CN105408912B - 处理认证和资源许可 - Google Patents

Abstract

这里所描述的技术和系统提出了用于针对执行来认证处理以及针对处理和用户指定并实施系统资源的许可限制的模型的各种实施方式。在一些实施方式中，用于应用、程序或处理的二进制文件可以被扩充以包括利用秘钥进行加密的数字签名，而使得操作系统随后可以对该数字签名进行认证。一旦该二进制文件已经被认证，操作系统就能够创建处理并且利用指示针对该处理所允许的许可类型的元数据对该处理进行标记。该元数据可以对应于指定资源许可的特定访问级别。

Description

处理认证和资源许可

技术领域

本公开的实施例涉及处理认证和资源许可。

背景技术

大多数操作系统致力于提供一种对处理进行认证的安全的处理环境，并且在该环境中定义并实施针对系统资源的访问许可。作为基本示例，操作系统可以提供两种类型的许可级别，一种用于管理员而一种则用于用户。管理员可以有权访问所有系统资源，包括文件、目录和系统配置设定。作为比较，用户则可能被限制于访问严格的系统资源子集。关于认证处理而言，许多模型依赖于获取软件的通道的可信度。

在典型的环境中，操作系统使用同心式(concentric)模型来指定资源许可级别，其中不同许可级别将对应于该同心式模型中的不同同心圆，而使得级别增加的许可将会继承所有较低级别的所有许可。这样的同心式许可模型提供了非常快速的许可确定。

在另一种典型环境中，操作系统可以使用定制的许可系统，其中个体用户被指定以特定的许可集合。这样的模型提供了非常个体化的许可定义，然而该模型受到需要更为计算密集的方法来验证用于访问系统资源的许可请求的要求。

发明内容

这里所描述的技术和系统提出了用于针对执行来认证处理并且还用于针对处理和用户指定并实施对系统资源的许可限制的安全处理模型的各种实施方式。

在一些实施方式中，可执行文件可以基于随该可执行文件所包括的数字签名进行认证，而使得在处理被创建之前，操作系统使用加密秘钥验证该可执行文件是从作为意中的软件发行方的软件发行方所接收。例如，用于应用、程序或处理的可执行文件可以被扩充以包括利用秘钥进行加密的数字签名，而使得操作系统可以使用相对应的解密秘钥对该数字签名进行认证。一旦该可执行文件已经被认证，操作系统就可以创建用于执行该可执行文件的处理。

另外，操作系统可以利用指示针对该处理所允许的何种类型的许可的元数据对该处理进行标记，其中针对该处理所允许的何种类型的许可是基于相对应的可执行文件的数字签名的。该元数据可以对应于关于维度和级别所定义的资源许可信息，而使得针对给定级别，并非必然是较高级别的许可继承较低级别的许可的情形。

提供该发明内容而以简化形式对随后将在下文的具体实施方式中进一步进行描述的概念的选择进行介绍。该发明内容并非意在标识所请求保护主题的关键特征或必要特征，其也并非意在被用来对所请求保护主题的范围进行限制。

附图说明

图1图示了其中设备实施包括处理认证组件和资源许可组件的安全处理模块的示例计算环境。

图2图示了根据一些实施方式的可以被用来指定资源访问许可的维度和级别之间的第一示例关系。

图3图示了根据一些实施方式的可以被用来指定资源访问许可的维度和级别之间的第二示例关系。

图4图示了根据一些实施方式的描绘各种资源访问许可集合的维度和级别的示例。

图5图示了根据一些实施方式的描绘用于在处理的维度和信任级别满足指定要求时为该处理提供对系统资源的访问的方法的流程图。

图6图示了根据一些实施方式的用于在对处理进行认证之后对该处理指定维度和级别的方法的流程图。

图7图示了根据一些实施方式的可以被配置为实施包括处理认证组件和资源许可组件的安全处理模块的计算设备。

具体实施方式

这里所描述的技术和系统针对于用于针对执行认证处理并且用于针对处理和/或用户指定并实施对系统资源的许可限制的安全处理系统的各种实施方式。在该安全处理系统内，处理认证组件可以用来对处理进行认证，而资源许可组件则可以用来使用维度和级别的多种组合来指定并实施许可限制。

在一些情况下，如果操作系统要针对可执行文件仅仅创建处理而没有任何类型的认证，则存在着该可执行文件被修改从而包括病毒的风险。在这种情况下，当操作系统创建处理以执行该可执行文件时，该病毒将会被引入操作系统之中。为了解决该问题，在一些实施方式中，为了确定可执行文件是否已经在没有任何篡改或修改的情况下从软件提供方或发行方所接收，软件发行方可以随该可执行文件提供数字签名，从而操作系统可以对该可执行文件进行认证。该数字签名可以由软件发行方使用加密秘钥来创建。另外，在一些实施方式中，软件发行方的标识可以从加密或解密秘钥被确定。操作系统进而可以使用对应于加密秘钥的解密秘钥而基于对数字签名的解密对该可执行文件进行认证。在一些实施方式中，可以在确定来自给定来源的软件值得信任时使用非对称的加密技术。例如，可以使用私钥来创建数字签名并且可以使用公钥对该数字签名进行解密。

为了提供一些情境以便保护系统免受损害或者保护机密或受限的用户信息，操作系统可以致力于防止某些系统处理执行恶意活动，诸如向受保护处理中写入代码，或者防止其使得恶意软件检测软件无效。另外，在操作系统内，为了提供隐私或安全，操作系统可能并不允许每个用户或处理访问或修改任意或每个系统资源。系统资源可以是文件、目录或者任意类型的软件部件。另外，系统资源也可以是硬件部件，除其它之外，例如I/O端口、特定处理单元、存储设备或者存储器分区。

