CN106233292A - 合成文档访问 - Google Patents

Abstract

根据一个示例，第一计算机系统从第二计算机系统接收由至少一个工作流参与者作出的访问合成文档内容部分的至少一个请求。所述第一计算机系统针对所述至少一个工作流参与者从合成文档检索至少一个加密包裹，使用私钥来对加密包裹进行解密，并查明从经解密的包裹检索的至少一个规则是否被满足。在至少一个规则被满足的情况下，所述第一计算机系统将来自经解密的包裹的令牌释放给所述第二计算机系统以访问所述合成文档内容部分。

Description

合成文档访问

背景技术

数字文档的创建、分发和交换已经变成对打印文档来说通常接受的可替换方案，既出于效率的目的又出于环境目的。可被创建、分发或以其他方式交换的数字文档的示例包括例如电子文字处理文档、电子表格、电子演示稿、电子图、便携式文档格式（PDF）文件和网页，例如，HTML、CSS或其他web格式文件。

许多数字文档已经变成以不同文件格式创建的分离部分的混合物或合成物。可以通过诸如Java jar-档案或HP DLF文件之类的各种串行化机制将不同部分组合在一起。合成文档的一个示例是商业提议文档，包括作为JPEG文件的产品图像、作为MOV文件的营销视频剪辑、作为PPT文件的PowerPoint演示稿和作为XLS文件的财物细节电子表格。可以通过专用软件将合成文档呈现给用户，作为单个可编辑、可浏览、可搜索、可批准或可使用的文档。

附图说明

图1图示了根据本公开的示例的数字文档工作流的简化框图；

图2图示了根据本公开的示例的包括创作环境、安全内容管理器和可信代理的数字文档系统的简化框图；

图3图示了根据本公开的示例的可信代理和关联引擎的简化框图；

图4图示了根据本公开的示例的基于规则和/或条件访问合成文档的安全内容部分的流程图；

图5图示了根据本公开的示例的基于存储在各种位置中的规则和/或条件访问合成文档的安全内容部分的流程图；以及

图6图示了根据本公开的示例的可被用作用于实现或执行图4和5中描绘的过程中的至少一个的平台的计算设备的示意表示。

具体实施方式

在示例中，公开了合成文档、创作环境、安全内容管理器、可信代理、加密包裹、以及合成文档的安全内容部分的访问。

更具体地，在示例中，合成文档访问使得能够基于存储在例如加密包裹中的条件或规则来访问合成文档。例如，合成文档条件或规则可以包括而不限于诸如时间、位置、会话、状态和状况（例如，参与者是否已经签入）之类的任何运行时可验证约束。在示例中，条件或规则可以被嵌入到合成文档中或存储在数据库中，并可以是可信代理可访问的，例如，是在计算机、服务器上或在云环境中运行的一个或多个服务通过例如加密包裹而可访问的。在一些示例中，可以采用有条件和无条件访问的组合或混合环境。

如遍及本公开所使用的那样，合成文档可以包括包含内容部分的数字文档，该内容部分可能已经被加密和签名以基本上防止对该内容部分的未经授权的访问和/或修改。该内容部分可以包括具有分离文件或可寻址文件片段的形式的多种个体可寻址且可访问部分。例如，该内容部分可以包括个体文件、文件的组或文件片段，其包括例如HTML标签、XML节点和元素、文字处理页、电子表格单元、演示稿幻灯片、包含图的电子对象、具有视频能力的电子对象等和/或不同类型的文件部分的组合。

在一个示例中，可以公开张贴合成文档。在另一示例中，可以例如私有地或内部地在企业内和/或在混合工作流中（组织间或组织内）使用合成文档。

对合成文档的访问还可以基于与安全内容管理器和/或可信代理的使用协调处理的条件或规则，如下面更详细地讨论的那样。在一个示例中，合成文档工作流参与者（或者“参与者”或“用户”）可以被提供有对合成文档的初始/高级访问，而无需通过可信代理来检索或处理附加条件或规则，但可能需要对可信代理的访问以用于进一步访问。例如，参与者可以被呈现有针对合成文档的内容表，但需要可信代理来在允许对除内容表外的安全内容部分的访问之前验证（例如，通过安全内容管理器）参与者满足某些规则或条件。在一些示例中，规则可以包括链接到外部存储的规则的引用标识符。

在一些示例中，可信代理可以在安全内容管理器中验证授予对一个或多个安全内容部分的访问时释放密钥或令牌或其他凭证。在一些示例中，可信代理还可以将参与者是否满足某些规则或条件的验证委托给可信引擎，下面更详细地讨论。在一些示例中，可以将密钥或令牌与上面讨论的条件和规则组合成包裹，例如加密包裹。

