[go: up one dir, main page]

MX2011010289A - Provision de acceso a un articulo de datos utilizando graficos de acceso. - Google Patents

Provision de acceso a un articulo de datos utilizando graficos de acceso.

Info

Publication number
MX2011010289A
MX2011010289A MX2011010289A MX2011010289A MX2011010289A MX 2011010289 A MX2011010289 A MX 2011010289A MX 2011010289 A MX2011010289 A MX 2011010289A MX 2011010289 A MX2011010289 A MX 2011010289A MX 2011010289 A MX2011010289 A MX 2011010289A
Authority
MX
Mexico
Prior art keywords
access
node
data item
information
module
Prior art date
Application number
MX2011010289A
Other languages
English (en)
Inventor
Alexey V Orlov
Dmitry V Starostin
Original Assignee
Microsoft Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Microsoft Corp filed Critical Microsoft Corp
Publication of MX2011010289A publication Critical patent/MX2011010289A/es

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/12—Transmitting and receiving encryption devices synchronised or initially set up in a particular manner
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/083—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving central third party, e.g. key distribution center [KDC] or trusted third party [TTP]
    • H04L9/0833—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving central third party, e.g. key distribution center [KDC] or trusted third party [TTP] involving conference or group key
    • H04L9/0836—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving central third party, e.g. key distribution center [KDC] or trusted third party [TTP] involving conference or group key using tree structure or hierarchical structure
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/60—Digital content management, e.g. content distribution
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/50—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using hash chains, e.g. blockchains or hash trees

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Databases & Information Systems (AREA)
  • Storage Device Security (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

Se describe un aspecto para controlar el acceso a un artículo de datos utilizando uno o más gráficos de acceso. El aspecto ocasiona la distribución de un paquete compacto de información relacionada con acceso a un receptor vinculado a los gráficos de acceso. El receptor puede utilizar la información relacionada con acceso para tener acceso al artículo de datos a través de los gráficos de acceso en un modo de operación fuera de línea. En una implementación, la información relacionada con acceso incluye marcadores asociados con bordes entre nodos en los gráficos de acceso. Un tipo de marcador puede enlazar el artículo de datos a dos o más nodos de los gráficos de acceso. Este tipo de marcador puede ser usado para implementar una operación lógica de Y entre dos o más factores de política.

Description

PROVISION DE ACCESO A UN ARTICULO DE DATOS UTILIZANDO GRAFICOS DE ACCESO ANTECEDENTES Un sistema puede proporcionar un modelo de control de acceso para manejar derechos de acceso asociados con artículos de datos (tales como documentos, etc.) que distribuye a receptores. El modelo ayuda a reducir el riesgo de que entidades no autorizadas obtengan acceso a los artículos de datos.
Un tipo en línea de modelo de control de acceso utiliza una infraestructura de política centralizada para controlar la discriminación de artículos de datos. Por ejemplo, en este aspecto, un receptor puede solicitar una licencia de la infraestructura de política centralizada para obtener acceso a un artículo de datos. La infraestructura de política centralizada puede consultar a la información de política para determinar si el receptor está titulado para recibir el artículo de datos. Si está titulado, la infraestructura de política centralizada puede proporcionar una licencia de uso al receptor. La licencia de uso permite al receptor tener acceso al artículo de datos, típicamente durante una cantidad de tiempo limitado. Sin embargo, este tipo de modelo no fácilmente se adapta a un escenario en donde el usuario desea tener acceso a artículos de datos en una manera fuera de línea. En un parámetro fuera de línea, el receptor puede no tener acceso a la infraestructura de política centralizada.
Otros modelos de control de acceso dirigen las emisiones antes observadas al distribuir claves criptográficas a los receptores. Por ejemplo, un tipo de modelo proporciona un gráfico de acceso que incluye una colección de nodos. Los nodos definen clases de acceso respectivas. El modelo asigna claves a los nodos respectivos en el gráfico de acceso. El modelo puede otorgar, a un receptor, acceso a una clase de acceso particular al proporcionarle a ese receptor una clave que está asociada con un nodo correspondiente en el gráfico de acceso. Este modelo, por lo tanto, puede permitir a un usuario a tener acceso a artículos de datos en modo de operación fuera de línea (por ejemplo, al distribuir claves apropiadas al usuario por adelantado). Sin embargo, entre otras posibles desventajas, este modelo puede tener limitaciones en su habilidad para expresar eficiente y flexiblemente diferentes tipos de consideraciones de política que gobernarán a los artículos de datos.
BREVE DESCRIPCION DE LA INVENCION Se describe un aspecto que permite a un receptor tener acceso a un artículo de datos en una forma fuera de línea utilizando una estructura de nodo provista por uno o más gráficos de acceso. Es aspecto logra esta función enlazando el artículo de datos a la estructura de nodo, por ejemplo, tratando así al artículo de datos como un nodo de la estructura de nodo. El aspecto después distribuye un paquete compacto de información relacionada con el acceso al receptor. La información relacionada con el acceso permite al receptor tener acceso al artículo de datos a través de conexiones definidas por la estructura de nodo.
Por ejemplo, el aspecto puede implicar distribuir información de gráfico a un receptor. La información de gráfico puede incluir: información de estructura de nodo que describe por lo menos parte de una estructura de nodo provista por uno o más gráficos de acceso; información de etiqueta que proporciona etiquetas asociadas con un grupo de nodos en la estructura de nodo; información de marcador que proporciona marcadores asociados con un grupo de bordes entre los nodos en la estructura de nodo; e información de clave que proporciona un grupo de claves criptográficas que otorgan al receptor acceso a por lo menos parte de la estructura de nodo. El aspecto también proporciona un artículo de acceso al receptor, junto con información de enlace. El artículo de datos se protege utilizando una clave de contenido. La información de enlace asocia el artículo de datos con la estructura de nodo. El receptor puede utilizar la información de gráfico y la información de enlace para tener acceso a la clave de contenido, por ejemplo, encontrando una trayectoria a través de la estructura de nodo que "conduce" al artículo de datos. El receptor puede utilizar la clave de contenido para descodificar crípticamente el artículo de datos usando la clave de contenido.
De acuerdo con otro aspecto ilustrativo, la información de enlace incluye un marcador que relaciona el artículo de datos con uno o más nodos en la estructura de nodo. Por ejemplo, la información de enlace puede incluir un marcador que utiliza una operación lógica de Y para relacionar el artículo de datos con dos nodos, nodo 1 y nodo 2. Por ejemplo, el marcador puede ser expresado como: y12,d = Kd XOR H((Ki XOR K2), Ld). Aquí, y12.d representa el marcador, Kd es una clave asociada con el artículo de datos, representa una clave asociada con el nodo 1 que se enlaza al artículo de datos, K2 representa una clave asociada con el nodo 2 que se enlaza al artículo de datos, y Ld es una etiqueta asociada con el artículo de datos.
Entre otras características potenciales, el aspecto puede permitir a los receptores el acceso a artículos de datos en una forma fuera de línea, por ejemplo, sin ser conectados a la infraestructura de política centralizada. El aspecto también puede adaptarse a la distribución de derechos de acceso utilizando un paquete económico de información relacionada con acceso. El aspecto también proporciona un mecanismo eficiente y flexible para expresar cualquier tipo de consideración de política, incluyendo consideraciones complejas de política que involucran la combinación lógica de dos o más factores de política.
El aspecto anterior puede ser manifestado en varios tipos de sistemas, componentes, métodos, medios legibles por computadora, estructuras de datos, y así sucesivamente.
Esta breve descripción de la invención se proporciona para introducir una selección de conceptos en una forma simplificada; estos conceptos además se describen a continuación en la Descripción Detallada. Esta breve descripción de la invención no pretende identificar características clave o características esenciales de la materia objeto reclamada, ni pretende ser utilizada para limitar el alcance de la materia objeto reclamada.
BREVE DESCRIPCION DE LOS DIBUJOS La Figura muestra un sistema electrónico ilustrativo para permitir a los receptores a tener acceso a artículos de datos en una forma fuera de línea.
La Figura 2 muestra una estructura de nodo ilustrativa asociada con uno o más gráficos de acceso. La Figura 2 también muestra una forma en la cual un artículo de datos puede ser relacionado con la estructura de nodo utilizando información de enlace.
La Figura 3 es un ejemplo que demuestra cómo la información asociada con un nodo en la estructura de nodo puede ser utilizada para derivar información clave asociada con nodos subordinados (descendentes).
La Figura 4 es un ejemplo que demuestra cómo un nodo en un gráfico de acceso puede ser enlazado a un nodo en otro gráfico de acceso.
La Figura 5 es un ejemplo que demuestra cómo un nodo en un gráfico de acceso puede ser enlazado a un artículo de datos.
La Figura 6 es un ejemplo que demuestra cómo dos nodos en la estructura de nodo pueden ser enlazados a un artículo de datos utilizando una operación lógica de Y.
La Figura 7 es otro ejemplo que demuestra cómo los nodos en la estructura de nodo pueden ser enlazados a un artículo de datos utilizando una operación lógica de Y.
La Figura 8 es otro ejemplo que demuestra cómo los nodos en la estructura de nodo pueden ser enlazados a un artículo de datos utilizando una operación lógica de Y.
La Figura 9 es un ejemplo que demuestra cómo la funcionalidad de licencia local puede ser utilizada junto con información relacionada con acceso descargada para controlar el acceso a artículos de datos.
La Figura 10 es un ejemplo que demuestra cómo un gráfico de acceso asociado con una jerarquía de reporte puede ser enlazado a un gráfico de acceso asociado con una jerarquía de unidad, y cómo los artículos de datos pueden ser enlazados a la estructura de nodo resultante.
La Figura 11 es un procedimiento que proporciona un resumen de la operación del sistema de la Figura 1, de acuerdo con una ¡mplementación ilustrativa.
La Figura 12 es un procedimiento que explica cómo un módulo de distribución de información de gráfico (GID) de la Figura 1 puede ser utilizado para generar información de gráfico.
La Figura 13 es un procedimiento que explica cómo el módulo GID de la Figura 1 puede ser utilizado para proporcionar información de gráfico a un receptor.
La Figura 14 es un procedimiento que explica cómo el sistema de la Figura 1 puede ser utilizado para proporciona un artículo de datos a un receptor, junto con información de enlace.
La Figura 15 muestra una funcionalidad de procesamiento ilustrativa que puede ser usada para implementar cualquier aspecto de las características mostradas en los dibujos anteriores.
Los mismos números se utilizan a través de la descripción y figuras para hacer referencia a componentes y características similares. Los números de la serie 100 se refieren a características originalmente encontradas en la Figura 1, los números dé la serie 200 se refieren a características originalmente encontradas en la Figura 2, los números de la serie 300 se refieren a características originalmente encontradas en la Figura 3, y así sucesivamente.
DESCRIPCION DETALLADA Esta descripción establece un aspecto para tener acceso a artículos de datos utilizando uno o más gráficos de acceso. Esta descripción se organiza como sigue. La Sección A describe un sistema ilustrativo para proporcionar acceso fuera de línea a artículos de datos. La Sección B describe métodos ilustrativos que explican la operación del sistema de la Sección A. La Sección C describe una funcionalidad de procesamiento ilustrativa que puede ser utilizada para implementar cualquier aspecto de las características descritas en las Secciones A y B.
Como una materia preliminar, algunas de las figuras describen conceptos en el contexto de uno o más componentes estructurales, denominados en forma variada como funcionalidad, módulos, características, elementos, etc. Los varios componentes mostrados en las figuras pueden ser implementados en cualquier forma, por ejemplo, a través de software, hardware (por ejemplo, componentes lógicos discretos, etc.), firmware, y así sucesivamente, o cualquier combinación de estas implementaciones. En un caso, la separación ¡lustrada de varios componentes en las figuras a distintas unidades puede reflejar el uso de distintos componentes correspondientes en una implementación real. Alternativamente, o además de, cualquier componente individual ilustrado en las figuras puede ser implementado por componentes reales plurales. Alternativamente, o además de, la ilustración de cualquiera de dos o más componentes separados en las figuras puede reflejar diferentes funciones realizadas por un solo componente real. La Figura 15, que será discutida a su vez, proporciona detalles adicionales con respecto a una implementación ilustrativa de las funciones mostradas en las figuras.
Otras figuras describen los conceptos en forma de cuadro de flujo. En esta forma, se describen ciertas operaciones como constituyendo distintos bloques realizados en cierto orden. Dichas implementaciones son ilustrativas y no limitantes. Ciertos bloques descritos aquí pueden ser agrupados conjuntamente y realizarse en una sola operación, ciertos bloques pueden ser separados en bloques de componentes plurales, y ciertos bloques pueden ser realizados en un orden que difiere de aquel ilustrado aquí (incluyendo una forma paralela para realizar los bloques). Los bloques mostrados en los cuadros de flujo pueden ser implementados a través de software, hardware (por ejemplo, componentes discretos lógicos, etc.), firmware, procesamiento manual, etc., o cualquier combinación de estas implementaciones.
En cuanto a terminología, la frase "configurado(a) para" abarca cualquier forma en la que cualquier tipo de funcionalidad puede ser construida para realizar una operación identificada. La funcionalidad puede ser configurada para realizar una operación utilizando, por ejemplo, software, hardware (por ejemplo, componentes discretos lógicos, etc.), firmware, etc., y/o cualquier combinación de los mismos.
El término "lógica(o)" abarca cualquier funcionalidad para realizar una tarea. Por ejemplo, cada operación ilustrada en los cuadros de flujo corresponde a la lógica para realizar esa operación. Una operación puede ser realizada utilizando, por ejemplo, software, hardware (por ejemplo, componentes discretos lógicos, etc.), firmware, etc., y/o cualquier combinación de los mismos.
A. Sistemas Ilustrativos A.1 Vista General del Sistema La Figura 1 muestra un sistema electrónico 100 ilustrativo ("sistema" para brevedad) para controlar los derechos de acceso a artículos de datos. El término "artículo de datos" se va a construir ampliamente. Un artículo de datos se refiere a cualquier unidad de información que cualquier entidad desea proteger por cualquier razón. Un artículo de datos puede pertenecer a un artículo de documento, artículo de imagen, artículo de video, artículo de audio, artículo de archivo de código, artículo de lenguaje de marcación, y así sucesivamente, o cualquier combinación de los mismos. Además, el artículo de datos puede pertenecer a una parte de más de un artículo que abarca, tal como una página dentro de un documento, un objeto o subrutina dentro de un archivo de código, y así sucesivamente.
El sistema 100 protege los artículos de datos controlando las condiciones bajo las cuales las entidades pueden tener acceso a los artículos de datos. La siguiente descripción se refiere a entidades que pueden recibir los artículos de datos como "receptores". En algunos casos, los receptores pueden referirse a usuarios o grupos de usuarios que reciben y consumen los artículos de datos para varios propósitos. Alternativamente, o además, los receptores pueden referirse a calcular la funcionalidad que recibe los artículos de datos. No hay limitación sobre lo que constituye un receptor como se utiliza aquí.
La Figura 1 identifica dos componentes principales del sistema 100: un módulo de distribución de información de gráfico (GID) 102 y un módulo receptor 104. El módulo GID 102 opera enviando un paquete conciso de información relacionada con acceso l módulo receptor 104. El módulo receptor 104 utiliza la información relacionada con acceso para tener acceso a un artículo de datos. El módulo receptor 104 puede representar uno de una pluralidad de módulos receptores (no mostrada). Cada módulo receptor puede ser asociado con un receptor de cualquier tipo que busca acceso al artículo de datos para cualquier propósito. Por ejemplo, el módulo receptor 104 puede representar un dispositivo de cómputo que es operado por un receptor ser humano.
La Figura 2 es un vehículo para explicar qué puede constituir la información relacionada con acceso. Para facilitar el entendimiento, esta figura será discutida antes de avanzar más en la explicación de la Figura 1.
La Figura 2 muestra una colección de gráficos de acceso (202, 204, ... 206). Cada gráfico de acceso proporciona información con respecto a un tema o dimensión particular. Por ejemplo, un gráfico de acceso puede proporcionar información con respecto al reporte de responsabilidades dentro de una organización. Este gráfico de acceso se denomina como un gráfico de acceso relacionado con reportes. Otro gráfico de acceso puede describir unidades dentro de una organización. Este gráfico de acceso se denomina como un gráfico de acceso relacionado con la unidad. Otro gráfico de acceso puede describir papeles dentro de una organización, y así sucesivamente. Este gráfico de acceso se denomina como un gráfico de acceso relacionado con papel. No hay limitación sobre lo que constituye un gráfico de acceso. En un caso particular y no limitante, los nodos en un gráfico de acceso pueden definir clases de acceso respectivas.
Se puede formular una política de acceso de artículo que es una combinación de información expresada por los gráficos de acceso (202, 204 206). Por ejemplo, una política puede especificar que un artículo de datos es accesible a receptores quienes tienen un papel particular r dentro de una unidad particular u de una organización, en donde la información de papel se identifica con respecto a un gráfico de acceso relacionado con el papel y la información de unidad se identifica con respecto a un gráfico de acceso relacionado con la unidad.
La información dentro de un gráfico de acceso puede ser representada como una colección de nodos. Por ejemplo, un gráfico de acceso relacionado con reporte puede incluir nodos que corresponden a miembros dentro de una organización. Además, el gráfico de acceso puede incluir enlaces (o bordes) que conectan a los nodos conjuntamente. Por ejemplo, en un gráfico de acceso relacionado con reporte, un nodo asociado con un administrador puede incluir enlaces que se conectan a nodos asociados con los empleados del administrador. Dicho gráfico de acceso puede constituir un gráfico directo ya que los enlaces que se conectan a los nodos tienen capacidad de dirección. Por ejemplo, el nodo asociado con el administrador incluye enlaces que "señalan a" los nodos asociados con los empleados del administrador. En este ejemplo, dicho gráfico de acceso puede tomar la forma de una jerarquía de nodos que incluyen una relación de padre-hijo. Pero otros gráficos de acceso pueden adoptar otras formas de organizar nodos.
La Figura 2 también muestra información de relación inter-gráfico 208 que expresa relaciones entre nodos en diferentes jerarquías. Por ejemplo, la información de relación de inter-gráfico 208 puede incluir un enlace que conecta un nodo de administrador en un gráfico de acceso relacionado con reporte a un nodo de unidad particular dentro de un gráfico de acceso relacionado con la unidad. Colectivamente, los gráficos de acceso (202, 204 206) y la información de relación inter-gráfico 208 definen una estructura de nodo. El término información de estructura de nodo se refiere a la información que describe los nodos dentro de la estructura de nodo y la interconexión de esos nodos.
Como se describirá con mayor detalle con referencia a las siguientes figuras, cada nodo en la estructura de nodo puede incluir una clave criptográfica (K) y una etiqueta (L) asociada con la misma. La clave (K) describe información no pública que puede ser generada por cualquier tipo de algoritmo criptográfico. La clave puede ser utilizada por un receptor para obtener acceso a un nodo que está asociado con la clave. La etiqueta (L) describe información pública que representa el nodo. Además, cada enlace que conecta cualquiera de dos nodos i y j incluye un marcador público asociado con el mismo. La Figura 3, que a su vez será descrita más adelante, proporciona información adicional con respecto a una relación ilustrativa entre las claves, etiquetas, y m arcadores en una estructura de nodo ilustrativa.
La información e clave colectivamente se refiere a las claves usadas dentro de la estructura de nodo. La información de etiqueta se refiere a las etiquetas usadas dentro de la estructura de nodo. La información de marcador se refiere a los marcadores usados dentro de la estructura de nodo. El término general "información de gráfico" abarca información con respecto a varios factores de la estructura de nodo, tales como la información de estructura de nodo, la información de clave, la información de etiqueta, y la información de marcador.
La Figura 2 también muestra un artículo de datos 210 puede ser relacionado con la estructura de nodo utilizando uno o más enlaces. Más específicamente, el artículo de datos 210 puede ser tratado como un nodo, como cualquier otro nodo dentro de la estructura de nodo. Como tal, el artículo de datos 210 puede incluir una clave privada y una etiqueta pública asociada con la misma. Más específicamente, la clave asociada con el artículo de datos 210 constituye una clave de contenido (Kd) que puede ser utilizada por el módulo receptor 104 para descodificar crípticamente el artículo de datos. Además, el enlace (o enlaces) que conectar el artículo de datos 210 al resto de la estructura de nodo puede incluir uno o más marcadores asociados con el mismo. La información de enlace 212 corresponde a la información antes descrita que específica cómo el artículo de datos 210 se conecta a la estructura de nodo.
La información relacionada con acceso se refiere tanto a la información de gráfico (incluyendo información de estructura de nodo, información de clave, información de etiqueta, e información de marcador) junto con la información de enlace 212. En una forma que será descrita con detalle más adelante, el sistema 100 pasa un paquete conciso de información relacionada con acceso al módulo receptor 104. El módulo receptor 104 utiliza la información relacionada con acceso para tener acceso a un artículo de datos que es apto para recibir. El módulo receptor 104 realiza esta tarea utilizando la información relacionada con acceso provisto para descubrir información de clave adicional del gráfico, siguiendo efectivamente una trayectoria a través de la estructura de nodo que finalmente conduce a la clave de contenido asociada con el artículo de datos después buscado. La información relacionada con acceso que es enviada al módulo receptor 104 se considera concisa ya que proporciona suficiente información que permite al módulo receptor 104 rastrear la trayectoria hacia el artículo de datos 210, pero no necesita abarcar toda la abundancia de la información relacionada con el acceso asociada con la estructura de nodo como un todo.
Con la introducción anterior con respecto al uso de gráficos de acceso, la explicación ahora regresa a la Figura 1. Empezando con el módulo GID 102, este módulo incluye (o puede ser conceptualizado para incluir) un número de componentes que realizan funciones individuales. Uno o más proveedores de gráfico (106, 108, ... 110) proporciona información de gráfico de acceso que se utiliza para hacer la estructura de nodo (de la Figura 2). Por ejemplo, un proveedor de gráfico puede corresponder a una entidad de recurso humano que proporciona información con respecto a miembros dentro de una organización. Este proveedor de gráfico, por lo tanto, puede servir como una fuente que proporciona información para un gráfico de acceso relacionado con reporte. No se presenta información aquí sobre los tipos de proveedores de gráfico que puedan interactuar con el módulo GID 102. Uno o más proveedores de gráfico pueden representar entidades independientes con respecto al módulo GID 102. Alternativamente, o además, uno o más proveedores de gráfico pueden ser administrados por la misma entidad asociada con el módulo GID 102.
Una o más interfases de proveedor (112, 114, ... 116) interactúan con proveedores de gráfico respectivos (106, 108, ... 110). Las interfases de proveedor (112, 114 116), por ejemplo, reciben información de gráfico de acceso de los proveedores de gráfico respectivos (106, 108 110). Las interfases de proveedor (112, 114 116) pueden utilizar cualquier tipo de aspecto para recibir la información de gráfico de acceso, tal como una técnica de empuje en donde los proveedores de gráfico (106, 108 110) independientemente envían la información de gráfico de acceso a las interfases de proveedor (112, 114, .... 116), una técnica de tracción en donde las interfases de proveedor (112, 114 116) solicitan la información de gráfico de acceso de los proveedores de gráfico (106, 108, ... 110), y así sucesivamente. Al realizar esta interacción, las interfases de proveedor (112, 114, ...116) pueden adaptar diferentes protocolos utilizados por los proveedores de gráfico (106, 108 110).
Las interfases de proveedor (112, 114 116) pueden formatear la información de gráfico de acceso a gráficos de acceso respectivos que tienen un formato uniforme. Las interfases de proveedor (112, 114 116) después pueden almacenar los gráficos de acceso en un almacenamiento principal de gráfico de acceso 118. Colectivamente, los gráficos de acceso pueden formar una estructura de nodo, como se discutió con respecto a la Figura 2. La estructura de nodo también puede ser suplementada para incluir información de relación inter-gráfico 208, la cual enlaza nodos entre diferentes gráficos de acceso. Además, la estructura de nodo puede conservar información que indica los orígenes de diferentes partes de la estructura de nodo. Por ejemplo, la estructura de nodo puede mantener información que indica que los nodos, en un gráfico de acceso relacionado con reporte, se originan de una entidad de fuente humana.
Un módulo de administrador de gráfico 120 realiza varias funciones con relación a la estructura de nodo provista en el almacenamiento principal de gráfico de acceso 118. Por ejemplo, el módulo de administrador de gráfico 120 puede agregar información de clave, información de etiqueta, e información de marcador a la estructura de nodo. Como se explica con referencia a la Figura 2, la información de clave y la información de etiqueta corresponden a claves privadas y etiquetas públicas que están asociadas con nodos individuales en la estructura de nodo. La información de marcador corresponde a marcadores públicos que están asociados con los bordes entre nodos dentro de la estructura de nodo. Las últimas figuras explicarán cómo la información de clave, información de etiqueta, e información de marcador pueden ser relacionadas conjuntamente. El módulo de administrador de gráfico 120 puede volver a calcular la información de clave, información de etiqueta, e información de marcador después de cada actualización a la estructura de nodo, por ejemplo, a medida que nueva información es recibida de los proveedores de gráfico (106, 108, ... 110).
El módulo de administrador de gráfico 120 también puede jugar un papel en la selección de un paquete conciso de información de gráfico que será enviada al módulo receptor 104. Funcionalmente, el módulo receptor de gráfico 120 realiza esta tarea seleccionando un grupo de información de gráfico que es suficiente para permitir al módulo receptor 104 a obtener acceso a artículos de datos apropiados. De esta manera, el conocimiento de los artículos de datos que serán accedidos es un factor que controla qué información de gráfico es apropiada para enviarla al módulo receptor 104. En general, el módulo de administrador de gráfico 120 puede no necesitar enviar un grupo completo de información de gráfico asociada con la estructura de nodo como un todo. Como tal, el módulo de administrador de gráfico 120 puede intentar evitar enviar un paquete sobre-inclusivo o sobre-determinado de información de gráfico al módulo receptor 104.
Como se describió anteriormente, el módulo receptor 104 puede representar uno de una pluralidad de módulos receptores (no mostrados). Cada módulo receptor (y receptor asociado) puede tener una autorización individual a diferentes porciones de un grupo completo de información de gráfico. De esta manera, el módulo GID 102 puede enviar diferentes paquetes de información de gráfico a diferentes módulos receptores respectivos.
Un módulo de sincronizador de proveedor 122 interactúa con un módulo de receptor sincronizador complementario 124 dél módulo receptor 104 para enviar información de gráfico al módulo receptor 104. Una vez más, la información e gráfico puede incluir un paquete conciso de información de estructura de nodo, información de clave, información de etiqueta, e información de marcador. El módulo de sincronizador de proveedor 122 puede suministrar la información de gráfico en cualquier base. En un caso, el módulo de sincronizador de proveedor 122 envía la información de gráfico en una base periódica, tal como una vez al día, o una vez por hora, etc. Alternativamente, o además, el módulo de sincronizador de proveedor 122 envía la información de gráfico basándose en un evento de activación. Dicho evento de activación puede corresponder a una indicación de la recepción de nueva información de gráfico de los proveedores de gráfico (106, 108 110). Otro evento de activación puede corresponder a la solicitud explícita para información de gráfico del módulo receptor 104, y así sucesivamente. No hay ninguna limitación en el protocolo de que el módulo de sincronizador de proveedor 122 puede utilizarse para enviar información de gráfico al módulo receptor 104.
En una implementación, el módulo de sincronizador de proveedor 122 puede enviar la información de gráfico al módulo receptor 104 después de que determina que el módulo receptor 104 está habilitado para recibir la información de gráfico. Por ejemplo, para cada nodo en la estructura de nodo, el módulo de sincronizador de proveedor 122 puede determinar si el módulo receptor 104 está capacitado para recibir la clave privada para ese nodo. Si es así, el módulo de sincronizador de proveedor 122 puede autorizar la diseminación de esa clave al módulo receptor 104. Para realizar esta tarea, el módulo de sincronizador de proveedor 122 puede consultar a proveedores de gráficos apropiados (106, 108, ... 110). Por ejemplo, asumir que un nodo en cuestión describe información recogida de una entidad de recurso humano. En este caso, el módulo de sincronizador de proveedor 122 puede consultar a este proveedor de gráfico particular para determinar si el receptor está habilitado para recibir la clave privada para este nodo. El módulo de sincronizador de proveedor 122 puede utilizar la información de conectividad capturada en la estructura de nodo para identificar las fuentes de diferentes partes de la estructura de nodo.
Para realizar la función anterior, el módulo de sincronizador de proveedor 122 puede realizar una operación de mapeo que relaciona al receptor con un nodo bajo consideración en la estructura de nodo.
Por ejemplo, asumir que un nodo bajo consideración se origina de un gráfico de acceso relacionado con la unidad. El módulo de sincronizador de proveedor 122 puede determinar si una persona p quien está operando el módulo receptor 104 está asociada con una unidad representada por el nodo bajo consideración. El módulo de sincronizador de proveedor 122 puede hacer esta determinación consultando un proveedor de gráfico que es la fuente del nodo bajo consideración, o consultando alguna otra fuente de información de mapeo.
Un módulo proveedor de artículo 126 realiza la tarea de enviar uno o más artículos de datos al módulo receptor 104. En un caso, el sistema 100 puede integrar el módulo GID 102 y el módulo proveedor de artículo 126, de manera que el módulo proveedor de artículo 126 representa un módulo funcional dentro del módulo GID 102. En otro caso, el sistema 100 puede implementar el módulo GID 102 y el módulo proveedor de artículo 126 como dos unidades separadas (las cuales pueden ser administradas por la misma entidad o diferentes entidades respectivas). Además, el módulo GID 102 y el módulo proveedor de artículo 126 pueden ser implementados en diferentes ubicaciones respectivas o en la misma ubicación. En cualquier evento, el módulo proveedor de artículo 126 puede interactuar con el módulo GID 102 para realizar sus funciones. Aunque no se muestra, el sistema 100 puede incluir módulos proveedores de artículos plurales. Por ejemplo, cada módulo proveedor de artículo 126 puede suministrar artículos de datos a partir de una entidad de autorización respectiva o entidad de publicación. Uno o más módulos proveedores de artículo también pueden ser ubicados dentro de un mismo ambiente local como el módulo receptor 104.
El módulo proveedor de artículo 126 realiza varias funciones asociadas con el suministro del artículo de datos al módulo receptor 104. Por ejemplo, el módulo proveedor de artículo 126 puede codificar crípticamente un artículo de datos original 128 en un artículo de datos codificado crípticamente 130 utilizando una clave de contenido (Kd). El módulo proveedor de artículo 126 también puede enlazar el artículo de datos a la estructura de nodo. Al hacer esto, el sistema 100 trata al artículo de datos como un nodo de clase de acceso justo como otros nodos en la estructura de nodo que se origina de los varios gráficos de acceso.
El módulo proveedor de artículo 126 puede trabajar junto con el módulo de administrador de gráfico 120 para definir la información que caracteriza al nodo (por ejemplo, el "nodo de datos") asociado con el artículo de datos. Por ejemplo, el nodo puede incluir la clave de contenido Kd y una etiqueta pública Ld. Además, el módulo proveedor de artículo 126 puede trabajar junto con el módulo de administrador de gráfico 120 para agregar uno o más marcadores para describir el enlace o enlaces que conectan el artículo de datos con la estructura de nodo. Como se discutió con relación a la Figura 2, los enlaces y marcadores son colectivamente denominados aquí como información de enlace. En un caso, el artículo de datos constituye un nodo virtual dentro de la estructura de datos. En este aspecto, el artículo de datos y su información de enlace son almacenados en forma separada de los otros nodos en la estructura de nodo (definida por los gráficos de acceso). La información de enlace virtualmente enlaza el artículo de datos con la estructura de nodo.
Finalmente, el módulo proveedor de artículo 126 suministra el artículo de datos codificados crípticamente 130 junto con la información de enlace al módulo receptor 104. El sistema 100 puede utilizar diferentes protocolos para enviar artículos de datos e información de enlace al módulo receptor 104. En un caso, el módulo de sincronizador de proveedor 122 puede ser utilizado para proporcionar el artículo de datos e información de enlace al módulo receptor 104. En otro caso, el módulo proveedor de artículo 126 puede utilizar una trayectoria de información independiente (y posiblemente un protocolo de comunicación independiente) para enviar el artículo de datos e información de enlace al módulo receptor 104. La transferencia del artículo de datos e información de enlace al módulo receptor 104 puede utilizar cualquier aspecto, tal como un aspecto a base de empuje (en donde el módulo proveedor de artículo 126 inicia la transferencia), un aspecto a base de tracción (en donde el módulo receptor 104 inicia la transferencia solicitándola), y así sucesivamente.
El módulo GID 102 y el módulo proveedor de artículo 126 opcionalmente pueden codificar crípticamente la información relacionada con acceso que envían al módulo receptor 104. Por ejemplo, el módulo GID 102 y el módulo proveedor de artículo 126 pueden utilizar información clave asociada con un receptor particular para codificar crípticamente la información relacionada con acceso que se envía a ese receptor, reduciendo así el riesgo de que entidades no autorizadas puedan tener acceso a la información relacionada con acceso.
Ahora regresando al módulo receptor 104, el módulo receptor 104 incluye un almacenamiento de gráfico de acceso local 132. El almacenamiento de gráfico de acceso local 132 almacena la información de gráfico que ha sido enviada por el módulo GID 102, tal como se recibió por el módulo de receptor sincronizador 124. El almacenamiento de gráfico de acceso local 132 también opcionalmente puede almacenar artículos de datos codificados crípticamente e información de enlace que se han enviado (ya sea directa o indirectamente) por el módulo proveedor de artículo 126. Como se describió anteriormente, la información de gráfico y la información de enlace constituyen un paquete económico de información relacionada con acceso que permite que el módulo receptor 104 tenga acceso a artículos de datos.
Un módulo de acceso de artículo 134 constituye el agente que en realidad realiza la tarea de acceder un artículo de datos utilizando la información de gráfico e información de enlace. Para llevar a cabo esta tarea, el módulo de acceso de artículo 134 yace en un módulo para encontrar trayectoria 136. El módulo para encontrar trayectoria 136 utiliza la información de gráfico y la información de enlace para establecer una trayectoria a través de la estructura de nodo para recuperar la clave de contenido (Kd) del artículo de datos. Una vez hecho el acceso, el módulo de acceso de artículo 134 puede utilizar la clave de contenido para descodificar crípticamente el artículo de datos para proporcionar un artículo de datos descodificado crípticamente 138. Información adicional con respecto a la forma en la cual operan el módulo de acceso de artículo 134 y el módulo para encontrar trayectoria 136 se presentará en la Sección A.2 más adelante. Además de las restricciones definidas por la información de gráfico y la información de enlace (colectivamente denominadas información relacionada con acceso), una licencia puede gobernar el acceso del módulo receptor 104 a un artículo de datos. Por ejemplo, una licencia puede fijar un período de tiempo en el cual el usuario puede utilizar la información relacionada con acceso para tener acceso al artículo de datos.
El módulo receptor 104 actualiza la información de gráfico y la información de enlace con el tiempo, por ejemplo, en una base periódica o en cualquier otra base. Por consiguiente, el almacenamiento de gráfico de acceso local 132 puede mantener varias versiones de la información relacionada con acceso. El módulo receptor 104 puede utilizar diferentes políticas para manejar y utilizar las diferentes versiones de la información relacionada con acceso. En un caso, el módulo receptor 104 puede retener viejas versiones (no actuales) de la información relacionada con acceso, permitiendo que el módulo receptor 104 tenga acceso a artículos de datos viejos correspondientes (previamente recibidos) que están enlazados a la información vieja relacionada con acceso. Sin embargo, en un caso, el módulo receptor 104 puede prohibir el uso de la información vieja relacionada con acceso para tener acceso a artículos de datos recientemente recibidos que están enlazados a una versión más reciente de la información relacionada con acceso.
En un caso, el módulo GID 102 y el módulo proveedor de artículo 126 pueden enviar copias completas de la información relacionada con acceso después de cada actualización de la información relacionada con acceso. En otro caso, el módulo GID 102 y el módulo proveedor de artículo 126 pueden enviar incrementos delta después de cada actualización. Estos incrementos delta selectivamente pueden proporcionar las partes de la información relacionada con acceso que han cambiado con relación a una versión inmediatamente previa de la información relacionada con acceso. Se pueden utilizar otras estrategias más para proporcionar y mantener la información relacionada con acceso.
En resumen, la información relacionada con acceso que es distribuida al módulo receptor 104 efectivamente representa consideraciones de política que gobierna el acceso a artículos de datos. Al distribuir esta información relacionada con acceso por adelantado, el módulo GID 102 pre-impone las consideraciones de política expresadas por la información relacionada con acceso. Este aspecto permite que el módulo receptor 104 tenga acceso y consuma los artículos de datos en un modo de operación fuera de línea. En un modo de operación fuera de línea, el módulo receptor 104 no necesita tener acceso a una infraestructura de política centralizada para determinar si está autorizado para tener acceso al artículo de datos. Por consiguiente, este aspecto es particularmente benéfico en aquellos ambientes en donde el módulo receptor 104 no tiene acceso a una infraestructura de reporte centralizada (aunque el aspecto puede ser utilizado en cualquier ambiente).
Alternativamente, el módulo GID 102 (o algún otro servicio de control de acceso) también puede proporcionar funcionalidad de procesamiento en línea 140. La funcionalidad de procesamiento en línea 140 gobierna el acceso a artículos de datos en un modo de operación en línea. Por ejemplo, después de solicitar al módulo receptor 104, la funcionalidad de procesamiento en línea 140 determina si el módulo receptor 104 está habilitado para recibir un artículo de datos haciendo referencia a consideraciones de política centralmente almacenadas (no mostradas). La funcionalidad de procesamiento en línea 140 puede proveer una licencia de uso o similar si se determina que el módulo receptor 104 está autorizado para recibir el artículo de datos.
En una implementación, el sistema 100 puede utilizar ya sea el modo en línea o el modo fuera de línea para hacer decisiones de acceso. El sistema 100 puede elegir entre estos modos dependiendo de varios factores contextúales. Por ejemplo, si la funcionalidad de procesamiento en línea 140 está disponible, el módulo receptor 104 puede basarse en este módulo para hacer decisiones. Si la funcionalidad de procesamiento en línea 140 no está disponible, el módulo receptor 104 puede operar en el modo fuera de línea basándose en la información relacionada con acceso pre-distribuida almacenada en su almacenamiento de gráfico de acceso local 132. En otro escenario, el módulo receptor 104 puede intentar acceder a un artículo de datos en el modo fuera de línea. Si no se realiza esta función por cualquier rezón en el modo fuera de línea, entonces puede intentar acceder al artículo de datos utilizando el modo en línea. Son posibles otras estrategias más para combinar el modo en línea y el modo fuera de línea.
En términos de implementación física, el módulo GID 102 puede ser asociado con un servicio implementado por computadora que es accesible a uno o más módulos receptores 104. Por ejemplo, el módulo GID 102 puede ser implementado por una o más computadoras de tipo servidor, uno o más almacenamientos de datos, etc. El módulo GID 102 puede ser provisto a un solo sitio o puede ser distribuido a través de múltiples sitios. El módulo proveedor de artículo 126 asimismo puede ser asociado con un servicio implementado por computador. Ese servicio puede ser ya sea integrado con el módulo GID 102 o implementado separadamente (al menos en parte) del módulo GID 102.
El módulo receptor 104 puede ser asociado con cualquier tipo de funcionalidad para tener acceso a un artículo de datos. En un caso, el módulo receptor 104 puede representar un dispositivo de cómputo operado por un receptor ser humano, tal como una computadora de propósito general, una computadora laptop, un dispositivo de tipo asistente digital personal, un dispositivo de teléfono móvil, una consola de juegos, y así sucesivamente. El receptor puede operar el dispositivo de cómputo para tener acceso a un artículo de datos en cualquier ambiente de aplicación para cualquier propósito.
En oro caso, el módulo receptor 104 puede representar un servicio local implementado por computadora para tener acceso a artículos de datos. Por ejemplo, el módulo receptor 104 puede ser implementado a través de una o más computadoras de tipo servidor locales, almacenamientos de datos, etc. Uno o más receptores de tipo usuario final pueden interactuar con dicho servicio local para consumir artículos de datos hechos accesibles por el servicio local. Son posibles aún otras implementaciones del módulo GID 102 y el módulo receptor 104.
Una red (no mostrada) puede acoplar el módulo GID 102 y el módulo receptor 104. La red puede corresponder a una red de área ancha (por ejemplo, Internet), una red de área local, una conexión de punto a punto, etc., o cualquier combinación de las mismas. La red puede ser implementada por cualquier combinación de enlaces de cable duro, enlaces inalámbricos, enrutadores, servidores de nombre, compuertas, etc. La red puede ser gobernada por cualquier protocolo o combinación de protocolos.
A.2 Estrategias Ilustrativas de Enlace Las Figuras 3-10 proporcionan posibles relaciones adicionales con respecto a detalles entre los nodos dentro de la estructura de nodo. Estas Figuras, por lo tanto, aclaran cómo el módulo receptor 104 puede utilizar un grupo limitado de información relacionada con acceso para finalmente "alcanzar" un nodo asociado con un artículo de datos que busca acceso. Esto permite al módulo receptor 104 tener acceso a una clave de contenido (Kd) asociado con el artículo de datos y después utilizar la clave de contenido para descodificar crípticamente el artículo de datos. Metafóricamente, el procedimiento de descubrir la clave de contenido puede ser comparado para rastrear una trayectoria a través de la estructura de nodo que conduce a la clave de contenido, sucesivamente descubriendo inmediatamente las claves a lo largo del camino.
Empezando con la Figura 3, esta figura muestra una estrategia general para utilizar una clave asociada con un nodo padre para derivar una clave asociada con un nodo hijo enlazado. Esta estrategia se basa en Mikhail J. Atallah, et al., "Dynamic and Efficient Key Management for Access Hierarchies", Proceedings of the 12th ACM Conference on Computer and Communications, 2005, pág. 190-202.
Más específicamente, la Figura 3 muestra cuatro nodos (302, 304, 306, y 308) en un gráfico dirigido. Los nodos 304 y 306 son nodos hijo con respecto al nodo padre 302. El nodo 308 es un nodo hijo con respecto a nodos padre 304 y 306. Se presume que, al inicio de una derivación, a un receptor se le da una clave (Ki) asociada con el nodo padre 302. Al receptor también se le dan etiquetas públicas (LL L2, L3, L4) asociadas con todos los nodos, así como marcadores públicos (yi2. yi3, y23. y34) que conectan los nodos conjuntamente.
El receptor puede derivar todas las otras claves (K2, K3, K4) asociadas con nodos 304, 306, y 308, respectivamente, dada la información de "semilla" anterior. Para empezar con cualquier marcador entre cualquiera de dos nodos enlazados i y j, en donde i es un padre de j, puede tomar la forma de y¡j = KjXOR H(K¡, Lj), en donde y¡j es el valor de marcador del borde que enlaza los nodos i y j, K¡ es una clave asociada con el nodo i, K¡ es una clave asociada con el nodo j, Lj es una etiqueta pública asociada con el nodo j, "XOR" se refiere a una operación de O lógica Exclusiva, y H(K¡,J|) se refiere a una mezcla de K¡ y l¡ (proporcionado por cualquier tipo de algoritmo de mezclado). Dada esta expresión, el receptor puede calcular la clave K2 asicada con el nodo 304 y la clave K3 asociada con el nodo 306. Habiendo obtenido ya sea K2 o K3, el receptor puede generar la clave K4 asociada con el nodo 308. De esta manera, el receptor sucesivamente puede mover la jerarquía de nodos descubriendo las claves, empezando con la clave de semilla inicial de Ki (junto con la información pública asociada con los nodos y bordes). Observar que esto no es necesario para suministrar el receptor con todas las claves en la estructura de nodo, justo como KL Además observar que, en una implementación, no se permite al receptor utilizar una clave asociada con un nodo descendente para derivar una clave asociada con un nodo padre. Por ejemplo, suponer que a un receptor se le suministra una clave K2, pero no una clave Ki. En este caso, debido a la naturaleza de la función de mezclado, la clave K2 no puede ser utilizada para derivar la clave Ki. Asimismo, a un receptor al que se le suministra la clave K2 no puede utilizar la estructura de nodo para derivar la clave K3, y viceversa.
Las Figuras 1-2 y 4-15 presentan mejoras en el aspecto de derivación de clave mostrado en la Figura 3 que no son sugeridas por el aspecto mostrado en la Figura 3.
Por ejemplo, la Figura 4 muestra un aspecto para asociar un artículo de datos 402 con un nodo 404 en un gráfico de acceso 406. Asumir, por ejemplo, que el nodo 404 identifica un empelado p dentro de un gráfico de acceso relacionado con reporte 406. En este caso, un marcador ypd puede ser utilizado para expresar un enlace entre el nodo 404 y el artículo de datos 402. El marcador puede tomar la forma de ypd = Kd XOR H(KP> Ld), en donde Kd es una clave asociada con el artículo de datos 402 (por ejemplo, que corresponde a la clave de contenido del artículo de datos 402), Kp es una clave asociada con el nodo 404, y Ld se refiere a una etiqueta pública asociada con el artículo de datos 402. De esta manera, el receptor puede calcular Kd clave dando ypd, Kp, y Ld. Como se describió anteriormente, el artículo de datos 402 puede ser considerado como un nodo virtual hasta donde el artículo de datos 402 y el marcador ypd no necesitan ser almacenados junto con los otros nodos de la estructura de nodo (asociada con los gráficos de acceso).
La Figura 5 muestra un aspecto para asociar un nodo 502 en un primer gráfico de acceso 504 con un nodo 506 en otro gráfico de acceso 508. Asumir, por ejemplo, que el nodo 502 corresponde a una unidad u dentro de un gráfico de acceso relacionado con unidad 504, mientras que el nodo 506 identifica un empleado p dentro de un gráfico de acceso relacionado con reporte 508. En este caso, un marcador ypu puede ser usado para expresar un enlace entre el nodo 506 de persona p y el nodo 502 de unidad u. El marcador puede tomar la forma de ypu = Ku XOR H(KP, l_u), en donde Ku es una clave asociada con el nodo 502 de unidad u, Kp es una clave asociada con el nodo 506 de persona p, y Lu se refiere a una etiqueta pública asociada con el nodo 502 de unidad u. De esta manera, el receptor puede calcular Ku dado ypu, Kp, y Lu.
La Figura 6 muestra un aspecto en donde un artículo de datos 602 puede ser asociado con dos o más nodos en la estructura de nodo. Por ejemplo, el artículo de datos 602 está asociado con un nodo 604 en un primer gráfico de acceso 606 y un nodo 608 en otro gráfico de acceso 610. Asumir, por ejemplo, que el nodo 604 corresponde a un papel r dentro de un gráfico de acceso no relacionado con papel 606, mientras que el nodo 608 identifica una unidad u dentro de un gráfico de acceso relacionado con unidad 610. En este caso, un marcador yurid puede expresar la combinación lógica de factores de política asociados con el nodo de papel r 604 y el nodo de unidad u 608. Es decir, el marcador yur d puede especificar que el receptor está habilitado para tener acceso al artículo de datos 602 si el receptor está asociado tanto con el papel r como la unidad u, y, por lo tanto, posee claves correspondientes para estos nodos (604, 608). El marcador puede tomar la forma de yur,d = Kd XOR ((KU XOR Kr), Ld), en donde Kd es una clave asociada con el artículo de datos 602, Kr es una clave asociada con el nodo de papel r 604, Ku es una clave asociada con el nodo de unidad u 608, y Ld se refiere a una etiqueta pública asociada con el artículo de datos 602. Aquí, un marcador individual representa dos enlaces, por ejemplo, el enlace que conecta el artículo de datos 602 con el nodo de papel r 604 y el enlace que conecta el artículo de datos 602 al nodo de unidad u 608. El receptor puede calcular Kd dando yur,d. r, Ku, y Lu. La Figura 6 muestra la operación de Y lógico a través de dos factores de política, pero el aspecto mostrado en la Figura 6 puede ser extendido para realizar la operación de Y lógico a través de más de dos factores de política.
La Figura 7 muestra un aspecto en donde un artículo de datos 702 puede ser asociado con dos o más nodos en la estructura de nodo utilizando una combinación lógica de Y en la forma descrita anteriormente para la Figura 6. Es decir, el artículo de datos 702 puede ser acoplado a un nodo 704 en un primer gráfico de acceso 706 y un nodo 708 en otro gráfico de acceso 710. Asumir, por ejemplo, que el nodo 704 corresponde a un papel r dentro de un gráfico de acceso relacionado con papel 706, mientras que el nodo 708 identifica una unidad u dentro de un gráfico de acceso relacionado con unidad 710. Otra vez, un marcador yurid puede expresar la combinación lógica de los nodos 704 y 708 como yur,d = Kd XOR H((KU XOR Kr), Ld), en donde los términos en esta expresión se describieron anteriormente. Además, la Figura 7 muestra que un nodo 712 (tal como un nodo de persona p) de un gráfico de acceso 714 (tal como un gráfico de acceso relacionado con reporte) puede ser conectado al artículo de datos 702 utilizando el marcador ypd = Kd XOR H(KP, Ld), en donde Kd es una clave asociada con el artículo de datos 702, Kp es una clave asociada con el nodo de persona p 712, y Ld se refiere a una etiqueta pública asociada con el artículo de datos 702. En efecto, las relaciones mostradas en la Figura 7 transportan a ese receptor y pueden tener acceso al artículo de datos 702, si: a) el receptor tiene un papel r y pertenece a la unidad u; o b) el receptor corresponde a persona p. De esta manera, el receptor puede calcular Kd dado que: a) yUr,_, Kr, Ku, y Ld, o b) ypd, Kp y Ld.
La Figura 8 muestra un ejemplo en donde se pueden utilizar dos operaciones lógicas de Y para asociar tres nodos en la estructura de nodo a un artículo de datos 802. Es decir, el artículo de datos 802 está conectado a un nodo 804 (tal como un nodo de persona p) en un primer gráfico de acceso 806 (tal como un gráfico de acceso relacionado con reporte). El artículo de datos 802 también está conectado a un nodo 808 (tal como un nodo de papel r) en otro gráfico de acceso 810 (tal como un gráfico de acceso relacionado con papel). El artículo de datos 802 también está conectado a un nodo 812 (tal como un nodo de unidad u) en otro gráfico de acceso 814 (tal como un gráfico de acceso relacionado con unidad). En este caso, un marcador ypr,d puede expresar que el receptor está habilitado para tener acceso al artículo de datos 802 si el receptor corresponde a la persona p quien tiene el papel r. el marcador yur,d expresa que el receptor alternativamente puede acceder al artículo de datos 802 si el receptor tiene el papel r y está afiliado con la unidad u. El marcador ypr d puede tomar la forma de yprid = Kd XOR H((KP XOR Kr), Ld), mientras el marcador yur,d puede tomar la forma de yur,d = Kd XOR H((KU XOR Kr), Ld), en donde los términos en estas expresiones se han descrito anteriormente. El receptor puede calcular Kd dando ya sea: a) ypr,d, Kr, Kp y Lu, o b) yur.d, Kr, Ku, y Lu.
La Figura 9 es similar a la Figura 8 en que un artículo de datos 902 está conectado a un nodo 904 (tal como un nodo de persona p) en un primer gráfico de acceso 906 (tal como un gráfico de acceso relacionado con reporte) y otro nodo 908 (tal como un nodo de unidad u) en otro gráfico de acceso 910 (tal como un gráfico de acceso relacionado con unidad). Además, la Figura 9 muestra que ese acceso al artículo de datos 902 se hace contingente después de la aprobación de la funcionalidad de licencia local 912. En un caso, la funcionalidad de licencia local 912 puede representar cualquier tipo de funcionalidad que sea más local al módulo receptor 104 con relación a la funcionalidad de procesamiento en línea 140 de la Figura 1. Por ejemplo, el módulo receptor 104 puede implementar la funcionalidad de licencia local 912 como un componente del módulo receptor 104. Alternativamente, el módulo receptor 104 puede tener acceso a un módulo separado que implementa la funcionalidad de licencia local 912. Por ejemplo, la funcionalidad de licencia local 912 puede ser implementada por uno o más dispositivos de cómputo de tipo servidor que son considerados locales con respecto al módulo receptor 104. (Para esta materia, el módulo proveedor de artículo 126 que suministra el artículo de datos 902 puede ser ya sea remoto o local con respecto al módulo receptor 104).
La funcionalidad de licencia local 912 puede aplicar cualquier tipo de consideración (o consideraciones) de política para determinar si el módulo receptor 104 está habilitado para tener acceso al artículo de datos 902. Si estas consideraciones de política no se satisfacen, la funcionalidad de licencia local 912 puede proporciona una clave de licencia ?t al módulo receptor 104. La clave de licencia Ki representa una clave que es provista además al grupo de claves de licencia (por ejemplo, Kr y Ku) provistas al módulo receptor 104 desde el módulo GID 102.
En una implementación, la funcionalidad de licencia local 912 opcionalmente puede basarse en su decisión sobre una o más consideraciones de política que son contextúales por naturaleza, como se representa por uno o más factores contextúales 914. Para citar meramente un ejemplo representativo, la funcionalidad de licencia local 912 puede incluir funcionalidad de determinación de ubicación (por ejemplo, funcionalidad GPS) que identifica una ubicación presente de un módulo receptor móvil 104. La funcionalidad de licencia local 912 puede generar la clave K^ como una función de la funcionalidad de determinación de ubicación. Por ejemplo, la funcionalidad de licencia local 912 puede generar la clave Ki si el módulo receptor 104 está dentro de cierta región geográfica en donde el módulo receptor 104 está autorizado para recibir el artículo de datos 902. Este ejemplo es meramente ilustrativo de una amplia variedad de consideraciones de política que pueden utilizarse para aplicar consideraciones de licencia local para la determinación de si el módulo receptor 104 está habilitado para tener acceso al artículo de datos 902 en cualquier momento dado.
La Figura 9 muestra que la clave Ki puede ser combinada con otros nodos en la estructura de nodo en cualquier formar para expresar condiciones complejas que gobiernan el acceso al artículo de datos 902. Por ejemplo, los marcadores (ypi,d e yui,d) en la Figura 9 indican que el módulo receptor 104 puede tener acceso al artículo de datos 902 si ya sea: a) el receptor está asociado con el empleado p y se ha otorgado la clave Ki; o b) el receptor está afiliado con la unidad u y se ha otorgado a la clave Ki. Aplicado al escenario GPS, estas expresiones pueden ser transportadas para que el receptor esté habilitado para recibir el artículo de datos 902 si está dentro de una región geográfica dada y es ya sea una persona p o afiliada con la unidad u. Esto es meramente un ejemplo. Se pueden formular otros enlaces para expresar otras relaciones lógicas que enlazan la funcionalidad de licencia local 912 a la estructura de nodo de los gráficos de acceso.
En un caso, la funcionalidad de licencia local 912 internamente puede realizar las operaciones de mezclado que se utilizan para calcular la clave de contenido Kd del artículo de datos 902. En este aspecto, la clave de contenido generada por la funcionalidad de licencia local 912 no necesita ser liberada fuera de un perímetro de control de acceso definido por la funcionalidad de licencia local 912. Esto ayuda a prevenir que una entidad no autorizada tenga acceso a la clave de contenido ??, y, finalmente, al artículo de datos 902.
El uso de funcionalidad de licencia local representa una solución híbrida a la tarea de imponer una política de manejo de derechos. Es decir, en un aspecto, el módulo receptor 104 determina si se permite el acceso al artículo de datos 902 haciendo referencia a la funcionalidad de procesamiento en línea 140. La funcionalidad de procesamiento en línea 140 hace una decisión de autorización haciendo referencia a consideraciones de política centralizada. En otro aspecto, el módulo receptor 104 determina si el receptor está habilitado a tener acceso a un artículo de datos haciendo referencia a información relacionada con acceso pre-distribuida, la cual está almacenada en el almacenamiento de gráfico de acceso local 132. En efecto, la información relacionada con acceso expresa un grupo pre-¡mpuesto de consideraciones de política que gobiernan el acceso al artículo de datos. En la Figura 9, el módulo receptor 104 se basa tanto en el análisis dinámico ("en el vuelo" y posiblemente dependiente de contexto) de la funcionalidad de licencia local 912 como en la consideración de política pre-impuesta en la información relacionada con acceso. Así, la ¡mplementación de la Figura 9 es un híbrido entre una primera solución que coloca una completa seguridad en un servicio de licencia dinámico y una segunda solución que coloca una completa seguridad en la información relacionada con acceso pre-distribuida.
La Figura 10 presenta un ejemplo que combina algunos de los principios establecidos con referencia a figuras previas. Este ejemplo muestra dos gráficos de acceso. Un primer gráfico de acceso (más arriba) corresponde a un gráfico de acceso relacionado con reporte. Este gráfico de acceso identifica miembros dentro de una organización y los enlaces de reporte entre sus miembros. Por ejemplo, el gráfico de acceso relacionado con reporte indica que los empleados de la unidad2i reportan a un administrador de la unidad2i , el administrador de la unidad2i reporta a un administrador de la unidad2, y el administrador de la unidad2 reporta a un administrador de organización sobre-arqueada.
El segundo gráfico de acceso (más abajo) corresponde a un gráfico de acceso relacionado con unidad. Este gráfico de acceso identifica unidades dentro de la organización y relaciones entre las unidades. Por ejemplo, el gráfico de acceso relacionado con unidad indica que la unidad22 es una parte de la unidad2) y la unidad2 es una parte de toda la organización. En ambos gráficos, se presume que un artículo de datos que está asociado con cualquier nodo hijo se hará disponible a sus nodos antecesores enlazados. En vista de esta característica, el gráfico de acceso relacionado con unidad es invertido ("volteado hacia abajo") para asegurar que a las unidades hijo se les proporcione acceso a artículos de datos que se hacen disponibles a sus unidades padre respectivas.
Se presume que existe un número de enlaces inter-gráfico que conectan los nodos del gráfico de acceso relacionado con reporte a los nodos del gráfico de acceso relacionado con unidad. Por ejemplo, un enlace puede señalar desde el nodo de administrador dé unidad22 del gráfico de acceso relacionado con reporte al nodo de unidad22 del gráfico de acceso relacionado con unidad. El módulo de administrador de gráfico 120 puede asignar el marcado yU22m,u22 = Ku22 XOR H(Ku22m. Lu22) a este enlace, en donde Ku2? se refiere a una clave asociada con el nodo de unidad22, u22m se refiere a una clave asociada con el nodo de unidad22, Ku22m se refiere a una clave asociada con el nodo de administrador de unidad22, y Lu22 se refiere a una etiqueta pública asociada con el nodo de unidad22. Además se asume que un artículo de datos 1002 está asociado con el nodo de unidad2 utilizando el marcador yu2 d = Kd XOR H(Ku2l Ld), en donde Kd se refiere a una clave asociada con el artículo de datos 1002 (que corresponde a la clave de contenido usada para descodificar crípticamente el artículo de datos 1002), Ku2 se refiere a una clase asociada con el nodo de unidad2, y Ld se refiere a una etiqueta pública asociada con el artículo de datos 1002. La información de gráfico y la información de enlace asociadas con estos gráficos de acceso pueden ser utilizadas para recibir la clave de contenido Kd asociada con el artículo de datos 1002. Esta tarea puede ser realizada esencialmente siguiendo los enlaces a través de los gráficos de acceso, empezando con un nodo para el cual el receptor posee una clave privada.
En general, el tipo de información de enlace mostrada en la Figura 10 puede ser utilizada para expresar relaciones relativas entre nodos en la estructura de nodo. Por ejemplo, un administrador puede tener una relación idiosincrática con otra parte de una organización que no está reflejada en la información de gráfico de acceso estándar recibida de los proveedores de gráfico (106, 108, ... 110). Un enlace y un marcador correspondiente pueden ser utilizados para expresar esta relación. Dicho enlace puede expresar una relación alternativa dentro de un gráfico de acceso particular o entre dos diferentes gráficos de acceso.
El módulo 136 para encontrar trayectoria (Figura 1) realiza el papel de encontrar una trayectoria a través de la estructura de nodo definida por uno o más gráficos de acceso para ubicar un artículo de datos deseado que el receptor está autorizado a tener acceso. Cualquier tipo de algoritmo de búsqueda de gráfico puede ser utilizado para descubrir esta trayectoria. En un caso, el módulo 135 para encontrar trayectoria puede encontrar las trayectorias disponibles identificando primero los nodos para los cuales el receptor posee claves. Estos nodos representan puntos de partida. El módulo 136 para encontrar trayectoria después puede seguir las trayectorias que emanan de estos nodos de partida, identificando aquellas trayectorias que finalmente se enlazan al artículo de datos. El módulo 136 para encontrar trayectoria también puede aplicar varios algoritmos para hacer que la búsqueda a través de la estructura de nodo sea más eficiente, tal como el algoritmo de primer respiro, etc.
El módulo de administrador de gráfico 120 del módulo GID 102 puede generar la información de gráfico para reducir la ocurrencia del ciclado de gráfico. En el ciclado de gráfico, el módulo 136 para encontrar trayectoria puede "atascarse" en un ciclo dentro de la estructura de nodo que no termina en un artículo de datos. Para reducir este fenómeno, el módulo de administrador de gráfico 120 puede proporciona nodos adicionales en la estructura de nodo que reduce el riesgo de ciclado de gráfico.
B. Procedimientos Ilustrativos Las Figuras 11-14 muestran procedimientos que ilustran la operación del sistema 100 de la Figura 1. Ya que los principios que subrayan la operación del sistema 100 ya han sido descritos en la Sección A, ciertas operaciones serán dirigidas en una forma de resumen en esta sección.
La Figura 11 es un procedimiento que proporciona una vista general de la operación del sistema 100 de la Figura 1, de acuerdo con una implementación ilustrativa.
En el bloque 1102, el módulo GID 102 proporciona información e gráfico a un receptor. La información de gráfico puede incluir información de estructura de nodo (que describe la arte de la estructura de nodo provista por uno o más gráficos de acceso), información de etiqueta (que proporciona un grupo de etiquetas públicas asociadas con nodos en la estructura de nodo), información de marcador (que proporciona un grupo de marcadores asociados con bordes en la estructura de nodo), e información de clave (que proporciona un grupo de claves secretas que el receptor está habilitado para recibir, las claves estando asociadas con nodos respectivos en la estructura de nodo).
En el bloque 1104, el módulo proveedor de artículo 126 proporciona un artículo de datos al receptor. El artículo de datos se codifica crípticamente con una clave de contenido (Kd).
En el bloque 1106, el módulo proveedor de artículo 126 puede proporcionar información de enlace al receptor. La información e enlace describe cómo el artículo de datos se relaciona con la estructura de nodo. La información de enlace y el artículo de datos pueden ser almacenados separados de la estructura de nodo, estableciendo así al artículo de datos como un nodo virtual de la estructura de nodo. La información de enlace por sí misma puede incluir uno o más marcadores que describen cómo el artículo de datos es enlazado a la estructura de nodo.
En el bloque 1108, el módulo receptor 104 recibe la información de gráfico, artículo de datos codificados crípticamente, e información de enlace.
En el bloque 1110, el módulo recepto 104 utiliza la información recibida para encontrar una trayectoria dentro de la estructura de nodo que conduce a la clave de contenido (Kd) asociada con el artículo de datos.
En el bloque 1112, el módulo receptor 104 utiliza la clave de contenido derivada (Kd) para descodificar crípticamente el artículo de datos.
La Figura 12 es un procedimiento que explica cómo el módulo GID 102 de la Figura 1 puede ser usado para generar información de gráfico.
En el bloque 1202, el módulo GID 102 recibe información de gráfico de acceso de uno o más proveedores de gráfico (106, 108, ... 110). Por ejemplo, dicho proveedor de gráfico puede corresponder a una entidad de recurso humano que proporciona información que puede ser utilizada para poblar un gráfico de acceso relacionado con reporte.
En el bloque 1204, el módulo GID 102 formula la información de gráfico de acceso que ha sido recibida en los gráficos de acceso plurales, y después almacena los gráficos de acceso en el almacenamiento principal 118 de gráfico de acceso. Colectivamente, los nodos en los gráficos de acceso definen una estructura de nodo.
En el bloque 1206, el módulo de administrador de gráfico 120 del módulo GID 102 genera claves, etiquetas, y marcadores asociados con la estructura de nodo. El bloque 1206 da como resultado la generación de información de gráfico. Como se explicó anteriormente, la información de gráfico puede incluir la información e estructura de nodo, información de clave, información de etiqueta, e información de marcador.
La Figura 13 es un procedimiento que explica cómo el módulo GID 102 de la Figura 1 puede ser usado para proporciona información de gráfico a un receptor.
En el bloque 1302, el módulo GID 102 determina si un receptor tiene el derecho de recibir información de gráfico. Por ejemplo, asumir que la liberación de información e gráfico implica uno o más nodos dentro de la estructura de nodo. El módulo GID 102 puede determinar si el receptor está autorizado a tener acceso a la información asociada con estos nodos, y de esta forma si el receptor está autorizado para recibir claves asociadas con estos nodos. El módulo GID 102 puede hacer esta determinación al consultar uno o más proveedores de gráfico (106, 108, ... 110) asociados con los nodos implicados en la estructura de nodo. La estructura de nodo conserva los enlaces que indican las fuentes de los nodos en la estructura de nodo.
En el bloque 1304, el módulo GID 1304 determina el grupo de información de gráfico que es apropiada para enviar al receptor. Como se discutió anteriormente, puede ser apropiado incluir ese paquete de información e gráfico que habilita al receptor tener acceso a artículos de datos, pero de otra manera no es sobre-inclusive.
En el bloque 1306, el módulo de sincronizador de proveedor 122 del módulo GID 102 proporciona la información e gráfico al receptor.
La Figura 14 es un procedimiento que explica cómo el módulo GID 102 de la Figura 1 puede ser utilizado para proporcionar un articulo de datos, junto con información de enlace, a un receptor.
En el bloque 1402, el módulo proveedor de artículo 126 puede codificar crípticamente el artículo de datos con una clave de contenido (Kd).
En el bloque 1404, el módulo proveedor de artículo 126 puede determinar qué consideraciones de política serán usadas para gobernar el acceso al artículo de datos. Esto, a su vez, determina la manera en la cual el artículo de datos está enlazado a la estructura de nodo, como se define por uno o más marcadores. Un primer grupo de marcador puede enlazar el artículo de datos a la estructura de nodo utilizando un solo enlace. Un segundo tipo de marcador puede enlazar el artículo de datos a la estructura de nodo utilizando dos o más enlaces. El último tipo de marcador puede usarse para expresar una operación lógica de Y entre dos o más factores de política. Las etiquetas y los marcadoras asociados con el artículo de datos constituyen la información de enlace.
En el bloque 1406, el sistema 100 puede almacenar el artículo de datos codificados crípticamente junto con la información e enlace. Como se describió anteriormente, el sistema 100 puede almacenar el artículo de datos y la información de enlace separados de la estructura de nodo; este aspecto presenta al artículo de datos un enlace virtual de la estructura de nodo.
En el bloque 1408, el sistema 100 puede proporcionar artículo de datos y la información de enlace al receptor.
C. Funcionalidad de Procesamiento Representativa La Figura 15 establece una funcionalidad de procesamiento de datos eléctrica 1500 ilustrativa que puede ser utilizada para implementar cualquier aspecto de las funciones descritas anteriormente. Con referencia a la Figura 1, por ejemplo, el tipo de funcionalidad de procesamiento 1500 mostrada en la Figura 15 puede ser utilizada para implementar cualquier aspecto del sistema 100, tal como el módulo GID 102, el módulo receptor 104, etc. En un caso, la funcionalidad de procesamiento 1500 puede corresponder a cualquier tipo de dispositivo de cómputo que incluye uno o más dispositivos de procesamiento.
La funcionalidad de procesamiento 1500 puede incluir memoria volátil y no volátil, tal como RAM 1502 y ROM 1504, así como uno o más dispositivos de procesamiento 1506. La funcionalidad de procesamiento 1500 también opcionalmente incluye varios dispositivos de medios 1508, tales como un módulo de disco duro, un módulo de disco óptico, y así sucesivamente. La funcionalidad de procesamiento 1500 puede realizar las varias operaciones identificadas anteriormente cuando el dispositivo(s) de procesamiento 1506 ejecuta instrucciones que son mantenidas por la memoria (por ejemplo, RAM 1502, ROM 1504, o cualquier otra). Más generalmente, se pueden almacenar instrucciones y otra información en cualquier medio legible por computadora, 1510, incluyendo, pero no limitándose a, dispositivos de almacenamiento de memoria estática, dispositivos de almacenamiento magnético, dispositivos de almacenamiento óptico, y así sucesivamente. El término medio legible por computadora también abarca dispositivos de almacenamiento plural. El término medio legible por computadora también abarca señales transmitidas desde una primera ubicación hacia una segunda ubicación, por ejemplo, a través de un cable, alambre, transmisión inalámbrica, etc.
La funcionalidad de procesamiento 1500 también incluye un módulo de entrada/salida 1512 para recibir varias entradas de un usuario (a través de módulos de entada 1514), y para proporcionar varias salidas al usuario (a través de módulos de salida). Un mecanismo de salida particular puede incluir un módulo de presentación 1516 y una interfase de usuario gráfica (GUI) 1518. La funcionalidad de procesamiento 1500 también puede incluir una o más interfases de red 1520 para intercambiar datos con otros dispositivos a través de uno o más conductos de comunicación 1522. Uno o más conductores comunes de comunicación 1524 acoplan comunicativamente los componentes antes descritos conjuntamente.
Aunque la materia objeto ha sido descrita en un lenguaje específico a características estructurales y/o actos metodológicos, se debe entender que la materia objeto definida en las reivindicaciones anexas no necesariamente está limitada a las características específicas o actos descritos anteriormente. Más bien, las características y actos específicos descritos anteriormente se describen como formas ilustrativas para implementar las reivindicaciones.

Claims (15)

REIVINDICACIONES
1. Un método (1100) para proporcionar acceso fuera de línea a un artículo de datos, que comprende: proporcionar (1102) información de gráfico a un receptor, la información de gráfico incluyendo: información de estructura de nodo que describe al menos parte de una estructura de nodo provista por uno o más gráficos de acceso; información de etiqueta que proporciona etiquetas asociadas con un grupo de nodos en la estructura de nodo; información de marcador que proporciona marcadores asociados con un grupo de bordes entre nodos en la estructura de nodo; y información de clave que proporciona un grupo de claves que habilitan al receptor para tener acceso a por lo menos parte de la estructura de nodo; proporcionar (1104) un artículo de datos, el artículo de datos siendo protegido utilizando una clave de contenido; y proporcionar (1106) información de enlace al receptor que asocia el artículo de datos con la estructura de nodo; la información de gráfico y la información de enlace permitiendo al receptor tener acceso a la clave de contenido y descodificar crípticamente el artículo de datos utilizando la clave de contenido.
2. El método de acuerdo con la reivindicación 1, en donde cada uno de los gráficos de acceso corresponde a un aspecto de una estructura organizacional.
3. El método de acuerdo con la reivindicación 1, en donde una clave en el grupo de claves confiere un derecho de acceso que corresponde a un nodo identificado dentro de la estructura de nodo, el derecho de acceso extendiéndose a uno o más nodos que son descendentes del nodo identificado.
4. El método de acuerdo con la reivindicación 1, en donde un marcador relaciona un primer nodo en un primer gráfico de acceso con un segundo nodo en la estructura de nodo.
5. El método de acuerdo con la reivindicación 1, eh donde la información de enlace incluye un marcador que relaciona el artículo de datos con un nodo en la estructura de nodo.
6. El método de acuerdo con la reivindicación 1, en donde la información de enlace incluye un marcador que relaciona el artículo de datos con al menos dos nodos en la estructura de nodo.
7. El método de acuerdo con la reivindicación 6, en donde el marcador utiliza una operación lógica de Y para relacionar el artículo de datos con dicho al menos dos nodos.
8. El método de acuerdo con la reivindicación 6, en donde el marcador es expresado por: yi2.d = Kd XOR H(K, XOR K2), Ld), en donde yi 2.d representa el marcador, Ka es una clave asociada con el artículo de datos, K^ representa una clave asociada con un primer nodo que enlaza al artículo de datos, K2 representa una clave asociada con un segundo nodo que enlaza al artículo de datos, y Ld es una etiqueta asociada con el artículo de datos.
9. El método de acuerdo con la reivindicación 1, que además comprende, antes de enviar la información de gráfico al receptor, determinar si el receptor está habilitado para recibir la información de gráfico.
10. Un medio legible por computadora (1510) para almacenar instrucciones legibles por computadora, las instrucciones legibles por computadora proporcionando un módulo de administrador de gráfico electrónico (120) cuando se ejecuta por uno o más dispositivos de procesamiento (1506), las instrucciones legibles por computadora comprenden: lógica (1206) configurada para generar un marcador que relaciona un artículo de datos con por lo menos dos nodos en una estructura de nodo, la estructura de nodo estando provista por uno o más gráficos de acceso, el marcador, junto con la información de gráfico, permitiendo a un receptor tener acceso al artículo de datos.
11. El medio legible por computadora de acuerdo con la reivindicación 10, en donde el marcador utiliza una operación lógica de Y para relacionar el artículo de datos con dichos al menos dos nodos.
12. El medio legible por computadora de acuerdo con la reivindicación 10, en donde el marcador es expresado por: yi2.d = Kd XOR H(Ki XOR K2), Ld), en donde y12,d representa el marcador, Kd es una clave asociada con el artículo de datos, K representa una clave asociada con un primer nodo que enlaza al artículo de datos, K2 representa una clave asociada con un segundo nodo que enlaza al artículo de datos, y Ld es una etiqueta asociada con el artículo de datos.
13. Un módulo receptor (104) para tener acceso a un artículo de datos, que comprende: un módulo de receptor sincronizador (124) para recibir información de gráfico, la información de gráfico perteneciendo a una estructura de nodo asociada con uno o más gráficos de acceso, el artículo de datos estando representado por un nodo de datos que se relaciona con al menos otro nodo en la estructura de nodo; y un módulo de acceso de artículo (134) para usar la información de gráfico para rastrear una trayectoria a través de la estructura de nodo para tener acceso al artículo de datos.
14. El módulo receptor de acuerdo con la reivindicación 13, en donde el artículo de datos se relaciona con dos o más nodos en la estructura de nodo.
15. El módulo receptor de acuerdo con la reivindicación 13, en donde el módulo de acceso de artículo depende de la funcionalidad de licencia local para tener acceso al artículo de datos.
MX2011010289A 2009-04-01 2010-04-01 Provision de acceso a un articulo de datos utilizando graficos de acceso. MX2011010289A (es)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US12/416,164 US8256010B2 (en) 2009-04-01 2009-04-01 Providing access to a data item using access graphs
PCT/US2010/029712 WO2010115059A2 (en) 2009-04-01 2010-04-01 Providing access to a data item using access graphs

Publications (1)

Publication Number Publication Date
MX2011010289A true MX2011010289A (es) 2011-10-19

Family

ID=42827066

Family Applications (1)

Application Number Title Priority Date Filing Date
MX2011010289A MX2011010289A (es) 2009-04-01 2010-04-01 Provision de acceso a un articulo de datos utilizando graficos de acceso.

Country Status (13)

Country Link
US (1) US8256010B2 (es)
EP (1) EP2414953A2 (es)
JP (1) JP2012523050A (es)
KR (1) KR20120002582A (es)
CN (1) CN102378974B (es)
AU (1) AU2010232525B2 (es)
BR (1) BRPI1012698A2 (es)
CA (1) CA2755507A1 (es)
CL (1) CL2011002419A1 (es)
IL (1) IL215293A0 (es)
MX (1) MX2011010289A (es)
RU (1) RU2011140008A (es)
WO (1) WO2010115059A2 (es)

Families Citing this family (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20100274793A1 (en) * 2009-04-27 2010-10-28 Nokia Corporation Method and apparatus of configuring for services based on document flows
US20100293182A1 (en) * 2009-05-18 2010-11-18 Nokia Corporation Method and apparatus for viewing documents in a database
US8868502B2 (en) * 2011-01-14 2014-10-21 Apple Inc. Organizing versioning according to permissions
US8938599B2 (en) * 2012-03-15 2015-01-20 Hewlett-Packard Development Company, L. P. Distributed graph storage system
US20150180872A1 (en) * 2013-12-20 2015-06-25 Cube, Co. System and method for hierarchical resource permissions and role management in a multitenant environment
US10164774B2 (en) * 2014-05-22 2018-12-25 Puccini World Limited Securing a directed acyclic graph
US10623514B2 (en) 2015-10-13 2020-04-14 Home Box Office, Inc. Resource response expansion
US10656935B2 (en) 2015-10-13 2020-05-19 Home Box Office, Inc. Maintaining and updating software versions via hierarchy
WO2017093258A1 (en) * 2015-11-30 2017-06-08 Nagravision S.A. Method to track the dissemination of a data set
KR102174032B1 (ko) * 2016-03-22 2020-11-04 아셈블로그, 인크. 액세스 관리 방법, 정보 처리 장치, 프로그램, 및 기록 매체
GB201611698D0 (en) * 2016-07-05 2016-08-17 Eitc Holdings Ltd Blockchain-implemented control method and system
US10044832B2 (en) 2016-08-30 2018-08-07 Home Box Office, Inc. Data request multiplexing
CN106713313B (zh) * 2016-12-22 2020-05-05 河海大学 一种基于起源图抽象的访问控制方法
US10698740B2 (en) 2017-05-02 2020-06-30 Home Box Office, Inc. Virtual graph nodes
US11379598B2 (en) * 2018-02-28 2022-07-05 International Business Machines Corporation Knowledge graph access limitation by discovery restrictions
US11640429B2 (en) 2018-10-11 2023-05-02 Home Box Office, Inc. Graph views to improve user interface responsiveness
CN110955903B (zh) * 2019-11-22 2021-03-30 支付宝(杭州)信息技术有限公司 基于智能图计算的隐私资源权限控制方法、装置及设备
US11734356B2 (en) * 2020-09-11 2023-08-22 Jpmorgan Chase Bank, N.A. System and method for implementing an open policy agent bridge
CN116975104A (zh) * 2022-04-22 2023-10-31 戴尔产品有限公司 用于查找数据的方法、电子设备和计算机程序产品

Family Cites Families (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6011847A (en) * 1995-06-01 2000-01-04 Follendore, Iii; Roy D. Cryptographic access and labeling system
US6901433B2 (en) * 1995-06-07 2005-05-31 Microsoft Corporation System for providing users with a filtered view of interactive network directory obtains from remote properties cache that provided by an on-line service
JP2002014929A (ja) 2000-04-26 2002-01-18 Sony Corp アクセス制御システム、アクセス制御方法、およびデバイス、アクセス制御サーバ、アクセス制御サーバ登録サーバ、データ処理装置、並びにプログラム記憶媒体
US7185205B2 (en) 2001-03-26 2007-02-27 Galois Connections, Inc. Crypto-pointers for secure data storage
US20060242072A1 (en) * 2001-03-28 2006-10-26 Vidius, Inc Method and system for creation, management and analysis of distribution syndicates
US20030159033A1 (en) * 2001-03-29 2003-08-21 Ryuji Ishiguro Information processing apparatus
JP2004297778A (ja) 2003-03-07 2004-10-21 Canon Inc 画像データ暗号化方法及び装置、並びにコンピュータプログラム及びコンピュータ可読記憶媒体
GB2400526B (en) 2003-04-08 2005-12-21 Hewlett Packard Development Co Cryptographic key update management
US7930757B2 (en) * 2003-10-31 2011-04-19 Adobe Systems Incorporated Offline access in a document control system
JP2006020292A (ja) 2004-06-03 2006-01-19 Canon Inc 情報処理方法、情報処理装置
US7882544B2 (en) * 2004-07-12 2011-02-01 International Business Machines Corporation Inherited role-based access control system, method and program product
US20060165040A1 (en) 2004-11-30 2006-07-27 Rathod Yogesh C System, method, computer program products, standards, SOA infrastructure, search algorithm and a business method thereof for AI enabled information communication and computation (ICC) framework (NetAlter) operated by NetAlter Operating System (NOS) in terms of NetAlter Service Browser (NSB) to device alternative to internet and enterprise & social communication framework engrossing universally distributed grid supercomputing and peer to peer framework
EP1929423A2 (en) * 2005-09-16 2008-06-11 Koninklijke Philips Electronics N.V. Cryptographic role-based access control
WO2008065347A2 (en) 2006-12-01 2008-06-05 David Irvine Mssan
US20090080658A1 (en) * 2007-07-13 2009-03-26 Brent Waters Method and apparatus for encrypting data for fine-grained access control

Also Published As

Publication number Publication date
CL2011002419A1 (es) 2012-06-15
WO2010115059A3 (en) 2011-01-20
AU2010232525A1 (en) 2011-10-13
US20100257204A1 (en) 2010-10-07
IL215293A0 (en) 2011-12-29
CN102378974B (zh) 2013-10-30
RU2011140008A (ru) 2013-04-10
BRPI1012698A2 (pt) 2019-09-24
CA2755507A1 (en) 2010-10-07
AU2010232525B2 (en) 2014-07-03
KR20120002582A (ko) 2012-01-06
US8256010B2 (en) 2012-08-28
EP2414953A2 (en) 2012-02-08
JP2012523050A (ja) 2012-09-27
CN102378974A (zh) 2012-03-14
WO2010115059A2 (en) 2010-10-07

Similar Documents

Publication Publication Date Title
MX2011010289A (es) Provision de acceso a un articulo de datos utilizando graficos de acceso.
CN111373704B (zh) 一种支持多模标识网络寻址渐进去ip的方法、系统及存储介质
US11409901B2 (en) Data security in a peer-to-peer network
US20030145020A1 (en) Data replication based upon a non-destructive data model
US20140245025A1 (en) System and method for storing data securely
CN101631116A (zh) 一种分布式双重授权及访问控制方法和系统
US8387877B2 (en) Systems and methods for the secure control of data within heterogeneous systems and networks
CN112835977A (zh) 一种基于区块链的数据库管理方法及系统
CA2571241C (en) Access control over multicast
CN110807144B (zh) 互联网自定义信息发布和搜索服务系统
CN118368063B (zh) 一种面向海量密钥管理的集群实现方法和装置
Lican et al. Virtual and dynamic hierarchical architecture for E-science grid
Fernández et al. Self-enforcing access control for encrypted RDF
CN116366294A (zh) 一种基于区块链的多方联合数据归集方法
Marias et al. Efficient information lookup for the Internet of Things
CN114595397A (zh) 一种基于区块链的社交网络信息访问共享方法
Ren et al. RETRACTED ARTICLE: Minimal key set of binary key-derivation tree in cloud storage
Hong et al. An efficient key management scheme for user access control in outsourced databases
Lopriore Key management in tree shaped hierarchies
CN113449014A (zh) 一种基于区块链的选择性云数据查询系统
Al-Sakran et al. Efficient Cryptographic Technique for Securing and Accessing Outsourced Data
CN116684425B (zh) 区块链的数据处理方法、系统、装置和计算机设备
CN114282272B (zh) 基于云链融合的分布式数据存储管理方法、装置及系统
CN112906069B (zh) 一种区块链登记管理过程的可信计算方法
CN118449787B (zh) 基于非对称加密的广播通信的大数据访问控制方法

Legal Events

Date Code Title Description
FG Grant or registration