CN1942845A - 访问控制设备和电子设备 - Google Patents

Abstract

提供了一种访问控制设备，它对电子设备的每一组合控制相关于网络中多个电子设备的访问权限。授权信息生成部分(106)生成在电子设备(200)访问电子设备(300)上的应用程序时使用的授权信息。许可信息生成部分(107)生成与授权信息相关的许可信息，它是有关电子设备(300)是否许可来自电子设备(200)的访问请求的信息。访问信息存储部分(101)存储授权信息和许可信息。传输控制部分(108)经由通信部分(103)将授权信息传输到电子设备(200)，并将许可信息传输到电子设备(300)。

Description

访问控制设备和电子设备

技术领域

本发明涉及访问控制设备和电子设备，尤其涉及对电子设备的每一组合控制有关网络中存在的多个电子设备的访问权限的访问控制设备，以及根据该访问控制设备对访问权限的控制经由网络实现与存储在另一电子设备中的应用程序相关联的期望服务的电子设备。

背景技术

诸如数字电视、移动电话等的常规电子设备日益具有下载用Java(R)语言等描述的程序、并执行所下载程序的功能。例如，在移动电话的领域中，NTT DoCoMo提供称为“i-appi”的服务。在该服务中，移动电话终端从因特网上的应用程序分发服务器中下载一Java(R)程序，并在终端上执行该程序。在欧洲，已建立了称为“DVB-MHP”(数字视频广播-多媒体家庭平台)的规范，并且已启动了符合该规范的服务。在基于DVB-MHP标准的数字广播中，数字TV接收并执行与广播波多路复用的Java(R)程序。

在这种程序分发服务中，结合了众多安全功能以便于防止应用程序对电子设备的未经授权访问。通过使用这些安全功能，常规的电子设备可防止来自由例如恶意创建者创建的应用程序的未经授权访问。具体地，常规电子设备设有例如：确认给予应用程序的认证信息，以确认该应用程序的创建者的身份的功能；取决于认证信息的存在与否，控制访问电子设备上可用的计算机资源的API(应用程序编程接口)的功能；等等。

专利文献1公开了一种具有防止未经授权访问的功能的常规电子设备。图19是示出该常规电子设备的一种示例性配置的框图。在图19中，常规电子设备900包括计算机资源901a-901c、应用程序执行部分902、以及访问许可控制部分903。计算机资源901a-901c是由电子设备900用来实现预定功能的资源。具体地，计算机资源901a-901c是存储器资源、用于实现与外部设备的连接的资源等。应用程序执行部分902经由网络从应用程序服务器910中下载应用程序902a。当应用程序902a被第三方等证实不是未经授权的程序时，将认证信息902b附于应用程序902a上。

当认证信息902b附于应用程序902a上时，访问许可控制部分903允许应用程序902a访问所有计算机资源901a-901c。另一方面，当认证信息902b未附于应用程序902a时，访问许可控制部分903禁止应用程序902a访问所有计算机资源901a-901c。因而，常规电子设备900防止未经授权的程序对计算机资源901a-901b的访问。

在近来的应用程序中，不仅有使用单个电子设备实现预定服务的应用程序，而且有经由网络实现与多个电子设备相关联的预定服务的应用程序。执行这种应用程序的电子设备的示例包括：对录像机设备执行定时记录的移动电话、共享图像数据的个人计算机等。在执行这种应用程序时，常规电子设备900控制未经授权的应用程序对用于网络连接的计算机资源的访问，从而控制与所有网络(即所有设备)的连接。

专利文献1：日本专利公开No.10-320287。

发明内容

本发明要解决的问题

在执行提供与另一设备相关联的预定服务的应用程序时，常规电子设备900可控制对所有网络(即所有设备)的访问，然而却不能控制与电子设备的组合相对应的访问权限。例如，常规电子设备900不能执行这样的控制：允许录像机设备A执行定时记录，而不允许录像机设备B执行定时记录。换言之，当多个设备实现彼此相关联的预定服务时，常规电子设备900不能根据用户的意图来控制设备组合的访问权限。

因此，本发明的一个目的是提供一种访问控制设备，它对电子设备的每一组合控制对于网络中多个电子设备的访问权限；以及一种电子设备，它经由网络实现与存储在另一电子设备中的应用程序相关联的预定服务。

问题的解决方案

本发明涉及经由网络连接到多个电子设备的访问控制设备，这些电子设备包括彼此关联地执行预定应用程序的第一电子设备和第二电子设备。为了实现上述目的，本发明的访问控制设备包括授权信息生成部分、许可信息生成部分、通信部分、接收控制部分、访问信息存储部分、以及传输控制部分。

授权信息生成部分生成授权信息，它是定义第一电子设备用于请求对第二电子设备的访问的授权的信息。许可信息生成部分生成与授权信息相关的许可信息，它是基于来自第一电子设备的授权信息判定第二电子设备是否对访问请求给予访问许可的信息。通信部分经由网络与多个电子设备通信。接收控制部分经由通信部分从第一电子设备接收对生成授权信息的请求，并指示授权信息生成部分生成授权信息。访问信息存储部分存储授权信息和许可信息。传输控制部分经由通信部分将授权信息传输到第一电子设备，并将许可信息传送到第二电子设备。

