CN102217277A - 基于令牌进行认证的方法和系统 - Google Patents

基于令牌进行认证的方法和系统 Download PDF

Info

Publication number
CN102217277A
CN102217277A CN2009801462965A CN200980146296A CN102217277A CN 102217277 A CN102217277 A CN 102217277A CN 2009801462965 A CN2009801462965 A CN 2009801462965A CN 200980146296 A CN200980146296 A CN 200980146296A CN 102217277 A CN102217277 A CN 102217277A
Authority
CN
China
Prior art keywords
server
client application
communication channel
resource location
authentication token
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN2009801462965A
Other languages
English (en)
Other versions
CN102217277B (zh
Inventor
E·卡斯
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
International Business Machines Corp
Original Assignee
International Business Machines Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by International Business Machines Corp filed Critical International Business Machines Corp
Publication of CN102217277A publication Critical patent/CN102217277A/zh
Application granted granted Critical
Publication of CN102217277B publication Critical patent/CN102217277B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/18—Network architectures or network communication protocols for network security using different networks or channels, e.g. using out of band channels

Abstract

本发明涉及在客户端应用(101)和资源应用(103)之间建立已认证的主通信信道(104)后，认证在所述客户端应用(101)和服务器应用(102)之间的次通信信道(106)，所述服务器应用(102)可在所述资源应用(103)上存储所生成的认证令牌(143)，只有包括客户端应用用户的特权用户才能读取-访问(127、128)所生成的认证令牌(143)并经由所述次通信信道将其发送回所述服务器应用。

