CN107533608A - 可信更新 - Google Patents

Abstract

在示例中，描述了用于提供可信更新器和可信进程的系统和方法。更新器可以服从它和任何子进程被允许修改的文件的白名单。但是信任继承性可能跨重启和在进程间通信内打破。因此，合期望的是提供跨这样的事件维持信任的系统和方法。在可信安装器的情况下，继承性可以通过对工作流网格交叉引用数字证书来维持。在更新器进程的情况下，信任可以通过使用作为信任链的部分的数字证书和用于每一个信任链工作流的唯一标识符的组合来维持。

Description

可信更新

对相关申请的交叉引用

本申请要求享有2014年12月26日提交的题为“TRUSTED UPDATES”的印度非临时专利申请号6600/CHE/2014的益处和优先权，该印度非临时专利申请以其整体通过引用并入本文。

技术领域

本申请涉及计算机安全领域，并且更特别地涉及用于提供可信更新的系统和方法。

背景技术

如贯穿本说明书所使用的，“白名单”包括被授权在计算设备上运行并且可以仅由被指定为更新器的可执行对象修改的计算对象的任何经消毒的列表。“更新器”因而是被授权修改计算设备上的白名单化文件组的可执行对象。例如，更新器可以是在Microsoftwindows系统上运行的系统更新服务，其配置成下载和安装用于已安装的软件的补丁和更新。在另一示例中，更新器可以是在Linux或UNIX系统上运行的更新守护，包括提供有公共软件储存库的更新守护，诸如“端口”及其变型，其可以管理大数目的已安装包，包括安全和特征更新。更新器还可以包括由特定软件包提供的个体更新代理。例如，由Oracle公司提供的Java运行时引擎（JRE）经常安装周期性检查新的Java更新的Java更新代理。

附图说明

当与随附各图一起阅读时，本公开从以下详细描述最好地理解。要强调的是，依照工业界中的标准实践，各种特征并未按比例绘制并且仅用于图示目的。事实上，各种特征的尺寸可以为了讨论的清楚性而任意地增大或减小。

图1是根据本说明书的一个或多个示例的使能安全性的网络的框图。

图2是根据本说明书的一个或多个示例的计算设备的框图。

图3是根据本说明书的一个或多个示例的服务器的框图。

图4是根据本说明书的一个或多个示例的更新方法的功能框图。

图5A和5B是根据本说明书的一个或多个示例的更新方法的功能框图。

图6是根据本说明书的一个或多个示例的更新方法的功能框图。

图7A和7B是根据本说明书的一个或多个示例的更新方法的功能框图。

图8是根据本说明书的一个或多个示例的更新方法的功能框图。

图9是根据本说明书的一个或多个示例的方法的流程图。

图10是根据本说明书的一个或多个示例的方法的流程图。

具体实施方式

概述

在示例中，描述了用于提供可信更新的系统和方法。更新器可以服从它和任何子进程被允许修改的文件的白名单。但是更新器继承性可能跨重启和在进程间通信内打破。因此，合期望的是提供跨这样的事件维持更新器继承性的系统和方法。在可信安装器的情况下，继承性可以通过对工作流网格交叉引用数字证书来维持。在更新器的情况下，信任可以通过使用作为信任链的部分的数字证书和用于每一个信任链工作流的唯一标识符的组合来维持。

本公开的示例实施例

以下公开内容提供许多不同的实施例或示例，以用于实现本公开的不同特征。以下描述组件和布置的具体示例以简化本公开。这些当然仅仅是示例并且不意图是限制性的。另外，本公开可以在各种示例中重复参考标号和/或字母。该重复是出于简化和清楚的目的并且自身不规定所讨论的各种实施例和/或配置之间的关系。

不同实施例可以具有不同的优点，并且没有特定优点是任何实施例所必然要求的。

“系统管理代理”是通常使用在企业计算环境或其中安全或一致性极受珍视的其它环境中的安全措施。系统管理代理可以作为具有升高的系统权限的后台进程或内核模块或二者运行，从而针对安装未经授权的软件或在没有授权的情况下修改文件的尝试而监视系统，并且否则实施企业计算策略。然而，为了促进已安装、经授权的程序的更新，可以提供系统级白名单，并且用于企业的安全管理员可以将可执行对象的某个类或组指定为“可信更新器”。

在示例中，更新器的性质包括以下：

a. 作为更新器运行的进程应当具有修改白名单中的任何文件的能力。这可以包括更新、修改、删除或以其它方式更改白名单中的任何文件。

b. 更新器进程还可以被允许执行任何二进制对象，即便该二进制对象不存在于白名单中。

c. 更新器架构应当提供更新器继承性。这意味着由更新器启动的任何二进制对象或进程继承更新器的权限，包括修改白名单上的文件的能力。因此，由更新器启动的任何二进制对象应当能够做更新器自己将能够做的任何事。在更新器继承性中，更新器二进制对象的任何子进程将以更新器权限运行。

可信更新器的一个特征是其可以包括“可信文件集合”。可信文件集合是属于与可信更新器相同的工作流的全局白名单中的文件的子集。可信更新器被授权修改其可信文件集合中的任何文件，所述修改在该上下文中可以包括创建文件、删除文件、重命名文件、改变文件的元数据（诸如许可和属性）或以其它方式在文件上进行操作中的任何一个或全部。可信更新器还可以被授权启动子进程或执行其它二进制文件，在该情况下可以建立信任链。在示例中，可信更新器可以被授权启动任何进程，但是每一个进程仅可以修改出现在白名单中的作为可信文件集合的部分的文件。换言之，可执行对象或进程只有如果它可以追踪其信任链回到被授权修改文件的可信更新器才被准许修改文件。

例如，可信更新器“A”可以具有从白名单选择的可信文件集合。进程A可以启动进程“B”，进程“B”进而可以启动进程“C”。在该情况下，B和C可能是标准系统实用程序，并且将进程A可能需要的每一个实用程序个体地白名单化可能不是实际或合理的。将B和C自身视为单独的可信更新器可能也不是合期望的，因为这可能造成未经授权的修改。然而，由于在该情况下B和C具有追踪回到可信更新器A的信任链，因此它们被准许修改进程A的可信文件集合中的文件。该配置使得可信更新器能够保持经授权的程序是最新的，并且在不需要用于来自企业安全管理器的每一个更新的特殊分配的情况下操作辅助程序。

然而，对于更新的常见要求，特别是在Microsoft Windows系统中，在于机器必须在更新可以完成之前重启。这例如对于使更新器更新在安装时驻留在存储器中的文件、进程或服务而言可能是必要的。

然而，重启可能打破信任链。例如，进程“A”（更新器）可以启动进程“B”，进程“B”可以向启动脚本写入某些指令，使得进程“C”在下一次重启时启动。意图使进程C修改包含在用于更新器A的可信文件集合中的文件。然而，当系统重启时，来自进程A的信任链被打破。因此，系统管理代理可能阻止进程C更新它需要更新的文件，即便它们出现在用于进程A的可信文件集合上。为了避免该问题并且准许更新成功完成，企业安全管理员可能需要授予特殊分配。这可能是令人厌烦的，但是比具有运行在系统上的过期软件的可替换方案优选。

在另一示例中，系统管理代理可能试图跨重启而“记住”进程C是进程A的子进程，并且因而应当被授予相同的信任链。然而，这使得系统管理代理的安全特征中的一个挫败。具体地，系统管理代理现在不能证实进程C作为A的合法子进程而被启动。因此，有益的是提供一种用于系统管理代理的方法，其可以在最小或没有来自安全管理员的手动介入的情况下，甚至跨重启鲁棒地将进程C标识为属于由进程A发起的信任链。

