CN102257505A - 用于提供经授权装置接入的设备和方法 - Google Patents

用于提供经授权装置接入的设备和方法 Download PDF

Info

Publication number
CN102257505A
CN102257505A CN2009801513844A CN200980151384A CN102257505A CN 102257505 A CN102257505 A CN 102257505A CN 2009801513844 A CN2009801513844 A CN 2009801513844A CN 200980151384 A CN200980151384 A CN 200980151384A CN 102257505 A CN102257505 A CN 102257505A
Authority
CN
China
Prior art keywords
access
voucher
privilege
authorized entity
connector
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN2009801513844A
Other languages
English (en)
Other versions
CN102257505B (zh
Inventor
马修·W·霍尔菲尔德
劳伦斯·G·伦德布拉德
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Qualcomm Inc
Original Assignee
Qualcomm Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Qualcomm Inc filed Critical Qualcomm Inc
Publication of CN102257505A publication Critical patent/CN102257505A/zh
Application granted granted Critical
Publication of CN102257505B publication Critical patent/CN102257505B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/50—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using hash chains, e.g. blockchains or hash trees
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H04W12/084—Access security using delegated authorisation, e.g. open authorisation [OAuth] protocol
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/60—Digital content management, e.g. content distribution
    • H04L2209/603—Digital right managament [DRM]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials

Abstract

本发明描述用于向接入者装置提供用以与被接入者装置上的装置资源交互的接入凭证的方法、设备和系统。与所述被接入者装置具有信任关系的授权实体或链接的次级授权实体产生所述接入凭证。所述接入凭证包含修改检测指示符、至少一个接入特权和接入者公钥。所述至少一个接入特权对应于所述被接入者装置上的至少一个装置资源。所述授权实体将所述接入凭证转发到所述接入者装置，所述接入者装置将所述接入凭证呈现给所述被接入者装置供鉴别。一旦通过鉴别，所述被接入者装置便准予对一个或一个以上装置资源的接入，且控制请求以确保其在所述至少一个接入特权的范围内。

