CN113946815A - 用于联邦学习和隐私计算的授权方法 - Google Patents

Abstract

本申请涉及用于联邦学习和隐私计算的授权方法。所述方法应用于授权方，包括：获得待验证进程的授权标识；确定所述待验证进程的授权标识是否被包括在所述授权方存储的合法授权标识列表中，其中，所述待验证进程初次启动时以及每次重新启动时均被分配新的唯一授权标识并且调用所述待验证进程不改变该唯一授权标识；如果是，授权所述待验证进程；如果否，验证所述待验证进程的证书是否合法并且当判断所述验证进程的证书合法后将所述待验证进程的授权标识添加到所述授权方存储的合法授权标识列表中。如此改进了授权过程并克服了难以感知进程重启等难题。

Description

用于联邦学习和隐私计算的授权方法

技术领域

本申请涉及数据安全和隐私保护技术领域，具体涉及一种用于联邦学习和隐私计算的授权方法。

背景技术

随着人工智能和大数据挖掘分析等应用领域的发展，对数据量的需求越来越大。例如训练人工智能的应用模型需要使用大量带有合适的数据标签或者特征数值的训练数据。高质量的数据往往来源于经营活动中产生和积累的应用数据。但是应用数据往往分散在不同的组织和个体手上，例如交易数据分散在各个金融机构，医疗诊断数据分散在各个医疗机构。跨行业跨领域的应用数据往往也是分散的，例如互联网领域的社交属性数据和电商交易数据往往由不同实体掌控。随着数据所有权的重要性、用户隐私和数据安全等受到更多重视，也随着法律法规对数据收集处理提出更严格的约束和要求，掌握应用数据的各个组织或个体往往不愿意或者没有合适手段进行彼此之间的合作，从而很难让各自掌握的应用数据共同发挥作用。这种数据分享和协同合作方面的困境被称之为数据孤岛现象。为了解决跨行业跨组织的数据合作难题，尤其是关键的隐私保护及数据安全的问题，提出了联邦学习的概念。联邦学习指的是拥有数据的各个参与方，在不共享受保护的隐私数据且自有数据不传递到外部的前提下，通过加密的方式交换模型相关信息从而实现协同优化联邦学习模型。其中，联邦学习根据训练数据在不同参与方之间的数据特征空间和样本空间的分布情况，可以划分为在数据特征空间重叠较大而在样本空间重叠较小的横向联邦学习，在数据特征空间重叠较小而在样本空间重叠较大的纵向联邦学习，以及在数据特征空间和样本空间均重叠较小的联邦迁移学习。

隐私计算(Privacy Computing)一般指的是一种由两个或多个参与方联合计算的技术和***，并且各个参与方在***露各自数据的前提下通过协作对数据进行联合机器学***台的多个协同进程彼此之间需要进行安全验证以确保对方运行在可信执行环境，并且要考虑到在业务交互过程中可能发生重启后变得不再安全可信的风险，也要考虑到有可能感知不到对方发生重启的风险。为此，需要一种用于联邦学***台的多个协同进程之间的安全认证，而且能应对进程重启和认证方难以感知对方重启等难题。

发明内容

第一方面，本申请实施例提供了一种授权方法，所述方法应用于授权方，包括：获得待验证进程的授权标识，其中，所述待验证进程初次启动时以及每次重新启动时均被分配新的唯一授权标识并且调用所述待验证进程不改变该唯一授权标识；确定所述待验证进程的授权标识是否被包括在所述授权方存储的合法授权标识列表中；如果是，授权所述待验证进程；如果否，验证所述待验证进程的证书是否合法并且当判断所述验证进程的证书合法后将所述待验证进程的授权标识添加到所述授权方存储的合法授权标识列表中。

第一方面所描述的技术方案，如此改进了授权过程并克服了难以感知进程重启等难题。

根据第一方面的技术方案的一种可能的实现方式，本申请实施例还提供了所述授权方和所述待验证进程属于同一***、同一平台或者同一执行环境。

根据第一方面的技术方案的一种可能的实现方式，本申请实施例还提供了所述授权方是用于任务调度的调度进程或者用于执行任务的业务处理进程，所述待验证进程是用于消息传递的消息路由进程。

根据第一方面的技术方案的一种可能的实现方式，本申请实施例还提供了所述待验证进程属于集中式平台，所述授权方属于通过该集中式平台参与联邦学习任务的参与方。

根据第一方面的技术方案的一种可能的实现方式，本申请实施例还提供了所述待验证进程是部署在所述集中式平台的消息路由进程且用于所述集中式平台和所述授权方之间的消息传递。

根据第一方面的技术方案的一种可能的实现方式，本申请实施例还提供了所述方法还包括：当判断所述待验证进程的授权标识没有被包括在所述授权方存储的合法授权标识列表中并且判断所述待验证进程的证书合法后，判断所述待验证进程是否为初次启动，如果否，从所述授权方存储的合法授权标识列表中除去与所述待验证进程对应的先前授权标识。

根据第一方面的技术方案的一种可能的实现方式，本申请实施例还提供了判断所述待验证进程是否为初次启动，包括：根据所述授权方存储的合法授权标识列表，判断是否存在所述待验证进程的同名进程的记录，如果是，判断所述待验证进程不是初次启动并且该同名进程的授权标识为与所述待验证进程对应的先前授权标识。

