的用户盗窃，并随后使用。在这种情况下，因为操作系统实现的访问控制列表是基于用户令牌，那些从来不打算被授权访问某种数据组的人类用户，然而由于作为其他人被登录到计算装置，却可以访问那些数据组。虽然专用工具，例如指向数据的加密的应用程序，即使在使用计算装置的人类用户其实上很可能为另一个人的情况下仍然能够保护敏感信息，然而这样的专用工具要求每一个最终需要访问受保护的数据的计算装置在其上安装专用工具。在某些情况下，这样的安装在给定的计算装置上的专用工具的数目，甚至可能比起初用于生成数据的应用的数目更大。

发明内容

在一个实施例中，现有的例如操作系统中的访问控制机制能够被修改为提供对特定的数据组的访问，所述访问不仅基于与当前登录到计算装置的用户相关联的信息，而且基于由这样的用户提供的合适的证书数据。证书数据可以简单的为用户或者代表用户输入的密码或者口令。证书数据也可以为指纹、视网膜扫描、声纹、智能卡、其它类似的可以从用户收集到的或由用户提供的独特数据。

在另一个实施例中，对数据组的访问要根据访问控制信息来进行限制，与该数据组相关联的访问控制信息可以包括证书数据，以使得对相关联的数据组的访问能够基于与访问控制信息存储在一起的证书数据的存在、或证书数据的提供来进行限制。出于安全的目的，证书数据可以以模糊（obsfuscated）形式存储，例如通过一个或多个已知的哈希算法使证书数据散列。

在进一步的实施例中，与数据组相关联的访问控制信息可包括一个或多个布尔条件，包括基于证书数据的提供的布尔条件，用于列举一组要求，在这些要求下，访问数据组能够被授权。因此，证书数据的提供可以是获得对数据组的访问所要求的唯一元素。

在还进一步的实施例中，证书数据能够作为用户令牌或其它与用户相关联的信息集的一部分而被存储，仅在获得对特定的受保护数据组的访问所要求的足够长的时间内存储。证书数据可以作为用户令牌的一部分被存储的时间量能够由提供证书数据给用户令牌的应用程序，或操作系统本身指定。

提供本发明内容以简化的形式介绍了下面在具体实施方式中进一步描述的概念的选集。本发明内容不旨在识别要求保护的主题的关键特征或必要特征，也不旨在用来限制要求保护的主题的范围。

其他的的特性和优点将从后面参考附图进行的详细描述中变得显而易见。

附图说明

当连同附图一起考虑时，可以最佳地理解下面的详细描述，其中；

图1是示例性操作系统所实现的示例性访问控制的框图；

图2是示例性计算装置的框图；

图3是用于获取特定数据组的访问的证书数据的说明的示例性列举的框图；

图4是用于访问数据组的示例性机制的框图，其要求提供证书数据以获得访问；

图5是用于提供数据组的访问的示例性机制的流程图；以及

图6是用于访问数据和请求证书数据的示例性机制的流程图。

具体实施方式

下述描述涉及访问控制机制的扩展以使得对数据的访问能够以预先指定的证书数据的提供为条件并受其控制。与访问受控制的数据组相关联的访问控制信息能够指定证书数据，在被授权访问所述数据组之前要提供所述证书数据。用户令牌、或者其他的与用户相关联的信息可包含证书数据，所述证书数据可从用户获取，例如通过能被任何代表用户而行动的应用所使用的公用接口，或者通过可被操作系统实现的通向用户的安全通道，例如“安全桌面“接口。当代表用户而行动的过程尝试访问数据组，其中该数据组的访问是受控的并且必须在访问被授权之前为该数据组提供证书数据，用户令牌作为证书数据被引用。如果用户令牌没有包括所要求的证书数据，用户将被提示输入这样的数据且能重新尝试访问。出于安全目的，证书数据可以以模糊（obsfuscated）的形式，例如散列形式，存储在访问控制信息中以及，可选地，存储在用户令牌本身。

出于说明的目的，此处描述的技术引用特定的数据结构，包括，特别地，“用户令牌”、“访问控制条目”以及“访问控制列表”。这样的引用完全是示例性的，并不是用于将所描述的机制限定为所提供的特定示例。实际上，所描述的技术能被应用于包含有关信息的任何数据组，而与特定的实现无关。因此，此处被使用的术语“用户令牌”意为唯一地与用户相关联的任何信息的集合，其通过登录或相类似的程序来识别，当这样的用户再一次例如通过登录或相类似的程序被识别时，生成了所述信息；相类似地，此处被使用的术语“访问控制条目”意为与数据组相关联的信息的任意集合，其中对所述数据组的访问受控制，并且所述信息指定了一个或多个准则，根据该准则，一种或多种对相关联的数据组的访问要么被授权要么被拒绝；以及此处被使用的术语“访问控制列表”意为一个或多个所述访问控制条目的任意集合。

