CN102972005A

CN102972005A - 交付认证方法

Info

Publication number: CN102972005A
Application number: CN2011800322828A
Authority: CN
Inventors: 小谷诚刚; 松口正昭
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2010-06-28
Filing date: 2011-05-17
Publication date: 2013-03-13
Anticipated expiration: 2031-05-17
Also published as: JP5598604B2; US20110321134A1; JP2013533552A; WO2012001475A8; WO2012001475A1; US9467448B2; EP2585967A1; CN102972005B

Abstract

一种用于在与实现基于策略的管理的网络相关联的信任体系中处于公共信任级别的客户端之间共享内容的方法，所述方法包括以下步骤：在信任体系中处于第一信任级别的第二客户端处从处于第一信任级别的第一客户端接收完整性信息；请求许可从第一客户端接收电子内容；接收关于所请求的许可的判定；并且将该判定传送至第一客户端。第一客户端已从网络中的策略执行点获得了内容。针对许可的请求是向策略执行点发出的，并且该请求包括完整性信息。所述判定是从策略执行点接收的，并且部分地基于与第一客户端有关的完整性信息。第二客户端向第一客户端传送第二客户端是否可从第一客户端接收内容的判定。

Description

交付认证方法

技术领域

本发明总体上涉及分布式通信网络中的交付认证（consigning authentication）方法，更具体地涉及一种用于在信任体系中处于相同信任级别的实体之间共享内容的方法和系统。

背景技术

分布式通信网络包括从专有内部网到不安全的因特网的很大范围的系统。在任何通信网络中，电子内容都从该网络中的一个点流到另一个点。在本文中，电子内容可以包括电子文档、可执行文件、数据文件等。在某些通信网络中，对电子内容的访问可能被限制和/或限于特定的用户和/或客户端。目前存在若干种方法来验证尝试获得对电子内容的访问的用户的身份，例如，用户名和密码组合、公钥/私钥组合和/或生物特征测量技术。在某些网络中，中央服务器会在将电子内容分配至请求用户和/或客户端之前采用这些方法。

然而，无论验证方案有多健壮，一旦电子内容传到用户，中央服务器就无法控制进一步的分发。随着越来越多的电子内容被远程地存储，并且通过各种服务来访问数据变得越来越重要，保护对内容的访问就相应地变得重要。用于在内容递送离开服务器之后对其进行检查、授权、追踪和/或跟踪的方法和系统被证明越来越有价值。

发明内容

本公开提供了一种用于分配电子内容的方法和系统，其基本消除或减小了至少某些与现有的方法和系统相关的缺点和问题。

根据一种实施方式，一种用于在与实现基于策略的管理的网络相关联的信任体系中处于公共信任级别的客户端之间共享电子内容的方法，所述方法可以包括以下步骤：接收要递送电子内容的第一请求；许可该递送；递送电子内容；接收要允许接收电子内容的第二请求；判定是否允许第二请求；以及传送该判定。可以从在信任体系中处于第一信任级别的第一客户端接收第一请求。准许向第一客户端递送电子内容可以发生在网络中的策略执行点处，并且可以至少部分地基于信任体系中的第一级别。电子内容可以被递送至第一客户端。可以从信任体系中处于第一信任级别的第二客户端接收第二请求。第二请求可以是要允许从第一客户端接收电子内容，并且可以包括关于第一客户端的完整性信息。可以至少部分地基于关于第一客户端的完整性信息来判定是否允许第二客户端从第一客户端接收电子内容。向第二客户端的传送可以包括对于第二客户端是否可以从第一客户端接收电子内容的判定。

根据另一实施方式，一种用于在与实现基于策略的管理的网络相关联的信任体系中处于公共信任级别的客户端之间共享内容的方法，所述方法可以包括：在信任体系中处于第一信任级别的第二客户端处从处于第一信任级别的第一客户端接收完整性信息；请求许可从第一客户端接收电子内容；接收关于所请求的许可的判定；并且将该判定传送至第一客户端。第一客户端可能已从网络中的策略执行点获得了内容。可以向策略执行点发出针对许可的请求，并且该请求可包括关于第一客户端的完整性信息。判定可以从策略执行点接收，并且可以至少部分地基于与第一客户端有关的完整性信息。第二客户端可以向第一客户端传送对于第二客户端是否可以从第一客户端接收内容的判定。

