CN101981581B - 处理过期密码的方法和设备 - Google Patents

处理过期密码的方法和设备 Download PDF

Info

Publication number
CN101981581B
CN101981581B CN2009801116286A CN200980111628A CN101981581B CN 101981581 B CN101981581 B CN 101981581B CN 2009801116286 A CN2009801116286 A CN 2009801116286A CN 200980111628 A CN200980111628 A CN 200980111628A CN 101981581 B CN101981581 B CN 101981581B
Authority
CN
China
Prior art keywords
password
response
server
date
new
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN2009801116286A
Other languages
English (en)
Other versions
CN101981581A (zh
Inventor
P·E·哈沃坎
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
International Business Machines Corp
Original Assignee
International Business Machines Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by International Business Machines Corp filed Critical International Business Machines Corp
Publication of CN101981581A publication Critical patent/CN101981581A/zh
Application granted granted Critical
Publication of CN101981581B publication Critical patent/CN101981581B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/068—Network architectures or network communication protocols for network security for supporting key management in a packet data network using time-dependent keys, e.g. periodically changing keys
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H04L63/0846—Network architectures or network communication protocols for network security for authentication of entities using passwords using time-dependent-passwords, e.g. periodically changing passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/088—Usage controlling of secret information, e.g. techniques for restricting cryptographic keys to pre-authorized uses, different access levels, validity of crypto-period, different key- or password length, or different strong and weak cryptographic algorithms
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/45—Structures or tools for the administration of authentication
    • G06F21/46—Structures or tools for the administration of authentication by designing passwords or checking the strength of passwords
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2137—Time limited access, e.g. to a computer or data

Abstract

本发明涉及处理过期密码。一种操作服务器的方法，包括接收包含密码的授权请求，访问所述密码的失效日期，传输包含所述失效日期的响应，确定所述密码是否已过期，和如果所述密码已过期，那么接收新密码。可选的是，传输的响应还包括表示密码的最后一次使用的日期，和/或表示重试参数的整数值。

