TW313642B - A uniform mechanism for using signed content - Google Patents

Description

經濟部中央標準局員工消費合作社印製 〇1〇642 A7 B7 五、發明説明（1 ) I.發明背景 a. 發明領域 本發明係關於用以安全執行經由網路或藉由其他方式自 一無法信賴之來源所取得之軟體的電腦安全機制。 b. 相關技術 爲增加連接至網路之電腦的使用率，吾人一直尋找方法 以使他們可執行自伺服器所取得之程式。自使用者之觀點 來看，此種系統之‘主要優點在於其降低必須儲存於使用者 電腦之軟體的數量。自軟體開發者之觀點來看，主要優點 則是應用程式提供者對於程式之傳佈具有更大之控制。.在 全球資訊網（WWW)文件中使用内插式Java applet(亦即程式） 是此種系統之一流行範例。 此種方法之一大顧慮是自伺服器所取得之軟體可爲惡意 型而損害使用者之電腦或偷取資料。下載之軟體因此必須 在受到控制之環境中執行，而在該環境中該等軟體只被給 與他們必要之系統資源而無法使用其他系統資源。目前之 Java applet安全機制的主要問題在於其未具有足夠之彈性 。所有之Java applet茫被視爲具有敵意而無法存取使用者 機器之作業系統的大部份資源。 在許多標準技術可用於公開加密與驗證。RSA是一廣受 使用之公開金鑰加密演算法之範例。建構之範例則包含 RSAref與 PGP。 也有許多可用以產生訊息之數位簽.名的機制。該等機制 使得人與訊息之内容產生關聯。該等機制也可用以產生訊 本紙張尺度適用中國國家標準（CNS ) A4規格（210X 297公釐） (請先閱讀背面之注意事項再填寫本頁) 裝· 訂 3iS〇42 A7 B7 五、發明説明（2 ) (請先閱讀背面之注意事項再填寫本頁) 息之數位簽名以致訊息之產生者無法否認該訊息。MD 5演 算法連同RSA是一簽名系統之範例。 一些電腦作業系統使用許多功能~來控制對於系統資源之 存取。一功能是一程序得以對於另一物件執行某種動作所 需擁有之許可。使用功能以維持安全性之著名作業系統有 Amoeba與 Mach。 II.發明摘要 根據本發明之第二方面，本案提供一種用於一計算系統 之安全内容使用系統與方法。該系統包含一内容輸入機制 ，一擷取器，一分析模组與一執行模組；該擷取器運作連 接成爲接收藉由輸入機制所輸入之簽名内容並用以自該簽 名内容擷取一簽名之一些部份，而該等部份包含一相關於 該内容之安全憑證，用以使用該内容之資源需求；該分析 模組是當簽名内容之眞實性與完整性之任一受到質疑時用 以利用至’少擷取器所提供之安全憑證來驗證眞實性與完整 性及採取矯正措施；而該執行模組是用以確保簽名之内容 的使用符合資源需求與安全憑證。 經濟部中央標準局員工消費合作社印製 根據本發明之第二方面，本案提供一種融入簽名内容之 電腦可讀式記憶體。簽名之内容包含一電腦可讀式簽名與 電腦可讀式内容，而該電腦可讀式簽名包含多個欄位，該 等欄位包含一安全憑證搁與一資源需求欄，該安全憑證欄 包含至少一啓始者與涉及電腦可讀式内容之一傳佈鏈之中 間者的加密辨識碼，而該資源需求攔·是用以辨識使用電腦 可讀式内容所需之計算資源。 -5- 本紙張尺度適用中國國家標準（CNS ) A4規格（210X297公釐） 經濟部中央標準局貝工消費合作社印製 A7 ________B7 五、發明説明（3 ) 根據本發明之第三方面，本案提供一種用以在一計算系 2執行許可項目之内容使用系統與方法。該系統包含—内 容輸入機制，一擷取器，與一執行，模組；該擷取器運作連 接成爲接收藉由輸入機制所輸入之簽名内容並用以自該簽 名4 =容擷取一簽名之一些部份，而該等部份包含相關於 該，谷之電腦可讀式許可項目；而該執行模組是用以控制 計算系統之運作以確保簽名内容的使用符合許可項目。 III附圖簡短説明、 圖1是根據本發明之原理之一内容傳遞機制的抽象圖； 圖2展示—内容傳遞系統之來源與中間者； "圖3展示根據本發明之一實例製造者/作者與中間者如何 増加他們之簽名至受到傳遞之内容； 圖4展示根據本發明之一實例涉及使用者機器之簽名内容 之處理的模組； 圖5展示圖4之執行模組所使用之存取資訊表； 圖顯示圖4女全内谷使用系統之各種個體之功能之間的 圖7展示—些特權之間的關係，而該等特權係賦與圖4之 系統之簽名内容的不同使用者； 圖8展不當簽名之内容是一 Java applet時本發明之一實例； 圖9展不一旦收到簽名之内容時圖4之安全内容使用系統 會採取之動作；且 ’ 圖1 0展示圖4之執行模組藉以維持安全之方法。 IV.較佳實例詳細説明 (請先閲讀背面之注意事項再填寫本頁) 裝. -訂

Α7 -«ΐ /¾ φ 〇±ύ〇42 Β7 五、發明説明（4 ) 現在參照附圖來詳細説明本發明之實例。 圖1提供本發明之一抽象描述。使用者1使用從屬機琴_4 並使用内容傳遞機制5來轉移簽名乏内容6至他/她的機器。 傳遞機制之範例包含軟碟，CD-ROM與網際網路（Internet) 。可執行之内容之範例包含Java applet，OLE元件與SOM元 件。該内容具有一簽名。其他型式之内容可能包含文字， 音訊與視訊。該簽名包含四個欄位，第一欄7是一軟體安 全憑證之表列。圖b會更詳細説明該表列。安全憑證之範 例包含作者與製造者之識別。該等安全憑證保證内容是由 安全憑證出現於該表列之本人來產生及傳佈。此外，該等 安全憑證提供一種裝置來檢查在内容獲得簽名之後尚未受 到更改。另外，該等安全憑證提供一種裝置用以確保作者 無法否認他/她所產生之内容。第二欄8説明該内容在從屬 機器上必需之計算資源3。該内容需要該等資源以在從屬 機器達成其之目標。目標之範例包含安裝及執行簽名之包 含。計算資源之範例包含磁碟空間，檔案空間，檔案存取 ，隨機存取記憶體，中央處理單元，網路功能與使用者顯 示器。 一旦簽名之内容下載至使用者之機器，則使用者可以多 種方式來使用該内容。内容之使用範例包含安裝該内容， 觀看該内容及執行該内容。該内容使用於從屬機器之一經 仔細控制之環境2。簽名内容之此種使用可能需要存取從 屬機器之計算資源。使用簽名内容8所需之資源是内容之 簽名的一部份。對於此種資源之存取是由一安全内容使用 本紙張尺度適用中國國家標準（CNS ) A4規格（210X297公釐） (請先閱讀背面之注意事項再填寫本頁) 裝. 經濟部中央標準局員工消費合作社印製 經濟部中央標準局貝工消费合作社印裝 A7 _____B7五、發明説明(5 ) ~' 系統2來加以仲裁。 第三欄（此欄位是隨意的）提供許可資訊9。許可資訊之範 例包含使用之項目與條件，例如機〃器之數目與該内容可^ 使用之時段。第四欄（此欄位是隨意的）是註册資訊1〇。此 種資訊是用以自動向提供者註册該内容。 圖2描述一内容傳遞機制之範例。該内容起源於製造者或 作者之機器15, 16, 17並在下載至從屬機器η之前通過 一些中間機器1 2，、3，1 4。 圖3描述當簽名之内容自製造者之機器22傳佈至使用者 之機器20時該内容之憑證的累積。製造者在藉由某種裝置 27傳送簽名之内容25至中間機器21之前增加其之安全憑證 至簽名之内容25。中間機器接著在傳送簽名之内容24至傳 佈鍵之下一中間機器之前增加其之安全憑證至簽名之内容 24。以此方式，當簽名之内容最後抵達使用者時，該簽名 之内容包含所有中間機器與製造者23之安全憑證的表列。 圖4描述自一内容提供者32之簽名内容的下載與随後在 一安全内容使用系統3 j之處理。安全内容使用系鈇3 1可具 體化成爲一通用計算系統之一部份（未加以展示），.而該通 用计算系統可爲例如IBM PC個人電腦，IBM RS/6000工作 站或適合充當從屬系統之任何其他工作站。簽名之内容是 由内容輸入系統33來下載。擷.取器34解析簽名之諸攔並傳 送該資訊至分析模组35。分析模组驗證内容之完整性。然 後分析模組檢查安全憑證表列以決定該内容在此機器應具 有之存取與信賴的位準。接著，分析模組查看該内容之資 (請先閲讀背面之注意事項再填寫本頁) •裝. -訂. i -8- 本紙張尺度適用中國國家操準（CNS ) A4規格（21()><297公廣） 經濟部中央標準局員工消費合作社印製 A7 B7 五、發明説明（6 ) 源需求並決定，可能利用使用者輸入，是否可滿足該等需 求。然後此資訊#送至内容解譯器36與執行模組3 7。 内容輸入機制3 3可具體化成爲例如，網路介面（例如其 可耦接使用者至Internet；^，磁碟子系統，CD-ROM子系統或 匣式記憶體子系統。擷取器34，分析模組35，内容解譯器 36與執行模組37可具體化成爲可在一工作站上執行之程式 碼而且該工作站將執行該安全内容。執行模組最好耦接至 工作站之作業系統^例如OS/2，UNIX或Windows NT)。内容 解譯器36可具體化成爲作業系統以内之一模組或者其可位 於作業系統以外（例如Java解譯器）。 對應於圖4之系統之運作的流程圖展示於圖9。内容解譯 器是使用内容之機制。内容解譯器之範例包含網際網路瀏 覽器與J a v a虛擬機器。執行模組使用分析模組所決定之信 賴位準來產生存取資訊表之項目。此表説明於圖5。 簽名之内容之使用一般需要存取作業系统之資源。圖5描 述表40而執行模組使用表40來追蹤該等用於其之機器之簽 名内容所請求及消耗的資源。執行模組使用簽名内容之安 全憑證4 1以決定.在從屬機器上應賦與該簽名内容對於資源 42的限制。此種決定可以多種方式來完成，其中包含藉由 表列來預先配置並請求外顯之使用者輸入以決定該内容應 獲得之存取。實際上，執行模組製造一供簽名之内容所用 •的功能而該功能反映"何者獲得那些資源之多少存取"（who gets how much access of what)。一般而言 簽名之内容所 獲得之資源是使用者在從屬機器上可存取之資源的一子集 _^9-__ 本紙張尺度適用中國國家標準（CNS ) A4規格（210X 297公釐） (請先閱讀背面之注意事項再填寫本頁) -裝· 訂 313642 A7 B7 經濟部中央標準局男工消費合作社印製 五、發明説明（ 。女全管理者追蹤該内容已消粍之資源43。此是藉由確保 簽名i内容對於系統資源之所有存取皆通過安全管理者來 達成該表列也包含—表示簽名内〃容所請求之資源43的項 目。如果在任何時間，消耗之資源43超過資源限制42或請 求之資源44,則安全管理者可採取矯正措施。矯正措施之 範例包含終止簽名之内容的使用並要求使用者指示如何繼 續。 圖6描述各種個逢之功能之間的關係。使用者之特權5丄 是作業系統50之特權之一子集。簽名之内容執行於一環境 而琢環境之特權52是使用者之特權之一子集。接著，簽名 t内容之特權53是其之執行環境之一子集。簽名之内容之 使用可導致從屬機器使用其他内容。例如，執行java applet可導致另一可執行之程式融入從屬機器之一程序。 此種衍生内容之特權54是賦與簽名之内容之特權的一子集 。叫注意融入資源需求於一簽名之内容的簽名提供安全管 理者一有效機制來建構該等限制。衍生之内容可獲准執行 只要其所消耗之資源是對於該簽名之内容之資源·限制的一 子集。所有此種資.訊皆可利用圖5所示之安全管理者表列 來加以追縱。 一旦簽名之内容下載至使用者之機器，則使用者獲得一 使用該内容之功能。此種功能相關於啓始該轉移之使用者 。使用者可允許其他使用者在他/她的機器上使用該簽名之 内谷。圖7展示其他使用者，例如61·，62與63之特權與安 裝使用者2 7之特權之間的關係。例如，如果簽名之内容是 10- 木紙張又度適用中國國家榇準（CNS ) 洛（210X297公釐） (請先閱讀背面之注意事項再填寫本萸) 装. 、1Τ 經濟部中央標準局員工消費合作社印製 A7 B7 五、發明説明（8 ) 一 Lotus文件，則使用者之特權會反映是否他可讀取，寫入 或更改該文件。 圖8展示一實例，其中簽名之内容是一簽名之java appiet 80。該applet之安全憑證表列79是其之作者，製造者與零售 商之安全憑證。該applet位於伺服器機器77且由伺服器程序 78來加以管理。請注意伺服器機器與伺服器程序只是一傳 佈機制且他們無需與作者具有任何關係。内容傳遞機制是 網際網路7 6。 ‘ 代表使用者71來動作並位於從屬機器70之從屬代理者72 藉由接觸伺服器程序來下載該applet。