KR20160010600A - 모바일 애플리케이션 관리를 위한 모바일 애플리케이션의 아이덴티티 검증 - Google Patents

모바일 애플리케이션 관리를 위한 모바일 애플리케이션의 아이덴티티 검증 Download PDF

Info

Publication number
KR20160010600A
KR20160010600A KR1020157035910A KR20157035910A KR20160010600A KR 20160010600 A KR20160010600 A KR 20160010600A KR 1020157035910 A KR1020157035910 A KR 1020157035910A KR 20157035910 A KR20157035910 A KR 20157035910A KR 20160010600 A KR20160010600 A KR 20160010600A
Authority
KR
South Korea
Prior art keywords
mobile
application
mobile application
access
management
Prior art date
Application number
KR1020157035910A
Other languages
English (en)
Other versions
KR101770417B1 (ko
Inventor
개리 바톤
총민 랑
제임스 알. 월커
Original Assignee
사이트릭스 시스템스, 인크.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 사이트릭스 시스템스, 인크. filed Critical 사이트릭스 시스템스, 인크.
Publication of KR20160010600A publication Critical patent/KR20160010600A/ko
Application granted granted Critical
Publication of KR101770417B1 publication Critical patent/KR101770417B1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/51—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems at application loading time, e.g. accepting, rejecting, starting or inhibiting executable software based on integrity or source reliability
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/53—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by executing in a restricted environment, e.g. sandbox or secure virtual machine
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/126—Applying verification of the received information the source of the received data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0643—Hash functions, e.g. MD5, SHA, HMAC or f9 MAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/30—Security of mobile devices; Security of mobile applications
    • H04W12/37—Managing security policies for mobile devices or for controlling mobile applications
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/033—Test or assess software
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2103—Challenge-response
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2115—Third party

Abstract

기업 자원들에의 액세스를 관리하는 방법이 제공된다. 액세스 관리자는 그 모바일 디바이스에 설치된 모바일 애플리케이션을 검증하기 위하여 모바일 디바이스에서 동작할 수 있다. 만일 액세스 관리자가 모바일 애플리케이션을 성공적으로 검증하지 못하면, 액세스 관리자는 모바일 애플리케이션이 컴퓨팅 자원에 액세스하는 것을 막을 수 있다. 만일 액세스 관리자가 모바일 애플리케이션을 성공적으로 검증하면, 액세스 관리자는 모바일 애플리케이션을 신뢰성 있는 모바일 애플리케이션으로서 식별할 수 있다. 액세스 관리자는 신뢰성 있는 모바일 애플리케이션이 컴퓨팅 자원에 액세스하는 것을 허용할 수 있다.

