何合適的信息。另外，消息、請求、響應、回復、查詢等可W是網絡流的形式。
[0024] 客戶機設備(諸如，客戶機設備130)旨在表示可W用于在網絡環境中發起網絡通 信并且可W從其傳遞私有數據的任何類型的計算設備。在一些實施例中，客戶機設備可W 與希望經由某個網絡而在網絡環境100中建立網絡會話的最終用戶相關聯。術語"客戶機設 備"還旨在包括在不具有用戶交互的情況下在網絡環境中與服務器通信的任何類型的計算 設備(例如，自動地通過網絡向服務認證的嵌入式控制器、具有自動地通過網絡向服務認證 的客戶機應用的計算設備）。客戶機設備可w包括但不限于，工作站、終端、膝上型計算機、 臺式計算機、平板、游戲系統、移動設備、智能電話、智能傳感器、信息娛樂系統、嵌入式控制 器、智能應用、全球定位系統(GPS)或能夠在網絡換機100內發起語音、音頻、視頻、媒體或數 據交換的任何其他設備、組件或元件。在一些實施例中，客戶機設備130還可W包括至人類 用戶的合適的接口（例如，用戶接口 137)，諸如，顯示器、鍵盤、觸摸板、遙控器、其他終端設 備或上述各項的任何合適的組合。
[0025]代理(諸如，代理140)是充當客戶機設備與web服務器(或其他計算設備或系統)之 間的通信的中介。如本文中所使用，術語"網絡元件"旨在涵蓋路由器、交換機、網關、橋、負 載均衡器、防火墻、內聯服務節點、代理、服務器、處理器、模塊、SDN控制器/交換機或可操作 W在網絡環境中交換信息的任何其他合適的設備、組件、元件或專屬電器。此網絡元件可W 包括促進其操作的任何合適的硬件、軟件、固件、組件、模塊、接口或對象。運可W包括允許 數據或信息的有效交換的適當的算法和通信協議。代理140可W被包括到任何網絡元件中。 [00%] 在一些實施例中，如圖1中所示，代理140可W與客戶機設備130分開，并且在適當 的情況下且基于特定的需要，可W在客戶機設備130與服務器120之間的任何地方實現代理 140。如果在與客戶機設備130分開的設備中實現代理140,則代理140的代碼可W在安全環 境中操作W保護響應于來自服務器120的對私有數據的請求而提供的私有數據。
[0027]在示例實現方式中，代理140可W是受保護的企業網絡中的安全路由器或網關。代 理140可W配置成用于攔截受保護企業網絡內的服務器與多個客戶機設備之間的在途中的 (en route)網絡流。代理140可W配置成用于例如經由互聯網而連接到服務器120。在另一 示例中，可W在家庭網絡的安全路由器中實現代理140。代理140可W配置成用于攔截家庭 網絡中的客戶機設備（例如，客戶機設備130)與可經由網絡(諸如，互聯網）訪問的服務器 (例如，服務器120)之間的在途中的網絡流。在又一實現方式中，代理140可W在受信任的云 中實現。發起到服務器120的連接的客戶機設備可W首先經由互聯網而連接到代理140。因 此，代理140可W保護多個客戶機設備的私有數據免受各種網絡（例如，企業網絡、家庭網 絡、學校網絡等)和獨立式客戶機設備(例如，使用蜂窩技術的移動設備、使用無線技術的移 動設備等）的影響。本文中提供的示例僅說明代理140的可能的實現方式，并且不旨在限制 本公開的廣泛教導W及本文中公開的實施例的潛在應用和其他實現方式。
[00%]在至少一個示例中，如本文中所概述，代理140包括用于實現(或促成)私有數據保 護的軟件。運些元件中的每一個都可W具有用于促進本文中描述的操作中的一些操作的內 部結構(例如，處理器、存儲器元件等）。在其他實施例中，運些私有數據保護可W在運些元 件外部實現，或可被包括在某個其他網絡元件中W實現運個預期的功能。或者，代理140可 W包括可W與其他網絡元件協調W實現本文中概述的操作的運個軟件(或往復式軟件）。在 又一些實施例中，一個或若干個設備可W包括促進其操作的任何合適的算法、硬件、軟件、 固件、組件、模塊、接口或對象。
[0029]服務器(諸如，圖1中的服務器120)是可W通過一個或多個網絡(諸如，網絡110)來 將服務提供給客戶機設備或其他計算設備的網絡元件。由服務器120提供的服務可W配置 成用于請求私有數據(諸如，向服務認證所需的證書）。服務122可W包括例如，訪問各種資 源或賬戶（例如，金融、醫療、零售、組織、商業等等）、文件傳輸、電子郵件、web內容等。在至 少一些實施例中，服務器120可W包括但不限于:遞送web內容的web服務器、當被請求時將 文件傳輸至客戶機設備的文件傳輸服務器、用于將電子郵件消息從客戶機設備傳輸到目的 地的電子郵件服務器、用于訪問新聞組的新聞服務器、用于提供交互式游戲的游戲服務器、 用于提供對應用和/或數據的訪問的應用服務器、或上述各項的任何組合。
