CN101076033A - 存储认证证书的方法和系统 - Google Patents

存储认证证书的方法和系统 Download PDF

Info

Publication number
CN101076033A
CN101076033A CNA2007101047058A CN200710104705A CN101076033A CN 101076033 A CN101076033 A CN 101076033A CN A2007101047058 A CNA2007101047058 A CN A2007101047058A CN 200710104705 A CN200710104705 A CN 200710104705A CN 101076033 A CN101076033 A CN 101076033A
Authority
CN
China
Prior art keywords
certificate
access certificate
visit
computer system
host access
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CNA2007101047058A
Other languages
English (en)
Other versions
CN101076033B (zh
Inventor
P·E·哈弗坎
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
International Business Machines Corp
Original Assignee
International Business Machines Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by International Business Machines Corp filed Critical International Business Machines Corp
Publication of CN101076033A publication Critical patent/CN101076033A/zh
Application granted granted Critical
Publication of CN101076033B publication Critical patent/CN101076033B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G—PHYSICS
    • G11—INFORMATION STORAGE
    • G11B—INFORMATION STORAGE BASED ON RELATIVE MOVEMENT BETWEEN RECORD CARRIER AND TRANSDUCER
    • G11B20/00—Signal processing not specific to the method of recording or reproducing; Circuits therefor
    • G11B20/00086—Circuits for prevention of unauthorised reproduction or copying, e.g. piracy
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Signal Processing (AREA)
  • Databases & Information Systems (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Multimedia (AREA)
  • Technology Law (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

本发明提供了一种用于控制对客户端应用访问主机计算机系统所需的主机访问证书的访问的方法、装置和计算机程序产品。在访问受限的目录中存储该主机访问证书。该方法包括：认证从客户端应用接收的目录访问证书。接着，经认证的客户端应用请求该主机访问证书，并且判断该经认证的客户端进程是否被授权访问所请求的主机访问证书，以及如果被授权，则将该主机访问证书提供给该客户端应用。

