CN102780689B

CN102780689B - 用于远程访问应用程序的渲染服务

Info

Publication number: CN102780689B
Application number: CN201210134345.7A
Authority: CN
Inventors: 杰瓦特·耶尔利
Original assignee: Crete Ip Holdings Co Ltd
Current assignee: Crete IP Holdings Co., Ltd.
Priority date: 2011-05-02
Filing date: 2012-05-02
Publication date: 2015-08-12
Anticipated expiration: 2032-05-02
Also published as: EP2521028B1; EP2521028A1; US20120284513A1; US8892883B2; CN102780689A

Abstract

本发明涉及以提高的保密性级别对应用程序提供远程访问。提供用于对应用程序提供访问的服务器以及方法，服务器包括将客户端与所述服务器连接的输入信道和输出信道，耦接到所述输入信道和应用程序的接口，所述接口经由所述输入信道从所述客户端接收输入数据并且将所述接收的输入数据传送到应用程序，和耦接到所述输出信道和所述应用程序的渲染器，所述渲染器将所述应用程序的输出渲染成数据流，该数据流将经由输出信道被传送到客户端，其中输入数据和数据流两者都被加密。用于对应用程序提供远程访问的本发明的服务器和方法大大地提高了访问的应用程序和对远程应用程序访问两者的保密性级别和完整性。

Description

用于远程访问应用程序的渲染服务

技术领域

本发明涉及以提高的保密性级别对应用程序提供远程访问。特别地，本发明指的是托管应用程序的服务器，客户端可以经由保密的通信信道访问应用程序。被访问的应用程序的输出在服务器上被渲染，并且借助于加密的数据流被提供给客户端。

背景技术

现代的应用程序需要高的保密性级别。特别地，许多联机服务需要能够保密的访问敏感数据的保密方法。但是，当前的应用程序往往不能供应期望的保密性级别。一个理由是，由于用户处理的操作不能完全地被例如(可靠的)中央系统所保护，因此在用户的装置上处理的操作倾向于以各种方式被操纵。

举例来说，在客户端上执行的典型的应用程序可以连接到服务器以检索保密性关键数据。该应用程序可以执行用户的认证，并且可以将保密性关键数据从服务器传送到客户端。如果客户端上的应用程序被操纵或被黑客攻击，则入侵者可以获得对认证数据的访问，并且可以监视或操纵传送到客户端的保密性关键数据。同样，例如，通过采用漏洞利用或击键记录器，以及通过数据包的捕获或者认证数据的网上诱骗或者允许稍后以不希望的方式再使用监视数据的其他不希望的数据监视、操纵或损坏，可以监视用户录入的数据以及在服务器和客户端之间通信的数据。

促成这种攻击的一个理由是，用户可能在可能不可靠的系统上执行应用程序。例如，通过各种类型的恶意代码，该系统可以被损坏，各种类型的恶意代码诸如是间谍软件、病毒、木马或马威尔、保密性漏洞利用、或允许访问和操纵在应用程序和被访问的联机服务之间通信的数据的其他代码。

另一个保密性问题涉及应用程序的未被授权的执行，其中从服务器被传送到这种应用程序的数据可以以未被授权的方式被使用。这是由于安装在客户端装置上的应用程序和数据可能倾向于恶意操纵和未被授权的访问的事实。相关代码可能被修改，以致应用程序供应者的服务器将不能够正确地认证应用程序的完整性，可能导致将保密性关键数据传送到未被授权的应用程序。

处理这种保密性问题的常用方法包括加密方法的使用，以及例如，通过例如证书或其他密码的签名和方法，检查应用程序和系统的完整性。但是，仍然存在计算机保密性技术的一个核心问题，即，在未保密的客户端或系统上执行的每段代码可以容易地被攻击或操纵，并且因此产生保密性威胁。

因此，本发明的目的是提高应用程序的保密性级别和完整性。

发明内容

通过如独立权利要求中限定的对应用程序提供访问的服务器和方法来解决这个问题。该发明的服务器和方法的较佳实施例被限定在从属权利要求书中。

根据本发明的用于对应用程序提供访问的服务器，包括将客户端与所述服务器连接的输入信道和输出信道，耦接到所述输入信道和应用程序的接口，所述接口经由所述输入信道从所述客户端接收输入数据并且将所述接收的输入数据传送到应用程序，和耦接到所述输出信道和所述应用程序的渲染器，所述渲染器将所述应用程序的输出渲染成数据流，该数据流经由输出信道被传送到客户端，其中输入数据和数据流两者都被加密。

服务器提供在客户端和应用程序之间的通信接口，应用程序诸如是保密性关键应用程序或联机服务。该通信经由两个独立的信道，输入信道和输出信道被建立，并且分别通过服务器的接口和渲染器被调解。两个信道可以被建立在一个网络连接之内。但是，较佳地，两个信道是独立于彼此建立的完全分开的信道。因而，如果一个信道被监视，入侵者不能自动地获得对另一个信道的通信数据的访问。

输入信道以加密的方式将输入数据从客户端传递回到服务器。输入信道被耦接到服务器的接口，服务器被配置成向应用程序供应所述接收的输入数据。加密的输入数据可以在服务器的接口中被解码并且经由保密的连接被供应给应用程序，或者接口可以被配置成直接将加密的输入数据传给应用程序，而不对所述输入数据进行解码，无论在哪种情况下，应用程序看管解码输入数据。

应用程序接收输入数据，以便控制执行，或者更新当前的运行状态。在响应中，应用程序产生输出并且将所述输出数据提供给服务器的渲染器。渲染器被配置成接收和处理各种级别的应用程序的各种类型的输出数据，包括低级别的更新命令，例如，对诸如图形或音频程序库的输出程序库的接口，或者应用程序的已经渲染的输出的调用。较佳地，输出数据经由保密的连接被传送到渲染器。

渲染器被配置成接收和处理输出数据并且产生数据流，该数据流经由输出信道被传送到客户端。较佳地，数据流被加密，以致只可能通过接收客户端被解密。另外或作为替换，输出信道也可以被加密，从而降低窃听的风险。