Description

모바일 애플리케이션 관리를 위한 모바일 애플리케이션의 아이덴티티 검증{VALIDATING THE IDENTITY OF A MOBILE APPLICATION FOR MOBILE APPLICATION MANAGEMENT}
[0001] 본 출원은 "VALIDATING THE IDENTITY OF A MOBILE APPLICATION FOR MOBILE APPLICATION MANAGEMENT"라는 명칭으로 2013년 5월 20일에 출원된 미국 출원번호 제13/898,167호의 우선권을 주장하며, 이 출원은 "Systems and Methods for Enterprise Mobility Management”라는 명칭으로 2013년 3월 29일에 출원된 미국 가특허 출원번호 제61/806,577호의 우선권을 주장한다.
[0002] 본원에서 설명된 양상들은 일반적으로 모바일 컴퓨팅 디바이스들의 모바일 애플리케이션들의 관리에 관한 것이다. 특히, 다양한 양상들은 비관리 디바이스에서 동작하는 모바일 애플리케이션을 검증하고 그 모바일 애플리케이션의 실행을 제어하는 접근법들을 제공한다.
[0003] 모바일 컴퓨팅 디바이스들의 사용은 계속해서 성장하고 있다. 특히, 회사 및 다른 기업들은 개인들이 다양한 컴퓨팅 자원들에 원격적으로 액세스하도록 하는데 있어서 모바일 컴퓨팅 디바이스들에 의존해 오고 있다. 이러한 자원들은 예컨대 전자 메일 서비스들, 파일 서비스들, 데이터, 및 기업의 컴퓨터 시스템들에 의해 또는 모바일 디바이스 그 자체에 의해 제공된 다른 전자 자원들을 포함할 수 있다.
[0004] 개인이 컴퓨팅 자원들에 대해 국부적으로 위치하던지 또는 원격적으로 위치하는지 간에, 기업은 그 컴퓨팅 자원들에 대한 액세스를 보호하고 제어하려고 노력하고 있다. 따라서, 기업은 개인이 액세스하도록 허가되고 자격이 부여된 자원들에만 개인이 액세스할 수 있도록 하기 위하여, 다양한 기술적 메커니즘들(예컨대, 게이트웨이들 및 방화벽들) 뿐만아니라 액세스 제어 메커니즘들(예컨대, 사용자 인증 및 허가)을 구현할 수 있다. 이러한 메커니즘들은 또한 허가되지 않은 개인들이 컴퓨팅 자원들 중 임의의 자원에 액세스하는 것을 방지할 수 있다.
[0005] 모바일 디바이스들에 대하여, 기업은 그 모바일 디바이스들로부터 컴퓨팅 자원들에 대한 원격 액세스를 제어하는 다양한 접근법들을 사용할 수 있다. 이러한 노력은 모바일 디바이스 관리로서 지칭될 수 있다. 하나의 접근법에서, 기업은 기업-소유 및 기업-통제 모바일 디바이스를 개인에게 제공할 수 있다. 이러한 디바이스는 기업이 모바일 디바이스의 구성, 기능, 동작 및 데이터를 제어하도록 구성될 수 있다. 이와 관련하여, 기업-제어 모바일 디바이스는 관리 디바이스(managed device)로서 지칭될 수 있다. 기업은 예컨대 클라이언트-서버 아키텍처를 통해 관리 디바이스를 원격적으로 제어할 수 있다. 기업 서버는 관리 디바이스에 상주하는 클라이언트 애플리케이션에 커맨드(command)들을 원격적으로 발행할 수 있다. 이러한 커맨드들은 예컨대 새로운 애플리케이션들 또는 기능을 설치하는 것, 기존 애플리케이션들 또는 기능을 업데이트하는 것, 구성 세팅들을 업데이트하는 것, 데이터를 제공하는 것 등을 포함할 수 있다. 만일 관리 디바이스가 분실되거나 또는 도난당하면, 기업은 허가받지 않은 개인이 디바이스에 대해 액세스하거나 또는 디바이스를 통해 자원들에 액세스하는 것을 막기 위하여 디바이스를 로크(lock)하거나 또는 와이프(wipe)하도록 커맨드들을 발행할 수 있다.
[0006] 그러나, 개인들은 기업-소유 모바일 디바이스들 뿐만아니라 개인 모바일 디바이스 둘다를 유지하는데 불편을 느낄 수 있다. 대신에, 개인들은 자신들의 개인 모바일 디바이스들에 의하여 자원들을 액세스하는 것을 선호할 수 있다. 이의 실행은 BYOD(bring-your-own-device)로서 지칭될 수 있다. 이들 개인 디바이스들이 기업에 의해 통제되지 않을 수 있기 때문에, 이러한 개인 디바이스들은 비관리 디바이스들로서 지칭될 수 있다. 이러한 선호도에 부응하기 위하여, 비관리 디바이스들이 이들 자원들에 액세스하도록 하는 솔루션들은 현재 개발중에 있다.
[0007] 예컨대, 기업-통제 모바일 애플리케이션을 제공할지도, 비관리 디바이스에서 동작하도록 구성되는 관리 모바일 애플리케이션은 현재 개발중인 하나의 접근법이다. 그러나, 난제들이 아직 남아있다. 비관리 디바이스상에서 동작하는 관리 모바일 애플리케이션들이 실행가능한 접근법이 되도록 하기 위하여, 관리 모바일 애플리케이션을 통해 허가 받지 않고 자원들에 액세스하거나 또는 허가 받지 않고 이 자원들을 사용하는 것을 막는 메커니즘들이 필요할 수 있다. 특히, 자원들을 보호하는 보안 메커니즘들을 회피하기 위하여 관리 모바일 애플리케이션이 변경되도록 하기 위하여 관리 모바일 애플리케이션의 아이덴티티를 검증할 필요성이 있다. 더욱이, 비관리 모바일 디바이스의 관리 모바일 애플리케이션의 동작을 제어할 필요성이 있다.
[0008] 하기의 설명은 본원에 설명된 다양한 양상들의 간략화된 요약을 제시한다. 이러한 요약은 포괄적인 개요가 아니며, 중요하거나 핵심적인 엘리먼트들을 식별하거나, 청구항들의 범위를 서술하고자 할 의도도 아니다. 하기의 요약은 단순히 아래에서 제공되는 상세한 설명에 대한 도입부로서 간략화된 형태로 일부 개념들을 제시한다.
[0009] 앞서 설명된 종래기술의 한계들을 극복하고 본 명세서를 읽고 이해할 때 명백하게 될 다른 한계들을 극복하기 위하여, 본원에서 설명된 양상들은 모바일 컴퓨팅 디바이스들의 관리 모바일 애플리케이션들을 사용하여 기업 컴퓨팅 시스템에 위치한 원격 컴퓨팅 자원들에 대한 액세스를 제어하는 것에 관한 것이다. 더욱이, 본 개시내용의 양상들은 모바일 컴퓨팅 디바이스들 그 자체의 국부 컴퓨팅 자원들에 대한 액세스를 제어하는 것에 관한 것이다. 액세스 관리자는 컴퓨팅 자원들에 대한 액세스를 요청하는 모바일 애플리케이션이 그 자체를 정확하게 식별하였고 모바일 컴퓨팅 디바이스에 설치된 이후에 나중에 변경되지 않았는지의 여부를 결정하는 검증 프로세스(validation process)를 수행할 수 있다. 이러한 방식으로, 액세스 관리자는 컴퓨팅 자원에 대한 액세스를 요청하는 모바일 애플리케이션이 신뢰성이 있을 수 있고 그 자원들을 보호하기 위하여 사용되는 보안 메커니즘들을 회피하는 것을 시도하지 않음을 보장할 수 있다. 결과적으로, 기업과 연관된 개인들은 자신들의 개인 모바일 디바이스들로 원격 및 국부 컴퓨팅 자원들을 유리하게 활용할 수 있다.
[0010] 본원에서 설명된 제 1 양상은 기업 자원들에의 액세스를 관리하는 방법을 제공한다. 액세스 관리자는 그 모바일 디바이스에 설치된 모바일 애플리케이션을 검증하도록 모바일 디바이스에서 동작할 수 있다. 만일 액세스 관리자가 모바일 애플리케이션을 성공적으로 검증하지 못하면, 액세스 관리자는 모바일 애플리케이션이 컴퓨팅 자원에 액세스하는 것을 막을 수 있다. 만일 액세스 관리자가 모바일 애플리케이션을 성공적으로 검증하면, 액세스 관리자는 모바일 애플리케이션을 신뢰성 있는 모바일 애플리케이션으로서 식별할 수 있다. 따라서, 액세스 관리자는 신뢰성 있는 모바일 애플리케이션이 컴퓨팅 자원에 액세스하는 것을 허용할 수 있다.
[0011] 본원에서 설명된 제 2 양상은 모바일 컴퓨팅 디바이스를 제공한다. 모바일 컴퓨팅 디바이스는 컴퓨팅 자원에 액세스하도록 구성된 모바일 애플리케이션, 모바일 애플리케이션과 연관된 저장된 식별 정보 및 액세스 관리자를 포함할 수 있다. 액세스 관리자는, 앞서 설명된 바와같이, 모바일 애플리케이션을 검증하고 컴퓨팅 자원에 대한 액세스를 차단하거나 또는 허용하도록 구성될 수 있다.
[0012] 본원에서 설명된 제 3 양상은 모바일 디바이스에서 동작하도록 구성된 액세스 관리자를 제공한다. 앞서 설명된 바와같이, 액세스 관리자는 또한 모바일 디바이스의 모바일 애플리케이션을 검증하고 모바일 애플리케이션을 통해 컴퓨팅 자원에 대한 액세스를 차단하거나 또는 허용하도록 구성될 수 있다. 액세스 관리자는 모바일 애플리케이션에 저장된 애플리케이션 정책에 기초하여 모바일 애플리케이션의 동작을 제어하도록 추가로 구성될 수 있다.
[0013] 본원에서 설명된 일부 양상들은 저장된 식별 정보가 모바일 애플리케이션과 연관되고 이와 함께 생성된 원래의 디지털 인증서일 수 있음을 제공한다. 액세스 관리자는 모바일 컴퓨팅 디바이스의 모바일 운영 체제로부터 수신된 디지털 인증서와 모바일 애플리케이션에 대하여 생성된 원래의 디지털 인증서를 비교함으로써 모바일 애플리케이션을 검증할 수 있다. 컴퓨팅 자원들은 모바일 컴퓨팅 디바이스에 대하여 국부적으로 또는 원격적으로 위치할 수 있다. 컴퓨팅 자원들의 예들은 모바일 컴퓨팅 디바이스 또는 원격 컴퓨팅 시스템에서 동작하는 소프트웨어 애플리케이션, 모바일 컴퓨팅 디바이스 또는 원격 컴퓨팅 시스템에 의해 제공된 서비스, 모바일 컴퓨팅 디바이스 또는 원격 컴퓨팅 시스템에 저장된 데이터, 모바일 컴퓨팅 디바이스 또는 원격 컴퓨팅 시스템의 하드웨어 또는 이들의 조합을 포함한다.
[0014] 저장된 식별 정보는 또한 생성시 모바일 애플리케이션에 임베딩된(embedded) 또는 모바일 애플리케이션으로부터 유도된 식별 토큰들일 수 있다. 애플리케이션 서명은 임베딩되고 유도된 식별 토큰들의 배열(arrangement)에 기초하여 구성될 수 있다. 액세스 관리자는 또한 검증 동안 넌스(nonce)를 모바일 애플리케이션에 제공하고, 애플리케이션 서명 및 넌스를 사용하여, 예상된 해시값을 컴퓨팅하는데 넌스를 사용할 수 있다. 액세스 관리자는 예상 응답, 예컨대 예상 해시값을 생성하여, 액세스 관리자로부터의 챌린지(challenge) 이후에 모바일 애플리케이션으로부터 수신된 응답과 예상 응답을 비교할 수 있다.
[0015] 이들 및 추가 양상들은 이하에서 더 상세히 논의되는 개시내용들의 장점과 함께 인식될 것이다.
[0016] 본원에서 설명된 양상들 및 이의 장점들은 유사한 참조 부호들이 유사한 특징들을 표시하는 첨부 도면들을 고려하여 이하의 상세한 설명을 참조함으로써 더 완전하게 이해될 수 있다.
[0017] 도 1은 본원에서 설명된 하나 이상의 예시적인 양상들에 따라 사용될 수 있는 예시적인 컴퓨터 시스템 아키텍처를 도시한다.
[0018] 도 2는 본원에서 설명된 하나 이상의 예시적인 양상들에 따라 사용될 수 있는 예시적인 원격-액세스 시스템 아키텍처를 도시한다.
[0019] 도 3은 본원에서 설명된 하나 이상의 예시적인 양상들에 따라 사용될 수 있는 예시적인 가상화(하이퍼바이저) 시스템 아키텍처를 도시한다.
[0020] 도 4는 본원에서 설명된 하나 이상의 예시적인 양상들에 따라 사용될 수 있는 예시적인 클라우드-기반 시스템 아키텍처를 도시한다.
[0021] 도 5는 예시적인 기업 모빌리티 관리 시스템을 도시한다.
[0022] 도 6은 다른 예시적인 기업 모빌리티 관리 시스템을 도시한다.
[0023] 도 7은 예시적인 모바일 디바이스 관리 시스템을 도시한다.
[0024] 도 8은 관리 모바일 애플리케이션에 대한 예시적인 애플리케이션 서명 및 챌린지 응답의 블록도를 도시한다.
[0025] 도 9는 비관리 모바일 디바이스의 모바일 애플리케이션을 관리하기 위한 예시적인 방법 단계들의 흐름도이다.
[0026] 도 10은 비관리 모바일 디바이스에서 관리 동작을 위한 관리 모바일 애플리케이션을 준비하기 위한 예시적인 방법 단계들의 흐름도이다.
[0027] 도 11은 비관리 모바일 디바이스에서 관리 모바일 애플리케이션을 초기화하기 위한 예시적인 방법 단계들의 흐름도이다.
[0028] 도 12는 제 1 타입의 모바일 운영 체제를 가진 비관리 모바일 디바이스에서 관리 모바일 애플리케이션을 검증하기 위한 예시적인 방법 단계들의 흐름도이다.
[0029] 도 13은 제 2 타입의 모바일 운영 체제를 가진 비관리 모바일 디바이스에서 관리 모바일 애플리케이션을 검증하기 위한 예시적인 방법 단계들의 흐름도이다.
[0030] 도 14는 관리 모바일 애플리케이션의 동작 동안 애플리케이션 정책들을 시행하기 위한 예시적인 방법 단계들의 흐름도이다.
[0031] 다양한 실시예들의 이하의 설명에서는 실시예의 일부분을 형성하며, 본원에서 설명된 양상들이 실시될 수 있는 예시적인 다양한 실시예들이 도시되는 앞서 식별된 첨부 도면들을 참조한다. 본원에서 설명된 범위로부터 벗어나지 않고, 다른 실시예들이 활용될 수 있고 구성 및 기능이 수정될 수 있다는 것이 이해되어야 한다. 다양한 양상들은 다른 실시예들을 가능하게 하며 다양한 상이한 방식들로 실시되거나 또는 수행될 수 있다.
[0032] 이하에서 상세히 설명된 요지에 대한 총론으로서, 본원에서 설명된 양상들은 원격적으로 위치한 기업 컴퓨팅 시스템에서 또는 모바일 컴퓨팅 디바이스들 그 자체에서 컴퓨팅 자원들에 대한 원격 및 국부 액세스를 제어하는 것에 관한 것이다. 액세스 관리자는 컴퓨팅 자원들에 대한 액세스를 요청하는 모바일 애플리케이션이 그 자체를 정확하게 식별하였고 모바일 컴퓨팅 디바이스에 설치된 이후 나중에 변경되지 않았는지의 여부를 결정하는 검증 프로세스를 수행할 수 있다. 이러한 방식으로, 액세스 관리자는 컴퓨팅 자원에 대한 액세스를 요청하는 모바일 애플리케이션이 신뢰성이 있을 수 있고 그 자원들을 보호하기 위하여 사용되는 보안 메커니즘들을 회피하는 것을 시도하지 않음을 보장할 수 있다. 결과적으로, 기업과 연관된 개인들은 자신들의 개인 모바일 디바이스들로 컴퓨팅 자원들을 유리하게 활용할 수 있다. 컴퓨팅 자원들은 모바일 컴퓨팅 디바이스에 대해 국부적으로 또는 원격적으로 위치할 수 있다. 컴퓨팅 자원들의 예들은 모바일 컴퓨팅 디바이스 또는 원격 컴퓨팅 시스템에서 동작하는 소프트웨어 애플리케이션, 모바일 컴퓨팅 디바이스 또는 원격 컴퓨팅 시스템에 의해 제공되는 서비스, 모바일 컴퓨팅 디바이스 또는 원격 컴퓨팅 시스템에 저장된 데이터, 모바일 컴퓨팅 디바이스 또는 원격 컴퓨팅 시스템의 하드웨어, 및 이들의 조합들을 포함한다. 본 개시내용에서, 기업의 컴퓨팅 시스템에 원격적으로 위치한 컴퓨팅 자원들은 기업 자원들로서 지칭된다.
[0033] 본원에서 사용되는 어법 및 전문용어가 설명을 위한 것이며 제한으로서 간주되지 않아야 한다는 것이 이해되어야 한다. 오히려, 본원에서 사용되는 문구들 및 용어들은 그들의 가장 넓은 해석 및 의미가 부여되어야 한다. "포함하는" 및 "구성하는" 및 이의 변형들의 사용은 이후에 리스트되는 항목들 및 이의 균등물들 뿐만아니라 추가 항목들 및 이의 균등물들을 포함하는 것으로 의미된다. "장착되는", "연결되는", "커플링되는", "포지셔닝되는", "연동되는"이라는 용어들 및 유사한 용어들의 사용은 직접적으로 및 간접적으로 장착하는, 연결하는, 커플링하는, 포지셔닝하는 및 연동하는 것을 포함하는 것으로 의도된다.
[0034] 컴퓨팅 아키텍처
[0035] 컴퓨터 소프트웨어, 하드웨어 및 네트워크들은 특히 스탠드얼론(standalone), 네트워크화, 원격-액세스(원격 데이크탑으로도 알려짐), 가상화 및/또는 클라우드-기반 환경들을 비롯하여 다양한 상이한 시스템 환경들에서 활용될 수 있다. 도 1은 스탠드얼론 및/또는 네트워크화 환경에서, 본 개시내용의 하나 이상의 예시적인 양상들을 구현하기 위하여 사용될 수 있는 시스템 아키텍처 및 데이터 프로세싱 디바이스의 일례를 예시한다. 다양한 네트워크 노드들(103, 105, 107 및 109)은 광역 통신망(WAN)(101), 예컨대 인터넷을 통해 상호 연결될 수 있다. 사설 인트라넷들, 기업 네트워크들, LAN들, 도시권 통신망(MAN), 무선 네트워크들, 개인 네트워크(PAN)들 등을 포함하는 다른 네트워크들이 또한 또는 대안적으로 사용될 수 있다. 네트워크(101)는 예시적 목적이며, 더 적은 수의 컴퓨터 네트워크들로 또는 더 많은 수의 컴퓨터 네트워크들로 대체될 수 있다. 근거리 통신망(LAN)은 임의의 공지된 LAN 토폴로지 중 하나 이상을 가질 수 있으며, 이더넷과 같은 다양한 상이한 프로토콜들 중 하나 이상을 사용할 수 있다. 디바이스들(103, 105, 107, 109) 및 다른 디바이스들(도시안됨)은 트위스트 페어 와이어들, 동축 케이블, 광섬유들, 라디오 파들 또는 다른 통신 매체를 통해 네트워크들 중 하나 이상의 네트워크에 연결될 수 있다.
[0036] 본원에서 사용되고 도면들에 도시된 바와같은 "네트워크"란 용어는 원격 저장 디바이스들이 하나 이상의 통신 경로들을 통해 함께 커플링되는 시스템들 뿐만아니라 가끔씩 저장 능력을 가지는 이러한 시스템들에 커플링될 수 있는 스탠드-얼론 디바이스들을 지칭한다. 결과적으로, 용어 "네트워크"는 "물리적 네트워크" 뿐만아니라 "콘텐츠 네트워크"를 포함하며, "콘텐츠 네트워크"는 모든 물리적 네트워크들에 걸쳐 상주하는 데이터로 구성되며, 단일 엔티티로 여겨질 수 있다.
[0037] 컴포넌트들은 데이터 서버(103), 웹 서버(105) 및 클라이언트 컴퓨터들(107, 109)을 포함할 수 있다. 데이터 서버(103)는 본원에서 설명된 개시내용의 하나 이상의 예시적인 양상들을 수행하기 위한 제어 소프트웨어 및 데이터베이스들의 전체 액세스, 제어 및 관리를 제공한다. 데이터 서버(103)는 웹 서버(105)에 연결될 수 있으며, 웹 서버(105)를 통해 사용자들은 요청된 데이터와 상호작용하여 이 데이터를 획득한다. 대안적으로, 데이터 서버(103)는 그 자체적으로 웹 서버로서 작용할 수 있고 인터넷에 직접 연결될 수 있다. 데이터 서버(103)는 네트워크(101)(예컨대, 인터넷)를 통해, 직접 또는 간접 연결을 통해 또는 일부 다른 네트워크를 통해 웹 서버(105)에 연결될 수 있다. 사용자들은 웹 서버(105)에 의해 호스팅되는 하나 이상의 외부적으로 노출된 웹 사이트들을 통해 데이터 서버(103)에 연결하기 하여 원격 컴퓨터들(107, 109)을 사용하여, 예컨대 웹 브라우저들을 사용하여 데이터 서버(103)와 상호작용할 수 있다. 클라이언트 컴퓨터들(107, 109)은 데이터 서버(103)에 저장된 데이터에 액세스하기 위하여 데이터 서버(103)와 협력하여 사용될 수 있거나 또는 다른 목적들을 위해 사용될 수 있다. 예컨대, 클라이언트 디바이스(107)로부터, 사용자는 기술분야에서 공지된 인터넷 브라우저를 사용하여 또는 컴퓨터 네트워크(예컨대, 인터넷)를 통해 웹 서버(105) 및/또는 데이터 서버(103)와 통신하는 소프트웨어 애플리케이션을 실행함으로써 웹 서버(105)에 액세스할 수 있다.
[0038] 서버들 및 애플리케이션들은 동일한 물리적 머신들상에서 결합될 수 있고, 개별적인 가상 또는 논리 어드레스들을 보유할 수 있거나 또는 개별 물리 머신들상에 상주할 수 있다. 도 1은 사용될 수 있는 네트워크 아키텍처의 단지 하나의 예를 예시하며, 당업자는, 본원에서 추가로 설명되는 바와같이, 사용된 특정 네트워크 아키텍처 및 데이터 프로세싱 디바이스들이 변경될 수 있으며, 이들이 제공하는 기능이 부차적이라는 것을 인식할 것이다. 예컨대, 웹 서버(105) 및 데이터 서버(103)에 의해 제공되는 서비스들은 단일 서버상에서 결합될 수 있다.
[0039] 각각의 컴포넌트(103, 105, 107, 109)는 임의의 타입의 공지된 컴퓨터, 서버 또는 데이터 프로세싱 디바이스일 수 있다. 데이터 서버(103)는 예컨대 레이트 서버(rate server)(103)의 전체 동작을 제어하는 프로세서(111)를 포함할 수 있다. 데이터 서버(103)는 RAM(113), ROM(115), 네트워크 인터페이스(117), 입력/출력 인터페이스들(119)(예컨대, 키보드, 마우스, 디스플레이, 프린터 등) 및 메모리(121)를 더 포함할 수 있다. I/O(119)는 데이터 또는 파일들을 판독하고, 기록하며, 디스플레이하며 그리고/또는 프린트하기 위한 다양한 인터페이스 유닛들 및 드라이브들을 포함할 수 있다. 메모리(121)는 데이터 프로세싱 디바이스(103)의 전체 동작을 제어하기 위한 운영 체제 소프트웨어(123), 본원에서 설명된 개시내용의 양상들을 수행하도록 데이터 서버(103)에 명령하기 위한 제어 로직(125), 및 본 개시내용의 양상들과 함께 사용될 수 있거나 또는 본원에서 설명된 양상들과 함께 사용되지 않을 수 있는 2차 기능, 지원 기능 및/또는 다른 기능을 제공하는 다른 애플리케이션 소프트웨어(127)를 추가로 저장할 수 있다. 제어 로직은 또한 데이터 서버 소프트웨어(125)로서 본원에서 지칭될 수 있다. 데이터 서버 소프트웨어의 기능은 제어 로직으로 코딩된 규칙들에 기초하여 자동적으로 만들어지거나 또는 사용자가 시스템내에 입력을 제공함으로써 수동적으로 만들어지거나 또는 사용자 입력(예컨대, 질의들, 데이터 업데이트들 등)에 기초한 자동 프로세싱의 조합으로 만들어진 동작들 또는 결정들을 지칭할 수 있다.
[0040] 제 1 데이터베이스(129) 및 제 2 데이터베이스(131)를 포함하는 메모리(121)는 또한 본 개시내용의 하나 이상의 양상들의 수행시에 사용되는 데이터를 저장할 수 있다. 일부 실시예들에서, 제 1 데이터베이스는 (예컨대, 개별 테이블, 보고 등으로서) 제 2 데이터베이스를 포함할 수 있다. 즉, 시스템 설계에 따라, 정보는 단일 데이터베이스에 저장될 수 있거나 또는 상이한 논리적, 가상적 또는 물리적 데이터베이스들로 분리될 수 있다. 디바이스들(105, 107, 109)은 디바이스(103)와 관련하여 설명된 것과 유사한 또는 상이한 아키텍처를 가질 수 있다. 당업자는 본원에서 설명된 데이터 프로세싱 디바이스(103)(또는 디바이스들(105, 107, 109))의 기능이 예컨대 다수의 컴퓨터들에 걸쳐 프로세싱 로드를 분배하기 위하여, 즉 지리적 위치, 사용자 액세스 레벨, 서비스 품질(QoS) 등에 기초하여 트랜잭션(transaction)들을 분리하기 위하여, 다수의 데이터 프로세싱 디바이스들에 걸쳐 분산될 수 있다는 것을 인식할 것이다.
[0041] 하나 이상의 양상들은 본원에서 설명되는 바와같이 컴퓨터-사용가능 또는 판독가능 데이터 및/또는 컴퓨터-실행가능 명령들로, 예컨대 하나 이상의 컴퓨터들 또는 다른 디바이스들에 의해 실행되는 하나 이상의 프로그램 모듈들로 구현될 수 있다. 일반적으로, 프로그램 모듈들은 컴퓨터 또는 다른 디바이스의 프로세서에 의해 실행될 때 특정 태스크(task)들을 수행하거나 또는 특정 추상 데이터 타입들을 구현하는 루틴들, 프로그램들, 객체들, 컴포넌트들, 데이터 구조들 등을 포함한다. 모듈들은 실행을 위해 나중에 컴파일링되는 소스 코드 프로그래밍 언어로 쓰여질 수 있거나 또는 HTML 또는 XML와 같은 (그러나, 이에 제한되지 않음) 스크립팅 언어(scripting language)로 쓰여질 수 있다. 컴퓨터 실행가능 명령들은 비휘발성 저장 디바이스와 같은 컴퓨터 판독가능 매체상에 저장될 수 있다. 하드 디스크들, CD-ROM들, 광 저장 디바이스들, 자기 저장 디바이스들 및/또는 이들의 임의의 조합을 포함하는 임의의 적절한 컴퓨터 판독가능 저장 매체가 활용될 수 있다. 더욱이, 본원에서 설명된 바와 같은 데이터 또는 이벤트들을 나타내는 다양한 전송(비-저장) 매체는 금속 와이어들, 광섬유들, 및/또는 무선 전송 매체(예컨대, 에어(air) 및/또는 공간)와 같은 신호-전도 매체(signal-conducting media)를 통해 이동하는 전자기 파들의 형태로 소스와 목적지사이에서 이동될 수 있다. 본원에서 설명된 다양한 양상들은 방법, 데이터 프로세싱 시스템 또는 컴퓨터 프로그램 제품으로서 구현될 수 있다. 따라서, 다양한 기능은 소프트웨어, 펌웨어 및/또는 하드웨어 또는 하드웨어 균등물들, 예컨대 집적회로들, 필드 프로그램가능 게이트 어레이(FPGA)들 등으로 전체적으로 또는 부분적으로 구현될 수 있다. 특정 데이터 구조들이 개시내용의 하나 이상의 양상들을 더 효과적으로 구현하기 위하여 사용될 수 있으며, 이러한 데이터 구조들은 본원에서 설명된 컴퓨터 실행가능 명령들 및 컴퓨터-사용가능 데이터의 범위내에 있는 것으로 고려된다.
[0042] 도 2를 추가로 참조하면, 본원에서 설명된 하나 이상의 양상들은 원격-액세스 환경에서 구현될 수 있다. 도 2는 본원에서 설명된 하나 이상의 예시적인 양상들에 따라 사용될 수 있는 예시적인 컴퓨팅 환경(200)의 범용 컴퓨팅 디바이스(201)를 포함하는 예시적인 시스템 아키텍처를 도시한다. 범용 컴퓨팅 디바이스(201)는 클라이언트 액세스 디바이스들에 가상 머신들을 제공하도록 구성된 단일-서버 또는 멀티-서버 데스크탑 가상화 시스템(예컨대, 원격 액세스 또는 클라우드 시스템)에서 서버(206a)로서 사용될 수 있다. 범용 컴퓨팅 디바이스(201)는 랜덤 액세스 메모리(RAM)(205), 판독-전용 메모리(ROM)(207), 입력/출력(I/O) 모듈(209) 및 메모리(215)를 비롯하여 서버 및 이와 연관된 컴포넌트들의 전체 동작을 제어하기 위한 프로세서(203)를 가질 수 있다.
[0043] I/O 모듈(209)은 마우스, 키패드, 터치 스크린, 스캐너, 광 판독기, 및/또는 스타일러스(또는 다른 입력 디바이스(들)) ― 이를 통해 범용 컴퓨팅 디바이스(201)의 사용자는 입력을 제공할 수 있음 ―를 포함할 수 있으며, 또한 오디오 출력을 제공하기 위한 스피커 및 문자, 시청각 및/또는 그래픽 출력을 제공하기 위한 비디오 디스플레이 디바이스 중 하나 이상을 포함할 수 있다. 소프트웨어는 본원에서 설명된 바와 같은 다양한 기능들을 수행하기 위하여 범용 컴퓨팅 디바이스(201)를 특수 목적 컴퓨팅 디바이스로 구성하기 위한 명령들을 프로세서(203)에 제공하도록 메모리(215) 및/또는 다른 스토리지내에 저장될 수 있다. 예컨대, 메모리(215)는 컴퓨팅 디바이스(201)에 의해 사용된 소프트웨어, 예컨대 운영 체제(217), 애플리케이션 프로그램들(219) 및 연관된 데이터베이스(221)를 저장할 수 있다.
[0044] 컴퓨팅 디바이스(201)는 단말들(240)(또한 클라이언트 디바이스들로 지칭됨)과 같은 하나 이상의 원격 컴퓨터들에의 연결들을 지원하는 네트워크화 환경에서 동작할 수 있다. 단말들(240)은 범용 컴퓨팅 디바이스(103 또는 201)와 관련하여 앞서 설명된 엘리먼트들 모두 또는 많은 엘리먼트들을 포함하는, 퍼스널 컴퓨터들, 모바일 디바이스들, 랩탑 컴퓨터들, 태블릿들 또는 서버들일 수 있다. 도 2에 도시된 네트워크 연결들은 근거리 통신망(LAN)(225) 및 광역 통신망(WAN)(229)을 포함하나, 또한 다른 네트워크들을 포함할 수 있다. LAN 네트워킹 환경에서 사용될 때, 컴퓨팅 디바이스(201)는 네트워크 인터페이스 또는 어댑터(223)를 통해 LAN(225)에 연결될 수 있다. WAN 네트워킹 환경에서 사용될 때, 컴퓨팅 디바이스(201)는 모뎀(227), 또는 컴퓨터 네트워크(230)(예컨대, 인터넷)와 같이 WAN(229)를 통해 통신들을 설정하기 위한 다른 광역 네트워크 인터페이스를 포함할 수 있다. 도시된 네트워크 연결들이 예시적이며 컴퓨터들 사이에 통신 링크를 설정하는 다른 수단이 사용될 수 있다는 것이 인식될 것이다. 컴퓨팅 디바이스(201) 및/또는 단말들(240)은 또한 배터리, 스피커, 및 안테나들(도시안됨)과 같은 다양한 다른 컴포넌트들을 포함하는 모바일 단말들(예컨대, 모바일 폰들, 스마트폰들, PDA들, 노트북들 등)일 수 있다.
[0045] 본원에서 설명된 양상들은 또한 다수의 다른 범용 또는 특수 목적 컴퓨팅 시스템 환경들 또는 구성들로 운용가능할 수 있다. 본원에서 설명된 양상들과 함께 사용하기에 적합할 수 있는 다른 컴퓨팅 시스템들, 환경들 및/또는 구성들의 예들은 퍼스널 컴퓨터들, 서버 컴퓨터들, 핸드-헬드 또는 랩탑 디바이스들, 멀티프로세서 시스템들, 마이크로프로세서-기반 시스템들, 셋톱 박스들, 프로그램가능 가전제품들, 네트워크 PC들, 미니컴퓨터들, 메인프레임 컴퓨터들, 앞의 시스템들 또는 디바이스들 중 임의의 것을 포함하는 분산형 컴퓨팅 환경들 등을 포함하나 이들에 제한되지 않는다.
[0046] 도 2에 도시된 바와같이, 하나 이상의 클라이언트 디바이스들(240)은 하나 이상의 서버들(206a-206n)(일반적으로 본원에서 "서버(들)(206)"로 지칭됨)과 통신할 수 있다. 일 실시예에서, 컴퓨팅 환경(200)은 서버(들)(206)와 클라이언트 머신(들)(240) 사이에 설치된 네트워크 어플라이언스(appliance)를 포함할 수 있다. 네트워크 어플라이언스는 클라이언트/서버 연결들을 관리할 수 있으며, 일부 경우들에서 복수의 백엔드 서버들(206) 사이의 클라이언트 연결들을 로드 밸런싱할 수 있다.
[0047] 클라이언트 머신(들)(240)은 일부 실시예들에서 단일 클라이언트 머신(240) 또는 클라이언트 머신들(240)의 단일 그룹으로 지칭될 수 있는 반면에, 서버(들)(206)는 단일 서버(206) 또는 서버들(206)의 단일 그룹으로 지칭될 수 있다. 일 실시예에서, 단일 클라이언트 머신(240)은 2개 이상의 서버(206)와 통신하는 반면에, 다른 실시예에서 단일 서버(206)는 2개 이상의 클라이언트 머신(240)과 통신한다. 또 다른 실시예에서, 단일 클라이언트 머신(240)은 단일 서버(206)와 통신한다.
[0048] 일부 실시예들에서, 클라이언트 머신(240)은 이하의 비-포괄적인 용어들, 즉 클라이언트 머신(들); 클라이언트(들); 클라이언트 컴퓨터(들); 클라이언트 디바이스(들); 클라이언트 컴퓨팅 디바이스(들); 로컬 머신; 원격 머신; 클라이언트 노드(들); 엔드포인트(들) 또는 엔드포인트 노드(들) 중 어느 하나로 참조될 수 있다. 일부 실시예들에서, 서버(206)는 이하의 비-포괄적인 용어들, 즉 서버(들); 로컬 머신; 원격 머신; 서버 팜(들) 또는 호스트 컴퓨팅 디바이스(들) 중 어느 하나로 참조될 수 있다.
[0049] 일 실시예에서, 클라이언트 머신(240)은 가상 머신일 수 있다. 가상 머신은 임의의 가상 머신일 수 있는 반면에, 일부 실시예들에서, 가상 머신은 타입 1 또는 타입 2 하이퍼바이저(hypervisor), 예컨대 Citrix Systems, IBM, VMware에 의해 개발된 하이퍼바이저 또는 임의의 다른 하이퍼바이저에 의해 관리되는 임의의 가상 머신일 수 있다. 일부 양상들에서, 가상 머신은 하이퍼바이저에 의해 관리될 수 있는 반면에, 양상들에서 가상 머신은 서버(206)상에서 실행되는 하이퍼바이저 또는 클라이언트(240)상에서 실행되는 하이퍼바이저에 의해 관리될 수 있다.
