CN103186739B - 用于安全Web浏览的方法和系统 - Google Patents

Abstract

本发明涉及用于安全web浏览的计算机实现的方法，该方法包括：‑接收(101)从浏览器递交的请求，浏览器运行在缺省运行时环境中；‑由代理模块评估(102)所接收的请求和/或评估所请求的内容；‑在确定该请求请求不安全内容的情况下和/或在确定所请求的内容包括不安全内容的情况下，由代理模块向接收器模块发送(103)所接收的请求的副本，接收器模块运行在安全运行时环境中；‑在确定该请求请求安全内容的情况下，向远程服务器发送(104)该请求的副本。

Description

用于安全Web浏览的方法和系统

技术领域

本发明涉及数据处理领域，以及更具体地，涉及安全web浏览领域。

背景技术

因特网是由以称为HTML的超文本标记语言编写的文档组成的web(网络)。个体web页面经由专用指针(所谓的“超链接”)彼此链接。这种链接背后的HTML编码是指向提供诸如图片、视频文件、可执行文件、文本文件或任何其他类型数字内容的内容的另一资源或另一HTML文档的URL(统一资源定位符)。然而，利用浏览器(例如，Firefox、Internet Explorer、Opera等)浏览因特网可能威胁到用户计算机系统的安全。URL可能指向包含病毒或特洛伊木马的可执行内容。包含在电子邮件中模仿受信提供者的真正链接的链接可能实际上指向包含用于盗取口令和其他类型敏感数据的可执行代码的因特网站点。

通常用于安全web浏览的方法是修改浏览器设置，以禁用诸如flash、active X、JavaScript等的各种脚本语言。然而，所述方案通常严重地限制可以在web浏览器中显示的内容类型。具体地，包括动态多媒体内容的web页面可能不能适当显示，或者可能根本不能在这种浏览器中显示。本领域中已知的另一方案是仅在利用具有非常受限权限的用户账号(尤其是不具有安装或卸载任何程序的权限的用户账号)登录计算机系统之后才能浏览因特网。然而，这种方法是极度不方便的，因为用户可能必须要经常在不同用户之间切换。又一方案是使用一个计算机浏览因特网，而使用另一个计算机执行EDV程序和管理性任务。然而，越来越多的应用程序和业务流需要永久性地连接至因特网，因此使用未连接至因特网的计算机因此可能不是很好的选择。

发明内容

本发明的一个目的在于提供一种用于允许安全因特网浏览的改进的方法、计算机系统和计算机可读存储介质。该目的通过独立权利要求的特征实现。在从属权利要求中给出了优选实施方式。如果未明确地相反陈述，则本发明的实施方式可以自由地相互组合。

术语“内容”或“数据内容”涉及经由网络从远程服务器请求的以及由远程服务器提供的任何数据类型。

此处使用的“协议栈”是计算机联网协议集合的实现。这些协议可以组织在一个或多个可互操作的协议层中，例如OSI参考模型的网络协议层或定义因特网上通信的TCP/IP协议的集合。取决于实施方式，协议栈是套接字API、套接字层提供者模块或网络驱动。

此处使用的“代理模块”是在浏览器与远程web服务器之间居间、并控制浏览器和远程web服务器之间数据流的任何硬件、软件和/或固件模块。

此处使用的“浏览器”涉及适用于经由网络(尤其是因特网)从远程服务器获取数据并处理数据的任何应用程序。浏览器可以是标准web浏览器，诸如Mozilla Firefox或Internet Explorer，或定制的应用程序。

此处使用的“不安全内容”涉及已确定为包括至少一个数据模式的或已确定为满足至少一个标准的任何数据，所述数据模式或满足的标准被视为针对渲染或执行所述内容的计算机系统的实际或潜在安全风险的指示符。因此，“安全内容”涉及确定为不包括所述模式或不满足所述任何标准的任何数据。

“计算机可读介质”可以是计算机可读信号介质或计算机可读存储介质。可以利用一个或多个计算机可读介质的任何组合。计算机可读存储介质可以是例如但不限于电的、磁的、光的、电磁的、红外的或半导体系统、设备或器件，或前述的任何适当组合。计算机可读存储介质的更特定示例(非穷举性列表)将包括下述：具有一个或多个线缆的电连接、便携式计算机盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或闪存)、光纤、便携式压缩盘只读存储器(CD-ROM)、光存储设备、磁存储设备或前述任何适当组合。在此文档的上下文中，计算机可读存储介质可以是可包含或存储供指令执行系统、设备或器件使用或与之结合的程序的任何有形介质。

“运行时环境”是提供用于执行代码的软件资源和/或硬件资源(处理功率、存储器、储存器等)的任何数据处理领域。基于硬件的运行时环境可以是计算机或者计算机簇。基于软件的运行时环境可以是虚拟机等。“安全运行时环境”由安全措施(例如，防火墙、受限的I/O权限等)、以确保在安全运行时环境中执行的任何代码不会影响在缺省运行时环境中执行的任何应用程序的方式、与任何缺省运行时环境分隔。

本发明实施方式的诸方面涉及代理模块和接收器模块。这些方面将在下文中更详细地描述。

代理模块：

在一个方面中，本发明涉及一种用于安全web浏览的计算机实现的方法。该方法包括：

-由代理模块接收从浏览器递交的请求，浏览器运行在缺省的运行时环境中，该请求请求资源的内容，资源由远程服务器提供；

-由代理模块评估所接收的请求，以确定该请求是否正请求不安全内容，和/或评估所请求的内容，以确定所请求的内容是否包括不安全内容；

-在确定该请求请求不安全内容的情况下和/或确定所请求的内容包括不安全内容的情况下，由代理模块向接收器模块发送所接收的请求的副本，接收器模块运行在安全运行时环境中，安全运行时环境防止在运行时环境中执行的任何恶意代码影响浏览器的缺省运行时环境；

