MXPA04007406A

MXPA04007406A - Mecanismo para evaluar riesgos de seguridad.

Info

Publication number: MXPA04007406A
Application number: MXPA04007406A
Authority: MX
Inventors: Goldfeder Aaron
Original assignee: Microsoft Corp
Priority date: 2003-05-17
Filing date: 2003-05-17
Publication date: 2005-02-17
Also published as: CA2472366A1; KR20060079854A; AU2003233574B2; US20040230835A1; AU2003233574A1; BR0307030A; EP1625687A4; AU2003233574B8; US8156558B2; KR100968003B1; CN1618198A; JP2006526193A; AU2003233574B9; EP1625687A1; JP2010205287A; WO2004107647A1; JP4908611B2

Abstract

Se describe un mecanismo para evaluar colectivamente riegos de seguridad asociados con la carga de una aplicacion. Un ambiente huesped asociado con la carga de la aplicacion invoca un administrador de confianza para evaluar los riesgos de seguridad. El administrador de confianza invoca una pluralidad de evaluaciones de confianza, en donde cada evaluador de confianza es responsable de analizar y evaluar un riesgo de seguridad diferente. Al terminar cada evaluacion de riesgo de seguridad, los resultados de esas evaluaciones de riesgo de seguridad individuales son regresados al administrador de confianza. El administrador de confianza agrega la variedad de resultados de evaluacion de riesgo de seguridad y hace una determinacion de seguridad basandose en los resultados de evaluacion agregados. Esa determinacion puede hacer avanzar la carga de la aplicacion, para bloquear la carga de aplicacion, o tal vez para incitar al usuario a tomar una decision con respecto a si hacer avanzar la carga.

Description

MECANISMO PARA EVALUAR RIESGOS DE SEGURIDAD Esta solicitud se presentó como una solicitud de PCT presentada el 17 de Mayo del 2003, por MICROSOFT CORPORATION, una nacional y residente de Estados Unidos, designando a todos los países, excepto E. U. A.

CAMPO DE LA INVENCION La presente invención se refiere a sistemas de seguridad de cómputo. Más particularmente, la presente invención se refiere a un mecanismo para evaluar y agregar información de evaluación de seguridad para sistemas de cómputo.

ANTECEDENTES DE LA INVENCION Los usuarios de computadora actuales tienen acceso a una multitud de diferentes aplicaciones y utilidades. El usuario de computadora típico puede instalar docenas de programas de computadora durante el curso de un año. La mayoría de las veces, los usuarios de computadoras hábilmente instalan programas en sus computadoras. Por ejemplo, un usuario puede comprar un programa de software e instalarlo manualmente. Algunas veces un usuario puede instalar un programa en forma no hábil, tal como visitando un ~ sitio web pa rti cu la r que e s~fa~c o ñfi g u r a~d o~~pa r a inst alam ñ a apITc ación pequeña o programa pequeño en la computadora de usuarios. La instalación de programas en computadoras se ha convertido en un lugar común actualmente que algunos usuarios no están concientes de las emisiones de seguridad involucradas con la instalación del nuevo software. Otros usuarios sutilmente están al pendiente de las emisiones de seguridad en general, pero típicamente están inseguros con respecto a las emisiones particulares que pueden rodear a la instalación de un programa particular. Muchos usuarios entienden que los nuevos programas pueden introducir virus u otros códigos malignos en sus computadoras. Los usuarios también entienden que algunos desarrolladores de software hacen programas libremente disponibles que tienen una función o propósito abierto al público tal como mejorar los mensajes de correo electrónico, y una función o propósito secreto o protegido, tal como grabar información con respecto al usuario que posteriormente es regresada a una entidad de mercado. Este tipo particular de software por lo regular es llamado como "spyware" (software de espionaje). Por lo regular los usuarios intentan protegerse así mismos de éstos retos de seguridad en varias formas. Por ejemplo, muchos usuarios instalan utilidades anti-virus para protegerse contra virus. Muy pocos usuarios también instalan utilidades anti-spyware para dirigir las emisiones de seguridad de spyware. Desafortunadamente, cada utilidad de seguridad opera en forma separada uno del otro y sin el conocimiento de cada uno de los otros resultados, incomodando al usuario efe e^sTa manera con fa asimilación de la información de cada utilidad de seguridad. Los sistemas de seguridad actuales operan en un vacío con respecto uno al otro, y cada uno reporta al usuario solamente su riesgo de seguridad específico. La mayoría de los usuarios no desean preparar notificaciones de diferentes riesgos de seguridad de varios sistemas diferentes. Más bien, desean subsistemas de seguridad solo para trabajar. La naturaleza de trabajo en fragmentos de las utilidades de seguridad actuales típicamente deja a los usuarios con la incertidumbre de que han dejado un hueco en sus defensas, y que programas malignos o no deseables pasarán. Debido a esa incertidumbre o miedo, muchos usuarios son renuentes a tratar nuevos programas, especialmente en ambientes en línea. Desafortunadamente, actualmente no hay ningún mecanismo que pueda proteger a un usuario de múltiples riesgos de seguridad diferentes presentados por un programa de software particular cuando se están descargando, instalando o ejecutando. Un mecanismo adecuado para evaluar riesgos de seguridad ha esquivado a aquellos expertos en la técnica.