[0030] 代理140是包括配置成用于保護已經被指定為私有的數據的一個或多個模塊的安 全代理。數據存儲可W配置為與一個或多個網絡代理設備(agent)相關聯的私有數據的儲 存庫。如本文中所使用，術語"網絡代理設備"旨在包括用戶、客戶機應用W及客戶機設備。 當數據被存儲在數據存儲145中時，此數據被指定為私有的。在至少一些實施例中，除了與 至少一個網絡代理設備相關聯之外，私有數據還可W與至少一個服務(及其對應的服務器） "相關聯"。數據存儲145中的私有數據項(或私有數據項集合)可W被映射到特定服務的一 個或多個標識符W指示其與服務的關聯。運些標識符可W包括但不限于，服務器的域名、月良 務的統一資源定位符化化）（例如，HTML網頁的URL)、服務器的網絡地址，等等。私有數據項 (或私有數據項集合)還可W被映射到一個或多個網絡代理設備的標識符W指示其與運一 個或多個網絡代理設備的關聯。運些標識符可W包括但不限于，客戶機設備標識符(諸如， 介質訪問控制(MAC)地址）、用戶標識符(諸如，安全標識符(SID))、客戶機應用標識符(諸 如，文件名）等等。私有數據項集合的示例可W是用于由特定的用戶在一個或多個特定的客 戶機設備上訪問特定的服務的用戶名和密碼。多個私有數據項集合可W與相同的（多個)網 絡代理設備相關聯，其中，每一個私有數據項集合與不同的服務相關聯。單獨的私有數據項 還可W與指示此項表示什么類型的私有數據(例如，用戶名、密碼、通行短語、賬號、個人標 識號(PIN)、安全問題答案等)的任何合適的描述符或標記相關聯。
[0031] 在至少一些實施例中，可W使用任何合適的映射、標記或鏈接技術(例如，列表、 表、關聯陣列、指針、索引、圖形、鏈表、文件名、關系型數據庫、散列表，等等)或表示私有數 據項與標識符之間的關聯、連接或鏈接的任何其他技術或機制來將服務和/或網絡代理設 備的標識符映射到私有數據項(或私有數據項的集合）。例如，簡單的表格配置(其通常是用 于組織電子信息的數據結構）是實現如先前所述的數據存儲145的一種可能的方式。然而， 將認識到，能W各種其他方式來對數據存儲145建模，并且運些其他配置可W基于給定的實 現方式的特定偏好和需要。私有數據項還可W映射到指示其類型的標記或描述符。
[0032] 在至少一些實施例中，當代理配置成用于處置與相同的私有數據相關聯的一個或 多個網絡代理設備的私有數據時(例如，使用一個或多個客戶機設備的單個用戶、具有單個 客戶機應用的單個客戶機設備，等等），私有數據項可能無需被映射到相關聯的網絡代理設 備的任何標識符(盡管它們可W被映射）。如果代理配置成用于處置與不同的私有數據相關 聯的多個網絡代理設備的私有數據，則與特定的網絡代理設備相關聯的私有數據項(或私 有數據項的集合)可W被映射到那個網絡代理設備的標識符。此外，在一些實例中，多個網 絡代理設備可W與私有數據項（或私有數據項的集合)相關聯。例如，由用戶經由客戶機設 備（即，手動地或自動地)而提供給服務的私有數據項與此用戶和此客戶機設備相關聯。如 果用戶經由多個客戶機設備將私有數據項供應至服務，則此私有數據項可W關聯至此用戶 W及由此用戶使用的所有的客戶機設備。在此實例中，數據存儲145中的私有數據項可W被 映射到由此用戶使用的運一個或多個客戶機設備中的每一個的標識符、或此用戶的標識 符、或上述各項的組合。在另一示例中，如果私有數據項由客戶機應用經由客戶機設備提供 給服務，則此私有數據項與此客戶機應用和此客戶機設備相關聯。在此實例中，數據存儲 145中的私有數據項可W被映射到此客戶機應用的標識符、或此客戶機設備的標識符、或上 述各項的組合。在又一示例中，如果私有數據項由客戶機設備(其是嵌入式控制器)提供給 服務，則此私有數據項與此嵌入式控制器相關聯，并且可W被映射到此嵌入式控制器的標 識符。
[0033] 作為說明，當特定的實體(諸如，金融機構)在允許通過機構的web服務器來訪問賬 戶之前要求提供已注冊用戶名和密碼，則用戶1所擁有的賬戶的用戶名和密碼可W在代理 140的數據存儲145中與此金融機構相關聯。在至少一個實施例中，此用戶名和密碼可W被 映射到此金融機構的域名或此金融機構的、請求此用戶名和密碼的網頁的統一資源定位符 化化）。如果代理包括多個用戶的私有數據，則此用戶名和密碼還可W被映射到用戶1的標 識符、由用戶1使用的一個或多個客戶機設備的標識符、或上述各項的組合。