-在确定该请求请求安全内容的情况下，由代理模块向远程服务器发送该请求的副本。

资源可以是经由网络提供所请求内容的web服务、内容管理系统、静态HTML页面或任何其他服务或数据存储库。

所述特征可以是有益的，因为这些特征可以允许安全地浏览因特网，而不需要切换用户账号或计算机系统，或限制浏览器的能力。

根据实施方式，响应于从代理模块接收到请求，接收器模块向安全浏览器发送该请求的副本，安全浏览器是运行在安全环境中的浏览器。所述特征允许安全浏览器向提供所请求内容的远程服务器提交请求的副本，以由安全浏览器接收请求的内容，以及由安全浏览器在安全运行时环境中渲染潜在的不安全数据内容。由此，请求、接收和渲染被视为不安全的数据内容的任务透明地从运行在缺省运行时环境中的浏览器(此处也称为“缺省浏览器”)委派到运行在安全运行时环境中的安全浏览器。

响应于发送该请求的副本，由代理模块从远程服务器接收所请求的内容。所接收的请求的内容。

在确定所请求的内容不包括不安全内容的情况下，代理模块向浏览器转发所请求的和评估的内容。所述特征可以是有益的，因为确定为安全的内容被自动地向用户的缺省浏览器转发，而不会向运行在安全环境中的安全浏览器转发。由此，所述特征可以提供安全内容的透明浏览。

根据实施方式，在确定该请求请求不安全内容的情况下，代理模块向接收器模块发送该请求的副本。所述特征可以是有益的，因为倘若可以通过分析该请求而确定所请求的内容(可能尚未收到)可能包含不安全内容，那么通过向接收器模块发送该请求的副本，可以从一开始就避免缺省运行时环境的浏览器接收潜在有害的响应内容数据。通过向接收器模块发送这种潜在不安全的请求的副本，使得该接收器模块可以向远程服务器提交所述副本(直接或经由安全浏览器间接地)，以及在安全运行时环境中接收所请求的内容。

代理模块继而可以从接收器模块接收在安全运行时环境中渲染的内容和/或该内容的描述和/或渲染的指示。

根据实施方式，代理模块运行在代理处理设备，例如路由器或代理计算机上。浏览器运行在用户计算机上。所述特征可以是有益的，因为用户设备上的缺省运行时环境在物理上与代理模块分离，而且可以应用由用户计算机的操作系统提供的各种安全措施以针对在运行于代理处理设备的代理模块上执行的代码保护用户计算机。典型地，一个或多个用户计算机连接至相同的代理处理设备，并且使用所述代理处理设备来进行安全web浏览。根据其他实施方式，代理模块和浏览器二者都运行在用户计算机上。所述特征可以是有益的，因为不需要购买用于操作该代理模块的附加硬件。具体地，为了允许针对私有个体或非常小的组织单元的安全因特网浏览，在同一机器上运行代理模块和缺省运行时环境中的浏览器可能是最便宜且技术上最容易的实现变体。

某些标准浏览器允许用户指定哪个代理模块应当用于因特网浏览。根据某些实施方式，随着Mozilla Firefox、Internet Explorer和其他标准浏览器变体一起提供的所述指定工具用于指定接收用户经由在缺省运行时环境中运行的浏览器提交的请求的代理模块。以此方式使用代理的优势在于本发明由此可以通过标准浏览器的简单配置改变而实现在用户的计算机上。不需要对现有应用或操作系统做出源代码改变。

取决于本发明的实施方式，可以使用不同的通信协议。根据一个实施方式，使用HTTP请求和对应的HTTP响应。根据其他实施方式，使用HTTPS请求和对应的HTTPS响应。可以应用任何其他协议来经由诸如因特网的潜在不安全网络来请求和接收数据。

根据实施方式，安全运行时环境是由安全计算机提供的运行时环境。安全计算机例如可以是属于经由防火墙与主控缺省运行时环境的计算机分隔的计算机簇的服务器。安全计算机同样可以是借由安全措施、以防止在安全运行时环境中执行的恶意代码扩散至缺省运行时环境的方式、与缺省运行时环境分隔的任何其他计算机。

根据其他实施方式，安全运行时环境是运行在代理处理设备上的虚拟机。用户的浏览器运行在用户计算机上。虚拟机防止在所述虚拟机上执行的任何恶意代码影响主控用户的浏览器或代理模块的运行时环境。

根据其他实施方式，安全运行时环境是运行在用户计算机上的虚拟机。用户的浏览器也运行在用户计算机上。代理模块可以在用户计算机上运行于缺省运行时环境中，或者运行在单独的代理处理设备上。禁止在所述虚拟机上执行的任何恶意代码影响浏览器的缺省运行时环境。这可以由虚拟机管理器(诸如，例如，VMware ESX、Collax V-Cube和Hyper-V)提供的处理器和存储隔离实现。

根据其他实施方式，安全运行时环境是利用比缺省运行时环境少的特权运行在用户计算机上的浏览器。在此情况下，所述浏览器既充当安全运行时环境又充当安全浏览器。

根据实施方式，代理模块实现为用户计算机的协议栈的组成部分，协议栈负责在用户计算机的浏览器与代理模块之间建立网络连接和/或负责在代理模块与远程服务器之间建立网络连接。所述特征可以是有益的，因为确保了来自用户计算机的所有请求可被捕获并在需要的时候作为去往安全运行时环境中的接收器模块的副本进行转发。

