本公開涉及用于電子郵件等消息服務(wù)的混合內(nèi)容保護架構(gòu)。

背景技術(shù)：

1、加密日益成為確保用戶之間消息的機密性和真實性的使用中的最重要的工具之一。這些消息通常通過消息服務(wù)器(例如，電子郵件服務(wù)器)傳遞，而消息服務(wù)器不受發(fā)送消息的用戶和/或接收消息的用戶的控制。雖然用戶可以依賴于電子郵件服務(wù)器進行加密和解密，但這允許電子郵件服務(wù)器訪問未加密的消息。為了最大限度地保護隱私，一些用戶采用客戶端側(cè)加密，客戶端側(cè)加密涉及用戶在將加密消息發(fā)送到消息服務(wù)器進行傳遞之前對消息進行加密。

技術(shù)實現(xiàn)思路

1、本公開的一個方面提供了一種用于提供混合內(nèi)容保護架構(gòu)的方法。計算機實現(xiàn)的方法在由用戶裝置的數(shù)據(jù)處理硬件執(zhí)行時使數(shù)據(jù)處理硬件執(zhí)行操作。所述操作包括從消息服務(wù)器獲得用一次性數(shù)據(jù)加密密鑰(dek)加密的加密消息和包括用公鑰(pk)加密的一次性dek的加密dek。一次性dek可以僅用于對加密消息進行加密。所述操作還包括向密鑰訪問控制列表服務(wù)器(kacls)傳輸解密請求，解密請求請求kacls使用與pk相關(guān)聯(lián)的私鑰(prk)對加密dek進行解密。解密請求可以包括加密dek。kacls獨立于消息服務(wù)器和/或與消息服務(wù)器分離。所述操作還包括從kacls接收一次性dek以及使用一次性dek對加密消息進行解密。

2、本公開的實現(xiàn)方式可以包括以下可選特征中的一個或多個可選特征。在一些實現(xiàn)方式中，解密請求被配置為使kacls從消息服務(wù)器獲得加密prk，加密prk包括用私有kacls密鑰加密的prk；使用私有kacls密鑰對加密prk進行解密；使用prk對加密dek進行解密；將一次性dek傳輸?shù)接脩粞b置；并且丟棄prk。在這些實現(xiàn)方式中的一些實現(xiàn)方式中，私有kacls密鑰包括僅由kacls擁有的對稱密鑰。

3、在一些示例中，解密請求被配置為使kacls使用消息服務(wù)器驗證用戶裝置的用戶，并且使用獨立于消息服務(wù)器的第三方身份提供者驗證用戶裝置的用戶?？蛇x地，所述操作進一步包括：獲得第二消息；生成第二一次性dek；使用第二一次性dek對第二消息進行加密；向kacls傳輸加密請求，加密請求請求kacls用prk對第二一次性dek進行加密；從kacls接收第二加密dek，第二加密dek包括用prk加密的第二一次性dek；以及將加密的第二消息和第二加密dek傳輸?shù)较⒎?wù)器。在一些實現(xiàn)方式中，使用安全/多用途互聯(lián)網(wǎng)郵件擴展(s/mime)標(biāo)準(zhǔn)獲得第二消息。

4、在一些示例中，消息服務(wù)器不接收對prk或?qū)饷芟⒌脑L問。可選地，pk和prk包括非對稱密鑰對。消息服務(wù)器可以存儲pk。在一些實現(xiàn)方式中，加密消息包括電子郵件，并且消息服務(wù)器包括電子郵件服務(wù)。

5、本公開的另一方面提供了一種用于提供混合內(nèi)容保護架構(gòu)的系統(tǒng)。所述系統(tǒng)包括數(shù)據(jù)處理硬件，以及與數(shù)據(jù)處理硬件通信的存儲器硬件。存儲器硬件存儲指令，所述指令當(dāng)在數(shù)據(jù)處理硬件上執(zhí)行時使數(shù)據(jù)處理硬件執(zhí)行操作。所述操作包括從消息服務(wù)器獲得用一次性數(shù)據(jù)加密密鑰(dek)加密的加密消息和包括用公鑰(pk)加密的一次性dek的加密dek。一次性dek可以僅用于對加密消息進行加密。所述操作還包括向kacls傳輸解密請求，解密請求請求kacls使用與pk相關(guān)聯(lián)的prk對加密dek進行解密。解密請求可以包括加密dek。kacls獨立于消息服務(wù)器和/或與消息服務(wù)器分離。所述操作還包括從kacls接收一次性dek以及使用一次性dek對加密消息進行解密。

6、此方面可以包括以下可選特征中的一個或多個可選特征。在一些實現(xiàn)方式中，解密請求被配置為使kacls從消息服務(wù)器獲得加密prk，加密prk包括用私有kacls密鑰加密的prk；使用私有kacls密鑰對加密prk進行解密；使用prk對加密dek進行解密；將一次性dek傳輸?shù)接脩粞b置；并且丟棄prk。在這些實現(xiàn)方式中的一些實現(xiàn)方式中，私有kacls密鑰包括僅由kacls擁有的對稱密鑰。

7、在一些示例中，解密請求被配置為使kacls使用消息服務(wù)器驗證用戶裝置的用戶，并且使用獨立于消息服務(wù)器的第三方身份提供者驗證用戶裝置的用戶?？蛇x地，所述操作進一步包括：獲得第二消息；生成第二一次性dek；使用第二一次性dek對第二消息進行加密；向kacls傳輸加密請求，加密請求請求kacls用prk對第二一次性dek進行加密；從kacls接收第二加密dek，第二加密dek包括用prk加密的第二一次性dek；以及將加密的第二消息和第二加密dek傳輸?shù)较⒎?wù)器。在一些實現(xiàn)方式中，使用安全/多用途互聯(lián)網(wǎng)郵件擴展(s/mime)標(biāo)準(zhǔn)獲得第二消息。

8、在一些示例中，消息服務(wù)器不接收對prk或?qū)饷芟⒌脑L問?？蛇x地，pk和prk包括非對稱密鑰對。消息服務(wù)器可以存儲pk。在一些實現(xiàn)方式中，加密消息包括電子郵件，并且消息服務(wù)器包括電子郵件服務(wù)。

9、本公開的一個或多個實現(xiàn)方式的細節(jié)在附圖和以下說明中闡述。根據(jù)說明書和附圖以及權(quán)利要求，其他方面、特征和優(yōu)點將顯而易見。

技術(shù)特征：

1.一種計算機實現(xiàn)的方法(400)，所述計算機實現(xiàn)的方法在由用戶裝置(10)的數(shù)據(jù)處理硬件(18)執(zhí)行時使所述數(shù)據(jù)處理硬件(18)執(zhí)行操作，所述操作包括：

2.如權(quán)利要求1所述的方法(400)，其中所述解密請求(210)被配置為使所述kacls(50)：

3.如權(quán)利要求2所述的方法(400)，其中所述kacls加密密鑰(230)包括僅由所述kacls(50)擁有的對稱密鑰或非對稱密鑰。

4.如權(quán)利要求1至3中任一項所述的方法(400)，其中所述解密請求(210)被配置為使所述kacls(50)：

5.如權(quán)利要求1至4中任一項所述的方法(400)，其中所述操作進一步包括：

6.如權(quán)利要求5所述的方法(400)，其中所述第二消息(152)是使用由安全/多用途互聯(lián)網(wǎng)郵件擴展(s/mme)標(biāo)準(zhǔn)描述的操作獲得的。

7.如權(quán)利要求1至6中任一項所述的方法(400)，其中所述消息服務(wù)器(160)不接收對所述prk(172prk)或?qū)λ鼋饷芟?152)的訪問。

8.如權(quán)利要求1至7中任一項所述的方法(400)，其中所述pk(172pk)和所述prk(172prk)包括非對稱密鑰對。

9.如權(quán)利要求8所述的方法(400)，其中所述消息服務(wù)器(160)存儲所述pk(172pk)。

10.如權(quán)利要求1至9中任一項所述的方法(400)，其中：

11.一種系統(tǒng)(100)，所述系統(tǒng)包括：

12.如權(quán)利要求11所述的系統(tǒng)(100)，其中所述解密請求(210)被配置為使所述kacls(50)：

13.如權(quán)利要求12所述的系統(tǒng)(100)，其中所述kacls加密密鑰(230)包括僅由所述kacls(50)擁有的對稱密鑰或非對稱密鑰。

14.如權(quán)利要求11至13中任一項所述的系統(tǒng)(100)，其中所述解密請求(210)被配置為使所述kacls(50)：

15.如權(quán)利要求11至14中任一項所述的系統(tǒng)(100)，其中所述操作進一步包括：

16.如權(quán)利要求15所述的系統(tǒng)(100)，其中所述第二消息(152)是使用由安全/多用途互聯(lián)網(wǎng)郵件擴展(s/mme)標(biāo)準(zhǔn)描述的操作獲得的。

17.如權(quán)利要求11至16中任一項所述的系統(tǒng)(100)，其中所述消息服務(wù)器(160)不接收對所述prk(172prk)或?qū)λ鼋饷芟?152)的訪問。

18.如權(quán)利要求11至17中任一項所述的系統(tǒng)(100)，其中所述pk(172pk)和所述prk(172prk)包括非對稱密鑰對。

19.如權(quán)利要求18所述的系統(tǒng)(100)，其中所述消息服務(wù)器(160)存儲所述pk(172pk)。

20.如權(quán)利要求11至19中任一項所述的系統(tǒng)(100)，其中：

技術(shù)總結(jié)
一種計算機實現(xiàn)的方法(400)在由用戶裝置(10)的數(shù)據(jù)處理硬件(18)執(zhí)行時使數(shù)據(jù)處理硬件執(zhí)行操作。所述操作包括從消息服務(wù)器(160)獲得用一次性數(shù)據(jù)加密密鑰(DEK)(170)加密的加密消息(152E)和包括用公鑰(PK)(172PK)加密的一次性DEK的加密DEK(170E)。所述操作還包括向密鑰訪問控制列表服務(wù)器(KACLS)(50)傳輸解密請求(210)，解密請求請求KACLS使用與PK相關(guān)聯(lián)的私鑰(PRK)(172PRK)對加密DEK進行解密。解密請求包括加密DEK。KACLS獨立于消息服務(wù)器。所述操作還包括從KACLS接收一次性DEK以及使用一次性DEK對加密消息進行解密。

技術(shù)研發(fā)人員：N·利德茲博斯基
受保護的技術(shù)使用者：谷歌有限責(zé)任公司
技術(shù)研發(fā)日：
技術(shù)公布日：2024/9/9