CN104823196B - 基于硬件的设备验证 - Google Patents

基于硬件的设备验证 Download PDF

Info

Publication number
CN104823196B
CN104823196B CN201380061382.2A CN201380061382A CN104823196B CN 104823196 B CN104823196 B CN 104823196B CN 201380061382 A CN201380061382 A CN 201380061382A CN 104823196 B CN104823196 B CN 104823196B
Authority
CN
China
Prior art keywords
domain
identifier
secure
equipment
safety
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201380061382.2A
Other languages
English (en)
Other versions
CN104823196A (zh
Inventor
V·E·冯博肯
P·戈埃尔
S·斯克瑞克
N·M·史密斯
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
McAfee LLC
Original Assignee
McAfee LLC
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by McAfee LLC filed Critical McAfee LLC
Publication of CN104823196A publication Critical patent/CN104823196A/zh
Application granted granted Critical
Publication of CN104823196B publication Critical patent/CN104823196B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/20—Information retrieval; Database structures therefor; File system structures therefor of structured data, e.g. relational data
    • G06F16/22—Indexing; Data structures therefor; Storage structures
    • G06F16/2228—Indexing structures
    • G06F16/2255—Hash tables
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/107—Network architectures or network communication protocols for network security for controlling access to devices or network resources wherein the security policies are location-dependent, e.g. entities privileges depend on current location or allowing specific operations only from locally connected terminals
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0877—Generation of secret information including derivation or calculation of cryptographic keys or passwords using additional device, e.g. trusted platform module [TPM], smartcard, USB or hardware security module [HSM]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3234—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving additional secure or trusted devices, e.g. TPM, smartcard, USB or software token
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/305—Authentication, i.e. establishing the identity or authorisation of security principals by remotely controlling device operation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/69—Identity-dependent
    • H04W12/71—Hardware identity

Abstract

标识了计算设备参加与特定域的安全会话的机会。特定域的域标识符被接收，且计算设备的安全微控制器用于标识计算设备的安全存储器中存储的计算设备的安全的、永久的硬件标识符。基于硬件标识符和特定域的域标识符来为计算设备和特定域的配对导出安全标识符，且该安全标识符通过安全信道被发射至该特定域。该特定域可以从安全标识符确认计算设备的身份，并且至少部分基于该安全标识符向涉及计算设备和特定域的事务应用安全性策略。

