CN107209837A - 选择性基于块的完整性保护技术 - Google Patents

Abstract

本发明提供用于保护计算装置的内容的技术。所述技术包含：使安全级信息与待保护的多个内容项中的每一者相关联，所述安全级信息包含待针对每一相应内容项执行的完整性检查动作及结果行为。可将所述安全级信息构建到包括所述待保护的内容项的图像中，且可将所述图像安装在计算装置上。所述技术包含：响应于用于对所述内容执行动作的请求而存取与内容项相关联的安全级信息；执行与所述内容项相关联的所述完整性检查动作；及响应于所述完整性检查动作指示不能执行所请求的所述动作而执行与所述内容项相关联的所述结果行为。

Description

选择性基于块的完整性保护技术

背景技术

产品移动装置上的高级操作系统(HLOS)系统图像需要用于保护系统图像的完整性的装置。系统图像包含在被更改或损坏的情况下可能导致装置出故障或执行意外/未经授权动作的系统库及由HLOS使用的其它文件。HLOS系统图像在产品移动装置上通常为～5GB，且用于保护这些图像的装置需要在实施保护系统图像保护方案时考虑移动装置的资源约束，例如，存储器、电源以及硬件资源。

常规解决方案并未提供一定水平的可配置性及灵活性以解决可能需要保护的系统图像中所包含的不同类型的内容以及在识别各种类型的内容的改变时配置恰当响应水平的能力。举例来说，提供于安卓(Android)装置上的一种常规解决方案为“dm真实性(dm-verity)”，其对存储在移动装置的存储装置上的系统图像中所包含的所有内容提供基于块的保护。dm真实性应用程序构建系统图像的所有块的散列树，并在存取块时检查所述块以通过将其散列内容与hast树的内容进行比较来确定其是否改变。当特定数据块已改变时可能发生例外。然而，此方法通常在系统图像可能包含非关键文件(例如在被更改时不应导致灾难性错误的铃声或其它媒体内容)时过分反应。此外，产生散列树需要大量资源。例如完整性管理架构(IMA)的其它常规解决方案提供基于文件的保护，所述基于文件的保护通过将文件的散列存储在文件的索引节点(inode)属性中来提供文件内容的远程证明及文件内容的本地证明。但是，将此信息存储在索引节点中还需要如同在允许对文件进行操作之前验证安全敏感扩展属性的Linux扩展验证模块(EVM)的解决方案。

常规解决方案还限于其依据对所有类型的内容的完整性检查提供相同水平的保护及结果行为。

发明内容

根据本发明的用于保护计算装置的内容的样本方法包含：接收用于执行与图像中所包含的内容项相关联的动作的请求，存取与所述内容项相关联的安全级信息，所述安全级信息包括与所述内容项相关联的完整性检查动作及结果行为，所述结果行为响应于所述完整性检查动作指示不能执行所请求的所述动作而执行，执行与所述内容项相关联的所述完整性检查动作；以及响应于所述完整性检查动作指示不能执行所请求的所述动作而执行与所述内容项相关联的所述结果行为。

此方法的实施方案可包含以下特征中的一或多者。所述结果行为选自多个结果行为，包括灾难性错误处理响应、输入-输出(I/O)错误响应、受信任实体响应的报告，以及回退错误响应。所述完整性检查动作选自多个完整性检查动作，包括需要完整性检查的动作、不需要完整性检查的动作、回退保护动作以及装置特定检查动作。响应于与内容项相关联的完整性检查动作为需要完整性检查的动作，执行与所述内容项相关联的所述完整性检查动作包含：存取块列表以识别与内容项相关联的块；执行与所述内容项相关联的块的散列；以及将与所述内容项相关联的所述块的所述散列与所述图像中所包含的所述内容项的散列进行比较。响应于与内容项相关联的完整性检查动作为回退保护动作，执行与所述内容项相关联的完整性检查动作包含：确定所述内容项的更新是否将导致所述内容项被替换为所述内容项的先前版本，且响应于所述完整性检查动作指示不能执行所请求的所述动作而执行与所述内容项相关联的所述结果行为包含：防止所述内容项被替换为所述内容项的所述先前版本。用于执行动作的请求包括用于修改所述内容项的请求，且其中所述完整性检查动作包括将所述请求报告给受信任实体，且其中执行所述结果行为包括：从所述受信任实体接收指示是否可以修改所述内容项的响应；响应于所述响应指示可以修改所述内容项而修改所述内容项；以及响应于所述响应指示可以修改所述内容项而显示不能修改所述内容项的指示。

根据本发明的用于保护计算装置的内容的样本设备包含：用于接收用于执行与图像中所包含的内容项相关联的动作的请求的装置；用于存取与所述内容项相关联的安全级信息的装置，所述安全级信息包括与所述内容项相关联的完整性检查动作及结果行为，所述结果行为响应于所述完整性检查动作指示不能执行所请求的所述动作而执行；用于执行与所述内容项相关联的所述完整性检查动作的装置；以及用于响应于所述完整性检查动作指示不能执行所请求的所述动作而执行与所述内容项相关联的所述结果行为的装置。

此设备的实施方案可包含以下特征中的一或多者。所述结果行为选自多个结果行为，包括灾难性错误处理响应、输入-输出(I/O)错误响应、受信任实体响应的报告，以及回退错误响应。所述完整性检查动作选自多个完整性检查动作，包括需要完整性检查的动作、不需要完整性检查的动作、回退保护动作以及装置特定检查动作。与所述内容项相关联的完整性检查动作包括需要完整性检查的动作，且其中用于执行与所述内容项相关联的所述完整性检查动作的装置包含：用于存取块列表以识别与内容项相关联的块的装置；用于执行与所述内容项相关联的块的散列的装置；以及用于将与所述内容项相关联的所述块的所述散列与所述图像中所包含的所述内容项的散列进行比较的装置。与所述内容项相关联的所述完整性检查动作为回退保护动作，其中用于执行与所述内容项相关联的所述完整性检查动作的所述装置包含用于确定所述内容项的更新是否将导致所述内容项被替换为所述内容项的先前版本的装置，且其中用于响应于所述完整性检查动作指示不能执行所请求的所述动作而执行与所述内容项相关联的所述结果行为的所述装置包含用于防止所述内容项被替换为所述内容项的所述先前版本的装置。用于执行动作的请求包括用于修改所述内容项的请求，且所述完整性检查动作包含将所述请求报告给受信任实体，且用于执行所述结果行为的装置包含：用于从所述受信任实体接收指示是否可以修改所述内容项的响应的装置；及用于响应于所述响应指示可以修改所述内容项而修改所述内容项的装置；以及用于响应于所述响应指示可以修改所述内容项而显示不能修改所述内容项的指示的装置。

用于保护计算装置的内容的实例性设备包含：处理器，其经配置以接收用于执行与图像中所包含的内容项相关联的动作的请求；存取与所述内容项相关联的安全级信息，所述安全级信息包括与所述内容项相关联的完整性检查动作及结果行为，所述结果行为响应于所述完整性检查动作指示不能执行所请求的所述动作而执行；执行与所述内容项相关联的所述完整性检查动作；以及响应于所述完整性检查动作指示不能执行所请求的所述动作而执行与所述内容项相关联的所述结果行为。

此设备的实施方案可包含以下特征中的一或多者。所述结果行为选自多个结果行为，包括灾难性错误处理响应、输入-输出(I/O)错误响应、受信任实体响应的报告，以及回退错误响应。所述完整性检查动作选自多个完整性检查动作，包括需要完整性检查的动作、不需要完整性检查的动作、回退保护动作以及装置特定检查动作。与所述内容项相关联的完整性检查动作包括需要完整性检查的动作，且其中经配置以执行与所述内容项相关联的所述完整性检查动作的所述处理器经配置以：存取块列表以识别与内容项相关联的块；执行与所述内容项相关联的块的散列；以及将与所述内容项相关联的所述块的所述散列与所述图像中所包含的所述内容项的散列进行比较。与所述内容项相关联的所述完整性检查动作包括回退保护动作，且其中经配置以执行与所述内容项相关联的所述完整性检查动作的所述处理器进一步经配置以确定所述内容项的更新是否将导致所述内容项被替换为所述内容项的先前版本；且其中经配置以响应于所述完整性检查动作指示不能执行所请求的所述动作而执行与所述内容项相关联的所述结果行为的所述处理器进一步经配置以防止所述内容项被替换为所述内容项的所述先前版本的装置。用于执行动作的请求包括用于修改所述内容项的请求，且其中经配置以执行所述完整性检查动作的所述处理器进一步经配置以将所述请求报告给受信任实体，且其中执行所述结果行为包含：从所述受信任实体接收指示是否可以修改所述内容项的响应；响应于所述响应指示可以修改所述内容项而修改所述内容项；以及响应于所述响应指示可以修改所述内容项而显示不能修改所述内容项的指示。

