CN101507233A - 用于提供对于应用程序和基于互联网的服务的可信单点登录访问的方法和设备 - Google Patents

用于提供对于应用程序和基于互联网的服务的可信单点登录访问的方法和设备 Download PDF

Info

Publication number
CN101507233A
CN101507233A CNA2007800311193A CN200780031119A CN101507233A CN 101507233 A CN101507233 A CN 101507233A CN A2007800311193 A CNA2007800311193 A CN A2007800311193A CN 200780031119 A CN200780031119 A CN 200780031119A CN 101507233 A CN101507233 A CN 101507233A
Authority
CN
China
Prior art keywords
website
user
tpm
sso
password
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CNA2007800311193A
Other languages
English (en)
Other versions
CN101507233B (zh
Inventor
Y·C·沙阿
I·查
A·雷兹尼克
O·洛佩兹-托拉斯
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
InterDigital Technology Corp
Original Assignee
InterDigital Technology Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by InterDigital Technology Corp filed Critical InterDigital Technology Corp
Priority to CN201210592895.3A priority Critical patent/CN103067399B/zh
Publication of CN101507233A publication Critical patent/CN101507233A/zh
Application granted granted Critical
Publication of CN101507233B publication Critical patent/CN101507233B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/32—User authentication using biometric data, e.g. fingerprints, iris scans or voiceprints
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/41—User authentication where a single sign-on provides access to a plurality of computers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0884—Network architectures or network communication protocols for network security for authentication of entities by delegation of authentication, e.g. a proxy authenticates an entity to be authenticated on behalf of this entity vis-à-vis an authentication entity

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Storage Device Security (AREA)
  • Information Transfer Between Computers (AREA)
  • Telephonic Communication Services (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

一种基于可信计算(TC)技术的用于密码管理和单点登录(SSO)访问的方法和设备。该方法实施可信计算组(TCG)的可信平台模块(TPM)，其与代理SSO单元和网络访问应用程序交互来提供安全、可信的机制来产生、存储和重新获得密码和SSO证书。本发明的各个实施方式允许在一次登录到位于用户设备中的安全代理中之后，用户能够安全且透明地从属于预识别站点组中的一个站点跳到另一个站点。