根据另一实施方式，一种用于在信任体系中处于公共信任级别的客户端之间共享电子内容并且实现了基于策略的管理的的网络系统，所述网络系统可以包括：多个客户端；存储单元；策略执行点；以及策略判定点。多个客户端在信任体系中可以具有各自的信任级别。存储单元可以被配置为向多个客户端递送电子内容。策略执行点可以与存储单元和多个客户端中的第一客户端进行电子通信。策略执行点可以被配置为从多个客户端中的第一客户端接收要递送来自存储单元的电子内容的第一请求。策略决定点可以与策略执行点进行电子通信。策略决定点可以被配置为访问多个客户端中的第一客户端，包括至少访问多个客户端中的第一客户端的信任级别，并被配置为准许策略执行点将内容从存储单元递送至多个客户端中的第一客户端。策略执行点还可以被配置为从多个客户端中的第二客户端接收要允许从多个客户端中的第一客户端接收电子内容的第二请求。第二请求至少可以包括与多个客户端中的第一客户端相关的完整性信息。策略决定点还被配置为至少部分地基于与多个客户端中的第一客户端相关的完整性信息对是否允许多个客户端中的第二客户端从多个客户端中的第一客户端接收电子内容做出基于策略的判定。

本公开的特定实施方式的技术优点包括提供了允许在客户端之间直接递送电子内容而无需将两个客户端都连接至服务器的方法。这些方法可以包括基于各客户端的特征来检查并且/或者授权传送。这些方法可以包括在电子内容已经从服务器发出之后追踪和/或跟踪电子内容的传送。根据附图、描述和权利要求，其它技术优点对于本领域技术人员将是明显的。此外，在以上已经列举了特定的优点的同时，各种实施方式可以包括所有的、某些的所列举的优点，或者不包括所列举的优点。

附图说明

为了完整地理解本发明及其优点，下面将结合附图进行描述，在附图中：

图1示出了根据本公开的教导的包括客户端和服务器的示例性通信网络；

图2示出了根据本公开的教导的包括信息流和电子内容流的示例性通信网络；

图3示出了根据本公开的教导的包括信息流和电子内容流的示例性通信网络；

图4例示了根据本公开的特定实施方式的用于在通信网络中的客户端之间共享内容的示例性方法的流程图；

图5例示了根据本公开的特定实施方式的用于在通信网络中的客户端之间共享内容的示例性方法的流程图；

图6例示了根据本公开的特定实施方式的用于在通信网络中的客户端之间共享内容的示例性方法的流程图；

图7例示了根据本公开的特定实施方式的用于在通信网络中的客户端之间共享内容的示例性方法的流程图。

具体实施方式

通过参照图1至图7可以最佳地理解优选的实施方式及其优点，其中，相同的标号用于指示相同的和对应的部件。图1示出了根据本公开的教导的示例性通信网络1的简化的表示。通信网络1可以包括网络10、服务器12、存储单元14以及客户端16和18。客户端16和18可以包括多种用户，他们请求访问可由服务器12访问并且/或者存储在存储单元14中的电子内容。

为了本公开的目的，“电子内容”或“内容”可以包括任何文件、目标代码、可执行代码、数据记录或通信网络的客户端希望访问的任何其它电子地记录的数据结构。说明性示例可以包括文本文件、电子表格、电子邮件、医疗记录、图像和其它电子数据，以及网页、专用网络、文字处理程序、文件管理系统以及其它程序。此外，“客户端”可以表示作为终端用户的人或者由这种人使用的用于访问通信网络的装置，例如，个人计算机、一体机或者移动计算装置。

如图所示，网络10可以包括能够发送音频和/或视频通信信号、数据和/或消息的任何网络。某些示例可以包括全部的或部分的无线接入网络、公共交换电话网（PSTN）、公共或专用数据网络、局域网（LAN）、城域网（MAN）、广域网（WAN）、局域的、地区的或全球的通信或计算机网络，例如，因特网、有线或无线网络、企业内部网或者以上各项的任何组合。

工作时，网络10可以利用任何适合的通信协议在连接至网络10的组件之间提供连接。为了促进所描述的通信性能，网络10可以包括路由器、集线器、交换机、网关、呼叫控制器和/或任何合适的形式或配置的任何其他适合的组件。此外，网络10可以包括被配置为对以包、单元、帧、片段或其他数据部分的形式的信息进行递送的任何硬件和/或软件。尽管网络10被例示为单个网络，但是通信网络10可以包括任何数目或配置的网络。此外，通信网络1的特定实施方式可以包括任何数目或配置的网络10。