图1图示了根据本公开的示例的数字文档工作流的简化框图。应当理解，图1中描绘的图表示了概括的图示，并且在不脱离数字文档工作流100的总体范围的情况下，可以添加其他组件或者可以移除、修改或重新布置现有组件。

在示例中，数字文档工作流100包括针对时间数据、计数器数据、位置数据和会话数据的数字文档102、创作环境106、合成文档108、参与者120a-n、安全内容管理器122、可信代理124和验证引擎128-134。合成文档108被描绘为包含示例性的多个安全内容部分110a-n和密钥映射表中的示例性的多个加密密钥映射条目。如本文所使用的那样，术语“安全”意图表明：内容部分110a-n和密钥映射表中的密钥映射条目被加密和/或签名。

在示例中，内容部分104a-n可以表示数字文档102内的个体可寻址或可分离元素。例如，内容部分104a-n可以是排、段落、文本框、单元、行、列、图形、或者诸如可填充文本字段或签名框之类的其他对象。内容部分104a-n还可以被扩展到字节级别，例如，作为相同文件的不同元素。作为另一示例，内容部分104a-n可以包括来自多个数字文档的部分的逻辑聚合。

如下面更详细地讨论的那样，创作环境106、安全内容管理器122、可信代理124、基于时间约束验证引擎134、基于计数器验证引擎132、基于位置验证引擎130和/或基于会话验证引擎128可以包括：硬件设备，诸如计算机、服务器、数据库、处理器、存储器和/或电路等，被配置有执行数字文档工作流100中的各种功能的机器可读指令。附加地或可替换地，组件可以包括存储在计算机可读介质上的机器可读指令。

在示例中，创作环境106可以对数字文档102的内容部分104a-n进行包装、加密和签名，使得结果得到的安全内容部分110a-n（以主人形式）不能被访问，除非参与者120a-n具有适当的密钥来访问安全内容部分110a-n（以分发形式）。更具体地，创作环境106可以生成或导出将内容部分104a-n加密和签名成安全内容部分110a-n所需的加密和签名密钥。此外，在示例中，可能需要参与者120a-n以使用不同密钥集合来读取和/或写入到合成文档108。

附加地，创作环境106可以虑及与特定合成文档108相关联的规则和/或条件的创建或编辑，并可以将这样的规则和/或条件嵌入到合成文档108中（例如，嵌入到规则/条件114中或直接嵌入到密钥映射表112中）或者可以外部（例如，在数据库中）存储或访问规则/条件114。规则/条件114还可以被包装在包裹（例如，包裹140）中，下面更详细地讨论。

如上所讨论，在示例中，合成文档108可以包括安全内容部分110a-n和密钥映射表112中的示例性的多个加密密钥映射条目。可以通过针对参与者120a-n分发密钥映射表112中的相应密钥映射条目中包含的各种密钥集合来控制这些参与者对安全内容部分110a-n的访问。更特别地，条目的子集可以被包含在合成文档内的密钥映射条目中，其中针对每一个参与者有至少一个密钥映射条目。密钥映射表112还可以包括用户ID和部分ID，用户ID可以是随机的或顺序的，其中每个内容部分可以被给予密钥集合。可以通过例如用户ID来查询密钥映射表以针对通过用户的秘密密钥（例如，条目表116中的K）而加密的用户ID检索所有条目。

更具体地关于密钥映射条目，密钥映射表112可以包含下述密钥映射条目：这些密钥映射条目包含相应参与者120a-n在针对相应内容访问会话解密和验证内容部分110a-n的签名时要使用的相应密钥集合。此外，密钥映射表112中的密钥映射条目可以包含使参与者120a-n能够得到对内容部分110a-n的各种级别的访问的相应密钥集合。

在示例中，从数据库（未示出）导出或存储在数据库中或者从另一源导出的条件和/或规则（即，在创作环境106中创建的那些条件和/或规则）还可以稍后被存储在合成文档108中作为条件/规则114，且单独地或结合其他数据（例如，诸如令牌138之类的令牌）在包裹（诸如加密包裹140）中进一步存储或传送。在示例中，包裹140可以仅是可信代理124可访问的。

在另一示例中，条件和/或规则可以被存储在外部数据库中，其中有唯一标识符或其他机制用于将条件和/或规则与合成文档、工作流参与者、工作流步骤和/或同工作流或工作流安全性相关的其他数据相关联。

