CN101145914B - 具有多个连接的安全令牌接入设备的安全信息自动管理 - Google Patents

Abstract

一种在接入设备上实施的安全令牌接入设备和方法，用于自动管理安全信息。接入设备能够与多个用户设备进行无线通信，并且可以与多个用户设备中的至少一个安全配对。接入设备保持连接信息，所述连接信息包括针对于与接入设备安全配对的每个用户设备的安全信息。接入设备从与接入设备安全配对的用户设备的集合中指定主要用户设备，并确定主要用户设备是否与接入设备通信。如果主要用户设备没有与接入设备通信，则接入设备自动地清除与接入设备安全配对的每个用户设备的所有安全信息。

Description

具有多个连接的安全令牌接入设备的安全信息自动管理

技术领域

本发明通常涉及安全令牌接入设备，特别地，涉及在安全令牌接入设备中安全信息的自动管理，该安全令牌接入设备能够保持与多个用户设备的连接。

背景技术

安全令牌是一种用于到认证该系统或设备的计算机、通信系统或设备的用户的物理设备。安全令牌可以包括用于存储财务或个人数据、或私人数据的存储器，私人数据诸如在S/MIME(安全的多用途互联网邮件扩展)加密技术中使用的私有密钥。优选地，这些数据中的一些可以使用PIN(个人标识号)或口令作为接入控制措施以得到保护，因此用户必须在存取令牌存储器中存储的受保护数据之前提供正确的PIN或口令来被验证安全令牌。安全令牌的通常类型是智能卡(smartcard)，也被称作芯片卡(chip card)或集成电路卡，其典型地与智能卡接入设备联合地使用，该智能卡接入设备带有嵌入的集成电路(诸如微处理器和/或存储器)，用作机密数据或用户认证的存储。安全令牌的应用在现有技术中是已知的。

一些安全令牌与诸如读取器或读/写设备的、在安全令牌和用户设备之间建立通信连接的接入设备结合使用。接入设备可以存储和保持关于有效通信链路的信息，诸如用户设备的地址、配对信息和秘密密钥等。需要可以包括配对信息的安全信息，以在接入设备和用户设备之间具有安全连接。如果安全信息不存在，则在用户设备可以从安全令牌接收数据或发送数据至安全令牌之前，必须首先建立安全配对。

然而，接入设备典型地依赖于与连接设备的专用连接，诸如在用户设备和接入设备之间的通用串行总线(USB)连接，或者在接入设备和单个连接设备之间的无线通信链路。因此，安全令牌接入设备实际上被专用于单个用户设备，并且在没有首先服务于第一设备和安全令牌接入设备之间的连接的情况下，不能与另一个用户设备结合使用而。对于使用多个用户设备(例如个人计算机和移动通信设备)、并且需要使用安全令牌和具有多个用户设备的接入设备以执行与用户设备的安全操作(诸如从用户设备发送数字签名电子消息)的用户来说，这是不方便的。

发明内容

因此需要提供一种系统和方法，由此多个用户设备可以使用安全令牌接入设备。还需要提供一种自动管理接入设备上安全信息的方法。

附图说明

在图中，仅仅通过示例阐释了优选的实施方式，

图1是包括多个用户设备、安全令牌和安全令牌接入设备的系统的示意图。

图2是图1的接入设备、移动通信设备和计算设备的框图。

图3是表示由图1的接入设备所存储的连接信息的表。

图4是在图1的实施方式中使用的移动通信设备的框图。

具体实施方式

参照图1，示出了用在下面描述的实施方式中的示例性系统的概观。本领域技术人员可以理解，可以有多个不同拓扑，但是在图1中示出的系统有助于示范系统的操作和在本申请中描述的方法。例如，可以有在图1的简单概观中未示出的多个用户设备连接到系统。

图1示出了第一用户设备，这里示出为个人计算机10；第二用户设备，这里示出为第二个人计算机20；第三用户设备，这里示出为个人数字助理30；和第四用户设备，这里为移动通信设备100。本领域技术人员可以理解，这些设备此处可以被称为计算设备或通信设备，并且可以具有针对以下的主要功能：通过网络的数据或语音通信、数据存储或数据处理、或者个人操作或生产应用程序；本领域技术人员可以理解，诸如“通信设备”、“计算设备”或“用户设备”的术语可以互换地使用。

例如，这些用户设备的每个可以被连接至互联网服务提供商，图1的系统的用户、或与图1中阐释的每个用户设备相关联的用户在互联网服务提供商处具有账户。图1的系统可以位于公司内，可能连接至局域网，并连接至互联网或另一个广域网，或通过大应用业务提供商连接至互联网或其它网络。网络连通的其它特征，诸如局域网、互联网、广域网、无线网关等的基础架构在图1中未示出，但是对于具有本领域普通常识的技术人员是已知的。用户设备，优选是至少移动通信设备100能够经由无线传输(典型地以射频(RF))从无线网络中的基站至用户设备，发送和接收消息和其它数据。具体网络可以是任何无线网络，通过该无线网络可以与诸如移动通信设备100的用户设备交换消息。用户设备可以通过其它方式接收数据，例如通过至用户设备上提供的端口的直接连接，诸如通用串行总线(USB)链路。

用户设备10、20、30、100的每个能够通过有线或无线通信链路与安全令牌接入设备104通信，但是在下面描述的优选实施方式中，在接入设备104和用户设备10、20、30、100之间的通信通过无线通信链路进行。用于无线通信链路106的无线局域网标准的示例的不完全列表包括电气和电子工程师协会(IEEE)用于无线LAN MAC和物理层(PHY)802.11a，b，g和n规范或未来相关的标准、

标准、Zigbee^TM标准等。安全令牌接入设备104可以包括读取设备或读-写设备。因此，例如，如果安全令牌接入设备104是读-写设备，接入设备104可以被配置成不仅从关联的安全令牌读取数据，还向安全令牌写入数据。本领域技术人员可以理解，此处公开的系统和方法包括能够读和写安全令牌的安全令牌接入设备，并且此处描述的实施方式不限于安全令牌读取设备。

此处示出为智能卡108的安全令牌被示出插入至接入设备104。如由国际标准化组织所公开的，智能卡是一种个性化安全设备，由ISO7816标准和它的派生所定义。智能卡可以具有信用卡的外形因素并且可以包括半导体器件。半导体器件可以包括被编程有密钥和认证证书的存储器，还可以包括解密工具，例如处理器和/或专用解密逻辑。智能卡的功能可以被嵌入在一个器件中，所述器件具有不同的外形因素并且能够通过额外的通信协议通信(诸如USB设备)进行通信。

安全令牌108可以包括连接器，用于提供功率给半导体器件并执行与外部设备的串行通信。可以以多个外形因素中的一个来提供接入设备104，包括但不限于：便携式接入设备，例如可以通过挂在用户脖子上的系绳(未示出)将其佩戴在人身上。可选择地，可以以桌面读取器或读写器外形因素来提供接入设备104，或者对于普通技术人员显而易见的、适于安全令牌环境的其它外形因素。

其安全信息存储在安全令牌108上的用户可以使用接入设备104来识别并数字地签名和/或解密由用户设备10、20、30、100发送的消息。例如，用户设备10、20、30、100中的一个或多个能够经由电子邮件服务器(未示出)发送和接收电子邮件消息。用户设备10、20、30、100可以被配置成使用安全多用户互联网邮件扩展(S/MIME)协议，以便使用对称算法利用随机会话密钥来加密在用户设备10、20、30或100接收的电子邮件消息，由电子邮件消息的发送者生成随机会话密钥，且通过接受者(最可能是用户)的公共密钥来加密所述随机会话密钥，并与消息一起发送，同样地使用在用户设备10、20、30或100生成的随机会话密钥来加密从用户设备10、20、30或100发送的消息。在接收到加密电子邮件消息时，用户设备10、20、30或100可以提取加密的会话密钥并优选经由安全通信链路16、26、36或106发送至接入设备104。然后，接入设备104发送加密的会话密钥至安全令牌108，安全令牌108的解密工具可以使用存储在安全令牌108中的接受者的私有解密密钥来解密已加密的会话密钥。接入设备104从安全令牌108取得已解密的会话密钥并将它经由通信链路16、26、36或106转发至用户设备10、20、30或100，以便用户设备可以解密所接收的电子邮件消息。安全令牌108可以通过在允许解密操作进行之前要求在用户设备10、20、30或100上提供的口令或个人标识号(PIN)(并再次验证以完全或以已编码形式存储在安全令牌108上的口令或PIN)来防止接受者的私有解密密钥的未授权使用。

类似地，为了将数字签名加入到由用户设备10、20、30或100发送的电子邮件消息，用户设备可以经由通信链路16、26、36或106发送电子邮件消息的内容的散列至接入设备104。接入设备104将散列传送至安全令牌108，安全令牌108根据散列和存储在安全令牌108中的发送者的私有签名密钥产生数字签名。然后，安全令牌108将数字签名传送至接入设备104，接入设备104将数字签名经由通信链路16、26、36或106转发至用户设备10、20、30或100，以便用户设备可以将数字签名与电子邮件消息一起发送至电子邮件服务器。另外，安全令牌108可以通过在允许签字操作进行之前要求所提供的口令或PIN来防止接受者的私有签字密钥的未授权使用。

如本领域技术人员所理解的，用户设备10、20、30、100中的一个或多个可以被配置成提供加密之外的其它功能，所述功能需要经由接入设备104由安全令牌108进行认证。

图2提供了接入设备104、移动设备100、以及诸如个人计算机10的计算设备的框图。在优选的实施方式中，接入设备104、移动设备100和个人计算机10每个都包括双向RF通信设备，双向RF通信设备具有数据通信能力和可选地语音通信能力。优选地，每个移动设备100和个人计算机10能够经由局域或广域网与其它计算机系统进行通信。

优选地，接入设备104包括处理器326，被配置成执行存储在存储器元件328中的代码329。处理器326和存储器元件328可以被设置在单个应用专用集成电路上，或者处理器326和存储器元件328可以被设置在分离的集成电路或被配置成提供用于分别执行程序指令并存储程序指令和其它数据的功能的其它电路上。处理器连接到安全令牌接口330。存储器328可以包括易失性和非易失性存储器，诸如随机存取存储器(RAM)和只读存储器(ROM)；优选地，诸如密钥和个人标识号(PIN)的机密信息被存储在易失性存储器中。

在接入设备104中设置的代码329可以包括可以被存储在非易失性存储器中的操作系统软件、口令验证代码和特定应用。例如代码329可以包括用于接入设备104的驱动和用于管理驱动的代码和用于使用通信接口324通信的协议栈，通信接口324包括接收器和发送器(未示出)并且连接到天线322。

接入设备104还可以被配置成经由如图1所示的输入装置112和显示器110与用户交互，输入装置112这里被设置为用于由用户操纵的按钮，显示器110这里被设置为用于显示字母数字字符的单行读出。通信接口324还可以包括其它处理装置，诸如数字信号处理器和本地振荡器。接入设备104可以包括电源(未示出)，在便携式安全令牌接入设备的情况中通过至少一个电池或小功率单元(power cell)来提供电源。优选地，接入设备104的电源和外壳被配置成由外壳的拆卸来断开电源，由此清除接入设备104的易失性存储器。接入设备104还可以配置有未示出的其它输出装置，诸如发光二极管(LED)，其可以具有用于指示接入设备104的状态的三个颜色。

移动设备100包括输入装置，在图1中示出为简化键盘114，虽然可选或附加地，还可以设置输入装置，诸如滚轮和按钮。移动设备100还包括输出装置，诸如显示器116；移动设备100还可以配置有扬声器，未示出。移动设备包括连接至通信接口304的天线302，通信接口302依次与处理器306通信。通信接口304可以包括与接入设备104的通信接口324类似的组件，诸如数字信号处理器、本地振荡器、接收器和发送器。处理器306接入存储器元件308，其存储代码309，该代码309包括操作系统软件和专用应用软件以及用于处理通过诸如无线通信链路106的一个或多个通信链路通信的驱动和协议栈。存储器单元308可以包括易失性和非易失性存储器。存储器元件308和处理器306可以被提供在单个专用应用集成电路中，或者可以提供为分离的组件。处理器306可以执行多个控制基本操作的应用，诸如经由通信接口304的数据和语音通信，以及可以在制造期间安装的个人信息管理器和用于编写、编辑、数字签名和加密以及数字地验证和解密消息的电子邮件客户端。

