CN105051772A - 用于在线广告安全性的数字签名 - Google Patents

Abstract

用于在向用户显示在线广告之前对所述广告进行客户端侧验证的方法和设备。将要向用户显示的广告最初被提交以用于认证，并且接收数字签名的证书。在一个示例中，应用或web页面并入广告控件，其从广告提供商请求广告。在从广告提供商接收到广告后，广告控件使用数字签名验证附随证书，并且如果所述验证成功，则展现广告。否则，广告控件认为展现该广告是不可接受的，并且从广告提供商请求另一广告。

Description

用于在线广告安全性的数字签名

背景技术

作为使web服务货币化的方式，广告通常与web服务一起传递。web服务的提供商可以在传递给用户的内容内包括内联框架（iframe）。当用户查看服务内容时，内联框架从广告服务器检索广告并且展现广告。例如，用户可以访问服务的web页面，或者可以唤起（invoke）服务的智能电话应用，并且广告可以连同服务内容一起展现在用户设备上。

典型地，动态地选取广告而不是作为服务内容的固定部分。因此，通常的情况是：当用户下载服务的web页面或唤起服务的应用时，web服务的提供商和该服务的终端用户两者都不知道将会展现什么广告内容。下载未知内容可能会引起安全性问题。

某些web页面提供在其中展现广告的内联框架元素。因为内联框架提供某种隔离措施，所以仅可在内联框架内展现的广告减小了与展现任意未知内容相关联的一些安全性困扰。然而，存在其中内联框架不用于隔离广告内容的某些情况。

发明内容

出于安全性，可以在展现之前对广告进行验证。内容提供商可以将广告控件放入内容中，其中在用户使用内容时，广告控件检索和展现广告。对广告进行数字签名。当广告控件接收到广告时，它在展现该广告之前验证数字签名。

如果验证了广告上的数字签名，则广告控件展现该广告。如果数字签名未被验证，则广告控件确定展现该广告是不安全的并且请求另一广告。

广告商可以在可供应和展现他们的广告之前向验证服务提交那些广告。验证服务可以是向广告控件传递广告的相同实体，或者可以是第三方服务。验证服务可以对广告执行各种测试以确定其安全性。例如，验证服务可以针对恶意软件而检查广告的具体组成（例如，视频、动画、脚本等）。附加地，如果广告包含指向着陆页面的统一资源定位符（URL），则广告商可以验证该着陆页面的安全性。（因为即便着陆页面的URL没有改变，该着陆页面也可能会改变，所以验证服务可以继续检查着陆页面，甚至是在广告已经被验证之后。）如果确定广告是安全的，则验证服务创建针对该广告的证书并且对该证书签名。随后，广告进入广告仓库，其中该广告可用于供应。

广告控件可以维护证书撤销列表（CRL）。如果已经被认证的广告变得不安全，则撤销其证书。例如，如果着陆页面改变并且变得不安全，则可以撤销指向该着陆页面的任何广告的证书。如果广告控件接收到其证书处于CRL上的广告，则广告控件不会展现该广告。

提供本概要以便以简化形式介绍在下文详细描述中进一步描述的概念的选择。本概要不旨在标识所要求保护的主题的关键特征或必要特征，也不旨在用来限制所要求保护的主题的范围。

附图说明

图1是可以在其上展现广告的示例设备的框图。

图2是可以在其中请求和验证广告的示例系统的框图。

图3是程序通过其展现广告的示例过程的流程图。

图4是认证广告的示例过程的流程图。

图5是可以结合本文描述的主题的实施方式使用的示例组件的框图。

具体实施方式

作为生成收入的方式，在线服务通常将广告（“ad”）连同该服务所提供的内容一起展现。诸如天气预报、电视节目列表或在线棋盘游戏之类的服务可以通过允许广告连同用户希望看到的内容一起展现而生成收入。例如，在线棋盘游戏的用户可以看到游戏和针对零售站点的第三方广告两者。典型地，当用户点击广告时，广告为服务运营商生成收入（但是可以使用其它商业模型—诸如每千件成本（CPM）广告）。

当通过web站点传递在线服务时，典型地，由该web站点供应的web页面包含其中可以展现广告内容的位置。例如，由服务生成的页面可以包含该页面左侧上的服务内容以及预留用于广告内容的右侧上的矩形。预留用于广告的矩形通常被实施为超文本标记语言（HTML）内联框架。内联框架调用广告服务器，并且浏览器将广告展现在内联框架内。