Description

用于提供经授权装置接入的设备和方法
依据35 U.S.C.§119主张优先权
本专利申请案主张2008年12月28日申请的题目为“用于提供经授权装置接入的设备和方法(APPARATUS AND METHODS FOR PROVIDING AUTHORIZED DEVICEACCESS)”的第61/140,969号临时申请案的优先权，所述临时申请案转让给本发明的受让人且特此以引用方式并入本文。
背景技术
所描述的方面大体上涉及计算装置上的接入安全性。更特定来说，所描述的方面涉及授权对计算装置的接入以使得仅可由被授权方执行有特权的动作的设备和方法。
技术的进步已带来更小且功能更强的个人计算装置。举例来说，当前存在多种便携式个人计算装置，包含无线计算装置，例如便携式无线电话、个人数字助理(PDA)和寻呼装置，其每一者均为体积小、重量轻且可容易由用户携带的。更具体来说，例如便携式无线电话进一步包含经由无线网络传达语音和数据包的蜂窝式电话。此外，许多此类蜂窝式电话正被制造成具有计算能力的相对大的增加，且因此正变得相当于小型个人计算机和手持式PDA。
在一些情况下，例如操作第一计算装置的软件开发者等的实体可能需要接入驻存在第二计算装置上的应用程序和数据。待接入的装置可能包含保护机制以控制对其装置资源的接入。举例来说，保护机制已包含仅提供对装置的简单的全接入或无接入的加密协议。
提供客户端计算装置与外部装置之间的安全通信的其它系统已知是至少部分通过在制造时在客户端计算装置上安装安全凭证来提供所述安全通信。在一个实例中，服务提供者对客户端计算装置的制造者提供安全凭证，使得制造者可在制造过程期间安装安全凭证。
在一些系统中，部分地通过由经授权代理对电话进行安装或编程来提供安全通信。此编程可在客户端计算装置已制造且装运之后发生。在一个实例中，安全凭证是在装置销售的时间和地点安装在客户端计算装置上。此处，在至少一个实例中，经授权代理将来自唯一安全码列表的码输入到客户端计算装置中。在其它实例中，使用自动化读取器来将个别安全码传送到每一客户端计算装置。此过程避免了与在制造时对此些计算装置进行编程相关联的难题中的一些，所述难题例如对通常静态的过程添加动态制造步骤。然而，此过程仍包含其自身的难题和脆弱性，包含对安全凭证列表的潜在未经授权接入的问题，所述接入将允许未经授权实体冒充原本经授权装置的身份。
此外，使用凭证的典型硬连线或硬编码方法要求每一客户端装置在每当发生例如违反安全性等的情形时由维修技术员在物理上维修。此情形包含(例如)需要更换、添加和/或以另外方式更新一个或一个以上凭证。由维修技术员在物理上维修的要求的操作成本极高，尤其是在大量客户端装置受损时。
更具体来说，用于授权经由串行连接对装置的有特权的接入的一种此类机制包含使用服务编程码(SPC)。由于其缺少可表达性、容易被非法散布且缺少可跟踪性，SPC不太适于控制具有精细粒度或强力特权的接入。
因此，将有利的是包含在一般的安全通信技术中固有的安全通信优点中的许多优点，例如与使用安全凭证相关联的那些优点，同时也避免此些现存系统的其它较不有利的方面，例如与在无线装置上存储加密算法、需要在制造时安装安全凭证或在销售点位置对安全凭证进行编程，以及在违反安全性的情况下更新或替换这些凭证的能力相关联的问题。
发明内容
所描述的方面包含可操作以向接入者装置提供对被接入者装置上的受限制资源的接入的设备、方法、计算机程序产品和处理器。
在一方面中，一种获得对另一装置上的受限制资源的经授权接入的方法包括在接入者装置处接收与同被接入者装置具有直接或间接信任关系的授权实体相关联的接入凭证。所述接入凭证包含修改检测指示符、至少一个接入特权表示和接入者公钥。所述修改检测指示符由所述授权实体创建。此外，所述方法包含传达所述接入凭证、身份证据以及对与被接入者装置上的至少一个装置资源的交互的请求。另外，所述方法包含接收接入鉴别过程的结果，所述接入鉴别过程基于所述修改检测指示符而验证所述接入凭证的真实性，基于所述接入者公钥而验证所提供的所述身份证据，且验证所述接入凭证中的所述至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权。所述接入鉴别过程的所述结果包括被准予或拒绝对所述至少一个装置资源的接入。
在另一方面中，至少一种经配置以获得对另一装置上的受限制资源的经授权接入的处理器包括第一模块，其用于接收与同被接入者装置具有直接或间接信任关系的授权实体相关联的接入凭证。所述接入凭证包含修改检测指示符、至少一个接入特权表示和接入者公钥。所述修改检测指示符由所述授权实体创建。此外，所述至少一种处理器包含第二模块，其用于传达所述接入凭证、身份证据以及对与被接入者装置上的至少一个装置资源的交互的请求。另外，所述至少一种处理器包含第三模块，其用于接收接入鉴别过程的结果，所述接入鉴别过程基于所述修改检测指示符而验证所述接入凭证的真实性，基于所述接入者公钥而验证所提供的所述身份证据，且验证所述接入凭证中的所述至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权。所述接入鉴别过程的所述结果包括被准予或拒绝对所述至少一个装置资源的接入。
额外方面包含一种计算机程序产品，其包括计算机可读媒体。计算机可读媒体包括可操作以致使计算机接收与同被接入者装置具有直接或间接信任关系的授权实体相关联的接入凭证的至少一个指令，其中所述接入凭证包含修改检测指示符、至少一个接入特权表示和接入者公钥。所述修改检测指示符由所述授权实体创建。此外，所述计算机可读媒体包含可操作以致使所述计算机传达所述接入凭证、身份证据以及对与被接入者装置上的至少一个装置资源的交互的请求的至少一个指令。另外，所述计算机可读媒体包含可操作以致使所述计算机接收接入鉴别过程的结果的至少一个指令，所述接入鉴别过程基于所述修改检测指示符而验证所述接入凭证的真实性，基于所述接入者公钥而验证所提供的所述身份证据，且验证所述接入凭证中的所述至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权。所述接入鉴别过程的所述结果包括被准予或拒绝对所述至少一个装置资源的接入。
另一方面包含一种通信装置，其包括用于接收与同被接入者装置具有直接或间接信任关系的授权实体相关联的接入凭证的装置。所述接入凭证包含修改检测指示符、至少一个接入特权表示和接入者公钥，其中所述修改检测指示符由所述授权实体创建。此外，所述通信装置包含用于传达所述接入凭证、身份证据以及对与所述被接入者装置上的至少一个装置资源的交互的请求的装置。另外，所述通信装置包含用于接收接入鉴别过程的结果的装置，所述接入鉴别过程基于所述修改检测指示符而验证所述接入凭证的真实性，基于所述接入者公钥而验证所提供的所述身份证据，且验证所述接入凭证中的所述至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权。所述接入鉴别过程的所述结果包括被准予或拒绝对所述至少一个装置资源的接入。
在另一方面中，一种用于接入被接入者装置上的资源的接入者装置包括：处理器；和存储器，其与所述处理器通信。所述接入者装置进一步包含接入模块，其存储在所述存储器中且可由所述处理器执行。所述接入模块可操作以接收与同被接入者装置具有直接或间接信任关系的授权实体相关联的接入凭证，其中所述接入凭证包含修改检测指示符、至少一个接入特权表示和接入者公钥，其中所述修改检测指示符由所述授权实体创建。所述接入模块进一步可操作以起始所述接入凭证、身份证据以及对与所述被接入者装置上的至少一个装置资源的交互的请求的传达。另外，所述接入模块进一步可操作以接收接入鉴别过程的结果，所述接入鉴别过程基于所述修改检测指示符而验证所述接入凭证的真实性，基于所述接入者公钥而验证所提供的所述身份证据，且验证所述接入凭证中的所述至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权，其中所述接入鉴别过程的所述结果包括被准予或拒绝对所述至少一个装置资源的接入。
在一方面中，一种提供对被接入者装置上的装置资源的接入的方法包括接收对应于接入者装置的接入凭证、身份证据和对与所述被接入者装置上的至少一个装置资源的交互的请求，其中所述接入凭证与同所述被接入者装置具有直接或间接信任关系的授权实体相关联，且其中所述接入凭证包含修改检测指示符、至少一个接入特权表示和接入者公钥，其中所述修改检测指示符由所述授权实体创建。所述方法进一步包含执行接入鉴别过程，所述接入鉴别过程基于所述修改检测指示符而验证所述接入凭证的真实性，基于所述接入者公钥而验证所提供的所述身份证据，且验证所述接入凭证中的所述至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权。另外，所述方法包含传输所述接入鉴别过程的结果，其中所述接入鉴别过程的所述结果包括准予或拒绝对所述至少一个装置资源的接入。
在又一方面中，至少一种经配置以提供对装置资源的接入的处理器包括第一模块、第二模块和第三模块。第一模块用于接收对应于接入者装置的接入凭证、身份证据和对与被接入者装置上的至少一个装置资源的交互的请求，其中所述接入凭证与同所述被接入者装置具有直接或间接信任关系的授权实体相关联，且其中所述接入凭证包含修改检测指示符、至少一个接入特权表示和接入者公钥，其中所述修改检测指示符由所述授权实体创建。第二模块用于执行接入鉴别过程，所述接入鉴别过程基于所述修改检测指示符而验证所述接入凭证的真实性，基于所述接入者公钥而验证所提供的所述身份证据，且验证所述接入凭证中的所述至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权。第三模块用于传输所述接入鉴别过程的结果，其中所述接入鉴别过程的所述结果包括准予或拒绝对所述至少一个装置资源的接入。
在又一方面中，一种计算机程序产品包括计算机可读媒体。所述计算机可读媒体包括用于致使计算机接收对应于接入者装置的接入凭证、身份证据和对与被接入者装置上的至少一个装置资源的交互的请求的至少一个指令，其中所述接入凭证与同所述被接入者装置具有直接或间接信任关系的授权实体相关联，且其中所述接入凭证包含修改检测指示符、至少一个接入特权表示和接入者公钥，其中所述修改检测指示符由所述授权实体创建。此外，所述计算机可读媒体包括用于致使所述计算机执行接入鉴别过程的至少一个指令，所述接入鉴别过程基于所述修改检测指示符而验证所述接入凭证的真实性，基于所述接入者公钥而验证所提供的所述身份证据，且验证所述接入凭证中的所述至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权。另外，所述计算机可读媒体包括用于致使所述计算机传输所述接入鉴别过程的结果的至少一个指令，其中所述接入鉴别过程的所述结果包括准予或拒绝对所述至少一个装置资源的接入。
在另一方面中，一种通信装置包括用于接收对应于接入者装置的接入凭证、身份证据和对与所述被接入者装置上的至少一个装置资源的交互的请求的装置，其中所述接入凭证与同所述被接入者装置具有直接或间接信任关系的授权实体相关联，且其中所述接入凭证包含修改检测指示符、至少一个接入特权表示和接入者公钥，其中所述修改检测指示符由所述授权实体创建。此外，所述通信装置包括用于执行接入鉴别过程的装置，所述接入鉴别过程基于所述修改检测指示符而验证所述接入凭证的真实性，基于所述接入者公钥而验证所提供的所述身份证据，且验证所述接入凭证中的所述至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权。另外，所述通信装置包括用于传输所述接入鉴别过程的结果的装置，其中所述接入鉴别过程的所述结果包括准予或拒绝对所述至少一个装置资源的接入。
又一方面包含一种用于提供对资源的接入的被接入者装置。所述被接入者装置包括：处理器；至少一个装置资源，其与所述处理器通信；和存储器，其与所述处理器通信。另外，所述被接入者装置包含接入授权模块，其存储在所述存储器中且可由所述处理器执行，其中所述接入授权模块包括接入授权过程。所述接入授权模块可操作以接收对应于接入者装置的接入凭证、身份证据和对与所述被接入者装置上的至少一个装置资源的交互的请求，其中所述接入凭证与同所述被接入者装置具有直接或间接信任关系的授权实体相关联，且其中所述接入凭证包含修改检测指示符、至少一个接入特权表示和接入者公钥，其中所述修改检测指示符由所述授权实体创建。此外，所述接入授权模块可操作以执行接入鉴别过程，所述接入鉴别过程基于所述修改检测指示符而验证所述接入凭证的真实性，基于所述接入者公钥而验证所提供的所述身份证据，且验证所述接入凭证中的所述至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权。另外，所述接入授权模块可操作以传输所述接入鉴别过程的结果，其中所述接入鉴别过程的所述结果包括准予或拒绝对所述至少一个装置资源的接入。
在另一方面中，一种用于授权接入者装置与被接入者装置上的资源交互的方法包括产生与同被接入者装置具有直接或间接信任关系的授权实体相关联的接入凭证，其中所述接入凭证包含修改检测指示符、至少一个接入特权表示和接入者公钥，其中所述修改检测指示符由所述授权实体创建。另外，所述方法包含传达所述接入凭证，其中所述接入凭证可操作以基于由所述被接入者装置执行的接入鉴别过程，根据所述至少一个接入特权表示而授权所述接入者装置接入所述被接入者装置且允许与所述被接入者装置上的至少一个装置资源的交互，所述接入鉴别过程基于所述修改检测指示符而验证所述接入凭证的真实性，基于所述接入者公钥而验证所述接入者装置的身份证据，且验证所述接入凭证中的所述至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权。所述接入鉴别过程的结果包括被准予或拒绝对所述至少一个装置资源的接入。
此外，在一方面中，至少一种经配置以授权接入者装置与被接入者装置上的资源交互的处理器包括第一模块和第二模块。第一模块用于产生与同被接入者装置具有直接或间接信任关系的授权实体相关联的接入凭证，其中所述接入凭证包含修改检测指示符、至少一个接入特权表示和接入者公钥，其中所述修改检测指示符由所述授权实体创建。第二模块用于传达所述接入凭证，其中所述接入凭证可操作以基于由所述被接入者装置执行的接入鉴别过程，根据所述至少一个接入特权表示而授权所述接入者装置接入所述被接入者装置且允许与所述被接入者装置上的至少一个装置资源的交互，所述接入鉴别过程基于所述修改检测指示符而验证所述接入凭证的真实性，基于所述接入者公钥而验证所述接入者装置的身份证据，且验证所述接入凭证中的所述至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权。所述接入鉴别过程的结果包括被准予或拒绝对所述至少一个装置资源的接入。
在另一方面中，一种计算机程序产品包括计算机可读媒体。所述计算机可读媒体包含用于致使计算机产生与同被接入者装置具有直接或间接信任关系的授权实体相关联的接入凭证的至少一个指令，其中所述接入凭证包含修改检测指示符、至少一个接入特权表示和接入者公钥，其中所述修改检测指示符由所述授权实体创建。另外，所述计算机可读媒体包含用于致使计算机传达所述接入凭证的至少一个指令，其中所述接入凭证可操作以基于由所述被接入者装置执行的接入鉴别过程，根据所述至少一个接入特权表示而授权所述接入者装置接入所述被接入者装置且允许与所述被接入者装置上的至少一个装置资源的交互，所述接入鉴别过程基于所述修改检测指示符而验证所述接入凭证的真实性，基于所述接入者公钥而验证所述接入者装置的身份证据，且验证所述接入凭证中的所述至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权。所述接入鉴别过程的结果包括被准予或拒绝对所述至少一个装置资源的接入。
在又一方面中，一种授权装置包括用于产生与同被接入者装置具有直接或间接信任关系的授权实体相关联的接入凭证的装置，其中所述接入凭证包含修改检测指示符、至少一个接入特权表示和接入者公钥，其中所述修改检测指示符由所述授权实体创建。另外，所述授权装置包含用于传达所述接入凭证的装置，其中所述接入凭证可操作以基于由所述被接入者装置执行的接入鉴别过程，根据所述至少一个接入特权表示而授权所述接入者装置接入所述被接入者装置且允许与所述被接入者装置上的至少一个装置资源的交互，所述接入鉴别过程基于所述修改检测指示符而验证所述接入凭证的真实性，基于所述接入者公钥而验证所述接入者装置的身份证据，且验证所述接入凭证中的所述至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权。所述接入鉴别过程的结果包括被准予或拒绝对所述至少一个装置资源的接入。
另外，在另一方面中，一种用于授权接入者装置接入被接入者装置上的资源的装置包括：处理器；存储器，其与所述处理器通信；凭证管理模块；和通信模块。凭证管理模块存储在所述存储器中且可由所述处理器执行，且包含特权建立模块，所述特权建立模块可操作以产生与同被接入者装置具有直接或间接信任关系的授权实体相关联的接入凭证。所述接入凭证包含修改检测指示符、至少一个接入特权表示和接入者公钥。所述修改检测指示符由所述授权实体创建。另外，通信模块与所述处理器通信且可操作以传达所述接入凭证。所述接入凭证可操作以基于由所述被接入者装置执行的接入鉴别过程，根据所述至少一个接入特权表示而授权所述接入者装置接入所述被接入者装置且允许与所述被接入者装置上的至少一个装置资源的交互，所述接入鉴别过程基于所述修改检测指示符而验证所述接入凭证的真实性，基于所述接入者公钥而验证所述接入者装置的身份证据，且验证所述接入凭证中的所述至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权。所述接入鉴别过程的结果包括被准予或拒绝对所述至少一个装置资源的接入。