Description

用于提供对于应用程序和基于互联网的服务的可信单点登录访问的方法和设备
技术领域
本发明涉及无线通信。更具体的，公开了用于提供对于应用程序和基于互联网的服务的可信单点登录(SSO)访问以及可信的身份(ID)管理的方法和设备。
背景技术
由于无线通信设备的不断增加，需要增强和简化用户登录到由第三方互联网内容供应商提供的独立安全网站的认证过程。为了获得对这些网站的访问，需要用户为每个服务设置唯一的用户ID和密码。然而，使用符合不同密码策略的多个用户ID和密码是棘手的并且会变为安全缺口。因此，非常需要一种用于增强密码管理的安全等级并且同时为无线通信设备用户简化用户认证过程的方法。
因为第三方网站服务与无线网络运营商保持独立的协议，所以将用户认证过程基于访问网络上的第三方服务是不现实的，该访问网络是无线网络比如无线电接入网络(RAN)、固定或低移动性无线网络(例如IEEE 802.16型网络)或者固定有线网络。因为服务供应商和用户经常使用单个身份通过多个RAN、无线网络或固定网络来访问服务，用户和第三方服务供应商将有可能在不同网络上实施SSO操作，其中网络运营商可保持对授权用户许可的控制。
在一种情况下，无线网络运营商和第三方ID业务供应商可提供唯一用户ID给用户来在不同类型的网络、运营商和服务供应商之间实现无缝的服务连续性。唯一用户ID可分解在不同网络类型和实体的服务之间以及服务供应商边界的频率和高容量的改变带来的过渡问题。
对于密码或认证证书的不良管理会对安全产生毁灭的影响。攻击者可通过薄弱的或被盗的密码来获得对敏感数据的访问。不良的密码管理还会导致运行成本的增加。例如，帮助桌面(Help Desk)需要容量会随着需要重新获得或重置丢失或遗忘密码的用户的数量增加而大幅增加。
以下是将在下文详细描述的用于改善密码管理的现有技术：特定密码策略、无密码认证、生物因素、密码同步、证书映射、企业单点登录(E-SSO)、结合密码同步的E-SSO、网站单点登录(Web-SSO)以及安全声明标记语言(SAML)。
为了增强用户的密码等级，一个组织实施特定密码策略。普通的密码策略需要用户设置很难猜到的密码或频繁地更换密码。密码策略还可备份用户密码历史纪录来防止立即重用密码，或实施封锁策略来封锁在一定量的尝试之后登录失败的任何人。然而，实施好的密码策略会增强密码安全性时，其还鼓励用户设置便于记忆和管理的模式化密码。例如，用户可使用字符和数字的组合来建立密码，比如@#$％9876来满足密码策略的复杂性要求。然而，当用户被系统提示来更改密码时会使用旧密码的变形来建立新密码，比如@#$％8765或@#$％7654。模式化密码的使用削弱了密码的安全等级，这是因为已知用户的密码历史会使得对旧密码变形的破译尝试次数大大减少。因为复杂的密码很难记忆，严格的密码策略会导致用户对于不同的服务采用相同的密码。当在不同服务中都使用密码时，在任何一种服务中的单个密码危机会导致在所有其它服务中的密码危机。
无密码认证是另一种用于改善认证过程安全性的技术。个人和组织采用不依赖用户ID和密码的认证方法，比如智能卡和认证代码。智能卡使用固有密码(个人身份号码(PIN))来对存储在卡上用于用户认证目的的复杂密码解锁。这种设置消除了对用户输入密码的需求，并且使用多因素认证(物理智能卡和存储其上的PIN)来认证用户。然而，智能卡具有比如设置系统的高预支付成本，以及用于维持对丢失、被盗和其它危机卡的帮助桌面支持的高维护成本。
使用生物因素来认证用户也正流行起来。普通的生物认证设备包括视网膜扫描仪、指纹扫描仪和手部扫描仪。这些设备用从用户的身体属性获得的数据来认证用户。这种设备的一个缺陷是它们的实施和维护都是昂贵的。
密码同步是允许用户在多个系统中使用一个单一的密码的技术。在密码同步中，密码是符合对于密码重置和密码更改的单一安全策略的。在这种技术中，从一个位置提取密码的纯文本拷贝并且将其置于一个或多个外部服务位置。为了实现这种方案，每个用户的用户简档的拷贝必须在每个系统被建立开始时就存在于其中，并且在系统运行的整个时期都保持。密码同步中的密码更改可通过单向推动或双向推动来进行。在单向密码推动中，在中央系统中的密码更改被截取并被推动到网络内的其它位置。在双向密码推动中，密码更改可在任何系统中作出并且在整个密码结构中传播。
单向密码推动的主要问题在于存储密码的系统的安全性测量。因为同步的密码在多个系统中使用，在任一系统中的安全危机会导致所有系统中的灾难性的安全危机。尽管双向密码同步提供更大的用户灵活性，但是其也会导致其它问题，比如建立密码更改的无穷循环。因为系统被程序化来将新的数据传播到系统的其它部分，所以系统会受困于无尽的密码更新过程来传播在单个密码上的多个密码更改。
因此，尽管密码同步使得用户不需要记忆和管理网络中多个密码，但是密码同步也通过允许用户使用一个密码来访问多个服务而削弱了密码的安全性。
证书映射，通常被称为E-SSO，是一种代表用户存储、重新获得和“键入”用户ID和密码的技术。为了实施E-SSO，E-SSO软件的一份副本必须被安装在每个WTRU上。用于每个系统和应用程序的用户ID和密码被存储在本地文件、附着于网络的数据或者用户目录中。在最初的安装之后，用户可通过它们先前那样的操作或者通过新的E-SSO软件接口登录到他们的工作站。当用户请求使用他们的工作站连接到应用程序时，E-SSO软件自动地添加应用程序的登录页的用户ID和密码字段。
在E-SSO系统中，用户使用一组或两组用户证书(例如用户ID和密码)登录到他们的工作站：(1)当用户仅需要登录到E-SSO软件而不是他们的工作站时；以及(2)当用户必须登录二者时。
一些E-SSO系统支持除了用密码登录网站以及访问用户的证书简档的其它认证技术的使用，包括智能卡、认证符号或生物采样。此外，一些E-SSO技术被配置为对于每个目标完全控制密码管理。这种方式消除了对用户为任意目标系统记忆密码的需要。E-SSO软件自动代表用户登录。
在E-SSO中，用户不需要在目标系统上更改密码。软件组织并预期密码更改请求并且代表用户相应地更改密码。如果目标系统仅通过证书管理软件来访问那么证书映射密码管理特征是最佳的。
尽管E-SSO系统提供保护用户密码的功能，但是系统具有成本高和建立繁琐的缺陷。实施E-SSO系统不仅需要为每个用户建立登录ID，而且为每个用户对于每个目标应用程序存储当前密码。建立E-SSO系统还需要安装客户端软件和配置证书数据库用于存储用户ID和密码。数据库可通过专用网络服务或者通过扩展已有目录(例如有效目录、LDAP、NAS)的概要来获得。证书数据库本身具有多个要求。为了实现其目的，数据库必须是快速和可用的，因为数据库中的一个故障会阻止大量用户登录到任何系统。此外，数据库也必须是安全的，因为数据库中的危机会导致所有系统中每个用户证书的危机。
作为中央密码控制系统，E-SSO引入了单故障点。如果E-SSO系统或者证书数据库出问题，那么用户不能登录到任何系统。此外，E-SSO技术不支持对于支持多个用户接口的应用程序(例如客户机、网站、电话等)的认证过程。此外，因为E-SSO依赖于Windows“截屏”技术，E-SSO系统的配置和管理成本很高，特别是在多种工作站上进行时。因此，E-SSO系统不仅是缓慢、耗时、建立和登记成本高的，并且还是易于单故障点。
将E-SSO与密码同步结合会解决仅实施E-SSO系统的一些缺陷。例如，不用密码同步技术，用户将不能使用他们的E-SSO密码来登录到使用可替代的用户接口的应用程序。因为用户不是一定知道他们的密码，使用私人客户端比如Microsoft Outlook的用户不能通过网络入口访问e-mail帐户。通过将密码同步与E-SSO结合，用户可使用他们的原始密码来通过可替换接口比如网络入口登录到其它应用程序。此外，在配置E-SSO系统之前配置密码同步系统减小了获得每个用户的用户ID简档的时间和精力。
在E-SSO系统中，用户证书典型地用从原始E-SSO密码获得的密钥来加密。在这种配置下原始E-SSO密码的丢失会导致对于每个系统的用户证书的丢失。甚至在丢失的E-SSO密码被重置后，加密证书将不能被访问，因为证书是用从丢失密码获得的密钥加密的。换句话说，重置用户的E-SSO密码将不能重新获得用户证书，并且用户必须用E-SSO系统重新登记。
为了解决这个问题，E-SSO系统必须提供“后门”来在E-SSO密码重置后恢复用户证书。密码重置系统必须集成该后门系统或者提供其本身的后门。在重置用户的原始E-SSO密码之后，密码重置系统必须从安全存储中恢复用户的先前密码，解密用户的旧证书并且用新的密码和密钥重新加密，从而E-SSO客户端软件能够被重新访问。
集成密码重置、密码同步和E-SSO系统解决了该问题并且允许组织能够享受到快速配置、自动登录和自我服务问题解决的益处。然而，这些技术的结合不能解决安全密码和登录证书的发行。此外，在任何客户机或服务器软件或数据库中的危机都会危及用户简档。并且，该结合还不能提供证明进行密码同步和E-SSO的系统的“健康”状态的方式。没有这种证明，一旦用户被系统授权，用户可在甚至系统有危机的时候访问系统。
Web-SSO用应用程序和通过网页浏览器访问的资源来工作。在Web-SSO中，对网络资源的访问被网络代理服务器或在目标网络服务器上的组件拦截，并且尝试访问网络资源的未认证用户被转移到认证提示，并且仅在成功的登录之后才被重新定向到原始站点。Cookies是最常用于追踪用户的认证状态的，并且Web-SSO基础从Cookies中提取用户身份信息并且将其传递到网络资源。
屏幕截取和联盟是在Web-SSO中使用的两种最重要的现有技术。普通类型的屏幕截取是网络截取。网络截取也被称为HTML截取或者页面截取，是一种计算机程序网络截取器从网页上提取数据的技术。网络截取可被用于E-SSO或Web-SSO中。
截屏技术是有用的，因为网页是使用通常包括文本形式信息的基于文本标示语言(例如HTML)来建立的。相反，程序之间的数据交换通常使用不易被人们理解的为机器设计的数据结构来完成。类似的，用于用户的数据输出通常不适用于机器解释。因此，需要截屏来完成程序之间的数据传送，通过首先从HTML和其它标示机器语言中提取机器友好数据，并随后在程序之间交换所提取的机器友好数据。
当执行截屏时，从计算机文本显示器读取的数据通常通过其辅助端口读取终端的存储器、或者通过将终端的输出端口连接到另一个系统的输入端口来完成。在这些情况下，屏幕截取还可指网页的计算机化解析。
截屏通常被执行来(1)连接不能够提供与兼容当前硬件的可替换机构的合法系统，或者(2)连接提供较不复杂应用程序接口(API)的第三方系统。在第二种情况下，第三方系统会考虑不需要截屏，因为比如会增加系统负载、广告收入损失或信息内容的控制损失的原因。
图1说明了在使用网络截取的Web-SSO的现有技术的WTRU中的示例程序。在该图表中，假设WTRU配备了代理软件并且在WTRU上的网络访问应用程序与SSO代理软件协同交互来允许代理建立和控制SSO在网络服务上的程序。例如当浏览器接收访问URL的请求时，其将URL传输到SSO代理软件来验证web-SSO是否能被用于访问特定网站。
联盟是第二种用于使用基于标准的协议来使得一个应用程序对于另一个实体维持用户身份的web-SSO的重要技术，从而不需要多余的认证。支持联盟的说明标准包括自由联盟(Liberty Alliance)ID-FF、OASIS、SAML以及Shibboleth，由Internet2开发。自由联盟提供一组开发包含定义联盟身份管理和网络服务通信协议的说明的组的广义工业协会。协议被设计用于企业内和企业间的配置。
OASIS是开发用于电子商务的解决方式的非盈利性组织。当前版本为2.0的SAML是用于安全维持的标示语言，其包括可实现SSO认证的用户身份信息。Shibboleth是基于联盟身份和SAML为认证和授权基础建立结构和开放源实施方式的Internet2中间设备开始(NMI)项目。
图2说明了使用自由联盟ID-FF的WTRU用户的web-SSO程序。在web-SSO的环境中，自由联盟使得用户登录到单独帐户并且从网络中的ID管理实体管理的“信任圈子”中的多个服务供应商请求服务。自由联盟的一个显著特征是“联盟”过程。自由联盟允许用户确定他们是否想要不经过重新认证而访问服务供应商(SP)，而不是确定用户在不经过重新认证时必须拥有什么类型的权利来访问SP。为了获得这个权利，用户必须首先由被识别为SP的身份供应商(IDP)来认证。这使得自由联盟称为用于扩展企业框架环境中的用于身份管理的可行框架，其中用户典型的将个人数据的管理委托给企业。
SAML是由OASIS组织建立的XML标准，用于在安全域之间即在IDP和SP之间交换认证和授权数据。图3描述了SAML组件之间的关系。SAML尝试通过在网络实体之间实现无缝和可靠的认证程序和安全维持信息的交换来解决web-SSO的问题。SAML标准利用以下组件：(1)维持组件，(2)协议组件，(3)捆绑组件，(4)和简档组件。维持组件允许实体来维持另一个实体的特征和属性，比如用户名、状态、邮件地址、团体中的会员等。协议组件通过XML方案编码并且定义请求-响应相关协议的列表。
捆绑组件定义SAML协议消息如何在SOAP消息中传送并且SOAP消息如何在HTTP上传送。SOAP消息是完好形成的XML消息，其根据W3C组织SOAP版本1.2封装和编码规则来建立。图4示出了在典型的捆绑情况下在SAML组件之间的交换的例子。简档组件是SAML规范的核心，其定义SAML请求和相应怎样传送。
尽管独立ID-FF和SAML在增强密码安全等级中起到了重要的作用，但是都没有解决怎样保证需要用于用户的设备或IDP和SP中的web-SSO的敏感信息安全。此外，因为独立ID-FF和SAML最终放弃了对用户到IDP和SP的认证过程的控制，所以所需要的用户的个人信息、用户简档的公开会导致该过程中的危机。
在文献和产品中出现了可信的计算技术，大多是在可信计算组(TrustedComputing Group(TCG))的技术伞之下。可信计算是基于提供密码功能和保护存储的专用、物理独立硬件模块的物理安全的。
TCG已经开发了提供方法用于计算实体来维持系统完整性的方法的各种技术，来当建立了适当可信等级时验证认证过程，并且在与其它设备的信息交换和处理上基于这些目标设备的明显可信等级来执行评估和决定。
TCG定义了被称为可信平台模块(TPM)的核心平台模块。图5描述了TPM的组成，该TPM提供TPM模块及其接口的物理保护。该模块还提供对于易失性和非易失性存储空间的保护以及执行加密和数字签名的密码功能。TPM使用平台配置寄存器(PCR)基于公钥基础(PKI)通过HASH扩展和用户设备细节和安全背书密钥(EK)来捕捉平台及其软件不见的“状态”。EK从未被暴露在外，但是其假信号、证明身份密钥(AIK)被用于验证平台的完整性数值。此外，TPM在存储器中使用“密封”数据结合AIK签名的PCR值的过程，从而数据仅当来自TPM和密封存储器的匹配PCR值测量和验证的平台或软件的完整性被验证时才能被访问或提取。
图6说明了外部实体(攻击者或验证者)可怎样使用TPM、AIK和私有证书权力(PCA)来进行请求平台证明。这种证明机制对于改善SSO技术的可信性和安全性方面都是有用的。
TCG还可指定用于包括TPM的计算平台的详细TPM软件堆栈(TSS)。每个TSS模块包括提供特定功能的组建。这些组建的最初设计目的是提供对TPM的单个、同步的登录点，用根据应用程序适当排序和排列的字节来隐藏建立指令流以及管理TPM资源。
图7示出了TPM和TSS层的结构。TSS模块包括以下组件：(1)与标准化TPM设备驱动器库(TDDL)交互的TSS设备驱动器接口(TDDLI)；(2)与TPM的TCS指令(未示出)交互的TSS核心服务接口(TCSI)；以及(3)与TCG的TSP指令(未示出)交互并且位于应用程序之下的TCG服务供应商接口(TSPI)。在TPM一侧，TDDL位于卖家特定的TPM设备驱动器顶部，其与TPM通信。
TDDLI保证TSS的不同实施方式将与任何TPM适当通信，将提供OS独立接口用于TPM应用程序，并且将允许TPM卖家提供软件TPM仿真器作为用户模式组建。TDDL在平台上提供用户模式和内核模式的转换。TCG核心服务(TCS)提供对于平台服务的普通设置的接口。TCS提供以下四种核心服务：(1)上下文管理，其实施对TPM的线程访问；(2)证书和密钥管理，其存储关于平台的证书和密钥；(3)测量事件管理，其管理事件日志项目并且访问相关PCR，以及(4)参数模块产生，用于连续化、同步化并处理TPM指令。
TCG服务供应商(TSP)是基于目标定向结构的对于TPM的C接口。TSP与应用程序位于相同的处理地址位置内。授权发生在该层中，通过使用为该层编码的用户接口或者通过在TCS层的回呼机制。为了为终端用户提供标准化的授权接口，本地应用程序不提供认证服务，而是由平台提供。
TSP提供两种服务：(1)上下文管理；以及(2)加密。上下文管理提供允许对应用程序和TSP资源的有效利用的动态处理。每个处理为一组相关的TCG操作提供上下文。应用程序中不同的线程可共享相同的上下文或者可获得独立的上下文。
为了充分利用TPM保护功能，必须提供支持密码功能。TSP不提供这种支持，除非其对于执行TPM说明所需要的操作是必须的。特别的，大量数据加密不被接口暴露。TPM指定密码功能的例子包括消息消化和少量(小于1024字节)数据的加密。
发明内容
公开了一种用于基于可信计算技术的密码管理和SSO访问的方法和设备。该方法实施TCG的TPM，其与代理SSO单元和网页访问应用程序交互来提供安全、可信的机制，以产生、存储和重新获得密码和SSO证书。各种实施方式允许用户在仅一次登录到位于用户设备中的安全代理之后，安全且透明地从一个站点跳到另一个属于预识别站点组中的站点。
在用户登录到移动设备之后，位于设备上的代理SSO单元拦截尝试访问属于登记组的安全站点的应用程序，并且使用由TPM产生并保持的每个站点安全密码来登录到组中的单独站点。可通过硬件或软件来实施的代理SSO单元还由TPM保护其完整性。这通过不需要用户单独记忆或存储的TPM产生的随机密码为对不同站点使用SSO的过程提供了高等级的可信性。
SSO特征可被应用到任何数量的安全站点，并且列表可随着用户在互联网上导航并访问新的网络服务器来增长。每个网络服务器具有与其相关的安全登录证书，其与可实现SSO程序的自主操作的TCG产生的用户证书相关联，从在网络服务器上的最初登记到随后的登录和认证会话。作为一项选择，用户可由实现其SSO网络访问的网站组的代理软件提供一个提示。用户将能够选择是否允许对代理软件指示的网站组或者其子集的SSO操作。
附加实施方式包括用于E-SSO的TPM增强、以及具有联盟身份管理的web-SSO的机制。
附图说明
从以下关于优选实施方式的描述中可以更详细地了解本发明，这些优选实施方式是作为实例给出的，并且是结合附图而被理解的，其中：
图1是根据现有技术的用于WTRU的web-SSO的示例流程图；
图2是根据现有技术的用于web-SSO处理配备有自由联盟ID-FF的WTRU的示例流程图；
图3示出了SAML组件之间关系的框图；
图4示出了SSO中SP发起的后-后捆绑的例子；
图5示出了一般TPM的框图；
图6示出了由外部方使用TPMAIK的用于AIK证书验证过程的例子；
图7是TPM和TSS中的不同层的框图；
图8是无线通信系统的示例框图；
图9是使用TPM/TSS的安全自动登录的实施方式的示例框图；
图10是使用TPM/TSS和装置可信镜像的安全自动登录的实施方式的示例流程图；
图11是基于使用TPM的组方式密码的使用TPM/TSS的用于网络访问的SSO的实施方式的示例流程图；
图12是使用自由联盟ID-FF的无线通信系统的示例框图；
图13是使用自由联盟ID-FF的TPM/TSS保护的web-SSO的实施方式的流程图。
具体实施方式
在此提及的术语“无线发射/接收单元(WTRU)”包括但不限于用户设备(UE)、移动站、固定或移动用户单元、传呼机、蜂窝电话、个人数字助理(PDA)、计算机或者能够在无线或结合了无线/有线的环境中操作的任何其他类型的用户设备。在此提及的术语“基站”包括但不限于Node-B、站点控制器、接入点(AP)或者任何类型的能够在无线环境中操作的接口设备。
图8是包括至少一个WTRU 805和无线电接入网络(RAN)807的无线通信系统800的示例框图。WTRU 805与用户809交互并且WTRU 805包括单点自动登录(SASO)代理单元810、TPM/TSS 815、网络访问应用程序(WAA)820。TPM/TSS 815与SASO代理单元810和WAA 820交互，以提供安全、可信的机制来产生、存储和重新获得密码和SSO证书。SASO代理单元810由TPM/TSS 815来保护其完整性，因此在对不同网站使用SSO时能够实现高等级的可信性。TPM/TSS 815通过存储和产生不需要用户单独记忆的随机密码来提供这种高等级的可信性。RAN 807典型地包括对至少一个网站830a-c的访问。可选的，RAN 807还包括装置可信镜像(DTM)835。