Description

处理过期密码的方法和设备
技术领域
本发明涉及一种操作服务器的方法、服务器本身、计算机程序产品、和操作服务器的计算机程序。特别地，本发明涉及操作服务器的方法、服务器本身、计算机程序产品、和操作服务器的计算机程序中的过期密码的处理。 
背景技术
当以电子方式访问需要授权的服务时，常见的是识别进行访问的一方。例如，通过因特网可远程访问许多银行账户。为了访问其银行账户，用户必须提供用户名和密码，所述用户名和密码被用于向提供对银行账户的访问的服务器证明个人的身份。服务器保存用户名(用户名不必保密)，和密码或者密码的摘要(保密地)，并对照保存的密码或摘要检查接收到的密码。 
为了使授权处理更鲁棒，密码通常只具有有限的有效期。一旦用户首次选择密码，那么在许多系统中，该密码将仅仅持续预定的时间有效。例如，可能是90天。在这段时间内，通过利用其用户名和密码，用户能够访问电子服务，不过一旦有限的有效期过去，那么密码就不再能够被用于访问该服务。此时，认为该密码已过期。为了使用户继续访问期望的服务，用户需要提供新密码来替换旧密码。 
例如，美国专利6826700公开了一种当现有密码过期时，web应用服务器自动要求新密码的方法和设备。在该专利中，公开了利用与万维网耦接的因特网终端，访问具有基于对话框的请求格式的现存专有数据库管理系统的设备和方法。因特网终端向数据库管理系统传送服务请求，根据需要提供密码。当在密码过期的情况下发出服务请求时，数据库管理系统认识到该问题。因特网终端被询问某些参数，以及数据库管理系 统自动重新分配新的且未过期的密码。 
处理已经过期的密码的已知方法能够被改进。诸如在上面的专利中描述的那些系统既复杂，又不和现有的某些网络通信标准兼容。另外，需要一种在网络的客户端支持更高灵活性的处理过期密码的方法。 
因此，在本领域中存在解决上述问题的需要。 
发明内容
按照本发明的第一方面，提供一种操作服务器的方法，包括接收包含密码的授权请求，访问所述密码的失效日期，传输包含所述失效日期的响应，确定所述密码是否已过期，和如果所述密码已过期，那么接收新密码。 
按照本发明的第二方面，提供一种服务器，所述服务器被设置成接收包含密码的授权请求，访问所述密码的失效日期，传输包含所述失效日期的响应，确定所述密码是否已过期，和如果所述密码已过期，那么接收新密码。 
按照本发明的第三方面，提供一种在计算机可读介质上的用于操作服务器的计算机程序产品和计算机程序，所述产品包括用于接收包含密码的授权请求，访问所述密码的失效日期的指令，传输包含所述失效日期的响应的指令，确定所述密码是否已过期的指令，和如果所述密码已过期，那么接收新密码的指令。 
本发明的优选实施例提供一种改进的消息请求-应答传送协议，该协议能够处理过期的和取消的密码。使用新报头来指示服务器是否正在参与所述新协议。由此，客户端设备确定它可向服务器发送新格式的响应报头，同时能够确定密码是否已过期或者被取消，并且当密码过期时，能够主动发送新的密码。 
由于本发明，能够提供在消息请求-应答传送消息中处理密码及其密码过期的灵活系统。每当产生包括密码的服务访问请求时，服务器都将以包含密码状态信息，比如失效日期的响应进行应答，这使客户端设备可以监控密码的当前状态，并且在客户端设备觉得适宜的时候，处理所 述信息，包括修改客户端软件提示最终用户输入凭证的方式。不管密码实际上是否已过期，都从服务器向客户端设备发送包括失效日期的响应，这使得如果需要的话，客户端设备可以采取抢先行动。在诸如超文本传送协议(HTTP)之类当前标准的范围内，响应可把失效日期包括在报头中。 
优选地，传输的响应还包括表示密码的最后一次使用的日期，和/或还包括表示重试参数的整数值。在回送给客户端设备的响应内增加另外的信息进一步增大了客户端设备可以用于处理过期(或者即将过期)的用户密码的可选项范围。 
有利的是，处理还包括接收包含新密码的请求，确定新密码是不可接受的，和传输包括表示重试参数的整数值的响应，所述整数值不被改变。重试参数可被用于安全措施，不过如果提交了由于任何原因(例如过于类似于旧密码)而被认为不可接受的新密码，那么重试参数不被递减。 
理想地，处理还包括接收包含旧密码的请求，和传输包括表示重试参数的整数值的响应，所述整数值被减1。一旦密码已过期，那么旧密码的任何再次提交会导致拒绝访问请求和传输递减的重试参数。这将通知客户端设备，当重试参数降到零时，访问服务器上的服务的处理有被完全拒绝的危险。 
附图说明
下面参考附图，仅通过举例的方式说明本发明的实施例，其中： 
图1是包括客户端设备和服务器的系统的示意图； 
图2是表示客户端设备和服务器之间的通信的示图； 
图3是操作服务器的方法的流程图；以及 
图4是图1的系统的进一步示意图。 
具体实施方式
图1图解说明包括经由网络14与服务器12连接的客户端设备10的系统。客户端设备具有在图中更详细地表示的显示器16。用户将通过其 客户端设备10访问服务器12托管的服务。如显示器16中所示，要求用户通过输入其用户名和密码，以获得访问所述服务的授权。图1中图解说明的系统把客户端设备10表示成个人计算机，客户端设备10同样可以是诸如移动电话机或者适当具有个人数字助手(PDA)能力之类的移动设备。同样地，表示成广域网(因特网)的网络14可以是诸如特定场地的企业内部网之类的局域网。服务器12保存用户的用户名，和用户的密码或者从所述密码得到的一些其它数据(比如密码的摘要)，当用户试图访问服务器12提供的服务时，所述密码或者密码的摘要被用于证明用户自己。 