在某些实施方式中，网络10可以包括虚拟专网（VPN）。VPN在开放的和/或公共的网络上提供增强的安全性。通常，VPN隔离并且/或者封装数据递送，使得数据可以保持与共享中间网络（例如，LAN或WAN）的其他装置的隐私性和/或安全性。工作时，VPN可以许可多个客户端16、18与服务器12交互，就好像进行了直接地和/或专门地连接。

客户端16和18可以表示硬件、软件和/或向用户提供通信服务的编码的逻辑的任何适合的组合。此外，客户端16、18可以表示信息亭；电话；无线电话；个人数字助理（PDA）；计算机运行电话、电子邮件或其他形式的消息和/或通信软件；或利用实体通信网络1支持语音、视频、文字或其他数据形式的通信的任何其它通信硬件、软件和/或编码的逻辑。服务器12可以表示管理安全策略和认证属性的受信任的专用服务器。服务器12可以包含这样的数据库，即，该数据库含有对在准许客户端16、18访问存储单元14的资源（例如，电子内容）之前必须满足的一组属性值进行限定的若干策略。服务器12可以从对与客户端16、18相关的一个或更多个属性进行识别的客户端16、18接收属性报告。在认证了这些属性之后，服务器12可以向存储单元14通知存储单元14是否应当将所请求的服务提供至客户端16、18。也可以将这种属性报告和认证的应用称为“基于策略的管理”。在某些实施方式中，服务器12和/或相关的PDP可以至少基于客户端16、18所特有的上下文数据做出该判定。上下文数据可以包括代表客户端16、18的数据，例如物理位置（如IP地址）、安装在请求机器上的特定软件（例如，严格的杀毒软件）、生物特征标识符、或者客户端16、18的任何其它适合的环境属性。

在某些实施方式中，服务器12所考虑的属性可以包括信任级别，信任级别指示客户端16、18在信任体系中的相对可信度。“信任体系”可以表示保护网络资源的数据和功能以防止故障和恶意行为的保护方案。信任体系的一个示例可以被称为“保护环”。在信任体系中，服务器12可以根据分配至客户端16、18各自的信任级别来提供对客户端16、18的不同级别的访问。例如，较高的信任级别可以许可更多地访问电子内容，并且/或者许可对通信网络1的电子内容和/或组件进行上传、编辑和/或控制的特权。在策略判定点（PDP）服务器12可以评估并且/或者做出是否许可客户端16、18访问的特定电子内容的判定。服务器12可以包括策略执行点（PEP），其接收客户端的访问请求，并且强制执行由PDP做出的任何判定。

存储单元14可以包括硬件和软件的任何组合，包括控制逻辑，用于向客户端16、18提供对一个或更多个电子内容的访问。例如，存储单元14可以包括例如医疗记录的文档的集中资源库。作为另一示例，存储单元14可以表示应用服务提供器，其提供通过网络对特定应用、软件或其它媒体的访问。这些应用、软件或媒体可以包括文档阅读器、网络浏览器或文档编辑软件等。作为另一示例，存储单元14可以与在线联网网站或电子邮件供应方联系在一起。

为了清楚地描述，图1将服务器12和存储单元14描绘为单独的组件。在某些实施方式中，服务器12和存储单元14可以包括存储在计算机可读介质中的并且可以由与一个或更多个计算机和/或服务器相关的一个或更多个处理器执行的单独的软件程序。然而，服务器12和存储单元14也可以包括硬编码到计算机可读介质中的更大的软件程序的组件或子程序和/或被配置为执行期望的功能的任何硬件或软件模块。

图2示出了根据本公开的教导的包括信息和电子内容的流的通信网络2的示例。通信网络2可以包括服务器20、客户端30和网络连接40。服务器20可以包括策略判定点（PDP）22和策略执行点（PEP）23。

服务器20可以包括被配置为向一个或更多个客户端30提供服务的通信网络2的任何装置、特征和/或组件。例如，服务器20可以与一个或更多个客户端30进行通信，存储电子内容，并且/或者向一个或更多个客户端30分配电子内容。服务器20可以包括硬件和/或软件的任何组合（例如，处理器、存储器和/或其他计算资源）。

PDP22可以包括服务器20的被配置为对是否许可客户端30访问特定电子内容进行评估并且/或者做出判定的任何装置、特征和/或组件。PDP22可以向客户端30应用一组预定的标准以对判定进行评估。PDP22可以包括硬件和/或软件的任何组合。

