CN1246773A

CN1246773A - 提供对移动装置本地服务的访问控制的方法和装置

Info

Publication number: CN1246773A
Application number: CN99110376A
Authority: CN
Inventors: 廖汉青; 彼得·F·金; 小布鲁斯·K·马丁
Original assignee: Phone Com Inc
Current assignee: Great Elm Group Inc
Priority date: 1998-07-17
Filing date: 1999-07-16
Publication date: 2000-03-08
Also published as: EP0973350A3; JP2000092050A; KR20000016949A; EP0973350A2; US6292833B1

Abstract

公开了一种保证安全访问无线通信系统的移动装置的本地服务的技术。该技术控制访问移动装置的本地服务,以使仅有授权的服务能够远程更改该本地服务。在允许访问本地服务之前,检验寻求访问的网点身份,以判断该网点是否被授权了这样的访问。如果网点为授权的,则允许访问,并且网点能够修改或更改移动装置的本地服务。另一方面,当网点为非授权的时,拒绝该网点访问本地服务,以使网点所提供的本地服务不受到未经意的网点的破坏。

Description

提供对移动装置本地服务的访问控制的方法和装置

本发明涉及移动装置，尤其涉及对移动装置的本地服务的安全访问。

无线网络通常用于从网络中的一个位置发送消息到网络中的目标位置。这些消息包含要提供给目标位置的数据。在某些情况下，该消息是来自源位置的信息请求的响应。在另一些情况下，该消息是在没有任何特定请求的情况下发送到目标位置的通知消息。无线网络通常包括多种移动装置。此外，无线网络所耦合的网络通常包括存储多种信息的许多远程服务器。

移动装置规定成(即，配置成)以特定方式操作。该规定可以预设在移动电话中，该规定可由用户进行设定，或者该规定可以在移动装置连接到无线网络时进行设定。通常，移动装置在该移动装置连接到无线网络后用无线电规定。移动装置的规定确定如何操作移动装置的多种功能。通常，移动装置具有一组提供移动装置的基本功能的本地服务。这样的基本功能的例子包括设定或更新无线话音和数据协议参数、地址登记和各种其它可用于使移动装置的某种通话(telephony)和数据特征有效或无效的参数。

通过无线进行的移动装置的规定，意味着通过访问网络的规定信息，获取本地服务参数或将本地服务参数设定在该移动装置中，以控制其操作。例如，移动装置可从网络上的特定的远程服务器请求规定信息，然后，该移动装置可根据从该特定的远程服务器获取的规定信息而规定。该特定的远程服务器通常是用于由移动装置享用的特定服务的服务提供器。这样，该服务提供器含有通过无线规定一移动装置的必要的规定信息。

通常，从特定的远程服务器获取的规定信息是可执行或二进制代码。该可执行或二进制代码包括使移动装置修改本地服务参数，以设定或改变移动装置的某些功能的接口、数据或操作。可执行或二进制代码的例子包括脚本、JAVA应用程序和压缩标记语言数据文件。

从传统上讲，因为可通过网络从远程服务器规定一移动装置，就有了有关移动装置未授权规定的问题。在开放的无线网络环境中，有可能由任何远程地点或服务提供器访问通过移动装置提供的本地服务。例如，远程地点或服务提供器可规定移动装置改变由该移动装置支持的本地服务参数。结果，移动装置的本地服务容易受到来自黑客(hacker)的恶意攻击等以及其它可使移动装置不能操作或在不需要的状态下操作的类似事件。例如，可从未经意的远程服务器将病毒代码不需要地下载到移动装置，结果擦除或破坏了当前存储在移动装置中的本地服务参数，使移动装置不再能正确操作。

这样，就有了对保证安全访问移动装置的本地服务参数的需求。

广义上来讲，本发明涉及限制访问移动装置的本地服务的技术。本地服务的功能包括：修改无线话音/数据协议、配置或系统参数、书签(bookmarks)、地址、客户规定信息和可以使移动装置的某些通话和数据特征有效或无效的其它参数。移动装置包括(但不限于)：移动计算装置、蜂窝电话、掌上型计算机装置和个人数字助理(Personal Digital Assistant，PDA)。移动装置能够与网络上的一个或多个服务提供器或远程服务器进行无线通信。本发明提供对移动装置的本地服务的安全访问，以使仅有授权的服务(例如，来自授权的服务器或网点)能够远程调用或更新移动装置的本地服务。按照本发明，在允许访问移动装置的本地服务之前，检查寻求访问的远程服务的身份(identity)，以判断该远程服务是否被授权了这样的访问。如果该远程服务为授权的，则允许访问，并且该远程服务能够执行或更新移动装置的本地服务。相反，如果远程服务为非授权的，则拒绝访问，以使移动装置所提供的本地服务不易受到来自未授权的远程服务的攻击或破坏，这些未授权的远程服务来自未经意的服务器或网点。

本发明能够以多种方式来实施，包括方法、计算机可读介质、设备和系统。下面将讨论本发明的几个实施例。

作为保证安全访问移动装置的本地服务的方法，本发明的一个实施例包括步骤：通过一网络接收来自一计算机的消息，该消息具有与其有关的服务标识(identity)；判断所述消息是否寻求对所述移动装置的本地服务的访问；至少当判断步骤判断出所述消息寻求对所述移动装置的本地服务的访问时，将与所述消息有关的服务标识与一个或多个授权的服务标识进行比较；以及，仅当所述比较步骤表明与所述消息有关的服务标识与至少一个或多个授权的服务标识相匹配时，允许所述消息访问所述移动装置的本地服务。

