KR20150038339A

KR20150038339A - 샌드박스 이용에 기초한 액세스 특권을 검출, 시행 및 제어하는 방법

Info

Publication number: KR20150038339A
Application number: KR1020157004885A
Authority: KR
Inventors: 홍 리; 토바이어스 엠 콜렌버그; 리타 에이치 우헤이비; 앨런 디 로스
Original assignee: 인텔 코포레이션
Priority date: 2012-09-27
Filing date: 2013-09-12
Publication date: 2015-04-08
Also published as: CN104160404A; EP2901356A1; EP2901356B1; WO2014052015A1; EP3514687B1; KR101691511B1; EP2901356A4; US9836614B2; US8856864B2; CN104160404B; US20140090008A1; US20150026764A1; EP3514687A1

Abstract

시스템 및 방법은 웹 콘텐츠를 수신하고, 웹 콘텐츠와 연관된 액세스 제어 속성을 검출하는 것을 가능하게 할 수 있다. 부가적으로, 액세스 제어 속성은 불능 상태에 대해 모니터링될 수 있다. 일례에서, 불능 상태가 검출될 수 있고, 불능 상태에 응답하여 액세스 정책이 판정될 수 있고, 액세스 정책이 구현될 수 있다. 다른 실시예가 기술되고 청구된다.

Description

샌드박스 이용에 기초한 액세스 특권을 검출, 시행 및 제어하는 방법{DETECTING, ENFORCING AND CONTROLLING ACCESS PRIVILEGES BASED ON SANDBOX USAGE}

실시예는 전반적으로 웹 기반 애플리케이션에 대한 액세스 제어에 관한 것이다. 보다 상세하게는, 실시예는 비-네이티브 웹 애플리케이션에 대한 액세스 특권을 검출, 시행 및 제어하는 방법에 관한 것이다.

HTML5(Hypertext Markup Language 5, 예컨대, HTML5 Editor's Draft 8 May 2012, World Wide Web Consortium/W3C, www*w3*org)는 더 강건한 멀티미디어 관련 웹 플랫폼 개발 및 다른 소스로부터의 더 기능적인 웹 콘텐츠의 결합을 지원할 수 있는 신흥 마크업 언어이다. 그러나, 애플리케이션 개발자에 의한 HTML5의 이용은 또한 최종 사용자뿐 아니라 다른 웹 애플리케이션에 대해 광고, 팝업, 위젯 및 스크립트 등의 웹 콘텐츠의 임의의 특징 및/또는 기능의 제어를 노출할 수 있고, 그러한 제어의 노출은 보안 문제로 이어질 수 있다. 예컨대, 샌드박스는, 코드가 웹 페이지의 일부로서 송신될 때 임의의 기능을 방지하기 위해 애플리케이션을 생성하는 경우에 사용되는 규칙의 세트일 수 있다. 부가적으로, 샌드박스는 애플리케이션의 브라우저 및 랜덤 클라이언트 리소스 내의 다른 애플리케이션(예컨대, 소프트웨어 개발의 컨텍스트에서의 코드 분리툴)에 액세스하는 것을 제한할 수 있다. 검출되지 않은 악성 소프트웨어는, 예컨대, 하드드라이브에 저장된 민감한 사용자 데이터를 캡쳐하기 위해 HTML5 샌드박스 특성을 디스에이블시킬 수 있다. 더욱이, 사용자는 불능의 영향(예컨대, 바람직한 기능의 손실)을 완전히 이해하지 않아도 샌드박스 특성을 디스에이블할 수 있다.

본 발명의 실시예의 여러가지 이점은 다음의 명세서 및 첨부된 청구범위를 읽음으로써, 그리고 다음 도면을 참조함으로써 당업자에게 명백할 것이다.

도 1은 일 실시예에 따른 액세스 제어 구조의 일례의 블럭도이다.
도 2는 일 실시예에 따른 웹 기반 액세스 제어를 관리하는 방법의 일례의 흐름도이다.
도 3은 일 실시예에 따른 프로세서의 일례의 블럭도이다.
도 4는 일 실시예에 따른 시스템의 일례의 블럭도이다.

이제 도 1로 참조하면, 액세스 제어(예컨대, 샌드박스) 매니저(10)가 웹 애플리케이션 및 콘텐츠에 관련된 액세스 특권을 검출, 시행 및 제어하는 데 사용되는 액세스 제어 구조(11)가 도시된다. 예시된 예에서, 브라우저 모듈(12)은 HTML5 샌드박스 특성 등의 하나 이상의 연관 액세스 제어 속성(14)을 갖는 웹 콘텐츠를 수신한다. 액세스 제어 속성(14)은 여러가지 다양한 소스를 유래시킬 수 있는 웹 콘텐츠의 개발자가 웹 콘텐츠와 연관된 하나 이상의 동작/기능에 대한 액세스 특권을 설정하게 할 수 있다. 예컨대, 웹 사이트 개발자는, 사용자가 문제의 웹 사이트에 방문하는 경우 플러그인 인스턴스화, 스크립트 실행, 팝업 인터페이스 생성, 양식 제출, 저장 액세스 등등의 기능이 브라우저 내에서 실행 불가능한 것을 보장하기 위해 액세스 제어 속성(14)을 인에이블시킬 수 있다. 또 다른 예로, 일부 브라우저(예컨대, 마이크로소프트 인터넷 익스플로러 9/IE9)는 개발자들이 액세스 제어 특징을 제재하는 방법을 포함하는 HTML5 샌드박스를 갖고, 그러나, 그 샌드박스는 웹 애플리케이션의 개발자에 의해 디스에이블될 수 있다. 더 자세하게 설명되는 바와 같이, 액세스 제어 매니저(10)는 일반적으로 액세스 제어 속성(14)의 시행 가능성을 검출하고, 불능 상태에 대한 액세스 제어 속성(14)을 모니터링할 수 있다. 불능에 대한 액세스 제어 속성(14)을 모니터링함으로써, 예시된 액세스 제어 매니저(10)는 악성 소프트웨어 공격에 대하여 더 큰 보호를 제공하고, 최종 사용자가 액세스 제어의 영향 및 우려를 더 잘 인식하게 할 수 있고, 액세스 제어가 실시될 때 사용자에게 더 세분화된 특권 선택을 제공한다.