根据本发明的其上存储有用于保护计算装置的内容的计算机可读指令的实例性非暂时性计算机可读媒体包含：指令，其经配置以致使计算机接收用于执行与图像中所包含的内容项相关联的动作的请求；存取与所述内容项相关联的安全级信息，所述安全级信息包括与所述内容项相关联的完整性检查动作及结果行为，所述结果行为响应于所述完整性检查动作指示不能执行所请求的所述动作而执行；执行与所述内容项相关联的所述完整性检查动作；以及响应于所述完整性检查动作指示不能执行所请求的所述动作而执行与所述内容项相关联的所述结果行为。

例如非暂时性计算机可读媒体的实施方案可包含以下特征中的一或多者。所述结果行为选自多个结果行为，包括灾难性错误处理响应、输入-输出(I/O)错误响应、受信任实体响应的报告，以及回退错误响应。所述完整性检查动作选自多个完整性检查动作，包括需要完整性检查的动作、不需要完整性检查的动作、回退保护动作以及装置特定检查动作。与所述内容项相关联的完整性检查动作包括需要完整性检查的动作，且其中经配置以致使计算机执行与所述内容项相关联的所述完整性检查动作的所述指令进一步包括经配置以致使计算机进行以下操作的指令：存取块列表以识别与内容项相关联的块；执行与所述内容项相关联的块的散列；以及将与所述内容项相关联的所述块的所述散列与所述图像中所包含的所述内容项的散列进行比较。与所述内容项相关联的所述完整性检查动作为回退保护动作，且其中经配置以致使计算机执行与所述内容项相关联的所述完整性检查动作的所述指令包含经配置以致使计算机确定所述内容项的更新是否将导致所述内容项被替换为所述内容项的先前版本的指令；且经配置以致使计算机响应于所述完整性检查动作指示不能执行所请求的所述动作而执行与所述内容项相关联的所述结果行为的所述指令包含经配置以致使计算机防止所述内容项被替换为所述内容项的所述先前版本的装置的指令。用于执行动作的请求包括用于修改所述内容项的请求，且经配置以致使计算机执行所述完整性检查动作的指令包含经配置以致使计算机将请求报告给受信任实体的指令，且经配置以致使计算机执行结果行为的指令包含经配置以致使计算机进行以下操作的指令：从所述受信任实体接收指示是否可以修改所述内容项的响应；响应于所述响应指示可以修改所述内容项而修改所述内容项；以及响应于所述响应指示可以修改所述内容项而显示不能修改所述内容项的指示。

附图说明

图1为可能适于实施本文中所论述技术的实例性网络架构或计算环境的框图。

图2为可用于实施图1中所说明的构建系统的计算装置的框图。

图3为说明图1到2中所展示的构建系统的功能模块的图1到2中所说明的构建系统的功能框图。

图4为可用于实施图1中所说明的目标的计算装置的框图。

图5为说明图1及4中所展示的构建系统的功能模块的图1及4中所说明的目标装置的功能框图。

图6为根据本文中所论述的技术的用于构建图像及使所述图像中的内容项与安全级相关联的过程的流程图。

图7为根据本文中所论述的技术的用于响应于用于执行与内容项相关联的动作的请求而对图像中的内容项执行完整性检查的过程的流程图。

图8为根据本文中所论述的技术的用于构建包含安全级信息的图像的过程的流程图。

图9为根据本文中所论述的技术的用于对内容项执行完整性检查的过程的流程图。

图10为根据本文中所论述的技术的用于确定是否已请求使内容项回退到先前版本的过程的流程图。

图11为根据本文中所论述的技术的用于执行回退动作的过程的流程图。

图12为根据本文中所论述的技术的用于确定是否通过联系受信任实体来更新内容项的过程的流程图。

图13为根据本文中所论述的技术的用于执行回退动作的过程的流程图。

图14为根据本文中所论述的技术的用于执行结果动作的过程的流程图。

具体实施方式

本发明提供本文中经揭示用于保护计算装置的内容的技术。计算装置的内容可为图像或多个图像。图像可包括软件库、操作系统文件、应用程序内容、视听内容(例如，图像、视频内容及/或音频内容)、配置文件，及/或可由可形成其图像的目标计算装置使用的其它内容。计算装置可包含多个不同类型的图像。举例来说，计算装置可包含系统图像，所述系统图像包含用于计算装置的操作系统的系统库；供应商特定图像，其可包含供应商特定应用内容及/或其它供应商特定内容；用户内容图像，其包含和计算装置的用户有关的用户相关内容。计算装置可包含多于一个图像，所述图像包含许多内容项项，且每一图像及其中所包含的内容项可与不同保护级相关联。举例来说，包含操作系统文件的系统图像可包含对操作系统的操作关键的系统库。

计算装置可为各种类型的计算装置，包含但不限于膝上型或其它个人计算机系统，平板计算机、移动电话、游戏控制台、可穿戴装置(例如，智能手表)及/或可经配置以利用软件组件、配置文件及/或可潜在被损坏或以未经是授权方式修改的其它类型的内容项的其它类型的计算装置。举例来说，如果操作系统的关键库被损坏或以其它方式修改，那么计算装置可能崩溃(crash)或展现其它非所要行为。但是，系统图像还可包含其它类型的文件，所述文件在被修改的情况下将不致使操作系统出故障或此些改变将不指示已对计算装置进行任何恶意修改。举例来说，系统图像可包含日志文件，所述日志文件可经周期性更新作为操作系统的正常功能的部分。系统图像可包含可用作计算装置的桌面或其它屏幕的背景的图像内容。如果此图像文件被修改或从计算装置移除，那么将不会不利地影响操作系统的完整性。

本文中所揭示的技术允许识别图像中所包含的不同类型的内容项且使其与安全级信息相关联。安全级信息可包含完整性检查动作及与内容项相关联的结果行为。完整性检查信息可指示可经执行以验证内容项是否已被改变及/或经准许改变的一或多个动作。与内容项相关联的结果行为可指示可响应于应响应于完整性检查动作而执行结果行为的确定而执行的一或多个动作。图像可包含多个内容项。每一内容项可与适于所述内容项或所述类型的内容项所要的保护级的安全级信息相关联。

实例性网络/计算环境

图1为可能适于实施本文中所论述技术的实例性计算环境的框图。本文中所说明的特定配置仅为其中可使用本文中所揭示技术的一个计算环境的实例。此外，此计算环境的实施方案可包含为清楚起见本文中未说明且已被省略的额外元件。

构建系统125可经配置以提供用户接口，所述用户接口允许用户识别包含在软件图像中的内容以建构且使安全级信息与每一内容项相关联。安全级信息可包含响应于关于对内容项进行的某一动作的请求而执行完整性检查动作以及响应于所请求动作出于安全原因不能够被执行而执行的结果行为。构建系统125可提供用于实施至少在图6及8中说明的过程的装置。可用于实施构建系统125的计算装置的实例在图2及3(在下文详细论述)中予以说明。

虽然本文中所论述的实例利用单个构建系统125来产生将用于目标装置175的图像或多个图像，但目标装置175可经配置以接收来自多个构建系统125的图像。此外，目标装置175及构建系统125可直接地或经由有线或无线连接间接地彼此连接，且在构建系统125与目标装置175之间可存在一或多个中间系统或网络。举例来说，由构建系统125产生的图像可用于从内容服务器(未展示)下载，所述内容服务器可安置在构建系统125与目标装置175之间。举例来说，操作系统开发者可提供与目标装置175兼容的一或多个建构图像，且目标装置175的制造商或经销商可将与操作系统相关联的一或多个图像下载到目标装置175。

