專利名稱：存儲設(shè)備的遠程訪問控制的制作方法
存儲設(shè)備的遠程訪問控制
背景技術(shù)：
日益地，計算設(shè)備正被用于操作于意圖保密的數(shù)據(jù)和信息以及存儲意圖保密的數(shù)據(jù)和信息。這樣的數(shù)據(jù)和信息能夠包括政府秘密，但是更有可能包括商業(yè)和個人信息，如果這樣的信息被惡意方或?qū)κ肢@得的話，那么該信息可能損害到一個或多個個人。這樣，已與計算設(shè)備的硬件相關(guān)聯(lián)且與計算設(shè)備的軟件相關(guān)聯(lián)實施了各種安全機制。這樣的硬件安全機制的示例包括被設(shè)計為基于諸如指紋之類的生物信息來生成安全口令的外設(shè)以及對于計算設(shè)備的物理訪問屏障，諸如鍵盤鎖、通信端口鎖等等。與計算設(shè)備的軟件相關(guān)聯(lián)的安全機制的示例包括各種加密技術(shù)以及各種訪問控制技術(shù)。然而，在完全不是與計算設(shè)備直接相關(guān)聯(lián)的活動期間，在一個或多個計算機可讀媒體上存儲的數(shù)據(jù)的保護時常失敗。例如，當諸如硬盤驅(qū)動器之類的包括計算機可讀媒體的存儲設(shè)備的物理裝運沒有被恰當保護并因此被丟失乃至被盜時，存儲在一個或多個計算機可讀媒體上的數(shù)據(jù)可能并且已經(jīng)受到影響(compromised)。類似地，當包括計算機可讀媒體的存儲設(shè)備無法從主機訪問并因此被丟棄了時，存儲在一個或多個計算機可讀媒體上的數(shù)據(jù)可能并且已經(jīng)受到影響。通常，這樣的“失敗”的存儲設(shè)備保留以計算設(shè)備能夠檢索和訪問的形式存儲在其計算機可讀媒體上的顯著高百分比的數(shù)據(jù)。為了增強在計算機可讀媒體上存儲的數(shù)據(jù)的保護，尤其是在包括這樣的媒體的存儲設(shè)備對于惡意方或?qū)κ侄远兂晌锢砩峡稍L問的情況下，研制“全卷(full volume)" 加密方法，從而存儲在存儲設(shè)備的計算機可讀存儲媒體上的實質(zhì)上所有的數(shù)據(jù)以加密的形式進行存儲，以致于即使惡意方或?qū)κ肢@得了這樣的存儲設(shè)備的物理控制，他們也不大可能在缺乏合適的解密密鑰的情況下解密該數(shù)據(jù)。為了提供更高的性能，在存儲設(shè)備上存儲的數(shù)據(jù)的加密能夠由作為存儲設(shè)備本身一部分的專用密碼硬件來執(zhí)行，而不給存儲和檢索這樣的數(shù)據(jù)的計算設(shè)備的一個或多個中央處理單元增加負擔。除了全卷加密方法之外，其上存儲敏感數(shù)據(jù)的計算機可讀存儲媒體或整個存儲設(shè)備以適當方式的物理銷毀同樣能夠增強這樣的數(shù)據(jù)的保護和安全。例如，可能已存儲了待保護的數(shù)據(jù)的計算機可讀存儲媒體能夠物理上被切碎或被暴露于隨機的強磁場，使得該數(shù)據(jù)不是物理上一致的，也不是從計算機可讀媒體中物理上可恢復的?？蛇x擇地，不是物理上銷毀存儲設(shè)備，而是能夠由計算設(shè)備根據(jù)預定義安全擦除策略多次重寫存儲在計算機可讀存儲介質(zhì)上的敏感數(shù)據(jù)。不幸地，計算機可讀存儲媒體和存儲設(shè)備的物理銷毀可能既是昂貴的又是費時的，并且在尋求效率以減少時間和費用時，能夠采用可能折衷在這樣的媒體上存儲的數(shù)據(jù)的保護和銷毀的捷徑，從而破壞物理銷毀效應(yīng)。添加進一步低效、諸如政府安全規(guī)定之類的各種規(guī)定或隱私規(guī)定可能施加額外負擔，諸如以特定方式進行和記錄 (document)計算機可讀存儲媒體的適當銷毀的要求。在諸如服務(wù)器環(huán)境或企業(yè)信息技術(shù)(IT)環(huán)境之類的眾多使用情景中，存儲設(shè)備時常在主機之間移動。在這樣的環(huán)境中，訪問控制執(zhí)行的形式可能是有用的。不幸地，給存儲設(shè)備供應(yīng)(provision)訪問控制的形式可能是復雜的，并且可能導致大量額外的硬件組件、 開發(fā)和后續(xù)故障排解成本。

發(fā)明內(nèi)容
存儲設(shè)備能夠與在這里被稱為“訪問控制設(shè)備”的物理實體相關(guān)聯(lián)，其中所述實體能夠與存儲設(shè)備的其余部分物理上且通信地相分離。此外，計算設(shè)備能夠包括計算機可執(zhí)行指令，這些指令能獨立于存儲設(shè)備而與訪問控制設(shè)備通信。在一個實施例中，能夠為訪問控制設(shè)備供應(yīng)密碼信息，其中所述信息能夠被存儲設(shè)備的硬件密碼系統(tǒng)利用來或直接或間接加密和解密存儲在存儲設(shè)備的計算機可讀媒體上的數(shù)據(jù)。能夠進一步供應(yīng)訪問控制設(shè)備，使得它僅僅選擇性地將其密碼信息提供給存儲設(shè)備的硬件密碼系統(tǒng)，并由此允許存儲設(shè)備提供對存儲在其上的數(shù)據(jù)的選擇性訪問。結(jié)果， 甚至在訪問控制設(shè)備通信地耦合至相關(guān)聯(lián)的存儲設(shè)備時，訪問控制設(shè)備也能夠通過在滿足預定義條件時才將其密碼信息釋放給存儲設(shè)備的硬件密碼系統(tǒng)來限制對于存儲在存儲設(shè)備上的加密數(shù)據(jù)的訪問。在另一個實施例中，能夠為訪問控制設(shè)備供應(yīng)諸如計算設(shè)備或用戶之類的實體的列表，其中能夠允許這些實體訪問存儲在與訪問控制設(shè)備相關(guān)聯(lián)的存儲設(shè)備上的數(shù)據(jù)。訪問控制設(shè)備隨后能夠指示與之相關(guān)聯(lián)的存儲設(shè)備不有意義響應(yīng)來自不在列出實體之中的實體的數(shù)據(jù)存儲相關(guān)的通信?？蛇x擇地，或另外，如果訪問控制設(shè)備被供應(yīng)密碼信息，那么它能夠?qū)⑵涿艽a信息提供給存儲設(shè)備的硬件密碼系統(tǒng)，并因而僅在尋求訪問存儲數(shù)據(jù)的實體在列出的實體之中時才允許存儲設(shè)備提供對其存儲數(shù)據(jù)的訪問。尋求訪問存儲數(shù)據(jù)的實體能夠通過用戶口令、計算設(shè)備標識符或其他的能夠以諸如在質(zhì)詢/響應(yīng)(challenge/ response)驗證機制的上下文內(nèi)的安全上下文來提供的類似信息來識別其自身。在進一步實施例中，訪問控制設(shè)備能夠被供應(yīng)密碼信息，其中密碼信息使之能與授權(quán)計算設(shè)備建立安全通信隧道。尋求訪問存儲在與訪問控制設(shè)備相關(guān)聯(lián)的存儲設(shè)備上的數(shù)據(jù)的計算設(shè)備能夠被用于使得訪問控制設(shè)備能夠通過安全隧道與授權(quán)計算設(shè)備通信。訪問控制設(shè)備隨后能夠給授權(quán)計算設(shè)備提供相關(guān)信息，并且僅在授權(quán)計算設(shè)備指示這樣的動作是恰當?shù)臅r候才能夠允許或指示它與之相關(guān)聯(lián)的存儲設(shè)備提供數(shù)據(jù)給請求設(shè)備。在更進一步實施例中，訪問控制設(shè)備能夠被供應(yīng)可執(zhí)行指令，這些可執(zhí)行指令能夠允許訪問控制設(shè)備更新其自身或被定制成提供客戶特定的訪問控制邏輯和算法。這樣的可執(zhí)行指令或“腳本小程序(scriptlet)”集合能夠在供應(yīng)期間被提供給訪問控制設(shè)備，并且能夠隨后以安全且可靠的方式從外部計算設(shè)備進行更新。訪問控制設(shè)備能夠被供應(yīng)，以致它參考空間和時間之一或這二者而非相關(guān)聯(lián)的存儲設(shè)備或計算設(shè)備來單獨地初始化其自身。在還進一步實施例中，訪問控制設(shè)備能夠被供應(yīng)可執(zhí)行指令，這些可執(zhí)行指令能夠允許訪問控制設(shè)備擦除存儲在相關(guān)聯(lián)的存儲設(shè)備上的數(shù)據(jù)或擦除存儲在訪問控制設(shè)備上的任何密碼信息，并從而導致在相關(guān)聯(lián)的存儲設(shè)備上使用這樣的密碼信息加密的數(shù)據(jù)是不可讀取且不可訪問的。訪問控制設(shè)備能夠基于它自己的確定或基于諸如從授權(quán)計算設(shè)備遠程接收的指令來激活這樣的可執(zhí)行指令。提供這個發(fā)明內(nèi)容部分來以簡化的形式介紹下面在詳細描述部分中進一步描述的概念的選擇。這個發(fā)明內(nèi)容部分并不打算標識所請求保護的主題的訪問控制特征或基本特征，也不打算用于限制所請求保護的主題的范圍。
附加的特征和優(yōu)點從以下參考附圖進行的詳細描述中將是明顯的。


以下詳細描述當與附圖進行結(jié)合時可以被最佳地理解，其中 圖1是示例的供應(yīng)計算設(shè)備和示例的訪問控制設(shè)備的框圖2是示例的訪問計算設(shè)備、示例的訪問控制設(shè)備和示例的存儲設(shè)備的框圖； 圖3是示例的訪問計算設(shè)備、示例的訪問控制設(shè)備和示例的存儲設(shè)備的另一框圖； 圖4是在訪問控制設(shè)備與存儲設(shè)備之間的示例通信的框圖； 圖5是在訪問控制設(shè)備與存儲設(shè)備之間的附加的示例通信的框圖； 圖6是示例的供應(yīng)計算設(shè)備的示例操作的流程圖；和圖7是示例的訪問計算設(shè)備的示例操作的流程圖。
具體實施例方式以下描述涉及存儲系統(tǒng)，其包括存儲設(shè)備以及物理和通信可分離的訪問控制設(shè)備，其中訪問控制設(shè)備包含能夠由訪問控制設(shè)備利用來控制何時使得存儲設(shè)備上存儲的數(shù)據(jù)可用于尋求訪問它的實體的訪問控制信息。訪問控制設(shè)備例如通過指示存儲設(shè)備不有意義響應(yīng)來自未授權(quán)實體的數(shù)據(jù)存儲相關(guān)的通信而能夠阻止存儲設(shè)備與這樣的非授權(quán)實體通信，其中數(shù)據(jù)存儲相關(guān)的通信包括請求已經(jīng)存儲在存儲設(shè)備上的數(shù)據(jù)的通信以及請求所提供的數(shù)據(jù)存儲在存儲設(shè)備上的通信。訪問控制設(shè)備也能夠包括密碼信息，其選擇性供應(yīng)給存儲設(shè)備的硬件密碼系統(tǒng)能夠控制對存儲在存儲設(shè)備上的加密數(shù)據(jù)的訪問。諸如通過使得訪問控制設(shè)備比較試圖訪問的實體的身份與預先提供的批準實體的列表，能夠由訪問控制設(shè)備本身提供授權(quán)，或者授權(quán)也能夠由授權(quán)計算設(shè)備提供，其中授權(quán)計算設(shè)備能夠通信地耦合到訪問控制設(shè)備并通過訪問計算設(shè)備提供授權(quán)指令給訪問控制設(shè)備。這里描述的技術(shù)集中于但不限于存儲設(shè)備以及物理和通信可分離的訪問控制設(shè)備。實際上，下面描述的訪問控制機制能夠同樣地利用單個存儲設(shè)備內(nèi)不是注定是可分離的分立組件來實施，盡管在這樣的情況下，在訪問控制設(shè)備與存儲設(shè)備在物理上被分離時存在的安全優(yōu)勢可能不存在。但是，這樣的安全優(yōu)勢是獨立于利用下述的訪問控制機制所提供的安全性的，并因此沒有將下述機制的適用性限于特定的硬件配置。因此，雖然下面的描述參考與物理上可分離的訪問控制設(shè)備相關(guān)聯(lián)的存儲設(shè)備，但是這些描述本身的范圍并打算被如此限制。另外，雖然不作要求，但是下面的描述將采用諸如程序模塊之類的由一個或多個處理單元執(zhí)行的計算機可執(zhí)行指令的一般上下文。更具體地，除非另有說明，否則這些描述將參考由一個或多個處理單元執(zhí)行的動作以及操作的符號表示。這樣，將明白有時被稱為計算機執(zhí)行的這樣的動作和操作包括由處理單元對以結(jié)構(gòu)形式表示數(shù)據(jù)的電信號進行的操縱。這種操縱轉(zhuǎn)換數(shù)據(jù)或?qū)⑵浔３衷诖鎯ζ髦械哪承┪恢蒙?，其以本領(lǐng)域技術(shù)人員熟知的方式來重新配置或以其他方式改變處理單元或與之相連的外設(shè)的操作。其中保持數(shù)據(jù)的數(shù)據(jù)結(jié)構(gòu)是具有利用數(shù)據(jù)的格式所定義的特定屬性的物理位置。一般而言，程序模塊包括執(zhí)行特定任務(wù)或?qū)崿F(xiàn)特定抽象數(shù)據(jù)類型的例程、程序、對象、組件、數(shù)據(jù)結(jié)構(gòu)等等。此外，本領(lǐng)域技術(shù)人員將意識到所參考的處理單元不一定限于常規(guī)的個人計算處理單元，而包括其他的處理器配置，這包括時常在外設(shè)、手持設(shè)備、多處理器系統(tǒng)、基于微處理器或可編程的消費電子設(shè)備中找到的專用處理器、特定用途處理器、通信處理器、總線處理器、控制器等等。類似地，在以下描述中參考的計算設(shè)備不一定限于獨立的計算設(shè)備，因為這些機制也可以在其中任務(wù)由通過通信網(wǎng)絡(luò)鏈接的遠程處理設(shè)備來執(zhí)行的分布式計算環(huán)境中進行實踐。在分布式計算環(huán)境中，程序模塊可以位于本地和遠程記憶存儲設(shè)備二者中。轉(zhuǎn)到圖1，示出包括示例的供應(yīng)計算設(shè)備110和示例的訪問控制設(shè)備170的示例系統(tǒng)100。如將描述的，供應(yīng)計算設(shè)備110能夠被用于例如通過給訪問控制設(shè)備提供能夠允許訪問控制設(shè)備限制對相關(guān)聯(lián)存儲設(shè)備的訪問的信息來供應(yīng)訪問控制設(shè)備170。首先轉(zhuǎn)到供應(yīng)計算設(shè)備110，它能夠包括但不限于一個或多個中央處理單元 (CPU) 120、系統(tǒng)總線130以及將包括系統(tǒng)存儲器130在內(nèi)的各種系統(tǒng)組件耦合到處理單元 120的系統(tǒng)總線121。系統(tǒng)總線121可以是若干類型的總線結(jié)構(gòu)中的任何一種，其包括使用各種總線或點對點架構(gòu)中的任何一種的存儲器總線或存儲器控制器、外設(shè)總線以及本地總線。取決于具體的物理實現(xiàn)方式，CPU 120和系統(tǒng)存儲器130中的一個或多個能夠在物理上共同定位，例如，共同位于單個芯片上。在這樣的情況下，一些或所有的系統(tǒng)總線121能夠僅僅是單個芯片結(jié)構(gòu)內(nèi)的硅通道，并且其在圖1中的示意可以只是用于說明目的的標記便利。供應(yīng)計算設(shè)備110通常也包括計算機可讀媒體，其能夠包括任何的能被諸如供應(yīng)計算設(shè)備110之類的計算設(shè)備訪問的可用媒體，并且包括易失性和非易失性媒體以及可移動和不可移動媒體二者。通過示例而非限制，計算機可讀媒體可以包括計算機存儲媒體和通信媒體。計算機存儲媒體包括采用任何方法或技術(shù)實現(xiàn)的用于存儲諸如計算機可讀指令、數(shù)據(jù)結(jié)構(gòu)、程序模塊或其他數(shù)據(jù)之類的信息的媒體。計算機存儲媒體包括但不限于RAM、 ROM、EEPR0M、閃存或其他存儲技術(shù)、CD-ROM、數(shù)字多用途碟片(DVD)或其他光盤存儲設(shè)備、 磁帶盒、磁帶、磁盤存儲設(shè)備或其他磁存儲設(shè)備、固態(tài)盤(SSD)或其他基于固態(tài)的存儲設(shè)備或任何其他的能夠用于存儲所需信息并能被諸如供應(yīng)計算設(shè)備110之類的計算設(shè)備訪問的介質(zhì)。通信媒體通常在諸如載波之類的調(diào)制數(shù)據(jù)信號或其他的傳輸機制中包括計算機可讀指令、數(shù)據(jù)結(jié)構(gòu)、程序模塊或其他數(shù)據(jù)，并且包括任何的信息遞送媒體。通過示例而非限制，通信媒體包括諸如有線網(wǎng)絡(luò)或直接線路連接之類的有線媒體以及諸如聲學、RF、紅外和其他無線媒體之類的無線媒體。上面的任何一個的組合也應(yīng)被包括在計算機可讀媒體的范圍之內(nèi)。系統(tǒng)存儲器130包括采用易失性和/或非易失性存儲器形式的計算機存儲媒體， 諸如只讀存儲器(ROM) 131和隨機存取存儲器(RAM) 132。在ROM 431中通常存儲基本輸入 /輸出系統(tǒng)133(BI0S)，其包含諸如在啟動期間有助于在計算設(shè)備100內(nèi)的各元件之間傳送信息的基本例程。RAM 132通常包含由處理單元120立即可訪問的和/或由處理單元120 目前正對其操作的數(shù)據(jù)和/或程序模塊。通過示例而非限制，圖1示出操作系統(tǒng)134、其他程序模塊135以及程序數(shù)據(jù)136。還示出全卷加密服務(wù)137，其在一些實施例中可以是操作系統(tǒng)134的一部分。全卷加密服務(wù)137能夠允許諸如供應(yīng)計算設(shè)備110之類的計算設(shè)備提供存儲在一個或多個計算機可讀存儲媒體或其某些部分上的大部分或所有的信息的加密， 其中所述某些部分例如是被計算設(shè)備的操作系統(tǒng)134或其他存儲控制器定義為個別卷的部分。除了可選地包括全卷加密服務(wù)137之外，供應(yīng)計算設(shè)備110的操作系統(tǒng)134還可以包括存儲設(shè)備驅(qū)動器堆棧138。存儲設(shè)備驅(qū)動器堆棧138可以包括涉及建立和保持與一個或多個存儲設(shè)備的通信的計算機可讀指令，諸如如下所述的。此外，存儲設(shè)備驅(qū)動器堆棧 138可以包括訪問控制設(shè)備擴展139，其能夠包括涉及與諸如訪問控制設(shè)備170之類的訪問控制設(shè)備建立和保持通信的計算機可執(zhí)行指令。如果存儲設(shè)備驅(qū)動器堆棧接收到諸如訪問控制設(shè)備170之類的訪問控制設(shè)備通信地耦合到供應(yīng)計算設(shè)備110的指示，那么訪問控制設(shè)備擴展139能夠由存儲設(shè)備驅(qū)動器堆棧138來請求并由存儲設(shè)備驅(qū)動器堆棧138來加載。如下面進一步將描述的，或直接地諸如通過有線或無線通信連接、或通過訪問控制設(shè)備通信地耦合至的諸如存儲設(shè)備之類的另一中間設(shè)備，諸如訪問控制設(shè)備170之類的訪問控制設(shè)備能夠通信地耦合到諸如供應(yīng)計算設(shè)備110之類的計算設(shè)備。除了上述的之外，供應(yīng)計算設(shè)備110還可以包括存儲設(shè)備，這包括可移動/不可移動、易失性/非易失性計算機存儲設(shè)備。僅通過示例，圖1示出讀取或?qū)懭氩豢梢苿拥姆且资源琶襟w的硬盤存儲設(shè)備141、146和147。其他的能夠與示例計算設(shè)備一起使用的可移動/不可移動、易失性/非易失性計算機存儲媒體包括但不限于磁帶盒、閃存卡、固態(tài)驅(qū)動器(SSD)和其他基于固態(tài)的存儲設(shè)備、數(shù)字多用途碟片、數(shù)字錄像帶、固態(tài)RAM、固態(tài)ROM等等。硬盤存儲設(shè)備141、146和147或這些其他的可移動/不可移動、易失性/非易失性計算機存儲媒體中的任何一個通常通過諸如接口 140之類的存儲器接口或直接地或間接地連接到系統(tǒng)總線121。在圖1的示意的示例供應(yīng)計算設(shè)備110中，硬盤存儲設(shè)備141被顯示為諸如通過供應(yīng)計算設(shè)備110內(nèi)部的物理連接或經(jīng)由端口暴露的外部連接而直接地被連接到非易失性存儲器接口 140，而硬盤存儲設(shè)備146和147被顯示為被連接到例如諸如廉價設(shè)備冗余陣列(Redundant Array of Inexpensive Devices) (RAID)控制器之類的存儲主機控制器145，其中所述控制器隨后又能夠再次諸如通過物理上在計算設(shè)備100內(nèi)部的連接而被連接到接口 140。非易失性存儲器接口 140可以是任何的非易失性存儲器接口，這包括但不限于通用串行總線(Universal Serial Bus) (USB)接口、符合IEEE1394規(guī)范中的任何一個或多個的接口、串行AT附件(Serial AT Attachment) (SATA)接口或其他類似的接口。供應(yīng)計算設(shè)備110可以操作在使用至一個或多個遠程計算設(shè)備的邏輯連接的聯(lián)網(wǎng)環(huán)境中。為了說明簡單起見，在圖1中將供應(yīng)計算設(shè)備110顯示為連接到不限于任何特定的網(wǎng)絡(luò)或聯(lián)網(wǎng)協(xié)議的網(wǎng)絡(luò)155。圖1所示的邏輯連接是通用網(wǎng)絡(luò)連接151，其可以是局域網(wǎng) (LAN)、廣域網(wǎng)(WAN)或其他網(wǎng)絡(luò)。供應(yīng)計算設(shè)備110通過網(wǎng)絡(luò)接口或適配器150而連接到通用網(wǎng)絡(luò)連接151，其中網(wǎng)絡(luò)接口或適配器150又連接到系統(tǒng)總線121。在聯(lián)網(wǎng)環(huán)境中，相對于供應(yīng)計算設(shè)備110或其部分或外設(shè)描述的程序模塊可以存儲在通過通用網(wǎng)絡(luò)連接151 而通信地耦合到供應(yīng)計算設(shè)備110的一個或多個其他計算設(shè)備的存儲器中。例如，諸如在下面更詳細描述的授權(quán)計算設(shè)備能夠充當其動作在下面進行描述的一些或所有的計算機可執(zhí)行指令的主機。將意識到所顯示的網(wǎng)絡(luò)連接是示例性的，并且可以使用在計算設(shè)備之間建立通信鏈接的其他手段。與以下描述相關(guān)的是供應(yīng)計算設(shè)備110能夠通信地耦合到訪問控制設(shè)備，諸如圖1所示的訪問控制設(shè)備170。訪問控制設(shè)備170能夠直接地、通信地被耦合到供應(yīng)計算設(shè)備110，這包括通過有線或無線連接進行耦合，或者訪問控制設(shè)備能夠通過訪問控制設(shè)備直接地與之通信地耦合的存儲設(shè)備而被間接地、通信地耦合至供應(yīng)計算設(shè)備。在圖1的系統(tǒng)100中，訪問控制設(shè)備170被顯示為諸如通過非易失性存儲器接口 140而直接地、通信地耦合到供應(yīng)計算設(shè)備110。圖1的虛線指示訪問控制設(shè)備170能夠可移動地、通信地耦合至供應(yīng)計算設(shè)備110。在一個實施例中，為了制造效率，訪問控制設(shè)備170能夠符合標準的存儲卡規(guī)范，并因此，例如，能夠采用與任何其他這樣的符合相同規(guī)范的存儲卡相同的方式、諸如通過通信地連接至供應(yīng)計算設(shè)備的內(nèi)部存儲卡讀取器或外部存儲卡讀取器外設(shè)而通信地耦合到供應(yīng)計算設(shè)備110。訪問控制設(shè)備170能夠包括一個或多個處理單元171，其能夠包括能夠基于輸入集合來調(diào)節(jié)其輸出的控制器或其他組件。如在下面將進一步描述的，訪問控制設(shè)備170的處理單元171能夠用于執(zhí)行涉及確定是否允許和啟用相關(guān)聯(lián)的存儲設(shè)備來向存儲設(shè)備通信地連接至的訪問計算設(shè)備提供數(shù)據(jù)或存儲該訪問計算設(shè)備中的數(shù)據(jù)的動作。在執(zhí)行與這樣的守門(gate-ke印ing)有關(guān)的動作中，訪問控制設(shè)備170的處理單元171能夠利用能夠由供應(yīng)計算設(shè)備110提供的訪問控制信息176，如在系統(tǒng)100中所示的。在一個實施例中，訪問控制信息176可以包括能夠被允許來訪問利用訪問控制設(shè)備170 的密碼信息加密的數(shù)據(jù)的實體的列表，并因此，當訪問控制設(shè)備確定這樣的實體正在請求訪問時，訪問控制設(shè)備能夠啟用相關(guān)聯(lián)的存儲設(shè)備來允許請求實體訪問。例如，訪問控制信息176能夠包括諸如媒體訪問控制(MAC)地址、全球名稱(WffN)或其他唯一設(shè)備或?qū)嶓w標識符之類的標識符的列表。訪問控制信息176也可以包括實體的口令，以致這些實體能夠被要求在訪問控制設(shè)備釋放密碼信息之前通過提供其口令來向訪問控制設(shè)備170證明其身份。其他的包括基于類似的質(zhì)詢/響應(yīng)模板的密碼機制同樣能夠被利用來向訪問控制設(shè)備 170提供尋求訪問利用訪問控制設(shè)備170通信地耦合至的存儲設(shè)備所存儲的數(shù)據(jù)的那些實體的驗證。在一個實施例中，訪問控制設(shè)備170能夠進一步包括存儲相關(guān)的密碼信息175，其中存儲設(shè)備能夠使用該密碼信息來加密將要存儲在這樣的存儲設(shè)備的存儲媒體上的數(shù)據(jù)和解密已經(jīng)存儲在存儲媒體上的加密數(shù)據(jù)。這樣，訪問控制設(shè)備170能夠利用存儲相關(guān)的密碼信息175通過不提供密碼信息給存儲設(shè)備來控制對存儲設(shè)備的數(shù)據(jù)的訪問，直至訪問控制設(shè)備已確定請求訪問存儲設(shè)備及其數(shù)據(jù)的實體是由訪問控制信息176指示為被允許訪問的實體之一。其中訪問控制信息176包括可接受實體的列表或?qū)ζ涠栽L問將被拒絕的實體的列表的實施例在其中能夠訪問數(shù)據(jù)的實體受到限制并且是相對靜態(tài)的家庭或小型商務(wù)環(huán)境內(nèi)是特別有用的。然而，在替換實施例中，在確定是否允許對訪問控制設(shè)備通信地耦合至的存儲設(shè)備的訪問時，訪問控制設(shè)備能夠參考訪問控制設(shè)備170外部的計算設(shè)備，諸如授權(quán)計算設(shè)備。在這樣的實施例中，訪問控制設(shè)備170能夠依賴授權(quán)計算設(shè)備來指示它何時它應(yīng)該或者不應(yīng)該允許訪問。如本領(lǐng)域技術(shù)人員將認識到的，這樣的實施例在其中能夠被允許來訪問某些數(shù)據(jù)的實體可能經(jīng)常變化的企業(yè)環(huán)境內(nèi)可能是有用的。此外，如下面進一步將描述的，其中訪問控制設(shè)備170參考另一計算設(shè)備的實施例能夠與通常由企業(yè)實施的現(xiàn)有訪問控制技術(shù)相結(jié)合。在上述的實施例中，由供應(yīng)計算設(shè)備110提供給訪問控制設(shè)備170的訪問控制信息176能夠包括關(guān)于與授權(quán)計算設(shè)備建立安全通信的信息。例如，訪問控制信息176能夠包括諸如授權(quán)計算設(shè)備的公共訪問控制的密碼信息，或者包括其他的訪問控制設(shè)備170能夠從中協(xié)商共享秘密的這樣的信息或其他的用來提供與授權(quán)計算設(shè)備的安全通信的這樣的密碼工具。訪問控制信息176也可以包括授權(quán)計算設(shè)備的標識，諸如授權(quán)計算設(shè)備的域名服務(wù)器(DNS)名稱或其網(wǎng)絡(luò)地址。在下面進一步描述的替換實施例中，這樣的識別信息反而能夠被提供給尋求訪問在訪問控制設(shè)備170通信地耦合至的存儲設(shè)備上的數(shù)據(jù)的計算設(shè)備。如在系統(tǒng)100中所示的，在一個實施例中，供應(yīng)計算設(shè)備110的操作系統(tǒng)134能夠利用存儲設(shè)備驅(qū)動器堆棧138來與訪問控制設(shè)備170通信。更特別地，如所示的，當存儲設(shè)備驅(qū)動器堆棧檢測到訪問控制設(shè)備170的存在時，存儲設(shè)備驅(qū)動器堆棧138能夠調(diào)用或以其他方式加載訪問控制設(shè)備擴展139。訪問控制設(shè)備擴展139隨后能夠處理與訪問控制設(shè)備170的通信，這包括訪問控制信息176的供應(yīng)。在一個實施例中，如所顯示的，可能是程序模塊135的一部分的諸如安全相關(guān)程序之類的一個或多個程序能夠提供訪問控制信息 176給訪問控制設(shè)備擴展139并從訪問控制設(shè)備擴展139提供訪問控制信息176給訪問控制設(shè)備170，其中如上所示的，訪問控制信息176可以包括對其將授予訪問的實體的列表， 或者也如上所示的，訪問控制信息176可以包括用于建立和保持至訪問控制設(shè)備170外部的授權(quán)計算設(shè)備的安全通信連接的包括密碼信息在內(nèi)的信息。諸如通過訪問控制設(shè)備擴展139，供應(yīng)計算設(shè)備110能夠為訪問控制設(shè)備170供應(yīng)訪問控制信息176并且也可選地為訪問控制設(shè)備供應(yīng)存儲相關(guān)的密碼信息175。存儲相關(guān)的密碼信息175以及相關(guān)聯(lián)的通信在系統(tǒng)100中利用虛線來顯示，以指示它們是可選的。 如果訪問控制設(shè)備170從存儲設(shè)備中通信地斷開，存儲相關(guān)的密碼信息175的缺少可能導致存儲在這樣的存儲設(shè)備的存儲媒體上的加密數(shù)據(jù)是不可訪問的。因此，如果存儲設(shè)備物理上被丟失或被盜，訪問控制設(shè)備170從這樣的存儲設(shè)備中的通信斷開能夠提供附加保護層，并且這也能夠充當存儲在這樣的存儲設(shè)備的存儲媒體上的加密數(shù)據(jù)的密碼擦除或銷毀的證據(jù)。在一個實施例中，存儲相關(guān)的密碼信息175能夠包括“物理訪問控制”，其可以是能夠被用作以本領(lǐng)域技術(shù)人員熟知的方對加密和解密操作進行的訪問控制的一系列比特。 因此，如在下面的描述中利用的術(shù)語“物理訪問控制”旨在指示被用作密碼訪問控制的數(shù)據(jù)的集合，其中所述數(shù)據(jù)從諸如訪問控制設(shè)備170之類的物理可移動源中進行提供并被存儲在該源上。這樣的物理訪問控制用于與“邏輯訪問控制”形成對比，其中“邏輯訪問控制”不是物理上與其上存儲利用這樣的訪問控制加密的數(shù)據(jù)的媒體可分離的。由供應(yīng)計算設(shè)備110可選地供應(yīng)給訪問控制設(shè)備170的存儲相關(guān)的密碼信息175 能夠由供應(yīng)計算設(shè)備的多個子系統(tǒng)中的任何一個通過訪問控制設(shè)備擴展139來提供。例如，除了使用邏輯訪問控制之外，全卷加密服務(wù)137還能夠運用其現(xiàn)有功能來生成物理訪問控制，并將其作為存儲相關(guān)的密碼信息175的至少一部分提供給訪問控制設(shè)備170。可選擇地，物理訪問控制或其他的存儲相關(guān)的密碼信息175能夠利用諸如可能存在于存儲主機控制器145或其他的存儲接口上的硬件之類的專用硬件來生成。作為還一個替換方案，存儲相關(guān)的密碼信息175能夠從BIOS 133被提供給訪問控制設(shè)備170。為了保持提供給訪問控制設(shè)備170的可選的存儲相關(guān)的密碼信息175的安全性和保密性，這樣的信息能夠由供應(yīng)計算設(shè)備110以最小化諸如通過在供應(yīng)計算設(shè)備110上運行的惡意計算機可執(zhí)行指令而被對手獲得這樣的信息的可能性的方式來提供。因此，在一個實施例中，提供給訪問控制設(shè)備170的存儲相關(guān)的密碼信息175能夠在供應(yīng)計算設(shè)備110 的啟動完成之前被提供，并且所提供的信息也能夠在供應(yīng)計算設(shè)備的啟動完成之前從供應(yīng)計算設(shè)備中刪除。由于惡意的計算機可執(zhí)行指令通常不能在主機計算設(shè)備的啟動完成之前通過在供應(yīng)計算設(shè)備110的啟動完成之前向訪問控制設(shè)備170提供以及隨后丟棄存儲相關(guān)的密碼信息175來操作，所以能夠保護所提供的信息免受隨后有可能在供應(yīng)計算設(shè)備上運行的任何惡意計算機可執(zhí)行指令的損害。例如，BIOS 133能夠檢測通信地連接到供應(yīng)計算設(shè)備110的接口的訪問控制設(shè)備 170的存在，并且能夠在啟動供應(yīng)計算設(shè)備上的任何其他的處理、例如包括啟動操作系統(tǒng) 134的運行之前提供存儲相關(guān)的密碼信息175給訪問控制設(shè)備170。類似地，在首次初始化控制器并且如果不是操作系統(tǒng)134的啟動開始之前也至少是在操作系統(tǒng)134的啟動完成之前，存儲主機控制器145能夠檢測訪問控制設(shè)備170的存在。然后，控制器145同樣能夠?qū)⒋鎯ο嚓P(guān)的密碼信息175提供給訪問控制設(shè)備170，并且能夠在任何惡意的計算機可執(zhí)行指令能夠運行在供應(yīng)計算設(shè)備110上之前丟棄它。作為另一個替換方案，由于全卷加密服務(wù)137可能已包括被設(shè)計成保護其邏輯訪問控制免受在供應(yīng)計算設(shè)備110上運行的惡意計算機可執(zhí)行指令損害的機制，所以全卷加密服務(wù)137能夠使用這些機制來安全地為訪問控制設(shè)備170供應(yīng)存儲相關(guān)的密碼信息175，并且隨后丟棄它，以便進一步減小它將在供應(yīng)計算設(shè)備110上被發(fā)現(xiàn)的可能性。在這樣的實施例中，上面參考訪問控制設(shè)備擴展139所述的至少一些功能能夠在操作系統(tǒng)134的外部、諸如由BIOS 133或存儲主機控制器145來實現(xiàn)。一旦已由供應(yīng)計算設(shè)備110供應(yīng)了訪問控制設(shè)備170，那么訪問控制設(shè)備170能夠從供應(yīng)計算設(shè)備110通信地且可選地、物理地斷開，并且隨后能夠與存儲設(shè)備一起被利用來允許存儲設(shè)備存儲加密數(shù)據(jù)和訪問已存儲在這樣的存儲設(shè)備的計算機可讀媒體上的加密數(shù)據(jù)。轉(zhuǎn)到圖2，顯示包括訪問計算設(shè)備210、訪問控制設(shè)備170以及訪問控制設(shè)備能夠通信地耦合至的示例存儲設(shè)備270的系統(tǒng)200。如下面進一步描述的，訪問控制設(shè)備170與示例存儲設(shè)備270之間的通信耦合可以是但不一定是物理耦合。示例存儲設(shè)備270能夠代表被顯示為通信地耦合至訪問計算設(shè)備210的存儲設(shè)備241、246或247中的任何一個或多個。訪問計算設(shè)備210可以是與上面具體描述的供應(yīng)計算設(shè)備110不同的計算設(shè)備，或者它可以是相同的計算設(shè)備，例如，諸如由管理員和用戶使用的計算設(shè)備，其中管理員能夠?qū)⒃撚嬎阍O(shè)備用作供應(yīng)計算設(shè)備，而用戶能夠?qū)⑵溆米髟L問計算設(shè)備。因此，為了便于參考和說明，供應(yīng)計算設(shè)備210的各元件與計算設(shè)備110的類似元件不同地進行編號，但是其功能可以是相似的乃至相同的。因此，CPU 220、系統(tǒng)總線221、系統(tǒng)存儲器230、可選的非易失性存儲器接口 240以及存儲主機控制器245全部類似于先前描述的CPU 120、系統(tǒng)總線121、 系統(tǒng)存儲器130、接口 140以及存儲主機控制器145。類似地，具有BIOS 233的ROM 231以及具有包括存儲設(shè)備驅(qū)動器堆棧238與訪問控制設(shè)備擴展239的操作系統(tǒng)234、程序模塊 235、程序數(shù)據(jù)236和全卷加密服務(wù)237的RAM 232也類似于上述的ROM 13UBI0S 133,RAM 132、操作系統(tǒng)134、存儲設(shè)備驅(qū)動器堆棧138、訪問控制設(shè)備擴展139、程序模塊135、程序數(shù)據(jù)136以及全卷加密服務(wù)137。然而，訪問控制設(shè)備170可以是上面詳述的相同的訪問控制設(shè)備。轉(zhuǎn)到圖2的系統(tǒng)200的存儲設(shè)備270，該存儲設(shè)備270能夠以與上述的存儲設(shè)備 141,146和147之中的任何一個相同的方式來使用，并且能夠替換或充當上述的存儲設(shè)備 141,146和147之中的任何一個，其中存儲設(shè)備的類似物在圖2中被示意為存儲設(shè)備241、 246和247。實際上，如利用其附近的圖形布局所示的，存儲設(shè)備270旨在更詳細地代表通信地耦合至訪問計算設(shè)備210的存儲設(shè)備241、246和247中的任何一個或多個。存儲設(shè)備270能夠包括一個或多個計算機可讀媒體290，其能夠包括不可移動的非易失性磁媒體、不可移動的非易失性的基于固態(tài)的存儲媒體或其他的可移動/不可移動、易失性/非易失性計算機存儲媒體，其包括上述中的任何一個。存儲設(shè)備270的計算機可讀媒體290能夠由計算設(shè)備利用來存儲用于這樣的計算設(shè)備的計算機可讀指令、數(shù)據(jù)結(jié)構(gòu)、程序模塊和其他數(shù)據(jù)。例如，存儲設(shè)備270的計算機可讀媒體290被說明為存儲數(shù)據(jù) 295，其中該數(shù)據(jù)可以是當由存儲設(shè)備270提供時為用于訪問計算設(shè)備210的操作系統(tǒng)234、 其他程序模塊235或程序數(shù)據(jù)236中的一些或全部的基礎(chǔ)的數(shù)據(jù)。除了計算機可讀媒體290之外，示例的存儲設(shè)備270也能夠可選地包括硬件密碼系統(tǒng)280，該密碼系統(tǒng)能夠加密被提供給存儲設(shè)備270的數(shù)據(jù)以便存儲在計算機可讀媒體 290上，并且能夠解密從計算機可讀媒體中讀取的隨后將被提供給訪問計算設(shè)備210的數(shù)據(jù)。這樣，硬件密碼系統(tǒng)280能夠執(zhí)行其密碼功能，而不給訪問計算設(shè)備210的CPU 220 或其他元件增加負擔，其在一個實施例中以與任何其他存儲設(shè)備相同的方式對待存儲設(shè)備 270而不考慮數(shù)據(jù)加密和解密。更進一步，如果訪問計算設(shè)備210不包括諸如全卷加密服務(wù) 237之類的相關(guān)密碼元件，那么相關(guān)聯(lián)的訪問控制設(shè)備170的存儲相關(guān)的密碼信息175能夠由硬件密碼系統(tǒng)280來管理。硬件密碼系統(tǒng)280在圖2中利用虛線來說明，以指示它是可選組件，這非常類似于訪問控制設(shè)備170的存儲相關(guān)的密碼信息175。然而，雖然存儲設(shè)備270的硬件密碼系統(tǒng)280可以是可選的，但是無論是否存在硬件密碼系統(tǒng)，諸如一個或多個處理單元281和固件283之類的被顯示成子組件的其他組件可能存在。更具體地，在一個實施例中，例如，處理單元281和固件283能夠為存儲設(shè)備270 提供獨立處理至少諸如各種維護和通信任務(wù)之類的基本指令的能力。然而，在另一個實施例中，處理單元281和固件283至少部分地能夠被用于執(zhí)行密碼功能，諸如提供給存儲設(shè)備的數(shù)據(jù)的加密以及從計算機可讀媒體290中讀取的數(shù)據(jù)的解密。在這樣的實施例中，處理單元281和固件283至少部分地能夠被認為是硬件密碼系統(tǒng)280的一部分。此外，如同訪問控制設(shè)備170的處理單元171 —樣，存儲設(shè)備270的處理單元281可以包括能夠基于輸入集合來調(diào)節(jié)其輸出的控制器或其他組件。在其中存在訪問控制設(shè)備170的存儲相關(guān)的密碼信息175的實施例中，存儲相關(guān)的密碼信息175能夠被存儲設(shè)備270的硬件密碼系統(tǒng)280參考，并且能夠通知由存儲設(shè)備 270的硬件密碼系統(tǒng)280執(zhí)行的加密和解密。在一個實施例中，例如，硬件密碼系統(tǒng)280能夠參考訪問控制設(shè)備170的存儲相關(guān)的密碼信息175以及諸如在訪問計算設(shè)備210上運行的全卷加密服務(wù)237或另一個類似的密碼系統(tǒng)所提供的附加的密碼信息來執(zhí)行其密碼功能。諸如以上面詳述的方式可能先前已供應(yīng)的訪問控制設(shè)備170能夠通信地連接至存儲設(shè)備270，如利用圖2的虛線雙向通信箭頭所示的。如下面將進一步描述的，訪問控制設(shè)備170與存儲設(shè)備270之間這樣的通信連接可以是有線的或無線的，并且可以是直接或間接的，例如通過訪問計算設(shè)備210。訪問計算設(shè)備210能夠通過向存儲設(shè)備發(fā)送恰當?shù)淖x取命令來嘗試訪問存儲設(shè)備270的數(shù)據(jù)四5。如果訪問控制設(shè)備170還沒有通信地連接到存儲設(shè)備270，該存儲設(shè)備能夠在一個實施例中通知訪問計算設(shè)備210 它不能提供對數(shù)據(jù)四5的訪問。然而，在替換實施例中，訪問控制設(shè)備170的缺少能夠允許以常規(guī)方式來使用存儲設(shè)備270。如果訪問控制設(shè)備170包括存儲相關(guān)的密碼信息175，那么在這樣的實施例中，如果訪問控制設(shè)備沒有通信地耦合到存儲設(shè)備，存儲設(shè)備能夠通知訪問計算設(shè)備210 它不能訪問數(shù)據(jù)四5 (在這樣的實施例中，該數(shù)據(jù)將采用加密的形式)，這是因為存儲設(shè)備的硬件密碼系統(tǒng)觀0為了對加密數(shù)據(jù)進行解密而需要的存儲相關(guān)的密碼信息175是不可獲得的。另一方面，如果訪問控制設(shè)備170已通信地耦合到存儲設(shè)備270，那么訪問控制設(shè)備能夠確定或接收有關(guān)是否允許存儲設(shè)備270給訪問計算設(shè)備210提供對數(shù)據(jù)四5的訪問的確定。這樣的訪問能夠通過諸如由處理單元執(zhí)行被訪問控制設(shè)備170通知或調(diào)用并操作來拒絕訪問計算設(shè)備 210訪問數(shù)據(jù)四5的指令來拒絕。這樣的訪問能夠附加地或可選擇地通過拒絕訪問對加密數(shù)據(jù)進行解密所需的存儲相關(guān)的密碼信息175來拒絕。存儲設(shè)備270能夠?qū)⒄谑褂煤线m的存儲相關(guān)的通信協(xié)議實施訪問控制的訪問控制設(shè)備170的存在通知訪問計算設(shè)備。如下面將進一步描述的，存儲設(shè)備270能夠?qū)㈠e誤消息返回給訪問計算設(shè)備210，以響應(yīng)其嘗試訪問存儲在存儲設(shè)備的存儲媒體290上的數(shù)據(jù)四5。這樣的錯誤消息能夠向訪問計算設(shè)備210指示通信地耦合的訪問控制設(shè)備170 的存在。響應(yīng)于能夠由被操作系統(tǒng)234加載來與存儲設(shè)備270通信的存儲設(shè)備驅(qū)動器堆棧238接收的這樣的錯誤消息，存儲設(shè)備驅(qū)動器堆棧238能夠調(diào)用訪問控制設(shè)備擴展239 或以其他方式導致訪問控制設(shè)備擴展239被加載，其中該擴展隨后能夠允許訪問計算設(shè)備 210與訪問控制設(shè)備170通信。訪問控制設(shè)備擴展239能夠被實現(xiàn)為動態(tài)加載的庫模塊 (Dynamically Loaded Library module) (DLL)、預加載例程或任何其他的運行時綁定可執(zhí)行計算機代碼。在諸如利用圖2的系統(tǒng)200所示的實施例中，訪問計算設(shè)備210的訪問控制設(shè)備擴展239能夠與訪問控制設(shè)備170通信并提供信息給訪問控制設(shè)備170，以使得訪問控制設(shè)備的處理單元171能夠基于為訪問控制設(shè)備供應(yīng)的訪問控制信息176來做出訪問控制決定。例如，由訪問控制設(shè)備170請求并被提供給訪問控制設(shè)備170的信息能夠包括訪問計算設(shè)備210或存儲設(shè)備270的識別信息。這樣的識別信息能夠允許訪問控制設(shè)備170諸如基于訪問控制信息176來確定是否訪問計算設(shè)備210和存儲設(shè)備270是批準的實體。以這樣的方式，對數(shù)據(jù)四5的訪問能夠僅限于特定的訪問計算設(shè)備210，諸如在安全區(qū)域中或沒有WAN接入的那些計算設(shè)備。作為另一示例，由于可靠性和性能原因，諸如與上述的存儲主機控制器145相類似的存儲主機控制器245之類的控制器的制造商可以要求只有特定類型的存儲設(shè)備與其控制器一起使用。在這樣的情況下，采用訪問控制信息176的形式，能夠為訪問控制設(shè)備170供應(yīng)相關(guān)聯(lián)的存儲設(shè)備270能夠被允許來與之互操作的一個或多個控制器的一個或多個標識符。或者，可選擇地，能夠為訪問控制設(shè)備170供應(yīng)諸如存儲設(shè)備270 之類的特定存儲設(shè)備以及諸如訪問計算設(shè)備210的存儲主機控制器245之類的特定控制器的標識符，其中特定存儲設(shè)備和特定控制器被允許彼此互操作。即使存儲設(shè)備和訪問計算設(shè)備個別地是批準的實體，如由訪問控制信息176所指定的，通過核實存儲設(shè)備270通信地連接到恰當?shù)脑L問計算設(shè)備210，能夠采用這樣的方式來限制對數(shù)據(jù)295的訪問。在另一個實施例中，訪問控制設(shè)備170能夠包括多組存儲相關(guān)的密碼信息175，使得參考存儲相關(guān)的密碼信息以及所提供的對其的訪問能夠獨立地解密能夠以加密狀態(tài)存儲的存儲設(shè)備270內(nèi)的數(shù)據(jù)295的個別分區(qū)或其他分段。在這樣的實施例中，由訪問計算設(shè)備提供的信息能夠包括用戶識別信息，例如用戶名和口令，其能夠被訪問控制設(shè)備170的處理單元171用來確定用戶是否恰當?shù)仳炞C了它們自己并在由訪問控制信息176保持的批準列表上。對于特定用戶來說，訪問控制信息176能夠指定能夠提供給存儲設(shè)備270的存儲相關(guān)的密碼信息175只解密諸如能夠利用授權(quán)用戶訪問的計算機可讀媒體290中的預格式化分區(qū)來定義的加密數(shù)據(jù)的一部分。對于多用戶或分時訪問計算設(shè)備210來說，這樣的實施例可能是有用的。如在系統(tǒng)200中所示的，依照由供應(yīng)計算設(shè)備110為訪問控制設(shè)備供應(yīng)的訪問控制信息176，能夠由訪問控制設(shè)備170的處理單元171考慮由訪問計算設(shè)備210提供的信息，并且訪問控制設(shè)備的處理單元能夠基于這樣的考慮來確定是允許還是不允許存儲設(shè)備 270有意義響應(yīng)來自訪問計算設(shè)備的數(shù)據(jù)存儲相關(guān)的通信，并從而或允許或不允許訪問計算設(shè)備210讀取在計算機可讀媒體290上的數(shù)據(jù)295或在計算機可讀媒體290上寫入附加數(shù)據(jù)。在一個實施例中，如上所示，是允許還是不允許存儲設(shè)備270有意義響應(yīng)數(shù)據(jù)存儲相關(guān)的通信的確定能夠通過訪問控制設(shè)備170的處理單元171指示存儲設(shè)備270的處理單元 281執(zhí)行來自固件283的恰當指令來實現(xiàn)。例如，如果處理單元171確定不應(yīng)允許訪問計算設(shè)備210在存儲設(shè)備270上存儲數(shù)據(jù)或從存儲設(shè)備270讀取數(shù)據(jù)，處理單元171能夠指示處理單元281執(zhí)行來自固件283的指令，其中這些指令通知訪問計算設(shè)備210 或?qū)?shù)據(jù)寫入計算機可讀媒體290或讀取已經(jīng)存儲于其上的數(shù)據(jù)295的其請求正被拒絕。此外，從固件283執(zhí)行的指令能夠為訪問計算設(shè)備210提供拒絕理由的指示，諸如恰當?shù)腻e誤代碼。在也如上所述的另一個實施例中，是否允許存儲設(shè)備270有意義響應(yīng)數(shù)據(jù)存儲相關(guān)的通信的確定能夠通過以下來實現(xiàn)訪問控制設(shè)備170的處理單元171釋放或者不釋放存儲相關(guān)的密碼信息175給存儲設(shè)備270的硬件密碼系統(tǒng)280的處理單元281，并從而允許或者不允許硬件密碼系統(tǒng)280解密(以加密形式存儲的)數(shù)據(jù)295且從而給訪問計算設(shè)備210提供對這樣的數(shù)據(jù)的訪問。由訪問控制設(shè)備170提供的這樣的訪問控制可以是對訪問禁用的補充， 其中訪問禁用可以通過以下來完成從存儲設(shè)備270中通信地斷開包括存儲相關(guān)的密碼信息175的訪問控制設(shè)備170，并從而通信地中斷任何的給存儲設(shè)備提供必要的存儲相關(guān)的密碼信息以允許存儲設(shè)備訪問存儲在其上的加密數(shù)據(jù)的能力。在諸如利用圖3的系統(tǒng)300所示的另一個實施例中，訪問控制設(shè)備170能夠不基于諸如利用訪問控制信息176所通知的它自己的確定而基于訪問控制設(shè)備170能夠通信地耦合至的授權(quán)計算設(shè)備310的確定來允許或不允許存儲設(shè)備270有意義響應(yīng)來自訪問計算設(shè)備210的數(shù)據(jù)存儲相關(guān)的通信。轉(zhuǎn)到圖3，系統(tǒng)300被顯示成包括系統(tǒng)200的訪問計算設(shè)備210、訪問控制設(shè)備170和存儲設(shè)備270。然而，另外，系統(tǒng)300也包括授權(quán)計算設(shè)備310， 該授權(quán)計算設(shè)備能夠例如經(jīng)由訪問計算設(shè)備和授權(quán)計算設(shè)備二者分別與之保持獨立的網(wǎng)絡(luò)連接251和351的網(wǎng)絡(luò)155而通信地耦合至訪問計算設(shè)備210。
14
在利用系統(tǒng)300所示的實施例中，訪問控制設(shè)備170能夠具有訪問控制密碼信息 376作為訪問控制信息176的一部分，其中該訪問控制密碼信息376能夠被利用來通過訪問計算設(shè)備210建立至授權(quán)計算設(shè)備310的安全通信隧道320。如前所述，當訪問計算設(shè)備 210嘗試訪問存儲在存儲設(shè)備270上的數(shù)據(jù)295時，存儲設(shè)備能夠?qū)⒃L問控制設(shè)備170的存在通知訪問計算設(shè)備，而這又可能導致訪問計算設(shè)備的操作系統(tǒng)234的存儲設(shè)備驅(qū)動器堆棧238加載訪問控制設(shè)備擴展239或?qū)е略L問控制設(shè)備擴展239被執(zhí)行，其中訪問控制設(shè)備擴展239可以允許在訪問計算設(shè)備與訪問控制設(shè)備之間的通信。通過那些通信，訪問控制設(shè)備170能夠請求訪問計算設(shè)備210的訪問控制設(shè)備擴展239將來自訪問控制設(shè)備的消息遞送到授權(quán)計算設(shè)備310以及相反地將來自授權(quán)計算設(shè)備的消息提供給訪問控制設(shè)備。 以這樣的方式，訪問控制設(shè)備170能夠與授權(quán)計算設(shè)備310建立安全通信隧道320。為了將來自訪問控制設(shè)備170的消息提供給授權(quán)計算設(shè)備310，訪問控制設(shè)備擴展239能夠請求訪問計算設(shè)備210的網(wǎng)絡(luò)接口 250建立至授權(quán)計算設(shè)備的通信連接。在一個實施例中，授權(quán)計算設(shè)備310的諸如其網(wǎng)絡(luò)地址或DNS名稱之類的位置能夠被提供給訪問控制設(shè)備擴展239，并由此從訪問控制設(shè)備170的訪問控制信息176中被提供給網(wǎng)絡(luò)接口 250。在替換實施例中，授權(quán)計算設(shè)備310的位置可能已為訪問計算設(shè)備210所知。例如，通常，當諸如訪問計算設(shè)備210之類的計算設(shè)備與網(wǎng)絡(luò)155建立網(wǎng)絡(luò)連接251時，為該計算設(shè)備提供某些網(wǎng)絡(luò)信息，例如，其包括DNS服務(wù)器的地址以及服務(wù)于該計算設(shè)備的路由器的地址。以同樣的方式，根據(jù)上述實施例，能夠為諸如訪問計算設(shè)備210之類的計算設(shè)備提供用于諸如授權(quán)計算設(shè)備310之類的授權(quán)計算設(shè)備的網(wǎng)絡(luò)地址或其他位置信息，其中授權(quán)計算設(shè)備能夠服務(wù)于網(wǎng)絡(luò)155上或該計算設(shè)備已連接至的該網(wǎng)絡(luò)的相同部分上的計算設(shè)備。訪問控制密碼信息376可以包括授權(quán)計算設(shè)備310的公共訪問密鑰、在授權(quán)計算設(shè)備與訪問控制設(shè)備170之間共享的秘密或能夠允許訪問控制設(shè)備170與授權(quán)計算設(shè)備 310諸如通過包括與點對點隧道協(xié)議(PPTP)或?qū)?隧道協(xié)議(L2TP)相似或相同的協(xié)議的標準隧道機制來建立安全通信隧道320的任何類似的密碼信息。正如本領(lǐng)域技術(shù)人員所知的，這樣的隧道機制可以依賴于各種安全證書諸如共享口令或訪問控制的交換，或者它們能夠依賴于由諸如Kerberos或RADIUS服務(wù)器之類的獨立驗證器提供的安全證書，其中的任一或所有的證書可能已作為訪問控制密碼信息376被提供給訪問控制設(shè)備170。利用安全隧道320，盡管消息由訪問計算設(shè)備210中繼并因此對于在訪問計算設(shè)備上運行的組件和處理是可見的事實，但是這樣的組件和處理不能明白這樣的消息的內(nèi)容，并因此不能導致訪問控制設(shè)備170提供存儲相關(guān)的密碼信息175，此時授權(quán)計算設(shè)備310將不以其他方式指示這樣的存儲相關(guān)的密碼信息的供應(yīng)是適當?shù)摹Ｈ缜八?，能夠包括用于建立安全通信隧?20的證書和其他信息的訪問控制密碼信息376可能在供應(yīng)期間已由供應(yīng)計算設(shè)備 110提供給訪問控制設(shè)備170。在一個實施例中，授權(quán)計算設(shè)備310能夠與現(xiàn)有的訪問控制技術(shù)和方法諸如網(wǎng)絡(luò)訪問保護(Network Access Protection) (NAP)、網(wǎng)絡(luò)準入控制(Network Admission Control) (NAC)、安全網(wǎng)絡(luò)訪問(Secure Network Access) (SNA)或其他類似技術(shù)相結(jié)合。 例如，現(xiàn)有NAP服務(wù)器計算設(shè)備可能已知道如利用更新的反惡意軟件、所應(yīng)用的操作系統(tǒng)更新以及其他類似信息量化的計算設(shè)備的安全性。如利用現(xiàn)有NAP服務(wù)器計算設(shè)備所確定的可能不滿足安全閾值等級的計算設(shè)備同樣能夠向授權(quán)計算設(shè)備310進行識別，并且授權(quán)計算設(shè)備能夠指示訪問控制設(shè)備170不提供存儲相關(guān)的密碼信息175給通信地耦合至這樣的計算設(shè)備的存儲設(shè)備。因此，如圖3所示，通過與在訪問計算設(shè)備210上運行的存儲設(shè)備驅(qū)動器堆棧238 中的訪問控制設(shè)備擴展239進行的通信，訪問控制設(shè)備170仍能夠獲悉與訪問控制設(shè)備當前通信耦合至的訪問計算設(shè)備與存儲設(shè)備270相關(guān)聯(lián)的具體信息。如前所示，這樣的信息可以包括使用訪問計算設(shè)備210的用戶、訪問計算設(shè)備本身、存儲主機控制器M5、存儲設(shè)備270的身份以及其他信息，其中所述信息能夠由訪問控制設(shè)備170通過安全隧道320提供給授權(quán)計算設(shè)備310。基于如此提供的信息以及諸如上述的NAP信息之類的可能可用于它的其他信息，授權(quán)計算設(shè)備310能夠確定是否允許存儲設(shè)備270對來自訪問計算設(shè)備210 的數(shù)據(jù)存儲相關(guān)的通信提供有意義響應(yīng)。如所示的，從授權(quán)計算設(shè)備310至訪問控制設(shè)備 170的指令能夠通過安全隧道320來接收。在一個實施例中，來自授權(quán)計算設(shè)備310的指令能夠由訪問控制設(shè)備170的處理單元171來接收，并且如上所述，處理單元能夠指示存儲設(shè)備270的處理單元281執(zhí)行來自固件283的恰當指令，以便或有意義響應(yīng)來自訪問計算設(shè)備210的數(shù)據(jù)存儲相關(guān)的通信或者使用來自訪問計算設(shè)備210的存儲相關(guān)的通信或請求的適當?shù)腻e誤或其他拒絕來響應(yīng)。在另一個實施例中，來自授權(quán)計算設(shè)備310的指令能夠由訪問控制設(shè)備170的處理單元171來接收，并且也如上所述，處理單元能夠向存儲設(shè)備270 的處理單元或提供或拒絕存儲相關(guān)的密碼信息175，以允許或阻止存儲設(shè)備270有意義響應(yīng)來自訪問計算設(shè)備210的數(shù)據(jù)存儲相關(guān)的通信。在一個實施例中，不運行在與訪問計算設(shè)備210相隔開的獨立計算設(shè)備上，在授權(quán)計算設(shè)備310上運行的授權(quán)處理反而能夠運行在訪問計算設(shè)備的保護空間內(nèi)。在這樣的實施例中，授權(quán)計算設(shè)備310可以是虛擬機或在訪問計算設(shè)備210上運行的其他受保護的獨立處理。因為在上述的實施例中訪問計算設(shè)備210運送消息給授權(quán)計算設(shè)備310以及從授權(quán)計算設(shè)備310中運送消息，所以授權(quán)計算設(shè)備反而能夠通過在訪問計算設(shè)備上執(zhí)行計算機可執(zhí)行指令來實現(xiàn)而無需改變訪問控制設(shè)備170。轉(zhuǎn)到圖4，更詳細示出和描述在訪問控制設(shè)備170與存儲設(shè)備270之間的通信連接，諸如在圖2和3中利用虛的通信箭頭所示出的。在一個實施例中，如利用系統(tǒng)400所示的，存儲設(shè)備270能夠不僅包括先前描述的硬件密碼系統(tǒng)280和計算機可讀媒體四0，而且還能夠包括訪問控制設(shè)備接口 410。僅通過示例，訪問控制設(shè)備接口 410可以是存儲設(shè)備 270上的插槽或連接器，以致訪問控制設(shè)備170能夠物理上被插入訪問控制設(shè)備接口 410或以其他方式被連接到訪問控制設(shè)備接口 410，以致在被插入或被連接時，訪問控制設(shè)備170 實質(zhì)上并不改變存儲設(shè)備270的尺寸。在這樣的情況下，存儲設(shè)備270能夠被諸如訪問計算設(shè)備210之類的計算設(shè)備使用，如上詳細描述的，如同任何其他的相似類型的存儲設(shè)備在沒有訪問控制設(shè)備的情況下一樣。例如，如果存儲設(shè)備270被設(shè)計成符合標準硬盤驅(qū)動器大小，那么訪問計算設(shè)備210能夠使用訪問控制設(shè)備170物理上連接至的存儲設(shè)備270 作為內(nèi)部硬盤驅(qū)動器，并且訪問控制設(shè)備的存在或缺乏將不改變存儲設(shè)備270的物理尺寸來禁止這樣的使用。作為另一個示例，訪問控制設(shè)備170能夠采用諸如通常用于蜂窩電話的全球移動通信系統(tǒng)(GSM)用戶身份模塊(SIM)的形式。在這樣的情況下，訪問控制設(shè)備接口 410可以是通常又被包括在蜂窩電話內(nèi)的GSM SIM接口。因為訪問控制設(shè)備170以及訪問控制設(shè)備接口 410的物理形狀因子二者能夠被廣泛應(yīng)用并因此是便宜的，所以這樣的實施例能夠提供成本優(yōu)勢。作為還一個示例，訪問控制設(shè)備170能夠包括常見的連接器，諸如通用串行總線 (USB)連接器，而相應(yīng)的訪問控制設(shè)備接口 410同樣能夠如此。與上述的GSM SIM實施例一樣，USB連接器同樣由于其普遍性而提供成本優(yōu)勢。在這樣的實施例中，下述的訪問控制設(shè)備170與硬件密碼系統(tǒng)280之間的通信能夠經(jīng)由眾所周知的USB通信協(xié)議來執(zhí)行。但是，訪問控制設(shè)備170不一定需要被物理連接到存儲設(shè)備270以便通信地連接至該存儲設(shè)備。上述的實施例提供在訪問控制設(shè)備170與存儲設(shè)備270之間的物理連接， 以避免通過存儲設(shè)備的常見類型接口來發(fā)送任何的指令或密碼信息175給處理單元281。 以這樣方式，訪問控制設(shè)備170和存儲設(shè)備271的硬件設(shè)計能夠確保由處理單元171提供的指令或存儲相關(guān)的密碼信息175不能被外部實體獲得。在替換實施例中，盡管由處理單元171提供給處理單元281的指令以及存儲相關(guān)的密碼信息175之中的至少一些通過存儲設(shè)備270的外部通信接口進行傳送，但是這些指令和信息也能夠得到保護。因而，如系統(tǒng)450中所示的，盡管訪問控制設(shè)備170與存儲設(shè)備 270的物理分離，但是也能夠在訪問控制設(shè)備170與存儲設(shè)備270之間經(jīng)由訪問計算設(shè)備 210來建立通信連接。如所示的，系統(tǒng)450能夠包括訪問計算設(shè)備210、訪問控制設(shè)備170以及存儲設(shè)備270，其中訪問控制設(shè)備和存儲設(shè)備獨立地連接到訪問計算設(shè)備。盡管示出系統(tǒng) 450，其中訪問計算設(shè)備210、訪問控制設(shè)備170和存儲設(shè)備270被顯示成分離的物理實體， 但是不要求這樣的物理分離。例如，存儲設(shè)備270能夠諸如采用內(nèi)部硬盤驅(qū)動器的形式被內(nèi)部連接到訪問計算設(shè)備210。訪問控制設(shè)備170轉(zhuǎn)而能夠被連接至訪問計算設(shè)備210的外部接口，諸如流行的外設(shè)或存儲接口，這包括有線和無線接口在內(nèi)。在這樣的實施例中， 訪問控制設(shè)備170與存儲設(shè)備270之間的通信能夠由訪問計算設(shè)備210中的存儲設(shè)備驅(qū)動器堆棧238中繼，其中訪問計算設(shè)備能夠通過它自己的機制并通過訪問控制設(shè)備擴展239 與訪問控制設(shè)備和存儲設(shè)備二者通信。轉(zhuǎn)到圖5，參考系統(tǒng)500利用更多特異性示出在訪問計算設(shè)備210與訪問控制設(shè)備170之間的示例通信交換。如圖5所示，系統(tǒng)500能夠包括與上面具體描述的系統(tǒng)200 和300相同的基本組件，這包括訪問控制設(shè)備170、存儲設(shè)備270、訪問計算設(shè)備210以及可選地包括授權(quán)計算設(shè)備310。初始地，如利用通信510所示的，例如，訪問計算設(shè)備210以及更特別地訪問計算設(shè)備的操作系統(tǒng)234 (未顯示)中的存儲設(shè)備驅(qū)動器堆棧238能夠諸如通過發(fā)出讀取請求、初始化請求或其他類似的訪問請求而提出存儲設(shè)備270的數(shù)據(jù)存儲相關(guān)的請求。響應(yīng)于數(shù)據(jù)存儲相關(guān)的請求510，存儲設(shè)備能夠提供包括錯誤代碼的錯誤通信520。正如本領(lǐng)域技術(shù)人員將知道的，諸如將由存儲設(shè)備驅(qū)動器堆棧238執(zhí)行的與存儲設(shè)備的通信能夠采用錯誤代碼的形式提供錯誤通信，其中每一個代碼指示存儲設(shè)備270的部分上的特定錯誤或錯誤的類型。在一個實施例中，錯誤代碼能夠由存儲設(shè)備270作為通信 520的一部分被提供給存儲設(shè)備驅(qū)動器堆棧238，其中通信520能夠指示存儲設(shè)備通信地耦合至訪問控制設(shè)備170，并且能夠進一步指示因為通信耦合的訪問控制設(shè)備尚未授權(quán)存儲設(shè)備270對數(shù)據(jù)存儲請求510有意義地提供響應(yīng)而導致訪問數(shù)據(jù)295的嘗試失敗，其中例如，諸如通過指示處理單元281這樣做或通過提供解密請求數(shù)據(jù)所需要的存儲相關(guān)的密碼信息175來有意義提供響應(yīng)。響應(yīng)于這樣的錯誤代碼，如利用動作530所示的，存儲設(shè)備驅(qū)動器堆棧238能夠加載訪問控制設(shè)備擴展239或?qū)е略L問控制設(shè)備擴展239被加載或以其他方式被執(zhí)行。如前所示，訪問控制設(shè)備擴展239能夠包括被配置成包括當訪問控制設(shè)備諸如通過存儲設(shè)備而僅僅間接通信地耦合至計算設(shè)備時與諸如訪問控制設(shè)備170之類的這樣的訪問控制設(shè)備通信的計算機可執(zhí)行指令。一旦訪問控制設(shè)備擴展239被加載，那么它能夠?qū)⒅T如通信MO 之類的通信引導到訪問控制設(shè)備170。在一個實施例中，通信540能夠包括諸如將傳統(tǒng)地被引導到存儲設(shè)備270的寫入命令，但是寫入命令能夠指定地址或地址范圍，其中所述地址或地址范圍能夠向存儲設(shè)備指示該通信被引導到訪問控制設(shè)備170。因而，如圖5所示，來自訪問控制設(shè)備擴展239的通信540能夠最初地被提供給存儲設(shè)備270，并且基于所指定的地址或地址范圍，存儲設(shè)備隨后能夠進一步將通信540提供給訪問控制設(shè)備170。訪問控制設(shè)備170能夠提供響應(yīng)通信550，其中響應(yīng)通信550諸如通過最初由訪問控制設(shè)備提供給存儲設(shè)備270并且隨后從存儲設(shè)備提供給存儲設(shè)備驅(qū)動器堆棧238而能夠被反向遞送到訪問控制設(shè)備擴展239。存儲設(shè)備驅(qū)動器堆棧238隨后能夠依據(jù)響應(yīng)550的接收而將它辨認為適合于訪問控制設(shè)備擴展239的響應(yīng)，并且它能夠?qū)⒃L問控制設(shè)備擴展引導至該響應(yīng)。如上所述，在一些實施例中，諸如響應(yīng)550之類的響應(yīng)能夠請求訪問控制設(shè)備擴展239將某些可能已被包括在響應(yīng)550中的數(shù)據(jù)轉(zhuǎn)發(fā)給授權(quán)計算設(shè)備310。在這樣的情況下，例如，訪問控制設(shè)備擴展239能夠請求在訪問計算設(shè)備210上運行的相關(guān)網(wǎng)絡(luò)處理與網(wǎng)絡(luò)接口 250 —起建立至授權(quán)計算設(shè)備310的通信連接，如利用請求560所指示的。訪問控制設(shè)備擴展239從而能夠提供數(shù)據(jù)給訪問控制設(shè)備170和授權(quán)計算設(shè)備310以及從訪問控制設(shè)備170和授權(quán)計算設(shè)備310提供數(shù)據(jù)，從而允許訪問控制設(shè)備和授權(quán)計算設(shè)備建立安全通信隧道320。轉(zhuǎn)到圖6，流程圖600提供諸如能夠由圖1的系統(tǒng)100中示出并在上面具體描述的示例供應(yīng)計算設(shè)備Iio執(zhí)行的訪問控制設(shè)備170的示例供應(yīng)的進一步說明。如從流程圖 600中能夠看出的，初始地，在步驟610，能夠啟動諸如訪問控制設(shè)備170之類的訪問控制設(shè)備的供應(yīng)。步驟610的供應(yīng)啟動可以是自動啟動，諸如響應(yīng)于通信地耦合至供應(yīng)計算設(shè)備的訪問控制設(shè)備的檢測，或者諸如通過能夠由在供應(yīng)計算設(shè)備上運行的一個或多個處理呈現(xiàn)的合適用戶界面，它可以是手動或用戶啟動的供應(yīng)。隨后，在步驟620，能夠作出有關(guān)是否被供應(yīng)的訪問控制設(shè)備將與授權(quán)計算設(shè)備一起進行利用或者是否它將在獨立基礎(chǔ)上執(zhí)行訪問控制決定的確定。如果在步驟620確定被供應(yīng)的訪問控制設(shè)備將不與授權(quán)計算設(shè)備一起使用，那么在步驟630，能夠為訪問控制設(shè)備供應(yīng)訪問控制信息，其中該訪問控制信息能夠包括諸如用戶、計算設(shè)備、存儲設(shè)備、存儲主機控制器或其組合之類的能夠被授予對訪問控制設(shè)備通信地耦合至的存儲設(shè)備的數(shù)據(jù)相關(guān)能力的訪問的那些實體的標識?？蛇x擇地， 如果在步驟620確定被供應(yīng)的訪問控制設(shè)備將與授權(quán)計算設(shè)備一起使用，那么在步驟640 能夠為訪問控制設(shè)備供應(yīng)包括訪問控制密碼信息的訪問控制信息，其中所述信息能夠允許訪問控制設(shè)備諸如以上面詳細描述的方式通過訪問計算設(shè)備與授權(quán)計算設(shè)備建立安全通信隧道。無論是在步驟630為獨立的訪問控制操作供應(yīng)訪問控制設(shè)備還是在步驟640為與授權(quán)計算設(shè)備進行的交互供應(yīng)訪問控制設(shè)備，在這兩種情況中，處理能夠繼續(xù)進行可選的
18步驟650，其中該步驟借助于虛邊界而被顯示為可選的，其中在該步驟中能夠為訪問控制設(shè)備供應(yīng)存儲相關(guān)的密碼信息，而密碼信息能夠由訪問控制設(shè)備通信地耦合至的存儲設(shè)備用于加密或解密所存儲的數(shù)據(jù)或?qū)⒈淮鎯υ诖鎯υO(shè)備上的數(shù)據(jù)。在一個實施例中，在步驟650 上存儲相關(guān)的密碼信息的供應(yīng)能夠為訪問控制設(shè)備供應(yīng)多組例如物理訪問控制，使得與訪問控制設(shè)備通信的每一個后續(xù)存儲設(shè)備能夠獲取下一個物理訪問控制并將其標記為在使用。以這樣的方式，單個訪問控制設(shè)備能夠被多個存儲設(shè)備共享或與之一起進行使用。如所示的，一旦存儲相關(guān)的密碼信息在步驟650可選地被供應(yīng)給訪問控制設(shè)備，相關(guān)處理能夠在步驟660結(jié)束。轉(zhuǎn)到圖7，顯示進一步說明諸如上面具體描述的示例的訪問計算設(shè)備210之類的訪問計算設(shè)備的示例操作的流程圖700。轉(zhuǎn)到流程圖700，初始地，如所示的，在步驟705，訪問計算設(shè)備能夠向訪問計算設(shè)備通信地耦合的存儲設(shè)備發(fā)出數(shù)據(jù)存儲相關(guān)的請求，諸如訪問請求。響應(yīng)于步驟705上這樣的數(shù)據(jù)存儲相關(guān)的請求，訪問計算設(shè)備能夠在步驟710接收指示正被訪問的存儲設(shè)備通信地耦合至訪問控制設(shè)備的錯誤。如果在步驟710沒有接收到這樣的錯誤，那么訪問計算設(shè)備能夠在步驟715開始以傳統(tǒng)方式使用該存儲設(shè)備。