專利名稱：數(shù)字簽署策略的制作方法
數(shù)字簽署策略 背景無紙化技術(shù)的采用已經(jīng)因許多用戶不愿意采用數(shù)字簽名來簽署文檔而受到阻 礙。這些用戶中的大部分對(duì)于文檔的數(shù)字簽名實(shí)際表示什么意思感到困惑。用戶還 察覺出一旦該文檔離開了用戶的直接控制則對(duì)已簽署的文檔失去控制。例如，盡管 文檔上有用戶的數(shù)字簽名，但惡意的第三方仍可操控該文檔。結(jié)果，數(shù)字文檔通常 被打印出來然后用慣例的筆墨方式來簽署。在這一點(diǎn)上，不管該文檔是掃描的還是 作為硬拷貝來處理的，許多潛在的優(yōu)勢(shì)都消失。概述描述了涉及有指導(dǎo)的數(shù)字簽署策略的技術(shù)。在一實(shí)例中， 一種系統(tǒng)包括用于 將文檔作為多個(gè)邏輯部分來存儲(chǔ)的裝置。該系統(tǒng)還包括用于在將數(shù)字簽名應(yīng)用于該 文檔時(shí)建立文檔配置的裝置，以及用于指示該文檔配置隨后是否被更改的裝置。提供本概述以便以簡(jiǎn)化的形式介紹將在以下詳細(xì)描述中進(jìn)一步描述的一些概 念。本概述并非意在確定所要求保護(hù)的主題的關(guān)鍵或必要特征，也并非意在用來幫 助確定所要求保護(hù)的主題的范圍。附圖簡(jiǎn)述

圖1示出了根據(jù)一實(shí)現(xiàn)的其上能實(shí)施數(shù)字簽署策略的一示例性系統(tǒng)。圖2—6示出了根據(jù)一實(shí)現(xiàn)的其中能實(shí)施數(shù)字簽署策略的示例性文檔配置。 圖7示出了根據(jù)一實(shí)現(xiàn)的其上能實(shí)施數(shù)字簽署策略的環(huán)境中的示例性系統(tǒng)、設(shè) 備及組件。圖8示出了根據(jù)一實(shí)現(xiàn)的涉及數(shù)字簽署策略的示例性流程圖。詳細(xì)描述概要所描述的技術(shù)涉及用于維持如數(shù)字地簽署時(shí)的電子文檔的數(shù)字簽署策略。例如，發(fā)布用戶可撰寫文檔并當(dāng)他或她對(duì)其配置滿意時(shí)決定數(shù)字地簽署該文檔。該數(shù)字簽署策略運(yùn)作于基礎(chǔ)數(shù)據(jù)級(jí)上來確立文檔的哪些部分用數(shù)字簽名來包括以便維持文檔處于被用戶簽署時(shí)的配置。當(dāng)根據(jù)數(shù)字簽署策略來應(yīng)用數(shù)字簽名時(shí)，對(duì)文檔的違反該策略的任何后續(xù)操縱都使得該數(shù)字簽名無效。因此，數(shù)字簽名的繼續(xù)存在作為該文檔自從被數(shù)字地簽署以來沒有被更改過的證明。因此，該數(shù)字簽署策略促進(jìn)了已簽署文檔的內(nèi)容的更高級(jí)別的確定度，即該文檔是否具有當(dāng)應(yīng)用數(shù)字簽名時(shí) 所具有的相同配置。涉及文檔配置的這一增加的確定度級(jí)別有助于在諸如合同談判和合作文檔寫作等各種各樣的場(chǎng)景中提高成效。所述的簽署策略與文檔包(documentpackage)和/或?qū)⑽臋n的數(shù)據(jù)存儲(chǔ)在離散 的邏輯實(shí)體或部分之中的文檔類型一起使用。這種配置的一個(gè)示例是具有可標(biāo)識(shí)根 部分及用于根部分的有效處理的相關(guān)聯(lián)部分的樹結(jié)構(gòu)。在這種配置中，某些部分存 儲(chǔ)與內(nèi)容有關(guān)的數(shù)據(jù)，而其它部分，例如根部分，存儲(chǔ)傳達(dá)其它部分的相互關(guān)系的 數(shù)據(jù)。例如， 一個(gè)部分可以與給定頁(yè)的內(nèi)容相關(guān)，而另一部分可以與給定頁(yè)相對(duì)于 其它頁(yè)的位置有關(guān)。鑒于此，該數(shù)字簽署策略指定了文檔或包的哪些基礎(chǔ)部分可以 被包括以便維持展示給用戶的文檔配置。換言之，該數(shù)字簽署策略用來在文檔被數(shù) 字地簽署時(shí)有效地記錄文檔的配置，以使該配置能被用來檢測(cè)對(duì)該文檔的后續(xù)改 變。該數(shù)字簽署策略能夠檢測(cè)到這種改變并能響應(yīng)地使用戶的簽名無效。至少某些 實(shí)現(xiàn)還允許用戶指定文檔的哪些其它部分能被今后的用戶更改以及以何種形式更 改。例如，發(fā)布用戶在簽署文檔的時(shí)候可以指定消費(fèi)用戶能例如在不使發(fā)布用戶的 簽名無效的情況下向文檔增加注解。示例性系統(tǒng)圖l示出了被配置成實(shí)現(xiàn)用于確定電子文檔101是否保持與其被數(shù)字地簽署時(shí) 的文檔配置一致的簽署策略的示例性系統(tǒng)100。系統(tǒng)100包括通過數(shù)字?jǐn)?shù)據(jù)交換平 臺(tái)106耦合至消費(fèi)器104的發(fā)布器102。該數(shù)字?jǐn)?shù)據(jù)交換平臺(tái)可包括用于傳輸數(shù)字 數(shù)據(jù)的任何裝置。例如，可利用各種類型的網(wǎng)絡(luò)來傳輸電子文檔101。在另一示例 中，該電子文檔可被存儲(chǔ)在某種類型的存儲(chǔ)介質(zhì)上，例如磁盤或閃存設(shè)備，并以物 理方式從一人交達(dá)另一人。在此情況中，發(fā)布器102包括在物理計(jì)算設(shè)備上操作的 程序或軟件，用來為發(fā)布用戶114創(chuàng)建用戶界面。類似地，消費(fèi)器104包括在物理 計(jì)算設(shè)備上操作的程序或軟件，用來為消費(fèi)用戶124創(chuàng)建用戶界面。