[0050] 일부 실시예들은 서버(206)상에서 원격적으로 실행되는 애플리케이션 또는 다른 원격적으로 위치한 머신에 의해 생성되는 애플리케이션 출력을 디스플레이하는 클라이언트 디바이스(240)를 포함한다. 이들 실시예들에서, 클라이언트 디바이스(240)는 애플리케이션 윈도우, 브라우저 또는 다른 출력 윈도우의 출력을 디스플레이하기 위하여 가상 머신 수신기 프로그램 또는 애플리케이션을 실행할 수 있다. 일례에서 애플리케이션은 데스크탑인 반면에, 다른 예들에서 애플리케이션은 데스크탑을 생성하거나 또는 제시하는 애플리케이션이다. 데스크탑은 로컬 및/또는 원격 애플리케이션들이 통합될 수 있는 운영 체제의 인스턴스(instance)에 대한 사용자 인터페이스를 제공하는 그래픽 쉘(graphical shell)을 포함할 수 있다. 본원에서 설명된 바와같은 애플리케이션들은 운영 체제(그리고, 또한 선택적으로 데스크탑)의 인스턴스가 로드된 후 실행되는 프로그램들이다.
[0051] 일부 실시예들에서, 서버(206)는 서버(206)상에서 실행되는 애플리케이션에 의해 생성되는 디스플레이 출력을 제시하기 위하여 클라이언트상에서 실행되는 씬-클라이언트(thin-client) 또는 원격-디스플레이 애플리케이션에 데이터를 송신하기 위하여 원격 프리젠테이션 프로토콜 또는 다른 프로그램을 사용한다. 씬-클라이언트 또는 원격-디스플레이 프로토콜은 프로토콜들의 이하의 비-포괄적인 리스트, 즉 플로리다, 포트 로더데일에 위치한 Citrix Systems, Inc.에 의해 개발된 ICA(Independent Computing Architecture) 프로토콜 또는 워싱턴 레드몬드에 위치한 Microsoft Corporation에 의해 제조된 RDP(Remote Desktop Protocol) 중 어느 하나일 수 있다.
[0052] 원격 컴퓨팅 환경은 예컨대 클라우드 컴퓨팅 환경에서 서버들(206a-206n)이 서버 팜(206)으로 논리적으로 함께 그룹핑되도록 2개 이상의 서버(206a-206n)를 포함할 수 있다. 서버 팜(206)은 지리적으로 분산된 반면에 함께 논리적으로 그룹핑되는 서버들(206) 또는 서로 근접하게 배치되는 반면에 함께 논리적으로 그룹핑되는 서버들(206)을 포함할 수 있다. 일부 실시예들에서, 서버 팜(206) 내의 지리적으로 분산된 서버들(206a-206n)은 WAN(광역), MAN(대도시) 또는 LAN(지역)을 사용하여 통신할 수 있으며, 여기서 상이한 지리적 지역들은 상이한 대륙들; 상이한 대륙 지역들; 상이한 국가들; 상이한 주들; 상이한 도시들; 상이한 캠퍼스들; 상이한 방들; 또는 전술한 지리적 위치들의 임의의 조합으로 특징지워질 수 있다. 일부 실시예들에서 서버 팜(206)은 단일 엔티티로서 관리될 수 있는 반면에, 다른 실시예들에서 서버 팜(206)은 다수의 서버 팜들을 포함할 수 있다.
[0053] 일부 실시예들에서, 서버 팜은 실질적으로 유사한 타입의 운영 체제 플랫폼(예컨대, WINDOWS, UNIX, LINUX, iOS, ANDROID, SYMBIAN 등)을 실행하는 서버들(206)을 포함할 수 있다. 다른 실시예들에서, 서버 팜(206)은 제 1 타입의 운영 체제 플랫폼을 실행하는 하나 이상의 서버들의 제 1 그룹 및 제 2 타입의 운영 체제 플랫폼을 실행하는 하나 이상의 서버들의 제 2 그룹을 포함할 수 있다.
[0054] 서버(206)는 필요에 따라 임의의 타입의 서버로서, 예컨대 파일 서버, 애플리케이션 서버, 웹 서버, 프록시 서버, 어플라이언스, 네트워크 어플라이언스, 게이트웨이, 애플리케이션 게이트웨이, 게이트웨이 서버, 가상화 서버, 전개 서버, SSL VPN 서버, 방화벽, 웹 서버, 애플리케이션 서버로서, 또는 마스터 애플리케이션 서버, 액티브 디렉토리를 실행하는 서버, 또는 방화벽 기능, 애플리케이션 기능 또는 로드 밸런싱 기능을 제공하는 애플리케이션 가속 프로그램을 실행하는 서버로서 구성될 수 있다. 다른 서버 타입들이 또한 사용될 수 있다.
[0055] 일부 실시예들은 클라이언트 머신(240)으로부터의 요청들을 수신하며, 제 2 서버(106b)에 요청을 포워드하며 그리고 제 2 서버(106b)로부터의 응답으로 클라이언트 머신(240)에 의해 생성되는 요청에 응답하는 제 1 서버(106a)를 포함한다. 제 1 서버(106a)는 클라이언트 머신(240)이 이용할 수 있는 애플리케이션들의 목록 뿐만아니라 애플리케이션들의 목록내에서 식별되는 애플리케이션을 호스팅하는 애플리케이션 서버(206)와 연관된 어드레스 정보를 획득할 수 있다. 이후, 제 1 서버(106a)는 웹 인터페이스를 사용하여 클라이언트의 요청에 대한 응답을 제시할 수 있으며, 식별된 애플리케이션에 대한 액세스를 클라이언트(240)에 제공하기 위하여 클라이언트(240)와 직접 통신할 수 있다. 하나 이상의 클라이언트들(240) 및/또는 하나 이상의 서버들(206)은 네트워크(230), 예컨대 네트워크(101)를 통해 데이터를 전송할 수 있다.
[0056] 도 2는 예시적인 데스크탑 가상화 시스템의 고레벨 아키텍처를 도시한다. 도시된 바와같이, 데스크탑 가상화 시스템은 하나 이상의 클라이언트 액세스 디바이스들(240)에 가상 데스크탑들 및/또는 가상 애플리케이션들을 제공하도록 구성된 적어도 하나의 가상화 서버(206)를 포함하는, 단일-서버 또는 멀티-서버 시스템 또는 클라우드 시스템일 수 있다. 본원에서 사용되는 바와같이, 데스크탑은 하나 이상의 애플리케이션들이 호스팅되고 그리고/또는 실행되는 그래픽 환경 또는 공간을 지칭한다. 데스크탑은 로컬 및/또는 원격 애플리케이션들이 통합될 수 있는 운영 체제의 인스턴스에 대한 사용자 인터페이스를 제공하는 그래픽 쉘을 포함할 수 있다. 애플리케이션들은 운영 체제(그리고 선택적으로 또한 데스크탑)의 인스턴스가 로드된 이후에 실행되는 프로그램들을 포함할 수 있다. 운영 체제의 각각의 인스턴스는 물리적(예컨대, 디바이스당 하나의 운영 체제) 또는 가상적(예컨대, 단일 디바이스상에서 실행되는 OS의 많은 인스턴스들)일 수 있다. 각각의 애플리케이션은 로컬 디바이스상에서 실행될 수 있거나 또는 원격적으로 위치한 디바이스(예컨대 원격 디바이스)상에서 실행될 수 있다.
[0057] 도 3을 추가로 참조하면, 컴퓨터 디바이스(301)는 가상화 환경의 가상화 서버, 예컨대, 단일-서버, 멀티-서버 또는 클라우드 컴퓨팅 환경으로서 구성될 수 있다. 도 3에 예시된 가상화 서버(301)는 도 2에 예시된 서버(206)의 하나 이상의 실시예들 또는 다른 공지된 컴퓨팅 디바이스로서 전개될 수 있거나 그리고/또는 이에 의해 구현될 수 있다. 가상화 서버(301)에 포함된 것은 하나 이상의 물리적 디스크들(304), 하나 이상의 물리적 디바이스들(306), 하나 이상의 물리적 프로세서들(308) 및 하나 이상의 물리적 메모리들(316)을 포함할 수 있는 하드웨어 계층이다. 일부 실시예들에서, 펌웨어(312)는 물리적 메모리(316)의 메모리 엘리먼트 내에 저장될 수 있고, 물리적 프로세서들(308) 중 하나 이상에 의해 실행될 수 있다. 가상화 서버(301)는 물리적 메모리(316)의 메모리 엘리먼트에 저장되고 물리적 프로세서들(308) 중 하나 이상에 의해 실행될 수 있는 운영 체제(314)를 더 포함할 수 있다. 또한, 하이퍼바이저(302)는 물리적 메모리(316)의 메모리 엘리먼트에 저장될 수 있고 물리적 프로세서들(308) 중 하나 이상에 의해 실행될 수 있다.
[0058] 물리적 프로세서들(308) 중 하나 이상의 프로세서상에서 실행시키는 것은 하나 이상의 가상 머신들(332A-C)(일반적으로 332)일 수 있다. 각각의 가상 머신(332)은 가상 디스크(326A-C) 및 가상 프로세서(328A-C)를 가질 수 있다. 일부 실시예들에서, 제 1 가상 머신(332A)은, 가상 프로세서(328A)를 이용하여, 툴 스택(tools stack)(324)을 포함하는 제어 프로그램(320)을 실행할 수 있다. 제어 프로그램(320)은 제어 가상 머신, Dom0, Domain 0, 또는 시스템 운영 및/또는 제어용으로 사용되는 다른 가상 머신으로서 지칭될 수 있다. 일부 실시예들에서, 하나 이상의 가상 머신(332B-C)은, 가상 프로세서(328B-C)를 이용하여, 게스트 운영 체제(330A-B)를 실행시킬 수 있다.
[0059] 가상화 서버(301)는 가상화 서버(301)와 통신하는, 하드웨어의 하나 이상의 피스(piece)들을 구비하는 하드웨어 계층(310)을 포함할 수 있다. 일부 실시예들에서, 하드웨어 계층(310)은 하나 이상의 물리적 디스크들(304), 하나 이상의 물리적 디바이스들(306), 하나 이상의 물리적 프로세서들(308) 및 하나 이상의 메모리(316)를 포함할 수 있다. 물리적 컴포넌트들(304, 306, 308 및 316)은 예컨대, 앞서 설명된 컴포넌트들 중 임의의 컴포넌트를 포함할 수 있다. 물리적 디바이스들(306)은 예컨대, 네트워크 인터페이스 카드, 비디오 카드, 키보드, 마우스, 입력 디바이스, 모니터, 디스플레이 디바이스, 스피커들, 광 드라이브, 저장 디바이스, 범용 직렬 버스 연결, 프린터, 스캐너, 네트워크 엘리먼트(예컨대, 라우터, 방화벽, 네트워크 어드레스 번역기, 로드 밸런서, VPN(virtual private network) 게이트웨이, DHCP(Dynamic Host Configuration Protocol) 라우터 등), 또는 가상화 서버(301)에 연결되거나 이와 통신하는 임의의 디바이스를 포함할 수 있다. 하드웨어 계층(310)의 물리적 메모리(316)는 임의의 타입의 메모리를 포함할 수 있다. 물리적 메모리(316)는 데이터를 저장할 수 있고, 일부 실시예들에서 하나 이상의 프로그램들, 또는 실행 가능한 명령들의 세트를 저장할 수 있다. 도 3은 펌웨어(312)가 가상화 서버(301)의 물리적 메모리(316) 내에 저장된 실시예를 예시한다. 물리적 메모리(316)에 저장된 프로그램 또는 실행 가능한 명령들은 가상화 서버(301)의 하나 이상의 프로세서들(308)에 의해 실행될 수 있다.
[0060] 가상화 서버(301)는 또한 하이퍼바이저(302)를 포함할 수 있다. 일부 실시예들에서, 하이퍼바이저(302)는 가상화 서버(301) 상의 프로세서들(308)에 의해 실행되어 임의의 개수의 가상 머신들(332)을 생성 및 관리하는 프로그램일 수 있다. 하이퍼바이저(302)는 가상 머신 모니터 또는 플랫폼 가상화 소프트웨어로 지칭될 수 있다. 일부 실시예들에서, 하이퍼바이저(302)는 컴퓨팅 머신 상에서 실행되는 가상 머신들을 모니터링하는 하드웨어 및 실행 가능한 명령들의 임의의 조합일 수 있다. 하이퍼바이저(302)는 타입 2 하이퍼바이저일 수 있고, 여기서 운영 체제(314) 내에서 실행되는 하이퍼바이저는 가상화 서버(301) 상에서 실행될 수 있다. 이후, 가상 머신들이 하이퍼바이저보다 상위 레벨에서 실행된다. 일부 실시예들에서, 타입 2 하이퍼바이저는 사용자의 운영 체제의 컨텍스트 내에서 실행되어, 타입 2 하이퍼바이저는 사용자의 운영 체제와 상호 작용을 한다. 다른 실시예들에서, 가상화 환경의 하나 이상의 가상화 서버들(301)은 대신에 타입 1 하이퍼바이저(도시안됨)를 포함할 수 있다. 타입 1 하이퍼바이저는 하드웨어 계층(310) 내의 자원들 및 하드웨어에 직접 액세스함으로써 가상화 서버(301) 상에서 실행될 수 있다. 즉, 타입 2 하이퍼바이저(302)는 도시된 바와 같이 호스트 운영 체제(314)를 통해 시스템 자원에 액세스하지만, 타입 1 하이퍼바이저는 호스트 운영 체제(314) 없이 모든 시스템 자원들에 직접 액세스할 수 있다. 타입 1 하이퍼바이저는 가상화 서버(301)의 하나 이상의 물리적 프로세서들(308) 상에서 직접 실행될 수 있고, 물리적 메모리(316)에 저장된 프로그램 데이터를 포함할 수 있다.
[0061] 일부 실시예들에서, 하이퍼바이저(302)는 운영 체제(330) 또는 제어 프로그램(320)이 시스템 자원들에 직접 액세스하도록 시뮬레이션하는 임의의 방식으로 가상 머신들(332) 상에서 실행되는 운영 체제들(330) 또는 제어 프로그램들(320)에 가상 자원을 제공할 수 있다. 시스템 자원들은 물리적 디바이스들(306), 물리적 디스크들(304), 물리적 프로세서들(308), 물리적 메모리(316) 및 가상화 서버(301) 하드웨어 계층(310)에 포함된 임의의 다른 컴포넌트를 포함할 수 있으나 이에 제한되는 것은 아니다. 하이퍼바이저(302)는 가상 하드웨어를 에뮬레이트하고, 물리적 하드웨어를 파티셔닝하고, 물리적 하드웨어를 가상화하고, 그리고/또는 컴퓨팅 환경들에 대한 액세스를 제공하는 가상 머신을 실행시키기 위해 사용될 수 있다. 또 다른 실시예들에서, 하이퍼바이저(302)는 가상화 서버(301) 상에서 실행되는 가상 머신(332)에 대한 메모리 파티셔닝 및 프로세서 스케쥴링을 제어한다. 하이퍼바이저(302)는 켈리포니아 팔로 알토에 위치한 VMWare, Inc.에 의해 제조된 것들; 그 개발이 오픈 소스 Xen.org 커뮤니티에 의해 감독되는 오픈 소스 상품인 XEN 하이퍼바이저; 마이크로소프트에 의해 제공되는 vHyperV, VirtualServer 또는 virtual PC 하이퍼바이저들 또는 기타 하이퍼바이저를 포함할 수 있다. 일부 실시예들에서, 가상화 서버(301)는, 게스트 운영 체제들이 실행될 수 있는 가상 머신 플랫폼을 생성하는 하이퍼바이저(302)를 실행시킨다. 이들 실시예들에서, 가상화 서버(301)는 호스트 서버로서 지칭될 수 있다. 이러한 가상화 서버의 예로서 플로리다, 포트 로더데일에 위치한 Citrix Systems, Inc.에 의해 제공되는 XEN SERVER를 들 수 있다.
[0062] 하이퍼바이저(302)는 게스트 운영 체제(330)가 실행되는 하나 이상의 가상 머신들(332B-C)(일반적으로 332)을 생성할 수 있다. 일부 실시예들에서, 하이퍼바이저(302)는 가상 머신 이미지를 로드하여 가상 머신(332)을 생성할 수 있다. 다른 실시예들에서, 하이퍼바이저(302)는 가상 머신(332) 내에서 게스트 운영 체제(330)를 실행시킬 수 있다. 또 다른 실시예에서, 가상 머신(332)은 게스트 운영 체제(330)를 실행시킬 수 있다.
[0063] 가상 머신들(332)을 생성하는 것에 추가하여, 하이퍼바이저(302)는 적어도 하나의 가상 머신(332)의 실행을 제어할 수 있다. 다른 실시예들에서, 하이퍼바이저(302)는 가상화 서버(301)에 의해 제공되는 적어도 하나의 하드웨어 자원(예컨대, 하드웨어 계층(310) 내에서 이용가능한 임의의 하드웨어 자원)의 추상화로 하나 이상의 가상 머신(332)을 제시할 수 있다. 다른 실시예들에서, 하이퍼바이저(302)는 가상 머신들(332)이 가상화 서버(301)에서 이용가능한 물리적 프로세서들(308)에 액세스하는 방식을 제어할 수 있다. 물리적 프로세서들(308)에 대한 액세스를 제어하는 것은, 가상 머신(332)이 프로세서(308)에 대한 액세스를 가져야 하는지 여부 및 물리적 프로세서 기능들이 가상 머신(332)에 어떻게 제공되는지를 결정하는 것을 포함할 수 있다.
[0064] 도 3에 도시된 바와 같이, 가상화 서버(301)는 하나 이상의 가상 머신들(332)을 호스팅 또는 실행할 수 있다. 가상 머신(332)은, 프로세서(308)에 의해 실행될 때 물리적 컴퓨터의 동작을 모방하여, 가상 머신(332)이 물리적 컴퓨팅 디바이스와 매우 유사하게 프로그램들 및 프로세스들을 실행할 수 있도록 하는 실행 가능한 명령들의 세트이다. 도 3은 가상화 서버(301)가 3 개의 가상 머신들(332)을 호스팅하는 실시예를 예시하고 있으나, 다른 실시예들에서, 가상화 서버(301)는 임의의 개수의 가상 머신들(332)을 호스팅할 수 있다. 하이퍼바이저(302)는, 일부 실시예들에서, 각각의 가상 머신(332)에 물리적 하드웨어, 메모리, 프로세서 및 그 가상 머신(332)이 이용할 수 있는 다른 시스템 자원들의 고유한 가상 뷰(unique virtual view)를 제공한다. 일부 실시예들에서, 고유한 가상 뷰는 가상 머신 퍼미션(permission)들, 하나 이상의 가상 머신 식별자에 대한 정책 엔진(policy engine)의 애플리케이션, 가상 머신에 액세스하는 사용자, 가상 머신 상에서 실행되는 애플리케이션들, 가상 머신에 의해 액세스되는 네트워크들 또는 다른 임의의 원하는 기준 중 하나 이상에 기초할 수 있다. 예컨대, 하이퍼바이저(302)는 하나 이상의 비보안(unsecure) 가상 머신들(332) 및 하나 이상의 보안 가상 머신들(332)을 생성할 수 있다. 비보안 가상 머신들(332)은 보안 가상 머신들(332)이 액세스하도록 허용될 수 있는 자원들, 하드웨어, 메모리 위치들 및 프로그램들에 액세스하는 것이 차단될 수 있다. 다른 실시예들에서, 하이퍼바이저(302)는 각각의 가상 머신(332)에게 물리적 하드웨어, 메모리, 프로세서 및 가상 머신(332)이 이용할 수 있는 다른 시스템 자원들에 대한 실질적으로 유사한 뷰를 제공할 수 있다.
[0065] 각각의 가상 머신(332)은 가상 디스크(326A-C)(일반적으로 326) 및 가상 프로세서(328A-C)(일반적으로 328)를 포함할 수 있다. 가상 디스크(326)는, 일부 실시예들에서, 가상화 서버(301)의 하나 이상의 물리적 디스크들(304) 또는 가상화 서버(301)의 하나 이상의 물리적 디스크들(304)의 일부분에 대한 가상화된 뷰(virtualized view)이다. 물리적 디스크들(304)에 대한 가상화된 뷰는 하이퍼바이저(302)에 의해 생성, 제공 및 관리될 수 있다. 일부 실시예들에서, 하이퍼바이저(302)는 각각의 가상 머신(332)에 물리적 디스크들(304)의 고유한 뷰를 제공한다. 따라서, 이들 실시예들에서, 각각의 가상 머신(332)에 포함된 특정 가상 디스크(326)는 다른 가상 디스크들(326)과 비교하여 고유할 수 있다.
[0066] 가상 프로세서(328)는 가상화 서버(301)의 하나 이상의 물리적 프로세서들(308)의 가상화된 뷰일 수 있다. 일부 실시예들에서, 물리적 프로세서들(308)의 가상화된 뷰는 하이퍼바이저(302)에 의해 생성, 제공 및 관리될 수 있다. 일부 실시예들에서, 가상 프로세서(328)는 적어도 하나의 물리적 프로세서(308)와 실질적으로 전부 동일한 특징들을 가진다. 다른 실시예들에서, 가상 프로세서(308)는 물리적 프로세서(308)의 수정된 뷰(modified view)를 제공하며, 따라서 가상 프로세서(328)의 특징들 중 적어도 일부는 대응하는 물리적 프로세서(308)의 특징들과 상이하다.
[0067] 도 4를 추가로 참조하면, 본원에서 설명된 일부 양상들은 클라우드 기반의 환경에서 구현될 수 있다. 도 4는 클라우드 컴퓨팅 환경(또는 클라우드 시스템)(400)의 예를 예시한다. 도 4에서 알 수 있는 바와 같이, 클라이언트 컴퓨터들(411-414)은 클라우드 관리 서버(410)와 통신하여 클라우드 시스템의 컴퓨팅 자원들(예컨대, 호스트 서버들(403), 저장 자원들(404) 및 네트워크 자원들(405))에 액세스할 수 있다.
[0068] 관리 서버(410)는 하나 이상의 물리적 서버 상에서 구현될 수 있다. 특히, 관리 서버(410)는, 예컨대, 플로리다, 포트 로더데일에 위치한 Citrix Systems, Inc.의 CLOUDSTACK 또는 OPENSTACK을 실행시킬 수 있다. 관리 서버(410)는 클라우드 하드웨어 및 소프트웨어 자원들, 예컨대 호스트 컴퓨터들(403), 데이터 저장 디바이스들(404), 네트워킹 디바이스들(405)을 포함하는 다양한 컴퓨팅 자원들을 관리할 수 있다. 클라우드 하드웨어 및 소프트웨어 자원들은 사설 및/또는 공중 컴포넌트들을 포함할 수 있다. 예컨대, 클라우드는 사설 네트워크를 통해 그리고/또는 하나 이상의 특정 고객들 또는 클라이언트 컴퓨터들(411-414)에 의해 사용될 사설 클라우드로서 구성될 수 있다. 다른 실시예들에서, 공중 클라우드들 또는 하이브리드 공중-사설 클라우드들은 개방형 또는 하이브리드 네트워크들을 통해 다른 고객들에 의해 사용될 수 있다.
[0069] 관리 서버(410)는 클라우드 운영자들 및 클라우드 고객들이 클라우드 시스템과 상호 작용할 수 있도록 하는 사용자 인터페이스들을 제공하도록 구성될 수 있다. 예컨대, 관리 서버(410)는 API들의 세트 및/또는 하나 이상의 클라우드 운영자 콘솔 애플리케이션들(예컨대, 웹-기반 스탠드얼론 애플리케이션들)에, 클라우드 운영자들이 클라우드 자원들을 관리하고, 가상화 계층을 구성하고, 고객 계정들을 관리하고 그리고 다른 클라우드 운영 태스크들을 수행할 수 있도록 하는 사용자 인터페이스들을 제공할 수 있다. 관리 서버(410)는 또한, 사용자 인터페이스들이 클라이언트 컴퓨터(411-414)를 통해 최종 사용자(end user)로부터의 클라우드 컴퓨팅 요청들 예컨대, 클라우드 내에서 가상 머신들을 생성, 수정 또는 제거하기 위한 요청들을 수신하도록 구성되면서, API들의 세트 및/또는 하나 이상의 고객 콘솔 애플리케이션을 포함할 수 있다. 클라우드 컴퓨터들(411-414)은 인터넷 또는 다른 통신 네트워크를 통해 관리 서버(410)에 연결할 수 있고, 관리 서버(410)에 의해 관리되는 컴퓨팅 자원들 중 하나 이상의 자원에 대한 액세스를 요청할 수 있다. 클라이언트 요청들에 응답하여, 관리 서버(410)는 클라이언트 요청들에 기초하여 클라우드 시스템의 하드웨어 계층의 물리적 자원들을 선택 및 공급하도록 구성된 자원 관리자를 포함할 수 있다. 예컨대, 관리 서버(410) 및 클라우드 시스템의 추가적인 컴포넌트들은 네트워크(예컨대, 인터넷)를 통해 클라이언트 컴퓨터들(411-414)에서 고객들에 대한 가상 머신들 및 이들의 동작 환경들(예컨대, 하이퍼바이저들, 저장 자원들, 네트워크 엘리먼트들에 의해 제공되는 서비스 등)을 제공, 생성 및 관리하도록 구성되어, 고객에게 연산 자원(computational resource)들, 데이터 저장 서비스들, 네트워크 기능들 및 컴퓨터 플랫폼 및 애플리케이션 지원을 제공할 수 있다. 클라우드 시스템들은 또한, 보안 시스템들, 개발 환경들, 사용자 인터페이스들 등을 포함하는 다양한 특정 서비스들을 제공하도록 구성될 수 있다.
[0070] 특정 클라이언트들(411-414)은 예컨대 동일한 최종 사용자들 또는 동일한 회사 또는 조직과 연계된 상이한 사용자들을 대신하여 가상 머신들을 생성하는 상이한 클라이언트 컴퓨터들과 관련될 수 있다. 다른 예들에서, 특정 클라이언트들(411-414)은 예컨대 상이한 회사들 또는 조직들과 연계된 사용자들과는 관련되지 않을 수 있다. 관련되지 않은 클라이언트들의 경우에, 어느 한 사용자의 가상 머신들 또는 스토리지에 대한 정보는 다른 사용자들에게 숨겨질 수 있다.
[0071] 이제 클라우드 컴퓨팅 환경의 물리적 하드웨어 계층을 참조하면, 가용 존(availability zone)들(401-402)(또는 존(zone)들)은 물리적 컴퓨팅 자원들의 콜로케이트된 세트(collocated set)를 지칭할 수 있다. 존들은 컴퓨팅 자원들의 전체 클라우드의 다른 존들로부터 지리적으로 떨어져 있을 수 있다. 예컨대, 존(401)은 캘리포니아에 위치한 제 1 클라우드 데이터센터일 수 있고, 존(402)은 플로리다에 위치한 제 2 클라우드 데이터센터일 수 있다. 관리 서버(410)는 가용 존들 중 하나에, 또는 떨어진 위치에 위치할 수 있다. 각각의 존은, 게이트웨이를 통해, 관리 서버(410)와 같은, 존 외부에 있는 디바이스들과 인터페이싱하는 내부 네트워크를 포함할 수 있다. 클라우드의 최종 사용자들(예컨대, 클라이언트들(411-414))은 존들 사이를 구분할 수 있거나, 구분할 수 없을 수 있다. 예컨대, 최종 사용자들은 특정 메모리량, 프로세싱 전력 및 네트워크 능력들을 갖는 가상 머신의 생성을 요청할 수 있다. 관리 서버(410)는 사용자의 요청에 응답할 수 있으며, 가상 머신이 존(401) 또는 존(402)의 자원들을 사용하여 생성되었는지의 여부를 사용자가 알 필요 없이 가상 머신을 생성하기 위한 자원들을 할당할 수 있다. 다른 예들에서, 클라우드 시스템은 최종 사용자들이, 가상 머신들(또는 다른 클라우드 자원들)이 특정 존에 또는 존 내의 특정 자원들(403-405) 상에 할당되는 것을 요청하도록 할 수 있다.
[0072] 이러한 예에서, 각각의 존(401-402)은 다양한 물리적 하드웨어 컴포넌트들(또는 컴퓨팅 자원들)(403-405), 예컨대, 물리적 호스팅 자원들(또는 프로세싱 자원들), 물리적 네트워크 자원들, 물리적 저장 자원들, 스위치들, 및 클라우드 컴퓨팅 서비스들을 고객들에게 제공하기 위해 사용될 수 있는 추가적인 하드웨어 자원들의 배열을 포함할 수 있다. 클라우드 존(401-402)의 물리적 호스팅 자원들은, 앞서 설명된 가상화 서버들(301)과 같은 하나 이상의 컴퓨터 서버들(403)을 포함할 수 있고, 이 서버들은 가상 머신 인스턴스들을 생성 및 호스팅하도록 구성될 수 있다. 클라우드 존(401 또는 402)의 물리적 네트워크 자원들은 방화벽들, 네트워크 어드레스 번역기들, 로드 밸런서들, VPN(virtual private network) 게이트웨이들, DHCP(Dynamic Host Configuration Protocol) 라우터들 등과 같은 네트워크 서비스를 클라우드 고객들에게 제공하도록 구성된 하드웨어 및/또는 소프트웨어를 포함하는 하나 이상의 네트워크 엘리먼트들(405)(예컨대, 네트워크 서비스 제공자들)을 포함할 수 있다. 클라우드 존(401-402)의 저장 자원들은 저장 디스크들(예컨대, SSD(solid state drive)들, 자기 하드 디스크들 등) 및 다른 저장 디바이스들을 포함할 수 있다.
[0073] 도 4에 도시된 예시적인 클라우드 컴퓨팅 환경은 또한 (예컨대, 도 1 내지 도 3에 도시된 바와 같은) 가상화 계층과, 가상 머신들을 생성 및 관리하고 클라우드의 물리적 자원들을 이용하여 고객들에게 다른 서비스들을 제공하도록 구성된 추가적인 하드웨어 및/또는 소프트웨어 자원들을 포함할 수 있다. 가상화 계층은 도 3에서 앞서 설명된 바와같은 하이퍼바이저들과, 네트워크 가상화들, 저장 가상화들 등을 제공하는 다른 컴포넌트들을 포함할 수 있다. 가상화 계층은 물리적 자원 계층과 별개의 계층으로 될 수 있거나, 물리적 자원 계층과 동일한 하드웨어 및/또는 소프트웨어 자원들의 일부 또는 전부를 공유할 수 있다. 예컨대, 가상화 계층은 가상화 서버(403)들 각각에 설치된 하이퍼바이저와 물리적 컴퓨팅 자원들을 포함할 수 있다. 공지된 클라우드 시스템, 예컨대 WINDOWS AZURE (워싱턴 레드몬드에 위치한 Microsoft Corporation), AMAZON EC2 (워싱턴 시애틀에 위치한 Amazon.com Inc.), IBM BLUE CLOUD (뉴욕 아몽크에 위치한 IBM Corporation) 등이 대안적으로 사용될 수 있다.
[0074] 기업 모빌리티 관리 아키텍처
[0075] 도 5는 BYOD 환경에서 사용하기 위한 기업 모빌리티 기술 아키텍처(500)를 나타낸다. 아키텍처는 모바일 디바이스(502)의 사용자가 모바일 디바이스(502)를 사용하여 기업 자원 또는 개인 자원에 액세스하고, 모바일 디바이스(502)를 개인적 용도로 사용하도록 한다. 사용자는 기업에 의해 사용자에게 제공된 모바일 디바이스(502) 또는 사용자에 의해 구매된 모바일 디바이스(502)를 이용하여 이와 같은 기업 서비스들(508) 또는 기업 자원들(504)에 액세스할 수 있다. 사용자는 단지 비지니스용으로 또는 비지니스 및 개인용으로 모바일 디바이스(502)를 활용할 수 있다. 모바일 디바이스는 iOS 운영 체제, 및 안드로이드 운영 체제 등을 실행할 수 있다. 기업은 모바일 디바이스(504)를 관리하기 위한 정책들을 구현하는 것을 선택할 수 있다. 이 정책들은 모바일 디바이스가 식별되거나, 보안 또는 보안 검증되고 기업 자원들에 대해 선택적으로 또는 전체적으로 액세스할 수 있도록 방화벽 또는 게이트웨이를 통해 주입될 수 있다. 정책들은 모바일 디바이스 관리 정책들, 모바일 애플리케이션 관리 정책들, 모바일 데이터 관리 정책들, 또는 모바일 디바이스, 애플리케이션 및 데이터 관리 정책들의 일부 조합일 수 있다. 모바일 디바이스 관리 정책들의 애플리케이션을 통해 관리되는 모바일 디바이스(504)는 등록 디바이스로서 지칭될 수 있다.