客户端设备10和服务器12之间的通信由预定的消息请求-应答传送协议，比如超文本传送协议(HTTP)处理。HTTP协议确定两种方法，借助这两种方法，用户能够认证他们自己，以使用安全HTTP服务器，比如服务器12。这两种方法是基本认证(Basic Authentication)方案和摘要认证(Digest Authentication)方案，如在文献RFC2617中所述(参见RFC2617，HTTP Authentication：Basic and Digest Access Authentication，http://www.ietf.org/rfc/rfc2617.txt)。在这些方案中，客户端设备10运行的HTTP客户端软件(通常是Web浏览器)提示最终用户输入其凭证(用户名和密码)，随后在对所述凭证编码之后将其发送给服务器12。 
在这两种方案中，服务器12通过以包含WWW-认证报头的HTTP401消息进行应答来发起认证质询，所述WWW-认证报头包括其中所述凭证有效的领域(realm)的名称。在摘要认证方案中，服务器12还向客户端设备10发送临时值(任意二进制值)，以及客户端设备10必须以用户名、密码、临时值、HTTP方法、和所请求的统一资源定位符(URL)的密码校验和(摘要)进行应答。在基本认证方案中，不使用临时值，以及客户端设备10仅仅以用户名和密码进行应答，该用户名和密码被一般编码以避免密码的不定期检查，然而在别的方面却未被加密隐藏。 
这两种方案都假定对于每个用户名来说，存在唯一的密码，并且一旦用户名和密码被确定，客户端设备10运行的客户端软件就能够高速缓存凭证，并随着对服务器12的每个HTTP请求，反复提供所述凭证。摘 要认证方案使临时值可以变得失效并且可被刷新，而不需要提示用户输入新的凭证。 
不过，在许多其它现代的基于密码的安全系统，包括IBM
Figure BPA00001233059600051
 z/OS
Figure BPA00001233059600052
Security Server(RACF
Figure BPA00001233059600053
)和一些UNIX
Figure BPA00001233059600054
实现中，用户名和密码之间的关联不是永久的。(IBM和z/OS是国际商用机器公司在美国、或其它国家、或者在美国和其它国家的商标。UNIX是开放组织在美国和其它国家中的注册商标)。在这样的系统中，在固定天数之后，密码会变得过期，以及必须提示最终用户输入新密码，以继续访问服务器系统12。此外，如果用户未能通过少量的尝试提供有效密码，那么用户名会被取消，并且使用该用户名的任何其它尝试都会失败，不管是否输入了正确的密码。 
目前，(HTTP的)基本认证方案和摘要认证方案都不能应付过期的或者被取消的密码。图1的系统可被配置成提供对这些方案的扩展，所述扩展将支持这些密码状态。提供一种HTTP服务器12能够借助其向客户端设备10返回密码状态信息的机制。客户端设备10随后能够连同已保存的凭证一起存储密码状态信息。密码状态信息可被用于修改客户端设备10运行的客户端软件提示最终用户输入凭证的方式，具体地说提示更换过期密码。 
如果HTTP服务器12希望通知HTTP客户端10，服务器12能够管理过期的和被取消的密码，那么服务器12应响应包含凭证的HTTP请求，发送Password-Expiry(密码过期)报头。Password-Expiry报头包含下述内容： 
Password-Expiry：失效日期(expiry-date)[；重试(retries)＝nn] 
可选的重试＝nn参数指示还允许多少次不正确的密码尝试。可选的是，服务器12还发送描述密码的最后一次成功使用的信息报头： 
Password-Last-Used：最后使用日期(last-use-date)
日期戳失效日期和最后使用日期是RFC1123格式(关于日期和时间格式化，参见RFC1123，Requirements for Internet Hosts-Application and Support，http://www.ietf.org/rfc/rfc1123.txt)。这两个报头的例子是： 
Password-Expiry：Thu，01Mar 2007 00:00:00GMT；retries＝5 
Password-Last-Used：Fri，16Feb 2007 17:45:20GMT 
如果服务器12发送Password-Expiry报头，那么这指示服务器12准备接受扩展授权报头中的新密码。新密码的规范格式取决于认证方案是基本认证方案还是摘要认证方案。下面详细说明将由客户端设备10发送的格式。 
如果服务器12接收到带有不可接受的新密码的扩展授权，那么服务器12应以包含Password-Expiry报头的HTTP 401响应进行答复，不过重试值应保持不变(如果旧密码不可接受，那么重试值应被减1)。 
