專利名稱：用于能夠?qū)崿F(xiàn)安全的位置感知平臺(tái)的方法、裝置和系統(tǒng)的制作方法
用于能夠?qū)崿F(xiàn)安全的位置感知平臺(tái)的方法、裝置和系統(tǒng)本申請是申請日為2007年10月17日、申請?zhí)枮?00710306872. 0的發(fā)明專利申
請“用于能夠?qū)崿F(xiàn)安全的位置感知平臺(tái)的方法、裝置和系統(tǒng)”的分案中請。
背景技術(shù)：
系統(tǒng)管理員的一個(gè)主要的難題是實(shí)現(xiàn)控制的能力，所述控制應(yīng)允許用戶最大程度地利用計(jì)算平臺(tái)上可用的所有功能(例如，協(xié)作、連接性等)，并且還提供可靠的安全性控制以防止平臺(tái)泄密。很經(jīng)常地，當(dāng)平臺(tái)在公司網(wǎng)外部時(shí)，被實(shí)現(xiàn)用于公司網(wǎng)內(nèi)的功能的配置可能會(huì)導(dǎo)致安全脆弱性。此問題在無線網(wǎng)絡(luò)中更為明顯，隨著計(jì)算機(jī)用戶變得愈加可移動(dòng)，如今無線網(wǎng)絡(luò)正在快速地增長。由于連接是非物理的并且具有兼容的無線網(wǎng)絡(luò)接口的任何一方都可定位他們自身以檢查和/或截取無線數(shù)據(jù)包，因此這些網(wǎng)絡(luò)通常面臨嚴(yán)重的安全問題。換言之， 任何第三方黑客或攻擊者都可相對(duì)容易地獲取對(duì)無線網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)包的訪問，而無論數(shù)據(jù)包的實(shí)際目標(biāo)是誰?？梢栽谶@些網(wǎng)絡(luò)上實(shí)現(xiàn)各種安全性控制以緩解該問題，但是基于網(wǎng)絡(luò)的可信賴性而應(yīng)用更加嚴(yán)格和更好的安全性控制的能力通常留給了安全廠商。然而， 大多數(shù)的廠商并不提供基于系統(tǒng)位置的可配置的控制。圖1概念性地圖示了典型的無線網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，其包括公司網(wǎng)(“公司網(wǎng)100”)和外部網(wǎng)(“外部網(wǎng)150”)，無線設(shè)備(“節(jié)點(diǎn)125”)從一個(gè)網(wǎng)絡(luò)移動(dòng)到另一個(gè)網(wǎng)絡(luò)。公司網(wǎng) 100通常通過網(wǎng)關(guān)或防火墻或其他這樣的安全機(jī)制(在圖1中共同圖示為“防火墻175”) 與外部網(wǎng)150分開。當(dāng)從一個(gè)網(wǎng)絡(luò)移動(dòng)到另一個(gè)網(wǎng)絡(luò)時(shí)，節(jié)點(diǎn)125將可能面對(duì)不同的安全問題，但是目前節(jié)點(diǎn)125不能動(dòng)態(tài)地確定其位置并改變其安全性控制。因此，雖然無線網(wǎng)絡(luò)向用戶提供了顯著的靈活性以跨網(wǎng)絡(luò)“漫游”而不用約束在特定的位置，但是由于無線設(shè)備在安全的環(huán)境(例如，在公司內(nèi)部)和較不安全或不安全的環(huán)境(例如，在公司外部)之間更改，所以其可能或可能不具有充分的安全性控制。雖然上述說明關(guān)注于無線設(shè)備，但是對(duì)于可能從一個(gè)位置移動(dòng)到另一個(gè)位置的非無線設(shè)備來說也可能會(huì)出現(xiàn)相似的問題。例如，膝上型電腦的用戶當(dāng)他/她在辦公室時(shí)可物理地連接到公司網(wǎng)，但是在工作日結(jié)束時(shí)，該用戶可能將膝上型電腦帶回家并將其連接到家庭辦公因特網(wǎng)連接。在這種情況下，膝上型電腦可能從安全的(公司)環(huán)境移動(dòng)到較不安全的(家庭)環(huán)境，且在每個(gè)環(huán)境中安全要求可能是不同的。


在附圖中以舉例而非限定的方式圖示了本發(fā)明，其中相似的參考標(biāo)記指示相似的元素，其中圖1圖示了典型的無線網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)；圖2圖示了實(shí)例AMT環(huán)境；圖3圖示了實(shí)例虛擬機(jī)主機(jī)；圖4A和4B概念性地圖示了本發(fā)明的實(shí)施例的組件；以及
圖5是圖示了本發(fā)明的實(shí)施例的流程圖。
