用于控制對加密數(shù)據(jù)的訪問的方法和裝置的制造方法
【技術(shù)領(lǐng)域】
[0001]本說明書總體上涉及設(shè)備，具體地，涉及一種用于控制對加密數(shù)據(jù)的訪問的方法和裝置。
【背景技術(shù)】
[0002]在移動設(shè)備環(huán)境中，計算機的發(fā)展當前是非?；钴S的。現(xiàn)在公知的是移動設(shè)備包括日歷功能、聯(lián)系人功能和消息收發(fā)功能。近年來，應用的數(shù)目和類型名副其實地發(fā)生了激增，所述應用被配置為移動設(shè)備的獨特形成因素和計算環(huán)境。
【附圖說明】
[0003]為了更好地理解本文所述的多種實施方式和更清楚地示出如何有效實施所述實施方式，現(xiàn)僅示例性地參考附圖，附圖中:
[0004]圖1描述了根據(jù)非限制性實施方式的用于控制對加密數(shù)據(jù)的訪問的設(shè)備。
[0005]圖2描述了根據(jù)非限制性實施方式的在加密密鑰和用于獲得對所述加密密鑰的訪問的準則之間的關(guān)系。
[0006]圖3描述了根據(jù)非限制性實施方式的用于控制對加密數(shù)據(jù)的訪問的方法。
[0007]圖4描述了根據(jù)非限制性實施方式的在啟動后圖1的設(shè)備。
[0008]圖5描述了根據(jù)非限制性實施方式的在解鎖啟動類別之后的圖1的設(shè)備。
[0009]圖6描述了根據(jù)非限制性實施方式的在初始認證之后的圖1的設(shè)備。
[0010]圖7描述了根據(jù)非限制性實施方式的在對操作類別和鎖定類別進行解鎖之后的圖1的設(shè)備。
[0011]圖8描述了根據(jù)非限制性實施方式的在滿足鎖定觸發(fā)準則并將鎖定類別再次鎖定之后的圖1的設(shè)備。
[0012]圖9描述了根據(jù)非限制性實施方式的在重新發(fā)生認證并且對鎖定類別再次解鎖之后的圖1的設(shè)備。
【具體實施方式】
[0013]本公開總體上涉及一種設(shè)備(具體地，一種移動電子設(shè)備)，用于控制對存儲在其上的加密數(shù)據(jù)的訪問。通常移動電子設(shè)備表示可以方便地從一個地方移動到另一地方的電子設(shè)備。具體地，對這種設(shè)備的數(shù)據(jù)進行加密，以便防止在設(shè)備甚至丟失、被盜等情況下訪問該數(shù)據(jù)。此外，可以將所述數(shù)據(jù)組織為不同類別，例如，所述不同類別可以包括關(guān)于發(fā)布該設(shè)備的商業(yè)和/或政府企業(yè)的數(shù)據(jù)的“工作”類別。在一些設(shè)備中，在空閑時對所有“工作”數(shù)據(jù)進行加密，當設(shè)備被關(guān)閉時完全無法訪問所述“工作”數(shù)據(jù)。然而，在重啟設(shè)備之后，由于針對“工作”數(shù)據(jù)的加密密鑰在重啟設(shè)備之后被自動重新存儲到存儲器，所有“工作”數(shù)據(jù)會是可訪問的，從而可以通過具有足夠許可的服務(wù)使用所述“工作”數(shù)據(jù)。盡管通過數(shù)據(jù)訪問策略來控制訪問數(shù)據(jù)，然而安全意識組織意識到這種密鑰可用性是實際的攻擊向量。因此，本實施方式提供了對設(shè)備上數(shù)據(jù)的訪問的高級保護控制以便保持足夠的可訪問性，所述數(shù)據(jù)包括但不限于歸類為敏感的數(shù)據(jù)(這種敏感數(shù)據(jù)以與設(shè)備斷電類似的方式存儲，同時仍啟用該設(shè)備)，以及在“工作”空間中“非敏感性”數(shù)據(jù)。
[0014]在本說明書中，將元件描述為“被配置為”執(zhí)行一個或多個功能或為“配置用于”這種功能。通常，被配置為執(zhí)行功能或配置用于執(zhí)行功能的元件被配置為執(zhí)行該功能，或適于執(zhí)行該功能，或用于執(zhí)行該功能，或可操作為執(zhí)行該功能，或能夠執(zhí)行該功能。
[0015]在本說明書中，可以將數(shù)據(jù)描述為是“可訪問”的。通?？稍L問的元素是未加密的、經(jīng)解密的，和/或用于對數(shù)據(jù)進行解密的加密密鑰本身是可訪問的和/或未加密的和/或經(jīng)解密的。
[0016]本說明書的一方面提供了一種方法，包括:使用針對多個類別中每個類別的相應加密密鑰控制對存儲在設(shè)備的存儲器的加密數(shù)據(jù)的訪問，所述加密數(shù)據(jù)根據(jù)多個類別進行分類；以及根據(jù)與給定類別相關(guān)聯(lián)的給定準則控制對給定加密密鑰的訪問，針對每個相應類別的相應準則不同，對給定加密密鑰的訪問包括以下操作中的一個或多個:當滿足相應準則時，產(chǎn)生給定加密密鑰和對給定加密密鑰進行解密。
[0017]對給定加密密鑰的訪問可以直到滿足給定準則才可用。
[0018]所述方法還可以包括:一旦發(fā)生對給定類別的加密數(shù)據(jù)的訪問，毀壞給定加密密鑰。
[0019]多個類別中的每個可以基于排序系統(tǒng)、數(shù)據(jù)敏感性、設(shè)備的操作需要以及設(shè)備的可用性中的一個或多個。
[0020]可以基于多個類別在存儲器處對加密數(shù)據(jù)進行分區(qū)，每個分區(qū)可以包括虛擬分區(qū)和存儲器的物理分區(qū)中的一個或多個。
[0021]對給定加密密鑰的訪問可以包括以下步驟中的一個或多個:使用系統(tǒng)主密鑰、處理器密鑰以及在設(shè)備的外部存儲器讀取器中接收到的從外部存儲器讀取的數(shù)據(jù)中的一個或多個，來對給定加密密鑰進行解密；以及根據(jù)在存儲器讀取器接收到的從外部存儲器讀取的數(shù)據(jù)來產(chǎn)生給定加密密鑰。
[0022]所述方法還可以包括:使用給定加密密鑰對先前在第一次產(chǎn)生給定類別時產(chǎn)生的給定類別加密密鑰進行解密；以及使用給定類別密鑰對一個或多個文件加密密鑰進行解密，所述一個或多個文件加密密鑰用于對給定類別的加密數(shù)據(jù)進行解密。
[0023]加密數(shù)據(jù)的多個類別之一可以包括啟動類別，與其相關(guān)聯(lián)的啟動加密數(shù)據(jù)被用于在打開設(shè)備時并且在接收輸入設(shè)備的用戶輸入之前啟動設(shè)備，與啟動類別相關(guān)聯(lián)的啟動準則可以包括確定已經(jīng)打開了設(shè)備，一旦在滿足啟動準則之后訪問主啟動加密密鑰，啟動加密數(shù)據(jù)便可以保持可訪問，所述方法還可以包括:使用主啟動加密密鑰對用于解密啟動加密數(shù)據(jù)的至少一個加密密鑰進行解密。
[0024]加密數(shù)據(jù)的多個類別之一可以包括操作類別，與其相關(guān)聯(lián)的操作加密數(shù)據(jù)被用于進行如下操作中的一個或多個:在打開設(shè)備之后操作設(shè)備；在設(shè)備處執(zhí)行操作；以及向用戶提供設(shè)備處的操作經(jīng)驗，與操作類別相關(guān)聯(lián)的操作準則包括:接收使用輸入設(shè)備的輸入，所述輸入與存儲在存儲器的口令數(shù)據(jù)和在設(shè)備的外部存儲器讀取器接收到的從外部存儲器讀取的PIN(個人標識號)數(shù)據(jù)中的一個或多個相匹配，一旦在滿足操作準則之后訪問主操作加密密鑰，操作加密數(shù)據(jù)便可以保持可訪問，所述方法還可以包括:使用主操作加密密鑰對用于解密操作加密數(shù)據(jù)的至少一個加密密鑰進行解密。
[0025]加密數(shù)據(jù)的多個類別之一可以包括鎖定加密數(shù)據(jù)的鎖定類別，與所述鎖定類別相關(guān)聯(lián)的鎖定準則可以包括:接收使用輸入設(shè)備的輸入，所述輸入與存儲在存儲器的口令數(shù)據(jù)和在設(shè)備的外部存儲器讀取器中接收到的從外部存儲器讀取的PIN(個人標識號)數(shù)據(jù)中的一個或多個相匹配，一旦在滿足鎖定準則之后訪問主鎖定加密密鑰，所述方法還可以包括:使用主鎖定加密密鑰對用于解密鎖定加密數(shù)據(jù)的至少一個加密密鑰進行解密；以及當滿足一個或多個鎖定觸發(fā)準則時毀壞所述至少一個加密密鑰，使得鎖定加密數(shù)據(jù)不再是可訪問的，直到再次滿足鎖定準則。
[0026]鎖定觸發(fā)準則可以包括以下步驟中的一個或多個:確定發(fā)生時間超時；在設(shè)備處接收來自服務(wù)器的鎖定命令；從設(shè)備上運行的應用接收鎖定命令；確定從外部存儲器讀取器移除外部存儲器；以及確定設(shè)備處于關(guān)閉狀態(tài)和斷電狀態(tài)中的一個或多個。所述方法還可以包括以下操作中的一個或多個:一旦滿足一個或多個鎖定觸發(fā)準則，控制在設(shè)備上運行的應用轉(zhuǎn)變到簡化的功能狀態(tài)；以及一旦滿足一個或多個鎖定觸發(fā)準則，停止在設(shè)備上運行的應用。
