KR20070109915A

KR20070109915A - 개인 도메인 제어기

Info

Publication number: KR20070109915A
Application number: KR1020070045500A
Authority: KR
Inventors: 딕 밸팬즈; 다이애나 케이. 스메터스; 글렌 이. 더피; 트레보 스미스
Original assignee: 팔로 알토 리서치 센터 인코포레이티드
Priority date: 2006-05-12
Filing date: 2007-05-10
Publication date: 2007-11-15
Also published as: DE602007004689D1; KR101482534B1; EP1855440B1; US20070266164A1; JP2007305136A; EP1855440A1; US7822863B2; JP5080852B2

Abstract

본 발명에 따른 시스템의 기반구조는 참조 모니터의 서로 다른 구현들을 공급함으로써 서로 다른 정책들을 개발자들이 구현할 수 있도록 허용한다. 이는 세션 기반의 액세스 제어이다. 비신뢰 성분이 전체 네트워크에 액세스하도록 허용함 없이, 특정 리소스에의 1회 액세스가 허용될 수 있다.

본 발명에 따른 세션 기반의 액세스 제어의 다른 양상은 증명서 폐지의 용이함이다. 이용자가 콘텐트 전송 동안에 클라이언트 상의 원격 제어 GUI의 정지 혹은 일시정지를 누르면, 세션이 종료 싱크에 대한 증명서는 자동으로 폐지되고, 화이트리스트로부터 제거된다. 이는 소스와 싱크 간의 어떤 추후의 통신을 방지한다.

본 발명에 따른 시스템의 다른 양상은 액세스가 승인되었는지 여부를 결정하는 정책이 이전의 어떤 정책들이든 이용할 필요가 없는 점에서 "직접적으로"로 행해진다는 것이다. 이용자는 집에 앉아, 홈 네트워크 상의 리소스들에 액세스하기를 원할 수 있는 모든 시나리오들을 알아 둘 필요가 없다.

개인 도메인 제어기, 클라이언트, 비신뢰 단말, 액세스 제어 포인트, 탐색 액세스 제어 포인트

Description

개인 도메인 제어기{Personal Domain Controller}

도 1은 홈 사이트에서의 네트워크와 통신하는 원격 사이트에서의 네트워크의 실시예를 도시한 도면.

도 2는 클라이언트, 서버, 및 비신뢰 단말 간의 메시지 흐름도의 실시예를 도시한 도면.

도 3은 탐색 액세스 제어 포인트를 제공하는 방법의 실시예를 도시한 도면.

도 4는 탐색 업데이트 액세스 제어 포인트를 제공하는 방법의 실시예를 도시한 도면.

도 5는 소스 전송 액세스 제어 포인트를 제공하는 방법의 실시예를 도시한 도면.

도 6은 싱크 전송 액세스 제어 포인트를 제공하는 방법의 실시예를 도시한 도면.

도 7은 싱크 프라이버시 액세스 제어 포인트를 제공하는 방법의 실시예를 도시한 도면.

도 8은 소스 프라이버시 액세스 제어 포인트를 제공하는 방법의 실시예를 도시한 도면.

키오스크(kiosk), 클라이언트 사이트에서 PC, 혹은 호텔 룸 내 컴퓨터와 같은 비신뢰 단말(untrusted device)로부터 민감한 소스들(sensitive sources)을 원격으로 액세스할 때, 이용자는 일반적으로 2가지 선택을 갖는다. 먼저, 이용자는 민감한 리소스들을 포함하고 있는 도메인에의 완전한 액세스를 비신뢰 디바이스에 줄 수 있다. 예를 들면, 키오스크 PC로부터 타이핑해 넣은 이용자명 및 패스워드는 이 비신뢰 PC에 이용자의 집 혹은 작업장에서의 이용자의 홈 네트워크로의 완전한 액세스를 준다.

두 번째, 이용자는 제약된 역할이 민감한 리소스들 중 어느 것에 액세스할 수 있을 것인가를 사전에 명시함으로써 어떤 부류의 제약된 역할을 만들어낸다. 예를 들면, 이용자는 사전에 결정되고 이용자명 및 패스워드에 의해서 액세스될 수 있을 것들만을 이용자에게 볼 수 있도록 하는 이 "순회하는(traveling)" 혹은 게스트 이용자명과 패스워드를 갖는다. 이러한 방식의 단점은 이용자가 민감한 리소스들에의 송신된 동적인 액세스를 필요로 할 수도 있고 혹은 원격으로 동작시 이용자가 어떤 리소스를 필요로 할 것인가를 부정확하도록 추측할 수도 있다는 점이다.