尽管不是必须的，但下面的描述位于被计算装置执行的计算机可执行指令（例如程序模块）的一般环境下。更具体地，除非另有说明，所述描述将引用一个或多个计算装置或外围设备执行的操作的行为和符号表征。如此，将明白，这样的行为和操作包括通过处理单元操控以结构化形式代表数据的电信号，所述行为和操作有时被称为计算机可执行的。所述操控转换数据或将数据维持在存储器中的位置，所述操控以本领域技术人员很好理解的方式重新配置或以其他方式改变计算装置或外围设备的操作。所述其中数据被维护的数据结构是具有数据格式所定义的特定属性的物理位置。

一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等。此外，本领域技术人员将理解所述计算装置无需被限定于常规的个人计算机，其包括了其他的计算配置，包括手持装置、多处理器系统、基于微处理器的或可编程的消费电子产品、网络PC、微型计算器、大型计算机等。相似地，所述计算装置无需被限定于独立的计算装置，因为所述机制也可以在分布式计算环境中实现，在分布式计算环境中，任务通过以通信网络链接的远程处理装置执行。在分布的计算环境中，程序模块可能位于本地和远程存储器存储装置中。

转到图1，其中示出的系统99显示了一个简化的、示例性的通信和行为的组。通过所述通信和行为，现代操作系统，如图1中显示的操作系统134，能够控制访问给定数据组。特别地，如系统99所示出的，用户10能够执行登录行为11以登录到计算装置100。典型地，如那些本领域计算人员将知道的，如行为21所示出的，用户10的登录行为11能够引起操作系统134生成用户令牌20。如前面所指出的，用户令牌20能够包括独有于用户10的、与该用户相关联的信息。因此，比如，用户令牌20能够包括用户10的独特标识符。再比如，用户令牌20能够包括一个或多个用户的组的列表，通常被称为用户10所属的“用户组”。

在登陆行为11之后的某时刻，用户10能够直接地或间接地命令应用40或在计算装置100上执行的其它的过程集访问文件或其他的数据组，例如通过图1的系统99中示出的访问行为31。为响应访问行为31，应用40能够尝试访问所指示的数据。例如图1的系统99中所示，应用40能够向操作系统134作出访问请求41，其请求操作系统向该应用提供对文件（如文件50）的访问。在授权应用40访问文件50之前，操作系统134将用户令牌20中的信息和与访问请求所指向的文件50相关联的访问控制列表60中的条目进行比较。典型地，这样的比较操作51是被作为操作系统134一部分而执行的访问校验过程或机制30所执行。因此，虽然文件50以及相关联的访问控制列表60都被显示位于操作系统134的“外部”，但是这样的放置只是为了说明访问控制列表60和文件50的数据能够被认为是独立于操作系统134的实体。如上所述，在下面进一步详细描述，访问控制列表60被可作为操作系统134的一部分的过程所管理和引用。此外，尽管与此处的公开不是特别的相关，但是在某些文件系统实施例中，文件50能同样地被可作为操作系统134的一部分的过程所管理。不过，文件50和访问控制列表60将与操作系统134分开地被示出以意味着他们不完全是操作系统组件或构架。

返回到图1，如果访问校验30例如通过比较行为51确定用户10被允许访问文件50，那么操作系统134将文件的访问授权给代表用户而运行的应用40。可替换地，如果访问校验30确定用户不被允许访问文件50,那么操作系统134将拒绝来自应用40的访问请求41。所以，访问授权行为61在图1中通过虚线显示，用于表明其条件状态。

转到图2，将进一步详细地示出和描述图1中系统99的示例性计算装置100。图2所示的示例性计算装置100可包括但不限于一个或多个中央处理器（CPU）120、可包括RAM132的系统存储器130、以及将包括系统存储器在内的各种系统组件耦接到处理单元120的系统总线121。系统总线121可为若干类型的总线结构的任意一个，包括存储器总线或存储器控制器、外围总线和使用了任何类型的总线架构的局部总线。计算装置100可选择性地包括图形硬件，例如用于虚拟用户接口的显示，包括但不限于图像硬件接口190以及显示装置191。此外，计算装置100也能包括用户接口元件，包括但不限于，能被用户使用的鼠标181以及键盘182以响应通过显示装置191显示的接口来生成输入。用户接口元件能够通过外围接口180可通信地耦接到系统总线121，并且出于提供用户输入的目的，用户对用户接口元件的使用可生成信号，系统总线121将该信号运送给作为操作系统134的一部分而执行的计算机可执行指令，进而，该计算机可执行指令视情况而提供这样的用户输入到操作系统134或程序模块135。

