將公司數字信息限制在公司界限內的方法
【專利摘要】一種實施虛擬公司界限的方法可以包括客戶端設備對用戶與所述客戶端設備的交互做出響應而從服務器設備上的網站請求敏感內容。所述服務器設備能夠確定所述用戶和/或客戶端設備是否被允許訪問所述敏感內容。所述客戶端設備上的安全元件能夠在所述服務器設備和所述客戶端設備之間建立會話密鑰。所述服務器設備能夠渲染所述敏感內容并且將其發(fā)送到所述客戶端設備，所述客戶端設備能夠向所述用戶顯示所述內容。
【專利說明】將公司數字信息限制在公司界限內的方法

【技術領域】
[0001]所公開的技術通常涉及數據安全，并且更加具體地涉及用于在實施組織機構的數據使用策略的同時防止從用戶端點泄露敏感信息的技術。

【背景技術】
[0002]員工們?yōu)榱嗽谒麄兊墓ぷ魃詈蛡€人生活中都處于被通知、被連接和可工作的狀態(tài)，他們傾向于使用多種流行且不同的產品，例如智能電話和平板計算設備，以便訪問和利用多種社交聯(lián)網和即時消息傳送技術中的任意一種。這些產品以及與其相關聯(lián)的應用對于信息技術(IT)團隊來講是具有挑戰(zhàn)性的，特別是因為員工越來越希望使用他們喜歡的移動設備同時用于個人和工作用途。也就是說，用戶傾向于在能夠用于訪問企業(yè)應用和數據的相同設備上存儲個人數據并且安裝基于互聯(lián)網的游戲。
[0003]對于具有隨時/隨地訪問的永遠在線環(huán)境的用戶需求正在從根本上改變支持和服務要求。實際上，這些消費類技術和工具正在有效地打破傳統(tǒng)的IT壁壘。無論是否被允許，當員工將他們的諸如Ipad的個人設備帶入某些區(qū)域中時，基于開放客戶端的信道上的公司信息共享的好處導致了不期望的信息泄露。個人和公司應用的混合加劇了數據的風險。盡管主要關注點經常是電子郵件，但是存在諸如網絡訪問、文件共享以及使用網絡共享數據的社交媒體的許多其它目標區(qū)域。并且，公司經常經歷由利用這樣的混合的網絡罪犯和內部威脅進行的以公司為目標的網絡釣魚、公司間諜攻擊的增加。
[0004]在敏感數據貫穿組織機構移動時，包括移動到公司外部的目的地，對該敏感數據在靜止和傳送期間的監(jiān)控、追蹤和管制的當前嘗試傾向于遇到許多限制，例如繞開惡意數據移動以及IT部門的可見性。例如以奧羅拉(Aimm1)為例的高級持續(xù)威脅，拷貝到USB設備中作為維基泄密等等。并且，在瀏覽期間，數據典型地需要在終端用戶的平臺處被解密，這對于諸如屏幕抓取工具的各種威脅經常變得很脆弱。這樣的嘗試對性能和可用性方面并非沒有影響。例如，為了保護數據，IT團隊可能運行許多管制應用和套件，例如防病毒(AV)軟件、防火墻、基于主機的入侵防護系統(tǒng)(HIPS)、文件完整性監(jiān)控(FIM)應用、應用控制、力口密等等。然而，所有這些保護措施會消耗客戶端設備的處理能力和電池電量。并且，由于不斷變化的監(jiān)管環(huán)境，應對這些變化需要付出高昂的代價。

【專利附圖】

【附圖說明】
[0005]在附圖中通過示例而非限制的方式說明了所公開技術的實施例，在附圖中，類似的附圖標記指代類似的元件。
[0006]圖1是說明其中可以實現(xiàn)所公開技術的實施例的典型環(huán)境的示例的框圖。
[0007]圖2是說明根據所公開技術的實施例的安全系統(tǒng)的第一示例的框圖。
[0008]圖3是說明根據所公開技術的實施例的安全系統(tǒng)的第二示例的框圖。
[0009]圖4是說明根據所公開技術的實施例實施虛擬公司界限實現(xiàn)虛擬公司界限的第一示例的流程圖。
[0010]圖5是說明根據所公開技術的實施例實施虛擬公司界限實現(xiàn)虛擬公司界限的第二示例的流程圖。

【具體實施方式】
[0011]圖1是說明其中可以實現(xiàn)所公開技術的實施例的典型環(huán)境100的示例的框圖。在該示例中，公司具有可以訪問公司資源104的各種員工102，該公司資源例如是內聯(lián)網網站、電子郵件服務器以及存儲或促進對敏感數據、信息、內容或其任意組合的訪問的多個設備或應用中的任意一個。員工102可以與在正常業(yè)務操作的過程期間被允許進入公司場所的多個承包商106和/或臨時訪客108中的任意一個一起工作。然而，公司可能不希望為承包商106或臨時訪客108提供到公司資源104的某些訪問，可能是完全的或者甚至是受限或者被限制的。
[0012]在該示例中，虛擬公司界限110被實現(xiàn)為保護公司的資源104，并且特別是存儲在其上的敏感數據，免受尋求訪問和/或破壞這樣的數據的網絡罪犯114的攻擊。如果網絡罪犯114訪問或者拷貝由公司資源104存儲的任何敏感數據，他們可能接著尋求出賣或者以其它方式將這樣的數據或信息傳輸給諸如競爭對手、新聞記者等等的第三方116?？蛇x地或者此外，可能存在公司想要向其發(fā)送某些數據或信息或者提供對這樣的數據的訪問的商業(yè)伙伴112，這樣的數據可能包括敏感數據。
[0013]所公開技術的實施例可以向公司或者諸如信息技術(IT)部門的團隊提供能力和更大的控制，以便克服目前所嘗試的解決方案的許多限制。實施例可以用于保護諸如臺式機或筆記本電腦、平板計算設備或智能電話的用戶端點處的諸如文本/文檔、視頻、音頻等等的公司和/或敏感數字內容，使得審計和訪問控制服務器(AAS)不能夠被繞開。
[0014]例如，當用戶訪問敏感內容時，用戶的身份和設備會被IT部門的AAS認證，以便確保該訪問局限于例如具有IT部門批準的設備的被授權用戶。該設備可以由IT部門擁有或者屬于用戶的個人財產。因此，在公司內，可以促進并且有效地維護公司內帶自己設備(bring-your-own-device (BYOD))模型的部署。
[0015]在其中敏感數據或內容被以加密的格式發(fā)布給用戶的設備的某些實施例中，對加密的數據進行解密的密鑰可以由IT部門的AAS提供。在這樣的實施例中，敏感數據或內容可以總是以加密的格式駐留在客戶端設備上。這樣的實現(xiàn)可以極大地降低例如用戶的筆記本電腦被盜時信息泄漏的風險。
[0016]在涉及未授權用戶和/或未授權設備非法拷貝敏感數據或內容的情況中，該實現(xiàn)可以干擾或者甚至阻止該未授權用戶和/或設備在沒有經過AAS認證和訪問檢查的情況下瀏覽、打印該內容等等。結果，在這樣的實施例中，敏感數據或內容在設備之間的任何嘗試的移動都可能無法繞過IT部門的AAS。
[0017]在所公開技術的某些實現(xiàn)中，客戶端設備上敏感數據或內容的保護與該客戶端設備上其它應用中的漏洞是不相關的。結果是，經常實質上降低了對于監(jiān)控軟件及相關聯(lián)的成本、性能和電池需求的要求。這樣的實現(xiàn)也可以在關于設備的選擇和消費化方面具有更大的員工靈活性。
[0018]在某些實施例中，可以向數據或內容添加額外的水印以便防止被例如惡意用戶拍攝和傳播。
[0019]所公開技術的實現(xiàn)可以包括安全元件。如在本文中使用的，安全元件通常是指抵抗惡意軟件和/或硬件攻擊的執(zhí)行環(huán)境，可以用于證實所述執(zhí)行環(huán)境的遠程方屬性。
[0020]所公開技術的實現(xiàn)也可以包括安全子畫面。如在本文中使用的，安全子畫面是指在設備的屏幕上安全地顯示位圖使得它不會被例如惡意軟件從屏幕上抓取的能力。安全子畫面可以包括但不局限于受保護的音頻/視頻路徑(PAVP)和/或高帶寬數字內容保護(HDCP)技術。
[0021]在某些實施例中，多個認證方法中的任意一個可以用于查驗用戶的身份。根據數據策略的要求，這樣的認證技術可以被單獨實現(xiàn)或者組合實現(xiàn)。
[0022]例如，取決于所述安全元件和顯示保護技術的能力，所公開技術的實施例可以按照多種不同方式中的任意一種來實現(xiàn)。
[0023]考慮其中名叫約翰的用戶需要從他公司的內聯(lián)網網站strategy, acme, com訪問某些采購相關文檔的示例。約翰具有被配備有強大的認證技術的IT批準的平板電腦。約翰訪問了在內聯(lián)網站點strategy, acme, com上共享的關于計劃采購的加密的數據。在認證了用戶的身份并且檢查了訪問許可之后，資源庫中的文檔被加密和釋放。然而，由于魚叉式網絡釣魚攻擊，約翰的平板電腦上現(xiàn)在可能具有木馬或者其它不期望的和/或惡意的軟件。
[0024]圖2是說明根據所公開技術的實施例實現(xiàn)虛擬公司界限的安全系統(tǒng)200的第一示例的框圖。系統(tǒng)200包括網站202，例如公司內部網站或者內聯(lián)網，例如strategy, acme,com。網站202可以存儲加密的內容、信息或數據204，例如位圖文件、視頻流、或者虛擬地可以被加密并且存儲在諸如服務器的機器上的任何其它類型的數據、內容或者信息。
[0025]系統(tǒng)200還包括客戶端設備210，例如平板計算設備或者智能電話。客戶端設備210具有與其相關聯(lián)的用于向用戶視覺地呈現(xiàn)信息的顯示器220。顯示器220可以與客戶端設備210集成，或者它可以位于遠離客戶端設備210的位置，例如經由無線連接而連接到客戶端設備210。
[0026]在該示例中，用戶正在使用連接到網站202的客戶端設備210。對用戶例如使用客戶端設備210上的網絡瀏覽器212或其它應用與客戶端設備210的交互做出響應，客戶端設備210可以發(fā)送對于來自網站202的諸如敏感文檔或內容的敏感信息的請求，如由230指示的。
[0027]用戶的身份可以經由多個標準認證方法中的任意一種向網絡應用進行認證。例如，在服務器側上，訪問控制系統(tǒng)可以用于檢查用戶被允許訪問特定的采購文檔。基于檢查的肯定結果，服務器可以接著發(fā)送響應以便激活某些客戶端保護特征。例如，如由232指示的，網絡瀏覽器212可以具有調用安全元件214中的應用的擴展。
[0028]在某些實施例中，如由234指示的，可以建立會話密鑰。在該示例中，安全元件214驗證網站202的身份，并且接著在網站202的網絡應用和客戶端設備210上的圖形芯片集216之間建立短暫的受保護音頻/視頻路徑(PAVP)會話密鑰(Ks)?？梢酝ㄟ^在使用客戶端設備210上的秘密建立的安全信道上來建立會話密鑰Ks。在某些實施例中，可以對此進行預先配置?？蛻舳嗽O備210可以向服務器通知它的能力和身份。
[0029]在該示例中，如由236指示的，服務器側應用可以在服務器上例如以.pdf,, doc或其它格式來渲染敏感內容204。在該示例中，這一渲染的位圖被使用會話密鑰Ks進行加密，并且隨后被發(fā)送到客戶端設備210上的網絡瀏覽器212。
[0030]如由240指示的，客戶端設備210上的網絡瀏覽器212的擴展可以向客戶端設備210上的圖形芯片集216發(fā)送加密的內容，以便使該內容經由高帶寬數字內容保護(HDCP)在顯示器220上呈現(xiàn)給用戶，如由242指示的?？梢越又鶕@示器220上的非安全內容將頁面222顯示給用戶。
[0031]在某些實施例中，客戶端設備可以具有可擴展的安全元件能力，例如具有圖形的PAVP信道。在這樣的實施例中，要被顯示的圖形可以通過例如以HDCP為例的保護性措施被保護。諸如公司內聯(lián)網的網絡上的敏感內容可以被直接構造在安全元件內，并且由安全元件傳送到客戶端設備的圖形子系統(tǒng)。
[0032]圖3是說明根據所公開技術的實施例實現(xiàn)虛擬公司界限的安全系統(tǒng)300的第二示例的框圖。在該示例中，系統(tǒng)300包括諸如公司的內聯(lián)網的網站302以及諸如手持計算設備、平板設備或者智能電話的客戶端設備310。與圖2的客戶端設備210 —樣，圖3的客戶端設備310具有與其相關聯(lián)的顯示器320，該顯示器320可以與客戶端設備310集成或者與客戶端設備310分離，例如經由無線連接而連接到客戶端設備310。
[0033]在該示例中，用戶需要訪問某個采購談判的最新狀態(tài)。使用他或她的客戶端設備310，例如筆記本電腦、平板計算機或智能電話，用戶連接到公司內聯(lián)網302或者其它網站并且發(fā)送對于與采購談判有關的信息或者內容304的請求，如由330指示的。所請求的信息可以包括敏感文檔或者其它類型的信息、數據或內容。
[0034]一旦在330建立了連接，就可以如332指示的使用安全元件314來執(zhí)行認證和訪問檢查。例如，可以經由多個已知認證技術中的任意一種向客戶端設備310上的網絡應用312或其它應用認證用戶的身份。在服務器側上，訪問控制系統(tǒng)可以確認用戶是否被允許訪問所請求的采購文檔。服務器可以隨后發(fā)送響應以便激活某些客戶端保護特征，并且客戶端設備310上的網絡瀏覽器312的擴展可以調用安全元件314中的應用。
[0035]在該示例中，如由334指示的，可以建立客戶端網絡應用安全會話密鑰(Ks)。安全元件314可以驗證網站302的身份。一旦安全元件314證實了網站302，它就可以在網站302上的網絡應用和安全元件314之間建立加密的通道。網站302上的網絡應用可以通過該加密的通道，例如使用安全套接層(SSL)連接，向安全元件314發(fā)送敏感內容?？蛻舳嗽O備310可以向服務器通知它的能力和身份。
[0036]如由336指示的，安全元件314可以對于客戶端設備310上的圖形芯片集316建立短暫的PAVP會話密鑰(Ks)。安全元件314可以利用應用在客戶端設備310上例如以.pdf、,doc的格式來渲染敏感內容。
[0037]在該示例中，也如由336指示的，安全元件314可以使用會話密鑰(Ks)對所渲染的位圖進行加密，并且將所產生的數據發(fā)送到客戶端設備310上的圖形芯片集316，用于例如經由HDCP在屏幕320上向用戶進行安全顯示，如由338指示的。
[0038]圖4是說明根據所公開技術的實施例實施虛擬公司界限的第一示例400的流程圖。在402，用戶使用諸如平板計算設備的客戶端設備從諸如用戶的公司內聯(lián)網的網站請求敏感數據。所請求的數據可以包括多種數據類型、文件格式和多媒體內容等等中的任意一種。
[0039]在404，執(zhí)行認證和訪問檢查。例如，服務器側訪問控制系統(tǒng)可以執(zhí)行檢查以便確定用戶和/或客戶端設備是否被允許訪問所請求的信息。在確定這樣的授權存在時，服務器可以發(fā)送響應以便激活客戶端保護特征，并且客戶端設備上的網絡瀏覽器應用可以調用客戶端設備上的安全元件中的應用。
[0040]在406，建立會話密鑰。例如，客戶端設備上的安全元件可以驗證網站的身份，并且在服務器設備上的網絡應用和客戶端設備上的圖形芯片集之間建立諸如PAVP會話密鑰的會話密鑰?？蛻舳嗽O備可以向服務器通知它的能力和身份。
[0041]在408，服務器側應用在服務器上渲染敏感內容。所渲染的數據被使用會話密鑰進行加密，并且接著被發(fā)送到客戶端設備上的瀏覽器應用，如在410指示的。瀏覽器擴展將所加密的內容發(fā)送到圖形芯片集，以便經由顯示器被視覺地呈現(xiàn)給用戶，如在412指示的。所述顯示器可以與客戶端設備集成或者與客戶端設備物理地分離?？梢允褂弥T如HDCP的內容保護技術來顯示所述內容，使得根據非安全內容來將頁面顯示給用戶。
[0042]圖5是說明根據所公開技術的實施例實施虛擬公司界限的第二示例500的流程圖。在502，用戶使用諸如平板計算設備的客戶端設備從諸如該用戶的公司內聯(lián)網的網站請求敏感內容。在504，執(zhí)行認證和訪問檢查。這與在圖4的方法400中的404處發(fā)生的處理類似。
[0043]在506，建立客戶端-網絡應用安全會話密鑰。例如，客戶端設備上的安全元件可以驗證網站的身份?？蛻舳嗽O備上的安全元件在服務器設備上的網絡應用和安全元件自身之間建立加密的通道，如由508指示的。
[0044]在510，服務器設備上的網絡應用通過加密的信號，例如使用SSL，向所述安全元件發(fā)送所述敏感內容?？蛻舳嗽O備可以向服務器設備通知其能力和身份。
[0045]在512，客戶端設備上的安全元件對于客戶端設備上的圖形芯片集建立會話密鑰。安全元件接著在客戶端設備上渲染敏感內容。如由514指示的。安全元件對所渲染的內容進行加密，并且將其發(fā)送到客戶端設備上的圖形芯片集，如由516指示的。
[0046]在518，經由顯示器將內容視覺地呈現(xiàn)給用戶。該顯示器可以與客戶端設備集成，或者與客戶端設備物理上分離。例如，該顯示器可以經由無線通信信道連接到客戶端設備。所述內容可以使用諸如HDCP的內容保護技術進行顯示。
[0047]所公開技術的實施例可以被結合在各種類型的架構中。例如，某些實施例可以被實現(xiàn)為下面各項中的任意一項或者其組合:使用母版互連的一個或多個微芯片或集成電路、圖形和/或視頻處理器、多核處理器、硬連線邏輯、由存儲器設備存儲并且由微處理器執(zhí)行的軟件、固件、專用集成電路(ASIC)和/或現(xiàn)場可編程門陣列(FPGA)。本文使用的術語“邏輯”可以例如包括軟件、硬件或者它們的任意組合。
[0048]盡管本文描述和說明了具體實施例，但是本領域的普通技術人員應當理解，在不偏離所公開技術的實施例的范圍的情況下，廣泛的可選和/或等同實現(xiàn)可以取代所示出和描述的具體實施例。本申請意在涵蓋本文中說明和描述的實施例的任何修改和變化。因此，明確地期望所公開技術的實施例僅由下面權利要求及其等同物限定。
【權利要求】
1.一種實施虛擬公司界限的方法，包括: 用戶的客戶端設備從服務器設備上的網站請求敏感內容； 所述服務器設備確定所述用戶和所述客戶端設備中的一個或兩者是否被允許訪問所述敏感內容； 所述客戶端設備上的安全元件在所述服務器設備上的網絡應用和所述客戶端設備上的圖形芯片集之間建立會話密鑰； 所述服務器設備上的服務器應用對所述敏感內容進行渲染和加密，并且將被加密的渲染的內容發(fā)送到所述客戶端設備上的瀏覽器應用； 所述瀏覽器應用的擴展將所述被加密的渲染的內容發(fā)送到所述圖形芯片集；并且 所述圖形芯片集使顯示器將被渲染的內容視覺地呈現(xiàn)給所述用戶。
2.如權利要求1所述的方法，其中，所述安全元件建立所述會話密鑰包括:所述安全元件驗證所述網站的網站身份。
3.如權利要求1所述的方法，其中，所述客戶端設備請求敏感內容是對所述用戶和所述客戶端設備之間的交互做出的響應。
4.如權利要求1所述的方法，其中，所述會話密鑰是短暫的受保護音頻/視頻路徑(PAVP)會話密鑰。
5.如權利要求1所述的方法，其中，所述安全元件通過使用所述客戶端設備上的秘密的安全信道來建立所述會話密鑰。
6.如權利要求1所述的方法，其中，所述圖形芯片集包括安全子畫面生成器。
7.如權利要求1所述的方法，進一步包括:所述顯示器針對將所述被渲染的內容視覺地呈現(xiàn)給所述用戶而使用高帶寬數字內容保護(HDCP)。
8.如權利要求1所述的方法，其中，所述顯示器與所述客戶端設備集成。
9.如權利要求1所述的方法，其中，所述客戶端設備包括由下列項目構成的組中的一個:筆記本電腦、手持計算設備、平板計算設備和智能電話。
10.一種實施虛擬公司界限的方法，包括: 用戶的客戶端設備從服務器設備上的網站請求敏感內容； 所述服務器設備確定所述用戶和所述客戶端設備中的一個或兩者是否被允許訪問所述敏感內容； 對確定所述用戶和所述客戶端設備中的一個或兩者被允許訪問所述敏感內容做出響應，所述服務器設備將所述敏感內容發(fā)送到所述客戶端設備； 所述客戶端設備上的安全元件在所述安全元件和所述客戶端設備上的圖形芯片集之間建立會話密鑰； 所述安全元件對所述敏感內容進行渲染和加密，并且將被加密的渲染的內容發(fā)送到所述客戶端設備上的所述圖形芯片集；并且 所述圖形芯片集使顯示器將被渲染的內容視覺地呈現(xiàn)給所述用戶。
11.如權利要求10所述的方法，其中，所述客戶端設備請求所述敏感內容是對所述用戶和所述客戶端設備之間的交互做出的響應。
12.如權利要求10所述的方法，進一步包括所述安全元件在所述服務器設備上的網絡應用和所述安全元件之間建立加密的信道。
13.如權利要求12所述的方法，其中，所述服務器設備將所述敏感內容發(fā)送到所述客戶端設備包括:所述網絡應用經由所述加密的信道將所述敏感內容發(fā)送到所述安全元件。
14.如權利要求10所述的方法，其中，所述會話密鑰包括受保護音頻/視頻路徑(PAVP)會話密鑰。
15.如權利要求10所述的方法，進一步包括:所述顯示器針對將所述被渲染的內容視覺地呈現(xiàn)給所述用戶而使用高帶寬數字內容保護(HDCP)。
16.如權利要求10所述的方法，其中，所述顯示器與所述客戶端設備集成。
17.如權利要求10所述的方法，其中，所述客戶端設備包括由下列項目構成的組中的一個:筆記本電腦、手持計算設備、平板計算設備和智能電話。
18.—種系統(tǒng),包括: 服務器設備，被配置為執(zhí)行服務器應用、存儲敏感內容并且對請求和肯定認證做出響應而通過加密的信道發(fā)送所述敏感內容； 客戶端設備，被配置為運行瀏覽器應用，所述客戶端設備包括: 安全元件，被配置為在所述服務器設備上的網絡應用和所述安全元件之間建立所述加密的信道，并且通過所述加密的信道從所述服務器設備接收所述敏感內容且對所接收的敏感內容進行加密；以及 圖形芯片集，被配置為從所述安全元件接收被加密的渲染的內容；以及 顯示器，被配置為對從所述圖形芯片集接收的指令做出響應而將所述敏感內容視覺地呈現(xiàn)給所述用戶。
19.如權利要求18所述的系統(tǒng)，其中，所述顯示器與所述客戶端設備集成。
20.如權利要求18所述的系統(tǒng)，其中，所述顯示器與所述客戶端設備在物理上分離，并且其中，所述顯示器通過無線通信信道與所述客戶端設備進行通信。
21.如權利要求18所述的系統(tǒng)，其中，所述客戶端設備包括由下列項目構成的組中的一個:筆記本電腦、手持計算設備、平板計算設備和智能電話。
【文檔編號】H04L29/06GK104169940SQ201180076130
【公開日】2014年11月26日 申請日期:2011年12月29日 優(yōu)先權日:2011年12月29日
【發(fā)明者】V·費加德, J·馬丁, R·拉爾, M·謝勒, T·科倫貝格 申請人:英特爾公司