根据实施方式，评估接收的请求包括待由代理执行的、以任何组合从包括下述步骤的组合中选择的一个或多个步骤：从请求提取URL和评估该URL；以及评估提供所请求内容的资源类型。URL的提取和评估可以包括例如评估URL的域、子域、参数或参数值或任何其他部分，以确定该URL是否指向潜在的不安全资源。资源类型的评估可以包括例如确定该URL是否包括预定义的数据模式，例如，潜在危险类型的文件扩展(例如，.exe、.asp、.swf、.php等)。

根据实施方式，该计算机实现的方法进一步包括待由代理模块执行的下述步骤：

–从远程服务器接收至少响应的报头，该响应是针对转发至远程服务器的请求的响应；

–评估该报头以确定响应是否包括不安全内容；

–在确定该响应包括不安全内容的情况下，向接收器模块发送由代理模块接收的请求的副本，以支持接收器模块向远程服务器发送该请求；

–在确定该响应包括安全内容的情况下，继续接收完整的响应；以及

–向最初递交该请求的浏览器转发该完整响应或其中包含的数据。

所述特征可以是有益的，因为一旦确定所接收内容可能承担某些安全风险就自动停止该代理对潜在恶意代码的接收。由此，避免了不必要的数据流：所请求的内容需要由以任何方式运行在安全运行时环境中的接收器模块请求第二次。

报头的评估可以包括确定mime类型、评估内容布置响应报头字段等。用于确定应当将哪种类型的报头元素视为不安全的策略可以取决于特定用户或公司的个体需求，以及各种用于决定特定报头内容是否应当被视为不安全的标准和规则也是可行的。

此处使用的表述向远程服务器“发送所接收请求的副本”应当指示该代理模块可以对从用户的缺省浏览器接收的请求进行解析、评估和处理。代理模块继而可以创建新的请求(所接收请求的副本)。该新的请求可以与所接收的请求具有稍微不同的语法，并且可以具有相同的或者至少类似的语义数据内容。语法和/或语义的差别一方面可取决于用于浏览器和代理模块之间的数据通信的协议，另一方面取决于用于代理模块和远程服务器之间的数据通信的协议。此处使用的请求的副本包括原始请求的资源的指定，例如，提供所请求内容的资源的URL，GET请求等的参数和/或包含在原始接收的请求中、从远程服务器指定和接收所请求内容所需的任何其他参数值。关于代理模块接收的请求和向接收器模块发送的请求的副本在语法和/或语义上的所述小变体在下文中作为取决于所使用协议、网络和代理模块的特定情况的实现细节而加以考虑。

根据实施方式，继续接收响应的步骤包括：从远程服务器至少接收响应的主体的一部分；以及评估该主体的所接收部分以确定该响应是否包括不安全内容。所述评估可以包括例如根据该响应的所接收部分计算的幻数(magic-number)的评估。此处使用的幻数是用于标识包括响应数据的文件的文件格式或用于标识正用于传输该响应的协议的任何常数或文本值。

根据实施方式，该方法进一步包括：提供用于评估请求和/或响应的规则集合；以及提供用于创建和/或修改规则的用户接口。使用规则可以是有利的，因为与例如使用神经网络或其他机器学习技术相比，创建和修改规则相对容易一些。例如，规则可以指定：在接收到针对pdf文档的请求的情况下，所述请求被视为是针对不安全内容的请求，以及所述请求将被作为代理模块接收的请求的副本向接收器模块转发。

根据实施方式，代理模块控制打开和关闭从代理模块到远程服务器的网络连接。在浏览器请求远程服务器的资源时，立即打开去往远程服务器的连接。无论何时代理模块确定其不再需要来自该资源的其他数据内容，都关闭该连接。该代理模块不会传染上恶意代码，因为该代理模块从不执行来自远程服务器的数据而仅仅是评估该数据。

在其他方面中，本发明涉及用于安全web浏览的代理处理设备。该代理处理设备包括：

-接口，配置用于接收从浏览器递交的请求，浏览器运行在缺省运行时环境中，该请求请求由远程服务器提供的内容；

-处理器；

-计算机可读存储介质，其包括用于操作代理模块的指令，代理模块配置用于：

评估接收的请求，以确定请求是否正请求不安全内容，和/或评估所请求的内容，以确定所请求的内容是否包括不安全内容；

在确定该请求请求不安全内容的情况下和/或在确定所请求的内容包括不安全内容的情况下，向接收器模块发送所接收的请求的副本，接收器模块运行在安全运行时环境中，安全运行时环境防止在所述运行时环境中执行的任何恶意代码影响浏览器的缺省运行时环境；

在确定该请求请求安全内容的情况下，向远程服务器转发所接收的请求的副本。

根据某些实施方式，用于安全web浏览的代理模块的地址需要手动地在web浏览器内配置。根据其他实施方式，所使用的代理模块对于用户计算机及其浏览器而言是透明的，因为所使用的代理模块包含在用于web浏览的某些路由器中。