为了最小化用户809需要记忆的密码数量，提供了一种机制，通过它用户809首先建立一个站点或应用程序的列表，并且随后SASO代理单元810在其自身的日志和随后由TPM/TSS 815使用存储器密钥绑定或利用内部存储器安全保管的日志来记录信息。SASO代理单元810使用协作绑定或拦截技术比如网络截取来解释用户对于应用程序或网站830的访问请求，以及从应用程序或网站830登录和/或密码键入的提示。
用户809的证书(也被称为根身份)可被安全地存储在TPM/TSS 815本身中或另一个安全存储设备比如USIM中。此外，可从该根身份建立密钥分级结构。根身份被安全地保存在设备中并且不会被泄漏到安全或可信域之外。
当用户809第一次登录到安全网站830时，WAA 820与SASO代理单元810和TPM/TSS 815交互来建立与用于网站830的证明信息相关联的高熵值(high entropy)、唯一的ID和高熵值的密码。此后，无论何时用户809想要访问网站830，用户的证书被自动输入到经由通信链路通过WAA 820、SASO代理单元810和TPM/TSS 815之间的交互发送的信息中。
可选的，无论何时用户809访问RAN 807，WTRU 805以同样的方式使用SASO代理单元810和TPM/TSS 815来建立与RAN 807中相关网络元件比如服务供应商(SP)或身份供应商(IDP)(未示出)之间的可信关系。可替换的，RAN 807保持特定的系统部件或与可信的第三方实体比如DTM 835的关系。一旦WTRU 805与RAN 807具有建立的可信关系和安全链路，DTM835作为用于移动可信服务的代理和用于为每个安全网站建立的密码的数据库。
用户809可从功能上获得对WTRU 805的访问并且因此通过使用单点登录ID和密码访问WTRU锁定机制从而获得对互联网的访问。一旦登录，所有其它服务都可由WTRU 805透明地处理。此外，密钥卡(key fobs)、智能卡和/或生物统计可被用于提供安全的两个或三个因素认证来访问电话特征。可选的，认证证书可被发送到RAN 807，用于认证和使得用户访问设备。
TPM/TSS 815提供对于数据(包括密码)固有安全性，通过提供物理保护界限来加密地保护和存储密码。然而，数据保护的强度在密码或秘密密钥用于保护这种数据的情况下，还部分地依赖于数据本身的强度和新鲜度。在给出加密数据的充足采样以及在攻击者的配置上有足够的计算能力和时间时，很强保护的数据可被破坏。因此，更新密钥，并且如果需要用新的密钥来对数据重新加密，可对窃听者解密加密身份和认证数据的尝试提供附加的安全屏障。用于通用认证的密钥和密码应当由TPM/TSS 815频繁地更新。这种更新将需要一种协议，利用该协议初始化、获得和执行关于数据和/或密钥更新。
在一种可替换的实施方式中，WTRU 805内部包括通用用户身份模块(USIM)(未示出)。作为独立和保护实体的USIM，提供用于软件的第二安全执行环境以及用于数据比如密码的安全存储之处。因此，SASO代理单元810可位于USIM中。WAA 820还可以位于USIM中。
在WTRS 805的另一种可替换实施方式中，USIM可将TPM/TSS 815替换为单独“安全”执行环境。在这种情况下，WTRU 815可不具有执行平台的功能和/或通常由TPM/TSS 815提供的应用程序完整性测量、验证和证明的功能。然而，因为USIM是独立的、受保护和安全的执行环境，其可实现SASO代理单元810甚至可能是WAA 820的安全执行。USIM还可被配置为产生和存储高熵值的特定站点密码并且被配置为存储SSO密码和SSO证书。
在WTRU 805的另一种可替换实施方式中，在此充分合并引用2007年5月8日提交的美国专利申请No.11/745,697中所公开的内容，该申请中所公开的“扩展”USIM位于WTRU 805中，并且为SASO代理810、WAA 820以及TPM/TSS 815提供安全执行环境。
图9示出了根据一种可替换的实施方式的图8的系统800的组件之间的信号发送。特别的，图9示出了用于SASO使用TPM/TSS 815用于网络访问的示例程序。
在步骤1005，当用户809通过一个安全因素或优选的两个或三个因素认证获得对WTRU 805的访问时，程序被初始化。这些认证因素是允许SASO代理单元810访问保持在TPM/TSS 815中的安全信息的机制。在步骤910，如果使用了生物第二或第三因素认证，SASO代理单元810发送请求到TPM/TSS 815来重新获得该生物认证数据来用于认证。在步骤915，TPM 810将生物认证数据供应给SASO代理单元810。接着，在步骤920，用户809发送请求到WAA 820来与安全网站注册。在步骤925，WAA 820将用户809想要对其访问的愿望传递给网站A 830a。在步骤930，WAA 820接收并且显示或者否则指示网站A 830a的登录提示。在步骤935，SASO代理单元810通过网络截取或通过API或其它解析技术的结合来拦截来自WAA 820的网络A830a的认证。在步骤940，SASO代理单元810将用户ID信息(其可以是来自多因素认证的设备登录信息)传递到TPM/TSS 815。在步骤945，特定网站的安全密码由TPM/TSS 815产生和安全地存储(直接存储在TPMNV存储器中或者在普通存储器中但是由TPM保护绑定存储密钥加密)。在步骤950，SASO代理单元810随后拦截WAA 820并且通过比如截取或API的或其它解析技术的使用的方法来在用于网站A 830a的WAA 820的密码提示上填入特定网站的安全密码。在步骤955，WAA 820将该特定网站的密码传递到网站A 830A。在步骤960，网站A830a注册特定网站的密码并且将访问授权发送到WAA 820。一旦建立了注册，网站信息(例如URL、数字证书、用户ID和密码等)作为数据库记录共同安全地存储在TPM/TSS 815中或者作为由TPM/TSS 815绑定存储密钥保护的数据点。特定网站的密码可被SASO代理单元810重新使用，以用于随后登录到各个站点。在步骤965，在网站A 830a授权对WAA 820的访问时，WAA发送注册成功和访问授权消息到SASO代理单元810。在步骤970，可跟随正常的基于网络的通信。
注意到在图9中的步骤905到965被描述用于用户的特定站点的密码在网站由WTRU 805管理的初始注册。在这种初始注册之后，用户809可使用WAA 820来请求对网站A 830a的访问(类似于步骤920)。随后，SASO代理单元810可拦截来自WAA 820的登录提示(类似于步骤935)以获得存储在TPM/TSS 815的特定站点的密码(类似于步骤945)，并且通过截取、API或解析来在WAA 820上填入特定于网站A 830a的登录信息(类似于步骤950)。随后，WAA 820将特定网站的登录信息发送到网站A 830a(类似于步骤955)，并且网站A 830a在证明特定网站的登录信息供应之后，授权对WAA 820的请求服务的访问(类似于步骤960)，以及SASO代理单元810从WAA 820获得该访问授权消息，并且随后使得用户809知道该服务被授权。随后可跟随正常的基于网络的通信(类似于步骤970)。
当访问其密码被保持在TPM 820中的已经建立的网站时，可执行一组类似的程序。例如，步骤905到970可由SASO代理单元810在步骤970对于其它站点例如不同网站比如网站B 830b来重复。由TPM/TSS 815实现的编码完整性验证程序被用于保护SASO代理单元810和其它软件部件的完整性，来保证安全事务处理。如果建立了策略或简档例如来管理密码更新程序，TPM/TSS 815还通过将它们存储在由TPM绑定存储密钥保护的存储器中来保护策略和简档信息。如果用户809尝试访问非网络的第三方服务或安全服务器，那么与上述使用非常相似的程序可通过使用可由DTM 835管理的可信镜像程序的方式来使用。
图10示出了根据另一种实施方式的图8中的组件之间的信号发送。特别的，图10示出了用于SASO使用TPM/TSS 815和DTM 835用于在WTRU805和随后在DTM 835的用户认证信息的注册的用于网络访问的示例程序1000。典型地位于RAN 807中但是可位于RAN之外的DTM 835提供将WTRU 805的可信度“镜像”以及将这种信息证明给外部请求方的服务。例如DTM 835可采用管理用于图9所示的TPM/TSS 815所述的身份信息。
在步骤1005，用户809通过将他们的认证信息注册到SASO代理单元810来初始化程序1000。这种注册可通过使用通过一个因素或优选的两个因素认证来进行。此外，第三因素可以是由TPM/TSS 815安全保存的通过生物信息。同样在步骤1005，用户809可选择性地提供想要服务的列表。
接着，在步骤1010，SASO代理单元810将认证数据和想要服务的列表发送到TPM/TSS 815。在步骤1015，TPM/TSS 815密封认证数据和想要服务的列表到SASO代理单元810和WAA 820的整体。在步骤1020，SASO代理单元810为WTRU 805发送完整性信息(或者等同的证明信息)以及认证数据和应用程序和想要服务的列表到DTM 835。
在步骤1025，DTM 835将用户的认证证书注册到网站A，830a。在该过程期间，DTM 835和网站A 830a相互建立密码，其将被特别的使用来从网站A 830a获得用于用户809和WTRU 805的服务。在步骤1030，DTM 835将指示对网站A 830a注册完成的消息发送到SASO代理单元810。在步骤1035，SASO代理单元810指示给用户809注册完成。
在注册完成之后，用户可在使用可信DTM单元835进行中介的SASO过程(步骤1040—1095)中访问网站A 830a。在步骤1040，用户809指示SASO代理单元810(或者WAA 820，其中SASO代理单元830a可通过截取或类似技术拦截该消息)用户809想要访问网站A 830a。在步骤1045，SASO代理单元810指示给WAA 820用户想要访问网站A。可替换地，如果用户直接指示给WAA 820指示他们想要访问网站A 830a，并且SASO代理单元使用截取来获得相同信息，那么就不需要步骤1045。
在步骤1050，WAA 820将对于访问网站A 830a的请求发送到DTM 835。随后在步骤1055，DTM 835转发对于访问网站A830a的请求。在步骤1060，网站A 830a将对于特定服务的密码的请求发送到DTM单元835。在步骤1065，DTM单元835将特定网站的密码发送到网站A 830a。在步骤1070，网站A 830a将服务访问授权消息发送到DTM单元835。在步骤1075，DTM单元835将服务访问授权消息发送到WAA 820。在步骤1080，WAA 820指示给用户809该访问对于网站A 830a被授权。在步骤1085，用户可开始使用WAA 820从网站A 830a接收服务。
在步骤1088、1090和1093，DTM 835可请求并接收信息来验证WTRU805和WAA 820完整性的证明以及用户认证数据和特定服务的数据(比如应用程序和想要的服务的列表)的完整性。这种远程证明程序可使用的TPM/TSS 815在WTRU 805上的远程证明功能来完成。步骤1088、1090和1093的程序可在例如当WTRU 805被启动的时刻执行。这些步骤还作为步骤1050的部分被集成在从DTM 835到网站的服务请求消息中。类似于1040—1085的步骤可对于另一个网站重复，比如网站B 830b，或者注册列表上的任何其它网站。
在图10的一些可替换实施方式中，WTRU 805可不具有TRM/TSS 815。在这种情况下，仍然可使用DTM 835。再参考图10，如果WTRU不具有TPM/TSS 815，SASO代理单元810将用户和设备认证数据、想要服务的列表直接注册到DTM单元835。在信息的接收之后，DTM 835产生并维持高熵值的特定站点(或服务)的密码(类似于图10的步骤1125)。在初始注册之后，当用户809想要访问站点A830a时，那么SASO代理单元810提示WAA 820来访问DTM 835(类似于图10的步骤1145和1150)。DTM 835请求对网站A 830a的访问(类似于步骤1155)。网站A 830a将对于特定服务的密码的请求发送到DTM 835(类似于步骤1160)。DTM 835将特定网站的密码发送到网站A 830a(类似于步骤1165)。网站A 830a发送服务访问授权消息到DTM 835(类似于步骤1170)。DTM 835发送访问授权消息到WAA820(类似于步骤1175)。WAA 820指示给用户809对于网站A 830a的访问被授权(类似于步骤1180)。用户可开始使用WAA 820从网站A 830a接收服务(类似于步骤1185)。
图11示出了根据本发明另一种实施方式的图8的系统800的组件之间的信号发送。特别的，图11示出了用于SSO使用TPM/TSS 815以一种比现有技术更安全的方式用于网络访问的示例程序1100。
在该方法中，用户809配置一组站点，对于每个的访问由SASO代理单元810控制并且具有用户809提供的公共的特定组登录/密码。通过使用该程序，用户809可控制使用特定组密码控制对于特定网站“组”的访问，从而将SASO代理单元810的访问权限配置为每个用户809仅想要访问特定组的网站。例如，如果用户809仅提供对于“财经网站”组的公共密码但是没有提供对于“个人网站组”的另一个不同的密码，那么SASO代理单元810将被授权仅管理对于属于“财经网站”组的站点的SSO操作。如图11所示，该实施方式包括通过示例方式的以下优选信号发送步骤。顺序和/或内容中的其它改变是可能的并且仍然在实施方式的范围内。
在步骤1105，用户809可能在SASO代理单元810的提示下通过发送用于网站组建立的请求到SASO代理单元810来初始化程序1100。所述请求可包括网站A 830a和网站B 830b，以及用户对于网站组作出的SSO密码，以及属于该组的网站的URL。该步骤可以以递增的方式完成，由此用户809可通过仅具有网站A 830a并且随后增加或删除其它网站来建立组。如果该网站列表更新在任何点执行，SASO代理单元810将需要请求用于添加、删除或甚至解除绑定和重新绑定由TPM/TSS 815保持的一些数据(它们中的一些数据也由SASO代理单元810保持)的过程。
接着，在步骤1110，SASO代理单元810对于网站组中的每个网站注册网站URL和单独SSO密码。在步骤1115，SASO代理单元810随后将SSO密码、用于属于该组的所有网站的网站URL和网站证书、WAA 820和SSO代理单元810的地址处理发送到TPM/TSS 815，以及将用于数据绑定和对于特定网站的密码产生的请求发送到TPM/TSS 815。在步骤1120，对于网站列表中的每个URL，使用TPM随机数产生器(RNG)，TPM/TSS 815产生强加密的密码。随后在步骤1125，TPM/TSS 815绑定特定网站的URL、任何证书(包括站点证书)、SSO密码以及其产生的特定站点的密码在用TPM存储密钥加密的数据点中。这种密钥是“限制”在容纳TPM的平台(例如WTRU或计算机)中的。如果在步骤1105，用户809用其相关的信息(URL、证书等)指示了网站组的列表的更新(添加、删除或改变)，必须有一个来自SASO代理单元810和TPM/TSS 815的指示来添加或删除对于所影响网站的特定网站记录。
接着，在步骤1130，用户809将用于网站A 830a的URL提供给WAA820。在步骤1135，SASO代理单元810通过网络截取或通过API或其它解析技术的结合，拦截来自网站A 830a的密码提示。随后在步骤1140，SASO代理单元810验证网站A 830a是否是注册网站组中的一个成员以及如果确定是肯定的，就识别该组。在步骤1145，SASO代理单元810请求人类用户809为网站A 830a所属的网站组提供SSO密码。在步骤1150，人类用户809为网站A 830a提供(通过例如USIM、生物技术或键入)SSO密码。可替换地，步骤1145和1150可变成透明并由SASO代理单元810自动提供。
接着，在步骤1155，SASO代理单元810检查用户809提供的SSO密码。在步骤1160，SASO代理单元810发送一个请求到TPM/TSS 815来解除绑定和重新获得用于网站A 830a的密码。在该请求中，SASO代理单元810包括对于网站A 830a的SSO密码和站点URL。在步骤1165，TPM/TSS815使用对于网站A 830a的SSO密码和URL作为数据处理来从先前存储的数据点中解除绑定对于网站A830a的特定站点的密码和证书。在解除绑定和重新获取先前存储的特定网站的密码、URL列表和特定网站的证书时，TPM/TSS 815基于其刚从绑定存储器中重新获取的数据值，验证其从SASO代理单元810接收的SSO密码和网站URL。如果在以上步骤1165中实现了验证，那么在步骤1170，TPM/TSS 815将对于网站A 830a的特定网站的密码和证书提供给SASO代理单元810。
随后在步骤1173，SASO代理单元810使用比如网络截取、API或其它解析技术来在WAA 820填充对于网站A 830a的密码和证书字段。随后在步骤1175，WAA 820被填充并且WAA 820发送特定网站的密码和证书到网站A830a。随后在步骤1180，在网站A830a注册密码和证书。在步骤1185，网站注册的成功被指示给WAA 820。在步骤1190，网站注册的成功被指示给SASO代理单元810并且记录在其数据库中。而且在步骤1190中，网站注册的成功记录还被记录为在由TPM密钥保护的安全存储器中的存储测量日志(SML)。在步骤1195，完成可信SSO的建立，包括由TPM/TSS 815保持的特定站点的密码和证书。
在网站注册建立之后，当用户809想要访问网站A 830a用于登录来在随后的时间使用网站的服务时，实际上进行与1130—1175相同的步骤，只有在这种情况下终端结果不是初始站点注册而是SSO登录到网站A 830a。而且，如果用户809想要注册到网站B 830b而不是网站A 830a，那么先前用于网站A830a的相同步骤可被用于网站B 830b的SSO注册或认证。然而，用于网站B 830b的网站特定信息比如其URL、证书、特定站点的密码和令牌将被使用来代替用于网站A 830a的那些。
在一种可替换的实施例中，组方式访问控制可在没有用户809的清楚配置的情况下执行。作为替换，SASO代理单元810可由控制对不同类型的网站组的策略或简档数据(其本身可以由TPM保护)来提供。在这样的实施方式中，组方式访问控制将由SASO代理单元810在安装时配置。此外，在安装时间之后策略的更新也是可能的。
图12是根据一个可替换实施方式配置的无线通信系统1200的示例框图。系统1200是包括至少一个WTRU 1215和无线电接入网络(RAN)1203的自由联盟(Liberty Alliance)兼容无线通信系统。WTRU被配置为与用户1205交互并且包括web-SSO单元1212、平台处理单元1210、TPM/TSS 1217。平台处理单元1210可以以软件SW或硬件来实现。RAN 1203包括ID供应商120和服务供应商1225。可替换地，ID供应商1220可位于RAN 1203之外，例如在公共互联网上。
图13示出了根据另一个实施方式的图12的系统1200的组件之间的信号发送。特别的，在图13中，基于ID-FF/SAML的web-SSO技术也和TPM/TSS 1217提供的完整性检查机制结合。在顺序和/或内容中的其它改变也是可能的并且仍然在该实施方式的范围内。在步骤1303，用户1205通过指示运行web-SSO单元1212的愿望(例如通过点击它或者通过系统启动默认等)来开始程序1300。在步骤1308，平台处理单元1210请求TPM/TSS 1217来执行web-SSO单元1212的编码完整性检查。在步骤1312，TPM 1217运行编码完整性检查并且将结果传递到平台处理单元1210。
如果在步骤1312中的检查是肯定的，那么在步骤1316，登录或认证信息被提供到平台处理单元1210并且传递到web-SSO单元1212。在步骤1320，web-SSO单元1212请求TPM 1217来重新获得先前使用TPM密钥存储的登录证书。在步骤1324，TPM 1217重新获得并且将登录证书数据传递到web-SSO软件1212。在步骤1328，web-SSO单元1212使用重新获得的登录证书数据来登录到IDP 1220。在步骤1332，IDP 1220发送介绍cookie到web-SSO单元1212。
接着，在步骤1336，web-SSO单元1212验证SP1225。在步骤1340，SP 1225询问web-SSO单元1212：1)web-SSO单元1212是否具有来自IDP1220的cookie，2)web-SSO单元1212是否想要使用其联盟ID(如IDP1220支持的)，以及3)web-SSO单元1212是否支持证书开始其平台安全状态的状态，其由平台限定TPM私钥标记，其公钥已经存储在SP中或可由PCA获得。优选的，在步骤1220，PCA可以是IPD。
