要求優(yōu)先權(quán)

本申請要求2016年4月7日遞交的美國專利申請no.15/093,183的優(yōu)先權(quán)，其全部內(nèi)容通過引用并入本文。

本公開的實(shí)施例涉及控制對計(jì)算設(shè)備上的應(yīng)用數(shù)據(jù)的訪問。

背景技術(shù)：

安全平臺為在計(jì)算設(shè)備上運(yùn)行的安全應(yīng)用的部署和管理提供了架構(gòu)。安全應(yīng)用使企業(yè)能夠?qū)⒚舾袛?shù)據(jù)部署到相應(yīng)的計(jì)算設(shè)備，并以安全的方式遠(yuǎn)程管理敏感數(shù)據(jù)。例如，這樣的管理可以包括在計(jì)算設(shè)備受到損害的情況下或者在計(jì)算設(shè)備的用戶離開企業(yè)的雇用的情況下遠(yuǎn)程刪除敏感數(shù)據(jù)。

由移動(dòng)設(shè)備上運(yùn)行的安全應(yīng)用管理的至少一些數(shù)據(jù)以加密格式存儲。可以使用本領(lǐng)域已知的方法來對數(shù)據(jù)進(jìn)行加密。例如，可以在“容器化”技術(shù)中使用加密，根據(jù)該技術(shù)數(shù)據(jù)被加密并且服從各種訪問策略，這些訪問策略被應(yīng)用于控制用戶如何以及何時(shí)可以訪問容器內(nèi)的數(shù)據(jù)。例如，如果遠(yuǎn)程用戶(例如已經(jīng)部署了安全應(yīng)用的的管理員)需要，則訪問策略可以被確定和改變。

以這種方式采用安全應(yīng)用的安全平臺的示例是由美國加州sunnyvale的goodtechnology^tm開發(fā)的gooddynamics^tm移動(dòng)平臺。

技術(shù)實(shí)現(xiàn)要素：

根據(jù)本公開的第一方面，提供了一種控制對與在計(jì)算設(shè)備上配置的應(yīng)用相關(guān)聯(lián)的應(yīng)用數(shù)據(jù)的訪問的方法，所述方法包括：針對與所述應(yīng)用相關(guān)聯(lián)的多個(gè)訪問級別中的每一個(gè)訪問級別存儲數(shù)據(jù)，所述數(shù)據(jù)包括對與相應(yīng)訪問級別相關(guān)聯(lián)的一個(gè)或多個(gè)憑證的組合加以指示的第一數(shù)據(jù)和與所述相應(yīng)訪問級別相對應(yīng)的訪問級別密鑰，所述訪問級別密鑰是通過與所述相應(yīng)訪問級別相關(guān)聯(lián)的所述一個(gè)或多個(gè)憑證的組合加密的；基于所述第一數(shù)據(jù)確定所述多個(gè)訪問級別中與所述應(yīng)用可用的一個(gè)或多個(gè)憑證的組合相對應(yīng)的訪問級別；使用所述應(yīng)用可用的所述一個(gè)或多個(gè)憑證的組合來對所存儲的數(shù)據(jù)中的與所確定的訪問級別相對應(yīng)的訪問級別密鑰進(jìn)行解密；以及至少部分地使用與所確定的訪問級別相對應(yīng)的經(jīng)解密的訪問級別密鑰來提供對與所述應(yīng)用相關(guān)聯(lián)并且與所確定的訪問級別相對應(yīng)的經(jīng)加密的應(yīng)用數(shù)據(jù)的訪問。

根據(jù)一些實(shí)施例，針對所確定的訪問級別，所存儲的數(shù)據(jù)包括與所述多個(gè)訪問級別中從屬于所確定的訪問級別的一個(gè)或多個(gè)訪問級別相對應(yīng)的一個(gè)或多個(gè)訪問級別密鑰，所述一個(gè)或多個(gè)訪問級別密鑰中的每個(gè)訪問級別密鑰是使用與所確定的訪問級別相對應(yīng)的訪問級別密鑰加密的，所述方法包括：使用與所確定的訪問級別相對應(yīng)的經(jīng)解密的訪問級別密鑰來對與從屬于所確定的訪問級別的所述一個(gè)或多個(gè)訪問級別相對應(yīng)的所述一個(gè)或多個(gè)訪問級別密鑰進(jìn)行解密；以及至少部分地使用與從屬于所確定的訪問級別的所述一個(gè)或多個(gè)訪問級別相對應(yīng)的所述一個(gè)或多個(gè)經(jīng)解密的訪問級別密鑰來提供對與所述應(yīng)用相關(guān)聯(lián)并且與所述一個(gè)或多個(gè)從屬訪問級別相對應(yīng)的經(jīng)加密的應(yīng)用數(shù)據(jù)的訪問。

根據(jù)一些實(shí)施例，針對與所述應(yīng)用相關(guān)聯(lián)的所述多個(gè)訪問級別中的每一個(gè)訪問級別，所存儲的數(shù)據(jù)包括與相應(yīng)訪問級別相對應(yīng)的一個(gè)或多個(gè)應(yīng)用數(shù)據(jù)密鑰，所述一個(gè)或多個(gè)應(yīng)用數(shù)據(jù)密鑰中的每個(gè)應(yīng)用數(shù)據(jù)密鑰是通過與所述相應(yīng)訪問級別相對應(yīng)的訪問級別密鑰加密的，所述方法包括：使用與所確定的訪問級別相對應(yīng)的經(jīng)解密的訪問級別密鑰來對與所確定的訪問級別相對應(yīng)的所述一個(gè)或多個(gè)應(yīng)用數(shù)據(jù)密鑰進(jìn)行解密；以及使用所述一個(gè)或多個(gè)經(jīng)解密的應(yīng)用數(shù)據(jù)密鑰來對與所述應(yīng)用相關(guān)聯(lián)并且與所確定的訪問級別相對應(yīng)的經(jīng)加密的應(yīng)用數(shù)據(jù)進(jìn)行解密。

根據(jù)一些實(shí)施例，針對與所述應(yīng)用相關(guān)聯(lián)的所述多個(gè)訪問級別中的每一個(gè)訪問級別，所存儲的數(shù)據(jù)包括與相應(yīng)訪問級別相對應(yīng)的一個(gè)或多個(gè)應(yīng)用數(shù)據(jù)密鑰，所述一個(gè)或多個(gè)應(yīng)用數(shù)據(jù)密鑰中的每個(gè)應(yīng)用數(shù)據(jù)密鑰是通過與所述相應(yīng)訪問級別相對應(yīng)的訪問級別密鑰加密的，所述方法包括：使用與所確定的訪問級別相對應(yīng)的經(jīng)解密的訪問級別密鑰來對與所確定的訪問級別相對應(yīng)的所述一個(gè)或多個(gè)應(yīng)用數(shù)據(jù)密鑰進(jìn)行解密；使用與從屬于所確定的訪問級別的所述一個(gè)或多個(gè)訪問級別相對應(yīng)的所述一個(gè)或多個(gè)經(jīng)解密的訪問級別密鑰來對與從屬于所確定的訪問級別的所述一個(gè)或多個(gè)訪問級別相對應(yīng)的所述一個(gè)或多個(gè)應(yīng)用數(shù)據(jù)密鑰進(jìn)行解密；使用所述一個(gè)或多個(gè)經(jīng)解密的應(yīng)用數(shù)據(jù)密鑰來對與所述應(yīng)用相關(guān)聯(lián)并且與所確定的訪問級別相對應(yīng)的經(jīng)加密的應(yīng)用數(shù)據(jù)進(jìn)行解密；以及使用與從屬于所確定的訪問級別的所述一個(gè)或多個(gè)訪問級別相對應(yīng)的所述一個(gè)或多個(gè)經(jīng)解密的應(yīng)用數(shù)據(jù)密鑰來對與所述應(yīng)用相關(guān)聯(lián)并且與從屬于所確定的訪問級別的所述一個(gè)或多個(gè)訪問級別相對應(yīng)的經(jīng)加密的應(yīng)用數(shù)據(jù)進(jìn)行解密。

根據(jù)一些實(shí)施例，所存儲的數(shù)據(jù)包括通過與同所述應(yīng)用相關(guān)聯(lián)的最高訪問級別相對應(yīng)的訪問級別密鑰加密的主密鑰和通過所述主密鑰加密的與同所述應(yīng)用相關(guān)聯(lián)的最高訪問級別相對應(yīng)的訪問級別密鑰，所述方法包括：響應(yīng)于用來創(chuàng)建在與所述應(yīng)用相關(guān)聯(lián)的最高訪問級別之上的新訪問級別的指令，在所述應(yīng)用處接收與所述新訪問級別相對應(yīng)的一個(gè)或多個(gè)憑證的新組合；部分地基于在應(yīng)用處接收到的所述一個(gè)或多個(gè)憑證的新組合，生成與所述新訪問級別相對應(yīng)的新訪問級別密鑰；使用與同所述應(yīng)用相關(guān)聯(lián)的最高訪問級別相對應(yīng)的訪問級別密鑰來對所述主密鑰進(jìn)行解密；使用經(jīng)解密的主密鑰來對與所述新訪問級別相對應(yīng)的所述新訪問級別密鑰進(jìn)行加密；以及將經(jīng)加密的新訪問級別密鑰與所述新訪問級別相關(guān)聯(lián)地存儲在所存儲的數(shù)據(jù)中。

根據(jù)一些實(shí)施例，所述方法還包括：使用與所述新訪問級別相對應(yīng)的新級別密鑰來對經(jīng)解密的主密鑰進(jìn)行加密；以及將經(jīng)加密的主密鑰與所述新訪問級別相關(guān)聯(lián)地存儲在所存儲的數(shù)據(jù)中。

根據(jù)一些實(shí)施例，用來創(chuàng)建新訪問級別的指令是從遠(yuǎn)離所述計(jì)算設(shè)備的服務(wù)器接收的。

根據(jù)一些實(shí)施例，所述第一數(shù)據(jù)包括指示所述一個(gè)或多個(gè)憑證的組合的元數(shù)據(jù)。

根據(jù)本公開的第二方面，提供了一種非暫時(shí)性計(jì)算機(jī)可讀存儲介質(zhì)，包括計(jì)算機(jī)可執(zhí)行指令，所述計(jì)算機(jī)可執(zhí)行指令當(dāng)由處理器執(zhí)行時(shí)，使計(jì)算設(shè)備執(zhí)行控制對與配置在所述計(jì)算設(shè)備上的應(yīng)用相關(guān)聯(lián)的應(yīng)用數(shù)據(jù)的訪問的方法，所述方法包括：針對與所述應(yīng)用相關(guān)聯(lián)的多個(gè)訪問級別中的每一個(gè)訪問級別存儲數(shù)據(jù)，所述數(shù)據(jù)包括對與相應(yīng)訪問級別相關(guān)聯(lián)的一個(gè)或多個(gè)憑證的組合加以指示的第一數(shù)據(jù)和與所述相應(yīng)訪問級別相對應(yīng)的訪問級別密鑰，所述訪問級別密鑰是通過與所述相應(yīng)訪問級別相關(guān)聯(lián)的所述一個(gè)或多個(gè)憑證的組合加密的；基于所述第一數(shù)據(jù)確定所述多個(gè)訪問級別中與所述應(yīng)用可用的一個(gè)或多個(gè)憑證的組合相對應(yīng)的訪問級別；使用所述應(yīng)用可用的所述一個(gè)或多個(gè)憑證的組合來對所存儲的數(shù)據(jù)中的與所確定的訪問級別相對應(yīng)的訪問級別密鑰進(jìn)行解密；以及至少部分地使用與所確定的訪問級別相對應(yīng)的經(jīng)解密的訪問級別密鑰來提供對與所述應(yīng)用相關(guān)聯(lián)并且與所確定的訪問級別相對應(yīng)的經(jīng)加密的應(yīng)用數(shù)據(jù)的訪問。

根據(jù)一些實(shí)施例，針對所確定的訪問級別，所存儲的數(shù)據(jù)包括與所述多個(gè)訪問級別中從屬于所確定的訪問級別的一個(gè)或多個(gè)訪問級別相對應(yīng)的一個(gè)或多個(gè)訪問級別密鑰，所述一個(gè)或多個(gè)訪問級別密鑰中的每個(gè)訪問級別密鑰是使用與所確定的訪問級別相對應(yīng)的訪問級別密鑰加密的，所述方法包括：使用與所確定的訪問級別相對應(yīng)的經(jīng)解密的訪問級別密鑰來對與從屬于所確定的訪問級別的所述一個(gè)或多個(gè)訪問級別相對應(yīng)的所述一個(gè)或多個(gè)訪問級別密鑰進(jìn)行解密；以及至少部分地使用與從屬于所確定的訪問級別的所述一個(gè)或多個(gè)訪問級別相對應(yīng)的所述一個(gè)或多個(gè)經(jīng)解密的訪問級別密鑰來提供對與所述應(yīng)用相關(guān)聯(lián)并且與所述一個(gè)或多個(gè)從屬訪問級別相對應(yīng)的經(jīng)加密的應(yīng)用數(shù)據(jù)的訪問。

根據(jù)一些實(shí)施例，針對與所述應(yīng)用相關(guān)聯(lián)的所述多個(gè)訪問級別中的每一個(gè)訪問級別，所存儲的數(shù)據(jù)包括與相應(yīng)訪問級別相對應(yīng)的一個(gè)或多個(gè)應(yīng)用數(shù)據(jù)密鑰，所述一個(gè)或多個(gè)應(yīng)用數(shù)據(jù)密鑰中的每個(gè)應(yīng)用數(shù)據(jù)密鑰是通過與所述相應(yīng)訪問級別相對應(yīng)的訪問級別密鑰加密的，所述方法包括：使用與所確定的訪問級別相對應(yīng)的經(jīng)解密的訪問級別密鑰來對與所確定的訪問級別相對應(yīng)的所述一個(gè)或多個(gè)應(yīng)用數(shù)據(jù)密鑰進(jìn)行解密；使用所述一個(gè)或多個(gè)經(jīng)解密的應(yīng)用數(shù)據(jù)密鑰來對與所述應(yīng)用相關(guān)聯(lián)并且與所確定的訪問級別相對應(yīng)的經(jīng)加密的應(yīng)用數(shù)據(jù)進(jìn)行解密。

根據(jù)一些實(shí)施例，針對與所述應(yīng)用相關(guān)聯(lián)的所述多個(gè)訪問級別中的每一個(gè)訪問級別，所存儲的數(shù)據(jù)包括與相應(yīng)訪問級別相對應(yīng)的一個(gè)或多個(gè)應(yīng)用數(shù)據(jù)密鑰，所述一個(gè)或多個(gè)應(yīng)用數(shù)據(jù)密鑰中的每個(gè)應(yīng)用數(shù)據(jù)密鑰是通過與所述相應(yīng)訪問級別相對應(yīng)的訪問級別密鑰加密的，所述方法包括：使用與所確定的訪問級別相對應(yīng)的經(jīng)解密的訪問級別密鑰來對與所確定的訪問級別相對應(yīng)的所述一個(gè)或多個(gè)應(yīng)用數(shù)據(jù)密鑰進(jìn)行解密；使用與從屬于所確定的訪問級別的所述一個(gè)或多個(gè)訪問級別相對應(yīng)的所述一個(gè)或多個(gè)經(jīng)解密的訪問級別密鑰來對與從屬于所確定的訪問級別的所述一個(gè)或多個(gè)訪問級別相對應(yīng)的所述一個(gè)或多個(gè)應(yīng)用數(shù)據(jù)密鑰進(jìn)行解密；使用所述一個(gè)或多個(gè)經(jīng)解密的應(yīng)用數(shù)據(jù)密鑰來對與所述應(yīng)用相關(guān)聯(lián)并且與所確定的訪問級別相對應(yīng)的經(jīng)加密的應(yīng)用數(shù)據(jù)進(jìn)行解密；以及使用與從屬于所確定的訪問級別的所述一個(gè)或多個(gè)訪問級別相對應(yīng)的所述一個(gè)或多個(gè)經(jīng)解密的應(yīng)用數(shù)據(jù)密鑰來對與所述應(yīng)用相關(guān)聯(lián)并且與從屬于所確定的訪問級別的所述一個(gè)或多個(gè)訪問級別相對應(yīng)的經(jīng)加密的應(yīng)用數(shù)據(jù)進(jìn)行解密。

根據(jù)一些實(shí)施例，所存儲的數(shù)據(jù)包括通過與同所述應(yīng)用相關(guān)聯(lián)的最高訪問級別相對應(yīng)的訪問級別密鑰加密的主密鑰和通過所述主密鑰加密的與同所述應(yīng)用相關(guān)聯(lián)的最高訪問級別相對應(yīng)的訪問級別密鑰，所述方法包括：響應(yīng)于用來創(chuàng)建在與所述應(yīng)用相關(guān)聯(lián)的最高訪問級別之上的新訪問級別的指令，在所述應(yīng)用處接收與所述新訪問級別相對應(yīng)的一個(gè)或多個(gè)憑證的新組合；部分地基于在應(yīng)用處接收到的所述一個(gè)或多個(gè)憑證的新組合，生成與所述新訪問級別相對應(yīng)的新訪問級別密鑰；使用與同所述應(yīng)用相關(guān)聯(lián)的最高訪問級別相對應(yīng)的訪問級別密鑰來對所述主密鑰進(jìn)行解密；使用經(jīng)解密的主密鑰來對與所述新訪問級別相對應(yīng)的所述新訪問級別密鑰進(jìn)行加密；以及將經(jīng)加密的新訪問級別密鑰與所述新訪問級別相關(guān)聯(lián)地存儲在所存儲的數(shù)據(jù)中。

根據(jù)權(quán)利要求12所述的非暫時(shí)性計(jì)算機(jī)可讀存儲介質(zhì)，其中，所述方法還包括：使用與所述新訪問級別相對應(yīng)的新級別密鑰來對經(jīng)解密的主密鑰進(jìn)行加密；以及將經(jīng)加密的主密鑰與所述新訪問級別相關(guān)聯(lián)地存儲在所存儲的數(shù)據(jù)中。

根據(jù)一些實(shí)施例，用來創(chuàng)建新訪問級別的指令是從遠(yuǎn)離所述計(jì)算設(shè)備的服務(wù)器接收的。

根據(jù)一些實(shí)施例，所述第一數(shù)據(jù)包括指示所述一個(gè)或多個(gè)憑證的組合的元數(shù)據(jù)。

附圖說明

本發(fā)明的其它特征和優(yōu)點(diǎn)將根據(jù)以下參考附圖僅作為示例給出的本發(fā)明的優(yōu)選實(shí)施例的描述而變得顯而易見。

圖1是示出了根據(jù)第一實(shí)施例的包括應(yīng)用的計(jì)算設(shè)備的示意圖。

圖2a是示出了根據(jù)實(shí)施例的定義訪問策略的第一策略數(shù)據(jù)結(jié)構(gòu)的示意圖。

圖2b是示出了根據(jù)實(shí)施例的定義憑證策略的第二策略數(shù)據(jù)結(jié)構(gòu)的示意圖。

圖3a是示出了根據(jù)實(shí)施例的存儲訪問級別密鑰的第一密鑰數(shù)據(jù)結(jié)構(gòu)的示意圖。

圖3b是示出了根據(jù)實(shí)施例的存儲容器級別密鑰的第二密鑰數(shù)據(jù)結(jié)構(gòu)的示意圖。

圖4是示出了根據(jù)實(shí)施例的控制對應(yīng)用數(shù)據(jù)的訪問的方法的流程圖。

圖5是示出了根據(jù)第二實(shí)施例的包括應(yīng)用的計(jì)算設(shè)備的示意圖。

圖6是示出了根據(jù)第三實(shí)施例的包括應(yīng)用的計(jì)算設(shè)備的示意圖。

圖7是示出了根據(jù)實(shí)施例的計(jì)算設(shè)備的示意圖。

在附圖中，為了清楚起見，出現(xiàn)在兩個(gè)或更多個(gè)附圖上的組件、步驟和特征已被指派了相同的附圖標(biāo)記。

具體實(shí)施方式

圖1是示出了根據(jù)實(shí)施例的包括應(yīng)用110的計(jì)算設(shè)備100的示意圖，該應(yīng)用110被配置為選擇性地提供對應(yīng)用數(shù)據(jù)114的訪問。應(yīng)用110被配置為與配置在計(jì)算設(shè)備100上的操作系統(tǒng)124進(jìn)行交互，并且包括應(yīng)用運(yùn)行時(shí)間112(即，由操作系統(tǒng)124執(zhí)行的運(yùn)行時(shí)間進(jìn)程)以及存儲在計(jì)算設(shè)備100的持久性存儲器(未示出)中的應(yīng)用數(shù)據(jù)114和管理數(shù)據(jù)116。應(yīng)用數(shù)據(jù)114包括在執(zhí)行期間由應(yīng)用運(yùn)行時(shí)間112使用或生成的數(shù)據(jù)。應(yīng)用數(shù)據(jù)114包括多個(gè)數(shù)據(jù)結(jié)構(gòu)114-1至114-4(以下稱為“容器”)，其中應(yīng)用數(shù)據(jù)114可以被隔離并以經(jīng)加密格式安全地存儲在所述多個(gè)數(shù)據(jù)結(jié)構(gòu)114-1至114-4中，以防止未經(jīng)授權(quán)的訪問。在這方面，將應(yīng)用數(shù)據(jù)114隔離到多個(gè)容器114-1至114-4中可以基于為應(yīng)用數(shù)據(jù)114定義的多個(gè)數(shù)據(jù)類別，如下面更詳細(xì)地討論的。類似地，管理數(shù)據(jù)116可以包括數(shù)據(jù)結(jié)構(gòu)(以下稱為“管理容器”)，在該數(shù)據(jù)結(jié)構(gòu)中存儲了用于控制與應(yīng)用110相關(guān)聯(lián)的配置和功能的數(shù)據(jù)。

應(yīng)用運(yùn)行時(shí)間112使用本領(lǐng)域已知的加密技術(shù)(如由美國國家標(biāo)準(zhǔn)與技術(shù)研究所建立的高級加密標(biāo)準(zhǔn)(aes)中規(guī)定的那些技術(shù))將應(yīng)用數(shù)據(jù)114安全地存儲在容器114-1至114-4中。在這種上下文中，每個(gè)安全容器114-1至114-4表示配置在非易失性存儲器中并與應(yīng)用110相關(guān)聯(lián)的安全存儲區(qū)域。每個(gè)安全容器114-1至114-4可以采用包括鎖定狀態(tài)和解鎖狀態(tài)的多種狀態(tài)(以下稱為“鎖狀態(tài)”)。當(dāng)處于鎖定狀態(tài)時(shí)，存儲在容器114-1至114-4中的應(yīng)用數(shù)據(jù)114被加密，并且不能由相關(guān)聯(lián)的應(yīng)用運(yùn)行時(shí)間112或在計(jì)算設(shè)備100上運(yùn)行的任何其他進(jìn)程訪問。相反，當(dāng)容器114-1至114-4處于解鎖狀態(tài)時(shí)，存儲在容器114-1至114-4中的應(yīng)用數(shù)據(jù)114被解密(例如，明文)，并且可以由對應(yīng)的應(yīng)用運(yùn)行時(shí)間112訪問。每個(gè)容器114-1至114-4的加密和解密由應(yīng)用運(yùn)行時(shí)間112使用對應(yīng)于相應(yīng)容器114-1至114-4的密碼密鑰(以下稱為“容器密鑰”或“應(yīng)用數(shù)據(jù)密鑰”)來執(zhí)行。容器密鑰是根據(jù)應(yīng)用運(yùn)行時(shí)間112可用的一個(gè)或多個(gè)憑證的組合導(dǎo)出的，如下面更詳細(xì)地討論的。在這方面，應(yīng)當(dāng)理解，可以通過應(yīng)用運(yùn)行時(shí)間112獨(dú)立地控制多個(gè)容器114-1至114-4中的每一個(gè)的鎖狀態(tài)。

如上所述，應(yīng)用110為應(yīng)用數(shù)據(jù)114中的數(shù)據(jù)定義多個(gè)數(shù)據(jù)類別。每個(gè)數(shù)據(jù)類別與相應(yīng)的容器114-1至114-4相關(guān)聯(lián)，容器114-1至114-4進(jìn)而提供應(yīng)用運(yùn)行時(shí)間112可用于存儲應(yīng)用數(shù)據(jù)114的一個(gè)或多個(gè)數(shù)據(jù)結(jié)構(gòu)。在圖1所示的特定示例中，容器114-1存儲“類別a”數(shù)據(jù)，容器114-2存儲“類別b”數(shù)據(jù)，容器114-3存儲“類別c”數(shù)據(jù)，容器114-4存儲“類別d”數(shù)據(jù)。

應(yīng)用運(yùn)行時(shí)間112被配置為根據(jù)相關(guān)聯(lián)的數(shù)據(jù)類別以及由應(yīng)用110在非易失性存儲設(shè)備中存儲的策略數(shù)據(jù)118中定義的一個(gè)或多個(gè)策略來管理每個(gè)容器114-1至114-4的鎖狀態(tài)。具體地，分別存儲在容器114-1至114-4中的每個(gè)類別的數(shù)據(jù)與策略數(shù)據(jù)118中定義的訪問級別相關(guān)聯(lián)。例如，訪問策略可以將類別a數(shù)據(jù)定義為訪問級別0(在圖1中稱為“l(fā)0”)，將類別b數(shù)據(jù)定義為訪問級別1(在圖1中稱為“l(fā)1”)，將類別c數(shù)據(jù)定義為訪問級別2(在圖1中稱為“l(fā)2”)，并且將類別d數(shù)據(jù)定義為訪問級別3(在圖1中稱為“l(fā)3”)。在這種上下文中，l0訪問級別表示訪問策略中定義的最低敏感性訪問級別，l3訪問級別表示訪問策略中定義的最高敏感性訪問級別。根據(jù)一些實(shí)施例，由策略數(shù)據(jù)118定義的訪問策略還可以定義默認(rèn)訪問級別，所述默認(rèn)訪問級別應(yīng)用于策略數(shù)據(jù)118中沒有針對其明確定義訪問級別的數(shù)據(jù)類別。

與應(yīng)用110相關(guān)聯(lián)的策略數(shù)據(jù)118還定義了憑證策略，該憑證策略指定訪問每個(gè)相應(yīng)訪問級別所需的憑證的組合。例如，憑證策略可以定義：在不需要任何憑證的情況下可以訪問與l0訪問級別相關(guān)聯(lián)的應(yīng)用數(shù)據(jù)114(即，存儲在容器114-1中的類別a數(shù)據(jù))，當(dāng)計(jì)算設(shè)備100連接到特定局域網(wǎng)(以下稱為“l(fā)an憑證”)時(shí)可以訪問與l1訪問級別相關(guān)聯(lián)的應(yīng)用數(shù)據(jù)114(即，存儲在容器114-2中的類別b數(shù)據(jù))，當(dāng)用戶將特定密碼(以下稱為“密碼憑證”)提供給應(yīng)用時(shí)可以訪問與l2訪問級別相關(guān)聯(lián)的應(yīng)用數(shù)據(jù)114(即，存儲在容器114-3中的類別c數(shù)據(jù))，以及當(dāng)應(yīng)用運(yùn)行時(shí)間112有權(quán)訪問密碼憑證和lan憑證的組合(即，憑證的組合)時(shí)可以訪問與l3訪問級別相關(guān)聯(lián)的應(yīng)用數(shù)據(jù)114(即，存儲在容器114-4中的類別d數(shù)據(jù))。

如上所述，使用與相應(yīng)容器114-1至114-4相對應(yīng)的容器密鑰對存儲在容器114-1至114-4中的每一個(gè)中的應(yīng)用數(shù)據(jù)114進(jìn)行加密和解密。容器密鑰作為密鑰數(shù)據(jù)120安全地存儲在與應(yīng)用110相關(guān)聯(lián)的非易失性存儲器中。具體地說，根據(jù)反映由策略數(shù)據(jù)118定義的訪問級別策略和憑證策略的結(jié)構(gòu)，將容器密鑰存儲在密鑰數(shù)據(jù)120中。換句話說，密鑰數(shù)據(jù)120被配置為使得在假定對與策略數(shù)據(jù)118中定義的特定訪問級別相對應(yīng)的憑證的特定組合的訪問的情況下，應(yīng)用運(yùn)行時(shí)間112能夠根據(jù)密鑰數(shù)據(jù)120獲取指派給與特定訪問級別或更低訪問級別相對應(yīng)的數(shù)據(jù)類別的容器114-1至114-4中的每一個(gè)的容器密鑰，但是不能根據(jù)密鑰數(shù)據(jù)120獲取指派給高于特定訪問級別的訪問級別處的數(shù)據(jù)類別的任何容器114-1至114-4的憑證密鑰。例如，密鑰數(shù)據(jù)120可以被配置為使得在假定對與l2訪問級別相對應(yīng)的憑證的組合的訪問的情況下，應(yīng)用運(yùn)行時(shí)間112能夠訪問容器114-1(即，類別a應(yīng)用數(shù)據(jù))、容器114-2(即，類別b應(yīng)用數(shù)據(jù))和容器114-3(即，類別c應(yīng)用數(shù)據(jù))的容器密鑰，但不能訪問容器114-4的憑證密鑰(即類別d應(yīng)用數(shù)據(jù))。在這種上下文中，當(dāng)前可用于應(yīng)用運(yùn)行時(shí)間112的一個(gè)或多個(gè)憑證可以被稱為“認(rèn)證狀態(tài)”，與給定的憑證組合相對應(yīng)的訪問級別可以被稱為“當(dāng)前訪問級別”，并且低于當(dāng)前訪問級別的每個(gè)訪問級別可以被稱為“從屬訪問級別”。

如上所述，應(yīng)用110的認(rèn)證狀態(tài)取決于在需要對應(yīng)用數(shù)據(jù)114的訪問時(shí)可用于應(yīng)用運(yùn)行時(shí)間112的一個(gè)或多個(gè)憑證。在這方面，應(yīng)用運(yùn)行時(shí)間112被配置為利用由操作系統(tǒng)124提供的一個(gè)或多個(gè)接口126來接收和存儲(例如，在非易失性存儲器中)一個(gè)或多個(gè)憑證。例如，應(yīng)用運(yùn)行時(shí)間112可以利用一個(gè)或多個(gè)接口126來接收來自計(jì)算設(shè)備100的用戶的輸入(即，“用戶憑證”)、關(guān)于計(jì)算設(shè)備100或操作系統(tǒng)124的狀態(tài)或配置的信息(即，“配置憑證”)或關(guān)于計(jì)算設(shè)備100的當(dāng)前環(huán)境的信息(即，“環(huán)境憑證”)。

根據(jù)一些實(shí)施例，應(yīng)用110包括多個(gè)應(yīng)用編程接口(api)，其包括客戶端側(cè)api122-1、解鎖api122-2和存儲api122-3?？蛻舳藗?cè)api122-1提供使應(yīng)用運(yùn)行時(shí)間112能夠執(zhí)行以下操作的功能：查詢每個(gè)容器114-1至114-4的當(dāng)前解鎖狀態(tài)，請求一個(gè)或多個(gè)容器114-1至114-4的鎖定狀態(tài)的改變，并且如果需要，提示計(jì)算設(shè)備100的用戶提供針對特定訪問級別所需的一個(gè)或多個(gè)憑證。類似地，解鎖api122-2被配置為根據(jù)應(yīng)用110的當(dāng)前認(rèn)證狀態(tài)和在策略數(shù)據(jù)118中定義的并在密鑰數(shù)據(jù)120中反映的訪問級別策略來管理對一個(gè)或多個(gè)容器114-1至114-4的訪問。存儲api122-3被配置為根據(jù)與要存儲的數(shù)據(jù)相關(guān)聯(lián)的數(shù)據(jù)類別來管理容器114-1至114-4中的應(yīng)用數(shù)據(jù)114的存儲。

圖2a和2b是示出了根據(jù)實(shí)施例的存儲在策略數(shù)據(jù)118中的數(shù)據(jù)的示例性結(jié)構(gòu)的示意圖。具體地，圖2a示出了定義應(yīng)用110的訪問策略的第一策略數(shù)據(jù)結(jié)構(gòu)210的示例。圖2b示出了定義憑證策略的第二策略數(shù)據(jù)結(jié)構(gòu)220的示例，如上參考圖1所討論的。在圖2a所示的示例中，第一策略數(shù)據(jù)結(jié)構(gòu)210采取諸如數(shù)據(jù)庫表的表的形式，其中表的第一列212-1對應(yīng)于數(shù)據(jù)類別，表的第二列212-2對應(yīng)于訪問級別。類似地，該表的行214-1至214-4中的每一行對應(yīng)于指派給圖1的相應(yīng)容器114-1至114-4的數(shù)據(jù)類別。因此，根據(jù)圖2a所示的示例，行214-1指定類別a數(shù)據(jù)被指派給訪問級別l0，行214-2指定類別b數(shù)據(jù)被指派給訪問級別l1，行214-3指定類別c數(shù)據(jù)被指派給訪問級別l2，行214-4指定類別d數(shù)據(jù)被指派給訪問級別l3。如上面關(guān)于圖1所討論的，訪問策略還可以定義在圖2a中由行214-5反映的默認(rèn)訪問級別，默認(rèn)訪問級別指定l2是應(yīng)用的默認(rèn)訪問級別。

圖2b所示的第二策略數(shù)據(jù)結(jié)構(gòu)220也采用表的形式，其中第一列222-1對應(yīng)于訪問級別，第二列222-2對應(yīng)于針對相應(yīng)訪問級別所需的憑證或憑證組合。類似地，該表的行224-1至224-4中的每一行對應(yīng)于為圖1的應(yīng)用110定義的訪問級別。因此，根據(jù)圖2b所示的示例，行224-1指定對訪問級別l0應(yīng)用數(shù)據(jù)的訪問不需要憑證，行224-2指定對訪問級別l1應(yīng)用數(shù)據(jù)的訪問需要lan憑證(以下稱為“l(fā)1憑證組合”)，行224-3指定對訪問級別l2應(yīng)用數(shù)據(jù)的訪問需要密碼憑證(以下稱為“l(fā)2憑證組合”)，并且行224-4指定對訪問級l3應(yīng)用數(shù)據(jù)的訪問需要lan憑證和密碼憑證(以下稱為“l(fā)3憑證組合”)。

如上參考圖1所討論的，密鑰數(shù)據(jù)120以反映策略數(shù)據(jù)118中定義的訪問策略和憑證策略的方式安全地存儲容器114-1至114-4的容器密鑰。在這方面，圖3a和3b分別示出了第一密鑰數(shù)據(jù)結(jié)構(gòu)300和第二密鑰數(shù)據(jù)結(jié)構(gòu)320，用于根據(jù)圖2a和2b的數(shù)據(jù)結(jié)構(gòu)210和220中分別定義的訪問策略和憑證策略來安全存儲容器114-1至114-4的容器密鑰。在這方面，第一密鑰數(shù)據(jù)結(jié)構(gòu)300采用用于存儲與圖2a的策略數(shù)據(jù)結(jié)構(gòu)210中定義的相應(yīng)訪問級別l0至l3相對應(yīng)的多個(gè)訪問級別密鑰的表的形式。第一密鑰數(shù)據(jù)結(jié)構(gòu)300包括指定數(shù)據(jù)結(jié)構(gòu)300的版本標(biāo)識符的第一行302和指定與圖1的計(jì)算設(shè)備100相對應(yīng)的設(shè)備標(biāo)識符的第二行304。第一密鑰數(shù)據(jù)結(jié)構(gòu)300還包括與策略數(shù)據(jù)結(jié)構(gòu)210中定義的每個(gè)訪問級別l0至l3相對應(yīng)的多行306-0至306-3。在這方面，每一行306-0至306-3存儲密鑰數(shù)據(jù)，密鑰數(shù)據(jù)包括由相應(yīng)訪問級別的憑證組合加密的相應(yīng)訪問級別的訪問級別密鑰、以及適合于標(biāo)識該相應(yīng)訪問級別的憑證組合的元數(shù)據(jù)，其中對應(yīng)的憑證組合被指定在數(shù)據(jù)結(jié)構(gòu)220中定義的憑證策略中。在圖3a所示的示例中，對應(yīng)于l0訪問級別的行306-0存儲l0訪問級別密鑰的未加密副本，而不存儲任何憑證元數(shù)據(jù)(因?yàn)樵跀?shù)據(jù)結(jié)構(gòu)220中定義的憑證策略指定對l0訪問級別數(shù)據(jù)的訪問不需要憑證)。相比之下，分別對應(yīng)于l1至l3訪問級別的行306-1至306-3存儲由相應(yīng)訪問級別的憑證組合加密的相應(yīng)訪問級別的訪問級別密鑰、以及用于標(biāo)識相應(yīng)訪問級別的憑證組合的憑證元數(shù)據(jù)。具體地，存儲在行306-1中的密鑰數(shù)據(jù)306-1a包括使用對應(yīng)于l1訪問級別的憑證組合(c1)加密的l1訪問級別密鑰(ec1(levelkey_l1))；存儲在行306-2中的密鑰數(shù)據(jù)306-2a包括使用對應(yīng)于l2訪問級別的憑證組合(c2)加密的l2訪問級別密鑰(ec2(levelkey_l2))；以及存儲在行306-3中的密鑰數(shù)據(jù)306-3a包括使用對應(yīng)于l3訪問級別的憑證組合(c3)加密的l3訪問級別密鑰(ec3(levelkey_l3))。

針對第一密鑰數(shù)據(jù)結(jié)構(gòu)300中的每個(gè)訪問級別(針對其的憑證組合在數(shù)據(jù)結(jié)構(gòu)220中定義的憑證策略中指定)(即訪問級別l1、l2和l3)存儲的元數(shù)據(jù)包括指定與相應(yīng)訪問級別相對應(yīng)的憑證組合的憑證類型、憑證鹽(salt)和憑證散列的數(shù)據(jù)。憑證類型提供關(guān)于憑證組合中的憑證的類型、以及如何對憑證進(jìn)行組合和正確處理以用于對應(yīng)的訪問級別密鑰的解密的指示。憑證散列(使用相應(yīng)憑證鹽)指定特定憑證組合的散列值，并且用于識別當(dāng)前認(rèn)證狀態(tài)是否包括對應(yīng)于相應(yīng)訪問級別的憑證組合。因此，在本示例中，存儲在行306-1中的憑證元數(shù)據(jù)306-1b包括指定l1訪問級別的憑證類型(credentialtype_l1)、憑證鹽(credentialsalt_l1)和憑證散列(credentialhash_l1)的數(shù)據(jù)；存儲在行306-2中的憑證元數(shù)據(jù)306-2b包括指定l2訪問級別的憑證類型(credentialtype_l2)、憑證鹽(credentialsalt_l2)和憑證散列(credentialhash_l2)的數(shù)據(jù)；以及存儲在行306-3中的憑證元數(shù)據(jù)306-3b包括指定l3訪問級別的憑證類型(credentialtype_l3)、憑證鹽(credentialsalt_l3)和憑證散列(credentialhash_l3)的數(shù)據(jù)。

圖3b是示出了第二密鑰數(shù)據(jù)結(jié)構(gòu)320的示意圖，其采用用于分別存儲容器114-1至114-4的多個(gè)容器密鑰的表的形式。在本示例中，第二密鑰數(shù)據(jù)結(jié)構(gòu)320包括指定數(shù)據(jù)結(jié)構(gòu)320的版本標(biāo)識符的第一行322和指定恢復(fù)數(shù)據(jù)的第二行324，其將在下面更詳細(xì)地討論。第二密鑰數(shù)據(jù)結(jié)構(gòu)320還包括與存儲在策略數(shù)據(jù)結(jié)構(gòu)210中的訪問策略中定義的每個(gè)訪問級別l0至l3相對應(yīng)的多行326-0至326-3。在這方面，每行306-0至306-3存儲由相應(yīng)訪問級別的訪問級別密鑰加密的與相應(yīng)訪問級別相對應(yīng)的容器密鑰，并且存儲由當(dāng)前行的訪問級別的訪問級別密鑰加密的相應(yīng)訪問級別以下的每個(gè)從屬訪問級別的訪問級別密鑰。具體地，行326-0在容器密鑰數(shù)據(jù)326-0a中存儲由l0訪問級別密鑰(elevelkey_l0[containerkey_a])加密的類別a容器114-1的容器密鑰，但是不存儲從屬訪問級別的任何訪問級別密鑰，因?yàn)閘0是為應(yīng)用110定義的最低訪問級別。行326-1在容器密鑰數(shù)據(jù)326-1a中存儲由l1訪問級別密鑰(elevelkey_l1[containerkey_b])加密的類別b容器114-2的容器密鑰，并且在訪問級別密鑰數(shù)據(jù)326-1b中存儲由l1訪問級別密鑰(elevelkey_l1[levelkey_l0])加密的l0級別訪問密鑰。類似地，行326-2在容器密鑰數(shù)據(jù)326-2a中存儲由l2訪問級別密鑰(elevelkey_l2[containerkey_c])加密的類別c容器114-3的容器密鑰，并且在訪問級別密鑰數(shù)據(jù)326-2b中存儲由l2訪問級別密鑰(elevelkey_l2[levelkey_l0])加密的l0訪問級別密鑰和由l2訪問級別密鑰(elevelkey_l2[levelkey_l1])加密的l1訪問級別密鑰。最后，行326-3在容器密鑰數(shù)據(jù)326-3a中存儲由l3訪問級別密鑰(elevelkey_l3[containerkey_d])加密的類別d容器114-4的容器密鑰，并且在訪問級別密鑰數(shù)據(jù)326-3b中存儲由l3訪問級別密鑰(elevelkey_l3[levelkey_l0])加密的l0訪問級別密鑰、由l3訪問級別密鑰(elevelkey_l3[levelkey_l1])加密的l1訪問級別密鑰和由l3訪問級別密鑰(elevelkey_l3[levelkey_l2])加密的l2訪問級別密鑰。

簡要參考圖1，在一些實(shí)施例中，存儲在管理數(shù)據(jù)116中的管理容器也可以被指派給特定訪問級別并使用對應(yīng)的管理容器密鑰進(jìn)行加密。在圖3b所示的實(shí)施例中，管理數(shù)據(jù)116被指派給l2訪問級別，并且管理容器密鑰作為由l2訪問級別密鑰(elevelkey_l2[mgtcontainerkey])加密的管理密鑰326-2c數(shù)據(jù)存儲在數(shù)據(jù)結(jié)構(gòu)320的行326-2中。因此，在當(dāng)前認(rèn)證狀態(tài)包括l2憑證組合時(shí)，應(yīng)用運(yùn)行時(shí)間112能夠訪問存儲在管理數(shù)據(jù)116中的管理容器。

如上所述，在一些實(shí)施例中，第二密鑰數(shù)據(jù)結(jié)構(gòu)320可以包括恢復(fù)數(shù)據(jù)324，其使得能夠在用戶忘記與針對應(yīng)用定義的最高訪問級別相對應(yīng)的憑證組合的情況下恢復(fù)存儲在容器114-1至114-4中的經(jīng)加密的數(shù)據(jù)。在該示例中，恢復(fù)數(shù)據(jù)包括針對應(yīng)用定義的最高訪問級別(即，針對圖3b所示的示例的l3訪問級別)的訪問級別密鑰(emck(levelkey_l3))的副本，所述訪問級別密鑰由遠(yuǎn)離計(jì)算設(shè)備100存儲的密碼密鑰(emck)(以下稱為“主容器密鑰”)來加密。因此，當(dāng)將主容器密鑰提供給應(yīng)用110(例如，在由遠(yuǎn)程服務(wù)器發(fā)起的重置操作中)時(shí)，應(yīng)用運(yùn)行時(shí)間112能夠?qū)Υ鎯υ诨謴?fù)數(shù)據(jù)324中的l3訪問級別密鑰進(jìn)行解密，重新獲得對存儲在行326-0至326-3中的容器密鑰的訪問，并根據(jù)需要生成新的訪問級別密鑰集合。

以類似的方式，行326-3還可以存儲由l3訪問級別密鑰(elevelkey_l3(mck))加密的主容器密鑰的副本，使得如果應(yīng)用110被重新配置為指定比當(dāng)前最高訪問級別(l3)更高的新訪問級別，則應(yīng)用運(yùn)行時(shí)間112能夠根據(jù)主密鑰數(shù)據(jù)332-3d(假設(shè)當(dāng)前認(rèn)證狀態(tài)包括l3憑證組合)獲取主容器密鑰，并且可選地，在恢復(fù)數(shù)據(jù)324中存儲由主容器密鑰(elevelkey_l4(mck))加密的l4訪問級別密鑰的副本，而不需要從遠(yuǎn)程服務(wù)器請求主容器密鑰。

圖4是示出了由圖1的應(yīng)用110執(zhí)行的方法400的流程圖，用以根據(jù)策略數(shù)據(jù)118中定義的策略和密鑰數(shù)據(jù)120控制對與應(yīng)用110相關(guān)聯(lián)的應(yīng)用數(shù)據(jù)114的訪問。首先，應(yīng)用運(yùn)行時(shí)間112確定應(yīng)用110的當(dāng)前憑證狀態(tài)[步驟402]。在這方面，步驟402可以例如響應(yīng)于接收到一個(gè)或多個(gè)憑證而執(zhí)行，或響應(yīng)于來自應(yīng)用運(yùn)行時(shí)間112的用來訪問應(yīng)用數(shù)據(jù)114的請求而執(zhí)行。接下來，應(yīng)用運(yùn)行時(shí)間112訪問存儲在第一密鑰數(shù)據(jù)結(jié)構(gòu)300中的憑證元數(shù)據(jù)，并確定與當(dāng)前認(rèn)證狀態(tài)相關(guān)聯(lián)的最高訪問級別[步驟404]。接下來，應(yīng)用運(yùn)行時(shí)間112使用對應(yīng)的憑證組合來對存儲在第一密鑰數(shù)據(jù)結(jié)構(gòu)300中并且與所確定的訪問級別相對應(yīng)的訪問級別密鑰進(jìn)行解密[步驟406]。一旦與所確定的訪問級別相對應(yīng)的訪問級別密鑰已被解密，應(yīng)用運(yùn)行時(shí)間112就使用訪問級別密鑰來對與所識別的訪問級別相對應(yīng)的容器密鑰進(jìn)行解密[步驟408]并且對相對于所確定的訪問級別的所有從屬訪問級別的訪問級別密鑰進(jìn)行解密[步驟410]。接下來，應(yīng)用運(yùn)行時(shí)間112使用在步驟410獲得的從屬訪問級別密鑰來對與從屬訪問級別相關(guān)聯(lián)的容器密鑰進(jìn)行解密[步驟412]。最后，應(yīng)用運(yùn)行時(shí)間112使用在步驟408和412獲得的容器密鑰來對應(yīng)用數(shù)據(jù)114中的對應(yīng)容器114-1至114-4進(jìn)行解密，并提供對存儲在其中的應(yīng)用數(shù)據(jù)114的訪問。

根據(jù)一些實(shí)施例，可以響應(yīng)于用來存儲或訪問與特定數(shù)據(jù)類別相關(guān)聯(lián)的數(shù)據(jù)的請求來執(zhí)行圖4的方法400。在這種情況下，應(yīng)用運(yùn)行時(shí)間112可以在步驟404確定當(dāng)前認(rèn)證狀態(tài)是否包括對應(yīng)于特定數(shù)據(jù)類別的憑證組合。如果當(dāng)前認(rèn)證狀態(tài)不包括所需的憑證組合，則應(yīng)用運(yùn)行時(shí)間112可以提示用戶提供一個(gè)或多個(gè)附加憑證，或通知用戶對所需的訪問級別的訪問不可用。

根據(jù)一些實(shí)施例，應(yīng)用110可以安裝在處于非活動(dòng)狀態(tài)的計(jì)算設(shè)備100上。在這樣的實(shí)施例中，密鑰數(shù)據(jù)120可以作為應(yīng)用110的激活過程的一部分并且根據(jù)策略數(shù)據(jù)118中定義的策略生成。在這方面，應(yīng)用運(yùn)行時(shí)間112可以被配置為針對如存儲在策略數(shù)據(jù)118中的憑證策略中指定的一個(gè)或多個(gè)憑證提示計(jì)算設(shè)備100的用戶。在接收到一個(gè)或多個(gè)憑證之后，應(yīng)用運(yùn)行時(shí)間112根據(jù)憑證策略生成多個(gè)訪問級別密鑰并根據(jù)訪問策略生成多個(gè)容器密鑰，并創(chuàng)建第一密鑰數(shù)據(jù)結(jié)構(gòu)300。一旦已經(jīng)生成了訪問級別密鑰，應(yīng)用運(yùn)行時(shí)間112就通過使用訪問級別密鑰并根據(jù)在策略118中定義的訪問策略對多個(gè)容器密鑰進(jìn)行加密，來生成圖3b所示的第二密鑰數(shù)據(jù)結(jié)構(gòu)320。一旦生成了容器密鑰，就可以創(chuàng)建或初始化相應(yīng)的容器114-1至114-4以存儲應(yīng)用數(shù)據(jù)114。

如上所述，根據(jù)一些實(shí)施例，存儲在管理數(shù)據(jù)116中的管理容器可被指派給特定訪問級別，并由對應(yīng)的訪問級別密鑰進(jìn)行加密。因此，在當(dāng)前認(rèn)證狀態(tài)不允許訪問指派給管理容器的訪問級別時(shí)，應(yīng)用運(yùn)行時(shí)間112不能訪問存儲在管理數(shù)據(jù)116中的配置設(shè)置。為了解決這個(gè)問題，如圖5的實(shí)施例所示，應(yīng)用110可以被配置有指派給最低訪問級別(l0)的單獨(dú)的控制數(shù)據(jù)130。根據(jù)這樣的實(shí)施例，無論當(dāng)前認(rèn)證狀態(tài)如何，控制數(shù)據(jù)130都可以由應(yīng)用運(yùn)行時(shí)間112訪問。以這種方式，控制數(shù)據(jù)130可以用于存儲低敏感性配置數(shù)據(jù)，其確保所規(guī)定的最低級別的配置數(shù)據(jù)一直可用于應(yīng)用。例如，在應(yīng)用110由遠(yuǎn)程服務(wù)器管理的情況下，控制數(shù)據(jù)可以包括發(fā)起與遠(yuǎn)程服務(wù)器的通信會話所需的一個(gè)或多個(gè)憑證，從而確保遠(yuǎn)程服務(wù)器可以關(guān)于應(yīng)用執(zhí)行臨界操作(例如，初始化應(yīng)用數(shù)據(jù)114的遠(yuǎn)程擦除)，即使管理容器116保持處于鎖定狀態(tài)。應(yīng)當(dāng)理解，存儲在控制數(shù)據(jù)130中的憑證可以僅允許適用于l0訪問級別的管理功能的有限子集，而管理數(shù)據(jù)116可以用于所存儲的憑證，其允許應(yīng)用發(fā)起與遠(yuǎn)程服務(wù)器的相對較少限制的通信會話。

根據(jù)一些實(shí)施例，應(yīng)用110可以生成與在策略數(shù)據(jù)118中定義的相應(yīng)訪問級別相對應(yīng)并由存儲在密鑰數(shù)據(jù)120中的對應(yīng)訪問級別密鑰加密的一個(gè)或多個(gè)日志128-1至128-4，如圖6所示。對訪問級別特定的日志記錄的包括確保應(yīng)用110能夠存儲核查和調(diào)試信息，而不管應(yīng)用110的當(dāng)前認(rèn)證狀態(tài)如何。如果需要，則日志128-1至128-4可以根據(jù)需要進(jìn)行聚合并上傳到遠(yuǎn)程服務(wù)器。

在一個(gè)用例中，計(jì)算設(shè)備100采用便攜式計(jì)算設(shè)備的形式。在圖7中示意性地示出了根據(jù)實(shí)施例的便攜式計(jì)算設(shè)備700的示例。便攜式計(jì)算設(shè)備700可以例如采取蜂窩電話、智能電話、個(gè)人數(shù)字助理(pda)、平板計(jì)算機(jī)、可穿戴計(jì)算設(shè)備、筆記本計(jì)算機(jī)等的形式。便攜式計(jì)算設(shè)備700包括屏幕702，屏幕702可以是用于從用戶接收輸入的觸摸屏。備選地或另外地，便攜式計(jì)算設(shè)備700可以包括物理鍵盤(未示出)，其可以與便攜式計(jì)算設(shè)備700集成為一體，或者無線地或通過有線連接與便攜式計(jì)算設(shè)備700連接。便攜式計(jì)算設(shè)備700還包括處理器704、非易失性(即，持久的)存儲組件706(例如硬盤驅(qū)動(dòng)器或固態(tài)驅(qū)動(dòng)器)和隨機(jī)存取存儲器(ram)708形式的易失性(即非持久)存儲組件。處理器與操作系統(tǒng)相關(guān)聯(lián)地執(zhí)行已從非易失性存儲設(shè)備706加載的存儲在隨機(jī)存取存儲器708中的指令。這些指令具有實(shí)現(xiàn)應(yīng)用710的一個(gè)或多個(gè)進(jìn)程的形式，例如上文參考圖1至6所述的應(yīng)用110。隨機(jī)存取存儲器708也由處理器704上運(yùn)行的進(jìn)程用作用于存儲和訪問電子信號形式的數(shù)據(jù)的裝置，其中在執(zhí)行該進(jìn)程期間使用該數(shù)據(jù)。操作系統(tǒng)提供用于存儲、修改和訪問保存在非易失性存儲設(shè)備706中的文件(諸如與上文參考圖1至圖6所述的應(yīng)用110相關(guān)聯(lián)的應(yīng)用數(shù)據(jù)114)的文件系統(tǒng)。文件系統(tǒng)可以經(jīng)由操作系統(tǒng)對在處理器704上運(yùn)行的其他進(jìn)程可訪問。在處理器704上運(yùn)行的進(jìn)程還處理經(jīng)由屏幕702或鍵盤(未示出)等獲得的用戶輸入。便攜式計(jì)算設(shè)備700還包括網(wǎng)絡(luò)接口714(或多個(gè)網(wǎng)絡(luò)接口)，其允許在處理器704上運(yùn)行的進(jìn)程經(jīng)由通信使用有線和/或無線連接向其他設(shè)備和/或服務(wù)器發(fā)送數(shù)據(jù)并從其他設(shè)備和/或服務(wù)器接收數(shù)據(jù)。通常，網(wǎng)絡(luò)接口714以軟件和硬件(例如，網(wǎng)絡(luò)接口控制器)的組合來實(shí)現(xiàn)，以向處理器704上運(yùn)行的進(jìn)程提供必要的網(wǎng)絡(luò)連接。網(wǎng)絡(luò)接口714的示例包括wi-fi^tm接口和/或使用諸如全球移動(dòng)通信系統(tǒng)(gsm)、通用移動(dòng)電信系統(tǒng)(umts)、碼分多址(cdma)、長期演進(jìn)(lte)等的標(biāo)準(zhǔn)的蜂窩無線電。便攜式計(jì)算設(shè)備700還可以包括本地通信接口716，諸如藍(lán)牙^tm接口或nfc^tm接口。本地通信接口716還可以以軟件和硬件的組合來實(shí)現(xiàn)，并提供與便攜式計(jì)算設(shè)備700附近的一個(gè)或多個(gè)附加計(jì)算設(shè)備的連接。