具體實(shí)施例方式本發(fā)明的實(shí)施例提供用于能夠?qū)崿F(xiàn)安全的位置感知(location-aware)平臺(tái)的方法、裝置和系統(tǒng)。更具體而言，本發(fā)明的實(shí)施例提供一種安全環(huán)境，在其中平臺(tái)可自動(dòng)確定其位置并動(dòng)態(tài)地調(diào)整其安全配置。本發(fā)明的實(shí)施例可在任何類型的網(wǎng)絡(luò)(例如，有線的， Wi-Max等)上和/或在能夠從一個(gè)位置移動(dòng)到另一個(gè)位置的任何計(jì)算平臺(tái)(無線設(shè)備、膝上型電腦、個(gè)人助理等)上實(shí)現(xiàn)。因此，在這里所提及的“設(shè)備”、“節(jié)點(diǎn)”和/或“平臺(tái)”應(yīng)包括在任何上述的各種類型的網(wǎng)絡(luò)上運(yùn)行的有線和/或無線設(shè)備。此外，本說明書中所提及的本發(fā)明的“一個(gè)實(shí)施例”或“實(shí)施例”是指結(jié)合實(shí)施例描述的特定的特征、結(jié)構(gòu)或特點(diǎn)包括在本發(fā)明的至少一個(gè)實(shí)施例中。因此，出現(xiàn)在整篇說明書的各個(gè)位置的短語“在一個(gè)實(shí)施例中”、“根據(jù)一個(gè)實(shí)施例”等不一定都是指相同的實(shí)施例。根據(jù)本發(fā)明的實(shí)施例，隔離的和安全的分區(qū)(partition)可被利用來增強(qiáng)計(jì)算平臺(tái)上的安全性。本發(fā)明的實(shí)施例支持各種安全分區(qū)類型。這些分區(qū)類型中的公共線索包括物理地或者虛擬地保持分區(qū)之間的嚴(yán)格分離的能力。因此，例如，在一個(gè)實(shí)施例中，分區(qū)可由嵌入式處理器實(shí)現(xiàn)，例如，Intel 公司的主動(dòng)管理技術(shù)(“AMT”)、“可管理引擎”(“ME”)、 平臺(tái)資源層(“PRL”)和/或其他相當(dāng)或類似的技術(shù)。在一個(gè)替代的實(shí)施例中，分區(qū)可以是虛擬化的，例如，Intel 公司的虛擬化技術(shù)(“VT”)方案中的虛擬機(jī)(VM)，其運(yùn)行在平臺(tái)上的虛擬機(jī)監(jiān)視器(VMM)上。在另一個(gè)實(shí)施例中，在例如htel 公司的Core 2 Due 的多核平臺(tái)上，分區(qū)可包括存在于該平臺(tái)上的很多核中的一個(gè)。在例如Core 2 Duo 的多核體系結(jié)構(gòu)中，每個(gè)核可具有其獨(dú)立的地址界和執(zhí)行，并且分區(qū)隔離可通過平臺(tái)硬件來提供。 對(duì)于本領(lǐng)域普通技術(shù)人員來說顯而易見的是，虛擬主機(jī)也可用于與由AMT、ME和PRL技術(shù)提供的服務(wù)交互和/或平衡這些服務(wù)。為了有助于理解本發(fā)明的實(shí)施例，隨后的段落描述了典型的AMT環(huán)境以及典型的虛擬主機(jī)。通過舉例的方式，圖2概念性地圖示了由Intel 公司實(shí)現(xiàn)的典型的Intel AMT環(huán)境。對(duì)于本領(lǐng)域普通技術(shù)人員來說顯而易見的是，本發(fā)明的實(shí)施例也可以以AMT的其他類似和/或相當(dāng)?shù)膶?shí)現(xiàn)方式來實(shí)現(xiàn)。雖然為了不無謂地干擾本發(fā)明的實(shí)施例，僅僅示出了與描述AMT環(huán)境有關(guān)的組成部分，但是對(duì)于本領(lǐng)域普通技術(shù)人員來說，顯然，可以包括另外的組成部分而不背離本發(fā)明的實(shí)施例的主旨。因此，如圖2中所示，設(shè)備(“主機(jī)200”)可包括主機(jī)操作系統(tǒng)(“主機(jī)操作系統(tǒng) 210”)和系統(tǒng)硬件(“硬件250”)。根據(jù)本發(fā)明的一個(gè)實(shí)施例，硬件250可包括一個(gè)、兩個(gè)或更多個(gè)處理器，一個(gè)或更多個(gè)處理器執(zhí)行主機(jī)操作系統(tǒng)210的通常的處理任務(wù)(“主處理器205”)，而其他的處理器可專用于獨(dú)占地通過專用的分區(qū)來管理該設(shè)備(用于“AMT 220” 的“專用處理器215”)。每個(gè)處理器在主機(jī)200上可具有相關(guān)聯(lián)的資源并且它們可共享一個(gè)或更多個(gè)其他資源。因此，如在此實(shí)例中所示，主處理器205和專用處理器210每個(gè)都可具有專用于它們的存儲(chǔ)器部分(分別為“主存儲(chǔ)器225”和“專用存儲(chǔ)器230”)，但是它們可共享網(wǎng)絡(luò)接口卡("WNIC 235”)。相似地，如圖3中所示，如果設(shè)備(“主機(jī)300”)是虛擬的，則其可以僅包括單個(gè)處理器，但是該設(shè)備上的虛擬機(jī)監(jiān)視器(“VMM 330”)可呈現(xiàn)該設(shè)備或主機(jī)的多個(gè)抽象和/或視圖，使得該主機(jī)的底層硬件表現(xiàn)為一個(gè)或更多個(gè)獨(dú)立操作的虛擬機(jī)(“VM”)。VMM 330 可以以軟件(例如，作為獨(dú)立的程序和/或主機(jī)操作系統(tǒng)的組成部分)、硬件、固件和/或其任何組合來實(shí)現(xiàn)。VMM 330管理主機(jī)上資源的分配，以及當(dāng)需要時(shí)執(zhí)行上下文轉(zhuǎn)接以根據(jù)循環(huán)復(fù)用法(round-robin)或其他預(yù)定的方案在各個(gè)VM之間進(jìn)行循環(huán)。對(duì)于本領(lǐng)域普通技術(shù)人員來說顯而易見的是，雖然僅示出了一個(gè)處理器(“主處理器305”)，但是本發(fā)明的實(shí)施例并不局限于此，可以在虛擬化環(huán)境內(nèi)利用多個(gè)處理器或處理器核。雖然僅示出了兩個(gè)VM分區(qū)(“VM 310”和“VM 320”，以下通稱為“VM”)，但這些 VM僅僅是示例性的，并且另外的虛擬機(jī)可添加至該主機(jī)。VM 310和VM 320可分別用作自主式(self-contained)平臺(tái)，運(yùn)行其自己的“客戶機(jī)操作系統(tǒng)”(即，由VMM 330作為主機(jī)的操作系統(tǒng)，圖示為“客戶機(jī)操作系統(tǒng)311”和“客戶機(jī)操作系統(tǒng)321”，以下通稱為“客戶機(jī)操作系統(tǒng)”)和其他軟件(圖示為“客戶機(jī)軟件312”和“客戶機(jī)軟件322”，以下通稱為“客戶機(jī)軟件”)。每個(gè)客戶機(jī)操作系統(tǒng)和/或客戶機(jī)軟件如同其運(yùn)行在專用計(jì)算機(jī)上而不是在虛擬機(jī)上那樣進(jìn)行操作。也就是說，每個(gè)客戶機(jī)操作系統(tǒng)和/或客戶機(jī)軟件可控制各種事件并訪問主機(jī)100上的硬件資源。在每個(gè)VM內(nèi)，客戶機(jī)操作系統(tǒng)和/或客戶機(jī)軟件可如同其實(shí)際地運(yùn)行在主機(jī)300的物理硬件(“主機(jī)硬件340”，其可包括網(wǎng)絡(luò)接口卡(“WNIC 350”)) 上那樣來進(jìn)行工作。對(duì)于本領(lǐng)域普通技術(shù)人員來說顯而易見的是，AMT、ME或PRL方案還可在虛擬化環(huán)境內(nèi)實(shí)現(xiàn)。例如，VM 320可專用作主機(jī)上的AMT分區(qū)，而VM 310運(yùn)行該主機(jī)上的用戶應(yīng)用程序。在這種情況下，主機(jī)可以包括或者也可以不包括多個(gè)處理器。如果主機(jī)包括兩個(gè)處理器，例如，VM 320可被分配專用處理器215，而VM 310(以及主機(jī)上的其他VM)可共享主處理器205的資源。另一方面，如果主機(jī)僅包括單個(gè)處理器，則該處理器可為所有的VM服務(wù)，但是VM 320仍舊可以在VMM 330的協(xié)作下與主機(jī)上的其他VM隔離。為了簡化的目的， 在虛擬化AMT環(huán)境中描述了本發(fā)明的實(shí)施例，但是本發(fā)明的實(shí)施例并不局限于此。而是，任何所提及的“分區(qū)”、“安全分區(qū)”、“安全性分區(qū)”和/或“管理分區(qū)”應(yīng)包括任何物理和/或虛擬分區(qū)(如上所述)。圖4A和4B示出了在虛擬化AMT環(huán)境中的本發(fā)明的實(shí)施例。如圖所示，根據(jù)本發(fā)明的一個(gè)實(shí)施例，設(shè)備(“節(jié)點(diǎn)400”)可以包括用戶分區(qū)(“用戶分區(qū)405”)、安全分區(qū)、虛擬機(jī)管理器("VMM 425”)和局域網(wǎng)(“LAN”)硬件/固件("NIC 430”)，其中所述用戶分區(qū)具有用戶操作系統(tǒng)(“用戶操作系統(tǒng)410”)，所述安全分區(qū)用作AMT ( "AMT 415”)并且包括位置感知代理(“LAA 420”)，所述局域網(wǎng)硬件/固件具有駐留在AMT 415內(nèi)的驅(qū)動(dòng)器(“NIC驅(qū)動(dòng)器425”)。如前所述，雖然隨后的說明采用了 AMT，但本發(fā)明的實(shí)施例并不局限于此。在一個(gè)實(shí)施例中，AMT 415可與用戶操作系統(tǒng)410隔離(通過物理分離、虛擬分離或其組合)以增強(qiáng)平臺(tái)上的安全性。節(jié)點(diǎn)400可駐留在上述圖1中所述的典型拓?fù)浣Y(jié)構(gòu)內(nèi)，即在公司網(wǎng)100和/或外部網(wǎng)150上。根據(jù)本發(fā)明的實(shí)施例，當(dāng)節(jié)點(diǎn)400通電并且正常的AMT功能開始時(shí)，LAA 420可以啟動(dòng)。一旦被激活，LAA 420可通過防止用戶操作系統(tǒng)410訪問WNIC驅(qū)動(dòng)器435來防止用戶操作系統(tǒng)410連接到任何網(wǎng)絡(luò)。替代地，LAA 420可以首先確定節(jié)點(diǎn)400是否連接到網(wǎng)絡(luò)，并且如果是，則確定網(wǎng)絡(luò)是什么類型(例如，內(nèi)部的或外部的)。因此，在一個(gè)實(shí)施例中，如果LAA420激活后檢測到網(wǎng)絡(luò)，則LAA 420可以嘗試連接至僅存在于公司網(wǎng)100內(nèi)的基礎(chǔ)設(shè)施。對(duì)于本領(lǐng)域普通技術(shù)人員來說顯而易見的是，對(duì)于要連接的基礎(chǔ)設(shè)施的選擇可以是可配置的，且可包括例如域控制器、AMT管理服務(wù)器和/或公司展示服務(wù)器(corporate presence server)的組件。在一替換實(shí)施例中，LAA 420可嘗試連接至已知存在于公司網(wǎng) 100內(nèi)的任何其他的基礎(chǔ)設(shè)施(例如，在htel網(wǎng)絡(luò)內(nèi)，LAA 420可配置為找尋在特定的網(wǎng)絡(luò)地址處的Intel專用服務(wù)器)。