CN106998331B - 支持系统中的安全通信的实施 - Google Patents

支持系统中的安全通信的实施 Download PDF

Info

Publication number
CN106998331B
CN106998331B CN201710256404.0A CN201710256404A CN106998331B CN 106998331 B CN106998331 B CN 106998331B CN 201710256404 A CN201710256404 A CN 201710256404A CN 106998331 B CN106998331 B CN 106998331B
Authority
CN
China
Prior art keywords
guest operating
operating system
secure
hypervisor
computer
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201710256404.0A
Other languages
English (en)
Other versions
CN106998331A (zh
Inventor
G·B·罗斯
E·D·克拉恩
G·D·贝尔
E·J·布兰德怀恩
N·R·费奇
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Amazon Technologies Inc
Original Assignee
Amazon Technologies Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Amazon Technologies Inc filed Critical Amazon Technologies Inc
Publication of CN106998331A publication Critical patent/CN106998331A/zh
Application granted granted Critical
Publication of CN106998331B publication Critical patent/CN106998331B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/602—Providing cryptographic facilities or services
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/606—Protecting data by securing the transmission between two devices or processes
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/445—Program loading or initiating
    • G06F9/44505—Configuring for program initiating, e.g. using registry, configuration files
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0209—Architectural arrangements, e.g. perimeter networks or demilitarized zones
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/166—Implementing security features at a particular protocol layer at the transport layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G06F2009/45587—Isolation or security of virtual machine instances
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q30/00—Commerce
    • G06Q30/06—Buying, selling or leasing transactions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0471—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload applying encryption by an intermediary, e.g. receiving clear information at the intermediary and encrypting the received information at the intermediary before forwarding

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Software Systems (AREA)
  • Computing Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • General Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Health & Medical Sciences (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Storage Device Security (AREA)
  • Telephonic Communication Services (AREA)

Abstract

本申请涉及支持系统中的安全通信的实施。根据本申请的一种支持系统，其代表多个客户系统使用与所述客户系统相关联的一组凭证来协商安全连接。该安全连接的操作对客户系统可以是透明的，使得客户系统可以发送和接收由诸如管理程序的支持系统加密或解密的消息。由于支持系统是在客户系统与目标之间，所以支持系统可以充当到安全连接的本地端点。消息可以由支持系统更改以向客户系统指示哪些通信是安全的。凭证可以由支持系统管理，使得客户系统不需要访问凭证。

