CN104094275B

CN104094275B - 针对设备数据的安全策略

Info

Publication number: CN104094275B
Application number: CN201380008765.3A
Authority: CN
Inventors: D.M.英加尔斯; N.J.伊德; C.R.麦考莱; O.T.乌雷歇; M.J.格拉斯; S.维纳亚克; P.D.亚当
Original assignee: Microsoft Technology Licensing LLC
Current assignee: Microsoft Technology Licensing LLC
Priority date: 2012-02-09
Filing date: 2013-01-28
Publication date: 2019-06-28
Anticipated expiration: 2033-01-28
Also published as: EP2812842B1; KR102071087B1; JP6198231B2; US9811682B2; CN104094275A; US9245143B2; WO2013119401A1; EP2812842A1; US20130212367A1; US20160154973A1; JP2015508257A; EP2812842A4; KR20140123522A

Abstract

描述了用于提供针对设备数据的安全策略的技术。在实现中，设备上的数据以加密形式存储。为了保护加密数据免于被未经授权的实体解密，如果检测到为了获得对设备数据的未经授权的访问的尝试，则技术使得解密密钥能够被闭塞。在实现中，解密密钥能够以各种方式闭塞，诸如通过删除解密密钥、覆写存储器中的加密密钥、对加密密钥进行加密等等。实施例使得闭塞的解密密钥能够经由恢复体验而恢复。例如，恢复体验能够包括请求恢复口令的认证过程。如果提供正确的恢复口令，则能够提供闭塞的解密密钥。

Description

针对设备数据的安全策略

背景技术

当今的个体可以访问多种多样的设备，这些设备能够被用于执行诸如工作有关的任务、个人活动、娱乐活动等等之类的各种任务。虽然一些设备可以专用于诸如工作有关的目的之类的特定目的，但是许多设备被视为“混合用途”设备。例如，个体的智能电话能够被用于执行诸如做出个人电话呼叫、拍照片、发送消息等等之类的个人任务。智能电话还可以被用于诸如发送和接收工作有关的电子邮件、读取和编辑工作文档、管理工作联络等等之类的工作有关的活动。

这样的混合用途设备的一个结果是各种类型的数据可以存储在特定设备上。例如，工作有关的文档可以本地存储在智能电话上以使得个体能够使用智能电话查看文档。虽然将数据本地存储在设备上能够为个体提供对数据的便捷访问，但是其还可能呈现相当大的安全风险。例如，存储在设备上的敏感数据可能潜在地暴露给获取该设备的未经授权的占有的个体。

用于保护存储在设备上的数据的一些技术通过简单地从设备擦除数据来响应于对数据所尝试的未经授权的访问的指示。虽然这在某些情形中对保护数据免于未经授权的访问能够是有效的，但是其还可能导致重要数据的丢失。例如，考虑其中孩童尝试获得对其父母的电话的访问以玩游戏的场景。诸如有限重试逻辑或用于策略实施的企业服务器之类的与电话相关联的安全功能性可以将该尝试解释为个体为了获得对敏感数据的未经授权的访问的尝试。作为响应，安全功能性能够使电话上的数据被擦除。这不仅可能导致重要数据的丢失，而且能够呈现相当明显的不便之处，因为可能实现重配置过程以将设备返回到功能状态。

发明内容

提供本发明内容来以简化的形式引入以下在具体实施方式中进一步描述的概念的选择。本发明内容不旨在标识所要求保护的主题的关键特征或本质特征，也不旨在被用作对确定所要求保护的主题的范围的帮助。

描述了用于提供针对设备数据的安全策略的技术。在至少一些实现中，设备上的数据以加密形式存储。为了由设备的功能性（例如应用）所利用，加密数据从存储来读取、使用解密密钥来解密并且被提供给功能性。为了保护加密数据免于被未经授权的实体解密，如果检测到为了获得对设备数据的未经授权的访问的尝试，则技术使得解密密钥能够被闭塞(occlude)。在实现中，解密密钥能够以各种方式闭塞，诸如通过删除解密密钥、在存储器中覆写加密密钥、对加密密钥进行加密等等。

实施例使得闭塞的解密密钥能够经由恢复体验(experience)进行恢复。例如，恢复体验能够包括从用户请求高级认证信息的认证过程。这样的高级认证信息能够包括可以由授权用户取得(retrieve)的高熵恢复口令。如果用户提供正确的恢复口令，则恢复体验能够使闭塞的解密密钥被恢复，例如，去闭塞。在实现中，在闭塞的解密密钥已经得以恢复之后，用户能够向设备提供标准认证信息，诸如设备登录体验的一部分之类。如果认证成功，则经恢复的解密密钥能够被用于解密设备上的数据，使得数据能够被设备的用户和/或功能性“不受阻碍地”访问。

实施例提供了能够被用于保护存储在设备上的数据免于未经授权的访问的安全策略。例如，如果特定条件存在，则安全策略能够指定用于设备的解密密钥被闭塞。这样的条件的示例能够涉及许多不成功的设备登录尝试、经由非受信的设备访问加密数据的尝试、解密密钥和/或安全有关凭证的明确撤销、在特定时间处设备“签到”的失败等等。

附图说明

参照附图描述具体实施方式。在图中，参考标号的（多个）最左侧数字标识其中该参考标号第一次所出现的图。在描述和附图中的不同实例中相同参考标号的使用可以指示类似或相同的项。

图1是可操作以采用本文所讨论的技术的示例性实现中的环境的图示。

图2是描述了依照一个或多个实施例的方法中的步骤的流程图。

图3是描述了依照一个或多个实施例的方法中的步骤的流程图。

图4是描述了依照一个或多个实施例的方法中的步骤的流程图。

图5图示了如参照图1所描述的示例性系统和计算设备，其被配置成实现本文所描述的技术的实施例。

具体实施方式

概述

描述了用于提供针对设备数据的安全策略的技术。在实现中，设备上的数据以加密形式存储。为了由设备的功能性（例如应用）所利用，加密数据从存储来读取、使用解密密钥来解密并且被提供给功能性。为了保护加密数据免于被未经授权的实体解密，如果检测到为了获得对设备数据的未经授权的访问的尝试，则技术使得解密密钥能够被闭塞。在实现中，解密密钥能够以各种方式闭塞，诸如通过删除解密密钥、在存储器中覆写加密密钥、对加密密钥进行加密等等。

实施例使得闭塞的解密密钥能够经由恢复体验进行恢复。例如，恢复体验能够包括从用户请求高级认证信息的认证过程。这样的高级认证信息能够包括可以由授权用户取得的高熵恢复口令。如果用户提供正确的恢复口令，则恢复体验能够使闭塞的解密密钥被恢复，例如，去闭塞。在实现中，在闭塞的解密密钥已经得以恢复之后，用户能够向设备提供标准认证信息，诸如设备登录体验的一部分之类。如果认证成功，则经恢复的解密密钥能够被用于解密设备上的数据，使得数据能够被设备的用户和/或功能性“不受阻碍地”访问。

已经依照一个或多个实施例呈现了示例性实现的概述，现在考虑其中可以采用示例性实现的示例性环境。

示例性环境

图1是可操作以采用用于提供针对设备数据的安全策略的技术的示例性实现中的环境100的图示。环境100包括客户端设备102，其能够体现为任何适合的计算设备，诸如，作为示例而非限制，台式计算机、便携式计算机、诸如个人数字助理（PDA）之类的手持式计算机、移动电话、平板计算机和相似物。下文在图5中示出并描述客户端设备102的各种不同的示例。

将图1的客户端设备102图示为包括应用104，其表示经由客户端设备102执行各种任务的功能性。这样的任务的示例包括万维网浏览、文字处理、电子邮件、内容消耗（例如视频和/或音频）、社交联网等等。例如，应用104能够包括万维网浏览器，其表示被配置成经由网络106进行导览(navigate)的功能性。网络106可以包括和/或采取各种各样的不同配置，诸如因特网、广域网（WAN）、局域网（LAN）、无线网络、公共电话网络、内联网等等。另外，尽管示出单个网络106，但是网络106可以被配置成包括多个网络。应用104例如可以被配置成经由网络106进行导览以与从网络资源可用的内容交互以及将数据传送到网络资源，例如执行下载和上载。

另外图示为客户端设备102的一部分的是加密数据108，可以使用各种不同数据加密技术对其加密。加密数据108例如能够存储在驻留于客户端设备102上的某种形式的计算机可读存储媒介上。下文参照图5讨论这样的计算机可读存储媒介的示例。在实现中，加密数据108能够包括用户和/或企业数据，诸如内容（图像、视频、音频等等）、文档、联络、电子邮件等等。加密数据108还能够包括系统数据，诸如操作系统（OS）数据、用于客户端设备102的系统文件、应用文件（例如可执行文件）等等。

客户端设备102还包括安全模块110，其表示管理和/或执行用于客户端设备102的各种安全有关的任务的功能性。例如，安全模块110可以被配置成加密客户端设备102的数据，使得数据能够作为加密数据108的一部分被存储。各种类型的数据能够被安全模块110加密并且作为加密数据108的一部分被包括，加密数据108的示例在上文提供。

安全模块110包括至少一个解密密钥112，其表示能够被用于解密加密数据108的数据的一部分。例如安全模块110能够使用解密密钥112来解密加密数据108以将数据置于能够被人类识别（例如人类可读形式）、能够被应用104用来执行任务、和/或能够被客户端设备102用作执行系统级操作的一部分的形式。

另外作为安全模块110的一部分被包括的是安全策略114，其表示能够触发安全过程的条件和/或事件。例如，如果安全模块110检测到安全策略114中的一个的违反，则安全模块110能够使解密密钥112闭塞。下文详细讨论安全策略114的示例。

安全模块110还包括设备状况模块116，其表示监视和/或报告客户端设备102的状态信息的功能性。例如，安全策略114中的一个或多个能够指定客户端设备102的特定状态条件。如果设备状况模块116检测到特定状态条件的变化，则设备状况模块116能够提供已经违反安全策略114之一的通知。

例如，设备状况模块116能够追踪用于诸如处理器、存储器设备、输入/输出设备等等之类的客户端设备102的各种组件的标识符。因此，设备状况模块116能够维护用于客户端设备102的已知组件的简档。如果设备状况模块116检测到未知组件正在尝试与客户端设备102交互，则设备状况模块116能够触发安全策略114之一的违反。例如，设备状况模块116能够检测未知的中央处理单元（CPU）或非受信的CPU配置正在尝试访问存储在客户端设备102上的数据，诸如加密数据108。作为响应，安全模块110能够使解密密钥112闭塞，使得能够防止未知CPU访问解密密钥112和解密加密数据108。下文呈现其它状态有关的信息的示例。

另外作为客户端设备102的一部分被包括的是恢复模块118，其表示使得能够恢复闭塞的安全密钥的功能性。例如，如果解密密钥112响应于安全策略114之一的违反而闭塞，则恢复模块118能够发起恢复过程，其可以使得能够恢复（例如，去闭塞）解密密钥112。下文讨论恢复过程的详细示例。

环境100还包括安全服务120，其表示管理和/或执行实体的安全过程的功能性。安全服务能够由可以经由网络106与客户端设备102通信的远程资源来实现。例如，安全服务120能够管理与客户端设备102的用户相关联的企业实体（例如商务）的安全过程。安全服务120包括至少一个安全状况列表122，其追踪用于各种项的安全状况。例如，安全状况列表122能够指定是否已经撤销特定项的受信状况，诸如客户端设备、安全密钥、数字证书、安全凭证等等。

安全服务120例如能够接收客户端设备102可能被未经授权的个体占有的指示。例如，客户端设备102的授权用户能够将客户端设备102已经丢失或被盗通知给安全服务120。安全服务120能够使客户端设备102的受信状况被撤销，其能够记录在安全状况列表122中。例如，安全服务120能够撤销解密密钥112，其能够在安全状况列表122中被标记为已被撤销。当客户端设备102向安全服务120签到时，客户端设备102能够访问安全状况列表122并且检测到解密密钥112被撤销。作为响应，安全模块110能够使解密密钥112闭塞。可替换地或附加地，安全服务120能够向客户端设备102推送被撤销项的通知，诸如通过向客户端设备102推送安全状况列表122的副本。

已经描述了其中可以操作本文所描述的技术的示例性环境，现在考虑依照一个或多个实施例的一些示例性过程的讨论。

示例性过程

以下讨论描述依照一个或多个实施例的用于提供针对设备数据的安全策略的示例性过程。在以下讨论的各部分中，将参照图1的环境100。

图2是描述了依照一个或多个实施例的方法中的步骤的流程图。在实现中，该方法描述了将设备配置成保护安全密钥的示例性方式。

步骤200生成解密密钥，其被配置成用于解密设备的加密数据。例如，安全模块110能够生成解密密钥112，其能够被用于解密加密数据108。步骤202产生恢复密钥，其能够被用于如果解密密钥被闭塞则恢复该解密密钥。例如，响应于安全策略的违反，能够对解密密钥进行加密以闭塞它。能够将恢复密钥提供为可以被用于恢复闭塞的解密密钥的恢复过程的一部分，如下文更加详细地讨论的那样。

图3是描述了依照一个或多个实施例的方法中的步骤的流程图。在实现中，该方法描述了保护数据免于未经授权的访问的示例性方式。

步骤300检测用于设备的安全策略的违反。例如，安全模块110能够检测安全策略114中的一个或多个的违反。在以下章节中讨论示例性安全策略。在实现中，特定安全策略可以不基于明确表述的策略，而是可以基于将事件或条件解释为造成潜在的安全风险。

步骤302使被配置成用于解密设备的加密数据的安全密钥闭塞。例如，安全模块110能够响应于检测到客户端设备102的安全策略的违反而闭塞解密密钥112。

在实现中，能够使用各种不同技术闭塞安全密钥。例如，能够通过擦除和/或用随机值覆写存储安全密钥的存储器的一部分来闭塞安全密钥。

可替换地，能够通过加密安全密钥（例如通过使用中间安全密钥）来闭塞安全密钥。因此，为了恢复加密的安全密钥，用户可以提供中间安全密钥和/或与中间密钥相关联的私人密钥。例如，用户可以使用某种形式的输入机制键入中间安全密钥。可替换地或附加地，用户可以提供中间安全密钥所位于的地方的指示，诸如能够从其中取得中间安全密钥的远程和/或受保护的存储位置。例如，中间安全密钥可以由安全服务120存储。如果成功执行恢复过程以恢复加密的安全密钥，则中间密钥能够由客户端设备102从安全服务120取得并且被用于解密加密的安全密钥。

能够采用许多不同的变型来确保已经闭塞的安全密钥不能被未经授权的实体取得。例如，能够响应于安全策略的违反的指示而用随机数据（例如多次）覆写存储安全密钥的存储器的一部分。这能够服务于进一步遮掩或闭塞被写入到存储器的该部分的安全密钥值。

作为另一变型，能够将安全密钥划分成区段（例如，拆分），并且能够将每个区段存储在存储器的分离的部分（例如扇区）中。因此，如果擦除或覆写操作在存储器的一部分上失败，则能够擦除和/或覆写存储器的其它部分上的安全密钥的其它部分。例如，如果存储器扇区故障防止了存储安全密钥的片段的存储器的一部分被擦除或覆写，则其它存储器扇区仍然能够被擦除和/或覆写以防止安全密钥的所有部分暴露给未经授权的实体。

步骤304发起针对闭塞的安全密钥的恢复过程。例如，恢复模块118能够在解密密钥112被闭塞之后启动可以使得能够恢复解密密钥112的恢复过程。下文详细讨论示例性恢复过程。

在至少一些实现中，在实现安全密钥闭塞过程之前做出关于恢复密钥是否持久化到至少一个外部位置（例如客户端设备102的外部）的确定。如果不能够确定安全密钥是否已经持久化到另一位置，则一些实现可以避免闭塞安全密钥。例如，客户端设备可以保持在主认证（例如登录）模式中。

图4是描述了依照一个或多个实施例的方法中的步骤的流程图。在实现中，该方法描述了执行以上参照图3所讨论的方法的步骤304的详细方式。

步骤400响应于安全密钥被闭塞而发起设备重启。例如，安全模块110能够响应于解密密钥112基于安全策略114之一的违反被闭塞而发起客户端设备102的重启。

步骤402检测用于设备的操作系统数据不可用。例如，用于客户端设备102的操作系统（OS）数据能够以加密形式存储，诸如加密数据108的一部分。因此，在其中解密密钥112没有闭塞的典型运转场景中，OS数据能够从存储读取并且用解密密钥112解密。解密的OS数据然后能够作为起动客户端设备102的一部分被加载（例如，加载到主存储器中）以使得客户端设备102能够执行用于客户端设备102的各种任务。然而，在其中解密密钥112已经闭塞的场景中，OS数据不能够被解密和加载。

步骤404启动请求恢复密钥的设备恢复体验。例如，用于客户端设备102的起动加载器能够检测OS数据不可用，并且能够通知恢复模块118发起恢复体验。恢复模块118能够提供用于恢复密钥的提示，诸如经由客户端设备102显示的并且提示用户提供恢复密钥的图形用户接口（GUI）。在实现中，恢复模块118不受阻碍地（例如，未加密）存储在客户端设备102上，使得设备恢复体验能够在解密密钥112被闭塞的事件中启动。例如，恢复模块118能够在客户端设备102上的固件中实现。

在实现中，恢复密钥包括能够被客户端设备102的用户访问但是不易对客户端设备102可用的信息。例如，恢复密钥能够是未存储在客户端设备102上的长（例如48字符或更多）、高熵口令。可替换地或附加地，恢复密钥能够包括其它形式的认证，诸如生物学认证、智能卡认证、经由RFID设备的射频标识（RFID）、回答挑战问题等等。

作为另一示例，恢复密钥能够作为分离的认证体验的一部分被访问。例如，用户能够向安全服务120提供分离的口令和/或其它认证因素。如果认证因素正确，则用户能够被提供有恢复密钥，和/或恢复密钥能够从安全服务120自动传送到客户端设备102。作为又一个示例，恢复密钥可以由与设备相关联的企业人员取得，诸如系统管理员、信息技术（IT）人员等等。

步骤406确定是否提供了正确的恢复密钥。如果提供了正确的恢复密钥，则步骤408使得能够恢复解密密钥。例如，能够将客户端设备102重启到请求诸如标准口令之类的登录信息的标准设备登录体验中。在实现中，标准口令可以指低熵口令。例如，标准口令可以是能够被用于解锁设备的四位数字个人标识号码（PIN）。如果用户成功地恢复解密密钥112，则能够起动客户端设备102并且解密密钥112能够被用于解密加密数据108。可替换地或附加地，可以将登录体验并入到恢复体验中。

在实现中，对已经闭塞的安全密钥的恢复可以是基于安全密钥如何被闭塞的。例如，如果安全密钥通过在存储器中被擦除和/或覆写而被闭塞，则能够从远程资源（例如安全服务120）取得安全密钥。可替换地，如果安全是用中间安全密钥加密的，则中间安全密钥能够被取得并被用于解密安全密钥。

返回到步骤406，如果未提供正确的恢复密钥，则步骤410防止解密密钥被恢复。例如，客户端设备102能够保持在恢复体验模式中并且等待正确的恢复密钥。可替换地或附加地，如果提供正确恢复密钥的阈值数目的尝试都失败，则客户端设备102能够导致擦除和/或覆写存储在客户端设备102上的数据中的一些或全部的存储器消除，其可以包括消除解密密钥112。

作为对上文讨论的恢复过程的替换实现，可以从客户端设备的远程资源取得解密密钥。例如，解密密钥可以由与客户端设备相关联的企业人员（诸如系统管理员、信息技术（IT）人员等等）从安全服务120取得。

已经讨论了一些示例性过程，现在考虑依照一个或多个实施例的一些示例性安全策略的讨论。

安全策略

各种不同的安全策略能够被用于保护与设备相关联的数据免于未经授权的访问。例如，安全策略能够基于许多不同的设备有关的考虑，诸如设备认证状态、设备硬件状态、设备连接性状况等等。下文讨论的是能够依照一个或多个实施例实现的一些示例性安全策略，例如作为上文讨论的安全策略114的一部分。另外，安全策略能够由客户端设备102完整或部分地实施并且独立于远程资源。示例性安全策略不旨在限制所要求保护的实施例，而是仅仅出于图示的目的而被呈现。

失败的认证

在实现中，设备能够采用使得用户能够访问设备的数据和功能性的登录过程。例如，当设备被供电和/或从休眠模式醒来时，能够呈现请求口令或其它认证因素的登录提示。如果用户提供正确的认证因素，则用户能够被准许访问设备的数据和功能性。例如，参照客户端设备102，提供正确的认证因素可以使得能够实现对解密密钥112的访问和/或准许解密密钥112的正在进行的使用，使得能够解密和利用加密数据108。

然而，如果用户未能提供正确的认证因素，则设备能够屏蔽对数据和/或功能性的访问。例如，未成功提供正确认证因素能够使设备保持在登录体验中，使得除非提供正确的认证因素，否则设备的数据和其它功能性不可用。

在实现中，能够采用基于与设备相关联的失败登录尝试的数目的安全策略。例如，能够预先指定设备的失败登录尝试的阈值数目。如果实际失败登录尝试的数目达到和/或超过阈值数目（例如五次失败登录尝试），则能够锁定设备，使得进一步的登录尝试不被准许并且安全策略的违反被触发。例如，参照客户端设备102，安全模块110能够使解密密钥112闭塞。另外，恢复模块118能够发起恢复过程，如上文所讨论的那样。在至少一些实施例中，登录尝试的阈值数目是可配置的。例如，各种不同的实体能够指定阈值数目，诸如用户、网络管理员、IT人员等等。

当追踪失败登录尝试的数目时，实施例能够将各种不同的登录技术视为失败登录尝试的总数目的一部分。例如，如果个体未能提供正确的口令，并且然后未能提供正确的拇指纹，并且还未能正确地响应于挑战问题，则这些能够被计为三次失败的登录尝试。因此，失败登录尝试的数目能够基于不同登录技术和/或认证因素而累加。另外，失败登录尝试能够基于来自多个不同用户的登录尝试。

实现这样的安全策略能够防止未经授权的用户在尝试中重复猜测口令和/或提供不同的认证因素以获得对设备数据和/或功能性的未经授权的访问。

受信状况的撤销

在实现中，安全策略能够指定设备有关项的受信状况可以被撤销。这样的设备有关项的示例包括设备自身、设备所使用的数字证书、与设备相关联的安全密钥、安全凭证等等。

在示例性实现中，安全策略能够指定客户端设备102周期性地查询安全服务120以得到撤销信息，诸如在安全状况列表122中列举的项的撤销状况。如果撤销信息指示已经撤销客户端设备102的受信状况，则能够闭塞解密密钥112并且发起恢复过程。如上文提到的，能够响应于用户指示设备已经丢失或被盗而撤销设备的受信状况。附加地或可替换地，能够基于已经泄露安全密钥、数字证书和/或其它安全有关项的指示而撤销受信状况。

在其中设备可以进入休眠和/或睡眠模式的实现中，设备能够被配置成自动从这样的模式摆脱（例如，醒来）以查询撤销信息。例如，能够指定撤销间隔（例如，每4个小时），在此之后设备查询撤销信息。如果撤销间隔在设备处于睡眠模式中时届满，则设备能够自动唤醒并且查询撤销信息。因此，技术使得各种实体能够监视设备的受信状况，并且撤销设备的受信状况以保护设备数据免于未经授权的访问。

在至少一些实施例中，能够将撤销信息从远程资源推送到客户端设备。例如，安全服务120能够将撤销数据推送到客户端设备102，例如作为通知的一部分。可替换地或附加地，远程资源能够访问设备的功能性以发起闭塞安全密钥的过程。例如，安全服务120能够检测到已经违反安全策略114之一。作为响应，安全服务120能够与作为受信实体（例如基于受信数字证书）的安全模块110通信并且提示安全模块闭塞解密密钥112。因此，实现可以使得客户端设备能够独立于客户端设备对撤销信息的查询而接收撤销信息。

强制签到

在实现中，能够采用这样的安全策略，其指定如果设备未签到，则与设备相关联的安全密钥被自动闭塞。例如，安全模块110能够被配置成周期性地向安全服务120签到，例如以查询撤销信息和/或以确认设备102当前处于受信状态中。如果安全模块110在签到间隔已经届满之后尝试签到并且不能联系安全服务120，则安全模块110能够触发安全策略违反。例如，安全模块110能够闭塞解密密钥112和/或锁定设备102，使得不能访问设备数据。

采用这样的签到过程可以使得数据能够在其中设备已经失去网络连接性并且因此不能与远程服务通信以检查撤销信息的场景中保持安全。这样的场景能够出现在未经授权的用户获取设备并且防止设备与远程资源通信（诸如通过禁用设备的网络通信功能性）的时候。

设备状态

在实现中，能够采用这样的安全策略，其指定如果特定设备状态条件发生变化，则已经违反安全策略。示例性设备状态条件包括硬件状态、软件状态、网络状态等等。

参照硬件状态，对于设备的各种已知的硬件组件，能够将硬件标识符记入日志并且对其进行监视。如果未知硬件尝试与设备交互（例如以获取设备数据），则能够生成安全过程的违反的通知。例如，未经授权的用户能够将数据存储设备从客户端设备102移除，并且将数据存储设备连接至不同的设备。未经授权的用户例如能够尝试使用不同的设备来从数据存储设备访问设备数据。设备状况模块116能够存储在数据存储设备上，并且能够检测未知设备正在与数据存储设备交互。设备状况模块116能够通知未知设备的安全模块110，其能够使解密密钥112闭塞以防止未经授权的用户访问解密密钥112和解密加密数据108。

软件状态能够包括各种软件有关的条件。例如，软件状态能够包括应用的更新状况，诸如为应用安装的补丁的指示。在实现中，能够获得应用的补丁（例如来自应用开发商），其可以修理应用的安全易损性。因此，如果确定未为应用安装可用补丁，则设备状况模块116能够触发安全策略违反以防止将客户端设备102暴露于可能的安全风险。

另一软件状态能够涉及软件的特定片段的受信状况。如果软件被指示为非受信的（例如在安全状况列表122中），则能够触发安全策略的违反。

另外的软件状态能够指推荐软件，其被指定为指示健康的运行环境。例如，安全有关的软件（例如防病毒软件）能够用于验证在设备上不存在恶意软件。如果推荐软件不存在和/或未在设备上运行，则能够触发安全策略违反。

网络状态能够指各种网络有关的条件，诸如设备所连接到的特定网络、设备正在访问的网络资源（例如网站）等等。如果检测到不安全的网络条件，则能够触发安全策略的违反。例如，如果设备状况模块116检测到客户端设备102正在与非受信服务器和/或非受信网站通信，则设备状况模块116能够触发安全策略违反。

时钟状况

在实现中，能够采用这样的安全策略，其指定如果时间有关的变化发生，则已经违反安全策略。例如，未经授权的用户可能尝试修改与设备相关联的时间参数，诸如实际设备时间。未经授权的用户例如可能尝试回滚设备时间以避免触发特定的安全有关的事件。参照上文讨论的周期性设备签到，未经授权的用户可能尝试实现时间回滚以避免触发如果设备未能在签到间隔届满之后签到而能够发生的安全策略违反。

因此，实现能够采用对时间有关的变化进行监视的时间验证机制。例如，能够将时钟实现为受信时间设备，其诸如在受信硬件中和/或在驻留于客户端设备上的固件中。受信时间设备例如能够实现为受信平台模块（TPM）设备。如果检测到时钟未如期运转，则能够触发安全策略违反。例如，非正常运转的时钟可能是未经授权的实体在更改设备时间和/或另一时间参数的尝试中的可能篡改的指示。因此，如果检测到潜在的时钟篡改，则能够触发安全策略违反。

地理定位

在实现中，能够采用指定设备的地理参数的安全策略。例如，客户端设备能够采用功能性来确定客户端设备的地理位置。这样的功能性的示例包括全球定位系统（GPS）功能性、手机三角测量功能性、基于网络的定位等等。

地理安全策略能够指定如果设备在特定地理区域之外，则违反安全策略。例如，企业实体能够限定与实体相关联的地理区域，诸如在物理机构附近的限定区域。如果检测到客户端设备在限定的地理区域之外，则能够触发安全策略的违反。另外，获取地理定位信息的尝试可能失败，例如，由于设备定位功能性被禁用。在实现中，如果客户端设备不能获取地理定位信息，则能够触发安全策略的违反。

作为另一示例，能够将特定地理区指定为不安全的，例如与非受信实体相关联。如果确定设备处于不安全的地理区中，则能够触发安全策略的违反。因此，能够为设备指定安全策略以便基于设备的位置来控制对设备数据的访问。

已经讨论了一些示例性安全策略，现在考虑依照一个或多个实施例的一些实现变型的讨论。

实现变型

依照一个或多个实施例，能够采用本文所讨论的实现上的许多不同变型。

基于硬件的安全

在实现中，能够在硬件内实现各种安全过程以保护数据免于未经授权的访问。例如，与客户端设备相关联的数据存储设备能够被配置成在设备自身内执行数据加密和解密。在这样的实现中，数据存储设备能够在数据存储设备自身内存储和利用解密密钥。由于数据存储设备在内部执行解密，因此数据存储设备无需向诸如客户端设备的OS之类的其它组件发布解密密钥。因此，如果未经授权的用户试图从数据存储设备访问解密密钥，则数据存储设备能够独立于在主机客户端设备上施行的软件而闭塞解密密钥。

自动闭塞

在实现中，能够响应于各种事件而自动闭塞安全密钥。例如，当设备进入特定模式时，能够作为响应而闭塞用于该设备的加密密钥。这样的模式的示例包括锁定模式、睡眠模式、休眠模式等等。在实现中，设备能够响应于用户行为而进入锁定模式，诸如提供请求设备进入锁定模式的输入之类。

为了在设备从这样的模式摆脱之后恢复闭塞的加密密钥，设备能够与远程资源通信以确认其状况。例如，当客户端设备102从这样的模式摆脱时，安全模块110能够查询安全服务120以得到客户端设备102的安全状况。如果安全状况指示客户端设备102的受信状况尚未撤销，则能够将解密密钥112还原到客户端设备102。否则，如果客户端设备102的受信状况已被撤销和/或对安全服务120的尝试连接失败，则客户端设备102能够启动恢复过程。上文讨论了示例性恢复过程。

已经讨论了一些示例性实现变型，现在考虑依照一个或多个实施例的示例性系统和设备的讨论。

示例性系统和设备

图5一般地在500处图示了示例性系统，其包括表示可以实现本文所描述的各种技术的一个或多个计算系统和/或设备的示例性计算设备502。例如，上文参照图1讨论的客户端设备102能够体现为计算设备502。计算设备502可以是例如服务提供商的服务器、与客户端相关联的设备（例如客户端设备）、片上系统和/或任何其它适合的计算设备或计算系统。

如图所示的示例性计算设备502包括彼此通信耦合的处理系统504、一个或多个计算机可读媒介506和一个或多个输入/输出（I/O）接口508。尽管未示出，但是计算设备502还可以包括将各种组件彼此耦合的系统总线或其它数据和命令转移系统。系统总线能够包括不同总线结构中的任一个或组合，诸如利用各种总线架构中的任一种的存储器总线或存储器控制器、外围总线、通用串行总线、和/或处理器或局部总线。还设想到各种其它示例，诸如控制和数据线。

处理系统504表示使用硬件执行一个或多个操作的功能性。因此，将处理系统504图示为包括可以被配置为处理器、功能块等等的硬件元件510。这可以包括作为专用集成电路或使用一个或多个半导体形成的其它逻辑设备的硬件中的实现。硬件元件510不受限于形成它们的材料或其中采用的处理机制。例如，处理器可以包括（多个）半导体和/或晶体管（例如电子集成电路（IC））。在这样的上下文中，处理器可执行的指令可以是电子可执行的指令。