在另一方面中，一种获得对另一装置上的受限制资源的经授权接入的方法包括在接入者装置处接收与同被接入者装置具有直接或间接信任关系的授权实体相关联的接入凭证的接入凭证识别符。所述方法进一步包含传达所述接入凭证识别符、身份证据以及对与被接入者装置上的至少一个装置资源的交互的请求。另外，所述方法包含接收接入鉴别过程的结果，所述接入鉴别过程基于对应的修改检测指示符而验证所述接入凭证的真实性，基于对应的接入者公钥而验证所提供的所述身份证据，且验证所述接入凭证中的至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权，其中所述接入鉴别过程的所述结果包括被准予或拒绝对所述至少一个装置资源的接入。
在又一方面中，至少一种经配置以使得接入者装置能够获得对另一装置上的受限制资源的经授权接入的处理器包括第一模块，其用于接收与同被接入者装置具有直接或间接信任关系的授权实体相关联的接入凭证的接入凭证识别符。所述至少一种处理器进一步包含第二模块，其用于传达所述接入凭证识别符、身份证据以及对与被接入者装置上的至少一个装置资源的交互的请求。另外，所述至少一个处理器包含第三模块，其用于接收接入鉴别过程的结果，所述接入鉴别过程基于修改检测指示符而验证所述接入凭证的真实性，基于接入者公钥而验证所提供的所述身份证据，且验证所述接入凭证中的至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权，其中所述接入鉴别过程的所述结果包括被准予或拒绝对所述至少一个装置资源的接入。
在另一方面中，一种计算机程序产品包括计算机可读媒体，其具有多个指令。所述指令包含可操作以致使计算机接收与同被接入者装置具有直接或间接信任关系的授权实体相关联的接入凭证的接入凭证识别符的至少一个指令。此外，所述指令包含可操作以致使所述计算机传达所述接入凭证识别符、身份证据以及对与被接入者装置上的至少一个装置资源的交互的请求的至少一个指令。另外，所述指令包含可操作以致使所述计算机接收接入鉴别的结果的至少一个指令，所述接入鉴别基于修改检测指示符而验证所述接入凭证的真实性，基于接入者公钥而验证所提供的所述身份证据，且验证所述接入凭证中的至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权，其中所述接入鉴别过程的所述结果包括被准予或拒绝对所述至少一个装置资源的接入。
在又一方面中，一种通信装置包括用于接收与同被接入者装置具有直接或间接信任关系的授权实体相关联的接入凭证的接入凭证识别符的装置。此外，所述通信装置包含用于传达所述接入凭证识别符、身份证据以及对与被接入者装置上的至少一个装置资源的交互的请求的装置。另外，所述通信装置包含用于接收接入鉴别过程的结果的装置，所述接入鉴别过程基于修改检测指示符而验证所述接入凭证的真实性，基于接入者公钥而验证所提供的所述身份证据，且验证所述接入凭证中的至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权，其中所述接入鉴别过程的所述结果包括被准予或拒绝对所述至少一个装置资源的接入。
在一方面中，一种用于接入被接入者装置上的资源的接入者装置包括：处理器；存储器，其与所述处理器通信；以及接入模块，其存储在所述存储器中且可由所述处理器执行。所述接入模块可操作以接收与同被接入者装置具有直接或间接信任关系的授权实体相关联的接入凭证的接入凭证识别符。此外，所述接入模块可操作以起始所述接入凭证识别符、身份证据以及对与被接入者装置上的至少一个装置资源的交互的请求的传达。另外，所述接入模块可操作以接收接入鉴别过程的结果，所述接入鉴别过程基于修改检测指示符而验证所述接入凭证的真实性，基于接入者公钥而验证所提供的所述身份证据，且验证所述接入凭证中的至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权，其中所述接入鉴别过程的所述结果包括被准予或拒绝对所述至少一个装置资源的接入。
在审阅整个申请案之后将明了所描述方面的其它方面、优点和特征。
附图说明
通过参考以下结合附图做出的详细描述将更容易明了本文描述的上述方面和所述方面的伴随的优点，附图中：
图1是用于向经授权人员提供对客户端计算装置的有特权的接入的系统的一个方面的高级图；
图2是多个特权委派层级的一个方面的示意图，所述层级包含主授权实体将凭证授予到一个或一个以上次级实体，其中每一次级实体可同样地将凭证授予较低层级的一个或一个以上次级实体，依此类推；
图3是与接入被接入者装置上的一个或一个以上装置资源相关的在接入者装置与被接入者装置之间的交互的一个方面的示意图；
图4是图1的接入凭证的一个方面的示意图；
图5是图1的系统的蜂窝式电话网络的一个方面的示意图；
图6是图1的系统的称为被接入者装置的客户端计算装置的一个方面的框图；
图7是经配置以用于对根据图1的系统的客户端计算装置上的受限制特征的有特权的接入的称为接入者装置的外部计算装置的一个方面的框图；
图8是如图1的系统中使用的可在服务器中实施的授权实体的一个方面的框图；
图9和图10是根据图1的系统的方法的相应方面的消息流程图。
图11是可在根据图1的系统的客户端计算装置上操作的方法的一个方面的流程图；以及
图12是可在根据图1的系统的接入装置上操作的方法的一个方面的流程图。
具体实施方式
以下具体实施方式描述用以授权对计算机装置上的一个或一个以上预定资源的接入以使得可在被接入装置上执行有特权的动作的方法、设备和计算机可读媒体。不同于可提供用以授予特权的完全授予或不授予途径的方法，所描述的方面准许受信任实体或具有来自受信任实体的委派授权的次级实体动态地产生仅具有执行预定任务所必要的那些特权而不损害正被接入的装置的其它方面的凭证。
参见图1，在一个方面中，系统100包含用于向一个装置提供对另一装置的一个或一个以上资源的经授权接入的设备和方法。举例来说，系统100可包含接入者装置104，其尝试与被接入者装置102上的多个装置资源103中的一者或一者以上交互。如本文使用，接入者装置104指请求对另一装置的接入和/或与另一装置的交互的装置，而被接入者装置102指接收到接入和/或交互请求的装置。在典型操作中，被接入者装置102禁止或限制对所述多个装置资源103的外部接入，使得在没有本发明设备和方法的情况下，所述多个装置资源103将不可用于例如接入者装置104等的外部装置。
举例来说，所述多个装置资源103可包含(但不限于)以下各项中的一者或任一组合：数据和/或文件和/或文件系统，例如用户输入数据，包含联系人姓名、联系人地址、联系人电话和/或传真号码、内容电子邮件地址、图片、音频文件、视频文件等；配置信息，例如装置相关配置数据、网络相关配置数据、服务编程码(SPC)、安全性策略、病毒扫描器、服务器地址等；服务，例如语音呼叫、数据呼叫、扬声器、麦克风、显示器、定位和/或地理定位系统服务、除错或故障查找服务、对预定通信端口的接入，和在相应装置上可用的任何其它服务和/或应用；以及操作系统级服务，例如过程创建能力、文件系统接入、启动和运行应用程序的能力等。
在一些情况下，举例来说，装置资源103可能不可由被接入者装置103的所有者接入，而是仅可由经授权人员接入。此受限接入装置资源103的实例可包含(但不限于)有版权的内容、装置配置设定、遥测数据等中的一者或一者以上。然而可能需要允许经授权人员接入一个或一个以上装置资源103。举例来说，当所有者获得新装置时，可授权技术员将有版权的内容从旧装置转移到用户的新装置。在另一实例中，无线装置可能具有锁定到给定无线网络和/或锁定到给定系统配置的订户身份模块(SIM)，但可能需要允许经授权技术员修改设定或配置，同时避免装置所有者进行此动作。在又一实例中，无线装置可具有可能不允许用户改变但可授予例如技术员等的经授权用户受限特权以接入和验证和/或改变的网络相关数据和/或设定。应注意，本发明方面不限于这些情境，且可存在其它类似使用情况。
此外，系统100可包含授权实体(AE)106，其具有与被接入者装置102和/或与一个或一个以上装置资源103的信任关系。授权实体106可包括或可操作以产生与多个装置资源103中的每一者相关联的一个或一个以上接入特权105的定义，其中每一接入特权105使得能够接入所述多个装置资源103中的至少一者并与其交互。举例来说，一个或一个以上接入特权105可包含(但不限于)除错和/或执行装置维护功能，例如无线装置的供应和再配置、管理用于同步工具程序的地址簿、文件系统接入、例如图片、音乐、铃声等内容的上载和/或下载，以及数据在装置之间的传送。在一些方面中，接入特权105中的一者或一者以上可包含未知的未来特权，例如，特权可包含代码，且其中与所述代码相关联的特权的定义的确定可针对稍后日期而保留。此外，举例来说，对于每一被接入者装置102，AE 106可将每一接入特权105与所述多个装置资源103中的对应一者或一者以上之间的关系存储在接入控制数据库128中。由此，接入特权105可为个别特权，或可为特权集合的一部分，例如基于组织角色、地位、职务等。另外，应注意AE 106和所述多个装置资源103中的每一者或与相应资源相关联的操作者可具有关于每一接入特权105的定义以及关于如何授予此些特权的策略的预定协议。
此外，AE 106可包含授权产生器116，其可操作以将接入凭证126颁予接入者装置.104以使得能够接入被接入者装置102上的所述多个装置资源103中的一者或一者以上且与其交互。举例来说，接入凭证126可包含一个或一个以上颁予的接入特权107(例如由AE 106基于接入者装置104的身份和/或目的所确定)和用以证明授权凭证126的真实性的授权实体(AE)数字签名109(也称为修改检测指示器)。在一些方面中，例如，颁予的接入特权107可从可用的接入特权105中选择。在其它方面中，颁予的接入特权107可为隐式特权，而非包含于凭证中的有形特权。举例来说，隐式特权可简单地基于拥有接入凭证而允许对相应装置资源的接入。另外，AE 106和/或验证产生器116可将AE凭证123转发到接入者装置104，以便允许接入者装置104证明接入凭证126中的接入特权107在能够由AE 106授予的特权的可允许范围内。
应注意，系统100可包含多个AE 106，其中每一AE 106能够具有对应于一个或一个以上装置资源103的一个或一个以上接入特权105的相应集合。由此，在一些情况下，每一AE 106可在其关于被接入者装置102的一个或一个以上装置资源103可授予的特权的范围上受限。
举例来说，参见图2，在一个方面中，AE 106可包括多个实体，例如主授权实体(AE)115和一个或一个以上层级的一个或一个以上次级授权实体，例如实体117、119和121。此外，主AE 115包含主凭证123，其使得主AE 115中的授权产生器116能够产生一个或一个以上接入凭证126以供接入者装置104(图1)使用，和/或一个或一个以上次级凭证，例如129和131，以分别供在低于主AE 115的层级处的一个或一个以上次级授权实体(例如次级AE 117和/或119)使用。在此情况下，举例来说，次级AE 117被授予次级凭证129，且次级AE 119被授予次级凭证131。在一些方面中(但不限于这些方面)，由每一相应凭证授予的特权可重叠或可相互排斥，但等于或少于可用于主AE 115的授权和特权。同样，在一些方面中，次级AE 117和119可进一步通过基于授予其的相应次级凭证而授予其自身的相应接入凭证和/或次级凭证来委派特权。由此，在一些方面中，每一连续的次级凭证包括等于或少于包含在用以产生相应次级凭证的凭证中的授权和特权的授权和特权。应注意，在层次结构的任一层级处，相应的次级凭证可关于特权而重叠，或相应的次级凭证可提供唯一的特权集合。举例来说，在一个使用情况下，手机芯片制造商可基于由每一相应接收实体执行的组织功能来授予各自具有单独特权集合的多个次级凭证。因此，建立了用于委派特权的系统，其允许任一数目层级的动态特权授予，其中授予相应次级实体的特权等于或少于进行授予的实体可用的特权。
举例来说，主AE 115可将次级凭证129授予次级AE 117且将次级凭证131授予次级AE 119，其中次级凭证129和131中的授权和特权等于或少于包含在主凭证123中的授权和特权。同样，举例来说，次级AE 117可将次级凭证133授予另一被委派者，例如次级AE 121，其中次级凭证133中的授权和特权等于或少于包含在次级凭证129中的授权和特权。应注意，每一进行授予的实体可授予任一数目的次级凭证。
此外，仍参见图2，在每一次级凭证的产生和/授予中使用的相应凭证可经由一个或一个以上较高层级凭证的链传递到相应的次级实体，进而提供相应次级凭证的有效性的证据和特权的范围有效的证据。在一些方面中，凭证链可不包含在相应接入凭证中，然而，可包含对其的参考或其指示器，或系统可提供用以发现返回到主授权实体的链接的机制。举例来说，当主AE 115授予次级凭证129和131时，相应的次级AE 117和119也从主AE 115或从另一装置接收主凭证123。或者，主凭证123可在一个时间(例如在制造期间)加载到每一次级AE(例如117和119)上，且可在另一时间，例如授予或请求对应特权的时间提供相应的次级凭证129和131。由此，可在同一时间或在不同时间接收凭证。类似地，当被委派者或次级实体颁予又一次级凭证时，接收实体接收直到主凭证123的所有凭证。举例来说，当次级AE 121授予次级凭证135时，接收实体也接收：(1)授予次级AE 121的次级凭证133；(2)授予次级AE 117的次级凭证129，次级AE 117授予次级凭证133；以及(3)来自主AE 115的主凭证123，主AE 115将次级凭证129授予次级AE 117。由此，基于凭证提供信任链。类似地，当被接入者凭证126由任一次级实体授予时，相应的凭证链由被接入者装置102(图1)接收，进而允许接入者装置104验证相应特权的范围，且验证特权最终是(在一些情况下经由一个或一个以上委派层级)由接入者装置104了解的受信任方(例如，主AE 115)授予。因此，本发明方面允许实现非常动态且多层级的凭证和特权产生和授予系统，其提供了验证任一颁予的凭证和特权的有效性和范围。
另外，举例来说，上文描述的接入凭证中的任一者可存储在网络装置上，且凭证向装置的授予可通过将接入凭证识别符提供到接收授予的装置而传达到装置，所述识别符包含关于可在何处获得或接入凭证的信息。因此，当使用接入凭证时，装置可将相应的接入凭证识别符提供到另一装置，其使得接收装置能够从网络位置检索或以另外方式接入相应的接入凭证。举例来说，接入凭证识别符可包含以下各项中的一者或一者以上：个别接入凭证的接入凭证识别符；对应于主授权实体凭证的主授权实体凭证识别符；对应于一个或一个以上次级凭证的一个或一个以上次级凭证识别符；以及对应于直接或通过任一数目的其它次级实体将接入凭证链接到主授权实体的凭证链的链识别符。
因此，系统100允许将特定的接入特权105授予和/或委派给特定的AE 106，进而向系统100的管理者提供动态地控制系统内接入凭证126的产生的能力。
返回参见图1，在从AE 106接收到接入凭证126之后以及在例如经由网络110从AE 106接收到或获得AE凭证123之后，接入者装置104执行接入模块134，接入模块134可操作以与被接入者装置102通信。举例来说，接入者装置104可通过网络110或通过本地有线或无线连接122而与被接入者装置102通信。在一些方面中，举例来说，接入模块134将接入凭证126和AE凭证123呈现给被接入者装置102以便基于所述一个或一个以上颁予的接入特权107而提供对接入所述多个装置资源103中的预定装置资源的授权。然而应注意，AE凭证123可从其它源得到，且不要求接入者装置104提供AE凭证123。作为响应，举例来说，被接入者装置102执行接入授权模块124，接入授权模块124可操作以例如通过用接入实体(AE)公钥127(或引导回到主AE的例如可由次级AE签名的经签名凭证链)证实AE数字签名109且例如通过例如经由检查AE凭证123来确保接入特权107等于或少于AE凭证123中的特权的范围而证实接入特权107的范围，来验证接入凭证126。对AE数字签名109的验证和对AE凭证123的检查允许被接入者装置102信任与接入凭证126包含在一起的信息，因为验证过程向被接入者装置102证明AE 106颁予接入凭证126，且因此已授权所述一个或一个以上颁予的接入特权107。
应注意，在一些方面中，接入授权模块124可能不知道和/或不关心授予何种接入特权107，因为接入授权模块124主要关注于验证接入凭证126是真实的。由此，系统100允许特权的授予成为非常动态的过程，因为不需要以关于哪些接入特权105与哪些装置资源103适当相关联的新信息来连续更新接入授权模块124。