Description

支持系统中的安全通信的实施
本申请是国际申请日为2012/9/28，国际申请号为PCT/US2012/057918，进入中国国家阶段的申请号为201280047648.3，题为“支持系统中的安全通信的实施”的发明专利申请的分案申请。
技术领域
本申请涉及安全通信技术。
背景技术
适当地配置安全通信在许多情况下会是困难的。例如，可以在操作系统中配置安全通信协议，诸如安全套接层(SSL)和传输层安全性(TLS)协议。在操作系统内配置协议可能需要配置来自认证机构的证书和/或形成安全通信基础的密钥对。不仅操作系统的这样的配置会是困难的，而且各协议实施、操作系统和/或应用对于访问安全通信可能具有不同的配置要求，诸如加密功能。不仅区别配置要求可能难以实施，而且如果操作系统或应用尚未被适当地硬化，则凭证和/或私人密钥可能处于由侵入者通过服务器泄露而丢失的危险。因为私人密钥可能由侵入者使用，所以私人密钥的丢失导致安全通信的加密优势丧失信任。
从操作系统配置来卸载加密的尝试已经导致若干应用编程接口。例如，已经在虚拟机中使用公共密钥加密标准PKCS#11来暴露密码原语(cryptographic primitive)，而不将密钥本身暴露于客户操作系统。然而，因为不同的软件对于使用PKCS#11可能具有不同的要求，所以解决方案难以配置。虽然已经采用各种技术有效地简化对安全通信的使用，但是由于任务的复杂性，所以所采用的技术具有不同的成就。
附图说明
图1示出根据至少一个实施方案的到客户操作系统的安全通信消息流的说明性实例；
图2示出根据至少一个实施方案的可以被用来实现虚拟环境中的安全通信的过程的说明性实例；
图3示出根据至少一个实施方案的可以被用来接收虚拟环境中的安全通信的过程的说明性实例；
图4示出根据至少一个实施方案的可以被用来发送虚拟环境中的安全通信的过程的说明性实例；
图5示出根据至少一个实施方案的可以被用来准备安全通信的虚拟机的过程的说明性实例；
图6示出根据至少一个实施方案的可以被用来配置安全通信的网页的说明性实例；
图7示出根据至少一个实施方案的由在服务提供商内的支持系统进行的对凭证的转移和使用的说明性实例；以及
图8图示其中各实施方案可以被实施的环境。
具体实施方式
在以下描述中，将描述各种实施方案。为了解释的目的，阐明特定配置和细节以便提供对这些实施方案的透彻理解。然而，对于本领域的技术人员显而易见的是可以在没有特定细节的情况下实践这些实施方案。另外，可能省略或简化众所周知的特征，以免使所描述的实施方案晦涩难懂。
本文所描述和建议的技术包括用于在代表客户操作系统的支持系统中实施安全通信的系统和方法。例如，在虚拟环境中诸如管理程序(hypervisor)的支持系统可以代表客户操作系统在主机上一个或多个客户操作系统之间对通信进行协商、加密和解密。除在管理一个或多个客户操作系统中的正常职责之外，管理程序还可以处理目标计算系统和客户操作系统之间的消息。管理程序可以使用识别客户操作系统的凭证来生成和保存与目标计算系统的安全通信信道。在安全通信信道打开时，管理程序可以为各安全通信会话存储相关联的密钥、机密信息和其它状态信息。通过检查各传入(incoming)或传出(outgoing)通信的路由，管理程序可以匹配可以被用来处理通信(诸如，对通信加密或解密)的状态。由管理程序处理消息可以允许安全通信对客户操作系统透明。例如，客户操作系统可以通过虚拟驱动器发送解密的消息，所述解密的消息由管理程序捕捉并且在离开主机之前被加密。通过提供安全通信，管理程序可以保护客户操作系统的机密免受客户操作系统的危害，以及减轻配置客户操作系统的负担。安全通信也可以提供消息完整性、真实性和/或保密性的益处。
图1图示根据至少一个实施方案的其中可以执行支持系统中的安全通信的实施的环境100的实例。物理机器104上的管理程序102可以对客户操作系统106提供服务。客户操作系统106可以发送消息和从其它计算设备接收消息，所述其它计算设备包括膝上型计算机108、台式计算机110和移动装置112(包括移动电话)。例如，图2-4示出可以被用来发送和/或接收安全消息的过程的说明性实例。管理程序102可以与计算设备108、110、112协商安全连接并且保存与各安全连接相关联的状态信息114。明文消息120(或由在客户操作系统106内运行的高级应用程序加密的消息)可以由客户操作系统106发送并且由管理程序102捕捉。管理程序102可以使用与客户操作系统106和目标计算设备相关联的状态信息114以根据明文消息120准备安全消息122。然后，安全消息122可以被发送至它们的目标计算设备108、110、112。
传入安全消息也可以由管理程序处理。传入安全消息122可以由管理程序检查以确定目标客户操作系统和源计算设备108、110、112。然后，使用所确定的目标和来源，管理程序102可以使用相关联的状态信息114来准备明文消息120和/或验证安全消息122的完整性。然后，明文消息120可以被发送至客户操作系统106。
虽然管理程序102已经被论述为用于客户操作系统的支持系统的实例，但是其它配置也可以是可能的，包括其它硬件和/或软件实施方式。管理程序可以被视为虚拟化支持系统，包括
Figure GDA0002431112720000031
系统中的Dom0、Hyper-V系统中的母分区和由虚拟化系统提供给客户操作系统的服务。在一个实施方案中，可以使用安全部件，诸如加密处理器或硬件安全性模块(HSM)。取决于多个客户操作系统106是否由HSM支撑，管理程序可以促进与HSM和客户操作系统通信。例如，管理程序102可以通过客户操作系统目标将安全消息路由至HSM。然后，从HSM接收的明文消息可以由管理程序102接收并且被路由至客户操作系统106。在另一个实施方案中，支持系统可以是虚拟驱动器。通过使用基于哈希消息验证代码(HMAC)和加密，虚拟驱动器可以提供安全连接的益处，诸如消息完整性、真实性和保密性。例如，由客户操作系统使用虚拟驱动器可以指示对安全连接的使用。驱动器可以签署HMAC和加密传出消息。HMAC可以证明消息完整性和权威性，因为仅私人密钥的持有者可以签署消息，签署也通过哈希函数验证消息的完整性。已经加密，消息也可以是合理推测的机密。在另一个实施方案中，一个或多个支持系统可以为客户系统提供安全通信，所述客户系统例如具有在计算机系统的硬件上直接运行的操作系统的计算机系统。例如，支持系统可以是代表可以是其它计算资源的客户系统接收消息的计算资源。计算系统可以从客户系统接收明文消息并且对将由安全协议发送的消息进行处理。接收的消息可以被处理并且被以明文发送至目标客户系统。一个优势可以是，客户系统可以受到保护免受访问凭证。例如，客户系统可能不可以直接访问凭证，除非用户选择一个设置来允许直接访问凭证。在一些实施方案中，仅服务提供商可以访问凭证；客户系统不可以。
由于明文消息不离开信任边界，所以在至少一些情况下，消息仍然可以被视为安全的。信任边界可以由其中所有子系统是可信的系统来限定。由于明文消息在物理机器边界中或通过到HSM的可信的连接被准备，所以明文消息可以不离开可信的计算设备(包括网络设备)的边界。如果客户操作系统被视为不如支持系统安全，诸如情况可能是不断发展的应用或系统，则机密可以实际上被视为在支持系统更加安全。例如，应用可能具有由侵入者可利用的弱点，该弱点允许侵入者到客户操作系统中。然而，由于私人信息由管理程序存储，所以私人信息(诸如私人密钥)是侵入者不可访问的，因为客户操作系统不可访问私人信息。在一些实施方案中，由于管理程序和其它计算资源可以由机构(entity)管理，所以用户仅可以访问客户操作系统。如果机构在硬化系统中比用户经验更多，则用户可能希望机构来管理私人信息和安全连接。
可以通过将安全通信的责任从客户操作系统移动到支持系统(诸如，管理程序)来实现若干优势。例如，安全通信可以独立于操作系统。由于安全通信实施是在管理程序中，所以各种版本和品牌的客户操作系统可以利用安全通信。安全通信协议的版本可以以对客户操作系统更小的潜在影响在管理程序中被更新。可以以安全通信配置或冲突的更小的潜在附加复杂性来更新客户操作系统。通过在支持系统中实施，自动化可以变得更加实际。由于管理程序的配置可以是在诸多主机之间(across hosts)相类似的(倘若并非是相同的)，尽管在客户操作系统中存在差异，自动化需要仅针对管理程序。因为服务器的管理者将不必学习如何手动地配置服务器，所以安全通信诸如SSL和/或TLS的自动化配置可能是期望的。由于自动化，实现SSL/TLS和/或再循环证书和其它机密的应用编程接口(API)自动化也可以被实现。通过自动化，安全通信可以以最低的配置变得对开发者更加透明，因以明文发送的消息由支持系统而不是由客户操作系统保护。例如，开发者将仅需要指挥应用使用通信信道通信来请求安全通信，所述通信信息诸如在客户操作系统上可见的驱动器、适配器、IP地址或端口。诸如管理程序的支持系统可以通过信道接收消息并且实施与由客户操作系统上的应用指定的目标设备的安全通信。将安全通信功能移动至支持层的其它优势包括但不限于，在没有任何应用特定的重配置或改变的情况下对协议升级的能力(加密灵活性)、以及在没有操作系统或应用特定支持的情况下以标准方式利用(leverage)任意硬件加密加速器的能力。
在一个实施方案中，如可以在图1中看到的，主机上的管理程序可以代表客户操作系统通过安全通信过程200保护通信。一些或所有的过程200(或本文中所描述的任意其它过程或变型和/或其组合)可以在配置有可执行指令的一个或多个计算机系统的控制下被执行，并且可以被实施为由硬件在一个或多个处理器上总体地执行的代码(例如，可执行指令、一个或多个计算机程序或一个或多个应用)或其组合。代码可以存储在例如以包括由一个或多个处理器可执行的多个指令的计算机程序的形式的计算机可读存储介质上。计算机可读存储介质可以是非暂态的。