PEP23可以包括被配置为接收客户端30的访问请求并且强制执行由PDP做出的任何判定的服务器20的任何装置、特征和/或组件。PEP23可以包括硬件和/或软件的任何组合。例如，如图2所示，PEP23可以包括防火墙24、VPN26和/或节点28。

防火墙24可以包括被配置为阻挡非法访问并许可授权通信和/或访问的服务器20的任何装置、组件和/或特征。防火墙24可以应用任何适合的规则和/或标准的集合来实现授权方案。防火墙24可以实现为硬件、软件和/或二者的组合。例如，防火墙24可以防止因特网的非法用户访问连接至因特网的专用网络。在某些实施方式中，防火墙24可以应用由PDP22做出的判定。

节点28可以包括被配置为在服务器20和一个或更多个客户端30之间提供连接的PEP23的任何装置、组件和/或特征。节点28可以被配置为在服务器20和一个或更多个客户端30之间发送、接收并且/或者转发数据。例如，节点28可以包括调制解调器、集线器、网桥、交换机、主计算机、WLAN接入点等。节点28可以被配置为通过网络连接40与一个或更多个客户端30进行通信。

客户端30可以是硬件、软件和/或向用户提供通信服务的编码逻辑的任何适合组合。例如，客户端30可以包括信息亭、电话、蜂窝电话、个人数字助理（PDA）、计算机运行电话、电子邮件或其他形式的消息和/或通信软件，或利用通信网络2支持语音、视频、文字或其他数据形式的通信的任何其它通信硬件、软件和/或编码的逻辑。在某些实施方式中，客户端30可以包括台式计算机、膝上型计算机、笔记本计算机和/或终端。

工作时，第一客户端30a可以请求、购买和/或接收直接来自服务器20的电子内容的递送，如箭头42处所示。第二客户端30b可能需要和/或想要之前递送至第一客户端30a的相同的电子内容。一旦第一客户端30a接收到所请求的电子内容，就可以更便宜、更快并且/或者另外更好地直接从第一客户端30a将所请求的电子内容分配至第二客户端30b，而无需直接从服务器20再发送所请求的电子内容。然而，许可在各种客户端30之间递送所请求的电子内容会降低电子内容的安全性，许可侵犯版权和/或非法地访问电子内容，并且/或者对电子内容的完整性做出妥协。可以利用本公开所教导的方法和系统来检查、授权、跟踪和/或追踪所请求的电子内容的直接递送。

如图2所示，第二客户端30b可以从客户端30a请求电子内容，如箭头44所示。可能要求第一客户端30a从服务器20接收将所请求的电子内容发送至第二客户端30b的许可。第一客户端30a可以向PEP23发送包括与第一客户端30a、第二客户端30b或这两者相关的相关信息的请求。PDP22可以判定是否许可第一客户端30a将所请求的电子内容递送至第二客户端30b。PDP22可以考虑与第二客户端30b相关的各种信息（例如，完整性信息、信任级别等）。如果PDP22判定许可第一客户端30a将电子内容直接递送至第二客户端30b，则PEP23可以将该许可递送至第一客户端30a。第一客户端30a于是可以向第二客户端30b递送所请求的电子内容。

在实现本公开的教导的另一实施方式中，第三客户端30c可以从第二客户端30b请求电子内容，箭头46处进行通信。第二客户端30b可以如箭头47所示地请求来自PEP23的许可，包括与第一客户端30a、第二客户端30b、第三客户端30c或这三者的任意组合相关的相关信息。PDP22可以判定是否许可第二客户端30b将所请求的电子内容递送至第三客户端30c。PDP22可以考虑与第三客户端30c相关的各种信息（例如，完整性信息、信任级别等）。如果PDP22判定许可第二客户端30b将电子内容直接递送至第三客户端30c，则PEP23可以将该许可递送至第二客户端30b。第二客户端30b于是可以向第三客户端30c递送所请求的电子内容。针对客户端30的数目可以根据情况整个地或部分地重复该方法。

第一客户端30a可以在此处所述的处理中的任意点处获得并且/或者验证与第二客户端30b相关的完整性信息。在一种示例性实施方式中，第一客户端30a可以在传递和/或递送任何电子内容和/或其他数据之前获得并且/或者验证与第二客户端30b相关的完整性信息。第一客户端30a可以保留所获得的和/或经验证的任何完整性信息的记录。可以通过包括时间戳、针对第一客户端30a和/或30b的标识符等来标识完整性信息。第一客户端30a和/或服务器20可以为了多种目的来参照完整性信息。例如，服务器20可以请求第一客户端30a验证第二客户端30b是电子内容的合适接收者，可以编制已接收到电子内容的所有客户端30的列表。