이러한 상황은 이용자를 안전하지 않은 동작들 중에 놓이게 하여, 알려지지 않은 비신뢰 단말이 민감한 리소스들에 액세스할 수 있도록 하고, 불편하도록 하 며, 어떤 액세스가 필요하게 될 것인가를 정확하도록 추측해야 하거나 이러한 액세스 없이 진행해야 한다.

도 1은 호텔 룸과 같은 원격 사이트에 설립된 네트워크의 예를 도시한다. 원격 네트워크는 TV(14)와 클라이언트(10)를 구비한다. 클라이언트(10)는 이용자 자신이 가지고 다니는, 예를 들면 셀 전화, PDA(personal digital assistant) 혹은 이외 휴대용 전자 디바이스와 같은 어떤 디바이스이다. 디바이스(10)는 TV와 같은 비신뢰 단말과 통신할 수 있도록 하는 로컬 포트(104)를 구비한다. 로컬 링크는 원격 제어들에서 일반적으로 볼 수 있는 적외선 혹은 초고주파(ultra high frequency, UHF), 블루투스, 톤 시스템과 같은 오디오 통신 링크, 가시광 링크, IEEE(Institute of Electrical and Electronic Engineers) 802.11 표준 등에 따른 무선 링크, 등일 수 있다. 직접적인, 유선 접속을 수반하지 않는 임의의 링크는 무선이지만, '무선(wireless)'이라는 용어는 802.11 표준들에 연관된 'wireless fidelity' 또는 Wi-Fi와 상호교환적으로 흔히 이용된 것에 유의한다.

디바이스(10)는 네트워크 포트(102)를 또한 구비한다. 네트워크 포트(102)는 디바이스가 접속(13)을 통해 외부 네트워크(18)에 액세스할 수 있도록 하는 무선 포트일 수 있는 것으로서, 외부 네트워크는 홈 네트워크(20)에 액세스할 수 있는 광역 네트워크, 혹은 WAN와 같은 송신된 큰 네트워크에 접속된 근거리 네트워크와 같은 네트워크이다. 대안적으로, 네트워크 포트는 네트워크에 케이블을 통해 접속하는 이더넷 포트와 같은 '유선' 네트워크 포트일 수도 있다.

클라이언트(10)는 홈 네트워크(20)의 신임된 멤버(credential member)이다. 신임된 멤버는 홈 네트워크 내 다른 디바이스들과 동일한 신임-승인 당국으로부터 보안 신임을 받은 홈 네트워크의 멤버를 지칭할 것이다. '홈' 네트워크는 이용자의 홈에서의 네트워크만을 함축하도록 의미하는 것이 아니라 이용자가 정규로 동작하고 클라이언트가 정규로 주재하는 신뢰 네트워크를 의미한다. 이용자의 홈에서의 네트워크는 이용자의 직장에서의 네트워크와 같은 네트워크의 예이다.

당업자는 본 발명의 모든 실시예들에서 네트워크된 시스템 혹은 디바이스(10)의 표시된 특징들 전부가 제시될 필요가 없음을 이해할 것이다. 당업자는 디바이스(10)가 네트워크 기기 혹은 디바이스일 수 있고 범용 컴퓨터를 포함할 필요가 없음을 이해할 것이다. 디바이스는 프로세서(106)를 구비한 점에서 컴퓨터라 지칭될 수도 있다.

또한, 당업자는 절차 혹은 프로세스가 원하는 결과에 이르게 하는 일관된 일련의 컴퓨터화된 프로세스들일 수 있음을 이해할 것이다. 이들 프로세스들은 하나 이상의 컴퓨터 명령들에 의해 규정될 수 있다. 이들 프로세스는 명령들을 포함한 컴퓨터 판독이능 매체의 물품에 전부 혹은 일부 저장될 수 있다. 실행시 명령들은 여기에서는 디바이스(10)인 컴퓨터로 하여금 여기 시작된 프로세스들을 수행하도록 한다.

당업자는 여기에서 논의된 예들 및 실시예들은 송신된 나은 이해를 위한 것으로, 청구항들의 범위를 주어진 일부 예로 해석하거나 제한하려 하거나 제한하지 않음을 이해할 것이다.