從屬代理者傳送其之 安全憑證，例如使用者之識別（例如其之公開金鑰或證件） 與從屬機器之識別（例如其之IP位址）至伺服器程序。此資 訊爲伺服器程序用以驗證使用者並且追蹤該applet之使用。 做爲回應，伺服器程序傳送簽名之applet，伺服器機器之識 別與伺服'器程序之公開金鑰（或證件）回至從屬機器。伺服 器必須利用使用者之公開金鑰來加密其之回應以確保該 applet安全傳送至從屬機器。 從屬代理者驗證内容與相關簽名之完整性。一旦執行此 工作，從屬代理者決定簽名之内容的安全憑證與資源需求 。從屬代理者利用其之私人金鑰來解密伺服器之回應並擷 取該回應之安全資訊，亦即產生者之識別（例如公開金鑰或 證件），伺服器程序之識別（例如公開金鑰或證件）與伺服器 機器之識別（例如IP位址）。此資訊連·同該appl et之名稱， 陳述於簽名之資源需求與使用者及從屬機器之識別傳送至 _-11 -_^_ 本紙張尺度適用中國國家標準（CNS ) A4規格（210 X 297公釐） (請先閱讀背面之注意事項再填寫本頁) 裝_ 訂 五、發明説明（9 ) A7 B7 經濟部中央標準局員工消費合作社印製 安全執行者74。簽名之applet之安全憑證儲存成爲一功能 ，而該功能包含一三元項，該三元項包含簽名内容之名稱 ，給與安全管理者之安全憑證與所?東述之資源需求。 在Java執行時間環境中安全執行者類似於安全管理者。 安全執行者是一無法更改之受信賴系統服務。安全執行者 使用簽名之内容之安全憑證來計算applet可在從屬機器執行 之功能。當簽名之内容設定於執行時，所有對於系統資源 之呼叫皆由安全管k者來仲栽。安全管理者使用相關於該 applet之功能來決定是否應給與該applet所請求之資源（圖10) 。管理者可用以程式化多種安全政策以決定簽名之app 1 e t 對於系統資源所具有之存取型式。該等安全政策可爲簡單 之政策，例如無法存取，完全存取，使用者事先配置之存 取與可藉由對話方塊來詢問使用者以外顯式准許存取。 下載applet之使用者決定還有誰可使用該applet。爲每一 使用者製造一特殊功能。當啓動該内容時，該内容是利用 啓動者之存取權利之一子集來進行。在任何時間安全管理 者皆可取消給與該applet之使用者的功能。 既然本發明已藉由較佳實例來加以説明，熟悉本技術領 域者應可想出多種修改與改良。因此，應可理解較佳實例 只是做爲範例而非限制。本發明之範疇是由附加之申請專 利範圍來界定。 -12- 本紙張尺度適用中國國家標準（CNS ) Α4規格（210X297公釐） 請 先 閲 讀 背* 之 注· 意 事 項 J 再ά .I裝 頁 訂 ±

Claims (1)

1. ABCD 313642 六、申請專利範圍 1. 一種用於一計算系統之安全内容使用系統，包含： —内容輸入機制； 一類取器，運作連接成爲接板藉由輸入機制所輸入之 簽名之内容，並用以擷取該簽名之内容之一簽名的一些 部份’該等部份包含一相關於該内容之安全憑證，用以 使用該内容之資源需求； -分析模組，用以使用至少擷取器所提供之安全憑證 來驗證簽名之内‘容的眞實性與完整性並且當眞實性與完 整性之任一獲得質疑時採取矯正措施；及 —執行模组，用以確保簽名之内容的使用符合資源需 求與安全憑證》 · 2. 根據申請專利範圍第1項之系統，其中擷取器更包含用 以自簽名擷取註册資訊之裝置且更包含用以在另無使用 者干涉之下向一提供者註册該簽名之内容的裝置。 3 .根據申’請專利範圍第1項之系統，其中擷取器更包含用 以自簽名擷取許可項目之裝置而且其中執行模組包含用 以與作業系統進行互動以確保該使用符合許可.項目之裝 置。 4.根據申請專利範圍第1項之系統，該種系統更包含一儲 存於計算系統之一記憶體之資料結構，該資料結構包含 一簽名内容之使用者，安全憑證與特點之間的對應表列 ，其中執行機制連接成爲自該資料結構讀取該對應表列 並包含用以根據該對應來執行使甩者對於簽名内容之使 用的裝置。 合 -13 - 本紙張尺度適家標準（CNS) M規格（210><297公釐） -------'-丨裝丨| -* (請先閲讀背面之注意事項再填寫本頁) 訂 線 經濟部中央標準局員工消費合作社印聚 A8 B8 C8 D8 其中輸入機制是一旋 其中輸入機制是一可 該種系統更包含一儲 申請專利範圍 5.