图3示出了根据本公开的教导在通信网络2中的另一示例性流。第二客户端30b可以如箭头48所示地从服务器20的PEP23请求电子内容。服务器20的PDP22可以授予第二客户端30b直接从第一客户端30a而不是从服务器20接收所请求的电子内容的许可。在46处发送的请求可以包括与第一客户端30a、第二客户端30b或这两者相关的各种数据。PDP22可以判定是否许可第一客户端30a将所请求的电子内容递送至第二客户端30b。PDP22可以考虑与第二客户端30b相关的各种信息（例如，完整性信息、信任级别等）。如果PDP22判定许可第一客户端30a将电子内容直接递送至第二客户端30b，则PEP23可以将该许可递送至第一客户端30a。第一客户端30a于是可以向第二客户端30b递送所请求的电子内容。

在图2和图3所示的方案中，PDP22可以使用任何合适的逻辑、算法和/或程序来做出与所请求的电子内容在客户端30a和30b之间的直接传输相关的判定。PDP22可以考虑代表客户端30a和30b的数据，例如与实体的联系（例如，客户）、物理位置（例如，IP地址）、安装在请求机器上的特定软件（例如，所需的杀毒软件）、生物特征标识或者客户端30的任何其他合适的属性。在箭头44和/或46处发送的请求可以包括与第一客户端30a、第二客户端30b或这两者相关的任何或所有数据。在某些实施方式中，可以向第一客户端30a和第二客户端30b分配在PDP22所使用的信任体系中的相同信任级别。

图4例示了根据本公开的特定实施方式的用于在通信网络2中的客户端30之间共享内容的示例性方法50的流程图。可以由服务器20、与服务器20关联的PEP23、与服务器20关联的PDP22和/或通信网络2的另一组件、装置和/或特征来执行方法50。在以下部分中，方法50可以被描述为似乎由与服务器20关联的PEP23和/或PDP22所执行，但是该描述不限制本公开的教导的应用。

在步骤52，PEP23可以从第一客户端30a接收将电子内容递送至第一客户端30a的第一请求。PEP23可以通过VPN、因特网、电子邮件和/或与第一客户端30a的任何其他合适的通信链路来接收第一请求。

在步骤54，PDP22可以至少部分地根据与第一客户端30a关联的信任级别来判定是否同意向第一客户端30a递送电子内容。如上所述，通信网络2可以包括向客户端30、内部用户和/或通信网络2的其他组件和/或用户分配各种信任级别的基于信任的体系。如果PDP22判定第一客户端30a没有被许可，则方法50可以结束。

在步骤56，PEP23可以基于由PDP22授予的许可将电子内容递送至第一客户端30a。可以由任何合适的方法来递送电子内容。

在步骤58，PEP23可以从第一客户端30a接收第二请求，其请求许可将电子内容直接从第一客户端30a递送至第二客户端30b。第二请求可以包括与第一客户端30a、第二客户端30b或这两者相关的任何合适的和/或所需的数据。如上所述，这种数据可以包括各客户端的信任级别、与任一客户端或两者相关的完整性信息等。

在步骤60，PDP22可以判定是否授予第一客户端30a将所请求的电子内容直接递送至第二客户端30b的许可。该判定可以至少部分地基于包括在第二请求中的数据。例如，PDP22可以至少部分地基于第二客户端30b的信任级别和/或与第二客户端30b相关的完整性信息来进行该判定。如果PDP22判定第二请求没有被同意，则方法50可以结束。

在步骤62，PEP23可以告知第一客户端30a已经准许第一客户端30a向第二客户端30b递送所请求的电子内容。同时，PEP23和/或PDP22可以将一种或更多种条件强加在所请求的电子内容的递送上。例如，可以限制第二客户端30b对电子内容的使用。作为另一示例，第二客户端30b可以被准许以特定的和/或有限的次数来访问电子内容。作为另一示例，第二客户端30b可以被准许仅在预定的时段访问所请求的电子内容。作为另一示例，第二客户端30b可以被限制和/或禁止将所请求的电子内容递送至其他客户端。

图5例示了根据本公开的特定实施方式的用于在通信网络2中的客户端30之间共享内容的示例性方法70。可以由客户端30、服务器20和/或通信网络2的另一组件、装置和/或特征来执行方法70。在以下部分中，方法70可以被描述为似乎由与通信网络2关联的第一客户端30a所执行，但是该描述不限制本公开的教导的应用。