存储在条目表116和签名118中的数据可以包括对合成文档108的安全内容部分进行解密、加密、验证或以其他方式认证所需的附加信息。如上所提及，可以通过各种串行化机制（诸如Java jar-档案、HP DLF文件或其他文件类型）将各种安全内容部分组合在一起。

参与者120a-n可以表示示例性的计算设备，通过这些计算设备，参与者120a-n接收或初始访问合成文档108。当被授予充分访问时，参与者120a-n还可以查看、编辑、拷贝、打印和/或确认收到合成文档108。计算设备可以包括例如个人计算机、台式计算机、膝上型计算机、平板计算机、个人数字助理、蜂窝电话、智能电话和消费者电子设备等。

上面讨论的创作环境106可以处于安全环境中，其中数字文档102的所有者、创建者或主人有权访问创作环境106，但是其中参与者120a-n的计算设备中的至少一个处于该安全环境外。例如，在其中对创作环境106的安全环境的访问不切实际或被禁止的实例中，参与者120a-n中的一些或全部可能未被授予这样的访问。在这样的情况下，参与者120a-n中的一些或全部可以不从创作环境106或控制对合成文档108的访问的公共数据库访问合成文档108。取而代之，可以通过例如电子邮件、共享服务器、直接文件传送、可移除储存介质或云服务等来向参与者120a-n以及在参与者120a-n之间供给合成文档108。

相应地，在示例中，工作流100还包括安全内容管理器122以允许参与者访问合成文档108的安全内容部分。例如，安全内容管理器122可以包含或包括用于访问合成文档108的前端软件工具或图形用户界面（“GUI”）。

在示例中，安全内容管理器122通过参与者120a-n的工作流来接收合成文档108。将理解的是，安全内容管理器122可以位于工作流中的任何参与者120a-n之间以及位于多个参与者120a-n之间。安全内容管理器122可以作为例如参与者120a-n在参与者设备（例如，膝上型电脑、台式电脑或其他设备）上可访问的软件、服务或软件和服务的组合而被运行。

在一个示例中，在工作流100期间，安全内容管理器122可以接收包含针对参与者120a-n的密钥映射条目的合成文档，其中密钥映射条目已经是使用参与者120a-n的密钥加密的。附加地，安全内容管理器122可以使用密钥来对经加密的密钥映射条目进行解密。在示例中，密钥可以是用于加密和解密二者的秘密对称密钥。在示例中，可以在解密之前认证合成文档或内容部分。

在示例中，可以使用针对相应参与者120a-n生成或导出的对称密钥以及利用使用参与者的相应公钥而加密的对称密钥来对密钥映射条目中的每一个进行加密。在该示例中，安全内容管理器可以接收包含针对参与者的密钥映射条目的合成文档108，其中密钥映射条目已经是使用对称密钥加密的，并且其中该对称密钥已经是使用例如公钥之类的密钥与参与者已知的私钥加密的。根据示例，对称密钥可以被组合到条目表（例如，条目表116）中，该条目表指示对称密钥中的哪些与参与者120a-n中的哪些相关联，以使参与者能够快速识别对称密钥中的哪些可以是使用其相应私钥来解密的。

在上面两个示例中的任一个中，在这些操作之前，安全内容管理器122可以认证参与者；针对参与者建立对应的可信公钥；起文档安全性和安全检查点的作用；在沿工作流的各种点处备份合成文档108；在沿工作流的各种点处对合成文档108加时间戳；扫描合成文档108的由安全内容管理器122独占地可访问的部分以确定合成文档108是否依从安全性依从规则；和/或验证与参与者相关的规则和/或条件，如下面更详细地讨论的那样。

在示例中，数字文档工作流100还可以包括可信代理124，可信代理124可以与引擎（例如，基于时间约束验证引擎134、基于计数器验证引擎132、基于位置验证引擎130和/或基于会话验证引擎128）通信。可信代理124可以是外部服务，即，位于参与者设备外部和/或对工作流参与者来说不可访问。换言之，工作流参与者可能不能够访问可信代理124或释放来自可信代理124的密钥，以保持可信代理124被隔离和被保护。

在示例中，可信代理124可以访问或读取规则和条件，并使用该规则和条件来“恰好及时”验证特定参与者120a-n的访问。如下面更详细地讨论的那样，规则和条件可以被存储或嵌入到合成文档108中（例如，作为规则/条件114或在密钥映射表112内），可以处于包裹140中，可以已经是可信代理124已知或可访问的，或者可以被存储在外部数据库中。出于简明的目的，条件和规则在本文中被简称作合成文档108的“规则和条件114”，尽管在一些示例中规则和条件可以是在合成文档108外部存储的。

