CN106716957B - 高效且可靠的认证 - Google Patents

Abstract

一种计算设备或计算设备的安全组件通过最初向远程访问设备提供第一凭证以建立第一级别信任来实现延迟证明。第一凭证可以在计算设备或安全组件从远程安全设备获得安全信息之前或同时提供。安全信息被用来生成第二凭证，该第二凭证随后被提供给远程访问设备以建立第二级别信任。第一凭证可以包括可以在不必经由网络检索信息情况下由安全组件生成的加密密钥，并且第二凭证可以包括认证声明，该认证声明比加密密钥更值得信任并且该认证声明基于从远程安全设备（例如，证书机构服务器）检索的证书而生成。

Description

高效且可靠的认证

背景技术

计算平台（例如，计算设备）使用认证协议来与远程实体（例如，远程服务器）建立信任。认证协议被实现以呈现证据向远程实体证明计算平台包括值得信任的平台特性。现有的认证协议要求可用来生成或创建证据的制造商证书。典型地，制造商证书必须从证书机构检索，并且因此要求网络连接。相应地，如果制造商证书尚未被检索到，则用于生成或创建证据的证书对计算平台而言可能不是可容易可用的。

发明内容

本申请描述了延迟认证。计算设备或计算设备的安全组件通过最初向远程访问设备提供第一凭证以与该远程访问设备建立第一级别信任来实现延迟认证。第一凭证可以在计算设备或安全组件从远程安全设备获得安全信息之前或同时提供，该安全信息被用来生成第二凭证，该第二凭证随后被提供给远程访问设备以与该远程访问设备建立第二级别信任（例如将计算设备从第一级别更新至第二级别信任）。第一凭证可以包括可以在不必经由网络检索信息情况下由安全组件生成的加密密钥，并且第二凭证可以包括认证声明，其比加密密钥更值得信任并且基于从远程安全设备（例如证书机构服务器）检索的证书而生成。相应地，远程访问设备可以最初允许计算设备访问与所建立的第一级别信任相关联的较少的安全内容和功能，并且然后允许计算设备依照所建立的第二级别信任访问更多的安全内容和功能。

本发明内容被提供来以简化形式引入在下面的具体实施方式中进一步描述的概念的选择。本发明内容并非意在标识要求保护的主题的关键特征或必要特征，也不意在用作对确定要求保护的主题的范围的帮助。术语“技术”例如可以指如前面且贯穿本文档的情境所允许的***、方法、计算机可读指令、算法、组件、模块和/或技术。

附图说明

参照附图呈现详细描述。在图中，参考数字的最左边的（多个）数字标识该参考数字首次出现的图。不同图中相同的参考数字的使用指示相似或完全相同的项目。

图1图示了一个示例环境，在该环境中计算设备通过最初提供第一凭证且随后提供比第一凭证更值得信任的第二凭证来实现延迟认证。

图2图示了生成并使用第一凭证和第二凭证以实现延迟认证的示例计算设备的更详细的视图。

图3图示了遵照由计算设备提供的第一凭证和第二凭证行动以实现延迟认证的示例远程访问设备的更详细的视图。

图4图示了响应于特定事件实现延迟认证的示例过程。

图5图示了更详细地描述延迟认证的示例过程。

图6图示了基于所建立的信任的不同级别提供对内容和功能的访问的示例过程。

图7图示了维持固定尺寸的加密密钥池的示例过程，所述加密密钥可用于认证。

图8图示了生成针对为计算设备创建的或登记到/登记在计算设备上的单独账户的单独认证材料的示例过程。

图9图示了通知用户延迟认证并接收关于是否使用延迟认证的输入的示例过程。

具体实施方式

通过分别提供第一凭证和第二凭证，计算设备的组件（例如，操作***、浏览器、应用等）能够执行用户流程（例如，基于用户指令的过程或功能），而不必等待安全组件建立与证书机构服务器的网络连接以使得证书可被检索。如上文所讨论，使用现有认证协议，证书必须在计算设备可以被验证以使得它可以例如经由服务器访问内容和功能之前通过网络被检索。因此，比第一凭证更值得信任的第二凭证可能是计算设备不可可用的，例如在计算设备的第一引导顺序之后的短暂的时间段内，并且因而计算设备可能无法执行计算设备的用户期望执行的功能（例如，其要求远程验证）。

本文所讨论的技术实现了延迟认证，使得计算设备能够首先访问受限的内容和受限的功能（例如在第一时间段期间），同时计算设备检索可用于随后访问与受限内容和受限功能相比更安全且/或更敏感的附加内容和附加功能的证书。因此，用户不必等待计算设备在执行特定功能之前通过网络检索证书，例如该特定功能不涉及安全或敏感信息。而且，本文所讨论的技术预先生成加密密钥池以避免与密钥生成相关联的延迟。甚至进一步地，本文所讨论的技术维持针对登记到计算设备或在计算设备中/上设立的不同账户的单独认证材料。

图1图示了一个示例环境100，其中计算平台（例如，计算设备102）使用本文所讨论的技术实现延迟认证。计算设备102包括安全组件104。安全组件104可以是计算设备102的被配置成生成凭证的组件，所述凭证可被计算设备102用作关于计算设备102的操作硬件和/或操作软件安全或值得信任的证据或证明。例如，安全组件104可以包括与计算设备的其他组件分离地配置并且被配置成生成和存储特定于计算设备102的其他组件（例如，计算设备102的操作***或主机***）的凭证（例如，加密密钥、认证声明等）的专用芯片。凭证可以被提供给计算设备102的其他组件，使得它们可以用于硬件验证。在一些示例中，安全组件104可以向其他设备（例如，外部设备、远程设备等）呈现代表计算设备102的其他组件（例如，操作***、web浏览器、应用等）的凭证。