在步骤72，第一客户端30a可以向与服务器20相关联的PEP23发出向第一客户端30a递送电子内容的第一请求。第一客户端30a可以通过VPN、因特网、电子邮件和/或与PEP23的任何其他合适的通信链路来接收第一请求。第一请求可以包括与第一客户端30a相关的任何合适的和/或所需的数据。如上所述，数据可以包括第一客户端30a的信任级别、与第一客户端30a相关的完整性信息等。

在步骤74，第一客户端30a可以从PEP23和/或服务器20接收所请求的电子内容。可以由任何合适的方法和/或系统来递送所请求的电子内容。

在步骤76，第一客户端30a可以从第二客户端30b接收第二请求，其请求从第一客户端30a直接递送电子内容。第二请求可以包括与第二客户端30b相关的任何合适的和/或所需的数据。如上所述，该数据可以包括第二客户端30b的信任级别、与第二客户端30b相关的完整性信息等。

在步骤78，第一客户端30a可以将第二请求递送至与服务器20相关联的PEP23。第一客户端30a可以向第二请求中添加信息。例如，第二请求可以包括与第一客户端30a相关的任何合适的和/或所需的数据。如上所述，该数据可以包括第一客户端30a的信任级别、与第一客户端30a相关的完整性信息等。

在步骤80，第一客户端30a可以从PEP23接收与第二请求相关的判定。如果该判定是否定的，则方法70可以结束。如果该判定是肯定的，则方法70可以行进至步骤82。

在步骤82，第一客户端30a可以将所请求的电子内容递送至第二客户端30b。可以由任何合适的方法和/或系统来递送所请求的电子内容。同时，PEP23和/或PDP22可以在所请求的电子内容的递送上强加一个或更多个条件。例如，可以限制第二客户端30b对电子内容的使用。作为另一示例，第二客户端30b可以被准许以特定的和/或有限的次数来访问电子内容。作为另一示例，第二客户端30b可以被准许仅在预定的时段访问所请求的电子内容。作为另一示例，第二客户端30b可以被限制和/或禁止将所请求的电子内容递送至其他客户端。

图6例示了根据本公开的特定实施方式的用于在通信网络2中的客户端30之间共享内容的示例性方法90。可以由服务器20、与服务器20关联的PEP23、与服务器20关联的PDP22和/或通信网络2的另一组件、装置和/或特征来执行方法90。在以下部分中，方法90可以被描述为似乎由与服务器20关联的PEP23和/或PDP22所执行，但是该描述不限制本公开的教导的应用。

在步骤92，PEP23可以从第一客户端30a接收将电子内容递送至第一客户端30a的第一请求。PEP23可以通过VPN、因特网、电子邮件和/或与第一客户端30a的任何其他合适的通信链路来接收第一请求。

在步骤94，PDP22可以至少部分地根据与第一客户端30a关联的信任级别来判定是否同意向第一客户端30a递送电子内容。如上所述，通信网络2可以包括向客户端30、内部用户和/或通信网络2的其他组件和/或用户分配各种信任级别的基于信任的体系。如果PDP22判定第一客户端30a没有被同意，则方法50可以结束。

在步骤96，PEP23可以基于由PDP22授予的许可将电子内容递送至第一客户端30a。可以由任何合适的方法来递送电子内容。

在步骤98，PEP23可以从第二客户端30b接收第二请求，其请求许可直接从第一客户端30a接收电子内容。第二请求可以包括与第一客户端30a、第二客户端30b或这两者相关的任何合适的和/或所需的数据。如上所述，这种数据可以包括各客户端的信任级别、与任一客户端或两者相关的完整性信息等。

在步骤100，PDP22可以判定是否准许第二客户端30b直接从第一客户端30a接收所请求的电子内容。该判定可以至少部分地基于包括在第二请求中的数据。例如，PDP22可以至少部分地基于第一客户端30a的信任级别、第二客户端30b的信任级别和/或与客户端30a或30b中之一相关的完整性信息来进行该判定。如果PDP22判定第二请求没有被同意，则方法90可以行进至步骤104。

在步骤102，PEP23可以告知第二客户端30b已允许第二客户端30b从第一客户端30a接收所请求的电子内容。同时，PEP23和/或PDP22可以在所请求的电子内容的递送上强加一个或更多个条件。例如，可以限制第二客户端30b对电子内容的使用。作为另一示例，第二客户端30b可以被准许以特定的和/或有限的次数来访问电子内容。作为另一示例，第二客户端30b可以被准许仅在预定的时段访问所请求的电子内容。作为另一示例，第二客户端30b可以被限制和/或禁止将所请求的电子内容递送至其他客户端。