在一个示例中，本说明书描述了一种证实方案，其可以通过使用向可信更新器指派的验证对象（诸如公钥基础设施（PKI）证书）来实现。在该示例中，除了满足针对作为可信更新器的其它企业特定要求之外，可执行对象只有如果它具有由可信证书权威机构签名的有效证书才被标记为可信更新器。如贯穿本说明书所使用的，“证书”包括任何数字令牌、文件、字符串、验证对象或向更新器或安装器指派的其它对象，所述其它对象在对于使用情况而言可接受的置信程度证实更新器或安装器的继承和/或完整性。在示例中，二进制文件的校验和由证书进行数字签名并且嵌入在可执行对象中，使得篡改可执行对象可以通过在对象上执行校验和并且确定其是否匹配嵌入在二进制文件中的校验和而被容易地检测。

在一些情况下，证书可以包括用于由父代可信更新器控制的多个可执行对象的证实令牌。因此，在其中可信更新器进程A启动进程B，进程B进而启动进程C的示例中，用于进程A的证书也可以包括用于进程B和用于进程C的证实令牌。在一个示例中，证书还可以包括用于不应当在系统上执行的不同进程D的证实令牌。例如，可信更新器A可以是用于web浏览器程序的安装器，其还可以安装程序D，程序D是web浏览器的聊天组件。在该示例中，web浏览器可以由企业安全策略授权，但是聊天程序不可以。因此，适当运转的客户端设备将安装A（包括允许进程A和任何子进程修改进程A的白名单中的文件），但是将阻止进程D修改白名单上的文件，即便其具有有效证书。

因此，在一个示例中，可以维护信任网格以对照白名单化文件和有效证书来交叉引用可信更新器。在该示例中，进程A是可信更新器，并且进程B和C出现在其可信文件集合中。进程B和C还通过验证进程A的相同证书来验证。进程D也通过该证书来验证，但是不出现在用于进程A的可信文件集合中。因此，如果用户或进程试图启动进程D，安全管理器和代理可以在其安全网格中查找进程D，并且确定尽管进程D具有有效证书，但是其不出现在用于进程A的可信文件集合中，并且因而应当被阻止执行。

该过程使得安全管理员能够使用现有的证实基础设施，诸如由商业厂商提供的PKI证书以提供用于该商业软件的授权的精细粒度调谐。可以允许软件的某些部分安装，而软件的其它部分可以被策略阻止。

以下图4、5A、5B和6的实施例公开了“可信树”架构的示例，其在某些实施例中可能导致被打破的继承性。关于如本文所描述的打破继承性的问题可以在一个或多个实施例中通过提供用于提供除了以上描述的“可信更新器”之外的“可信安装器”和“可信服务”的系统和方法来解决。在一个示例中，可信安装器继承可信更新器的性质，并且还包括以下能力：

d. 当向白名单添加文件时，系统管理代理追踪由相同的可信安装器创建或导入并且具有公共证书的所有文件。这些文件构成“信任链”。

e. 准许信任链中的文件修改彼此。为了追踪信任链中的文件，每一个可以利用标识符来加标签，诸如全局唯一标识符（GUID）。

f. 可信安装器可以是应用安装器，或者可以由第三方软件管理产品提供。

因此，在原则上，可信安装器可以在安装进程期间自动发现附加的更新器，这使得能够在应用的寿命期间实现无缝安装和安装后活动。

在一个示例中，可信安装器将安装器（包括第三方软件管理工具）标记为对于系统是可信的。可信安装器然后基于如何将文件带到系统中以及基于其相关联的证书而建立信任链。仅属于相同信任链的文件可以修改彼此，并且信任链的根必须是可信安装器。

在一个示例中，可信安装器能够在安装期间触发信任链的创建。任何第三方安装器可以被标记为可信安装器，因而允许第三方安装器在不标识用于个体应用和安装器的更新规则的情况下安装所有应用文件。信任链不要求用于更新器的任何附加规则，包括避免被打破的更新器继承链将需要的附加规则。在另一示例中，经由可信安装器安装的应用的自更新将不要求更新器规则的手动配置。

本文还提供了一种用于“可信服务”的机制。可信服务可以是例如在Windows托管的服务之下作为更新器或可信更新器运行的服务。可信更新器或可信服务的操作原理是最小权限原理，并且通过提供用于用户配置服务以作为安全容器内部的更新器运行的简化接口来改进可用性。可信服务还在不深潜到服务所做的事情中的情况下无缝地标识实际的服务行为。

在一个示例中，使用信任链比如以上所描述的依赖于进程树更加鲁棒地确定更新器权限。信任链还安插安全漏洞，其可能因为受托管服务而出现，如果它们被标记为更新器的话。被标记为更新器的受托管服务在共享容器中将导致其它受托管服务同样在共享容器中运行并且具有相同的权限。由它们中的任何一个启动的任何进程还将继承那些权限。但是被标记为可信服务的受托管服务将在其自身的容器中启动，其中其权限可以被子进程以安全的方式继承。

根据本说明书的可信服务提供如本文所描述的增强的安全性。例如，受托管服务在共享模式中可以不被标记为更新器。可信服务还提供更新器与可能易受损的服务的清楚隔离。因此，可信服务避开经由可能为某个其它共享的受托管服务提供的暴露接口的攻击。本说明书的系统和方法还通过在其自身的进程中和在服务的上下文中重新启动服务来修复在共享模式中作为更新启动的现有运行的受托管服务。还可以提供配置跨服务注册表和服务重配置的配置的持续性。总体上，本说明书的系统和方法可以通过确保白名单的完整性不受损来改进安全性。

可信服务还可以改进可用性。例如，它们可以基于服务名称来改进更新器规则的配置和管理的简易性。它们还自动将服务标记为用于在没有显式重启的情况下添加的新规则的更新器。最后，可信服务可以提供用于遵从和报告生成的改进的审核。

图1是根据本说明书的一个或多个示例的受保护的企业100的网络级图。在图1的示例中，多个用户120操作多个客户端设备110。具体地，用户120-1操作台式计算机110-1。用户120-2操作膝上型计算机110-2。并且用户120-3操作移动设备110-3。

每一个计算设备可以包括适当的操作系统，诸如Microsoft Windows、Linux、Android、Mac OSX、Apple iOS、Unix或类似物。前述各项中的一些可能比另一个更常使用在一种类型的设备上。例如，台式计算机110-1，其在一个实施例中可以是工程工作站，可能更可能使用Microsoft Windows、Linux、Unix或Mac OSX中的一个。膝上型计算机110-2，其经常是具有更少定制选项的便携式现成设备，可能更可能运行Microsoft Windows或MacOSX。移动设备110-3可能更可能运行Android或iOS。然而，这些示例不意图是限制性的。

在一个示例中，客户端设备110中的一些或全部可以包括防止未经授权的软件的安装的系统管理代理。

客户端设备110可以经由企业网络170通信耦合到彼此和其它网络资源。企业网络170可以是操作在一个或多个合适的联网协议上的任何合适的网络或一个或多个网络的组合，作为非限制性示例，包括例如局域网、内联网、虚拟网络、广域网、无线网络、蜂窝网络或因特网（可选地经由代理、虚拟机或其它类似的安全机构来访问）。企业网络170还可以包括一个或多个服务器、防火墙、路由器、交换机、安全器具、防病毒服务器或其它有用的网络设备。在该图示中，为了简化，企业网络170被示出为单个网络，但是在一些实施例中，企业网络170可以包括大数目的网络，诸如连接到互联网的一个或多个企业内联网。企业网络170还可以提供经由外部网络172对诸如因特网之类的外部网络的接入。外部网络172可以类似地是任何合适类型的网络。

配置为企业安全控制器（ESC）140的一个或多个计算设备也可以在企业网络170上操作。ESC 140可以为安全管理员150提供用户接口以定义企业安全策略，ESC 140可以在企业网络170上和跨客户端设备120实施所述企业安全策略。

受保护的企业100可能遭遇网络上的各种“安全对象”。安全对象可以是在企业网络170上操作或与企业网络170交互并且具有实际或潜在的安全暗示的任何对象。在一个示例中，对象可以被宽泛划分成硬件对象和软件对象，硬件对象包括与网络通信或经由网络进行操作的任何物理设备。软件对象可以被进一步细分为“可执行对象”和“静态对象”。可执行对象包括可以主动执行代码或自主操作的任何对象，作为非限制性示例，诸如应用、驱动器、程序、可执行文件、库、进程、运行时文件、脚本、宏、二进制文件、解译器、经解译的语言文件、具有内联代码的配置文件、嵌入式代码和固件指令。静态对象可以宽泛地指定为不是可执行对象或者不能执行的任何对象，作为非限制性示例，诸如文档、图片、音乐文件、文本文件、没有内联代码的配置文件、视频和绘图。在一些情况下，还可以提供混合软件对象，诸如例如具有内置宏的文字处理文档或具有内联代码的动画。为了安全目的，这些可以被视为软件对象的单独类，或者可以简单地被视为可执行对象。

作为非限制性示例，企业安全策略可以包括认证策略、网络使用策略、网络资源配额、防病毒策略和关于客户端设备110上的可执行对象的约束。系统管理代理可以帮助实施这些策略，包括约束未经授权的可执行对象修改某些文件。各种网络服务器可以提供大量服务，诸如路由、联网、企业数据服务和企业应用。

受保护的企业100可以跨企业边界104与外部网络172通信。企业边界104可以表示物理、逻辑或其它边界。企业网络172可以包括例如网站、服务器、网络协议和其它基于网络的服务。在一个示例中，应用储存库160经由外部网络172可用，并且攻击者180（或其它类似的恶意或过失行为者）也连接到外部网络172。

用户120和受保护的企业100的目标可以是在没有来自攻击者180或来自不想要的安全对象的干扰的情况下成功地操作客户端设备110。在一个示例中，攻击者180是恶意软件作者，其目标或目的是导致恶意的损害或危害。恶意损害或危害可以采取以下形式：在客户端设备110上安装根套件或其它恶意软件以篡改系统、安装间谍软件或广告软件以收集个人和商业数据、毁坏网站、操作僵尸网络（诸如电子垃圾服务器）或简单地烦扰和骚扰用户120。因此，攻击者180的一个目的可以是将他的恶意软件安装在一个或多个客户端设备110上。如贯穿本说明书所使用的，恶意的软件（“恶意软件”）包括配置成提供不想要的结果或进行不想要的工作的任何安全对象。在许多情况下，恶意软件对象将是可执行对象，作为非限制性示例，包括病毒、木马、僵尸、根套件、后门、蠕虫、间谍软件、广告软件、勒索软件、拨号器、有效载荷、恶意浏览器帮助器对象、追踪cookies、登录器或设计成采取潜在不想要的行动的类似对象，作为非限制性示例，所述潜在不想要的行动包括数据破坏、隐蔽数据收集、浏览器挟持、网络代理或重定向、隐蔽追踪、数据记录、按键记录、对移除的过量或蓄意障碍、联系收获和未经授权的自传播。

攻击者180还可能想要对受保护的企业100进行工业或其它间谍活动，诸如窃取机密或私有的数据、窃取身份或获得对企业资源的未经授权的访问。因此，攻击者180的策略还可能包括尝试获得对一个或多个客户端设备110的物理访问权并且在没有授权的情况下操作它们，使得有效的安全策略还可以包括用于防止这样的访问的规定。

在另一示例中，软件开发者可能并非明确地具有恶意意图，但是可能开发造成安全风险的软件。例如，公知并且通常利用的安全漏洞是所谓的缓冲超限，其中恶意用户能够将过长的字符串录入成输入形式并且因而获得执行任意指令或者以客户端设备110上的升高的权限进行操作的能力。缓冲超限可以是例如劣质的输入验证或使用不安全的库的结果，并且在许多情况下出现在不明显的上下文中。因此，尽管自己不是恶意的，但是向应用储存库160贡献软件的开发者可能不利地为攻击者180提供攻击媒介。劣质编写的应用也可能导致固有的问题，诸如崩溃、数据丢失或其它不合期望的行为。由于这样的软件自身可能是合期望的，因此对于开发者而言可以有益的是不时地提供更新或补丁，所述更新或补丁在易损性变得已知时修复它们。然而，从安全的角度，这些更新和补丁本质上是新的。

证书权威机构192可以提供数字证书，诸如公钥基础设施（PKI）证书，其可以用于验证二进制对象，包括安全更新器。信任关系可以在受保护的企业100和证书权威机关192之间建立，使得如果二进制对象具有由证书权威机关192发布的相关联的证书，受保护的企业100可以将该对象视为（Dean）有效和安全的。在该示例中，证书权威机关192被示出为外部实体，但是同样合理的是，证书权威机关192可以是受保护的企业100内部的证书权威机关。另外，安全服务提供者190还可以发布证书并且充当证书权威机关192。其它配置是可能的。

在一些情况下，证书权威机关192可以向可以从应用储存库160下载的应用发布证书。因此，企业安全策略只有如果应用具有由证书权威机关192发布的有效证书并且被提供在用于受保护的企业100的应用的经授权列表中才允许它从应用储存库160安装。在该情况下，根据本文所公开的系统和方法，用于经授权的应用的安装器程序可以被标记为更新器或可信更新器。在一个示例中，安全管理员150可以在企业安全控制器140中的沙盒环境上在来自应用储存库160的应用的安装中运行。安全管理员150可以使用该进程来构建用于安装应用所要求的文件列表。该列表然后可以作为用于与应用相关联的安全更新器的可信文件集合而被分发。

应用储存库160可以表示Windows或Apple“应用商店”或更新服务、Unix式储存库或端口集合，或者为用户120提供在客户端设备110上交互地或自动地下载和安装应用的能力的其它网络服务。如果应用储存库160使得安全措施就位（这使得对于攻击者190而言难以公然分发恶意的软件），攻击者190可能替代性地将易损性暗中插入到明显有益的应用中。

在一些情况下，受保护的企业100可以提供策略指引，其约束可以从应用储存库160安装的应用类型。因此，应用储存库160可以包括不是疏忽开发的并且不是恶意软件的软件，但是这仍旧抵触策略。例如，一些企业约束比如媒体播放器和游戏那样的娱乐软件的安装。因此，甚至安全的媒体播放器或游戏可能不适合于企业计算机。安全管理员150可以负责分发与这样的约束一致的计算策略并且在客户端设备120上实施它。

受保护的企业100还可以与安全服务提供者190订有合约或者订阅安全服务提供者190，安全服务提供者190可以提供安全服务、更新、防病毒定义、补丁、产品和服务。McAfee^®公司是提供全面安全和防病毒解决方案的这样的安全服务提供者的非限制性示例。

在另一示例中，受保护的企业100可以简单地为家庭，其中家长采取安全管理员150的角色。家长可能希望保护他们的孩子以防不合期望的内容，作为非限制性示例，诸如色情文学、广告软件、间谍软件、年龄不适宜的内容、对某些政治、宗教或社会运动的鼓吹或讨论不合法或危险活动的论坛。在该情况下，家长可以执行安全管理员150的一些或全部职责。

集体地，被指定为或者可以被指定为属于不合期望的对象的前述类别中的任何一个的任何对象可以被分类为恶意对象。当在受保护的企业100内遭遇到未知的对象时，该对象可以最初被分类为“候选恶意对象”。该指定可以确保其不被授予完整的网络权限，直到该对象被进一步分析。因此，用户120和安全管理员150的目标是配置和操作客户端设备110和企业网络170以便排除所有的恶意对象，并且迅速且准确地对候选恶意对象进行分类。系统管理代理可以用于确保从未执行恶意对象，并且候选恶意对象不能被执行，直至它们被正确地表征。为了实施该策略，系统管理代理可以配置成防止任何可执行对象修改系统文件，如果它不是可信更新器或可信安装器的话。

图2是根据本说明书的一个或多个示例的客户端设备110的框图。客户端设备110可以是任何合适的计算设备。在各种实施例中，作为非限制性示例，“计算设备”可以是或包括计算机、工作站、嵌入式计算机、嵌入式控制器、嵌入式传感器、个人数字助理、膝上型计算机、蜂窝电话、IP电话、智能电话、平板计算机、双用平板计算机、计算器具、网络器具、接收器、可穿戴计算机、手持计算器或用于处理和传送数据的任何其它电子、微电子或微机电设备。

客户端设备110包括连接到存储器220的处理器210，存储器220具有存储在其中的可执行指令以用于提供操作系统222和系统管理代理224的至少软件部分。客户端设备110的其它组件包括存储部250、网络接口260和外围接口240。该架构仅作为示例而提供，并且意图是非排他且非限制性的。另外，所公开的各种部分意图仅仅是逻辑划分，并且不需要必然表示物理上分离的硬件和/或软件组件。某些计算设备例如提供单个物理存储器设备中的主存储器220和存储部250，并且在其它情况下，存储器220和/或存储部250在功能上跨许多物理设备分布。在虚拟机或管理程序的情况下，功能的全部或部分可以以在虚拟化层之上运行的软件或固件的形式提供以提供所公开的逻辑功能。在其它示例中，诸如网络接口260之类的设备可以仅提供执行其逻辑操作必要的最小硬件接口，并且可以依赖于软件驱动器来提供附加的必要逻辑。因此，本文所公开的每一个逻辑块宽泛地意图包括配置并且可操作用于提供该块的所公开的逻辑操作的一个或多个逻辑元件。如贯穿本说明书所使用的，“逻辑元件”可以包括硬件、外部硬件（数字、模拟或混合信号）、软件、往复式软件、服务、驱动器、接口、组件、模块、算法、传感器、组件、固件、微代码、可编程逻辑或可以协作以实现逻辑操作的对象。

在示例中，处理器210经由存储器总线270-3通信耦合到存储器220，作为示例，存储器总线270-3可以是例如直接存储器访问（DMA）总线，尽管其它存储器架构是可能的，包括其中存储器220经由系统总线270-1或某个其它总线与处理器210通信的那些。处理器210可以经由系统总线270-1通信耦合到其它设备。如贯穿本说明书所使用的，“总线”包括任何有线或无线互连线、网络、连接、捆束、单个总线、多个总线、交叉开关网络、单级网络、多级网络或可操作以承载计算设备的部分之间或计算设备之间的数据、信号或功率的其它传导介质。应当指出的是，这些使用仅作为非限制性示例而公开，并且一些实施例可以省略前述总线中的一个或多个，而其它可以采用附加或不同的总线。

在各种示例中，“处理器”可以包括逻辑元件的任何组合，作为非限制性示例包括微处理器、数字信号处理器、现场可编程门阵列、图形处理单元、可编程逻辑阵列、专用集成电路或虚拟机处理器。在某些架构中，可以提供多核处理器，在该情况下处理器210可以被视为多核处理器的仅一个核，或者可以视情况而被视为整个多核处理器。在一些实施例中，还可以提供一个或多个协处理器以用于特殊化或支持功能。

处理器210可以经由DMA总线270-3在DMA配置中连接到存储器220。为了简化本公开，将存储器220公开为单个逻辑块，但是在物理实施例中可以包括任何一种或多种合适的易失性或非易失性存储器技术的一个或多个块，包括例如DDR RAM、SRAM、DRAM、高速缓存、L1或L2存储器、片上存储器、寄存器、闪存、ROM、光学介质、虚拟存储器区、磁性或磁带存储器或类似物。在某些实施例中，存储器220可以包括相对低延时的易失性主存储器，而存储部250可以包括相对较高延时的非易失性存储器。然而，存储器220和存储部250不需要是物理分离的设备，并且在一些示例中可以简单地表示功能的逻辑分离。还应当指出的是，尽管DMA作为非限制性示例而公开，但是DMA不是与本说明书一致的仅有协议，并且其它存储器架构是可用的。

存储部250可以是任何种类的存储器220，或者可以是单独设备。存储部250可以包括一个或多个非暂时性计算机可读介质，作为非限制性示例，包括硬盘驱动器、固态驱动器、外部存储部、独立盘冗余阵列（RAID）、网络附连存储部、光学存储部、磁带驱动器、备份系统、云存储部或前述各项的任何组合。存储部250可以是或者可以在其中包括一个或多个数据库或以其它配置存储的数据，并且可以包括诸如操作系统222和系统管理代理224的软件部分之类的操作软件的已存储副本。许多其它配置也是可能的，并且意图被涵盖在本说明书的宽泛范围内。

可以提供网络接口260以将客户端设备110通信耦合到有线或无线网络。“网络”，如贯穿本说明书所使用的，可以包括可操作成在计算设备内或之间交换数据或信息的任何通信平台，作为非限制性示例，包括自组织本地网络、为计算设备提供电子交互的能力的互联网架构、简易老式电话系统（POTS）（计算设备可以将其用于执行事务，其中它们可以由人类操作者辅助或者其中它们可以向电话或其它合适的电子装备中手动键入数据）、提供系统中的任何两个节点之间的通信接口或交换的任何分组数据网络（PDN）、或者任何局域网（LAN）、城域网（MAN）、广域网（WAN）、无线局域网（WLAN）、虚拟专用网络（VPN）、内联网或促进网络或电话环境中的通信的任何其它适当的架构或系统。

系统管理代理224可以是提供系统管理客户端服务的任何合适的引擎。这可以包括实施用于受保护的企业100的安全策略。例如，系统管理代理224可以约束未经安全管理员150具体授权的任何应用向计算设备110上的安装。系统管理代理224还可以接收防病毒和防恶意软件更新，以及来自企业安全控制器140的其它安全过程。

可信更新器226可以配置为经授权的应用或安装器。这可以包括例如Windows更新服务、应用更新器或集中式应用储存库，诸如UNIX“端口”系统，其提供大数目的应用，其中的一些可以被授权并且其中的其它可能未被授权。系统管理代理224可以包括用于可信更新器226的可信文件集合，包括可信更新器226被授权安装的文件。在该示例中，可信更新器226作为单个可信更新器而公开，但是应当指出的是，在各种实施例中，可以提供多个可信更新器。在一个示例中，可信更新器226还可以是如本文所描述的引擎。

在一个示例中，系统管理代理224可操作成实施根据本说明书的计算机实现的方法。系统管理代理224可以包括一个或多个非暂时性计算机可读介质，其具有存储在其上的可操作成命令处理器提供安全引擎的可执行指令。如贯穿本说明书使用的，“引擎”包括可操作用于并且配置成执行引擎提供的一个或多个方法的类似或不类似的种类的一个或多个逻辑元件的任何组合。因此，系统管理代理224可以包括配置成提供如本说明书中公开的安全引擎方法的一个或多个逻辑元件。在一些情况下，系统管理代理224可以包括设计成实施方法或其部分的特殊集成电路，并且还可以包括可操作成命令处理器执行该方法的软件指令。在一些情况下，系统管理代理224可以作为“守护”进程来运行。“守护”可以包括作为后台进程、终止并驻留程序、服务、系统扩展、控制面板、引导过程、BIOS子例程或在没有直接用户交互的情况下进行操作的任何类似程序而运行的任何程序或可执行指令系列，无论是实现在硬件、软件、固件还是其任何组合中。在某些实施例中，守护进程可以以升高的权限在“驱动器空间”中或在保护环架构中的环0、1或2中运行。还应当指出的是，系统管理代理224还可以包括其它硬件和软件，作为非限制性示例，包括配置文件、寄存器条目和交互式或用户模式软件。

在一个示例中，系统管理代理224包括存储在非暂时性介质上可操作成执行根据本说明书的方法的可执行指令。在适当时，诸如当引导客户端设备110时或当来自操作系统222或用户120的命令时，处理器210可以从存储部250检索系统管理代理224（或其软件部分）的副本并且将其加载到存储器220中。处理器210然后可以迭代地执行系统管理代理224的指令以提供期望的方法。

外围接口240可以配置成与连接到客户端设备110但是不一定是客户端设备110的核心架构的部分的任何辅助设备对接。外设可以可操作成向客户端设备110提供经扩展的功能性，并且可以或者可以不完全取决于客户端设备110。在一些情况下，外设可以是独立的计算设备。外设可以包括输入和输出设备，作为非限制性示例，诸如显示器、终端、打印机、键盘、鼠标、调制解调器、网络控制器、传感器、换能器、致动器、控制器、数据采集总线、相机、麦克风、扬声器或外部存储部。

图3是根据本说明书的一个或多个示例的服务器140的框图。服务器140可以是任何合适的计算设备，如结合图2所描述的。一般而言，图2的定义和示例可以被视为等同适用于图3，除非以其它方式具体陈述。本文分离地描述服务器140以说明在某些实施例中，根据本说明书的逻辑操作可以沿客户端-服务器模型划分，其中客户端设备110提供某些本地化任务，而服务器140提供某些其它的集中式任务。

服务器140包括连接到存储器320的处理器310，存储器320具有存储在其中的可执行指令以用于提供操作系统322和系统管理服务器324的至少软件部分。服务器140的其它组件包括存储部350、网络接口360和外围接口340。如图2中描述的，每一个逻辑块可以由一个或多个类似或不类似的逻辑元件提供。

在示例中，处理器310经由存储器总线370-3通信耦合到存储器320，存储器总线370-3可以是例如直接存储器访问（DMA）总线。处理器310可以经由系统总线370-1通信耦合到其它设备。

处理器310可以在DMA配置中经由DMA总线370-3或经由任何其它合适的存储器配置而连接到存储器320。如图2中所讨论的，存储器320可以包括任何合适类型的一个或多个逻辑元件。

存储部350可以是任何种类的存储器320，或者可以是单独设备，如结合图2的存储部250所描述的。存储部350可以是或者可以在其中包括一个或多个数据库或存储在其它配置中的数据，并且可以包括诸如操作系统322和系统管理服务器324的软件部分的操作软件的已存储副本。

网络接口360可以被提供以将服务器140通信耦合到有线或无线网络，并且可以包括如图2中所描述的一个或多个逻辑元件。

系统管理服务器324是跨受保护的企业100提供用于系统管理客户端的控制配置和控制管理的服务器引擎。具体地，每一个客户端设备110可以包括系统管理代理224，其可以由系统管理服务器324集中管理和控制。

系统管理服务器324是如图2中描述的引擎，并且在一个示例中，包括可操作成实施根据本说明书的计算机实现的方法的一个或多个逻辑元件。系统管理服务器324的软件部分可以作为守护进程来运行。

系统管理服务器324可以包括具有存储在其上的可执行指令的一个或多个非暂时性计算机可读介质，所述可执行指令可操作成命令处理器提供安全引擎。在适当时，诸如当引导服务器140时或当来自操作系统222或用户120或安全管理员150的命令时，处理器310可以从存储部350检索系统管理服务器324（或其软件部分）的副本并且将其加载到存储器320中。处理器310然后可以迭代地执行系统管理服务器324的指令以提供期望的方法。

外围接口340可以配置成与连接到服务器140但是不一定是服务器140的核心架构的部分的任何辅助设备对接。外设可以可操作成向服务器140提供经扩展的功能性并且可以或可以不完全取决于服务器140。作为非限制性示例，外设可以包括图2中公开的外设中的任何一个。

图4是根据本说明书的一个或多个示例的更新器方法的框图。在图4的示例中，更新可能失败，因为继承性打破。在本文中的示例中，将某些对象视为具有“.exe”文件名扩展的可执行文件，这是Microsoft Windows操作系统中的通常惯例。然而，教导等同地适用于使用其它惯例的其它操作系统，并且不应当解释为是限制性的。在一般含义下，本文所公开的任何二进制文件和进程在实践中可以是操作系统上的任何合适的二进制文件或进程，包括更新代理或类似物。

在该示例中，可信更新器A 410具有与其相关联的更新器规则412，其可以包括可信更新器A 410被授权修改的可信文件集合。在该示例中，更新器规则412不包括使更新器A启动任何特定可执行对象的许可。而是，它们包括使更新器A和子进程修改系统上的某些静态对象或可执行对象的许可。

可信更新器410启动两个子进程，进程H 420和进程B 430。“进程”在该上下文中可以包括由相同进程开始的线程而不是新的可执行对象。进程H 420被标记为更新器，因为它继承可信更新器410的更新器权限。进程H执行它的工作，并且在块422中完成。

可信更新器410还启动进程B 430。由于进程B 430由可信更新器410启动，因此它集成可信更新器410的更新器权限。进程B启动子二进制文件C.exe 440和D.exe 450。进程B还参与与services.exe 460的进程间通信。services.exe 460可以是启动子进程的二进制对象，诸如Windows “service host”。services.exe 460不是更新器，并且因此不从可信更新器410继承更新器权限。services.exe 460启动D.exe 450，其执行并且创建进程D 470。在该情况下，进程D 470不被标记为更新器。这是因为其父代是services.exe 460，其是非更新器，而不是为更新器的可信更新器410。因此，进程D 470不得到更新器权限，并且因而可能被系统管理代理224阻止执行其工作。在块480中，进程D未能成功地执行其工作，并且安装进程可能失败。结果将是所期望的并且合期望的应用没有得到安装，或者应用未能更新，留下系统潜在地易受未加补丁的安全利用。

图5A和5B是第二更新器进程的框图。该图图示了更新器继承性可能打破的另一方式。在块510中开始，安装器510启动子二进制文件A.exe 520、D.exe 522和C.exe 524。A.exe启动进程A 530，其被视为更新器，因为它可以将其信任链追踪回到安装器510，安装器510为可信更新器。因此，只要重启不发生，进程a 530就可以执行其期望的工作。

B.exe 522也被标记为更新器，因为它可以将其信任链追踪回到安装器510。B.exe启动进程B 532和F.exe 536。如之前，进程B 532被标记为更新器，因为它可以将其信任链追踪回到安装器510。进程B 532启动E.exe 540。F.exe 536启动进程F 542，其被标记为更新器进程，因为它可以经由F.exe 536和B.exe 522将其信任链追踪回到安装器510。

最后，C.exe 524启动进程C 534，其被标记为更新器，因为它可以将其信任链追踪回到C.exe 524和安装器510，安装器510为可信更新器。因此，进程C 534将被准许做它有用的工作。

进程A 530、E.exe 540和进程F 542可能要求重启，或者可能被要求参与进程间通信。因此，在块544中，重启发生或者否则更新器继承性打破。这导致离页连接器A。

在图5B中，从离页连接器A开始，进程E 550在通过E.exe 540的重启之后启动。E.exe 540不再被视为更新器，因为当重启后，其不再能够将其信任链追踪回到安装器510。而是，在重启之后，进程E 550作为没有信任链的新进程启动。因此，进程E 550不被视为更新器。

进程E 550启动G.exe 560、H.exe 562和I.exe 564。在该示例中，G.exe 560、H.exe 562和I.exe 564不存在于用于安装器510的可信文件集合中，并且进程E 550不具有可信文件集合，因为它不被视为更新器。这3个可执行文件可以是例如公共系统可执行文件，其不应当被视为正常情况下的安装器。而是，应当使系统实用程序信任它们仅一个由安装器启动。

在该示例中，G.exe 560启动进程G 570，其被标记为非更新器进程。进程G 570可能试图更改与安装器510相关联的可信文件集合中的文件。然而，在块590中，拒绝执行，因为进程G 570尚未从可信更新器510继承更新器权限。

类似地，H.exe 562启动进程H 572，其被标记为非更新器。因此，当进程H 572试图操纵用于可信更新器510的可信文件集合中的文件时，在块590中，拒绝执行。

最后，I.exe 564不存在于白名单中，并且启动进程I 574。进程I 574同样被标记为非更新器，并且因此当进程I 574试图操纵用于安装器510的白名单中的文件时，在块590中拒绝执行。

图6是公开了试图操纵由系统管理代理224监视的系统中的文件的非更新器应用G.exe 610的示例的框图。在该情况下，G.exe 610可以是用户发起的进程，或者在一个示例中可以是由图5的方法启动的进程或者与图5的方法相关联的进程，诸如图5的G.exe 560。

G.exe执行应用app.exe，其自身需要启动若干可执行文件。这些包括A.exe 620、B.exe 630、D.exe 640、F.exe G.exe 660和C.exe 670。由于G.exe 610不被标记为更新器，因此不存在与其相关联的白名单。因此，在该情况下，并非只有G.exe 610将被拒绝对可能需要访问的某些文件的写入访问，而且辅助可执行文件的启动也可能失败。

图7是本说明书的可信安装器700的框图。在某些实施例中，可信安装器700可以具有之前针对更新器描述的性质中的一些或全部。

可信安装器700可以由图2的可信更新器226提供。在向用于可信安装器700的白名单添加文件时，系统管理代理224可以追踪来自可信安装器700并且具有相同证书的文件。这将提供信任链。这些文件将被允许修改彼此。为了追踪信任链，文件每一个可以利用GUID来加标签。因此，文件可以集体称为可信更新器226。

可信安装器700可以能够以两种方式之一安装应用：第一，经由第三方系统管理软件；第二，直接经由应用安装器。

用户，诸如用户120或安全管理员150，可以添加可信安装器规则。针对应用通过标记可信安装器的应用的直接安装的工作流可以包括以下：

g. 提取用于安装器的证书。

h. 由可信安装器提取或安装任何二进制对象，如果二进制对象具有信任链中的相关联的证书则它利用GUID来加标签。标签在每个信任链中是唯一的，并且链中的所有二进制文件可以被视为可信更新器。

i. 如果具有相同证书的代码文件已经由可信更新器创建，向白名单添加具有创建它的二进制对象的标签的文件。

j. 如果二进制对象试图修改由可信更新器白名单化的文件，只有如果二进制对象和可信更新器二者具有相同的标签才允许修改。

因此，根据本文所描述的方法，出于在它们执行时向某些二进制对象授予可信安装器或可信更新器状态的目的，可以构建信任证实矩阵以将证书与白名单和/或GUID相关。

用于指定为可信安装器的第三方系统管理软件产品的工作流可以包括以下：

k. 提取经由第三方系统管理软件安装的应用的相关联的证书。

l. 否则遵循与以上描述的相同的流程。

应用的自更新可以由可信更新器支持。还存在使用户指定用于证书的排除列表的选项。可信更新机制仅在证书不在排除列表中时才工作。这为用户提供了信任证书集合（和进而整个信任链）而同时使用用于其它的正常更新器权限的灵活性。

该工作流在图7A和7B中图示。可信安装器700启动可执行对象，诸如INST.exe。INST.exe 710被标记为可信更新器。INST.exe 710启动二进制对象A.exe 714和B.exe712。

A.exe 714启动进程A 720，其被标记为更新器和可信更新器二者。

B.exe启动进程B 722，其同样被标记为可信更新器。进程B 722启动E.exe 724和F.exe 730。F.exe 730启动进程F 732，其被标记为更新器和可信更新器。

如之前，在块740中，发生打破更新器继承性的事件，诸如重启或进程间通信。

然而，转向图7B，E.exe 724现在启动进程E 750。进程E 750现在被标记为可信更新器，因为其GUID可以与用于可信证实矩阵中的进程E 750的证书相关。因此，进程750启动G.exe 760、H.exe 762和I.exe 764。这些中的每一个存在于白名单中，并且因而被允许充当可信更新器。

G.exe 716启动进程G 770，其现在被标记为可信更新器。H.exe 762启动进程H772，其同样被标记为可信更新器。I.exe 764启动进程I 774，其被标记为可信更新器。

在块790中，进程G 770、进程H 772和进程I 774现在全部被准许执行它们所意图的功能。

图8是根据本说明书的一个或多个示例的可信服务的框图。

可信服务包括进程容器，其是用于受托管服务的特殊容器，其中服务主要在与进程容器800或与用户做出的规则相关联的证书的基础上标记以将服务标记为可信更新器。通过使用进程容器800，安全管理员150将不必探究如何支持服务被加载或者什么DLL与其相关联的细节。另外，尽管将服务标记为受托管服务，但是服务数据库将配置成在单独的实例中被托管。为了确保该特征跨修改其配置的尝试而持续，注册表回呼用于确保可能导致对于服务配置的改变的对服务数据库的任何修改不针对标记为可信服务的服务而持续。

基于该配置，可以将可信服务标记为仅在由相同证书签名的文件集合上的可信更新器。

用于可信服务的示例工作流包括以下：

m. 用户按照名称通过命令行接口或其它合适的用户接口将要标记的服务指定为可信服务。

n. 可信服务框架标识配置参数，诸如如果服务被托管，任何相关联的二进制文件、实现服务和其它类似的参数，并且将它们传送至内核模式框架。

o. 如果服务被托管，在服务内被标记为在其自身的上下文中被托管。

p. 对于内核模式框架，作为Windows系统注册表的部分而追踪Windows服务控制器数据库上的改变。如果它看到改变可信服务配置和服务控制器数据库的任何尝试，它满足请求。

q. 监视从服务控制器数据库读取或挖掘可信服务的任何属性的任何尝试，并且仅返回所预计的值以确保服务在其自身的容器中启动。这帮助避免离线篡改数据库。一旦服务开始受托管服务，并且已标识受托管服务。

r. 一旦已经标识到受托管服务的服务开始，要指出的是，受托管服务正由内核模式框架开始并且然后追踪由第1线程做出的DLL加载和任何调用以确保DLL作为服务被加载。这被完成，因为通常DLL可以实现到接口。一旦其用于受托管服务，并且另一个是可以由与可信服务对接的任何应用使用的管理接口。

该过程可以在图8中实现看到。具体地，在块810中，作为可信服务的系统管理代理224设定针对服务的规则。这可以响应于来自安全管理员150的命令。系统管理代理224然后检查以确定服务是否被安装和配置。该信息被提供给安全控制管理器820，其可以是系统管理代理224的部分。

在块822中，服务控制管理器820将服务类型改变成“自身”。

在块830中，服务控制管理器820检查以确定服务是否在运行。如果服务不在运行，则在块860中，服务控制管理器820制作针对服务和服务数据库的条目。

返回到块830，如果服务在运行，则在块840中，服务控制管理器820重新开始服务。

在块850中，服务控制管理器20制作用于服务数据库中的服务规则的条目。

从块860或从块850，该过程产生可信服务数据库870。

服务控制管理器然后更新用于受托管服务的对应更新器规则和用于该服务的DLL。

在块880中，这被提供给可信的经更新的规则数据库880。

服务控制管理器820然后通知文件系统驱动器890。

图9是根据本说明书的一个或多个示例的提供可信服务的方法900的框图。

在块910中，服务控制管理器820或系统管理代理224的其它操作部分注册后注册系统回呼。

在块930中，服务管理代理24在回呼中查询服务名称并且取得值查询服务配置结构。

在块940中，并且向注册表键值提供值。

在块950中，系统管理代理24检查以确定系统中的改变是否存在对系统注册表的改变并且检查数据库中的服务名称。

在块970中，将查询指引至可信服务数据库。

在决策块980中，系统管理代理224检查以确定服务名称是否存在于数据库中。

在块982中，如果服务链确实存在，则允许该进程。在块984中，如果服务名称不在数据库中，则拒绝执行。在块990中，方法完成。

图10是根据本说明书的一个或多个示例的方法的框图。方法1000。在该方法中，具体地提供用于标识由可信安装器创建的服务并且Mike标记它们以作为可信服务运行。这牵涉在服务正通过可信安装器框架来注册的同时标识信任链。这通过在标识与所安装的服务相关联的二进制文件中通过内核模式筛选框架监视对视窗服务数据库的改变来实现。如果与新注册的服务相关联的二进制文件是信任链的部分，则修改对应服务以作为可信服务运行，其中它具有如关于任何可信更新器那样修改作为其自身的信任链的部分的文件的能力。

