在云中隱私地處理數(shù)據(jù)的制作方法
【專利說明】在云中隱私地處理數(shù)據(jù)
[0001]背景
[0002]本發(fā)明總體上涉及在云中處理數(shù)據(jù)。
[0003]云基本上是為客戶端(諸如移動電話、膝上計算機、個人計算機以及實際上可通過有線或無線網(wǎng)絡(luò)與服務(wù)器通信的任何基于處理器的設(shè)備)提供存儲或處理服務(wù)的任何服務(wù)器。云計算是用于使得能夠?qū)梢杂米钚〉墓芾砼蚍?wù)提供商交互快速供應(yīng)并釋放的可配置計算資源共享池(例如，網(wǎng)絡(luò)、服務(wù)器、存儲、應(yīng)用以及服務(wù))進(jìn)行無處不在的、方便的、按需的網(wǎng)絡(luò)訪問的模型。
[0004]通常，從客戶端到服務(wù)器提供各種任務(wù)。結(jié)合蘋果iPhone的常見任務(wù)是使用Siri語音識別服務(wù)。用戶可說出問題并且該信息可由服務(wù)器處理，然后該服務(wù)器提供答案。
[0005]某些人更喜歡云服務(wù)提供商不訪問正在被處理的數(shù)據(jù)。該數(shù)據(jù)可包括用戶的語音、任何其他用戶隱私數(shù)據(jù)以及用戶正在提供的實際內(nèi)容。然而，用戶在許多情況下具有很少的選擇，因為電話提供商也是提供云服務(wù)的提供商。
[0006]附圖簡要說明
[0007]參照以下附圖描述一些實施例:
[0008]圖1是根據(jù)一個實施例的客戶端服務(wù)器的架構(gòu)圖；
[0009]圖2是根據(jù)一個實施例的通信流；
[0010]圖3是在一個實施例中有用的分組格式的圖；
[0011]圖4是根據(jù)一個實施例的受信執(zhí)行環(huán)境的圖；
[0012]圖5是根據(jù)一個實施例的使用第三方受信服務(wù)提供商的架構(gòu)的圖；
[0013]圖6是來自企業(yè)內(nèi)的受信服務(wù)提供商的架構(gòu)圖；
[0014]圖7是客戶端處的一個實施例的流程圖；
[0015]圖8是服務(wù)器處的一個實施例的流程圖；以及
[0016]圖9是一個實施例的系統(tǒng)圖。
[0017]詳細(xì)描述
[0018]盡管云服務(wù)可提供來自個人設(shè)備的處理或來自多個源的合成數(shù)據(jù)，但是許多用戶喜歡對他們的數(shù)據(jù)保持隱私。根據(jù)某些實施例，隱私用戶數(shù)據(jù)可在云中處理而不向云服務(wù)提供商暴露用戶身份。僅用戶或用戶的授權(quán)代理和服務(wù)的硬件平臺能訪問某些密鑰并因此訪問未經(jīng)加密的數(shù)據(jù)。服務(wù)應(yīng)用軟件和操作系統(tǒng)僅能訪問加密數(shù)據(jù)。
[0019]根據(jù)一個實施例，云服務(wù)中的受信計算庫使得服務(wù)能夠隱私地處理用戶數(shù)據(jù)。數(shù)據(jù)可僅以加密格式存儲并傳輸。明文數(shù)據(jù)的處理可僅在云服務(wù)中的受信硬件組件中發(fā)生。云服務(wù)操作系統(tǒng)應(yīng)用軟件僅能訪問經(jīng)加密的數(shù)據(jù)。
[0020]參照圖1，客戶端10可通過通信路徑30與服務(wù)或服務(wù)器12通信。通信路徑30可以是任何有線或無線通信路徑?？蛻舳?0可以是任何基于處理器的設(shè)備，包括平板計算機、蜂窩電話、膝上計算機或個人計算機。其還可以是電視接收器、打印機游戲設(shè)備或可穿戴設(shè)備?？蛻舳?0包括隱私上下文14，該隱私上下文可包括用戶更喜歡保持機密的信息和應(yīng)用。其還可以包括多個客戶端應(yīng)用20，每個客戶端應(yīng)用具有其自身所分配的公鑰16和私鑰18。
[0021]在一個實施例中，通信路徑30可例如結(jié)合超文本傳輸協(xié)議安全(HTTPS)協(xié)議實現(xiàn)傳輸層安全(TLS)連接。客戶端可建立到服務(wù)12內(nèi)的受信執(zhí)行環(huán)境24的TLS連接。例如，在一個實施例中，通過TLS連接30的通信可依賴于向客戶端保證受信執(zhí)行環(huán)境是特定的受信執(zhí)行環(huán)境的證書交換?？蛻舳丝纱鎯Ρ皇苄沤邮艿膱?zhí)行環(huán)境列表。例如，Verisign證書可向客戶端提供充分的信息:客戶端可確信受信執(zhí)行環(huán)境的身份。然后，客戶端僅需檢查數(shù)據(jù)庫以便確定受信執(zhí)行環(huán)境是否是客戶端可信任的那個。
[0022]證書可由服務(wù)(諸如Verisign)生成，該證書向用戶確保正在與其通信的實體是實體所說的實體。
[0023]服務(wù)12可包括不受信服務(wù)22，路徑30通過該不受信服務(wù)22到達(dá)受信執(zhí)行環(huán)境24。然而，不受信服務(wù)僅可訪問經(jīng)加密的數(shù)據(jù)。僅受信執(zhí)行環(huán)境24具有將用戶數(shù)據(jù)隱私地從客戶端10傳送到受信執(zhí)行環(huán)境24所需的公鑰26和私鑰28。不受信服務(wù)可以例如是互聯(lián)網(wǎng)服務(wù)提供商或蜂窩電話服務(wù)提供商，作為兩個示例。
[0024]因此，參照圖2，客戶端10可通過不受信服務(wù)22與受信執(zhí)行環(huán)境24通信?？蛻舳?0包括公鑰和私鑰并且使用TLS通道30驗證受信執(zhí)行環(huán)境的身份。具體地，信任請求32被發(fā)布到受信執(zhí)行環(huán)境。受信執(zhí)行環(huán)境用其公鑰做出響應(yīng)，如箭頭34所示。然后，客戶端基于預(yù)定的受信執(zhí)行環(huán)境列表確定受信執(zhí)行環(huán)境是否是客戶端能夠信任的環(huán)境?？纱_信受信執(zhí)行環(huán)境的身份，因為這個身份由TLS通道確認(rèn)。
[0025]然后，如果客戶端10選擇由受信執(zhí)行環(huán)境24處理隱私數(shù)據(jù)，其發(fā)送包括用服務(wù)器的公鑰和客戶端的公鑰加密的會話密鑰以及用會話密鑰加密的隱私數(shù)據(jù)和隨機值，如箭頭36所示。然后，受信執(zhí)行環(huán)境24具有客戶端的公鑰并且可處理隱私數(shù)據(jù)。其將如38處所示的結(jié)果發(fā)送到客戶端10。使用第二會話密鑰對這些結(jié)果和隨機值進(jìn)行加密。也使用客戶端的公鑰對會話密鑰進(jìn)行加密。
[0026]服務(wù)從客戶端接收隱私數(shù)據(jù)并且在受信執(zhí)行環(huán)境執(zhí)行處理。僅受信執(zhí)行環(huán)境具有解密數(shù)據(jù)的密鑰，該數(shù)據(jù)曾以其他方式在存儲器中并且在盤上加密。一旦處理完成，使用第二會話密鑰對這些結(jié)果進(jìn)行加密。由客戶端公鑰加密的第二會話密鑰、這些結(jié)果以及由第二會話密鑰加密的隨機值被返回客戶端。
[0027]圖3示出了一種可能的分組格式。公鑰40與有效載荷加密密鑰44 一起用于加密簽名48。因此，有效載荷46被加密并且然后頭42可被提供。也就是，使用如50處所示的有效載荷加密密鑰44對有效載荷進(jìn)行加密。然后，如52處所示，可用頭、加密密鑰44和有效載荷46對簽名進(jìn)行散列。
[0028]圖4中示出的受信執(zhí)行環(huán)境是服務(wù)器進(jìn)行安全處理的關(guān)鍵。從客戶端接收的所有數(shù)據(jù)以加密形式存儲在存儲器66中和存儲70上。受信執(zhí)行環(huán)境包含用于解密數(shù)據(jù)的秘密密鑰和用于處理的存儲器66。經(jīng)解密的數(shù)據(jù)僅在處理期間可用，并且在其被處理之后永不在存儲器中或盤上可用。
[0029]因此，中央處理單元(CPU)或其他處理器54包括作為公私鑰對或?qū)ΨQ密鑰的秘密56?？捎糜谠跀?shù)據(jù)62中提供指令60的解密單元58中進(jìn)行解密。讀寫鏈路64將存儲器66和CPU 54鏈接起來。存儲器66可存儲也可從如72中所指示的存儲70加載的經(jīng)加密的信息68 ο
[0030]至此為止，數(shù)據(jù)已經(jīng)用算法或不用算法(例如，個人上下文作為經(jīng)加密的文本文件)從客戶端傳輸以便在駐留在服務(wù)器上的數(shù)據(jù)上操作。在另一個實施例中，客戶端傳送數(shù)據(jù)和指令兩者以便在服務(wù)器上執(zhí)行。在這種情況下，客戶端能夠控制對數(shù)據(jù)的訪問以及在數(shù)據(jù)上發(fā)生的處理。處理指令與圖2中被標(biāo)記為“隱私數(shù)據(jù)”和在圖3中被標(biāo)記為“經(jīng)加密的有效載荷”的塊中的數(shù)據(jù)一起被傳輸。可或者通過要求對指令進(jìn)行簽名或者要求在沙盒(例如，Java虛擬機)中對指令進(jìn)行解釋來保護(hù)服務(wù)器，該沙盒在受信執(zhí)行環(huán)境或兩者中運行。
[0031]在至此所描述的示例中，存在其服務(wù)器具有受信執(zhí)行環(huán)境的最終用戶和單個服務(wù)提供商。以下描述兩個擴展。
[0032]在某些情況下，用戶可與用戶不信任的服務(wù)提供商交互，即使該服務(wù)提供商具有含受信執(zhí)行環(huán)境的硬件。在這種情況下，如圖5所示，可使用受信第三方。用戶與受信第三方的硬件建立關(guān)系而不是與不受信服務(wù)提供商。第三方受信硬件中發(fā)生計算并且僅經(jīng)加密的請求和結(jié)果數(shù)據(jù)通過不受信服務(wù)提供商傳輸。
[0033]因此，在圖5中，客戶端設(shè)備74包括公鑰和私鑰78和80、客戶端應(yīng)用82和隱私上下文76。設(shè)備74通過路徑84通信，該路徑可以是有線或無線并且可通常是TLS連接。其與具有不受信服務(wù)90的不受信服務(wù)提供商88通信。不受信服務(wù)提供商和受信服務(wù)提供商92兩者都在云86中。受信服務(wù)提供商92包括不受信服務(wù)94、公鑰和私鑰98和100以及受信執(zhí)行環(huán)境96。
[0034]在另一個示例中，如圖6所示，客戶端可以是企業(yè)環(huán)境中的設(shè)備。在本示例中，企業(yè)102可能希望訪問未經(jīng)加密的數(shù)據(jù)。此外，企業(yè)可能希望設(shè)置有關(guān)可處理什么數(shù)據(jù)以及該數(shù)據(jù)可由什么外部服務(wù)提供商訪問的策略。在這種情況下，企業(yè)客戶端設(shè)備106通