CN103535090B - 用于移动设备的身份管理的系统和方法 - Google Patents

用于移动设备的身份管理的系统和方法 Download PDF

Info

Publication number
CN103535090B
CN103535090B CN201280008997.4A CN201280008997A CN103535090B CN 103535090 B CN103535090 B CN 103535090B CN 201280008997 A CN201280008997 A CN 201280008997A CN 103535090 B CN103535090 B CN 103535090B
Authority
CN
China
Prior art keywords
user
client application
mobile device
client
token
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201280008997.4A
Other languages
English (en)
Other versions
CN103535090A (zh
Inventor
布里安·埃弗雷特·麦克布赖德
肯尼思·詹森·威廉·兰伯特
杰罗姆·伯特兰·尼古拉斯·科尼特
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Maliki Innovation Co ltd
Original Assignee
BlackBerry Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by BlackBerry Ltd filed Critical BlackBerry Ltd
Publication of CN103535090A publication Critical patent/CN103535090A/zh
Application granted granted Critical
Publication of CN103535090B publication Critical patent/CN103535090B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/062—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key distribution, e.g. centrally by trusted party
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/065—Continuous authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/068—Authentication using credential vaults, e.g. password manager applications or one time password [OTP] applications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H04W12/082—Access security using revocation of authorisation

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephonic Communication Services (AREA)

Abstract

提供了用于在移动设备上管理用户身份的系统和方法。所述系统包括移动设备，移动设备包括用户代理和客户端应用，用户代理和客户端应用彼此通信。系统还包括与移动设备通信的身份提供方，以及客户端服务与移动设备通信。用户代理被配置为与身份提供方通信，并取回针对客户端应用的用户身份，以及客户端应用被配置为向客户端服务发送用户身份。