Description

存储认证证书的方法和系统
技术领域
本发明涉及数据处理领域，并且特别涉及一种存储认证证书的方法和系统。
背景技术
万维网是因特网的多媒体信息获取系统。在Web(网络)环境中，客户端机器使用超文本传输协议(HTTP)来与Web服务器进行通信。Web服务器向用户提供对资源以及对诸如网络服务之类的应用的访问，其中资源可以是可被存储在文件中并被呈现给用户的任何类型的内容，诸如程序文件、媒体文件、文本、图形、图像、声音、视频等等。
在服务器提供所请求的访问之前，客户端应用和/或终端用户必须被认证。这通常通过使用HTTP基本认证协议来完成。如果服务器系统希望保护它的资源，则它可以向客户端系统发出询问，要求该客户端应用提供相关的证书(诸如用户ID和密码)。当该客户端应用是在真人控制之下的网络浏览器时，这能较好地起作用，因为该浏览器可以交互地提示人员提供证书。但是，当该客户端应用是诸如网络服务客户应用之类的纯软件应用而没有在场人员时，该客户端应用可能需要在无人干预下自动地供给证书。虽然可以将证书存储在目录中，但是确保安全地存储证书数据使得它不能被未授权的人员或应用访问是困难的。
本发明目的在于克服这个问题并提供一种用于存储可在无人干预下由客户端程序访问的认证证书的方法和系统。
发明内容
根据本发明的第一方面，提供了一种控制对客户端应用访问主机计算机系统所需的主机访问证书的访问的方法。该方法包括：在访问受限的目录中存储该主机访问证书，从该客户端应用处接收目录访问证书，并认证所接收的目录访问证书。接着，当从该经认证的客户端应用处接收对该主机访问证书的请求时，做出关于该经认证的客户端应用是否被授权以访问所请求的主机访问证书的判断，以及如果被授权，则将该主机访问证书提供给该客户端应用。
在本发明的一个优选的实施例中，该客户端的主机访问证书被存储在轻量级目录访问协议(LDAP)储藏库(repository)的专用区域中。该客户端证书只被分发给其身份已经被认证并且被确定具有访问该证书的授权的LDAP客户端。
使用认证协议，LDAP储藏库被设计成包含安全数据，并且该储藏库内的各区域可以被配置成由访问控制列表来保护。因此，LDAP包含一种用于包含诸如证书之类的敏感数据的理想基础结构。当对该系统进行配置时，管理员针对某个客户端程序以及/或者针对客户端程序的某个用户建立许可，以允许其访问对远端服务器(例如，HTTP服务器)上的资源进行访问时所需的证书。一旦被许可的客户端程序已经被该LDAP服务器所认证，它们可以接着自动地从该LDAP服务器获取必要的证书。
本发明的第二方面提供了一种用于控制对运行在客户端计算机系统上的进程访问主机计算机系统上的资源所需的主机访问证书的访问的数据处理装置，该主机访问证书被存储在目录的访问受限区域中。该数据处理装置包括：接收部件，其用于从该客户端进程接收消息；认证部件，其用于使用从客户端进程接收的目录访问证书来认证客户端进程；以及查询部件，其用于响应于来自经认证的客户端进程的对主机访问证书的请求而在目录中查询所请求的主机访问证书，其中该请求标识该客户端计算机系统的用户，用于判断该经认证的客户端进程的用户是否被授权以访问存储在该目录中的主机访问证书，以及用于在确定该客户端计算机系统的用户被授权访问该主机访问证书的条件下，提供该主机访问证书。
附图说明
参考附图，现在将仅作为示例来描述本发明的各优选实施例，其中：
图1是在其中可以实现本发明的计算机网络的框图；
图2是包括主机、客户端和目录服务器的计算机系统的示意图，其说明根据本发明的优选实施例的交互；
图3a示出根据本发明的示例性实施例的消息流；
图3b示出根据本发明的一个实施例的在用HTTP服务器进行的认证中涉及的步骤；以及
图4示出适合于实现本发明的一个方面的数据处理装置的部件。
具体实施方式
图1示出在其中可以实现本发明的公知的因特网计算机网络10的概念图。该因特网10建立在客户端服务器模型的基础上并且包括可被多个客户端14通过通信网16进行访问的多个服务器12。
图2示出计算机网络25，其包括主机计算机系统、通过通信网16连接到客户端14的Web服务器12。Web服务器12和客户端14的硬件部件被更详细地示出。该Web服务器12主管对Web服务的访问，该Web服务提供被打包成单个实体且向网络发行以供其他程序使用的功能集合，因此支持了在该网络上的能共同操作的机器到机器的交互。该Web服务具有以诸如Web服务定义语言(WSDL)之类的机器可处理的格式来描述的接口。其它系统使用消息以其接口所规定的方式来与该Web服务进行交互。通常使用HTTP来传送这些消息，并且这些消息一般包括与其他Web相关的标准相结合的可扩展的标记语言(XML)。
服务器12包括诸如处理器20、存储器22(例如RAM)、耦合该处理器20和存储器22的总线24、通过I/O控制器28耦合到该处理器20和存储器22的大容量存储设备26(例如磁盘或光盘)、以及网络接口29(诸如常规的调制解调器)之类的常规部件。服务器12通常包括连接到通信网16(例如因特网、内部网或其它网络)的服务器计算机并且在其上安装了网络服务提供者应用40。
客户端14可以是个人计算机或其他数据处理设备，其能够运行诸如服务请求器15之类的网络服务客户应用。服务请求器15可以是人员驱动的浏览器，但是在优选的实施例中其是没有用户接口的程序，诸如另一个Web服务，并且其将被称为客户应用。通常，该网络客户端包括处理器30、存储器32(例如RAM)、耦合该处理器30与存储器32的总线34、通过I/O控制器38耦合到该处理器30和存储器的大容量存储设备36(例如磁硬盘或者光存储盘)、以及网络接口39(例如常规的调制解调器)。存储器32支持许多诸如兼容HTTP的客户应用15之类的因特网访问工具。