[0076] 모바일 디바이스의 운영 체제는 관리 파티션(managed partition)(510) 및 비관리 파티션(unmanaged partition)(512)으로 분리될 수 있다. 관리 파티션(510)은 관리 파티션 상에서 실행되는 애플리케이션들 및 관리 파티션에 저장되는 데이터를 보안하기 위한 정책들이 자신에 적용되게 할 수 있다. 관리 파티션상에서 실행되는 애플리케이션들은 보안 애플리케이션들일 수 있다. 보안 애플리케이션들은 이메일 애플리케이션들, 웹 브라우징 애플리케이션들, SaaS(software-as-a-service) 액세스 애플리케이션들, 윈도우즈 애플리케이션 액세스 애플리케이션들 등일 수 있다. 보안 애플리케이션들은 보안 네이티브 애플리케이션들(514), 보안 애플리케이션 론처(518)에 의해 실행되는 보안 원격 애플리케이션들(522), 보안 애플리케이션 론처(518)에 의해 실행되는 가상화 애플리케이션들(526) 등일 수 있다. 보안 네이티브 애플리케이션들(514)은 보안 애플리케이션 래퍼(wrapper)(520)에 의해 래핑될 수 있다. 보안 애플리케이션 래퍼(520)는 보안 네이티브 애플리케이션이 디바이스상에서 실행될 때 모바일 디바이스(502)상에서 실행되는 통합 정책들을 포함할 수 있다. 보안 애플리케이션 래퍼(520)는 보안 네이티브 애플리케이션(514)의 실행시 요청된 태스크를 완료하기 위하여 보안 네이티브 애플리케이션(514)이 요구할 수 있는, 기업에서 호스팅되는 자원들을 모바일 디바이스(502)상에서 실행되는 보안 네이티브 애플리케이션(514)에게 알려주는 메타-데이터를 포함할 수 있다. 보안 애플리케이션 론처(518)에 의해 실행되는 보안 원격 애플리케이션들(522)은 보안 애플리케이션 론처 애플리케이션(518) 내에서 실행될 수 있다. 보안 애플리케이션 론처(518)에 의해 실행되는 가상화 애플리케이션(526)은 모바일 디바이스(502)상의 자원들, 기업 자원들(504) 등을 활용할 수 있다. 보안 애플리케이션 론처(518)에 의해 실행되는 가상화 애플리케이션들(526)에 의해 모바일 디바이스(502)상에서 사용되는 자원들은 사용자 상호작용 자원들, 프로세싱 자원들 등을 포함할 수 있다. 사용자 상호작용 자원들은 키보드 입력, 마우스 입력, 카메라 입력, 촉각 입력, 오디오 입력, 시각 입력, 제스처 입력 등을 수집하여 전송하기 위하여 사용될 수 있다. 프로세싱 자원들은 사용자 인터페이스를 제시하고, 기업 자원들(504)로부터 수신된 데이터를 프로세싱하는 것 등을 수행하기 위하여 사용될 수 있다. 보안 애플리케이션 론처(518)에 의해 실행되는 가상화 애플리케이션들(526)에 의해 기업 자원들(504)에서 사용되는 자원들은 사용자 인터페이스 생성 자원들, 프로세싱 자원들 등을 포함할 수 있다. 사용자 인터페이스 생성 자원들은 사용자 인터페이스를 어셈블리하고, 사용자 인터페이스를 수정하며, 사용자 인터페이스를 리프레시하는 것 등을 수행하기 위하여 사용될 수 있다. 프로세싱 자원들은 정보를 생성하고, 정보를 판독하며, 정보를 업데이트하며, 정보를 삭제하는 것 등을 수행하기 위하여 사용될 수 있다. 예컨대, 가상화 애플리케이션은 GUI와 연관된 사용자 상호작용들을 기록하고, 이들을 서버 애플리케이션에 통신할 수 있으며, 여기서 서버 애플리케이션은 서버상에서 동작하는 애플리케이션에 대한 입력으로서 사용자 상호작용 데이터를 사용할 수 있다. 이러한 배열에서, 기업은 서버측상의 애플리케이션 뿐만아니라 애플리케이션과 연관된 데이터, 파일들 등을 유지하는 것을 선택할 수 있다. 기업이 모바일 디바이스상에서 전개하기 위하여 일부 애플리케이션들을 보안함으로써 본원의 원리들에 따라 그 일부 애플리케이션들을 "결집(mobilize)시키는" 것을 선택할 수 있는 반면에, 이러한 배열은 또한 특정 애플리케이션들을 위해 선택될 수 있다. 예컨대, 일부 애플리케이션들이 모바일 디바이스상에서 사용하기 위하여 보안될 수 있는 반면에, 다른 애플리케이션들은 모바일 디바이스상에서 전개하기 위하여 준비되거나 또는 전용될 수 없으며, 따라서 기업은 가상화 기술들을 통해 준비되지 않은 애플리케이션들에의 모바일 사용자 액세스를 제공하는 것을 선택할 수 있다. 다른 예로서, 기업은 모바일 디바이스에 대한 애플리케이션을 커스터마이징(customizing)하는 것이 매우 어렵거나 또는 그렇지 않은 경우에 바람직하지 않을 대량 및 복합 데이터 세트들을 가진 대규모 복합 애플리케이션들(예컨대, 자료 자원 계획 애플리케이션들)을 가질 수 있으며, 따라서, 기업은 가상화 기술들을 통해 애플리케이션에의 액세스를 제공하는 것을 선택할 수 있다. 또 다른 예로서, 기업은 심지어 보안된 모바일 환경에서 조차 기업이 너무 민감하게 생각할 수 있는 고보안 데이터(예컨대, 인적 자원 데이터, 고객 데이터, 엔지니어링 데이터)를 유지하는 애플리케이션을 가질 수 있으며, 따라서 기업은 이러한 애플리케이션들 및 데이터에 대한 모바일 액세스를 허용하기 위하여 가상화 기술들을 사용하는 것을 선택할 수 있다. 기업은 서버측에서 동작하는 것이 더 적절한 것으로 여겨지는 애플리케이션들에 대한 액세스를 허용하기 위하여, 가상화 애플리케이션 뿐만아니라 모바일 디바이스상의 완전하게 보안된 그리고 완전하게 기능적인 애플리케이션들을 제공하는 것을 선택할 수 있다. 일 실시예에서, 가상화 애플리케이션은 보안 저장 위치들 중 하나의 위치에 있는 모바일 폰상에 일부 데이터, 파일들 등을 저장할 수 있다. 기업은 예컨대 다른 정보를 허용하지 않으면서 특정 정보가 폰상에 저장되도록 하는 것을 선택할 수 있다.
[0077] 본원에서 설명된 바와같은 가상화 애플리케이션과 관련하여, 모바일 디바이스는 GUI들을 제시하고 이후 GUI와의 사용자 상호작용들을 기록하도록 설계되는 가상화 애플리케이션을 가질 수 있다. 애플리케이션은 애플리케이션과의 사용자 상호작용들로서 서버측 애플리케이션에 의해 사용될 사용자 상호작용들을 서버에 통신할 수 있다. 이에 응답하여, 서버측상의 애플리케이션은 새로운 GUI를 모바일 디바이스에 다시 전송할 수 있다. 예컨대, 새로운 GUI는 정적 페이지, 동적 페이지, 애니메이션 등일 수 있다.
[0078] 관리 파티션상에서 실행되는 애플리케이션들은 안정화된 애플리케이션들일 수 있다. 안정화된 애플리케이션들은 디바이스 관리자(524)에 의해 관리될 수 있다. 디바이스 관리자(524)는 안정화된 애플리케이션들을 모니터링하고 문제점들을 검출하여 제거하기 위한 기술들을 활용할 수 있는데, 이러한 문제점들은 그 문제점들을 검출하여 제거하는데 상기 기술들이 활용되지 않았다면 불안정한 애플리케이션을 유발하였을 것이다.
[0079] 보안 애플리케이션들은 모바일 디바이스의 관리 파티션(510)의 보안 데이터 컨테이너(528)에 저장된 데이터에 액세스할 수 있다. 보안 데이터 컨테이너에서 보안된 데이터는 보안 래핑된 애플리케이션들(514), 보안 애플리케이션 론처(518)에 의해 실행되는 애플리케이션들, 보안 애플리케이션 론처(518)에 의해 실행되는 가상화 애플리케이션들(526) 등에 의해 액세스될 수 있다. 보안 데이터 컨테이너(528)에 저장된 데이터는 파일들, 데이터베이스들 등을 포함할 수 있다. 보안 데이터 컨테이너(528)에 저장된 데이터는 보안 애플리케이션들(532) 사이에서 공유되는 특정 보안 애플리케이션(530)에 한정된 데이터 등을 포함할 수 있다. 보안 애플리케이션에 한정된 데이터는 보안 범용 데이터(534) 및 고보안 데이터(538)를 포함할 수 있다. 보안 범용 데이터는 AES 128-비트 암호화 등과 같은 고강화 암호화를 사용할 수 있는 반면에, 고보안 데이터(538)는 AES 254-비트 암호화와 같은 초고강화 암호화를 사용할 수 있다. 보안 데이터 컨테이너(528)에 저장된 데이터는 디바이스 관리자(524)로부터의 커맨드의 수신시에 디바이스로부터 제거될 수 있다. 보안 애플리케이션들은 듀얼-모드 옵션(540)을 가질 수 있다. 듀얼 모드 옵션(540)은 비보안 모드에서 보안 애플리케이션을 동작하기 위한 옵션을 사용자에게 제시할 수 있다. 비보안 모드에서, 보안 애플리케이션들은 모바일 디바이스(502)의 비관리 파티션(512)상의 비보안 데이터 컨테이너(542)에 저장된 데이터에 액세스할 수 있다. 비보안 데이터 컨테이너에 저장된 데이터는 개인 데이터(544)일 수 있다. 비보안 데이터 컨테이너(542)에 저장된 데이터는 또한 모바일 디바이스(502)의 비관리 파티션(512)상에서 실행되는 비보안 애플리케이션들(548)에 의해 액세스될 수 있다. 비보안 데이터 컨테이너(542)에 저장된 데이터는 보안 데이터 컨테이너(528)에 저장된 데이터가 모바일 디바이스(502)로부터 제거될 때 모바일 디바이스(502)상에서 유지될 수 있다. 기업은 사용자에 의해 소유되거나 또는 라이센싱되거나 또는 제어되는 개인 데이터, 파일들 및/또는 애플리케이션들(개인 데이터)을 남기거나 또는 그렇지 않은 경우에 보존하면서 기업에 의해 소유되거나 라이센싱되거나 또는 제어되는 선택된 또는 모든 데이터, 파일들 및/또는 애플리케이션들(기업 데이터)을 모바일 디바이스로부터 제거하는 것을 원할 수 있다. 이러한 동작은 선택적 와이프(selective wipe)으로서 지칭될 수 있다. 본원에서 설명된 예들에 따라 기업 및 개인 데이터가 배열되는 경우에, 기업은 선택적 와이프를 수행할 수 있다.
[0080] 모바일 디바이스는 기업의 기업 자원들(504) 및 기업 서비스들(508)에, 공중 인터넷(548) 등에 연결할 수 있다. 모바일 디바이스는 가상 사설 네트워크 연결들을 통해 기업 자원들(504) 및 기업 서비스들(508)에 연결할 수 있다. 가상 사설 네트워크 연결들은 특정 애플리케이션들(550), 특정 디바이스들, 모바일 디바이스상의 특정 보안 영역들 등(552)에 특정적일 수 있다. 예컨대, 폰의 보안 영역에 래핑된 애플리케이션들 각각은 애플리케이션 특정 VPN에의 액세스가 가능한 경우에 사용자 또는 디바이스 속성 정보와 함께 애플리케이션과 연관된 속성들에 기초하여 승인될 수 있도록 애플리케이션 특정 VPN를 통해 기업 자원들에 액세스할 수 있다. 가상 사설 네트워크 연결들은 마이크로소프트 교환 트래픽, 마이크로소프트 액티브 디렉토리 트래픽, HTTP 트래픽, HTTPS 트래픽, 애플리케이션 관리 트래픽 등을 전달할 수 있다. 가상 사설 네트워크 연결들은 싱글-사인-온 인증 프로세스(single-sign-on authentication process)들(554)을 지원하고 인에이블할 수 있다. 싱글-사인-온 프로세스들은 사용자로 하여금 인증 크리덴셜들의 단일 세트를 제공하도록 할 수 있으며, 이후 인증 크리덴셜들은 인증 서비스(558)에 의해 검증된다. 이후, 인증 서비스(558)는 사용자가 각각의 개별 기업 자원(504)에 인증 크리덴셜들을 제공하는 것을 필요로 하지 않고 다수의 기업 자원들(504)에 대한 사용자 액세스를 승인할 수 있다.
[0081] 가상 사설 네트워크 연결들은 액세스 게이트웨이(560)에 의해 설정 및 관리될 수 있다. 액세스 게이트웨이(560)는 모바일 디바이스(502)에 기업 자원들(504)을 전달하는 것을 관리하고, 가속시키며 그리고 개선하는 성능 강화 특징들을 포함할 수 있다. 액세스 게이트웨이는 또한 모바일 디바이스(502)로부터 공중 인터넷(548)으로 트래픽을 재-라우팅할 수 있으며, 따라서 모바일 디바이스(502)가 공중 인터넷(548)상에서 실행되는 공개적으로 이용가능한 비보안 애플리케이션들에 액세스하도록 할 수 있다. 모바일 디바이스는 트랜스포트 네트워크를 통해 액세스 게이트웨이에 연결할 수 있다. 트랜스포트 네트워크는 유선 네트워크, 무선 네트워크, 클라우드 네트워크, 근거리 통신망, 도시권 통신망, 광역 통신망, 공중 네트워크, 사설 네트워크 등일 수 있다.
[0082] 기업 자원들(504)은 이메일 서버들, 파일 공유 서버들, SaaS 애플리케이션들, 웹 애플리케이션 서버들, 윈도우즈 애플리케이션 서버들 등을 포함할 수 있다. 이메일 서비스들은 교환 서버들, Lotus Notes 서버들 등을 포함할 수 있다. 파일 공유 서버들은 ShareFile 서버들 등을 포함할 수 있다. SaaS 애플리케이션들은 Salesforce 등을 포함할 수 있다. 윈도우즈 애플리케이션 서버들은 로컬 윈도우즈 운영 체제 등 상에서 실행되는 것으로 의도된 애플리케이션들을 제공하도록 구축된 일부 애플리케이션 서버를 포함할 수 있다. 기업 자원들(504)은 전제-기반 자원(premise-based resource)들, 클라우드 기반 자원들 등일 수 있다. 기업 자원들(504)은 직접적으로 또는 액세스 게이트웨이(560)를 통해 모바일 디바이스(502)에 의해 액세스될 수 있다. 기업 자원들(504)은 트랜스포트 네트워크를 통해 모바일 디바이스(502)에 의해 액세스될 수 있다. 트랜스포트 네트워크는 유선 네트워크, 무선 네트워크, 클라우드 네트워크, 근거리 통신망, 도시권 통신망, 광역 네트워크, 공중 네트워크, 사설 네트워크 등일 수 있다.
[0083] 기업 서비스들(508)은 인증 서비스들(558), 위협 검출 서비스(564), 디바이스 관리 서비스들(524), 파일 공유 서비스들(568), 정책 관리자 서비스들(570), 소셜 통합 서비스들(572), 애플리케이션 제어기 서비스(574) 등을 포함할 수 있다. 인증 서비스들(558)은 사용자 인증 서비스들, 디바이스 인증 서비스들, 애플리케이션 인증 서비스들, 데이터 인증 서비스들 등을 포함할 수 있다. 인증 서비스들(558)은 인증서들을 사용할 수 있다. 인증서들은 기업 자원들(504) 등에 의해 모바일 디바이스(502)상에 저장될 수 있다. 모바일 디바이스(502)상에 저장된 인증서들은 모바일 디바이스상의 암호화된 위치에 저장될 수 있으며, 인증서는 인증할 때 등에 사용하기 위해 모바일 디바이스(502)상에 일시적으로 저장될 수 있다. 위협 검출 서비스들(564)은 침입 검출 서비스들, 비허가 액세스 시도 검출 서비스들 등을 포함할 수 있다. 비허가 액세스 시도 검출 서비스들은 디바이스들, 애플리케이션들, 데이터 등에 액세스하기 위한 비허가 시도들을 포함할 수 있다. 디바이스 관리 서비스들(524)은 구성, 프로비저닝, 보안, 지원, 모니터링, 보고 및 해체 서비스들을 포함할 수 있다. 파일 공유 서비스들(568)은 파일 관리 서비스들, 파일 저장 서비스들, 파일 컬래버레이션 서비스들 등을 포함할 수 있다. 정책 관리 서비스들(570)은 디바이스 정책 관리자 서비스들, 애플리케이션 정책 관리자 서비스들, 데이터 정책 관리자 서비스들 등을 포함할 수 있다. 소셜 통합 서비스들(572)은 접촉 통합 서비스들, 컬래버레이션 서비스들, 페이스북, 트위터 및 LinkedIn 등과 같은 소셜 네트워크와의 통합 등을 포함할 수 있다. 애플리케이션 제어기 서비스들(574)은 관리 서비스들, 프로비저닝 서비스들, 전개 서비스들, 할당 서비스들, 철회 서비스들, 래핑 서비스들 등을 포함할 수 있다.
[0084] 기업 모빌리티 기술 아키텍처(500)는 애플리케이션 스토어(578)를 포함할 수 있다. 애플리케이션 스토어(578)는 비-래핑된 애플리케이션들(580), 사전-래핑된 애플리케이션들(582) 등을 포함할 수 있다. 애플리케이션들은 애플리케이션 제어기(574)로부터 애플리케이션 스토어(578)에 파퓰레이트될 수 있다. 애플리케이션 스토어(578)는 액세스 게이트웨이(560), 공중 네트워크(548) 등을 통해 모바일 디바이스(502)에 의해 액세스될 수 있다. 애플리케이션 스토어는 사용자 인터페이스를 사용할 때 이해하기 쉽고 용이하도록 제공될 수 있다. 애플리케이션 스토어(578)는 소프트웨어 전개 키트(584)에 대한 액세스를 제공할 수 있다. 소프트웨어 전개 키트(584)는 본 상세한 설명에서 이전에 설명된 바와같이 애플리케이션을 래핑함으로써 사용자에 의해 선택된 애플리케이션들을 보안하는 능력을 사용자에게 제공할 수 있다. 이후, 소프트웨어 전개 키트(584)를 사용하여 래핑된 애플리케이션은 애플리케이션 제어기(574)를 사용하여 애플리케이션 스토어(578)에서 파퓰레이트함으로써 모바일 디바이스(502)에게 이용가능하게 만들어질 수 있다.
[0085] 기업 모빌리티 기술 아키텍처(500)는 관리 및 분석 능력(588)을 포함할 수 있다. 관리 및 분석 능력(588)은 자원들이 어떻게 사용되는지, 자원들이 얼마나 자주 사용되는지 등에 관한 정보를 제공할 수 있다. 자원들은 디바이스들, 애플리케이션들, 데이터 등을 포함할 수 있다. 자원들이 어떻게 사용되는지는 어떤 디바이스들이 어떤 애플리케이션들을 다운로드하는지, 어떤 애플리케이션들이 어떤 데이터에 액세스하는지 등을 포함할 수 있다. 자원들이 얼마나 자주 사용되는지는 애플리케이션들이 얼마나 자주 다운로드되었는지, 데이터의 특정 세트가 애플리케이션에 의해 얼마나 많은 횟수로 액세스되었는지 등을 포함할 수 있다.
[0086] 도 6은 다른 예시적인 기업 모빌리티 관리 시스템(600)이다. 도 5를 참조하여 앞서 설명된 모빌리티 관리 시스템(500)의 일부 컴포넌트들은 간략화를 위해 생략되었다. 도 6에 도시된 시스템(600)의 아키텍처는 도 5를 참조로 하여 앞서 설명된 시스템(500)의 아키텍처와 많은 측면에서 유사하고, 앞서 언급되지 않은 추가적인 특징들을 포함할 수 있다.
[0087] 이 경우, 좌측은 수신기(604)를 가진 등록 모바일 디바이스(602)를 나타내는데, 이는 클라우드-기반 서비스들에 대한 게이트웨이(606)("클라우드 게이트웨이)와 상호 작용을 하여, 우측 위쪽에 도시된 것과 같은 다양한 기업 자원들(608) 및 서비스들(609), 예컨대 익스체인지(Exchange), 쉐어포인트(Sharepoint), PKI 자원들, 케베로스(Kerberos) 자원들, 인증서 발행 서비스에 액세스한다. 클라우드 게이트웨이(606)는 또한 액세스 게이트웨이 및 애플리케이션 제어기 기능을 포함할 수 있다. 상세히 도시되지는 않았지만, 모바일 디바이스(602)는 또한 애플리케이션들을 선택하여 다운로드하기 위한 기업 애플리케이션 스토어("스토어 프런트")와 상호 작용할 수 있다.
[0088] 수신기(604)는, 디스플레이 원격 프로토콜, 이를테면 예컨대 Citrix로부터 구매가능한 HDX/ICA 프로토콜을 이용하여 액세스되는, 기업 데이터 센터에서 호스팅되는 윈도우즈 앱들/데스크탑들에 대한 UI(사용자 인터페이스) 매개자(intermediary)로서 동작할 수 있다. 수신기(604)는 또한 모바일 디바이스(602) 상의 네이티브 애플리케이션들, 예컨대 네이티브 iOS 또는 안드로이드 애플리케이션들의 설치 및 관리를 지원한다. 예컨대, 앞의 도면에 도시된 관리 애플리케이션들(610)(메일, 브라우저, 래핑 애플리케이션)은 모두 디바이스 상에서 국부적으로 실행되는 네이티브 애플리케이션들이다. 수신기(604) 및 본 아키텍처의 모바일 애플리케이션 관리 프로토콜은 기업 자원들/서비스들(608)에 대한 연결 및 SSO(single sign on)와 같은 정책 구동 관리 능력들 및 사양들을 제공하기 위해 동작한다. 모바일 애플리케이션 관리 프로토콜의 일례는 Citrix로부터 구매가능한 MDX(모바일 경험 기술(mobile experience technology)) 프로토콜이다. 수신기(604)는 기업에 대한, 보통 다른 클라우드 게이트웨이 컴포넌트들에 대해 SSO을 가진 액세스 게이트웨이(AG)에 대한 주된 사용자 인증을 처리한다. 수신기(604)는 모바일 디바이스(602) 상의 관리 애플리케이션(610)의 행위를 제어하기 위해 클라우드 게이트웨이(606)로부터 정책들을 획득한다.
[0089] 네이티브 애플리케이션들(610)과 수신기(604) 사이의 보안 프로세스-간 통신(IPC: inter-process communication) 링크들(612)은 수신기가 각각의 애플리케이션을 "래핑"하는 관리 프레임워크(614)에 의해 시행될 정책들을 적용하도록 하는 관리 채널을 나타낸다. 관리 프레임워크(614)는 예컨대 Citrix로부터 구매가능한 MDX 프레임워크일 수 있다. IPC 링크(612)는 또한 기업 자원들(608)에 대한 연결 및 SSO를 인에이블하는 크리덴셜 및 인증 정보를 수신기(604)가 적용하도록 한다. 마지막으로, IPC 링크(612)는 관리 프레임워크(614)가 수신기(604)에 의해 구현되는 사용자 인터페이스 기능들, 예컨대 온라인 및 오프라인 인증을 인보크하도록 한다.
[0090] 수신기(604)와 클라우드 게이트웨이(606) 사이의 통신들은 근본적으로 각각의 네이티브 관리 애플리케이션(610)을 래핑하는 관리 프레임워크(614)로부터 관리 채널을 확장한다. 관리 프레임워크(614)는 수신기(604)로부터 정책 정보를 요청하며, 수신기(604)는 차례로 클라우드 게이트웨이(606)로부터 정책 정보를 요청한다. 관리 프레임워크(614)는 인증을 요청하며, 수신기(604)는 클라우드 게이트웨이(606)(이는 예컨대 Citrix로부터 구매가능한 NetScaler Access Gateway일 수 있음)의 게이트웨이 서비스 부분에 로그인한다. 이하에서 더 완전히 설명되는 바와같이, 수신기(604)는 또한 로컬 데이터 볼트(vault)들(616)에 대한 암호화 키들을 유도하기 위한 입력 자료를 생성하거나 또는 PKI 보호 자원들에 직접 인증을 인에이블할 수 있는 클라이언트 인증서들을 제공할 수 있는 서비스들을 클라우드 게이트웨이(606)상에서 지원할 것을 호출할 수 있다.
[0091] 더 상세히, 관리 프레임워크(614)는 각각의 관리 애플리케이션(610)을 래핑한다. 이는 명시적 구축 단계를 통해 또는 구축후 프로세싱 단계를 통해 통합될 수 있다. 관리 프레임워크(614)는 애플리케이션(610)의 제 1 론치시 수신기(604)와 "페어링"하여, 보안 IPC 링크(612)를 초기화하고 그 애플리케이션에 대한 정책을 획득할 수 있다. 관리 프레임워크(614)는 국부적으로 적용하는 정책의 관련 부분들, 예컨대 로컬 OS 서비스들이 어떻게 사용될 수 있는지 또는 로컬 OS 서비스들이 애플리케이션(610)과 어떻게 상호작용할 수 있는지를 한정하는 억제 정책들 중 일부 및 수신기 로그인 종속성들을 시행할 수 있다.
[0092] 관리 프레임워크(614)는 인증 및 내부 네트워크 액세스를 용이하게 하기 위하여 보안 IPC 링크(612)를 통해 수신기(604)에 의해 제공된 서비스들을 사용할 수 있다. 사설 및 공유 데이터 볼트들(616)(컨테이너들)의 키 관리는 또한 관리 애플리케이션들(610)과 수신기(604) 간의 적절한 상호작용들에 의해 관리될 수 있다. 볼트들(616)은 온라인 인증 이후에만 이용가능하게 만들어질 수 있거나 또는 정책에 의해 허용되는 경우에 오프라인 인증 이후에 이용가능하게 만들어질 수 있다. 볼트들(616)의 첫번째 사용은 온라인 인증을 요구할 수 있으며, 오프라인 액세스는 온라인 인증이 다시 요구되기 전에 최대 정책 리프레시 기간으로 제한될 수 있다.
[0093] 내부 자원들에의 네트워크 액세스는 클라우드 게이트웨이(606)의 액세스 게이트웨이 기능을 통해 개별 관리 애플리케이션들(610)로부터 직접 발생할 수 있다. 관리 프레임워크(614)는 각각의 애플리케이션(610) 대신에 네트워크 액세스를 조정하는 것을 담당한다. 수신기(604)는 온라인 인증 이후에 획득된 적절한 시간 제한된 2차 크리덴셜들을 제공함으로써 이들 네트워크 연결들을 용이하게 할 수 있다. 리버스 웹 프록시 연결들 및 엔드-투-엔드 VPN-스타일 터널들(618)과 같은 다수의 네트워크 연결 모드들이 사용될 수 있다.
[0094] 메일 및 브라우저 관리 애플리케이션들(610)은 특별한 상태를 가지며, 임의적 래핑된 애플리케이션들이 일반적으로 이용가능하지 않을 수 있는 시설들을 사용할 수 있다. 예컨대, 메일 애플리케이션은 전체 AG 로그온을 요구하지 않고 연장된 시간 기간 동안 그 메일 애플리케이션이 메일 서버(예컨대, 익스체인지)에 액세스하도록 하는 특별한 배경 네트워크 액세스 메커니즘을 사용할 수 있다. 브라우저 애플리케이션은 상이한 종류의 데이터를 분리하기 위하여 다수의 사설 데이터 볼트들을 사용할 수 있다.
[0095] 이러한 아키텍처는 다양한 다른 보안 특징들의 통합을 지원한다. 예컨대, 일부 경우들에서, 클라우드 게이트웨이(606)(자신의 게이트웨이 서비스들을 포함함)는 디렉토리 서비스 패스워드들, 예컨대 액티브 디렉토리(AD) 패스워드들을 검증할 필요가 없을 수 있다. 일부 상황들에서 디렉토리 서비스 패스워드가 일부 사용자들에 대한 인증 인자로서 사용될 수 있는지는 기업의 재량으로 맡겨질 수 있다. 상이한 인증 방법들은 사용자가 온라인인 경우 또는 오프라인인 경우에 (예컨대, 네트워크에 연결되거나 또는 연결되지 않는 경우에) 사용될 수 있다.
[0096] 스텝 업(step up) 인증은 클라우드 게이트웨이(606)가 강한 인증을 요구하는 높게 분류된 데이터에 대해 액세스하도록 허용되는 관리 네이티브 애플리케이션들(610)을 식별할 수 있고 비록 이것이, 재인증이 이전의 약한 로그인 레벨 이후에 사용자에 의해 요구되는 것을 의미할지라도, 적절한 인증을 수행한 이후에만 이들 애플리케이션들에 대한 액세스가 허용되도록 하는 것이 특징이다.
[0097] 이러한 솔루션의 다른 보안 특징은 모바일 디바이스(602)상의 데이터 볼트들(616)(컨테이너들)의 암호화이다. 볼트들(616)은 파일들, 데이터베이스들, 및 구성들을 포함하는 모든 온-디바이스 데이터가 보호되도록 암호화될 수 있다. 온라인 볼트들의 경우에 키들이 서버(예컨대, 클라우드 게이트웨이)에 저장될 수 있으며, 오프-라인 볼트들의 경우에 키들의 로컬 복사본이 사용자 패스워드에 의해 보호될 수 있다. 데이터가 보안 컨테이너(616)에서 디바이스(602)상에 국부적으로 저장될 때, AES 256 암호화 알고리즘이 최소로 활용되는 것이 바람직하다.
[0098] 다른 보안 컨테이너 특징들이 또한 구현될 수 있다. 예컨대, 애플리케이션(610)내에서 발생하는 모든 보안 이벤트들이 로깅되어 백엔드에 보고되는 로깅 특징이 포함될 수 있다. 데이터 와이프가 지원될 수 있고, 예컨대 애플리케이션(610)이 탬퍼링(tampering)을 검출하면 연관된 암호화 키들이 랜덤 데이터로 쓰여질 수 있으며, 따라서 사용자 데이터가 파괴된 파일 시스템상에는 힌트가 남겨지지 않는다. 스크린샷 보호(screenshot protection )는 임의의 데이터가 스크린샷들에 저장되는 것을 애플리케이션이 방지할 수 있는 다른 특징이다. 예컨대, 키 윈도우의 은폐 특성은 YES로 세팅될 수 있다. 이는 스크린상에 현재 디스플레이되고 있는 모든 콘텐츠가 은폐되도록 할 수 있으며, 따라서 임의의 콘텐츠가 정상적으로 상주할 블랭크 스크린샷을 초래한다.
[0099] 로컬 데이터 전달은 예컨대 임의의 데이터가 애플리케이션 컨테이너 외부로 국부적으로 전달되는 것을 방지함으로써, 예컨대 임의의 데이터를 복사하거나 또는 이를 외부 애플리케이션에 송신함으로써 방지될 수 있다. 키보드 캐시 특징은 민감한 텍스트 필드들에 대한 자동보정 기능을 디스에이블하도록 동작할 수 있다. SSL 인증 검증은 동작가능할 수 있으며, 따라서 애플리케이션은 그것이 키체인에 저장되는 대신에 서버 SSL 인증서를 상세하게 검증한다. 암호화 키 생성 특징은 (오프라인 액세스가 요구되는 경우에) 디바이스상의 데이터를 암호화하기 위하여 사용되는 키가 사용자에 의해 공급되는 패스프레이즈(passphrase)를 사용하여 생성되도록 사용될 수 있다. 이는 오프라인 액세스가 요구되지 않는 경우에 서버측에서 랜덤하게 생성되어 저장되는 다른 키들과 XOR 연산될 수 있다. 키 유도 함수들은 사용자 패스워드로부터 생성된 키들이 키의 암호 해시를 생성하는 것보다 오히려 KDF들(키 유도 함수들, 특히 PBKDF2)을 사용하도록 동작할 수 있다. 후자는 무차별 대입 공격(brute force attack) 또는 디렉토리 공격에 취약한 키를 만든다.
[0100] 추가로, 하나 이상의 초기화 벡터들이 암호화 방법들에서 사용될 수 있다. 초기화 벡터는 동일한 암호화된 데이터의 다수의 복사본들이 상이한 암호 텍스트 출력을 초래하도록 할 수 있으며, 따라서 리플레이 및 암호해독 공격들이 방지된다. 이는 또한 데이터를 암호화하기 위하여 사용되는 특정 초기화 벡터가 알려지지 않은 경우에 암호화 키가 도난당했을지라도 공격자가 임의의 데이터를 암호해독하는 것을 방지할 수 있다. 추가로, 인증 및 이후 암호해독이 사용될 수 있으며, 여기서 사용자가 애플리케이션 내에서 인증된 이후에만 애플리케이션 데이터가 암호해독된다. 다른 특징은 필요할 때만 (디스크가 아니라) 메모리에서 유지될 수 있는, 메모리내의 민감 데이터와 관련될 수 있다. 예컨대, 로그인 크리덴션들은 로그인 이후에 메모리로부터 지워질 수 있으며, 암호화 키들 및 목적-C 인스턴스 변수들 내의 다른 데이터가 저장되지 않는데, 왜냐하면 이들 데이터는 용이하게 참조될 수 있기 때문이다. 대신에, 메모리는 이들을 위해 수동으로 할당받을 수 있다.
[0101] 인액티비티 타임아웃(inactivity timeout)이 구현될 수 있으며, 여기서 인액티비티의 정책-정의된 기간 이후에 사용자 세션이 종료된다.
[0102] 관리 프레임워크(614)로부터의 데이터 누출은 다른 방식들로 방지될 수 있다. 예컨대, 애플리케이션(610)이 배경으로 될 때, 메모리는 미리 결정된(구성가능) 시간 기간 이후에 클리어(clear)될 수 있다. 배경화 될 때, 전경화 프로세스(foregrounding process)를 고정시키기 위하여 애플리케이션의 마지막으로 디스플레이된 스크린에서 스냅샷이 취해질 수 있다. 스크린샷은 컨피덴셜 데이터를 포함할 수 있고 따라서 클리어되어야 한다.
[0103] 다른 보안 특징은 하나 이상의 애플리케이션들에 액세스하기 위해 디렉토리 서비스(622) 패스워드를 사용하지 않고 OTP(one time password)(620)를 사용하는 것과 관련된다. 일부 경우들에서, 일부 사용자들은 자신들의 디렉토리 서비스 패스워드를 알지 못하며(또는 그들의 디렉토리 서비스 패스워드를 알도록 허용되지 않으며) 따라서 이들 사용자들은 OTP(620)를 사용하여, 예컨대 SecurID와 같은 하드웨어 OTP 시스템을 사용하여 인증할 수 있다(OTP들은 또한 Entrust 또는 Gemalto와 같은 상이한 벤더들에 의해 제공될 수 있다). 일부 경우들에서, 사용자가 사용자 ID로 인증한 이후에, 텍스트가 OTP(620)와 함께 사용자에게 송신된다. 일부 경우들에서, 이는 프롬프트가 단일 필드인 경우에 단지 온라인 사용을 위해서만 구현될 수 있다.
[0104] 오프라인 패스워드는 기업 정책을 통해 오프라인 사용이 허용되는 애플리케이션들(610)에 대한 오프라인 인증을 위하여 구현될 수 있다. 예컨대, 기업은 스토어 프런트가 이러한 방식으로 액세스되는 것을 원할 수 있다. 이러한 경우에, 수신기(604)는 사용자가 맞춤형 오프라인 패스워드를 세팅할 것을 요구할 수 있으며, 디렉토리 서비스 패스워드는 사용되지 않는다. 클라우드 게이트웨이(606)는 표준 윈도우즈 서버 패스워드 복잡성 요건들이 수정될 수 있을 지라도 이 요건들에 의해 기술되는 것과 같은 최소 길이, 캐릭터 클래스 구성(character class composition) 및 패스워드들의 수명에 대해 패스워드 표준들을 제어하고 시행하기 위한 정책들을 제공할 수 있다.
[0105] 다른 특징은 (관리 프레임워크 마이크로 VPN 특징을 통해 PKI 보호 웹 자원들에 액세스하기 위한) 2차 크리덴셜들로서 특정 애플리케이션들(610)에 대한 클라이언트측 인증서를 인에이블하는 것과 관련된다. 예컨대, 메일 애플리케이션은 이러한 인증서를 활용할 수 있다. 이러한 경우에, 모바일 데이터 동기화 프로토콜(예컨대, ActiveSync에 의해 사용되는 프로토콜)을 사용한 인증서-기반 인증이 지원될 수 있으며, 여기서 수신기(604)로부터의 인증서는 클라우드 게이트웨이(606)에 의해 리트리브되고 키체인으로 사용될 수 있다. 각각의 관리 애플리케이션은 클라우드 게이트웨이에서 정의되는 라벨에 의해 식별되는 하나의 연관된 클라이언트 인증서를 가질 수 있다.