네트워크 동작의 예에서, TV(14)는 호텔 룸 내에 있다. TV는 대부분의 현재 이용가능한 TV들과 유사하도록, 원격 제어기로부터 적외선 통신링크(12)로 적외선신호들의 수신을 위해 적외선 포트를 구비한다. TV는 인터넷과 같은 외부 네트워크(18)에 네트워크 접속할 수 있다. 네트워크 접속은 802.11에 따른 무선 액세스 포인트(16)를 통한 무선 접속, 혹은 이더넷 혹은 이외 유선 접속(15)일 수 있다. 많은 그 외 다른 유형들의 비신뢰 단말들이 존재하고 키오스크들, 개인용 컴퓨터들, 음악 플레이어들, 비디오 게임 콘솔들, 등을 포함할 수 있다.

클라이언트 개인 도메인 제어기(PDC)(10)는 홈 네트워크(20)의 신임 승인 당국으로부터 신임들을 수신하였다. 예를 들면, 이용자가 홈 내 있을 때, PDC(10)를 홈 네트워크의 신뢰 멤버가 되도록 하는 신임이 PDC(10)에 제공되었다.

도 1에서, 이용자는 PDC를 활성화시키거나 원격 제어기처럼 보이게 하는 GUI를 표시하기 위해 PDC 상의 애플리케이션을 활성화시킬 것이다. PDC 디바이스는 적외선 포트를 통해 TV(12)와 접속하여 신임들을 교환할 것이다. PDC는 자신의 개인 도메인 제어기 신임을 송신할 것이며, TV 혹은 그 외 다른 디바이스는 자신의 디바이스 신임을 송신할 것이다. 신임은 공개키들, 공개키 증명서들, 공개키들의 암호화 해시들, 및 공개키 증명서들의 암호화 해시들을 포함할 수 있다. PDC는 또한 호텔 네트워크(13)를 통해 외부 네트워크(18)로, 그리고 다시 홈 네트워크(20)에, 아마도 보안 터널 혹은 VPN을 통해서 접속할 것이다.

클라이언트/PDC GUI는 호텔에 의해 제공된 텔레비전 채널들과 같은, 로컬 네트워크(18)에서 이용가능할 수 있는 데이터 리소스들 외에도, 홈 미디어 서버(22) 상의 비디오 파일들과 같은, 홈 네트워크에서 이용가능할 수 있는 데이터 리소스들의 표시자 혹은 표시자들을 보여준다. 홈 비디오 서버의 예는 디지털 비디오 레코더일 수 있다. 이용자가 TV(14)로 재생을 위해 PDC(10) 상에 보여진 리소스들 중 하나를 선택할 때, PDC는 선택된 비디오에 관한 정보를 서버(22)에 제공한다. 이 정보의 일부로서, PDC는 TV와 PDC간의 적외선 통신들로부터 수신된 TV의 신임을 제공할 것이다. 서버는 1회 액세스를 위해 원하는 비디오에의 액세스를 위한 신임을 '화이트리스트(whitelist)'할 것이며, 여기서 이용된 '화이트리스팅'은 실체, 이 경우 서버에 대한 인증된 액세스 리스트에 신임을 추가함을 의미한다.

PDC로부터 제공된 정보로, 서버는 자신과 TV간에 세션을 시작할 것이다. 서버는 비디오가 PDC에 이용가능할 것인 리소스에 연관된 것인 URL(Uniform Resource Locator)와 같은 리소스 로케이터 혹은 그 외 적합한 정보를 송신한다. 또한 서버는 식별된 TV 액세스를 허용하기 위해 홈 네트워크의 방화벽을 변경 혹은 구성할 것이다. 구성은 소스에 도달하도록 적합하도록 인증된 트래픽에 대한 허용 형태를 취할 수 있고, 여기서 인증은 싱크의 신임이다. 서버는 화이트리스트된 신임의 소유에 응답하여 리소스에의 액세스를 제공하도록 구성된다.

이어서 PDC는 서버의 URL 및 신임을 TV에 제공한다. 서버 및 TV는 1회 액세스 세션을 설립하는데 필요한 정보를 가질 것이다. 서버는 비디오에 액세스하기로 한 TV의 신임을 알고 있고 TV는 서버의 신임 및 비디오의 위치를 알고 있다. TV는 이제 서버에 접촉하여 콘텐트를 요청할 수 있고 서버는 이를 안전하도록 송신할 수 있다.