如果接入凭证126未通过验证，那么接入授权模块124拒绝接入者装置104的接入。如果接入凭证126通过验证，那么接入授权模块124允许对所述多个装置资源103中的预定一者或一者以上的接入和交互，其中相应装置资源基于包含在接入凭证126中的所述一个或一个以上颁予的接入特权107而限制所述交互。在一个方面中，举例来说，在验证之后，接入者装置104能够执行接入模块126以向被接入者装置102提交与所述多个装置资源103中的一者或一者以上交互的请求111。在其它方面中，请求111可与接入凭证126在同时呈现。在接收到请求111后，在验证接入凭证126且验证所述请求111属于所授予特权范围内之后，被接入者装置102可基于包含在经验证接入凭证126内的所述一个或一个以上颁予的接入特权107而执行所请求的装置资源。因此，如果经验证，那么接入凭证126向接入者装置104提供根据所述一个或一个以上颁予的接入特权107的与所述多个装置资源103中的一者或一者以上的经授权交互。
虽然分别说明为膝上型计算机和蜂窝式电话，但应注意，接入者装置104和被接入者装置102可为任一类型的计算机装置。此外应注意，授权实体106、接入者装置104和被接入者装置102可通过包含网络110和本地连接122的任一类型的通信链路互连(但不一定同时互连)，所述通信链路可包含直接串行连接或无线连接。
因此，系统100提供用于允许接入者装置104基于由AE 106颁予的接入凭证126而接入被接入者装置102且与其交互的动态机制。由此，虽然如同当涉及次级AE(见图2)时的情况，被接入者装置102可能不知道和/或不信任接入者装置104，但系统100允许被接入者装置102基于被接入者装置102对通过AE数字签名109和AE凭证123(或凭证链)验证的AE 106的信任而与接入者装置104的一个或一个以上装置资源103交互。此外，接入凭证126可被动态产生，且有利地可特定识别多个接入特权105中与多个装置资源103中被AE 106授权供接入的特定装置资源相关联的选定接入特权，以便按需要来限制接入。
参见图3，在可借以获得对被接入者装置102的接入的程序的一个特定实例中，在事件201处，接入者装置104将接入凭证126和AE凭证123传递到装置资源103以便起始交互。如上所述，接入凭证126是先前从AE 106请求或由AE 106另外提供(图1)。此外，如上所述，被接入者装置102可从另一源获得AE凭证123。接入凭证126和AE凭证123由计算机平台203接收且转发到资源应用程序205。在允许与装置103的交互之前，在事件207处，资源应用程序将接入凭证126和AE凭证123传递到接入授权模块124以便验证特权的真实性和范围。在事件209和211处，接入授权模块124以AE公钥625验证AE数字签名109，且验证关于AE凭证123的颁予的接入特权107的范围。在事件213处，基于验证检查，接入授权模块124向资源应用程序205返回响应，所述响应验证或拒绝接入凭证126和/或颁予的接入特权107的真实性。在事件215处，资源应用程序205又将指示验证检查的结果的响应转发到接入者装置104的接入模块134。在事件217处，如果接入凭证126和颁予的接入凭证107通过验证，那么作为响应，接入模块134将请求111发送到资源应用程序205。如上所述，在一些方面中，请求111可连同接入凭证126一起包含在初始通信中。在事件219处，资源应用程序205又在请求111包括颁予的接入特权107内的动作的情况下将请求111或请求111的经重新格式化表示或一部分传递到特定资源221。任选地，取决于请求111的性质，在事件223和225处，可由特定资源221和资源应用程序205将请求响应返回到接入模块134。举例来说，此请求响应可包括请求111经执行的验证和/或请求响应可包括与请求111相关联的数据。因此，被接入者装置102可基于验证了接入凭证126由AE 106颁予到接入者装置104或在AE 106(被接入者装置102和/或相应装置资源103与其具有信任关系)的授权下由次级授权实体(见图2)颁予到接入者装置104，在所识别接入特权107的范围内向未知且不受信任的接入者装置104提供对一个或一个以上装置资源103的接入。
在一些方面中，接入者装置104与被接入者装置102之间的通信交换可包括发送接入凭证126和请求111和接收结果的单次往返行程，所述结果例如为基于请求而返回的数据或拒绝接入或拒绝所述请求的通知。在其它方面中，通信会话可在一旦接入凭证126通过验证时就建立，包含多个请求和结果的交换。在此通信会话中，虽然被接入者装置102信任接入者装置104，但被接入者装置102可能仍要基于接入凭证126而验证每一请求111属于所授予特权的范围内。此外，应注意，接入者装置104可能不在与被接入者装置102的每次交互时都呈现接入凭证126。举例来说，在接入凭证126的初始呈现和验证之后，在一些方面中，接入者装置104可仅例如通过使用先前产生且先前交换的公钥/私钥对而将身份的证据提供到被接入者装置102，被接入者装置102随后可参考计算机平台203上的先前经验证凭证真实性和特权范围的所存储指示。
参见图4，在一些方面中，接入凭证126可任选地包含额外信息，如虚线所指示，其由AE 106输入以用于识别和/或验证目的。举例来说，除了一个或一个以上颁予的接入特权107和AE数字签名109外，接入凭证126还可包含(但不限于)颁予者识别符202、凭证识别符204、接入者识别符206、接入者公钥208的指示、有效性指示符210或既定被接入者识别符212中的一者或任一组合。
颁予者识别符202可包含名称、代码、号码或任一其它类型的信息，其指示颁予源，例如授权实体106的名称或硬件识别，或例如实体的X.500系列计算机联网标准名称，例如签署接入凭证126的证书授权方。颁予者识别符202可进一步包含识别由AE 106使用以签署接入凭证126的算法的信息。
凭证识别符204可包含名称、代码、号码或任一其它类型的信息，其提供接入凭证126的唯一识别以例如跟踪颁予的和/或期满的接入凭证，且还例如为用以区别接入凭证126与其它证书的序列号。此外，举例来说，凭证识别符204还可包含不可预测和/或随机的数据。另外，举例来说，凭证识别符204可包含识别接入凭证存储的位置(例如网络装置上)的指针或其它信息，进而使得进行授予的实体能够将凭证识别符转发到接收实体，而非必须传递实际的凭证。在一些方面中，接收实体可将凭证识别符204提供到待接入的装置，且待接入的装置可利用所述指针或其它位置信息来获得或接入对应的接入凭证126以便确定接入是被准予还是被拒绝。
接入者识别符206可包含名称、代码、号码或任一其它类型的信息，其提供接入凭证126被颁予到的接入者装置104的唯一识别，进而帮助将相应接入凭证绑定到所识别的接入者装置。
接入者公钥208的指示可包含对对应于仅由接入者装置104已知的专用加密机制的公开可用加密机制的参考或其实际副本，例如接入者公钥208的包含可允许被接入者装置102进一步验证接入者装置104的身份和/或可允许建立与接入者装置104的安全通信。接入者公钥208可进一步包含算法识别符，其指定密钥属于哪一公钥加密系统和任何相关联的密钥参数。在一些方面中，AE 106可在所授予且数字签署的接入凭证126内包含接入者公钥208以使被接入者装置102能够确保请求接入的装置是接入凭证被授予到的适当被接入者装置，如下文更详细论述。
有效性指示符210可包含关于接入凭证126的有效性的限制的指示符。举例来说，有效性指示符210可包含基于时间的限制，例如日、日期、时间、开始日期和/或时间以及结束日期和/或时间、使用次数等中的一者或任一组合。另外，举例来说，有效性指示符210可包含基于使用的限制，例如预定使用次数。此外，举例来说，有效性指示符210可包含基于位置的限制，例如可与地理位置和/或基于网络的位置相关联。另外，举例来说，有效性指示符210可包含基于装置状态的限制，例如基于与相应被接入者装置和/或相应接入者装置的任一功能或组件相关联的任一状态的值中的一者或任一组合。
既定被接入者识别符212可包含名称、代码、号码或任一其它类型的信息，其指示接入凭证126针对其有效的特定被接入者装置102，例如被接入者装置102的名称或硬件识别。此外，关于接入凭证126，AE 106可将AE数字签名109应用到上述参数中的任一者或任一组合。另外，在一些方面中，接入凭证126可包含AE凭证123和/或AE公钥的指示符204或可与AE凭证123和/或AE公钥的指示符204相关联，AE公钥的指示符204可用以鉴别AE凭证123和/或AE数字签名109。
在一些方面中，接入凭证126可包含所有上述参数。在其它方面中，例如在非常短寿命的接入凭证126的情况下，可不包含接入者公钥208，因为其对于进一步验证接入者装置104可能不是必要的，和/或可能不必利用接入者公钥208来建立安全通信，因为接入凭证126的有效性的持续时间可有效地使对被接入者装置102的安全性威胁最小。举例来说，非常短寿命的有效性持续时间可包含具有有效性指示符210的接入凭证126，有效性指示符210表示使用次数或在其它情况下表示时间周期，例如从约1分钟到约10分钟。对于基于时间的有效性指示符210，可利用在AE 106与被接入者装置102和/或接入者装置104之间同步的时钟。另外，所述时钟可为逻辑时钟或实时时钟。此外，在一些方面中，例如当接入者装置104不具有建立的公钥/私钥对时，AE 106可为接入者装置104建立此密钥对以与本文论述的装置接入设备和方法一起使用。
参见图5，系统100的一方面可并入有无线网络302，且可包含例如无线客户端计算装置(例如被接入者装置102)等的远程模块借以在彼此之间和/或在经由无线网络302连接的组件(包含但不限于无线网络运营商和/或服务器)之间无线地通信的任何系统。
在一些方面中，AE 106可为较高授权基础结构304的一部分，其可包含充当根CA或受信任第三方的一个或一个以上证书授权方(CA)。然而应注意，AE 106大体上被视为某种形式的CA。当适当时，AE 106可从授权基础结构304内的另一服务器/CA获得证书。
此外，在一些方面中，系统100包含接入凭证的委派，使得例如AE 106等的一个实体或组织可将接入凭证126颁予到例如接入者装置104等的其它实体，所述其它实体可进一步将额外接入凭证颁予到额外实体。举例来说，授权基础结构304可包含可将接入凭证颁予到运营商网络的根CA，其中所述接入凭证可包含对一个或一个以上给定被接入者装置和/或装置资源的一个或一个以上接入特权。运营商网络又可动态地产生用于雇员、服务承包者等的委派的接入凭证，其中所委派接入凭证包含与由根CA所授予的原始颁予的特权相比不更宽且通常更窄的接入特权。特权的委派提供了授予特权时的组织灵活性，由此委派允许中间组织基于所述组织可用的特权而颁予凭证。此外，此委派允许中间组织控制凭证，因为凭证可限于特定用于所需接入的预定特权，进而减少了接入特权的潜在滥用。
在一些方面中，AE 106连同包含授权基础结构304的任何其它服务器一起可为运营商网络306的一部分，且可操作以动态地产生接入凭证，从而允许经授权接入者装置104接入一个或一个以上被接入者装置102上的受限制特征，例如所述多个装置资源103(图1)。
在系统100中，运营商网络306控制发送到无线网络302且更特定来说发送到移动交换中心(MSC)308的消息(作为数据包发送)。运营商网络306通过例如因特网和/或POTS(老式普通电话系统)等的网络310与MSC 308通信。通常，网络或因特网连接在运营商网络306与MSC 310之间传送数据信息，且POTS传送语音信息。
MSC 308连接到多个基站(BTS)312，基站312与一个或一个以上被接入者装置102(在此实例中为无线装置)通信。以类似于运营商网络的方式，MSC 308通常通过用于数据传送的网络和/或因特网以及用于语音信息的POTS两者连接到每一BTS 312。每一BTS 312最终通过短消息接发服务(SMS)和/或其它无线方法而无线地与例如蜂窝式电话等的被接入者装置102交换语音和数据呼叫。
参见图6，被接入者装置102可包含例如一个或一个以上计算装置组件，包含执行驻存的经配置逻辑的处理电路，其中此计算装置包含例如微处理器、数字信号处理器(DSP)、微控制器、便携式无线电话、个人数字助理(PDA)、寻呼装置、无线调制解调器、PCMCIA卡、接入终端、个人计算机，和含有经配置以至少执行本文描述的操作的处理器和逻辑的硬件、软件和/或固件的任一合适组合。
在一些方面中，被接入者装置102包含存储器402、通信模块404和处理器406，其各自经由总线408以通信方式耦合。存储器402可包含任一类型的易失性和/或非易失性存储器中的一者或一者以上，包含所有已知类型的存储器，其提供经配置逻辑的存储。另外，虽然存储器402被展示为一种类型的存储器的一个连续单元，但其它方面使用多个位置和/或多种类型的存储器作为存储器402。另外，存储器402可进一步包含装置识别符410，例如序列号、硬件识别符、全局识别符(GID)和IP地址、例如现时等的瞬态识别符等，其可操作以唯一地识别被接入者装置102。此外，通信模块404经由总线408提供对装置102上的资源的输入和输出，以及提供被接入者装置102与外部装置之间的输入和输出。另外，处理器406根据经由总线408提供的指令和数据操作。
另外，在一些方面中，被接入者装置102可包含运行时环境，其执行以提供在装置上运行的应用程序与处理器412和/或所述多个装置资源103中的预定装置资源之间的接口。此运行时环境可称为应用程序编程接口(API)412。一种此类运行时环境或API 412为由加利福尼亚圣地亚哥市的高通公司开发的BREW软件平台。然而，在其它方面中，被接入者装置102适合于与例如操作以控制被接入者装置上的应用程序的执行的其它类型的运行时环境(API)一起使用。
在一些方面中，通信模块404可包含多个通信接口414，其各自提供到所述多个装置资源103中的对应一者或一者以上的连接。举例来说，多个通信接口414包含(但不限于)以下各项中的一者或任一组合：串行端口、除错端口、红外端口、BluetoothTM端口、网络套接字连接、通用串行总线(USB)、FireWireTM接口和高频无线局域网连接，例如无线保真度(WiFi)路径。
此外，被接入者装置102可包含一个或一个以上输入装置409和一个或一个以上输出装置411以允许与被接入者装置102的用户交互。输入装置409可包含(但不限于)例如端口、键、麦克风、触敏显示器、鼠标等的装置。输出装置411可包含(但不限于)例如音频扬声器、显示器、触觉接口、机械振动器等的装置。输入装置409和输出装置411可通过总线408与其它装置组件以通信方式耦合。
接入者装置104可例如经由本地连接122和通过网络110的远程路径中的任一者或两者，通过通信接口414来接入被接入者装置102。通常，物理上连接的本地连接，例如硬连线串行连接，不需要用于交换数据的完整性保护或加密。此外，本地连接可能不需要鉴别协议，例如可防范中间人攻击的零知识证据(zero-knowledge proof)。因此，虽然远程连接可能需要安全套接字层(SSL)或等效物，但较低安全性的通信协议对于本地连接来说为够用的。
为了可在被接入者装置102上执行经由本地连接122和/或通过网络110的远程连接的有特权的动作而不损害装置的完整性，存储器402可包含动态接入授权模块124。基于由接入者装置104供应的接入凭证126，且进一步基于AE凭证123，接入授权模块124可经配置以允许经授权用户(例如，接入者装置104)具有关于被接入者装置102的高粒度的有特权特征。
在一些方面中，接入授权模块124可预先加载到被接入者装置102的存储器402中。在其它方面中，接入授权模块124可为稍后添加的模块，其可经数字签署以用于鉴别目的。举例来说，接入授权模块124可由例如接入者装置104等的另一装置下载到被接入者装置102。
在接入授权模块124的加载之前，由被接入者装置102提供的操作环境大体上限制授予例如接入者装置104等的外部连接的装置的特权。一旦加载，接入授权模块124便变为看门人，从而提供在准予对与所述多个装置资源103中的一者或一者以上的有特权交互的接入方面的高粒度。特定来说，接入授权模块124与接入装置(例如，接入者装置104)通信以接收授予特定接入特权107的AE颁予的接入凭证126，其可特定联系到所述多个装置资源103中的一者或一者以上。举例来说，如上所述，AE 106(图1)和被接入者装置102和/或装置资源103可预先就所述多个可用接入特权105中的每一者的定义，以及每一可用特权与对所述多个装置资源103中的至少一者的接入或交互之间的关联达成一致。此外，被接入者装置102可另外基于所述多个通信接口414中的哪一者正被接入而限制对所述多个装置资源103中的预定装置资源的接入。在一些方面中，举例来说，接入授权模块124或每一装置资源103可包含接入控制数据库418，以存储所述多个可用接入特权105、相应装置资源103和(任选地)所述多个通信接口414之间的各种达成一致的关系。
接入授权模块124可包含可操作以实施本文描述的功能性的硬件、软件、可执行指令和数据中的一者或任一组合。在一些方面中，接入授权模块124可包含接入授权逻辑416，其可由处理器406执行以管理接入授权模块124的操作。
在一些方面中，接入授权模块124可包含验证模块420，其可操作以检查所接收接入凭证126和AE凭证123，且确定真实性和特权范围。举例来说，验证模块420使用AE公钥625验证接入凭证126中含有的AE数字签名109。此外，举例来说，验证模块420验证颁予的特权107在AE凭证123的范围内。基于此验证过程，验证模块420可颁予鉴别确定422。鉴别确定422表示验证过程的结果，例如关于接入凭证和颁予的特权中的任一者或两者的“经鉴别”结果或“未经鉴别”结果。在对应于“经鉴别”结果的鉴别确定422的情况下，接入授权模块124接受接入凭证126，进而基于包含在接入凭证126中的一个或一个以上颁予的接入特权107而允许相应装置资源103向接入者装置104提供接入。在对应于关于凭证的“未经鉴别”结果的鉴别确定422的情况下，接入授权模块124拒绝接入凭证126，进而使得相应装置资源103不允许接入者装置104的接入。在对应于关于颁予的特权107的“未经鉴别”结果的鉴别确定422的情况下，取决于可配置的系统策略，接入授权模块124可完全拒绝接入，或可仅基于属于经批准的范围内的特权而允许接入。在任一情况下，验证模块420可以可操作以产生接入通知消息424，且起始其经由通信模块404向提供接入凭证126的装置(例如，接入者装置104)的传输，其中通知消息424传达凭证授权过程的结果。