随后，在步骤1344，web-SSO单元1212发送平台可信状态到TPM/TSS1217。在步骤1348，TPM/TSS 1217建立并传递TPM保持的私人签名密钥签署的用于证明平台的可信状态的证书到Web-SSO软件1212。在步骤1352，web-SSO单元1212指示给SP1225：1)其具有来自IDP 1220的cookie，2)其想要使用由IDP 1220保持的它的联盟帐户，以及还发送3)平台安全性状态证书到SP 1225。在步骤1356，SP1225借助于PCA的帮助来评估web-SSO单元1212发送的可信证书。随后在步骤1358，SP 1212请求web-SSO单元1212重新定向和再次验证，这一次使用联盟认证请求。
接着，在步骤1362，web-SSO单元1212发送联盟认证请求到IDP 1220。在步骤1364，IDP 1220产生联盟姓名ID和相关的认证状态。在步骤1368，IDP1220请求web-SSO单元1212重新定向到SP 1225。在步骤1372，Web-SSO单元1212请求TPM/TSS 1217重新获得已经用由TPM/TSS 1217密钥保护存储的联盟<证明>的联盟假像。在步骤1376，TPM/TSS 1217重新获得假像数据并将其传递到web-SSO单元1212。在步骤1380，web-SSO单元1212将由IDP 1220保持的重新获得的联盟<证明>假像发送到SP 1225。
接着，在步骤1384，SP 1225用IDP 1220初始化验证过程来使用SOAP协议验证用于人类用户1205的<证明>。在步骤1388，IDP 1220使用SOAP协议互换验证过程。在步骤1982，SP1225评估用于人类用户1205的所述<证明>和联盟帐号。最后，在步骤1396，SP 1225指示给web-SSO单元1212该服务的授权起动，以及一指示被提供给人类用户1205(例如通过显示器等)。
在图13的可替换实施方式中，设备的可信状态可由IDP 1220评估一次并且随后如果需要与每个SP 1225通信由其使用。这种信息的交付可通过联盟方案比如SAML或SOAP程序中的比如cookie或其它已存在或修改的消息/协议的方式来完成。
虽然本发明的特征和元素在公开的实施方式中以特定的结合进行了描述，但每个特征或元素可以在没有所述优选实施方式的其他特征和元素的情况下单独使用，或在与或不与所公开的其他特征和元素结合的各种情况下使用。本发明提供的方法或流程图可以在由通用计算机或处理器执行的计算机程序、软件或固件中实施，其中所述计算机程序、软件或固件是以有形的方式包含在计算机可读存储介质中的，关于计算机可读存储介质的实例包括只读存储器(ROM)、随机存取存储器(RAM)、寄存器、缓冲存储器、半导体存储设备、内部硬盘和可移动磁盘之类的磁介质、磁光介质以及CD-ROM碟片和数字多功能光盘(DVD)之类的光介质。
举例来说，恰当的处理器包括：通用处理器、专用处理器、传统处理器、数字信号处理器(DSP)、多个微处理器、与DSP核心相关联的一个或多个微处理器、控制器、微控制器、专用集成电路(ASIC)、现场可编程门阵列(FPGA)电路、任何一种集成电路(IC)和/或状态机。
与软件相关联的处理器可以用于实现射频收发信机，以在无线发射接收单元(WTRU)、用户设备、终端、基站、无线电网络控制器(RNC)或是任何一种主机计算机中加以使用。WTRU可以与采用硬件和/或软件形式实施的模块结合使用，例如相机、摄像机模块、视频电路、扬声器电话、振动设备、扬声器、麦克风、电视收发信机、免提耳机、键盘、蓝牙
Figure A200780031119D0030103114QIETU
模块、调频(FM)无线电单元、液晶显示器(LCD)显示单元、有机发光二极管(OLED)显示单元、数字音乐播放器、媒体播放器、视频游戏机模块、互联网浏览器和/或任何一种无线局域网(WLAN)模块。
实施例
1.一种对通过具有可信平台模块(TPM)的无线发射/接收单元(WTRU)访问的网站提供安全单点登录(SSO)的方法，该方法包括：
在所述WTRU处确定目标网站组；
安全地登录到从所述网站组中选择的一个网站；
使用在所述WTRU的TPM中产生和存储的安全密码登录从所述网站组中选择的其它网站。
2.根据实施例1所述的方法，其中所述TPM包括：
SSO代理单元，用于确定何时请求对目标网站组的访问。
3.根据实施例2所述的方法，其中所述SSO代理单元由所述TPM安全地保护。
4.根据前述实施例中任一实施例所述的方法，其中所述TPM产生随机的密码，以用于访问从所述目标网站组中选择的网站。
5.根据实施例4所述的方法，其中所述TPM存储随机密码，该随机密码被产生以用于访问从所述网站组中选择的网站。
6.一种根据前述实施例中任一实施例的方法，其中确定步骤还包括：
所述WTRU的用户选择目标网站组。
7.一种根据前述实施例中任一实施例的方法，其中所述SSO代理单元安全地记录密码信息。
8.根据实施例7所述的方法，其中所记录的密码信息是使用密钥绑定技术存储的。
9.根据实施例7或8所述的方法，其中所述所记录的密码信息是存储在所述TPM内的。
10.根据前述实施例中任一实施例所述的方法，其中所述WTRU包括存储在TPM中的唯一身份。
11.根据前述实施例中任一实施例所述的方法，其中所述WTRU包括存储在通用用户身份模块(USIM)中的唯一身份。
12.根据实施例10-11中任一实施例所述的方法，该方法还包括：
基于所述唯一的身份建立加密密钥分级。
13.根据前述实施例中任一实施例所述的方法，其中安全地登录到从网站组中选择的网站的步骤还包括：
建立与所述网站的证书信息相关联的唯一的用户身份和密码。
14.根据前述实施例中任一实施例所述的方法，其中登录到从网站组中选择的其他网站的步骤还包括：
自动地传送用户证书到所述网站。
15.根据实施例14所述的方法，其中所述用户证书与数据一起传送。
16.根据前述实施例中任一实施例所述的方法，该方法还包括：
感测用户的生物信息。
17.根据实施例16所述的方法，其中所感测的生物信息被用于认证目的。
18.根据前述实施例中任一实施例所述的方法，该方法还包括：
用户请求注册到包括网站A和网站B的网站组。
19.根据实施例18所述的方法，其中所述注册还包括：
SSO密码，该SSO密码用于包括所述网站A和B的网站组、以及属于该组的网站的URL。
20.根据实施例18-19中任一实施例所述的方法，其中所述注册被递增地执行。
21.根据实施例18-20中任一实施例所述的方法，该方法还包括：
所述SSO代理单元对于所述网站组注册网站URL和单独SSO密码。
22.根据实施例21所述的方法，该方法还包括：
所述SSO代理单元向TPM和TPM软件堆栈(TSS)(TPM/TSS)发送SSO密码、对于属于所述网站组的所有网站的URL和网站证书、网络访问应用程序(WAA)和代理的地址处理，以及
SSO代理向TPM/TSS请求数据绑定和特定网站的密码的产生。
23.根据实施例22所述的方法，该方法还包括：
TPM/TSS相对于预定的参考检查代理和WAA的编码完整性。
24.根据实施例23所述的方法，该方法还包括：
对于所述网站组的每个URL，TPM/TSS使用TPM随机数产生器产生强加密的密码。
25.根据实施例24所述的方法，该方法还包括：
TPM使用产生并且然后由TPM/TSS保护的存储密钥将特定网站的URL、证书、SSO密码散列(hash)、以及产生的特定网站的密码密封为组合的编码完整性值。
26.根据实施例24所述的方法，该方法还包括：
TPM使用产生并且然后由TPM/TSS保护的存储密钥将特定网站的URL、证书、SSO密码散列、以及产生的特定网站的密码绑定为组合的编码完整性值。
27.根据实施例25-26中任一实施例所述的方法，该方法还包括：
TPM/TSS产生强加密的随机数，该随机数用作TPM和SSO代理单元之间用于指示相应于所述网站组中的每个网站的进一步的行为和请求的令牌。
28.根据实施例27所述的方法，该方法还包括：
TPM/TSS使用令牌作为所述网站组中的每个网站的数据处理。
29.根据实施例28所述的方法，该方法还包括：
TPM/TSS混编SSO密码、并安全地存储密码和散列。
30.根据实施例29所述的方法，该方法还包括：
TPM/TSS向SSO代理单元发送所有令牌；以及
TPM/TSS发送指示令牌和网站URL之间的映射的映射数据。
31.根据实施例30所述的方法，该方法还包括：
WTRU的用户选择URL。
32.根据实施例31所述的方法，该方法还包括：
所述代理拦截来自网站A的密码提示。
33.根据实施例32所述的方法，其中SSO代理单元使用网络截取或结合应用程序接口(API)来拦截来自网站A的密码。
34.根据实施例32-33中任一实施例所述的方法，该方法还包括：
SSO代理单元检查网站A是否是所述网站组中的成员。
35.根据实施例34所述的方法，该方法还包括：
所述代理请求WTRU的用户提供对于包含网站A的网站组的SSO密码。
36.根据实施例35所述的方法，该方法还包括：
WTRU的用户提供SSO密码。
37.根据实施例36所述的方法，该方法还包括：
所述代理检查由WTRU的用户提供的SSO密码。
38.根据实施例37所述的方法，该方法还包括：
所述代理向TPM/TSS发送开封(unseal)对于网站A的密码的请求。
39.根据实施例38所述的方法，其中开封对于网站A的密码的请求包括SSO代理单元存储在数据库中的对于网站A的SSO密码和任何特定网站的证书。
40.根据实施例38或39中任一实施例所述的方法，其中开封对于网站A的密码的请求包括对于SSO代理单元和WAA的编码处理。
41.根据实施例39-40中任一实施例所述的方法，该方法还包括：
TPM/TSS检查属于网站A的令牌；以及
开封对于网站A的特定网站的密码和证书。
42.根据实施例41所述的方法，该方法还包括：
TPM/TSS向SSO代理单元提供对于网站A的特定网站的密码和证书。
43.根据实施例42所述的方法，该方法还包括：
SSO代理单元填充在WAA上对于网站A的密码和证书字段。
44.根据实施例43所述的方法，该方法还包括：
向网站A发送特定网站的密码和证书；
在网站A处确认成功的注册。
45.根据实施例44所述的方法，该方法还包括：
向SSO代理单元指示成功的网站注册；以及
将成功的注册记录在SSO代理单元数据库中。
46.根据前述实施例中任一实施例所述的方法，其中与WTRU的ID和认证相关的数据由WTRU的TPM加密地保护。
47.根据前述实施例中任一实施例所述的方法，该方法还包括：
使用新的加密密钥周期性地更新存储的、加密的数据。
48.一种通过使用可信平台模块(TPM)的装置保护访问应用程序和基于互联网的服务的用户自动登录(SASO)的方法，该方法包括：
用户通过单点登录ID和密码访问应用程序和基于互联网的服务。
49.根据实施例48所述的方法，其中TPM包括TPM软件堆栈(TSS)。
50.根据实施例48-49中任一实施例所述的方法，该方法还包括用户通过保护一个因素认证向所述装置认证并获得对装置的访问。
51.根据实施例48-49中任一实施例所述的方法，该方法还包括用户通过保护两个因素认证向所述装置认证并获得对装置的访问，其中第二因素是由TPM安全地通过生物保持的。
52.根据实施例48-51中任一实施例所述的方法，其中SASO代理单元访问保持在TPM内的安全信息。
53.根据实施例51或52所述的方法，其中生物第二因素认证被使用，并且SASO代理单元向TPM发送请求以重新得到该生物第二因素认证以用于认证。
54.根据实施例53所述的方法，该方法还包括TPM向SASO代理单元提供生物认证数据。
55.根据实施例48-54中任一实施例所述的方法，该方法还包括用户通过使用WAA尝试注册到安全的网站。
56.根据实施例55例所述的方法，其中所述应用程序是网络-WAA(WAA)。
57.根据实施例55或56所述的方法，其中WAA向第一基于互联网的服务的网站发送用户希望访问它的指示。
58.根据实施例57所述的方法，该方法还包括WAA接收并指示第一基于互联网的服务的网站的登录提示。
59.根据实施例48-58中任一实施例所述的方法，该方法还包括SSO代理单元拦截来自WAA的第一网站的认证提示。
60.根据实施例59所述的方法，其中所述拦截通过网络截取或通过结合解析技术来完成。
61.根据实施例48-60中任一实施例所述的方法，该方法还包括SASO代理单元向TPM传递用户ID信息。
62.根据实施例61所述的方法，其中用户ID信息包括来自两个因素认证的装置登录信息。
63.根据实施例48-62中任一实施例所述的方法，该方法还包括特定网站的安全密码被生成并由TPM安全地存储。
64.根据实施例63所述的方法，其中所述密码被安全地直接存储在TPMNV存储器中或者通过TPM保护的绑定存储密钥在通用存储器中被加密。
65.根据实施例59-64中任一实施例所述的方法，其中SASO代理单元通过WAA密码提示将信息填入特定网站的安全密码、将特定网站的信息填入第一网站。
66.根据实施例65所述的方法，该方法还包括WAA向第一网站传送特定网站的密码；以及第一网站注册特定网站的密码并且向WAA发送访问授权。
67.根据实施例48-66中任一实施例所述的方法，其中注册被建立还包括安全地存储特定网站的信息和在由TPM绑定存储密钥保护的TPM数据点中的数据库记录。
68.根据实施例67所述的方法，其中特定网站的的信息包括以下至少一者：URL、数字证书、用户ID以及密码。
69.根据实施例66-68中任一实施例所述的方法，其中特定网站的的密码被SASO代理单元重用于稍后到相应网站的登录。
70.根据实施例48-69中任一实施例所述的方法，其中第一网站授权访问WAA还包括正常的基于网络的通信。
71.根据实施例48-70中任一实施例所述的方法，该方法还包括访问已经建立的网站，其中对于该网站的密码已经被保持在TPM中。
72.根据实施例48-71中任一实施例所述的方法，该方法还包括使用SASO代理单元访问另外的网站。
73.根据实施例48-72中任一实施例所述的方法，其中由TPM启动的编码完整性检查过程被用于保护SASO代理单元的完整性以确保安全事务处理的发生。
74.根据实施例48-73中任一实施例所述的方法，该方法还包括建立策略或简档以管理密码更新过程，其中TPM通过将策略和简档信息存储在由TPM绑定存储密钥保护的数据点中来保护所述策略和简档信息。
75.根据实施例48-74中任一实施例所述的方法，该方法还包括使用安全时间设施以提供要被管理的安全密码更新策略。
76.根据实施例48-75中任一实施例所述的方法，该方法还包括将若干个网站组合在一起并将单个认证密码保持在TPM中。
77.根据实施例48-76中任一实施例所述的方法，该方法还包括TPM执行对用于认证的密钥和密码的频繁更新。
78.根据实施例77所述的方法，其中TPM包括安全定时器模块，该安全定时器模块记录上一次密码更新发生的时间、以及由用户或基于互联网的服务提供的触发密码更新过程的更新时间间隔。
79.一种由用户通过具有SASO代理单元和可信平台模块(TPM)的装置对应用程序或基于互联网的服务访问的单点自动登录(SASO)的方法，该方法包括：
用户配置一组应用程序或基于互联网的服务，由此访问每个应用程序或基于互联网的服务被一组特定的密码控制。
80.根据实施例79所述的方法，该方法还包括：
SASO代理单元接收对网站组的建立或注册的请求，该网站组包括第一互联网网站和第二互联网网站；以及
产生对于所述网站组的SSO密码、以及属于所述网站组的互联网网站的URL。
81.根据实施例80所述的方法，其中用户增加开始仅具有第一互联网网站的用户组，而随后添加或删除其他网站。
82.根据实施例79-81中任一实施例所述的方法，该方法还包括执行对网站组的更新，以及SASO代理单元请求用于添加、或甚至解除绑定和重新绑定由TPM保持的数据的过程。
83.根据实施例79-82中任一实施例所述的方法，该方法还包括SASO代理单元注册对于网站组的网站URL和单个SSO密码。
84.根据实施例79-83中任一实施例所述的方法，其中TPM包括TPM软件堆栈(TSS)。
85.根据实施例80-84中任一实施例所述的方法，该方法还包括SASO代理单元向TPM发送属于所述组中的所有网站的SSO密码、URL以及网站证书、互联网WAA软件和SSO代理单元本身的地址处理；以及向TPM发送对于数据绑定和对于特定网站的的密码产生的请求。
86.根据实施例85所述的方法，其中对于表中的每个URL，TPM使用TPM随机数产生器(RNG)产生强加密的密码。
87.根据实施例86所述的方法，该方法还包括TPM绑定特定网站的URL、任何证书、SSO密码、以及其产生的在用TPM存储密钥加密的数据点中的特定网站的密码。
88.根据实施例87所述的方法，其中所述密钥是限制在容纳TPM的平台中的。
89.根据实施例80-88中任一实施例所述的方法，其中用户用网站组相关联的信息向所述网站组指示更新，还包括来自SASO代理单元和TPM的指示添加或删除对于所影响的网站的特定网站的记录。
90.根据实施例79-89中任一实施例所述的方法，该方法还包括用户将URL输入到对于WAA的第一互联网网站的装置中。
91.根据实施例90所述的方法，该方法还包括SASO代理单元拦截来自第一互联网网站的密码提示。
92.根据实施例91所述的方法，其中所述拦截是网络截取的或结合API或其他解析技术进行的。
93.根据实施例91或92所述的方法，该方法还包括SASO代理单元检查第一互联网网站是否是注册的网站组的成员，并且如果结果为肯定的就识别该组。
94.根据实施例91-93中任一实施例所述的方法，该方法还包括SASO代理单元请求用户提供对于第一互联网网站所属的网站组的SSO密码。
95.根据实施例91-94中任一实施例所述的方法，该方法还包括用户输入或提供对于第一互联网网站的SSO密码和网站URL。
96.根据实施例95所述的方法，其中所述提供是由生物进行的。
97.根据实施例94-96中任一实施例所述的方法，其中SASO代理单元检验用户提供的SSO密码。
98.根据实施例91-93中任一实施例所述的方法，该方法还包括SSO代理单元通过网站URL、其证书以及对于密码的提示自动提供SSO密码。
99.根据实施例79-88中任一实施例所述的方法，该方法还包括SSO代理单元向TPM发送请求以解除绑定并重新获得对于第一互联网网站的密码，所述第一互联网网站的密码包括对于第一互联网网站的SSO密码和网站URL。
100.根据实施例99所述的方法，该方法还包括TPM将对于第一互联网网站的SSO密码和URL用作数据处理，以解除绑定对于来自先前存储的数据点的第一互联网网站的特定网站的密码和证书；TPM相对于它从绑定存储中恢复的数据的值，检查它从SASO代理单元接收到的SSO密码和网站URL。
101.根据实施例100所述的方法，其中如果SSO密码的检查被完成，则TPM向SSO代理单元提供对于第一互联网网站的特定网站的密码和证书。
102.根据实施例79-101中任一实施例所述的方法，该方法还包括SSO代理单元使用网络截取、API或其他解析技术填充对于第一互联网网站的密码和证书字段。
103.根据实施例102所述的方法，该方法还包括填充互联网WAA并向第一互联网网站发送特定网站的密码和证书；以及注册在第一互联网网站注册的密码和证书。
104.根据实施例103所述的方法，该方法还包括向互联网WAA指示成功的注册；以及向SASO代理单元指示所述注册并将所述注册记录在其数据库中。
105.根据实施例104所述的方法，该方法还包括将所述注册被记录为在由TPM密钥保护的安全存储器中的存储测量日志(SML)。
106.根据实施例79-105中任一实施例所述的方法，其中用户设法访问要登录的第一互联网网站以在稍后的时间使用网站的服务，还包括用户通过SASO获得访问。
107.根据实施例79-106中任一实施例所述的方法，其中用户注册或稍后访问第二互联网网站而不是第一互联网网站，还包括使用对于第二互联网网站的特定网站信息执行第二互联网网站的SASO注册或认证，所述特定网站信息包括以下一者或多者：URL、证书、特定网站的密码、以及令牌。
108.根据前述实施例中任一实施例所述的方法，其中运行TPM限于用户的平台，还包括通过位于用户的装置或平台中的TPM加密地保护对于其保密性、完整性、以及真实性的用户或用户的装置的认证和ID相关的数据。
109.根据实施例108所述的方法，其中TPM通过提供物理保护界限为它加密地保护并存储的数据提供固有的安全性。
110.根据实施例108-109中任一实施例所述的方法，该方法还包括扩展USIM功能以将TPM功能包括在内，从而包括高熵值的密码的安全证书被提供给应用程序安全组件和IP堆栈安全组件。
111.根据实施例110所述的方法，其中应用安全组件包括DRM和PGP服务组件。
112.根据实施例110或111所述的方法，其中IP堆栈安全组件包括IPSec或TLS或包括二者。
113.根据实施例108-110中任一实施例所述的方法，该方法还包括基于密码和/或加密密钥的自动更新的策略，所述密码和/或加密密钥在集成在USIM内的TPM内被刷新。
114.根据实施例108-110中任一实施例所述的方法，该方法还包括将USIM功能扩展为将TLS和应用程序安全所需的认证算法包括在内。

Claims (32)

1.一种使用单点登录(SSO)技术执行安全密码管理的无线发射/接收单元(WTRU)，该WTRU包括：
SSO代理单元，该SSO代理单元用于接收来自用户的用户认证数据，并用于获得对于至少一个网站的特定用户的登录信息的请求；
可信平台模块(TPM)，该TPM用于存储对于至少一个网站的特定用户的登录信息和用户认证数据，并用于比较所接收到的用户认证数据与所存储的用户认证数据，以及如果所述比较为肯定的则转发所存储的特定用户的登录信息；
网络访问应用程序(WAA)，该WAA用于自动接收所转发的特定用户的登录信息，并且一旦接收到访问所述至少一个网站的用户请求，就将所述转发的特定用户的登录信息传送给所述至少一个网站。
2.根据权利要求1所述的WTRU，其中所述SSO代理单元需要用户认证数据来访问所述TPM中的密码。
3.根据权利要求2所述的WTRU，其中所述用户认证数据基于至少两个因素。
4.根据权利要求3所述的WTRU，其中所述至少两个因素之一是生物信息。
5.根据权利要求3所述的WTRU，其中所述至少两个因素之一是密码。
6.根据权利要求1所述的WTRU，其中一旦成功提供了用户认证数据，访问就被自动地授权给预识别的网站组中的所有网站。
7.根据权利要求1所述的WTRU，其中特定用户的登录信息至少包括URL和特定网站的密码。
8.根据权利要求7所述的WTRU，其中TPM产生并维持特定网站的密码。
9.根据权利要求8所述的WTRU，其中所述特定网站的密码是仅存储在所述TPM中的随机密码。
10.根据权利要求1所述的WTRU，其中如果所述比较为肯定的，则能够访问另外的网站。
11.根据权利要求1所述的WTRU，其中所述SSO代理单元从所述至少一个网站接收安全登录证书并且使用所述证书来认证所述至少一个网站。
12.根据权利要求1所述的WTRU，其中所述SSO代理单元提示所述用户是否对网站组使用SSO操作。
13.根据权利要求12所述的WTRU，其中所述提示包括仅对所述网站组的子组使用SSO操作的选项。
14.根据权利要求13所述的WTRU，其中该WTRU被配置为使用自由联盟身份联盟框架(ID-FF)来执行SSO服务。
15.根据权利要求1所述的WTRU，其中该WTRU被配置为认证装置可信镜像(DTM)，从而建立与所述DTM之间的可信关系和与无线电接入网络之间的安全链接。
16.根据权利要求1所述的WTRU，其中所述DTM提供“镜像”所述用户设备的可信度的服务，并且所述DTM被配置为提供可信度信息到该信息的外部请求方。
17.一种对通过具有可信平台模块(TPM)的无线发射/接收单元(WTRU)访问的网站组中的至少一个网站提供安全单点登录(SSO)的方法，该方法包括：
在所述WTRU处确定网站组；
使用至少一个认证因素认证用户；以及
一旦通过使用存储在所述TPM中的登录信息认证了所述用户，就安全地登录到从所述网站组中选择的一个网站。
18.根据权利要求17所述的方法，其中所述WTRU包括SSO代理单元，该SSO代理单元用于确定何时请求对预定义网站组的访问。
19.根据权利要求18所述的方法，其中所述SSO代理单元由所述TPM安全地保护。
20.根据权利要求17所述的方法，其中所述TPM产生随机的每个站点密码，用于访问从所述网站组中选择的网站。
21.根据权利要求17所述的方法，其中所述TPM存储随机密码，该随机密码被产生以用于访问从所述网站组中选择的网站。
22.根据前述权利要求中任一项权利要求所述的方法，其中确定步骤还包括：
WTRU从用户接收网站组。
23.根据权利要求17所述的方法，其中所述SSO代理单元安全地记录密码信息并且将该密码信息存储在所述TPM中。
24.根据权利要求23所述的方法，其中所记录的密码信息使用密钥绑定技术被存储在所述TPM中。
25.根据权利要求17所述的方法，其中所述WTRU包括存储在所述TPM中的唯一身份。
26.根据权利要求17所述的方法，其中所述WTRU包括存储在通用用户身份模块(USIM)中的唯一身份。
27.根据权利要求24所述的方法，其中使用密钥绑定技术包括使用基于唯一身份的加密密钥分级结构。
28.根据权利要求17所述的方法，其中安全地登录到从所述预定义网站组中选择的站点的步骤还包括：
建立与网站的证书信息相关联的唯一的用户身份和密码。
29.根据权利要求17所述的方法，其中登录到从所述网站组中选择的其它网站还包括：
自动地发送用户证书到所述其它网站。
30.根据权利要求29所述的方法，其中所述用户证书与数据一起发送。
31.根据权利要求17所述的方法，该方法还包括：
感测用户的生物信息。
32.根据权利要求31所述的方法，其中所感测的生物信息被用于认证目的。
CN2007800311193A 2006-08-22 2007-08-22 用于提供对于应用程序和基于互联网的服务的可信单点登录访问的方法和设备 Expired - Fee Related CN101507233B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201210592895.3A CN103067399B (zh) 2006-08-22 2007-08-22 无线发射/接收单元

Applications Claiming Priority (7)

Application Number Priority Date Filing Date Title
US83917106P 2006-08-22 2006-08-22
US60/839,171 2006-08-22
US88704207P 2007-01-29 2007-01-29
US60/887,042 2007-01-29
US91202507P 2007-04-16 2007-04-16
US60/912,025 2007-04-16
PCT/US2007/018679 WO2008024454A1 (en) 2006-08-22 2007-08-22 Method and apparatus for providing trusted single sign-on access to applications and internet-based services

Related Child Applications (1)

Application Number Title Priority Date Filing Date
CN201210592895.3A Division CN103067399B (zh) 2006-08-22 2007-08-22 无线发射/接收单元

Publications (2)

Publication Number Publication Date
CN101507233A true CN101507233A (zh) 2009-08-12
CN101507233B CN101507233B (zh) 2013-02-13

Family

ID=38962915

Family Applications (2)

Application Number Title Priority Date Filing Date
CN2007800311193A Expired - Fee Related CN101507233B (zh) 2006-08-22 2007-08-22 用于提供对于应用程序和基于互联网的服务的可信单点登录访问的方法和设备
CN201210592895.3A Expired - Fee Related CN103067399B (zh) 2006-08-22 2007-08-22 无线发射/接收单元

Family Applications After (1)

Application Number Title Priority Date Filing Date
CN201210592895.3A Expired - Fee Related CN103067399B (zh) 2006-08-22 2007-08-22 无线发射/接收单元

Country Status (7)

Country Link
US (1) US8707409B2 (zh)
EP (1) EP2055077B1 (zh)
JP (2) JP5205380B2 (zh)
KR (3) KR101302763B1 (zh)
CN (2) CN101507233B (zh)
TW (3) TWI366375B (zh)
WO (1) WO2008024454A1 (zh)

Cited By (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102263784A (zh) * 2011-06-16 2011-11-30 中兴通讯股份有限公司 单点登录方法及系统
CN102355459A (zh) * 2011-09-27 2012-02-15 北京交通大学 基于TPM的可信Web网页的实现方法
CN102685202A (zh) * 2011-03-03 2012-09-19 微软公司 在操作系统和应用之间共享用户id
CN102843357A (zh) * 2012-07-30 2012-12-26 北京网蜜在线网络有限公司 访问网络的方法、应用服务器及系统
CN103858457A (zh) * 2011-08-01 2014-06-11 英特尔公司 用于身份提供商(IdP)漫游/代理的多跳单点登录(SSO)
CN104205723A (zh) * 2012-03-20 2014-12-10 微软公司 用于透明地主存在云中的组织的身份服务
CN105072088A (zh) * 2010-01-22 2015-11-18 交互数字专利控股公司 一种在具有用户的无线设备处执行的方法
CN105308605A (zh) * 2013-05-24 2016-02-03 迈克菲公司 对通过第三方的任意应用的安全自动授权访问
CN110999213A (zh) * 2017-06-30 2020-04-10 开文公司 混合认证系统和方法
US10749854B2 (en) 2015-11-12 2020-08-18 Microsoft Technology Licensing, Llc Single sign-on identity management between local and remote systems
CN114422229A (zh) * 2022-01-14 2022-04-29 北京从云科技有限公司 Web应用单点登录代理方法、装置、登录方法及服务器
CN115412323A (zh) * 2022-08-23 2022-11-29 江苏云涌电子科技股份有限公司 一种基于tcm的单次登录访问多个应用的方法