[0106] 클라우드 게이트웨이(606)는 관련된 관리 애플리케이션들이 내부 PKI 보호 자원들을 인증하도록 클라이언트 인증서들을 발행하는 것을 지원하기 위하여 기업 특수 목적 웹 서비스와 상호작용할 수 있다.
[0107] 수신기(604) 및 관리 프레임워크(614)는 내부 PKI 보호 네트워크 자원들을 인증하기 위한 클라이언트 인증서들을 획득하여 사용하는 것을 지원하도록 시행될 수 있다. 예컨대 보안 및/또는 분리 요건들의 다양한 레벨들을 매칭시키기 위하여 2개 이상의 인증서가 지원될 수 있다. 인증서들은 메일 및 브라우저 관리 애플리케이션들에 의해, 궁극적으로 임의적 래핑된 애플리케이션들에 의해 사용될 수 있다 (관리 프레임워크가 https 요청들을 중재하는 것이 타당한 웹 서비스 스타일 통신 패턴들을 이들 애플리케이션들이 사용하는 경우에).
[0108] iOS상에서의 관리 프레임워크 클라이언트 인증서 지원은 각각의 사용 기간 동안 각각의 관리 애플리케이션에서 PKCS 12 BLOB (Binary Large Object)를 iOS 키체인에 임포트(import)하는 것에 의존할 수 있다. 관리 프레임워크 클라이언트 인증서 지원은 사설 인-메모리 키 스토리지(private in-memory key storage)를 가진 HTTPS 구현을 사용할 수 있다. 클라이언트 인증서는 iOS 키체인에서 제시되지 않을 수 있으며 그리고 강하게 보호되는 "온라인-전용" 데이터 값을 잠재적으로 제외하고 지속되지 않을 수 있다.
[0109] 상호 SSL은 또한 모바일 디바이스(602)가 기업에게 인증될 것을 요구함으로써 추가 보안을 제공하도록 구현될 수 있으며, 이와 반대의 경우도 마찬가지다. 클라우드 게이트웨이(606)에 인증하기 위한 가상 스마트 카드들이 또한 구현될 수 있다.
[0110] 제한된 그리고 전체 케베로스 지원 둘다가 추가 특징들일 수 있다. 전체 지원 특징은 디렉토리 서비스 패스워드 또는 신뢰성 있는 클라이언트 인증서를 사용하여 디렉토리 서비스(622)에 대해 전체 케베로스 로그인을 수행하고 HTTP 교섭 인증 챌린지들에 응답하기 위하여 케베로스 서비스 티켓들을 획득하는 능력과 관련된다. 제한된 지원 특징은 AFEE에서의 강제 위임(constrained delegation)과 관련되며, 여기서 AFEE는 케베로스 프로토콜 전환을 인보크하는 것을 지원하며, 따라서 이는 HTTP 교섭 인증 챌린지들에 응답하여 (강제 위임 대상인) 케베로스 서비스 티켓들을 획득하여 사용할 수 있다. 이러한 메커니즘은 리버스 웹 프록시(CVPN으로도 지칭됨) 모드에서 그리고 http(https가 아님) 연결들이 VPN 및 마이크로 VPN 모드에서 프록시될 때 작동한다.
[0111] 다른 특징은 애플리케이션 컨테이너 로킹(locking) 및 와이핑(wiping)과 관련되며, 이는 자일-브레이크(jail-break) 또는 루팅 검출시 자동적으로 발생하며 관리 콘솔로부터의 푸시 커맨드(pushed command)로서 발생할 수 있으며 그리고 애플리케이션(610)이 실행되지 않을 때 조차 원격 와이프 기능(remote wipe functionality)을 포함할 수 있다.
[0112] 스토어 프론트 및 애플리케이션 제어기의 멀티-사이트 아키텍처 또는 구성이 지원될 수 있으며, 이는 사용자들로 하여금 실패의 경우에 여러 상이한 위치들 중 하나의 위치로부터 서비스받도록 한다.
[0113] 일부 경우들에서, 관리 애플리케이션들(610)은 API(예시적인 OpenSSL)를 통해 인증서 및 개인 키에 액세스하도록 허용될 수 있다. 기업의 신뢰성 있는 관리 애플리케이션들(610)은 애플리케이션의 클라이언트 인증서 및 개인 키를 사용하여 특정 공개 키 동작들을 수행하도록 허용될 수 있다. 따라서, 예컨대, 애플리케이션이 브라우저와 같이 동작하며 인증서 액세스가 요구되지 않을 때, 애플리케이션이 "나는 누구인가"에 대한 인증서를 판독할 때, 애플리케이션이 보안 세션 토큰을 구축하기 위하여 인증서를 사용할 때, 그리고 애플리케이션이 중요한 데이터에 대한 디지털 서명(예컨대, 트랜잭션 로그)을 위해 또는 일시적 데이터 암호화를 위해 개인 키들을 사용할 때, 다양한 사용의 경우들이 식별되어 처리될 수 있다.
[0114] 관리 모바일 애플리케이션들의 식별
[0115] 도 7에서, 예시적인 모바일 디바이스 관리 시스템(700)이 도시된다. 시스템(700)은 도 5 및 도 6을 참조로 하여 앞서 각각 설명된 시스템들(500 및 600)과 많은 측면들에서 유사할 수 있다. 시스템(700)은 또한 단순화를 위하여 앞서 설명된 특정 컴포넌트들을 생략할 수 있으며, 앞서 언급되지 않은 추가 특징들을 포함할 수 있다.
[0116] 모바일 디바이스 관리 시스템(700)은 네트워크(706)를 통해 하나 이상의 모바일 디바이스들(704)과 신호 통신하는 기업 시스템(702)을 포함할 수 있다. 기업 시스템은 기업 애플리케이션 서버(708), 액세스 게이트웨이(710), 및 기업 자원들(712)과 같은 하나 이상의 컴퓨팅 자원들을 포함할 수 있다.
[0117] 기업 애플리케이션 서버(708)는 도 5를 참조로 하여 앞서 논의된 애플리케이션 스토어(578)와 많은 측면들에서 유사할 수 있다. 기업 애플리케이션 서버(708)는 모바일 디바이스, 예컨대 모바일 디바이스(704)에 설치하기 위하여 이용가능한 모바일 애플리케이션들(714)에의 액세스를 제공할 수 있다. 앞서 언급한 바와같이, 모바일 애플리케이션들(714)은 보안 모바일 애플리케이션 및 비보안 모바일 애플리케이션 둘다를 포함할 수 있다. 따라서, 모바일 애플리케이션들(714)은 도 5를 참조로 하여 앞서 설명된 비래핑된 애플리케이션들(180) 및 사전-래핑된 애플리케이션들(182)에 대응할 수 있다. 앞서 또한 언급한 바와같이, 보안 모바일 애플리케이션은 보안 애플리케이션 래퍼로 래핑될 수 있으며, 보안 애플리케이션 래퍼는 보안 모바일 애플리케이션을 관리하고 이 보안 모바일 애플리케이션의 실행을 제어한다. 이와 관련하여, 보안 모바일 애플리케이션, 래핑된 모바일 애플리케이션 또는 등록된 모바일 애플리케이션은 또한 관리 모바일 애플리케이션으로서 지칭될 수 있다.
[0118] 기업 애플리케이션 서버(708)는 또한 모바일 애플리케이션들(714)과 각각 연관된 애플리케이션 정책들(716) 및 애플리케이션 메타데이터(718)에의 액세스를 제공할 수 있다. 애플리케이션 정책(716)은 모바일 애플리케이션의 관리가 실현되게 하는 메커니즘들 중 하나의 메커니즘을 나타낼 수 있다. 앞서 언급한 바와같이, 애플리케이션 정책(716)은 어떤 사용자들이 관리 모바일 애플리케이션을 활용할 수 있는지, 관리 모바일 애플리케이션이 어떤 컴퓨팅 자원들에 액세스할 수 있는지, 모바일 디바이스에서 실행할 때 관리 모바일 애플리케이션에서 이용가능한 사양들, 및 이들의 조합들에 관한 권리들 및 자격들을 정의할 수 있다.
[0119] 애플리케이션 메타데이터(718)는 모바일 애플리케이션을 설명하고 그리고/또는 식별하는 정보를 지칭한다. 애플리케이션 메타데이터(718)는 새로운 모바일 애플리케이션의 빌드 프로세스(build process) 동안 생성될 수 있으며, 새로운 모바일 애플리케이션이 기업 애플리케이션 서버에 발표될 때 기업 애플리케이션 서버(708)를 통해 이용가능하게 만들어질 수 있다. 애플리케이션 메타데이터(718)는 예컨대 모바일 애플리케이션의 이름, 모바일 애플리케이션의 크기, 모바일 애플리케이션에 대한 고유 식별자, 모바일 애플리케이션의 버전 등을 포함할 수 있다. 이하에서 추가로 논의되는 바와같이, 애플리케이션 메타데이터(718)는 또한 모바일 애플리케이션의 아이덴티티를 검증하는데 유용한 정보를 포함할 수 있다.
[0120] 액세스 게이트웨이(710)는 모바일 디바이스, 예컨대 모바일 디바이스(704)에서 동작하는 관리 모바일 애플리케이션에 의한 기업 자원들(712)에의 액세스를 용이하게 할 수 있다. 액세스 게이트웨이(710)는 도 5 및 도 6을 참조로 하여 앞서 각각 설명된 액세스 게이트웨이(160) 및 클라우드 게이트웨이(606)와 많은 측면들에서 유사할 수 있다. 기업 자원들(712)은 도 5 및 도 6을 참조로 하여 앞서 각각 또한 설명된, 기업 자원들(504 및 608) 뿐만아니라 기업 서비스들(508 및 609)에 대응할 수 있다. 일단 검증되고, 인증되어 허가되면, 모바일 애플리케이션들은 앞서 설명된 바와같이 액세스 게이트웨이(710)를 통해 기업 자원들(712)에 액세스할 수 있다.
[0121] 관리 모바일 애플리케이션들(720) 뿐만아니라 비관리 모바일 애플리케이션들(722)은 모두 모바일 디바이스(704)에 상주할 수 있다. 액세스 관리자 애플리케이션(724)은 또한 모바일 디바이스(704)에 상주할 수 있으며, 모바일 디바이스상의 관리 모바일 애플리케이션들(720)의 실행을 관리할 수 있다. 관리 모바일 애플리케이션 및 비관리 모바일 애플리케이션 둘다를 포함하는 모바일 디바이스는 비관리 모바일 디바이스로서 지칭될 수 있는데, 왜냐하면 기업이 단지 그 모바일 디바이스의 관리 모바일 애플리케이션들을 제어하는 기능만을 갖추고 있고 모바일 디바이스, 예컨대 비관리 애플리케이션들의 다른 양상들을 제어하는 것을 갖추고 있지 않을 수 있기 때문이다. 모바일 디바이스(704)가 관리 모바일 애플리케이션(720) 및 비관리 모바일 애플리케이션들(722)을 포함하기 때문에, 도 7에서 예로서 도시된 모바일 디바이스는 비관리 모바일 디바이스로서 지칭될 수 있으며, 개인의 개인 모바일 디바이스를 나타낼 수 있다.
[0122] 액세스 관리자 애플리케이션(724)("액세스 관리자")은 도 6을 참조로 하여 앞서 논의된 수신기(604)와 많은 측면들에서 유사할 수 있다. 이하에서 추가로 논의되는 바와같이, 액세스 관리자(724)는 사용자 인증, 모바일 애플리케이션 아이덴티티의 검증 및 모바일 애플리케이션 정책들의 시행을 관리할 수 있다. 사용자는 모바일 디바이스(704)에 액세스 관리자(724)를 초기에 다운로드하여 설치하기 위하여 (예컨대, 웹 브라우저를 통해) 기업 애플리케이션 서버(708)에 액세스할 수 있다. 앞서 논의한 바와같이, 액세스 관리자(724)는 또한 사용자가 기업 시스템(702)으로부터 구매가능한 모바일 애플리케이션들을 브라우징하고, 다운로드하며 설치하는 것을 가능하게 하는, 기업 애플리케이션 서버(708)에 대한 인터페이스의 역할을 할 수 있다.
[0123] 사용자가 관리 모바일 애플리케이션(720)을 모바일 디바이스(704)에 다운로드할 때, 액세스 관리자(724)는 또한 관리 모바일 애플리케이션(720)과 연관된 애플리케이션 메타데이터(718) 뿐만아니라 관리 모바일 애플리케이션과 연관된 임의의 애플리케이션 정책들(716)을 다운로드할 수 있다. 앞서 논의한 바와같이, 액세스 관리자(724)는 모바일 애플리케이션(720)에 대한 애플리케이션 메타데이터(718)를 기업 애플리케이션 서버(708)로부터 수신할 수 있다. 일부 예시적인 구현들에서, 액세스 관리자(724)는 모바일 디바이스(704)의 보안 위치에, 예컨대 도 5의 보안 데이터 컨테이너(528) 및/또는 도 6의 보안 데이터 볼트들(616)에 애플리케이션 메타데이터(718) 및 애플리케이션 정책들(716)을 저장할 수 있다.
[0124] 액세스 관리자(724)는 또한 모바일 디바이스(704)에 현재 설치되어 있고 액세스 관리자의 관리하에 있는 관리 모바일 애플리케이션들의 리스트(726)를 포함할 수 있다. 새로운 관리 모바일 애플리케이션의 설치시에, 액세스 관리자(724)는 관리 모바일 애플리케이션 리스트(726)에 새로운 엔트리를 추가할 수 있다. 리스트(726)의 새로운 엔트리는 모바일 디바이스(704)에 설치된 새로운 관리 모바일 애플리케이션에 대응할 수 있다.
[0125] 앞서 언급한 바와같이, 액세스 관리자(724)는 예컨대 관리 모바일 애플리케이션이 그 자체를 정확하게 식별하였음을 보장하고 그리고/또는 관리 모바일 애플리케이션이 모바일 디바이스(704)에 설치된 이후에 변경되지 않았음을 보장하기 위하여, 관리 모바일 애플리케이션(720)의 아이덴티티를 검증하도록 구성될 수 있다. 액세스 관리자는 관리 모바일 디바이스(720)의 아이덴티티를 검증하기 위하여 애플리케이션 메타데이터(718)에 포함된 식별 정보(728)에 의존할 수 있다. 일부 예시적인 실시예들에서, 액세스 관리자(724)는 관리 모바일 애플리케이션의 아이덴티티를 검증하기 위하여 관리 모바일 애플리케이션(720)이 동작중인 모바일 플랫폼에 의존할 수 있다. 모바일 플랫폼의 운영 체제는 관리 모바일 애플리케이션에 대한 저장된 식별 정보와 액세스 관리자(724)가 비교할 수 있는 식별 정보를 생성할 수 있다. 만일 저장된 식별 정보가 운영 체제로부터 수신된 식별 정보와 매칭되면, 액세스 관리자(724)는 관리 모바일 애플리케이션(720)을 신뢰성 있는 모바일 애플리케이션으로서 식별하고, 기업 자원들(712)에 대한 액세스를 승인할 수 있다. 만일 관리 모바일 애플리케이션에 대한 저장된 식별 정보가 운영 체제로부터 수신된 식별 정보와 매칭되지 않으면, 액세스 관리자(724)는 관리 모바일 애플리케이션(720)을 의심스럽거나 또는 신뢰할 수 없는 모바일 애플리케이션으로서 식별하고 기업 자원들(712)에 대한 액세스를 거절할 수 있다. 앞서 언급한 바와같이, 액세스 관리자(724)는 또한 모바일 디바이스(704) 그 자체에 있는 국부 컴퓨팅 자원들에 대한 액세스를 승인하거나 또는 거절할 수 있다. 모바일 디바이스(704)의 국부 컴퓨팅 자원들은 예컨대 카메라 또는 다른 기록 하드웨어; 위치 기반 서비스, 예컨대 GPS, 네트워크 서비스들, 예컨대 셀룰라 또는 인터넷 서비스들, 통신 서비스들, 예컨대 블루투스, 인터페이스 커맨드들, 예컨대 컷-앤드-페이스트(cut-and-paste) 및 스크린샷 사양들을 포함할 수 있다.
[0126] 다른 예시적인 실시예들에서, 액세스 관리자(724)는 관리 모바일 애플리케이션(720) 그 자체를 식별하기 위하여 관리 모바일 애플리케이션(720)에 챌린징할 수 있다. 액세스 관리자(724)는 관리 모바일 애플리케이션(720)에 챌린지 요청을 발행하고 예상 챌린지 응답을 결정할 수 있다. 예상 챌린지 응답은 그 자체를 정확하게 식별하였고 변경되지 않았던 관리 모바일 애플리케이션으로부터 수신되는 것으로 예상된 응답이다. 이하에서 추가로 설명되는 바와같이, 그 자체를 정확하게 식별하였고 변경되지 않았던 모바일 애플리케이션만이 예상된 챌린징된 응답을 생성할 수 있을 것이다. 만일 관리 모바일 애플리케이션(720)으로부터 수신된 응답이 예상된 응답과 매칭되면, 액세스 관리자(724)는 관리 모바일 애플리케이션(720)을 신뢰성 있는 모바일 애플리케이션으로 식별할 수 있다. 만일 관리 모바일 애플리케이션(720)을 신뢰성 있는 모바일 애플리케이션으로서 식별하였다면, 액세스 관리자는 기업 자원들(712)에 액세스하는데 필요한 크리덴셜들을 관리 모바일 애플리케이션에 제공할 수 있다. 만일 관리 모바일 애플리케이션(720)으로부터 수신된 응답이 예상된 응답과 매칭되지 않으면, 액세스 관리자는 관리 모바일 애플리케이션을 의심스럽거나 또는 신뢰할 수 없는 모바일 애플리케이션으로서 식별할 수 있으며, 기업 자원들(712)에 대한 액세스를 거절할 수 있다. 다시, 액세스 관리자(724)는 관리 모바일 애플리케이션(720)으로부터 수신된 응답이 예상된 응답과 매칭되는지의 여부에 따라 모바일 디바이스(704)의 국부 컴퓨팅 자원들에 대한 액세스를 승인하거나 또는 거절할 수 있다.
[0127] 예상된 응답은 관리 모바일 애플리케이션(720)과 연관되는 애플리케이션 메타데이터(718)에 포함된 식별 정보(728)에 적어도 부분적으로 기초할 수 있다. 식별 정보는 모바일 애플리케이션 그 자체가 생성될 때 생성될 수 있다. 식별 정보는 예컨대 애플리케이션 서명을 생성하기 위하여 사용될 수 있는 원래의 디지털 인증서 또는 원래의 정보일 수 있다. 따라서, 예상된 응답은 식별 정보(728)를 포함할 수 있거나 또는 그렇지 않은 경우에 식별 정보(728)에 대응할 수 있다. 이하에서 추가로 설명되는 바와같이, 차후에 변경되는 모바일 애플리케이션 또는 거짓 아이덴티티(false identity)를 제출하는 모바일 애플리케이션은 예상된 응답을 생성할 수 없고 따라서 컴퓨팅 자원들에 대한 액세스를 획득할 수 없다.
[0128] 관리 모바일 애플리케이션의 아이덴티티를 검증하기 위한 다양한 접근법들이 선택적으로 사용될 수 있다. 궁극적으로 구현되는 특정 접근법은 모바일 디바이스(704)의 운영 체제 및 모바일 플랫폼에 의존할 수 있다. 예컨대, 캘리포니아 마운틴 뷰에 위치한 Google Inc.로부터 구매가능한 안드로이드 운영 체제는 액세스 관리자가 컴퓨팅 자원들에 대한 액세스를 요청하는 모바일 애플리케이션을 강력하게 식별할 수 있게 하는 메커니즘들을 포함할 수 있다. 당업자는 기업 자원들(712)과 같은 컴퓨팅 자원들에 대한 액세스를 요청하는 관리 모바일 애플리케이션의 아이덴티티를 검증하기 위하여 액세스 관리자(724)가 활용할 수 있는 애플리케이션의 서명 인증서를 요청하기 위한 빌트-인 메커니즘들을 안드로이드 운영 체제가 포함할 수 있음을 인식할 것이다. 안드로이드 운영 체제는 애플리케이션이 설치 이후에 변경되는 것을 막을 수 있고 모바일 애플리케이션이 상이한 모바일 애플리케이션에 대하여 생성된 서명 인증서를 사용하는 것을 막을 수 있다는 것이 또한 인식될 것이다. 이러한 방식으로, 액세스 관리자(724)는 관리 모바일 애플리케이션의 아이덴티티를 검증하기 위하여 모바일 플랫폼의 운영 체제에 의해 제공되는 서명 인증서들에 의존할 수 있다. 서명 인증서들을 사용하여 애플리케이션 아이덴티티를 검증하는 것은 이하에서 추가로 더 상세히 논의될 것이다.
[0129] 그러나, 다른 운영 체제들은 액세스 관리자(724)가 컴퓨팅 자원들에 대한 액세스를 요청하는 관리 모바일 애플리케이션의 아이덴티티를 검증하는 것에 의존할 수 있는 빌트-인 메커니즘들을 포함하지 않을 수 있다. 예컨대, 캘리포니아 쿠퍼티노에 위치한 Apple Inc.로부터 구매가능한 iOS 운영 체제는 관리 모바일 애플리케이션에 대한 서명 인증서를 요청하기 위한 메커니즘들을 포함하지 않을 수 있다. 더욱이, iOS에서 프로세스-간 통신을 위하여 이용가능한 방법들은 통신의 각각의 끝에서 모바일 애플리케이션들의 아이덴티티를 검증하기 위한 메커니즘들을 포함하지 않을 수 있다. iOS 플랫폼상에서 동작하는 모바일 애플리케이션들은 예컨대 카피-앤-페이스트(copy-and-paste) 절차를 통해, 어그리드 투 URL 방식(agreed to URL scheme)을 통해 또는 네트워크를 통해 통신들을 교환할 수 있다.
[0130] 일부 예시적인 구현들에서, 액세스 관리자(724) 및 관리 모바일 애플리케이션(720)은 네트워크를 통해, 예컨대 전송 제어 프로토콜(TCP: transmission control protocol)을 통해 통신하도록 구성될 수 있다. 이러한 예에서, 액세스 관리자(724)는 TCP 소켓을 열고 관리 모바일 애플리케이션(720)으로부터 연결 요청을 수신하는 것을 대기할 수 있다. 그러나, TCP가 액세스 관리자(724)에 대한 연결을 요청하는 관리 모바일 애플리케이션을 식별하기 위한 메커니즘을 포함하지 않는다는 것이 인식될 것이다. iOS 플랫폼이 요청을 하는 모바일 애플리케이션에 대한 서명 인증서를 획득하기 위한 메커니즘을 포함하지 않을 수 있기 때문에, 요청하는 모바일 애플리케이션의 아이덴티티를 검증하기 위한 추가 단계들이 사용될 수 있다. 서명 인증서에 의존하는 것에 대신에, 이러한 예에서 액세스 관리자(724)는 이하에서 제시된 바와같이 관리 모바일 애플리케이션(720)에 임베딩되고 그리고/또는 관리 모바일 애플리케이션(720)으로부터 유도되는 식별 정보(732)에 적어도 부분적으로 의존할 수 있다.
[0131] 앞서 논의된 래핑 프로세스는 관리 모바일 애플리케이션으로서 동작하도록 모바일 애플리케이션을 구성할 수 있다. 이와 관련하여, 래핑 프로세스는 관리 모바일 애플리케이션(720)에 관리 프레임워크(730)를 포함시킬 수 있다(예컨대, 관리 모바일 애플리케이션(720)에 관리 프레임워크(730)를 삽입하고, 임베딩하고, 래핑하는 등을 수행할 수 있다). 관리 프레임워크(730)는 도 5 및 도 6를 참조로 하여 앞서 각각 논의된 보안 애플리케이션 래퍼(120) 및 관리 프레임워크(614)에 대응할 수 있다. 도 6을 참조로 하여 앞서 논의된 바와같이, 관리 프레임워크(730)는 액세스 관리자(724)가 모바일 애플리케이션(720)의 동작을 관리하는 것을 가능하게 한다.
[0132] 관리 모바일 애플리케이션(720)은 또한 액세스 관리자(724)에 그 자체를 식별하기 위하여 관리 프레임워크(730)를 사용할 수 있다. 특히, 관리 프레임워크(730)는 아이덴티티 검증 절차 동안 액세스 관리자(724)에 의해 제기된 챌린지에 대한 응답을 생성할 수 있다.
[0133] 일부 예시적인 구현들에서, 관리 모바일 애플리케이션(720)의 관리 프레임워크(730)는 애플리케이션 서명을 생성하도록 구성될 수 있다. 관리 프레임워크(730)는 또한 이러한 애플리케이션 서명에 적어도 부분적으로 기초하는 챌린지 응답을 제공하도록 구성될 수 있다. 차례로, 애플리케이션 서명은 관리 모바일 애플리케이션(720)에 임베딩되고 그리고/또는 관리 모바일 애플리케이션(720)으로부터 유도된 식별 정보(732)에 기초할 수 있다. 달리 말하면, 관리 프레임워크(730)는 관리 모바일 애플리케이션(720)과 연관된 정적 정보 및 동적 정보에 기초하여 애플리케이션 서명을 생성할 수 있다.
[0134] 정적 정보는 앞서 설명된 래핑 프로세스 동안 관리 모바일 애플리케이션(720)에 임베딩되는 시크릿 정보(secret information)일 수 있다. 예컨대, 시크릿 정보는 래핑 프로세스 동안 애플리케이션에 임베딩된 하나 이상의 식별 토큰들(734)을 포함할 수 있다. 식별 토큰들(734)은 예컨대 관리 모바일 애플리케이션(720)의 바이너리(binary)로 임베딩된 랜덤화된 알파뉴메릭 스트링(randomized alphanumeric string)들일 수 있다. 관리 프레임워크(730)는 액세스 관리자(724)로부터 수신된 챌린지에 응답하기 위하여 애플리케이션 서명을 구성할 때 식별 토큰들(734)을 추출하도록 구성될 수 있다.
[0135] 동적 정보는 관리 모바일 애플리케이션(720)으로부터 유도된 식별 토큰들일 수 있다. 예컨대, 유도된 식별 토큰들은 모바일 애플리케이션 번들(bundle)의 다양한 컴포넌트들, 예컨대 모바일 애플리케이션 바이너리, 애플리케이션 아이콘, 애플리케이션 프레임워크들 등에 대하여 선택적 해시 함수들을 사용하여 획득된 해시 값들일 수 있다. 액세스 관리자(724)는 아이덴티티 검증 절차 동안 ad hoc 형식으로 이러한 동적 식별 정보를 유도할 수 있다. 하나 이상의 선택적 해시 함수들은 유도된 식별 토큰들을 나타내는 하나 이상의 선택적 해시 값들을 생성하기 위하여 사용될 수 있다. 액세스 관리자는 필요에 따라 관리 모바일 애플리케이션(720)으로부터 동적 식별 정보를 유도하는 것을 돕기 위하여 관리 프레임워크(730)를 활용할 수 있다.
[0136] 관리 프레임워크(730)는 또한 액세스 관리자(724)로부터 수신된 챌린지에 대한 응답으로 사용되는 애플리케이션 서명을 구성하도록 구성될 수 있다. 애플리케이션 서명은 관리 모바일 애플리케이션(720)으로부터 추출된 동적 정보 뿐만아니라 관리 모바일 애플리케이션으로부터 유도된 동적 정보의 조합을 포함할 수 있다. 관리 프레임워크(730)는 특정 방식으로 애플리케이션 서명내에 정적 정보 및 동적 정보를 배열하도록 추가로 구성될 수 있다. 따라서, 관리 모바일 애플리케이션에 임베딩된 정적 정보, 모바일 애플리케이션으로부터 유도된 동적 정보, 및 애플리케이션 서명 내에서의 정적 및 동적 정보의 배열을 통해 관리 모바일 장치(720)가 강력하게 식별될 수 있다.
[0137] 앞서 논의한 바와같이, 액세스 관리자(724)는 관리 모바일 애플리케이션(720)에 챌린징할 때 예상된 응답을 생성하도록 구성될 수 있다. 따라서, 액세스 관리자(724)는 예상된 애플리케이션 서명을 구성하도록 유사하게 구성될 수 있다. 액세스 관리자(724)는 관리 모바일 애플리케이션(720)에 대한 애플리케이션 메타데이터(718)에 포함된 식별 정보(728)에 기초하여 예상된 애플리케이션 서명을 구성할 수 있다. 액세스 관리자는 또한 관리 모바일 애플리케이션(720)으로부터 동적 정보를 동적으로 유도하도록 구성될 수 있다. 게다가, 액세스 관리자(724)는 특정 방식으로 예상된 애플리케이션 서명내에 정적 및 동적 정보를 배열하도록 유사하게 구성될 수 있다.
[0138] 리플레이 공격(replay attack)들에 대해 보호하기 위하여, 액세스 관리자(724)는 챌린지에 대한 응답으로 사용하기 위한 넌스(예컨대, 임의의 수 및 난수)를 관리 모바일 애플리케이션(720)에 제공할 수 있다. 액세스 관리자(724)는 예상된 해시값을 획득하기 위하여 예상된 애플리케이션 서명을 사용하여 넌스를 해싱할 수 있다. 유사하게, 관리 모바일 애플리케이션의 관리 프레임워크(730)는 응답 해시값을 획득하기 위하여, 수신된 넌스를 사용하여 애플리케이션 서명을 해싱할 수 있다. 따라서, 액세스 관리자(724)로부터의 챌린지에 응답하여, 관리 모바일 애플리케이션(720)은 애플리케이션 서명으로부터 획득된 컴퓨팅된 해시값과 액세스 관리자로부터 수신된 넌스를 액세스 관리자에 제공할 수 있다. 따라서, 액세스 관리자는 예상된 해시값을 수신된 해시값과 비교할 수 있다. 따라서, 액세스 관리자(724)는 예상된 해시값이 수신된 해시값과 매칭될 때 관리 모바일 애플리케이션(720)을 신뢰성 있는 모바일 애플리케이션으로서 식별할 수 있다.
[0139] 도 8을 참조하면, 예시적인 애플리케이션 서명 및 챌린지 응답의 블록도가 도시된다. 앞서 논의한 바와같이, 관리 모바일 애플리케이션(800)은 액세스 관리자(804)로부터의 챌린지에 응답하여 애플리케이션 서명(802)을 생성할 수 있다. 애플리케이션 서명(802)은 관리 모바일 애플리케이션(800)에 임베딩된 식별 토큰들(806) 뿐만아니라 관리 모바일 애플리케이션으로부터 유도된 식별 토큰들(808)을 포함할 수 있다. 도 8에서 알 수 있는 바와같이, 관리 모바일 애플리케이션(800)은 특정 방식으로 애플리케이션 서명(802)내에, 임베딩된 식별 토큰들(806) 및 유도된 식별 토큰들(808)을 배열할 수 있다. 예로서, 관리 모바일 애플리케이션(800)은 애플리케이션 서명을 구성하기 위하여 특정 순서로, 임베딩된 식별 토큰들(806) 및 유도된 식별 토큰들(808)을 연접할 수 있다. 다른 예에서, 관리 모바일 애플리케이션(800)은 애플리케이션 서명을 구성하기 위하여, 임베딩된 식별 토큰들(806)의 부분들 및 유도된 식별 토큰들(808)의 부분들을 연접할 수 있다. 애플리케이션 서명을 구성하기 위한 다양한 접근법들이 선택적으로 사용될 수 있다는 것이 인식될 것이다. 또한 앞서 언급한 바와같이, 액세스 관리자(804)는 관리 모바일 애플리케이션(800)에 넌스(810)를 제공할 수 있다. 관리 모바일 애플리케이션(800)은 애플리케이션 서명(802) 및 넌스(810)에 기초하여 해시 값(814)을 생성하기 위하여 해시 함수(812)를 사용할 수 있다. 관리 모바일 애플리케이션(800)은 수신된 챌린지에 대한 응답(816)으로 해시 값(814)을 액세스 관리자(802)에게 제공할 수 있다.
[0140] 관리 모바일 애플리케이션(800)의 아이덴티티를 검증하기 위하여, 액세스 관리자(804)는 애플리케이션 메타데이터(822)와 함께 저장된 식별 토큰들(820) 및 관리 모바일 애플리케이션으로부터 유도된 식별 토큰들(808)에 기초하여, 예상된 애플리케이션 서명(818)을 구성할 수 있다. 액세스 관리자(804)는 또한 넌스(810) 및 애플리케이션 메타데이터(822)로부터의 식별 토큰들(820)에 기초하여 예상된 해시값(824)을 생성하기 위하여 해시 함수(812)를 사용할 수 있다. 챌린지에 대한 응답으로, 액세스 관리자(804)는 챌린지 응답(816)을 수신할 수 있으며, 예상된 해시값(824)과 챌린지 응답의 해시값(814)을 비교할 수 있다.
[0141] 본 개시내용의 이익과 함께, 기업 애플리케이션 서버(도 7에서 708)로부터 수신된 변경되지 않은 모바일 애플리케이션만이 예상된 해시 값(824)을 생성할 수 있다는 것이 인식할 것이다. 예상된 애플리케이션 서명(818)이 모바일 디바이스에 영구적으로 저장되는 것이 아니고 오히려 컴퓨팅 자원들에 대한 액세스를 요청하는 모바일 애플리케이션(800)의 아이덴티티를 검증하도록 필요에 따라 재구성될 수 있다는 것이 또한 인식될 것이다. 따라서, 앞서 제시된 접근법은 컴퓨팅 자원들에 대한 모바일 애플리케이션 액세스를 승인하거나 또는 거절해야 하는지의 여부를 결정하기 위하여 모바일 애플리케이션을 강력하게 식별하기 위한 메커니즘을 나타낸다.
[0142] 도 9-도 14는 관리 모바일 애플리케이션의 아이덴티티를 검증하고, 일단 검증되면 애플리케이션 정책들을 시행하고 그리고 관리 모바일 애플리케이션들의 동작을 제어하는 양상들과 관련된 예시적인 방법 단계들을 도시한다.
[0143] 도 9에서, 비관리 모바일 디바이스에서 모바일 애플리케이션을 관리하기 위한 예시적인 방법 단계들의 흐름도(900)가 도시된다. 기업은 모바일 디바이스(예컨대, 비관리 모바일 디바이스)에서 동작하도록 구성되며 모바일 디바이스로부터의 컴퓨팅 자원들에 액세스하도록 구성된 관리 모바일 애플리케이션을 생성할 수 있다(블록(902)). 기업은 또한 액세스 관리자 애플리케이션에 의해 관리될 관리 모바일 애플리케이션을 모바일 디바이스에 구성할 수 있다. 앞서 논의한 바와같이, 기업은 액세스 관리자가 관리 모바일 애플리케이션의 아이덴티티를 검증하고 관리 모바일 애플리케이션의 동작을 제어하는 것을 가능하게 하는 관리 프레임워크(예컨대, MDX 프레임워크)를 래핑하거나 또는 그렇지 않은 경우에 이 관리 프레임 워크를 포함할 수 있다.
