CN1801694B

CN1801694B - 可靠的安全发送者列表

Info

Publication number: CN1801694B
Application number: CN2005101073848A
Authority: CN
Inventors: E·E·S·穆菲; G·J·胡尔登; M·米莎拉; R·L·劳恩斯威特
Original assignee: Microsoft Corp
Current assignee: Microsoft Corp
Priority date: 2004-12-27
Filing date: 2005-12-26
Publication date: 2012-02-01
Anticipated expiration: 2025-12-26
Also published as: KR20120090905A; KR101255362B1; US7603422B2; JP2006216021A; EP1675057A1; MXPA05014002A; KR20060074861A; CA2530577A1; US20060143271A1; CN1801694A; JP4729400B2

Abstract

描述了可靠的安全发送者列表。在一个实现中，该方法包括确定多个层次级别中的哪一个对应于经由网络接收到的消息。层次级别的每一个由用于标识消息的发送者的机制来定义。该消息按照层次级别中对应的一个层次级别来路由。

Description

可靠的安全发送者列表

技术领域

本发明一般涉及消息通信领域，尤其涉及可以采用可靠的安全发送者列表的消息通信。

背景技术

使用消息的通信向诸如台式计算机、无线电话等计算设备的用户提供各种各样增加的功能。例如，用户可以通过使用email(即电子邮件)彼此通信。电子邮件采用用于定址和路由的标准和约定，这样可以使用多个设备通过诸如因特网等网络传递电子邮件。以此方式，可以通过内联网在公司内传递电子邮件、使用因特网在全球传递电子邮件等等。

对电子邮件的使用向用户提供了许多优点。例如，即使几乎可以瞬时地传递电子邮件，但是可以按照接收者自己的时间表来处理电子邮件，诸如当接收到电子邮件要提供立即回复、在用户具有足够的资源来回答该消息的稍后时刻等等。此外，电子邮件可以允许用户区分消息的优先次序，诸如何时回复用户接收到的一个或多个特定电子邮件。由于这些和其他优点，电子邮件的流行继续扩展，以至于在家庭或典型的工作日中电子邮件现在被认为是不可缺少的部分。

在另一例子中，用户可以通过使用即时消息彼此通信。例如，当两个用户同时在线，可以在两个用户之间实时地交换即时消息。如此，可以用模拟两个用户将如何参与典型的口头对话的方式来使用即时消息支持两个用户之间的文本对话。

然而，随着用于发送消息的这些技术的流行继续扩展，用户所遇到的“垃圾邮件”量也继续增加。“垃圾邮件”通常是发送给大量接收者的电子邮件，诸如用于促销产品或服务。因为通常发送者只要消耗很少或无需消耗成本来发送电子邮件，因此开发了“垃圾邮件发送器”用于向可以定位的用户发送与用户数量相等的垃圾邮件。即使只有一小部分接收者实际上期望所期望的产品和服务，这一小部分就足够抵消发送垃圾邮件的极小成本。因此，大量的垃圾邮件发送器用于传递大量非期望的和无关的电子邮件。由此，一般的用户会接收到大量这些无关的电子邮件，从而阻碍用户与相关电子邮件的交互。举例而言，在一些情况下，会要求用户花费大量时间与每个非期望的电子邮件交互，以便确定用户接收到的哪些(如果有)电子邮件会是实际感兴趣的。

因此，不断地需要可用于限制在网络上传递的非期望消息的技术。

发明内容

描述了可用于限制非期望消息的可靠的安全发送者列表。举例而言，在电子邮件的实现中，可靠的安全发送者列表会参考大量可用于确定电子邮件是否是“真实的”(即来自指示的发送者)的标识机制，诸如电子邮件地址、第三方证书、自签名证书、货币附件(例如“电子邮票”)等。因此，在这个实现中，可以将可靠的安全发送者列表用于确定电子邮件是否来自可信源，并由此被路由以供用户查看，以及防止来自不可信源的电子邮件干扰用户与相关电子邮件的交互。

可靠的安全发送者列表也可以根据与消息相关联的安全级别提供消息的可伸缩处理。例如，标识技术(单独的或不同的组合)可以提供若干不同的安全级别(即层次)。可以基于消息满足不同安全级别中的哪一个来路由消息。例如，如果来自特定电子邮件地址的电子邮件符合可靠的安全发送者列表所指定的“高级”安全性要求(例如包括第三方证书)，那么电子邮件会被路由到用户的收件箱中。然而，如果电子邮件只符合“低级”安全性要求，电子邮件会被路由以便进一步的处理(诸如由“垃圾邮件”过滤器)、路由到专用的“垃圾邮件”文件夹等。

此外，可靠的安全发送者列表可以通过使用用户界面来动态地配置。例如，可以检查电子邮件以确定可以采用哪些标识机制(如果有)来验证发送者的身份。如果电子邮件包括指示电子邮件发送自可信源的可能性的标识机制，那么会提示用户将发送者的电子邮件地址添加到可靠的安全发送者列表中，以供今后路由来自该用户的电子邮件之用。此外，可靠的安全发送者列表也会参考一个或多个标识机制(例如第三方证书)，所述标识机制用于路由今后来自该发送者的电子邮件以供用户查看。

附图说明

图1是可用于通过网络传递诸如电子邮件、即时消息等消息的环境的图示。

图2是详细地示出图1的多个客户机和多个服务器的示例性实现中的系统的图示。

图3是描述使用多个标识机制处理被配置成电子邮件的消息的示例性实现中的过程的流程图。

图4是描述使用多个标识机制处理消息的示例性实现中的过程的流程图，其结果被传递给过滤器模块用于对消息的进一步处理。

图5是描述填充可靠的安全发送者列表的示例性实现中的过程的流程图。

在讨论的实例中使用相同的参考标号来表示相同的结构和组件。

具体实施方式

图1是可用于通过网络传递消息的环境100的图示。环境100被示为包括多个通过网络104彼此耦合的客户机102(1)、...、102(n)、...、102(N)。可以用多种方式配置多个客户机102(1)-102(N)。例如，一个或多个客户机102(1)-102(N)可以被配置成能够通过网络104通信的计算机，诸如台式计算机、移动站、游戏控制台、娱乐设备、在通信上耦合到显示设备的机顶盒、无线电话等等。客户机102(1)-102(N)的范围可以从具有相当大的存储器和处理器资源的完全资源设备(例如个人计算机、带有硬盘的电视录像机)到具有有限存储器和/或处理资源的低资源设备(例如传统的机顶盒)。在以下的描述中，客户机102(1)-102(N)也可以涉及运作客户机的个人和/或实体。换而言之，客户机102(1)-102(N)可以描述包括用户和/或机器的逻辑客户机。

此外，虽然网络104被示为因特网，但是网络可以采用多种配置。例如，网络104可以包括广域网(WAN)、局域网(LAN)、无线网络、公共电话网、公司内联网等等。此外，虽然示出了单个网络104，但是网络104可以被配置成包括多个网络。例如，客户机102(1)、102(n)可以经由对等网络在通信上耦合以便互相通信。客户机102(1)、102(n)的每一个也可以通过因特网在通信上耦合到客户机102(N)。在另一实例中，客户机102(1)、102(n)经由公司内联网在通信上耦合以便互相通信。在这个其他的实施例中，客户机102(1)、102(n)的每一个也可以在互联网上通过网关在通信上耦合到客户机102(N)。

多个客户机102(1)-102(N)的每一个被示为包括多个通信模块106(1)、106(n)、...、106(N)中相应的一个。在所示的实现中，多个通信模块106(1)-106(N)的每一个可在多个客户机102(1)-102(N)中相应的一个上执行以便发送和接收消息。例如，一个或多个通信模块106(1)-106(N)可以被配置成发送和接收电子邮件。如上所述，电子邮件采用标准和约定以便寻址和路由，这样可以使用诸如路由器、其他计算设备(例如电子邮件服务器)等多个设备通过网络104来传递电子邮件。如此，可以在公司内的公司内联网上传递电子邮件、使用因特网在全球传递电子邮件等等。例如，电子邮件可以包括标题、正文和诸如文档、计算机可执行文件等附件。标题包含关于来源的技术信息，并通常描述消息从发送者到接收者所采取的路线。

在另一示例中，一个或多个通信模块106(1)-106(N)会被配置成发送和接收即时消息。即时消息提供一机制，使得每个客户机102(1)-102(N)在参与即时消息会话时会在彼此之间发送文本消息。即时消息一般是实时传递的，虽然也会使用延时的传递，诸如当客户机102(1)-102(N)中的一个不可用(例如离线)时将文本消息记入日志。由此，可以认为即时消息通信是电子邮件和因特网聊天的组合，因为即时消息支持消息交换并被设计成用于双向实况聊天。因此，即时消息可以用于同步通信。例如，如同语音电话呼叫，可以实时执行即时消息会话，这样使得当接收到即时消息时每个用户可以响应每个其他用户。

在一个实现中，通信模块106(1)-106(N)通过使用服务器群集108互相通信。服务器群集108包括多个服务器110(m)，其中“m”可以是从1到“M”的任一整数。服务器群集108可以被配置成提供各种功能，诸如负载平衡和故障切换。服务器群集108中多个服务器110(m)中的一个或多个可以包括用于存储多个消息114(h)的相应的数据库112(m)，其中“h”可以是从1到“H”的任一整数，该消息用于在多个客户机102(1)-102(N)之间通信。

例如，服务器110(m)可以包括通信管理器模块116(m)(后文为“管理器模块”)，所述管理器模块可以在其上执行以便在通信模块106(1)-106(N)之间路由即时消息。例如，客户机102(1)可以使得通信模块106(1)形成即时消息以传递给客户机102(n)。执行通信模块106(1)以便将即时消息传递给服务器110(m)，该服务器110(m)接着执行管理器模块116(m)以便通过网络104将即时消息路由给客户机102(n)。客户机102(n)接收即时消息并执行相应的通信模块106(n)以向相应的用户显示即时消息。在另一实例中，当客户机102(1)、104(n)在通信上直接互相耦合时(例如经由对等网络)，就可以传递即时消息而无需使用服务器群集108。

在另一示例中，服务器群集108可以被配置成存储和路由电子邮件，诸如通过被配置成电子邮件提供者。例如，如上述的示例，客户机102(1)可以执行通信模块106(1)以便形成传递给客户机102(n)的电子邮件。通信模块106(1)将电子邮件传递给服务器110(m)，所述电子邮件接着被存储为多个消息114(h)之一。接收电子邮件的客户机102(n)“登陆”到服务器群集108上(例如通过提供用户标识和口令)并从各自的用户帐号检索电子邮件。如此，用户可以从通过网络104通信上耦合到服务器群集108的多个客户机102(1)-102(N)中的一个或多个检索相应的电子邮件。虽然描述了被配置成电子邮件和即时消息的消息，也可以经由环境100传递多个文本和非文本消息(例如图形消息、音频消息等)而不背离本发明的精神和范围。此外，可以为各种各样其他的通信技术使用SSSL，诸如用于确定用户是否会接受基于IP的语音技术(VOIP)呼叫或将该呼叫路由到语音邮件。

如上所述，环境100的高效性也导致了非期望消息(通常称为“垃圾邮件”)的传递。一般通过电子邮件提供垃圾邮件，所述垃圾邮件被发送给大量接收者，诸如用于促销产品和服务。因此，可以认为垃圾邮件是“垃圾”邮件的电子形式。因为可以通过环境100传递大量电子邮件而发送者只需花费很少或不花费，所以大量的垃圾邮件发送者传递大量的非期望和无关消息。因此，多个客户机102(1)-102(N)的每一个会接收大量的这些无关消息，由此阻碍客户与实际感兴趣的电子邮件的交互。

会被用于阻碍非期望消息的传递的一种技术是通过使用“安全发送者”列表。举例而言，安全发送者列表会允许电子邮件用户指定用户期望从其接收电子邮件的电子邮件地址(用于发送电子邮件的实体的地址)。例如，安全发送者列表可以用于通过客户机所采用的用于储存在用户的收件箱中的垃圾邮件过滤从指定的地址“安全通道”给出电子邮件。然而，安全发送者列表的一些实现可以被“欺骗”。例如，如果攻击者发现包含在用户的安全发送者列表中的电子邮件地址，攻击者可以假扮这些地址之一所标识的实体，诸如通过欺骗简单邮件传输协议(SMTP)通信中“FROM”行。结果是，攻击者的消息会直接被传递到接收者的收件箱中。攻击者会使用技术的宽泛组合以获取安全发送者列表的内容，诸如通过窃用、猜测、爬寻网络以获取接收者的主页上(或连接至或连接自接收者的主页上)的其他地址等。

为了保护以免受到欺骗和其他身份的攻击，环境100会包含多个可靠的安全发送者列表118(1)、...、118(n)、...、118(N)(后文称为“SSSL”)。SSSI 118(1)-118(N)可以被配置成将多种标识机制组合以验证消息是否实际上传递自消息所标识的发送者。例如，SSSL 118(n)会被配置成允许用户将难以欺骗的信息(例如标识机制)与电子邮件地址相组合以形成更难以攻击的组合。举例而言，SSSL可以引用包括电子邮件地址“testtest.com”和第三方证书的组合。因此，客户机102(n)从testtest.com接收到的用所引用的第三方证书签署的消息会被传递到客户机的收件箱中。然而，来自testtest.com的不包括第三方证书的另一个消息会被当作不是在SSSL 118(n)上。因此，即使攻击者猜想testtest.com是在用户的安全发送者列表上，攻击者不能利用该信息，除非攻击者也能够使用相应的第三方证书来签署电子邮件，由此提供了附加的保护以免受到垃圾邮件的干扰。

在环境100中可以用多种方式提供SSSL 118(1)-118(N)。举例而言，在图1所示的例子中，多个客户机102(1)-102(N)的每一个包括多个SSSL 118(1)-118(N)中相应的一个，所述SSSL 118(1)-118(N)参考可用于验证发送者的电子邮件的特定的标识机制。也如图1所示，多个SSSL 118(k)可以存储在服务器群集108中，其中“k”可以是从1到“K”的任一整数。例如，服务器110(m)可以包括被配置成存储多个SSSL 118(k)的数据库120。举例而言，多个SSSL 118(k)可以是来自多个客户机102(1)-102(N)的多个SSSL 118(1)-118(N)的副本。因此，服务器110(m)可以使用类似于SSSL 118(1)-118(N)处理消息的方式来使用SSSL 118(1)-118(N)。然而，通过在服务器群集108上执行消息的处理，可以采用处理功能而无需使用多个客户机102(1)-102(N)上繁重的资源，这可以用于将此功能提供给“较少的”客户机，如上所述。此外会无缝地获取相应的单个SSSL的优势，即使使用不同的客户机登陆。可以被多个SSSL 118(1)-118(N)所参考和采用的标识机制的进一步讨论可以参考图2找到。

在一个实现中，SSSL 118(1)-118(N)所包含的一个或多个标识机制为免受攻击和欺骗而提供了不同级别的安全性。因此，在这个实现中，SSSL 118(1)-118(N)中条目的每一个可以被用于提供不同级别的访问，诸如对用户收件箱的访问。换而言之，SSSL 118(1)可以描述身份验证的层次，其中一个条目描述了比参考一个或多个标识机制的另一个条目所执行的验证更可能表示有效身份的一个或多个标识体制。例如，将电子邮件地址与来自高度可信的第三方证书签发者的第三方证书相组合的SSSL 118(1)条目可以给消息提供最大可能性的推进(例如，确保传递到用户的收件箱中)，而将电子邮件和有效的自签名证书结合的条目可以提供关于发送者身份的有力“暗示”，但不确保传递。

可以用多种方式采用和维护各个层次。例如，可以将层次构建到SSSL 118(1)-118(N)中(通过手工规则、机器学习等)，所述SSSL 118(1)-118(N)由用户提供，并从反垃圾邮件网络服务动态地部署和更新等。例如，当SSSL使用可靠的第三方证书来确保传递时，这会导致在仅限于少数人的电子邮件系统中，用户可以确信接收到的每个消息都是有效的，例如非“欺骗”的。对SSSL的使用及其所参考的用于处理消息的标识机制的进一步讨论可以参考图3和4找到。

此外，可以用多种方式执行SSSL 118(1)-118(N)的维护。例如，可以执行一个或多个通信模块106(1)-106(N)以提供用户界面，用于协助用户指定标识机制和SSSL 118(1)-118(N)中条目的访问级别。对用户界面的进一步讨论可以参考图5找到。

一般地，可以使用软件、固件(例如固定的逻辑电路)、手动处理或这些实现的组合来实现这里所描述的任一功能。这里所使用的术语“模块”、“功能”和“逻辑”一般表示软件、固件或软件和固件的组合。在软件实现的情况下，当在处理器(例如一个CPU或多个CPU)上执行时，模块、功能或逻辑表示指定特定任务的程序。程序代码可以存储在一个或多个计算机可读存储器设备中，对此的进一步描述可以参考图2找到。以下描述的SSSL策略的特征是独立于平台的，这意味着可以在具有多种处理器的多种商业计算平台上实现这些策略。

图2是在示例性实现中系统200的图示，它更为详细地示出了图1的多个客户机102(n)和多个服务器110(m)。图2的多个客户机102(n)的每一个被示为包括各自的处理器202(n)和存储器204(n)。同样地，多个服务器110(m)的每一个被示为包括各自的处理器206(m)和存储器208(m)。处理器不受到形成它们的材料或那里所采用的处理机制的限制。例如，处理器可以由半导体和/或晶体管(例如电子集成电路(IC))组成。在这种情况下，处理器可执行指令可以是电子可执行指令。或者，处理器的机制或用于处理器的机制以及计算设备的机制或用于计算设备的机制可以包括但不限于量子计算、光学计算、机械计算(例如使用纳米技术)等。此外，虽然为相应的客户机102(n)示出了单个存储器204(n)，为相应的服务器110(m)示出了单个存储器，但是可以采用各种各样的存储器及其组合，诸如随机存取存储器(RAM)、硬盘存储器、可移动介质存储器等等。

客户机102(n)被示为在处理器202(n)上执行通信模块106(n)，所述通信模块106(n)可以存储在存储器204(n)中。通信模块106(n)在执行时，可以用于处理使用相应的SSSL 118(n)的客户机102(n)接收到的消息，所述SSSL118(n)被示为存储在存储器204(n)中。SSSL 118(n)参考多个标识机制210(x)，其中“x”可以是从1到“X”的任一整数，所述标识机制210(x)可用于验证发送者的身份。在一个实现中，基于消息满足了SSSL 118(n)的哪些条目(如果有的话)(例如标识机制、标识机制的组合等)，SSSL 118(n)将一个或多个标识机制210(x)与SSSL上的动作相结合。因此，当用户接收到消息时，通信模块106(n)和/或管理器模块116(m)使用一个或多个适用的标识机制210(x)收集和验证消息。例如，标识机制210(x)可以涉及检查消息部分是是用特定的私钥签署的、消息是否发送自经由发送者的身份为特定的域批准的机器等。在SSSL 118(n)中可以采用多种标识机制210(x)及其组合，其示例在下文中描述。

电子邮件地址210(1)

电子邮件地址210(1)是安全发送者列表上使用的身份的标准形式，由此SSSL118(n)可以支持传统的安全发送者列表并在其上建造。可以通过查看消息标题中的‘FROM’行来检查电子邮件地址210(1)。虽然如上所述电子邮件地址210(1)会是尤其易受攻击的，电子邮件地址210(1)和另一标识机制的组合会形成坚固的保护。

第三方证书210(2)

第三方证书210(2)会涉及使用可以被追踪到第三方证书签发者的证书来签署消息的一部分。可以使用多种技术来附上这个签名，诸如通过安全/多用途因特网邮件扩展(S/MIME)技术，例如通过包括在包含签名的消息的标题中。在这种情况下，SSSL 118(n)条目也可以包括第三方证书签发者的身份，也可以确认所述身份以便进一步验证消息的真实性。该技术所提供的安全级别也可以基于第三方证书签发者的信誉、证书类型(例如，有些证书签发者提供日益增加的安全认证的若干级别)以及经签署的消息量(签署较多的消息被推测为较高的安全性)。因此，基于这种类型的标识机制要在SSSL 210(x)上执行的行动会基于这些信息来选择。例如，可以在由特定的第三方认证者签署的消息上执行一动作(例如，确保传递)，而可以进一步处理由另一第三方证书签发者签署的消息以便确定消息是否来自可信源、是垃圾邮件等等。

自签名证书210(3)

自签名证书涉及使用发送者创建的证书来签署消息的一部分。如同第三方证书210(2)，可以使用多种技术来附加这种标识机制，诸如通过安全/多用途因特网邮件扩展(S/MIME)技术，例如在消息中包括包含签名的标题。在一个实现中，使用自签名证书涉及由发送者创建公钥/私钥对、使用密钥签署部分消息并且在消息中发布公钥(或经由其他标准方法)。这种方式提供的安全性级别是基于经签署的消息量，由此也可以基于这个信息来选择与SSSL上这种类型的身份相关联的动作，如上所述。

通行码210(4)

通行码210(4)标识机制涉及在消息中使用通行码，诸如通过在消息内包括公钥而不使用相关联的密钥来签署消息的任一部分。该标识机制会对具有邮件传送代理的用户有用，这样使得签名不能被验证，所述邮件传送代理在传送中修改消息并毁坏签名的加密特征。该标识机制用作建立身份形式的轻便方式。虽然通行码210(4)仍然可能被欺骗，但是可以将通行码210(4)与其他标识机制一起使用以提供较大的验证可能性(即发送者身份的真实性)。在一个实现中，当单独使用通行码210(4)时，会将相关联的动作配置成对过滤器模块212(n)的提示。

例如，过滤器模块212(n)会采用多个垃圾邮件过滤器，所述垃圾邮件过滤器可执行用于诸如通过查看消息中的文本和文本模式过滤消息以便确定消息是否是垃圾邮件。标识机制210(x)(例如通行码210(4))可用于验证发送者的身份，如果成功就提供对过滤器模块212(n)的提示以便进一步处理消息。因此，可以将SSSL 118(n)与多种新的和/或先前存在的过滤器一起使用以提供附加的垃圾邮件过滤功能。虽然描述了客户机102(n)上垃圾邮件模块212(n)的执行，服务器110(m)也可以如所示地使用过滤器模块212(m)，所述过滤器模块212(m)可执行以提供类似的功能。

计算证明210(5)

计算证明210(5)标识机制涉及将计算证明附加到消息上。例如，发送者会将预先解出的计算附加在某个级别的消息上。所需的计算量可以用作依照先前描述的这个标识机制来选择动作的基础。

IP地址210(6)

IP地址210(6)标识机制涉及验证消息是否来自特定的IP地址或IP地址范围(例如IP/24范围204.200.100.^*)。在一个实现中，该标识方法会支持较低的安全模式，其中会在任一消息的“received”标题行中出现IP地址/范围。如上所述，使用特定的IP地址、IP地址范围和/或IP地址或范围位于消息的哪个位置可用作选择在消息上执行哪个动作的基础。

有效发送者ID 210(7)

有效发送者ID 210(7)标识机制涉及经由发送者的ID确认消息是否发送自为特定的域授权发送消息的计算机。例如，这种情况中的SSSL 118(n)条目会包含对可信域的引用。例如“testtest.com”是地址，而“test.com”是域。应该注意，无需严密地匹配域，例如域也可以是foo.test.com格式。但接收到来自这个地址的消息时，通信模块106(n)会对“test.com”域执行发送者ID测试，如果消息与条目匹配，那么消息是有效的。该标识机制也可以利用检测客户机中IP地址的算法以及用于从边缘服务器传递IP地址的任何即将出现的标准、用于从边缘服务器传递发送者ID检查结果的标准等。此外，应该注意，发送者ID不限于任何特定的发送者标识技术或构架(例如发送者策略构架(SPF)、来自MICROSOFT的发送者ID构架(Microsoft是美国华盛顿雷蒙德市的微软公司的注册商标)等)，但可以包括提供用户或域认证的任一机制。

货币附件210(8)

货币附件210(8)标识机制涉及将货币量包含在消息中用以发送，这可以被称为“电子邮票”。例如，消息的发送者可以将货币量附加到接收者可信的消息上。通过附加甚至是最少货币量，垃圾邮件发送器发送大量这种消息的可能性也会减少，由此增加发送者不是垃圾邮件发送者的可能性。也可以为货币附件210(8)采用多种其他技术，诸如通过因特网上的收取验证消息费用的中央票据交换所。由此，包括在消息中的证书可以用作一种验证形式，其中发送者支付一定的费用来发送消息。虽然描述了多种标识机制210(1)-210(8)，也可以采用多种其他的标识机制210(X)而不脱离本发明的精神和范围。

如上所述，SSSL 118(n)会参考一种或多种标识机制210(x)以及基于消息满足哪种标识机制210(x)来采取行动。例如，通信模块106(n)会将来自消息的数据与标识机制210(x)做比较，并确定是否要采取任何相关联的动作。接着采取这些动作，这会导致确保传递、带有提示消息不是垃圾邮件的消息被传递给过滤器模块214(n)等。也可以采取多种其他的动作，以下描述其示例。

举例而言，当消息符合SSSL 118(n)中条目，就采取相关联的动作。例如，SSSL118(n)中引用的一个这样的动作会指定消息应该被递送到用户的收件箱中而无需进一步的过滤。此外，在这种情况下，会绕过过滤器模块212(n)以确保传递。

在另一例子中，会使用过滤器模块212(n)进一步过滤消息，但是过滤器模块212(n)响应于过滤可以执行的动作是有限的。这样，SSSL可用于“限定”过滤器模块214(n)对消息可执行的动作。例如，SSSL 118(n)条目可以指定满足特定标识机制210(x)的消息不被丢弃，不管过滤器模块212(n)处理消息的结果如何。在这种情况下，可以由过滤器模块214(n)执行的动作包括隔离消息、将消息路由到垃圾邮件过滤器等等。

在还有一例子中，动作会被配置成对过滤器模块212(n)的“提示”。例如，提示的形式和数量可用于增加或减少消息(当由过滤器模块212处理时)被认为是“垃圾邮件”的可能性。举例而言，提示可以采取以下形式：使用线性模型增加概率计算的权重、在分配了概率的消息中的绝对减少、过滤阈值中的改变(例如较低的侵略性)、包括在决定过程中的附加特征等。

在一个实现中，每个标识机制210(x)(或标识机制的组合210(x))在SSSL118(n)中有默认的动作。例如，如果用户向引用自签名证书212(3)的SSSL 118(n)附加一个条目，通信模块106(n)可能建议一个反映理解当前标识机制210(x)的安全性的动作。随着时间的推移，当经认证的邮件和SSSL对于电子邮件和其他种类的信息变得更加普遍和重要时，攻击者可能会更有动机去攻击SSSL。当这种情况发生时，用于多种标识机制210(x)的默认动作会被改变，诸如基于从电子邮件提供者获取的反馈。默认动作可通过多种方式被选择，诸如用户手动、经由机器学习的使用，并可通过软件升级、经由反垃圾邮件web服务等发布。

动作也可被设置为实现一解决由标识机制210(x)提供的不同程度确定性的层次。例如，管理模块116(m)可在服务器110(m)上被执行以便在多个基于消息满足的标识机制的文件夹214(1)、...、214(y)、...、214(Y)中的一个存储图1中的信息114(h)。多个文件夹214(1)-214(Y)被图示为构成从“较大可能”到“较小可能”的层次216，它们分别标明了标识机制指示信息发送者的实际身份的可能性。例如，管理模块116(m)可收到满足每个前述标识机制210(1)-210(8)的首个消息。因此，这样的消息很有可能正确地标识消息的发送者，并由此被路由到被设置为用户收件箱的“较大可能”的文件夹214(1)。然而，另一个消息可能不满足标识机制210(1)-210(8)中的任何一个，因此被路由到可能被设置为“垃圾邮件”文件夹的“较小可能”文件夹214(Y)。另一个消息满足电子邮件地址210(1)和自签名证书210(3)的标识机制。这样的消息可能被路由到在电子邮件实现中被设置为“隔离”文件夹的“中间”文件夹214(y)。多种其他层次的标识机制和相应动作可被使用，这部分内容的进一步讨论可以在图3的相关叙述中找到。

虽然下面的讨论将描述SSSL 118(n)在客户机102(n)上的使用，但SSSL118(n)、118(k)可被设置为分别在客户机102(n)和服务器110(m)有相似的工作。然而，SSSL 118(n)和118(k)的存储方式可能会不同。例如，在客户机102(n)上的SSSL 118(n)可以用二进制的格式被存储在注册表、独立文件等中。证书(将在以下的讨论中更详细描述)可与SSSL一同安全地存储在操作系统的“证书存储”(例如，“我的证书”)等中。例如，证书的存储和管理可由配置应用程序编程接口(CAPI)执行。证书的参考/索引与发送者的电子邮件地址一起存储在注册表/文件中的SSSL中。对于服务器，SSSL可作为服务器110(m)上客户机102(n)的按帐户信息被存储。

示例性过程

以下讨论描述了利用前述系统和设备实现的SSSL的技术。每个程序的各方面可用硬件、固件、软件或它们的结合来实现。程序以一组由一个或多个设备执行的指定操作框表示，并且不需要受被示出为用于由各个框执行操作的顺序的限制。也要注意的是，以下的示例程序可在多种其他环境中实施，而不脱离本发明精神和范围。

图3是描述在一个示例性实现中的程序300的流程图，其中消息被设置为使用多种标识机制处理的电子邮件。客户机102(n)通过网络104从另一个客户机102(1)接收电子邮件。例如，客户机102(1)可通过网络104向图1中的服务器110(m)传递电子邮件。电子邮件302然后可通过通信模块106(n)的执行被客户机102(n)检索。

当通信模块106(n)在客户机102(n)上执行时，它检测哪一标识机制(如果有)可用于验证电子邮件302(框306)。例如，通信模块106(n)可检查电子邮件302以确定图2中的多个标识机制210(1)-210(X)中的任意一个是否可以被用于验证发送者的身份。例如，通信模块106(n)可检查电子邮件302的标题信息以确定电子邮件地址308，电子邮件302从这个地址被发送出。通信模块106(n)也可检查电子邮件302以定位第三方证书310。

然后通信模块106(n)被执行以使用检测到的标识机制210(x)来验证电子邮件并从SSSL 118(n)确定一个适当的动作(框312)。例如，通信模块106(n)可查询图1中的证书提供者114以确定第三方证书310是否是有效的。如果认证被成功执行(例如，第三方证书被验证为有效)，通信模块106(n)就能确定在从SSSL 118(n)的电子邮件302上执行哪个动作。例如，SSSL 118(n)可能有很多条目参考标识机制210(x)的相应动作的组合。因此，通信模块106(n)可检查SSSL 118(n)以确定当电子邮件302被验证为有指定的电子邮件地址和经验证的第三方证书310时应该执行哪个动作。当一个或多个标识机制210(x)失败时，SSSL 118(n)也可参考将被执行的动作。例如，电子邮件302包含的第三方证书310可能不能被验证，诸如通过图1中的证书提供者114(1)的不可用性、伪造第三方证书310等。

这样一个动作的一个示例是基于验证的电子邮件302的路由(框314)。例如，客户机102(n)可包含多个文件夹316、...、316(a)、...、316(A)。此示例中多个文件夹316(1)-316(A)中的每一个都被配置为对应于电子邮件302被指定的发送者发送的确定性的分层等级，从而处理从最不确定(例如，文件夹316(A))到最确定(例如，文件夹(316(1))。因此，有包含在SSSL 118(n)中的电子邮件地址308和经验证的第三方证书310的电子邮件302可提供大量有关发送者是有效的确定性(即，他们是他们所声称的人)，并且由此被路由到文件夹316(1)，诸如客户机的收件箱。另一方面，如果第三方证书310的验证失败，但是电子邮件地址308与SSSL 118(n)中的电子邮件地址匹配，电子邮件302会被路由到一个中间文件夹316(a)，诸如隔离文件夹。多种其他路由技术和其他动作可基于电子邮件302的验证结果被执行，诸如为了进一步的处理而路由到图2中的过滤器模块212(n)，包括对过滤器模块212(n)的关于验证结果的“提示”等，这部分的进一步讨论可在下文的相关描述中找到。

图4是描述在一个示例性实现中的过程400的流程图，在这个实现中通过使用多个标识机制来处理消息，并将结果传递给过滤器模块以作进一步的消息处理。消息通过网络接收(框402)。在一个示例中，消息是通过因特网传递的电子邮件消息。在另一个示例中，消息是即时消息。

如前述，通信模块被执行以检测多个标识机制中的哪一个可用来验证消息(框404)。例如，消息可被检查以确定它是否包括发送者地址(例如，电子邮件地址)、第三方证书、自签名证书、通行码、计算证明、IP地址、发送者标识符、货币附件等。然后通信模块使用一个或多个被检测到的机制来验证消息(框406)。例如，通信模块可确定消息包含发送者地址，然后验证发送者地址是否包含在SSSL内。然后，通信模块可确定另一个标识机制是否是可用的，如果是这样，使用检测到的标识机制来验证消息(框406)。接着前面的例子，通信模块可确定消息包含一个计算证明的结果，然后验证结果是否是正确的。

一旦没有其他标识机制是可用的(判决框406)，验证的结果和消息一起被传递到过滤器模块以作进一步的处理(框410)。例如，结果可指出当处理消息时，哪个标识机制被过滤器模块用来考虑。在另一个示例中，结果可以是指出此消息是从可信发送者处发送的相对可能性的值。例如，这个值可被设置为发送者不是垃圾邮件发送者的可能性得分。

然后，过滤器模块使用多个过滤器和上述结果来处理消息(框412)。例如，结果可作为对过滤器模块的“提示”和一个或多个垃圾邮件过滤器一起使用以作进一步处理，诸如使用线性模型增加概率计算的权重、在分配了概率的消息中的绝对减少、过滤阈值中的改变(例如较低的侵略性)、包括在决定过程中的附加特征等。这样，SSSL可和其他垃圾邮件过滤器被一起使用以处理消息。

图5是描述示例性实现中的过程500的流程图，其中增加了可靠的安全发送者列表。在一个实现中，由于指定了一个或多个标识机制和动作，将条目增加到SSSL列表中相比将条目增加到传统安全发送者列表较为复杂。例如，通信模块会使用多种标识机制处理消息(框502)，诸如通过图4的过程400。接着，确定多种标识机制中的哪种机制应该被包括在SSSL中(块504)以供对消息进一步的处理。可以采用各种模式将新的条目加入到SSSL中，诸如响应于用户明确地指示应该增加条目、由于通信模块建议应该增加条目等等。

举例而言，在“用户驱动”模式中，向用户示出标识机制列表以供选择(框506)。在一个实现中，输出到用户的标识机制是在消息中存在的那些标识机制。例如，通信模块会指示消息满足多种标识机制210(x)中的哪一种，诸如通过加亮、在菜单中只包括那些标识机制等。用户于是可以选择要增加到SSSL中的方法，诸如如果用户知道邮件传递代理(MTA)有时会破坏签名时不包括自签名证书等。

在“软件驱动”模式中，执行通信模块以选择被视为安全的消息所满足的每个标识机制(块508)。例如，通信模块会包括如上所述描述图2的多种标识机制210(x)中的哪一种是安全的配置文件。可以如下修改配置文件：经由软件更新、经由反垃圾邮件web服务、由用户配置等等。

在“最安全”模式中，执行通信模块来选择“最安全”的标识机制(或其组合)用于验证发送者的身份(框510)。标识机制的相对安全性会被包括在配置文件中，并可以如下改变：经由软件更新、经由反垃圾邮件web服务、通过用户配置等等。

接着将所选择的标识机制和相应的动作增加到SSSL中(框512)。因此，当SSSL指示时可以使用所标识的选择机制和相应的动作来处理另一电子邮件(框514)。在一个实现中，当对SSSL作出新的条目时，执行通信模块以检查是否有任何较低安全性的条目并建议删除这些条目，诸如对于具有较低安全性的标识机制的特定用户，向用户提示条目的存在。