더 구체적으로, 액세스 제어 매니저(10)는 불능 상태를 검출하는 모니터 모듈(16), 불능 상태에 응답하여 액세스 정책 또는 임의의 다른 클라이언트 동작을 결정하는 시행 모듈(18) 및 액세스 정책을 구현하는 콘텐츠 인터페이스(20)를 포함할 수 있다. 일례에서, 모니터 모듈(16)은 플러그인을 인스턴스화하고, 스크립트를 실행하고, 팝업 인터페이스를 생성하고, 양식을 제출하고, 저장를 액세스하는 등등의 기능을 주기적으로 테스트하는 테스트 요소(22)를 포함한다. 부가적으로, 모니터 모듈(16)은 사용자 동작/트리거가 액세스 제어 속성(14)에 대하여 발생했는지를 판정하기 위한 사용자 요소(24), 및 액세스 제어 속성(14)에 대응하는 브라우저 구성 설정(28)이 변경되었는지 판정하기 위한 구성 요소(26)를 포함할 수 있다. 더욱이, 예시된 모니터 모듈(16)은 액세스 제어 속성(14)에 관한 활동을 기록하는 로그 요소(30)를 포함한다. 따라서, 불능 상태는, 테스트 요소(22)가 테스트된 기능 중 하나 이상을 수행할 수 있는 것, 사용자 요소(24)가 액세스 제어 속성(14)에 관한 사용자 동작을 검출하는 것, 구성 요소(26)가 브라우저 구성 설정(28)이 변경되었는지 판정하는 것 또는 임의의 그들의 조합과 동등하다고 할 수 있다.

불능 상태에 응답하여, 시행 모듈(18)은 정책 보관소(32) 및/또는 애플리케이션 프로파일 보관소(34)로부터 액세스 정책을 취득할 수 있다. 이와 관련하여, 예시된 시행 모듈(18)은, 불능 상태와 연관된 요청자 애플리케이션 신원을 식별하도록 구성되는 식별 요소(40)와, 애플리케이션 프로파일 보관소(34)로부터 액세스 정책의 적어도 일부를 검색하기 위해 요청자 애플리케이션 신원을 사용하는 탐색 요소(38)를 포함한다. 예컨대, 애플리케이션 프로파일 보관소(34)는, 웹 브라우저가 제공되는 HTML5 샌드박스 기능이 디스에이블되면, "애플리케이션 X"로부터 웹 사이트 "CustomerApp.html"로의 제출 요청이 허용되고, 반면, 미인증 애플리케이션으로부터 웹 사이트 "CustomerProfile.html"로의 저장 액세스 또는 자바스크립트 요청이 허용되지 않는 것을 특정하는 엔트리를 포함할 수 있다.

따라서, 예시된 시행 모듈(18)은 또한 웹 콘텐츠와 연관된 하나 이상의 기능을 식별하도록 구성되는 기능 요소(36)를 포함하고, 탐색 요소(38)는 정책 보관소(32)로부터 액세스 정책의 적어도 일부를 검색하기 위해 하나 이상의 기능을 사용할 수 있다. 예컨대, 기능 요소(36)는 웹 콘텐츠가 양식을 포함하는 것을 판정하고, 따라서, 임의의 샌드박스 특징이 디스에이블될 때 취해질 일련의 동작을 판정하는 양식 제출 가이드라인을 위해 정책 보관소(32)를 탐색할 것이다. 애플리케이션 프로파일 보관소(34)의 탐색은 또한 웹 콘텐츠 기능을 고려할 수 있고, 정책 보관소(32)의 탐색은 요청자 애플리케이션 신원을 고려할 수 있다. 더욱이, 애플리케이션 세분화는 웹 사이트 주소(예컨대, CustomerApp.html 대 CustomerProfile.html)에 기초할 수 있다. 특이 사항은, 로그 요소(30)에 의해 샌드박스 불능 활동의 기록이 액세스 정책에 따라서 달라질 수 있다는 것이다. 그러한 접근은 수사, 법의학 및 평판 정보 시스템에 특히 유리할 것이다.

액세스 정책을 구현하는 것은, 예컨대, 액세스 제어 속성(14)을 자동으로 인에이블시키는 것을 포함할 수 있다. 또 다른 예에서, 액세스 정책을 구현하는 것은, 액세스 제어 속성이 웹 콘텐츠에 영향을 주지 않고 인에이블될 수 없음을 판정하는 것, 및 웹 콘텐츠를 인정하지 않거나 다른/차등 제어를 적용하는 것을 포함할 수 있다. 액세스 정책은 또한 그래픽 사용자 인터페이스(GUI)(42)를 통해 사용자 통지를 생성하기 위해 호출할 수 있고, 사용자 통지는 추천된 동작 뿐만 아니라 불능 상태의 식별을 포함한다. 예컨대, 사용자 통지는, 방문된 사이트의 웹 개발자가 그러한 기능에 대해 보호하기 위해 액세스 제어 속성(14)을 사용한 경우에도 근원간 저장 액세스(예컨대, 애플리케이션에 걸친 저장 액세스)가 인에이블되었음을 설명할 수 있다. 그러한 사용자 통지는 또한 그러한 기능을 허용하는 것과 연관된 악성 소프트웨어 우려를 설명할 수 있다. 콘텐츠 인터페이스(20)는 사용자 통지에 대한 응답을 수신하고 그 응답에 기초하여 액세스 제어 속성(14)을 수정할지 여부를 판정할 수 있다.

예컨대, 사용자가 온라인 소매업자에 의해 저장 및 사용될 사회적 네트워크 사이트에서의 그들 행동을 원하지 않는다면, 사용자는, 이들 애플리케이션의 개발자가 원래 표시했던 것을 덮어쓰기하는, 사회적 네트워크 사이트 및 온라인 소매업자의 각각의 액세스 제어 속성에 더 엄격한 정책을 시행할 수 있다. 따라서, 액세스 제어 매니저(10)가 추천을 제공할 수 있지만, 사용자는 보안 특권 결정 루프에 남아있을 수 있다.

이제 도 2를 참조하면, 웹 기반 액세스 제어를 관리하는 방법(44)이 도시된다. 방법(44)은, 랜덤 액세스 메모리(RAM), 판독전용 메모리(ROM), 프로그래머블 ROM(PROM), 플래시 메모리 등의 기계 또는 컴퓨터 판독 가능한 매체에, 예컨대, 프로그래머블 로직 어레이(PLA), 필드 프로그래머블 게이트 어레이(FPGA), 복합 프로그래머블 로직 소자(CPLD) 등의 구성 가능한 로직에, 예컨대, 주문형 반도체(ASIC), CMOS(complementary metal-oxide semiconductor) 또는 TTL(transistor-transistor logic) 기술 또는 임의의 그들의 조합 등의 회로 기술을 이용한 고정 기능 로직 하드웨어에 저장된 로직 명령 및/또는 펌웨어의 세트로서 구현될 수 있다. 예컨대, 방법(44)에 도시된 동작을 수행하는 컴퓨터 프로그램 코드는 C++ 등의 객체 지향 프로그래밍 언어 또는 "C" 프로그래밍 언어 또는 유사한 프로그래밍 언어 등의 종래의 절차적 프로그래밍 언어를 포함하여 하나 이상의 프로그래밍 언어의 임의의 조합으로 기술될 수 있다. 더욱이, 방법(44)은 상술한 회로 기술 중 임의의 것을 이용하여 액세스 제어 구조(11)(도 1)로서 구현될 수 있다.