COMPENDIO DE LA INVENCION La presente invención está dirigida a un sistema y método para acumular información de evaluación de seguridad con respecto a un programa la operación en esa información en una forma conveniente üTTMzable. ETi resumen, un ambiente huésped es responsable cTe cargar una aplicación. En respuesta al inicio de la carga de aplicación, el ambiente huésped invoca a un administrador de confianza para evaluar cualesquiera riesgos de seguridad asociados con esa aplicación. El administrador de confianza invoca una pluralidad de evaluadores de confianza, en donde cada evaluador de confianza es responsable de analizar y evaluar un riesgo de seguridad diferente. Después de completar cada evaluación de riesgo de seguridad, los resultados de esas evaluaciones de riesgo de seguridad individuales son represados al administrador de confianza. El administrador de confianza agrega la variedad de resultados de evaluación de riesgo de seguridad y hace una determinación de seguridad basándose en los resultados de evaluación agregados. Esa determinación puede ser movida hacia delante con la carga de la aplicación, para bloquear la carga de la aplicación, o tal vez para incitar al usuario a tomar una decisión con respecto ha si se mueve hacia delante con la carga. Ventajosamente, si es incitado, el usuario puede tomar la decisión basándose en la evaluación de seguridad colectiva de la aplicación, lo cual proporciona al usuario un mayor sentido de protección sobre su sistema de cómputo en general.

BREVE DESCRIPCION DE LOS DIBUJOS La Figura 1 es un diagrama de bloque funcional que ilustra un dt pTrs G???- d¾ C¾mputó que pu é de ser utilTzacTo erTTmpTe mentación e de la presente invención. La Figura 2 es un diagrama de bloque funcional que generalmente ilustra componentes de un sistema para realizar una evaluación de seguridad de una aplicación y para presentarle a un usuario una evaluación de seguridad colectiva de esa evaluación. La Figura 3 es una representación gráfica de un grupo de otorgamiento ilustrativo para una aplicación que asocia permisos particulares con componentes de la aplicación en el contexto de la aplicación. La Figura 4 es una representación gráfica de una interfase de usuario ilustrativa que se puede utilizar para presentar información de evaluación de seguridad colectiva a un usuario. La Figura 5 es un diagrama de flujo lógico que generalmente ilustra un procedimiento para evaluar los riesgos de seguridad asociados con una aplicación y para presentar al usuario la evaluación de seguridad colectiva.

DESCRIPCION DETALLADA DE LA MODALIDAD PREFERIDA La invención será descrita primero haciendo referencia a un ejemplo de un ambiente de cómputo ilustrativo en donde se pueden implementar las modalidad de la invención. Después, se describirá un ejemplo detallado de una implementación específica de la invención. También se pueden incluir implementaciones alternativas con respecto a ciertos defalles de la implementación especíTica Se apreciará que las modalidades de la invención no están limitadas a aquellas descritas aquí.