在另一实现中，当向SSSL增加用户时(即用户地址和另一标识机制)，通信模块可以使用多种附加的考虑。例如，当用户从特定发送者接收到和读取了一个或多个消息时，通信模块可以提示增加发送者。作出这个建议的标准也会受到上述标识机制的存在的影响。举例而言，附有计算证明的消息会导致立刻建议用户增加发送者到SSSL，而第三方认证的存在会导致第二次提示阅读来自该发送者的消息。一般地，根据上述任一标识机制的存在或不存在，用于向SSSL提示(或甚至自动增加)发送者的标准可以被做成更为简单或更为严格。

结论

虽然使用专用于结构特征和/或方法动作的语言来描述本发明，但是应该理解，所附权利要求书中定义的本发明不必限于所描述的具体特征或动作。而是，具体特征和动作是作为实现所要求保护的发明的示例性形式来揭示的。

Claims

1.一种用于通过使用可靠的安全发送者列表提供消息通信的方法，包括：

经由网络从发送者接收消息；

使用安全发送者列表中引用的多种标识机制中的一种或多种来验证发送者的身份，其中至少一种所述标识机制能够被执行而无需使用发送者的地址且无需查询发送者，其中所述多种标识机制是从由以下各项构成的组中选出的：第三方证书、自签名证书、通行码、数学证明的结果、发送者ID、以及附加在所述消息上的货币量；

确定所述消息满足多个层次级别中的哪一个，其中：每个所述层次级别是在所述标识机制的一列表中定义的；以及

每个层次级别对应于根据所述层次级别引用的标识机制来验证的发送者的身份是准确的可能性；以及

基于所确定的对应于所述消息的层次级别来路由所述消息。

2.如权利要求1所述的方法，其特征在于，所述消息是电子邮件或即时消息。

3.如权利要求1所述的方法，其特征在于，所述验证包括使用所述标识机制的组合，当满足时，所述组合适用于标识所述发送者。

4.如权利要求1所述的方法，其特征在于，所述验证包括使用所述多种标识机制中的另一所述标识机制来验证所述发送者的身份。

5.如权利要求1所述的方法，其特征在于：

所述第三方证书是由第三方证书提供者签发的，所述第三方证书提供者通过网络可用于认证所述第三方证书。

6.如权利要求1所述的方法，其特征在于，所述验证是使用描述所述标识机制的多种组合的列表来执行的，当所述消息满足所述组合时，验证所述发送者的身份，并且所述方法还包括基于消息满足哪个所述组合来路由所述消息。

7.一种用于通过使用可靠的安全发送者列表提供消息通信的方法，包括：

确定多个层次级别中的哪一个对应于经由网络接收到的消息，其中，所述每个层次级别：

是由用于标识所述消息的发送者的机制来定义的，其中用于标识所述消息的发送者的机制是从由以下各项构成的组中选出的：第三方证书、自签名证书、通行码、数学证明的结果、发送者ID、以及附加在所述消息上的货币量；以及

对应于使用所述层次级别引用的机制来验证的消息发送者的身份是准确的可能性；以及

依照相应的所述层次级别来路由所述消息；

其中确定多个层次级别中的哪一个对应于经由网络接收到的消息的步骤还包括：

用安全发送者列表中引用的多种标识机制来验证发送者的身份，其中所述多种标识机制中的至少一种能够被执行；

基于所述消息满足所述多种标识机制的情况来确定不同的安全级别；

确定所述多个层次级别中的哪个对应于所述消息。

8.如权利要求7所述的方法，其特征在于，一个所述层次级别包括至少两个所述机制的组合，当满足时，所述组合适用于标识所述发送者。

9.如权利要求7所述的方法，其特征在于：

10.一种用于通过使用可靠的安全发送者列表提供消息通信的计算设备，包括：

用于经由网络从发送者接收消息的装置；

用于使用安全发送者列表中引用的多种标识机制中的中的一种或多种来验证发送者的身份的装置，其中至少一种所述标识机制能够被执行而无需使用发送者的地址且无需查询发送者，其中所述多种标识机制是从由以下各项构成的组中选出的：第三方证书、自签名证书、通行码、数学证明的结果、发送者ID、以及附加在所述消息上的货币量；

用于确定所述消息满足多个层次级别中的哪一个的装置，其中：

每个所述层次级别是在所述标识机制的列表中定义的；以及

用于基于所确定的对应于所述消息的层次级别来路由所述消息的装置。

11.如权利要求10所述的计算设备，其特征在于，所述用于进行验证的装置包括用于使用所述多种标识机制中的另一所述标识机制来验证所述发送者的身份的装置。

12.如权利要求10所述的计算设备，其特征在于，所述第三方证书是由第三方证书提供者签发的，所述第三方证书提供者通过网络可用于认证所述第三方证书。

13.如权利要求10所述的计算设备，其特征在于，所述用于进行验证的装置还被配置来使用描述所述标识机制的多种组合的列表来验证所述身份，当所述消息满足所述组合时，所述组合验证所述发送者的身份，并且所述计算设备还包括用于基于所述消息满足哪个所述组合来路由所述消息的装置。