도 2의 메시지 흐름도를 보면, '숨겨진(hidden)' 메시지 및 3개의 디바이스들간에 교환들을 보는 것이 가능하다. 이들은 이용자가 교환들을 보지 않아, 호텔 룸 내 TV에서 자신의 홈 미디어 서버로부터 시청하기를 원하는 비디오에 액세스할 때 끊김이 없는 경험을 하도록 하는 점에서 '숨겨진' 것이다. 많은 서로 다른 유형들의 디바이스들간에 상호작용들이 일어날 수 있다. 이들은 보다 광범하도록, 예로서 미디어 서버인 소스, 예로서 TV인 싱크, 예로서 PDC인 클라이언트라 칭할 것이다.

메시지 흐름도에서, 소스, 클라이언트 및 싱크는 서로를 발견하여 신임들을 교환한다. 이것은 "명문으로"로 혹은 VPN 또는 보안 터널에 걸쳐 행해진다. 이어서 클라이언트는 탐색요청을 소스 및 싱크에 전송한다. 이 탐색요청은 호스트 성분들이라고 칭하는 소스 및 싱크 둘 다를 바람직하지 못한 탐색들로부터 보호하도록 제어된다. 시스템이 메시지들을 보호/보안이 되도록 하는 제어를 어서트하는 상황들은 액세스 제어 포인트들(access control points)이라 칭할 것이다. 이들은 접속들을 행하여 인증이 확인되고 민감한 리소스들의 보안을 보증하기 위해 인증이 재확인된 액세스를 제공하는 과정에서의 포인트들이다.

소스 및 싱크가 바람직하지 못한 탐색들로부터 보호된 이러한 특별한 상황을 여기에서는 탐색 액세스 제어 포인트(search access control point)라 칭할 것이다. 이것을 소스 및 싱크 둘 다에서 "탐색"이라 표기한 박스로서 도 2에 도시하였다.

위의 시스템에서처럼, 탐색요청이 SSL(Secure Socket Layer)를 통해 송신된 상황에서, 성분으로서의 호스트들은 "발견 및 키 교환" 프로세스 -'키'는 임의의 보안 신임을 나타낸다- 의 일부인 SSL 핸드쉐이크(SSL handshake) 동안에 클라이언트의 신임을 파악한다. 성분 호스트들은 클라이언트의 신임이 어떤 제약조건을 만족하는가를 검증한다. 위의 예에 특정한 것으로서, 탐색 액세스 제어 포인트에서, TV는 클라이언트의 신임이 앞서 적외선에 의해 교환된 PDC의 신임과 동일한지를 검증하고, 홈 네트워크 내 소스는 홈 네트워크에 의해 클라이언트의 신임이 증명됨을 검증한다. 맞지 않았다면, 탐색 액세스 제어 포인트들은 탐색들이 행해지지 못하도록 할 것이다.

도 3은 탐색 액세스 제어 포인트를 나타낸 것이다. 40에서, 탐색 요청이 소스나 싱크에서 수신된다. 42에서, 클라이언트의 신임이 검증된다. 소스에서, 신임은 홈 네트워크에서 PDC에 발행된 증명서인 것으로서 검증될 수도 있다. 싱크에서, 신임은 IR 링크를 통해 교환된 신임인 것으로서 검증될 수도 있다. 44에서, 신임이 검증되었다면, 탐색요청이 수신확인된다. 신임이 검증되지 않았다면, 요청은 46에서 거부된다. 프로세스가 탐색 액세스 제어 포인트를 거쳐 진행된다면, 호스트 성분들은 수신확인 메시지들을 다시 클라이언트에 송신하여 탐색요청을 수신확인할 것이다.

도 2에서, 탐색들을 완료하였을 때, 호스트 성분들은 업데이트된 탐색 결과들을 클라이언트에 송신하여, 클라이언트의 탐색 기준에 들어맞는 발견된 성분들에 관하여 알린다. 탐색 업데이트 액세스 제어 포인트는 클라이언트가 어떤 탐색 업데이트들을 거부하는 것을 허용함으로써 이용자로부터 위험한 혹은 검증되지 않은 성 분들을 '감추는' 혹은 마스킹한다.

