BRPI0708184A2 - método e aparelho para um token - Google Patents

Abstract

MéTODO E APARELHO PARA UM TOKEN. A presente invenção refere-se a um método e aparelho de utilização de um token que compreende receber uma indicação de presença de um terminal próximo de curto alcance e ativar o token em resposta à recepção da indicação, O método ainda compreende a realização de autenticação entre o token e o terminal, sem requerer um usuário para interagir com o token.

Description

Relatório Descritivo da Patente de Invenção para "MÉTODO EAPARELHO PARA UM TOKEN".

CAMPO DA INVENÇÃO

A presente invenção refere-se a dispositivos de autenticação, emais especificamente, a um token para identificação.

ANTECEDENTES

A necessidade de se identificar para acessar serviços é grande.É fácil pensar em vários exemplos encontrados diariamente - conexão comPC, sites da Internet, check-in de aeroporto, compras com cartão de crédito,acesso a prédios comerciais, quartos de hotel, salas de conferência, salasde aula, metrô, todo o tempo se sujeitando às chaves para ligar o carro eabrir a porta da frente da casa. Entretanto, nenhuma padronização surgiu ecomo tal isto causa grandes inconveniências para o usuário devido ao fardode carregar vários cartões e chaves, e a necessidade de estar apto a se Iem-brar de vários nomes de usuário e senhas. Em adição à inconveniência, osmétodos em uso comum atualmente não provam de forma nenhuma a iden-tidade - eles simplesmente provam que o usuário está de posse de uma có-pia de um token. Estas são questões que os governos atacam em termos desegurança nacional, e os consumidores devem combater devido ao excessode fraude de identidade.

Os cartões inteligentes são uma solução proposta. Os cartõesinteligentes são cartões que incluem alguma capacidade de processamentoe memória. Os cartões inteligentes são levados para cada uso, inseridos emuma leitora. Em alguns casos, o usuário pode adicionalmente precisar infor-mar um número de identificação pessoal (PIN) para acessar os da-dos/localização, utilizando o cartão inteligente. Toda esta ação do usuárionão somente toma tempo, mas também requer que o usuário carregue umcartão. Em geral, as leitoras de cartão também são carregadas. O cartãopode ser facilmente esquecido na leitora ou perdido.

Na outra extremidade do espectro, o reconhecimento de impres-são digital é um modo extremamente conveniente de executar identificaçãoque recentemente se tornou econômico para emprego, mas as questões desegurança, de privacidade e de capacidade de dimensionamento permane-cem para o uso confiável além da conexão local do cliente.

SUMÁRIO DA INVENÇÃO

Um método e aparelho para utilizar um token compreendem re-ceber uma indicação de uma presença de um terminal próximo de curto al-cance e acordar o token em resposta a receber a indicação. O método adi-cionalmente compreende executar autenticação entre o token e o terminal,sem requerer que um usuário interaja diretamente com o token.

BREVE DESCRIÇÃO DOS DESENHOS

A presente invenção é ilustrada a título de exemplo, e não delimitação, nas figuras dos desenhos acompanhantes e nas quais números dereferência iguais se referem a elementos iguais, e nas quais:

A Figura 1 é um diagrama de blocos de uma concretização deuma rede que pode ser utilizada com a presente invenção.

A Figura 2 é um diagrama de blocos de uma concretização deum sistema de computador que pode ser utilizado com a presente invenção.

A Figura 3 é um diagrama de blocos de uma concretização doscomponentes do terminal e do token sem fios.

A Figura 4A é um diagrama de blocos de uma concretização doselementos do token sem fios.

A Figura 4B é um diagrama de blocos de uma concretização doselementos do terminal que interagem com o token sem fios.

A Figura 5 é um fluxograma de vista geral do presente processo.

As Figuras 6A até 6C são fluxogramas de uma concretização dautilização do token sem fios a partir da perspectiva do terminal.

As Figuras 7A e 7B são fluxogramas de uma concretização dautilização do token sem fios a partir da perspectiva do token sem fios.

A Figura 8 é um fluxograma de uma concretização para iniciarum novo token sem fios.

A Figura 9 é um fluxograma de uma concretização para inicial-mente fazer a interface de um token sem fios com um terminal, para adicio-nar informações específicas do terminal.As Figuras 10A e 10B são ilustrações de duas concretizações dotoken sem fios.

DESCRIÇÃO DETALHADA

Um método e aparelho para um token são descritos. O dispositi-vo pode ser pequeno, sem ser maior do que o dispositivo sem fios em umchaveiro utilizado para destravar um carro. O dispositivo inclui um processa-dor seguro e um transceptor de curto alcance com largura de banda estreita.Para uma concretização, curto alcance é na ordem de 2 metros, enquanto alargura de banda é -100 kbps. O processador pode ser similar aos proces-sadores utilizados em cartões inteligentes, enquanto o transceptor pode sersimilar ao que é utilizado nos mouses e teclados sem fios da Micro-soft/Logitech/Intel. Em sua memória segura, o dispositivo mantém a informa-ção de identidade do proprietário e um gabarito de impressão digital parauso na autenticação. Ao receber o dispositivo, o usuário inicializa o dispositi-vo por transferir informação de identidade para o mesmo e então por regis-trar uma ou mais impressões digitais a serem armazenadas e utilizadas pelodispositivo.

O dispositivo pode ser mantido de forma conveniente próximo,tal como no chaveiro do usuário, na carteira do usuário, no pulso do usuáriocomo um bracelete, ou em uma localização discreta.

O sistema, em uma concretização, ocupa-se com destravar umtoken via a extração de um aspecto biométrico no hospedeiro/terminal, ondea associação acontece no token. Os dados e/ou as teclas no token seriam,no sentido geral, públicos (pré-autenticação), públicos (pós-autenticação),privado para o emissor (pré-autorização), ou privado para o emissor (pós-autorização). Estes dados poderiam ser certificados, pseudônimos, chavesprivadas, chaves simétricas, ou outros dados relevantes.

Em uma concretização, o dispositivo permanece em um modode espera de baixo consumo de energia aguardando por um ping a partir deum transmissor próximo. Este ping significa que o usuário se aproximou deum terminal que pode aceitar uma autenticação - por exemplo, uma porta,um computador, ou um contador de check-in de aeroporto. O teclado do PCou a tranca da porta contêm o transmissor e um sensor de impressão digital.Quando o dispositivo recebe o ping, ele responde e inicia um canal de co-municação seguro. O usuário não tem que tocar o dispositivo - não tem ne-cessidade de levá-lo no bolso ou na bolsa - e nenhuma informação de iden-tificação é passada neste ponto. O dispositivo então aguarda que um gabari-to biométrico seja enviado. O terminal utiliza o sensor biométrico para obteros dados biométricos, e os aspectos são extraídos, e os aspectos extraídossão enviados para o dispositivo de token sem fios do usuário. O dispositivoassocia estes aspectos contra o gabarito biométrico armazenado do usuárioregistrado. Se ele combinar, o dispositivo libera a informação de identidadeI armazenada para o terminal através de técnicas criptográficas aceitas. Destemodo, é proporcionado para o usuário um token de identidade sem fios,conveniente, sem toque.

Em outra concretização, o token não é sem fios, mas ao invésdisso, recebe um sinal através do corpo do usuário. Ao invés de um ping apartir da estação base, o token é ativado pelo usuário colocando seus dedosna placa sensora da estação base. Isto envia um sinal de baixa voltagem (seoriginando a partir do polegar na placa) através do corpo do usuário para secomunicar com o token. Este é um dispositivo alternativo para ativar o token,ao invés do envio de ping. Enquanto esta concretização utiliza o corpo dousuário para transmitir dados, o usuário não precisa interagir diretamentecom o token, desde que o token em um relógio ou em uma chave de segu-rança está em contato suficiente com o corpo do usuário, para receber umsinal deste modo.

Os exemplos dados abaixo se referem a um token sem fios. En-tretanto, os versados na técnica entenderiam como implementar o token uti-lizando a transmissão através do corpo.

A Figura 1 é um diagrama de blocos de uma concretização deuma rede que pode ser utilizada com a presente invenção. O usuário carre-ga um cartão inteligente sem toque 120, também referido como token semfios. Estes dois termos são usados de forma intercambiável neste documen-to para um dispositivo que proporciona identidade pessoal e/ou informaçãoconfidencial em resposta a receber um ping do transceptor, sem requererque o usuário fisicamente toque o dispositivo. Observe que para a transmis-são através do corpo, o usuário não precisa "tocar" o dispositivo. O termo"tocar", neste contexto, se refere às interações afirmativas entre o usuário eo dispositivo, ou seja, o requerimento do usuário interagir com o dispositivode alguma maneira. O uso da transmissão passiva através do corpo não re-quer um ato afirmativo, ou toque, pelo usuário. Portanto, o cartão inteligenteutilizando a condutibilidade através do corpo pode ser referido como um car-tão inteligente sem toque.

