CN100347624C

CN100347624C - 设备链接的方法

Info

Publication number: CN100347624C
Application number: CNB038240327A
Authority: CN
Inventors: M·舒巴
Original assignee: Telefonaktiebolaget LM Ericsson AB
Current assignee: Telefonaktiebolaget LM Ericsson AB
Priority date: 2002-10-11
Filing date: 2003-09-27
Publication date: 2007-11-07
Anticipated expiration: 2023-09-27
Also published as: EP1408391A1; RU2005113995A; WO2004034237A2; ATE382905T1; US7954137B2; RU2328085C2; AU2003275999A1; EP1552364B1; DE60318470T2; WO2004034237A3; AU2003275999A8; JP4540479B2; JP2006508426A; EP1552364A2; DE60318470D1; US20060149846A1; CN1732422A

Abstract

揭示了一种通过服务器(S1、AS2)链接第一设备(PP1、PP2)的第一特性和第二设备(NP1、NP2)的第二特性的方法。该方法包括如下步骤：选择(75)第一链接信息和第二链接信息、第一链接信息匹配第二链接信息、从服务器(S1、AS2)向第一设备(PP1、PP2)发送(100、150)第一链接信息以及向第二设备(NP1、NP2)发送(100、150)第二链接信息、第一设备(PP1、PP2)呈现(200、250)第一链接信息以及第二设备(NP1、NP2)呈现(200、250)第二链接信息、向第一设备(PP1、PP2)输入(300)第一链接信息和第二链接信息的匹配指示、并根据输入的匹配指示向服务器(S1、AS2)发送(400)匹配确认，以便向服务器(S1、AS2)确认该匹配并根据接收的匹配确认关联(450)第一特性和第二特性。

Description

设备链接的方法

技术领域

本发明涉及链接第一设备的第一特性和第二设备的第二特性的方法。本发明也涉及服务器和可载入服务器处理单元的计算机程序。

发明背景

设备链接定义为实现第一设备的第一个或多个特性与一个或多个其它设备的一个或多个特性关联。特性通常能够标识一个设备，但是在更广泛的意义上，特性可以关联于与设备有关的任何类型的信息。将第一设备与第二设备链接，就是将第一设备的一个或多个特性关联于第二设备的一个或多个特性。一个或多个关联的特性可以从各个设备或者了解各个特性的其它实体确定。通常，例如通过显示某个时间点链接的两个设备，设备链接提供源于链接的扩展信息。可以使用一个特性关联表，而且对于链接方法的不同实现，特性可以不同。

设备链接越来越多地用于鉴权的目的。当通过不可信设备——类似计算机终端或自动柜员机(ATM)或一扇门——试图访问系统或服务或设备这样的机构时，访问所请求的机构最初不了解不可信设备的操作者。大多数情况下，例如从互联网下载公开提供的信息或者进入一个公共的建筑，缺少这种了解对该机构并不造成问题，即通过不可信设备对任何能够操作该不可信设备的人提供对该机构的访问。但是，为了访问有访问限制的机构，对访问权限的了解就是很必要的了。例如这种了解可以通过鉴权过程提供，比如验证输入非私人设备的用户标识和密码。或者，链接到可信设备可用于允许访问的鉴权。

可信设备是一种关联了作为可信设备主要特性的访问权限的设备。访问权限使可信设备合法访问特定的机构。当可信设备提供给特定机构时，访问权限实现将对特定机构的访问授予可信设备。特定机构或者支持特定机构的实体对验证允许访问的访问权限可以有某个准则。可信设备的例子有合法访问移动电话网的移动电话或者合法访问付费服务的信用卡。根据可信设备以及验证访问权限的过程，可以得到可信设备合法拥有者的标识或者可以证明操作可信设备的人就是合法拥有者或者由合法拥有者授权。相应信息可以关联于可信设备的访问权限。

因此，当通过不可信设备请求访问一个机构时，可以提供具有关联了访问权限的可信设备。所关联的访问权限可以被确定并关联于一个特性，例如请求访问该机构的不可信设备的标识。或者，指向关联于可信设备的访问权限的可信设备特性可以关联于不可信设备的特性。关联于可信设备的访问权限所合法访问的机构不一定与不可信设备请求访问的机构相同。不同机构之间的协议可以确保合法访问第一机构的访问权限也合法访问第二机构。可信和不可信设备的有关特性可以存储在数据库中以便进一步处理，例如为了统计、计费或法律的目的。根据不可信和可信设备的关联特性，可以允许访问或者通过不可信设备访问，因为现在机构或者为了鉴权目的支持机构的实体了解了与不可信设备的特性——例如标识不可信设备的标识符——链接的访问权限。根据可信设备和链接方法的实现，可以得到可信设备合法拥有者的标识信息或者可信设备操作者就是或授权为可信设备的合法拥有者的证明，并将其关联于不可信设备的相应特性。要访问的机构标识也可以关联。

更多的安全链接方法除了特性关联以外，要求证明要被链接的第一设备和第二设备处于邻近位置。邻近位置的证明被看作是第一设备的操作者就是或至少是授权为第二设备操作者的充分证据。