接收器模块：

在另一方面中，本发明涉及用于安全web浏览的计算机实现的方法，该方法在安全运行时环境中执行。该方法包括：

-由运行在安全环境中的接收器模块接收来自代理模块的请求，代理模块运行在安全运行时环境之外，该请求请求由远程服务器提供的内容；

-向远程服务器发送所接收的请求的副本；

-接收响应于发送该请求的副本的响应；

-在安全运行时环境中渲染所接收的响应的内容；

-由接收器模块向代理模块返回在安全运行时环境中所渲染的内容和/或所渲染的内容的描述和/或渲染的指示。

在安全运行时环境中渲染的指示可以包括安全运行时环境的指示，例如，主控该安全运行时环境的安全计算机所处的楼座或房间的指示。显示在安全运行时环境中渲染的内容的显示设备也可被指示出来。这种指示可以是例如：<html><body>你的内容在显示于计算机‘Comp0123’的屏幕S2中的安全浏览器中打开</body></html>。所述特征可以是有益的，因为即使是恶意的数据内容也可以由接收器模块或安全浏览器执行，或者经由主控安全运行时环境的机器的屏幕显示。

此处使用的“渲染”是以可以经由图形用户接口向用户显示数据内容的图形表征的方式、解释所请求资源的所接收数据内容的过程。渲染可以包括创建图像文件和/或标准格式的HTML页面，以供标准浏览器显示，和/或生成可由定制应用程序解释的定制数据对象，以供经由图形用户接口显示。

根据实施方式，代理模块向运行在缺省运行时环境中的浏览器转发所述渲染的内容、描述和/或指示。所述浏览器可以向用户显示渲染的内容、指示和/或描述。

返回渲染的内容和/或其描述可以是有益的，因为缺省运行时环境从不需要渲染以及由此执行潜在的不安全数据内容。缺省运行时环境仅需要显示已在安全环境中渲染的数据。对于若干用例场景，指示内容在安全环境中渲染而不是显示渲染的内容将是有益的。例如，在所请求的内容实际上包含病毒或特洛伊木马的情况下，安全环境可以停止渲染不安全代码，以及仅仅向缺省运行时环境中的浏览器发送消息，即，所请求的内容包括恶意软件并且因此可以不进行渲染。在其他情况下，所请求的内容，例如，web页面的内容，可被渲染至不会/不保证会包括恶意代码的图像数据或文本的流中，所述文本或图像数据继而由接收器模块经由代理模块传输至缺省运行时环境中的浏览器以供显示。

取决于实施方式，存在用于渲染响应的内容的不同方式。该内容可以在安全浏览器(即，运行在接收器模块的安全运行时环境中的浏览器)中打开并显示。所述浏览器可以是标准浏览器，诸如Firefox、Chrome或Internet Explorer，或者可以是开发用于渲染和查看响应数据的定制应用程序。响应数据可以在打开或渲染之前由安全浏览器自动地临时存储在存储介质上。接收器模块可以操作以启动和终止所述安全浏览器、向用于渲染所述内容的安全浏览器发送从远程服务器接收的内容。接收器模块也可以操作用于从安全浏览器接收渲染的数据。接收器模块可以向从安全浏览器接收的渲染数据添加安全渲染的指示和描述。所渲染的内容可以结合所述内容在安全运行时环境中进行渲染这样的指示一起返回至代理模块。渲染的内容连同安全渲染的指示(如果存在的话)一起由代理模块向从其提交原始请求至代理模块的浏览器转发。所述浏览器可以经由图形用户接口向用户显示渲染的响应数据和所述指示。

根据实施方式，接收器模块实现为监听器，其监听代理模块用来转发针对不安全内容的请求的副本的特定地址。

根据实施方式，向远程服务器发送所接收请求的副本的步骤进一步包括：由接收器模块从接收的请求提取URL。该URL指向远程服务器的资源，该资源提供所请求的内容。接收器模块例如通过在启动安全浏览器或打开新的浏览器选项卡时将提取的URL用作开始参数，来启动或使用安全浏览器以向远程服务器发送所接收请求的副本。安全浏览器是运行在安全运行时环境中的标准浏览器或定制浏览器。所接收请求的副本由安全浏览器提交至提取的URL。安全浏览器继而可以从所请求的远程服务器接收响应。

优选地，所述请求的副本可以是http请求或https请求。

根据其他实施方式，接收器模块向远程服务器发送请求的副本以及接收响应。

根据实施方式，在安全运行时环境中渲染所接收响应的内容的步骤和向代理模块返回渲染的内容和/或其描述和/或渲染的指示的步骤根据从三个实现变体之一选择的实现变体来执行，包括：

根据第一实现变体，响应于安全浏览器发送所接收请求的副本，所接收响应的内容由安全浏览器渲染；所接收的内容可以由安全浏览器渲染，以及由安全浏览器向接收器模块转发。从接收器模块向代理模块至少发送渲染的指示，该指示包括主控安全运行时环境的安全计算机系统的指定和/或针对所述安全计算机系统的多个屏幕中一个屏幕的指定，所述一个屏幕显示渲染的内容。例如，安全浏览器可以渲染该响应并经由屏幕S2显示该响应。接收器模块可以创建html文档“<html><body>你的内容在显示于计算机‘Comp0123’的屏幕S2上的浏览器中打开</body></html>”，并向代理模块发送所述html文档以向用户的浏览器转发该文档。

根据第二实现变体，接收器模块从接收的请求提取URL。该URL指向远程服务器的资源，该资源提供所请求的内容。URL例如可以是去往由远程服务器主控的flash对象的链接。接收器模块创建将URL作为src(源)属性的值包括进来的html页面，以及将该html页面存储在安全运行时环境中的存储介质中。接收器模块继而触发安全浏览器打开、渲染和显示包括经由该URL提供的源的已存储html页面。继而，接收器模块向代理模块至少发送渲染的指示，该指示包括安全计算机系统的指定和/或显示所渲染内容的一个屏幕的指定。例如，接收器模块可以提取指向Flash应用的URL“http://www.insecureserver.com/guide/ widget/widget1”。接收器模块可以创建下述html文档RENDERME.html：“<html><body><embed src＝"http://www.insecureserver.com/guide/widget/widget1"quality＝"high"wmode＝"opaque"type＝"application/x-shockwave-flash"plugin-spage＝"http://www.macromedia.com/go/getflashplay-er"></embed></body></html>”。接收器模块将文件RENDERME.html存储在安全运行时环境的存储介质中，以及触发安全浏览器打开RENDERME.html文件以经由安全浏览器渲染和显示所述页面的内容。优选地，包括显示所渲染内容的显示设备的指示的渲染指示由接收器模块发送至代理模块。

