專利名稱：用于維護驗證信息的便攜式安全設備和方法
技術領域：
本公開總地涉及網絡安全領域，并且特別涉及用于提供對操作在非安全網絡環境中的用戶設備的安全因特網訪問的系統、方法和計算機程序產品。
背景技術：
盡管在計算機和網絡安全領域取得了顯著的進步，但是安全威脅的數量仍然持續增長。網絡罪犯正在開發新類型的惡意軟件，諸如病毒、木馬和蠕蟲，來從計算機、移動電話和其他使用有線、無線或蜂窩網絡訪問因特網的電子設備中竊取個人機密信息。一些常見的安全威脅包括瀏覽器劫持、鍵擊記錄(keylogging)和網絡嗅探。瀏覽器劫持惡意軟件可訪問瀏覽器文件并竊取其中所存儲的用于各種網站的用戶個人驗證信息，諸如登錄名和口令。鍵盤記錄器(keylogger) 攔截用戶的鍵盤輸入來獲得用戶鍵入的數據,諸如驗證信息和其他私有數據。網絡嗅探器(也被稱為數據包分析器)對公共(或開放)網絡上的數據流量攔截和分析，并因此可以訪問通過網絡傳輸的個人或機密數據。諸如防火墻、反病毒應用程序、主動防御機制、云檢測技術和其他的已知計算機和網絡安全解決方案具有局限性，且常常無法對操作在諸如公共網絡的非安全網絡環境中的用戶設備提供充分的安全保障，其中用戶設備和通過此類非安全網絡從這些設備傳入和傳出的數據面臨著竊聽和其他形式的數據竊取。因此，需要適用于非安全網絡環境的可靠的網絡安全系統。

發明內容
本申請披露了用于在非安全網絡環境中提供安全因特網訪問的系統、方法和計算機程序產品。在一個示范性實施例中，所述系統包括便攜式安全設備，所述便攜式安全設備提供對操作在非安全(例如，公共)無線網絡中的用戶設備的安全因特網訪問，所述用戶設備諸如筆記本或平板計算機。在一個示范性實施例中，所述安全設備包括用于建立與所述用戶設備的第一安全直接無線連接的無線網絡模塊。所述安全設備還可包括另一個用于建立通過所述無線網絡到安全服務器的第二安全網絡連接的網絡模塊，所述安全服務器提供對所述用戶設備的因特網訪問。在一個示范性實施例中，所述安全設備提供不同的因特網訪問應用程序，諸如因特網瀏覽器和電郵應用程序，其可用于取代所述用戶設備的非安全應用程序以通過所述第一和第二安全網絡連接為所述用戶設備訪問Web資源。在另一個示范性實施例中，所述安全設備包括安全數據輸入用戶接口，諸如鍵盤，其可取代所述用戶設備的非安全數據輸入接口由所述設備用戶用來輸入用戶驗證數據用于訪問所需的Web資源。
在一個示范性實施例中，所述安全設備經配置以在非安全網絡環境中提供網絡安全。特別是，所述安全設備建立與用戶設備的第一安全無線網絡連接。所述第一安全無線網絡可以是私有無線網絡。使用所述第一安全無線連接，所述安全設備激活所述用戶設備上的安全代理。所述安全代理經配置以識別并從所述用戶設備中檢索由所述用戶設備用來連接到因特網的第二網絡配置設置。所述第二網絡配置設置可以是由所述用戶設備用來連接到因特網的最后的配置設置。所述第二網絡可以是非安全的公共無線、有線或蜂窩網絡。使用接收到的網絡配置設置，所述安全設備建立到安全服務器的第二安全網絡連接，所述安全服務器提供對因特網的訪問。所述安全服務器可以是虛擬專用網(VPN)服務器。隨后，所述安全設備通過所述第一網絡連接從所述用戶設備接收指向因特網上目的地的數據傳輸。所述安全設備通過所述第二網絡連接將所接收到的數據轉發到所述安全服務器。所述安全服務器轉而將所述接收到的數據轉發到所述目的地。以此方式，所述安全服務器具有用于所述用戶設備的因特網網關的功能。在另一個示范性實施例中，所述安全設備經配置以在非安全網絡環境中提供對用戶設備的安全因特網訪問。在激活后，所述安全設備建立與用戶設備的第一安全網絡連接。所述安全設備激活所述用戶設備上的安全代理。所述代理經配置以訪問所述用戶設備的視頻模塊用于顯示來自所述安全設備的視頻信號。隨后，所述安全設備建立與安全服務器的第二安全網絡連接，所述安全服務器提供到因特網的訪問。接下來，在所述安全設備上激活因特網瀏覽器、電郵應用程序或其他通信應用程序用于通過所述第二網絡連接和所述安全服務器訪問因特網上的Web資源。所述安全設備通過所述第二網絡連接將用戶驗證數據傳輸到所述安全服務器用于訪問所述Web資源。所述驗證數據可由用戶通過設備鍵盤輸入。可替代地，所述驗證數據可以已經存儲并從所述安全設備的存儲器中檢索出來。最后，所述安全設備通過所述第一網絡連接以視頻信號的方式傳輸瀏覽器相關數據、Web資源相關數據和用戶驗證數據用于在所述用戶設備上 顯示。在另一個示范性實施例中，所述安全設備經配置以管理用戶授權信息用于訪問各種Web資源。所述安全設備存儲有多個有利于與多個分別具有不同操作系統的用戶設備通信的操作系統代理。所述安全設備還存儲有不同的用戶驗證數據集合用于由用戶設備訪問多個Web資源。然后，所述安全設備通過安全無線網絡與用戶設備連接并激活與所連接的用戶設備的操作系統相對應的適當的操作系統代理用于與所述用戶設備通信。此外，所述安全設備連接到VPN服務器，其提供對所述用戶設備的因特網訪問。