CN103154965A - 用于安全地管理对文件系统的用户访问的方法、安全设备、系统和计算机程序产品 - Google Patents

Abstract

本发明主要涉及用于安全地管理对文件系统的用户访问的方法、安全设备、系统和计算机程序产品。该方法包括步骤：提供(S100)安全设备(10)，后者由反恶意软件或流氓软件的设计保护，并且适于通过电信网络建立与服务器(40)的连接；优选地通过连接到服务器的主机在安全设备与服务器(40)之间建立(S300)连接(91)；通过建立的连接(91)在安全设备处接收(S350)与文件系统有关的数据，其标识优选地至少部分地存储在安全设备外部的文件；基于从服务器接收的数据在安全设备处向用户展露(S600)文件系统，该文件系统是用户可导航的。

Description

用于安全地管理对文件系统的用户访问的方法、安全设备、系统和计算机程序产品

技术领域

本发明涉及一种使用用于安全地管理文件系统的用户访问的安全设备的方法。特别地，它涉及使用一种安全设备的方法，该安全设备由反恶意软件或流氓软件的设计保护，并且适于与服务器建立连接，例如SSL/TLS连接等安全连接。另外，本发明涉及此类设备，以及包括这种设备的系统或用于实现所述方法和对应的服务器组件的计算机程序介质。

背景技术

PC的安全问题使它们不适合很多功能，因为用户输入的数据可以被攻击者操作或拷贝。例如，交易可以被改变以将钱发送给不想要的接收者或者订购不想要的货物，或者用户凭证可被拷贝，为攻击者提供对系统的访问，例如用于网银的证书。

为了解决这些问题中的一些，可以与PC一起使用用户安全设备(也是“可信设备”)。一个这种解决方案，IBM区域可信信息通道(参见Thomas Weigold，Thorsten Kramp，Reto Hermann，Frank

Peter Buhler，Michael Baentsch，“The Zurich Trusted InformationChannel-An Efficient Defence against Man-in-the-Middle andMalicious Software Attacks”，In P.Lipp，A.-R.Sadeghi，and K.-M.Koch(Eds.)：TRUST2008，LNCS4968，pp.75-91，2008)在服务提供者(例如银行)执行交易之前允许用户验证与交易相关联的信息(即在网银的情况下，数量和接收者)。交易在设备上被验证，该设备是安全的并且可以以安全方式向后端系统发送被验证的信息。

此外，考虑到低成本、高容量USB闪存驱动的可用性，安全文件管理以成为任何IT组织关注的领域。存在两个显著的问题：

1.外部数据丢失：在设备例如USB闪存驱动上，大量敏感数据可以被容易地存储和传输。这种设备的丢失会造成公司的法律或财务的展露。

2.雇员数据盗窃：敏感数据可以容易地被具有通过PC访问的雇员盗窃。

对于第一个问题的解决方案现在出现在市场上。例如，USB驱动上的数据可以被加密并且周密码保护。类似于其他IT系统，如果输入错误的密码多于指定的次数，则设备锁定，从而使数据不可访问。

第二个问题可被解决通过在公司中禁用用于大容量存储设备的USB端口。遗憾的是，这种解决方案也阻止了移动存储设备的合法的和有用的应用。

另一方法是在用户的PC上使用监控软件以便检测和防止违反给定策略的数据拷贝。但是这种软件解决方案仅和系统以及用于实现它的应用软件一样安全，即，如果存在确定的攻击者，它们不能解决这个问题。

一个相关的挑战是敏感文档的安全分布。文档可以在分布之前被加密，这在文档传输时保护了文档，并且一旦它被存储在用户的PC上，假设它以加密的形式被存储。但是，一旦文档被解密，例如，为了观看，它被展露，因此有风险。在公司里，风险被用于处理(例如观看或打印)文档的公司的IT基础设施的总体安全限制。但是，当这种文档在公司之外被解密时，例如，在有互联网连接的PC上，或者当公司PC的安全被损害时，这种文档再次被展露。

需要改进当前用于敏感文档的安全分布的方法，并且更一般地，用于安全地管理用户对文件的访问。

发明内容

根据本发明的一个方面，提供了一种用于安全地管理文件系统用户访问的方法，包括步骤：提供安全设备，后者由反恶意软件或流氓软件的设计加以保护，并且适于通过电信网络建立与服务器的连接；优选地通过连接到所述服务器的主机在所述安全设备与所述服务器之间建立连接；通过所述建立的连接在所述安全设备接收标识优选地至少部分存储在所述安全设备之外的文件的、与文件系统有关的数据；基于从所述服务器接收的数据在所述安全设备将所述文件系统展露给用户，所述文件系统可由用户导航。

在实施方式中，所述方法和包括下列特征中的一个或多个：

-本发明的方法还包括步骤：在所述设备接收针对访问标识在展露的文件系统中并且存储在所述安全设备之外的外部文件的请求之后，通过建立在所述安全设备和所述服务器之间的连接，在所述安全设备接收所述外部文件，用于后来存储在所述安全设备上；

-本发明的方法还包括步骤：通过所述建立的连接，在所述安全设备接收标识优选地部分存储在所述安全设备之外的文件的、与更新的文件系统有关的更新的数据；在所述安全设备将所述更新的文件系统展露给用户，基于从所述服务器接收的更新的数据，所述更新的文件系统可被用户导航，其中，存储在所述安全设备的存储器上的、在先前展露的文件系统中被标识并且在更新的文件系统中未被标识的文本优选地从所述安全设备的存储器被移除；