管理程序可以接收传入消息201。如果消息需要202进一步的安全性处理，管理程序可以接收203如与客户操作系统和外部计算系统安全通信的请求的请求。另外，管理程序可以转发222未加处理的消息。管理程序可以代表客户操作系统使用客户操作系统凭证(诸如，IP地址、密钥和/或证书信息)来协商204安全协议。与协议相关的信息及其状态，诸如交换的密钥、机密和其它状态数据，可以被存储206并且与客户操作系统相关联。然后，消息可以由管理程序从外部计算系统和/或客户操作系统接收208。如果消息被传入210，则管理程序可以确定212客户操作系统目标和外部计算系统源。使用目标和来源，管理程序可以查阅状态信息和客户操作系统凭证以便解密214和验证传入消息。验证可以验证消息的完整性和真实性。然后，明文消息可以被发送216至客户操作系统。如果通信完成218，则管理程序可以通过终止到外部计算系统的通信链路和删除相关联的状态信息来结束通信220。如果通信未完成218，则系统可以等候更多消息208。
如果从客户操作系统210接收明文传出消息，则管理程序可以使用客户操作系统源连同相关联的消息目标来检索224状态信息。使用状态信息，管理程序可以利用HMAC加密226和/或签署明文传出消息。然后，加密传出消息可以被发送至目标228。如果通信完成218，则管理程序可以终止会话220。否则，管理程序可以等候下一个消息208。
若干优势可以在图2中所示的过程200中获得。新传入安全通信消息对客户操作系统可以是透明的。利用新传入通信，管理程序可以与请求的始发人协商，而不联系目标客户操作系统。一旦管理程序已经完成协商，则安全消息就可以在始发人和客户操作系统之间被输送。可以访问各客户操作系统的凭证的单个管理程序也可以对多个客户操作系统提供服务。各客户操作系统可以具有其自身的凭证，诸如证书、IP地址、密钥和其它各种信息。这些凭证可以分散到(resolve to)由管理程序控制的物理主机。由于管理程序充当客户操作系统和外部世界之间的网关，所以管理程序可以代表各个客户操作系统协商，无需由外部系统参与协商的配置或知识。例如，传入通信可以通过硬件接口进入。管理程序可以接收从硬件接口接收通信并且确定通信是安全通信。使用客户操作系统的凭证，管理程序可以步进到客户操作系统的角色来生成并且维持安全连接。由于管理程序可以总是到客户操作系统的路由的部分，所以使用安全连接的计算设备可能不能辨别管理程序正在协商并且保护代表客户操作系统的消息。
管理程序的配置可以包括选择用于传出和传入安全连接的选项。在一个实施方案中，管理员可以在多个选项之间选择以便确定哪个通信应被保护，诸如：保护所有的连接，限定安全和不安全的端口，自动检测消息是否被视为安全的，限定安全和不安全的IP地址，以及限定安全和不安全的适配器。例如，端口22和端口80上的网络通信量可以被视为不安全的，但是端口443上的通信量可能被保护。在另一个实施方案中，客户操作系统可以具有两个IP地址。其中IP地址可以用来接收不安全的消息，而第二地址可以指示管理程序形成和维持安全连接。管理程序可以确定通信是否由明晰的或隐含的信息保护。在一个实施方案中，传入网络通信量可以诸如通过检查含蓄地被限定。例如，如果输入信息通过诸如SSL/TLS的协议显示为安全的，则管理程序可以使用确定的安全协议。在另一个实施方案中，传入网络通信量可以被明确地限定，诸如通过指定的端口或IP地址的通信量。
转向图3，其图示可以由计算机系统(诸如，图1的物理机器104)执行的过程。在一个实施方案中，主机上的管理程序可以处理通过接收处理300接收的安全消息。管理程序可以接收302传入消息。如果消息不是安全消息304并且消息是306安全通信控制消息，则接着可以是安全通信控制过程。控制消息的实例可以包括信号交换或重新协商。管理程序控制过程可以确定308目标客户操作系统以使用协商中的客户操作系统凭证。发送者可以被确定310为与状态信息相关联。使用所确定的信息，管理程序可以与代表客户操作系统发送者协商312安全连接的任何改变或安全连接的准备。新的且经修改的状态信息可以被保存并且与客户操作系统和发送者相关联314。在另一个实例中，管理程序可以截取请求以重新建立安全连接。使用保存的状态信息，诸如会话信息，通信可以继续。
如果消息是304安全的消息，则管理程序可以通过确定316客户操作系统目标和确定318发送者信息来开始消息接收过程。使用目标和发送者信息，管理程序可以查阅相关联的状态信息。使用状态信息，管理程序可以对消息解密320和/或验证。然后，解密的消息可以被发送322至客户操作系统。假定解密322和/或验证未通过，管理程序可以对故障做出反应，诸如请求另一个消息，报告故障，终止连接和/或重新协商连接。
如果消息被确定304为不是安全消息并且被确定306为不是安全通信控制消息，则消息可以被视为324不安全的消息。取决于用户设置，不安全的消息可以或可以不被允许。在一些实施方案中，可以拒绝所有不安全的消息。在其它实施方案中，可以将不安全的消息提供给不安全的消息处理过程。例如，管理程序可以确定，限定客户操作系统上的端口的所有消息可能是安全的，而其它限定端口可以接收不安全的消息。在一个实施方案中，规则也可以与防火墙协调，使得不安全的消息路由被挡在可信的网络的外部，而安全的消息可以被允许通过防火墙。
转向图4，其图示可以由计算机系统(诸如，图1的物理机器104)执行的过程。如在该图中所示，当从客户操作系统接收消息时，在主机上的管理程序可以使用安全发送过程诸如发送过程400。管理程序可以从客户操作系统接收402传出消息。如果消息不是406目前安全连接的部分，但是需要408安全连接，则安全连接可以被协商。例如，可能需要建立或重新协商安全连接。使用客户操作系统的凭证，安全连接可以由管理程序代表客户操作系统协商410。连接的状态可以被存储412为与客户操作系统和安全连接的接收者相关联。要么在操作412之后已经准备安全连接或具有当前连接406，可以使用状态信息来对接收的消息414加密。然后，加密消息可以被发送416至接收者。在一些实施方案中，不安全的消息可以被允许，其既不具有目前安全连接406也不需要安全连接408。根据用户设置，不安全的消息可以因此被处理418。在一个实施方案中，所有的通信必须是安全的。任意不安全的通信可能被放弃和/或引发错误。
管理程序可以确定消息的发送是否应被保护。管理程序可以明确地或含蓄地确定对安全通信的需要。例如，如果连接当前通向目标计算系统，则与目标通信可以被含蓄地假定为使用安全通信。在另一个实例中，各传入消息可以被检查，使得显现为安全的或需要被保护的消息可以由管理程序处理。在一些实施方案中，所有的传出通信被假定为安全的。在另一个实施方案中，客户操作系统可以通过API调用来请求由目标开启的新的安全通信信道。另外，通信可以通过正常通信信道。在其它实施方案中，客户操作系统可以使用诸如驱动器、虚拟适配器、IP地址或端口通信信道来明确地选择安全通信由。
因此，支持系统，诸如管理程序，可以确保多个计算设备和主机上的多个客户操作系统之间的连接。可以适应对安全连接的初始传入和初始传出请求两者。使用分配给客户操作系统的凭证，支持系统可以代表客户操作系统在产生和维持安全连接中起作用。支持系统可以使用通信信道来为各个客户操作系统确定哪个通信安全或通过。在一个实施方案中，支持系统可以修改消息标头，诸如HTTP标头，以指示通信是通过安全连接被接收的。
管理程序可以驻留在主机系统中，位于数据平面内，其可以由控制平面管理。改变的请求可以由控制平面接收并且在数据平面中的计算资源上被执行。例如，如在图5中看到的，用户可以请求控制平面来实现在计算资源上的安全通信。控制平面可以接收502来自用户的请求。作为响应，控制平面可以生成密钥并且请求504为计算资源颁发的凭证。证书信息可以被输送至计算资源的支持系统(诸如管理程序)以便当被需要时安装、存储506和使用。然后，使用用户提供的设置，安全通信可以被实现508。
用户指定的配置可以通过多个信道接收，所述多个信道包括API调用、应用和网络位置。用于在支持系统中配置安全通信的网站600的实例在图6中示出。网站600可以由网络浏览器602访问。网站可以包含当前配置信息(诸如，服务器604的名称)、当前证书信息606和当前安全协议配置信息608。作为值的交换，添加安全通信的报价610可以作为对用户的服务被提供。用户可以在多个选项612之间选择以配置安全通信服务。在示出的实施方案中，用户可以在多个选项之间选择以配置哪个通信应是安全的。这些选项包括总是使用安全通信，仅使用安全通信的特定端口，自动检测安全通信，为安全通信使用特定IP地址或通过虚拟以太网适配器。若需要，则用户也可以请求通过修改消息(诸如，HTTP标头)来保护通信的指示。然后，用户可以点击按钮616来实现在选定的客户操作系统上的安全通信。在示出的实施方案中，安全通信在被设置的过程中。进程指示器618可以指示使得管理程序能够代表选定的客户操作系统安全通信的自动设置过程的进展。
在用户点击按钮616以实现安全通信之后，控制平面可以开始为选定的客户操作系统建立安全通信的过程。例如，控制平面可以接收请求以为客户操作系统设置安全通信。控制平面可以生成代表客户操作系统的公共/私人密钥对。使用关于客户操作系统和公共密钥的识别信息，控制平面请求颁发给客户操作系统的数字凭证。然后，控制平面可以将安全通信设置信息(诸如，数字凭证、密钥和其它安全信息)通过可信的网络输送至管理程序。管理程序可以代表客户操作系统存储安全设置信息以便在准备安全通信中使用。一旦完成，管理程序可以通知控制平面设置已经完成。然后，控制平面可以通知用户，设置已经完成并且安全通信可以被实现。在一些实施方案中，该过程可以通过点击按钮616运行，而无需进一步用户干预。在其它实施方案中，可以允许用户干预，诸如输入数字凭证和/或密钥对信息，而不是为用户生成所述数字凭证和/或密钥对信息。
