使用请求供应的密钥的数据安全性制造技术

请求被提交给请求处理实体，其中所述请求包括将用于履行所述请求的密码密钥。所述请求处理实体，在接收到所述请求后，从所述请求提取所述密钥并且使用所述密钥来执行一个或多个密码操作以便履行所述请求。所述一个或多个密码操作可包括通过所述请求处理实体的子系统加密将以加密形式存储的数据/解密已经以加密形式存储的数据。在履行所述请求后，所述请求处理实体可执行一个或多个操作以失去对所述请求中的所述密钥的访问，从而失去使用所述密钥的能力。

【技术实现步骤摘要】
【国外来华专利技术】相关申请的交叉引用本申请以引用方式出于所有目的并入2013年9月25日提交的标题为“具有密钥的资源定位符”(RESOURCELOCATORSWITHKEYS)的美国专利申请号14,037,282和2013年9月25日提交的标题为“使用请求供应的密钥的数据安全性”(DATASECURITYUSINGREQUEST-SUPPLIEDKEYS)的美国专利申请号14/037,292的全部公开内容。技术背景在许多语境中，计算资源和相关数据的安全性非常重要。作为实例，组织通常利用计算装置的网络来向它们的用户提供一组稳健的服务。网络通常跨多个地理边界并通常与其他网络连接。例如，组织可支持其使用计算资源的内部网络和由其他人管理的计算资源两者进行的操作。例如，组织的计算机可在使用另一个组织的服务的同时与其他组织的计算机通信以访问和/或提供数据。在许多情况下，组织使用由其他组织管理的硬件来配置并操作远程网络，从而降低基础设施成本并实现其他优点。在具有此类计算资源配置的情况下，确保对它们所持有的资源和数据的访问安全可能具有挑战性，尤其是随着此类配置的大小和复杂性的增长。附图简述将参照附图描述根据本公开的各个实施方案，在附图中：图1示出可实现各个实施方案的环境的说明性实例；图2示出可实现各个实施方案的环境的说明性实例；图3示出根据至少一个实施方案的请求的代表的说明性实例；图4示出根据至少一个实施方案的用于提交请求的过程的说明性实例；图5示出根据至少一个实施方案的用于处理请求的过程的说明性实例；图6示出根据至少一个实施方案的请求的代表的说明性实例；图7示出根据至少一个实施方案的用于处理PUT请求的过程的说明性实例；图8示出根据至少一个实施方案的用于提交GET请求的过程的说明性实例；图9示出根据各个实施方案的请求的代表的说明性实例；图10示出根据至少一个实施方案的用于提交请求的过程的说明性实例；图11示出可实现各个实施方案的环境的说明性实例；图12示出根据至少一个实施方案的用于处理请求的过程的说明性实例；图13示出可实现各个实施方案的环境的说明性实例；图14示出根据至少一个实施方案的用于处理请求的过程的说明性实例；以及图15示出可实现各个实施方案的环境。详述在以下描述中，将描述各个实施方案。出于解释的目的，将阐述具体的配置和细节，以便提供实施方案的透彻理解。然而，对本领域的技术人员将是显而易见的是，没有具体细节的情况下也可以实行实施方案。此外，为了不使所描述的实施方案变得模糊，可能会省略或简化众所周知的特征。本文描述和建议的技术涉及请求的提交和处理，其中所述请求包括密码密钥。所述请求可由服务提供者(如计算资源服务提供者)的客户生成并且由其提交。处理所述请求可包括使用被包括在请求中的密钥来执行一个活多个密码操作，如关于数据的电子(数字)签名的加密、解密和生成。在一些实施方案中，本文描述和建议的技术用来允许服务器端加密(和/或相关技术如解密)，其中有待用于加密/解密的密钥是由客户端(即，客户装置或代表客户操作)控制的。在各个实施方案中，请求中所提供的密钥的使用被执行以便服务提供者在使用密钥的有限时间之外缺少对密钥的访问。例如，服务提供者可操作数据存储服务。客户可将数据传送到服务提供者以便通过数据存储服务来存储。对服务提供者的请求可包括有待使用来加密数据的密钥。服务提供者可从所述请求获得密钥并且使用所述密钥来加密数据，以便可使用数据存储服务来持久地存储已加密数据。当不再需要密钥时(例如，当数据的加密已经完成时)，服务提供者可执行一个或多个操作以失去对密钥的访问，如通过销毁存储器中的任何密钥副本或允许将其销毁。数据的呈明文形式的任何副本可以类似方式被销毁或允许将其销毁。一旦已经销毁了密钥和明文数据，客户就可确保提供者不能够加密数据。因此，即使提供者处的安全漏洞或其他事件致使对未经客户授权的数据的访问，所述漏洞本身不允许对呈明文形式的数据的访问。根据不同实施方案可以各种方式在请求中提供密钥。例如，在一些实施方案中，所述请求包括呈明文形式的密钥。所述明文密钥可以是有待在对称密钥算法中使用的对称密钥。所述明文密钥还可以是用于不对称密钥算法的公钥-私钥对的公钥，其中服务提供者缺少对密钥对的私钥的访问并且所述私钥可访问能够使用私钥来解密的实体(例如，客户)。在一些实施方案中，请求包括呈加密(包裹)形式的密钥。例如，可对所述密钥进行加密以便可由服务提供者或在服务提供者的指导下的另一个实体解密。用来加密请求中的密钥的密钥可以是与能够解密所述密钥的实体(例如，服务提供者)共享的秘密或公钥-私钥对的公钥，其中所述私钥将由实体使用来解密已加密密钥，以用于处理所述请求。[注意：需要更新段落间距]。在接收到具有密钥的请求后，服务提供者可访问来自所述请求的密钥，从而(如果适用)解密所述密钥或使所述密钥解密，并且随后处理请求。可执行其他操作，如通过验证请求的电子签名或检查请求的履行是否遵循任何适用的策略。下文更详细地论述可能执行的操作的其他细节。图1示出可实现各个实施方案的环境100的说明性实例。在环境100中，客户102将请求104传送到服务提供者106。客户102例如可利用服务提供者106的服务。所述服务提供者可提供与数据相关的任何类型的服务，所述服务可由客户利用。示例性服务包括数据存储服务、数据库服务、处理数据的服务和其他服务。为了向服务提供者106提交请求104，客户102可在一个或多个用户装置的帮助下传送所述请求，所述一个或多个客户装置如个人计算机或膝上型计算机、移动装置、平板计算装置、电子书阅读器和/或如下文结合图15更详细描述的其他装置。另外，可根据客户102的一个或多个自动化过程提交请求104。例如，作为客户102的装置的人类操作员与客户102的装置的浏览器或其他应用的互动的结果可传送请求104。请求104可以是通过网络，如互联网或任何其他网络或下文论述的网络组合传送的电子请求。在一些实施方案中，例如，请求104是由服务提供者106向网络服务接口提供的网络服务请求。一般来说，可根据各种协议来配置请求104，请求可通过所述协议来以电子方式提交。如图1所示，请求104包括数据108和密码密钥110。所述数据可包括各种类型的信息本文档来自技高网...