如果客户端设备10接收到Password-Expiry报头，那么客户端设备10应记录失效日期和重试计数(如果提供的话)。如果重试计数为零，那么这指示用户名被取消，客户端不准进行任何另外的授权尝试。如果失效日期是当天日期(或者更早)，那么客户端设备10运行的客户端应用必须立即提示最终用户输入新密码，客户端应用随后必须把输入的新密码编码到下面说明的扩展授权报头之一中。 
如果失效日期逼近，在可配置的天数时间之内，客户端设备10运行的客户端应用可通知最终用户密码将要过期，并提出接受和传输新密码。如果最终用户拒绝提供新密码，那么在没有新密码的情况下，酌情利用基本认证方案或摘要认证方案继续认证。不过如果最终用户提供了新密码，那么新密码应被编码到下面说明的扩展授权报头之一中。 
如果服务器12未发送Password-Expiry报头，那么客户端设备10不得发送扩展授权报头，因为不存在服务器12准备接受扩展授权报头的任何指示。如果客户端设备10接收到Password-Last-Used报头，那么客户端设备10可向最终用户显示该报头的内容，作为自从授权用户最后一次指定密码以来，该密码一直未被使用的确认，不过该报头不参与认证质询，也不参与提供新密码。 
如果服务器12发送其中密码失效日期和重试计数保持不变的对密码变化的HTTP 401响应，那么这指示新密码是不可接受的，从而应提示最终用户输入不同的新密码。一旦客户端设备10在向服务器12发送新密码之后，从服务器12接收到HTTP 200 OK响应，旧密码就应被放弃， 以及在指定服务器的高速缓存的凭证中，成功核实的新密码应替换所述旧密码。对相同服务器12的后续请求必须只发送新密码(直到新密码本身过期为止)。 
图2概述在用户利用密码发出请求的情况下，客户端设备10和服务器12之间的通信。首先，通过请求访问web服务器12提供的服务，用户将通过客户端设备10连接到服务器12。服务器12随后通过向客户端设备10要求用户的授权细节(用户名和密码)，作出应答。客户端设备10以其用户名和当前密码进行应答。不管密码是否过期，服务器12随后都将以包含响应的消息进行应答，所述响应包括具有失效日期的报头。如果密码已经过期，那么用户必须提供新密码。一旦用户提供了新密码，那么新密码就由客户端设备10传送给服务器12，服务器12现在准许用户访问期望的服务。 
如下进行HTTP的基本认证方案中的新密码的规范。在基本认证方案中，通过把新密码包括在授权报头的基本凭证中，对新密码编码： 
Authorization：Basic基本凭证(basic-credentials)其中为了提供新密码，在于RFC822中定义的扩展BNF语法中(关于扩展的巴科斯范式(Backus-Naur Form)语法，参见RFC822，Standard for the format of ARPA Internet text messages，http://www.ietf.org/rfc/rfc822.txt)： 
basic-credentials＝base64-user-pass 
base64-user-pass＝<base64encoding of user-pass> 
user-pass＝username″:″password″:″newpassword 
username＝*<TEXT excluding″:″> 
password＝*<TExT excluding″:″> 
newpassword＝*<TExT> 
换句话说，正如失效的旧密码在冒号之后被附加在用户名上一样，新密码在第二个冒号之后被附加在旧密码上。随后利用base64编码对该结果编码。 
在摘要认证方案中的新密码的规范中，正如旧密码通常被加密隐藏 一样，新密码也必须被加密隐藏。这不能通过做新密码的摘要来实现，不过，可通过加密新密码来实现，如果能够设计适当的加密密钥的话。由于客户端设备10和服务器12都知道该失效密码，因此失效密码可被用于产生共享秘密，所述共享秘密能够被用作加密新密码的密钥。 
这种情况下，生成加密的新密码的建议算法是： 
·如RFC2617中所述，计算共享秘密H(A1)，它一般是字符串usernam:realm:password的MD5散列，在下一步骤中将用作加密密钥， 
·借助128比特的密钥，利用AES加密算法对新密码加密，和 
·利用base64编码对加密结果编码。 
在HTTP设置中，base64编码结果随后可作为附加的新密码关键字被提供给通常在HTTP Digest Authorization报头中发送的参数，即： 
Authorization:credentials 
credentials              ＝″Digest″digest-response 
digest-response   ＝1#(username|realm|nonce|digest-uri|response| 
                           [algorithm]|[cnonce]|[opaque]| 
                           [message-qop]|[nonce-count]| 