-在所述安全设备接收的与文件系统有关的数据和对应的文件系统是特定于用户的；

-接收数据的步骤还包括接收对应于在所述对应的文件系统中标识的一个或多个文件的数据；

-在所述安全设备展露的文件系统中标识的文件被存储在若干服务器上，展露的所述文件系统可由用户无缝地导航；

-本发明的方法还包括步骤：在接收针对使用在所述展露的文件系统中标识并存储在所述安全设备上的内部文件的请求之后，在所述安全设备根据与所述的内部文件相关的更新的使用许可处理所述用户请求，其中通过基于通过在所述安全设备和所述服务器之间建立的连接从所述服务器发送的许可数据来更新用户许可，在所述安全设备获得所述更新的使用许可；

-本发明的方法还包括步骤：在接收针对使用所述内部文件的请求之后，在批准用于使用所述内部文件的请求时，更新与所述内部文件相关的使用许可；

-在所述安全设备执行更新与所述内部文件相关的使用许可；

-本发明的方法还包括步骤：在更新与所述内部文件相关的使用许可之后，根据所述更新的使用许可在所述安全设备命令向用户接口或应用展露所述内部文件；

-更新的使用许可包括参数，例如相关的文件可被访问的次数或者它可被访问的时间段，当被处理针对使用文件的请求的设备解释时，该参数限制对文件的访问权限；以及

-建立在所述安全设备和所述服务器之间的连接是安全连接，例如SSL/TLS连接。

根据另一方面，本发明实现为一种安全设备，由反恶意软件或流氓软件的设计保护并且具有处理装置，存储器和接口，配置用于耦合到或与下列交互：用户；一个或多个服务器，以及优选地主机，例如个人计算机或PC，所述安全设备适于建立连接例如与服务器的TLS/SSL连接，优选地通过主机，当所述安全设备通过电信网络连接到所述服务器，并且还包括存储在所述存储器上的并且被所述处理装置执行用于实现本发明的方法的步骤的计算机化的方法。

根据又一方面，本发明实现为一种系统，包括：根据本发明的所述安全设备；个人计算机或PC；以及一个或多个服务器。

根据最后一方面，本发明实现为一种计算机程序介质，包括处理装置可执行用于执行根据本发明的方法的所有步骤的指令。

现在将通过非限制的示例并参考附图说明实现本发明的方法、设备和系统。

附图说明

图1所示为根据本发明的方法的一般实施方式的步骤的流程图；

图2所示为根据另一更详细的实施方式的方法的步骤的流程图；

图3是根据本发明的实施方式布置的耦合到终端和服务器，并且允许安全地管理文件使用的安全设备的示意图；以及

图4和图5示意地示出根据本发明的实施方式保持在设备中示出使用许可和对应文件之间的相互关系的数据结构的示例。图4和图5分别示出在设备上更新使用许可之前和之后的这种数据结构。

具体实施方式

作为对下列说明的引言，首先指出本发明的一般方面涉及虚拟文件系统的用户访问的安全管理。所述方法使用用户安全(或信任的)设备，例如USB闪存驱动。后者则由反恶意软件或流氓软件的设计保护。它还适于建立到服务器的连接，例如，SSL/TLS连接，并且优选地通过连接到所述服务器的主机(并且这个，通过网络，例如因特网)。所述安全设备可以相应地接收与文件系统有关的数据(类似文件树)。所述文件系统标识文件，其中的某些文件实际存储在安全设备之外，因此定义了虚拟文件系统。接下来，设备基于收到的数据对用户展露文件系统。文件系统以用户可导航的形式展露，即，用户可以请求访问在文件系统中被标识的文件。因为文件系统源于服务器并且从安全设备导航，相应地获得一种方法，其允许安全地管理用户对虚拟文件系统的访问。

特别地，文件系统可以是特定于用户的或根据服务器策略被更新，因而改进了安全。对应的文件可从例如服务器和文件系统获得，例如，如果文件的所需版本不是已经存储在设备上。因此，存储在设备之外的文件可根据用户请求被取回，通过与服务器建立的连接。这样，安全设备有效地成为安全高速缓存用于服务器的，其内容可响应于用户交互或服务器决策而改变。

有利地，当接收用于使用存储在设备上的文件的请求时，设备可以根据与文件相关的使用许可来处理该请求。这里，“处理”这种请求典型地意味着：如果可能(基于使用许可)，则批准该请求并且采取步骤执行该请求(例如，如果文件以加密状态存储，则开始于对文件进行解密)。接下来使用许可被更新，如果需要(即，依据所涉及的许可类型以及请求是否已被许可)。基于从服务器发送的数据，在第一位置获得用于处理请求的许可。因此，当接收到使用文件(即，访问请求，例如，观看或打印文件)的请求时，设备能过根据对应许可的已更新状态(尽可能)来处理请求，例如，根据给定的服务器(即，公司)策略。因此，可以限制对通过虚拟文件系统而可用的文件的使用。