在一些实施方式中，一种操作系统甚至可以限制具有最高可能用户访问级别的用户访问某些系统资源。此外，操作系统可以针对某个系统处理集合预留资源访问的维度和级别，并且防止任何用户进行等同级别的资源访问。如这里所使用的，除了级别的集合之外，维度为资源许可组件提供了比使用同心或层级继承的许可级别相比更为灵活的指定用于访问系统资源的许可集合的能力。另外，在一些实施方式中，维度和级别的特定组合可以被称作信任级别或元组。在使用两个维度的实施方式中，可以根据两个参数：(1)维度和(2)级别来定义诸如{DIMENSION，LEVEL}的元组。通常，信任级别或元组可以根据另外的维度进行定义。例如，在使用两个维度的实施方式中，相对应的元组可以被称作二维元组。类似地，在使用N个维度的实施方式中，相对应的元组可以被称作N维元组，其可以根据N个参数进行定义。

在不同实施方式中，通过使用维度和级别的组合，资源许可组件可以指定优于同心和层级继承的资源许可的资源许可集合。换句话说，资源许可组件可以指定多维以及额外的同心许可集合。另外，许可集合可以被定义为使得一个许可集合并非必然包括较低级别的许可集合的所有许可。相反，在不同实施方式中，操作系统内的处理可以利用资源许可信息进行标记而使得不同但相关的许可集合并不继承较低级别的许可集合的所有许可。

在一些实施方式中，在指定资源访问许可时使用维度和级别大幅减少了确定是否授权访问系统资源的计算复杂度，原因在于资源许可组件在确定用户或处理是否具有访问系统资源的足够许可时可以仅需要两次比较。换句话说，使用维度和级别，许可集合的继承性与相关但不同的许可集合相接合，该相关但不同的许可集合并不继承较低级别的许可集合中的所有许可。在一些实施方式中，维度用来指定许可级别的不同集合的相关性。

换句话说，在一些实施方式中，处理或用户是否可以访问资源并非仅是继承或仅是同心集合考虑，而是可以以不同方式关于有权访问其它维度和级别对维度和级别的各种组合进行配置。

示例系统

图1图示了包括设备102的计算环境100，该设备102包括可以被配置为实施安全处理组件106、处理认证组件108和资源许可组件110的计算机系统104。在该实施方式中，设备102可以提供操作系统，后者允许用户例如使用在线应用商店，或者通过无线链接或可移除存储卡，或者通过用于访问软件的某个其它方式来安装新的软件。

在特定实施方式中，设备102可以通过诸如网络112的网络访问软件，后者可以由软件发行方所提供。在该示例中，软件发行方可以提供软件发行方服务器114，其可以与设备102进行通信以提供软件。软件发行方服务器114可以将用于软件的可执行文件存储在软件发行方数据储存器116上。在该示例中，软件发行方所提供的可执行文件可以是可执行文件118。通常，可执行文件可以是可以被用作创建用于在操作系统内执行的软件处理的基础的任意文件。除了本领域的其它术语之外，可执行文件也可以被称作二进制文件、二进制或可执行程序、动态加载模块。

如以上所讨论的，可执行文件可以包括数字签名，诸如数字签名120。虽然在该示例中，数字签名被嵌入在可执行文件之内，但是在其它示例中，数字签名可以响应于针对可执行文件的请求或者响应于针对数字签名的单独且具体的请求而与可执行文件分开提供。另外，在一些实施方式中，在创建数字签名时所使用的加密秘钥以及在使用该数字签名认证可执行文件时所使用的解密秘钥可以从诸如证书机构122的证书机构进行管理。证书机构122进而可以将(多个)加密秘钥126和(多个)解密秘钥128存储在证书机构数据储存器124中。

在一个说明性实施方式中，可以作为操作设备102的用户可以发起软件应用的下载，或者以其它方式选择安装软件程序。例如，用户可以通过web浏览器导航至提供软件下载的给定网站。在其它情况下，用户可以使用应用商店界面来寻找软件并发起其安装，或者用户可以访问物理媒体或者通过直接无线链接。然而，访问软件的方式与可执行文件的认证并不相关。

在该示例中，响应于用户发起软件应用的下载和安装，软件发行服务器114可以传送存储在软件发行方数据储存器116上的可执行文件118。另外，在该示例中，可执行文件118可以包括数字签名120。在该示例中，软件发行方或软件开发方在创建可执行文件时可以使用加密秘钥创建数字签名。

在该示例中，使用具有公钥和私钥的非对称加密策略，然而可以使用不同类型的加密技术。在该实施方式中，软件发行方或开发方可以使用私钥作为加密秘钥来创建数字签名而预期该可执行文件要被安装于的操作系统将使用公钥作为该数字签名的解密秘钥来验证该可执行文件的真实可靠性(authenticity)。

如图1的说明性实施方式中所描绘的，证书机构122可以被用作受信任中介以存储并提供加密和/或解密秘钥，诸如(多个)加密秘钥126和(多个)解密秘钥128。例如，证书机构130可以为设备102提供对应于软件发行方在创建数字签名时所使用的加密秘钥的必要解密秘钥。然而，在其它情况下，设备102上的操作系统以及软件发行方服务器114可以通过其它方法来获取必要的加密和解密秘钥，例如并不使用证书机构。

在该实施方式中，一旦设备102上的资源许可组件110具有要应用于所下载的可执行文件上的数字签名的公钥，设备102上的资源许可组件110随后就可以基于该数字签名和成功的解密来确定该可执行文件是否真实可靠和/或未被篡改。另外，在安全处理系统的一些实施方式中，该处理认证组件可以被单独实施，并且这样的单独实施方式之所以将会提供安全性是因为，除非可执行文件获得认证，否则将不会创建处理来执行相对应的可执行文件。

