CN101421968A - 用于连网计算机应用的鉴权系统 - Google Patents

用于连网计算机应用的鉴权系统 Download PDF

Info

Publication number
CN101421968A
CN101421968A CNA2004800388609A CN200480038860A CN101421968A CN 101421968 A CN101421968 A CN 101421968A CN A2004800388609 A CNA2004800388609 A CN A2004800388609A CN 200480038860 A CN200480038860 A CN 200480038860A CN 101421968 A CN101421968 A CN 101421968A
Authority
CN
China
Prior art keywords
authentication
server
user
token
application server
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CNA2004800388609A
Other languages
English (en)
Other versions
CN101421968B (zh
Inventor
E·R·凯利
C·W·豪瑟
J·F·萨维奇
Y·郑
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Wells Fargo Bank NA
Wells Fargo and Co
Original Assignee
Wachovia Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Wachovia Corp filed Critical Wachovia Corp
Publication of CN101421968A publication Critical patent/CN101421968A/zh
Application granted granted Critical
Publication of CN101421968B publication Critical patent/CN101421968B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0209—Architectural arrangements, e.g. perimeter networks or demilitarized zones
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/126—Applying verification of the received information the source of the received data

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer And Data Communications (AREA)
  • Storage Device Security (AREA)
  • Information Transfer Between Computers (AREA)
  • Multi Processors (AREA)

Abstract

如在连网计算机系统中的系统包括用户、应用服务器、看门人服务器和鉴权服务器。与系统的通信由看门人服务器管理，其中用户通过看门人服务器与鉴权服务器和应用服务器通信。一旦用户已经初始地被鉴权服务器鉴权，那么用户可能从连网计算机系统中的多个应用服务器请求应用服务，而不需要被重新鉴权。

Description

用于连网计算机应用的鉴权系统
相关申请的交叉引用
本发明具有序列号为60/531,695的美国临时申请的利益和权利要求优先权，该临时申请于2003年12月23提交，并将其全部合并在此作为参考。
技术领域
本发明涉及一种用于保护连网计算机系统内应用的系统和方法。
背景技术
商业和个人都不断依赖于计算机和基于计算机的电子通信。越来越多的商业走向“无纸”办公模式，并且互联网的方便性已经导致个人使用电子媒体进行各种活动，比如经由电子邮件通信、存款、支付帐单、投资和购物，以上仅仅提到了一些。商业和个人期望电子交易的方便性的同时，这些实体还想维持至少与传统交易方法提供的同样的安全性。但是，以一些方式，很多传统交易固有地比电子交易更安全，因为计算机可容易地被用来截取在两台或更多计算机之间通信的信息。由此，创建了保护电子传递的信息的技术。
许多这些技术可利用密码术的各种方面。密码术是这样的学问，即是以秘密格式发送和/或接收消息，使得只有那些被授权接该消息的才能读取它。密码术可用于任何形式的通信，但针对该申请的目的，将讨论用于电子通信的密码术。密码术技术的例子包括对称加密、不对称加密和散列。对于电子通信，利用加密密钥，加密的消息可变换为秘密形式，之后利用解密密钥可变换回到其原始或明文形式。
除了保护信息的密码术功能外，希望保护电子存储信息的实体还可创建在连网计算机系统内的组件和希望访问该系统内服务的用户之间定义的通信关系。例如，连网计算机系统可要求在用户能够接收来自连网计算机系统内的应用之前对该用户进行鉴权。
在传统的连网计算机系统中，用户鉴权可各自出现在各个应用服务器处，即是在用户请求来自应用服务器的请求时，应用服务器负责鉴权该用户。在连网计算机系统内，该传统鉴权过程要求用户对于每个它所希望访问的应用服务器而被鉴权。
期望提供一个更有效、灵活和安全的鉴权系统和方法来接收来自连网计算机系统中的应用服务器的服务。
发明内容
本发明涉及一种用于在连网计算机系统内鉴权用户的系统和方法。该系统包括用户、应用服务器、看门人服务器和鉴权服务器，其中系统内的通信由看门人服务器管理。
根据本发明的方法，用户向看门人服务器给出凭证，并且看门人服务器将所给的用户凭证提供给鉴权服务器。鉴权服务器鉴权用户。鉴权服务器在对用户鉴权时创建鉴权令牌，并且将该鉴权令牌传输给应用服务器。将鉴权令牌从鉴权服务器传输到应用服务器可包括向看门人服务器传输鉴权令牌并接着传输到应用服务器。鉴权服务器可在已经创建鉴权令牌之后加密鉴权令牌。优选的是，鉴权服务器加密鉴权令牌所使用的加密密钥由鉴权服务器和应用服务器共享，但是不与看门人服务器共享。鉴权服务器还可在已经创建鉴权令牌之后数字签名鉴权令牌。优选的是，鉴权服务器用一个密钥对来签名鉴权令牌，其中，该密钥对的至少一部分由鉴权服务器和应用服务器共享。
在之后提供的描述中，本发明的其它应用领域将变得清楚。应当理解的是，详细的描述和特定的示例指明了本发明的优选实施例，但旨在仅用于说明目的，而不在于限制本发明的范围。
附图说明
根据详细描述和附图，将更全面地理解本发明，其中：
图1是用于连网计算机应用的传统鉴权系统的绘图。
图2是本发明的连网计算机系统的绘图。
图3是以下鉴权过程的描述：用户开始登录会话并初始地访问图2的连网计算机系统的鉴权区域内的应用服务器。
图4是描述登录服务器鉴权用户的过程的流程图。
图5是图4中创建的内部令牌的结构和内容的绘图。
图6A是说明验证过程的第一流程图，应用服务器在其第一次接收加密的内部令牌和来自web服务器的令牌ID时执行该验证过程。
图6B是说明验证过程的第二流程图，应用服务器在其第一次接收加密的内部令牌和来自web服务器的令牌ID时执行该验证过程。
图7是说明在从应用服务器接收返回的内部令牌之后web服务器处理内部令牌的流程图。
图8A是图7中创建的外部令牌的结构和内容的绘图。
图8B是组合令牌的绘图，该组合令牌包括图5和图8A中的外部令牌和内部令牌的内容。
图9是用户对之前访问过的应用服务器进行后续访问的过程的绘图。
图10是说明验证过程的流程图，应用服务器在其从web服务器后续接收加密的内部令牌和令牌ID时执行该验证过程。
图11是用户初始被登录服务器鉴权后访问第二应用服务器的过程的绘图。
具体实施方式
本发明的实施例的下列描述本质上仅是示例性的，并且不是要限制本发明及其应用或用途。本发明具有宽广的潜在应用和用途，可预见其可适用于很宽范围的实体，用于保护和限制对连网计算机系统中应用和信息的访问。例如可预见，用于连网计算机应用的鉴权系统和方法可有利地为提供在线银行、投资和/或抵押服务的任何银行所利用。此外可预见，用于本发明的系统和方法同样有利地使提供在线零售服务的零售业进行用户鉴权。此外，用于本发明的系统和方法有利于任何维护由第三方计算机或用户访问的安全应用和信息的实体。下列描述仅仅以举例的方式提供，以便提供本发明的有效公开，但是不限制本发明的范围或内容。
连网计算机系统包括应用服务器、数据库系统、看门人服务器和诸如个人、计算机或软件应用的用户。在包括能够访问敏感信息的应用服务器的连网计算机系统中，可实现保护关系以限制对敏感信息的访问。
现在参考附图，图1描绘了传统连网计算机系统10的一个实施例。传统系统10可包括一个或多个受保护的应用服务器32，36、受保护的数据库28、看门人服务器30和用户12。本领域技术人员将理解，应用服务器32、36可包括多个应用功能(未示出)。类似地，数据库系统28可包括多个数据库(未示出)。看门人服务器30可通信地连接应用服务器32，36和用户12。实际上，用户12除了通过看门人服务器30以外不可与应用服务器32，36通信。
为了从系统10内的应用服务器32中接收服务，用户12可联系看门人服务器30并通过向看门人服务器30提供用户凭证来请求来自应用服务器32的服务(步骤101)。看门人服务器30将用户凭证转发到应用服务器32(步骤102)，应用服务器32包括鉴权应用33。鉴权应用33将给定的用户凭证与存储在数据库系统28或操作实体的主机(未示出)中的用户凭证相比较。如果用户12被鉴权，应用服务器32创建一个鉴权令牌，其包括用户凭证。如果用户不被鉴权，那么通信结束。
应用服务器32用于在连网计算机系统中所有服务器之间共享的密钥来加密鉴权令牌。应用服务器32接着将加密的鉴权令牌和应用响应发送到看门人服务器30(步骤103)。看门人服务器30创建环绕鉴权令牌的另一个令牌，即外部令牌。外部令牌包括用于保证外部令牌不变得失效的时间戳。外部令牌和鉴权令牌一起组成组合令牌，其由看门人服务器30用应用服务器32所使用的相同密钥来加密。看门人服务器30将加密的组合密钥和应用服务器的响应转发给用户12(步骤104)。
如果用户12希望再次访问应用服务器32，用户12将加密的组合密钥提供给看门人服务器30，并向应用服务器32再次请求进行访问。看门人服务器30解密外部令牌以保证通信没有超时。假设外部令牌没有超时，看门人服务器30将加密的鉴权令牌和用户12的请求提供给应用服务器32(步骤102)。应用服务器32解密内部令牌，并且使用鉴权应用33来比较内部令牌所包含的信息和存储在数据库系统中的信息。如果用户12再次被鉴权，应用服务器32创建新的鉴权令牌、加密该鉴权令牌并向看门人服务器30发送该鉴权令牌以及应用服务器32的响应(步骤103)。看门人服务器30用新的时间戳创建新的外部令牌并将鉴权令牌和外部令牌组合，用共享加密密钥来加密组合令牌并将加密的组合令牌和应用服务器响应发送给用户12(步骤104)。用户12对服务的随后请求可遵循上述过程。
如果用户12希望访问连网计算机系统10内的第二应用服务器36，第二应用服务器36必须执行第一应用服务器32为鉴权用户12所执行的相同过程。该复制的过程用虚的流程线来表示，以表示图1中看门人服务器30和应用服务器36之间的通信。在系统10中，第二应用服务器36不接收之前由系统10内的另一个应用服务器32所执行的用户鉴权的好处。而是，每个后续的应用服务器36必须重复第一应用服务器32已经执行的同样过程来鉴权用户12。
系统10被泄密是相对容易地，因为它使用了由系统10中的每个服务器所共享的单个加密密钥。在该系统10中，因为应用服务器32，36中的鉴权应用33，35的功能有限，用户12可被限制为利用用户名和口令来鉴权。此外，请求系统10内的每个后续应用服务器对已经由第一应用服务器鉴权的用户进行鉴权，对于系统10和对于用户12来说不必要地浪费了时间。此外，因为该系统10的内部令牌不具有超时功能，因此理论上，内部令牌对于无限的时间周期是有效的。存在对无限的时间周期有效的内部令牌是该系统10的另一缺点。