예시된 처리 블럭(46)은 웹 콘텐츠를 수신하는 것을 가능하게 하고, 웹 콘텐츠는 상이한 소스(예컨대, 웹 서버, 클라이언트측 애플리케이션, 서비스 공급자 등)로부터 시작될 수 있다. 더욱이, 웹 콘텐츠는 플러그인을 인스턴스화하고, 스크립트를 실행하고, 팝업 인터페이스를 생성하고, 양식을 제출하고, 저장를 액세스하는 등의 능력 등의 하나 이상의 기능을 포함할 수 있다. 예컨대, 스크립트 실행은 온라인 소매상(제 2 소스)으로부터의 웹 페이지 상에서 아이프레임에 내장된 미디어 플레이어 자바스크립트 애플리케이션(제 1 소스)로부터 시작될 수 있다. 블럭(48)은 액세스 제어 속성이 인에이블되었는지 판정하는 것을 가능하게 할 수 있다. 액세스 제어 속성은, 예컨대, 인에이블될 때 근원간 스크립트 실행 등을 방지하는 HTML5 샌드박스 특성일 수 있다. 따라서, 액세스 제어 속성은 상기 예에서 온라인 소매상/제 2 소스에 의해 인에이블될 수 있다. 액세스 제어 속성이 검출되면, 예시된 블럭(50)은 불능 상태에 대해 액세스 제어 속성을 모니터링하고, 이는 미디어가 정확하게 재생되는 것을 보장하기 위해 액세스 제어를 끄는 상기 예에서 미디어 플레이어 자바스크립트 애플리케이션/제 1 소스 등의 다른 애플리케이션으로부터 초래될 수 있다. 이 불능 상태는 또한 악성 소프트웨어 또는 사용자 동작으로부터 초래될 수 있다.

블럭(52)에서 불능 상태가 검출되면, 예시된 블럭(54)은 액세스 정책을 판정하는 것을 가능하게 한다. 이미 기술된 바와 같이, 액세스 정책은 정책 보관소 및/또는 프로파일 보관소로부터 취득될 수 있다. 블럭(56)은 액세스 정책을 구현할 수 있고, 이는 액세스 제어 속성을 자동으로 인에이블하는 것, 웹 콘텐츠를 허용하지 않는 것(예컨대, 액세스 제어 속성이 웹 콘텐츠에 영향을 주지 않고 인에이블될 수 없는 경우), 사용자 통지를 생성하는 것, 사용자 통지에 대한 응답에 기초하여 액세스 제어 속성을 수정할 지 여부를 판정하는 것 등을 포함할 수 있다.

도 3은 일 실시예에 따른 프로세서 코어(200)를 예시한다. 프로세서 코어(200)는 마이크로프로세서, 내장 프로세서, 디지털 신호 프로세서(DSP), 네트워크 프로세서, 또는 코드를 실행하는 다른 디바이스 등의 임의의 타입의 프로세서를 위한 코어일 수 있다. 하나의 프로세서 코어(200)만이 도 3에 예시되지만, 이와 달리 처리 요소는 도 3에 예시된 프로세서 코어(200)의 하나보다 많은 것을 포함할 수 있다. 프로세서 코어(200)는 단일 스레드 코어일 수 있고, 또는 적어도 하나의 실시예에 대해, 프로세서 코어(200)는 코어당 하나의 하드웨어 스레드 컨텍스트(또는 "논리적 프로세서") 이상을 포함할 수 있는 방식으로 멀티스레딩될 수 있다.

도 3은 또한 프로세서 코어(200)에 연결된 메모리(270)를 예시한다. 메모리(270)는 당업자에게 공지된 또는 이용 가능한 매우 다양한 메모리(메모리 계층의 여러가지 계층을 포함함)의 임의의 것일 수 있다. 메모리(270)는 프로세서 코어(200)에 의해 실행될 하나 이상의 코드(213) 명령(들)을 포함할 수 있고, 이미 논의된 바와 같이, 코드(213)는 액세스 제어 구조(11)(도 1)를 구현할 수 있다. 프로세서 코어(200)는 코드(213)에 의해 표시된 명령의 프로그램 시퀀스를 따른다. 각 명령은 프론트엔드 부분(210)을 입력할 수 있고, 하나 이상의 디코더(220)에 의해 처리될 수 있다. 디코더(220)는 미리 정해진 포맷으로 고정 폭의 마이크로 동작 등의 마이크로 동작을 그 출력으로서 생성할 수 있고, 또는 원래의 코드 명령을 반영하는 다른 명령, 마이크로 명령 또는 제어 신호를 생성할 수 있다. 예시된 프론트엔드(210)는 또한 레지스터 재명명 로직(225) 및 스케줄링 로직(230)을 포함하는데, 이는 일반적으로 실행을 위한 변환 명령에 대응하는 리소스 및 큐를 할당한다.

프로세서 코어(200)는 실행 유닛의 세트(255-1 내지 255-N)를 갖는 실행 로직(250)을 포함하는 것으로 도시된다. 일부 실시예는 특정 기능 또는 기능의 세트에 전용되는 다수의 실행 유닛을 포함할 수 있다. 다른 실시예는 하나의 실행 유닛만을 또는 특정 기능을 수행할 수 있는 하나의 실행 유닛을 포함할 수 있다. 예시된 실행 로직(250)은 코드 명령에 의해 특정된 동작을 수행한다.

코드 명령에 의해 특정된 동작의 실행을 완료한 후에, 백엔드 로직(260)은 코드(213)의 명령을 폐기시킨다. 일 실시예에서, 프로세서 코어(200)는 순서를 벗어난 실행을 허용하지만 명령의 순차적 폐기를 요구한다. 폐기 로직(265)은 당업자에게 공지된 다양한 양식(예컨대, 재순서 버퍼 등)을 취할 수 있다. 이런 식으로, 프로세서 코어(200)는 적어도, 디코더, 레지스터 재명명 로직(225)에 의해 이용된 하드웨어 레지스터 및 테이블, 및 실행 로직(250)에 의해 수정된 임의의 레지스터(도시하지 않음)에 의해 생성된 출력의 관점에서 코드(213)의 실행중에 변환된다.