系統(tǒng)100被配置成允許發(fā)布用戶114與發(fā)布器102交互以生成隨后能被展示給消費(fèi)用戶124的文檔101。在文檔寫作過程期間的某個(gè)時(shí)刻，發(fā)布用戶可獲得發(fā)布 用戶期望數(shù)字地簽署的文檔配置。在發(fā)布器102上操作的數(shù)字簽署策略指定哪些基 礎(chǔ)文檔部分要包括在發(fā)布用戶的數(shù)字簽名之內(nèi)以便足以維持文檔101的配置。消費(fèi) 用戶124隨后可訪問文檔101。消費(fèi)器104打開文檔101并依據(jù)數(shù)字簽署策略來檢 查該文檔。在發(fā)布用戶的數(shù)字簽名保持有效的情況中，有效簽名的存在向消費(fèi)用戶 確保文檔與發(fā)布用戶的預(yù)期配置保持一致。在數(shù)字簽名被無效的情況中，消費(fèi)用戶 可基于對(duì)文檔已被更改的了解進(jìn)行相應(yīng)的行動(dòng)。類似地，如果文檔隨后被返回給發(fā) 布用戶，則發(fā)布器可評(píng)估發(fā)布用戶的數(shù)字簽名是否仍然有效。之后，發(fā)布用戶可在 得知該文檔是否已被更改后進(jìn)行相應(yīng)的行動(dòng)。圖2示出了根據(jù)一實(shí)現(xiàn)的其上能實(shí)現(xiàn)數(shù)字簽署策略的示例性文檔格式200的一 個(gè)一般示例。在此實(shí)例中，文檔格式200將數(shù)據(jù)存儲(chǔ)在多個(gè)離散的邏輯部分中。當(dāng) 被發(fā)布器或消費(fèi)器解析后，這些邏輯部分共同創(chuàng)建如在202處一般所表示的展示給 用戶的文檔配置。該文檔可包括文本、圖像和/或任何其它慣例的文檔內(nèi)容。在此 實(shí)例中，邏輯部分被例示為第一文檔部分204、第二文檔部分206和第三分檔部分 208。當(dāng)然，在此示例之外，其它示例性文檔格式可以不同的方式來組織邏輯部分。 例如，下文描述邏輯部分的一種樹型組織的示例。出于解釋的目的，考慮其中作者或發(fā)布用戶期望向文檔202以其當(dāng)前的形式或 配置應(yīng)用他/她的數(shù)字簽名。數(shù)字簽署策略指定該文檔的哪些部分被數(shù)字簽名包括 以用來建立當(dāng)前配置。例如，假定在此示例中，數(shù)字簽署策略以數(shù)字簽名包括了所 有三個(gè)文檔部分204、 206和208。對(duì)指定部分中的任一個(gè)的任何后續(xù)更改使得發(fā) 布用戶的數(shù)字簽名被無效。因此，有效的數(shù)字簽名指示該文檔以其曾經(jīng)被簽署的配 置存在。在某些實(shí)現(xiàn)中，該數(shù)字簽署策略可允許發(fā)布用戶在不使他們的數(shù)字簽名無 效的情況下指定能被添加到該文檔的附加的數(shù)據(jù)。此種實(shí)現(xiàn)的示例聯(lián)系圖4在以下 描述。作為選擇地或另外地，在某些實(shí)現(xiàn)中，該數(shù)字簽署策略定義了需要被數(shù)字簽 名包括來確保文檔配置沒有在不使簽署用戶的數(shù)字簽名無效的情況下被更改的減 少的或最低數(shù)量的文檔部分。圖3—4示出了圖示出根據(jù)一實(shí)施例的能在其上實(shí)現(xiàn)數(shù)字簽署策略的文檔格式 的文檔。其上能實(shí)現(xiàn)這些文檔的一種這樣的文檔格式是由華盛頓州雷德蒙市的微軟 公司開發(fā)的XML紙件規(guī)范(XPS)文檔格式。關(guān)于XPS文檔格式的詳細(xì)內(nèi)容可以 至少/人http :〃www.microsoft.com/whdc/Device/print/metro.mspx公開t也獲亍尋。在這特定的示例中，該數(shù)字簽署策略指定了對(duì)于被認(rèn)為要簽署的文檔哪些文檔部分要被數(shù)字簽名所包括。如果數(shù)字簽名包括比指定的少的文檔部分，則該文檔可 能隨后在不使數(shù)字簽名無效的情況下被更改，并且因此造成了關(guān)于在應(yīng)用數(shù)字簽名 之時(shí)的文檔配置的模糊性。換言之，該數(shù)字簽署策略的功能是指定哪些部分被數(shù)字簽名所包括以便有效地創(chuàng)建在簽署時(shí)刻的文檔配置的快照。圖3—4提供了該數(shù)字 簽署策略可如何在特定情形中實(shí)現(xiàn)的具體示例。其它情形應(yīng)被本領(lǐng)域的技術(shù)人員所 認(rèn)識(shí)到。圖3示出了包括包關(guān)系部分301、文檔序列部分302和相關(guān)聯(lián)的文檔序列(DS) 關(guān)系部分303、以及至少一個(gè)固定文檔部分的的文檔300。單獨(dú)的固定文檔部分與 單獨(dú)的固定文檔(FD)關(guān)系部分相關(guān)聯(lián)。在此示例中，示出了三個(gè)固定文檔部分 304、 306和308，但其它示例可以有任何個(gè)數(shù)的固定文檔部分。由于呈現(xiàn)圖3的紙 張的物理限制，僅對(duì)固定文檔部分304示出FD關(guān)系部分309。包關(guān)系301是其目標(biāo)為一個(gè)部分，而其源是作為整體的一個(gè)包的關(guān)系。文檔序 列部分302包含引用固定文檔部分304、 306和308的標(biāo)記。換言之，文檔序列是 列出了文檔300中包含了什么固定文檔的部分。對(duì)固定文檔部分304、 306或308 中的一個(gè)或多個(gè)的任何刪除被反映在文檔序列部分302中。類似地，對(duì)新的固定文 檔部分的任何添加被反映在該文檔序列部分中。單獨(dú)的固定文檔部分引用固定頁(yè)部分。換言之，固定文檔部分包含其各自的固 定頁(yè)的列表。