Ambiente de Cómputo Ilustrativo de la Invención La Figura 1 ilustra un dispositivo de cómputo que puede ser usado en implementaciones ilustrativas de la presente invención. Con referencia a la Figura 1, un sistema ilustrativo para implementar la invención incluye un dispositivo de cómputo, tal como un dispositivo de cómputo 100. En una configuración muy básica, el dispositivo de cómputo 100 típicamente incluye por lo menos una unidad de procesamiento 102 y una memoria de sistema 104. Dependiendo de la exacta configuración y tipo de dispositivo de cómputo 100, la memoria de sistema 104 puede ser volátil (tal como RAM), no volátil (tal como ROM, memoria flash, etc.), o alguna combinación de las dos. La memoria de sistema 104 típicamente incluye un sistema operativo 105, uno o más módulos de programa 106, y puede incluir datos de programa 107. Esta configuración básica del dispositivo de cómputo 100 se ilustra en la Figura 1 a través de aquellos componentes dentro de la línea desvanecida 108. El dispositivo de cómputo 100 puede tener características adicionales o funcionalidad. Por ejemplo, el dispositivo de cómputo 100 también puede incluir dispositivos de almacenamiento de datos adicionales (removibles y/o no removibles), tales como, por ejemplo, discos magnéticos, discos ópticos, o cintas. Dicho almacenamiento adicional se muestra en la Figura ~1 a través del almacenamiento removible 109 y almacenamiento no removible 110. Los medios de almacenamiento de computadora pueden incluir medios volátiles y no volátiles, removibles y no removibles, implementados en cualquier método o tecnología para almacenar información, tal como instrucciones legibles por computadora, estructuras de datos, módulos de programa, u otros datos. La memoria de sistema 104, el almacenamiento removible 109 y el almacenamiento no removible 110 todos son ejemplos de medios de almacenamiento por computadora. Los medios de almacenamiento por computadora incluyen, pero no se limitan a, RAM, ROM, EEPROM, memoria flash, u otra tecnología de memoria, CD-ROM, discos versátiles digitales (DVD) u otro almacenamiento óptico, casetes magnéticos, cinta magnética, almacenamiento en disco magnético u otros dispositivos de almacenamiento magnético, o cualquier otro medio que pueda ser utilizado para almacenar información deseada y que pueda ser accesada a través del dispositivo de cómputo 100. Cualquier medio de almacenamiento de computadora puede ser parte del dispositivo 100. El dispositivo de cómputo 100 también puede tener dispositivos de entrada 112 tales como un teclado 122, ratón 123, y pluma, dispositivo de entrada por voz, dispositivo de entrada táctil, explorador, etc. También se pueden incluir dispositivos de salida 114 tales como una presentación, bocinas, impresora, etc. Estos dispositivos son bien conocidos en la técnica y no necesitar ser discutidos aquí. El dispositivo de cómputo ?0? TarñbTén puede contene7 conexiones de comunicación 116 que permiten que el dispositivo 100 se comunique con otros dispositivos de cómputo 118, tales como a través de una red. Las conexiones de comunicación 116 son un ejemplo de medios de comunicación. Los medios de comunicación típicamente pueden ser modalizados por instrucciones legibles por computadora, estructuras de datos, módulos de programa, u otros datos en una señal de datos modulada, tales como una onda portadora u otro mecanismo de transporte, e incluyen cualquier medio de suministro de información. El término "señal de datos modulada" significa una señal que tiene una o más de sus características fijadas o cambiadas de tal manera que codifica la información en la señal. A manera de ejemplo, y no de limitación, los medios de comunicación incluyen medios mediante cables tales como una red con cables o una conexión dirigida por cables, y medios inalámbricos tales como medios acústicos, RF, infrarrojos, y otros medios inalámbricos. El término medios legibles por computadora como se utiliza aquí, incluye tanto medios de almacenamiento como medios de comunicación.