根据一些示例，可信代理124仅有权访问规则和条件，但可能无权利用对内容部分的访问密钥访问密钥映射条目，即，在一些示例中，可信代理124可能被限制访问内容部分。如上所讨论，可信代理124可以直接从合成文档108有权访问包裹140而无需有权访问密钥映射条目，而在另一示例中，参与者120a-n或安全内容管理器122可以从合成文档108访问包裹140并将包裹140传送到可信代理124以用于解密。在包裹140被工作流参与者从合成文档108检索且被工作流参与者发送到可信代理124的情况下，可信代理124可能需要包裹140通过文档主人密钥而签名。可由文档所有者或文档主人私钥生成的签名可以被嵌入在合成文档108中，且还可以从合成文档108检索。在这样的示例中，在一些示例中出于安全性目的，可信代理124可能不尝试对其不能首先验证的包裹140进行解密。

在各种示例中，可以针对每一个参与者120a-n、针对参与者的不同组、针对所有工作流参与者、按内容部分和/或按工作流步骤而指派不同规则和条件，并且可以跨不同维度共享规则。有条件访问可以与动作（例如，读取动作或写入动作）相关联，并且，可以对动作进行时间限制或基于其他规则或条件来对动作进行限制。规则和条件可以由“或/与”运算符联结，或可以对“与”运算符来说是默认的。出于安全性原因，规则和条件可以是非执行性的且以声明性（即，描述性）的形式被提供有相关参数的集合。可以以任何二进制、xml、文本、制表或其他形式表达个体约束。根据一个示例，约束可以包括以下说明性字段：

[condition_code] [参数] [动作] [默认动作] [release_token]。

在一个示例中，condition_code（条件代码）字段可以是可信代理124要验证或实行的条件或规则的唯一标识符。如果condition_code未被辨别或当前未被支持，则可以提供默认动作。

在另一示例中，release_token（释放令牌）是在由condition_code和/或参数指定的规则或条件被满足的情况下可由可信代理124释放的一次性现时标志。在示例中，release_token（例如，图1的令牌138）是被可信代理124释放且被安全内容管理器122用于访问包裹140以访问合成文档108中的密钥的随机生成的长数字。

在示例中，参与者的密钥映射条目可以在被通过参与者的密钥加密之前或之后与释放令牌异或。在另一示例中，如果多于一个规则或条件将被满足，则可以在一个或多个可信代理124或者一个或多个验证引擎128-134之间分割释放令牌，使得每一个实体释放该释放令牌的可被重新组装的部分。

在一个示例中，以声明性或描述性的形式（例如，不可执行模式）创建规则和条件，并且该规则和条件仅是文档创建者或主人和/或（一个或多个）所指派的可信代理可访问的。在其中已经在文档主人与可信代理124之间建立充分信任（例如，被正在被签名的包裹140充分信任）的另一示例中，可以运行时设置可执行约束，从而允许任何可执行代码被安全地包括到合成文档108中。在这样的示例中，文档主人可以被允许添加由可信代理124和/或元数据执行的可执行条件。

如下面更详细地讨论的那样，在示例中，可信代理124可以依赖于外部验证引擎128-134以验证针对特定参与者120a-n的规则和条件。响应于验证，可信代理124可以将令牌或密钥（例如，可来自包裹140的令牌138）返回给安全内容管理器122，安全内容管理器122可以用于针对参与者120a-n授予对合成文档108的访问。在一些示例中，令牌可以是密钥或密钥映射恢复令牌，例如：用于对工作流参与者的密钥映射进行解密的密钥；或者在密钥映射被加密两次的情况下的第一或第二密钥；或者在参与者具有半个密钥的情况下的半个密钥，其中由可信代理释放的另外半个密钥要被组合以对工作流参与者的密钥映射进行解密。

外部引擎128-134表示可结合安全内容管理器122使用的四个示例性引擎。

在示例中，基于时间约束验证引擎134是外部可信时间服务器，用于确定事件的当前时间且然后将时间与合成文档108中的所设置的规则和条件114进行比较以通过可信代理122授予或拒绝访问。例如，基于时间的规则或条件134可以包括：a）基于所指定的基于天或时间的访问时段的时间限制，例如，可以在工作日在营业时间（例如，上午9点至下午5点）期间但不在周末授予访问；b）基于截止时间的时间限制，例如其中，仅在合成文档访问请求的当前时间处于预设的截止时间之前的情况下授予访问；或者c）基于特定或预定义商业需要的其他时间限制。

在示例中，计数器验证引擎132是外部可信计数器服务器，用于确定是否已经授予对合成文档108的预设数目的访问请求。在示例中，确定合成文档访问请求的最大数目，其中计数器引擎132在每一次新访问授予的情况下递减访问请求的剩余数目。在达到零状态时，计数器引擎132将不再准许可信代理124授予对给定合成文档108的访问。

在示例中，计数器引擎132可以创建、存储或访问一访问事务记录或日志。在一些示例中，计数器引擎132可以使用合成文档中对计数器的引用来创建、存储或访问外部数据库中的访问事务记录或日志，以便例如防止由工作流参与者利用例如合成文档的尚未耗尽计数器的较旧版本在合成文档中的计数器操纵。在另一示例中，参与者120a-n还可以被提示以证实访问请求，例如通过录入密码或点击确认按钮以被通知基于计数器的验证和/或合成文档108可被访问的剩余次数。在又一示例中，每一个参与者120a-n可以被授予合成文档108可被访问的所设置的次数，而在另一示例中，可以作为整体跟踪参与者120a-n或者将参与者120a-n分段成组，其中每一个组被授予合成文档108可被访问的所设置的次数。

在示例中，位置验证引擎130是外部可信位置服务器，用于确定参与者120a-n是否已经从下述位置请求对合成文档108的访问：特定已知位置；或者从该处对合成文档108的访问被准许的位置。例如，位置引擎130可以包括可标识地理信息，或可以连接到GPS服务器或互联网协议（IP）地址查找表以确定是否特定参与者正在从办公室位置、家庭位置或者未知或未受信任位置请求访问。在示例中，GPS位置、IP地址、MAC地址或其他可唯一标识信息的“黑名单”或“白名单”也可以被存储在位置引擎130或位置引擎130可访问的数据库中。

在另一示例中，如果参与者位置处于某个距离内（例如，处于距特定或可信位置预设米数内），则位置引擎130可以准许对合成文档108的访问，以虑及合理量的误差或行进。类似地，在示例中，位置引擎130可以在对合成文档108的访问有效时连续地监视参与者位置信息，并可以在当前有权访问合成文档108的参与者离开可信位置的情况下指示可信代理112禁用访问或撤销令牌/密钥138。

在示例中，基于会话验证引擎128是外部可信会话服务器，用于确定已请求对合成文档108的访问的参与者120a-n是已经认证、尚未认证、还是已经认证但现在处于到期或“超时”的会话中。会话引擎128可以包括内部或外部名录或认证引擎（诸如LDAP服务器或RSA服务器）。还可以与上面讨论的时间引擎134协作处置认证的到期。

在各种示例中，可能需要参与者120a-n针对每会话被认证一次以及在会话到期的情况下被重新认证。在这样的示例中，可以将新生成的会话令牌放置到仅可信代理124可访问的、合成文档108的受限制区域中。在由参与者120a-n进行的每次新访问时，可以针对会话到期而验证现有令牌，并且如果到期的话，可能需要参与者120a-n重新认证，其中新生成的令牌替换到期的令牌。

图2图示了根据本公开的示例的包括创作环境、安全内容管理器和可信代理的数字文档系统的简化框图。

应当理解，在图2中（以及稍后在图3中）描绘的框图表示了概括的图示，并且在不脱离图2和3的系统的范围的情况下，可以添加其他组件或者可以移除、修改或重新布置现有组件。

如图2中所示，在示例中，创作环境106可以包括用户接口模块210、文档串行化模块212、加密模块214、签名模块216、密钥生成模块218和条件/规则模块220。除创作环境的其他操作（包括本文讨论的那些操作）外，模块可以支持用户接口，从而将内容部分添加（或“串行化”）到合成文档中，对内容部分或整个合成文档进行加密，对内容部分或整个合成文档进行签名，生成供合成文档中之用的密钥，以及存储用于授予对合成文档的访问的条件或规则。

在示例中，安全内容管理器122可以包括用户接口模块222、文档读取/写入模块224、加密/解密模块226、文档供给模块228、密钥访问模块230、条件/规则模块232和签名/验证模块234。除安全内容管理器的其他操作（包括本文讨论的那些操作）外，模块可以支持用户接口，从而单独地或与可信代理和/或签名或验证协作，在对内容部分进行编辑、加密和解密之后读取和写入或重新写入合成文档的内容部分到合成文档中，供给或呈现内容部分或整个合成文档，访问供合成文档中之用的密钥，处理用于授予对合成文档的访问的条件或规则。

在示例中，可信代理124可以包括引擎模块236、密钥访问模块238、验证模块240和监视模块242。除可信代理的其他操作（包括本文讨论的那些操作）外，模块可以支持与验证引擎（例如，引擎128、130、132和/或134）的通信，从而访问供合成文档中之用的密钥，验证或处理用于授予对合成文档的访问的条件或规则，以及一旦访问已经被授予就连续地监视对合成文档的访问。

模块210-220、222-234和236-242可以包括包含机器可读指令的模块、硬件模块、或包含机器可读指令的模块和硬件模块的组合。因此，在一个示例中，模块210-220、222-234和236-242中的至少一个包括电路组件。在另一示例中，模块210-220、222-234和236-242中的至少一个包括存储在计算机可读储存介质上的机器可读指令，其为处理器可执行的。

创作环境106、安全内容管理器122和可信代理124可以由相应的一个或多个处理器202实现和/或执行，该一个或多个处理器202可以耦合到存储器204、输入设备206和输入/输出接口208。因此，例如，创作环境106可以包括：包括处理器202的计算设备的集成和/或附加物硬件设备。作为另一示例，安全内容管理器122可以包括计算机可读储存设备，在该计算机可读储存设备上，针对模块222-234中的每一个的机器可读指令由处理器202存储和执行，处理器202可以耦合到存储器204。

在示例中，数据储存器244可以包括数据库，并可以用于存储与创作环境106、安全内容管理器122和/或可信代理124相关联的数据。例如，数据储存器244可以存储下述各项中的一个或多个：a）针对每一个安全内容部分110a-n指派且用于对内容部分进行加密和签名的特殊生成/导出的密钥；b）安全内容管理器122的私有解密密钥，安全内容管理器122可以使用该私有解密密钥来对合成文档的密钥映射条目进行解密，以及签名验证密钥，安全内容管理器122可以使用该签名验证密钥来验证密钥映射条目的签名；以及c）用于对内容部分110a-n进行加密或解密且验证内容部分的真实性的其他密钥。

在示例中，数据储存器244可以包括硬盘或固态盘或者易失性和/或非易失性存储器（诸如DRAM、EEPROM、MRAM、相变RAM（PCRAM）、忆阻器和闪存等）。附加地或可替换地，数据储存器244可以包括从可移除介质（诸如CD-ROM、DVD-ROM或者其他光学或磁介质）读取和写入到该可移除介质的设备。

创作环境106、安全内容管理器122和可信代理124可以直接彼此通信，或者通过输入/输出接口（例如，接口208）或通过使用令牌或密钥（例如，令牌138）或其他数字通信手段来进行通信。如上所讨论，可信代理124还可以与一个或多个引擎（例如，基于时间约束验证引擎134、基于计数器验证引擎132、基于位置验证引擎130和/或基于会话验证引擎128）通信。

图3图示了根据本公开的示例的可信代理和关联的验证引擎的简化框图。该一个或多个引擎（例如，基于时间约束验证引擎134、基于计数器验证引擎132、基于位置验证引擎130和/或基于会话验证引擎128）中的每一个可以耦合到一个或多个服务器或数据库（例如，时间数据库308、计数器数据库306、位置数据库304和/或会话数据库302）或者与该一个或多个服务器或数据库通信。

在示例中，时间储存器308可以存储或检索（例如从原子时钟或其他源）针对本地时区和其他时区二者的当前时间信息。在另一示例中，计数器储存器306可以存储或检索对特定合成文档108的访问尝试的计数或日志或事务历史。在另一示例中，位置储存器304可以存储或检索GPS坐标、IP地址信息、MAC地址信息、或者用于通过地理位置标识参与者的其他信息。在另一示例中，会话储存器302可以存储或检索与特定参与者的会话认证相关的信息。

图4图示了根据本公开的示例的基于规则和/或条件访问合成文档的安全内容部分的流程图。

在框402中，在示例中，可信代理124从例如安全内容管理器122、工作流参与者120a-n或文档工作流100的其他组件接收针对对合成文档108的访问的请求。

在框404中，可信代理124检索和/或接收规则和条件，例如规则和条件114。如下面关于图5讨论的那样，可以从一个或多个源访问规则和条件。例如，可以将规则和条件嵌入到加密包裹（例如，图1的包裹140）中，可信代理124可以对该加密包裹进行解密。包裹140还可以包括释放令牌（例如，令牌138），如下面关于框412更详细地讨论的那样。

在框406中，可信代理124确定其是否可以在不查询单独的引擎的情况下（例如，在不访问或委托给基于时间约束验证引擎134、基于计数器验证引擎132、基于位置验证引擎130和/或基于会话验证引擎128的情况下）验证针对参与者的规则和条件。如果可信代理124可以不基于内部数据来这样做，则图4的流程前进到框408，在408中，将验证委托给引擎。对可信代理124来说，可以信任或认证受委托的引擎128-134。

在框410中，可信代理124查明或验证参与者是否满足所检索的规则和条件。将理解的是，一个或多个规则和条件可能需要在框410中使用一个或多个可信代理124而满足。如果所有规则和条件被满足，则流程前进到框412，在框412中，可信代理124释放令牌（例如，来自包裹140的密钥映射恢复令牌）给安全内容管理器122，并且参与者被给予对合成文档108或对所请求的安全内容部分的访问。在示例中，密钥映射恢复令牌可以是图1的令牌138，可以是密钥，或者可以是随机生成的长数字，且可能已经在包裹140中存储或传送。

在框414中，在其中规则和条件被满足并且访问被授予的示例中，可信代理124可以进一步监视进行中的规则、条件和/或约束的访问状态。在不再满足任何约束的情况下，例如如果固定访问时间已经到期，那么可信代理124可以通过例如撤销令牌或密钥138来撤回访问。在示例中，参与者可以被给予关于访问的即将发生的撤回的早期警告，以便例如保存对内容部分110a-n或对合成文档108的最新改变。

如果参与者不满足从例如包裹140检索的所组合的规则和条件，则流程前进到框416，在框416中，可信代理124拒绝对内容部分110a-n或对合成文档108的访问。在示例中，如果期望（例如在框418中）的话，在框420中，可以将具有被拒绝的访问的原因的详细消息传送或显示给参与者，诸如无效时间条件或未能满足GPS规则。在其他示例中，对于如框422中描绘的提高的安全性，框418可以确定没有差错将被返回，或者将简单地返回关于可信代理124或安全内容管理器122未授予访问的原因的差错缺乏细节。

在可信代理124或者验证引擎128-134中的一个或多个停机或不可访问的情况下，合成文档108或安全内容管理器122可以被配置成自动禁止访问，允许对某些安全内容部分（例如，对具有某些预设安全性级别或处于某些时间的部分）的临时访问，或者执行某其他默认动作。

图5图示了根据本公开的示例的基于存储在各种位置中的规则和/或条件访问合成文档的安全内容部分的流程图。

在示例中，框502确定规则和条件被存储在何处。在其中规则和条件被存储在合成文档（例如，合成文档108的规则和条件114）中的示例中，可信代理124使用私钥来访问合成文档108，并检索针对特定参与者120a-n的规则和条件，例如规则和条件114。规则和条件可以处于例如包裹140中或可以被包装到包裹140中以随令牌传送到可信代理124。

在其中规则和条件被存储在可信代理124上或已经被发送到可信代理124（例如，由安全内容管理器122）的示例中，可信代理124可以访问本地规则和条件而无需利用密钥访问合成文档108。

在其中规则和条件被存储在外部数据库上的示例中，可信代理124可以查询数据库以基于例如从包裹140检索的文档ID或引用ID来取规则和条件。

图6图示了根据本公开的示例的可被用作用于实现或执行图4和5中描绘的过程中的至少一个的平台的计算设备的示意表示。

各图中阐述的操作中的一些或全部可以作为实用程序、程序或子程序而被包含在任何期望的计算机可读储存介质中，或者被嵌入在硬件上。附加地，操作可以由机器可读指令体现。例如，它们可以以源代码、目标代码、可执行代码或其他格式作为机器可读指令而存在。

计算设备600可以表示包括创作环境106、安全内容管理器122和/或可信代理124的计算设备。设备600可以包括：处理器602，诸如中央处理单元；显示设备604，诸如监视器或其他数字显示器；网络接口606，诸如局域网LAN卡、无线802.11x LAN卡、3G或4G移动WAN或WiMax WAN卡；以及计算机可读介质610。这些组件中的每一个可以操作耦合到总线608。例如，总线608可以是EISA、PCI、USB、火线、NuBus或PDS。

计算机可读介质610可以是参与将指令提供给（一个或多个）处理器602以用于执行的任何合适介质。例如，计算机可读介质610可以是：非易失性介质，诸如光盘或磁盘；以及易失性介质，诸如存储器。传送介质还可以采取声、光或射频波的形式。计算机可读介质610还可以存储其他机器可读指令，包括从网络或互联网下载的指令。