[0144] 관리 모바일 애플리케이션의 생성시, 기업은 또한 관리 모바일 애플리케이션과 연관된 식별 정보를 생성할 수 있다(블록(904)). 식별 정보는 예컨대 식별 토큰들을 포함하는 애플리케이션 메타데이터 및/또는 서명된 애플리케이션 인증서일 수 있다. 식별 토큰들은 일부 예시적인 구현들에서, 관리 모바일 애플리케이션(예컨대, 애플리케이션 바이너리)으로 임베딩될 수 있다. 사용자는 모바일 디바이스에 액세스 관리자를 다운로드하여 설치할 수 있다(블록(906)). 액세스 관리자는 기업 애플리케이션 서버(예컨대, 기업 애플리케이션 스토어)를 브라우징하고 다양한 관리 모바일 애플리케이션들을 선택하여 모바일 디바이스에 다운로드할 인터페이스를 사용자에게 제공할 수 있다. 액세스 관리자는 기업 애플리케이션 서버에 로그온하기 위하여 액세스 크리덴셜들을 제공할 것을 사용자에게 요구할 수 있다. 사용자는 사용자 프로파일과 연관될 수 있으며, 사용자 프로파일은 다양한 권리들 및 자격들과 연관될 수 있다. 이러한 방식에서, 다운로드하기 위하여 이용가능한 것으로 사용자에게 제시된 관리 모바일 애플리케이션들은 사용자에게 할당된 권리들 및 자격들에 의존하며, 예컨대 기업 애플리케이션 서버는 단지 사용자가 사용하도록 사용자에게 자격이 부여된 관리 모바일 애플리케이션들을 제시할 수 있다.
[0145] 만일 관리 모바일 애플리케이션을 선택하였다면, 사용자는 액세스 관리자를 통해 모바일 애플리케이션을 다운로드하여, 모바일 디바이스에 모바일 애플리케이션을 설치할 수 있다(블록(908)). 기업 애플리케이션 서버는 또한 모바일 애플리케이션과 연관된 식별 정보 뿐만아니라 모바일 애플리케이션과 연관된 액세스 정책을 제공할 수 있다. 따라서, 사용자가 관리 모바일 애플리케이션을 다운로드하여 설치할 때, 액세스 관리자는 또한 식별 정보를 다운로드하여 저장할 수 있고(블록(910)) 모바일 애플리케이션과 연관된 애플리케이션 정책을 다운로드하여 저장할 수 있다(블록(912)).
[0146] 만일 모바일 디바이스에 모바일 애플리케이션을 설치하였다면, 사용자는 컴퓨팅 자원에 액세스하기 위하여 모바일 애플리케이션을 활용할 수 있다. 모바일 애플리케이션이 컴퓨팅 자원에 액세스하는 것을 시도할 때, 모바일 애플리케이션은 액세스 관리자로 체크-인(check-in)하여 자원에 대한 액세스를 요청할 수 있다(블록(914)). 컴퓨팅 자원에 액세스하기 위한 요청을 수신할 때, 액세스 관리자는 기업 애플리케이션 서버로부터 수신되고 모바일 디바이스에 저장된 식별 정보를 리트리브할 수 있다(블록(916)). 액세스 관리자는 또한 모바일 운영 체제, 예컨대 서명된 애플리케이션 인증으로부터 또는 모바일 애플리케이션 그 자체, 예컨대 애플리케이션 서명에 적어도 부분적으로 기초한 해시 값으로부터 식별 정보를 수신할 수 있다(블록(918)).
[0147] 이후, 액세스 관리자는 저장된 식별 정보와 수신된 식별 정보를 비교할 수 있다(블록(920)). 만일 수신된 식별 정보가 저장된 식별 정보와 매칭되면(블록(922): Y), 액세스 관리자는 모바일 애플리케이션이 유효함을 결정하여, 모바일 애플리케이션을 신뢰성 있는 모바일 애플리케이션으로서 식별할 수 있다. 따라서, 액세스 관리자는 관리 모바일 애플리케이션이 컴퓨팅 자원에 액세스하는 것을 허용할 수 있다(블록(924)). 액세스 관리자는 예컨대 기업 자원과의 연결을 설정하고 기업 자원에 액세스하는데 필요한 액세스 크리덴셜들, 인증서들, 키들 등을 모바일 애플리케이션에 제공할 수 있다. 일부 예시적인 구현들에서, 모바일 애플리케이션과 연관된 애플리케이션 정책은 모바일 애플리케이션이 컴퓨팅 자원에 액세스하여 이를 사용하는 방식을 결정할 수 있다. 만일 수신된 식별 정보가 저장된 식별 정보와 매칭되지 않으면(블록(924): N), 액세스 관리자는 모바일 애플리케이션이 무효함을 결정하여, 모바일 애플리케이션을 신뢰성 있는 모바일 애플리케이션으로서 식별하지 않을 수 있으며, 따라서 모바일 애플리케이션이 컴퓨팅 자원에 액세스하는 것을 막을 수 있다(블록(926)).
[0148] 도 10은 비관리 모바일 디바이스에서, 관리 동작을 위한 관리 모바일 애플리케이션을 준비하기 위한 예시적인 방법 단계들의 흐름도(1000)이다. 앞서 언급한 바와같이, 일부 모바일 운영 체제들은 모바일 애플리케이션의 아이덴티티를 검증하기 위하여 액세스 관리자가 사용할 수 있는 빌트-인 메커니즘들을 제공하지 않을 수 있다. 따라서, 모바일 애플리케이션은 자신이 그 자체를 강력하게 식별할 수 있도록 구성될 수 있다. 기업은 모바일 애플리케이션을 관리 모바일 애플리케이션으로서 준비하기 위하여 툴키트(toolkit)를 사용할 수 있다(블록(1002)). 툴키트는 모바일 애플리케이션을 관리 모바일 애플리케이션으로 변환하는 기능(예컨대, MDX 프레임워크)를 추가할 수 있다(블록(1004)). 툴키트는 또한 식별 토큰들(예컨대, 랜덤화된 스트링들)을 생성하여 관리 모바일 애플리케이션으로 임베딩할 수 있다(블록(1006)). 관리 모바일 애플리케이션에 추가된 기능은 애플리케이션 서명을 구성하기 위하여 관리 모바일 애플리케이션이 임베딩된 식별 토큰들을 추출하고 배열하며 결합하는 것을 가능하게 하는 기능을 포함할 수 있다. 관리 모바일 애플리케이션에 추가된 기능은 또한 관리 모바일 애플리케이션이 식별 토큰들을 동적으로 유도할 뿐만아니라 애플리케이션 서명을 구성할 때 임베딩된 식별 토큰들과 유도된 식별 토큰들을 배열하여 결합하는 것을 가능하게 하는 기능을 포함할 수 있다. 게다가, 관리 모바일 애플리케이션에 추가된 기능은 관리 모바일 애플리케이션이 애플리케이션 서명에 적어도 부분적으로 기초하여 해시값을 생성하는 것을 가능하게 하는 기능을 부가적으로 포함할 수 있다.
[0149] 툴키트는 또한 모바일 애플리케이션에 임베딩된 식별 토큰들을 포함하는 관리 모바일 애플리케이션에 대한 애플리케이션 메타데이터를 생성할 수 있다(블록(1008)). 이후, 기업은 애플리케이션 메타데이터 및 모바일 애플리케이션과 연관된 임의의 애플리케이션 정책들과 함께 관리 모바일 애플리케이션을 기업 애플리케이션 서버에 발표할 수 있다(블록(1010)). 기업 애플리케이션 서버는 선택된 모바일 애플리케이션을 다운로드하기 위한 요청을 모바일 디바이스로부터 수신할 수 있다(블록(1012)). 만일 액세스 관리자가 모바일 디바이스에 아직 설치되지 않았다면(블록(1014): N), 기업 애플리케이션 서버는 먼저 액세스 관리자 애플리케이션을 모바일 디바이스에 다운로드할 수 있다(블록(1016)). 일단 액세스 관리자가 모바일 애플리케이션에 설치되면(블록(1014: Y), 기업 애플리케이션 서버는 요청의 수신에 응답하여, 선택된 모바일 애플리케이션을 모바일 디바이스에 다운로드할 수 있다(1018). 앞서 언급한 바와같이, 기업 애플리케이션 서버는 또한 모바일 디바이스에 저장하기 위하여, 선택된 모바일 애플리케이션과 연관된 애플리케이션 메타데이터를 모바일 디바이스에 다운로드할 수 있다. 액세스 관리자는 애플리케이션 메타데이터에 대해 액세스할 수 있으며, 따라서 액세스 관리자는 애플리케이션 메타데이터와 연관된 모바일 애플리케이션의 아이덴티티를 검증할 수 있다.
[0150] 도 11에서, 비관리 모바일 디바이스에서 관리 모바일 애플리케이션을 초기화하기 위한 예시적인 방법 단계들의 흐름도(1100)가 도시된다. 모바일 디바이스가 먼저 활성화되고 초기화될 때(블록(1102)), 액세스 관리자 애플리케이션은 론치된 제 1 모바일 애플리케이션들 중 하나일 수 있다(블록(1104)). 액세스 관리자는 예컨대 모바일 디바이스의 스타트업 프로세스의 부분으로서 그리고/또는 모바일 디바이스에서 수신되는 사용자 입력에 응답하여 자동적으로 론치할 수 있다. 액세스 관리자 애플리케이션이 론치할 때, 액세스 관리자는 사용자로부터 액세스 크리덴셜들(예컨대, 사용자이름 및 패스워드)을 요청할 수 있다(블록(1106)). 이후, 액세스 관리자는 인증을 위한 액세스 크리덴셜들을 기업 서버에 제공할 수 있다(블록(1108)). 만일 기업 서버가 사용자를 인증하지 않으면(블록(1110): N), 액세스 관리자는 모바일 디바이스의 임의의 관리 모바일 애플리케이션들이 컴퓨팅 자원들에 액세스하는 것을 막을 수 있다(블록(1112)). 예컨대, 액세스 관리자는 기업 자원들과의 연결들을 설정하는데 필요한 액세스 크리덴셜들을 모바일 애플리케이션들에 제공하지는 않을 수 있다.
[0151] 만일 기업 서버가 사용자를 인증하면(블록(1110): Y), 기업 서버는 액세스 관리자 애플리케이션이 변경되지 않도록 하기 위하여 액세스 관리자 그 자체의 아이덴티티를 검증할 수 있다(블록(1114)). 기업 서버는 관리 모바일 애플리케이션과 동일한 방식으로 액세스 관리자의 아이덴티티를 검증할 수 있다. 예로서, 액세스 관리자를 서명하기 위하여 사용되는 서명 인증서는 액세스 관리자 애플리케이션을 검증하기 위하여 사용될 수 있다. 예컨대, 기업 시스템은 관리 모바일 애플리케이션을 검증할 수 있다. 만일 액세스 관리자가 검증되지 않으면(블록(1116): N), 관리 모바일 애플리케이션들의 관리 프레임워크는 액세스 관리자를 모바일 디바이스로부터 손실한 것으로서 간주할 수 있으며, 따라서 관리 모바일 애플리케이션들은 컴퓨팅 자원들에 액세스하는 것이 방지될 수 있다(블록(1112)).
[0152] 만일 기업 서버가 액세스 관리자 애플리케이션의 아이덴티티를 검증하면(블록(1116); Y), 관리 모바일 애플리케이션이 개시될 수 있다(블록(1118)). 론치시 뿐만아니라 동작 동안, 모바일 애플리케이션은 액세스 관리자로 체크-인할 수 있으며, 따라서 액세스 관리자는 관리 모바일 애플리케이션의 아이덴티티를 검증할 수 있다(블록(1120)). 만일 액세스 관리자가 관리 모바일 애플리케이션의 아이덴티티를 검증할 수 없으면(블록(1122): N), 액세스 관리자는 관리 모바일 애플리케이션이 컴퓨팅 자원들에 액세스하는 것을 막을 수 있다(블록(1124)). 만일 액세스 관리자가 관리 모바일 애플리케이션의 아이덴티티를 성공적으로 검증하면(블록(1122): Y), 액세스 관리자는 관리 모바일 애플리케이션들을 신뢰성 있는 모바일 애플리케이션으로서 식별할 수 있다(블록(1126)). 만일 관리 모바일 애플리케이션만이 오직 모바일 디바이스에 론치하였다면, 액세스 관리자는 신뢰성 있는 모바일 애플리케이션을 포함하도록, 액세스 관리자에 의해 관리되는 모바일 애플리케이션들의 리스트를 업데이트할 수 있다(블록(1128)). 만일 관리 모바일 애플리케이션의 아이덴티티를 검증하였다면, 액세스 관리자는 또한 신뢰성 있는 모바일 애플리케이션이 컴퓨팅 자원들에 액세스하는 것을 허용할 수 있다(블록(1130)).
[0153] 도 12에는 제 1 타입의 모바일 운영 체제를 가진 비관리 모바일 디바이스의 관리 모바일 애플리케이션을 검증하기 위한 예시적인 방법 단계들의 흐름도(1200)가 도시되어 있다. 이러한 예에서, 모바일 운영 체제는 모바일 애플리케이션의 아이덴티티를 검증하기 위하여 액세스 관리자가 활용할 수 있는 빌트-인 메커니즘들을 포함하지 않을 수 있다. 액세스 관리자는 컴퓨팅 자원에 액세스하는 것을 시도하는 요청을 관리 모바일 애플리케이션으로부터 수신할 수 있다(블록(1202)). 요청을 수신할 때, 액세스 관리자는 아이덴티티 검증 프로세스를 시작하도록 관리 모바일 애플리케이션과 핸드셰이크(handshake)를 개시할 수 있다(블록(1204)). 관리 모바일 애플리케이션은 예컨대 고유 애플리케이션 식별자를 액세스 관리자에 제공함으로써 액세스 관리자에게 그 자체를 식별할 수 있다(블록(1206)). 차례로, 액세스 관리자는 모바일 애플리케이션과 연관된 애플리케이션 메타데이터를 리트리브하기 위하여 애플리케이션 식별자를 활용할 수 있다(블록(1208)). 액세스 관리자는 또한 넌스를 생성하고 넌스를 모바일 애플리케이션에 제공할 수 있다(블록(1210)).
[0154] 이후, 액세스 관리자 및 관리 모바일 애플리케이션은 모바일 애플리케이션의 아이덴티티를 검증하고 모바일 애플리케이션이 신뢰성 있는 모바일 애플리케이션인지의 여부를 결정하기 위하여 사용되는 애플리케이션 서명 및 대응하는 해시값을 구성하는 프로세스를 시작할 수 있다. 모바일 애플리케이션은 임베딩된 식별 토큰들을 추출하고(블록(1212)) 애플리케이션 서명을 구성하기 위하여 사용되는 유도된 식별 토큰들을 유도할 수 있다(블록(1214)). 이후, 모바일 애플리케이션은 애플리케이션 서명을 획득하기 위하여, 추출된 임베딩된 식별 토큰들과 유도된 식별 토큰들을 배열하여 결합할 수 있다(블록(1216)). 모바일 애플리케이션은 액세스 관리자로부터 수신된 넌스 및 애플리케이션 서명을 사용하여 해시값을 컴퓨팅할 수 있다(블록(1218)).
[0155] 만일 모바일 애플리케이션에 넌스를 제공하였다면, 액세스 관리자는 모바일 애플리케이션과 연관된 애플리케이션 메타데이터로부터, 임베딩된 식별 토큰들을 리트리브할 수 있다(블록(1220)). 액세스 관리자는 예상된 애플리케이션 서명을 구성하기 위하여 사용되는 유도된 식별 토큰들을 모바일 애플리케이션으로부터 유사하게 유도할 수 있다(블록(1222)). 이후, 액세스 관리자는 예상된 애플리케이션 서명을 획득하기 위하여, 애플리케이션 메타데이터로부터 리트리브된 임베딩된 식별 토큰들 및 유도된 식별 토큰들을 배열하여 결합할 수 있다(블록(1224)). 액세스 관리자는 모바일 애플리케이션에 제공된 넌스 및 예상된 애플리케이션 서명을 사용하여, 예상된 해시값을 컴퓨팅할 수 있다(블록(1226)).
[0156] 애플리케이션 메타데이터로부터 리트리브된 임베딩된 식별 토큰들이 모바일 디바이스로부터 추출된 임베딩된 식별 토큰들과 동일한 경우에; 액세스 관리자에 의해 유도된 식별 토큰들이 모바일에 의해 유도된 식별 토큰들과 동일한 경우에; 액세스 관리자에 의해 구성된 예상된 애플리케이션 서명이 모바일 애플리케이션에 의해 구성된 애플리케이션 서명과 동일한 경우에, 그리고 모바일 애플리케이션이 해시값을 컴퓨팅하기 위하여 액세스 관리자에 의해 제공된 넌스를 사용하는 경우에, 액세스 관리자에 의해 컴퓨팅된 해시값이 모바일 애플리케이션에 의해 컴퓨팅된 해시값과 동일해야 한다는 것이 인식될 것이다. 따라서, 모바일 애플리케이션은 액세스 관리자에 대한 응답으로 해시값을 제공할 수 있으며(블록(1228)), 액세스 관리자는 예상된 해시값과 모바일 애플리케이션으로부터 수신된 값과 비교할 수 있다(블록(1230)). 만일 예상된 해시값이 수신된 해시값과 매칭되지 않으면(블록(1232): N), 액세스 관리자는 모바일 애플리케이션이 그 자체를 거짓으로 식별하였고, 모바일 디바이스에 설치된 이후에 변경되었음을 결정할 수 있는 식이다. 결과적으로, 액세스 관리자는 컴퓨팅 자원들에 대한 모바일 애플리케이션 액세스를 거절할 수 있다(블록(1234)). 만일 예상된 해시값이 수신된 해시값과 매칭되면(블록(1232): Y), 액세스 관리자는 모바일 애플리케이션을 신뢰성 있는 모바일 애플리케이션으로서 식별할 수 있고 신뢰성 있는 모바일 애플리케이션이 컴퓨팅 자원들에 액세스하는 것을 허용할 수 있다(블록(1236)).
[0157] 도 13에는 제 2 타입의 모바일 운영 체제를 가진 비관리 모바일 디바이스에서 관리 모바일 애플리케이션을 검증하기 위한 예시적인 방법 단계들의 흐름도(1300)가 도시되어 있다. 이러한 예에서, 모바일 운영 체제는 모바일 애플리케이션의 아이덴티티를 검증하기 위하여 액세스 관리자가 활용할 수 있는 빌트-인 메커니즘들을 포함할 수 있다. 액세스 관리자는 컴퓨팅 자원에 액세스하기 위한 요청을 관리 모바일 애플리케이션으로부터 수신할 수 있다(블록(1302)). 액세스 관리자는 모바일 애플리케이션에 대한 고유 애플리케이션 식별자를 모바일 운영 체제로부터 요청할 수 있으며(블록(1304)) 이에 응답하여 애플리케이션 식별자를 수신할 수 있다(블록(1306)).
[0158] 모바일 애플리케이션에 대한 애플리케이션 식별자에 기초하여, 액세스 관리자는 관리 모바일 애플리케이션들의 리스트에 질의할 수 있다(1308). 만일 관리 모바일 애플리케이션들의 리스트가 컴퓨팅 자원에 대한 액세스를 요청하는 모바일 애플리케이션을 포함하지 않는다면(블록(1310): N), 액세스 관리자는 자원에 대한 모바일 애플리케이션 액세스를 거절할 수 있다(블록(1312)). 그러나, 만일 관리 모바일 애플리케이션들의 리스트가 컴퓨팅 자원에 대한 액세스를 요청하는 모바일 애플리케이션을 포함하면(블록(1310): N), 액세스 관리자는 모바일 애플리케이션에 대한 애플리케이션 인증서를 모바일 운영 체제로부터 요청할 수 있다(블록(1314)).
[0159] 앞서 언급한 바와같이, 기업 애플리케이션 서버는 모바일 디바이스들에 설치된 모바일 애플리케이션들에 대한 애플리케이션 인증서들을 제공할 수 있다. 애플리케이션 인증서들은 액세스 관리자에 의해 액세스가능한 모바일 디바이스의 보안 저장 위치에 저장될 수 있다. 따라서, 액세스 관리자는 모바일 운영 체제로부터, 요청된 애플리케이션 인증서들을 수신하고(블록(1316)) 기업 애플리케이션 서버에 의해 제공된 저장된 애플리케이션 인증서들을 리트리브할 수 있다(블록(1318)). 일부 예시적인 구현들에서, 액세스 관리자는 예컨대 SHA-1 해시 함수를 사용하여 인증서들 각각에 대한 개별 해시값들을 컴퓨팅할 수 있다(블록(1320)). 액세스 관리자는 모바일 운영 체제로부터 수신된 인증서들의 해시값과 저장된 인증서의 해시값을 비교할 수 있다(블록(1322)). 만일 해시값들이 매칭되면(블록(1324): Y), 액세스 관리자는 모바일 애플리케이션이 신뢰성 있는 모바일 애플리케이션임을 결정하고, 모바일 애플리케이션이 컴퓨팅 자원들에 액세스하는 것을 허용할 수 있다(블록(1326)). 만일 해시값들이 매칭되지 않으면(블록(1324): N), 액세스 관리자는 모바일 애플리케이션이 신뢰성 없는 모바일 애플리케이션임을 결정하고, 컴퓨팅 자원들에 대한 모바일 애플리케이션 액세스를 거절할 수 있다(블록(1312)).
[0160] 도 14에서, 관리 모바일 애플리케이션의 동작 동안 애플리케이션 정책들을 시행하기 위한 예시적인 방법 단계들의 흐름도(1400)가 도시된다. 앞서 언급된 바와같이, 기업 애플리케이션 서버는 모바일 디바이스들에서 설치된 관리 모바일 애플리케이션들과 연관된 애플리케이션 정책들을 제공할 수 있다. 기업은 애플리케이션 정책들을 주기적으로 업데이트할 수 있으며, 따라서 액세스 관리자는 관리 모바일 애플리케이션이 컴퓨팅 자원들에 액세스하는 것을 허용하기 전에 가장 최근 및 최신 애플리케이션 정책들이 모바일 디바이스에 저장되도록 구성될 수 있다. 이러한 방식으로, 기업은 애플리케이션들 및 애플리케이션 기능들에 대한 자격들을 승인하거나 또는 리보크할 수 있다.
[0161] 액세스 관리자가 관리 모바일 애플리케이션의 아이덴티티를 검증한후(블록(1402)), 액세스 관리자는 관리 모바일 애플리케이션과 연관되며 모바일 디바이스에 저장된 애플리케이션 정책을 리트리브할 수 있다(블록(1404)). 이후, 액세스 관리자는 애플리케이션 정책과 연관된 정책 정보, 예컨대 정책 날짜, 정책 버전 번호 등에 대해 기업 애플리케이션 서버에 질의할 수 있다(블록(1406)). 기업 애플리케이션 서버로부터 수신된 정책 정보에 기초하여, 액세스 관리자는 모바일 디바이스에 저장된 애플리케이션 정책이 현재 정책인지의 여부를 결정할 수 있다(블록(1408)). 예로서, 액세스 관리자는 기업 애플리케이션 서버로부터 수신된 정책 날짜 또는 정책 버전과 모바일 디바이스에 저장된 애플리케이션 저액의 정책 날짜 또는 정책 버전을 비교할 수 있다. 만일 정책 날짜 또는 정책 버전이 매칭되지 않으면, 액세스 관리자는 모바일 디바이스에 저장된 애플리케이션 정책이 현재 정책이 아님을 결정할 수 있다(블록(1408): N). 만일 정책 날짜 또는 정책 버전이 매칭되면, 액세스 관리자는 모바일 디바이스에 저장된 애플리케이션 정책이 현재 정책임을 결정할 수 있다(블록(1408): Y).
[0162] 만일 애플리케이션 정책이 현재 정책이 아니면(블록(1408): N), 액세스 관리자는 기업 시스템, 예컨대 기업 애플리케이션 스토어로부터의 모바일 애플리케이션과 연관된 현재 정책을 리트리브할 수 있다(블록(1410)). 액세스 관리자는 현재의 애플리케이션 정책을 다운로드할 수 있고, 모바일 디바이스의 보안 저장 위치에 현재 애플리케이션 정책을 저장할 수 있다(블록(1412)). 일단 액세스 관리자가 모바일 애플리케이션에 대한 현재의 정책을 획득하였다면, 관리 모바일 애플리케이션은 자신이 의도한 컴퓨팅 자원에 액세스하거나 또는 이를 사용할 수 있는지의 여부를 결정하기 위하여 애플리케이션 정책을 참조할 수 있다(블록(1414)).
[0163] 관리 프레임워크는 예컨대 컴퓨팅 자원에 액세스하거나 또는 컴퓨팅 자원을 사용하기 전에 정책에 질의하도록 관리 모바일 애플리케이션을 구성할 수 있다. 예로서, 프레임워크는 모바일 디바이스의 다른 모바일 애플리케이션에 데이터가 복사될 수 있는지의 여부를 결정하기 위하여 애플리케이션 정책에 질의하도록 관리 모바일 애플리케이션을 구성할 수 있다. 일부 예시적인 구현들에서, 관리 모바일 애플리케이션은 모바일 디바이스의 다른 관리 모바일 애플리케이션들에만 데이터를 복사할 수 있다. 다른 예로서, 프레임워크는 모바일 디바이스가 관리 모바일 애플리케이션의 스크린샷을 캡처할 수 있는지를 결정하기 위하여 애플리케이션 정책에 질의하도록 관리 모바일 애플리케이션을 구성할 수 있다. 이들 및 다른 예들은 본 개시내용의 장점과 함께 인식될 것이다.
[0164] 만일 관리 모바일 애플리케이션이 의도한 컴퓨팅 자원에 액세스하거나 또는 이 컴퓨팅 자원을 이용하도록 애플리케이션 정책이 허용하면(블록(1416): Y), 프레임워크는 관리 모바일 애플리케이션이 의도된 액션을 수행하도록 허용할 수 있다(블록(1418)). 그러나, 만일 관리 모바일 애플리케이션이 의도한 컴퓨팅 자원에 액세스하거나 또는 이를 사용하도록 애플리케이션 정책이 허용하지 않으면(블록(1418): N), 프레임워크는 관리 모바일 애플리케이션이 의도된 액션을 수행하는 것을 막을 수 있다(블록(1420)).
[0165] 모바일 디바이스 관리와 모바일 애플리케이션 관리
[0166] 비록 모바일 애플리케이션 관리(MAM)가 비관리 디바이스와 관련하여 논의되었을지라도, 본 개시내용의 양상들은 또한 관리 디바이스들에 대하여 역시 사용될 수 있다. 기업은 모바일 디바이스의 동작을 추가로 제어하기 위하여 모바일 애플리케이션 관리와 함께 모바일 디바이스 관리(MDM)를 활용할 수 있다. 특히, 모바일 디바이스는 MDM 시스템과 모바일 디바이스 사이의 관리 관계를 설정하기 위하여 MDM 시스템에 등록할 수 있다. 일단 모바일 디바이스가 등록되면, MDM 시스템은 정책들을 시행하고, 모바일 디바이스를 모니터링하며, 모바일 디바이스에 정보를 푸시(push)하는 등을 수행하기 위하여 관리 관계를 레버리지(leverage)할 수 있다.
[0167] 요컨대, MDM 시스템은 관리 관계가 없을 때는 달리 이용할 수 없는, 모바일 디바이스에 대한 정보를 획득할 수 있다. 이러한 정보는 모바일 디바이스의 애플리케이션들을 통해 발견가능하거나 또는 판독가능하지 않는 디바이스-레벨 세팅들에 대응할 수 있다. 이러한 디바이스-레벨 세팅들은 PIN 또는 패스워드 세팅들, 암호화 세팅들, 네트워크-관련 세팅들 등을 포함할 수 있다. 이러한 정보는 또한 모바일 디바이스에서 현재 실행되고 있는 프로세스들 및 모바일 디바이스(예컨대, 애플리케이션 디렉토리)에 설치된 모바일 애플리케이션들에 관한 정보를 포함할 수 있다. MDM 시스템은 관리 모바일 디바이스에 관한 추가적인 또는 대안적인 타입들의 정보를 추가로 획득할 수 있다. MDM 시스템은 관리 모바일 디바이스로부터 획득된 정보와 다양한 정책들을 비교하고 이에 응답하여 다양한 액션들을 취할 수 있다.
[0168] 디바이스 PIN/패스워드에 대하여, MDM 시스템은 디바이스가 PIN/패스워드를 통해 보안되는지의 여부, PIN/패스워드의 복잡성, 및 PIN/패스워드의 수명을 표시하는 정보를 획득할 수 있다. 관리 관계를 통해, MDM 시스템은 디바이스의 PIN/패스워드 세팅들에 관한 정보를 획득할 수 있다. MDM 시스템은 디바이스 PIN들/패스워드들의 사용을 제어하는 정책들과 이러한 정보를 비교할 수 있다. 예로서, 만일 모바일 디바이스가 PIN/패스워드에 의해 보안되어야 함을 보안 정책이 표시하고 디바이스 PIN/패스워드 세팅이 인에이블되지 않음을 모바일 디바이스로부터 획득된 정보가 표시하면, MDM 시스템은 디바이스 PIN들/패스워드들에 관한 보안 정책을 표시하는 통지들을 관리 모바일 디바이스에 푸시할 수 있다. 다른 예로서, 만일 디바이스 PIN/패스워드가 보안 정책의 복잡성 요건들을 만족하지 않음을 MDM 시스템이 결정하면, MDM 시스템은 새롭고 더 복잡한 PIN/패스워드가 보안 정책을 따르도록 요구됨을 표시하는 통지를 관리 모바일 디바이스에 유사하게 푸시할 수 있다. 추가 예로서, 만일 디바이스 PIN들/패스워드들이 주기적으로 변경되어야 함을 보안 정책이 표시하면, MDM 시스템은 현재 디바이스 PIN/패스워드가 만료되었음을 결정할 때 디바이스 PIN/패스워드를 변경할 필요성을 표시하는 통지를 관리 모바일 디바이스에 푸시할 수 있다.
[0169] 암호화 세팅들에 대하여, MDM 시스템은 또한 디바이스에서 하드웨어 암호화가 인에이블되었는지의 여부를 표시하는 정보를 획득할 수 있다. 관리 관계를 통해, MDM 시스템은 보안 정책이 하드웨어 암호화를 요구하고 하드웨어 암호화가 모바일 디바이스에서 현재 인에이블되지 않음을 결정할 때 관리 모바일 디바이스의 하드웨어 암호화를 인에이블할 수 있다. MDM 시스템은 또한 관리 관계를 통해 관리 모바일 디바이스에 네트워크-관련 세팅들을 세팅할 수 있다.
[0170] MDM 시스템은 관리 모바일 디바이스에서 현재 실행되고 있는 프로세스들에 관한 정보를 추가로 획득할 수 있다. MDM 시스템은 예컨대 관리 모바일 디바이스에서의 멀웨어를 식별하기 위하여 악의적인 애플리케이션들, 프로그램들 또는 프로세스들의 리스트와 실행 프로세스들을 비교할 수 있다. 관리 관계를 통해, MDM 시스템은 멀웨어 또는 잠재적으로 악의적인 것으로 식별된 임의의 프로세스들을 삭제할 수 있다. MDM 시스템은 또한 모바일 디바이스와의 관리 관계를 통해 대응하는 악의적인 애플리케이션들 또는 프로그램들을 제거할 수 있다.
[0171] 유사하게, MDM 시스템은 관리 모바일 디바이스에 설치된 애플리케이션들의 리스트를 획득할 수 있다. MDM 시스템은 설치된 애플리케이션들의 리스트와 예컨대 애플리케이션 화이트리스트(whitelist) 또는 애플리케이션 블랙리스트(blacklist)를 비교할 수 있다. 애플리케이션 화이트리스트는 모바일 디바이스에 설치되도록 허용된 모바일 애플리케이션들의 리스트일 수 있다. 만일 설치된 애플리케이션들의 리스트가 모바일 애플리케이션 화이트리스트에 있지 않은 애플리케이션을 포함하면, MDM 시스템은 애플리케이션을 제거하기 위하여 관리 관계를 레버리지할 수 있다. 애플리케이션 블랙리스트는 모바일 디바이스에 설치되는 것이 금지된 모바일 애플리케이션들의 리스트일 수 있다. 만일 설치된 애플리케이션들의 리스트가 모바일 애플리케이션 블랙리스트에 있는 애플리케이션을 포함하면, MDM 시스템은 애플리케이션을 제거하기 위하여 관리 관계를 유사하게 레버리지할 수 있다. MDM 시스템은 어떤 모바일 애플리케이션들이 모바일 디바이스에 설치되는지를 제어하기 위하여 관리 모바일 디바이스에 모바일 애플리케이션들을 푸시하기 위한 관리 관계를 추가적으로 레버리지할 수 있다는 것이 인식될 것이다. 이러한 개시내용을 고려하여, MDM 시스템이 모바일 디바이스에 설치된 모바일 애플리케이션들을 더 강력하게 제어할 수 있다는 점이 또한 인식될 것이다. 앞서 설명된 바와같이, MAM은 애플리케이션이 정책을 위반함을 결정할 때 모바일 디바이스에 설치된 모바일 애플리케이션을 디스에이블할 수 있다. MDM이 MAM과 함께 사용되나 모바일 애플리케이션이 단지 디스에이블될 수 없을 때, MDM은 모바일 디바이스로부터 전체적으로 제거될 수 있다. MDM 시스템은 다른 타입들의 정보를 관리 모바일 디바이스에 푸시할 수 있다. 예컨대, MDM 시스템은 모바일 디바이스에 애플리케이션 업데이트들 또는 인증서들을 푸시하기 위한 관리 관계를 레버리지할 수 있다. 인증서들은 예컨대 X.509 디바이스 인증서들일 수 있다.
[0172] 본 개시내용에 제공된 개시내용들은 다수의 기술적 장점들을 제공한다. 일반적으로, 앞서 제시된 접근법들은 기업으로 하여금 모바일 플랫폼과 관계없이 모바일 애플리케이션을 보안적으로 강력하게 식별하는 것을 가능하게 한다. 앞서 제시된 접근법들은 또한 잠재적 민감 데이터, 예컨대 인증 크리덴셜들, 디지털 인증서들, 기업 데이터 등에 액세스하는 모바일 애플리케이션들의 아이덴티티를 검증하기 위한 자동화된 방식을 제공한다. 앞서 제시된 접근법들을 구현하는 기업은 또한 개인들이 자신들의 개인 디바이스들을 사용하여 기업 자원들에 액세스하도록 함으로써 기업 관리 하의 물리적 디바이스들의 수를 감소시킬 수 있다. 이와 관련하여, 기업은 모바일 디바이스 관리 시스템에 전체 디바이스를 등록하는 것을 회피할 수 있으며, 대신에 단지 모바일 애플리케이션 관리 시스템내의 모바일 디바이스에 다양한 모바일 애플리케이션들을 등록할 수 있다. 이들 및 다른 장점들은 앞서 제공된 개시내용들과 장점과 함께 인식될 것이다.
[173] 비록 요지가 구성적 특징들 및/또는 방법적 동작들에 특정한 언어로 설명되었을지라도, 첨부된 청구항들에서 정의된 요지가 반드시 앞서 설명된 특정 특징들 또는 동작들로 제한되는 것이 아니라는 것이 이해되어야 한다. 오히려, 앞서 설명된 특정 특징들 및 동작들은 하기의 청구항들의 예시적인 구현들로서 설명된다.