计算装置100典型地也包括了计算机可读介质，包括能够被计算装置100访问的任何可用介质，并且包括易失的和非易失的介质和可移除的和非可移除的介质。作为例子，而非限制，计算机可读介质可包括计算机存储介质和通信介质。计算机存储介质包括以用于存储例如计算机可读指令，数据结构，程序模块或其他的数据等信息的任何方法或技术实现的介质。计算机存储介质包括但不限于，RAM、ROM、EEPROM、闪存或其他存储器技术，CD-ROM、数字多功能盘（DVD）或其他的光盘存储器，磁盒、磁带、磁盘存储或其他磁性存储装置，或用于存储想要的信息且能被计算装置100访问的其他任何媒介。通信介质典型地以调制的数据信号体现计算机可读指令、数据结构、程序模块或其他数据，并且包括任何信息递送介质，所述调制的数据信号例如是载波或其他的传输机制。作为例子，而非限制，通信介质包括有线介质，例如有线网络或直接有线连接；无线介质，例如声学、射频、红外以及其他无线介质。上述任意的组合应当被包括在计算机可读介质的范围内。

系统存储器130包括易失的和/或非易失存储器形式的计算机存储介质，例如只读存储器（ROM）131和前述的RAM 132。例如在启动过程中，包含用于帮助在计算装置100的元件之间传输信息的基础例程的基本输入/输出系统133（BIOS）典型地存储在ROM 131中。RAM 132典型地包含可被处理单元120立即访问和/或当前正在被操作的数据和/或程序模块。作为例子，而非限制，图2示出了操作系统134与其他程序模块135以及程序数据136。

计算装置100也可包括其他的可移除的/非可移除的、易失的/非易失的计算机存储介质。仅作为例子，图2示出了从非可移除的、非易失的磁性介质读取或写入到非可移除的、非易失的磁性介质的硬盘驱动器141。其他的可以与示例性计算装置一起使用的可移除的/非可移除的、易失的/非易失的计算机存储介质包括，但不限于，磁带盒、闪存卡、数字多功能盘、数字视频磁带、固态RAM、固态ROM等等。硬盘驱动器141典型地通过非可移除的存储器接口，例如接口140连接到系统总线121。

上面所讨论的以及图2所示出的驱动器和与它们相关联的计算机存储介质为计算装置100提供计算机可读指令、数据结构、程序模块以及其他数据的存储。例如，图2中，硬盘驱动141被示出为存储操作系统144、其他的程序模块145以及程序数据146，其中后两者可包括图1中示出并将在下面进行更为详细的描述的示例性程序40部分或全部。注意到组件144、145和146既可以相同于、也可以不同于操作系统134、其他的程序模块135和程序数据136。操作系统144、其他的程序模块145和程序数据146在此被赋予不同的数字至少是为了示出它们是不同的副本。

计算装置100能够在使用到一个或多个远程计算机的逻辑连接的网络化环境下操作。计算装置100被示出为通过网络接口或适配器170连接到通用网络连接171，该网络接口或适配器170进而连接到系统总线121。在网络化环境下，被描绘为与计算装置100相关的程序模块或其部分或者外围的可以存储在一个或多个其他计算装置的存储器中，所述一个或多个其他计算装置通过通用网络连接171与计算装置100通信地耦接。将理解的是，所显示的网络连接是示例性的，并且也可以使用其他方法建立计算装置之间的通信连接。

如前所述，计算装置100的操作系统134可实现访问控制机制，所述访问控制机制基于与数据相关联的信息（例如更具体地，图1中所示的访问控制列表60）限制对所述数据的特定集的访问。转到图3，访问控制列表60将被更详细的显示，其包括多个访问控制条目260、261和262。最初，如图3中的系统200所示，在现存的访问控制机制和方法论的环境中，通过首先向例如用户10提供利用证书数据保护文件50的选项201，证书数据可以保护例如文件50的数据组。系统200所示的特定的实施例中，保护文件50的选项201能够由应用来提供，例如应用40。因此，在一个实施例中，利用证书数据保护文件的选项能够由与这样的文件相关联的应用来提供。在另一个实施例中，利用证书数据保护文件的选项能由独立的应用提供，例如安全工具应用程序。在另一个实施例中，利用证书数据保护文件的选项可由操作系统134直接提供。

当用户10被提供有利用证书数据保护文件的选项（例如选项201）时，用户10可通过提供其希望利用来限制对相关文件或其他数据组的访问的证书数据以响应该选项。因此，如图3的系统200中所示，用户10能提供包括了用户希望利用其来限制对文件50的访问的证书数据的响应通信211。在一个实施例中，保护文件50的选项201通过用户接口提供给用户10，例如本可以通过图2所示的显示装置191显示给用户的图形用户接口。相类似地，通过图2所示的鼠标181或键盘182而提供用户的响应211，也可通过其他的外围设备，例如指纹读取器、语音分析器、智能卡识别器或其他类似的如图2所示的通过外围接口180连接到计算装置100的外围设备。

