本公開一般涉及網(wǎng)絡(luò)安全，并且特別地涉及使用基于屬性的加密(abe)作為指定需要共享客戶端資源的服務(wù)提供者之間的信任的機(jī)制的系統(tǒng)。
背景技術(shù)：
0、相關(guān)技術(shù)背景
1、用戶認(rèn)證和授權(quán)是網(wǎng)絡(luò)安全的關(guān)鍵組成部分。例如，認(rèn)證用戶的身份是提供對用戶訪問安全用戶帳戶、執(zhí)行安全交易、訪問安全網(wǎng)絡(luò)資源等的控制的第一步驟。認(rèn)證是確認(rèn)用戶身份的過程，而授權(quán)是向用戶授予許可的過程。授權(quán)是指定對安全或受保護(hù)資源的訪問權(quán)限或特權(quán)的功能，其與訪問控制有關(guān)。授權(quán)由訪問控制策略定義。在授權(quán)操作期間，計(jì)算機(jī)系統(tǒng)使用訪問控制策略來確定來自被認(rèn)證用戶的受保護(hù)資源訪問請求是被批準(zhǔn)(即，被準(zhǔn)許訪問)還是未被批準(zhǔn)(即，被拒絕訪問)。網(wǎng)絡(luò)安全包括這些訪問控制策略，采用這些訪問控制策略來防止和監(jiān)視對網(wǎng)絡(luò)可訪問的受保護(hù)資源的未授權(quán)訪問、誤用、修改或拒絕。
2、當(dāng)今行業(yè)中的常見操作場景涉及擁有客戶的一些數(shù)據(jù)的服務(wù)提供者(sp)，并且其中客戶想要與另一服務(wù)提供者共享該數(shù)據(jù)以供處理。假定諸如上述的適當(dāng)?shù)木W(wǎng)絡(luò)安全機(jī)制對于至少一些參與者是適當(dāng)?shù)?。在這種情況下，可認(rèn)為第二服務(wù)提供者是第一服務(wù)提供者的客戶端應(yīng)用(ca)。雖然這些類型的服務(wù)提供者到服務(wù)提供者的交互為終端用戶提供了顯著的效率，但是以這種方式操作的客戶端應(yīng)用(ca)需要一種良好的方式來向服務(wù)提供者(sp)登記，該sp可能不想擁有確保服務(wù)提供者是合法的企業(yè)的任何審查過程。
3、能夠出于某些目的而審查服務(wù)提供者的系統(tǒng)在本領(lǐng)域中是已知的。在一種已知的審查方法中，提供了基于云的密鑰管理系統(tǒng)來存儲、取得、生成和執(zhí)行密鑰操作。公司使用該系統(tǒng)來管理、審計(jì)和維護(hù)關(guān)于其密鑰的控制和安全性。該系統(tǒng)包括身份審查服務(wù)，以驗(yàn)證密鑰請求者的身份和/或授權(quán)，并且審查可包括訪問策略引擎以確定請求者的權(quán)限。所提供的審查等級取決于請求者、密鑰的值以及所請求的密鑰功能。在另一種已知的技術(shù)中，通過不允許“依賴”方寫入應(yīng)用的整個屏幕來保護(hù)審查服務(wù)，從而使安全組件能夠阻止“中間人”攻擊，即允許罪犯模擬合法系統(tǒng)的動作。該方法由與啟用網(wǎng)絡(luò)的應(yīng)用相關(guān)聯(lián)的安全組件來啟用。在操作中，安全組件發(fā)起根據(jù)從依賴方接收的顯示信息繪制的窗口的嵌入?yún)^(qū)域的顯示。安全組件定義嵌入?yún)^(qū)域的至少一部分外觀，但依賴方可能不定義該部分。安全組件將依賴方的地址發(fā)送給信譽(yù)服務(wù)并向信譽(yù)服務(wù)查詢依賴方的信譽(yù)。然后，信譽(yù)服務(wù)返回關(guān)于依賴方的信譽(yù)信息。如果信譽(yù)信息指示依賴方是信譽(yù)好的，則安全組件允許啟用網(wǎng)絡(luò)的應(yīng)用與依賴方交換信息。
4、雖然諸如上述的服務(wù)提供者審查是已知的，但是仍然需要提供改進(jìn)的技術(shù)來確保給定實(shí)體已經(jīng)被可信審查服務(wù)審查的身份提供者。
技術(shù)實(shí)現(xiàn)思路
1、根據(jù)本公開，提供了一種用于促進(jìn)對與服務(wù)提供者(sp)相關(guān)聯(lián)的受保護(hù)資源的被準(zhǔn)許訪問的方法、裝置和計(jì)算機(jī)程序產(chǎn)品。被準(zhǔn)許訪問由安全策略定義，該安全策略包括定義用于獲得憑證的注冊要求的一個或多個規(guī)則，并且其中，該憑證是用于訪問受保護(hù)資源所需要的。
2、在代表性實(shí)施例中，由服務(wù)提供者執(zhí)行允許這種訪問的方法。該方法開始于服務(wù)提供者建立到第三方實(shí)體的信任根（root?of?trust），該信任根由第三方實(shí)體所保留的基于屬性的加密(abe)主秘密密鑰以及相關(guān)聯(lián)的abe主公共密鑰的一個或多個公共參數(shù)的集合來表示。該第三方實(shí)體提供“審查”服務(wù)。一旦服務(wù)提供者被審查，其就從第三方實(shí)體接收二進(jìn)制對象。第三方通過將abe主公共密鑰應(yīng)用于策略的一個或多個規(guī)則(表示為布爾謂詞（boolean?predicate）)來生成二進(jìn)制對象作為密碼對象，由此將策略編碼為密碼有效載荷。此后，假設(shè)客戶端應(yīng)用(例如，另一服務(wù)提供者)期望登記到服務(wù)提供者并與服務(wù)提供者交互操作。為此，服務(wù)提供者(直接或間接)從客戶端應(yīng)用接收對憑證的請求。該請求與基于屬性的加密用戶密鑰相關(guān)聯(lián)，abe用戶密鑰由第三方實(shí)體根據(jù)策略生成，并且包括策略所需的一個或多個屬性。服務(wù)提供者然后確定其在初始審查過程期間獲得的二進(jìn)制對象是否可以使用一個或多個公共參數(shù)和abe用戶密鑰來解密。如果是，則服務(wù)提供者向客戶端應(yīng)用發(fā)布憑證?？蛻舳藨?yīng)用然后使用憑證來訪問受保護(hù)資源，但在從不接收或具有對服務(wù)提供者的安全策略的訪問的情況下這樣做。該策略的一個或多個注冊規(guī)則始終通過被編碼在二進(jìn)制對象的密鑰有效載荷內(nèi)而保持模糊。
3、以上概述了所公開的主題內(nèi)容的一些更相關(guān)的特征。這些特征可被解釋為僅僅是說明性的。如下文將描述，可通過以不同方式應(yīng)用所公開的主題內(nèi)容或通過修改主題內(nèi)容來獲得許多其它有益結(jié)果。
1.一種用于實(shí)現(xiàn)對與服務(wù)提供者(sp)相關(guān)聯(lián)的受保護(hù)資源的被準(zhǔn)許訪問的方法，其中，被準(zhǔn)許訪問由安全策略定義，所述安全策略包括定義用于獲得憑證的注冊要求的一個或多個規(guī)則，所述憑證是用于訪問所述受保護(hù)資源所需要的，所述方法包括：
2.根據(jù)權(quán)利要求1所述的方法，其中，從客戶端應(yīng)用接收對所述憑證的所述請求。
3.根據(jù)權(quán)利要求2所述的方法，其中，所述客戶端應(yīng)用與第二服務(wù)提供者相關(guān)聯(lián)。
4.根據(jù)權(quán)利要求3所述的方法，還包括：
5.根據(jù)權(quán)利要求1所述的方法，其中，所述實(shí)體是第三方審查服務(wù)。
6.根據(jù)權(quán)利要求1所述的方法，還包括建立到所述實(shí)體的信任根，所述信任根由abe主秘密密鑰和所述一個或多個公共參數(shù)的集合表示。
7.根據(jù)權(quán)利要求6所述的方法，還包括確定在發(fā)布所述憑證之前所述服務(wù)提供者具有來自資源所有者的以訪問所述受保護(hù)資源的許可。
8.一種與服務(wù)提供者(sp)相關(guān)聯(lián)的裝置，包括：
9.根據(jù)權(quán)利要求8所述的裝置，其中，從客戶端應(yīng)用接收對所述憑證的所述請求。
10.根據(jù)權(quán)利要求9所述的裝置，其中，所述客戶端應(yīng)用與第二服務(wù)提供者相關(guān)聯(lián)。
11.根據(jù)權(quán)利要求10所述的裝置，其中，所述程序代碼還被配置為：
12.根據(jù)權(quán)利要求8所述的裝置，其中，所述實(shí)體是第三方審查服務(wù)。
13.根據(jù)權(quán)利要求8所述的裝置，其中，所述程序代碼還被配置為：
14.根據(jù)權(quán)利要求13所述的裝置，其中，所述程序代碼還被配置為確定在發(fā)布所述憑證之前所述服務(wù)提供者具有來自資源所有者的以訪問所述受保護(hù)資源的許可。
15.一種非暫時性計(jì)算機(jī)可讀介質(zhì)中的計(jì)算機(jī)程序產(chǎn)品，所述計(jì)算機(jī)程序產(chǎn)品保存計(jì)算機(jī)程序指令，所述計(jì)算機(jī)程序指令由與服務(wù)提供者(sp)相關(guān)聯(lián)的主機(jī)處理系統(tǒng)中的處理器執(zhí)行，以實(shí)現(xiàn)對與所述sp相關(guān)聯(lián)的受保護(hù)資源的被準(zhǔn)許訪問，其中，被準(zhǔn)許訪問由安全策略定義，所述安全策略包括定義用于獲得憑證的注冊要求的一個或多個規(guī)則，所述憑證是用于訪問所述受保護(hù)資源所需要的，所述計(jì)算機(jī)程序指令包括程序代碼，所述程序指令被配置為：
16.根據(jù)權(quán)利要求15所述的計(jì)算機(jī)程序產(chǎn)品，其中，從客戶端應(yīng)用接收對所述憑證的所述請求。
17.根據(jù)權(quán)利要求16所述的計(jì)算機(jī)程序產(chǎn)品，其中，所述客戶端應(yīng)用與第二服務(wù)提供者相關(guān)聯(lián)。
18.根據(jù)權(quán)利要求17所述的計(jì)算機(jī)程序產(chǎn)品，其中，所述程序代碼還被配置為：
19.根據(jù)權(quán)利要求15所述的計(jì)算機(jī)程序產(chǎn)品，其中，所述程序代碼還被配置為：
20.根據(jù)權(quán)利要求19所述的計(jì)算機(jī)程序產(chǎn)品，其中，所述程序代碼還被配置為確定在發(fā)布所述憑證之前所述服務(wù)提供者具有來自資源所有者的以訪問所述受保護(hù)資源的許可。