多個(gè)域和域所有權(quán)的系統(tǒng)的制作方法
本申請是申請日為2010年04月20日、申請?zhí)枮?01080017547.2、名稱為“多個(gè)域和域所有權(quán)的系統(tǒng)”的中國發(fā)明專利申請的分案申請。
相關(guān)申請的交叉引用
本申請基于2009年4月20日提交的申請?zhí)枮?1/171,013的美國臨時(shí)專利申請以及2009年7月17日提交的申請?zhí)枮?1/226,550的美國臨時(shí)專利申請，并且據(jù)此要求享有這兩項(xiàng)申請的優(yōu)先權(quán)，其中這些申請的公開內(nèi)容在這里全部引入以作為參考。
背景技術(shù)：
現(xiàn)今存在著多種使用了可以或者不可以與其他設(shè)備或?qū)嶓w通信的計(jì)算設(shè)備的情形，在此類情形中，設(shè)備或設(shè)備內(nèi)部的某個(gè)部分或計(jì)算環(huán)境為個(gè)人、組織或其他某個(gè)實(shí)體所“擁有”。我們提到的“擁有”是指該設(shè)備或是其內(nèi)部的某個(gè)部分或計(jì)算環(huán)境可以通過實(shí)體驗(yàn)證，此后該實(shí)體可以對設(shè)備或是其某個(gè)部分采用某種形式的控制。這種情形的一個(gè)示例存在于無線移動(dòng)通信產(chǎn)業(yè)中，其中諸如移動(dòng)電話之類的無線設(shè)備的用戶可以預(yù)訂(subscribe)特定移動(dòng)通信網(wǎng)絡(luò)運(yùn)營商的服務(wù)。
在現(xiàn)今的移動(dòng)通信產(chǎn)業(yè)中，用戶可以借助無線設(shè)備可以預(yù)訂特定網(wǎng)絡(luò)運(yùn)營商的服務(wù)，并且此類無線設(shè)備通常包括用戶身份模塊(sim)或通用集成電路卡(uicc)。sim/uicc為無線設(shè)備提供了安全的運(yùn)行和存儲(chǔ)環(huán)境，從中可以執(zhí)行驗(yàn)證算法以及保存證書，其中所述證書允許設(shè)備向網(wǎng)絡(luò)運(yùn)營商驗(yàn)證該設(shè)備用戶與網(wǎng)絡(luò)運(yùn)營商的預(yù)訂，并且允許網(wǎng)絡(luò)運(yùn)營商對設(shè)備具有某種形式的控制權(quán)，即所有權(quán)。不幸的是，這種sim/uicc機(jī)制通常僅限于用于單個(gè)網(wǎng)絡(luò)運(yùn)營商。
因此，在現(xiàn)今眾多的計(jì)算環(huán)境、例如在上文結(jié)合移動(dòng)通信設(shè)備描述的情形中存在一個(gè)問題，那就是計(jì)算設(shè)備整體通常只限于被單個(gè)實(shí)體擁有。在很多情況中，所有權(quán)必須在用戶購買設(shè)備時(shí)建立，由此阻礙了那些需要在以后建立所有權(quán)的商業(yè)模型。更進(jìn)一步，對于設(shè)備中的多個(gè)相互隔離的部分需要具有多個(gè)所有權(quán)或者需要不時(shí)將所有權(quán)轉(zhuǎn)換到其他實(shí)體的狀況而言，這些限制將會(huì)阻礙設(shè)備在這些狀況中的使用。例如，對諸如移動(dòng)電話這類無線移動(dòng)通信設(shè)備而言，用戶通常需要在購買時(shí)預(yù)訂特定移動(dòng)網(wǎng)絡(luò)運(yùn)營商的服務(wù)，而在那些只有在購買了無線設(shè)備之后的某個(gè)時(shí)間才有可能知道移動(dòng)網(wǎng)絡(luò)運(yùn)營商的應(yīng)用中，此類設(shè)備通常是禁止使用的。此外，此類設(shè)備也無法一次提供針對多個(gè)運(yùn)營商網(wǎng)絡(luò)的訪問。移動(dòng)網(wǎng)絡(luò)和服務(wù)預(yù)訂的更新和變更有可能會(huì)很困難，并且通常無法通過空中接口來執(zhí)行這些處理。
特別地，在無線移動(dòng)通信設(shè)備的情況中，雖然sim/uicc機(jī)制通常被認(rèn)為是非常安全的，但是這種安全性并沒有與其所在的整個(gè)設(shè)備的安全屬性緊密聯(lián)系在一起。這樣做限制了將縮放安全性(scalingsecurity)概念應(yīng)用于諸如移動(dòng)金融交易之類的高級(jí)服務(wù)和應(yīng)用。特別地，這些缺陷與諸如機(jī)器對機(jī)器(m2m)通信設(shè)備之類的自動(dòng)設(shè)備相關(guān)。
因此，所需要的是一種更為動(dòng)態(tài)和安全的解決方案。
技術(shù)實(shí)現(xiàn)要素：
為了克服如上所述的當(dāng)前系統(tǒng)中的至少一些缺陷，在這里公開了在提供了針對一個(gè)或多個(gè)設(shè)備上的一個(gè)或多個(gè)獨(dú)立域的系統(tǒng)級(jí)(wide)管理等級(jí)的同時(shí)，允許一個(gè)或多個(gè)不同的本地或遠(yuǎn)端所有者擁有或控制這些域的方法和手段。用于實(shí)現(xiàn)這些方法和裝置的示例系統(tǒng)可以包括一個(gè)或多個(gè)設(shè)備，其中每個(gè)設(shè)備都可以包括由至少一個(gè)平臺(tái)支持的一個(gè)或多個(gè)域。每個(gè)平臺(tái)都可以為這些域提供低等級(jí)計(jì)算、存儲(chǔ)或通信資源。平臺(tái)可以包括一些硬件、操作系統(tǒng)、一些低等級(jí)固件或軟件(例如引導(dǎo)碼、bios、api、驅(qū)動(dòng)器、中間件或虛擬化軟件)、以及一些高等級(jí)固件或軟件(例如應(yīng)用軟件)和用于這些資源的相應(yīng)配置數(shù)據(jù)。每個(gè)域都可以包括在至少一個(gè)平臺(tái)上運(yùn)行的計(jì)算、存儲(chǔ)或通信資源配置，并且每個(gè)域都可以被配置成為可能處于域本地或遠(yuǎn)離域的域所有者執(zhí)行功能。每個(gè)域都可以有不同的所有者，并且每個(gè)所有者都可以規(guī)定用于操作其域的策略、以及用于結(jié)合域所在平臺(tái)和其他域來操作其域的策略。
系統(tǒng)級(jí)域管理器可以駐留在其中一個(gè)域上。系統(tǒng)級(jí)域管理器可以實(shí)施其所在的域上的策略，并且可以協(xié)調(diào)其他域如何結(jié)合系統(tǒng)級(jí)域管理器所在的域來實(shí)施其相應(yīng)操作。此外，系統(tǒng)級(jí)域管理器還可以根據(jù)其他域的相應(yīng)策略來協(xié)調(diào)這些域之間的交互。系統(tǒng)級(jí)域管理器所在的域可以被提供所述域的設(shè)備的所有者擁有?？商鎿Q地，此類域可以被未必?fù)碛刑峁┧鲇虻脑O(shè)備的所有者擁有。
在以下的詳細(xì)描述和附圖中提供了這里描述的系統(tǒng)、方法和手段的其他特征。
附圖說明
圖1示出的是可以使用這里描述的方法和裝置的示例系統(tǒng)；
圖2示出的是在用戶設(shè)備(ue)中實(shí)施這里描述的方法和裝置的系統(tǒng)的一個(gè)實(shí)施方式；
圖3和3a示出的是用于獲取域的所有權(quán)的示例引導(dǎo)和處理；
圖4和4a示出的是用于獲取域的所有權(quán)的處理的示例呼叫流程圖；
圖5和5a示出的是用于獲取具有完全認(rèn)證的域所有權(quán)的處理的示例呼叫流程圖；
圖6示出的是可信硬件預(yù)訂模塊的一個(gè)實(shí)施方式的示例狀態(tài)定義、變換以及控制點(diǎn)定義；
圖7示出的是遠(yuǎn)端所有者可以獲取的示例狀態(tài)以及可能在動(dòng)態(tài)管理的環(huán)境中引起變換的條件。
具體實(shí)施方式
為了克服上述當(dāng)前系統(tǒng)的至少一些缺陷，在這里公開了在為一個(gè)或多個(gè)設(shè)備上的一個(gè)或多個(gè)獨(dú)立域提供系統(tǒng)管理等級(jí)的同時(shí)，允許一個(gè)或多個(gè)不同的本地或遠(yuǎn)端所有者擁有或控制這些域的方法和裝置。用于實(shí)現(xiàn)這些方法和裝置的示例系統(tǒng)可以包括一個(gè)或多個(gè)設(shè)備，其中每個(gè)設(shè)備都可以具有由至少一個(gè)平臺(tái)支持的一個(gè)或多個(gè)域。每個(gè)平臺(tái)都可以為這些域提供低等級(jí)計(jì)算、存儲(chǔ)或通信資源。平臺(tái)可以包括一些硬件、操作系統(tǒng)、以及其他低等級(jí)固件或軟件(例如引導(dǎo)碼、bios和驅(qū)動(dòng)器)和用于這些資源的相應(yīng)配置數(shù)據(jù)。每個(gè)域都可以包括在至少一個(gè)平臺(tái)上運(yùn)行的計(jì)算、存儲(chǔ)或通信資源配置，并且每個(gè)域都可以被配置成為可能處于域本地或遠(yuǎn)離域的域所有者執(zhí)行功能。每個(gè)域都可以有不同所有者，并且每個(gè)所有者都可以規(guī)定用于操作其域的策略、以及用于結(jié)合域所在平臺(tái)和其他域來操作其域的策略。
就計(jì)算、存儲(chǔ)或通信資源(從輸入的角度來看)，或者是由所述域使用此類計(jì)算、存儲(chǔ)或通信資源所提供的功能(從輸出的角度來看)而言，每一個(gè)域都可以與其他域隔離。每個(gè)域都可以利用計(jì)算、存儲(chǔ)或通信資源，或者是通用基礎(chǔ)平臺(tái)的功能。一些域可以共享公共平臺(tái)提供的一些這樣的功能。這種平臺(tái)資源功能的共享可以采用這樣一種方式完成：其中每個(gè)域的公共資源或功能運(yùn)用都可以與別的域的此類運(yùn)用相隔離。例如，這種隔離可以通過由設(shè)備的平臺(tái)對其提供給每一個(gè)域的資源實(shí)施嚴(yán)格的訪問控制來實(shí)現(xiàn)，由此，只有處于域外部并得到平臺(tái)和/或域所有者授權(quán)的一個(gè)或多個(gè)用戶、一個(gè)或多個(gè)所有者或其他實(shí)體或進(jìn)程才被允許訪問所述域的資源。只要域的功能取決于設(shè)備上的域以外的設(shè)備資源，那么平臺(tái)還可以簡單地包含不屬于該設(shè)備上的隔離域的設(shè)備的部分。
處于相同或不同平臺(tái)或是相同或不同設(shè)備上的任何兩個(gè)域之間的通信都可以是安全的，這意味著域能以一種安全的方式相互驗(yàn)證(例如通過使用加密裝置)，并且能在置信度、完整性和新鮮度這類安全方面保護(hù)其間交換的消息。由域所在的一個(gè)或多個(gè)平臺(tái)提供的加密裝置可以用于在任何兩個(gè)域之間提供這種安全通信。
系統(tǒng)級(jí)域管理器可以駐留在其中一個(gè)域上。該系統(tǒng)級(jí)域管理器可以實(shí)施其所在域上的策略，并且可以協(xié)調(diào)其他域結(jié)合系統(tǒng)級(jí)域管理器所在的域來實(shí)施其相應(yīng)操作。此外，系統(tǒng)級(jí)域管理器還可以根據(jù)其他域的相應(yīng)策略來協(xié)調(diào)這些域之間的交互。系統(tǒng)級(jí)域管理器所在的域可以被提供所述域的設(shè)備的所有者?？商鎿Q地，此類域也可以被未必?fù)碛刑峁┧鲇虻脑O(shè)備的所有者擁有。
圖1示出了此類系統(tǒng)的一個(gè)實(shí)施方式。如圖1所示，該系統(tǒng)可以包括一個(gè)或多個(gè)設(shè)備100、110和120。每個(gè)設(shè)備都可以包括由至少一個(gè)平臺(tái)支持的一個(gè)或多個(gè)域。例如，設(shè)備100可以包括域106以及一個(gè)或多個(gè)其他域101、102。雖然在這里為設(shè)備100示出了三個(gè)域，但在其他實(shí)施方式中，域的數(shù)量有可能更多或更少。這其中的每個(gè)域101、102、106都可以包括在設(shè)備的至少一個(gè)平臺(tái)105上運(yùn)行的計(jì)算、存儲(chǔ)或通信資源的配置。每個(gè)域都可以被配置成為處于所述域本地或者遠(yuǎn)離域的域所有者執(zhí)行功能。例如，域106有可能被設(shè)備所有者(未顯示)擁有，而域101、102則有可能被一個(gè)或多個(gè)遠(yuǎn)端所有者擁有。每一個(gè)域都有可能有不同的所有者，或者設(shè)備的一個(gè)以上的域有可能被同一所有者擁有。每一個(gè)所有者都可以規(guī)定用于操作其域的策略、以及用于結(jié)合域操作平臺(tái)、域所在設(shè)備以及相同或不同設(shè)備內(nèi)部的其他域來操作其域的策略。
如所描述的，該系統(tǒng)還可以包括留有其他域的其他設(shè)備。例如，設(shè)備110可以包括域111和112，其中每個(gè)域都有可能被相同的遠(yuǎn)端所有者擁有。當(dāng)然，每一個(gè)域111和112都可以改為由不同所有者擁有。每一個(gè)域111、112都可以包括在設(shè)備110的平臺(tái)115上運(yùn)行的計(jì)算、存儲(chǔ)或通信資源配置。類似地，設(shè)備120可以包括域111和112。如本示例所示，這其中的每個(gè)域都可以被不同所有者擁有。可替換地，這些域也可以被同一所有者擁有。同樣，每個(gè)域121、122都可以包括在設(shè)備120的平臺(tái)125上運(yùn)行的計(jì)算、存儲(chǔ)或通信資源的配置。
系統(tǒng)級(jí)域管理器(sdm)107可以駐留在其中一個(gè)域上。在本示例中，sdm107駐留在設(shè)備100的域106上。在一個(gè)實(shí)施方式中，sdm(例如域106)所在的域被設(shè)備100的所有者擁有。sdm107經(jīng)由設(shè)備100中提供的通信機(jī)制來與設(shè)備100上的遠(yuǎn)端域101通信。此外，sdm107還經(jīng)由相應(yīng)的通信信道131、132、141、142來與其他設(shè)備上的域通信，其中所述信道可以是有線或無線信道。通信信道131、132、141、142可以是安全的。sdm107可以實(shí)施其所在的域106的策略，并且可以通過與域106相結(jié)合的其他域101、111、112、121、122的相應(yīng)策略來協(xié)調(diào)這些域的實(shí)施。此外，sdm107還可以根據(jù)其他域的相應(yīng)策略以及sdm所在域的策略(該策略可以是特定域的所有者的策略)來協(xié)調(diào)其他域之間的交互。
舉個(gè)例子，在一個(gè)實(shí)施方式中，域有可能被服務(wù)供應(yīng)商擁有。例如，設(shè)備100的域102有可能被服務(wù)供應(yīng)商(例如，僅作為示例，移動(dòng)網(wǎng)絡(luò)運(yùn)營商)擁有。域102可以通過執(zhí)行用戶身份模塊(sim)功能來驗(yàn)證設(shè)備100，在某些情況中也可以等價(jià)地驗(yàn)證設(shè)備所有者或用戶與移動(dòng)網(wǎng)絡(luò)運(yùn)營商的預(yù)訂關(guān)系，以便允許設(shè)備100與服務(wù)供應(yīng)商之間的通信。
除了上述sdm功能之外，sdm107還可以訪問信息并且提供可用于一個(gè)或多個(gè)域的資源列表。sdm107也可以監(jiān)督遠(yuǎn)端所有者擁有的域的加載和維護(hù)狀況。此外，sdm107可以為其所在設(shè)備100的用戶提供能夠加載的域的列表，并且可以請求用戶選擇加載所列舉的域中的哪些域。sdm還可以評(píng)估平臺(tái)或設(shè)備上是否有足夠的計(jì)算資源供加載，并由此支持一個(gè)或多個(gè)域的操作。
如上所述，sdm107既可以參與實(shí)施其自身的一個(gè)或多個(gè)策略(在這里可以稱為)系統(tǒng)級(jí)策略(sdp)，也可以參與實(shí)施其他域的策略(即特定于域的策略(dp))。在評(píng)估是否加載新的域的時(shí)候，sdm107可以考慮一個(gè)或多個(gè)已有域的策略。例如，遠(yuǎn)端所有者擁有的指定域的策略可以規(guī)定：在某種類型的其他域活動(dòng)的時(shí)候，將所述域置于不活動(dòng)狀態(tài)。在另一個(gè)示例中，遠(yuǎn)端所有者擁有的指定域的策略可以規(guī)定：在某個(gè)其他遠(yuǎn)端所有者擁有的其他域活動(dòng)的時(shí)候，將所述指定域置于不活動(dòng)狀態(tài)。在再一個(gè)示例中，遠(yuǎn)端所有者擁有的指定域的策略可以規(guī)定：在某種類型的其他域活動(dòng)的時(shí)候，將指定域的操作限制為某種或某些特定方式。在進(jìn)一步的示例中，遠(yuǎn)端所有者擁有的指定域的策略可以規(guī)定：在某一個(gè)其他遠(yuǎn)端所有者擁有的別的域活動(dòng)的時(shí)候，將指定域的操作限制為某種或某些特定方式。sdm107可以負(fù)責(zé)實(shí)施所有這些類型的策略。
sdm107還可以在以后建立或加載那些可能被遠(yuǎn)端所有者得到所有權(quán)的域。例如，這些域可以在一個(gè)其不為任何所有者擁有的狀態(tài)中建立，在這里將這種狀態(tài)稱為“原始”狀態(tài)，此外，sdm107還可以對遠(yuǎn)端所有者的域所有權(quán)的建立進(jìn)行管理。