提供位置邻近有不同解决方案，描述如下：

根据第一解决方案，要被链接的第一设备和第二设备之间的本地连接可以用于从服务器——例如付费或授权服务器——通过第一设备和第二设备发送链接数据，然后返回服务器，反之亦然。链接数据的成功往返就是存在本地连接的充分证明，因此也是位置邻近的充分证明。可以使用例如电缆、扩展坞、读卡器或者红外(IR)或蓝牙提供的传输范围大约不超过10米的本地无线连接这样的本地物理连接。

根据第二解决方案，一个人手动地将链接数据从第一设备传递到第二设备，提供位置邻近的证明。例如，支持将被不可信设备访问的机构的鉴权服务器向可信设备发送随机产生的一次性密码(OTP)作为链接数据。操作可信设备和不可信设备的人读到链接数据并且手动地将链接数据键入不可信设备。与第一解决方案相同，链接数据的往返可以看作是位置邻近的证明。

US-6,259,909描述了一种码字的往返，用于一种用户安全访问远端系统的方法。在通过接入设备鉴权了第一通信设备之后，码字从接入设备发送到第二通信设备。被第二通信设备接收的所述码字进一步从第二通信设备通过第一通信设备发送到所述接入设备，接入设备检查了从第一通信设备接收码字的正确性之后，可以允许第一及/或第二通信设备访问远端系统。数据处理单元可以用作第一通信设备，移动电话可以用作第二通信设备。

前面提到的证明位置邻近的解决方案存在缺点。本地连接要求将被链接以便从一个设备向另一个设备传递数据的设备具有兼容接口。但是，通常不能提供接口兼容性，因此使基于本地连接的解决方案的应用受限于很小一部分的潜在市场。本地无线连接更是如此，因为诸如IR或蓝牙收发机这样合适的本地无线接口在类似个人计算机(PCs)、工作站、ATM或比较老式的移动电话这样的设备上是比较少见的。使用本地物理连接要求物理连接要被链接的设备。但是，物理连接设备很不方便而且通常甚至是个麻烦的工作。类似地，类似IR这样的视线传播的本地无线连接技术要求要被链接的设备收发机很好地对准。此外，用合适的另一个设备代替一个设备要求首先从要被替换的设备上去掉本地连接，并将去掉的本地连接添加到合适的另一个设备上，因此增加了操作者的不便。

基于手动传递链接数据的解决方案要求操作第一和第二设备的人主动意识到，必须读取将要手动从第一设备传递的链接数据并且将其输入到第二设备中。为了防止猜出链接数据，链接数据不应该太短。但是，从第一设备读取较长的序列并将较长序列输入到第二设备中是很不方便的而且随着序列长度的增加错误输入的可能性也增加。当由于任何读取或输入错误而引起链接拒绝时是很不愉快的。

发明概述

本发明的一个目的是提供一种方法、一种设备以及一种计算机程序，能够方便地将第一设备的第一特性与第二设备的第二特性链接。

这个目的是通过权利要求1中描述的方法实现的。此外，发明在权利要求9中描述的服务器中实施，计算机程序载入权利要求16中描述的服务器处理单元。优势实施例在其它权利要求中描述。

为了通过服务器链接第一设备的第一特性和第二设备的第二特性，执行如下步骤。

第一步，选择第一链接信息和第二链接信息时要求第一链接信息和第二链接信息匹配。为了这个目的，第一链接信息不必与第二链接信息相同。

然后，从服务器向第一设备发送第一链接信息，并从服务器向第二设备发送第二链接信息。

此外，第一链接信息由第一设备呈现，第二链接信息由第二设备呈现。这种呈现应该理解为对人的一种输出。第一设备的输出可以与第二设备的输出不同，但是必须可以看出第一链接信息和第二链接信息是匹配的。不相同的匹配链接信息的例子可以是第一链接信息是第二链接信息的互补或者继承。

识别出第一设备所呈现的第一链接信息与第二设备所呈现的第二链接信息匹配之后，匹配指示输入第一设备。例如，第一设备的操作者可以按下第一设备上的一个键或者可以使用恰当的语音命令输入匹配指示。

根据输入的匹配指示，第一设备向服务器发送匹配确认。匹配确认向服务器确认第一设备呈现的第一链接信息与第二设备呈现的第二链接信息是匹配的。

根据接收的匹配确认，将第一特性和第二特性关联，例如通过在表中使第一特性和第二特性对应。

所建议的方法能够方便地链接第一设备的第一特性和第二设备的第二特性。根据本发明比较第一设备呈现的第一链接信息和第二设备呈现的第二链接信息并在两个设备之一上确认其匹配，与根据手动传递链接数据的链接方法相比，对人操作的要求少，因为不必从第一设备读出很长的序列并手动输入到第二设备中。此外，误输入的可能性可以完全避免，因为不必输入链接信息，使所建议的方法对人更方便。而且，根据本发明的方法不要求第一设备和第二设备之间的本地连接，因此使兼容接口以及附加或去掉本地连接变得不必要了，同时增加了可用性。由第一设备和第二设备呈现匹配链接信息更有好处，因为这样使第一设备的操作者不需要知道要被链接到所述第一设备的第二设备的地址，而这是要求在第一设备输入或确认所述第二设备的地址以便确认该链接的链接方法所要求的。但是，通常一个设备的地址不能提供，例如地址不能显示或者不能读出，或者可能临时改变了。特别是对不可信设备来说，地址通常不能提供给操作者，因此使所建议的方法很适合链接不可信设备，例如将作为第一不可信设备的第一计算机终端的IP地址和端口链接到作为第二不可信设备的第二计算机终端的IP地址和端口，以便建立包括两个计算机终端的计算机网络。