Families Citing this family (224)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8713623B2 (en) 2001-09-20 2014-04-29 Time Warner Cable Enterprises, LLC Technique for effectively providing program material in a cable television system
US20090106558A1 (en) * 2004-02-05 2009-04-23 David Delgrosso System and Method for Adding Biometric Functionality to an Application and Controlling and Managing Passwords
US8312267B2 (en) 2004-07-20 2012-11-13 Time Warner Cable Inc. Technique for securely communicating programming content
US8266429B2 (en) 2004-07-20 2012-09-11 Time Warner Cable, Inc. Technique for securely communicating and storing programming material in a trusted domain
US9723267B2 (en) 2004-12-15 2017-08-01 Time Warner Cable Enterprises Llc Method and apparatus for wideband distribution of content
US20070022459A1 (en) 2005-07-20 2007-01-25 Gaebel Thomas M Jr Method and apparatus for boundary-based network operation
US7966150B2 (en) * 2005-11-17 2011-06-21 Florida Power & Light Company Data analysis applications
US7747540B2 (en) * 2006-02-24 2010-06-29 Microsoft Corporation Account linking with privacy keys
WO2008018055A2 (en) * 2006-08-09 2008-02-14 Neocleus Ltd Extranet security
KR101302763B1 (ko) 2006-08-22 2013-09-03 인터디지탈 테크날러지 코포레이션 애플리케이션 및 인터넷 기반 서비스들에 신뢰성있는 싱글 사인온 액세스를 제공하는 방법 및 장치
US8782745B2 (en) * 2006-08-25 2014-07-15 Qwest Communications International Inc. Detection of unauthorized wireless access points
US8457594B2 (en) * 2006-08-25 2013-06-04 Qwest Communications International Inc. Protection against unauthorized wireless access points
US8520850B2 (en) 2006-10-20 2013-08-27 Time Warner Cable Enterprises Llc Downloadable security and protection methods and apparatus
US8732854B2 (en) 2006-11-01 2014-05-20 Time Warner Cable Enterprises Llc Methods and apparatus for premises content distribution
US8621540B2 (en) 2007-01-24 2013-12-31 Time Warner Cable Enterprises Llc Apparatus and methods for provisioning in a download-enabled system
EP2130322B1 (en) * 2007-03-21 2014-06-25 Intel Corporation Protection against impersonation attacks
WO2008114256A2 (en) * 2007-03-22 2008-09-25 Neocleus Ltd. Trusted local single sign-on
US8438383B2 (en) * 2010-04-05 2013-05-07 White Sky, Inc. User authentication system
US8196191B2 (en) * 2007-08-17 2012-06-05 Norman James M Coordinating credentials across disparate credential stores
US8863246B2 (en) * 2007-08-31 2014-10-14 Apple Inc. Searching and replacing credentials in a disparate credential store environment
US20090077638A1 (en) * 2007-09-17 2009-03-19 Novell, Inc. Setting and synching preferred credentials in a disparate credential store environment
CN104200145B (zh) 2007-09-24 2020-10-27 苹果公司 电子设备中的嵌入式验证系统
US8539568B1 (en) * 2007-10-03 2013-09-17 Courion Corporation Identity map creation
US8600120B2 (en) 2008-01-03 2013-12-03 Apple Inc. Personal computing device control using face detection and recognition
US8474037B2 (en) 2008-01-07 2013-06-25 Intel Corporation Stateless attestation system
US20090199277A1 (en) * 2008-01-31 2009-08-06 Norman James M Credential arrangement in single-sign-on environment
US8782759B2 (en) * 2008-02-11 2014-07-15 International Business Machines Corporation Identification and access control of users in a disconnected mode environment
US20090210928A1 (en) * 2008-02-15 2009-08-20 Jean Dobey Ourega Method and a system for managing a user related account information associated with application services distributed over a data network
US20090217367A1 (en) * 2008-02-25 2009-08-27 Norman James M Sso in volatile session or shared environment
US20090307705A1 (en) * 2008-06-05 2009-12-10 Neocleus Israel Ltd Secure multi-purpose computing client
US20100017889A1 (en) * 2008-07-17 2010-01-21 Symantec Corporation Control of Website Usage Via Online Storage of Restricted Authentication Credentials
US10146926B2 (en) * 2008-07-18 2018-12-04 Microsoft Technology Licensing, Llc Differentiated authentication for compartmentalized computing resources
US9391779B2 (en) * 2008-07-28 2016-07-12 International Business Machines Corporation Reactive biometric single sign-on utility
US20100031041A1 (en) * 2008-08-04 2010-02-04 Postalguard Ltd. Method and system for securing internet communication from hacking attacks
EP2356610A1 (en) * 2008-11-10 2011-08-17 Nokia Siemens Networks Oy Methods, apparatuses, system and related computer program product for privacy-enhanced identity management
US8281379B2 (en) * 2008-11-13 2012-10-02 Vasco Data Security, Inc. Method and system for providing a federated authentication service with gradual expiration of credentials
US9357247B2 (en) 2008-11-24 2016-05-31 Time Warner Cable Enterprises Llc Apparatus and methods for content delivery and message exchange across multiple content delivery networks
TWI364202B (en) * 2008-12-17 2012-05-11 Ind Tech Res Inst Single sign-on method and system for web browser
CN101771534B (zh) * 2008-12-30 2012-02-29 财团法人工业技术研究院 网络浏览器的单一登录方法及其系统
US8468582B2 (en) * 2009-02-03 2013-06-18 Inbay Technologies Inc. Method and system for securing electronic transactions
US9521142B2 (en) 2009-02-03 2016-12-13 Inbay Technologies Inc. System and method for generating passwords using key inputs and contextual inputs
US9736149B2 (en) 2009-02-03 2017-08-15 Inbay Technologies Inc. Method and system for establishing trusted communication using a security device
US8973111B2 (en) 2009-02-03 2015-03-03 Inbay Technologies Inc. Method and system for securing electronic transactions
US8739252B2 (en) 2009-02-03 2014-05-27 Inbay Technologies Inc. System and method for secure remote access
US8510811B2 (en) * 2009-02-03 2013-08-13 InBay Technologies, Inc. Network transaction verification and authentication
US9485254B2 (en) 2009-02-03 2016-11-01 Inbay Technologies Inc. Method and system for authenticating a security device
US9166975B2 (en) 2012-02-16 2015-10-20 Inbay Technologies Inc. System and method for secure remote access to a service on a server computer
US9608988B2 (en) 2009-02-03 2017-03-28 Inbay Technologies Inc. Method and system for authorizing secure electronic transactions using a security device having a quick response code scanner
US9548978B2 (en) 2009-02-03 2017-01-17 Inbay Technologies Inc. Method and system for authorizing secure electronic transactions using a security device
WO2010093647A2 (en) * 2009-02-10 2010-08-19 Interdigital Patent Holdings, Inc. Spectrum management across diverse radio access technologies
US11076189B2 (en) 2009-03-30 2021-07-27 Time Warner Cable Enterprises Llc Personal media channel apparatus and methods
US9215423B2 (en) 2009-03-30 2015-12-15 Time Warner Cable Enterprises Llc Recommendation engine apparatus and methods
US8166072B2 (en) 2009-04-17 2012-04-24 International Business Machines Corporation System and method for normalizing and merging credential stores
US7690032B1 (en) 2009-05-22 2010-03-30 Daon Holdings Limited Method and system for confirming the identity of a user
CN101635714B (zh) * 2009-05-31 2012-02-29 飞天诚信科技股份有限公司 提高网络应用安全性的方法和系统
US9602864B2 (en) 2009-06-08 2017-03-21 Time Warner Cable Enterprises Llc Media bridge apparatus and methods
US9866609B2 (en) 2009-06-08 2018-01-09 Time Warner Cable Enterprises Llc Methods and apparatus for premises content distribution
JP2011008701A (ja) * 2009-06-29 2011-01-13 Sony Corp 情報処理サーバ、情報処理装置、および情報処理方法
US9237381B2 (en) 2009-08-06 2016-01-12 Time Warner Cable Enterprises Llc Methods and apparatus for local channel insertion in an all-digital content distribution network
US8396055B2 (en) 2009-10-20 2013-03-12 Time Warner Cable Inc. Methods and apparatus for enabling media functionality in a content-based network
US8453224B2 (en) * 2009-10-23 2013-05-28 Novell, Inc. Single sign-on authentication
US10264029B2 (en) 2009-10-30 2019-04-16 Time Warner Cable Enterprises Llc Methods and apparatus for packetized content delivery over a content delivery network
US9635421B2 (en) 2009-11-11 2017-04-25 Time Warner Cable Enterprises Llc Methods and apparatus for audience data collection and analysis in a content delivery network
US20110138453A1 (en) * 2009-12-03 2011-06-09 Samsung Electronics Co., Ltd. Single sign-on in mixed http and sip environments
US9519728B2 (en) 2009-12-04 2016-12-13 Time Warner Cable Enterprises Llc Apparatus and methods for monitoring and optimizing delivery of content in a network
KR20120120955A (ko) 2010-02-09 2012-11-02 인터디지탈 패튼 홀딩스, 인크 신뢰적인 연합 아이덴티티를 위한 방법 및 장치
US9342661B2 (en) 2010-03-02 2016-05-17 Time Warner Cable Enterprises Llc Apparatus and methods for rights-managed content and data delivery
US9544143B2 (en) 2010-03-03 2017-01-10 Duo Security, Inc. System and method of notifying mobile devices to complete transactions
US9532222B2 (en) 2010-03-03 2016-12-27 Duo Security, Inc. System and method of notifying mobile devices to complete transactions after additional agent verification
US8621583B2 (en) 2010-05-14 2013-12-31 Microsoft Corporation Sensor-based authentication to a computer network-based service
US9300445B2 (en) 2010-05-27 2016-03-29 Time Warner Cable Enterprise LLC Digital domain content processing and distribution apparatus and methods
CN102299945A (zh) * 2010-06-28 2011-12-28 中国联合网络通信集团有限公司 网关配置页面登录方法、系统及门户认证服务器
US9560036B2 (en) * 2010-07-08 2017-01-31 International Business Machines Corporation Cross-protocol federated single sign-on (F-SSO) for cloud enablement
US9906838B2 (en) 2010-07-12 2018-02-27 Time Warner Cable Enterprises Llc Apparatus and methods for content delivery and message exchange across multiple content delivery networks
US9235371B2 (en) * 2010-07-15 2016-01-12 Hewlett-Packard Development Company, L.P. Processing print requests
US8997136B2 (en) 2010-07-22 2015-03-31 Time Warner Cable Enterprises Llc Apparatus and methods for packetized content delivery over a bandwidth-efficient network
TWI495313B (zh) * 2010-08-09 2015-08-01 Timothy H Wu 帳號管理裝置與方法
WO2012030624A1 (en) 2010-08-30 2012-03-08 Vmware, Inc. Unified workspace for thin, remote, and saas applications
US9185341B2 (en) 2010-09-03 2015-11-10 Time Warner Cable Enterprises Llc Digital domain content processing and distribution apparatus and methods
WO2012040198A1 (en) * 2010-09-20 2012-03-29 Interdigital Patent Holdings, Inc. Identity management on a wireless device
US8881247B2 (en) * 2010-09-24 2014-11-04 Microsoft Corporation Federated mobile authentication using a network operator infrastructure
US9058105B2 (en) * 2010-10-31 2015-06-16 International Business Machines Corporation Automated adjustment of input configuration
CN101977235B (zh) * 2010-11-03 2013-03-27 北京北信源软件股份有限公司 一种针对https加密网站访问的网址过滤方法
US8930979B2 (en) 2010-11-11 2015-01-06 Time Warner Cable Enterprises Llc Apparatus and methods for identifying and characterizing latency in a content delivery network
US10148623B2 (en) 2010-11-12 2018-12-04 Time Warner Cable Enterprises Llc Apparatus and methods ensuring data privacy in a content distribution network
US9294479B1 (en) * 2010-12-01 2016-03-22 Google Inc. Client-side authentication
CN102034059B (zh) * 2010-12-02 2013-09-04 东莞宇龙通信科技有限公司 应用程序管理方法、装置以及终端
CN102111410B (zh) * 2011-01-13 2013-07-03 中国科学院软件研究所 一种基于代理的单点登录方法及系统
WO2012171081A1 (en) 2011-01-26 2012-12-20 Lin.K.N.V. Device and method for providing authenticated access to internet based services and applications
US9602414B2 (en) 2011-02-09 2017-03-21 Time Warner Cable Enterprises Llc Apparatus and methods for controlled bandwidth reclamation
JP5289480B2 (ja) * 2011-02-15 2013-09-11 キヤノン株式会社 情報処理システム、情報処理装置の制御方法、およびそのプログラム。
US9118657B1 (en) * 2011-03-15 2015-08-25 Avior, Inc. Extending secure single sign on to legacy applications
AU2012242802B2 (en) 2011-04-12 2017-04-20 Applied Science, Inc. Systems and methods for managing blood donations
WO2012149384A1 (en) * 2011-04-28 2012-11-01 Interdigital Patent Holdings, Inc. Sso framework for multiple sso technologies
JP5734087B2 (ja) * 2011-05-18 2015-06-10 キヤノン株式会社 情報処理システム、その情報処理システムを制御する制御方法、およびそのプログラム。
US9141779B2 (en) * 2011-05-19 2015-09-22 Microsoft Technology Licensing, Llc Usable security of online password management with sensor-based authentication
EP2536095B1 (en) * 2011-06-16 2016-04-13 Telefonaktiebolaget LM Ericsson (publ) Service access authentication method and system
US9467463B2 (en) 2011-09-02 2016-10-11 Duo Security, Inc. System and method for assessing vulnerability of a mobile device
US9183361B2 (en) 2011-09-12 2015-11-10 Microsoft Technology Licensing, Llc Resource access authorization
US9002322B2 (en) 2011-09-29 2015-04-07 Apple Inc. Authentication with secondary approver
US9390255B2 (en) 2011-09-29 2016-07-12 Oracle International Corporation Privileged account manager, dynamic policy engine
US9081951B2 (en) * 2011-09-29 2015-07-14 Oracle International Corporation Mobile application, identity interface
US8769624B2 (en) 2011-09-29 2014-07-01 Apple Inc. Access control utilizing indirect authentication
CN110061842B (zh) * 2011-09-30 2022-06-03 英特尔公司 带外远程认证
JP5485246B2 (ja) * 2011-11-05 2014-05-07 京セラドキュメントソリューションズ株式会社 画像形成装置
US9294452B1 (en) 2011-12-09 2016-03-22 Rightquestion, Llc Authentication translation
US11475105B2 (en) * 2011-12-09 2022-10-18 Rightquestion, Llc Authentication translation
KR101329788B1 (ko) * 2012-02-29 2013-11-15 이니텍(주) 모바일 환경에서의 서버 기반 싱글 사인온 방법
WO2013132641A1 (ja) * 2012-03-08 2013-09-12 株式会社日立システムズ シングルサインオンシステム
US9467723B2 (en) 2012-04-04 2016-10-11 Time Warner Cable Enterprises Llc Apparatus and methods for automated highlight reel creation in a content delivery network
US9699169B2 (en) * 2012-05-10 2017-07-04 Symantec Corporation Computer readable storage media for selective proxification of applications and method and systems utilizing same
US8850187B2 (en) * 2012-05-17 2014-09-30 Cable Television Laboratories, Inc. Subscriber certificate provisioning
US9172694B2 (en) * 2012-05-22 2015-10-27 International Business Machines Corporation Propagating delegated authorized credentials through legacy systems
JP5988699B2 (ja) * 2012-05-30 2016-09-07 キヤノン株式会社 連携システム、その連携方法、情報処理システム、およびそのプログラム。
US8713633B2 (en) * 2012-07-13 2014-04-29 Sophos Limited Security access protection for user data stored in a cloud computing facility
TW201417598A (zh) 2012-07-13 2014-05-01 Interdigital Patent Holdings 安全性關聯特性
CN103581105B (zh) * 2012-07-18 2017-09-22 财付通支付科技有限公司 登录验证方法和登录验证系统
US10079678B2 (en) * 2012-07-24 2018-09-18 Intel Corporation Providing access to encrypted data
US9338119B2 (en) 2012-08-28 2016-05-10 Alcatel Lucent Direct electronic mail
US10504164B2 (en) * 2012-09-12 2019-12-10 Oracle International Corporation Self-service account enrollment system
US9449167B2 (en) * 2012-09-12 2016-09-20 Infosys Limited Method and system for securely accessing different services based on single sign on
US20140082645A1 (en) 2012-09-14 2014-03-20 Peter Stern Apparatus and methods for providing enhanced or interactive features
JP6255858B2 (ja) * 2012-10-31 2018-01-10 株式会社リコー システム及びサービス提供装置
US8898769B2 (en) 2012-11-16 2014-11-25 At&T Intellectual Property I, Lp Methods for provisioning universal integrated circuit cards
US9565472B2 (en) 2012-12-10 2017-02-07 Time Warner Cable Enterprises Llc Apparatus and methods for content transfer protection
US9418213B1 (en) * 2013-02-06 2016-08-16 Amazon Technologies, Inc. Delegated permissions in a distributed electronic environment
US9015328B2 (en) 2013-03-07 2015-04-21 Fiserv, Inc. Single sign-on processing for associated mobile applications
US9641498B2 (en) * 2013-03-07 2017-05-02 Fiserv, Inc. Single sign-on processing for associated mobile applications
US20140282786A1 (en) 2013-03-12 2014-09-18 Time Warner Cable Enterprises Llc Methods and apparatus for providing and uploading content to personalized network storage
US9305172B2 (en) * 2013-03-15 2016-04-05 Mcafee, Inc. Multi-ring encryption approach to securing a payload using hardware modules
US9066153B2 (en) 2013-03-15 2015-06-23 Time Warner Cable Enterprises Llc Apparatus and methods for multicast delivery of content in a content delivery network
US10368255B2 (en) 2017-07-25 2019-07-30 Time Warner Cable Enterprises Llc Methods and apparatus for client-based dynamic control of connections to co-existing radio access networks
US9495534B2 (en) 2013-03-26 2016-11-15 International Business Machines Corporation OCR-based single sign-on
US9009806B2 (en) 2013-04-12 2015-04-14 Globoforce Limited System and method for mobile single sign-on integration
DK2821931T3 (da) 2013-07-02 2019-08-26 Precise Biometrics Ab Verificeringsapplikation, fremgangsmåde, elektronisk indretning og computerapplikation.
US9313568B2 (en) 2013-07-23 2016-04-12 Chicago Custom Acoustics, Inc. Custom earphone with dome in the canal
US20150039908A1 (en) * 2013-07-30 2015-02-05 Deutsche Telekom Ag System and Method for Securing A Credential Vault On A Trusted Computing Base
US9514288B2 (en) 2013-08-22 2016-12-06 Rakuten, Inc. Information processing device, information processing method, program and storage medium
US9898642B2 (en) 2013-09-09 2018-02-20 Apple Inc. Device, method, and graphical user interface for manipulating user interfaces based on fingerprint sensor inputs
US9036820B2 (en) 2013-09-11 2015-05-19 At&T Intellectual Property I, Lp System and methods for UICC-based secure communication
US9787657B2 (en) 2013-09-19 2017-10-10 Oracle International Corporation Privileged account plug-in framework—usage policies
US9319419B2 (en) * 2013-09-26 2016-04-19 Wave Systems Corp. Device identification scoring
US10154026B2 (en) * 2013-10-15 2018-12-11 Microsoft Technology Licensing, Llc Secure remote modification of device credentials using device-generated credentials
US9208300B2 (en) * 2013-10-23 2015-12-08 At&T Intellectual Property I, Lp Apparatus and method for secure authentication of a communication device
US9240994B2 (en) 2013-10-28 2016-01-19 At&T Intellectual Property I, Lp Apparatus and method for securely managing the accessibility to content and applications
US9313660B2 (en) 2013-11-01 2016-04-12 At&T Intellectual Property I, Lp Apparatus and method for secure provisioning of a communication device
US9240989B2 (en) 2013-11-01 2016-01-19 At&T Intellectual Property I, Lp Apparatus and method for secure over the air programming of a communication device
TWI499933B (zh) * 2013-11-21 2015-09-11 Qnap Systems Inc 電子裝置及其登入方法
JP6255091B2 (ja) * 2013-11-25 2017-12-27 マカフィー， エルエルシー プライベートデータを保護するセキュアプロキシ
KR102178552B1 (ko) * 2013-12-09 2020-11-13 엘지전자 주식회사 전자 기기 구동 방법
GB2521614B (en) * 2013-12-23 2021-01-13 Arm Ip Ltd Controlling authorisation within computer systems
EP3087771B1 (en) 2013-12-27 2020-06-17 Abbott Diabetes Care, Inc. Systems, devices, and methods for authentication in an analyte monitoring environment
US9602545B2 (en) 2014-01-13 2017-03-21 Oracle International Corporation Access policy management using identified roles
EP3731458A1 (en) * 2014-01-24 2020-10-28 McAfee, LLC Automatic placeholder finder-filler
JP6334940B2 (ja) 2014-02-12 2018-05-30 キヤノン株式会社 通信装置、通信装置の制御方法およびプログラム
JP5568696B1 (ja) * 2014-03-07 2014-08-06 株式会社 ディー・エヌ・エー パスワード管理システム及びパスワード管理システム用プログラム
EP3120591B1 (en) * 2014-03-17 2019-09-25 Telefonaktiebolaget LM Ericsson (publ) User identifier based device, identity and activity management system
US9411975B2 (en) 2014-03-31 2016-08-09 Intel Corporation Methods and apparatus to securely share data
US9762590B2 (en) * 2014-04-17 2017-09-12 Duo Security, Inc. System and method for an integrity focused authentication service
US9584515B2 (en) 2014-04-30 2017-02-28 Citrix Systems, Inc. Enterprise system authentication and authorization via gateway
US9713006B2 (en) 2014-05-01 2017-07-18 At&T Intellectual Property I, Lp Apparatus and method for managing security domains for a universal integrated circuit card
US10482461B2 (en) 2014-05-29 2019-11-19 Apple Inc. User interface for payments
US9621940B2 (en) 2014-05-29 2017-04-11 Time Warner Cable Enterprises Llc Apparatus and methods for recording, accessing, and delivering packetized content
AU2015266570B2 (en) 2014-05-30 2020-02-27 Applied Science, Inc. Systems and methods for managing blood donations
US11540148B2 (en) 2014-06-11 2022-12-27 Time Warner Cable Enterprises Llc Methods and apparatus for access point location
WO2016018028A1 (en) 2014-07-31 2016-02-04 Samsung Electronics Co., Ltd. Device and method of setting or removing security on content
KR20160016522A (ko) * 2014-07-31 2016-02-15 삼성전자주식회사 콘텐츠를 암호화/복호화하는 디바이스 및 방법
US10057240B2 (en) * 2014-08-25 2018-08-21 Sap Se Single sign-on to web applications from mobile devices
KR102226411B1 (ko) * 2014-09-01 2021-03-12 삼성전자주식회사 재등록을 관리하는 전자 장치 및 방법
US10097533B2 (en) * 2014-09-15 2018-10-09 Okta, Inc. Detection and repair of broken single sign-on integration
US9935833B2 (en) 2014-11-05 2018-04-03 Time Warner Cable Enterprises Llc Methods and apparatus for determining an optimized wireless interface installation configuration
US9609067B2 (en) * 2014-12-02 2017-03-28 Amazon Technologies, Inc. Proxy captive portal traffic for input-limited devices
US10223549B2 (en) * 2015-01-21 2019-03-05 Onion ID Inc. Techniques for facilitating secure, credential-free user access to resources
US20160241536A1 (en) * 2015-02-13 2016-08-18 Wepay, Inc. System and methods for user authentication across multiple domains
US10116676B2 (en) 2015-02-13 2018-10-30 Time Warner Cable Enterprises Llc Apparatus and methods for data collection, analysis and service modification based on online activity
US10146931B1 (en) * 2015-03-13 2018-12-04 EMC IP Holding Company LLC Organization-level password management employing user-device password vault
US9225711B1 (en) 2015-05-14 2015-12-29 Fmr Llc Transferring an authenticated session between security contexts
EP3304336B1 (en) 2015-06-01 2019-10-09 Duo Security, Inc. Method for enforcing endpoint health standards
CN106549997B (zh) * 2015-09-22 2019-11-12 阿里巴巴集团控股有限公司 用户上下文信息的获取方法和装置
US9986578B2 (en) 2015-12-04 2018-05-29 Time Warner Cable Enterprises Llc Apparatus and methods for selective data network access
GB201600447D0 (en) 2016-01-11 2016-02-24 Osirium Ltd Password recovery
US9918345B2 (en) 2016-01-20 2018-03-13 Time Warner Cable Enterprises Llc Apparatus and method for wireless network services in moving vehicles
US10404758B2 (en) 2016-02-26 2019-09-03 Time Warner Cable Enterprises Llc Apparatus and methods for centralized message exchange in a user premises device
US10492034B2 (en) 2016-03-07 2019-11-26 Time Warner Cable Enterprises Llc Apparatus and methods for dynamic open-access networks
CN107294916B (zh) * 2016-03-31 2019-10-08 北京神州泰岳软件股份有限公司 单点登录方法、单点登录终端及单点登录系统
DK179186B1 (en) 2016-05-19 2018-01-15 Apple Inc REMOTE AUTHORIZATION TO CONTINUE WITH AN ACTION
US10944747B2 (en) * 2016-05-25 2021-03-09 Canon Information And Imaging Solutions, Inc. Devices, systems, and methods for zero-trust single sign-on
US10164858B2 (en) 2016-06-15 2018-12-25 Time Warner Cable Enterprises Llc Apparatus and methods for monitoring and diagnosing a wireless network
DK179978B1 (en) 2016-09-23 2019-11-27 Apple Inc. IMAGE DATA FOR ENHANCED USER INTERACTIONS
US10243946B2 (en) * 2016-11-04 2019-03-26 Netskope, Inc. Non-intrusive security enforcement for federated single sign-on (SSO)
US10284535B2 (en) 2016-12-13 2019-05-07 Chronicle Llc Secure database
CN107070880A (zh) * 2017-02-16 2017-08-18 济南浪潮高新科技投资发展有限公司 一种单点登录的方法及系统、一种认证中心服务器
TWI651677B (zh) * 2017-05-05 2019-02-21 臺灣銀行股份有限公司 網路銀行帳戶的登入方法及應用該登入方法之網路銀行系統
US10645547B2 (en) 2017-06-02 2020-05-05 Charter Communications Operating, Llc Apparatus and methods for providing wireless service in a venue
US10638361B2 (en) 2017-06-06 2020-04-28 Charter Communications Operating, Llc Methods and apparatus for dynamic control of connections to co-existing radio access networks
US10721222B2 (en) * 2017-08-17 2020-07-21 Citrix Systems, Inc. Extending single-sign-on to relying parties of federated logon providers
US10355864B2 (en) 2017-08-29 2019-07-16 Citrix Systems, Inc. Policy based authentication
KR102389678B1 (ko) 2017-09-09 2022-04-21 애플 인크. 생체측정 인증의 구현
KR102185854B1 (ko) 2017-09-09 2020-12-02 애플 인크. 생체측정 인증의 구현
KR101966545B1 (ko) * 2017-09-26 2019-04-05 (주)에이티솔루션즈 로그인 정보 자동 갱신 방법
CN109714185B (zh) 2017-10-26 2022-03-04 阿里巴巴集团控股有限公司 可信服务器的策略部署方法、装置、系统及计算系统
KR101944698B1 (ko) 2017-11-28 2019-02-01 (주) 시큐어가드테크놀러지 컴퓨터 운영체제의 로그인 인증 결과를 이용한 싱글 사인 온 자동 로그인 방법 및 이를 적용한 컴퓨터로 읽을 수 있는 저장매체
US10412113B2 (en) 2017-12-08 2019-09-10 Duo Security, Inc. Systems and methods for intelligently configuring computer security
US12052358B2 (en) 2018-01-12 2024-07-30 Qualcomm Incorporated Method and apparatus for multiple registrations
US11553381B2 (en) * 2018-01-12 2023-01-10 Qualcomm Incorporated Method and apparatus for multiple registrations
US11170085B2 (en) 2018-06-03 2021-11-09 Apple Inc. Implementation of biometric authentication
US11190517B2 (en) 2018-08-08 2021-11-30 At&T Intellectual Property I, L.P. Access control based on combined multi-system authentication factors
US10860096B2 (en) 2018-09-28 2020-12-08 Apple Inc. Device control using gaze information
US11100349B2 (en) 2018-09-28 2021-08-24 Apple Inc. Audio assisted enrollment
US11658962B2 (en) 2018-12-07 2023-05-23 Cisco Technology, Inc. Systems and methods of push-based verification of a transaction
US11050749B2 (en) * 2018-12-31 2021-06-29 Paypal, Inc. Credential storage manager for protecting credential security during delegated account use
US11949677B2 (en) * 2019-04-23 2024-04-02 Microsoft Technology Licensing, Llc Resource access based on audio signal
US11570163B2 (en) * 2019-04-24 2023-01-31 Uns Project Inc. User authentication system
US11297040B2 (en) * 2019-05-01 2022-04-05 Akamai Technologies, Inc. Intermediary handling of identity services to guard against client side attack vectors
US11115401B2 (en) 2019-07-08 2021-09-07 Bank Of America Corporation Administration portal for simulated single sign-on
US11089005B2 (en) 2019-07-08 2021-08-10 Bank Of America Corporation Systems and methods for simulated single sign-on
US11323432B2 (en) 2019-07-08 2022-05-03 Bank Of America Corporation Automatic login tool for simulated single sign-on
US11907356B2 (en) * 2020-01-09 2024-02-20 Arris Enterprises Llc System, method, and computer-readable recording medium of creating, accessing, and recovering a user account with single sign on password hidden authentication
CN112751870B (zh) * 2020-12-30 2022-11-11 湖南麒麟信安科技股份有限公司 一种基于代理转发的nfs安全传输装置及方法
EP4264460A1 (en) 2021-01-25 2023-10-25 Apple Inc. Implementation of biometric authentication
US11895106B2 (en) 2021-01-28 2024-02-06 Oracle International Corporation Automatic sign-in upon account signup
US11599677B2 (en) * 2021-04-30 2023-03-07 People Center, Inc. Synchronizing organizational data across a plurality of third-party applications
KR102409867B1 (ko) * 2021-06-08 2022-06-22 쿠팡 주식회사 회원 정보 관리 방법 및 그 장치
US20230015789A1 (en) * 2021-07-08 2023-01-19 Vmware, Inc. Aggregation of user authorizations from different providers in a hybrid cloud environment