O usuário, transportando o token sem fios 120, fica próximo deum dispositivo/localização com acesso limitado 150, ou terminal. O tokensem fios 120 recebe um ping a partir do terminal limitado 150 requisitandoautenticação para acesso. O dispositivo/localização com acesso limitadoprotegido pelo terminal 150 pode ser um dentre um portão, uma porta, ou umrecinto para um computador, terminal de aeroporto, ou outra localização on-de a autenticação é requerida. O cartão inteligente sem toque 120 interagecom o dispositivo/localização com acesso limitado 150. O usuário é requisi-tado para interagir com o sensor biométrico 130 acoplado com o dispositi-vo/localização com acesso limitado 150. O sensor biométrico 130 envia osdados biométricos para processamento para o processador 140. Para umaconcretização, o dispositivo/localização com acesso limitado 150, o proces-sador 140, e o sensor biométrico 130, podem ser um único dispositivo inte-grado. Para outra concretização, o sensor biométrico 130 pode ser direta-mente acoplado com o dispositivo/localização com acesso limitado 150 ecom o processador 140. Para outra concretização, o sensor biométrico 130pode ser acoplado através de uma conexão segura através da rede 110.

A rede 110 pode ser uma rede sem fios, uma rede com fios, umaconexão por cabo, ou qualquer outro tipo de conexão que permita a comuni-cação segura, ou que possa ser segura, entre o dispositivo/localização 150,e o sensor biométrico 130. Por exemplo, a comunicação entre o dispositi-vo/localização 150, o processador 140, e o sensor 130, pode ser através deuma rede não segura, tal como a Internet, utilizando um protocolo seguro, talcomo camadas de soquete de segurança (SSL).

A Figura 2 é uma concretização do sistema de computador noqual a presente invenção pode ser implementada. Será aparente para osversados na técnica, entretanto, que outros sistemas alternativos de váriasarquiteturas de sistemas, também podem ser utilizados.

O sistema de computador ilustrado na Figura 2 inclui um barra-mento ou outro dispositivo interno de comunicação 215 para comunicar in-formação, e um processador 210 acoplado com o barramento 215 para pro-cessar informações. O sistema adicionalmente compreende uma memóriade acesso randômico (RAM) ou outro dispositivo de armazenamento volátilI 250 (referido como memória), acoplado com o barramento 215 para arma-zenar informações e instruções a serem executadas pelo processador 210.A memória principal 250 também pode ser utilizada para armazenar variá-veis temporárias ou outras informações intermediárias durante a execuçãode instruções pelo processador 210. O sistema também compreende umamemória somente para leitura (ROM) e/ou o dispositivo de armazenamentoestático 220 acoplado com o barramento 215 para armazenar informaçãoestática e instruções para o processador 210, e um dispositivo de armaze-namento de dados 225 tal como um disco magnético ou disco óptico, e suaunidade de disco correspondente, o dispositivo de armazenamento de dados225 é acoplado com o barramento 215 para armazenar informações e ins-truções.

O sistema adicionalmente pode ser acoplado com um dispositivode vídeo 270, tal como um tubo de raio catódico (CRT) ou um vídeo de cris-tal líquido (LCD), acoplado com o barramento 215 através do barramento265 para exibir informações para um usuário de computador. Um dispositivode entrada alfanumérico 275, incluindo teclas alfanuméricas e outras teclas,também pode ser acoplado com o barramento 215 através do barramento265 para comunicar informações e seleções de comando para o processa-dor 210. Um dispositivo de entrada do usuário adicional é o dispositivo decontrole de cursor 280, tal como um mouse, uma trackball, caneta, ou teclasde direção do cursor, acopladas com o barramento 215 através do barra-mento 265 para comunicar informação de direção e seleções de comandopara o processador 210, e para controlar o movimento do cursor no disposi-tivo de vídeo 270. Dispositivos de entrada adicionais podem incluir um scan-ner 285, para digitalizar códigos de barra associados com imagens, e o dis-positivo de entrada de áudio 295, o qual recebe entrada verbal a partir de umusuário. Dispositivos de entrada alternativos também podem ser implemen-tados.

Outro dispositivo que opcionalmente pode ser acoplado com osistema de computador 200 é um dispositivo de comunicação 290 para a-cessar outros nós de um sistema distribuído via uma rede. O dispositivo decomunicação 290 pode incluir qualquer um dentre uma série de dispositivosperiféricos de trabalho em rede comercialmente disponíveis, tal como estesutilizados para acoplamento com Ethernet, rede em anel, Internet, ou redede área ampla. Observe que qualquer um ou todos os componentes destesistema ilustrado na Figura 2 e hardware associado podem ser utilizados emvárias concretizações da presente invenção.

Um sensor biométrico 295 adicionalmente pode ser acopladocom o sistema de computador 200. O sensor biométrico 295 pode ser umsensor de impressão digital, para uma concretização.

Para uma concretização, o vídeo 270, o dispositivo de entrada275 e o controle de cursor 280 podem ser combinados em uma única tela detoque. O vídeo com tela de toque permite a entrada de dados utilizando umatela sensível a toque.

Será apreciado pelos versados na técnica que qualquer configu-ração do sistema pode ser utilizada para vários propósitos, de acordo com aimplementação particular. A lógica de controle ou software implementando apresente invenção pode ser armazenado na memória principal 220, no dis-positivo de armazenamento em massa 225, ou em um outro meio de arma-zenamento localmente ou remotamente acessível para o processador 210.Outro meio de armazenamento pode incluir discos flexíveis, cartões de me-mória, memória flash, ou unidades de CD-ROM.

Será aparente para os versados na técnica que os métodos eprocessos descritos neste documento podem ser implementados como soft-ware armazenado na memória principal 250 ou na memória somente paraleitura 220, e executado pelo processador 210. Esta lógica de controle ousoftware também pode estar residente em um artigo de fabricação compre-endendo um meio legível por computador possuindo código de programalegível por computador, incorporado no mesmo, e sendo legível pelo disposi-tivo de armazenamento em massa 225, e para causar que o processador210 opere de acordo com os métodos e instruções neste documento.

O software da presente invenção também pode ser incorporado em um aparelho dedicado contendo um subconjunto dos componentes deI hardware de computador, descritos acima. Por exemplo, o aparelho dedica-do pode ser configurado para conter somente o barramento 215, o proces-sador 210, e a memória 250 e/ou 225, e uma tela de toque.

O dispositivo também pode ser configurado para incluir um con-junto de botões ou componentes de sinalização de entrada com os quais umusuário pode selecionar a partir de um conjunto de opções disponíveis. Oaparelho dedicado também pode ser configurado para incluir um aparelho desaída, tal como um vídeo de cristal líquido (LCD) ou matriz de elemento devídeo para exibir informação para um usuário do aparelho dedicado. Méto-dos convencionais podem ser utilizados para implementar tal aparelho dedi-cado. A implementação da presente invenção para tal dispositivo seria apa-rente para os versados na técnica dada a descrição da presente invençãocomo proporcionada neste documento.

A Figura 3 é um diagrama de blocos de uma concretização doscomponentes do terminal e do token sem fios. O token sem fios 120 incluium receptor de baixa potência 310, o qual geralmente está LIGADO, e moni-tora os pings. O token sem fios 120 é projetado para ser portátil, tal como emum chaveiro. Assim, uma fonte de energia 305, tal como uma bateria, ener-giza o token sem fios 120. Para uma concretização, a bateria 305 pode serrecarregável. Alternativamente, a bateria 305 pode ser uma bateria alcalina.Para outra concretização, a fonte de energia 305 pode ser uma fonte de e-nergia alternativa, agora disponível ou posteriormente descoberta.O receptor de baixa potência 310 está LIGADO, e monitorapings a partir de qualquer terminal 350. Como discutido acima, os terminais350 incluem transmissores de baixo alcance 360 que periodicamente emitemum ping. O receptor de baixa potência 310 monitora tal ping.

Se um ping for recebido, ele é passado para o processador debaixa potência 320. O processador de baixa potência 320 determina se "a-corda" o restante do sistema. Em geral, a maior parte do sistema está emuma condição de baixo consumo, desligada ou em espera, para reduzir oconsumo de energia. O processador de baixa potência 320 determina se oping merece um despertar do sistema. Para uma concretização, somentecertos pings são respondidos. Por exemplo, o processador de baixa potência320 pode exigir que o ping esteja em uma freqüência particular para acordaro sistema. Isto permitiria uma distribuição de transceptores possuindo váriasfaixas de freqüência.