업데이트를 수락할지 아니면 거부할지의 결정은 도 4에 도시한 바와 같이 호스트 성분의 증명서에 더 의존할 것이다. 50에서, 클라이언트는 새로운 성분이 발견되었으며 접속에 이용가능함을 나타내는 탐색 업데이트 통지 메시지들을 수신할 수 있다. 이들 메시지들이 실제로 정보가 이용자에게 보여질 것인지 여부는 탐색 업데이트 액세스 제어 포인트에서 행해진 결정에 의해 결정될 것이다. 52에서, 소스 혹은 싱크 호스트들의 신임들이 검증될 것이다. 신임이 52에서 검증된다면, 54에서, 탐색 업데이트가 수신확인된다. 58에서, 탐색 업데이트 결과들이 이용자에게 표시된다. 신임이 검증되지 않는다면, 56에서, 탐색 업데이트는 거부된다.

이 때, 이용자는 싱크(호텔 TV) 상에 표시를 위해서, 비디오 파일과 같은, 홈 네트워크 상의 리소스를 선택할 것이다. 도 2에 도시한 바와 같이, 이것은 소스인 홈 네트워크 상의 소스 호스트로의 전송 세션을 시작하기 위해 신호로서 메시지를 클라이언트가 송신하게한다 한다. 이러한 시작은 도 5에 도시된 소스 전송 액세스 제어 포인트를 수반한다. 60에서, 전송 세션을 시작하기 위한 신호는 수신된다. 62에서, 클라이언트의 증명서에 기초하여, 의도된 싱크 및 원하는 소스 성분들 둘 다의 디스크립션, 및 62에서, 싱크 호스트의 증명서인 소스 호스트는 66에서, 전송 세션을 거부할 수도 있다. 증명서 및 디스크립션들이 모두 검증되었다면, 64에서, 전송 세션 디스크립터가 클라이언트에게 전송된다. 동시에, 65에서, 소스 상의 참조 모니터는 확인된 소스 성분에의 인-세션 액세스를 위한 싱크 증명서를 화이트리스트한다.

일 실시예에서, 참조 모니터는 디바이스 상에 주재하는 객체로서, 이 디바이스 상에서 실행된 액세스 제어 포인트 절차들에 의해 호출된 클라이언트이다. 이와 같이, 액세스 제어 포인트들에서 비롯된 모든 서로 다른 체크들은 동일 객체에 의해 처리된 것으로 끝난다. 참조 모니터는 외부 당사자가 민감한 리소스를 액세스 혹은 참조할 때마다 호출될(invoke) 수 있다. 몇몇 경우에, 참조 모니터용 소스 코드는 그 안에 그룹화된 모든 보안 체크들을 그룹을 갖는 파일 내에 있을 수 있다.

도 2의 메시지 흐름도에서, 클라이언트는 소스 호스트로부터 수신된 전송 세션 디스크립터를 싱크 호스트에 전달한다. 싱크에서 전송 세션 디스크립터의 수신은 도 6에 도시된 싱크 전송 제어 포인트인 다른 액세스 제어 포인트에 의해 체크된다. 70에서, 전송 세션 디스크립터는 싱크에 수신된다. 72에서, 클라이언트의 증명서에 기초하여, 의도된 소스와 싱크 성분 둘 다의 디스크립션, 및 76에서, 소스의 증명서인 싱크는 전송 세션을 수락을 거부 혹은 거절할 수 있다. 싱크 전송 제어 포인트가 성공적으로 전달되었을 때, 74에서, 싱크는 도 2에 도시된, 클라이언트에게 수신확인을 전송한다. 동시에, 75에서, 싱크 상의 참조 모니터는 인-세션 액세스를 위해 소스 증명서를 화이트리스트한다.

싱크는 세션의 전송 데이터에 대한 요청을 소스에 송신한다. 싱크의 프라이버시를 보호하기 위해서, 싱크 프라이버시 액세스 제어 포인트는 데이터에 대한 요청이 정당한 소스들에만 송신되도록 보장한다. 데이터 요청에 대한 응답은 소스가 싱크에 액세스할 수 있도록 허용하는 모바일 코드이며, 따라서 싱크는 특정 소스들에 이 요청을 송신할 것과 이들로부터 모바일 코드를 수신할 것을 거부할 수 있다. 이 프로세스는 도 7에 도시되었다.