由于呈現(xiàn)圖3的物理頁(yè)的空間限制，僅示出了與固定文檔部分304 有關(guān)系的固定頁(yè)部分。在此實(shí)例中，示出了兩個(gè)固定頁(yè)部分310、 312，但是任何 個(gè)數(shù)的固定頁(yè)部分可以被單獨(dú)的固定文檔部分引用。對(duì)固定頁(yè)部分的任何刪除或添 加被反映在相關(guān)聯(lián)的固定文檔部分中。單獨(dú)的固定頁(yè)部分通過一關(guān)系部分被鏈接至其資源部分，該關(guān)系部分指定了單 獨(dú)的頁(yè)所鏈接至的所有資源。例如，固定頁(yè)部分310通過固定頁(yè)(FP)關(guān)系部分 320關(guān)聯(lián)到資源部分322、 324。由于附圖頁(yè)的物理限制，關(guān)于固定頁(yè)部分312沒有 示出關(guān)系部分及資源部分。對(duì)來自固定頁(yè)部分的內(nèi)容的任何刪除或添加被反映在該 固定頁(yè)部分和/或相關(guān)聯(lián)的關(guān)系部分中。此外，對(duì)給定資源的任何變化被反映在該 資源中。該數(shù)字簽署策略用來建立在應(yīng)用數(shù)字簽名時(shí)的文檔300的配置或內(nèi)容。在該特 定示例中，該數(shù)字簽署策略指定了數(shù)字簽名必須包括包關(guān)系部分301、文檔序列部 分302、固定文檔部分304、 306和308、固定頁(yè)部分310、 312、資源部分322、 324 及相關(guān)聯(lián)的關(guān)系部分303、 309和320。該數(shù)字簽署策略規(guī)則提供了確保將數(shù)據(jù)作為多個(gè)邏輯部分來存儲(chǔ)的文檔被維持在由用戶數(shù)字地簽署的配置中的機(jī)制。在文檔 作為邏輯部分來存儲(chǔ)的情況中，文檔配置是從各部分之間的相互關(guān)系以及各部分內(nèi) 的數(shù)據(jù)中建立的。由此，該數(shù)字簽署策略用來建立部分間關(guān)系以及部分內(nèi)數(shù)據(jù)兩者。 在文檔配置通過更改部分間關(guān)系和部分內(nèi)數(shù)據(jù)中的任--項(xiàng)或兩者來更改的情況中， 該數(shù)字簽署策略使數(shù)字簽名無效。這一數(shù)字簽署策略機(jī)制允許作者或隨后的用戶確 定該文檔是否與同數(shù)字簽名相關(guān)聯(lián)的配置保持一致。出于解釋的目的，假定文檔300由發(fā)布用戶依據(jù)上述指定的數(shù)字簽署策略來數(shù) 字地簽署，使得該數(shù)字簽名包括了包關(guān)系部分301、文檔序列部分302以及其文檔 序列關(guān)系部分303、固定文檔部分304、 306和308以及其各自的固定文檔關(guān)系部 分(僅特別地指定了FD關(guān)系部分309)、固定頁(yè)部分310、 312和固定頁(yè)關(guān)系部分 320以及資源部分322、 324。在這一實(shí)例中，在簽署時(shí)對(duì)發(fā)布用戶表示的文檔配置 被由數(shù)字簽署策略指定的簽名部分有效地包括。還假定隨后的用戶試圖向文檔300 添加一新的固定文檔。該新文檔將被表示在文檔序列部分302中。對(duì)該文檔序列部 分的這個(gè)改變將依據(jù)數(shù)字簽署策略使得發(fā)布用戶的數(shù)字簽名被無效。在該特定實(shí)現(xiàn) 中，數(shù)字簽名被無效的事實(shí)可以用一種容易被用戶察覺的方式在視覺上表示。其它 實(shí)現(xiàn)可向用戶提供它們將要進(jìn)行的動(dòng)作將使該文檔的數(shù)字簽名無效的警告。然而， 在此實(shí)現(xiàn)中，數(shù)字簽署策略并不能防止消費(fèi)用戶添加新的文檔以及使數(shù)字簽名無 效。相反，這一動(dòng)作只能使數(shù)字簽名無效，并且系統(tǒng)將此信息給予用戶以便根據(jù)他 們認(rèn)為合適的來行動(dòng)。例如，如果消費(fèi)用戶接收了具有被無效的發(fā)布用戶的簽名的 文檔，則消費(fèi)用戶可以將該文檔視為已被篡改，并且向發(fā)布用戶請(qǐng)求一新的經(jīng)簽署 的文檔。類似于上面的示例，考慮其中隨后的用戶試圖移除被一特定的固定頁(yè)部分引用 的資源并用一不同的資源來代替該資源的情形。例如，資源可以是用戶試圖用第二 個(gè)不同圖像來代替的圖像。這一動(dòng)作導(dǎo)致發(fā)布用戶的數(shù)字簽名被無效，因?yàn)樵搫?dòng)作 試圖作更改(在此實(shí)例中，刪除文檔的經(jīng)簽署的部分)。在此示例中，響應(yīng)于改變 所引用的圖像而使數(shù)字簽名無效與數(shù)字簽署策略的功能相一致。出于示例的目的， 假定文檔300是建筑者為給定價(jià)格建造房屋的要約。還假設(shè)所引用的圖像是包括在 要約中的房屋的設(shè)計(jì)圖。要約的價(jià)格是基于該特定設(shè)計(jì)圖的。因此，建筑者不愿意 讓某些人，例如財(cái)產(chǎn)所有人，能夠用不同的設(shè)計(jì)圖替換以至于看上去建筑者是基于 該替換的設(shè)計(jì)圖做出要約的。數(shù)字簽署策略用于通知建筑者和/或財(cái)產(chǎn)所有人，該 要約保留在建筑者在要約中簽署的配置中，或是該要約已被更改以至于它不再與建筑者簽署的配置相一致。圖4示出了另一文檔400，對(duì)于該文檔，數(shù)字簽署策略指定哪些文檔部分要被 數(shù)字簽名包括以使該文檔被認(rèn)為是已簽署的。如果該文檔依據(jù)數(shù)字簽署策略被數(shù)字 地簽署，則該數(shù)字簽名捕捉當(dāng)該文檔被數(shù)字地簽署時(shí)的文檔配置。