但是许多web服务以不服从上述模型的方式提供。例如，许多用户在他们的智能电话或平板电脑上通过服务的应用（“app”）访问在线服务。应用可以具有广告控件，其使得在用户使用该应用时显示广告。典型地，这些应用不采用HTML内联框架来实施，并且通常给予应用开发者相对自由的支配权以通过决定在哪里放置广告控件而影响他或她的设备上的应用的用户体验。广告包含可能对在线服务的提供商和该服务的用户两者都未知的内容。允许展现这样的内容对用户体验的质量引起风险，并且在许多情况下引起安全性风险。

本文的主题提供了验证广告内容的方式，使得仅仅在广告已经被验证以满足某些条件之后才展现它们。为了与内容一起提供广告，内容提供商（例如，在线服务的运营商）包括广告控件与内容。广告控件典型地采取要包括在应用或web页面内的代码的形式。当内容被加载时，广告控件使得广告被检索和展现。典型地，广告控件由将用来放置广告的服务提供。例如，谷歌可以提供从谷歌广告服务器检索广告的一个广告控件，而微软可以提供从微软广告服务器检索广告的不同广告控件。内容提供商决定它想要哪个实体放置广告与其内容，并且将该实体的广告控件包括在其内容中。广告控件还可以是“通用的”，并且可以为了效果而针对最高价值提议调用交换。

在满足某些安全性和内容测试之后对将要供应的广告进行认证。广告商可以为了验证而提交广告。随后，可以以各种方式测试广告。例如，可以验证广告中的各种组成（视频、图像、脚本等）以确保它们没有恶意软件。对于广告可以存在某些内容限制——例如，放置广告的服务可能对可处于广告中的内容类型加以约束（例如，禁止Flash脚本），即便所讨论的内容不包含恶意软件。可以验证用于广告的着陆页面以确保着陆页面没有恶意软件。一旦广告已经被验证，则颁发针对该广告的证书，并且对所认证的内容签名。所认证的内容和签名可以由操作广告服务的实体创建，或者可以由已经被识别为与广告服务的广告控件一同工作的第三方实体来创建。

在用户设备上查看内容期间的某一时刻，广告控件联系适当的广告服务器以请求广告。当接收到广告时，广告控件验证该广告的证书。广告控件可以首先验证该证书不处于证书撤销列表（CRL）上。如果证书不处于CRL上，则广告控件验证该证书中的签名。如果证书被验证并且尚未撤销，则广告控件确定展现该广告是安全的，并且展现该广告。否则，如果证书出于任何原因而没有被验证（例如，证书处于CRL上、证书到期、或者不能对照广告内容确认签名），则广告控件确定展现该广告是不安全的并且请求新广告。

现在转向附图，图1示出可以在其上连同在线服务内容一起展现广告的示例设备。设备102可以是智能电话、平板计算机、个人计算机、机顶盒、或者具有某种计算能力的任何其它设备。在所示示例中，设备102被描绘为智能电话，但是设备102可以是任何适当类型的设备。设备102可以具有各种输入和输出设备，诸如显示器104（其可以是触摸屏）和主页按钮106，所述输入和输出设备允许用户与设备102交互（例如，通过以手势形式接收输入）。输入和输出还可以通过接收语音命令或生成音频的组件来实现。

在所示示例中，被称为“用于WINDOWS电话的西洋棋”的应用108在设备102上运行。应用108是促进在线服务的使用的应用的示例。所示西洋棋游戏中的对手可以由通过在线游戏服务操作的服务器计算机来扮演。或者，在线游戏服务可以促进远离彼此的人类对手之间的游戏比赛。在任一情况中，应用108促进在线服务的使用，并且该游戏的运营商可能希望通过使用广告使该服务货币化。虽然在图1的示例中示出游戏服务，但是要注意的是，所讨论的服务可以提供天气、地图、搜索、数学等式求解、航空航班信息，或者可以是任何其它类型的服务。

为了通过使用广告使底层服务货币化，应用108的提供商可以在应用108内包括广告控件。广告控件使应用108在设备102上显示广告。广告110是这样的广告的示例。在所示示例中，广告110具有文本消息112（“获得经典视频游戏”）、视频114（示出正播放的经典游戏“pong”）和链接116，其指向用于该广告的“着陆页面”。在图1的示例中，广告110被示为位于矩形边界中的视觉横幅广告。然而，广告控件可以具有任意地影响用户在设备102上的体验的能力。也就是说，广告控件可能具有如下技术能力：将广告覆盖在整个显示器104之上（替代于将广告保持在分立的矩形内）、通过扬声器播放音频、唤起设备上的机械功能（诸如振动）或者唤起设备上的另一应用。因此，广告控件可以干扰用户体验，或者甚至可能能够减损设备的安全性，这取决于广告控件供应何种广告内容。引起攻击性或危险广告的展现的广告控件可能较不可能被广告开发者采纳，并且还可能减损人们对应用108在其上操作的平台的看法。（例如，如果人们在使用特定智能电话操作系统时常常接收到攻击性或破坏性广告，则他们可能会对这样的系统产生负面看法。）因此，广告控件的运营商和设备102的平台的经销商可能有动力在展现广告之前验证广告。