较佳地，该访问控制设备还包括策略信息存储部分和策略判定部分。策略信息存储部分存储用于判定对来自第一电子设备的对生成授权信息的请求是否允许生成授权信息。接收控制部分在接收到对生成授权信息的请求时，向策略判定部分询问是否允许生成授权信息。仅当策略判定部分判定允许生成授权信息时，接收控制部分才指示授权信息生成部分生成授权信息。

授权信息包括对应于由第一电子设备所执行的应用程序生成的应用程序密钥，以及列示被给予了对访问第二电子设备的授权的应用程序功能的访问列表。许可信息包括与应用程序密钥成对生成的应用程序公钥、以及访问列表。

较佳地，授权信息生成部分生成使用授权信息生成部分本身所拥有的密钥签署的授权信息。此外，许可信息生成部分生成使用许可信息生成部分本身所拥有的密钥签署的许可信息。

本发明还涉及：在由多个电子设备和一个访问控制设备组成的网络中，一种用于与另一个电子设备相关联地执行预定应用程序的电子设备。为了实现上述目的，本发明的电子设备包括通信部分、授权信息接收部分、授权信息存储部分、应用程序执行部分、以及控制部分。

通信部分经由网络与多个电子设备和该访问控制设备通信。授权信息接收部分接收授权信息，它是定义用于请求对另一电子设备的访问的授权的信息。授权信息存储部分存储由授权信息接收部分所接收的授权信息。应用程序执行部分执行预定应用程序以生成对访问另一电子设备的请求。控制部分控制对访问另一电子设备的请求。较佳地，仅当基于授权信息判定给予访问请求授权时，控制部分才请求对另一电子设备的访问。

较佳地，该电子设备还包括授权信息请求部分，用于根据控制部分的指令请求访问控制设备生成授权信息。在该情形中，当对应于另一电子设备的授权信息并未存储在授权信息存储部分中时，控制部分指示授权信息请求部分请求生成授权信息。

授权信息包括对应于预定应用程序生成的应用程序密钥，以及列出被给予对访问另一电子设备的授权的应用程序功能的访问列表。较佳地，仅当对应于由应用程序执行部分生成的访问请求的功能包括在访问列表中时，控制部分才请求访问另一电子设备。

此外，本发明涉及：在由多个电子设备和一个访问控制设备组成的网络中，一种用于与另一个电子设备相关联地执行预定应用程序的电子设备。为了实现上述目的，本发明的电子设备包括通信部分、许可信息接收部分、许可信息存储部分、应用程序执行部分、以及控制部分。

通信部分经由网络与多个电子设备和该访问控制设备通信。许可信息接收部分经由通信部分从访问控制设备接收许可信息，它是用于判定是否对来自另一电子设备的访问请求给予访问许可的信息。许可信息存储部分存储由许可信息接收部分所接收的许可信息。应用程序执行部分执行预定应用程序。控制部分控制来自另一电子设备的对应用程序执行部分的访问请求。控制部分基于存储在许可信息存储部分中的许可信息判定是否允许来自另一电子设备的访问请求。

许可信息包括对应于由另一电子设备执行的应用程序生成的应用程序密钥，以及列出许可来自另一电子设备的访问请求的应用程序功能的访问列表。较佳地，仅当对应于来自另一电子设备的访问请求的功能包括在访问列表中时，控制部分才许可来自另一电子设备的访问请求。

由访问控制部分的授权信息生成部分、许可信息生成部分、通信部分、接收控制部分、访问信息存储部分、以及传输控制部分执行的进程可被实现为提供一系列过程的访问控制方法。本发明的访问控制方法包括：授权信息生成步骤、许可信息生成步骤、通信步骤、接收步骤、指示步骤、以及传输步骤。

授权信息生成步骤生成授权信息，它是定义第一电子设备用于请求对第二电子设备的访问的授权的信息。许可信息生成步骤生成与授权信息相关的许可信息，它是基于来自第一电子设备的授权信息判定第二电子设备是否对访问请求给予访问许可的信息。通信步骤经由网络与多个电子设备通信。接收步骤经由通信部分从第一电子设备接收对生成授权信息的请求。指示步骤指示授权信息生成步骤生成授权信息。传输步骤将授权信息传输到第一电子设备，并将许可信息传送到第二电子设备。

较佳地，该访问控制方法以使访问控制设备执行一系列过程的程序的形式来提供。该程序可存储在计算机可读存储介质中。

由通信部分、授权信息接收部分、授权信息存储部分、应用程序执行部分和控制部分执行的进程可被实现为在由多个电子设备和一个访问控制设备组成的网络中，一种与另一电子设备相关联地执行预定应用程序的电子设备用来请求对另一电子设备的访问的方法。

本发明的访问请求方法包括通信步骤、接收步骤、执行步骤和请求步骤。通信步骤经由网络与多个电子设备和该访问控制设备通信。接收步骤经由通信步骤接收授权信息，它是定义用于请求对另一电子设备的访问的授权的信息。执行步骤执行预定应用程序以生成对访问另一电子设备的请求。仅当基于授权信息判定给予访问请求授权时，请求步骤才经由通信步骤请求访问另一电子设备。