Discusión de la Implementación Específica La Figura 2 es un diagrama de bloque funcional que generalmente ¡lustra los componentes de un ambiente que implementan la presente invención. Como se muestra en la Figura 2, un sistema de evaluación de confianza 200 se configura para evaluar una aplicación 201 e "icíeñTi ícar cualesquiera riesgos cTe~sé~g Tncrad asociados con la aplicación 201. La aplicación 201 puede ser cualquier código ejecutable que esté disponible al dispositivo de cómputo 100. Existen inherentemente algunos riesgos de seguridad asociados con la ejecución de la aplicación 201 en el dispositivo de cómputo 100. Por ejemplo, la aplicación 201 puede contener un virus o puede constituir un spyware. Por consiguiente, el sistema 200 está configurado para analizar la aplicación 201 para evaluar y cuantificar aquellos riesgos en una forma inteligente. El sistema de evaluación de confianza 200 después hace una decisión con respecto a la carga de la aplicación 201. La aplicación 201 puede estar compuesta de varios componentes que operan en conjunto. Por ejemplo, la aplicación 201 puede incluir múltiples módulos o ensambles, tales como el ensamble A 202 y ensamble B 203. La aplicación 201 puede incluir metadatos que describen la aplicación y cada uno de sus componentes constituyentes. Esos metadatos pueden estar contenidos en un manifiesto 205 o de otra manera almacenados en asociación con la aplicación 201. Los metadatos pueden incluir información tal como el nombre de la aplicación, la versión de la aplicación, que derechos y permisos se desean para los componentes constituyentes de la aplicación, información de política de privacidad, información de firma digital, y similares. La aplicación 201 primero puede ser cargada en el dispositivo de cómputo 100 en una de muchas formas. Por ejemplo, la aplicación 201 puede ser descargada durante una sesión de Internet^ puedé~se7 obtenida en un disco óptico u otro almacenamiento permanente, puede ser recibida en un mensaje de correo electrónico, o a través de algún otro mecanismo. En esta implementación, la aplicación 201 es cargada por y ejecutada en un ambiente huésped 220. Para el propósito de esta discusión, el ambiente huésped 220 incluye cualquier ambiente en donde la aplicación 201 será ejecutada. Por ejemplo, el ambiente huésped 220 puede ser un ambiente de tiempo de corrido de código administrado, con la cápsula otra aplicación, o similares. En este ambiente particular, el ambiente huésped 220 puede incluir una clasificación de prioridad basándose en el tipo de huésped que es. Por ejemplo, se puede determinar que un ambiente huésped asociado con una unidad de disco óptico puede poseer un riesgo de seguridad más bajo que un ambiente huésped asociado con una sesión en red, tal como Internet. La clasificación de prioridad se puede utilizar posteriormente cuando se asigna una escala de seguridad a la aplicación 201. El ambiente huésped 220 está configurado para crear un Objeto de Descripción de Aplicación (ADO) 221 basándose en los metadatos con respecto a la aplicación 2 201. El ambiente huésped 220 incluye en el ADO 221 suficiente información con respecto a la aplicación 201 para evaluar efectivamente los riesgos de seguridad asociados con la aplicación 201. Por consiguiente, el ADO 221 puede incluir, en forma de objeto, el nombre de la aplicación, la versión de la aplicación, que derechos y permisos desean los componentes constituyentes de la aplicacfól ; información de poTTtTca^ d"e privacidad, información de firma digital, y similares. El ambiente huésped 220 además está configurado para invocar un administrador de confianza 210 para realizar la evaluación. El administrador de confianza 210 puede ser un componente de confianza de un sistema operativo residente en el dispositivo de cómputo 100. En esta modalidad particular, el administrador de confianza 210 expone una interfase que es llamada por el ambiente huésped 220 para iniciar la evaluación de seguridad de la aplicación 201. El administrador de confianza 210 recibe el ADO 221 del ambiente huésped 220 a través de la interfase. El administrador de confianza 201 además está configurado para invocar una serie de máquinas de evaluación de confianza para evaluar el riesgo de seguridad asociado con la aplicación 201. Cada máquina de evaluación está configurada para evaluar una clase particular de reto basándose en la información en el ADO 221 o en los componentes de la misma aplicación 201. Por ejemplo, la máquina de evaluación 240 puede ser una máquina de clasificación que evalúa la evidencia con respecto a la aplicación, como puede estar contenida en el ADO 221 o en cualquier parte, para determinar la habilidad de la aplicación para realizar actos maliciosos en el dispositivo de cómputo 100. La máquina de evaluación 241 puede ser un verificador de virus y la máquina de evaluación 242 puede ser configurada para evaluar aspectos de privacía sobre la aplicación 201. Cada uno de los motores de evaluación puede derivarse de una clase base, o puede ser implementado como una interfase.