服务提供商712可以通过使得支持系统能够截取和保护至客户系统706、728的通信和来自客户系统706、728的通信来实现安全通信。客户系统的实例可以包括物理计算机系统，该物理计算机系统包括直接在物理计算机系统的硬件上运行的操作系统，并且服务提供商凭证生成和使用700的实例可以在图7中看到。客户通过计算资源702可以请求在由客户维持的客户系统706上实现安全通信。在控制平面内服务器704可以接收实现安全通信的请求并且生成请求以便为客户系统706生成凭证710。控制平面可以管理数据平面(诸如，客户系统706)中的计算资源。凭证生成器708可以生成和设置凭证710。该凭证生成可以包括联系证书机构以获得有效的数字证书。在接收凭证710之后，服务器704可以将凭证发送至对客户系统706的安全通信负责的支持系统。在一个实施方案中，支持系统可以是网络设备，诸如，网络连接安全部件718。在图7所示的实施方案中，网络连接安全部件718被包含在开关716内，尽管网络连接安全部件718可以在其它实施方案中独立存在。网络连接安全部件718可以接收凭证710和配置以保护到达客户系统706的通信和起源于客户系统706的通信。例如，传入安全消息720可以由网关721接收到服务提供商712并且通过内部网络714被路由到开关716，对客户系统706提供安全通信服务。网络连接安全部件718可以解密和/或验证传入安全消息720，产生明文消息722。然后，明文消息722可以被发送至目标客户系统706。来自客户系统706的传出消息可以由网络连接安全部件718拦截。传出消息可能受保护，包括被加密，和通过内部网络714发送，出网关721和通过互联网724到达目标系统。
在图7中所示的另一个实施方案中，安全部件730可以驻留在主计算机728内部，诸如增强的网络接口卡(NIC)或安全性协同处理硬件。安全部件730可以截取到主计算机728的传入通信并且对传入安全消息720解密。解密的明文消息722可以被发送至主计算机728内的客户系统，无论虚拟与否。传出明文通信也可以被拦截并且被保护(包括加密)以提供安全通信。
可以鉴于下列条款来描述本公开的示例实施方案：
1.一种用于提供安全通信的计算机实施的方法，其包括：
在配置有可执行指令的一个或多个计算机系统的控制下，
由管理程序接收与客户操作系统相关联的一组凭证；
由所述管理程序代表所述客户操作系统使用所述一组凭证、使用安全协议来建立到计算设备的安全连接，所述管理程序充当所述安全连接的本地端点；
由所述管理程序接收从所述客户操作系统到所述计算设备的一个或多个传出消息；
由所述管理程序代表所述客户操作系统使用所述安全协议和所述一组凭证对从所述客户操作系统到所述计算设备的所述一或多一个或多个传出消息加密，所述一或多一个或多个传出消息变成一或多一个或多个传出加密的消息；
由所述管理程序使用所述安全协议将所述传出加密的消息发送至所述计算设备；
由所述管理程序从所述计算设备接收一个或多个传入加密的消息；
由所述管理程序代表所述客户操作系统使用所述安全协议和所述一组凭证对来自所述计算设备的所述一个或多个传入加密的消息进行解密，所述一个或多个传入加密的消息变成一个或多个传入解密的消息；以及
将所述一个或多个传入解密的消息发送至所述客户操作系统。
2.根据条款1所述的计算机实施的方法，其中协商包括存储如与所述客户操作系统和所述计算设备相关联的协议状态信息，所述协议状态信息使用所述客户操作系统和所述计算设备的识别信息可检索，所述协议状态信息在对所述一个或多个传出消息加密和对所述一个或多个加密传入消息解密期间被使用。
3.根据条款2所述的计算机实施的方法，其中解密包括：
检查所述一个或多个加密传入消息以确定在所述传入通信中引用的所述计算设备和所述客户操作系统的识别信息；
使用所述客户操作系统和所述计算设备的所述确定的识别信息来检索所述协议状态信息；以及
使用所述已检索的协议状态信息对所述一个或多个加密传入消息解密。
4.根据条款2所述的计算机实施的方法，其中加密包括：
从客户操作系统接收一个或多个传出消息，所述客户操作系统具有识别信息；
检查所述一个或多个传出消息以确定在所述一个或多个传出消息中引用的所述计算设备的识别信息；
使用所述客户操作系统和所述计算设备的所述识别信息来检索所述协议状态信息；以及
使用所述已检索的协议状态信息对所述一个或多个传出消息加密。
5.根据条款1所述的计算机实施的方法，其中解密包括将所述一个或多个传入解密的消息路由至所述客户操作系统，在一组两个或更多个客户操作系统之间的所述客户操作系统由所述管理程序管理。
6.根据条款1所述的计算机实施的方法，其中解密包括在向所述客户操作系统提供所述一个或多个传入解密的消息之前验证所述一个或多个传入加密的消息的完整性和真实性。
7.一种用于提供安全通信的计算机实施的方法，其包括：
在配置有可执行指令的一个或多个计算机系统的控制下，
由主机系统的支持系统接收将设备与所述主机系统上的客户操作系统安全连接的请求，所述主机系统具有所述支持系统并且被配置成托管(host)至少一个客户操作系统；
由所述支持系统接收与所述客户操作系统相关联的一组凭证；
由所述支持系统代表所述客户操作系统使用所述一组凭证来建立与所述设备的安全连接，所述支持系统代替所述客户操作系统充当所述安全连接的端点；以及
由所述支持系统通过所述安全连接在所述客户操作系统和所述设备之间发送一个或多个通信，所述支持系统处理所述一个或多个通信以实现所述安全连接。
8.根据条款7所述的计算机实施的方法，所述方法进一步包括：
由所述主机系统的所述支持系统接收将所述第二设备与所述主机系统上的第二客户操作系统第二安全连接的请求；
由所述支持系统检索与所述第二客户操作系统相关联的第二组凭证；
由所述支持系统代表所述第二客户操作系统使用所述第二组凭证来建立与所述第二设备的第二安全连接，所述支持系统代替所述第二客户操作系统充当所述第二安全连接的端点；以及
由所述支持系统通过所述第二安全连接在所述第二客户操作系统和所述第二设备之间发送一个或多个第二通信。
9.根据条款7所述的计算机实施的方法，其中使用所述一组凭证进一步包括：由所述支持系统代表所述客户操作系统来存储所述一组凭证，所述一组凭证对于所述客户操作系统而言是不可读的。
10.根据条款7所述的计算机实施的方法，其中所述支持系统是管理程序。
11.根据条款7所述的计算机实施的方法，其中发送一个或多个通信进一步包括使用安全协议对所述一个或多个通信加密。
12.根据条款11所述的计算机实施的方法，其中所述安全协议是传输层安全。
13.根据条款7所述的计算机实施的方法，其中所述支持系统是硬件安全性模块。
14.根据条款7所述的计算机实施的方法，其中所述支持系统是所述主机系统内的独立处理器。
15.根据条款7所述的计算机实施的方法，其中所述支持系统通过所述安全连接对所述通信中的至少一些加密。
16.一种用于实现安全连接的计算机系统，其包括：
一个或多个处理器；以及
存储器，其包括可由所述一个或多个处理器执行的指令以促使所述计算机系统至少：
由具有一组客户系统的支持系统从所述一组客户系统接收指向客户系统的安全通信；
由所述支持系统从所述一组客户系统选择所述安全通信被指向的客户系统；以及
由所述主机系统使用表示所述选定的客户操作系统的身份的一组凭证向所述选定的客户操作系统提供解密的消息，所述解密的消息由所述安全通信准备，所述凭证对于所述选定的客户系统而言是不可用的。
17.根据条款16所述的系统，所述系统进一步包括硬件安全性模块，所述硬件安全性模块与所述一个或多个处理器通信，所述硬件安全性模块对所述一个或多个处理器中的至少一个提供加密服务和解密服务，所述支持系统可访问所述硬件安全性模块以对所述消息解密。
18.根据条款16所述的系统，其中所述支持系统是硬件安全性模块。
19.根据条款16所述的系统，其中所述支持系统是网络设备，所述支持系统被放置成在所述一个或多个客户系统和网络之间，从所述网络接收所述安全通信。
20.根据条款17所述的系统，其中提供解密的消息进一步包括：
将所述安全通信发送至所述硬件安全性模块；以及
从所述硬件安全性模块接收所述解密的消息。
21.根据条款16所述的系统，其中提供解密的消息进一步包括：
通过通信的第一信道接收所述安全通信，所述通过所述第一信道接收促使所述支持系统来对所述安全通信解密，其中所述支持系统被配置成对通过所述第一信道接收的通信解密；以及
使通过通信的第二信道接收的一个或多个通信通行至所述客户系统，其中所述支持系统被配置成使通过第二信道接收的通信通行(pass through)。
22.根据条款16所述的系统，其中提供解密的消息进一步包括更改所述解密的消息以指示所述解密的消息先前被加密。
23.根据条款16所述的系统，其中所述一组凭证包括分配给所述客户操作系统的私人密钥。
24.一个或多个计算机可读存储介质，具有共同存储在其上的可执行指令，所述可执行指令当被计算机系统的一个或多个处理器执行时，促使所述计算机系统至少：
由支持系统接收将设备与客户系统安全连接的请求；
由所述支持系统检索与所述客户系统相关联的一组凭证，所述凭证被保护免受由所述客户系统访问；
由所述支持系统代表所述客户系统使用所述一组凭证来建立与所述设备的安全连接，所述支持系统代替所述客户系统充当所述安全连接的端点；以及
由所述支持系统通过所述安全连接在所述客户系统和所述设备之间发送一个或多个通信。
25.根据条款24所述的计算机可读存储介质，所述介质进一步包括指令，所述指令当被计算系统的一个或多个处理器执行时，促使所述计算机系统至少：
接收将安全连接服务添加到所述客户系统的请求，所述服务使用所述支持系统代表所述客户系统来管理安全连接；
向所述客户系统请求所产生的一组凭证；以及
由所述支持系统存储所述一组凭证。
26.根据条款25所述的计算机可读存储介质，所述介质进一步包括指令，所述指令当被计算机系统的一个或多个处理器执行时，促使所述计算机系统至少：
向客户发送报价以将所述安全连接服务添加到所述客户系统作为费用的交换；以及
从所述用户接收费用作为添加所述安全连接服务的交换，接收的值指示将所述安全连接服务添加到所述客户系统的请求被发送。
27.根据条款26所述的计算机可读存储介质，其中所述支持系统选自由网络硬件、网卡、驱动器和管理程序组成的组。
28.根据条款24所述的计算机可读存储介质，其中对安全连接的所述请求通过使用通信信道发生，其中通过所述安全信道的连接被配置成是安全的。
29.根据条款28所述的计算机可读存储介质，其中所述通信信道选自由端口、虚拟适配器和源IP地址组成的组。
30.根据条款24所述的计算机可读存储介质，其中所述支持系统嵌入在附接到所述客户系统的网络接口卡内。
