CN100562009C

CN100562009C - 用于从无线设备访问环球网服务的认证的方法

Info

Publication number: CN100562009C
Application number: CNB2004100857938A
Authority: CN
Inventors: 迪迪尔·德克罗斯; 阿兰·西尔斯; 菲利普·巴佐特; 理查德·瑟特
Original assignee: Lenovo Singapore Pte Ltd
Current assignee: Lenovo Singapore Pte Ltd
Priority date: 2003-12-30
Filing date: 2004-10-22
Publication date: 2009-11-18
Anticipated expiration: 2024-10-22
Also published as: CN1638377A

Abstract

一种授权从无线设备访问Web服务的方法。在优选实施例中，WAP协议实现在无线设备和网络中。WAP版本是1.2及以上并且允许具有消息交付确认的WAP推命令。该方法包括由Web服务执行的第一步骤，用于识别用户无线设备，将令牌推给无线设备，包括签名，并且请求推消息的交付确认。如果接收交付确认，Web服务就存储用户的令牌。依据WAP推协议，每次用户无线设备将发出请求访问Web服务，令牌将包括在请求消息中并且Web服务将在给予访问前为认证而检查它。

Description

用于从无线设备访问环球网服务的认证的方法

技术领域

本发明涉及一种移动设备使用无线应用协议(WAP)或任何等同协议连接在环球网(Web)上可用的服务(环球网服务，Web services)的方法；更具体地，本发明涉及一种用于从这样的移动设备访问这样的Web服务的认证的方法。

背景技术

当今销售的移动电话包括允许访问因特网Web服务的功能。WAP协议实现在多数移动电话制造商中。该特定协议允许甚至是具有有限的显示和存储能力的任何移动设备通过Web服务从Web内容服务器接收内容。超文本消息语法(syntax)以及通信协议已经适用于无线设备。

在使用非无线设备时，Web服务在提供访问前可能需要认证。当今从移动电话访问的多数Web服务是信息或者娱乐用途的，并且不要求与使用远程支付和结算处理相同的安全水平。现今已知一些已有的认证方法。

使用基于表格的认证，Web服务器应用在处理认证。Web服务器应用通过wml表格质询客户，请求用户提供认证信息。该认证方法存在缺点：由于键盘尺寸使得在移动电话上键入用户名和密码是使人厌烦的。

作为基本认证方法的另一个认证方法是通过使用HTTP协议提供的。HTTP协议提供简单的认证机制，其可用于通过HTTP服务器质询客户认证信息和通过客户提供认证信息。HTTP 401(未授权)响应消息用于由原始服务器质询用户代理的授权。该响应必须包括WWW认证头字段，其包括至少一个适用于请求的资源的质询(challenge)。HTTP 407(要求代理认证)响应消息用于由代理质询客户的授权，并且必须包括代理认证头字段，其包括至少一个适用于用于请求的资源的代理的质询。然而，该基本认证方法存在限制。在两种情形，WAP浏览器主管对认证信息提示用户并且对HTTP401或407响应的支持不总是被实现。再一次，在移动电话上键入用户名和密码是使人厌烦的。

用于访问Web服务的另外一个认证方法是基于硬件的，它通过网络执行。在此情形，网络提供认证信息，而移动台国际ISDN号(MSISDN)用于认证用户。在通过网络存取服务器(拨号模式)或者服务GPRS支持结点(GPRS模式)移动设备“附属”IP网络时，分配给设备的IP地址和对应的MSISDN之间的关联由网络维护。该方法存在限制：此认证机制不要求用户输入认证信息，从使用观点看是非常吸引人的。而且，这样的硬件解决方案是非常可靠的。然而，该方法需要GPRS模式的GGSN(网关GPRS支持结点)访问。这使其难于对企业以GPRS模式实现。该实现可通过企业完成，如果承载者(carrier)仅仅向其提供认证信息。

最后一个已知方法是客户证书(certificate)。客户证书是用户的公共密钥(public key)和使用证书授权当局(CA)的私有密钥(private key)加密的用户的身份。通过使用包含在CA的证书中的公共密钥验证用户的证书，已经访问CA的证书的拷贝的服务器可验证用户的证书的认证。无线身份模块(WIM)是用于存储客户证书的手持机上的安全模块。使用此方法的问题在于，绝大多数移动设备还不支持客户证书。这是昂贵而复杂的。