Cada máquina de evaluación está configurada para valorar la aplicación 201 contra sus reglas o criterios particulares para determinar una clasificación 245. Los ejemplos de la clasificación incluyen un valor numérico entre un mínimo y un máximo, o un valor discreto a partir de un grupo de niveles de seguridad alternativos. Estos son solo ejemplos y no es una lista exhaustiva. La clasificación 245 después puede ser regresada al administrador de confianza 210 a través de cada máquina de evaluación al término de su evaluación. El administrador de confianza 210 está configurado para agregar las clasificaciones individuales en una colección de clasificaciones 250, la cual representa la evaluación de seguridad colectiva de la aplicación en cada una de las áreas para las cuales existe una máquina de evaluación. Cualesquiera prioridades que puedan existir, tales como prioridades asociadas con el tipo particular de ambiente huésped 220, pueden ser aplicadas a la colección de clasificación 250 para refinar más la evaluación de seguridad colectiva. Con base en la evaluación de seguridad colectiva, el administrador de confianza 210 puede tener información suficiente para hacer una decisión de carga sin involucrar al usuario. Por ejemplo, los umbrales pre-determinados (ya sea fijados por omisión o tal vez provistos por el usuario) pueden gobernar que programas son cargados sin buscar la aceptación del usuario, o que programas queden bloqueados sin incitar al usuario. Si la evaluación de seguridad colectiva para la aplicación particular que se está arg a n do — falta emrtre esos fcrs u m Ta~Te~s , el üs uano uecíe s eT incitado para tener una decisión de carga. El administrador de confianza 210 construye un Objeto de Confianza 261 que describe el nivel de permisos con los cuales será cargada la aplicación, sino es que todos. El Objeto de Confianza 261 puede incluir datos que definen un grupo de otorgamiento de permiso 262 para la aplicación en una base de componente por componente. Un ejemplo de un grupo de otorgamiento de permiso ilustrativo 262 se muestra en la Figura 3 y se describe a continuación. Si la evaluación de seguridad colectiva para la aplicación 201 falla entre los dos umbrales antes mencionados, el administrador de confianza 210 puede pasar el objeto de confianza 261 a una interfase de usuario 260, de manera que el usuario puede ser incitado. La interfase de usuario 260 es un mecanismo para presentar la evaluación de seguridad colectiva al usuario en una forma importante, de manera que el usuario puede hacer una decisión informada con respecto al proseguimiento. La interfase de usuario 260 puede tener muchas formas, tales como una caja de diálogo, una señal audible, un indicador de icono, o similares. Un ejemplo de una interfase de usuario potencial 260 se ¡lustra en la Figura 4 y se describe más adelante. En esencia, la interfase de usuario 260 representa un punto individual de presentación de varios y de información de seguridad diferente que, en sistemas convencionales, no existen. La interfase de usuario 260 puede incitar al usuario con las cTeTa aplicación prosiga, y posiblemente le presenta al usuario varios niveles de permisos que pueden ser asignados a la aplicación. Al usuario se le solicita hacer una determinación de si proseguir con la carga de la aplicación, o no. La interfase de usuario 260 agrega la información de respuesta de usuario al objeto de confianza 261 y la regresa al administrador de confianza 210. Cada vez que la aplicación 201 es lanzada o ejecutada, su ambiente huésped 220 puede invocar al administrador de confianza 210 para recuperar la evaluación de seguridad de la aplicación 201. En el caso en donde el grupo de otorgamiento 262 ya haya sido creado, el administrador de confianza 210 puede regresar ese grupo de otorgamiento 262 al ambiente huésped 220. Alternativamente, el ambiente huésped 220 puede guardar en memoria caché la información de evaluación de seguridad para uso subsecuentes sin involucrar al administrador de confianza 210. El ambiente huésped 220 después aplicará cualesquiera permisos de acceso identificados en el grupo de otorgamiento 262 a la aplicación 201. Más específicamente, el ambiente huésped 220 puede aplicar los permisos de acceso a cada componente individual, tal como el ensamble A 202, de la aplicación 201. Si es igualmente confiable que el ambiente huésped 220 o alguna otra aplicación pueda presentar un componente al administrador de confianza 210 para una evaluación de seguridad sin el intento específico de ejecutar después el documento. ta — Fig-üra — 3 -es- o -na^re-?t ementa eran ¡~g rá"Tíc§ dé- urT gTüpo- d~e otorgamiento ilustrativo 301 que puede ser generado por implementaciones de la presente invención. Se debe observar que el término "grupo de otorgamiento", como se utiliza aquí, significa cualquier colección de información que se utilice para definir el ambiente de seguridad en donde se puede ejecutar una aplicación. El término "grupo de otorgamiento" utilizado aquí no está limitado a un ambiente de seguridad particular, tal como un ambiente de Tiempo de Corrido del Lenguaje Común, sino que más bien pretende cubrir información utilizada para definir el ambiente de seguridad dentro del cual una aplicación se ejecuta sin considerar el ambiente operativo particular. En este ejemplo particular, el grupo de otorgamiento 301 