專利名稱：數(shù)據(jù)保護裝置的制作方法
技術(shù)領(lǐng)域：
本申請涉及并且要求于2009年12月31日提交的No. 12/651，269的名為“數(shù)據(jù)保護裝置”的美國專利申請的優(yōu)先權(quán)，其內(nèi)容通過引用合并于此。在此討論的實施方式涉及數(shù)據(jù)保護。
背景技術(shù)：
當前，諸如USB記憶棒的計算裝置(計算機)(特別是，例如小型便攜式或者移動計算裝置)廣泛用于存儲例如個人和/或公司敏感數(shù)據(jù)的數(shù)據(jù)。與膝上型計算機相比，當用戶攜帶這些類型的裝置移動時，這些類型的裝置更容易丟失或者被盜。當裝置丟失或者被盜吋，諸如個人和/或公司敏感數(shù)據(jù)的數(shù)據(jù)可能泄露給未授權(quán)方，或者被未授權(quán)方訪問， 這可能導致給個人和/或個人所工作的公司帶來不必要的損失。

發(fā)明內(nèi)容
根據(jù)本發(fā)明的實施方式，描述了用于針對未授權(quán)用戶保護數(shù)據(jù)的方法、設備和/ 或計算機可讀介質(zhì)，該方法、設備和/或計算機可讀介質(zhì)可安裝在計算裝置(在下文中也稱為裝置)中或者可以在計算裝置(在下文中也稱為裝置)中實施，或者可以被使得在計算裝置(在下文中也稱為裝置)中執(zhí)行。根據(jù)本發(fā)明的ー個方面，在滿足某些條件(例如，裝置被報告丟失或者被盜)之后，破壞計算裝置上的數(shù)據(jù)(例如，數(shù)據(jù)擦除，存儲器破壞)和 /或使其不能被訪問(例如，進行加密)。可選地，可驗證狀態(tài)報告將被發(fā)送到服務器，以進行記錄。ー個示例實施方式允許便攜式計算裝置(諸如USB存儲棒)在已經(jīng)滿足某些條件 (諸如，丟失或者被盜，或者被服務器請求，或者其任意組合)時破壞其數(shù)據(jù)內(nèi)容。根據(jù)實施方式的另一方面，因為在大部分情況下，裝置可能對于授權(quán)的用戶來說是不可及的，所以必須自動地執(zhí)行破壞程序。本發(fā)明的實施方式的示例優(yōu)點在于某些描述的方法使得攻擊者難于防止數(shù)據(jù)的保護，例如防止數(shù)據(jù)被破壞。因此，可以基本上避免潛在的數(shù)據(jù)泄露。并且， 其他描述的方法可以具有自動地履行數(shù)據(jù)保護工作的很低的要求。應該理解的是，上述一般描述和以下的詳細描述都是示例性的和解釋性的，并且其不應該被理解為對所要求的本發(fā)明的限制。


圖1是根據(jù)本發(fā)明的實施方式的計算裝置的功能框圖。圖2A和2B是根據(jù)本發(fā)明的實施方式的計算裝置的框圖。圖3是根據(jù)本發(fā)明的實施方式的用于計算裝置的功能框圖。圖4是根據(jù)本發(fā)明的實施方式的數(shù)據(jù)訪問保護情景的表。圖5是根據(jù)本發(fā)明的實施方式的計算機系統(tǒng)中的數(shù)據(jù)訪問保護情景的流程圖。圖6是根據(jù)本發(fā)明的實施方式的數(shù)據(jù)訪問保護情景和計算裝置功能的表。
圖7-10是根據(jù)本發(fā)明的實施方式的計算機系統(tǒng)的數(shù)據(jù)流圖。圖11是用于本發(fā)明的實施方式的計算機的功能框圖。
具體實施例方式根據(jù)本發(fā)明的實施方式，描述了用于針對未授權(quán)用戶保護數(shù)據(jù)的方法、設備和/ 或計算機可讀介質(zhì)，該方法、設備和/或計算機可讀介質(zhì)可安裝在計算裝置(在下文中也稱為裝置)中或者可以在計算裝置(在下文中也稱為裝置)中實施，或者可以被使得在計算裝置(在下文中也稱為裝置)中執(zhí)行。根據(jù)實施方式的ー個方面，數(shù)據(jù)是敏感數(shù)據(jù)，諸如個人信息，根據(jù)策略的受限制數(shù)據(jù)，或者它們的任何組合。根據(jù)實施方式的ー個方面，基于或者根據(jù)ー個或者多個事件條件的發(fā)生，控制對數(shù)據(jù)的訪問，例如針對未授權(quán)的訪問保護數(shù)據(jù)，或者將數(shù)據(jù)限于授權(quán)的訪問。根據(jù)實施方式的ー個方面，在滿足某些條件(例如，裝置被報告丟失或者被盜)以滿足數(shù)據(jù)保護或者數(shù)據(jù)訪問策略之后，破壞計算裝置上的數(shù)據(jù) (例如，數(shù)據(jù)擦除，存儲器破壞)，和/或使其不可訪問(例如，進行加密)。數(shù)據(jù)保護或者數(shù)據(jù)訪問策略可以由例如公司(章程或者規(guī)定)、政府(例如法律，章程/規(guī)定)或者個人的任何實體來設置。根據(jù)實施方式，作為具有根據(jù)事件條件(觸發(fā)事件的發(fā)生)的數(shù)據(jù)訪問保護的計算裝置，描述了諸如USB記憶棒的便攜式通用串ロ總線(USB)裝置，然而本發(fā)明不限于USB 記憶棒，而是可以是可以實施本發(fā)明的實施方式的任何計算裝置。例如，移動電話或者其它便攜式/移動/手持裝置可以為計算裝置。