根据优选实施例，第一设备是可信设备，第一特性涉及合法访问第一机构的访问权限。“涉及”意味着第一特性包括访问权限及/或可以得到访问权限的标识符。可以得到合法访问移动电话网访问权限的标识符的例子是移动电话的移动站综合业务数字网号码(MSISDN)。有关的特性可以进一步处理，例如为了统计、计费或法律的目的。

根据另一个优选实施例，第二设备的第二特性包括标识第二设备的标识符。对第二机构的访问根据涉及访问权限的第一特性与包括标识符的第二特性的关联，授权给第二设备或者通过第二设备授权。第二机构可以与第一机构相同或不同。协议可以保证访问第一机构的访问权限也合法访问第二机构。因此，涉及访问权限的特性与包括标识第二设备的标识符的第二特性的关联可以提供第二设备合法访问第二机构的信息。根据该信息，可以授权访问第二机构。访问声明可以从服务器发送到第二设备、第二机构或者支持第二设备或第二机构的其它实体，以便授权访问。访问声明可以包括合法访问第二机构的访问权限，例如可以从合法访问第一机构的访问权限中得到。例如，通过对第二设备解锁以便正常使用可以实现对第二机构的访问。

根据另一个优选实施例，鉴权请求触发链接。鉴权请求是常规鉴权方法中常见的，因此当为了鉴权目的使用所建议的链接方法时就降低了实现的困难。特别是如果为了访问第二机构而要求鉴权时，第二机构可能只发送鉴权请求并等待访问声明，然后才授权访问第二设备，这是常规的鉴权方法。因此，第二机构不一定必须适配于所建议方法的细节，这样就增加了所建议方法的可用性。

根据另一个优选实施例，第一链接信息和第二链接信息包括一个或多个随机产生的符号。基于安全原因随机产生符号是有益处的，因为在第一链接和第二链接中呈现相同或类似链接信息的概率降低了。特别是，如果多个不可信设备处于邻近位置，如果相同或非常类似的链接信息呈现在其环境中的多个不可信设备上，必须确认链接信息匹配的人可能容易弄混。此外，随机产生符号也是有优势的，因为如果根据本发明的方法将与使用一次性密码的常规链接方法结合的话，链接信息可以用有益的一次性密码的方法处理。符号的例子是数字、字母、图像、照片、图片、或图标。使用数字、字母、及/或图标的好处是他们容易处理而且容易呈现在具有简单显示屏的设备上，例如集成在常规的移动通信全球系统(GSM)移动电话中的显示屏。数字及/或字母的另一个好处是他们可以很容易地转换为声音表示。图形表示，例如图像、照片、图片、及/或图标也是有优势的，因为相比字母及/或数字人们通常更本能而且更快地识别出图形的匹配，使该方法更方便。

根据另一个优选实施例，第一链接信息与第二链接信息相同。与比较并确认不同匹配链接信息相比，比较并确认相同链接信息的匹配通常更方便。此外，使用相同的链接信息在服务器中更容易实现。

根据另一个优选实施例，第一特性和第二特性的关联可以根据对输入第一设备的确认数据正确性的验证。输入确认数据从安全原因来说可能是有优势的，例如，使人更明确或者为了亲自鉴权。为了验证输入确认数据的正确性，输入的确认数据必须匹配预定的确认数据。第一设备或服务器或者二者都可以进行验证。如果服务器验证输入的确认数据，输入到第一设备的确认数据或者第一设备根据输入的确认数据产生的数据将被发送到服务器，例如，包括或者附加在匹配确认中。服务器将输入的确认数据或产生的数据与预定的确认数据比较，如果输入的确认数据或产生的数据分别匹配预定的确认数据，就执行特性的关联。如果第一设备执行验证，第一设备要能访问能够使第一设备验证输入的确认数据正确的预定数据，例如预定数据能够从服务器发送到第二设备或者预定数据能够存储在第二设备上。第一设备将输入的确认数据与预定的确认数据比较，如果输入的确认数据匹配预定的确认数据，就将匹配确认发送到服务器。该方法的实现可以用这样的方式：匹配确认的发送是第一设备向服务器验证输入的确认数据正确的隐含指示。根据对正确性的验证，服务器可以执行第一和第二特性的关联。根据该实现，可以输入确认数据，表示链接信息的匹配，因此减少了要执行的步骤数。

根据优选实施例，确认数据包括下面中的至少一个(a)个人标识码(b)密码(c)与第一链接信息或第二链接信息并列呈现的附加信息指示，附加信息与第一链接信息和第二链接信息可区分，以及(d)根据第一链接信息及/或第二链接信息计算的数据。输入的个人标识码(PIN)允许亲自对当前操作第一设备的人鉴权而且对避免未鉴权使用特别有利，例如防止小偷使用偷窃的设备根据本发明进行链接。密码可以用于相同的方式，但是比PIN更容易记住。与第一链接信息或第二链接信息并列呈现附加信息可以迫使操作者全面地研究呈现的信息以便对匹配进行识别，因此使所建议的方法更安全。此外，附加信息的指示可以很短而且很容易地通过例如表示附加信息的数字或字母输入。替代的解决方案是输入根据第一链接信息及/或第二链接信息计算的数据，也提高人们的注意，因此使该方法更安全。而且，一些人可能只是因为计算步骤要求人们思考正确答案、即正确的确认数据而发现所建议的链接方法很有吸引力。

本发明也涉及为了实现上述方法的服务器。

该服务器可以用于链接第一设备的第一特性与第二设备的第二特性。服务器包括接收消息的接收单元、发送消息的发送单元、以及处理消息和信息的处理单元。处理单元适于选择第一链接信息和第二链接信息。第一链接信息匹配于第二链接信息。发送单元适于向第一设备发送第一链接信息并向第二设备发送第二链接信息。接收单元适于从第一设备接收匹配确认，匹配确认向处理单元确定第一设备呈现的第一链接信息与第二设备呈现的第二链接信息匹配。处理单元适于根据接收的匹配确认执行第一特性和第二特性的关联。

根据优选实施例，第一设备是可信设备，第一特性涉及该可信设备合法访问第一机构的访问权限。

根据另一个优选实施例，第二特性包括标识第二设备的标识符，而且根据涉及访问权限的第一特性与包括标识符的第二特性的关联，处理单元适于产生访问声明，授权或通过第二设备访问与第一机构相同或不同的第二机构，而且发送单元适于向第二设备或第二机构或支持第二设备或第二机构的实体发送访问声明，以便授权访问。

根据另一个优选实施例，接收单元适于接收鉴权请求，触发处理单元执行链接。

根据另一个优选实施例，处理单元适于选择第一链接信息和第二链接信息包括一个或多个随机产生的符号。

根据另一个优选实施例，处理单元适于选择第一链接信息与第二链接信息相同。

根据另一个优选实施例，处理单元适于根据输入第一设备的确认数据正确性的验证，执行第一特性和第二特性的关联。

本发明也涉及一个计算机程序，包括各部分软件代码，以便在服务器上操作时实现上述方法。该计算机程序可以存储在计算机可读的介质上。计算机可读介质可以是永久或可重写的存储器，处于服务器内或外部。各个计算机程序也可以通过例如电缆或无线链路作为一串信号传递到服务器。

该计算机程序可以用于链接第一设备的第一特性和第二设备的第二特性。该计算机程序可以载入服务器的处理单元并包括适于选择第一链接信息和第二链接信息的代码。第一链接信息匹配第二链接信息。该计算机程序包括适于启动向第一设备发送第一链接信息并向第二设备发送第二链接信息、根据从第一设备接收的匹配确认执行第一特性与第二特性关联的代码，该匹配确认向该计算机程序确定第一设备呈现的第一链接信息与第二设备呈现的第二链接信息匹配。该计算机程序可以用于上述所有方法实施例。

下面为了技术人员全面而且完整地理解，将描述本发明的详细实施例。但是，这些实施例是示意性的而且不想进行限制，因为发明的范围是所附权利要求定义的。

附图的简要描述

图1a表示本发明第一实施例的流程图；

图1b表示根据图1a的第一实施例，设备之间的处理和消息的例子；

图2表示本发明第二实施例的操作者、设备及设备之间的消息；

图3a表示一个表，包括第一组可信和不可信设备呈现的例子；

图3b表示一个表，包括第二组可信和不可信设备呈现的例子；

发明的详细描述

图1a表示本发明第一实施例的流程图，其中链接请求50触发方法的如下步骤。图1b表示设备之间处理和消息的例子，即将被链接的第一设备PP1和第二设备NP1以及服务器S1，实现基于图1a描述的流程图的方法。下面，图1a和1b同时描述。图1a和1b中的相同参照号描述相应的特性。

根据图1a，第一实施例以链接请求50开始。链接请求50可以源于服务器S1之外的实体或者服务器S1本身。链接请求50可以从第二设备NP1通过图1b描述的请求消息51发送到服务器S1。链接请求50触发服务器S1通过关联第一设备PP1的第一特性和第二设备NP1的第二特性，从而链接第一设备PP1和第二设备NP1。在请求消息51中，可以向服务器S1提供第二设备NP1的地址。此外，请求消息51可以包括第一设备PP1的地址。服务器S1随后选择75第一链接信息和第二链接信息。此外，服务器S1通过消息101向第一设备PP1发送100第一链接信息，并通过消息151向第二设备NP1发送150第二链接信息。随后第一链接信息通过第一设备PP1呈现200，第二链接信息通过第二设备NP1呈现250。在比较了所呈现的链接信息并识别出呈现信息匹配之后，操作第一设备PP1的人将匹配指示输入300到第一设备PP1中。优选地，第一设备PP1输出要求输入300匹配指示的请求，而且如果施加更严格的安全要求，也要求向第一设备PP1输入350类似PIN的确认数据。根据本例，输入的确认数据由第一设备PP1验证其正确性。匹配指示和正确确认数据的输入300、350触发匹配确认从第一设备PP1通过消息401发送400到服务器S1。匹配确认确定了呈现在第一设备PP1上的第一链接信息与呈现在第二设备NP1上的第二链接信息的匹配，并且附带向服务器S1提供了第一设备PP1的操作者已经通过输入正确PIN而亲自鉴权的信息。此外，通过接收匹配信息向服务器S1提供了第一设备PP1和第二设备NP1邻近的证明，这样服务器S1可以认为操作第二设备NP1的人与操作第一设备PP1的人相同或者至少被其授权。根据接收的匹配确认，服务器S1可以执行第一设备PP1的第一特性与第二设备NP1的第二特性的关联450。哪些特性将被关联450可以指示在链接请求50中。可以执行另外的确定步骤确定将要关联的恰当特性。一个合适的例子是关联第一设备PP1的地址和第二设备NP2的地址，例如服务器S1已知的发送100、150链接信息的地址。根据第一特性和第二特性的关联450，链接声明可以表明两个设备PP1、NP1的成功链接。链接声明可以发送501到第二设备，作为对链接请求50的响应。

当使用第一设备PP1作为可信设备时，图1中没有表示的附加确认步骤可能是有利的。在这种情况下，例如在向各个设备发送链接信息之前，服务器可以通过执行链接验证个人设备的访问权限。特别是，如果向第二设备NP1请求或通过其请求访问一个机构，可以根据可信设备的访问权限，检查允许第二设备NP1访问该机构或通过其访问该机构的恰当协议是否存在。例如，可以检查使移动电话合法访问移动电话系统——例如GSM或通用移动通信系统(UMTS)——的移动电话访问权限是否也可以合法访问作为机构例子的互联网服务，该访问是向作为第二设备例子的计算机终端请求的或者通过其请求的。通过将涉及第一设备访问权限的第一特性——例如移动电话号码作为第一特性——与允许标识第二设备的第二特性关联，可以授权第二设备访问该机构或允许通过其访问该机构。

为了鉴权的目的使用图1a描述的方法，其好处是链接请求50和链接声明500被恰当的鉴权请求和鉴权声明请求分别替代，而且使用可信设备作为第一设备PP1。鉴权请求可以通过消息51发送到服务器S1。步骤75-450以及相应的处理及消息75-450可以按照结合图1的解释执行。基于链接，可以发送鉴权声明以便授权访问。例如，鉴权声明可以通过消息501发送到第二设备，使第二设备NP1例如解锁得到接入。

通常如下适用于第一和第二设备：为了在第一设备接收第一链接信息，第一设备配备了第一接收单元，而且为了第二设备接收第二链接信息，第二设备配备了第二接收单元。为了第一设备呈现第一链接信息，第一设备配备了第一输出单元，而且为了第二设备呈现第二链接信息，第二设备配备了第二输出单元。输出单元的例子是显示屏、扬声器、打印机、或者允许通过突出的符号呈现链接信息的设备。第二设备可以配备输入单元，类似小键盘或麦克风，例如通过鉴权或链接请求触发链接方法。为了输入匹配指示以及确认数据(如果有的话)，第一设备配备了类似小键盘、麦克风或触摸屏这样的输入单元。

前面提到的一个或多个第一设备及/或第二设备的单元可以是可移除的。第一设备及/或第二设备不一定需要有集成的接收单元、发送单元、输入单元及/或输出单元的事实使所建议的方法更灵活，例如信用卡可以作为可信设备使用，插入类似读卡器的设备中，除此之外该设备还具有前面解释的输入和输出单元以及接收和发送单元。此外，用扬声器或盲文点字呈现链接信息使所建议的方法也很容易被盲人操作。

下面描述了可用于所建议的链接方法的可信设备的例子：首先，合法访问一个机构而不需要表明可信设备合法拥有者标识的可信设备：根据这个第一例子，当提供可信设备以便得到访问时，机构所确定的关联于该可信设备的一个或多个特性不允许标识合法拥有者。因此，根据第一例子的可信设备可以提供给合法拥有者而不需要将合法拥有者的标识与所述一个或多个特性关联。这种可信设备的一个例子是门票，通过表明所述机构的名字以及一串与合法拥有者的标识不关联的号码作为访问权限而合法访问一个机构。第二，合法访问一个允许得到合法拥有者标识的机构的可信设备：根据第二例子，机构所决定的可信设备的至少一个特性关联于合法拥有者的标识。所述标识可以存储在可信设备中、机构中、及/或机构可访问的其它实体中。当所述标识存储在机构及/或其它实体中时，可信设备必须由机构唯一地识别，以便得到合法拥有者的标识。第三，合法访问一个允许身份鉴权的机构的可信设备，即可以证明操作可信设备的人就是合法拥有者或者由其授权。像个人标识码(PIN)这样的专门发给合法拥有者的密码或者用户标识——类似签名或照片这样的唯一关联合法拥有者的密码机制或个人信息——当提供可信设备得到访问时可以用于身份鉴权。合法拥有者的鉴权可以通过对另一个人提供所述密码来实现，当提供可信设备时能够使那个人访问该机构。允许身份鉴权的可信设备的例子是信用卡结合签名或者GSM移动电话结合PIN。