换句话说，该处理认证组件能够使得任何篡改最小化，而该篡改在其它情况下会随着可执行文件跨可能包括一个或多个恶意传送点的网络进行传送而发生。这样的处理认证组件的独立实施方式可以进一步用来验证软件是来自于实际的软件发行方而不是另一方，诸如恶意或欺诈方。然而，在该说明性示例中，二进制文件的认证用作整个安全处理系统的一个步骤。

特别地，在该说明性示例中，对应于该二进制文件的数字签名可以利用多个不同加密秘钥之一来创建，其中每个不同加密秘钥可以对应于创建相对应处理的操作系统上不同数量或类型的资源访问。例如，软件发行方可以使用三种不同加密秘钥之一来创建数字签名从而包括在用于应用的可执行文件之内或者与该可执行文件一起被包括。在这种情况下，每个不同的加密秘钥将对应于不同数量或类型的资源访问。例如，可能存在三个资源访问级别，低、中和高资源访问级别。

以这种方式，当安全处理系统接收或访问可执行文件时，该安全处理系统可以创建具有访问级别的处理，该访问级别取决于根据哪个解密秘钥成功认证了该可执行文件。另外，在该示例中，对应于所指定访问级别的特定解密秘钥可以成功认证该可执行文件。为了说明，如果对应于低资源访问级别的解密秘钥用来成功解密二进制文件的数字签名，则作为响应，该安全处理系统将创建对应于该可执行文件的具有低资源访问级别的处理。类似地，如果对应于中等资源访问级别的解密秘钥用来成功解密二进制文件的数字签名，则作为响应，该安全处理系统将创建对应于该可执行文件的具有中资源访问级别的处理。类似地，如果对应于高资源访问级别的解密秘钥用来成功解密二进制文件的数字签名，则作为响应，该安全处理系统将创建对应于该可执行文件的具有高资源访问级别的处理。

在安全处理系统的一些实施方式中，使用不同的加密和解密秘钥以对应于不同的资源访问级别可以提供用于认证可执行文件并且为相对应的一个或多个处理器制定适当的资源访问级别的充分技术。在这种情况下，资源访问的每个增加的层级级别将包含该层级中每个更低的资源访问级别。该严格增加的资源访问数量可以利用同心式访问集合进行描述。

然而，在该说明性示例中，该安全处理系统的资源许可组件110可以提供具有更多细微差别的资源访问许可。换句话说，安全资源许可组件110可以建立不同但是相关的同心许可集合维度，而使得较高级别的任意给定许可集合并非必然继承较低级别的许可集合中的许可。相反，在确定资源特权时使用级别和维度的组合指定。

为了说明，不同于使用三个加密和解密秘钥配对来确定资源特权的三个同心级别，每个不同的加密/解密秘钥配对可以对应于资源特权的特定维度和级别，并且不同加密/解密秘钥配对的数量可以取决于资源特权的维度数量和级别数量。另外，为了设置足以访问特定资源的访问级别，在将针对访问的充分许可设置为至少与处理相关联的维度和访问级别之前，该处理可以被指定为至少具有给定维度和级别的资源许可。换句话说，特定用户或处理可以不将资源许可设置得比被针对该特定用户或处理所授予的资源许可更高。

图2提供了在指定资源访问特权时使用维度和级别的说明性实施方式。在该示例中，具有三个资源特权级别，从而在给定维度内，每个增加的级别中的资源特权包括所有较低级别的所有资源特权。在该示例中，级别1可以对应于最低级别的资源访问特权，级别2可以对应于包括级别1的所有资源访问特权的中级别的资源访问特权，其包括另外的资源访问特权；而级别3则可以对应于包括级别1和2的所有资源访问特权的中等级别的资源访问特权，其包括并未处于较低级别内的另外的资源访问特权。

如所图示的，图2描绘了一个具有两个维度的示例，其中每个维度包括三个级别。也就是，在202描绘的维度1，其具有分别在204、206和208描绘的相对应的级别3、2和1，以及在210描绘的维度2，和分别在212、214和216所描绘的相对应的级别3、2和1。在该示例中，指定了两个维度，但是在其它示例中可以使用不同数量的维度。

在该说明性实施方式中，特定级别的资源访问特权大于另一个级别的事实并不足以让操作系统授予对应于该较低级别的资源访问特权。换句话说，级别3并非必然包括针对级别2的许可。相反，该资源许可组件结合级别使用多个维度以便决定是否授权处理或用户针对特定资源的访问。

如图2中所描绘的，具有资源访问特权的六种不同的可能授权，对应于{维度，级别}的2元组，它们在这种情况下可以利用{D1，L1}、{D1，L2}、{D1，L3}、{D2，L1}、{D2，L2}和{D2，L3}来表示，其中D1是指维度1，D2是指维度2，而L1—L3则是指级别1—3。如以上所提到的，在不同实施方式中，可能有另外的维度。

在该实施方式中，每个维度/级别元组对应于资源访问特权的相应集合。换句话说，给定信任级别除了可能包括其它资源访问许可之外还可以包括资源访问许可的特定集合。具体地，{D1，L1}对应于资源访问特权的一个或多个集合；{D1，L2}对应于包含{D1，L1}的资源访问特权的资源访问特权的一个或多个集合；{D1，L3}对应于包含{D1，L1}和{D1，L2}的资源访问特权的资源访问特权的一个或多个集合；{D2，L1}对应于包含{D1，L1}的资源访问特权的资源访问特权的一个或多个集合；{D2，L2}对应于包含{D2，L1}、{D1，L2}和{D1，L1}的资源访问特权的资源访问特权的一个或多个集合；以及{D2，L3}对应于包含{D2，L2}、{D2，L1}、{D1，L3}、{D1，L2}和{D1，L1}的资源访问特权的资源访问特权的一个或多个集合。另外，在一些实施方式中，当给定信任级别对应于给定的资源访问特权的一个或多个集合时，该一个或多个集合的子集可能包含另一信任级别的资源访问特权。