图2描绘了根据本发明的一个示例连网计算机系统110。图2的连网计算机系统110包括应用服务器32，36、数据库系统28、看门人服务器30、鉴权服务器16和用户12。在本实施例中，登录服务器是鉴权服务器16，并且web服务器是看门人服务器30。web服务器30作为连网计算机系统110的通信集线器。具体地，用户12、登录服务器16和应用服务器32，36都与web服务器30通信并且通过web服务器30彼此通信。除了作为连网计算机系统110的通信集线器之外，web服务器30还提供保护看门人功能，即web服务器30将不向应用服务器32，36转发用户请求，除非作出请求的用户12已经被登录服务器16鉴权。以如此方式，针对还没有被鉴权的用户12来保护应用服务器32，36。作为指定用户12、web服务器30、应用服务器32，36以及与应用服务器32，36通信的数据库系统28之间关系的简写方式，应用服务器32，36和数据库系统28被认为处于鉴权区域20中。只有所鉴权的用户24作出的请求(最佳如图9和11中所示)将会被web服务器30转发到鉴权区域20中。但是，一旦用户12已经被鉴权，那么他或她将被允许从鉴权区域20内的任何应用服务器32，36中请求应用服务，而不需要登录服务器16进行重新鉴权。本领域技术人员将理解，多个应用服务器可位于鉴权区域内，并且需要多个应用服务器来为单个应用提供应用服务。为此应用的目的，参考数字12将用于指定还没有被登录服务器鉴权的用户，而参考数字24将用于指定已经被登录服务器鉴权的用户。
web服务器30还通过阻止用户12直接与登录服务器16进行通信来为登录服务器16提供保护功能。登录服务器16不接收来自用户12、应用服务器32，36或数据库系统28的直接通信。由于用户12必须被鉴权以便将来自用户12的通信转发到鉴权区域20中，登录服务器16不位于鉴权区域20中。为了进一步保护登录服务器16，在登录服务器16和系统110的其它组件之间设置防止未鉴权通信的附加安全措施26，比如防火墙。
图3描述在图2的连网计算机系统110的鉴权区域内用户12的鉴权过程，该用户开始登录会话并初始地访问应用服务器32。为了示例的目的，本例中的用户12可以是试图访问他或她的在银行网站(web服务器30)上的帐户信息(应用服务器32)的个人。用户12将以向web服务器30出示他或她的凭证开始(步骤301)，在本例中，所述凭证是用户名和口令。用户凭证还可包括数字证书、比如安全识别卡的便携式硬件设备、以及凭证的组合。操作连网计算机系统110的实体的安全协议将确定将接收的凭证的性质。此外，用于本发明的系统和方法假设用户向操作连网计算机系统110的实体的初始注册，由此用户12提供识别信息给该实体，并且该实体将该具有用户凭证的该识别信息存储以便后面鉴权。该类型的注册方法是传统的并且因此不在这里提供进一步的解释。接着，web服务器30将用户的凭证提供给登录服务器16(步骤302)。
图4是描绘登录服务器16鉴权用户12的流程图。当登录服务器16从web服务器30接收用户凭证(步骤405)时，登录服务器16为注册的用户12比较所提供的凭证与所存储的凭证(步骤415)。如果值匹配，该用户12被鉴权。但是，如果值不匹配，那么登录服务器16将出错消息发送回给web服务器30(步骤420)。接着，web服务器30可确定是结束通信还是允许用户12重新输入他或她的凭证。本领域技术人员将理解，所存储的凭证与所提供的凭证的比较只是鉴权用户12的一个方法。其它方法可包括通过登录服务器16和提供数字证书的用户12之间的消息交换的算法验证，或者当用户12将硬件令牌用作为他或她的凭证时所实现的挑战响应协议。无论使用什么鉴权方法，一旦用户24被鉴权，登录服务器16通过令牌50(在本例中是内部令牌50)来开始登录会话，所述令牌50识别用户24和登录会话(步骤425)。
本发明的一个优点是将登录功能从应用功能中分离，这为连网计算机系统110提供了灵活性。在传统系统中，由于应用服务器32内的应用程序33的有限功能，用户12被限制到特定的证书。通常，要求用户12具有用于鉴权的用户名和口令。在用户12是计算机或软件应用的上下文中，该要求是个限制。相反，本发明的系统可鉴权任何具有由web服务器30和登录服务器16识别的凭证。
本发明的登录服务器16创建具有定义格式的内部令牌50，其独立于由用户12提供的用于鉴权的凭证。鉴权区域20内的应用服务器32，36将接受由登录服务器16创建的内部令牌50，而不管用户12用来鉴权的凭证类型。登录服务器16鉴权用户12并创建为鉴权区域20内的所有应用服务器32，36识别的内部令牌50的优点在于，对这些应用服务器32，36假设了从它们请求服务的用户24已经被鉴权了。应用服务器32，36依赖于登录服务器16的鉴权，具体的是由登录服务器16创建的内部令牌50的鉴权，而不必为单个登录会话内的每个新应用服务器32，36重新鉴权用户24。
图5描绘了在图4中创建的内部令牌50的结构和内容。内部令牌是包括多个数据节点的数据结构，所述数据节点存储可用于识别被鉴权用户24和令牌50本身的信息。内部令牌50包括令牌ID 51，其是为每个内部令牌50所创建的唯一标识符。本领域技术人员将理解，连网计算机系统110可包含多个登录服务器16和多个用户12。由此，所创建的内部令牌50的数量可很容易达到上百万。如此，为连网计算机系统110中的每个内部令牌50创建唯一令牌ID 51的任务不是没有意义的。为了保证令牌ID 51的唯一性，诸如令牌创建时间或登录服务器ID的数据值可用来创建令牌ID 51。内部令牌50还包括令牌时间52，其表示登录会话开始以及创建或发布内部令牌50的时间。令牌时间52是内部令牌50的正式时间，并可用来确定内部令牌50是否超时。以下将更详细地解释超时功能的目的和用途。
内部令牌50还包括用户ID 53，其是用于每个被鉴权用户24的唯一标识符。用户ID 53可是用户名或某其它由登录服务器16插入在内部令牌50的标识符。但是，用户ID 53不一定是用户名或由用户12在请求应用服务时输入的值。内部令牌50还可包括仿真程序数据空间54。在每次创建内部令牌50时可不用数据填充仿真程序空间54。而是，仿真程序数据空间54用在当被鉴权的用户24请求第三方代表被鉴权的用户24来访问鉴权区域20中的应用服务器32时的实例中。在本例中，当难以访问他和她帐户结余的银行客户请求银行服务代表访问他或她的帐户信息以确定问题出现之处时可使用仿真程序数据空间54。在本例中，服务代表的识别信息将被输入到内部令牌50的仿真程序空间54中。如果没有出现仿真，那么将仿真程序空间54设置为空。
如图4所示，一旦内部令牌50已经被创建，登录服务器16对该内部令牌50进行数字签名(步骤430)。可以利用已知的非对称加密的算法来数字签名令牌50。非对称加密涉及利用密码密钥对来保护信息，在实例中为内部令牌50。非对称密钥对可用于加密消息或用于验证消息的完整性。用于加密消息的密钥对包括私有密钥或解密密钥，其仅被单个用户或一小组用户所知，和公用密钥或加密密钥，其可被任何人所知。为了加密和解密消息，必须使用密钥对的私有密钥和公用密钥。例如，可通过发送者使用消息预期接收方的公用密钥来加密消息。一旦接收方接收到加密的消息，他或她的私有密钥可用来解密该消息。此外，如这里为数字签名所使用的，密钥对可用来验证消息的完整性。对于此功能，密钥对包括私有密钥或数字签名密钥以及公用密钥或签名验证密钥。私有密钥可用于签名消息或在本实例中签名令牌50。接着，公用密钥可用来验证令牌50的完整性。在本实施例中，私有签名密钥存储在登录服务器16中，并且应用服务器32，36可使用登录服务器的公有验证密钥通过检查签名55来验证所签名的内部令牌50的完整性。可利用任何非对称加密函数和非对称数字签名函数。非对称加密函数包括但不限于RSA、ElGamal及其变型、以及椭圆曲线ElGamal及其变型。非对称数字签名函数包括但不限于RSA、DSA或DSS(美国数字签名算法/标准)和ECDSA(椭圆曲线DSA)。
在内部令牌50已经被数字签名之后，登录服务器16加密该内部令牌50(步骤435)。尽管内部令牌50不具有大小限制，优选的是，令牌50要尽可能紧凑。更优选的是，内部令牌50小于或等于2千字节。但是，本领域的技术人员将认识到，紧凑的程度取决于应用的加密算法。在本实施例中，登录服务器16用对称加密密钥来加密签名的内部令牌50。对称加密涉及使用在所有彼此通信的用户之间共享的单个密钥。用密钥来锁定(加密)消息，接着用相同的密钥来解锁(解密)消息。为了在使用对称密钥时保护消息，具有一种向所有用户交换秘密密钥的安全方法是十分重要的。可使用任何对称加密函数。对称加密函数包括但不限于AES、DES、3DES、IDEA、RC5、RC6。
在本实施例中，用于加密签名的内部令牌50的对称密钥可由连网计算机系统110中的登录服务器16和验证区域20内的应用服务器32，36所共享。不与web服务器30共享对称密钥。本发明的该系统的这个方面相对于传统系统10是有利的，因为web服务器30不能访问由登录服务器16所创建的加密的内部令牌50。对内部令牌50的受限访问为包含在其中的信息提供了更多的安全。
可利用非对称加密而不是对称加密来加密签名的内部令牌50。如果利用非对称加密，与签名内部令牌50所使用的不同的非对称密钥对被用来加密和解密内部令牌50。在本实施例中，登录服务器16将用被鉴权的用户24希望访问的特定应用服务器32，36的密钥对的公有密钥来加密内部令牌50。接着，相应的应用服务器32，36能够用加密内部令牌50所使用的私有密钥来解密内部令牌50。如果在本实施例中使用非对称加密，那么优选的是，鉴权区域20内所有应用服务器32，36都使用相同的非对称密钥对。以如此方式，登录服务器16将能够使用相同的公用密钥对来加密鉴权区域20内应用服务器32，36的内部令牌50。
在签名的内部令牌50被加密(步骤435)之后，登录服务器16将加密的内部令牌50连同令牌ID 51发送给web服务器30(步骤440和303)。web服务器发送加密的内部令牌50和令牌ID 51的拷贝给鉴权区域20中的特定应用服务器32(步骤304)。但是，web服务器30到应用服务器32的通信是同步通信，因为web服务器30保存了加密的内部令牌50和令牌ID 51的拷贝，并且将每一个的拷贝发送到应用服务器32。web服务器在继续任何动作之前等待来自应用服务器32的响应。图6A和6B描绘了应用服务器32一旦接收到内部令牌50和令牌ID51(步骤605)所执行的验证过程。应用服务器32利用共享的对称密钥来解密加密的内部令牌50(步骤610)。但是，解密内部令牌50不是破坏性过程，即在内部令牌50被解密之后，应用服务器32处理加密的内部令牌50及其解密的内容。应用服务器32比较内部令牌50内的令牌ID 51和由登录服务器16提供的令牌ID(步骤615)。如果令牌ID的值匹配，那么应用服务器32继续验证过程。如果令牌ID值不匹配，应用服务器32发送出错消息给web服务器30(步骤620)。接着，web服务器30确定是否终止登录会话或允许用户24重新输入他或她的凭证。
假设令牌ID值匹配，应用服务器32检查令牌时间52以便验证登录对话已经超时(步骤625)。具体地，应用服务器32从实际时间中减去令牌时间52以确定内部令牌50存在的时间长度。接着，应用服务器32比较存在时间和其的超时函数。如果内部令牌50已经存在的时间小于超时函数中所提供的时间，那么登录会话将继续。连网计算机系统110内的每个应用服务器32，36都具有一个安全协议，其包括超时函数。超时函数确定所鉴权的用户24将能够使用内部令牌50的时间长度。应用服务器32，36的功能将为应用服务器32，36确定超时函数的长度。对于本实施例，示例超时函数可以是30-90分钟。
如果内部令牌50还没有超时，应用服务器32利用登录服务器16的公用密钥来验证内部令牌50的签名(步骤630)。最后，应用服务器32验证鉴权的用户24是对正在访问的特定应用服务器32的订户(步骤635)。在本例中，这将包括银行业服务器，其验证鉴权的用户24是银行在线银行业服务的订户。如果任意的步骤625、630或635具有负的结果，那么应用服务器32发送出错消息给web服务器30(步骤640)。一旦所有的验证步骤都成功完成，应用服务器32开始被鉴权的用户24的应用会话。根据正被访问的应用服务器32，在应用会话开始时应用服务器32可创建应用令牌，以便向被鉴权的用户24发送。某些应用服务器32，36创建应用令牌，以便向用户24发送，而某些不做。应用服务器32，36是否创建应用令牌不影响本发明的鉴权系统和方法的功能。
在应用会话开始之后，应用服务器32为加密的内部令牌50计算散列值并将散列值存储在其自己的存储器或存储在鉴权区域20的数据库系统28中(步骤655)。散列涉及使用数学算法将任意大小的输入消息变换成另一个通常较小的散列值的输出。散列值被称为消息摘要。消息摘要是输入消息的“数字指纹”并用于通过允许接收方验证消息自散列后还没有被篡改来维护被散列消息的完整性。对于特定应用会话的生存期，在鉴权区域20中存储散列值。
应用服务器32发送应用服务器响应和应用令牌(如果创建的话)给web服务器30(步骤305和660)。图7描绘了web服务器30创建外部令牌70(步骤710)并将其环绕在内部令牌50的周围以形成组合的令牌60(步骤715)。
图8A描绘了外部令牌70及其内容。外部令牌70是包括多个数据节点的数据结构，所述数据节点可用于保证令牌本身的完整性。外部令牌70包括与内部令牌50中相同的令牌ID 51。其还包括滚动时间周期64(RTP)。滚动时间周期64是外部令牌70有效的时间长度。在本例中，滚动时间周期64打算覆盖被鉴权的用户24的每个计算机鼠标点击之间的时间。外部令牌70包括滚动时间戳65(RTS)。滚动时间戳65是创建外部令牌70的时间。在本例中，滚动时间戳65用秒来表示。为了确定外部令牌70是否超时，web服务器30从实际时间中减去滚动时间戳65并且将值与滚动时间周期64比较。只要差小于滚动时间周期64，外部令牌70就没有超时，即外部令牌70有效。外部令牌70包括位置标志符68，用于指明令牌70是标准使用令牌还是仿真令牌。
外部令牌70还包括鉴权状态指示符(AST)69，其指明登录服务器16所使用的鉴权形式。应用服务器32所需要的鉴权可根据应用服务器32的安全需求而变化。比如，某些应用服务器32可要求鉴权的特定形式。外部令牌70还可包括用于特定于应用的数据的位置标志符75。例如，某些应用服务器32要求其它应用服务器36不要求并且不包括在外部令牌70或内部令牌50的任何其它部分中的数据。外部令牌70的特定于应用的字段75可包含应用服务器32要求的任意附加信息。本领域技术人员将认识到，可向外部令牌70添加附加字段，以满足任何特定应用服务器32或连网计算机系统110。鉴权状态指示符69和特定于应用的字段75是可选的。当内部令牌50和外部令牌70组合时，组合的令牌60包括内部令牌密钥标签66。内部令牌密钥标签66指明用于加密内部令牌50的加密密钥。密钥标签66在刷新和旋转加密密钥的连网计算机系统110中是有用的。
如图7所示，一旦外部令牌70被创建并被环绕到内部令牌50，利用基于散列的鉴权码密钥(HMAC密钥)来散列组合令牌60(步骤720)。任何散列函数可用于HMAC密钥，包括但不限于MD5、SHA-1、SHA-232、SHA-256、SHA-504和SHA-512。包含键控散列函数的结果的散列值或消息鉴权码(MAC)71被附加到组合令牌60。web服务器30用连网计算机系统110中的每个web服务器30之间共享的对称密钥来加密组合令牌60(步骤725)。不与应用服务器32，36和登录服务器16共享用于加密组合令牌60对称密钥。虽然组合令牌60不具有大小限制，优选的是，令牌60要尽可能紧凑。更优选的是，组合令牌60小于或等于2千字节。但是，本领域的技术人员将认识到，紧凑的程度取决于应用的加密算法。
指明用于加密和散列组合令牌60的外部令牌密钥标签61被附加到加密的组合令牌60。所有密钥不都被所有服务器所知的连网计算机系统110相对于传统系统10是有优点的。在本发明的系统中，至少登录服务器、web服务器30和应用服务器32合作以便提供要求的应用服务。服务器之间的系统为鉴权区域20内的应用服务器32，36和信息提供了更高的安全性。
一旦组合令牌60被加密，web服务器30发送应用响应，包括加密的组合令牌60和应用令牌(如果创建的话)给被鉴权的用户24(步骤306)。在本例中，这是在银行网站上被鉴权的用户24将访问他或她的银行帐户的时刻。可查看诸如检查帐户结余、节省帐户结余的信息。
但是通常，被鉴权的用户24将想除了仅初始访问应用服务器32外做更多事情。被鉴权的用户24可能想在一个应用会话中访问应用服务器32数次，以便请求附加的信息和服务。例如，访问其银行帐户的被鉴权的用户24想查看自从他上次结算后已经处理的支票或借寄卡交易，或者将钱从他的支票帐户转移到其储蓄帐户。对信息或服务的任何这些请求构成了对初始访问的应用服务器32的附加访问。
图9描绘了被鉴权的用户24后续访问先前访问过的应用服务器的过程。被鉴权的用户24通过将组合令牌60和应用令牌(如果创建的话)提供给web服务器30来请求对应用服务器32的后续访问(步骤901)。在本例中，被鉴权的用户24可希望看到自从他上次结算后已经处理的借寄卡交易的次数。为此，他点击了请求访问借寄卡交易的网站部分。当他如此做时，组合令牌60和在线银行令牌返回到web服务器30。
web服务器30使用web服务器对称密钥来解密组合令牌60。本领域技术人员将理解，连网计算机系统可包括多个web服务器30。由此，初始创建外部令牌和加密的组合令牌60的同一web服务器30可以不是在后续访问时接收被鉴权的用户24请求的web服务器30。使用在连网计算机系统110的web服务器30之间共享的对称加密密钥允许系统中的任意web服务器30来解密由系统中任意web服务器30加密的组合令牌60。在组合的令牌60被解密后，web服务器30利用由外部密钥标签61指示的HMAC来计算组合令牌60的散列值，并且将计算的散列值与存储在组合令牌60内的散列值71相比较。假设散列值匹配，web服务器30验证外部令牌70没有超时，即，滚动时间周期64还没有被超过。
图10描绘了在被鉴权的用户24的后续访问中应用服务器32执行的验证过程。web服务器30发送加密的内部令牌50、令牌ID51和应用令牌(如果创建的话)给应用服务器32(步骤904和1005)。在对应用服务器32的后续访问中，应用服务器32不是必须执行在初始访问时由被鉴权的用户24所执行的相同验证。然而，应用服务器32可计算加密的内部令牌50的散列(步骤1010)并将该散列值与初始用户验证期间计算并存储的散列值相比较(步骤1015)。在后续访问时用散列函数来验证被鉴权的用户24要快于初始访问的用户验证，并且在没有牺牲安全性的情况下节省计算机功能。在被验证的用户24的后续访问中，应用服务器32还将验证其应用令牌(如果创建的话)，并且验证令牌50还没有超时(步骤1025)。如果步骤1015或1025具有负的结果，应用服务器32发送出错消息给web服务器30(步骤1020)。一旦验证完成，应用服务器32处理请求、更新其应用令牌(如果创建的话)(步骤1030)，并且发送应用响应给web服务器30(步骤905和1040)。
web服务器30更新外部令牌70中的滚动时间戳65，为组合令牌60计算新的散列值71并加密组合令牌60。web服务器30返回包括加密的组合令牌60和应用令牌(如果创建的话)的应用响应给被鉴权的用户24(步骤906)。在本例中，图9的过程对于每个用户对访问应用服务器32的后续请求都发生，即一旦在单个登录会话内应用服务器32已经验证了被鉴权的用户24，对于被鉴权的用户24对应用服务器32的每个后续请求来进行图9的过程。
被鉴权的用户24可能在登录会话期间想访问鉴权区域20内另一个应用服务器36。例如，被鉴权的用户24可能希望在他或她登录到银行网站的同时访问其经纪帐户。图11描绘了在初始被登录服务器16鉴权后，被鉴权的用户24访问第二应用服务器36的过程。当被鉴权的用户24请求在单个会话中访问第二应用服务器36时，被鉴权的用户24将具有加密的组合令牌60和来自第一应用服务器32的应用令牌(如果创建的话)。
被鉴权的用户24将加密的组合令牌60和来自第一应用服务器32的应用令牌提供到web服务器30，并且请求访问第二应用服务器36(步骤1101)。web服务器30解密组合令牌60，通过比较计算的散列值与存储在组合令牌60内的散列值71来验证组合令牌60的完整性，并且验证外部令牌70没有超时。web服务器30将加密的内部令牌50和令牌ID 51提供给第二应用服务器36(步骤1104)。由于这是第二应用服务器36第一次被提供了来自被鉴权的用户24的请求，第二应用服务器36以与第一应用服务器32在初始访问时相同的方式来验证被鉴权的用户24。具体地，应用服务器36使用共享的对称密钥来解密加密的内部令牌50。应用服务器36验证内部令牌50中的令牌ID 51匹配由web服务器30所提供的令牌ID51。第二应用服务器36接着检查令牌时间52以验证登录会话没有超时。第二应用服务器36使用登录服务器16的公用密钥来验证内部令牌50的签名。最后，第二应用服务器36验证被鉴权的用户24是正在访问的特定应用服务器36的订户。在本例中，经纪服务器验证被鉴权的用户24是银行在线经纪服务的订户。一旦所有的验证步骤都成功完成，第二应用服务器36开始被鉴权的用户24的应用会话。根据正被访问的应用服务器36，应用服务器36可创建应用令牌，以便向被鉴权的用户24发送。
在应用会话已经开始之后，应用服务器36为加密的内部令牌50计算散列值并将该散列值存储在其自己的存储器或鉴权区域20的数据库系统28中。对于特定应用会话的生存期，在鉴权区域20中存储散列值。
第二应用服务器36发送包括应用令牌(如果创建的话)的应用响应给web服务器30(步骤1105)。web服务器30创建环绕加密的内部令牌50的外部令牌70，以形成组合令牌60。一旦外部令牌70被创建并环绕加密的内部令牌50，就为组合令牌60计算散列值。包含键控散列函数的结果的散列值71被附加到组合令牌60。web服务器30用对于所有web服务器30都知道的对称密钥来加密组合密钥60，并且指示用于加密和散列组合令牌60的密钥的外部令牌密钥标签61被附加到加密的组合令牌60。一旦组合令牌被加密和散列，web服务器30将加密的组合令牌60和应用令牌(如果创建的话)以及应用响应发送给被鉴权的用户24(步骤1106)。在本例中，在银行网站上的被鉴权的用户24将访问他或她的经纪帐户。在图11中描绘的过程可用于在单个登录会话内访问任何后续应用服务器。
上述的过程，即是在初始登录时访问第一应用服务器、在登录之后后续访问该应用服务器以及在登录之后访问第二应用服务器，含盖了用户当访问鉴权区域内的应用服务器时期望交互的范围。尽管上面提供的例子针对的是通过web服务器访问应用服务器的个人用户，但是本发明的系统和方法同样可应用于诸如计算机应用或软件函数的访问受保护区域内的应用服务器的用户。
用于受保护的计算机应用的鉴权系统提供了相对现有鉴权系统的若干优点。本发明的系统比传统系统更加安全。在本系统中，加密密钥的知晓与服务器功能分离，然而在传统系统中，所有加密密钥被所有服务器所知。密钥与功能的分离保证了鉴权系统内的至少三个服务器必须合作以便完成用户请求。以如此方式，坏人就不能通过仅仅破坏一个服务器就破坏整个鉴权系统。相反，通信将结束并且防止坏人进入保护区域。由此，本发明的系统保证鉴权系统内更高的安全性。
此外，将登录功能与应用功能分离在鉴权系统内提供了更大灵活性和安全性。鉴权区域内的应用和信息可被更多类型的用户访问，因为用户不被限制于只使用用户名和口令作为鉴权的凭证。此外，内部令牌的方面为本发明的系统提供了更高的安全性。内部令牌上的数字签名验证了内部密钥不被损坏，并且不会由除了登录服务器之外的实体创建。内部令牌的超时功能保证了内部令牌对于无限时间周期是无效的。由登录服务器创建的唯一令牌ID提供了对鉴权系统进一步的保护。通过将唯一的令牌ID放置在外部和内部令牌中，系统就不那么容易遭受“剪切粘贴”攻击，其中坏人试图通过合并不是为合并而创建的外部令牌和内部令牌来进入鉴权区域，例如当为内部令牌创建的外部令牌超时时，将余下有时间的内部令牌与新的外部令牌组合。由于唯一的令牌ID被放置在外部令牌和内部令牌中，在剪切粘贴类型的攻击中显然的是，令牌ID不匹配。
因此，本领域技术人员将容易理解，本发明可适于广泛的利用和应用。通过签名的描述，本发明除了这里描述之外的许多实施例和改编，以及许多变型、修改和等效的排列将是十分明显的或在合理地由本发明暗示，而没有偏离本发明的内容或范围。由此，尽管已经在这里根据特定实施例详细描述了本发明，还应当理解，该公开只是说明性的和本发明的示例，并且只是用作为提供本发明完整而有效的公开的目的。前面的公开不旨在或被理解为限制本发明或排除任何其它的实施例、改编，变型、修改和等效的排列。

Claims (65)

1.一种在连网计算机系统中由鉴权服务器鉴权用户的方法，该方法包括：
(a)用户向看门人服务器给出用户凭证；
(b)看门人服务器将所给的用户凭证提供给鉴权服务器；
(c)鉴权服务器鉴权用户；
(d)鉴权服务器在对用户鉴权时创建鉴权令牌；并且
(e)鉴权服务器将该鉴权令牌传输给应用服务器，其中将鉴权令牌传输到应用服务器可包括鉴权服务器向看门人服务器传输鉴权令牌，并且接着看门人服务器向应用服务器传输鉴权令牌。
2.权利要求1的鉴权用户的方法，还包括由应用服务器向用户提供应用服务。
3.权利要求1的鉴权用户的方法，还包括由鉴权服务器数字签名鉴权令牌。
4.权利要求3的鉴权用户的方法，还包括利用数字签名来验证鉴权令牌。
5.权利要求4的鉴权用户的方法，其中应用服务器验证鉴权令牌。
6.权利要求1的鉴权用户的方法，还包括由应用服务器验证鉴权令牌。
7.权利要求1的鉴权用户的方法，其中鉴权令牌包括多个存储于其中表示数据结构的数据节点。
8.权利要求7的鉴权用户的方法，其中所述数据结构包括：
(a)第一数据节点，包括指明创建数据结构的时间的数据；
(b)第二数据节点，包括表示用户的数据；和
(c)第三数据节点，包括识别数据结构的唯一数据。
9.权利要求1的鉴权用户的方法，还包括由鉴权服务器加密鉴权令牌。
10.权利要求9的鉴权用户的方法，其中加密鉴权令牌包括利用由鉴权服务器和应用服务器所共享的加密密钥来加密鉴权令牌。
11.权利要求10的鉴权用户的方法，还包括由应用服务器来解密鉴权令牌。
12.权利要求11的鉴权用户的方法，还包括在由鉴权服务器向应用服务器传输鉴权令牌之后，由应用服务器向看门人服务器传输鉴权令牌。
13.权利要求12的鉴权用户的方法，还包括由看门人服务器创建外部令牌。
14.权利要求13的鉴权用户的方法，还包括用外部令牌来环绕鉴权令牌。
15.权利要求1的鉴权用户的方法，其中用户是个人。
16.权利要求1的鉴权用户的方法，其中用户是计算机。
17.权利要求1的鉴权用户的方法，其中用户是软件函数。
18.权利要求1的鉴权用户的方法，其中用户凭证包括用户名和口令。
19.权利要求1的鉴权用户的方法，其中由鉴权服务器来鉴权用户包括比较给出的用户凭证和存储的用户凭证。
20.权利要求1的鉴权用户的方法，其中用户凭证包括数字证书。
21.权利要求20的鉴权用户的方法，其中由鉴权服务器来鉴权用户包括通过在鉴权服务器和用户之间交换消息来验证用户的身份。
22.权利要求1的鉴权用户的方法，其中用户凭证包括包含识别用户的数据的便携式设备。
23.权利要求1的鉴权用户的方法，其中用户凭证包括用户输入和由验证用户输入的便携式设备生成的值。
24.一种在连网计算机系统内的鉴权系统，包括：
用户；
应用服务器；
与应用服务器分离、用来鉴权用户的鉴权服务器；和
由鉴权服务器生成的鉴权令牌，其中鉴权令牌被应用服务器用来验证已经由鉴权服务器鉴权的用户。
25.权利要求24的鉴权系统，其中鉴权服务器通信地连接到连网计算机系统。
26.权利要求24的鉴权系统，其中到鉴权服务器的通信受保护设备的控制。
27.权利要求26的鉴权系统，其中保护设备是防火墙。
28.权利要求24的鉴权系统，还包括可通信地连接到应用服务器和鉴权服务器的看门人服务器。
29.权利要求28的鉴权系统，其中鉴权服务器接收只来自看门人服务器的直接通信。
30.权利要求28的鉴权系统，其中应用服务器接收只来自看门人服务器的直接通信。
31.一种在连网计算机系统内鉴权用户的方法，该方法包括：
(a)提供用于鉴权用户的鉴权服务器；
(b)在用户鉴权时由鉴权服务器创建鉴权令牌；
(c)提供应用服务器；
(d)提供第一加密密钥，所述第一加密密钥由鉴权服务器和应用服务器共享；和
(e)用第一加密密钥来加密鉴权令牌；
32.权利要求31的鉴权用户的方法，还包括：
(a)提供第二加密密钥，所述第二加密密钥是非对称密钥对，其中鉴权服务器存储非对称密钥对的私有密钥；和
(b)在用第一加密密钥加密鉴权令牌之前，由鉴权服务器用非对称密钥对的私有密钥来数字签名鉴权令牌。
33.权利要求32的鉴权用户的方法，还包括提供看门人服务器。
34.权利要求33的鉴权用户的方法，还包括提供第三加密密钥，所述第三加密密钥被存储在看门人服务器上。
35.权利要求34的鉴权用户的方法，其中所述第三加密密钥是对称密钥。
36.权利要求34的鉴权用户的方法，还包括提供多个鉴权服务器、应用服务器和看门人服务器，其中第一加密密钥在鉴权服务器和应用服务器之间共享，第二加密密钥的私有密钥被存储在鉴权服务器上并且第三加密密钥在看门人服务器之间共享。
37.一种在连网计算机系统内的鉴权系统，包括：
(a)应用服务器；
(b)看门人服务器；
(c)鉴权服务器；和
(d)由应用服务器和鉴权服务器共享的第一加密密钥，其中第一加密密钥不与看门人服务器共享。
38.权利要求37的鉴权系统，还包括第二加密密钥，所述第二加密密钥是非对称密钥对，其中鉴权服务器存储非对称密钥对的私有密钥而应用服务器存储非对称密钥对的公共密钥。
39.权利要求37的鉴权系统，其中第一加密密钥是对称密钥。
40.权利要求37的鉴权系统，还包括由看门人服务器存储的第三加密密钥，其中第三加密密钥不被应用服务器或鉴权服务器存储。
41.权利要求39的鉴权系统，其中第三加密密钥是对称密钥。
42.一种在其中存储了多个数据节点并表示验证用户鉴权的数据结构的计算机可读令牌，包括：
(a)第一数据节点，包括识别数据结构的数据；
(b)第二数据节点，包括指明创建数据结构的时间的数据；和
(c)第三数据节点，包括识别用户的唯一数据。
43.权利要求42的计算机可读令牌，还包括第四数据节点，包括表示用户和请求者之间关系的数据。
44.权利要求42的计算机可读令牌，其中从由用户给出的凭证中导出第三数据节点。
45.权利要求42的计算机可读令牌，其中第一数据节点包括从第二数据节点导出的数据。
46.权利要求42的计算机可读令牌，其中第一数据节点包括从识别服务器的数据中导出的数据。
47.权利要求42的计算机可读令牌，还包括第二数据结构，用于保护在第一数据结构中存储的数据。
48.权利要求47的计算机可读令牌，其中第二数据结构包括：
(a)第五数据节点，包括第一数据节点的数据；
(b)第六数据节点，包括指明创建第二数据结构的时间的数据；和
(c)第七数据节点，包括指明第二数据结构有效的时间周期的数据。
49.权利要求48的计算机可读令牌，其中由服务器对计算机可读令牌执行散列函数。
50.权利要求48的计算机可读令牌，其中由服务器加密计算机可读令牌。
51.一种组合令牌，包括：
内部令牌；和
外部令牌，其中内部令牌由鉴权服务器创建而外部令牌由看门人服务器创建。
52.权利要求51的组合令牌，其中内部令牌包括：
(a)指明创建内部令牌的时间的数据；
(b)表示为用户创建内部令牌的该用户的数据；和
(c)识别内部令牌的唯一数据。
53.权利要求51的组合令牌，其中外部令牌包括：
(a)识别内部令牌的数据；
(b)指明创建外部令牌的时间的数据；和
(c)指明外部令牌有效的时间周期的数据。
54.权利要求51的组合令牌，其中由鉴权服务器数字签名内部令牌。
55.权利要求51的组合令牌，其中由鉴权服务器加密内部令牌。
56.权利要求51的组合令牌，其中看门人服务器对组合令牌执行散列函数。
57.权利要求51的组合令牌，其中看门人服务器加密组合令牌。
58.权利要求52的组合令牌，其中指明创建内部令牌的时间的数据被用来确定内部令牌是否有效。
59.权利要求53的组合令牌，其中指明创建外部令牌的时间的数据与实际时间相比较以确定外部令牌是否有效。
60.权利要求1的鉴权用户的方法，其中鉴权令牌小于或等于2千字节。
61.权利要求24的鉴权系统，其中鉴权令牌小于或等于2千字节。
62.权利要求31的鉴权用户的方法，其中鉴权令牌小于或等于2千字节。
63.权利要求42的计算机可读令牌，其中该计算机可读令牌小于或等于2千字节。
64.权利要求51的组合令牌，其中该组合令牌小于或等于2千字节。
65.权利要求51的组合令牌，其中内部令牌小于或等于2千字节。
CN2004800388609A 2003-12-23 2004-12-22 用于连网计算机应用的鉴权系统 Active CN101421968B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US53169503P 2003-12-23 2003-12-23
US60/531,695 2003-12-23
PCT/US2004/043755 WO2005062989A2 (en) 2003-12-23 2004-12-22 Authentication system for networked computer applications

Publications (2)

Publication Number Publication Date
CN101421968A true CN101421968A (zh) 2009-04-29
CN101421968B CN101421968B (zh) 2011-01-26

Family

ID=34738680

Family Applications (1)

Application Number Title Priority Date Filing Date
CN2004800388609A Active CN101421968B (zh) 2003-12-23 2004-12-22 用于连网计算机应用的鉴权系统

Country Status (7)

Country Link
US (3) US7610617B2 (zh)
EP (1) EP1697818B1 (zh)
CN (1) CN101421968B (zh)
BR (1) BRPI0417326B1 (zh)
CA (1) CA2551113C (zh)
HK (1) HK1131290A1 (zh)
WO (1) WO2005062989A2 (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2010142114A1 (zh) * 2009-06-08 2010-12-16 西安西电捷通无线网络通信股份有限公司 可保护平台配置信息的平台认证系统及方法
CN102281330A (zh) * 2011-08-03 2011-12-14 深圳市科迪特信息技术有限公司 用于saas平台的数据存储、通讯访问及控制的方法
CN107124390A (zh) * 2016-02-25 2017-09-01 阿里巴巴集团控股有限公司 计算设备的安全防御、实现方法、装置及系统

Families Citing this family (94)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7562222B2 (en) * 2002-05-10 2009-07-14 Rsa Security Inc. System and method for authenticating entities to users
US7836295B2 (en) * 2002-07-29 2010-11-16 International Business Machines Corporation Method and apparatus for improving the resilience of content distribution networks to distributed denial of service attacks
US7356697B2 (en) * 2003-06-20 2008-04-08 International Business Machines Corporation System and method for authentication to an application
CA2551113C (en) * 2003-12-23 2011-11-01 Wachovia Corporation Authentication system for networked computer applications
US7924709B2 (en) * 2004-05-12 2011-04-12 Hewlett-Packard Development Company, L.P. Access control of resources using tokens
US7272728B2 (en) 2004-06-14 2007-09-18 Iovation, Inc. Network security and fraud detection system and method
US7949666B2 (en) 2004-07-09 2011-05-24 Ricoh, Ltd. Synchronizing distributed work through document logs
US8499028B2 (en) * 2005-02-23 2013-07-30 International Business Machines Corporation Dynamic extensible lightweight access to web services for pervasive devices
US8725646B2 (en) 2005-04-15 2014-05-13 Microsoft Corporation Output protection levels
JP5507784B2 (ja) * 2005-09-01 2014-05-28 富士通株式会社 環境管理局の端末、評価値処理方法、評価値処理プログラム、ネットワーク事業者の端末、サービス要求処理方法、サービス要求処理プログラム
CN1929367B (zh) * 2005-09-10 2010-08-25 腾讯科技（深圳）有限公司 一种游戏数据传输方法及系统
US7562221B2 (en) * 2005-09-21 2009-07-14 Rsa Security Inc. Authentication method and apparatus utilizing proof-of-authentication module
US7673135B2 (en) * 2005-12-08 2010-03-02 Microsoft Corporation Request authentication token
US20070214364A1 (en) * 2006-03-07 2007-09-13 Roberts Nicole A Dual layer authentication system for securing user access to remote systems and associated methods
US8831011B1 (en) 2006-04-13 2014-09-09 Xceedium, Inc. Point to multi-point connections
US8799639B2 (en) * 2006-07-25 2014-08-05 Intuit Inc. Method and apparatus for converting authentication-tokens to facilitate interactions between applications
CN100555939C (zh) * 2006-09-20 2009-10-28 北京飞天诚信科技有限公司 一种基于网络的软件保护方法
US8281378B2 (en) * 2006-10-20 2012-10-02 Citrix Systems, Inc. Methods and systems for completing, by a single-sign on component, an authentication process in a federated environment to a resource not supporting federation
US8751815B2 (en) * 2006-10-25 2014-06-10 Iovation Inc. Creating and verifying globally unique device-specific identifiers
US8424073B2 (en) * 2006-11-13 2013-04-16 Microsoft Corporation Refreshing a page validation token
US8104076B1 (en) * 2006-11-13 2012-01-24 Jpmorgan Chase Bank, N.A. Application access control system
RU2428809C2 (ru) * 2007-02-06 2011-09-10 Нокиа Корпорейшн Поддержка вызовов без uicc
US20080235513A1 (en) * 2007-03-19 2008-09-25 Microsoft Corporation Three Party Authentication
US20080243688A1 (en) * 2007-03-28 2008-10-02 Hart Peter E Method and Apparatus for Recording Transactions with a Portable Logging Device
US7770214B2 (en) * 2007-04-17 2010-08-03 International Business Machines Corporation Apparatus, system, and method for establishing a reusable and reconfigurable model for fast and persistent connections in database drivers
US7793340B2 (en) * 2007-11-21 2010-09-07 Novell, Inc. Cryptographic binding of authentication schemes
US8336089B1 (en) * 2007-12-21 2012-12-18 Emc Corporation Method and apparatus for providing authentication and encryption services by a software as a service platform
US10007767B1 (en) 2007-12-21 2018-06-26 EMC IP Holding Company LLC System and method for securing tenant data on a local appliance prior to delivery to a SaaS data center hosted application service
US8706800B1 (en) 2007-12-21 2014-04-22 Emc Corporation Client device systems and methods for providing secure access to application services and associated client data hosted by an internet coupled platform
US8862654B1 (en) * 2008-02-11 2014-10-14 Google Inc. Syndicated electronic media distribution
US8418238B2 (en) * 2008-03-30 2013-04-09 Symplified, Inc. System, method, and apparatus for managing access to resources across a network
CN101572603B (zh) * 2008-04-30 2012-05-30 国际商业机器公司 分布式环境中的组成服务的统一访问控制系统及方法
US7979899B2 (en) * 2008-06-02 2011-07-12 Microsoft Corporation Trusted device-specific authentication
WO2010004547A1 (en) 2008-06-17 2010-01-14 Digigage Ltd. System for altering virtual views
US8291490B1 (en) 2008-06-30 2012-10-16 Emc Corporation Tenant life cycle management for a software as a service platform
US8438622B2 (en) * 2008-07-10 2013-05-07 Honesty Online, Llc Methods and apparatus for authorizing access to data
US8386773B2 (en) 2008-12-09 2013-02-26 Research In Motion Limited Verification methods and apparatus for use in providing application services to mobile communication devices
EP2197168B1 (en) * 2008-12-09 2012-08-29 Research In Motion Limited Verification method and apparatus for use in providing application services to mobile communication devices
CN101807998A (zh) * 2009-02-13 2010-08-18 英飞凌科技股份有限公司 认证
US20100235430A1 (en) * 2009-03-13 2010-09-16 Bruce Kim Methods and systems to provide services to a mobile device
US8584221B2 (en) * 2009-10-23 2013-11-12 Microsoft Corporation Authenticating using cloud authentication
US9088580B2 (en) * 2009-12-31 2015-07-21 Microsoft Technology Licensing, Llc Access control based on user and service
US8874914B2 (en) * 2010-02-05 2014-10-28 Accenture Global Services Limited Secure and automated credential information transfer mechanism
US8806198B1 (en) * 2010-03-04 2014-08-12 The Directv Group, Inc. Method and system for authenticating a request
US9654829B1 (en) 2010-03-04 2017-05-16 The Directv Group, Inc. Method and system for retrieving data from multiple sources
US8676684B2 (en) 2010-04-12 2014-03-18 Iovation Inc. System and method for evaluating risk in fraud prevention
US9135037B1 (en) 2011-01-13 2015-09-15 Google Inc. Virtual network protocol
US8874888B1 (en) 2011-01-13 2014-10-28 Google Inc. Managed boot in a cloud system
US8978100B2 (en) * 2011-03-14 2015-03-10 Verizon Patent And Licensing Inc. Policy-based authentication
US9063818B1 (en) 2011-03-16 2015-06-23 Google Inc. Automated software updating based on prior activity
US8533796B1 (en) * 2011-03-16 2013-09-10 Google Inc. Providing application programs with access to secured resources
US8751807B2 (en) * 2011-06-23 2014-06-10 Azuki Systems Inc. Method and system for secure over-the-top live video delivery
US9075979B1 (en) 2011-08-11 2015-07-07 Google Inc. Authentication based on proximity to mobile device
US8966198B1 (en) 2011-09-01 2015-02-24 Google Inc. Providing snapshots of virtual storage devices
SG10201601550XA (en) * 2011-09-26 2016-03-30 Elta Systems Ltd A Mobile Communication System Implementing Integration Of Multiple Logins Of Mobile Device Applications
US9094212B2 (en) 2011-10-04 2015-07-28 Microsoft Technology Licensing, Llc Multi-server authentication token data exchange
JP5909706B2 (ja) * 2011-11-25 2016-04-27 パナソニックＩｐマネジメント株式会社 電池パック
GB2499363B (en) * 2011-11-30 2018-06-27 Metaswitch Networks Ltd Providing access and transmitting notifications
US8958293B1 (en) 2011-12-06 2015-02-17 Google Inc. Transparent load-balancing for cloud computing services
US8800009B1 (en) 2011-12-30 2014-08-05 Google Inc. Virtual machine service access
US20130191882A1 (en) * 2012-01-19 2013-07-25 Sap Ag Access control of remote communication interfaces based on system-specific keys
US8983860B1 (en) 2012-01-30 2015-03-17 Google Inc. Advertising auction system
US9191405B2 (en) 2012-01-30 2015-11-17 Microsoft Technology Licensing, Llc Dynamic cross-site request forgery protection in a web-based client application
US8996887B2 (en) 2012-02-24 2015-03-31 Google Inc. Log structured volume encryption for virtual machines
US8677449B1 (en) 2012-03-19 2014-03-18 Google Inc. Exposing data to virtual machines
US9069806B2 (en) 2012-03-27 2015-06-30 Google Inc. Virtual block devices
US8844026B2 (en) * 2012-06-01 2014-09-23 Blackberry Limited System and method for controlling access to secure resources
US9106405B1 (en) * 2012-06-25 2015-08-11 Amazon Technologies, Inc. Multi-user secret decay
US20140007197A1 (en) * 2012-06-29 2014-01-02 Michael John Wray Delegation within a computing environment
CN102833593B (zh) * 2012-07-17 2015-12-16 晨星软件研发(深圳)有限公司 一种智能电视应用的授权方法、系统及智能电视
JP5516688B2 (ja) * 2012-10-05 2014-06-11 富士ゼロックス株式会社 通信システム、クライアント装置、中継装置及びプログラム
US10033719B1 (en) * 2012-12-20 2018-07-24 Amazon Technologies, Inc. Mobile work platform for remote data centers
US9430255B1 (en) 2013-03-15 2016-08-30 Google Inc. Updating virtual machine generated metadata to a distribution service for sharing and backup
US10164962B2 (en) 2013-03-15 2018-12-25 Blackhawk Network, Inc. Using client certificates to communicate trusted information
CN104079407A (zh) * 2013-03-29 2014-10-01 北京千橡网景科技发展有限公司 令牌生成和验证方法以及设备
JP6354132B2 (ja) * 2013-10-09 2018-07-11 富士ゼロックス株式会社 中継装置、中継システム及びプログラム
US10462210B2 (en) 2014-02-13 2019-10-29 Oracle International Corporation Techniques for automated installation, packing, and configuration of cloud storage services
CN105142139B (zh) * 2014-05-30 2019-02-12 北京奇虎科技有限公司 验证信息的获取方法及装置
US9721117B2 (en) 2014-09-19 2017-08-01 Oracle International Corporation Shared identity management (IDM) integration in a multi-tenant computing environment
US10298400B2 (en) * 2015-02-06 2019-05-21 eStorm Co., LTD Authentication method and system
KR101811121B1 (ko) * 2016-01-13 2018-01-25 민정곤 인증된 릴레이 서버를 통한 서버 보호 방법
US10637772B2 (en) * 2016-05-28 2020-04-28 Guardtime Sa Verification mechanism for network service chain paths
US10382428B2 (en) * 2016-09-21 2019-08-13 Mastercard International Incorporated Systems and methods for providing single sign-on authentication services
US10223541B2 (en) * 2017-01-24 2019-03-05 Salesforce.Com, Inc. Adaptive permission token
EP3602445A4 (en) * 2017-03-19 2020-12-02 Tokenid, Inc. APPARATUS AND METHOD FOR AUTHORIZING PAYMENT AND SEGMENTATION IN UNITS BASED ON AUTHENTICATION
CN113766035B (zh) * 2017-03-28 2023-05-23 创新先进技术有限公司 一种业务受理及共识的方法及装置
FR3073998B1 (fr) * 2017-11-23 2019-11-01 In Webo Technologies Procede numerique de controle d'acces a un objet, une ressource ou service par un utilisateur
US11632360B1 (en) 2018-07-24 2023-04-18 Pure Storage, Inc. Remote access to a storage device
US10936191B1 (en) 2018-12-05 2021-03-02 Pure Storage, Inc. Access control for a computing system
US11477187B2 (en) * 2020-03-06 2022-10-18 International Business Machines Corporation API key access authorization
WO2021232347A1 (en) * 2020-05-21 2021-11-25 Citrix Systems, Inc. Cross device single sign-on
US20220337590A1 (en) * 2021-04-16 2022-10-20 Palo Alto Networks, Inc. Mitigating multiple authentications for a geo-distributed security service using an authentication cache
EP4096047A1 (de) * 2021-05-27 2022-11-30 Siemens Energy Global GmbH & Co. KG Elektrische einrichtung sowie verfahren zum betreiben der elektrischen einrichtung
CN115250204B (zh) * 2022-09-22 2022-12-09 四川蜀天信息技术有限公司 一种集中处理登录鉴权的方法及系统

Family Cites Families (21)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6212635B1 (en) * 1997-07-18 2001-04-03 David C. Reardon Network security system allowing access and modification to a security subsystem after initial installation when a master token is in place
WO1999066384A2 (en) 1998-06-17 1999-12-23 Sun Microsystems, Inc. Method and apparatus for authenticated secure access to computer networks
US6711679B1 (en) 1999-03-31 2004-03-23 International Business Machines Corporation Public key infrastructure delegation
US6226752B1 (en) * 1999-05-11 2001-05-01 Sun Microsystems, Inc. Method and apparatus for authenticating users
US6609198B1 (en) * 1999-08-05 2003-08-19 Sun Microsystems, Inc. Log-on service providing credential level change without loss of session continuity
ATE345002T1 (de) * 1999-09-24 2006-11-15 Citicorp Dev Ct Inc Verfahren und vorrichtung für authentifizierten zugang zu einer mehrzahl von netzbetreibern durch eine einzige anmeldung
US6510464B1 (en) * 1999-12-14 2003-01-21 Verizon Corporate Services Group Inc. Secure gateway having routing feature
AU2290801A (en) * 1999-12-21 2001-07-03 Netscape Communications Corporation Hardware token self enrollment process
JP4586250B2 (ja) 2000-08-31 2010-11-24 ソニー株式会社 個人識別証明書リンクシステム、情報処理装置、および情報処理方法、並びにプログラム提供媒体
US7043050B2 (en) * 2001-05-02 2006-05-09 Microsoft Corporation Software anti-piracy systems and methods utilizing certificates with digital content
US8005965B2 (en) * 2001-06-30 2011-08-23 International Business Machines Corporation Method and system for secure server-based session management using single-use HTTP cookies
US7114078B2 (en) * 2001-08-31 2006-09-26 Qualcomm Incorporated Method and apparatus for storage of usernames, passwords and associated network addresses in portable memory
US7353393B2 (en) * 2001-09-07 2008-04-01 Anoto Aktiebolag (Anoto Ab) Authentication receipt
US7376625B2 (en) * 2001-11-15 2008-05-20 Nokia Corporation System and method for activating individualized software modules in a digital broadcast environment
US7246230B2 (en) * 2002-01-29 2007-07-17 Bea Systems, Inc. Single sign-on over the internet using public-key cryptography
US7100049B2 (en) * 2002-05-10 2006-08-29 Rsa Security Inc. Method and apparatus for authentication of users and web sites
US7523490B2 (en) 2002-05-15 2009-04-21 Microsoft Corporation Session key security protocol
US7373508B1 (en) * 2002-06-04 2008-05-13 Cisco Technology, Inc. Wireless security system and method
US7234157B2 (en) * 2002-06-27 2007-06-19 Lenovo Singapore Pte Ltd Remote authentication caching on a trusted client or gateway system
CN1186723C (zh) * 2003-01-29 2005-01-26 西安海星现代科技股份有限公司 基于软件令牌的适用于网络的动态口令身份认证系统
CA2551113C (en) * 2003-12-23 2011-11-01 Wachovia Corporation Authentication system for networked computer applications

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2010142114A1 (zh) * 2009-06-08 2010-12-16 西安西电捷通无线网络通信股份有限公司 可保护平台配置信息的平台认证系统及方法
CN102281330A (zh) * 2011-08-03 2011-12-14 深圳市科迪特信息技术有限公司 用于saas平台的数据存储、通讯访问及控制的方法
CN107124390A (zh) * 2016-02-25 2017-09-01 阿里巴巴集团控股有限公司 计算设备的安全防御、实现方法、装置及系统

Also Published As

Publication number Publication date
US20060179312A1 (en) 2006-08-10
US20100017859A1 (en) 2010-01-21
US20050138362A1 (en) 2005-06-23
EP1697818B1 (en) 2018-05-30
BRPI0417326B1 (pt) 2019-03-06
CA2551113C (en) 2011-11-01
BRPI0417326A (pt) 2007-03-13
EP1697818A4 (en) 2014-06-11
HK1131290A1 (en) 2010-01-15
EP1697818A2 (en) 2006-09-06
CA2551113A1 (en) 2005-07-14
CN101421968B (zh) 2011-01-26
US7610617B2 (en) 2009-10-27
WO2005062989A3 (en) 2008-12-18
WO2005062989A2 (en) 2005-07-14
US7725710B2 (en) 2010-05-25

Similar Documents

Publication Publication Date Title
CN101421968B (zh) 用于连网计算机应用的鉴权系统
JP3595109B2 (ja) 認証装置、端末装置、および、それら装置における認証方法、並びに、記憶媒体
US7352867B2 (en) Method of preventing unauthorized distribution and use of electronic keys using a key seed
US6732270B1 (en) Method to authenticate a network access server to an authentication server
DK2481230T3 (en) A method for authentication, method of payment authorization, and similar electronic devices
CN101393628A (zh) 一种新型的网上安全交易系统和方法
WO2018030289A1 (ja) Ｓｓｌ通信システム、クライアント、サーバ、ｓｓｌ通信方法、コンピュータプログラム
CN114244508A (zh) 数据加密方法、装置、设备及存储介质
RU2363985C2 (ru) Аутентификация на основе вызова, не требующая знания секретных аутентификационных данных
CN103188212A (zh) 电子钱包的安全管理方法及服务终端、电子钱包系统
CN114270386A (zh) 用于同意架构的认证器应用
Hu et al. An efficient multi-server password authenticated key agreement scheme using smart cards
CN106230840A (zh) 一种高安全性的口令认证方法
Dowlatshah et al. A secure and robust smart card-based remote user authentication scheme
Srivastava et al. A review on remote user authentication schemes using smart cards
Chatterjee et al. A novel multi-server authentication scheme for e-commerce applications using smart card
Shah et al. Encryption of data over http (hypertext transfer protocol)/https (hypertext transfer protocol secure) requests for secure data transfers over the internet
CN113688405A (zh) 一种基于区块链的双向认证混合加密方法
Lin et al. An improved lightweight pseudonym identity based authentication scheme on multi-server environment
Téllez et al. Security in mobile payment systems
Boonkrong et al. Authentication and key establishment protocols
Bakare et al. Improved Secure Biometric Authentication Protocol
Abdulrazaq Memory-agency Based Authentication Scheme
Das et al. A simple and secure authentication and key establishment protocol
Babu et al. Risk assessment mitigation of Kerberos protocol using public key cryptography

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
REG Reference to a national code

Ref country code: HK

Ref legal event code: DE

Ref document number: 1131290

Country of ref document: HK

C14 Grant of patent or utility model
GR01 Patent grant
REG Reference to a national code

Ref country code: HK

Ref legal event code: GR

Ref document number: 1131290

Country of ref document: HK

C41 Transfer of patent application or patent right or utility model
TR01 Transfer of patent right

Effective date of registration: 20170301

Address after: California, USA

Patentee after: WELLS FARGO BANK, N.A.

Address before: California, USA

Patentee before: Wells Fargo Company

Effective date of registration: 20170301

Address after: California, USA

Patentee after: Wells Fargo Company

Address before: North Carolina

Patentee before: Wachovia Corp.