도 3에 도시되지 않지만, 처리 요소는 프로세서 코어(200)와 함께 칩에 다른 요소를 포함할 수 있다. 예컨대, 처리 요소는 프로세서 코어(200)와 함께 메모리 제어 로직을 포함할 수 있다. 처리 요소는 I/O 제어 로직을 포함할 수 있고, 및/또는 메모리 제어 로직과 함께 통합된 I/O 제어 로직을 포함할 수 있다. 처리 요소는 또한 하나 이상의 캐시를 포함할 수 있다.

이제 도 4를 참조하면, 본 발명의 일 실시예에 따른 시스템 실시예(1000)의 블럭도가 도시된다. 도 4에는 제 1 처리 요소(1070) 및 제 2 처리 요소(1080)를 포함하는 멀티프로세서 시스템(1000)이 도시된다. 2개의 처리 요소(1070, 1080)가 도시되지만, 시스템(1000)의 실시예는 또한 하나의 그러한 처리 요소만을 포함할 수 있음이 이해될 것이다.

시스템(1000)은 점대점 상호접속 시스템으로서 예시되고, 여기서, 제 1 처리 요소(1070) 및 제 2 처리 요소(1080)는 점대점 상호접속(1050)을 통해 연결된다. 도 4에 예시된 상호접속의 일부 또는 전부는 점대점 상호접속이 아니라 멀티드롭 버스로서 구현될 수 있음이 이해되어야 한다.

도 4에 도시되는 바와 같이, 처리 요소(1070, 1080)의 각각은 제 1 및 제 2 프로세서 코어(즉, 프로세서 코어(1074a, 1074b) 및 프로세서 코어(1084a, 1084b))를 포함하는 멀티코어 프로세서일 수 있다. 그러한 코어(1074a, 1074b, 1084a, 1084b)는 도 3과 연관되어 상기에 논의된 바와 마찬가지의 방식으로 명령 코드를 실행하도록 구성될 수 있다.

각각의 처리 요소(1070, 1080)는 적어도 하나의 공유 캐시(1896)를 포함할 수 있다. 공유 캐시(1896a, 1896b)는 각각, 코어(1074a, 1074b, 1084a, 1084b) 등의 프로세서의 하나 이상의 구성요소에 의해 이용되는 데이터(예컨대, 명령)를 저장할 수 있다. 예컨대, 공유 캐시는 프로세서의 구성요소에 의한 더 빠른 액세스를 위해 메모리(1032, 1034)에 저장된 데이터를 국소적으로 저장할 수 있다. 하나 이상의 실시예에서, 공유 캐시는 레벨 2(L2), 레벨 3(L3), 레벨 4(L4) 등의 하나 이상의 중간레벨 캐시 또는 다른 레벨의 캐시, 마지막 레벨 캐시(LLC), 및/또는 그 조합을 포함할 수 있다.

2개의 처리 요소(1070, 1080)만이 도시되지만, 본 발명의 범위가 그렇게 제한되는 것은 아님이 이해되어야 한다. 다른 실시예에서, 하나 이상의 부가적인 처리 요소가 주어진 프로세서 내에 있을 수 있다. 이와 달리, 하나 이상의 처리 요소(1070, 1080)는 가속기 또는 필드 프로그래머블 게이트 어레이 등의 프로세서가 아닌 요소일 수도 있다. 예컨대, 부가적인 처리 요소(들)는 제 1 프로세서(1070)와 같은 추가 프로세서(들), 제 1 프로세서(1070)에 대해 이질적 또는 비대칭 프로세서인 추가 프로세서(들), 가속기(예컨대, 그래픽 가속기 또는 디지털 신호 처리(DSP) 유닛 등), 필드 프로그래머블 게이트 어레이 또는 임의의 다른 처리 요소를 포함할 수 있다. 구조, 마이크로구조, 열, 전력 소모 특성 등을 포함하는 가치의 측정 범위의 관점에서 처리 요소(1070, 1080) 사이에는 여러가지 차이가 있을 수 있다. 이들 차이는 처리 요소(1070, 1080) 사이에서 불균형 및 이질성으로 그 스스로 잘 드러날 수 있다. 적어도 하나의 실시예에 대해, 여러가지 처리 요소(1070, 1080)는 동일한 다이 패키지에 존재할 수 있다.

제 1 처리 요소(1070)는 메모리 제어기 로직(MC)(1072) 및 점대점(P-P) 인터페이스(1076, 1078)를 더 포함할 수 있다. 마찬가지로, 제 2 처리 요소(1080)는 MC(1082) 및 P-P 인터페이스(1086, 1088)를 포함할 수 있다. 도 4에 도시되는 바와 같이, MC(1072, 1082)는 프로세서를 각각의 메모리, 즉 메모리(1032) 및 메모리(1034)에 연결하고, 이것은 각각의 프로세서에 국소적으로 부착된 메인 메모리의 일부일 수 있다. MC 로직(1072, 1082)이 처리 요소(1070, 1080)에 통합된 것으로 도시되지만, 다른 실시예에서 MC 로직은 처리 요소 내에 통합되지 않고 처리 요소(1070, 1080) 밖의 별개의 로직일 수 있다.

제 1 처리 요소(1070) 및 제 2 처리 요소(1080)는 각각 P-P 상호접속(1076, 1086, 1084)을 통해 I/O 서브시스템(1090)에 연결될 수 있다. 도 4에 도시되는 바와 같이, I/O 서브시스템(1090)은 P-P 인터페이스(1094, 1098)를 포함한다. 또한, I/O 서브시스템(1090)은 I/O 서브시스템(1090)을 고성능 그래픽 엔진(1038)에 연결하는 인터페이스(1092)를 포함한다. 일 실시예에서, 버스(1049)는 그래픽 엔진(1038)을 I/O 서브시스템(1090)에 연결하는 데 사용될 수 있다. 이와 달리, 점대점 상호접속(1039)은 이들 구성요소를 연결할 수 있다.

결국, I/O 서브시스템(1090)은 인터페이스(1096)를 통해 제 1 버스(1016)에 연결될 수 있다. 일 실시예에서, 제 1 버스(1016)는 주변 구성요소 상호접속(PCI) 버스 또는 PCI 익스프레스 버스 또는 다른 제 3 세대 I/O 상호접속 버스 등의 버스일 수 있지만, 본 발명의 범위가 그렇게 제한되지는 않는다.