在裝置(例如，USB記憶棒)中，安裝了破壞組件(硬件或者軟件)。該組件的功能用于破壞裝置上的內(nèi)容。圖1是根據(jù)本發(fā)明的實施方式的計算裝置的功能框圖。在圖1中，例如通過數(shù)據(jù)破壞來保護目標計算機/裝置100的數(shù)據(jù)內(nèi)容。例如，作為可破壞裝置的USB裝置100通過諸如USB接口和/或無線接ロ的ー個或者多個裝置接ロ可通信地連接到諸如個人計算機 (PC) 102和服務器104的其它計算裝置，這些計算裝置也被稱為與目標裝置100相關(guān)的遠程或者外部裝置。根據(jù)實施方式的ー個方面，可破壞裝置可被構(gòu)造為執(zhí)行虛擬機(VM)。根據(jù)實施方式，除了計算機上的正常訪問控制之外，還使用計算機通過檢查事件條件來控制對于數(shù)據(jù)的訪問；并且根據(jù)事件條件，對與在計算機上的正常數(shù)據(jù)保護相關(guān)的數(shù)據(jù)內(nèi)容進行額外保護。例如，在圖1中，在1處，裝置100可以根據(jù)用于額外地(在高級別)控制對數(shù)據(jù)的訪問的策略執(zhí)行自判斷邏輯，和/或在2處，經(jīng)由作為旁路邏輯2的諸如 USB接口和/或無線接ロ的ー個或者多個裝置接ロ檢測額外(高級)的數(shù)據(jù)訪問控制(數(shù)據(jù)保護)命令。在3處，裝置100可以根據(jù)在1和/或2處的確定來進行一個或者多個額外的訪問控制活動，例如，在3(a)處破壞數(shù)據(jù)，和/或在3(b)處進行額外的控制活動，以針對可能的未授權(quán)的訪問保護數(shù)據(jù)。此外，在4處，裝置100可以通過通知數(shù)據(jù)保護的狀態(tài)經(jīng)由裝置接ロ來進行報告， 例如，報告數(shù)據(jù)已經(jīng)被破壞。報告可以向遠程裝置102和/或104進行，和/或向裝置100 的用戶進行。裝置100可以包括備份功能5，該備份功能5根據(jù)應用標準/策略來對數(shù)據(jù)內(nèi)容進行備份；和/或恢復功能6，該恢復功能6用于從對于數(shù)據(jù)的額外訪問控制來進行恢復。裝置100可以包括篡改阻止功能7，該篡改阻止功能7例如在檢測到利用裝置100的硬件和/或軟件組件的未授權(quán)的篡改時觸發(fā)事件條件，從而相應地觸發(fā)額外數(shù)據(jù)保護。
圖2A和圖2B是根據(jù)本發(fā)明的實施方式的計算裝置的框圖。在圖2A中，裝置100 包括一個或者多個功能，諸如對稱加密功能、擦除功能或者物理破壞功能。這些功能可以是硬件和/或軟件組件。功能可以在軟件中實施和/或可通過軟件來控制并且存儲在諸如閃存202的計算機可讀記錄介質(zhì)中。裝置100可以包括主電池204以及計算機處理器206或者執(zhí)行安全策略邏輯的類似處理能力。安全策略邏輯可以是判斷邏輯1和/或用于確定是否需要對數(shù)據(jù)內(nèi)容的額外保護的旁路邏輯2。安全策略邏輯可以進一歩包括認證邏輯208、 安全邏輯收發(fā)機210和/或安全策略存儲部212 (例如，BIOS、ROM等等)中的一個或者多個。認證邏輯208可以是用于從裝置100的外部對裝置100進行遠程認證的邏輯，該遠程認證的失敗可以是觸發(fā)額外數(shù)據(jù)保護活動的事件條件。安全邏輯收發(fā)機210可以發(fā)送和接收關(guān)于根據(jù)其可以觸發(fā)額外數(shù)據(jù)保護活動的安全策略的信息。此外，安全策略存儲212可以將關(guān)于安全策略的信息存儲在除了閃存202之外的例如阻止篡改的R0M、BI0S等中。然而， 安全策略也可以被存儲在閃存202中，并且，例如，僅可以基于根據(jù)應用標準或者安全策略的授權(quán)來訪問。裝置100可以具有用于顯示信息的顯示器。裝置100還可以包括信任平臺模塊(TPM) 1514，該信任平臺模塊(TPM) 1514包括加密處理器220、計數(shù)器222、密鑰存儲部2 和/或隨機數(shù)產(chǎn)生器(RNG)M6中的一個或者多個。裝置100還可以包括實時時鐘(RTC) 228和/或用于RTC的電池2 (視情況而定)。圖2B是在其中僅提供了判斷邏輯1，而省略了旁路邏輯2的裝置100'的框圖。在圖2B中，其他省略的組件可以是主電池204、TMP 1514、認證邏輯208以及收發(fā)機邏輯210。 作為主電池204的替代，可以提供僅向RTC和相關(guān)定時器邏輯(如下所述)提供電カ的另一第二電池228。根據(jù)實施方式的ー個方面，例如當目標USB裝置100連接到遠程裝置102 和/或104時可以使用根據(jù)USB規(guī)格的功率。將描述觸發(fā)與計算機上的正常數(shù)據(jù)保護相關(guān)的數(shù)據(jù)內(nèi)容的額外保護的事件條件的示例或者情景。例如，作為旁路邏輯2，無線模塊安裝在裝置100 (例如，蜂窩模塊)中。無線模塊可以不斷地(例如，連續(xù)地，或者以任意或者固定時間間隔，或者它們的任意組合)與服務器104進行通信。一旦裝置100接收到破壞命令，則將啟動裝置100上的破壞組件。在通過破壞來進行數(shù)據(jù)保護的情況下，在包括破壞裝置100的計算機系統(tǒng)中的破壞組件的一些示例包括硬件向存儲內(nèi)容的目標裝置100中的自毀芯片發(fā)送信號的組件，例如PC 102和 /或服務器104 ；硬件保持例如化學材料的材料的組件，其中一旦所述化學材料被釋放，則其將破壞目標裝置100 ；軟件一旦被調(diào)用則將刪除裝置上的所有內(nèi)容的程序。根據(jù)實施方式，提供ー種機制，該機制當裝置100已經(jīng)遠離授權(quán)人員可及的范圍 (丟失或者被盜，或者沒有處在遠程通信狀態(tài))時(即，在大多數(shù)情況下)啟動裝置100上的破壞組件?？赡艿娜秉c在干，裝置100可能需要大量的電池電力來支持不斷的通信；如果使用小區(qū)網(wǎng)絡，則裝置100需要無線通信時間，這將是昂貴的；因為攻擊者可能將電池204從裝置100中移除，或者將裝置隱藏在無線網(wǎng)絡變得不可用的位置處，所以這是不可靠的。在這些情況下，裝置100將不會正確地接收破壞命令，并且破壞組件將不會啟動。一個額外的改進在裝置100中提供了將時間戳從RTC 2 映射到已經(jīng)預先定義的二進制消息的功能。諸如PC 102和/或服務器104的遠程計算機也知道該功能。這樣的功能的一個示例是SHAl哈希(hash)功能。作為始終啟動的替代，僅每隔特定時間段(任意和/或預定事件間隔)激活例如經(jīng)由無線模塊210登入或者等待經(jīng)由例如無線模塊210的登入的安全端點(security check point) 一次?？蛇x地，兩個連續(xù)的激活時間之間的等待時間應該是任意的，使得攻擊者不能猜到下一個激活時間。根據(jù)實施方式，裝置100中的安全端點的任意激活可以與遠程裝置102和/或104同步。在激活時間期間，安全策略邏輯206將等待來自遠程裝置的消息。來自遠程裝置的消息例如通過其中對應的公鑰對于裝置100來說已知的遠程服務器私鑰來加密。消息可以包括關(guān)于裝置100的唯一 ID ；當前時間；使用當前時間的預先定義的功能的輸出；以及用于激活額外的數(shù)據(jù)保護(例如數(shù)據(jù)破壞)的數(shù)據(jù)保護功能(例如，命令、標志狀態(tài)、通知等)，例如是/否標志。一旦裝置100接收到該消息，裝置100就可以使用已知的公鑰來解密該消息，檢查唯一 ID(如果唯一 ID不是關(guān)于裝置的，則忽略該消息，和/或進行其他數(shù)據(jù)保護相關(guān)活動)，并且檢查預先定義的功能的二進制輸出，該二進制輸出中的一個或者多個用作遠程裝置的認證以及遠程數(shù)據(jù)訪問控制命令。如果裝置100不能被激活，或者裝置100不能在時限內(nèi)從遠程裝置接收到消息，或者裝置100不能解密消息，或者裝置100不能從時間戳驗證二進制消息，或者基于上述的組合，則這可以被計數(shù)為例如一個NG。例如，在作為數(shù)據(jù)保護形式的數(shù)據(jù)破壞的情況下，在以下一個或者多個條件下，破壞組件將啟動1)服務器設置用于破壞的是標志；或者2)裝置具有連續(xù)的η個NG，其中η是預先確定的。根據(jù)實施方式的一個方面，一旦破壞組件驅(qū)動，并且履行其工作，則裝置100可以將“已破壞”消息連續(xù)地發(fā)送回遠程裝置，直到下面所述情況中的一個或者多個1)電池204和/或208用完；或者幻從遠程裝置接收到確認消息。圖3是根據(jù)本發(fā)明的實施方式的計算裝置的功能框圖。例如，圖3是示例控制流程。在圖3中，在301處，由安全策略邏輯206激活并且執(zhí)行管理喚醒時間的安全定時器310。在302處，根據(jù)RTC 2 達到喚醒時間。在303處，定時器310啟用電池(如果需要的話)，并且更新注冊表。在304處，例如通過從主電池204接收電力來激活安全策略邏輯206。在305處，安全策略邏輯206驗證注冊表的狀態(tài)，并且開始數(shù)據(jù)保護，例如，擦除目標數(shù)據(jù)。注冊表的狀態(tài)可以根據(jù)一個或者多個事件條件，所述事件條件包括逝去時間、遠程數(shù)據(jù)保護控制消息的接收、用戶認證失敗、裝置100認證失敗或者它們的任何組合。此外，事件條件的發(fā)生可以按下述方式中的一個或多個來設置預先確定，根據(jù)策略，或者可動態(tài)地和/或?qū)崟r地進行配置，或者上述的任意組合。根據(jù)實施方式，當裝置100沒有與其他遠程計算機進行通信時，例如，在檢測到USB裝置100被從計算機拔出時，使用RTC 229的USB裝置100中的計數(shù)器310在一個時間段內(nèi)進行倒數(shù)，或者等待喚醒時間，在該喚醒時間過期或者到達喚醒時間時在USB裝置100中激活額外的數(shù)據(jù)保護。根據(jù)實施方式，裝置100和/或裝置100的目標數(shù)據(jù)具有通過獨立于利用遠程計算機的任何登入而激活使用RTC 229的裝置100(例如，USB裝置100)中的計數(shù)器310的壽命。計數(shù)器310在一個時間段內(nèi)倒數(shù)，或者等待喚醒時間，在該喚醒時間過期或者到達喚醒時間時在USB裝置100中激活額外的數(shù)據(jù)保護。通過利用用戶接口和/或通過與遠程計算機進行通信提供額外的授權(quán)，該壽命可以被延長。圖4是根據(jù)本發(fā)明的實施方式的數(shù)據(jù)訪問保護情景的表。在圖4中，表400提供了數(shù)據(jù)訪問保護觸發(fā)、對應于觸發(fā)的活動以及可能的報告的示例。觸發(fā)包括裝置100的操作的時間。或者，是否超過裝置100可以操作而沒有利用遠程裝置102和/或104進行安全登入的時間的量，例如，在從服務器104離線(通信地斷開)時訪問目標數(shù)據(jù)的工作時間量，這是根據(jù)裝置100處于服務器離線而沒有利用服務器104登入的時間量的事件條件。目標裝置100可以利用多個遠程裝置來安全登入。另一個觸發(fā)包括連接到未授權(quán)的遠程裝置的次數(shù)，或者裝置100用戶認證失敗(例如，連續(xù)失敗)的次數(shù)。實施方式包括在計算機100和/或在遠程計算機102、104、虛擬機處的操作；和測量計算機(即，自判斷)和/或用于授權(quán)的計算機100的驗證的遠程計算機、和/或遠程裝置102和/或104的虛擬機，以作為觸發(fā)。另一裝置100安全狀態(tài)自判斷可以為在用于機器的證書(可以驗證機器的任何信息，私鑰/公鑰，文檔等)中是否存在故障(無效、過期、不存在等)。測量是指任何長度的輸入數(shù)據(jù)序列的固定長度的數(shù)字表示。測量可以是，例如，整個和/或部分操作環(huán)境(例如，OS、計算機可讀介質(zhì)(存儲器，硬盤等)中的數(shù)據(jù)、與配置的外圍設備/裝置有關(guān)的數(shù)據(jù))的數(shù)據(jù)表示；和/或目標機器的文件(例如，軟件應用的文件、數(shù)據(jù)文件)，或者在VM的情況下，測量可以是輸入虛擬機(VM)映像，該輸入虛擬機映像包括任何VM硬盤和/或存儲器映像、和/或目標計算裝置上的任何的VM的文件(例如，軟件應用的文件、數(shù)據(jù)文件)，并且測量可以用于例如通過與另外的測量的比較以檢測目標機器和/或目標機器中的目標VM中的任何變化而將目標機器或者目標機器的目標VM驗證為目標機器和/或目標VM的“信任狀態(tài)”。另一觸發(fā)是裝置100接收到數(shù)據(jù)保護，諸如數(shù)據(jù)破壞命令。另一觸發(fā)是當裝置100不可以向遠程裝置102和/或104報告其安全狀態(tài)時、和/或檢測到裝置100的物理篡改。在圖4中，與觸發(fā)的事件條件相對應的示例數(shù)據(jù)保護活動是使裝置100將用于裝置100的訪問數(shù)據(jù)的密鑰無效，從而防止裝置100訪問數(shù)據(jù)。根據(jù)實施方式，密鑰可以通過產(chǎn)生密鑰的參數(shù)的覆寫、擦除/刪除或者變化來無效。圖5是根據(jù)本發(fā)明的實施方式的計算機系統(tǒng)中的數(shù)據(jù)訪問保護情景的流程圖。圖5示出了包括用于額外的數(shù)據(jù)保護的觸發(fā)的示例的表400的情景的流程。根據(jù)實施方式的一個方面，可以提供任意順序(次序)的一個或者多個額外的數(shù)據(jù)保護觸發(fā)的任意組合。例如，在500處，數(shù)據(jù)內(nèi)容(例如，文檔、數(shù)據(jù)庫等)可以從服務器104下載到目標裝置100。在502處，策略可以被設置為允許/許可一定時間段(例如，3小時)內(nèi)的相對于服務器104的離線工作。另一個策略項目可以是目標裝置100必須與作為一個或者多個授權(quán)的遠程裝置的一個或者多個其他的遠程裝置(例如，便攜式個人計算機10 配對。因此，該策略可以是一個或者多個安全策略項目的組合。在504處，用戶可以例如利用配對的授權(quán)的遠程裝置102來對于下載的數(shù)據(jù)內(nèi)容離線地工作(例如，編輯、更新等)。在506處，裝置100監(jiān)視作為事件條件的額外數(shù)據(jù)保護觸發(fā)。例如，裝置100監(jiān)視是否超過離線時限，其中，在設定的時間段，通過USB訪問控制和/或數(shù)據(jù)加密的正常安全措施來保護文檔，并且在設定的時間段過去時，裝置100例如通過例如通過破壞數(shù)據(jù)內(nèi)容而使得數(shù)據(jù)不可訪問來激活額外數(shù)據(jù)內(nèi)容保護措施，和/或通過要求利用和/或通過遠程裝置102和/或104和/或通過用戶的安全登入來延長離線訪問。安全登入可以用來驗證數(shù)據(jù)內(nèi)容是否應仍然可被訪問；裝置100是否可以與遠程裝置102和/或104進行通信；用戶是否可以被認證；或者是否獲得和/或應用新的數(shù)據(jù)加密；或者上述的任意組合。此外，在506處，裝置100可以監(jiān)視是否存在與未授權(quán)的遠程裝置102和/或104的連接，以作為安全事件條件。在506處，安全事件條件可以是用戶認證失敗。在506處，裝置100可以從遠程裝置接收額外數(shù)據(jù)保護命令(例如，數(shù)據(jù)破壞命令)。在506處，裝置100可以監(jiān)視通過裝置100(例如，經(jīng)由遠程裝置102和/或104向/從遠程裝置102和/或104)報告/接收安全狀態(tài)可以進行，還是已經(jīng)失敗。在506處，裝置100可以監(jiān)視是否存在對裝置100的任何物理篡改，例如，對TPM 1514的篡改。根據(jù)實施方式的一個方面，安全相關(guān)失敗可以累計在歷史中，直到達到激活額外數(shù)據(jù)保護的條件。在506處，裝置100監(jiān)視根據(jù)策略的安全事件條件，并且根據(jù)事件安全條件，額外保護與裝置100上的正常數(shù)據(jù)保護相關(guān)的裝置100的數(shù)據(jù)。在508處，裝置100執(zhí)行正?；顒?，諸如與服務器104的同步，例如，以延長和/或保持離線工作的設定時間段，或者上傳離線地工作(例如，更新)的文檔，或者上述的組合。圖6是根據(jù)本發(fā)明的實施方式的數(shù)據(jù)訪問保護情景和計算裝置功能的表。在圖6中，表600列出了裝置100的實施觸發(fā)、活動和報告的示例組件。圖7-10是根據(jù)本發(fā)明的實施方式的計算機系統(tǒng)的數(shù)據(jù)流圖。根據(jù)實施方式，裝置100可以在每個時間窗(tw)的開始向遠程裝置102和/或104發(fā)送消息。并且裝置100還可以例如當裝置100可以觸發(fā)用于破壞的呼叫時，向遠程裝置發(fā)送異步消息，其中，所述呼叫不是與時間相關(guān)，而是例如因為裝置100被插入到例如通過對于機器的驗證(可以驗證機器的任何消息、私鑰/公鑰、文檔等)的失敗和/或插入到機器的虛擬機的測量的驗證的失敗而被確定為未授權(quán)的機器中而引起的。通過在每個啟用(ON)時間窗的開始處發(fā)送消息，遠程裝置102和/或104與裝置100之間的密切同步可以不是必須的，因為遠程裝置102和/或104將知道裝置100何時準備好接收消息。然而，遠程裝置102和/或104仍然應在特定的時間間隔期望來自裝置100的消息，并且如果沒有及時地接收這些消息則進行反應。圖7是例如為USB裝置的目標裝置100與作為相對于USB裝置100的遠程裝置的服務器104之間的數(shù)據(jù)流圖。在圖7中，在正常操作中，在每個時間窗tw處，服務器104向USB裝置100發(fā)送加密的消息K?？梢允褂萌魏渭用芟魉蛥f(xié)議。此外，USB裝置可以包括用于管理包括密鑰的加密的TPM 1514。在使用公鑰/私鑰的情況下，USB裝置100訪問服務器104的公鑰以解密消息K。此外，為了同步，每個來自服務器的消息包括隨機數(shù)RNn (其中，η是任意數(shù)字)。隨機數(shù)根據(jù)保持序列的策略而變化并且由USB裝置100和服務器104來進行驗證。在圖7中，在700處，在時間窗tw期間，服務器104發(fā)送包括額外數(shù)據(jù)保護功能信息和RNl的消息K。在700處，數(shù)據(jù)保護功能是指示沒有激活或者禁用額外數(shù)據(jù)保護的“否”命令。在702處，USB裝置100從服務器104接收消息K (否，RNl)，使用服務器104的公鑰來解密消息，并且向服務器104發(fā)回確認消息K(0K，RN+1)。在702處，USB裝置100的消息包括指示USB裝置100的安全狀態(tài)正常的命令“0K”。然后，RN+1是服務器104所期望的隨機數(shù)RNl之后的下一個數(shù)字。
在圖7中，服務器消息和USB裝置返回消息被不斷地交換，直到在隨機數(shù)中的一個或者多個序列中存在中斷，或者在裝置102和/或104接收的消息中存在中斷。根據(jù)實施方式，裝置中的任何一個或者兩個可以在時間窗中保持失敗次數(shù)的計數(shù)，以累計失敗的歷史，并且當該失敗次數(shù)達到條件時，觸發(fā)安全事件條件。好處在于，可以在觸發(fā)安全事件條件之前容忍一個或者多個時間窗中交換消息K的一些失敗(例如，在時間窗之外接收/發(fā)送消息、消息發(fā)送或者接收失敗等)。此外，可以提供重置失敗計數(shù)的機制，例如，在一定數(shù)量的成功消息K交換之后，通過用戶輸入，或者通過遠程裝置的命令，或者上述的組合，來重置失敗計數(shù)。根據(jù)實施方式的一個方面，時間窗是裝置100和遠程裝置102和/或104期望收發(fā)消息的時間(時間段)的窗。時間窗指示每個裝置將在一定時間中是有效的，并且可以進行安全相關(guān)的事務。時間窗的持續(xù)時間可根據(jù)策略進行調(diào)節(jié)，時間窗越長，則裝置之間的重要消息同步越少，并且使用的功率越多；時間窗越短，則裝置之間的重要消息同步越多(這增加了基于消息接收失敗的觸發(fā)的敏感度)，并且使用的功率越少。在圖8中，在800處，通過向USB裝置100發(fā)送具有被設置為“是”的額外數(shù)據(jù)保護命令的消息K，服務器104激活額外數(shù)據(jù)保護，例如激活數(shù)據(jù)破壞。在802處，USB裝置100執(zhí)行額外數(shù)據(jù)保護，例如，破壞USB裝置100的目標數(shù)據(jù)并且發(fā)送具有“已破壞”通知的消息K。在804處，服務器104向USB裝置100發(fā)送已破壞確認(DACK)通知。在圖9中，在與USB裝置100同步的時間窗期間，服務器104將指示額外數(shù)據(jù)保護沒有激活(禁用)的消息K發(fā)送到USB裝置100，然而，例如，在900處，服務器消息沒有被USB裝置100接收到。因此，在902處，USB裝置100檢測到在時間窗期間沒有從服務器104接收到消息K，所以USB裝置100向服務器104發(fā)送具有“沒有0K”通知的消息K。根據(jù)實施方式，USB裝置100保持在時間窗期間沒有從服務器104接收到正常安全狀態(tài)消息的歷史，并且直到達到基于該歷史的條件才激活額外數(shù)據(jù)保護。例如，裝置100在各時間窗期間沒有從服務器104接收到消息K連續(xù)三次之后，在904處，裝置100自己激活額外數(shù)據(jù)保護，例如，觸發(fā)對裝置100的目標數(shù)據(jù)的破壞，并且例如，向服務器104發(fā)送具有“已破壞”通知的消息K，直到在906處，裝置100從服務器104接收到“已破壞確認(DACK)”通知。在圖10中，在與USB裝置100同步的時間窗期間，服務器104將指示額外數(shù)據(jù)保護沒有激活(禁用)的消息K發(fā)送給USB裝置100，然而，當USB裝置100正在接收服務器消息時，例如，在1000處，服務器104沒有接收到裝置100發(fā)送給服務器104的確認消息。服務器104保持在時間窗期間沒有從USB裝置100接收到正常安全狀態(tài)消息的歷史，并且直到達到基于該歷史的條件才激活額外數(shù)據(jù)保護。例如，服務器104在各時間窗期間沒有從裝置100接收到指示正常安全的消息K連續(xù)三次之后，在1002處，服務器104通過向裝置100發(fā)送具有被設置為“是”的額外數(shù)據(jù)保護命令的消息K來激活裝置100中的額外數(shù)據(jù)保護，例如觸發(fā)對裝置100的目標數(shù)據(jù)的破壞。服務器104保持向裝置100發(fā)送額外數(shù)據(jù)保護命令，直到在1004處，服務器104從裝置100接收到“已破壞”通知。在1006處，服務器104可以向裝置100發(fā)送具有“已破壞確認(DACK) ”通知的消息K。在一些情況下，當安全要求低時，描述了用于遠程破壞的替選機制每當裝置100插入到PC 102中時，經(jīng)由PC網(wǎng)絡向服務器104發(fā)送查詢。如果服務器104返回用于破壞的“是”，則裝置100的破壞組件將啟動，并且在破壞程序完成之后，向服務器104發(fā)送報告；
10如果服務器104返回“否”，則用戶可以開始使用裝置100;或者(在一些情況下)如果服務器104不可用(例如，主機PC的網(wǎng)絡功能被禁用)，則裝置100將被禁用，并且將不會泄露其內(nèi)容。另一個替選方法不要求裝置客戶端100和諸如PC 102和/或104的遠程裝置之間的任何通信在將裝置100交付給用戶之前，設置自破壞時間，并且將自破壞時間存儲在裝置100中。在裝置100內(nèi)，存在時鐘229。當預置的自破壞時間達到時，裝置100的破壞組件將啟動。可選地，可以在裝置100在其被破壞之前接收到來自遠程裝置102、104的關(guān)于更新的自破壞時間的消息時對自破壞時間進行修改?？梢源嬖诓恍枰b置客戶端100和遠程裝置102、104之間的任何通信的其他方法在交付給客戶之前，在裝置100中定義和存儲策略。任何用戶進行的關(guān)于裝置100的安全相關(guān)錯誤(違背或者嘗試違背)將會被分配一定分數(shù)。例如，當用戶兩個連續(xù)的時刻驗證自己失敗時1分；當用戶嘗試在未授權(quán)的平臺中使用裝置100時2分；等等。這些分數(shù)將被積累，并且記錄在裝置100中。當所有分數(shù)達到預定閾值時，裝置100的破壞組件將會啟動。基于應用，這些方法將會被組合為特定的應用導向的遠程破壞規(guī)則。示例益處包括安全地傳送和使用保密數(shù)據(jù)，諸如公司的保密內(nèi)部數(shù)據(jù)或者客戶數(shù)據(jù)——不僅為了防止數(shù)據(jù)泄露，而且還為了確保根據(jù)企業(yè)合規(guī)策略的嚴格的問責制。例如，在USB裝置的情況下，可以設置待滿足的兩種條件1)在USB裝置丟失或者被盜的情況下，數(shù)據(jù)不應僅被加密，而應該被自動刪除；以及幻應該防止保密數(shù)據(jù)在除了指定的USB裝置或者服務器之外的地方被復制。圖11是用于本發(fā)明的實施方式的計算機的功能框圖，即計算機1500是破壞裝置100的示例。此外，計算機1500可以是個人計算機102或者服務器104的示例。在圖15中，計算機可以是任何計算裝置。典型地，計算機包括諸如二極管的顯示用戶界面或者輸出信息或者指示的顯示器或者輸出單元1502。計算機控制器1504(例如，硬件中央處理單元)執(zhí)行指令(例如，計算機程序或者軟件)，這些指令控制設備以執(zhí)行操作。典型地，存儲器1506存儲用于通過控制器1504執(zhí)行的指令?？梢蕴峁┬湃纹脚_模塊(TPM) 1514。根據(jù)實施方式的一個方面，設備例如從計算機可讀記錄介質(zhì)1510和/或從通信傳輸介質(zhì)接口1512讀取/寫入/處理任何計算機可讀介質(zhì)的數(shù)據(jù)。用戶認證器1516可以是指紋/手掌傳感器，或者用于認證用戶的其他軟件/計算硬件。顯示器1502、CPU 1504(例如，處理指令(即軟件)的基于硬件邏輯電路的計算機處理器)、存儲器1506、計算機可讀記錄介質(zhì)1510、通信傳輸介質(zhì)接口 1512、TPM 1514以及用戶認證器1516通過數(shù)據(jù)總線1508進行通信。任何產(chǎn)生的結(jié)果可以顯示在計算硬件的顯示器上。因此，根據(jù)本發(fā)明的實施方式的一個方面，可以提供描述的特征、功能、操作和/或益處中的一個或者多個的組合。組合可以僅包括一個，或者可以包括兩個或者更多。實施方式可以被實施為包括計算硬件的設備(機器)(即，計算設備)，諸如(在非限制示例中)任何可以存儲、檢索、處理和/或輸出數(shù)據(jù)和/或與其他計算機進行通信(網(wǎng)絡)的任何計算機。此外，設備可以包括彼此或者與其它設備計算機網(wǎng)絡通信的一個或者多個設備。此外，計算機處理器可以包括一個或者多個設備中的一個或多個計算機處理器或者一個或者多個計算機處理器和/或設備的任何組合。實施方式的一個方面涉及使一個或者多個設備和/或計算機處理器執(zhí)行描述的操作。產(chǎn)生的結(jié)果可以顯示在顯示器上。實施實施方式的程序/軟件可以記錄在計算機可讀記錄介質(zhì)上。計算機可讀記錄介質(zhì)的示例包括磁性記錄設備、光盤、磁光盤和/或易失性和/或非易失性半導體存儲器(例如，RAM、ROM等等)。磁性記錄設備的示例包括硬盤裝置(HDD)、軟盤(FD)以及磁帶(MT)。光盤的示例包括DVD (數(shù)字多用盤)、DVD-ROM、DVD-RAM(DVD-隨機存取存儲器)、BD (藍光盤)、CD-ROM (壓縮盤-只讀存儲器)以及CD-R (可記錄)/RW。實施實施方式的程序/軟件還可以被包括/編碼為數(shù)據(jù)信號，并且通過傳輸通信介質(zhì)發(fā)送。例如，通過并入在載波中，數(shù)據(jù)信號在諸如有線網(wǎng)絡或者無線網(wǎng)絡的傳輸通信介質(zhì)上移動。數(shù)據(jù)信號還可以通過所謂的基帶信號來傳輸。載波可以以電、磁或者電磁形式來發(fā)送，或者以光、聲或者任何其他形式來發(fā)送。在此描述的所有示例和條件語言是出于教導性的目的，以幫助讀者在本領(lǐng)域中進一步理解本發(fā)明和發(fā)明者提供的概念，并且其將被理解為不受限于這樣特定的示例和條件，并且說明書中的這樣的示例的組織也不意在示出本發(fā)明的優(yōu)劣。雖然已經(jīng)詳細描述了本發(fā)明的實施方式，但是應該明白，在不脫離本發(fā)明的精神和范圍的情況下，可以對其進行各種變化、改變和替換。
權(quán)利要求
1.ー種方法，該方法包括使用計算機來檢查事件條件；以及根據(jù)所述事件條件，額外地保護與計算機上的正常數(shù)據(jù)保護相關(guān)的該計算機的目標數(shù)據(jù)。
2.根據(jù)權(quán)利要求1所述的方法，其中，檢查事件條件包括由所述計算機檢測遠程命令和/或檢測所述計算機的狀態(tài)。
3.根據(jù)權(quán)利要求2所述的方法，其中，檢測遠程命令包括經(jīng)由數(shù)據(jù)通信接ロ從遠程計算機以隨機時間間隔在所述計算機處激活安全檢查；以及從所述遠程計算機獲取所述事件條件。
4.根據(jù)權(quán)利要求3所述的方法，其中，從所述遠程計算機獲得的所述事件條件包括計算機識別(ID)、使用當前時間的功能的輸出和用于對計算機上的目標數(shù)據(jù)進行額外保護的數(shù)據(jù)保護功能中的ー個或多個，其中，觸發(fā)額外地保護所述目標數(shù)據(jù)的所檢測到的所述計算機的狀態(tài)是根據(jù)從所述遠程計算機獲得所述事件條件的失敗、所述計算機ID的驗證的失敗和/或功能輸出的失敗中的一個或者多個或者它們的任意組合。
5.根據(jù)權(quán)利要求3所述的方法，其中，從所述遠程計算機獲得的所述事件條件包括加密的消息，所述加密的消息包括數(shù)據(jù)保護功能和隨機數(shù)，并且其中，激活安全檢查包括在時間窗期間以隨機時間間隔接收加密的消息和與所述遠程計算機同步的隨機數(shù)。
6.根據(jù)權(quán)利要求5所述的方法，其中，觸發(fā)額外地保護所述目標數(shù)據(jù)的所檢測到的所述計算機的狀態(tài)是根據(jù)從所述遠程計算機獲得所述事件條件的失敗、驗證加密的消息的失敗或者接收序列隨機數(shù)的失敗或者它們的任意組合。
7.根據(jù)權(quán)利要求6所述的方法，所述方法進ー步包括累積在一個或者多個時間窗期間獲得事件條件的失敗的歷史，直到達到觸發(fā)額外地保護所述目標數(shù)據(jù)的條件。
8.根據(jù)權(quán)利要求7所述的方法，其中，所述時間窗的持續(xù)時間能夠根據(jù)増加或者減少所述計算機和所述遠程計算機之間的同步的策略來進行設置。
9.根據(jù)權(quán)利要求2所述的方法，其中，根據(jù)策略，所述計算機的狀態(tài)包括基于用戶認證的失敗、基于所述計算機的驗證的失敗、基于遠程計算機的驗證的失敗、所述計算機的物理篡改或者它們的任意組合中的ー個或多個。
10.根據(jù)權(quán)利要求9所述的方法，所述方法進ー步包括在所述計算機處和/或在所述遠程計算機處操作虛擬機，并且測量所述計算機和/或所述遠程計算機的虛擬機以進行驗IIto
11.根據(jù)權(quán)利要求1所述的方法，其中，保護目標數(shù)據(jù)包括通過擦除所述數(shù)據(jù)來破壞所述目標數(shù)據(jù)，使針對所述目標數(shù)據(jù)的密鑰無效，和/或物理破壞。
12.根據(jù)權(quán)利要求1所述的方法，其中，檢查事件條件包括 由所述計算機通過下述步驟來檢測遠程命令經(jīng)由數(shù)據(jù)通信接ロ從遠程計算機以隨機時間間隔在所述計算機處激活安全檢查；以及從所述遠程計算機獲得所述事件條件；和/或基于下述檢測所述計算機的狀態(tài)根據(jù)策略，基于用戶認證的失敗、基于所述計算機的驗證的失敗、基于遠程計算機的驗證的失敗、所述計算機的物理篡改或者它們的任意組合。
13.根據(jù)權(quán)利要求1所述的方法，其中，所述事件條件是時間段，并且在所述時間段過去時，額外地保護所述目標數(shù)據(jù)包括使所述計算機的目標數(shù)據(jù)不可訪問。
14.根據(jù)權(quán)利要求1所述的方法，其中，所述事件條件包括使所述計算機與另ー計算機通信地斷開，并且額外地保護所述目標數(shù)據(jù)包括在從所述斷開起一定時間段之后使所述計算機的目標數(shù)據(jù)不可訪問。
15.ー種可通信地連接到遠程計算機的計算裝置，所述計算裝置包括 計算機處理器，所述計算機處理器執(zhí)行檢查事件條件；以及根據(jù)所述事件條件，額外地保護與正常數(shù)據(jù)保護相關(guān)的便攜式裝置的目標數(shù)據(jù)。
16.根據(jù)權(quán)利要求15所述的裝置，其中，檢查事件條件包括 通過下述步驟檢測遠程命令經(jīng)由數(shù)據(jù)通信接ロ從所述遠程計算機以隨機時間間隔激活安全檢查；以及從所述遠程計算機獲得所述事件條件；和/或基于下述檢查便攜式裝置的狀態(tài)根據(jù)策略，基于用戶認證的失敗、基于所述便攜式裝置的驗證的失敗、基于所述遠程計算機的驗證的失敗、所述便攜式裝置的物理篡改或者它們的任意組合。
17.根據(jù)權(quán)利要求15所述的裝置，其中，所述事件條件是時間段，并且在所述時間段過去時，額外地保護所述目標數(shù)據(jù)包括使所述便攜式裝置的目標數(shù)據(jù)不可訪問。
18.根據(jù)權(quán)利要求15所述的裝置，其中，所述事件條件包括從所述遠程計算機通信地斷開，并且額外地保護所述目標數(shù)據(jù)包括在從與所述遠程計算機的先前通信起一定時間段之后使所述計算機的目標數(shù)據(jù)不可訪問。
19.根據(jù)權(quán)利要求15所述的裝置，其中，激活安全檢查包括在時間窗期間以隨機時間間隔接收消息和與所述遠程計算機同步的隨機數(shù)，并且其中，觸發(fā)額外地保護所述目標數(shù)據(jù)的所檢測到的所述計算機的狀態(tài)是根據(jù)從所述遠程計算機獲得事件條件的失敗、驗證消息的失敗或接收序列隨機數(shù)的失敗或者它們的任意組合。
20.一種計算機系統(tǒng)，該計算機系統(tǒng)包括 服務器計算機；以及便攜式裝置，所述便攜式裝置能夠通信地連接到所述服務器計算機，并且包括計算機處理器，所述計算機處理器執(zhí)行從所述服務器計算機和/或從所述便攜式裝置的狀態(tài)檢查事件條件；以及根據(jù)所述事件條件，額外地保護與正常數(shù)據(jù)保護相關(guān)的所述便攜式裝置的目標數(shù)據(jù)。
全文摘要
使用計算機檢查事件條件，并且根據(jù)事件條件，額外地保護與正常數(shù)據(jù)保護相關(guān)的計算機的數(shù)據(jù)內(nèi)容。根據(jù)策略，事件條件是由計算機檢測遠程命令和/或檢測狀態(tài)。
文檔編號G06F11/00GK102597960SQ201080048543
公開日2012年7月18日 申請日期2010年8月20日 優(yōu)先權(quán)日2009年12月31日
發(fā)明者J·戈登, J·莫利納, 宋哲炫 申請人:富士通株式會社