USB令牌上的密钥容器制造技术

通用串行总线（ＵＳＢ）兼容存储设备被用作用于存储密钥的安全令牌。处理器的密码子系统访问ＵＳＢ兼容存储设备上的容器中的密钥。访问包括存储和／或检索。处理器不包括ＵＳＢ兼容存储设备专用的基础结构。密钥存储从处理器内的容器重新定向到ＵＳＢ兼容存储设备。不需要口令或ＰＩＮ来访问密钥，而仍然提供增强的安全性。利用ＵＳＢ兼容存储设备作为密钥容器提供用于携带密钥的方便的、便携的机制，并且经由该设备的物理拥有来提供附加安全性。

【技术实现步骤摘要】
【国外来华专利技术】
本
一般涉及计算机处理，且更具体地涉及计算安全性。背景经由密码保护数据并非不常见。通常，使用密钥来加密和解密数据。因为 密钥提供保护数据的手段并提供对受保护数据的访问，所以密钥也被保护。不 受保护的密钥可向各种类型的攻击打开方便之门，如网站欺骗、扮演认证和伪 造电子邮件。保护密钥的一种尝试是将其存储在智能卡上。然而，这一尝试的问题是智 能卡需要在处理器上实现的、智能卡将与其通信的专用基础结构。通常，该基 础结构在处理器的操作系统中实现，并且因此可能需要相当多的努力和时间来 实现。同样，智能卡需要可能是大体积而且昂贵的智能卡阅读器形式的附加硬 件。保护密钥的另一尝试是将其存储在位于处理器上的受保护的容器内。通 常，对密钥的访问是受口令保护的。这一尝试的问题是口令保护被认为是较弱 的。获得对处理器的访问的攻击者可以通过使用口令破解器等来确定口令并获 得对存储在容器中的密钥的访问。概述提供本概述以便以简化的形式介绍将在以下说明性实施例的详细描述中 进一步描述的一些概念。本概述并不旨在标识出所要求保护的主题的关键特征 或必要特征，也不旨在用于限定所要求保护的主题的范围。密钥被存储在通用串行总线(USB)兼容存储设备中。USB兼容存储设 备不需要在处理器的操作系统中实现的、该USB兼容存储设备将与其通信的 专用基础结构。USB兼容存储设备不需要专用阅读器。密钥存储从处理器内的 容器重新定向到USB兼容存储设备。因此，USB兼容存储设备是用于存储密钥的安全令牌。在一示例实施例中，对USB兼容存储设备上的密钥的访问是经由安全执行环境来实现的。对USB兼容存储设备上的密钥的访问不必需要口令。附图简述以上概述以及以下详细描述在结合附图阅读时可被更好地理解。出于说明USB令牌上的密钥容器的目的，在附图中示出其各示例性构造；然而，USB令牌上的密钥容器不限于所公开的具体方法和手段。附图说明图1是用于访问USB令牌上的密钥容器的示例过程的流程图。 图2是用于实现USB令牌上的密钥容器的示例性处理器的图。 图3是其中可以实现提供USB令牌上的密钥容器的合适计算环境的描绘。说明性实施例的详细描述在通用串行总线(USB)兼容存储设备上实现密钥容器。USB兼容存储 设备被用作安全令牌。处理器的密码子系统访问(例如读、写、存储、检索) USB兼容存储设备上的容器中的密钥。不在处理器上实现访问USB兼容存储 设备上的密钥的USB兼容存储设备专用基础结构。在一示例实施例中，可以 在不需要个人识别号(PIN) 、 口令、交互式认证机制等的情况下访问密钥。 USB兼容存储设备上的密钥容器提供便携性，从而提供用于携带密钥的方便机 制。USB兼容存储设备上的密钥容器经由该设备的物理拥有来提供安全性。在 受保护的进程中访问和处理USB兼容存储设备上的密钥提供运行时安全性。图1是用于访问USB令牌上的密钥容器的示例过程的流程图。在步骤12 处，接收访问密钥的指示。在一示例实施例中，该指示是在用户和/或开发者与 其交互的处理器上接收到的。该指示可以是生成密钥、存储密钥、读取密钥或 其组合的结果。在步骤14处，搜索USB令牌。g卩，对其上存储有密钥容器的 USB兼容存储设备进行搜索。在步骤16处，如果找到USB令牌，则在步骤 18处访问其上存储的容器，并且在步骤20处访问其中存储的一个或多个密钥。在步骤16处，如果没有找到USB令牌，则在步骤22处提供提示。该提 示可以是任何适当的提示，如插入USB设备的指示等。取决于用户/开发者是偏爱利用USB兼容存储设备上的密钥容器还是偏爱利用处理器中存储的密钥 容器，用户/开发者可用各种方式对该提示作出响应。例如，如果用户/开发者偏爱利用USB兼容存储设备上的密钥容器，则该用户/开发者可以插入USB兼 容存储设备。处理器可以检测到这一插入。另选地，用户/开发者可以通过压下 键盘上的"Enter"键、点击鼠标等来提供要利用处理器内的密钥容器而非USB 兼容存储设备上的密钥容器的指示。在步骤24处，确定USB设备是否已被耦合到处理器。如果USB兼容存 储设备已经响应于插入USB设备的提示而耦合到处理器，则在步骤18处访问 其上存储的容器，并在步骤20处访问其中存储的一个或多个密钥。如果USB 兼容存储设备尚未耦合到处理器，则在步骤26处访问处理器内的容器，并且 在步骤20处访问其中存储的一个或多个密钥。在一示例配置中，处理器经由密码编程接口 (例如WINDOWS 兼容密码 应用程序编程接口 -CAPI、 VISTA 兼容密码下一代-CNG)与USB兼容存 储设备通信。在接收到访问密钥的指示(例如步骤12)时，密码编程接口 (例 如CAPI、 CNG)通过搜索USB兼容存储设备的索引以寻找密钥容器来搜索密 钥。如果未在处理器中存储的容器上找到作为用户/开发者简档的一部分的、用 于读取或删除访问的密钥，则密码编程接口还将搜索耦合到处理器的USB兼 容存储设备上的路径。密钥的默认生成可以利用USB兼容存储设备上的密钥容器，或者密钥的 生成可以是用户指定的。因此，在一示例实施例中，密钥的生成是基于注册表 值的。注册表值指示了密钥应被如何生成。因此，根据注册表值，密码编程接 口将只在指定USB兼容存储设备上、只在处理器中、或在用户/开发者指定的 位置上生成新密钥。可以使用任何适当的值来指示密钥生成方法。在一示例实施例中，密钥是在受保护的执行环境中访问的。受保护的执行 环境基本上隔离处理器的密码子系统。受保护的执行环境提供密钥和操作系统 之间的隔离。受保护的执行环境还提供密钥和在处理器上执行的应用程序之间 的隔离。因此，经由受保护的执行环境访问密钥通过在密钥和恶意软件和/或攻 击者之间添加另一层保护来提供附加安全性。在一示例实施例中，用户应用程 序无权直接访问USB令牌上的密钥，而相反通过本地RPC (远程过程调用)向受保护的密码进程发送密码请求。密码进程代表受保护的密码进程中的用户 应用程序访问USB令牌，以进行该用户应用程序所请求的操作(读、生成、使用诸如签名生成等密码操作等)。在受保护的密码进程之外，USB令牌上的密钥的秘密部分都不可获得，从而通过将用户进程对秘密密钥的访问只限于受保护的密码进程来隔离这些访问。在一示例配置中，为阻止对USB令牌的非 所需的直接访问，操作系统阻止用户进程访问USB令牌。图2是用于在USB兼容存储设备52上实现USB令牌上的密钥容器的 示例性处理器30的图。处理器30包括处理部分32、存储器部分34和输入 /输出部分36。器30不包括USB兼容存储设备52专用的基础结构。 处理部分32、存储器部分34和输入/输出部分36被耦合在一起(耦合未在 图2中示出)以允许它们之间的通信。输入/输出部分36能够提供和/或接 收被用来实现上述USB令牌上的密钥容器的组件。例如，输入/输出部分 36能够与USB兼容存储设备52通信。输入/输出部分36能够从USB兼容 存储设备52接收密钥，向USB兼容存储设备52提供密钥，或其组合。处理器30表示任何适当类型的处理器或可与USB兼容存储设备52 —起 利用的处理器。处理器30可以表示单个处理器或多个处理器。多个处理器可 以分布式或集本文档来自技高网...

【技术保护点】
一种用于访问密钥的方法，所述方法包括：　处理器接收访问密钥的指示；　搜索通用串行总线（ＵＳＢ）兼容存储设备；以及　如果找到ＵＳＢ兼容存储设备，则访问所述ＵＳＢ兼容存储设备上的密钥，其中访问包括存储和检索中的至少一个。

【技术特征摘要】
【国外来华专利技术】...

【专利技术属性】
技术研发人员：T阿卡，CM埃利森，
申请(专利权)人：微软公司，
类型：发明
国别省市：US[美国]