根據(jù)一些實(shí)施例，提供操作系統(tǒng)的接口126可以提供用于經(jīng)由計(jì)算設(shè)備100所提供的一個(gè)或多個(gè)硬件功能來接收數(shù)據(jù)的功能。例如，由操作系統(tǒng)124提供的接口之一可以提供用于經(jīng)由計(jì)算設(shè)備100的觸摸屏、鍵盤、指針設(shè)備、指紋掃描儀、相機(jī)或麥克風(fēng)接收用戶輸入的功能。此外，由操作系統(tǒng)124提供的另一個(gè)接口可以提供用于獲得關(guān)于設(shè)備正在操作的當(dāng)前環(huán)境的信息(例如計(jì)算設(shè)備的位置(例如，經(jīng)由計(jì)算設(shè)備100的gps模塊)、或者計(jì)算設(shè)備連接到的當(dāng)前網(wǎng)絡(luò))的功能。如上所述，應(yīng)用運(yùn)行時(shí)間112可以與由操作系統(tǒng)124提供的一個(gè)或多個(gè)接口126進(jìn)行通信，以接收用于對應(yīng)用數(shù)據(jù)114進(jìn)行解鎖的一個(gè)或多個(gè)憑證。在這方面，一個(gè)或多個(gè)憑證可以包括由計(jì)算設(shè)備100的用戶輸入的密碼或密碼憑證、諸如計(jì)算設(shè)備100的用戶的指紋掃描、語音掃描或虹膜掃描之類的生物特征憑證、諸如經(jīng)由與計(jì)算設(shè)備100相關(guān)聯(lián)的觸摸屏或相機(jī)輸入的姿態(tài)之類的姿態(tài)憑證或者諸如計(jì)算設(shè)備100當(dāng)前連接到的lan的網(wǎng)絡(luò)標(biāo)識符之類的環(huán)境憑證。從上述實(shí)施例可以理解，術(shù)語“憑證的組合”包含單個(gè)憑證或多個(gè)憑證。

如上所述，應(yīng)用110所存儲的應(yīng)用數(shù)據(jù)114可以包括在執(zhí)行期間由應(yīng)用運(yùn)行時(shí)間112使用或生成的任何數(shù)據(jù)。因此，顯而易見的是，術(shù)語“應(yīng)用數(shù)據(jù)”包括廣泛的數(shù)據(jù)類型和數(shù)據(jù)格式。例如，應(yīng)用數(shù)據(jù)114可以包括文本數(shù)據(jù)、電子郵件數(shù)據(jù)、圖像數(shù)據(jù)、音頻數(shù)據(jù)和/或視頻數(shù)據(jù)、或其任何組合。類似地，應(yīng)用數(shù)據(jù)114可以根據(jù)應(yīng)用的使用包括公司數(shù)據(jù)和/或個(gè)人數(shù)據(jù)。

根據(jù)一些實(shí)施例，由圖2b的第二策略數(shù)據(jù)結(jié)構(gòu)220定義的憑證策略可以可選地為一個(gè)或多個(gè)訪問級別指定多個(gè)備選憑證組合。例如，對于給定的訪問級別，策略數(shù)據(jù)結(jié)構(gòu)220可以包括指定用于給定訪問級別的多個(gè)相應(yīng)備選憑證組合的多行。在該示例中，第一密鑰數(shù)據(jù)結(jié)構(gòu)300將類似地包括用于給定訪問級別的多行，其中每行對應(yīng)于在第二策略數(shù)據(jù)結(jié)構(gòu)220中指定的相應(yīng)備選憑證組合。以這種方式，應(yīng)用運(yùn)行時(shí)間112能夠確定當(dāng)前認(rèn)證狀態(tài)是否包括針對特定訪問級別定義的備選憑證組合之一，并對對應(yīng)的經(jīng)加密的訪問級別密鑰進(jìn)行解密。

應(yīng)當(dāng)理解，上面參考圖1至圖7討論的方法和技術(shù)的至少一部分可以使用存儲在計(jì)算機(jī)可用存儲介質(zhì)上以由計(jì)算設(shè)備執(zhí)行的軟件指令來實(shí)現(xiàn)。作為示例，計(jì)算機(jī)程序產(chǎn)品的實(shí)施例包括用來存儲計(jì)算機(jī)可讀程序的計(jì)算機(jī)可用存儲介質(zhì)，計(jì)算機(jī)可讀程序當(dāng)在計(jì)算設(shè)備上執(zhí)行時(shí)使得計(jì)算設(shè)備執(zhí)行操作，如本文中前面所描述的。此外，實(shí)施例可以以從計(jì)算機(jī)可用或計(jì)算機(jī)可讀介質(zhì)可獲得的計(jì)算機(jī)程序產(chǎn)品的形式體現(xiàn)，計(jì)算機(jī)可用或計(jì)算機(jī)可讀介質(zhì)提供程序代碼，程序代碼供計(jì)算設(shè)備或任何指令執(zhí)行系統(tǒng)使用或與之結(jié)合使用。出于描述的目的，計(jì)算機(jī)可用或者計(jì)算機(jī)可讀介質(zhì)可以是任何能夠包含、存儲、傳送、傳播或者傳輸程序的任何裝置，所述程序供指令執(zhí)行系統(tǒng)、裝置或設(shè)備使用或者與與之結(jié)合使用。該裝置可以是暫時(shí)性的或非暫時(shí)性的計(jì)算機(jī)可讀介質(zhì)。例如，計(jì)算機(jī)可用或計(jì)算機(jī)可讀介質(zhì)可以是電子的、磁性的、光學(xué)的、電磁的、紅外的或半導(dǎo)體系統(tǒng)(或裝置或設(shè)備)、或者是傳播介質(zhì)。計(jì)算機(jī)可讀介質(zhì)的示例包括：半導(dǎo)體或固態(tài)存儲器、磁帶、可拆卸式計(jì)算機(jī)磁盤、隨機(jī)存取存儲器(ram)、只讀存儲器(rom)、剛性磁盤和光盤。光盤的當(dāng)前示例包括壓縮光盤只讀存儲器(cd-rom)、壓縮盤光讀取/寫入(cd-r/w)和數(shù)字多功能光盤(dvd)。

上述實(shí)施例應(yīng)被理解為本發(fā)明的說明性示例。設(shè)想了本發(fā)明的另外的實(shí)施例。應(yīng)當(dāng)理解，結(jié)合任一個(gè)實(shí)施例描述的任何特征都可以單獨(dú)使用，或與所描述的其他特征組合使用，并且還可以與任何其它實(shí)施例或任何其他實(shí)施例的任何組合的一個(gè)或多個(gè)特征組合使用。此外，在不脫離所附權(quán)利要求中限定的本發(fā)明的范圍的情況下，也可以采用上面未描述的等同物和修改。