应用间委托的认证
分案申请说明
本申请是国际申请日为2015年4月29日、于2016年12月21日进入中国国家阶段、国家申请号为201580033649.6、名称为“应用间委托的认证”的中国发明专利申请的分案申请。
技术领域
本公开内容大体涉及在计算设备上的应用认证的领域。
背景技术
执行在设备上的应用参与认证过程，其中在认证实体与应用之间交换证书以便授权应用采取某些动作。关于常见认证过程的问题是要求设备的用户手动地提供证书以进行认证。这对于用户而言是繁琐且低效的并且要求用户维持针对执行在设备上的每个应用的证书。对该问题的解决方案使得设备上的特定应用可以用作认证看门者，使得其他应用可以依赖于用于认证目的的看门应用。然而，该解决方案要求设备的用户将该看门应用安装并维持在设备上。在一些情景中，安装看门应用对于用户而言不是期望的解决方案。
附图说明
所公开的实施例具有将从具体实施方式、随附权利要求和随附的图(或附图)中变得更加显而易见的优点和特征。下面是对各图的简单介绍。
图1图示了示例计算环境。
图2图示了用于执行在客户端设备上的非受信应用的委托的认证的事件踪迹。
图3图示了用于对执行在客户端设备上的应用进行认证的示例过程图。
图4是图示了可以从机器可读介质读取指令并在处理器(或控制器)中执行它们的示例机器的组件的框图。
具体实施方式
附图和下面的描述涉及仅仅通过说明的方式的实施例。应当指出，从下面的讨论中，本文公开的结构和方法的备选实施例将被容易地认为是在不背离要求保护的内容的原理的情况下可以采用的可行的备选方案。
配置概述
通过示例实施例的方式公开了一种用于委托对执行在客户端设备上的非受信应用的认证的机制。通过示例的方式，非受信应用可以是尚未利用与客户端设备相关联的一个或多个证书而被认证的应用。用于委托认证的机制可以被体现为一种系统、方法和/或计算机程序产品(例如，存储由一个或多个处理单元可执行的指令的计算机可读存储介质)。对于委托的认证，客户端设备上的非受信应用依赖于相同环境中的用于认证目的的先前认证的应用、受信应用。通过示例的方式，环境可以为计算设备，诸如移动设备、或者设备的汇集，诸如移动设备和物联网(IoT)设备。委托的认证过程避免要求非受信应用的用户提供认证证书或客户端设备的用于维持受信应用的列表以及相关联的认证证书的操作系统。与看门应用不同，委托认证机制使得任何受信应用并且不仅仅看门应用能够进行认证以对非受信应用进行认证。
在操作时，执行在客户端设备上的非受信应用请求由具有与客户端设备相关联的证书的身份服务器认证。直到非受信应用被认证，身份服务器才能够确认应用能够利用与客户端设备相关联的证书来被合法地认证。为了发起认证，非受信应用传输认证请求连同应用正在其上执行的客户端设备的唯一参数。唯一参数和与客户端设备相关联的证书相关。唯一参数可以是客户端设备的标识符，诸如电话号码或媒体访问控制(MAC)地址，或者客户端设备的一个或多个属性的表示，一个或多个属性诸如屏幕大小、屏幕分辨率、卷设置、执行在客户端设备上的应用的列表或载体信息。
基于唯一参数，身份服务器从数据存储库访问客户端设备的设备简档，其除了其他信息之外还包括也在客户端设备上的受信应用的列表。身份服务器信任从受信应用接收到的通信，因为通信被加密：在身份服务器与受信应用之间的该信任关系是本文中公开的委托的认证过程的基础。
具体地，身份服务器基于针对受信应用确定的活动的相关水平来选择这些受信应用之一。一旦选择了受信应用，身份服务器就指示该受信应用以经由所选择的受信应用继续认证过程。所选择的受信应用随后协同利用身份服务器对非受信应用的认证。由于受信应用先前已经被认证，所以身份服务器信任从代表非受信应用的受信应用接收到的认证请求。身份服务器由此利用与客户端设备相关联的证书来认证非受信应用认证。
下面的讨论更详细地描述了当对非受信应用进行认证时身份服务器、受信应用以及非受信应用的配置和操作。
示例计算环境
图1图示了示例计算环境100。如所示出的，计算环境100包括客户端设备110(0)-110(N)(统称为客户端设备110，并且单个地称为客户端设备110)、网络120、身份服务器130、设备简档存储库140、应用服务器150以及应用数据存储库160。
网络120可以包括使用有线通信系统和无线通信系统两者的局域网和/或广域网、互联网、一个或多个内联网的任何组合。在一个实施例中，被包括在计算环境100中的组件中的每个组件通过网络120与彼此进行通信。在备选实施例中，组件中的两个或更多个组件通过除了网络120之外的专用通信信道或联网的通信信道(未示出)进行通信。
客户端设备110是包括处理器、存储器、显示器、输入设备以及用于与外部实体进行通信的有线网络设备和/或无线网络设备的计算机。客户端设备110的示例可以为台式计算机、膝上型计算机、平板计算机、智能电话、物联网(IoT)设备以及包括计算功能和数据通信能力的任何其他设备。
每个客户端设备110包括操作系统或内核，诸如操作层116。操作层116是管理客户端设备110的硬件资源和软件资源的软件组件。在实施例中，操作层116还将常见服务提供给执行在客户端设备110上的其他软件应用。这些服务可以包括功率管理、网络管理、应用间通信等。
客户端设备110还包括包含执行在被包括在相应的客户端设备110中的处理器上的指令的软件应用，诸如应用T 111、应用U 112和应用V 113。执行在客户端设备110上的每个应用与唯一应用标识符相关联并且执行各种功能。这样的应用的示例可以为web浏览器、社交联网应用、消息传送应用、游戏应用和媒体消费应用。尽管客户端设备110中的每个客户端设备可以包括相似的应用，但是为了剩余的讨论将仅仅参考执行在客户端设备110(0)上的应用T 111和应用U 112。
每个应用T 111和应用U 112与认证引擎114的不同实例集成。认证引擎114提供使得应用能够执行认证相关的活动的操作的集合。在实施例中，操作身份服务器130的实体将认证引擎114提供给应用T 111和应用U 112的应用开发者。在备选实施例中，认证引擎114被提供为由操作层116提供的常见服务的部分。
认证引擎114提供促进委托的认证过程的至少三个操作。第一，认证引擎114实现与认证引擎114集成的应用与身份服务器130之间的双向通行。第二，认证引擎114使得非受信应用能够启动并且在本地与受信应用进行通信，受信应用即先前被身份服务器130认证的那些应用。第三，认证引擎114使得与认证引擎114集成的应用能够将与应用相关的事件传输到身份服务器130。事件指示由应用的用户采取的动作或与应用相关的任何其他动作以及指示动作何时发生的时间戳。这样的动作的示例包括启动应用、激活应用的特征、(例如，通过滚动或滑动)操纵应用的用户界面以及应用崩溃。
身份服务器130向执行在客户端设备110上的应用提供身份管理和认证服务。身份服务器130包括认证模块131和数据收集模块132。认证模块131从执行在客户端设备110上的非受信应用接收并处理认证请求。总体上，认证模块131通过依赖于执行在与非受信应用相同的设备上的受信应用来促进非受信应用的委托的认证。当非受信应用被认证时，认证模块131生成针对新的受信应用的认证令牌。认证令牌可以由应用用于与身份服务器130或应用服务器150的后续安全通信。
针对执行在客户端设备110上的受信应用中的每个受信应用，数据收集模块132经由相应的认证引擎114接收指示由应用的用户采取的动作或与应用相关的任何其他动作的事件。事件可以标识动作的类型、指示动作何时发生的时间戳、与动作相关联的任何日志(诸如分析或崩溃日志)以及与事件相关联的地理位置。数据收集模块132处理从客户端设备110接收到的事件以生成针对每个客户端设备110的综合设备简档。数据收集模块132将针对客户端设备110生成的设备简档存储在设备简档存储库140中。
针对客户端设备110的设备简档标识先前由认证模块131认证的一个或多个应用。具体地，针对给定客户端设备110，设备简档包括与客户端设备110相关联的唯一标识符以及与被包括在客户端设备110中的应用相关联的一个或多个应用简档。应用简档包括与应用相关联的唯一标识符、针对应用生成的认证令牌以及应用的使用历史。