                           [new-password]|[auth-param]) 
username                 ＝″username″″＝″username-value 
username-value    ＝quoted-string 
digest-uri               ＝″uri″″＝″digest-uri-value 
digest-uri-value  ＝request-uri；As specified by HTTP/1.1 
message-qop       ＝″qop″″＝″qop-value 
cnonce                   ＝″cnonce″″＝″cnonce-value 
cnonce-value      ＝nonce-value 
nonce-count       ＝″nc″″＝″nc-value 
nc-value                    ＝8LHEX 
response                    ＝″response″″＝″request-digest 
request-digest              ＝<″>32LHEX<″> 
LHEX                        ＝″0″|″1″|″2″|″3″| 
                              ″4″|″5″|″6″|″7″| 
                              ″8″|″9″|″a″|″b″| 
                              ″c″|″d″|″e″|″f″ 
new-password＝″newpassword″″＝″base64-new-password 
base64-new-password＝<base64编码encrypted-new-password> 
encrypted-new-password＝<利用旧密码的摘要AES加密新密码> 
进行HTTP的摘要认证方案中的新密码的解密。如果如上所述，新密码参数包括在授权报头中，那么应利用用于加密新密码的处理的逆处理对该密码解密： 
·生成旧密码的20字节SHA-1摘要， 
·使用所得到的摘要的低阶16字节来获得128比特解密密钥， 
·对base64编码的新密码解码， 
·借助128比特密钥，利用AES解密算法，对解码的新密码解密。 
这样，能够以简单并且有效的方式，以加密形式创建和传送新密码。在客户端设备10和服务器12之间不必开启任何加密通道，不对客户端设备10或服务器12提出任何更高的存储或处理要求。 
图3关于从服务器12到客户端设备10的包括失效日期的报头的通信，更详细地图解说明了上述处理。该处理由服务器12进行。操作服务器12的方法包括：首先在步骤S1，从客户端设备10接收包含密码的授权请求。随后在步骤S2，服务器12访问所接收密码的失效日期，并在步骤S3，向客户端设备10回传响应，所述响应以诸如HTTP消息内的报头之类的适当形式包括失效日期。不论密码是否过期，服务器12都把失效日期返回给客户端设备10。这支持客户端设备10的不同配置，从而在密码失效之前，允许客户端设备10采取行动，如果需要的话。例如，客户端设备10可通知用户其密码不久将过期。 
操作服务器12的方法还包括在步骤S4，确定密码是否已过期，以及在步骤S5，如果该密码已过期，那么接收新密码。服务器12检查该密码是否已过期，如果该密码不再是可接受的，那么服务器12将触发新密码过程，或者从客户端设备10接受新密码，这两者都包括阻止旧密码提供授权。新密码创建过程可以是服务器12的主动操作，服务器12将与客户端设备10通信，从而获得新密码，或者是被动操作，由此服务器12认为客户端设备10会创建新密码，并把新密码传送给服务器12，以便由 服务器12保存。如上所述，可利用旧密码(或者旧密码的摘要)加密传送给服务器12的新密码。 
图4表示图1的系统，示出了与上面所述的密码处理有关的一些消息通信量。服务器12包括数据库20。客户端设备10发送访问服务器12提供的服务的请求24。请求24包括密码26。一旦服务器12接收到请求24，服务器12就将访问其数据库20，以取回所接收的密码26的失效日期28。服务器12随后以响应30对客户端设备10进行应答，响应30包括包含失效日期28的报头。按照这种方式，每当存在用特定密码26访问服务的尝试时，客户端设备10都被供给和密码26的过期有关的信息。 
本领域的技术人员明白尽管关于前述例证实施例说明了本发明，不过本发明并不局限于这些例证实施例，存在许多属于本发明的范围的可能变化和修改。 
本公开的范围包括这里公开的任何新颖特征或特征的组合。据此申请人通告在本申请或者源于本申请的任何另外申请的审查过程中，可对这样的特征或特征的组合提出新的权利要求。特别地，关于附加的权利要求，从属权利要求的特征可与独立权利要求的特征组合，并且可按照任何适当的方式组合各个独立权利要求的特征，并不仅仅限于在权利要求中列举的具体组合。 
为免存疑，说明性和权利要求书中使用的术语“包括”不应被解释成“仅仅由…组成”的含义。 