도 4에 도시되는 바와 같이, 여러가지 I/O 디바이스(1014)는, 제 1 버스(1016)를 제 2 버스(1020)에 연결할 수 있는 버스 브리지(1018)와 함계 제 1 버스(1016)에 연결될 수 있다. 일 실시예에서, 제 2 버스(1020)는 로우핀 카운트(LPC) 버스일 수 있다. 일 실시예에서, 예컨대, 키보드/마우스(1012), 네트워크 제어기/통신 디바이스(들)(1026)(결과적으로 컴퓨터 네트워크와 통신할 수 있음), 코드(1030)를 포함할 수 있는 디스크 드라이브 또는 다른 대용량 저장 디바이스 등의 데이터 저장 유닛(1018)을 포함하여 여러가지 디바이스가 제 2 버스(1020)에 연결될 수 있다. 일례에서, 웹 콘텐츠는 통신 디바이스(1026)를 통해 수신된다. 코드(1030)는 상기에 기술된 하나 이상의 방법의 실시예를 수행하기 위한 명령을 포함할 수 있다. 따라서, 예시된 코드(1030)는 이미 논의된 바와 같이 로직 구조(11)(도 1)를 구현할 수 있고, 코드(213)(도 3)와 유사하게 될 수 있다. 더욱이, 오디오 I/O(1024)는 제 2 버스(1020)에 연결될 수 있다.

다른 실시예가 고려되는 것을 유의한다. 예컨대, 도 4의 점대점 구조 대신에, 시스템은 멀티드롭 버스 또는 또다른 그와 같은 통신 기술을 구현할 수 있다. 또한, 도 4의 요소는 도 4에 도시된 것보다 더 많거나 적은 통합 칩을 이용하여 교대로 구분될 수 있다.

추가 기록 및 예

따라서 예 1은, 웹 콘텐츠가 수신되는 웹 기반 보안을 관리하는 방법을 포함할 수 있고, 웹 콘텐츠와 연관된 액세스 제어 속성이 검출된다. 그 방법은 또한 불능 상태를 위해 액세스 제어 속성을 모니터링하는 것을 가능하게 할 수 있다.

부가적으로, 예 1의 방법은 불능 상태를 검출하는 단계와, 불능 상태에 응답하여 액세스 정책을 판정하는 단계 및 액세스 정책을 구현하는 단계를 더 포함할 수 있다.

부가적으로, 예 1에서 액세스 정책을 구현하는 단계는 액세스 제어 속성을 인에이블하는 단계를 포함할 수 있다.

더욱이, 예 1에서 액세스 정책을 구현하는 단계는 사용자 통지를 생성 - 사용자 통지는 불능 상태의 식별 및 추천 동작을 포함함 - 하는 단계와, 사용자 통지에 대한 응답을 수신하는 단계와, 그 응답에 기초하여 액세스 제어 속성을 수정할 지 결정하는 단계를 포함할 수 있다.

부가하여, 예 1의 방법은 웹 콘텐츠와 연관된 하나 이상의 기능을 식별하는 단계와, 정책 보관소로부터 적어도 일부의 액세스 정책을 검색하기 위해 하나 이상의 기능을 이용하는 단계를 더 포함할 수 있다.

부가하여, 예 1의 방법은 불능 상태와 연관된 요청자 애플리케이션 신원을 식별하는 단계와, 정책 보관소로부터 적어도 일부의 액세스 정책을 검색하기 위해 요청자 애플리케이션 신원을 이용하는 단계를 더 포함할 수 있다.

더욱이, 예 1에서 액세스 제어 속성을 모니터링하는 단계는 웹 콘텐츠와 연관된 하나 이상의 기능을 주기적으로 테스트하는 단계와, 사용자 동작이 액세스 제어 속성에 대하여 발생했는지 판정하는 단계와, 액세스 제어 속성에 대응하는 브라우저 구성 설정이 변경되었는지 판정하는 단계와, 액세스 제어 속성에 관한 활동을 기록하는 단계를 포함할 수 있다.

부가적으로, 상술한 예 1의 방법의 임의의 액세스 제어 속성은 하이퍼텍스트 마크업 언어 5(HTML5) 샌드박스 특성일 수 있다.

예 2는 또한, 프로세서에 의해 실행되면, 컴퓨팅 디바이스가 상술한 방법의 예 중 임의의 것을 수행하게 하는 명령의 세트를 갖는 적어도 하나의 컴퓨터 판독 가능한 저장 매체를 포함할 수 있다.

예 3은 또한, 웹 콘텐츠를 수신하는 브라우저 모듈 및 웹 콘텐츠와 연관된 액세스 제어 속성을 검출하는 보안 매니저를 갖는 웹 기반 보안 장치를 포함할 수 있다. 보안 매니저는 또한 불능 상태에 대한 액세스 제어 속성을 모니터링할 수 있다.

부가적으로, 예 3의 보안 매니저는 불능 상태를 검출하는 모니터 모듈과, 불능 상태에 응답하는 액세스 정책을 결정하는 시행 모듈과, 액세스 정책을 구현하는 콘텐츠 인터페이스를 포함할 수 있다.

부가적으로, 예 3의 콘텐츠 인터페이스는 액세스 제어 속성을 인에이블할 수 있다.

더욱이, 콘텐츠 인터페이스는, 액세스 제어 속성이 웹 콘텐츠에 영향을 미치지 않고 인에이블될 수 없음을 판정할 수 있고, 웹 콘텐츠를 허용하지 않을 수 있다.

부가적으로, 예 3의 시행 모듈은 사용자 통지를 생성할 수 있고, 사용자 통지는 불능 상태의 식별 및 추천 동작을 포함하는 것이다.

부가하여, 예 3의 콘텐츠 인터페이스는 사용자 통지에 대한 응답을 수신하고, 응답에 기초하여 액세스 제어 속성을 수정할지 여부를 판정할 수 있다.

더욱이, 예 3의 장치는 정책 보관소를 더 포함할 수 있고, 시행 모듈은 웹 콘텐츠와 연관된 하나 이상의 기능을 식별하는 기능 요소, 및 정책 보관소로부터 적어도 일부의 액세스 정책을 검색하기 위해 하나 이상의 기능을 이용하는 탐색 요소를 더 포함한다.

부가적으로, 예 3의 장치는 정책 보관소를 더 포함할 수 있고, 시행 모듈은 불능 상태와 연관된 요청자 애플리케이션 신원을 식별하는 식별 요소, 및 정책 보관소로부터 적어도 일부의 액세스 정책을 검색하기 위해 요청자 애플리케이션 신원을 이용하는 탐색 요소를 더 포함한다.