根据第三实现变体，接收器模块渲染所接收的内容以及将渲染的内容以安全数据格式存储在安全运行时环境内的存储介质中。安全数据格式是确保不会包括可执行指令的数据格式。优选地，所述数据格式可以是图像文件，例如jpg文件等。渲染也可以包括：评估所接收的内容，以及确定替代从远程服务器原始接收的内容而将被转发的条形码或其他预定义标识符或预定义内容。至少将渲染内容的描述从接收器模块向代理模块发送。该描述包括内容地址，该内容地址允许安全运行时环境外的浏览器访问和打开所述存储的和渲染的内容。优选地，该描述是包括具有指向图像的src属性的链接的html文档，所述图像包括所渲染的内容。例如，接收器模块可能已经将渲染的数据内容存储在文件“RENDERED-CONTENT.jpg”中，所述文件的格式是安全格式。接收器模块继而创建包括“<html><body><img rsc＝"http://receiver_ip_address/RENDERED-CONTENT.GIF"></body></html>”的html页面，其中receiver_ip_address是主控安全运行时环境的服务器的IP地址。所述创建的html页面可以向代理模块发送，以使得用户的浏览器显示该html页面。所述特征可以是有益的，因为确保这些渲染的图像不包括可执行恶意软件，并且因此可以在没有任何安全风险的情况下显示在缺省运行时环境的浏览器中。取决于实施方式，实现变体可以单独使用或彼此结合使用。

根据实施方式，接收器模块是web服务器，该web服务器适用于向代理模块发送安全运行时环境中渲染的内容和/或其描述和/或渲染的指示。这可以通过向代理模块发送html文档来实现，所发送的html文档包括去往存储在安全运行时环境中瞬态或非瞬态存储介质的所渲染内容的内容地址，或包括耦合至安全运行时环境的、在该处显示渲染的内容的显示设备的指示。

将接收器模块实现为web服务器可以是有益的，因为很多标准代理已经具有允许获取和解释由web服务器和应用服务器提供的数据的代码。

在其他方面中，本发明涉及安全计算机系统，包括：

-处理器；

-第一接口，配置用于接收从代理模块递交的请求，该请求请求由远程服务器提供的内容；

-安全运行时环境；

-计算机可读存储介质，其包括用于操作接收器模块的指令，所述接收器模块运行在安全运行时环境中；

-第二接口，配置用于：

向远程服务器发送所接收的请求的副本；

接收响应于所接收的请求的副本的发送的响应；

-安全浏览器，安全浏览器和/或接收器模块配置用于在安全运行时环境内渲染所接收的响应的内容；

其中接收器模块进一步配置用于向代理模块返回渲染的内容。

根据实施方式，接收器模块仅连接至代理模块和因特网。运行在用户计算机上的浏览器可以连接至因特网和/或内联网，以从远程服务器请求和接收内容。

在其他方面中，本发明涉及计算机可读存储介质，包括在由处理器执行时会引起处理器执行根据在代理侧执行的方法的上述实施方式中任一实施方式的方法和/或在接收器模块侧上执行的上述实施方式中任一实施方式的方法的计算机可解释指令。

附图说明

在下文中，将仅通过示例、参考附图来更详细地描述本发明的优选实施方式，在附图中：

图1是描述由代理模块执行的步骤的流程图；

图2a是运行在单独硬件平台上的接收器模块的框图；

图2b是运行在代理处理设备上的接收器模块的框图；

图3示出了用于请求和接收数据内容的三个可行路径的序列。

具体实施方式

在下文中，这些附图中的相同附图标记或者是类似的元素，或者执行等同功能。已在前文讨论的元素将不必须在后面的附图中讨论，如果功能等同的话。

图1是由代理模块执行的方法流程图。在第一接收步骤101中，代理模块接收请求，该请求已从运行在缺省运行时环境中的浏览器提交。该请求可以是针对经由因特网连接至主控该浏览器的机器的远程服务器上主控的资源的数据内容的HTTP请求。在评估步骤102中，已由代理模块接收的请求由代理模块评估。附加地或备选地，可以评估代理模块已从远程服务器接收的响应于该请求的数据内容，以便确定该请求是否正请求不安全内容。“不安全内容”可以是实际包括恶意软件的任何数据，或者自动地确定为潜在包括恶意软件的任何数据。在该请求被确定为请求不安全内容或所请求的内容被确定为包括不安全内容的情况下，代理模块在接下来的步骤103中向接收器模块发送所接收请求的副本。接收器模块运行在安全运行时环境中，该环境防止其中执行的任何恶意代码影响浏览器的缺省运行时环境。在步骤104中，在确定该请求请求安全内容的情况下，从代理模块向远程服务器转发所接收请求的副本。