最终，存在使认证在如广泛销售的移动电话的无线设备上实现的需要，其应该避免现有解决方案的缺点。

发明内容

本发明的目的在于提供一种用于从无线设备访问的Web服务的认证的方法和系统。

本发明的第二目的在于具备一种从具有减小密码盘的移动电话易于使用的方法。

本发明的各目的通过一种授权访问方法实现，用于授权访问在环球网上可用的服务，所谓的环球网服务，位于因特网网络的一个地址，从通过网络连接到环球网服务的无线设备进行访问，设备和网络都支持使用用于所述无线设备和环球网服务间的通信的交付确认提供推和拉模式的协议，所述方法包括以下步骤：

从环球网服务收集包括用户无线设备电话号码的用户信息并且在用户数据库中存储它们；

在环球网服务上准备包括环球网服务的唯一签名和令牌标识的令牌；

通过发送包括内容、用户无线设备电话号码和交付确认的请求的推消息，从环球网服务至无线设备推包括说明文字、环球网服务地址和令牌的内容；

在用户无线设备上接收显示在无线设备上的说明文字的推内容；

在环球网服务上接收交付确认并且在用户数据库中存储用户令牌；

如果用户接受无线设备上的说明文字，就在无线设备上存储环球网服务地址和令牌；

用户无线设备发送请求以访问所述环球网服务，所述请求包括在前述步骤期间存储的环球网服务地址和令牌；

环球网服务接收由无线设备发送的请求，在用户数据库中寻找令牌标识；

在环球网服务上检查令牌的签名是否是环球网服务的签名，如果签名正确，就允许用户访问环球网服务。

本发明的各目的还通过这样一种方法实现，其中使用用于所述无线设备和环球网服务间的通信的交付确认提供推和拉模式的协议是WAP版本1.2及其后版本。

本发明的各目的还通过这样一种方法实现，其中准备令牌的步骤还包括在环球网服务支持控制多于一个服务访问的情形中包括环球网服务指示的步骤。

本发明的各目的还通过这样一种方法实现，其中所述从环球网服务至无线设备推包括说明文字、环球网服务地址和令牌的内容的步骤还包括步骤：在推消息中插入由网络使用的消息保持日期以保持消息是有准备的，直到由无线设备执行接收步骤。

本发明的各目的还通过这样一种方法实现，其中所述从环球网服务至无线设备推包括说明文字、环球网服务地址和令牌的内容的步骤还包括用于在推消息中加密令牌并且推加密的令牌的步骤。

本发明的各目的还通过这样一种方法实现，其中无线设备是移动电话。

本发明的方法提供移动电话而非用户的认证。安全水平低于通过用户的移动电话的认证(用户名/用户密码)，然而，对于使用的应用类型它是足够的。

本发明方法的进一步优点是其实施，在完全软件时是容易的，并且仅需要Web服务中的新功能。不需要访问如使用由网络提供认证的方法的、由承载者处理的呼叫电话号码。该解决方法不涉及移动电话中硬件或者软件的变化。

实施该认证方法不像使用客户证书那样昂贵。

最后，该解决方案的另一优点是能够在优选实施例中使用现有的Web访问协议、WAP。

附图说明

通过结合附图阅读下面本发明更具体的描述，本发明的上述和其他目的、特征和优点将会更好地理解，附图中：

图1说明本发明的环境，并且将本发明的实现定位于移动电话和Web服务应用；

图2是本发明的优选实施例的总流程图；

图3是根据该优选实施例的令牌格式的说明；

图4说明通过Web服务认证应用使用和更新的数据库结构；

图5是图2的总流程图的步骤2的详细流程图；其说明处理Web服务中的令牌的算法；

图6是图2的总流程图的步骤1.1的详细流程图；其说明产生Web服务中的令牌的算法；以及

图7是图2的总流程图的步骤1.2的详细流程图；其说明处理Web服务中的交付确认接收的算法。

具体实施方式

如图1所示，优选实施例的方法的环境包括与连接因特网(104)的位于远程Web服务器上的Web服务(102)交换信息的移动电话(101)。移动电话(101)无线连接电信网络(103)以访问因特网网络。为了进行优选实施例的方法，移动电话应能以推和拉的模式访问和与因特网信息和服务交互。当用户设备将对内容的请求通过因特网发送到Web服务并且从Web服务接收内容时，使用拉的模式。在推的模式，Web服务能通过因特网向用户设备推信息。

