移動風險評估的製作方法

2023-10-31 03:37:17

移動風險評估的製作方法
【專利摘要】在特定位置處識別至少一個可用無線接入點並且與可用無線接入點建立連接。在無線接入點上與可信端點嘗試通信並且在無線接入點上監測與可信端點的嘗試的通信來評估與無線接入點關聯的風險。在一些實例中，可以將評估的結果報告給接入點風險管理器並且可以至少部分基於所報告的評估結果來評估與未來嘗試使用無線接入點關聯的風險。
【專利說明】移動風險評估
[0001]本專利申請依據35 U.S.C.§ 120要求享有在2011年10月17日提交的標題為「移動風險評估(MOBILE RISK ASSESSMENT)」的美國臨時專利申請序列號61/548，194以及在2011年10月18日提交的標題為「移動風險評估(MOBILE RISK ASSESSMENT)」的美國臨時專利申請序列號61/548，224的優先權權益，通過引用將其每個的完整內容清楚併入本文。
【技術領域】
[0002]本公開一般而言涉及計算機安全領域，並且更特別地涉及移動計算裝置的安全。【背景技術】
[0003]網際網路允許遍及全世界不同的計算機網絡的互連。然而，有效保護並且維持穩定的計算機和系統的能力對於部件製造商、系統設計者、和網絡運營商提出重大的障礙。由於由惡意軟體作者開發的手法的持續演進系列，此障礙甚至更加複雜。此外，計算環境自身通過移動計算裝置的快速增長和普及而演進，移動計算裝置包含使用無線或移動通信網絡(例如，採用WiF1、WiMAX、3G、4G、CDMA、GSM、LTE和其它的)能夠連接到網際網路的智慧型電話、平板設備、膝上型設備。隨著移動或啟用無線的計算裝置的數量激增，計算機安全提供商嘗試開發程序和工具用於管理這些裝置上的安全並且使計算機安全服務適合於移動計算機裝置所具有的新的和演進的安全問題，包含基於網絡的威脅、行動作業系統和移動應用特定漏洞、等等。此外，移動計算裝置的快速部署也引進連接到無線和行動網路的新一代用戶，在一些情況下引進一部分裝置用戶的較低安全意識。
【專利附圖】

【附圖說明】
[0004]圖1是根據一個實施例的包含一個或多個移動計算裝置的示例通信系統的簡化示意圖；
圖2是根據一個實施例的包含示例移動風險評估引擎的示例系統的簡化框圖；
圖3是有危險的無線接入點的示例使用的表示；
圖4A-圖4D圖示根據至少一些實施例的評估無線接入點的示例；
圖5是根據至少一些實施例的多個無線接入點的評估的示意表示；
圖6是根據至少一些實施例的示例用戶接口的至少局部截屏的圖示；以及 圖7A-圖7B是圖示與系統的至少一些實施例關聯的示例操作的簡化流程圖。
[0005]在各種圖中相似參考標號和名稱指示相似元件。
【具體實施方式】
[0006]概沭
一般而言，在本說明書中描述的主題的一個方面可以實施在一種方法中，該方法包含以下動作:在特定位置處識別至少一個可用無線接入點，建立到可用無線接入點的連接，在無線接入點上嘗試與可信端點通信，以及在無線接入點上監測與可信端點的嘗試通信來評估與無線接入點關聯的風險。
[0007]另外，在另一個一般方面中，可以提供一種包含至少一個處理器裝置、至少一個存儲器元件、和無線接入點監視器的系統。當由處理器執行時，無線接入點監視器可以在特定位置處識別至少一個可用無線接入點，建立到可用無線接入點的連接，在無線接入點上嘗試與可信端點通信，以及在無線接入點上監測與可信端點的嘗試通信來評估與無線接入點關聯的風險。在一些實例中，無線接入點監視器的至少一部分可以實施在嘗試使用無線接入點的啟用無線的端點裝置中。
[0008]這些和其它實施例可以每個可選地包含以下特徵中的一個或多個。嘗試與可信端點通信可以包含嘗試與可信端點建立安全連接，並且建立安全連接可以包含從可信端點接收期望的信任驗證數據。不同於期望的信任驗證數據的數據的接收可以被假定為指示可用無線接入點是不可信的，指示與無線接入點關聯的更高風險。期望的信任驗證數據可以包含證書、哈希數據或令牌中的至少一個。期望的信任驗證數據可以在嘗試與可信端點建立安全連接之前確定。另外，確定期望的信任驗證數據可以包含在移動寬帶連接上從可信的來源接收期望的信任驗證數據。可信端點可以在嘗試與可信端點建立安全連接之前由可信的來源從多個可用的可信端點識別。為可用無線接入點評估的風險可以考慮在為接入可用無線接入點的特定端點裝置計算的整個風險簡檔中。
[0009]另外，實施例可以每個可選地包含以下特徵中的一個或多個。在建立到可用無線接入點的連接之前可以對於與無線接入點有關的先前存在的風險評估數據而查詢遠程安全資料庫。查詢可以包含在安全連接上將查詢請求發送到遠程安全工具，並且在安全連接上接收查詢結果。可以使風險狀態指示符呈現在端點裝置上，該風險狀態指示符指示與無線接入點關聯的風險的級別並且至少部分基於先前存在的風險評估數據。從嘗試的通信的監測評估的風險還可以基於先前存在的風險評估數據。可以在嘗試的通信的監測期間收集反饋數據，並且反饋數據可以被發送到遠程安全工具。與可用無線接入點關聯的風險可以至少部分由遠程安全工具來評估(例如，基於所接收的反饋數據)。另外，可以從可用無線接入點收集數據，並且評估與可用的接入點關聯的風險可以包含所收集的數據的評估。在一些實例中，所收集的數據可以被發送到遠程風險簡檔計算器，用於通過遠程風險簡檔計算器的可用無線接入點的風險評估。所收集的數據可以包含服務集標識符(SSID)、由無線接入點使用的數據描述加密、醒目頁面信息以及無線接入點密碼信息中的至少一個。可用無線接入點可以是多個可用無線接入點中的第一無線接入點並且可以對於多個可用無線接入點中的每個評估風險。連接到可用無線接入點的自動連接選項可以響應於對於可用無線接入點評估的風險而自動地禁止。可以連接到響應於對於可用無線接入點評估的風險而建立的VPN隧道。除了其它信息以外，可用無線接入點的風險評估數據還可以在所建立的VPN隧道上被通信到遠程安全工具。
[0010]一些或全部特徵可以是計算機實現的方法或還包含在用於執行此描述的功能性的相應系統或其它裝置中。在附圖和以下描述中闡述本公開的這些和其它特徵、方面和實現的細節。本公開的其它特徵、對象和優勢將從描述和圖以及從權利要求而變得明顯。
[0011]示例實施例
圖1是圖示包含能夠接入一個或多個核心網絡(例如，125)，至少部分有線網絡、網際網路等的多個端點計算裝置(例如，105、110、115、120)的計算系統100的示例實現的簡化框圖，包含機器(例如，網絡伺服器130、135)和在核心網絡125中託管的資源。例如，端點計算裝置可以在一個或多個無線接入網絡(例如，無線接入網絡140a、140b、140c、140d、145)上接入核心網絡125，該無線接入網絡包含利用各種無線網絡技術和協議的網絡，包含WiFi網絡、移動寬帶網絡(包含GSM、CDMA、3G、4G、LTE等)、WiMAX網絡、藍牙，以及其它的。在一些實例中，端點裝置105、110、115、120可以能夠在多個不同的無線通信環境中通信。例如，端點裝置可以適應於在移動寬帶網絡以及WiFi網絡兩者中通信。
[0012]在示例計算系統100中，端點計算裝置105、110、115、120可以使用能夠促進在對應無線接入網絡(例如，140a、140b、140c、140d、145)上的對核心網絡120的接入的特定無線接入點(例如，150、155、160、165)來在無線接入網絡(例如，140a、140b、140c、140d)上接入核心網絡125。無線接入點可以包含一個或多個裝置，這些裝置適應於在無線電信號上與一個或多個端點裝置無線通信並且將端點裝置連接到有線網絡連接、路由器或其它網絡元件或網絡。無線接入點150、155、160、165自身可以包含無線路由器、通用轉發器、WiFi陣列、無線網橋、無線乙太網適配器、移動接入點等。
[0013]通過用戶的家、工作地點、學校、零售店、餐廳、咖啡店、機場、社區等中的啟用無線的端點裝置的增長和無線接入點的類似擴張，正在引進新的計算機安全威脅和漏洞。在計算系統100的一些實現中，還可提供移動安全工具170來幫助促進啟用無線的端點裝置的安全。移動安全工具170可以包含一個或多個計算裝置和軟體模塊，包含使用通過移動安全工具170提供的安全功能性和服務的遠離和/或靠近端點裝置的裝置和軟體。在一些實例中，移動安全工具170可以在網絡連接(包含無線網絡)上與端點裝置通信。在一些實例中，這樣的連接可以被加密或以其它方式確保安全並且允許移動安全工具170上傳、發送、推送或以其它方式將安全信息和服務通信到客戶端端點裝置。在一些實例中，移動安全工具170可以與客戶端端點裝置交互並且接收數據(包含安全請求、裝置屬性數據、威脅數據、反饋數據、以及移動安全工具170可以使用的其它信息)，並且連同通過移動安全工具170提供的安全服務和功能性而響應到啟用無線的計算裝置(例如，105、110、115、120)。