如果LAA420成功地檢測到公司網(wǎng)100上的組元，那么其(與VMM 425聯(lián)合)可使得用戶操作系統(tǒng)405能夠以用于公司(即，安全)環(huán)境的一組可配置的安全性控制來啟動(dòng)。 在一個(gè)實(shí)例中，用于安全的公司環(huán)境的安全性控制可以不包括嚴(yán)格的防火墻規(guī)則、文件共享規(guī)則等。此組安全性控制可被定制為適合于特定的環(huán)境。例如，如果LAA 420檢測到表示高度安全的網(wǎng)絡(luò)的網(wǎng)絡(luò)組元A，則其可以選擇具有最少規(guī)則的一組特定的安全性控制，而如果其沒能找到網(wǎng)絡(luò)組元A，而是替代地找到表示較不安全的網(wǎng)絡(luò)的網(wǎng)絡(luò)組元B，則其可以選擇一組不同的安全性控制。換言之，即使在公司環(huán)境內(nèi)，系統(tǒng)管理員也可以選擇來維護(hù)多組可配置的安全性控制，以使設(shè)備能夠優(yōu)化其安全性方案。因此，本發(fā)明的實(shí)施例使管理員能夠根據(jù)所檢測到的位置為設(shè)備精細(xì)地調(diào)整安全性方案。在一個(gè)實(shí)施例中，如果LAA420檢測到網(wǎng)絡(luò)，但未能連接到公司網(wǎng)100上的組元，則 LAA420可以確定節(jié)點(diǎn)400在公司網(wǎng)之外，S卩，在外部網(wǎng)150上。那么LAA 420可以使得用戶操作系統(tǒng)405以配置用于非安全環(huán)境的一組安全性控制來啟動(dòng)。這樣的一組安全性控制的例子可包括對(duì)防火墻訪問和/或文件共享的限制。換言之，如果設(shè)備處于非安全的位置，則系統(tǒng)管理員可選擇來限制該設(shè)備的用戶訪問來自公司內(nèi)部的數(shù)據(jù)的能力。上面的實(shí)施例描述了節(jié)點(diǎn)400在特定環(huán)境中啟動(dòng)的情況。在替換的實(shí)施例中，節(jié)點(diǎn)400可以在一個(gè)環(huán)境中啟動(dòng)并移動(dòng)到不同的環(huán)境中。LAA420可配置成持續(xù)地監(jiān)控WNIC 435以監(jiān)控網(wǎng)絡(luò)狀態(tài)的任何改變。如果發(fā)生狀態(tài)改變，則LAA 420可以重復(fù)上述的處理以確定網(wǎng)絡(luò)是否仍舊存在(即，設(shè)備是否仍舊連接到網(wǎng)絡(luò))，如果是，則確定其是在公司網(wǎng)內(nèi)還是在外部網(wǎng)上。舉例來說，如果節(jié)點(diǎn)400在公司網(wǎng)100內(nèi)啟動(dòng)并移動(dòng)到外部網(wǎng)150，則LAA 420可以檢測到網(wǎng)絡(luò)狀態(tài)的變化并重復(fù)上述的網(wǎng)絡(luò)識(shí)別處理。在一個(gè)實(shí)施例中，當(dāng)LAA 420確定其在外部網(wǎng)150上時(shí)，其可以以配置用于非安全環(huán)境的一組安全性控制來啟動(dòng)新的分區(qū) (“新用戶分區(qū)450”)(如圖4B中所示)。LAA 420和VMM 425然后可以對(duì)于用戶透明地將用戶的執(zhí)行環(huán)境從(由用于安全分區(qū)的安全性控制所管理的)用戶分區(qū)405轉(zhuǎn)移至新用戶分區(qū)450，運(yùn)行更加嚴(yán)格的安全性控制。VMM 425然后可繼續(xù)維護(hù)用戶分區(qū)405或?qū)⑵潢P(guān)閉。例如，在系統(tǒng)管理員知道特定的設(shè)備會(huì)頻繁地在公司網(wǎng)100和外部網(wǎng)150之間漫游的情況下，系統(tǒng)管理員可以配置VMM 425來維護(hù)用戶分區(qū)405以在將來當(dāng)節(jié)點(diǎn)400移動(dòng)回公司網(wǎng)100時(shí)使用(在下面進(jìn)一步詳細(xì)描述)。在一個(gè)實(shí)施例中，節(jié)點(diǎn)400可在外部網(wǎng)150上啟動(dòng)并移動(dòng)至公司網(wǎng)100，或者在上述的情況下，簡單地返回到公司網(wǎng)100。根據(jù)該實(shí)施例，LAA420可以再次檢測網(wǎng)絡(luò)狀態(tài)的改變并重復(fù)上述的網(wǎng)絡(luò)識(shí)別處理。當(dāng)檢測到節(jié)點(diǎn)400再次運(yùn)行在安全環(huán)境內(nèi)時(shí)，LAA420和 VMM 425可以以用于安全環(huán)境的安全性控制來啟動(dòng)新的分區(qū)，并將用戶的執(zhí)行環(huán)境移動(dòng)至新的VM?；蛘撸缟纤?，如果VMM 425繼續(xù)維護(hù)VM 405，則VMM 425可簡單地將用戶的執(zhí)