如果按照前面的解释，有关合法拥有者的信息提供给了服务器，可信设备的链接就取决于可信设备以及服务器为链接所决定的特性的处理。如果有关合法拥有者的信息是可确定的，这个信息可以用于关联步骤。一般而言，为了更严格的安全要求，最好使用可信设备的较高的例子数。此外，可信设备可以关联于签发日期、过期日期这样的特性，或者与可信设备关联的可为例如链接及/或授权访问而考虑的一个值。

图2表示所建议方法的第二实施例。操作描述为移动电话PP2的可信设备以及描述为计算机终端NP2的不可信设备的人A2需要通过计算机终端NP2访问互联网上服务器SP2提供的服务。计算机终端NP2向互联网上提供服务的服务器SP2发送服务接入请求SR。服务器SP2识别出所请求的服务需要鉴权。服务器SP2可以用要求鉴权的鉴权请求消息ARM1响应计算机终端NP2，例如要求输入MSISDN码。个人A2将移动电话PP2的MSISDN码输入计算机终端NP2并在鉴权响应消息ARM2中向服务器SP2发送所输入的MSISDN码。鉴权响应消息ARM2也可以携带计算机终端NP2的地址，例如互联网协议(IP)地址和端口号。根据接收的鉴权响应消息ARM2，服务器SP2发送对服务器AS2鉴权的请求RA。根据本例，请求RA包括移动电话PP2的MSISDN码、计算机终端NP2的IP地址和端口号以及服务器SP2的IP地址和端口号。可选地，服务及/或服务提供者的标识或名称以及在服务器SP2收到服务请求SR的时间可以包括在请求RA中。受请求RA触发，服务器AS2如下进行：服务器AS2接受接收的MSISDN码作为访问移动电信系统的权限。根据MSISDN码的分析，服务器AS2也可以检测到MSISDN码对应于特定的网络运营商。根据本例，服务器AS2检查基于MSISDN码的访问权限是否也合法访问服务器SP2提供的服务，例如根据事先制订的恰当协议或者根据请求，或者假设存在隐含的协议，因为服务器SP2在请求消息51中发送了MSISDN码这个事实。如果要求身份鉴权，服务器AS2可以另外得到MSISDN码合法拥有者的标识，例如将移动电话PP2作为可信设备提供的人A2的名字和地址。

接受了移动电话PP2的MSISDN码并且同意了关联的访问权限之后，服务器AS2通过选择第一和第二联接信息进行链接。根据本例，服务器AS2选择并向移动电话PP2和计算机终端NP2发送一串相同的照片。计算机终端NP2的链接信息在消息LIA1中发送到服务器SP2，服务器SP2再通过消息LIA2向计算机终端NP2发送计算机终端NP2的链接信息，链接信息在计算机屏幕上呈现，表示为屏幕图像DIN。移动电话PP2的链接信息在消息LIB中向移动电话PP2发送，例如通过短消息业务(SMS)或者多媒体消息业务(MMS)或者WAP(无线应用协议)PUSH。链接信息呈现在移动电话PP2的显示屏上，显示为屏幕图像DIP。如果呈现在移动电话PP2上的链接信息与如下这样的请求并列呈现，该方法会变得更加方便而且更加安全：

“亲爱的[人名]，

您在[请求时间]时刻要求访问[服务名]服务。请按您移动电话上的YES键并输入您的PIN确认您的移动电话和您的不可信设备[地址]上呈现的链接信息匹配。”

上面提到的请求文字包括括号中的项目。如果服务器AS2具有前面解释的这个信息，这些项目，例如个人A2的名字、服务名称、服务请求时间、以及不可信设备的地址，可以包括在消息LIB中并提供给移动电话PP2显示。

如果呈现在移动电话PP2显示屏和计算机终端NP2屏幕上的一串图片形式的链接信息是相同的，因此匹配，个人A2就按移动电话PP2的“YES”键并输入他的PIN确认该匹配。对于移动电话PP2呈现的信息和计算机终端NP2呈现的信息不匹配的情况，可能出现了攻击。在这种情况下，可以拒绝匹配确认，因此结束链接过程，例如按“NO”或者输入错的PIN。根据本例，链接信息匹配而且匹配确认通过匹配确认消息MC从移动电话PP2发送到服务器AS2。根据接收的匹配确认，服务器AS2将计算机终端NP2和移动电话PP2通过关联例如计算机终端NP2的地址和移动电话PP2的MSISDN码而链接，并对服务器SP2提供包括鉴权声明的鉴权声明消息AA。根据鉴权声明，服务器SP2可以为个人A2向计算机终端NP2授权服务访问SA。如果提供或者被请求，服务器AS2可以向服务器SP2提供涉及个人A2的个人信息，例如名字及/或地址及/或信用卡号码。服务器SP2可以将提供的个人信息存储在数据库中，例如为了计费或统计的目的或者法律上的原因。