[0014]一般而言，包含用來實現移動安全工具170的裝置的「伺服器」、「客戶端」和「計算裝置」可以包括適用於接收、傳送、處理、存儲或管理與軟體系統100關聯的數據和信息的電子計算裝置。如此文檔中所使用的，術語「計算機」、「計算裝置」、「處理器」或「處理裝置」預計包含任何合適的處理裝置。例如，可使用不同於伺服器的計算機(包含伺服器池)來實現系統100。另外,任何、所有、或一些計算裝置可適應於執行任何作業系統,包含Linux、UNIX、Windows Server等，以及適應於特定作業系統(包含定製和專有作業系統)的虛擬化執行的虛擬機。
[0015]伺服器、客戶端和計算裝置(例如，105、110、115、120、150、155、160、165、170)可以每個包含一個或多個處理器、計算機可讀存儲器和一個或多個接口，以及其它特徵和硬體。伺服器可以包含任何合適的軟體部件或模塊，或能夠託管和/或服務軟體應用或服務(例如，移動安全工具170的服務，其包含分布式、企業、或基於雲的軟體應用)的計算裝置。例如，伺服器可以配置為託管、服務或以其它方式管理網絡服務或應用，例如基於SOA的或企業網絡服務、或對接、協作、或依賴於其它企業服務的應用(包含注重安全的應用)。在一些實例中，包含移動安全工具170的伺服器、系統、子系統或計算裝置可以實現為可以託管在公共計算系統、伺服器、伺服器池、或雲計算環境和共享計算資源(包含共享存儲器、處理器和接口)上的伺服器的某個組合。
[0016]端點裝置105、110、115、120可以包含桌上型設備、膝上型設備、和平板計算裝置、以及其它計算裝置，例如，智慧型電話、個人數字助理、視頻遊戲控制臺、啟用網際網路的電視、以及能夠通過一個或多個無線技術和協議無線連接到至少部分有線網絡的其它裝置。端點裝置105、110、115、120的屬性可以在各個裝置之間有很大區別，包含加載、安裝、執行、操作或以其它方式可訪問裝置的作業系統和軟體程序集合。裝置的一組程序可以包含作業系統、應用、插件、支程序、虛擬機、機器圖像、驅動器、可執行文件和能夠被相應裝置(例如，105、110、115、120)運行、執行或以其它方式使用的其它基於軟體的程序。其它裝置屬性還可包含連接或以其它方式可訪問裝置的外圍裝置，以及裝置適用於的網絡技術的類型。
[0017]每個端點裝置可以包含允許用戶查看並且與應用以及在系統100中提供的其它程序的圖形用戶接口交互的至少一個圖形顯示裝置和用戶接口。一般而言，端點裝置可以包含適用於接收、傳送、處理、並且存儲與圖1的軟體環境關聯的任何適當數據的任何電子計算裝置。將理解，可能存在與系統100關聯的任何數量的端點裝置，以及在系統100外部的任何數量的端點裝置。另外，術語「客戶端」、「端點裝置」、和「用戶」可合適地互換使用而不背離本公開的範圍。此外，雖然每個端點裝置可在由一個用戶使用方面來描述，但是本公開預期許多用戶可使用一個計算機或一個用戶可使用多個計算機。
[0018]雖然圖1描述為包含或關聯於多個元件，但並不是在圖1的系統100內圖示的所有元件可用在本公開的每個備選實現中。此外，本文描述的元件中的一個或多個可位於系統100的外部，而在其它實例中，某些元件可包含於處於其它描述的元件以及未在圖示的實現中描述的其它元件中的一個或多個中或作為其一部分。另外，在圖1中圖示的某些元件可與其它部件組合，並且用於本文描述的那些目的以外的備選或附加的目的。
[0019]轉到圖2，簡化框圖200示出包含移動安全工具205的示例實現的示例系統。在圖2中，示出移動安全工具205處於包含至少一個移動端點裝置210的計算環境內，該移動端點裝置210適應於經由一個或多個無線接入網絡140、145而接入一個或多個至少部分有線網絡125 (包含核心網絡，例如網際網路或LAN)，其包含出現在網絡125上的其它計算裝置(例如，網絡伺服器215)。
[0020]啟用無線的端點裝置210可以包含一個或多個處理器218和存儲器元件220，用來執行存儲、下載或以其它方式可訪問裝置210的軟體。在一些實例中，端點裝置210還可以包含移動無線適配器222、無線適配器225、作業系統228、各種程序、應用、和其它軟體(包含實現客戶端安全工具230的軟體)。無線適配器222可以包含實現能夠將端點裝置210連接到一個或多個無線、基於無線電的通信網絡(例如，基於WiFi的網絡(例如，IEEE802.11)、藍牙網絡、WiMAX網絡等)的無線網絡接口控制器的軟體和硬體部件。此外，在一些實現中，端點裝置210還可以包含移動無線適配器225，其允許端點裝置連接到無線、基於無線電的移動寬帶網絡(例如，使用蜂窩電話連網基礎結構等來實現，包含採用GSM、CDMA,3G、4G、LTE以及其它技術和協議的行動網路)。適配器222、225可以包含天線和其它硬體，用於傳送和接收到和來自接入網絡140中的無線接入網絡元件(特別是無線接入點(例如，232,234))的無線電信號。
[0021]移動安全工具205還可包含一個或多個處理器裝置238以及存儲器元件240。移動安全工具205可以包含移動風險評估器235，其適應於計算啟用無線的端點裝置(例如，210，包含配置在移動接入網絡上通信的端點裝置)的風險。移動安全工具205可以與一個或多個啟用無線的端點裝置(例如，210)交互以及執行一個或多個計算機風險評估任務(其有助於特定端點裝置的暴露風險的計算)。例如，移動安全工具205 (例如，使用移動風險評估器235)可以與客戶端安全工具230交互來協調在端點裝置210處的數據的收集以用於移動風險評估器235的評估。實際上，移動風險評估器235可以包含裝置協調器255，其適應於利用移動風險評估器235提供的風險評估服務來識別和與端點裝置210通信。在一些實例中，移動風險評估器235可以為多個或一組啟用無線的端點裝置提供風險評估服務，例如，基於計算機風險評估服務的提供商與裝置擁有者、管理者、運營商、網際網路或移動服務提供商、裝置製造商、和/或與特定啟用無線的計算裝置關聯的其它實體之間的協定或合約。
[0022]移動風險評估器235可以基於各種因素和輸入來計算暴露於特定端點裝置的風險。實際上，可以為特定端點計算不同類型的風險和風險場景，包含動態地改變的風險。風險可以在無線端點裝置210上動態地改變(特別是隨著它們從一個物理、網絡、或計算環境遷移到另一個，假定它們的便攜特性)。例如，風險計算模塊260可用來計算計算機風險，包含暴露於特定端點裝置的多種類型的風險。
[0023]作為示例，可以例如通過描述裝置210的屬性的端點裝置210的安全掃描，例如，使用客戶端安全工具230的數據收集引擎242以及連同該裝置使用的其它數據收集設施來從端點裝置210收集數據。例如，特定作業系統(例如，228)、對應於作業系統228的補丁和更新、以及連同作業系統228操作的其它程序和應用(包含「移動應用」)可以連同與執行、安裝、或接入在端點裝置210上的作業系統228和其它程序有關的信息一起被檢測。這樣的信息可以由移動客戶端裝置210與移動安全工具205例如在至少部分安全網絡連接上共享或通信，從而為移動風險評估器235提供數據來用於確定端點裝置210的一個或多個風險簡檔。例如，繼續本示例，可以例如，通過發現作業系統的最新一組更新和/或補丁，通過確定作業系統的理想版本或更新並且比較這些與在端點裝置上實際安裝的，或通過識別特定作業系統安裝的已知漏洞等來評估端點裝置(例如，210)的作業系統的屬性，例如在作業系統上安裝的補丁或更新。在一些實例中，從端點裝置210收集(例如，由數據收集引擎242收集)的數據可以描述作業系統屬性，它們是過期的、易受到安全威脅的、或以其它方式次優的和將端點裝置暴露於特定已知安全威脅、定義端點裝置的漏洞。
[0024]取決於具有特定識別的一組屬性(或漏洞)的裝置要遇到的識別的安全風險或漏洞的嚴重性以及(由移動風險評估器235)確定的威脅的嚴重性，風險計算模塊260可以確定端點裝置210的風險簡檔。風險簡檔可以屬於端點裝置的功能性的特定子系統或類別，或表示端點裝置所面臨的合計風險。這樣的風險評估計算和結果的至少一部分可以被通信到端點裝置210並且可由端點裝置210或在端點裝置上執行的程序(例如，客戶端安全工具230的報告引擎245)表達來向負責補救裝置所面臨的威脅和漏洞的用戶或管理者提出並且通信風險評估分數、簡檔或其它結果。在一些實例中，使用移動風險評估器235生成的風險評估結果可以被通信到第三方裝置，例如由IT職員使用的管理者系統和負責管理特定裝置或裝置的子集的安全和風險的其它管理者。
