管理应用对证书和密钥的访问.pdf

可以在移动设备上建立多个操作模式，每个操作模式与类别属性相关联。本公开披露了一种对应用启动请求进行处理的方法、用于执行该方法的计算设备和用于使处理器来执行该方法的计算机可读介质。该方法包括：接收识别要启动的应用的启动请求，获取所述应用的标识，获取所述应用的类别，以所述标识和所述类别对所述应用进行标记，以及启动所述应用。

权利要求书
1.  一种对应用启动请求进行处理的方法，所述方法包括：
接收识别要启动的应用的启动请求；
获取所述应用的标识；
获取所述应用的类别；
以所述标识和所述类别对所述应用进行标记；以及
启动所述应用。

2.  根据权利要求1所述的方法，其中获取所述应用的标识包括：从所述启动请求中获取所述应用的标识。

3.  根据权利要求1所述的方法，其中获取所述应用的类别包括：从所述启动请求中获取所述应用的类别。

4.  一种计算机设备，包括：
存储器；
处理器，适于：
接收识别要启动的应用的启动请求；
获取所述应用的标识；
获取所述应用的类别；
以所述标识和所述类别对所述应用进行标记；以及
启动所述应用。

5.  一种包含计算机可执行指令的计算机可读介质，所述计算机可执行指令当由计算设备中的处理器执行时使所述处理器：
接收识别要启动的应用的启动请求；
获取所述应用的标识；
获取所述应用的类别；
以所述标识和所述类别对所述应用进行标记；以及
启动所述应用。

6.  一种对设备的存储器中的存储部分的尝试访问进行处理的方法，所述方法包括：
从应用接收访问存储部分的请求；
检测所述应用的标识；
检测所述应用的类别；
确定所述应用是否能够访问所述存储部分；以及
基于所述确定对所述请求进行处理。

7.  根据权利要求权利要求6所述的方法，其中所述存储部分包括证书存储部分。

8.  根据权利要求6所述的方法，其中所述存储部分包括加密密钥存储部分。

9.  根据权利要求6所述的方法，其中所述处理包括允许所述应用访问所述存储部分。

10.  根据权利要求9所述的方法，其中所述处理包括执行所述请求。

11.  根据权利要求9所述的方法，其中确定所述应用能够访问所述存储部分包括：确定所述存储部分在所述应用的命名空间中。

12.  根据权利要求6所述的方法，其中所述处理包括：拒绝所述应用访问所述存储部分。

13.  根据权利要求9所述的方法，其中确定所述应用不能访问所述存储部分包括：确定所述存储部分不在所述应用的命名空问中。

14.  一种计算设备，包括：
存储器；
处理器，适于：
从应用接收访问存储部分的请求；
检测所述应用的标识；
检测所述应用的类别；
确定所述应用是否能够访问所述存储部分；以及
基于所述确定对所述请求进行处理。

15.  一种包含计算机可执行指令的计算机可读介质，所述计算机可执行指令当由计算设备中的处理器执行时使所述处理器：
从应用接收访问存储部分的请求；
检测所述应用的标识；
检测所述应用的类别；
确定所述应用是否能够访问所述存储部分；以及
基于所述确定对所述请求进行处理。

16.  一种对设备的存储器中存储部分的创建进行处理的方法，所述方法包括：
从应用接收创建存储部分的请求；
检测所述应用的标识；
检测所述应用的类别；
创建访问所述存储部分的条件，所述创建基于所述标识和所述类别；以及
创建具有所述条件的所述存储部分。

17.  根据权利要求16所述的方法，其中所述存储部分包括证书存储部分。

18.  根据权利要求16所述的方法，其中所述存储部分包括加密密钥存储部分。

19.  根据权利要求16所述的方法，其中所述条件包括以读取访问对应用的标识的指示。

20.  根据权利要求16所述的方法，其中所述条件包括以写入访问对应用的标识的指示。

21.  一种计算机设备，包括：
存储器；
处理器，适于：
从应用接收创建存储部分的请求；
检测所述应用的标识；
检测所述应用的类别；
创建访问所述存储部分的条件，所述创建基于所述标识和所述类别；以及
创建具有所述条件的所述存储部分。

22.  一种包含计算机可执行指令的计算机可读介质，所述计算机可执行指令当由计算设备中的处理器执行时使所述处理器：
从应用接收创建存储部分的请求；
检测所述应用的标识；
检测所述应用的类别；
创建访问所述存储部分的条件，所述创建基于所述标识和所述类别；以及
创建具有所述条件的所述存储部分。