Description

基于令牌进行认证的方法和系统
技术领域
本发明涉及在计算机系统中进行认证的方法、执行所述方法的计算机系统、及含有执行所述方法的程序代码部分的计算机程序产品。
背景技术
客户端应用需要访问服务器应用的资源。客户端应用开启与服务器应用的通信信道。此通信信道通常未经认证，也就是说任何客户端应用皆可建立连接。在客户端应用访问服务器应用的资源之前，客户端应用请求服务器应用通过识别客户端应用用户的名称进行认证。为了认证客户端应用用户，服务器应用向客户端应用发送质询，即一种只有真正的客户端应用用户才能解决的难题。客户端应用发送回难题的解答。服务器应用检验解答正确与否，以此方式认证客户端应用，然后将服务器应用资源的访问权限授予客户端应用。
在现有技术的实施方案中，质询可以是来自服务器应用的消息，客户端应用使用客户端应用用户的密钥加密此消息。此消息可以是临时随机数(nonce)，其在安全工程中称为“使用一次的数字”且仅针对一个通信会话产生。临时随机数可以是任何随机数据或时间戳。客户端应用用户的密钥是客户端应用及服务器应用二者均具有副本的对称密钥。或者，密钥是非对称密钥，其中客户端应用具有私钥，而服务器应用具有对应的公钥。客户端将加密后的消息发送回服务器应用。服务器应用分别使用客户端应用用户的对称密钥或公钥解密此消息，然后检验此解密后的消息是否匹配服务器应用已发送给客户端应用的消息。当检验成功后，服务器应用推断此消息已由客户端应用用户的相应对称密钥或私钥的持有者加密，然后认证加密后的消息的发送者。
在现有技术中，另一种认证方式是基于使用非对称密钥对密码进行加密及解密。客户端应用经由加密后的通信信道将密码发送给服务器应用。可使用服务器应用用户的公钥加密所述通信信道，所述公钥或者可公开取得，或者在加密密码且经由所述通信信道将其发送给服务器应用之前，已经被传递给客户端应用。只有服务器应用才能使用服务器应用用户的私钥解密含有所述密码的所接收的消息。当服务器应用在服务器应用主机上运行时，服务器应用可使用从客户端应用获得的密码，请求服务器应用主机的基础操作系统进行认证。
在现有技术中，Kerberos算法使用服务器应用经由中央认证服务器对客户端应用的认证。详情请见例如C.Kaufman等人的“网络安全(Network Security)”，Prentice Hall出版社，2002年。Kerberos算法本质上按如下方式工作：客户端应用将请求发送至中央认证服务器，要求返回由服务器应用用于认证的票证。认证服务器通过服务器应用用户的公开或对称密钥加密会话密钥及客户端应用用户的名称，为服务器应用设计会话密钥及产生票证。为服务器应用设计的会话密钥、生成的票证、及服务器应用用户的名称均使用客户端应用用户的公开或对称密钥来加密。中央认证服务器将加密后的消息发送给客户端应用。只有客户端应用用户才能够使用客户端应用用户的私钥或对称密钥解密所接收的消息。客户端应用用户检验从中央认证服务器接收的消息是否可用来由服务器应用认证客户端应用，因为只有客户端应用用户才能够解密消息且所述消息含有服务器应用用户的名称。客户端应用将服务器应用的票证及使用会话密钥加密的时间戳发送给服务器应用。只有服务器应用用户才能够使用服务器应用用户的私钥或对称密钥解密票证并取回会话密钥及客户端应用用户的名称。服务器应用认可中央认证服务器已插入票证中的客户端应用用户名称，因而此票证可用来由服务器应用认证进行发送的客户端应用。服务器应用使用来自解密后的票证的会话密钥解密加密后的时间戳并加以验证。根据票证及时间戳，服务器应用将访问权限授予请求访问服务器应用的客户端应用。
中央认证服务器的加密保证只有客户端应用用户才能解密来自中央认证服务器的消息，而且只有服务器应用用户才能解密中央认证服务器所产生及客户端应用已发送至服务器应用的票证。
在Kerberos算法中，客户端应用用户自行与服务器应用进行认证，不用知道服务器应用用户的密码或密钥。反之亦然，服务器应用也不需要存储客户端应用用户的任何密钥或密码。然而，中央认证服务器必须存储客户端应用用户及服务器应用用户二者的公钥或对称密钥。
现有技术在服务器应用无法访问基础操作系统的认证机制时具有缺点。在此情况下，服务器应用无法使用接收自客户端应用的密码来认证客户端应用用户。
现有技术的第二个缺点是传送任何密码时均必须加密通信信道的事实。客户端应用及服务器应用中的至少一个必须对经由通信信道安全交换数据所需的密码或临时随机数进行加密及解密。加密及解密程序代码的实施方案很复杂。
Kerberos算法基于具有票证生成机制的中央认证服务器及使用客户端应用用户和服务器应用用户的对称或非对称密钥对消息进行加密及解密。认证服务器的设定及实施方案和在客户端应用侧及服务器应用侧用于加密及解密的程序代码也很复杂。
发明内容
因此，本发明的目的是提供一种用于认证的简化方法及系统：在客户端应用和服务器应用之间建立未认证和未加密的次通信信道之后，由服务器应用认证客户端应用。
本发明的此目的可以通过一种在系统中进行认证的方法来实现，所述系统具有：客户端应用、服务器应用、资源位置、在所述客户端应用和所述资源位置之间的已认证主通信信道、以及在所述服务器应用和所述资源位置之间的已认证主通信信道。已认证通信信道意味着由所述资源位置认证了在所述客户端应用和所述资源位置之间建立所述通信信道的客户端应用用户。这也适用于在所述服务器应用和所述资源位置之间的已认证通信信道，其中所述资源位置认证服务器应用用户。所述资源位置仅允许一组特权用户建立通信信道，且知道创建与所述资源位置的通信信道的用户身份。所述主通信信道不一定要加密，也就是说，入侵的应用可在通信信道上窃听并读取传送的消息。
为了建立在客户端应用及服务器应用之间的直接次通信信道连接，客户端应用创建与服务器应用的次通信信道，其通常为未认证及未加密的。任何客户端应用皆可创建与服务器应用的通信信道。服务器应用并不知道建立通信信道连接的客户端应用用户的身份。客户端应用经由所述次通信信道向服务器应用提交授予访问权限的请求，并告知服务器应用客户端应用用户的身份。服务器应用按以下方式认证客户端应用用户：服务器应用启动认证令牌的生成。服务器应用可自行创建认证令牌或请求远程服务器生成认证令牌。认证令牌可以是使用一次的某个临时随机数、数字或字，例如，在统计上为随机的位模式或加密时间戳。服务器应用启动以将认证令牌存储在资源位置处，并设定访问权限使得客户端应用用户具有访问认证令牌的权利。在服务器应用将所生成的认证令牌存储在资源位置处后，服务器应用用户具有访问资源位置的写入及创建权限、将认证令牌存储在资源位置处、以及设定访问权限，使得只有包括客户端应用用户的特权用户才被允许经由在客户端应用和资源位置之间的已认证主通信信道访问认证令牌。客户端应用必须至少具有读取认证令牌的权限。请求访问服务器应用的非特权用户不得具有访问认证令牌的权利，因而也没有读取或修改认证令牌的权利。服务器应用用户及可能系统管理员通常属于特权用户，因而具有访问认证令牌的权限。客户端应用经由在客户端应用和资源位置之间的已认证主通信信道取回认证令牌的副本。客户端应用经由次通信信道将认证令牌副本返回服务器应用。在服务器应用启动后，服务器应用随即检查客户端应用返回的认证令牌副本是否匹配存储在资源位置处的所生成的认证令牌。在服务器应用证实所接收的认证令牌副本和所存储的认证令牌完全相同后，服务器应用认证客户端应用、经由次通信信道将成功消息返回客户端应用、以及将访问权限授予客户端应用。当所接收的认证令牌副本与所存储的认证令牌不同时，服务器应用经由次通信信道返回错误消息，并拒绝客户端应用的访问。