类似地，个人计算机10配备有诸如键盘270的输入设备，并且配备有诸如监视器272的输出装置。如果个人计算机10能够与接入设备104无线通信，则其还可以包括与图2中示出的通信接口278相通信的天线280，类似移动设备100和接入设备104的通信接口，该通信接口278可以包括接收、发送器、数字信号处理器和本地振荡器。个人计算机10可以包括多个数据存储装置，在图2中表示为存储器元件284。存储器284可以包括RAM、ROM和包括硬盘驱动器和可拆卸数字存储介质的其它存储介质；存储器284存储由处理器290执行的代码289。代码289可以包括操作系统软件；用于通信接口278的驱动程序；用于经由通信接口278通信的协议栈；个人信息管理器；和用于构成、编辑、数字签名和加密和数字验证和解密消息的电子邮件客户端。优选地，个人计算机10上的个人信息管理器、电子邮件客户端和其他数据存储单元能够与移动设备100上的类似数据存储单元相兼容。

接入设备104、移动设备100和计算设备10以及其它用户设备20、30的通信接口的特定设计和应用程序依赖于设备意图在其中操作的通信网络。在优选的实施方式中，用户设备10、20、30、100每个都分别经由图1中演示的无线通信链路16、26、30和106(例如依照蓝牙标准)与接入设备104通信。

优选地，为了保证无线通信链路16、26、30和106的安全性，使用配对机制的系统。例如，当用户设备10、20、30或100确定需要安全令牌功能性时，用户设备可以尝试检测邻近安全令牌接入设备104的可用性。如果这是用户设备10、20、30或100第一次尝试连接接入设备104或者在用户设备10、20、30或100和接入设备104之间当前没有之前的无线连接配对存在，则执行无线连接配对的步骤。

在优选的实施方式中，按入设备104在显示器110中显示标识符或接入设备ID，其优选是与接入设备104关联的唯一值。该接入设备ID可以包括接入设备104的媒体接入控制(MAC)地址。例如，通过按压接入设备104上的按钮112，可以显示接入设备ID以响应用户动作。通过尝试与接入设备104配对的用户设备来提示用户经由与用户设备关联的输入装置输入接入设备ID，从而存储在存储器308或284中。因此，这个步骤识别了连接的用户设备10、20、30或100，其接入设备104将通过用户设备10、20、30或100被用于安全功能。

一旦在用户设备10、20、30或100上输入接入设备ID，连接用户设备10、20、30或100可以从接入设备104请求支持的加密协议和算法的列表；然后，接入设备104可以创建支持的协议和算法的列表并将它发送至连接用户设备。然后，连接用户设备10、20、30或100选择连接用户设备所支持的加密算法，并发送指令至接入设备104以使用对于将来过程所选择的算法，诸如下面描述的无线和安全配对、以及在设备之间的未来消息加密。

接下来，在接入设备104和连接用户设备10、20、30或100之间交换安全值。接入设备104被配置成显示该安全值，例如PIN；PIN被用户读取并在连接用户设备10、20、30或100上输入。接入设备104可以被配置成显示PIN，一旦按钮112被驱动，例如，连接用户设备10、20、30或100可以被配置成提示用户按压接入设备104上的按钮112，并输入由接入设备104显示的新值。这完成无线连接配对；连接用户设备10、20、30或100因此存储由接入设备104提供的接入设备ID和PIN，例如存储在易失性存储器中。在优选的实施方式中，接入设备104和连接用户设备10、20、30或100从因此在接入设备104和用户设备10、20、30或100之间交换的PIN中产生无线链路密钥，这个无线链路密钥被接入设备104和用户设备10、20、30或100存储。因此，不将PIN存储在其它设备的存储器中。

此外，在这个阶段可以以类似的方式无线连接配对用户设备10、20、30或100。由接入设备104显示的接入设备ID和先前显示的值相同；然而，PIN可能是与在先前设备10、20、30或100配对期间使用的PIN不同的值。PIN可以是由驻留在接入设备104上的代码329生成的随机值，由使用现有技术的一个或多个熵(entropy)源得出。一旦连接用户设备10、20、30或100已经存储了PIN，或者更优选地，已经生成并存储了无线链路密钥，连接用户设备10、20、30或100发送确认至接入设备104，接入设备104从显示器110中擦除PIN。无线链路密钥或者PIN可以用在相应用户设备10、20、30和100与接入设备104之间的加密通信中。

一旦在一个或多个连接用户设备10、20、30或100与接入设备104之间建立无线连接配对(或多个配对)，用户设备和接入设备优选使用其它安全配对进行配对。对于每个连接用户设备10、20、30或100，接入设备104被配置成在它的显示器110上显示由用户读出并输入在连接用户设备10、20、30或100上的安全配对值，诸如安全配对PIN。优选地，安全配对值包括由驻留在接入设备104中的代码329生成的随机值，例如八数位的值。一旦接入设备104上的按钮112被激活，接入设备104可以被配置成显示该安全配对值，另外，连接用户设备10、20、30或100可以被配置成提示用户输入安全配对值，并在需要时按压按钮112以显示安全配对值。在安全配对完成之后，在接入设备104从显示器110中擦除安全配对值之前，连接用户设备10、20、30或100可以发送值被接收的确认至接入设备104。安全配对值可以由连接用户设备10、20、30或100和接入设备104用于生成其它连接密钥(“安全配对密钥”)，优选是高级加密标准(AES)256位密钥，以用在连接用户设备10、20、30或100与接入设备104之间的通信中。该安全配对密钥可以是加密密钥或主连接密钥，用在接入设备104与用户设备10、20、30或100之间的加密后续通信中；如果安全配对密钥是主连接密钥，在可以被用于生成由接入设备104和用户设备10、20、30或100使用的其它加密密钥。如果安全配对值被用于生成安全配对密钥，则优选在生成安全配对密钥后，从接入设备104和用户设备10、20、30和100的存储器中擦除安全配对值。