图2的实施例使用计算机终端作为不可信设备。但是，结合图1a、1b和2描述的实施例可以使用的不可信设备例如有个人数字助理(PDA)、工作站、笔记本、ATM、诸如门这样的物理接入单元或者诸如方向盘这样的物理控制设备。

图3a表示了一个表，带有匹配由作为第一设备例子的可信设备和作为第二设备例子的不可信设备所呈现的链接信息的例子。每个链接信息例子用标识码(IDs)表示。相同的数字串1a、字母串2a、图标串3a、图片串4a、以及字母和数字的组合串5a作为相同链接信息的例子表示。但是正如前面指出的，匹配链接信息不一定必须是相同的。不相同的匹配链接信息的例子在6a到11a的例子中给出。例子6a和7a分别揭示了数字串和字母串的链接信息连续匹配的例子，也就是可信设备上开始的序列在不可信设备上继续，或者相反。8a和9a表示了互补匹配链接信息的例子，第一串图标由可信设备呈现，与第一串相同但是颜色相反的第二串图标由不可信设备呈现。10a是计算匹配链接信息的例子，即不可信设备呈现的链接信息可以通过可信设备呈现的链接信息计算出来，反之亦然。图11a表示不可信设备呈现的一串图片。可信设备呈现的链接信息是一串名称，以文字形式匹配图片串。如果只有一台设备支持图片显示的话，根据例子11a的实现可能非常有用。因此向可信设备或不可信设备或者二者提供各种格式的链接信息可能是有好处的，从中可以选择最适合的能够增加呈现链接信息概率的格式。图3a中没有表示的另一个不相同匹配信息的例子是拼图，可信设备可以呈现一个或多个第一拼图部分，不可信设备可以呈现一个或多个第二拼图部分。

对人来说，比较并识别图片、图像或图标这样的图形链接信息的匹配可能比数字或字母这样的非图形链接信息容易，因此所建议的基于图形链接信息的方法更方便而且更可靠，因为错误识别匹配的概率降低了。以一组100个图标为例，一串随机选择的三个图标作为链接信息允许1,000,000种不同的序列，一方面使所建议的方法足够安全。另一方面，与例如也允许1,000,000种不同序列的6个数字序列相比，3个图标序列可以非常容易而且快捷地比较，。

图3b用于解释如何执行匹配指示的输入以及如何将确认数据输入作为第一设备例子的可信设备。为此，表示了可信设备与作为第二设备例子的不可信设备呈现的匹配链接信息的例子。在其中一个设备上，与相应匹配链接信息并列呈现的附加信息加入到所呈现的匹配链接信息上。为了识别第一链接信息和第二链接信息的匹配，附加信息应该清楚地与匹配链接信息分开，例如根据下面解释的例子1b-10b。为了输入匹配指示及/或输入确认数据，要被链接的至少一台设备可以提出一个恰当的请求。匹配指示和确认数据的输出可以合并。

根据1b中的第一个例子，两台设备上给出的匹配链接信息是一串数字“123456”，附加信息是一串拉丁字母“ABCDEF”和希腊字母“ψδηρτξ”。可信设备上呈现的信息是编号的，链接信息的匹配可以通过将“2”输入可信设备来确认，表示可信设备所呈现的编号为“2”的信息是与不可信设备呈现的链接信息匹配的链接信息。或者可以使用鼠标这样的指向设备“点击”链接信息或者相应的标识、即对应于本例的号码“2”。也可以语音输入表示匹配。

2b表示匹配链接信息、即“ABCDEF”和附加信息、即“45T698”以及“$rt％tz”的相应呈现，附加信息现在由不可信设备呈现。匹配链接信息的标识符使用字母“A”，附加信息使用字母“B”和“C”。根据本例，匹配指示可以通过向可信设备输入“A”来执行。

根据1b和2b中的例子，匹配指示的输入也可以通过普通的方式，例如按“YES”，而不需要使用呈现给个人的附加信息。分别根据例子1b和2b，附加确认步骤可以请求输入“2”或“A”作为确认数据。

例子1b和2b为了增加方法安全性，都增加了复杂度。操作可信设备的人不能只通过按一个键或其它普通的方式实现可信设备和不可信设备的链接。相反，他被迫完全比较两台设备呈现的信息并做出正确的输入选择。

在下面的例子3b到10b中，数字“0”代表根据本例可以很容易和匹配链接信息分开的附加信息。例如根据例子8b到10b，附加信息可以由可信设备与链接信息分开呈现，或者根据例子4b到7b由不可信设备与链接信息分开呈现，或者按照附加信息包含在链接信息中的例子3b的描述，由可信设备包含在链接信息中。不可信设备呈现的包含在链接信息中的附加信息也是可能的，但是图3b中没有表示。

根据例子3b到10b，例如，匹配指示可以通过按“YES”键进行，然后输入确认数据，即输入根据例子3b到10b的附加信息“0”。

在11b，数学等式形式的相同链接信息“3+5＝？”由两台设备呈现。正确结果“8”可以作为确认数据输入。

或者例子3b到10b以及11b中的匹配指示可以与确认数据的输入合并，例如通过输入附加信息，即例子3b-10b中的“0”和11b的“8”请求指示匹配。这种实现的好处是要求可信设备操作者的动作减少了，例如按“YES”键可以省略。