換言之，在此實(shí) 現(xiàn)中，數(shù)字簽名策略指定了包的哪些部分一定不能改變以使內(nèi)容被認(rèn)為是原封不動(dòng) 的。為了確保有效性，某些客戶機(jī)應(yīng)用程序和/或其用戶可要求包中的所有部分和 關(guān)系被簽署并生效。其它則可要求僅選中的部分或關(guān)系被簽署并生效來指示內(nèi)容沒 有被改變。該數(shù)字簽名策略對(duì)于定義將要被簽署的內(nèi)容同時(shí)允許包的一些部分保持 可變提供了靈活性。文檔400提供了簽署用戶可指定文檔的特定內(nèi)容能在不破壞用 戶的數(shù)字簽名的情況下改變的實(shí)例的情形的示例。文檔400包括包關(guān)系部分402、數(shù)字簽名定義部分404及核心屬性部分406。 在此實(shí)例中，數(shù)字簽名定義部分、核心屬性部分及包關(guān)系部分在包級(jí)定義，并由此 在文檔級(jí)繼承，并且由數(shù)字簽署策略來維護(hù)。包關(guān)系402是其目標(biāo)為一個(gè)部分，而 其源為作為整體的一個(gè)包的關(guān)系。數(shù)字簽名定義部分404允許發(fā)布用戶定義要數(shù)字 地簽署該文檔的被請(qǐng)求的一組人以及與每個(gè)被請(qǐng)求的數(shù)字簽名相關(guān)聯(lián)的條件或定 義。核心屬性部分涉及用戶能在文檔中定義的一個(gè)或多個(gè)屬性。例如， 一個(gè)這樣的 核心屬性可以是用戶能以其所期望的任何名字或筆名自由指定的"文檔作者"。文檔400還包括具有相關(guān)聯(lián)的文檔序列(DS)關(guān)系部分412的文檔序列部分 410，以及具有相關(guān)聯(lián)的固定文檔(FD)關(guān)系部分416的固定文檔部分414。固定 文檔部分414引用固定頁(yè)部分418和注解部分420。如在固定頁(yè)(FP)關(guān)系部分 422中所指示的，固定頁(yè)部分418鏈接至資源部分424。此特定實(shí)現(xiàn)還包括以下將 更詳細(xì)討論的縮略圖部分426。數(shù)字簽署策略用來建立當(dāng)應(yīng)用數(shù)字簽名時(shí)文檔400的內(nèi)容。在該實(shí)現(xiàn)中，該數(shù) 字簽署策略為將依據(jù)數(shù)字簽署策略的文檔指定該數(shù)字簽名包括包關(guān)系部分402、文 檔序列部分410及其DS關(guān)系部分412、固定文檔部分414及其FD關(guān)系部分416、 固定頁(yè)部分418及其FP關(guān)系部分422以及資源部分424。數(shù)字簽署策略還規(guī)定當(dāng) 存在縮略圖426時(shí)數(shù)字簽名包括縮略圖426。當(dāng)然，雖然僅示出了上述部分中的每 一個(gè)的單個(gè)示例，但是許多實(shí)現(xiàn)將具有部分414-426中的多個(gè)實(shí)例。在該實(shí)例中，簽署包關(guān)系402防止隨后的用戶在不使簽署用戶的數(shù)字簽名無效 的情況下改變包關(guān)系。類似地，簽署文檔序列部分410及其DS關(guān)系部分412防止 在不使數(shù)字簽名無效的情況下移除現(xiàn)有的固定文檔或添加新的固定文檔。簽署固定文檔部分414及其FD關(guān)系部分416防止對(duì)各頁(yè)在固定文檔中的順序的改變或添加 或刪除固定頁(yè)。簽署固定頁(yè)部分418及其FP關(guān)系部分422用來防止頁(yè)的內(nèi)容被改 變。簽署資源部分424防止移除或替換資源部分。類似地，當(dāng)縮略圖部分存在時(shí)， 例如在該所示的實(shí)現(xiàn)中，簽署縮略圖部分防止在不破壞簽名的情況下替換或刪除縮 略圖426。同樣地，如果數(shù)字簽名定義部分404存在，例如在此所指示的，則數(shù)字 簽署策略用數(shù)字簽名來包括該數(shù)字簽名定義部分。該數(shù)字簽署策略功能性地簽署這 些組件中的每一個(gè)以總體提供關(guān)于該文檔是否從所簽署的配置更改的指示。在該實(shí)現(xiàn)中，數(shù)字簽署策略允許簽署用戶決定該文檔的特定部分的內(nèi)容能否在 不使簽署用戶的數(shù)字簽名無效的情況下操縱。例如，簽署用戶是否希望隨后的用戶 能夠在不使簽署用戶的數(shù)字簽名無效的情況下向文檔添加內(nèi)容？在一個(gè)這樣的實(shí) 例中，簽署用戶能夠決定是否允許隨后的用戶向文檔添加數(shù)字簽名。在另一實(shí)例中， 簽署用戶能夠決定是否允許隨后的用戶改變文檔的核心屬性。在又一實(shí)例中，簽署 用戶能夠決定是否允許隨后的用戶向文檔添加注解。這些選項(xiàng)中的每一個(gè)都獨(dú)立于 其它選項(xiàng)，并且簽署用戶能夠不允許對(duì)文檔的任何可任選添加或者任何期望的組合。圖5示出了以關(guān)于核心屬性的邏輯表500的形式的數(shù)字簽署策略的一示例。邏 輯表500涉及兩個(gè)互斥的情形。在第一個(gè)情形中，簽署用戶希望允許核心屬性改變， 如502處所指示的。在第二個(gè)情形中，簽署用戶不希望允許核心屬性改變，如504 處所指示的。關(guān)于這兩個(gè)情形502、 504，兩個(gè)情況中的一個(gè)存在?；蛘呷?06處 所指示的核心屬性部分存在，或者如508處所指示的核心屬性部分不存在。如510處所指示的，在簽署用戶希望允許核心屬性改變并且核心屬性部分存在 的情況中，則當(dāng)用戶數(shù)字地簽署該文檔時(shí)，數(shù)字簽名策略保持核心屬性部分不被簽 署，但該策略將用戶的數(shù)字簽名應(yīng)用于關(guān)于圖4所描述的包關(guān)系。