[0025]客戶端安全工具230和移動安全工具205可以交互並且合作操作來實現用於評估端點裝置210的風險的一個或多個安全任務。這樣的任務可以包含計算機風險和威脅的檢測、以及用於解決和減輕所檢測的風險的對策的識別和發動。潛在威脅啟用無線的端點裝置(例如，210)的多個安全風險包含不安全網絡連接、惡意軟體、病毒、未授權接入、身份和數據竊取、以及許多其它威脅。另外，啟用無線的裝置所面臨的一些安全風險可以特定於在無線網絡環境(包含無線接入網絡(例如，140、145))內通信的裝置。例如，利用WiFi熱點和其它無線接入網絡的保護，惡意無線接入點已經成為不道德的用戶感染、釣魚或以其它方式損害充分不幸地在惡意無線接入點上嘗試接入網絡(例如，網際網路)的啟用無線的端點裝置的流行工具。
[0026]在一些實現中，移動安全工具205的移動風險評估器235可以包含接入點風險管理器265，其適應於幫助識別並且評估涉及一個或多個啟用無線的端點裝置(例如，210)能夠接入的無線接入點(例如，232、234)時的風險。接入點風險管理器265可以包含一個或多個模塊來提供評估特定無線接入點(例如，232、234)的風險的功能性。例如，接入點風險管理器265可以包含查詢引擎275、接入點記錄管理器278、接入點評估模塊280、證書管理器281、隧道代理282以及其它模塊及其組合。在一些實現中，接入點風險管理器265可以與接入點協調器250 (例如，其包含於客戶端安全工具230)交互並且合作操作。示例接入點協調器250可以在特定啟用無線的端點裝置(例如，210)本地操作，並且包含由模塊(例如，接入點監視器270、接入點風險避免模塊272、以及其它模塊和實現)提供的功能性。
[0027]客戶端安全工具230的接入點協調器250可用於監測並且收集關於特定端點裝置與一個或多個無線接入點(例如，232、234)的交互的數據。例如，無線端點裝置(例如，210)可以通過從對應無線接入點(例如，232、234)接收信號來檢測特定無線接入網絡(例如，140a-b)的可用性。當在給定位置內識別到無線接入點時，接入點協調器250可以與無線接入點通信(例如，使用接入點監視器270)並且甚至在無線接入點上嘗試連接到有線網絡125上的伺服器215以便收集與所發現的無線接入點有關的數據。接入點監視器270可以使從各種無線接入點(例如，232、234)收集的數據被轉發到移動安全工具205，例如，用於由接入點風險管理器265處理和評估。
[0028]接入點風險管理器265可以接收由在多個不同的啟用無線的端點裝置(例如，210)上操作的接入點協調器收集的數據，其描述多個不同的無線接入點(例如，232、234)的屬性和行為。從接收自接入點協調器250 (例如，由接入點監視器270收集)的數據，接入點風險管理器265可以利用接入點記錄管理器278來建立描述並記載由端點裝置(例如，210)發現的無線接入點的屬性的數據記錄(例如，無線接入點(WAP)記錄288)。
[0029]由接入點監視器270收集的數據可以描述特定無線接入點的屬性或行為，它可用作預測性確定特定無線接入點是有危險的、有風險的、或惡意的接入點(換句話說，操作為、好像操作為、或容易操作為執行針對端點裝置的惡意動作的機制的無線接入點)的基礎。類似地，由記載特定無線接入點的一個或多個遇到的接入點監視器270收集的數據還可用於預測性確定特定無線接入點是相當安全的、可靠的、合法的或以其它方式可靠的接入點。
[0030]在一些實例中，可以在端點裝置210自身處、在移動安全工具205處(例如，使用接入點評估模塊280)、或在端點裝置210和移動安全工具205的組合處執行評估由一個或多個端點裝置收集的數據來確定特定無線接入點的風險簡檔。另外，為特定無線接入點確定的風險簡檔不需要是二元的(即，風險或安全)。實際上，在一些實現中，取決於為特定無線接入點收集的數據、以及收集的數據的量(即，來自若干監測實例)、以及收集的數據的一致性，可以更精確地為特定無線接入點的風險簡檔例如從「確認的惡意」到「確認的安全」連續地評級或評分。
[0031]在一些實現中，客戶端安全工具230 (使用接入點協調器250)和移動風險評估器235 (例如，使用接入點風險管理器265)可以協調來執行與特定無線接入點的精心設計的交互以便從特定無線接入點收集數據並且評估特定無線接入點的安全性。例如，端點裝置210可以使用無線適配器222來識別特定無線接入點。為建立受控環境來執行針對無線接入點的檢查，客戶端安全工具230可以與(在一些情況下，遠程的)接入點風險管理器265協調來識別核心網絡125上的可信的伺服器或端點。例如，可信的伺服器或端點可以是受控於例如移動安全工具205、或移動安全工具205的運營商的裝置，特定安全令牌、密鑰、證書等對於它們而言是已知的，以便識別不道德的行為者是否正在利用測試的無線接入點來例如使用無線接入點(例如，使用中間人攻擊)而攻擊或損害端點裝置。另外，可以對於可信的伺服器例如使用證書管理器281來管理證書、令牌、哈希函數、加密密鑰等。
[0032]在測試中的特定無線接入點上嘗試與可信的伺服器建立通信時，客戶端安全工具230 (例如，使用接入點監視器270)可以監測所測試的無線接入點的行為。客戶端安全工具230可以將所收集的數據報告給移動風險評估器235。在一些實例中，接入點監視器270可以包含邏輯來識別特定無線接入點可能是惡意的或有危險的，並且接入點監視器270的評估可以由移動安全工具205通信並且記錄。在其它實例中，接入點風險管理器265可以利用由客戶端安全工具230報告的數據來評估(例如，使用接入點評估模塊280)所測試的無線接入點的安全或確認安全工具230的評估。另外，在一些實例中，接入點風險管理器265可以利用從特定所測試的無線接入點的多個遇到報告的數據來達到無線接入點的安全的特定確定或評估。
[0033]在一些示例實現中，移動安全工具205可以幫助保證參加特定無線接入點的監測或評估的移動客戶端裝置210免受由惡意無線接入點提出的潛在威脅。除了協調用於評估無線接入點的受控環境以外(例如，使用可信的伺服器來在無線接入點上建立初始通信)，移動安全工具205還可用於幫助使移動客戶端裝置210免受威脅。例如，如果確定特定無線接入點是有危險的，則移動安全工具205可以例如通過使用隧道代理282而幫助在端點裝置210所使用的有危險的無線接入點上協調並且建立安全VPN隧道。通過VPN隧道的使用，儘管端點裝置210可以利用有危險、或惡意的無線接入點的無線接入網絡，但仍然享受安全級別。此外，還可為端點裝置210的使用而建立VPN隧道用於與移動安全工具205通信。例如，惡意無線接入點會熱衷阻止或變更在接入點上攔截的來自移動客戶端裝置(它嘗試將接入點的惡意狀態通信到移動安全工具205)的數據。因此，關於特定無線接入點(包含可信的無線接入點)的狀態和行為的這樣的數據的通信可以被加密，例如，通過使用VPN隧道或通過使用不同的無線接入網絡(包含確定為比其它可用的無線接入網絡更安全或可信的無線移動接入網絡)。
[0034]除了促進安全通信信道以外(例如，通過參加的端點裝置所使用的VPN連接的建立連同特定無線接入點的特定安全或風險評估)，移動安全工具205和移動客戶端裝置210還可基於特定無線接入點的評估來調整其它動作和功能性。例如，在一些實現中，由移動安全工具205 (它記載各種無線接入點(例如，232、234)以前的遇到)維持的記錄288可用來執行特定無線接入點的預評估查詢。作為說明性的示例，端點裝置210可以檢測第一無線接入點232並且將數據(例如，無線接入點232的檢測的SSID或其它標識符，以及在一些情況下的對應於無線接入點232和/或端點裝置210的地理位置的地理位置數據)發送到識別無線接入點232的移動安全工具205。從識別無線接入點232的數據，接入點風險管理器265可以執行WAP記錄288的查詢(例如，使用查詢引擎275)來確定對於所識別的無線接入點232是否存在以前收集的數據以及以前收集的數據是否指示無線接入點232可能是可靠的。然後可以將查詢的結果轉發到端點裝置210。另外，基於查詢結果，端點裝置可以執行對應動作，例如，連接到無線接入點232而不檢查無線接入點232 (例如，基於指示無線接入點232可能是可靠的查詢結果)，嘗試評估(例如，如上所述利用與移動安全工具205的合作和協調)無線接入點的安全(例如，當查詢結果指示對於無線接入點沒有生成記錄或當關於無線接入點232的可信度存在一些疑問時)，阻止端點裝置232連接到無線接入點232的能力(當查詢結果指示無線接入點很可能是惡意接入點時)，以及其它示例。實際上，在一些實例中，移動安全工具205可以評估WAP記錄288的查詢的結果並且將關於端點裝置210應該關於所檢測的無線接入點232而採取的動作的建議或指令發送到端點裝置210。
