《基于网络状态控制访问.pdf》由会员分享，可在线阅读，更多相关《基于网络状态控制访问.pdf（12页珍藏版）》请在专利查询网上搜索。
1、10申请公布号CN104205763A43申请公布日20141210CN104205763A21申请号201280067338822申请日20120126H04L29/06200601H04L29/08200601G06F21/57201301H04W12/0820090171申请人惠普发展公司，有限责任合伙企业地址美国德克萨斯州72发明人克里斯托弗J格雷姆74专利代理机构北京德琦知识产权代理有限公司11018代理人康泉宋志强54发明名称基于网络状态控制访问57摘要本文的实施例涉及基于网络的状态信息，控制对设备的访问。该设备连接至该网络并检测来自该网络的状态信息。此外，基于所检测的状态信息，该。
2、设备控制对该设备的特征的访问。不管该设备的电源状态和该设备的操作系统OS的操作状态中至少一种如何，该设备都检测该状态信息且控制访问。85PCT国际申请进入国家阶段日2014071786PCT国际申请的申请数据PCT/US2012/0227522012012687PCT国际申请的公布数据WO2013/112161EN2013080151INTCL权利要求书2页说明书5页附图4页19中华人民共和国国家知识产权局12发明专利申请权利要求书2页说明书5页附图4页10申请公布号CN104205763ACN104205763A1/2页21一种客户端设备，包括网络控制器，用于将所述客户端设备连接至网络；以及。
3、控制模块，用于经由所述网络控制器检测来自所述网络的状态信息，并且基于所检测的状态信息控制对所述客户端设备的访问，其中不管所述客户端设备的电源状态和所述客户端设备的操作系统OS的操作状态中至少一种如何，所述控制模块都检测所述状态信息。2根据权利要求1所述的客户端设备，其中当所述OS的所述操作状态不是开启状态以及所述客户端设备的所述电源状态是关闭状态中至少一种时，所述控制模块与所述网络控制器通信。3根据权利要求2所述的客户端设备，其中在加载所述客户端设备的OS之前，所述控制模块访问所述网络控制器，以检测所述状态信息。4根据权利要求3所述的客户端设备，其中基于所检测的状态信息，所述控制模块确定要加载。
4、的所述OS的类型。5根据权利要求1所述的客户端设备，其中基于所检测的状态信息，所述控制模块控制对以下至少一种的访问所述客户端的基本输入/输出系统BIOS、所述客户端设备的操作系统OS以及所述客户端设备的部件。6根据权利要求5所述的客户端设备，其中所述控制模块控制对所述客户端设备的访问进一步包括以下至少一种控制对所述BIOS的设置的访问、控制对所述部件的硬件资源的访问以及控制对所述OS执行服务的许可的访问。7根据权利要求6所述的客户端设备，其中基于所检测的状态信息，所述控制模块配置所述部件，所述部件包括以下至少一种RAM、存储器、处理器、外围设备以及输入/输出I/O设备。8根据权利要求1所述的客。
5、户端设备，其中所述控制模块被包括在至少一个基本输入/输出系统BIOS和管理程序中。9根据权利要求1所述的客户端设备，其中所检测的状态由所述控制模块从以下至少一种中获取在所述网络中包括的路由器、交换机、网关、域控制器以及服务器。10根据权利要求1所述的客户端设备，其中所检测的状态信息包括以下至少一种所述网络的类型，所述网络内的所述客户端设备的状态，以及所述网络的层次结构内所述客户端设备的身份，并且所述客户端设备的状态包括以下至少一种被加入所述网络的一部分，以及被隔离在所述网络的一部分内。11一种方法，包括经由与网络连接的设备的网络堆栈，访问网络组件；独立于所述设备的操作系统OS的状态，检测来自所。
6、述网络组件的与所述网络相关的状态信息；以及基于所检测的状态信息，控制对所述设备的特征的访问。12根据权利要求11所述的方法，其中所检测的状态信息包括以下至少一种所述网络的类型，所述网络内的所述设备的状态，以及所述网络的层次结构内所述设备的身份，并且权利要求书CN104205763A2/2页3所述设备的状态包括以下至少一种被加入所述网络，以及被隔离在所述网络内。13一种非瞬态计算机可读存储介质，所述非瞬态计算机可读存储介质存储指令，所述指令如果由设备的处理器执行则引起所述处理器沿通信信道经由所述设备的网络控制器与网络的网络组件通信，其中所述设备连接至所述网络，并且所述通信信道独立于所述设备的电源。
7、状态和操作状态中至少一种；获取来自所述网络组件的与所述网络相关的状态信息；以及基于所检测的状态信息，限制对所述设备的特征的访问。14根据权利要求13所述的非瞬态计算机可读存储介质，其中所述限制包括基于所检测的状态信息限制对以下至少一种的访问所述设备的基本输入/输出系统BIOS、所述设备的操作系统OS以及所述设备的部件。15根据权利要求14所述的非瞬态计算机可读存储介质，进一步包括指令，该指令如果由所述处理器执行则引起所述处理器基于所检测的状态信息，配置所述部件的设置，所述部件包括以下至少一种RAM、存储器、处理器、外围设备和输入/输出I/O设备。权利要求书CN104205763A1/5页4基于。
8、网络状态控制访问背景技术0001客户端设备在通电时可以连接至网络。进一步，客户端设备可以基于该客户端设备所连接至的网络的状态而试图改变其提供哪些服务。例如，如果客户端设备连接至未知网络，则客户端设备可以禁用它的服务中的一些。否则，未经授权方会获得访问机密信息或服务的权限。为了提供用于基于外部条件如与客户端设备连接的网络的状态控制客户端设备的功能的更有效方法，制造商、供应商和/或用户面临挑战。附图说明0002下面的详细描述参照附图，其中0003图1是设备的示例框图；0004图2是设备的另一示例框图；0005图3是包括用于基于网络状态控制访问的指令的计算设备的示例框图；以及0006图4是用于基于网。
9、络状态控制访问的方法的示例流程图。具体实施方式0007在下面的描述中给出了具体细节，以提供对实施例的深入理解。然而，本领域技术人员将理解，实施例可以在没有这些具体细节的条件下实施。例如，系统可以在框图中示出，以便不以不必要的细节使实施例模糊。在其它实例中，可以在没有不必要细节的条件下示出众所周知的过程、结构和技术，以避免使实施例模糊。0008客户端设备可以基于该客户端设备所连接至的网络的类型或状态来试图配置其设置或功能。例如，如果客户端设备连接至未知网络，则客户端设备可以试图禁用对该客户端设备的一些类型的机密信息或专有服务的访问。通常，在客户端设备已经通电且该客户端设备的操作系统OS已经加载之。
10、后，该客户端设备确定网络的状态。例如，OS可以经由网络控制器与网络通信，以确定网络是否安全。0009然而，在客户端已连接至网络，但OS尚未运行或客户端设备未通电期间，客户端设备仍可能容易受攻击或未经授权的访问。例如，在已加载OS之前，或当客户端设备断电时，客户端设备仍可以经由网络控制器被访问。因此，在OS甚至有机会行动之前，机密信息、专有服务、系统资源等等可以被未经授权方访问。此外，未经授权方可能破坏OS或阻止OS运行，因此将专有服务、系统资源等等无限地暴露给向未经授权方。0010实施例可以阻止或减少未经授权方通过网络访问客户端设备的可能性。例如，不管客户端设备的电源状态如何，或不管客户端设备。
11、的操作系统OS的操作状态如何，实施例都可以检测关于网络的状态信息。此外，实施例可以基于所检测的状态信息，控制对客户端设备的访问。例如，实施例可以检测网络的状态信息并禁用对客户端设备的服务或客户端设备处的信息的访问，甚至在OS运行或客户端设备通电之前。0011现在参考附图，图1是设备100的示例框图。设备100可以被包括在与网络150连接的任意类型的用户设备中，如安全微处理器、笔记本计算机、台式计算机、一体机系统、说明书CN104205763A2/5页5平板计算设备、便携式阅读设备、无线电子邮件设备、移动电话等等。在图1的实施例中，设备100包括控制模块102及网络控制器104。0012控制模块。
12、102可以包括例如硬件设备，该硬件设备包括用于实现下面描述的功能的电路，如控制逻辑和/或存储器。此外或作为替代，控制模块102可以被实现为在机器可读存储介质上编码并可由处理器执行的一系列指令。例如，控制模块102可以独立地运行用于与网络控制器104交互的应用程序和/或操作系统OS。0013网络控制器104可以是连接至网络的任意类型的设备，如网络接口卡。例如，网络控制器104可以包括利用诸如以太网、WIFI、令牌环网等等之类的物理层和数据链路层标准进行通信的电路。在图1中，网络控制器104可以将设备100包括控制模块102连接至网络150。0014控制模块110会经由网络控制器104检测来自网络。
13、150的状态信息，并且基于所检测的状态信息控制对设备100的访问。在图1中，控制模块102被示出为输出控制访问信号，该控制访问信号可以限制对设备100的至少一部分的访问或设备100的至少一部分的功能。例如，控制模块102可以阻止通过网络150对设备100的访问，注销使用设备100的用户，限制对设备100的服务如网页浏览器或电子邮件客户端的访问，等等。0015不管设备100的电源状态和该设备的操作系统OS的操作状态中至少之一如何，控制模块102都检测状态信息。例如，即便设备100未处于通电状态和/或OS尚未加载或OS在设备100上出故障，控制模块102也可以检测状态信息。因此，即使在设备100处。
14、于关闭状态或断电状态时，控制模块102也可以检测状态信息。此外，控制模块102可以在加载设备100的OS之前或与加载设备100的OS同时，检测状态信息。例如，控制模块102可以在设备100开机自检POST期间检测状态信息。0016在一个实施例中，控制模块102可以沿独立的通信信道如设备100的任意其它部件未使用的专用通信信道与网络控制器104通信。因此，实施例可以，甚至在设备100通电或设备100的OS运行之前，通过控制设备100的配置或对设备100的服务或部件未示出的访问来提供更大的控制和/或安全。0017为了甚至在设备100断电时检测状态信息，在设备100断电时，控制模块102和网络控制器。
15、104可以从电源接收电力。此外，控制模块102可以包括与设备100的OS分离地操作的软件和/或硬件逻辑。0018例如，控制模块102可以包括允许控制模块102在网络层例如，开放系统互连OSI模型或互联网协议模型的第三层执行操作的其自身的OS和/或应用程序。如下面关于图2更详细地说明的，在网络层，控制模块120可以与网络150中的组件未示出通信，以检测状态信息。0019图2是设备200的另一示例框图。客户端200可以包括在与网络连接的任意类型的用户设备中，如安全微处理器、笔记本计算机、台式计算机、一体机系统、平板计算设备、便携式阅读设备、无线电子邮件设备、移动电话等等。在图2的实施例中，设备20。
16、0包括控制模块202、网络控制器204、部件206、基本输入/输出系统BIOS208以及OS210。0020图2的控制模块202和网络控制器204可以类似于图1中的控制模块102和网络控制器104。网络250包括网络组件252。网络组件252的示例包括路由器、交换机、网关、域控制器、服务器等等。控制模块202可以经由网络控制器204与网络组件252通信，以接说明书CN104205763A3/5页6收或检测来自网络组件252的状态信息。0021所检测的状态信息可以包括网络250的类型、网络250内的设备200的状态、网络250的层次结构内设备200的身份等等。此外，设备200的状态可以包括被加入。
17、网络250或被隔离在网络250中。如果设备200被隔离，则可以限制设备200访问网络250的至少一部分。该网络的类型的示例可以包括个域网PAN、局域网LAN、家庭网络、存储域网SAN、校园网、主干网、城域网、广域网、企业私有网络、虚拟专用网VPN、互联网等等。0022例如，如果控制模块202与网络250通信以具有给设备200分配的互联网协议IP地址，则设备200可以确定其在网络的层次结构内的身份。例如，控制模块202可以最初地具有通过使用诸如动态主机配置协议、无状态自动配置方法等之类的通信协议与网络组件252通信而被分配的IP地址。当接收该IP地址时，控制模块202可以确定网络内的互联网服务供。
18、应商ISP和/或设备200的位置。0023例如，由于IP地址的分层寻址机制，控制模块202能够确定其在网络250中的身份和/或物理位置。例如，控制模块202能够通过分析该IP地址的连续片段来追踪其在网络250的层次结构内的位置。一种示例层次结构可以包括向下遍历以下级组织、区域、位置如区域或办公室、公司内的组以及物理位置。此外或可替代地，控制模块202能够通过与域控制器通信来确定上述信息中的任一种。此外，如果控制模块202不能与网络250通信，则控制模块202可以确定其已被隔离。0024当检测上述状态信息时，控制模块202可以控制对部件206、BIOS208、OS210等等的访问和/或配置部件2。
19、06、BIOS208、OS210等等。例如，控制模块202可以响应于所检测的状态信息而控制对BIOS的访问，如通过限制如通过刷FLASHBIOS对BIOS设置的改变或修改BIOS。0025此外，基于所检测的状态信息，控制模块202可以限制OS210的一些操作和/或阻止一些类型的服务或应用程序在OS上运行。此外，如果在设备200内包括多个OS，则基于所检测的状态信息，控制模块202可以确定将加载哪个OS或哪种OS。0026例如，如果控制模块202确定设备200未连接至企业私有网络，则控制模块202可以阻止加载商业应用程序如电子邮件客户端或限制对设备200上存储的机密信息的访问。在另一示例中，如果。
20、设备200位于网络250的层次结构的职员组内，则控制模块202可以阻止对OS210的设置的任何改变，但如果设备200位于网络250的层次结构的管理员组内，则控制模块202可以允许对OS设置的改变。0027此外，基于所检测的状态信息，控制模块202可以控制对部件206的硬件资源的访问或配置部件206。部件206的示例可以包括RAM、存储器、处理器、外围设备和输入/输出I/O设备。在一个实例中，如果确定设备200未连接至企业私有网络，则控制模块202可以阻止修改设备驱动。0028在另一实例中，如果确定设备200未连接至企业私有网络，则控制模块202可以阻止I/O设备如USB驱动器从设备200上复制。
21、信息。可替代地，基于设备200所连接的网络250的类型，控制模块202可以确定哪种信息可以复制。例如，如果设备200连接至虚拟专用网VPN，则控制模块202可以仅允许复制非机密信息，但如果设备200连接至家庭网络，则控制模块202可以不允许复制任意信息。0029在又一实例中，基于所检测的状态信息，控制模块202可以确定将信息存储在哪说明书CN104205763A4/5页7儿。例如，如果设备200连接至家庭网络，则信息可以存储至设备200的本地存储器如硬驱，或者如果该设备连接至企业私有网络，则信息可以存储至网络服务器。0030虽然示出控制模块202与BIOS208分离，但是实施例可以具有在BIO。
22、S208中包括的控制模块202。可替代地，管理程序HYPERVISOR未示出可以运行控制模块202和OS210。虽然图2显示控制模块202控制网络控制器204、部件206、BIOS208以及OS210，但是实施例不限制于此。例如，控制模块202还可以响应于所检测的状态信息，控制处理器或电池。如上所述，实施例允许甚至在设备200断电时和/或在OS210或BIOS209运行之前发生上述访问和配置控制。0031图3是包括用于基于网络状态控制访问的指令的计算设备300的示例框图。在图3的实施例中，计算设备300包括处理器310、机器可读存储介质320以及网络控制器330。图3的网络控制器330可以类似。
23、于图1和图2的网络控制器104或204。机器可读存储介质320进一步包括用于基于网络状态控制访问的指令322、324及326。0032计算设备300可以是例如芯片组、笔记本计算机、平板计算设备、便携式阅读设备、无线电子邮件设备、移动电话或能够执行指令322、324和326的任意其它类型的用户设备。在特定示例中，计算设备300可以包括或连接至附加部件，如存储器、传感器、显示器等等。0033处理器310可以是至少一个中央处理单元CPU，至少一个基于半导体的微处理器，至少一个图形处理单元GPU，适用于获取及执行在机器可读存储介质320中存储的指令的其它硬件设备，或它们的组合。处理器310可以提取、解。
24、码和执行指令322、324和326，以实现基于网络状态控制访问。作为获取及执行指令的替代或除获取及执行指令以外，处理器310可以包括包含用于执行指令322、324和326的功能的多个电子部件的至少一个集成电路IC、其它控制逻辑、其它电路或它们的组合。0034机器可读存储介质320可以是包含或存储可执行指令的任何电的、磁的、光的或其它物理存储设备。因此，机器可读存储介质320可以是例如随机存取存储器RAM、电可擦除可编程只读存储器EEPROM、存储驱动器、光盘只读存储器CDROM等等。因此，机器可读存储介质320可以是非瞬态的。如下面详细描述的，机器可读存储介质320可以用用于基于网络状态控制访。
25、问的一系列可执行指令进行编码。0035此外，指令322、324和326在由处理器例如，经由处理器的一个处理单元或多个处理单元执行时可以引起处理器执行过程，如图4的过程。例如，通信指令322可以由处理器310执行，以沿通信信道未示出经由设备300的网络控制器330与网络未示出的网络组件未示出通信。设备300连接至网络，通信信道独立于设备300的电源状态和设备300的OS的操作状态中至少一种。0036获取指令324可以由处理器310执行，以从网络组件获取与网络相关的状态信息。上面关于图1和图2提供状态信息的示例。限制指令326可以由处理器310执行，以基于所检测的状态信息限制对设备300的特征的访。
26、问。例如，基于所检测的状态信息，设备300可以限制访问设备的基本输入/输出系统BIOS、设备的操作系统OS和/或设备的部件。0037机器可读存储介质320还可以包括用于基于所检测的状态信息对设备300的部件未示出的设置进行配置的指令未示出。部件的示例可以包括RAM、存储器、处理器、说明书CN104205763A5/5页8外围设备和/或输入/输出I/O设备。0038图4是用于基于网络状态控制访问的方法400的示例流程图。尽管下面参考设备200描述方法400的执行，但是可以利用用于执行方法400的其它合适部件，如设备100。此外，用于执行方法400的部件可以散布在多个设备例如，与输入和输出设备通信。
27、的处理设备之间。在特定场景中，协作工作的多个设备可以被认为是执行方法400的单个设备。方法400可以以在机器可读存储介质如存储介质320上存储的可执行指令的形式和/或以电路的形式实现。0039在框405处，设备200经由与网络250连接的设备200的网络堆栈访问网络组件252。网络堆栈可以是计算机联网协议族的一部分，通常是与媒体层相关的低层协议。例如，在开放系统互连OSI模型或互联网协议模型中，网络堆栈可以包括物理层、数据链路层和网络层中至少一个。0040然后，独立于设备200的OS的状态，设备200检测来自网络组件252的与网络250相关的状态信息。最后，设备200基于所检测的状态信息控制对。
28、设备200的特征的访问。所检测的状态信息可以包括以下至少一种网络250的类型、网络250内的设备200的状态、网络250的层次结构内设备200的身份。设备200的状态包括以下至少一种被加入网络250的一部分和被隔离在网络250的一部分内。上面关于图1和图2说明响应于所检测的状态信息由设备200可以控制的设备的特征。0041根据前面，实施例提供用于基于设备所连接的网络的状态控制对设备的信息或服务的访问的方法和/或设备。此外，实施例可以防止或减少未经授权方通过网络访问设备的可能性。例如，实施例可以检测网络的状态信息并且禁用对设备的服务或信息的访问或配置设备的服务或信息，甚至在OS运行或设备通电之前。说明书CN104205763A1/4页9图1说明书附图CN104205763A2/4页10图2说明书附图CN104205763A103/4页11图3说明书附图CN104205763A114/4页12图4说明书附图CN104205763A12。