上述实施例极好地实现了发明的目的。但是可以理解的是，在不背离仅由权利要求限定的发明范围前提下，本领域技术人员可以进行改变。

Claims

1.一种通过服务器(S1、AS2)链接第一设备(PP1、PP2)的第一特性和第二设备(NP1、NP2)的第二特性的方法，该方法被链接请求(50)触发并包括如下步骤：

——选择(75)第一链接信息和第二链接信息，第一链接信息匹配第二链接信息，

——从服务器(S1、AS2)向第一设备(PP1、PP2)发送(100)第一链接信息以及向第二设备(NP1、NP2)发送(150)第二链接信息，

——第一设备(PP1、PP2)呈现(200)第一链接信息以及第二设备(NP1、NP2)呈现(250)第二链接信息，

——向第一设备(PP1、PP2)输入(300)第一链接信息和第二链接信息匹配的指示，

——根据输入的匹配指示，向服务器(S1、AS2)发送(400)匹配确认，以便向服务器(S1、AS2)确认该匹配，

——根据接收的匹配确认关联(450)第一特性和第二特性。

2.根据权利要求1的方法，其特征在于该方法用于鉴权，链接请求(50)是鉴权请求而且第一设备(PP1、PP2)是可信设备，还包括通过鉴权声明表明关联(450)的步骤。

3.根据权利要求2的方法，其特征在于发送鉴权声明以便授权接入。

4.根据前面任一权利要求的方法，其特征在于第一设备(PP1、PP2)是可信设备而且第一特性涉及可信设备合法访问第一机构的访问权限。

5.根据权利要求4的方法，其特征在于第二特性包括标识第二设备(NP1、NP2)的标识符，而且根据涉及访问权限的第一特性与包括标识符的第二特性的关联(450)，对第二机构的访问授权给第二设备(NP1、NP2)，或者通过第二设备(NP1、NP2)授权，第二机构可以与第一机构相同或不同。

6.根据权利要求1所述的方法，其特征在于第一链接信息和第二链接信息包括一个或多个随机产生的符号。

7.根据权利要求1所述的方法，其特征在于第一链接信息与第二链接信息相同。

8.根据权利要求1所述的方法，其特征在于关联(450)基于对输入第一设备(PP1、PP2)的确认数据正确性的验证。

9.根据权利要求8的方法，其特征在于输入的确认数据包括如下中的至少一个：

(a)个人标识码；

(b)密码；

(c)与第一链接信息或第二链接信息并列呈现的附加信息指示，附加信息与第一链接信息和第二链接信息可区分，以及

(d)根据第一链接信息及/或第二链接信息计算的数据。

10.一种用于链接第一设备(PP1、PP2)的第一特性与第二设备(NP1、NP2)的第二特性的服务器(S1、AS2)，服务器(S1、AS2)包括接收消息的接收单元、发送消息的发送单元、以及处理消息和信息的处理单元，其特征在于，接收单元适于接收链接请求(50)，处理单元适于被接收的链接请求(50)触发并选择第一链接信息和第二链接信息，第一链接信息匹配于第二链接信息，发送单元适于向第一设备(PP1、PP2)发送第一链接信息并向第二设备(NP1、NP2)发送第二链接信息，接收单元适于从第一设备(PP1、PP2)接收匹配确认，匹配确认向处理单元确定第一设备(PP1、PP2)呈现的第一链接信息与第二设备(NP1、NP2)呈现的第二链接信息匹配，而且处理单元适于根据接收的匹配确认执行第一特性和第二特性的关联(450)。

11.根据权利要求10的服务器(S1，AS2)，其特征在于服务器(S1，AS2)用于鉴权，链接请求(50)是鉴权请求而且第一设备(PP1，PP2)是可信设备，处理单元还适于通过鉴权声明表示关联(450)。

12.根据权利要求11的服务器(S1，AS2)，其特征在于发送单元适于发送鉴权声明以便授权接入。

13.根据权利要求10到12中任一个的服务器(S1，AS2)，其特征在于第一设备(PP1，PP2)是可信设备而且第一特性涉及可信设备合法访问第一机构的访问权限。

14.根据权利要求13的服务器(S1，AS2)，其特征在于第二特性包括标识第二设备的标识符，而且根据涉及访问权限的第一特性与包括标识符的第二特性的关联(450)，处理单元适于产生访问声明，授权或通过第二设备(NP1，NP2)访问与第一机构相同或不同的第二机构，而且发送单元适于向第二设备(NP1，NP2)或第二机构，或者向支持所述第二设备(NP1，NP2)或所述第二机构授权访问的实体发送访问声明。

15.根据权利要求10所述的服务器(S1，AS2)，其特征在于处理单元适于选择第一链接信息和第二链接信息，包括一个或多个随机产生的符号。

16.根据权利要求10所述的服务器(S1，AS2)，其特征在于处理单元适于选择第一链接信息与第二链接信息相同。

17.根据权利要求10所述的服务器(S1，AS2)，其特征在于处理单元适于根据输入第一设备(PP1，PP2)的确认数据正确性的验证，执行第一特性和第二特性的关联(450)。