이것은 SSL 핸드쉐이크에 의해 구현될 수 있는데, 이 동안에 80에서, 싱크는 소스의 증명서를 파악한다. 82에서, 참조 모니터는 84에서의 소스의 증명서가 의도된 세션의 화이트리스트 상에 있는지 여부를 결정하기 위해 액세스된다. 그러하다면, 86에서, 싱크는 데이터 전송 요청을 전송할 것이다. 그렇지 않다면, 92에서, 요청은 거부될 것이다. 후술하는 바와 같이, 소스 프라이버시 액세스 제어 포인트가 성공적으로 전달되었다고 가정하면, 88에서, 싱크는 모바일 코드를 수신할 것이다.

메시징의 다른 측에서, 소스는 비승인된 싱크에 임의의 콘텐트를 송신할 것을 거부할 수 있다. 도 8에 도시된 소스 프라이버시 액세스 제어 포인트는 후에 논의된 바와 같이 소스의 증명서가 참조 모니터에 의해 검증될 것을 제외하고, 싱크 프라이버시 액세스 제어 포인트와 유사한 방식으로 동작할 것이다.

100에서, 데이터 전송 요청은 수신된다. 참조 모니터는 104에서 싱크 신임이 화이트리스트 상에 있음을 검증하기 위해 102에서 액세스된다. 싱크가 인증된다면, 106에서, 모바일 코드가 전송된다. 싱크가 인증되지 않는다면, 112에서, 전송요청은 거부된다. 싱크가 모바일 코드를 수신하였을 때, 싱크에서 모바일 코드의 실행으로 콘텐트 요청 메시지가 싱크에서 소스로 송신되게 될 것이다. 싱크는 다시 도 7의 단계들을 실행하나 이 때 실제 콘텐트(예를 들면, 영화)가 단계 88에서 전송된 것은 제외된다. 마찬가지로, 단계 106에서, 소스가 이제 실제 콘텐트를 전송하는 것은 제외하고, 소스는 다시 도 8의 단계들을 실행할 것이다.

호텔 룸에서 이용자가 호텔 TV에 비디오를 재생시키고자 하는 예로 돌아가서, 올바른 증명서들이 트랜잭션(transaction)의 초기 부분들에서 제시되었을 때 여러 액세스 제어들이 어떻게 성공적으로 전달될 수 있는가를 보는 것이 가능하다. 전술한 바와 같이, 클라이언트/PDC(셀 전화 혹은 PDA)와 싱크(호텔 TV)간의 초기 적외선 교환으로 클라이언트는 TV에 대한 증명서를 갖게 되고, 클라이언트와 미디어 서버간의 교환으로 소스는 클라이언트를 홈 네트워크의 신뢰 멤버로서 확인하도록 된다.

이용자가 클라이언트 상에서 비디오들의 리스트를 볼 때, 이용자는 원하는 비디오를 선택하기 위해서 클라이언트 상의 버튼을 누른다. 이에 따라 참조 모니터에 의해 1회 액세스를 위해 화이트리스트될 TV의 신임을 포함하고 방화벽이 구성될 전송 시작 메시지가 소스에 송신되게 된다. 전송 세션 디스크립터가 홈 네트워크의 신뢰 멤버로서 클라이언트에 송신되고 클라이언트는 이 정보를 TV에 전달한다. TV는 초기 적외선 상호작용으로부터 클라이언트의 증명서를 인식하여 전송 세션 디스크립터를 수락한다.

이어서 TV는 비디오 요청과 함께 서버에 접속하여 TV가 콘텐트를 렌더링하도록 하는 필요 코드로 응답한다. TV는 이의 신임이 방화벽이 구성된 신임과 일치할 때, 방화벽을 통해 서버로의 액세스가 허용된다. 이어서 서버는 이의 신임에 의해 확인된 TV에 콘텐트를 전송한다.

시스템의 이러한 기반구조는 참조 모니터의 서로 다른 구현들을 공급함으로써 서로 다른 정책들을 개발자들이 구현할 수 있도록 허용한다. 몇몇 경우에, 참조 모니터는 위에 언급된 액세스 제어 포인트들에 대한 여러 가지 방법들을 갖는 자바 객체이다. 개발자들은 탐색 액세스, 탐색 업데이트, 소스 전송 세션 및 싱크 전송 세션 제어 포인트들에 대한 정책들만을 구현해야만 할 것이다. 싱크 및 소스 프라이버시 제어 포인트들은 미들웨어로 구현된다.