[0035]通過各種無線接入點的評估所收集的數據、以及端點裝置與特定無線接入點的交互可以在給定裝置的風險暴露或安全的更廣義評估中考慮。例如，從端點裝置210收集的數據(例如，使用數據收集引擎242)可以由移動安全工具205共享並且維持(例如，在裝置記錄290中)。除了其它裝置特定數據以外，還可以考慮從端點裝置210收集的描述裝置的屬性的數據(包含端點裝置與特定、已知無線接入點的交互)，來生成整個裝置的合計風險評估(例如，使用風險計算模塊260)。例如，可以由客戶端安全工具230通過裝置的掃描來收集這樣的數據。在一些實例中，客戶端安全工具(以及移動安全工具205 )可以是適應於支持各種不同的移動操作環境(包含 RIM Blackberry (QJMX)、Google AndroicUApple iOS、Microsoft Windows Phone、Nokia Symbian OS、以及其它)的容器。在一些不例中，客戶端安全工具230可以實現為從可信的站點下載或經由應用商店(例如，Android市場或iTunes)發布的應用。客戶端安全工具230 (例如，使用數據收集引擎242)可以掃描裝置。掃描可以包含包括密鑰庫的完整性檢查，在端點裝置內以及基於無線接入點的聲譽信息的文件/改變控制或可信的代碼執行，認證方法、安全連接協議、加密方法、以及與裝置風險或漏洞評估有關的其它安全任務的弱點。
[0036]由客戶端安全工具230收集的數據可在裝置的風險評估中使用。例如，這樣的評估還可以確定特定端點裝置(或一組端點裝置)是否、何處和/或如何處於風險。除了暴露於有危險的無線接入點以外，啟用無線的裝置的風險可以考慮許多其它來源，包含網絡威脅、作業系統(例如228)或專用漏洞、不足的數據加密、不安全連接、釣魚網站等等。此外，例如，風險計算模塊260可以在其它端點裝置、多端點系統、各類特定端點裝置以及其它示例的風險評估中使用裝置記錄290，它記載在某些狀況下的具有某些屬性的某些裝置的各種威脅和風險。此外，特定端點裝置的風險評估還可包含端點裝置上出現的或可用的可能對策的考慮和因素。在一些情況下，有關的對策的存在可用在端點裝置的風險分數的計算中。另外，客戶端安全工具230 (與移動安全工具205合作)還可用於補救在端點裝置上所檢測的其它威脅和漏洞，包含目標對策的引進、惡意軟體移除、軟體更新、以及其它工具和動作。
[0037]轉到圖3，框圖300示為圖示有危險的無線接入點310的示例惡意使用。例如，圖示示例中間人攻擊。示例端點裝置305可以在無線接入網絡308上與示例無線接入點310通信來接入由核心網絡312上的示例伺服器315提供服務的資源和/或服務。在圖3的特定示例中，端點裝置305可嘗試參加與伺服器315的交易，其包括在已經與伺服器315建立安全會話(例如，使用安全套接層(SSL)保護)的理想前提下在無線接入點310上發送敏感數據(例如信用卡信息)。因此，端點裝置305可以期望來自伺服器315的證書或一些其它令牌來建立安全會話。惡意計算裝置320可以控制或以其它方式使用無線接入點310來窺探無線接入點310上的業務。實際上，惡意裝置320可以攔截並且檢測來自端點裝置305的請求322，其請求與伺服器315的安全連接。另外，代替發送從伺服器315發出的證書325，惡意裝置320可以發送其自己的替代證書330並且通過與端點裝置305建立安全會話來模仿伺服器315並且哄騙裝置305的用戶來自信地在安全連接上共享敏感個人數據。惡意裝置320可以攔截通信(例如，335)傳送這樣的數據(以及在一些情況下到伺服器315的代理數據以使不引起裝置305的用戶的懷疑)並且竊取包含在敏感數據335中的信息用於其它潛在的違法行為。
[0038]圖4A-圖4D圖示根據至少一些實施例的評估無線接入點的示例。實際上，在圖4A-圖4D的示例中描述的示例方式和技術可用於減輕攻擊(例如，在圖3的示例中描述的示例攻擊)。在圖4A中，流程圖400a示為圖示涉及端點裝置402、無線接入點310、惡意裝置320、接入點監視器420、和可信的伺服器裝置405的示例通信。端點裝置402(例如，訂購、使用、或以其它方式適應於消費由一個或多個安全工具提供的安全服務的端點裝置402)可以檢測特定無線接入點310並且嘗試使用無線接入點310以便評估無線接入點310的安全。端點裝置的與無線接入點310的交互可以類似於無線接入點310的任何其它典型端點裝置使用來進行，例如，以使不告警無線接入點310或與無線接入點310 —起操作的裝置(例如，320)關於無線接入點310的安全正在被分析和評估。例如，端點裝置402可以將請求發送特定伺服器(伺服器405)，並且嘗試與特定伺服器405建立安全連接。
[0039]在使用無線接入點310進行其它通信之前，基於作為可信的器具的伺服器的預識另IJ，端點裝置402 (連同無線接入點310的評估)可以與伺服器405有意地交互。此外，與可信的伺服器405的交互可以被預先精心設計以便在至少某種程度的受控環境中接入無線接入點310的風險。例如，在端點裝置402嘗試發起與可信的伺服器405的安全會話之前，將由可信的伺服器405發送的特定證書、令牌、加密密鑰、數字籤名、水印和其它數據連同與端點裝置402的安全連接的建立可以預先協商、預先接入、高速緩存、或以其它方式使端點裝置402已知。實際上，在一些實例中，可信的伺服器405可以在與端點裝置402關聯的移動安全工具(例如，圖2的205)控制之下，或甚至由其託管。
[0040]因此，端點裝置402可以發送請求來在無線接入點310上與可信的伺服器405建立安全連接，在此情況下期望可信的伺服器405返回特定安全證書410，例如基於與可信的伺服器405的關係或熟悉度。繼續圖4A的示例，利用有危險的無線接入點310的惡意裝置320可以攔截期望的證書410，並且惡意裝置320可以嘗試用其自己的證書330來替代期望的證書410以便哄騙端點裝置402來與惡意裝置建立安全連接並且在惡意裝置320上錯誤地路由安全業務(例如，如在圖3的示例中)。然而，在圖4A的示例中，代替期望的證書410的由端點裝置402的證書330的接收可以提示端點裝置懷疑無線接入點310是惡意接入點或已經以其它方式被損害。因此，端點裝置402可以將其發現報告415到接入點風險管理器265以便用於登記可能的有危險的或惡意的接入點的發生率。這樣的報告或反饋數據可以在安全連接425 (例如，VPN隧道或移動寬帶連接)上被通信到接入點風險管理器265。除了端點裝置可以搜集並且通信到接入點風險管理器265的報告和反饋數據外，端點裝置402還可以通信無線接入點310的身份(例如，SSID或其它標識符)、提示的報告415的行為或特性的類型、檢測無線接入點310接近的地理位置、無線接入點是否利用加密以及使用什麼類型的加密、是否需要密碼、是否在與接入點連接時生成並且接收醒目頁面，以及描述有關的無線接入點的屬性和行為的其它數據。
[0041]轉到圖4B的示例，在一個實現中，例如在圖4A的示例中，對特定無線接入點310的一部分的可疑的或不可信的行為的發現可以使對策得以制定來保護受影響的端點裝置並且抵消由無線接入點310提出的威脅。例如，如以上所描述的，確定特定無線接入點310是不可信的、惡意的或以其它方式有危險的可以觸發對策，包含在特定有危險的無線接入點310上的後續通信435中建立430 VPN隧道以便由端點裝置使用。實際上，在一些實例中，可以至少部分通過與可信的伺服器405 (和/或接入點風險管理器265)的通信來建立430 VPN隧道。通過有危險的無線接入點310的隧道可提供特別的情況，例如當在給定時間沒有其它無線接入點對於特定端點裝置402可用時。在其它實例中，可以提供其它對策，例如阻止特定有危險的無線接入點，禁止自動連接到確定具有較低可信度的無線接入點、或自動連接到確定為較少風險的備選無線接入點。