【技术保护点】
一种计算机实现的方法，其包括：在服务提供者的一个或多个计算机系统的控制下，所述一个或多个计算机系统被配置有可执行指令，从对应于所述服务提供者的客户的请求者接收请求，所述请求的履行涉及关于由所述请求提供的数据的一个或多个密码操作的执行以及在所述请求中供应的密码密钥的使用，所述服务提供者在一定时间内缺少对所述密码密钥的访问直到接收到所述请求；通过作为执行关于所述指定数据的所述一个或多个密码操作的一部分的使用所述供应的密码密钥来履行所述请求；并且向数据存储系统提供执行所述一个或多个密码操作的结果；并且在执行所述一个或多个密码操作的某一时刻后，执行致使所述服务提供者失去对所述密码密钥的访问的一个或多个操作。

【技术特征摘要】
【国外来华专利技术】2013.09.25 US 14/037,2921.一种计算机实现的方法，其包括：
在服务提供者的一个或多个计算机系统的控制下，所述一个或多
个计算机系统被配置有可执行指令，
从对应于所述服务提供者的客户的请求者接收请求，所述请求的
履行涉及关于由所述请求提供的数据的一个或多个密码操作的执行
以及在所述请求中供应的密码密钥的使用，所述服务提供者在一定时
间内缺少对所述密码密钥的访问直到接收到所述请求；
通过作为执行关于所述指定数据的所述一个或多个密码操作的
一部分的使用所述供应的密码密钥来履行所述请求；并且
向数据存储系统提供执行所述一个或多个密码操作的结果；并且
在执行所述一个或多个密码操作的某一时刻后，执行致使所述服
务提供者失去对所述密码密钥的访问的一个或多个操作。
2.如权利要求1所述的计算机实现的方法，其中履行所述请求
包括解析所述请求以从呈明文形式的所述请求提取所述密钥。
3.如权利要求1所述的计算机实现的方法，其中：
所述密码密钥是公钥-私钥对的公钥，所述服务提供者缺少其的
访问；并且
所述一个或多个密码操作包括使用所述公钥执行对称算法。
4.如权利要求1所述的计算机实现的方法，其中：
在所述请求中供应的所述密码密钥由另一个密钥加密；
所述方法还包括致使在所述请求中供应的所述密码密钥被解密；
并且
使用所述供应的密码密钥来执行所述一个或多个密码操作包括
使用所述已解密的供应的密码密钥来执行所述一个或多个密码操作。
5.如权利要求4所述的计算机实现的方法，其中致使在所述请
求中供应的所述密码密钥解密包括向另一个实体传送所述密码密钥
以供解密。
6.一种系统，其包括：
一个或多个处理器；以及
包括指令的存储器，当由所述一个或多个处理器执行时，所述指
令致使所述系统：
通过网络从请求者接收请求，所述请求的履行涉及使用包括在所
述请求中供应的密码密钥的信息来执行关于所述请求中指定的数据
的一个或多个密码操作，其中所述信息可用来认证所述请求；
作为接收并认证所述请求的结果，执行关于所述指定数据的所述
一个或...

【专利技术属性】
技术研发人员：格里戈里·布兰奇克·罗特，埃里克·贾森·布朗德万，
申请(专利权)人：亚马逊技术有限公司，
类型：发明
国别省市：美国;US