更具体地，图1示出方法的一般实施方式的流程图。图3是通过网络耦合到终端和服务器的安全设备的示例的示意图。

同时参考图1和图3：本发明首先且最重要地依赖于安全设备10(步骤S100)。如所述，后者由反恶意软件或流氓软件的设计保护。例如，安全设备可以不具有用于软件安装的某些客户端接口或者将把它暴露给恶意软件的其他功能。但是，设备通常具有简单的用户输入和输出能力，以用于录入和查看用户安全元素，例如PIN或智能卡。

设备适于与服务器和/或任何适当的源40建立连接91，例如，相互认证连接之类的安全连接。安全设备可以具有不经过主机而自己直接与服务器通信的能力。在这种情况下，设备可以具有内置的WLAN或GSM适配器。然而，在优选实施方式中，设备通过因特网之类的电信网络35的主机30连接到服务器，该解决方案在人体工程学方面对于用户而言可能更为方便。主机优选地是连接到网络的PC。终端也可以是任何其他合适的源，例如个人数字助理或PDA或移动电话。与服务器的合适类型的安全连接例如是TLS/SSL连接。

除此之外，安全设备具有存储在其存储器中的计算机化的方法，以用于执行此后的方法的步骤。

此设备的优选特征示出在图3中。典型地，安全设备10具有耦合到存储器的处理装置(或计算装置)15，其通常包括持久和非持久的存储器15’和15”。持久存储器例如存储将由处理装置执行的上述计算机化方法。

此外，设备还具有至少一个接口20，例如USB接口，用于与网络35的主机(例如，PC30)通信。在实施方式中，同一接口20(或另一类型的接口)应当进一步允许安全设备与诸如投影机、打印机、安全PC(例如，仅用于观看敏感材料且从不连接到网络)或任何其他输出设备(未示出)的外部设备通信。

如果必要，安全设备具有读卡器17，用以读取存储在外部安全或存储卡16(例如，智能卡)上的用户证书。可以对例如存储在卡上的用户证书的此类数据进行安全的适当使用。特别地，使用这种数据，可以通过终端30在用户1(或者更确切地说，设备10)与第三方(例如，服务器40)之间建立可信连接。在变形中，用户证书可以直接存储于安全设备的持久存储器。

其他接口(类似，控制按钮18和显示器12)允许与用户的直接交互。

在实践中，第一步骤(步骤S200)用于将安全设备10连接到网络35的适当主机30。为方便说明，此后认为主机是可通过因特网35连接到服务器40的PC。

设备10继而可以调用存储在其上的计算机化方法来触发与服务器40的可信连接，步骤S300。例如，它可以经由终端30通过非安全连接92而与服务器建立安全通信91(例如，在解锁卡时)。

优选地，设备在通过非安全连接92发起通信91的同时，使用存储在卡或安全设备的内部存储器上的用户证书向服务器进行认证，例如，通过发起对服务器的SSL/TLS认证。在此方面，设置与服务器通信的设备可以有利地包括从设备启动驻留于终端处的代理客户，以便该设备经由终端而连接到服务器(注意，代理也可能驻留在设备上，在这种情况下它可被拷贝到主机PC30以便执行)。代理将从设备接收的比特转发到因特网，反之亦然。可以通过从设备发起向服务器的SSL/TLS认证而例如双向地实现设备向服务器的认征。

在此方面，存储器15’还可能已经在其上存储了安全软件堆，包括加密算法，例如用于SSL/TLS认证的TLS引擎14。它还可存储USB管理软件(实现USB大容量存储设备或MSD简档20)，并且可能存储有如上所述的预加载的网络代理。如所述，用户证书可存储在外部安全卡上(例如，智能卡16)，诸如支持TLS客户端认证的客户端-服务器证书(例如X.509)。智能卡可保存敏感的个人信息并且具有加密手段。在变形中，卡不能加密但是被用于对敏感操作(如果有的话)进行签字。在其他变形中，卡用于加密和对操作进行签字二者。设备优选地配备有标准智能卡读卡器17。最后，设备具有控制按钮18(例如，确定、取消等选择器)以及用于显示信息的显示器12。它还可以具有用于输入PIN数据的装置(例如，按钮、转轮、PIN小键盘/键盘等)。

因此，在一个实施方式中，SSL/TLS信道被建立在服务器和设备之间(步骤S300)。虽然可以更一般地考虑其他类型的安全连接，但是下文假设相互认证的连接，例如SSL/TLS连接。

在后续步骤S350中，与虚拟文件系统有关的数据通过建立的连接从服务器被发送，例如通过如上所述的已建立的相互认证的连接91。数据在设备被接收。对应的文件系统标识各种文件，包括存储在安全设备以外的文件。文件系统数据例如可以包括对象标识符(或文件标识符)和表示文件之间关系(例如，等级关系)的数据，以便使安全设备随后能够借助于其操作系统(本身是已知的)来重建(rebuilt)用户可导航的文件系统。注意，文件系统被说成是“虚拟”的是因为某些文件驻留在安全设备以外。

在步骤S600，设备继而可以相应地以适合用户导航的形式展露虚拟文件系统，例如通过使用设备内置的显示器和按钮。因此，允许用户在虚拟文件系统的文件中导航并且可能选择其中之一，从而以某种方式请求访问该文件(如一般地由文件系统导航所知)。