在本发明的一个优选实施例中，在将所生成的认证令牌存储在资源位置处之前，客户端应用已与服务器应用建立次通信信道。所述次通信信道是服务器应用预期从客户端应用接收认证令牌所利用的唯一通信信道。这意味着所述主通信信道未必要加密。当入侵的客户端应用在任何已认证主通信信道上窃听、读取认证令牌、及建立与服务器应用的另一次通信信道时，服务器应用将拒绝入侵客户端应用的访问，因为已经创建与发出请求的客户端应用的次通信信道。
所述客户端应用在客户端设备中运行，以及所述服务器应用在服务器设备中运行。所述资源位置是所述客户端设备、所述服务器设备以及第三设备中的一个。
在本发明的所述优选实施例中，客户端设备及服务器设备是各自具有独立文件系统的独立主机系统，并且资源位置是服务器应用主机的本地文件系统。客户端应用主机将服务器应用主机的文件系统安装为远程文件系统，并使用操作系统服务提供的远程文件系统的安装的认证机制来访问远程文件系统的文件。服务器应用使用本地文件系统的操作系统服务，其内在地认证服务器应用用户，以授予本地文件系统的文件的访问权限。
在本发明的所述优选实施例中，所述客户端应用是数据库驱动器的客户端组件，并且所述服务器应用是所述数据库驱动器的服务器组件。
在本发明的一个备选实施例中，客户端应用及服务器应用在同一设备中运行。这意味着二者均可在具有一个本地文件系统的同一主机系统中执行。客户端应用将要求授予访问权限的请求发送给服务器应用。所述请求包括客户端应用用户的名称，但不包括密码。服务器应用无法使用客户端应用用户的密码，因为服务器应用无法访问基础操作系统的认证机制。服务器应用将所生成的认证令牌存储在公共文件系统的位置处，客户端应用在该处可轻易地读取认证令牌。客户端应用将认证令牌副本发送给服务器应用。服务器应用检验认证令牌后，将访问权限授予客户端应用。
在本发明的第二备选实施例中，所述资源位置是文件服务器主机的文件系统，所述文件服务器主机与客户端应用主机及服务器应用主机分离。所述客户端应用主机及服务器应用主机分别将文件服务器主机的文件系统安装为远程文件系统，并使用操作系统服务提供的认证机制访问远程文件系统的文件。
在本发明的第三备选实施例中，所述资源位置可以是认证服务器或数据库服务器。
在本发明的第四备选实施例中，在所述客户端应用和所述资源位置之间的所述主通信信道以及在所述服务器应用和所述资源位置之间的所述主通信信道中的至少一个使用已认证的网络通信协议。所述网络通信协议可以是安全套接字层(SSL)，并且通过统一资源定位器(URL)标识存储在所述资源位置处的所述认证令牌。
在本发明的第五备选实施例中，在客户端应用创建与服务器应用的次通信信道之前，服务器应用启动以将所生成的认证令牌存储在资源位置处。客户端应用用户可访问及读取认证令牌、创建与服务器应用的次通信信道、将认证令牌副本发送给服务器应用，最后由服务器应用认证客户端应用。然而，在此情况下，必须加密所述主通信信道。当主通信信道未加密时，入侵的客户端应用可在任何主通信信道上窃听、创建与服务器应用的次通信信道、假装是为其生成认证令牌的客户端应用用户、滥用所窃取的认证令牌副本并将其发送给服务器应用、及取得授予服务器应用的访问权限。
在本发明的第六备选实施例中，使用服务器应用替换客户端应用，反之亦然。使用在服务器应用和资源位置之间的主通信信道替换在客户端应用和资源位置之间的主通信信道，反之亦然。在客户端应用和服务器应用之间的如此角色交换之后，可按对应的方式应用所说明的认证方法。
在本发明的第七备选实施例中，所述客户端应用和所述服务器应用中的至少一个在智能卡设备中运行。
本发明的方法可在计算机系统中执行，并可在计算机程序产品中执行，以便在包含执行所述方法的各步骤的计算机程序代码部分的数据处理系统中执行。
附图说明
通过实例例示了本发明并且本发明不受附图中的图形形状的限制，其中：
图1是根据本发明的基于令牌的认证系统的示意性方块图表示；以及
图2、3、4是根据本发明的基于认证令牌的认证方法的流程图和过程图表示。
具体实施方式
在附图及说明书中提出了本发明的优选实施例，虽然使用特定术语，但如此提供的说明仅针对一般及描述的意义使用，而非用来限制。然而，将显而易见的是，可对本发明进行各种修改和改变而不脱离如所附权利要求所述的本发明的广泛精神和范围。
本发明可以以硬件、软件或硬件和软件的组合来实现。任何适合于执行此处所描述的方法的计算机系统或其他装置都是适合的。典型的硬件和软件的组合可以是具有计算机程序的通用计算机系统，当所述计算机程序被加载和执行时，将控制所述计算机系统以使得其执行此处描述的方法。本发明还可以被嵌入计算机程序产品，其包括允许实现此处所述的方法的所有特征，并且当被加载到计算机系统中时，其能够执行这些方法。
当前上下文中的计算机程序装置或计算机程序是指一组指令的以任何语言、代码或符号表示的任何表达，旨在使具有信息处理能力的系统直接执行特定的功能，或者执行以下两者之一或全部后执行特定的功能：a)转换为另一种语言、代码或符号；和/或b)以不同的材料形式再现。
图1示出了一种用于认证的系统(100)，其包含：客户端应用(101)、服务器应用(102)以及资源位置(103)。客户端应用(101)和服务器应用(102)分别经由已认证的主通信信道(104)和(105)访问资源位置(103)。
主通信信道(104)和(105)未必要加密，也就是说，第三方可以读取在信道(104)及(105)上传送的数据。通信信道(104)提供路径以便客户端应用能够访问资源位置(103)的访问权限受控的资源，例如，远程文件系统中访问权限受控的文件。
客户端应用(101)代表客户端应用用户在已认证的登录会话中运行，客户端应用用户通过输入用户名称和密码来登录(111)客户端应用。
服务器应用(102)代表服务器应用用户在由操作系统服务建立的已认证登录会话中运行。
客户端应用(101)希望建立与服务器应用(102)的次通信信道(106)。次通信信道(106)可以是在数据库驱动器的客户端和服务器组件之间将客户端应用连接到数据库服务器的通信套接字。数据库驱动器的服务器组件可能无法访问数据库服务器的基础操作系统的认证机制并使用客户端应用用户的接收的密码进行认证。因此，客户端应用(101)创建(121、122)与服务器应用(102)的次要未认证次通信信道(106)，这意味着通信信道不需要用户证书，任何客户端应用均可建立此连接。通信信道(106)未必要加密。
客户端应用(101)通过所建立的未认证的次通信信道(106)，发送请求(123)给服务器应用(102)，要求认证代表客户端应用用户运行的客户端应用。此请求含有客户端应用用户的名称。