pueden ser datos dentro de un objeto, tales como un Objeto de Confianza, o similares. En este ejemplo, el grupo de otorgamiento 301 incluye información que identifica a cada componente de la aplicación. Además, el grupo de otorgamiento 301 incluye información que define los permisos de cada componente de la aplicación. En este caso, una tabla de componentes 310 identifica los componentes Ensambla A, Ensamble B y Ensamble C y asocia cada uno esos componentes con un grupo de permiso. Por ejemplo, en el grupo de otorgamiento 301, el Ensamble A es identificado por tener el grupo de permiso PS1. Una tabla de permisos 320 también está incluida en el grupo de otorgamiento 301 para definir específicamente aquellos permisos que t+enen defechos de -s-eg-tt M-d-aJ-qre- est rr~ a SOcta d ~s~C TT~ clídlFgTü po de permiso. En este ejemplo, el grupo de permiso PS1 incluye aquellos permisos y derechos identificados en el ejemplo como permisos 1. Se apreciará que, como se describió anteriormente, cuando el ambiente huésped 220 comienza a cargar los componentes de la aplicación, haciendo referencia al grupo de otorgamiento 301, los permisos apropiados pueden ser aplicados a cada componente de la aplicación en el contexto de la aplicación. En otras palabras, alguna otra aplicación también puede incluir el Ensamble B, pero en el contexto de esa otra aplicación, el Ensamble B puede tener un grupo de permiso diferente. En ese caso, cuando se ejecuta la otra aplicación, y el Ensamble B se carga, podría tener el grupo de permiso definido por un grupo de otorgamiento asociado con la otra aplicación. La Figura 4 es un diálogo de Interfase de Usuario Ilustrativo que puede ser presentado a un usuario con base en una evaluación de seguridad de una aplicación. En este ejemplo particular, el diálogo 401 se presenta basándose en una evaluación de una aplicación que ha solicitado acceso al sistema de archivo y a la red. Además, un evaluador de virus ha determinado que aplicación no contiene un virus. En la indicación de icono del nivel de riesgo 405, también puede ser incluido. Al usuario se le presenta la opción de permitir que la carga prosiga, tal como oprimir un botón de OK 410, o abortar la carga. La interfase de usuario mostrada en la Figura 4 es solamente para el propósito de ilustración, y no se ve como un punto TTmitánte ó mecanisnTO eTíclTTs vo p~aTa~ pre nTar rrfmTrTacion <fé seguridad al usuario. En realidad, se contempla que muchas otras diferentes formas de presentación, de evaluación de seguridad colectiva serán evidentes a partir de las enseñanzas de esta invención. La Figura 5 es un diagrama de flujo lógico que generalmente ilustra un procedimiento para identificar y presentar colectivamente, en forma significante, información sobre riesgos de seguridad poseídos por una aplicación. El procedimiento comienza en el bloque de inicio 501, en donde una aplicación se está cargando para ejecutarse en un sistema de cómputo. Como se discutió anteriormente, una aplicación puede ser cargada en muchas formas a través de varios tipos de huéspedes. Por consiguiente, en el bloque de inicio 501, una aplicación particular se está cargando a través del uso de un huésped particular. El procedimiento continúa al bloque 503. En el bloque 503, el huésped construye un Objeto de Descripción de Aplicación (ADO) basándose en la información sobre la aplicación. Como se describió anteriormente, la información puede ser obtenida a partir de un manifiesto incluido con la aplicación, o a través cualesquiera otros metadatos asociados con la aplicación. El ADO contiene información descriptiva con respecto a la aplicación, tal como el nombre y la versión de la aplicación, cualesquiera derechos solicitados por la aplicación, cualesquiera permisos de acceso de código siendo solicitados por la aplicación, información de firma dfgTfaTcon relación a la aplicación, información de política de privacidad, y similares. El procedimiento continúa en el bloque 505. En el bloque 505, el huésped invoca a un administrador de confianza con una instrucción para evaluar los riesgos de seguridad asociados con la aplicación. El huésped pasa el ADO al administrador de confianza para utilizarse en la evaluación. En el bloque 507, el administrador de confianza comienza a evaluar los riesgos de seguridad de la aplicación invocando una serie de evaluadores de confianza, que cada uno evalúa un área específica del riesgo de seguridad. Por ejemplo, un evaluador de virus puede ser configurado para examinar cada componente de una aplicación para la posibilidad de que la aplicación contenga un virus. Un evaluador de privacidad puede evaluar los permisos solicitados por la aplicación para determinar que nivel de amenaza presenta la aplicación a la privacidad. También se pueden utilizar muchos otros evaluadores de confianza, como se será evidente por aquellos expertos en la técnica. El bloque 508 se realiza para cada evaluador de confianza en el sistema. El bucle 508 comienza en el bloque 509, en donde el evaluador de confianza real examina la información en el ADO y/o los componentes de la aplicación para evaluar el riesgo de seguridad. La información en el ADO puede ser comparada contra un grupo de reglas u otros criterios para desarrollar una clasificación que cuantifique el riesgo de seguridad de la aplicación. En un ejemplo, una clasificación puede ser un valor de