[0042]現在轉到圖4C的示例，在某些實例中，可以評估使用特定無線接入點的固有風險來確定無線接入點可能是安全的、合法的或以其它方式可信的。事先，端點裝置402可沒有意識到特定無線接入點的可信聲譽，並且端點可接近無線接入點的評估(好像它會是任何其它)。例如，端點裝置可以通過預演與可信的伺服器405的安全連接的建立來嘗試評估無線接入點438。這樣的評估可以如在圖4A的示例中進行，然而，在此示例中，期望的證書410從可信的伺服器405返回到端點裝置402，向端點裝置402指示無線接入點435可能不是惡意或有危險的接入點。實際上，如在圖4A的示例中那樣，在圖4C的示例中，端點裝置402可以將其關於無線接入點438的發現報告給接入點風險管理器265，例如，由接入點風險管理器265用於幫助特定無線接入點438未來遇到的評估(例如在以下圖5的示例中更詳細地描述的)。
[0043]轉到圖4D，在一些實現中，可確定在可靠地確定特定無線接入點是安全或可信之前，為特定無線接入點(例如在圖4C的示例中)的評估返回單個「乾淨」結果是不夠的。例如，在圖4D的示例中，更複雜的無線接入點460 (或連同無線接入點460執行的惡意裝置465或惡意裝置465的用戶)可以預料到在發送惡意裝置465實際感興趣捕捉的「實況」數據之前一些端點裝置將用「測試」連接嘗試來評估無線接入點的可信度。這樣的情報可由惡意裝置465 (或用戶)收集，例如，基於與這樣的系統的以前的經驗或對系統的其它熟悉度。因此，惡意裝置465可等待發起中間人攻擊或其它攻擊，直至端點裝置與無線接入點460的連接成熟。例如，惡意裝置可允許一個或多個首先嘗試來建立特定安全連接以無幹預進行，以便欺騙端點裝置和/或接入點風險管理器假定無線接入點460是安全的。實際上，如在圖4D的示例中示出的，初始反饋數據445可以從端點裝置402報告到接入點風險管理器265，它報告期望的證書410從可信的伺服器405返回而沒有事故。
[0044]繼續圖4D的示例，惡意裝置465可以嘗試釣魚端點裝置402參加的其它安全通信，假定將不監測這樣的嘗試。例如，代替返回伺服器B 470的合法證書450，惡意裝置465可以嘗試模仿伺服器B 470並且用其自己的證書330來代替證書450。然而，這樣的嘗試還可通過使用端點裝置402和接入點風險管理器265來處理。例如，代替每次評估特定無線接入點460的可信度，端點裝置(連同接入點風險管理器265)可以在無線接入點460的端點402使用期間作出無線接入點460的多個周期性評估。例如，可以響應於以及先於端點裝置在網絡312上在實況(非評估有關的)交易中建立安全連接的嘗試來發起新的風險評估。另外，在這多個風險評估期間可以採用多個不同的可信伺服器，以使惡意裝置465不識別與相同的可信的伺服器的重複通信並且預料風險評估嘗試。例如，伺服器B 470可以是風險評估系統利用的可信的伺服器的第二實例。實際上，在一些實例中，風險評估系統可以採用技術來動態地並且隨機地交替採用的特定可信的伺服器，動態地改變可信的伺服器的識別、地址、或名稱，開發與第三方伺服器(例如，電子商務平臺，可用其預料實況交易)的可信關係，採用技術(例如，殭屍系統所使用的技術)來使可信的伺服器的身份不可預測，以及其它示例。因此，可以檢測並且減輕惡意裝置465在有危險的無線接入點460上對參加的端點裝置402幹預或發起攻擊的拒絕的嘗試。另外，接入點風險管理器265可以報告並且維持用於描述無線接入點460的這樣的行為和特性的反饋數據455。
[0045]在例如上述那些的無線接入點評估技術內還可採用其它技術。利用有危險的無線接入點的更複雜的惡意裝置可以識別並且預料、並且躲避使用其它技術的無線接入點風險評估。例如，惡意裝置能夠追蹤並且識別在與可信的伺服器的精心設計的交換連同風險評估中使用的再生的證書或令牌。在一些實現中，為防止無線接入點評估的檢測，用來建立在端點裝置402與可信的伺服器405之間交換的數據的持續可靠性的證書、令牌、籤名等的數值或類型可以自身動態地改變以便不具有重複值。例如，與對特定無線接入點的風險評估的發動一起，端點裝置402可以(例如，採用接入點風險管理器265)協調將在評估以及特定期望的證書(或其它令牌等，它們應該是從可信的伺服器期望的)中使用的特定可信的伺服器的身份和地址。以此方式，可以不斷地改變可信的伺服器的身份和證書特性兩者以便隱藏其參與特定無線接入點的風險評估。例如，與遠程接入點風險管理器265或其它協調工具的這樣的協調可以出現在不包括將評估的無線接入點的連接上。例如，可以在無線寬帶信道或其它安全連接上完成特定無線接入點的風險評估的協調。另外，雖然特定無線接入點的端點的接入可以是沒有即時移動寬帶或其它連接性的端點的結果，但可以預先協調風險評估的協調，例如，當這樣的備選接入網絡可用時。另外，在這樣的協調不可能的情況下(例如，由於到安全信道的連通性、或在預先協調的可信的伺服器處的失敗)，在一些實現中，可基於無線接入網絡的可信度可能不是可靠評估的確定而自動地拒絕對特定無線接入網絡的接入。
[0046]雖然圖3、圖4A-圖4D的示例著重於中間人類型攻擊並且基於不期望的證書、令牌、或其它數據的接收來識別惡意接入點，但是應該意識到這些示例是提供來圖示在一些情況下的更一般原理的非限制性示例。例如，除了基於不期望的證書的接收來評估無線接入點風險以外，可以基於在無線接入點上的通信中識別的不一致(例如，不期望的加密類型、不期望的醒目頁面數據、不期望的密碼要求、以及其它示例)來識別特定無線接入點的風險。另外，還可考慮用來評估無線接入點的風險準確的置信度或數據集的完整性。例如，如果描述無線接入點的數據集自身不完整、或風險評估的結果不確定，則評估的可靠性可能沒有可信度並且可能暫停可用於減輕與無線接入點關聯的風險的動作。[0047]轉到圖5，框圖500示為圖示示例移動安全工具510與一個或多個啟用無線的端點計算裝置505的示例交互(用來在一個或多個無線接入點515、520處評估風險)。無線接入點(例如，515)中的一個或多個可以是惡意無線接入點515，例如，由惡意裝置(例如，535)釣魚或窺探在無線接入點上發送的數據。
[0048]在一個示例中，啟用無線的端點裝置505可以識別特定位置內的多個無線接入點並且發起每個接入點的風險評估。例如，端點裝置505可以首先評估無線接入點515並且通過將識別第一無線接入點515的數據發送到移動安全工具510來開始評估。數據可以包含標識符數據，例如無線接入點515的SSID以及其它信息。例如，在一些實現中，SSID可以跨多個無線接入點再用，例如指派給不受約束的無線接入點的默認或通用SSID。此外，在一些無線接入點中，SSID可以改變，並且備選識別數據可用於識別無線接入點。作為示例，其它標識符數據以及描述無線接入點的屬性的數據可以被識別並且包含在發送到移動安全工具510的數據中，例如對應於無線接入點的位置的地理位置數據、接入無線接入點的一天中的時間、由無線接入點使用的醒目頁面數據、由無線接入點使用的登錄或握手協議、由無線接入點使用的加密方法等。除以上以外或代替以上，還可使用各種其它數據來識別特定無線接入點，例如包含接入點的通信信道、BSSID、供應商、支持的數據率、類型(例如，管理的、未管理的等)、密鑰等等。
[0049]移動安全工具510可以利用第一無線接入點515的識別來從由端點裝置505提供的數據執行針對無線接入點評估記錄288的全集的查詢540和/或從其它數據(例如，存儲在一個或多個存儲器元件或數據結構(例如，285)(例如資料庫、數據對象、和文件系統等)中)來識別以前是否曾使用端點裝置505或一些其它端點裝置來評估第一無線接入點515、以及風險評估的結果是什麼。例如，可以在安全連接或通信信道上(包含在無線移動寬帶網絡145上的通信)將查詢結果545返回到端點裝置505，以在端點裝置505連接到無線接入點515之前向端點裝置505提供關於無線接入點515的情報。查詢結果545可以識別在無線接入點515的以前的風險評估中收集的數據，允許端點裝置處理數據並且確定無線接入點515的風險。在其它示例中，移動安全工具510可以連同WAP記錄288的查詢來確定或識別無線接入點515的風險分數或初步風險評估並且向端點裝置505提供初步風險評估。
[0050]此外，由端點裝置識別的每個無線接入點(例如，515、520)可以被識別並且通信到移動安全工具來觸發WAP記錄288的相應查詢540。例如，除了發送關於無線接入點515所遇到的數據538以外，端點裝置505還可發送識別無線接入點520的數據538。因此，查詢結果545可以返回用於被端點裝置505檢測並且可用的多個不同的無線接入點(例如，515、520)。在一些實例中，查詢數據545可用於識別遇到的無線接入點505的相對安全或可信度。在一些實例中，查詢數據545自身可以通信這樣的信息，例如通過包含為無線接入點505識別的風險分數或風險簡檔。在一些實例中，這樣的風險簡檔(以及查詢結果545自身)可以是基於由各種端點裝置在遇到(並且評估)無線接入點時提供到移動安全工具的潛在幾百至幾百萬個評估數據點。