根據巾請專利項之系統，其中執行模組包含用 以，蹤自簽名之内容所衍生之程序並確保該等良序之運 作符合資源需求與安全憑證的裝-置。 6·根據申請專利範圍第1項之系統，其中輸入機制是一耦 接至一通訊網路之通訊通道。 7 ·根據申請專利範圍第1項之系統 轉儲存裝置。 8·根據申請專利‘圍第1項之系統 移去式記憶體卡。 9. 根據申請專利範圍第1項之系統 t於計算系統之-記憶體之資料結構，該資料結構包含 名内谷’資源需求’簽名内容所消耗之實際資源與計 算系統加諸於簽名内容之任何資源限制之間的對應表列 〇 10. 根據申，專利範圍第9項之系統，其中該表列包含許可 項目加諸於簽名之内容的使用限制。 種融入簽名之内容的電腦可讀式記憶體，該.簽名之内 容包含-電腦.可.讀式簽名與電腦可讀式内容，該電腦可 讀1簽名包含多個欄位，該等欄位包含—安全憑證爛與 資源需求欄，安全憑證欄包含至少—啓始者與涉及該 =腦可讀式内容之-傳佈鏈之中間機器的加密識別而資 =需求欄是用以辨識使用電腦可讀式内容所需之計算資 12.-種用於一計算系統之内容使用系統，包含： 一' I ---------1-------IT------ . * (請先閱讀背面之注意事項再填寫本頁) 經濟部中央榡準局員工消费合作祍印¾ -14- 申碕專利範圍 A8 B8 C8 D8 經濟部中央榡準局員工消費合作杜印製 一内容輸入機制； 掏取器’達作連接成爲接收藉由輸入機制所輸入之 簽名之内容’並用以擁取該簽名-之内容之一簽名的一些 部私’该等部份包含一相關於該内容之電腦可讀式許可 項目；及 —執行模組，用以控制計算系統之運作來確保簽名之 内各的使用符合許可項目。 13 根據申請專利範園第1 2項之系統，其中擷取器更包含用 乂自簽名擁取註册資訊之裝置且進—步包含用以在無進 步之使用者干涉之下向一提供者註册該簽名之内容的 裝置。 · —種用以確保一計算系統之簽名内容之安全使用的方法 ，包含： 輸入簽名之内容於計算系統； 自該’簽名之内容擷取一簽名的—些部份，該等部份包 含—相關於該内容之安全憑證，用以使用該内容之資源 需求； . ^ 使用至少安全憑證來驗證簽名之内容的眞實性與完整 性並且當眞實性與完整性之任一獲得質疑時採取矯正措 施；及 1 控制計算系統之一作業系統以確保簽名之内容的使用 不會超過資源需求與安全憑證。 15·根據申請專利範園第1 4項之方法，.更包含下列步驟：自 簽名擷取註册資訊及在無進一步之使用者干涉之下藉由 U -15- 本紙張尺度適用中國國家標準（CNS ) A4規格（21〇><297公釐 (請先閱讀背面之注意事項再填寫本頁) .裝- 訂 ABCD 經濟部中央標準局員工消費合作社印製 六、申請專利範圍 一通訊通道來向—提供者註册該簽名之内容。 16. 根據申請專利範固第“項之方法，更包含下列步驟自 簽名擷取許可項目及㈣作業以以確保 使用符合許可項目。 円合 17. 根據中請專利範固第14項之方法，更包含下列步裸：構 成一資料結構於計算系統之_記憶體，該資料 —簽名内容之使用者，安全憑證與特點之間^應表； ，並根據該對應來執行使用者對於簽名之内容的使用。 18. 根據申請專利範固第Η項之方法，更包含下列步骤：追 蹤自簽名之内容所衍生之程序並限制該等程序之運作以 致符合資源需求與安全憑證。 19. 根據申請專利範圍第14項之方法，其中簽名之内容包含 —應用程式與一文件之至少之一。 20. —種用以控制一計算系統之内容使用的方法，包含下 步驟：’ 輸入内容於計算系統，該等内容包含電腦可讀式許可 項目； —! 自輸入之内容掏取電腦可讀式許可項目；及 控制計算系統之一作業系統以確保簽名之内容的使用 符合許可項目。 21·根據申清專利範圍第2 〇項之方法，更包含下列步驟自 簽名擷取註册資訊及在無進一步之使用者干涉之下藉由 —通訊通道來自動向—提供者註册該簽名之内容。 -16- 本紙張尺度適财標準兩鐵格（21以297公幻 装-- ·4 (請先聞讀背面之注意事項再填寫本頁) 訂 線