Se o processador de baixa potência 320 acordar o sistema, otransceptor 315 é utilizado para interagir com o terminal 350. O transceptor315 envia e recebe dados. Como será discutido em maiores detalhes abaixo,o sistema adicionalmente inclui um co-processador criptográfico 325, paraexecutar as operações criptográficas requisitadas pelo usuário. Isto permiteo estabelecimento de uma conexão segura entre o token sem fios 120 e oterminal 350. Isto adicionalmente permite a troca de dados biométricos, co-mo será descrito abaixo. O token sem fios 120 adicionalmente inclui umamemória segura 330 para armazenar a informação de identidade do usuário,bem como chaves criptográficas, e o gabarito biométrico do usuário paraautenticação. Para uma concretização, somente o co-processador criptográ-fico 325 está apto a acessar a memória segura 330.

O sistema pode adicionalmente incluir uma interface de tecla340. A interface de tecla 340 permite uma interação que não é baseada emdados biométricos, entre o usuário e o token sem fios 120. Em geral, o usuá-rio não precisa tocar o token sem fios 120 para utilizar o token sem fios 120para autenticação. Entretanto, algumas vezes um usuário pode não ter umacaracterística biométrica reconhecível - por exemplo, as impressões digitaispodem não ser percebidas após um acidente raspar os dedos, ou as varre-duras de íris podem estar indisponíveis após um exame do olho que dilataas pupilas. Neste caso, o usuário pode utilizar a interface de tecla 340 parainteragir com o sistema.

Uma interface de botão 335 pode ser adicionalmente proporcio-nada. A interface de botão 335 pode liberar certos dados especializados so-mente se o usuário interagir com o token sem fios 120. Isto será descrito emmais detalhes abaixo.

O token sem fios 120 adicionalmente pode incluir uma interfa-ce/carregador com fios 345. Em geral, o token sem fios 120 faz a interfaceI com dispositivos exteriores utilizando o transceptor 315 e o receptor de baixapotência 310. Entretanto, em alguns casos, o usuário pode desejar transferirdados para o token sem fios 120, pode desejar carregar a bateria 305, oupode desejar interagir através de uma interface com fios. Assim, o sistemainclui uma interface com fios 345 para estes propósitos. A interface com fios345 pode ser um soquete para receber uma tomada, uma conexão USB,uma conexão firewire, uma conexão de rede para fazer interface com umarede com fios, ou qualquer tipo de conexão.

O terminal 350 inclui um transceptor 360 que envia pings perió-dicos, bem como as interfaces com o token sem fios 120. O terminal 350adicionalmente inclui um sensor biométrico 130. Para uma concretização, osensor biométrico 130 é um sensor de impressão digital acoplado com oterminal 350. Adicionalmente, o terminal 350 inclui o processador 355 paraprocessar os dados biométricos a partir do sensor 130, bem como para criaruma conexão segura entre o terminal 350 e o token sem fios 120.

A Figura 4A é um diagrama de blocos de uma concretização doselementos do token sem fios. O token sem fios 120 inclui uma porção sem-pre ligada 410. A porção sempre ligada 410 do sistema inclui um receptor debaixa potência 310, o qual monitora pings a partir de transceptores na vizi-nhança. Se o receptor 310 receber um ping, ele passa o mesmo para a cha-ve de ativação do sistema 415. Para uma concretização, a chave de ativa-ção do sistema 415 determina se acorda o restante do sistema. Para outraconcretização, a chave de ativação do sistema 415 automaticamente acordao sistema quando um ping é recebido.

Ao acordar, o transceptor 315 retorna dados para o terminal apartir do qual o ping foi recebido. Utilizando um criador seguro de seção 435,uma seção segura é criada entre o token sem fios 120 e o terminal. Parauma modalidade, métodos padrões sem fios podem ser utilizados para criaruma seção segura, tal como SSL, ou protocolos similares. Para uma concre-tização, um codificador 420 e chaves 430 (chaves públicas e privadas, parauma concretização), junto com um certificado da chave pública 430, são uti-Iizados para criar tal seção segura. Isto é descrito em maiores detalhes abai-xo com respeito às Figuras 6A e 6B.

Uma vez que uma seção segura seja criada, o pseudônimo dousuário, a partir da memória 425, é passado para o terminal. O terminal poderequisitar uma característica biométrica a partir do usuário. Em geral, istopode ser feito por se iluminar o sensor biométrico. Por exemplo, para umsensor de impressão digital, a área do sensor pode ser acesa, quando o da-do biométrico é recebido. O terminal - descrito com respeito à Figura 4B a-baixo - retorna o gabarito biométrico para verificação para o token sem fios120. O gabarito biométrico é passado para o verificador de identidade 450. Overificador de identidade 450 utiliza o gabarito biométrico do usuário 455,também na memória segura 425. Se o verificador de identidade 450 deter-minar que os dados biométricos do usuário combinam com os dados recebi-dos a partir do terminal, ele retorna estes dados para o transceptor 315. Otransceptor 315 retorna reconhecimento para o terminal, indicando que ousuário foi autenticado.

Para uma concretização, o terminal pode estar apto a acessardados adicionais 432 ligados com o pseudônimo do usuário 434. Em geral, opseudônimo 434 é uma identidade ligada, a qual pode não incluir o nome, oendereço de correio eletrônico, ou dados similares reais do usuário. Por e-xemplo, para Vance Bjorn, o pseudônimo pode ser VB. Os dados adicionais432, os quais podem ser acessíveis para terminais particulares, podem inclu-ir o nome completo do VB1 o endereço residencial, e um número de segurosocial. Por exemplo, se o terminal for um check-in de aeroporto, tais dadosadicionais são necessários. Assim, se o usuário e o terminal tiverem anteri-ormente feito um acordo em que dados adicionais sejam descritos, o sistemapode revelar estes dados adicionais 432. Para uma concretização, a negoci-ação inicial estabelece a identidade do terminal. Esta identidade do terminalpode então ser utilizada para determinar quais dados adicionais 432 liberarpara o terminal, após a verificação de identidade.

O token sem fios 120 adicionalmente pode incluir a lógica debotão 440. Certas informações, tal como um número de seguro social de umnúmero de cartão de crédito podem ser suficientemente sensíveis, as quaisI um usuário pode desejar somente liberar após pressionar um botão. Isto épermitido utilizando a lógica de botão 440. O usuário pode escolher tais op-ções, bem como registrar dados adicionais junto ao token sem fios 120 utili-zando a interface com o usuário 445. Para uma concretização, a interfacecom o usuário 445 realmente utiliza um computador ou sistema similar parafazer a interface com o usuário. Para uma concretização, a interface com ousuário 445 é desativada a não ser que o usuário esteja acoplado com umterminal seguro, ou acoplado com um sistema de computador através deuma conexão com fios.

A Figura 4B é um diagrama de blocos de uma concretização doselementos do terminal que interagem com o token sem fios. O terminal 350pode ser um único dispositivo monolítico, tal como um cofre utilizado paraacesso através de uma porta. Para outra concretização, o terminal 350 podeser um sistema distribuído, no qual os vários componentes descritos nestedocumento estão em localizações diferentes, e fazem interface utilizandouma rede.

O terminal 350 inclui um transceptor 360, o qual interage comoutros dispositivos. O terminal 350 adicionalmente inclui um gerador de ping460, o qual gera um ping periódico, para iniciar o contato com um token semfios. O gerador de ping 460 periodicamente envia uma cadeia de caracteres,ou marcação de horário. Para uma concretização, a cadeia de caracteres éum número randômico, gerado pelo gerador de número randômico 465. Onúmero randômico é utilizado para identificar se o ping sendo respondido éuma resposta ao ping oportuno. Assim, por exemplo, se alguém capturar umping, de modo a configurar uma conversação falsa com o terminal 350, apessoa teria que responder ao ping dentro de um período de tempo preesta-belecido, tal como 1/2 segundo. Após este tempo, o ping expira, e um novonúmero randômico é gerado e utilizado pelo gerador de ping 460. Isto reduza habilidade de alguém lograr um terminal 350 ou um token sem fios 120.

Em alguns casos, o transceptor 360 recebe uma resposta a par-tir de um token sem fios. A resposta, em geral, inclui o número randômico doping, bem como um certificado, identificando o token sem fios.

A lógica de seção segura 490 utiliza estes dados - se o verifica-dor de certificado 470 indicar que o certificado do token sem fios é válido -para estabelecer uma seção segura entre o terminal 350 e o token sem fios.Para uma concretização, a seção segura utiliza criptografia, baseada emcriptografia de chave pública para estabelecer o canal de comunicações se-guras. Para uma concretização, a lógica de criptografia/decriptografia 475 éutilizada para criptografar e decriptografar o fluxo de dados.

Uma vez que uma seção segura é estabelecida, o terminal 350recebe o pseudônimo do usuário a partir do token sem fios. O verificador depseudônimo 480 determina se o pseudônimo do usuário está na base dedados de acesso 485. Se o pseudônimo do usuário estiver na base de dadosde acesso 485, esta informação é passada para a lógica de controle de a-cesso 499. A lógica de controle de acesso 499 determina qual o tipo de veri-ficação é necessária para acesso através do terminal. Como discutido aci-ma, o terminal pode variar ser desde uma porta de baixa segurança até umsistema de computador de alta segurança. Assim, o nível de verificação po-de variar de somente um pseudônimo até a verificação biométrica.

Se a verificação biométrica for necessária, a lógica de controlede acesso 499 requisita dados biométricos a partir do usuário. Para umaconcretização, isto é feito por se iluminar ou de outro modo chamar a aten-ção para um sensor biométrico. Isto pode ser feito via uma exibição, luzes,ou através de outros dispositivos. Ao receber os dados biométricos a partirdo usuário, os dados biométricos são passados para uma lógica de extraçãode minúcia 495. A lógica de extração de minúcia 495 extrai os dados rele-vantes a partir dos dados biométricos e cria um gabarito biométrico. Obvia-mente, características únicas apropriadas dos dados biométricos são extraí-das. Por simplicidade, o termo "minúcia" será utilizado para descrever estascaracterísticas únicas.

O transceptor então envia este gabarito biométrico para o tokensem fios para verificação. Se a verificação for positiva, a lógica de controlede acesso 499 pode proporcionar acesso ao sistema protegido pelo terminal350. A lógica de controle de acesso 499 adicionalmente pode requerer in-I formações adicionais vinculadas, a partir do token sem fios do usuário. Estainformação é liberada, mediante solicitação, para o terminal 350. Se a infor-mação apropriada for recebida, a lógica de controle de acesso 499 permiteacesso à área/sistema protegido.

Para uma modalidade, se a área/sistema protegido for conti-nuamente acessada durante um período de tempo pelo usuário - como umsistema de computador seguro - o verificador de acesso continuado 498tipicamente faz o ping do token sem fios para verificar que o token sem fioscontinua a estar nas vizinhanças do terminal 350. Deste modo, o terminal350 proporciona continuamente acesso verificado para um sistema seguro.

A Figura 5 é um fluxograma de vista geral do presente processo.O processo começa no bloco 510. No bloco 510, o terminal envia pings peri-ódicos. Se um token sem fios estiver suficientemente próximo do terminalpara receber o ping, ele responde. Para uma concretização, o alcance doterminal é aproximadamente 2 metros (6 pés). Para outra concretização, oalcance do terminal pode ser diferente dependendo do tipo de terminal. As-sim, o alcance de um terminal de porta pode ser 1 metro (3 pés), enquanto oalcance de um terminal de computador pode ser 3 metros (10 pés), permitin-do a um usuário andar ao redor de um escritório e permanecer conectadocom o sistema. O alcance pode ser ajustável a partir de alguns pés até al-gumas jardas. Para uma concretização, a tecnologia de telefone sem fios oude espectro de difusão digital é utilizada para a transmissão da base.Quando um token sem fios responde a um ping, uma conexãosegura, tal como uma ligação SSL, é estabelecida entre o terminal e o tokensem fios, no bloco 520.

No bloco 530, os certificados públicos e os certificados privadosdisponíveis para este terminal particular são enviados para o terminal pelotoken sem fios. Cada certificado e chave privada possui controle de acessode modo que ele é público ou privado - pode ser lido por qualquer pessoaou somente pela autoridade que criou o mesmo. Adicionalmente, cada certi-ficado possui uma autorização de liberação de modo que ele pode ser Iibe-rado sem autenticação ou requerer autenticação biométrica. Cada objeto dedado identidade possui estes dois atributos. Público/privado e autenticaçãonecessária/não necessária. Neste ponto, os certificados que são privados oupúblicos, e os quais não requerem autenticação, são enviados para o termi-nal.

No bloco 540, a autenticação biométrica do usuário é requisita-da. Para uma concretização, isto somente ocorre se alguns dos certificados,autenticações, e/ou dados exigirem autenticação biométrica. Se nenhumaautenticação biométrica for necessária, o processo pode terminar após obloco 530. A autenticação pode ser através de uma impressão digital, colo-cada em um sensor de impressão digital. O sensor de impressão digital estáassociado com o terminal e pode ser controlado pelo terminal.

No bloco 550, os dados biométricos são processados pelo ter-minal, ou por um processador associado com o terminal, e o gabarito biomé-trico é gerado.

No bloco 560, o gabarito biométrico é enviado para o dispositivo,com uma cadeia de caracteres. A cadeia de caracteres indica a hora e o diaatual, bem como a identidade do terminal. Ele é adicionalmente criptografa-do com a chave pública do token sem fios, de modo que somente o tokensem fios apropriado está apto a acessar a cadeia de caracteres e retornar omesmo.

No bloco 570, é executada uma associação no dispositivo, verifi-cando que o gabarito de impressão digital combina com o gabarito de im-pressão digital do usuário. Esta combinação é feita no token. Isto proporcio-na segurança adicional, porque o gabarito é armazenado em uma localiza-ção diferente para cada usuário, e não é acessível sem o token.

No bloco 580, o token sem fios retorna um reconhecimento deque a autenticação obteve sucesso, junto com a cadeia de caracteres de-criptografada.

No bloco 590, o transceptor sem fios envia os certificados públi-cos e privados que exigem autenticação para o terminal neste ponto. O a-cesso é proporcionado para o usuário, como apropriado. O processo entãotermina no bloco 595.

O presente processo proporciona uma interação sem toque paraum usuário, a qual permite ao usuário executar a autenticação para quatrotipos de dados. Os tipos de dados estão na faixa de dados privados (especí-ficos do terminal) exigindo autenticação em uma extremidade do espectro,até dados públicos (liberados para todos os terminais) não exigindo autenti-cação.

As Figuras 6A até 6C são fluxogramas de uma concretizaçãoutilizando o token sem fios a partir da perspectiva do terminal. O processocomeça no bloco 605. No bloco 610, um ping é enviado pelo terminal, e osistema determina se existiu uma resposta. Se não existiu uma resposta, oprocesso retorna para o bloco 610, para enviar outro ping. Para uma concre-tização, os pings são enviados periodicamente, existam ou não sessões atu-almente ativas com os tokens sem fios. Para uma concretização, o ping pe-riódico pode ser uma vez por segundo. Para uma concretização, um proces-so separado monitora se uma resposta foi recebida. Para uma concretiza-ção, um novo processo é gerado para cada resposta. Assim, um único ter-minal pode estar apto a interagir com vários tokens sem fios diferentes aomesmo tempo.

Como discutido acima, o ping pode ou não incluir um númerorandômico. Se o ping não incluir um número randômico, um token sem fiosque deseja interagir com o sistema envia uma requisição por um númerorandômico, no bloco 612, o qual é prontamente enviado. Alternativamente, opróprio ping pode ser um número randômico, caso em que o bloco 612 podeser saltado.

No bloco 614, o número randômico criptografado é recebido devolta. O número randômico criptografado adicionalmente inclui uma cópia dachave pública certificada do token sem fios que está respondendo ao ping doterminal.

No bloco 616, o processo determina se o certificado acompa-nhando a chave pública do token sem fios ainda é válido. Os certificadospodem ser inválidos devido a eles terem expirado, ou porque um usuáriorelatou que seu token quebrou. Assim, para uma concretização, o sistemaacessa um servidor de certificado para verificar se o certificado recebido éautêntico, garantido por um servidor de certificado aceito, e válido. Se o cer-tificado não for bom, o processo continua para o bloco 618, e a conexão érecusada. O processo então termina no bloco 619.

Se o certificado for válido, o processo continua para o bloco 620.No bloco 620, o processo determinar se a autenticação integral do tokensem fios é aceitável. Para uma concretização, cada token sem fios é propor-cionado com um sistema de autenticação integral, tal como um "número desérie". Esta autenticação integral do token sem fios é utilizada para impediralguém de fabricar "tokens sem fios falsos" e passar os mesmos adiante. Sea autenticação integral do token sem fios falhar, o processo continua para obloco 618, e termina. Caso contrário, o processo continua para o bloco 622.

No bloco 622, o número randômico criptografado, retornado pelotoken sem fios, é decriptografado, utilizando a chave pública proporcionadano certificado.

No bloco 624, o processo determina se o número randômico quefoi recebido era um número válido que foi enviado por este terminal. Isto im-pede o terminal errado de aceitar uma conexão com um token sem fios. Adi-cionalmente, isto impede um token sem fios falso de retornar um númerorandômico antigo, velho para autenticação. Se o número randômico for invá-lido, o processo continua para o bloco 618 e termina. Caso contrário, o pro-cesso continua para o bloco 626.Algumas ou todas as etapas de autenticação acima podem sersaltadas em algumas implementações. No mínimo, o terminal deve receberuma resposta a partir do token sem fios, a qual indica que o token sem fiosestá na área.

No bloco 626, é criada uma conexão segura entre o token semfios e o terminal. Para uma concretização, a chave pública do token sem fiosé utilizada para criptografar uma chave de sessão, a qual é utilizada para asessão segura.

No bloco 628, o terminal recebe o pseudônimo do usuário. Opseudônimo do usuário é um pseudônimo persistente, o qual está associadoI com um usuário particular, e com o token sem fios particular. O pseudônimopode não ter conexão rastreável facilmente para o nome real do usuário.

No bloco 630, o processo determina se o pseudônimo propor-cionado pelo usuário está no conjunto de pseudônimos aceitos. O terminal,como discutido acima, é um dispositivo de interconexão de rede que propor-ciona acesso restrito e seguro para alguma localização ou sistema. Assim,existe uma lista de usuários para os quais pode ser dado este acesso. Osistema determina se o pseudônimo do usuário está entre estes que têmacesso permitido. Se o pseudônimo do usuário não for encontrado no con-junto de acesso autorizado, o processo continua para o bloco 618, e termina.Observe que em cad um destes casos, pode existir uma comunicação com ousuário indicando que o acesso não está sendo proporcionado. Para outraconcretização, a comunicação com o usuário pode indicar a razão para oacesso não permitido - por exemplo, certificado inválido, autenticação inte-gral com falha, número randômico não válido, ou usuário não autorizado.Para outra concretização, o sistema pode não comunicar qualquer coisa pa-ra o usuário, e simplesmente terminar a conexão entre o terminal e o tokensem fios. Para uma concretização, as preferências do terminal em nível decomunicação podem ser estabelecidas por um administrador.

No bloco 632, o processo determina se um dado biométrico énecessário para acesso. O sistema pode exigir um dado biométrico do usuá-rio para autenticação, ou a informação de pseudônimo sozinha pode ser su-ficiente. Se o pseudônimo for suficiente, o processo continua para o bloco662. No bloco 662, o acesso é proporcionado para o usuário.

Se um dado biométrico for necessário para acesso, o processocontinua para o bloco 634. No bloco 634, o dado biométrico é requisitado.

Isto pode ser feito pela comunicação com o usuário através de uma mensa-gem, ou pela indicação para o usuário de alguma maneira que informaçãobiométrica é requerida.

No bloco 636, o processo determina se uma informação biomé-trica foi recebida. Para uma concretização, este processo pode adicional-mente testar se uma informação biométrica legível foi recebida. Se nenhumainformação biométrica foi recebida, ou a qualidade da informação biométricarecebida é tal que ela não pode ser utilizada, o processo retorna para o blo-co 634, para requisitar outra informação biométrica. Se uma informação bi-ométrica foi recebida, o processo continua para o bloco 638.

No bloco 638, o sistema extrai um gabarito a partir da informa-ção biométrica. Para uma impressão digital, o gabarito inclui as minúcias daimpressão digital, bem como várias outras características. Para uma concre-tização, o processo descrito na Patente US N5 pode ser utilizado para geraro gabarito biométrico.

No bloco 640, o gabarito biométrico extraído é enviado para otoken sem fios. Como citado acima, a conexão entre o terminal e o tokensem fios é segura. Para uma concretização, o token pode adicionalmente sercriptografado, antes do envio do mesmo para o token sem fios.

No bloco 642, o processo determina se uma aprovação foi rece-bida a partir do token sem fios, verificando que o gabarito biométrico combi-na com a informação biométrica do proprietário do token sem fios. Se ne-nhuma aprovação tiver sido recebida, o processo continua para o bloco 644.No bloco 644, o processo determina se um tempo limite foi alcançado. Senenhum tempo limite tiver sido alcançado, o processo continua a aguardarpela aprovação. Se o tempo limite tiver sido alcançado, o processo continuapara o bloco 646, e termina. Para outra concretização, o processo pode re-tornar para o bloco 634 e requisitar uma nova informação biométrica paraverificação. Esta preferência pode ser estabelecida pelo administrador.

Se a aprovação tiver sido recebida, o processo continua para obloco 648. No bloco 648, o processo determina se informação adicional énecessária para o acesso. Como discutido acima, o pseudônimo não inclui onome legal do usuário, ou dados similares, inicialmente. Assim, para algunsterminais, tal como os terminais utilizados para acesso em aeroporto, o no-me legal do usuário pode ser requerido. Se informação adicional for neces-sária para o acesso, o processo continua para o bloco 650. Caso contrário, oprocesso continua para o bloco 662, onde o acesso é permitido.

No bloco 650, o processo determina qual tipo de autenticação foiutilizada, quando os dados foram inicialmente dispostos entre o terminal e ousuário. A autenticação pode ser autenticação baseada em terminal onde osdados são criptografados, mas liberados para todos os terminais sob de-manda, ou autenticação baseada no token sem fios, onde os dados somentesão liberados para o terminal que autorizou a recepção dos dados.

Se a autenticação baseada no token sem fios foi utilizada, o pro-cesso continua para o bloco 652. No bloco 652, a chave criptografada com achave privada do terminal, junto com a chave pública certificada do terminal,é enviada para o token sem fios. Para uma concretização, estes dados po-dem ter sido trocados anteriormente, caso em que o sistema não precisaenviar outra cópia da chave pública do terminal. O token sem fios então ten-ta decriptografar o envelope envolvendo os dados adicionais, com a chavepública do terminal. Se a chave pública decriptografar com sucesso os da-dos, então o terminal está autorizado a acessar os dados. Portanto, o tokensem fios envia dados adicionais para o terminal.

No bloco 654, apresentado o processo a partir da perspectiva doterminal, o processo determina se os dados requisitados foram recebidos.Como descrito acima, a autenticação dos dados é feita pelo token sem fios.Assim, se a autenticação obtiver sucesso, os dados são recebidos no bloco654. Se os dados não forem recebidos, o processo continua a aguardar. Pa-ra uma concretização, após um período de tempo, o processo pode enviarnovamente a requisição e a chave pública. Se os dados forem recebidos, oprocesso continua para o bloco 660.

No bloco 660, o processo determina se os dados recebidoscombinam com os dados de autenticação associados com o usuário. Secombinarem, o processo continua para o bloco 662, e o acesso é permitido.Caso contrário, o processo termina no bloco 646.

Se, no bloco 650, a autenticação baseada em terminal for utili-zada, o processo continua para o bloco 656. No bloco 656, os dados adicio-nais são requisitados e recebidos a partir do token sem fios. Os dados rece-bidos, entretanto, são criptografados com a chave do terminal que original-mente tinha sido autorizado para os dados. Assim, os dados somente sãoacessíveis se o terminal tiver a chave.

No bloco 658, os dados são decriptografados utilizando a chavedo terminal. Para uma concretização, a chave é a chave privada do terminal.Para outra concretização, uma "chave de dados adicional" separada podeser utilizada para este processo.

Os dados adicionais são armazenados no token sem fios cripto-grafados com a chave pública do terminal, e assim, inacessíveis para qual-quer pessoa que não possua a chave privada do terminal. O processo entãocontinua para o bloco 660, para verificar se os dados combinam com os da-dos de autenticação.

Se o usuário for autenticado com sucesso - através somente dopseudônimo, do pseudônimo e da informação biométrica, ou do pseudônimo,da informação biométrica e da informação adicional - no bloco 662, o aces-so aos dados/localização restritos é proporcionados.

No bloco 664, o processo determina se o acesso é um acessocontínuo, utilizando um computador, ou um acesso ocasional, como atravésde uma porta ou portão. Se o acesso for um acesso ocasional, o processocontinua para o bloco 670. No bloco 670, a conexão com o token sem fios éfechada, e no bloco 672, o processo termina. Se a conexão for uma conexãocontínua, o processo continua para o bloco 666.

No bloco 66, o terminal faz um ping para o token sem fios paraverificar se o token sem fios continua a estar próximo do terminal. O pingpode ser periódico. Para uma concretização, o ping é uma vez por minuto.Entretanto, o período entre os pings pode variar, dependendo do nível desegurança necessário. Em situações de segurança extrema, a conexão podeser mantida continuamente entre o token sem fios e o terminal. Em situaçõesmenos seguras, o ping pode ser reduzido para uma vez a cada 30 minutosou mesmo para períodos maiores. Para uma concretização, este períodopode ser ajustado pelo administrador.