相關(guān)的處理隨后能夠在步驟760結(jié)束。如果在步驟710訪問計算設(shè)備接收到來自存儲設(shè)備的指示存儲設(shè)備通信地耦合到訪問控制設(shè)備的錯誤，那么訪問計算設(shè)備在步驟720能夠加載訪問控制設(shè)備擴展，并且如前所述，使用訪問控制設(shè)備擴展與訪問控制設(shè)備通信。在步驟725，能夠作出有關(guān)訪問控制設(shè)備是否正在請求信息的確定。如果訪問控制設(shè)備正在請求信息，那么在步驟730能夠提供被請求的信息。如前所述，如此請求的信息能夠包括訪問計算設(shè)備的身份、使用這樣的計算設(shè)備的用戶、訪問存儲設(shè)備的存儲主機控制器的身份以及存儲設(shè)備本身的身份。也如前所述，這樣的身份能夠諸如通過口令或其他的安全機制來驗證，并且在這樣的情況下，在步驟730提供的請求信息能夠包括那些口令或?qū)τ诳赡芤延稍L問控制設(shè)備在步驟725提供的質(zhì)詢進行的其他響應(yīng)。一旦在步驟730提供了請求的信息，則處理能夠返回到步驟725， 以等待來自訪問控制設(shè)備的進一步信息請求。如果在步驟725訪問控制設(shè)備沒有請求任何信息，那么處理能夠繼續(xù)至步驟735， 并且能夠確定訪問控制設(shè)備是否已請求至授權(quán)計算設(shè)備的連接。如果在步驟735這樣的連接沒有被請求，那么相關(guān)處理能夠在步驟760結(jié)束。然而，如果在步驟735這樣的連接被請求，那么在步驟740，請求計算設(shè)備能夠諸如以上面詳細描述的方式與授權(quán)計算設(shè)備建立連接。隨后，在步驟745，能夠由訪問計算設(shè)備執(zhí)行在訪問控制設(shè)備與授權(quán)計算設(shè)備之間的數(shù)據(jù)交換，也如上所述。在步驟750，能夠進行檢查，以確定訪問控制設(shè)備是否已請求結(jié)束與授權(quán)計算設(shè)備的連接。如果沒有提出這樣的請求，那么處理能夠返回到步驟745，并且能夠繼續(xù)在訪問控制設(shè)備與授權(quán)計算設(shè)備之間交換數(shù)據(jù)。然而，如果在步驟750訪問控制設(shè)備請求結(jié)束與授權(quán)計算設(shè)備的連接，那么在步驟755，該連接可以被結(jié)束并且相關(guān)處理能夠在步驟760結(jié)
束ο如從上面的描述中能夠明白的，已提供了能夠控制對存儲設(shè)備的訪問的訪問控制設(shè)備。鑒于在這里描述的主題的許多可能的變型，我們宣稱可能落入以下權(quán)利要求書及其等價物的范圍內(nèi)的所有這樣的實施例為我們的發(fā)明。
權(quán)利要求
1.一種訪問存儲在存儲設(shè)備(270)上的數(shù)據(jù)(295)的方法，其中所述存儲設(shè)備包括至包括訪問控制信息(176)的訪問控制設(shè)備(170)的通信連接，所述方法包括以下步驟從所述存儲設(shè)備(270)接收所述訪問控制設(shè)備(270)通信地連接到所述存儲設(shè)備 (270)的指示；通過所述存儲設(shè)備(270)，與所述訪問控制設(shè)備(170)建立通信連接；提供識別信息給所述訪問控制設(shè)備(270)；以及在所述訪問控制設(shè)備(270)至少部分地因為所提供的識別信息而允許所述存儲設(shè)備 (270)這樣做之后，接收對于數(shù)據(jù)存儲相關(guān)的請求的有意義響應(yīng)。
2.權(quán)利要求1的方法，其中所述存儲設(shè)備包括硬件密碼系統(tǒng)，并且所述訪問控制設(shè)備包括存儲相關(guān)的密碼信息；以及其中進一步，接收對于數(shù)據(jù)存儲相關(guān)的請求的有意義響應(yīng)發(fā)生在所述訪問控制設(shè)備給所述存儲設(shè)備的硬件密碼系統(tǒng)提供對于存儲相關(guān)的密碼信息的訪問之后。
3.權(quán)利要求1的方法，進一步包括從所述訪問控制設(shè)備接收驗證質(zhì)詢的步驟，其中提供識別信息給所述訪問控制設(shè)備包括給所述訪問控制設(shè)備提供對于所述驗證質(zhì)詢的驗證響應(yīng)。
4.權(quán)利要求1的方法，進一步包括以下步驟從所述訪問控制設(shè)備接收將被提供給在所述訪問控制設(shè)備外部的驗證計算設(shè)備的第 “'fn 息；與所述驗證計算設(shè)備建立通信連接；提供第一信息給所述驗證計算設(shè)備；從所述驗證計算設(shè)備接收將被提供給所述訪問控制設(shè)備的第二信息；以及提供第二信息給所述訪問控制設(shè)備。
5.權(quán)利要求4的方法，進一步包括以下步驟建立至網(wǎng)絡(luò)的通信連接，以及作為建立至網(wǎng)絡(luò)的通信連接的一部分，接收授權(quán)計算設(shè)備的網(wǎng)絡(luò)地址；其中與所述驗證計算設(shè)備建立通信連接包括利用接收到的所述授權(quán)計算設(shè)備的網(wǎng)絡(luò)地址，與所述驗證計算設(shè)備建立網(wǎng)絡(luò)通信連接。
6.權(quán)利要求4的方法，進一步包括以下步驟實施虛擬處理以充當所述驗證計算設(shè)備； 其中與所述驗證計算設(shè)備建立通信連接包括與虛擬處理建立通信連接。
7.一種或多種計算機可讀媒體，其具有用于執(zhí)行權(quán)利要求1的步驟的計算機可執(zhí)行指令。
8.一種訪問控制設(shè)備(170)，其物理地和通信地與存儲設(shè)備(270)可分離，所述訪問控制設(shè)備包括至少一個通信接口；至少一個處理單元(171)；以及由至少一個處理單元(171)可利用來選擇性地允許所述存儲設(shè)備(270)有意義響應(yīng)數(shù)據(jù)存儲相關(guān)的請求的訪問控制信息(176)。
9.權(quán)利要求8的訪問控制設(shè)備，進一步包括由所述存儲設(shè)備的硬件密碼系統(tǒng)可利用來解密由所述存儲設(shè)備存儲的加密數(shù)據(jù)的存儲相關(guān)的密碼信息；其中所述訪問控制信息進一步由至少一個處理單元可利用來選擇性地提供存儲相關(guān)的密碼信息給所述存儲設(shè)備。
10.權(quán)利要求9的訪問控制設(shè)備，其中所述存儲相關(guān)的密碼信息中的特定密碼信息由所述硬件密碼系統(tǒng)可利用來僅解密所述存儲設(shè)備的加密數(shù)據(jù)中的部分，所述部分對應(yīng)于個別用戶；其中所述訪問控制信息包括個別用戶的標識；并且其中進一步，如果所述至少一個處理單元從利用所述訪問控制信息所指定的個別用戶中的至少一些個別用戶接收到驗證，所述至少一個處理單元引起所述存儲相關(guān)的密碼信息中的至少一些特定密碼信息的供應(yīng)。
11.權(quán)利要求9的訪問控制設(shè)備，進一步包括由所述至少一個處理單元可執(zhí)行來擦除所述存儲相關(guān)的密碼信息的指令。
12.權(quán)利要求8的訪問控制設(shè)備，其中所述訪問控制信息包括一個或多個實體的一個或多個身份，其中對于所述一個或多個實體，所述處理單元將允許所述存儲設(shè)備有意義響應(yīng)來自所述一個或多個實體的數(shù)據(jù)存儲相關(guān)的請求。
13.權(quán)利要求8的訪問控制設(shè)備，其中所述至少一個處理單元執(zhí)行包括以下的步驟從實體接收身份信息和驗證信息；將接收到的身份信息與訪問控制信息相比較；如果接收到的身份信息被列在所述訪問控制信息中，將接收到的驗證信息與列在所述訪問控制信息中的相應(yīng)驗證信息相比較；以及如果接收到的驗證信息與列在所述訪問控制信息中的相應(yīng)驗證信息相匹配，則指示所述存儲設(shè)備通過執(zhí)行利用所述數(shù)據(jù)存儲相關(guān)的請求所請求的動作來有意義響應(yīng)所述數(shù)據(jù)存儲相關(guān)的請求。
14.權(quán)利要求8的訪問控制設(shè)備，其中所述訪問控制信息包括用于與所述訪問控制設(shè)備外部的授權(quán)計算設(shè)備建立安全通信隧道的訪問控制密碼信息。
15.權(quán)利要求14的訪問控制設(shè)備，其中所述至少一個處理單元執(zhí)行包括以下的步驟利用所述訪問控制密碼信息來與所述授權(quán)計算設(shè)備建立安全通信隧道；通過所述安全通信隧道，給所述授權(quán)計算設(shè)備提供有關(guān)與所述加密數(shù)據(jù)的嘗試訪問相關(guān)聯(lián)的實體的信息；通過所述安全通信隧道，從所述授權(quán)計算設(shè)備接收有關(guān)允許所述存儲設(shè)備有意義響應(yīng)所述數(shù)據(jù)存儲相關(guān)的請求的指示；和根據(jù)從所述授權(quán)計算設(shè)備接收到的指示，選擇性地允許所述存儲設(shè)備有意義響應(yīng)所述數(shù)據(jù)存儲相關(guān)的請求。
全文摘要
訪問控制設(shè)備能夠通信地耦合到存儲設(shè)備并且能夠控制對其的訪問。訪問控制設(shè)備能夠包括諸如授權(quán)實體的身份之類的信息，以允許訪問控制設(shè)備獨立地確定是否提供對相關(guān)聯(lián)存儲設(shè)備的訪問?？蛇x擇地，訪問控制設(shè)備可以包括用于建立至授權(quán)計算設(shè)備的安全連接的信息，并且訪問控制設(shè)備可以實施授權(quán)計算設(shè)備的決定。訪問控制設(shè)備可以通過指示存儲設(shè)備執(zhí)行特定的固件指令來阻止有意義響應(yīng)數(shù)據(jù)存儲相關(guān)的請求來控制訪問。訪問控制設(shè)備也可以包括由存儲設(shè)備利用來加密和解密數(shù)據(jù)的存儲相關(guān)的密碼信息。在這樣的情況下，訪問控制設(shè)備能夠通過不向存儲設(shè)備釋放存儲相關(guān)的密碼信息來控制訪問。
文檔編號G06F21/20GK102460458SQ201080027283
公開日2012年5月16日 申請日期2010年6月16日 優(yōu)先權(quán)日2009年6月17日
發(fā)明者寥內(nèi)蒂 C., R. 哈米爾頓 J., P. 奧拉里格 S., 薩多夫斯基 V. 申請人:微軟公司