说明书管理应用对证书和密钥的访问
相关申请的交叉引用
本申请要求于2013年1月29日递交的美国临时专利申请No.61/757,989的优先权，其全部内容一并引入本文作为参考。
技术领域
本申请一般涉及对数字标识证书和加密密钥的管理，更具体涉及管理应用对证书和密钥的访问。
背景技术
移动设备用于各种目的。用户可能希望针对例如游戏、阅读使用真正简单聚合(RSS)分发的新闻、网页浏览和普通休闲的个人应用使用特定移动设备。公司可能希望针对用户完成他们的工作所需的功能子集使用同一移动设备。
然而，当移动设备既用于公司事务又用于个人事务时，公司可以选择对移动设备上数据的暴露风险进行限制。这可以例如通过信息技术(IT)策略在移动设备上的实现来完成。这种策略有时会因为可能锁定移动设备使得不能将新应用加载到移动设备上而导致不好的用户体验。备选地，可以关于可以将哪个与工作无关的应用加载到设备上对移动设备进行限制。例如，移动设备上的IT策略可以禁止移动设备的用户从除特定批准位置以外的任意其他位置下载软件，以防止潜在的病毒扩散。这样，用户可以安装的应用的范围会非常有限。
附图说明
现在，将参考以下作为示例的附图进行描述，在所述附图中示出了示例性实施方式，其中：
图1示出了分割成多个空间的存储器；
图2示出了具有可以如图1所示进行分割的存储器的移动通信设备；
图3示出了创建图1所示的存储器中的分隔空间的方法的示例步骤；
图4示出了创建证书存储部分的方法中的示例步骤；
图5示出了删除图1所示的存储器中的分隔空间的方法中的示例步骤；
图6示出了在对证书验证请求进行处理的方法中的示例步骤；
图7示出了在对应用启动请求进行处理的方法中的示例步骤；
图8示出了在对应用创建证书存储部分的请求进行处理的方法中的示例步骤；以及
图9示出了在对应用访问证书存储部分的请求进行处理的方法中的示例步骤。
具体实施方式
除了限制访问用于个人和公司功能二者的整个移动设备，本公开预想在移动设备上创建两个或多个操作模式。具体地，多个应用中的每个应用可以被分隔成多个组之一。在涉及公司操作模式和个人操作模式的示例场景中，应用可以被指定为公司应用或个人应用。在一些应用可以既是公司应用又是个人应用的情况下，可以在移动设备上的个人存储空间和公司存储空间上均保存应用代码的副本。
本公开提供一种移动设备，但是不旨在限于任意特定移动设备。移动设备的示例包括智能电话、个人数字助理、支持数据的蜂窝电话、平板电脑等。
本公开中的移动设备实现控制公司数据的IT策略。这可以通过与企业服务器连接来实现，企业服务器为设备提供IT策略。在其他实施例中，可以分别基于每个设备来实现IT策略。
值得注意的是，以上所讨论的应用的分隔对于移动设备安全方面的管理可以具有深远的影响。例如，可以用以下方式在存储器中存储公共和私有加密密钥：密钥与移动设备相关联，而不与移动设备的操 作模式相关联。类似地，可以用以下方式在存储器中存储数字标识证书：标识证书与移动设备的用户相关联，而不与移动设备的操作模式相关联。
在启动应用之前，可以用标识组(identity)属性和类别属性来对应用进行标记。类别属性可以与操作模式相关联。当对应用访问存储部分(store)或创建新存储部分的请求进行处理时，可以考虑应用的标识和类别。
根据本公开的一方面，提供了一种对应用启动请求进行处理的方法。所述方法包括：接收识别要启动的应用的启动请求，获取所述应用的标识，获取所述应用的类别，以所述标识和所述类别对所述应用进行标记，以及启动所述应用。在本申请的其他方面，提供了一种具有用于执行该方法的移动通信设备，并提供一种适于使移动通信设备中的处理器执行该方法的计算机可读介质。
根据本公开的另一方面，提供了一种对设备的存储器中的存储部分的尝试访问进行处理的方法。该方法包括：从应用接收访问存储部分的请求，检测所述应用的标识，检测所述应用的类别，确定所述应用是否能够访问所述存储部分，以及基于所述确定对所述请求进行处理。在本申请的其他方面，提供了一种具有用于执行该方法的移动通信设备，并提供一种适于使移动通信设备中的处理器执行该方法的计算机可读介质。
根据本公开的又一方面，提供了一种对设备的存储器中的存储部分的创建进行处理的方法。该方法包括：从应用接收创建存储部分的请求，检测所述应用的标识，检测所述应用的类别，创建访问所述存储器的条件，所述创建基于所述标识和所述类别，以及创建具有所述条件的所述存储器。在本申请的其他方面，提供了一种具有用于执行该方法的移动通信设备，并提供一种适于使移动通信设备中的处理器执行该方法的计算机可读介质。