所述安全設備選擇與由所述用戶設備所請求的Web資源相關聯的適當的用戶驗證數據集合并向所述VPN服務器傳輸所選擇的用戶驗證數據集合和Web資源請求，所述VPN服務器使用用戶驗證數據從遠程Web服務器獲得所請求的Web資源。在另一個示范性實施例中，所述安全設備經配置以動態改變用于用戶設備的網絡安全設置。特別是，所述安全設備使用部署于所述用戶設備上的安全代理從所述用戶設備收集系統硬件和軟件信息。所述安全設備隨后基于所收集到的硬件和軟件信息來評定所述用戶設備的安全特性。所述安全設備還獲得本地無線網絡的網絡配置設置并基于所述網絡配置設置評定所述無線網絡的安全特性。接下來，所述安全設備基于所述用戶設備的安全特性和所述無線網絡的安全特性來選擇用于所述用戶設備的網絡訪問安全設置。如果在隨后的某一時間，所述安全設備檢測到所述用戶設備的安全特性或所述無線網絡的安全特性中的改變，則所述安全設備基于所述用戶設備的安全特性或所述無線網絡的安全特性中的改變來動態改變所述用戶設備的所述安全設置。以上對示范性實施例的簡要概括用于提供對本發明的基本理解。此概括并不是本發明設想的所有方面的寬泛概述，并且既不意圖確定所有實施例的重要或關鍵要素也不意圖描繪任何或所有實施例的范圍。其唯一的目的在于以簡要的形式提出一個或多個實施例，作為本發明下面更為詳細的描述的前序。為了實現前述事項，一個或多個實施例包括在權利要求書中描述和特別指出的特征。


附圖并入此說明書中并構成其中的一部分，示出了本發明的一個或多個示范性實施例并與詳細的描述一起用于解釋實施例的原理和實現方案。在附圖中圖1示出了根據一個示范性實施例的用于安全網絡通信的系統的網絡部署示意圖。
·
圖2示出了根據一個示范性實施例的安全設備的框圖。圖3示出了根據一個示范性實施例的在非安全網絡環境中由安全設備提供安全因特網訪問的方法的流程圖。圖4示出了根據一個示范性實施例的由安全設備進行安全管理和輸入用戶驗證信息的方法的流程圖。圖5示出了根據另一個示范性實施例的在非安全網絡環境中由安全設備提供安全因特網訪問的方法的流程圖。圖6示出了根據一個示范性實施例的由安全設備動態改變網絡安全設置的方法的流程圖。圖7示出了根據一個示范性實施例的計算機系統的框圖。
具體實施例方式本文在用于在非安全網絡環境中提供安全通信的系統、方法和計算機程序產品的上下文環境中描述了本發明的示范性實施例。本領域的普通技術人員將認識到下列描述僅是說明性的而并非意圖以任何方式進行限制。從本公開受益的本領域技術人員將容易地想到其他的實施例。現在將對在附圖中示出的本發明示范性實施例的實現方案詳細地做出說明。貫穿附圖和下面的描述將盡可能使用相同的參考標記指代相同或相似的對象。圖1示出了本發明可用于其中的非安全網絡環境的一個示例。一般來說，非安全網絡環境可包括公共無線局域網(WLAN) 130，其使用W1-Fi技術，并且一般可用于咖啡店、機場和其他公共場所。可替代地，非安全網絡環境可包括諸如以太網的有線LAN，諸如藍牙的無線個人局域網絡，或者諸如GSM、CDMA、LTE的蜂窩網絡，或者其他類型的私有或公共網絡。在一個示范性實施例中，網絡130提供對用戶設備110的免費或者付費的因特網訪問，所述用戶設備110諸如個人計算機、筆記本計算機、平板計算機、移動電話或其他通信設備。通過網絡130，用戶設備110可訪問存在于遠程Web (萬維網)服務器140上的Web資源145，其包括但不限于網站(Website)、電郵、音頻、視頻和數據文件，所述遠程Web服務器140諸如連接到因特網的應用程序服務器、電郵服務器、數據庫服務器或其他類型的數據存儲設備。為了訪問Web資源145，用戶設備110通過網絡130和其他中間網絡建立與Web服務器140的因特網協議連接120，諸如TCP/IP、UDP等等。但是，由于網絡130是非安全的，通過網絡130建立的連接120 —般也是非安全的，并因此會遭受竊聽或網絡罪犯的其他安全攻擊。此外，用戶設備110可能也是不安全的，例如被瀏覽器劫持程序、鍵盤記錄器或其他可能進一步危及私有信息安全的惡意軟件所感染，所述私有信息諸如登錄名和口令，其在用戶設備110上被存儲或由終端用戶100輸入并且通過網絡130傳輸。對于用戶設備110和網絡130的安全存在許多其他可能威脅。為了確保在用戶設備110上所存儲或輸入的私有信息的安全，以及確保通過非安全網絡130發送到和來自用戶設備110的通信的安全，終端用戶100可使用本發明的便攜式安全設備160。取代使用通過網絡130的非安全連接120，安全設備160被設計為建立與用戶設備110的第一直接安全無線連接150a。該連接150a可使用WAP、WAP2、WEP2、TKIP或其他安全無線網絡協議。安全設備160還建立與遠程安全服務器170的第二安全連接150b。服務器170可包括但不限于諸如Kaspersky VPN的虛擬專用網(VPN)服務器。第二安全連接150b可包括通過非安全網絡130和其他介于中間的網絡的VPN隧道。在其他實施例中，安全連接150b可使用HTTP Secure (安全HTTP，HTTPS)或其他類型的安全標準或專有的網絡協議。在一個示范性實施例中，安全服務器170具有因特網訪問網關的功能，其通過第一安全連接150a和第二安全連接150b提供對用戶設備110的因特網訪問。例如，用戶設備110可通過第一安全連接150a發送Web資源請求到安全設備160。安全設備160通過第二安全連接150b將該請求轉發到安全服務器170。安全服務器170識別和聯系Web服務器140來檢索所請求的Web資源145并通過第二安全連接150b和第一安全連接150a將該Web資源145返回到用戶設備110。除了提供因特網訪問以外，在一個示范性實施例中，安全服務器170還可對發送到和來自用戶設備110的數據流量掃描病毒或其他惡意軟件的存在。因此，使用連接150a和150b，安全設備160在非安全網絡環境130中提供對用戶設備110的安全因特網訪問。

圖2描述了本發明安全設備的示范性實施例的框圖。安全設備160可為便攜式電子設備，其包括諸如Intel Core 2處理器或諸如此類的CPU 205、隨機存取存儲器(RAM)210、硬盤驅動器215、可充電電池220、一個或多個諸如USB端口、Firewire、eSATA的用于通信和/或給設備160充電的通信端口 225、鍵盤230或其他數據輸入設備以及諸如IXD顯示器的可選顯示器235。在一個示范性實施例中，安全設備160可具有硬化的(hardened)操作系統240,諸如硬化的Lmux 操作系統、Unix 操作系統、Android 操作系統或其他具有增強的安全特征的專有操作系統，所述增強的安全特征諸如安全策略、強制訪問控制策略、入侵檢測系統和由關注安全的操作系統所提供的其他標準特征。盡管在本發明的不同實施例中不要求使用硬化的操作系統240，但使用硬化的操作系統240為設備160提供了抵御入侵攻擊的增強安全保障。在一個示范性實施例中，安全設備160還可包括一個或多個無線網絡模塊250a和250b，諸如W1-Fi 網絡接口卡、諸如GSM、CDMA或LTE的蜂窩網絡卡、藍牙卡、以太網卡或其他類型的有線或無線網絡適配器。例如，設備160可使用諸如W1-Fi 網絡適配器的網絡模塊250a來建立與用戶設備110的相應無線網絡適配器的第一安全連接150a。在一個示范性實施例中，安全設備160和用戶設備110可使用例如W1-Fi直連標準來建立彼此之間的直接(也稱為ad-hoc)ff1-Fi連接。在另一個實施例中，安全設備160可經配置以作為W1-Fi接入點進行操作，用戶設備110使用標準IEEE 802. 11機制連接到所述安全設備160。在一個示范性實施例中，安全設備160可包括多個不同的操作系統代理(未示出)，所述多個不同的操作系統代理有利于與分別采用不同的操作系統的多個用戶設備110的通信，所述不同的操作系統例如Windows操作系統、Unix操作系統、Mac操作系統、Android操作系統、Symbian操作系統和其他類型的操作系統。在建立與新的用戶設備110的第一安全連接150a期間，安全設備160可確定運行在用戶設備110上的操作系統并激活相應的操作系統代理用于與該用戶設備110的操作系統通信。該操作系統代理可執行以下功能驗證用戶設備110和安全設備160、建立連接150a并通過此連接傳輸視頻信號、收集網絡安全信息以及評定用戶設備110和網絡130的安全風險。在另一個示范性實施例中，取代在安全設備160上使用操作系統代理或除在安全設備160上使用操作系統代理以外，終端用戶100可在用戶設備110上安裝安全設備160的安全代理(未示出)。安全代理有利于建立安全連接150a以及有利于發送到和來自安全設備160的數據傳輸。在一個示范性實施例中，安全代理可實現基于約束條件和基于屬性的安全系統用于控制用戶設備110的軟件組件的交互，例如，如在共同所有的專利號為7，386，885和7，730，535的美國專利中所披露的，其全部內容通過援引加入而并入本申請中。在一個不范性實施例中，安全設備160可使用另一個網絡模塊250b來通過網絡130建立與安全服務器170的第二安全連接150b。在另一個實施例中，安全設備160可使用同一個網絡模塊250a來建立第二安全連接150b。不管對于哪種情況，根據一個示范性實施例，安全設備160均可經配置以從可用的無線網絡130搜索無線電信號以便連接到網絡130。在另一個示范性實施例中，安全設備160可經配置以從用戶設備110獲得由設備110用來連接到因特網的最后的已 知的網絡配置設置，其有可能是非安全連接120的配置。具體而言，安全設備160可通過第一安全連接150a向部署在用戶設備110上的安全代理發送從用戶設備110獲得網絡配置設置并將其發送給安全設備160的請求。使用該網絡配置設置，安全設備160可連接到網絡130并建立與安全服務器170的第二安全連接150b。如上面所指出的，第二安全連接150b可以是VPN隧道。已經建立安全連接150a和150b之后，終端用戶100可使用用戶設備110的因特網瀏覽器應用程序或電郵應用程序(未示出)通過具有用于用戶設備110的因特網訪問網關的功能的安全設備160和安全服務器170來訪問諸如Web頁面或電郵賬戶的Web資源145。以此方式，安全設備160保護通過公共網絡130發送到和來自用戶設備110的通信免遭竊聽和其他網絡安全攻擊。但是，用戶設備110及其內部的應用程序可能已經被諸如瀏覽器劫持或鍵盤記錄器的惡意軟件所感染，并因此，由終端用戶100鍵入用戶設備110或保存在用戶設備110的存儲器中的諸如用戶名、口令和其他私有信息的個人用戶數據會遭到竊取。為了阻止對個人信息的竊取，安全設備160可包括其自己的諸如例如Firefox 或Google Chrome 的因特網瀏覽器應用程序的安全軟件應用程序245，諸如Microsoft Outlook 的電郵應用程序，以及諸如Kaspersky 因特網安全或Kaspersky
反病毒程序的反病毒應用程序；根據一個示范性實施例，這些應用程序可取代用戶設備110的不安全瀏覽器和電郵應用程序來訪問Web資源145。應用程序245可在安全連接150a和150b建立時被自動激活。可替代地，所需的應用程序245可由終端用戶100通過顯示在內置顯示器235上的應用程序選擇菜單使用鍵盤230來激活。在一個示范性實施例中，可以在安全設備160的內置顯示器235上顯示所激活應用程序245的圖形用戶界面(GUI)。但是，在優選實施例中，可將所激活應用程序245的GUI以視頻格式，例如作為流視頻文件，傳輸到用戶設備110的安全代理用于在用戶設備110的內置監視器上顯示，其可視區的大小往往大于安全設備160的顯示器235。以此方式，應用程序245在安全設備160上運行，但在用戶設備110上顯示。另外，既然應用程序245執行在安全設備160上并且以視頻格式傳輸所有與該應用程序相關聯的數據用于在用戶設備110上顯示，因此由應用程序245所使用或顯示的任何個人信息均不會被位于用戶設備110上的惡意軟件所攔截和分析。另外，在一個示范性實施例中，終端用戶100可使用安全設備110的內置鍵盤230來輸入諸如用戶名和口令的驗證信息，這對于使用諸如電郵應用程序或者部署于用戶設備110上的類似應用程序的應用程序245來訪問Web資源145來說可能是必要的。在另一個示范性實施例中，可以由因特網瀏覽器應用程序245或安全設備160上的專用口令管理應用程序來存儲所要求的驗證信息。而在另一個示范性實施例中，諸如數字證書的驗證信息可從動態口令牌(e-token)獲得，所述動態口令牌可通過USB端口 225連接到設備160。事實上，根據一個示范性實施例，一個USB端口 225可專用于動態口令牌和其他類型的外部安全設備，而另一個USB端口 225可用于電池充電、通信和其他功能。在一個不范性實施例中，可由安全設備160通過安全服務器170向Web服務器140傳輸驗證信息以便獲得Web資源145。同時，在一個示范性實施例中，可以將相同的驗證信息以視頻格式傳輸到用戶設備110的安全代理用于在用戶設備110的內置監視器上顯示。通過安全服務器170將所獲得的W`eb資源145傳輸到請求這些資源的應用程序245并隨后由安全設備160以圖形格式轉發給用戶設備110用于在用戶設備110的監視器上顯示。此夕卜，由于應用程序245執行在安全設備160上并且包括驗證數據和所請求的Web資源在內的所有與該應用程序相關聯的數據均用于以視頻格式傳輸到用戶設備110，因此由應用程序245所使用或顯示的任何私有或機密信息均不會被位于用戶設備110上的惡意軟件所分析。而在另一個示范性實施例中，除瀏覽器和電郵應用程序以外，安全設備160還可包括反病毒應用程序245，諸如Kaspersky 因特網安全程序或Kaspersky 反病毒程序。反病毒應用程序245可經配置以自動對傳輸到用戶設備110的Web資源145掃描病毒、木馬、蠕蟲和其他類型的惡意軟件。反病毒應用程序245的另一個好處是它可由安全服務器170自動更新，所述安全服務器170可維持最新的可用反病毒定義數據庫。在一個示范性實施例中，反病毒應用程序245可在每次安全設備160連接到安全服務器170時檢查更新。在另一個實施例中，安全服務器170可使用例如推送(Push)技術將最新的可用反病毒定義推送到安全設備160。在另一個示范性實施例中，安全設備160可具有各種安全特征，保護安全設備160及其中所存儲的信息免遭外部安全攻擊或未經授權的訪問。例如，該設備可包括篡改檢測程序，其可為反病毒應用程序245的組件，可操作以檢測任何對安全設備160的RAM 210或硬盤驅動器215的未授權的嘗試訪問。如果檢測到安全攻擊，該程序可自動刪除存儲在硬盤驅動器215上的全部用戶個人信息，諸如用戶驗證數據。此外，該程序可終止與用戶設備110和安全服務器170的全部安全連接150a和150b。而且，安全設備160可將自己臨時鎖定，且僅當輸入由設備制造商分配給安全設備160的合法所有者的唯一授權密碼時被解鎖。此外，可向安全服務器170發送安全攻擊的通知。而且，萬一安全設備160丟失或被盜，安全設備160的終端用戶100可通知安全服務器170，并且安全服務器將向安全設備160發送信號，所述信號將在安全設備160下一次被激活時禁用該安全設備160。在一個示范性實施例中，安全設備160可被用來動態配置用于非安全網絡環境的安全設置。例如，安全設備160基于例如網絡130的類型(例如，是否是私有或公共、有線、無線或蜂窩網絡等)來自動指定不同的安全設置。此外，安全設置可基于用戶設備110的硬件或軟件配置(例如，操作系統類型、存在操作系統安全補丁、存在諸如反病毒程序或防火墻的安全應用程序和其他安全相關配置)來進行設置。如果安全設備160確定網絡130和用戶設備110是不安全的，則安全設備可要求終端用戶100使用安全設備的內置因特網瀏覽器245來取代安裝在用戶設備110上的瀏覽器，并且要求來自安全設備的經保護鍵盤230的輸入來取代用戶設備HO的本地數據輸入設備。在其他實施例中，如果用戶想要把用戶安全設備160僅僅作為 從用戶設備110到安全服務器170的安全連接載體，則安全設備160可經配置以不激活視頻通道和應用程序245。而在另一個示范性實施例中，可基于用戶設備操作于其中的網絡環境的改變(例如，從公共網絡過渡到私有網絡)，以及基于用戶設備110本身的改變(例如，在用戶設備上檢測到惡意軟件)，來動態改變安全設置。一般來說，在各種示范性實施例中，安全設備160可提供以下安全特征通過非安全的公共有線、無線或蜂窩網絡130建立經保護的連接，例如VPN、WAP、WAP2、WEP2和HTTPS。口令管理能力-將口令存儲在安全設備160上而不需要在非安全用戶設備110上存儲口令。在安全設備160上運行因特網應用程序并且僅僅向用戶設備110傳送視頻輸出。通過使用具有集成數據輸入設備的安全設備160來提高用戶驗證數據的安全，所述集成數據輸入設備諸如鍵盤，用于通過安全的安全設備160而不是通過非安全的用戶設備110輸入口令和其他用戶驗證數據。以上述方式，安全設備160在非安全網絡環境130中提供綜合的網絡和數據安全保障。尤其是，通過非安全網絡130的數據傳輸不會被網絡嗅探器或數據包分析器所分析，因為傳入和傳出用戶設備110的數據被加密并通過安全連接150a和150b傳輸；諸如登錄名和口令的用戶個人驗證數據不會被盜，因為其由安全應用程序245所存儲，所述安全應用程序245在安全設備160上由硬化的操作系統240所安全運行；并且最后，用戶的數據輸入不會被鍵盤記錄器或其他惡意軟件所攔截或分析，因為數據是通過安全設備160的經保護的鍵盤230輸入的。本發明安全設備還具有其他好處，其將從下面對安全設備的操作方法的描述中看出。圖3描述了使用本發明的安全設備來提供對操作在非安全網絡環境中的用戶設備的安全的因特網訪問的方法的一個示范性實施例。在步驟310由終端用戶100激活后，安全設備160在步驟320使用其第一無線網絡模塊250a建立與用戶設備110的第一直接安全無線連接150a。在步驟330，安全設備使用第二無線網絡模塊250b搜索任何可用的公共無線網絡130，并且如果發現這樣的網絡，則使用第二無線網絡模塊250b連接到網絡130。在步驟340，安全設備160通過公共網絡130建立與安全服務器170的第二安全連接150b。安全服務器170經配置以經由安全設備160提供對用戶設備110的因特網訪問。在步驟350，安全設備160通過第一安全連接150a從用戶設備160的因特網瀏覽器或電郵應用程序來接收對Web資源145的請求。在步驟360，安全設備160通過第二安全連接150b將該請求傳送給安全服務器170。安全服務器170可操作以通過連接155從Web服務器140請求Web資源145。安全服務器170在將接收到的Web資源145傳送給安全設備160之前,可對其進行病毒掃描。在步驟370從安全服務器170接收所請求的Web資源145之后，安全設備160在步驟380將該所請求的Web資源145傳送給用戶設備110。以此方式，安全設備160在非安全網絡環境130中提供對用戶設備110的安全的因特網訪問。圖4描述了通過本發明的安全設備來安全管理和輸入用戶驗證信息的方法的一個示范性實施例。在步驟410由終端用戶100激活后，安全設備160在步驟420建立與用戶設備110的第一直接安全無線連接150a。在步驟430，安全設備搜索任何可用的公共無線網絡130，并且如果發現這樣的網絡，則連接到網絡130。在步驟440，安全設備160通過公共網絡130建立與安全服務器170的第二安全連接150b。在步驟450，終端用戶100激活用戶設備110上的因特網瀏覽器、電郵應用程序或其他通信應用程序，其通過第一安全連接150a向安全設備160發送Web資源請求。在步驟460，終端用戶110使用安全設備160的安全鍵盤230鍵入與所激活的應用程序或所請求的Web資源145相關聯的用戶驗證信息，諸如用戶名和口令。可替代地，安全設備160激活口令管理應用程序245，其從安全設備160的永久存儲部215中檢索與所激活的應用程序或所請求的Web資源145相關聯的用戶驗證信息。在步驟470，安全設備160將Web資源請求連同用戶驗證信息一起通過第二安全連接150b傳送給安全服務器170。安全服務器170使用用戶驗證信息來從Web服務器140獲得所請求的Web資源145。在從安全服務器170接收所請求的Web資源145之后，安全設備160在步驟480將該Web資源145傳送給用戶設備110。圖5描述了使用本發明的安全設備來提供對操作在非安全網絡環境中的用戶設備的安全的因特網訪問的方 法的另一個示范性實施例。在步驟510由終端用戶100激活后，安全設備160在步驟520建立與用戶設備110的第一直接安全無線連接150a。該連接150a可以是安全設備160的無線網絡模塊之一與用戶設備110的無線網絡模塊250a之間的直接無線連接。隨后，在一個示范性實施例中，安全設備160可以在步驟530激活用戶設備110的安全代理，其在步驟540從用戶設備110收集最后所使用的網絡配置設置。該網絡配置設置可以被安全設備160用于在步驟550使用同一個網絡模塊250a或者使用其他無線或蜂窩網絡模塊250b連接到非安全網絡130。如果在用戶設備110上沒有先前的網絡配置設置是可用的，則終端用戶100可使用用戶設備110上的安全代理來手動設定網絡，或者安全設備160可使用常規技術來搜索可用的無線或蜂窩網絡。在步驟560，安全設備160通過網絡130建立到安全服務器170的第二安全連接150b。第二安全連接150b可以為VPN隧道。在一個示范性實施例中，在步驟570，安全設備160可以啟動安裝在安全設備160上的因特網瀏覽器應用程序或者另一個因特網訪問應用程序245。如果安全設備160具有集成的顯示器235，則可在該顯示器上顯示應用程序245的⑶I。如果安全設備160不具有顯示器，則設備160可在步驟580通過第一安全連接150a設定與用戶設備110上的安全代理的視頻通道，并且通過第一安全無線連接150a在視頻通道上將該應用程序245的⑶I作為諸如MPEG2或其他流視頻格式的視頻信號傳輸給用戶設備110上的安全代理。安全代理可經配置以從安全設備160接收該視頻信號并在用戶設備110的監視器上對其加以重現。
在一個示范性實施例中，在步驟590，終端用戶100可使用安全設備160的鍵盤 230來在瀏覽器應用程序245中鍵入Web資源145的URL地址。所輸入的URL地址可以顯示在安全設備160的內置顯示器235上，或者以視頻信號的方式傳輸給用戶設備110上的安全代理用于顯示在用戶設備110的監視器上。在另一個示范性實施例中，用戶可以使用用戶設備110的鍵盤來鍵入所需的URL地址，在此情況下，安全代理將所輸入的數據通過第一安全連接150a傳輸給安全設備160。安全設備160通過第二安全連接150b將對此Web 資源145的請求傳輸給安全服務器170，所述安全服務器170訪問因特網以從Web服務器 140獲得所請求的Web資源145。安全設備160可在內置顯示器235上顯示應用程序245 的界面以及所獲得的Web資源。可替代地，安全設備160可將應用程序245的界面以及所獲得的Web資源145以視頻信號的方式，通過第一安全網絡連接150a使用視頻通道來傳輸以在用戶設備110的監視器上顯示。
圖6描述了使用本發明的安全設備來動態改變網絡安全設置的方法的一個示范性實施例。在步驟610由終端用戶100激活后，安全設備160在步驟620搜索或從用戶設備110獲得用于可用無線網絡130的配置設置。在步驟630，安全設備160評定可用無線本地局域網的安全特性，例如是否是私有或公共網絡、是否是無線或蜂窩網絡、是否使用諸如WEP的安全網絡協議以及其他安全相關的特性。在步驟640，安全設備160建立與用戶設備110的第一直接安全無線連接150a。在步驟650，安全設備160獲得和評定用戶設備160 的硬件和軟件的安全特性，包括但不限于操作系統的類型(例如，關注或者不關注安全的操作系統)、存在操作系統安全補丁、存在例如反病毒應用程序或防火墻的安全應用程序及其他安全相關的配置設置。可以使用部署在用戶設備110上的安全代理來獲得關于用戶設備 110的這一信息。在步驟660，安全設備160基于對網絡130和用戶設備110的安全特性的評定結果來為用戶設備110選擇適當的安全配置。
在一個示范性實施例中，該安全設置可包括高安全、中安全和低安全設置。在步驟670，如果網絡130和用戶設備110都被確定為不安全的(例如，網絡130是非安全的公共網絡并且用戶設備110不具有打過安全補丁的操作系統或反病毒應用程序)，則安全設備 160可為用戶設備110選擇高安全設置。在此情況下，安全設備160可建立到安全服務器 170的安全連接150a和150b。安全設備160還可激活因特網瀏覽器或電郵應用程序245 并指令部署在用戶設備110上的安全代理停用用戶設備110上的因特網瀏覽器、電郵應用程序或其他因特網訪問應用程序。安全設備160還可激活其內置鍵盤230用于與激活的瀏覽器和電郵應用程序一起使用。安全設備還可以建立用于以視頻信號的方式傳輸瀏覽器或電郵相關數據的視頻通道，以在用戶設備160的監視器上顯示。此外，安全設備可激活反病毒應用程序245，以對發送到和來自用戶設備110的數據流量進行病毒掃描。因此，高安全設置為抵御網絡攻擊和可能感染用戶設備110的任何惡意軟件提供了最大可能的保護。
在步驟680， 如果僅是網絡130和用戶設備110之一被確定是安全的(例如，網絡130是非安全的公共網絡，但用戶設備110具有打過安全補丁的操作系統和/或更新的反病毒應用程序)，則安全設備160可為用戶設備110選擇中安全設置。在此情況下，安全設備 160可通過網絡130建立到安全服務器170的安全連接150a和150b。安全設備160可允許使用用戶設備HO的因特網瀏覽器、電郵應用程序或其他因特網訪問應用程序來通過安全服務器170訪問因特網。但是，安全設備160可要求終端用戶100使用安全設備160的內置鍵盤230來輸入與所激活的應用程序相關聯的任何用戶驗證數據。安全設備160還可建立用于對發送到和來自用戶設備110的用戶驗證和其他私有數據進行傳輸的視頻通道。 因此，中安全設置為用戶設備110提供了抵御網絡攻擊的保護以及提供了在網絡130上傳輸個人和機密數據的保護。
在步驟690，如果網絡130和用戶設備110均被確定是安全的(例如，網絡130是安全的私有網絡并且用戶設備110具有打過安全補丁的操作系統和/或更新的反病毒應用程序)，則安全設備160可為用戶設備110選擇低安全設置。在此情況下，安全設備160可通過網絡130建立到安全服務器170的安全連接150a和150b。安全設備160可允許使用用戶設備110的因特網瀏覽器、電郵應用程序或其他因特網訪問應用程序來通過安全服務器170訪問因特網。另外，安全設備160可允許終端用戶100使用用戶設備110的鍵盤來輸入與所激活的應用程序相關聯的任何用戶驗證數據。因此，低安全設置提供了抵御網絡 130上攻擊的保護。
在步驟695，安全設備160可監視網絡130或用戶設備110的配置的任何改變，并基于用戶設備操作于其中的網絡環境的改變(例如，從公共網絡過渡到私有網絡)或用戶設備本身的任何改變(例如，在用戶設備上或者在傳入和傳出該設備的數據中檢測到惡意軟件)，來動態改變網絡安全設置。檢測到此類改變之后，安全設備160在步驟660動態選擇適當的安全設置。
圖7描述了可用于實現本發明安全設備的計算機系統5的示范性實施例。該系統 5可包括網絡服務器、個人計算機、筆記本、平板電腦、智能電話或其他類型的數據處理/計算/通信設備。該系統5可以包括通過系統總線10連接的一個或多個處理器15、存儲器 20、一個或多個硬盤驅動器30、光驅35、串行端口 40、圖形卡45、聲卡50和網卡55。系統總線10可以為幾種類型的總線結構中的任何一種，包括使用各種已知總線架構中的任何一種的存儲器總線或存儲器控制器、外圍總線和局部總線。處理器15可以包括一個或多個 Intel15Core 2Quad 2. 33GHz處理器或其他類型的微處理器。
系統存儲器20可以包括只讀存儲器(R0M)21和隨機存取存儲器(RAM)23。存儲器 20可以實現為DRAM (動態RAM)、EPR0M、EEPR0M、閃存或其他類型 的存儲器架構。ROM 21存儲基本輸入/輸出系統22 (BIOS)，該基本輸入/輸出系統22含有幫助在系統5的組件之間傳遞信息的基本例程，諸如在啟動期間。RAM 23存儲操作系統24(OS)，諸如Windows:" XP或其他類型操作系統，該操作系統24負責在系統5中管理和協調進程以及分配和共享硬件資源。系統存儲器20還存儲應用程序和程序25，諸如因特網瀏覽器應用程序、電郵客戶端應用程序以及反病毒應用程序。存儲器20還存儲由程序25使用的各種運行時數據26。
系統5可以進一步包括諸如SATA磁性硬盤驅動器(HDD)的硬盤驅動器30以及用于讀或寫諸如⑶-ROM、DVD-ROM或其他光學介質的可移動光盤的光盤驅動器35。驅動器30 和35及其相關聯的計算機可讀介質提供了對計算機可讀指令、數據結構、應用程序以及實現本申請所公開的算法和方法的程序模塊/子例程的非易失性存儲。盡管示例性的系統5 采用磁盤和光盤，本領域技術人員應當理解，在該系統的替代實施例中，還可以使用可存儲系統5可訪問數據的其他類型的計算機可讀介質，諸如磁帶盒、閃存卡、數字視頻盤、RAM、 ROM、EPROM以及其他類型的存儲器。
系統5進一步包括諸如通用串行總線(USB)的多個串行端口 40，其用于連接諸如鍵盤、鼠標、觸控板及其他類型的數據輸入設備75。串行端口 40還可以用來連接諸如打印機、掃描儀及其他類型的數據輸出設備80以及諸如外部數據存儲設備等的其他外圍設備 85。系統5還可以包括諸如nVidia‘K: GeForcek' GT 240M或其他視頻卡的圖形卡45，其用于與監視器60或其他視頻再現設備接口。系統5還可以包括聲卡50，其用于經由內部或外部揚聲器65再現聲音。此外，系統5可以包括網卡55，諸如以太網、WiF1、GSM、藍牙或其他有線、無線或蜂窩網絡接口，其用于將系統5連接至諸如因特網的網絡70。
在各種實施例中，本申請所描述的算法和方法可以實現于硬件、軟件、固件或者其任意組合中。如果在軟件中實現，這些功能可以作為一個或者多個指令或者代碼在非暫時性計算機可讀介質上存儲。計算機可讀介質既包括計算機存儲介質也包括通信介質，所述通信介質有利于從一個地方向另一個地方傳遞計算機程序。存儲介質可以是能夠被計算機訪問的任何可用的介質。作為示例而非限制，這種計算機可讀介質可包括RAM、R0M、EEPR0M、 CD-ROM或其他光盤存儲、磁盤存儲或其他磁性存儲設備、或者任何能夠用于以指令或者數據結構的形式承載或者存儲所需的程序代碼并且可被計算機訪問的其他介質。另外，任何連接都可以被稱為計算機可讀介質。例如，如果使用同軸電纜、光纜、雙絞線、數字用戶線 (DSL)、或者諸如紅外、射頻和微波這類無線技術從網站、服務器或者其他遠程信源傳輸軟件，那么均包括在介質的定義中。
為了清楚起見， 本申請沒有示出并描述實施例的所有常規特征。應該理解的是，在任何這種實際的實現方案的開發中，為了達到開發者的特定目標，必須做出大量特定于實現方案的決定，而且，這些特定目標會因實現方案的不同和開發者的不同而變化。應該理解的是，這種開發工作可能是復雜且費時的，但不論如何，對于受益于本公開的本領域普通技術人員而目，都將是常規的工程任務。
而且，可以理解的是，本申請使用的措辭和術語用于描述而非限制的目的，以使本說明書的術語或者措辭可由本領域技術人員根據本申請提出的教導和指導結合相關領域技術人員的知識做出解釋。而且，除非像這樣明確地予以闡述，否則說明書中或者權利要求中的任何術語都并非意圖表示不常見的或者特殊的意思。
本申請公開的各種實施例包括本申請通過圖示方式提到的已知組件的現在和將來已知的等同物。而且，盡管已經示出和說明了實施例和應用程序，但對受益于本公開內容的本領域技術人員來說顯而易見的是，在不脫離所公開的發明構思的情況下，除本申請所提到以外的其他修改例都是可能的。
權利要求
1.一種用于安全因特網訪問的方法，所述方法包括 由安全設備建立與用戶設備的第一安全網絡連接； 由所述安全設備建立與服務器的第二安全網絡連接，所述服務器提供對所述因特網的訪問； 激活所述安全設備上的因特網應用程序，用于通過與所述服務器的所述第二網絡連接來訪問所述因特網上的資源； 通過與所述服務器的所述第二網絡連接來傳輸用戶驗證數據用于訪問所述資源； 通過所述第一網絡連接來向所述用戶設備傳輸應用程序相關數據、資源相關數據和所述用戶驗證數據。
2.根據權利要求1所述的方法，其中通過所述第一網絡連接來向所述用戶設備傳輸應用程序相關數據、資源相關數據和所述用戶驗證數據包括通過所述第一網絡連接以視頻信號的方式傳輸所述應用程序相關數據、所述資源相關數據和所述用戶驗證數據，用于在所述用戶設備上顯示。
3.根據權利要求2所述的方法，其中建立第一網絡連接包括 激活所述用戶設備上的代理，其中所述代理經配置以訪問所述用戶設備的視頻模塊，用于顯示來自所述安全設備的所述視頻信號。
4.根據權利要求1所述的方法，進一步包括 接收在所述安全設備上作為鍵盤輸入的所述用戶驗證數據。
5.根據權利要求1所述的方法，進一步包括 從所述安全設備上的存儲部中檢索所述用戶驗證數據。
6.根據權利要求1所述的方法，其中所述安全服務器為虛擬專用網服務器。
7.根據權利要求1所述的方法，其中所述第一無線網絡為私有無線網絡。
8.根據權利要求1所述的方法，其中所述第二網絡為非安全公共網絡。
全文摘要
本申請公開了用于在諸如公共無線網絡的非安全網絡環境中提供對用戶設備的安全因特網訪問的系統、方法和計算機程序產品。該系統包括便攜式安全設備，經配置以建立與用戶設備的第一安全直接無線連接和通過公共無線網絡到安全服務器的第二安全網絡連接，所述安全服務器提供因特網訪問。安全設備提供因特網瀏覽器和電郵應用程序，其可用于取代用戶設備的非安全應用程序來通過第一和第二安全網絡連接訪問Web資源。此外，安全設備包括安全鍵盤，其可取代用戶設備的非安全鍵盤而由設備用戶用來輸入用戶驗證數據用于訪問所需Web資源。
文檔編號H04L29/06GK103051602SQ20121036263
公開日2013年4月17日 申請日期2012年9月25日 優先權日2011年9月30日
發明者安德烈·P·多克瓦羅夫, 帕維爾·V·達金, 謝爾蓋·Y·戈洛瓦諾夫, 伊戈爾·I·索門科夫, 德米特里·A·庫拉基尼, 阿列克謝·Y·沃伊托夫斯基, 尤金·V·卡斯佩爾斯基 申請人:卡巴斯基實驗室封閉式股份公司