在步骤104，PEP23可以告知第二客户端30b不允许直接从第一客户端30a接收电子内容。该拒绝可以包括针对所请求的电子内容的递送的另选源。例如，PEP23可以建议另选源，并且/或者建议第二客户端30b直接从服务器20接收所请求的电子内容。

图7例示了根据本公开的特定实施方式的用于在通信网络2中的客户端30之间共享内容的示例性方法110。可以由客户端30、服务器20和/或通信网络2的另一组件、装置和/或特征来执行方法110。在以下部分中，方法110可以被描述为似乎由与通信网络2关联的第二客户端30b所执行，但是该描述不限制本公开的教导的应用。

在步骤112，第二客户端30b可以从第一客户端30a接收完整性信息。第一客户端30a可以响应于来自服务器20和/或第二客户端30b的请求而提供完整性信息。第二客户端30b可以通过VPN、因特网、电子邮件和/或与PEP23的任何其他合适的通信链路来接收信息。如上所述，完整性信息可以包括第一客户端30a的信任级别。作为另一示例，第二客户端30b可以从服务器20接收与已被递送至第一客户端30a的电子内容相关的信息。

在步骤114，第二客户端30b可以从与服务器20相关联的PEP23请求直接从第一客户端30a接收电子内容的许可。该请求可以包括与第一客户端30a和/或第二客户端30b相关的任何合适的和/或所需的数据。如上所述，该数据可以包括第一客户端30a的信任级别、第二客户端30b的信任级别、与第一客户端30a相关的完整性信息、与第二客户端30b相关的完整新信息等。

在步骤116，第二客户端30b可以从PEP23接收与第二请求相关的判定。如果判定是否定的，则方法110可以结束。如果判定是肯定的，则方法110可以行进至步骤118。同时，PEP23和/或PDP22可以在所请求的电子内容的递送上强加一个或更多个条件。例如，可以限制第二客户端30b对电子内容的使用。作为另一示例，第二客户端30b可以被准许以特定的和/或有限的次数来访问电子内容。作为另一示例，第二客户端30b可以被准许仅在预定的时段访问所请求的电子内容。作为另一示例，第二客户端30b可以被限制和/或禁止将所请求的电子内容递送至其他客户端。

在步骤118，第二客户端30b可以将该判定递送至第一客户端30a。

在步骤120，第二客户端30b可以从第一客户端30a接收所请求的电子内容。可以由任何合适的方法和/或系统递送所请求的电子内容。

尽管图4至图7描绘了针对方法50、70、90和110要采用的特定数目的步骤，但是可以用比所描绘的步骤更多的或更少的步骤来执行方法50、70、90和110。利用本文所公开的方法和系统，可以改进、减少或消除与维持对电子内容的安全访问相关的特定的问题。例如，本文所公开的方法和系统允许分配电子内容而无需重复使用直接到服务器20和/或存储单元14的网络连接。