在结合附图回顾以下公开的特定实施例的描述时，本公开的其他方面和特征对于本领域技术人员来说将变得显而易见。
现在参照图1，图1示出了移动设备的存储器110的框图。存储 器110被配置为保持各种应用的可执行代码以及与各种应用的操作有关的数据，在本文中这种代码和数据的组合被称为“应用空间”。如图1的示例所示，存储器110被划分为个人空间120和公司空间130。
公司空间130通常包括移动设备上针对数据、应用或二者而分隔的存储器的一部分。数据和/或应用可以被认为对于商业、公司、企业、政府、非赢利性组织、设备的用户或负责设置移动设备的IT策略的任何其他实体敏感。
个人空间120通常包括针对“个人”应用和数据而分隔的存储器的一部分，在该部分中这种应用或数据可以被认为在受制于IT策略的那些应用之外或与受制于IT策略的那些应用分离。
根据在个人空间120内存储的代码执行的应用122可以访问也在个人空间120内存储的数据124。可以认为在个人空间120内存储的数据124是个人数据。
类似地，根据在公司空间130内存储的代码执行的应用132可以访问也在公司空间130内存储的数据134。可以认为在公司空间130内存储的数据134是公司数据。
通过分隔公司应用和个人应用以及与各自相关联的数据，可以在移动设备上针对公司数据实现公司IT策略，由此保护数据，同时仍然允许个人应用和个人数据在设备上。这为移动设备的用户提供了更大的灵活性以及无疑更好的用户体验。
以下详细描述了强制数据分隔的操作系统140。
可以用多种方式来实现对于加载到移动设备上的每个应用作为个人应用或作为公司应用的指定。在一个实施例中，可以针对应用到移动设备上的加载设置公司IT策略，在移动设备中IT策略将特定指定应用指定为在公司应用的列表上。可以将其他不在公司应用列表上的其他应用默认为是个人应用。在其他实施例中，用户、管理员、载体或其他实体可以使用配置程序或导航实体(应用启动器)来将设备上的各种应用指定为个人应用或公司应用。此外，施加于应用的签名还可以用于区分个人应用和公司应用。将应用指定为公司的和个人的其他示例将对于受益于本公开的本领域技术人员显而易见。
在其他实施例中，可以在公司空间130和个人空间120之间复制既具有个人用途也具有公司用途的混合应用。用这种方式，如果用户由于个人原因想要使用特定应用，则用户可以执行个人空间120中保存的应用代码122。相反地，如果用户由于公司目的想要使用同一应用，则用户可以执行公司空间130中保存的应用代码132。
因此，例如，可以在个人空间120中保存文件编辑器代码的一个副本，并且可以在公司空间130中保存文档编辑器的另一个副本，由此允许编辑个人文档和公司文档二者，同时允许保证公司数据134的安全。
在一个实施例中，公司应用132可以具备高于个人应用122的附加的安全性。例如，在允许启动公司应用132之一前，操作系统140可以提示用户提供认证，例如，操作系统140可以提示用户输入密码，并且操作系统140可以认证密码。此外，可以实现不活动定时器，使公司应用132可以在一段不活动时间之后锁定，而不锁定个人应用122。操作系统140会需要用户输入密码来对锁定的公司应用132解锁，以便可以访问与公司应用132有关的公司数据134。
对给定应用的指定(例如“个人的”或“公司的”)还可以限制给定应用访问的数据。因此，例如，公司应用132可以它们自身的模式执行，在公司应用132自身的模式中，个人应用122不能访问公司应用132写入的任何数据。该限制可以是：个人应用122不能读取公司数据134，公司应用也不能向个人数据124写入。
类似地，给定的个人应用122可能无法向公司数据134写入。在一些实施例中，公司应用132可能无法读取个人数据124。在其他实施例中，公司应用132可能能够读取个人数据124。
可以为了保证安全而对公司数据134进行加密。
公司数据134还可以具有在移动设备上生效的删除日期策略。因此，如果在特定时间段内没有访问公司数据134的子集，则删除日期策略可以指示要擦除子集。删除策略的日期可以依据公司数据获取时间表。例如，如果7天未访问移动设备或计算设备上的数据，则可以从移动设备删除该数据。如果移动设备需要该数据，则用户可能需要 再次下载该数据。这一点可以通过与数据相关联的标签或表格来实现。
