CN106575341A - 复合文档访问 - Google Patents

Abstract

根据访问复合文档的示例，接收对于访问复合文档的请求。取出与群组相关联的密钥，并且所述密钥用于解密包括属性的复合文档的一部分。在属性经验证的情况下，提供对复合文档的访问。

Description

复合文档访问

背景技术

数字文档的创建、分布和交换已经变成对于打印文档的通常接受的可替换方案，既用于效率目的也用于环境目的。可以被创建、分布或以其它方式交换的数字文档的示例包括例如电子文字处理文档、电子表格、电子演示、电子绘图、便携式文档格式(PDF)文件以及web(网络)页面，例如HTML、CSS或其它web格式文件。数字文档通常在群组、团队、部门、公司或组织内或者跨群组、团队、部门、公司或组织被共享。

许多数字文档，包括共享的文档，是以不同的文件格式创建的分离的部分的混合或复合。不同的部分可以通过各种机制、包括可共享的文件而被组合在一起。复合文档的一个示例是商业提议文档，包括如JPEG文件的产品图像、如MPEG文件的市场营销视频剪辑、如PPTX文件的PowerPoint演示以及如XLSX文件的财务细节电子表格。复合文档可以通过专门化的软件被创建或更新作为单个可编辑、可浏览、可搜索、可核准、或可使用的文档，并且在全世界分布的用户之间共享。

附图说明

图1图示了根据本公开内容的示例的数字文档访问工作流的简化框图；

图2图示了根据本公开内容的示例的复合文档；

图3图示了根据本公开内容的示例的创建复合文档的流程图；

图4图示了根据本公开内容的示例的访问复合文档的流程图；

图5图示了根据本公开内容的示例的通过使用对称密钥来访问复合文档的流程图；以及

图6图示了根据本公开内容的示例的可以用作用于实现或执行图3-6中所描绘的过程中的至少一个的平台的计算设备的示意性表示。

具体实施方式

复合文档可以是以不同文件格式创建的、可以通过各种机制被组合在一起且跨例如网络环境分布的分离的内容部分的混合或复合。内容部分可以包括各种的以分离文件或可寻址的文件片段的形式的单独可寻址且可访问的部分。在一个示例中，复合文档可以在访问控制的情况下被公开地公布。在另一示例中，复合文档可以在企业内被私有或内部地使用，或者在跨组织、群组、部门或团队的混合工作流中在访问控制的情况下被使用。在一些实施例中，复合文档或内容部分可以被版本化(versioned)。

在其中访问复合文档的用户的数目小并且被预定义的环境中，控制对复合文档的访问可以包括使用针对每个用户的密钥来访问复合文档或内容部分。在这些示例中，密钥的数目可以是可管理的，而没有显著的开销。

在一些环境中，例如其中可以访问文档的用户的数目较大或其中在创建复合文档的时候用户未知或未经定义的公司环境中，通过使用用户的单独的密钥来向每个用户提供访问可能不切实际、不可伸缩或甚至不可能。例如，公司环境中的复合文档可能可被100,000个雇员访问，并且被给予权利访问这样的复合文档或复合文档中的内容部分的雇员可能在每天或甚至每小时的基础上改变。为每个用户使用单独的密钥或被包封在证书中的密钥还将要求增大复合文档的大小和复杂性，并且还将通过要求对大量行的解密直到找到针对特定用户的行为止而降低性能。除了在安全性、代码和用户管理水平上的该开销之外，涉及系统响应性和商业连续性的延迟可能被引入到工作流中。例如，在一些情况中，当大量用户将加入群组或接收对文档的访问时，密钥的处理或其它操作可能延迟。

根据本公开内容中访问复合文档的示例，当接收到对于访问复合文档的请求时，与群组相关联的密钥被取出并且所述密钥被用于对复合文档中的条目表行或复合文档的包含属性的其它部分(下文中“条目表”)进行解密。条目表或文档中所存储的属性被验证，并且在属性经验证的情况中，提供对复合文档的访问。可以被验证或可证实的属性的示例是群组中的成员关系、用户是否能够向系统认证、用户角色、对域服务器的访问、在特定站点的物理存在或位置、从已知IP地址或子网的访问、通过被发布给特定群组的安全设备或加密密钥的认证、或者公司或组织电子邮件地址的所有权。