此外，接入授权模块124可检查由接入者装置104供应的身份证据以验证接入者装置104的身份。举例来说，身份证据可包含通信的交换，其中被接入者装置102可基于接入者公钥208而验证接入者装置的身份，接入者公钥208可被包含在接入凭证126内以便用以验证经授权接入者的身份。特定来说，接入授权模块124将能够基于使用接入者装置的对应私钥加密的所接收消息来验证接入者装置104的身份。另外，由接入者装置104提供的身份证据可初始与接入凭证126包含在一起。
另外，在一些任选方面中，接入授权模块124可进一步包含控制模块426，控制模块426可操作以确保向被准予接入的装置(例如，接入者装置104)提供包含在“经鉴别”接入凭证126中的一个或一个以上颁予的接入特权107的界限或范围内的接入。举例来说，控制模块426检查从被准予接入的装置(例如，接入者装置104)接收的请求111以确保包含在请求111中的每一所请求动作428属于至少一个颁予的特权107的范围内。举例来说，控制模块426可参考接入控制数据库418，且将所请求动作428与基于所述一个或一个以上颁予的接入特权107而允许与之交互的一个或一个以上装置资源103进行比较。此外，在一些任选方面中，控制模块426可另外考虑所述多个通信接口414中的哪一者正由接入者装置104使用且进一步基于其而限制接入。由此，基于此控制过程，控制模块426可颁予控制确定430。控制确定422表示控制过程的结果，例如“有效”结果或“无效”结果，例如所请求动作428分别属于一个或一个以上颁予的特权107的范围内或位于一个或一个以上颁予的特权107的范围外。在对应于“有效”结果的控制确定430的情况下，接入授权模块124接受所请求动作428且允许被接入者装置102执行动作。在对应于“无效”结果的控制确定430的情况下，接入授权模块124拒绝所请求动作428且不允许动作发生。在任一情况下，但在“无效”结果情况下较为可能地，控制确定430可以可操作以产生控制消息432且起始经由通信模块404传输控制消息432到提供接入凭证126的装置(例如，接入者装置104)，其中控制消息432传达动作控制过程的结果。
在其它方面中，接入授权模块124可不包含控制模块426和接入控制数据库418，但控制接入的上述功能性可并入到相应装置资源103内。举例来说，每一装置资源103可包含控制模块426和接入控制数据库418的上述功能性中的全部或某部分。由此，在这些方面中，每一相应装置资源103可操作以确定所接收请求111是否在经验证接入凭证126的颁予的接入特权107的界限内，且相应地进行响应。在此情况的一些方面中，每一装置资源103具有与AE 106的信任关系，且进而已知关于装置资源103的所述多个接入特权105(图1)中的每一者的定义且就其达成一致，例如，其在颁予接入凭证126之前被预先确定。在此情况的其它方面中，每一特权105(图1)对应于相应装置资源103的已知方面，且因此无需建立预定关系，而是可仅基于接入凭证126的信任关系和验证而准予对相应装置资源103的一些方面的接入。
另外，在一些方面中，接入授权模块124或每一相应装置资源103可以可操作以管理响应于请求111而向接入者装置104传输请求结果434。请求结果434可包含与所述多个装置资源103中的相应一者对所请求动作428的处理相关的信息。举例来说，请求结果434可识别所请求动作中的一者或任一组合、与所述交互相关联的所述多个装置资源103中的一者或一者以上和/或所请求动作的结果。
另外，在一些方面中，接入授权模块124或每一装置资源103可以可操作以维护接入日志436，其可存储和与AE 106和/或接入者装置104的通信相关的信息。举例来说，接入日志436可提供所述多个装置资源103与所述多个接入特权105之间的达成一致的关系、所接收接入凭证126以及关于与相应接入者装置104的交互的请求111、所请求动作428和请求结果434的审计轨迹。类似的日志可由接入者装置104和AE 106维护以便使系统100内的动作相关，进而潜在地识别系统100的安全性违反。
参见图7，在至少一个方面中，接入者装置104可操作以从AE 106获得接入凭证126且将其转发到被接入者装置102，被接入者装置102可操作以鉴别接入凭证126且基于颁予的接入特权107而允许与所述多个装置资源103的一个或一个以上预定交互。虽然说明为膝上型计算机，但接入者装置104可包含任一类型的有线或无线计算机化装置，例如蜂窝式电话、PDA、寻呼机和桌上型计算机。
在一个方面中，举例来说，接入者装置104可包含存储器502，其可操作以存储可由处理器504执行的应用程序和/或程序。存储器502和处理器504可经由总线506以通信方式耦合，总线506可进一步与通信模块508以通信方式耦合。
通信模块508可包含允许实现接入者装置104内以及接入者装置104与外部装置之间的信息接收、传输和/或交换的硬件、软件、可执行指令和数据。举例来说，通信模块508可提供接入者装置104的组件之间以及接入者装置104与外部通信网络(例如网络110)和外部装置(例如被接入者装置102和授权实体106)之间的数据交换。举例来说，通信模块508可以可操作以经由本地连接122和/或经由网络110与被接入者装置102和/或AE 106通信。另外，通信模块508可包含分别用于向外部装置传输信息和从外部装置接收信息的传输和接收链组件。
此外，接入者装置104可包含一个或一个以上输入装置509和一个或一个以上输出装置511以允许与接入者装置104的用户交互。输入装置509可包含(但不限于)例如端口、键、麦克风、触敏显示器、鼠标等的装置。输出装置511可包含(但不限于)例如音频扬声器、显示器、触觉接口、机械振动器等的装置。输入装置509和输出装置511可通过总线506与其它装置组件以通信方式耦合。
此外，在一些任选方面中，接入者装置104可包含运行时环境，其执行以提供在装置上运行的应用程序和/或模块与处理器504之间的接口。此运行时环境可称为应用程序编程接口(API)510。一种此类运行时环境或API 510为由加利福尼亚圣地亚哥市的高通公司开发的BREW
Figure BPA00001390366000231
软件平台。然而在其它方面中，接入者装置104可利用例如操作以控制接入者装置上的应用程序的执行的其它类型的运行时环境。
另外，存储器502可包含装置识别符512，例如序列号、硬件识别符、全局识别符(GID)、全局唯一识别符(GUID)、芯片识别符等，其可操作以唯一地识别接入者装置104。
此外，存储器502可包含接入模块134，其可操作以提供与被接入者装置102和/或AE 106的通信。接入模块134可包含接入逻辑514以实施本文关于接入模块134描述的功能性的全部或某部分。举例来说，接入逻辑514可以可操作以接收接入凭证126，且任选地接收AE凭证123，且将其转发到被接入者装置102以便获得对被接入者装置102上的所述多个装置资源103中的一者或一者以上的接入。此外，接入逻辑514可以可操作以在一旦对被接入者装置102的接入经授权时便产生请求111和所请求动作428。举例来说，接入逻辑514可经由通信模块508接收来自接入者装置104的用户的表示所请求动作428的输入，以便产生请求111。另外，接入逻辑514可以可操作以接收和分析或进一步处理请求结果434(如果存在)。
另外，在一些方面中，接入模块134可以可操作以产生凭证请求520且经由通信模块508将请求520传输到AE 106。举例来说，凭证请求520可例如经由装置识别符512识别接入者装置104，以及所述多个接入特权105(图1)中的所请求的一者或一者以上。然而应注意，凭证请求520可能不是必要的，且AE 106和/或具有授权基础结构304(图4)的另一装置可单方面地将接入凭证126指派或颁予到接入者装置104。
在一些方面中，接入模块134可包含安全通信信息516，其可操作以允许实现与例如AE 106和/或被接入者装置102等的外部装置的安全通信。举例来说，安全通信信息516可包含用于建立接入者装置104的身份且用于在一旦已建立身份时便以安全方式交换信息的协议。举例来说，可在接入者装置104将凭证请求520传输到AE 106的实例中使用此些协议。此外，举例来说，此些协议可用以在接入凭证126已被鉴别之后与被接入者装置102交换信息。举例来说，安全通信信息516可包含加密和解密机制517，例如对称密钥，其可允许与例如使用公钥/私钥对等的其它加密机制相比较快的信息交换。另外，安全通信信息516可包含接入者装置私钥518，其可用以加密和/或数字签署消息，和/或对以对应接入者装置公钥加密的所接收消息进行解密。接入者私钥518连同接入者公钥208是密钥对的一部分，其可存储在存储器502的非安全区域中。在一些方面中，可不利用接入者装置104与被接入者装置102之间的加密。举例来说，基于有效性指示符210，在接入凭证126具有充分短寿命的情况下可不利用加密。另一方面，在一些其它方面中，可例如使用安全套接字层(SSL)来加密经由接口传输的数据。
另外，在一些方面中，接入模块134可以可操作以维护接入日志522，其可存储和与AE 106和/或被接入者装置102的通信相关的信息。举例来说，接入日志522可提供凭证请求520、所接收接入凭证126以及关于与相应被接入者装置102的交互的请求111、所请求动作428和请求结果434的审计轨迹。如上所述，类似的日志可由被接入者装置102和AE 106维护以便使系统100内的动作相关，进而潜在地识别系统100内的安全性漏洞。
参见图8，在一个方面中，AE 106可操作以动态地产生接入凭证126，其授权接入者装置104执行与被接入者装置102的所述多个装置资源103中的一者或一者以上的通常受限的交互。虽然参见接入者装置104和被接入者装置102来论述，但应了解，AE 106可操作以关于每一被接入者装置产生给多个接入者装置的接入凭证126，且/或产生用于接入多个被接入者装置的接入凭证126，和/或产生给一个或一个以上次级AE的一个或一个以上次级凭证(例如，次级凭证129(图2))，所述一个或一个以上次级AE可随后又自身授予接入凭证126或可授予可用以授予接入凭证126的一个或一个以上另外的次级凭证，等等。
AE 106可包含任一类型的服务器、个人计算机、微型计算机、大型计算机或任一计算装置(专用或通用计算装置)中的至少一者。此外，可存在与AE 106相关联的单独的服务器或计算机装置，其协同工作以提供呈可用格式的数据给各方，且/或提供接入装置102与AE 106之间的数据流中的单独控制层。
在一个方面中，AE 106可包含存储器602，其可操作以存储可由处理器604执行的应用程序和/或程序。存储器602和处理器604可经由总线606以通信方式耦合，总线606可进一步与通信模块608以通信方式耦合。
通信模块608可包含允许实现在AE 106内以及AE 106与外部装置之间的信息接收、传输和/或交换的硬件、软件、可执行指令和数据。举例来说，通信模块608可提供AE 106的组件之间以及AE 104与外部通信网络(例如网络110)和外部装置(例如被接入者装置102和接入者装置104)之间的数据交换。举例来说，通信模块608可以可操作以经由本地连接和/或经由网络110与被接入者装置102和/或接入者装置通信。另外，通信模块608可包含分别用于向外部装置传输信息和从外部装置接收信息的传输和接收链组件。
此外，AE 106可包含一个或一个以上输入装置609和一个或一个以上输出装置611以允许与AE 106的用户交互。输入装置609可包含(但不限于)例如端口、键、麦克风、触敏显示器、鼠标等的装置。输出装置611可包含(但不限于)例如音频扬声器、显示器、触觉接口、机械振动器等的装置。输入装置609和输出装置611可通过总线606与其它装置组件以通信方式耦合。
另外，存储器602可包含凭证管理器模块610，其可操作以基于AE凭证123为一个或一个以上接入者装置104和/或次级AE 117(图2)产生接入凭证126和/或次级凭证129(图2)以分别允许对一个或一个以上被接入者装置102的资源的接入且允许进一步的特权委派。在一些方面中，凭证管理器模块610包含凭证管理逻辑612，其可由处理器604执行以执行本文描述的功能性。
在一些方面中，凭证管理器模块610可包含特权建立模块614，其可操作以与被接入者装置102和/或每一相应装置资源103交互以建立所述多个装置资源103中的每一者与所述多个接入特权105中的相应接入特权之间的关系。任选地，特权建立模块614可另外基于相应被接入者装置102上的所述多个通信接口414中的一者或一者以上来限制这些关系。此外，此些关系也可取决于接入者装置信息616而变化，接入者装置信息616例如为接入者装置识别符410(图5)、接入者装置104的角色和/或接入者装置的用户、与接入者装置相关联的实体(例如公司名称)、与接入者装置相关联的登录信息、与接入者装置相关联的安全性或加密机制等。特权建立模块614可将用于多个被接入者装置618中的每一者的这些关系存储在接入控制数据库418中。如上所述，可关于每一被接入者装置102和/或每一装置资源103供授予的特权可例如当在系统100(图1)中实施特权委派时在AE 106之间变化。
另外，凭证管理模块610可进一步包含验证模块620以确认所述多个接入特权105中的哪一者可被授予相应的接入者装置104和/或次级授权实体117(图2)作为颁予的接入特权107。验证模块620可响应于凭证请求520或基于AE 106的用户指派接入凭证126和/或次级凭证的动作来操作。举例来说，验证模块620可例如基于与凭证请求520包含在一起的信息而验证接入者装置104和/或次级授权实体117(图2)的身份，和/或可确认所述多个接入特权105中将被授予单方面提出的接入者装置104的可允许接入特权。举例来说，在凭证获取期间，鉴别接入者装置104可允许对人员接入哪些装置102以及接入多少装置102的控制和可跟踪性。在例如在线服务器的情况下，可使用例如需要对适当鉴别服务器的在线接入的RSA安全令牌验证来实施接入者装置的两因数鉴别。
此外，凭证管理模块610可进一步包含凭证产生器622，其可操作以产生接入凭证126和/或次级凭证129(图2)，包含将接入实体(AE)私钥624应用于接入凭证126以形成AE数字签名109，且任选地附加AE凭证123。应注意，AE私钥624可由对应的AE公钥625证实。凭证产生器622可随后进一步可操作以起始经由通信模块608将接入凭证126传输至相应接入者装置104。
在一些方面中，AE 106与接入者装置104之间的通信信道(例如包含网络110)可利用例如安全套接字层(SSL)等的安全通信协议来保护传输到接入者装置104的接入凭证126的内容。
另外，在一些方面中，凭证管理模块610可以可操作以维护接入日志626，其可存储和与接入者装置104和/或被接入者装置102和/或次级授权实体的通信相关的信息。举例来说，接入日志626可提供凭证请求520和传输的接入凭证126以及关于每一被接入者装置的接入特权与装置资源之间的经建立关系的审计轨迹。如上所述，类似的日志可由被接入者装置102和/或接入者装置104和/或次级授权实体维护以便使系统100内的动作相关，进而潜在地识别系统100内的安全性漏洞。
参见图9，系统100内的消息流程的一方面向接入者装置104提供预定特权以在被接入者装置102上执行通常受限的动作。在任选的事件702处，接入者装置104可将包含凭证请求520(图7)的消息传输到AE 106，或传输到具有从主AE委派的凭证和特权的次级AE。凭证请求消息可进一步包含额外的接入者装置相关信息。举例来说，口令和/或密码、识别接入者装置104的数据、识别一个或一个以上被接入者装置102的数据、识别一个或一个以上所需特权的数据和/或识别在每一相应被接入者装置或关于每一装置资源执行的所需动作的数据。在一些方面中，接入者装置104以用户名/口令组合430登录到AE 106上，随后使用口令鉴别逻辑来鉴别所述用户名/口令组合430。在经鉴别后，接入者装置104可传输接入凭证请求以获取用于相应被接入者装置和/或相应装置资源的接入凭证126。
与AE 106的通信可例如使用驻存在接入者装置104上的市售网络浏览器来经由网络110进行。通过使用例如HTTPS等的安全协议(包含用户名/口令交换机制)，可允许实现安全通信。
在事件704处，AE 106可通过在接收到凭证请求消息520时或在如由用户指示的独立操作时执行凭证管理模块610(图7)来产生接入凭证126。举例来说，AE 106可如上论述执行凭证管理模块610(图8)以处理凭证请求520、验证接入者装置104和/或所请求动作/特权，且/或产生接入凭证126(图7)。