cero (riesgo — máximo) a 1 -(Tiesg-o rrrín i mo . ~tra ctasifrcación ~t~a~m te~n ^pjed^incTüir fcH^- rtoi ¡ d a ü y un^escT ptor de cad e n a . Se apreciará que las evaluaciones realizadas por cada evaluador de confianza son análogas a evaluaciones de riesgo de seguridad similares que puedan ser realizadas por mecanismos convencionales. Sin embargo, de acuerdo con la invención, cada evaluador de confianza evalúa su riesgo de seguridad respectivo y regresa la colección de clasificación al administrador de confianza (bloque 511). Cuando cada evaluador ha regresado su colección de clasificación al administrador de confianza, el bucle 508 termina y el procedimiento continúa al bloque 513. En el bloque 513, el administrador de confianza analiza las colecciones de clasificación de los evaluadores de confianza. El administrador de confianza puede dar prioridad a las colecciones de clasificación basándose en algunos criterios predeterminados, tales como una prioridad asociada con un evaluador de confianza particular, o algún otro esquema de prioritización. Por ejemplo, un alto riesgo de que un virus esté presente puede valer más que un bajo riesgo de que pueda ocurrir una violación de privacidad. El administrador de confianza determina, a partir de las colecciones de clasificación con prioridad, un impacto de seguridad agregado en el sistema de cómputo. Si el impacto de seguridad agregado en el sistema excede algún umbral predeterminado, el administrador de confianza simplemente puede bloquear la carga de la aplicación. Si el impacto de seguridad agregado está por debajo de algún otro u b r_a el ad-m i~n istrador de -e e fta-n-z-a- s-i mp†e m en te ^prre de~d es ar roMa r un objeto de confianza que incluye suficientes permisos para se ejecute la aplicación. Sin embargo, si no existe ninguno de estos casos, el administrador de confianza puede invocar una Inferíase de usuario para incitar al usuario a hacer la determinación. En el bloque 515, el administrador de confianza pasa la colección de clasificación con prioridad y la información de impacto agregada a la interfase de usuario para evaluación final si es requerido por parte del usuario. Si es así, el impacto de seguridad agregado es presentado al usuario. La presentación puede estar en la forma de una caja de diálogo que resume o detalla específicamente los riesgos de seguridad asociados con la carga de la aplicación. Por ejemplo, una máquina de clasificación pudo haber determinado que la aplicación haya solicitado suficientes permisos para leer y modificar archivos en la computadora, y transmitir datos a través de una conexión de red. Con base en esa información, tal vez junto con otra evidencia, un evaluador de privacidad pudo haber determinado que la aplicación probablemente va a compartir la información de usuario a través de la red. Por consiguiente, esa información puede ser combinada para informarle al usuario que la carga de la aplicación probablemente dará como resultado que el usuario sea activado por campañas de comercio por televisión u otros usos inapropiados de la información personal del usuario. Ventajosamente, al usuario se le presenta información de seguridad diferente reunida en una notificación común, tal como una caja de — d+á+ogo o^STrm l a re s^ Eñ él bloque 5~T7, con cualquier entrada de la interfase de usuario, el administrador de confianza modifica el objeto de confianza para describir el ambiente de seguridad en donde se puede ejecutar la aplicación. En una modalidad, el objeto de confianza incluye datos que asocian la aplicación, o componentes de la aplicación, con un grupo de otorgamiento de permiso. El grupo de otorgamiento de permiso describe el nivel de seguridad que será aplicado a la aplicación cuando se ejecute. En un ambiente específico, un grupo de otorgamiento de permiso está asociado con cada componente de la aplicación. En esa forma, un componente que es compartido entre diferentes aplicaciones puede ser ejecutado con diferentes permisos, dependiendo del contexto de aplicación en donde se está ejecutando. El procedimiento puede estar inactivo en el bloque 517 hasta que la aplicación en realidad sea ejecutada, ocasionado así que el huésped comience a cargar componentes de la evocación. En ese punto, el procedimiento continúa al bloque 519. En el bloque 519, la aplicación se está cargando por el huésped. Como parte de una política de seguridad que se aplica a aplicaciones que se están cargando, el huésped consulta el administrador de confianza para el objeto de confianza asociado con la aplicación. A medida que cada componente de la aplicación se carga, el grupo de otorgamiento de permiso asociado con ese componente es aplicado. De esta manera, las aplicaciones que han sido cargadas de acuerdo con la invención son solamente a las que — se les otorga — aquellos permisos qre el usuario, en una manera rnfoi inada, directa y comprensivameñTe ha establecido. Si no se han otorgado suficientes privilegios a la aplicación, el administrador de confianza puede bloquear la ejecución de la aplicación. La especificación, ejemplos y datos anteriores proporcionan una descripción completa de los conceptos e implementaciones ilustrativas de la invención. Ya que muchas modalidades de la invención pueden hacerse sin apartarse del espíritu y alcance de la misma, la invención reside en las siguientes reivindicaciones. 5/5