在一些示例中，私有密钥可以与群组、文档、组织、团队、部门或其它单元(本文中集体为“群组”)相关联，其可以允许较小量的密钥使用来对特定复合文档中的条目表进行解密，如与为每个用户使用单独密钥相对。类似地，私有密钥与多于一个用户的关联可以允许基于例如用户的属性而将用户动态绑定到特定群组、文档、组织或其它单元。

在一些示例中，如以下更详细讨论的，条目表的解密可以包括访问用于解锁复合文档中的密钥映射表的条目表中的至少一个密钥，所述密钥映射表本身可以用于解密复合文档的内容部分。条目表中的密钥仅仅可以通过服务(例如属性验证服务)、在一旦用户已经证实了或验证了诸如在被准许访问复合文档或内容部分的群组中的成员关系之类的属性的情况下被释放。

因此，对复合文档和/或内容部分的访问可以有效地以可伸缩的途径、跨用户和不同用户群组(其具有各种访问级别、各自访问对各种属性进行验证的各种属性验证服务)而被准许。用户还可以在内容部分创建之后的时间(例如当加入群组时)被动态地绑定到群组或文档，并且无需在仅仅通过用户的私有密钥可解密的复合文档条目表中存储单独的条目。

图1图示了根据本公开内容的示例的数字文档工作流的简化框图。应当理解的是，图1中描绘的图解表示一般化的图示并且可以添加其它组件，或者现有组件可以被移除、修改或重布置而不偏离数字文档工作流的总体范围。

在示例中的数字文档工作流可以包括创作(authoring)环境102、复合文档104、访问环境106、属性验证模块或服务108(“属性验证服务”)以及密钥生成和存储模块或服务(“密钥存储服务”)110。

如以下更详细地讨论的，创作环境102、访问环境106、属性验证服务108和密钥存储服务110可以包括单独的或共享的硬件设备，诸如计算机、服务器、数据库、处理器、存储器和/或电路等等，其被配置有机器可读指令以执行数字文档工作流中的各种功能。另外，或可替换地，组件可以包括被存储在计算机可读介质上的机器可读指令。在一些示例中，创作环境102、访问环境106、属性验证服务108和密钥存储服务110可以经由因特网、云服务或其它网络而被连接，如以下更详细地讨论的。

在示例中，创作环境102可以对数字文档的内容部分进行封装、加密和签名，使得结果产生的安全内容部分在没有适当密钥的情况下不能被访问。更具体地，创作环境102可以生成或请求加密和签名密钥以对复合文档中的内容部分和/或条目表行进行加密和签名。

在一些示例中，创作环境102可以允许创建或编辑属性，所述属性用于控制对复合文档或内容部分的访问，如以下更详细地讨论的。创作环境102还可以允许选择或编辑与特定复合文档或内容部分相关联的属性验证服务或密钥存储服务，也如以下更详细地讨论的。

在示例中，访问环境106可以包含或包括前端软件工具或图形用户接口(“GUI”)以用于访问复合文档104。访问环境106可以运行在用户的计算设备上，所述计算设备诸如例如个人计算机、台式计算机、膝上型计算机、平板设备、个人数字助理、蜂窝电话、智能电话或消费性电子设备。访问环境106可以被运行为软件、服务或者软件和服务的组合。

在示例中，访问环境106可以接收复合文档104并且将属性验证请求转发到属性验证服务108，如以下更详细地讨论的。

属性验证服务108可以包括硬件和/或软件来验证或确认与在访问环境106上请求对复合文档或内容部分的访问的用户相关联的至少一个属性。例如，属性验证服务108可以确定群组中的成员关系；用户是否能够向系统认证；用户角色；对域服务器的访问；在特定站点处的物理存在；从已知IP地址的访问；通过被发布给特定群组的安全设备或加密密钥的认证；公司或组织电子邮件地址的所有权；以及其它属性和/或因子。在一些情况中，属性验证服务108可以将属性验证委托给第三方服务，诸如社交媒体网络。属性验证服务108可以存储对于在内部做出这样的确定所需要的信息，或可以与外部源(例如电子邮件服务器、由组织所维护的Windows域访问控制系统、基于LDAP的认证服务或者基于云的服务角色/标识服务)通信。