[0027]本說明書的另一方面提供了一種設(shè)備，包括處理器和存儲器，所述處理器被配置為:使用針對多個類別中每個類別的相應加密密鑰控制對存儲在存儲器中的加密數(shù)據(jù)的訪問，所述加密數(shù)據(jù)根據(jù)多個類別進行分類；以及根據(jù)與給定類別相關(guān)聯(lián)的給定準則控制對加密密鑰的訪問，針對每個相應類別的相應準則不同，所述對給定加密密鑰的訪問包括以下操作中的一個或多個:當滿足相應準則時，產(chǎn)生給定加密密鑰，并對給定加密密鑰進行解tM
I_L| O
[0028]對給定加密密鑰的訪問直到滿足給定準則才可用。
[0029]所述處理器還可以被配置為:一旦發(fā)生對給定類別的加密數(shù)據(jù)的訪問，毀壞給定加密密鑰。
[0030]多個類別中的每個可以基于排序系統(tǒng)、數(shù)據(jù)敏感性、設(shè)備的操作需要以及設(shè)備的可用性中的一個或多個。
[0031]可以基于多個類別在存儲器對加密數(shù)據(jù)進行分區(qū)，每個分區(qū)可以包括虛擬分區(qū)和存儲器的物理分區(qū)中的一個或多個。
[0032]所述處理器還可以配置為通過以下步驟中的一個或多個來提供對給定加密密鑰的訪問:使用系統(tǒng)主密鑰、處理器密鑰以及在設(shè)備的外部存儲器讀取器接收到的從外部存儲器讀取的數(shù)據(jù)中的一個或多個，來對給定加密密鑰進行解密；以及根據(jù)在存儲器讀取器中接收到的從外部存儲器讀取的數(shù)據(jù)，產(chǎn)生給定加密密鑰。
[0033]所述處理器還可以被配置為:使用給定加密密鑰對先前在第一次產(chǎn)生給定類別時產(chǎn)生的給定類別加密密鑰進行解密；以及使用給定類別密鑰對一個或多個文件加密密鑰進行解密，所述一個或多個文件加密密鑰用于對給定類別的加密數(shù)據(jù)進行解密。
[0034]加密數(shù)據(jù)的多個類別之一可以包括啟動類別，與其相關(guān)聯(lián)的啟動加密數(shù)據(jù)被用于在打開設(shè)備時并在接收輸入設(shè)備的用戶輸入之前啟動設(shè)備，與啟動類別相關(guān)聯(lián)的啟動準則可以包括確定已經(jīng)打開了設(shè)備，一旦在滿足啟動準則之后訪問主啟動加密密鑰，啟動加密數(shù)據(jù)便可以保持可訪問，所述方法還可以包括:使用主啟動加密密鑰對用于解密啟動加密數(shù)據(jù)的至少一個加密密鑰進行解密。
[0035]加密數(shù)據(jù)的多個類別之一可以包括操作類別，與其相關(guān)聯(lián)的操作加密數(shù)據(jù)被用于進行如下操作中的一個或多個:在打開設(shè)備之后操作設(shè)備；在設(shè)備處執(zhí)行操作；以及向用戶提供設(shè)備處的操作經(jīng)驗，與操作類別相關(guān)聯(lián)的操作準則包括:接收使用輸入設(shè)備的輸入，所述輸入與存儲在存儲器的口令數(shù)據(jù)和在設(shè)備的外部存儲器讀取器接收到的從外部存儲器讀取的PIN(個人標識號)數(shù)據(jù)中的一個或多個相匹配，一旦在滿足操作準則之后訪問主操作加密密鑰，操作加密數(shù)據(jù)便可以保持可訪問，所述方法還可以包括:使用主操作加密密鑰對用于解密操作加密數(shù)據(jù)的至少一個加密密鑰進行解密。
[0036]加密數(shù)據(jù)的多個類別之一可以包括鎖定加密數(shù)據(jù)的鎖定類別，與所述鎖定類別相關(guān)聯(lián)的鎖定準則可以包括:接收使用輸入設(shè)備的輸入，所述輸入與存儲在存儲器的口令數(shù)據(jù)和在設(shè)備的外部存儲器讀取器中接收到的從外部存儲器讀取的PIN(個人標識號)數(shù)據(jù)中的一個或多個相匹配，一旦在滿足鎖定準則之后訪問主鎖定加密密鑰，所述方法還可以包括:使用主鎖定加密密鑰對用于解密鎖定加密數(shù)據(jù)的至少一個加密密鑰進行解密；以及當滿足一個或多個鎖定觸發(fā)準則時毀壞所述至少一個加密密鑰，使得鎖定加密數(shù)據(jù)不再是可訪問的，直到再次滿足鎖定