安全组件104被配置成独立于必须使用网络通信或在无须使用网络通信的情况下生成第一凭证106。第一凭证106可以被提供给计算设备102的其他组件或代表计算设备102的其他组件而被呈现，使得它们可以用于与远程实体建立第一级别信任。例如，第一凭证106可以用于最初向远程设备登记计算设备102。在各种示例中，第一凭证106可以包括能够由安全组件104生成且在安全组件104内生成的加密密钥（例如，在不必使用网络通信的情况下）。因而，加密密钥可以包括非对称密钥对、RSA（Rivest-Shamir-adleman）密钥、认可密钥（EK）、存储根密钥（SRK）、认证身份密钥（AIK）等等中的一个或多个。

如上文所讨论，为了完成配置并且自身充分做好准备，安全组件104还被配置成经由一个或网络108和/或计算设备102的其他组件（例如，网络接口）的使用来检索存储在诸如一个或多个远程安全设备112（本文中被称为远程安全设备112）之类的远程***上的安全信息110。安全组件104被配置成使用检索的安全信息110生成第二凭证114。相应地，远程安全设备112可以是受信任的第三方，比如私有证书机构，并且检索的安全信息110可以包括证书。为了检索证书，安全组件104可以向远程安全设备112呈现信息（例如AIK、预配置的认可证书等），使得远程安全设备112可以证实该信息并且随后且安全地向安全组件104发布证书。安全组件104可以使用检索的证书“核证”第一凭证106，由此产生可用于建立比第一级别信任更值得信任的第二级别信任的第二凭证114（例如，密码签名的认证证据或“认证声明”）。第二凭证114可以用于向远程实体证实或证明计算平台的操作状态是值得信任的且安全的（例如，计算设备102的组件未曾受到未授权的固件或未授权的软件修改的危害）。在一个示例实现方式中，安全组件104可以检索与直接匿名认证（DAA）相关联的安全信息110，DAA是使得远程安全设备112能够经由一个或多个网络108向安全组件104发布安全信息110（例如，证书）的密码协议。在一些示例中，远程安全设备112可以包括服务器或在网络服务（例如，云服务）内操作的其他计算设备。相应地，网络108可以包括因特网、移动电话网络（MTN）或其他各种通信技术。

如上文所讨论，远程安全设备112可以是由安全组件104和/或计算设备102的制造商维护或操作的设备（例如，证书机构服务器）。因而，安全组件104可以被配置成为了安全的目的访问远程安全设备112，并且使得它可以充分配置并且自身做好准备执行适当的设备安全功能。在各种示例中，安全组件104可以响应于特定事件访问远程安全设备112。特定事件可以包括但不限于：计算设备102的第一引导顺序，计算设备102的恢复出厂设置，安全组件102响应于安全漏洞的重配置，第一用户到计算设备102的登录，等等。

如上文所提及，可能存在一些场景，其中计算设备102的组件被命令或要求在安全组件104已经从远程安全设备112检索到安全信息110之前和/或在安全组件104充分配置它自身以使得它具有生成第二凭证114的能力之前访问一个或多个远程访问设备116（本文中被称为远程访问设备116），第二凭证114在被提供给远程实体时至少由于检索的安全信息110（例如，用于生成认证声明的证书）的缘故而比第一凭证106更值得信任。

相应地，图1图示了实现延迟认证的交互，使得计算设备102的组件可以在安全组件104已经检索到安全信息110之前访问远程访问设备116的内容和功能。换句话说，用户流程的执行（例如，响应于用户指令实现的过程）在第二凭证114不可用（例如，安全组件104不能生成第二凭证114，因为它在使用网络通信检索证书的过程中）的短暂时间段期间未被延迟。图1中图示的交互发生在（i）计算设备102与远程安全设备112之间以及（ii）计算设备102与远程访问设备116之间。如118所引用，安全组件和/或计算设备102向远程安全设备112发送针对安全信息110的请求。该请求可以包括一些信息，远程安全设备112可以使用这些信息证实请求以确保安全信息110被发布给正确的设备。响应于接收请求且如120所引用，远程安全设备112向安全组件104和/或计算设备102提供所请求的安全信息110，例如使得它可以被安全组件104用来生成第二凭证114。如122所引用，安全组件104和/或计算设备102可以最初向远程访问设备116提供第一凭证106以证明或认证它自己。安全组件104和/或计算设备102可以使用第一凭证106认证，因为安全组件104尚未被给予足够的时间来通过下述而使用网络通信充分配置它自己：向远程安全设备112发送针对安全信息110的请求，被提供所请求的安全信息110，和/或使用检索的安全信息110生成第二凭证114。换句话说，比第一凭证106更值得信任且与远程设备建立更高级别信任的第二凭证114可能在特定事件发生之后的短暂时间段（例如六十秒、九十秒、五分钟、十分钟等）内对计算设备102的组件而言是不可可用的，因为网络通信必须被建立并且被用来检索可用于生成第二凭证114的安全信息110。然而，与此同时，安全组件104被配置成独立于网络通信或在没有网络通信的情况下生成和/或提供第一凭证106。

因为第一凭证106与第二凭证114相比是更不值得信任的，所以远程访问设备116可以最初仅允许计算设备102访问受限内容和/或受限功能，如由124所引用的。然后，在稍后的时间，在安全组件104能够生成第二凭证114之后，计算设备102可以使用第二凭证114进行认证，如由126所引用。作为响应，远程访问设备116可以随后允许计算设备访问扩展的（例如附加的）内容和/或扩展的功能，如由128所引用。

作为第二凭证114比第一凭证106更值得信任的结果，扩展的内容和/或扩展的功能与受限内容和/或受限功能相比更敏感或更安全，并且因此，受限内容和/或受限功能可以与第一级别安全相关联并且扩展的内容和/或扩展的功能可以与不同于第一级别安全且提供更多保护的第二级别安全相关联。换句话说，远程访问设备116可以被配置成将第一凭证106和第二凭证114与不同级别信任（例如与更值得信任的另一个相比，一个更不值得信任）相关联，并且远程访问设备116可以以不同地保护或保卫信息的方式遵照不同级别信任行动（例如，更敏感的内容和更敏感的功能可以与更高级别的安全或保护相关联）。

