基于策略符合性的安全数据访问.pdf

《基于策略符合性的安全数据访问.pdf》由会员分享，可在线阅读，更多相关《基于策略符合性的安全数据访问.pdf（26页珍藏版）》请在专利查询网上搜索。

1、(10)申请公布号 CN 103988169 A (43)申请公布日 2014.08.13 C N 1 0 3 9 8 8 1 6 9 A (21)申请号 201280047169.1 (22)申请日 2012.09.26 13/246,445 2011.09.27 US G06F 7/04(2006.01) (71)申请人亚马逊技术股份有限公司 地址美国内华达州 (72)发明人 GD贝尔 GB罗斯 (74)专利代理机构上海专利商标事务所有限公 司 31100 代理人张欣 (54) 发明名称 基于策略符合性的安全数据访问 (57) 摘要 对计算资源的访问根据在使得能对所述计算 资源进行访问之前。

2、客户端对一系列的安全策略的 符合性进行授权。在客户端上提供一种应用程序， 所述应用程序使用认证种子生成验证代码。在对 所述客户端授予生成验证代码所必需的所述认证 种子之前，服务器可以对所述客户端执行策略检 查。一些实施方案通过以下方式确保所述客户端 与由认证方所强加的安全策略符合：从所述客户 端检索多个参数值并确定这些参数值与所述安全 策略是否符合。在确定符合后，向所述客户端发布 所述认证种子。在一些实施方案中，提供所述认证 种子以便在生成验证代码后执行策略检查。当确 定所述客户端与所述安全策略符合时，给予所述 客户端对安全信息的访问权。 (30)优先权数据 (85)PCT国际申请进入国家阶段。

3、日 2014.03.27 (86)PCT国际申请的申请数据 PCT/US2012/057383 2012.09.26 (87)PCT国际申请的公布数据 WO2013/049246 EN 2013.04.04 (51)Int.Cl. 权利要求书2页 说明书16页 附图7页 (19)中华人民共和国国家知识产权局 (12)发明专利申请 权利要求书2页 说明书16页 附图7页 (10)申请公布号 CN 103988169 A CN 103988169 A 1/2页 2 1.一种由服务器认证客户端的方法，所述方法包括： 在配置有可执行指令的一个或多个计算机系统的控制下， 从所述客户端接收对安全信息进行访。

4、问的请求，所述请求包括至少部分基于所述客户 端和所述服务器可获取的认证种子而生成的至少一个响应代码； 从所述客户端接收安全参数值集合，以便确定所述客户端的安全设置是否符合安全策 略集合； 确定所述安全参数值集合是否指示所述客户端与所述安全策略集合符合；以及 在确定所述客户端与所述安全策略集合符合后，使得所述客户端能访问安全信息。 2.如权利要求1所述的方法，其进一步包括： 在接收所述请求后，从所述客户端请求所述安全参数值集合，所述安全参数值集合对 应由所述服务器所强加的所述安全策略集合。 3.如权利要求1所述的方法，其中所述响应代码的生成进一步是基于用户名、密码、当 前时间、计数器、先前认证代。

5、码、所述请求或者由所述服务器所提供的质询中的至少一个。 4.如权利要求1所述的方法，其中所述确定步骤包括与策略强制执行代理实时通信以 证实所述安全参数值集合符合所述对应的策略集合。 5.如权利要求1所述的方法，其进一步包括： 在接收所述请求后，向所述客户端发送指令集合；以及 使得所述客户端能执行所述指令集合，以便确定所述客户端与所述安全策略集合是否 符合，其中所述安全参数值集合包括通过执行所述指令集合而来的输出。 6.如权利要求1所述的方法，其中所述安全参数值集合包括所述客户端的当前位置的 标识符，所述标识符是位于由所述对应的安全策略所规定的允许区域内的。 7.如权利要求1所述的方法，其中所述。

6、请求进一步包括用户名和密码，其中在验证所 述用户名和所述密码后，使得所述客户端能访问信息。 8.如权利要求1所述的方法，其中所述安全策略集合包括在所述客户端与执行所述确 定的认证方所选择的位置之间的最大允许距离。 9.一种计算机系统，其被配置成通过符合安全策略而来获得对安全信息的访问权，所 述计算机系统包括： 至少一个处理器，其连接到存储器上，所述存储器包括在执行后导致所述计算机系统 执行以下操作的指令： 激活提供对安全信息的访问的应用程序； 至少部分基于种子值来生成认证代码； 向服务器发送对安全信息进行访问的请求，所述请求包括至少所述认证代码； 将参数值集合提供给被配置来确定所述客户端与安全。

7、策略集合是否符合的所述服务 器；以及 当确定所述客户端与所述安全策略集合符合时，获得对所述安全信息的访问权。 10.如权利要求9所述的计算机系统，其中所述存储器进一步包括在执行后导致所述 计算机系统执行以下操作的指令： 接收对与所述安全策略集合相关的所述参数值集合的请求。 11.如权利要求9所述的计算机系统，其中所述认证代码使用应用程序来生成，所述应 权 利 要 求 书CN 103988169 A 2/2页 3 用程序包括被引导到所述客户端上的认证种子。 12.如权利要求9所述的计算机系统，其中所述存储器进一步包括在执行后导致所述 计算机系统执行以下操作的指令： 使用所述客户端上的位置确定元件。

8、来确定当前位置，其中被发送到所述服务器的所述 参数值集合中的一个参数值是基于所述确定位置的。 13.如权利要求9所述的计算机系统，其中所述存储器进一步包括在执行后导致所述 计算机系统执行以下操作的指令： 请求所述安全策略集合的更新版本；以及 使用所述安全策略集合的所述更新版本来确定所述客户端是否符合。 14.如权利要求13所述的计算机系统，其中在每次做出对安全信息进行访问的请求时 检索所述更新版本，以便确保客户端与更新过的安全策略符合。 15.如权利要求9所述的计算机系统，其中当所述客户端包括被启用的远程清除能力 和最小pin长度要求中的至少一个时，所述客户端与所述安全策略集合中的一个安全策略。

9、 符合。 权 利 要 求 书CN 103988169 A 1/16页 4 基于策略符合性的安全数据访问 0001 背景 0002 人们越来越多地使用计算装置完成各种不同任务，如检查电子邮件、访问公司信 息和管理公司联系信息。随着通过计算装置来访问的信息的量增加，对保护存储在计算装 置上或通过计算装置可访问的信息的需要持续增加。可以应用策略而来控制对各种计算资 源的访问并且保护通过计算装置可访问的信息。 0003 策略强制执行通常包括用户认证，其中用户通过各种过程而来确认他或她的身 份，以获得对一个或多个计算资源的访问权。出于各种原因，用于可能希望获得对包括敏感 或安全信息的各种类型信息的访问权。

10、，并且可能期望使得用户在其计算装置上对此类信息 进行访问。在这些实例中的一些实例中，通常期望在授权用户进行访问前要求更可靠认证 (如多因素认证)。实现可靠认证所用常规技术可能是麻烦的，并且在许多实例中，所述常 规技术可能涉及不必要的风险。 0004 附图简述 0005 将参照附图描述根据本公开的各个实施方案，在附图中： 0006 图1示出可根据一个实施方案使用的网络配置的实施例； 0007 图2示出根据一些实施方案的用于在认证代码产生时验证客户端与一系列的安 全策略的符合性的操作流程的实施例； 0008 图3示出根据一些实施方案的用于在使得客户端能访问安全信息前验证客户端 与一系列的安全策略的。

11、符合性的示例操作流程； 0009 图4示出根据一个实施方案的用于验证客户端与由多因素认证服务器强制执行 的安全策略集合的符合性的示例操作流程； 0010 图5示出根据一些实施方案的用于通过符合安全策略集合而来获得对安全信息 的访问权的示例过程； 0011 图6示出根据一些实施方案的用于由服务器来认证客户端的示例过程； 0012 图7示出根据一些实施方案的用于通过符合安全策略而来获得对安全信息的访 问权的示例过程； 0013 图8示出可根据各个实施方案使用的示例便携计算装置的前视图和后视图； 0014 图9示出电子计算装置中的一组基础组件，所述电子计算装置如参照图8描述的 装置；以及 0015 。

12、图10示出可实现各个实施方案的环境。 0016 详述 0017 根据本公开的各个实施方案的系统和方法可以克服管理对电子环境中的敏感信 息和/或资源的访问的常规方法中经历的前述和其它缺点中一个或多个。具体地说，一些 实施方案可以在使得电子装置用户能对敏感信息和/或资源进行访问前要求电子装置符 合多个安全策略。例如，一些实施方案仅当确定将在装置上强制执行多个安全特征时，如当 要求最小长度密码、要求在多次失败尝试后进行自动的自清除(即，要求装置从存储器删 除所有数据)、要求存储加密、要求远程清除能力(即，要求装置能使装置管理员或用户远 说 明 书CN 103988169 A 2/16页 5 程删除存。

13、储器中数据)、要求装置定位在特定区域内、要求所述装置处于高度或温度范围内 等时，使得电子装置能获得对敏感或安全信息和/或资源的访问权。 0018 一些实施方案提供认证代码生成应用程序，所述认证代码生成应用程序能够使用 随机密钥(如认证种子或共享保密密钥)生成认证代码或验证代码。随机密钥可由至少两 方(例如，客户端装置和服务器)共享，以便能在两方之间进行认证。在客户端装置上激活 应用程序后，例如，客户端装置(或一些实施方案中的移动计算装置)能将请求自动发送到 服务器，以便检查装置的符合性。 0019 在一些实施方案中，请求包括用户凭证(例如，用户名、口令)。在一些实例中，客 户端装置还可以提供安。

14、全参数值集合，所述安全参数值集合包括与客户端装置有关的信息 (例如，在用户获得对装置上的内容的访问权前在客户端装置上要求的pin长度、装置位置 信息、装置是否符合某些安全要求(即，确认应答)等)。在一些实施方案中的服务器确定 客户端装置是否符合所强加的(imposed)规定和政策(例如，通过请求第三方策略强制执 行代理来执行所述确定、通过传送程序代码到客户端装置以供执行、通过使客户端装置运 行安装在客户端装置上的程序而来执行所述确定)。 0020 在确定客户端装置与所强加的安全策略符合后，本实施方案中的服务器向客户端 装置发布认证种子。在一些实施方案中，在客户端装置上的应用程序使用认证种子生成。

15、用 户获得对敏感信息的访问权所必需的认证代码。一些实施方案在接收有效的用户名、密码 以及认证代码后提供对安全信息的访问权。例如，在客户端装置上的相同或不同的应用程 序可以在用户输入有效的用户名、密码以及认证代码后使得用户访问公司数据。 0021 在一些实施方案中，认证代码生成应用程序在激活后生成认证代码。可将初始序 列或共享密钥(shared secret)引导到客户端装置中，以使应用程序可以使用存储或预载 到装置上的所述共享密钥生成认证代码。除了共享密钥之外，认证代码可以基于用户凭据 (例如，用户名、密码)、当前时间标记和/或事件(例如，在用户选择可选用户界面项目后) 生成。在一些实施方案中。

16、，装置可以通过用户输入一系列的数据字符、通过扫描其中可嵌入 认证代码的快速响应(QR)代码而来获得共享密钥。 0022 在应用程序上生成认证代码后，一些实施方案的客户端装置自动向服务器(例 如，供应服务器)发送请求，以便确定客户端装置与安全策略是否符合。在一些实施方案 中，服务器使得第三方策略强制执行代理能够确定客户端装置与安全策略当前是否符合。 一些实施方案使得服务器能向客户端装置发送程序代码以供执行，以便确定客户端装置是 否符合。一些实施方案的服务器使客户端装置运行安装在客户端装置上以便执行确定的程 序。 0023 在检验到客户端装置符合安全策略后，服务器会对客户端装置对敏感信息和/或 资。

17、源的访问进行授权。在一些实施方案中，敏感信息可为公司电子邮件、公司联系信息和/ 或日程信息。通过在授予对安全信息的访问权前要求对一系列的安全策略(例如，公司策 略)的符合，相关方(例如，公司)可合理确保安全信息受到良好保护。安全策略还可实时 更新，以便使客户端装置相应调整它的安全设置。在一些实施方案中，策略检查定期性地执 行，而一些实施方案是在每次做出验证尝试时(例如，当用户尝试登录公司电子邮箱账户 时)执行策略检查。 0024 下文参照各个实施方案呈现各种其它应用、功能以及优点。应当理解，尽管描述和 说 明 书CN 103988169 A 3/16页 6 各附图提供多个实例，但未充分描述在各。

18、个实施方案范围内可能的替代方案和变体。然而， 本领域的普通技术人员将会根据本文中所包含的教义和建议而清楚替代方案和变体。 0025 图1示出可根据一个实施方案使用的网络配置的实施例。在此实施例中，终端用 户装置或客户端装置102能够通过网络104连接，以便访问至少一个主机或服务器106。客 户端可访问至少一个共享保密数据储库112，所述共享保密数据储库112用于存储一个或 多个共享保密密钥或认证种子。服务器可访问用于服务来自用户装置102的请求的至少 一个数据储库108、和用于存储一个或多个共享密钥或认证种子的一个共享保密数据储库 114。服务器和用户装置可以共享用于认证的一个或多个认证种子。。

19、如所提及，用户装置上 的认证种子在一些实施方案中可以是在用户接收用户装置前引导到所述用户装置上的初 始序列。用户装置用户可能已经通过以下方式获得认证种子：扫描条形码或QR代码、输入 一系列的字符、从电子邮件中提取所述认证种子等等。在一些实施方案宏，存储在存储器 108和114中的数据被存储在一个物理存储器(例如，硬盘、RAM等等)中。在其它实施方 案中，各种数据都存储在单独物理存储器(例如，不同类型的存储器、不同磁盘等等)中，或 一种类型以上数据存储在一个物理存储器中，而其它类型数据存储在不同物理存储器中。 另外，可将数据集合中的一个或多个数据集合分布在多个物理存储器上。 0026 可能存在有。

20、关用户装置102和服务器106或数据库108而使用的若干类型的安全 和管理策略，所述若干类型的安全和管理策略可由能够为服务器、主机以及任何相关组件 配置并且管理安全策略符合性的安全管理管理员装置110控制。例如，用户可以激活认证 代码生成应用程序，所述认证代码生成应用程序导致服务器106在用户装置102上执行策 略检查。在另一个实施例中，服务器可要求对用户装置102的安全认证，以便提供对由服务 器所提供的服务或者功能的访问，并且服务器可要求对在数据储库108中访问和/或存储 数据的不同安全标准。当执行对用户装置的认证时，可以使用共享保密数据储库112和114 中每个中的一个或多个共享保密密钥。。

21、用户装置可以使用其共享保密数据储库112中的一 个或多个共享保密密钥生成认证代码，而服务器可以使用其共享保密数据储库114中的一 个或多个共享保密密钥认证用户装置。如本文中所讨论并建议，可以利用各种其它类型的 安全。 0027 图2示出操作流程200的实施例，所述操作流程200用于根据一些实施方案在认 证代码产生时验证客户端与一系列的安全策略的符合性。在此实施例中，用于生成认证代 码的应用程序(例如，软件令牌生成程序)是安装在客户端装置202上。在一些实施方案 中，在用户激活应用程序后，或者在用户在应用程序中输入有效的用户名和/或密码后，生 成认证代码。除了导入装置上的共享保密值或认证种子之外。

22、，一些实施方案中的应用程序 基于特定事件(例如，用户对按钮的选择、每隔六十秒、每次在激活应用程序时)和/或当 前时间值来生成认证代码。 0028 在一些实施方案中，认证种子或初始序列可引导到装置上。一些实施方案使用稍 后导入装置上的认证种子生成认证代码。例如，装置可以通过拍摄其中嵌入认证种子的条 形码、接收包括了认证种子的来电文本消息、用户输入长数据段等等而来获得认证种子。 0029 在此实施例中，在208，向服务器204发送请求，以便请求对安全信息的访问。请求 可以包括用户的用户名、密码和/或使用导入装置上的认证种子来生成的认证代码。在一 些实施方案中，响应用户请求通过内部网站或装置上的应用。

23、程序并通过用户凭据验证而来 说 明 书CN 103988169 A 4/16页 7 访问安全信息(例如，公司电子邮件)，向服务器发送请求。在一些实施方案中的客户端装 置响应接收用户凭据(例如，用户名和密码)并且在接收所生成的认证代码后向服务器发 送请求。一些实施方案在认证代码生成后向服务器自动发送请求。 0030 为了检验客户端装置与安全策略集合符合，在一些实施方案中，服务器会执行一 系列的问询以便确定当前由客户端装置所强制执行的安全策略。在此实施例中，在210， 服务器向客户端请求与安全策略集合对应的参数值集合(例如，有关客户端装置的配置信 息、符合性确认等等)，所述参数值集合是服务器执行所。

24、述确定所必需的。在一些实施方案 中，安全策略集合由管理员规定。在一些实施方案中，管理员可以是公司安全人员，其将安 全策略符合性指定为用以对用户访问授权的状况。安全策略集合可以包括以下要求：客户 端装置的当前位置在阈值区域内和/或在阈值温度和/或高度范围内；客户端装置的pin 长度将为至少一个阈值长度；装置启用远程清除；装置连接到特定无线/有限网络集合上； 认证方(例如，客户端装置)和认证器(例如，服务器、数据中心)或由认证器所选择的位 置(例如，总部)在彼此阈值距离内；等等。 0031 在212，在服务器的请求后，客户端装置会发送由服务器所请求的参数值集合。在 一些实施方案中，客户端装置在服务。

25、器未请求参数值集合的情况下发送与安全策略集合对 应的参数值集合。客户端装置可将参数值集合与用户对访问安全信息的初始请求一起发 送。在一些实施方案中，客户端装置具有安全策略集合的副本，以便在装置发送初始请求前 确定参数值集合。一些实施方案使客户端装置能够请求安全策略集合的更新副本，以便客 户端装置能确定与更新过的安全策略对应的参数值集合。 0032 在一些实施方案中，服务器执行与所述客户端装置与所述安全策略集合是否符合 有关的确定。在214，一些实施方案使服务器能够向第三方策略强制执行代理206发送从客 户端装置接收到的参数值集合以执行符合性确定。在一些实施方案中，策略强制执行代理 随后确定客户。

26、端装置与策略集合是否符合。在一些实施方案中，客户端装置可通过从服务 器获得安全策略集合的更新版本来执行策略检查。在执行确定后，客户端装置就可以向服 务器告知所述客户端装置是否符合。 0033 在此实施例中，在216，策略强制执行代理在执行确定后向服务器告知与客户端装 置与安全策略集合是否符合有关的内容。在218，在确定客户端装置与安全策略集合符合 后，服务器就使客户端装置能够获得对安全信息的访问权。如果策略强制执行代理确定客 户端装置与安全策略集合并不符合，那么客户端装置就可能无法访问安全信息。在一些实 施例中的客户端装置可以调整它的安全设置并且尝试再次获得访问权。 0034 在一些实施方案中。

27、，在210，服务器可请求客户端装置或导致客户端装置在客户端 装置上执行程序代码(例如，通过向客户端装置发送代理)，而非请求与安全策略集合对应 的安全参数值集合。在一些实施方案中，可以独立于客户端装置所做修改来更新代理或程 序代码，以使更新过的程序代码可以通过检测欺骗代码来确保客户端的符合性。在运行程 序代码后，可将输出传送到服务器，以使服务器可确定客户端装置与安全策略是否符合。在 一些实施方案中，在接收客户端装置的对访问安全信息的初始请求后，服务器将可执行代 码或程序代码发送到客户端装置。替代向客户端装置发送程序代码，一些实施方案的服务 器可以在接收客户端装置的初始请求后导致客户端装置在客户端。

28、装置上运行下载好的程 序或代理220。 说 明 书CN 103988169 A 5/16页 8 0035 在此类实施方案中，在212，客户端装置会执行代码并且向服务器发送输出。输出 可以是指示客户端装置与安全策略集合确实符合的一系列的应答。在一些实施方案中，输 出可以是使得服务器能针对客户端装置与安全策略是否符合执行进一步的确定的值集合。 在一些实施方案中，在218，服务器则针对客户端装置与安全策略是否符合使用接收的值或 来自所执行的程序代码的输出执行确定，并在确定客户端装置符合后提供对安全信息的访 问。 0036 图3示出根据一些实施方案的用于在使得能够访问安全信息前验证客户端与一 系列的安。

29、全策略的符合性的示例操作流程300。在此实施例中，用于使用一个或多个共享保 密密钥来生成认证代码的应用程序是安装在客户端装置302上。在将客户端装置上的认证 代码生成应用程序激活后，在308，在一些实施方案中的客户端装置向服务器304发送请求 以请求认证种子或共享密钥。在激活应用程序并且从客户端装置用户接收凭据(例如，用 户名和/或pin)后，一些实施方案可以向服务器发送请求。在一些实施方案中，客户端装 置可以确定与安全策略集合对应的安全值集合，并且在请求认证种子时向服务器发送所确 定的值集合(例如，与客户端装置对认证种子的初始请求一起)。 0037 在向客户端装置发布认证种子前，服务器会确定。

30、客户端装置与安全策略集合是否 符合。在此实施例中，在310，服务器会从客户端装置请求参数值集合，以便确定客户端与安 全策略集合是否符合。如上提及，安全策略集合可以是由管理员强制执行的策略，所述安全 策略集合要求在允许装置获得对安全信息的访问权前在装置上实现多个安全机制。安全策 略可以包括以下要求：要求装置在装置用户执行阈值数量以上的登录尝试后执行自清除； 最小pin长度要求；要求装置启用远程清除；要求装置在特定高度范围内；要求装置连接到 特定的计算机网络上；等等。 0038 在此实施例中，响应于服务器对参数值集合的请求，在312，客户端装置会确定参 数值集合并且向服务器发送所述参数值集合。尽管。

31、在此实施例中，服务器是向客户端装置 发送对参数值集合的请求，但是在一些实施方案中，无论服务器的请求如何，客户端装置都 确定并且发送参数值集合。随后，服务器可使用参数值集合来执行策略符合性确定。在一 些实施方案中，在314，服务器是请求第三方策略强制执行代理306来执行确定。策略强制 执行代理随后确定客户端装置与策略集合是否符合。在一些实施方案中，策略强制执行代 理从服务器定期获得安全策略的更新副本。一些实施方案使得策略强制执行代理能够在服 务器请求策略强制执行代理来执行确定时从服务器获得安全策略的更新副本。在确定客户 端装置是否符合后，在316，策略强制执行代理向服务器告知客户端是否符合。 0。

32、039 在一些实施方案中，当策略强制执行代理已经确定客户端装置是符合时，在318， 服务器生成认证种子并且向客户端装置发送所述认证种子(例如，通过安全连接)。在接收 认证种子后，客户端装置可使用认证种子生成认证代码。在一些实施方案中，应用程序接收 认证种子并将其存储在存储器中。在一些实施方案中，每次在装置用户激活应用程序时，应 用程序就可使用认证种子生成新的认证代码。在一些实施方案中，每次在激活应用程序并 且请求认证代码时，客户端装置都发送请求以便验证装置的符合性。 0040 如所描述，在310，服务器可请求客户端装置或导致客户端装置在客户端装置上执 行指令或者程序代码集合以执行符合性确定，而。

33、非请求安全参数值集合(例如，与装置有 关的值集合、指示装置是否符合的值集合(即，是、否)。随后，客户端装置可通过执行指 说 明 书CN 103988169 A 6/16页 9 令集合针对客户端装置与安全策略是否符合而来执行安全策略检查。在一些实施例中，在 接收客户端装置的对认证种子的初始请求后，服务器将可执行的程序代码传送到客户端装 置。替代向客户端装置发送程序代码，一些实施方案的服务器可以在接收客户端装置的初 始请求后导致客户端装置在客户端装置上运行预下载的程序或代理320。 0041 在此类实施方案中，在312，客户端装置会执行代码并且向服务器发送输出。输出 可以是指示客户端装置与安全策略。

34、集合符合的应答值。在一些实施方案中，输出可以是使 得服务器能针对客户端装置与安全策略是否符合执行确定的值集合。在一些实施方案中， 在318，服务器则针对客户端装置与安全策略是否符合使用接收的值或来自所执行的程序 代码的输出执行确定，并在确定客户端装置符合后提供认证种子或者共享保密密钥。 0042 图4示出根据一个实施方案的用于验证客户端与由多因素认证服务器强制执行 的安全策略集合的符合性的示例操作流程400。然而，应当理解，在各个实施方案范围内，对 于本文所述任何过程都可存在以类似或替代次序执行或者并行执行的另外、更少或替代步 骤，除非另外说明。在此实施例中，从客户端装置接收对认证种子的请求4。

35、02。如所描述，认 证种子是包括安全信息的共享保密密钥，用于使持有认证种子的两方能对彼此进行认证。 在一些实施方案中，客户端会从服务器请求认证种子，促使服务器在向客户端装置发布认 证种子前在客户端装置上执行安全策略检查。认证种子可以通过服务器(例如，通过系统 管理员)或客户端(例如，当客户端装置的用户手动输入若干数据字符或者扫描其中嵌有 种子的条形码时)改变。 0043 如所提及，在一些实施方案中，在激活认证代码生成应用程序后，服务器可接收对 认证种子的请求。一些实施方案在客户端装置的用户输入有效的用户名和/或密码时接收 请求。响应来自客户端装置的对认证种子的请求，向客户端装置发送对与安全策略。

36、集合对 应的参数值集合的请求404。在一些实施方案中，服务器向客户端发送对参数值集合的请 求，以便确定客户端与由服务器所强加的安全策略集合是否符合。安全策略集合可以包括 对客户端的位置要在特定区域内的要求、对访问客户端装置的内容的密码要求、在装置上 使远程清除启用的要求、对安装在客户端上的更新补丁级别的要求、对加密存储的要求、在 多次密码输入错误后进行自动自清除的要求等等。不同实施方案可以强加不同的要求或安 全策略集合或其不同组合，在使客户端能够对安全或敏感信息进行访问前，客户端必须与 所述不同的要求或安全策略集合符合。 0044 在一些实施方案中，替代请求与安全策略集合对应的参数值集合，服务。

37、器会向客 户端发送请求以便问询客户端是否符合。在接收请求后，所强加的或更新的策略的副本可 与请求一起由服务器发送，或者由客户端检索。在一些实施方案中，如果客户端的缓存副本 太旧，那么客户端可检索更新过的策略的副本。客户端还可以使用在其创建时提供的策略 副本。在一些实施方案中，随后。客户端可执行确定并且接着向服务器告知客户端是否符 合。 0045 随后，从客户端装置接收参数值集合406。确定参数值集合是否指示客户端装置与 安全策略集合符合408。在一些实施方案中，确定参数值中每个以便确定其与其对应的安全 策略是否符合。在一个实例汇总，确定移动装置上的六码pin要求与要求最小四码pin的 安全策略。

38、符合。在另一实例中，确定因三次错误pin输入而启用的自动自清除能力符合所 强加的要求在最多五次尝试后的自动自清除的安全策略中的一个。在一些实施方案中，当 说 明 书CN 103988169 A 7/16页 10 满足一个安全参数但不满足另一安全参数时，可与安全策略符合。例如，一些实施方案可以 在客户端装置使远程清除能力启用或者实现最小pin长度要求(例如，要求至少4码pin) 时确定客户端与安全策略要求符合。 0046 一些实施方案使服务器执行这种策略检查，而一些实施方案则使第三方策略强制 执行代理执行策略检查。随后，服务器可向策略强制执行代理发送参数值集合，以便确定参 数值集合是否指示客户端。

39、与安全策略符合。如所描述，一些实施方案使客户端装置能够执 行策略检查(例如，通过执行在客户端装置上或从服务器接收到的程序代码)。 0047 当参数值集合指示客户端装置与安全策略集合符合时，向客户端装置发送认证种 子410。一些实施方案的客户端随后使用认证种子生成认证代码。在一些实施方案中，认证 代码能够基于当前时间和认证种子生成。一些实施方案使用当前时间、认证种子以及如用 户的用户名和/或密码等其它另外因素生成认证代码。在一些实施方案中，随后，客户端可 使用认证代码和/或用户名和密码获得对敏感信息的访问权。 0048 当参数值集合指示客户端装置与安全策略集合并不符合时，向客户端装置发送错 误消。

40、息412。错误消息可以显示在客户端装置的显示器元件上，以向用户告知装置配置并不 符合安全策略。为了获得对敏感信息的访问权，装置的配置或安全设置可以修改以便符合 安全策略。 0049 图5示出根据一些实施方案的用于通过符合安全策略集合而来获得对安全信息 的访问权的示例过程500。在此实施例中，向服务器发送对认证种子的请求502。在一些实 施方案中，客户端装置响应于装置用户尝试获得对安全信息的访问权来发送请求。从服务 器接收对与由服务器所规定的安全策略集合对应的安全参数值集合的请求504。如所讨论， 可以规定多个安全策略以便在能够访问敏感信息前确保客户端装置与安全策略符合。 0050 向服务器发送。

41、安全参数值集合以便确定客户端与安全策略集合是否符合506。在 一些实施方案中，服务器向外部系统或者策略强制执行代理发送安全参数值集合以便执行 确定。在一些此类实施方案中，策略强制执行代理获得安全策略副本并且使用安全参数值 集合确定客户端与每个安全策略是否符合。一些实施方案使服务器能够针对客户端装置与 安全策略集合是否符合而使用从装置获得的安全参数值集合来执行确定。 0051 当确定客户端与安全策略集合并不符合时，接收错误消息508。当确定客户端与安 全策略集合并不符合时，服务器向客户端发送错误消息。在一些实施方案中，在没有获得认 证种子或共享保密密钥的情况下，客户端可能无法获得对敏感信息的访问。

42、权。当确定客户 端与安全策略集合符合时，接收认证种子510。在一些实施方案中，服务器向客户端发送认 证种子以使客户端可以使用认证种子生成认证代码。除了认证种子之外，一些实施方案使 用用户的用户名和/或密码生成认证代码。在一些实施方案中，随后，客户端能使用认证代 码和/或用户名和密码获得对安全或敏感信息的访问权。 0052 图6示出根据一些实施方案的用于由服务器(例如，供应服务器)来认证客户端 的示例过程600。在此实施例中，从客户端接收对安全信息进行访问的请求602。在一些实 施方案中，请求包括用户名、密码以及使用在客户端装置上的认证种子或共享密钥生成的 响应代码。在一些实施方案中，响应代码可。

43、以使用认证种子以及客户端装置的用户的用户 名和/或密码生成。在一些实施方案中，在用户激活客户端上用于访问敏感信息的应用程 序(例如，提供对公司日程、联系信息以及电子邮件的访问的应用程序)后，从客户端接收 说 明 书CN 103988169 A 10 8/16页 11 请求，并且尝试在输入用户名、密码以及响应代码后获得对信息的访问权。 0053 响应请求，向客户端装置发送与安全策略集合对应的参数值集合604。一些实施方 案的服务器向客户端装置发送对参数值集合的请求，以便确定客户端装置与安全策略集合 是否符合。在一些实施方案中，从客户端接收参数值集合606。确定参数值集合是否指示客 户端装置与安全。

44、策略集合符合608。如上提及，服务器可执行确定，或者服务器可请求外部 策略强制执行代理执行确定。客户端的安全参数值集合指示：如果安全参数值中每个落在 安全策略集合中的每个所指示的允许范围内，那么客户端与安全策略集合符合。 0054 在确定安全参数值集合指示客户端与安全策略集合符合后，客户端能访问访问安 全信息610。在一些实施方案中，在确定客户端与安全策略符合后，服务器向客户端授权 对敏感信息进行访问。当确定客户端与安全策略集合并不符合时，向客户端发送错误消息 612。错误消息可以通过装置用户界面来向客户端装置的用户显示。 0055 图7示出根据一些实施方案的用于通过符合安全策略而来获得对安全。

45、信息的访 问权的示例过程700。在此实施例中，将使得能对安全信息进行访问的应用程序激活702。 在一些实施方案中，应用程序就是认证代码生成应用程序。一些实施方案中的应用程序可 以提供对安全信息的访问，同时提供认证代码生成。认证代码基于当前时间值和种子值来 生成704。在一些实施方案中，种子值是已经由客户端装置获得(例如，通过电子邮件、通过 SMS、通过扫描条形码等)的共享种子或认证种子。一些实施方案使用当前时间和种子值生 成认证代码，而一些实施方案可使用另外的值(如装置用户的用户名和/或密码)生成认 证代码。 0056 向服务器发送对安全信息进行访问的请求706。在一些实施方案中，所发送的请求。

46、 包括认证代码。接收对与安全策略集合有关的参数值集合的请求708。响应于客户端请求 访问安全信息，服务器可向客户端请求发送与安全策略集合有关的参数值集合。向服务器 发送参数值集合以便确定客户端与安全策略集合是否符合710。当确定客户端与所述安全 策略集合符合时，获得对所述安全信息的访问权712。在一些实施方案中，服务器执行与所 述客户端装置与安全策略集合是否符合有关的确定。一些实施方案使服务器能向外部系统 或者策略强制执行代理发送安全参数值集合以便执行确定。当服务器确定客户端与安全策 略集合符合时，客户端可获得对安全信息的访问权。 0057 本公开的示例实施方案可以鉴于以下条款进行描述： 00。

47、58 1.一种验证客户端与安全策略集合的符合性以授权访问安全数据的方法，所述方 法包括： 0059 在配置有可执行指令的一个或多个计算机系统的控制下， 0060 接收来自移动装置对认证种子的请求，所述认证种子包括安全信息，认证代码可 以从所述安全信息中得出； 0061 响应所述请求，将对与安全策略集合对应的参数值集合的请求发送到所述移动装 置，以便确定所述移动装置是否符合所述安全策略集合； 0062 接收来自所述移动装置中的所述参数值集合。 0063 确定所述参数值集合是否指示所述移动装置符合所述安全策略集合；以及 0064 当所述参数值集合指示所述移动装置符合所述安全策略集合时，将所述认证种。

48、子 发送给所述移动装置，以使所述移动装置能够生成所述认证代码，所述认证代码能够至少 说 明 书CN 103988169 A 11 9/16页 12 部分基于所述认证种子生成。 0065 2.如条款1所述的方法，其中所述认证代码的生成进一步是基于当前时间值、计 数器、先前认证代码、所述请求或者由所述服务器所提供的质询(challenge)中的至少一 个。 0066 3.如条款1所述的方法，其进一步包括： 0067 当所述参数值集合指示所述移动装置并不符合所述安全策略集合时，将错误消息 发送到所述移动装置。 0068 4.如条款1所述的方法，其中所述安全策略集合包括最小pin长度、被启用的远程 清。

49、除、最新的补丁级别、加密存储、在最多次数错误输入/尝试后被启用的自动的自清除、 所述移动装置是与公司电子邮件系统关联，所述移动装置在特定高度范围内，所述移动装 置在特定温度范围内，所述移动装置连接到特定无线网络上，或者所述移动装置在某个位 置范围内。 0069 5.如条款1所述的方法，其中确定所述参数值集合是否指示所述移动装置符合 包括与策略强制执行代理实时通信以证实(verify)所述参数值集合符合所述安全策略集 合。 0070 6.如条款1所述的方法，其中确定所述参数值集合是否指示所述移动装置符合包 括将软件传送到所述移动装置以供在所述移动装置上执行，其中从所述移动装置接收的所 述参数值集合包括通过执行所述软件而得到的输出。 0071 7.如条款1所述的方法，其进一步包括： 0072 指示所述移动装置强加所述策略集合中的至少一个策略到所述移动装置上。 0073 8.如条款1所述的方法，其中在登录时从所述移动装置的用户处接收用户名和密 码后，执行对所述认证种子的所述请求。 0074。