No bloco 668, o processo determina se o token sem fios perma-nece próximo do terminal. Se permanecer, o processo retorna para o bloco666, para novamente fazer um ping após o período preestabelecido ter de-I corrido. Se o token sem fios não estiver mais próximo do terminal, o proces-so continua para o bloco 670.

No bloco 670, a conexão, se ela permanece aberta, com o tokensem fios, é fechada. Qualquer acesso não bloqueado é novamente bloquea-do, para requerer nova verificação para acesso adicional. O processo entãotermina no bloco 672. Deste modo, o terminal proporciona acesso segurocontínuo, em um dentre vários níveis de segurança, utilizando um token semfios que não requer que o usuário realmente toque no token sem fios.

As Figuras 7A e 7B são fluxogramas de uma concretização Litili-zando o token sem fios a partir da perspectiva do token sem fios. O processocomeça no bloco 705. Para uma concretização, este é um processo contínuode monitoramento, sempre que energia estiver disponível para o token semfios.

No bloco 710, o processo determina se um ping foi recebido. Umping é recebido quando o token sem fios entra dentro do alcance de difusãodo terminal. Se nenhum ping for recebido, o token sem fios continua a moni-torar. Para uma concretização, a parte do token sem fios que é utilizada paramonitorar é uma parte analógica, a qual possui um consumo de energia ex-tremamente baixo. Assim, este processo de monitoramento pode ser manti-do por um longo período sem troca ou recarga das baterias. Se um ping forrecebido, o processo continua para o bloco 715.

No bloco 715, o sistema é acordado. Como citado acima, a partede monitoramento do sistema é um sistema de baixo consumo de energia,enquanto para as etapas de comunicação segura, de criptografia e de auten-ticação, um sistema com maior consumo de energia é necessário.

No bloco 720, um número randômico é requisitado e recebido apartir do terminal, a partir do qual o ping foi recebido. Para uma concretiza-ção, o próprio ping incorpora um número randômico, caso em que este blocopode ser eliminado.

No bloco 725, o número randômico é criptografado com a chaveprivada do usuário, e com a própria chave do token sem fios.

No bloco 730, o número randômico criptografado, junto com opseudônimo público e a informação do usuário, e com uma chave públicacertificada do usuário, é enviado para o terminal. Para outra concretização,o(s) pseudônimo (s) público(s) não é enviado até que uma sessão seguraseja estabelecida.

No bloco 735, o processo determina se uma requisição por co-nexão segura foi recebida a partir do terminal. A requisição por conexão se-gura, para uma concretização, inclui uma chave de sessão criptografadacom a chave pública do usuário. Se a requisição por conexão segura aindanão tiver sido recebida, o processo continua para o bloco 740. No bloco 740,o processo determina se o período de espera excede o período limite. Parauma concretização, o período limite pode ser tão curto quanto uma fração ouum segundo, ou tão longo quanto alguns minutos. Se o período limite aindanão tiver sido excedido, o processo retorna para o bloco 735, para aguardarpor uma requisição por conexão segura. Se o período limite for excedido, oprocesso continua para o bloco 745. No bloco 745, o sistema novamentedorme, deixando somente a parte de monitoramento de ping do sistema a-cordada. O processo então retorna para o bloco 710.

Se uma requisição por conexão segura for recebida, no bloco735, o processo continua para o bloco 750.

No bloco 750, uma conexão segura é criada entre o terminal e otoken sem fios. Se os pseudônimos e a informação não requerendo autenti-cação não foram enviadas anteriormente, elas são enviadas neste ponto, nobloco 753. Esta informação pode incluir informação pública. Bem como in-formação específica para o terminal requisitante.

O token sem fios não monitora outros pseudônimos ou informa-ções relacionadas que ele tem disponível que podem ser aplicáveis paraeste terminal. Ao invés disso, o token sem fios simplesmente aguarda paradeterminar se um gabarito biométrico foi recebido, no bloco 755. Se um ga-barito biométrico não foi recebido, o processo continua para o bloco 760. Nobloco 760, o processo determinar se o período de espera excedeu o períodolimite. Para uma concretização, o período limite pode ser tão curto quantouma fração ou um segundo, ou tão longo quanto uns poucos minutos. Se oI período limite ainda não tiver sido excedido, o processo retorna para o bloco755, para aguardar por um gabarito biométrico. Se o período limite for exce-dido no bloco 760, o processo continua para o bloco 745. No bloco 745, osistema novamente dorme, deixando somente a parte de monitoramento deping do sistema acordada. O processo então retorna para o bloco 710.

Se um gabarito biométrico for recebido, no bloco 755, o proces-so continua para o bloco 765.

No bloco 765, o processo compara os dados biométricos recebi-dos a partir do terminal com o gabarito biométrico do usuário, armazenadona memória segura. No bloco 770, o processo determina se o gabarito bio-métrico do usuário combina com os dados biométricos a partir do terminal.Se os dois não combinarem, o processo continua para o bloco 745, e vaidormir. Para uma concretização, uma notícia de combinação com falha éenviada para o terminal. Para uma concretização, o terminal rastreia combi-nações consecutivas com falha. Para uma concretização, após um númeropreestabelecido de combinações com falha, ou um número preestabelecidode combinações com falha consecutivas, os dados seguros são apagadosdo token. Neste caso, o usuário deve se registrar novamente com um servi-dor acreditado de modo a utilizar o token novamente. Isto impede um ladrãode roubar o token e então tentar acessar repetidamente com vários modelosbiométricos até que o acesso seja proporcionado.

Se o gabarito biométrico combinar com os dados biométricos, oprocesso continua para o bloco 775. No bloco 775, a cadeia de caracteres édecriptografada com a chave privada do usuário. A cadeia de caracteres éuma marcação de tempo ou de data ou identificador de dados similar queverifica se os dados biométricos recebidos pelo token sem fios são os dadosbiométricos que foram extraídos pelo terminal. A cadeia de caracteres, parauma concretização, os dados biométricos são criptografados com a chavepública do token sem fios, pelo terminal. Para uma concretização, a cadeiade caracteres pode ser novamente criptografada com a chave pública doterminal (por exemplo, assinada).

No bloco 780, o reconhecimento de uma combinação é retorna-do para o terminal, junto com a cadeia de caracteres decriptografada, equalquer pseudônimo/dados adicionais que requeiram autenticação biomé-trica. Para uma concretização, o reconhecimento, a cadeia de caracteres eoutros dados, são enviados criptografados com a chave pública do terminal,assim como para proporcionar segurança adicional.

No bloco 782, o processo determina se uma requisição por da-dos adicionais específicos do terminal foi recebida. Se não, o processo con-tinua diretamente para o bloco 790.

Se uma requisição por dados adicionais específicos do terminalfor recebida, o processo determina se a requisição incluía uma chave ounão. Se nenhuma chave estiver incluída, o processo continua para o bloco786. No bloco 786, os dados específicos do terminal são enviados, se elesestiverem criptografados. Desde que os dados são criptografados com achave pública do terminal, assim são somente acessíveis para o terminal.

Se uma chave estiver incluída, a chave é assinada com a chaveprivada do terminal, e inclui uma cópia certificada da chave pública do termi-nal. O processo continua para o bloco 784. No bloco 784, a identidade doterminal, e fato de que estes dados estão associados com o terminal requisi-tante, são verificados, utilizando as chaves. Se o processo de decriptografiaobtiver sucesso, o processo continua para o bloco 786, e os dados são envi-ados para o terminal. O processo então continua para o bloco 790. No bloco790, o processo determina se um ping de manutenção foi recebido. O pingde manutenção é periodicamente enviado pelo terminal para verificar se otoken sem fios permanece nas vizinhanças.

Se nenhum ping de manutenção for recebido, o processo deter-mina se um processo esgotou o tempo, no bloco 792. Para uma concretiza-ção, existe um período de tempo de espera preestabelecido para o ping demanutenção. Para outra concretização, o terminal pode comunicar seu perí-odo de ping de manutenção para o token sem fios na conexão inicial. Otempo limite é então dinamicamente estabelecido. Para uma concretização,o tempo limite é estabelecido para ser ligeiramente mais longo do que o pe-ríodo do ping de manutenção do terminal. Se o sistema esgotar o tempo, nobloco 792, o processo retorna para o bloco 745, para dormir novamente. Seo período limite não tiver decorrido, o processo continuar a monitorar umping de manutenção no bloco 790.