該包關(guān)系包含了 到核心屬性部分的鏈接，這樣，隨后的用戶可以在不使用戶的簽名無效的情況下改 變核心屬性。如512處所指示的，在簽署用戶希望允許核心屬性改變并且核心屬性部分不存 在的情況中，則數(shù)字簽署策略在用戶數(shù)字地簽署該文檔之前創(chuàng)建一核心屬性部分。 該核心屬性部分可以在此時(shí)為空，但在簽署之前創(chuàng)建它允許隨后添加內(nèi)容。該核心 屬性部分然后被保持不被簽署，以便能對(duì)該核心部分做隨后的改變。如上所述，用 戶的數(shù)字簽名被應(yīng)用于包關(guān)系來防止資料被改變或刪除。如514處所指示的，如果簽署用戶不希望允許核心屬性^^加并且核心屬性存在，則數(shù)字簽署策略以用戶的數(shù)字簽名簽署該核心屬性部分以及包關(guān)系。在這一情 形中，用戶的數(shù)字簽名包括核心屬性部分，使得對(duì)該核心屬性部分的任何改變將使 用戶的簽名無效。最后，如516處所指示的，如果簽署用戶不希望允許核心屬性添加并且核心屬 性部分不存在，則數(shù)字簽署策略不在用戶數(shù)字地簽署文檔之前創(chuàng)建核心屬性部分。 如其它情形中一樣，數(shù)字簽名被應(yīng)用于包關(guān)系。在此情形中，隨后添加核心屬性則 必須添加核心屬性部分。添加核心屬性部分改變了包關(guān)系部分，這使得用戶的簽名 無效。 .共同參考圖4一5，數(shù)字簽署策略能夠以類似于如上關(guān)于核心屬性所述的方式 來處理注解。注解被添加到被固定文檔部分414引用的注解部分420。如果注解部 分被用戶的數(shù)字簽名包括，則添加注解將使該簽名無效。如果注解部分不存在，則 在應(yīng)用數(shù)字簽名后創(chuàng)建該部分將改變固定文檔部分并使簽名無效。如果簽署用戶希 望允許添加注解，則注解部分應(yīng)當(dāng)在簽署時(shí)存在并且應(yīng)該保持不被簽署。注解部分 可以在數(shù)字地簽署文檔之前被創(chuàng)建。在這一實(shí)例中，新創(chuàng)建的注解部分在應(yīng)用用戶 的數(shù)字簽名時(shí)可以為空。圖6涉及例如可與圖4所示的文檔400相關(guān)聯(lián)的數(shù)字簽名部分。在該實(shí)現(xiàn)中， 數(shù)字簽名部分包括簽名起源部分602、簽名部分以及證書部分。在這一實(shí)例中，表 示了兩個(gè)簽名部分604、 606以及兩個(gè)證書部分608、 610。本實(shí)現(xiàn)將證書部分608、 610表現(xiàn)為分開且不同的部分。在其它實(shí)現(xiàn)中，證書部分可被嵌入在相關(guān)聯(lián)的簽名 部分內(nèi)。簽名起源部分602提供了用于導(dǎo)航文檔的可用數(shù)字簽名的起始點(diǎn)。包含了 包括由數(shù)字簽署策略指定的部分的數(shù)字簽名并且被適當(dāng)驗(yàn)證的簽名部分，如606 或608，可被認(rèn)為是有效的。例如，系統(tǒng)驗(yàn)證依據(jù)數(shù)字簽署策略簽署了正確的部分。 系統(tǒng)還驗(yàn)證可任選地簽署的部分(諸如上述核心屬性)的狀態(tài)，以及可任選地簽署 的部分的狀況是如何影響用戶的。系統(tǒng)還驗(yàn)證，對(duì)于所簽署的部分，簽名是否有效。 例如，如本領(lǐng)域技術(shù)人員應(yīng)該認(rèn)識(shí)到的，系統(tǒng)檢查散列計(jì)算是否匹配。換言之，如果簽名部分包括與數(shù)字簽署策略相一致的文檔部分并且簽名驗(yàn)證是 成功的，則該文檔可被認(rèn)為是有效的已簽署文檔，例如XPS文檔。在這一實(shí)例中， 用戶可以認(rèn)為這一文檔具有與應(yīng)用該有效數(shù)字簽名時(shí)存在的相同的配置。該數(shù)字簽署策略提供了關(guān)于附加資料能否被添加至文檔的一種靈活的解決方 案。該解決方案允許發(fā)布用戶指定什么(如果有)可任選材料可以在不使其數(shù)字簽 名被無效的情況下添加。該數(shù)字簽署策略然后考慮文檔的當(dāng)前配置并相應(yīng)地進(jìn)行行動(dòng)以如上在圖4-6中所述地創(chuàng)建或簽署各部分。至少某些實(shí)現(xiàn)類似于開關(guān)。例如， 如果作者打開簽名保護(hù)并且有人添加了一數(shù)字簽名，則數(shù)字簽署策略破壞該作者的 數(shù)字簽名。如果作者不希望簽名保護(hù)，則有人可以在不影響作者的數(shù)字簽名的情況 下添加數(shù)字簽名。相同的原理可應(yīng)用于其它可任選的添加，例如注解和核心屬性。 所以，該方案很靈活，因?yàn)樗尯炇鹩脩魜矶x策略參數(shù)并且數(shù)字簽署策略相應(yīng)地 操作以使得隨后的用戶能夠在不破壞簽署用戶的數(shù)字簽名的情況下添加內(nèi)容。然 而，盡管有其靈活性，但該數(shù)字簽署策略繼續(xù)防止任何人在不破壞消費(fèi)用戶的數(shù)字 簽名的情況下更改文檔的配置。在最終用戶級(jí)，所述的數(shù)字簽署策略提供了關(guān)于擁 有用戶的數(shù)字簽名的文檔保持與用戶曾數(shù)字地簽署的配置相一致的增加的置信度。 該數(shù)字簽署策略還可用于建立能被可與依據(jù)數(shù)字簽署策略的文檔及文檔格式交互 的其它軟件產(chǎn)品所依據(jù)并理解的數(shù)字簽署策略。該數(shù)字簽署策略定義了關(guān)于什么被 已簽署文檔實(shí)際包括、如何生成依據(jù)數(shù)字簽署策略的已簽署文檔、和/或如何評(píng)估 接收到的文檔以確定該文檔的數(shù)字簽名是否有效的標(biāo)準(zhǔn)?？