将计算机可读媒介506图示为包括存储器/存储512。存储器/存储512表示与一个或多个计算机可读媒介相关联的存储器/存储容量。存储器/存储512可以包括易失性媒介（诸如随机存取存储器（RAM））和/或非易失性媒介（诸如只读存储器（ROM）、闪速存储器、光盘、磁盘等等）。存储器/存储512可以包括固定媒介（例如RAM、ROM、固定硬盘驱动等等）以及可移动媒介（例如闪速存储器、可移动的硬盘驱动、光盘等等）。计算机可读媒介506可以如下文进一步描述的各种其它方式进行配置。

（多个）输入/输出接口508表示这样的功能性，其允许用户向计算设备502键入命令和信息，并且还允许使用各种输入/输出设备向用户和/或其它组件或设备呈现信息。输入设备的示例包括键盘、光标控制设备（例如鼠标）、麦克风（例如用于语音识别和/或话音输入）、扫描仪、触摸功能性（例如被配置成检测物理触摸的电容性或其它传感器）、相机（例如，其可以采用可见波长或诸如红外频率之类的不可见波长来对并不牵涉作为手势的触摸的移动进行检测）等等。输出设备的示例包括显示设备（例如监视器或投影仪）、扬声器、打印机、网络卡、触觉响应设备等等。因此，计算设备502可以如下文进一步描述的各种方式进行配置以支持用户交互。

在本文中，可以在软件、硬件元件或程序模块的一般上下文中描述各种技术。一般而言，这样的模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、元件、组件、数据结构等等。如本文所使用的术语“模块”、“功能性”和“组件”一般表示软件、固件、硬件或其组合。本文所描述的技术的特征是独立于平台的，这意味着技术可以在具有各种处理器的各种商用计算平台上实现。

所描述的模块和技术的实现可以存储在某种形式的计算机可读媒介上或者跨某种形式的计算机可读媒介进行传输。计算机可读媒介可以包括可被计算设备502访问的各种媒介。作为示例而非限制，计算机可读媒介可以包括“计算机可读存储媒介”和“计算机可读信号媒介”。

“计算机可读存储媒介”可以指使得能够实现信息的持久化和/或非暂时性存储的媒介和/或设备，这与纯粹的信号传输、载波或信号本身形成对比。因此，计算机可读存储媒介不包括信号承载媒介。计算机可读存储媒介包括诸如易失性和非易失性、可移动和不可移动媒介之类的硬件，和/或在适于诸如计算机可读指令、数据结构、程序模块、逻辑元件/电路、或其它数据之类的信息的存储的方法或技术中实现的存储设备。计算机可读存储媒介的示例可以包括但不限于，RAM、ROM、EEPROM、闪速存储器或其它存储器技术、CD-ROM、数字多功能盘（DVD）或其它光学存储、硬盘、磁盒、磁带、磁盘存储或其它磁性存储设备、或其它存储设备、有形媒介、或适于存储期望的信息并且可以被计算机访问的制造品。

“计算机可读信号媒介”可以指被配置成将指令传输到计算设备502的硬件（诸如经由网络）的信号承载介质。信号媒介典型地可以包含计算机可读指令、数据结构、程序模块、或调制数据信号中的其它数据，诸如载波、数据信号或其它输运机制。信号媒介还包括任何信息递送媒介。术语“调制数据信号”意指这样的信号，其特性中的一个或多个以这样的方式设置或改变以便将信息编码在信号中。作为示例而非限制，通信媒介包括诸如有线网络或直接有线连接之类的有线媒介，以及诸如声学、射频（RF）、红外和其它无线媒介之类的无线媒介。

如先前所描述的，硬件元件510和计算机可读媒介506表示指令、模块、可编程设备逻辑和/或以硬件形式实现的固定设备逻辑，其可以用在一些实施例中以实现本文所描述的技术的至少一些方面。硬件元件可以包括集成电路或片上系统、专用集成电路（ASIC）、现场可编程门阵列（FPGA）、复杂可编程逻辑设备（CPLD）的组件、以及在硅或其它硬件设备中的其它实现。在该上下文中，硬件元件可以作为处理设备操作，其执行由硬件元件以及被用于存储指令以供施行的硬件设备（例如先前所描述的计算机可读存储媒介）体现的指令、模块和/或逻辑限定的程序任务。

前述的组合还可以被用于实现本文所描述的各种技术和模块。因此，软件、硬件或程序模块和其它程序模块可以实现为在某种形式的计算机可读存储媒介上体现的和/或由一个或多个硬件元件510体现的一个或多个指令和/或逻辑。计算设备502可以被配置成实现对应于软件和/或硬件模块的特定指令和/或功能。因此，可由计算设备502执行的模块作为软件的实现可以至少部分地在硬件中完成，例如通过计算机可读存储媒介和/或处理系统的硬件元件510的使用。指令和/或功能可以由一个或多个制造品（例如一个或多个计算设备502和/或处理系统504）可执行/可操作以实现本文所描述的技术、模块和示例。

如图5中进一步图示的，示例性系统500使得当在个人计算机（PC）、电视设备和/或移动设备上运行应用时能够实现用于无缝用户体验的普适环境。当在利用应用、玩视频游戏、观看视频等等的同时从一个设备转换到下一个时，服务和应用基本上类似地运行在所有三个环境中以得到共同的用户体验。