因此，使用安全配对值生成的安全配对密钥来保护通信链路16、26、36或106，由此在系统中安全地与接入设备配对的每个设备存储了安全配对密钥，如在图1中示出的密钥素材(material)15、25、35和105。接入设备104还存储连接信息或密钥素材205，其可以包括可以连接至接入设备104的每个设备10、20、30或100的地址，还可以包括连接设备共享的安全配对密钥，优选是安全配对的时间戳。在图3中示出了连接信息205的存储单元的简单示意表，连接信息205存储在接入设备104的存储器328中；在这里示出的实施方式中，移动通信设备100和计算设备20都完成无线配对和安全配对步骤，因此，由接入设备104存储的密钥素材205包括无线链路密钥(如在附图中示出的，无线链路密钥被称作“蓝牙链路密钥”，因此反映使用蓝牙协议的实施方式)和包括安全配对密钥的安全信息。可以看出计算设备10没有与接入设备104安全地配对，其余用户设备30根本没有与接入设备104无线或安全地配对。本领域技术人员可以理解，由附图提出的连续方式中连接信息205不需要存储在接入设备的存储器328中；例如，接入设备104可以被配置成按照非连续的存储器地址在图3的表中存储每个值，或者按照非连续的存储器地址存储每个值的一部分。诸如每个设备的地址和蓝牙链路密钥的一些值可以被存储在非易失性存储器中，而安全配对密钥优选存储在易失性存储器中，因此，如果电源断开存储器328和/或处理器326，例如在重启过程期间，从存储器328中清除安全配对密钥。

优选地，配置系统100，以便在后续设备10、20、30或100的配对中，接入设备104发送设备的标识符和/或其MAC地址以及做出配对的时间到所有先前配对的设备10、20、30或100。

优选地，在尝试下面的活动中的一个之前发起并完成安全配对；存储在智能卡或其它安全令牌108上的证书被插入到连接用户设备10、20、30或100中；私有密钥操作，用于签名要从连接用户设备10、20、30或100发送的消息，或解密由连接用户设备10、20、30或100接收的消息；发起对于连接用户设备10、20、30或100的配置使用以配置接入设备专用设置；用户发起的关于连接用户设备10、20、30或100的设备口令改变；连接设备用户设备10、20、30或100连接至接入设备104的任何其它尝试。其它事件或活动可以触发安全配对。如果连接用户设备10、20、30或100和接入设备104已经进入安全配对，则其不需要重新发起安全配对步骤。在其它实施方式中，可以自动地采用无线和/或安全配对步骤，不需要用户在接入设备104上发起任何操作，或手动地将接入设备104所显示的任何值输入到连接用户设备10、20、30或100。

一旦安全配对完成，连接设备10、20、30或100和接入设备104可以协商任何用于无线通信链路16、26、36或106的其它通信协议。如上面描述的，接入设备104和连接用户设备10、20、30或100可能已经建立主连接密钥，用于使用现有技术已知的密钥建立协议来取得在发送数据中使用的其它连接密钥。因此，主连接密钥数据可以包括上述的安全配对密钥，或者可以包括由连接用户设备10、20、30或100或接入设备104生成的安全配对密钥与其它种子值(seed value)，并被发送至接入设备或连接用户设备。在一个实施方式中，连接用户设备10、20、30或100可以包括种子值，优选是随机生成的至少64字节长度的值，以及与所选加密算法一起发送至接入设备104的指令。接入设备104和连接用户设备10、20、30或100可以使用主连接密钥来取得用在传输层的多个密钥，例如用于加密、解密和鉴定在接入设备104和连接设备10、20、30或100之间发送的消息的密钥。新的主连接密钥优选针对与接入设备104配对的每个用户设备10、20、30或100生成；因此，与接入设备104安全配对的每个设备10、20、30或100存储单独的主连接密钥，而接入设备104为与接入设备104有效配对的每个设备存储一个主连接密钥。该主连接密钥与用户设备10、20、30或100中的一个关联，可以包括部分安金信息并且可以与参照附图3描述的连接信息205的存储相关联地被存储，或者可以存储在存储器328中分离的位置。因此，与接入设备104配对的第二设备10、20、30或100不能够解密在接入设备104和第一设备10、20、30或100之间传送的消息，即使所有设备可以在同时与接入设备104配对。如图3中可看出，接入设备104可以存储安全配对密钥或与用户设备10、20、30或100关联的主连接密钥；如果主连接密钥源自安全配对密钥，安全配对密钥自身将不再被接入设备104使用，从而需要存储主连接密钥，而不需要存储安全配对密钥。在其它实施方式中，主连接密钥和安全配对密钥可以作为存储在连接信息205得存储单元中的一部分安全信息而被存储。

除了加密在接入设备104和用户设备10、20、30或100之间的消息，优选地还实施其它接入控制方法。一旦第一设备，例如移动通信设备100，完成安全配对步骤，则移动设备100设置连接口令。用户可以响应子在移动通信设备100上的提示而设置连接口令，并且可以被发送至接入设备104并被存储在存储器328中。优选地，连接口令在其被发送至接入设备104之前被散列(hash)或另外地被加密，因此，接入设备104只以散列的或加密的方式存储连接口令。通过对所有将来的连接要求口令，连接口令控制接入至接入设备104。相同的连接口令可以被用于与接入设备104配对的所有用户设备10、20、30或100。因此，一旦完成安全配对，如在图4中所示出的，如果接入设备104确定连接用户设备10、20、30或100不是与接入设备配对的第一用户设备10、20、30或100并且连接口令已经存在，则连接口令被发送至连接用户设备10、20、30或100以便存储，并且连接用户设备10、20、30或100被配置成使用这个口令接入接入设备104。因此用户不需要记住用于与接入设备104配对的每个设备的附加口令。连接口令还可以包括安全信息的部分，并且可以与安全信息相关联地被存储，安全信息与连接信息205的存储一起被存储。

如果与用户设备的安全配对被接入设备104终止或丢弃，接入设备104擦除或盖写任意有效的(像非零的)安全配对密钥和/或主连接密钥数据，其与用户设备在涉及安全配对的连接信息205存储单元中所存储的相关联。因此，在接收到终止与用户设备的安全配对的指令之后，接入设备104移除至少与所选设备关联的有效安全配对密钥和/或主连接密钥，通过盖写密钥的至少一部分，或者最优选地盖写整个密钥，例如使用一系列零。如本领域技术人员可以理解的，安全配对密钥的擦除与使用零盖写密钥是相同的。如果与用户设备的无线连接配对将被接入设备104终止或丢弃，则接入设备104擦除或盖写与用户设备相关联的任何有效无线链路密钥。可选地，当与用户设备的安全配对被丢弃时，如果安全信息还包括连接口令，其对于所有安全配对的设备是公共的，则连接口令也可以被擦除或盖写。

接入设备104和用户设备10、20、30和100每个可以被配置成接收和发送“心跳(heartbeat)”信号，用以确认接入设备和每个用户设备保持彼此通信。例如，只要在用户设备10、20、30或100与接入设备104之间的安全配对存在，用户设备10、20、30或100可以被配置成以预定频率发送信号至接入设备104，接入设备104可以被配置成向用户设备肯定应答信号。如果接入设备未收到这个心跳，则在接入设备104和用户设备10、20、30或100之间的安全配对和可选的无线连接配对被接入设备104丢弃。

交互处理、或者安全令牌会话包括从连接用户设备10、20，30或100发送至接入设备104或反之发送的一系列指令或数据。在优选的实施方式中，在给定的时间只有单个会话可以开放，并且只有单个连接可以使用会话。会话典型地充分短于安全或无线连接配对的生存时间。

优选地，当连接用户设备10、20、30或100被配置成请求来自安全令牌108的安全功能时，用户设备10、20、30或100被配置成构造一个命令，其可以包括用于通过无线链路16、26、36或106传输至接入设备104的多个数据。用户设备10、20、30或100可以首先构造并发送对于安全令牌会话的请求，该请求可以包括接入设备ID或接入设备104的MAC地址；设备标识符，其可以包括连接用户设备10、20、30或100的MAC地址，或在配对过程期间先前提供给接入设备104的设备名称；和请求会话的指令。如果请求被接入设备104确认，则用户设备10、20、30或100可以构造并发送一个或多个命令。优选地，命令包括接入设备ID或接入设备104的MAC地址；有效载荷，其可以包括将由接入设备104执行的指令，或其它数据；和连接用户设备10、20、30或100的设备标识符。在通过无线链路16、26、36或106接收到命令后，接入设备104由此能够确定哪个设备发送命令，并且可以格式化任何带有发送的连接用户设备10、20、30或100的MAC地址或设备名称的确认或响应。优选使用来自主连接密钥的密钥来保护或签名每个命令，该主连接密钥优选地对于每个连接用户设备10、20、30或100是唯一的；接入设备104使用得自存储在接入设备104中的主连接密钥的合适密钥来解密或鉴定该命令。接入设备104同样可以使用得自主连接密钥的密钥来加密或签名发送至连接用户设备10、20、30或100的命令或响应，并且反过来连接用户设备10、20、30或100可以使用其存储的主连接密钥和得自主连接密钥的密钥来解密或鉴定接收到的消息。

在单个安全令牌会话期间，连接用户设备10、20、30或100可以发送多个命令至接入设备104，接入设备104反过来可以发送多个响应或确认至连接用户设备10、20、30或100。而同时第二连接用户设备10、20、30或100如第一设备一样需要发送命令至接入设备104是不可能的，如果接入设备和配对的用户设备10、20、30或100由单个用户操作，接入设备104可以被配置成处理同时接收到的命令。在优选的实施方式中，当另一个关于第二安全令牌会话的请求被接入设备104接收到时，如果在与第一用户设备10、20、30或100的第一安全令牌会话中占用了接入设备104，接入设备104将该请求缓存在它的存储器328中；当第一安全令牌会话终止后，接入设备104重新取得所缓存的请求并向第二设备用户设备10、20、30或100发送肯定应答，由此开放与第二设备的安全令牌会话。然后，第二用户设备10、20、30或100通过发送命令至接入设备104来进行。在可选的实施方式中，接入设备104忽略其它关于安全令牌会话的请求，直到第一安全令牌会话被终止。在这些实施方式中的任一个，当它的关于会话的请求没有立刻被处理时，第二用户设备10、20、30或100继续接收和发送上述的心跳，并且可以被配置成只要接收到心跳就保持它的无线和安全配对。

在其它实施方式中，接入设备104在存在安全令牌会话期间肯定应答对于安全令牌会话的其它请求，接入设备104交织接收、处理的命令以及发送自或发送至分别的连接用户设备10、20、30或100的响应。可选择地，如果对于安全令牌会话的请求包括所需事务的自身标识符，接入设备104可以根据预定的优先规则优先所请求的安全令牌会话。例如，登录用户设备10、20、30或100的用户智能卡功能的请求可以被给予比数字签名发往国外的电子邮件消息的用户请求更高的优先级。

应当理解，接入设备104因此在存储器328中存储并保持连接信息，包括安全信息。安全信息优选地在特定事件时被清除以保证有恶意的用户不能接入安全令牌，例如如果用户设备10、20、30、100中的一个被未授权用户接入，而它仍然与接入设备104安全配对。然而，也不需要太频繁地从存储单元中清除安全信息，这可能需要连接用户设备10、20、30或100的授权用户太频繁地加入手动安全配对过程。因此，在优选的实施方式中，例如使用代码329来配置接入设备104，以允许与接入设备104安全配对的单个用户设备10、20、30或100被指定为主要用户设备。主要用户设备的指定可以通过提供给接入设备104的信息技术(IT)策略而确定，或者代码329可以已经配置成指定主要用户设备。例如，接入设备104可以被配置成指定与接入设备104安全配对的第一移动通信设备100为主要用户设备，如果没有，则与接入设备104安全配对的第一用户设备被指定为主要用户设备。与接入设备104配对的所有其它设备10、20、30或100其后将因此不被指定为主要用户设备。可选地，每次用户设备10、20、30或100安全配对接入设备104，接入设备104可以被配置成发送请求至用户设备10、20、30或100的用户以确认安全配对设备10、20、30或100中的哪个将被指定为主要用户设备。在其它实施方式中，接入设备104被配置有被指定为主要用户设备的用户设备的层级：例如，如果移动通信设备100被安全配对，则其被指定为主要用户设备；如果移动通信设备100没有存在为安全配对的设备，则个人计算机20被指定为主要用户设备；等等。

接入设备104被配置成监视主要用户设备的状态并确定其是否与接入设备104保持通信。“在通信中”意味着主要用户设备保持与接入设备104的安全配对或者主要用户设备保持与接入设备104配对的无线连接。如果接入设备104确定主要用户设备不再与接入设备104通信，则接入设备104如上所述地清除或盖写在存储单元205中的关联安全信息和/或通信信息，但是针对所有安全配对的设备，而不仅仅针对在通信中的主要用户设备。因此，在这个实施方式中，在主要用户设备和接入设备104之间的通信链路被有效地用作接入设备104和它关联的设备10、20、30、100的安全性的测量；如果主要用户设备不在与接入设备104安全配对，则在接入设备104和另一个用户设备之间的所有其它连接自动地被认为是在风险中并且至少对于其它用户的安全配对被丢弃。

优选地，通过监视如上述的“心跳”信号来实现确定主要用户设备是否处在与接入设备104的通信中的过程，虽然其它方式可以被使用以确定主要用户设备是否保持在与接入设备104的通信中。

例如，在确定预定的最大连接时间(测量主要用户设备与接入设备104已经安全配对的时间)已经超出时，或者在确定预定的最大无效时间(测量主要用户设备没有对接入设备104做出请求的时间)已经超出时，接入设备104可以确定主要用户设备不在与接入设备104通信。这种确定将需要接入设备104还保持时间记录，在该时间主要用户设备与接入设备104安全配对，或者从主要用户设备接收到最后请求的时间。可选择地，在接收到来自主要用户设备的低功率报警时，接入设备104可以确定主要用户设备不再与接入设备104通信，如果主要用户设备被配置成发送信号，该信号通知给其它设备它的电源将要耗尽。

在其它实施方式中，接入设备104可以被配置成发送信号至每个其它非主要安全配对的用户设备10、20、30或100，以便这些用户设备10、20、30或100可以通知用户所有设备10、20、30和/或100的安全配对将要被丢弃。在接入设备104清除或盖写在存储单元205中的信息之前的延迟可以提供给主要用户设备的用户机会以重建安全连接；如果安全连接被重建并且接入设备104检测到主要用户设备再次安全配对，则在存储单元205中所有安全配对设备的信息不被清除或盖写。

可以理解，此处描述的系统还可以操作在一个环境中，其中如上面预期的接入设备104与多个用户设备通信，但是使用不同的协议；例如，接入设备可以通过无线链路与第一用户设备(例如用户设备100)通信，但是通过固定(有线)链路与另一个用户设备(诸如用户设备10)。

本领域技术人员可以理解，此处描述的系统的其它实施方式包括零个或更多移动设备100，和零个或更多其它计算设备10、20或30。在优选的实施方式中，接入设备104可以被配置成允许同时只连接一个移动设备100，但是多个其它计算设备10或20。

另一个示例，此处公开的系统和方法可以由多个不同的计算机和设备来使用，诸如在图4中示出的其它无线移动通信设备100。参照图4，移动设备100是双模移动设备并且包括收发器411、微处理器438、显示器422、非易失性存储器424、随机访问存储器(RAM)426、一个或多个辅助输入/输出(I/O)设备428、串行端口430、键盘432、扬声器434、麦克风436、近距离无线通信子系统440和其它设备子系统442。

收发器411包括接收器412、发送器414、天线416和418、一个或多个本地振荡器413和数字信号处理器(DSP)420。天线416和418可以是多元件天线(multiple-element antenna)的天线单元，优选是内置的天线。然而，此处描述的系统和方法决不是限制天线的特定类型，或者甚至无线通信设备的特定类型。

移动设备100优选是具有语音和数据通信能力的双向通信设备。因此，例如，移动设备100可以通过语音网络(诸如任何模拟或数字蜂窝网络)通信，还可以通过数据网络通信。语音和数据网络指图4中的通信塔419。语音和数据网络可以是使用分离的基础架构的分离的通信网络，诸如基站、网络控制器等，或者它们可以被集成在一个单独的无线网络中。

收发器411被用于与网络319通信，并且包括接收器412、发送器414、一个或多个本地振荡器313和DSP 320。DSP 320被用于发送信号去往收发器416和418、接收来自收发器416和418的信号，还提供控制信息至接收器412和发送器414。如果语音和数据通信发生在单个的频率，或者空间接近的频率集合，则单一的本地振荡器413与接收器412和发送器414结合地使用。可选择地，如果例如语音通信对数据通信使用不同的频率，则可以使用多个本地振荡器413以生成相应于语音和数据网络419的多个频率。经由在DSP 420和微处理器438之间的链路，与接收器311通信包括语音和数据信息二者的信息。

收发器411的详细设计，诸如频带、组件选择、能量等级等，取决于移动设备100意图在其中操作的通信网络419。例如，意图在北美市场操作的移动设备100可以包括收发器411，其被设计以使用各种语音通信网络中任意进行操作，诸如Mobitex或DataTAC移动数据通信网络，、AMPS、TDMA、CDMA、PCS等，而意图在欧洲使用的移动设备100可以被配置成使用GPRS数据通信网络和GSM语音通信网络而操作。其它数据和语音网络的类型，分离和集成的二者，也可以被用于移动设备100。

根据网络或多个网络419的类型，移动设备100的接入需要也可以改变。例如，在Mobitex和DataTAC数据网络中，移动设备使用与每个移动设备关联的唯一标识号登记入网络。然而，在GPRS数据网络中，网络接入与移动设备的订户或用户相关联。GPRS设备典型地需要订户标识模块(SIM)，其被需要以在GPRS网络上操作移动设备。没有SIM设备，本地或非网络通信功能(如果有)是可操作的，但是移动设备将不能够执行包括通过数据网络319而通信的任何功能，除了一些法律需要的操作，诸如“911”紧急呼叫。

在任何需要的网络登记或激活过程已经完成之后，移动设备100可以通过网络419发送和接收通信信号，包括语音和数据信号二者。天线416从通信网络419接收到的信号被路由至接收器412，其提供信号放大、频率下变换、滤波、信道选择等，并且还可以提供模拟至数字变换。所接收信号的模拟至数字变换允许更复杂的通信功能，诸如使用DSP 420执行的数字解调和解码。以类似的方式，将被发送至网络419的信号被处理，包括例如由DSP 420调制和编码，并且然后提供给发送器414以数字至模拟变换、频率上变换、滤波、放大并经由天线418传输至通信网络419。

除了处理通信信号，DSP 420还提供收发器控制。例如，在接收器412和发送器414中应用于通信信号的增益等级可以通过DSP 420中实施的自动增益控制算法来适当地控制。其它收发器控制算法也可以在DSP 420中实施，以提供对收发器411更复杂的控制。

微处理器438优选地管理和控制移动设备100的总体操作。许多类型的微处理器或微控制器可以在这里使用，或可选择地，单个DSP420可以被用于执行微处理器438的功能。通过DSP 420在收发器411中执行包括至少数据和语音通信的低等级通信功能。另外，诸如语音通信应用424A和数据通信应用424B的高层通信应用程序可以被存储在非易失性存储器424中，以由微处理器438执行。例如，语音通信模块424A可以提供高层用户接口，其可操作以在移动设备100和多个其它语音或双模设备之间经由网络419发送和接收语音呼叫。类似地，数据通信模块424B可以提供高层用户接口，其可操作以在移动设备100和多个其它数据设备之间经由网络419发送和接收数据，诸如电子邮件信息、文件、组织者信息、短文本消息等。微处理器438还与其它设备子系统交互，其它设备子系统诸如显示器422、RAM 426、辅助输入/输出(I/O)子系统428、串行端口430、键盘432，扬声器434，麦克风436、近距离通信子系统440和一般性表示为422的任何其它设备子系统。

在图4中示出的一些子系统执行通信相关功能，而其它子系统可以提供“驻留”或在设备上的功能。特别地，一些子系统，诸如键盘432和显示器422可以被用以通信相关功能(诸如输入在数据通信网络上传输的文本数据)和设备驻留功能(诸如计算器或任务列表或其它PDA类型功能)二者。

微处理器438使用的操作系统软件优选地存储在诸如非易失性存储器424的永久存储单元中。例如，非易失性存储器424可以被实施为闪存组件或电池支持RAM。除了控制移动设备410的低层功能的操作系统，非易失性存储器424包括多个软件模块424A-424N，其可由微处理器438(和/或DSP 420)执行，包括语音通信模块424A、数据通信模块424B、和多个其它可操作模块424N以执行多个其它功能。这些模块由微处理器438执行并提供在用户和移动设备100之间的高层接口。这个接口典型地包括通过显示器422提供的图像组件，和通过辅助I/O 428、键盘432、扬声器434和麦克风436提供的输入/输出组件。操作系统、特定设备应用或模块、或它们的部分可以暂时地载入到诸如RAM 426的易失性存储中，用以更快地操作。此外，在将它们永久地写入到位于诸如闪存424的永久存储单元中的文件系统之前，接收到的通信信号还可以被暂时性地存储在RAM 426中。

非易失性存储器424优选地提供文件系统以利于在设备上存储PIM数据项目。PIM应用优选地能够经由无线网络419发送和接收数据项目，或由其自身或者与语音和数据通信模块424A、424B相结合。PIM数据项目优选地经由无线网络419被无缝地与存储或关联主机计算机系统的数据项目的相应集合而集成、同步并且更新，由此创建关联特定用户的数据项目的镜像系统。

优选地，代表至少部分解码的数据项目、以及完全解码的数据项目的上下文目标存储在移动设备100上的诸如RAM 426的易失性和非永久存储单元中。然而，在RAM 426或另一个易失性和非永久存储单元中该信息的存储是优选地，以保证当移动设备100失去电能时从存储器中清除信息。这防止未授权的人员通过例如从移动设备100上移走存储器芯片而获取任何存储的已解码或部分已解码的信息。

移动设备100可以手动地与主机系统同步，通过将设备100放置在接口支架中，其将移动设备100的串行端口430与计算机系统或设备的串行端口相耦合。串行端口430还可以被用于使得用户能够通过外部设备或软件应用设置性能，或者下载其它应用模块324N以安装。该有线地下载通道可以被用于将加密密钥载入到设备上，其是比经由无线网络419交换加密信息更安全的方法。

近距离通信子系统440也包括在移动设备100中。子系统440可以包括例如红外线设备和关联的电路及组件，或者诸如蓝牙

模块或802.11模块的近距离RF通信模块，以提供与类似能力的系统和设备的通信。本领域技术人员可以理解，“蓝牙”和“802.11”指的是分别涉及无线个人区域网和无线局域网的规范的集合，从电气和电子工程师协会可以得到。

此处公开的系统和方法仅仅作为示例而出现，不是意图限制本发明的范围。上述的系统和方法的其它变化对本领域技术人员是明显的并由此被认为在本发明的范围中。例如，应当理解在此处描述的处理中的步骤和步骤的顺序可以改变，更改和/或增加并仍然完成需要的结果。

系统和方法的数据可以保存在一个或多个数据存储单元中。数据存储单元可以是多个不同类型的存储设备和编程构造，诸如RAM、ROM、闪存、编程数据结构、编程变量等。注意数据结构描述在数据库、程序、或计算机程序使用的其它计算机可读介质中在组织和存储数据中使用的格式。

提供上述系统和方法所采用的代码可以多个不同类型计算机可读介质而提供，包括计算机存储机制(例如，CD-ROM、磁盘、RAM、闪存、计算机硬驱等)，其包括由处理器执行所使用的指令，以执行此处描述的方法操作和系统实施。

此处描述的计算机组件、软件模块、功能和数据结构可以直接或间接地彼此连接，以允许它们操作所需要的数据流动。还注意模块或处理器包括但不限于代码单元，其执行软件操作，并且可以例如实施为代码子例程单元、或作为软件功能代码单元、或作为对象(当在面向对象样式中)、或作为java程序(applet)、或在计算机脚本(script)语言中、或作为另一种类型的计算机代码。

因此作为示例已经详细描述了本发明的各种实施方式，对本领域技术人员来说不脱离本发明可以做出变形和更改是明显的。本发明包括所有这种变形和更改，落入所附权利要求的范围内。

本专利文献公开的部分包括版权保护的材料。由于其出现在专利和商标局专利文件或记录中，该版权拥有者不反对专利文献或专利公开的任一个的复制重现，但是除此之外任何情况均保留所有版权。

Claims (20)

1.一种自动管理与多个用户设备无线通信中同时安全配对的安全令牌接入设备的安全信息的方法，所述多个用户设备包括至少一个用于移动通信的用户设备，所述方法包括步骤：

指定从与安全令牌接入设备安全配对的多个用户设备中选择的主要用户设备；

在安全令牌接入设备的存储单元中保持连接信息，所述连接信息包括与安全令牌接入设备安全配对的多个用户设备的每个用户设备的安全信息；

确定多个用户设备的一个用户设备不再与安全令牌接入设备通信；

根据确定的结果，如果所述的不再与安全令牌接入设备通信的一个用户设备是指定的主要用户设备，从存储单元中清除与安全令牌接入设备安全配对的多个用户设备的每个用户设备的所有安全信息。

2.如权利要求1的方法，其中，安全令牌接入设备与多个用户设备中的至少三个安全配对。

3.如权利要求1或2的方法，还包括步骤：在清除所有安全信息之前，发送信号至多个用户设备中的一个用户设备，以指示指定的主要用户设备不再与安全令牌接入设备通信。

4.如权利要求3的方法，还包括：在发送信号之后，

等待预定的延迟时间量；

确定指定的主要用户设备是否与安全令牌接入设备通信；

如果确定指定的主要用户设备与安全令牌接入设备通信，在存储单元中保持连接信息，所述连接信息包括与安全令牌接入设备安全配对的每个用户设备的安全信息，以便每个用户设备的安全信息不被清除；和

如果确定指定的主要用户设备仍然不与安全令牌接入设备通信，清除所有安全信息。

5.如权利要求4的方法，其中，所述确定指定的主要用户设备是否与安全令牌接入设备通信包括下述动作中的一个或任意组合：

检测接收到或未接收到从指定的主要用户设备发送的心跳信号；

确定是否超出预定的最大连接时间；

确定是否超出预定的无效连接时间；

检测接收到从指定的主要用户设备发送的低功率报警。

6.如权利要求1的方法，其中，安全信息包括针对与安全令牌接入设备安全配对的多个用户设备的每个用户设备的安全配对密钥，用于在用户设备和安全令牌接入设备之间的安全通信。

7.如权利要求6的方法，其中，安全信息还包括针对与安全令牌接入设备安全配对的多个用户设备的每个用户设备的主连接密钥，用于生成其它加密密钥。

8.如权利要求6或权利要求7的方法，其中，安全信息还包括连接口令。

9.如权利要求6的方法，还包括：

生成安全配对密钥，以提供给将与安全令牌接入设备安全配对的用户设备；

从用户设备接收安全配对密钥已经被用户设备接收的确认。

10.如权利要求1的方法，其中，至少一个用户设备是移动通信设备，还包括：指定移动通信设备作为主要用户设备。

11.一种自动管理与多个用户设备无线通信中同时安全配对的安全令牌接入设备的安全信息的系统，所述多个用户设备包括至少一个用于移动通信的用户设备，所述系统包括：

指定装置，用于指定从与安全令牌接入设备安全配对的多个用户设备中选择的主要用户设备；

保持装置，用于在安全令牌接入设备的存储单元中保持连接信息，所述连接信息包括与安全令牌接入设备安全配对的多个用户设备的每个用户设备的安全信息；

确定装置，用于确定多个用户设备的一个用户设备不再与安全令牌接入设备通信；和

清除装置，如果不再与安全令牌接入设备通信的所述一个用户设备是指定的主要用户设备，则从存储单元中清除与安全令牌接入设备安全配对的多个用户设备的每个用户设备的所有安全信息。

12.如权利要求11的系统，其中，所述安全令牌接入设备与至少三个用户设备安全配对。

13.如权利要求11或12的系统，还包括：

发送装置，在清除所有安全信息之前，发送信号至多个用户设备中的一个用户设备，以指示指定的主要用户设备不再与安全令牌接入设备通信。

14.如权利要求13的系统，还包括：

子装置，用于等待预定的延迟时间量；

子装置，确定指定的主要用户设备是否与安全令牌接入设备通信；

子装置，如果确定指定的主要用户设备与安全令牌接入设备通信，在存储单元中保持连接信息，所述连接信息包括与安全令牌接入设备安全配对的每个用户设备的安全信息，以便每个用户设备的安全信息不被清除；和

子装置，如果确定指定的主要用户设备仍然不与安全令牌接入设备通信，清除所有安全信息，其中，上述四个子装置是在发送装置发送信号之后执行。

15.如权利要求14的系统，其中，所述确定指定的主要用户设备是否与安全令牌接入设备通信的子装置包括下述的一个或任意组合：

检测接收到或未接收到从指定的主要用户设备发送的心跳信号的模块；

确定是否超出预定的最大连接时间的模块；

确定是否超出预定的无效连接时间的模块；

检测接收到从指定的主要用户设备发送的低功率报警的模块。

16.如权利要求11的系统，其中，安全信息包括针对与安全令牌接入设备安全配对的多个用户设备的每个用户设备的安全配对密钥，用于在用户设备和安全令牌接入设备之间的安全通信。

17.如权利要求16的系统，其中，安全信息还包括针对与安全令牌接入设备安全配对的多个用户设备的每个用户设备的主连接密钥，用于生成其它加密密钥。

18.如权利要求16或权利要求17的系统，其中，安全信息还包括连接口令。

19.如权利要求16的系统，还包括：

装置，用于生成安全配对密钥，以提供给将与安全令牌接入设备安全配对的用户设备；

装置，用于从用户设备接收安全配对密钥已经被用户设备接收的确认。

20.如权利要求11的系统，其中，至少一个用户设备是移动通信设备，所述系统还包括：装置，用于指定移动通信设备作为主要用户设备。

Images