Description

基于硬件的设备验证
技术领域
本公开案一般涉及计算机管理领域，尤其涉及基于硬件的计算机安全性管理。
背景技术
现代企业和网络内的计算机系统管理包括使用用于发现网络中相应子系统的属性的工具和技术。安全性任务和管理可以例如通过针对网络中的设备分配和实施安全性策略来执行。策略可以基于例如设备的已知属性被分配给特定的设备。而且，获得对网络中各个设备的接入以及/或者与网络中各个设备通信可以包括：被配置成允许在不同的操作系统和设备间传送各种数据的基于软件的工具。而且，基于软件的代码可以被安装在系统内的各个设备上以便向管理员提供检查、控制和执行设备上的任务的能力，包括安全性相关的任务。传统上，基于软件的代码通过主机设备的操作系统被安装，当代理活动且能够与通过代理利用和执行任务的管理服务通信时，启动操作系统。在这种情况下，主机设备的管理可以取决于主机操作系统的存在性(及可操作性)以及/或者已安装代理的存在性和可操作性(及安全性)而考虑。
附图说明
图1是按照至少一个实施例、包括具有基于硬件的管理控制器的系统设备的示例计算系统的简化示意图；
图2是按照至少一个实施例、包括示例域管理器的示例计算系统的简化框图，该示例域管理器适合与系统内的一个或多个系统设备上的基于硬件的管理控制器交互；
图3是示出按照至少一个实施例、在示例系统设备和多个不同域之间的交互的简化框图；
图4A－4B是示出按照至少一个实施例、在示例域管理器以及具有基于硬件的管理控制器的示例系统设备之间的示例交互的简化流程图；
图4C是示出按照至少一个实施例、基于硬件的标识符的维护的简化框图；
图5A是示出按照至少一个实施例、在示例系统设备和示例域管理器之间的示例安全通道的协商的简化流程图；
图5B是示出按照至少一个实施例、在具有基于硬件的管理控制器的示例系统设备以及多个示例域管理器之间的交互的简化流程图；
图6A是示出按照至少一个实施例、在示例域管理器以及具有基于硬件的管理控制器的示例系统设备之间的交互的简化流程图；
图6B是示出按照至少一个实施例的示例安全容器的简化框图；
图7A－7B是示出按照至少一些实施例、用于管理具有基于硬件的管理控制器的一个或多个系统设备的示例技术的简化流程图。
各个附图中相同的参考数字和标记表示相同的元件。
具体实施方式
图1是示出示例计算环境100的简化框图，示例计算环境100包括能与各个计算系统、网络或环境(或“域”)(例如，108、110、112、115)交互的多个系统设备(例如，102、105、106、118、120、122、128、130、132、135)。一些系统设备可以包括允许对系统设备的安全标识符进行安全生成和传送的安全的基于硬件的管理控制器(例如，125a－125i)，系统设备的该安全标识符可被用于在一个或多个网络上的在安全的基于硬件的管理控制器(例如，125a－125i)以及后端服务之间的硬件到硬件的通信和事务，其中该一个或多个网络包括诸如互联网(例如，116)之类的广域网(WAN)，该后端服务诸如域108、110、112、115的服务。在一些实现方式中，硬件到硬件的通信可以在带外发生，经由独立于系统设备(例如，102、105、106、118、120、122、128、130、132、135)操作系统的诸个信道或经由在系统设备的操作系统的控制之外的诸个信道。
除其他示例之外，域(例如，108、110、112、115)可以包括诸如私人家庭网络(例如108)、电子商务系统、搜索引擎系统、社交媒体系统、商务或零售店(例如，互联网接入点、WiFi热点等)以及企业网络(例如，115)这样的计算网络、系统和环境。一些系统设备(例如，102、105、106)可以在多个不同的域(例如，108、110、112、115)之间转移并且在多个不同的域内操作，在一些情况下多个不同的域同时包括多个环境。多个安全标识符可以被生成用于单个系统设备，每个安全标识符是唯一对应于该系统设备与特定域的配对。此外，可以向域(例如，108、110、112、115)的后端服务器提供协商安全标识符的通信以及向系统设备互相验证域的功能，以确保仅仅受信任的实体能够直接与系统设备的敏感的基于硬件的控件(例如，管理控制器)通信。在一些实现方式中，每个域(例如，108、110、112、115)可以包括相应的管理系统，该管理系统包括用于标识基于硬件的管理控制器(例如，125a-125i)、以及与系统设备(例如，102、105、106、118、120、122、128、130、132、135)的管理控制器相接和通信以便从该设备获得设备信息并且基于接收到的设备信息执行安全性及其他设备管理任务的功能。
在一些实现方式中，管理控制器(例如，125a－125i)可存在于系统设备(例如，102、105、106、118、120、122、128、130、132、135)的主板或芯片集上，并且可以独立于系统设备的中央处理器(CPU)(及任何操作系统)包含于微控制器或专用处理器上。管理服务器因此可以通过其相应的管理控制器与系统设备进行带内或带外通信。在一些情况下，管理服务器可以提供应用编程接口(API)，该应用编程接口(API)适合于允许系统设备的管理控制器与管理服务器的指令和请求相接口并且接收并响应于管理服务器的指令和请求。这种管理服务和任务可以包括在特定网络或域上的多个系统设备间的通信协议的协商以及设备间关联的建立。管理服务器可以附加地或替代地包括系统安全性相关的API，管理服务器170、175通过系统设备的管理控制器108来为网络110、115执行安全性相关的任务。
在一些实现方式中，基于硬件的API可以基于为相应的系统设备提供安全标识符来建立。例如，安全标识符可以用作唯一地标识和验证家庭网络域108中的特定系统设备(例如，102、105、118、122、120)的基础。然后，可以在家庭网络域108上的多个系统设备(例如，102、105、118、122、120)之间启用硬件到硬件的通信，以允许设备间各种不同的交互。例如，交互、特征、互操作及任务可以根据在题为“硬件管理接口”的第13/718,043号和题为“硬件管理接口”的第13/718,200号美国专利申请中描述的原理和示例通过这种基于硬件的管理控制器和管理系统来启用，这两个美国专利申请通过引用全部结合于此。在另一示例中，企业系统域115可以包括各种系统设备(例如，102、106、128、130、132、135)。企业系统域115可以使用为每一个系统设备生成的唯一安全标识符来验证且唯一地标识这些设备，并且应用适合于每一个设备的安全性策略。域可以使用安全标识符和基于硬件的API(例如，通过安全标识符来验证的)以便能基于设备的安全验证来提供服务。
通常，“服务器”、“客户机”、“计算设备”、“网络元件”、“主机”、“系统型系统实体”以及“系统”包括示例计算环境100中的系统设备，这些系统设备可以包括可用于接收、发射、处理、存储或管理与计算环境100相关联的数据和信息的电子计算设备。如此文档中使用的，术语“计算机”、“处理器”、“处理器设备”或“处理设备”意图包含任何适当的处理设备。例如，被示出为计算环境100内的单个设备的元件可以用多个计算设备和处理器来实现，诸如包括多个服务器计算机的服务器池。而且，计算设备中的任一、全部或一些可适合于执行任何操作系统以及适合于虚拟化特定操作系统的执行的虚拟机，操作系统包括Linux、UNIX、微软视窗、苹果操作系统、苹果iOS、谷歌安卓、Windows服务器等，所述特定操作系统包括定制的和专属的操作系统。
用户、端点或客户端计算设备可以包括传统的和移动的计算设备，包括个人计算机、膝上型计算机、平板计算机、智能电话、个人数字助理、功能手机、手持视频游戏控制台、台式机、启用互联网的电视机以及其他被设计成与人类用户相接口并且能通过一个或多个网络(例如，108、110、112、115、116)与其他设备通信的设备。计算机辅助的(即“智能的”)设备可以包括家庭或工业的设备和机器以及包括计算机处理器并且通过计算机处理器被控制、监控、辅助、补充或以其他方式增强设备的功能的机器、以及/或者由计算机处理器所执行的一个或多个软件程序。计算机辅助的设备可以包括各种计算机辅助的机器和产品，包括冰箱、洗衣机、汽车、HVAC系统、工业机器、烤箱、安全性系统等等。
尽管图1被描述为包含多个元件或者与多个元件相关联，图1的计算环境100内图示的并非全部元件可用于本公开案的每个替代实现方式中。此外，结合图1示例所述元件中的一个或多个元件可以位于计算环境100外部，而在其他实施例中，特定元件可以包括其他所述元件的一个或多个元件内或者作为该一个或多个元件的一部分、以及图示实现方式中未描述的其他元件。而且，图1所示的特定元件可以与其他组件组合，以及用于除了这里所述的那些目的以外替代的或附加的目的。
传统上，检测、标识、跟踪和管理计算系统中的资产是系统管理员面临的重要挑战。连至网络的单个未知、知之甚少的或缺乏监控的设备可能会对使整个系统暴露于各种安全性威胁和攻击，包括恶意软件、未经授权的数据接入、恶意用户等等。在一些情况下，代理(例如，140a、140b)可被安装于系统设备(例如，130、132)上以帮助管理员获得对该系统设备的属性的查看、容易地检测并且网络上的设备并且与之通信、以及在该系统设备上实施特定的安全性策略。然而，非托管的(unmanaged)设备(例如，没有已安装代理的设备)可能处于管理系统的通信、控制和监控之外，该管理系统被设计成启用设备间通信和操作、在设备进入和离开网络时检测设备、对各个设备应用策略、以及在网络上实施安全性，该管理系统可由于不能有效地与这种非托管设备通信而被阻碍。而且，在一些设备上安装代理可以是困难的，提供由于严重缺乏关于非托管设备的信息而危害的代理。此外，在一些情况下，非托管设备可以在被管理员仔细检查、具有代理安装于其上等等之前被发送至隔离的或托管的子网，而不是能集成到网络中并且一般来说有益于用户或网络。此外，随着越来越多的设备因为逐渐受计算处理器控制、包括网络通信适配器、并且能与其他系统通信而变得“智能”，潜在非托管的设备的范围持续增长。
此外，安全性管理可以包括管理包括使用不同平台和操作系统的设备在内的各种系统设备。本公开案中呈现的至少一些系统，诸如图1和2的系统，可以包括在一些情况下可以解决以上讨论的问题以及其他未在此明确描述的问题的功能。例如，为了提供这一级别的跨各种系统设备平台的功能支持，功能可以通过示例管理控制器(例如，125a－125i)用硬件设置在操作系统下方。这种管理控制器功能可以例如跨各种硬件平台一致地实现，诸如结合能在各种系统设备中使用的芯片集的族。可以基于硬件提供具有远程接入性性能的安全和受信任的API，允许甚至在缺乏代理或其他这种组件的情况下对安全性数据和操作的一致且可靠的接入。
尽管多个设备和域之间的硬件API的特征和能力可以改变并且演化成可能各种无数的任务并且提供无数的潜在特征阵列、系统设备的标识、以硬件启动或基于硬件、可以用作能在其上构建这种服务的原子单元。在一些情况下，除了提供用于为系统设备生成安全标识符的功能以外，管理控制器还可以允许远程服务器接入其他受信任的标识信息。例如，转至图2的示例，示出计算环境的简化框图200，该计算环境包括示例系统设备205和特定域215的域管理系统210。特定域215可以是系统设备205可与之交互的几个域(例如，220、225)之一。每一个这些域可以实现与域215的域管理系统210采用类似原理的域管理系统。而且，在一些情况下，系统设备205可以直接与域交互，诸如通过连至由该域(例如，225)控制或与该域相关联的私有网络、或者替代地至少部分地在诸如互联网116这样的公共网络上与域交互。
除了其他示例以外，在一示例实现方式中，系统设备205可以包括芯片集230，芯片集230包括处理器232和存储器234，处理器232诸如中央处理单元(CPU)，存储器234诸如包括由CPU使用并且对于系统设备205的操作系统(例如，250)可存取的系统存储器在内的存储器。在一些示例中，芯片集230可另外包括管理微控制器235，管理微控制器235可以提供安全的处理功能以便在操作系统的控制和指令之外(或之下)执行管理任务。在一些实现方式中，示例管理控制器235可以运行轻量的微内核操作系统，该操作系统提供低功率的带外管理控制器。在一些实现方式中，可以提供安全的存储器238，该存储器238由管理微控制器235接入和使用以执行设备管理活动，包括为系统设备205生成安全的标识符。除了其他示例以外，安全的存储器238可以与系统存储器分开，并且在一示例中，可以被实现为芯片集230的闪存组件。安全的存储器238可以包括验证数据240并且在一些情况下可以包括安全ID本身，验证数据240由管理微控制器235用来为系统设备205生成安全ID。在一些实现方式中，除了其他示例以外，安全的存储器238可以另外包括安全性态势数据242，该安全性态势数据242描述系统设备205的被安全包含并且隔离于设备205、操作系统250或其他实体的用户所作的更改、控制或操纵的属性，其他实体包括可能获得对设备的系统存储器和/或操作系统250的存取的恶意软件和黑客。另外，除了其他示例以外，安全的存储器238可以另外包括、存储或指向管理微控制器所执行的指令和软件(例如，245)以提供管理控制器的功能，包括安全ID和安全性态势数据242的生成和管理。
除了安全的处理和存储器设施以外，系统设备205还可以包括通信管理器248，通信管理器248可用于启用管理控制器和域及其相应的域管理系统之间的安全的通信信道。在一些实现方式中，通信管理器248可以连同管理微控制器235实现以允许管理微控制器在系统设备205的操作系统不活动、缺席等的同时接入网络。因此，管理微控制器235可以对系统设备的网络接口具有直接接入。在一些实现方式中，管理微控制器可以运行完全独立的、带外通信信道(诸如通过专用的TCP/IP栈)，允许微控制器检查和接收未由CPU处理的分组、以及在CPU接入之前检查进入和/或离开的话务。实际上，两个逻辑网络连接可以被保持在设备205的单个实体联网连接器上，一个是带内的通过CPU(例如，232)，另一个是带外的通过管理微控制器235。除其他实现方式以外，通信管理器248中的网络滤波器可用于例如基于端口号，可编程地将话务重定向至主操作系统界面或者微管理控制器235处的管理控制器的界面。例如，独立网络通信信道可允许管理微控制器235(以及使用管理微控制器而实现的管理控制器)来执行各种通信和远程管理功能，这些功能可能随时有效地发生而无论操作系统的状态。
管理微控制器235可以使用独立的和/或专用的(多个)网络通信信道，通过一个或多个网络(例如，域215的网络116等)与外部系统进行通信，外部系统包括域(例如，215、220、225)的管理系统(例如，210)。系统设备和域管理系统(例如，210)的管理控制器可以结合其交互、会话、API等交互地验证。在一示例实现方式中，一个或多个证书(例如，244)可以对应于证书授权机构被维持，该证书授权机构向多个域颁发证书(用于通过其相应的域管理系统来使用)，根据该证书，证实该域是合法的、受信任的并且满足合格的已授权域的阈值，以便与基于硬件的管理控制器交互和通信。在一些实现方式中，这种证书可专用于管理控制器的特定制造、模型或实现方式。在将敏感信息传送至域管理系统之前，管理控制器可以确认相应的域管理系统拥有证书(例如，260)的副本或者仍是该证书的已授权持有者(例如，基于对证书的授权结构的查询)。管理控制又可以提供系统设备的安全标识符以便在该域验证该系统设备。
在一些情况下，证书(例如，244)可以与安全性态势数据242、验证数据240及其他信息一起被保持在管理控制器可存取的存储器(例如，238)上。管理控制器可存取的存储器(例如，238)也可由管理微控制器来编写。在一些实现方式中，管理控制器可存取的存储器(例如，238)可以是非易失性的受保护的存储器，因为系统设备205的其他硬件组件以及系统设备205的操作系统250不能存取存储器238，从而确保存储于安全存储器238中的信息的完整性和机密性。而且，除了受保护的管理控制器可存取的存储器(例如，238)以外，在一些实现方式中，管理微控制器235可另外存取系统存储器(例如，234)，允许管理控制器存取关于系统设备205的属性的信息，该信息诸如系统设备的应用(例如，252)、设备上所采用的安全性工具和对策(例如，254)、系统设备的活动和历史、设备的地理位置信息、系统设备的用户简介、设备所使用的或所连接至的网络、等等。在一些实现方式中，这种信息可用于生成安全地包含在系统设备205的硬件内的安全性态势数据242。而且，在一些示例中，除其他示例以外，管理控制器还可被配置成对将代理、软件更新、安全性工具及其他程序、特征和数据安全提供至系统设备上进行管理，以增强设备的功能和安全性。
示例域管理系统210可以被包含于计算设备、服务器和域的设施中，以便对与连至该域并且参加该域中的系统设备的基于硬件的管理控制器之间的交互进行管理。例如，示例的域管理系统210可以包括一个或多个处理器256、一个或多个存储器元件258、诸如控制器管理器255、资产管理器270、策略管理员272和代理管理器278这样的其他工具和组件，还有其他可能的组件。控制器管理器255可以提供用于标识、验证和管理与一个或多个系统设备(例如，205)的会话的功能，该一个或多个系统设备尝试结合设备与域(例如，215)的交互而利用基于硬件的管理控制器。例如，控制器管理器255可以管理域(例如，215)和系统设备(例如，205)的交互验证，例如，向系统设备确认它已由受信任的授权机构颁发了证书，并且接受和管理来自系统设备的安全标识符及其他信息。而且，控制器管理器255可以管理它已逾期通信的系统设备，包括那些使用基于硬件的管理控制器参加该域的系统设备。例如，控制器管理器255可以维持安全的标识符数据，该安全的标识符数据使用基于硬件的管理控制器将安全的ID映射至个别的系统设备。
资产数据265也可以被保持在示例设备管理系统210或者使其对示例设备管理系统210可用，资产数据描述在接入该域时所包括的或者所标识的多个资产的属性，包括具有基于硬件的管理控制器(例如，205)的系统设备。资产数据可以收集自各种源，包括：在个别资产上已安装的代理、(例如，通过各种安全性工具、本地和/或基于网络的扫描仪等作出的)对资产的扫描、以及经由利用基于硬件的管理控制器与资产的通信接收到的安全性态势数据及其他属性数据。资产可以包括系统设备、网络、应用数据结构、以及人类用户，该人类用户利用域的系统、包括于域的系统中以及/或者管理域的系统。而且，除其他示例以外，客户端系统设备的安全标识符可以与资产数据265中的简介被保持在一起，以及/或者被映射至资产数据265中的简介。
除了策略管理器270提供用于将策略动态地分配至特定系统设备并且实施这些策略的功能以外，在一些实现方式中，策略管理器270还可进一步包括用于定义新策略、修改现有策略、建立用于将策略应用于特定系统设备的规则和标准(例如，基于设备的已检测属性)等等的功能。策略管理器270可以与网络内部署的以及位于系统设备本身上本地处的一个或多个安全性工具协同操作。例如，一些安全性工具可以布局在系统设备远程，允许策略实施在距目标系统设备、应用或人的远程发生，从而在没有策略(或实施)被推送至目标本身的情况下允许安全实施。这在例如移动设备以及未管理设备的安全性实施时可以是有用的，该移动设备移上和移下所监控的网络，该未管理设备诸如不包括能实施重要安全性策略的代理或其他本地安全性工具的设备。除其他示例以外，这种安全性工具可以包括例如防火墙、web网关、邮件网关、主机入侵保护(HIP)工具、网络入侵保护(NIP)工具、反恶意软件工具、数据丢失保护(DLP)工具、系统脆弱性管理器、系统策略合规管理器、资产重要性工具、入侵检测系统(IDS)、入侵保护系统(IPS)、以及/或者安全性信息管理(SIM)工具。然而，安全性实施也可能位于目标系统设备上的本地，例如，通过正在运行的、已加载的或以其他方式与系统设备直接相接的安全性工具。在一些实例中，安全性工具还可向管理控制器提供用于直接在目标设备处实施策略的接口。例如，除了其他示例以外，在一些示例中，系统设备上部署的代理可以用作安全性实施工具，例如，根据应用于特定系统设备的一个或多个安全性策略来阻止位于设备本地的特定活动、将策略指令传递至特性系统设备上的其他安全性工具。
资产数据265中包括的属性信息可被用于确定要被应用于个别资产的策略275。可以提供策略管理器270，来管理域(例如，215)内策略275的部署和实施。在一些实例中，策略可以基于资产数据被适合于个别资产。在其他实例中，预先发展的策略可以基于资产数据与资产相匹配。除了用于管理和操纵域的其他策略以外，策略275可以包括安全性和合规策略。例如，除了其他示例以外，可以基于对策略275的依附来执行对数据、应用、服务及域的其他资源的接入、安全性任务、审计、扫描、对策部署、更新、以及其他动作。而且，对于利用基于硬件的管理控制器的系统设备资产，策略实施可尝试利用管理控制器来执行这种任务。作为一示例，信息可以获得自系统设备，该系统设备允许域管理系统210标识系统设备的驱动器，该驱动器可以被下载或者以其他方式被标识和接入以允许域管理系统210更好地与系统设备通信并且协调与系统设备的通信、以及允许系统设备和域内的其他计算设备间的通信。
在另一示例中，域管理系统可以包括代理管理器278，该代理管理器278适用于帮助将代理加载至域内的各种资产上。在一些实现方式中，代理管理器278可用于通过基于硬件的管理控制器来将代理加载至系统设备上。代理于是可用于帮助管理和标识系统设备。在一些实现方式中，代理管理器278可以帮助将永久代理加载至系统设备上，而在其他示例中，可以对应于系统设备(例如，205)和域之间的给定会话而加载临时的、可分解的代理。
代理的加载仅仅是可通过与受信任域管理系统相接的基于硬件的管理控制器安全且有效地执行的可能无限数量的任务和服务中的一个，用于改进域和系统设备两者的安全性、可操作性以及特征集。实际上，托管的系统设备(例如，已经具有代理的设备)自身可以通过提供基于硬件的管理控制器来改进。例如，除了其他示例以外，当端点由于再成像、操作系统重新安装、硬件更新(新盘、或新网卡)或仅仅是卸载代理而改变时，标识系统并且安装新的、相对应的替换代理的能力可以是基于系统设备的基于其安全ID的重新标识。这也可以有利于或者在第三方域(例如，客户环境)内提供应用或者在云内提供应用，因为系统设备的身份可以被可靠地且一致地确认。此外，确保设备在启动阶段处于已知状态可以提供附加的数据点，该附加的数据点代表在执行涉及该设备的任何敏感任务之前设备的信任级别。除了其他附加示例以外，“说谎端点()”攻击会通过质疑被报告的代理数据的有效性，来威胁损坏端点系统的完整性。通过经由基于硬件的管理控制器生成的基于硬件的安全ID，这一整类问题可以由于可靠确认系统设备的身份的能力而被否定。
而且，系统设备的安全性状态可以基于值得信任的安全性态势数据(例如，242)来推断，以帮助在许可特定资产接入网络之前、完善对该特定资产对环境造成的风险的评估。作为另一示例，可以通过利用以硬件启动的值得信任的安全ID数据，取代(或作为补充)诸如IP地址、MAC地址等其他较不持久的或可被阻截的标识符，来改进网络监控器(诸如防火墙、入侵检测系统、入侵防护系统以及其他安全性工具)。除了其他示例和优点以外，通过管理控制器的一些实现方式的安全联网能力，可以启用对于安全性态势数据或安全存储器(例如，238)的其他资源的带外网络接入，以允许进一步的附加的特征和服务，包括在主处理器、系统存储器、操作系统等不可用或不可操作时的支持性能和诊断任务。
而且，系统设备处存储的安全性态势数据中描述的属性信息可以使用管理控制器被传送至已验证的域管理系统。这种信息可以包括标识系统设备以及系统设备上的计算设备的类型的信息，允许管理系统或者标识以及/或者取得对应于该系统设备的设备驱动器。在一示例中，属性信息可以包括系统设备的计算设备以及/或者系统设备本身的产量、型号及制造商的标识。属性信息也可以包括系统设备的计算设备所使用的固件、操作系统及其他软件的标识，包括版本信息。通过使用属性信息，管理系统(例如，使用控制器管理器)可以标识系统设备和/或其计算设备的源(包括远程源)服务设备驱动器、更新及其他信息。这种信息然后可用于执行各种安全性相关的任务并且改进与系统设备的事务。
转至图3的示例，示出图示单个系统设备205可以维持并提供多个唯一安全ID(例如，305，310)的简化框图，每个安全ID对应于系统设备205与一个不同、相应的域(例如，210，220)的特定对并且对于该特定对是唯一的。除了其他示例以外，系统设备205可以通过基于硬件的管理控制器302来生成和标识对应于一特定域的安全ID，并且在设备205的操作系统的接入和控制之外，将该安全ID(例如，305，310)传送至该域，诸如传送至该域的域管理系统。该域然后可以验证该安全ID并且从该安全ID中标识该设备。
转至图4A－4C的示例，图示了示例流程图400a－c，这些流程图示出对于示例系统设备的安全ID的生成和使用的示例技术。在图4A中，系统设备的特定软件410(诸如系统设备的操作系统内的应用)可以请求与域的事务412(例如，在域接口415处)。该域可以使用域管理器(在本文他处称为“域管理系统”)420来请求414系统是否能够例如通过系统设备的基于硬件的管理控制器(例如，405)来提供受信任的、基于硬件的安全ID。请求414也可以指示系统设备提供安全ID以在该域处验证该系统设备。在图4A的特定示例中，系统设备向该域返回响应416以拒绝该请求414。
拒绝(例如，416)可以源于各种因子。在一些实例中，域可能没有系统设备(例如，使用管理控制器405)所识别的有效证书，该有效证书表示该域是用于与管理控制器405通信的值得信任的伙伴、提供和/或共享系统设备的安全ID、与域共享安全性态势数据、等等。在另一实例中，系统设备可能没有配备有可与域及其请求414兼容的管理控制器。在还有其他实例中，涉及系统设备的管理控制器以及该域的安全会话可以是用户导向的。例如，响应于接收到请求414，可以在系统设备上向用户呈现用户界面，请求许可使用管理控制器405以在系统设备和域之间设立安全的硬件到硬件的通信。在这种情况下，除了其他示例以外，用户可以自由地选择拒绝使该域具有与系统设备的管理控制器相接的特权。在这种情况下，系统设备可以尝试参加与该域的传统会话(例如，事务422)，而没有管理控制器405的帮助或特征以及使用管理控制器405和域管理器420建立的安全会话。
在图4A的示例中，响应于拒绝建立与域管理器420的安全会话，域管理器420可以将一组策略应用418于系统设备。该组策略可以是对于任何这种系统设备、或类似型号的系统设备的诸个缺省策略，该组缺省策略不(或不能)提供使用兼容管理控制器的安全ID及安全通信的增强性的标识服务。这种策略可以包括安全性策略、电子商务策略等，以使系统设备的用户享受对该域、其服务、数据、促销等的降低级别的接入。在一些情况下，系统设备的所请求的事务(例如，在412)可以以有效安全ID的交换为条件，拒绝416导致该域拒绝所请求的事务。在其他示例中，诸如图4A图示的示例，尽管拒绝及更严格的策略418(诸如更有限制的安全性策略)在事务422期间被应用于系统设备，仍可以实现(例如，422)所请求的事务。
转至图4B的示例，另一事务请求432可以从系统设备的软件410被转发至域415，再次导出对来自系统设备的安全ID的请求432。例如，可以使用(例如，域A的)相应的域管理器420来尝试建立一安全会话，该安全会话利用系统设备的管理控制器405的功能。例如，域管理器420可以向系统设备请求435安全ID来验证(以及可能重新标识)该系统设备。同样，在一些示例中，可以向用户呈现和赋予允许建立与该域的安全会话、以及为该会话设置规则和/或优选项的选项。例如，除了其他示例以外，用户可以设置用于以下的规则、优选项或参数：确立哪些安全性态势数据和数据类型可以与作出请求的域共享(例如，在一些情况下改变基于域的特定身份共享的数据量)、确立管理控制器505是否可以自动尝试加入与域(或用户标识的多个域的子集)的安全会话(例如，通过跳过用户授权步骤)。
而且，可以在管理控制器405和域管理器420之间协商和建立438安全通信信道，以便于管理控制器和域管理器之间的私有通信(它可以在系统设备的操作系统的控制和解释之外)。而且，可以向管理控制器405提供域A的域证书以便将域管理器420验证为用于安全会话的值得信任的伙伴(例如，如在前述示例中)。在一些情况下，域证书可以连同安全通信信道的协商和构造(例如，438)被传递440至管理控制器405。在图4B的示例中，管理控制器405可以标识域证书中标识该域的信息。在一些实例中，域证书可以包括唯一地标识该域的数据。管理控制器405可以使用管理控制器的安全(及秘密)硬件标识符425以及域标识符来生成一安全ID，该安全ID对于管理控制器405(及相应的系统设备)以及域管理器(及相应的域)的配对来说是唯一的。在一些实例中，除其他示例以外，安全ID可以通过安全硬件标识符425与域标识符的散列而导出。
在从硬件ID 425导出安全ID之际，如同在其他示例中，管理控制器405然后可以将安全ID 445返回至域管理器以便在该域处标识和验证管理控制器(及系统设备)。然后，域管理器420可以确定安全ID是之前已经在该域处被接收、还是该域内的新的安全ID。在安全ID与之前接收到的安全ID相匹配的情况下，域管理器420可以标识预先生成的简介以及对应于安全ID的简介数据，并且基于安全ID将系统设备与简介重新关联。在确定安全ID为域A的新的安全ID的情况下，域管理器420可以生成对应于该新的安全ID的简介记录。简介记录可用于收集和存储安全性数据，该安全性数据描述与管理控制器405和安全ID相关联的设备(和/或用户)的安全性相关的属性。其他属性也可以被记录在简介记录中并且与安全ID相关联，包括例如：与系统设备的事务和域中的事务相对应的且在这些事务期间收集的(例如，使用管理控制器405)会话信息、用户简介信息、浏览历史、账户信息等。以此方式，域管理器可以基于安全的和值得信任的安全ID来标识该域内特定系统设备的使用。然后，如同在其他示例中，域管理器420可以确定适合于系统设备的属性的安全性策略(及其他策略)并且在管理控制器和域管理器420之间的安全会话内的事务450中将这些策略应用448于系统设备。
转至图4C，示出图示涉及示例管理控制器405的组件和交互的简化框图400c。在该特定示例实现方式中，管理控制器405可以包括具有安全管理微控制器只读存储器472的管理微控制器，该安全管理微控制器只读存储器472可由该管理微控制器存取、但与系统设备的其他元件隔离，其他元件诸如CPU、操作系统等。管理微控制器存储器472可以包括熔丝密钥(fuse key)475或系统设备硬件中嵌入的另一永久标识符。这种永久硬件ID可以在系统设备芯片集的制造时被设置，并且对于系统设备而言是唯一的且私有的。在一些情况下，为了帮助保存系统设备的用户的隐私，可以从熔丝密钥值475导出单独的、私有的硬件ID476。在一些情况下，硬件ID 476是存储在管理控制器405的闪存中的永久标识符(例如，因为它基于永久熔丝密钥值)，并且可以被导出以使其同样也是全局唯一的。在还有其他示例中，可以为单个设备生成多个硬件ID 476。例如，在与提供不同服务(例如，电子邮件、ID管理、内容提供商、在线零售、社交网络等)的域和服务提供商交互时，可以使用多个不同的硬件ID来为单个设备－域的配对生成多个安全ID，每个安全ID都与该设备－域配对的特定服务或上下文配对。除了其他示例以外，这可以帮助免于用户或设备数据跨域的多个服务被交叉关联。
在一些情况下，在生成用于建立与域的安全会话的安全ID时，可以使用自硬件熔丝密钥475导出的硬件ID 476。在其他实现方式中，进一步的基于硬件的标识符(即根ID478)可以自硬件ID 476中导出。例如，根ID 478可以是存储于管理微控制器的闪存(例如，474)中的永久标识符。在一些实现方式中，根ID 478可以按用户所需被重置或替换，以便生成自同一硬件ID导出的新的根ID 478。例如，尽管可以使根ID 478免于用户、操作系统和相应应用、第三方等的操纵或篡改，但是为了保护隐私，用户仍可被许可有选项以删除根ID并且用管理控制器提示新的、不同的根ID的生成。应当理解，在一些实现方式中，从新的根ID所导出的安全ID将不同于从前一根ID所导出的安全ID。因此，用户可以通过重置根ID并由此用从中导出新安全ID的新根ID来替换前一根ID值，来手动地解除其系统设备与各个域所维持的并且与从前一根ID导出的前一安全ID值相关联的在先简介之间的关联。
如图4C的示例中所示，证书484也可以被保持在管理微控制器的闪存上。证书484可以是受信任的证书机构的根证书482的副本，该受信任的证书机构授权域管理器并将域管理器验证为与基于硬件的管理控制器(例如，405)通信的受信任的伙伴。证书484的副本可以结合域管理器的验证被使用，例如，结合管理控制器和域管理器的相互验证响应于特定域接收到或与该特定域相关联的域证书(例如，480)、在管理控制器和域管理器之间建立安全连接(例如，使用安全交换协议)、等等例如，管理控制器可以使用证书484来确认自域管理器接收到的域证书(例如，480)。在可以结合相应域管理器的标识和验证所使用的可能的附加数据之中，示例的域证书480可以包括序列号485、域唯一标识符486、证书类型字段、证书的公钥490、证书机构492的签名。
如图4C的示例中进一步示出，在一些实现方式中，(管理控制器的)管理微控制器可以接收域证书并且处理域证书480以标识域的域标识符486值。同一域标识符486可以被包括在从该域接收到的每个域证书(或者由该域用来传送域标识符的其他消息)中。于是，管理微控制器可以从域标识符和根ID中导出对于系统设备和域的配对来说专用的唯一安全ID 495。例如，安全ID 495可以通过组合域标识符和根ID而导出，例如通过对域标识符和根ID值的散列。在该特定示例中，与其将一组各种域专用的验证数据(诸如种子)存储在管理微控制器的安全闪存474中，单个根ID(或者，在一些替代实现方式中，硬件ID 476)可以被存储在闪存474中，允许每次系统设备尝试建立(和重新建立)与给定域的安全会话时导出和重新导出相同的域专用的安全ID，管理微控制器存取并使用永久的根ID 478和域ID486输入的相同组合。
返回图4B的示例，如上所述，可以使用基于硬件的ID 425(作为示例，诸如硬件ID476或根ID 478)来导出多个安全ID，每个安全ID对应于一个相应的域。例如，系统设备可以(例如经由域接口428)与第二域交互(例如，在452)，第二域即域B。域B的域管理器430可以请求455系统设备的安全会话和安全ID，允许用户指定是否期望与域B的这一会话。安全交换协议和连接可以如前示例中被协商458，且第二域管理器430的验证基于例如域B的域证书。在一些实现方式中，每个域(例如，域A和B)的域证书可以通过共同的证书机构提供，诸如负责标识伙伴域的证书机构，该伙伴域满足兼容性和可信性的阈值，且具有包括管理控制器等的芯片集的特定产量、型号和/或制造商。
继续图4B的示例，如同与域A的会话，管理控制器405可以使用来自域证书的信息(诸如唯一域标识符(例如，486))连同硬件ID 425来导出与系统设备和域B的配对相对应的安全ID。然后，安全ID可以通过安全通信信道被传送465至域管理器430。域管理器430可以将接收到的安全ID映射至域管理器所维持的简介，并且标识适合于系统设备(或适合于一般使用管理控制器来建立与域的安全会话的系统设备)的策略，该策略可以在包括事务470的会话期间被应用468于系统设备。
在一些实现方式中，系统设备可以通过管理控制器405来同时参加与多个不同域(例如，域A和B)的多个安全会话。在一些实现方式中，在用于跟踪域、会话和要在会话期间使用的相应安全ID的其他数据之外，管理控制器可以进一步维持标识会话的会话数据、会话的安全通信参数(例如，所使用的交换协议、所使用的密钥和加密方案、等等)、会话中所涉及的域(连同验证状态、域标识符、等等)。
应当理解，在一些实现方式中，管理控制器可以被配置成根据多个不同的协议和方案导出安全ID。例如，在一些实现方式中，管理控制器可以被配置成既从基于硬件的硬件ID数据中导出安全ID，例如在图4A－4C的示例中所示，也根据其他协议导出安全ID，诸如根据在2012年12月23日提及的题为“Hardware-Based Device Authentication(基于硬件的设备验证)”第13/726,148号美国专利申请中描述的原理和示例。例如，用于基于硬件ID的安全ID的根ID(例如，478)以及域(例如，443)所提供的种子两者都可由安全闪存(例如，474)中的管理微控制器来存储和维持。实际上，除了其他示例以外，在一些实现方式中，根ID(或其他硬件ID)可以与种子数据一起用来导出用于某些域的一次性密码或其他安全ID。例如，种子数据可以被用作域标识符，并且被散列或以其他方式与硬件ID组合以生成安全ID。在一些情况下，除了其他示例以外，管理控制器可以例如从作出请求的域的身份或者域对安全ID的请求中标识要将哪个安全ID格式应用于作出请求的域。
如以上示例中所述，安全通信信道可以在系统设备的管理控制器与域的域管理器之间协商和建立。在一些情况下，用于建立安全通信信道的交换协议的协商可以包括：传递证书以及标识该域的其他数据，供系统设备用来验证域管理器以便与系统设备的基于硬件的管理控制器交互。在一些示例实现方式中，可以利用基于密钥的加密在域管理器和管理控制器之间进行安全通信。而且，在一些实现方式中，可以附加地使用安全密钥交换协议来安全地交换已加密信道中所使用的密钥。信道可以被确保安全以隐藏安全ID、种子、验证数据、安全性态势数据、以及自管理控制器发射的其他信息的内容，不被系统设备的其他组件、处理器、应用、操作系统等所见。以此方式，可以保护由管理控制器传送至域的数据，免于被尝试不利地或以其他方式破坏管理控制器所维持的数据的合法性的用户、应用或其他实体操纵或影响。
在一些实现方式中，可以使用密钥交换协议，该密钥交换协议允许结合在管理控制器和域管理器之间建立安全通信信道时的相互验证和安全密钥交换。在一些实现方式中，可以使用既安全(例如，免于中间人、未知密钥共享、身份错误绑定、以及其他攻击)又能维持多方的至少一方(例如，该示例中为管理控制器)的身份私密性的协议。在一个示例实现方式中，可以使用SIGMA密钥交换协议或其他协议在管理控制器和域管理器之间建立加密的通信信道，这些协议通过签名和mac机制以及Diffie-Hellman交换原理建立秘密的共享密钥。例如，转至图5A的示例，示出图示管理控制器505和域管理器515之间的示例SIGMA交换的简化流程图500a，允许在系统设备的软件510的影响之外协商安全ID。在图5A的示例中，系统设备软件510提供525公共值S1。在一些情况下，值S1可以包括管理控制器505的公共基础gx。响应于，域管理器515可以发送530S2，确定对安全ID的请求并且包括：gy、B、SIGB(gx,gy)、MACKm(B)，其中，gy是域管理器的公共基础，B是域管理器的公钥，SIGB(gx,gy)是gx和gy的签名，MACKm(B)是B的mac。作为响应，管理控制器505可以发送S3，S3包括A、SIGA(gy,gx)、MACKm(A)以及在一些情况下包括使用域管理器的密钥B加密的安全ID。
在一些实现方式中，可以利用管理控制器(例如，505)和域管理器(例如，515)之间的通信来导出与系统设备和相应域的配对相对应的安全ID。如同在以上示例中，除了其他示例以外，安全ID可用于提供域内的管理控制器的设备的基于硬件的验证。例如，在图5B的示例中，示出一示例设备的示例管理控制器505和设备软件510以及多个域的相应域接口(520、528)和域管理器(515、530)的简化流程图500b，该多个域适合于通过管理控制器505接受基于硬件的设备验证。例如，事务请求532可以自设备被发射至域，造成SIGMA握手被发起(例如，在535)。作为响应，域管理器540可以在握手中将S2值传送540至管理控制器505。此外，域“基名”值或域标识符可以被包括于或附加于S2的传输540，其唯一地标识该域。管理控制器可以接收S2值并且标识域标识符，并且尝试至少部分基于域标识符来确认该域的真实性。而且，如同在图4A－4C的示例中，管理控制器505可以使用永久的硬件ID并且使用域标识符和硬件ID 525为该设备导出542安全ID。所导出的安全ID对于设备和域的配对来说可以是唯一的。在一些情况下，可以使用密钥导出功能来导出安全ID。
在导出安全ID之后，管理控制器505可以通过传送S3 545来响应于SIGMA S2通信540。在该示例中，管理控制器505可以使安全ID被包括于通信545中。域管理器520可以接收通信545以便既完成SIGMA协商、又获得管理控制器505所导出的安全ID值。除了其他示例以外，管理控制器也可以传送其他信息用于确认设备的身份，诸如设备的产量、型号、版本等。而且，安全性策略可由域基于设备的基于硬件的验证被应用于548设备，且在设备和域之间可以完成一个或多个事务550。此外，除了其他示例和好处以外，可以使用自域专用基名(例如，在540)导出的会话密钥将客户端设备和域的配对与事务550绑定，提供允许客户端设备和域在整个事务期间确认另一方的身份的另一层安全性。
如同在图4B－4C的示例中，在最初导出硬件ID导出的安全ID并将其与域管理器共享之后，后续事务可以重新导出安全ID以便向域管理器重新验证该设备。例如，如图5B所示，后续事务请求552可以自同一设备被发送至同一域。SIGMA协商可以再次被发起555。作为响应，域管理器可以用S2响应560来提供对专用ID。例如，对专用响应可以包括来自其原始S2响应(例如，540)的同一域标识符。管理控制器可以从该标识符以及源自于到该域的SIGMA协商的属性会话中识别出该域。在其他情况下，对标识符可以包括导出的安全ID(例如，在545接收)。在这种情况下，向客户端设备和域两者提供多租户私密性以及到事务580的每一方均真实的保证。例如，管理控制器可以对接收到的安全ID执行密钥导出操作(例如，560的“PAIRING_ID”)，以导出原始域标识符(例如，在540接收到)。在其他情况下，除了其他示例以外，原始域标识符可以被包括于或附加于S2响应，该S2响应包括安全标识符作为成对标识符基名以帮助管理控制器确认该域是安全ID的合法持有者(例如，基于管理控制器505从重新提供的域标识符中重新导出555安全ID)。在任一情况下，管理控制器505可以确认域的身份(例如，基于该域得知安全ID)。在一些情况下，除了其他示例以外，管理控制器可以通过经由SIGMA协商的完成将重新导出的安全ID传递回(在570)域管理器515，来重新确认其身份。域管理器515可以从SIGMA消息570标识安全ID，并且查询数据库或其他结构以确认安全ID是否是已知的安全ID。在该示例中，域管理器515可以标识该安全ID对应于该设备、重新验证该设备、并且将安全性策略重新应用于该设备。而且，域管理器515可以应用在与设备的在先事务(例如，550)期间收集到的信息，以便在后续事务(例如，580)中喜欢应用于575设备的策略，以及基于被映射到该设备并且由系统设备的安全ID索引的在先收集的信息来适配服务、产品和用户体验供应。此外，除了应用以上原理的其他示例和实现方式以外，可以使用从配对标识符基名所导出的事务580的会话密钥来将事务580与客户端设备和域的配对绑定。
现在转至图6A的示例，示出基于硬件的管理控制器在安全性态势数据以及描述系统设备的属性的其他数据的安全通信和管理中的参与的简化流程图600a。例如，如同在之前示例中，响应于系统设备发起625与域的一个或多个事务的尝试(例如，在域接口615处)，域管理器620可以尝试通过对系统设备的安全ID的请求630来发起与系统设备的安全会话。安全通信会话可以被建立635，域的证书可以结合域的验证被确认640。通过使用与图4A－4C的示例的任一者类似的方法、以及其他方法，安全ID可由管理控制器605导出并且被传送645至域管理器620。在图6A的示例中，在建立与域管理器620的安全连接之际，管理控制器605可以另外通过安全信道将安全性态势数据650的至少一部分传递655至域管理器620。在一些实现方式中，除了其他示例以外，该部分安全性态势数据650可以和安全ID一起作为安全性容器结构被传送，允许该域更直接地标识安全性态势数据并且将安全性态势数据绑定至通过安全ID标识的系统设备简介。除了其他示例以外，这种容器可以应用2012年12月23日提交的题为“Trusted Container(受信任容器)”的第13/726,167号美国专利申请中描述的原理和示例。
安全性态势数据650可以包括描述系统设备的属性的各种数据。在一些情况下，安全性态势数据650可以描述系统设备的永久属性，诸如芯片集的型号和制造商的标识符、系统设备的标识、系统设备、类型等以及其他信息。在一些示例中，这种永久属性可以被预加载(例如，在制造时)至管理控制器的安全存储器上。其他数据可以描述系统设备的更多动态属性。例如，管理控制器可以存取和查询系统存储器、系统设备的外围设备、系统设备的其他处理器、系统设备的操作系统、以及其他系统设备实体以标识和收集系统设备的其他属性。这种所收集的属性也可以被添加至和包括于安全性态势数据。此外，管理控制器605可以另外监控和标识对系统设备的属性的更新和变化，并且捕捉安全性态势数据中的这些变化。
如同管理控制器的安全存储器中所维持的根ID、种子以及其他验证数据一样，描述系统设备的各种属性的安全性态势数据可以与用户、操作系统、第三方等的控制或影响相隔离，从而提供安全的且值得信任的贮藏库或其他容器，用于记录系统设备的可能有助于与系统设备所交互的域共享的属性。共享(例如，在655)安全性态势数据可以允许域管理器更好地标识系统设备的多个方面，影响哪些策略(诸如安全性策略)可应用于该设备并且允许域管理器更好地使策略的应用660适合于涉及系统设备和域的事务。这种事务可以不仅包括基于软件的事务(例如，665)也包括硬件到硬件的事务，后者诸如管理控制器605和域管理器620之间的事务。
转至图6B，示出按照一示例实现方式的示例受信任的安全容器670。安全容器可以将系统设备的安全ID 675与一组680安全性态势数据一起封装在域内，该组安全性态势数据要被传送至域管理器，用于例如在安全会话开始时或者在域和管理控制器之间提供API时，将系统设备介绍给域管理器。在一示例实现方式中，除了其他示例以外，该组安全性态势数据680可以描述一个或多个系统设备属性，诸如系统设备的启动策略、系统设备的OEM公钥散列。实际上，各种安全性态势属性可以被包括在管理控制器所维持的安全性态势数据中，并且能够与一个或多个域管理器共享。例如，操作系统类型、版本、补丁等可以与系统设备上安装的应用一起被标识并且被保持在安全性态势数据中。在一些情况下，安全性态势数据也可以标识系统设备上所部署的对策和安全性工具。也可以收集(例如，从收集系统设备上的这种数据的其他传感器)用户简介的标识、使用历史和统计量、行为信息以及描述系统设备的用户的其他信息。此外，安全性简介数据可以描述包括从设备(例如，自系统设备的全球定位系统组件)收集的定位信息的多个属性，可以标识设备的当前工作状态(例如，设备是否开启/关闭、电池/充电级别、等)、设备的模式(例如，设备如何被使用、如何自例如设备的加速度仪或其他组件被收集)。
安全性态势数据中包括的一些属性可以是高度设备相关的。例如，系统设备(诸如汽车的仪表盘计算机)可以收集描述计算机所监控的汽车的功能和状态的信息。类似的状态信息可由智能设备芯片集中所包括的管理控制器来收集。应当理解，随着不断增长的各种智能设备、个人计算设备、外围设备以及包括联网和计算机处理能力的其他设备，安全性态势数据中可能收集和维持的属性数据的类型也可以变化和不同。
管理控制器605所共享的安全性态势数据的部分和类型可以随着域的不同而不同。在一些情况下，管理控制器可以标识域所请求的最小量的信息，并且仅提供该最小集合。除了安全性态势数据的初始集合(例如，如同封装在受信任的安全容器670中)以外，管理控制器605可以基于域和系统设备间的交互类型格局请求，按需地或者根据请求地将附加的安全性态势数据传送至域。例如，涉及系统设备对域所提供的特定服务的消费的事务可以调用与安全性态势数据中包括的系统设备有关的专用信息类型。
安全性态势数据可以提供系统设备的属性的最新的和值得信任的记账，该记账与域对系统设备的安全性的评估有关。基于安全性态势数据中传送的设备的属性，域可以更好地理解系统设备的脆弱性和安全性简介，允许该域更准确地和完整地应用安全性策略并且采取防御性措施来弥补系统设备的安全性简介的弱点(或优点)。实际上，尽管在一些情况下系统设备和域之间的安全会话会导致将更自由的策略应用于系统设备，但在其他情况下，在从系统设备接收到指示重要脆弱性或其他问题属性的安全性态势数据之际，域可以实际上基于安全性态势数据向与系统设备的交互应用更严格的策略。
图7A－7B是图示示例技术的简化流程图700a－b，涉及尝试与域事务的计算设备的基于硬件的管理控制器。在图7的示例中，系统设备可以尝试706接入特定域，并且从该域接收710参加与该域的安全会话的请求。该特定域的域标识符可以被接收715，例如，结合从该特定域对域证书的接收。在一些实现方式中，域证书的接收可以结合特定域和系统设备之间的安全通信信道(例如，在密钥交换中)的协商。而且，可以在系统设备的管理控制器的安全存储器中标识720永久的硬件标识符。硬件标识符可以是仅可由管理控制器存取的秘密值，并且被保护以免受中央处理器、操作系统及系统设备的其他组件的操纵。在一些实现方式中，硬件标识符可以基于被永久嵌入在设备硬件中并且在设备制造期间被设置的标识符。管理控制器可以从域标识符和硬件标识符导出725安全标识符，诸如通过域标识符和硬件标识符的散列。安全标识符可以对于系统设备和特定域的配对是唯一的，并且可以被隐藏和保护免受系统设备的其他元件操纵。然后，管理控制器可以将例如通过系统设备和特定域之间的安全通信信道将安全标识符传送730至特定域。安全标识符可以对管理控制器和特定域是私有的，向该特定域确保该安全标识符是真实的。而且，其他数据也可以与安全标识符一起被传送，以帮助特定域标识系统设备并且与系统设备一起工作。除了其他示例以外，这种数据可以包括安全性态势数据以及描述系统设备的属性的其他数据。
转至图7B的示例，从特定域的角度(例如，在特定域的域管理器处)，可以标识740系统设备对接入该域的尝试，提示请求要被发送745至系统设备，以邀请参加与该特定域的安全会话。例如响应于系统设备接受到参加安全会话的请求，域标识符也可以被传送750至系统设备。结合系统设备处特定域(或域管理器)的验证以及/或者系统设备和特定域之间安全通信信道的建立，域标识符可以在被发送至系统设备的域证书中被传送。然后，安全标识符可以例如通过安全通信信道从系统设备被接收755，安全标识符从域标识符以及系统设备的安全存储器中维持的永久的硬件标识符导出。其他数据(诸如安全性态势数据)也可以被接收并且与安全标识符(及因此系统设备)相关联。基于安全标识符(以及诸如安全性态势数据这样的其他数据)，特定域可以标识关于系统设备或可应用于系统设备的策略。这种策略可以被应用760于涉及系统设备和特定域的事务，并且可以包括安全性策略、电子商务策略、数据存取策略、合规策略等等。在一些情况下，可以在安全会话中(或者在系统设备验证期间)从管理控制器接收到安全性态势数据以及描述系统设备的属性的其他数据，并且应用于系统设备的策略可以基于所描述的属性或者被调整以弥补所描述的属性。管理控制器所传送的属性可以被视为比系统设备的其他、非基于硬件的组件所传送的属性数据更值得信任，更免于操纵、假冒等。
尽管已经用特定实现方式和一般相关联的方法描述了本公开案，但是这些实现方式和方法的更改和替换对于本领域技术人员是显而易见的。例如，此处描述的动作可以以和所述次序不同的次序执行，且仍能实现期望的结果。作为一示例，附图中描述的过程不必要要求所示的特定次序或顺序来实现期望的结果。图示的系统和工具可以类似地采取替代的体系结构、组件和模块来实现类似的结果和功能。例如，在特定的实现方式中，多任务、并行处理和基于云的解决方案可能是有利的。
该说明书中描述的主题和操作的实施例可以用数字电子电路实现、或者用计算机软件、固件或硬件实现，包括该说明书及其结构等价物中公开的结构、或者与它们中的一个或多个组合。该说明书中描述的主题的实施例可以被实现为一个或多个计算机程序(即，计算机程序指令的一个或多个模块)、在计算机存储介质上被编码供一个或多个处理器设备执行或者用于控制一个或多个处理器设备的操作。或者或另外，程序指令可以在人工生成的传播信号上被编码，该传播信号例如机器生成的电、光或电磁信号，该传播信号被生成以对信息编码用于传输至适当的接收机装置供数据处理装置执行。计算机存储介质可以是或者被包括于计算机可读存储设备、计算机可读存储基板、随机或串行存取存储器阵列或设备、或者它们或其他示例中的一个或多个的组合。计算机存储介质也可以是或者被包括于一个或多个分开的物理组件或媒介(例如，多个CD、磁盘或其他存储设备)，包括分布式软件环境或者云计算环境。
包括内核和接入网络的网络(包括无线接入网络)可以包括一个或多个网络组件。网络元件可以包含各种类型的路由器、交换机、网关、桥、负载平衡器、防火墙、服务器、内联服务节点、代理、处理器、模块或者可用于在网络环境中交换信息的任何其他适当的设备、组件、元件或对象。如此处概述的，网络元件可以包括适当的处理器、存储器元件、硬件和/或软件以支持(或以其他方式执行)与使用处理器来进行屏幕管理功能相关联的活动。此外，网络元件可以包括便于其操作的任何适当的组件、模块、接口或对象。这可以包括允许有效的数据或信息交换的适当的算法和通信协议。
尽管该说明书包含许多具体的实现方式细节，这些不应视为对本发明或可要求保护的范围的限制，而是描述对特定发明的特定实施例专有的特征。该说明书中在单独实施例的上下文中描述的特定特征也可以在单个实施例中组合地实现。相反，在单个实施例的上下文中描述的各个特征也可以单独地或以任何适当子组合在多个实施例中实现。此外，尽管特征可以在以上被描述为用在特定组合中且甚至最初如此要求保护，但是来自所要求保护的组合的一个或多个特征可以在一些情况下自该组合去除，且所要求保护的组合可以针对子组合或者子组合的变化。
通常，本公开案的主题包括能执行这种任务的方法、软件、计算机可执行指令和系统，所述任务诸如：标识计算机设备参加与特定域的安全会话的机会、接收特定域的域标识符、以及使用计算设备的安全微控制器来标识计算设备的安全存储器中存储的计算设备的安全的、永久的硬件标识符。可以基于硬件标识符和特定域的域标识符来为计算设备和特定域的配对导出安全标识符，且该安全标识符可以通过安全信道被发射至该特定域。
在一示例中，可以提供一系统，该系统包括系统处理器设备、对于系统处理器设备可存取的系统存储器、以及管理控制器。管理控制器可以包括管理微控制器和安全管理控制器存储器，该安全管理控制器存储与系统处理器和系统存储器隔开并且存储安全的、永久的硬件标识符。管理微控制器可适合于执行指令以标识参加与特定域的安全会话的机会、接收特定域的域标识符、基于硬件标识符和特定域的域标识符为计算设备和特定域的配对导出安全标识符、以及通过安全信道将该安全标识符传送至特定域。在一些示例中，指令可以被存储在管理控制器存储器中。在一些情况下，指令可以被实现为在运行时被加载至管理微控制器的小程序。除了其他示例以外，管理控制器存储器可进一步存储安全性态势数据，管理控制器可适合于使安全性态势数据通过安全信道被传送至特定域。
在一些情况下，安全微控制器独立于计算设备的操作系统，安全微控制器所导出的安全标识符的值被隐藏不被操作系统可见。安全标识符可以是系统内的唯一标识符。硬件ID可以基于计算设备的永久的熔丝密钥标识符导出。在一些实现方式中，硬件ID可以幸免于系统擦除。在一些情况下，硬件标识符可以通过接收到重置硬件标识符的请求、重置硬件标识符、以及导出安全的永久的替换硬件标识符来替换。在一示例中，可以基于替换硬件标识符以及特定域的域标识符来导出计算设备和特定域的配对的第二个不同的安全标识符。在另一示例中，可以标识计算设备参加与第二域的安全会话的机会，且可以获得该第二域的域标识符。而且，可以基于硬件标识符和该第二域的域标识符来导出与第二域的配对相对应的安全标识符。
在一些情况下，可以通过安全信道发送描述计算设备的属性的安全性态势数据。在一些示例中，计算设备可以是移动设备。而且，安全存储器可以包含于安全微控制器的闪存中。域标识符可以被包括于特定域的域证书中，并且在一些情况下，可以结合在建立安全通道时使用的密钥交换协议(诸如SIGMA协议)的协商被接收。特定域可以基于域证书的确认来验证，域的验证可允许导出安全标识符。验证域可以包括验证与管理微控制器通信的域管理器。
在另一一般方面，本公开案的主题包括能执行诸如以下任务的方法、软件、计算机可执行指令和系统，所述任务诸如：标识特定域和客户端设备间的安全会话的机会，该安全会话至少部分基于客户端设备的身份确认。特定域的域标识符可以被传送至客户端设备，安全标识符可以接收自客户端设备，该安全标识符是客户端设备的与客户端设备和特定域的配对相对应的唯一标识符，该安全标识符基于在客户端设备的硬件中嵌入的永久的私有标识符而导出。安全性策略可以至少部分基于安全标识符被应用于涉及客户端设备和特定域的事务。
在一些情况下，安全标识符可以与域中多个简介中的一个简介相关联。可以评估接收到的安全标识符以确定该安全标识符是否对应于多个简介中的一个现有简介。确定安全标识符是新的安全标识符可以导致简介的生成以及安全标识符与新简介的关联。域标识符可以被包括于用于在客户端设备处验证域的域证书中。而且，可以在域和客户端的安全微控制器之间建立加密的通信信道，且可以通过加密的通信信道接收到安全标识符。此外，可以通过加密的通信信道从客户端设备接收到安全性态势数据，该安全性态势数据描述客户端设备的属性并且被存储在客户端设备的安全存储器中。安全性态势数据可以与安全标识符相关联，安全性策略可以至少部分基于安全性态势数据被标识。此外，在一些情况下，除了其他示例以及以上的组合以外，安全标识符可以基于私有标识符和域标识符两者而导出。
因此，已经描述了主题的特定实施例。其他实施例在以下权利要求的范围内。在一些情况下，权利要求中记载的动作可以以不同次序被执行，并且仍能实现期望的结果。此外，附图中描述的过程不必要要求所示的特定次序或顺序来实现期望的结果。

Claims (26)

1.一种用于在计算系统中提供安全性的方法，所述方法包括：
标识计算设备参加与特定域的安全会话的机会；
接收所述特定域的域标识符，所述域标识符被包括在所述特定域的域证书中；
使用所述计算设备的安全微控制器来标识存储在所述计算设备的安全存储器中的所述计算设备的安全的、永久的硬件标识符，所述硬件标识符是从制造时嵌入在所述计算设备中的熔丝密钥中导出的；
使用所述安全微控制器，基于所述硬件标识符和所述特定域的域标识符来为所述计算设备和所述特定域的配对导出安全标识符；以及
通过安全信道将所述安全标识符从所述计算设备发射至所述特定域。
2.如权利要求1所述的方法，其特征在于，所述安全存储器是所述安全微控制器的闪存。
3.如权利要求1所述的方法，其特征在于，所述安全微控制器独立于所述计算设备的操作系统，所述安全微控制器所导出的安全标识符的值被隐藏以不被所述操作系统可见。
4.如权利要求1所述的方法，其特征在于，所述安全标识符是系统内的唯一标识符。
5.如权利要求1所述的方法，还包括：
接收重置所述硬件标识符的请求；
重置所述硬件标识符；以及
导出替换硬件标识符，其中所述替换硬件标识符是安全的、永久的标识符。
6.如权利要求5所述的方法，其特征在于，所述安全标识符是第一安全标识符，所述方法还包括：
标识所述计算设备在所述重置之后参加与所述特定域的安全会话的机会；
基于所述替换硬件标识符和所述特定域的域标识符来为所述计算设备和所述特定域的配对导出第二安全标识符，其中所述第二安全标识符不同于所述第一安全标识符；以及
将所述第二安全标识符传送至所述特定域。
7.如权利要求1所述的方法，其特征在于，所述安全标识符是第一安全标识符，所述方法还包括：
标识所述计算设备参加与第二域的安全会话的机会；
接收所述第二域的域标识符；
基于所述硬件标识符和所述第二域的域标识符来为所述计算设备和所述第二域的配对导出第二安全标识符，其中所述第二安全标识符不同于所述第一安全标识符；以及通过安全信道将所述第二安全标识符发射至所述第二域。
8.如权利要求1所述的方法，还包括通过所述安全信道传送安全性态势数据，所述安全性态势数据描述所述计算设备的属性。
9.一种用于在计算系统中提供安全性的系统，包括：用于执行如权利要求1－8中任意一项所述的方法的诸个装置。
10.如权利要求9所述的系统，所述诸个装置包括：其上存储有指令的机器可存取存储介质，所述指令在机器上执行时使所述机器执行如权利要求1－8中任意一项所述的方法。
11.一种用于在计算系统中提供安全性的方法，所述方法包括：
标识特定域和客户端设备间的安全会话的机会，其中所述安全会话至少部分基于所述客户端设备的身份确认；
将所述特定域的域标识符传送至所述客户端设备，所述域标识符被包括在所述特定域的域证书中；
接收通过网络从所述客户端设备通信到所述特定域的安全标识符，其中所述安全标识符是所述客户端设备的与所述客户端设备和所述特定域的配对相对应的唯一标识符，所述安全标识符是基于在所述客户端设备的硬件中嵌入的永久的私有标识符和所述客户端设备所接收的域标识符而导出的，所述私有标识符是从制造时嵌入在所述客户端设备中的熔丝密钥导出的；以及
至少部分基于所述安全标识符向涉及所述客户端设备和所述特定域的事务应用安全性策略。
12.如权利要求11所述的方法，还包括将所述安全标识符与所述域中的多个简介中的一个简介相关联。
13.如权利要求12所述的方法，还包括：
确定所述安全标识符是否对应于所述多个简介中的现有简介。
14.如权利要求13所述的方法，其特征在于，所述安全标识符被确定是新的，且将所述安全标识符与简介相关联包括：生成所述简介。
15.如权利要求11所述的方法，其特征在于，所述域标识符与所述域证书相关联地被传送，所述域证书被用于在所述客户端设备处验证所述域。
16.如权利要求11所述的方法，还包括：在所述域和所述客户端设备的安全微控制器之间建立加密的通信信道，其中所述安全标识符通过所述加密的通信信道被接收。
17.如权利要求16所述的方法，还包括：
通过所述加密的通信信道从所述客户端设备接收安全性态势数据，所述安全性态势数据描述所述客户端设备的属性并且被存储在所述客户端设备的安全存储器中；
将所述安全性态势数据与所述安全标识符相关联；以及
基于所述安全性态势数据来标识所述安全性策略。
18.如权利要求11所述的方法，其特征在于，所述安全标识符是基于所述私有标识符和域标识符两者而导出的。
19.一种用于在计算系统中提供安全性的系统，包括用于执行如权利要求11－18中任意一项所述的方法的诸个装置。
20.如权利要求19所述的系统，所述诸个装置包括：其上存储有指令的机器可存取存储介质，所述指令在机器上执行时使所述机器执行如权利要求11－18中任意一项所述的方法。
21.一种用于提供计算机安全性的系统，所述系统包括：
系统处理器设备；
对于所述系统处理器设备可存取的系统存储器；
计算设备的管理控制器，所述管理控制器包括：
安全管理控制器存储器，所述安全管理控制器存储器与所述系统处理器和系统存储器隔开并且存储安全的、永久的硬件标识符，所述硬件标识符是从制造时嵌入的熔丝密钥中导出的；
管理微控制器，所述管理微控制器适合于执行指令以：
标识参加与特定域的安全会话的机会；
接收所述特定域的域标识符，所述域标识符被包括在所述特定域的域证书中；
基于所述硬件标识符和所述特定域的域标识符来为所述计算设备和所述特定域的配对导出安全标识符；以及
使所述安全标识符通过安全信道从所述计算设备被发送至所述特定域。
22.如权利要求21所述的系统，还包括特定域的域管理器，所述域管理器适合于：
将所述域标识符发送至所述计算设备；
通过所述安全信道从所述计算设备接收所述安全标识符；以及
至少部分基于所述安全标识符在与所述特定域的安全会话期间向所述计算设备应用安全性策略。
23.如权利要求21所述的系统，其特征在于，所述指令被存储于管理控制器存储器中。
24.如权利要求21所述的系统，其特征在于，所述指令包括在运行时被加载至所述管理微控制器的小程序。
25.如权利要求21所述的系统，其特征在于，所述管理控制器存储器存储安全性态势数据，所述管理控制器适合于使所述安全性态势数据通过所述安全信道被传送至所述特定域。
26.一种机器可访问的存储介质，其上存储有指令，所述指令当被机器执行时，致使所述机器执行如权利要求11－18中任一项所述的方法的步骤。
CN201380061382.2A 2012-12-23 2013-12-15 基于硬件的设备验证 Active CN104823196B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US13/726,140 2012-12-23
US13/726,140 US8850543B2 (en) 2012-12-23 2012-12-23 Hardware-based device authentication
PCT/US2013/075224 WO2014099687A1 (en) 2012-12-23 2013-12-15 Hardware-based device authentication

Publications (2)

Publication Number Publication Date
CN104823196A CN104823196A (zh) 2015-08-05
CN104823196B true CN104823196B (zh) 2018-08-03

Family

ID=50976341

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201380061382.2A Active CN104823196B (zh) 2012-12-23 2013-12-15 基于硬件的设备验证

Country Status (5)

Country Link
US (4) US8850543B2 (zh)
EP (1) EP2936372B1 (zh)
KR (1) KR101681504B1 (zh)
CN (1) CN104823196B (zh)
WO (1) WO2014099687A1 (zh)

Families Citing this family (51)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9419953B2 (en) 2012-12-23 2016-08-16 Mcafee, Inc. Trusted container
US8850543B2 (en) 2012-12-23 2014-09-30 Mcafee, Inc. Hardware-based device authentication
US8955075B2 (en) 2012-12-23 2015-02-10 Mcafee Inc Hardware-based device authentication
US20140283090A1 (en) * 2013-03-15 2014-09-18 Jupiter Systems Licensing using a node locked virtual machine
US9832172B2 (en) 2013-12-24 2017-11-28 Intel Corporation Content protection for data as a service (DaaS)
US9258117B1 (en) * 2014-06-26 2016-02-09 Amazon Technologies, Inc. Mutual authentication with symmetric secrets and signatures
US9531714B2 (en) * 2014-06-27 2016-12-27 Citrix Systems, Inc. Enterprise authentication via third party authentication support
US9716716B2 (en) 2014-09-17 2017-07-25 Microsoft Technology Licensing, Llc Establishing trust between two devices
US10019604B2 (en) * 2014-10-31 2018-07-10 Xiaomi Inc. Method and apparatus of verifying terminal and medium
US9438560B2 (en) * 2014-12-31 2016-09-06 Symantec Corporation Systems and methods for automatically applying firewall policies within data center applications
US10320785B2 (en) * 2015-02-16 2019-06-11 Knectiq Inc. Method of protecting the identifying information of persons and computing devices, specifically those devices which are capable of sensing, capturing, receiving, transmitting, processing and storing digital information
US9860221B2 (en) 2015-03-10 2018-01-02 Intel Corporation Internet of things group formation using a key-based join protocol
US10079829B2 (en) 2015-04-02 2018-09-18 The Boeing Company Secure provisioning of devices for manufacturing and maintenance
US9398017B1 (en) * 2015-05-01 2016-07-19 Parallels IP Holdings GmbH Isolation of objects representng server resources in browser using iframes
US20170076106A1 (en) * 2015-09-16 2017-03-16 Qualcomm Incorporated Apparatus and method to securely control a remote operation
CN106603586B (zh) * 2015-10-14 2020-09-29 阿里巴巴集团控股有限公司 一种生成设备标识的方法、装置和系统
US10251061B2 (en) 2015-12-17 2019-04-02 Tadhg Kelly Cellular out of band management as a cloud service
US10089124B2 (en) 2015-12-31 2018-10-02 International Business Machines Corporation Security application for a guest operating system in a virtual computing environment
US10083282B2 (en) * 2016-03-24 2018-09-25 Paypal, Inc. Operating system based authentication
US10644875B2 (en) * 2016-04-28 2020-05-05 International Business Machines Corporation Pre-authorization of public key infrastructure
US11177954B2 (en) 2016-06-20 2021-11-16 Hewlett-Packard Development Company, L.P. Firmware-inaccessible key storage
US20180013798A1 (en) * 2016-07-07 2018-01-11 Cisco Technology, Inc. Automatic link security
US10547612B2 (en) 2016-09-21 2020-01-28 International Business Machines Corporation System to resolve multiple identity crisis in indentity-as-a-service application environment
US10318723B1 (en) * 2016-11-29 2019-06-11 Sprint Communications Company L.P. Hardware-trusted network-on-chip (NOC) and system-on-chip (SOC) network function virtualization (NFV) data communications
GB201703010D0 (en) * 2017-02-24 2017-04-12 Trustonic Ltd Post factory key injections
CN109564598B (zh) * 2017-03-13 2022-04-22 华为技术有限公司 一种终端检测方法及终端
US10984136B2 (en) * 2017-04-21 2021-04-20 Micron Technology, Inc. Secure memory device with unique identifier for authentication
US9892242B1 (en) * 2017-04-28 2018-02-13 Global Tel*Link Corporation Unified enterprise management of wireless devices in a controlled environment
US10558812B2 (en) 2017-06-21 2020-02-11 Microsoft Technology Licensing, Llc Mutual authentication with integrity attestation
US10938560B2 (en) 2017-06-21 2021-03-02 Microsoft Technology Licensing, Llc Authorization key escrow
US10440006B2 (en) 2017-06-21 2019-10-08 Microsoft Technology Licensing, Llc Device with embedded certificate authority
US20190007212A1 (en) * 2017-06-30 2019-01-03 Intel Corporation Secure unlock systems for locked devices
US11374760B2 (en) 2017-09-13 2022-06-28 Microsoft Technology Licensing, Llc Cyber physical key
US10826690B2 (en) * 2017-12-28 2020-11-03 Intel Corporation Technologies for establishing device locality
JP6930663B2 (ja) * 2018-06-08 2021-09-01 日本電信電話株式会社 デバイス識別装置およびデバイス識別方法
US10652208B2 (en) 2018-10-03 2020-05-12 Axonius Solutions Ltd. System and method for managing network connected devices
US11032716B2 (en) * 2018-11-30 2021-06-08 Blackberry Limited Secure communication for machine to machine connections
US11165786B2 (en) * 2018-12-18 2021-11-02 International Business Machines Corporation Remote assistance controller that provides control over what a remote assistor can access
WO2020219136A2 (en) 2019-01-28 2020-10-29 Knectiq Inc. System and method for secure electronic data transfer
US11483143B2 (en) * 2019-04-15 2022-10-25 Smart Security Systems, Llc Enhanced monitoring and protection of enterprise data
US20220200973A1 (en) * 2019-04-15 2022-06-23 Bear System, LLC Blockchain schema for secure data transmission
US11552798B2 (en) * 2019-07-30 2023-01-10 Waymo Llc Method and system for authenticating a secure credential transfer to a device
US11347859B2 (en) * 2019-08-01 2022-05-31 Dell Products L.P. Systems and methods for leveraging authentication for cross operating system single sign on (SSO) capabilities
KR20210017083A (ko) 2019-08-06 2021-02-17 삼성전자주식회사 퓨즈된 키에 기반하여 증명 인증서를 생성하는 전자 장치 및 방법
CN114600105A (zh) * 2019-10-28 2022-06-07 惠普发展公司，有限责任合伙企业 授权组件更新
US11720686B1 (en) 2020-04-08 2023-08-08 Wells Fargo Bank, N.A. Security model utilizing multi-channel data with risk-entity facing cybersecurity alert engine and portal
US11706241B1 (en) 2020-04-08 2023-07-18 Wells Fargo Bank, N.A. Security model utilizing multi-channel data
US11777992B1 (en) * 2020-04-08 2023-10-03 Wells Fargo Bank, N.A. Security model utilizing multi-channel data
EP3910880A1 (en) * 2020-05-14 2021-11-17 Nokia Technologies Oy Blockchain based device monitoring
US11814075B2 (en) 2020-08-26 2023-11-14 Motional Ad Llc Conditional motion predictions
US11956274B1 (en) 2021-03-02 2024-04-09 Keysight Technologies, Inc. System and method for implementing a secure configuration of controllers and instruments in a networked system

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1628440A (zh) * 2002-02-05 2005-06-15 松下电器产业株式会社 分布式ipmp设备发送消息及在mpegipmp内容中携带权限的方法

Family Cites Families (91)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5657388A (en) 1993-05-25 1997-08-12 Security Dynamics Technologies, Inc. Method and apparatus for utilizing a token for resource access
US5513245A (en) 1994-08-29 1996-04-30 Sony Corporation Automatic generation of private authentication key for wireless communication systems
US5940589A (en) 1996-03-21 1999-08-17 Mci Corporation Method and apparatus for validating a subscriber terminal on a telecommunication network
US6073142A (en) 1997-06-23 2000-06-06 Park City Group Automated post office based rule analysis of e-mail messages and other data objects for controlled distribution in network environments
US5987610A (en) 1998-02-12 1999-11-16 Ameritech Corporation Computer virus screening methods and systems
KR20000001756A (ko) 1998-06-13 2000-01-15 김영훈 특정 정보 검출 및 송수신장치
US6460050B1 (en) 1999-12-22 2002-10-01 Mark Raymond Pace Distributed content identification system
KR20000017956A (ko) 1999-12-30 2000-04-06 김월영 하드웨어락에 의한 보안 및 원격관리 솔루션 ＂바다＂
GB2375697B (en) 2000-03-17 2004-03-24 Decode Genetics Ehf Automatic identity protection system with remote third party monitoring
US6901519B1 (en) 2000-06-22 2005-05-31 Infobahn, Inc. E-mail virus protection system and method
US6948073B2 (en) 2001-06-27 2005-09-20 Microsoft Corporation Protecting decrypted compressed content and decrypted decompressed content at a digital rights management client
US7530099B2 (en) 2001-09-27 2009-05-05 International Business Machines Corporation Method and system for a single-sign-on mechanism within application service provider (ASP) aggregation
US7228417B2 (en) 2002-02-26 2007-06-05 America Online, Inc. Simple secure login with multiple-authentication providers
US20050278533A1 (en) 2003-01-12 2005-12-15 Yaron Mayer System and method for secure communications
JP4241053B2 (ja) 2003-01-14 2009-03-18 株式会社日立製作所 コミュニケーションシステムおよびその端末装置
US7076562B2 (en) * 2003-03-17 2006-07-11 July Systems, Inc. Application intermediation gateway
US7979707B2 (en) 2003-07-10 2011-07-12 Emc Corporation Secure seed generation protocol
KR20050007830A (ko) 2003-07-11 2005-01-21 삼성전자주식회사 기기간 컨텐츠 교환을 위한 도메인 인증 방법
KR20040088985A (ko) 2003-07-16 2004-10-20 이도용 Usb key를 이용한 통신망 자동연결 장치
US7334254B1 (en) 2003-07-31 2008-02-19 Sprint Communications Company L.P. Business-to-business security integration
US7487537B2 (en) 2003-10-14 2009-02-03 International Business Machines Corporation Method and apparatus for pervasive authentication domains
US8037515B2 (en) * 2003-10-29 2011-10-11 Qualcomm Incorporated Methods and apparatus for providing application credentials
US7532723B2 (en) * 2003-11-24 2009-05-12 Interdigital Technology Corporation Tokens/keys for wireless communications
US20050138389A1 (en) * 2003-12-23 2005-06-23 International Business Machines Corporation System and method for making password token portable in trusted platform module (TPM)
KR100668387B1 (ko) 2004-06-16 2007-01-12 에스케이 텔레콤주식회사 일회용 암호방식을 이용한 통합 인증 시스템과 그 구축 방법
US7533265B2 (en) 2004-07-14 2009-05-12 Microsoft Corporation Establishment of security context
US7512970B2 (en) * 2004-07-15 2009-03-31 Cisco Technology, Inc. Host credentials authorization protocol
US9436820B1 (en) * 2004-08-02 2016-09-06 Cisco Technology, Inc. Controlling access to resources in a network
US7587751B2 (en) * 2004-08-02 2009-09-08 Cisco Technology, Inc. Method and apparatus for automatically re-validating multiple clients of an authentication system
US7701341B2 (en) 2004-09-01 2010-04-20 Microsoft Corporation Device service provider interface
US20060104474A1 (en) * 2004-11-12 2006-05-18 Raja Neogi Method, apparatus and system for authenticating images by digitally signing hidden messages near the time of image capture
US20120084566A1 (en) 2010-10-04 2012-04-05 Edward Chin Methods and systems for providing and controlling cryptographic secure communications across unsecured networks
US7748031B2 (en) 2005-07-08 2010-06-29 Sandisk Corporation Mass storage device with automated credentials loading
US20070050630A1 (en) * 2005-08-24 2007-03-01 Samsung Electronics Co., Ltd. Authentication method and system for asynchronous eventing over the internet
US8468361B2 (en) 2005-09-21 2013-06-18 Broadcom Corporation System and method for securely provisioning and generating one-time-passwords in a remote device
WO2007053848A1 (en) 2005-11-01 2007-05-10 Mobile Armor, Llc Centralized dynamic security control for a mobile device network
US8099495B2 (en) * 2005-12-29 2012-01-17 Intel Corporation Method, apparatus and system for platform identity binding in a network node
US7624181B2 (en) * 2006-02-24 2009-11-24 Cisco Technology, Inc. Techniques for authenticating a subscriber for an access network using DHCP
US8151360B1 (en) 2006-03-20 2012-04-03 Netapp, Inc. System and method for administering security in a logical namespace of a storage system environment
US8205238B2 (en) 2006-03-30 2012-06-19 Intel Corporation Platform posture and policy information exchange method and apparatus
US7703126B2 (en) * 2006-03-31 2010-04-20 Intel Corporation Hierarchical trust based posture reporting and policy enforcement
US7793096B2 (en) * 2006-03-31 2010-09-07 Microsoft Corporation Network access protection
US20070263236A1 (en) 2006-04-27 2007-11-15 Selvaraj Senthil K Automatic discovery of print media attributes
US9002018B2 (en) 2006-05-09 2015-04-07 Sync Up Technologies Corporation Encryption key exchange system and method
US20080005359A1 (en) 2006-06-30 2008-01-03 Khosravi Hormuzd M Method and apparatus for OS independent platform based network access control
US8201217B1 (en) * 2006-10-03 2012-06-12 Stamps.Com Inc. Systems and methods for single sign-in for multiple accounts
DE102007050463A1 (de) 2006-11-16 2008-05-21 Giesecke & Devrient Gmbh Verfahren zum Zugriff auf einen tragbaren Speicherdatenträger mit Zusatzmodul und tragbarer Speicherdatenträger
CN101207613B (zh) 2006-12-21 2012-01-04 松下电器产业株式会社 跨网域信息通信的认证方法、系统及其装置
US20080271122A1 (en) 2007-04-27 2008-10-30 John Edward Nolan Granulated hardware resource protection in an electronic system
EP2179536A4 (en) 2007-08-13 2012-07-11 Safenet Data Security Israel Ltd VIRTUAL TOKEN FOR AUTOMATIC TRANSPARENT INSTALLATION OF A SECURITY ENVIRONMENT
US8484327B2 (en) 2007-11-07 2013-07-09 Mcafee, Inc. Method and system for generic real time management of devices on computers connected to a network
ES2385690T3 (es) * 2007-12-11 2012-07-30 Telefonaktiebolaget L M Ericsson (Publ) Métodos y aparatos que generan una clave para estación de base de radio en un sistema celular de radio
US20090158407A1 (en) * 2007-12-13 2009-06-18 Fiberlink Communications Corporation Api translation for network access control (nac) agent
US20090158302A1 (en) * 2007-12-13 2009-06-18 Fiberlink Communications Corporation Api translation for network access control (nac) agent
US8532303B2 (en) 2007-12-14 2013-09-10 Intel Corporation Symmetric key distribution framework for the internet
US20100023782A1 (en) 2007-12-21 2010-01-28 Intel Corporation Cryptographic key-to-policy association and enforcement for secure key-management and policy execution
KR100981419B1 (ko) 2008-01-31 2010-09-10 주식회사 팬택 디지털 권한 관리를 위한 사용자 도메인 가입방법 및 그정보 교환 방법
US8140855B2 (en) * 2008-04-11 2012-03-20 Microsoft Corp. Security-enhanced log in
US9369299B2 (en) 2008-06-10 2016-06-14 Bradford Networks, Inc. Network access control system and method for devices connecting to network using remote access control methods
US8176328B2 (en) * 2008-09-17 2012-05-08 Alcatel Lucent Authentication of access points in wireless local area networks
KR101261674B1 (ko) 2008-12-22 2013-05-06 한국전자통신연구원 다운로드 제한 수신 시스템에서의 상호 인증 방법 및 장치
US20100169650A1 (en) * 2008-12-31 2010-07-01 Brickell Ernest F Storage minimization technique for direct anonymous attestation keys
WO2010129992A1 (en) * 2009-05-11 2010-11-18 Emue Holdings Pty Ltd User authentication device and method
WO2011020088A1 (en) * 2009-08-14 2011-02-17 Azuki Systems, Inc. Method and system for unified mobile content protection
US8447699B2 (en) * 2009-10-13 2013-05-21 Qualcomm Incorporated Global secure service provider directory
KR100966236B1 (ko) 2009-11-12 2010-06-25 주식회사 이음기술 인증기능이 탑재된 ｓｓｄ를 사용하는 컴퓨터 및 그 구동방법
US8763089B2 (en) * 2010-01-12 2014-06-24 Microsoft Corporation Flexible authentication and authorization mechanism
US8364130B2 (en) 2010-05-12 2013-01-29 Sony Mobile Communications Ab Establishing sessions between devices in a network
US8667153B2 (en) 2010-07-07 2014-03-04 Red Hat Israel, Ltd. Using a virtual network interface to obtain access to resources
US20120151223A1 (en) * 2010-09-20 2012-06-14 Conde Marques Ricardo Nuno De Pinho Coelho Method for securing a computing device with a trusted platform module-tpm
US8719847B2 (en) 2010-09-27 2014-05-06 Microsoft Corp. Management and marketplace for distributed home devices
US8869307B2 (en) 2010-11-19 2014-10-21 Mobile Iron, Inc. Mobile posture-based policy, remediation and access control for enterprise resources
US8769646B2 (en) * 2010-12-08 2014-07-01 Disney Enterprises, Inc. System and method for associating a universal user identification and a domain specific user identification
US8407776B2 (en) * 2011-02-11 2013-03-26 Good Technology Corporation Method, apparatus and system for provisioning a push notification session
US8789146B2 (en) 2011-04-14 2014-07-22 Yubico Inc. Dual interface device for access control and a method therefor
US8590030B1 (en) 2011-04-14 2013-11-19 Symantec Corporation Credential seed provisioning system
US20120304202A1 (en) 2011-05-26 2012-11-29 Mike Anderson Enabling customized functions to be implemented at a domain
KR101954215B1 (ko) * 2011-07-12 2019-06-07 삼성전자주식회사 비휘발성 저장 장치의 이용 방법 및 장치
US8649768B1 (en) * 2011-08-24 2014-02-11 Cellco Partnership Method of device authentication and application registration in a push communication framework
US20130227662A1 (en) 2011-08-31 2013-08-29 Metaswitch Networks Ltd. Method of Generating a Token to be Used in a Uniform Resource Identifier
US9143529B2 (en) 2011-10-11 2015-09-22 Citrix Systems, Inc. Modifying pre-existing mobile applications to implement enterprise security policies
US8990898B2 (en) 2012-02-16 2015-03-24 Citrix Systems, Inc. Connection leasing for hosted services
US8726298B1 (en) 2012-03-29 2014-05-13 The Mathworks, Inc. Cloud-based instrument driver system
US9130837B2 (en) * 2012-05-22 2015-09-08 Cisco Technology, Inc. System and method for enabling unconfigured devices to join an autonomic network in a secure manner
US9053304B2 (en) * 2012-07-13 2015-06-09 Securekey Technologies Inc. Methods and systems for using derived credentials to authenticate a device across multiple platforms
US9015793B2 (en) 2012-12-21 2015-04-21 Mcafee, Inc. Hardware management interface
US8955075B2 (en) 2012-12-23 2015-02-10 Mcafee Inc Hardware-based device authentication
US8850543B2 (en) 2012-12-23 2014-09-30 Mcafee, Inc. Hardware-based device authentication
US20140181844A1 (en) 2012-12-23 2014-06-26 Vincent Edward Von Bokern Hardware management interface
US9419953B2 (en) 2012-12-23 2016-08-16 Mcafee, Inc. Trusted container
US9633210B2 (en) * 2013-09-13 2017-04-25 Microsoft Technology Licensing, Llc Keying infrastructure

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1628440A (zh) * 2002-02-05 2005-06-15 松下电器产业株式会社 分布式ipmp设备发送消息及在mpegipmp内容中携带权限的方法

Also Published As

Publication number Publication date
US20180173869A1 (en) 2018-06-21
US20150200937A1 (en) 2015-07-16
US20140181892A1 (en) 2014-06-26
EP2936372A4 (en) 2016-08-17
KR20150079740A (ko) 2015-07-08
EP2936372A1 (en) 2015-10-28
US8850543B2 (en) 2014-09-30
CN104823196A (zh) 2015-08-05
US9928360B2 (en) 2018-03-27
EP2936372B1 (en) 2019-08-21
US10083290B2 (en) 2018-09-25
KR101681504B1 (ko) 2016-12-12
WO2014099687A1 (en) 2014-06-26
US20160171206A1 (en) 2016-06-16
US9294478B2 (en) 2016-03-22

Similar Documents

Publication Publication Date Title
CN104823196B (zh) 基于硬件的设备验证
US20210014220A1 (en) Trusted container
US11245687B2 (en) Hardware-based device authentication
TWI733867B (zh) 塊鏈實施之方法及系統
US9553858B2 (en) Hardware-based credential distribution
CN111429254A (zh) 一种业务数据处理方法、设备以及可读存储介质
CN112424775A (zh) 用于网络实体的基于区块链的网络保护的方法和系统
JP2020516202A (ja) コアネットワークアクセスプロバイダ
Sethi et al. Misbinding attacks on secure device pairing and bootstrapping
JP2016531528A (ja) プライバシー機密情報の交換を制御するための方法およびシステム
CN109792446A (zh) 瞬态交易服务器
Anand et al. Identity and access management systems
KR20210068832A (ko) 웹 기반 ｓｑｌ 툴을 이용한 접근 제어 시스템 및 방법
Yang Check for updates A Decentralized Solution for Secure Management of IoT Access Rights Yi-Chun Yang) and Ren-Song Tsay Logos Lab, Department of Computer Science, National Tsing Hua University, Hsinchu, Taiwan
CN107925653A (zh) 用于安全传输其中数据的电信系统以及与该电信系统相关联的设备

Legal Events

Date Code Title Description
PB01 Publication
EXSB Decision made by sipo to initiate substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
CP01 Change in the name or title of a patent holder

Address after: American California

Patentee after: McAfee limited liability company

Address before: American California

Patentee before: Mcafee, Inc.

CP01 Change in the name or title of a patent holder