当接收到来自用户10的包含在响应211内的证书数据时，接收应用40可以提供这样的证书数据给操作系统134，在将证书数据存储到访问控制列表60中之前，操作系统的组件能够模糊所提供的证书数据。因此，通过系统200所示的示例性的实施例中，所提供的证书数据如行为221所示可以被散列并存储在访问控制列表60中。在另一个实施例中，如前面所指出的，来自用户的响应211可以直接指向操作系统134。例如，操作系统可以实现到用户的安全通信通道，例如通过“安全桌面”或其他类似的用户接口或其中的元件。在这样的实施例中，用户10例如通过通信211对证书数据的提供可以直接指向操作系统134。然后，操作系统134可以像之前一样将所提供的证书数据散列并存储在访问控制列表60中。

更具体地，如本领域技术人员将知晓的，访问控制列表60可以包括单个访问控制条目，例如访问控制条目260、261和262，该访问控制条目可以单独地指定一个或多个准则，根据所述一个或多个准则，可以授权或拒绝对文件50的访问。传统地，访问控制条目，例如访问控制条目261和262，包括了用户列表或用户组，所述用户列表或用户组可以被授权对文件50的特定类型的访问，例如读访问、写访问或执行访问，或者可以被拒绝对文件50的特定类型的访问。

用户10提供的证书数据可以通过例如创建访问控制条目260而被加入到访问控制列表60中，访问控制条目260可以基于包括证书数据的布尔条件来指定对文件50的访问权限。例如，在最简单的情况中，用户10提供的证书数据可以通过创建访问控制条目260而被加入到访问控制列表60中。该访问控制条目260仅指明如果用户提供了证书数据，则任意用户可以被授权访问文件50。可替换地，访问控制条目260可以包括多元素的布尔条件，例如，通过指定只有用户属于预定的用户组且用户提供了证书数据，用户才被允许访问文件50。在这种情况下，不属于预定的用户组的用户甚至可能没有被提供输入证书数据的机会，这样的用户无论如何都不会被允许访问文件50。

本领域技术人员将认识到，证书数据能够与已存在的访问控制要求以众多方式相结合，包括：创建新的访问控制条目，例如访问控制条目260，其只基于证书数据的提供来规定对文件50的某个访问类型；对现有的访问控制条目的修改，例如访问控制条目261和262，其中被那些已存在的访问控制条目所列举的访问要求能够被提供证书数据的要求而进一步地限制；或所述访问控制要求的其他的组合和置换。

在一个实施例中，由于访问控制列表60对于不应当获知证书数据的用户是可访问的，所以在单个访问控制条目（例如访问控制条目260、261和262）中的证书数据可以以模糊形式来指定。因此，例如，如图3中系统200所示，在依赖于此证书数据的访问控制条目的创建或修改之前，用户10通过通信211而提供的证书数据可以被操作系统134，或更具体地，被操作系统提供的机制所散列。这种情况下，依赖于此证书数据的访问控制条目将会不基于证书数据本身，而是基于被模糊的证书数据（例如所获得的散列值）来指定布尔条件。如下面将要进行进一步描述，当校验核实用户是否被授权访问文件50时，相关机制可利用相同的模糊化，例如相同的散列机制，从而将试图访问文件的用户所提供的证书数据模糊。所提供的证书数据的模糊版本可与存储在相关访问控制条目中的证书数据的模糊版本进行比较，以便确定用户是否被允许访问文件。

转到图4，其中所示的系统300图示了示例性的一系列通信和行为，其在如用户310的用户尝试访问如文件50的文件是被执行，所述文件的访问被如访问控制列表60的访问控制列表所控制，所述访问控制表具有至少一个相关的如访问控制条目260的访问控制条目，所述访问控制条目至少部分基于用户310所提供的证书数据。如上所详细描述的，当如用户310的用户登录到计算装置100，或以其他方式将自身识别给计算装置100，操作系统134可以创建用户令牌，例如用户令牌20。出于示出所述机制的一个有用的方面的目的，图4中示例性的系统300描述了不同于前述的用户10的用户310，其可使用用户10的登录信息，并从而可引起计算装置100的操作系统134生成与前述的用户令牌相同的用户令牌20。例如，图4所示的用户310可以是图1和3中所示的用户10的孩子，并可以使用他们的父母的账户去登录计算装置100。相类似地，用户310也可以是不正当地获取对用户10的登录信息的访问的恶意用户，并且已经作为用户10登录到计算装置100。

如本领域技术人员将认识到的，如果在用户10和用户310都登录到计算装置100时生成相同的用户令牌20，现有的访问控制机制，例如由操作系统134所实现的那些，将不能够将两个人类用户10和310区分开，因为对于这样现有的访问控制机制来说，他们看起来是同一用户，即与用户令牌20相关的用户。因此，用户10可能想要限制为只对他们自己的信息，实际上将不会被这样限制。例如，如果用户10已指定文件50只被该用户访问，例如通过在与文件相关联的访问控制类表中提供访问控制条目，该访问控制条目指定仅用户10将被允许访问，则使用与用户10相同的登录证书的用户310将会被允许访问文件50，这是因为用户令牌20将会指明用户310与用户10相同，其中用户令牌20的信息将会同访问控制列表60进行比较以确定是否授权访问文件50。这种情况下，父母例如将不能限制对使用相同的账号的他们的孩子可访问的信息，个人也不能够相对于恶意用户进一步保护特定的数据组，这些恶意用户可能不正当地获得对该个人账户的访问。

然而，至少一个如访问控制条目260的相关访问控制条目的存在能够防止这样的困难，其中所述访问控制条目的访问控制是基于证书数据。例如，如图4的系统300所示，即使用户310作为用户10登录到计算装置100，引起计算设备100的操作系统134生成相同的用户令牌20，但是如果与文件50相关联的访问控制列表60包括至少一个如访问控制条目260的相关访问控制条目，其中所述访问控制条目的访问控制是基于证书数据，则例如由操作系统134实现的访问控制机制仍然能够阻止用户310访问文件50。

更具体地，用户310最初可通过例如使用应用40或其他的与执行计算机可执行指令的有关过程，来尝试访问文件50。因此，如图4中系统300所示，用户310能够执行访问文件行为301，该301行为造成如访问请求311所示的应用40使用操作系统134来请求访问文件50。为响应访问请求311，操作系统134可使用上述的访问校验机制30来验证请求访问的应用40是否与用户令牌20有关，当与访问控制列表60中的信息进行比较，从而将会揭示文件50是否被授权访问。在图4中系统300所示的示例性的实施例中，访问校验机制30所进行的比较行为321可发现用户令牌20并没有包括访问文件50所要求的相关的证书数据，如前面所详细描述的访问控制条目260所指定证书数据。

出于当前说明性的示例的目的，假设访问控制条目261和262包括了与用户令牌20无关的信息，这些信息，例如，可指定与用户令牌20所识别的用户所不同的用户或用户组的访问权利。而作为对比，访问控制条目260可与用户令牌20相关，要么是通过明确地列举用户令牌20所识别的用户，要么是直接地、或通过用户组成员资格、或通过列举所有用户、或相反地不限制可适用的用户。在前一种情况下，访问控制条目260可要求尝试访问文件50的用户为特定的用户或是特定的用户组的成员，还可要求用户能够输入访问控制条目中的证书数据。在后一种情况下，访问控制条目260可仅仅要求用户能够输入证书数据，以及提供正确的证书数据就足够去获取对文件50的访问，而与用户令牌20所识别的特定用户无关。

一旦访问校验机制30确定：如访问控制条目260的有关的访问控制条目为用户令牌20识别的用户而存在；相关访问控制条目要求提供特定证书数据；与尝试访问文件50的应用40相关联的用户令牌20并没有包括特定的证书数据，访问校验机制返回访问拒绝通知331给应用40。访问拒绝通知331可与传统的访问拒绝通知不同，它可进一步通知应用40访问被拒绝是因为要求证书数据且证书数据还没成为用户令牌20的一部分。如那些可以支持执行上述机制的操作系统所提供的接口的兼容应用可以识别特定类型的访问拒绝通知331，还可通过请求341来请求来自用户310的已被要求的证书数据。在一个实施例中，请求341通过应用40或操作系统134的用户接口来提供，如通过图2中所示的显示装置191来显示。

为了响应请求341，用户310可通过通信351来向应用40提供证书数据。如前面所指出的，例如通过通信351的证书数据的提供，可经由传统的用户输入装置来发生，例如图2中所示的鼠标181或键盘182。同样如前面所指出的，例如经由通信351的证书数据的提供，还可通过专门的用户输入装置来发生，例如指纹识别器、语音分析器、智能卡识别器或如图2所示的通过外围接口180连接到计算装置100的装置的其他类似的设备。

用户310通过通信351提供的证书数据可以被最初地接收这个通信的应用40提供给操作系统，用于存储在用户令牌20中。随后，应用40可以发起与访问请求311类似的访问尝试。就如同上面所述的访问请求311的情况，这样的随后的访问请求（为了维持易读性图4中没有示出）能够再一次触发如比较321的比较。该随后的比较（为了维持易读性图4中没有示出）可以揭示用户令牌20现在包括了通过与文件50关联的访问控制列表60有关的访问控制条目260所要求的证书数据。

如前所述，可作为如访问控制条目260的访问控制条目的一部分的证书数据的有关信息可被散列或以其他方式被模糊。因此，在用户310例如经由通信351提供的证书数据和存储在用户令牌20的证书数据之间的比较中，访问校验机制30可以自行散列或以其他方式模糊用户令牌20的证书数据，以为了精确比较用户令牌20的证书数据和访问控制条目260所指定的证书数据。在一个实施例中，操作系统134可使用预定的模糊机制，例如已知的标准化的，散列机制去将如访问控制条目260的访问控制条目中指定的证书数据进行模糊。随后，为了执行精确的比较，访问控制机制30在存储在用户令牌20中的证书数据的模糊中可以使用那些相同的预定的模糊机制。在另一个实施例中，存储在用户令牌20中的证书数据可以已经模糊的形式存储，这样应用在用户令牌20中的证书数据的模糊与应用在如访问控制条目260的访问控制条目中的证书数据的模糊相同。在这样的一个实施例中，访问校验机制30只需要与原始模糊数据比较，例如原始散列值，以确定用户310例如经由通信351提供的证书数据是否匹配与如访问控制条目260的相关的访问控制条目中的证书数据。在又一个实施例中，用户310提供的证书数据可以被操作系统134以一种保护的方式存储在用户令牌20中，这样访问校验机制30可以首先解除证书数据的保护并随后执行上面所述的比较。举个例子，操作系统可以使用，例如，与访问校验机制相关的公钥来加密用户310提供的证书数据，该证书数据能够以加密形式存储在用户令牌20中，这样访问检验机制能够随后使用访问校验机制提供的私钥来解密所加密的证书数据。

在一个实施例中，用户令牌20可包括或可被扩展到包括以公知的所谓“名值对”的形式存储的信息。在这样的一个实施例中，用户310提供的证书数据能够以与合适的“名”相关联的“值”进行存储，例如名“口令”。

一个用户输入证书数据并获取对如文件50的文件的访问，而之后有一个不同的用户使用第一个用户在计算装置100上的会话而不适当地去获取对文件50的访问，为了防止这种情况的可能性，出于安全的目的，存储在用户令牌20中的证书数据可在有限量的时间内保留。例如在一个实施例中，存储在用户令牌20中的证书数据在与对文件50的最初访问的所需要的时间相同的时间内存储。当对文件50的访问传统上只进行一次的时候，这样的实施例可以是有用的。另一种选择，如果频繁的执行对文件50的访问，例如文件50是一个根据用户310的输入而周期性的保存的文字处理应用，只要访问文件50正活跃地被应用40访问，或者只要应用40持续执行，所需要的证书数据可以保留在用户20中。在又一个可选择的实施例中，存储在用户令牌20中的证书数据可以在如计算装置100的计算装置上的用户会话的持续时间内保存。然而在这样的一个实施例中，用户可能记得在授权如用户310的另一个用户的访问之前结束他们的会话。在共享登录的情况下，例如孩子共享父母的账户，跟随着父母的登录的注销可造成证书数据不再存在于用户令牌20，因此，在仍然维持基于证书数据的访问控制的同时，将允许多个个体共享相同的账户，其中只有他们中的一个拥有证书数据。

在还进一步的实施例中，为了适应访问继承，其中孩子对象继承他们父母的访问要求，当对父母对象的访问持续，证书数据可被保留在用户令牌20中。因此，例如，如果用户310要去打开一个文件夹，其中文件夹中的每个文件继承了文件夹的要求，即只有输入了正确的证书数据的用户才能被授权访问，则这样的证书数据可保持与用户令牌20在一起直到文件夹被关闭，以避免每次用户打开该文件夹中的任何文件时，都提示用户提供证书数据。

在一个实施例中，对用户令牌20中的证书数据的保留的时间限制能够由操作系统134来施行。在这样一个实施例中，提供证书数据给操作系统134以保留在用户令牌20的应用，如应用40，可被要求对操作系统指明所提供的证书数据要被保留在用户令牌中的时间的长度。可替换地，例如通过观测应用40执行的行动，只要操作系统134认为需要，操作系统134就可以简单地在用户令牌20中保留所提供的证书数据。在一个可替换的实施例中，提供证书数据给操作系统134的应用可施行对保留证书数据和用户令牌20的时间限制，例如应用40。在这样的实施例中，应用，例如应用40，可在最好的位置知晓什么时候不再要求证书数据并可以从用户令牌20中删除证书数据。

提供证书数据给操作系统134以用于保留在用户令牌20中的应用可例如通过将证书数据和当证书数据被提供用于加入用户令牌20的时间关联起来，而进一步地对所提供的证书数据“印时戳”。这样的时戳既可以被操作系统134参考，也可以被如应用40的应用来参考，以确定时间限制是否已经超期以及证书数据是否应被丢弃或不再使用。

为了更加安全，尽管就用户310而言，可能会产生低效率，但用户提供的证书数据可保留在用户令牌20中仅足够长到实现与证书数据的提供相关联的访问请求。在这样的实施例中，每一个随后的访问可造成请求用户重新输入证书数据，而不管与访问之间的中断的持续时间。