Claims

23 TTETVTÑ I PACIO ES

1.- Un medio legible por computadora que tiene componentes ejecutables por computadora, que comprende: un administrador de confianza configurado para recibir una notificación de que una aplicación está siendo cargada y, en respuesta, hacer que la aplicación sea evaluada para una pluralidad de riesgos de seguridad, el administrador de confianza además estando configurado para agregar clasificaciones asociadas con cada evaluación de riesgo de seguridad para determinar una evaluación de seguridad colectiva basándose en las clasificaciones agregadas; y una interfase de usuario configurada para presentar la evaluación de seguridad colectiva determinada por el administrador de confianza.

2.- El medio legible por computadora de acuerdo con la reivindicación 1, en donde la aplicación está siendo cargada por un ambiente huésped, y en donde el ambiente huésped emite la notificación al administrador de confianza.

3. - El medio legible por computadora de acuerdo con la reivindicación 2, en donde el ambiente huésped está configurado para crear un objeto de descripción de aplicación que incluye información descriptiva sobre la aplicación.

4. - El medio legible por computadora de acuerdo con la reivindicación 3, en donde la información descriptiva incluye el nombre de la aplicación y la -v-e-FS-fén de-Fa apticación 24 5^ El me~cfío TegT¾Te por computadora de acuerdo con la reivindicación 3, en donde la información descriptiva identifica derechos y permisos solicitados por los componentes de la api icación. 5 6.- El medio legible por computadora de acuerdo con la reivindicación 3, en donde la información descriptiva incluye información de política de privacidad. 7. - El medio legible por computadora de acuerdo con la reivindicación 3, en donde la información descriptiva incluye 10 información de firma digital sobre la aplicación. 8. - El medio legible por computadora de acuerdo con la reivindicación 1, en donde las evaluaciones de riesgos de seguridad se realizan por un evaluador de confianza separado, cada evaluador de confianza estando configurado para analizar un riesgo de 15 seguridad particular asociado con la aplicación. 9. - El medio legible por computadora de acuerdo con la reivindicación 8, en donde el riesgo de seguridad particular comprende la presencia de un virus. 10. - El medio legible por computadora de acuerdo con la 20 reivindicación 8, en donde el riesgo de seguridad particular comprende una violación de privacidad. 11. - El medio legible por computadora de acuerdo con la reivindicación 1, en donde la evaluación de seguridad colectiva identifica uno o más riesgos de seguridad asociados con la carga de _25 la aplicación- 25 1-2 = ?? ??GT ?? legible por computadora codificado con una estructura de datos, que comprende: un grupo de otorgamiento asociado con una aplicación, el grupo de otorgamiento incluyendo una primera tabla y una segunda tabla, 5 la primera tabla incluyendo una lista de componentes que constituyen la aplicación, cada componente estando asociado con un grupo de permiso, la segunda tabla incluyendo una lista de grupos de permiso y una descripción para cada grupo de permiso. 13. - Un método implementado por computadora, que 10 comprende: recibir una notificación de que una aplicación está siendo cargada por un ambiente huésped; recibir un objeto de descripción de aplicación que incluye información sobre la aplicación; 15 hacer que la aplicación sea evaluada para determinar una pluralidad de riesgos de seguridad asociados con la aplicación; agregar resultados de la evaluación de la pluralidad de riesgos de seguridad; y presentar los resultados agregados como una evaluación de 20 seguridad colectiva de la aplicación. 14. - El método implementado por computadora de acuerdo con la reivindicación 13, en donde ocasionar que la aplicación sea evaluada además comprende invocar una pluralidad de evaluadores de confianza, cada evaluador de confianza estando asociado con un _25 ? esgo de seguridad posible -d-tíef-e-fl-t-e-, -cada e \ra fu crd ?t ~d é~ coTTf íá za 26 opera paia e^ralxrar una probabilidad de que la aplicación sufre del riesgo de seguridad posible particular que corresponde a ese evaluador de confianza. 1

5. - El método implementado por computadora de acuerdo con la reivindicación 13, que comprende además asignar un grupo de permiso a la aplicación, el grupo de permiso definiendo permisos con los cuales la aplicación será ejecutada. 1

6. - El método implementado por computadora de acuerdo con la reivindicación 15, que comprende además, en respuesta a una notificación para ejecutar la aplicación, recuperar el grupo de permiso y hacer que la aplicación sea ejecutada con los permisos apropiados. 1

7. - El método implementado por computadora de acuerdo con la reivindicación 15, en donde el grupo de permiso define permisos para los componentes de la aplicación. 27 FSOMEÑT Se describe un mecanismo para evaluar colectivamente riesgos de seguridad asociados con la carga de una aplicación. Un ambiente huésped asociado con la carga de la aplicación invoca un administrador de confianza para evaluar los riesgos de seguridad. El administrador de confianza invoca una pluralidad de evaluadores de confianza, en donde cada evaluador de confianza es responsable de analizar y evaluar un riesgo de seguridad diferente. Al terminar cada evaluación de riesgo de seguridad, los resultados de esas evaluaciones de riesgo de seguridad individuales son regresados al administrador de confianza. El administrador de confianza agrega la variedad de resultados de evaluación de riesgo de seguridad y hace una determinación de seguridad basándose en los resultados de evaluación agregados. Esa determinación puede hacer avanzar la carga de la aplicación, para bloquear la carga de aplicación, o tal vez para incitar al usuario a tomar una decisión con respecto a si hacer avanzar la carga.