较佳地，该访问请求方法以使访问控制设备执行一系列过程的程序的形式来提供。该程序可存储在计算机可读存储介质中。

由电子设备的通信部分、许可信息接收部分、许可信息存储部分、应用程序执行部分和控制部分执行的进程可被实现为在由多个电子设备和一个访问控制设备组成的网络中，一种与另一电子设备相关联地执行预定应用程序的电子设备用来判定是否许可对另一电子设备的访问请求的方法。

用来判定是否许可访问请求的方法包括通信步骤、接收步骤、执行步骤和判定步骤。通信步骤经由网络与多个电子设备和该访问控制设备通信。接收步骤经由通信步骤接收许可信息，它是用于判定是否对来自另一电子设备的访问请求给予访问许可的信息。执行步骤执行预定应用程序。判定步骤基于许可信息判定是否允许来自另一电子设备的访问请求。

较佳地，用于判定是否许可访问请求的方法以使访问控制设备执行一系列过程的程序的形式来提供。该程序可存储在计算机可读存储介质中。

发明效果

根据本发明，一种访问控制设备生成彼此相关的授权信息和许可信息，并将所生成的授权信息传输给想要进行访问的电子设备，将许可信息传输给要访问的电子设备。由此，对于电子设备的每个组合，该访问控制设备都可控制对网络中存在的多个电子设备的访问权限。

因为本发明的电子设备仅当根据授权信息获得授权时才请求对另一电子设备的访问，所以阻止对未获授权的电子设备的访问是可能的。此外，因为电子设备仅当根据许可信息得到许可时才许可来自另一电子设备的访问，所以防止来自未得到许可的电子设备的访问是可能的。由此，由访问控制设备给予授权信息和许可信息的电子设备可经由网络彼此相关联地提供预定服务，同时防止未授权访问。

附图说明

图1是示出根据本发明一实施例的访问控制系统的示例性网络配置的示图。

图2是示出根据本发明一实施例的访问控制设备100的一示例性配置的框图。

图3是示出存储在策略信息存储部分102中的示例性策略信息的示图。

图4是示出存储在策略信息存储部分102中的示例性策略信息的示图。

图5是示出由许可信息生成部分107生成的示例性许可信息的示图。

图6是示出当由管理员更新授权信息和许可信息时访问控制设备100的一示例性操作的序列图。

图7是示出由访问控制设备100执行的管理员更新过程的一示例性操作的流程图。

图8是当从电子设备200接收授权信息请求消息时访问控制设备100的一操作序列的示图。

图9是示出授权消息请求消息的一示例性配置的示图。

图10是示出由访问控制设备100执行的访问信息生成过程的一示例性操作的流程图。

图11是示出授权信息生成过程的一示例性详细操作的流程图。

图12是示出许可信息生成过程的一示例性详细操作的流程图。

图13是示出根据本发明一实施例的电子设备200的一示例性配置的框图。

图14是示出根据本发明一实施例的电子设备300的一示例性配置的框图。

图15是示出电子设备200的一示例性操作的流程图。

图16是示出访问控制过程的一示例性详细操作的流程图。

图17是示出访问请求信息的一示例性结构的示图。

图18是示出电子设备300的一示例性操作的流程图。

图19是示出常规电子设备的一示例性配置的框图。

标号说明

100访问控制设备

101访问信息存储部分

102策略信息存储部分

103、206、306通信部分

104接收控制部分

105策略判定部分

106授权信息生成部分

107许可信息生成部分

108传输控制部分

200、300电子设备

201授权信息存储部分

202、302应用程序执行部分

203、303控制部分

204授权信息请求部分

205授权信息接收部分

301许可信息存储部分

305许可信息接收部分

具体实施方式

在下文中，本发明的各个实施例将参照附图进行描述。

图1是示出根据本发明一实施例的访问控制系统的一示例性网络配置的示图。在图1中，在本发明的访问控制系统中，访问控制设备100、电子设备200、以及电子设备300经由网络彼此连接。

访问控制设备100是控制有关电子设备200和电子设备300的访问权限的设备。具体地，该访问控制设备100给予电子设备200和电子设备300授权信息或许可信息，以便于控制有关电子设备200和电子设备300的访问权限。授权信息指定义用于请求从一电子设备中存在的应用程序访问另一电子设备的授权的信息。许可信息指基于来自一电子设备的授权信息，由另一电子设备判定是否对访问请求给予访问许可的信息。在下文中，授权信息和许可信息统称为访问信息。

电子设备200和电子设备300是彼此相关联地实现期望服务的电子设备。具体地，电子设备200和电子设备300对应于一般的电子设备，包括个人计算机、数字电视、机顶盒、DVD刻录机、蓝光盘(BD)刻录机、车辆导航终端、移动电话、PDA等。在此假设电子设备200是请求访问电子设备300的设备，而电子设备300是允许来自电子设备200的访问的设备。例如，为了引用存储在电子设备300中的数据，电子设备200使用授权信息请求访问电子设备300。电子设备300使用对应于授权信息的许可信息来判定是否许可电子设备200所需的访问。