优选地，在步骤S350，许可数据与文件系统数据一起被发送并且在设备处被接收。然而在变形中，此类许可数据可以在之前或之后被发送，或是借助于任何合适的算法而对安全设备可用。它们表示与一个或多个文件相关的使用许可。对应文件中的某些文件的内容可以一起发送。但是文件系统、文件和许可数据可以在不同时间被发送。因此，某些文件在某个点被存储在设备上(例如，他们被较早发送或从独立源获得，例如，从智能卡或通过内置按钮手工输入)，而某些文件则可以在稍后阶段获得(如果必要的话)。许可数据例如也可以包括对象标识符，以及根据使用权限的对应信息。因为某些文件可以存储在安全设备以外，因此不是所有对象标识符都需要对应于存储在安全设备上的对象。当被查询时，设备能够获知什么使用许可与什么文件相关(在该方面，可以使用唯一的标识符形式体系)。

实施方式接下来假设使用与虚拟文件系统的部分或全部文件相关的许可数据，虽然这种许可数据并非强制用于实现本发明的所有实施方式。而且，为了下文描述，一个假设是：至少一个文件在某个点被存储在安全设备上，并且在设备处接收到的许可数据包含与该文件有关的数据。许可数据例如可以包括与文件标识符相关的至少一个基数(cardinality)。可以涉及更多基数，每个基数与一类动作相关联。稍后将参考图4和图5详述。

在图1的实施方式中，文件系统数据、文件数据和接收的许可数据存储在设备的存储器上(未必一定是其持久存储器)。接收的数据例如可以替代旧数据而被存储。接收的数据也可以是增量文件，其指示相对于旧数据的改变；设备继而适当地更新数据。但是，以一种方式或另一种方式，(在步骤S400)使设备认识到与虚拟文件系统相关的已更新数据、许可、以及被存储或将存储在其上的相应文件。设备相应地保存虚拟文件系统的有关数据。对数据进行更新本身通常是已知的。

接下来，当接收到用于访问文件的请求时，设备可以根据服务器策略、文件系统或文件自身(存储或不存储在设备上)和/或与该文件或包含该文件的目录相关联的使用许可的当前状态，来处理所述请求(步骤S700)。实际上，目录列出了在逻辑上被包含于其中的文件的名称。有利地，可以依赖于针对这种目录的使用许可，这将从根本上导致限制它们所包含的文件的可见性，即，使得具有不充分使用许可的目录中的文件不仅不可访问，而且对于PC以及因此任何可能的恶意软件而言都是不可见的。

注意，在图1实施方式的变形中，设备将在接收到使用文件的请求时尝试连接到服务器，使得步骤S200-S400实际上可以在接收到使用文件的用户请求之后被执行，例如通过内置按钮。

在所有情况下，在接收到使用文件的请求时，安全设备将根据文件系统、文件和/或可用使用许可的最近版本来处理该请求。为描述之目的可以假设：所述数据的某些版本(理想地，是最新版本)是通过连接到服务器并从其获得有关数据而被获得。

接下来，考虑请求的类型：访问文件的请求例如可以仅仅是观看文件内容的请求。其他请求还可以隐含打印文件、执行文件，等等。稍后将给出示例。

两种情况要加以区分。

在第一种情况下，步骤S850-S950，用户所选择的文件没有存储在设备上(即，外部文件)。这里，设备将通过与服务器40建立的连接91接收外部文件(步骤S850)。优选地，设备命令取回外部文件。步骤S950，文件接下来可被存储在安全设备上。可以根据服务器策略决定是否以及如何取回这种文件。设备例如可以尝试从服务器取回期望的文件并且后者基于策略而接受或拒绝(访问权限、暂停等)。在变形中，发送的文件系统是特定于用户的(例如，也基于给定的策略)，使得在其中标识的所有文件是先前对该用户可用的。在其他变形中，是否处理用户请求，即是否命令取回所请求的文件，可以在设备本地处基于设备可用的一些适当算法来决定。有趣的是，还可以基于与文件相关的许可来决定是否取回文件。因此，可以理解，在实施方式中“文件许可和“服务器策略”可以重叠或甚至是相同的，例如，在技术上被实现为与文件系统的文件相关联的数字集合。

在第二种情况下，用户所选择的文件已经存储在设备中(内部文件)，步骤800-900。这里，根据与该文件相关联的许可来决定怎样处理用户请求。例如，如果使用许可允许，所述内容被显示在例如安全设备10的显示器12上。这是可行的，只要文档的大小不阻止它。在其他情况下，设备可能例如需要被设置为与外部输出设备通信以完成请求。请求可以从外部应用接收，例如请求拷贝文件(或传送其内容)的外部应用，以例如用于后续的显示或打印。如何向外部设备传送文件的内容本身是已知的。

例如，安全设备可被配置为利用使用安全蓝牙配对(SSP)而可连接到投影机(例如，没有“计算”能力的显示设备，即不会暴露给恶意软件)。作为另一示例，安全设备可使用USB线或安全蓝牙配对(SSP)连接到打印机。这允许文档直接从安全设备被打印。如果处于危险中的文档不允许通过用户的PC被打印，这是特别有用的(由于其相关的使用许可)。因此，外部输出设备通常可以是打印机或投影机。但是，它也可以是PDA或PC30本身(设备可能已经与其连接)，针对其的使用许可可能比投影机或打印机更加严格，这取决于公司策略。注意，在实施方式中，打印机或投影机可以是安全设备本身的一部分。