[0051]在從移動安全工具510接收初步風險評估數據或其它查詢結果545時，端點裝置可以繼續進行遇到的無線接入點515、520的評估，在一些情況下，它與移動安全工具510、一個或多個可信的伺服器405以及其它部件合作。在一些實現中，執行的風險評估的類型和擴展將至少部分基於為無線接入點515、520返回的查詢數據545。還可考慮其它考慮和屬性，例如無線接入點515、520的識別位置。例如，如果對應於端點裝置和/或遇到的無線接入點的位置的地理位置數據指示無線接入點正在公共場所或以前識別為包含一個或多個惡意或有危險的無線接入點的位置操作，則還是可對每個檢測的無線接入點515、520執行廣泛風險評估，即使檢測的無線接入點515、520中的一個或多個的查詢結果545指示無線接入點的特定可信度。
[0052]在一些實例中，指示無線接入點的特定可信度或安全的查詢結果545可以引起無線接入點的較小範圍安全評估檢查，例如，來確認可靠無線接入點(例如，520)的以前識別的屬性，或一起跳過風險評估。在實例中，對無線接入點的可信度有一些不確定性，例如基於指示衝突行為的查詢結果545、或與無線接入點有關的記錄288的缺乏(或整個缺少)。此夕卜，如果查詢結果545指示特定無線接入點(例如，515)被認為是有危險的(例如，基於無線接入點515的多個評估)，則可徹底拒絕到該無線接入點的連接，或可以執行其它評估，例如，收集關於無線接入點515的附加數據點並且另外確認(或潛在產生疑點)無線接入點515的初步風險評估。
[0053]在通過與遇到的無線接入點515、520的交互來完成風險評估任務525、530時，端點裝置505可以將反饋數據(例如，諸如圖4A-圖4D的示例的反饋數據415、440、445、455)發送到用於通信從風險評估任務收集的數據和結果的移動安全工具510。相應地，移動安全工具510可以用由端點裝置505報告的最新反饋數據來補充其記錄(例如，288)。實際上，在一些實例中，由端點裝置505報告的從風險評估任務525、530產生的反饋數據可以改變關於評估的無線接入點515、520的未來查詢的結果。例如，無線接入點515可基於以前的WAP記錄288而已經被識別為潛在可靠的，但無線接入點515的最近風險評估(例如，連同端點裝置505的遇到和評估)可具有所識別的屬性或行為(例如嘗試的中間人攻擊)，其產生添加到WAP記錄288的用作無線接入點515作為有危險的後續預評估的基礎的反饋數據。
[0054]在一個說明性的示例中，用戶可嘗試使用移動智慧型電話來連接到機場或另一公共場所內的WiFi網絡。多個可用的WiFi網絡(或接入點)可被檢測並且顯示給用戶。在一些實例中，惡意移動接入點可以通過採用暗示合法的名稱以引誘不懷疑的用戶來利用它們的連接。例如，在達拉斯、德克薩斯DFW機場，惡意無線接入點可採用名稱「DFW WiFi」以便(錯誤地)暗示潛在用戶關於接入點是由機場官方或某個其它合法來源來維持。事實上，在一些實例中，惡意無線接入點可採用(即，偽裝)官方接入點或熱點的精確名稱，以便使用戶選擇(有時盲目地)惡意接入點而不是實際發起的接入點。在惡意接入點檢測和/或其它接入點風險評估功能性對端點裝置可用的實例中，例如在以前描述的一些示例中，可以根據上述原理來評估端點裝置所遇到的無線接入點的可信度。實際上，在出現具有相同SSID的兩個不同的無線接入點的示例中，可以確定很可能兩個無線接入點中的一個是惡意的並且嘗試模仿另一個，從而引起無線接入點的更細緻風險評估，以及報告在特定位置處(其中曾經檢測到無線接入點(例如，機場))的至少一個惡意接入點的可能存在的反饋數據。實際上，在特定位置處的惡意接入點的以前的識別可以引起在那個位置處(例如，如從端點裝置的GPS或其它地理位置數據識別的)的未來檢測的無線接入點的增強仔細檢查。然而，在一些實例中，確定在不同實例處的接入點的變化的可信度還可(或代替地)被確定來反映對特定接入點的風險評估的信心不佳。風險評估的準確性的低信心也質疑接入點的正面評估，在一些實例中，低信心有助於應該避免到無線接入點的連接的整個指示(即，由於在以前評估為不可信的之後接入點現在是可靠的評估而質疑本評估的可靠性)。
[0055]響應於現存的無線接入點評估記錄的預評估查詢和/或在特定位置內檢測到的無線接入點的評估，可呈現用戶接口給端點裝置的用戶(例如，通過端點裝置的顯示設備)，該用戶接口識別某個位置中的可用無線接入點、以及檢測的無線接入點的相對安全或可信度、連同對每個檢測的無線接入點的評估的相對信心的測量。例如，用戶可以使用此信息來評估使用特定無線接入點的風險。例如，用戶可只遇到單個可用無線接入點，或用戶能夠連接到單個無線接入點(例如，因為用戶不擁有其它檢測的無線接入點的訂閱或密碼)，但可涉及在未知接入網絡上的連接。
[0056]為幫助用戶理解用戶裝置(以及關聯的用戶自身)所面臨的風險，可以呈現用戶接口給使用端點裝置的用戶，該用戶接口例如可以是在圖6中示出的示例圖形用戶接口(⑶I) 605的至少局部截屏600。例如，⑶I 605可以包含由端點裝置在給定時間和位置處檢測的可用的無線網絡(或接入點)610a-d的列表。另外，無線接入網絡的名稱以及無線接入網絡的其它屬性(包含無線接入點(例如，在615a-d處)的信號強度以及接入點是否受保護或是否需要密碼等(例如，在620a-b處))可以出現在列表中。此外，在⑶I 605中可以呈現一個或多個狀態指示符(例如，諸如顏色編碼的狀態指示符，例如625a_d)來指示無線接入點的評估中所確定的可信度和/或信心。
[0057]如以上解釋的，無線接入點的所確定的可信度(包含其顯示的狀態指示符625a_d)可以從在無線接入點上執行的風險評估的聚集(例如，從無線接入點評估記錄的查詢所識別的)和/或連同由每個無線接入點的端點裝置執行的風險評估來確定(例如，在圖4A-圖4D的示例示出的)。在圖6的示例中，狀態指示符625a-d可以是顏色編碼的，例如，採用信號燈模式，用綠色指示符(例如，625a)指示特定無線接入點(例如，610a)是可靠的，黃色指示符(例如，625c)指示無線接入點(例如，610c)的可信度正在考慮(例如，因為對無線接入點610c執行太少、矛盾的、或沒有評估),或紅色指示符(例如，625b、625d)指示無線接入點的可信度低到不可接受或存在疑問。確定三色編碼的狀態指示符中的哪個指派給無線接入點可以基於無線接入點的風險評估分數超過一個或多個閾值。
[0058]在一些實例中，無線接入分數的風險評估分數可以取決於各種因素並且可以取決於特定因素的存在而變化。例如，在圖6的示例中，名為「freenetjifi」的第一無線接入點625b可以被檢測，並且基於以前的風險評估而通常被確定為具有低風險或高可信度分數(例如，通常為無線接入點625b提供對應的綠色狀態指示符)。然而，在圖6的示例中，同樣提供也名為「freenet_wifi」的第二無線接入點625d。在這樣的實例中，並且在一些實現中，兩個相同命名的無線接入點的出現可以暗示很有可能相似命名的無線接入點中的一個是嘗試冒充建立的可信的無線接入點的惡意接入點。在一些實例中，惡意無線接入點(例如，625d)可做足夠好的工作來模仿另一無線接入點，惡意接入點評估技術可能很難區分兩個接入點的身份。因此，假定任一相似命名的接入點有一半機會是惡意的，可以給每個無線接入點指派紅色狀態指示符625b、625d。
[0059]其它示例和實現以及場景可以落入本文所公開的主題的範圍。作為一個示例，並且繼續圖6的示例，顯示給端點裝置的用戶的⑶I 605可以在⑶I 605內自動地排序無線接入點的列表，以便為用戶建議哪個無線接入點是最希望使用。例如，這樣的列表可以基於哪個無線接入點有最可靠聲譽或風險評估分數。除了風險評估分數以外，可以考慮其它因素來排序在GUI 605中列出的無線接入點。例如，還可考慮信號強度、所使用的加密協議和其它屬性來排序呈現的列表內的無線接入點，以及其它示例。還可生成採用無線接入點風險評估數據的其它GUI，包含顯示在給定端點裝置上存在的合計風險的特性的GUI。這樣的基於裝置的風險評估以及附隨的GUI可以包含暴露於裝置的無線接入點風險的考慮。
[0060]圖7A是圖示用於監測啟用無線的端點裝置所遇到的無線接入點的示例技術的簡化流程圖700a。端點裝置可以在特定位置中識別705至少一個可用無線接入點。在一些實例中，多個無線接入點可以在該位置處識別為可用的。端點裝置可以與識別的無線接入點建立710連接以便促進嘗試715來在無線接入點上與可信端點裝置通信。為創建至少某種程度的受控環境的目的，可以建立與可信端點的通信，以便評估與使用所識別的無線接入點關聯的風險。實際上，可以至少部分由端點裝置監測720與可信端點的嘗試的通信715，來促進所識別的無線接入點的風險評估725。在一些實例中，促進風險評估725可以包含執行在監測720期間返回的數據的至少局部分析或通過將在監測720期間收集的數據發送到一個或多個後端工具用於分析和風險評估，例如在以上示例中描述的那樣。
[0061]圖7B是圖示用於預評估與識別的無線接入點關聯的風險的示例技術的簡化流程圖700b。可以從識別啟用無線的端點所遇到的至少一個無線接入點的啟用無線的端點裝置接收730查詢。在一些實例中，查詢可以在端點裝置嘗試連接到無線接入點並且連同評估所識別的無線接入點對於連接是否安全的嘗試之前接收730。響應於接收730查詢，可以識別735對應於所識別的無線接入點的以前收集的或生成的風險評估數據。在一些實例中，這樣的風險評估數據可以是通過例如結合多個不同的端點裝置所遇到的而對無線接入點的多個不同的風險評估而累積的一組數據。在其它示例中，可以識別735沒有識別的無線接入點的風險評估數據存在(例如，因為沒有完成以前的風險評估或WAP識別算法失敗或具有低的信任等)。在任何情況下，查詢結果數據可以響應於查詢而被發送740到端點裝置，結果數據特徵化與特定無線接入點關聯的預評估的風險。這樣的查詢結果數據可以包含識別的以前的風險評估數據自身、特徵化以前的風險評估數據的分析、概括、或評估的數據，並且甚至可以包含用於與識別的無線接入點交互的指令(即，基於與無線接入點關聯的預評估的風險，如從識別的以前的風險評估數據確定的)。然後端點裝置可以結合與無線接入點的交互而使用此查詢結果數據，包含使用與在圖7A的示例和本說明書其它地方中描述的那些類似的技術來監測無線接入點。
[0062]雖然已經在某些實現和通常關聯方法方面描述本公開，但是這些實現和方法的變化和排列將對於本領域技術人員是明顯的。例如，本文描述的動作可以用不同於所描述的次序來執行並且仍然實現合意的結果。作為一個示例，在附圖中描繪的過程不一定需要示出的特定次序或連續次序來實現所希望的結果。在某些實現中，多任務和並行處理可以是有利的。此外，可以支持不同的用戶接口布局和功能性。此外，雖然以上描述著重於將以上原理適用於定製白名單的生成，但是類似原理可以適用於生成在安全任務中使用的其它這樣的名單，包含定製的黑名單。其它變化在下文的權利要求的範圍內。
[0063]在本說明書中描述的主題和操作的實施例可以實現在數字電子電路、或計算機軟體、固件、或硬體(包含在本說明書中公開的結構和它們的結構等效)或它們中的一個或多個的組合中。在本說明書中的描述的主題的實施例可以實現作為一個或多個電腦程式，即，電腦程式指令的一個或多個模塊，其在計算機存儲介質上編碼用於由數據處理器件執行或控制數據處理器件的操作。備選地或此外，程序指令可以編碼在人工生成的傳播信號上(例如，機器生成的電、光、或電磁信號，其生成編碼信息用於到合適的接收器器件的傳送以便由數據處理器件執行)。計算機存儲介質可以是或包含於計算機可讀存儲裝置、計算機可讀存儲基板、隨機或串行存取存儲器陣列或裝置、或它們中的一個或多個的組合。此夕卜，雖然計算機存儲介質不是傳播信號本身，但是計算機存儲介質可以是在人工生成傳播信號中編碼的電腦程式指令的來源或目的地。計算機存儲介質還可以是或包含於一個或多個單獨的物理部件或介質(例如，多個CD、磁碟或其它存儲裝置)，包含分布式軟體環境或雲計算環境。
[0064]網絡(包含核心網絡和接入網絡，包含無線接入網絡)可以包含一個或多個網絡元件。「網絡元件」可以包含各種類型的路由器、交換機、網關、網橋、負載平衡器、防火牆、伺服器、內聯服務節點、代理、處理器、模塊、或適用於在網絡環境中交換信息的任何其它合適的裝置、部件、元件或對象。網絡元件可包含適當的處理器、存儲器元件、硬體和/或軟體來支持(或以其它方式執行)與使用屏幕管理功能性的處理器關聯的活動(如本文所概述的)。此夕卜，網絡元件可包含促進其操作的任何合適的部件、模塊、接口或對象。這可包含允許數據或信息的有效交換的適當算法和通信協議。
[0065]在本說明書中描述的操作可以實現為由數據處理器件對存儲在一個或多個計算機可讀存儲裝置上或從其它來源接收的數據執行的操作。術語「數據處理器件」、「處理器」、「處理裝置」和「計算裝置」可以包含用於處理數據的所有種類的器件、裝置和機器，以示例的方式包含可編程處理器、計算機、片上系統、或上文的多個或組合。器件可以包含一般或專用邏輯電路，例如，中央處理單元(CPU)、刀片、專用集成電路(ASIC)或現場可編程門陣列(FPGA)，以及其它合適的選項。雖然已經將一些處理器和計算裝置描述和/或圖示為單個處理器，但是可根據關聯的伺服器的特定需要來使用多個處理器。提及單個處理器旨在在可應用時包含多個處理器。一般而言，處理器執行指令並且操作數據來執行某些操作。除硬體以外，器件還可包含為正在討論的電腦程式創建執行環境的代碼，例如，構成處理器固件、協議棧、資料庫管理系統、作業系統、跨平臺實時環境、虛擬機、或它們中的一個或多個的組合的代碼。器件和執行環境可以實現各種不同的計算模型基礎結構，例如網絡服務、分布式計算和網格計算基礎結構。
[0066]電腦程式(也被稱為程序、軟體、軟體應用、腳本、模塊、(軟體)工具、(軟體)引擎、或代碼)可以用任何形式的程式語言(包含彙編或解釋語言、聲明式或過程化語言)來書寫，並且它可以用任何形式來部署，包含作為獨立的程序或模塊、部件、子例程、對象、或適合用於計算環境的其它單元。例如，電腦程式可包含在有形的介質上的計算機可讀指令、固件、接線式或編程硬體，或任何其組合，當執行時用來至少執行本文描述的過程和操作。電腦程式可(但不必要)對應於文件系統中的文件。程序可以存儲在保存其它程序或數據(例如，存儲在標記語言文檔中的一個或多個腳本)的文件的一部分中、存儲在專用於所討論的程序的單個文件中、或存儲在多個協調文件(例如，存儲一個或多個模塊、子程序或代碼的一部分的文件)中。電腦程式可以部署為執行在一個計算機或多個計算機(位於一個站點處或跨多個站點分布並且由通信網絡互連)上。
[0067]程序可以實現為通過各種對象、方法或其它過程來實現各種特徵和功能性的個別模塊，或可代替包含多個子模塊、第三方服務、部件、庫等等，視情況而定。相反地，各種部件的特徵和功能性可以合適地組合成單個部件。在某些情況下，程序和軟體系統可實現為複合託管應用。例如，複合應用的一部分可實現為Enterprise Java Beans (EJB)或設計時間部件可具有能力來生成實時實現到不同的平臺，例如J2EE (Java 2平臺企業版本)、ABAP(高級商業應用編程)對象、或微軟的.NET，以及其它。此外，應用可表示經由網絡(例如，通過網際網路)接入並且執行的基於網絡的應用。另外，可存儲、引用、或遠程執行與特定託管應用或服務關聯的一個或多個過程。例如，特定託管應用或服務的一部分可以是與遠程調用的應用關聯的網絡服務，而託管應用的另一部分可以是在遠程客戶端處打包處理的接口對象或代理。此外，任何或所有託管應用和軟體服務可以是另一軟體模塊或企業應用(未圖示)的子或次模塊而不背離本公開的範圍。更進一步，可以由直接工作在託管應用的伺服器處以及遠離客戶端處的用戶執行託管應用的一部分。
[0068]在本說明書中描述的過程和邏輯流程可以由執行一個或多個電腦程式的一個或多個可編程處理器來執行以通過在輸入數據上操作並且生成輸出而執行動作。過程和邏輯流程還可由專用邏輯電路執行，並且器件還可實現作為專用邏輯電路(例如，FPGA (現場可編程門陣列)或ASIC (專用集成電路))。
[0069]以示例的方式，適合於電腦程式的執行的處理器包含通用和專用微處理器兩者、以及任何種類數字計算機中的任何一個或多個處理器。一般而言，處理器將從只讀存儲器或隨機存取存儲器或兩者接收指令和數據。計算機的必需元件是用於根據指令執行動作的處理器以及用於存儲指令和數據的一個或多個存儲器裝置。一般而言，計算機將也包含、或在操作上耦合來接收數據自或傳輸數據至(或兩者)一個或多個用於存儲數據的大容量存儲裝置(例如，磁帶、磁光碟或光碟)。然而，計算機不需要具有這樣的裝置。此外，計算機可以內嵌在另一裝置內，例如，行動電話、個人數字助理(PDA)、平板計算機、移動音頻或視頻播放器、遊戲控制臺、全球定位系統(GPS)接收器、或可攜式存儲裝置(例如，通用串行總線(USB)快閃記憶體驅動器)、僅舉幾例。適合於存儲電腦程式指令和數據的裝置包含所有形式的非易失性存儲器、介質和存儲器裝置，以示例的方式包含半導體存儲器裝置(例如，ΕΡ0Μ、EEPROM和閃速存儲器裝置)；磁碟(例如，內部硬碟或可移除磁碟)；磁光碟；以及⑶ROM和DVD-ROM光碟。處理器和存儲器可以由專用邏輯電路補充或併入在專用邏輯電路中。