构建系统125可由目标装置175的制造商、目标装置175的网络服务提供者、目标装置175的分销商、可用于目标装置175上的应用程序的应用内容提供者、视听内容提供者及/或通过提供可用于目标装置175上的操作系统的操作系统提供者操作。目标装置175的制造商或分销商可包含一或多个图像，所述一或多个图像可由目标装置175使用且制造商或分销商希望限制对这些图像的修改。因此，制造商或分销商可定义包含在一或多个图像中的内容项的安全级信息以控制可修改内容项的方式。应用程序内容提供者或操作系统提供者可配置与图像中所包含的内容项相关联的安全级，以防止以应用程序内容提供者或操作系统提供者不准许的方式修改包含在图像中的内容项。举例来说，应用程序内容提供者或操作系统提供者可配置与内容项相关联的安全级以允许将内容项更新到较新版本，但防止内容项被回退到先前版本。应用程序内容提供者或操作系统提供者可配置与内容项相关联的安全级以防止用户修改或删除内容项。举例来说，与内容项相关联的安全级可防止内容项被修改，此可能潜在地允许由应用程序或操作系统使用的配置文件被修改，此可导致应用程序或操作系统出故障或可能潜在地允许用户存取用户未经授权存取的内容或功能性。网络服务提供者可包含移动装置上的一或多个配置文件，所述配置文件不能被修改以防止装置误配置或允许装置的用户存取用户未经授权存取的网络服务。

目标装置175为经配置以执行存储在目标装置175的永久性存储器中的软件内容的计算机系统。目标装置175可经配置以从构建系统125及/或从多个构建系统125接收一或多个图像。目标装置175可包括移动装置，例如移动电话、平板计算机、膝上型计算机、便携式游戏装置，或包含用于执行包含在图像中的软件内容的处理器的其它此装置。目标装置175还可包括非移动装置，例如桌上型计算机系统、计算机服务器、机顶盒、数字视频记录器(DVR)、游戏控制台，或不如移动装置一样容易移动的其它此种装置。目标装置175可经配置以响应于用于对目标装置175上的图像的特定内容项执行某一动作的请求而检查与所述内容项相关联的安全信息。目标装置175可经配置以执行与内容项相关联的完整性检查动作且响应于出于安全原因而不能够执行所请求动作(如由完整性检查动作确定)而执行与内容项相关联的结果行为。构建系统125可提供用于实施至少在图7及9到13中所说明的过程的装置。

受信任实体190为可用于验证是否对包含在安装在目标装置175上的构建图像中的内容项进行某些动作的任选实体。目标装置175可经配置以经由网络连接与受信任实体190通信。举例来说，受信任实体190可经配置以提供可由一或多个网络(其可为因特网的部分)由目标装置175存取的接口。受信任实体190可经配置以证明图像中所包含的一或多个内容项的版本是否为官方版本或特定版本。举例来说，应用程序开发者或操作系统开发者可为受信任实体提供与应用程序或操作系统组件的一或多个官方版本相关联的版本信息及/或内容信息，且目标装置175可经配置以在对与那些物项相关联的内容项执行某些动作之前联系受信任实体。举例来说，目标装置175可经配置以在下载内容项的更新或执行回退到内容项的先前版本之前联系受信任实体。

图1中所说明的实例性网络配置或计算环境仅为其中可实施本文中所揭示的技术的一个可能配置的实例。其它配置可包含图1中未说明的额外元件且各种组件可以不同于图1中所展示配置的配置互连。

实例性硬件

图2为可用于实施图1中所说明的构建系统125的计算系统的框图。构建系统125可用于至少部分地实施图6及8中所说明的过程。

构建系统125包括计算机系统，包含由总线201彼此连接的通用处理器210、非暂时性存储器260及网络接口265。构建系统125的其它实施方案可包含图2的实例性实施方案中未说明的额外元件及/或可包含图2中说明的实例性实施例中说明的所有元件。

处理器210可为智能装置，例如，个人计算机中心处理器单元(CPU)，例如由公司或制作的那些，微控制器、专用集成电路(ASIC)等。存储器260为可包含随机存取存储器(RAM)、只读存储器(ROM)或其组合的非暂时性存储装置。存储器260可存储处理器可读、处理器可执行软件代码，所述处理器可读、处理器可执行软件代码含有用于控制处理器210来执行本文中所描述的功能的指令(但描述可理解软件编程功能)。软件可通过经由网络连接下载、从磁盘上传等等来载入到存储器260上。此外，软件不可直接执行，例如，需要在执行之前编译。

网络接口265可提供用于将有线及/或无线连接性提供到一或多个网络的装置。网络接口265可允许构建系统125与目标装置175、受信任实体190及/或连接到网络的其它实体(例如，经配置以将可执行编程内容(例如应用程序或操作系统内容)分布到目标装置175的应用程序服务提供者)通信。

存储器260中的软件经配置以使得处理器210能够执行各种动作，包含实施提供用于识别包含在图像中的内容项的用户接口，配置关于内容项的安全级信息，构建图像，及用于将图像部署到目标装置175或内容服务器。

图3为说明图2中所展示的存储器260的功能模块的图2中所说明的构建系统125的功能框图。举例来说，构建系统125可包含内容配置模块362、图像构建模块364以及数据存取模块366。构建系统125还可包含将其它功能性提供到构建系统125的一或多个额外功能模块。图3中所说明的功能模块可实施为图3中所说明的软件或可以硬件或硬件或软件的组合实施。图2及3中所说明的构建系统125可用于实施与图6及8中所说明的过程相关联的构建系统125。处理器210还可提供用于实施本文中所论述的构建系统125的各种模块的装置且可结合以固件实施的一或多个模块操作。

内容配置模块362可提供用于选择图像中所包含的内容的装置。内容配置模块362可提供用于呈现用于向构建系统125的用户选择包含在图像中的内容的用户接口及用于定义与图像中所包含的内容项相关联的安全级信息的装置。内容配置模块362可提供用于拍摄关于多个类型的目标装置的图像的装置。

图像构建模块364可提供用于构建包含一或多个内容项及安全级信息的图像的装置，用于将构建图像提供到一或多个目标装置175的装置，用于将构建图像上传到内容服务器用于分布及/或上传到受信任实体190的装置，所述受信任实体可使用构建图像来验证目标装置175上的图像的内容项的完整性。

数据存取模块366可经配置以将数据存储在存储器260中及/或与构建系统125相关联的其它数据存储装置中。数据存取模块366还可经配置以存取存储器260及/或与构建系统125相关联的其它数据存储装置中的数据。数据存取模块366可经配置以从构建系统125的其它模块及/或组件接收请求及存储及/或存取存储在存储器260及/或与构建系统125相关联的其它数据存储装置中的数据。

图4为可用于实施图1中所说明的目标装置175的计算系统的框图。目标装置可用于至少部分地实施图7及9到14中所说明的过程。

目标装置175包括计算机系统，所述计算机系统通过总线401彼此连接的包含通用处理器410、数字信号处理器(DSP)420、无线接口425、GNSS接口465及非暂时性存储器460。目标装置175的其它实施方案可包含图4的实例性实施方案中未说明的额外元件及/或可不包含图4中说明的实例性实施例中说明的全部元件。举例来说，目标装置175的一些实施方案可不包含GNSS接口465、DSP 420及/或无线接口425。

无线接口425可包含无线接收器、发射器、收发器及/或使得目标装置175能够使用WWAN、WLAN及/或其它无线通信协议发送及/或接收数据的其它元件。无线接口425可包括一或多个使用多个无线通信标准发射及接收无线信号的多模式调制解调器。无线接口425由线432连接到天线434用于将通信发送到无线装置及从无线装置接收通信，所述无线装置经配置以使用无线通信协议通信。虽然图4中所说明的目标装置175包括单个无线接口425及单个天线434，但目标装置175的其它实施方案可包含多个无线接口425及/或多个天线434。

I/O接口470可提供一或多个端口及/或可将数据输入及/或输出提供到目标装置175的其它接口。举例来说，I/O接口470可包含一或多个端口，例如通用串行总线(USB)端口及/或可用于将外部装置连接到移动装置的其它类型的端口。I/O接口470还可包含一或多个输入装置，例如按钮、开关、键盘、触摸屏及/或用于从用户接收输入的其它装置。I/O接口470还可包含用于输出音频及/或视觉内容的一或多个装置，例如屏幕、扬声器、耳机端口及/或用于输出此类内容的其它装置。

GNSS接口465可包含无线接收器及/或使得目标装置175能够从与一或多个GNSS系统相关联的发射器接收信号的其它元件。GNSS接口465由线472连接到天线474，所述天线用于接收来自GNSS发射器的信号。目标装置175可经配置以使用从与卫星相关联的卫星及与GNSS系统相关联的其它发射器接收的信号来确定目标装置175的位置。目标装置175还可经配置以结合从其它无线装置接收的信号使用从卫星及与GNSS系统相关联的其它发射器接收的信号。

DSP 420可经配置以处理从无线接口425及/或GNSS接口465接收的信号且可经配置以针对或结合实施为存储在存储器460中的处理器可读、处理器可执行软件代码的一或多个模块处理信号，及/或可经配置以结合处理器410处理信号。

处理器410可为智能装置，例如，个人计算机中心处理器单元(CPU)，例如由公司或制作的那些，微控制器、专用集成电路(ASIC)等。存储器460为可包含随机存取存储器(RAM)、只读存储器(ROM)或其组合的非暂时性存储装置。存储器460可存储处理器可读、处理器可执行软件代码，所述处理器可读、处理器可执行软件代码含有用于控制处理器410来执行本文中所描述的功能的指令(但描述可理解软件编程功能)。软件可通过经由网络连接下载、从磁盘上传等等来载入到存储器460上。此外，软件不可直接执行，例如，需要在执行之前编译。

存储器460中的软件经配置以使得处理器410能够执行各种动作，包含实施发送及/或接收来自经配置用于无线通信的装置的数据。

图5为说明图4中所展示的存储器460的功能模块的图4中所说明的目标装置175的功能框图。举例来说，目标装置175可包含内容完整性模块462以及数据存取模块466。目标装置175还可包含将其它功能性提供到目标装置175的一或多个额外功能模块。图5中所说明的功能模块可实施为图5中所说明的软件或可以硬件或硬件或软件的组合实施。图4及5中所说明的目标装置175可用于实施与图7及9到14中所说明的过程相关联的目标装置175。处理器410还可提供用于实施本文中所论述的目标装置175的各种模块的装置且可结合以固件实施的一或多个模块操作。

内容完整性模块462可提供用于存取与目标装置175上的图像中所包含的内容项相关联的安全级信息的装置，及用于执行包含在于内容项相关联的全级信息中的一或多个完整性检查动作及一或多个结果行为的装置。除非另有规定，内容完整性模块462可经配置以提供用于执行与图7及9到14中所说明的过程相关联的各种动作的装置。

数据存取模块466可经配置以将数据存储在存储器460中及/或与目标装置175相关联的其它数据存储装置中。数据存取模块466还可经配置以存取存储器460及/或与目标装置175相关联的其它数据存储装置中的数据。数据存取模块466可经配置以从目标装置175的其它模块及/或组件接收请求及存储及/或存取存储在存储器460及/或与目标装置175相关联的其它数据存储装置中的数据。

实例性实施方案

图6为根据本文中所论述的技术的用于构建图像及使所述图像中的内容项与安全级相关联的过程的流程图。图6中所说明的过程可使用构建系统125实施。除非另有规定，否则构建系统125的内容配置模块362及/或图像构建模块364可提供用于执行图4中所说明的过程中所包含的各种阶段的装置。

可识别作为图像的部分被保护的内容项列表(阶段605)列表可包含图像中所包含的内容项的列表。内容项可包含待保护的一或多个类型的内容。举例来说，内容项可包含软件库、操作系统文件、应用程序内容、视听内容、配置文件及/或可由目标计算装置使用的其它内容中的一或多者。待包含在图像中的内容项可相依于所产生的图像的类型及/或针对其产生图像的目标装置的类型。构建系统125的内容配置模块362可经配置以提供用户接口，所述用户接口允许用户选择待包含在图像中的内容项。用户接口还可提供接口，所述接口允许用户针对以下各项配置图像：多个类型的目标装置、多个操作系统，及/或多个不同软件版本及/或操作系统版本。举例来说，特定应用程序可部署在不同类型的目标装置上，例如目标计算机、移动电话及膝上型或桌上型计算机系统。特定应用还可配置用于不同操作系统，所述不同操作系统需要于应用程序内容相关联的不同库及/或配置文件。应用程序也可以不同版本提供，例如包含不同内容的常规版本及专业版本。由构建系统125的内容配置模块362提供的用户接口可允许用户选择与图像的不同版本相关联的内容项，例如但不限于本文中所论述的实例。

可接着使安全级信息与内容项中的每一者相关联(阶段610)。安全级信息可包含针对每一相应内容项的完整性检查动作及结果行为。完整性检查动作可定义可经执行以确定与完整性检查动作相关联的内容项是否已以根据完整性检查动作不允许的方式更改的一或多个步骤。如果内容项已以根据完整性检查动作不允许的方式更改，那么可执行与内容项相关联的结果行为。完整性检查动作可由构建系统125执行以验证经提供到目标装置175、受信任实体190及/或内容提供者的图像的完整性。目标装置175还可经配置以执行与内容项相关联的完整性检查动作。举例来说，目标装置175可经配置以响应于目标装置175经启动或接通电源而对内容项执行完整性检查动作。目标装置175还可经配置以响应于与由对目标装置175执行的一些过程所请求、存取及/或修改的完整性检查动作相关联的内容项而执行完整性检查动作。举例来说，目标装置175可经配置以响应于内容项由在目标装置175上运行的应用程序存取而执行与内容项相关联的完整性检查动作。

完整性检查动作可选自完整性检查动作集。举例来说，完整性检查动作集可包含需要完整性检查的动作、不需要完整性检查的动作、回退保护动作及装置特定检查动作。完整性检查需要动作可与内容项相关联以指示需要对内容项的完整性检查。完整性检查的特定实施方案可逐实施方案不同。此完整性检查的实例在图9、10及12中说明。与需要完整性检查的动作相关联的内容项可与适于受保护的内容类型的结果行为相关联。下文将详细论述此类结果行为的一些实例。不需要完整性检查的动作可与内容项相关联以指示不需要对内容项的完整性检查。不需要完整性检查的动作可用于识别对目标装置175的操作不关键的内容项，例如视听内容，或预期在形成图像之后周期性更新的文件，例如日志文件。与不需要完整性检查的动作相关联的内容项还可与不执行任何动作或在内容项被修改的情况下通知目标装置175及/或内容提供者的用户的结果行为相关联。回退保护动作可与不能被准许替换为内容项的先前版本的内容项相关联。举例来说，应用程序内容提供者可使回退保护动作与应用程序在目标装置175上正确地操作所需要的内容项相关联以防止目标装置175的用户将应用程序内容回退到可能不再支持或可不能与目标装置175上存在的其它软件恰当工作的先前版本。在另一实例中，操作系统开发者可使回退保护动作与包含操作系统在目标装置175上恰当操作所需要的功能性的内容项相关联。

本文中所论述的实例性完整性检查动作意欲演示可包含在特定实施方案中的完整性检查动作的类型的一些实例。除上文所论述的实例中所论述的那些动作或替代那些动作，其它实施方案中还可包含其它类型的动作。内容项可与多个完整性检查动作及结果行为相关联。举例来说，内容项可与第一完整性检查动作以及响应于第一完整性检查动作指示应执行与所述完整性检查相关联的结果行为而执行的相关联第一结果行为相关联，且与第二完整性检查动作及响应于第二完整性检查动作指示应执行与完整性检查动作相关联的结果行为而执行的相关联第二结果行为而执行的相关联的第二结果行为相关联。

结果行为可选自结果行为集。举例来说，结果行为集可包含灾难性错误处理响应、输入-输出(I/O)错误响应、受信任实体响应的报告及回退错误响应。灾难性错误处理响应可能与在被更改的情况下可不利地影响目标装置175的操作及/或潜在地损坏目标装置175及/或存储于其上的数据的内容项相关联。举例来说，灾难性错误处理响应可与操作系统库及/或包含在对目标装置175的操作关键的图像中的其它此内容相关联。输入-输出(I/O)错误响应可与在被更改的情况下可不利地影响对目标装置175的操作不关键的目标装置175的应用程序或其它特征的操作的内容项相关联。举例来说，与包含在图像中的特定应用程序的操作相关联的内容项可与输入-输出(I/O)错误响应结果行为相关联，所述输入-输出(I/O)错误响应结果行为可用于在内容项以未被与内容项相关联的完整性检查动作准许的方式更改的情况下终止应用程序的操作。目标装置175的操作不应受更改的内容项影响且一旦与内容项相关联的应用程序终止仍可继续。向受信任实体报告的响应可与在被更改的情况下应通知受信任实体内容项已被更改的内容项相关联。举例来说，向受信任实体报告的响应可与和目标装置175相关联的密钥或其它凭证相关联。举例来说，目标装置175可为移动装置，且向受信任实体报告的响应可与一或多个配置文件相关联，所述配置文件在被更改的情况下可导致移动装置出故障及/或可指示移动装置可能已被偷窃或以其它方式以未经授权方式使用。如果内容项经确定已被更改，那么目标装置175可经配置以将指示内容项已被更改的消息发送到受信任实体。

本文中所论述的实例性结果行为意欲演示可包含在特定实施方案中的结果行为的类型的一些实例。除上文所论述的实例中所论述的那些结果行为或替代那些结果行为，其它实施方案中还可包含其它类型的结果行为。

可接着使用欲在图像中受保护的内容项列表及安全级信息来构建图像(阶段615)。构建系统125的图像构建模块364可产生目标装置175的图像使得图像包含与图像中所包含的内容项相关联的安全级信息。安全级信息可包含在文件索引节点(“inode”)属性或可用于存储关于图像中所包含的内容项的元数据信息的其它数据结构中。关于内容项的元数据信息可用于存储识别哪些数据块与内容项相关联的信息。元数据信息还可用于存储关于内容项的安全级信息。元数据信息可包含与内容项相关联的一或多个完整性检查动作及与结果行为。在一些实施方案中，完整性检查动作及结果行为可定义在图像所包含的安全级信息内容项中，且与每一内容项相关联的安全级信息可经配置以参考安全级信息内容项中所包含的完整性检查动作及结果行为信息。用于存储与内容项相关联的安全级信息的特定数据结构可相依于图像意欲用于的目标装置175的配置而变化，且构建系统125可经配置以构建关于多个不同目标装置配置的多个图像。

图7为根据本文中所论述的技术的用于响应于用于执行与内容项相关联的动作的请求而对图像中的内容项执行完整性检查的过程的流程图。图7中所说明的过程可使用目标装置175实施。除非另有规定，否则目标装置175的内容完整性模块462可提供用于执行图7中所说明的过程中所包含的各种阶段的装置。

接收用于执行与图像中所包含的内容项相关联的动作的请求(阶段705)。构建系统125的内容完整性模块462可经配置以接收用于执行与安装在目标装置175上的图像中所包含的内容项相关联的动作的请求。目标装置175的处理器410可经配置以将用于对图像中所包含的内容项执行动作的请求转发到内容完整性模块462。举例来说，由目标装置175的处理器410执行的应用程序可将请求发送到处理器110以对安装在目标装置175的存储器中的图像中所包含的内容项执行动。在一些实施方案中，处理器410可经配置以用于执行试图更新、删除或以其它方式修改存储在目标装置175的存储器中的内容项的所有请求发送到内容完整性模块462，且内容完整性模块462可经配置以确定内容项是否与存在移动装置上的安全图像相关联。

欲对内容项执行的所请求动作可为读取或存取内容项或可为修改内容项。安全级信息还可规定内容项是否可被修改。与内容项相关联的安全级信息可需要甚至在执行内容项的只读存取之前验证内容项的完整性。举例来说，内容项可包含目标装置175的处理器410可存取及执行的可执行程序库。为确保可执行程序库尚未被更改，内容项可包含验证内容项尚未被修改的完整性检查动作，这是因为所述内容项通过对内容项的一或多个数据块执行散列且将其与由构建系统125执行的相同块的散列进行比较而构建。

可存取与内容项相关联的安全级信息(阶段710)。内容完整性模块462可经配置以存取存储在图像中的安全级信息以确定与内容项相关联的安全级。安全级信息可包含完整性检查动作及与内容项相关联的结果行为。如上文所论述，安全级信息可作为元数据存储在索引节点或与内容项相关联的其它数据结构中。在一些实施方案中，存储在元数据中的安全级信息可参考识别欲对完整性检查动作及/或结果行为执行的动作的安全级信息内容项的内容。在其它实施方案中，内容完整性模块462可包含信息或从存储器460存取安全级信息，所述信息可用于确定针对图像所包含的安全级信息中所包含的完整性检查动作或结果行为应执行哪些步骤。

可执行与内容项相关联的完整性检查动作(阶段715)。内容完整性模块462可经配置以执行与内容项相关联的完整性检查动作。完整性检查动作可定义可经执行以确定与完整性检查动作相关联的内容项是否已以根据完整性检查动作不允许的方式更改的一或多个步骤。内容完整性模块462可经配置以将与内容项的一或多个块相关联的信息与反映内容项的一或多个区块的预期内容的参考信息进行比较以确定内容项是否已被更改。举例来说，内容完整性模块462可经配置以确定内容项的一或多个区块的散列值且将与每一块相关联的散列值与参考散列值进行比较以确定内容项是否已被更改。内容完整性模块462还可经配置以使用受信任实体190来确定内容项是否已以不准许的方式更改。举例来说，内容完整性模块462可经配置以向受信任实体190确定与内容项的一或多个区块相关联的散列值以确定内容项是否已以根据与内容项相关联的安全级不准许的方式更改。

图9、10及12说明可用于执行内容项的完整性检查动作的实例性过程。内容完整性模块462可经配置以执行用于在其它实施方案中执行完整性检查的其它过程且并不限于图9、10及12中所说明的实例性过程。

可响应于指示不能执行所请求动作的完整性检查动作而执行与内容项相关联的结果行为(阶段720)。如果内容项已以根据完整性检查动作不允许的方式更改，那么可执行与内容项相关联的结果行为。内容完整性模块462可经配置以执行各种类型的结果行为。所述结果行为可选自结果行为集，例如灾难性错误处理响应、输入-输出(I/O)错误响应、受信任实体响应的报告，以及回退错误响应。待执行的结果行为的类型可由与内容项相关联的安全级信息定义。结果行为可基于内容项对目标装置175的功能及/或目标装置175的一或多个应用程序或组件的关键性而选择。内容完整性模块462可经配置以终止目标装置175的应用程序或模块的执行，终止目标装置175的操作系统或操作系统组件的操作，终止目标装置175的操作，及/或将内容项已以不允许方式更改的通知发送到受信任实体或其它第三方。在一些实施方案中，内容完整性模块462可经配置以响应于内容完整性模块462确定内容项已被更改而从受信任实体获得内容项的替换副本。举例来说，网络服务提供者可包含存储在目标装置175上的图像中的一或多个应用程序及/或配置数据，且内容完整性模块462可经配置以响应于确定这些内容项已被更改而获得这些内容项的替换副本。

图11、13及14说明可用于执行内容项的结果行为的实例性过程。内容完整性模块462可经配置以执行用于在其它实施方案中执行结果行为的其它过程且并不限于图11、13及14中所说明的实例性过程。

图8为根据本文中所论述的技术的用于构建包含安全级信息的图像的过程的流程图。图8中所说明的过程可使用构建系统125实施。除非另有规定，否则构建系统125的内容配置模块362及/或图像构建模块364可提供用于执行图8中所说明的过程中所包含的各种阶段的装置。图8中所说明的过程可用于实施图6中所说明的过程的阶段615。

与受保护的内容项列表的每一相应内容项相关联的块可经识别以产生块列表(阶段805)。可将在阶段605中所是别的与目标相关联的内容项分解成包括图像的一或多个数据块。可将与图像中所包含的内容项中的每一者相关联的数据块添加到块列表。块列表可稍后用于确定哪些块与特定内容项相关联且安全级(如果存在)已与特定内容项相关联。

块列表可经更新以包含完整性检查动作且及与每一相应内容项相关联的结果行为(阶段810)。阶段610中与图像中所包含的内容项中的每一者相关联的安全级信息可与内容项的相应块中的每一者相关联，使得与相应内容项相关联的完整性保护动作及结果行为与所述内容项的块中的每一者相关联。

散列函数可应用于于每一相应内容项相关联的区块及列表以产生散列内容(阶段815)。散列函数可应用于与每一内容项相关联的块中的每一者，且与每一块相关联的散列值可添加到与图像相关联的块列表信息。散列函数可稍后用于确定内容项的内容的特定缺口是否已被修改。

可将与移动装置相关联的密钥应用于签名散列内容(阶段820)。构建系统125可经配置以使用与目标装置175相关联的密钥来签名块列表。举例来说，密钥可包括构建系统125及目标装置175已存取但原本保持未知或不可用的与目标装置175相关联的私有加密密钥。目标装置175可使用密钥来确定经签名块列表尚未更改或损坏。尝试修改块列表以更改图像的内容的恶意方或软件将极其不可能能够在未存取与目标装置175相关联的密钥的情况下更改块列表。密钥可存储在基本上目标装置175上的未经授权应用程序不可存取的目标装置175的存储器中以使密钥可被未经授权第三方获得的可能性最小化。散列值可存储在包含在与内容项相关联的索引节点或其它数据结构中的元数据信息。与内容项相关联的元数据信息可存储为只读内容，所述只读内容一旦经构建不能被修改以防止操纵图像内容试图阻止与内容项相关联的安全级信息。

图9为根据本文中所论述的技术的用于对内容项执行完整性检查的过程的流程图。图9中所说明的过程可使用目标装置175实施。除非另有规定，否则目标装置175的内容完整性模块462可提供用于执行图9中所说明的过程中所包含的各种阶段的装置。图9中所说明的过程可用于实施图7中所说明的过程的阶段715。

可存取块列表以识别与内容项相关联的块(阶段905)。可存取使一或多个数据块与图像的内容项中的每一者相关联的块列表。块列表可与图像的内容一起存储或作为图像的内容的部分存储且可由内容完整性模块462存取。在一些实施方案中，存储在索引节点中或与内容项相关联的其它数据结构的元数据可包含于每一内容项相关联的块列表。构建系统125的操作系统或其它组件(例如，图像构建模块364)可经配置以将此信息存储在索引节点或其它此类数据结构中。在其它实施方案中，与内容项相关联的块可存储在文件或图像所包含的其它内容项中，且内容完整性模块462可经配置以存取文件或其它内容项且存取与存储于其中的内容项相关联的块信息。

可对与内容项相关联的块执行散列(阶段910)。内容完整性模块462可经配置以将散列算法应用于与内容项相关联的块中的一或多者。内容完整性模块462可经配置以在构建图像时使用由构建系统125应用的相同散列算法。内容完整性模块462可经配置以将散列算法应用于构成内容项的块的子集或构成内容项的所有块。构建系统125可经配置以将散列算法应用于内容项的块中的每一者且将散列值的只读副本存储在图像中。

可将与内容项相关联的块上的散列与图像中所包含的内容项的散列进行比较(阶段915)。内容完整性模块462可经配置以将由内容完整性模块462确定的内容项的块中的每一者的散列与存储在图像中的内容项的这些相应块中的每一者的散列进行比较以确定内容项是否被修改。如果内容项已被修改，那么可在图7中所说明的过程的阶段720中执行与内容项相关联的结果行为。

图10为根据本文中所论述的技术的用于确定是否已请求使内容项回退到先前版本的过程的流程图。图10中所说明的过程可使用目标装置175实施。除非另有规定，否则目标装置175的内容完整性模块462可提供用于执行图10中所说明的过程中所包含的各种阶段的装置。图10中所说明的过程可用于实施图7中所说明的过程的阶段715。回退可通过目标装置175上的应用程序及/或响应于用于回退(多个)特定内容项的用户请求而触发。回退过程可包含执行图10中所说明的用于与目标装置175上的特定应用程序、操作系统或其它内容相关联的多个内容项的过程。内容完整性模块462可经配置以随时执行图10中所说明的回退过程使得具有与其相关联的回退保护完整性检查动作的内容项试图被修改或删除，此可用于确定修改是否试图用允许的内容项的版本替换内容项。

可确定当前在目标装置上的内容项的版本(阶段1005)。内容完整性模块462可经配置以确定当前存储在目标装置175上的内容项的版本。与内容项相关联的安全信息可包含内容完整性模块462可用于确定内容项的当前版本的版本信息。内容完整性模块462还可经配置以基于内容项的散列及/或通过将内容项的散列及/或内容项发射到受信任实体190以确定内容项的版本来确定内容项的版本。

确定待替换当前在目标装置上的所述内容项的内容项的版本(阶段1010)。内容完整性模块462可经配置以确定与待替换当前在目标装置175上的内容项的内容项相关联的版本。用于对在阶段715中接收的内容项执行动作的请求可包含关于待替换目标装置175上将被替换的内容项的内容项的版本信息。举例来说，用户可能已试图将内容下载及/或安装到目标装置175上，所述内容包含可能不同于在目标装置175上已发现的内容项的内容项的版本。内容完整性模块462可经配置以确定存在于将安装及/或下载到装置的内容中的内容项的版本。待下载的内容项的版本可存储在与待安装及/或下载到目标装置175的内容相关联。内容完整性模块462可经配置以在内容完整性模块462不能验证关于内容项的版本信息的情况下防止下载及/或安装内容项。举例来说，如果与将替换已在目标装置175上的内容项相关联的安全级信息丢失及/或损坏，那么内容完整性模块462可经配置以防止目标装置175上的内容项被内容项替换。

可做出内容项的更新是否将导致内容项被替换为内容项的先前版本的确定(阶段1015)。内容完整性模块462可经配置以将存储在目标装置上的内容项的版本与借以更新所述内容项的内容项的版本以确定内容项的替换版本是否为比当前存储在目标装置175上的内容项的早的内容项版本。如果不能确定关于待替换当前在目标装置175上的内容项的内容项的版本的版本信息，那么内容完整性模块462可经配置以防止内容项的其它版本替换已在目标装置175上的内容项。

可做出基于与内容项相关联的安全级信息的内容项的更新是否为可允许的确定(阶段1020)。内容完整性模块462可经配置以在于关于内容项的安全级信息相关联的完整性动作指示不准许版本的回退的情况下防止内容项被替换为内容项的先前版本。内容完整性模块462还可经配置以在不能确定目标装置175上的内容项或待替换目标装置175上的内容项的版本的情况下防止内容项的替换。内容完整性模块462还可经配置以防止内容项被替换为内容项的不同版本。举例来说，应用程序提供者、网络服务提供者、操作系统提供者或其它内容提供者可设置与内容项相关联的安全级使得内容项的版本不能改变，但内容项的相同版本可再次被下载及/或安装在目标装置175上。

图11为根据本文中所论述的技术的用于执行回退动作的过程的流程图。图11中所说明的过程可使用目标装置175实施。除非另有规定，否则目标装置175的内容完整性模块462可提供用于执行图11中所说明的过程中所包含的各种阶段的装置。图11中所说明的过程可用于实施图7中所说明的过程的阶段720。图11中所说明的过程可实施为可响应于图12中所说明的过程的阶段1020中不允许内容项的更新的确定而执行的结果动作。

可防止目标装置上的内容项的替换(阶段1105)。内容完整性模块462可经配置以防止内容项被替换为内容项的另一版本。内容完整性模块462可经配置以在根据与和内容项相关联的安全级信息相关联的完整性检查动作不准许此回退时防止内容项回退到先前版本。内容完整性模块462还可经配置以在不能确定待替换当前在目标装置175上的内容项的内容项的版本的情况下防止内容项被替换为内容项的另一版本。内容完整性模块462可经配置以停止将替换当前可用于目标装置175上的内容项的内容项的版本的下载及/或安装。

可产生内容项的版本的回退不可能的通知(阶段1110)。内容完整性模块462可经配置以产生不准许目标装置175上的内容项的替换的通知。内容完整性模块462可经配置以在目标装置175的显示器上产生可通知目标装置175的用户内容项175不可替换的消息或另一通知。消息或其它通知可包含指示由于与内容项相关联的安全级信息不能执行先前版本的回退的信息。内容完整性模块462可经配置以将试图将内容项的新版本下载及/或安装在目标装置175上的通知发送到在目标装置175上执行的过程或应用程序。内容完整性模块462可经配置以在目标装置175上产生日志项目，所述日志项目包含识别内容项的信息、目标装置175上的内容项的版本、关于对试图下载及/或安装在目标装置175上的内容项的替换的版本信息，指示事件发生的时间的时间戳信息，及/或其它信息。日志项目可被包含在由内容完整性模块462产生的安全日志中，所述日志项目可提供对目标装置175执行的完整性检查动作及结果行为的历史。

图12为根据本文中所论述的技术的用于确定是否通过联系受信任实体190来更新内容项的过程的流程图。图12中所说明的过程可使用目标装置175实施。除非另有规定，否则目标装置175的内容完整性模块462可提供用于执行图12中所说明的过程中所包含的各种阶段的装置。图12中所说明的过程可用于实施图7中所说明的过程的阶段715。受信任实体190可与应用程序内容提供者、操作系统提供者、和目标装置175相关联的网络服务提供者及/或可验证内容项是否被修改的另一实体相关联。

将指示内容项可被修改的请求发送到受信任实体(阶段1205)。内容完整性模块462可经配置以经由有线及/或无线网络连接将请求发送到受信任实体190。请求可经由可包含因特网的一或多个网络路由到受信任实体190。请求可包含识别将被修改的内容项的信息。请求还可包含识别目标装置175的信息及/或识别目标装置175的配置的信息。举例来说，配置信息可包含识别目标装置175的硬件及/或软件组件的信息。识别目标装置175的软件组件的信息可包含识别包含在目标装置175上的一或多个操作系统的版本的信息。请求可包含识别待修改内容项的版本的版本信息。如果请求与用内容项的不同版本替换或回退内容项有关，那么请求可包含用于替换内容项的内容项的版本信息。

可从受信任实体接收指示是否可以修改内容项的响应(阶段1210)。响应可包含内容项是否可被修改的指示，且在受信任实体190确定内容项不能被改变的情况下可包含指示不能修改内容项的信息的原因。内容完整性模块462可经配置以响应于确定内容项是否可被修改而包含的信息及执行恰当的所得动作。图11说明其中内容完整性模块462可基于从受信任实体190接收的响应的内容而执行结果动作的过程。

图13为根据本文中所论述的技术的用于执行回退动作的过程的流程图。图13中所说明的过程可使用目标装置175实施。除非另有规定，否则目标装置175的内容完整性模块462可提供用于执行图13中所说明的过程中所包含的各种阶段的装置。图13中所说明的过程可用于实施图7中所说明的过程的阶段720。

可响应于响应指示内容项可被修改而修改所请求内容(阶段1305)。内容完整性模块462可经配置以允许响应于从受信任实体接收的响应中包含指示可以修改内容项的指示而修改内容项。

可产生响应于响应指示不能修改内容项而不能修改内容项的通知(阶段1310)。内容完整性模块462可经配置以响应于从受信任实体接收的响应中包含的指示不能修改内容项的指示而防止内容项被修改。

内容完整性模块462可经配置以在安全日志中产生指示是否可以修改内容项的日志项目，识别安全事件发生的时间的时间戳，且可包含指示在受信任实体190确定不能修改内容项的情况下不能修改内容项的原因的信息。内容完整性模块462可经配置以响应于从发送请求的预定时间周期内未接收到来自受信任实体的响应及/或响应于不能够发送到受信任实体的请求而防止内容项被修改。举例来说，网络拥塞或缺少网络连接性可防止目标装置175与受信任实体190通信，且内容完整性模块462可经配置以防止受保护内容被修改，直到目标装置175能够与受信任实体190通信为止。

图14为根据本文中所论述的技术的用于执行结果动作的过程的流程图。图14中所说明的过程可使用目标装置175实施。除非另有规定，否则目标装置175的内容完整性模块462可提供用于执行图14中所说明的过程中所包含的各种阶段的装置。图14中所说明的过程可用于实施图7中所说明的过程的阶段720，且可用于响应于图9中所说明的过程确定内容项已被修改而执行结果动作。

可防止对内容项执行所请求动作(阶段1405)。内容完整性模块462可经配置以响应于内容项已被修改而防止对内容项执行在图7中所说明的过程的阶段705中所请求的动作。内容完整性模块462可经配置以指示目标装置175的处理器410防止对内容项执行所请求的动作。

可产生不能对内容项执行所请求的动作的通知(阶段1410)。内容完整性模块462可经配置以响应于从受信任实体接收的响应中所包含的指示不能修改内容项的指示而防止对内容项执行所请求动作。内容完整性模块462可经配置以在安全日志中产生指示是否可执行所请求动作的日志项目，识别安全事件发生的时间的时间戳，且可包含指示不能对内容项执行所请求动作的原因的信息。

取决于应用，可通过各种装置实施本文中所描述的方法。举例来说，这些方法可实施在硬件、固件、软件或其任何组合中。针对硬件实施方案中，处理单元可实施于一或多个专用集成电路(ASIC)、数字信号处理器(DSP)、数字信号处理装置(DSPD)、可编程逻辑装置(PLD)、场可编程门阵列(FPGA)、处理器、控制器、微控制器、微处理器、电子装置、经设计以执行本文中所描述的功能的其它电子单元，或其组合内。

针对固件及/或软件实施方案，可用执行本文中所描述的功能的模块(例如，程序、功能等)来实施方法。可使用有形体现指令的任何机器可读媒体来实施本文中所描述的方法。举例来说，软件代码可经存储在存储器中且由处理器单元执行。存储器可实施于处理器单元内或在处理器单元外部。如本文中所使用，术语“存储器”指长期、短期、易失性、非易失性或其它存储器的任何类型且并不限于任何特定类型的存储器或存储器数目或媒体的类型。有形媒体包含机器可读媒体的一或多个物理物品，例如随机存取存储器、磁性存储器、光学存储媒体，等等。

如果以固件及/或软件予以实施，那么所述功能可作为一或多个指令或代码而存储于计算机可读媒体上。实例包含编码有数据结构的计算机可读媒体及编码有计算机程序的计算机可读媒体。计算机可读媒体包含物理计算机存储媒体。储存媒体可为可由计算机存取的任何可用媒体。通过实例的方式且非限制性，此些计算机可读媒体可包括RAM、ROM、EEPROM、CD-ROM或其它光盘存储装置、磁盘存储装置或任何其它磁性存储装置，或可用于存储呈指令或数据结构形式的所要程序代码且可由计算机存取的任何其它媒体；如本文中所使用的磁盘及光盘包含：光盘(CD)、激光光盘、光学光盘、数字多功能光盘(DVD)、软盘以及蓝光盘，其中磁盘通常以磁性方式再现数据，而光盘通过激光以光学方式再现数据。上述各项的组合还应包括在计算机可读媒体的范围内。此些媒体还提供非暂时性媒体的实例，其可为机器可读的，且其中计算机为可从此些非暂时性媒体读取的机器的实例。

本文中所论述的一般原理可应用于其它实施方案而不背离本发明或权利要求书的精神或范围。

Claims (24)

1.一种用于保护计算装置的内容的方法，所述方法包括：

接收用于执行与图像中所包含的内容项相关联的动作的请求；

存取与所述内容项相关联的安全级信息，所述安全级信息包括与所述内容项相关联的完整性检查动作及结果行为；

执行与所述内容项相关联的所述完整性检查动作；及

响应于所述完整性检查动作指示不能执行所请求的所述动作而执行与所述内容项相关联的所述结果行为。

2.根据权利要求1所述的方法，其中所述结果行为选自多个结果行为，包括灾难性错误处理响应、输入-输出I/O错误响应、受信任实体响应的报告，及回退错误响应。

3.根据权利要求1所述的方法，其中所述完整性检查动作选自多个完整性检查动作，包括需要完整性检查的动作、不需要完整性检查的动作、回退保护动作及装置特定检查动作。

4.根据权利要求3所述的方法，其中响应于与所述内容项相关联的所述完整性检查动作为所述需要完整性检查的动作，执行与所述内容项相关联的所述完整性检查动作包括：

存取块列表以识别与所述内容项相关联的块；

执行与所述内容项相关联的所述块的散列；及

将与所述内容项相关联的所述块的所述散列与所述图像中所包含的所述内容项的散列进行比较。

5.根据权利要求3所述的方法，其中响应于与所述内容项相关联的所述完整性检查动作为所述回退保护动作，执行与所述内容项相关联的所述完整性检查动作包括：确定所述内容项的更新是否将导致所述内容项被替换为所述内容项的先前版本，且响应于所述完整性检查动作指示不能执行所请求的所述动作而执行与所述内容项相关联的所述结果行为包括：防止所述内容项被替换为所述内容项的所述先前版本。

6.根据权利要求1所述的方法，其中用于执行所述动作的所述请求包括用于修改所述内容项的请求，且其中所述完整性检查动作包括将所述请求报告给受信任实体，且其中执行所述结果行为包括：

从所述受信任实体接收指示是否可以修改所述内容项的响应；

响应于所述响应指示可以修改所述内容项而修改所述内容项；及

响应于所述响应指示可以修改所述内容项而显示不能修改所述内容项的指示。

7.一种设备，其包括：

用于接收用于执行与图像中所包含的内容项相关联的动作的请求的装置；

用于存取与所述内容项相关联的安全级信息的装置，所述安全级信息包括与所述内容项相关联的完整性检查动作及结果行为；

用于执行与所述内容项相关联的所述完整性检查动作的装置；及

用于响应于所述完整性检查动作指示不能执行所请求的所述动作而执行与所述内容项相关联的所述结果行为的装置。

8.根据权利要求7所述的设备，其中所述结果行为选自多个结果行为，包括灾难性错误处理响应、输入-输出I/O错误响应、受信任实体响应的报告，及回退错误响应。

9.根据权利要求7所述的设备，其中所述完整性检查动作选自多个完整性检查动作，包括需要完整性检查的动作、不需要完整性检查的动作、回退保护动作及装置特定检查动作。

10.根据权利要求9所述的设备，其中与所述内容项相关联的所述完整性检查动作包括所述需要完整性检查的动作，且其中所述用于执行与所述内容项相关联的所述完整性检查动作的装置包括：

用于存取块列表以识别与所述内容项相关联的块的装置；

用于执行与所述内容项相关联的所述块的散列的装置；及

用于将与所述内容项相关联的所述块的所述散列与所述图像中所包含的所述内容项的散列进行比较的装置。

11.根据权利要求9所述的设备，其中与所述内容项相关联的所述完整性检查动作为所述回退保护动作，其中所述用于执行与所述内容项相关联的所述完整性检查动作的装置包括用于确定所述内容项的更新是否将导致所述内容项被替换为所述内容项的先前版本的装置；且其中所述用于响应于所述完整性检查动作指示不能执行所请求的所述动作而执行与所述内容项相关联的所述结果行为的装置包括用于防止所述内容项被替换为所述内容项的所述先前版本的装置。

12.根据权利要求7所述的设备，其中用于执行所述动作的所述请求包括用于修改所述内容项的请求，且其中所述完整性检查动作包括将所述请求报告给受信任实体，且其中所述用于执行所述结果行为的装置包括：

用于从所述受信任实体接收指示是否可以修改所述内容项的响应的装置；

用于响应于所述响应指示可以修改所述内容项而修改所述内容项的装置；及

用于响应于所述响应指示可以修改所述内容项而显示不能修改所述内容项的指示的装置。

13.一种设备，其包括：

处理器，其经配置以

接收用于执行与图像中所包含的内容项相关联的动作的请求；

存取与所述内容项相关联的安全级信息，所述安全级信息包括与所述内容项相关联的完整性检查动作及结果行为；

执行与所述内容项相关联的所述完整性检查动作；及

响应于所述完整性检查动作指示不能执行所请求的所述动作而执行与所述内容项相关联的所述结果行为。

14.根据权利要求13所述的设备，其中所述结果行为选自多个结果行为，包括灾难性错误处理响应、输入-输出I/O错误响应、受信任实体响应的报告，及回退错误响应。

15.根据权利要求13所述的设备，其中所述完整性检查动作选自多个完整性检查动作，包括需要完整性检查的动作、不需要完整性检查的动作、回退保护动作及装置特定检查动作。

16.根据权利要求15所述的设备，其中与所述内容项相关联的所述完整性检查动作包括所述需要完整性检查的动作，且其中所述经配置以执行与所述内容项相关联的所述完整性检查动作的处理器经配置以：

存取块列表以识别与所述内容项相关联的块；

执行与所述内容项相关联的所述块的散列；及

将与所述内容项相关联的所述块的所述散列与所述图像中所包含的所述内容项的散列进行比较。

17.根据权利要求15所述的设备，其中与所述内容项相关联的所述完整性检查动作包括所述回退保护动作，且其中所述经配置以执行与所述内容项相关联的所述完整性检查动作的处理器进一步经配置以确定所述内容项的更新是否将导致所述内容项被替换为所述内容项的先前版本；且其中所述经配置以响应于所述完整性检查动作指示不能执行所请求的所述动作而执行与所述内容项相关联的所述结果行为的处理器进一步经配置以防止所述内容项被替换为所述内容项的所述先前版本。

18.根据权利要求13所述的设备，其中用于执行所述动作的所述请求包括用于修改所述内容项的请求，且其中所述经配置以执行所述完整性检查动作的处理器进一步经配置以将所述请求报告给受信任实体，且其中执行所述结果行为包括：

从所述受信任实体接收指示是否可以修改所述内容项的响应；

响应于所述响应指示可以修改所述内容项而修改所述内容项；及

响应于所述响应指示可以修改所述内容项而显示不能修改所述内容项的指示。

19.一种非暂时性计算机可读媒体，其上存储有用于保护计算装置的内容的计算机可读指令，其包括经配置以致使计算机进行以下操作的指令：

接收用于执行与图像中所包含的内容项相关联的动作的请求；

存取与所述内容项相关联的安全级信息，所述安全级信息包括与所述内容项相关联的完整性检查动作及结果行为；

执行与所述内容项相关联的所述完整性检查动作；及

响应于所述完整性检查动作指示不能执行所请求的所述动作而执行与所述内容项相关联的所述结果行为。

20.根据权利要求19所述的非暂时性计算机可读媒体，其中所述结果行为选自多个结果行为，包括灾难性错误处理响应、输入-输出I/O错误响应、受信任实体响应的报告，及回退错误响应。

21.根据权利要求19所述的非暂时性计算机可读媒体，其中所述完整性检查动作选自多个完整性检查动作，包括需要完整性检查的动作、不需要完整性检查的动作、回退保护动作及装置特定检查动作。

22.根据权利要求21所述的非暂时性计算机可读媒体，其中与所述内容项相关联的所述完整性检查动作包括所述需要完整性检查的动作，且其中所述经配置以致使所述计算机执行与所述内容项相关联的所述完整性检查动作的指令进一步包括经配置以致使所述计算机进行以下操作的指令：

存取块列表以识别与所述内容项相关联的块；

执行与所述内容项相关联的所述块的散列；及

将与所述内容项相关联的所述块的所述散列与所述图像中所包含的所述内容项的散列进行比较。

23.根据权利要求21所述的非暂时性计算机可读媒体，其中与所述内容项相关联的所述完整性检查动作包括所述回退保护动作，且其中所述经配置以致使所述计算机执行与所述内容项相关联的所述完整性检查动作的指令进一步包括经配置以致使所述计算机确定所述内容项的更新是否将导致所述内容项被替换为所述内容的先前版本的指令；且其中所述经配置以致使所述计算机响应于所述完整性检查动作指示不能执行所请求的所述动作而执行与所述内容项相关联的所述结果行为的指令包括经配置以致使所述计算机防止所述内容项被替换为所述内容项的所述先前版本的指令。

24.根据权利要求19所述的非暂时性计算机可读媒体，其中用于执行所述动作的所述请求包括用于修改所述内容项的请求，且其中所述经配置以致使所述计算机执行所述完整性检查动作的指令进一步包括经配置以致使所述计算机将所述请求报告给受信任实体的指令，且其中所述经配置以致使所述计算机执行所述结果行为的指令进一步包括经配置以致使所述计算机进行以下操作的指令：

从所述受信任实体接收指示是否可以修改所述内容项的响应；

响应于所述响应指示可以修改所述内容项而修改所述内容项；及

响应于所述响应指示可以修改所述内容项而显示不能修改所述内容项的指示。