作为具有计算机程序代码的计算机可读介质，所述计算机程序代码用于保证安全访问一移动装置的本地服务，本发明的一个实施例包括：用于通过一网络从一计算机接收可执行代码的计算机程序代码，所述可执行代码具有与其有关的服务标识；用于执行所述可执行代码的计算机程序代码；以及，用于在除了与所述可执行代码有关的服务标识和至少一个或多个授权的服务标识相匹配的情况之外，阻止所述可执行代码在执行期间访问所述移动装置的所述本地服务的计算机程序代码。

作为一种能够通过无线链接连接到一计算机网络的移动装置，本发明的一个实施例包括：一显示屏，显示图形和文本；一消息缓冲器，暂时存储来自所述计算机网络上的一计算机的消息，所述消息具有与其有关的服务标识；一应用程序，使用来自所述计算机网络上的从所述计算机接收的所述消息；一本地服务数据区，存储本地服务数据，该本地服务数据控制所述移动装置的操作；一授权存储区，存储允许访问所述本地服务数据区的授权的服务标识；以及一访问控制器，控制访问所述本地服务数据区，以使所述本地服务数据不能由使用所述消息的所述应用程序改变，除非与所述消息有关的服务标识与至少一个授权的服务标识相匹配。

作为一种无线通信系统，本发明的一个实施例包括：一有线网络，具有多个服务器计算机；一无线电信公司公用通信网(wireless carrier network)，可操作地连接到所述有线网络；以及多个无线移动装置，支持某些本地服务。提供于所述无线移动装置上的所述某些本地服务用于确定系统参数。通过所述无线电信公司公用通信网将来自所述有线网络的所述服务器计算机的消息提供给所述无线移动装置。每一个所述无线移动装置在接收到一个所述消息时进行操作，以阻止所述一个消息访问每一个所述无线移动装置的系统参数，除非与所述一个消息有关的服务标识与至少一个或多个授权的服务标识相匹配。

本发明有很多优点。本发明的一个优点是，可以安全方式通过无线规定移动装置的本地服务。本发明的另一个优点是，对移动装置的本地服务参数的访问能够受到保护，以不受黑客或未经意的网点的攻击。

从下面参照附图以举例方式对本发明原理的详细描述中，本发明的其它方面和优点将变得更加明白。

通过下面参照附图的详细描述，本发明将更容易理解。附图中，相同的标号表示相同的结构单元，其中：

图1是根据本发明的一个实施例的无线通信网络的方框图；

图2是根据本发明的一个实施例的移动装置初始化处理的流程图；

图3A和3B是根据本发明的一个实施例的移动装置消息处理的流程图；

图4A和4B是根据本发明的另一个实施例的移动装置消息处理的流程图；

图5是根据本发明的一个实施例的网关处理的流程图；

图6是用于本发明的典型通信系统的方框图；

图7A是适用于图6所示的典型通信系统的网关的方框图；和

图7B是适用于图6所示的典型通信系统的移动装置的方框图。

本发明涉及用于保证对一无线数据网络的移动装置的本地服务的安全访问的技术。本发明提供控制访问移动装置的本地服务(例如，本地服务参数)的技术，以使仅有授权的服务(例如，授权的网点)能够远程改变移动装置的本地服务。本发明因此能防止未授权的服务(例如，黑客或未授权的网点)改变移动装置的本地服务。

下面将参照图1-7B讨论本发明的实施例。然而，本领域的技术人员容易理解，这里对于附图所给出的详细解释仅仅是为了说明的目的，本发明的范围远远超出这些有限的实施例。

图1是根据本发明的实施例的无线通信网络100的方框图。无线通信网络100包括一移动装置102，该移动装置102通过无线网络106与一网关(或代理服务器)104通信。网关104也耦合到网络108。网络108可以是专用网络(private network)或公共网络，可以是有线的也可以是无线的。大型公共网络的例子是因特网。网络108包括或耦合到多个远程服务器，包括远程服务器110和远程服务器112。

网关104通常是计算机系统，该系统进行操作，以将信息发送到移动装置102和网络108并且从移动装置102和网络108接收信息。虽然在图1中仅示出了一个移动装置102，应当认识到，无线通信网络100可以容纳巨大数量的移动装置。无线网络106通常使用无线传输，以便与移动装置102通信。无线网络106可以使用许多不同的网络和通信协议。无线网络比如包括(下面列举一些)蜂窝数字分组数据(CDPD)、全球移动通信系统(GSM)、码分多址(CDMA)和时分多址(TDMA)，每一个这些无线网络具有不同的数据传送特性，比如等待时间、带宽、协议和连接方法。例如，协议可以是因特网协议(IP)、短消息系统(SMS)和未构造的补充服务数据(UnstructuredSupplementary Service Data，USSD)，并且连接方法可以包括分组切换或电路切换。

远程服务器110和112通常为耦合到网络108的计算机。通常，服务器提供通过网络108可访问的资源。这些远程服务器110和112可提供的一种服务是用于移动装置102的规定信息。换言之，移动装置102可访问远程服务器110或远程服务器112，以提取使移动装置102通过无线被规定的规定信息。例如，在移动装置102事先规定为以CDMA方式操作的情况下，当远程服务器112检测到移动装置102处于CDMA不再有效的位置时，现在由远程服务器112中的授权的服务规定为以CSM方式操作。通常，由授权的服务通过特定的远程服务器对移动装置102进行的规定，可提供移动装置102上的服务，这些服务对应于所述远程服务器或其上属(owner)或分支所提供的服务。用于规定移动装置102的规定信息通常作为从远程服务器112或110发送的消息或者由移动装置102请求的消息获得。最好，提供信息的格式是可在无线网络106中最有效地传输的格式。有许多不同的格式，比如ASCII数据、二进制数据、可执行或目标代码，每一种格式都适用于一特定的无线网络。根据一个实施例，该格式是可执行代码。在接收到可执行代码中的规定信息时，移动装置102执行随后使移动装置被相应规定的可执行代码。在一个实施例中，可执行代码包括一个或多个压缩的手持设备标记语言卡片组(Handheld Device Markup Language Decks)或HDML卡片组。每一个卡片组包括多个卡，每一个卡对应于移动装置的屏幕显示。或者，移动装置102的用户可以提供有屏幕显示中的列表选项，以执行或更新想要的本地服务。HDML的规范，题为“HDML 2.0语言基准”，在此通过引用其全文而将其包括并纳入此文。

例如，用于移动装置的一个本地服务可以是电话簿。为使用电话簿，移动装置将访问远程服务器，以获得用于使用电话簿的规定信息，或者在用户执行命令之后更新电话簿中的信息。通常，规定信息是可下载和可执行的可执行代码，并随后使用移动装置上的本地服务，以建立使用电话簿的移动装置。规定信息也可以包括电话簿或者其汇接局(link)。

如上所述，传统的无线通信网络不提供对其移动装置的本地服务的保护。换言之，可对移动装置的本地服务进行非授权的访问。结果，通过规定移动装置，未经意的人们可以使移动装置不能操作或变得无用。例如，黑客可以通过本地服务的远程调用将病毒植入移动装置。

根据本发明，移动装置仅允许某些远程服务访问该装置的本地服务，使该装置修改或更新系统参数，以使该装置相应地进行工作。以这种方式，本地服务得到了安全保护，不会受到未授权的干扰，这些未授权的干扰可导致不可操作性或移动装置的有价值信息的不可恢复的损失。本发明的操作提供对本地服务信息的这种保护，下面将讨论本发明的操作。

图2是根据本发明的一个实施例的移动装置初始化处理200的流程图。移动装置初始化处理200是由移动装置执行的，该移动装置比如为图1所示的移动装置102。

移动装置初始化处理200首先在移动装置102和网关104之间建立安全连接(步骤202)。执行在移动装置和网关之间的安全连接(或对话)的建立，以使移动装置与网络上的远程服务器(例如，网络108上的远程服务器110和112)安全通信。通常，由于是专用网络而使得这种连接是安全的，或者，这种连接是通过加密来使其安全的。于是，一旦建立了安全连接，就可从网关104将包括授权的服务标识的规定信息和其它安全数据下载到移动装置102(步骤204)。所述安全连接防止了随后在网关104和移动装置102之间传送的信息被截取或更改。建立安全连接或通信对话的另外的详细描述提供在共同转让的美国专利申请No.08/966,988中，该专利申请的题目为“在无线数据网络中进行安全轻松的事务处理的方法和系统(Method and System forSecure Lightweight Transactions in Wireless Data Networks”，由廖汉青等人所著，该申请在此参照其全文而包括在此文中。在步骤204之后，完成并结束移动装置初始化处理200。

图3A和3B是根据本发明的一个实施例的移动装置消息处理300的流程图。该移动装置消息处理300例如是由图1所示的移动装置102执行的。因为消息通常是从网络提供给移动装置的任何数据块，在通过无线规定移动装置的情况下，消息通常包含要由移动装置上执行的可执行代码。由移动装置对可执行代码的执行可调用实际进行该移动装置的规定的该装置的本地服务。可执行代码的格式的变化很广，包括脚本、JAVA、HDML卡片组、ASCII数据、库函数等。

移动装置消息处理300首先以确定步骤302开始，该步骤判断是否从网络接收了一消息。例如，来自网络的消息可以通过网关提供给移动装置。只要确定步骤302判断出还没有从网络接收到消息，则移动装置消息处理300等待接收这样的消息。然而，一旦已从网络接收到消息，则移动装置消息处理300继续。

一旦移动装置消息处理300继续，则确定步骤304判断该消息是否请求本地服务访问。这里，确定步骤304判断已从网络接收的消息是否请求对移动装置的本地服务的访问。对本地服务的访问意味着调用移动装置所提供的本地服务，该访问可以修改(例如，增加、删除、更改)存储在移动装置中的系统参数/数据，以使移动装置相应地进行操作。由确定步骤304进行的判断可以多种方式实施。实施该判断的一种方式是扫描该消息，以判断其是否包括表明可访问移动装置的本地服务的标志或其它标识符。另一种方式是开始执行该消息(即，可执行代码)，然后对任何请求都监视该执行，以访问本地服务。

在任何情况下，当确定步骤304判断出该消息不请求访问本地服务时，执行传统的消息处理(步骤306)。传统的消息处理对本领域技术人员是很熟悉的，因此不再对其讨论。在步骤306之后，移动装置消息处理300返回，以重复确定步骤302和其后的步骤，以处理从网络接收的后续的消息。

另一方面，当确定步骤304判断出该消息确实请求访问移动装置的本地服务时，在步骤308获取该消息的服务标识。通常，服务标识用于识别消息的来源。消息的服务标识可以有多种形式。例如，该服务标识可以是域名、全部或部分通用资源定位器(URL)、因特网协议(IP)地址、电话号码、文本串的形式或上述形式的组合。然而，服务标识可以是消息的一部分，或者可以由移动装置根据移动装置所具有的对该消息的信息/知识而推知。例如，一个消息本身可以不包括任何形式的服务标识，但移动装置可从该消息已与另一个确切含有服务标识的消息链接的事实中推知服务标识。

一旦在步骤308中获得了服务标识，则在步骤310中将该消息的服务标识与授权的服务标识进行比较。在一个实施例中，授权的服务标识本地存储在移动装置内。在这样的实施例中，授权的服务标识在初始化期间(见图2)从网络(例如，网关104)上安全下载。然而，在其它实施例中，一些或所有的授权的服务标识都可以相对于移动装置远程提供，或者由用户通过键盘和显示屏交互输入。

接下来，确定步骤312根据在步骤310的比较结果，判断是否发现所述消息的服务标识与授权的服务标识匹配。当确定步骤312判断出没有发现匹配时，拒绝该消息访问移动装置的本地服务。这里，拒绝该消息访问的原因是该消息不能由授权的服务标识来证实。通过在这种情况下拒绝访问本地服务，移动装置的本地服务受到保护，不能接受未授权的访问。另一方面，当确定步骤312判断出发现了匹配时，则在步骤316中执行该消息(即，可执行代码)，从而该消息能够访问移动装置的本地服务。于是，在步骤316中对消息的执行结果是允许访问移动装置的本地服务，以通过本地服务更新、增加、删除或者更改移动装置中的系统参数/数据。在步骤314和316之后，移动装置消息处理300返回，以重复确定步骤302和后续的步骤，以处理从网络接收的后续的消息。

图4A和4B是根据本发明的另一个实施例的移动装置消息处理400的流程图。该移动装置消息处理400例如是由图1所示的移动装置102执行的。再次说明，消息通常是从网络提供给移动装置的任何数据块，并具有包括标题部分和主体部分的格式，该标题部分包括目标信息，并且该主体部分包括数据信息。在通过无线规定移动装置的情况下，消息通常包含要由移动装置上执行的可执行代码。由移动装置对可执行代码的执行可调用该装置的本地服务，以进行该移动装置的规定。在此实施例中，移动装置通过网关耦合到网络。

移动装置消息处理400首先以确定步骤402开始，该步骤判断是否从网关接收了一消息。该消息来自网络上的一远程服务器(即，网点)，并通过网关提供给移动装置。只要确定步骤402判断出还没有从网关接收到消息，则移动装置消息处理400等待接收这样的消息。然而，一旦已从网络接收到消息，则移动装置消息处理400继续。

一旦移动装置消息处理400继续，则确定步骤404判断该消息是否请求本地服务访问。这里，确定步骤404判断已从网关接收的消息是否请求对移动装置的本地服务的访问。对本地服务的访问意味着调用移动装置所提供的本地服务，该访问可以修改(例如，增加、删除、更改)存储在移动装置中的系统参数/数据，以使移动装置相应地进行操作。由确定步骤404进行的判断可以多种方式实施。实施该判断的一种方式是扫描该消息，以判断其是否包括表明可访问移动装置的本地服务的标志或其它标识符。例如，在称为卡片组的HDML消息的情况下，标识符“device：”可识别对移动装置的本地服务。实施该判断的另一种方式是开始执行该消息(即，可执行代码)，然后对任何请求都监视该执行，以访问本地服务。下面的例子表示嵌入消息中的编译和链接后的版本：

Service_request()

　　{

　　    ... 

　　    device：network_change(CDPD，GSM)；

　　    device：reset_retransmission_time(initial_time，subsequent_time[])；

　　    ... 

　　}

该例子中的规定信息请求当前规定在CDPD网络中操作的移动装置现在被规定在GSM网络中操作，并且该移动装置还规定成在特定时间段转发消息。在这个例子中，Network_change()和reset_retransmission_time()对应于移动装置的本地服务。

在任何情况下，当确定步骤404判断出该消息不请求访问本地服务时，执行传统的消息处理(步骤406)。传统的消息处理对本领域技术人员是很熟悉的，因此不再对其讨论。在步骤406之后，移动装置消息处理400返回，以重复确定步骤402和其后的步骤，以处理从网关接收的后续的消息。

另一方面，当确定步骤404判断出该消息确实请求访问移动装置的本地服务时，在步骤408从该消息的标题部分获取该消息的服务标识。这里，从远程服务器到达网关的消息已经在消息的标题部分具有服务标识，或者，在消息送到移动装置之前将服务标识添加到消息的标题部分。在任何一种情况下，移动装置都能够在步骤408从消息的标题部分获取消息的服务标识。通常，服务标识用于识别消息的来源。消息的服务标识可以有多种形式。例如，该服务标识可以是域名、全部或部分URL、IP地址、电话号码、文本串的形式或上述形式的组合。

一旦在步骤408中获得了服务标识，则在步骤410中选择一适当的访问控制表。提供多个不同的访问控制表的优点是，对不同的本地服务、不同的移动装置或不同的应用程序，访问控制可以不同。例如，访问控制表可以是全球表，或者，访问控制表可以适合于特定的应用程序或本地服务，或它们的某些组合。例如，在HDML的情况下，访问控制表可以提供给每一个本地服务HDML卡片组，并且，访问控制表可以由HDML中的ACCESSPATH和ACCESSDOMAIN完成。

一旦选择了适当的访问控制表，则在步骤412中将消息的服务标识与该适当的访问控制表中的授权的服务标识进行比较。在此实施例中，访问控制表在初始化期间从网关下载后(见图2)局部存储在移动装置中。

接下来，确定步骤414根据在步骤412的比较结果，判断是否发现所述消息的服务标识与所述适当的访问控制表中的授权的服务标识匹配。当确定步骤414判断出发现匹配时，确定步骤416判断移动装置和远程服务器之间的连接是否安全。通常，网关通过检测连接的状态来获知移动装置和网关之间的连接(经无线网络)为安全。此外，网关也能够判断网关和远程服务器之间的连接是否为安全。例如，可以利用如安全插接层(Secure Sockets Layer，SSL)或安全HTTP(secure HTTP)协议之类的安全协议来建立连接，也可以不利用此类协议建立连接。总之，可以利用加密或通过使用专用网络而使这些连接安全。

当确定步骤416判断出连接安全时，在步骤418中执行消息(即，可执行代码)，从而该消息能够访问移动装置的本地服务。在这种情况下，消息的服务标识(例如，来源)为授权的，并且判断连接为安全的，于是，允许该消息访问移动装置的本地服务。这种安全连接防止了非授权的消息作为授权的服务标识产生的消息冒充通过，并且，防止了消息在传输期间被截取和更改。在步骤418之后，移动装置消息处理400返回，以重复确定步骤402和后续的步骤，以处理从网关接收的后续的消息。

另一方面，当确定步骤414判断出没有发现匹配时，确定步骤420判断是否想要远程校验。如果想要远程校验，移动装置消息处理400从允许的授权中心请求校验(步骤422)。这里，允许的授权中心驻留在网络上。在一个实施例中，移动装置将请求消息授权的一请求送到允许的授权中心，然后等待该允许的授权中心的回答。接下来，确定步骤424判断消息的服务标识是否已由所述的允许的授权中心校验。如果校验了消息的服务标识，则处理进到确定步骤416，以便当消息的服务标识与所述的适当的访问控制表中的一个项目匹配时，随后处理该消息。或者，当确定步骤424判断出允许的授权中心不能校验消息的服务标识时，拒绝该消息访问移动装置的本地服务(步骤426)。这里，拒绝该消息访问是因为该消息不能由适当的访问控制表中的授权的服务标识或允许的授权中心来证实。通过在这种情况下拒绝访问本地服务，移动装置的本地服务受到保护，不接受未授权的访问。在步骤426之后，移动装置消息处理400返回，以重复确定步骤402及其后的步骤，以处理从网关接收的后续的消息。

此外，当确定步骤416判断出连接不安全时，拒绝所述消息访问移动装置的本地服务(步骤426)。这里，拒绝该消息访问是因为判断出连接不安全。通过在这种情况下拒绝访问本地服务，移动装置的本地服务受到保护，不接受未授权的访问。

图5是根据本发明的一个实施例的网关处理500的流程图，该网关处理500处理来自移动装置的请求，以从一服务器下载规定信息。例如，网关处理500由图1所示的网关104执行。

网关处理500首先以确定步骤502开始。确定步骤502判断是否已从移动装置接收到一请求。该请求可嵌入发送到远程服务器的消息中，或者独立作为一个消息发送到通过网络耦合到网关的远程服务器。例如，信息请求可以是诸如可执行代码的数据块。当确定步骤502判断出还没有从移动装置接收到请求时，网关处理500等待接收这样的请求。然而，一旦确定步骤502判断出已经从移动装置接收到请求时，网关处理500继续。

一旦网关处理500有了要处理的请求，则在步骤504中将该请求送到远程服务器。接下来，确定步骤506判断是否已从远程服务器接收响应。这里，网关处理500等待接收来自远程服务器的对在步骤504中送到远程服务器的请求的响应。所等待的响应是请求的信息(例如，数据块)。当没有接收到响应时，确定步骤506使网关处理500等待响应。然而，经常使用超时状态，以防止网关处理500在过量的时间内等待响应的接收。一旦确定步骤506判断出已从远程服务器接收到响应，则在步骤508中校验或附加提供该响应的远程服务器的服务标识。如果已经接收的响应包括一服务标识，该服务标识可以是该服务的来源信息的一部分，则校验该服务标识。这里，校验可保证响应的服务标识与远程服务器的服务标识相同，其中请求事先发送到该远程服务器。或者，当接收的响应不包括服务标识时，附加远程服务器的服务标识，其中请求事先发送到该远程服务器。此外，网关可通过第三方校验或基于验证(authentication)的认证(certificate)来校验远程服务器的服务标识。

接下来，确定步骤510判断正使用的连接是否安全。这里，相关的连接可以是从移动装置到远程服务器或其某些部分的虚拟连接。在任何情况下，当确定步骤510判断出连接不安全时，在步骤512复位安全指示器。另一方面，当确定步骤510判断出连接安全时，在步骤514设定安全指示器。在步骤512或者514之后，在步骤516中将响应送到请求的移动装置。此时，网关处理500结束发出代表移动装置的请求并将响应从远程服务器送到移动装置的处理过程。由网关送到移动装置的响应包括服务标识和安全指示器。移动装置处理消息，以将对该移动装置的访问仅限制到授权的身份。在步骤516之后，网关处理500返回，以重复确定步骤502和其后的步骤，以处理从移动装置接收的每个后续请求。

或者，可在移动装置没有请求的情况下，将消息由远程服务器提供给网关。在这种情况下，确定步骤503仅从远程服务器接收消息。在步骤503后，网关处理500如前所述继续进行步骤508-516。

返回前面参照图2所述的移动装置初始化200，该初始化处理也可以给移动装置提供附加信息。例如，网关可将正使用的服务标识的类型、安全指示器的类型(例如，HTTPS或消息标题中的安全标志)、对不同的访问控制表的选择标准、适当的第三方校验实体及其地址、和/或消息格式和消息中的服务标识的位置通知给移动装置。如前所述，服务标识的类型可包括域名、全部或部分URL、IP地址、电话号码、文本串或它们的组合。对服务标识的类型的进一步改进也是有可能的，例如，URL服务标识可以是从全部的URL(即，域名加路径)到仅仅为URL的域名中的任何一个。

用于移动装置的第三方校验实体可以提供备用位置(fallback location)，用于获得消息的服务标识的授权。如上所述，移动装置初始化可将校验实体及其地址通知给移动装置。然后，例如，如图4A和4B所示，可以试着由一个或多个适当的第三方校验实体进行远程校验。校验为远程进行是因为它对移动装置来说是外部进行的，并且通常是在位于网络上的一个远程服务器上进行的。通常，第三方校验实体存储在移动装置中，比如在访问控制表中。如果远程校验成功，则消息被认为是授权的。此外，在进行成功的远程验证之后，存储在移动装置(例如，访问控制表)中的授权的服务实体的适当列表可被更新，以包括由第三方校验实体所校验的消息的服务标识。

此外，尽管上面讨论的通信系统通常包括一网关(或代理服务器)，应当认识到，本发明可在没有这样的网关或代理服务器的情况下，通过直接将无线网络耦合到计算机网络而操作。在这种情况下，移动装置可在比较服务标识之前校验消息的服务标识。校验可以由移动装置通过诸如基于验证的认证之类的手段来进行。

图6是用于本发明的典型通信系统600的方框图。通信系统600包括有线部分602和无线部分604。有线部分602包括网络606和网关608。在一个实施例中，网络606是表示大量互连的计算机的因特网。在另一实施例中，网络606是计算机的内部网或专用网络。

网关608进行操作，以便从有线部分602和无线部分604提供入口(gateway)。网关608通常执行协议转换和其它帐务管理和校验操作。网关608用作无线部分604的无线通信和有线部分602的有线通信之间的基本转换点。网关608接收来自电信公司公用通信网614的输入内容请求，并在需要时进行协议转换。网关608包括存储帐务、配置和其它信息的帐务信息存储区610。网关608也包括客户访问控制表612，用于通信系统600的各个远程无线计算装置。无线部分604包括电信公司公用通信网614和至少一个远程无线计算装置616。根据本发明，网关608还接收来自网络606的消息，并将该消息送到适当的远程计算装置。

远程计算装置616比如是移动电话、个人数字助理(PDA)或便携式通用计算机。远程无线计算装置616包括用于显示信息屏或信息页的显示器618、远程无线浏览器620和导航(navigation)按钮622和624。远程无线浏览器620通常是在远程计算装置616上执行的一应用程序。远程无线浏览器620提供要在显示器618上显示的信息屏或信息页。导航按钮622和624允许用户通过从显示在显示器618上的菜单或列表中进行选择而进行导航。远程无线计算装置616可包括字母数字键盘(未示出)，该键盘允许用户输入关于移动电话616的字母数字信息，但这不一定是必需的，字母数字信息也可以利用显示在显示器618上的拔号屏输入，该显示器618上具有利用导航按钮622和624做成的选项。用户通过与远程无线浏览器620交互通信，可以访问位于网络606上的信息。此外，远程无线计算装置616包括一访问控制表626。访问控制表626存储允许访问的授权的服务标识符，从而修改存储在远程无线计算装置616中的本地服务(即，各种操作参数)。

通常，无线部分604包括多个远程无线浏览器620，每一个远程无线浏览器620都在不同的远程计算装置上执行。配置和其它信息存储在帐务信息存储区610中，该帐务信息存储区610能够为每一个远程无线浏览器620存储服务限制、安全限制、参考信息、屏幕配置信息等。帐务信息存储区610能够存储远程无线浏览器620所感兴趣的数据或数据页。所存储的数据或数据页可作为先前从网络606请求的信息的高速缓冲存储器(cache)操作，或者，可作为在网关608中的信息服务器操作。例如，作为信息服务器，存储页可表示由远程无线浏览器显示的页。

图7A是适用于图6所示的典型通信系统600的网关700的方框图。例如，网关700可表示通常是一服务器计算机的图6所示的网关608。为避免使本发明的各方面不好理解，不再详细描述网关700中的公知的方法、过程、部件和电路。