客户端14经由LDAP服务器21连接到LDAP目录23(尽管在图2中示出为直接连接的，但是客户端14和LDAP服务器21可以经由通信网来耦合)。
该LDAP服务器21是一种用于控制对LDAP目录区域的访问的数据处理装置。该LDAP服务器21可以包括如在图4中示出的接收部件40、认证部件42以及查询部件44，该LDAP服务器21被配置为使得执行本发明的优选实施例的方法。
根据本发明的优选实施例，访问远端HTTP服务器12上的网络服务所必需的证书被存储在LDAP储藏库17的安全区域中。存储在LDAP内的数据可被保护并且仅对使用特定的LDAP证书绑定到它的用户是可用的。这些证书与使得客户端应用能够访问主机上的资源所需的客户端主机访问证书(例如HTTP证书)不同。
LDAP目录23是这样的目录，其中条目(一般被称为对象)被存储在分层级的目录结构中。LDAP是一种用于查询并修改运行在TCP/IP上的目录服务的网络协议。基于条目的识别名(DN)，将条目组织在类似树的结构中。一个DN是明确地标识单个条目的唯一的名称。DN由一系列相对识别名(RDN)组成。一个DN包括一系列由逗号分隔开的RDN，诸如：cn＝John Smith，ou＝Development，o＝IBM，c＝GB。
每个对象属于至少一个对象类，并且可以包含属性，其被存储在目录中并且与识别名相关联。对象类描述对象的内容和目的。它还包含属性列表，诸如电话号码或姓氏，其可以被定义在那个类的对象中。通常，属性名是帮助记忆的字符串，像“cn”用于通用名、“c”用于国家、“o”用于组织、“ou”用于组织单元。用基于模式语言来描述这种严格分层级命名结构和可与每个对象相关联的属性，并且将这些模式自身存储在该储藏库中。属性可被分配安全属性和访问控制列表，使得某些属性只能被授权的人员或进程提取。该LDAP协议包含用于搜索该储藏库以及提取符合搜索标准的对象属性的服务。
下面，表1列出了一些通用模式(对象类以及它们所需的属性)。在许多情况下，条目可以包括多于一个的对象类。
    对象类     描述     所需的属性
    InetOrgPerson     定义针对个人的条目     commonName(cn)surname(sn)objectClass
    organizationalUnit     定义针对组织单元的条目     OuobjectClass
    Organization     定义针对组织的条目     OobjectClass
现有的公布的LDAP模式定义了分别具有属性uid(用户ID)和userPassword(用户密码)的对象类account和simpleAuthObject，并且其可被用于LDAP认证，而且通过定义包含具有这些属性的对象的识别名结构，其还可用于存储HTTP证书。
有助于构建用于存储HTTP证书的结构的另一个对象类是具有属性labeledURI的labeledURIobject，其可包含目标HTTP系统的URL(统一资源定位符)。
现在参考图3a和3b，将描述一种根据本发明的优选实施例的用网络服务17认证服务请求器客户端应用15的方法。在所示例子中，该服务请求器15首先向该驻留在HTTP服务器12上的主机服务发送300请求〔1〕，HTTP服务器12以关于该客户端应用的HTTP证书的询问〔2〕进行应答302。
询问〔2〕以具有附带WWW-认证头的HTTP 401错误响应的形式到来。该WWW-认证头包含安全领域的名称，该安全领域是其中所请求的证书为有效的上下文。(原则上，服务器可包含其中不同的证书集合可以为有效的若干不同领域，并且安全领域的名称提示该客户端所期望的是哪些证书。)该客户端应用接着必须获取所请求的HTTP证书(用户ID和密码)，该证书被安全地存储在该LDAP目录23内。
为了获取对这些的访问，该客户端应用15必须首先建立与该LDAP服务器21的会话，也被称为绑定到该LDAP服务器。该LDAP服务器侦听位于该客户端应用向之提出其请求的特定的主机名/IP地址以及TCP/IP端口号处的流量。该客户端应用通过消息〔3〕的方式向该LDAP服务器标识其自身，该消息〔3〕包括被它发送304给该LDAP服务器的它的LDAP证书，即DN和密码。该DN的例子可以是：cn＝clientapplication。如果该客户端应用所发送的DN和密码与存储在该目录中的针对那个DN的密码相匹配，则该LDAP服务器认为该客户端应用经过了认证，也就是该LDAP服务器通过针对所命名的对象中的用户密码属性检查所接收的密码来认证所接收的LDAP证书。如果这些相匹配，则该LDAP服务器发送306通信〔4〕给该客户端应用，指示会话已被建立。否则，发送308失败消息。
一旦该会话已被建立，则该客户端应用可以向该LDAP服务器查询〔5〕312该HTTP证书。通过使用访问控制列表(ACL)来保证这些操作的安全，并且该LDAP服务器将通过检查来明确该经认证的客户端应用是否被授权访问所请求的区域。ACL了描述目录的用户和包含在该目录里面的对象之间的关系，并且控制该用户是否可以读或写该目录内的对象。因此，ACL被用于确保只有已利用已知目录访问证书(例如LDAP证书)绑定到该LDAP服务器上的用户将被给予对包含在该LDAP服务器内的主机访问(例如，HTTP)证书的访问。
