[发明专利]不受信任的设备上的资源保护

说明书

背景

计算机和计算系统已经影响了现代生活的几乎每个方面。计算机通常涉及工作、休闲、保健、运输、娱乐、家政管理等。

此外，计算系统功能还可以通过计算系统经由网络连接互连到其他计算系统的能力来增强。网络连接可包括，但不仅限于，经由有线或无线以太网的连接，蜂窝式连接，或者甚至通过串行、并行、USB或其它连接的计算机到计算机的连接。这些连接允许计算系统访问其他计算系统上的服务，并快速且有效地从其他计算系统接收应用数据。

当前网络允许许多新的以及不同类型的设备被联网。另外，还期望使联网设备具有移动性。随着智能电话和平板在商业企业网络上越来越流行，移动性持续发展。希望利用机会来提高雇员生产力的许多组织正在拥抱移动工作方式，允许信息工作人员从他们的移动设备访问企业资源。

尽管这一趋势带来了提高雇员效率的新的机会，但是，它也为IT管理员造成了新的安全风险，因为在很多情况下，雇员会将企业凭证(例如，用户名和口令对)存储在他们的移动设备上。例如，使用由位于美国华盛顿州雷德蒙市的微软公司所提供的Active Sync的大多数移动电子邮件客户端都要求企业凭证。可以轻松地从移动设备中提取这些凭据。例如，设备可能会被偷，设备可能主存结果是收集保存的口令或记录击键的特洛伊木马的移动应用。这会是特别危险的，假定企业用户常常使用相同凭证来访问对该企业用户可用的大多数，如果并非全部资源。

在此要求保护的主题不限于解决任何缺点或仅在诸如上述环境中操作的各个实施例。相反，提供该背景仅用以示出在其中可实践在此描述的部分实施例的一个示例性技术领域。

发明内容

在此所示的一个实施例包括可以在计算环境中实施的方法。该方法包括向第一服务认证用户以允许该用户访问由第一服务所提供的资源的动作。资源是要求通用凭证(例如，用户名和/或口令)才能访问该资源的受保护的资源。该方法包括在第二服务处从设备接收自组织(ad-hoc)凭证。自组织凭证是为该设备所特有的凭证。自组织凭证可用于认证用户和设备两者，但是不能直接被用作第一服务处对用户访问资源的认证。该方法还包括，在第二服务处用通用凭证来替换自组织凭证以及将通用凭据转发到第一服务。如此，第一服务可以向该设备处的用户提供资源。

提供本概述是为了以精简的形式介绍将在以下详细描述中进一步描述的一些概念。本概述并不旨在标识出所要求保护的主题的关键特征或必要特征，也不旨在用于帮助确定所要求保护的主题的范围。

将在以下的描述中阐述另外的特征和优点，并且部分特征和优点可从该描述中显而易见，或者可从本文教导的实践中获知。本发明的特征和优点可以通过在所附权利要求中特别指出的手段和组合来实现并获取。本发明的特征将从以下描述和所附权利要求书中变得完全显而易见，或者可通过如下所述对本发明的实践而获知。

附图简述

为了描述可获得本主题的上述和其它优点和特征的方式，将通过参考附图中示出的本主题的具体实施例来呈现以上简要描述的本主题的更具体描述。应该理解，这些附图仅描绘了各典型实施例，因此其不应被认为是对范围的限制，各实施例将通过使用附图用附加特征和详情来描述并解释，在附图中：

图1示出了用于管理用户主要和辅助凭证的系统；以及

图2示出了用于向第一服务认证用户以允许用户访问由第一服务所提供的资源的方法。

具体实施方式

各实施例可包括通过发出将只从特定上下文，诸如特定企业接口、特定协议、特定邮箱，等等的和/或设备使用的并且可以具有单独的预期的生命周期的专用辅助凭证(例如，凭证只能从位于美国华盛顿州雷德蒙市的微软公司所提供的ActiveSync接口使用)来保护通用主要凭证的功能。如果这些辅助凭证被破坏，则损害是有限的。具体而言，损害可能仅限于辅助凭证应用到的设备，仅限于辅助凭证应用到的那些某些企业接口，和/或仅限于辅助凭证有效的有限的时段。如此，与当允许对整个企业系统或企业系统的大部分进行访问的主要企业凭证被破坏的情况相比，损毁会是有限的。

如此，并参考图1，一些实施例为不受信任的设备(诸如设备104)实现辅助凭证102(诸如口令)。例如，设备104可以是移动设备。