8行環(huán)境轉(zhuǎn)移回VM 405 (從而避免了與啟動(dòng)新的分區(qū)相關(guān)聯(lián)的啟動(dòng)成本)。根據(jù)本發(fā)明的實(shí)施例，基于節(jié)點(diǎn)400的位置，系統(tǒng)管理員可對(duì)于數(shù)據(jù)訪問定義變化的安全性級(jí)別。因此，例如，如果確定節(jié)點(diǎn)400在公司網(wǎng)100上，則用戶可被允許無限制地訪問平臺(tái)上的所有數(shù)據(jù)。然而，如果確定節(jié)點(diǎn)400在外部網(wǎng)150上，則VMM 425可通過實(shí)現(xiàn)用于非安全環(huán)境的安全性控制的分區(qū)(例如，新用戶分區(qū)445)來僅允許訪問特定類型的數(shù)據(jù)。換言之，如果用戶在安全環(huán)境內(nèi)，則用戶可以無限制地訪問平臺(tái)上的所有數(shù)據(jù)，但是如果用戶移動(dòng)到非安全的環(huán)境，則本發(fā)明的實(shí)施例可以利用上述的安全的位置感知方案來限制數(shù)據(jù)訪問。舉例來說，在上述的節(jié)點(diǎn)400從公司網(wǎng)100移動(dòng)到外部網(wǎng)150的情況下，如前所述，LAA 420可以檢測網(wǎng)絡(luò)狀態(tài)的改變。根據(jù)本發(fā)明的一個(gè)實(shí)施例，當(dāng)檢測到節(jié)點(diǎn)400正在非安全的網(wǎng)絡(luò)內(nèi)運(yùn)行并且以不同的一組安全性控制啟動(dòng)新的分區(qū)時(shí)，LAA 420和VMM 425 還可以限制可由該新的分區(qū)訪問的數(shù)據(jù)。因此，上述的新用戶分區(qū)450可以不僅僅包括被定制用于非安全環(huán)境的一組不同的安全性控制，其還可以包括用于保護(hù)節(jié)點(diǎn)400上的特定類型的數(shù)據(jù)的數(shù)據(jù)限制。對(duì)于本領(lǐng)域普通技術(shù)人員來說顯而易見的是，數(shù)據(jù)限制可以以各種方式來實(shí)現(xiàn)而不背離本發(fā)明的實(shí)施例的主旨。在一個(gè)實(shí)施例中，例如，LAA 420和VMM 425可以簡單地將用戶分區(qū)405維護(hù)為可訪問節(jié)點(diǎn)400上的所有數(shù)據(jù)，但是當(dāng)新用戶分區(qū) 450運(yùn)行時(shí)禁止網(wǎng)絡(luò)訪問用戶分區(qū)405。因此，本發(fā)明的各個(gè)實(shí)施例可對(duì)上述的位置感知安全性方案進(jìn)行平衡，以基于節(jié)點(diǎn)400的位置限制對(duì)數(shù)據(jù)的訪問。如前所述，雖然上面的說明采用了虛擬化平臺(tái)，但是本發(fā)明的實(shí)施例支持各種安全分區(qū)類型。對(duì)于本領(lǐng)域普通技術(shù)人員來說顯而易見的是，可以利用各個(gè)平臺(tái)特定的特征來增強(qiáng)本發(fā)明的實(shí)施例。例如，在諸如htel 公司的Core 2 Duo 的多核平臺(tái)上，分區(qū)可以包括該平臺(tái)上存在的多個(gè)核中的一個(gè)。根據(jù)該實(shí)施例，該平臺(tái)上的核中的一個(gè)可專用于運(yùn)行位置感知代理，從而將該代理與該平臺(tái)上運(yùn)行的其他分區(qū)和/或應(yīng)用程序隔離。在又一實(shí)施例中，位置感知代理可在平臺(tái)上的物理AMT分區(qū)內(nèi)實(shí)現(xiàn)。無論分區(qū)的類型如何(物理的或虛擬的)，本發(fā)明的實(shí)施例都可利用位置感知代理，以能夠?qū)⑵脚_(tái)與網(wǎng)絡(luò)隔離和/或能夠?qū)崿F(xiàn)對(duì)平臺(tái)的安全性控制以優(yōu)化平臺(tái)的安全性和性能。圖5是示出了本發(fā)明的實(shí)施例的流程圖。雖然隨后的操作可描述為順序處理，但是許多操作實(shí)際上可以并行和/或同時(shí)執(zhí)行。此外，操作的次序可重新設(shè)置而不背離本發(fā)明實(shí)施例的主旨。在501，當(dāng)啟動(dòng)設(shè)備時(shí)，位置感知代理可以開始監(jiān)控該設(shè)備的網(wǎng)絡(luò)狀態(tài)。 如果在502沒有檢測到網(wǎng)絡(luò)狀態(tài)的改變，則位置感知代理可簡單地繼續(xù)監(jiān)控設(shè)備的網(wǎng)絡(luò)狀態(tài)。然而，如果在502檢測到網(wǎng)絡(luò)狀態(tài)的改變，則位置感知代理可在503確定設(shè)備上的NIC 是否連接到網(wǎng)絡(luò)。如果NIC沒有連接到網(wǎng)絡(luò)，則位置感知代理可以使設(shè)備上的用戶分區(qū)中的操作系統(tǒng)能夠在504啟動(dòng)而不用任何安全性控制(因?yàn)闆]有網(wǎng)絡(luò)連接，從而消除了對(duì)于網(wǎng)絡(luò)安全性的顧慮)。在該實(shí)施例中，用戶可訪問設(shè)備上的所有數(shù)據(jù)。 然而，在503如果NIC連接到網(wǎng)絡(luò)，則位置感知代理然后在505可嘗試聯(lián)系公司網(wǎng)內(nèi)的各種基礎(chǔ)設(shè)施組元。在505如果位置感知代理不能連接到任何公司基礎(chǔ)設(shè)施組元，則位置感知代理然后在506檢查用戶分區(qū)以確定所執(zhí)行的安全性控制的類型。如果在用戶分區(qū)執(zhí)行的安全性控制是設(shè)計(jì)來用于安全的分區(qū)的，則位置感知代理然后在507使得用戶分區(qū)能夠連接到網(wǎng)絡(luò)。