미들웨어는 인증된 증명서들을 특정 전송 세션을 위해 화이트리스트 상에 둔다. 증명서는 예로서 전송 세션 디스크립터에 의해 색인될 수 있다. 소스 전송 세션 제어 포인트에서 행해지는 어떤 결정이든 싱크 신임이 화이트리스트되었는지 여부를 결정한다. 유사하도록, 싱크 전송 세션 제어 포인트에서 행해지는 어떤 결정이든 소스 신임이 화이트리스트되었는지 여부를 결정한다.

이것은 세션 기반의 액세스 제어라는 결과를 가져온다. 비신뢰 성분(호텔 TV)이 전체 네트워크에 액세스하도록 허용하여야 함 없이, 특정 리소스(비디오)에의 1회 액세스가 허용된다.

세션 기반의 액세스 제어의 다른 양상은 증명서 폐지(certificate revocation)의 용이함이다. 도 2로 돌아가서, 이용자가 콘텐트 전송 동안에 클라이언트 상의 원격 제어 GUI의 정지 혹은 일시정지를 누른다면, 세션이 종료된다. 싱크에 대한 증명서는 자동으로 폐지되고 화이트리스트로부터 제거된다. 이것은 소스와 싱크간의 어떤 추후의 통신을 방지한다.

세션은 이용자가 원격 제어기 상의 버튼을 누르는 것 외의 이유들로 종료할 수도 있다. 이 특정 리소스에 연관된 모든 데이터는 싱크에 전송되어 있을 수도 있고, 접속이 끊어졌을 수도 있고, 에러 상태가 발생하였을 수도 있다. 등등.

이용자가 PLAY를 누르거나 비디오를 비-일시정지한 경우, 소스, 싱크 및 클라이언트는 이용자에게 투명하게, 이들의 인증 프로세스를 반복한다. 시스템의 추가의 특징은 데이터 콘텐트 스트림 내 '정지' 혹은 '일시정지' 포인트의 PDC 상의 저장일 수 있다. 이용자는 예를 들면 마지막으로 시청하였을 때 일지정지 해 둔 비디오를 집으로부터 액세스할 수 있다. 그러면 시스템은 색인으로서 일시정지 포인트를 데이터 스트림으로 회수하게 함으로써 그 포인트로부터 비디오를 계속하여 시청할 수 있도록 허용할 수 있다. 이어서 시스템은 그 색인에 응답하여 리소스를 큐잉할(cue) 것이다.

이 시스템의 다른 양상은 액세스가 승인되었는지 여부를 결정하는 정책이 이전의 어떤 정책들이든 적절할 필요가 없는 점에서 "직접적으로(on the fly)"로 행해진다는 것이다. 이용자는 집에 앉아, 홈 네트워크 상의 리소스들에 액세스하기를 원할 수 있는 모든 시나리오들을 알려고 노력하지 않는다.

또한, 통신들은 특정 싱크 혹은 소스와의 특정 세션을 추적할 수 있다. 통신이 특정 인증된 세션을 추적할 수 없다면, 통신은 거부된다.

세션 기반의 제어의 양상들 중 하나는 정책들을 구현하는 능력이다. 이용자가 호텔 TV로 하여금 홈 네트워크에 액세스하도록 허용하는 임의의 종래의 정책들을 특정하여야 하지 않고, 반면 이용자가 접하거나 홈 네트워크에 구성하는 많은 디바이스들이 기존의 정책들을 갖춘 것으로 가정된다. 세션 기반의 제어는 이들 '하드-코딩된' 혹은 '메타' 정책들이 숙련된 소프트웨어 프로그래머들에 의해 쉽게 구현되도록 허용한다.

호텔 TV에 비디오를 제공하는 홈 미디어 서버의 예에서, 한 세트의 메타-정책들이 존재하는 것으로 가정된다. 탐색 액세스 제어 포인트에서, 미디어 서버는 홈 도메인으로부터의 신임들을 갖는 이들 디바이스들에 의한 탐색만을 허용할 것이며, PDC는 탐색들이 허용되지 않았고, TV는 스타트업시 IR 통신을 통해 신임들을 송신한 디바이스들에 의해서만 탐색을 허용하는 것으로 가정된다.