用于访问该LDAP服务器的LDAP证书与要从该LDAP服务器中提取的HTTP证书不同。该LDAP证书通常包括InetOrgPerson对象的识别名和相关联的密码。从该目录中提取的HTTP证书是simpleAuthObject的uid和userPassword属性，其通过以上技术中的任何一种来标识。
在系统配置期间，LDAP管理员将已经定义了一个或多个ACL，其允许该HTTP客户端系统的管理员将HTTP证书写入该LDAP目录，并且其允许该HTTP客户端系统的用户(或应用)从该LDAP目录读取HTTP证书。这些ACL被定义为使得没有其他用户能够读取该HTTP证书。
如果该LDAP服务器确定314该客户端应用被授权以访问该HTTP证书，则将这些HTTP证书返回〔6〕316给该客户端应用。否则，返回318失败消息。
该客户端接着在HTTP认证头中将该HTTP证书发送〔7〕320给该HTTP服务器12。该主机服务器接着认证322所接收的HTTP证书，并且如果发现这些是真实的则该主机服务器将所请求的服务或者资源提供〔8〕324给该客户端应用。否则，返回326失败消息。
如图3a中所示，该主机服务器12可以位于防火墙的后面以获得附加的安全。优选地，该LDAP服务器位于与该客户端计算机系统相同的安全域内，以允许由该客户端应用对该LDAP服务器进行直接访问。
通常，该客户端计算机系统可以被任何数量的用户使用，这些用户必须首先登录到该计算机的操作系统，以便获取对可以运行在该客户端计算机系统上的进程和应用的访问。该客户端进程一般是在该客户端计算机系统的这种已授权用户的控制下建立的，该已授权用户接着可以让该计算机系统独自执行所请求的任务/进程而不加干涉。该客户端进程所提供的该目录访问证书由此可以是该客户端计算机系统的用户的那些证书，或者可以是专用于该客户端进程自身的证书。
该储藏库可以包含客户端进程可被授权访问的多个主机访问证书，并且这些主机访问证书可以每个都与不同用户相关联以及/或者可以用于对不同资源的访问。因此，从经认证的客户端应用对该LDAP服务器的查询可能需要包括标识所需的特定证书的信息(例如涉及哪个用户/服务)。该查询采用DN的形式，DN命名了包含所需的证书的对象。在上面所描述的关于图3a和3b的情形中，其中客户端系统已尝试连接到HTTP服务器并且已经被要求提供与特定领域相关联的证书，则可以使用识别名realm＝realm-name，labeledURI＝target-URL，cn＝Basicauth来定位该证书。
下面的其他情形可以应用：
1)当经认证的客户端应用想发送主动提供的证书给目标主机服务器而不考虑该服务器的安全领域或该客户端应用的当前身份时，可以使用识别名labeledURI＝target-URL，cn＝Basicauth来定位该证书。
2)当经认证的客户端应用想发送主动提供的证书给目标系统，但是可能想基于执行该客户端应用的用户的当前身份来发送不同的证书时，可以使用识别名cn＝client-identity，labeledURI＝target-URL，cn＝Basicauth来定位该证书。
3)当经认证的客户端应用已经尝试连接到HTTP服务器并且已经被要求提供与特定领域相关联的证书，并且该客户端想基于执行该客户端应用的用户的当前身份来发送证书时，可以使用识别名cn＝client-identity，realm＝realm-name，labeledURI＝target-URL，cn＝Basicauth来定位证书。
在所有这些情形中，在其中将所需的HTTP证书存储在该LDAP目录中的对象具有属性uid和userPassword。一旦该HTTP客户端已经绑定到具有恰当的LDAP证书的LDAP服务器，它基于它已经获得的搜索参数，使用以上形式之一的识别名来完成LDAP搜索操作。所返回的uid和userPassword接着被用于组成所需的HTTP授权头，其与下一个HTTP请求一起被发送给该主机服务器。
至此所描述的本发明的实施例可以至少部分地使用诸如微处理器、数字信号处理器或其他处理设备、数据处理装置或系统之类的软件控制的可编程处理设备来实现，应该理解：一种用于配置可编程设备、装置或系统以实现前述方法的计算机程序被认为是本发明的一个方面。例如，该计算机程序可以具体体现为源代码或经过编译以便在处理设备、装置或系统上实现，或者可具体体现为目标代码。
合适地，该计算机程序以机器或设备可读取的形式存储在载体介质上，例如固态存储器、诸如磁盘或磁带之类的磁存储器、诸如光盘或数字多功能盘之类的光或磁光可读存储器等等，并且该处理设备利用该程序或该程序一部分来对它进行配置以便操作。该计算机程序可以具体体现在诸如电子信号、射频载波或光载波之类的通信介质中从远端源来提供。这种载体介质也被认为是本发明的一个方面。
本领域的普通技术人员将理解，尽管已经针对前面的示例性实施例描述了本发明，但是本发明并不受限于此并且在本发明的范围内可以做许多变型和修改。
所公开的范围包括任何新颖特征或特征的组合。因此，在进行本申请或者从其导出的任何这种进一步的申请期间，申请人注意到，对于这种特征或者特征的组合可阐述成新的权利要求。特别地，参考所附权利要求书，来自从属权利要求的特征可以与独立权利要求的特征进行组合，以及来自各独立权利要求的特征可以以任何恰当的方式进行组合而不仅仅是在权利要求书中所列举出的特定组合。
为了避免造成疑惑，在整个说明书和权利要求书中所使用的术语“包括”不应该解释为“仅包括”的意思。

Claims (12)

1.一种控制对客户端计算机系统上运行的进程访问主机计算机系统上的资源所需的主机访问证书的访问的方法，所述方法包括步骤：
在访问受限的目录中存储所述主机访问证书；
从所述客户端进程接收目录访问证书；
认证所述接收的目录访问证书；
从所述经认证的客户端进程接收对所述主机访问证书的请求，所述请求标识所述客户端计算机系统的用户；
判断所述客户端计算机系统的用户是否被授权访问存储在所述目录中的所述主机访问证书；以及
响应于确定所述客户端计算机系统的用户被授权访问所述主机访问证书，将所述请求的主机访问证书提供给所述经认证的客户端进程。
2.根据权利要求1所述的方法，其中所述在访问受限目录中存储所述主机访问证书的步骤包括：
从目录管理员处接收目录访问证书；
认证所述接收的目录管理员证书；
从所述经认证的目录管理员处接收所述主机访问证书和相关联的访问控制列表；
将所述主机访问证书存储在所述目录中，并存储所述相关联的访问控制列表。
3.根据权利要求1所述的方法，其中所述判断所述客户端计算机系统的用户是否被授权访问所述主机访问证书的步骤包括将所述用户的身份与访问控制列表进行比较。
4.根据权利要求2或3所述的方法，其中所述访问控制列表定义被授权访问所述主机访问证书的用户的列表。
5.根据前述任意一项权利要求所述的方法，包括：响应于来自所述主机计算机系统对所述主机访问证书的询问，请求来自所述目录的所述主机访问证书。
6.根据前述任意一项权利要求所述的方法，还包括将所述主机访问证书发送给所述主机计算机系统。
7.根据前述任意一项权利要求所述的方法，其中所述客户端计算机系统的用户是所述经认证的客户端进程。
8.根据前述任意一项权利要求所述的方法，还包括发送请求以认证所述客户端进程，所述请求标识所述储藏库内的条目和密码。
9.根据权利要求8所述的方法，其中所述认证所述客户端进程的步骤包括判断所述接收的密码是否与存储为所述被标识的储藏库条目的属性的密码相匹配。
10.一种用于控制对客户端计算机系统上运行的进程访问主机计算机系统上的资源所需的主机访问证书的访问的数据处理装置，所述主机访问证书被存储在访问受限的目录区域中，所述数据处理装置包括：
接收部件，其用于从所述客户端进程接收消息；
认证部件，其用于使用从客户端进程接收的目录访问证书来认证客户端进程；以及
查询部件，其用于响应于来自经认证的客户端进程的对所述主机访问证书的请求而在所述目录中查询所请求的主机访问证书，其中所述请求标识所述客户端计算机系统的用户，用于判断所述经认证的客户端进程的用户是否被授权访问存储在所述目录中的主机访问证书，以及用于在确定所述客户端计算机系统的用户被授权访问所述主机访问证书的条件下，提供所述主机访问证书。
11.根据权利要求10所述的数据处理装置，其被配置为：
从目录管理员处接收目录访问证书；
认证所述接收的目录管理员证书；
从所述经认证的目录管理员处接收主机访问证书和相关联的访问控制列表；以及
将所述主机访问证书存储在所述目录中，并存储所述相关联的访问控制列表。
12.一种控制对客户端计算机系统上运行的进程在访问主机计算机系统上的资源所需的主机访问证书的访问的计算机程序产品，所述计算机程序产品包括其上具有用于执行根据权利要求1至9中任意一项所述的方法的计算机可执行指令的计算机可用介质。
CN2007101047058A 2006-05-20 2007-04-24 存储认证证书的方法和系统 Expired - Fee Related CN101076033B (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
GBGB0610113.3A GB0610113D0 (en) 2006-05-20 2006-05-20 Method and system for the storage of authentication credentials
GB0610113.3 2006-05-20

Publications (2)

Publication Number Publication Date
CN101076033A true CN101076033A (zh) 2007-11-21
CN101076033B CN101076033B (zh) 2011-11-09

Family

ID=36660598

Family Applications (1)

Application Number Title Priority Date Filing Date
CN2007101047058A Expired - Fee Related CN101076033B (zh) 2006-05-20 2007-04-24 存储认证证书的方法和系统

Country Status (3)

Country Link
US (1) US8719948B2 (zh)
CN (1) CN101076033B (zh)
GB (1) GB0610113D0 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103098414A (zh) * 2010-09-07 2013-05-08 西门子公司 用于基于证书进行认证的方法
CN110113360A (zh) * 2013-11-11 2019-08-09 亚马逊技术有限公司 用于访问多个计算资源服务的单组证书

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101467174B1 (ko) * 2007-08-16 2014-12-01 삼성전자주식회사 통신 수행 방법 및 그 장치와, 통신 수행 제어 방법 및 그장치
US8166072B2 (en) 2009-04-17 2012-04-24 International Business Machines Corporation System and method for normalizing and merging credential stores
US8479268B2 (en) 2009-12-15 2013-07-02 International Business Machines Corporation Securing asynchronous client server transactions
US8555067B2 (en) * 2010-10-28 2013-10-08 Apple Inc. Methods and apparatus for delivering electronic identification components over a wireless network
US9122858B2 (en) * 2011-11-09 2015-09-01 Cerner Innovation, Inc. Accessing multiple client domains using a single application
US9747386B1 (en) * 2012-08-10 2017-08-29 Amazon Technologies, Inc. User-perceived performance through browser hints
US9544312B2 (en) 2012-10-30 2017-01-10 Citigroup Technology, Inc. Methods and systems for managing directory information
US10404716B2 (en) * 2017-02-13 2019-09-03 Microsoft Technology Licensing, Llc Data classification and access control for cloud based data
US11244040B2 (en) * 2019-07-30 2022-02-08 International Business Machines Corporation Enforcement of password uniqueness

Family Cites Families (24)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6601761B1 (en) * 1998-09-15 2003-08-05 Citibank, N.A. Method and system for co-branding an electronic payment platform such as an electronic wallet
US6606663B1 (en) * 1998-09-29 2003-08-12 Openwave Systems Inc. Method and apparatus for caching credentials in proxy servers for wireless user agents
US7194554B1 (en) * 1998-12-08 2007-03-20 Nomadix, Inc. Systems and methods for providing dynamic network authorization authentication and accounting
US6584505B1 (en) * 1999-07-08 2003-06-24 Microsoft Corporation Authenticating access to a network server without communicating login information through the network server
CA2388623C (en) * 1999-10-22 2010-06-22 Nomadix,Inc. Systems and methods for redirecting users attempting to access a network site
US6950819B1 (en) * 1999-11-22 2005-09-27 Netscape Communication Corporation Simplified LDAP access control language system
US20020116648A1 (en) * 2000-12-14 2002-08-22 Ibm Corporation Method and apparatus for centralized storing and retrieving user password using LDAP
US6633872B2 (en) * 2000-12-18 2003-10-14 International Business Machines Corporation Extendible access control for lightweight directory access protocol
US7016897B2 (en) * 2000-12-29 2006-03-21 International Business Machines Corporation Authentication referral search for LDAP
US20020162004A1 (en) * 2001-04-25 2002-10-31 Gunter Carl A. Method and system for managing access to services
US20030005308A1 (en) * 2001-05-30 2003-01-02 Rathbun Paul L. Method and system for globally restricting client access to a secured web site
US7167918B2 (en) * 2001-10-29 2007-01-23 Sun Microsystems, Inc. Macro-based access control
WO2003038669A1 (en) * 2001-11-01 2003-05-08 Sun Microsystems, Inc. Directory request caching in distributed computer systems
US7350075B1 (en) * 2002-01-28 2008-03-25 Network Appliance, Inc. Method for autoconfiguration of authentication servers
US20030177364A1 (en) * 2002-03-15 2003-09-18 Walsh Robert E. Method for authenticating users
EP1488606B1 (en) * 2002-03-20 2006-11-08 Research In Motion Limited Mobile access to lightweight directory access protocol (LDAP)
US7523490B2 (en) * 2002-05-15 2009-04-21 Microsoft Corporation Session key security protocol
DE10248165A1 (de) * 2002-10-16 2004-05-06 Bayer Ag Verfahren zur Abtrennung von Restmonomeren und Oligomeren aus Polycarbonat
US7571180B2 (en) * 2003-06-27 2009-08-04 Attachmate Corporation Utilizing LDAP directories for application access control and personalization
FI120021B (fi) * 2003-08-27 2009-05-29 Nokia Corp Valtuustiedon hankkiminen
US8364957B2 (en) 2004-03-02 2013-01-29 International Business Machines Corporation System and method of providing credentials in a network
US20060092948A1 (en) * 2004-10-28 2006-05-04 Microsoft Corporation Securing lightweight directory access protocol traffic
US7577132B2 (en) * 2004-10-28 2009-08-18 Microsoft Corporation User interface for securing lightweight directory access protocol traffic
US20060282678A1 (en) * 2005-06-09 2006-12-14 Axalto Sa System and method for using a secure storage device to provide login credentials to a remote service over a network

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103098414A (zh) * 2010-09-07 2013-05-08 西门子公司 用于基于证书进行认证的方法
CN103098414B (zh) * 2010-09-07 2016-04-27 西门子公司 用于基于证书进行认证的方法
US9544298B2 (en) 2010-09-07 2017-01-10 Siemens Aktiengesellschaft Method for certificate-based authentication
CN110113360A (zh) * 2013-11-11 2019-08-09 亚马逊技术有限公司 用于访问多个计算资源服务的单组证书
CN110113360B (zh) * 2013-11-11 2022-03-08 亚马逊技术有限公司 用于访问多个计算资源服务的单组证书

Also Published As

Publication number Publication date
CN101076033B (zh) 2011-11-09
US20070289001A1 (en) 2007-12-13
US8719948B2 (en) 2014-05-06
GB0610113D0 (en) 2006-06-28

Similar Documents

Publication Publication Date Title
CN101076033B (zh) 存储认证证书的方法和系统
US7827318B2 (en) User enrollment in an e-community
US6609198B1 (en) Log-on service providing credential level change without loss of session continuity
US7770204B2 (en) Techniques for securing electronic identities
JP4782986B2 (ja) パブリックキー暗号法を用いたインターネット上でのシングルサインオン
US6691232B1 (en) Security architecture with environment sensitive credential sufficiency evaluation
US6892307B1 (en) Single sign-on framework with trust-level mapping to authentication requirements
CA2489303C (en) Managing secure resources in web resources that are accessed by multiple portals
EP2359576B1 (en) Domain based authentication scheme
US7954144B1 (en) Brokering state information and identity among user agents, origin servers, and proxies
US7451217B2 (en) Method and system for peer-to-peer authorization
US6668322B1 (en) Access management system and method employing secure credentials
US20020147929A1 (en) Access control for distributed content servers
US20020184507A1 (en) Centralized single sign-on method and system for a client-server environment
KR20030048118A (ko) 웹 기반의 교차 도메인 단일 사용 승인의 인증 방법 및시스템
CN1820481A (zh) 在客户机－服务器环境中认证客户机的系统和方法
US20100031317A1 (en) Secure access
CN1783780A (zh) 域认证和网络权限认证的实现方法及设备
US20030226037A1 (en) Authorization negotiation in multi-domain environment
US11374938B2 (en) Database-agnostic secure structured database connector

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20111109

CF01 Termination of patent right due to non-payment of annual fee