傊摂?shù)字簽署策略定 義了被數(shù)字地簽署的文檔實(shí)際表示了什么意思。示例性計(jì)算環(huán)境圖7示出了其上能實(shí)現(xiàn)數(shù)字簽署策略的示例性系統(tǒng)或計(jì)算環(huán)境700。系統(tǒng)700 包括第一機(jī)器701和第二機(jī)器702形式的通用計(jì)算系統(tǒng)。第一機(jī)器701的組件可包括，但不限于， 一個(gè)或多個(gè)處理器704 (例如，微處 理器、控制器等中的任一個(gè))、系統(tǒng)存儲(chǔ)器706及耦合各系統(tǒng)組件的系統(tǒng)總線708。 一個(gè)或多個(gè)處理器704處理各種計(jì)算機(jī)可執(zhí)行指令來控制第一機(jī)器701的操作并與 其它電子和計(jì)算設(shè)備通信。系統(tǒng)總線708代表任何個(gè)數(shù)的幾種總線結(jié)構(gòu)，包括存儲(chǔ) 器總線或存儲(chǔ)器控制器、外圍總線、加速圖形端口、及采用各種總線體系結(jié)構(gòu)中的 任一種的處理器或局部總線。系統(tǒng)700包括各種計(jì)算機(jī)可讀介質(zhì)，其可以是可由第一機(jī)器701訪問的任何介 質(zhì)，并包括易失性和非易失性介質(zhì)、可移動(dòng)和不可移動(dòng)介質(zhì)兩者。系統(tǒng)存儲(chǔ)器706 包括諸如隨機(jī)存取存儲(chǔ)器(RAM) 710等易失性存儲(chǔ)器形式的計(jì)算機(jī)可讀介質(zhì)，和 /或諸如只讀存儲(chǔ)器(ROM) 712等非易失性存儲(chǔ)器形式的計(jì)算機(jī)可讀介質(zhì)?；?輸入/輸出系統(tǒng)(BIOS) 714維護(hù)幫助例如在啟動(dòng)期間在第一機(jī)器701內(nèi)的組件之 間的信息傳輸?shù)幕纠?，并被存?chǔ)在ROM712中。RAM710通常包含一個(gè)或多 個(gè)處理器704直接可訪問和/或當(dāng)前正在操作的數(shù)據(jù)和/或程序模塊。第一機(jī)器701可包括其它可移動(dòng)/不可移動(dòng)、易失性/非易失性計(jì)算機(jī)存儲(chǔ)介質(zhì)。 作為示例，硬盤驅(qū)動(dòng)器716讀取和寫入不可移動(dòng)、非易失性磁介質(zhì)(未示出)，磁 盤驅(qū)動(dòng)器718讀取和寫入可移動(dòng)、非易失性磁盤720 (例如，"軟盤")，而光盤 驅(qū)動(dòng)器722讀取和/或?qū)懭肟梢苿?dòng)、非易失性光盤724，例如CD-ROM、數(shù)字多功 能盤(DVD)或任何其它類型的光學(xué)介質(zhì)。在該示例中，硬盤驅(qū)動(dòng)器716、磁盤驅(qū) 動(dòng)器718和光盤驅(qū)動(dòng)器722各自通過一個(gè)或多個(gè)數(shù)據(jù)介質(zhì)接口 726連接至系統(tǒng)總線 708。盤驅(qū)動(dòng)器和相關(guān)聯(lián)的計(jì)算機(jī)可讀介質(zhì)為第一機(jī)器701提供了對(duì)計(jì)算機(jī)可讀指令、數(shù)據(jù)結(jié)構(gòu)、程序模塊及其它數(shù)據(jù)的非易失性存儲(chǔ)。任何數(shù)目的程序模塊可以被存儲(chǔ)在硬盤716、磁盤720、光盤724、 ROM 712 和/或RAM710中，包括例如操作系統(tǒng)726、 一個(gè)或多個(gè)應(yīng)用程序728、其它程序 模塊730和程序數(shù)據(jù)732。這些操作系統(tǒng)726、應(yīng)用程序728、其它程序模塊730 和程序數(shù)據(jù)732中的每一個(gè)(或其某一組合)可以包括此處所描述的系統(tǒng)和方法的 一個(gè)實(shí)施例。用戶可以通過任何數(shù)目的不同輸入設(shè)備，例如鍵盤734和定點(diǎn)設(shè)備736 (例如 "鼠標(biāo)")與第一機(jī)器701接口。其它輸入設(shè)備738 (未具體示出)可以包括話筒、 操縱桿、游戲手柄、控制器、圓盤式衛(wèi)星天線、串行端口、掃描儀等等。這些及其 它輸入設(shè)備通過耦合至系統(tǒng)總線708的輸入/輸出接口 740連接至處理器704，但也 可通過其它接口和總線結(jié)構(gòu)，例如并行端口、游戲端口、和/或通用串行總線(USB) 來連接。監(jiān)視器742或其它類型的顯示設(shè)備可以通過諸如視頻適配器744等接口連接至 系統(tǒng)總線708。除了監(jiān)視器742之外，其它輸出外圍設(shè)備可包括諸如揚(yáng)聲器(未顯 示)和打印機(jī)746等組件，它們可通過輸入/輸出接口 740連接至第一機(jī)器701。第一機(jī)器701可采用與諸如第二機(jī)器702等一個(gè)或多個(gè)遠(yuǎn)程計(jì)算機(jī)的邏輯連接 在聯(lián)網(wǎng)環(huán)境中操作。例如，第二機(jī)器702可以是個(gè)人計(jì)算機(jī)、便攜式計(jì)算機(jī)、服務(wù) 器、路由器、網(wǎng)絡(luò)計(jì)算機(jī)、對(duì)等設(shè)備、或其它常見的網(wǎng)絡(luò)節(jié)點(diǎn)等等。第二機(jī)器702 被示作可包括許多或全部此處關(guān)于第一機(jī)器701所描述的元件或特征的便攜式計(jì) 算機(jī)。第一機(jī)器701和第二機(jī)器702之間的邏輯連接被描繪為局域網(wǎng)(LAN) 750和 通用廣域網(wǎng)(WAN) 752。