在示例性系统500中，多个设备通过中央计算设备互连。中央计算设备可以在多个设备本地，或者可以远离多个设备定位。在一个实施例中，中央计算设备可以是通过网络、因特网、或其它数据通信链路连接到多个设备的一个或多个服务器计算机的云。

在一个实施例中，该互连架构使得功能性能够跨多个设备递送以向多个设备的用户提供共同且无缝的体验。多个设备中的每一个可以具有不同的物理需求和能力，并且中央计算设备使用平台来使得能够实现既适应于该设备又对所有设备共用的体验到设备的递送。在一个实施例中，创建目标设备的类别并且使体验适应于设备的一般类别。设备的类别可以由设备的物理特征、使用类型或其它共同特性来限定。

在各种实现中，计算设备502可以采取各种不同的配置，诸如用于计算机514、移动装置516和电视518用途。这些配置中的每一个包括可以具有一般不同的构造和能力的设备，并且因此计算设备502可以根据不同设备类别中的一个或多个进行配置。例如，计算设备502可以实现为包括个人计算机、台式计算机、多屏计算机、膝上型计算机、上网本等等的计算机514类设备。

计算设备502还可以实现为包括诸如移动电话、便携式音乐播放器、便携式游戏设备、平板计算机、多屏计算机等等之类的移动设备的移动装置516类设备。计算设备502还可以实现为包括具有或连接到休闲观看环境中的一般较大屏幕的设备的电视518类设备。这些设备包括电视、机顶盒、游戏控制台等等。

本文所描述的技术可以被计算设备502的这些各种配置所支持并且不限于本文所描述的技术的特定示例。例如，参照客户端设备102和/或安全服务120讨论的功能性可以全部或部分地通过分布式系统的使用来实现，诸如通过如下文所描述的经由平台522的“云”520。

云520包括和/或表示用于资源524的平台522。平台522对云520的硬件（例如服务器）和软件资源的潜在功能性进行抽象。资源524可以包括在计算设备502的远程服务器上施行计算机处理时能够被利用的应用和/或数据。资源524还能够包括通过因特网和/或通过诸如蜂窝或Wi-Fi网络之类的订户网络提供的服务。

平台522可以对资源和功能进行抽象以将计算设备502与其它计算设备连接。平台522还可以服务于对资源的缩放比例进行抽象以向所遭遇的经由平台522实现的资源524的需求提供对应的缩放水平。因此，在互连设备实施例中，本文所描述的功能性的实现可以遍及系统500分布。例如，功能性可以部分地在计算设备502上以及经由对云520的功能性进行抽象的平台522来实现。

本文所讨论的是可以被实现以执行本文所讨论的技术的许多方法。方法的各方面可以在硬件、固件、或软件、或其组合中实现。方法被示出为指定由一个或多个设备执行的操作的块组，并且不必受限于所示出的通过相应块来执行操作的顺序。另外，依照一个或多个实现，关于特定方法示出的操作可以与不同方法的操作组合和/或互换。方法的各方面能够经由上文关于环境100所讨论的各种实体之间的交互来实现。

结论

描述了用于提供针对设备数据的安全策略的技术。尽管以特定于结构特征和/或方法学动作的语言描述了实施例，但是要理解，在随附权利要求中限定的实施例不必受限于所描述的特定特征或动作。而是，特定特征和动作是作为实现所要求保护的实施例的示例性形式而被公开的。

Claims

1.一种针对设备数据的安全策略的方法，包括：

检测对用于设备的安全策略的违反；

响应于所述检测，使用于对所述设备的加密数据进行解密的安全密钥闭塞；

响应于所述安全密钥被闭塞，发起所述设备的重启；

响应于检测到用于所述设备的加密的操作系统基于所述安全密钥的所述闭塞而不可用于所述重启，启动请求用于恢复闭塞的所述安全密钥的恢复密钥的恢复体验；

确定正确的恢复密钥是否被提供作为所述恢复体验的一部分；

响应于确定所述正确的恢复密钥被提供，使得所述安全密钥被恢复；以及

使用所述安全密钥使得所述操作系统被解密以用于所述重启。

2.根据权利要求1中所述的方法，其中所述安全策略指定针对所述设备的失败登录尝试的阈值数目，并且其中所述检测包括检测针对所述设备的已经失败的登录尝试的数目已经达到所述阈值数目。

3.根据权利要求2中所述的方法，其中针对所述设备的已经失败的登录尝试的数目是基于两种或更多种不同类型的认证因素。

4.根据权利要求1中所述的方法，其中所述检测包括检测所述设备的受信状况已被撤销。

5.根据权利要求1中所述的方法，其中所述检测包括检测所述设备未成功向远程安全服务签到。

6.根据权利要求1中所述的方法，其中所述检测包括检测所述设备的状态的变化，所述状态包括硬件状态、软件状态或网络状态中的一个或多个。

7.一种针对设备数据的安全策略的系统，包括：

一个或多个处理器；以及

一个或多个计算机可读存储媒介，其存储指令，所述指令响应于由所述一个或多个处理器的执行使得所述系统执行操作，所述操作包括：

检测对用于设备的安全策略的违反；

响应于所述安全密钥被闭塞，发起所述设备的重启；

8.根据权利要求7中所述的系统，其中所述安全策略指定针对所述设备的失败登录尝试的阈值数目，并且其中所述检测包括检测针对所述设备的已经失败的登录尝试的数目已经达到所述阈值数目。

9.根据权利要求8中所述的系统，其中针对所述设备的已经失败的登录尝试的数目是基于两种或更多种不同类型的认证因素。