在一个或一个以上替代方面中，例如当AE 106不包含用以准予对接入凭证126的请求520的适当机制和/或授权时，AE 106可将凭证请求520转发到另一网络实体，例如较高层级次级AE和/或主AE，或从具有较大授权的另一网络实体请求额外机制或授权。此过程在图9中在事件706、708和710处说明。举例来说，为了产生与被接入者装置102的运行时环境(例如，BREW
Figure BPA00001390366000271
)兼容的动态产生的短期凭证，AE 106接入与特权的授予相关的授权策略。因此，如事件706、708和710说明，如果AE 106不包含适当的策略/特权，那么其自身无法产生凭证126，且因此其可连接到运营商授权基础结构304内的特定授权实体，例如较高层级次级或例如主AE，且颁予对相应凭证的请求。因为并非所有特权/策略皆在所有服务器上可用，所以运营商授权基础结构304可包含多个服务器，包含根证书授权方(CA)(例如主授权实体)和一个或一个以上其它受信任CA(例如次级授权实体)，其各自可提供不同策略的子集，例如除错、语音邮件和内容传送等。
举例来说，在任选的事件706处，AE 106可将凭证请求消息传输到授权基础结构304(图5)，凭证请求消息可包含对额外机制和/或授权的请求。在事件706处传输的凭证请求可为将从接入者装置104原始传输的凭证请求转发到AE 106，或凭证请求可为例如新产生的消息，其可另外包含对用以处理凭证请求520的额外机制/授权的请求。
此外，举例来说，在任选的事件708处，授权基础结构304分析所接收的凭证请求消息，产生接入凭证，且/或提供用以处理凭证请求520的额外机制/授权。在任选的事件710处，授权基础结构304将凭证请求响应消息传输回到AE 106。事件710的凭证请求响应消息可包含接入凭证126、事件708处的分析的结果的通知(例如对凭证请求520的拒绝)，和/或用于由AE 106使用以执行如上文论述的事件704的额外机制和/或授权。接入凭证响应消息可包含所授予特权的指示，且可经数字签署以保证数据的完整性和发送者的真实性。可在首先加密消息或不加密消息的情况下发送数字签名。如果像在使用HTTPS建立的连接时，授权基础结构304与AE 106之间的链路是安全的，或者如果证书的有效性周期极短，那么可不加密数字签署的接入凭证126。
在一些任选方面中，在AE 106上运行的加密模块512(例如)经由CA的公钥验证与加密的所接收接入凭证相关联的散列。如果所接收散列通过验证，那么AE 106知道凭证尚未经修改且其是由私钥的所有者(例如，CA)发送。
接入凭证126可包含数据字段且可如上所述格式化。另外，接入凭证126可包含由CA授予的特权的列表。
在事件712处，AE 106将消息传输到接入者装置104，所述消息包含接入凭证126且任选地包含AE凭证123或对其的某种参考，或在一些方面中，包含对所请求凭证的拒绝。因此，AE 106进而向接入者装置104授予来自对应于所述多个装置资源103中的一者或一者以上的多个可用接入特权105的且在一些方面中关于给定被接入者装置102的一个或一个以上预定接入特权107。
在事件714处，接入者装置104可例如经由网络110和/或连接122建立与被接入者装置102的通信，且将接入凭证126且任选地将AE凭证123转发到被接入者装置102以尝试获得对被接入者装置102的所述多个装置资源103中的一者或一者以上的接入。此外，可关于接入者装置104的多个通信接口414(图5)中的预定一者来建立此通信，所述通信接口可与是否准予接入相关。大体上，物理上连接的本地路径，例如经由硬连线USB端口的连接，不需要对成批数据传送的完整性保护或加密。本地硬连线路径可能不需要可防范中间人情境的鉴别协议(例如，零知识证据)。因此，经由远程路径连接到被接入者装置102的接入者装置104可能需要SSL或等效物，而经由本地路径与被接入者装置102通信的接入者装置104可实施简单得多的鉴别和/或加密方法。
在任选的事件716处，授权模块124(图5)可在被接入者装置缺少此模块的情况下被从接入者装置104传输到被接入者装置102。在一些方面中，与接入凭证126的传输一致地传输授权模块124，然而在替代方面中，可在任一时间点从接入者装置104或从另一网络装置传达授权模块124。如先前论述，被接入者装置102可在制造时或销售点处预先配置有授权模块124，且由此可能无需将授权模块124传达到被接入者装置102。
当经由非安全接入路径与被接入者装置102通信时，下载装置(在此实例中为接入者装置104)可充当安全套接字层(SSL)服务器。因此，接入者装置104打开到被接入者装置102的连接，收听SSL请求，且协商SSL。接入凭证126的转发(事件714)或授权模块124的传达(事件716)可包含对被接入者装置102的命令，例如再引导命令，其致使装置102发现且安装接入授权模块124。
一旦接入授权模块124安装在被接入者装置102上作为原始安装的部分或作为上述下载程序的部分，接入授权模块124便可操作以接收来自接入者装置104的通信，所述通信可包含允许接入者装置104在被接入者装置102上执行原本受限的动作的接入凭证126。
在事件718处，被接入者装置102通过以对应AE公钥625证实AE数字签名109(图3)且通过验证关于AE凭证123的颁予的特权107来鉴别/验证接入凭证126。此外，被接入者装置102基于接入者公钥208而验证接入者装置104的身份。鉴别过程可导致接入者装置104和/或接入凭证126通过鉴别或部分通过鉴别，进而致使被接入者装置102接受接入凭证126，且允许(例如)在接入凭证中的特权少于或等于AE凭证中的特权范围的情况下，根据基于AE凭证123批准的范围内的一个或一个以上颁予的接入特权107而对一个或一个以上装置资源103的接入。或者，鉴别过程可导致接入者装置104和/或接入凭证126被拒绝鉴别，在此情况下不接受接入凭证且拒绝对所述一个或一个以上装置资源103的接入。在事件720处，被接入者装置102传达表示鉴别过程的结果的通知消息422(图6)，所述结果例如为“通过鉴别”结果、“部分通过鉴别”结果或“未通过鉴别”结果。
在事件722处，如果接入者装置104接收到指示接入凭证已通过鉴别或部分通过鉴别的通知消息，那么接入模块134(图7)可产生包含接入动作428(图7)的请求111(图7)。举例来说，接入逻辑514(图7)可经由输入装置509(图7)从接入者装置104的用户接收表示所请求动作428的输入以便产生请求111。在事件724处，将请求111传输到被接入者装置102。
在事件726处，被接入者装置102检查从接入者装置104接收的请求111以确保包含在请求111中的每一所请求动作428均属于至少一个颁予的特权107的范围内。举例来说，对应于所请求动作428的每一相应装置资源103或接入授权模块124可实施动作控制功能。举例来说，控制功能包含每一相应装置资源103或控制模块426(图6)操作以参考接入控制数据库418(图6)，且控制功能将所请求动作428与所述一个或一个以上颁予的接入特权107进行比较。在任选的事件728处，被接入者装置728可将控制消息432(图6)传输到接入者装置104，其中控制消息432传达动作控制过程的结果。
参见图10，在一个方面中，被接入者装置确保例如在初始接入尝试时或在授权之后的接入尝试时与经授权接入者装置发生交互的方法包含要求接入者装置证明其身份。任选地，在事件740处，方法包含接入者装置104请求对一个或一个以上装置资源103的接入特权，其可针对给定被接入者装置102而进一步指定。举例来说，此请求可包含接入者装置104将接入者公钥208和身份证据转发到AE 106。
在事件742处，AE 106独立地或响应于经由事件740接收的请求而产生凭证126。举例来说，如果响应于请求，那么AE 106可验证由接入者装置104供应的身份证据，且可进一步在颁予的接入凭证126中包含接入者公钥208。
在事件744处，AE 106将接入凭证126颁予到接入者装置104。
在事件746处，接入者装置104接收接入凭证126，且产生消息以发送到被接入者装置102。
在事件748处，通过接入模块134，接入者装置104将包含接入凭证126的消息转发到被接入者装置102。任选地，所述消息可包含AE凭证123和/或对其的某种参考。
在事件750处，被接入者装置102接收消息和接入凭证126，验证接入凭证126，且随后产生响应消息以验证接入者装置104的身份。举例来说，响应消息可包含现时或某种其它随机数据，其在事件752处传输到接入者装置104。
在事件754处，接入者装置104以接入者私钥签署现时或随机数据，且在事件756处将此信息发送回到被接入者装置102。
在事件758处，被接入者装置102以例如包含在经验证接入凭证126中的被接入者公钥519对经签署的现时或随机数据进行解密。如果经解密现时或随机数据匹配于来自事件750的原始现时或随机数据，那么被接入者装置102具有接入者装置104的身份证据，且进一步交换可发生。如果不存在匹配，那么接入者装置104的身份未通过验证，且将不允许对装置资源的接入。
在事件760处，被接入者装置102向接入者装置104发送确认身份证据或拒绝确认的消息。
在事件762处，如果接入者装置104的身份经证明，那么可根据经验证接入凭证126内的一个或一个以上接入特权107发生与一个或一个以上装置资源103的交互。
应注意，在接入凭证126的初始身份验证和批准之后，可在执行与身份证据相关的以上过程的某个部分之后实施进一步接入尝试，例如接入凭证可能无需每次都被再提交。
因此，方法的此方面允许被接入者装置102确认其正在与被颁予接入凭证126的适当接入者装置104打交道。然而应注意，可利用其它方法来确认接入者装置104的身份。
参见图11，提供在接入者装置处获得对被接入者装置资源的接入的方法800的流程图。应了解，所列出的动作排序是用于阐释目的，且此些动作可以任一次序发生。在任选事件802处，向授权实体做出对接入凭证的请求。授权实体可为主AE或具有从主AE委派的授权/特权的次级AE。请求可另外包含额外的接入者装置相关信息，例如口令和/或密码、识别接入者装置104的数据、识别一个或一个以上被接入者装置102的数据和/或识别执行每一相应被接入者装置的所需动作的数据。对接入凭证的请求是任选事件，因为在一些方面中，可在无需传输请求的情况下将接入凭证传达到接入者装置。
在事件804处，接收接入凭证，例如由授权实体授予的接入凭证。如先前提及，可响应于请求而接收接入凭证，或AE 106和/或授权基础结构304可单方面地将接入凭证126授予和颁予到接入者装置104。或者，AE 106可在装置上预加载一个或一个以上接入凭证。而且，或者，可接收接入凭证识别符而非实际的接入凭证。接入凭证可包含由被接入者装置在鉴别接入凭证时使用的一个或一个以上接入特权和AE数字签名。在事件806处，传输接入凭证且任选地相应的AE凭证或对其的参考以例如用于尝试接入被接入者装置的目的。举例来说，在一个方面中，例如经由网络110和/或连接122而与被接入者装置102建立通信，且将接入凭证126转发到被接入者装置102以尝试获得对被接入者装置102的所述多个装置资源103中的一者或一者以上的接入。所建立的通信可关于接入者装置104的多个通信接口414(图6)中的预定一者，所述通信接口可与是否准予接入相关。或者，在事件806处，可传输接入凭证识别符而非实际接入凭证。
在任选的事件808处，可从授权实体接收授权模块。举例来说，在一些方面中，被接入者装置102可能尚未具有用于评估所接收接入凭证126的接入授权模块124，且如果接入者装置104未预加载有接入授权模块124，那么接入者装置104可例如从AE 106和/或从授权基础结构304接收此模块。在任选事件810处，又可将授权模块传输到被接入者装置102。在替代方面中，授权模块可从AE 106直接或从授权基础结构304传达到被接入者装置102。如先前提及，授权模块可由被接入者装置在证实接入凭证之前的任一时间点且不一定以上文论述的次序接收。举例来说，在传输接入凭证126之前，接入者装置104可了解到被接入者装置102需要接入授权模块124，且因此接入者装置104可在凭证传输之前或与凭证传输一起传输所述模块。
在事件812处，接收接入授权的结果。接入授权的结果将指示授权已经授予、部分授予或授权已被拒绝。如果接入凭证授权已经授予或部分授予，那么在事件814处，可产生交互/接入的请求111(图6)且传输到被接入者装置102。举例来说，可经由通信模块508(图6)接收表示所请求动作428(图6)的用户输入以便产生请求111。
在任选的事件816处，可接收请求结果434(图6)和/或应答。请求结果434可包含与所述多个装置资源103中的相应一者对所请求动作428的处理相关的信息。举例来说，请求结果434可识别所请求动作中的一者或任一组合、所述多个装置资源103中与交互相关联的一者或一者以上和/或所请求动作的结果。
参见图12，提供根据一个方面的准予被接入者装置处的装置资源接入的方法900的流程图。在任选事件902处，接收且加载授权模块。如先前提及，可在授权接入凭证之前的任一时间点从接入者装置104、AE 106或任一其它联网装置传达授权模块。在替代方面中，授权模块可在制造时或在销售点被预先配置。
在事件904处，接收接入凭证。接入凭证至少将包含与一个或一个以上装置资源相关联的一个或一个以上接入特权以及与AE 106相关联的数字签名。在一些方面中，应注意，可接收接入凭证识别符，且接入凭证的接收可基于从在接入凭证识别符中识别的位置或网络装置检索接入凭证。在事件906处，例如通过用AE公钥证实AE数字签名、通过验证关于AE凭证123的颁予的特权107的范围以及任选地通过验证接入者装置104的身份来授权/验证接入凭证，且将授权的结果传输到接入者装置104。
一旦授予授权且已将相关验证通知422(图6)传输到接入者装置104，那么在事件908处，可从接入者装置104接收对接入/交互的请求111(图6)且随后进行证实。需要对请求的证实以确保对接入者装置104提供在包含于“经鉴别”接入凭证126中的所述一个或一个以上颁予的接入特权107的界限内的接入。举例来说，证实可包含参考接入控制数据库418(图6)以将所请求的交互/接入与基于所述一个或一个以上颁予的接入特权107而允许与之交互的一个或一个以上装置资源103进行比较。在任选事件910处，可产生证实结果且传输到接入者装置104，从而向接入者装置104告知请求证实的结果。
在事件912处，一旦已证实对接入/交互的请求，便基于请求执行与装置资源的所请求交互。交互的实例包含(但不限于)利用经授权除错工具且执行装置维护功能，例如无线装置的供应和再配置、管理用于同步工具程序的地址簿、文件系统接入、例如图片、音乐、铃声等的内容的上载和/或下载，以及数据在装置之间的传送。在任选事件914处，可响应于请求111而产生请求结果434(图6)或应答且将其传输到接入者装置104。请求结果434可包含与对接入/交互的请求的处理相关的信息。举例来说，请求结果434可识别所请求动作中的一者或任一组合、所述多个装置资源103中与交互相关联的一者或一者以上和/或所请求动作的结果。
上文揭示的设备和方法呈现用于向未知的第一计算装置提供对例如无线手持机等的第二计算装置的有特权的接入的受控机制。举例来说，本文论述的设备和方法可用以允许第一装置能够从第二装置复制内容以传送到新装置，和/或将新内容传送到第二装置上。此外，举例来说，本文论述的设备和方法可允许第一装置在第二装置上执行受限制的系统配置管理功能。另外，举例来说，本文论述的设备和方法可允许第一装置接入和操纵存储在第二装置上的专用用户数据和/或网络配置数据。此外，应了解，可实施许多其它情境以利用由本发明设备和方法提供的经授权接入功能性。
结合本文所揭示的方面描述的各种说明性逻辑、逻辑块、模块、处理器和电路可用通用处理器、数字信号处理器(DSP)、专用集成电路(ASIC)、现场可编程门阵列(FPGA)或其它可编程逻辑装置、离散门或晶体管逻辑、离散硬件组件或其经设计以执行本文描述的功能的任何组合来实施或执行。通用处理器可以是微处理器，但在替代方案中，所述处理器可以是任何常规处理器、控制器、微控制器或状态机。处理器还可实施为计算装置的组合，例如DSP与微处理器的组合、多个微处理器、结合DSP核心的一个或一个以上微处理器或任何其它此类配置。
此外，结合本文所揭示的方面描述的方法或算法的步骤和/或动作可直接在硬件中、在由处理器执行的软件模块中或在所述两者的组合中体现。软件模块可驻留在RAM存储器、快闪存储器、ROM存储器、EPROM存储器、EEPROM存储器、寄存器、硬盘、可装卸盘、CD-ROM或此项技术中已知的任何其它形式的存储媒体中。实例存储媒体可耦合到处理器，使得处理器可从存储媒体读取信息和向存储媒体写入信息。在替代方案中，存储媒体可与处理器成一体式。此外，在一些方面中，处理器和存储媒体可驻留在ASIC中。另外，ASIC可驻留在用户终端中。在替代方案中，处理器和存储媒体可作为离散组件驻留在用户终端中。另外，在一些方面中，方法或算法的步骤和/或动作可作为代码或指令中的一者或任一组合或集合而驻留在可为计算机程序产品的全部或部分的机器可读媒体和/或计算机可读媒体上。此外，在一些方面中，方法或算法的步骤和/或动作可体现在一个或一个以上处理器的一个或一个以上模块中。
虽然以上揭示内容展示说明性方面和/或方面，但应注意，可在不脱离所附权利要求书所界定的所描述方面和/或方面的范围的情况下在本文中作出各种变化和修改。此外，尽管可能以单数形式描述或主张所描述的方面的元件，但除非明确规定限于单数形式，否则也预期复数形式。另外，除非另外规定，否则任何方面和/或方面的全部或一部分可与任何其它方面和/或方面的全部或一部分一起利用。