图2a是分布式计算机系统的框图。包括存储器209和存储介质212的用户计算机201经由因特网连接至远程服务器202。存储介质212包括指令，当由处理器206执行时，这些指令提供浏览器的缺省运行时环境，所述浏览器由用户205使用来经由代理模块211浏览因特网。代理模块由包括处理器208和存储介质214的代理计算机204提供。浏览器配置用于使用代理计算机204来浏览因特网。当运行在用户计算机上的浏览器配置用于使用代理模块以及接收给定URL的内容时，浏览器创建去往代理模块的连接，并向代理模块发送HTTPget(获取)请求。代理计算机204经由内联网连接连接至安全计算机203.1。安全计算机包括存储器210和存储介质213，该存储介质213包括在由处理器207执行时会提供接收器模块217的指令。接收器模块运行在安全运行时环境中。用户计算机的缺省运行时环境与其中运行接收器模块217和安全浏览器的安全运行时环境由安全措施215(例如，防火墙等)彼此分开运行。在导航因特网时，用户可请求由远程服务器提供的某些数据内容。用户的浏览器可以向代理模块发送HTTP请求。代理模块211可以评估该请求以决定HTTP请求的副本是否应当向远程服务器转发，或者请求的副本是否应当向安全计算机转发，以使得安全计算机向远程服务器提交HTTP请求。在此情况下，所请求的内容处于安全运行时环境中。代理模块大部分作为标准web代理而动作。代理模块可以配置于用户205的浏览器内，并且在因特网浏览器看来类似于代理服务器。

每次浏览器通过向代理模块传递封装在HTTP代理请求中的URL来请求远程服务器的内容时，代理模块评估所述HTTP请求的各方面(URL的属性、GET参数、提供所请求内容的源类型)和/或评估传入HTTP响应的各方面(HTTP响应报头、响应内容的mine类型、实际的资源内容等)。取决于HTTP请求的评估，代理模块决定是否应当向远程服务器转发http请求的副本，以及所请求的数据是否应当由代理模块直接从该处接收以便由用户计算机的浏览器渲染所接收的内容，或者包括该URL的HTTP请求的副本是否应当向运行在安全运行时环境中的接收器模块217转发(参见图3)。附加地或备选地，可以评估由代理模块接收的任何请求的内容或其部分，以便确定所接收的内容是否存在安全风险。在此情况中，不向用户计算机的浏览器转发内容。相反，停止由代理模块接收此不安全内容的过程，以及对应HTTP请求的副本被转发至接收器模块以使得接收器模块在安全运行时环境中请求和渲染不安全内容。所接收内容的评估可以包括连续地解析所接收HTTP响应数据，以及在确定数据不安全的情况下立即停止所述数据的接收。由于HTTP请求和响应的评估和转发由代理模块与接收器模块合作执行，此过程对于用户205是完全透明的。可以将可配置用于使用代理的任何标准浏览器用于进行相应的安全web浏览。

备选地(未示出)，代理模块可以与用户的浏览器运行在相同计算机上，以及因此可利用本地IP(因特网协议)地址来寻址。代理模块可以运行在本地主机地址上，并且可以针对浏览器提交的连接请求来监听任何端口。

运行在安全运行时环境中的接收器模块217可以是小软件服务器或者web服务器，其监听代理模块已知的、用于转发HTTP请求的副本和将渲染的数据内容作为软件服务器或web服务器的服务而提供的地址。多个接收器模块可以运行在安全运行时环境中，所述接收器模块的每个的特征在于不同的安全特征。还可行的是，多个接收器模块中的每个模块运行在其自己的安全运行时环境中，每个所述安全运行时环境具有特定的安全特征和约束。代理模块用来评估请求和所请求内容的规则可以基于确定的安全风险来确定应当向多个接收器模块中的哪个模块转发请求的副本。

接收器模块监听代理模块打开连接的请求。当代理模块决定向接收器模块转发包括所述请求的URL的请求的副本时，代理模块打开去往接收器模块的连接，并向接收器模块发送包括URL(或类似于HTTP代理请求的某些内容)的请求。接收URL或HTTP代理请求的接收器模块继而利用所接收的URL启动安全浏览器或者采取某些其他动作。接收器模块本身针对代理模块可以充当web服务器，以用于向代理模块发送回安全渲染的内容。在此情况下，接收器模块发送回HTTP响应，由此指示已经在安全运行时环境内打开了所请求的资源。所请求的内容将与所述指示一起出现在用户的浏览器上。

接收器模块安装在上面的机器203.1可以定期清理(例如，从头开始重新安装)，以自动地删除可能影响安全运行时环境的恶意软件。

图2b示出了另一计算机系统，其中代理模块和接收器模块二者都运行在代理计算机204上。安全虚拟机203.2可以实际上提供安全运行时环境。由虚拟机(其可以优选地在具有有限权限的用户账户下运行)实施的安全约束由作为代理计算机204元素的安全措施215指示。代理模块211运行在由虚拟机203.2提供的安全运行时环境之外。

备选地(未示出)，安全运行时环境可以是在相同计算机系统上作为用户系统的浏览器运行且利用比浏览器少的安全特权运行的进程。在此情况下，安全运行时环境中渲染的任何URL由特权少于安全运行时环境本身的程序渲染。