Description

用于移动设备的身份管理的系统和方法
相关申请的交叉引用
本申请要求美国临时申请No．61／443，168(于2011年2月11日提交，题为SystemAnd Method For Identity Management For Mobile Devices，发明人为Brian EverettMcBride和Kenneth Jason William Lambert)和美国临时申请No．61／443，175(于2011年2月15日提交，题为System And Method for Identity Management For Mobile Devices，发明人为Brian Everett McBride、Kenneth Jason William Lambert和Jerome BertrandCornet)的优先权，据此，其内容通过整体引用并入。
技术领域
以下涉及用于管理移动设备上的身份信息的系统和方法。
背景技术
可以使用移动设备来运行各种类型的客户端引用。客户端应用的示例包括社交联网应用、通信应用、广告应用以及银行业应用。可以将若干客户端应用加载到移动设备上，使得移动设备成为资源丰富的工具。
各个应用可要求用户的个人信息以进行操作。这种个人信息被用于标识用户，并在本文中被可互换地称为用户身份信息和用户简档数据。用户身份信息的非限制性示例包括姓、中间名、名、生日、性别、地址、电话号码、email地址、国籍等。例如，当进行注册以使用移动设备上的客户端应用时，用户通常应客户端应用的请求提供该信息。在登录其移动设备上的客户端应用时，用户还可被要求提供其他信息。
附图说明
参考附图，现在将仅通过示例的形式来描述实施例，其中：
图1(a)是示意与身份提供方和客户端服务通信的移动设备的框图。
图1(b)是示意与身份提供方和客户端服务通信的多个移动设备的框图。
图2是示意在其中从主机系统向移动设备推送数据项的系统的示意图。
图3是移动设备的示例实施例的框图。
图4是示意图3中示出的其他软件应用和组件中的示例软件应用和组件的框图。
图5是对用于在工厂处理期间建立用户身份的示例计算机可执行指令进行示意的流程图。
图6是对用于在移动设备加电时建立用户身份的示例计算机可执行指令进行示意的流程图。
图7是从图6继续的、对用于根据用户的用户身份来签到用户的示例计算机可执行指令进行示意的流程图。
图8是从图7继续的、对用于注册用户身份账户的示例计算机可执行指令进行示意的流程图。
图9是用于创建新用户身份的示例图形用户界面(GUI)。
图10是用于使用用户身份来创建签到用户账户的示例GUI。
图11是对用于创建用户身份账户的示例计算机可执行指令进行示意的流程图。
图12是对用于登录用户身份账户的示例计算机可执行指令进行示意的流程图。
图13是对用于客户端应用使用用户身份账户登录到客户端服务的示例计算机可执行指令进行示意的流程图。
图14是示意用于向客户端设备安全传送数据的系统的框图。
图15是对用于向客户端设备安全传送数据的示例计算机可执行指令进行示意的流程图。
图16是对用于向客户端设备安全传送数据的另一示例实施例的示例计算机可执行指令进行示意的流程图。
图17是适于根据系统图14的信任关系的框图。
图18是示意根据系统的示例计算机可执行指令的流程图。
图19是对用于向客户端设备安全传送数据的另一示例实施例的示例计算机可执行指令进行示意的流程图。
具体实施方式
将移动设备使用来操作很多不同类型的应用，也称为软件程序。很多应用要求用户签到、注册或登录账户。通常使用用户标识(例如，用户名)和密码来验证正确的用户正登录具体的账户。如果在移动设备上使用越多的应用，则用户被要求记住越多的用户标识和密码。这可以是很麻烦的。此外，如果用户想要在开启设备时使用多个应用，则用户通常需要针对每个应用手动输入用户标识和密码。这是个耗时的过程。
当用户拥有可以操作公共应用的多个移动设备时，对用户标识和密码的管理变得更加繁重。在使用多个移动设备时，用户可需要在每个移动设备上登录相同的应用。从而，用户需要登录多次。该过程也是耗时和不方便的。
换言之，如果存在很多要求用户提供用户身份信息的客户端应用，提供所请求的用户身份信息的过程变成重复性的。如果用户还拥有每个都具有多个客户端应用的多个移动设备，提供所请求信息的重复效应倍增。
很多客户端应用为了特定的功能与远处的客户端服务通信。客户端服务通常要求与移动设备的用户相对应的具体用户简档数据。然而，很多用户不信任具有用户简档数据的移动应用。
要认识到，用户身份信息(在本文中也被称为用户简档数据)通常被使用来将新的用户注册到应用账户上，或者用来将用户登入到应用中。用户身份信息可以是个人信息，以及用户可能不希望向不信任的实体提供个人信息。例如，用户身份信息可被用于犯身份欺诈的罪行。要认识到，在用户重复提供该个人信息时，有敌意的人或程序有可能具有增加的机会来获得用户身份信息。
为了解决以上问题，转向图1(a)，所提出的系统和方法在通过网络20与身份提供方206通信的移动设备10上提供ID用户代理53。ID用户代理53(在本文中也被称为用户代理)和身份提供方206管理用户身份信息，用户身份信息可被移动设备202上的一个或多个客户端应用202或与客户端应用202通信的一个或多个客户端服务208所要求或请求。身份提供方206和客户端服务208是计算设备，例如，如服务器。可将用户身份信息集中存储在身份提供方206上。这可以为用户身份信息提供集中式的安全，以及提供从属于用户的多个设备而来的集中式访问。
移动设备10包括操作系统134、用户代理53、ID安全持久性凭证存储器35以及客户端应用202。可以在移动设备10上存储一个或多个客户端应用。每个客户端应用202包括伙伴API204，伙伴API204是被使用来与用户代理53交互的应用编程接口。例如当移动设备10加电时，由操作系统134来调用用户代理53。用户代理53可以存储并从ID安全持久性凭证存储器35取回数据。用户代理53还可以通过网络20存储并在身份提供方206上取回在移动设备10外部的数据。
用户200与用户代理53交互，以提供和取回数据。用户200还与客户端应用202交互。
用户代理53被使用来管理对从客户端应用202或从客户端服务208请求的用户身份信息的存储和取回。值得注意的是，客户端服务208可以通过网络20，穿过客户端应用202向用户代理53进行传送。
在一个示例实施例中，客户端服务208可以与用户代理53或身份提供方206直接通信。这限制了对身份提供方206上存储的用户身份信息的访问。移动设备10上的用户代理53例如可以是能够与身份提供方206通信的唯一实体。
一般而言，提供了用于管理移动设备10上的用户身份信息的系统。系统包括移动设备10，移动设备10包括用户代理53和客户端应用202，用户代理53和客户端应用202彼此通信。系统还包括与移动设备10通信的身份提供方206，以及客户端服务208与移动设备10通信。用户代理53被配置为与身份提供方206通信，并取回针对客户端应用202的用户身份信息，以及客户端应用202被配置为向客户端服务208发送用户身份信息。
转向图1(b)，用户200可以使用多个移动设备10a、10b。各个移动设备10a、10b通过网络20与身份提供方206和客户端服务209交互。不同类型的移动设备10的示例包括智能电话、蜂窝电话、个人数字助理、寻呼机、手持无线设备、电子阅读器、平板设备、膝上型设备、上网本等。
所提出的系统和方法向用户提供在使用移动设备10上的客户端应用202和服务时的单登录体验。换言之，通过登入用户代理53，用户200可以同时登入多个客户端应用202。用户200还能够跨多个移动设备10管理其身份信息。因此，不管用户正在使用哪个移动设备10，用户都能够登录到相同的应用，而无需重复输入其信息。所提出的系统和方法还对来自客户端应用202的用户个人信息提供隐私和安全性。从用户的角度，以持续的、简单的以及非侵入的方式来管理用户的身份信息。
以下示例包括移动或手持设备之间的通信，移动或手持设备之后将被统称为移动设备，以由编号10来引用。
移动设备10可以是具有高级数据通信能力的多向通信设备，包括通过收发机站网络与其他移动设备10或计算机系统进行通信的能力。移动设备10还可以具有允许语音通信的能力。根据移动设备10所提供的功能，可将其称作数据消息收发设备、平板设备、多向寻呼机、具有数据消息收发能力的蜂窝电话、膝上型设备、电子阅读器、无线因特网装置、或数据通信设备(具有或不具有电话能力)。移动设备10还可以是在以下系统中使用的移动设备：该系统被配置为连续路由从主机系统25到移动设备10的所有形式的推送信息。现在将参考图2来描述这种系统的一个示例。
图2是示例系统图，示出了从中间计算机系统(主机系统)25经由无线路由器26到用户的移动设备10的用户数据项(例如，消息A或C)重定向。无线路由器26提供无线连接功能，因为其进行动作以使移动网络20的大部分复杂度变得透明，以及其还实现支持向移动设备10推送数据所必需的特征。虽然没有示出，多个移动设备可以访问来自主机系统25的数据。在本示例中，图2中的消息A表示从例如主机系统25内的膝上型计算机(未示出)向网络(例如，LAN)中的任何数目的服务器计算机发送的内部消息，一般而言，该服务器计算机可以包括数据库服务器、事件服务器、E-mail服务器或语音邮件服务器。
图2中的消息C表示来自没有直接连接到主机系统25的发送者的外部消息，该发送者例如是用户的移动设备10、其他一些用户的移动设备(未示出)、或者是连接到公共或私人网络24(例如，互联网)的任何用户。消息C可以是e-mail、语音邮件、事件信息、数据库更新、web页面更新，或者甚至可以表示从用户的移动设备10到主机系统25的命令消息。沿着典型的通信链路，主机系统25可以包括与计算机网络系统相关联的硬件和软件、一个或多个无线移动性代理、TCP／IP连接、数据存储器的汇集(例如，用于e-mail的数据存储器可以是离架邮件服务器，如Microsoft Exchange(R)服务器或Lotus Notes(R)服务器)，所有这些都在网络防火墙内和后面。
移动设备10可以适于使用中的各个无线网络20所要求的、无线网络20内经由无线链路的通信。作为图2中示出的无线路由器26的操作的示意性示例，考虑数据项A，数据项A被在外部封套B中重新打包(已打包的数据项A现在被称为“数据项(A)”)并被从主机系统25中的应用服务提供方(ASP)向移动设备10发送。与无线移动性代理相似，在ASP内是计算机程序，该计算机程序运行在ASP的环境中从数据存储器向移动设备10发送所请求的数据项的任何计算机上。将以移动设备为目的地的数据项(A)被路由穿过网络24，并穿过保护无线路由器26的无线路由器26的防火墙(未示出)。
虽然以上将主机系统25作为在联网环境内使用来进行了描述，这仅是为手持无线设备提供基于推送的消息的一种类型的主机服务的一个实施例，当数据到达主机系统时，该手持无线设备能够在移动设备处向用户实时地通知和呈现数据。
通过提供无线路由器26(有时称为“中继”、“消息服务器”、“数据重定向器”等)，对主机系统25和无线网络20都存在众多主要的好处。主机系统25一般运行被视为在一个或多个计算机系统上运行的任何计算机程序的主机服务。主机服务被称为在主机系统25上运行，以及一个主机系统25可以支持任意数目的主机服务。主机服务可以知道，也可以不知道正在向移动设备10隧道传输信息这一事实。例如，e-mail或消息程序138(参见图3)可以正在接收和处理e-mail，同时相关联的程序(例如，email无线移动性代理)也正在监视用户的邮箱，并向无线设备10转发或推送相同的e-mail。还可以将主机服务修改为准备并经由无线路由器26与移动设备10交换信息，如客户关系管理软件。在第三示例中，可存在对某个范围内的主机服务的共同访问。例如，移动代理可以向若干数据库提供无线接入协议(WAP)连接。
虽然系统被示例化为在多向通信模式下工作，可以在“一又二分之一”或肯定应答寻呼环境中使用该系统的特定方面，或甚至与单向寻呼系统一起使用该系统的特定方面。在这种受限的数据消息收发环境中，无线路由器26仍然可以抽取移动设备10和无线网络20、向标准的基于web的服务器系统提供推送服务，以及允许主机系统25中的主机服务到达很多国家中的移动设备10。
在建立到无线路由器26的通信链路时，本文中示出的主机系统25可以有很多方法。对于数据通信领域中的技术人员，主机系统25可以使用连接协议(如，TCP／IP、X．25、帧中继、ISDN、ATM或很多其他的协议)来建立点对点连接。通过该连接，存在着可用于打包和发送数据的若干隧道传输方法，其中的一些包括：HTTP／HTML、HTTP／XML、HTTP／所有权、FTP、SMTP或其他一些所有权数据交换协议。可使用无线路由器26来执行推送的主机系统25的类型可以包括：现场服务应用、e-mail服务、股票报价服务、银行业服务、股票交易服务、现场销售应用、广告消息以及其他很多类型。无线路由器26使得该无线网络20抽取成为可能，无线路由器26实现该寻路和推送功能。正在由主机交换的用户选择的数据项的类型可以包括：e-mail消息、事件、会议通知、地址条目、日志条目、个人警报、告警、警告、股票报价、新闻公告、银行账户交易、现场服务更新、股票交易、心脏监视信息、贩卖机库存等级、仪表读取数据、GPS数据等，然而备选地，可以包括向主机系统25发送的或者主机系统25通过使用智能代理来获取的任何其他类型的消息，例如在主机系统25发起对数据库或web站点或公告板的搜索之后接收到的数据。
无线路由器26提供某个范围的服务，以使得创建基于推送的主机服务成为可能。这些网络可包括：(1)码分多址接入(CDMA)网络，(2)移动特别组或全球移动通信系统(GSM)以及通用分组无线电服务(GPRS)，以及(3)现有的和即将到来的第三代(3G)和第四代(4G)网络，如EDGE、UMTS和HSDPA、LTE、Wi-Max等。以数据为中心的网络的一些较老的示例包括但不限于：(1)Mobitex无线电网络(“Mobitex”)以及(2)DataTAC无线电网络(“DataTAC”)。
为了在针对主机系统25提供推送服务中高效，无线路由器26可以实现限定功能集合。可以意识到的是，可以针对无线路由器26选择很多不同的硬件配置，然而在不同的配置中很可能将呈现出很多相同或相似的特征集合。针对主机服务，无线路由器26可以提供以下特征中的任意一个或多个：1)寻址方法，以使得移动设备10业务可以寻址到主机系统25，而无需无线网络20向各个主机系统25指派身份；2)为了开启至主机系统25希望与其通信的一个或多个移动设备10的通信隧道，主机系统25用于发起至无线路由器26的通信连接的高效且被认证的方法；3)用于通过与无线网路20的能力相一致的方式来在主机系统25和移动设备10之间交换数据的可靠方法；4)在传递数据时向主机系统25提供反馈，这允许主机系统在必要时清理任何的无线传递队列，或者通知原始的发送者(用户或程序)已经向移动设备10传递了数据；5)对从无线路由器26向移动设备10发起服务或数据的推送的无线网络20的实现；以及6)连接到大范围的无线网络20，并提供跟踪用户的位置的方式，以使得可以提供“follow you anywhere”解决方案。
图3-4中示意了移动设备10的示例配置。首先参考图3，图3中示出了移动设备10的示例实施例的框图。移动设备10包括多个组件，例如控制移动设备10的整体操作的主处理器102。通过通信子系统104来执行包括数据和语音通信在内的通信功能。然而，要意识到，移动设备10不是必须具有语音通信能力，例如在平板设备和电子阅读器中。通信子系统104从无线网络20接收消息，并向无线网络20发送消息。在移动设备10的本示例实施例中，根据在世界范围内使用的GSM和GPRS标准来配置通信子系统104。可同等应用的其他通信配置是上述的3G和4G网络。目前仍然在制定新标准，然而相信新标准将具有同此处描述的网络相似的网络行为，因而本领域技术人员应当理解，此处描述的实施例意在使用将于未来开发出来的任何其它合适的标准。连接通信子系统104和无线网络20的无线链路表示按照所定义的、针对GSM／GPRS通信规定的协议工作的一条或多条不同的射频(RF)信道。
主处理器102还与附加的子系统交互，附加的子系统例如：随机存取存储器(RAM)106、闪存108、显示器110、辅助输入／输出(I／O)子系统112、数据端口114、键盘116、扬声器118、麦克风120、GPS接收机121、短距离通信122和其它设备子系统124。将在下面讨论的是，短距离通信122可以实现任何适合的或想要的设备对设备或对等通信协议，该通信协议能够以相对短的距离(例如，直接从一个设备到另一个设备)进行通信。示例包括ad-hoc WiFi、射频识别(RFID)、近场通信(NFC)、红外、或被重新配置为使用可用短距离组件的任何“长距离”协议。因此，将要意识到，短距离通信122可以表示使得要在短距离场景中在设备或实体之间实现的通信协议(例如，作为标准的协议或私有权)的任何硬件、软件或二者的组合。
移动设备10的子系统中的一些子系统执行涉及通信的功能，而其它子系统可提供“驻留”或机上功能。以示例的方式，可以将显示器110和键盘116用于涉及通信的功能(例如输入文本消息以在网络20上传输)和驻机功能(例如计算器或任务列表)。
在所要求的网络注册或激活处理已经完成后，移动设备10可以通过无线网络20发送和接收通信信号。将网络接入与移动设备10的订户或用户相关联。为了标识订户，移动设备10可以使用订户模块组件或“智能卡”126、例如订户身份模块(SIM)、可拆卸的用户身份模块(RUIM)以及通用订户身份模块(USIM)。在所示出的示例中，为了与网络通信，要将SIM／RUIM／USIM126插入SIM／RUIM／USIM接口128中。在没有组件126的情况下，对于与无线网络20的通信，移动设备10没有完全工作。一旦SIM／RUIM／USIM126被插入到SIM／RUIM／USIM接口128中，其与主处理器102耦合。可以意识到的是，在移动设备10的其他示例实施例中不要求SIM／RUIM／USIM卡，例如在平板设备、电子阅读器、膝上型设备等中。
移动设备10通常是电池供电的设备，并在本示例中包括用于容纳一个或多个可充电电池130的电池接口132。在至少一些实施例中，电池130可以是具有嵌入式微处理器的智能电池。电池接口132耦合到稳压器(未示出)，稳压器在向移动设备10提供功率V+时对电池130进行协助。虽然当前的技术使用了电池，将来的技术(例如，微燃料电池)可以向移动设备10提供功率。
在本文中描述的示例中，移动设备10包括或以其他方式具有对加密处理器123的访问，加密处理器123可被实现为硬件、软件或二者的组合。此外，如下面将要讨论的，加密处理器123可以控制(图4中示出的)用户代理53，用户代理53可以表示以加密方式处理数据的涉及加密或安全的应用。移动设备10还可以包括内部或外部存储器，或者用于存储计算机可执行指令的其他计算机可读介质，该指令用于使加密处理器123执行本领域周知的加密操作。可以在图3中看出，加密处理器123在移动设备配置中可以独立于主处理器102，或者可以通过与主处理器102自身相关联的特殊指令或硬件来实现。
移动设备10还包括将于以下详细说明的操作系统134和软件组件136至146。主处理器102所执行的操作系统134和软件组件136至146通常存储在永久性存储器(例如，闪存存储器108)中，备选地，闪存存储器108也可以是只读存储器(ROM)或其它类似的存储元件(未示出)。本领域技术人员将意识到，可将部分的操作系统134和软件组件136至146(例如特定的设备应用)或其一部分临时加载到易失性存储器(例如RAM106)中。还可以包括本领域技术人员周知的其他软件组件。
通常在其制造过程中，将用于控制基本设备运行的软件应用136的子集(包括数据和语音通信应用)安装在移动设备10中。软件应用可以包括消息应用138、设备状态模块140、个人信息管理器(PIM)142、连接模块144和IT策略模块146。消息应用138可以是允许移动设备10的用户发送和接收电子消息的任何适合的软件程序，其中，消息通常被存储在移动设备10的闪存108中。设备状态模块140可提供永久性，即设备状态模块140确保将重要的设备数据存储在永久性存储器(如闪存108中)，因此当移动设备10关闭或掉电时，数据不会丢失。PIM142包括用于组织和控制用户感兴趣的数据项的功能(例如但不限于e-mail、文本消息、即时消息、联系人、事件以及语音邮件)并且可以与无线网络20交互。连接模块144实现移动设备10与该移动设备10被授权与之进行接口连接的无线基础设施和任何主机系统25(例如企业系统)通信所需的通信协议。IT策略模块146接收编码IT策略的IT策略数据，并且可以负责组织和保护规则，例如，“设置最大密码尝试数”IT策略。
也可以将其他类型的软件应用或组件139安装在移动设备10上。这些软件应用139可以包括预安装的应用(即，不同于消息应用138)以及可在制造移动设备10之后添加的第三方应用。应用139的示例包括游戏、计算器、实用程序、社交媒体应用、购物应用、银行和其他金融应用、附加的消息收发应用等。可以通过无线网络20、辅助I／O子系统112、数据端口114、短距离通信子系统122或者任何其它适合的设备子系统124至少之一来将附加应用139加载到移动设备10上。
数据端口114可以是使移动设备10和另一计算设备能够进行数据通信的任意合适的端口。数据端口114可以包括串行或并行端口。在一些实例中，数据端口114可以包括USB端口，包括用于数据传递的数据线，以及可以提供充电电流以对移动设备10的电池130充电的电源线。
对于语音通信，向扬声器118输出接收到的信号，并由麦克风120生成用于发送的信号。虽然主要通过扬声器118来完成语音或音频信号输出，也可以使用显示器110来提供附加信息，例如主叫方的标识、语音呼叫的持续时间或者其他语音呼叫相关信息。
为了例如编写数据项(例如，e-mail消息)，除了很可能的辅助I／O子系统112之外，用户或订户可以使用显示器110上的作为触摸屏显示器(未示出)的一部分的触敏覆层(未示出)，辅助I／O子系统112可以包括诸如以下的设备：鼠标、轨迹球、轨迹板、红外指纹探测器或具有动力学按钮功能的滚动轮等设备。通信子系统104可以通过无线网络20发送编写好的项。
图4示出了可以存储在移动设备10上并与移动设备10一起使用的其他软件应用和组件139的示例。图4中仅示出的示例，并且这种示例不被视为是无遗漏的。在本示例中示出了即时消息收发应用50、日历应用52(或者其他关于事件的管理器)、用户代理53、电话应用54、地址簿56和简档应用58，以示意可以由移动设备10提供的各种特征。图4中还示出了消息应用138，之后为了清楚将其称为email应用138，消息应用138存储或者以其他方式访问消息数据库36，以存储进入和外出的消息以及存储在各个文件夹中的消息。将要意识到的是，各种应用可以独立操作，或者可以使用其他应用的特征。例如，电话应用54和email应用138可以为了从联系人列表34获得的联系人详情而使用地址簿56。
即时消息收发应用50是即时消息收发服务，其可以位于主机系统25上并由主机系统25提供(例如，使用无线路由器26处的消息收发服务器)，或者可以与第三方即时消息收发服务(未示出)相关联。即时消息收发应用50包括或以其他方式具有对通常称为“好友”列表30的联系人信息的访问。日历应用52包括或以其他方式具有对存储器、数据库或其他数据存储设备的用于存储日历项的部分的访问，该日历项可以包括与日历应用52中的具体日期和时间相关联的任何数据或信息，并且可以显示在其图形用户界面(GUI)中。可以意识到，这种软件应用和组件139可以要求一个或多个操作凭证33来在移动设备10上操作或运行。
继续参考图4，用户代理53包括或以其他方式具有对存储器、数据库或其他数据存储设备的用于加密数据33的部分的访问，加密数据33可以包括与加密功能相关联的任何数据或信息。具体地，所存储的数据33例如包括凭证、令牌、公钥和私钥、以及凭证权威机构的列表。
用户代理53还具有对ID安全持久性凭证存储器35的访问。该数据包括高度敏感的凭证信息。例如，在移动银行应用中，所存储的凭证是验证码或PIN号。在与政府有关的客户端应用中，所存储的凭证是个人的社会安全号或社会保险号。
将意识到，在本文中示例出的执行指令的任何模块或者组件可以包括或者具有对计算机可读介质的访问，该计算机可读介质例如：存储介质、计算机存储介质或者数据存储设备(可移除的和／或不可移除的)(例如，磁盘、光盘或者磁带)。计算机存储介质可以包括以用于信息的存储的任何方法或技术实现的易失性和非易失性的、可移除或者不可移除的介质，例如计算机可读指令、数据指令、程序模块或者其他数据。计算机存储介质的示例包括RAM、ROM、EEPROM、闪存或者其他存储器技术、CD-ROM、数字通用碟(DVD)或者其他光存储器、磁的盒状磁带、磁带、磁盘存储器或者其他磁存储设备，或者可以使用来存储所需信息并且可以由应用、模块或者应用和模块访问的其他任何介质。任何这种计算机存储介质可以是移动设备10、身份提供器206、客户端服务208等的一部分，或者可以由其访问或连接。可以使用计算机可读／可执行指令来实现本文中描述的任何应用或模块，可以由这种计算机可读介质来存储或者保持该指令。
针对建立和管理个人身份信息的方法，下面讨论多个图。
现在转向图5，提供用于在移动设备10是新的移动设备时建立用户身份的示例计算机可执行指令。例如，当移动设备10被“从盒中拿出”时，这是用户最初购买新的移动设备10并将移动设备从其盒中拿出的时刻。在框210处，在工厂设置期间将用于身份账户的信息和软件库安装在移动设备10上。然而，在该阶段还没有创建或注册用户的身份。
要意识到，在一些情况下，用户身份在图中指的是BBID。术语BBID指的是黑莓ID。然而，更一般地，BBID是用户身份，以及本文中描述的原理适用于管理各种类型的移动设备上的身份信息。
在框212处，移动设备10提供一个或多个GUI来便于在用户首次开机移动设备10时注册用户的身份。确定用户是否想要创建新的用户身份账户，或是否想要登入现有的用户身份账户(框214)。如果用户选择登入选项，则在框216处调用登入过程。否则，如果用户选择创建新用户身份账户的选项，在框218处，调用账户设置过程。在已将建立用户ID并且用户已经登入用户账户之后，可以存在其他的设置操作(步骤220)。在框220处发生其他系统设置操作，例如，设置email、下载用户代理53等。在完成整体设置之后，系统下载实际的运行镜像(running image)并重启。运行镜像例如指的是在首次设置之后安装的软件。在示例实施例中，所下载的运行镜像的版本被认为是最新的或者是几乎最近的版本。
当以非工厂设置对移动设备10加电时，例如，当用户已经成为移动设备10的所有者一段时间时，或移动设备10之前有所有者时，用于建立用户身份的过程是不同的。转向图6，在框222处，对移动设备10加电或开机。在框224处，确定是否存在之前授权或认证的、具有与移动设备10相关联的用户身份信息的用户。该用户身份信息将是用户代理知道的。如果不是，在框232处，调用用户身份登入过程。由登入过程，创建身份令牌并将其存储在移动设备10上(框230)。然而，如果存在之前授权的用户，在框226处，刷新之前授权的用户的身份令牌。如果成功刷新令牌，存储刷新的令牌(框230)。如果不能够刷新令牌，则调用登入过程(框232)。
在存储令牌时，GUI返回由用户代理53或客户端应用的屏幕提供的主屏幕(框234)。
转到图7，提供用于登入用户身份账户的示例计算机可执行指令。在框236处，移动设备10通过用户代理53显示登入GUI。所提供的选项包括创建新的用户身份账户，登入现有的用户身份账户，或者如果忘记了用户身份登入信息，取回访问信息(框238)。
如果用户200选择“忘记”选项，在框240处，调用密码恢复GUI。提供一个或多个机密问题，以确认用户的身份。如果提供了正确的回答(框242)，则调用成功密码恢复GUI(框244)。否则，调用失败密码恢复GUI(框246)，并且过程返回到框236。
如果用户200选择“登入”选项，在框250处，认证用户的身份信息。例如，用户将用户名和密码输入到移动设备10中，以及移动设备10确认所提供的信息是否正确。如果通过认证过程(框252)，则创建并存储身份令牌(框256)。如果认证过程失败(框252)，则显示示出失败认证的GUI(框254)，并且过程返回框(236)。
如果用户200选择“创建”选项，在框248处，调用身份账号设置过程。在创建账号时，继续框250，开始登入过程。
图8提供了用于注册新用户身份账户的示例计算机可执行指令。在框258处，显示用于身份账户设置的GUI。移动设备10提出多个问题，并接收账户信息(例如，用户名、密码、机密问题)，账户信息还包括来自用户200的用户身份信息(例如，联系人信息、个人信息、姓、中间名、名、生日、性别、地址、电话号码、email地址、国籍等)。在框260处，确定设置过程是否已成功。身份提供方206可以验证账户信息。身份提供方206存储账户信息，包括用户的身份信息。如果移动设备10不能到达身份提供方206或者身份提供方206确定已经存在相同的账户，则设置失败。如果设置已失败，在框262处，显示声明存在设置错误或失败的GUI。然后，过程返回到框258。如果设置成功，在框264处，显示欢迎新用户的GUI。将新用户的凭证(例如，用户名和密码)存储在ID安全持久性凭证存储器35中。
图9提供了使用来从用户200获得用于创建新用户身份账户的信息的示例GUI268。存在允许用户输入他／她的用户名270、email地址272、密码274、安全问题276和安全回答278的多个文本字段。可以存在用于接收其他类型的用户身份信息的附加字段。
图10提供了当用户登入用户身份账户时使用来获得用户名282和密码284的示例GUI280。还提供“忘记您的密码”按钮286来调用恢复用户密码的过程。
转到图11，提供用于创建用户身份的示例计算机可执行指令和系统。在288处，操作系统134触发用户身份登录过程。由用户代理53来执行该过程。在290处，用户代理53在移动设备10的显示器110上显示登录GUI。在292处，移动用户代理53从用户200接收创建新用户身份的指示。在294处，用户代理53在移动设备10上显示用于创建新的用户身份账户的GUI。在296处，用户代理53接收账户数据(例如，用户名、密码等)以及用户身份信息。在298处，用户代理53联系身份提供方206以创建新的用户身份。在300处，身份提供方206以其状态进行响应。状态信息包括指示账户是否存在，或者是否存在一般的服务器处理错误，或者是否接受针对用户身份的请求。如果身份提供方206在302处响应接受请求，则用户代理53向身份提供方206发送用户的凭证。身份提供方206验证凭证，以确定其真实性和准确性。凭证的非限制性示例包括用户名、密码、面部识别、语音识别、生物测定特征等。如果凭证被成功验证，则身份提供方206向用户代理53发出身份令牌(304)。令牌具有过期日期，以确保对身份和凭证信息进行周期性更新或刷新。通过用户代理53向身份提供方206重新提交凭证(例如，用户名和密码)来周期性刷新令牌。如果认证失败，提示用户再次提交凭证。在306处，将身份用户名和密码以及身份提供方发出的令牌存储在ID安全持久性凭证存储器35中。
有用的是，用户代理53能够自动刷新令牌(例如，通过联系身份提供方206)，而无需提示用户。此外，在示例实施例中，仅身份提供方206能够提取并使用在ID安全持久性凭证存储器35中存储的令牌。
转到图12，提供了用于允许用户登录用户代理53的示例计算机可执行指令和系统。在308处，移动设备10上的操作系统134在用户代理53处触发用户身份登录过程。操作系统134可以在对之前没有用户的移动设备10加电时触发该动作，或者在设置之前没有用户的移动设备10时触发该动作。用户登入过程在功率循环上是持久性的。换言之，如果用户在之前的时刻已经至少一次登入到移动设备10上，例如对于将来的时刻，用户不需要在对移动设备10加电或关电时每次都登入。
在310处，用户代理53在移动设备的显示器110上显示用户登录屏幕(例如，显示器GUI280)。在312处，移动设备10从用户200接收其凭证，例如其用户名和密码。在314处，从移动设备10上的用户代理53向身份提供方206转发用户的凭证。身份提供方206验证凭证是否正确。如果凭证被成功验证，在316处，身份提供方206生成用户身份令牌，并向移动设备10返回令牌。如果所提供的凭证在验证过程中失败，则移动设备10提示用户200再次提供凭证。
在318处，在移动设备10从身份提供方206接收令牌时，创建针对用户200的安全凭证存储器。用户的用户名、密码和令牌被存储在安全凭证存储器35中。优选地由用户代理53和身份提供方206来刷新安全凭证存储器35中存储的令牌，而无需提示用户200。身份提供方206具有通过用户代理53来提取并使用移动设备10上的令牌的权限。其他应用(例如，移动设备10上的客户端应用202，或客户端服务208)不能够访问该令牌。
图13提供了用于客户端应用202或客户端服务208或其二者登录到用户代理53上的示例计算机可执行指令和系统。这允许客户端应用202或客户端服务208通过用户代理53取回用户的信息。例如，为了使用户200通过移动设备的Facebook(TM)应用(例如，客户端应用202)登录Facebook(TM)服务器(例如，客户端服务208)，用户200必须将其Facebook(TM)用户名和密码输入到Facebook应用中。所提出的系统和方法允许用户200输入其Facebook(TM)凭证，将Facebook(TM)凭证与其用户身份相关联，以及将其Facebook(TM)凭证存储在ID安全持久性凭证存储器35上。可以针对各种其他客户端应用来使用该过程。通过这种方式，当用户200使用其用户身份登录用户代理53时，用户代理53还登录到所有相关联的客户端应用202中。这有用地使得用户200可以使用单个登录动作来登入多个其他应用。可以意识到，Facebook(TM)仅是示例客户端应用，并且可以使用其他应用。
可以理解，ID安全持久性凭证存储器35可以存储用于登录到用户代理53的凭证(例如，用户名和密码)、令牌、以及针对客户端应用的凭证。
要意识到的是，各个客户端应用202包括允许客户端应用202与用户代理53接口连接或通信的伙伴API204。
在图13中，假设用户200已经使用其用户身份登入到用户代理53中。在320处，用户200例如通过开启客户端应用202来调用客户端应用202。备选地，伙伴API204自主地发起针对与用户代理53相关联的用户身份凭证的请求。
在322处，如果用户200尚未登录到客户端应用202中，伙伴API204向用户代理53请求用户的凭证(例如，用户名和密码)。如果客户端应用已经与用户代理53相关联或注册到用户代理53，则用户针对于客户端应用202的凭证将被存储在ID安全持久性凭证存储器35中，并可通过用户代理53取回。如果客户端应用尚未与用户代理53相关联或注册到用户代理53，则必须获得用户针对于客户端应用202的凭证，并在然后将其存储在ID安全持久性凭证存储器35中。
有用地，客户端应用202可以仅访问与客户端应用202相关联的、已经存储在ID安全持久性凭证存储器35上的凭证。客户端应用202具有公钥和由伙伴API204提供的对应私钥。通过码签名权威机构来提供客户端应用的公钥和私钥对。例如，当客户端应用开发者签字参加开发针对移动设备10的应用时，开发者从码签名结构接收使用来签署其文件的签名密钥。所提出的系统使用签名密钥来确定客户端应用202的身份。
在324处，如果用户代理53确定尚未将客户端应用202的凭证存储在ID安全持久性凭证存储器35中，则用户代理53向伙伴API204发送响应：不存在针对客户端应用202的凭证。在326处，伙伴API204在显示器110上显示GUI，以提示用户提供针对客户端应用202的凭证。在328处，移动设备10接收针对客户端应用202的凭证。然后，伙伴API204请求用户代理53存储客户端应用202的凭证(330)。在332处，用户代理53将针对客户端应用202的凭证存储在ID安全持久性凭证存储器35上。在336，使用针对客户端应用202的凭证，客户端应用202从而可以通过网络20登录到客户端服务208中(334)。然后，客户端服务208可以向移动设备10上的客户端应用202返回信息(338)。
备选地，如果用户代理确定针对客户端应用202的凭证被存储在ID安全持久性凭证存储器35中，则用户代理53取回针对客户端应用的凭证，并将其提供给伙伴API204。然后，客户端应用202使用取回的(针对客户端应用202)凭证登录到客户端服务208(336)。可以意识到，在本后面的场景中(针对客户端应用202的凭证已被存储在移动设备10上)，用户代理53可以自动将用户200登录到客户端服务208中，而无需要求用户200输入任何凭证。这方便地节省了时间。
在另一示例性实施例中，身份提供方206还可以存储客户端服务208请求的用户身份信息(例如，个人信息)。客户端服务208可以向客户端应用202发送针对用户身份信息数据的请求。客户端应用202通过伙伴API204向用户代理53转发针对用户身份信息的请求。然后，用户代理53将针对用户身份信息的请求连同用户身份令牌一起向身份提供方206转发。在身份提供方206成功认证用户身份令牌时，身份提供方206将所请求的用户身份信息返回到用户代理53。然后，用户代理53向客户端应用202发送取回的用户身份信息，客户端应用202向客户端服务208发送该用户身份信息。可以意识到，可以由身份提供方206来加密用户身份信息，以使得仅客户端服务208可以解密已加密的用户数据。
一般而言，提供了用于管理移动设备上的用户身份信息的示例系统和方法。系统包括：所述移动设备，所述移动设备包括用户代理和客户端应用，所述用户代理和所述客户端应用彼此通信；与所述移动设备通信的身份提供方，所述用户身份信息存储在所述身份提供方；以及与所述移动设备通信的客户端服务；其中，所述用户代理被配置为与所述身份提供方通信，并取回针对所述客户端应用的所述用户身份信息，以及所述客户端应用被配置为向所述客户端服务发送所述用户身份信息。
在另一方面，所述身份提供方是服务器，以及所述客户端服务是另一服务器。在另一方面，所述系统还包括与所述客户端应用相关联的应用程序接口API，所述API被配置为允许所述客户端应用与客户端应用通信。在另一方面，所述移动设备包括操作系统，所述操作系统被配置为在所述移动设备开机时调用所述用户代理。在另一方面，所述移动设备包括多个客户端应用，以及所述移动设备被配置为在登入所述用户代理时登入所述多个客户端应用。在另一方面，所述移动设备还包括凭证存储器，所述凭证存储器被配置为至少存储用户凭证，所述凭证存储器与所述用户代理通信。在另一方面，所述用户凭证包括用户名和密码。在另一方面，所述用户代理还被配置为：显示图形用户界面，以及通过所述GUI接收所述用户凭证；向所述身份提供方提供所述用户凭证，以用于验证；如果所述用户凭证通过验证，从所述身份提供方接收令牌；以及在所述凭证存储器中存储所述令牌和所述用户凭证。在另一方面，所述客户端应用被配置为：从所述客户端服务接收针对所述用户身份信息的请求；向所述身份提供方转发所述请求和所述令牌；以及从所述身份提供方接收所述用户身份信息。在另一方面，所述身份提供方被配置为认证所述令牌，以及如果通过认证，所述身份提供方还被配置为向所述身份提供方发送身份信息。在另一方面，所述凭证存储器还被配置为存储针对所述客户端应用的凭证。在另一方面，为了登入所述客户端应用，所述用户代理还被配置为从所述凭证存储器取回针对所述客户端应用的凭证，并向所述客户端应用发送针对所述客户端应用的凭证；以及所述客户端应用还被配置为使用针对所述客户端应用的凭证来登录到所述客户端应用中。
还要认识到，与移动设备的一个或多个客户端应用相对应的一个或多个客户端服务可能不具有或不想要用于认证客户端服务的用户或编译这些用户的用户简档数据的能力。
例如，用户可能不信任客户端应用具有或传送其用户简档数据，或者客户端应用可能假设用户不信任具有该用户简档数据的客户端应用。
在另一示例中，用户可能不信任网络(例如，互联网或无线信道)，通过该网络，用户简档数据可能已经在客户端应用和客户端服务之间进行了传送。
已经认识到，为了解决以上问题，可信用户代理和可信身份提供方可以向客户端服务进行对用户简档数据的安全传送。用户可优选使可信身份提供方向客户端服务仅提供所要求的用户简档数据，而不将用户简档数据暴露于客户端应用。
这种安全通信方法防止了可能是不可信的客户端应用在使用户使用与该客户端应用相对应的客户端服务时获得用户简档数据。
此外，这种安全通信方法使用户使用多个这样的客户端服务，而无需手动向多个这种客户端服务中的每个客户端服务提供用户简档数据。
在一个方面，提供了用于向服务安全传送数据的系统和方法。
在身份管理系统的另一示例实施例中，并参考图14，该系统包括移动设备10，可以在该移动设备10上认证用户200，移动设备10包括用户代理和一个或多个客户端应用202。系统还包括身份提供方206以及一个或多个客户端服务208，身份提供方206用于通过网络20建立与用户代理53的网络通信，一个或多个客户端服务208用于通过网络20(或另一网络)建立与客户端应用202的网络通信。身份提供方206被链接到用户简档数据库1416，用户简档数据库1416被配置为存储与用户200相关联的用户简档数据。
客户端服务208向客户端应用202请求用户简档数据，以及作为响应，身份提供方206生成包括用户简档数据和令牌机密的加密令牌，并将其向客户端服务208传送，以用于解密。还向客户端应用202传送令牌机密，以提供对令牌机密的所有权的证据，可以向客户端服务208提供令牌机密以验证令牌。客户端应用202不为了客户端服务208验证用户简档数据而要求任何用户简档数据的知识。
身份提供方206可被链接到密钥存储器1418，以及各个客户端服务208可被各自链接到密钥存储器1420，各个密钥存储器1418、1420用于存储加密密钥。可以根据公钥基础结构(PKI)加密方案来提供加密密钥，以及更具体地，可以根据椭圆曲线加密(ECC)方案来提供加密密钥。
例如，身份提供方206与加密密钥对相关联，该加密密钥对包括身份提供方的公钥1431和对应的私钥1430。客户端服务208与加密密钥对相关联，该加密密钥对包括客户端服务的公钥1432和对应的私钥1433。身份提供方的私钥1430和客户端服务的公钥1432被存储在密钥存储器1418中。身份提供方的公钥1431和客户端服务的私钥1433被存储在密钥存储器1420中。
用户代理可以包括用于高速缓存令牌或令牌机密或其二者的存储器1422。
转向图17，虽然用户可能不信任具有用户简档数据的客户端应用，用户可信任客户端应用1702代表用户与客户端服务交互。用户还可以信任具有用户信息1704的身份提供方与用户代理假扮用户1706。
基于用户对在移动设备上提供并为用户代理所知的适当凭证的知识，身份提供方对应地可以信任用户1708。身份提供方还可以信任具有向客户端服务提供的用户简档数据的客户端服务1710。
客户端服务可以信任身份提供方1712正在向客户端服务提供其所请求的正确用户简档数据。例如可以在身份提供方的管理员使具体的客户端服务参与到安全通信方法中之前建立这种信任。
各个具体的客户端服务可依赖身份提供方提供用户简档数据，包括用于认证和／或编译用户简档数据的用户简档数据，以及各个具体的客户端服务可以与用户代理进行接口连接，以向客户端服务传送所请求的用户简档数据。
虽然安全通信方法可被应用于任何数目的一个或多个客户端服务以及与具有一个或多个用户的移动设备相对应的一个或多个客户端应用，为了简洁，将描述与对应于具有一个用户的移动设备的单个客户端应用通信的单个客户端服务。
在另一方面，并现在参考图15，该方法包括：生成加密令牌1502，令牌1502包括用户简档数据和仅可由客户端服务208解密的令牌机密，向客户端服务传送令牌1504，以用于解密，向客户端应用传送令牌机密1506，以及验证向客户端应用传送的令牌机密与令牌1508的令牌机密相等。如果向客户端应用传送的令牌机密等于令牌的令牌机密，则客户端服务可以对令牌包括所请求的用户简档数据具有高度的信心，并且可以根据需要来使用用户简档数据。在示例实施例中，如果向客户端应用传送的令牌机密等于令牌的令牌机密，客户端服务断定或记录令牌包括所请求的用户简档数据，并使用该用户简档数据。否则，可以重复步骤1502-1508，或者客户端服务可以放弃针对用户简档数据的请求。应该意识到，可以同时或者以任何次序顺序执行步骤1504和1506。例如，执行1504，然后执行1506；或者执行1506，然后执行1504；或者以任何的顺序异步执行。
在另一示例实施例中，并现在参考图16，该方法更具体地可以包括：客户端应用生成对用户代理的针对用户简档数据的请求1602，用户代理向身份提供方提供该请求1604，身份提供方生成令牌机密以及包括用户简档数据和令牌机密在内的加密令牌1606，并经由用户代理向客户端应用传送令牌和令牌机密1608，客户端应用向客户端服务提供令牌1610，以用于解密该令牌，以及客户端应用基于令牌机密向客户端服务提供令牌的所有权证据1612，以验证用户简档数据。
现在转向图8，如前所述，一旦身份提供方将用户与用户账户相关联，客户端服务可以请求与用户相对应的用户简档数据。用户可以是当前向移动设备认证的一个或多个用户中的一个，如前所述，当前用户在剩余用户中是可标识的。用户代理知道当前正在向移动设备认证哪个用户。
用户简档数据可以包括一个或多个主张。在示例实施例中，主张包括与用户有关的事实，该事实可以由另一实体声明。声明事实或生成主张的该另一实体被认为是权威机构，并且还可以证明主张的真实性。一些主张是强制性的(例如，必须包括在令牌中)，以及其他主张是可选的(例如，可选地包括在令牌中)。主张的示例包括用户标识符或用户名。在示例实施例中，主张中的用户标识符被称为ecolD。其是在属于用户的所有设备上伴随用户的标识。此外，ecolD不改变。例如，虽然用户可以改变用户名或密码，ecolD不改变。ecolD例如包括数字。
在示例实施例中，ecolD是令牌内将不会随着时间改变的特性。
用户简档数据可以包括用户的认证状态，以使得可以在具体客户端服务上认证用户，该具体客户端服务请求用户简档数据以及身份提供方和／或用户已经授权与客户端服务共享的用户个人数据。应该理解，从身份提供方向客户端服务的用户个人数据传送不是必须包括与用户有关的个人可标识信息。
客户端服务经由客户端应用和用户代理向身份提供方请求用户简档数据。例如，用户可以访问移动设备上的客户端应用1802。客户端应用对应于客户端服务。客户端应用可以与客户端服务通信，以发起对客户端服务的使用1804。客户端服务可以对应地向客户端应用发出质询1806，请求客户端应用例如向客户端服务提供对应的用户简档数据，例如用于认证用户的认证信息。然而，具有该用户简档数据的用户可以不信任客户端应用。
客户端应用向用户代理请求用户简档数据1808，例如本示例中的认证信息，并向用户代理提供客户端应用标识符。用户代理确定其之前是否请求过针对具体用户服务的具体用户简档数据，以及是否高速缓存过对应的令牌和令牌机密。
如果用户代理没有做过，其向身份提供方请求用户简档数据1810。因为用户代理拥有移动设备的当前用户的用户凭证，用户代理可以向身份提供方传送用户凭证的全部或一部分，以通知身份提供方客户端服务正在查询哪个用户。如果用户代理具有高速缓存的对应令牌和令牌机密，其可以不需要向身份提供方请求用户简档数据。
在被请求的情况下，身份提供方生成仅可被客户端服务解密的加密令牌，防止客户端应用访问用户简档数据。令牌可以包括用户简档数据、令牌机密以及也被称为元数据的任何其他数据。
身份提供方向用户代理提供用户代理可高速缓存的令牌和令牌机密1812。客户端应用可以向用户代理请求令牌和令牌机密。
可选地，用户代理发起要经由移动设备的用户界面向用户提供的提示。提示可以向用户请求明确的赞同，以使得用户代理可以向客户端应用提供令牌和令牌机密。如果用户不赞同，用户代理至少不向客户端应用放出令牌。如果用户赞同，用户代理向客户端应用放出令牌和令牌机密。
可以通过在各个客户端应用与用户代理之间建立安全性来向确保正确的客户端应用传送令牌和令牌机密1814。这可以通过发出凭证或标识现有的凭证以验证任何具体客户端应用的身份来进行。可以由进行保证的权威机构来管理凭证。
备选地或附加地，用户代理可被配置为标识客户端应用的特定集合，并与客户端应用的该特定集合安全地通信，以使得可以防止向除所预期的客户端应用之外的客户端应用提供令牌和令牌机密。
可以仅向具有与在请求时向用户代理提供的客户端应用标识符相匹配的客户端应用标识符的客户端应用提供令牌和令牌机密。在从用户代理接收到令牌和令牌机密时，客户端应用可在然后向客户端服务传送令牌1816。
客户端服务解密令牌，以获得用户简档数据、元数据和令牌机密。客户端服务还可以请求客户端应用向客户端服务传送其令牌机密备份或者令牌机密所有权的其他证据，以用于验证客户端应用是客户端服务希望放心的具体客户端应用，使得客户端服务放心接收到的用户简档数据和元数据。
身份提供方可以可操作为针对各个客户端应用和对应的客户端服务来生成特定的令牌和令牌机密。这可以通过加密来提供。
可以加密对针对用户简档数据的请求的传送1806以及对应的令牌传送1812、1814、1816。例如可以通过PKI来提供加密，PKI包括公钥和对应的私钥。可以由ECC来提供具体的PKI。
可以提供至少两个公／私钥对，第一密钥对在本文中指代客户端服务加密密钥对，以及第二密钥对在本文中指代认证令牌签名密钥对。
客户端服务加密密钥对包括仅为具体客户端服务所知的私钥和至少为身份提供方所知的公钥。客户端服务可以包括用于存储客户端服务加密密钥对的私钥的密码存储器。身份提供方可以包括用于存储客户端服务加密密钥对的公钥的密码存储器。各个客户端服务可以与唯一的客户端服务加密密钥对相关联，以及身份提供方的密钥存储器可以存储所有客户端服务的所有公钥。
认证令牌签名密钥对包括仅为身份提供方所知的私钥以及为所有客户端服务所知的公钥。身份提供方的密钥存储器可以存储认证令牌签名密钥对的私钥。各个客户端服务的密钥存储器可以存储认证令牌签名密钥对的公钥。
令牌和令牌机密可以可由用户代理高速缓存预定时间量，以降低用户代理和身份提供方之间所需的通信量，以及启动在网络没有将移动设备连接到身份提供方时用于接收用户简档数据的服务。令牌机密可以由身份提供方在预定的时间量之后重新生成，该预定时间量可以是例如几个小时或几天。在重新生成令牌机密时，也必须由身份提供方来重新生成令牌。
也可以在预定的时间量之后重新生成认证令牌签名密钥对和客户端服务加密密钥对，并废除当前的密钥对，以增加安全性。客户端服务和身份提供方可被配置为在过渡时段期间识别当前废除的密钥对预定时间量，直到所有的客户端服务都知道新的密钥对。这使得直到接收到为止，高速缓存的和处理中的认证令牌都保持有效。一旦被废除，可将具体的密钥从其相应密钥存储器删除。
例如，客户端服务和身份提供方可被配置为识别最新废除的认证令牌签名密钥对，直到所有的客户端服务已经向身份提供方确认接收到认证令牌签名密钥对的新公钥。
类似地，各个客户端服务和身份提供方可被配置为识别最新废除的客户端服务加密密钥对，直到身份提供方已经向具体的客户端服务确认接收到具体客户端服务加密密钥对的新公钥。
也可以根据需要，例如当已经检测到安全性被破坏时重新生成任何密钥或密钥对。
以背景的方式，不对称加密算法对加密数据的大小具有较低限制。实际中，被称为“不对称加密”的示例过程由以下组成：生成短时的对称密钥；使用该对称密钥来加密数据；使用不对称加密方法(例如，RSA、ECC等)来加密对称密钥；以及将加密对称密钥与加密数据串联。即使使用了对称和不对称算法的组合，该过程也被视为是不对称的，因为仅知道不对称解密密钥的过程可以解密短时对称密钥，并因此解密数据。
现在转向图19，客户端应用向客户端服务发出服务请求1902。该请求可以是特定于服务的。客户端服务可以向客户端应用发出质询，并向客户端应用指示所要求的具体主张1904，例如，要求认证令牌。质询可以是特定于服务的。在单独的示例实施例中，客户端服务要求特定的认证令牌的事实可以是在客户端应用内预先建立的策略。
客户端应用向用户代理请求1906与所要求的主张相对应的令牌，包括向用户代理提供客户端应用标识符。该请求指定客户端服务所需的令牌类型以及标识客户端服务的客户端服务标识符。客户端服务标识符使得身份提供方可以使用针对具体的进行请求的客户端服务的可应用公钥来加密令牌。基于具体的实现细节，令牌类型和／或客户端服务标识符可被编码在质询中，在运行时配置或在编译时得知。
用户代理确定在其高速缓存中是否具有针对具体客户端服务的有效令牌1908。如果不具有，用户代理向身份提供方请求令牌1910。
身份提供方生成令牌1912，令牌包括用户简档数据、令牌机密和元数据，用户简档数据包括客户端服务所要求的具体主张，以及身份提供方使用具体客户端服务的客户端服务加密密钥对的公钥1432来加密令牌。身份提供方还通过使用身份提供方的签名密钥对的私钥1430来加密令牌的摘要或令牌自身，以对令牌签名。
身份提供方向用户代理传送1914令牌和令牌机密。
如果用户代理在其高速缓存中具有有效令牌，其向客户端应用提供该有效令牌1916。不管用户代理是向身份提供方要求令牌还是在其高速缓存中具有令牌，用户代理都在然后向具有与和请求一起提供的客户端应用标识符相匹配的客户端应用标识符的客户端应用提供令牌和令牌机密1916。客户端应用发送所有权证据，并向客户端服务传送服务请求、令牌和所有权证据，该所有权证据可以是基于客户端服务的质询计算出的。
客户端服务使用其客户端服务加密密钥对的私钥1433来解密令牌1920、通过使用身份提供方(的身份提供方的加密密钥对)的公钥1431解密被签名的令牌来验证令牌1922，以及提取令牌机密1924和用户简档数据。然后，客户端服务可选地基于令牌机密和质询来计算质询响应1926，并可选地验证客户端应用发送的所有权证据与所期望的值匹配1928。客户端应用还向客户端服务提供令牌机密的所有权证据1930，这可以例如是通过http摘要或另一服务特有的机制提供共享机密的知识来进行的。
如果客户端服务能够解密令牌并验证令牌机密，客户端服务知道令牌是由身份提供方针对具体的客户端服务发出并由知道令牌机密的客户端应用提供的。基于用户代理仅向作出请求的客户端应用提供令牌和令牌机密，发送令牌的客户端应用也已知是请求令牌的客户端应用。还已知作为主张的用户简档数据在身份提供方生成令牌时是有效的，以及令牌涉及在生成令牌时在用户设备上认证的用户。
总而言之，提供了用于向与客户端应用通信的客户端服务安全传送数据的示例系统和方法。方法包括：生成加密令牌，所述令牌包括用户简档数据和令牌机密，所述令牌是能够由所述客户端服务解密的；向所述客户端服务传送所述令牌，以用于解密；以及向所述客户端应用传送所述令牌机密；其中，所述客户端服务用于验证向所述客户端应用传送的所述令牌机密与所述令牌的令牌机密相等。
在另一方面，所述身份提供方生成所述令牌机密，所述身份提供方与移动设备通信，以及所述移动设备包括所述客户端应用。在另一方面，如果向所述客户端应用传送的所述令牌机密等于所述令牌的所述令牌机密，所述客户端服务对所述令牌包括所述用户简档数据具有高度信心。
本文中描述的流程图中的步骤或操作仅被用作示例。在不背离本发明的精神的情况下，可以存在这些步骤或操作的很多变型。例如，可以通过不同的顺序来执行步骤，或者可以添加、删除或修改步骤。
虽然参考某些特定的实施例描述了以上原理，然而在不背离所附权利要求的范围的情况下，其各种修改对本领域技术人员将是显而易见的。

Claims (20)

1.一种用于管理移动设备上的用户身份信息的系统，所述系统包括：
所述移动设备，所述移动设备包括用户代理和客户端应用，所述用户代理和所述客户端应用彼此通信；
身份提供方，与所述移动设备通信，所述用户身份信息存储在所述身份提供方处；以及
客户端服务，与所述客户端应用通信；
其中，所述用户代理被配置为：
向所述身份提供方发送所述用户凭证，以用于验证；
如果所述用户凭证通过验证，则从所述身份提供方接收令牌；
从所述客户端服务接收针对所述用户身份信息的请求；
向所述身份提供方发送所述请求和所述令牌；
从所述身份提供方接收所述用户身份信息；以及
经由所述客户端应用向所述客户端服务发送所述用户身份信息。
2.根据权利要求1所述的系统，其中，所述身份提供方包括服务器，以及所述客户端服务包括另一服务器。
3.根据权利要求1所述的系统，还包括与所述客户端应用相关联的应用程序接口API，所述API被配置为允许所述客户端应用与用户代理通信。
4.根据权利要求1所述的系统，其中，所述移动设备包括操作系统，所述操作系统被配置为在所述移动设备开机时调用所述用户代理。
5.根据权利要求1所述的系统，其中，所述移动设备包括多个客户端应用，以及所述移动设备被配置为在登入所述用户代理时登入所述多个客户端应用。
6.根据权利要求1所述的系统，其中，如果用户凭证通过验证，则所述用户代理还被配置为在移动设备上创建凭证存储器，以存储所述用户凭证和所述令牌，所述凭证存储器与所述用户代理通信。
7.根据权利要求1所述的系统，其中，所述用户凭证包括用户名和密码。
8.根据权利要求1所述的系统，其中，所述用户代理还被配置为：显示图形用户界面“GUI”，以及通过所述GUI接收所述用户凭证。
9.根据权利要求1所述的系统，其中，所述身份提供方被配置为认证所述令牌，以及如果通过认证，所述身份提供方还被配置为经由所述用户代理向所述客户端应用发送所述用户身份信息。
10.根据权利要求6所述的系统，其中，所述凭证存储器还被配置为存储针对所述客户端应用的凭证。
11.根据权利要求10所述的系统，其中，为了登入所述客户端应用，所述用户代理还被配置为从所述凭证存储器取回针对所述客户端应用的凭证，并向所述客户端应用发送针对所述客户端应用的凭证；以及所述客户端应用还被配置为使用针对所述客户端应用的凭证来登录到所述客户端应用中。
12.一种由移动设备执行的用于管理用户身份信息的方法，所述方法包括：
所述移动设备上的用户代理向所述身份提供方发送所述用户凭证，以用于验证，所述移动设备与所述身份提供方通信；
如果所述用户凭证通过验证，则所述用户代理从所述身份提供方接收令牌；
从客户端服务接收针对所述用户身份信息的请求；
向所述身份提供方发送所述请求和所述令牌；
从所述身份提供方取回所述用户身份信息；以及
所述用户代理经由所述移动设备上的客户端应用向所述客户端服务发送所述用户身份信息。
13.根据权利要求12所述的方法，其中，所述身份提供方包括服务器，以及所述客户端服务包括另一服务器。
14.根据权利要求12所述的方法，其中，所述移动设备包括操作系统，以及所述方法还包括：所述操作系统在所述移动设备开机时调用所述用户代理。
15.根据权利要求12所述的方法，其中，所述移动设备包括多个客户端应用，以及所述方法还包括：所述移动设备在登入所述用户代理时登入所述多个客户端应用。
16.根据权利要求12所述的方法，还包括：如果用户凭证通过认证，则在移动设备上创建凭证存储器，以存储所述用户凭证和所述令牌。
17.根据权利要求12所述的方法，其中，所述用户凭证包括用户名和密码。
18.根据权利要求12所述的方法，还包括：
在所述移动设备上显示图形用户界面“GUI”，以及通过所述GUI接收所述用户凭证。
19.根据权利要求16所述的方法，其中，所述凭证存储器存储针对所述客户端应用的凭证。
20.根据权利要求19所述的方法，其中，为了登入所述客户端应用，所述方法还包括：所述用户代理从所述凭证存储器取回针对所述客户端应用的凭证，并向所述客户端应用发送针对所述客户端应用的凭证；以及所述客户端应用使用针对所述客户端应用的凭证来登录到所述客户端应用中。
CN201280008997.4A 2011-02-15 2012-02-15 用于移动设备的身份管理的系统和方法 Active CN103535090B (zh)

Applications Claiming Priority (5)

Application Number Priority Date Filing Date Title
US201161443168P 2011-02-15 2011-02-15
US201161443175P 2011-02-15 2011-02-15
US61/443,168 2011-02-15
US61/443,175 2011-02-15
PCT/CA2012/050086 WO2012109751A1 (en) 2011-02-15 2012-02-15 System and method for identity management for mobile devices

Publications (2)

Publication Number Publication Date
CN103535090A CN103535090A (zh) 2014-01-22
CN103535090B true CN103535090B (zh) 2017-07-07

Family

ID=46653145

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201280008997.4A Active CN103535090B (zh) 2011-02-15 2012-02-15 用于移动设备的身份管理的系统和方法

Country Status (5)

Country Link
US (3) US8644800B2 (zh)
EP (1) EP2676497B1 (zh)
CN (1) CN103535090B (zh)
CA (1) CA2835349C (zh)
WO (1) WO2012109751A1 (zh)

Families Citing this family (135)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8326814B2 (en) 2007-12-05 2012-12-04 Box, Inc. Web-based file management system and service
WO2012099617A1 (en) 2011-01-20 2012-07-26 Box.Net, Inc. Real time notification of activities that occur in a web-based collaboration environment
CN103535090B (zh) * 2011-02-15 2017-07-07 黑莓有限公司 用于移动设备的身份管理的系统和方法
US9015601B2 (en) 2011-06-21 2015-04-21 Box, Inc. Batch uploading of content to a web-based collaboration environment
US9063912B2 (en) 2011-06-22 2015-06-23 Box, Inc. Multimedia content preview rendering in a cloud content management system
US9652741B2 (en) 2011-07-08 2017-05-16 Box, Inc. Desktop application for access and interaction with workspaces in a cloud-based content management system and synchronization mechanisms thereof
GB2503625A (en) 2011-07-08 2014-01-01 Box Inc Collaboration sessions in a workspace on cloud-based content management system
US9183361B2 (en) * 2011-09-12 2015-11-10 Microsoft Technology Licensing, Llc Resource access authorization
US9197718B2 (en) 2011-09-23 2015-11-24 Box, Inc. Central management and control of user-contributed content in a web-based collaboration environment and management console thereof
US8515902B2 (en) 2011-10-14 2013-08-20 Box, Inc. Automatic and semi-automatic tagging features of work items in a shared workspace for metadata tracking in a cloud-based content management system with selective or optional user contribution
US9189753B2 (en) * 2011-10-24 2015-11-17 Blackberry Limited Multiplatform management system and method for mobile devices
WO2013062599A1 (en) 2011-10-26 2013-05-02 Box, Inc. Enhanced multimedia content preview rendering in a cloud content management system
US9098474B2 (en) 2011-10-26 2015-08-04 Box, Inc. Preview pre-generation based on heuristics and algorithmic prediction/assessment of predicted user behavior for enhancement of user experience
US8990307B2 (en) 2011-11-16 2015-03-24 Box, Inc. Resource effective incremental updating of a remote client with events which occurred via a cloud-enabled platform
US9773051B2 (en) 2011-11-29 2017-09-26 Box, Inc. Mobile platform file and folder selection functionalities for offline access and synchronization
US9019123B2 (en) 2011-12-22 2015-04-28 Box, Inc. Health check services for web-based collaboration environments
US9904435B2 (en) 2012-01-06 2018-02-27 Box, Inc. System and method for actionable event generation for task delegation and management via a discussion forum in a web-based collaboration environment
US11232481B2 (en) 2012-01-30 2022-01-25 Box, Inc. Extended applications of multimedia content previews in the cloud-based content management system
US9965745B2 (en) 2012-02-24 2018-05-08 Box, Inc. System and method for promoting enterprise adoption of a web-based collaboration environment
US9195636B2 (en) 2012-03-07 2015-11-24 Box, Inc. Universal file type preview for mobile devices
US9054919B2 (en) 2012-04-05 2015-06-09 Box, Inc. Device pinning capability for enterprise cloud service and storage accounts
US9575981B2 (en) 2012-04-11 2017-02-21 Box, Inc. Cloud service enabled to handle a set of files depicted to a user as a single file in a native operating system
US9413587B2 (en) 2012-05-02 2016-08-09 Box, Inc. System and method for a third-party application to access content within a cloud-based platform
WO2013166520A1 (en) 2012-05-04 2013-11-07 Box, Inc. Repository redundancy implementation of a system which incrementally updates clients with events that occurred via cloud-enabled platform
US9691051B2 (en) 2012-05-21 2017-06-27 Box, Inc. Security enhancement through application access control
US8914900B2 (en) 2012-05-23 2014-12-16 Box, Inc. Methods, architectures and security mechanisms for a third-party application to access content in a cloud-based platform
US9027108B2 (en) 2012-05-23 2015-05-05 Box, Inc. Systems and methods for secure file portability between mobile applications on a mobile device
US8824372B2 (en) * 2012-06-28 2014-09-02 Cable Television Laboratories, Inc. Location based authentication for online services
US9021099B2 (en) 2012-07-03 2015-04-28 Box, Inc. Load balancing secure FTP connections among multiple FTP servers
GB2505072A (en) 2012-07-06 2014-02-19 Box Inc Identifying users and collaborators as search results in a cloud-based system
US9712510B2 (en) 2012-07-06 2017-07-18 Box, Inc. Systems and methods for securely submitting comments among users via external messaging applications in a cloud-based platform
US9792320B2 (en) 2012-07-06 2017-10-17 Box, Inc. System and method for performing shard migration to support functions of a cloud-based service
US9237170B2 (en) 2012-07-19 2016-01-12 Box, Inc. Data loss prevention (DLP) methods and architectures by a cloud service
US9794256B2 (en) 2012-07-30 2017-10-17 Box, Inc. System and method for advanced control tools for administrators in a cloud-based service
US20140033292A1 (en) * 2012-07-30 2014-01-30 Bank Of America Corporation System and Method for Authenticating Suspect Devices
US8868574B2 (en) 2012-07-30 2014-10-21 Box, Inc. System and method for advanced search and filtering mechanisms for enterprise administrators in a cloud-based environment
US9369520B2 (en) 2012-08-19 2016-06-14 Box, Inc. Enhancement of upload and/or download performance based on client and/or server feedback information
US8745267B2 (en) 2012-08-19 2014-06-03 Box, Inc. Enhancement of upload and/or download performance based on client and/or server feedback information
US9558202B2 (en) 2012-08-27 2017-01-31 Box, Inc. Server side techniques for reducing database workload in implementing selective subfolder synchronization in a cloud-based environment
US9135462B2 (en) 2012-08-29 2015-09-15 Box, Inc. Upload and download streaming encryption to/from a cloud-based platform
US9286477B2 (en) * 2012-08-29 2016-03-15 Symantec Corporation Secure app ecosystem with key and data exchange according to enterprise information control policy
US9311071B2 (en) 2012-09-06 2016-04-12 Box, Inc. Force upgrade of a mobile application via a server side configuration file
US9117087B2 (en) 2012-09-06 2015-08-25 Box, Inc. System and method for creating a secure channel for inter-application communication based on intents
US9195519B2 (en) 2012-09-06 2015-11-24 Box, Inc. Disabling the self-referential appearance of a mobile application in an intent via a background registration
MY159288A (en) * 2012-09-07 2016-12-30 Mimos Berhad User-centric online identity management
US9292833B2 (en) 2012-09-14 2016-03-22 Box, Inc. Batching notifications of activities that occur in a web-based collaboration environment
US10200256B2 (en) 2012-09-17 2019-02-05 Box, Inc. System and method of a manipulative handle in an interactive mobile user interface
US9553758B2 (en) 2012-09-18 2017-01-24 Box, Inc. Sandboxing individual applications to specific user folders in a cloud-based service
US10915492B2 (en) 2012-09-19 2021-02-09 Box, Inc. Cloud-based platform enabled with media content indexed for text-based searches and/or metadata extraction
US9959420B2 (en) 2012-10-02 2018-05-01 Box, Inc. System and method for enhanced security and management mechanisms for enterprise administrators in a cloud-based environment
US9705967B2 (en) 2012-10-04 2017-07-11 Box, Inc. Corporate user discovery and identification of recommended collaborators in a cloud platform
US9495364B2 (en) 2012-10-04 2016-11-15 Box, Inc. Enhanced quick search features, low-barrier commenting/interactive features in a collaboration platform
US9665349B2 (en) 2012-10-05 2017-05-30 Box, Inc. System and method for generating embeddable widgets which enable access to a cloud-based collaboration platform
US9756022B2 (en) 2014-08-29 2017-09-05 Box, Inc. Enhanced remote key management for an enterprise in a cloud-based environment
GB2507191B (en) 2012-10-17 2015-03-04 Box Inc Remote key management in a cloud-based environment
US10235383B2 (en) 2012-12-19 2019-03-19 Box, Inc. Method and apparatus for synchronization of items with read-only permissions in a cloud-based environment
CN103392353B (zh) * 2012-12-31 2017-04-12 华为技术有限公司 无线网络的能力开放系统、网关、代理和方法
US9396245B2 (en) 2013-01-02 2016-07-19 Box, Inc. Race condition handling in a system which incrementally updates clients with events that occurred in a cloud-based collaboration platform
US9953036B2 (en) 2013-01-09 2018-04-24 Box, Inc. File system monitoring in a system which incrementally updates clients with events that occurred in a cloud-based collaboration platform
EP2755151A3 (en) 2013-01-11 2014-09-24 Box, Inc. Functionalities, features and user interface of a synchronization client to a cloud-based environment
US10599671B2 (en) 2013-01-17 2020-03-24 Box, Inc. Conflict resolution, retry condition management, and handling of problem files for the synchronization client to a cloud-based platform
US10218668B1 (en) * 2013-01-18 2019-02-26 Amazon Technologies, Inc. Detection and modification of obsolete messages
US20140282984A1 (en) * 2013-03-14 2014-09-18 Microsoft Corporation Service relationship and communication management
US10725968B2 (en) 2013-05-10 2020-07-28 Box, Inc. Top down delete or unsynchronization on delete of and depiction of item synchronization with a synchronization client to a cloud-based platform
US10846074B2 (en) 2013-05-10 2020-11-24 Box, Inc. Identification and handling of items to be ignored for synchronization with a cloud-based platform by a synchronization client
US8613069B1 (en) 2013-05-17 2013-12-17 Phantom Technologies, Inc. Providing single sign-on for wireless devices
GB2515192B (en) 2013-06-13 2016-12-14 Box Inc Systems and methods for synchronization event building and/or collapsing by a synchronization component of a cloud-based platform
US9805050B2 (en) 2013-06-21 2017-10-31 Box, Inc. Maintaining and updating file system shadows on a local device by a synchronization client of a cloud-based platform
US10110656B2 (en) 2013-06-25 2018-10-23 Box, Inc. Systems and methods for providing shell communication in a cloud-based platform
US10229134B2 (en) 2013-06-25 2019-03-12 Box, Inc. Systems and methods for managing upgrades, migration of user data and improving performance of a cloud-based platform
US9535924B2 (en) 2013-07-30 2017-01-03 Box, Inc. Scalability improvement in a system which incrementally updates clients with events that occurred in a cloud-based collaboration platform
US9558749B1 (en) * 2013-08-01 2017-01-31 Amazon Technologies, Inc. Automatic speaker identification using speech recognition features
US9350550B2 (en) 2013-09-10 2016-05-24 M2M And Iot Technologies, Llc Power management and security for wireless modules in “machine-to-machine” communications
US9100175B2 (en) 2013-11-19 2015-08-04 M2M And Iot Technologies, Llc Embedded universal integrated circuit card supporting two-factor authentication
EP4246892A3 (en) * 2013-09-13 2023-11-08 Alcatel Lucent Method and system for controlling the exchange of privacy-sensitive information
US10509527B2 (en) 2013-09-13 2019-12-17 Box, Inc. Systems and methods for configuring event-based automation in cloud-based collaboration platforms
US8892679B1 (en) 2013-09-13 2014-11-18 Box, Inc. Mobile device, methods and user interfaces thereof in a mobile device platform featuring multifunctional access and engagement in a collaborative environment provided by a cloud-based platform
US9213684B2 (en) 2013-09-13 2015-12-15 Box, Inc. System and method for rendering document in web browser or mobile device regardless of third-party plug-in software
US9535909B2 (en) 2013-09-13 2017-01-03 Box, Inc. Configurable event-based automation architecture for cloud-based collaboration platforms
GB2518298A (en) 2013-09-13 2015-03-18 Box Inc High-availability architecture for a cloud-based concurrent-access collaboration platform
US9704137B2 (en) 2013-09-13 2017-07-11 Box, Inc. Simultaneous editing/accessing of content by collaborator invitation through a web-based or mobile application to a cloud-based collaboration platform
US10498530B2 (en) 2013-09-27 2019-12-03 Network-1 Technologies, Inc. Secure PKI communications for “machine-to-machine” modules, including key derivation by modules and authenticating public keys
US10866931B2 (en) 2013-10-22 2020-12-15 Box, Inc. Desktop application for accessing a cloud collaboration platform
CN104639721B (zh) * 2013-11-06 2018-11-27 阿里巴巴集团控股有限公司 在移动终端设备中提供应用程序信息的方法及装置
US10700856B2 (en) 2013-11-19 2020-06-30 Network-1 Technologies, Inc. Key derivation for a module using an embedded universal integrated circuit card
EP3120591B1 (en) * 2014-03-17 2019-09-25 Telefonaktiebolaget LM Ericsson (publ) User identifier based device, identity and activity management system
JP2015194879A (ja) * 2014-03-31 2015-11-05 富士通株式会社 認証システム、方法、及び提供装置
US10530854B2 (en) 2014-05-30 2020-01-07 Box, Inc. Synchronization of permissioned content in cloud-based environments
CN105323063B (zh) * 2014-06-13 2019-01-08 广州涌智信息科技有限公司 基于二维码的移动终端与固定智能终端的身份验证方法
US9602514B2 (en) 2014-06-16 2017-03-21 Box, Inc. Enterprise mobility management and verification of a managed application by a content provider
US10038731B2 (en) 2014-08-29 2018-07-31 Box, Inc. Managing flow-based interactions with cloud-based shared content
US10574442B2 (en) 2014-08-29 2020-02-25 Box, Inc. Enhanced remote key management for an enterprise in a cloud-based environment
US9894119B2 (en) 2014-08-29 2018-02-13 Box, Inc. Configurable metadata-based automation and content classification architecture for cloud-based collaboration platforms
CN105491557B (zh) * 2014-09-15 2020-04-21 中兴通讯股份有限公司 一种实现能力开放的系统、方法及能力开放平台
US9749311B2 (en) 2014-09-24 2017-08-29 Oracle International Corporation Policy based compliance management and remediation of devices in an enterprise system
CN104317626B (zh) * 2014-11-13 2017-08-11 北京奇虎科技有限公司 终端设备中应用软件权限控制的方法、装置和系统
US9853977B1 (en) 2015-01-26 2017-12-26 Winklevoss Ip, Llc System, method, and program product for processing secure transactions within a cloud computing system
EP3320424B1 (en) * 2015-07-09 2021-10-20 Sensoriant, Inc. Method and system for creating adaptive user interfaces using user provided and controlled data
WO2017051059A1 (en) 2015-09-21 2017-03-30 Kone Corporation Application programming interface manager
TWI571158B (zh) * 2015-10-15 2017-02-11 物聯智慧科技（深圳）有限公司 利用近場通訊模組建立點對點連線之通訊方法及其連網裝置
US20180331832A1 (en) * 2015-11-05 2018-11-15 Allen Pulsifer Cryptographic Transactions System
US10129252B1 (en) * 2015-12-17 2018-11-13 Wells Fargo Bank, N.A. Identity management system
US10498740B2 (en) * 2016-02-11 2019-12-03 Samsung Electronics Co., Ltd. Method, apparatus, and system for creating service account
EP3420518B1 (en) * 2016-02-23 2023-08-23 nChain Licensing AG Methods and systems for efficient transfer of entities on a peer-to-peer distributed ledger using the blockchain
US10305885B2 (en) * 2016-03-03 2019-05-28 Blackberry Limited Accessing enterprise resources using provisioned certificates
US9838377B1 (en) 2016-05-11 2017-12-05 Oracle International Corporation Task segregation in a multi-tenant identity and data security management cloud service
US10425386B2 (en) 2016-05-11 2019-09-24 Oracle International Corporation Policy enforcement point for a multi-tenant identity and data security management cloud service
US10878079B2 (en) 2016-05-11 2020-12-29 Oracle International Corporation Identity cloud service authorization model with dynamic roles and scopes
US10341410B2 (en) 2016-05-11 2019-07-02 Oracle International Corporation Security tokens for a multi-tenant identity and data security management cloud service
US11063926B1 (en) * 2016-05-19 2021-07-13 Citibank, N.A. Devices and methods for single sign-on and regulatory compliance
US10721237B2 (en) 2016-08-05 2020-07-21 Oracle International Corporation Hierarchical processing for a virtual directory system for LDAP to SCIM proxy service
US10516672B2 (en) 2016-08-05 2019-12-24 Oracle International Corporation Service discovery for a multi-tenant identity and data security management cloud service
US10735394B2 (en) 2016-08-05 2020-08-04 Oracle International Corporation Caching framework for a multi-tenant identity and data security management cloud service
US10255061B2 (en) * 2016-08-05 2019-04-09 Oracle International Corporation Zero down time upgrade for a multi-tenant identity and data security management cloud service
US10791087B2 (en) 2016-09-16 2020-09-29 Oracle International Corporation SCIM to LDAP mapping using subtype attributes
CN107026831B (zh) 2016-09-26 2020-03-10 阿里巴巴集团控股有限公司 一种身份识别方法和装置
CN106789977B (zh) * 2016-12-07 2020-05-26 北京信任度科技有限公司 一种基于密钥分割实现手机令牌的方法及系统
EP3352109A1 (en) * 2017-01-20 2018-07-25 Tata Consultancy Services Limited Systems and methods for generating and managing composite digital identities
JP2019066702A (ja) * 2017-10-02 2019-04-25 東芝映像ソリューション株式会社 対話型電子装置制御システム、対話型電子装置、対話型電子装置制御方法
US10841088B2 (en) * 2018-05-10 2020-11-17 Oracle International Corporation Secure credential generation and validation
US11057375B1 (en) * 2018-06-25 2021-07-06 Amazon Technologies, Inc User authentication through registered device communications
US10896249B2 (en) 2018-08-31 2021-01-19 Target Brands, Inc. Secure electronic authentication of a user on an electronic device
US10950231B1 (en) * 2018-09-04 2021-03-16 Amazon Technologies, Inc. Skill enablement
AU2019236667B2 (en) * 2018-09-28 2023-10-05 Infosys Limited System and method for decentralized identity management, authentication and authorization of applications
US11171779B2 (en) * 2018-11-15 2021-11-09 Airside Mobile, Inc. Methods and apparatus for encrypting, storing, and/or sharing sensitive data
CN109729381A (zh) * 2018-12-27 2019-05-07 杭州当虹科技股份有限公司 一种hls推拉流身份认证方法
US11552798B2 (en) * 2019-07-30 2023-01-10 Waymo Llc Method and system for authenticating a secure credential transfer to a device
US11700121B2 (en) * 2019-09-13 2023-07-11 Amazon Technologies, Inc. Secure authorization for sensitive information
US11297065B2 (en) * 2019-11-01 2022-04-05 International Business Machines Corporation Technology for computing resource liaison
CN111343080B (zh) * 2020-02-28 2020-12-04 北京芯盾时代科技有限公司 基于代理的邮件服务方法、服务器、客户端及系统
CN111371787B (zh) * 2020-03-04 2022-10-28 广州市百果园信息技术有限公司 中台服务的登录注册方法、装置、系统、服务器及介质
US20220029808A1 (en) * 2020-07-26 2022-01-27 Akeyless Secuirity LTD. System, Product and Method for Providing Secured Access to Data
GB2611755A (en) * 2021-10-12 2023-04-19 Validsoft Ltd Methods and systems for providing a user with secure access to an online account
TWI796899B (zh) * 2021-12-24 2023-03-21 技嘉科技股份有限公司 具有密碼管理功能的電子裝置以及密碼管理方法
US20230319059A1 (en) * 2022-04-01 2023-10-05 Whatsapp Llc Privacy friendly system for viewing user presence in an end-to-end encrypted communication platform

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1940956A (zh) * 2005-09-29 2007-04-04 捷讯研究有限公司 用于提供代码签名服务的系统和方法

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7703128B2 (en) 2003-02-13 2010-04-20 Microsoft Corporation Digital identity management
US8280359B2 (en) * 2006-05-25 2012-10-02 Celltrust Corporation Methods of authorizing actions
US8583915B1 (en) * 2007-05-31 2013-11-12 Bby Solutions, Inc. Security and authentication systems and methods for personalized portable devices and associated systems
US8719920B2 (en) * 2007-10-25 2014-05-06 International Business Machines Corporation Arrangements for identifying users in a multi-touch surface environment
US20090271847A1 (en) * 2008-04-25 2009-10-29 Nokia Corporation Methods, Apparatuses, and Computer Program Products for Providing a Single Service Sign-On
US8850548B2 (en) 2008-05-27 2014-09-30 Open Invention Network, Llc User-portable device and method of use in a user-centric identity management system
US20100242097A1 (en) 2009-03-20 2010-09-23 Wavemarket, Inc. System and method for managing application program access to a protected resource residing on a mobile device
US9225525B2 (en) * 2010-02-26 2015-12-29 Red Hat, Inc. Identity management certificate operations
US8898457B2 (en) 2010-02-26 2014-11-25 Red Hat, Inc. Automatically generating a certificate operation request
CN103535090B (zh) * 2011-02-15 2017-07-07 黑莓有限公司 用于移动设备的身份管理的系统和方法

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1940956A (zh) * 2005-09-29 2007-04-04 捷讯研究有限公司 用于提供代码签名服务的系统和方法

Also Published As

Publication number Publication date
CA2835349C (en) 2017-02-28
CN103535090A (zh) 2014-01-22
WO2012109751A4 (en) 2012-11-15
CA2835349A1 (en) 2012-08-23
EP2676497A4 (en) 2016-03-02
EP2676497B1 (en) 2018-04-18
EP2676497A1 (en) 2013-12-25
US9363272B2 (en) 2016-06-07
US20160285849A1 (en) 2016-09-29
US20140108801A1 (en) 2014-04-17
US8644800B2 (en) 2014-02-04
WO2012109751A1 (en) 2012-08-23
US20120214444A1 (en) 2012-08-23
US9729537B2 (en) 2017-08-08

Similar Documents

Publication Publication Date Title
CN103535090B (zh) 用于移动设备的身份管理的系统和方法
US11394559B2 (en) Methods and systems for ownership verification using blockchain
CN111179067B (zh) 一种基于区块链的银行间客户信息交换系统
CN109417549B (zh) 使用集中式或分布式分类账来提供信息证明的方法和设备
Ahmed et al. Security in next generation mobile payment systems: A comprehensive survey
TWI311433B (zh)
CN111492634A (zh) 使用零知识协议的安全并且机密的保管交易系统、方法和设备
CN108235805A (zh) 账户统一方法、装置及存储介质
US20150047003A1 (en) Verification authority and method therefor
RU2017134723A (ru) Системы и способы персональной идентификации и верификации
EP3642998B1 (en) Verification and encryption scheme in data storage
CN110073387A (zh) 证实通信设备与用户之间的关联
US20120008769A1 (en) Method and System For Managing A Distributed Identity
WO2019032113A1 (en) BIOMETRIC VERIFICATION METHOD USING A CERTIFICATION TOKEN
CN103854180B (zh) 信用凭证生成方法及其系统、应用授权方法及其系统
JP2009510644A (ja) 安全な認証のための方法及び構成
US20070255951A1 (en) Token Based Multi-protocol Authentication System and Methods
KR20170063559A (ko) 언제 인증이 철회되어야 하는지를 표시하는 기준을 정의하기 위한 다차원 프레임워크
KR20190063796A (ko) 블록체인 시스템을 위한 생체 정보 기반의 인증 장치 및 방법
Ozdenizci et al. A tokenization-based communication architecture for HCE-enabled NFC services
CN116057554A (zh) 管理交易数据组的方法、参与者单元、交易登记册和支付系统
Augusto et al. OFELIA–A secure mobile attribute aggregation infrastructure for user-centric identity management
Zhu et al. Private Entity Authentication for Pervasive Computing Environments.
US10318951B2 (en) Transaction management
US11978038B2 (en) Hot wallet protection using a layer-2 blockchain network

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
TR01 Transfer of patent right

Effective date of registration: 20240523

Address after: Ai Erlandubailin

Patentee after: Maliki Innovation Co.,Ltd.

Country or region after: Ireland

Address before: Voight, Ontario, Canada

Patentee before: BlackBerry Ltd.

Country or region before: Canada