Se um ping de manutenção for recebido, o processo, no bloco795, retorna um sinal de "vivo" para o terminal, indicando que o token semfios permanece nas proximidades do terminal. Para uma concretização, du-rante o período de manutenção, partes do sistema pode ser colocadas paradormir - tal como os elementos de criptografia e de decriptografia, a lógicade acesso à memória e assim por diante - enquanto os elementos de comu-nicação são mantidos acordados. O processo então retorna para o bloco790, para aguardar por um próximo ping de manutenção.

Deste modo, um token sem fios pode ser utilizado, sem requererqualquer interação humana com o próprio token. Isto é vantajoso para auten-ticação e acesso em um grande número de ambientes, de corporações, paraacesso físico, transações financeiras, verificações de segurança de linhaaérea, portas de quatro de hotel, ligar carros, ou quaisquer outros usos.

A Figura 8 é um fluxograma de uma concretização para iniciarum novo token sem fios. O processo começa no bloco 805. No bloco 810,uma conexão é recebida a partir de um novo token sem fios não iniciado.Para uma concretização, esta conexão pode ser com uma página da Inter-net. Para outra concretização, esta conexão pode ser com um servidor segu-ro na mesma rede. Por exemplo, uma corporação pode ter um servidor in-terno que proporciona tais serviços de inicialização. A conexão é uma cone-xão segura.

No bloco 815, o servidor solicita ao token sem fios para criar umpar de chaves pública-privada. No bloco 820, o usuário é solicitado a criarum pseudônimo. O pseudônimo é um pseudônimo anônimo persistente, enão precisa ter qualquer conexão com o nome real e/ou com a identidade dousuário. Entretanto, em um ambiente corporativo, a política pode ser ter umpseudônimo que seja idêntico ao nome real do usuário, ou ao endereço decorreio eletrônico do usuário, ou a algum identificador único similar. Não e-xiste limitação inerente em relação aos pseudônimos possíveis. Entretanto,cada organização/instituição/servidor impõem suas próprias limitações prefe-ridas.

No bloco 825, o servidor requisita, e recebe, a chave pública e opseudônimo a partir do token sem fios. Para uma concretização, o par dechaves e o pseudônimo são interativamente criados, com a interface com ousuário, proporcionada pelo servidor. Neste caso, o servidor pode enviar opseudônimo para o usuário.

No bloco 827, o servidor recebe um dado biométrico a partir dousuário. O dado biométrico pode ser uma impressão digital, várias impres-sões digitais, uma varredura de íris, uma impressão de mão, uma impressãode voz, qualquer outro tipo de dado biométrico, ou uma combinação dos vá-rios dados biométricos.

No bloco 829, o servidor extrai os dados biométricos subjacentesa partir do dado biométrico do usuário. Para uma impressão digital, um ga-barito é criado, incluindo minúcias, e potencialmente aspectos adicionais. Deforma similar, uma listagem de aspectos únicos que podem ser utilizadospara identificar o usuário é criada para cada tipo de dado biométrico.

No bloco 830, o servidor requisita verificação de identidade. Averificação de identidade pode ser através de um cartão de crédito e de in-formação de faturamento, uma licença de motorista, ou a verificação por umindivíduo acreditado tal como um administrador.

No bloco 835, o processo determina se a verificação de identi-dade foi recebida e verificada. Se não, o processo, no bloco 840, aguarda averificação. Este processo pode neste ponto ser descontinuado. Por exem-plo, se prova por papel físico está sendo enviada para o servidor, o processode inicialização pode ser descontinuado, até que a verificação seja recebida.Assim, o usuário pode ser informado que ele ou ela deve conectar o tokensem fios com o servidor novamente em algum momento futuro, após a iden-tidade ter sido verificada com sucesso.

Se a identidade tiver sido verificada com sucesso no bloco 835,o processo continua para o bloco 845. Alternativamente, o processo do bloco830, 835 e 840 pode ser saltado, e o usuário pode não ser requerido de pro-I porcionar qualquer dado pessoal verdadeiramente autenticado.

No bloco 845, o servidor, o qual é uma autoridade de certifica-ção, gera um certificado com a chave pública do usuário, e retorna a chavepública certificada para o token sem fios. Para outra concretização, o servi-dor pode utilizar uma servidor de certificado convencional para proporcionarum certificado para a chave pública do usuário. O servidor adicionalmenteretorna o gabarito biométrico para o token sem fios.

No bloco 850, a chave pública certificada, a chave privada, ogabarito biométrico, e o pseudônimo, são armazenados na memória segurano token sem fios. Neste ponto, o token sem fios pode ser utilizado por umterminal. Para uma concretização, se o servidor estiver dentro de uma corpo-ração, no bloco 855, o(s) pseudônimo(s) do usuário é (são) adicionado(s)para a base de dados de acesso dentro da corporação. O processo entãotermina no bloco 860. Deste modo, o token sem fios pode ser inicializadoutilizando um servidor seguro, o qual pode ser local ou remoto. Se o servidorseguro for local, e um administrador acreditado estiver disponível para fazero registro, a verificação de identidade pode ser simplificada. Por exemplo, oadministrador pode colocar sua impressão digital autenticada em um sensorbiométrico para indicar que uma identificação com sucesso aconteceu.

A Figura 9 é um fluxograma de uma concretização da realizaçãoda interface de um token sem fios com um terminal, e para adicionar infor-mação específica do terminal. O processo começa no bloco 910, quando aconexão entre o token sem fios e um servidor é inicialmente estabelecida. Oservidor pode ser um terminal, um servidor que atende a vários terminais,um sistema independente que é utilizado para atualizar uma base de dadosde acesso, ou outro sistema.

No bloco 915, o token sem fios interage com o servidor. Esteprocesso inclui estabelecer uma ligação segura entre o token sem fios e osistema. Para uma concretização, a conexão pode ser uma conexão comfios, uma conexão sem fios, ou uma conexão direta ligada na tomada. Se aconexão for uma conexão direta, nenhuma sessão segura precisa ser esta-belecida.

No bloco 920, a identidade do usuário é verificada. Para umaconcretização, isto pode ser feito pela conexão com o servidor de autentica-ção original, pela requisição de algum tipo de autenticação adicional, tal co-mo um cartão de crédito ou licença de motorista, ou através de algum outrodispositivo. Para uma concretização, o sistema adicionalmente pode verificara impressão digital do usuário - por exemplo, esta pessoa sendo identificadaé a mesma pessoa cujo gabarito de impressão digital está armazenado notoken sem fios como o proprietário do token. Para outra concretização, osistema é atendido por um administrador, o qual pode executar a verificação.

No bloco 925, o pacote de dados adicionais é criado para o to-ken sem fios. O pacote de dados adicionais são os dados que os terminaisdesejam utilizar no futuro. Por exemplo, para um terminal de linha aérea, oregistro pode ser em um contador de check-in de linha aérea. O pacote dedados adicionais pode incluir o nome legal completo do usuário, o endereçoresidencial, e o país de origem. Informações adicionais, tal como número delicença de motorista e número de passaporte, também podem estar incluí-das. Tudo isto é gerado no servidor, interativamente com o usuário.

No bloco 930, o processo determina se a preferência é ter a au-tenticação baseada no terminal ou não. A autenticação baseada no terminalsignifica que o pacote de dados é liberado para qualquer terminal requisitan-te. Entretanto, o pacote de dados é criptografado, de modo que somente oterminal possuindo a chave apropriada está apto a decriptografar os dados.Entretanto, isto pode ser menos seguro, desde que um hacker determinadopode ter acesso a estes dados através de um longo período. Portanto, a al-ternativa é ter o token sem fios determinando se libera estes dados ou não.

Se a autenticação baseada em terminal for selecionada, o pro-cesso continua para o bloco 935. No bloco 935, uma chave é utilizada paracriptografar o pacote de dados. Isto garante que somente o(s) terminal(is)que possui(em) a chave estão aptos a acessar estes dados. Para uma con-cretização, a chave é uma chave pública associada com estes dados, e achave privada apropriada está disponível para cada um dos terminais queacessariam estes dados. Para outra concretização, a chave pode ser umachave simétrica. Cópias da chave simétrica então estariam disponíveis paracada um dos terminais que possui permissão para acessar estes dados. Oprocesso então continua para o bloco 945.

Se, no bloco 930, a autenticação baseada no token sem fios forselecionada, o processo continua para o bloco 940. No bloco 940, os dadossão embalados em um "envelope" que é criptografado com a chave privadado terminal. De modo a acessar os dados, o terminal deve transmitir suachave pública certificada, a qual então deve desembalar o envelope. O pro-cesso então continua para o bloco 945.

No bloco 945, o pacote de dados é enviado para o token semfios.

No bloco 950, o processo determina se o sistema deseja ter osdados liberados somente em resposta a um usuário apertando uma interfacede botão no token sem fios. Se não, os dados são armazenados, no bloco955, e o processo termina no bloco 960. Se o sistema desejar forçar um bo-tão, o token sem fios armazena os dados como um pacote de dados ativadopor botão, no bloco 965. O processo então termina no bloco 960.

Deste modo, um sistema pode adicionar dados adicionais queseriam úteis para seus processos de autenticação e acesso. Um único sis-tema pode adicionar este pacote de dados, e por distribuir as chaves para oterminal apropriado, todos os terminais relacionados podem acessar estesdados.As Figuras 10A e 10B são ilustrações de duas concretizações dotoken sem fios. Um exemplo de um token sem fios é uma chave de seguran-ça 1010, a qual pode ser facilmente carregada no porta-chaves do usuário. Achave de segurança 1010 geralmente inclui o mecanismo de comunicaçãosem fios, o processador e a memória descritos acima. A chave de segurança1010 pode adicionalmente incluir botões 1030 para permitir a interação seum dado biométrico não estiver disponível ou for inaceitavelmente ruim, e osconectores 1020, para permitir uma conexão com fio.

Um token sem fios alternativo é um relógio 1050, o qual inclui osbotões 1060. Qualquer outro formato nativo que geralmente seria carregadopelo usuário em todos os momentos pode ser utilizado. Assim, o formato dotoken sem fios pode variar de uma chave de segurança até um formato decartão inteligente, de um relógio, de um bracelete ou de qualquer outro dis-positivo que seria por padrão carregado por uma pessoa usuária todos osmomentos.

No relatório descritivo precedente, a invenção foi descrita comreferência às concretizações ilustrativas específicas da mesma. Entretanto,será evidente que várias modificações e alterações podem ser feitas junto àmesma sem se afastar do espírito e do escopo mais amplo da invenção co-mo expostos nas reivindicações anexas. O relatório descritivo e os dese-nhos, por conseqüência, são para serem considerados em um sentido ilus-trativo ao invés do que em um sentido restritivo.

Claims (28)

1. Token1 compreendendo:um receptor de baixa potência para receber uma indicação indi-cando uma presença de um terminal de alcance curto próxima;uma lógica de despertar para despertar o token em resposta àrecepção de um ping;um verificador de identidade para executar a autenticação entreo token e o terminal, sem exigir um usuário tocar fisicamente no token.

2. Token de acordo com a reivindicação 1, implementado comouma chave de segurança.

3. Token de acordo com a reivindicação 1, adicionalmente com-preendendo: um criador seguro de sessão para configurar um canal de co-municações seguras entre o token sem fio e o terminal de alcance curto.

4. Token de acordo com a reivindicação 1, adicionalmente com-preendendo:um transceptor para enviar um pseudônimo e uma chave públi-ca certificada ao terminal;e um criador seguro de sessão para estabelecer um canal decomunicações seguras entre o token sem fio e o terminal que utiliza a chavepública certificada.

5. Token de acordo com a reivindicação 1, adicionalmente com-preendendo:um transceptor para receber um gabarito biométrico vindo doterminal, através de um canal de comunicações seguras;e o verificador de identidade para determinar se o gabarito bio-métrico combina um gabarito biométrico do proprietário do token sem fio.

6. Token de acordo com a reivindicação 5, em que o gabaritobiomédico do proprietário do token sem fio é armazenado em memória segu-ra no token sem fio

7. Token de acordo com a reivindicação 5, adicionalmente com-preendendo:o transceptor para adicionalmente enviar resultados de autenti-cação para o terminal, para permitir o acesso de usuário, conforme providopelo terminal.

8. Token de acordo com a reivindicação 1, adicionalmente com-preendendo:o transceptor receber pings de manutenção periódicos após au-tenticação; eo transceptor para adicionalmente responder aos pings periódi-cos verificando a proximidade continuada do token sem fio para o terminal.

9. Token de acordo com a reivindicação 1, adicionalmente com-preendendo:pseudônimos inseguros liberados para um terminal em respostaa um pedido, quando uma sessão segura for estabelecida; epseudônimos seguros liberados para um terminal em respostaa um pedido somente depois da autenticação biométrica do usuário.

10. Token de acordo com a reivindicação 1, adicionalmentecompreendendo:pseudônimos públicos liberados para qualquer terminal em res-posta a um pedido, quando uma sessão segura foi estabelecida; epseudônimos confidenciais liberados somente ao terminal queestabeleceu inicialmente os pseudônimos confidenciais.

11. Token de acordo com a reivindicação 1, adicionalmentecompreendendo um temporizador para colocar o token sem fio de volta àespera depois que um processo de autenticação foi terminado.

12. Token de acordo com a reivindicação 11, adicionalmentecompreendendo:uma porção sempre ligada do token sem fio, que permaneceaberta depois que o token sem fio foi posto a esperar, para continuar monito-rando os pings, a porção sempre ligada do token sem fio incluindo o receptorde baixa potência.

13. Token de acordo com a reivindicação 1, em que o token secomunica com o terminal usando freqüências sem fio.

14. Token de acordo com a reivindicação 1, em que o token secomunica com o terminal usando a condutibilidade da pele humana.

15. Terminal para permitir o uso de um token sem fio para au-tenticação, o terminal compreendendo:um gerador de ping para gerar pings periódicos;um transceptor para receber um pedido de conexão de um to-ken sem fio, que recebeu o ping;uma lógica segura da sessão para estabelecer uma sessão se-gura com o token sem fio; euma lógica de controle de acesso para fornecer o acesso a umsistema de acesso limitado, em resposta a receber a informação de autenti-I cação do token sem fio.

16. Terminal de acordo com a reivindicação 15, adicionalmentecompreendendo:um sensor biométrico para receber dados biométricos de umusuário, para a autenticação;uma lógica da extração da minúcia para extrair um molde bio-métrico dos dados biométricos; eo transceptor para enviar o gabarito biométrico via a sessão se-gura para o token sem fio para autenticação do usuário pelo token sem fio.

17. Terminal de acordo com a reivindicação 15, compreendendoainda um verificador de pseudônimo para verificar se um pseudônimo rece-bido do usuário é um acesso à base de dados.

18. Terminal de acordo com a reivindicação 17, compreendendoainda dados adicionais requisitados pela lógica de controle de acesso, sedados adicionais forem necessários para prover acesso.

19. Terminal de acordo com a reivindicação 15, compreendendoainda um verificador de acesso continuado para periodicamente enviar umping de manutenção após ter sido provido acesso a um usuário ao sistemade acesso limitado, para verificar se o usuário permanece em proximidadeao sistema de acesso limitado.

20. Terminal de acordo com a reivindicação 15, compreendendoainda um gerador de número randômico usado para gerar números randô-micos para uma conexão inicial entre o terminal e o token sem fio, de modoque somente um ping corrente seja disponível para resposta.

21. Terminal de acordo com a reivindicação 15, em que o siste-ma de acesso limitado pode incluir um ou mais do que segue: um edifício,uma sala, um sistema de computador, um terminal de segurança de aeropor-to, um veículo ou um caixa automático ou sistema de transação financeirasimilar.

22. Método de utilização de um token sem fio compreendendoas seguintes etapas:receber um ping indicando uma presença de um terminal de al-cance curto próximo;acordar o token sem fio em resposta ao recebimento de ping; eexecutar autenticação entre o token sem fio e o terminal, semrequerer que o usuário interaja com o token sem fio.

23. Método de acordo com a reivindicação 22, em que o tokensem fio é implementado em uma chave de segurança.

24. Método de acordo com a reivindicação 22, compreendendoainda a etapa de estabelecer um canal de comunicações seguro entre o to-ken sem fio e o terminal de alcance curto.

25. Método de acordo com a reivindicação 22, em que executarautenticação compreende:enviar um pseudônimo e uma chave pública estabelecendo umcanal seguro de comunicações entre o token sem fios e o terminal que utilizaa chave pública certificada.

26. Método de acordo com a reivindicação 25, ainda compreendendo:receber um gabarito biométrico a partir do terminal, através docanal seguro de comunicações; edeterminar se o gabarito biométrico é o gabarito biométrico doproprietário do token sem fios.

27. Método de acordo com a reivindicação 26, ainda compreendendo:enviar resultados de autenticação para o terminal, para permitiro acesso do usuário, conforme provido pelo terminal.

28. Método de acordo com a reivindicação 27, ainda compreen-dendo:continuar a receber pings periódicos para verificar a continuida-de da proximidade do token sem fios ao terminal; eresponder aos pings periódicos verificando a continuidade daproximidade do token sem fios.