服务器应用(102)生成认证令牌(141)，其可以是在统计上为随机的位模式或加密时间戳。身份验证的可信度由认证令牌(141)的随机发生器的质量决定。服务器应用将认证令牌(143)置于(即，存储)(124、125)在资源位置(103)处，也就是说，以特定的名称及位置加以存储。服务器应用设定认证令牌(143)的文件访问权限，因而只有一组特权用户(包括客户端应用用户)被允许读取认证令牌。客户端应用用户的名称包含在请求(123)中，以认证与服务器应用的次通信信道。然而，非特权用户不允许访问认证令牌。服务器应用用户并且通常是系统管理员属于具有访问认证令牌(143)的权利的一组特权用户。
服务器应用(102)经由次通信信道(106)将响应返回(126)客户端应用(101)，所述响应可包括存储在资源位置(103)处的认证令牌(143)的名称及位置。
客户端应用(101)经由已认证主通信信道(104)从资源位置(103)“恢复”(即，读取)(127、128)认证令牌。请求与具有客户端应用用户证书的服务器应用(102)或任何应用用户的次通信信道(106)的客户端应用用户是获准访问及读取认证令牌(143)的特权用户之一。客户端应用(101)经由次通信信道(106)将认证令牌(143)的副本(145)返回(129)服务器应用(102)。
服务器应用(102)通过预期的次通信信道(106)接收认证令牌(143)的副本(146)。这是服务器应用(102)为了响应认证客户端应用用户的请求(123)，预期可在其上接收认证令牌(143)的副本(146)的唯一通信信道。
服务器应用检验(102)所接收(所恢复)的认证令牌(143)的副本(146)是否匹配服务器应用已存储在(置于)资源位置(103)处且只有客户端应用用户才能访问的认证令牌(143)。所存储的认证令牌(143)与所生成的认证令牌(141)完全相同。
如果检验成功，则建立与服务器应用(102)的未认证次通信信道(106)的用户是其所宣称的用户。服务器应用(102)认证与客户端应用的次通信信道(106)并将访问权限授予客户端应用(101)。服务器应用可经由次通信信道(106)，将客户端应用用户已被认证的确认消息返回(130)客户端应用。
如果检验失败，也就是说，如果认证令牌的副本(146)不同于所存储的认证令牌(143)或不同于所生成的认证令牌(141)，则服务器应用拒绝访问并经由次通信信道(106)将应用错误返回(130)客户端应用。
如果在客户端应用(101)和资源位置(103)之间的主通信信道(104)以及在服务器应用(102)和资源位置(103)之间的主通信信道中的至少一个未加密，则重要的是，在服务器应用将认证令牌存储在资源位置(103)处“之前”，建立与服务器应用(102)的未认证的次通信信道(106)。服务器应用(102)预期仅使用经由所建立的次通信信道(106)的认证令牌。
图2包含本发明的认证方法的流程图及过程图。响应于建立次通信信道(106)的请求(211)，客户端应用(201)创建(212、231、232)与服务器应用(202)的未认证次通信信道(106)。客户端应用(201)使用此通信信道(106)将请求(213、233)提交至服务器应用(202)。服务器应用(202)生成(214)认证令牌并将其存储(215、234、235)于资源位置(203)，使得客户端应用用户是除了服务器应用用户及可能系统管理员之外，唯一能够读取认证令牌的用户。服务器应用(202)将响应返回(216、236)客户端应用(201)。接着，客户端应用(201)经由在客户端应用(201)和资源位置(203)之间的主通信信道(104)，取回(217、237、238)认证令牌副本，并使用次通信信道(106)将其返回(218、239)服务器应用(202)。服务器应用(202)检验(219)所接收的认证令牌副本是否匹配存储在资源位置(203)及只有客户端应用用户才能读取-访问的所生成的认证令牌。如果检验成功，则服务器应用经由次通信信道(106)返回(220、240)成功消息并将访问权限授予(222)客户端应用(201)。如果检验失败，则服务器应用(202)利用次通信信道(106)将错误消息发送回(221、240)客户端应用(201)，并拒绝(223)客户端应用(201)的访问。
图3示出了一个备选实施例，其中在客户端应用(301)和服务器应用(302)之间的次通信信道(106)已经建立之前，服务器应用(302)在初始化(311)后即生成(312)认证令牌，并将其存储(313、321、322)在资源位置(303)处。在所述备选实施例中，在所生成的认证令牌和预期创建与服务器应用的次通信信道(106)并将认证令牌副本发送给服务器应用的客户端应用用户之间，存在一对一的关系。
图4示出了所述备选实施例的方法步骤，其中在建立次通信信道之前，所生成的认证令牌已存储在资源位置(403)处。响应于经由次通信信道(106)的认证代表客户端应用用户运行的客户端应用的请求(411)，客户端应用从资源位置(403)取回(412、421、422)认证令牌副本。除了服务器应用用户及可能是系统管理用户以外，只有客户端应用用户是访问认证令牌的特权用户。
客户端应用创建(413、423、424)与服务器应用的未认证的次通信信道(106)，并经由次通信信道(106)将认证令牌副本返回(414、425)服务器应用。服务器应用检验(415)接收的认证令牌副本是否匹配服务器应用已针对特定的客户端应用用户存储的认证令牌。根据检验的结果，服务器应用发送(426)成功消息(416)或错误消息(417)，并相应地将访问权限授予(418)客户端应用或拒绝(419)客户端应用的访问。
如果在客户端应用(101)和资源位置(103)之间的主通信信道(104)以及在服务器应用(102)和资源位置(103)之间的主通信信道(105)中的至少一个未加密，则第三方可自通信信道读取认证令牌副本、建立与服务器应用的未认证次通信信道，及宣称是为其创建认证令牌的客户端应用用户。为了避免在建立次通信信道(106)之前将认证令牌存储在资源位置处的情况中滥用认证令牌，必须加密在客户端应用(101)和资源位置(103)之间的主通信信道(104)以及在服务器应用(102)和资源位置(103)之间的主通信信道(105)。
当第一次经由客户端应用(101)和服务器应用(102)之间的次通信信道(106)传送认证令牌时，服务器应用通常在入侵的客户端应用可以在次通信信道(106)上窃听及读取认证令牌副本之前接收认证令牌副本。在此情况下，次通信信道未必要加密。当任何认证令牌副本在至少一个通信信道上至少传送多次时，即使顺序使用多个通信信道，也必须加密对应的通信信道。客户端应用(101)可以以与服务器应用认证客户端应用用户相同的方式，检验服务器应用用户的身份，只要交换以下角色即可：客户端应用(101)与服务器应用(102)，以及在客户端应用(101)和资源位置(103)之间的主通信信道(104)与在服务器应用(102)和资源位置(103)之间的主通信信道(105)。在此反向认证的情况中，服务器应用建立与客户端应用的未认证次通信信道(106)、将授予访问权限的请求提交给客户端应用。客户端应用启动以生成认证令牌并将其存储在资源位置处，请求授予访问权限的服务器应用用户可读取访问认证令牌。服务器应用经由已认证主通信信道(105)从资源位置取回认证令牌副本，并经由次通信信道(106)将认证令牌副本返回客户端应用。客户端应用检验由服务器应用返回的认证令牌副本是否匹配客户端应用存储在资源位置(103)处的认证令牌。

Claims (15)

1.一种在系统(100)中进行认证的方法，所述系统(100)具有：客户端应用(101)、服务器应用(102)、资源位置(103)、在所述客户端应用(101)和所述资源位置(103)之间的已认证主通信信道(104)、以及在所述服务器应用(102)和所述资源位置(103)之间的已认证主通信信道(105)，所述方法包含以下步骤：
-所述客户端应用(101)创建(121、122)与所述服务器应用(102)的次通信信道(106)；
-所述客户端应用(101)经由所述次通信信道(106)向所述服务器应用(102)提交授予访问权限的请求(123)；
-所述服务器应用(102)在认证成功后，经由所述次通信信道(106)将访问权限授予所述客户端应用(101)；
所述方法的特征在于，所述方法还包含以下步骤：
-所述服务器应用(102)启动要存储在所述资源位置(103)处的认证令牌的生成，所述客户端应用(101)可经由所述客户端应用(101)和所述资源位置(103)之间的所述已认证主通信信道(104)访问所述认证令牌(143)；
-所述客户端应用(101)经由所述客户端应用(101)和所述资源位置(103)之间的所述已认证主通信信道(104)从所述资源位置(103)取回(127、128)所述认证令牌(143)；
-所述客户端应用(101)经由所述次通信信道(106)将所述认证令牌(145)返回(129)所述服务器应用(102)；
-所述服务器应用(102)通过检查所述客户端应用(101)返回所述服务器应用(102)的所述认证令牌(146)是否与所述服务器应用(102)启动时存储在所述资源位置(103)处的所生成的认证令牌(143)匹配来认证所述客户端应用(101)。
2.如权利要求1中所述的方法，其中所述认证令牌(143)仅可由特权用户访问，所述特权用户包括请求访问所述服务器应用(102)的所述客户端应用(101)。
3.如权利要求1中所述的方法，其中针对所述客户端应用(101)和所述服务器应用(102)之间的所述次通信信道(106)的单次建立而生成存储在所述资源位置(103)处的所述认证令牌(143)。
4.如权利要求1中所述的方法，其中所生成的认证令牌(143)是统计上随机的位模式。
5.如权利要求1中所述的方法，其中所述资源位置(103)是文件系统。
6.如权利要求5中所述的方法，其中所述文件系统是所述服务器应用(102)和所述客户端应用(101)中的至少一个的本地文件系统，并且其中在所述客户端应用(101)和所述资源位置(103)之间的所述主通信信道(104)以及在所述服务器应用(102)和所述资源位置(103)之间的所述主通信信道(105)中的至少一个使用所述文件系统的操作系统服务所提供的认证机制。
7.如权利要求5中所述的方法，其中所述文件系统是所述客户端应用(101)和所述服务器应用(102)中的至少一个的远程文件系统，并且在所述客户端应用(101)和所述资源位置(103)之间的所述主通信信道(104)以及在所述服务器应用(102)和所述资源位置(103)之间的所述主通信信道(105)中的至少一个分别使用所述远程文件系统的安装来连接和认证所述客户端应用(101)和所述服务器应用(102)中的至少一个。
8.如权利要求1中所述的方法，其中在所述客户端应用(101)和所述资源位置(103)之间的所述主通信信道(104)以及在所述服务器应用(102)和所述资源位置(103)之间的所述主通信信道(105)中的至少一个使用已认证的网络通信协议，并且其中所述网络通信协议是安全套接字层(SSL)，并且通过统一资源定位器(URL)标识存储在所述资源位置(103)处的所述认证令牌(143)。
9.如权利要求1中所述的方法，其中在将所生成的认证令牌(143)存储在所述资源位置(103)处之前，已经建立(121、122)所述次通信信道(106)。
10.如权利要求1中所述的方法，其中加密在所述客户端应用(101)和所述资源位置(103)之间的所述主通信信道(104)以及在所述服务器应用(102)和所述资源位置(103)之间的所述主通信信道(105)，并且在所述客户端应用(101)创建(121、122)与所述服务器应用(102)的所述次通信信道(106)之前，将所生成的认证令牌(143)存储在所述资源位置(103)处。
11.如权利要求1中所述的方法，其中所述客户端应用(101)是数据库驱动器的客户端组件，并且所述服务器应用(102)是所述数据库驱动器的服务器组件。
12.一种用于进行认证的系统(100)，所述系统(100)具有运行客户端应用(101)的客户端设备、运行服务器应用(102)的服务器设备、资源位置(103)、在所述客户端设备和所述资源位置(103)之间的已认证主通信信道(104)、以及在所述服务器设备和所述资源位置(103)之间的已认证主通信信道(105)，所述系统执行以下步骤：
-所述客户端应用(101)创建(121、122)与所述服务器应用(102)的次通信信道(106)；
-所述客户端应用(101)经由所述次通信信道(106)向所述服务器应用(102)提交授予访问权限的请求(123)；
-所述服务器应用(102)在认证成功后，经由所述次通信信道(106)将访问权限授予所述客户端应用(101)；
所述系统的特征在于，所述系统还包含执行以下步骤的部件：
-所述服务器应用(102)启动要存储在所述资源位置(103)处的认证令牌的生成，所述客户端应用(101)可经由所述客户端应用(101)和所述资源位置(103)之间的所述已认证主通信信道(104)访问所述认证令牌(143)；
-所述客户端应用(101)经由所述客户端应用(101)和所述资源位置(103)之间的所述已认证主通信信道(104)从所述资源位置(103)取回(127、128)所述认证令牌(145)；
-所述客户端应用(101)经由所述次通信信道(106)将所述认证令牌(145)返回(129)所述服务器应用(102)；
-所述服务器应用(102)通过检查所述客户端应用(101)返回所述服务器应用(102)的所述认证令牌(146)是否与所述服务器应用(102)启动时存储在所述资源位置(103)处的所生成的认证令牌(143)匹配来认证所述客户端应用(101)。
13.如权利要求12中所述的系统，其中所述客户端应用(101)和所述服务器应用(102)在同一设备中运行。
14.如权利要求12或13中所述的系统，其中所述服务器设备和所述客户端设备中的至少一个还包含所述资源位置(103)。
15.一种计算机程序产品，其实现在数据处理系统中执行的认证机制并且包含执行如任一先前权利要求1至11中所述的各步骤的计算机程序代码部分。
CN2009801462965A 2008-11-28 2009-10-26 基于令牌进行认证的方法和系统 Expired - Fee Related CN102217277B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
EP08170167 2008-11-28
EP08170167.4 2008-11-28
PCT/EP2009/064052 WO2010060704A2 (en) 2008-11-28 2009-10-26 Token-based client to server authentication of a secondary communication channel by way of primary authenticated communication channels