根据第一方面的技术方案的一种可能的实现方式，本申请实施例还提供了所述方法还包括：按照预设方式持续地向所述待验证进程发送安全验证请求，该安全验证请求要求反馈所述待验证进程的最新授权标识；根据特定时间段内发送的安全验证请求的反馈失败事件的统计结果，判断所述待验证进程是否可信，如果否，从所述授权方存储的合法授权标识列表中除去所述待验证进程的最新授权标识，其中，该反馈失败事件包括没有反馈或者所反馈的所述待验证进程的最新授权标识没有被包括在所述授权方存储的合法授权标识列表中。

根据第一方面的技术方案的一种可能的实现方式，本申请实施例还提供了根据特定时间段内发送的安全验证请求的反馈失败事件的统计结果，判断所述待验证进程是否可信，包括：当特定次数的连续发送的安全验证请求的反馈均为反馈失败事件，判断所述待验证进程不可信。

根据第一方面的技术方案的一种可能的实现方式，本申请实施例还提供了按照预设方式持续地向所述待验证进程发送安全验证请求，包括：按照预设时间间隔来间隔地向所述待验证进程发送安全验证请求。

根据第一方面的技术方案的一种可能的实现方式，本申请实施例还提供了所述授权方通过发送ping信号的方式来向所述待验证进程发送安全验证请求，所述待验证进程通过发送pong信号的方式来反馈所述待验证进程的最新授权标识。

根据第一方面的技术方案的一种可能的实现方式，本申请实施例还提供了根据特定时间段内发送的安全验证请求的反馈失败事件的统计结果，判断所述待验证进程是否可信，包括：根据所述反馈失败事件的发生次数和/或发生频率，判断所述待验证进程是否可信。

第二方面，本申请实施例提供了一种授权方法，所述方法应用于授权方，包括：获得待验证进程的授权标识，其中，所述待验证进程初次启动时以及每次重新启动时均被分配新的唯一授权标识并且调用所述待验证进程不改变该唯一授权标识；确定所述待验证进程的授权标识是否被包括在所述授权方存储的合法授权标识列表中，其中，所述授权方通过按照预设方式持续地向所述待验证进程索取所述待验证进程的最新授权标识来更新所述授权方存储的合法授权标识列表；如果是，授权所述待验证进程。

第二方面所描述的技术方案，如此改进了授权过程并克服了难以感知进程重启等难题。

根据第二方面的技术方案的一种可能的实现方式，本申请实施例还提供了所述授权方和所述待验证进程属于同一可信平台，所述授权方是用于任务调度的调度进程或者用于执行任务的业务处理进程，所述待验证进程是用于消息传递的消息路由进程。

根据第二方面的技术方案的一种可能的实现方式，本申请实施例还提供了所述待验证进程属于集中式平台，所述授权方属于通过该集中式平台参与联邦学***台的消息路由进程且用于所述集中式平台和所述授权方之间的消息传递。

根据第二方面的技术方案的一种可能的实现方式，本申请实施例还提供了所述方法还包括：当判断所述待验证进程的授权标识没有被包括在所述授权方存储的合法授权标识列表中，验证所述待验证进程的证书是否合法并且当判断所述验证进程的证书合法后将所述待验证进程的授权标识添加到所述授权方存储的合法授权标识列表中。

根据第二方面的技术方案的一种可能的实现方式，本申请实施例还提供了所述方法还包括：当判断所述待验证进程的授权标识没有被包括在所述授权方存储的合法授权标识列表中并且判断所述待验证进程的证书合法后，判断所述待验证进程是否为初次启动，如果否，从所述授权方存储的合法授权标识列表中除去与所述待验证进程对应的先前授权标识。

根据第二方面的技术方案的一种可能的实现方式，本申请实施例还提供了判断所述待验证进程是否为初次启动，包括：根据所述授权方存储的合法授权标识列表，判断是否存在所述待验证进程的同名进程的记录，如果是，判断所述待验证进程不是初次启动并且该同名进程的授权标识为与所述待验证进程对应的先前授权标识。

根据第二方面的技术方案的一种可能的实现方式，本申请实施例还提供了所述授权方通过按照预设方式持续地向所述待验证进程索取所述待验证进程的最新授权标识来更新所述授权方存储的合法授权标识列表，包括：按照预设方式持续地向所述待验证进程发送安全验证请求，该安全验证请求要求反馈所述待验证进程的最新授权标识；根据特定时间段内发送的安全验证请求的反馈失败事件的统计结果，判断所述待验证进程是否可信，如果否，从所述授权方存储的合法授权标识列表中除去所述待验证进程的最新授权标识，其中，该反馈失败事件包括没有反馈或者所反馈的所述待验证进程的最新授权标识没有被包括在所述授权方存储的合法授权标识列表。

根据第二方面的技术方案的一种可能的实现方式，本申请实施例还提供了根据特定时间段内发送的安全验证请求的反馈失败事件的统计结果，判断所述待验证进程是否可信，包括：当特定次数的连续发送的安全验证请求的反馈均为反馈失败事件，判断所述待验证进程不可信。

根据第二方面的技术方案的一种可能的实现方式，本申请实施例还提供了所述授权方通过发送ping信号的方式来向所述待验证进程发送安全验证请求，所述待验证进程通过发送pong信号的方式来反馈所述待验证进程的最新授权标识。

附图说明

为了说明本申请实施例或背景技术中的技术方案，下面将对本申请实施例或背景技术中所需要使用的附图进行说明。

图1示出了本申请实施例提供的一种实施方式的授权方法的流程示意图。

图2示出了本申请实施例提供的另一种实施方式的授权方法的流程示意图。

图3示出了本申请实施例提供的用于授权方法的电子设备的框图。

具体实施方式

本申请实施例为了解决如何不仅能够实现跨***或者跨平台的多个协同进程之间的安全认证，而且能应对进程重启和认证方难以感知对方重启等难题，提供了用于联邦学习和隐私计算的授权方法。所述方法应用于授权方，包括：获得待验证进程的授权标识；确定所述待验证进程的授权标识是否被包括在所述授权方存储的合法授权标识列表中，其中，所述待验证进程初次启动时以及每次重新启动时均被分配新的唯一授权标识并且调用所述待验证进程不改变该唯一授权标识；如果是，授权所述待验证进程；如果否，验证所述待验证进程的证书是否合法并且当判断所述验证进程的证书合法后将所述待验证进程的授权标识添加到所述授权方存储的合法授权标识列表中。如此改进了授权过程并克服了难以感知进程重启等难题。

本申请实施例可用于以下应用场景，包括但是不限于，多方安全计算、与联邦学习有关的机器学习模型训练、数据安全、隐私保护或者应用隐私计算框架或算法的其它应用场景等。

本申请实施例可以依据具体应用环境进行调整和改进，此处不做具体限定。

为了使本技术领域的人员更好地理解本申请方案，下面将结合本申请实施例中的附图，对本申请的实施例进行描述。

图1示出了本申请实施例提供的一种实施方式的授权方法的流程示意图。如图1所示，授权方法100包括以下步骤。

步骤S102：获得待验证进程的授权标识，其中，所述待验证进程初次启动时以及每次重新启动时均被分配新的唯一授权标识并且调用所述待验证进程不改变该唯一授权标识。

其中，授权方法100应用于授权方，因此授权方在步骤S102获得待验证进程的授权标识。授权方和待验证进程可以属于同一个***，例如同一个***内的一个服务进程对另一个服务进程参照授权方法100进行授权；授权方和待验证进程可以属于同一个平台的不同子***，例如用于消息中转的子***对用于可信计算的子***进行授权以让后者获得前者接收到的消息；授权方和待验证进程可以位于不同平台或者一方在集中式计算平台而另一方在参与方，例如授权方代表数据提供方而待验证进程代表数据应用方，数据应用方需要得到数据提供方的授权才能使用数据提供方的数据。因此，授权方法100在授权方实施并用于授权方对待验证进程进行授权，而授权方和待验证进程可能属于同一个***的不同服务进程，或者属于同一个平台的不同子***，或者位于不同平台或者一方在集中式计算平台而另一方在参与方，或者可以代表联邦学***台的多个协同进程彼此之间需要进行安全验证以确保对方运行在可信执行环境。上面提到的同一个***的不同服务进程或者不同子***各自的进程或者不在同一个平台上的不同进程，可能分别运行在非可信执行环境和可信执行环境。当存在业务交互需要时，就必须考虑到必要的安全隐患，例如待验证进程可能是不安全可信，或者待验证进程曾经是安全可信但是在业务交互过程中发生重启后变得不再安全可信。

在步骤S102中，本申请实施例提供了所述待验证进程初次启动时以及每次重新启动时均被分配新的唯一授权标识并且调用所述待验证进程不改变该唯一授权标识。这里，唯一授权标识可以通过例如通用唯一识别码(Universally Unique Identifier，UUID)或者类似的技术生成，例如生成全局唯一字符串。待验证进程必须满足其初次启动时以及每次重新启动时均被分配新的唯一授权标识符，例如被分配新生成的全局唯一字符串。这意味着，当该待验证进程遇到重启事件，必然会被分配新的唯一授权识别标识，且与该待验证进程之前被分配的唯一授权识别标识不一致；也与其它进程被分配的授权识别标识不一致。在步骤S102中，所述待验证进程初次启动时以及每次重新启动时均被分配新的唯一授权标识，并且所述待验证进程被调用时不会改变该唯一授权标识。换句话说，所述待验证进程初次启动时以及每次重新启动时均被分配新的唯一授权标识，并且所述唯一授权标识不会因为对应的待验证进程被调用而改变。对于特定进程而言，该特定进程初次启动就被分配唯一授权标识，之后每当该特定进程重新启动都会再次被分配唯一授权标识，而且每次分配给该特定进程的唯一授权标识是不重复的，因此该特定进程只要发生过一次重新启动就必然具有与其初次启动后被分配的唯一授权标识不一样的唯一授权标识；另一方面，该特定进程被调用不会导致再次被分配唯一授权标识，这样就区别对待了该特定进程初次启动和重新启动的情况以及该特定进程被调用的情况。在一些示例性实施例中，唯一授权标识可以理解成进程ID，每个进程初次启动或者生成时被分配唯一进程ID，然后每次重启被分配新的唯一进程ID或者说每次重启都被当作新生成的进程来进行进程ID的分配。另外，调用所述待验证进程不改变该唯一授权标识，也就是说，调用某个进程不会导致该被调用的进程的唯一授权标识符或者进程ID发生变化，或者说唯一授权标识符不能用来体现进程被调用的情况，这样有利于区别进程初次启动或重启以及进程被调用两种情况。这是因为进程被调用一般不会改变其是否处在可信执行环境这一条件，或者说进程被调用一般不会影响该进程是否可信安全。例如，同一个平台内的每一个进程在初次生成该进程时以及该进程重启时，都会根据UUID算法或者类似算法生成唯一授权标识例如全局唯一识别ID作为该进程ID。该进程ID必须满足不重复的特性，也就是说同一个平台内每一个曾经存在和现存的进程之间没有重复的进程ID。如此，通过这种不重复的特性，可以通过进程ID的变化来判断与变化前进程ID对应的原进程是否已经死掉。因为如果某个进程发生了重启，则必然获得新的进程ID，而原来的进程ID则只能对应重启之前的原进程。

步骤S104：确定所述待验证进程的授权标识是否被包括在所述授权方存储的合法授权标识列表中。如果是，则执行步骤S106；如果否，则执行步骤S108。

在步骤S104，所述授权方存储的合法授权标识列表可以理解为“白名单”，或者记录了被认为是合法的授权标识的变量存储器。上面提到，待验证进程必须满足其初次启动时以及每次重新启动时均被分配新的唯一授权标识符并且调用某个进程不会导致该被调用的进程的唯一授权标识符发生变化，因此可以凭借待验证进程的授权标识来做出判断。如果该待验证进程的授权标识在所述授权方存储的合法授权标识列表中，这意味着该待验证进程的授权标识属于“白名单”或者在变量存储器上有匹配的记录，则可以执行步骤S106进行授权。假设某个进程原本的授权标识在所述授权方存储的合法授权标识列表中，但是该进程稍后发生了重启则必然被分配新的授权标识，而新的授权标识可能不在所述授权方存储的合法授权标识列表中，因此等效于向授权方发出了该进程被重启的通知，从而实现了克服难以感知对方发生重启的难题。

步骤S106：授权所述待验证进程。

步骤S108：验证所述待验证进程的证书是否合法并且当判断所述验证进程的证书合法后将所述待验证进程的授权标识添加到所述授权方存储的合法授权标识列表中。

当待验证进程的不在所述授权方存储的合法授权标识列表中，该待验证进程可能是发生了重启并被分配了新的授权标识，因此可以进一步通过证书合法性来判断重启后的待验证进程是否可信，而当证书验证合法后则将新的授权标识添加到所述授权方存储的合法授权标识列表中，这样下一次对该待验证进程进行授权时就可以在步骤S104做出判断授权标识被包括在所述授权方存储的合法授权标识列表中。如此改进了授权过程并克服了难以感知进程重启等难题。

结合上述步骤S102至步骤S106，在一些示例性实施例中，唯一授权标识可以理解成进程ID，每个进程初次启动或者生成时被分配唯一进程ID，该进程每次重启被分配新的唯一进程ID并且调用该进程不会导致进程ID发生变化。在一种可能的实施方式中，上述授权方法可以代表认证方也即授权方对被认证方也即待验证进程进行安全认证的过程。具体地：认证方要求被认证方提供被认证方的进程ID；认证方根据本地存储器的白名单(也就是所述授权方存储的合法授权标识列表)确定该被认证方的进程ID是否在该白名单上，如果是则认证通过；如果否则验证该被认证方的证书是否合法，该被认证方的证书可能是与该被认证方的进程ID一起发送给认证方也可能是另行发送；如果证书合法，则将该被认证方的进程ID添加到认证方的本地存储器的白名单上。并且认证方会通过预设机制间隔地更新对被认证方的验证结果。例如，认证方按照预设间隔或者预定时间安排，例如每隔5秒，就发送ping信号给被认证方；如果被认证方在连续发送N次(N为3或者预设数字)ping信号后都没有回复，则认定该被认证方不可信并将该被认证方的进程ID从认证方的本地存储器的白名单中除去；如果被认证方在连续发送N次ping信号的期间有回复pong信号，该pong信号必须包括该被认证方的待验证进程ID，则将该被认证方的待验证进程ID与认证方的本地存储器的白名单中与该被认证方对应的原进程ID做比较，如果不一致则说明该认证方发生了重启或者被替换了；进一步地判断该被认证方的待验证进程ID是否在认证方的本地存储器的白名单中，如果是则认为该被认证方仍然可信，并用待验证进程ID替换掉与该被认证方对应的原进程ID，也就是配合该被认证方的重启更新进程ID这一特性从而利于后续数据交互；如果待验证进程ID不在认证方的本地存储器的白名单中，则认为该被认证方变得不可信并将与该被认证方对应的原进程ID从认证方的本地存储器的白名单中除去，这样下次需要重新进行证书合法性的验证。这里，认证方和被认证方可以看作是平台外部的参与方对平台的服务进程进行远程认证，也可以看作是平台内一个服务进程对另一个服务进程进行本地认证，还可以看作是平台内一个子***对另一个子***进行本地认证。

在一种可能的实施方式中，所述授权方和所述待验证进程属于同一***、同一平台或者同一执行环境。例如，所述授权方是用于任务调度的调度进程或者用于执行任务的业务处理进程，所述待验证进程是用于消息传递的消息路由进程。这样，上述的授权方法100发生在用于任务调度的调度进程或者用于执行任务的业务处理进程和用于消息传递的消息路由进程之间，可以理解为平台内一个服务进程对另一个服务进程进行本地认证。

在一种可能的实施方式中，所述待验证进程属于集中式平台，所述授权方属于通过该集中式平台参与联邦学***台和通过该集中式平台参与联邦学***台外部的参与方(授权方)对平台的服务进程(待验证进程)进行远程认证。例如，所述待验证进程是部署在所述集中式平台的消息路由进程且用于所述集中式平台和所述授权方之间的消息传递。也就是说，参与方对所述集中式平台的消息路由进程进行远程认证。

在一种可能的实施方式中，所述方法还包括：当判断所述待验证进程的授权标识没有被包括在所述授权方存储的合法授权标识列表中并且判断所述待验证进程的证书合法后，判断所述待验证进程是否为初次启动，如果否，则从所述授权方存储的合法授权标识列表中除去与所述待验证进程对应的先前授权标识。这样做可以及时地更新所述授权方存储的合法授权标识列表并除去先前授权标识，从而节省存储空间。并且，判断所述待验证进程是否为初次启动，包括：根据所述授权方存储的合法授权标识列表，判断是否存在所述待验证进程的同名进程的记录，如果是，判断所述待验证进程不是初次启动并且该同名进程的授权标识为与所述待验证进程对应的先前授权标识。也就是说，可以通过查看同名进程的记录来判断所述待验证进程是否为初次启动。

在一种可能的实施方式中，所述方法还包括：按照预设方式持续地向所述待验证进程发送安全验证请求，该安全验证请求要求反馈所述待验证进程的最新授权标识；根据特定时间段内发送的安全验证请求的反馈失败事件的统计结果，判断所述待验证进程是否可信，如果否，则从所述授权方存储的合法授权标识列表中除去所述待验证进程的最新授权标识，其中，该反馈失败事件包括没有反馈或者所反馈的所述待验证进程的最新授权标识没有被包括在所述授权方存储的合法授权标识列表中。如此，通过统计满足特定要求的反馈失败事件，再根据特定时间段内的统计结果，有利于更好地判断所述待验证进程是否可信。例如，根据特定时间段内发送的安全验证请求的反馈失败事件的统计结果，判断所述待验证进程是否可信，包括：当特定次数的连续发送的安全验证请求的反馈均为反馈失败事件，判断所述待验证进程不可信。这里，特定次数可以是三次、五次或者任意次数。再例如，按照预设方式持续地向所述待验证进程发送安全验证请求，包括：按照预设时间间隔来间隔地向所述待验证进程发送安全验证请求。这里，预设时间间隔可以是五秒、十秒或者任意数值。在一些示例性实施例中，所述授权方通过发送ping信号的方式来向所述待验证进程发送安全验证请求，所述待验证进程通过发送pong信号的方式来反馈所述待验证进程的最新授权标识。如此，通过ping信号和pong信号可以便利地完成安全验证。在一些示例性实施例中，根据特定时间段内发送的安全验证请求的反馈失败事件的统计结果，判断所述待验证进程是否可信，包括：根据所述反馈失败事件的发生次数和/或发生频率，判断所述待验证进程是否可信。如此，可以结合反馈失败事件的发生次数和/或发生频率，更好地判断待验证进程是否可信。

应当理解的是，图1所示的授权方法100可以通过相应的执行主体或者载体来实现。在一些示例性实施例中，一种非瞬时性计算机可读存储介质，所述计算机可读存储介质存储有计算机指令，该计算机指令被处理器执行时实现授权方法100以及上述任意实施例、实施方式或者它们的组合。在一些示例性实施例中，一种电子设备，包括：处理器；用于存储处理器可执行指令的存储器；其中，所述处理器通过运行所述可执行指令以实现授权方法100以及上述任意实施例、实施方式或者它们的组合。

图2示出了本申请实施例提供的另一种实施方式的授权方法的流程示意图。如图2所示，授权方法200包括以下步骤。

步骤S202：获得待验证进程的授权标识，其中，所述待验证进程初次启动时以及每次重新启动时均被分配新的唯一授权标识并且调用所述待验证进程不改变该唯一授权标识。

步骤S204：确定所述待验证进程的授权标识是否被包括在所述授权方存储的合法授权标识列表中，其中，所述授权方通过按照预设方式持续地向所述待验证进程索取所述待验证进程的最新授权标识来更新所述授权方存储的合法授权标识列表。

步骤S206：如果是，授权所述待验证进程。

在步骤S202中，本申请实施例提供了所述待验证进程初次启动时以及每次重新启动时均被分配新的唯一授权标识并且调用所述待验证进程不改变该唯一授权标识。这里，唯一授权标识可以通过例如UUID或者类似的技术生成，例如生成全局唯一字符串。待验证进程必须满足其初次启动时以及每次重新启动时均被分配新的唯一授权标识符，例如被分配新生成的全局唯一字符串。这意味着，当该待验证进程遇到重启事件，必然会被分配新的唯一授权识别标识，且与之前被分配的唯一授权识别标识不一致。并且，通过按照预设方式持续地向所述待验证进程索取所述待验证进程的最新授权标识来更新所述授权方存储的合法授权标识列表，从而提高了验证效率。如此改进了授权过程并克服了难以感知进程重启等难题。

在一种可能的实施方式中，所述授权方和所述待验证进程属于同一可信平台，所述授权方是用于任务调度的调度进程或者用于执行任务的业务处理进程，所述待验证进程是用于消息传递的消息路由进程。所述待验证进程属于集中式平台，所述授权方属于通过该集中式平台参与联邦学***台的消息路由进程且用于所述集中式平台和所述授权方之间的消息传递。

在一种可能的实施方式中，所述方法还包括：当判断所述待验证进程的授权标识没有被包括在所述授权方存储的合法授权标识列表中，判断则验证所述待验证进程的证书是否合法并且当判断所述验证进程的证书合法后将所述待验证进程的授权标识添加到所述授权方存储的合法授权标识列表中。在一些示例性实施例中，所述方法还包括：当判断所述待验证进程的授权标识没有被包括在所述授权方存储的合法授权标识列表中并且判断所述待验证进程的证书合法后，判断所述待验证进程是否为初次启动，如果否，则从所述授权方存储的合法授权标识列表中除去与所述待验证进程对应的先前授权标识。其中，判断所述待验证进程是否为初次启动，包括：根据所述授权方存储的合法授权标识列表，判断是否存在所述待验证进程的同名进程的记录，如果是，判断所述待验证进程不是初次启动并且该同名进程的授权标识为与所述待验证进程对应的先前授权标识。

在一种可能的实施方式中，所述授权方通过按照预设方式持续地向所述待验证进程索取所述待验证进程的最新授权标识来更新所述授权方存储的合法授权标识列表，包括：按照预设方式持续地向所述待验证进程发送安全验证请求，该安全验证请求要求反馈所述待验证进程的最新授权标识；根据特定时间段内发送的安全验证请求的反馈失败事件的统计结果，判断所述待验证进程是否可信，如果否，则从所述授权方存储的合法授权标识列表中除去所述待验证进程的最新授权标识，其中，该反馈失败事件包括没有反馈或者所反馈的所述待验证进程的最新授权标识没有被包括在所述授权方存储的合法授权标识列表。其中，根据特定时间段内发送的安全验证请求的反馈失败事件的统计结果，判断所述待验证进程是否可信，包括：当特定次数的连续发送的安全验证请求的反馈均为反馈失败事件，判断所述待验证进程不可信。在一些示例性实施例中，所述授权方通过发送ping信号的方式来向所述待验证进程发送安全验证请求，所述待验证进程通过发送pong信号的方式来反馈所述待验证进程的最新授权标识。

应当理解的是，图2所示的授权方法200可以通过相应的执行主体或者载体来实现。在一些示例性实施例中，一种非瞬时性计算机可读存储介质，所述计算机可读存储介质存储有计算机指令，该计算机指令被处理器执行时实现授权方法200以及上述任意实施例、实施方式或者它们的组合。在一些示例性实施例中，一种电子设备，包括：处理器；用于存储处理器可执行指令的存储器；其中，所述处理器通过运行所述可执行指令以实现授权方法200以及上述任意实施例、实施方式或者它们的组合。

结合图1和图2，上述关于图1所示的授权方法100或者图2所示的授权方法200，其中的步骤或者细节可以进行任意可能的组合或结合以及可能的替换或者变体。

结合图1和图2，上述关于图1所示的授权方法100或者图2所示的授权方法200，实现了协同进程间本地认证状态的鲁棒稳定性，保证了隐私数据的安全性，提供了安全可控的进程间通信流程，同时还提供了例如利用ping信号和pong信号来持续验证及更新的机制。

请参阅图1和图2，上述关于图1所示的授权方法100或者图2所示的授权方法200，可能涉及到安全认证相关技术，例如参与方对所述集中式平台的消息路由进程进行远程认证，或者例如平台内一个服务进程对另一个服务进程进行本地认证。其中远程认证和本地认证可以基于SGX认证技术。SGX认证用于两个Enclave之间确认对方在同一个SGX环境之中，也就意味着在同一台机器之中。其中，SGX远程认证用于认证一个即将与与某个进程或者Enclave交互的目标Enclave是否是一个运行在SGX环境之中的Enclave，而非一个恶意伪造的进程或者非SGX相关的进程。SGX远程认证本质上是对于Quote结构进行椭圆曲线数字签名并对数据签名进行验证的过程。相对的，SGX本地认证用于一个Enclave确认另外一个Enclave运行在同一台机器之中。本地认证是单向的，一次本地认证无法完成两个Enclave之间相互信任。一次本地认证只能完成一个Enclave信任另外一个Enclave。SGX本地认证用于两个Enclave需要相互通信场景之中，在此场景中Enclave必须确认与之通信的Enclave运行在同样的SGX环境之中才可以发起通信。关于SGX远程认证和SGX本地认证的有关细节，可以采用任意合适的加密解密技术，在此不做具体限定。

图3示出了本申请实施例提供的用于授权方法的电子设备的框图。如图3所示，电子设备300包括主处理器302，内部总线304，网络接口306，主存储器308，以及辅助处理器310和辅助内存312，还有辅助处理器320和辅助内存322。其中，主处理器302与主存储器308连接，主存储器308可用于存储主处理器302可执行的计算机指令，从而可以实现图1所示的授权方法100或者图2所示的授权方法200，包括其中部分或者全部步骤，也包括其中步骤的任意可能的组合或结合以及可能的替换或者变体。网络接口306用于提供网络连接以及通过网络收发数据。内部总线304用于提供在主处理器302、网络接口306、辅助处理器310以及辅助处理器320之间的内部的数据交互。其中，辅助处理器310与辅助内存312连接并一起提供辅助计算能力，而辅助处理器320与辅助内存322连接并一起提供辅助计算能力。辅助处理器310和辅助处理器320可以提供相同或者不同的辅助计算能力，包括但是不限于，针对特定计算需求进行优化的计算能力如并行处理能力或者张量计算能力，针对特定算法或者逻辑结构进行优化的计算能力例如迭代计算能力或者图计算能力等。辅助处理器310和辅助处理器320可以包括特定类型的一个或者多个处理器，如数字信号处理器(DSP)，专用集成电路(ASIC)，现场可编程门阵列(FPGA)等，从而可以提供定制化的功能和结构。在一些示例性实施例中，电子设备300可以不包括辅助处理器，可以包括仅一个辅助处理器，还可以包括任意数量的辅助处理器且各自具有相应的定制化功能及结构，在此不做具体限定。图3中所示出的两个辅助处理器的架构仅为说明性而不应解释为限制性。另外，主处理器302可以包括单核或者多核的计算单元，用于提供本申请实施例所必需的功能和操作。另外，主处理器302和辅助处理器(如图3中的辅助处理器310和辅助处理器320)可以具有不同的架构，也就是电子设备300可以是基于异构架构的***，例如主处理器302可以是基于指令集操作体系的通用型处理器如CPU，而辅助处理器可以是适合并行化计算的图形处理器GPU或者是适合神经网络模型相关运算的专用加速器。辅助内存(例如图3所示的辅助内存312和辅助内存322)可以用于配合各自对应的辅助处理器来实现定制化功能及结构。而主存储器308用于存储必要的指令、软件、配置、数据等从而可以配合主处理器302提供本申请实施例所必需的功能和操作。在一些示例性实施例中，电子设备300可以不包括辅助内存，可以包括仅一个辅助内存，还可以包括任意数量的辅助内存，在此不做具体限定。图3中所示出的两个辅助内存的架构仅为说明性而不应解释为限制性。主存储器308以及可能的辅助内存可以包括以下一个或多个特征：易失性，非易失性，动态，静态，可读/写，只读，随机访问，顺序访问，位置可寻址性，文件可寻址性和内容可寻址性，并且可以包括随机存取存储器(RAM)，闪存，只读存储器(ROM)，可擦可编程只读存储器(EPROM)，电可擦可编程只读存储器(EEPROM)，寄存器，硬盘，可移动磁盘，可记录和/或可重写光盘(CD)，数字多功能光盘(DVD)，大容量存储介质设备或任何其他形式的合适存储介质。内部总线304可以包括不同总线结构中的任何一种或不同总线结构的组合，例如存储器总线或存储器控制器，***总线，通用串行总线和/或利用多种总线体系结构中的任何一种的处理器或本地总线。应当理解的是，图3所示的电子设备300，其所示的结构并不构成对有关装置或***的具体限定，在一些示例性实施例中，电子设备300可以包括比具体实施例和附图更多或更少的部件，或者组合某些部件，或者拆分某些部件，或者具有不同的部件布置。

本申请提供的具体实施例可以用硬件，软件，固件或固态逻辑电路中的任何一种或组合来实现，并且可以结合信号处理，控制和/或专用电路来实现。本申请具体实施例提供的设备或装置可以包括一个或多个处理器(例如，微处理器，控制器，数字信号处理器(DSP)，专用集成电路(ASIC)，现场可编程门阵列(FPGA)等)，这些处理器处理各种计算机可执行指令从而控制设备或装置的操作。本申请具体实施例提供的设备或装置可以包括将各个组件耦合在一起的***总线或数据传输***。***总线可以包括不同总线结构中的任何一种或不同总线结构的组合，例如存储器总线或存储器控制器，***总线，通用串行总线和/或利用多种总线体系结构中的任何一种的处理器或本地总线。本申请具体实施例提供的设备或装置可以是单独提供，也可以是***的一部分，也可以是其它设备或装置的一部分。

本申请提供的具体实施例可以包括计算机可读存储介质或与计算机可读存储介质相结合，例如能够提供非暂时性数据存储的一个或多个存储设备。计算机可读存储介质/存储设备可以被配置为保存数据，程序器和/或指令，这些数据，程序器和/或指令在由本申请具体实施例提供的设备或装置的处理器执行时使这些设备或装置实现有关操作。计算机可读存储介质/存储设备可以包括以下一个或多个特征：易失性，非易失性，动态，静态，可读/写，只读，随机访问，顺序访问，位置可寻址性，文件可寻址性和内容可寻址性。在一个或多个示例性实施例中，计算机可读存储介质/存储设备可以被集成到本申请具体实施例提供的设备或装置中或属于公共***。计算机可读存储介质/存储设备可以包括光存储设备，半导体存储设备和/或磁存储设备等等，也可以包括随机存取存储器(RAM)，闪存，只读存储器(ROM)，可擦可编程只读存储器(EPROM)，电可擦可编程只读存储器(EEPROM)，寄存器，硬盘，可移动磁盘，可记录和/或可重写光盘(CD)，数字多功能光盘(DVD)，大容量存储介质设备或任何其他形式的合适存储介质。

以上是本申请实施例的实施方式，应当指出，本申请具体实施例描述的方法中的步骤可以根据实际需要进行顺序调整、合并和删减。在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详细描述的部分，可以参见其他实施例的相关描述。可以理解的是，本申请实施例以及附图所示的结构并不构成对有关装置或***的具体限定。在本申请另一些实施例中，有关装置或***可以包括比具体实施例和附图更多或更少的部件，或者组合某些部件，或者拆分某些部件，或者具有不同的部件布置。本领域技术人员将理解，在不脱离本申请具体实施例的精神和范围的情况下，可以对具体实施例记载的方法和设备的布置，操作和细节进行各种修改或变化；在不脱离本申请实施例原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也视为本申请的保护范围。

Claims (21)

1.一种授权方法，所述方法应用于授权方，包括：

获得待验证进程的授权标识，其中，所述待验证进程初次启动时以及每次重新启动时均被分配新的唯一授权标识并且调用所述待验证进程不改变该唯一授权标识；

确定所述待验证进程的授权标识是否被包括在所述授权方存储的合法授权标识列表中；

如果是，授权所述待验证进程；

如果否，验证所述待验证进程的证书是否合法并且当判断所述验证进程的证书合法后将所述待验证进程的授权标识添加到所述授权方存储的合法授权标识列表中。

2.根据权利要求1所述的方法，其特征在于，所述授权方和所述待验证进程属于同一***、同一平台或者同一执行环境。

3.根据权利要求2所述的方法，其特征在于，所述授权方是用于任务调度的调度进程或者用于执行任务的业务处理进程，所述待验证进程是用于消息传递的消息路由进程。

4.根据权利要求1所述的方法，其特征在于，所述待验证进程属于集中式平台，所述授权方属于通过该集中式平台参与联邦学习任务的参与方。

5.根据权利要求4所述的方法，其特征在于，所述待验证进程是部署在所述集中式平台的消息路由进程且用于所述集中式平台和所述授权方之间的消息传递。

6.根据权利要求1-5中任一项所述的方法，其特征在于，所述方法还包括：

当判断所述待验证进程的授权标识没有被包括在所述授权方存储的合法授权标识列表中并且判断所述待验证进程的证书合法后，判断所述待验证进程是否为初次启动，如果否，从所述授权方存储的合法授权标识列表中除去与所述待验证进程对应的先前授权标识。

7.根据权利要求6所述的方法，其特征在于，判断所述待验证进程是否为初次启动，包括：

根据所述授权方存储的合法授权标识列表，判断是否存在所述待验证进程的同名进程的记录，如果是，判断所述待验证进程不是初次启动并且该同名进程的授权标识为与所述待验证进程对应的先前授权标识。

8.根据权利要求1-5中任一项所述的方法，其特征在于，所述方法还包括：

按照预设方式持续地向所述待验证进程发送安全验证请求，该安全验证请求要求反馈所述待验证进程的最新授权标识；

根据特定时间段内发送的安全验证请求的反馈失败事件的统计结果，判断所述待验证进程是否可信，如果否，从所述授权方存储的合法授权标识列表中除去所述待验证进程的最新授权标识，其中，该反馈失败事件包括没有反馈或者所反馈的所述待验证进程的最新授权标识没有被包括在所述授权方存储的合法授权标识列表中。

9.根据权利要求8所述的方法，其特征在于，根据特定时间段内发送的安全验证请求的反馈失败事件的统计结果，判断所述待验证进程是否可信，包括：

当特定次数的连续发送的安全验证请求的反馈均为反馈失败事件，判断所述待验证进程不可信。

10.根据权利要求8所述的方法，其特征在于，按照预设方式持续地向所述待验证进程发送安全验证请求，包括：

按照预设时间间隔来间隔地向所述待验证进程发送安全验证请求。

11.根据权利要求8所述的方法，其特征在于，所述授权方通过发送ping信号的方式来向所述待验证进程发送安全验证请求，所述待验证进程通过发送pong信号的方式来反馈所述待验证进程的最新授权标识。

12.根据权利要求8所述的方法，其特征在于，根据特定时间段内发送的安全验证请求的反馈失败事件的统计结果，判断所述待验证进程是否可信，包括：

根据所述反馈失败事件的发生次数和/或发生频率，判断所述待验证进程是否可信。

13.一种授权方法，所述方法应用于授权方，包括：

获得待验证进程的授权标识，其中，所述待验证进程初次启动时以及每次重新启动时均被分配新的唯一授权标识并且调用所述待验证进程不改变该唯一授权标识；

确定所述待验证进程的授权标识是否被包括在所述授权方存储的合法授权标识列表中，其中，所述授权方通过按照预设方式持续地向所述待验证进程索取所述待验证进程的最新授权标识来更新所述授权方存储的合法授权标识列表；

如果是，授权所述待验证进程。

14.根据权利要求13所述的方法，其特征在于，所述授权方和所述待验证进程属于同一可信平台，所述授权方是用于任务调度的调度进程或者用于执行任务的业务处理进程，所述待验证进程是用于消息传递的消息路由进程。

15.根据权利要求13所述的方法，其特征在于，所述待验证进程属于集中式平台，所述授权方属于通过该集中式平台参与联邦学***台的消息路由进程且用于所述集中式平台和所述授权方之间的消息传递。

16.根据权利要求14或15所述的方法，其特征在于，所述方法还包括：

当判断所述待验证进程的授权标识没有被包括在所述授权方存储的合法授权标识列表中，验证所述待验证进程的证书是否合法并且当判断所述验证进程的证书合法后将所述待验证进程的授权标识添加到所述授权方存储的合法授权标识列表中。

17.根据权利要求16所述的方法，其特征在于，所述方法还包括：

当判断所述待验证进程的授权标识没有被包括在所述授权方存储的合法授权标识列表中并且判断所述待验证进程的证书合法后，判断所述待验证进程是否为初次启动，如果否，从所述授权方存储的合法授权标识列表中除去与所述待验证进程对应的先前授权标识。

18.根据权利要求17所述的方法，其特征在于，判断所述待验证进程是否为初次启动，包括：

根据所述授权方存储的合法授权标识列表，判断是否存在所述待验证进程的同名进程的记录，如果是，判断所述待验证进程不是初次启动并且该同名进程的授权标识为与所述待验证进程对应的先前授权标识。

19.根据权利要求13所述的方法，其特征在于，所述授权方通过按照预设方式持续地向所述待验证进程索取所述待验证进程的最新授权标识来更新所述授权方存储的合法授权标识列表，包括：

按照预设方式持续地向所述待验证进程发送安全验证请求，该安全验证请求要求反馈所述待验证进程的最新授权标识；

根据特定时间段内发送的安全验证请求的反馈失败事件的统计结果，判断所述待验证进程是否可信，如果否，从所述授权方存储的合法授权标识列表中除去所述待验证进程的最新授权标识，其中，该反馈失败事件包括没有反馈或者所反馈的所述待验证进程的最新授权标识没有被包括在所述授权方存储的合法授权标识列表。

20.根据权利要求19所述的方法，其特征在于，根据特定时间段内发送的安全验证请求的反馈失败事件的统计结果，判断所述待验证进程是否可信，包括：

当特定次数的连续发送的安全验证请求的反馈均为反馈失败事件，判断所述待验证进程不可信。

21.根据权利要求19所述的方法，其特征在于，所述授权方通过发送ping信号的方式来向所述待验证进程发送安全验证请求，所述待验证进程通过发送pong信号的方式来反馈所述待验证进程的最新授权标识。

Images