转到图5，其中示出的流程图400示出了示例性的一系列步骤，这些步骤可以被操作系统134执行，以及，更具体地，被访问校验机制30或其他的有关联机制执行。首先，在步骤410，访问请求被例如操作系统134所接收，其可以触发后续的步骤。之后，在步骤420，步骤410中的访问请求所指向的对象，例如在之前的图中所示的文件50的访问策略被引用。如前所指出的，这样的访问策略可以是访问控制列表的形式，例如访问控制列表60，其包括了一个或多个的访问控制条目，如访问控制条目260、261和262，每一个访问控制条目在前面的附图中显示并在上文描述。

在步骤430中，基于被请求的对象的访问策略与进行步骤410的访问请求所代表的用户的用户令牌之间的比较来确定，用户令牌中所识别的用户是否与被请求对象的访问策略所列举的任何用户相同或存在于所列举的任何用户组中。如前面所述，例如那些只要求提供证书数据的一些访问控制条目对于特定用户或用户组可以要么隐含地、要么明确地是不受约束的。在这样的情况下，那些访问控制条目被认为满足了步骤430的校验。如果发现没有访问控制条目满足步骤430的校验，那么处理过程转到步骤480，此时，在步骤410中请求该访问的计算机可执行指令被通知访问被拒绝。

另一方面，如果在步骤430所确定的，至少一个访问控制条目与用户令牌所识别的用户相关，则在步骤440进行进一步的确定。更具体地，步骤440中的确定能够识别，对于用户令牌所识别的用户，是否要求证书数据访问步骤410中所请求访问的对象。如果在步骤440确定没有要求这样的证书数据，那么处理进行至步骤470，此时在步骤410中请求访问的计算机可执行指令被授权访问。但是如果在步骤440中确定要求该证书数据，那么处理可以进行至步骤450，此时所要求的证书数据可以与用户令牌中存在的任何证书数据作比较。如果在步骤450中确定所要求的证书数据事实上是用户令牌中的一部分，那么处理可以再进行至步骤470，其中对所要求的对象的访问可以被授权。

但是，如果步骤450中确定用户令牌并没有包括所要求的证书数据，那么处理可以进行步骤460，此时在步骤410中请求该访问的计算机可执行指令将被通知访问将被拒绝。除此之外，如前面所描述的，步骤460中的通知可以进一步向请求访问的计算机可执行指令指明要求证书数据。如上所述，且将参考图6中的流程图500所示，这样的计算机可执行指令可以使用在步骤460中提供的通知中的证书数据请求的方面去请求来自用户的证书数据，并再一次尝试访问。

转到图6，其中所示的流程图500示出了示例性的一系列步骤，这些步骤可以被试图访问数据的计算机可执行指令执行，所述步骤与上面描述的基于证书数据的提供的访问控制机制兼容。最初，在步骤510，发起访问请求。这样的访问请可以与图5所示的流程图400中的步骤410中所接收的访问请求相同。随后，在步骤520中确定访问是否被授权。如果在步骤520中确定了访问被授权，比如本要在图5示出的流程图400中的步骤470中所发生的，那么处理可以在步骤570中进行对访问请求510中所指向的的对象的访问。但是，如果，在步骤520中确定访问没有被授权，那么处理可以进行至步骤530。在步骤520既可以基于访问被拒绝，而确定访问没有被授权，就像图5的流程图400中的步骤480的部分所作出的拒绝，也可以基于如图5的流程图400中的步骤460的部分所指出的那样，因为缺少合适的证书数据而确定访问没有被授权。

在步骤520中，如果确定访问没有被授权，处理可以进行至步骤530，此时确定证书数据是否被要求，就如同，例如图5的流程图400中步骤460中的部分所指出的那样。如果在步骤530中，确定不要求证书数据，那么在步骤560中，将如同图5的流程图400中的步骤480中的部分所作出的拒绝访问传送给用户，或其他合适的访问发起过程。可替换地，如果在步骤530中，确定要求证书数据，那么处理可以进行至步骤540，其中，将会要求用户或其他的合适的访问发起过程的此证书数据。在步骤550中，为了响应步骤540中的请求，不管提供什么样的证书数据，随后都可被存储在用户令牌中。更具体地，如同本领域技术人员所知道的，在步骤550中，所接收的证书数据可以进而被提供给操作系统、或其他相关的过程以便在用户令牌中存储证书数据。随后，处理可以返回到步骤510，此时另一个访问请求可被发起。

如果响应于步骤540提供的且在步骤550中被存储在用户令牌中的证书数据适用于正在被访问的对象，那么在步骤510中的后续访问请求将造成访问被授权，如步骤520中所确定的那样，并因此使访问能够进行，如步骤570所示。