為此目的，sdm107可以為遠(yuǎn)端所有者傳送該遠(yuǎn)端所有者可能會(huì)在確定是否建立域的所有權(quán)的過程中加以考慮的信息。這些信息可以包括下列各項(xiàng)中的至少一項(xiàng)：(i)用于證實(shí)被尋求所有權(quán)的域的完整性的信息；以及(ii)用于證實(shí)系統(tǒng)中至少一個(gè)其他域的完整性的信息。該信息還可以包括：(i)用于證實(shí)資源由被尋求所有權(quán)的域操作的平臺(tái)的完整性信息；以及(ii)用于證實(shí)資源由系統(tǒng)中的至少一個(gè)其他域操作的平臺(tái)的完整性信息。此外，該信息可以包括與設(shè)備的當(dāng)前環(huán)境相關(guān)的信息。這些信息可以包括下列各項(xiàng)中的至少一項(xiàng)：(i)用于指示系統(tǒng)中的多個(gè)其他域的值；(ii)用于提供系統(tǒng)中的其他域的概要特征的信息；以及(iii)用于規(guī)定可供正被嘗試建立所有權(quán)的域使用的平臺(tái)資源的信息。為遠(yuǎn)端所有者提供的系統(tǒng)中其他域的信息量可以以這些其他域在保密性和/或隔離性方面的相應(yīng)策略為條件。
在遠(yuǎn)端所有者得到域的所有權(quán)之后，該遠(yuǎn)端所有者可以對所述域進(jìn)行一定程度的控制。例如，在遠(yuǎn)端所有者建立了域的所有權(quán)之后，所述域可以接收來自遠(yuǎn)端所有者的密鑰、配置信息、參數(shù)以及可執(zhí)行代碼中的至少一項(xiàng)，以便增強(qiáng)域的功能。在另一個(gè)示例中，在遠(yuǎn)端所有者確定了域的所有權(quán)之后，所述域可以從遠(yuǎn)端所有者接收特定于其域的策略。
這里公開的系統(tǒng)還可以規(guī)定一個(gè)或多個(gè)域的隔離性和安全性。例如，一個(gè)或多個(gè)域可以包括與其他域隔離的安全運(yùn)行和存儲(chǔ)環(huán)境。對于建立了一個(gè)或多個(gè)域的設(shè)備的平臺(tái)、例如圖1中的設(shè)備100的平臺(tái)105來說，為了實(shí)現(xiàn)這種安全環(huán)境，該平臺(tái)可以包括可信根103。可信根103可以包括不可變并且不可移動(dòng)的硬件資源集合，其中該集合的完整性是預(yù)先確定的，并且可以依賴于包括域的遠(yuǎn)端所有者在內(nèi)的其他內(nèi)容。對于諸如域101這樣的域來說，其完整性可以由可信根103錨定的信任鏈建立。例如，域101的完整性可以通過將域101中至少一個(gè)組件的量度與參考完整性度量進(jìn)行比較來確定，其中所述量度可以由可信根103產(chǎn)生，所述度量可以保存在可信根103中，并且可供可信根用以檢驗(yàn)域的完整性?？商鎿Q地，參考完整性度量可以由遠(yuǎn)端所有者存儲(chǔ)，并且該量度可以傳送至遠(yuǎn)端所有者，以便與參考完整性度量進(jìn)行比較。如果該量度與參考完整性度量匹配，則域的完整性可以通過檢驗(yàn)。在一個(gè)例示實(shí)施方式中，量度可以包括在組件上計(jì)算的散列(hash)，參考完整性度量可以包括先前在組件上計(jì)算并帶有數(shù)字證書的散列，其中所述數(shù)字證書提供的是關(guān)于參考完整性度量的真實(shí)性的指示。參考完整性度量可以在制造時(shí)或是將設(shè)備交付其所有者時(shí)預(yù)先在設(shè)備中提供。參考完整性度量也可以在制造/供應(yīng)了設(shè)備之后從遠(yuǎn)端源經(jīng)由通信信道(例如空中下載無線通信信道)遞送至其所有者，并且可以在交付之后才在設(shè)備中供應(yīng)。參考完整性度量可以以包含于證書中的方式交付設(shè)備。該證書可以由可信第三方檢驗(yàn)，以便在其被交付給設(shè)備之后使用。
這里公開的系統(tǒng)及其各種方法和裝置可以在多種計(jì)算和通信上下文中實(shí)現(xiàn)。相應(yīng)地，對于系統(tǒng)中的設(shè)備、例如圖1中的例示設(shè)備100、110和120來說，這些設(shè)備可以采用各種各樣的形式。作為示例而不是限制，系統(tǒng)中的設(shè)備可以包括無線發(fā)射/接收單元(wtru)、用戶設(shè)備(ue)、移動(dòng)站、固定或移動(dòng)用戶單元、尋呼機(jī)、蜂窩電話、個(gè)人數(shù)字助理(pda)、計(jì)算機(jī)、機(jī)器對機(jī)器(m2m)設(shè)備、sim卡、通用集成電路卡(uicc)、智能卡、地理跟蹤設(shè)備、傳感器網(wǎng)絡(luò)節(jié)點(diǎn)、測量設(shè)備(例如水測量計(jì)、氣測量計(jì)或電測量計(jì))，或是其他任何能在無線或有線環(huán)境中工作的計(jì)算或通信設(shè)備。下列附圖和描述提供了在無線發(fā)射/接收單元(wtru)中提供了本公開的系統(tǒng)和方法的多個(gè)附加示例實(shí)施方式。但是應(yīng)該理解，這些實(shí)施方式只是示例性的，這里公開的系統(tǒng)和方法并不局限于這些實(shí)施方式。與此相反，如上所述，這里公開的系統(tǒng)和方法可以在多種多樣的計(jì)算和通信環(huán)境中使用。
圖2是示出了可以實(shí)施這里公開的系統(tǒng)和方法的wtru的一個(gè)實(shí)施方式的圖示。如圖所示，wtru可以包括移動(dòng)設(shè)備，例如ue200。ue200可以包括移動(dòng)設(shè)備(me)210和可信硬件預(yù)訂模塊(thsm)220。此外，thsm220還可以包括thsm設(shè)備制造商(dm)域221、thsm設(shè)備所有者(do)域222、thsm設(shè)備用戶(du或u)域223、系統(tǒng)級(jí)域管理器(sdm)230、域間策略管理器240以及一個(gè)或多個(gè)遠(yuǎn)端所有者(ro)域，例如ro域a224、ro域b225以及ro域c226。此外，ue200可以包括未示出的下列組件：處理器、接收機(jī)、發(fā)射機(jī)和天線。這里描述的示例實(shí)施方式可以參考結(jié)合圖2描述的組件。
thsm可以是基于硬件的模塊，它提供了可信的預(yù)訂管理功能，這其中包括通常由sim功能、usim功能、isim功能以及接入網(wǎng)絡(luò)預(yù)訂執(zhí)行的功能。thsm可以是受硬件保護(hù)的模塊。它可以包括專門被設(shè)計(jì)具有相關(guān)安全功能的硬件。它能在內(nèi)部支持多個(gè)隔離的域。域可以由稱為遠(yuǎn)端所有者(ro)的特有所有者要求或擁有。ro要求的域可以充當(dāng)相應(yīng)ro的代理。
一個(gè)或多個(gè)域可以執(zhí)行預(yù)訂管理功能，例如可信用戶標(biāo)識(shí)管理(tsim)。由于在單個(gè)thsm上可能存在多個(gè)具有tsim功能的域，因此，thsm可以為多個(gè)ro的預(yù)訂管理提供支持。對于具有tsim功能的域來說，其某些管理方面可以由稱為系統(tǒng)級(jí)域管理器(sdm)的單個(gè)管理功能執(zhí)行。其他方面則可以在單個(gè)域的內(nèi)部或是單個(gè)域上單獨(dú)管理。
雖然在這里是依照通用移動(dòng)電信系統(tǒng)(umts)環(huán)境來描述的，但是本領(lǐng)域技術(shù)人員可以想到，在不超出本申請的范圍的情況下，這里描述的方法和設(shè)備同樣適用于其他環(huán)境。tsim可以是“預(yù)訂應(yīng)用”的典型示例。舉個(gè)例子，如果tsim是在工作于3gumts網(wǎng)絡(luò)中的wtru上實(shí)施的，那么作為其功能的一部分，該tsim可以包括所有預(yù)訂相關(guān)功能，這其中包括umts驗(yàn)證和密鑰協(xié)商(aka)功能。tsim可以不綁定于特定硬件，例如uicc。這與只能在uicc上存在的usim形成了對比。取而代之的是，tsim可以在這里描述的可信硬件預(yù)訂模塊(thsm)上實(shí)施。本領(lǐng)域技術(shù)人員還應(yīng)該想到，在不超出本申請范圍的情況下，這里描述的thsm的功能也可被引入uicc或類似的智能卡，例如符合歐洲電信標(biāo)準(zhǔn)協(xié)會(huì)(etsi)需求的uicc或是符合全球平臺(tái)規(guī)范的智能卡。
wtru可以包括thsm和移動(dòng)設(shè)備(me)。me可以包括調(diào)制解調(diào)器、無線電設(shè)備、電源以及通常在wtru中發(fā)現(xiàn)的各種其他特征。thsm可以包括基于硬件的單獨(dú)模塊。thsm既可以嵌入wtru，也可以是獨(dú)立的。即使被嵌入wtru，thsm也可以在邏輯上與me分離。thsm可以包括一個(gè)或多個(gè)域，其中每個(gè)域均由特定的域所有者擁有，并且是為了該所有者而被操作的，由此提供了安全可信的服務(wù)和應(yīng)用。由此，舉例來說，dm的域可以表示為tddm，do的域可以表示為tddo。thsm中的域可以執(zhí)行那些可能不安全或不便于在me中執(zhí)行的安全敏感的功能和應(yīng)用。
某些域可以由一個(gè)或多個(gè)服務(wù)供應(yīng)商擁有和管理。例如：移動(dòng)網(wǎng)絡(luò)運(yùn)營商(mno)；其他通信網(wǎng)絡(luò)運(yùn)營商，例如無線局域網(wǎng)(wlan)供應(yīng)商或wimax供應(yīng)商；應(yīng)用服務(wù)供應(yīng)商，例如移動(dòng)支付、移動(dòng)票務(wù)、數(shù)字權(quán)利管理(drm)、移動(dòng)tv或是基于位置的服務(wù)的服務(wù)供應(yīng)商；或是ip多媒體核心網(wǎng)絡(luò)子系統(tǒng)(ims)服務(wù)供應(yīng)商。預(yù)訂管理可以由服務(wù)供應(yīng)商擁有的域提供支持。為了簡單起見，在下文中可以將thsm域上實(shí)施的預(yù)訂管理功能表示為tsim功能。為tsim功能提供的支持有可能隨著域而改變。例如，所支持的tsim功能可以包括類似于移動(dòng)終端上的uicc上的usim和isim功能提供的那些功能。與uicc相似，thsm可以提供除了tsim所提供的之外的其他功能、應(yīng)用和數(shù)據(jù)。
tsim可以是軟件單元或虛擬應(yīng)用。在一開始，tsim有可能沒有與特定網(wǎng)絡(luò)運(yùn)營商或公共陸地移動(dòng)網(wǎng)絡(luò)(plmn)相關(guān)聯(lián)的證書。該tsim可以參考umts蜂窩接入網(wǎng)絡(luò)的預(yù)訂證書/應(yīng)用管理。例如，tsim可以包括對于諸如umts驗(yàn)證密鑰之類的強(qiáng)秘密(ki)的管理。在m2m上下文中，tsim還可以包括m2m連接標(biāo)識(shí)管理(mcim)。
thsm可以包括核心可信根(rot)測量(crtm)單元，該單元與可以在具有可信平臺(tái)模塊(tpm)或移動(dòng)可信模塊(mtm)的計(jì)算設(shè)備中發(fā)現(xiàn)的測量可信根(rtm)相似。thsm的crtm可以測量thsm根代碼的完整性，其中舉例來說，所述測量是在thsm引導(dǎo)時(shí)間進(jìn)行的。該完整性度量可以通過擴(kuò)展操作來計(jì)算，例如通過對thsm引導(dǎo)碼、bios以及可選地對thsm的制造商特性應(yīng)用加密摘要(digest)值來計(jì)算，其中所述制造商特性可以是版本號(hào)、軟件配置或發(fā)行編號(hào)。舉個(gè)例子，完整性度量可以用某一版的安全散列算法(sha)散列算法計(jì)算，例如sha-x。
thsm可以包括核心rot(crts)存儲(chǔ)單元，該單元與在tpm或mtm中發(fā)現(xiàn)的用于存儲(chǔ)的可信根(rts)相似，并且被配置成在受保護(hù)的存儲(chǔ)器中存儲(chǔ)完整性度量。thsm還可以包括核心rot報(bào)告(crtr)單元，該單元與在tpm或mtm中發(fā)現(xiàn)的可信根(rtr)報(bào)告相似，并且被配置成向外部詢問者報(bào)告thsm的完整性量度。
因此，thsm在可信量度、存儲(chǔ)和報(bào)告方面可以有效提供類似于tpm或mtm的能力。thsm還可以包括實(shí)現(xiàn)多個(gè)可信的利益相關(guān)者(skateholder)工具(engine)的能力。更進(jìn)一步，thsm可以被配置成實(shí)現(xiàn)相應(yīng)的多利益相關(guān)者可信子系統(tǒng)。由此，thsm可以類似于tcg移動(dòng)電話工作組(mpwg)規(guī)范定義的可信移動(dòng)電話。
thsm可以被配置成構(gòu)建多個(gè)內(nèi)部的“利益相關(guān)者域”，例如，可以使用這里描述的核心rot能力來進(jìn)行構(gòu)建。利益相關(guān)者可以是thsm設(shè)備制造商(dm)、thsm設(shè)備所有者(do)或thsm設(shè)備用戶(du)。du既可以等同于do，也可以不同于do。每個(gè)thsm都可以具有一個(gè)以上的du。利益相關(guān)者還可以是由do特定出租或擁有的域的不同遠(yuǎn)端所有者(ro)。例如，諸如mno、ims服務(wù)供應(yīng)商、非3gpp接入網(wǎng)絡(luò)運(yùn)營商或增值應(yīng)用服務(wù)供應(yīng)商之類的第三代合作伙伴項(xiàng)目(3gpp)plmn運(yùn)營商都可以是利益相關(guān)者。
某些域可以是強(qiáng)制性的，在這種情況下，它們可以在制造thsm的時(shí)候被預(yù)先配置。例如，dm域可以是強(qiáng)制性的，并且其在引導(dǎo)時(shí)間可以是依照預(yù)先配置的文件而被構(gòu)建或加載的。do域也可以是強(qiáng)制性的，并且它可以被構(gòu)建成預(yù)先提供的配置?？商鎿Q地，域也可以依照下載的配置文件來構(gòu)建。
在被域的所有者“聲明(claim)”和“擁有”之前，除了dm域之外的域有可能經(jīng)歷遠(yuǎn)端獲取所有權(quán)(rto)處理。在特定的域經(jīng)過rto處理之前，用于非特定所有者的“原始”域是有可能存在的。在這種情況下，對于所述域是沒有被要求特定的所有權(quán)的。
thsm上的域可以經(jīng)由thsm-me接口與me通信和交換信息。例如，域可以在引導(dǎo)或rto處理期間與me通信。對經(jīng)由thsm-me接口交換的數(shù)據(jù)來說，它們有可能需要保護(hù)。
對經(jīng)由thsm-me接口的進(jìn)行所有通信來說，這些通信的完整性都是需要保護(hù)的。例如，完整性保護(hù)可以使用密鑰，比如預(yù)先提供的臨時(shí)密鑰或是通過使用驗(yàn)證密鑰交換機(jī)制交換的密鑰。這些密鑰既可以是對稱的，例如ktemp_1，也可以是非對稱的，例如thsm為了完整性而使用的公鑰或私鑰的kpub/priv_thsm_temp_i，或是me為了完整性而使用的公鑰或私鑰的kpub/priv_me_temp_i。臨時(shí)密鑰可以用于保護(hù)接口。例如，臨時(shí)密鑰可以與有效周期關(guān)聯(lián)，或者可以被使用一次或預(yù)定次數(shù)。
對于經(jīng)由thsm-me接口進(jìn)行的通信來說，其保密性同樣可以用加密裝置提供。可以使用預(yù)先提供的一個(gè)或多個(gè)臨時(shí)密鑰，并且這些密鑰是用驗(yàn)證密鑰交換機(jī)制交換的。加密密鑰既可以是對稱的，例如用于加密的ktemp_c，也可以是非對稱的，例如thsm為了加密而使用的公鑰或私鑰的kpub/priv_thsm_temp_c，以及me為了加密而使用的公鑰或私鑰的kpub/priv_me_temp_c。為了簡單起見，這里描述的rto方法和設(shè)備涉及的是使用預(yù)先提供的對稱臨時(shí)密鑰。但是，本領(lǐng)域技術(shù)人員應(yīng)該想到，在不超出本申請的范圍的情況下，其他的密鑰實(shí)施方式也是可以使用的。
對于在thsm-me與ro之間明文傳遞的消息來說，可以提供防護(hù)來對抗針對這些消息的重放攻擊。經(jīng)由thsm-me接口發(fā)送的每個(gè)消息都有可能擁有一個(gè)臨時(shí)使用的保鮮質(zhì)量。為了簡單起見，這里描述的rto協(xié)議可以包括為經(jīng)由me-thsm接口交換的所有消息實(shí)施的防重放保護(hù)；但是本領(lǐng)域技術(shù)人員應(yīng)該想到，在不超出本申請的范圍的情況下，其他接口保護(hù)配置也是可以使用的。
簽名可以應(yīng)用于散列。例如，散列可以通過sha-x算法產(chǎn)生。可信的第三方可以使用證書(certtsim)來證實(shí)與thsm相關(guān)聯(lián)的私鑰-公鑰對，例如ktsim-priv和ktsim-pub?？尚诺谌竭€可以使用證書(certro)來證實(shí)與網(wǎng)絡(luò)關(guān)聯(lián)的另一組密鑰，例如kro-priv和kro-pub。這些證書可以保存在為被考慮的域分配的受保護(hù)存儲(chǔ)器中。
公鑰kro-pub可以供thsm平臺(tái)、尤其是tsim用以檢驗(yàn)?zāi)切﹣碜詒o的簽名、或者是用以加密那些發(fā)送給ro的消息。私鑰kro-priv可以被網(wǎng)絡(luò)用于簽名目的，并且可以用于對tsim使用相應(yīng)公鑰加密的消息進(jìn)行解密。公鑰-私鑰對ktsim-pub和ktsim-priv可以包括類似的功能，只不過tsim和ro的角色發(fā)生了交換?？商鎿Q地，在ro和tsim上可以具有用于加密和簽名的獨(dú)立密鑰對。
密鑰對kro-priv和kro-pub以及ktsim-priv和ktsim-pub可以取決于所有者、用戶或是這二者選擇的特定網(wǎng)絡(luò)服務(wù)。諸如ro之類的每個(gè)服務(wù)供應(yīng)商自身都具有為與該供應(yīng)商關(guān)聯(lián)的thsm上的每一個(gè)域認(rèn)證的公鑰-私鑰對。所選擇的服務(wù)可以確定使用哪一個(gè)密鑰對集合。例如，公鑰-私鑰對集合可以由選定的服務(wù)供應(yīng)商以及thsm上的相關(guān)聯(lián)域確定?？梢圆粫?huì)對所使用的密鑰進(jìn)行協(xié)商。公鑰或私鑰對可以由服務(wù)供應(yīng)商確定，并且可以與thsm子系統(tǒng)或域緊密關(guān)聯(lián)。
thsmtddo可以配置“系統(tǒng)級(jí)域管理器”(sdm)。該sdm可以保護(hù)性地存儲(chǔ)包含“系統(tǒng)級(jí)域策略”(sdp)的預(yù)配置文件。sdm可以根據(jù)sdp來為thsm構(gòu)建或加載ro的域。該sdm可以包含在do的域的原始配置中。sdm可以使用預(yù)先配置的sdp來確定應(yīng)該構(gòu)建哪些其他域以及以怎樣的順序構(gòu)建。
作為ro域的代表，在被ro域請求的時(shí)候，sdm可以預(yù)備并提供thsm平臺(tái)環(huán)境概要(tpes)以及thsm平臺(tái)完整性證明(tpia)。tpes可以描述關(guān)于thsm的最新“環(huán)境”的概要信息。該信息可以包括在保密性和隔離性方面以相應(yīng)域策略為條件或得到其許可的thsm上的域的數(shù)量和概要特征、以及可以用于通信并與發(fā)起請求的域共享功能或資源的thsm上的任何剩余資源。tpia可以包括關(guān)于thsm的一個(gè)或多個(gè)域的完整性證明的集合。tpia還可以包括用于支持所述域的平臺(tái)的完整性證明。tpia可以用于向外部檢驗(yàn)者證明所關(guān)注的域以及支持這些域的平臺(tái)的可信狀態(tài)，其中該外部檢驗(yàn)者可以是例如有興趣為thsm上的原始域執(zhí)行rto處理的ro。ro或ro域(tdro)可以向sdm請求tpia。sdm可以依照sdp來滿足或拒絕該請求。
sdm還可以與thsm的實(shí)際存在的設(shè)備所有者交互，例如與服務(wù)人員交互，以便交互識(shí)別應(yīng)該構(gòu)建的其他域和構(gòu)建順序。此外，sdm還可以請求用戶域與thsm的實(shí)際存在的用戶交互，以便為待構(gòu)建的域提供輸入和構(gòu)建順序。在構(gòu)建域的過程中，該信息可以用作輸入。
在為ro域執(zhí)行rto處理時(shí)，thsm可以被配置成在遠(yuǎn)端獲取所有權(quán)協(xié)議結(jié)束之前實(shí)現(xiàn)四種不同的系統(tǒng)狀態(tài)。thsmpre_boot系統(tǒng)狀態(tài)可以指示：thsm尚未“通電”。thsm_tddm_load_complete系統(tǒng)狀態(tài)可以指示：作為thsm通電后的第一個(gè)步驟，thsm上的dm域已被構(gòu)建或加載。thsm_tddo_load_complete系統(tǒng)狀態(tài)可以指示：將do域(tddo)構(gòu)建或加載至最終可用配置。如果do域本身從未經(jīng)過rto處理，那么該“最終可用配置”可以是“原始”配置，或者也可以是“后rto”配置。dm域可以構(gòu)建或加載do域。在do域經(jīng)過至少一個(gè)rto處理之前，do域有可能處于“原始”狀態(tài)，并且可以未被任何特定do聲明或擁有。該“原始”域可以包括“外層”(shell)。在首次構(gòu)建或加載do域時(shí)，“最終可用配置”(在這里和以后將被稱為最終配置)來自預(yù)先配置的文件?？商鎿Q地，如果“最終配置”是從ro的域的rto處理產(chǎn)生的，那么thsm上的特定域至少會(huì)有一次通過遠(yuǎn)端獲取所有權(quán)協(xié)議，并且遠(yuǎn)端所有者可以得到tssro的所有權(quán)。而這可以指示在遠(yuǎn)端獲取所有權(quán)的處理結(jié)束時(shí)在平臺(tái)上已經(jīng)配置的可信子系統(tǒng)。在達(dá)到該狀態(tài)時(shí)或者在該狀態(tài)之前，特定ro可以開始執(zhí)行其他任務(wù)。
thsm_tdro_load_complete系統(tǒng)狀態(tài)可以指示已經(jīng)將ro域(tdro)構(gòu)建或加載至最終可用配置。如果ro域本身從未經(jīng)過rto處理，那么該“最終可用配置”可以是“原始”配置，或者也可以是“后rto”配置。dm域可以構(gòu)建或加載ro域。在do域通過至少一個(gè)rto處理之前，do域有可能處于“原始”狀態(tài)，并且可以未被任何特定do聲明或擁有。該“原始”域可以包括“外層”。在首次構(gòu)建或加載ro的to時(shí)，“最終可用配置”來自預(yù)先配置的文件。
可替換地，如果最終配置是從rotd的rto處理產(chǎn)生的，那么thsm上的特定td至少會(huì)有一次通過rto協(xié)議，并且rto將會(huì)獲取tdro的所有權(quán)。而這指示的是在rto結(jié)束時(shí)已經(jīng)在平臺(tái)上配置的可信子系統(tǒng)。在達(dá)到該狀態(tài)時(shí)，特定ro可以開始執(zhí)行其他任務(wù)。如果ro的td(tdro)是mno的td，那么到這個(gè)階段，mno的td可以提供在該tdro上實(shí)現(xiàn)的最終可信用戶標(biāo)識(shí)管理(tsim)功能。
可替換地，系統(tǒng)級(jí)域管理器(sdm)可以在dm的td中實(shí)現(xiàn)而不是在do的td中實(shí)現(xiàn)。在向dm的td提供了恰當(dāng)?shù)氖跈?quán)數(shù)據(jù)之后，do可以使用dm的td提供的sdm來執(zhí)行創(chuàng)建、加載以及以其他方式管理thsm上的各種遠(yuǎn)端所有者td的任務(wù)。在本示例中，thsm系統(tǒng)引導(dǎo)序列以及rto處理序列的細(xì)節(jié)有可能不同于這里描述的內(nèi)容，但是仍處于本申請的范圍以內(nèi)。本示例的引導(dǎo)和rto處理以及關(guān)于do或do的td可以如何使用dm的td提供的sdm的描述有可能與這里描述的內(nèi)容相似，例如，所述描述有可能涉及哪些類型的授權(quán)數(shù)據(jù)可被提供(以及如何可以提供該數(shù)據(jù))。舉個(gè)例子，作為智能卡嵌入的thsm可以包括卡管理器，其具有用于支持諸如全球平臺(tái)這類標(biāo)準(zhǔn)規(guī)定的卡管理器功能的功能，其中所述卡管理器負(fù)責(zé)代表卡發(fā)行者來管理卡上的安全域?？òl(fā)行者可以類似于dm，并且卡管理器可以包括sdm的某些功能。因此，卡管理器可以類似于dm的域中保持的sdm。
在第一實(shí)施方式中，me可以被配置成提供安全引導(dǎo)能力，并且thsm可以被配置成提供全部mtm能力。在通電時(shí)，me可以執(zhí)行安全引導(dǎo)。例如，me可以執(zhí)行一個(gè)非-tcg“安全”引導(dǎo)，其中舉例來說，所述引導(dǎo)可以依據(jù)開放移動(dòng)終端平臺(tái)(omtp)可信運(yùn)行環(huán)境tr0規(guī)范進(jìn)行。例如在引導(dǎo)時(shí)，thsm可以首先通過啟動(dòng)處理來構(gòu)建thsmdm的域(tddm)，然后則構(gòu)建“原始”thsmdo的域(tddo)。如果do和du是獨(dú)立的，那么thsm還可以構(gòu)建thsmdu的域。
在一開始，thsmtddm可以用在thsm中受到保護(hù)，并在引導(dǎo)時(shí)提供的預(yù)先配置的文件構(gòu)建。thsmtddo可以大部分使用預(yù)先配置的文件構(gòu)建，但是也可以用rto處理構(gòu)建。thsmtddo可以通過rto協(xié)議。該協(xié)議可以采取與用于ro域(tdro)的rto協(xié)議相同的形式，或者它也可以是不同的協(xié)議。如果thsmtedo沒有通過rto協(xié)議，則可以預(yù)先配置并且預(yù)先提供獲取所有權(quán)需要的證書。thsmtedo可以被do擁有。do既可以是實(shí)際的人類用戶或所有者，也可以是諸如企業(yè)或是其信息技術(shù)(it)部門之類的組織，還可以是遠(yuǎn)端網(wǎng)絡(luò)運(yùn)營商(no)。
thsmtdu可以使用在thsmtedo中預(yù)先供應(yīng)的預(yù)配置文件構(gòu)建。依照thsm的do的系統(tǒng)級(jí)域策略(sdp)，thsm的ro域可以首先被構(gòu)造成“原始”配置，thsm的ro域可以使用ro來通過rto處理。do的域的sdm可以依照sdp來管理ro域的rto處理。如果thsmro是mno，并且由此ro域是mno的域，那么該mno的域同樣可以通過定義了下列各項(xiàng)的協(xié)議：i)可以如何將mno的域注冊到mno；ii)可以如何將預(yù)訂證書(例如usim或mcim秘密密鑰ki和國際移動(dòng)用戶標(biāo)識(shí)(imsi)等等)從mno的移動(dòng)網(wǎng)絡(luò)復(fù)制(roll-off)到thsm上的mno域并且隨后在那里提供該證書；以及iii)可以如何在下載預(yù)訂證書的時(shí)候?qū)⑻幚砘蚴褂迷撟C書的功能甚至提供預(yù)訂管理功能的域從一個(gè)設(shè)備遷移到另一個(gè)設(shè)備。這些協(xié)議分別可以被稱為i)注冊協(xié)議；ii)證書復(fù)制協(xié)議；以及3)遷移協(xié)議。在完成了rto之后，thsm的ro域可以向ro證實(shí)和報(bào)告其自身配置。
在第一實(shí)施方式中，me能夠執(zhí)行的唯一可信構(gòu)建機(jī)制是執(zhí)行通電時(shí)的安全引導(dǎo)處理，其中me配置未必能被me或thsm進(jìn)一步證明?？商鎿Q地，me可以執(zhí)行自我完整性檢查，并在其完成安全引導(dǎo)時(shí)產(chǎn)生一個(gè)完整值(iv)。me可以使用空中下載(ota)方法并且依照諸如umts安全模式特征之類的安全模式特征來安裝軟件，例如用于置信度和完整性保護(hù)的工具。作為選擇，當(dāng)使用ro并借助rto處理來獲取ro的域的所有權(quán)的時(shí)候，ro可以下載或者以其他方式引入并且隨后聲明其自身在其可接受的thsm條件方面的策略，以便允許完成rto處理。ro可以被配置成在ro同意整個(gè)thsm的條件、thsm其他域的構(gòu)建結(jié)構(gòu)條件、或是所有這二者時(shí)為將其自身安裝在thsm平臺(tái)上的處理“把關(guān)”(gate-keep)。由此，作為rto處理的一部分，ro可以與do域的sdm交換一些信息，以便識(shí)別do的狀況或“域構(gòu)建計(jì)劃”，并且只在ro可接受這些狀況的時(shí)候才允許結(jié)束rto處理。ro域還具有權(quán)利并且可以被配置成通過執(zhí)行功能來實(shí)施這些權(quán)利，以便在同意將完成了rto處理的ro域初始構(gòu)建于thsm之后，以允許使用thsm的狀況或域構(gòu)建計(jì)劃中的任何變化來對所述ro域進(jìn)行更新或者為其通告這些變化。特定于ro域的策略(dp)可以規(guī)定那些可能需要向ro域通告的變化的類型。
sdm可以為與預(yù)定ro關(guān)聯(lián)的ro域發(fā)起rto處理。這種處理可以在ro域處于“原始”的“未被要求”(claim)的狀態(tài)的時(shí)候進(jìn)行。例如，ro域可以由do域和do命名為“域x(tdx)”。所述域可以在一個(gè)尚未被要求的外層或是“原始”狀況中創(chuàng)建。在這種情況下，sdm可以發(fā)起rto處理，由此它會(huì)與代表域tdx的預(yù)定ro取得聯(lián)系。一旦ro通過了用于該域的rto處理，那么sdm可以不再為這個(gè)域發(fā)起另一個(gè)rto處理。取而代之的是，rto自身可以在這個(gè)域上發(fā)起另一種所有權(quán)獲取處理。這種所有權(quán)獲取處理可以不同于迄今為止規(guī)定的rto處理，其不同之處在于前者可以由遠(yuǎn)端所有者遠(yuǎn)程發(fā)起，而不是由設(shè)備所用者/用戶或是設(shè)備本身(有可能在sdm或do域的協(xié)調(diào)下)在本地發(fā)起。即使在ro域已經(jīng)通過了rto處理并且由此被恰當(dāng)?shù)膔o“要求”或“擁有”之后，do也可以保持刪除、銷毀任何ro域或斷開與任何ro域的連接的權(quán)力。但是，do通常未必能夠知道存儲(chǔ)在ro域內(nèi)部的秘密，或是在ro域內(nèi)部執(zhí)行的臨時(shí)計(jì)算或功能。
在sdm發(fā)起用于原始ro域的rto處理之前，它可以查找用于域構(gòu)建處理的可用資源列表。該列表可以由dm域保持。此外，sdm還可以查找“期望域”列表。該期望域列表可以保持在do域tddo中。sdm還可以查找“期望域”列表。該期望域列表可以保持在do域tddo中。sdm還可以查閱系統(tǒng)域策略(sdp)以及可以用于來自dm域的查詢的thsm和平臺(tái)的已有域的當(dāng)前狀態(tài)，這其中包括可信狀態(tài)。該信息可以用于確定用于特定ro域的期望rto處理依據(jù)可用資源和策略是否可行、依據(jù)期望域列表是否是期望的、以及依據(jù)thsm已有域的狀態(tài)是否被允許，其中所述狀態(tài)可以是例如可信狀態(tài)。
可替換地，遠(yuǎn)端所有者域(tdro)可以自己啟動(dòng)和管理rto處理。在rto處理之前，tdro有可能未被要求并處于“原始”狀況。該“原始”ro域tdro可以包括預(yù)先配置的功能，其中該功能允許其在啟動(dòng)時(shí)與它的預(yù)定ro取得聯(lián)系，并且自主啟動(dòng)rto處理。作為選擇，rto處理可以在tdro向thsm的所有者或用戶發(fā)出提示并且隨后從thsm的所有者或用戶那里得到了發(fā)起rto處理的“點(diǎn)頭表示”之后啟動(dòng)。在下文中可以將已被創(chuàng)建并且將要為(目標(biāo))遠(yuǎn)端所有者ro_target擁有但卻尚未經(jīng)由rto處理而被擁有并仍舊處于“原始”狀態(tài)的域td稱為tdro_target*。
在另一個(gè)可替換方案中，tdro有可能通過了結(jié)合特定ro的至少一個(gè)rto處理，并且當(dāng)前可以被ro“要求”或“擁有”。對于do或是其在thsm上的代理、例如域tdro來說，其是否允許為同一ro域啟動(dòng)另一個(gè)rto處理可以取決于ro的策略和/或sdm的策略。sdm可以檢查rto的目的，并且可以根據(jù)可允許的目的或是其策略結(jié)構(gòu)內(nèi)部的活動(dòng)來確定是否允許繼續(xù)這個(gè)新的rto。經(jīng)由遠(yuǎn)程信令，ro或是ro域(tdro)可以為具有相同ro的域發(fā)起另一個(gè)rto處理。這種處理可以當(dāng)ro需要更新配置文件、安全策略或是可執(zhí)行代碼的時(shí)候在tdro中進(jìn)行。ro可以下載更新。更新可以通過非rto、空中下載(ota)更新處理來進(jìn)行。但在某些情況中，ro或tdro可以使用另一個(gè)rto處理來更新一些文件或代碼。
當(dāng)“原始”tdro發(fā)起自己的rto處理時(shí)，它有可能需要依靠sdm來查找用于域構(gòu)建的可用資源的列表，所述列表則可以由dm域保持。tdro還可以依靠sdm來查找保持在do域中的“期望域”列表、系統(tǒng)域策略(sdp)以及可用于來自dm域的查詢的thsm的已有域的當(dāng)前狀態(tài)，這其中包括可信狀態(tài)。該信息可以用于確定用于特定ro域的預(yù)期rto處理依據(jù)可用資源和策略是否可行、依據(jù)期望域列表是否是期望的、以及依據(jù)thsm已有域的狀態(tài)是否被允許。
sdm策略可以在用于do的所有權(quán)獲取(to)處理過程中被配置。該配置可以借助預(yù)先存在的配置結(jié)構(gòu)而在本地進(jìn)行，其中該結(jié)構(gòu)是在引導(dǎo)處理過程中實(shí)施的。do的to還可以在遠(yuǎn)端進(jìn)行；如這里規(guī)定的那樣，該處理可以類似于將要與并非設(shè)備所有者域的域的所有權(quán)獲取處理結(jié)合使用的rto處理(除了對用于do域的to處理來說，用于阻止或允許rto的sdm檢查可以不被調(diào)用之外)，這與用于非設(shè)備所有者的遠(yuǎn)端所有者的rto處理的情況不同。sdp可以在do的所有權(quán)獲取處理期間建立，其中該處理既可以在本地執(zhí)行(do實(shí)際存在并與設(shè)備交互)，也可以采用一種包含了與位于遠(yuǎn)端的設(shè)備所有者遠(yuǎn)程交互的方式執(zhí)行。該列表還可以包括規(guī)定了不允許獲取域所有權(quán)的遠(yuǎn)端所有者的附加項(xiàng)。
在第二實(shí)施方式中，me可以具有安全引導(dǎo)能力，并且可以依靠thsm來執(zhí)行一些對其某些引導(dǎo)碼執(zhí)行“安全引導(dǎo)”檢查。此外，me還可以執(zhí)行非tcg安全引導(dǎo)，例如omtptr0安全引導(dǎo)。thsm可用于檢查me的完整性，以便“使用”為thsm提供的物理保護(hù)。例如，me可以向thsm發(fā)送原始數(shù)據(jù)，thsm則可以檢查me的完整性。wtru可以實(shí)施一種在me與thsm以及me的“較值得信任的”部分之間提供安全信道的機(jī)制，其中所述部分至少被信任能夠以安全方式向thsm發(fā)送代碼或數(shù)據(jù)，并且安全地與thsm通信，例如經(jīng)由安全信道，以使得thsm能為me執(zhí)行完整性檢查。thsm還可以在其內(nèi)部存儲(chǔ)代表了me的某些me代碼。這些代碼可以在引導(dǎo)處理過程中載入me。thsm還可以起到對me的完整性進(jìn)行檢查的作用，或者起到存儲(chǔ)和加載me的某些代碼的作用，這是因?yàn)樵趖hsm自身與me之間，由于thsm具有基于硬件的保護(hù)機(jī)制，因此該thsm可以是更為可信的環(huán)境。在第三實(shí)施方式中，thsm可以為me代碼執(zhí)行安全引導(dǎo)或完整性檢查中的某些處理。該處理能夠?yàn)閞o證實(shí)。me可以包括單個(gè)可信實(shí)體；移動(dòng)可信環(huán)境(mte)。mte可以是me內(nèi)部的邏輯獨(dú)立的環(huán)境，并且其比me的剩余部分更可信。mte可以使用某些基于硬件的保護(hù)機(jī)制，例如基于硬件的可信根(rot)。在加載了me的基本代碼之后，這時(shí)可以加載mte。從可以向外部檢驗(yàn)器提供信任證明、例如使用可信簽名密鑰的意義上講，mte可以是可信實(shí)體。雖然mte是可信實(shí)體，但其未必?fù)碛杏糜跍y量的核心可信根，其中該核心可信根是與實(shí)際tpm相關(guān)聯(lián)的測量程序代碼。至于me，作為已通電設(shè)備，它提供了一個(gè)可供thsm操作的平臺(tái)，在這里可以將me稱為me平臺(tái)。mte可以被配置成收集me平臺(tái)的完整性證據(jù)，并且至少在使用mte內(nèi)部受到保護(hù)的簽名密鑰所提供的完整性保護(hù)下將證據(jù)轉(zhuǎn)發(fā)至thsm內(nèi)部的可信實(shí)體，例如后引導(dǎo)sdm。由于thsm實(shí)施了tcgtpm或是類似于mtm的完整性測量和檢驗(yàn)功能，因此，thsm還可以實(shí)現(xiàn)tchtpm或mtm能力，從而執(zhí)行“擴(kuò)展”操作，由此，當(dāng)前軟件的量度會(huì)與用于指示軟件加載歷史狀態(tài)的平臺(tái)配置寄存器(pcr)的當(dāng)前值組合，從而計(jì)算新的pcr值。thsm還可以通過實(shí)施一種機(jī)制來將摘要值(該摘要值可以是軟件組件完整性的原始測量值)或pcr值轉(zhuǎn)換成另一個(gè)可用于向thsm證明me平臺(tái)的可信度的完整性數(shù)據(jù)。為了簡單起見，在下文中可以將所收集的me平臺(tái)完整性數(shù)據(jù)表示為me平臺(tái)完整性數(shù)據(jù)(mpid)。thsm可能沒有保持用于me或mte的域。thsm有可能可以從預(yù)先配置的文件或是通過與dm實(shí)時(shí)聯(lián)系來獲取經(jīng)過認(rèn)證的度量，并且它會(huì)對照該度量來檢查計(jì)算得到的摘要。如果確定匹配，那么隨后可以證實(shí)該me。mte還能夠收集用于描述me“環(huán)境”的數(shù)據(jù)，例如模型數(shù)量、期望執(zhí)行哪種服務(wù)以及為誰執(zhí)行服務(wù)。為了簡單起見，在下文中可以將這種關(guān)于me的環(huán)境描述表示成me平臺(tái)環(huán)境調(diào)查(mpes)。thsmdo的ro可以證明自己的域以及me平臺(tái)的完整性。該證明可以類似于m2m情況中的可信環(huán)境(tre)的m2me檢驗(yàn)功能，并且在pct專利申請wo2009/092115(pct/us2009/031603)中規(guī)定了所述功能。me可以自己或者在thsm請求的時(shí)候持續(xù)向thsm報(bào)告其變化的狀態(tài)。
在第四實(shí)施方式中，me和thsm都可以被配置成執(zhí)行完整的mtm功能。me或是其域的可信度既可以由me證實(shí)，也可以由這些域直接證實(shí)。me的ro域可以持續(xù)或者依據(jù)請求來向ro報(bào)告其狀態(tài)。thsm的ro域也可以具有類似的功能。由me的ro域和thsm的ro域做出的報(bào)告可以同步，并且還可以相互綁定。此外，這些報(bào)告也可以使用協(xié)議流的公共會(huì)話來產(chǎn)生。
在本實(shí)施方式中，me可以被配置成執(zhí)行這里描述的thsm的若干功能。me可以包括其自身的一個(gè)或多個(gè)域，其中每一個(gè)都針對的是特定的所有者。這些域可以包括依照thsm的可信實(shí)體的屬性。此類域可以包括設(shè)備制造商(dm)域和用戶(u)域。這些域可以通過一種類似于thsm的方式而被預(yù)先配置。為了區(qū)分me上的域與thsm上的域，在用于表示所述域自身的字母上可以加上字母me作為下標(biāo)。因此，用于dm的域可以表示為medm。thsm上的設(shè)備所有者(do)域可以監(jiān)視me側(cè)的域，以便確保與sdm中的系統(tǒng)級(jí)域策略(sdp)相一致。通過創(chuàng)建me中的每一個(gè)域，可以通過與sdm通信來使thsmdo知道每一個(gè)新的域的配置。
me可以包括稱為平臺(tái)域管理器(mepdm)的域管理器，該管理器可以采用類似于thsm中的sdm的方式工作。mepdm可以駐留在medm中，并且在一開始可以具有dm定義的預(yù)先配置。這種初始配置在其目的和功能上有可能類似于thsm上的tddm的初始預(yù)配置定義的配置。而medm的設(shè)置則可以被定時(shí)為在thsm中示例的tddo之后發(fā)生。當(dāng)sdm得知用于medm的設(shè)置完成時(shí)，它可以根據(jù)系統(tǒng)級(jí)限制來實(shí)施源于sdp或是由sdp反映的策略限制。sdm可以保持thsm上的多個(gè)遠(yuǎn)端所有者及其域的列表。如果要在me上創(chuàng)建和管理屬于列表中的一個(gè)所有者的域，那么sdm可以對在me上創(chuàng)建和管理這些域的處理進(jìn)行某種控制。
在本實(shí)施方式中，me可以具有完整的mtm功能。由此，它可以包括用于測量的核心可信根(crtm)、用于報(bào)告的核心可信根(crtr)、以及用于存儲(chǔ)的核心可信根(crts)。在thsm上，域預(yù)訂功能可以由tsim功能來管理。如果有兩個(gè)域(例如thsm上的一個(gè)域和me上的另一個(gè)域)是用于同一ro的，那么thsm上的域可以用于那些用于ro且需要很高等級(jí)的安全和/或信任的功能或服務(wù)，例如預(yù)訂功能及其用于遠(yuǎn)端所有者的管理，而me上的域則可以用于那些用于同一ro且仍舊需要一定等級(jí)的安全或信任的功能或服務(wù)，但是所述等級(jí)的安全或信任并未達(dá)到預(yù)計(jì)來自thsm上的域的功能和服務(wù)所需要的安全或信任等級(jí)。不從預(yù)先配置的文件構(gòu)建的域可以通過遠(yuǎn)端所有權(quán)獲取(rto)處理來配置。用于me和用于典型遠(yuǎn)端所有者(ro)的rto可以與用于thsm的rto相類似。
me上的域可以不是預(yù)定用于遠(yuǎn)端所有者的預(yù)訂管理的。取而代之的是，它們有可能為了用戶、所有者、遠(yuǎn)端所有者及其任何組合的利益而被預(yù)定用于執(zhí)行計(jì)算和資源密集的任務(wù)。例如，這些域可以執(zhí)行無法由thsm上的相對有限的資源實(shí)現(xiàn)的任務(wù)。與一旦創(chuàng)建就處于me內(nèi)部、直至被顯式地刪除不同，與虛擬化相似，me上的域可以在引導(dǎo)甚至運(yùn)行時(shí)的會(huì)話中創(chuàng)建，并且可以基于臨時(shí)的會(huì)話而被用于其特定目的，從這個(gè)意義上講，這些域還可以是更為“短暫”或“暫時(shí)”的。在請求和獲取已被證實(shí)的資源分配調(diào)查以及其他遠(yuǎn)端所有者擁有的me上的其他域或是thsm上的其他這樣的域的分配目的的方面，me上的域的遠(yuǎn)端所有者未必具有相同等級(jí)的權(quán)限。
如果能為移動(dòng)可信平臺(tái)的設(shè)備所有者提供一種方法來購買沒有被特定plmn預(yù)先分配和初始化的“空白”(blank)wtru，從而允許在沒有限制的情況下任意選擇移動(dòng)網(wǎng)絡(luò)運(yùn)營商，那么將會(huì)是非常有利的，其中所述特定plmn也被稱為mno遠(yuǎn)端所有者。該方法可以包括對諸如umts設(shè)備(ue)之類的wtru執(zhí)行所有權(quán)獲取處理，例如rto處理，其中遠(yuǎn)端所有者是plmn運(yùn)營商或是意欲與之預(yù)訂應(yīng)用的其他類似運(yùn)營商，以及設(shè)置、定制和結(jié)束諸如ro域之類的子系統(tǒng)，其中所述ro域是處于thsm內(nèi)部并且可以被正確ro要求的域。
如前所述，可信硬件預(yù)訂標(biāo)識(shí)(thsm)既可以作為防篡改硬件組件模塊來構(gòu)建，也可以在其內(nèi)部包含防篡改組件模塊，其中該模塊包含了用于plmn運(yùn)營商的預(yù)訂應(yīng)用以及其他增值服務(wù)的功能，例如用于ims預(yù)訂標(biāo)識(shí)模塊(isim)的功能。thsm既可以是能夠從wtru上移除的，也可以是不能從wtru上移除的。uicc的增強(qiáng)型版本或是兼容全球平臺(tái)標(biāo)準(zhǔn)的智能卡可以是這種thsm的一個(gè)實(shí)施方式。
所有權(quán)獲取操作在運(yùn)營商或plmn與wtru之間建立了基本的“信任”關(guān)系。該過程可以包括安裝和示例“空白的可信”tsim，其中該tsim包含了具有普通“可信”軟件配置的“原始”工具。如果該平臺(tái)能夠提供其“原始”配置的和安全屬性，那么該子系統(tǒng)可以由遠(yuǎn)端所有者認(rèn)證。圖3和3a示出了該處理的一個(gè)示例，該示例特別關(guān)聯(lián)于這里描述的第一實(shí)施方式。遠(yuǎn)端所有者可以是為用戶提供被請求的服務(wù)、設(shè)置恰當(dāng)?shù)陌踩呗砸约皩?shí)施與服務(wù)相符的設(shè)備配置的移動(dòng)網(wǎng)絡(luò)。該協(xié)議的所有者可以處于本地。
圖3和3a示出了例示的引導(dǎo)和rto處理。me可以具有引導(dǎo)前狀態(tài)304。在306，設(shè)備可以通電。在308，me可以執(zhí)行“安全”引導(dǎo)(非tcg)。me可以達(dá)到基本碼已引導(dǎo)狀態(tài)310。更進(jìn)一步，在312，me可以向thsm發(fā)送“基本引導(dǎo)完成”信號(hào)。在314，me可以依照基本配置來加載附加軟件。在316，me引導(dǎo)可以完成(加載了應(yīng)用)。在318，me可以向thsm發(fā)送引導(dǎo)完成消息。
thsm可以處于引導(dǎo)前狀態(tài)330。在334，thsm可以加載tedm。該thsm可以在配置過程中接收預(yù)先配置的文件，例如，336示出了使用預(yù)先配置的文件的處理。在338，thsm可以達(dá)到“tddm已構(gòu)建”狀態(tài)(基本配置狀態(tài))。如340所示，thsm可以接收可用于ro域的資源上的dm規(guī)范。
在342，tddm可以構(gòu)建tddo(tddo可以包括sdm)。在344，舉例來說，thsm可以使用已保存的配置文件，例如從而構(gòu)建域(有可能因?yàn)橄惹暗膔to而可供使用)。在346，thsm可以達(dá)到tddo已構(gòu)建狀態(tài)(包括sdm)，其中tddo既有可能沒有被do要求，也有可能已被do要求。在350，tddo可以構(gòu)建tdu。在352，從do可以接收輸入。在354，thsm可以達(dá)到tdu已構(gòu)建狀態(tài)，其中tdu既有可能未被要求，也有可能已被要求。在356，thsm可以接收來自do或du的輸入(例如通過文件或交互來規(guī)定do可能希望構(gòu)建哪些域)。在358，tddo可以構(gòu)建ro域tdro。
現(xiàn)在參考圖3a，在362，thsm可以達(dá)到已經(jīng)構(gòu)建了tdro的狀態(tài)，其中tdro既有可能未被ro要求，也有可能已被ro要求。在366，sdm可以請求tdro執(zhí)行rto，或者tdro可以通知(或請求)sdm該tdro將要執(zhí)行rto。在370，tdro可以啟動(dòng)rto處理。在380，這時(shí)存在典型的遠(yuǎn)端所有者(ro1…ron)。在384，這時(shí)可以交換信息。例如，作為結(jié)合遠(yuǎn)端所有者的rto處理的一部分，所交換的信息可以包括下列各項(xiàng)中的一項(xiàng)或多項(xiàng)：證明、配置、策略、目的、證書(在這里被稱為cert)、密鑰和涉及tdro的sp。作為選擇，ro可以在rto處理過程中找出do的“環(huán)境”或“域規(guī)劃”，并且可以在其同意所述環(huán)境/規(guī)劃的情況下允許該處理繼續(xù)進(jìn)行。
在372，thsm可以獲取/更新不同的域的系統(tǒng)配置，保存信息，以及將信息存入thsm中的非易失受保護(hù)存儲(chǔ)器。在374，thsm可以達(dá)到具有后rtotdro的狀態(tài)。
參考第一實(shí)施方式，由do的rto形成的策略域可以包括影響了后續(xù)rto處理的域配置的規(guī)定。該rto協(xié)議有可能適合非doro。特定于域的策略(dp)可以在rto事務(wù)處理期間被下載。用于do的dp可以不同于用于ro的dp，并且其不同之處在于這種dp(dpdo)可以包括預(yù)定用于構(gòu)建和保持thsm可以被遠(yuǎn)程擁有的其他域的系統(tǒng)級(jí)域策略(sdp)。在rto處理之前或者在rto處理過程中，域的ro可以從可信的第三方(ttp)那里獲取參考完整性度量(rimro)，其中所述參考完整性度量針對的是支持所有thsm域中的所有域或是其子集的硬件或軟件的配置和當(dāng)前完整性狀態(tài)，而所述域的ro則可以被表述成：
ttp→ro:rimro＝{支持thsm的域的hw/sw的配置和狀態(tài)，和/或摘要值}等式1
在一些情況中，ttp有可能能夠?qū)imro提供給thsm的hw和sw的一個(gè)子集，這其中包含了ro有興趣進(jìn)行檢驗(yàn)的域。提供rimro有可能需要一個(gè)以上的ttp，其中ro收集所述rimro并且形成一個(gè)集合參考度量。在thsm的sdm的幫助下，經(jīng)歷rto處理的thsm的目標(biāo)域(tdro_target)可以被配置成為其ro提供已簽名thsm平臺(tái)完整性證明(tpia)。該tpia可以是thsm上的域的單個(gè)完整性證明和/或目標(biāo)域的ro在允許結(jié)束結(jié)合了tdro_target的rto處理之前有興趣進(jìn)行檢驗(yàn)的設(shè)備平臺(tái)完整性證明的級(jí)聯(lián)。在thsm的sdm的幫助下，thsm的目標(biāo)域(tdro_target)能夠?yàn)槠鋜o提供已簽名tgsm平臺(tái)環(huán)境概要(tpes)。tpes可以包括thsm環(huán)境的概要，這其中包括thsm上的其他域的數(shù)量和特征以及可用于tero_target的任何剩余可用資源，例如thsm平臺(tái)的資源，并且這些資源可以表述為：
tdro_target→ro:[tpia]signed||[tpes]signed等式2
可替換地，與向ro報(bào)告可能包含了所有域上的所有證明的tpia不同，sdm可以提供關(guān)于其已經(jīng)檢查過所有這些域的完整性并且將這些域視為可信的已簽名聲明，其中該聲明可以是半自主聲明。這個(gè)證明可以包括關(guān)于域集合的完整性的本地檢驗(yàn)。本地檢驗(yàn)器可以包括用于thsm上的每一個(gè)域的有效配置列表。該sdm可以為本地檢驗(yàn)器提供可以通過aik簽名的tpia。對于單個(gè)完整性證明的檢驗(yàn)有可能需要它們與配置列表中相應(yīng)的本地存儲(chǔ)的項(xiàng)匹配。sdm可以執(zhí)行構(gòu)造tpia所需要的完整性測量、登錄以及pcr擴(kuò)展，并且證明每一個(gè)域的可信度。這些測量及其擴(kuò)展可以供檢驗(yàn)器用于確定已經(jīng)為所需要的域進(jìn)行了證明。
一旦檢驗(yàn)完成，本地檢驗(yàn)器就可以預(yù)備相關(guān)證明已經(jīng)進(jìn)行的聲明，并且使用來自已認(rèn)證的密鑰對(ksign_verify_priv,ksign_verify_pub)中的私鑰來對該聲明進(jìn)行簽名。包含了與已簽名tpes級(jí)聯(lián)的已簽名檢驗(yàn)聲明的消息可以表述為：
tdro_target→ro:[檢驗(yàn)聲明]ksign_verify_priv||[tpes]signed
等式3
一旦接收到來自一個(gè)或多個(gè)ttp的{rimro}以及來自tdro_target的已簽名tpia和已簽名tpes，則ro可以檢驗(yàn)是否tdro_target處于被ro發(fā)現(xiàn)適合用于繼續(xù)rto處理的環(huán)境(例如thsm中的環(huán)境)、以及支持tdro_target和ro所關(guān)注的其他任何域的硬件或軟件是否處于完整性與ro相適合的狀態(tài)。
用于原始域的ro協(xié)議可以在通電時(shí)開始。作為選擇，該rto協(xié)議也可以在通電之后開始。當(dāng)thsm的安全引導(dǎo)完成時(shí)，由此引起的域的構(gòu)建可以通過配置文件來確定，其中該配置文件的內(nèi)容反映了初始通電時(shí)的平臺(tái)狀態(tài)，例如首次通電時(shí)的平臺(tái)狀態(tài)，或是先前引導(dǎo)設(shè)備并且隨后將其斷電時(shí)的先前狀態(tài)。由此，設(shè)備可以處于包含了tddm構(gòu)建、“原始”tddo以及“原始”teu狀態(tài)的基本配置中?？商鎿Q地，wtru可以處于以后的配置中，例如處于以先前啟動(dòng)和域構(gòu)建或是rto處理為基礎(chǔ)的配置中，其中所述rto處理包括tddm、“后rto”tddo和“后rto”teu狀態(tài)。在另一個(gè)可替換實(shí)施方式中，wtru可以處于這樣一種配置：其中該配置還包括附加域(例如圖2所示的域)的擴(kuò)展集合。這些域有可能是在先前的通電會(huì)話中創(chuàng)建的，并且所有權(quán)有可能被相應(yīng)所有者通過先前運(yùn)行的rto處理獲取，其中所述先前運(yùn)行的rto處理是在先前的會(huì)話中進(jìn)行的。
參考第一實(shí)施方式，作為平臺(tái)的安全和可信實(shí)體，thsm可以控制所有權(quán)獲取協(xié)議，并且確定me是否處于初始的信任狀態(tài)。預(yù)先提供的密鑰ktemp可以用于保護(hù)經(jīng)由thsm-me接口發(fā)送的消息的置信度。為了簡單起見，經(jīng)過加密的消息可以用{a}表示，消息的簽名處理可以用[a]表示，并且符號(hào)idme和idthsm分別表示預(yù)先提供的me和thsm的臨時(shí)id。
rto啟動(dòng)可以包括在結(jié)合特定ro的reo處理之后，由tddo的sdm發(fā)起用于將要被ro要求的“未要求”、“原始”域的rto。用戶可以啟動(dòng)me平臺(tái)的通電處理。在通電時(shí)，me可以執(zhí)行關(guān)于基本碼的“非tcg”“安全引導(dǎo)”，例如omtp定義的引導(dǎo)，在該引導(dǎo)中，所述基本碼將會(huì)變?yōu)椤盎顒?dòng)”。作為非tcg安全引導(dǎo)處理的一部分，me基本碼的完整性是可以被自主檢查的。
參考第三實(shí)施方式，在完成了基本碼引導(dǎo)處理之后，這時(shí)可以加載移動(dòng)可信環(huán)境(mte)。通過使用簽名密鑰，mte可以證實(shí)me平臺(tái)配置的完整性。
在加載了基本碼之后，me可以周期性地將信號(hào)發(fā)送到thsm，從而指示其已經(jīng)被引導(dǎo)到一個(gè)最低安全配置。由于在發(fā)送信號(hào)的時(shí)候，thsm的do域有可能尚未被引導(dǎo)，因此me可以發(fā)送具有不同隨機(jī)現(xiàn)時(shí)(nonce)(nonce_1)的相同信號(hào)，直至其接收到從thsm的do域返回的應(yīng)答信號(hào)。該信號(hào)可以表述為：
def)package_1＝“me基本碼引導(dǎo)完成”msg||nonce_1||idme
me→thsm’stddo:package_1||[sha-x(package_1)]ktemp_i
等式4
參考第三實(shí)施方式，該信令可以表述為：
def)package_1＝“me基本碼引導(dǎo)完成
&mte加載”msg||nonce_1||idme
me→thsm’stddo:package_1||[sha-x(package_1)]ktemp_i
等式5
thsm可以“安全”引導(dǎo)，由此thsm有可能已經(jīng)載入了其dm域、“原始”do域、用戶域以及至少一個(gè)將要被ro擁有但卻尚未擁有的“原始”域。此外，在加載這些域的過程中可以對照每一個(gè)域的參考完整性度量(rim)來檢查每一個(gè)域的代碼狀態(tài)的完整性。該檢查可以依照某個(gè)規(guī)范進(jìn)行，例如tcgmpwg規(guī)范。
如果設(shè)備所有者域(tddo)先前已經(jīng)通過了用于do的rto處理，那么它同樣可以加載到“預(yù)先配置的”配置或是“最后保存的(先前rto之后的)”配置中。在被加載的時(shí)候，do域可以包括系統(tǒng)級(jí)域管理器(sdm)。sdm可以監(jiān)視屬于其他遠(yuǎn)端所有者(ro)的域的構(gòu)建或者加載或維護(hù)。sdm可以查找來自dm域的“域可用資源列表”，并且還可以查找由tddo保護(hù)的系統(tǒng)級(jí)域策略(sdp)。
在引導(dǎo)時(shí)，sdm還可以用一個(gè)“可被構(gòu)建的域的列表”來提示thsm的使用人或所有人(do)，并且請求用以選擇所要構(gòu)建的域的輸入。在得到了來自用戶或所有者的輸入之后，sdm可以繼續(xù)構(gòu)建那些僅僅在來自所有人或使用人的響應(yīng)中規(guī)定的域。sdm可以通過與me交互來提供用于這些事務(wù)處理的用戶界面(ui)。
在安全引導(dǎo)之后，thsm的tddo可以向me發(fā)送“thsm引導(dǎo)完成”消息。該tddo也可以在消息內(nèi)部包含能在外部可公開的所述域的當(dāng)前狀態(tài)的概要，例如所加載的ro域的數(shù)量和名稱。tddo的sdm可以確定并實(shí)施域的當(dāng)前狀態(tài)概要的外部公開程度，并且該確定可以基于sdp和/或thsm和/或me上的域所具有的特定于域的策略(dp)。tddo可以將包含接收到的nonce_1作為sha-x完整性檢查代碼輸入的一部分，以此對在該消息中接收到package_1做出應(yīng)答，其中所述輸入可以表述如下：
def)package_2＝“thsm引導(dǎo)完成”msg||nonce_2||idthsm
tddo→me:package_2||[sha-x(package_1||nonce_1)]ktemp_i
等式6
對于thsm的id、例如來idthsm說，該id可以保持在dm域tddm中，并且其可以相當(dāng)于tddm的id。do域tddo可以將其從tddm取回，以便構(gòu)造等式6中的package_2。
響應(yīng)于“thsm引導(dǎo)完成”消息，me可以繼續(xù)完成其引導(dǎo)處理。在完成了引導(dǎo)處理之后，me可以向thsm的tddo發(fā)送消息，該消息可以表述為：
def)package_3＝“me引導(dǎo)完成”||nonce_3
me→tddo:package_3||[sha-x(package_3||nonce_2)]ktemp_i
等式7
下列內(nèi)容適用于這樣的情形：其中do域的sdm發(fā)起并監(jiān)視用于當(dāng)前“原始”的ro域的rto處理。
在tddo接收到來自me的package_2之后，這時(shí)可以啟動(dòng)rto處理。tddo內(nèi)部的系統(tǒng)級(jí)域管理器(sdm)可以通過向“原始”目標(biāo)ro域(td*ro_target)請求啟動(dòng)rto處理來發(fā)起rto處理。sdm既可以自主發(fā)起該處理，也可以在得到所有人或使用人的提示的時(shí)候發(fā)起該處理。sdm可以向td*ro發(fā)送要求為目標(biāo)ro啟動(dòng)rto處理的請求。該請求可以包括目標(biāo)ro是誰，例如ro的id或網(wǎng)絡(luò)接入標(biāo)識(shí)符(nai)，以及當(dāng)前請求的有效周期。作為請求的一部分或是作為與請求一起傳送的獨(dú)立分組，sdm還可以發(fā)送用于“已許可ro域的sdp狀況”的列表(在下文中將其稱為scard)。當(dāng)其在預(yù)定的rto處理之后完成時(shí)，sdm還可以發(fā)送用于tdro的“目標(biāo)域規(guī)劃”。該消息傳遞可以表述為：
def)package_4a＝
request_to_start_rto||scard||目標(biāo)域規(guī)劃||nonce_4
sdm→td*ro_target:package_4a||[sha-x(package_4a)]ksign_sdm
等式8
響應(yīng)于package_4的接收，td*ro_target可以接受或拒絕該請求。該請求可以被解釋成是允許ro獲取ro域的所有權(quán)的意向。td*ro_target可以根據(jù)預(yù)先配置的判據(jù)或是其自身具有且已被加載的ro域策略的“原始”版本來做出該決定。td*ro_target可以被配置成檢查request_to_start_rto、scard以及target_domain_plan，并且在不存在實(shí)際目標(biāo)遠(yuǎn)端所有者的情況下做出這一決定和為實(shí)際目標(biāo)遠(yuǎn)端所有者而做出這類決定。該決定可以表述為：
def)package_5a＝okay(ornot_okay)_to_start_rto||nonce_5a
td*ro_target→sdm:
package_5a||[sha-x(package_5a)||nonce_4]ksign_td*ro_target
等式9
“原始”目標(biāo)ro域(td*ro_target)可以發(fā)起該處理。td*ro_target可以向sdm提醒其用于rto處理的“最終域規(guī)劃”。該sdm可以許可或拒絕所述請求。如果sdm許可該請求，則td*ro可以啟動(dòng)rto處理，這可以表述為：
def)package_5b＝intend_to_start_rto||finaldomainplan||nonce_5b
td*ro_target→sdm:package_5b||[sha-x(package_5b)]ksign_td*ro_target
等式10
響應(yīng)于package_5a或package_5b的接收，sdm可以為用于td*ro_target的rto處理查找系統(tǒng)域策略(sdp)、“期望域”列表、“域可用資源”列表、或是thsm中的域的當(dāng)前狀態(tài)，其中所述系統(tǒng)域策略既可以是預(yù)先配置的、也可以通過用于tddo的rto處理得到，所述“期望域”列表既可以是預(yù)先配置的、也可以由所有者提供，而所述“域可用資源”列表則可以由dm域保持并持續(xù)更新。
sdm還可以評(píng)估是否有足以用于構(gòu)建和保持thsm上的多個(gè)域的資源(例如用于虛擬機(jī)線程的存儲(chǔ)器或計(jì)算資源)、thsm中的域的當(dāng)前狀態(tài)是否匹配“期望域”列表中規(guī)定的狀態(tài)、“期望域”中的新域的構(gòu)建或加載是否可以得到thsm中的域的當(dāng)前狀態(tài)的支持以及sdp的許可、或者是否有一個(gè)或多個(gè)域需要通過rto處理。
如果sdm根據(jù)可用資源、thsm現(xiàn)有域的當(dāng)前狀態(tài)以及sdp確定td*ro_target可以通過rto處理，那么sdm可以指示該決定(td*ro_target)并且繼續(xù)預(yù)備多個(gè)將要在rto處理中被轉(zhuǎn)發(fā)給ro的完整性證明，以使其能對td*ro_target及其周圍的域進(jìn)行評(píng)估。該證明可以表述為：
def)package_6＝okay_to_go_ahead_with_rto||nonce_6
sdm→td*ro_target:
package_6||[sha-x(package_6)||nonce_5(aorb)]ksign_sdm
等式11
sdm可以向使用人指示其將要為特定域發(fā)起rto處理，其中舉例來說，所述指示可以通過wtru上顯示的消息進(jìn)行。sdm還可以使用“啟動(dòng)rto處理的期望域和期望ro”的列表來向使用人或所有人(do)發(fā)出提示，并且繼續(xù)僅為那些由所有者或用戶響應(yīng)于所述提示指定的ro域發(fā)起rto處理。sdm還可以與提供了用于這些事務(wù)處理的用戶界面(ui)的me進(jìn)行交互。
td*ro_target可以請求sdm預(yù)備其可以用于構(gòu)造thsm平臺(tái)完整性證明(tpia)和thsm平臺(tái)環(huán)境概要(tpes)的材料。該請求可以表述為：
def)package_7＝request_for_tpia||request_for_tpes||nonce_7
td*ro_target→sdm:
package_7||[sha-x(package_7)||nonce_6]ksign_td*ro_target
等式12
參考第三實(shí)施方式，該請求可以表述為：
def)package_7a＝request_for_tpia||request_for_tpes||requestformpid||requestformpes||nonce_7a
td*ro_target→sdm:
package_7a||[sha-x(package_7a||nonce_6)]ksign_td*ro_target
等式13
在關(guān)于tpia和tpes的請求中，ro可以規(guī)定它從sdm那里尋求的是與tpia和tpes相關(guān)的何種信息。例如，對tpia來說，除了自身之外，它還可以規(guī)定其希望檢驗(yàn)完整性所針對的域的名稱或范圍。同樣，對于tpes來說，ro可以規(guī)定除了其自身之外的域所有者的公共id，例如網(wǎng)絡(luò)分配標(biāo)識(shí)符(nai)。
參考第三實(shí)施方式，目標(biāo)ro還可以請求與me平臺(tái)的完整性(在下文中將其稱為mpid)相關(guān)的特定信息、以及與me環(huán)境相關(guān)的其他信息。可替換地，ro可以請求表明加載了mte并且me向sdm發(fā)送了mpid和mpes的簡單指示符。作為駐留在me平臺(tái)上的可信實(shí)體，在被sdm請求預(yù)備值mpid和mpes的時(shí)候，mte可以執(zhí)行預(yù)備所述值。該請求可以表述為：
def)package_7b＝請求mpid||請求mpes||nonce_7b
sdm→mte:
package_7b||[sha-x(package_7b)]ksign_sdm
等式14
mte可以收集來自me的配置數(shù)據(jù)并構(gòu)建mpid。此外還可以獲取環(huán)境數(shù)據(jù)，以便產(chǎn)生me平臺(tái)環(huán)境調(diào)查(mpes)。這些值可以基于當(dāng)前的me狀態(tài)，其中所述狀態(tài)有可能隨時(shí)間而改變。如果在me狀態(tài)改變之后發(fā)出了以后的請求，那么經(jīng)過更新的值可以被發(fā)送到sdm。通常，me可以向sdm發(fā)送響應(yīng)，并且該響應(yīng)可以表述為：
def)package_8a＝mpid||mpes||certmte
mte→sdm:
package_8a||[sha-x(package_8a||nonce_7b)]ksign_mte
等式14
mte可以提供經(jīng)過ca簽名并包含其公鑰kmte_pub的證書。由此，sdm可以通過檢驗(yàn)ca的簽名來檢驗(yàn)這個(gè)公鑰的真實(shí)性，并且由此可以使用kmte_pub檢查來自mte的消息的完整性。sdm可以預(yù)備tpia和tpes，并且稍后將其轉(zhuǎn)發(fā)到td*ro_target。
為了預(yù)備tpia，sdm可以收集完整性證明，例如通過“原始”tdro收集該“原始”tdro的完整性證明、通過tedm收集該tedm的完整性證明、tedo的完整性證明、通過teu收集該teu的完整性證明(如果設(shè)備用戶不同于do)、以及通過ro關(guān)注的其他任何現(xiàn)有tdro收集該現(xiàn)有tdro的完整性證明。
可替換地，在收集了來自pcr的完整值之后，通過本地自主檢查處理以及關(guān)于諸如編碼和數(shù)據(jù)之類的測量日志的重新計(jì)算處理，sdm可以對照來自pcr且用于相應(yīng)域的摘要值來檢驗(yàn)所述域。該處理可以在ttp(pca)不知道應(yīng)該包含相應(yīng)域的最新代碼的時(shí)候執(zhí)行，并且ttp可以對鏈接到aik的簽名密鑰進(jìn)行認(rèn)證，其中所述aik是為wtru上的tpm或mtm認(rèn)證的。對于供ro比較來自sdm的tpia的摘要度量來說，ttp可以不被配置成為其提供參考值。通過重新計(jì)算域的代碼摘要，并且將其與所引證的pcr值進(jìn)行比較，sdm可以在本地檢查其獲取的用于所述域的pcr引證是否是最新的。如果通過了這個(gè)本地檢查，則sdm可以為tpia簽名，并且將其經(jīng)由mte或me傳遞到tdro_target以及rotarget。
在另一個(gè)可替換方案、即三向檢驗(yàn)中，作為tpia的一部分，sdm可以提供域的摘要和測量日志，例如實(shí)際代碼。在獲取了代碼以及摘要時(shí)，ro可以從ttp那里獲取摘要的參考度量，并且可以從測量日志中重新計(jì)算出摘要，以及可以將其與它從tdro_target接收的引證pcr摘要以及它從ttp接收的參考摘要度量進(jìn)行比較。
對于具有或不具有測量日志的tpia來說，在執(zhí)行pcr引證時(shí)，它還可以包括關(guān)于“本地時(shí)間”的指示，其中該指示有效印記(time-stamping)了用于單個(gè)域的摘要的引證時(shí)間。這樣做給出了sdm最后一次獲取每一個(gè)域的pcr摘要的時(shí)間。如果沒有將測量日志發(fā)送至ro，那么在決定用以獲取和在tpia中包含本地摘要的時(shí)間是否足夠新，以便允許在證明檢驗(yàn)中使用該摘要方面，當(dāng)需要驗(yàn)證在tpia中指示的證明時(shí)，帶有時(shí)間戳的pcr引證可以向ro提供某些附加信息。用于這種時(shí)間戳的時(shí)鐘可以是一個(gè)可信賴的時(shí)鐘。
如果三向檢驗(yàn)失敗，則ro可以請求由ttp來為其提供經(jīng)過更新的參考度量或測量日志，從中它可以計(jì)算出期望摘要。ro可以重新嘗試三向檢驗(yàn)。如果檢驗(yàn)成功，則rto繼續(xù)進(jìn)行。如果檢驗(yàn)失敗并且ro策略需要成功的三向檢驗(yàn)，則可以終止rto。
對于do域的完整性證明，sdm可以自動(dòng)地獲取，例如通過該sdm本身的功能來獲取。對于完整性證明來說，除了do域的完整性證明之外，sdm還可以請求相應(yīng)的其他域產(chǎn)生其自身相應(yīng)的完整性證明并為其簽名。在請求中，sdm可以包括諸如令牌之類的授權(quán)數(shù)據(jù)，并且接收方可以使用該授權(quán)數(shù)據(jù)來檢查sdm是否有權(quán)從所述域那里請求和獲取完整性證明。該請求還可以包括接收域的平臺(tái)配置寄存器(pcr)的范圍，其中目標(biāo)ro以及作為目標(biāo)ro請求的轉(zhuǎn)發(fā)者的sdm需要對其接收方域的完整性進(jìn)行檢查。該請求可以表述為：
def)package_8b(i)＝request_for_attestation||nonce_8b(i),i＝1,2,…,n
sdm→tddomain(i):
package_8b(i)||[sha-x(package_8b(i))]ksign_sdm.
等式15
在這里可以將域表示為domain(i),i＝1,2,…,n，n是域(sdm從該域收集了pcr值)的數(shù)量，其中每一個(gè)域首先檢查request_for_attestation中的授權(quán)數(shù)據(jù)，然后則取回request_for_attestation中規(guī)定的pcr范圍的pcr值。該操作可以表述為：
def)package_8c(i)＝
規(guī)定的pcr范圍的值||nonce_8c(i),i＝1,2,..,n
tddomain(i)→sdm:
package_8c(i)||[sha-x(package_8c(i)||nonce_8b(i)]ksign_td_domain(i)
等式16
sdm可以執(zhí)行thsm平臺(tái)完整性證明(tpia)，以便級(jí)聯(lián)所有證明并使用其簽名密鑰來為這些證明簽名。該處理可以表述為：
def)tpia＝concatenation{來自domain(i)的簽名的pcr值},i＝1,2,.,,n
等式17
對于tpes預(yù)備處理來說，sdm可以通過級(jí)聯(lián)那些它從tddm、tddo和tddomains(i)收集的信息來產(chǎn)生tpes，其中舉例來說，所述信息可以是能從dm域得到的thsmhw和sw配置和版本號(hào)、bios配置、平臺(tái)上的域的數(shù)量、諸如存儲(chǔ)器之類的用于當(dāng)前域的總平臺(tái)資源、為了進(jìn)一步構(gòu)建或擴(kuò)展現(xiàn)有域或新域而保留的平臺(tái)資源、域的名稱或是其所有者的姓名或id(如果相應(yīng)域所有者允許)(例如nai)、sdm收集上述環(huán)境信息時(shí)的日期/時(shí)間，如果單調(diào)計(jì)數(shù)器可用但日期/時(shí)間不可用，那么該信息也可以是單調(diào)計(jì)數(shù)器值，或者該信息還可以是其他任何永久性信息。該請求可以表述為：
def)tpes＝{收集的信息}
等式18
sdm可以為tpia和tpes簽名，并且將其轉(zhuǎn)發(fā)到td*ro_target。sdm還可以包括已簽名的scard，由此，如果do無法檢查scard，那么它可能不需要依靠任何原始的td*ro_target。scard可以與tpia和tpes一起被發(fā)送到ro，由此ro可以決定在檢查了scard、tpia和tpes之后繼續(xù)執(zhí)行獲取所有權(quán)的處理。該消息傳遞可以表述為：
sdm→tdro_target:
scard||nonce_8fb||[sha-x(scard)||nonce_8fb)]ksign_sdm
tpia||concatenation{nonce_8c(i)}[sha-x(tpia)||concatenation{nonce_8c(i)}]ksign_sdm,
tpes||nonce_8f||[sha-x(tpes||nonce_8f)]ksign_sdm
或
scard||tpia||tpes||[sha-x(scard||tpia||tpes||nonce_8f)]ksign_sdm
等式19
一旦從sdm接收到tpia、tpes以及scard，則可以使用sdm的公共簽名密鑰來對它們進(jìn)行檢查，以便檢查它們的完整性。然后，tpia、tpes、scard、用以指示用戶所期望的服務(wù)的目的信息元素(p)以及用于所有權(quán)獲取消息的請求(request_to)可以被發(fā)送至me。如果rto處理針對的是必須供應(yīng)完整的tsim能力的域，那么還可以預(yù)備關(guān)于tsim功能的已簽名證書(certtsim)，并且將其與上述分組一起發(fā)送。
用于tsim功能的證書有可能是兩個(gè)或更多。其中一個(gè)證書是用于原始tsim功能的(cert*tsim)，另一個(gè)則是用于那些完全被示例或更新的功能。用于原始tsim功能的證書可以采用模塊化的方式嵌入用于dm的證書結(jié)構(gòu)中，例如，可以將其插入到作為來自dm的功能的原始域中。
當(dāng)ro在tdro預(yù)先通過了至少一個(gè)rto之后執(zhí)行rto處理時(shí)，它有可能不再需要發(fā)送cert*tsim，這是因?yàn)樵撟C書僅僅適合與原始域一起使用，而所述tdro卻不再是原始域。因此，在這種情況下，ro可以發(fā)送經(jīng)過更新的證書certtsim。
如果目標(biāo)ro在td*ro_target使用之前已經(jīng)知道何時(shí)加載原始td*ro_target，則可以用目標(biāo)ro的公鑰加密(k_target_ro_pub)來對內(nèi)容進(jìn)行加密，其中舉例來說，所述公鑰可以通過證書傳送或是通過預(yù)先配置來提供?？梢詾閠sim預(yù)先提供簽名密鑰k_tsim-sign。這個(gè)私有簽名密鑰的公鑰可以預(yù)先被分發(fā)給目標(biāo)ro。idme是me的id，其中該id是由td*ro_target從thsmdm的域tddm獲取的，所述域則安全地保持了meid。這可以表述為：
def)package_9＝
scard||tpia||tpes||p||request_to||certtsim||idme||nonce_9
td*ro_target→me:
{package_9}k_target_ro_pub||[sha-x(package_9)]k_tsim-sign
等式20
參考第三實(shí)施方式，在消息中可以添加值mpia和mpes。mpia可以包括在thsm中根據(jù)mte編譯的配置數(shù)據(jù)(mpid)計(jì)算的摘要。只有在與所獲取的已認(rèn)證度量相符合的情況下，這個(gè)摘要才可以得到證實(shí)，其中所述度量是預(yù)先存在于配置文件中或是借助于與dm的實(shí)時(shí)通信傳遞的。依照關(guān)于完整性和環(huán)境信息的ro請求，等式20可以包括表明sdm成功接收到mpid和mpes的簡單指示。這一點(diǎn)可以表述為：
def)package_9＝scard||tpia||tpes||mpia||mpes||p||request_to||certtsim||idme||nonce_9
td*ro_target→me:
{package_9}k_target_ro_pub||[sha-x(package_9)]k_tsim-sign.
等式21
me可以將上述整個(gè)消息傳送到ro，并且這一點(diǎn)可以表述為：
me→targetro:
{package_9}k_target_ro_pub||[sha-x(package_9)]k_tsim-sign.
等式22
參考第三實(shí)施方式，該消息將會(huì)包括mpia和mpes。
ro可以使用其私鑰ktarget_ro_priv來對package_10進(jìn)行解密，檢查me的id，以及解譯這些消息。ro可以解譯scard，并且查看它是否“符合”來自sdp的這些狀況。如果ro符合scard，那么舉例來說，來自原始td*ro_target的值tpia可以被解譯成代表了在向目標(biāo)to域td*ro_target提供任何服務(wù)證書或配置控制之前的整個(gè)初始tsim狀態(tài)。值p可以被解譯成是指示了用戶期望的服務(wù)。目標(biāo)ro(在啟用tsim的td*ro_target的情況中，該目標(biāo)ro可以是mno)可以通過將tpia中指示的其關(guān)注的域的完整性與它從ttp獨(dú)立獲取的參考完整性度量(rim)值(rimro)進(jìn)行比較來檢驗(yàn)該完整性。
mno可以具有通過wtru/thsm的供應(yīng)商提供的證書來知道tpia的預(yù)期值的能力，其中舉例來說，該證書是提供給ttp的。參考第三實(shí)施方式，mpia和mpes的預(yù)期值可通過認(rèn)證處理而被提前得知，其中所述認(rèn)證處理可以通過mte是可信實(shí)體這個(gè)事實(shí)而成為可能，并且所述mte的可信度是由thsm證實(shí)的。
目標(biāo)ro可以查找接收到的tpes，并且評(píng)估td*ro_target是否處于這樣的thsm系統(tǒng)中：其中在ro的情況中，該thsm系統(tǒng)的“周圍系統(tǒng)環(huán)境”(例如teps所表示的系統(tǒng))可與目標(biāo)ro一致，由此允許其自身進(jìn)一步執(zhí)行rto處理。
在檢查了tpia、tpes、目的p、request_to之后，參考第三實(shí)施方式，mpia、mpes以及諸如mno之類的目標(biāo)ro可以確定：正在請求由目標(biāo)ro“獲取所有權(quán)”的原始td*ro_target以及一般包含了td*ro_target的thsm是足以“信賴的”，由此允許其進(jìn)一步執(zhí)行rto處理，以及讓其允許td*ro_target與之交互，從而提供某些預(yù)先指定的基本服務(wù)。
為了執(zhí)行td*ro_target的所有權(quán)獲取處理，以使得域可以在以后下載密鑰、更完整的配置、參數(shù)和可執(zhí)行代碼，并將其安裝的與基本“原始”狀態(tài)相比功能更強(qiáng)，并且還被目標(biāo)遠(yuǎn)端所有者(ro)要求或是擁有和管理，目標(biāo)ro可以發(fā)送配置信號(hào)(config)，其中該配置信號(hào)可以包括可執(zhí)行代碼。ro還會(huì)發(fā)送用于tsim的rim，其中該rim被稱為rimtsim，如果依照接收到的config安裝了配置、參數(shù)和可執(zhí)行代碼，那么該rim可以與安裝后的狀態(tài)匹配。rimtsim可以保存在td*ro_target上的安全存儲(chǔ)器中，并且可以用于在以后的引導(dǎo)時(shí)間檢查tsim功能的完整性。此外，在事務(wù)處理中還可以包括域策略(dp)，其中所述域策略規(guī)定的是將要使用的安全措施以及其他配置問題。
特定于ro的域策略(dp)可以不同于由sdm保持并且代表了用于構(gòu)建和保持thsm上的特定ro所擁有的一個(gè)或多個(gè)域的系統(tǒng)級(jí)域策略(sdp)。特定于ro的dp可以包括僅僅管理域內(nèi)應(yīng)用和特定域特定且獨(dú)有的安全措施的策略或規(guī)劃。
某些ro可以采用這樣一種方式來產(chǎn)生其dp：其中該方式使得dp還可以包括限制了關(guān)于哪些其他ro適合在tgsm上構(gòu)建或管理的條款。例如，移動(dòng)網(wǎng)絡(luò)運(yùn)營商(mno_a)可以采用這樣一種方式來產(chǎn)生其dpmno_a：其中在下載和安裝了dpmno_a之后，如果沒有發(fā)現(xiàn)dpmno_a中規(guī)定的某些關(guān)于tgsm上的某些其他域的狀態(tài)和特性的條件的需求得到滿足，那么該mno_a的目標(biāo)域(tdmno_a)將會(huì)受到一組限制的管理，例如其服務(wù)或激活。例如，mno可以實(shí)施dpmno_a，這樣一來，如果tdmno_a在調(diào)查了thsm內(nèi)部的更大環(huán)境之后發(fā)現(xiàn)在同一thsm上安裝并激活了其他mno域，并且這些mno域具有自身的已激活tsim功能，那么tdmno_a將會(huì)禁用其tsim功能。
td*ro_target有可能需要采樣一種與p中被請求的服務(wù)相對應(yīng)的方式來配置該td*ro_target自身。例如，ro可以向me發(fā)送響應(yīng)，其中該消息的置信度是用公鑰ktsim-pub來保護(hù)的。me可以將這個(gè)消息傳送到thsm上td*target_ro。certro可以包括目標(biāo)_ro的公共密鑰k_ro-priv。這時(shí)，ro可以發(fā)送用于tsim的參考完整性度量(rim)。ro響應(yīng)可以表述為：
def)package_10＝
{config,dpro,idro,rimtsim}ktsim-pub||certro||certtsim||nonce_10
targetro→me:
{package_10}k_ro-priv||[sha-x(package_13||nonce_9)]k_tsim-sign
等式23
me→td*targetro:
{package_10}k_ro-priv||[sha-x(package_13||nonce_9]k_tsim-sign
等式24
td*ro_target可以使用私鑰ktsim-priv來對消息進(jìn)行解密，并且在用ca檢查了證書之后使用certro中的公鑰kro-pub來檢驗(yàn)ro簽名。它可以安全地保存所接收到的用于tsim應(yīng)用的參考完整性度量rimtsim。它可以檢查來自的roid，然后檢查ro的策略，并且確定它是否可以繼續(xù)config的剩余配置和安裝處理。td*ro_target可以借助于config來執(zhí)行重新配置，以便達(dá)到“完整”域狀態(tài)，并且然后則通過執(zhí)行自我檢查來確定測量得到的該td*ro_target的tsim功能的度量是否與被網(wǎng)絡(luò)傳遞并在rimtsim中表示的度量匹配。現(xiàn)在，域是“完成的”，并且不再是“原始的”，由此符號(hào)中的星號(hào)*將會(huì)移除。該處理可以表述為：
td*目標(biāo)ro:檢查dpro,存儲(chǔ)rimtsim,和安裝config.
→
td目標(biāo)ro:ro域是“完成的”
等式25
已完成的域tdtargetro可以向me發(fā)送“rto成功和域完成”狀態(tài)消息，并且所述消息可以由me轉(zhuǎn)發(fā)到目標(biāo)ro。這種處理可以表述為：
def)package_11＝{“domaincompleted”||idro_target}k_ro-pub||nonce_11
tdtargetro→me:
package_11||[sha-x(package_11||nonce_10)]k_tsim_sign
等式26
作為選擇，me可以向用戶發(fā)送狀態(tài)消息。其中舉例來說，該消息可以顯示在wtru的屏幕上，并且該消息表明該電話現(xiàn)在準(zhǔn)備好了注冊和證書轉(zhuǎn)出(roll-out)。
me可以將該狀態(tài)消息轉(zhuǎn)發(fā)到成功完成了平臺(tái)的重新配置的ro，并且準(zhǔn)備注冊tism證書。tdro_target已經(jīng)實(shí)現(xiàn)了“thsm_tdro_load_complete”(thsm_tdro_加載_完成)狀態(tài)。該消息可以表述為：
me→targetro:
package_11||[sha-x(package_11||nonce_10)]k_tsim_sign
等式27
這個(gè)rto協(xié)議可以充當(dāng)用于將作為thsm所有者或用戶的用戶向提供預(yù)訂服務(wù)的3gumts網(wǎng)絡(luò)運(yùn)營商注冊的協(xié)議的前導(dǎo)，并且充當(dāng)用于下載和提供用于驗(yàn)證和密鑰協(xié)商(aka)的證書的前導(dǎo)，這其中包括下載和提供共享秘密k以及用戶標(biāo)識(shí)imsi。
用于公鑰-私鑰集的證書certtsim和certro可以在使用了它們的消息中遞送?？商鎿Q地，ro域(tdro)和ro可以從可信的第三方那里獲取該tdro和ro相應(yīng)的證明。該獲取處理可以表述如下：
ttp→me→tdro:certro
ttp→ro:certtsim
等式28
在另一個(gè)可替換實(shí)施方式中，ro證書certro可以從網(wǎng)絡(luò)遞送至me，并且thsm證書certtsim可以從me被遞送到網(wǎng)絡(luò)(在遞送使用了這些證書的消息之前)。由此，在這里描述的加密后的消息之前可以發(fā)送通信，這些通信可以表述為：
me→ro:certtsim(在步驟9的消息被發(fā)送之前)
ro→me:certro(在步驟13的消息被發(fā)送之前)
等式29
對這其中的每一個(gè)可替換的證書遞送方法來說，實(shí)體id可以域使用了公共加密密鑰的消息一起。
在另一個(gè)可替換實(shí)施方式中，使用對稱密鑰而不是公鑰可以用于保護(hù)消息的置信度。在每一個(gè)實(shí)例中，發(fā)送方都可以產(chǎn)生對稱密鑰ks，其中舉例來說，該密鑰是用偽隨機(jī)數(shù)生成器(prng)產(chǎn)生的，并且發(fā)送方會(huì)使用這個(gè)密鑰而不是公鑰來保護(hù)消息的置信度。該對稱加密密鑰還可以與加密消息一起被發(fā)送到接收方，其中將會(huì)使用公鑰來對其進(jìn)行保護(hù)。由此，接收方能夠使用其私鑰來訪問密鑰ks，然后則使用所述私鑰來對消息進(jìn)行解密。
參考第二實(shí)施方式，thsm和me有可能不同于第一實(shí)施方式中的thsm和me。代替me自身或是諸如mte這類me內(nèi)部的可信實(shí)體的是，在me引導(dǎo)的時(shí)候，thsm可以被配置成為me的某些或所有代碼執(zhí)行完整性檢查。作為選擇，thsm還可以存儲(chǔ)用于me的某些或所有引導(dǎo)碼。thsm未必被配置成向外界評(píng)估者證明me的完整性。它可以被配置成在引導(dǎo)時(shí)執(zhí)行對me的完整性執(zhí)行“本地”檢查。
me的完整值可以在啟動(dòng)處理中使用，并且未必在rto處理中使用。用meas_me表示的me的完整性量度代表了從me的安全引導(dǎo)中產(chǎn)生的me代碼和配置狀態(tài)，該完整性量度可以由thsm的dm域tedm獲取。thsm的tddm可以檢查meas_me的有效性，但是它也有可能沒有將其引入平臺(tái)證明。
參考第四實(shí)施方式，舉例來說，從tcgmpwg的意義上講，該me可以是可信me。該me可以包括移動(dòng)可信模塊(mtm)，并且是可以得到信任的，這是因?yàn)樗鼘tm當(dāng)做了提供用于存儲(chǔ)、報(bào)告、測量、檢驗(yàn)和實(shí)施的可信根的可信錨點(diǎn)。
圖4和4a示出的是用于遠(yuǎn)端所有權(quán)獲取處理的示例呼叫流程圖。例如，圖4和4a示出的是在me402、tddo404、sdm406、td*target_ro408以及目標(biāo)ro410中的一個(gè)或多個(gè)設(shè)備之間進(jìn)行的例示呼叫。圖4和4a中的箭頭可以代表呼叫的起點(diǎn)/目的地。
如圖2和3所示，sdm可以包括駐留在thsm中并且提供了部分do功能的系統(tǒng)級(jí)域管理器。sdm可以依照特定于域的策略來監(jiān)督和協(xié)調(diào)設(shè)備中的所有域的設(shè)置，以便確保所有這些域都會(huì)以符合sdp的方式工作和相互交互，以至于這些策略中的任何沖突都會(huì)由代表所述do以及其他域的ro的sdm嘗試調(diào)解。tddo可以包括thsm中的強(qiáng)制設(shè)備所有者域。tddo可以包括sdm，并且由此可以保持系統(tǒng)級(jí)域策略。mte可以包括用于me端的策略管理器mepdm。該mepdm可以執(zhí)行me上的策略管理器功能，但是有可能被thsm中的sdm監(jiān)督。me*target_ro可以包括由已許可遠(yuǎn)端所有者實(shí)施的用于遠(yuǎn)端所有權(quán)的原始域設(shè)置。目標(biāo)ro可以包括請求me*target_ro的所有權(quán)的遠(yuǎn)端所有者。
me可以承擔(dān)全部的mtm功能，由此，由已識(shí)別的遠(yuǎn)端所有者對me上的域?qū)嵤┑倪h(yuǎn)端獲取所有權(quán)的處理是得到支持的。與參考第一實(shí)施方式描述的rto相似；其不同主要是因?yàn)閟dm經(jīng)由mepdm而為thsm和me上的同一遠(yuǎn)端所有者擁有的這些域運(yùn)用的最終策略控制。因此，對于同樣擁有thsm上的域的相同所有者擁有的任何me域來說，這些me域的形成和管理必須以符合sdm的策略的方式進(jìn)行。
仍舊參考圖4，在41，me402可以完成基本碼引導(dǎo)處理。在415，thsm可以安全地引導(dǎo)。該thsm可以加載do域，sdm包括在內(nèi)；其中該sdm可以提供：1)可用于域的構(gòu)建的資源；和/或2)用戶可接受的域的列表。在42，thsm可以完成其引導(dǎo)。在43，me可以表明其引導(dǎo)完成。在這個(gè)處理過程中可以構(gòu)建dm域，此外還可以構(gòu)建可選的用戶域(meu)，并且可用資源將被檢查。dm域可以包括mepdm，它提供了用于me設(shè)備的域策略的初始配置和規(guī)定。依照medm的預(yù)先配置，該策略可以在用于me域與thsm域之間具有公共遠(yuǎn)端所有者的這些域(例如一個(gè)在thsm上，另一個(gè)在me上)的策略方面與sdp的策略相一致。
仍舊參考圖4，在431，具有預(yù)先配置的域的me可以發(fā)送啟動(dòng)rto的“引導(dǎo)完成”消息。該消息可以包括關(guān)于dm域策略以及me中的可用資源的顯式信息。在44，這時(shí)可以發(fā)送要求啟動(dòng)rto的請求，其中該請求包含了目標(biāo)域規(guī)劃。在455，td*target_ro408可以確定接受還是拒絕rto啟動(dòng)請求。在45處可以發(fā)送表明是否應(yīng)該啟動(dòng)rto的消息?？商鎿Q地，在456，rto可以由td*target_ro408發(fā)起。在451，td*target_ro408可以發(fā)送“啟動(dòng)rto最終域規(guī)劃的意愿”。
sdm可以通過評(píng)估thsm的系統(tǒng)級(jí)域策略(sdp)，并且確定在me域上施加或分配哪些限制，從而對me引導(dǎo)消息做出反應(yīng)。這些策略限制可以包括：依照域相關(guān)聯(lián)的遠(yuǎn)端所有者，me和thsm上的哪些域是可允許的。sdm可以確定me允許將哪些系統(tǒng)級(jí)資源用于具有thsm上的域的相同遠(yuǎn)端所有者擁有的域，這其中包括那些已經(jīng)為其所知的資源。mepdm可以經(jīng)由等式7中的消息接收該信息。該sdm還可以包括針對其基本策略的策略限制以及針對其資源列表的可允許資源。在mepdm接收到信息之后，它可以在做出和實(shí)施關(guān)于資源以及me上的域的管理方面的決定的時(shí)候運(yùn)用某些權(quán)限，而不需要從sdm那里獲取用于所有這些決定的許可。
仍舊參考圖4，該處理可以在465處繼續(xù)進(jìn)行。在465，下列各項(xiàng)可以被檢查和/或評(píng)估：sdp、可用資源、和/或可接受域和/狀態(tài)。在46可以發(fā)送“同意啟動(dòng)”信號(hào)。在47可以發(fā)送用于tpia、tpes、mpid和mpes的請求。在475，舉例來說，sdm406可以在每一個(gè)域上的pcr范圍中收集/級(jí)聯(lián)來自現(xiàn)有域的完整性證明、和/或收集和/或級(jí)聯(lián)tpes信息。
在471，用于mpid和mpes的請求可以被發(fā)送。在476，mte可以處理針對用于mpid和mpes的請求的響應(yīng)。在48，mpid和mpes可以與信任證明和簽名密鑰一起發(fā)送。在481，tpia、tpes、mpid以及mpes可以被sdm406發(fā)送至te*target_ro408。在485，thsm可以從mpid(原始數(shù)據(jù))中計(jì)算出摘要mpia，并且檢查該mpia。如果可接受，則可以將摘要mpia發(fā)送到ro。在49，用于tpia||tpes||mpia||mpes||目的||rto的請求可被發(fā)送。
參考圖4a并且繼續(xù)rto處理，在410，tpia||tpes||mpia||mpes||目的||rto消息可以被發(fā)送至目標(biāo)ro410。在418，舉例來說，目標(biāo)ro410可以執(zhí)行一個(gè)或多個(gè)下列處理：檢查tpia、tpes、mpia、mpes以及目的；對照rimtdro來確定原始域的可信度；檢查dp的可接受性；或是創(chuàng)建config來構(gòu)造完整的域狀態(tài)。
上述實(shí)施方式的一個(gè)可替換實(shí)施方式是由td*target_ro408從sdm那里請求關(guān)于me的可信度而不是mpia和mpes的簡單指示；在這種情況下，sdm提供tpia、tpes和me可信度指示。但是，sdm仍舊請求和接收來自mte的mpia和mpes。
仍舊參考圖4a，在411，消息config||dp||rimtdro||ro可以被發(fā)送。在412，config||dp||rimtdro||ro消息可以被傳送。在428，這時(shí)可以構(gòu)建和配置域，并且可以對照rimtdro來檢查完整性。此外，td*target_ro的所有權(quán)可以被獲取，由此將其轉(zhuǎn)換成tdtarget_ro。在413，這時(shí)可以發(fā)送域完成消息。在414，域完成消息有可以被傳送。
圖5和5a示出的是使用了全部證明(例如與第四實(shí)施方式相關(guān))的遠(yuǎn)端所有權(quán)獲取處理的示例呼叫流程圖。舉個(gè)例子，圖5和5a示出的是在sdm502、tddo504、mepdm506、me*target_ro508以及目標(biāo)ro510中的一個(gè)或多個(gè)之間進(jìn)行的示例呼叫。圖5和5a的箭頭可以代表呼叫的起點(diǎn)/目的地。在51，基本碼引導(dǎo)完成消息可被發(fā)送。作為響應(yīng)，在515，thsm可以安全引導(dǎo)和加載do域，這其中包括sdm。在52，thsm引導(dǎo)完成消息可被發(fā)送。作為響應(yīng)，在525，me可以安全地引導(dǎo)，這其中可以包括加載dm域，mepdm也包含在其中；以及檢查可用資源。mepdm可以可以提供初始配置，該配置規(guī)定了與sdp以及可用資源一致的域策略。在53，可以發(fā)送me安全引導(dǎo)完成的消息，其中該消息包括dm域(策略信息)以及me中的可用資源。在531，“me引導(dǎo)完成”消息可以被傳送至sdm502。在535，舉例來說，sdm502可以評(píng)估系統(tǒng)級(jí)策略，并且為me確定許可的域、資源和策略限制。在54，可以發(fā)送一個(gè)消息，其中該消息提供了關(guān)于域策略限制和/或許可資源的信息。在545，策略限制可以附加于基本策略，如有需要，資源列表也是可以修訂的。
圖5和5a中的元素55-511可以類似于圖4和4a所示的元素45-414。關(guān)于值mpia和mpes的評(píng)估可以類似于等式14-19中的評(píng)估。me可以具有mtm能力，并且它可以被配置成自己計(jì)算摘要mpia，而不僅僅是原始數(shù)據(jù)mpid。由sdm傳達(dá)的經(jīng)過更新的策略限制可被檢查，從而不會(huì)實(shí)現(xiàn)被禁止的域或域策略。策略檢查和評(píng)估可以由mepdm執(zhí)行。
在55，這時(shí)可以發(fā)送要求啟動(dòng)rto的請求，其中該請求可以包括目標(biāo)域規(guī)劃。在555，mepdm可以決定接受還是拒絕rto請求。在551，可以發(fā)送表明是否應(yīng)該啟動(dòng)rto的消息。在一個(gè)可替換實(shí)施方式中，在556，me目標(biāo)可以發(fā)起啟動(dòng)rto的意愿。在56，可以發(fā)送啟動(dòng)rto消息的意愿。在565，下列各項(xiàng)將被檢查和/或評(píng)估：1)擴(kuò)展的域策略；和/或2)依照擴(kuò)展策略的可用資源、可接受的域和狀態(tài)。在561可以發(fā)送表明啟動(dòng)rto的處理可接受的消息。在57，從me域集合中要求mpia和mpes的請求可以被發(fā)送。在575，可以執(zhí)行在每一個(gè)域上的pcr范圍中收集和級(jí)聯(lián)來自已有域的完整性證明(mpia)，也可以執(zhí)行mpes信息的收集和級(jí)聯(lián)。在58，mpia和mpes可以被發(fā)送。在59，mpia||mpes||目的||rto請求可以被發(fā)送(消息的完整性和置信度可以用經(jīng)過認(rèn)證的公鑰/私鑰來保護(hù))。在595，舉例來說，目標(biāo)ro510可以執(zhí)行下列各項(xiàng)中的一項(xiàng)或多項(xiàng)：檢查mpia、mpes和目的；對照rimtsim來確定原始域的可信度；檢查dp的可接受性；或是通過創(chuàng)建config來構(gòu)建完整的域狀態(tài)。在514，消息config||dp||rimtsim||ro可以被發(fā)送。在515，域可以被構(gòu)建和配置，并且可以對照rimtdro來檢查完整性。此外，me*target_ro的所有權(quán)可以被獲取，由此將其轉(zhuǎn)換成metarget_ro。在511，域完成消息可以被發(fā)送(帶有簽名，完整性受到保護(hù))。me可以直接與目標(biāo)ro通信，由此不會(huì)使用到如圖3和3a所示的消息傳送，并且可以減少消息的數(shù)量。在圖5中并未顯示me與目標(biāo)ro之間的消息傳遞中的公鑰/私鑰交換所需要的證書的細(xì)節(jié)，以及與用于原始工具可信度的rim證書相關(guān)的細(xì)節(jié)。
圖6示出的是thsm的示例狀態(tài)定義、變換以及控制點(diǎn)定義。舉個(gè)例子，在這里定義了m2m通信標(biāo)識(shí)模塊(mcim)的生命周期，其中該模塊的定義和基本功能是在pct專利申請wo2009/092115(pct/us2009/031603)中定義的。thsm可以改進(jìn)和概括包括狀態(tài)定義和變換在內(nèi)的mcim的功能和特征。
在601，thsm可以處于引導(dǎo)前狀態(tài)。第一用戶可以為thsm通電，thsm可以安全地引導(dǎo)，并且該thsm可以處于狀態(tài)602。在602，dm和do可以存在于原始狀態(tài)中。dm域可以從預(yù)先配置的文件中構(gòu)建，并且thsm可以處于狀態(tài)606。在606，thsm處于可以加載tddm的引導(dǎo)后狀態(tài)2，在該狀態(tài)中，tddm可以被加載。從606開始，do域可以從預(yù)先配置或下載的文件中構(gòu)建，從而將thsm置于狀態(tài)605。在605，thsm可以處于引導(dǎo)后狀態(tài)3，在該狀態(tài)中可以構(gòu)建tddo域，但是不能加載tdu或tdro。從狀態(tài)605開始，do域(sdm)可以加載用戶域，由此將thsm置于狀態(tài)604。在604，thsm可以處于引導(dǎo)后狀態(tài)2a，在該狀態(tài)中可以加載tdu，但是不能加載ro域。從狀態(tài)605開始，原始ro域可以根據(jù)sdp來構(gòu)建，由此將thsm置于狀態(tài)707。在707，thsm可以處于引導(dǎo)后狀態(tài)7，在該狀態(tài)中，tdro和tddo已被加載，但是不能加載tdu。從狀態(tài)607開始，tddo(sdm)可以加載tdu，由此將thsm置于狀態(tài)608。在608，thsm可以加載do、du和ro域。
從狀態(tài)601開始，用戶可以通電并且thsm可以安全地引導(dǎo)，由此將thsm置于狀態(tài)603。在603，thsm可以用已存儲(chǔ)的配置來加載，其中已存儲(chǔ)的配置是最近一次通電之前的配置。從狀態(tài)603開始可以執(zhí)行引導(dǎo)后的事務(wù)處理，其中該事務(wù)處理將會(huì)改變配置，由此將thsm置于狀態(tài)610。在610，thsm處于一種將一個(gè)或多個(gè)先前活動(dòng)的狀態(tài)全都變?yōu)椴换顒?dòng)的狀態(tài)。與從603到達(dá)狀態(tài)610的處理相似。thsm可以處于狀態(tài)609，在該狀態(tài)中，thsm具有一個(gè)或多個(gè)活動(dòng)的域。從狀態(tài)609開始，由于配置變化事件而有可能導(dǎo)致進(jìn)行變換，從而將thsm再次置于狀態(tài)610。
在狀態(tài)604、605、607和608，thsm可以通過使用新的策略和/或可執(zhí)行代碼或是針對不活動(dòng)狀態(tài)的變換而被重新配置。此外，在狀態(tài)605中可以存儲(chǔ)sdp。
在第一種域管理方法中，來自域所有者的策略即系統(tǒng)級(jí)域策略(sdp)有可能是非常有限制性的和“靜態(tài)”的，并且有可能具有與新域活動(dòng)或目的有關(guān)的硬性規(guī)定。這些策略可能有助于緩解向ro傳遞每一個(gè)新域項(xiàng)或已有域更新的需要。
在第二種域管理方法中，sdp有可能限制較少，并且在活動(dòng)和目的方面提供了更多的靈活性。每一個(gè)新域項(xiàng)和每一個(gè)域變化都可以被報(bào)告給已有域所有者。這有可能導(dǎo)致產(chǎn)生更為動(dòng)態(tài)的策略實(shí)施系統(tǒng)，在該系統(tǒng)中，在平臺(tái)與ro之間可以進(jìn)行初始和跟進(jìn)的協(xié)商。
參考第一種域管理方法，sdp可以規(guī)定毫無例外在預(yù)先配置的列表中許可的域。該列表可以包括與ro的類型以及許可的數(shù)量(針對每一種類型)相關(guān)的信息。一旦ro建立了它們的域，那么該列表還可以包括ro可提供的服務(wù)類型。所預(yù)期的ro可以是滿足列表所指示的判據(jù)的ro。作為rto處理的一部分，例如，如等式9所示，在這里可以向ro提醒諸如列表和策略限制之類的條件。一旦接收到scard，該ro就可以獨(dú)立決定其是否希望是所論述的平臺(tái)或設(shè)備上的利益相關(guān)者。發(fā)送給ro的條件可以包括域類型及其目的，而不是任何其他ro在列表中的實(shí)際名稱，由此保護(hù)其他ro的標(biāo)識(shí)。如果ro決定完成rto，那么可以確保該ro、當(dāng)前在平臺(tái)上活動(dòng)的其他ro或是將來將要活動(dòng)的其他任何ro不允許偏離所述策略。結(jié)果，在這里可能不需要或者有可能不會(huì)向ro提醒可能發(fā)生的后續(xù)rto。
參考第二種域管理方法，其中在rto處理過程中只能執(zhí)行相對較寬的限制和允許更多交互的策略，例如，所述相對較寬的限制可以是哪些遠(yuǎn)端所有者是在沒有識(shí)別任何特定ro類型的情況下得到許可的，所述交互可以是用于從ro或sdm的更多信息的請求或某些協(xié)商。此外，當(dāng)域配置發(fā)生變化時(shí)，在sdm與所有ro之間還有可能存在正在進(jìn)行的合作。由此，作為ro/sdm動(dòng)態(tài)活動(dòng)的一部分，在這里有可能發(fā)生初始甚至跟進(jìn)的協(xié)商。
作為rto處理的一部分，在這里可以為ro給出其需要的給定證明和策略條件信息，例如tpia、tpes和scard，其中與第一種方法的情形相比，所述信息可以包括更多與配置和可信度相關(guān)的通用信息。根據(jù)已有的域配置，目標(biāo)ro可以決定是否繼續(xù)執(zhí)行rto。除非目標(biāo)ro立即決定不獲取所有權(quán)，否則隨后而來的將會(huì)是與sdm的協(xié)商處理。例如，sdm可以向目標(biāo)ro要求哪些域類型以及伴隨的服務(wù)是可以在目標(biāo)ro域活動(dòng)的時(shí)候是活動(dòng)的，或者在其不支持的域類型將要活動(dòng)的情況下繼續(xù)進(jìn)行哪些過程。舉個(gè)例子，當(dāng)某些其他域類型甚至某些其他ro擁有的域活動(dòng)或是將要變?yōu)榛顒?dòng)的時(shí)候，ro有可能需要使其自己的域處于不活動(dòng)狀態(tài)，或者它有可能需要其保持活動(dòng)，但是處于減少的容量或能力。sdm還可以向ro請求其應(yīng)被提醒的事件發(fā)生。這些事件可以包括其不支持的域類型變?yōu)榛顒?dòng)或不活動(dòng)。在自身的域活動(dòng)的時(shí)候，ro有可能需要完全阻止其他域類型或是某些其他所有者保持的域執(zhí)行任何活動(dòng)。
sdm可以決定接受或拒絕這些條件。雖然是結(jié)合一組很寬的策略需求工作的，但是sdm有可能具有自由度和語義能力來決定接受來自ro的要求是否可能仍舊符合“靜態(tài)”系統(tǒng)域策略(sdp)的文字或意圖。
圖7示出的是ro域可能實(shí)現(xiàn)的示例狀態(tài)以及可能導(dǎo)致在動(dòng)態(tài)管理的環(huán)境中發(fā)生變換的條件。在701，其中有可能存在一個(gè)空狀態(tài)，例如ro有可能尚未構(gòu)建。從701開始，原始ro域可以依照sdp而被構(gòu)建，由此將ro域置于狀態(tài)702。從702開始可以執(zhí)行rto處理，這其中包括ro獲取tpia、tpes和scard。更進(jìn)一步，ro可以接受rto的條件，由此將ro域置于狀態(tài)703。從703開始，新的活動(dòng)的域被確定存在策略沖突，并且作為響應(yīng)，ro域的功能將會(huì)減少或是使之處于不活動(dòng)狀態(tài)，由此將ro域置于狀態(tài)704。此外，從703開始，ro域可以接收經(jīng)過更新的策略/配置變化，由此導(dǎo)致ro域具有經(jīng)過修改的配置和/或經(jīng)過更新的策略限制。從706開始，新的活動(dòng)的域被確定存在策略沖突，并且作為響應(yīng)，ro域的功能將會(huì)減少或是使之處于不活動(dòng)狀態(tài)，由此將ro域置于狀態(tài)704。此外從703開始，新的軟件組件可以經(jīng)由下載或rto而被引入，從而導(dǎo)致ro域處于經(jīng)過修改/擴(kuò)展的狀態(tài)，并且由此將ro域置于705。從705開始，新的活動(dòng)的域被確定存在策略沖突，并且作為響應(yīng)，所述ro域的功能將會(huì)減少或者使之處于不活動(dòng)狀態(tài)，由此將ro域置于狀態(tài)704。
如711所示，處于狀態(tài)702、703、704、705或706的ro域有可能為空，例如被do、ro等等刪除。如741所示，舉例來說，通過解決導(dǎo)致ro域移動(dòng)到狀態(tài)704的沖突，不活動(dòng)/功能減少的ro域可以移動(dòng)到狀態(tài)703、705或706。如751所示，處于狀態(tài)705的ro域可以移動(dòng)到狀態(tài)703、704或706。如761所示，處于狀態(tài)706的ro域可以移動(dòng)到狀態(tài)703、705或706。
對于ro域的管理而言，作為動(dòng)態(tài)域管理的一部分而可以允許的是在事件出現(xiàn)的時(shí)候?qū)ψ兏男枨筮M(jìn)行協(xié)商。例如，ro有可能決定由另一個(gè)ro提供并且先前不能支持的某種服務(wù)現(xiàn)在因?yàn)榇_定其不再需要與該服務(wù)競爭而成為可允許的。商業(yè)模型隨著時(shí)間的變化有可能影響到所預(yù)期的ro的協(xié)商對策或策略。使用動(dòng)態(tài)策略結(jié)構(gòu)的sdp可以適應(yīng)這種策略變更。
在某些服務(wù)中可以形成優(yōu)選的漫游伙伴關(guān)系或ro的閉合群組，其中舉例來說，所述服務(wù)可以是與智能記賬相結(jié)合的m2m地理追蹤，但其并不局限于此。這種由不同運(yùn)營商在彼此之間提供相似或不同服務(wù)伙伴的分組服務(wù)可能導(dǎo)致產(chǎn)生優(yōu)選的閉合群組。這種優(yōu)選的服務(wù)、運(yùn)營商或是這二者的群組可以作為綁定服務(wù)或整套服務(wù)而被提供給設(shè)備用戶。
在第一示例中，當(dāng)分組在世界各地被運(yùn)送時(shí)，所述分組可以被追蹤。數(shù)以百萬計(jì)的這種地理追蹤設(shè)備都是可以使用的。當(dāng)所述分組穿越大洲時(shí)，不同國家的不同運(yùn)營商將會(huì)為其提供連接。由此，為了獲取連接，用戶有可能需要預(yù)訂多個(gè)漫游配置文件。由于每一個(gè)域都是由遠(yuǎn)端運(yùn)營商擁有和管理的，因此，這些跨越了不同遠(yuǎn)端運(yùn)營商的漫游配置文件將會(huì)按照域間策略而被管理。此外，通過實(shí)施這些策略，還可以支持針對新的服務(wù)供應(yīng)商的完全切換，而不是支持基于漫游的解決方案。
在第二示例中，描述了智能計(jì)量運(yùn)營商與地理追蹤運(yùn)營商之間的合作伙伴關(guān)系。這些域可以由不同的運(yùn)營商擁有和操作。由于商業(yè)伙伴關(guān)系或用戶偏好，這些域可以被合并在一起來支持聯(lián)合配置文件。對基于諸如勞動(dòng)力、存儲(chǔ)或停泊之類的資源使用的記賬處理來說，智能記賬可以與分組的追蹤一起使用。這種同時(shí)存在落入不同類別的服務(wù)的范例可以運(yùn)用域間策略管理來加以支持。
域間策略管理器(idpm)可以管理那些支配了域的群組行為的策略。每一個(gè)ro可以在rto處理過程中下載域間策略(idp)。idp可以用證書來驗(yàn)證，其中該證書是由每一個(gè)ro簽名的。這些證書可以與idp一起發(fā)布?？商鎿Q地，這些策略可以由外部服務(wù)經(jīng)銷商認(rèn)證和下載。有興趣創(chuàng)建首選運(yùn)營商列表的設(shè)備用戶或設(shè)備所有者可以創(chuàng)建idp。通過評(píng)估候選策略的可接受交集或是用以選擇idp的優(yōu)先級(jí)、以及隨后實(shí)施作為結(jié)果而產(chǎn)生的策略，idpm可以對這些策略進(jìn)行處理。
可替換地，idpm既可以作為sdm的功能之一而被添加到sdm中，也可以作為能夠加載(構(gòu)建)或下載到thsm上的獨(dú)立實(shí)體而被添加sdm中。
作為證明協(xié)議的一部分，tdro可以向ro發(fā)送tpia、tpes和scard的散列，而不是全部發(fā)送這些量度。ro可以自身或者借助于ttp而具有用以檢驗(yàn)這些散列并由此評(píng)定tdro以及周圍系統(tǒng)的有效性的手段。該方法與pct專利申請wo2009/092115(pct/us2009/031603)中規(guī)定的半自動(dòng)檢驗(yàn)(sav)相似。tpia、tpes和scard量度中的任何一個(gè)或兩個(gè)量度可以在證明階段期間被發(fā)出。
thsm可以作為me的一部分而被整體嵌入。對用于此類設(shè)備的rto處理來說，由于該處理擺脫了me與thsm之間的接口，因此該處理是可以簡化的。
雖然本發(fā)明的特征和元素以特定的結(jié)合進(jìn)行了描述，但每個(gè)特征或元素可以在沒有其他特征和元素的情況下單獨(dú)使用，或在與或不與其他特征和元素結(jié)合的各種情況下使用。這里提供的方法或流程圖可以在由通用計(jì)算機(jī)或處理器執(zhí)行的計(jì)算機(jī)程序、軟件或固件中實(shí)施，其中所述計(jì)算機(jī)程序、軟件或固件是以有形的方式包含在計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)中的。關(guān)于計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)的實(shí)例包括只讀存儲(chǔ)器(rom)、隨機(jī)存取存儲(chǔ)器(ram)、寄存器、緩沖存儲(chǔ)器、半導(dǎo)體存儲(chǔ)設(shè)備、內(nèi)部硬盤和可移動(dòng)磁盤之類的磁介質(zhì)、磁光介質(zhì)以及cd-rom磁盤和數(shù)字多功能光盤(dvd)之類的光介質(zhì)。
舉例來說，恰當(dāng)?shù)奶幚砥靼ǎ和ㄓ锰幚砥?、專用處理器、常?guī)處理器、數(shù)字信號(hào)處理器(dsp)、多個(gè)微處理器、與dsp核相關(guān)聯(lián)的一個(gè)或多個(gè)微處理器、控制器、微控制器、專用集成電路(asic)、現(xiàn)場可編程門陣列(fpga)電路、任何一種集成電路(ic)和/或狀態(tài)機(jī)。
與軟件相關(guān)聯(lián)的處理器可以用于實(shí)現(xiàn)一個(gè)射頻收發(fā)機(jī)，以便在無線發(fā)射接收單元(wtru)、用戶設(shè)備(ue)、終端、基站、無線電網(wǎng)絡(luò)控制器(rnc)或任何主機(jī)計(jì)算機(jī)中加以使用。wtru可以與采用硬件和/或軟件形式實(shí)施的模塊結(jié)合使用，例如相機(jī)、攝像機(jī)模塊、可視電話、揚(yáng)聲器電話、振動(dòng)設(shè)備、揚(yáng)聲器、麥克風(fēng)、電視收發(fā)機(jī)、免提耳機(jī)、鍵盤、藍(lán)牙
- 還沒有人留言評(píng)論。精彩留言會(huì)獲得點(diǎn)贊！