Claims (20)

  1. 기업 자원들에의 액세스를 관리하는 방법으로서,
    모바일 컴퓨팅 디바이스의 액세스 관리자를 동작시키는 단계;
    상기 액세스 관리자를 사용하여, 상기 모바일 컴퓨팅 디바이스에 설치된 모바일 애플리케이션을 검증(validate)하는 단계;
    상기 액세스 관리자에 의한 모바일 애플리케이션의 검증이 실패할 때, 상기 모바일 애플리케이션이 컴퓨팅 자원에 액세스하는 것을 막는 단계;
    상기 액세스 관리자에 의한 모바일 애플리케이션의 검증이 성공적일 때, 상기 모바일 애플리케이션을 신뢰성 있는 모바일 애플리케이션으로서 식별하는 단계; 및
    상기 신뢰성 있는 모바일 애플리케이션이 상기 컴퓨팅 자원에 액세스하는 것을 허용하는 단계를 포함하는, 기업 자원들에의 액세스를 관리하는 방법.
  2. 제 1항에 있어서, 상기 모바일 컴퓨팅 디바이스의 모바일 애플리케이션과 연관된 식별 정보를 저장하는 단계를 더 포함하며; 그리고
    상기 모바일 애플리케이션을 검증하는 단계는 저장된 식별 정보에 기초하여 상기 모바일 애플리케이션을 검증하는 단계를 포함하는, 기업 자원들에의 액세스를 관리하는 방법.
  3. 제 2항에 있어서, 상기 모바일 애플리케이션을 검증하는 단계는,
    상기 모바일 애플리케이션을 식별하는 응답을 제공하기 위하여 상기 모바일 애플리케이션에 챌린징(challenging)하는 단계;
    저장된 식별 정보에 적어도 부분적으로 기초하여, 예상 응답을 생성하는 단계;
    상기 모바일 디바이스에 의해 제공된 응답과 상기 예상 응답을 비교하는 단계;
    상기 예상 응답이 상기 모바일 애플리케이션에 의해 제공된 응답과 매칭(matching)될 때 상기 모바일 애플리케이션이 유효함을 결정하는 단계; 및
    상기 예상 응답이 상기 모바일 애플리케이션에 의해 제공된 응답과 매칭되지 않을 때 상기 모바일 디바이스가 무효함을 결정하는 단계를 더 포함하는, 기업 자원들에의 액세스를 관리하는 방법.
  4. 제 3항에 있어서, 상기 모바일 애플리케이션이 상기 모바일 컴퓨팅 디바이스에 설치되기 전에, 식별 토큰들을 상기 모바일 애플리케이션에 임베딩(embedding)하는 단계;
    임베딩된 식별 토큰들을 추출하도록 상기 모바일 애플리케이션을 구성하는 단계;
    상기 예상 응답이 상기 임베딩된 식별 토큰들에 적어도 부분적으로 기초하도록 상기 저장된 식별 정보에 상기 임베딩된 식별 토큰들을 포함시키는 단계를 더 포함하며; 그리고
    상기 모바일 애플리케이션에 의해 제공된 응답은 상기 모바일 애플리케이션으로부터 추출된 상기 임베딩된 식별 토큰들에 적어도 부분적으로 기초하는, 기업 자원들에의 액세스를 관리하는 방법.
  5. 제 4항에 있어서, 상기 모바일 애플리케이션을 검증하는 단계는,
    상기 액세스 관리자를 사용하여, 상기 모바일 애플리케이션으로부터 하나 이상의 식별 토큰들을 유도하는 단계;
    상기 임베딩된 식별 토큰들 및 상기 유도된 식별 토큰들의 배열(arrangement)에 기초하여, 예상 애플리케이션 서명을 생성하는 단계; 및
    상기 예상 애플리케이션 서명에 적어도 부분적으로 추가로 기초하여, 상기 예상 응답을 생성하는 단계를 더 포함하는, 기업 자원들에의 액세스를 관리하는 방법.
  6. 제 5항에 있어서, 상기 모바일 애플리케이션을 검증하는 단계는,
    상기 모바일 애플리케이션에 넌스(nonce)를 제공하는 단계;
    상기 예상 애플리케이션 서명 및 상기 넌스를 사용하여 예상 해시값을 컴퓨팅하는 단계를 더 포함하며; 그리고
    상기 예상 응답은 상기 예상 해시값인, 기업 자원들에의 액세스를 관리하는 방법.
  7. 제 2항에 있어서, 상기 저장된 식별 정보는 상기 모바일 애플리케이션의 생성시에 상기 모바일 애플리케이션에 대해 생성된 원래 디지털 인증서인, 기업 자원들에의 액세스를 관리하는 방법.
  8. 제 7항에 있어서, 상기 모바일 애플리케이션을 검증하는 단계는,
    상기 원래의 디지털 인증서에 기초하여 제 1 해시값을 컴퓨팅하고 상기 모바일 컴퓨팅 디바이스의 모바일 운영 체제로부터 수신된 디지털 인증서에 기초하여 제 2 해시값을 컴퓨팅하는 단계;
    상기 제 1 해시값과 상기 제 2 해시값을 비교하는 단계;
    상기 제 1 해시값이 상기 제 2 해시값과 매칭될 때 상기 모바일 애플리케이션이 유효함을 결정하는 단계; 및
    상기 제 1 해시값이 상기 제 2 해시값과 매칭되지 않을 때 상기 모바일 디바이스가 무효함을 결정하는 단계를 포함하는, 기업 자원들에의 액세스를 관리하는 방법.
  9. 제 2항에 있어서, 상기 액세스 관리자를 사용하여, 상기 모바일 컴퓨팅 디바이스의 전송 제어 프로토콜(TCP: Transmission Control Protocol) 소켓을 여는 단계;
    상기 모바일 애플리케이션이 상기 TCP 소켓에 상기 액세스 관리자와의 연결을 설정하기를 대기하는 단계를 포함하며; 그리고
    상기 액세스 관리자는 상기 모바일 애플리케이션이 상기 TCP 소켓에 상기 액세스 관리자와의 연결을 설정할 때 상기 모바일 애플리케이션의 검증을 개시하는, 기업 자원들에의 액세스를 관리하는 방법.
  10. 제 1항에 있어서, 상기 신뢰성 있는 모바일 애플리케이션과 연관된 애플리케이션 정책을 획득하는 단계;
    상기 모바일 컴퓨팅 디바이스에 상기 애플리케이션 정책을 저장하는 단계; 및
    상기 액세스 관리자를 사용하여 그리고 상기 애플리케이션 정책에 기초하여 상기 신뢰성 있는 모바일 애플리케이션의 동작을 제어하는 단계를 더 포함하는, 기업 자원들에의 액세스를 관리하는 방법.
  11. 모바일 컴퓨팅 디바이스로서,
    컴퓨팅 자원에 액세스하도록 구성된 모바일 애플리케이션;
    상기 모바일 애플리케이션과 연관된 저장된 식별 정보;
    상기 저장된 식별 정보에 기초하여 상기 모바일 애플리케이션을 검증하도록 구성된 액세스 관리자를 포함하며; 그리고
    상기 액세스 관리자는
    상기 모바일 애플리케이션의 검증이 실패할 때, 상기 모바일 애플리케이션이 상기 컴퓨팅 자원에 액세스하는 것을 막으며;
    상기 모바일 애플리케이션의 검증이 성공적일 때, 상기 모바일 애플리케이션을 신뢰성 있는 모바일 애플리케이션으로서 식별하며; 그리고
    상기 신뢰성 있는 모바일 애플리케이션이 상기 컴퓨팅 자원에 액세스하는 것을 허용하도록 추가로 구성되는, 모바일 컴퓨팅 디바이스.
  12. 제 11항에 있어서, 상기 액세스 관리자는,
    상기 모바일 애플리케이션을 식별하는 응답을 제공하기 위하여 상기 모바일 애플리케이션에 챌린징하며;
    저장된 식별 정보에 적어도 부분적으로 기초하여, 예상 응답을 생성하며;
    상기 모바일 애플리케이션에 의해 제공된 응답과 상기 예상 응답을 비교하며;
    상기 예상 응답이 상기 모바일 애플리케이션에 의해 제공된 응답과 매칭될 때 상기 모바일 애플리케이션이 유효함을 결정하며; 그리고
    상기 예상 응답이 상기 모바일 애플리케이션에 의해 제공된 응답과 매칭되지 않을 때 상기 모바일 디바이스가 무효함을 결정하도록 추가로 구성되는, 모바일 컴퓨팅 디바이스.
  13. 제 12항에 있어서, 상기 모바일 애플리케이션은 임베딩된 식별 토큰들을 포함하며, 상기 임베딩된 식별 토큰들을 추출하도록 구성되며;
    상기 저장된 식별 정보는 상기 예상 응답이 상기 임베딩된 식별 토큰들에 적어도 부분적으로 기초하도록 상기 임베딩된 식별 토큰들을 포함하며; 그리고
    상기 모바일 애플리케이션에 의해 제공된 응답은 상기 모바일 애플리케이션으로부터 추출된 상기 임베딩된 식별 토큰들에 적어도 부분적으로 기초하는, 모바일 컴퓨팅 디바이스.
  14. 제 13항에 있어서, 상기 액세스 관리자는,
    상기 모바일 애플리케이션으로부터 하나 이상의 식별 토큰들을 유도하며;
    상기 임베딩된 식별 토큰들 및 상기 유도된 식별 토큰들의 배열에 기초하여, 예상 애플리케이션 서명을 생성하며; 그리고
    상기 예상 애플리케이션 서명에 적어도 부분적으로 추가로 기초하여, 상기 예상 응답을 생성하도록 추가로 구성되는, 모바일 컴퓨팅 디바이스.
  15. 제 14항에 있어서, 상기 액세스 관리자는,
    상기 모바일 애플리케이션에 넌스를 제공하며;
    상기 예상 애플리케이션 서명 및 상기 넌스를 사용하여 예상 해시값을 컴퓨팅하도록 추가로 구성되며; 그리고
    상기 예상 응답은 상기 예상 해시값인, 모바일 컴퓨팅 디바이스.
  16. 제 11항에 있어서, 상기 저장된 식별 정보는 상기 모바일 애플리케이션의 생성시에 상기 모바일 애플리케이션에 대해 생성된 원래 디지털 인증서인, 모바일 컴퓨팅 디바이스.
  17. 제 16항에 있어서, 모바일 운영 체제를 더 포함하며;
    상기 액세스 관리자는,
    상기 원래의 디지털 인증서에 기초하여 제 1 해시값을 컴퓨팅하고 상기 모바일 운영 체제로부터 수신된 디지털 인증서에 기초하여 제 2 해시값을 컴퓨팅하며;
    상기 제 1 해시값과 상기 제 2 해시값을 비교하며;
    상기 제 1 해시값이 상기 제 2 해시값과 매칭될 때 상기 모바일 애플리케이션이 유효함을 결정하며; 그리고
    상기 제 1 해시값이 상기 제 2 해시값과 매칭되지 않을 때 상기 모바일 디바이스가 무효함을 결정하도록 추가로 구성되는, 모바일 컴퓨팅 디바이스.
  18. 제 11항에 있어서, 상기 컴퓨팅 자원은,
    i) 상기 모바일 컴퓨팅 디바이스 또는 원격 컴퓨팅 시스템에서 동작하는 소프트웨어 애플리케이션;
    ii) 상기 원격 컴퓨팅 시스템의 모바일 컴퓨팅 디바이스에 의해 제공되는 서비스;
    iii) 상기 모바일 컴퓨팅 디바이스 또는 상기 원격 컴퓨팅 시스템에 저장된 데이터;
    iv) 상기 모바일 컴퓨팅 디바이스 또는 상기 원격 컴퓨팅 시스템의 하드웨어; 및
    v) 이들의 조합 중 적어도 하나인, 모바일 컴퓨팅 디바이스.
  19. 제 11항에 있어서, 상기 모바일 디바이스와 연관된 애플리케이션 정책을 더 포함하며; 그리고
    상기 액세스 관리자는 상기 애플리케이션 정책에 기초하여 상기 신뢰성 있는 모바일 애플리케이션의 동작을 제어하도록 구성되는, 모바일 컴퓨팅 디바이스.
  20. 모바일 컴퓨팅 디바이스에서 동작하도록 구성된 액세스 관리자로서,
    상기 액세스 관리자는,
    상기 모바일 컴퓨팅 디바이스에 저장되고 상기 모바일 애플리케이션과 연관된 식별 정보에 기초하여, 상기 모바일 컴퓨팅 디바이스에 설치된 모바일 애플리케이션을 검증하며;
    상기 모바일 애플리케이션의 검증이 실패할 때, 상기 모바일 애플리케이션이 컴퓨팅 자원에 액세스하는 것을 막으며;
    상기 모바일 애플리케이션의 검증이 성공적일 때, 상기 모바일 애플리케이션을 신뢰성 있는 모바일 애플리케이션으로서 식별하며;
    상기 신뢰성 있는 모바일 애플리케이션이 상기 컴퓨팅 자원에 액세스하는 것을 허용하며; 그리고
    상기 모바일 컴퓨팅 디바이스에 저장된 애플리케이션 정책에 기초하여 상기 신뢰성 있는 모바일 애플리케이션의 동작을 제어하도록 구성되는, 액세스 관리자.
KR1020157035910A 2013-05-20 2014-05-13 모바일 애플리케이션 관리를 위한 모바일 애플리케이션의 아이덴티티 검증 KR101770417B1 (ko)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US13/898,167 2013-05-20
US13/898,167 US9270674B2 (en) 2013-03-29 2013-05-20 Validating the identity of a mobile application for mobile application management
PCT/US2014/037850 WO2014189722A1 (en) 2013-05-20 2014-05-13 Validating the identity of a mobile application for mobile application management