在一些实施方式中，当给定信任级别对应于包含另一个信任级别的资源访问许可集合的一个或多个资源访问许可集合时，可以说该给定信任级别“支配”其它信任级别。在图2的维度和级别指定中，以上描述也可以被描述为{D1，L1}并不支配其它信任级别；{D1，L2}支配{D1，L1}；{D1，L3}支配{D1，L2}和{D1，L1}；{D2，L1}支配{D1，L1}；{D2，L2}支配{D2，L1}、{D1，L2}和{D1，L1}；{D2，L3}支配{D2，L2}、{D2，L1}、{D1，L3}、{D1，L2}和{D1，L1}。

换句话说，在该示例中，存在并不包括或包含较低级别的所有资源访问特权的较高级别的资源访问特权的集合。例如，{D1，L3}并不包括任何包括维度2的元组(包括较低级别的具有维度2的元组，包括{D2，L2}和{D2，L1})的资源访问特权。

给定这种对应于图2中维度和级别的资源访问许可的集合，处理认证组件和资源许可组件都可以是指用于指定资源许可的相同架构。换句话说，为可能被创建为对应于经认证的可执行文件的处理所授予的资源访问特权可以取决于使用哪个解密秘钥对该二进制文件进行认证。在图2中所图示的示例维度和级别中，可以有对应于六个元组{D1，L1}、{D1，L2}、{D1，L3}、{D2，L1}、{D2，L2}和{D2，L3}的六个不同的加密/解密秘钥配对。在这样的资源访问特权集合规范中，加密/解密秘钥配对并非必然具有相对排名，因为一些较高级别的资源访问许可集合可能并不包含来自于较低级别的资源访问许可集合。

图3图示了可以在资源许可组件的实施方式中使用的维度和级别的不同规范。如图3所示，不同维度可以具有与特定维度相关联的不同级别。如所图示的，维度1可以具有利用302、304、306、308和310所描绘的五个级别，而维度2则可以具有利用312、314和316所描绘的三个级别。在该实施方式中，为了允许对比较操作进行更为简单的描述，维度1的级别被连续标记为1—5，并且维度2的级别被标记为2、3和5。以下对信任级别之间的映射的更为一般的描述进行讨论。然而，即使在这样的实施方式中，类似于关于图2所描述的实施方式，在使用两个维度的情况下，确定用户或处理对于系统资源是否具有足够的访问也可以基于两次比较来执行。一般地，对于N维元组而言，可以利用N次比较来确定许可。特别地，在图3的实施方式中，当一个维度和级别对应于另一个维度的多个级别时，确定该一个维度和级别是否支配其它维度中的多个级别的任一个可以利用两次比较来完成。

在该实施方式中，{D1，L1}可以对应于资源访问特权的集合；{D1，L2}可以对应于包含了{D1，L1}的资源访问特权的资源访问特权的集合；{D1，L3}可以对应于包含了{D1，L2}和{D1，L1}的资源访问特权的资源访问特权的集合；{D1，L4}可以对应于包含了{D1，L1}、{D1，L2}和{D1，L3}的资源访问特权的资源访问特权的集合；{D1，L5}可以对应于包含了{D1，L1}、{D1，L2}、{D1，L3}和{D1，L4}的资源访问特权的资源访问特权的集合；{D2，L2}可以对应于包含了{D1，L2}和{D1，L1}的资源访问特权的资源访问特权的集合；{D2，L3}可以对应于包含了{D2，L2}、{D1，L3}、{D1，L2}和{D1，L1}的资源访问特权的资源访问特权的集合；{D2，L5}可以对应于包含了{D2，L3}、{D2，L2}、{D1，L5}、{D1，L4}、{D1，L3}、{D1，L2}和{D1，L1}的资源访问特权的资源访问特权的集合。例如，为了确定{D2，L2}是否支配任意其它信任级别，可以利用两次比较进行计算，D2与其它维度的比较，以及L2与其它维度的比较，其中是否D2大于或等于另一个维度并且(AND)是否L3大于或等于其它级别。

虽然维度2中的级别已经被定义为并不使用映射并且保持简单的数值比较来确定一个维度中的级别是否支配另一个维度的级别，但是级别一般可以根据任何任意标志来指定，其中映射表可以指定任意两个给定标志之间的相对“大于”或“小于”的指示。例如，关于图3，级别2、3和5可以分别被再定义为级别和“A”，其中映射可以被定义为指定{D2，A}支配{D2，B}、{D2，C}、{D1，L5}、{D1，L4}、{D1，L3}、{D1，L2}和{D1，L1}；{D2，B}支配{D2，C}、{D1，L3}、{D1，L2}和{D1，L1}；{D2，C}支配{D1，L2}和{D1，L1}；{D1，L5}支配{D1，L4}、{D1，L3}、{D1，L2}和{D1，L1}；{D1，L4}支配{D1，L3}、{D1，L2}和{D1，L1}；{D1，L3}支配{D1，L2}和{D1，L1}；{D1，L2}支配{D1，L1}；以及{D1，L1}并不支配其它信任级别。

在一些实施方式中，关于在指定资源访问许可时使用维度和级别，操作系统内的给定处理可以修改用于指定另一个处理或资源的资源访问许可的维度和/或级别。例如，一个处理可以是具有对应于{D2，L3}的资源访问许可的系统处理，而另一个处理可以是具有对应于{D1，L4}的资源访问许可的用户处理。在该示例中，该系统处理可以将针对该用户处理的资源访问许可从{D1，L4}修改为任何维度和级别的组合，因为该系统处理处于最高的信任组合或者最高的维度和级别的组合。在一些情况下，该系统处理可以将该用户处理的资源访问许可的数量从{D1，L4}减少，例如减少至{D1，L2}。在其它情况下，该系统处理可以将该用户处理的资源访问许可的数量从{D1，L4}改变——其可能是增加——例如增加至{D2，L2}。

图4图示了在指定资源访问许可时所使用的维度和级别的视觉表示形式而使得该视觉表示形式占据xyz空间。然而，该视觉表示形式是出于说明的目的并且用来扩展对于如资源许可组件所使用的维度和级别的理解。在资源许可集合的该视觉表示形式中，x—y平面可以表示可能不使用维度的资源许可集合。具体地，如果仅能够使用x—y平面则资源许可集合将是同心式的并且较小或较低级别的资源许可集合将被较大或较高级别的资源许可集合所包含。

在该说明性的视觉表示形式中，将仅处于x—y平面上的维度/级别框的足迹可以表示同心式许可集合，其中每个较大许可集合继承或包含较小许可集合的许可。在这样的情况下，将没有维度，仅有级别。换句话说，三个维度/级别框的足迹形成了三个同心集合，最小的最内侧的集合对应于第一级别，其可以被对应于第二级别的下一个最大集合所包含，而后者则可以被对应于第三级别的最大集合所包含。然而，在除了使用级别还使用维度的情况下，资源访问的级别并非必然包括较低级别的资源访问许可。

在该对应于图2的维度和级别的视觉表示形式中，示例资源访问许可集合可以利用两个维度以及每个维度内的三个级别所指定。具体地，在给定维度中，例如维度1，可以有三个同心的许可集合，其中每个较大集合包含(即，继承)较低集合的访问特权或许可。在该视觉表示形式中，被表示为x—y平面内所占据的维度的许可集合对应于单个维度内的级别。然而，当考虑第二维度时，则一个级别的一个维度内的许可集合可能并非必然继承较低级别的另一个维度内的许可集合中的所有许可。

在该视觉表示形式中，维度1占据x—y平面，并且包括利用{维度1，级别1}402、{维度1，级别2}404和{维度1，级别3}406所描绘的同心正方形，其中该维度内每个较高的级别继承所包含的较低级别中的资源访问特权。在该视觉表示形式中，被视觉表示为402、404和406的许可集合的范围并不延伸至z轴之中，并且因此将不会具有被视觉表示为可以延伸至z轴之中的许可集合中的许可。

然而，当考虑第二维度时，该许可集合可以被表示为到z轴之中的视觉延伸，因此对许可集合表示形式赋予体积。换句话说，在该示例中，所增加的维度允许{维度2，级别1}408，其将包含被表示为{维度1，级别1}402的许可级别，同时包括并未处于{维度1，级别1}之中的资源许可；其中{维度2，级别2}410将包含被表示为{维度2，级别1}408、{维度1，级别2}404和{维度1，级别1}402的许可集合；并且其中{维度2，级别3}412将包含被表示为{维度2，级别2}410、{维度2，级别1}408，{维度1，级别3}406、{维度1，级别2}404和{维度1，级别1}402的许可集合。

说明性处理认证组件

图5图示了流程图500，其描绘了处理认证组件的实施方式中的所选择操作。如之前关于图1所讨论的，处理认证组件可以在创建对应于可执行文件的处理之前确定该可执行文件的真实可靠性。

如上文所讨论的，大多数计算设备提供操作系统，后者允许用户从物理媒体或者以无线方式安装附加的软件或应用。然而，在一些情况下，该操作系统可能在没有直接的用户引导的情况下自行安装附加软件。在任意情况下，处理认证组件可以有各种方式来获取对可执行文件的访问，下载、读取或接收该可执行文件。

如在502所描绘的，处理认证组件可以接收包括加密的数字签名的可执行文件。虽然在该示例中，该可执行文件已经被修改为包括数字签名，但是在其它情况下，该数字签名可以被单独提供，或者响应于针对数字签名的具体请求而提供。

如在504所描绘的，处理认证组件可以选择或确定对应于该可执行文件的数字签名的解密秘钥。在一些实施方式中，该解密秘钥可以是从证书机构所提供的公钥，其中软件发行方或软件提供方使用相对应的私钥来创建该数字签名。在其它实施方式中，软件发行方或软件提供方可以使用公钥来创建数字签名并且处理认证组件将使用私钥来解密该数字签名。另外，在不同实施方式中，软件发行方和处理认证组件可以使用不同方式来获得它们相应的加密和解密秘钥。

如在506所描绘的，一旦已经选择或确定了解密秘钥，处理认证组件就可以基于该数字签名、可执行文件以及基于该解密秘钥而对该可执行文件进行认证。例如，成功的解密将指示真实可靠的、未被篡改的可执行文件，而不成功解密则将指示可能以某些方式被损坏的可执行文件。

如在508所描绘的，响应于可执行文件的成功认证，处理认证组件可以创建对应于该可执行文件的执行的系统处理或者发起该创建——其中该处理基于被用来认证该可执行文件的解密秘钥而被指派以维度和级别。换句话说，安全级别或信任级别基于根据数字签名所确定的该可执行文件的标识而被结合到所创建的处理。例如，取决于可以对执行该可执行文件的处理指派何种类型的资源许可，软件发行方可以使用多个不同加密秘钥来创建数字签名。