在优选实施例中，由WAP论坛(WAP论坛是“Wireless ApplicationProtocol Forum Limited”的商标)定义和公布的WAP协议的版本1.2及其后实现和用作为对优选实施例的方法的支持。WAP协议主要提供从无线设备连接到Web服务的支持。通过WAP定义用于作为基于栈的协议栈支持的规范，以允许支持WAP传输协议。这样的协议栈支持(106)的实现包括在图1的移动电话中。WAP提供用于在WAP/Web应用和无线设备间的提供交互的无线应用环境的基础。出于该目的，WAP设备包括支持适合于无线设备的超文本标记语言的WAP微浏览器。这样的微浏览器(105)包括在图1的移动电话中。在该协议栈和WAP应用环境之上，WAP版本1.2定义支持WAP推的规范。WAP支持要求中间WAP代理(也称WAP网关)，其与使用WAP协议的无线设备客户通信，并且与使用标准因特网协议的Web服务器通信。WAP网关提供因特网URL地址管理；它将从WAP设备接收的内容的编码HTTP请求转化为对Web服务器的标准HTTP请求。在另一方向，该WAP网关从Web服务器接收内容(网页)并且将编码内容发送至WAP设备(WAP页)。关于WAP的后来版本，版本2.0，WAP网关不再需要，因为本发明的方法的优选实施例中使用WAP网关，而在无线设备中能进行直接的HTTP支持。在所有实施WAP推的移动电话时，图1的移动电话包括消息邮箱(107)，表示与较好定义的接口耦合以支持消息存储能力的永久存储、和URL书签存储和检索。图1的移动电话是支持如用WAP协议定义的WAP推功能的移动电话。未表示在图1中的推代理网关(PPG)在Web服务和移动电话间的推模式中提供通信。当Web服务将WAP推发送至它的无线设备客户时，网络的PPG和消息传递设施将WAP推适配于无线设备并且将推的消息转发给它。WAP推中的Web服务将指定将接收WAP推、也许是请求消息传递设施的其它可选使能(enablement)功能和推内容的无线设备的电话号码(MSISDN)。由无线设备消息邮箱接收的推内容包括说明文字、创作者Web服务的URL和推参数。说明文字显示在无线设备屏幕上，并且如果用户认可，就在无线设备的消息邮箱存储中存储URL和参数。在任何时间用户发送请求以访问Web服务的URL时，发送的请求总是包括URL和参数。

图1中未显示的WAP网关位于因特网网络中或更通常地位于通信网络中。WAP网关提供在Web服务器上操作的Web服务(102)和移动电话(101)间的推模式通信。PPG提供在Web服务器上操作的Web服务(102)和移动电话(101)间的推模式通信。当使用Wap推功能时，作为SMS送信人服务的某消息传递设施(109)显示在图1中，因为它由与PPG接口的电信网络提供。未在图1中显示，当由移动电话客户请求时，Web内容服务器连接Web服务在其上收集内容的因特网。

指定此环境，该优选实施例的方法实现为能被定位在操作Web服务的Web服务器上的认证应用(108)。如在下文中描述地，该优选实施例的认证应用使用WAP推功能。用箭头表示的数据流显示由Web服务启动的WAP推(110)，以及分别在客户和Web服务(111)间“请求内容，URL”和“内容”的交换。