优选地，如果使用请求被设备批准，则与文件相关联的使用许可被更新(步骤S900)。

根据一个变形，在批准请求之后更新使用许可优选地直接在设备处被执行(通常，基数被递减)。但是对应的数据应当被发送给服务器，其持续地更新保存在服务器侧的使用许可。这样，设备保存最新的使用许可。因此，设备仍可以处理对相同文件的另一请求，即使从服务器获得已更新许可的后续尝试失败(或现有的许可不授权获得更新的许可，以例如允许离线使用)。在这个变形中，并发更新机制通常被实现在服务器和安全设备二者处。但是在一些点需要协调。存在协调许可的多种可能性(用于对两个数据库实例进行同步的若干算法是可知的)。设备例如可以定期地尝试连接到服务器并且得到更新的许可数据，或者在启动、对用户进行认证时或是在接收到另一文件使用请求时进行尝试，等等。在任何情况下，从服务器接收的许可将可能(当可用时)代替本地许可。但是，在没有服务器连接的情况下，设备优选地更新本地许可，并且在使用许可基数减少到0的情况下可禁止对文件的访问。

现在，根据另一变形，在处理文件使用请求时，例如在根据设备上可用的许可而批准该请求的情况下，设备相应地通知服务器。服务器将能够相应地更新使用许可。当设备稍后连接到服务器时(例如，在收到使用文件的另一请求时)，已最新许可被发送给设备以用于后续处理(除了更新的文件系统和文件数据之外，如果必要的话)。在这种情况下，并不强制在批准请求之后直接在设备处更新许可，因为设备可以有系统地依赖于从服务器接收的许可。设备例如可以定期地尝试连接到服务器，或是在启动、对用户进行认证时尝试连接，或是在每次收到另一文件使用请求时尝试连接，等等。这里，从服务器接收的许可将代替以前的版本。但是，在这个变形中，设备强烈依赖于服务器连接的可用性。例如，设备可以在它每次收到使用内部文件的请求时尝试连接到服务器。但是，如果达到服务器的尝试失败，则请求无法基于最新的许可数据被处理。因此，在无法获得较新许可的情况下，可以想到关于如何继续的几种回退算法。一个解决方案包含拒绝请求。另一种解决方案依赖于许可数据的以前版本(即，在最后的地方被更新)。中间方案当然也是可能的。

因此，可以调用若干机制以用于保存更新的许可，包括完全的集中式解决方案(在批准请求之后仅服务器更新许可)直到并发解决方案(在批准使用文件的请求时，设备本地更新许可并且相应地通知服务器)。实现什么样的适当机制可以实际上取决于安全策略。对于每个文件也可以定义不同的解决方案。

另外，使用文件的请求优选地被设备记录并且可以附加地在服务器处被记录，以用于审计或被动安全之目的。

如所述，文件同样可以从服务器获得(除了它们相关的许可和文件树)。在变形中(不是优选的)，文件可以从用户的PC或从连接到网络的远程终端获得。在实施方式中，期望的文件首先从终端发送到服务器，并且继而从服务器被发送到设备，这改进了待分发文件的安全性和/或控制。如上所述，相关联的许可可以与文件一起发送、在发送文件之前或之后发送。

在实施方式中，存储在设备上的文件根据给定的加密方案被加密。文件可以被设备本身加密。例如，安全设备具有存储在其内部存储器中(外部不可访问)或插入其中的智能卡上的加密密钥。在变形中，文件以加密状态被传输给设备(并且这独立于安全连接固有的加密，如果有的话)，总之使其应当以加密状态被存储在设备上。在这两种情况下，解密密钥可以从服务器被发送给设备，或被用户手工输入到设备上，以用于随后响应于请求而解密文件。另外，我们注意到，仅仅对于文件而言，可以实现关于解密密钥的许可控制机制。

最后，从图1很清楚的是，步骤S350-S950(或者甚至S300-S950或S200-S950)可以按需重复，例如，每次向安全设备发送一个新文件系统、文件或许可数据。

特别地，第一次使用安全设备(第一使用场景)，下面一系列步骤将优选地发生：

1.用户向安全设备进行认证；

2.一旦安全设备已经建立与其服务器的SSL/TLS连接并且已经标识其自身和用户，服务器发送用于相应用户的文件结构(此后假设为文件树)。因为安全设备第一次被使用，因此文件基于在服务器上配置的策略和设备的存储能力而被缓存在安全设备上(还没有确定缓存内容的任何用户请求)；因此，可以使用服务器的文件树的全部或部分。

3.在安全设备上向用户显示文件树；其本地拷贝在安全设备上可用的那些文件优选地被如此标记(即，视觉上被标识给用户)，例如，通过覆盖绿色的勾选(check)标记图标。

4.当用户访问在安全设备上非本地可用的文件时，后者从服务器取回并且存储文件。如果没有更多的存储器可用，则例如最长时段未被使用的文件从安全设备被移除。作为附加的策略示例，可以给用户选项以将文件标记为从高速缓存“不可移除”。

5.一旦文件在安全设备上本地可得，用户可在上文描述的使用许可的约束下访问该文件。

接下来，在稍后的阶段(后续使用场景)，以上步骤2将如下改变：

2.一旦安全设备已经与其服务器建立SSL/TLS连接并且已经标识它自己，服务器为对应的用户发送文件树。这里，某些文件已经缓存在安全设备上。根据服务器设置，安全设备可以用服务器提供的文件树替换其自己的文件树，并且从其高速缓存移除不再出现在新文件树中的任何文件。