在一些实施方式中，为了确保所创建的系统处理的完整性，与数字签名相关联的维度可以被置于所创建处理的认证情境(context)之中。另外，所创建的处理可以由安全描述符所保护，后者将访问限制于所创建的处理的维度。在不同实施方式中，该处理认证可以被应用于动态加载的模块。在一些实施方式中，在所创建的处理自行创建附加处理或系统资源的情况下，该另外创建的处理或系统资源将被指派以与该所创建的处理的信任级别相同的信任级别。换句话说，所创建的处理并不会创建出其信任级别支配该所创建的处理的信任级别的处理或系统资源。在其它实施方式中，例如，当操作系统实施认证模仿(impersonation)时，所创建的处理可以调用服务来代表该所创建的处理执行某个功能，并且其中执行该服务调用的处理的信任级别为原始所创建处理与该服务的最低信任级别。以这种方式，所调用的服务不会以会支配进行调用的服务的信任级别进行操作或执行，由此防止了该服务影响到任何处于较高信任级别的系统资源或处理。因此，在该示例中，取决于进行调用的处理的信任级别，相同的服务可以在处于不同信任级别的不同例示中执行。

在该实施方式中，处理认证组件可以使用根据图2所示的维度和级别的资源许可集合。具体地，在该示例中，软件发行方可以使用六种不同加密秘钥之一来创建数字签名，其中这六种不同加密秘钥中的每一个可以对应于六种不同的维度和级别元组{D1，L1}、{D1，L2}、{D1，L3}、{D2，L1}、{D2，L2}或{D2，L3}之一。以这种方式，根据哪个解密秘钥对应于该加密秘钥，处理认证组件在成功认证该可执行文件时可以创建处理以执行该可执行文件，该处理具有对应于六种不同的维度和级别元组{D1，L1}、{D1，L2}、{D1，L3}、{D2，L1}、{D2，L2}或{D2，L3}之一的资源访问许可信任级别。另外，在一些实施方式中，特定于一个资源的资源访问许可的每个或多个集合例如可以根据从具有充分特权的系统管理员所提供的映射而被映射至给定的信任级别。

另外，所创建的处理可以利用元数据进行标记，该元数据指定对应于资源访问特权的维度和级别。在一些实施方式中，该处理认证组件可以以其它方式将处理与对应于资源访问特权的维度和级别相关联。

说明性资源许可组件

图6图示了流程图600，其描绘了在操作系统的安全处理系统内进行操作的资源许可组件的实施方式中的所选择操作。在系统资源被访问以用于读取、移动、编辑或者从系统资源的当前状态进行任意类型的修改的任何时候，资源许可组件都可以在安全处理系统内使用。术语“系统资源”可以被理解为可能包括在初始系统安装期间或之后的任何时候被安装在该系统上的附加应用的资源。

在该说明性实施方式中，在各种情形之下，操作系统内的给定处理都可以在某一时刻尝试访问系统资源，并且资源许可组件可以确定该处理是否被授权访问该系统资源。例如，处理可以请求访问特定系统资源。如在602所描绘的，可以从处理接收访问资源的请求。作为响应，如在604所描绘的，可以确定足以访问该系统资源的最低维度和最低级别。

在不同实施方式中，该维度和级别信息可以存储在与系统资源相关联的元数据内。如关于图3所讨论的，可以提供指定信任级别的每个配对之间的支配关系的映射。在系统资源是软件部件的情况下，该元数据可以作为该系统资源的一部分被存储。然而，在一些情况下，该元数据可以被存储在将资源访问许可与该系统资源相关联的表格或其它类型的数据结构之中。

如在606所描绘的，对应于作出该资源请求的处理的维度和级别信息得以被确定。在不同实施方式中，有关604和606的操作可以进行互换。针对给定处理的维度和级别信息可以被存储在系统文件或寄存器中，或者被存储在将处理与指定资源访问许可的元数据相关联的某个其它数据结构中。

在一些实施方式中，为了确定是否向处理或用户授权所请求的访问，资源许可组件可以进行两次比较。一次比较可以是确定与处理相关联的维度是否充分，而另一次比较可以是确定与该处理相关联的级别是否充分。换句话说，如在608所描绘的，如果与处理相关联的维度支配着足以访问该系统资源的维度，并且如果与处理相关联的级别支配着足以访问该系统资源的级别，则授权针对该系统资源的访问。

说明性安全处理模块

图7图示了具有附加计算部件的上文中关于图1所描述的计算设备102，其中计算设备102可以被配置为实施安全处理系统。具体地，计算设备102可以包括计算机系统104，其可以被配置为执行安全处理系统的各种实施方式。该安全处理系统进而可以利用安全处理模块106来实施，后者包括处理认证组件108和资源许可组件110。

如以上关于不同实施方式所讨论的，处理认证组件可以进行操作以执行签名验证并且将给定数字签名映射至相对应的信任级别，后者则可以被资源许可组件映射至具体的许可集合。在该示例中，作为处理认证组件108的一部分，签名验证模块702可以用来确定用于对对应于数字签名的可执行文件进行认证的适当解密秘钥。另外，根据哪个解密秘钥用来认证该可执行文件，处理认证组件108的签名映射模块704可以确定对应于数字签名的维度和级别，并且对所创建的用来执行该可执行文件的处理进行标记。各种加密和/或解密密钥可以被存储在存储器706内，例如(多个)加密密钥126和/或(多个)解密密钥128.如以上关于不同实施方式所讨论的，资源许可组件110可以响应于访问系统资源的处理请求而确定足以访问该资源的最低许可并且确定针对该资源的维度和级别许可是否足以访问该资源。在该实施方式中，作为资源许可组件110的一部分，级别验证模块708可以用来执行计算以便确定具有给定的许可维度和级别的处理是否可以访问给定资源。在一些情况下，这些比较计算可以并行执行。例如，计算机系统104可以实施专门的指令而使得该专门指令针对处理的维度和级别以及足以访问该资源的维度和级别定义运算对象。另外，该专门指令的运算对象可以用作针对硬件部件的输入，该硬件部件同时执行维度和级别的比较并且输出指示是否针对资源授予许可的标志数值。在该示例中，该并行的维度和级别比较可以利用维度/级别(D/B)比较器710来执行。

在一些实施方式中，用于确定处理的给定维度和级别是否足以访问至少需要给定维度和级别的资源的规范可以存储在(多个)资源许可集合规范712之内。

图7进一步图示了计算设备102的附加组件。在不同实施方式中，计算机系统可以是任意各种类型的设备，包括但并不局限于个人计算机系统、台式计算机、膝上计算机、笔记本计算机或上网本计算机、大型计算机系统、手持计算机、工作站、网络计算机、相机、机顶盒、移动设备、消费者设备、视频游戏机、手持视频游戏设备、应用服务器、存储设备、电视机、视频录制设备、诸如手表的外围设备、调制解调器、路由器，或者一般地任意类型的计算或电子设备。

在一种实施方式中，计算机系统104包括耦合至系统存储器716的一个或多个处理器714。一个或多个处理器714可以被配置为处理关联于计算机可读媒体所存储的数据。计算机可读媒体包括至少两种类型的计算机可读媒体，即计算机存储媒体和通信媒体。

计算机存储媒体包括以用于存储诸如计算机可读指令、数据结构、程序模块或其它数据的信息的任意方法或技术所实施的易失性和非易失性、可移除和非可移除媒体。计算机存储媒体包括但并不局限于RAM、ROM、EEPROM、闪存或其它存储器技术、CD—ROM、数字多功能盘(DVD)或其它光盘存储、磁性盒带、磁带、磁盘存储或其它磁性存储设备，或者能够被用来存储信息以便由计算设备102所访问的任意其它非传输媒体。

作为比较，通信媒体可以以诸如载波或其它传输机制的调制数据信号来体现计算机可读指令、数据结构、程序模块或其它数据。如这里所定义的，计算机存储媒体并不包括通信媒体。

计算机系统104还可以包括能够由一个或多个处理器714所访问的存储器716。包括数据储存器718的存储器716是计算机存储媒体的示例。另外，计算机系统104可以包括一个或多个通信接口720，其可以促成计算设备102和其它计算设备之间的通信。特别地，通信接口720可以包括一个或多个有线网络通信接口、一个或多个无线通信接口，或者其二者，以经由网络112所表示的一个或多个网络促成通信。网络112可以表示多种不同类型的有线和无线网络中的任意一种或它们的组合，诸如互联网、有线网络、卫星网络、广域无线通信网络、有线局域网、无线局域网、公共交换电话网(PSTN)等。

此外，计算机系统104可以包括输入/输出设备722。输入/输出设备722可以包括键盘、指示设备(例如，鼠标或输入笔)、触摸屏、一个或多个图像捕捉设备(例如，一个或多个相机)、一个或多个麦克风、显不器、扬声器等。

在一些实施方式中，预见到本发明的实施方式可以使用计算机系统的单个实例来实施，而在其它实施方式中则可以在多个这样的系统或者组成计算机系统的多个节点上实施，上述系统或节点可以被配置为托管实施方式的不同部分或实例。例如，在一种实施方式中，一些部件可以经由计算机系统中不同于实施其它部件的那些节点的一个或多个节点来实施。

计算机系统内的存储器可以包括程序指令724，其被配置为实施这里所描述的每种实施方式。在一种实施方式中，该程序指令可以包括这里所讨论的模块的实施方式的软件部件。计算机系统内的数据储存器可以包括可以在其它实施方式中使用的数据。

通常，计算机可执行指令包括执行特定功能或实施特定抽象数据类型的例程、程序、对象、组件、数据结构等。对操作进行描述的顺序并非意在被理解为限制，并且任意数量的所描述的块能够以任意顺序或并行地进行组合以实施处理。

结论

虽然已经以特定于结构特征的语言对主题进行了描述，但是所要理解的是，所附权利要求中限定的主题并不必局限于以上所描述的具体特征。相反，该具体特征作为实施权利要求的说明性形式而被公开。

Claims (20)

1.一种处理认证和资源许可的方法，包括：

由一个或多个计算设备执行：

接收包括数字签名的可执行文件；

选择对应于该数字签名的解密公钥；

通过用该解密公钥验证该数字签名来认证该可执行文件；以及

响应于该可执行文件的认证：

创建用于执行经认证的可执行文件的处理；

基于该解密公钥向该处理指派维度和级别两者，其中维度是多个排名的维度中的一个，并且级别是多个排名的级别中的一个；

从该处理接收访问系统资源的请求；

确定足以访问该系统资源的最小维度和最小级别；以及

至少基于指派给该处理的维度大于或等于所确定的足以访问该系统资源的最小维度以及指派给该处理的级别大于或等于所确定的足以访问该系统资源的最小级别，授予该处理对该系统资源的访问。

2.如权利要求1所述的方法，其中指派给该处理的维度是两个维度中的第一维度，其中该第一维度对应于第一多个级别，其中该两个维度的第二维度对应于第二多个级别并且其中在该第二多个级别中存在比在该第一多个级别中更多的级别。

3.如权利要求2所述的方法，其中，该两个维度的该第一维度内的至少一个级别被保留用于系统操作，并且不被授予任何人类用户。

4.如权利要求1所述的方法，其中该数字签名是利用多个加密私钥之一来创建的，并且其中该多个加密私钥中的每一个都映射到维度和级别的不同组合。

5.如权利要求1所述的方法，其中：

至少基于该多个排名的级别的级别在该多个排名的维度的至少两个不同的维度内，

在较低维度内的较高级别不会继承在较高维度内的任何级别的资源许可；

在较高维度内的较高级别继承等于或小于较低维度内的较高级别的资源许可；

至少基于多个排名的级别的级别在单个维度内，较高级别继承较低级别的所有资源许可。

6.如权利要求1所述的方法，其中选择解密公钥包括从多个解密公钥中确定该解密公钥是解密该数字签名的特定解密公钥。

7.如权利要求1所述的方法，其中存在多个维度和多个级别，并且在该多个维度的第一维度内的至少一个级别内保留用于系统操作，并且不授予任何人类用户。

8.如权利要求1所述的方法，其中向该处理指派该维度和该级别还包括利用指定该维度和该级别的元数据在操作系统内标记该处理。

9.一种用于授权处理访问系统资源的系统，该系统包括：

一个或多个处理器；

通信地耦合到该一个或多个处理器的存储器设备；

存储在该存储器设备中的处理认证组件，包含指令，该指令在由该一个或多个处理器执行时使该一个或多个处理器实行包括以下动作的动作：

接收包括数字签名的可执行文件；

选择与用于生成数字签名的加密私钥对应的解密公钥；

通过用解密公钥验证数字签名来认证该可执行文件；以及

创建用于执行该经认证的可执行文件的处理，以及基于该解密公钥向该处理指派维度和级别两者，其中该维度是多个排名的维度中的一个维度，以及该级别是多个排名的级别中的一个级别；以及

存储在该存储器设备中的资源许可组件，包含指令，该指令在由该一个或多个处理器执行时使该一个或多个处理器执行包括以下动作的动作：

从该处理接收访问系统资源的请求；

确定足以访问该系统资源的最小维度和最小级别；以及

至少基于指派给该处理的维度大于或等于所确定的足以访问该系统资源的最小维度以及指派给该处理的级别大于或等于所确定的足以访问该系统资源的最小级别，授予处理对系统资源的访问；以及

至少基于指派给该处理的维度小于所确定的足以访问该系统资源的最小维度或者指派给该处理的级别小于所确定的足以访问该系统资源的最小级别，拒绝该处理访问系统资源。

10.如权利要求9所述的系统，其中选择解密公钥包括从多个解密公钥中确定该解密公钥是解密该数字签名的特定解密公钥。

11.如权利要求9所述的系统，其中选择该解密公钥包括：

确定该可执行文件的发行方的标识；

向证书机构传送对多个解密公钥的请求；

从证书机构接收包括多个解密公钥的响应；以及

从该多个解密公钥中确定该解密公钥是解密该数字签名的特定解密公钥。

12.如权利要求9所述的系统，其中选择该解密公钥包括：

确定可执行文件的发布者的身份；

向证书机构传送对与该数字签名相对应的该解密公钥的请求，其中该请求包括该数字签名；以及

从证书机构接收包括该解密公钥的响应。

13.如权利要求9所述的系统，其中该数字签名是利用多个加密私钥之一来创建的，并且其中该多个加密私钥中的每一个映射到维度和级别的不同组合。

14.如权利要求9所述的系统，其中维度内的至少一个级别被保留用于系统操作，并且不被授予任何人类用户。

15.如权利要求9所述的系统，其中：

至少基于该多个排名的级别的级别在该多个排名的维度的至少两个不同的维度内，

在较低维度内的较高级别并不继承在较高维度内的任何级别的资源许可；

在较高维度内的较高级别继承等于或小于较低维度内的较高级别的级别的资源许可；

至少基于多个排名的级别的级别在单个维度内，较高级别继承较低级别的所有资源许可。

16.根据权利要求9所述的系统，其中向该处理指派该维度和该级别还包括利用指定该维度和该级别的元数据来标记操作系统内的该处理。

17.一个或多个存储计算机可执行指令的计算机可读存储设备，该计算机可执行指令在由一个或多个处理器执行时使该一个或多个处理器执行包括以下动作的动作：

接收包括数字签名的可执行文件；

从多个解密公钥中确定与用于生成数字签名的私有加密密钥相对应的解密公钥，其中，该多个解密公钥中的每一个映射到不同的信任级别，其中该信任级别是根据维度参数和级别参数定义为{D，L}的元组；

通过用解密公钥验证该数字签名来认证该可执行文件；以及

响应于对该可执行文件的认证：

创建用于执行经认证的可执行文件的处理；

基于解密公钥映射到特定的信任级别，将信任级别指派给该处理；

从该处理接收访问系统资源的请求；

确定足以访问该系统资源的信任级别；以及

基于指派给满足足以访问该系统资源{Da，La}的信任级别的处理{Dp，Lp}的信任级别授予该处理对系统资源的访问，其中至少基于Dp≥Da和Lp≥La，指派给该处理的信任级别满足足以访问该系统资源的信任级别。

18.如权利要求17所述的一个或多个计算机可读存储设备，其中，将该信任级别指派给该处理进一步包括用指定该维度和该级别的元数据来标记操作系统内的该处理。

19.根据权利要求17所述的一个或多个计算机可读存储设备，其中，该维度是多个维度中的一个，以及该级别是多个级别中的一个，并且其中：

至少基于该多个级别的所有级别在同一维度内，该多个级别中的较高级别继承该多个级别中较低级别的所有资源许可，以及

至少基于该多个级别的级别在该多个维度中的至少两个不同维度内，处于较低维度内的该多个级别中的较高级别不继承处于较高维度内的该多个级别中较低级别的所有资源许可。

20.如权利要求17所述的一个或多个计算机可读存储设备，其中，该数字签名是利用多个加密私钥之一来创建的，并且其中该多个加密私钥中的每一个映射到维度和级别的不同组合。