将理解的是，应用108是可以包含传递广告的广告控件的内容的示例。由浏览器展现的web页面也是这样的内容的示例。因此，广告110可能作为web页面的部分而展现。而且，本文中关于与应用一同操作的广告控件的全部讨论等同地适用于与web页面一同操作的广告控件。

图2示出可以在其中请求和验证广告的示例系统。应用108在设备102上运行。（应用108和设备102两者都在上文中结合图1描述。）应用108包括广告控件202，其在用户使用应用108时获取广告并且在设备102上展现广告。广告控件202可以包括广告请求器204和验证组件206。广告请求器204是从广告提供商208请求广告的组件。验证组件206验证广告的签名。广告控件202、广告请求器204和验证组件206可以被实施为在设备102上执行的软件。

当要展现广告时，广告控件202使广告请求器204向广告提供商208提交针对广告的请求210。广告提供商208可以使用任何类型的底层基础设施来提供广告。在图2中示出一个示例基础设施。广告提供商208可以具有接收广告请求210并且提供所请求的广告的前门212。前门212可以联系广告交换214，其从数个广告服务器216、218和220获取广告。例如，广告服务器216-220可以由从发行人接受广告以用于放置的各种不同组织来操作，并且广告交换可以从这些服务器获取广告以便响应于请求而供应广告。尽管在图2中示出的广告提供商208的结构是可以如何组织广告提供商的一个示例，但是本文的主题可以使用任何广告提供商，而不论其使用什么底层结构来提供广告。

响应于请求210，广告提供商208向广告控件202提供广告110。广告110由广告控件202的验证组件206接收。验证组件206可以通过验证与广告110相关联的证书和签名来验证广告110。验证组件206还可以检查与广告110相关联的证书是否处于证书撤销列表（CRL）224上。验证组件可以从广告提供商208或从另一实体周期性地接收新CRL224，使得它可以确定之前所认证的任何广告是否已经被“解除认证”。例如，如上文记载的，如果着陆页面在颁发证明之后的某一时候变得不安全，则可以撤销指向该着陆页面的广告的认证。除确定与广告相关联的证书是否处于CRL224上之外，验证组件206还可以确定用于广告的证书是否已经到期。附加地，认证可以包含广告商的身份和认证机构，并且验证组件206可以确定广告商是否已经进入黑名单或者认证机构颁发证书的能力是否已经被撤销。

一旦验证组件206已经确定与广告110相关联的证书不处于CRL224上并且没有到期，证书中的签名有效，并且广告商尚未进入黑名单，并且认证机构颁发证书的能力尚未被撤销，则验证组件向广告控件202指示展现该广告是安全的。随后，广告控件202展现该广告。如果认为展现该广告是不安全的，则广告控件202可以从广告提供商208请求另一广告，其随后可以以上文描述的方式再次验证。要注意的是，图2示出作为广告提供商208的部分的前门212和广告交换214，但是前门212和/或广告交换214可以与广告提供商208分离。

图3示出程序通过其展现广告的示例过程。在转向图3的描述之前，要注意的是，尽管参考图1和2中示出的组件作为示例而描述了本文所包含的流程图（在图3和图4中的流程图），但是图3和4的过程可以在任何系统中实行而不限于图1和2中示出的情形。附加地，图3和4中的每个流程图示出其中如由连接各框的线所指示的那样以特定次序实行过程的阶段的示例，但是在这些图中示出的各个阶段可以以任何次序或以任何组合或子组合来执行。

在302处，开始使用服务。服务可以是在线服务，诸如游戏、天气预报服务、航班状态服务或任何其它类型的服务。开始使用服务可以通过唤起用来访问该服务的应用来执行，或者可以通过经由浏览器访问该服务的web页面来执行。

在使用服务期间的某一时刻，可以做出展现广告的决定（在304处）。该决定可以由合并到用户通过其访问该服务的应用或web页面中的广告控件而做出。向广告提供商做出针对广告的请求（在306处），并且广告提供商通过向请求者供应广告而响应（在308处）。可以基于如下来选取广告：用户与其交互的内容的类型（例如，在用户玩不同游戏时供应针对游戏的广告）、用户历史或任何其它适当的考虑。（如果基于特定于用户的信息选取广告，则可获取适当的许可以便在隐私方面保护用户兴趣）。

随后，过程进行到验证广告的证书。在310处，可以做出关于广告的证书是否处于当前CRL上的确定。在312处，可以做出关于广告的证书是否到期的确定。在314处，可以验证证书上的签名。这些检查的结果确定展现广告是否是可接受的。这些检查还可以包括关于认证机构颁发证书的能力是否已经被撤销或者广告商是否已经进入黑名单的确定。

如果结果指示广告是可接受的（如在316处所确定的），则在318处，广告控件展现广告。如果结果指示广告是不可接受的，则过程返回到306，使得广告控件可以请求另一广告。

图4示出认证广告的示例过程。在402处，接收广告。可以通过运行广告引擎的服务或通过第三方广告认证商来接收广告。在404处，出于安全性而验证广告的各种组成（例如，视频、音频、脚本等）。出于安全性的验证可以包括针对恶意软件扫描这些组成以确定它们不包含恶意软件。在406处，出于安全性，可以验证广告的着陆页面——例如，通过验证广告所指向的着陆页面不包含恶意软件。要注意的是，恶意软件不是仅有的可能被认为是不能接受的事物。例如，广告或其着陆页面可能在技术上没有恶意软件，但是可能包含创建某种不能接受的用户体验使得操作广告引擎的实体不希望推广的代码（例如，广告或着陆页面可能引起用户屏幕的视觉接管、吵闹或攻击性噪声等等。）因此，在408处，可以验证广告（以及可能地着陆页面）以确定它们的内容遵守由操作广告引擎的实体所施加的任何约束。要注意的是，确定哪些广告不安全的过程在某种程度上可以是基于大众资源的（crowd-sourced）；例如，可以存在接收抱怨的机制，并且特定广告可以在面临对广告的调查时暂时撤销其证书。

如果广告通过在404-408处所执行的所有验证，则在410处，该广告被认证。认证的结果是广告110，其包括广告内容414和证书416。在一个示例中，证书可以包括广告内容的散列418、广告提供商的标识符（ID）420、认证商的ID422和数字签名424。

一旦广告已经被认证，则广告（在426处）可以被放置在广告仓库428中。在广告已经被放置于广告仓库中之后，着陆页面可以被循环地验证（在430处）。循环验证着陆页面的原因在于着陆页面可能改变，即便是在广告被认证之后。广告本身（包括着陆页面的统一资源定位符（“URL”））在认证时被固定，因为证书416中的散列418确保如果URL（或包括在广告本身中的任何其它内容）在颁发证书之后改变则证书的验证将会失败。（以这种方式，在广告被认证之后发生于URL本身的任何改变将有效地使广告的重新认证成为必要，使得可以计算新数字签名。）然而，即便URL本身没有改变，URL所指向的着陆页面也可能改变。因此，为了确保用户将不会暴露于在已经颁发针对广告的证书之后变得被恶意软件侵害的着陆页面，可以不断地验证着陆页面，并且如果在某一时刻着陆页面无法通过评估，则广告的证书可以被撤销（在432处）。撤销广告的证书可以通过以下手段来实现：将广告的证书放置于CRL上，并且或是使该CRL在云中可用于广告控件的实例，或是向广告控件的实例公布该CRL。

图5示出可以在其中部署本文描述的主题的方面的示例环境。

设备500包括一个或多个处理器502和一个或多个数据记忆组件504。设备500可以是具有某种计算能力的任何类型硬件。智能电话是设备500的一个示例，但是设备500可以是台式计算机、膝上型计算机、平板计算机、服务器计算机、机顶盒、或者任何其它适当类型的设备。（多个）处理器502典型地是微处理器，诸如在个人台式计算机或膝上型计算机、服务器、手持式计算机或另一种计算设备中找到的那些。（多个）数据记忆组件504是能够长程地或短程地存储数据的组件。（多个）数据记忆组件504的示例包括硬盘、可移除盘（包括光盘和磁盘）、易失性和非易失性随机存取存储器（RAM）、只读存储器（ROM）、闪速存储器、磁带等。（多个）数据记忆组件是计算机可读（或设备可读）存储介质的示例。设备500可以包括或关联于显示器512，其可以是阴极射线管（CRT）监视器、液晶显示器（LCD）监视器、或者任何其它类型的监视器。显示器512可以是仅输出类型的显示器；然而，在另一非限制性示例中，显示器512可以是（或包括）能够显示和接收信息两者的触摸屏。

软件可以存储在（多个）数据记忆组件504中，并且可以在一个或多个处理器502上执行。这样的软件的示例是搜索和广告展现和/或信誉软件506，其可以实施上文结合图1-4所描述的一些或所有功能性，但是可以使用任何类型的软件。软件506可以例如通过一个或多个组件来实施，所述组件可以是在分布式系统、单独的文件、单独的函数、单独的对象、单独的代码行等中的组件。其中程序存储在硬盘上，载入到RAM中并且在设备的（多个）处理器上执行的设备（例如，智能电话、个人计算机、服务器计算机、手持式计算机、平板计算机、机顶盒等）代表图5中所描绘的情形，但是本文描述的主题不限于该示例。

本文描述的主题可以被实施为存储在（多个）数据记忆组件504中的一个或多个上并且在（多个）处理器502中的一个或多个上执行的软件。作为另一示例，主题可以被实施为存储在一个或多个设备可读介质上的指令。当由电话、计算机或其它机器执行时，这样的指令可以使电话、计算机或其它机器执行方法的一个或多个动作。执行动作的指令可以存储在一个介质上，或者可以跨多个介质分散，使得指令可能看起来共同处于一个或多个计算机可读（或设备可读）介质上，而不论所有指令是否恰好处于相同介质上。术语“计算机可读介质”和“设备可读介质”不包括信号本身。附加地，要注意的是，“硬件介质”或“有形介质”包括诸如RAM、ROM、闪速存储器和以物理、有形形式存在的盘的设备；这样的“硬件介质”或“有形介质”不是信号本身。而且，“存储介质”是存储信息的介质。术语“存储”用来表示数据的持久保持。为了本文的主题的目的，仅仅以传播信号形式存在的信息不被看作是“持久”保持的。因此，“存储介质”包括盘、RAM、ROM等，但是不包括仅仅以传播信号形式存在的信息，因为这样的信息不是“被存储”的。

附加地，本文描述的任何动作（不论是否在图中示出）可以由处理器（例如，处理器502中的一个或多个）作为方法的部分而执行。因此，如果在本文描述动作A、B和C，则可以执行包括动作A、B和C的方法。而且，如果本文描述动作A、B和C，则可以执行包括使用处理器来执行动作A、B和C的方法。

在一个示例环境中，设备500可以通过网络508通信连接到一个或多个其它设备。设备510（其可以在结构上与设备500的任何示例相似）是可以连接到设备500的一种设备，但是其它类型的设备也可以这样连接。

虽然已经以特定于结构特征和/或方法动作的语言描述了本主题，但是将理解的是，在所附权利要求中限定的主题未必限于上文描述的特定特征或动作。而是，上文描述的特定特征和动作是作为实施权利要求的示例形式而公开的。

Claims (10)

1.一种呈现广告的方法，所述方法包括：

使用处理器执行动作，所述动作包括：

　从提供商请求所述广告；

　从所述提供商接收所述广告，所述广告包括数字签名；

　验证所述数字签名；以及

　基于所述验证的结果，展现所述广告或确定不展现所述广告。

2.权利要求1的方法，统一资源定位符（URL）是所述广告的部分，使得URL中的任何改变导致广告的改变并且使所述数字签名的改变成为必要。

3.权利要求1的方法，在创建所述数字签名之前，已经验证所述广告遵守关于所述广告内容的约束。

4.权利要求1的方法，所述结果是所述广告不可接受，所述动作进一步包括：

从所述提供商请求不同广告。

5.权利要求1的方法，统一资源定位符（URL）被包括在所述广告中，所述URL指向着陆页面，作为所述广告的认证之后所发生的所述着陆页面内容中的改变的结果，所述广告处于证书撤销列表上。

6.一种呈现广告的设备，所述设备包括：

存储器；

处理器；

显示器；以及

存储在所述存储器中的应用，所述应用在所述处理器上执行并且包括广告控件，所述广告控件从提供商请求所述广告，所述广告包括数字签名，所述广告控件验证所述数字签名，所述广告控件基于所述验证的结果而确定是否在所述显示器上展现所述广告。

7.权利要求6的设备，所述验证包括确定所述广告不处于证书撤销列表（CRL）上。

8.权利要求6的设备，如果所述结果是所述广告可接受，则所述广告控件展现所述广告。

9.权利要求6的设备，如果所述结果是所述广告不可接受，则所述广告控件从所述提供商请求不同广告。

10.一种存储用于呈现广告的可执行指令的设备可读介质，所述可执行指令在由设备执行时使所述设备执行动作，所述动作包括：

从提供商请求所述广告；

从所述提供商接收所述广告，所述广告包括数字签名；

验证所述数字签名；以及

基于所述验证的结果，展现所述广告或确定不展现所述广告。