注意，如果安全设备不能连接到服务器，它可进入离线模式，其中它仅提供对当前被缓存的那些文件的访问，并且这收到上述使用许可的约束。

以上的方案和变形可以被下列特征改进；

-如所述，文件访问可被报告给服务器以用于不可否认的审计或统计，或仍然触发下文描述的文件操作。

-如上所述，服务器可以立即与文件树一起或是单独地向安全设备发送要缓存的文档的列表。相关联的许可可以与列表或文档本身一起发送。如果仅发送列表，安全设备可以根据给定的策略加载文件(例如，阻塞或异步地)。

-对于每个文件，多个版本(修订)可被缓存。对于哪些文档需要缓存多个修订可以在安全设备处决定(例如，根据服务器事先提供的或从过去的使用模式中得出的列表)，或是在安全设备报告文件访问的情况下由服务器动态决定。

-一旦用户访问安全设备上的文档，则某些相关的文档可被缓存。而且，哪些文档被缓存可以由安全设备决定(例如，根据服务器事先提供的或从过去的使用模式得出的列表)，或是在安全设备报告文件访问的情况下由服务器动态确定。

-类似地，从高速缓存移除哪些文档可以由安全设备决定(例如，根据服务器预配置的文件集或基于过去的使用模式)，或是在安全设备报告文件访问的情况下由服务器动态决定。

-文件树可从服务器部分地发送给安全设备并且按需完成。

-当访问大于安全设备上可用存储器的文件时，可以通过从服务器逐片取回文件而将其动态分割。

-由于安全原因，服务器可向安全设备指示文档不能被缓存，这样它从不存储在安全设备的持久存储器上。

-由于安全原因，服务器例如可以通过相应的许可数据向安全设备指示：文档可以被缓存但是在离线模式下必须是不可读的。换句话说，文档仅当安全设备连接到服务器(在线)时可被读取。

-安全设备的存储器可被完全“禁用”，这样，这些文件总是按需从服务器被下载并且没有文件被本地缓存。

-安全设备可以被配置为与几个服务器联系并且可从其获得数据，由此有效地在设备已为其被配置的服务器的“云”中创建无缝视图。用户相应地可在虚拟文件系统的文件中以无缝方式导航。

-此类服务器的配置可以被静态地控制(在设备发布)或可被一组特别指定的“云控制”服务器更新(假定特定的设备或多或少地访问云中的服务器组中的数据)。

-尽管如此，可以使(从在云中使用了一次的服务器)被下载到设备的文档保留在设备中，即使是在对服务器的关联已从“云控制”服务器被删除之后。这样，设备有效地变成以其自己权限的安全数据载体，或是原始云的成员(从文档管理的观点；例如现在可以这样在云之间交换文档：仅通过暂时将一个云与同一设备联接并且继而与另一个联接在云之间交换文档)。

接下来，参考图2，将描述本发明的方法的另一实施方式。可以理解，已经参考图1描述的大多数变形也应用于图2的实施方式。

这里，步骤S100、S200、S300、S400、S700、S800、S850、S900和S950基本上对应于图1中的相应步骤。

根据图2的实施方式，在实际尝试连接到服务器之前，设备优选地检查每个文件的许可(步骤250)。注意，并非强制在连接到服务器之前检查许可。但是优选地这样做，以便允许设备做出是否向PC展露文件(以及甚至列出文件的存在)的任何决策。

然后，在步骤S300，设备尝试连接到服务器。如果连接成功，设备更新文件系统、文件和使用许可数据，步骤400，如已参考图1所述。

接下来，在步骤S500，设备可进行到本地认证用户(例如，通过要求用户输入PIN，使用智能卡等，如已知的)。注意，如果连接服务器的先前尝试失败，则设备将直接提示用户认证他(她)自己，如图2所示。在一个变形中，设备可在实际尝试创建与服务器的连接之前要求用户认证。在另一变形中，可请求用户通过设备的内置按钮手动输入解密密钥。

设备继而命令(步骤S600)根据文件系统和与其文件相关联的、最近在设备处被更新的使用许可来展露文件。如上所述，文件被展露以便被用户导航。但是，文件可以被展露给遵循相同原则的任何应用(甚至与将它们展露给用户无关)。另外，是否展露文件还将依赖于用户认证的成功。相应地，如果对应的许可不允许(例如，对于这个文件没有更多使用权限)，可以阻止文件被展露。因此，用户(或外部应用)甚至不会“看见”处在危险中的文件，即使用户在本地被正确认证，其还减少了误使用或展露给恶意软件的风险。

下面的步骤描述了用于管理访问文件的请求的机制(S700)。如上所述，取决于以下是否成立而调用不同的机制：

-文件存储在设备上：这里基于对应的使用许可，请求优选地被处理(步骤S800)。在处理请求之后，许可被更新，如果需要的话(步骤S900)；或者

-文件存储在设备之外，由此通过例如取回被请求的文件用于后续的存储，请求被处理(步骤S850)(步骤S900)。

还如上文所述，除了文件系统数据、文件和文件许可之外，与服务器建立的连接还可以允许用于从服务器向设备发送加密密钥等。如参考图1，这可能涉及不同的场景。

1)如上所述，安全设备从服务器并且通过主机(或者更确切地说，通过由主机中继的连接91)接收所有必需的数据。

2)在一个变形中，文件数据(即，文档)可以从主机即PC接收，但是这与服务器无关。

3)在另一变形中，安全设备可以从与通过其接收其他类型数据的主机不同的终端、并且可在不同的时间接收给定的文件数据(即，文档)。这里，终端例如可以是PDA或移动电话。文档例如可以通过因特网查询在终端被初步下载。假设对象标识符对于该文档是可用的，并且文件系统和许可使用了兼容的对象标识符形式体系，则仍然可以实现上文描述方法的核心步骤。