根據(jù)該實(shí)施例，位置感知代理還可通過禁止或限制網(wǎng)絡(luò)訪問數(shù)據(jù)來施加對(duì)于用戶分區(qū)中數(shù)據(jù)的訪問限制。然而，如果安全性控制被定制為用于非安全環(huán)境，則位置感知代理在508可確定適合的動(dòng)作過程。例如，位置感知代理可以開始具有更嚴(yán)格的安全性控制的新的分區(qū)，并且在509，代理和虛擬機(jī)管理器可將用戶的執(zhí)行環(huán)境轉(zhuǎn)移到該新的分區(qū)。在一個(gè)實(shí)施例中，代理和虛擬機(jī)管理器還可限制對(duì)用戶分區(qū)中數(shù)據(jù)的訪問，使數(shù)據(jù)不可被該新的分區(qū)訪問。當(dāng)轉(zhuǎn)移到具有提高的安全性控制的新的分區(qū)時(shí)，位置感知代理在510可使該新的分區(qū)能夠連接到網(wǎng)絡(luò)。對(duì)于本領(lǐng)域普通技術(shù)人員來說顯而易見的是，在替換的實(shí)施例中，位置感知代理可以實(shí)現(xiàn)各種其他的動(dòng)作過程而不背離本發(fā)明實(shí)施例的主旨。在505如果位置感知代理能夠連接到一個(gè)或更多個(gè)公司基礎(chǔ)設(shè)施組元，則在511 該代理確定設(shè)備是否正在運(yùn)行提高的安全性控制。如果不是，則位置感知代理和虛擬機(jī)管理器在512可使分區(qū)能夠在507連接到網(wǎng)絡(luò)。然而，如果設(shè)備正在運(yùn)行提高的安全性控制， 則位置感知代理在513可確定適合的動(dòng)作過程。因此，例如，在一個(gè)實(shí)施例中，位置感知代理可關(guān)閉具有提高的安全性控制的分區(qū)，并在514將用戶執(zhí)行環(huán)境轉(zhuǎn)移到運(yùn)行較不高的安全性控制的分區(qū)(因?yàn)閷?duì)于設(shè)備來說，當(dāng)運(yùn)行在公司網(wǎng)內(nèi)時(shí)提高的安全性控制是不必要的)。而且，在一個(gè)實(shí)施例中，位置感知代理可對(duì)用戶分區(qū)中的數(shù)據(jù)施加限制。在一個(gè)實(shí)施例中，運(yùn)行較不高的安全性控制的分區(qū)可以是主分區(qū)，當(dāng)設(shè)備最初從公司網(wǎng)移動(dòng)到外部網(wǎng)時(shí)，虛擬機(jī)管理器繼續(xù)維護(hù)該主分區(qū)。在替換的實(shí)施例中，位置感知代理可在轉(zhuǎn)移用戶執(zhí)行環(huán)境之前啟動(dòng)具有較不高的安全性控制的主分區(qū)。對(duì)于本領(lǐng)域普通技術(shù)人員來說顯而易見的是，位置感知代理可采用各種動(dòng)作而不背離本發(fā)明實(shí)施例的主旨。根據(jù)本發(fā)明的實(shí)施例的計(jì)算平臺(tái)可在各種計(jì)算設(shè)備上實(shí)現(xiàn)。根據(jù)實(shí)施例，計(jì)算設(shè)備可以包括各種其他已知的組件，例如一個(gè)或多個(gè)處理器。處理器和機(jī)器可訪問介質(zhì)可使用橋/存儲(chǔ)器控制器來可通信地耦合，并且處理器可以能夠執(zhí)行存儲(chǔ)在該機(jī)器可訪問介質(zhì)中的指令。該橋/存儲(chǔ)器控制器可以耦合到圖形控制器，并且該圖形控制器可以控制顯示設(shè)備上的顯示數(shù)據(jù)的輸出。橋/存儲(chǔ)器控制器可以耦合到一個(gè)或多個(gè)總線。這些組元中的一個(gè)或多個(gè)可與處理器集成在單個(gè)封裝上，或者使用多個(gè)封裝或管芯。諸如通用串行總線(“USB”)主機(jī)控制器之類的主機(jī)總線控制器可以耦合到總線，并且多個(gè)設(shè)備可以耦合到USB。例如，諸如鍵盤和鼠標(biāo)之類的用戶輸入設(shè)備可以包括在計(jì)算設(shè)備中，以提供輸入數(shù)據(jù)。在替換的實(shí)施例中，主機(jī)總線控制器可與各種其他的互連標(biāo)準(zhǔn)兼容，所述互連標(biāo)準(zhǔn)包括 PCI、PCI Express、FireWire以及其他這樣的現(xiàn)有的和將來的標(biāo)準(zhǔn)。在前面的說明書中，已經(jīng)參考本發(fā)明的特定的示例性實(shí)施例描述了本發(fā)明。然而， 顯然可對(duì)其進(jìn)行各種修改和改變而不背離在所附權(quán)利要求中所闡述的本發(fā)明的更寬的主旨和范圍。因此，本說明書和附圖應(yīng)被視為說明性的而不是限制性的。
權(quán)利要求
1.一種用于安全性控制的方法，該方法包括識(shí)別設(shè)備的網(wǎng)絡(luò)狀態(tài)的改變，所述設(shè)備包括安全分區(qū)、第一用戶分區(qū)和第二用戶分區(qū)， 所述安全分區(qū)包括位置感知代理；由所述位置感知代理確定所述設(shè)備是否連接到網(wǎng)絡(luò)；如果所述設(shè)備連接到所述網(wǎng)絡(luò)，則通過嘗試連接至安全網(wǎng)絡(luò)中的已知的網(wǎng)絡(luò)基礎(chǔ)設(shè)施組元來確定所述網(wǎng)絡(luò)是否是安全的；如果確定所述設(shè)備連接到所述安全網(wǎng)絡(luò)，則所述位置感知代理對(duì)所述第一用戶分區(qū)中的第一操作系統(tǒng)應(yīng)用第一組安全性控制，其中，所述位置感知代理在使所述第一操作系統(tǒng)能夠訪問所述安全網(wǎng)絡(luò)之前對(duì)所述第一操作系統(tǒng)應(yīng)用所述第一組安全性控制；以及如果確定所述設(shè)備連接到非安全網(wǎng)絡(luò)，則所述位置感知代理對(duì)所述第二用戶分區(qū)中的第二操作系統(tǒng)應(yīng)用第二組安全性控制，其中，所述位置感知代理在使所述第二操作系統(tǒng)能夠訪問所述非安全網(wǎng)絡(luò)之前對(duì)所述第二操作系統(tǒng)應(yīng)用所述第二組安全性控制。
2.根據(jù)權(quán)利要求1所述的方法，還包括識(shí)別所述設(shè)備是否從所述安全網(wǎng)絡(luò)移動(dòng)到所述非安全網(wǎng)絡(luò)；以及將執(zhí)行環(huán)境從所述第一用戶分區(qū)中的所述第一操作系統(tǒng)轉(zhuǎn)移到所述第二用戶分區(qū)中的所述第二操作系統(tǒng)。
3.根據(jù)權(quán)利要求2所述的方法，還包括如果識(shí)別出所述設(shè)備從所述安全網(wǎng)絡(luò)移動(dòng)到所述非安全網(wǎng)絡(luò)，則啟動(dòng)所述第二用戶分區(qū)。
4.根據(jù)權(quán)利要求2所述的方法，還包括如果識(shí)別出所述設(shè)備從所述安全網(wǎng)絡(luò)移動(dòng)到所述非安全網(wǎng)絡(luò)，則關(guān)閉所述第一用戶分區(qū)。
5.根據(jù)權(quán)利要求2所述的方法，還包括識(shí)別所述設(shè)備是否從所述非安全網(wǎng)絡(luò)移動(dòng)回到所述安全網(wǎng)絡(luò)；以及將所述執(zhí)行環(huán)境從所述第二用戶分區(qū)中的所述第二操作系統(tǒng)轉(zhuǎn)移回到所述第一用戶分區(qū)中的所述第一操作系統(tǒng)。
6.根據(jù)權(quán)利要求1所述的方法，其中，應(yīng)用到所述第一用戶分區(qū)中的所述第一操作系統(tǒng)的所述第一組安全性控制不同于應(yīng)用到所述第二用戶分區(qū)中的所述第二操作系統(tǒng)的所述第二組安全性控制，所述第二組安全性控制比所述第一組安全性控制至少多施加一個(gè)限制。
7.根據(jù)權(quán)利要求1所述的方法，其中，所述第一組安全性控制使所述第一用戶分區(qū)中的所述第一操作系統(tǒng)能夠訪問所述設(shè)備上的數(shù)據(jù)，并且所述第二組安全性控制限制所述第二用戶分區(qū)中的所述第二操作系統(tǒng)訪問所述設(shè)備上的所述數(shù)據(jù)的至少一部分。
8.根據(jù)權(quán)利要求1所述的方法，其中，所述安全分區(qū)包括主動(dòng)管理技術(shù)AMT分區(qū)、可管理引擎ME、平臺(tái)資源層PRL、虛擬機(jī)VM 和獨(dú)立的處理器核中的至少一個(gè)。
9.一種計(jì)算設(shè)備，包括 網(wǎng)絡(luò)接口卡；虛擬機(jī)監(jiān)視器，其管理所述計(jì)算設(shè)備在一個(gè)或多個(gè)用戶分區(qū)之間的資源分配； 安全分區(qū)，其管理所述一個(gè)或多個(gè)用戶分區(qū)對(duì)所述網(wǎng)絡(luò)接口卡的訪問，所述安全分區(qū)包括位置感知代理，所述位置感知代理確定所述計(jì)算設(shè)備是否連接到網(wǎng)絡(luò)，其中，如果確定所述計(jì)算設(shè)備連接到網(wǎng)絡(luò)，則所述位置感知代理通過嘗試連接至安全網(wǎng)絡(luò)中的已知的網(wǎng)絡(luò)組元來確定所述計(jì)算設(shè)備是否連接到所述安全網(wǎng)絡(luò)或非安全網(wǎng)絡(luò)中之一；具有第一操作系統(tǒng)的第一用戶分區(qū)，其能夠訪問所述安全網(wǎng)絡(luò)，所述位置感知代理在使得能夠訪問所述安全網(wǎng)絡(luò)之前對(duì)所述第一用戶分區(qū)中的所述第一操作系統(tǒng)應(yīng)用第一組安全性控制；以及具有第二操作系統(tǒng)的第二用戶分區(qū)，其能夠訪問所述非安全網(wǎng)絡(luò)，所述位置感知代理在使得能夠訪問所述非安全網(wǎng)絡(luò)之前對(duì)所述第二用戶分區(qū)中的所述第二操作系統(tǒng)應(yīng)用第二組安全性控制。
10.根據(jù)權(quán)利要求9所述的計(jì)算設(shè)備，其中，所述位置感知代理檢測所述計(jì)算設(shè)備是否從所述安全網(wǎng)絡(luò)漫游到所述非安全網(wǎng)絡(luò)；并且其中，所述位置感知代理將執(zhí)行環(huán)境從所述第一用戶分區(qū)中的所述第一操作系統(tǒng)轉(zhuǎn)移到所述第二用戶分區(qū)中的所述第二操作系統(tǒng)。
11.根據(jù)權(quán)利要求10所述的計(jì)算設(shè)備，其中，如果檢測出所述計(jì)算設(shè)備從所述安全網(wǎng)絡(luò)漫游到所述非安全網(wǎng)絡(luò)，則所述位置感知代理啟動(dòng)所述第二用戶分區(qū)。
12.根據(jù)權(quán)利要求10所述的計(jì)算設(shè)備，其中，如果所述位置感知代理檢測出所述計(jì)算設(shè)備從所述安全網(wǎng)絡(luò)移動(dòng)到所述非安全網(wǎng)絡(luò)， 則所述虛擬機(jī)監(jiān)視器關(guān)閉所述第一用戶分區(qū)。
13.根據(jù)權(quán)利要求10所述的計(jì)算設(shè)備，其中，所述位置感知代理檢測所述計(jì)算設(shè)備是否從所述非安全網(wǎng)絡(luò)移動(dòng)回到所述安全網(wǎng)絡(luò)；并且其中，所述位置感知代理將所述執(zhí)行環(huán)境從所述第二用戶分區(qū)中的所述第二操作系統(tǒng)轉(zhuǎn)移回到所述第一用戶分區(qū)中的所述第一操作系統(tǒng)。
14.根據(jù)權(quán)利要求9所述的計(jì)算設(shè)備，其中，應(yīng)用到所述第一用戶分區(qū)中的所述第一操作系統(tǒng)的所述第一組安全性控制不同于應(yīng)用到所述第二用戶分區(qū)中的所述第二操作系統(tǒng)的所述第二組安全性控制，所述第二組安全性控制比所述第一組安全性控制至少多施加一個(gè)限制。
15.根據(jù)權(quán)利要求9所述的計(jì)算設(shè)備，其中，所述第一組安全性控制使所述第一用戶分區(qū)中的所述第一操作系統(tǒng)能夠訪問所述設(shè)備上的數(shù)據(jù)，并且所述第二組安全性控制限制所述第二用戶分區(qū)中的所述第二操作系統(tǒng)訪問所述計(jì)算設(shè)備上的所述數(shù)據(jù)的至少一部分。
16.根據(jù)權(quán)利要求9所述的計(jì)算設(shè)備，其中，所述安全分區(qū)包括主動(dòng)管理技術(shù)AMT分區(qū)、可管理引擎ME、平臺(tái)資源層PRL、虛擬機(jī)VM 和獨(dú)立的處理器核中的至少一個(gè)。
17.一種計(jì)算設(shè)備，包括用于識(shí)別設(shè)備的網(wǎng)絡(luò)狀態(tài)的改變的模塊，所述設(shè)備包括安全分區(qū)、第一用戶分區(qū)和第二用戶分區(qū)，所述安全分區(qū)包括位置感知代理；用于確定所述設(shè)備是否連接到網(wǎng)絡(luò)的模塊；用于如果所述設(shè)備連接到所述網(wǎng)絡(luò)，則通過嘗試連接至安全網(wǎng)絡(luò)中的已知的網(wǎng)絡(luò)基礎(chǔ)設(shè)施組元來確定所述網(wǎng)絡(luò)是否是安全的模塊；用于如果確定所述設(shè)備連接到所述安全網(wǎng)絡(luò)，則使所述位置感知代理對(duì)所述第一用戶分區(qū)中的第一操作系統(tǒng)應(yīng)用第一組安全性控制的模塊，其中，所述位置感知代理在使所述第一操作系統(tǒng)能夠訪問所述安全網(wǎng)絡(luò)之前對(duì)所述第一操作系統(tǒng)應(yīng)用所述第一組安全性控制；以及用于如果確定所述設(shè)備連接到非安全網(wǎng)絡(luò)，則使所述位置感知代理對(duì)所述第二用戶分區(qū)中的第二操作系統(tǒng)應(yīng)用第二組安全性控制的模塊，其中，所述位置感知代理在使所述第二操作系統(tǒng)能夠訪問所述非安全網(wǎng)絡(luò)之前對(duì)所述第二操作系統(tǒng)應(yīng)用所述第二組安全性控制。
18.根據(jù)權(quán)利要求17所述的計(jì)算設(shè)備，還包括用于識(shí)別所述設(shè)備是否從所述安全網(wǎng)絡(luò)移動(dòng)到所述非安全網(wǎng)絡(luò)的模塊；以及用于將執(zhí)行環(huán)境從所述第一用戶分區(qū)中的所述第一操作系統(tǒng)轉(zhuǎn)移到所述第二用戶分區(qū)中的所述第二操作系統(tǒng)的模塊。
19.根據(jù)權(quán)利要求17所述的計(jì)算設(shè)備，其中，應(yīng)用到所述第一用戶分區(qū)中的所述第一操作系統(tǒng)的所述第一組安全性控制不同于應(yīng)用到所述第二用戶分區(qū)中的所述第二操作系統(tǒng)的所述第二組安全性控制，所述第二組安全性控制比所述第一組安全性控制至少多施加一個(gè)限制。
20.根據(jù)權(quán)利要求17所述的計(jì)算設(shè)備，其中，所述第一組安全性控制使所述第一用戶分區(qū)中的所述第一操作系統(tǒng)能夠訪問所述設(shè)備上的數(shù)據(jù)，并且所述第二組安全性控制限制所述第二用戶分區(qū)中的所述第二操作系統(tǒng)訪問所述設(shè)備上的所述數(shù)據(jù)的至少一部分。
全文摘要
一種方法、裝置和系統(tǒng)能夠?qū)崿F(xiàn)安全的位置感知平臺(tái)。具體而言，本發(fā)明的實(shí)施例可利用平臺(tái)上的安全處理分區(qū)來確定平臺(tái)的位置，并相應(yīng)地動(dòng)態(tài)應(yīng)用和/或改變安全性控制。
文檔編號(hào)G06F21/00GK102281297SQ201110228219
公開日2011年12月14日 申請日期2007年10月17日 優(yōu)先權(quán)日2006年10月17日
發(fā)明者D·摩根 申請人:英特爾公司