Publications (2)

Publication Number Publication Date
CN102217277A true CN102217277A (zh) 2011-10-12
CN102217277B CN102217277B (zh) 2013-11-06

Family

ID=42126451

Family Applications (1)

Application Number Title Priority Date Filing Date
CN2009801462965A Expired - Fee Related CN102217277B (zh) 2008-11-28 2009-10-26 基于令牌进行认证的方法和系统

Country Status (6)

Country Link
US (1) US8332920B2 (zh)
EP (1) EP2351316B1 (zh)
JP (1) JP5619019B2 (zh)
CN (1) CN102217277B (zh)
TW (1) TW201042973A (zh)
WO (1) WO2010060704A2 (zh)

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103491084A (zh) * 2013-09-17 2014-01-01 天脉聚源(北京)传媒科技有限公司 一种客户端的认证处理方法及装置
CN104769620A (zh) * 2012-12-31 2015-07-08 电子湾有限公司 加密狗促进的无线消费者支付
CN106034104A (zh) * 2015-03-07 2016-10-19 华为技术有限公司 用于网络应用访问的验证方法、装置和系统
CN106254075A (zh) * 2015-06-11 2016-12-21 佳能株式会社 认证服务器系统以及方法
CN106302425A (zh) * 2016-08-09 2017-01-04 浪潮(北京)电子信息产业有限公司 一种虚拟化系统节点间通信方法及其虚拟化系统
CN107735984A (zh) * 2015-07-07 2018-02-23 阿读随得有限公司 在三个或更多主体之间建立受保护的电子通信、信息的安全传输和处理的方法
JP2018532326A (ja) * 2015-09-21 2018-11-01 アリババ・グループ・ホールディング・リミテッドＡｌｉｂａｂａ Ｇｒｏｕｐ Ｈｏｌｄｉｎｇ Ｌｉｍｉｔｅｄ 情報を登録および認証する方法およびデバイス
CN109075972A (zh) * 2015-10-28 2018-12-21 倪敏 密码防盗的认证及加密的系统和方法
CN110313148A (zh) * 2017-02-01 2019-10-08 开文Sa无限责任公司 用于分布式网络计算环境的web应用开放平台接口(WOPI)服务器架构和应用

Families Citing this family (33)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012530317A (ja) * 2008-06-17 2012-11-29 ディジゲイジ リミテッド バーチャルビューを変更するシステム
US8412952B1 (en) * 2009-05-06 2013-04-02 Symantec Corporation Systems and methods for authenticating requests from a client running trialware through a proof of work protocol
US8332626B2 (en) * 2010-04-15 2012-12-11 Ntrepid Corporation Method and apparatus for authentication token-based service redirection
US8850219B2 (en) * 2010-05-13 2014-09-30 Salesforce.Com, Inc. Secure communications
US9645992B2 (en) 2010-08-21 2017-05-09 Oracle International Corporation Methods and apparatuses for interaction with web applications and web application data
US9397885B2 (en) * 2011-09-28 2016-07-19 Apperian, Inc. Conveyance of configuration information in a network
TWI477164B (zh) * 2011-12-29 2015-03-11 Browan Communications Inc 用於行動裝置之無線網路通訊之加密方法
US9722972B2 (en) * 2012-02-26 2017-08-01 Oracle International Corporation Methods and apparatuses for secure communication
US9645966B2 (en) * 2012-06-08 2017-05-09 Apple Inc. Synchronizing handles for user accounts across multiple electronic devices
US9055050B2 (en) * 2012-06-27 2015-06-09 Facebook, Inc. User authentication of applications on third-party devices via user devices
JP6044299B2 (ja) * 2012-11-26 2016-12-14 富士通株式会社 データ参照システムおよびアプリケーション認証方法
US9686284B2 (en) 2013-03-07 2017-06-20 T-Mobile Usa, Inc. Extending and re-using an IP multimedia subsystem (IMS)
US9306922B2 (en) * 2013-03-12 2016-04-05 Sap Se System and method for common on-behalf authorization protocol infrastructure
US9992183B2 (en) 2013-03-15 2018-06-05 T-Mobile Usa, Inc. Using an IP multimedia subsystem for HTTP session authentication
US9344422B2 (en) 2013-03-15 2016-05-17 Oracle International Corporation Method to modify android application life cycle to control its execution in a containerized workspace environment
JP6480908B2 (ja) 2013-03-15 2019-03-13 オラクル・インターナショナル・コーポレイション アプリケーション間におけるコンピュータ間の保護された通信
US9129112B2 (en) 2013-03-15 2015-09-08 Oracle International Corporation Methods, systems and machine-readable media for providing security services
JP5662507B2 (ja) * 2013-03-28 2015-01-28 株式会社 ディー・エヌ・エー 認証方法、認証システム、および、サービス提供サーバ
US9391980B1 (en) * 2013-11-11 2016-07-12 Google Inc. Enterprise platform verification
US10043029B2 (en) 2014-04-04 2018-08-07 Zettaset, Inc. Cloud storage encryption
US10298555B2 (en) * 2014-04-04 2019-05-21 Zettaset, Inc. Securing files under the semi-trusted user threat model using per-file key encryption
US10873454B2 (en) 2014-04-04 2020-12-22 Zettaset, Inc. Cloud storage encryption with variable block sizes
EP3198418B1 (en) 2014-09-24 2020-04-22 Oracle International Corporation Method to modify android application life cycle to control its execution in a containerized workspace environment
US9628282B2 (en) * 2014-10-10 2017-04-18 Verizon Patent And Licensing Inc. Universal anonymous cross-site authentication
US9641509B2 (en) * 2015-07-30 2017-05-02 Ca, Inc. Enterprise authentication server
US10528947B2 (en) 2016-09-18 2020-01-07 Howard H Sheerin Locking an online account based on a public cryptocurrency address
JP6652074B2 (ja) * 2017-01-10 2020-02-19 京セラドキュメントソリューションズ株式会社 認証システムおよび認証方法
US10798128B2 (en) * 2017-07-24 2020-10-06 Blackberry Limited Distributed authentication for service gating
US11349871B2 (en) 2019-01-24 2022-05-31 The Toronto-Dominion Bank Dynamic and cryptographically secure augmentation of programmatically established chatbot sessions
US10990356B2 (en) * 2019-02-18 2021-04-27 Quantum Lock Technologies LLC Tamper-resistant smart factory
US10715996B1 (en) 2019-06-06 2020-07-14 T-Mobile Usa, Inc. Transparent provisioning of a third-party service for a user device on a telecommunications network
WO2021232347A1 (en) * 2020-05-21 2021-11-25 Citrix Systems, Inc. Cross device single sign-on
CN114598540B (zh) * 2022-03-18 2024-03-15 北京启明星辰信息安全技术有限公司 访问控制系统、方法、装置及存储介质

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6490679B1 (en) * 1999-01-18 2002-12-03 Shym Technology, Inc. Seamless integration of application programs with security key infrastructure
US20020031230A1 (en) * 2000-08-15 2002-03-14 Sweet William B. Method and apparatus for a web-based application service model for security management
US7805606B2 (en) * 2002-07-29 2010-09-28 Bea Systems, Inc. Computer system for authenticating a computing device
DE10244610A1 (de) 2002-09-25 2004-04-15 Siemens Ag Verfahren sowie Kommunikationsendgerät zum gesicherten Aufbau einer Kommunikationsverbindung
EP1843543B1 (en) 2006-04-06 2018-12-12 Google Technology Holdings LLC Method, apparatus and system for authentication on peer-to-peer file sharing network
EP1914643A1 (en) * 2006-10-19 2008-04-23 Motorola, Inc. Method and apparatus for filtering peer-to-peer network searches for limited capability devices
US8079076B2 (en) * 2006-11-02 2011-12-13 Cisco Technology, Inc. Detecting stolen authentication cookie attacks
US7992198B2 (en) * 2007-04-13 2011-08-02 Microsoft Corporation Unified authentication for web method platforms
EP2204965B1 (en) * 2008-12-31 2016-07-27 Google Technology Holdings LLC Device and method for receiving scalable content from multiple sources having different content quality

Cited By (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104769620A (zh) * 2012-12-31 2015-07-08 电子湾有限公司 加密狗促进的无线消费者支付
CN103491084B (zh) * 2013-09-17 2016-06-15 天脉聚源(北京)传媒科技有限公司 一种客户端的认证处理方法及装置
CN103491084A (zh) * 2013-09-17 2014-01-01 天脉聚源(北京)传媒科技有限公司 一种客户端的认证处理方法及装置
US10924495B2 (en) 2015-03-07 2021-02-16 Huawei Technologies Co., Ltd. Verification method, apparatus, and system used for network application access
CN106034104A (zh) * 2015-03-07 2016-10-19 华为技术有限公司 用于网络应用访问的验证方法、装置和系统
CN106254075A (zh) * 2015-06-11 2016-12-21 佳能株式会社 认证服务器系统以及方法
CN106254075B (zh) * 2015-06-11 2020-02-28 佳能株式会社 认证服务器系统以及方法
CN107735984A (zh) * 2015-07-07 2018-02-23 阿读随得有限公司 在三个或更多主体之间建立受保护的电子通信、信息的安全传输和处理的方法
JP2018532326A (ja) * 2015-09-21 2018-11-01 アリババ・グループ・ホールディング・リミテッドＡｌｉｂａｂａ Ｇｒｏｕｐ Ｈｏｌｄｉｎｇ Ｌｉｍｉｔｅｄ 情報を登録および認証する方法およびデバイス
US11218464B2 (en) 2015-09-21 2022-01-04 Advanced New Technologies Co., Ltd. Information registration and authentication method and device
CN109075972A (zh) * 2015-10-28 2018-12-21 倪敏 密码防盗的认证及加密的系统和方法
CN109075972B (zh) * 2015-10-28 2022-07-29 倪敏 密码防盗的认证及加密的系统和方法
CN106302425B (zh) * 2016-08-09 2019-12-31 苏州浪潮智能科技有限公司 一种虚拟化系统节点间通信方法及其虚拟化系统
CN106302425A (zh) * 2016-08-09 2017-01-04 浪潮(北京)电子信息产业有限公司 一种虚拟化系统节点间通信方法及其虚拟化系统
CN110313148A (zh) * 2017-02-01 2019-10-08 开文Sa无限责任公司 用于分布式网络计算环境的web应用开放平台接口(WOPI)服务器架构和应用
US11442901B2 (en) 2017-02-01 2022-09-13 Open Text Sa Ulc Web application open platform interface (WOPI) server architecture and applications for distributed network computing environments

Also Published As

Publication number Publication date
WO2010060704A2 (en) 2010-06-03
US20100138905A1 (en) 2010-06-03
TW201042973A (en) 2010-12-01
EP2351316A2 (en) 2011-08-03
CN102217277B (zh) 2013-11-06
WO2010060704A3 (en) 2010-10-28
JP5619019B2 (ja) 2014-11-05
US8332920B2 (en) 2012-12-11
JP2012510655A (ja) 2012-05-10
EP2351316B1 (en) 2013-01-02

Similar Documents

Publication Publication Date Title
CN102217277B (zh) 基于令牌进行认证的方法和系统
US7409543B1 (en) Method and apparatus for using a third party authentication server
CN103685282B (zh) 一种基于单点登录的身份认证方法
US7231526B2 (en) System and method for validating a network session
CN100438421C (zh) 用于对网络位置的子位置进行用户验证的方法和系统
KR102202547B1 (ko) 액세스 요청을 검증하기 위한 방법 및 시스템
CN110990827A (zh) 一种身份信息验证方法、服务器及存储介质
CN104767731A (zh) 一种Restful移动交易系统身份认证防护方法
CN100365974C (zh) 一种控制计算机登录的设备及方法
CN110650021A (zh) 一种认证终端网络实名认证方法和系统
US11743053B2 (en) Electronic signature system and tamper-resistant device
CN101510238B (zh) 一种文档库安全访问方法及系统
CN104753886B (zh) 一种对远程用户的加锁方法、解锁方法及装置
WO2020183250A1 (en) A system for generation and verification of identity and a method thereof
KR101856530B1 (ko) 사용자 인지 기반 암호화 프로토콜을 제공하는 암호화 시스템 및 이를 이용하는 온라인 결제 처리 방법, 보안 장치 및 거래 승인 서버
CN110912857B (zh) 移动应用间共享登录的方法、存储介质
JP2018022941A (ja) 管理システム、管理サーバ及び管理プログラム
TWI725623B (zh) 基於管理者自發行票券的點對點權限管理方法
KR19990038925A (ko) 분산 환경에서 안전한 양방향 인증 방법
JP6723422B1 (ja) 認証システム
KR100559152B1 (ko) 컨텐츠의 보안 유지 방법 및 장치
CN115987636B (zh) 一种信息安全的实现方法、装置及存储介质
JP2014081887A (ja) セキュアシングルサインオン方式およびプログラム
CN117118759B (zh) 用户控制服务器端密钥可靠使用的方法
TWI746504B (zh) 實現會話標識同步的方法及裝置

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20131106