因为在独立于连接的客户端装置的规格的服务器上完成渲染，应用程序的渲染的输出的质量可以是非常高的，并且可以例如包括非常详细的三维图形对象的丰富表示以及声音效果和音乐的丰富表示。因此，客户端不涉及任何渲染任务并且不需要附加的渲染资源。客户端仅仅必须能够充分地表示从服务器接收的输出数据流。因此，该发明的方法允许在任何客户端装置上的最高质量的输出，仅仅受到服务器的渲染能力和资源限制。

因为服务器经由耦接到用于接收输入的输入信道的接口和耦接到用于传输输出数据流的输出信道的渲染器来完全地控制访问，所以该发明的服务器以提高的保密性级别提供对应用程序的访问，较佳地对保密性关键应用程序或联机服务程序的访问。因而，客户端没有被直接地连接到由服务器托管(host)的应用程序，并且特别地，客户端对由服务器上的应用程序所使用的任何数据具有不直接或间接的访问。客户端仅仅必须能够连接到服务器，解码和显示接收的数据流，以及加密和发送输入数据到服务器。因此，客户端仅仅必须符合服务器的通信接口，而不必对服务器上托管的应用程序的任何通信和访问细节具有任何具体知识。客户端甚至可以完全不知道访问的应用程序的类型和规格以及应用程序的任何附加功能性。

因此，因为没有直接的保密性关键弱点，诸如专门的接口或下载的保密性数据，所以在客户端侧完成的任何保密性相关操纵无效，或者在服务器检测操纵，在这种情况下，服务器可以阻断对托管的应用程序的访问。事实上，客户端装置上的用户仅仅对输出数据流有影响。任何用户的影响，诸如单击屏幕上的按钮或录入密钥，在客户端内不引起任何直接的功能性处理，而是相反地被传送到服务器作为输入数据，它们被处理并被供应给由服务器托管的各个应用程序。同样，服务器本身较佳地可以仅仅具有为客户端的各个动作所需的数据。特别地，应用程序和任何相关的数据较佳地通过服务器的接口和渲染器与客户端保持分开。

此外，因为两个通信信道被加密并且较佳地完全独立于彼此地运行，所以不能通过截取客户端和服务器之间的通信来攻击或劫持系统。因此，对由服务器托管的具体应用程序的访问只可能在客户端上，在客户端处，两个信道汇合，即在客户端处，经由输出信道传送的数据流被接收并且经由输入信道传送的输入数据被产生。特别地，将需要劫持通信信道和解密输出数据流的输出信道的窃听，在没有可能对应用程序有影响的情况下，将最多只能允许监视或操纵应用程序输出。同样，因为没有监视应用程序的结果的可能，所以输入信道的窃听(和解码)将只允许监视输入或(盲目地)包括附加数据。因此，仅仅在客户端装置处，用户可以完全地对应用程序有影响。

该发明的服务器允许联机运行应用程序，而不是下载该应用程序或该应用程序的一部分，进一步提高保密性，大大地简化了客户端装置上的应用程序的安装和维护。为了显示数据流，应用程序的用户可以从能够连接服务器并与服务器通信的以及满足渲染器的最低要求的任何装置访问该应用程序。此外，因为应用程序没有被安装，而是仅仅经由服务器被启动(联机)和使用，所以应用程序的用户必定可以总是访问相同的以及最新的应用程序，而不管他们从什么类型的客户端装置访问应用程序。

在本发明的特别较佳实施例中，所述应用程序在环境中被执行。较佳地，服务器的所述接口和所述渲染器经由保密的连接被耦接到该环境，保密的连接例如通过传送数据的加密和验证，保证了通信数据的高的保密性级别和完整性。该环境可以在包括其自身的硬件和操作系统的专用系统上被支持，或者可以被例示作为虚拟环境，诸如与服务器上的其他环境位于同一位置的虚拟机。该环境也可以是表示保密的环境或者安全区的更限制的环境，诸如具有有限的相互影响能力的沙箱。该环境可以被配置成仅仅允许经由与服务器的接口和渲染器的保密连接，对应用程序的访问，以致任何其他通信请求通过该环境被阻断。因而，每个应用程序被较佳地托管在其自身的环境中，并且完全地与其他应用程序或者任何不受控制的访问隔离。

服务器较佳地使得第三方应用程序供应者能够上传应用程序，以及在保密的环境中执行这些应用程序。在应用程序可以通过各个第三方应用程序供应者被管理的同时，服务器及其部件和服务，诸如接口、渲染器、通信数据的加密和解码，以及服务器基础结构可以通过服务器的拥有者或供应者被提供和管理，服务器的拥有者或供应者可以不同于第三方应用程序供应者。服务器可以提供用于第三方应用程序供应者的服务以在安全区中运行它们的应用程序，以及可以允许这些应用程序的用户以保密的方式使用它们，这保证了没有入侵者的操纵可以损害应用程序的任何敏感数据或功能。

较佳地，所述环境位于服务器上。服务器的操作系统较佳地具有例示诸如保密的环境或虚拟机的用于执行应用程序的环境的能力，保密的环境或虚拟机可以只限于较佳地经由保密连接对服务器的接口和渲染器有影响。连接可以借助于系统和操作系统的通信功能被建立，或者可以使用通信等级的情况，通信等级被较佳地设计和配置成保护数据免于在系统部件之间传递的期间被未授权的访问。例如，要被传递的数据可以暂时地被存储或者高速缓冲存储在共享的内存、高速缓冲存储器或者存储器中，同时传递的数据的指示器被传给接收部件。较佳地，传递的数据被加密并且被存储在共享的内存或者高速缓冲存储器中的存储目标中，并且只有在包含该数据的存储目标正在被授权的接收部件请求的情况下才被解码。因而，为了使得可能的保密性威胁最小化，即使执行应用程序的环境正位于还对所述应用程序授予访问的相同服务器的同一位置上，服务器也被配置成密闭和将连接到客户端和执行应用程序的所述环境的服务器部件分开，以及保护传送的数据。