总体上，应用的使用历史指示应用上的活动的水平。使用历史包括经由认证引擎114从应用接收到的事件中的每个事件。可选地，使用历史还包括根据接收到的事件而导出的度量。例如，数据收集模块132可以基于从应用接收到的事件的频率来生成频率度量。在另一示例中，数据收集模块132可以基于由用户在应用上采取的动作的类型以及那些动作的频率来生成参与度量。根据事件生成的用于确定在应用上的活动的水平的目的的其他类型的度量处于本文的范围内。
可选地，数据收集模块132从第三方源收集关于各种应用的附加的信息，各种应用包括执行在客户端设备110上的那些应用。该附加信息可以包括应用跨各种人口统计和地理区域的流行性的指示。附加信息还包括与开发应用的应用开发者相关的信息。
当对非受信应用进行认证时，认证模块131选择被包括在相同客户端设备110上的非受信应用的认证可以向其委托的受信应用。认证模块131基于与客户端设备110相关联的设备简档来选择受信应用。如果多于一个受信应用被包括在客户端设备110上，则认证模块131基于应用的使用历史以及由数据收集模块132收集的附加的信息来选择受信应用中的一个受信应用。在一个实施例中，认证模块131选择具有如指示受信应用仍然存在于客户端设备110上并且因此可用于继续认证过程的较高可能性的较高活动水平和/或与其他应用相关的较近活动的受信应用。
下面的讨论进一步描述应用T 111、受信应用以及应用U 112、非受信应用如何结合认证模块131进行操作以对应用U 112进行认证。
应用的委托的认证
图2图示了用于执行在客户端设备110上的应用U 112的委托的认证的事件踪迹。当应用U 112被初始化时，认证引擎114将初级认证请求传输201到身份服务器。当应用被首先安装在客户端设备110上或者在稍后时间当客户端设备110的用户启动应用时应用U112可以被启动。由应用U 112传输的初级认证请求包括应用正在其上执行的客户端设备110的唯一参数。唯一参数和与客户端设备110相关联的证书相关，使得唯一参数可以唯一地标识客户端设备110。唯一参数可以为客户端设备的标识符，诸如电话号码或媒体访问控制(MAC)地址，或者客户端设备的诸如屏幕大小和分辨率、卷设置、或载体信息的一个或多个属性的表示。
响应于接收到认证请求，认证模块131选择202执行在相同客户端设备110上的受信应用。具体地，认证模块131访问存储在设备简档存储库140中的客户端设备110的设备简档。如以上所讨论的，客户端设备110的设备简档指定执行在客户端设备110上的受信应用的列表以及针对那些应用中的每个应用确定的活动水平。在一个实施例中，认证模块131选择相对于其他应用具有仍然存在于客户端设备110上的较高可能性的受信应用。认证模块131可以基于相对于被包括在设备简档中的其他应用具有较高或较近活动水平的应用来确定应用仍然存在的可能性。
出于该示例讨论的目的，认证模块131选择客户端设备110上的应用T 111用于应用U 112的委托的认证。一旦选择了应用T 111，认证模块131就向应用U 112传输203(下面进一步描述的)加密随机数，例如随机数A，以及用以经由应用T 111继续进行认证过程的指令。随机数和指令经由认证引擎114被传输到应用U 112。
加密随机数是用于确保在一个或多个实体之间的通信的任意的(并且常常随机生成的)数。认证模块131维持在非受信应用的委托的认证过程期间被传输到受信应用的随机数的历史。当将请求传输到认证模块131时，受信应用和非受信应用基于最近接收到的随机数来生成非受信应用的应用标识符的散列。散列标识符被包括在请求中。在一个实施例中，认证引擎114被配置具有散列函数，该散列函数将应用标识符和随机数当作输入并且使用随机数作为散列键来生成应用标识符的散列作为输出。受信应用和非受信应用使用由认证引擎114提供的散列函数以生成散列标识符。