[0034] 在一些實施例中，某些私有數據可能不一定直接與特定的服務和對應的服務器相 關聯。例如，性質上更普遍且由眾多服務請求的私有數據可W簡單地與合適的描述符或標 簽一起被存儲在數據存儲145中，所述合適的描述符或標簽指示此項表示什么類型的私有 數據。例如，家庭地址、電話號碼、性別、婚姻狀態等可與任何適當的描述符、標簽等一起被 存儲在數據存儲145中。當服務122將對運個通用的私有數據的請求發送至客戶機設備130 時，代理140可W配置成用于攔截正在被請求的特定類型的私有數據。代理140還可W向數 據存儲145捜索與對應于來自服務器的請求的客戶機設備和/或另一個網絡代理設備（例 如，用戶、客戶機應用)相關聯的私有數據。代理140還可W標識數據存儲140中的哪些私有 數據項與表示由服務器120請求的特定類型的數據的描述符或標簽相關聯。
[0035] 在至少一個實施例中，數據存儲145是在代理140中集成的并且受保護的私有數據 的安全倉。在其他實施例中，數據存儲145可W在代理140可訪問的分開的存儲設備中受保 護。任何合適的技術可W配置成用于填充數據存儲145。在一個示例中，可利用任何一個或 多個通信信道(例如，撰寫的郵件、經加密的文件傳輸、口頭交流等將私有數據項及其相 關聯的服務的列表提供給經授權的人員或實體(例如，服務提供商、網絡管理員等）。隨后， 可用私有數據項來填充數據存儲145。例如，在企業網絡環境中，用戶可W將私有數據項和 相關聯的服務的標識符提供給網絡管理員W便輸入到數據存儲145中。每一個用戶還可W 提供由那個用戶在企業網絡環境內使用的所有客戶機設備的列表。客戶機設備的標識符可 W被輸入在數據存儲145中，并且可被映射到用戶的私有數據項。在至少一個實施例中，受 保護數據存儲模塊143可W配置成用于促進將私有數據項存儲到數據存儲145中（例如，經 由用于手動輸入私有數據項的用戶接口、經由用于讀取特定類型的文件并且存儲來自文件 的數據項的軟件，等等）。在其他示例中，可W由制造商將某些私有數據項填充在數據存儲 145中。例如，嵌入式控制器的制造商可W用密碼和用戶/設備標識符來填充數據存儲，W便 使嵌入式控制器能夠向制造商的服務認證。
[0036] 在一些實施例中，可W使用用于填充和/或更新數據存儲145的遞增式方法。代理 140可W配置成用于自動地檢測到由服務器請求的私有數據不可用。在此場景下，代理140 可W將創建用于所請求的私有數據的條目的請求發送至客戶機設備130。對應于來自服務 器的、對私有數據的請求的任何網絡代理設備（即，用戶、客戶機應用或客戶機設備)可W創 建所請求的私有數據。在一個示例中，代理140可W配置成用于允許用戶向代理140指示此 用戶認為哪些web元素是私有的。例如，用戶可W具有與代理140之間的帶外通信W指示哪 些數據項應當被認為是私有的。在另一個示例中，對信息的未經修改的請求(諸如，未經修 改的HTML網頁)可W提供給客戶機設備130,并且用戶可W提供對所請求的數據項的輸入。 代理140可W配置成用于在后續的網絡流中識別并處置運些新元素。在至少一些實施例中， 代理140還可W用由用戶指示的運個新私有數據來填充數據存儲145。
[0037] 代理140還可W配置成用于學習客戶機設備到用戶的關聯。可W在配置時學習此 關聯，并且此關聯可W被存儲為一系列MAC地址，運些MAC地址使由相同的用戶使用的所有 客戶機設備成組。還可W自動地學習此關聯。例如，如果不存在針對特定服務的密碼，則用 戶可W用對密碼的請求來獲得未經更改的對象。用戶可W供應一個密碼。如果從多個客戶 機設備輸入相同的密碼，則將來它們可W自動地與相同的用戶相關聯。
[0038] 當最初填充數據存儲145時，可W發起解鎖機制W使網絡代理設備能夠授權代理 140使用來自數據存儲145的相關的私有數據。在至少一個實施例中，可W使用一次性密碼 (0TP)技術，其中，使用非重復密碼的序列來授權對私有數據的使用。一次性密碼可W由算 法預生成(或隨機地生成），并且可使用任何適當的通信信道(例如，帶外信道，諸如，短消息 服務(SMS)消息、安全令牌、在分開的設備(諸如，移動電話)上運行的軟件，等等)來與網絡 代理設備共享。在另一實施例中，可采用至代理140的一個或多個安全通信信道來提供認證 (例如，多因子認證、人類存在性，等等）。在一些實施例中，也可W使用生物計量數據(例如， 指紋、視網膜和虹膜、語音識別，等等)來解鎖私有數據。在一些實施例中，在某些場景下(例 如，用戶存在經驗證、先前授權的歷史、用戶請求代理140不要求對特定的