图2图示了生成并使用第一凭证106和第二凭证114以实现延迟认证的示例计算设备102的更详细视图200。计算设备102可以包括各种各样的设备中的任意一种，包括便携式设备或固定设备。例如，计算设备102可以包括智能电话、移动电话、个人数字助理（PDA）、电子书设备、可穿戴设备（例如智能手表、电子眼镜等）、膝上型计算机、台式计算机、平板计算机、便携式计算机、游戏控制台、个人媒体播放器设备、服务器计算机设备或任何其他设备。

因此，计算设备102可以包括一个或多个处理器202和存储器204。处理器202可以是单个处理单元或若干单元，每一个单元可以包括多个不同处理单元。处理器可以包括微处理器、微型计算机、微型控制器、数字信号处理器、中央处理单元（CPU）、图形处理单元（GPU）等。可替换地或此外，本文所描述的技术中的一些或全部可以至少部分地由一个或多个硬件逻辑组件执行。例如且非限制，可以使用的硬件逻辑组件的说明性类型包括现场可编程门阵列（FPGA）、专用集成电路（ASIC）、专用标准产品（ASSP）、状态机、复杂可编程逻辑设备（CPLD）、其他逻辑电路、片上***（SoC）和/或执行操作的任何其他设备。在其他能力之外，处理器202可以被配置成提取并执行存储在存储器204中的计算机可读指令。

存储器204可以包括计算机可读介质中的一个或组合。当在本文中使用时，“计算机可读介质”包括计算机存储介质和通信介质。

计算机存储介质包括以用于存储信息的任何方法或技术实现的易失性和非易失性、可移动和不可移动介质，该信息比如是计算机可读指令、数据结构、程序模块或其他数据。计算机存储介质包括但不限于，相变存储器（PRAM）、静态随机存取存储器（SRAM）、动态随机存取存储器（DRAM）、其他类型随机存取存储器（RAM）、只读存储器（ROM）、电可擦除可编程ROM（EEPROM）、闪速存储器或其他存储器技术、压缩盘ROM（CD-ROM）、数字多用途盘（DVD）或其他光学存储装置、磁带盒、磁带、磁盘存储装置或其他磁性存储设备、或可以用于存储供计算设备访问的信息的任何其他介质。

与此相反，通信介质包括计算机可读指令、数据结构、程序模块或诸如载波之类的已调制数据信号中的其他数据。如本文中所定义，计算机存储介质不包括通信介质。

存储器204可以包括被配置成管理计算设备102内的且耦合到计算设备102的硬件和服务，以有益于其他组件和其他设备。例如，计算设备102的其他组件可以包括诸如浏览器（例如移动web浏览器）或应用（例如，在计算设备102上配置的“app”）之类的用户模块208。如上文所讨论，操作***206和/或用户模块208可以被配置成为了安全目的（例如，验证、认证等）使用或访问安全组件104。例如，操作***206和/或用户模块208可以请求安全组件104生成并/或提供可以用于认证计算设备102的“材料”（例如，凭证）。作为响应，安全组件104可以向其他组件提供第一凭证106或第二凭证114（如果可用），以使得其他组件可以向远程实体（例如，远程安全设备112）呈现它们。在某些实例中，安全组件104可以向远程实体呈现代表计算设备102的其他组件的第一凭证106或第二凭证114。

在各种示例中，安全组件104包括专用芯片。例如，安全组件104可以是受信任的平台模块（TPM）。因此，安全组件104可以包括密码处理器、存储安全信息（例如，加密密钥、证书等）的存储器以及实现与计算设备102的其他组件的交互的安全输入/输出接口。为此目的，安全组件104还可以被称为安全设备。而且，安全组件104可以包括配置模块210和认证模块212。当在本文中使用时，术语“模块”意在表示可执行指令的示例划分以用于讨论的目的，而并不意在表示任何类型的要求或所要求的方法、方式或组织。相应地，在各种“模块”被讨论的同时，它们的功能和/或类似功能可以被不同地布置（例如，组合成更少数量的模块，分解成更大数量的模块等）。而且，在某些功能和模块可以在本文中被描述为由在处理器上可执行的软件和/或固件实现的同时，在其他实施例中，任何或所有模块可以整体上或部分地由硬件（例如，专用处理单元等）实现以执行所描述的功能。

配置模块210被配置成与远程安全设备112交互（例如，引起交互）以检索安全信息110并充分配置安全组件104或使其准备好。上文关于图1描述了示例交互。认证模块212被配置成生成第一凭证106和第二凭证114并且/或者例如向计算设备102的其他组件提供第一凭证106和第二凭证114或在请求时提供代表计算设备102的其他组件的第一凭证106和第二凭证114，使得它们可以用作认证材料。

在各种示例中，认证模块212被配置成生成和维持加密密钥池214。加密密钥池214可以是固定尺寸，使得如果认证模块212响应于请求使用来自该池的加密密钥提供认证材料，那么认证模块212可以自动生成另一个加密密钥以添加到池并且维持池的固定尺寸（例如，十个加密密钥、十二个加密密钥等）。因此，安全组件104总是准备好提供已经生成的或预先生成的加密密钥，并且与安全组件104在接收请求之后生成加密密钥所耗费的时间量相关联的延迟可以被避免。换句话说，安全组件104的性能是更高效的并且得到改进，因为加密密钥可以立即用于提供认证材料。而且，来自加密密钥池214的加密密钥可以在安全信息110（例如，证书）尚未被检索的时候被提供作为第一凭证106，并且因此第二凭证114对计算设备102而言是不可可用的。或者，来自加密密钥池214的加密密钥可以使用检索的安全信息110签名并且被提供作为第二凭证114，例如以认证声明216的形式提供。