這樣的網(wǎng)絡(luò)連接環(huán)境在辦公室、企業(yè)范圍計(jì)算機(jī)網(wǎng)絡(luò)、 內(nèi)聯(lián)網(wǎng)和因特網(wǎng)中是常見的。當(dāng)在LAN網(wǎng)絡(luò)連接環(huán)境中實(shí)現(xiàn)時(shí)，第一機(jī)器701通 過網(wǎng)絡(luò)接口或適配器754連接至局域網(wǎng)750。當(dāng)在WAN網(wǎng)絡(luò)連接環(huán)境中實(shí)現(xiàn)時(shí)，調(diào)制解調(diào)器756，或用于通過廣域網(wǎng)752建立通信的其它裝 置?？蓛?nèi)置或外置于第一機(jī)器701的調(diào)制解調(diào)器756可通過輸入/輸出接口 740或 其它合適的機(jī)制連接至系統(tǒng)總線708。所示出的網(wǎng)絡(luò)連接是示例性的，并且可以利 用在第一機(jī)器701和第二機(jī)器702之間建立通信鏈路的其它手段。在例如隨系統(tǒng)700示出的聯(lián)網(wǎng)環(huán)境中，關(guān)于第一機(jī)器701所描述的程序模塊或 其部分可以被存儲(chǔ)在遠(yuǎn)程存儲(chǔ)器存儲(chǔ)設(shè)備中。作為示例，遠(yuǎn)程應(yīng)用程序758以第二 機(jī)器702的存儲(chǔ)器設(shè)備來維護(hù)。出于圖示的目的，應(yīng)用程序和諸如操作系統(tǒng)726 等其它可執(zhí)行程序組件在此被示為分立的框，盡管可以認(rèn)識(shí)到，這樣的程序和組件 在不同的時(shí)刻駐留在第一機(jī)器701的不同存儲(chǔ)組件中，并由第一機(jī)器的處理器704 來執(zhí)行。示例性過程圖8示出了關(guān)于數(shù)字簽署策略的示例性過程800。描述該過程的順序不意在被 解釋為限制，并且任何數(shù)目的所述過程框可以按任何順序組合來實(shí)現(xiàn)該過程。另外， 該過程可以用任何合適的硬件、軟件、固件或其組合來實(shí)現(xiàn)。在框802處，該過程確定依據(jù)數(shù)字簽署策略要以用戶的數(shù)字簽名來包括的文檔 的部分。在某些實(shí)現(xiàn)中，數(shù)字簽署策略可指定文檔的所有部分被數(shù)字地簽署。在其 它實(shí)現(xiàn)中，該數(shù)字簽署策略可以指定各部分的一個(gè)子集被數(shù)字地簽署。例如，在一 實(shí)現(xiàn)中，該數(shù)字簽署策略被應(yīng)用于對(duì)在簽署時(shí)刻所表示的文檔配置作出貢獻(xiàn)的部 分。在這一實(shí)例中，該數(shù)字簽署策略用來通知用戶和/或其他用戶，文檔在簽署后 是否以將文檔配置從用戶所簽署的文檔配置進(jìn)行改變的方式被更改。在框804處，該過程對(duì)在框802處確定的部分應(yīng)用數(shù)字簽名。用戶的數(shù)字簽名 被有效地應(yīng)用于由數(shù)字簽署策略指定的所有部分，使得如果任一部分被更改，則該 數(shù)字簽名就被破壞或無效。破壞與任一部分有關(guān)的數(shù)字簽名破壞了作為整體的文檔 的數(shù)字簽名?；驹硎歉娜我恢付ú糠謺?huì)改變文檔配置。該過程可表示數(shù)字簽名是否保持有效，以使用戶和/或隨后的用戶可關(guān)于如何 處理該文檔作出更明智的決定。該數(shù)字簽署策略有效地創(chuàng)建了具有對(duì)用戶更高程度 的確定度的環(huán)境。例如，如果發(fā)布用于對(duì)特定的文檔配置滿意并數(shù)字地簽署了該文 檔，則數(shù)字簽署策略確保只要他/她的數(shù)字簽名保持有效，發(fā)布用戶和任何消費(fèi)用 戶均可在他們正在查看曾被發(fā)布用戶數(shù)字地簽署的文檔配置的自信中行動(dòng)。這可在 其中發(fā)布用戶數(shù)字地簽署了期望的文檔配置然后將該文檔發(fā)送至諸如可在合同談判中相遇的相反的消費(fèi)方的情形中特別有價(jià)值。如果消費(fèi)用戶接著將該文檔發(fā)送回 發(fā)布用戶，則發(fā)布用戶可以對(duì)消費(fèi)方對(duì)文檔作出的某些難以檢測(cè)但重要的改變很機(jī) 警。該數(shù)字簽署策略功能允許發(fā)布用戶容易地確定所返回的文檔是否具有他數(shù)字地 簽署的相同配置。由于數(shù)字簽署策略為用戶創(chuàng)建了更高級(jí)別的確定度，因此它可以 培養(yǎng)對(duì)數(shù)字文檔的更高級(jí)別的接受度，特別是在被用戶認(rèn)為重要的事情中。另外， 當(dāng)以系統(tǒng)的角度來看時(shí)，該數(shù)字簽署策略促進(jìn)可與依據(jù)數(shù)字簽署策略的文檔交互或 支持其的軟件產(chǎn)品之間的互操作性。盡管用對(duì)結(jié)構(gòu)特征和/或方法專用的語言描述了涉及數(shù)字簽署策略的實(shí)現(xiàn)，但 應(yīng)該理解，所隨權(quán)利要求的主題并不必然局限于所描述的具體特征或方法。相反， 這些具體特征和方法為上述和以下的概念提供了實(shí)現(xiàn)的示例。
權(quán)利要求
1.一種系統(tǒng)，包括用于將文檔作為多個(gè)邏輯部分來存儲(chǔ)的裝置；用于建立當(dāng)將一數(shù)字簽名應(yīng)用于所述文檔時(shí)的文檔配置的裝置；以及用于指示所述文檔配置隨后是否被更改的裝置。
2. 如權(quán)利要求l所述的系統(tǒng)，其特征在于，所述用于存儲(chǔ)的裝置包括XPS文 檔格式。