Claims (66)

1.一种获得对另一装置上的受限制资源的经授权接入的方法，其包括：
在接入者装置处接收与授权实体相关联的接入凭证，所述授权实体与被接入者装置具有直接或间接信任关系，其中所述接入凭证包含修改检测指示符、至少一个接入特权表示和接入者公钥，其中所述修改检测指示符是由所述授权实体创建的；
传达所述接入凭证、身份证据以及对与被接入者装置上的至少一个装置资源的交互的请求；以及
接收接入鉴别过程的结果，所述接入鉴别过程基于所述修改检测指示符而验证所述接入凭证的真实性，基于所述接入者公钥而验证所提供的所述身份证据，且验证所述接入凭证中的所述至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权，其中所述接入鉴别过程的所述结果包括被准予或拒绝对所述至少一个装置资源的接入。
2.根据权利要求1所述的方法，其中接收所述接入凭证进一步包括接收由具有次级凭证的次级授权实体授予的所述接入凭证，所述次级凭证直接或通过任一数目的其它次级凭证链接到主授权实体凭证，且其中接收所述结果包括：接入被准予是基于所述接入鉴别过程验证了从所述次级凭证直到所述主授权实体凭证且包含所述主授权实体凭证的所有所述链接的凭证皆允许对所述至少一个装置资源的接入。
3.根据权利要求1所述的方法，其中接收包含所述至少一个接入特权表示的所述接入凭证进一步包括接收可用于主授权实体的多个接入特权的子集的表示，且进一步包括接收直接或通过任一数目的其它次级实体将所述所接收接入凭证链接到所述主授权实体的凭证链，且其中接收所述鉴别过程的所述结果包括：接入被准予是基于所述接入鉴别过程验证了所有所述链接的凭证皆允许对所述至少一个装置资源的接入。
4.根据权利要求3所述的方法，其中接收所述凭证链进一步包括接收主授权实体凭证和至少一个次级凭证，其中接收所述接入凭证、所述主授权实体凭证和至少一个次级凭证在同一时间或在不同时间发生。
5.根据权利要求1所述的方法，其中接收包含所述至少一个接入特权表示的所述接入凭证进一步包括接收基于与所述接入者装置相关联的组织功能的特权。
6.根据权利要求1所述的方法，其中接收包含所述至少一个接入特权表示的所述接入凭证进一步包括接收实际特权、范围大于对应于所述授权实体的授权实体特权的特权或未知未来特权中的至少一者。
7.至少一种经配置以获得对另一装置上的受限制资源的经授权接入的处理器，其包括：
第一模块，其用于接收与授权实体相关联的接入凭证，所述授权实体与被接入者装置具有直接或间接信任关系，其中所述接入凭证包含修改检测指示符、至少一个接入特权表示和接入者公钥，其中所述修改检测指示符由所述授权实体创建；
第二模块，其用于传达所述接入凭证、身份证据以及对与被接入者装置上的至少一个装置资源的交互的请求；以及
第三模块，其用于接收接入鉴别过程的结果，所述接入鉴别过程基于所述修改检测指示符而验证所述接入凭证的真实性，基于所述接入者公钥而验证所提供的所述身份证据，且验证所述接入凭证中的所述至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权，其中所述接入鉴别过程的所述结果包括被准予或拒绝对所述至少一个装置资源的接入。
8.一种计算机程序产品，其包括：
计算机可读媒体，其包括：
可操作以致使计算机接收与授权实体相关联的接入凭证的至少一个指令，所述授权实体与被接入者装置具有直接或间接信任关系，其中所述接入凭证包含修改检测指示符、至少一个接入特权表示和接入者公钥，其中所述修改检测指示符由所述授权实体创建；
可操作以致使所述计算机传达所述接入凭证、身份证据以及对与被接入者装置上的至少一个装置资源的交互的请求的至少一个指令；以及
可操作以致使所述计算机接收接入鉴别的结果的至少一个指令，所述接入鉴别基于所述修改检测指示符而验证所述接入凭证的真实性，基于所述接入者公钥而验证所提供的所述身份证据，且验证所述接入凭证中的所述至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权，其中所述接入鉴别过程的所述结果包括被准予或拒绝对所述至少一个装置资源的接入。
9.一种通信装置，其包括：
用于接收与授权实体相关联的接入凭证的装置，所述授权实体与被接入者装置具有直接或间接信任关系，其中所述接入凭证包含修改检测指示符、至少一个接入特权表示和接入者公钥，其中所述修改检测指示符由所述授权实体创建；
用于传达所述接入凭证、身份证据以及对与所述被接入者装置上的至少一个装置资源的交互的请求的装置；以及
用于接收接入鉴别过程的结果的装置，所述接入鉴别过程基于所述修改检测指示符而验证所述接入凭证的真实性，基于所述接入者公钥而验证所提供的所述身份证据，且验证所述接入凭证中的所述至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权，其中所述接入鉴别过程的所述结果包括被准予或拒绝对所述至少一个装置资源的接入。
10.一种用于接入被接入者装置上的资源的接入者装置，其包括：
处理器；
存储器，其与所述处理器通信；以及
接入模块，其存储在所述存储器中且可由所述处理器执行，其中所述接入模块可操作以：
接收与授权实体相关联的接入凭证，所述授权实体与被接入者装置具有直接或间接信任关系，其中所述接入凭证包含修改检测指示符、至少一个接入特权表示和接入者公钥，其中所述修改检测指示符由所述授权实体创建；
起始所述接入凭证、身份证据以及对与所述被接入者装置上的至少一个装置资源的交互的请求的传达；以及
接收接入鉴别过程的结果，所述接入鉴别过程基于所述修改检测指示符而验证所述接入凭证的真实性，基于所述接入者公钥而验证所提供的所述身份证据，且验证所述接入凭证中的所述至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权，其中所述接入鉴别过程的所述结果包括被准予或拒绝对所述至少一个装置资源的接入。
11.根据权利要求10所述的装置，其中所述接入凭证由具有次级凭证的次级授权实体授予，所述次级凭证直接或通过任一数目的其它次级凭证链接到主授权实体凭证，且其中所述结果包括：接入被准予是基于所述接入鉴别过程验证了从所述次级凭证直到所述主授权实体凭证且包含所述主授权实体凭证的所有所述链接的凭证皆允许对所述至少一个装置资源的接入。
12.根据权利要求10所述的装置，其中所述至少一个接入特权表示进一步包括可用于主授权实体的多个接入特权的子集的表示，且其中所述接入模块可操作以接收直接或通过任一数目的其它次级实体将所述所接收接入凭证链接到所述主授权实体的凭证链，且其中所述结果包括：接入被准予是基于所述接入鉴别过程验证了所有所述链接的凭证皆允许对所述至少一个装置资源的接入。
13.根据权利要求12所述的装置，其中所述凭证链进一步包括主授权实体凭证和至少一个次级凭证，其中所述接入凭证、所述主授权实体凭证和至少一个次级凭证是在同一时间或在不同时间被接收。
14.根据权利要求10所述的装置，其中所述至少一个接入特权表示进一步包括基于与所述接入者装置相关联的组织功能的特权。
15.根据权利要求10所述的装置，其中所述至少一个接入特权表示进一步包括实际特权、范围大于对应于所述授权实体的授权实体特权的特权或未知未来特权中的至少一者。
16.一种提供对被接入者装置上的装置资源的接入的方法，其包括：
接收对应于接入者装置的接入凭证、身份证据和对与所述被接入者装置上的至少一个装置资源的交互的请求，其中所述接入凭证与授权实体相关联，所述授权实体与所述被接入者装置具有直接或间接信任关系，且其中所述接入凭证包含修改检测指示符、至少一个接入特权表示和接入者公钥，其中所述修改检测指示符由所述授权实体创建；
执行接入鉴别过程，所述接入鉴别过程基于所述修改检测指示符而验证所述接入凭证的真实性，基于所述接入者公钥而验证所提供的所述身份证据，且验证所述接入凭证中的所述至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权；以及
传输所述接入鉴别过程的结果，其中所述接入鉴别过程的所述结果包括准予或拒绝对所述至少一个装置资源的接入。
17.根据权利要求16所述的方法，其中接收所述接入凭证进一步包括接收由具有次级凭证的次级授权实体授予的所述接入凭证，所述次级凭证直接或通过任一数目的其它次级凭证链接到主授权实体凭证，且其中传输包括所述接入准予的所述结果进一步包括：验证从所述次级凭证直到所述主授权实体凭证且包含所述主授权实体凭证的所有所述链接的凭证皆允许对所述至少一个装置资源的接入。
18.根据权利要求17所述的方法，其中接收包含所述至少一个接入特权表示的所述接入凭证进一步包括接收可用于主授权实体的多个接入特权的子集的表示，且进一步包括接收直接或通过任一数目的其它次级实体将所述所接收接入凭证链接到所述主授权实体的凭证链，且其中传输所述鉴别过程的包括所述接入准予的所述结果进一步包括：验证所有所述链接的凭证皆允许对所述至少一个装置资源的接入。
19.根据权利要求18所述的方法，其中接收所述凭证链进一步包括接收主授权实体凭证和至少一个次级凭证。
20.根据权利要求16所述的方法，其中接收包含所述至少一个接入特权表示的所述接入凭证进一步包括接收基于与所述接入者装置相关联的组织功能的特权。
21.根据权利要求16所述的方法，其进一步包括使所述至少一个接入特权表示与至少一个通信接口相关联，以使得与所述接入特权表示相关联的与所述接入者装置的交互限于所述至少一个通信接口。
22.根据权利要求16所述的方法，其中接收包含所述至少一个接入特权表示的所述接入凭证进一步包括接收实际特权、范围大于对应于所述授权实体的授权实体特权的特权或未知未来特权中的至少一者。
23.至少一种经配置以提供对装置资源的接入的处理器，其包括：
第一模块，其用于接收对应于接入者装置的接入凭证、身份证据和对与被接入者装置上的至少一个装置资源的交互的请求，其中所述接入凭证与授权实体相关联，所述授权实体与所述被接入者装置具有直接或间接信任关系，且其中所述接入凭证包含修改检测指示符、至少一个接入特权表示和接入者公钥，其中所述修改检测指示符由所述授权实体创建；
第二模块，其用于执行接入鉴别过程，所述接入鉴别过程基于所述修改检测指示符而验证所述接入凭证的真实性，基于所述接入者公钥而验证所提供的所述身份证据，且验证所述接入凭证中的所述至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权；以及
第三模块，其用于传输所述接入鉴别过程的结果，其中所述接入鉴别过程的所述结果包括准予或拒绝对所述至少一个装置资源的接入。
24.一种计算机程序产品，其包括：
计算机可读媒体，其包括：
用于致使计算机接收对应于接入者装置的接入凭证、身份证据和对与被接入者装置上的至少一个装置资源的交互的请求的至少一个指令，其中所述接入凭证与授权实体相关联，所述授权实体与所述被接入者装置具有直接或间接信任关系，且其中所述接入凭证包含修改检测指示符、至少一个接入特权表示和接入者公钥，其中所述修改检测指示符由所述授权实体创建；
用于致使所述计算机执行接入鉴别过程的至少一个指令，所述接入鉴别过程基于所述修改检测指示符而验证所述接入凭证的真实性，基于所述接入者公钥而验证所提供的所述身份证据，且验证所述接入凭证中的所述至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权；以及
用于致使所述计算机传输所述接入鉴别过程的结果的至少一个指令，其中所述接入鉴别过程的所述结果包括准予或拒绝对所述至少一个装置资源的接入。
25.一种通信装置，其包括：
用于接收对应于接入者装置的接入凭证、身份证据和对与所述被接入者装置上的至少一个装置资源的交互的请求的装置，其中所述接入凭证与授权实体相关联，所述授权实体与所述被接入者装置具有直接或间接信任关系，且其中所述接入凭证包含修改检测指示符、至少一个接入特权表示和接入者公钥，其中所述修改检测指示符由所述授权实体创建；
用于执行接入鉴别过程的装置，所述接入鉴别过程基于所述修改检测指示符而验证所述接入凭证的真实性，基于所述接入者公钥而验证所提供的所述身份证据，且验证所述接入凭证中的所述至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权；以及
用于传输所述接入鉴别过程的结果的装置，其中所述接入鉴别过程的所述结果包括准予或拒绝对所述至少一个装置资源的接入。
26.一种用于提供对资源的接入的被接入者装置，其包括：
处理器；
至少一个装置资源，其与所述处理器通信；
存储器，其与所述处理器通信；以及
接入授权模块，其存储在所述存储器中且可由所述处理器执行，其中所述接入授权模块包括接入授权过程，且其中所述接入授权模块可操作以：
接收对应于接入者装置的接入凭证、身份证据和对与所述被接入者装置上的至少一个装置资源的交互的请求，其中所述接入凭证与授权实体相关联，所述授权实体与所述被接入者装置具有直接或间接信任关系，且其中所述接入凭证包含修改检测指示符、至少一个接入特权表示和接入者公钥，其中所述修改检测指示符由所述授权实体创建；
执行接入鉴别过程，所述接入鉴别过程基于所述修改检测指示符而验证所述接入凭证的真实性，基于所述接入者公钥而验证所提供的所述身份证据，且验证所述接入凭证中的所述至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权；以及
传输所述接入鉴别过程的结果，其中所述接入鉴别过程的所述结果包括准予或拒绝对所述至少一个装置资源的接入。
27.根据权利要求26所述的装置，其中所述接入凭证由具有次级凭证的次级授权实体授予，所述次级凭证直接或通过任一数目的其它次级凭证链接到主授权实体凭证，且其中接收包括所述接入准予的所述结果是基于所述接入鉴别过程验证从所述次级凭证直到所述主授权实体凭证且包含所述主授权实体凭证的所有所述链接的凭证皆允许对所述至少一个装置资源的接入。
28.根据权利要求26所述的装置，其中所述至少一个接入特权表示进一步包括直接或通过任一数目的其它次级实体而可用于主授权实体的多个接入特权的子集的表示，且其中传输包括所述接入准予的所述鉴别过程的所述结果是基于所述接入鉴别过程验证所有所述链接的凭证皆允许对所述至少一个装置资源的接入。
29.根据权利要求26所述的装置，其中所述接入凭证进一步包括凭证链，所述凭证链进一步包括主授权实体凭证和至少一个次级凭证。
30.根据权利要求26所述的装置，其中所述至少一个接入特权表示包括基于与所述接入者装置相关联的组织功能的特权。
31.根据权利要求26所述的装置，其中所述接入授权模块进一步可操作以使所述至少一个接入特权表示与至少一个通信接口相关联，以使得与所述至少一个接入特权表示相关联的与所述接入者装置的交互限于所述至少一个通信接口。
32.根据权利要求26所述的装置，其中所述接入凭证限制所述至少一个接入特权表示供与所述至少一个装置资源相关联地使用和经由至少一个通信接口而使用，以使得对所述至少一个装置资源的接入限于所述对应的至少一个通信接口。
33.根据权利要求26所述的装置，其中所述接入授权模块进一步可操作以经由预定通信信道而与所述接入者装置通信。
34.根据权利要求26所述的装置，其中所述至少一个接入特权表示包括实际特权、范围大于对应于所述授权实体的授权实体特权的特权或未知未来特权中的至少一者。
35.一种用于授权接入者装置与被接入者装置上的资源交互的方法，其包括：
产生与授权实体相关联的接入凭证，所述授权实体与被接入者装置具有直接或间接信任关系，其中所述接入凭证包含修改检测指示符、至少一个接入特权表示和接入者公钥，其中所述修改检测指示符由所述授权实体创建；以及
传达所述接入凭证，其中所述接入凭证可操作以基于由所述被接入者装置执行的接入鉴别过程，根据所述至少一个接入特权表示而将所述接入者装置授权至所述被接入者装置且允许与所述被接入者装置上的至少一个装置资源的交互，所述接入鉴别过程基于所述修改检测指示符而验证所述接入凭证的真实性，基于所述接入者公钥而验证所述接入者装置的身份证据，且验证所述接入凭证中的所述至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权，其中所述接入鉴别过程的结果包括被准予或拒绝对所述至少一个装置资源的接入。
36.根据权利要求35所述的方法，其中产生所述接入凭证进一步包括在具有次级凭证的次级授权实体处产生所述接入凭证，所述次级凭证直接或通过任一数目的其它次级凭证链接到主授权实体凭证，且其中包括接入被准予的所述结果是基于所述接入鉴别过程验证从所述次级凭证直到所述主授权实体凭证且包含所述主授权实体凭证的所有所述链接的凭证皆允许对所述至少一个装置资源的接入。
37.根据权利要求35所述的方法，其中产生包含所述至少一个接入特权表示的所述接入凭证进一步包括基于可用于主授权实体的多个接入特权的子集来进行产生，且进一步包括附接直接或通过任一数目的其它次级实体将所述所接收接入凭证链接到所述主授权实体的凭证链，且其中所述鉴别过程的包括接入被准予的所述结果是基于所述接入鉴别过程验证所有所述链接的凭证皆允许对所述至少一个装置资源的接入。
38.根据权利要求37所述的方法，其进一步包括接收主授权实体凭证和至少一个次级凭证。
39.根据权利要求38所述的方法，其中产生所述接入凭证进一步包括产生对应于所述至少一个接入特权表示的有效性指示符，其中所述有效性指示符可操作以界定以下各项中的至少一者：所述至少一个接入特权表示有效的时间周期、基于使用的限制、基于位置的限制、基于装置状态的限制，或通信接口限制。
40.根据权利要求35所述的方法，其中产生包含所述至少一个接入特权表示的所述接入凭证进一步包括：包含基于与所述接入者装置相关联的组织功能的所述接入特权中的一者或一者以上。
41.根据权利要求35所述的方法，其进一步包括基于至少一个被接入者装置通信接口与所述至少一个接入特权表示或所述至少一个装置资源中的至少一者之间的关联来限制所述接入凭证的使用。
42.至少一种经配置以授权接入者装置与被接入者装置上的资源交互的处理器，其包括：
第一模块，其用于产生与授权实体相关联的接入凭证，所述授权实体与被接入者装置具有直接或间接信任关系，其中所述接入凭证包含修改检测指示符、至少一个接入特权表示和接入者公钥，其中所述修改检测指示符由所述授权实体创建；以及
第二模块，其用于传达所述接入凭证，其中所述接入凭证可操作以基于由所述被接入者装置执行的接入鉴别过程，根据所述至少一个接入特权表示而将所述接入者装置授权至所述被接入者装置且允许与所述被接入者装置上的至少一个装置资源的交互，所述接入鉴别过程基于所述修改检测指示符而验证所述接入凭证的真实性，基于所述接入者公钥而验证所述接入者装置的身份证据，且验证所述接入凭证中的所述至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权，其中所述接入鉴别过程的结果包括被准予或拒绝对所述至少一个装置资源的接入。
43.一种计算机程序产品，其包括：
计算机可读媒体，其包括：
用于致使计算机产生与授权实体相关联的接入凭证的至少一个指令，所述授权实体与被接入者装置具有直接或间接信任关系，其中所述接入凭证包含修改检测指示符、至少一个接入特权表示和接入者公钥，其中所述修改检测指示符由所述授权实体创建；以及
用于致使计算机传达所述接入凭证的至少一个指令，其中所述接入凭证可操作以基于由所述被接入者装置执行的接入鉴别过程，根据所述至少一个接入特权表示而将所述接入者装置授权至所述被接入者装置且允许与所述被接入者装置上的至少一个装置资源的交互，所述接入鉴别过程基于所述修改检测指示符而验证所述接入凭证的真实性，基于所述接入者公钥而验证所述接入者装置的身份证据，且验证所述接入凭证中的所述至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权，其中所述接入鉴别过程的结果包括被准予或拒绝对所述至少一个装置资源的接入。
44.一种授权装置，其包括：
用于产生与授权实体相关联的接入凭证的装置，所述授权实体与被接入者装置具有直接或间接信任关系，其中所述接入凭证包含修改检测指示符、至少一个接入特权表示和接入者公钥，其中所述修改检测指示符由所述授权实体创建；以及
用于传达所述接入凭证的装置，其中所述接入凭证可操作以基于由所述被接入者装置执行的接入鉴别过程，根据所述至少一个接入特权表示而将所述接入者装置授权至所述被接入者装置且允许与所述被接入者装置上的至少一个装置资源的交互，所述接入鉴别过程基于所述修改检测指示符而验证所述接入凭证的真实性，基于所述接入者公钥而验证所述接入者装置的身份证据，且验证所述接入凭证中的所述至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权，其中所述接入鉴别过程的结果包括被准予或拒绝对所述至少一个装置资源的接入。
45.一种用于授权接入者装置接入被接入者装置上的资源的装置，其包括：
处理器；
存储器，其与所述处理器通信；
凭证管理模块，其存储在所述存储器中，可由所述处理器执行且包含特权建立模块，所述特权建立模块可操作以产生与授权实体相关联的接入凭证，所述授权实体与被接入者装置具有直接或间接信任关系，其中所述接入凭证包含修改检测指示符、至少一个接入特权表示和接入者公钥，其中所述修改检测指示符由所述授权实体创建；以及
通信模块，其与所述处理器通信且可操作以传达所述接入凭证，其中所述接入凭证可操作以基于由所述被接入者装置执行的接入鉴别过程，根据所述至少一个接入特权表示而将所述接入者装置授权至所述被接入者装置且允许与所述被接入者装置上的至少一个装置资源的交互，所述接入鉴别过程基于所述修改检测指示符而验证所述接入凭证的真实性，基于所述接入者公钥而验证所述接入者装置的身份证据，且验证所述接入凭证中的所述至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权，其中所述接入鉴别过程的结果包括被准予或拒绝对所述至少一个装置资源的接入。
46.根据权利要求45所述的装置，其中所述特权建立模块进一步可操作以在具有次级凭证的次级授权实体处产生所述接入凭证，所述次级凭证直接或通过任一数目的其它次级凭证链接到主授权实体凭证，且其中包括接入被准予的所述结果是基于所述接入鉴别过程验证从所述次级凭证直到所述主授权实体凭证且包含所述主授权实体凭证的所有所述链接的凭证皆允许对所述至少一个装置资源的接入。
47.根据权利要求45所述的装置，其中包含所述至少一个接入特权表示的所述接入凭证包括可用于主授权实体的多个接入特权的子集，且其中所述特权建立模块进一步可操作以产生包含直接或通过任一数目的其它次级实体将所述接入凭证链接到所述主授权实体的凭证链的所述接入凭证，且其中所述鉴别过程的包括接入被准予的所述结果是基于所述接入鉴别过程验证所有所述链接的凭证皆允许对所述至少一个装置资源的接入。
48.根据权利要求47所述的装置，其中所述凭证链进一步包括主授权实体凭证和至少一个次级凭证。
49.根据权利要求45所述的装置，其中所述接入凭证进一步包括对应于所述至少一个接入特权表示的有效性指示符，其中所述有效性指示符可操作以界定以下各项中的至少一者：所述至少一个接入特权表示有效的时间周期、基于使用的限制、基于位置的限制、基于装置状态的限制，或通信接口限制。
50.根据权利要求45所述的装置，其中所述至少一个接入特权表示是基于与所述接入者装置相关联的组织功能。
51.根据权利要求45所述的装置，其中所述特权建立模块进一步包含被接入者装置通信接口与所述至少一个接入特权表示和所述至少一个装置资源中的至少一者之间的关联，其中包含所述至少一个接入特权表示的所述接入凭证是基于所述关联而产生。
52.一种获得对另一装置上的受限制资源的经授权接入的方法，其包括：
在接入者装置处接收与授权实体相关联的接入凭证的接入凭证识别符，所述授权实体与被接入者装置具有直接或间接信任关系；
传达所述接入凭证识别符、身份证据以及对与被接入者装置上的至少一个装置资源的交互的请求；以及
接收接入鉴别过程的结果，所述接入鉴别过程基于对应的修改检测指示符而验证所述接入凭证的真实性，基于对应的接入者公钥而验证所提供的所述身份证据，且验证所述接入凭证中的至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权，其中所述接入鉴别过程的所述结果包括被准予或拒绝对所述至少一个装置资源的接入。
53.根据权利要求52所述的方法，其中接收所述接入凭证识别符进一步包括接收由具有次级凭证的次级授权实体授予的所述接入凭证，所述次级凭证直接或通过任一数目的其它次级凭证链接到主授权实体凭证，且其中接收包括接入被准予的所述结果是基于所述接入鉴别过程验证从所述次级凭证直到所述主授权实体凭证且包含所述主授权实体凭证的所有所述链接的凭证皆允许对所述至少一个装置资源的接入。
54.根据权利要求52所述的方法，其中所述接入凭证识别符对应于可用于主授权实体的多个接入特权的子集的表示，且进一步包括接收直接或通过任一数目的其它次级实体将所述接入凭证链接到所述主授权实体的凭证链的链识别符，且其中接收所述鉴别过程的包括接入被准予的所述结果是基于所述接入鉴别过程验证所有所述链接的凭证皆允许对所述至少一个装置资源的接入。
55.根据权利要求54所述的方法，其中接收所述链识别符进一步包括接收主授权实体凭证识别符和至少一个次级凭证识别符，其中接收所述接入凭证识别符、所述主授权实体凭证识别符和至少一个次级凭证识别符在同一时间或在不同时间发生。
56.根据权利要求52所述的方法，其中所述接入凭证识别符进一步对应于基于与所述接入者装置相关联的组织功能的特权。
57.根据权利要求52所述的方法，其中所述接入凭证识别符进一步对应于实际特权、范围大于对应于所述授权实体的授权实体特权的特权或未知未来特权中的至少一者。
58.至少一种经配置以获得对另一装置上的受限制资源的经授权接入的处理器，其包括：
第一模块，其用于接收与授权实体相关联的接入凭证的接入凭证识别符，所述授权实体与被接入者装置具有直接或间接信任关系；
第二模块，其用于传达所述接入凭证识别符、身份证据以及对与被接入者装置上的至少一个装置资源的交互的请求；以及
第三模块，其用于接收接入鉴别过程的结果，所述接入鉴别过程基于修改检测指示符而验证所述接入凭证的真实性，基于接入者公钥而验证所提供的所述身份证据，且验证所述接入凭证中的至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权，其中所述接入鉴别过程的所述结果包括被准予或拒绝对所述至少一个装置资源的接入。
59.一种计算机程序产品，其包括：
计算机可读媒体，其包括：
可操作以致使计算机接收与授权实体相关联的接入凭证的接入凭证识别符的至少一个指令，所述授权实体与被接入者装置具有直接或间接信任关系；
可操作以致使所述计算机传达所述接入凭证识别符、身份证据以及对与被接入者装置上的至少一个装置资源的交互的请求的至少一个指令；以及
可操作以致使所述计算机接收接入鉴别的结果的至少一个指令，所述接入鉴别基于修改检测指示符而验证所述接入凭证的真实性，基于接入者公钥而验证所提供的所述身份证据，且验证所述接入凭证中的至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权，其中所述接入鉴别过程的所述结果包括被准予或拒绝对所述至少一个装置资源的接入。
60.一种通信装置，其包括：
用于接收与授权实体相关联的接入凭证的接入凭证识别符的装置，所述授权实体与被接入者装置具有直接或间接信任关系；
用于传达所述接入凭证识别符、身份证据以及对与被接入者装置上的至少一个装置资源的交互的请求的装置；以及
用于接收接入鉴别过程的结果的装置，所述接入鉴别过程基于修改检测指示符而验证所述接入凭证的真实性，基于接入者公钥而验证所提供的所述身份证据，且验证所述接入凭证中的至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权，其中所述接入鉴别过程的所述结果包括被准予或拒绝对所述至少一个装置资源的接入。
61.一种用于接入被接入者装置上的资源的接入者装置，其包括：
处理器；
存储器，其与所述处理器通信；以及
接入模块，其存储在所述存储器中且可由所述处理器执行，其中所述接入模块可操作以：
接收与授权实体相关联的接入凭证的接入凭证识别符，所述授权实体与被接入者装置具有直接或间接信任关系；
起始所述接入凭证识别符、身份证据以及对与所述被接入者装置上的至少一个装置资源的交互的请求的传达；以及
接收接入鉴别过程的结果，所述接入鉴别过程基于修改检测指示符而验证所述接入凭证的真实性，基于接入者公钥而验证所提供的所述身份证据，且验证所述接入凭证中的至少一个接入特权表示对应于所述交互请求中的接入所述至少一个装置资源的特权，其中所述接入鉴别过程的所述结果包括被准予或拒绝对所述至少一个装置资源的接入。
62.根据权利要求61所述的装置，其中所述接入凭证识别符由具有次级凭证的次级授权实体授予，所述次级凭证直接或通过任一数目的其它次级凭证链接到主授权实体凭证，且其中包括接入被准予的所述结果是基于所述接入鉴别过程验证从所述次级凭证直到所述主授权实体凭证且包含所述主授权实体凭证的所有所述链接的凭证皆允许对所述至少一个装置资源的接入。
63.根据权利要求61所述的装置，其中所述接入凭证识别符对应于可用于主授权实体的多个接入特权的子集，且其中所述接入模块可操作以接收直接或通过任一数目的其它次级实体将所述接入凭证链接到所述主授权实体的凭证链的链识别符，且其中包括接入被准予的所述结果是基于所述接入鉴别过程验证所有所述链接的凭证皆允许对所述至少一个装置资源的接入。
64.根据权利要求63所述的装置，其中所述链识别符进一步包括主授权实体凭证识别符和至少一个次级凭证识别符，其中所述接入凭证识别符、所述主授权实体凭证识别符和至少一个次级凭证识别符是在同一时间或在不同时间被接收。
65.根据权利要求61所述的装置，其中所述接入凭证识别符对应于基于与所述接入者装置相关联的组织功能的特权。
66.根据权利要求61所述的装置，其中所述接入凭证识别符对应于实际特权、范围大于对应于所述授权实体的授权实体特权的特权或未知未来特权中的至少一者。
CN200980151384.4A 2008-12-28 2009-12-22 用于提供经授权装置接入的设备和方法 Active CN102257505B (zh)

