СБЕРЕГАЮЩАЯ ЗАЩИТА ДАННЫХ ПОСРЕДСТВОМ ПОЛИТИКИ

1. Способ, осуществляемый в вычислительном устройстве, причем способ содержит этапы, на которых:
идентифицируют доверенное для субъекта приложение на вычислительном устройстве, причем доверенное для субъекта приложение сконфигурировано для осуществления доступа к данным;
связывают первый процесс, который является запущенным экземпляром доверенного для субъекта приложения, с идентификатором субъекта, который устанавливает политику защиты данных, управляющую доступом к данным; и
вводят в действие, посредством операционной системы вычислительного устройства, политику защиты данных субъекта для усиления безопасности данных, обеспечиваемой вычислительным устройством, ввиду того что операционная система вводит в действие политику защиты данных от имени доверенного для субъекта приложения, причем введение в действие включает в себя этапы, на которых:
автоматически шифруют, посредством операционной системы в соответствии с политикой защиты данных, данные, сохраненные первым процессом; и
предотвращают, посредством операционной системы в соответствии с политикой защиты данных, доступ со стороны второго процесса, который является запущенным экземпляром недоверенного для субъекта приложения, к зашифрованным данным;
причем вычислительное устройство включает в себя информированное приложение, которое защищает данные в соответствии с политикой защиты данных, привлекая функциональные возможности вычислительного устройства надлежащим образом для защиты и обращения с защищенными данными согласно политике защиты данных, и
операционная система обеспечивает информированному возможность приложению осуществлять доступ к данным, защищенным политикой защиты данных, автоматически дешифруя данные для информированного приложения и/или дешифруя данные в ответ на запрос от информированного приложения и полагаясь на информированное приложение в шифровании данных надлежащим образом.
2. Способ по п.1, в котором введение в действие дополнительно включает в себя этапы, на которых: дешифруют, посредством операционной системы, данные, считанные первым процессом; и подают дешифрованные данные в первый процесс.
3. Способ по п.1 или 2, в котором доверенное для субъекта приложение является информированным приложением, и введение в действие политики защиты данных включает в себя этап, на котором вводят в действие политику защиты данных в ответ на запрос от первого процесса для операционной системы обращаться с информированным приложением как с неинформированным приложением, которое не защищает данные в соответствии с политикой защиты данных и позволяет операционной системе вводить в действие политику защиты данных, причем операционная система выполняет шифрование и дешифрование, чтобы поддерживать защиту для данных в соответствии с политикой защиты данных.
4. Способ по пп.1-3, в котором первый процесс включает в себя множество потоков, и введение в действие политики защиты данных включает в себя этап, на котором вводят в действие политику защиты данных для первого набора из одного или нескольких из множества потоков, но не для второго набора из одного или нескольких из множества потоков.
5. Способ по пп.1-4, дополнительно содержащий этап, на котором обращаются с доверенным для субъекта приложением как с недоверенным приложением для, по меньшей мере, части политики защиты данных, в ответ на запрос от первого процесса для операционной системы обращаться с доверенным для субъекта приложением как с недоверенным для субъекта приложением.
6. Способ по пп.1-5, в котором первый процесс имеет множество потоков, и первый процесс запрашивает, чтобы операционная система обращалась с первым набором из одного или нескольких из множества потоков, но не со вторым набором из одного или нескольких из множества потоков, как с недоверенным для получения другого режима введения политики в действие для первого набора из одного или нескольких потоков относительно второго набора из одного или нескольких потоков.
7. Способ по пп.1-6, в котором введение в действие дополнительно включает в себя этап, на котором защищают данные при передаче данных к другому устройству по сети в течение операций считывания буфера и операций записи буфера и в течение операций считывания буфера обмена и операций записи буфера обмена.
8. Способ по пп.1-7, в котором упомянутое введение в действие дополнительно включает в себя этап, на котором сохраняют зашифрованные данные в контейнерном файле, который включает в себя как метаданные, так и зашифрованные данные, причем метаданные включают в себя идентификатор субъекта.
9. Способ по п.8, в котором упомянутое введение в действие дополнительно включает в себя этап, на котором обеспечивают недоверенному для субъекта приложению возможность оперировать контейнерным файлом, но не дешифровать зашифрованные данные для недоверенного для субъекта приложения.
10. Способ по пп.1-9, дополнительно содержащий этап, на котором выполняют упомянутое введение в действие в отсутствие логической или визуальной изоляции: доверенного для субъекта приложения и недоверенного для субъекта приложения в отдельных контейнерах приложения; и пользователя вычислительного устройства, осуществляющего логический вход в различные пользовательские учетные записи.
11. Вычислительное устройство, содержащее:
обрабатывающую систему, содержащую один или несколько процессоров; и
один или несколько машиночитаемых носителей информации, на которых сохранено множество инструкций, которые при их исполнении обрабатывающей системой предписывают обрабатывающей системе выполнять действия, содержащие:
идентификацию первого приложения на вычислительном устройстве, причем первое приложение сконфигурировано для осуществления доступа к данным, которые зашифрованы;
связывание файла данных, который включает в себя эти данные, с идентификатором владельца данных, причем владелец данных устанавливает политику защиты данных, управляющую доступом к данным, при этом идентификатор владельца данных является отдельным от идентификатора пользователя, который осуществил логический вход в вычислительное устройство;
связывание первого процесса, который является запущенным экземпляром первого приложения, с идентификатором владельца данных; и
введение в действие, операционной системой вычислительного устройства, политики защиты данных владельца для усиления безопасности данных, обеспечиваемой вычислительным устройством, ввиду того, что операционная система вводит в действие политику защиты данных от имени первого приложения, причем введение в действие включает в себя:
обеспечение возможности дешифрования данных в открытые данные, которые подаются в первый процесс; и
предотвращение для данных их дешифрования в открытые данные и подачи во второй процесс, который является запущенным экземпляром второго приложения, причем второй процесс не связан с идентификатором владельца данных;
при этом вычислительное устройство включает в себя информированное приложение, которое защищает данные в соответствии с политикой защиты данных, привлекая функциональные возможности вычислительного устройства надлежащим образом для защиты и обращения с защищенными данными согласно политике защиты данных, и
операционная система обеспечивает информированному приложению возможность осуществлять доступ к данным, защищенным политикой защиты данных, автоматически дешифруя данные для информированного приложения и/или дешифруя данные в ответ на запрос от информированного приложения и полагаясь на информированное приложение в шифровании данных надлежащим образом.
12. Вычислительное устройство по п.11, в котором введение в действие дополнительно включает в себя: шифрование, операционной системой и на основе ключа владельца, данных, записанных первым процессом; и предотвращение шифрования данных, записанных вторым процессом, на основе ключа владельца.
13. Вычислительное устройство по п.12, в котором шифрование дополнительно включает в себя шифрование, операционной системой, по меньшей мере, первого типа данных, записанных первым процессом, но без шифрования, по меньшей мере, второго типа данных, записанных первым процессом.
14. Вычислительное устройство по пп.11-13, в котором введение в действие дополнительно включает в себя обеспечение возможности дешифрования дополнительных данных, сохраненных в буфере данных вычислительного устройства, в открытые данные, которые подаются в первый процесс, но при этом для дополнительных данных предотвращаются их дешифрование в открытые данные и подача во второй процесс.
15. Вычислительное устройство по пп.11-14, в котором введение в действие дополнительно включает в себя защиту, операционной системой и на основе ключа владельца, данных, скопированных в буфер обмена вычислительного устройства первым процессом, но при этом предотвращается связывание данных, скопированных в буфер обмена вторым процессом, с владельцем.