图2是本发明的优选实施例的认证方法的总流程图；为了解决用户在GPRS模式键入认证信息具有的问题，提出以下解决方案。围绕以下原理，组织该解决方案：

-服务器使用由客户发送的认证信息(认证令牌)认证用户。

-使用由服务器已知的唯一密码，产生认证令牌。

-在WAP推消息中，通过空中散发认证令牌。

-认证令牌存储在移动设备的服务收件箱消息中。

-经由WAP推消息的URL将认证令牌关联于服务器。

步骤1(200)是配置阶段。服务器为给定用户产生认证令牌，以及由服务器提供的服务的URL。一旦用户要利用此认证服务，或在用户订阅(subscription)时或在由用户选择的任意时间，这就能完成。认证令牌包括MSISDN(移动站集成数字网络)-用户的电话号码或对用户唯一的其它信息。一旦服务器产生认证令牌，就由服务器经由WAP推消息散发它到移动设备。此交付机制给出一个好的置信度，只有具有MSISDN的用户而不是其它用户会得到认证信息。然后用户在移动设备上保存WAP推消息。只有移动设备的用户可在移动设备上访问该信息。这样结束配置阶段。

在图2中，由Web服务处理步骤1.1(201)。该步骤在没有对终端用户移动电话的状态(它能在在通信中切断、接通等)的任何假定下完成。使用用户订阅信息建立令牌，该订阅信息从用户或另一源通过多种接口得到，如邮件、电子邮件、电话呼叫等。使用WAP推通过位于在通信网络和电信提供商的消息传递设施中的PPG发送令牌到终端用户。允许Web服务与终端用户移动电话通信的、在电信提供商网络内需要的消息传递设施的描述在本发明的范围之外。在本发明的优选实施例中，为了建立令牌和订阅信息必要的信息，存储在由Web服务维护的永久存储器中，如数据库或平面文件(flatfile)。在图3中提供令牌的描述，在图4中提供数据库的描述。使用消息传递设施功能，有关直到消息保存在电信网络中为止的时间的信息加入WAP推消息中，以允许电信网络在某一时间期间重试消息发送。同样由终端用户接收消息后，Web服务请求确认交付，以确保消息已交付到手机。

在图2中，步骤1.2(202)由移动电话处理。由WEB服务发送并且由PPG以及通信网络的消息传递设施处理的WAP推消息在终端用户移动电话的消息邮箱中接收，由终端用户接受(通过移动电话键盘)并且存储在移动永久存储器中。注意，在步骤1.1中产生的令牌也存储在设备中并且关联于对应的服务URL。如果用户不接受消息，那么他不能利用本发明的优势。

步骤2(203)是访问阶段。一旦配置移动设备，现在用户就可使用在设备上存储的WAP推消息，访问服务器。移动设备使用在WAP推消息中指定的URL连接服务器并且提供认证令牌。为了附加的安全，可以使用WTLS和SSL加密在移动客户和服务器间的会话。服务器使包括在令牌中的接收的认证信息有效并且认证用户。这样就结束了访问阶段。可以多次重复访问阶段而不经过预先配置阶段并且多个服务可使用此解决方案认证同一用户。取得的安全水平小于客户认证解决方案，但比基本或表格认证方法更用户友好。

图2的步骤2.1(204)在终端用户设备上处理。用户愿意访问服务。他首先连接服务提供商网络。该公知步骤在本发明的范围之外。

图2的步骤2.2(205)在终端用户设备和Web服务上处理。用户首先点击服务URL。由微浏览器通过电信网络发送请求到服务。请求包括在步骤1.2(202)中存储的令牌。该令牌由Web服务使用以认证终端用户设备(以及通过扩充，拥有该设备的终端用户)。为此Web服务认证应用分析令牌，使签名生效，提取认证信息并且使用该信息在数据库中检索用户个人信息，从而认证该用户。

图2的步骤2.3(206)在Web服务上处理。允许用户访问个人化信息。该公知步骤在本发明的范围之外。

图3是依据本优选实施例的令牌格式(300)的说明；它包括作为由应用产生的一串字符或数字的令牌标识(301)以及可选的服务标识(302)。它可以被提出以识别哪些服务在Web服务支持多个服务(每服务认证)的情形。它也包括作为令牌标识(301)和服务标识(302)的消息摘要的加密的签名(300)。由Web服务产生的秘密的唯一密钥用于编码/译码算法。

图4描述由Web服务认证应用维护的数据库(400)结构；数据库包括用户信息(401)：

-用户标识

-令牌标识

-用户简表(profile)

注意，由认证应用录入和使用的用户信息也能由Web服务的其它部分录入和使用。仅仅令牌的读取更新由认证应用执行。实施本优选实施例的认证方法的本领域技术人员将选择由Web服务维护的现有数据库，用于认证应用维护新数据令牌的其它目的，或将选择具有只由认证应用维护和使用的Web服务中的分开的数据库。

图6是图2的总流程图的步骤1.1(201)的详细流程图；其描述产生Web服务内的令牌的算法。为了配置新用户，认证应用开始产生令牌(601)。在另一实施例中，令牌在被推前可被加密。下面的步骤(602)是建立WAP推。优选实施例使用的WAP推消息是“WAP服务指示”消息，其定义在WAP版本1.2中并且描述在WAP论坛的Web站点上可得的pdf文件“SPEC-Servicelnd-19991108.pdf”中，并且在Open Mobile Alliance Ltd.的版权下可用。WAP推消息包括要到达的移动电话的电话号码(MSISDN)以及交付确认的请求。两者都是执行本优选实施例的方法强制要求的。能在网络中被指定给消息传递设施的其它服务的一个请求是WAP推消息的保持日期(retention date)。Web服务使用交付确认(见下文图7中)。Web服务建立的WAP推消息包括将由移动电话接收的内容，包括说明文字、WEB服务URL以及作为参数发送的令牌。下一步骤(603)是经由将发送内容到消息传递设施的PPG发送内容到移动电话。

如期望的，当移动电话接收刚描述过的WAP推消息内容时，消息邮箱将说明文字显示给用户。如用户接收，则Web服务URL和令牌将存储在消息邮箱永久存储器中。在任何时间，当用户将请求访问对应的Web服务时，请求将总是包括Web服务URL和令牌。

图7是图2的总流程图的步骤1.2(202)的详细流程图；一接收到Web服务内的交付确认回执(receipt)，就由认证应用进行步骤701。它是通过在对应用户的记录中插入令牌标识来更新用户信息的数据库。

图5是图2的总流程图的步骤2(203)的详细流程图；它描述通过处理认证应用内的令牌的用户的认证的算法；接收HTTP请求后，就从因特网消息提取(500)令牌。如果令牌不是在该消息中(对测试501回答不)，应用以用户未认证的返回码结束。Web服务能决定拒绝用户。如果令牌在消息中存在(对测试501回答是)，就读取令牌。如果签名无效(重新计算消息摘要并且将它与曾译码的接收的令牌中找到的签名比较)(对测试503回答不)，应用以用户未认证的返回码结束。如果签名有效(对测试503回答是)，令牌的内容与数据库的一对应的记录相配(504)。如果一记录在认证用户的数据库中找到(对测试505回答是)，认证应用接受以提供Web服务的访问。如果没有找到记录，应用以用户未认证的返回码结束。

Claims

1.一种授权访问方法，用于授权访问在环球网上可用的服务，所谓的环球网服务，位于因特网网络的一个地址，从通过网络连接到环球网服务的无线设备进行访问，设备和网络都支持使用用于所述无线设备和环球网服务间的通信的交付确认提供推和拉模式的协议，所述方法包括以下步骤：

2.根据权利要求1所述的方法，其中使用用于所述无线设备和环球网服务间的通信的交付确认提供推和拉模式的协议是WAP版本1.2和2.0。

3.根据权利要求1或2所述的方法，其中准备令牌的步骤还包括在环球网服务支持控制多于一个服务访问的情形中包括环球网服务指示的步骤。

4.根据权利要求1所述的方法，其中所述从环球网服务至无线设备推包括说明文字、环球网服务地址和令牌的内容的步骤还包括步骤：在推消息中插入由网络使用的消息保持日期以保持消息是有准备的，直到由无线设备执行接收步骤。

5.根据权利要求1所述的方法，其中所述从环球网服务至无线设备推包括说明文字、环球网服务地址和令牌的内容的步骤还包括用于在推消息中加密令牌并且推加密的令牌的步骤。

6.根据权利要求1所述的方法，其中无线设备是移动电话。