Claims (16)

1.一种操作服务器的方法，包括
接收包含密码的授权请求；
访问所述密码的失效日期；
传输包含所述失效日期的响应，以允许客户端修改提示最终用户输入凭证的方式；
确定所述密码是否已过期；和
如果所述密码已过期，那么接收新密码，其中已过期的所述密码被用于产生共享秘密，所述共享秘密被用作加密新密码的密钥。
2.按照权利要求1所述的方法，其中传输的响应还包括表示密码的最后一次使用的日期。
3.按照权利要求1或2所述的方法，其中传输的响应还包括表示重试参数的整数值。
4.按照权利要求3所述的方法，还包括接收包含新密码的请求，确定新密码是不可接受的，和传输包括表示重试参数的整数值的响应，所述整数值不被改变。
5.按照权利要求3所述的方法，还包括接收包含旧密码的请求，和传输包括表示重试参数的整数值的响应，所述整数值被减1。
6.按照权利要求1或2所述的方法，其中传输包含所述失效日期的响应的步骤包括传输包括报头的消息，所述报头包括失效日期。
7.按照权利要求6所述的方法，还包括按照请求和应答传送协议操作所述服务器，其中传输的响应是按照所述协议的应答。
8.按照权利要求7所述的方法，其中每次接收到授权请求时，所述服务器都传输作为按照所述协议的应答的传输的响应。
9.一种操作服务器的设备，所述设备包括
配置为接收包含密码的授权请求的装置；
配置为访问所述密码的失效日期的装置；
配置为传输包含所述失效日期的响应，以允许客户端修改提示最终用户输入凭证的方式的装置；
配置为确定所述密码是否已过期的装置；和
配置为如果所述密码已过期，那么接收新密码的装置，其中已过期的所述密码被用于产生共享秘密，所述共享秘密被用作加密新密码的密钥。
10.按照权利要求9所述的设备，其中传输的响应还包括表示密码的最后一次使用的日期。
11.按照权利要求9或10所述的设备，其中传输的响应还包括表示重试参数的整数值。
12.按照权利要求11所述的设备，进一步包括：
配置为接收包含新密码的请求的装置，
配置为确定新密码是不可接受的的装置，和
配置为传输包括表示重试参数的整数值的响应的装置，所述整数值不被改变。
13.按照权利要求11所述的设备，进一步包括：
配置为接收包含旧密码的请求的装置，和
配置为传输包括表示重试参数的整数值的响应的装置，所述整数值被减1。
14.按照权利要求9或10所述的设备，进一步包括：
配置为当传输包含失效日期的响应时，传输包括报头的消息的装置，所述报头包括失效日期。
15.按照权利要求14所述的设备，进一步包括配置为按照请求和应答传送协议操作所述服务器的装置，其中传输的响应是按照所述协议的应答。
16.按照权利要求15所述的设备，其中每次接收到授权请求时，所述服务器都传输作为按照所述协议的应答的传输的响应。
CN2009801116286A 2008-04-04 2009-04-01 处理过期密码的方法和设备 Active CN101981581B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
EP08154050.2 2008-04-04
EP08154050 2008-04-04
PCT/EP2009/053870 WO2009121905A1 (en) 2008-04-04 2009-04-01 Handling expired passwords

Publications (2)

Publication Number Publication Date
CN101981581A CN101981581A (zh) 2011-02-23
CN101981581B true CN101981581B (zh) 2013-08-28

Family

ID=40749276

Family Applications (1)

Application Number Title Priority Date Filing Date
CN2009801116286A Active CN101981581B (zh) 2008-04-04 2009-04-01 处理过期密码的方法和设备

Country Status (6)

Country Link
US (2) US9705878B2 (zh)
EP (1) EP2274704B1 (zh)
JP (1) JP5419960B2 (zh)
KR (1) KR101475981B1 (zh)
CN (1) CN101981581B (zh)
WO (1) WO2009121905A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9355244B2 (en) 2013-12-24 2016-05-31 Tencent Technology (Shenzhen) Company Limited Systems and methods for password reset
TWI607335B (zh) * 2013-12-24 2017-12-01 騰訊科技（深圳）有限公司 密碼重置方法、裝置和系統

Families Citing this family (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7979899B2 (en) * 2008-06-02 2011-07-12 Microsoft Corporation Trusted device-specific authentication
CN102546580A (zh) * 2011-01-04 2012-07-04 中国移动通信有限公司 一种用户口令的更新方法、系统及装置
US10154026B2 (en) * 2013-10-15 2018-12-11 Microsoft Technology Licensing, Llc Secure remote modification of device credentials using device-generated credentials
US10834592B2 (en) 2014-07-17 2020-11-10 Cirrent, Inc. Securing credential distribution
US10356651B2 (en) 2014-07-17 2019-07-16 Cirrent, Inc. Controlled connection of a wireless device to a network
US10154409B2 (en) 2014-07-17 2018-12-11 Cirrent, Inc. Binding an authenticated user with a wireless device
US9942756B2 (en) * 2014-07-17 2018-04-10 Cirrent, Inc. Securing credential distribution
CN105635157A (zh) * 2016-01-06 2016-06-01 北京信安世纪科技有限公司 一种口令更新的方法
US10462152B2 (en) 2016-11-15 2019-10-29 Microsoft Technology Licensing, Llc Systems and methods for managing credentials used to authenticate access in data processing systems
CN106790164B (zh) * 2016-12-29 2020-05-12 杭州迪普科技股份有限公司 L2tp的密码修改方法及装置
JP7072852B2 (ja) * 2018-07-06 2022-05-23 ローレルバンクマシン株式会社 パスワード類管理装置およびパスワード類管理方法
CN110826052A (zh) * 2019-10-18 2020-02-21 上海易点时空网络有限公司 保护服务器密码安全的方法和装置
KR102110815B1 (ko) 2019-10-22 2020-05-14 주식회사 넷앤드 접근 보안을 위한 일회성 비밀번호 기능을 구비한 접근통제 시스템
KR102118380B1 (ko) 2019-11-08 2020-06-04 주식회사 넷앤드 사용자별 서버 작업 통제 기능을 탑재한 접근통제 시스템
KR102269885B1 (ko) 2020-11-23 2021-06-28 주식회사 넷앤드 사용자별 맞춤형 서버 작업 환경의 생성 기능을 구비한 접근통제 시스템

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101005351A (zh) * 2006-01-20 2007-07-25 国际商业机器公司 用于信息处理的系统和方法

Family Cites Families (21)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2596361B2 (ja) * 1993-12-24 1997-04-02 日本電気株式会社 パスワード更新方式
US5944825A (en) * 1997-05-30 1999-08-31 Oracle Corporation Security and password mechanisms in a database system
JPH11134298A (ja) * 1997-10-31 1999-05-21 Hitachi Ltd パスワード有効期限管理システム
JP4154542B2 (ja) * 1998-05-11 2008-09-24 ソニー株式会社 情報提供方法、情報提供システム、情報通信端末およびサーバ装置
US6505348B1 (en) * 1998-07-29 2003-01-07 Starsight Telecast, Inc. Multiple interactive electronic program guide system and methods
DE19845055A1 (de) 1998-09-30 2000-04-06 Siemens Ag Verfahren und Anordnung zur Aktualisierung eines Paßwortes
US7225331B1 (en) * 2000-06-15 2007-05-29 International Business Machines Corporation System and method for securing data on private networks
US7200754B2 (en) * 2003-03-03 2007-04-03 International Business Machines Corporation Variable expiration of passwords
JP2006527430A (ja) 2003-06-04 2006-11-30 マスターカード インターナショナル インコーポレーテッド 商業取引における顧客認証システム及び方法
US7152782B2 (en) * 2003-07-11 2006-12-26 Visa International Service Association System and method for managing electronic data transfer applications
US7373516B2 (en) * 2004-08-19 2008-05-13 International Business Machines Corporation Systems and methods of securing resources through passwords
US20060136738A1 (en) * 2004-12-16 2006-06-22 International Business Machines Corporation System and method for password validation
JP4650786B2 (ja) 2005-04-20 2011-03-16 沖電気工業株式会社 本人識別システム
SE532098C2 (sv) * 2005-08-23 2009-10-20 Smarttrust Ab Autenticeringssystem och -förfarande
US7743138B2 (en) * 2005-09-22 2010-06-22 Dot Hill Systems Corporation Method and apparatus for external event notification management over in-band and out-of-band networks in storage system controllers
JP2007157044A (ja) 2005-12-08 2007-06-21 Hitachi Systems & Services Ltd ログイン認証時の不正アクセス検知方法
US20080066183A1 (en) * 2006-09-12 2008-03-13 George Madathilparambil George Master device for manually enabling and disabling read and write protection to parts of a storage disk or disks for users
US20080082832A1 (en) * 2006-09-29 2008-04-03 Mcdougal Monty D Configurable Data Access Application For Highly Secure Systems
US20080098093A1 (en) * 2006-10-16 2008-04-24 Palm, Inc. Offline automated proxy cache for web applications
US8607303B2 (en) * 2006-10-31 2013-12-10 Apple Inc. Techniques for modification of access expiration conditions
US8935805B2 (en) * 2007-07-11 2015-01-13 International Business Machines Corporation Method and system for enforcing password policy in a distributed directory

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101005351A (zh) * 2006-01-20 2007-07-25 国际商业机器公司 用于信息处理的系统和方法

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9355244B2 (en) 2013-12-24 2016-05-31 Tencent Technology (Shenzhen) Company Limited Systems and methods for password reset
TWI607335B (zh) * 2013-12-24 2017-12-01 騰訊科技（深圳）有限公司 密碼重置方法、裝置和系統

Also Published As

Publication number Publication date
US9894046B2 (en) 2018-02-13
JP5419960B2 (ja) 2014-02-19
KR20110003353A (ko) 2011-01-11
EP2274704B1 (en) 2016-06-08
WO2009121905A1 (en) 2009-10-08
US20170208051A1 (en) 2017-07-20
KR101475981B1 (ko) 2014-12-23
US20110029782A1 (en) 2011-02-03
CN101981581A (zh) 2011-02-23
EP2274704A1 (en) 2011-01-19
JP2011516952A (ja) 2011-05-26
US9705878B2 (en) 2017-07-11

Similar Documents

Publication Publication Date Title
CN101981581B (zh) 处理过期密码的方法和设备
US9331991B2 (en) Authenticating a client using linked authentication credentials
CN1701561B (zh) 基于地址的验证系统及其装置和程序
CN101340436B (zh) 基于便携式存储设备实现远程访问控制的方法及装置
CN100546244C (zh) 因特网上用于安全内容递送的密钥管理协议与认证系统
KR101508360B1 (ko) 데이터 전송 장치 및 방법, 그리고 그 방법을 컴퓨터에서 실행시키기 위한 프로그램을 기록한 기록매체
CN1224213C (zh) 发放电子身份证明的方法
US6993652B2 (en) Method and system for providing client privacy when requesting content from a public server
US7720227B2 (en) Encryption method for SIP message and encrypted SIP communication system
CN101510877B (zh) 单点登录方法和系统、通信装置
US8621216B2 (en) Method, system and device for synchronizing between server and mobile device
CN103503408A (zh) 用于提供访问凭证的系统和方法
RU2008118495A (ru) Способ и устройство для установления безопасной ассоциации
CN101366263A (zh) 用于建立安全关联的方法和设备
CN101247407A (zh) 网络认证服务系统和方法
CN1234662A (zh) 密码点火处理方法及其装置
US20110320359A1 (en) secure communication method and device based on application layer for mobile financial service
CN101677269A (zh) 密钥传输的方法及系统
CN101039181B (zh) 防止通用鉴权框架中服务功能实体受攻击的方法
KR20070109040A (ko) 사용자 인증의 이중 강화를 위한 보안 관리 웹 서비스시스템 및 방법
CN107332658A (zh) 基于链式区块链技术的接口实现方法及装置
US20170331793A1 (en) Method and a system for managing user identities for use during communication between two web browsers
JP2007004440A (ja) 電子メールサーバ装置及びクライアント装置
JP2005327315A (ja) クライアントとサーバ間の簡易認証方法
Scurtescu et al. RFC 8935: Push-Based Security Event Token (SET) Delivery Using HTTP

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant