允许基于不同级别的解锁机制的各种设备访问制造技术

系统和方法可提供从设备的一个或多个解锁接口接收运行时输入，以及基于运行时输入从多个访问级别中选择针对设备的访问级别。选择的访问级别可具有相关联的安全策略，其中可基于相关联的安全策略进行对运行时输入的认证。在一个示例中，如果认证是成功的，则一个或多个密码密钥用于将设备置于针对选择的访问级别的解锁状态中。另一方面如果认证是不成功的，则可将设备维持在针对选择的访问级别的锁定状态中。

Allows access to various devices based on different levels of unlocking mechanism.

Systems and methods provide for receiving runtime input from one or more unlocked interfaces of a device, and selecting access levels for the device from multiple access levels based on runtime input. The selected access level may have an associated security policy in which the runtime input can be authenticated based on the associated security policy. In one example, if authentication is successful, one or more cryptographic keys are used to place the device in an unlocked state for the selected access level. On the other hand, if authentication is unsuccessful, the device can be maintained in a locked state for the selected access level.

【技术实现步骤摘要】
允许基于不同级别的解锁机制的各种设备访问本申请是2013年09月16日提交的申请号为201380044700.4的同名专利申请的分案申请。
实施例通常涉及计算设备安全。更特别地，实施例涉及允许基于不同级别的解锁机制的各种设备访问。
技术介绍
某些常规计算设备可以要么是锁定的(没有应用或数据是可访问的)要么是解锁的(所有应用和数据是完全可访问的)。因此，如果用户与另一个人共享设备，则一旦设备由用户解锁，另一个人就可访问敏感内容。虽然某些“集装箱化”应用可使数据能够通过额外的口令等被保护，在设备被解锁之后，这样的应用可能倾向于在性质上是静态的，且难以在设备共享情况中使用。附图说明通过阅读下面的说明书和所附权利要求和通过参考附图，本专利技术的实施例的各种优点将对本领域中的技术人员变得明显，其中：图1是根据实施例的设备的示例的方框图；图2是根据实施例的保护计算设备的方法的示例的流程图；图3是根据实施例的处理器的示例的方框图；以及图4是根据实施例的系统的示例的方框图。具体实施方式现在转到图1，示出设备10，其中多个解锁接口12(12a-12c)可用于建立对在设备10上可用的和/或存储在设备10上的内容14(14a-14c)的分层访问。解锁接口12也可用于基于用户的存在的随后监控、用信号表示再次锁定的愿望的手势、或在落在可接受的容忍水平之下的连续认证中的变化，来再次锁定设备10或内容14。设备10可以是例如台式计算机、笔记本计算机、个人数字助理(PDA)、移动互联网设备(MID)、智能平板、智能电话、媒体播放器、图像捕获设备、或其中任何组合。在所示示例中，从一个或多个解锁接口12接收运行时(runtime)输入，其中所述运行时输入可对应于访问设备10的用户尝试。例如，第一解锁接口12a可以是麦克风，用户可将语音命令呈送到麦克风，以便将设备10解锁，而第二解锁接口可以是使用户能够使用设备10/在设备10上执行基于手势的解锁运动(例如特定的轻击或摇动模式)的运动传感器(例如加速度计、陀螺仪)。类似地，第三解锁接口12c可包括使用户能够输入密码(例如1-4个数字PIN(个人识别号码))、复杂字母数字口令等的触摸屏、小键盘、键盘(例如软件或硬件)等。也可使用其它类型的解锁接口，例如位置传感器(例如全球定位系统/GPS、Wi-Fi、蓝牙)。此外，相对于由孤立的单个解锁接口实现的安全，来自解锁接口12的输入的组合可建立较高级别的安全。内容14可包括不同类型的数据和/或应用。例如，第一内容14a可包括天气信息源，而第二内容14b可包括个人银行网页应用和/或基本银行信息/cookie，例如帐号、银行登录证书等。此外，第三内容14c可包括高度敏感的公司文档，例如机密通信(例如电子邮件、电子文件)等。不是每当设备10被解锁时将所有内容14暴露给用户或实现静态数据容器以保护内容14，所示设备10实现基于不同级别的解锁机制的各种设备访问。在这个方面中，一些解锁机制可能记忆起来相对简单和/或相对容易使用，但可能没有高安全程度，而其它解锁机制可提供高安全程度，但可能更耗费时间来输入，且可能就用户而言需要更多的专注来完成。例如，语音命令、基于手势的和基于PIN的机制可能对于整个家庭使用来说是足够简单的。因此，那些解锁机制可用于认证访问最不敏感的第一内容14a的个人。另一方面，复杂的字母数字口令可能仅仅更适合于设备10的所有者，且因此用于认证访问更敏感的第二内容14b的用户。而且，解锁机制(例如基于手势的、基于PIN的和复杂字母数字口令)的组合可用于认证访问最敏感的第三内容14c的个人。更特别地，设备10可包括实现配置成从一个或多个解锁接口12接收运行时输入的请求模块18的处理器16。所示处理器16也实现具有级别确定逻辑22以基于运行时输入从多个访问级别中选择针对设备10的访问级别的策略模块20，其中选择的访问级别具有相关联的安全策略。在一个示例中，级别确定逻辑22将运行时输入和与内容14(例如数据和/或应用)相关联的元数据26进行比较，以选择访问级别。更特别地，元数据26可包括对应于多个访问级别的多个策略表达28(28a-28c)，其中级别确定逻辑22可确定运行时输入是否满足一个或多个策略表达28。例如，捕获安全级别的策略表示(其中涉及多因素认证)可使用第一阶布尔逻辑以构成策略。可以根据全局唯一的命名空间例如GUID(全局唯一标识符)或OID(对象标识符)树来列举每个认证因素类型。在一个示例中，标准主体可登记因素类型以确保互操作性(例如(GUID1和GUID2)或(GUID1和GUID3))。因此，策略表达可与作为元数据标签的应用或数据相关联。因此，第一策略表达28a可指示如果正确的解锁语音命令经由第一解锁接口12a(例如麦克风)被接收到、正确的解锁手势经由第二解锁接口12b(例如运动传感器)被检测到、或正确的解锁PIN经由第三解锁接口12c(例如触摸屏、小键盘、键盘)被接收到，则对第一内容14a的访问被准予。在这样的情况下，如果语音命令、解锁手势或PIN被检测到(例如布尔OR条件)，则级别确定逻辑22可选择对应于第一内容14a的访问级别。另一方面，第二策略表达28b可指示如果正确的解锁字母数字口令经由第三解锁接口12c被接收到，则对第二内容14b的访问被准予。在这样的情况下，如果字母数字口令被接收到，则级别确定逻辑22可选择对应于第二内容14b的访问的级别。类似地，第二策略表达28c可指示如果正确的解锁手势经由第二解锁接口12b被检测到、正确的解锁PIN经由第三解锁接口12c被接收到、以及正确的解锁字母数字口令经由第三解锁接口12c被接收到，则对第三内容14c的访问被准予。在这样的情况下，如果解锁手势被检测到、PIN被接收到且字母数字口令被接收到(例如布尔AND条件)，则级别确定逻辑22可选择对应于第三内容14c的访问的级别。而且，策略模块22可包括用户认证逻辑24以基于相关联的安全策略进行运行时输入的认证。可识别满足特定的解锁机制(例如语音命令、PIN、字母数字口令)所需的证书的相关联的安全策略也可在元数据26中被识别。因此，所示用户认证逻辑24将运行时输入与相关联的安全策略进行比较以进行认证。内容14和元数据26可使用例如数字签名(例如基于散列的消息认证代码/HMAC和/或Rivest、Shamir、Leonard/RSA)来密码地约束。在这样的情况下，用户认证逻辑24也可验证数字签名作为认证过程的部分。通常，密码术可用于维持内容14的机密性，如将更详细讨论的。在一个示例中，策略模块20和请求模块18在可信执行环境(例如融合安全引擎/CSE、可管理性引擎/ME、安全区域(secureenclave)/SE、硬件安全模块/HSM、安全元件、或TrustZone)中操作。这样的可信执行环境可以是嵌入式芯片集、可信操作系统(OS)环境等的部分。更特别地，策略模块20也可包括解锁逻辑30以使用一个或多个密码密钥32(32a-32c)来将设备10置于针对选择的访问级别的解锁状态中(如果认证是成功的)。将设备10置于解锁状态中可涉及将适当的密钥32释放到可存在于支持硬件36(例如安全处理元件)上的密码模块34。例如，如果对应于第二内容本文档来自技高网...

【技术保护点】
1.一种计算设备，包括：所述计算设备的硬件处理器；与所述硬件处理器耦合的多个解锁接口，其中所述多个解锁接口使得能够使用与用户的认证有关的运行时输入，并且基于以下中的一个或多个来再次锁定所述计算设备或所述计算设备上存储的数据中的一个或多个：所述用户的存在的随后监控、用信号表示再次锁定的愿望的一个或多个手势、或在落在可接受的容忍水平之下的连续认证中的变化；以及策略模块，包括：级别确定逻辑，其基于所述运行时输入选择针对所述计算设备的多个访问级别中的访问级别，其中不同的访问级别基于所述多个解锁接口的不同组合，以及用户认证逻辑，其基于所选择的访问级别进行所述运行时输入的认证；以及与所述硬件处理器耦合的安全处理器，所述安全处理器包括密码硬件模块，其使用一个或多个密码密钥来执行密码操作。

【技术特征摘要】
2012.09.28 US 13/630,1001.一种计算设备，包括：所述计算设备的硬件处理器；与所述硬件处理器耦合的多个解锁接口，其中所述多个解锁接口使得能够使用与用户的认证有关的运行时输入，并且基于以下中的一个或多个来再次锁定所述计算设备或所述计算设备上存储的数据中的一个或多个：所述用户的存在的随后监控、用信号表示再次锁定的愿望的一个或多个手势、或在落在可接受的容忍水平之下的连续认证中的变化；以及策略模块，包括：级别确定逻辑，其基于所述运行时输入选择针对所述计算设备的多个访问级别中的访问级别，其中不同的访问级别基于所述多个解锁接口的不同组合，以及用户认证逻辑，其基于所选择的访问级别进行所述运行时输入的认证；以及与所述硬件处理器耦合的安全处理器，所述安全处理器包括密码硬件模块，其使用一个或多个密码密钥来执行密码操作。2.根据权利要求1所述的计算设备，其中所述策略模块还包括：解锁逻辑，如果所述认证是成功的，所述解锁逻辑使用所述一个或多个密码密钥和所述密码硬件模块来将所述设备置于针对所述选择的访问级别的解锁状态中，以及锁定逻辑，如果所述认证是不成功的，所述锁定逻辑将所述设备维持在针对所述选择的访问级别的锁定状态中。3.根据权利要求2所述的计算设备，其中如果超时条件被满足，则所述锁定逻辑将所述计算设备置于针对所述选择的访问级别的锁定状态中。4.根据权利要求2所述的计算设备，其中如果所述用户的认证状态的变化发生改变，则所述锁定逻辑将所述计算设备置于针对所述选择的访问级别的锁定状态中。5.根据权利要求2所述的计算设备，其中所述锁定逻辑从所述密码硬件模块移除所述一个或多个密码密钥以进入所述锁定状态。6.根据权利要求1所述的计算设备，其中所述多个访问级别中的两个或更多个与不同的超时条件相关联。7.根据权利要求1所述的计算设备，其中所述策略模块将在可信执行环境中执行。8.根据权利要求1所述的计算设备，其中所述策略模块实施第一阶布尔逻辑。9.根据权利要求1所述的计算设备，其中所述级别确定逻辑将所述运行时输入和与存储在所述计算设备上的数据相关联的元数据进行比较以选择所述访问级别。10.根据权利要求9所述的计算设备，其中所述元数据包括对应于所述多个访问级别的多个策略表达，并且其中所述级别确定逻辑确定所述运行时输入是否满足所述多个策略表达中的一个或多个。11.根据权利要求9所述的计算设备，其中所述元数据和存储在所述计算设备上的所述数据是使用数字签名来密码地约束的，并且其中所述用户认证逻辑验证所述数字签名。12.根据权利要求1所述的计算设备，其中所述多个解锁接口包括触摸屏、小键盘、键盘、麦克风、运动传感器和位置传感器中的两个或更多个。13.一种方法，包括：在处理器的策略模块中，从包括所述处理器的设备的多个解锁接口中的一个或多个接收运行时输入，其中...

【专利技术属性】
技术研发人员：K·希皮，T·科伦贝格，M·米安，N·史密斯，O·本沙洛姆，T·维斯瓦纳坦，D·摩根，T·维罗尔，M·戴夫，E·比尔克，
申请(专利权)人：英特尔公司，
类型：发明
国别省市：美国,US