根据一个实施例，网关700包括耦合到电信公司公用通信网614的用户数据报协议(User Datagram Protocol，UDP)接口702、耦合到网络606的HTTP接口704和耦合于UDP接口702和HTTP接口704之间的服务器模块706。服务器模块706执行传的服务器处理和协议转换处理。尤其是，协议转换处理包括UDP和HTTP之间的协议转换。应当理解，UDP接口702和HTTP接口704特别用于相应的协议，即，网络606中的HTTP和电信公司公用通信网614中的UDP，并在相应协议改变时与其它协议接口相应替换。服务器模块706也执行与参照图3A和4所述的消息碎片(message fragmentation)和传送有关的处理。此外，为在服务器706进行其处理时帮助该服务器706，代理服务器700包括随机存储存储器(RAM)708和只读存储器(ROM)710。在其它事情中，RAM 708存储装置标识符、用户标记符、配置信息、访问控制表和初始本地服务信息。在一个实施例中，这样的信息作为数据库存储在RAM 710中。此外，RAM 710可表示图6所示的帐务信息存储区610和客户访问控制表。

图7B是适用于图6所示的典型通信系统600的移动装置750的方框图。例如，移动装置750对应于操作图6A所示的远程无线浏览器620的远程计算装置616。

移动装置750包括通过RF收发信机753耦合到电信公司公用通信网614的UDP接口752，以接收输入和输出信号。装置标识符(ID)存储754将装置ID提供给UDP接口752。装置ID识别与特定的移动装置750有关的特定代码。此外，移动装置750包括客户模块756，该客户模块756执行由移动装置750所执行的许多处理任务，包括与电信公司公用通信网714和网关608建立通信对话、从网络606请求和接收数据(例如，页)、在远程计算装置的显示器上显示信息和接收用户输入。客户模块756耦合到UDP接口752，用于建立通信对话和请求及接收数据。客户模块756还执行与接收从网关计算机608、700发送的消息有关的处理，包括检验授权访问本地服务。客户756控制显示驱动器758在显示器760上向用户显示信息。此外，客户模块756耦合到输入装置762、ROM 764和RAM 766。最好，在其它事件中，客户模块756操作网络浏览器，比如手持设备标记语言(HDML)网络浏览器。输入装置762允许移动装置750的用户输入数据，从而在控制和使用移动装置750中进行选择。ROM 764存储预定数据并处理用于客户模块756的指令。RAM 766用于为接收的输入数据和发送的输出数据提供临时数据存储。RAM 766还用于存储访问控制表(例如，访问控制表626)和本地服务信息(参数)。

虽然采用UDP和HTTP协议在图7A和7B中描述了网关700和移动装置750的实施例，应当认识到，可以提供和使用其它协议和其它协议组。对网关700和移动装置750的设计和结构的其它详细描述包含在美国专利申请No.08/570,210中，该专利申请的题目为“交互式双向数据通信网络的方法和结构”，由Alain Rossmann所著，该申请在此参照其全文而包括在此文中。

下面将提供根据本发明的消息授权的典型例子。在此例中，服务标识是URL并且网络使用HTTP协议，安全连接使用HTTPS。下面将参照图2、3A和3B讨论该典型例子。

首先，在移动装置和网关之间建立安全连接(步骤202)。一旦建立了连接，则将访问控制表从网关下载到移动装置(步骤204)。访问控制表包含授权的服务标识符。访问控制表的一个例子提供于下面的表1，其中，每一条输入项都是服务开始的域名。

表1

访问控制表
访问控制表	uplanet.com
wireless-net.com	uplanet.com
wireless-net.com	phoneconfig.com

…
…	…

然后，一旦接收到移动装置的消息(步骤302)，则对该消息进行估计，以判断是否要激活本地服务访问控制(步骤304)。例如，在一个实施例中，在消息中使用URL方案(scheme)“device：”，以表明想要访问本地服务的时候。假定消息包含命令“device：setregisters”，该命令操作设定移动装置中的某些参数寄存器。

接下来，获得消息的服务标识(步骤308)。在此例中，假定用于识别消息来源的消息的源URL为“https：//www.uplanet.corn/provision_service/set_phone_register”，并且该服务标识定义为包含在URL中的域名。在此情况下的服务标识是域名uplanet.com。从URL中提取出用于消息的服务标识(例如，uplanet.com)，然后将其与访问控制表中的授权的服务标识进行比较，以查找匹配(步骤310和312)。如果发现匹配，则授权消息访问移动装置的本地服务(步骤316)；否则，拒绝消息访问(步骤314)。在此例中，消息的源URL中的域名与访问控制表(表1)中的项目进行比较。这里，表1的访问控制表中的第一项与消息的服务标识匹配(例如，uplanet.com)。因此，在此例中，授权消息访问移动装置的本地服务。

此外，可以注意到，此例中消息的源URL以“https”开始，它表示到远程服务器的连接是安全的。因此，在图4A和4B的情况下，满足确定步骤416。如果此例中消息的源URL不是以“http”开始，则确定步骤416即便在服务标识本身为授权的情况下，也可阻止消息访问移动装置的本地服务。安全连接要求防止消息被破坏或假冒。

本发明有许多优点。本发明的一个优点是移动装置的本地服务可通过无线以安全方式规定。本发明的另一个优点是对移动装置的本地服务的访问能够受到保护，不受黑客或未经意的网点的破坏。

从所述说明书中可发现本发明的许多特征和优点，因此，打算由所附的权利要求书覆盖本发明的所有这些特征。此外，由于本领域技术人员可对本发明进行许多修改和变化，因而不打算将本发明限制于所示和所描述的具体结构。因此，适当的修改和其等效物都认为落入本发明的范围中。

Claims

1.一种用于限制访问一移动装置的本地服务的方法，所述方法包括：

(a)通过一网络接收来自一计算装置的消息，该消息具有与其有关的服务标识；

(b)判断所述消息是否寻求对所述移动装置的本地服务的访问；

(c)至少当所述判断步骤(b)判断出所述消息寻求对所述移动装置的本地服务的访问时，将与所述消息有关的服务标识与一个或多个授权的服务标识进行比较；和

(d)仅当所述比较步骤(c)表明与所述消息有关的服务标识与至少一个或多个授权的服务标识相匹配时，允许所述消息访问所述移动装置的本地服务。

2.如权利要求1所述的方法，其中所述本地服务属于提供在所述移动装置上的服务。

3.如权利要求1所述的方法，其中所述消息包含可执行代码。

4.如权利要求3所述的方法，其中所述允许步骤(d)包括：当与所述消息有关的服务标识与至少一个名多个授权的服务标识相匹配时，处理所述消息。

5.如权利要求1所述的方法，其中所述消息的服务标识属于提供该消息的网络上的所述计算装置。

6.如权利要求1所述的方法，其中所述消息的服务标识是通用资源定位器。

7.如权利要求1所述的方法，其中所述消息的服务标识是从域名推导出的一串、一通常资源定位器、一网络地址、一字母数字文本串和一电话号码。

8.如权利要求1所述的方法，其中所述判断步骤(d)进行操作，以扫描所述消息的至少一个部分，从而判断所述消息是否寻求对所述移动装置的本地服务的访问。

9.如权利要求1所述的方法，

其中所述消息包括可执行代码，该可执行代码使所述本地服务被处理，以使所述移动装置中的存储的系统参数被修改，从而更改所述移动装置的操作，并且

其中所述允许步骤(d)包括：当与所述消息有关的服务标识与至少一个或多个授权的服务标识相匹配时，执行所述消息，并且

其中所述存储的参数通过执行所述消息而更改。

10.一种能够通过无线链路连接到一数据网络的移动装置，所述移动装置包括：

一显示屏，显示图形和文本的；

一消息缓冲器，暂时存储来自所述数据网络上的一计算机的消息，所述消息具有与其有关的服务标识；

一应用程序，使用从所述数据网络上接收的所述计算机的所述消息；

一本地服务数据区，存储本地服务数据，该本地服务数据控制所述移动装置的操作；

一授权存储区，存储允许访问所述本地服务数据区的授权的服务标识；以及

一访问控制器，控制访问所述本地服务数据区，以使所述本地服务数据不能由所述应用程序改变，除非与所述消息有关的服务标识与至少一个授权的服务标识相匹配。

11.如权利要求10所述的移动装置，其中所述应用程序是允许用户从所述数据网络检索信息的一浏览器应用程序。

12.如权利要求11所述的移动装置，其中，所述浏览器应用程序处理所述消息。

13.如权利要求12所述的移动装置，其中所述授权的存储区存储一访问控制表，所述访问控制表包括允许访问所述本地服务数据区的授权的服务标识。

14.如权利要求13所述的移动装置，其中，当与所述消息有关的所述服务标识不与存储在所述访问控制表中的至少一个授权的服务标识相匹配时，所述访问控制器构造成从位于计算机网络上的第三方校验实体请求所述消息的服务标识的校验，并且，当所述第三方校验实体提供的校验表明由所述移动装置支持的本地服务可以由所述应用程序更改时，允许访问所述本地服务数据区。

15.如权利要求14所述的移动装置，其中所述访问控制表还包括一第三方校验实体。

16.如权利要求13所述的移动装置，其中，当所述第三方校验实体提供对关于先前不与存储在所述访问控制表中的授权的服务标识相匹配的消息的服务标识的校验时，与所述消息有关的服务标识添加到存储在所述访问控制表中的授权的服务标识，

17.一种无线通信系统，包括：

一有线网络，具有多个服务器计算机；

一无线电信公司公用通信网，可操作地连接到所述有线网络；

多个无线移动装置，其每一个都支持某些本地服务，所述某些本地服务用于确定系统参数，所述系统参数独立地设定在每一个所述无线移动装置中，

其中，通过所述无线电信公司公用通信网将来自所述有线网络的所述服务器计算机的消息提供给所述无线移动装置，和

其中，每一个所述无线移动装置在接收到一个所述消息时进行操作，以阻止所述一个消息访问所述每一个所述无线移动装置的系统参数，除非与所述一个消息有关的服务标识与至少一个或多个授权的服务标识相匹配。

18.如权利要求17所述的系统，其中所述授权的服务标识存储在所述无线移动装置中。

19.如权利要求17所述的系统，其中，每一个所述无线移动装置还在接收到一个所述消息时进行操作，以便当所述无线移动装置和提供所述一个消息的所述有线网络的所述服务器计算机之间的连接确定为不安全时，防止所述一个消息访问所述所述无线移动装置的系统参数。

20.如权利要求17所述的系统，其中，所述多个无线移动装置中的每一个都具有一访问控制表，该访问控制表包含所述多个授权的服务标识。

21.如权利要求17所述的系统，其中，所述系统还包括：

一代理服务器，耦合于所述有线网络和所述无线电信公司公用通信网之间，所述代理服务器负责校验所述一个消息是否来自所述多个服务器计算机中的授权的一个。

22.如权利要求21所述的系统，其中，所述多个无线移动装置中的每一个都具有一访问控制表，该访问控制表包含所述多个授权的服务标识，当所述无线移动装置和所述代理服务器之间的通信对话安全并且得到验证时，所述访问控制表能够由所述代理服务器更新。