4)其他。

现在将参考图4和图5，进一步描述至少对于设备保存并且利用文件许可的那些优选实施方式而言可在设备处实现的数据结构的示例。图4和图5中所示的分层图是可存储在安全设备上以实现这些实施方式的数据结构的示意图。具体而言，所示数据结构一般地包括：

-密钥(用于加密/解密文件)；

○这里涉及唯一的密钥“唯一密钥”，它允许以加密状态存储文件。当然这些密钥无须对整个设备是唯一的。它还可以呈现在文件或目录级。

-文件(或文件标识符)；

○包括文件#1到n；

-许可，许可的集合包括：

○许可#1到n，即，每个文件一个许可，或者甚至每个文件一个许可的子集。具体地，许可的集合{i，j，k}可以与文件相关联，如在此所述。

这里，普通线条表示数据结构中的层次关系，加粗的线线表示数据之间的功能关系，例如“文件#1”使用“唯一密钥”被加密并且被允许基于“许可#1”来被访问，后者在这个示例中等于{4，0，0}。

许可的集合可以由基数{i，j，k，...}组成，其中i，j，k...与各个动作相关联，即，每个数字代表各个应用被允许访问文件的次数。例如“许可#1”在图4中等于{4，0，0}，其中4，0，0例如与请求访问文件#1的应用分别相关，用于

(1)在设备上显示；

(2)在外部输出设备上显示；以及

(3)在外部打印机上打印。

另外，因为在这个示例中给定的“许可#n”实际由对应的集合{i，j，k}组成，因此对应于“许可#1”到“许可#n”的层级是多余的。

因此，图4所示的数据结构的示例明显地表示：用户可以要求文件#1仅显示在设备上并且仅显示四次。当请求显示文件#1时(即，图1或2中的步骤700)，设备将如下处理请求：

-批准它(步骤800)；

-解密文件(使用本示例中必需的唯一密钥)，如果需要的话；以及

-命令显示文件#1。

此外，当请求已被批准时，设备将更新对应的许可(或因此通知服务器用于后续的更新)。许可集合因此变化为{3，0，0}，指示文件仍然可用于在设备上显示，但是仅剩3次，如图5所示。

在一个变形中，许可#n可以由集合{t1，t2，t3...}组成，其中t1，t2，t3...对应于与文件#n相关联和与各个应用相关联的生命期。

在另一变形中，许可#n可以由集合abc组成，其中a、b或c中每一个可以是r、w、x或-，或类似于UNIX许可(rwx指示用户具有读、写、执行许可，-表示根本没有许可)。

注意，如果许可仅由生命期或r、w、x或-许可组成，则不需要在设备上处理请求之后更新许可。在这种情况下，在处理请求之前，设备依赖于保存在服务器并且从服务器发送的许可数据是足够的。

在另一变形中，许可#n可以由子集{{i，t1}，{j，t2}，{k，t3}，...}表示，指示文件#n可被访问i次以用于显示在设备上，并且仅在时段t1(或直到日期t1)，等等。在这种情况下，如果需要，许可在处理请求之后被更新。很多其他变更是可能的，例如，混合发生、生命期和r、w、x或-许可。

不应将本公开理解为排除使用可替换通信协议(除了USB之外)用于加载和检索文档或文档管理证书。具体地，应注意安全设备可以使用无线接口例如蓝牙传输文档用于打印或使用GPRS网络以从服务器应用请求和检索文档访问证书。

而且，适当配备的安全设备将能接收服务器发起的文档和/或证书移除命令而不用任何用户交互以便进一步加强服务器对数据的控制。

实现至少部分的以上发明所需的计算机程序代码可以以高级(例如，过程的或面向对象的)编程语言实现，或者以编译或机器语言实现，如果需要的话；并且在任何一种情况下，语言可以是汇编或解释语言。合适的处理器包括通用和专用微处理器。注意，设备、终端、服务器或接收方执行的操作可以存储在有形地实现在由可编程处理器执行的机器可读存储设备的计算机程序产品中；并且本发明的方法可以由运行命令以执行本发明的功能的一个或多个可编程处理器执行。在所有情况下，本发明可以不仅包含安全设备而且包含包括这个设备的系统，加上下列中的一个或多个：终端、至少一个服务器或任何合适的源以及可能附加的设备例如打印机或投影机，用于传递被安全管理的文件的内容。

更一般地，以上发明可以实现为数字电子电路，或者计算机硬件、固件、软件或其组合。

一般地，处理器将从只读存储器和/或随机存取存储器接收命令和数据。适合有形地实现计算机程序指令和数据的存储设备包括所有形式的非易失存储，包括，通过举例，半导体存储设备，例如EPROM、EEPROM、闪存或其他。