计算机可读介质610还可以存储：操作系统612，诸如Microsoft Windows、Mac OS、Unix或Linux；网络应用614；以及安全内容管理应用616。操作系统612可以是多用户的、多处理的、多任务的、多线程的、实时的等等。操作系统612还可以执行基本任务，诸如：辨别来自输入设备（诸如键盘或键区）的输入；将输出发送到显示器604；保持跟踪介质610上的文件和名录；控制外围设备，诸如驱动器、打印机或图像捕获设备；以及管理总线608上的业务。网络应用614可以包括用于建立和维持网络连接的各种组件，诸如用于实现包括但不限于TCP/IP、HTTP、以太网、USB和火线的通信协议的机器可读指令。

创作环境106、安全内容管理器122和/或可信代理124可以提供用于管理对安全内容的访问的各种机器可读指令，如上所描述。在某些示例中，所执行的过程中的一些或全部可以被集成到操作系统612中。在某些示例中，过程可以至少部分地以数字电子电路、以计算机硬件、以机器可读指令（诸如固件和/或软件）或以其任何组合实现。

本文中已经描述和说明的是本公开的各种示例连同其变形中的一些。本文中使用的术语、描述和图是仅通过说明的方式阐述的，而不有意作为限制。许多变形在本公开的精神和范围内是可能的，其中本公开意图由所附权利要求及其等同物限定，其中所有术语有意在其最宽合理意义上，除非以其他方式指示。

Claims (17)

1.一种访问合成文档的安全内容部分的方法，所述方法包括：

在第一计算机系统上从第二计算机系统接收由至少一个工作流参与者作出的访问合成文档内容部分的至少一个请求；

在所述第一计算机系统上针对所述至少一个工作流参与者从所述合成文档检索至少一个加密包裹；

在所述第一计算机系统上使用私钥来对所述至少一个加密包裹进行解密；以及

在所述第一计算机系统上查明从经解密的包裹检索的至少一个规则是否被满足，

其中，在所述至少一个规则被满足的情况下，所述第一计算机系统将来自经解密的包裹的令牌释放给所述第二计算机系统以访问所述合成文档内容部分。

2.根据权利要求1所述的方法，其中规则包括引用标识符。

3.根据权利要求1所述的方法，其中所述第一计算机系统直接访问所述合成文档以检索所述至少一个加密包裹。

4.根据权利要求1所述的方法，其中所述第一计算机系统从所述第二计算机系统检索加密包裹。

5.根据权利要求1所述的方法，其中所述令牌是密钥映射恢复令牌。

6.根据权利要求1所述的方法，其中所述令牌是密钥映射解密令牌。

7.根据权利要求1所述的方法，其中所述令牌是用于对所述至少一个工作流参与者的密钥映射进行解密的部分密钥。

8.根据权利要求1所述的方法，其中所述第一计算机系统访问验证引擎。

9.一种计算机系统，包括：

内容管理器，从工作流参与者接收访问合成文档内容部分的至少一个请求；

可信代理，从合成文档接收针对所述至少一个工作流参与者的至少一个加密包裹，对加密包裹进行解密，以及确定所述至少一个工作流参与者是否满足至少一个规则；

密钥模块，释放来自经解密的包裹的至少一个令牌；以及

处理器，实现所述内容管理器、所述可信代理和所述密钥模块。

10.根据权利要求9所述的系统，其中规则包括引用标识符。

11.根据权利要求9所述的系统，其中所述可信代理直接访问所述合成文档并检索所述至少一个加密包裹。

12.根据权利要求9所述的系统，其中所述可信代理从工作流参与者检索加密包裹。

13.根据权利要求9所述的系统，其中所述令牌是密钥映射恢复令牌。

14.根据权利要求9所述的系统，其中所述令牌是密钥映射解密令牌。

15.根据权利要求9所述的系统，其中所述令牌是用于对工作流参与者的密钥映射进行解密的部分密钥。

16.根据权利要求9所述的系统，其中所述可信代理访问验证引擎。

17.一种非瞬变计算机可读储存介质，在其上嵌入了计算机程序，所述计算机程序管理对合成文档的安全内容部分的访问，所述计算机程序包括执行下述操作的指令的集合：

从所述合成文档接收针对至少一个工作流参与者的至少一个加密包裹；

使用至少一个私钥来对所述至少一个加密包裹进行解密；以及

查明从经解密的包裹检索的至少一个规则是否被满足，

其中，在至少一个规则被满足的情况下，所述指令将来自经解密的包裹的令牌释放给所述至少一个工作流参与者以访问合成文档内容部分。