부가적으로, 예 3의 보안 매니저는 웹 콘텐츠와 연관된 하나 이상의 기능을 주기적으로 테스트하는 테스트 요소와, 액세스 제어 속성에 대해 사용자 동작이 발생했는지 판정하는 사용자 요소와, 액세스 제어 속성에 대응하는 브라우저 구성 설정이 변경되었는지 판정하는 구성 요소와, 액세스 제어 속성에 관한 활동을 기록하는 로그 요소를 포함할 수 있다.

부가하여, 예 3의 장치는 웹 콘텐츠를 수신하는 네트워크 인터페이스를 포함할 수 있다.

부가하여, 상술한 예 3의 장치의 임의의 액세스 제어 속성은 하이퍼텍스트 마크업 언어 5(HTML5) 샌드박스 특성일 수 있다.

예 4는 또한 웹 콘텐츠를 수신하는 수단과, 웹 콘텐츠와 연관된 액세스 제어 속성을 검출하는 수단과, 불능 상태에 대해 액세스 제어 속성을 모니터링하는 수단을 갖는 웹 기반 보안 장치를 포함할 수 있다.

부가적으로, 예 4의 장치는 불능 상태를 검출하는 수단과, 불능 상태에 응답하여 액세스 정책을 판정하는 수단과, 액세스 정책을 구현하는 수단을 더 포함할 수 있다.

부가적으로, 예 4의 장치는 액세스 제어 속성을 인에이블하는 수단을 더 포함할 수 있다.

더욱이, 예 4의 장치는 웹 콘텐츠에 영향을 미치지 않고 액세스 제어 속성이 인에이블될 수 없는 것을 판정하는 수단과, 웹 콘텐츠를 허용하지 않는 수단을 더 포함할 수 있다.

부가하여, 예 4의 장치는 사용자 통지를 생성하는 수단을 더 포함할 수 있고, 사용자 통지는 불능 상태의 식별 및 추천 동작을 포함하는 것이다.

부가하여, 예 4의 장치는 사용자 통지에 대한 응답을 수신하는 수단과, 응답에 기초하여 액세스 제어 속성을 수정할 지를 판정하는 수단을 더 포함할 수 있다.

더욱이, 예 4의 장치는 웹 콘텐츠와 연관된 하나 이상의 기능을 식별하는 수단과, 정책 보관소로부터 적어도 일부의 액세스 정책을 검색하기 위해 하나 이상의 기능을 이용하는 수단을 더 포함할 수 있다.

부가적으로, 예 4의 장치는 불능 상태와 연관된 요청자 애플리케이션 신원을 식별하는 수단과, 프로파일 보관소로부터 적어도 일부의 액세스 정책을 검색하기 위해 요청자 애플리케이션 신원을 이용하는 수단을 더 포함할 수 있다.

부가적으로, 예 4의 장치는 웹 콘텐츠와 연관된 하나 이상의 기능을 주기적으로 테스트하는 수단과, 액세스 제어 속성에 대해 사용자 동작이 발생했는지 판정하는 수단과, 액세스 제어 속성에 대응하는 브라우저 구성 설정이 변경되었는지 판정하는 수단과, 액세스 제어 속성에 관한 활동을 기록하는 수단을 더 포함할 수 있다.

더욱이, 상술한 예 4의 장치의 임의의 하나의 장치의 액세스 제어 속성은 하이퍼텍스트 마크업 언어 5(HTML5) 샌드박스 특성일 수 있다.

부가하여, 예 5는 네트워크 인터페이스를 갖는 웹 기반 보안 시스템 및 네트워크 인터페이스를 통해 웹 콘텐츠를 수신하는 브라우저 모듈을 포함할 수 있다. 시스템은 또한, 웹 콘텐츠와 연관된 액세스 제어 속성을 검출하고, 불능 상태에 대해 액세스 제어 속성을 모니터링하는 보안 매니저를 포함할 수 있다. 시스템은 상기 장치의 예 중 임의의 것을 포함하도록 구성될 수 있다.

따라서 여기에 설명된 기술은 웹 애플리케이션에서의 액세스 제어 이용을 검출하고, 근본적인 보호가 준비되어 있도록 가능한 경우 그 이용을 시행할 수 있다. 부가적으로, 정책 기반 로깅은 조사, 법의학 및 평판 정보 시스템에 이용될 수 있다. 더욱이, 차등 액세스 제어는, 특히 사용자가 웹 애플리케이션 개발자에 의해 디스에이블된 특정 액세스 제어(예컨대, 브라우저가 제공되는 HTML5 샌드박스)를 시행할 수 없는 경우, 보호되어야 할 콘텐츠에 기초한 더 세분화된 액세스 특권 및/또는 요청자 신뢰성(예컨대, 컨텍스트 인식 샌드박스)을 제공하기 위해 이루어질 수 있다. 실제로, 최종 사용자는 완전한 감사 능력을 갖고, 애플리케이션 사이의 관계 뿐만 아니라 개별적 액세스 특권을 제어할 수 있다.

여러가지 실시예는 하드웨어 요소, 소프트웨어 요소 또는 그 조합을 이용하여 구현될 수 있다. 하드웨어 요소의 예는 프로세서, 마이크로프로세서, 회로, 회로 요소(예컨대, 트랜지스터, 저항, 캐패시터, 인덕터 등등), 집적 회로, 주문형 반도체(ASIC), 프로그래머블 로직 디바이스(PLD), 디지털 신호 프로세서(DSP), 필드 프로그래머블 게이트 어레이(FPGA), 로직 게이트, 레지스터, 반도체 디바이스, 칩, 마이크로칩, 칩셋 등을 포함할 수 있다. 소프트웨어의 예는, 소프트웨어 요소, 프로그램, 애플리케이션, 컴퓨터 프로그램, 애플리케이션 프로그램, 시스템 프로그램, 기계 프로그램, 운영 시스템 소프트웨어, 미들웨어, 펌웨어, 소프트웨어 모듈, 루틴, 서브루틴, 기능, 방법, 프로시저, 소프트웨어 인터페이스, 애플리케이션 프로그램 인터페이스(API), 명령 세트, 컴퓨팅 코드, 컴퓨터 코드, 코드 세그먼트, 컴퓨터 코드 세그먼트, 워드, 값, 심볼 또는 임의의 그 조합을 포함할 수 있다. 일 실시예가 하드웨어 요소 및/또는 소프트웨어 요소를 이용하여 구현될지를 판정하는 것은 바람직한 연산 속도, 전력 레벨, 내열성, 처리 사이클 예산, 입력 데이터 속도, 출력 데이터 속도, 메모리 리소스, 데이터 버스 속도 및 다른 설계 또는 성능 제약 등의 다수의 요인에 따라 달라질 수 있다.