在块1000中开始，在块1010处，系统管理代理324注册后注册趋势改变回呼。

在块1020中，系统管理代理224承载服务名称和回呼并且取得值查询服务配置结构。

在块1030中，该站点从注册表条目接收。

在块1040中，服务管理代理224将服务类型改变成“自身”。在该情况下，服务尚未开始。

在块1050中，服务管理代理224找到DLL或运行服务所要求的其它库。

在块1060中，服务管理代理224应用合适的规则和涉及受托管服务的更新器数据库并且对于服务而言交易是被要求的。

在块1070中，提交对信任服务数据库的改变。在块1080中，可信更新器226通知文件系统驱动器1080。在块1090中，方法完成。

前文概述若干实施例的特征，使得本领域技术人员可以更好地理解本公开的各方面。本领域技术人员应当领会到，他们可以容易地使用本公开作为用于设计或修改其它过程和结构以用于实施本文介绍的实施例的相同的目的和/或实现相同的优点的基础。本领域技术人员还应当认识到，这样的等同构造不脱离本公开的精神和范围，并且他们可以做出本文中的各种改变、替换和更改而不脱离本公开的精神和范围。

本公开的特定实施例可以容易地包括片上系统（SOC）中央处理单元（CPU）封装。SOC表示将计算机或其它电子系统的组件集成到单个芯片中的集成电路（IC）。其可以包含数字、模拟、混合信号和射频功能：其中的全部可以提供在单个芯片衬底上。其它实施例可以包括多芯片模块（MCM），其中多个芯片位于单个电子封装内并且配置成通过电子封装与彼此紧密地交互。在各种其它的实施例中，数字信号处理功能性可以实现在专用集成电路（ASIC）、现场可编程门阵列（FPGA）和其它半导体芯片中的一个或多个硅核中。

此外，与所描述的微处理器相关联的组件中的一些可以被移除，或者以其它方式联合。从一般意义上来说，在各图中描绘的布置可以在其表示方面更加有逻辑，而物理架构可以包括这些元件的各种排列、组合和/或混合。必要的是要指出，无数可能的设计配置可以用于实现本文概述的操作目的。相应地，相关联的基础设施具有无数的替代布置、设计选择、设备可能性、硬件配置、软件实现、装备选项等。

任何经适当配置的处理器组件可以执行与数据相关联的任何类型的指令以实现本文所详述的操作。本文所公开的任何处理器可以将元件或制品（例如数据）从一个状态或事物转变成另一状态或事物。在另一示例中，本文概述的活动可以利用固定逻辑或可编程逻辑（例如由处理器执行的软件/计算机指令）实现，并且本文标识的元件可以是某种类型的可编程处理器、可编程数字逻辑（例如现场可编程门阵列（FPGA）、可擦除可编程只读存储器（EPROM）、电可擦除可编程只读存储器（EEPROM））、ASIC（其包括数字逻辑、软件、代码、电子指令）、闪速存储器、光盘、CD-ROM、DVD-ROM、磁卡或光卡、适合于存储电子指令的其它类型的机器可读介质或它们的任何合适的组合。在操作中，在适当的情况下并且基于特定需要，处理器可以将信息存储在任何合适类型的非暂时性存储介质（例如随机存取存储器（RAM）、只读存储器（ROM）、现场可编程门阵列（FPGA）、可擦除可编程只读存储器（EPROM）、电可擦除可编程ROM（EEPROM）等）、软件、硬件中或在任何其它合适的组件、设备、元件或对象中。另外，基于特定需要和实现，在处理器中追踪、发送、接收或存储的信息可以在任何数据库、寄存器、表格、高速缓存、队列、控制列表或存储结构中提供，其中的全部可以在任何合适的时间帧处被引用。本文所讨论的任何存储器项应当被解释为被涵盖在宽泛的术语“存储器”内。

实现本文所描述的功能性中的全部或部分的计算机程序逻辑以各种形式体现，包括但绝不限于，源代码形式、计算机可执行形式和各种中间形式（例如由汇编器、编译器、链接器或定位器生成的形式）。在示例中，源代码包括以各种编程语言实现的一系列计算机程序指令以供各种操作系统或操作环境使用，所述编程语言诸如对象代码、汇编语言或高级语言（诸如OpenCL、Fortran、C、C++、JAVA或HTML）。源代码可以定义和使用各种数据结构和通信消息。源代码可以以计算机可执行形式（例如经由解译器），或者源代码可以转换（例如经由翻译器、汇编器或编译器）成计算机可执行形式。

在一个示例实施例中，各图的任何数目的电气电路可以实现在相关联的电子设备的板上。板可以是可以保持电子设备的内部电子系统的各种组件并且还提供用于其它外设的连接器的一般电路板。更特别地，板可以提供系统的其它组件可以通过其电气通信的电气连接。任何合适的处理器（包括数字信号处理器、微处理器、支持芯片组等）、存储器元件等可以基于特定配置需要、处理需求、计算机设计等而适当地耦合到板。其它组件（诸如外部存储部、附加传感器、用于音频/视频显示的控制器和外围设备）可以作为插入卡、经由线缆而附连到板或者集成到板自身中。在另一示例实施例中，各图的电气电路可以实现为独立的模块（例如具有配置成执行特定应用或功能的相关联的组件和电路的设备）或实现为到电子设备的专用硬件中的插入模块。

要指出的是，关于本文所提供的众多示例，交互可以在两个、三个、四个或更多电气组件方面进行描述。然而，这仅仅出于清楚和示例的目的而进行。应当领会到，系统可以以任何合适的方式联合。沿类似的设计可替换方案，各图的所图示的组件、模块和元件中的任何一个可以组合在各种可能的配置中，其中的全部显然在本说明书的宽泛范围内。在某些情况下，通过仅参照有限数目的电气元件来描述给定流程集合的一个或多个功能性可能更加容易。应当领会到，各图的电气电路及其教导是可容易缩放的并且可以容纳大数目的组件，以及更复杂/精密的布置和配置。相应地，所提供的示例不应当限制如潜在地应用于无数其它架构的电气电路的范围或阻碍其宽泛的教导。

众多其它改变、替换、变型、更改和修改可以对本领域技术人员是被查明的并且意图在于本公开涵盖如落在随附权利要求的范围内的所有这样的改变、替换、变型、更改和修改。为了帮助美国专利商标局（USPTO）和此外关于本申请发布的任何专利的任何读者解释随附于此的权利要求，申请人希望指出的是，申请人：（a）不意图任何随附权利要求当它在本文提交日存在时援引35 U.S.C.第112章第六（6）款，除非在特定权利要求中具体地使用词语“用于……的部件”或“用于……的步骤”；并且（b）不意图通过说明书中的任何陈述来以并未以其它方式在随附权利要求中反映的任何方式限制本公开。

示例实现

在示例1中公开了一种可操作用于用作企业客户端设备的计算装置，包括：数据库存储介质；以及一个或多个逻辑元件，其配置为可操作用于以下的系统管理客户端引擎：将第一可执行对象指定为可信安装器；向可信安装器指派标识令牌；向第二可执行对象指派标识令牌；以及向第二可执行对象授予可信安装器状态。

在示例2中公开了示例1的装置，其中向第二可执行对象授予可信安装器状态可操作成跨打破信任链的事件而持续。

在示例3中公开了示例2的装置，其中打破信任链的事件是重启。

在示例4中公开了示例2的装置，其中打破信任链的事件是进程间通信。

在示例5中公开了示例1的装置，其中标识令牌是全局唯一标识符（GUID）。

在示例6中公开了示例1的装置，其中授予可信安装器状态包括准许可信安装器修改出现在相关联的白名单上的任何文件。

在示例7中公开了示例1的装置，其中授予可信安装器状态包括准许可信安装器启动其它可执行对象。

在示例8中公开了示例1的装置，其中系统管理客户端引擎还可操作用于：确定可信更新器已经添加了新的文件；以及向与可信更新器相关联的可信文件集合添加所述新的文件。

在示例9中公开了示例1的装置，其中系统管理客户端引擎还可操作用于：观察到进程正在试图修改系统文件；确定所述进程具有匹配用于可信更新器进程的标识令牌的标识令牌；确定系统文件出现在与可信更新器进程相关联的可信文件集合中；以及准许所述进程修改系统文件。