탐색 업데이트 액세스 제어 포인트에서, 클라이언트는 홈 서버와 같은 홈 도메인 디바이스들로부터 탐색 업데이트들이 송신되도록 허용하는 것으로 가정된다. 이 외에, 클라이언트는 TV와 같은 이전에 수신된 신임된 디바이스로부터만 탐색 업데이트들이 수신되도록 허용할 것이다. TV는 임의의 탐색 업데이트들을 허용하지 않는 것으로 가정된다.

홈 디바이스는 전송 세션을 시작하는 클라이언트가 소스 전송 세션 액세스 제어 포인트에서 홈 도메인으로부터 온 것인 한, 임의의 싱크와의 세션을 허용하는 것으로 가정된다. 클라이언트는 클라이언트가 PDC 자체이고 싱크가 IR-인증된 디바이스인 경우에만 세션들을 허용할 것이다. TV는 TV가 또한 싱크이면 소스로서 TV와의 세션만을 허용할 것이다.

싱크 전송 세션 액세스 제어 포인트에서, 홈 디바이스는 세션을 시작하는 클라이언트가 홈 도메인으로부터 오는 한, 임의의 싱크와의 어떠한 세션이든 허용할 것이다. 클라이언트는 싱크 역할에서 PDC와의 어떠한 세션들도 허용하지 않는다. TV는 클라이언트가 TV에서 스위칭된 원격 제어기인 것과 같이, 클라이언트가 IR-인증된 디바이스인 한, 임의의 소스와의 세션들을 허용할 것이다. 소스 및 싱크 프라 이버시 액세스 제어 포인트들에 있어서, 정책들은 미들웨어에 의해 자동으로 관리된다.

비신뢰 단말로부터 민감한 소스들을 원격으로 액세스할 때, 이용자는 종래기술에서 일반적으로 2가지 선택을 갖는다. 첫 번째는, 이용자는 민감한 리소스들을 포함하고 있는 도메인으로의 완전한 액세스를 비신뢰 디바이스에 줄 수 있다. 두 번째는, 이용자는 제약된 역할이 민감한 리소스들 중 어떤 것에 액세스할 수 있을 것인가를 사전에 명시함으로써 어떤 부류의 제약된 역할을 만들어낸다.

이러한 방식의 단점은 이용자가 민감한 리소스들에의 보다 동적인 액세스를 필요로 할 수도 있고 혹은 원격으로 동작시 이용자가 어떤 리소스를 필요로 할 것인가를 부정확하도록 추측할 수도 있다는 점이다.

따라서 이용자를 안전하지 않은 동작들 중에 놓이게 하여, 알려지지 않은 비신뢰 단말이 민감한 리소스들에 액세스할 수 있도록 하고, 불편하도록 하며, 어떤 액세스가 필요하게 될 것인가를 정확하도록 추측해야 하거나 이러한 액세스 없이 진행해야 한다.

Claims

개인 도메인 디바이스에 있어서:

제 1 디바이스를 통해 데이터 리소스로의 액세스를 허용하는 제 1 포트로서, 상기 제 1 데이터 리소스는 리소스 로케이터에 연관되고, 상기 제 1 디바이스는 화이트리스트된 신임의 소유에 응답하여 상기 데이터 리소스에의 액세스를 제공하도록 구성되는, 제 1 포트;

제 2 디바이스로부터의 제 2 디바이스 신임의 수신을 허용하는 제 2 포트로서, 상기 개인 도메인 디바이스 및 상기 제 1 디바이스는 신뢰 관계 내에 있는, 제 2 포트; 및

상기 신뢰 관계에 따라 화이트리스팅하기 위해 상기 제 2 디바이스 신임을 상기 제 1 디바이스에 제공하는 프로세서를 포함하는, 개인 도메인 디바이스.
제 1항에 있어서, 상기 개인 도메인 디바이스는 셀룰러 폰, PDA, 및 휴대용 전자 디바이스로 구성된 그룹에서 선택된 것을 더 포함하는, 개인 도메인 디바이스.
제 1항에 있어서, 상기 제 1 포트는 무선 네트워크 라디오, 유선 네트워크 접속, 및 이더넷 포트로 구성된 그룹에서 선택된 것을 더 포함하는, 개인 도메인 디바이스.
제 1항에 있어서, 상기 제 2 포트는 적외선 포트, 오디오 포트, 가시광 포트, 블루투스 포트, IEEE 802.11 표준에 따른 라디오, 유선 포트, 오디오 통신 링크, 및 초고주파 라디오로 구성된 그룹에서 선택된 것을 더 포함하는, 개인 도메인 디바이스.