图3是示出用户计算机201、运行在代理计算机204上的代理模块、运行在由安全计算机203提供的安全运行时环境中的接收器模块和远程服务器202之间的数据交换的图示。用户可以打开运行在用户计算机上的浏览器，以在步骤301中从运行在远程服务器上的资源请求数据。浏览器向代理模块提交HTTP请求，该代理模块在步骤302中评估所接收的HTTP请求，以确定该请求的副本是否应该向远程服务器转发。在步骤303中确定该请求应被视为安全的情况下，代理模块在步骤304中打开去往远程服务器的因特网连接，并在步骤305中向远程服务器发送安全HTTP请求的副本。远程服务器在步骤306中处理该请求，以及向代理模块返回HTTP响应或HTTP响应的至少部分。代理模块在步骤307中接收HTTP响应，以及解析并评估该响应，以便在步骤308中确定该响应的接收内容是否可被信任(不包括不安全数据)。在所接收的内容被确定为安全的情况下，代理模块在步骤309中继续接收响应数据，以及在步骤310中向请求了该资源的浏览器返回所接收的数据。上述执行的处理步骤的路径在图3中由虚线箭头符号340指示。

在评估步骤303确定HTTP请求未请求安全数据以及因此不应当直接向远程服务器发送的情况下，代理模块在步骤320中向运行在安全计算机203上的接收器模块发送HTTP请求。在步骤321中，接收器模块解析所接收的HTTP请求，提取所接收HTTP请求的报头的URL和某些参数，以便准备新的HTTP请求。新的HTTP请求在步骤322中发送至远程服务器。远程服务器在步骤323中处理所接收的请求，以及向接收器模块发送包括处理结果的HTTP响应。接收器模块在步骤324中接收该响应，以及可以在步骤325中修改所接收的响应。该修改可以包括例如向响应添加指示，即，所请求的数据内容在安全运行时环境中渲染。所修改的响应数据由接收器模块向代理模块发送。代理模块在步骤310中向运行在用户计算机的缺省运行时环境中的浏览器返回修改的响应数据。所有所述步骤属于图3中利用一系列实线黑箭头342描述的处理路径。在代理模块在步骤308中确定所接收的响应数据因包括不安全数据而不可信的情况下，执行由另一类型的虚线箭头341指示的路径：在步骤330中，由代理模块关闭去往远程服务器的连接。已在步骤305中发送至远程服务器的HTTP请求在步骤320中第二次发送，但是不是向远程服务器，而是向接收器模块。继而，执行路径342的剩余步骤。

Claims (14)

1.一种用于安全web浏览的计算机实现的方法，所述方法包括：

-由代理模块(211)接收(101)从浏览器递交的请求，所述浏览器运行在缺省运行时环境中，所述请求请求由远程服务器(202)提供的内容；

-由所述代理模块评估(102)所述接收的请求以确定所述请求是否正在请求不安全内容，和/或评估所请求的内容以确定所述请求的内容是否包括不安全内容；

-在所述请求被确定为请求不安全内容的情况下和/或在所述请求的内容被确定为包括不安全内容的情况下，由所述代理模块向接收器模块发送(103)所述接收的请求的副本，所述接收器模块运行在安全运行时环境中，所述安全运行时环境防止在所述运行时环境中执行的任何恶意代码影响所述浏览器的所述缺省运行时环境，并且由所述代理模块从接收器模块接收在安全运行时环境中所渲染的内容和/或所渲染的内容的描述和/或渲染的指示，然后由所述代理模块向所述浏览器转发所述渲染的内容、描述和/或指示；

-在所述请求被确定为请求安全内容的情况下，由所述代理模块向所述远程服务器(202)发送(104)所述请求的副本。

2.如权利要求1的计算机实现的方法，所述方法进一步包括：

-在所述请求的内容被确定为不包括不安全内容的情况下，向所述浏览器转发所述请求的内容。

3.如权利要求1的计算机实现的方法，其中所述接收器模块是对从所述代理模块接收所述请求的所述副本进行监听的监听器。

4.如权利要求1的计算机实现的方法，

-其中所述代理模块运行在代理处理设备(204)上，以及所述浏览器运行在用户计算机(201)上，或者

-其中所述代理模块和所述浏览器运行在所述用户计算机(201)上。

5.如权利要求1的计算机实现的方法，

-其中所述安全运行时环境是由安全计算机(203)提供的运行时环境；或者

-其中所述安全运行时环境是代理处理设备(204)上运行的虚拟机，其中所述浏览器运行在用户计算机(201)上，所述虚拟机防止在所述虚拟机中执行的任何恶意代码影响所述代理模块的运行时环境；或者

-其中所述安全运行时环境是所述用户计算机(201)上运行的虚拟机，其中所述浏览器也运行在所述用户计算机(201)上，以及其中通过利用比所述缺省运行时环境少的特权来运行所述虚拟机，而禁止所述虚拟机中执行的任何恶意代码影响所述浏览器的所述缺省运行时环境。

6.如权利要求4或5的计算机实现的方法，进一步包括：

-提供所述代理模块(211)以作为用户计算机的协议栈的组成部分，所述协议栈负责在所述用户计算机的所述浏览器与所述代理模块之间建立网络连接，和/或负责在所述代理模块和所述远程服务器之间建立网络连接。

7.如权利要求1-5中任一项的计算机实现的方法，其中评估所述接收的请求包括以任意组合从包括下述步骤的组中选择的一个或多个步骤：

-从所述请求提取URL以及评估所述URL；以及

-评估所述请求的内容的类型和/或提供所述内容的资源的类型。

8.如权利要求1-5中任一项的计算机实现的方法，进一步包括：

-从所述远程服务器至少接收响应的报头，所述响应是针对向所述远程服务器发送的所述请求的副本的响应；

-评估所述报头以确定所述响应是否包括不安全内容；

-在确定所述响应包括不安全内容的情况下，向所述接收器模块发送所述请求的所述副本，以使得所述接收器模块能够向所述远程服务器发送所述请求；

-在确定所述响应包括安全内容的情况下，继续接收所述响应，直到完整的响应被接收；以及

-向所述代理模块发送所述完整响应或所述完整响应中包含的数据。

9.一种用于安全web浏览的计算机实现的方法，所述方法在安全运行时环境中执行，所述方法包括：

-由运行在所述安全运行时环境中的接收器模块接收来自代理模块(211)的请求，所述代理模块运行在所述安全运行时环境之外，所述请求请求由远程服务器(202)提供的内容，其中所述请求被确定为请求不安全内容和/或确定为包括不安全内容；

-由所述接收器模块向所述远程服务器发送所述接收的请求的副本；

-由所述接收器模块接收响应于发送所述请求的所述副本的响应；

-由所述接收器模块在所述安全运行时环境中渲染所述接收的响应的内容；

-由所述接收器模块向所述代理模块返回在所述安全运行时环境中的所述渲染的内容和/或所述渲染的内容的描述和/或所述渲染的指示。

10.如权利要求9的计算机实现的方法，其中向所述远程服务器发送所述接收的请求的所述副本的步骤进一步包括：

-由所述接收器模块从所述接收的请求提取URL，所述URL指向所述远程服务器的资源，所述资源提供所述请求的内容；

-由所述接收器模块启动或使用安全浏览器，以由所述安全浏览器发送所述接收的请求的副本，所述安全浏览器运行在所述安全运行时环境中，所述接收的请求的所述副本由所述安全浏览器向所述提取的URL提交，所述安全浏览器是标准浏览器或定制浏览器。

11.如权利要求10的计算机实现的方法，其中在所述安全运行时环境中渲染所述接收的响应的内容的步骤和向所述代理模块返回所述渲染的内容和/或所述渲染的内容的描述和/或所述渲染的指示的步骤是根据从包括下述步骤的实现变体群组中选择的实现变体而执行的：

-由所述安全浏览器渲染响应于所述安全浏览器发送所述接收的请求的所述副本而接收的响应的内容；至少从所述接收器模块向所述代理模块发送所述渲染的所述指示，所述指示包括主控所述安全运行时环境的安全计算机系统的指定和/或来自所述安全计算机系统的多个屏幕的一个屏幕的指定，所述一个屏幕显示所述渲染的内容；

-由所述接收器模块从所述接收的请求提取URL，所述URL指向所述远程服务器的资源，所述资源提供所述请求的内容；由所述接收器模块创建html页面，所述html页面包括所述URL以作为src属性的值；在所述安全运行时环境内的存储介质中存储所述html页面；由所述接收器模块触发所述安全浏览器打开、渲染和显示包括经由所述URL提供的源的所述存储的html页面；以及从所述接收器模块向所述代理模块至少发送所述渲染的所述指示，所述指示包括所述安全计算机系统的指定和/或显示所述渲染的内容的所述一个屏幕的指定；

-由所述接收器模块渲染所述接收的响应的所述内容；在所述安全运行时环境中的存储介质中以安全数据格式存储所述渲染的内容，所述安全数据格式是保证不包括可执行指令的数据格式；从所述接收器模块向所述代理模块发送至少所述渲染的内容的所述描述，所述描述包括内容地址，所述内容地址允许所述安全运行时环境外的浏览器访问并打开所述存储的和渲染的内容。

12.如权利要求11的计算机实现的方法，其中所述接收器模块是web浏览器，所述web浏览器适用于通过向所述代理模块发送html文档而向所述代理模块发送所述安全运行时环境中的所述渲染的内容和/或所述渲染的内容的描述和/或所述渲染的指示，所述发送的html文档包括针对存储在所述安全运行时环境中的所述存储介质的渲染的内容的地址，或者包括对耦合至所述安全运行时环境的显示设备的指示以在该显示设备处显示所述渲染的内容。

13.一种用于安全web浏览的代理处理设备(204)，所述代理处理设备包括：

-接口，配置用于接收从浏览器递交的请求，所述浏览器运行在缺省运行时环境中，所述请求请求由远程服务器(202)提供的内容；

-处理器(208)；

-代理模块(211)，所述代理模块配置用于：

评估所述接收的请求以确定所述请求是否正在请求不安全内容，和/或评估所述请求的内容以确定所述请求的内容是否包括不安全内容；

在所述请求被确定为请求不安全内容的情况下和/或在所述请求的内容被确定为包括不安全内容的情况下，向接收器模块发送所述接收的请求的副本，所述接收器模块运行在安全运行时环境中，所述安全运行时环境防止在所述运行时环境中执行的任何恶意代码影响所述浏览器的所述缺省运行时环境，并且从接收器模块接收在安全运行时环境中所渲染的内容和/或所渲染的内容的描述和/或渲染的指示，然后向所述浏览器转发所述渲染的内容、描述和/或指示；

在所述请求被确定为请求安全内容的情况下，向所述远程服务器(202)发送所述请求的副本。

14.一种安全计算机系统(203.1)，所述系统包括：

-处理器(207)；

-第一接口，配置用于接收从代理模块提交的请求，所述请求请求由远程服务器(202)提供的内容，其中所述请求被确定为请求不安全内容和/或确定为包括不安全内容；

-安全运行时环境，在所述安全运行时环境中运行有接收器模块；

-第二接口，配置用于：

向所述远程服务器发送所述接收的请求的副本；

接收响应于发送所述接收的请求的所述副本的响应；

-安全浏览器，所述安全浏览器和/或所述接收器模块配置用于在所述安全运行时环境中渲染所述接收的响应的内容；

其中，所述接收器模块进一步配置用于向所述代理模块返回在所述安全运行时环境中的所述渲染的内容和/或所述渲染的内容的描述和/或对所述渲染的指示。