적어도 하나의 실시예의 하나 이상의 국면은 프로세서 내의 여러가지 로직을 나타내는 기계 판독 가능한 매체 상에 저장된 대표적인 명령에 의해 구현될 수 있고, 이는 기계에 의해 판독될 때 그 기계가 여기서 설명된 기술을 수행하는 로직을 만들게 한다. "IP 코어"로 알려진 그러한 표현은 유형적인 기계 판독 가능한 매체에 저장되고 실제로 로직 또는 프로세서를 만드는 제조 기계로 로딩하기 위해 다양한 소비자 또는 제조 시설에 공급될 수 있다.

본 발명의 실시예는 모든 타입의 반도체 집적 회로("IC") 칩의 이용에 적용될 수 있다. 이들 IC 칩의 예는 프로세서, 제어기, 칩셋 요소, 프로그래머블 로직 어레이(PLA), 메모리 칩, 네트워크 칩 등을 포함할 수 있지만 이에 제한되지 않는다. 부가하여, 일부의 도면에서, 신호 컨덕터선이 선으로 표현된다. 일부는 그 이상의 구성 신호 경로를 나타내기 위해 상이할 수 있고, 다수의 구성 신호 경로를 나타내기 위해 다수의 라벨을 가질 수 있고, 및/또는 주된 정보 흐름 방향을 나타내기 위해 하나 이상의 단부에 화살표를 가질 수 있다. 그러나 이것은 제한하는 방식으로 해석되어서는 안 된다. 오히려, 그러한 부가적인 세부사항은 회로의 더 쉬운 이해를 돕기 위해 하나 이상의 예시적인 실시예와 연결지어 사용될 수 있다. 추가 정보를 갖고 있는지 여부에 관계없이, 임의의 표현된 신호선은 실제로 여러 방향으로 이동할 수 있는 하나 이상의 신호를 포함할 수 있고, 임의의 적합한 타입의 신호 방식, 예컨대, 차등의 쌍, 광 섬유 선, 및/또는 싱글엔드형 선으로 구현된 디지털 또는 아날로그 선으로 구현될 수 있다.

본 발명의 실시예가 그와 같이 제한되는 것은 아니지만, 예시적인 크기/모델/값/범위가 주어질 수 있다. 시간이 지나면서 제조 기술(예컨대, 포토리소그래피)이 원숙해짐에 따라, 더 작은 크기의 디바이스가 제조될 수 있음이 예상된다. 부가하여, 도시 및 논의의 간략화를 위해, 그리고 본 발명의 실시예의 임의의 국면을 모호하게 하지 않기 위해, IC 칩 및 다른 구성요소에 대한 공지의 전원/접지 접속이 도면에 도시되거나 또는 도시되지 않을 수 있다. 또한, 본 발명의 실시예를 모호하게 하는 것을 피하기 위해, 그리고 블럭도 구성의 구현에 대한 사양이 실시예가 구현되어야 할 플랫폼에 매우 크게 의존한다, 즉, 그러한 사양은 당업자의 권한 내에 있어야 한다는 점에서 구성은 블럭도 양식으로 도시될 수 있다. 본 발명의 예시적 실시예를 설명하기 위해 상세한 세부사항(예컨대, 회로)이 언급되는 경우, 본 발명의 실시예가 이들 상세한 세부사항 없이 실시되거나 또는 그것을 변형하여 실시될 수 있음이 당업자에게 명백할 것이다. 따라서 명세서는 제한이 아니라 예시적인 것으로 간주되어야 한다.

예컨대, 일부 실시예는, 기계에 의해 실행되면, 기계가 실시예에 따른 방법 및/또는 동작을 수행하게 할 수 있는 명령 또는 명령의 세트를 저장할 수 있는 기계 또는 유형의 컴퓨터 판독 가능한 매체를 이용하여 구현될 수 있다. 그러한 기계는, 예컨대, 임의의 적합한 처리 플랫폼, 컴퓨팅 플랫폼, 컴퓨팅 디바이스, 처리 디바이스, 컴퓨팅 시스템, 처리 시스템, 컴퓨터, 프로세서 등을 포함할 수 있고, 하드웨어 및/또는 소프트웨어의 임의의 적합한 조합을 이용하여 구현될 수 있다. 기계 판독 가능한 매체 또는 물품은, 예컨대, 임의의 적합한 타입의 메모리 유닛, 메모리 디바이스, 메모리 물품, 메모리 매체, 저장 디바이스, 저장 물품, 저장 매체 및/또는 저장 유닛, 예컨대, 메모리, 착탈 가능한 또는 착탈 불가능한 매체, 소거 가능한 또는 소거 불가능한 매체, 재기입 가능한 또는 재기입 불가능한 매체, 디지털 또는 아날로그 매체, 하드디스크, 플로피 디스크, 컴팩트 디스크 판독 전용 메모리(CD-ROM), 기입 가능 컴팩트 디스크(CD-R), 재기입 가능 컴팩트 디스크(CD-RW), 광 디스크, 자기 매체, 자기-광 매체, 소거 가능한 메모리 카드 또는 디스크, 다양한 타입의 디지털 다기능 디스크(DVD), 테이프, 카세트 등을 포함할 수 있다. 명령은 임의의 적합한 하이레벨, 로우레벨, 객체 지향, 비주얼, 컴파일 및/또는 해석 프로그래밍 언어를 이용하여 구현된, 소스 코드, 컴파일 코드, 해석 코드, 실행 가능한 코드, 정적 코드, 동적 코드, 암호화 코드 등의 임의의 적합한 타입 코드를 포함할 수 있다.

특별히 다르게 언급되지 않으면, "처리", "연산", "계산", "결정" 등의 용어는, 컴퓨팅 시스템의 레지스터 및/또는 메모리에 저장된 물리적 양(예컨대, 전자)으로 표현된 데이터를, 컴퓨팅 시스템의 메모리, 레지스터 또는 다른 그러한 정보 저장, 송신 또는 디스플레이 디바이스 내에 물리적 양으로서 유사하게 표현된 다른 데이터로 조작 및/또는 변환하는 컴퓨터 또는 컴퓨팅 시스템 또는 유사한 전자 컴퓨팅 디바이스의 동작 및/또는 프로세스를 의미하는 것이 이해될 수 있다. 실시예는 이러한 맥락에 한정되지 않는다.

용어 "연결된"은 여기서 문제의 구성요소 사이에서 임의의 타입의 관계, 직접 또는 간접을 가리키기 위해 사용될 수 있고, 전기적, 기계적, 유체, 광, 전자기적, 전기기계적 또는 다른 접속에 적용할 수 있다. 부가하여, 용어 "제 1", "제 2" 등은 판단을 용이하게 하기 위해서만 사용될 수 있고, 다른 표시가 없으면 특별히 시간적 또는 연대순 의미를 갖지 않는다.