图8图示用于实施根据各种实施方案的方面的环境800的实例。如将理解的，尽管基于网络的环境用于解释的目的，但是视情况可以使用不同的环境来实施各种实施方案。环境包括电子客户端设备802，其可以包括可操作以经由适当的网络804发送和接收请求、消息或信息以及将信息传回至设备的用户的任何适当的设备。此类客户端设备的实例包括个人计算机、蜂窝式电话、手持式消息传送设备、膝上型计算机、机顶盒、个人数据助理、电子书阅读器等。网络可以包括任何适当的网络，包括企业内部网、互联网、蜂窝式网络、局域网或任何其它此类网络或其组合。用于这样的系统的部件可以至少部分地取决于选定的网络和/或环境的类型。用于经由这样的网络通信的协议和部件是众所周知的，并且在本文中将不再详细地讨论。经由网络的通信可以由有线或无线连接和其组合启用。在此实例中，网络包括互联网，因为该环境包括用于接收请求并响应于该请求而提供内容服务的网络服务器806，尽管对于其它网络，如本领域的普通技术人员将显而易见的，可以使用用作类似目的的替代设备。
图示的环境包括至少一个应用服务器808和数据存储器810。应理解，可以存在若干应用服务器、层和/或其它元件、过程或部件，其可以被链接或以其它方式被配置，且可以交互以执行如从适当的数据存储器获得数据的任务。本文中所用的术语“数据存储器”指能够存储、访问和检索数据的任何设备或设备的组合，其可以包括在任何标准、分布式或集群环境中的任何组合和数目的数据服务器、数据库、数据存储设备和数据存储介质。应用服务器可以包括任何适当的硬件和软件，其用于视需要与数据存储器集成以执行客户端设备的一个或多个应用的方面、处理应用的大部分的数据访问和业务逻辑。应用服务器提供与数据存储器配合的访问控制服务，并且可以产生内容，如待传送至用户的文本、图形、音频和/或视频，在此实例中，此内容可以用HTML、XML或另一适当的结构化语言的形式由网络服务器提供给用户。对所有请求和响应的处理以及在客户端设备802与应用服务器808之间内容的传递可以由相应的网络服务器来处理。应理解，网络服务器和应用服务器不是必需的且仅仅是示例性部件，因为这里所述的结构化代码可以在任何适当的设备或主机上执行，如在本文中别处所讨论的。
数据存储器810可以包括用于存储与特定方面相关的数据的若干单独的数据表、数据库或其它数据存储机制和介质。例如，图示的数据存储器包括用于存储可以被用来为生产方提供内容的生产数据812和用户信息816的机制。数据存储器也被示出为包括用于存储记录数据814，所述记录数据814可以被用于报告、分析或其它这样的目的。应理解，可以存在可能需要存储在数据存储器中的许多其它方面，如访问权信息，其可以存储在以上列出的任何适合机制中或数据存储器810中的额外机制中。数据存储器810通过与其相关联的逻辑可操作以从应用服务器808接收指令，并且响应于所述指令而获取、更新或以其它方式处理数据。在一个实例中，用户可以提交对特定类型的内容的搜索请求。在此情况下，数据存储器可以访问用户信息以验证用户的身份，并且可以访问内容信息以获得关于该类型的内容的实例的信息。然后，可以将信息传回至用户，如在用户可以经由用户设备802上的浏览器查看网页上的结果列表。在浏览器的专用页面或窗口中可以查看所感兴趣的特定项目的信息。
每个服务器一般将包括提供用于该服务器的一般管理和操作的可执行程序指令的操作系统，并且一般将包括存储指令的计算机可读介质(例如，硬盘、随机存取存储器、只读存储器等)，该指令当被服务器的处理器执行时，允许服务器执行其预期功能。服务器的操作系统和一般功能性的适当实施是已知的或可商购，并且由本领域的普通技术人员容易地实现，特别是根据本文中的公开内容。
在一个实施方案中，环境是分布式计算环境，其利用使用一个或多个计算机网络或直接连接经由通信链路互连的若干计算机系统和部件。然而，本领域的普通技术人员将了解，此系统可以在具有比图8中所示的部件数目更少或更多的部件的系统中同样良好地操作。因此，图8中系统800的描述应被认为本质上是说明性的，而不是限于本公开的范围。
各种实施方案可以进一步在很多不同的操作环境中被实施，在一些情况下这些操作环境可以包括可以用于操作任何数目的应用的一个或多个用户计算机、计算设备或处理设备。用户或客户端设备可以包括任何数目的通用个人计算机，如运行标准操作系统的台式计算机或膝上型计算机，以及运行移动软件并且能够支持许多网络连接和消息传送协议的蜂窝式、无线和手持型设备。这样的系统也可以包括为实现如开发和数据库管理的目的而运行任何各种可商购的操作系统和其它已知应用的许多工作站。这些设备也可以包括其它电子设备，如能够经由网络通信的虚拟终端、精简型客户端、游戏系统和其它设备。
大多数实施方案使用本领域的技术人员熟悉的用于使用各种商购协议(诸如，TCP/IP、OSI、FTP、UPnP、NFS、CIFS和AppleTalk)来支持通信的至少一个网络。网络可以是(例如)局域网、广域网、虚拟专用网络、互联网、内联网、外联网、公共交换电话网络、红外网络、无线网络及其任何组合。
在利用网络服务器的实施方案中，网络服务器可运行各种服务器或中间层应用中的任何一个，包括HTTP服务器、FTP服务器、CGI服务器、数据服务器、Java服务器和业务应用服务器。服务器可能也能够响应于来自用户设备的请求而例如通过执行一个或多个网络应用来执行程序或脚本，所述网络应用可实施为以例如
Figure GDA0002431112720000191
C、C#或C++的任何编程语言或例如Perl、Python或TCL及其组合的任何脚本语言编写的一个或多个脚本或程序。服务器也可包括数据库服务器，包括但不限于从
Figure GDA0002431112720000192
Figure GDA0002431112720000193
和
Figure GDA0002431112720000194
可商购的服务器。
环境可以包括如上文所述的各种数据存储和其它存储器和存储介质。它们可驻留在各种位置中，诸如在一个或多个计算机本地(和/或驻留在其中)或对于网络上的任何计算机或所有计算机为远程的存储介质上。在实施方案的特定集中，信息可驻留在本领域的技术人员熟悉的存储区域网络(“SAN”)中。类似地，用于执行归因于计算机、服务器或其它网络设备的功能的任何必需的文件可根据情况存储在本地和/或远程。在系统包括计算机化设备的情况下，每个这样的设备可包括可通过总线电耦接的硬件元件，该元件包括例如至少一个中央处理单元(CPU)、至少一个输入设备(例如，鼠标、键盘、控制器、触摸屏或小键盘)和至少一个输出设备(例如，显示设备、打印机或扬声器)。这样的系统也可包括一个或多个存储设备，例如，磁盘驱动器、光学存储设备和固态存储设备，诸如随机存取存储器(“RAM”)或只读存储器(“ROM”)，以及可移动介质设备、存储卡、闪存卡等。
这样的设备也可包括如上文所述的计算机可读存储介质读写器、通信设备(例如，调制解调器、(无线或有线)网卡、红外通信设备等)和工作存储器。计算机可读存储介质读写器可与计算机可读存储介质连接或者被配置来接收计算机可读存储介质，所述计算机可读存储介质代表远程、本地、固定和/或可移动存储设备以及用于暂时和/或更永久地包含、存储、传输和检索计算机可读信息的存储介质。系统和各种设备通常也将包括许多软件应用、模块、服务或位于至少一个工作存储器设备内的其它元件，包括操作系统和应用程序，例如客户端应用或网络浏览器。应理解，替代实施方案可具有许多与上文描述的不同的变体。例如，也可使用定制的硬件，和/或特定元件可用硬件、软件(包括便携软件，例如，小程序)或两者来实施。另外，可以采用到例如网络输入/输出设备的其它计算设备的连接。
用于包含代码或代码的部分的存储介质和计算机可读介质可包括在本领域中已知或使用的任何适当的介质，包括存储介质和通信介质，例如但不限于以用于信息(诸如计算机可读指令、数据结构、程序模块或其它数据)的存储和/或传输的任何方法或技术来实施的易失性和非易失性、可移动和不可移动介质，包括RAM、ROM、EEPROM、快闪存储器或其它存储器技术、CD-ROM、数字多功能盘(DVD)或其它光学存储、磁带盒、磁带、磁盘存储或其它磁存储设备，或可用来存储所需信息且可由系统设备访问的任何其它介质。基于本文提供的公开和教导，本领域的普通技术人员将理解实施各种实施方案的其它方式和/或方法。
因此，本说明书和附图应被理解为是说明性而不是限制性的。然而，很明显，在不脱离如权利要求书所阐述的本发明的较宽广的精神和范围的情况下，可进行各种修改和改变。
其它变型在本公开的精神内。因此，虽然所公开的技术容易受各种修改和替代结构的影响，但是其某些图示的实施方案在附图中示出并且已经在上文详细地描述。然而，应理解，不旨在将要求保护的主题的范围限制于公开的一种或多种特殊形式，而是相反，旨在覆盖落入如所附权利要求限定的各个实施方案的精神和范围内的所有修改、替代构造和等同物。
在描述所公开的实施方案的上下文(特别是在以下权利要求书的上下文)中使用的用语“一个(a/an)”和“所述”和类似的指代应被理解为包括单数和复数，除非本文另有指示或明显与上下文冲突。用语“包括”、“具有”、“包含”和“含有”应被理解为开放式的用语(即，意指“包括但不限于”)，除非另有指定。用语“连接”应被理解为部分或完全包括在其中、附接到或连接在一起，即使有一些干预。本文中的值的范围的叙述仅旨在充当个别指示落入范围内的每个单独值的速记方法，除非本文另有指示，且每个单独值均被并入说明书，如同其在本文被个别陈述一样。本文描述的所有方法可用任何适当的次序来执行，除非本文另有指示或明显与上下文冲突。本文提供的任何和所有实例或示例性语言(例如，“诸如”)的使用仅旨在更好地说明实施方案而不是限制本发明的范围，除非另有说明。说明书中的语言不应被理解为指示任何未被请求的元件对于实践至少一个实施方案是必需的。
本文描述了本公开的优选实施方案，包括发明人已知的用于执行本发明的最佳模式。本领域的普通技术人员在阅读上文描述之后将显而易见这些优选实施方案的变化。发明者预期熟练技术人员根据需要使用这样的变化，且发明者预计将以本文具体描述的方式之外的方式配置实施方案。因此，适当的实施方案包括如适用法律允许的权利要求书中所述主题的所有修改和等同物。另外，在本发明的所有可能变化中上述元件的任何组合被设想为并入某个适当的实施方案，除非本文另有指示或明显与上下文冲突。
本文引用的包括公开案、专利申请案和专利案的所有参考在此以引用的方式并入，如同每个参考都被个别地并具体地指示为以引用的方式并入并在本文完整地被阐述。

Claims (20)

1.一种用于提供安全通信的计算机实施的方法，其包括：
由管理程序接收用于客户操作系统与计算设备之间的安全连接的请求，所述客户操作系统在由所述管理程序支持的一组客户操作系统中；
响应于对所述安全连接的请求，由所述管理程序代表所述客户操作系统使用与所述客户操作系统相关联的一组密码凭证和安全协议以建立到所述计算设备的所述安全连接，所述管理程序使用所述一组密码凭证和所述安全协议并充当所述安全连接的本地端点，所述一组密码凭证对所述客户操作系统而言是不可用的；
由所述管理程序使用所述安全协议以及所述一组密码凭证管理所述客户操作系统与所述计算设备之间的所述安全通信；以及
响应于管理所述客户操作系统与所述计算设备之间的所述安全通信，由所述管理程序将一个或多个不安全的消息发送到所述客户操作系统。
2.如权利要求1所述的计算机实施的方法，其特征在于，管理所述客户操作系统与所示计算设备之间的所述安全通信进一步包括：
由所述管理程序从证书存储接收与所述客户操作系统相关联的所述一组密码凭证；
由所述管理程序代表所述客户操作系统，使用所述安全协议以及所述一组密码凭证将从所述客户操作系统到所述计算设备的一个或多个传出消息加密成为一个或多个传出经加密消息；以及
由所述管理程序使用所述安全协议向所述计算设备发送所述一个或多个传出经加密消息。
3.如权利要求1所述的计算机实施的方法，其特征在于，管理所述客户操作系统与所示计算设备之间的所述安全通信进一步包括：
由所述管理程序从证书存储接收与所述客户操作系统相关联的所述一组密码凭证；
由所述管理程序从所述计算设备接收一个或多个传入经加密消息；以及
由所述管理程序代表所述客户操作系统，使用所述安全协议以及所述一组密码凭证将来自所述计算设备的的传入经加密消息解密成为一个或多个经解密消息，其中，所述一个或多个不安全的消息包括所述一个或多个经解密的消息。
4.一种用于提供安全连接的计算机系统，其包括：
一个或多个处理器；
一个或多个存储器；以及
用于管理数据平面的控制平面，所述数据平面包括支持系统，其中，所述支持系统包括指令，所述指令存储在所述一个或多个存储器中并可由所述一个或多个处理器执行，以使得所述计算机系统至少执行以下步骤：
接收与客户操作系统相关联的一组密码凭证，所述客户操作系统在由所述支持系统支持的一组客户操作系统中；
由所述支持系统代表所述客户操作系统使用与所述客户操作系统相关联的所述一组密码凭证和安全协议以建立到计算设备的安全连接，所述支持系统使用所述一组密码凭证和所述安全协议并充当所述安全连接的本地端点，所述一组密码凭证对所述客户操作系统而言是不可用的；
使用所述安全协议以及所述一组密码凭证管理所述客户操作系统与所述计算设备之间的安全通信；以及
响应于管理所述客户操作系统与所述计算设备之间的所述安全通信，向所述客户操作系统发送一个或多个消息。
5.如权利要求4所述的计算机系统，其特征在于，所述支持系统为网络接口卡。
6.如权利要求4所述的计算机系统，其特征在于，所述支持系统包括可由所述一个或多个处理器执行的进一步指令，以使得所述计算机系统至少执行以下步骤：
捕捉来自所述客户操作系统的传出不安全的消息；
检查所述传出不安全消息的路由信息；
至少部分地基于所述检查将所述传出不安全消息加密为传出经加密消息；
朝向所述计算设备引导所述传出经加密消息。
7.如权利要求4所述的计算机系统，其特征在于，所述支持系统包括可由所述一个或多个处理器执行的进一步指令，以使得所述计算机系统至少执行以下步骤：
捕捉被引导至所述客户操作系统的传入安全消息；
检查所述传入安全消息的路由信息；
至少部分地基于所述检查将所述传入安全消息解密为传入经加密消息；以及
将所述传入经加密消息发送到所述客户操作系统。
8.如权利要求4所述的计算机系统，其特征在于，所述控制平面以及所述数据平面驻留在相同的信任边界内。
9.如权利要求4所述的计算机系统，其特征在于，所述支持系统包括可由所述一个或多个处理器执行的进一步指令，以使得所述计算机系统至少执行以下步骤：
代表所述客户操作系统存储所述一组加密凭证。
10.如权利要求4所述的计算机系统，其特征在于，所述控制平面包括可由所述一个或多个处理器执行的进一步指令，以使得所述计算机系统至少执行以下步骤：
接收对所述客户操作系统与所述计算设备之间的所述安全连接的用户请求，所述用户请求包括一组用户指定的配置选项。
11.如权利要求10所述的计算机系统，其特征在于，所述一组用户指定的配置选项包括以下项中的至少一个：关于是否连续使用所述安全通信的指示、用于所述安全通信的一组端口，关于是否自动检测所述安全通信的指示，为所述安全通信使用特定IP地址的指示，或为所述安全通信使用虚拟以太网适配器的指示。
12.如权利要求10所述的计算机系统，其特征在于，所述控制平面包括可由所述一个或多个处理器执行的进一步指令，以使得所述计算机系统至少执行以下步骤：
响应于对于所述安全连接的所述请求，代表所述客户操作系统建立公钥与私钥对；
使用所述公钥与私钥对从证书机构请求用于所述客户操作系统的所述一组密码凭证；
接收所述一组密码凭证；
存储所述一组密码凭证；以及
将所述一组密码凭证提供给所述支持系统。
13.一种非暂态计算机可读存储介质，所述非暂态计算机可读存储介质具有存储于其上的计算机可执行指令，当以一个或多个处理器执行所述计算机可执行指令时，所述计算机可执行指令使得计算机系统执行至少包括以下步骤的操作：
由管理程序获得一组与客户操作系统相关联的密码凭证，所述客户操作系统在由所述管理程序支持的一组客户操作系统中；
由所述管理程序代表所述客户操作系统使用与所述客户操作系统相关联的所述一组密码凭证和安全协议以建立所述管理程序与计算设备之间的安全连接，所述管理程序使用所述一组密码凭证和所述安全协议并充当所述安全连接的本地端点，所述一组密码凭证对所述客户操作系统而言是不可用的；
由所述管理程序使用所述安全协议以及所述一组密码凭证管理所述客户操作系统与所述计算设备之间的安全通信；以及
响应于管理所述客户操作系统与所述计算设备之间的所述安全通信，将一个或多个消息发送到所述客户操作系统。
14.如权利要求13所述的非暂态计算机可读存储介质，所述非暂态计算机可读存储介质具有存储于其上的进一步计算机可执行指令，当以一个或多个处理器来执行所述计算机可执行指令时，所述计算机可执行指令使得一个或多个处理器执行至少包括以下步骤的操作：
由所述管理程序代表所述客户操作系统存储与所述客户操作系统相关联的所述一组密码凭证。
15.如权利要求13所述的非暂态计算机可读存储介质，所述非暂态计算机可读存储介质具有存储于其上的进一步的计算机可执行指令，当以一个或多个处理器来执行所述计算机可执行指令时，所述计算机可执行指令使得一个或多个处理器执行至少包括以下步骤的操作：
由所述管理程序更新所述安全协议，其中，独立于所述客户操作系统发生更新。
16.如权利要求13所述的非暂态计算机可读存储介质，所述非暂态计算机可读存储介质具有存储于其上的进一步的计算机可执行指令，当以一个或多个处理器来执行所述计算机可执行指令时，所述计算机可执行指令使得一个或多个处理器执行至少包括以下步骤的操作：
接收包括配置选项的用户输入，其中，所述用户输入包括用户期望实现安全套接层通信的指示。
17.如权利要求16所述的非暂态计算机可读存储介质，其特征在于，所述用户输入包括以下项中的至少一个：关于是否连续使用所述安全通信的指示、用于所述安全通信的一组端口，关于是否自动检测所述安全通信的指示，为所述安全通信使用特定IP地址的指示，或为所述安全通信使用虚拟以太网适配器的指示。
18.如权利要求16所述的非暂态计算机可读存储介质，所述非暂态计算机可读存储介质具有存储于其上的进一步的计算机可执行指令，当以一个或多个处理器来执行所述计算机可执行指令时，所述计算机可执行指令使得一个或多个处理器执行至少包括以下步骤的操作：
从所述用户输入确定通道以用于所述安全通信；以及
当使用不同的通道向所述管理程序提供所述消息时，限制所述安全通信的消息。
19.如权利要求16所述的非暂态计算机可读存储介质，所述非暂态计算机可读存储介质具有存储于其上的进一步的计算机可执行指令，当以一个或多个处理器来执行所述计算机可执行指令时，所述计算机可执行指令使得一个或多个处理器执行至少包括以下步骤的操作：
确定所述安全通信是完整的；
使用所述安全协议以及所述一组密码凭证来终止所述安全连接；以及
从所述管理程序删除所述一组密码凭证。
20.如权利要求16所述的非暂态计算机可读存储介质，其特征在于，使用应用编程接口接收所述用户输入，且其中，响应于作为值的交换将安全通信功能添加到所述管理程序的报价而提供所述用户输入。
CN201710256404.0A 2011-09-29 2012-09-28 支持系统中的安全通信的实施 Active CN106998331B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US13/248,980 2011-09-29
US13/248,980 US9037511B2 (en) 2011-09-29 2011-09-29 Implementation of secure communications in a support system
CN201280047648.3A CN103842958B (zh) 2011-09-29 2012-09-28 支持系统中的安全通信的实施

Related Parent Applications (1)

Application Number Title Priority Date Filing Date
CN201280047648.3A Division CN103842958B (zh) 2011-09-29 2012-09-28 支持系统中的安全通信的实施

Publications (2)

Publication Number Publication Date
CN106998331A CN106998331A (zh) 2017-08-01
CN106998331B true CN106998331B (zh) 2020-09-15

Family

ID=47993497

Family Applications (2)

Application Number Title Priority Date Filing Date
CN201710256404.0A Active CN106998331B (zh) 2011-09-29 2012-09-28 支持系统中的安全通信的实施
CN201280047648.3A Active CN103842958B (zh) 2011-09-29 2012-09-28 支持系统中的安全通信的实施

Family Applications After (1)

Application Number Title Priority Date Filing Date
CN201280047648.3A Active CN103842958B (zh) 2011-09-29 2012-09-28 支持系统中的安全通信的实施

Country Status (10)

Country Link
US (2) US9037511B2 (zh)
EP (1) EP2761426B1 (zh)
JP (1) JP5799173B2 (zh)
CN (2) CN106998331B (zh)
AU (2) AU2012315751C1 (zh)
BR (1) BR112014007798B1 (zh)
CA (1) CA2849911C (zh)
RU (1) RU2584570C2 (zh)
SG (2) SG2014011571A (zh)
WO (1) WO2013049571A1 (zh)

Families Citing this family (52)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8931063B2 (en) * 2008-07-28 2015-01-06 Evan S. Huang Methods and apparatuses for securely operating shared host computers with portable apparatuses
US8990554B2 (en) 2011-06-30 2015-03-24 Verizon Patent And Licensing Inc. Network optimization for secure connection establishment or secure messaging
US8943318B2 (en) * 2012-05-11 2015-01-27 Verizon Patent And Licensing Inc. Secure messaging by key generation information transfer
US9270453B2 (en) 2011-06-30 2016-02-23 Verizon Patent And Licensing Inc. Local security key generation
US9154527B2 (en) 2011-06-30 2015-10-06 Verizon Patent And Licensing Inc. Security key creation
US9037511B2 (en) 2011-09-29 2015-05-19 Amazon Technologies, Inc. Implementation of secure communications in a support system
US10103875B1 (en) * 2011-12-20 2018-10-16 Amazon Technologies, Inc. Authentication through a secret holding proxy
US9930066B2 (en) 2013-02-12 2018-03-27 Nicira, Inc. Infrastructure level LAN security
CN104219208B (zh) 2013-06-03 2018-11-13 华为技术有限公司 一种数据输入的方法、装置
US10033693B2 (en) 2013-10-01 2018-07-24 Nicira, Inc. Distributed identity-based firewalls
US9106620B2 (en) * 2013-11-14 2015-08-11 Comcast Cable Communications, Llc Trusted communication session and content delivery
US9442751B2 (en) * 2014-03-24 2016-09-13 International Business Machines Corporation Virtual credential adapter for use with virtual machines
US11087006B2 (en) * 2014-06-30 2021-08-10 Nicira, Inc. Method and apparatus for encrypting messages based on encryption group association
US9407612B2 (en) * 2014-10-31 2016-08-02 Intel Corporation Technologies for secure inter-virtual network function communication
FR3029311B1 (fr) * 2014-11-27 2017-01-06 Thales Sa Procede de gestion d'une architecture et architecture associee
US10606626B2 (en) * 2014-12-29 2020-03-31 Nicira, Inc. Introspection method and apparatus for network access filtering
US9553721B2 (en) * 2015-01-30 2017-01-24 Qualcomm Incorporated Secure execution environment communication
US10552619B2 (en) * 2015-07-20 2020-02-04 Intel Corporation Technologies for secure trusted I/O access control
US10230529B2 (en) * 2015-07-31 2019-03-12 Microsft Technology Licensing, LLC Techniques to secure computation data in a computing environment
US10324746B2 (en) 2015-11-03 2019-06-18 Nicira, Inc. Extended context delivery for context-based authorization
US10228926B2 (en) * 2016-01-28 2019-03-12 T-Mobile Usa, Inc. Remote support installation mechanism
US9898326B2 (en) * 2016-02-23 2018-02-20 Red Hat Israel, Ltd. Securing code loading in a virtual environment
WO2017158407A1 (en) * 2016-03-18 2017-09-21 Telefonaktiebolaget Lm Ericsson (Publ) Using nano-services to secure multi-tenant networking in datacenters
EP3456097A4 (en) * 2016-05-13 2019-12-18 Nokia Solutions and Networks Oy OPTIMIZED SMALL DATA TRANSMISSION ON AN UPLINK
WO2017210496A1 (en) * 2016-06-03 2017-12-07 Uptake Technologies, Inc. Provisioning a local analytics device
US10333775B2 (en) 2016-06-03 2019-06-25 Uptake Technologies, Inc. Facilitating the provisioning of a local analytics device
RU2626550C1 (ru) * 2016-08-09 2017-07-28 Акционерное Общество "Научно-Исследовательский Институт Микроэлектронной Аппаратуры "Прогресс" Программно-аппаратная платформа и способ ее реализации для беспроводных средств связи
US10798073B2 (en) 2016-08-26 2020-10-06 Nicira, Inc. Secure key management protocol for distributed network encryption
US10938837B2 (en) 2016-08-30 2021-03-02 Nicira, Inc. Isolated network stack to manage security for virtual machines
US10461943B1 (en) * 2016-11-14 2019-10-29 Amazon Technologies, Inc. Transparently scalable virtual hardware security module
US10447668B1 (en) 2016-11-14 2019-10-15 Amazon Technologies, Inc. Virtual cryptographic module with load balancer and cryptographic module fleet
US10715607B2 (en) 2016-12-06 2020-07-14 Nicira, Inc. Performing context-rich attribute-based services on a host
US10802858B2 (en) 2016-12-22 2020-10-13 Nicira, Inc. Collecting and processing contextual attributes on a host
US10805332B2 (en) 2017-07-25 2020-10-13 Nicira, Inc. Context engine model
US10812451B2 (en) 2016-12-22 2020-10-20 Nicira, Inc. Performing appID based firewall services on a host
US10803173B2 (en) 2016-12-22 2020-10-13 Nicira, Inc. Performing context-rich attribute-based process control services on a host
US10581960B2 (en) 2016-12-22 2020-03-03 Nicira, Inc. Performing context-rich attribute-based load balancing on a host
US11032246B2 (en) 2016-12-22 2021-06-08 Nicira, Inc. Context based firewall services for data message flows for multiple concurrent users on one machine
GB2558918B (en) * 2017-01-19 2020-01-29 Exacttrak Ltd Security Device
US10447697B2 (en) 2017-05-25 2019-10-15 Bank Of America Corporation Data leakage and information security using access control
US10778651B2 (en) 2017-11-15 2020-09-15 Nicira, Inc. Performing context-rich attribute-based encryption on a host
US10802893B2 (en) 2018-01-26 2020-10-13 Nicira, Inc. Performing process control services on endpoint machines
US10862773B2 (en) 2018-01-26 2020-12-08 Nicira, Inc. Performing services on data messages associated with endpoint machines
US11240135B1 (en) 2018-05-23 2022-02-01 Open Invention Network Llc Monitoring VNFCs that are composed of independently manageable software modules
US11328075B2 (en) * 2019-01-04 2022-05-10 Baidu Usa Llc Method and system for providing secure communications between a host system and a data processing accelerator
JP7127585B2 (ja) * 2019-03-12 2022-08-30 オムロン株式会社 セーフティシステムおよびメンテナンス方法
US11443052B2 (en) 2019-03-21 2022-09-13 Microsoft Technology Licensing, Llc Secure area in a file storage system
US11658821B2 (en) * 2019-04-23 2023-05-23 At&T Mobility Ii Llc Cybersecurity guard for core network elements
US20220278974A1 (en) * 2019-07-15 2022-09-01 Mystery Story Technology Ltd. System, device and methods for secure exchange of text messages
US11539718B2 (en) 2020-01-10 2022-12-27 Vmware, Inc. Efficiently performing intrusion detection
US11108728B1 (en) 2020-07-24 2021-08-31 Vmware, Inc. Fast distribution of port identifiers for rule processing
US11956350B2 (en) * 2021-03-31 2024-04-09 Seagate Technology Llc Yes and no secret sharing with hidden access structures

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1885771A (zh) * 2005-06-23 2006-12-27 国际商业机器公司 用于建立安全通信会话的方法与装置
US8010679B2 (en) * 2006-01-24 2011-08-30 Citrix Systems, Inc. Methods and systems for providing access to a computing environment provided by a virtual machine executing in a hypervisor executing in a terminal services session

Family Cites Families (32)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6606663B1 (en) 1998-09-29 2003-08-12 Openwave Systems Inc. Method and apparatus for caching credentials in proxy servers for wireless user agents
US6735634B1 (en) 1999-06-10 2004-05-11 Blue Coat Systems Method for real time protocol media recording
US6895501B1 (en) 2000-03-13 2005-05-17 Wrq, Inc. Method and apparatus for distributing, interpreting, and storing heterogeneous certificates in a homogenous public key infrastructure
WO2002003220A2 (en) 2000-07-05 2002-01-10 Ernst & Young Llp Method and apparatus for providing computer services
US7254712B2 (en) 2001-06-12 2007-08-07 Research In Motion Limited System and method for compressing secure e-mail for exchange with a mobile data communication device
US8340283B2 (en) 2004-06-30 2012-12-25 International Business Machines Corporation Method and system for a PKI-based delegation process
US7587366B2 (en) 2004-10-14 2009-09-08 International Business Machines Corporation Secure information vault, exchange and processing system and method
US7437447B2 (en) 2004-11-12 2008-10-14 International Business Machines Corporation Method and system for authenticating a requestor without providing a key
US7685635B2 (en) * 2005-03-11 2010-03-23 Microsoft Corporation Systems and methods for multi-level intercept processing in a virtual machine environment
US7581229B2 (en) * 2005-03-11 2009-08-25 Microsoft Corporation Systems and methods for supporting device access from multiple operating systems
US20090119504A1 (en) 2005-08-10 2009-05-07 Riverbed Technology, Inc. Intercepting and split-terminating authenticated communication connections
JP2007266938A (ja) 2006-03-28 2007-10-11 Seiko Epson Corp デジタルストリームデータ通信
JP2008078878A (ja) 2006-09-20 2008-04-03 Nec Corp セッション制御システム、セッション代行装置、通信方法、およびプログラム
US8479264B2 (en) 2006-09-29 2013-07-02 Micron Technology, Inc. Architecture for virtual security module
EP1914959B1 (en) * 2006-10-19 2011-12-28 Motorola Mobility, Inc. Method and apparatus for recovery from network disconnections in a peer-peer network
JP2008299617A (ja) 2007-05-31 2008-12-11 Toshiba Corp 情報処理装置、および情報処理システム
JP2009223776A (ja) 2008-03-18 2009-10-01 Univ Of Tsukuba 情報処理システム及び情報処理システム用プログラム並びにクライアント装置のアクセス制御方法
US8364983B2 (en) * 2008-05-08 2013-01-29 Microsoft Corporation Corralling virtual machines with encryption keys
WO2009151888A2 (en) 2008-05-19 2009-12-17 Authentium, Inc. Secure virtualization system software
EP2316071A4 (en) * 2008-06-19 2011-08-17 Servicemesh Inc CLOUD DATA PROCESSING GATEWAY, CLOUD DATA PROCESSING HYPERVISOR, AND METHOD FOR IMPLEMENTING THEM
JP2010062738A (ja) 2008-09-02 2010-03-18 Fujitsu Ltd ネットワーク設定プログラム，ネットワーク設定方法及びネットワーク設定装置
US8051432B2 (en) 2008-11-14 2011-11-01 Novell, Inc. Techniques for establishing virtual devices
US8732700B2 (en) * 2008-12-18 2014-05-20 Vmware, Inc. Virtualization system with a remote proxy
US8296567B2 (en) 2009-07-15 2012-10-23 Research In Motion Limited System and method for exchanging key generation parameters for secure communications
US8627456B2 (en) * 2009-12-14 2014-01-07 Citrix Systems, Inc. Methods and systems for preventing access to display graphics generated by a trusted virtual machine
US20110225093A1 (en) 2010-03-11 2011-09-15 Cahn Robert S Depository-Based Security Trading System
CN102195940A (zh) * 2010-03-12 2011-09-21 北京路模思科技有限公司 一种基于虚拟机技术安全输入和提交数据的方法和系统
JP5499913B2 (ja) 2010-06-02 2014-05-21 ソニー株式会社 通信装置、通信方法及び通信システム
US8572728B2 (en) 2010-06-08 2013-10-29 Hewlett-Packard Development Company, L.P. Initiation of storage device scans
KR101673622B1 (ko) 2011-01-28 2016-11-08 삼성전자주식회사 무선통신 시스템에서 서비스품질에 따른 서비스 제공 방법 및 장치
US20120310679A1 (en) 2011-06-03 2012-12-06 Kent Dana Olson Method and apparatus for insuring against crop losses
US9037511B2 (en) * 2011-09-29 2015-05-19 Amazon Technologies, Inc. Implementation of secure communications in a support system

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1885771A (zh) * 2005-06-23 2006-12-27 国际商业机器公司 用于建立安全通信会话的方法与装置
US8010679B2 (en) * 2006-01-24 2011-08-30 Citrix Systems, Inc. Methods and systems for providing access to a computing environment provided by a virtual machine executing in a hypervisor executing in a terminal services session

Also Published As

Publication number Publication date
RU2584570C2 (ru) 2016-05-20
AU2012315751A1 (en) 2014-04-17
US9607162B2 (en) 2017-03-28
US20150347763A1 (en) 2015-12-03
CN103842958B (zh) 2017-04-05
RU2014117204A (ru) 2015-11-10
EP2761426A1 (en) 2014-08-06
JP5799173B2 (ja) 2015-10-21
WO2013049571A1 (en) 2013-04-04
JP2014529272A (ja) 2014-10-30
EP2761426A4 (en) 2015-07-29
EP2761426B1 (en) 2019-01-23
AU2015215904A1 (en) 2015-09-17
CA2849911C (en) 2017-02-07
AU2015215904B2 (en) 2017-03-02
BR112014007798A2 (pt) 2017-04-18
CN103842958A (zh) 2014-06-04
US9037511B2 (en) 2015-05-19
CN106998331A (zh) 2017-08-01
AU2012315751B2 (en) 2015-06-04
AU2012315751C1 (en) 2016-01-21
BR112014007798B1 (pt) 2021-06-15
CA2849911A1 (en) 2013-04-04
SG2014011571A (en) 2014-04-28
SG10201605750TA (en) 2016-09-29
US20130085880A1 (en) 2013-04-04

Similar Documents

Publication Publication Date Title
CN106998331B (zh) 支持系统中的安全通信的实施
CA3074656C (en) Securing a data connection for communicating between two end-points
US9509692B2 (en) Secured access to resources using a proxy
JP6656157B2 (ja) ネットワーク接続自動化
JP2014529272A5 (zh)
EP3580906B1 (en) Network security with surrogate digital certificates
AU2014209472B2 (en) Secure virtual machine migration
US9674162B1 (en) Updating encrypted cryptographic key pair
US9893885B1 (en) Updating cryptographic key pair
US11996977B2 (en) System and method for automated information technology services management
US20230247006A1 (en) Extending a trust boundary between cloud domains of the same entity
JP4972646B2 (ja) 一貫したアプリケーション対応ファイヤウォールトラバーサルの提供
US11838270B1 (en) Session control management for virtual private networks using artificial data packets
US20240211625A1 (en) Systems and Methods for Providing Improved Account Management Services
Ngekeh CONFIGURING AND USING OPEN VPN ON WINDOWS OS
Ballew et al. Secure and Protect Windows To Go Drives
Headquarters Security Best Practices Guide for Cisco Unified ICM/Contact Center Enterprise & Hosted

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant