CN103842958A - 支持***中的安全通信的实施 - Google Patents
支持***中的安全通信的实施 Download PDFInfo
- Publication number
- CN103842958A CN103842958A CN201280047648.3A CN201280047648A CN103842958A CN 103842958 A CN103842958 A CN 103842958A CN 201280047648 A CN201280047648 A CN 201280047648A CN 103842958 A CN103842958 A CN 103842958A
- Authority
- CN
- China
- Prior art keywords
- operating system
- client operating
- client
- message
- communication
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
- H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/602—Providing cryptographic facilities or services
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/606—Protecting data by securing the transmission between two devices or processes
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
- G06F9/44—Arrangements for executing specific programs
- G06F9/445—Program loading or initiating
- G06F9/44505—Configuring for program initiating, e.g. using registry, configuration files
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
- G06F9/44—Arrangements for executing specific programs
- G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
- G06F9/45533—Hypervisors; Virtual machine monitors
- G06F9/45558—Hypervisor-specific management and integration aspects
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0209—Architectural arrangements, e.g. perimeter networks or demilitarized zones
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
- H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/16—Implementing security features at a particular protocol layer
- H04L63/166—Implementing security features at a particular protocol layer at the transport layer
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
- H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F9/00—Arrangements for program control, e.g. control units
- G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
- G06F9/44—Arrangements for executing specific programs
- G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
- G06F9/45533—Hypervisors; Virtual machine monitors
- G06F9/45558—Hypervisor-specific management and integration aspects
- G06F2009/45587—Isolation or security of virtual machine instances
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
- G06Q30/00—Commerce
- G06Q30/06—Buying, selling or leasing transactions
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
- H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
- H04L63/0471—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload applying encryption by an intermediary, e.g. receiving clear information at the intermediary and encrypting the received information at the intermediary before forwarding
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- General Engineering & Computer Science (AREA)
- Computer Hardware Design (AREA)
- Theoretical Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Software Systems (AREA)
- Computing Systems (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Health & Medical Sciences (AREA)
- Bioethics (AREA)
- General Health & Medical Sciences (AREA)
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Storage Device Security (AREA)
- Telephonic Communication Services (AREA)
Abstract
一种支持***,其代表多个客户***使用与所述客户***相关联的一组凭证来协商安全连接。该安全连接的操作对客户***可以是透明的,使得客户***可以发送和接收由诸如管理程序的支持***加密或解密的消息。由于支持***是在客户***与目标之间,所以支持***可以充当到安全连接的本地端点。消息可以由支持***更改以向客户***指示哪些通信是安全的。凭证可以由支持***管理,使得客户***不需要访问凭证。
Description
背景技术
适当地配置安全通信在许多情况下会是困难的。例如,可以在操作***中配置安全通信协议,诸如安全套接层(SSL)和传输层安全性(TLS)协议。在操作***内配置协议可能需要根据形成安全通信的基础的认证机构和/或密钥对来配置证书。不仅操作***的这样的配置会是困难的,而且各协议实施、操作***或/或应用对于访问安全通信可能具有不同的配置要求,诸如加密功能。不仅区别配置要求可能难以实施,而且如果操作***或应用尚未被适当地硬化,则凭证和/或私人密钥可能处于由侵入者通过服务器危害的丢失危险。因为密钥可能由侵入者使用,所以私人密钥的丢失导致安全通信的加密益处中的信任丢失。
试图从操作***配置来卸载加密已经导致若干应用编程接口。例如,已经在虚拟机中使用公共密钥加密标准PKCS#11来暴露密码原语(cryptographic primitive),而不将密钥本身暴露于客户操作***。然而,因为不同的软件对于使用PKCS#11可能具有不同的要求,所以解决方案难以配置。虽然已经采用各种技术有效地简化对安全通信的使用,但是由于任务的复杂性,所以所采用的技术具有不同的成就。
附图说明
图1示出根据至少一个实施方案的到客户操作***的安全通信消息流的说明性实例;
图2示出根据至少一个实施方案的可以被用来实现虚拟环境中的安全通信的过程的说明性实例;
图3示出根据至少一个实施方案的可以被用来接收虚拟环境中的安全通信的过程的说明性实例;
图4示出根据至少一个实施方案的可以被用来发送虚拟环境中的安全通信的过程的说明性实例;
图5示出根据至少一个实施方案的可以被用来准备安全通信的虚拟机的过程的说明性实例;
图6示出根据至少一个实施方案的可以被用来配置安全通信的网页的说明性实例;
图7示出根据至少一个实施方案的由在服务提供器内的支持***进行的对凭证的转移和使用的说明性实例;以及
图8图示其中各实施方案可以被实施的环境。
具体实施方式
在以下描述中,将描述各种实施方案。为了解释的目的,阐明特定配置和细节以便提供对这些实施方案的透彻理解。然而,对于本领域的技术人员显而易见的是可以在没有特定细节的情况下实践这些实施方案。另外,可能省略或简化众所周知的特征,以免使所描述的实施方案晦涩难懂。
本文所描述和建议的技术包括用于在代表客户操作***的支持***中实施安全通信的***和方法。例如,在诸如管理程序(hypervisor)的虚拟环境中支持***可以代表客户操作***在主机上一个或多个客户操作***之间对通信进行协商、加密和解密。除在管理一个或多个客户操作***中的正常职责之外,管理程序还可以处理目标计算***和客户操作***之间的消息。管理程序可以使用识别客户操作***的凭证来生成和保存与目标计算***的安全通信信道。在安全通信信道打开时,管理程序可以为各安全通信会话存储相关联的密钥、机密信息和其它状态信息。通过检查各传入(incoming)或传出(outgoing)通信的路由,管理程序可以匹配可以被用来处理通信(诸如,对通信加密或解密)的状态。由管理程序处理消息可以允许安全通信对客户操作***透明。例如,客户操作***可以通过虚拟驱动器发送解密的消息,所述解密的消息由管理程序捕捉并且在离开主机之前被加密。通过提供安全通信,管理程序可以保护客户操作***的机密免受客户操作***的危害,以及减轻配置客户操作***的负担。安全通信也可以提供消息完整性、真实性和/或保密性的益处。
图1图示根据至少一个实施方案的其中可以执行支持***中的安全通信的实施的环境100的实例。物理机器104上的管理程序102可以对客户操作***106提供服务。客户操作***106可以发送消息和从其它计算设备接收消息,所述其它计算设备包括膝上型计算机108、台式计算机110和移动装置112(包括移动电话)。例如,图2-4示出可以被用来发送和/或接收安全消息的过程的说明性实例。管理程序102可以与计算设备108、110、112协商安全连接并且保存与各安全连接相关联的状态信息114。明文消息120(或由在客户操作***106内运行的高级应用程序加密的消息)可以由客户操作***106发送并且由管理程序102捕捉。管理程序102可以使用与客户操作***106和目标计算设备相关联的状态信息114以根据明文消息120准备安全消息122。然后,安全消息122可以被发送至它们的目标计算设备108、110、112。
传入安全消息也可以由管理程序处理。传入安全消息122可以由管理程序检查以确定目标客户操作***和源计算设备108、110、112。然后,使用所确定的目标和来源,管理程序102可以使用相关联的状态信息114来准备明文消息120和/或验证安全消息122的完整性。然后,明文消息120可以被发送至客户操作***106。
虽然管理程序102已经被论述为用于客户操作***的支持***的实例,但是其它配置也可以是可能的,包括其它硬件和/或软件实施方式。管理程序可以被视为虚拟化支持***,包括***中的Dom0、Hyper-V***中的母分区和由虚拟化***提供给客户操作***的服务。在一个实施方案中,可以使用***件,诸如加密处理器或硬件安全性模块(HSM)。取决于多个客户操作***106是否由HSM支撑,管理程序可以促进与HSM和客户操作***通信。例如,管理程序102可以通过客户操作***目标将安全消息路由至HSM。然后,从HSM接收的明文消息可以由管理程序102接收并且被路由至客户操作***106。在另一个实施方案中,支持***可以是虚拟驱动器。通过使用基于哈希消息验证代码(HMAC)和加密,虚拟驱动器可以提供安全连接的益处,诸如消息完整性、真实性和保密性。例如,由客户操作***使用虚拟驱动器可以指示对安全连接的使用。驱动器可以签署HMAC和加密传出消息。HMAC可以证明消息完整性和权威性,因为仅私人密钥的持有者可以签署消息,签署也通过哈希函数验证消息的完整性。已经加密,消息也可以是合理推测的机密。在另一个实施方案中,一个或多个支持***可以为客户***提供安全通信,所述客户***例如具有在计算机***的硬件上直接运行的操作***的计算机***。例如,支持***可以是代表可以是其它计算资源的客户***接收消息的计算资源。计算***可以从客户***接收明文消息并且对将由安全协议发送的消息进行处理。接收的消息可以被处理并且被以明文发送至目标客户***。一个优势可以是,客户***可以受到保护免受访问凭证。例如,客户***可能不可以直接访问凭证,除非用户选择一个设置来允许直接访问凭证。在一些实施方案中,仅服务提供器可以访问凭证;客户***不可以。
由于明文消息不留信任边界,所以在至少一些情况下,消息仍然可以被视为安全的。信任边界可以由其中所有子***是可信的***来限定。由于明文消息在物理机器边界中或通过到HSM的可信的连接被准备,所以明文消息可以不留可信的计算设备(包括网络设备)的边界。如果客户操作***被视为不如支持***安全,诸如情况可能是不断发展的应用或***,则机密可以实际上被视为在支持***更加安全。例如,应用可能具有由侵入者可利用的弱点,该弱点允许侵入者到客户操作***中。然而,由于私人信息由管理程序存储,所以私人信息(诸如私人密钥)是侵入者不可访问的,因为客户操作***不可访问私人信息。在一些实施方案中,由于管理程序和其它计算资源可以由实体管理,所以用户仅可以访问客户操作***。如果实体在硬化***中比用户经验更多,则用户可能希望实体来管理私人信息和安全连接。
若干优势可以通过将安全通信的责任从客户操作***移动到支持***(诸如,管理程序)来实现。例如,安全通信可以独立于操作***。由于安全通信实施是在管理程序中,所以各种版本和品牌的客户操作***可以利用安全通信。安全通信协议的版本可以以对客户操作***更小的潜在影响在管理程序中被更新。可以以安全通信配置或冲突的更小的潜在附加复杂性来更新客户操作***。通过在支持***中实施,自动化可以变得更加实际。由于管理程序的配置可以是类似的交叉主机(across hosts),所以如果尽管在客户操作***中没有相同的差异,则自动化需要仅针对管理程序。因为服务器的管理者将不必学习如何手动地配置服务器,所以安全通信诸如SSL和/或TLS的自动化配置可能是期望的。由于自动化,实现SSL/TLS和/或再循环证书和其它机密的应用编程接口(API)自动化也可以被实现。通过自动化,安全通信可以以最低的配置变得对开发者更加透明,因以明文发送的消息由支持***而不是由客户操作***保护。例如,开发者将仅需要指挥应用使用通信信道通信来请求安全通信,所述通信信息诸如在客户操作***上可见的驱动器、适配器、IP地址或端口。诸如管理程序的支持***可以通过信道接收消息并且实施与由客户操作***上的应用指定的目标设备的安全通信。将安全通信功能移动至支持层的其它优势包括但不限于,在没有任何应用特定的重配置或改变的情况下对协议升级的能力(加密灵活性)、以及在没有操作***或应用特定支持的情况下以标准方式利用(leverage)任意硬件加密加速器的能力。
在一个实施方案中,如可以在图1中看到的,主机上的管理程序可以代表客户操作***通过安全通信过程200保护通信。一些或所有的过程200(或本文中所描述的任意其它过程或变型和/或其组合)可以在配置有可执行指令的一个或多个计算机***的控制下被执行,并且可以被实施为由硬件在一个或多个处理器上总体地执行的代码(例如,可执行指令、一个或多个计算机程序或一个或多个应用)或其组合。代码可以存储在例如以包括由一个或多个处理器可执行的多个指令的计算机程序的形式的计算机可读存储介质上。计算机可读存储介质可以是非暂态的。
管理程序可以接收传入消息201。如果消息需要202进一步的安全性处理,管理程序可以接收203如与客户操作***和外部计算***安全通信的请求的请求。另外,管理程序可以转发222未被处理的消息。管理程序可以代表客户操作***使用客户操作***凭证(诸如,IP地址、密钥和/或证书信息)来协商204安全协议。与协议相关的信息及其状态,诸如交换的密钥、机密和其它状态数据,可以被存储206并且与客户操作***相关联。然后,消息可以由管理程序从外部计算***和/或客户操作***接收208。如果消息被传入210,则管理程序可以确定212客户操作***目标和外部计算***源。使用目标和来源,管理程序可以查阅状态信息和客户操作***凭证以便解密214和验证传入消息。验证可以验证消息的完整性和真实性。然后,明文消息可以被发送216至客户操作***。如果通信完成218,则管理程序可以通过终止到外部计算***的通信链路和删除相关联的状态信息来结束通信220。如果通信未完成218,则***可以等候更多消息208。
如果从客户操作***210接收明文传出消息,则管理程序可以使用客户操作***源连同相关联的消息目标来检索224状态信息。使用状态信息,管理程序可以利用HMAC加密226和/或签署明文传出消息。然后,加密传出消息可以被发送至目标228。如果通信完成218,则管理程序可以终止会话220。否则,管理程序可以等候下一个消息208。
若干优势可以在图2中所示的过程200中获得。新传入安全通信消息对客户操作***可以是透明的。利用新传入通信,管理程序可以与请求的始发人协商,而不联系目标客户操作***。一旦管理程序已经完成协商,则安全消息就可以在始发人和客户操作***之间被输送。可以访问各客户操作***的凭证的单个管理程序也可以对多个客户操作***提供服务。各客户操作***可以具有其自身的凭证,诸如证书、IP地址、密钥和其它各种信息。这些凭证可以分散到(resolve to)由管理程序控制的物理主机。由于管理程序充当客户操作***和外部世界之间的网关,所以管理程序可以代表各个客户操作***协商,无需由外部***参与协商的配置或知识。例如,传入通信可以通过硬件接口进入。管理程序可以接收从硬件接口接收通信并且确定通信是安全通信。使用客户操作***的凭证,管理程序可以步进到客户操作***的角色来生成并且维持安全连接。由于管理程序可以总是到客户操作***的路由的部分,所以使用安全连接的计算设备可能不能辨别管理程序正在协商并且保护代表客户操作***的消息。
管理程序的配置可以包括选择用于传出和传入安全连接的选项。在一个实施方案中,管理员可以在多个选项之间选择以便确定哪个通信应被保护,诸如:保护所有的连接,限定安全和不安全的端口,自动检测消息是否被视为安全的,限定安全和不安全的IP地址,以及限定安全和不安全的适配器。例如,端口22和端口80上的网络通信量可以被视为不安全的,但是端口443上的通信量可能被保护。在另一个实施方案中,客户操作***可以具有两个IP地址。其中IP地址可以用来接收不安全的消息,而第二地址可以指示管理程序形成和维持安全连接。管理程序可以确定通信是否由明晰的或隐含的信息保护。在一个实施方案中,传入网络通信量可以诸如通过检查含蓄地被限定。例如,如果输入信息通过诸如SSL/TLS的协议显示为安全的,则管理程序可以使用确定的安全协议。在另一个实施方案中,传入网络通信量可以被明确地限定,诸如通过指定的端口或IP地址的通信量。
转向图3,其图示可以由计算机***(诸如,图1的物理机器104)执行的过程。在一个实施方案中,主机上的管理程序可以处理通过接收处理300接收的安全消息。管理程序可以接收302传入消息。如果消息不是安全消息304并且消息是306安全通信控制消息,则接着可以是安全通信控制过程。控制消息的实例可以包括信号交换或重新协商。管理程序控制过程可以确定308目标客户操作***以使用协商中的客户操作***凭证。发送者可以被确定310为与状态信息相关联。使用所确定的信息,管理程序可以与代表客户操作***发送者协商312安全连接的任何改变或安全连接的准备。新的且经修改的状态信息可以被保存并且与客户操作***和发送者相关联314。在另一个实例中,管理程序可以截取请求以重新建立安全连接。使用保存的状态信息,诸如会话信息,通信可以继续。
如果消息是304安全的消息,则管理程序可以通过确定316客户操作***目标和确定318发送者信息来开始消息接收过程。使用目标和发送者信息,管理程序可以查阅相关联的状态信息。使用状态信息,管理程序可以对消息解密320和/或验证。然后,解密的消息可以被发送322至客户操作***。假定解密322和/或验证未通过,管理程序可以对故障做出反应,诸如请求另一个消息,报告故障,终止连接和/或重新协商连接。
如果消息被确定304为不是安全消息并且被确定306为不是安全通信控制消息,则消息可以被视为324不安全的消息。取决于用户设置,不安全的消息可以或可以不被允许。在一些实施方案中,可以拒绝所有不安全的消息。在其它实施方案中,可以将不安全的消息提供给不安全的消息处理过程。例如,管理程序可以确定,限定客户操作***上的端口的所有消息可能是安全的,而其它限定端口可以接收不安全的消息。在一个实施方案中,规则也可以与防火墙协调,使得不安全的消息路由被挡在可信的网络的外部,而安全的消息可以被允许通过防火墙。
转向图4,其图示可以由计算机***(诸如,图1的物理机器104)执行的过程。如在该图中所示,当从客户操作***接收消息时,在主机上的管理程序可以使用安全发送过程诸如发送过程400。管理程序可以从客户操作***接收402传出消息。如果消息不是406目前安全连接的部分,但是需要408安全连接,则安全连接可以被协商。例如,可能需要建立或重新协商安全连接。使用客户操作***的凭证,安全连接可以代表客户操作***由管理程序协商410。连接的状态可以被存储412为与客户操作***和安全连接的接收相关联。要么在操作412之后已经准备安全连接或具有当前连接406,可以使用状态信息来对接收的消息414加密。然后,加密消息可以被发送416至接收者。在一些实施方案中,不安全的消息可以被允许,其既不具有目前安全连接406也不需要安全连接408。根据用户设置,不安全的消息可以因此被处理418。在一个实施方案中,所有的通信必须是安全的。任意不安全的通信可能被放弃和/或引发错误。
管理程序可以确定消息的发送是否应被保护。管理程序可以明确地或含蓄地确定对安全通信的需要。例如,如果连接当前通向目标计算***,则与目标通信可以被含蓄地假定为使用安全通信。在另一个实例中,各传入消息可以被检查,使得显现为安全的或需要被保护的消息可以由管理程序处理。在一些实施方案中,所有的传出通信被假定为安全的。在另一个实施方案中,客户操作***可以通过API调用来请求由目标开启的新的安全通信信道。另外,通信可以通过正常通信信道。在其它实施方案中,客户操作***可以使用诸如驱动器、虚拟适配器、IP地址或端口通信信道来明确地选择安全通信由。
因此,支持***,诸如管理程序,可以确保多个计算设备和主机上的多个客户操作***之间的连接。可以适应安全连接的两个初始传入和初始传出请求。使用分配给客户操作***的凭证,支持***可以代表客户操作***在产生和维持安全连接中起作用。支持***可以使用通信信道来为各个客户操作***确定哪个通信安全或通过。在一个实施方案中,支持***可以修改消息标头,诸如HTTP标头,以指示通信通过安全连接被接收。
管理程序可以驻留在数据平面内的主机***中,其可以由控制平面管理。改变的请求可以由控制平面接收并且在数据平面中的计算资源上被执行。例如如在图5中看到的,用户可以请求控制平面来实现在计算资源上的安全通信。控制平面可以接收502来自用户的请求。作为响应,控制平面可以生成密钥并且请求504为计算资源颁发的凭证。证书信息可以被输送至计算资源的支持***(诸如管理程序)以便当被需要时安装、存储506和使用。然后,使用用户提供的设置,安全通信可以被实现508。
用户指定的配置可以通过多个信道接收,所述多个信道包括API调用、应用和网络位置。用于配置支持***中的安全通信网站600的实例在图6中示出。网站600可以由网络浏览器602访问。网站可以包含当前配置信息(诸如,服务器604的名称)、当前证书信息606和当前安全协议配置信息608。作为值的交换,添加安全通信的报价610可以作为对用户的服务被提供。用户可以在多个选项612之间选择以配置安全通信服务。在示出的实施方案中,用户可以在多个选项之间选择以配置哪个通信应是安全的。这些选项包括总是使用安全通信,仅使用安全通信的特定端口,自动检测安全通信,为安全通信使用特定IP地址或通过虚拟以太网适配器。若需要,则用户也可以请求通过修改消息(诸如,HTTP标头)来保护通信的指示。然后,用户可以点击按钮616来实现在选定的客户操作***上的安全通信。在示出的实施方案中,安全通信在被设置的过程中。进程指示器618可以指示使得管理程序能够代表选定的客户操作***安全通信的自动设置过程的进展。
在用户点击按钮616以实现安全通信之后,控制平面可以开始为选定的客户操作***建立安全通信的过程。例如,控制平面可以接收请求以为客户操作***设置安全通信。控制平面可以生成代表客户操作***的公共/私人密钥对。使用关于客户操作***和公共密钥的识别信息,控制平面请求颁发给客户操作***的数字凭证。然后,控制平面可以将安全通信设置信息(诸如,数字凭证、密钥和其它安全信息)通过可信的网络输送至管理程序。管理程序可以代表客户操作***存储安全设置信息以便在准备安全通信中使用。一旦完成,管理程序可以通知控制平面设置已经完成。然后,控制平面可以通知用户,设置已经完成并且安全通信可以被实现。在一些实施方案中,该过程可以通过点击按钮616运行,而无需进一步用户干预。在其它实施方案中,可以允许用户干预,诸如输入数字凭证和/或密钥对信息,而不是为用户生成所述数字凭证和/或密钥对信息。
服务提供器712可以通过使得支持***能够截取和保护至客户***706、728的通信和来自客户***706、728的通信来实现安全通信。客户***的实例可以包括物理计算机***,该物理计算机***包括直接在物理计算机***的硬件上运行的操作***,并且服务提供器凭证生成和使用700的实例可以在图7中看到。客户通过计算资源702可以请求在由客户维持的客户***706上实现安全通信。在控制平面内服务器704可以接收实现安全通信的请求并且生成请求以便为客户***706生成凭证710。控制平面可以管理数据平面(诸如,客户***706)中的计算资源。凭***708可以生成和设置凭证710。该凭证生成可以包括联系证书机构以获得有效的数字证书。在接收凭证710之后,服务器704可以将凭证发送至对客户***706的安全通信负责的支持***。在一个实施方案中,支持***可以是网络设备,诸如,网络连接***件718。在图7所示的实施方案中,网络连接***件718被包含在开关716内,而网络连接***件718在其它实施方案中可以独一无二。网络连接***件718可以接收凭证710和配置以保护到达客户***706的通信和起源于客户***706的通信。例如,传入安全消息720可以由到服务提供器712的网关721接收并且被路由通过到开关716的内部网络714,对客户***706提供安全通信服务。网络连接***件718可以解密和/或验证传入安全消息720,产生明文消息722。然后,明文消息722可以被发送至目标客户***706。来自客户***706的传出消息可以由网络连接***件718拦截。传出消息可能受保护,包括被加密,和通过内部网络714发送,出网关721和通过互联网724到达目标***。
在图7中所示的另一个实施方案中,***件730可以驻留在主计算机728内部,诸如增强的网络接口卡(NIC)或安全性协同处理硬件。***件730可以截取到主计算机728的传入通信并且对传入安全消息720解密。解密的明文消息722可以被发送至主计算机728内的客户***,无论虚拟与否。传出明文通信也可以被拦截并且被保护(包括加密)以提供安全通信。
可以鉴于下列条款来描述本公开的示例实施方案:
1.一种用于提供安全通信的计算机实施的方法,其包括:
在配置有可执行指令的一个或多个计算机***的控制下,
由管理程序接收与客户操作***相关联的一组凭证;
由所述管理程序代表所述客户操作***使用所述一组凭证、使用安全协议来建立到计算设备的安全连接,所述管理程序充当所述安全连接的本地端点;
由所述管理程序接收从所述客户操作***到所述计算设备的一个或多个传出消息;
由所述管理程序代表所述客户操作***使用所述安全协议和所述一组凭证对从所述客户操作***到所述计算设备的所述一或多一个或多个传出消息加密,所述一或多一个或多个传出消息变成一或多一个或多个传出加密的消息;
由所述管理程序使用所述安全协议将所述传出加密的消息发送至所述计算设备;
由所述管理程序从所述计算设备接收一个或多个传入加密的消息;
由所述管理程序代表所述客户操作***使用所述安全协议和所述一组凭证对来自所述计算设备的所述一个或多个传入加密的消息进行解密,所述一个或多个传入加密的消息变成一个或多个传入解密的消息;以及
将所述一个或多个传入解密的消息发送至所述客户操作***。
2.根据条款1所述的计算机实施的方法,其中协商包括存储如与所述客户操作***和所述计算设备相关联的协议状态信息,所述协议状态信息使用所述客户操作***和所述计算设备的识别信息可检索,所述协议状态信息在对所述一个或多个传出消息加密和对所述一个或多个加密传入消息解密期间被使用。
3.根据条款2所述的计算机实施的方法,其中解密包括:
检查所述一个或多个加密传入消息以确定在所述传入通信中引用的所述计算设备和所述客户操作***的识别信息;
使用所述客户操作***和所述计算设备的所述确定的识别信息来检索所述协议状态信息;以及
使用所述已检索的协议状态信息对所述一个或多个加密传入消息解密。
4.根据条款2所述的计算机实施的方法,其中加密包括:
从客户操作***接收一个或多个传出消息,所述客户操作***具有识别信息;
检查所述一个或多个传出消息以确定在所述一个或多个传出消息中引用的所述计算设备的识别信息;
使用所述客户操作***和所述计算设备的所述识别信息来检索所述协议状态信息;以及
使用所述已检索的协议状态信息对所述一个或多个传出消息加密。
5.根据条款1所述的计算机实施的方法,其中解密包括将所述一个或多个传入解密的消息路由至所述客户操作***,在一组两个或更多个客户操作***之间的所述客户操作***由所述管理程序管理。
6.根据条款1所述的计算机实施的方法,其中解密包括在向所述客户操作***提供所述一个或多个传入解密的消息之前验证所述一个或多个传入加密的消息的完整性和真实性。
7.一种用于提供安全通信的计算机实施的方法,其包括:
在配置有可执行指令的一个或多个计算机***的控制下,
由主机***的支持***接收将设备与所述主机***上的客户操作***安全连接的请求,所述主机***具有所述支持***并且被配置成托管(host)至少一个客户操作***;
由所述支持***接收与所述客户操作***相关联的一组凭证;
由所述支持***代表所述客户操作***使用所述一组凭证来建立与所述设备的安全连接,所述支持***代替所述客户操作***充当所述安全连接的端点;以及
由所述支持***通过所述安全连接在所述客户操作***和所述设备之间发送一个或多个通信,所述支持***处理所述一个或多个通信以实现所述安全连接。
8.根据条款7所述的计算机实施的方法,所述方法进一步包括:
由所述主机***的所述支持***接收将所述第二设备与所述主机***上的第二客户操作***第二安全连接的请求;
由所述支持***检索与所述第二客户操作***相关联的第二组凭证;
由所述支持***代表所述第二客户操作***使用所述第二组凭证来建立与所述第二设备的第二安全连接,所述支持***代替所述第二客户操作***充当所述第二安全连接的端点;以及
由所述支持***通过所述第二安全连接在所述第二客户操作***和所述第二设备之间发送一个或多个第二通信。
9.根据条款7所述的计算机实施的方法,其中使用所述一组凭证进一步包括:由所述支持***代表所述客户操作***来存储所述一组凭证,所述一组凭证对于所述客户操作***而言是不可读的。
10.根据条款7所述的计算机实施的方法,其中所述支持***是管理程序。
11.根据条款7所述的计算机实施的方法,其中发送一个或多个通信进一步包括使用安全协议对所述一个或多个通信加密。
12.根据条款11所述的计算机实施的方法,其中所述安全协议是传输层安全。
13.根据条款7所述的计算机实施的方法,其中所述支持***是硬件安全性模块。
14.根据条款7所述的计算机实施的方法,其中所述支持***是所述主机***内的独立处理器。
15.根据条款7所述的计算机实施的方法,其中所述支持***通过所述安全连接对所述通信中的至少一些加密。
16.一种用于实现安全连接的计算机***,其包括:
一个或多个处理器;以及
存储器,其包括可由所述一个或多个处理器执行的指令以促使所述计算机***至少:
由具有一组客户***的支持***从所述一组客户***接收指向客户***的安全通信;
由所述支持***从所述一组客户***选择所述安全通信被指向的客户***;以及
由所述主机***使用表示所述选定的客户操作***的身份的一组凭证向所述选定的客户操作***提供解密的消息,所述解密的消息由所述安全通信准备,所述凭证对于所述选定的客户***而言是不可用的。
17.根据条款16所述的***,所述***进一步包括硬件安全性模块,所述硬件安全性模块与所述一个或多个处理器通信,所述硬件安全性模块对所述一个或多个处理器中的至少一个提供加密服务和解密服务,所述支持***可访问所述硬件安全性模块以对所述消息解密。
18.根据条款16所述的***,其中所述支持***是硬件安全性模块。
19.根据条款16所述的***,其中所述支持***是网络设备,所述支持***被放置成在所述一个或多个客户***和网络之间,从所述网络接收所述安全通信。
20.根据条款17所述的***,其中提供解密的消息进一步包括:
将所述安全通信发送至所述硬件安全性模块;以及
从所述硬件安全性模块接收所述解密的消息。
21.根据条款16所述的***,其中提供解密的消息进一步包括:
通过通信的第一信道接收所述安全通信,所述通过所述第一信道接收促使所述支持***来对所述安全通信解密,其中所述支持***被配置成对通过所述第一信道接收的通信解密;以及
使通过通信的第二信道接收的一个或多个通信通行至所述客户***,其中所述支持***被配置成使通过第二信道接收的通信通行(pass through)。
22.根据条款16所述的***,其中提供解密的消息进一步包括更改所述解密的消息以指示所述解密的消息先前被加密。
23.根据条款16所述的***,其中所述一组凭证包括分配给所述客户操作***的私人密钥。
24.一个或多个计算机可读存储介质,具有共同存储在其上的可执行指令,所述可执行指令当被计算机***的一个或多个处理器执行时,促使所述计算机***至少:
由支持***接收将设备与客户***安全连接的请求;
由所述支持***检索与所述客户***相关联的一组凭证,所述凭证被保护免受由所述客户***访问;
由所述支持***代表所述客户***使用所述一组凭证来建立与所述设备的安全连接,所述支持***代替所述客户***充当所述安全连接的端点;以及
由所述支持***通过所述安全连接在所述客户***和所述设备之间发送一个或多个通信。
25.根据条款24所述的计算机可读存储介质,所述介质进一步包括指令,所述指令当被计算***的一个或多个处理器执行时,促使所述计算机***至少:
接收将安全连接服务添加到所述客户***的请求,所述服务使用所述支持***代表所述客户***来管理安全连接;
向所述客户***请求所产生的一组凭证;以及
由所述支持***存储所述一组凭证。
26.根据条款25所述的计算机可读存储介质,所述介质进一步包括指令,所述指令当被计算机***的一个或多个处理器执行时,促使所述计算机***至少:
向客户发送报价以将所述安全连接服务添加到所述客户***作为费用的交换;以及
从所述用户接收费用作为添加所述安全连接服务的交换,接收的值指示将所述安全连接服务添加到所述客户***的请求被发送。
27.根据条款26所述的计算机可读存储介质,其中所述支持***选***络硬件、网卡、驱动器和管理程序组成的组。
28.根据条款24所述的计算机可读存储介质,其中对安全连接的所述请求通过使用通信信道发生,其中通过所述安全信道的连接被配置成是安全的。
29.根据条款28所述的计算机可读存储介质,其中所述通信信道选自由端口、虚拟适配器和源IP地址组成的组。
30.根据条款24所述的计算机可读存储介质,其中所述支持***嵌入在附接到所述客户***的网络接口卡内。
图8图示用于实施根据各种实施方案的方面的环境800的实例。如将理解的,尽管基于网络的环境用于解释的目的,但是视情况可以使用不同的环境来实施各种实施方案。环境包括电子客户端设备802,其可以包括可操作以经由适当的网络804发送和接收请求、消息或信息以及将信息传回至设备的用户的任何适当的设备。此类客户端设备的实例包括个人计算机、蜂窝式电话、手持式消息传送设备、膝上型计算机、机顶盒、个人数据助理、电子书阅读器等。网络可以包括任何适当的网络,包括企业内部网、互联网、蜂窝式网络、局域网或任何其它此类网络或其组合。用于这样的***的部件可以至少部分地取决于选定的网络和/或环境的类型。用于经由这样的网络通信的协议和部件是众所周知的,并且在本文中将不再详细地讨论。经由网络的通信可以由有线或无线连接和其组合启用。在此实例中,网络包括互联网,因为该环境包括用于接收请求并响应于该请求而提供内容服务的网络服务器806,尽管对于其它网络,如本领域的普通技术人员将显而易见的,可以使用用作类似目的的替代设备。
图示的环境包括至少一个应用服务器808和数据存储器810。应理解,可以存在若干应用服务器、层和/或其它元件、过程或部件,其可以被链接或以其它方式被配置,且可以交互以执行如从适当的数据存储器获得数据的任务。本文中所用的术语“数据存储器”指能够存储、访问和检索数据的任何设备或设备的组合,其可以包括在任何标准、分布式或集群环境中的任何组合和数目的数据服务器、数据库、数据存储设备和数据存储介质。应用服务器可以包括任何适当的硬件和软件,其用于视需要与数据存储器集成以执行客户端设备的一个或多个应用的方面、处理应用的大部分的数据访问和业务逻辑。应用服务器提供与数据存储器配合的访问控制服务,并且可以产生内容,如待传送至用户的文本、图形、音频和/或视频,在此实例中,此内容可以用HTML、XML或另一适当的结构化语言的形式由网络服务器提供给用户。对所有请求和响应的处理以及在客户端设备802与应用服务器808之间内容的传递可以由相应的网络服务器来处理。应理解,网络服务器和应用服务器不是必需的且仅仅是示例性部件,因为这里所述的结构化代码可以在任何适当的设备或主机上执行,如在本文中别处所讨论的。
数据存储器810可以包括用于存储与特定方面相关的数据的若干单独的数据表、数据库或其它数据存储机制和介质。例如,图示的数据存储器包括用于存储可以被用来为生产方提供内容的生产数据812和用户信息816的机制。数据存储器也被示出为包括用于存储记录数据814,所述记录数据814可以被用于报告、分析或其它这样的目的。应理解,可以存在可能需要存储在数据存储器中的许多其它方面,如访问权信息,其可以存储在以上列出的任何适合机制中或数据存储器810中的额外机制中。数据存储器810通过与其相关联的逻辑可操作以从应用服务器808接收指令,并且响应于所述指令而获取、更新或以其它方式处理数据。在一个实例中,用户可以提交对特定类型的内容的搜索请求。在此情况下,数据存储器可以访问用户信息以验证用户的身份,并且可以访问内容信息以获得关于该类型的内容的实例的信息。然后,可以将信息传回至用户,如在用户可以经由用户设备802上的浏览器查看网页上的结果列表。在浏览器的专用页面或窗口中可以查看所感兴趣的特定项目的信息。
每个服务器一般将包括提供用于该服务器的一般管理和操作的可执行程序指令的操作***,并且一般将包括存储指令的计算机可读介质(例如,硬盘、随机存取存储器、只读存储器等),该指令当被服务器的处理器执行时,允许服务器执行其预期功能。服务器的操作***和一般功能性的适当实施是已知的或可商购,并且由本领域的普通技术人员容易地实现,特别是根据本文中的公开内容。
在一个实施方案中,环境是分布式计算环境,其利用使用一个或多个计算机网络或直接连接经由通信链路互连的若干计算机***和部件。然而,本领域的普通技术人员将了解,此***可以在具有比图8中所示的部件数目更少或更多的部件的***中同样良好地操作。因此,图8中***800的描述应被认为本质上是说明性的,而不是限于本公开的范围。
各种实施方案可以进一步在很多不同的操作环境中被实施,在一些情况下这些操作环境可以包括可以用于操作任何数目的应用的一个或多个用户计算机、计算设备或处理设备。用户或客户端设备可以包括任何数目的通用个人计算机,如运行标准操作***的台式计算机或膝上型计算机,以及运行移动软件并且能够支持许多网络连接和消息传送协议的蜂窝式、无线和手持型设备。这样的***也可以包括为实现如开发和数据库管理的目的而运行任何各种可商购的操作***和其它已知应用的许多工作站。这些设备也可以包括其它电子设备,如能够经由网络通信的虚拟终端、精简型客户端、游戏***和其它设备。
大多数实施方案使用本领域的技术人员熟悉的用于使用各种商购协议(诸如,TCP/IP、OSI、FTP、UPnP、NFS、CIFS和AppleTalk)来支持通信的至少一个网络。网络可以是(例如)局域网、广域网、虚拟专用网络、互联网、内联网、外联网、公共交换电话网络、红外网络、无线网络及其任何组合。
在利用网络服务器的实施方案中,网络服务器可运行各种服务器或中间层应用中的任何一个,包括HTTP服务器、FTP服务器、
CGI服务器、数据服务器、Java服务器和业务应用服务器。服务器可能也能够响应于来自用户设备的请求而例如通过执行一个或多个网络应用来执行程序或脚本,所述网络应用可实施为以例如C、C#或C++的任何编程语言或例如Perl、Python或TCL及其组合的任何脚本语言编写的一个或多个脚本或程序。服务器也可包括数据库服务器,包括但不限于从和可商购的服务器。
环境可以包括如上文所述的各种数据存储和其它存储器和存储介质。它们可驻留在各种位置中,诸如在一个或多个计算机本地(和/或驻留在其中)或对于网络上的任何计算机或所有计算机为远程的存储介质上。在实施方案的特定集中,信息可驻留在本领域的技术人员熟悉的存储区域网络(“SAN”)中。类似地,用于执行归因于计算机、服务器或其它网络设备的功能的任何必需的文件可根据情况存储在本地和/或远程。在***包括计算机化设备的情况下,每个这样的设备可包括可通过总线电耦接的硬件元件,该元件包括例如至少一个中央处理单元(CPU)、至少一个输入设备(例如,鼠标、键盘、控制器、触摸屏或小键盘)和至少一个输出设备(例如,显示设备、打印机或扬声器)。这样的***也可包括一个或多个存储设备,例如,磁盘驱动器、光学存储设备和固态存储设备,诸如随机存取存储器(“RAM”)或只读存储器(“ROM”),以及可移动介质设备、存储卡、闪存卡等。
这样的设备也可包括如上文所述的计算机可读存储介质读写器、通信设备(例如,调制解调器、(无线或有线)网卡、红外通信设备等)和工作存储器。计算机可读存储介质读写器可与计算机可读存储介质连接或者被配置来接收计算机可读存储介质,所述计算机可读存储介质代表远程、本地、固定和/或可移动存储设备以及用于暂时和/或更永久地包含、存储、传输和检索计算机可读信息的存储介质。***和各种设备通常也将包括许多软件应用、模块、服务或位于至少一个工作存储器设备内的其它元件,包括操作***和应用程序,例如客户端应用或网络浏览器。应理解,替代实施方案可具有许多与上文描述的不同的变体。例如,也可使用定制的硬件,和/或特定元件可用硬件、软件(包括便携软件,例如,小程序)或两者来实施。另外,可以采用到例如网络输入/输出设备的其它计算设备的连接。
用于包含代码或代码的部分的存储介质和计算机可读介质可包括在本领域中已知或使用的任何适当的介质,包括存储介质和通信介质,例如但不限于以用于信息(诸如计算机可读指令、数据结构、程序模块或其它数据)的存储和/或传输的任何方法或技术来实施的易失性和非易失性、可移动和不可移动介质,包括RAM、ROM、EEPROM、快闪存储器或其它存储器技术、CD-ROM、数字多功能盘(DVD)或其它光学存储、磁带盒、磁带、磁盘存储或其它磁存储设备,或可用来存储所需信息且可由***设备访问的任何其它介质。基于本文提供的公开和教导,本领域的普通技术人员将理解实施各种实施方案的其它方式和/或方法。
因此,本说明书和附图应被理解为是说明性而不是限制性的。然而,很明显,在不脱离如权利要求书所阐述的本发明的较宽广的精神和范围的情况下,可进行各种修改和改变。
其它变型在本公开的精神内。因此,虽然所公开的技术容易受各种修改和替代结构的影响,但是其某些图示的实施方案在附图中示出并且已经在上文详细地描述。然而,应理解,不旨在将要求保护的主题的范围限制于公开的一种或多种特殊形式,而是相反,旨在覆盖落入如所附权利要求限定的各个实施方案的精神和范围内的所有修改、替代构造和等同物。
在描述所公开的实施方案的上下文(特别是在以下权利要求书的上下文)中使用的用语“一个(a/an)”和“所述”和类似的指代应被理解为包括单数和复数,除非本文另有指示或明显与上下文冲突。用语“包括”、“具有”、“包含”和“含有”应被理解为开放式的用语(即,意指“包括但不限于”),除非另有指定。用语“连接”应被理解为部分或完全包括在其中、附接到或连接在一起,即使有一些干预。本文中的值的范围的叙述仅旨在充当个别指示落入范围内的每个单独值的速记方法,除非本文另有指示,且每个单独值均被并入说明书,如同其在本文被个别陈述一样。本文描述的所有方法可用任何适当的次序来执行,除非本文另有指示或明显与上下文冲突。本文提供的任何和所有实例或示例性语言(例如,“诸如”)的使用仅旨在更好地说明实施方案而不是限制本发明的范围,除非另有说明。说明书中的语言不应被理解为指示任何未被请求的元件对于实践至少一个实施方案是必需的。
本文描述了本公开的优选实施方案,包括发明人已知的用于执行本发明的最佳模式。本领域的普通技术人员在阅读上文描述之后将显而易见这些优选实施方案的变化。发明者预期熟练技术人员根据需要使用这样的变化,且发明者预计将以本文具体描述的方式之外的方式配置实施方案。因此,适当的实施方案包括如适用法律允许的权利要求书中所述主题的所有修改和等同物。另外,在本发明的所有可能变化中上述元件的任何组合被设想为并入某个适当的实施方案,除非本文另有指示或明显与上下文冲突。
本文引用的包括公开案、专利申请案和专利案的所有参考在此以引用的方式并入,如同每个参考都被个别地并具体地指示为以引用的方式并入并在本文完整地被阐述。
Claims (15)
1.一种用于提供安全通信的计算机实施的方法,其包括:
在配置有可执行指令的一个或多个计算机***的控制下,
由主机***的支持***接收将设备与所述主机***上的客户操作***安全连接的请求,所述主机***具有所述支持***并且被配置成托管至少一个客户操作***;
由所述支持***接收与所述客户操作***相关联的一组凭证;
由所述支持***代表所述客户操作***使用所述一组凭证来建立与所述设备的安全连接,所述支持***代替所述客户操作***充当所述安全连接的端点;以及
由所述支持***通过所述安全连接在所述客户操作***和所述设备之间发送一个或多个通信,所述支持***处理所述一个或多个通信以实现所述安全连接。
2.根据权利要求1所述的计算机实施的方法,所述方法进一步包括:
由所述主机***的所述支持***接收将所述第二设备与所述主机***上的第二客户操作***第二安全连接的请求;
由所述支持***检索与所述第二客户操作***相关联的第二组凭证;
由所述支持***代表所述第二客户操作***使用所述第二组凭证来建立与所述第二设备的第二安全连接,所述支持***代替所述第二客户操作***充当所述第二安全连接的端点;以及
由所述支持***通过所述第二安全连接在所述第二客户操作***和所述第二设备之间发送一个或多个第二通信。
3.根据权利要求1所述的计算机实施的方法,其中使用所述一组凭证进一步包括:由所述支持***代表所述客户操作***来存储所述一组凭证,所述一组凭证对于所述客户操作***而言是不可读的。
4.根据权利要求1所述的计算机实施的方法,其中所述支持***是管理程序,是附接到所述主机***的硬件安全性模块,嵌入在附接到所述主机***的网络接口卡内,或是所述主机***内的单独的处理器。
5.根据权利要求1所述的计算机实施的方法,其中发送一个或多个通信进一步包括使用安全协议对所述一个或多个通信加密。
6.根据权利要求5所述的计算机实施的方法,其中所述安全协议是传输层安全。
7.根据权利要求1所述的计算机实施的方法,其进一步包括:
接收将安全连接服务添加到所述主机***上的所述客户操作***的请求,所述服务使用所述支持***代表所述客户操作***来管理安全连接;
请求与所述客户操作***相关联的所述一组凭证;以及
由所述支持***存储所述一组凭证。
8.根据权利要求7所述的计算机实施的方法,其进一步包括:
收取费用作为将所述安全连接服务添加到所述客户操作***的交换。
9.根据权利要求1所述的计算机实施的方法,其中所述支持***通过所述安全连接对所述通信中的至少一些加密。
10.一种用于实现安全连接的计算机***,其包括:
一个或多个处理器;以及
存储器,其包括可由所述一个或多个处理器执行的指令以促使所述计算机***至少:
由具有一组客户***的支持***从所述一组客户***接收指向客户***的安全通信;
由所述支持***从所述一组客户***选择所述安全通信被指向的客户***;以及
由所述主机***使用表示所述选定的客户操作***的身份的一组凭证向所述选定的客户操作***提供解密的消息,所述解密的消息由所述安全通信准备,所述凭证对于所述选定的客户***而言是不可用的。
11.根据权利要求10所述的***,所述***进一步包括硬件安全性模块,所述硬件安全性模块与所述一个或多个处理器通信,所述硬件安全性模块向所述一个或多个处理器中的至少一个提供加密服务和解密服务,所述支持***可访问所述硬件安全性模块以对所述消息解密。
12.根据权利要求10所述的***,其中所述支持***是网络设备,所述支持***被放置成在所述一个或多个客户***和网络之间,从所述网络接收所述安全通信。
13.根据权利要求10所述的***,其中提供解密的消息进一步包括:
通过通信的第一信道接收所述安全通信,所述通过所述第一信道的接收促使所述支持***来对所述安全通信解密,其中所述支持***被配置成对通过所述第一信道接收的通信解密;以及
使通过通信的第二信道接收的一个或多个通信通行至到所述客户***,其中所述支持***被配置成使通过第二信道接收的通信通行。
14.根据权利要求10所述的***,其中提供解密的消息进一步包括更改所述解密的消息以指示所述解密的消息先前被加密。
15.根据权利要求10所述的***,其中所述一组凭证包括分配给所述客户操作***的私人密钥。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201710256404.0A CN106998331B (zh) | 2011-09-29 | 2012-09-28 | 支持***中的安全通信的实施 |
Applications Claiming Priority (3)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
US13/248,980 | 2011-09-29 | ||
US13/248,980 US9037511B2 (en) | 2011-09-29 | 2011-09-29 | Implementation of secure communications in a support system |
PCT/US2012/057918 WO2013049571A1 (en) | 2011-09-29 | 2012-09-28 | Implementation of secure communications in a support system |
Related Child Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201710256404.0A Division CN106998331B (zh) | 2011-09-29 | 2012-09-28 | 支持***中的安全通信的实施 |
Publications (2)
Publication Number | Publication Date |
---|---|
CN103842958A true CN103842958A (zh) | 2014-06-04 |
CN103842958B CN103842958B (zh) | 2017-04-05 |
Family
ID=47993497
Family Applications (2)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201280047648.3A Active CN103842958B (zh) | 2011-09-29 | 2012-09-28 | 支持***中的安全通信的实施 |
CN201710256404.0A Active CN106998331B (zh) | 2011-09-29 | 2012-09-28 | 支持***中的安全通信的实施 |
Family Applications After (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201710256404.0A Active CN106998331B (zh) | 2011-09-29 | 2012-09-28 | 支持***中的安全通信的实施 |
Country Status (10)
Country | Link |
---|---|
US (2) | US9037511B2 (zh) |
EP (1) | EP2761426B1 (zh) |
JP (1) | JP5799173B2 (zh) |
CN (2) | CN103842958B (zh) |
AU (2) | AU2012315751C1 (zh) |
BR (1) | BR112014007798B1 (zh) |
CA (1) | CA2849911C (zh) |
RU (1) | RU2584570C2 (zh) |
SG (2) | SG2014011571A (zh) |
WO (1) | WO2013049571A1 (zh) |
Cited By (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN105577637A (zh) * | 2014-10-31 | 2016-05-11 | 英特尔公司 | 用于安全虚拟网络功能间通信的技术 |
CN107209843A (zh) * | 2015-01-30 | 2017-09-26 | 高通股份有限公司 | 安全执行环境通信 |
WO2020140268A1 (en) * | 2019-01-04 | 2020-07-09 | Baidu.Com Times Technology (Beijing) Co., Ltd. | Method and system for providing secure communications between a host system and a data processing accelerator |
Families Citing this family (50)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US8931063B2 (en) | 2008-07-28 | 2015-01-06 | Evan S. Huang | Methods and apparatuses for securely operating shared host computers with portable apparatuses |
US8943318B2 (en) * | 2012-05-11 | 2015-01-27 | Verizon Patent And Licensing Inc. | Secure messaging by key generation information transfer |
US9270453B2 (en) | 2011-06-30 | 2016-02-23 | Verizon Patent And Licensing Inc. | Local security key generation |
US8990554B2 (en) | 2011-06-30 | 2015-03-24 | Verizon Patent And Licensing Inc. | Network optimization for secure connection establishment or secure messaging |
US9154527B2 (en) | 2011-06-30 | 2015-10-06 | Verizon Patent And Licensing Inc. | Security key creation |
US9037511B2 (en) | 2011-09-29 | 2015-05-19 | Amazon Technologies, Inc. | Implementation of secure communications in a support system |
US10103875B1 (en) * | 2011-12-20 | 2018-10-16 | Amazon Technologies, Inc. | Authentication through a secret holding proxy |
US9930066B2 (en) | 2013-02-12 | 2018-03-27 | Nicira, Inc. | Infrastructure level LAN security |
CN104219208B (zh) * | 2013-06-03 | 2018-11-13 | 华为技术有限公司 | 一种数据输入的方法、装置 |
US10033693B2 (en) | 2013-10-01 | 2018-07-24 | Nicira, Inc. | Distributed identity-based firewalls |
US9106620B2 (en) * | 2013-11-14 | 2015-08-11 | Comcast Cable Communications, Llc | Trusted communication session and content delivery |
US9442751B2 (en) | 2014-03-24 | 2016-09-13 | International Business Machines Corporation | Virtual credential adapter for use with virtual machines |
US9792447B2 (en) | 2014-06-30 | 2017-10-17 | Nicira, Inc. | Method and apparatus for differently encrypting different flows |
FR3029311B1 (fr) * | 2014-11-27 | 2017-01-06 | Thales Sa | Procede de gestion d'une architecture et architecture associee |
US10606626B2 (en) * | 2014-12-29 | 2020-03-31 | Nicira, Inc. | Introspection method and apparatus for network access filtering |
US10552619B2 (en) * | 2015-07-20 | 2020-02-04 | Intel Corporation | Technologies for secure trusted I/O access control |
US10230529B2 (en) * | 2015-07-31 | 2019-03-12 | Microsft Technology Licensing, LLC | Techniques to secure computation data in a computing environment |
US10324746B2 (en) | 2015-11-03 | 2019-06-18 | Nicira, Inc. | Extended context delivery for context-based authorization |
US10228926B2 (en) * | 2016-01-28 | 2019-03-12 | T-Mobile Usa, Inc. | Remote support installation mechanism |
US9898326B2 (en) * | 2016-02-23 | 2018-02-20 | Red Hat Israel, Ltd. | Securing code loading in a virtual environment |
EP3430562B1 (en) * | 2016-03-18 | 2020-04-01 | Telefonaktiebolaget LM Ericsson (PUBL) | Using nano-services to secure multi-tenant networking in datacenters |
US11388588B2 (en) * | 2016-05-13 | 2022-07-12 | Nokia Solutions And Networks Oy | Optimized small data transmission over uplink |
US20170353353A1 (en) | 2016-06-03 | 2017-12-07 | Uptake Technologies, Inc. | Provisioning a Local Analytics Device |
WO2017210496A1 (en) * | 2016-06-03 | 2017-12-07 | Uptake Technologies, Inc. | Provisioning a local analytics device |
RU2626550C1 (ru) * | 2016-08-09 | 2017-07-28 | Акционерное Общество "Научно-Исследовательский Институт Микроэлектронной Аппаратуры "Прогресс" | Программно-аппаратная платформа и способ ее реализации для беспроводных средств связи |
US10798073B2 (en) | 2016-08-26 | 2020-10-06 | Nicira, Inc. | Secure key management protocol for distributed network encryption |
US10938837B2 (en) | 2016-08-30 | 2021-03-02 | Nicira, Inc. | Isolated network stack to manage security for virtual machines |
US10447668B1 (en) | 2016-11-14 | 2019-10-15 | Amazon Technologies, Inc. | Virtual cryptographic module with load balancer and cryptographic module fleet |
US10461943B1 (en) * | 2016-11-14 | 2019-10-29 | Amazon Technologies, Inc. | Transparently scalable virtual hardware security module |
US10715607B2 (en) | 2016-12-06 | 2020-07-14 | Nicira, Inc. | Performing context-rich attribute-based services on a host |
US11032246B2 (en) | 2016-12-22 | 2021-06-08 | Nicira, Inc. | Context based firewall services for data message flows for multiple concurrent users on one machine |
US10803173B2 (en) | 2016-12-22 | 2020-10-13 | Nicira, Inc. | Performing context-rich attribute-based process control services on a host |
US10805332B2 (en) | 2017-07-25 | 2020-10-13 | Nicira, Inc. | Context engine model |
US10812451B2 (en) | 2016-12-22 | 2020-10-20 | Nicira, Inc. | Performing appID based firewall services on a host |
US10802858B2 (en) | 2016-12-22 | 2020-10-13 | Nicira, Inc. | Collecting and processing contextual attributes on a host |
US10581960B2 (en) | 2016-12-22 | 2020-03-03 | Nicira, Inc. | Performing context-rich attribute-based load balancing on a host |
GB2558918B (en) * | 2017-01-19 | 2020-01-29 | Exacttrak Ltd | Security Device |
US10447697B2 (en) | 2017-05-25 | 2019-10-15 | Bank Of America Corporation | Data leakage and information security using access control |
US10778651B2 (en) | 2017-11-15 | 2020-09-15 | Nicira, Inc. | Performing context-rich attribute-based encryption on a host |
US10862773B2 (en) | 2018-01-26 | 2020-12-08 | Nicira, Inc. | Performing services on data messages associated with endpoint machines |
US10802893B2 (en) | 2018-01-26 | 2020-10-13 | Nicira, Inc. | Performing process control services on endpoint machines |
US11729612B2 (en) * | 2018-03-08 | 2023-08-15 | Cypress Semiconductor Corporation | Secure BLE just works pairing method against man-in-the-middle attack |
US11240135B1 (en) | 2018-05-23 | 2022-02-01 | Open Invention Network Llc | Monitoring VNFCs that are composed of independently manageable software modules |
JP7127585B2 (ja) * | 2019-03-12 | 2022-08-30 | オムロン株式会社 | セーフティシステムおよびメンテナンス方法 |
US11443052B2 (en) | 2019-03-21 | 2022-09-13 | Microsoft Technology Licensing, Llc | Secure area in a file storage system |
US11658821B2 (en) * | 2019-04-23 | 2023-05-23 | At&T Mobility Ii Llc | Cybersecurity guard for core network elements |