在本发明的较佳实施例，服务器进一步包括用于设立环境以及管理在所述环境中的应用程序的管理部件。较佳地，管理部件允许第三方应用程序供应者将应用程序上传到服务器上的指定环境。特别地，应用程序将不能被安装在上传该应用程序的服务器以外的任何其他系统上。因此，该应用程序必须只能在一个系统上被测试，以及将总是以同样的方式运行和表现，而不管客户端装置上的客户端硬件或操作系统。因为应用程序仅仅经由服务器接口和渲染器对客户端有影响，所以不需要对其他硬件或系统的适配。诸如通过上传和安装该安装的应用程序的修复、升级、更新或改变，管理部件进一步使得第三方应用程序供应者能够更新他们的应用程序。为了确保应用程序和相关数据的最大保密性，管理部件可以包括传递途径，该传递途径由服务器供应者提供，但是在第三方应用程序供应者的完全控制之下。同样，第三方应用程序供应者具有应用程序管理的完全控制，并且不取决于来自服务器供应者的支持。为了保护管理部件免于不希望的访问，管理部件较佳地满足用于联机访问的高保密性标准，并且为了安装和管理应用程序，管理部件甚至可以需要第三方应用程序供应者与服务器的局部或直接连接。另外，管理部件可以仅仅具有对相应的应用程序的访问。服务器的其他部件或由服务器托管的其他应用程序较佳地通过管理部件是不可访问的。

在本发明的另一个特别较佳的实施例中，所述环境进一步地包括耦接到所述应用程序的数据库。数据库可以在内存或任何其他数据存储器中存储数据，数据库较佳地整体地被链接到环境，诸如环境的内存空间或数据存储器或者分开的数据存储器，数据库在环境内是可访问。为了进一步保护数据免于被未授权的访问，数据库可以存储较佳地与应用程序本身分开的保密性关键的或敏感的数据。因而，在没有其相应数据的情况下，应用程序可以被上传到各个环境。同样，服务器本身较佳地仅仅访问为当前动作所需的数据以及为访问环境内的应用程序所需的数据，同时数据源或任何敏感数据保持在数据库中。经由内部连接，较佳地经由执行应用程序的环境内的保密的连接，可以通过应用程序访问数据库。内部连接可以类似于在服务器的接口和渲染器以及环境之间的保密连接。但是，因为内部连接被设置在环境内，所以存储在数据库中的数据较佳地从不离开环境，并且因此不能例如通过服务器的部件或操作系统从环境的外面被截取。特别地，应用程序和数据库之间的内部连接对于访问应用程序的任何客户端是不可见的。任何来自与敏感数据相关的客户端的请求通过服务器被处理，服务器将该请求传送到应用程序，应用程序又为请求的数据查询数据库。但是，客户端以及服务器没有被授予对数据库的直接访问。更确切地，任何对数据库的访问通过应用程序本身被处理，并且仅仅应用程序的输出被提供给服务器的渲染器用于最后的渲染，以及将输出传输到客户端。较佳地，每个应用程序被连接到环境内的其自身的数据库或多个数据库，环境又可以仅仅被直接耦接到这些具体的应用程序。数据库基础结构可以通过服务器供应者、第三方应用程序供应者、或第三方数据供应者被提供。较佳地，数据库以及数据库内存储的数据可以通过第三方应用程序供应者或第三方数据供应者被控制和管理。因而，数据较佳地保持在一个或两个第三方供应者的完全控制下，并且为了最大的安全，只能通过应用程序被访问。

在本发明的又一个较佳实施例中，接口和渲染器被耦接到在一个以上的附加环境中执行的一个以上的附加应用程序。较佳地，所述一个以上的附加环境中的每个附加环境以相同的方式被配置作为环境，并且可以包括与该环境类似的或相同的部件和保密性特征，诸如连接、数据库、以及传递的数据的加密和解密。特别地，所述一个以上的附加环境中的每个附加环境可以位于服务器或位于分开的系统或资源上。同样地，所述一个以上的附加环境中的每个附加环境可以被实现作为具有各自的操作系统的分开的硬件，或者作为操作系统内的虚拟环境，诸如虚拟机或沙箱。为了将通过访问应用程序的客户端接收的输入数据供应给相关的环境以及将各个应用程序的输出提供给渲染器用于传送到所述客户端，包括接口和渲染器的服务器及其部件较佳地经由诸如保密连接的连接被较佳地耦接到所述一个以上的附加环境中的每个附加环境。服务器可以允许多个第三方应用程序供应者经由服务器将他们的应用程序上传到相应的环境，以致所有的应用程序在相应的环境中具有他们自己空间并且彼此被密封。较佳地，每个第三方应用程序供应者在给定的限制内管理在相关环境中的他的应用程序或者多个他的应用程序。特别地，没有其他的第三方应用程序供应者可以被允许访问其他第三方应用程序供应者的任何应用程序。

根据本发明的较佳实施例，数据流包括音频流和视频流，其中使用音频编码译码器压缩音频流，使用视频编码译码器压缩视频流，以及编码的音频流和视频流被汇编在贮存器比特流中。较佳地，数据流是多模式数据流或者多媒体数据流。多媒体数据流可以包括由渲染器从访问的应用程序的输出产生的视频流和/或音频流。例如，渲染器可以将应用程序的可视输出变换成视频流。类似地，渲染器可以将应用程序的任何附加输出或者替换输出，诸如音频输出或者其他形态的输出数据，变换成相应的数据流。较佳地，渲染器不局限于二维可视输出数据，并且可以例如能够接收应用程序的立体输出和相关命令，以及产生两个视频流或者一个交错的视频流，传递用于各个眼睛的可视数据。类似地，渲染器也可以能够产生携带立体声数据的音频流以及用于其他多维多模式数据的数据流。音频编码译码器可以是能够接收音频输出并且产生诸如WMA、AAC或Vorbis的音频数据流的任何编码技术。较佳地，音频编码译码器可以支持音频流的加密。类似地，视频编码译码器可以是能够接收视频输出并且产生诸如WMV或MPEG-4的视频数据流的任何编码技术。较佳地，视频编码译码器也可以支持视频流的加密。用于产生音频流或视频流或者较佳地支持相关输入数据流的加密的其他形态的任何流，或者考虑到结果的音频或视频流或者另一个形态的任何流的后续加密的其他编码译码器也可以被使用。贮存器比特流可以是配置成容纳一个以上的数据流的任何适当的比特流，诸如ASF或ISMA。但是，较佳地考虑到结果的贮存器比特流的后续加密，也可以使用其他适当的贮存比特流。

在本发明的较佳实施例中，输入数据包括键击、鼠标数据、接触数据、照相信息、手指扫描、信用卡扫描和ID扫描中的一个或多个。特别地，为了控制应用程序，较佳地除可执行的命令或功能之外，输入数据可以包括通常录入的任何数据。

在本发明的特别较佳实施例中，接口被进一步配置成认证所述客户端，所述客户端包括经由加密的传送从所述客户端接收认证数据、以及利用所述应用程序来验证认证数据。较佳地，用户可以通过将客户端连接到服务器并且请求对应用程序的访问来激活服务。服务器可以开始加密的视频流的流出，请求客户端上的用户的认证。用户可以录入他的认证并且经由加密的传送来发送相应的认证数据到服务器。较佳地，认证数据被传给请求的应用程序，并且由请求的应用程序验证。只有当应用程序接受用户的认证时，服务器才可以向客户端建立数据流，传递请求的应用程序的输出。为了认证用户，服务器可以使用输入信道和输出信道中的一个或两个。例如，服务器可以仅仅在建立用于使应用程序的输出流出到客户端的输出信道之前，使用于认证的加密的请求流出，以及通过输入信道接收认证数据。服务器也可以首先建立两个信道，以及使用输出信道以使认证请求流出和使用输入信道以接收认证数据。较佳地，根据任何适当的认证协议来执行认证，包括证书、密钥及其他参数以及加密口令、ID或手指扫描等，诸如CHAP、PAP、EAP或Kerberos协议的交换。

在本发明的较佳实施例中，基于客户端的认证，使用公共密钥算法或对称密钥算法，加密数据流。较佳地，可以使用对称密钥方法，较佳地使用分组密码或流密码，诸如AES(Rijndael)、DES、3DES、Serpent、RC4等，来加密数据流和/或输出信道。同样，为了加密数据流和/或输出信道，可以使用非对称加密技术，诸如迪菲-赫尔曼(Diffie-Hellman)、椭圆曲线算法、RSA等。较佳地，选择允许迅速地解密数据流而不过度使用客户端装置上的资源的加密技术，但是，不损害用于访问应用程序的所选定的保密性级别。例如，为了使数据流的任何未授权的解码复杂化，同时使得能够快速译码数据流，分组或流密码可以被选择并且在流出期间经常地被改变。

在本发明的又一个较佳实施例中，使用公共密钥算法或对称密钥算法来加密输入数据。较佳地，为了加密输入数据和/或输入信道，使用非对称加密技术，诸如迪菲-赫尔曼(Diffie-Hellman)、椭圆曲线算法、RSA等。但是，也可以使用对称密钥方法，诸如AES(Rijndael)、DES、3DES、Serpent等，来加密输入数据和/或输入信道。输入数据的加密也可以基于所述客户端的认证的结果。因为在服务器上执行解码，并且因此在这点上没有限制，所以关于客户端的解码资源，输入数据和/或输入信道的加密不必强加限制。较佳地，选择考虑到利用客户端装置上的有限资源快速加密的加密技术。但是，将理解，必须选择保证期望的保密性级别的适当的加密技术。

较佳地，附加的加密数据也可以经由输出信道被传送到客户端。这种附加数据可以包括用于在客户端处运行的应用程序的控制数据、认证数据或其他保密性相关的数据。附加数据可以通过应用程序被加密，被传给服务器的渲染器，以及经由输出信道直接被传送到客户端。渲染器也可以从应用程序接收原始的未加密的附加数据，加密该数据，以及将该数据与数据流一起传送到客户端。例如，除了应用程序的输出的视频流之外，应用程序可以传递非视频数据到渲染器，需要时非视频数据被传送到客户端。

在本发明的特别较佳实施例中，客户端通过小型客户端应用程序或嵌入网页中的应用程序连接到服务器。客户端装置可以是能够与服务器连接的常规的个人计算机、膝上型电脑、便携式装置、智能电话、能够上网的TV或任何其他通信装置。特别地，为了通过服务器访问所述应用程序，在客户端装置上不需要专门的资源，诸如高端图形卡或渲染部件，或者提高的处理能力。客户端装置只需要向服务器分别建立输入信道和输出信道，以便发送输入数据到服务器以及显示在服务器处渲染的数据流。较佳地，客户端装置执行所述小型客户端应用程序，所述小型客户端应用程序可以被预先安装在该装置上或者可以从服务器下载。客户端装置也可以通过执行环球网浏览器以及显示网页或包括代码的文件来连接到服务器，以便访问所述服务器。因而，客户端应用程序不必被安装在客户端装置上。因为在服务器上完成所有的计算和渲染，所以该方法确保了相同的高输出质量和同样的计算结果，而不管连接到服务器的客户端装置的种类。

较佳地，在因特网或宽带网络内建立输入信道和输出信道。宽带网络可以是能够以适当的数据速度传递数据流和信息的任何网络，适当的数据速度可以是足够高的，以便以低的等待时间将输出供应到客户端以及将输入供应到服务器，低的等待时间较佳地是小于200ms，最较佳地的是大约或小于100ms，以及特别优先的是小于35ms。因为输入和输出信道较佳地被彼此分开，所以也可以使用网络组合，诸如卫星网络和因特网的组合，其中输入信道通过因特网被建立，并且数据流经由输出信道通过卫星网络被传送到客户端。宽带网络也可以是任何有线电视网、输电线网络、ATM网、或移动网络，诸如3GPP长期演进技术(LTE)或符合4G或5G网络标准的网络。较佳地，可以使用独立于被使用的客户端装置的TCP/IP经由因特网建立输入和输出信道。

此外，根据本发明的系统包括根据本发明的实施例的服务器，一个以上的客户端和容纳一个以上的所述输入和输出信道的通信网络，其中所述一个以上的所述输入和输出信道中的每一个被配置成将所述一个以上的客户端中的一个客户端与所述服务器连接。

根据本发明的用于对应用程序提供访问的方法，包括经由输入信道和输出信道将客户端与服务器连接，经由所述输入信道从所述客户端接收输入数据，将所述接收的输入数据传送到应用程序，将所述应用程序的输出渲染成数据流，以及经由输出信道将所述数据流传送到客户端，其中输入数据和数据流两者都被加密。较佳地，所述输入数据通过服务器的接口被接收，以及所述应用程序输出通过服务器的渲染器被渲染。较佳地，服务器的所述接口和渲染器经由诸如保密连接的连接被耦接到所述应用程序。

因为应用程序仅仅通过服务器被访问并且不必在客户端本身上被下载、安装或执行，所以该发明的方法大大地提高了用于访问诸如保密性关键应用程序或联机服务的应用程序的保密性级别。所有相关的输入和输出数据分别在服务器和客户端之间在两个分开的保密的通信信道中被传送，所有相关的输入和输出数据仅仅包括已经渲染的输出数据和输入数据，不能独立于彼此被有目的地解码。此外，应用程序可以被完全地保护免于任何未授权的访问。因此，关于应用程序或通信信道的任何操纵、修改、劫持或其他攻击是极其困难的、不可行的、乃至不可能的。

在本发明的较佳实施例中，该方法进一步包括在环境中执行所述应用程序。较佳地，该方法进一步包括在服务器上提供所述环境。

在本发明的特别较佳实施例，该方法进一步包括通过服务器的管理部件来设立环境以及管理在所述环境中的应用程序。因而，该环境可以被指定为可以设立环境和管理应用程序的第三方应用程序供应者。较佳地，第三方应用程序供应者可以在该环境内安装、测试、更新或修复应用程序。所有的其他功能和服务通过服务器被提供，并且较佳地，不能被第三方应用程序供应者修改。

在本发明的又一个较佳实施例中，该方法进一步包括访问所述环境中的数据库的所述应用程序。较佳地，在所述环境内经由内部的保密连接访问所述数据库。

在本发明的又一个较佳实施例中，该方法进一步包括提供在一个以上的附加环境中执行的一个以上的附加应用程序。较佳地，为了提供对每个托管的应用程序的访问，所述服务器的所述接口和渲染器被耦接到所述一个以上的附加环境。

根据本发明的另一个较佳实施例，该方法进一步包括经由输出信道将附加的加密数据传送到客户端。所述附加的加密数据的传送可以包括将附加数据和数据流插入到贮存器流中，以及加密贮存器流和/或使加密的数据流与所述加密的附加数据交错。

根据本发明的特别较佳实施例，所述渲染包括将音频流和视频流渲染成所述数据流，使用音频编码译码器来对音频流进行编码，使用视频编码译码器来对视频流进行编码，以及将编码的音频流和视频流汇编在贮存器比特流中。此外，数据流可以是任何多模式数据流或者多媒体数据流。

在本发明的又一个较佳实施例中，所述方法进一步包括认证所述客户端，所述客户端包括经由加密的传送从所述客户端接收认证数据、以及利用所述应用程序来验证认证数据。输入信道或输出信道或两个信道可以被用于请求客户端的认证以及将所述认证数据传送到服务器。同时，为了保密地认证所述客户端，可以建立和使用另外的通信信道。

在本发明的特别较佳实施例中，该方法进一步包括基于客户端的认证使用公共密钥算法或对称密钥算法来加密数据流，以及使用公共密钥算法或对称密钥算法来加密输入数据。较佳地，所述加密输入数据也可以基于客户端的认证的结果。

根据本发明的特别较佳实施例，客户端通过小型客户端应用程序或嵌入网页中的应用程序连接到服务器。特别地，该方法可以进一步包括在因特网或宽带网络内建立输入信道和输出信道。

此外，根据本发明的计算机程序产品包括一个以上的计算机可读介质，在其上存储有程序代码，其中所述程序代码意指当在服务器上被安装和执行时，使得服务器执行根据本发明的实施例的方法。

附图说明

下面结合附图以举例说明本发明的实施例的方式描述本发明的进一步的细节和特征，其中：

图1显示为了访问服务器上托管的应用程序而连接到根据本发明的实施例的服务器的客户端的示意图；

图2图示根据本发明的实施例的服务器的基础结构，包括在服务器的接口和渲染器(renderer)以及托管应用程序和相关数据库的环境之间的通信；

图3显示根据本发明的实施例的服务器的配置，该服务器包括多个环境，每个环境托管分开的应用程序和数据库；和

图4a和4b图示根据本发明的实施例的用于对应用程序提供访问的方法的流程图。

具体实施方式

图1显示根据本发明的实施例的用于提供对应用程序的访问的服务器100，其中服务器100通过输入信道120和输出信道130与客户端110连接。服务器100可以是能够提供联机服务的专用服务器、云服务器或任何适当的服务器。服务器100可以包括渲染器140和接口150，渲染器140和接口150较佳地通过服务器100被露出或提供作为服务。服务器100也可以被连接到封装应用程序170的环境160，环境160例如是安全区、虚拟机或沙箱，应用程序170诸如是需要提高的保密性级别和数据完整性的联机应用程序、环球网服务应用程序(web service)、云应用程序、游戏应用程序、保密性关键应用程序或任何应用程序。渲染器140和接口150借助于连接180，较佳地借助于保密的或加密的连接，被较佳地耦接到环境160。虽然客户端110、服务器100及其服务140、150可以位于公共区域或例如可以通过因特网访问的网络中，但是应用程序170只可以通过服务器100被访问，并且较佳地不暴露于任何公共场所。服务器100使得第三方应用程序供应者能够将他们的应用程序上传到保密的服务器100上，并且保持环境160内的所有的关键数据。