在另外的示例中，认证模块212被配置成检索安全信息110的单独实例并且生成针对为计算设备102创建或登记到或登记在计算设备102上的单独账户的认证材料（例如，第一凭证106和第二凭证114）的单独实例。相应地，在其中多个用户分别使用相同的计算设备的场景中，就认证而言，用户隐私从一个用户账户到另一个被保护。例如，操作***206可以被配置成管理和操作不同的用户账户218（例如，OS可以经由用户ID、口令、生物测定等等标识用户）。而且，用户模块208可以被配置成管理和操作不同的用户账户220（例如，用于第一用户的第一电子邮件账户和用于第二用户的第二电子邮件账户）。在一个实例实现方式中，认证模块212被配置成基于账户的域名（例如，“example1.com”对“example2.com”）生成和提供单独的认证材料。因此，认证模块212可以实现单独的认证材料以提供隐私，而且以使安全组件104更加可扩展以使得用于第一用户账户（例如，账户218或账户220之一）的第一认证声明（例如，认证声明216之一）仍然是安全的并且可以在用于第二用户账户的第二认证声明以某种方式变得受危害的情况下仍然被使用。在一些示例中，用户可以限定指示两个账户可以与相同认证材料相关联的设置。

图3图示了示例远程访问设备116的更详细视图300。远程访问设备116可以包括各种各样的设备中任何一种，包括便携式设备或固定设备。例如，远程访问设备116可以包括服务器或在网络服务（例如，云服务、内容提供商、服务提供商、服务器农场等）内操作的另一计算设备。相应地，远程访问设备116被配置成经由一个或多个网络108而与安全组件104和/或计算设备102通信，和/或从其中接收凭证，该网络比如是因特网（例如，Wi-Fi连接）、移动电话网络（MTN）或其他各种通信技术。

远程访问设备116包括一个或多个处理器302和存储器304。上面关于图2的处理器202和存储器204讨论了示例类型的处理器302和304。存储器304包括远程认证模块306，其被配置成从计算设备102最初接收第一凭证106并且随后接收第二凭证114。远程认证模块306使用第一凭证106和/或第二凭证114验证计算设备102，并且因此基于第一凭证106建立第一级别的信任308或者基于第二凭证114建立第二级别的信任310。如上面所讨论，远程认证模块306将第一级别的信任308与第一内容和/或第一功能312关联，并且远程认证模块306将第二级别的信任310与第二内容和/或第二功能314关联。第一内容和/或第一功能312可能是受限的，因为第一级别的信任308是使用与第二凭证114相比更不值得信任的第一凭证106建立的。相应地，与第二内容和/或第二功能314相比，第一内容和/或第一功能312可能更不安全。在使用更值得信任的第二凭证114（例如，认证声明）建立第二级别的信任310时，远程访问设备116提供对更安全的扩展的功能和/或扩展的内容（例如，第二内容和/或第二功能314）的访问。

为了进一步说明，在第一示例中，远程访问设备116可以是社交网络服务器，其被配置成最初接受第一凭证106以验证计算设备102并且随后接受第二凭证114以将对计算设备102的验证从第一级别的信任308升级到第二级别的信任310。在第一凭证106和第二凭证114的接受之间，社交网络服务器可以允许用户访问他或她的账户并且观看他或她的包括来自朋友的更新和帖子的社交网络馈送（例如，第一内容和/或第一功能312），但是可能不允许用户改变任何配置文件设置（例如，第二内容和/或第二功能314）。相反，社交网络服务器可以要求第二且更安全级别的信任310使用第二凭证114建立以使得计算设备102能够改变用于用户账户的配置文件设置。如上面所讨论，计算设备102的用户可能最近已经在零售商店购买了计算设备102，并且可能想要在计算设备102正经历激活和设置过程的同时访问他或她的社交网络页面。在访问社交网络的请求正被处理的时候，安全组件104可能尚未经由网络108检索到安全信息110，并且因此第二凭证114可能对社交网络app或web浏览器而言是不可获得的。

在第二示例中，远程访问设备116可以是在线零售服务器。在第一凭证106和第二凭证114的接受之间，在线零售服务器可以允许用户登录并且基于存储的用户兴趣观看要购买的物品（第一内容和/或第一功能312），但是可能不允许用户购物或改变支付设置（例如，第二内容和/或第二功能314）。相反，在线零售服务器可以要求第二且更安全级别的信任310使用第二凭证114建立以使得计算设备102能够实现购物或改变支付设置。

在第三示例中，远程访问设备116可以是帮助备份和同步下载的内容（例如照片、视频、支付信息等）和功能（例如，app）的各种云服务器之一。例如，用户可以从先前的计算设备（例如，更旧的智能电话）升级成新的计算设备（例如，计算设备102）。作为升级的部分，用户可以选择并购买新的计算设备并且想要在购买之后立即将来自先前的计算设备的内容和功能便利地放置在新计算设备上。在新计算设备的首次引导时，安全组件104可能没有准备好生成并提供第二凭证114，如上文所讨论。因此，支持设备同步的远程访问设备116可以被配置成遵照不同级别的信任行动，使得第一内容和/或第一功能312（例如，游戏app）可以在设备同步过程期间基于第一凭证106而被提供，并且在稍后的时间，比第一内容和/或第一功能312更安全且/或更敏感的第二内容和/或第二功能314（例如支付app、健康信息app等）可以在设备同步过程期间基于第二凭证114而被提供。

如在前述段落中的三个示例中明显的是，计算设备102仍然能够执行用户过程，即使安全组件104在某时间段内未被配置成生成和/或提供第二凭证114。换言之，如果第二凭证114是不可用的，本文描述的技术能够实现延迟认证，其中诸如远程访问之类的用户过程可以由计算设备102使用更不值得信任的认证材料执行，直到更值得信任的认证材料变得可用。

图4-9分别图示了用于采用本文描述的技术的示例过程。为了容易说明，该示例过程被描述为在图1、图2、图3或图1-3的任何组合的环境中执行。例如，示例过程的各个操作中的一个或多个可以由计算设备102、由计算设备102的安全组件104或由远程访问设备116执行。然而，过程也可以在其他环境中且由其他设备执行。

示例过程被图示为逻辑流程图，其中每个操作表示可以在硬件、软件或其组合中实现的操作的序列。在软件的情境下，这些操作表示存储在一个或多个计算机可读存储介质上的计算机可执行指令，其在被一个或多个处理器执行时配置设备以执行所叙述的操作。一般地，计算机可执行指令包括执行特定功能的例程、程序、对象、组件、数据结构等等。这些操作被描述的次序并非意在被解释为限制，并且任意数量的所描述的操作可以以任何次序和/或并行地组合以实现过程。而且，可以省略各个操作中任何一个。

图4图示了响应于特定事件实现延迟认证的示例过程400。

在402处，接收配置安全组件104的指示。例如，该指示可以由计算设备102的另一个组件（例如，操作***206）响应于诸如第一引导顺序之类的特定事件而提供给安全组件104（例如，用户最近已经从零售商店或web站点购买了计算设备102并且已经引导了计算设备102以用于初始配置和使用）。相应地，安全组件104可以发起该过程以完全配置并充分准备好它自身。

在404处，在安全组件104从远程安全设备112检索安全信息110的同时，实现延迟认证。例如，延迟认证的实现可以包括计算设备102最初使用第一且更不值得信任的凭证106，直到第二且更值得信任的凭证114可用来被安全组件104提供（例如在安全组件104已经完全配置并充分准备好它自身之后）。

在406处，使用延迟认证与远程访问设备116建立不同级别的信任。例如，计算设备102可以在其期间第二凭证114暂时不可用的时间段内访问受限的且与第一级别的安全性相关联的第一内容和/或第一功能312。然后，一旦第二凭证114变得可用，计算设备102就可以从第一级别的信任308升级至第二级别的信任310，使得可以访问被扩展的且与提供更多安全和保护的第二级别的安全性相关联的第二内容和/或第二功能314。

图5图示了更详细地描述延迟认证的示例过程500。

在502处，生成第一凭证106。例如，安全组件104的配置模块210可以在不必使用网络通信且不必访问远程安全设备112的情况下生成第一凭证。如上面所讨论，第一凭证106可以包括能够由安全组件104生成且在安全组件104内生成的加密密钥，该加密密钥包括例如非对称密钥对、RSA密钥、认可密钥（EK）、存储根密钥（SRK）、认证身份密钥（AIK）等等中的一个或多个。

在504处，促使从远程安全设备112检索安全信息110。例如，安全组件104的配置模块210可以生成请求并且例如经由计算设备102的网络接口向远程安全设备112（例如，由安全组件104和/或计算设备102的制造商维护的证书机构服务器）发送请求。该请求可以包括远程安全设备112可以使用其证实该请求的信息（例如，AIK、预配置的认可证书等），使得安全信息10（例如，证书）可以适当地被发布给计算设备102的安全组件104。

在506处，在第二凭证114变得可用之前，提供第一凭证106。例如，在请求时，安全组件104的认证模块212可以确定第二凭证114（例如，认证声明）当前不可用和/或不能被生成（例如由于缺乏制造商证书），并且因此安全组件104的认证模块212可以向计算设备102的另一个组件提供第一凭证106，使得其他组件可以使用第一凭证106建立与远程访问设备116的第一且更不值得信任级别的信任308。在一些实例中，安全组件104的认证模块212可以向远程访问设备116提供代表请求来自安全组件104的凭证的其他组件的第一凭证。在一些示例中，所提供的第一凭证106可以是来自加密密钥池214的加密密钥。

在508处，从远程安全设备112获得安全信息110。例如，远程安全设备112可以证实请求中所包括的信息并且随后向安全组件104提供证书。因此，安全组件104经由网络108从远程安全设备112获得安全信息110。

在510处，使用从远程安全设备112获得的安全信息110生成第二凭证114（例如，使其变得可用）。安全组件104可以使用检索的证书“核证”第一凭证106，由此产生第二凭证114（例如，认证声明）。

在512处，提供第二凭证，以使得它们可以用来将设备认证从第一级别的信任308升级至比第一级别的信任308更值得信任的第二级别的信任310。相应地，计算设备102可以被授权访问与经由第一级别的信任308可访问的第一内容和/或第一功能312相比更安全的第二内容和/或第二功能314。

图6图示了基于所建立的不同级别的信任提供对内容和功能的访问的示例过程600。示例过程600可以在远程访问设备116处实现。

在602处，限定与不同级别的信任相关联的设置。例如，远程认证模块306可以评估或分析内容和/或功能并且基于敏感性和重要性的程度确定与内容和/或功能相关联的信任级别。例如，可能更敏感且重要且因此可能要求建立第二级别信任310的内容和/或功能的类型可以包括支付信息、健康信息、购买动作、账户设置等。与此相反，可能不那么敏感且重要且因此可能只要求建立第一级别信任308的内容和/或功能的类型可以包括***息（例如，新闻、天气等）、游戏信息等等。

在604处，最初接收第一凭证106作为认证材料。例如，远程认证模块306可以从计算设备102接收请求连同第一凭证106，例如其被配置成向远程访问设备116登记计算设备。远程认证模块306然后可以使用第一凭证106最初核实计算设备102。

在606处，使用所述设置确定第一凭证106允许对第一内容和/或第一功能312的访问（例如，受限的访问、不那么安全的信息等）。例如，远程认证模块306可以使得或允许计算设备102能够根据所建立的第一级别的信任308访问第一内容和/或第一功能312。

在608处，随后接收第二凭证114作为认证材料。例如，在接收了关于第一凭证106的第一请求之后，远程认证模块30可以从计算设备102接收另一个请求连同第二凭证114。其他请求可以向远程访问设备116指示在第一凭证最初被提供之后更值得信任的认证材料（例如，基于检索的证书的认证声明）已变得可用，并且因此计算设备102应当从第一级别的信任308升级至第二级别的信任310。

在610处，使用所述设置确定第二凭证114允许对扩展的且与第一内容和/或第一功能312相比更安全的第二内容和/或第二功能314的访问。相应地，计算设备102的认证可以基于第二凭证114而被升级。

图7图示了维持固定尺寸的加密密钥池的示例过程700。

在702处，生成加密密钥池。例如，安全组件104的配置模块210可以在从计算设备102的其他组件接收针对加密密钥的请求之前且独立于接收该请求，生成加密密钥并且将其添加到加密密钥池。换言之，配置模块210可以例如响应于诸如第一设备引导顺序之类的特定事件而预先生成加密密钥池。

在704处，接收使用来自加密密钥池的加密密钥的请求。例如，操作***206或用户模块208可以从安全组件104请求加密密钥。

在706处，加密密钥被用作认证材料。例如，配置模块210可以使用来自加密密钥池的加密密钥提供第一凭证106。在另一个示例中，配置模块210可以使用来自加密密钥池的加密密钥生成并提供第二凭证114（例如利用检索的证书对加密密钥签名）。

在708处，生成另一个加密密钥以维持加密密钥池的固定尺寸。例如，配置模块210可以被配置成维持该池的固定尺寸，使得加密密钥总是准备好响应于从计算设备102的另一个组件接收的请求而被提供。因此，由于安全组件104响应于接收请求而生成加密密钥所花费的时间量引起的延迟可以被避免并且安全组件104的效率可以得到提高。

图8图示了生成针对为计算设备102创建或登记到/登记在计算设备102上的单独账户的单独认证材料（例如第一凭证106和第二凭证114）的示例过程800。

在802处，生成针对单独账户的认证材料。例如，认证模块212可以被提供有或可以访问单独的认证材料针对其被请求的账户的各种账户标识符。这些账户可以是与使用计算设备的各种用户相关联的操作***账户218和/或用户模块账户220。

在804处，接收提供认证材料的请求。例如，认证模块212可以从操作***206或用户模块208接收请求，该请求基于用户指令（例如，用户输入）。

在806处，标识与请求相关联的账户。例如认证模块212可以确定操作***206或用户模块208当前正在代表特定账户执行（例如，特定用户正在登录并且使用设备）。

在808处，响应于所接收的请求，提供与所标识的账户相关联的认证材料。例如，认证模块212可以提供针对所标识的账户单独生成的认证声明，同时不提供针对不同账户单独生成的认证声明。

在各种示例中，上面所讨论的延迟认证的实现方式自动执行（例如，作为背景任务）。然而，在可替换示例中，延迟认证的实现方式可以涉及用户交互和/或用户批准。

图9图示了通知用户延迟认证并接收关于是否使用延迟认证的输入的示例过程900。

在902处，接收通过网络访问内容或功能请求。例如，在购买新智能电话之后，用户可以激活移动web浏览器以观看特定web页面（例如，新闻中心、观看***信息的登陆页面等）。

在904处，确定更值得信任的认证材料（例如，第二凭证114）当前是不可用的。例如，web浏览器可以被配置成从安全组件104请求认证材料并且作为响应，可以使web浏览器意识到更值得信任的材料（例如，第二凭证114）当前是不可用的，但是更不值得信任的认证材料（例如，第一凭证106）可以立即被提供以避免用户流程的执行中的延迟。

在906处，通知用户更值得信任的认证材料当前是不可用的，但是仍然可以使用更不值得信任的认证材料处理该请求。例如，计算设备102可以经由显示器输出提示或警告。

在908处，接收用户输入，该用户输入命令计算设备使用更不值得信任的认证材料继续进行，或者等待更值得信任的认证材料变得可用。相应地，用户能够做出关于他们是否想要利用更不值得信任的认证材料继续进行的知情决定。

示例条款

示例A，一种计算设备，包括：一个或多个处理器；存储指令的存储器，该指令当在该一个或多个处理器上执行时促使该计算设备：通过向远程访问设备提供第一凭证而访问该远程访问设备处的第一信息或第一功能中至少一个；从不同于远程访问设备的远程安全设备获得安全信息；使用安全信息并且在向远程访问设备提供第一凭证之后生成第二凭证，其不能访问远程访问设备处的第二信息或第二功能中至少一个；以及通过向远程访问设备提供第二凭证而访问该远程访问设备处的第二信息或第二功能中所述至少一个，第二信息或第二功能中所述至少一个具有与第一信息或第一功能中所述至少一个不同的安全级别。

示例B，示例A的计算设备，其中第一凭证由计算设备的安全组件响应于下述而提供：从计算设备的浏览器或从计算设备的应用接收执行用户流程的请求，其中用户流程包括对远程访问设备进行验证；以及确定第二凭证是暂时不可用的，第一凭证的提供在不延迟的情况下实现用户流程的执行。

示例C，示例A或示例B的计算设备，其中指令进一步促使计算设备生成第一凭证，第一凭证的生成独立于网络通信而被实现。

示例D，示例A至示例C中任一个的计算设备，其中安全信息包括一个或多个可用于生成认证声明作为第二凭证的制造商证书，该认证声明被配置成向远程访问设备证明计算设备是值得信任的并且没有受到危害。