在示例10中公开了示例9的装置，其中准许所述进程修改系统文件还包括只有如果所述进程具有与第一可执行对象共同的数字证书才准许所述进程修改系统文件。

在示例11中公开了示例1的装置，其中系统管理代理引擎还可操作用于将受托管服务指定为可信服务。

在示例12中公开了示例11的装置，其中将受托管服务指定为可信服务包括按照名称标识服务。

在示例13中公开了示例1的装置，其中将受托管服务指定为可信服务包括针对篡改而监视服务控制器数据库。

在示例14中公开了具有存储在其上的可执行指令的一个或多个计算机可读介质，所述可执行指令用于提供系统管理客户端引擎，所述系统管理客户端引擎可操作用于：将第一可执行对象指定为可信安装器；向可信安装器指派标识令牌；向第二可执行对象指派标识令牌；以及向第二可执行对象授予可信安装器状态。。

在示例15中公开了示例14的一个或多个计算机可读介质，其中向第二可执行对象授予可信安装器状态可操作成跨打破信任链的事件而持续。

在示例16中公开了示例15的一个或多个计算机可读介质，其中打破信任链的事件是重启。

在示例17中公开了示例15的一个或多个计算机可读介质，其中打破信任链的事件是进程间通信。

在示例18中公开了示例14的一个或多个计算机可读介质，其中标识令牌是全局唯一标识符（GUID）。

在示例19中公开了示例14的一个或多个计算机可读介质，其中授予可信安装器状态包括准许可信安装器修改出现在白名单上的任何文件。

在示例20中公开了示例14的一个或多个计算机可读介质，其中系统管理客户端引擎还可操作用于：确定可信更新器已经添加了新的文件；以及向与可信更新器相关联的可信文件集合添加所述新的文件。

在示例21中公开了示例14的一个或多个计算机可读介质，其中系统管理客户端引擎还可操作用于：观察到进程正在试图修改系统文件；确定所述进程具有匹配用于可信更新器进程的标识令牌的标识令牌；确定系统文件出现在与可信更新器进程相关联的可信文件集合中；以及准许所述进程修改系统文件。

在示例22中公开了示例9的装置，其中准许所述进程修改系统文件还包括只有如果所述进程具有与第一可执行对象共同的数字证书才准许所述进程修改系统文件。

在示例23中公开了示例14的一个或多个计算机可读介质，其中将受托管服务指定为可信服务包括针对篡改而监视服务控制器数据库。

在示例24中公开了一种提供系统管理客户端引擎的方法，包括：将第一可执行对象指定为可信安装器；向可信安装器指派标识令牌；向第二可执行对象指派标识令牌；以及向第二可执行对象授予可信安装器状态。

在示例25中公开了示例24的方法，其中向第二可执行对象授予可信安装器状态可操作成跨打破信任链的事件而持续。

在示例26中公开了一种方法，包括执行在示例14-23中的任何一个中公开的指令。

在示例27中公开了一种装置，包括用于执行示例26的方法的部件。

在示例28中公开了示例27的装置，其中所述装置包括处理器和存储器。

在示例29中公开了示例28的装置，其中所述装置还包括具有存储在其上的软件指令的计算机可读介质，所述软件指令用于执行示例26的方法。

Claims (25)

1.一种可操作用于用作企业客户端设备的计算装置，包括：

数据库存储介质；以及

一个或多个逻辑元件，其配置为可操作用于以下的系统管理客户端引擎：

将第一可执行对象指定为可信安装器；

向可信安装器指派标识令牌；

向第二可执行对象指派标识令牌；以及

向第二可执行对象授予可信安装器状态。

2.权利要求1所述的装置，其中向第二可执行对象授予可信安装器状态可操作成跨打破信任链的事件而持续。

3.权利要求2所述的装置，其中打破信任链的事件是重启。

4.权利要求2所述的装置，其中打破信任链的事件是进程间通信。

5.权利要求1所述的装置，其中标识令牌是全局唯一标识符（GUID）。

6.权利要求1-5中任一项所述的装置，其中授予可信安装器状态包括准许可信安装器修改出现在相关联的白名单上的任何文件。

7.权利要求1-5中任一项所述的装置，其中授予可信安装器状态包括准许可信安装器启动其它可执行对象。

8.权利要求1-5中任一项所述的装置，其中系统管理客户端引擎还可操作用于：

确定可信更新器已经添加了新的文件；以及

向与可信更新器相关联的可信文件集合添加所述新的文件。

9.权利要求1-5中任一项所述的装置，其中系统管理客户端引擎还可操作用于：

观察到进程正在试图修改系统文件；

确定所述进程具有匹配用于可信更新器进程的标识令牌的标识令牌；

确定系统文件出现在与可信更新器进程相关联的可信文件集合中；以及

准许所述进程修改系统文件。

10.权利要求9所述的装置，其中准许所述进程修改系统文件还包括只有如果所述进程具有与第一可执行对象共同的数字证书才准许所述进程修改系统文件。

11.权利要求1-5中任一项所述的装置，其中系统管理代理引擎还可操作用于将受托管服务指定为可信服务。

12.权利要求11所述的装置，其中将受托管服务指定为可信服务包括按照名称标识服务。

13.权利要求1-5中任一项所述的装置，其中将受托管服务指定为可信服务包括针对篡改而监视服务控制器数据库。

14.具有存储在其上的可执行指令的一个或多个计算机可读介质，所述可执行指令用于提供系统管理客户端引擎，所述系统管理客户端引擎可操作用于：

将第一可执行对象指定为可信安装器；

向可信安装器指派标识令牌；

向第二可执行对象指派标识令牌；以及

向第二可执行对象授予可信安装器状态。

15.权利要求14所述的一个或多个计算机可读介质，其中向第二可执行对象授予可信安装器状态可操作成跨打破信任链的事件而持续。

16.权利要求15所述的一个或多个计算机可读介质，其中打破信任链的事件是重启。

17.权利要求15所述的一个或多个计算机可读介质，其中打破信任链的事件是进程间通信。

18.权利要求14所述的一个或多个计算机可读介质，其中标识令牌是全局唯一标识符（GUID）。

19.权利要求14-18中任一项所述的一个或多个计算机可读介质，其中授予可信安装器状态包括准许可信安装器修改出现在白名单上的任何文件。

20.权利要求14-18中任一项所述的一个或多个计算机可读介质，其中系统管理客户端引擎还可操作用于：

确定可信更新器已经添加了新的文件；以及

向与可信更新器相关联的可信文件集合添加所述新的文件。

21.权利要求14-18中任一项所述的一个或多个计算机可读介质，其中系统管理客户端引擎还可操作用于：

观察到进程正在试图修改系统文件；

确定所述进程具有匹配用于可信更新器进程的标识令牌的标识令牌；

确定系统文件出现在与可信更新器进程相关联的可信文件集合中；以及

准许所述进程修改系统文件。

22.权利要求21所述的一个或多个计算机可读介质，其中准许所述进程修改系统文件还包括只有如果所述进程具有与第一可执行对象共同的数字证书才准许所述进程修改系统文件。

23.权利要求14-18中任一项所述的一个或多个计算机可读介质，其中将受托管服务指定为可信服务包括针对篡改而监视服务控制器数据库。

24.一种提供系统管理客户端引擎的方法，包括：

将第一可执行对象指定为可信安装器；

向可信安装器指派标识令牌；

向第二可执行对象指派标识令牌；以及

向第二可执行对象授予可信安装器状态。

25.权利要求24所述的方法，其中向第二可执行对象授予可信安装器状态可操作成跨打破信任链的事件而持续。