从上面说明书中可以看出，已经列举了用于将现有访问控制扩展为至少部分基于证书数据来提供访问控制的访问机制。鉴于对在此描述的主题的许多可能的变体，我们把所有可以落入下面的权利要求及其等价物的范围内的实施例作为我们的发明要求保护。

Claims

1. 一个或多个包括用于控制访问数据组的计算机可执行指令的计算机可读介质，所述数据组与访问控制列表相关联，所述访问控制列表包括一个或多个访问控制条目，所述计算机可执行指令执行的步骤包括：

从访问计算机可执行指令接收访问所述数据组的请求；

在所述一个或多个访问控制条目中搜索与用户有关的一个或多个访问控制条目，所述用户通过与所述访问计算机可执行指令相关联的用户令牌识别；

如果所述与所述用户有关的一个或多个访问控制条目指定了证书数据，那么将与所述用户令牌相关联的证书数据，同所述与所述用户有关的一个或多个访问控制条目所指定的证书数据进行比较；以及

如果所述比较显示，与所述用户令牌相关联的所述证书数据不同于与所述用户有关的所述一个或多个访问控制条目所指定的所述证书数据，则拒绝所述请求，并将访问所述数据组所要求的所述证书数据通知所述访问计算机可执行指令。

2. 如权利要求1中所述的计算机可读介质，其中用于比较的所述计算机可执行指令包括用于使用模糊机制来使与所述用户令牌相关联的所述证书数据模糊的计算机可执行指令，所述模糊机制等同于用来模糊与所述用户有关的所述一个或多个访问控制条目所指定的所述证书数据的模糊机制。

3. 如权利要求1中所述的计算机可读介质，其中用于比较的所述计算机可执行指令包括用于解密与所述用户令牌相关联的所述证书数据的计算机可执行指令。

4. 如权利要求1中所述的计算机可读介质，其中与所述用户有关的所述一个或多个访问控制条目包括布尔条件语句，所述布尔条件语句包括至少一个对所述证据数据的条件引用。

5. 权利要求1中所述的计算机可读介质，进一步包括执行以下步骤的计算机可执行指令，包括：接收所述证书数据并生成与所述用户有关的一个或多个访问控制条目中的至少一个，以便在访问所述数据组的所述请求被接收时，如果所接收的证书数据与关联于所述访问计算机可执行指令的所述用户令牌相关联，则指定授权对所述数据组的访问。

6. 如权利要求5中所述的计算机可读介质，其中用于生成所述一个或多个访问控制条目中的至少一个的所述计算机可执行指令包括用于在所生成的所述一个或多个访问控制条目中的至少一个中列举用户组的计算机可执行指令，以使得所生成的所述一个或多个访问控制条目中的至少一个指定了，如果所接收的证书数据与关联于所述访问计算机可执行指令的所述用户令牌相关联、且与所述访问计算机可执行指令相关联的所述用户指令所识别的用户在所列举的用户组中，那么对所述数据组的访问被授权。

7. 一种访问与访问控制列表相关联的数据组的方法，所述访问控制列表包括一个或多个访问控制条目，所述方法包括以下步骤：

请求访问所述数据组；

在所述一个或多个访问控制条目中搜索与用户有关的一个或多个访问控制条目，所述用户通过与所述访问请求相关联的用户令牌被识别；

如果所述比较显示，与所述用户令牌相关联的所述证书数据不同于与所述用户有关的所述一个或多个访问控制条目所指定的所述证书数据，则生成访问拒绝通知，其中包括了要求证书数据以访问所述数据组的指示；

响应于所接收的所述拒绝访问的通知，请求所述证书数据；

响应于请求所述证书数据，接收收到的证书数据；

在时间有限的时间量内，将所接收的证书数据与所述用户令牌相关联；

在后续时间内，请求访问所述数据组；

其中在所述时间有限的时间量只能长至使得与所请求的访问和后续请求的访问相关联的访问能够进行。

8. 如权利要求7中所述的方法，其中所述比较包括使用模糊机制将与所述用户令牌相关联的所述证书数据模糊，所述模糊机制等同于用来模糊与所述用户有关的一个或多个所述访问控制条目所指定的所述证书数据的模糊机制。

9. 如权利要求7中所述的方法，其中与所述用户有关的所述一个或多个访问控制条目包括布尔条件语句，所述布尔条件语句包括至少一个所述证据数据的条件引用。

10. 如权利要求7中所述的方法，进一步包括以下步骤：首先接收初始证书数据；并生成与所述用户有关的一个或多个访问控制条目中的至少一个，以便当发生访问请求时，如果所述初始证书数据与关联于所述访问请求的所述用户令牌相关联，便指定授权对所述数据组的访问。

11. 如权利要求7中所述的方法，其中通过所述时间有限的时间量实现的访问包括指向所述数据组中的一个或多个孩子对象的访问。

12. 如权利要求7中所述的方法，其中通过所述时间有限的时间量实现的访问只包含了后续请求的访问。