EP4000212B1 (en) * | 2019-07-15 | 2024-01-31 | Mystery Story Technology Ltd. | System, device and methods for secure exchange of text messages |
US11539718B2 (en) | 2020-01-10 | 2022-12-27 | Vmware, Inc. | Efficiently performing intrusion detection |
US11108728B1 (en) | 2020-07-24 | 2021-08-31 | Vmware, Inc. | Fast distribution of port identifiers for rule processing |
US11956350B2 (en) * | 2021-03-31 | 2024-04-09 | Seagate Technology Llc | Yes and no secret sharing with hidden access structures |
Citations (7)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN1448017A (zh) * | 2000-07-05 | 2003-10-08 | 恩斯特&扬有限责任合伙公司 | 提供计算机服务的方法和设备 |
US6895501B1 (en) * | 2000-03-13 | 2005-05-17 | Wrq, Inc. | Method and apparatus for distributing, interpreting, and storing heterogeneous certificates in a homogenous public key infrastructure |
US20070171921A1 (en) * | 2006-01-24 | 2007-07-26 | Citrix Systems, Inc. | Methods and systems for interacting, via a hypermedium page, with a virtual machine executing in a terminal services session |
US20090282266A1 (en) * | 2008-05-08 | 2009-11-12 | Microsoft Corporation | Corralling Virtual Machines With Encryption Keys |
US20090288167A1 (en) * | 2008-05-19 | 2009-11-19 | Authentium, Inc. | Secure virtualization system software |
WO2011081935A2 (en) * | 2009-12-14 | 2011-07-07 | Citrix Systems, Inc. | Methods and systems for communicating between trusted and non-trusted virtual machines |
CN102195940A (zh) * | 2010-03-12 | 2011-09-21 | 北京路模思科技有限公司 | 一种基于虚拟机技术安全输入和提交数据的方法和*** |
Family Cites Families (27)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US6606663B1 (en) | 1998-09-29 | 2003-08-12 | Openwave Systems Inc. | Method and apparatus for caching credentials in proxy servers for wireless user agents |
US6735634B1 (en) | 1999-06-10 | 2004-05-11 | Blue Coat Systems | Method for real time protocol media recording |
CA2450601C (en) | 2001-06-12 | 2012-10-16 | Research In Motion Limited | System and method for compressing secure e-mail for exchange with a mobile data communication device |
US8340283B2 (en) | 2004-06-30 | 2012-12-25 | International Business Machines Corporation | Method and system for a PKI-based delegation process |
US7587366B2 (en) | 2004-10-14 | 2009-09-08 | International Business Machines Corporation | Secure information vault, exchange and processing system and method |
US7437447B2 (en) | 2004-11-12 | 2008-10-14 | International Business Machines Corporation | Method and system for authenticating a requestor without providing a key |
US7581229B2 (en) * | 2005-03-11 | 2009-08-25 | Microsoft Corporation | Systems and methods for supporting device access from multiple operating systems |
US7685635B2 (en) * | 2005-03-11 | 2010-03-23 | Microsoft Corporation | Systems and methods for multi-level intercept processing in a virtual machine environment |
US20060294366A1 (en) * | 2005-06-23 | 2006-12-28 | International Business Machines Corp. | Method and system for establishing a secure connection based on an attribute certificate having user credentials |
US20090119504A1 (en) | 2005-08-10 | 2009-05-07 | Riverbed Technology, Inc. | Intercepting and split-terminating authenticated communication connections |
JP2007266938A (ja) | 2006-03-28 | 2007-10-11 | Seiko Epson Corp | デジタルストリームデータ通信 |
JP2008078878A (ja) | 2006-09-20 | 2008-04-03 | Nec Corp | セッション制御システム、セッション代行装置、通信方法、およびプログラム |
US8479264B2 (en) | 2006-09-29 | 2013-07-02 | Micron Technology, Inc. | Architecture for virtual security module |
EP1914959B1 (en) * | 2006-10-19 | 2011-12-28 | Motorola Mobility, Inc. | Method and apparatus for recovery from network disconnections in a peer-peer network |
JP2008299617A (ja) | 2007-05-31 | 2008-12-11 | Toshiba Corp | 情報処理装置、および情報処理システム |
JP2009223776A (ja) | 2008-03-18 | 2009-10-01 | Univ Of Tsukuba | 情報処理システム及び情報処理システム用プログラム並びにクライアント装置のアクセス制御方法 |
EP2316071A4 (en) | 2008-06-19 | 2011-08-17 | Servicemesh Inc | CLOUD DATA PROCESSING GATEWAY, CLOUD DATA PROCESSING HYPERVISOR, AND METHOD FOR IMPLEMENTING THEM |
JP2010062738A (ja) | 2008-09-02 | 2010-03-18 | Fujitsu Ltd | ネットワーク設定プログラム,ネットワーク設定方法及びネットワーク設定装置 |
US8051432B2 (en) | 2008-11-14 | 2011-11-01 | Novell, Inc. | Techniques for establishing virtual devices |
US8732700B2 (en) * | 2008-12-18 | 2014-05-20 | Vmware, Inc. | Virtualization system with a remote proxy |
US8296567B2 (en) | 2009-07-15 | 2012-10-23 | Research In Motion Limited | System and method for exchanging key generation parameters for secure communications |
US20110225093A1 (en) | 2010-03-11 | 2011-09-15 | Cahn Robert S | Depository-Based Security Trading System |
JP5499913B2 (ja) | 2010-06-02 | 2014-05-21 | ソニー株式会社 | 通信装置、通信方法及び通信システム |
US8572728B2 (en) | 2010-06-08 | 2013-10-29 | Hewlett-Packard Development Company, L.P. | Initiation of storage device scans |
KR101673622B1 (ko) | 2011-01-28 | 2016-11-08 | 삼성전자주식회사 | 무선통신 시스템에서 서비스품질에 따른 서비스 제공 방법 및 장치 |
US20120310679A1 (en) | 2011-06-03 | 2012-12-06 | Kent Dana Olson | Method and apparatus for insuring against crop losses |
US9037511B2 (en) * | 2011-09-29 | 2015-05-19 | Amazon Technologies, Inc. | Implementation of secure communications in a support system |
-
2011
- 2011-09-29 US US13/248,980 patent/US9037511B2/en active Active
-
2012
- 2012-09-28 WO PCT/US2012/057918 patent/WO2013049571A1/en active Application Filing
- 2012-09-28 CA CA2849911A patent/CA2849911C/en active Active
- 2012-09-28 BR BR112014007798-3A patent/BR112014007798B1/pt active IP Right Grant
- 2012-09-28 JP JP2014533394A patent/JP5799173B2/ja active Active
- 2012-09-28 SG SG2014011571A patent/SG2014011571A/en unknown
- 2012-09-28 SG SG10201605750TA patent/SG10201605750TA/en unknown
- 2012-09-28 CN CN201280047648.3A patent/CN103842958B/zh active Active
- 2012-09-28 EP EP12834621.0A patent/EP2761426B1/en active Active
- 2012-09-28 RU RU2014117204/08A patent/RU2584570C2/ru active
- 2012-09-28 CN CN201710256404.0A patent/CN106998331B/zh active Active
- 2012-09-28 AU AU2012315751A patent/AU2012315751C1/en active Active
-
2015
- 2015-05-18 US US14/714,982 patent/US9607162B2/en active Active
- 2015-08-20 AU AU2015215904A patent/AU2015215904B2/en active Active
Patent Citations (8)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US6895501B1 (en) * | 2000-03-13 | 2005-05-17 | Wrq, Inc. | Method and apparatus for distributing, interpreting, and storing heterogeneous certificates in a homogenous public key infrastructure |
CN1448017A (zh) * | 2000-07-05 | 2003-10-08 | 恩斯特&扬有限责任合伙公司 | 提供计算机服务的方法和设备 |
US20070171921A1 (en) * | 2006-01-24 | 2007-07-26 | Citrix Systems, Inc. | Methods and systems for interacting, via a hypermedium page, with a virtual machine executing in a terminal services session |
CN101410803A (zh) * | 2006-01-24 | 2009-04-15 | 思杰***有限公司 | 用于提供对计算环境的访问的方法和*** |
US20090282266A1 (en) * | 2008-05-08 | 2009-11-12 | Microsoft Corporation | Corralling Virtual Machines With Encryption Keys |
US20090288167A1 (en) * | 2008-05-19 | 2009-11-19 | Authentium, Inc. | Secure virtualization system software |
WO2011081935A2 (en) * | 2009-12-14 | 2011-07-07 | Citrix Systems, Inc. | Methods and systems for communicating between trusted and non-trusted virtual machines |
CN102195940A (zh) * | 2010-03-12 | 2011-09-21 | 北京路模思科技有限公司 | 一种基于虚拟机技术安全输入和提交数据的方法和*** |
Cited By (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN105577637A (zh) * | 2014-10-31 | 2016-05-11 | 英特尔公司 | 用于安全虚拟网络功能间通信的技术 |
CN107209843A (zh) * | 2015-01-30 | 2017-09-26 | 高通股份有限公司 | 安全执行环境通信 |
WO2020140268A1 (en) * | 2019-01-04 | 2020-07-09 | Baidu.Com Times Technology (Beijing) Co., Ltd. | Method and system for providing secure communications between a host system and a data processing accelerator |
Also Published As
Publication number | Publication date |
---|---|
CN103842958B (zh) | 2017-04-05 |
AU2012315751C1 (en) | 2016-01-21 |
AU2015215904B2 (en) | 2017-03-02 |
AU2012315751A1 (en) | 2014-04-17 |
SG2014011571A (en) | 2014-04-28 |
CN106998331A (zh) | 2017-08-01 |
CA2849911C (en) | 2017-02-07 |
EP2761426B1 (en) | 2019-01-23 |
WO2013049571A1 (en) | 2013-04-04 |
JP2014529272A (ja) | 2014-10-30 |
AU2012315751B2 (en) | 2015-06-04 |
AU2015215904A1 (en) | 2015-09-17 |
US9037511B2 (en) | 2015-05-19 |
CN106998331B (zh) | 2020-09-15 |
BR112014007798B1 (pt) | 2021-06-15 |
US20150347763A1 (en) | 2015-12-03 |
RU2014117204A (ru) | 2015-11-10 |
JP5799173B2 (ja) | 2015-10-21 |
RU2584570C2 (ru) | 2016-05-20 |
BR112014007798A2 (pt) | 2017-04-18 |
US20130085880A1 (en) | 2013-04-04 |
EP2761426A1 (en) | 2014-08-06 |
EP2761426A4 (en) | 2015-07-29 |
CA2849911A1 (en) | 2013-04-04 |
SG10201605750TA (en) | 2016-09-29 |
US9607162B2 (en) | 2017-03-28 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN103842958A (zh) | 支持***中的安全通信的实施 | |
CN111095327B (zh) | 用于验证可验证声明的***和方法 | |
CN111066020B (zh) | 用于创建去中心化标识的***和方法 | |
CN111095865B (zh) | 用于发布可验证声明的***和方法 | |
US11991273B2 (en) | Storage device key management for encrypted host data | |
EP3556073B1 (en) | Secure data distribution of sensitive data across content delivery networks | |
US20150169899A1 (en) | Storing user data in a service provider cloud without exposing user-specific secrets to the service provider | |
WO2018112075A1 (en) | Secure data egress for sensitive data across networks | |
WO2018112071A1 (en) | Secure data ingestion for sensitive data across networks | |
US11799861B2 (en) | Secure access management for tools within a secure environment | |
JP2014529272A5 (zh) | ||
EP2354996B1 (en) | Apparatus and method for remote processing while securing classified data | |
US10547597B2 (en) | Secure network connections | |
JP2022502882A (ja) | ハイブリッド・クラウドkmsソリューションにおけるhsmの自己破壊方法、システム、プログラム | |
US11750566B1 (en) | Configuring virtual computer systems with a web service interface to perform operations in cryptographic devices | |
US20210281608A1 (en) | Separation of handshake and record protocol | |
US11968293B2 (en) | Private key management | |
US11201856B2 (en) | Message security |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
C06 | Publication | ||
PB01 | Publication | ||
C10 | Entry into substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
GR01 | Patent grant | ||
GR01 | Patent grant |