认证模块131将接收到的散列标识符与应用标识符的本地生成的散列进行比较。认证模块131基于最近传输的随机数来生成本地生成的散列。在一个实施例中，认证模块131被配置有散列函数，该散列函数具有将应用的应用标识符和最近传输的随机数当作输入并且使用随机数作为散列键来生成应用标识符的散列作为输出。这是本地生成的散列。如果接收到的散列标识符与应用标识符的本地生成的散列相匹配，则认证模块131确定接收到的请求有效并且不是重放攻击的结果。在备选实施例中，除了应用标识符的不同的标识符可以使用随机数来被散列。不同的标识符可以是被配置到认证引擎114中的标识符，该标识符也可用于认证模块131。可选地，来自应用的请求可以包括明文中的值以及使用最近接收到的随机数生成的散列值。作为响应，认证模块131使用最近传输的随机数来生成明文值的散列并且将经散列的明文值与被包括在请求中的散列值进行比较。
响应于接收到随机数A和用以经由应用T 111继续进行认证的指令，应用U 112经由认证引擎114将应用间认证请求传输到应用T111。在操作时，应用U 112使用由认证引擎114提供的操作启动204应用T 111。应用U 112还经由认证引擎114将从认证模块131接收到的随机数A传输到应用T 111。
如以上所讨论的，认证引擎114是将不同类型的功能提供给与认证引擎114集成的、诸如应用U 112和应用T 111的应用的SDK。由认证引擎114提供的一个功能是使与认证引擎114集成的应用启动并与也与认证引擎114集成的相同计算环境内的其他应用进行通信的能力。应用U 112使用认证引擎114的该功能来启动应用T 111并将从认证模块131接收到的随机数A传输到应用T 111。
应用T 111转而代表应用U 112将验证请求传输205到认证模块131。再次地，应用T111使用由认证引擎114提供的、允许与认证引擎114集成的应用与认证模块131进行双向通信的功能来传输验证请求。由应用T 111传输的验证请求包括与应用U 112相关联的应用标识符。可选地，为了指示验证请求的源，应用T 111使用随机数A对被包括在验证请求中的应用标识符进行散列并且使用应用T 111的私钥来对该请求进行签名。
在确定验证请求由执行在客户端设备110上的受信应用以及时的方式传输时，认证模块131对验证请求进行授权206。为了确定请求是否要由受信应用传输，认证模块131使用应用T 111的公钥来对所签名的验证请求进行解密。公钥被包括在存储在设备简档存储库140中的应用T 111的应用简档中。认证模块131还通过将被包括在验证请求中的(使用被传输到受信应用的随机数散列的)经散列的应用标识符与应用标识符的本地生成的散列进行比较来确定请求是否是及时的(例如，不是重放攻击)。如果这两个值匹配，则认证模块131确定请求是及时的。当请求从受信源被接收到并且及时时，认证模块131对验证请求进行授权。
一旦验证请求被授权，认证模块131就向应用T 111传输207加密随机数(例如，随机数B)和用以授权应用U 112继续认证过程的指令。经由认证引擎114将随机数和指令传输到应用T 111。应用T111转而将随机数B传输208到应用U 112以利用认证模块131继续进行认证过程。
响应于接收到随机数B，应用U 112将包括随机数B和与应用U112相关联的应用标识符的次级认证请求传输209到认证模块131。在一个实施例中，应用U 112使用随机数B来生成应用标识符的散列并且将经散列的应用标识符传输到认证模块131。
已经经由应用T 111对应用U 112的认证进行授权的认证模块131生成210针对应用U 112的访问令牌、公钥和私钥。认证模块131将访问令牌和密钥传输211到应用U 112，其现在为受信应用。认证模块131还更新与客户端设备110相关联的设备简档以指示应用U112为受信应用。
应用U 112使用认证令牌和密钥用于与身份服务器130以及要求应用被认证的任何第三方服务器的后续通信。在一个示例中，应用U112将认证令牌传输到应用服务器150。应用服务器150基于认证令牌来对应用U 112进行授权以访问存储在应用数据存储库160中的数据，该数据可以仅仅由应用U 112正在其上执行的客户端设备110相关联的证书访问。
在实施例中，以上描述的委托的认证过程实现跨应用的数据共享，因为应用是使用共同身份来被认证的，即与应用被安装在其上的设备相关联的证书。例如，应用服务器150可以允许访问使用共同身份来认证的任何应用的、存储在应用数据存储库160中的数据。结果，一个应用可以经由应用服务器150将数据存储在应用数据存储库160中，并且不同的应用可以经由应用服务器150访问数据。这样的数据包括照片、文档、音乐、配置等。
在一个实施例中，非受信应用和受信应用驻留在不同的客户端设备110上。在这样的实施例中，两个应用通过跨设备通信信道(诸如通过蓝牙或无线网络)进行通信，以继续委托的认证过程。在这样的实施例中为了进一步保护认证过程，受信应用可以在进行非受信应用的认证之前请求来自受信应用执行在其上的客户端设备的用户的确认。
图3图示了用于对执行在客户端设备(例如，客户端设备110)上的应用(例如，应用U 112)进行认证的示例过程图。其他实施例可以以不同的顺序执行图3中图示的过程的步骤，并且可以包括不同的、附加的和/或更少的步骤。过程可以由诸如认证模块131的任何适当的实体执行。
认证模块131从被安装在给定客户端设备110上的非受信应用接收301初级认证请求。认证请求包括客户端设备110的唯一参数以及与应用相关联的应用标识符。唯一参数可以为客户端设备的标识符，诸如电话号码或媒体访问控制(MAC)地址，或者客户端设备的诸如屏幕大小和分辨率、卷设置、或载体信息的两个或多个属性的表示。两个或多个属性的组合可以唯一地标识客户端设备。
响应于接收到认证请求，认证模块131选择302也被安装在相同的客户端设备110上的受信应用，例如应用T 111。具体地，认证模块131从由客户端设备110的设备简档指定的受信应用的列表中选择受信应用。认证模块131指示303非受信应用经由所选择的受信应用继续进行认证过程。具体地，如结合图2所讨论的，认证模块131向非受信应用传输加密随机数(例如，随机数A)以及用以使用所选择的受信应用继续进行认证过程的指令。经由认证引擎114将随机数和指令传输到非受信应用。
如所指示的，非受信应用(例如，应用U 112)经由所选择的受信应用(例如，应用T111)继续进行认证过程。具体地，如结合图2所讨论的，非受信应用使用由认证引擎114提供的功能启动受信应用并且将由认证模块131接收到的随机数传输到受信应用。
受信应用继续验证非受信应用正在请求对认证模块131的指令的认证。相应地，认证模块131从受信应用接收304验证请求。验证请求指示认证模块131非受信应用启动受信应用并且请求经由受信应用继续进行认证。验证请求使用受信应用的私钥来被签名，并且认证模块131通过使用受信应用的公钥对请求进行解密来确定验证请求的有效性。
当请求被确定为有效时，认证模块131将授权传输305到受信应用，该授权指示非受信应用可以利用与应用正在其上执行的客户端设备110相关联的证书被正当地认证。受信应用将授权传输到非受信应用。相应地，认证模块131从非受信应用接收306次级认证。作为响应，认证模块131将与应用相关联的认证令牌和加密密钥传输307到非受信应用，因此完成认证过程。
示例机器架构
图4是图示了能够诸如由客户端设备110的处理器、身份服务器130或应用服务器150从机器可读介质读取指令并且在处理器(或控制器)中执行它们的示例机器(或设备)的组件的框图。具体地，图4示出了以计算机系统400的示例形式的机器的图解表示。计算机系统400可以被用于执行用于使机器执行本文中例如参考图1-3描述的方法(或过程)中的任何一个或多个方法的指令424(例如，程序代码或软件)。在备选实施例中，机器操作为独立设备或连接到其他机器的连接(例如，联网的)设备。在联网的部署中，机器可以在服务器客户端网络环境中的服务器机器或客户端机器的容量中操作，或者操作为对等(或分布式)网络环境中的对等机器。
机器可以为服务器计算机、客户端计算机、个人计算机(PC)、平板PC、机顶盒(STB)、智能电话、物联网(IoT)设备、网络路由器、交换机或桥接器、或者能够执行指定要由该机器进行的动作的(顺序的或以其他方式的)指令424的任何机器。另外，尽管仅仅图示了单个机器，但是术语“机器”还应当被理解为包括单独地或联合地执行用于执行本文中讨论的方法中的任何一个或多个方法的指令424的机器的任何汇集。
示例计算机系统400包括一个或多个处理单元(一般为处理器402)。处理器402例如为中央处理单元(CPU)、图形处理单元(GPU)、数字信号处理器(DSP)、控制器、状态机、一个或多个专用集成电路(ASIC)、一个或多个射频集成电路(RFIC)或这些的任何组合。计算机系统400还包括主存储器404。计算机系统可以包括存储单元416。处理器402、存储器404和存储单元416经由总线408进行通信。
另外，计算机系统406可以包括静态存储器406、显示驱动器440(例如，以驱动等离子显示面板(PDP)、液晶显示器(LCD)或投影仪)。计算机系统400还可以包括字母数字输入设备442(例如，键盘)、光标控制设备414(例如，鼠标、跟踪球、操纵杆、运动传感器或其他指向仪器)、信号生成设备418(例如，扬声器)以及网络接口设备420，其还被配置为经由总线408进行通信。
存储单元416包括机器可读介质422，在其上存储了体现本文中描述的方法或功能中的任何一个或多个方法或功能的指令424(例如，软件)。指令424还可以在由计算机系统400对其的执行期间完全地或至少部分地驻留在主存储器404内或处理器402内(例如，处理器的缓存内)，主存储器404和处理器402还包括机器可读介质。指令424可以经由网络接口设备420通过网络426传输或接收。
尽管机器可读介质422在示例实施例中被示出为单个介质，但是术语“机器可读介质”应当被理解为包括能够存储指令424的单个介质或多个介质(例如，集中式或分布式数据库，或相关联的缓存和服务器)。术语“机器可读介质”应被理解为包括能够存储用于由机器执行的指令424并且使机器执行本文中公开的方法中的任何一个或多个方法的任何介质。术语“机器可读介质”包括但不限于以固态存储器、光学介质和磁性介质的形式的数据仓库。
附加考虑
如所公开的委托的认证机制提供包括使得设备上的任何受信应用能够对非受信应用进行认证的益处和优点。因此，不要求客户端设备的用户安装用于认证目的的特定应用，因为任何受信应用被使得能够发挥该作用。另外，委托的认证机制允许不同的应用共享共同证书，其转而允许应用共享对共同证书可访问的数据。具体地，应用服务器可以允许访问使用共同证书认证的任何应用的、存储在应用数据存储库中的数据。结果，一个应用可以经由应用服务器将数据存储在应用数据存储库中，并且不同的应用可以经由应用服务器访问该数据。这样的数据包括照片、文档、音乐、配置等。
在本说明书中，复数实例可以将所描述的组件、操作或结构实现为单个实例。尽管一个或多个方法的个体操作被图示并描述为单独的操作，但是个体操作中的一个或多个操作可以被并发地执行，并且不要求按所图示的顺序来执行操作。在示例配置中被呈现为单独的组件的结构和功能可以被实现为组合的结构或组件。类似地，被呈现为单个组件的结构和功能可以被实现为单独的组件。这些和其他变型、修改、添加和改进落入本文中的主题的范围内。
例如如图1和图4所示，某些实施例在本文中被描述为包括逻辑或许多的组件、模块或机构。模块可以构成软件模块(例如，被体现在机器可读介质上的或传输信号中的代码)或硬件模块。硬件模块是能够执行某些操作的有形单元并且可以以特定方式来配置或布置。在示例实施例中，一个或多个计算机系统(例如，独立的、客户端或服务器计算机系统)或计算机系统的一个或多个硬件模块(例如，处理器或处理器的组)可以由软件(例如，应用或应用部分)配置为操作为执行如本文中所描述的某些操作的硬件模块。
在各种实施例中，硬件模块可以以机械方式或以电子方式来实现。例如，硬件模块可以包括被永久地配置为执行某些操作的专用电路或逻辑(例如，作为专用处理器，诸如现场可编程门阵列(FPGA)或专用集成电路(ASIC))。硬件模块还可以包括由软件临时配置为执行某些操作的可编程逻辑或电路(例如，如包含在通用处理器或其他可编程处理器内)。将认识到，用于以机械方式、在专用的且永久配置的电路中或在(例如，由软件配置的)临时配置的电路中实现硬件的决策可以由成本和时间考虑来驱动。
本文中描述的示例方法的各种操作可以至少部分地由临时配置或永久配置(例如，由软件)为执行相关操作的一个或多个处理器(例如，处理器402)执行。无论是临时配置的还是永久配置的，这样的处理器可以构成操作为执行一个或多个操作或功能的处理器实现的模块。在一些示例实施例中，在本文中引用的模块可以包括处理器实现的模块。
一个或多个处理器还可以操作为支持在“云计算”环境中对相关操作的执行或作为“软件即服务”(SaaS)。例如，操作中的至少一些操作可以由一组计算机(作为包括处理器的机器的示例)执行，这些操作经由网络(例如，互联网)并且经由一个或多个应用接口(例如，应用编程接口(API))可访问。
操作中的某些操作的执行可以被分布在不仅驻留在单个机器内而且跨许多机器而部署的一个或多个处理器之中。在一些示例实施例中，一个或多个处理器或处理器实现的模块可以位于单个地理位置中(例如，家庭环境、办公室环境、或服务器群内)。在其他示例实施例中，一个或多个处理器或处理器实现的模块可以跨许多地理位置而分布。
本说明书的一些部分以关于存储为机器存储器(例如，计算机存储器)内的位或二进制数字信号的数据的算法或操作的符号表示的形式呈现。这些算法或符号表示是由数据处理领域的普通技术人员用于将其工作的实质内容传达给其他领域技术人员的技术的示例。如本文中所使用的，“算法”是操作的自洽序列或导致期望的结果的相似的处理。在该上下文中，算法和操作涉及对物理量的物理操纵。
除非另行具体陈述，否则本文中使用诸如“处理”、“计算”、“运算”、“确定”、“呈现”、“显示”等的词语的讨论可以指代操纵或变换在一个或多个存储器(例如，易失性存储器、非易失性存储器或其组合)、寄存器或接收、存储、传输或显示信息的其他机器组件内被表示为物理的(例如，电子的、磁的或光学的)量的机器(例如，计算机)的动作或过程。
如本文中所使用的，对“一个实施例”或“实施例”的任何引用意味着结合实施例描述的特定元件、特征、结构或特性被包括在至少一个实施例中。在本说明书中的各个地方中出现的短语“在一个实施例中”不一定全部指代同一实施例。
如本文中所使用的，术语“包括”、“包含”、“含有”、“具有”或其任何其他变型旨在覆盖非排他性包含。例如，包括元件的列表的过程、方法、产品或装置不必限于仅仅那些元件而可以包括未明确列出的或这样的过程、方法、产品或装置固有的其他元件。另外，除非明确给出相反的陈述，否则“或者”指代包容性的或者而非排他性的或者。例如，条件A或B由以下的任何一项满足：A为真(或存在)并且B为假(或不存在)，A为假(或不存在)并且B为真(或存在)，并且A和B两者都为真(或存在)。
另外，对“一”或“一个”的使用被用于描述本文中的实施例的元件和组件。这仅仅出于方便来进行并且给出本发明的一般意义。本说明书应当被理解为包括一个或至少一个，并且单数还包括复数，除非其意指其他情况是明显的。
在阅读本公开内容时，本领域技术人员将通过本文中所公开的原理认识到针对用于委托对执行在客户端设备上的非受信应用的认证的系统和过程的另外的附加的结构和功能设计。因此，尽管已经说明并描述了特定实施例和应用，但是要理解所公开的实施例不限于本文中所公开的精确构造和组件。可以在不背离随附权利要求中限定的精神和范围的情况下在本文中所公开的方法和装置的布置、操作和细节中进行对于本领域技术人员而言将显而易见的各种修改、改变和变型。