3. 如權(quán)利要求1所述的系統(tǒng)，其特征在于，所述用于建立的裝置定義所述多 個(gè)邏輯部分中的哪些部分要以所述數(shù)字簽名來簽署。
4. 如權(quán)利要求1所述的系統(tǒng)，其特征在于，所述用于建立的裝置包括一組數(shù)字簽署策略規(guī)則，所述規(guī)則定義了所述邏輯部分中對(duì)所述配置作出貢獻(xiàn)的一子集， 使得如果所述子集的單獨(dú)邏輯部分被更改，則所述文檔配置被認(rèn)為被更改。
5. 如權(quán)利要求1所述的系統(tǒng)，其特征在于，所述用于建立的裝置包括一組數(shù)字簽署策略規(guī)則，所述規(guī)則定義了所述邏輯部分中對(duì)所述配置作出貢獻(xiàn)的第一子集，使得如果所述子集的單獨(dú)邏輯部分被更改，則所述配置被認(rèn)為被更改；以及所 述部分中可在不更改所述配置的情況下被更改的第二子集。
6. 如權(quán)利要求5所述的系統(tǒng)，其特征在于，所述用于建立的裝置還允許用戶應(yīng)用所述數(shù)字簽名來指定所述第二子集中當(dāng)被更改時(shí)被認(rèn)為更改所述配置的的單 獨(dú)部分。
7. 如權(quán)利要求1所述的系統(tǒng)，其特征在于，所述用于指示的裝置包括被配置成指示在所述配置被更改的情況中所述數(shù)字簽名為無效的界面。
8. —種包括當(dāng)被執(zhí)行時(shí)執(zhí)行以下動(dòng)作的計(jì)算機(jī)可執(zhí)行指令的計(jì)算機(jī)可讀介質(zhì)依據(jù)一數(shù)字簽署策略來確定一文檔中要以用戶的數(shù)字簽名來包括的部分；以及 向所述部分應(yīng)用所述數(shù)字簽名。
9. 如權(quán)利要求8所述的計(jì)算機(jī)可讀介質(zhì)，其特征在于，所述部分包括所述文 檔中所包含的所有文檔序列部分和相關(guān)聯(lián)的關(guān)系部分、所有固定文檔部分和相關(guān)聯(lián) 的關(guān)系部分、所有固定頁(yè)部分和相關(guān)聯(lián)的固定頁(yè)關(guān)系部分、所有資源部分、以及所 有數(shù)字簽名定義部分。
10. 如權(quán)利要求8所述的計(jì)算機(jī)可讀介質(zhì)，其特征在于，還包括驗(yàn)證所述數(shù)字 簽名。
11. 如權(quán)利要求8所述的計(jì)算機(jī)可讀介質(zhì)，其特征在于，還包括在所述部分中 的任一個(gè)隨后被更改時(shí)使所述用戶的數(shù)字簽名無效。
12. 如權(quán)利要求8所述的計(jì)算機(jī)可讀介質(zhì)，其特征在于，還包括允許用戶指定 核心屬性、注解和數(shù)字簽名中任何一個(gè)或多個(gè)可否在不使所述用戶的數(shù)字簽名無效 的情況下被改變。
13. 如權(quán)利要求12所述的計(jì)算機(jī)可讀介質(zhì)，其特征在于，在用戶指定改變核 心屬性使用戶的數(shù)字簽名無效并且核心屬性部分存在的情況中，則所述應(yīng)用包括將 所述用戶的數(shù)字簽名應(yīng)用于所述核心屬性部分。
14. 如權(quán)利要求12所述的計(jì)算機(jī)可讀介質(zhì)，其特征在于，在用戶指定改變核 心屬性不會(huì)使用戶的數(shù)字簽名無效并且核心屬性部分存在的情況中，則所述應(yīng)用不 包括將所述數(shù)字簽名應(yīng)用于所述核心屬性部分。
15. 如權(quán)利要求12所述的計(jì)算機(jī)可讀介質(zhì)，其特征在于，在用戶指定改變核 心屬性不會(huì)使用戶的數(shù)字簽名無效并且核心屬性部分不存在的情況中，則在數(shù)字地 簽署之前創(chuàng)建所述核心屬性部分。
16. —種系統(tǒng)，包括用于建立當(dāng)用戶向一數(shù)字文檔應(yīng)用數(shù)字簽名時(shí)所述數(shù)字文檔的配置的數(shù)字簽 署策略；以及用于生成指示所述配置隨后是否被更改的用戶界面的模塊。
17. 如權(quán)利要求16所述的系統(tǒng)，其特征在于，所述數(shù)字簽署策略涉及作為多 個(gè)互相聯(lián)系的邏輯部分存儲(chǔ)的數(shù)字文檔。
18. 如權(quán)利要求17所述的系統(tǒng)，其特征在于，所述數(shù)字簽署策略定義了所述 部分的一個(gè)子集，使得如果所述部分的子集的任一個(gè)被更改，則所述數(shù)字簽署策略 將所述配置定義成被更改。
19. 如權(quán)利要求18所述的系統(tǒng)，其特征在于，所述數(shù)字簽名被有效地應(yīng)用于 所述子集的每一部分，使得更改一單獨(dú)部分使所述數(shù)字簽名無效。
20. 如權(quán)利要求18所述的系統(tǒng)，其特征在于，所述數(shù)字簽署策略允許用戶可 任選地指定能在不構(gòu)成對(duì)所述文檔的更改的情況下被添加至所述文檔的數(shù)據(jù)。
全文摘要
描述了涉及有指導(dǎo)的數(shù)字簽署策略的技術(shù)。在一實(shí)例中，一種系統(tǒng)包括用于將文檔作為多個(gè)邏輯部分來存儲(chǔ)的裝置。該系統(tǒng)還包括用于建立當(dāng)將數(shù)字簽名應(yīng)用于該文檔時(shí)的文檔配置的裝置，以及用于指示該文檔配置隨后是否被更改的裝置。
文檔編號(hào)G06F17/00GK101263478SQ200680033092
公開日2008年9月10日 申請(qǐng)日期2006年9月6日 優(yōu)先權(quán)日2005年9月9日
發(fā)明者M·A·戴拉, M·德麥羅 申請(qǐng)人:微軟公司