[0070]為提供與用戶的交互，在本說明書中描述的主題的實施例可以實現在具有顯示裝置(例如，CRT (陰極射線管)或IXD (液晶顯示器)監視器，用於向用戶顯示信息)以及鍵盤和指向裝置(例如，滑鼠或跟蹤球，用戶可以由此向計算機提供輸入)的計算機上。其它種類的裝置也可用於提供與用戶的交互；例如，提供給用戶的反饋可以是任何形式的感知反饋，例如，視覺反饋、聽覺反饋，或觸覺反饋；並且來自用戶的輸入可以用任何形式來接收，包含聽覺、語音或觸覺輸入。此外，計算機可以通過發送文檔至並且接收文檔自用戶所使用的裝置(包含遠程裝置)來與用戶交互。
[0071]在本說明書中描述的主題的實施例可以實現在包含後端部件(例如，數據伺服器)、或包含中間件部件(例如，應用伺服器)、或包含前端部件(例如，具有圖形用戶接口或網絡瀏覽器的客戶端計算機，用戶可以通過它們來與在本說明書中描述的主題的實現交互)、或這樣的後端、中間件、或前端部件中的一個或多個的任何組合的計算系統中。系統的部件可以由任何形式或介質的數字數據通信(例如，通信網絡)而互連。通信網絡的示例包含任何內部或外部網絡、網絡、子網絡或其組合，適用於促進系統中的各種計算部件之間的通信。例如，網絡可在網絡地址之間通信網際網路協議(IP)分組、幀中繼幀、異步傳輸模式(ATM)小區、語音、視頻、數據和其它合適信息。網絡還可包含一個或多個區域網(LAN)、無線電接入網絡(RAN)、城域網(MAN)、廣域網(WAN)、網際網路的所有或一部分、對等網絡(例如，自組織對等網絡)、和/或在一個或多個位置處的任何其它通信系統或多個系統。
[0072]計算系統可以包含客戶端和伺服器。客戶端和伺服器通常彼此遠離並且典型地通過通信網絡來交互。客戶端和伺服器的關係由於在相應計算機上運行並且彼此具有客戶端-伺服器關係的電腦程式而產生。在一些實施例中，伺服器將數據(例如，HTML頁面)傳送到客戶端裝置(例如，為了顯示數據至並且接收用戶輸入自與客戶端裝置交互的用戶的目的)。在客戶端裝置處生成的數據(例如，用戶交互的結果)可以在伺服器處從客戶端裝置接收。
[0073]雖然本說明書包含許多具體實現細節，但這些細節不應解釋為對任何發明的範圍或可要求保護的限制，而是特徵的描述具體到特定發明的特定實施例。在單獨的實施例的上下文中的在本說明書中描述的某些特徵還可結合單個實施例來實現。相反地，在單個實施例的上下文中描述的各種特徵還可單獨地或在任何合適的子組合中實現在多個實施例中。此外，雖然以上可將特徵描述為以某些組合來起作用並且甚至最初這樣要求保護，但來自要求保護的組合的一個或多個特徵可以在一些情況下從組合刪去，並且要求保護的組合可指向子組合或子組合的變化。
[0074]類似地，雖然在圖中以特定次序來描繪操作，但是這不應該被理解為需要以示出的特定次序或連續次序來執行這樣的操作、或需要執行所有圖示的操作來實現合意的結果。在某些情況下，多任務和並行處理可以是有利的。此外，在上述實施例中的各種系統部件的分離不應該被理解為在所有實施例中需要這樣的分離，並且應該理解的是描述的程序部件和系統通常可以一起集成在單個軟體產品中或打包成多個軟體產品。
[0075]因此，已經描述主題的特定實施例。其它實施例在下文的權利要求的範圍內。在一些情況下，在權利要求中記載的動作可以用不同的次序來執行並且仍然實現合意的結果。此外，在附圖中描繪的過程不一定需要示出的特定次序或連續次序來實現合意的結果。
【權利要求】
1.一種方法，包括: 識別特定位置處的至少一個可用無線接入點； 建立到所述可用無線接入點的連接； 嘗試通過所述無線接入點與可信端點通信；以及 監測通過所述無線接入點的與所述可信端點的所嘗試的通信來評估與所述無線接入點關聯的風險。
2.如權利要求1所述的方法，其中嘗試與所述可信端點通信包含嘗試與所述可信端點建立安全連接，其中建立所述安全連接包含從所述可信端點接收期望的信任驗證數據； 其中不同於所述期望的信任驗證數據的數據的接收被假定為指示所述可用無線接入點是指示與所述無線接入點關聯的更高風險的不可信的。
3.如權利要求2所述的方法，其中所述期望的信任驗證數據包含證書、哈希數據或令牌中的至少一個。
4.如權利要求2所述的方法，其中在嘗試與所述可信端點建立安全連接之前確定所述期望的信任驗證數據。
5.如權利要求4所述的方法，其中確定所述期望的信任驗證數據包含通過移動寬帶連接從可信的來源接收所述期望的信任驗證數據。
6.如權利要求2所述的方法，其中所述可信端點是在嘗試與所述可信端點建立安全連接之前由可信的來源從多個可用的可信端點中識別的。
7.如權利要求1所述的方法，還包括: 在建立到所述可用無線接入點的連接之前查詢遠程安全資料庫關於與所述無線接入點有關的先前存在的風險評估數據。
8.如權利要求7所述的方法，其中查詢包含: 通過安全連接將查詢請求發送到遠程安全工具；以及 通過所述安全連接接收查詢結果。
9.如權利要求7所述的方法，還包括使風險狀態指示符呈現在端點裝置上，所述風險狀態指示符指示與所述無線接入點關聯的風險的級別並且至少部分基於所述先前存在的風險評估數據。
10.如權利要求7所述的方法，其中從所嘗試的通信的所述監測評估的風險還基於所述先前存在的風險評估數據。
11.如權利要求1所述的方法，其中在所嘗試的通信的所述監測期間收集反饋數據，所述方法還包括將所述反饋數據發送到遠程安全工具。
12.如權利要求11所述的方法，其中至少部分由所述遠程安全工具評估與所述可用無線接入點關聯的風險。
13.如權利要求1所述的方法，還包括從所述可用無線接入點收集數據，其中評估與所述可用的接入點關聯的風險包含所收集的數據的評估。
14.如權利要求13所述的方法，還包括: 將所收集的數據發送到遠程風險簡檔計算器，其中與所述可用無線接入點關聯的風險由所述遠程風險簡檔計算器來評估；以及 從所述遠程風險簡檔計算器接收用於所述可用無線接入點的風險簡檔信息。
15.如權利要求13所述的方法，其中所收集的數據包含服務集標識符(SSID)、由所述無線接入點使用的數據描述加密、醒目頁面信息以及無線接入點密碼信息中的至少一個。
16.如權利要求1所述的方法，其中所述可用無線接入點是多個可用無線接入點中的第一無線接入點，所述方法還包括評估所述多個可用無線接入點中的每個無線接入點的風險。
17.如權利要求1所述的方法，其中響應於評估所述可用無線接入點的風險而自動禁止用於連接到所述可用無線接入點的自動連接選項。
18.如權利要求1所述的方法，還包括響應於評估所述可用無線接入點的風險而連接到建立的VPN隧道。
19.如權利要求18所述的方法，其中所述可用無線接入點的風險評估數據通過所建立的VPN隧道而通信到遠程安全工具。
20.如權利要求1所述的方法，其中為所述可用無線接入點評估的風險被在為接入所述可用無線接入點的特定端點裝置計算的整個風險簡檔中考慮。
21.一種在非暫時性介質中編碼的邏輯，包含用於執行的代碼並且當由處理器執行時用於執行以下操作，所述操作包括: 識別特定位置處的至少一個可用無線接入點； 建立到所述可用無線接入點的連接； 嘗試通過所述無線接入點與可信端點通信；以及 監測通過所述無線接入點與 所述可信端點的所嘗試的通信來評估與所述無線接入點關聯的風險。
22.—種系統,包括: 至少一個處理器裝置； 至少一個存儲器元件；以及 無線接入點監視器，當被所述至少一個處理器裝置執行時，適用於: 識別特定位置處的至少一個可用無線接入點； 建立到所述可用無線接入點的連接； 嘗試通過所述無線接入點與可信端點通信；以及 監測通過所述無線 接入點與所述可信端點的所嘗試的通信來評估與所述無線接入點關聯的風險。
23.如權利要求22所述的 系統，還包括啟用無線的端點裝置。
【文檔編號】H04W24/00GK103891331SQ201280053717
【公開日】2014年6月25日 申請日期:2012年10月16日 優先權日:2011年10月17日
【發明者】P.G.巴薩瓦帕特納, S.K.加德達拉, S.施雷克, D.M.戈德施拉格 申請人:邁可菲公司