虽然已参考某些实施方式说明了本发明，本领域技术人员将理解可以做出多种改变并且可以用等效替换而不脱离本发明的范围。此外，可以对本发明的教程做出很多修改以适应特定情况或材料而不脱离其范围。因此，本发明不是要限制于公开的特定实施方式，而是本发明将包括落在所附权利要求的范围中的所有实施方式。例如，设备可以被配置为阻止同时连接到主机和外部设备。还可以提供电池或者由外部设备供电。而且，虽然设备优选地通过主机连接到服务器，但是它具有其自己与服务器直接通信的能力，如较早所述。在这种情况下，本发明的优选实施方式的一些特征(即，通过主机发生的连接)需要被修改。显然，图1中的步骤S200变成可选的。在步骤S600，由于内置显示能力等等，更新的文件可以被展露。

Claims (15)

1.一种用于安全地管理对文件系统的用户访问的方法，包括步骤：

-提供(S100)安全设备(10)，后者由反恶意软件或流氓软件的设计保护，并且适于通过电信网络来建立与服务器(40)的连接；

-优选地经由连接到所述服务器的主机，在所述安全设备与所述服务器(40)之间建立(S300)连接(91)；

-通过建立的所述连接(91)在所述安全设备处接收(S350)与文件系统有关的数据，所述数据标识优选地至少部分地存储在所述安全设备外部的文件；

-基于从所述服务器接收的所述数据，在所述安全设备处向用户展露(S600)所述文件系统，所述文件系统是所述用户可导航的。

2.根据权利要求1所述的方法，还包括步骤：

在所述设备处接收(S700)针对访问在展露的所述文件系统中被标识并且存储在所述安全设备外部的外部文件的请求之后，通过在所述安全设备与所述服务器(40)之间建立的连接(91)，在所述安全设备处接收(S850)所述外部文件以用于在所述安全设备上的后续存储(S950)。

3.根据权利要求1或2所述的方法，还包括步骤：

-通过建立的所述连接(91)在所述安全设备处接收(S970，S350)与更新的文件系统有关的更新的数据，所述更新的数据标识优选地至少部分地存储在所述安全设备外部的文件；

-基于从所述服务器接收的所述更新的数据，在所述安全设备处向用户展露(S600)所述更新的文件系统，所述更新的文件系统是所述用户可导航的，其中，

优选地，存储在所述安全设备的存储器上的、在先前展露的文件系统中被标识并且在所述更新的文件系统中未被标识的文件从所述安全设备的所述存储器被移除。

4.根据权利要求1、2或3所述的方法，其中在所述安全设备处接收的与文件系统有关的数据和相应的所述文件系统是特定于用户的。

5.根据权利要求1到4中任一项所述的方法，其中接收(S350)数据的步骤还包括：接收与相应的所述文件系统中标识的一个或多个文件相对应的数据。

6.根据权利要求1到5中任一项所述的方法，其中在所述安全设备处展露的文件系统中所标识的文件存储在多个服务器上，展露的所述文件系统是所述用户可无缝导航的。

7.根据权利要求1到6中任一项所述的方法，还包括步骤：

-在接收(S700)针对使用在展露的所述文件系统中被标识并且被存储在所述安全设备上的内部文件的请求之后，在所述安全设备处根据与所述内部文件相关联的更新的使用许可来处理(S800)所述用户请求，其中通过基于通过在所述安全设备与所述服务器(40)之间建立的连接(91)从所述服务器发送的许可数据对用户许可进行更新(S400，S900)，从而在所述安全设备处获得所述更新的使用许可。

8.根据权利要求7所述的方法，在接收针对使用所述内部文件的所述请求之后，还包括步骤：

-在批准针对使用所述内部文件的所述请求时，更新(S900)与所述内部文件相关联的使用许可。

9.根据权利要求8所述的方法，其中更新(S900)与所述内部文件相关联的使用许可在所述安全设备处执行。

10.根据权利要求8或9所述的方法，在更新(S400，S900)与所述内部文件相关联的使用许可之后，还包括步骤：根据所述更新的使用许可，在所述安全设备处命令(S600)向用户接口或应用展露(S600)所述内部文件。

11.根据权利要求7到10中任一项所述的方法，其中更新的使用许可包括参数，诸如相关联的文件可被访问的次数或者其可被访问的时间段，该参数在由处理针对使用所述文件的请求的所述设备解释时限制对所述文件的访问权限。

12.根据在前权利要求中任一项所述的方法，其中在所述安全设备与所述服务器之间建立的连接(91)是安全连接，诸如SSL/TLS连接。

13.一种安全设备(10)，由反恶意软件或流氓软件的设计保护并且具有处理装置(15)、存储器(15’，15”)和接口(17，18，20)，被配置为耦合至以下项或与以下项交互：

-用户(1)；

-一个或多个服务器(40)，以及

-优选地主机，诸如个人计算机或PC(30)，

当所述安全设备通过电信网络被连接至所述服务器时，所述安全设备适于优选地经由主机(30)建立与服务器(40)的连接，诸如TLS/SSL连接，

并且还包括计算机化方法，所述计算机化方法存储在所述存储器上并且是所述处理装置可执行的，用于实现如权利要求1到12中任一项所述的步骤。

14.一种系统，包括：

-如权利要求13的所述安全设备(10)；

-个人计算机或PC(30)；以及

-一个或多个服务器(40)。

15.一种计算机程序介质，包括处理装置可执行的指令，用于执行如权利要求1到12中任一项所述的方法的全部所述步骤。

Images