Family Cites Families (39)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US2014A (en) * 1841-03-24 Machine ecu cutting square-joint dovetails
US6007A (en) * 1849-01-09 Improvement in plows
JP3659019B2 (ja) * 1998-09-29 2005-06-15 株式会社日立製作所 可搬媒体を用いたシングルログイン制御方法および該方法を実現するためのプログラムを格納した記録媒体および装置
JP2000259566A (ja) * 1999-03-05 2000-09-22 Ntt Communicationware Corp パスワード管理システム
US6779120B1 (en) * 2000-01-07 2004-08-17 Securify, Inc. Declarative language for specifying a security policy
JP2001344213A (ja) * 2000-05-31 2001-12-14 Hitachi Ltd 生体認証システム
JP2002288139A (ja) * 2001-03-28 2002-10-04 Novell Japan Ltd 携帯電話機用シングルサインオンシステムおよび方法
US8185938B2 (en) * 2001-03-29 2012-05-22 International Business Machines Corporation Method and system for network single-sign-on using a public key certificate and an associated attribute certificate
EP2557507A3 (en) * 2002-02-13 2013-10-23 Passlogy Co., Ltd. User verification method and user verification system
KR100989487B1 (ko) 2002-05-24 2010-10-22 텔레폰악티에볼라겟엘엠에릭슨(펍) 서비스 제공자의 서비스에 대한 사용자를 인증하는 방법
US7296235B2 (en) * 2002-10-10 2007-11-13 Sun Microsystems, Inc. Plugin architecture for extending polices
US7207058B2 (en) * 2002-12-31 2007-04-17 American Express Travel Related Services Company, Inc. Method and system for transmitting authentication context information
AU2003202182A1 (en) * 2003-01-10 2004-08-10 Telefonaktiebolaget Lm Ericsson (Publ) Single sign-on for users of a packet radio network roaming in a multinational operator network
US20050021975A1 (en) * 2003-06-16 2005-01-27 Gouping Liu Proxy based adaptive two factor authentication having automated enrollment
US7496755B2 (en) * 2003-07-01 2009-02-24 International Business Machines Corporation Method and system for a single-sign-on operation providing grid access and network access
US7802295B2 (en) 2003-08-11 2010-09-21 Sony Corporation Authentication method, authentication system, and authentication server
US7349913B2 (en) * 2003-08-21 2008-03-25 Microsoft Corporation Storage platform for organizing, searching, and sharing data
US7739316B2 (en) * 2003-08-21 2010-06-15 Microsoft Corporation Systems and methods for the implementation of base schema for organizing units of information manageable by a hardware/software interface system
US8131739B2 (en) * 2003-08-21 2012-03-06 Microsoft Corporation Systems and methods for interfacing application programs with an item-based storage platform
US7483915B2 (en) * 2003-08-21 2009-01-27 Microsoft Corporation Systems and method for representing relationships between units of information manageable by a hardware/software interface system
US20050055354A1 (en) * 2003-08-21 2005-03-10 Microsoft Corporation Systems and methods for representing units of information manageable by a hardware/software interface system but independent of physical representation
US7428546B2 (en) * 2003-08-21 2008-09-23 Microsoft Corporation Systems and methods for data modeling in an item-based storage platform
US7529811B2 (en) * 2003-08-21 2009-05-05 Microsoft Corporation Systems and methods for the implementation of a core schema for providing a top-level structure for organizing units of information manageable by a hardware/software interface system
CN100437551C (zh) * 2003-10-28 2008-11-26 联想（新加坡）私人有限公司 使多个用户设备自动登录的方法和设备
US20050144450A1 (en) * 2003-12-30 2005-06-30 Entrust Limited Method and apparatus for providing mutual authentication between a sending unit and a recipient
US20050203921A1 (en) * 2004-03-11 2005-09-15 Newman Aaron C. System for protecting database applications from unauthorized activity
US8522039B2 (en) * 2004-06-09 2013-08-27 Apple Inc. Method and apparatus for establishing a federated identity using a personal wireless device
US7698734B2 (en) * 2004-08-23 2010-04-13 International Business Machines Corporation Single sign-on (SSO) for non-SSO-compliant applications
US20060075224A1 (en) * 2004-09-24 2006-04-06 David Tao System for activating multiple applications for concurrent operation
US20060185004A1 (en) * 2005-02-11 2006-08-17 Samsung Electronics Co., Ltd. Method and system for single sign-on in a network
CN1835436B (zh) 2005-03-14 2010-04-14 华为技术有限公司 一种通用鉴权网络及一种实现鉴权的方法
US7526812B2 (en) * 2005-03-24 2009-04-28 Xerox Corporation Systems and methods for manipulating rights management data
WO2007085175A1 (fr) * 2006-01-24 2007-08-02 Huawei Technologies Co., Ltd. Procédé, système d'authentification et centre d'authentification reposant sur des communications de bout en bout dans le réseau mobile
US20080039096A1 (en) * 2006-03-28 2008-02-14 Nokia Corporation Apparatus, method and computer program product providing secure distributed HO signaling for 3.9G with secure U-plane location update from source eNB
CN103124261B (zh) * 2006-05-09 2016-08-03 交互数字技术公司 无线通信设备及在wtru中使用的扩展的用户标识模块
KR101302763B1 (ko) 2006-08-22 2013-09-03 인터디지탈 테크날러지 코포레이션 애플리케이션 및 인터넷 기반 서비스들에 신뢰성있는 싱글 사인온 액세스를 제공하는 방법 및 장치
US7941831B2 (en) * 2007-02-09 2011-05-10 Microsoft Corporation Dynamic update of authentication information
US8370509B2 (en) * 2009-04-09 2013-02-05 Alcatel Lucent Identity management services provided by network operator
US9578041B2 (en) * 2010-10-25 2017-02-21 Nokia Technologies Oy Verification of peer-to-peer multimedia content

Cited By (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105072088A (zh) * 2010-01-22 2015-11-18 交互数字专利控股公司 一种在具有用户的无线设备处执行的方法
CN102685202A (zh) * 2011-03-03 2012-09-19 微软公司 在操作系统和应用之间共享用户id
CN102685202B (zh) * 2011-03-03 2018-07-24 微软技术许可有限责任公司 在操作系统和应用之间共享用户id
CN102263784A (zh) * 2011-06-16 2011-11-30 中兴通讯股份有限公司 单点登录方法及系统
CN103858457A (zh) * 2011-08-01 2014-06-11 英特尔公司 用于身份提供商(IdP)漫游/代理的多跳单点登录(SSO)
CN102355459A (zh) * 2011-09-27 2012-02-15 北京交通大学 基于TPM的可信Web网页的实现方法
CN102355459B (zh) * 2011-09-27 2014-04-09 北京交通大学 基于TPM的可信Web网页的实现方法
US10176335B2 (en) 2012-03-20 2019-01-08 Microsoft Technology Licensing, Llc Identity services for organizations transparently hosted in the cloud
CN104205723A (zh) * 2012-03-20 2014-12-10 微软公司 用于透明地主存在云中的组织的身份服务
CN104205723B (zh) * 2012-03-20 2017-09-12 微软公司 用于透明地主存在云中的组织的身份服务
CN102843357A (zh) * 2012-07-30 2012-12-26 北京网蜜在线网络有限公司 访问网络的方法、应用服务器及系统
CN102843357B (zh) * 2012-07-30 2016-11-16 北京网蜜在线网络有限公司 访问网络的方法、应用服务器及系统
CN105308605A (zh) * 2013-05-24 2016-02-03 迈克菲公司 对通过第三方的任意应用的安全自动授权访问
CN105308605B (zh) * 2013-05-24 2018-09-25 迈克菲公司 对通过第三方的任意应用的安全自动授权访问
US10749854B2 (en) 2015-11-12 2020-08-18 Microsoft Technology Licensing, Llc Single sign-on identity management between local and remote systems
CN110999213A (zh) * 2017-06-30 2020-04-10 开文公司 混合认证系统和方法
CN110999213B (zh) * 2017-06-30 2023-09-22 开文公司 混合认证系统和方法
CN114422229A (zh) * 2022-01-14 2022-04-29 北京从云科技有限公司 Web应用单点登录代理方法、装置、登录方法及服务器
CN115412323A (zh) * 2022-08-23 2022-11-29 江苏云涌电子科技股份有限公司 一种基于tcm的单次登录访问多个应用的方法

Also Published As

Publication number Publication date
WO2008024454A1 (en) 2008-02-28
CN103067399A (zh) 2013-04-24
EP2055077A1 (en) 2009-05-06
US20080059804A1 (en) 2008-03-06
TW200943898A (en) 2009-10-16
JP5205380B2 (ja) 2013-06-05
KR101302763B1 (ko) 2013-09-03
US8707409B2 (en) 2014-04-22
KR20090048655A (ko) 2009-05-14
TW201141176A (en) 2011-11-16
CN101507233B (zh) 2013-02-13
KR101302889B1 (ko) 2013-09-06
JP2010502109A (ja) 2010-01-21
JP5795604B2 (ja) 2015-10-14
CN103067399B (zh) 2016-03-09
EP2055077B1 (en) 2017-04-05
JP2013145562A (ja) 2013-07-25
KR20090042864A (ko) 2009-04-30
KR20120130780A (ko) 2012-12-03
KR101005910B1 (ko) 2011-01-06
TWI366375B (en) 2012-06-11
TW200820716A (en) 2008-05-01
TWI470989B (zh) 2015-01-21

Similar Documents

Publication Publication Date Title
CN101507233B (zh) 用于提供对于应用程序和基于互联网的服务的可信单点登录访问的方法和设备
US7373515B2 (en) Multi-factor authentication system
US8051297B2 (en) Method for binding a security element to a mobile device
CN103685282B (zh) 一种基于单点登录的身份认证方法
US7100054B2 (en) Computer network security system
US20050289085A1 (en) Secure domain network
US11716312B1 (en) Platform for optimizing secure communications
Alaca et al. Comparative analysis and framework evaluating web single sign-on systems
Casey et al. An interoperable architecture for usable password-less authentication
CA2553081C (en) A method for binding a security element to a mobile device
Chen et al. Ubiquitous one-time password service using the generic authentication architecture
Binu et al. A mobile based remote user authentication scheme without verifier table for cloud based services
Weerasinghe et al. Security framework for mobile banking
EP2530618B1 (en) Sign-On system with distributed access
Gupta Security characteristics of cryptographic mobility solutions
Herzig Identity and Access Management
Rajarajan Novel framework for secure mobile financial services
Burdis Distributed Authentication for Resource Control

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20130213

Termination date: 20180822

CF01 Termination of patent right due to non-payment of annual fee