操作系统140可以处理对以上公司空间130和个人空间120之间的区分规则的增强。例如，操作系统140可以对各种应用122和132实现数据访问，其中与UNIX组许可相类似，给每个应用一个组许可。在其他实施例中，还可以使用其他用户许可或其他许可系统。文件中进一步指定允许特定组访问的数据。因此，操作系统140可以仅允许具有访问这种数据的组许可的公司应用132访问公司数据134。类似地，可以基于个人应用122对于个人数据124的组许可，仅由个人应用122来对个人数据124进行读或写。然而在一个实施例中，根据操作系统140强制执行地，公司应用132可能不具有对个人数据124进行读或写的组许可。
如图1中具有箭头尖的虚线所示，个人数据124可以具有某种形式的公共许可，这将会允许公司应用132读取个人数据124。
可以针对其他数据功能保持对数据的访问，由此防止在个人模式中访问公司数据134。例如，可以在个人模式和公司模式之间对复制或剪切功能进行管理。公司应用132将在公司操作模式中不允许剪切或复制。
在其他实施例中，在公司应用之间可以允许剪切和复制，但是当尝试在公司模式以外粘贴时剪切和复制会受限。如将理解的，这可以使用操作系统140再次利用UNIX组许可类型模型来管理。当剪切或复制各种文本或图像或其他数据时，创建可能具有限制允许在哪里粘贴文件的组许可的新数据文件。因此，当使用个人应用时，如果尝试粘贴公司数据，则可能返回错误，或者可能简单地使粘贴操作不起作用。
在一个实施例中，可以基于与公司网络的安全连接来将公司数据134提供给移动设备。例如，这可以通过虚拟专用网络或与企业服务器的其他安全连接来完成。
此外，在一个实施例中，存储器110可以位于移动设备中。在这种情况下，移动设备可以具有与企业服务器预先建立的安全连接。
图2示出了作为可以包括图1的存储器110的设备的示例的通信 设备200。移动通信设备200包括外壳、输入设备(例如，具有多个按键的键盘224)和输出设备(例如显示器226)，其可以是全图形液晶显示器(LCD)或者全彩LCD。在一些实施例中，显示器226可以包括触摸屏显示器。在这样的实施例中，键盘224可以包括虚拟键盘。备选地，可以使用其他类型的输出设备。处理设备(微处理器228)在图2中被示意性地示为耦合在键盘224和显示器226之间。微处理器228部分响应于用户对键盘224上的按键的激励来控制显示器226的操作以及移动通信设备200的整体操作。
外壳可被垂直拉长，或可以采用其他尺寸和形状(包括折叠式外壳结构)。在键盘224包括与至少一个字母字符和至少一个数字字符相关联的按键的情况下，键盘224可以包括模式选择按键或者用于在字母输入和数字输入之间切换的其他硬件或软件。
除微处理器228之外，图2中还示意性地示出了移动通信设备200的其他部分。可以包括通信子系统202、短程通信子系统204、键盘224和显示器226。移动通信设备200还可以包括其他输入/输出设备，如一组辅助I/O设备206、串行端口208、扬声器211和麦克风212。移动通信设备200还可以包括：包含闪存216和随机存取存储器(RAM)218在内的存储设备，以及各种其它设备子系统220。移动通信设备200可以包括具有语音和数据通信能力的双向射频(RF)通信设备。此外，移动通信设备200可以具有经由互联网与其他计算机系统进行通信的能力。
可以用闪存216和RAM 218的组合来实现图1的存储器110。
微处理器228执行的操作系统软件可被保存在计算机可读介质(例如，闪存216)中，但是也可以保存在其他类型的存储设备(例如，只读存储器(ROM)或类似的存储元件)中。此外，可以将系统软件、专用设备应用或其部分临时载入到易失性存储器(例如随机存取存储器(RAM)218)中。也可以将移动设备接收到的通信信号保存在RAM 218中。
除了其操作系统功能外，微处理器228还能执行移动设备200上的软件应用。可以在制造期间将控制基本设备操作(例如，语音通信 模块230A和数据通信模块230B)的预定应用集合安装在移动通信设备200上。还可以在制造期间将空间管理模块230C、证书管理器230D和安装者模块230E安装在移动通信设备200上，以实现本公开的方案。此外，可以在制造期间安装另外的软件模块(示出为其他软件模块230N)，例如可以包括个人信息管理(PIM)应用。PIM应用可以能够组织和管理数据项，例如，电子邮件消息、日历事件、语音邮件消息、约会安排和任务项。PIM应用还可以能够经由以无线电塔代表的无线运营商网络270发送和接收数据项。经由无线运营商网络270，PIM应用管理的数据项可以与设备用户的对应数据项进行无缝集成、同步和更新，该对应数据项被保存在主机计算机系统中或与主机计算机系统相关联。
通过通信子系统202，以及还有可能通过短程通信子系统204，执行通信功能(包括数据和语音通信)。通信子系统202包括接收机250、发射机252和一个或更多个天线(示出为接收天线254和启动天线256)。此外，通信子系统202还包括处理模块，例如数字信号处理器(DSP)258和本地振荡器(LO)260。通信子系统202的具体设计和实现取决于移动通信设备200想要在其中操作的通信网络。例如，移动通信设备200的通信子系统202可被设计为与MobitexTM、DataTACTM或通用分组无线服务(GPRS)移动数据通信网络一起操作，以及还被设计为与各种语音通信网络中的任何语音通信网络一起操作，语音通信网络例如是高级移动电话服务(AMPS)、时分多址访问(TDMA)、码分多址访问(CDMA)、个人通信服务(PCS)、全球移动通信系统(GSM)、增强型数据速率GSM演进(EDGE)、通用移动电信系统(UMTS)、宽带码分多址(W-CDMA)、高速分组访问(HSPA)、长期演进(LTE)等。也可以将其他类型的数据和语音网络(分离的和集成的)与移动通信设备200一起使用。
网络访问要求可以根据通信系统的类型的不同而不同。通常，每个移动设备关联一个标识符，该标识符能够唯一地标识所述移动设备或所述移动设备已被分配给的用户。所述标识符在特定的网络或网络技术内是唯一的。例如，在MobitexTM网络中，移动设备使用与各个 设备相关联的Mobitex访问号(MAN)在网络上注册，而在DataTACTM网络中，移动设备使用与各个设备相关联的逻辑链路标识符(LLI)在网络上注册。然而，在GPRS网络中，网络访问与设备的订户或用户相关联。因此，GPRS设备使用订户标识模块，通常称为订户识别模块(SIM)，以在GPRS网络上操作。尽管通过SIM来识别订户，移动设备能够在GPRS、UMTS或LTE网络中操作的各种参数。GSM/GPRS网络内的移动设备使用国际移动设备标识(IMEI)号唯一地标识。
在所要求的网络注册或激活过程已经完成后，移动通信设备200可以在无线运营商网络270上发送和接收通信信号。由接收天线254从无线运营商网络270接收到的信号被寻路到接收机250，接收机250提供信号放大、下变频、滤波、信道选择等，并且还可提供模数转换。接收信号的模数转换使得DSP 258可以执行更复杂的通信功能，如解调和解码。以类似的方式，DSP 258对将要发送到无线运营商网络270的信号进行处理(如调制和编码)，然后将其提供给发射机252以进行数模转换、上变频、滤波、放大，并经由启动天线256发送到无线运营商网络270(或多个网络)。
除了处理通信信号外，DSP 258还提供对接收机250和发射机252的控制。例如，可以通过DSP 252中执行的自动增益控制算法来自适应地控制应用到接收机250和发射机258中的通信信号的增益。
在数据通信模式下，通信子系统202处理接收到的信号(例如，文本消息或网页下载)，并将其输入到微处理器228。然后，微处理器228对接收到的信号进行进一步处理，以输出到显示器226，或者备选地，输出到一些辅助I/O设备206。设备用户还可以使用键盘224和/或一些其他辅助I/O设备206(例如，触摸板、摇臂开关、拇指轮、轨迹球、触摸屏、或者一些其他类型的输入设备)来编辑数据项(例如，电子邮件消息)。然后，可以经由通信子系统202在无线运营商网络270上发送编写好的数据项目。
在语音通信模式下，除了将接收到的信号输出到扬声器211以及由麦克风212产生用于发送的信号之外，设备的整体操作与数据通信 模式下的操作基本相似。还可以在移动通信设备200上实现备选的语音或音频I/O子系统，例如语音消息录制子系统。此外，还可以在语音通信模式下使用显示器226来例如显示主叫方的标识、语音呼叫的持续时间或其它与语音呼叫有关的信息。
短程通信子系统204使得可以在移动通信设备200与其他临近的系统和设备(没有必要是相似的设备)之间进行通信。例如，短程通信子系统可以包括红外设备和相关的电路和组件、或蓝牙TM通信模块，以提供与类似使能的系统和设备的通信，或近场通信模块等。
移动通信设备200可以生成加密密钥，以便在公钥基础设施(PKI)方案中使用。在PKI方案中，设备生成公共加密密钥(公钥)和相应的私有加密密钥(私钥)。然而，除非公钥与移动通信设备200的标识或移动通信设备200的用户的标识可靠地相关联，否则这种加密密钥用处很小。
公钥证书(或数字标识证书)是由受信任第三方发出的电子文档。公钥证书包含数字签名，数字签名用于将公钥与标识(例如人或组织的名称、相关联的地址等信息)绑定在一起。证书可以用于验证公钥属于个人。
证书授权中心(CA)可以充当受信任方——发出数字证书的实体。数字证书通过数字证书的命名的主体来证明公钥的归属。
在接收通信和相关联的签名时，移动通信设备200的微处理器228可以对通信进行认证。微处理器228可以生成通信的散列。微处理器228还可以使用与通信源相关联的公钥来对签名解密。针对解密后的签名与所生成的通信的散列的匹配，微处理器228可以认为已经在源处可靠地生成了通信。
当微处理器228需要与通信源相关联的公钥时，微处理器228可以查阅本地密钥存储部分。一旦未能在本地密钥存储部分中定位公钥，微处理器228可以寻求导入与通信源相关联的数字证书。微处理器228可以直接从通信源或从受信任CA获得数字证书。当获得数字证书时，微处理器228可以在证书存储部分中的移动设备200处保存数字证书。此外，微处理器228可以从数字证书中提取公钥，并在密钥存储部分 中存储公钥。
历史上，已经独立于具有不同操作模式和相应存储空间的移动通信设备200的概念实现了证书存储部分和密钥存储部分。
在本申请的方案中，可以在现有证书存储结构和密钥存储结构中使用“类别”指定。因此，可以将各个单独的证书和密钥指派给多个空间中的一个空间。在操作中，微处理器228在导入证书、验证证书和删除证书时可以考虑证书的类别。类似地，微处理器228在导入密钥和删除密钥时可以考虑密钥的类别。
由微处理器228执行的空间管理模块230C可以被配置为处理诸如空间创建和空间移除的任务。
图3示出了创建空间的方法中的示例步骤。初始地，空间管理模块230C可以接收(步骤302)创建个人空间的命令。作为响应，空间管理模块230C可以在存储器110中指定(步骤304)针对个人空间120的地址范围。空间管理模块230C可以向证书管理器230D发送(步骤306)进程间消息，以指示要针对个人空间120来对个人证书存储部分进行初始化。证书管理器230D然后可以对一个或更多个个人证书存储部分(即保存证书的存储器范围)进行初始化(步骤308)。例如，可以针对与通过移动通信设备200对万维网的浏览相关的证书创建个人证书存储部分。对于另一个示例，可以针对与通过移动通信设备200对WiFi网络的使用相关的证书创建个人证书存储部分。对于又一示例，可以针对与通过移动通信设备200对虚拟专用网(VPN)的使用有关的证书创建个人证书存储部分。
对于公司空间可以重复同一方法。类似地，图3中所示的方法可以用于创建个人密钥存储部分或公司密钥存储部分。
初始地，空间管理模块230C可以接收(步骤302)创建公司空间的命令。作为响应，空间管理模块230C可以在存储器110中指定(步骤304)针对公司空间130的地址范围。空间管理模块230C可以向证书管理器230D发送(步骤306)进程间消息，以指示要针对公司空间120来对公司证书存储部分进行初始化。证书管理器230D然后可以对一个或更多个公司证书存储部分进行初始化(步骤308)。例如，可以 针对与通过移动通信设备200对万维网的浏览相关的证书创建公司证书存储部分。对于另一个示例，可以针对与通过移动通信设备200对WiFi网络的使用相关的证书创建公司证书存储部分。对于又一示例，可以针对与通过移动通信设备200对虚拟专用网(VPN)的使用有关的证书创建公司证书存储部分。
以上，已经在与同一类别(例如，公司)的指定相关联的空间创建的上下文中呈现了与类别的指定相关联的证书存储部分的创建(步骤308)。然而，值得注意的是，可以独立于空间的创建并且响应于创建证书存储部分的命令来创建证书存储部分。
图4示出了创建证书存储部分的方法中的示例步骤。在创建与类别的指定相关联的空间后续的一段时间，证书管理器230D可以接收(步骤402)创建证书存储部分的命令(例如，以进程间消息的形式)。基于指示证书存储部分的类别的命令，证书管理器230D可以进行创建与类别的指定(公司或个人)相关联的证书存储部分(步骤404)。
图5示出了删除空间的方法中的示例步骤。初始地，空间管理模块230C可以接收(步骤502)删除公司空间130的命令。作为响应，空间管理模块230C可以可以向证书管理器230D发送(步骤504)进程间消息，以指示要删除公司证书存储部分。证书管理器230D可以删除(步骤506)一个或更多个公司证书存储部分。更具体地，可以存在专用于与证书存储部分相关联的每个移动设备的应用编程接口(API)。回顾先前的示例，可以存在专用于网页浏览的API、专用于WiFi使用的API和专用于VPN使用的API。对于这些API之一删除公司证书存储部分的调用可以指示：要删除的每个公司证书存储部分的特定属性。这些属性可以指示证书存储部分具有公司类别指定、与特定所有者相关联，以及具有特定的组ID属性。
类似地，响应于接收(步骤502)删除特定类别空间的命令，空间管理模块230C可以向证书管理器230D发送(步骤504)进程间消息，以指示要删除公司密钥存储部分。证书管理器230D可以删除同一类别的一个或更多个密钥存储部分。
空间管理模块230C还可以删除(步骤508)公司应用132。
值得注意的是，证书管理器230D可以删除(步骤506)一个或更多个公司证书存储部分，而无需在空间管理模块230C和证书管理器230D之间收发消息。在这种情况下，空间管理模块230C可以仅接收(步骤302)删除特定类别的空间的命令，并相应删除(步骤508)特定类别的应用。
可以偶尔通过应用122、132中的给定应用调用证书管理器230D(作为操作系统140的一部分)，以验证证书的有效性。例如，当在移动通信设备200上执行的给定应用已经从通信源接收证书时，证书管理器230D可以接收(参见图6步骤602)证书验证命令。
在通常操作中，期望证书管理器230D将为接收到的证书构建(步骤604)证书链。所期望的是，接收到的证书指示发布CA。基于由其他CA发出的、进而在所谓的“根”CA证书处结束的证书，可以信任发布CA。已经构建了该链，则证书管理器230通过确定针对给定应用在受信任证书存储部分之一中保存根CA并且明确信任该根CA，尝试对该链进行验证(步骤606)。在确定所接收到的证书的根CA证书在受信任的证书存储部分之一中保存时，证书管理器230D可以用验证状态的指示对从中接收到证书验证命令的给定应用做出应答(步骤608)。如本领域熟悉的那样，该指示可以包括指示成功验证的消息或指示未成功验证的消息。
证书管理器230D将通常尝试通过在任意一个受信任的证书存储部分中定位根CA证书来尝试对链进行验证(步骤606)，而不考虑特定证书存储部分是公司证书存储部分还是个人证书存储部分。这会导致以下情况：在公司空间130中运行的给定应用可能基于在个人证书存储部分中明确受信任、但是在公司证书存储部分之一不是特别受信任的根CA证书对链进行成功验证(步骤606)。
给定应用创建的证书验证命令可以指定一个或更多个证书存储部分。作为一种解决方案，可以改变证书管理器API，使得例如证书管理器230D可以仅基于特定个人证书存储部分中的根CA证书来对链进行验证(步骤606)，由此导致利用个人空间120中受信任的根CA证书对证书的验证。作为另一个示例，证书管理器230D可以仅基于 特定公司证书存储部分中的根CA证书来对链进行验证(步骤606)，由此导致利用公司空间130中受信任的根CA证书对证书的验证。如果没有指定证书存储部分，则证书管理器230D可以基于个人证书存储部分或公司证书存储部分中的根CA证书来对链进行验证(步骤606)，由此导致利用个人空间120中受信任的根CA证书或者公司空间130中的受信任的根CA证书对证书的验证。
如上所述，给定应用创建的证书验证命令可以指定多个证书存储部分。然而，应该注意的是，所有证书存储部分将在同一空间中。在这种情况下，证书管理器230D可以尝试相对于所有多个证书存储部分中的根CA证书来对链进行验证(步骤606)。
在存储器如本文所述在空间中布置的情况下，可以在启动应用并允许应用导入和使用证书、同时限制对这些证书的访问时，执行这些管理。对给定应用的访问控制可以考虑应用的标识和应用的类别。
应用的标识是唯一的并在应用刚启动之前指派给应用。在安装应用的情况下，可以通过微处理器228执行的安装器模块230E(参见图2)来指派应用的标识。在系统服务应用在设备上预先安装的情况下，可以由制造商在开发期间指派系统服务应用的标识。
可以在启动应用时通过类别管理器来指派应用的类别。类别管理器可以例如基于导致启动应用的用户交互来选择类别。例如，用户可以当在公司操作模式内时使应用启动，并相应选择公司类别。可以为特定系统服务应用指派一个或更多个类别。可以通过空间管理模块230C来执行类别管理器的功能。备选地，微处理器228可以执行单独的类别管理模块，以处理类别管理器的功能。这种类别管理模块可以在图2中示出的其他模块230N中。
可以通过强制应用访问证书存储部分来实现强制应用访问证书。给定应用可以具备存储部分命名空间；仅那些给定应用所访问的存储部分对于给定应用可见。可以在证书操作请求时检测应用的标识和类别，并且可以基于可见的存储部分命名空间对请求进行处理。
图7示出了对应用启动请求进行处理的方法的示例步骤，可以通过(例如由微处理器228执行的)应用启动器来执行对应用启动请求 进行处理的方法。该方法以应用启动器接收(步骤702)启动请求开始，该启动请求识别要启动的特定应用。
应用启动器获取(步骤704)要启动的应用的标识和类别。实际上，应用启动器可以从启动请求中提取应用的标识。类似地，应用启动器可以从启动请求中提取应用的类别。
在获取(步骤704)要启动的应用的标识和类别时，该应用启动器可以用标识属性和类别属性来对要启动的应用进行标记(步骤706)。然后，应用启动器可以启动(步骤708)应用。
图8示出了对应用创建证书存储部分的请求进行处理的方法中的示例步骤。可以例如由证书管理器230D来执行方法。初始地，证书管理器230D可以接收(步骤802)来自应用的要创建证书存储部分的请求。响应于接收该请求，证书管理器203D可以检测(步骤804)附加于该应用的标识和类别。基于被检测为附加于该应用的标识和类别，证书管理器230D可以创建(步骤806)访问证书存储部分的条件。然后证书管理器230D可以创建(步骤808)所请求的存储部分。作为创建(步骤808)所请求的存储部分的一部分，证书管理器230D可以附加在步骤806中创建的访问条件。
可以附加于存储器的示例条件可以基于白名单。在“所有者”(创建存储部分的应用)总是具有读/写访问的情况下，可以授权访问一个或更多个标识(应用)。每个应用(如由它的标识或标识组所指示)可以被授权只读访问或读/写访问。标识组的一个示例可以是应用标识的列表。标识组的另一个示例可以是特定类别的全部应用。标识组的又一示例可以是全部应用。后一示例可以采用通配符。
只读和读/写白名单是显式或隐式地由所有者应用来创建和更新的给定存储器的属性，并且总是存在。在不知道其他应用的情况下，仅想要存储部分的应用可以通过仅将它自身的标识添加至读/写白名单来创建存储部分。
给定应用访问的所有存储部分的列表可以被称为给定应用的“命名空间”。可以由多个应用访问的存储部分将在多个命名空间中出现。仅可以由单个应用访问的存储部分将仅在一个命名空间中出现。
图9示出了对应用访问证书存储部分的请求进行处理的方法中的示例步骤。可以例如由证书管理器230D来执行方法。初始地，证书管理器230D可以接收(步骤902)来自应用的要访问证书存储部分的请求。响应于接收该请求，证书管理器203D可以检测(步骤904)附加于应用的标识和类别。一旦证书管理器230D检测到了附加于应用的标识和类别，证书管理器230D可以确定(步骤906)证书存储部分是否在应用的命名空间中。然后证书管理器230D可以基于该确定处理(步骤908)该请求。
例如，如果应用已经请求访问在应用的命名空间中的证书存储部分，则对请求进行处理(步骤908)可以包括证书管理器230D允许应用访问证书存储部分。此外，对请求进行处理(步骤908)可以包括执行该请求。然而，如果应用已经请求访问不在应用的命名空间中的证书存储部分，则对请求进行处理(步骤908)可以包括证书管理器230D拒绝应用访问证书存储部分。
图8和9中示出了示例步骤的方法的说明具体参照证书存储部分。应当清楚的是，可以用类似的方式来管理对密钥存储部分的访问。实际上，可以存在对于既不是证书也不是密钥的数据项的存储部分，但是可以应用本文描述的方法。
便利地，证书和密钥的类别的指定允许特定空间与不同的证书存储部分和密钥存储部分相关联，由此允许空间感知的导入、证书和密钥的验证和删除。如上所述，验证不穿过空间边界。此外，在删除空间时，也删除相关联的证书。
本申请的上述实现方式仅用作示例。本领域技术人员在不偏离所附权利要求书限定的本申请的范围的情况下，可以实现对具体实现方式的修改、变更和变化。