BR102019000762A2

BR102019000762A2 - restricted token authentication system triggered by smartphone

Info

Publication number: BR102019000762A2
Application number: BR102019000762-1A
Authority: BR
Inventors: Giancarlo Granzotto Macedo
Original assignee: Khomp Indústria E Comércio Ltda
Priority date: 2019-01-14
Filing date: 2019-01-14
Publication date: 2020-07-28

Abstract

É um sistema de acesso restrito dividido em quatro módulos, integrados, utilizando-se de tecnologia do conceito de Internet das Coisas - IOT, que possui gestão por intermédio de servidor em nuvem, com acesso por interface web.
A validação de credenciais e liberação de acesso são todas realizadas com alta encriptação, e com comunicação por intermédio de um aplicativo móvel que envia comandos de abertura ou configuração ao dispositivo de segurança.

O dispositivo por se utilizar de tecnologia de Bluetooth de Baixa Energia - BLE, dispensa o uso de alimentação elétrica, podendo ser alimentado a pilhas.

It is a restricted access system divided into four modules, integrated, using the technology of the Internet of Things concept - IOT, which is managed through a cloud server, with access via the web interface.
The credential validation and access release are all performed with high encryption, and with communication through a mobile application that sends opening or configuration commands to the security device.

The device, using Bluetooth Low Energy - BLE technology, does not require the use of electrical power and can be powered by batteries.

Description

SMARTPHONE-ACTIVATED TOKEN AUTHENTIFICATION RESTRICTED ACCESS SYSTEM

[001] No atual estado da técnica, o sistema de acesso restrito descrito no documento BR 102014018579-8 A2, exige a digitação de senha, gerada por meio de algoritmo matemático, pelo sistema local ou remoto. Porém, quando a chave é comunicada por terceiro ou gerada pelo próprio dispositivo que se pretende abrir, existe uma grande brecha de segurança no sistema de acesso.[001] In the current state of the art, the restricted access system described in document BR 102014018579-8 A2, requires the typing of a password, generated through a mathematical algorithm, by the local or remote system. However, when the key is communicated by a third party or generated by the device to be opened, there is a major security breach in the access system.

[002] O presente pedido tem por invenção um sistema de acesso restrito que integra gestão por meio de interface web, de servidor em nuvem (cloud based), que envia um token assinado ao smartphone, que se comunica com o dispositivo cujo pretende acessar. O sistema é dividido em quatro módulos: Interface Web; Servidor em Nuvem; Aplicativo Móvel; Dispositivo.[002] The present application has by invention a restricted access system that integrates management through a web interface, from a cloud server (cloud based), which sends a signed token to the smartphone, which communicates with the device whose it intends to access. The system is divided into four modules: Web interface; Cloud Server; Mobile Application; Device.

[003] A interface Web 1) realiza a interação com a nuvem e é onde o usuário fará a gestão dos dispositivos 4), liberando acessos, visualizando histórico de atividades e demais notificações, conforme diagrama de relação entre módulos do sistema disponibilizado na FIG. 1.[003] The Web interface 1) performs the interaction with the cloud and is where the user will manage the devices 4), releasing access, viewing activity history and other notifications, according to the diagram of the relationship between system modules provided in FIG. 1.

[004] O servidor em nuvem 2) é o centro de toda gestão do sistema. Nela são armazenadas todas informações relacionadas às agências e dispositivos 4), como acessos, histórico de atividade, gerenciamento de usuários. O Servidor poderá dizer para quais dispositivos 4) o aplicativo 3) terá acesso e qual intervalo de tempo. Após o término do atendimento, o servidor 2) recebe do aplicativo 3) os dados da visita como Hora que entrou, hora que saiu e quanto tempo levou o atendimento, conforme diagrama de relação entre módulos do sistema disponibilizado na FIG. 1[004] Cloud server 2) is the center of all system management. It stores all information related to agencies and devices 4), such as access, activity history, user management. The Server will be able to tell which devices 4) the application 3) will have access and which time interval. After the end of the service, the server 2) receives from the application 3) the data of the visit such as Time that entered, time that left and how long the service took, according to the diagram of the relationship between system modules provided in FIG. 1

[005] O aplicativo móvel 3) tem a principal função de interagir com o dispositivo 4) via Bluetooth. No aplicativo 3) é possível registrar/atualizar o dispositivo 4) e acionar abertura. O aplicativo 3) é a ponte de comunicação entre Nuvem 2) e Dispositivo 4), portanto notifica a Nuvem 2) quando o dispositivo 4) é acionado ou configurado. Em sua interface mostra os dispositivos 4) que o usuário tem acesso e o permite abrir o compartimento, conforme diagrama de relação entre módulos do sistema disponibilizado na FIG. 1.[005] The mobile application 3) has the main function of interacting with the device 4) via Bluetooth. In the application 3) it is possible to register / update the device 4) and trigger opening. Application 3) is the communication bridge between Cloud 2) and Device 4), so it notifies Cloud 2) when device 4) is triggered or configured. In its interface it shows the devices 4) that the user has access to and allows him to open the compartment, according to the diagram of the relationship between system modules available in FIG. 1.

[006] O dispositivo 4) é o endpoint do sistema. Gabinete eletromecânico com funcionamento a pilhas ou eletricidade com espaço interno. O dispositivo 4) terá um receptor Bluetooth para comunicação com o aplicativo móvel 3). Sua comunicação se baseia em receber um token originado na nuvem para executar alguma operação, seja ela abertura da porta, configuração ou retornar log de debug, conforme diagrama de relação entre módulos do sistema disponibilizado na FIG. 1.[006] Device 4) is the system endpoint. Electromechanical cabinet with battery or electricity operation with internal space. The device 4) will have a Bluetooth receiver for communication with the mobile application 3). Its communication is based on receiving a token originated in the cloud to perform some operation, be it door opening, configuration or returning debug log, according to the diagram of the relationship between system modules available in FIG. 1.

[007] O diagrama a da FIG. 2. apresenta as principais etapas e os passos entre cadastrar um novo acesso de um usuário a um dispositivo. As etapas estão representadas pelas letras A, B, C e D, e os passos por números, conforme diagrama de cadeia de comunicação, apresentado na FIG. 2.[007] Diagram a of FIG. 2. presents the main steps and the steps between registering a new user access to a device. The steps are represented by the letters A, B, C and D, and the steps by numbers, according to the communication chain diagram, shown in FIG. 2.

[008] Primeira etapa (A) é o agendamento 1), por intermédio da interface web, no banco de dados na nuvem que armazena 2) as informações de horário, usuário e dispositivo que receberá a credencial, conforme diagrama de cadeia de comunicação, apresentado na FIG. 2.[008] First step (A) is scheduling 1), through the web interface, in the cloud database that stores 2) the time, user and device information that will receive the credential, according to the communication chain diagram, shown in FIG. 2.

[009] Na segunda etapa (B) o usuário consulta a lista de acessos 3) no aplicativo do smartphone, onde é necessária uma conexão com a internet, que requisita a lista de acessos 4) ao servidor na nuvem. Este gera nova credencial 5) e encaminha a lista de credenciais 6), ao aplicativo que as armazena 7), conforme diagrama de cadeia de comunicação, apresentado na FIG. 2.[009] In the second step (B) the user consults the access list 3) on the smartphone application, where an internet connection is required, which requests the access list 4) to the cloud server. This generates a new credential 5) and forwards the list of credentials 6) to the application that stores them 7), according to the communication chain diagram, shown in FIG. 2.

[010] Na terceira etapa (C) o usuário deve estar perto do dispositivo físico, onde o smartphone se comunica via BLE (bluetooth low-energy), pressionado um botão para tirar o dispositivo do modo de baixo consumo de energia 8), que informará a disponibilidade 9) ao aplicativo que verificará se possui credencial e apresentará o dispositivo na sua interface 10), conforme diagrama de cadeia de comunicação, apresentado na FIG. 2.[010] In the third step (C) the user must be close to the physical device, where the smartphone communicates via BLE (bluetooth low-energy), pressing a button to take the device out of low power mode 8), which inform availability 9) to the application that will check if it has a credential and present the device on its interface 10), according to the communication chain diagram, shown in FIG. 2.

[011] E na quarta etapa (D) o usuário, por intermédio do aplicativo, solicitará a abertura do dispositivo 11), que enviará a credencial 12). Assim, o dispositivo validará a credencial 13) informando se houve ou não sucesso na operação 14). Com a informação de sucesso, o aplicativo reportará o acesso ao dispositivo ao servidor na nuvem 15), que registrará no seu histórico 16), conforme diagrama de cadeia de comunicação, apresentado na FIG. 2.[012] Em resumo, a cadeia de comunicação segue seguinte ordem: Interface Web → Servidor em Nuvem ←→ Aplicativo Móvel ←→ Dispositivo, conforme diagrama de cadeia de comunicação, apresentado na FIG. 2.[011] And in the fourth stage (D) the user, through the application, will request the opening of device 11), which will send credential 12). Thus, the device will validate the credential 13) informing whether or not the operation was successful 14). With the success information, the application will report the device access to the cloud server 15), which it will record in its history 16), according to the communication chain diagram, shown in FIG. 2. [012] In summary, the communication chain follows the following order: Web Interface → Cloud Server ← → Mobile Application ← → Device, according to the communication chain diagram, shown in FIG. 2.

[012] A comunicação resultará via HTTPS, com a emissão de um token de sessão após a validação de elementos do aplicativo e a partir da combinação de mais de uma informação do hardware do smartphone: IMEI, MAC WiFi, Bluetooth, Product ID, etc. Assim, caso o usuário resete o seu smartphone e reinstalar o aplicativo, não será necessário solicitar a liberação na agência.[012] The communication will result via HTTPS, with the issuance of a session token after the validation of elements of the application and from the combination of more than one smartphone hardware information: IMEI, MAC WiFi, Bluetooth, Product ID, etc. . Thus, if the user resets his smartphone and reinstalls the application, it will not be necessary to request the release at the agency.

[013] O tipo do aplicativo poderá ser para Configuração ou Uso. Na configuração, haverá permissão para configurar e abrir a porta; no Uso, destinado ao usuário final, permitirá apenas abrir a porta.[013] The application type can be for Configuration or Use. In the configuration, there will be permission to configure and open the door; in Use, intended for the end user, it will only allow you to open the door.

[014] A comunicação entre o aplicativo e o dispositivo será muito mais simples, pois não haverá criptografia.[014] Communication between the application and the device will be much simpler, as there will be no encryption.

[015] O dispositivo será configurado para suportar mais de um Token simultaneamente, sendo que ao recebe-lo descriptografará verificando se a data atual dele está entre a data inicial e final. Se não estiver, não abrirá. Caso positivo, verificará se o token já foi utilizado e quanto tempo se passou desde a primeira utilização. Se não foi utilizado ainda, o dispositivo gravará na memória o momento da primeira utilização e determinará o seu tempo de validade.[015] The device will be configured to support more than one Token simultaneously, and when receiving it, it will decrypt, checking if its current date is between the start and end date. If it is not, it will not open. If so, it will check if the token has already been used and how much time has passed since the first use. If it has not been used yet, the device will record the moment of first use in memory and determine its expiration time.

[016] Exemplo de uso: o usuário Pedro está liberado para acessar o dispositivo das 13:00h às 14:00h, mas a partir do momento que entrar a primeira vez (utilizar o token), tem 10 minutos (tempo de validade do token) para continuar abrindo a porta do dispositivo. Se passar desse tempo e o usuário quiser acessar o dispositivo, deverá solicitar novo acesso à agência[016] Example of use: user Pedro is free to access the device from 13:00 to 14:00, but from the moment he enters the first time (using the token), he has 10 minutes (validity time of the token) ) to continue opening the device door. If that time passes and the user wants to access the device, they must request new access to the agency

[017] O Token utilizado na comunicação do aplicativo com o dispositivo será assinado pelo servidor.[017] The Token used in the application's communication with the device will be signed by the server.

[018] Cada dispositivo possuirá uma chave secreta, “master_key”, que será conhecida pelo servidor. Ela é individual e será gerada pelo servidor no momento da configuração do dispositivo.[018] Each device will have a secret key, "master_key", which will be known by the server. It is individual and will be generated by the server when configuring the device.

[019] Haverá dois tipos de Token: a) para abrir a porta; e b) para configuração do dispositivo.[019] There will be two types of Token: a) to open the door; and b) for device configuration.

[020] O Token para abrir a porta terá como parâmetros: a) ID do Token (sequencial único); b) ID do usuário; c) Mac do Dispositivo; d) data inicial; e) data final; f) tempo de expiração do token, em minutos - o valor padrão será de 10 (dez) minutos.[020] The Token to open the door will have as parameters: a) Token ID (unique sequential); b) user ID; c) Device Mac; d) start date; e) end date; f) expiration time of the token, in minutes - the default value will be 10 (ten) minutes.

[021] Já o Token de configuração utilizará como parâmetros a) ID do Token (sequencial único); b) ID do usuário; c) Mac do dispositivo. Importante destacar que toda vez em que o dispositivo for configurado automaticamente a master_key será alterada. Assim, um mesmo token de configuração não poderá ser enviado, como é o caso do token de abertura da porta, pois a master_key foi alterada.[021] The configuration Token will use as parameters a) Token ID (unique sequential); b) user ID; c) Mac of the device. It is important to highlight that every time the device is automatically configured, the master_key will be changed. Thus, the same configuration token cannot be sent, as is the case with the door opening token, as the master_key has been changed.

[022] Assim, o Token Assinado é o nome dado ao conjunto de dados acima criptografados no servidor, com padrão AES 128.[022] Thus, the Signed Token is the name given to the data set above encrypted on the server, with AES 128 standard.

[023] A configuração base, terá cinco os tipos de usuários, sendo três relacionados à interface web e dois ao aplicativo móvel, podendo ser alterado de acordo com a necessidade e complexidade do sistema de uso.[023] The base configuration will have five types of users, three related to the web interface and two to the mobile application, which can be changed according to the need and complexity of the use system.

[024] Os sistemas de segurança atuais utilizam-se de tecnologia não mais tão segura, pois dependem da geração e comunicação da senha de acesso. Tal situação cria uma grande brecha no sistema, pois permite que terceiros por meio de presença física ou não, técnica manual ou digital, consigam ter acesso ao local em que há restrição. Logo, o “sistema de acesso restrito de autentificação por token”, irá solucionar o problema de segurança.[024] Current security systems use technology that is no longer as secure, as they depend on the generation and communication of the access password. Such a situation creates a major breach in the system, as it allows third parties through physical presence or not, manual or digital technique, to gain access to the place where there is restriction. Therefore, the “restricted token authentication access system” will solve the security problem.

[025] A presença, inclusive, de central de monitoramento não resolve, necessariamente, a brecha de segurança. Isto por quê qualquer um que esteja de posse do código de acesso conseguiria atravessar a barreira.[025] The presence of a monitoring center does not necessarily resolve the security breach. This is because anyone who has the access code would be able to cross the barrier.

[026] Outra questão importante é o histórico de acesso, que hoje não há nos sistemas de segurança. Portanto, qualquer pessoa que acesse o dispositivo poderia repetir inúmeras vezes, por duração indeterminada, sem que se permita identificar o agente.[026] Another important issue is the history of access, which today does not exist in security systems. Therefore, anyone who accesses the device could repeat it countless times, for an indefinite duration, without being allowed to identify the agent.

[027] Não há um sistema seguro que permita identificar com precisão os usuários do sistema[027] There is no secure system that allows users to accurately identify the system

[028] Um outro problema bastante importante é a praticidade do uso. Com o sistema atual, o usuário precisa decorar uma senha e se perde-la, independentemente de quão autorizado for, não terá acesso ao dispositivo.[028] Another very important problem is the practicality of use. With the current system, the user needs to memorize a password and if it is lost, regardless of how authorized it is, they will not have access to the device.

[029] O sistema de acesso supera o estado da técnica em vários aspectos, conforme segue:
✔ A interação é totalmente independente de senha, em razão da utilização de token assinado pelo servidor;
✔ A autenticação utilizada, possui altíssima encriptação que impede que seja violada a segurança;
✔ As chaves de segurança que dão base ao Token, são trocados periodicamente;
✔ As chaves de segurança que dão base ao Token, não são comunicadas aos operadores do sistema, o que reduz a chance de acesso;
✔ É totalmente dispensável qualquer mecanismo de segurança para acessar o aplicativo móvel; ν' Ο smartphone só precisa estar conectado à internet para receber o Token;
✔ O dispositivo dispensa totalmente o uso da internet;
✔ O dispositivo possui uma proteção configurável para ignorar o reenvio do mesmo Token;
✔ O dispositivo registra a duração dos acessos realizados e a pessoa que os realizou.
✔ O servidor se utiliza de informações inalteráveis do smartphone do usuário para elaborar o Token.[029] The access system overcomes the state of the art in several aspects, as follows:
✔ The interaction is completely password-independent, due to the use of a token signed by the server;
✔ The authentication used, has very high encryption that prevents security from being breached;
✔ The security keys that support the Token are changed periodically;
✔ The security keys that support the Token are not communicated to the system operators, which reduces the chance of access;
✔ Any security mechanism to access the mobile application is totally unnecessary; ν 'Ο smartphone only needs to be connected to the internet to receive the Token;
✔ The device completely dispenses with the use of the internet;
✔ The device has a configurable protection to ignore the resend of the same Token;
✔ The device records the duration of the accesses performed and the person who performed them.
✔ The server uses unalterable information from the user's smartphone to create the Token.

[030] As vantagens são muitas variando desde a maleabilidade até à praticidade do sistema.[030] The advantages are many, ranging from malleability to the practicality of the system.

[031] Por ser maleável permite aplicações nos mais variados campos sendo altamente adaptável ao ramo econômico de interesse do administrador à título de exemplo: a aplicação em Academias, Transporte de Cargas, Imobiliárias, etc.[031] Being malleable, it allows applications in the most varied fields, being highly adaptable to the economic branch of interest of the administrator, for example: application in Academies, Cargo Transportation, Real Estate, etc.

[032] Doutro lado, a facilidade de uso simplifica o procedimento, pois o usuário não precisa decorar senhas ou realizar grandes processos de certificação, pois toda a autenticação é realizada por comunicação entre as máquinas.[032] On the other hand, ease of use simplifies the procedure, as the user does not need to memorize passwords or carry out major certification processes, as all authentication is carried out by communication between the machines.

[033] Também é preciso destacar que há aspectos que permitem a formatação de relatórios gerenciais sobre o uso do acesso ao objeto. Ao se pegar o exemplo de aplicação em Academias de Musculação, permitirá saber o tempo em que a pessoa passou se utilizando de armários para evitar a monopolização da guarda de objeto por um único usuário. Em transporte de mercadorias, há uma precisão maior para se saber quem acessou o objeto em tal momento. Por outro lado, com aplicação em imobiliárias, é possível dizer quanto tempo um cliente passou se visitando um apartamento e quando se retirou.[033] It should also be noted that there are aspects that allow the formatting of management reports on the use of access to the object. When taking the example of application in Bodybuilding Academies, it will allow to know the time that the person spent using lockers to avoid the monopolization of the object's guard by a single user. In goods transport, there is a greater precision to know who accessed the object at that moment. On the other hand, with application in real estate, it is possible to say how much time a customer spent visiting an apartment and when he retired.

[034] Dado o sistema de baixo consumo de energia, o dispositivo pode ser utilizado a pilhas e dispensar o uso de grandes fontes de alimentação.[034] Given the low energy consumption system, the device can be used on batteries and does not require the use of large power sources.

Claims

Restricted access system for authentication by token activated by smartphone, characterized by being a system that eliminates the use and typing of passwords by the user, activated by smartphone through Bluetooth Low Energy (BLE) communication.

Restricted access system for authentication by token activated by smartphone, characterized by being a system that is divided into four modules: 1) web interface, 2) cloud server, 3) mobile application, 4) device.

Restricted access system for authentication by token activated by smartphone, characterized by having a web interface where the user will manage the devices, releasing access, viewing activity history and other notifications.

Restricted access system for authentication by token activated by smartphone, characterized by having a cloud server where all information related to agencies and devices are stored, such as access, activity history, user management.

Restricted access system for authentication by token activated by smartphone, characterized by having a cloud server, according to claim 4, which will authenticate the user from the registered data, will issue a token for the use of the mobile application.

Restricted access system for authentication by token activated by smartphone, characterized by having a mobile application that has the main function of interacting with the device via Bluetooth, allowing to register / update the device and / or trigger opening.

Restricted access system for token authentication triggered by smartphone, characterized by having a mobile application that is the communication bridge between the server in the cloud and Device, therefore notifying the server in the cloud when the device is activated or configured.

Restricted access system for authentication by token activated by smartphone, characterized by having a mobile application that in its interface shows the devices that the user has access and allows him to open the compartment.

Restricted access system for authentication by token triggered by smartphone, characterized by having a mobile application that after the end of the service sends the data of the visit as Time in, time out and how long it took to attend the server in the cloud.

Restricted access system for authentication by token activated by smartphone, characterized by having a device consisting of an electromechanical cabinet with battery operation or electricity with internal space.

Restricted access system for authentication by token activated by smartphone, characterized by having a device that will have a Bluetooth receiver for communication with the mobile application.

Restricted access system for authentication by token triggered by smartphone, characterized by having a device that its communication is based on receiving a token signed by the server in the cloud to perform some operation, be it door opening, configuration or return debug log.

Restricted access system for authentication by token activated by smartphone, characterized by having a device that will have a secret key, called “master_key”, which is generated by the server in the cloud whenever it is configured.

Restricted access system for authentication by token activated by smartphone, characterized by accrediting the user's smartphone from a “Finger Print” that will be the sum of the immutable hardware information: IMEI, MAC WiFi, Bluetooth, Product ID, etc., which receives standard sha256 encryption.

Restricted access system for authentication by token activated by smartphone, characterized by accrediting the user based on the following information: a) Finger Print - according to claim 14; b) telephone number; c) version of the mobile application; d) type of the Mobile Application; e) mac address of the smartphone's Bluetooth.

Restricted access system for authentication by token activated by smartphone, characterized by authorizing the user's access to the device from a “token” signed by the server in the cloud that has as parameters: a) the Token ID, b) the ID of the User, c) the MAC address of the device, e) the date and time when the user is authorized to open the device and f) the expiration time of the token.

Restricted access system for authentication by token activated by smartphone, characterized by authorizing the user's access to the device from a “token” signed by the server in the cloud that receives AES 128 standard encryption.