CN102438013A - 基于硬件的证书分发 - Google Patents

Abstract

本发明描述了基于硬件配置文件分发证书的多种技术。包括硬件配置文件的资源访问请求被传输至远程实体，该远程实体能够访问先前的硬件配置文件，并且如果该硬件配置文件的至少一部分匹配先前的硬件配置文件，则接收用于访问资源的证书。

Description

基于硬件的证书分发

背景技术

证书(credential)允许服务在提供资源或者与客户端共享数据之前认证客户端。服务通常将可验证的证书分发给客户端以允许客户端通过网络访问资源或者数据。然而，证书不是无限的，并且只应该被分发给该服务的真实用户。随意分发证书会导致非法使用服务或中断服务，诸如恶意实体的拒绝服务攻击。

为了限制证书的分发，许多服务依靠人力验证方法。当服务被访问时，这些人力验证方法使用登录(login)、密码和/或质询响应测试(challenge response test)来验证客户端的身份。虽然这些人力验证方法有助于将证书分发限制到与人类用户关联的客户端，但是它们损害了用户的计算体验。

发明概述

本文档描述了基于硬件配置文件（hardware profile）分发证书的各种技术。这些技术可以通过将请求实体的硬件配置文件与和请求实体关联的在先硬件配置文件相匹配而验证对资源的请求。一旦通过验证，这些技术分发用于访问资源的证书。通过这样做，这些技术保护资源免受非法使用或攻击，并且不会损害用户的计算体验。

提供本概述以便按照简化的方式介绍概念的选择，所述概念在下面的具体实施方式中被进一步描述。本概述其意不在确定所要求的主题的关键或必要特征，也不在被用作帮助确定所要求的主题的范围。

附图说明

参考附图进行详细的描述。在图中，附图标记最左边的数字标识该附图标记首次出现的图。在具体实施方式和附图的不同实例中，相同附图标记可以指示类似的或相同的项目。

图1图示了可以执行这些技术的示例环境。

图2更详细地图示了图1的示例计算设备。

图3是流程图，描述了使用基于硬件配置文件分发的证书来访问资源的示例过程。

图4是流程图，描述了用于基于硬件配置文件分发证书的示例过程。

图5是流程图，描述了用于基于请求有效性的指示而授权访问资源的示例过程。

具体实施方式

概述

本文档描述了基于硬件配置文件分发证书的各种技术。通过放弃登录、密码和/或响应质询，这些技术能够改善用户的计算经验，尽管为了附加的安全性，这些技术能够与人力验证方法结合使用。

示例环境

图1是示例环境100的图示，该示例环境100具有计算设备102、服务器104和通信网络106，其中计算设备102和服务器104可以通过通信网络106通信。通常，计算设备102通过通信网络106请求访问服务器104的资源。在一些实施方式中，在计算设备102和服务器104之间建立通信网络106上的安全通信信道，以提供资源和/或交换可信数据。

计算设备102能够是有能力通过网络（例如，通信网络106）通信，访问服务资源和交换可信数据的任意设备。通过示例而非限制的方式，计算设备102被图示为智能手机108、膝上型计算机110、机顶盒112、桌面计算机114或平板计算机116中的一个。通信网络106可以包括任何合适的网络，诸如互联网、局域网、广域网、无线网络、个人区域网、拨号网络和/或USB总线，诸如此类。

服务器104可以是具有资源和/或提供(host)用于管理资源（诸如对象、数据、功能性等等）的服务的任意计算设备。在与请求访问资源的客户端共享资源之前，服务器104的服务要求认证客户端。在一些情况中，认证可以与计算设备102直接进行或者通过与服务器104和计算设备102两者关联的第三方（未示出）代理。服务器104的资源通常通过统一资源定位符（URL）或统一资源标识符（URI）来引用(reference)。URL或URI被诸如计算设备102之类的客户端用来发起资源访问。在其它情况中，可以通过以扩展标记语言（XML）形式的抽象域（abstract domain）（诸如命名空间）来引用资源。

图2更详细地图示了图1的示例计算设备102。计算设备102包括（一个或多个）处理器202、计算机可读介质（CRM）204和网络接口206。网络接口206允许计算设备102通过通信网络106通信并且可以包括唯一的介质访问控制（MAC）地址（未示出）。计算机可读介质204包含存储器介质208、存储介质210和资源访问管理器212，其作为下面讨论的处理过程的一部分被描述。

存储器介质208可以包括动态随机存取存储器（DRAM）214、静态随机存取存储器（SRAM）216、只读存储器（ROM）218或者其任意组合。存储器介质208可以是固定的或者模块化的（可灵活配置），为计算设备102提供多种存储器配置和/或容量。例如，DRAM 214可以是用户可访问的，允许用户增加计算设备102中存在的DRAM 214的数量。可替代地或者附加地，存储器介质208可以包括关于计算设备102的（多个）存储器设备的制造商、数据速率和/或容量的信息。在一些实例中，DRAM 214包括串行存在检测（serial presence detect）集成电路（未示出），呈现关于DRAM 214的数据速率和容量的信息。

存储介质210包括硬盘驱动器（HDD）220和/或闪存222。存储介质210是内部和/或外部（但本地的）计算机可读存储介质，并且能够存储数据。硬盘驱动器220或闪存222能够被配置为单独的存储卷或配置为独立硬盘卷的冗余阵列（RAID）的多个驱动器。可替代地或附加地，存储介质210可以包括关于特定存储介质设备的制造商、型号、序列号和/或容量的信息。例如，硬盘驱动器220可以包括可被主机设备或者主机设备的组件检测到的型号、序列号和容量信息。

通常，此处描述的任何技术和能力能够使用软件、固件、硬件（例如固定逻辑电路）、手动处理或这些实现方式的任意合适的组合来实现。该示例计算设备102通常表示软件、固件、硬件或其任意组合。在软件实现的情形中，例如，资源访问管理器212表示计算机可执行指令（例如程序代码），当在处理器（例如一个或多个CPU）上被执行时，该计算机可执行指令执行特定任务。程序代码能够被存储在一个或多个计算机可读介质设备中，诸如存储器介质208和/或存储介质210。此处描述的特征和技术是平台无关的，意味着它们可以在具有多种处理器的多种商业计算平台上被实现。

示例过程

下面的讨论描述基于硬件配置文件分发证书的技术。这些技术能够被使用以代替或补充人力验证方法。当补充人力验证方法而被使用时，这些技术为证书分发提供了额外的安全性。当代替人力验证方式而被使用时，这些技术放弃经常令人烦恼的或者浪费时间的依靠用户的活动。

通过示例，假设计算设备102通过通信网络106发送包括唯一标识符和当前硬件配置文件的资源访问请求至服务器104。服务器104接收该唯一标识符和硬件配置文件，确定该硬件配置文件是否与所存储的与该唯一标识符关联的硬件配置文件的至少一部分相匹配，如果匹配就发送用于访问资源的证书至计算设备102。

这些过程的各个方面可以用硬件、固件、软件或其组合的方式被实现。这些过程被示出为框的集合，这些框详细说明诸如通过一个或多个实体或设备执行的操作，并且不是必须限于由各个框为了执行操作而示出的顺序。下文的讨论部分参考图1的环境100以及在图2中示出的环境100的实体。

图3是描述使用基于硬件配置文件分发的证书而访问资源的示例过程300的流程图。框302发送包括唯一标识符和当前硬件配置文件的资源访问请求至远程实体。在一些情形中，资源访问请求就是唯一标识符和当前硬件配置文件。远程实体可以（本地、远程或者经由代理）访问与该唯一标识符关联的先前的硬件配置文件。在一些实例中，在过去尝试访问资源期间或者在安全注册过程期间，该唯一标识符与先前的硬件配置文件相关联。

当前硬件配置文件包括关于计算设备的硬件组件或者硬件配置的信息。这些配置文件能够基于关于计算设备的硬件的信息（诸如计算设备的硬件组件的序列号、型号和/或参数）通过应用编程接口（API）而生成。

唯一标识符是唯一地识别计算设备的任何证书、令牌、识别数据或其组合。在一些情形中，使用私用密钥和/或共享密钥来对唯一标识符进行数字签名或加密以确保可靠性。该唯一标识符可以在将唯一标识符与硬件配置文件关联起来的安全注册过程期间被接收。例如，唯一标识符可以是在向SLV服务器安全注册期间接收的软件许可证验证（SLV）证书。在这个安全注册期间，发送至SLV服务器的硬件配置文件与SLV证书关联起来。

通过示例，考虑在环境100的背景中的过程300。资源访问管理器212基于与DRAM 214、HDD 220和网络接口206有关的信息生成膝上计算机110的当前硬件配置文件。该当前硬件配置文件包括关于DRAM 214的制造商和容量（或数量）、HDD 220的序列号和型号，以及网络接口206的MAC地址的信息。

此处假设资源访问管理器212正在尝试访问服务器104的软件更新。为了这样做，资源访问管理器212通过通信网络106发送包括唯一标识符和当前硬件配置文件的资源访问请求至服务器104。

如果当前硬件配置文件与先前硬件配置文件的至少一部分相匹配，框304从远程实体接收用于访问资源的证书。该证书用于直接地访问资源或者访问管理资源、功能性和/或数据的服务。在本例子的背景中，假设当前硬件配置文件的DRAM 214的制造商和容量（或数量）和网络接口206的MAC地址与和证书关联的先前硬件配置文件的相应信息相匹配。响应于当前硬件配置文件的一部分匹配先前硬件配置文件，资源访问管理器212从服务器104接收用于访问软件更新资源的证书。

可选地，在框306，使用接收到的证书访问资源。该资源可以被直接地访问或者通过管理资源和/或数据的服务访问。在一些情形中，资源是由服务提供的功能性，诸如传送信息、同步数据或可信数据交换。本例子的结论是，资源访问管理器212使用接收到的证书访问服务器104的软件更新资源并且通过通信网络106下载软件更新。

图4是描述基于硬件配置文件分发用于访问资源的证书的示例过程400的流程图。框402接收包括唯一标识符和硬件配置文件的资源访问请求。该唯一标识符可以是上文提及的那些唯一标识符的任何一种，诸如能够唯一地识别远程实体的证书、令牌或识别数据或其组合。在一些情形中，使用远程实体未知的私有密钥对唯一标识符进行数字签名和/或加密，以防止篡改和/或变更该唯一标识符。例如，唯一标识符可以是使用SLV服务器已知的私有密钥加密的SLV证书，SLV服务器发放该证书。

硬件配置文件包含关于远程实体的硬件的信息，诸如硬件组件的序列号、型号和/或参数的集合。例如，硬件配置文件能够包括关于硬盘驱动器的制造商、型号、序列号和容量的信息。

在上述例子的背景中考虑过程400。此处服务器104通过数据通信网络106从膝上型计算机110的资源访问管理器212接收资源访问请求。该资源访问请求包括膝上型计算机110的硬件配置文件和唯一标识符，该唯一标识符的形式为使用服务器104已知的私有密钥加密的证书。膝上型计算机110的硬件配置文件包括关于DRAM 214的制造商和容量（或数量）、HDD 220的序列号和型号，以及网络接口206的MAC地址的信息。

框404确定硬件配置文件匹配所存储的与唯一标识符关联的硬件配置文件的至少一部分。存储的硬件配置文件可以是在安全注册或者许可证验证过程期间被存储。例如，在SLV过程期间接收到的硬件配置文件可以被存储并与SLV证书关联起来。

在一些情形中，硬件配置文件所包含的所有信息与唯一标识符所关联的所存储的硬件配置文件所包含的信息相匹配。在其它情形中，只有一部分硬件配置文件匹配所存储的硬件配置文件，可以使用模糊逻辑来确定硬件配置文件足够但是不是全部匹配所存储的硬件配置文件。

能够使用模糊逻辑确定匹配，即使关于硬件配置文件的HDD的信息没有匹配关于所存储的硬件配置文件的HDD的信息。使用模糊逻辑的匹配算法提供了灵活的匹配，允许对于由于修理和/或升级而具有新的和/或不同的硬件组件的计算设备确定匹配。

当三个硬件组件参数中的两个匹配时，这种匹配算法例如可以确定硬件配置文件足够类似。该匹配算法可以基于多种标准确定足够匹配，诸如不太可能被改变的序列号，而其它非匹配序列号对于常常被改变或替换的硬件是可接受的，诸如外部硬盘驱动器或者非集成显示器，但是不包括主板或处理器。

继续该正在进行的例子，服务器104使用私有密钥解密证书以识别膝上型计算机110。然后服务器104确定膝上型计算机110的硬件配置文件的至少一部分匹配所存储的与资源访问请求所包括的证书关联的配置文件。此处假设由于先前HDD的故障，膝上型计算机110的用户已经替换膝上型计算机110的HDD 220。

在本例子的背景中，使用模糊逻辑的服务器104的匹配算法基于关于DRAM 214的制造商和容量（或数量）以及网络接口206的MAC地址的信息而确定膝上型计算机110的硬件配置文件足够匹配所存储的硬件配置文件。

框406传输证书至远程实体用于访问资源。该证书可用于直接访问资源或者访问管理资源和/或提供关于资源的功能性的服务。在一些情形中，在传输证书之前要查询证书分发限制或规则以限制证书的分发。在一些实例中，证书分发限制与唯一标识符相关联以限制证书分发至与该唯一标识符相关联的实体（或声称与之关联的实体）。

证书分发可以受限于分发的证书的总数量、证书分发的速率或者证书分发的频率或者以上任意组合。例如，与唯一标识符相关联的证书限制可以只允许在50个分发的证书的总体限制下每10秒钟分发一个证书。

继续本例子，假设服务器104具有每个唯一标识符总共50个证书的证书分发限制。还假设一个证书先前已经与从膝上型计算机110接收到的资源访问请求中包括的证书相关联地发放。此处，服务器104查询该证书分发限制并确定证书能够被发放给膝上型计算机110。本例子的结论是，服务器104增加与唯一标识符关联的证书分发计数，并且通过通信网络106传输用于访问软件更新的证书至膝上型计算机110。这仅仅是该技术可以将证书分发限制为服务的实际用户的计算设备的一种方式。

图5是描述授权访问资源的示例过程500的流程图。框502接收资源访问的请求，其包括唯一标识符和硬件配置文件，诸如上面提到的那些唯一标识符和硬件配置文件。

在环境100的背景中考虑过程500。此处服务器104通过通信网络106从膝上型计算机110的资源访问管理器212接收资源访问请求。假设资源访问请求包括使用私有密钥加密的证书和膝上型计算机110的硬件配置文件。还假设服务器104提供软件更新服务，膝上型计算机110的资源访问管理器212正在尝试访问软件更新服务。在本例子的背景中，服务器104没有用于解密资源访问请求包含的证书的私有密钥。

框504将唯一标识符和硬件配置文件转发至请求验证实体，其可以访问与唯一标识符关联的历史硬件配置文件。该历史硬件配置文件包括先前收集的关于计算设备的硬件组件或硬件配置的信息。在一些情形中，该历史硬件配置文件是在安全注册过程期间从计算设备接收到的。在这种情形中，唯一标识符可以已经被发放至计算设备并且与接收到的硬件配置文件相关联。例如，唯一标识符和硬件配置文件可以被转发至SLV服务器，该SLV服务器具有存储的与使用私有密钥加密的SLV证明书(ticket)相关联的历史配置文件。

请求验证实体还可以访问用于解密已加密的唯一标识符的私有和/或共享密钥。在一些情形中，请求验证实体解密证书、令牌或数字签名以揭露唯一地识别计算设备的信息，例如具有解密和验证包括在请求中的SLV证明书的私有密钥的SLV服务器。

在本例子的背景中，服务器104将使用私有密钥加密的证书和膝上型电脑110的硬件配置文件转发至远程请求验证服务器（未示出）。此处，假设请求验证服务器具有能够解密证书的私有密钥和与该证书关联的历史硬件配置文件。

如果请求验证实体确定远程实体的硬件配置文件匹配至少一部分历史硬件配置文件，框506接收请求有效性的指示。这个有效性的指示可以包括关于远程实体的识别信息，诸如识别远程实体为软件产品的拥有者或者为服务订户的信息。例如，当远程实体的硬件配置文件中的至少一部分匹配与SLV证明书关联的历史硬件配置文件时，可以从SLV服务器接收到请求有效性性的指示。

继续本例子，当请求验证服务器确定膝上型计算机110的硬件配置文件匹配与证书关联的历史硬件配置文件的至少一部分时，服务器104接收请求有效性的指示。该请求有效性的指示还包括识别信息，识别膝上型计算机110为服务器104的软件更新服务的订户。

框508基于请求有效性的指示授权远程实体访问资源。在一些情形中，用于访问资源的证书被传输至远程实体。该证书被用于直接地访问资源或者访问管理资源和/或提供关于资源的功能性的服务。进一步地，基于关于远程实体的识别信息，可以限制或拒绝访问资源。例如，基于识别远程实体为特定软件产品的拥有者的信息，访问可以被限制为对该特定软件产品的更新。

本例子的最后，服务器104基于请求的有效性授权膝上型计算机110访问软件更新服务。基于识别膝上型计算机110为该服务的订户的识别信息，服务器104限制授权的访问。

结论

本文档描述了基于硬件配置文件分发证书的多种技术。通过这样做，这些技术改善了用户通过服务访问资源的安全性和/或计算体验。用于访问资源的证书可以被提供给用户，而不需要为了登录、密码和/或响应质询而询问用户。虽然本发明已经以专用于结构特征和/或方法步骤的语言而描述，但是应该理解在所附权利要求中定义的本发明不是必须被限制为所描述的特定特征或步骤。相反地，特定特征和步骤是作为实施所请求的发明的示例形式而公开的。

Claims (11)

1.一种方法，包括：

传输资源访问请求至远程实体，该资源访问请求包括唯一标识符和当前的硬件配置文件，该远程实体能够访问与该唯一标识符相关联的先前的硬件配置文件；和

如果当前的硬件配置文件匹配先前的硬件配置文件的至少一部分，接收用于访问远程实体的资源的证书。

2.如权利要求1所述的方法，进一步包括生成当前的硬件配置文件。

3.如权利要求1所述的方法，其中当前的硬件配置文件包括关于计算设备的硬件的信息。

4.如权利要求3所述的方法，其中该关于计算设备的硬件的信息包括计算设备的硬件组件的序列号、型号或参数的集合。

5.如权利要求1所述的方法，其中在安全注册过程期间接收该唯一标识符。

6.一种方法，包括：

从远程实体接收资源访问请求，该资源访问请求包括该远程实体的唯一标识符和该远程实体的硬件配置文件；

确定该硬件配置文件匹配所存储的与该唯一标识符关联的硬件配置文件的至少一部分；和

传输证书至该远程实体用于访问资源。

7.如权利要求6所述的方法，其中该远程实体的硬件配置文件包括硬件组件的序列号、型号或参数的集合。

8.如权利要求6所述的方法，其中使用模糊逻辑算法确定硬件配置文件匹配所存储的与该唯一标识符相关联的硬件配置文件的至少一部分。

9.如权利要求6所述的方法，进一步包括确定是否超过与该唯一标识符相关联的证书分发限制。

10.如权利要求6所述的方法，其中该唯一标识符被电子签名或者使用远程实体未知的私有密钥加密。

11.一种计算机可读介质，包括可执行指令，所述可执行指令当在计算机上执行时用于执行如权利要求1-10中任何一个所述的方法。

Images