注意，访问控制设备100可被实现为结合于电子设备200或电子设备300的中软件。尽管访问控制设备100与两个电子设备，即电子设备200和电子设备300相连，但访问控制设备100可与两个以上电子设备相连。

[访问控制设备100]

图2是示出本发明实施例的访问控制设备100的一示例性配置的框图。在图2中，本发明的访问控制设备100包括：访问信息存储部分101、策略信息存储部分102、通信部分103、策略判定部分105、授权信息生成部分106、许可信息生成部分107、以及传输控制部分108。

访问信息存储部分101存储上述授权信息和许可信息。注意，授权信息和许可信息将在下面详细描述。策略信息存储部分102存储用于判定对于来自电子设备的授权信息请求是否允许签发授权信息的策略信息。假设信息在策略信息存储部分102中的登记由访问控制设备100的所有者执行。注意，登记可经由网络从电子设备200或电子设备300执行。注意，在这种情形中，访问控制设备100和执行策略登记的电子设备还需要使用口令、证书等来验证。

图3是示出存储在策略信息存储部分102中的一策略信息示例的示图。参看图3，策略信息包括所有者标识信息、设备类型信息、以及判定信息。所有者标识信息指用于标识请求授权信息的电子设备的所有者的信息。设备类型信息指用于指定请求授权信息的电子设备的类型的信息。判定信息指用于判定是否允许签发授权信息的信息。

通信部分103经由网络与诸如电子设备200、电子设备300等的设备通信。通信部分103根据诸如TLS(传输层保护)、HTTP(超文本传输协议)等协议进行通信。

接收控制部分104经由通信部分103从电子设备200或电子设备300接收对签发授权信息的请求。策略判定部分105基于存储在策略信息存储部分102中的策略信息，判定是否许可由接收控制部分104接收的对签发授权信息的请求。

授权信息生成部分106基于策略判定部分105的判定生成授权信息。图4是示出由授权信息生成部分106生成的一授权信息示例的示图。在图4中，该授权信息包括密钥签名106a、应用程序密钥106b、以及访问列表106c。

密钥签名106a指使用由访问控制设备100持有的密钥来签署应用程序密钥106b和访问列表106c的结果。应用程序密钥106b指对应于由电子设备200执行的应用程序生成的密钥。应用程序密钥106b与许可信息内所包括的应用程序公钥107b(如下所述)成对地生成。访问列表106c指列出根据授权信息给出访问权限的功能的列表。

访问列表106c列出三个功能，即功能A、功能B和功能C。在此，功能A、功能B和功能C定义用来访问另一电子设备的远程过程调用功能。具体地，功能A是例如在移动电话向存储视频数据的视频服务器请求获取视频数据时使用的远程过程调用功能。

注意，访问列表106c可以是不同于远程过程调用功能的列表。例如，访问列表106c可以是诸如FTP(文件传输协议)、HTTP(超文本传输协议)、TELNET等的访问协议列表。

许可信息生成部分107基于策略判定部分105的判定生成许可信息。图5是示出由许可信息生成部分107生成的许可信息的一个示例的示图。参看图5，许可信息包括密钥签名107a、应用程序公钥107b和访问列表107c。

密钥签名107a指使用访问控制设备100所拥有的密钥来签署应用程序公钥107b和访问列表107c的结果。应用程序公钥107b指对应于应用程序生成的公钥。应用程序公钥107b与上述授权信息内所包括的应用程序密钥106b成对地生成。

访问列表107c指列出根据许可信息对其许可访问的功能的列表。访问列表107c将三个功能，即功能A、功能B和功能C列示为授权信息内所包括的访问列表106c(参见图4)。

传输控制部分108从访问信息存储部分101中读出授权信息和许可信息，并经由通信部分103将授权信息和许可信息传输给电子设备200和电子设备300。在该情形中，传输控制部分108可在传输之前加密该授权信息和许可信息。

接着，将参照图6-12描述本实施例的访问控制设备100的操作。图6是示出当由管理员更新授权信息和许可信息时访问控制设备100的一示例性操作的序列图。参看图6，当管理员更新授权信息和许可信息时，访问控制设备100执行预定过程并将经更新的授权信息和许可信息传输给电子设备200和电子设备300。在下文中，在该情形中由访问控制设备100执行的预定过程被称为管理员更新过程。

图7是示出由访问控制设备100执行的管理员更新过程的一示例性操作的流程图。参看图7，访问控制设备100的管理员使用某些装置(例如与访问控制设备100相连的键盘等)来更新存储在访问信息存储部分101内的授权信息和许可信息(步骤S101)。当更新访问信息存储部分101时，传输控制部分108从访问信息存储部分101获得经更新的授权信息和许可信息(步骤S102)。然后，传输控制部分108经由通信部分103向电子设备200和电子设备300传输所获授权信息和许可信息(步骤S103)。在该情形中，传输控制部分108可在传输之前加密授权信息和许可信息。

图8是示出当从电子设备200接收授权信息请求消息时访问控制设备100的一操作序列的示图。参看图8，当从电子设备200接收授权信息请求消息时，访问控制设备100执行访问信息生成过程以生成授权信息和许可信息。然后，访问控制设备100将由访问信息生成过程生成的授权信息传输给电子设备200，并将许可信息传输给电子设备300。注意，授权信息请求消息指当从访问控制设备100请求授权信息时由电子设备200(或电子设备300)传输的消息。

图9是示出授权信息请求消息的一示例性配置的示图。参看图9，授权信息请求消息由所有者标识信息、设备类型信息、应用程序标识信息、访问列表等组成。所有者标识信息指用于标识电子设备的所有者的信息。设备类型信息指用于标识电子设备的设备类型的信息。应用程序标识信息指用于标识请求签发授权信息的应用程序的信息。访问列表指列出允许从电子设备上存在的应用程序对其它电子设备的访问的入口点的列表。

图10是示出由访问控制设备100执行的访问信息生成过程的一示例性操作的流程图。参看图10，接收控制部分104经由通信部分103从电子设备200接收授权信息请求消息(步骤S201)。当经由通信部分103接收授权信息请求消息时，接收控制部分104请求策略判定部分105判定是否许可签发授权信息请求消息中所请求的授权信息。策略判定部分105响应于来自接收控制部分104的请求，判定是否允许所请求的对授权信息的签发(步骤S202和S203)。具体地，策略判定部分105将授权信息请求消息中所包括的所有者信息和设备类型信息用作关键字，在策略信息存储部分102中搜索判定信息，以判定是否对电子设备200许可授权信息的签发。

当策略判定部分105判定许可授权信息的签发时，接收控制部分104指示授权信息生成部分106和许可信息生成部分107生成授权信息和许可信息。当接收控制部分104指示生成授权信息时，授权信息生成部分106执行授权信息生成过程以生成授权信息(步骤S204)。当接收控制部分104指示生成许可信息时，许可信息生成部分107执行许可信息生成过程以生成许可信息(步骤S205)。以下将详细描述授权信息生成过程和许可信息生成过程。所生成的授权信息和许可信息被存储在访问信息存储部分101中。

当存储在访问信息存储部分101的信息得到更新时，传输控制部分108指定授权信息和许可信息的目的地，并经由通信部分103将授权信息和许可信息传输到各个相应的电子设备。具体地，传输控制部分108将授权信息传输到作为授权信息请求消息的发送者的电子设备200。传输控制部分108还将许可信息传输到被请求由电子设备200访问的电子设备300。在该情形中，传输控制部分108可使用由作为目的地的电子设备所持有的密钥来加密授权信息和许可信息。

另一方面，当策略判定部分105判定不许可授权信息的签发时，接收控制部分104生成拒绝签发授权信息的消息，并将该消息传输给请求签发授权信息的电子设备200(步骤S207)。

注意，在策略判定部分105判定许可签发授权信息之后，接收控制部分104可执行应用程序认证过程，该认证向第三方询问传输授权信息请求消息的应用程序是否是未经授权的程序。当在应用程序认证过程中未确认应用程序的真实性时，接收控制部分104向电子设备200传输拒绝签发授权信息的消息。

图11是示出授权信息生成过程(步骤S204)的一示例性详细操作的流程图。参看图11，授权信息生成部分106生成与一应用程序相关的一对应用程序公钥和应用程序密钥(步骤S2041)。

授权信息生成部分106从所生成的一对应用程序公钥和应用程序密钥中提取应用程序密钥(步骤S2042)。授权信息生成部分106生成访问列表，它是列出允许从电子设备200上存在的应用程序对其它电子设备的访问的入口点的列表(步骤S2043)。

授权信息生成部分106组合应用程序密钥和访问列表(步骤S2044)。在此，组合表示应用程序密钥和访问列表一起都被放入同一文件。然后，授权信息生成部分106使用访问控制设备100持有的密钥来签署通过组合应用程序密钥和访问列表获得的文件(步骤S2045)。通过上述操作，授权信息生成部分106生成授权信息(参见图4)。

图12是示出许可信息生成过程(步骤S205)的一示例性详细操作的流程图。参看图12，许可信息生成部分107从授权信息生成部分106中获得与应用程序密钥成对生成的应用程序公钥(步骤S2051)。许可信息生成部分107还获得由授权信息生成部分106生成的访问列表(步骤S2052)。

许可信息生成部分107组合从授权信息生成部分106中获得的应用程序公钥和访问列表(步骤S2053)。在此，组合表示应用程序密钥和访问列表一起被放入同一文件。然后，许可信息生成部分107使用访问控制设备100持有的密钥来签署通过组合应用程序密钥和访问列表获得的文件(步骤S2054)。通过上述操作，许可信息生成部分107生成许可信息(参见图5)。

由此，访问控制设备100可许可仅从获得授权信息并在电子设备200上操作的应用程序对持有许可信息的电子设备300的访问，从而使得灵活地控制对每一应用程序的访问权限成为可能。

[电子设备]

接着，将描述电子设备200和电子设备300的配置和操作。图13是示出根据本发明一实施例的电子设备的一示例性配置的框图。在图13中，本发明的电子设备200包括授权信息存储部分201、应用程序执行部分202、控制部分203、授权信息请求部分204、授权信息接收部分205、以及通信部分206。

授权信息存储部分201存储从访问控制设备100接收的授权信息。应用程序执行部分202执行可关联于另一电子设备运行的预定应用程序。例如，应用程序执行部分202是执行用Java(R)编程语言描述的应用程序的虚拟Java(R)机。控制部分203控制对另一电子设备或从另一电子设备的访问。授权信息请求部分204向访问控制设备100请求授权信息。授权信息接收部分205接收从访问控制设备100传输的授权信息。通信部分206经由网络与诸如访问控制设备100、电子设备300等的外部设备通信。

图14是示出根据本发明一实施例的电子设备300的一示例性配置的框图。在图14中，本发明的电子设备300包括许可信息存储部分301、应用程序执行部分302、控制部分303、许可信息接收部分305、以及通信部分306。许可信息存储部分301存储从访问控制设备100接收的许可信息。许可信息接收部分305经由通信部分306从访问控制设备100接收许可信息。注意，应用程序执行部分302、控制部分303和通信部分306具有与电子设备200的相似的配置，并将不作描述。

将描述电子设备200和电子设备300的操作。假设电子设备200和电子设备300已彼此相关联地执行提供期望服务的应用程序。在此，将描述电子设备200和电子设备300在由电子设备200执行的应用程序请求对电子设备300的访问的情形中的操作。

图15是示出电子设备200的一示例性操作的流程图。参看图15，应用程序执行部分202执行一应用程序以生成对访问电子设备300的请求(步骤301)。应用程序执行部分202向控制部分203询问有关对电子设备300的访问请求。当询问访问请求时，控制部分203在授权信息存储部分201中搜索授权信息(步骤S302)。

当在授权信息存储部分201中不存在授权信息时，控制部分203向授权信息请求部分204请求获取授权信息。当控制部分203请求获取授权信息时，授权信息请求部分204生成授权信息请求消息(参见图9)，它是用于请求授权信息的消息(步骤S304和S304)。授权消息请求部分204经由通信部分206将所生成的授权信息传输给访问控制设备100(步骤S305)。

然后，授权信息接收部分205经由通信部分206从访问控制设备100中接收授权信息(步骤S306)。当接收经加密的授权信息时，授权信息接收部分205对经加密的授权信息执行解密过程。授权信息接收部分205将所接收的授权信息存储到授权信息存储部分201中，并且还向控制部分203通知授权信息。控制部分203使用所接收的授权信息或存储在授权信息存储部分201中的授权信息，来执行有关电子设备300的访问控制过程(步骤S307)。

图16是示出访问控制过程的示例性详细操作的流程图。参看图16，控制部分203搜索授权信息中所持有的访问列表(参见图3)以检查由应用程序生成的访问请求是否存在于访问列表中(步骤S3071)。

如果访问请求不存在于访问列表中，则控制部分203结束该过程。另一方面，当访问请求存在于访问列表中时，控制部分203生成请求访问电子设备300的访问请求消息(步骤S3072和S3073)。控制部分203传输所生成的访问请求消息以请求对电子设备300的访问(S3074)。

图17是示出访问请求消息的一示例性结构的示图。参看图17，访问请求消息由应用程序签名、访问请求函数、和自变量列表组成。在自变量列表中，存储了多个有关访问请求函数的自变量。在此，自变量列表存有argA、argB和argC。应用程序签名是使用存储在授权信息中的应用程序密钥来签署访问请求函数和自变量列表的结果。

图18是示出电子设备30的一示例性操作的流程图。参看图18，许可信息接收部分305经由通信部分306接收与授权信息同时从访问控制设备100传输的许可信息(步骤S401)。当接收经加密的许可信息时，许可信息接收部分305执行有关经加密的许可信息的解码过程。许可信息接收部分305将所接收的许可信息存储到许可信息存储部分301中，并还向控制部分303通知许可信息。

控制部分303经由通信部分306从电子设备200接收访问请求消息(步骤S402)。控制部分303使用许可信息中存在的应用程序公钥来解码所接收的访问请求消息(步骤S403)。当未能解码访问请求消息时，控制部分303结束该过程。

另一方面，当成功解码访问请求消息时，控制部分303搜索保存在许可信息中的访问列表(参见图5)以检查从电子设备200中接收的访问请求是否存在于访问列表中(步骤S404)。

当访问请求不存在于访问列表中时，控制部分303结束该过程。另一方面，当访问请求存在于访问列表中时，控制部分303从访问请求消息中提取访问请求函数和自变量列表(参见图17)，并执行对应用程序执行302的访问(步骤S405)。

将描述本发明的访问控制设备100、电子设备200和电子设备300应用于应用程序分发类服务的一个示例。在该应用示例中，假设电子设备200是从应用程序分发服务器中下载和执行应用程序的设备。假设电子设备300是应用程序分发服务器。在这种情形中，电子设备200可基于访问控制设备100所生成的授权信息，从电子设备200中有选择地下载对应于许可信息所许可的功能的应用程序。由此，电子设备200可避免下载包括不被许可的执行的应用程序。

注意，电子设备200还可包括许可信息存储部分301和许可信息接收部分305。由此，电子设备200可实现类似于电子设备300的操作。电子设备300还可包括授权信息存储部分201、授权信息请求部分204、以及授权信息接收部分205。由此，电子设备300可实现类似于电子设备200的操作。

注意，本发明一实施例的访问控制设备100、电子设备200和电子设备300的过程可通过编译和执行存储设备(ROM、RAM、硬盘等)中所存储的能执行上述过程的预定程序数据的CPU来实现。在该情形中，程序数据可经由存储介质引入到存储设备中，或者可直接从存储介质执行。注意，存储介质指半导体存储器(ROM、RAM、闪存等)、磁盘存储器(例如软盘、硬盘等)、光盘存储器(例如CD-ROM、DVD、BD等)、存储卡等。存储介质具有包括通信介质(电话线、传输信道等)的概念。

如上所述，本发明的访问控制设备100生成彼此相关的授权信息和许可信息，并将所生成的授权信息传输给要进行访问的电子设备200，将许可信息传输给要被访问的电子设备300。由此，对于电子设备的每一组合，访问控制设备100可控制对网络中存在的多个电子设备的访问权限。

因为本发明的电子设备200仅当根据授权信息获得授权时才请求访问电子设备300，所以防止对未获授权的电子设备的访问的请求是可能的。此外，因为电子设备300仅当根据许可信息得到许可时才许可从电子设备200的访问，所以防止从未获许可的电子设备的访问是可能的。由此，电子设备200和电子设备300可经由网络彼此相关联地提供预定服务，同时防止未经授权的访问。

工业实用性

本发明的访问控制设备例如对于电子设备的每一组合，来控制有关网络中存在的多个电子设备的访问权限是有效的。

Claims (19)

1.一种经由网络连接到多个电子设备的访问控制设备，所述多个电子设备包括彼此相关联地执行预定应用程序的第一电子设备和第二电子设备，所述设备包括：

用于生成授权信息的授权信息生成部分，所述授权信息是定义所述第一电子设备用于请求对所述第二电子设备的访问的授权的信息；

用于生成与所述授权信息相关的许可信息的许可信息生成部分，所述许可信息是用于基于来自所述第一电子设备的授权信息来判定所述第二电子设备是否对访问请求给予访问许可的信息；

通信部分，用于经由网络与所述多个电子设备通信；

接收控制部分，用于经由所述通信部分从所述第一电子设备接收对生成授权信息的请求，并指示所述授权信息生成部分生成授权信息；

访问信息存储部分，用于存储授权信息和许可信息；以及

传输控制部分，用于经由所述通信部分将所述授权信息传输到所述第一电子设备，并将所述许可信息传送到所述第二电子设备。

2.如权利要求1所述的访问控制设备，其特征在于，还包括：

策略信息存储部分，用于存储用于判定对来自所述第一电子设备的对生成授权信息的请求是否允许生成授权信息；以及

策略判定部分，用于基于存储在所述策略信息存储部分中的策略来判定是否生成授权信息，

其中所述接收控制部分在接收到所述对生成授权信息的请求时，向所述策略判定部分询问是否允许生成授权信息；并且仅当所述策略判定部分判定允许生成授权信息时，所述接收控制部分才指示所述授权信息生成部分生成授权信息。

3.如权利要求1所述的访问控制设备，其特征在于，所述授权信息包括与由所述第一电子设备执行的应用程序相对应地生成的应用程序密钥，以及列示被给予了对访问所述第二电子设备的授权的应用程序的功能的访问列表。

4.如权利要求3所述的访问控制设备，其特征在于，所述许可信息包括与所述应用程序密钥成对地生成的应用程序公钥、以及所述访问列表。

5.如权利要求1所述的访问控制设备，其特征在于，所述授权信息生成部分生成使用所述授权信息生成部分本身所拥有的密钥来签署的授权信息。

6.如权利要求1所述的访问控制设备，其特征在于，所述许可信息生成部分生成使用所述许可信息生成部分本身所拥有的密钥来签署的许可信息。

7.一种在由多个电子设备和一个访问控制设备组成的网络中，用于与另一电子设备相关联地执行预定应用程序的电子设备，所述电子设备包括：

通信部分，用于经由网络与所述多个电子设备和所述访问控制设备通信；

用于接收授权信息的授权信息接收部分，所述授权信息是定义用于请求对所述另一电子设备的访问的授权的信息；

授权信息存储部分，用于存储由所述授权信息接收部分所接收的授权信息；

应用程序执行部分，用于执行所述预定应用程序以生成对访问所述另一电子设备的请求；以及

控制部分，用于控制对访问所述另一电子设备的请求，

其中仅当基于所述授权信息判定给予所述访问请求授权时，所述控制部分才请求访问所述另一电子设备。

8.如权利要求7所述的电子设备，其特征在于，还包括：

授权信息请求部分，用于根据所述控制部分的指令请求所述访问控制设备生成所述授权信息，

其中，当对应于所述另一电子设备的授权信息并未存储在所述授权信息存储部分中时，所述控制部分指示所述授权信息请求部分请求生成授权信息。

9.如权利要求7所述的电子设备，其特征在于，所述授权信息包括与所述预定应用程序相对应地生成的应用程序密钥，以及列出被给予了对访问所述另一电子设备的授权的应用程序的功能的访问列表。

10.如权利要求9所述的电子设备，其特征在于，仅当对应于由所述应用程序执行部分生成的访问请求的功能包括在所述访问列表中时，所述控制部分才请求访问所述另一电子设备。

11.一种在由多个电子设备和一个访问控制设备组成的网络中，用于与另一电子设备相关联地执行预定应用程序的电子设备，所述电子设备包括：

通信部分，用于经由网络与所述多个电子设备和所述访问控制设备通信；

许可信息接收部分，用于经由所述通信部分从所述访问控制设备接收许可信息，所述许可信息是用于判定是否对来自所述另一电子设备的访问请求给予访问许可的信息；

许可信息存储部分，用于存储由所述许可信息接收部分所接收的许可信息；

应用程序执行部分，用于执行所述预定应用程序；以及

控制部分，用于控制来自所述另一电子设备的对所述应用程序执行部分的访问请求，

其中所述控制部分基于存储在所述许可信息存储部分中的许可信息判定是否许可来自所述另一电子设备的访问请求。

12.如权利要求11所述的电子设备，其特征在于，所述许可信息包括与由所述另一电子设备执行的应用程序相对应地生成的应用程序密钥，以及列出许可来自所述另一电子设备的访问请求的应用程序的功能的访问列表。

13.如权利要求12所述的电子设备，其特征在于，仅当对应于来自所述另一电子设备的访问请求的功能包括在所述访问列表中时，所述控制部分才许可来自所述另一电子设备的访问请求。

14.一种由经由网络连接到多个电子设备的访问控制设备执行的访问控制方法，所述多个电子设备包括彼此相关联地执行预定应用程序的第一电子设备和第二电子设备，所述方法包括以下步骤：

生成授权信息，所述授权信息是定义所述第一电子设备用于请求对所述第二电子设备的访问的授权的信息；

生成与所述授权信息相关的许可信息，所述许可信息是基于来自所述第一电子设备的授权信息判定所述第二电子设备是否对所述访问请求给予访问许可的信息；

经由网络与所述多个电子设备通信；

经由所述通信步骤从所述第一电子设备接收对生成授权信息的请求；

指示所述授权信息生成步骤生成所接收的授权信息；以及

将所述授权信息传输到所述第一电子设备，并将所述许可信息传送到所述第二电子设备。

15.一种在由多个电子设备和一个访问控制设备组成的网络中，与另一电子设备相关联地执行预定应用程序的电子设备用来请求对所述另一电子设备的访问的方法，所述方法包括以下步骤：

经由网络与所述多个电子设备和所述访问控制设备通信；

经由所述通信步骤接收授权信息，所述授权信息是定义用于请求对所述另一电子设备的访问的授权的信息；

执行所述预定应用程序以生成对访问所述另一电子设备的请求；以及

仅当基于所述授权信息判定给予所述访问请求授权时，才经由所述通信步骤请求访问所述另一电子设备。

16.一种在由多个电子设备和一个访问控制设备组成的网络中，与另一电子设备相关联地执行预定应用程序的电子设备用来判定是否许可对所述另一电子设备的访问请求的方法，所述方法包括以下步骤：

经由网络与所述多个电子设备和所述访问控制设备通信；

经由所述通信步骤接收许可信息，所述许可信息是用于判定是否对来自所述另一电子设备的访问请求给予访问许可的信息；

执行所述预定应用程序；以及

基于所述许可信息判定是否许可来自所述另一电子设备的访问请求。

17.一种由经由网络连接到多个电子设备的访问控制设备执行的访问控制程序，所述多个电子设备包括彼此相关联地执行预定应用程序的第一电子设备和第二电子设备，所述程序用于执行以下步骤：

生成授权信息，所述授权信息是定义所述第一电子设备用于请求对所述第二电子设备的访问的授权的信息；

生成与所述授权信息相关的许可信息，所述许可信息是基于来自所述第一电子设备的授权信息判定所述第二电子设备是否对所述访问请求给予访问许可的信息；

经由网络与所述多个电子设备通信；

经由所述通信步骤从所述第一电子设备接收对生成授权信息的请求；

指示所述授权信息生成步骤生成所接收的授权信息；以及

将所述授权信息传输到所述第一电子设备，并将所述许可信息传送到所述第二电子设备。

18.一种在由多个电子设备和一个访问控制设备组成的网络中，由与另一电子设备相关联地执行预定应用程序的电子设备执行的程序，所述程序用于执行以下步骤：

经由网络与所述多个电子设备和所述访问控制设备通信；

经由所述通信步骤接收授权信息，所述授权信息是定义用于请求对所述另一电子设备的访问的授权的信息；

执行所述预定应用程序以生成对访问所述另一电子设备的请求；以及

仅当基于所述授权信息判定给予所述访问请求授权时，才经由所述通信步骤请求访问所述另一电子设备。

19.一种在由多个电子设备和一个访问控制设备组成的网络中，由与另一电子设备相关联地执行预定应用程序的电子设备执行的程序，所述程序用于执行以下步骤：

经由网络与所述多个电子设备和所述访问控制设备通信；

经由所述通信步骤接收许可信息，所述许可信息是用于判定是否对来自所述另一电子设备的访问请求给予访问许可的信息；

执行所述预定应用程序；以及

基于所述许可信息判定是否许可来自所述另一电子设备的访问请求。

Images