Related Child Applications (1)

Application Number Title Priority Date Filing Date
KR1020177022867A Division KR101877732B1 (ko) 2013-05-20 2014-05-13 모바일 애플리케이션 관리를 위한 모바일 애플리케이션의 아이덴티티 검증

Publications (2)

Publication Number Publication Date
KR20160010600A true KR20160010600A (ko) 2016-01-27
KR101770417B1 KR101770417B1 (ko) 2017-08-22

Family

ID=50977092

Family Applications (3)

Application Number Title Priority Date Filing Date
KR1020177022867A KR101877732B1 (ko) 2013-05-20 2014-05-13 모바일 애플리케이션 관리를 위한 모바일 애플리케이션의 아이덴티티 검증
KR1020157035910A KR101770417B1 (ko) 2013-05-20 2014-05-13 모바일 애플리케이션 관리를 위한 모바일 애플리케이션의 아이덴티티 검증
KR1020187019305A KR20180081833A (ko) 2013-05-20 2014-05-13 모바일 애플리케이션 관리를 위한 모바일 애플리케이션의 아이덴티티 검증

Family Applications Before (1)

Application Number Title Priority Date Filing Date
KR1020177022867A KR101877732B1 (ko) 2013-05-20 2014-05-13 모바일 애플리케이션 관리를 위한 모바일 애플리케이션의 아이덴티티 검증

Family Applications After (1)

Application Number Title Priority Date Filing Date
KR1020187019305A KR20180081833A (ko) 2013-05-20 2014-05-13 모바일 애플리케이션 관리를 위한 모바일 애플리케이션의 아이덴티티 검증

Country Status (6)

Country Link
US (2) US9270674B2 (ko)
EP (2) EP3179697B1 (ko)
JP (1) JP6222592B2 (ko)
KR (3) KR101877732B1 (ko)
CN (1) CN105379223B (ko)
WO (1) WO2014189722A1 (ko)

Families Citing this family (115)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2010060206A1 (en) 2008-11-26 2010-06-03 Calgary Scientific Inc. Method and system for providing remote access to a state of an application program
US10055105B2 (en) 2009-02-03 2018-08-21 Calgary Scientific Inc. Method and system for enabling interaction with a plurality of applications using a single user interface
US9544143B2 (en) 2010-03-03 2017-01-10 Duo Security, Inc. System and method of notifying mobile devices to complete transactions
US9532222B2 (en) 2010-03-03 2016-12-27 Duo Security, Inc. System and method of notifying mobile devices to complete transactions after additional agent verification
EP2386977A1 (fr) * 2010-05-11 2011-11-16 Gemalto SA Système permettant l'affichage d'un fichier informatique privé sur un écran d'un terminal de télécommunications et procédé correspondant
US9741084B2 (en) 2011-01-04 2017-08-22 Calgary Scientific Inc. Method and system for providing remote access to data for display on a mobile device
CA2734860A1 (en) 2011-03-21 2012-09-21 Calgary Scientific Inc. Method and system for providing a state model of an application program
DE102011015711A1 (de) * 2011-03-31 2012-10-04 Giesecke & Devrient Gmbh Aktualisierung einer Datenträgerapplikation
CA2844871C (en) 2011-08-15 2021-02-02 Calgary Scientific Inc. Non-invasive remote access to an application program
JP6164747B2 (ja) 2011-08-15 2017-07-19 カルガリー サイエンティフィック インコーポレイテッド 協働環境におけるフロー制御のためのおよび信頼性のある通信のための方法
US9467463B2 (en) 2011-09-02 2016-10-11 Duo Security, Inc. System and method for assessing vulnerability of a mobile device
JP6322140B2 (ja) 2011-09-30 2018-05-09 カルガリー サイエンティフィック インコーポレイテッド 協働遠隔アプリケーションの共用および注釈のための双方向デジタル表層を含む非連結アプリケーション拡張
WO2013076554A1 (en) 2011-11-23 2013-05-30 Calgary Scientific Inc. Methods ans systems for collaborative remote application sharing and conferencing
KR20130082948A (ko) * 2011-12-23 2013-07-22 주식회사 케이티 지불 대행 시스템, 사용자 단말 및 마켓 서버
CA2865707A1 (en) 2012-03-02 2013-09-06 Calgary Scientific Inc. Remote control of an application using dynamic-linked library (dll) injection
US9729673B2 (en) 2012-06-21 2017-08-08 Calgary Scientific Inc. Method and system for providing synchronized views of multiple applications for display on a remote computing device
KR102038964B1 (ko) * 2013-03-18 2019-11-26 삼성전자주식회사 어플리케이션 간의 상호 인증 방법 및 장치
US10073966B2 (en) * 2013-04-29 2018-09-11 Sri International Operating system-independent integrity verification
KR102052651B1 (ko) * 2013-04-30 2019-12-05 삼성전자주식회사 데이터 접근 제어 방법 및 그 전자 장치
US10725968B2 (en) 2013-05-10 2020-07-28 Box, Inc. Top down delete or unsynchronization on delete of and depiction of item synchronization with a synchronization client to a cloud-based platform
US9978062B2 (en) * 2013-05-15 2018-05-22 Visa International Service Association Mobile tokenization hub
US10410003B2 (en) * 2013-06-07 2019-09-10 Apple Inc. Multiple containers assigned to an application
US9294468B1 (en) * 2013-06-10 2016-03-22 Google Inc. Application-level certificates for identity and authorization
US9633037B2 (en) 2013-06-13 2017-04-25 Box, Inc Systems and methods for synchronization event building and/or collapsing by a synchronization component of a cloud-based platform
US9805050B2 (en) 2013-06-21 2017-10-31 Box, Inc. Maintaining and updating file system shadows on a local device by a synchronization client of a cloud-based platform
WO2015013321A2 (en) * 2013-07-25 2015-01-29 Declarativ, Inc. Opportunistic use of transient user interface space
US9305162B2 (en) * 2013-07-31 2016-04-05 Good Technology Corporation Centralized selective application approval for mobile devices
JP6465542B2 (ja) * 2013-09-02 2019-02-06 キヤノン株式会社 情報処理装置、その制御方法及びプログラム
EP2851833B1 (en) 2013-09-20 2017-07-12 Open Text S.A. Application Gateway Architecture with Multi-Level Security Policy and Rule Promulgations
US10824756B2 (en) 2013-09-20 2020-11-03 Open Text Sa Ulc Hosted application gateway architecture with multi-level security policy and rule promulgations
US20190230130A1 (en) * 2013-09-20 2019-07-25 Open Text Sa Ulc System and method for updating downloaded applications using managed container
US9979751B2 (en) 2013-09-20 2018-05-22 Open Text Sa Ulc Application gateway architecture with multi-level security policy and rule promulgations
US9055057B1 (en) * 2013-09-23 2015-06-09 Emc Corporation Automatic elevation of system security
JP6210812B2 (ja) * 2013-09-24 2017-10-11 キヤノン株式会社 情報処理装置およびその制御方法、並びにプログラム
US9342331B2 (en) * 2013-10-21 2016-05-17 International Business Machines Corporation Secure virtualized mobile cellular device
US9203823B2 (en) 2013-10-30 2015-12-01 At&T Intellectual Property I, L.P. Methods and systems for selectively obtaining end user authentication before delivering communications
GB2519790B (en) * 2013-10-30 2017-07-12 1E Ltd Configuration of network devices
US9686205B2 (en) 2013-11-29 2017-06-20 Calgary Scientific Inc. Method for providing a connection of a client to an unmanaged service in a client-server remote access system
US9760704B2 (en) * 2014-05-23 2017-09-12 Blackberry Limited Security apparatus session sharing
US9602514B2 (en) * 2014-06-16 2017-03-21 Box, Inc. Enterprise mobility management and verification of a managed application by a content provider
US9374361B2 (en) * 2014-07-03 2016-06-21 Verizon Patent And Licensing Inc. Cross-native application authentication application
US9537868B2 (en) 2014-07-29 2017-01-03 Time Warner Cable Enterprises Llc Communication management and policy-based data routing
US10367916B2 (en) * 2014-09-12 2019-07-30 Sap Se Enhanced feature vector
US9967278B2 (en) 2014-10-21 2018-05-08 Proofpoint, Inc. Systems and methods for application security analysis
US9838391B2 (en) 2014-10-31 2017-12-05 Proofpoint, Inc. Systems and methods for privately performing application security analysis
US10015264B2 (en) 2015-01-30 2018-07-03 Calgary Scientific Inc. Generalized proxy architecture to provide remote access to an application framework
CN107431630B (zh) * 2015-01-30 2021-06-25 卡尔加里科学公司 高度可扩展、容错的远程访问架构和与之连接的方法
US10158622B2 (en) * 2015-02-27 2018-12-18 Samsung Electronics Co., Ltd. System and method for a generic single sign-on function
CN107431613B (zh) 2015-04-20 2021-02-05 深圳市大疆创新科技有限公司 用于支持可移动物体应用开发的系统和方法
WO2016195847A1 (en) 2015-06-01 2016-12-08 Duo Security, Inc. Method for enforcing endpoint health standards
DE102015108714A1 (de) * 2015-06-02 2016-12-08 Deutsche Telekom Ag Verfahren zum Einstellen von Einstellungen innerhalb eines mobilen elektronischen Endgeräts
US9703572B2 (en) * 2015-06-05 2017-07-11 Airwatch Llc Managed application detection logic
US11593075B2 (en) 2015-11-03 2023-02-28 Open Text Sa Ulc Streamlined fast and efficient application building and customization systems and methods
US9537865B1 (en) * 2015-12-03 2017-01-03 International Business Machines Corporation Access control using tokens and black lists
US9973497B2 (en) * 2015-12-04 2018-05-15 Sap Se System and method for communication to enterprise environment users of a mobile application by the mobile application provider
US10341320B2 (en) * 2016-01-19 2019-07-02 Aerohive Networks, Inc. BYOD credential management
US10158669B2 (en) * 2016-01-28 2018-12-18 Adp, Llc Dynamic application versioning system
US10200369B1 (en) * 2016-02-16 2019-02-05 Symantec Corporation Systems and methods for dynamically validating remote requests within enterprise networks
US11388037B2 (en) 2016-02-25 2022-07-12 Open Text Sa Ulc Systems and methods for providing managed services
US10530762B2 (en) * 2016-03-09 2020-01-07 Google Llc Electing whether to unify passcodes
US10219151B2 (en) 2016-03-17 2019-02-26 Aerohive Networks, Inc. Chromebook credential management
GB2548599B (en) * 2016-03-23 2020-02-12 Jaguar Land Rover Ltd Apparatus and method for device authentication
US10528734B2 (en) 2016-03-25 2020-01-07 The Mitre Corporation System and method for vetting mobile phone software applications
CN105809440B (zh) * 2016-03-29 2020-09-11 北京小米移动软件有限公司 在线支付方法及装置
WO2017218694A1 (en) 2016-06-14 2017-12-21 Aerohive Networks, Inc. Seamless wireless device onboarding
US10070316B2 (en) * 2016-06-16 2018-09-04 Samsung Electronics Co., Ltd. Permission delegation framework
US10205595B2 (en) 2016-06-22 2019-02-12 Vmware, Inc. Methods and apparatus to authenticate and differentiate virtually identical resources using session chaining
EP3479222A4 (en) 2016-06-29 2020-01-15 Duo Security, Inc. SYSTEMS AND METHODS FOR CLASSIFYING END POINT MANAGEMENT
AU2017286888B2 (en) * 2016-06-29 2020-04-09 Genesys Cloud Services Holdings II, LLC Technologies for managing application configurations and associated credentials
US10621333B2 (en) 2016-08-08 2020-04-14 International Business Machines Corporation Install-time security analysis of mobile applications
US10333715B2 (en) * 2016-11-14 2019-06-25 International Business Machines Corporation Providing computation services with privacy
US10375097B2 (en) * 2016-12-21 2019-08-06 Cisco Technology, Inc. Identifying self-signed certificates using HTTP access logs for malware detection
KR20180073041A (ko) * 2016-12-22 2018-07-02 삼성전자주식회사 전자 장치, 그 제어 방법 및 컴퓨터 판독가능 기록 매체
US10362612B2 (en) 2017-03-06 2019-07-23 Citrix Systems, Inc. Virtual private networking based on peer-to-peer communication
US10355933B2 (en) 2017-03-31 2019-07-16 Microsoft Technology Licensing, Llc Dependency graph for coordination of device configuration
US11366914B2 (en) 2017-04-14 2022-06-21 Hewlett-Packard Development Company, L.P. Authenticating access of service of service entity to application of client device based on whether root certificate corresponding to application is installed in service entity
CN107240408B (zh) * 2017-05-11 2019-05-10 中国科学院信息工程研究所 针对cd-rom光盘介质的读写管控系统
US10645073B1 (en) * 2017-06-12 2020-05-05 Ca, Inc. Systems and methods for authenticating applications installed on computing devices
US10909228B2 (en) 2017-07-19 2021-02-02 Box, Inc. Server-side authentication policy determination for mobile applications
US11294653B2 (en) * 2017-09-27 2022-04-05 Jayant Shukla Methods and systems of disassembling executable code
US10887107B1 (en) * 2017-10-05 2021-01-05 National Technology & Engineering Solutions Of Sandia, Llc Proof-of-work for securing IoT and autonomous systems
JP6644756B2 (ja) * 2017-11-21 2020-02-12 エスゼット ディージェイアイ テクノロジー カンパニー リミテッドＳｚ Ｄｊｉ Ｔｅｃｈｎｏｌｏｇｙ Ｃｏ．，Ｌｔｄ 可動物体のアプリケーション開発を支援する方法、システム及びコンピュータ読取り可能媒体
US10412113B2 (en) 2017-12-08 2019-09-10 Duo Security, Inc. Systems and methods for intelligently configuring computer security
US11206540B2 (en) 2018-01-12 2021-12-21 MobileIron, Inc. Asserting user, app, and device binding in an unmanaged mobile device
US11063762B1 (en) * 2018-02-22 2021-07-13 Allscripts Software, Llc Computing system for inter-application communication
US11146407B2 (en) 2018-04-17 2021-10-12 Digicert, Inc. Digital certificate validation using untrusted data
JP7179482B2 (ja) * 2018-04-19 2022-11-29 キヤノン株式会社 情報処理装置、制御方法、およびそのプログラム
KR20200008498A (ko) * 2018-07-16 2020-01-28 삼성전자주식회사 애플리케이션의 액세스를 제어하기 위한 방법 및 디바이스
US11263036B2 (en) 2018-07-16 2022-03-01 Samsung Electronics Co., Ltd. Method and device for controlling access of application
US10929162B2 (en) * 2018-07-27 2021-02-23 Futurewei Technologies, Inc. Virtual machine container for applications
US11227041B2 (en) * 2018-08-24 2022-01-18 Baskaran Dharmarajan Identification service based authorization
US10599486B1 (en) * 2018-09-21 2020-03-24 Citrix Systems, Inc. Systems and methods for intercepting and enhancing SaaS application calls via embedded browser
EP3648429A1 (en) 2018-10-29 2020-05-06 Siemens Aktiengesellschaft Method and system for providing access to data stored in a security data zone of a cloud platform
CN109769010B (zh) * 2018-12-04 2021-11-30 平安科技（深圳）有限公司 基于SDK访问CloudStack服务器的方法、装置、设备及存储介质
US11658962B2 (en) 2018-12-07 2023-05-23 Cisco Technology, Inc. Systems and methods of push-based verification of a transaction
US11044096B2 (en) * 2019-02-04 2021-06-22 Accenture Global Solutions Limited Blockchain based digital identity generation and verification
US11122091B2 (en) * 2019-04-16 2021-09-14 FireMon, LLC Network security and management system
US11089004B2 (en) * 2019-05-01 2021-08-10 Blackberry Limited Method and system for application authenticity attestation
US11017064B2 (en) 2019-05-14 2021-05-25 Bank Of America Corporation Authentication using interprogram communication
US20200364354A1 (en) * 2019-05-17 2020-11-19 Microsoft Technology Licensing, Llc Mitigation of ransomware in integrated, isolated applications
CN110399141A (zh) * 2019-07-17 2019-11-01 中科恒运股份有限公司 一种集成多应用的移动终端平台方案
US20210056053A1 (en) * 2019-08-19 2021-02-25 Cryptography Research, Inc. Application authentication and data encryption without stored pre-shared keys
US20220277089A1 (en) 2019-09-02 2022-09-01 Grabtaxi Holdings Pte. Ltd. Communications server apparatus and method for determination of an abstention attack
US11343252B2 (en) 2019-11-11 2022-05-24 Vmware, Inc. Kernel level application data protection
US11244077B2 (en) * 2020-01-31 2022-02-08 Fortanix, Inc. Securing data integrity for an application
CN111314475B (zh) 2020-02-21 2021-05-04 北京紫光展锐通信技术有限公司 会话创建方法及相关设备
WO2021203026A1 (en) * 2020-04-03 2021-10-07 Prescient Devices, Inc. Content-based application security for distributed computing system
US20210321255A1 (en) * 2020-04-10 2021-10-14 Qualcomm Incorporated Method and apparatus for verifying mobile device communications
US20220038282A1 (en) * 2020-07-28 2022-02-03 Citrix Systems, Inc. Secure Token Transfer between Untrusted Entities
CN114386050A (zh) * 2020-10-20 2022-04-22 华为云计算技术有限公司 一种资产的访问控制方法、装置、设备及介质
US20220182385A1 (en) * 2020-12-09 2022-06-09 Citrix Systems, Inc. Cross-endpoint enterprise application authorization and management
CN115221497A (zh) * 2021-03-29 2022-10-21 北京小米移动软件有限公司 应用的使用权限的设置方法、装置、电子设备及存储介质
CN112732535B (zh) * 2021-03-31 2021-06-22 荣耀终端有限公司 一种控制应用程序限时使用的方法及电子设备
US11895133B2 (en) 2021-04-05 2024-02-06 Bank Of America Corporation Systems and methods for automated device activity analysis
US11811668B2 (en) * 2021-08-19 2023-11-07 Bank Of America Corporation System for implementing disposition bias for validating network traffic from upstream applications

Family Cites Families (21)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH08137686A (ja) * 1994-09-16 1996-05-31 Toshiba Corp 著作物データ管理方法及び著作物データ管理装置
US5870467A (en) 1994-09-16 1999-02-09 Kabushiki Kaisha Toshiba Method and apparatus for data input/output management suitable for protection of electronic writing data
JP3779837B2 (ja) * 1999-02-22 2006-05-31 松下電器産業株式会社 コンピュータ及びプログラム記録媒体
US6978375B1 (en) * 2000-09-08 2005-12-20 International Business Machines Corporation System and method for secure authentication of external software modules provided by third parties
US7565551B2 (en) * 2003-02-19 2009-07-21 Microsoft Corporation Enhancing software integrity through installation and verification
WO2005008494A1 (en) * 2003-07-11 2005-01-27 Computer Associates Think, Inc. System and method for using common communication channel by web page applets
US8122100B2 (en) * 2003-07-28 2012-02-21 Limelight Networks, Inc. Multiple object download
US7526793B2 (en) * 2004-12-14 2009-04-28 International Business Machines Corporation Method for authenticating database connections in a multi-tier environment
JP4636607B2 (ja) 2005-06-29 2011-02-23 株式会社日立ソリューションズ セキュリティ対策アプリケーションの機密ファイル保護方法
US8145917B2 (en) * 2005-12-30 2012-03-27 Nokia Corporation Security bootstrapping for distributed architecture devices
JP2008073184A (ja) 2006-09-20 2008-04-03 Namco Bandai Games Inc プログラム、情報記憶媒体及びゲーム装置
US8245285B1 (en) * 2006-09-22 2012-08-14 Oracle America, Inc. Transport-level web application security on a resource-constrained device
US8225093B2 (en) 2006-12-05 2012-07-17 Qualcomm Incorporated Providing secure inter-application communication for a mobile operating environment
US8621601B2 (en) * 2008-05-21 2013-12-31 Sandisk Technologies Inc. Systems for authentication for access to software development kit for a peripheral device
WO2009142689A1 (en) 2008-05-21 2009-11-26 Sandisk Corporation Authentication for access to software development kit for a peripheral device
JP5577527B2 (ja) 2008-06-25 2014-08-27 日本電気株式会社 情報処理システム、個人用情報機器及びアクセス管理方法
US8869289B2 (en) * 2009-01-28 2014-10-21 Microsoft Corporation Software application verification
CN102498491A (zh) 2009-09-14 2012-06-13 森清 安全审计系统及安全审计方法
US20120297457A1 (en) * 2010-11-15 2012-11-22 Brian Schulte Interactive Malware Detector
JP5622668B2 (ja) * 2011-06-16 2014-11-12 株式会社エヌ・ティ・ティ・データ アプリケーション認証システム、アプリケーション認証方法
US9161225B2 (en) * 2011-09-23 2015-10-13 Blackberry Limited Authentication procedures for managing mobile device applications

Also Published As

Publication number Publication date
EP3179697B1 (en) 2020-11-18
JP6222592B2 (ja) 2017-11-01
EP3000213A1 (en) 2016-03-30
JP2016526223A (ja) 2016-09-01
US20160142418A1 (en) 2016-05-19
EP3000213B1 (en) 2017-04-26
KR101770417B1 (ko) 2017-08-22
US20140298420A1 (en) 2014-10-02
CN105379223B (zh) 2017-06-23
US9838398B2 (en) 2017-12-05
US9270674B2 (en) 2016-02-23
WO2014189722A1 (en) 2014-11-27
KR20170098961A (ko) 2017-08-30
CN105379223A (zh) 2016-03-02
KR20180081833A (ko) 2018-07-17
KR101877732B1 (ko) 2018-07-12
EP3179697A1 (en) 2017-06-14

Similar Documents

Publication Publication Date Title
KR101770417B1 (ko) 모바일 애플리케이션 관리를 위한 모바일 애플리케이션의 아이덴티티 검증
US10609560B2 (en) Using derived credentials for enrollment with enterprise mobile device management services
EP3462759B1 (en) Secure single sign-on and conditional access for client applications
US20210218722A1 (en) Dynamic crypto key management for mobility in a cloud environment
KR101722631B1 (ko) 프록시를 사용하여 자원들에의 보안 액세스
KR101992740B1 (ko) 다수의 동작 모드들을 가진 애플리케이션용 데이터 관리
KR101824980B1 (ko) 모바일 디바이스 관리 타입 보안을 위한 보안 클라이언트 디바이스 매핑 및 파일 저장 시스템
KR101738400B1 (ko) 콘텍스트와 모바일 디바이스 로킹
EP2992698A1 (en) Application with multiple operation modes
EP3092565A1 (en) Providing mobile application management functionalities
KR101730984B1 (ko) 다수의 동작 모드들을 가진 애플리케이션용 데이터 관리

Legal Events

Date Code Title Description
A201 Request for examination
E902 Notification of reason for refusal
A107 Divisional application of patent
GRNT Written decision to grant