尽管已经参照若干实施方式描述了本发明，但是本领域技术人员可以提出各种改变和修改。本发明旨在包含落入所附权利要求的范围内的这种改变和修改。

Claims

1.一种用于在与实现基于策略的管理的网络相关联的信任体系中处于公共信任级别的客户端之间共享电子内容的方法，所述方法包括以下步骤：

从在所述信任体系中处于第一信任级别的第一客户端接收要向所述第一客户端递送所述电子内容的第一请求；

在所述网络中的策略执行点处至少部分地基于所述信任体系中的所述第一信任级别来许可向所述第一客户端递送所述电子内容；

将所述电子内容递送至所述第一客户端；

从在所述信任体系中处于所述第一信任级别的第二客户端接收要准许从所述第一客户端接收所述电子内容的第二请求，所述第二请求包括与所述第一客户端有关的完整性信息；

至少部分地基于与所述第一客户端有关的所述完整性信息来判定是否允许所述第二客户端从所述第一客户端接收所述电子内容；以及

向所述第二客户端传送所述第二客户端是否可以从所述第一客户端接收所述电子内容的判定。

2.根据权利要求1所述的方法，所述方法还包括以下步骤：所述第二客户端与所述策略执行点就允许从所述第一客户端接收所述内容进行协商。

3.根据权利要求1所述的方法，所述方法还包括以下步骤：将所述内容从所述第一客户端递送至所述第二客户端。

4.根据权利要求1所述的方法，所述方法还包括以下步骤：所述第二客户端向所述第一客户端传送所述第二客户端是否可以从所述第一客户端接收所述内容的判定。

5.根据权利要求1所述的方法，所述方法还包括以下步骤：所述第二客户端获得关于所述第一客户端的完整性信息。

6.根据权利要求1所述的方法，所述方法还包括以下步骤：

所述第二客户端获得关于所述第一客户端的完整性信息；

所述第二客户端验证关于所述第一客户端的所述完整性信息；以及

所述第二客户端仅在验证了关于所述第一客户端的所述完整性信息之后才从所述第一客户端请求所述内容。

7.根据权利要求1所述的方法，所述方法还包括以下步骤：所述第一客户端获得与所述第二客户端有关的完整性信息。

8.根据权利要求1所述的方法，所述方法还包括以下步骤：

所述第一客户端获得与所述第二客户端有关的完整性信息；以及

所述第一客户端验证与所述第二客户端有关的所述完整性信息；

其中，所述第一客户端仅在验证了与所述第二客户端有关的所述完整性信息之后才向所述第二客户端递送所述内容。

9.根据权利要求1所述的方法，所述方法还包括以下步骤：确定在所述第二客户端对于所述内容的使用上的至少一个限制。

10.根据权利要求1所述的方法，其中，所述第一客户端与第一实体相关联，并且所述第二客户端与第二实体相关联。

11.一种用于在与实现基于策略的管理的网络相关联的信任体系中处于公共信任级别的客户端之间共享内容的方法，所述方法包括以下步骤：

在所述信任体系中处于第一信任级别的第二客户端处从处于所述第一信任级别的第一客户端接收完整性信息，所述第一客户端已从所述网络中的策略执行点获得了内容；

从所述策略执行点请求许可从所述第一客户端接收所述电子内容，所述请求包括关于所述第一客户端的所述完整性信息；

至少部分地基于与所述第一客户端有关的所述完整性信息从所述策略执行点接收对于是否允许所述第二客户端从所述第一客户端接收所述内容的判定；以及

向所述第一客户端传送对于所述第二客户端是否可以从所述第一客户端接收所述内容的所述判定。

12.根据权利要求11所述的方法，所述方法还包括以下步骤：在所述判定允许递送的情况下从所述第一客户端接收所述内容。

13.根据权利要求11所述的方法，所述方法还包括以下步骤：

所述第二客户端获得关于所述第一客户端的完整性信息；

14.根据权利要求11所述的方法，所述方法还包括以下步骤：所述第一客户端获得与所述第二客户端有关的完整性信息。

15.根据权利要求11所述的方法，所述方法还包括以下步骤：

其中，所述第一客户端仅在验证了与所述第二客户端有关的所述完整性信息之后才将所述内容递送至所述第二客户端。

16.根据权利要求11所述的方法，所述方法还包括以下步骤：从所述策略执行点接收在所述第二客户端对于所述内容的使用上的至少一个限制。

17.根据权利要求11所述的方法，其中，所述第一客户端与第一实体相关联，并且所述第二客户端与第二实体相关联。

18.一种用于在信任体系中处于公共信任级别的客户端之间共享电子内容的网络系统，所述网络系统实现了基于策略的管理，所述网络系统包括：

多个客户端，各个客户端在所述信任体系中具有各自的信任级别；

存储单元，其被配置为向所述多个客户端递送电子内容；

策略执行点，其与所述存储单元和所述多个客户端中的第一客户端进行电子通信，所述策略执行点被配置为从所述多个客户端中的所述第一客户端接收要从所述存储单元递送电子内容的第一请求；以及

策略决定点，其与所述策略执行点进行电子通信，所述策略决定点被配置为访问所述多个客户端中的所述第一客户端，包括至少访问所述多个客户端中的所述第一客户端的信任级别，并且所述策略决定点被配置为许可所述策略执行点将所述内容从所述存储单元递送至所述多个客户端中的所述第一客户端；

所述策略执行点还被配置为从所述多个客户端中的第二客户端接收要许可从所述多个客户端中的所述第一客户端接收所述电子内容的第二请求，所述第二请求至少包括与所述多个客户端中的所述第一客户端相关联的完整性信息；并且

所述策略判定点还被配置为至少部分地基于所述与所述多个客户端中的所述第一客户端相关联的完整性信息来做出是否允许所述多个客户端中的所述第二客户端从所述多个客户端中的所述第一客户端接收所述电子内容的基于策略的判定。