당업자는 본 발명의 실시예의 광범위한 기술이 다양한 형태로 구현될 수 있음을 상기 명세서로부터 이해할 것이다. 따라서, 본 발명의 실시예가 그것의 특별한 예와 연결지어 설명되었지만, 도면, 명세서 및 다음의 청구범위의 연구에 따라 다른 수정이 당업자에게 명백할 것이기 때문에, 본 발명의 실시예의 진정한 범위는 그와 같이 한정되지 않을 것이다.

Claims

네트워크 인터페이스와,
상기 네트워크 인터페이스를 통해 웹 콘텐츠를 수신하는 브라우저 모듈과,
상기 웹 콘텐츠와 연관된 액세스 제어 속성을 검출하고, 불능 상태에 대한 상기 액세스 제어 속성을 모니터링하는 보안 매니저를 포함하는
시스템.
제 1 항에 있어서,
상기 보안 매니저는
상기 불능 상태를 검출하는 모니터 모듈과,
상기 불능 상태에 응답하여 액세스 정책을 결정하는 시행 모듈과,
상기 액세스 정책을 구현하는 콘텐츠 인터페이스를 포함하는
시스템.
제 2 항에 있어서,
상기 콘텐츠 인터페이스는 상기 액세스 제어 속성을 인에이블하는 것인
시스템.
웹 콘텐츠를 수신하는 단계와,
상기 웹 콘텐츠와 연관된 액세스 제어 속성을 검출하는 단계와,
불능 상태에 대한 상기 액세스 제어 속성을 모니터링하는 단계를 포함하는
방법.
제 4 항에 있어서,
상기 불능 상태를 검출하는 단계와,
상기 불능 상태에 응답하여 액세스 정책을 결정하는 단계와,
상기 액세스 정책을 구현하는 단계를 더 포함하는
방법.
제 5 항에 있어서,
상기 액세스 정책을 구현하는 단계는 상기 액세스 제어 속성을 인에이블하는 단계를 포함하는
방법.
프로세서에 의해 실행되면, 컴퓨터로 하여금,
웹 콘텐츠를 수신하고,
상기 웹 콘텐츠와 연관된 액세스 제어 속성을 검출하고,
불능 상태에 대한 상기 액세스 제어 속성을 모니터링하게 하는 명령의 세트를 포함하는
적어도 하나의 컴퓨터 판독 가능한 저장 매체.
제 7 항에 있어서,
상기 명령은, 실행되면, 컴퓨터로 하여금,
상기 불능 상태를 검출하고,
상기 불능 상태에 응답하여 액세스 정책을 결정하고,
상기 액세스 정책을 구현하게 하는
적어도 하나의 컴퓨터 판독 가능한 저장 매체.
제 8 항에 있어서,
상기 명령은, 실행되면, 컴퓨터로 하여금, 상기 액세스 제어 속성을 인에이블하게 하는
적어도 하나의 컴퓨터 판독 가능한 저장 매체.
제 8 항에 있어서,
상기 명령은, 실행되면, 컴퓨터로 하여금,
상기 액세스 제어 속성이 상기 웹 콘텐츠에 영향을 미치지 않고 인에이블될 수 없음을 결정하고,
상기 웹 콘텐츠를 허용하지 않게 하는
적어도 하나의 컴퓨터 판독 가능한 저장 매체.
제 8 항에 있어서,
상기 명령은, 실행되면, 컴퓨터로 하여금, 사용자 통지를 생성하게 하고,
상기 사용자 통지는 상기 불능 상태의 식별 및 추천된 동작을 포함하는 것인
적어도 하나의 컴퓨터 판독 가능한 저장 매체.
웹 콘텐츠를 수신하는 브라우저 모듈과,
상기 웹 콘텐츠와 연관된 액세스 제어 속성을 검출하고, 불능 상태에 대한 상기 액세스 제어 속성을 모니터링하는 보안 매니저를 포함하는
장치.
제 12 항에 있어서,
상기 보안 매니저는,
상기 불능 상태를 검출하는 모니터 모듈과,
상기 불능 상태에 응답하여 액세스 정책을 결정하는 시행 모듈과,
상기 액세스 정책을 구현하는 콘텐츠 인터페이스를 포함하는
장치.
제 13 항에 있어서,
상기 콘텐츠 인터페이스는 상기 액세스 제어 속성을 인에이블하는 것인
장치.
제 13 항에 있어서,
상기 콘텐츠 인터페이스는, 상기 액세스 제어 속성이 상기 웹 콘텐츠에 영향을 미치지 않고 인에이블될 수 없음을 결정하고, 상기 웹 콘텐츠를 허용하지 않는
장치.
제 13 항에 있어서,
상기 시행 모듈은 사용자 통지를 생성하는 것이고,
상기 사용자 통지는 상기 불능 상태의 식별 및 추천된 동작을 포함하는 것인
장치.
제 16 항에 있어서,
상기 콘텐츠 인터페이스는 상기 사용자 통지에 대한 응답을 수신하고, 상기 응답에 기초하여 상기 액세스 제어 속성을 수정할지 여부를 결정하는
장치.
제 13 항에 있어서,
상기 장치는 정책 보관소를 더 포함하고,
상기 시행 모듈은,
상기 웹 콘텐츠와 연관된 하나 이상의 기능을 식별하는 기능 요소와,
상기 정책 보관소로부터 상기 액세스 정책의 적어도 일부를 검색하기 위해 상기 하나 이상의 기능을 이용하는 탐색 요소를 포함하는
장치.
제 13 항에 있어서,
상기 장치는 프로파일 보관소를 더 포함하고,
상기 시행 모듈은,
상기 불능 상태와 연관된 요청자 애플리케이션 신원을 식별하는 식별 요소와,
상기 정책 보관소로부터 상기 액세스 정책의 적어도 일부를 검색하기 위해 상기 요청자 애플리케이션 신원을 이용하는 탐색 요소를 포함하는
장치.
제 12 항 내지 제 19 항 중 어느 한 항에 있어서,
상기 보안 매니저는,
상기 웹 콘텐츠와 연관된 하나 이상의 기능을 주기적으로 테스트하는 테스트 요소와,
상기 액세스 제어 속성에 대하여 사용자 동작이 발생했는지 여부를 결정하는 사용자 요소와,
상기 액세스 제어 속성에 대응하는 브라우저 구성 설정이 변경되었는지 여부를 결정하는 구성 요소와,
상기 액세스 제어 속성에 관한 활동을 기록하는 로그 요소를 포함하는
장치.