在示例中，一旦属性验证服务108已经验证了用户属性，属性验证服务108就可以与密钥存储服务110通信。如以下更详细地讨论的，密钥存储服务110可以包含例如被指派给群组、文档、组织、部门、团队或单元的公共和私有密钥。

图2图示了根据本公开内容的示例的复合文档。在示例中的内容部分202a-n可以表示复合文档102内单独可寻址或可分离的元素。例如，内容部分202a-n可以是文件、文件的组合和/或文件的片段，并且在一个内容部分中的元素可以跨文档工作流而共享相同的访问控制。

密钥映射表204可以包括在按用户或按群组的基础上、或用于用户和群组密钥二者的相应密钥映射条目中包含的密钥。密钥映射表204还可以包括用户或群组标识符，其可以是随机的或顺序的并且其匹配条目表208中的对应标识符。密钥映射表204还可以包括部分ID。密钥映射表204中的密钥可以使得用户和/或群组能够实现对内容部分202a-n的各种级别的访问。

属性验证表206可以包括对将用于访问复合文档所需要的属性验证的属性验证服务的指针、统一资源标识符或统一资源定位符。属性验证服务206可以由文档主控装置(master)基于群组的每个成员的服务可访问性、提供所指定的属性的可靠验证的能力或者其它参数和偏好来被选择。例如，位于Palo A1to(帕洛阿尔托)的Microsoft Exchange(微软交换)服务器可以用于验证“California(加利福尼亚)”群组中的雇员的群组。在一些示例中，属性验证服务可以由访问环境已知或由访问环境选择。在这样的情况中，可以使得表206中的属性验证服务指针为空值。在一些示例中，属性验证指针206可以被签名以防止伪造、“网络钓鱼”尝试、电子欺骗、链接操纵和其它活动。在一些示例中，指针206可以是模糊的或缩短的链接。

条目表208可以包括至少一个密钥，例如对称密钥，其用于对复合文档中的密钥映射表中的条目进行解锁。条目表208还可以包括针对特定的用户或群组的待验证的一个或多个属性，如以下更详细地讨论的。条目表208还可以包括用户或群组标识符，其可以是随机的或顺序的并且其可以匹配密钥映射表204中的对应标识符。

签名表210可以包括签名以对复合文档或复合文档内的表进行数字签名。

图3图示了根据本申请的示例的创建复合文档的流程图。在框302中，在一些示例中，在创作环境或其它工具上创建、更新或编辑复合文档。

在框304中，在示例中，创作环境102或其它工具从属性验证服务108请求生成公共和私有密钥对，并且从属性验证服务108接收公共密钥。在一些示例中，创作环境102可以在内部生成或导入公共和私有密钥。

在框306中，创作环境102或其它工具将验证属性写入到复合文档104的条目表208。在一些示例中，用户或创作环境102可以确定通过被准许访问一个或多个内容部分的特定群组的每个成员可证实的一个或多个可靠属性。在其它示例中，创作者可以确定将使用的一个或多个属性。在一些示例中，框306还可以确定属性验证服务指针或将其写入到属性验证表206。

在框308中，在示例中，通过使用公共密钥来加密条目表208。在一些示例中，还可以采用混合加密，其中创建对称密钥，并且通过公共密钥来加密对称密钥。经加密的对称密钥然后可以被置于条目表行中，并且条目表的其余的行、包括待验证的属性以及密钥映射表中对应的条目可以通过对称密钥来被加密。在其中创作环境102已经生成了密钥对的示例中，创作环境102可以安全地将私有密钥或者公共和私有密钥二者传输到属性验证服务108。

图4图示了根据本公开内容的示例的访问复合文档的流程图。在示例中，用户在访问环境106上请求对复合文档的访问，所述访问环境106确定属性验证并且确认属性验证表206的可靠性。在成功验证了属性验证表206和/或复合文档的其它部分之后，对访问文档的请求从访问环境106被发送到属性验证服务108并且在框402中被接收。

在一些示例中，属性验证服务108可以基于复合文档102中的属性验证表206中存储的数据而被确定，或者可以由访问环境106已知或由访问环境106确定。

在框404中，属性验证服务108然后可以取出被指派给复合文档的私有密钥，所述私有密钥如以上所讨论的可能已经通过属性验证服务108生成或者在另一服务或服务器上生成并且被存储在属性验证服务108和/或密钥存储装置110上。标识符可以用于关联复合文档与私有密钥。

在框406中，属性验证服务108然后可以使用私有密钥来解密针对所请求的复合文档或内容部分的条目表行，其可以包括待验证的属性和/或针对密钥映射表行的对称密钥。在一些示例中，属性验证服务108可以在访问环境106上访问条目表208，而在其它示例中，访问环境106可以将条目表208传输到属性验证服务108。

在一些示例中，属性验证服务108可以循环通过条目表行直到行能够被解密为止。在一些示例中，属性验证服务108可以将框404和406的取出和解密步骤委托给另一服务器或服务。

在框408中，条目表中的一个或多个属性被验证，如以上所讨论的。框408还可以包括在验证过程期间的用户交互，诸如提示用户供应对于验证属性而言所需的信息。例如，可以生成提示、电子邮件或文本消息，其需要用户交互，诸如输入被发送给用户以验证属性的代码。

如果在框410中不能验证属性，则在框414中拒绝对所请求的内容部分或复合文档的访问。如果在框410中验证了一个或多个属性，则在框412中通过使用从条目表中提取和解密的对称密钥来提供对内容部分或复合文档的访问。

图5图示了通过使用对称密钥来访问复合文档的流程图。更具体地，图5图示了如以上关于框412所讨论的通过使用对称密钥来提供对内容部分的访问的三个使用情况。

在框504中，在第一示例中，属性验证服务108通过安全通信信道或以加密的形式将对称密钥发送回到访问环境106。访问环境106在框506中可以使用对称密钥来解密密钥映射表204，其可以释放至少一个内容部分密钥来解密复合文档的内容部分。

在框508中，在第二示例中，属性验证服务108从访问环境106请求密钥映射表204，在框510中使用从条目表中提取和解密的对称密钥来解密密钥映射表204。访问环境106然后在框512中释放至少一个内容部分密钥以解密复合文档的内容部分。

在框514中，在第三示例中，属性验证服务108从访问环境106请求复合文档。在框516中，属性验证服务108使用对称密钥来解密密钥映射表204并且访问内容部分，并且在框518中将经解密的文档或部分发送回到访问环境106。

图6图示了根据本公开内容的示例的可以用作用于实现或执行图3-6中所描绘的过程中的至少一个的平台的计算设备的示意性表示。

图中阐明的操作中的一些或全部可以作为应用(utility)、程序或子程序而被包含在任何期望的计算机可读存储介质中，或嵌入在硬件上。另外，可以通过机器可读指令来体现操作。例如，它们可以作为机器可读指令而存在于源代码、对象代码、可执行代码或其它格式中。

计算设备600可以表示包括创作环境102、访问环境106、属性验证服务108和密钥存储装置110的设备。设备600可以包括处理器602，诸如中央处理单元；显示设备604，诸如监视器或其它数字显示器；网络接口606，诸如局域网LAN卡、无线802.11x LAN卡、3G或4G移动WAN或WiMax WAN卡；以及计算机可读介质610。这些组件中的每一个可以操作地耦合到总线608。例如，总线608可以是EISA、PCI、USB和/或火线。

计算机可读介质610可以是参与将指令提供给(多个)处理器602用于执行的任何合适介质。例如，计算机可读介质610可以是非易失性介质，诸如光盘或磁盘；以及易失性介质，诸如存储器。传输介质还可以采取声学、光或射频波的形式。计算机可读介质610还可以存储其它机器可读指令，包括从网络或因特网下载的指令。

计算机可读介质610还可以存储操作系统612，诸如Microsoft Windows、Mac OS、Unix或Linux；网络应用614，诸如网络接口和/或云接口；以及安全内容管理应用616。操作系统612可以是多用户、多处理、多任务化、多线程、实时等等的。操作系统612还可以执行基本任务，诸如识别来自输入设备、诸如键盘或小键盘的输入；将输出发送到显示器604；在介质610上记录文件和目录；控制外围设备，诸如驱动器、打印机或图像捕获设备；以及管理总线608上的业务。网络应用614可以包括用于建立和维护网络连接的各种组件，诸如用于实现包括但不限于TCP/IP、HTTP、以太网、USB和火线的通信协议的机器可读指令。

创作环境102、访问环境106、属性验证服务108和密钥存储装置110可以提供各种机器可读指令用于管理对安全内容的访问，如上所述。在某些示例中，所执行的过程中的一些或全部可以被集成到操作系统612中。在某些示例中，过程可以至少部分地被实现在数字电子电路中、计算机硬件中、机器可读指令(诸如固件和/或软件)中，或其任何组合中。

在本文中已经描述和图示的内容是本公开内容的各种示例连同其变型中的一些。本文中所使用的术语、描述和图仅仅作为说明被阐明并且不意图作为限制。在本公开内容的精神和范围内许多变型是可能的，其中本公开内容意图通过以下权利要求及其等同物来被限定，其中所有术语以其合理的最宽意义来意指，除非另行指示。

Claims (15)

1.一种访问复合文档的方法，包括：

接收对于访问复合文档的请求；

取出与群组相关联的密钥；

使用所述密钥来解密包括属性的复合文档的一部分；以及

验证所述属性，

其中在属性经验证的情况下，提供对复合文档的访问。

2.根据权利要求1所述的方法，其中所述密钥此外与复合文档相关联。

3.根据权利要求1所述的方法，其中所述密钥被存储在用于验证属性的服务器上。

4.根据权利要求1所述的方法，其中所述复合文档包括对称密钥。

5.根据权利要求1所述的方法，其中提供对复合文档的访问包括提供对复合文档的至少一个内容部分的访问。

6.根据权利要求1所述的方法，其中提供对复合文档的访问包括将对称密钥发送到访问环境以解密密钥映射，以及释放密钥。

7.根据权利要求1所述的方法，其中提供对复合文档的访问包括从访问环境请求密钥映射表，使用对称密钥来解密密钥映射表，并且将密钥释放到访问环境。

8.根据权利要求1所述的方法，其中提供对复合文档的访问包括从访问环境请求复合文档，使用对称密钥来解密密钥映射表和访问至少一个内容部分，并且将至少一个经解密的内容部分发送到访问环境。

9.一种计算机系统，包括：

复合文档；

属性验证服务；以及

实现所述属性验证服务的至少一个处理器，

其中所述属性验证服务将接收对访问复合文档的请求，取出被存储在所述属性验证服务上的与群组相关联的私有密钥，使用所述密钥来解密包括属性的复合文档的一部分，验证所述属性，并且通过使用对称密钥来提供对复合文档的访问。

10.根据权利要求9所述的系统，其中所述私有密钥通过所述属性验证服务生成。

11.根据权利要求9所述的系统，其中所述复合文档包括对称密钥。

12.根据权利要求9所述的系统，其中所述属性验证服务将把对称密钥发送到访问环境，指示所述访问环境解密密钥映射表，并且释放密钥。

13.根据权利要求9所述的系统，其中所述属性验证服务将使用对称密钥来解密密钥映射表并且将密钥释放到访问环境。

14.根据权利要求9所述的系统，其中所述属性验证服务将从访问环境请求复合文档，使用对称密钥来解密密钥映射表，访问复合文档中的至少一个内容部分，并且将至少一个经解密的内容部分发送到访问环境。

15.一种其上嵌入了计算机程序的非暂时性计算机可读存储介质，所述计算机程序管理对复合文档的访问，所述计算机程序包括指令集用以：

接收对访问复合文档的请求；

取出与群组相关联的密钥；

使用所述密钥来解密复合文档中的条目表行；以及

验证所述条目表中存储的属性，

其中，在属性经验证的情况下，通过使用至少一个对称密钥来提供对复合文档的访问。