较佳地，应用程序170的输出或呈现，例如，可视的或声音的输出，通过渲染器140以最高质量被渲染。由系统或服务器供应者提供和维护的渲染器140可以是云渲染器或者提供高质量的渲染数据的任何渲染服务。特别地，渲染器140不局限于任何类型的渲染器或者不局限于用于某种形态的渲染器，诸如仅仅可视的渲染器。渲染器140可能能够渲染用于不同形态和用于多个尺寸的输出数据，诸如立体数据或者三维声音。渲染器140可以连续地渲染应用程序170的输出并且将结果馈送到数据流中，数据流经由输出信道130被传递到客户端110。因此，除渲染的数据流之外，没有应用程序的数据或者信息同样地离开服务器100，渲染的数据流例如可以包括视频流或者音频流。因而，所有潜在的敏感数据或者信息保留在应用程序170或者环境160内，并且没有应用程序170的实际数据被同样地传送到客户端110。

客户端110可以是只对因特网或者其他网络提供访问的任何适当的计算装置，任何适当的计算装置诸如是常规的个人计算机、膝上型电脑或者移动计算机、手提式装置或者能够与服务器建立连接的任何装置，能够与服务器建立连接的任何装置诸如是平板计算机、个人数字助理、移动电话、智能电话、交互式电视装置、视频游戏控制台或者简单的终端。为了在服务器100上访问应用程序170，客户端110可以执行小型客户端应用程序或者显示包括用于访问服务器100的通信接口的网页。较佳地，客户端110上的与应用程序170的相互作用相关的所有输入被加密并且经由输入信道120被传送到服务器100的接口150，并且进一步地通过连接180被传送到环境160中的应用程序170。同样地，应用程序170的输出可以经由连接180被传送到渲染器140并且被渲染成数据流，该数据流可以被加密并且经由输出信道130被传送到客户端110。客户端110可以对接收的数据流进行解密，显示被渲染的数据，并且再次通过输入信道120将任何输入发送给服务器100。

图2图示根据本发明的另一个实施例的服务器100的基础结构，包括在服务器100的渲染器140和接口150与环境160之间的通信，环境160托管所述应用程序170和相关的数据库200。在这个实施例中，应用程序170的数据可以与应用程序170分开并且被存储在数据库200中。应用程序170和数据库200两者可以通过管理部件210被维护。较佳地，管理部件210使得第三方应用程序供应者能够上传和管理应用程序170。同样，管理部件210可以允许第三方应用程序供应者和/或第三方数据供应者管理数据库200并且将数据上传到数据库200。

为了进一步提高保密性和数据一致性，应用程序170可以通过内部连接220来访问数据库200，内部连接220可以是保密的或者加密的连接。此外，为了使得第三方应用程序供应者能够上传、安装和维护应用程序170，管理部件210可以使用链接230。类似的附加的链接或者所述链接230还可以被用于维护数据库200以及被用于将数据上传到数据库200中。

在图2的实施例中，应用程序170和存储在数据库200中的相应的数据较佳地被分开。数据保留在环境160内，并且在必要时只能通过应用程序170被访问。特别地，通过第三方应用程序和/或数据供应者的各自的安全标准，数据可以被保密。较佳地，为了确保即使对环境160的成功攻击也不能自动地导致对数据库200的数据的完全访问，应用程序170和数据库200之间的内部连接220以较高的保密性级别被设立，例如，作为加密的连接或者另外保密的连接。内部连接220可以以与连接180类似的方式被设立。但是，因为内部连接220较佳地被完全地建立在环境160之内并且因此不能从外面被访问，所以与连接180相比，内部连接220的保密性级别可以较低。

数据库200可以是考虑到对数据的保密访问和数据的保密传送的任何适当的数据库。较佳地，数据库200通过管理部件210被管理。替代地或者另外，另外的数据库管理部件可以被用于设立数据库200以及维护数据。在举例说明的实施例中，可以通过系统或服务器供应者和/或通过第三方应用程序供应者来提供数据库基础结构，而且可以通过第三方数据供应者来上传和维护数据。替代地，数据库200还可以通过第三方数据供应者被提供和管理。类似地，所述数据库200的数据也可以通过第三方应用程序供应者被提供和管理。

较佳地，该发明的方法使得能够在单独的数据库200中存储数据。但是，每个应用程序170也可以包括在应用程序170或另一个存储器之内的有关数据，诸如直接位于应用程序170的一个以上的文件，并且该发明的方法不局限于仅仅使用单独的数据库。

图3显示根据本发明的实施例的服务器100的配置，服务器100包括多个环境360a、360b、360c、360d，各自托管应用程序370a、370b、370c、370d以及数据库300a、300b、300c、300d。每个环境360a、360b、360c、360d可以通过连接180a、180b、180c、180d与服务器100的渲染器140和接口150耦接。较佳地，每个环境360a、360b、360c、360d执行单个的、分开的应用程序370a、370b、370c、370d，例如，医疗管理应用程序370a、联机银行业务370b、远程访问应用程序370c或联机商店370d。但是，将理解这些应用程序仅仅是需要提高的保密性级别的应用程序的实例，并且本发明不局限于这些具体的举例说明的应用程序。较佳地，在每个环境360a、360b、360c、360d中，相应的应用程序370a、370b、370c、370d经由内部连接320a、320b、320c、320d被连接到相关的数据库300a、300b、300c、300d。每个应用程序370a、370b、370c、370d也可以通过管理部件310a、310b、310c、310d被管理，管理部件310a、310b、310c、310d也可以被用于管理各个数据库300a、300b、300c、300d。每个应用程序370a、370b、370c、370d和数据库300a、300b、300c、300d可以分别被相同的或另一个第三方应用程序供应者和/或相同的或另一个第三方数据供应者所拥有并且控制。

例如，健康保险公司可以使用环境360a，以便向诸如医疗从业者或其他授权人员的授权用户提供他们的病人的健康记录。由于健康记录是非常机密和敏感的数据，因此它们被较佳地存储在数据库300a中，数据库300a与所述医疗管理应用程序370a分开。授权用户可以利用客户端，通过服务器100来访问应用程序370a，以及请求存储在数据库300a中的病人的医疗记录。不管客户端装置的渲染能力和性能，服务器100的渲染器140以最高的分辨率和质量来渲染请求的医疗记录的任何文件，请求的医疗记录的任何文件诸如是X射线或CT、MRI、或fMRI容量数据集的高分辨率的图像，从而允许授权用户例如以极端放大的功能或渲染体积的快速转动来交互地检查图像，极端放大的功能或渲染体积的快速转动通常需要授权用户的客户端装置上的提高的计算能力和资源。医疗记录被存储在数据库300a中，数据库300a可以被直接地托管在服务器100上，或者可以被存储在由第三方数据供应者拥有和管理的保密的服务器上，第三方数据供应者例如是健康保险公司或健康记录的另一个供应者。

该发明的方法也可以例如被银行所使用，以便经由银行间的网络将自动柜员机或ATM相互连接到服务器100。虽然银行间的网络可能已经符合高的保密性标准，但是可以通过将加密的视频流而不是银行业务数据传输到客户端来进一步地提高保密性的级别。较佳地，同样，诸如键盘输入、信用卡号、PIN及其他数据输入的任何输入数据也可以以保密的方式被传送到服务器100。除了渲染的数据流之外，服务器100可以进一步地以保密的方式将数据传送到客户端。例如，释放ATM中的纸币的实际控制可以从服务器100被传送回到各个客户端。通过将所述应用程序的输出和服务器100上的附加信息组合成一个数据流，服务器100上的输出的渲染允许银行在所述客户端的屏幕上显示诸如广告的附加信息。例如，基于由银行的本地分行提供的顾客或信息的概况或反馈，附加数据可以在必要时被单独地更新。同样，例如，银行可以提供在环境360b中执行的所述联机银行业务应用程序370b。所有的财务数据保持与联机银行业务应用程序370b分开，并且被存储在联机数据库300b中。

在又一个实例，汽车制造商可以制造通过服务器100访问的汽车配置工具，其中顾客可以选择所有可能的选项以定制汽车。即使客户端应用程序在诸如旧的PC系统、移动电话、可上网的TV等的慢速乃至旧的装置或具有有限资源的装置上运行，服务器100也可以随处供应高的可视质量的相同输出，诸如实时的车辆的流畅地渲染的视频片断。因而，在汽车经销商的商店处提供的相同的应用程序可以经由因特网在家被访问。例如，配置工具可以被安装作为在环境360c中执行的远程访问应用程序370c。联机数据库300c可以存储由顾客选择的个人配置，以及诸如由应用程序370c汇编的可用车辆和汽车部件的网格(mesh)、纹理及其他几何数据的三维表示，个人配置和三维表示由服务器100的渲染器140渲染被并且提供给用户。

同样，公司可以在环境360d中设立联机商店应用程序370d，例如，网络商店。与联机商店应用程序370d的业务相关的票据及其他财务交易需要提高的保密性级别，并且因此可以被存储在单独的数据库300b中。由于联机商店应用程序370d的输出通过服务器100的渲染器140被渲染并且因此独立于访问联机商店应用程序370d的客户端装置的任何制图硬件或其他资源和限制，所以即使联机商店应用程序370d可以利用特制(fancy)的产品视频以便与动画界面和高分辨率的纹理一起来为产品做广告，联机商店应用程序370d也保证在任何客户端装置上的相同的用户体验。因为对联机商店应用程序370d的每个访问以及联机商店应用程序370d的输出的渲染由服务器100处理，所以没有财务或票据数据或者任何产品数据同样地需要被下载到客户端装置。同样，因为所有的数据保持在相关的数据库300d中，所以大大地降低了获得对数据的未授权的访问的任何可能性。进一步对于直接地在服务器100上托管数据库300d，数据库300d也可以被设置在网络商店拥有者的附加存储器系统上。

将理解，结合图3中显示的本发明的示范实施例描述的应用程序370a、370b、370c、370d仅仅是应用程序或保密性关键应用程序的实例，并且本发明不仅仅局限于这些应用程序。事实上，为了提高远程访问的保密性级别，可以由该发明的服务器100托管任何应用程序。此外，该发明的方法提供了仅仅受服务器100的渲染能力所限制的每个应用程序的最高质量的输出，其中结果的输出以相同的方式被显示在每个客户端装置上。

为了授予对所述应用程序370a、370b、370c、370d中的一个以上的应用程序的访问，服务器100的渲染器140和接口150能够对多个客户端建立分开的连接。作为替换，对于每个客户端，分开的渲染器和接口可以被例示，以致服务器100为每个客户端提供分开的渲染器和接口。同时，每个分开的渲染器和接口可以通过分开的连接被连接到设置在服务器100处的所有的应用程序370a、370b、370c、370d。替代地，依据请求，并且只有在成功认证之后当客户端被授予对请求的应用程序370a、370b、370c、370d的访问时，才可以建立每个分开的连接。

图4a和4b显示根据本发明的实施例的用于授予对应用程序的访问的方法400的流程图。较佳地，方法400可以包括通过用户激活服务并且连接到服务器410。在成功连接之后，服务器可以开始流出加密的视频流420，并且请求用户的认证430。用户可以经由加密传送录入他的认证440，该认证可以经由加密的输入信道从客户端被传送到服务器。服务器可以利用用户请求的应用程序验证认证数据450。如果认证是成功的，为了向用户的装置供应应用程序的渲染的输出，服务器可以对客户端建立数据流460，该数据流诸如是通过加密的输出信道保密的视频和/或音频流。用户可以通过录入输入数据与渲染的输出相互作用，输入数据在诸如加密的输入信道的分开的保密的反向信道上被传送到服务器470。应用程序通过服务器接收输入数据，并且将输入数据处理作为直接的本地输入480。因此，应用程序可以访问应用程序数据，该应用程序数据例如可以从数据库中被检索。应用程序的输出可以被发送给渲染器490，渲染器按照需要渲染或更新输出的数据流500。更新的数据流较佳地经由加密的输出信道被提供给客户端，并且用户可以继续对应用程序有影响以及录入另外的输入数据470。用户也可以退出对服务器和应用程序的连接。

即使已经关于示范实施例描述了本发明的方法，在没有离开本发明的范围的情况下，也可以实现关于描述的实例方法或服务器的各种变形。例如，不同的渲染技术、加密技术、数据库、将服务器与客户端连接的网络、在服务器和环境之内的连接和链接、以及服务器和客户端部件可以被用于实现本发明。同样，本发明不局限于任何具体的网络标准、通信协议以及网络的类型，而且不局限于诸如音频或视频编码译码器的任何具体的编码译码器或比特流。此外，本发明可以在不同于描述的实例的权利要求书的范围内被实施。特别地，实例的特征可以以任何适当的方式被组合、省略或添加，并且可以在任何组合中对本发明具有重要性。

Claims

1.一种用于对应用程序提供访问的服务器，其特征在于，包括：

被配置成将客户端与所述服务器连接的输入信道和输出信道；

耦接到所述输入信道和应用程序的接口，所述接口被配置成经由所述输入信道从所述客户端接收输入数据并且将所述接收的输入数据传送到应用程序；和

耦接到所述输出信道和所述应用程序的云渲染器，所述云渲染器被配置成连续地渲染所述应用程序的输出并将结果馈送到数据流中，所述数据流经由所述输出信道被传送到所述客户端，其中所述输入数据和所述数据流两者都被加密，并且

所述应用程序在环境中被执行，所述环境包括在所述环境之内经由保密连接被耦接到所述应用程序的数据库。

2.如权利要求1所述的服务器，其特征在于，进一步包括管理部件，所述管理部件用于设立所述环境并且管理在所述环境中的所述应用程序。

3.如权利要求1所述的服务器，其特征在于，所述接口和所述云渲染器被耦接到在一个以上的附加环境中执行的一个以上的附加应用程序。

4.如权利要求1所述的服务器，其特征在于，所述数据流包括音频流和视频流，其中使用音频编码译码器来压缩所述音频流，使用视频编码译码器来压缩所述视频流，以及编码的音频流和视频流被汇编在贮存器比特流中。

5.如权利要求1所述的服务器，其特征在于，所述输入数据包括键击、鼠标数据、接触数据、照相信息、手指扫描、信用卡扫描和ID扫描中的一个或多个。

6.如权利要求1所述的服务器，其特征在于，所述接口被进一步配置成认证所述客户端，所述认证所述客户端包括经由加密的传送从所述客户端接收认证数据、以及利用所述应用程序来验证所述认证数据。

7.如权利要求6所述的服务器，其特征在于，基于所述客户端的所述认证，使用公共密钥算法或对称密钥算法加密所述数据流，以及使用公共密钥算法或对称密钥算法加密所述输入数据。

8.如权利要求1所述的服务器，其特征在于，所述客户端被配置成通过小型客户端应用程序或嵌入网页中的应用程序连接到所述服务器。

9.一种用于对应用程序提供访问的系统，其特征在于，包括：

如前述权利要求中的任一项所述的服务器；

一个以上的客户端；和

适应一个以上的所述输入信道和所述输出信道的通信网络，

其中所述一个以上的所述输入信道和所述输出信道中的每个所述输入信道和所述输出信道被配置成使所述一个以上的客户端中的一个客户端与所述服务器连接。

10.一种用于对应用程序提供访问的方法，其特征在于，包括：

经由输入信道和输出信道将客户端与服务器连接；

经由所述输入信道从所述客户端接收输入数据；

将所述接收的输入数据传送到应用程序；

连续地渲染所述应用程序的输出并将结果馈送到数据流中；和

经由所述输出信道将所述数据流传送到所述客户端，其中所述输入数据和所述数据流两者都被加密；并且

在环境中执行所述应用程序，所述环境包括在所述环境之内经由保密连接被耦接到所述应用程序的数据库。

11.如权利要求10所述的方法，其特征在于，进一步包括通过所述服务器的管理部件来设立所述环境，并且管理所述环境中的所述应用程序。

12.如权利要求10所述的方法，其特征在于，进一步包括所述应用程序访问所述环境中的数据库。

13.如权利要求10所述的方法，其特征在于，进一步包括提供在一个以上的附加环境中执行的一个以上的附加应用程序。

14.如权利要求10所述的方法，其特征在于，进一步包括经由所述输出信道将附加的加密数据传送到所述客户端。

15.如权利要求10所述的方法，其特征在于，所述渲染包括将音频流和视频流渲染成所述数据流；

使用音频编码译码器来对所述音频流进行编码；

使用视频编码译码器来对所述视频流进行编码；和

将编码的音频流和视频流汇编在贮存器比特流中。

16.如权利要求10所述的方法，其特征在于，进一步包括认证所述客户端，所述认证所述客户端包括经由加密的传送从所述客户端接收认证数据、以及利用所述应用程序来验证所述认证数据。

17.如权利要求16所述的方法，其特征在于，进一步包括基于所述客户端的所述认证使用公共密钥算法或对称密钥算法来加密所述数据流，以及使用公共密钥算法或对称密钥算法来加密所述输入数据。

18.如权利要求10所述的方法，其特征在于，所述客户端通过小型客户端应用程序或嵌入网页中的应用程序连接到所述服务器。