示例E，示例A至示例D中任一个的计算设备，其中第一凭证包括可用于向远程访问设备登记计算设备的加密密钥。

示例F，示例E的计算设备，其中指令进一步促使计算设备在第二凭证生成之前生成作为加密密钥池的部分的加密密钥。

示例G，示例F的计算设备，其中指令进一步促使计算设备维持加密密钥池的固定尺寸，使得响应于正被用于向远程访问设备登记计算设备的加密密钥而生成新的加密密钥。

示例H，示例A至示例G中任一个的计算设备，其中远程安全设备包括与计算设备或计算设备的生成第一凭证和第二凭证的安全组件中至少一个的制造商相关联的证书机构。

示例I，示例A至示例H中任一个的计算设备，其中指令进一步促使计算设备响应于计算设备的首次引导而从远程安全设备检索安全信息。

尽管上面关于计算设备描述了示例A至示例I，但是要理解，在本文档的上下文中，示例A至示例I的内容也可以经由***、计算机存储介质、方法和/或安全设备实现。

示例J，一种安全设备，包括：至少一个密码处理器；存储指令的存储器，该指令当在至少一个密码处理器上被执行时促使安全设备：提供第一凭证以在计算设备与远程访问设备之间建立第一级别的信任；获得从不同于远程访问设备的远程安全设备检索的安全信息；使用安全信息且在提供第一凭证之后生成第二凭证，第二凭证可用于在计算设备与远程访问设备之间建立第二级别的信任，第二级别的信任比第一级别的信任更值得信任；以及提供第二凭证以在计算设备与远程访问设备之间建立第二级别的信任。

示例K，示例J的安全设备，其中指令进一步促使安全设备响应于从计算设备的组件接收请求而向计算设备的该组件提供第一凭证，由此使得计算设备的该组件能够建立与远程访问设备的第一级别的信任。

示例L，示例J的安全设备，其中指令进一步促使安全设备响应于从计算设备的组件接收请求而向远程访问设备提供第一凭证以在计算设备与远程访问设备之间建立第一级别的信任。

示例M，示例J至示例L中任何一个的安全设备，其中指令进一步促使安全设备生成第一凭证，而不必通过网络访问信息。

示例N，示例J至示例M中任何一个的安全设备，其中安全信息包括可用于生成作为第二凭证的认证声明的一个或多个制造商证书，认证声明被配置成向远程访问设备证明计算设备是值得信任的并且没有受到危害。

示例O，示例J至示例N中任何一个的安全设备，其中指令进一步促使安全设备响应于计算设备的首次引导而从远程安全设备检索安全信息。

示例P，示例J至示例O中任何一个的安全设备，其中指令进一步促使安全设备：使用安全信息生成单独的认证声明；并且将单独的认证声明分别于登记到或设置在计算设备上的单独账户关联。

尽管上面关于安全设备描述了示例J至示例P，但是要理解，在本文档的上下文中，示例J至示例P的内容也可以经由***、计算机存储介质、方法和/或计算设备实现。

示例Q，一种方法，包括：由计算设备向远程访问设备提供第一凭证以建立与远程访问设备的第一级别的信任；从不同于远程访问设备的远程安全设备检索安全信息；使用F安全信息且在提供第一凭证之后生成可用于将计算设备从第一级别信任升级至第二级别信任的第二凭证，第二级别信任比第一级别的信任更值得信任；以及向远程访问设备提供第二凭证以将计算设备从第一级别信任升级至第二级别信任。

示例R，示例Q的方法，进一步包括在向远程访问设备提供第一凭证之前确定第二凭证是不可用的。

示例S，示例Q或示例R的方法，进一步包括独立于使用网络通信生成第一凭证。

示例T，示例Q至示例S中任何一个的方法，其中安全信息包括一个或多个可用于生成作为第二凭证的认证声明的制造商证书，该认证声明被配置成向远程访问设备证明计算设备是值得信任的并且没有受到危害。

尽管上面关于方法描述了示例Q至示例T，但是要理解，在本文档的上下文中，示例Q至示例T的内容也可以经由***、计算机存储介质、安全设备和/或计算设备实现。

示例U，一种***，包括：用于通过向远程访问设备提供第一凭证而访问该远程访问设备处的第一信息或第一功能中至少一个的装置；用于从不同于远程访问设备的远程安全设备获得安全信息的装置；用于使用安全信息并且在向远程访问设备提供第一凭证之后生成第二凭证的装置，第二凭证可用于访问远程访问设备处的第二信息或第二功能中至少一个；以及用于通过向远程访问设备提供第二凭证而访问该远程访问设备处的第二信息或第二功能中至少一个的装置，第二信息或第二功能中所述至少一个具有与第一信息或第一功能中所述至少一个不同的安全级别。

示例V，示例U的***，其中第一凭证响应于下述而被提供：从***的浏览器或从***的应用接收执行用户流程的请求，其中用户流程包括对远程访问设备进行验证；以及确定第二凭证是暂时不可用的，第一凭证的提供在不延迟的情况下实现用户流程的执行。

示例W，示例U或示例V的***，用于生成第一凭证的装置，其中第一凭证的生成独立于网络通信而实现。

示例X，示例U至示例W中任何一个的***，其中安全信息包括一个或多个可用于生成作为第二凭证的认证声明的制造商证书，该认证声明被配置成向远程访问设备证明***是值得信任的并且没有受到危害。

示例Y，示例U至示例X中任何一个的***，其中第一凭证包括可用于向远程访问设备登记***的加密密钥。

示例Z，示例Y的***，其中在第二凭证的生成之前，加密密钥被生成作为加密密钥池的部分。

示例AA，示例Z的***，进一步包括用于维持加密密钥池的固定尺寸以使得响应于正被用于向远程访问设备登记***的加密密钥而生成新的加密密钥的装置。

示例BB，示例U至示例AA中任何一个的***，其中远程安全设备包括与***的制造商相关联的生成第一凭证和第二凭证的证书机构。

示例CC，示例U至示例BB中任何一个的***，其中用于获得的装置响应于***的首次引导而从远程安全设备检索安全信息。

结论

尽管本公开可以使用特定于结构特征和/或方法操作的语言，但是本公开不限于本文描述的特定特征或操作。相反，所述特定特征和操作是作为实现本公开的说明性形式而被公开的。

Claims (19)

1.一种计算设备，包括：

一个或多个处理器；以及

存储指令的存储器，所述指令当在所述一个或多个处理器上被执行时促使所述计算设备：

向所述计算设备的安全组件提供执行用户流程的请求；

至少部分地基于所述请求，并且至少部分地基于第二凭证由于尚未从远程安全设备获取安全信息而暂时不可用这一确定，从所述计算设备的所述安全组件接收第一凭证；

通过向远程访问设备提供所述第一凭证而访问所述远程访问设备处的第一信息或第一功能中至少一个，提供所述第一凭证使得能够在没有所述第二凭证暂时不可用所导致的延迟的情况下执行所述用户流程；

从所述计算设备的所述安全组件接收所述第二凭证，所述第二凭证使用从所述远程安全设备获取的所述安全信息被生成，并且所述第二凭证能够用于访问所述远程访问设备处的第二信息或第二功能中至少一个，所述远程安全设备不同于所述远程访问设备；以及

通过向远程访问设备提供第二凭证而访问该远程访问设备处的第二信息或第二功能中至少一个，第二信息或第二功能中所述至少一个具有与第一信息或第一功能中所述至少一个不同的安全级别。

2.根据权利要求1所述的计算设备，其中所述用户流程包括验证所述远程访问设备。

3.根据权利要求1所述的计算设备，其中所述计算设备对所述第一凭证的生成独立于网络通信而被实现。

4.根据权利要求1所述的计算设备，其中所述安全信息包括可用于生成作为所述第二凭证的认证声明的一个或多个制造商证书，所述认证声明被配置成向所述远程访问设备证明所述计算设备是值得信任的并且没有受到危害。

5.根据权利要求1所述的计算设备，其中所述第一凭证包括可用于向所述远程访问设备登记所述计算设备的加密密钥。

6.根据权利要求5所述的计算设备，其中所述指令进一步促使计算设备：

在所述第二凭证生成之前生成作为加密密钥池的部分的加密密钥。

7.根据权利要求6所述的计算设备，其中所述指令进一步使得所述计算设备：

维持所述加密密钥池的固定尺寸，使得响应于正被用于向所述远程访问设备登记所述计算设备的加密密钥而生成新的加密密钥。

8.根据权利要求1所述的计算设备，其中所述远程安全设备包括与所述计算设备或所述计算设备的生成所述第一凭证和所述第二凭证的所述安全组件中至少一个的制造商相关联的证书机构，在用户获得所述计算设备之后，所述证书机构可由所述计算设备访问。

9.根据权利要求1所述的计算设备，其中所述指令进一步促使所述计算设备响应于所述计算设备的首次引导而从所述远程安全设备检索所述安全信息。

10.一种安全设备，包括：

至少一个密码处理器；以及

存储指令的存储器，该指令当在所述至少一个密码处理器上执行时促使所述安全设备：

接收执行针对计算设备的用户流程的请求；

确定由于尚未从远程安全设备获取安全信息，第二凭证暂时不可用

提供第一凭证以在所述计算设备与远程访问设备之间建立第一级别的信任，所述提供所述第一凭证使得能够在没有所述第二凭证暂时不可用所导致的延迟的情况下执行所述用户流程；

从所述远程安全设备获得所述安全信息，所述远程安全设备不同于所述远程访问设备；

使用安全信息，来生成所述第二凭证，所述第二凭证能够用于在所述计算设备与所述远程访问设备之间建立第二级别的信任，所述第二级别的信任比所述第一级别的信任更值得信任；以及

提供所述第二凭证以在所述计算设备与所述远程访问设备之间建立第二级别的信任。

11.根据权利要求10所述的安全设备，其中所述指令进一步促使所述安全设备向所述计算设备的组件提供所述第一凭证，由此使得所述计算设备的所述组件能够建立与所述远程访问设备的所述第一级别的信任。

12.根据权利要求10所述的安全设备，其中所述指令进一步促使所述安全设备向所述远程访问设备提供所述第一凭证，来在所述计算设备和所述远程访问设备之间建立所述第一级别的信任。

13.根据权利要求10所述的安全设备，其中所述指令进一步促使所述安全设备生成所述第一凭证而无需通过网络访问信息。

14.根据权利要求10所述的安全设备，其中所述安全信息包括可用于生成作为所述第二凭证的认证声明的一个或多个制造商证书，所述认证声明被配置成向所述远程访问设备证明所述计算设备是值得信任的并且没有受到危害。

15.根据权利要求10所述的安全设备，其中所述指令进一步促使所述安全设备：

响应于所述计算设备的首次引导，从所述远程安全设备检索所述安全信息。

16.根据权利要求10所述的安全设备，其中所述指令进一步促使所述安全设备：

使用所述安全信息生成单独的认证声明；以及

将所述单独的认证声明分别与登记到或设置在所述计算设备上的单独账户关联。

17.一种用于认证的方法，包括：

由计算设备确定第二凭证由于尚未从远程安全设备检索安全信息而暂时不可用；

由所述计算设备向远程访问设备提供第一凭证以建立与所述远程访问设备的第一级别的信任；

从所述远程安全设备检索所述安全信息，所述远程安全设备不同于所述远程访问设备；

使用所述安全信息来生成所述第二凭证，所述第二凭证能够用于将计算设备从所述第一级别的信任升级至第二级别的信任，所述第二级别的信任比所述第一级别的信任更值得信任；以及

向所述远程访问设备提供所述第二凭证以将所述计算设备从所述第一级别的信任升级至所述第二级别的信任。

18.根据权利要求17所述的方法，进一步包括在独立于使用网络通信的情况下生成所述第一凭证。

19.权利要求17所述的方法，其中所述安全信息包括能够用于生成作为所述第二凭证的认证声明的一个或多个制造商证书，所述认证声明被配置成向所述远程访问设备证明所述计算设备是值得信任的并且没有受到危害。

Images