Applications Claiming Priority (5)

Application Number Priority Date Filing Date Title
US14096908P 2008-12-28 2008-12-28
US61/140,969 2008-12-28
US12/641,305 US8505078B2 (en) 2008-12-28 2009-12-17 Apparatus and methods for providing authorized device access
US12/641,305 2009-12-17
PCT/US2009/069126 WO2010075343A2 (en) 2008-12-28 2009-12-22 Apparatus and methods for providing authorized device access

Publications (2)

Publication Number Publication Date
CN102257505A true CN102257505A (zh) 2011-11-23
CN102257505B CN102257505B (zh) 2015-12-16

Family

ID=41786197

Family Applications (1)

Application Number Title Priority Date Filing Date
CN200980151384.4A Active CN102257505B (zh) 2008-12-28 2009-12-22 用于提供经授权装置接入的设备和方法

Country Status (6)

Country Link
US (2) US8505078B2 (zh)
EP (1) EP2382573A2 (zh)
JP (1) JP5680548B2 (zh)
KR (1) KR101313480B1 (zh)
CN (1) CN102257505B (zh)
WO (1) WO2010075343A2 (zh)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103338196A (zh) * 2013-06-17 2013-10-02 上海华和得易信息技术发展有限公司 一种用于信息的认证授权和安全使用的方法与系统
CN104541474A (zh) * 2012-08-10 2015-04-22 密码研究公司 集成电路中的安全特征和密钥管理
CN106576244A (zh) * 2014-07-31 2017-04-19 高通股份有限公司 使设备接入到安全本地网络
TWI620084B (zh) * 2013-09-16 2018-04-01 安訊士有限公司 散發使用者憑證之裝置、方法及系統
CN110837633A (zh) * 2019-10-16 2020-02-25 支付宝(杭州)信息技术有限公司 智能凭证实现方法、系统及可读存储介质

Families Citing this family (211)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10181953B1 (en) 2013-09-16 2019-01-15 Amazon Technologies, Inc. Trusted data verification
CN104200145B (zh) 2007-09-24 2020-10-27 苹果公司 电子设备中的嵌入式验证系统
US8600120B2 (en) 2008-01-03 2013-12-03 Apple Inc. Personal computing device control using face detection and recognition
US8505078B2 (en) 2008-12-28 2013-08-06 Qualcomm Incorporated Apparatus and methods for providing authorized device access
US8433296B2 (en) 2009-05-01 2013-04-30 Ryan Hardin Exclusive delivery of content within geographic areas
US8989705B1 (en) 2009-06-18 2015-03-24 Sprint Communications Company L.P. Secure placement of centralized media controller application in mobile access terminal
US8867720B2 (en) * 2010-01-04 2014-10-21 Blackberry Limited Method and system for enhanced conference call security
US8931059B2 (en) * 2010-07-06 2015-01-06 Google & Technology Holdings LLC Method and apparatus for cross DRM domain registration
JP5129313B2 (ja) * 2010-10-29 2013-01-30 株式会社東芝 アクセス認可装置
US9064116B2 (en) 2010-11-08 2015-06-23 Intel Corporation Techniques for security management provisioning at a data storage device
US20120129513A1 (en) * 2010-11-24 2012-05-24 Frode Van Der Laak Apparatus, systems and methods for programmable sim card using over the air communicated information
US9237155B1 (en) 2010-12-06 2016-01-12 Amazon Technologies, Inc. Distributed policy enforcement with optimizing policy transformations
US9258312B1 (en) 2010-12-06 2016-02-09 Amazon Technologies, Inc. Distributed policy enforcement with verification mode
US20120266217A1 (en) * 2011-04-15 2012-10-18 Skype Limited Permitting Access To A Network
WO2012144849A2 (en) * 2011-04-20 2012-10-26 Innodis Co. Ltd Access authentication method for multiple devices and platforms
US8769642B1 (en) 2011-05-31 2014-07-01 Amazon Technologies, Inc. Techniques for delegation of access privileges
US8973108B1 (en) 2011-05-31 2015-03-03 Amazon Technologies, Inc. Use of metadata for computing resource access
US9292358B2 (en) * 2011-06-13 2016-03-22 Microsoft Technology Licensing, Llc Remotely retrieving information from consumer devices
US9178701B2 (en) 2011-09-29 2015-11-03 Amazon Technologies, Inc. Parameter based key derivation
US8769624B2 (en) * 2011-09-29 2014-07-01 Apple Inc. Access control utilizing indirect authentication
US9002322B2 (en) 2011-09-29 2015-04-07 Apple Inc. Authentication with secondary approver
US9197409B2 (en) 2011-09-29 2015-11-24 Amazon Technologies, Inc. Key derivation techniques
US9203613B2 (en) 2011-09-29 2015-12-01 Amazon Technologies, Inc. Techniques for client constructed sessions
US9280377B2 (en) 2013-03-29 2016-03-08 Citrix Systems, Inc. Application with multiple operation modes
US9143530B2 (en) 2011-10-11 2015-09-22 Citrix Systems, Inc. Secure container for protecting enterprise data on a mobile device
WO2013055970A2 (en) * 2011-10-11 2013-04-18 Tangome, Inc. Authenticating device users
US20140032733A1 (en) 2011-10-11 2014-01-30 Citrix Systems, Inc. Policy-Based Application Management
US9043918B2 (en) * 2011-10-13 2015-05-26 Mcafee, Inc. System and method for profile based filtering of outgoing information in a mobile environment
US9037653B2 (en) 2011-12-09 2015-05-19 Facebook, Inc. Mobile ad hoc networking
CN103164636B (zh) * 2011-12-09 2015-12-09 北大方正集团有限公司 一种在线阅读数字内容鉴权的方法及系统
US9020973B2 (en) * 2011-12-27 2015-04-28 Sap Se User interface model driven data access control
US10135613B2 (en) * 2012-01-13 2018-11-20 Qualcomm Incorporated Method and apparatus for generating a privilege-based key
US8739308B1 (en) 2012-03-27 2014-05-27 Amazon Technologies, Inc. Source identification for unauthorized copies of content
US9215076B1 (en) 2012-03-27 2015-12-15 Amazon Technologies, Inc. Key generation for hierarchical data access
US8892865B1 (en) 2012-03-27 2014-11-18 Amazon Technologies, Inc. Multiple authority key derivation
WO2013160525A1 (en) * 2012-04-26 2013-10-31 Nokia Corporation Method and apparatus for controlling wireless network access parameter sharing
US9027102B2 (en) 2012-05-11 2015-05-05 Sprint Communications Company L.P. Web server bypass of backend process on near field communications and secure element chips
US8862181B1 (en) 2012-05-29 2014-10-14 Sprint Communications Company L.P. Electronic purchase transaction trust infrastructure
US9258118B1 (en) 2012-06-25 2016-02-09 Amazon Technologies, Inc. Decentralized verification in a distributed system
US9282898B2 (en) 2012-06-25 2016-03-15 Sprint Communications Company L.P. End-to-end trusted communications infrastructure
US9660972B1 (en) 2012-06-25 2017-05-23 Amazon Technologies, Inc. Protection from data security threats
US9066230B1 (en) 2012-06-27 2015-06-23 Sprint Communications Company L.P. Trusted policy and charging enforcement function
US8649770B1 (en) 2012-07-02 2014-02-11 Sprint Communications Company, L.P. Extended trusted security zone radio modem
US9269358B1 (en) 2012-07-11 2016-02-23 Microstrategy Incorporated User credentials
US9887992B1 (en) 2012-07-11 2018-02-06 Microstrategy Incorporated Sight codes for website authentication
US10204073B2 (en) 2012-07-12 2019-02-12 Pismo Labs Technology Limited Managing actions of a network device based on policy settings corresponding to a removable wireless communication device
WO2014009777A1 (en) * 2012-07-12 2014-01-16 Pismo Labs Technology Ltd. Managing actions of a network device
US8667607B2 (en) 2012-07-24 2014-03-04 Sprint Communications Company L.P. Trusted security zone access to peripheral devices
US8863252B1 (en) 2012-07-25 2014-10-14 Sprint Communications Company L.P. Trusted access to third party applications systems and methods
US9183412B2 (en) 2012-08-10 2015-11-10 Sprint Communications Company L.P. Systems and methods for provisioning and using multiple trusted security zones on an electronic device
US9215180B1 (en) 2012-08-25 2015-12-15 Sprint Communications Company L.P. File retrieval in real-time brokering of digital content
US8954588B1 (en) 2012-08-25 2015-02-10 Sprint Communications Company L.P. Reservations in real-time brokering of digital content delivery
US9015068B1 (en) 2012-08-25 2015-04-21 Sprint Communications Company L.P. Framework for real-time brokering of digital content delivery
JP5861597B2 (ja) * 2012-08-30 2016-02-16 トヨタ自動車株式会社 認証システムおよび認証方法
US8539567B1 (en) 2012-09-22 2013-09-17 Nest Labs, Inc. Multi-tiered authentication methods for facilitating communications amongst smart home devices and cloud-based servers
US20150213255A1 (en) * 2012-09-24 2015-07-30 Hewlett Packard Development Company, L.P. Authentication system
US8983434B2 (en) * 2012-10-08 2015-03-17 At&T Intellectual Property I, L.P. Managing opt-in and opt-out for private data access
US9774658B2 (en) 2012-10-12 2017-09-26 Citrix Systems, Inc. Orchestration framework for connected devices
US20140108558A1 (en) * 2012-10-12 2014-04-17 Citrix Systems, Inc. Application Management Framework for Secure Data Sharing in an Orchestration Framework for Connected Devices
US20140109176A1 (en) 2012-10-15 2014-04-17 Citrix Systems, Inc. Configuring and providing profiles that manage execution of mobile applications
US8910239B2 (en) 2012-10-15 2014-12-09 Citrix Systems, Inc. Providing virtualized private network tunnels
US9606774B2 (en) 2012-10-16 2017-03-28 Citrix Systems, Inc. Wrapping an application with field-programmable business logic
US20140108793A1 (en) 2012-10-16 2014-04-17 Citrix Systems, Inc. Controlling mobile device access to secure data
US9971585B2 (en) 2012-10-16 2018-05-15 Citrix Systems, Inc. Wrapping unmanaged applications on a mobile device
US20140109072A1 (en) 2012-10-16 2014-04-17 Citrix Systems, Inc. Application wrapping for application management framework
US8775807B1 (en) 2012-10-26 2014-07-08 Microstrategy Incorporated Credential tracking
IL222847A (en) * 2012-11-04 2015-05-31 Aron Tevyowitz Hierarchical code lock system
JP5880401B2 (ja) * 2012-11-15 2016-03-09 富士ゼロックス株式会社 通信装置及びプログラム
US9640001B1 (en) 2012-11-30 2017-05-02 Microstrategy Incorporated Time-varying representations of user credentials
US9178859B1 (en) * 2013-01-11 2015-11-03 Cisco Technology, Inc. Network equipment authentication
US9418213B1 (en) 2013-02-06 2016-08-16 Amazon Technologies, Inc. Delegated permissions in a distributed electronic environment
US9466051B1 (en) * 2013-02-06 2016-10-11 Amazon Technologies, Inc. Funding access in a distributed electronic environment
US9578664B1 (en) 2013-02-07 2017-02-21 Sprint Communications Company L.P. Trusted signaling in 3GPP interfaces in a network function virtualization wireless communication system
US9161227B1 (en) 2013-02-07 2015-10-13 Sprint Communications Company L.P. Trusted signaling in long term evolution (LTE) 4G wireless communication
US9104840B1 (en) 2013-03-05 2015-08-11 Sprint Communications Company L.P. Trusted security zone watermark
US8881977B1 (en) 2013-03-13 2014-11-11 Sprint Communications Company L.P. Point-of-sale and automated teller machine transactions using trusted mobile access device
US9613208B1 (en) 2013-03-13 2017-04-04 Sprint Communications Company L.P. Trusted security zone enhanced with trusted hardware drivers
US9154303B1 (en) 2013-03-14 2015-10-06 Microstrategy Incorporated Third-party authorization of user credentials
US9049013B2 (en) 2013-03-14 2015-06-02 Sprint Communications Company L.P. Trusted security zone containers for the protection and confidentiality of trusted service manager data
US9049186B1 (en) 2013-03-14 2015-06-02 Sprint Communications Company L.P. Trusted security zone re-provisioning and re-use capability for refurbished mobile devices
US9374363B1 (en) 2013-03-15 2016-06-21 Sprint Communications Company L.P. Restricting access of a portable communication device to confidential data or applications via a remote network based on event triggers generated by the portable communication device
US9443229B2 (en) 2013-03-15 2016-09-13 Elemica, Inc. Supply chain message management and shipment constraint optimization
US8984592B1 (en) 2013-03-15 2015-03-17 Sprint Communications Company L.P. Enablement of a trusted security zone authentication for remote mobile device management systems and methods
US10177915B2 (en) 2013-03-15 2019-01-08 Ologn Technologies Ag Systems, methods and apparatuses for device attestation based on speed of computation
WO2014143776A2 (en) 2013-03-15 2014-09-18 Bodhi Technology Ventures Llc Providing remote interactions with host device using a wireless device
US9224135B2 (en) 2013-03-15 2015-12-29 Elemica, Inc. Method and apparatus for adaptive configuration for translation of business messages
US9191388B1 (en) 2013-03-15 2015-11-17 Sprint Communications Company L.P. Trusted security zone communication addressing on an electronic device
US9698991B2 (en) 2013-03-15 2017-07-04 Ologn Technologies Ag Systems, methods and apparatuses for device attestation based on speed of computation
US8904528B2 (en) 2013-03-15 2014-12-02 Elemica, Inc. Method and apparatus for translation of business messages
US9021585B1 (en) 2013-03-15 2015-04-28 Sprint Communications Company L.P. JTAG fuse vulnerability determination and protection using a trusted execution environment
US9985850B2 (en) 2013-03-29 2018-05-29 Citrix Systems, Inc. Providing mobile device management functionalities
US10284627B2 (en) 2013-03-29 2019-05-07 Citrix Systems, Inc. Data management for an application with multiple operation modes
US9413736B2 (en) 2013-03-29 2016-08-09 Citrix Systems, Inc. Providing an enterprise application store
US9355223B2 (en) 2013-03-29 2016-05-31 Citrix Systems, Inc. Providing a managed browser
US9171243B1 (en) 2013-04-04 2015-10-27 Sprint Communications Company L.P. System for managing a digest of biographical information stored in a radio frequency identity chip coupled to a mobile communication device
US9454723B1 (en) 2013-04-04 2016-09-27 Sprint Communications Company L.P. Radio frequency identity (RFID) chip electrically and communicatively coupled to motherboard of mobile communication device
US9324016B1 (en) 2013-04-04 2016-04-26 Sprint Communications Company L.P. Digest of biographical information for an electronic device with static and dynamic portions
US9838869B1 (en) 2013-04-10 2017-12-05 Sprint Communications Company L.P. Delivering digital content to a mobile device via a digital rights clearing house
US9443088B1 (en) 2013-04-15 2016-09-13 Sprint Communications Company L.P. Protection for multimedia files pre-downloaded to a mobile device
US9069952B1 (en) 2013-05-20 2015-06-30 Sprint Communications Company L.P. Method for enabling hardware assisted operating system region for safe execution of untrusted code using trusted transitional memory
US9560519B1 (en) 2013-06-06 2017-01-31 Sprint Communications Company L.P. Mobile communication device profound identity brokering framework
US9407440B2 (en) 2013-06-20 2016-08-02 Amazon Technologies, Inc. Multiple authority data security and access
US9203827B2 (en) * 2013-06-24 2015-12-01 Infosys Limited Methods for determining authentication requirements of information centric network based services and devices thereof
US9183606B1 (en) 2013-07-10 2015-11-10 Sprint Communications Company L.P. Trusted processing location within a graphics processing unit
US9521000B1 (en) 2013-07-17 2016-12-13 Amazon Technologies, Inc. Complete forward access sessions
US9026873B2 (en) * 2013-07-23 2015-05-05 Altera Coporation Method and apparatus for securing configuration scan chains of a programmable device
US9208339B1 (en) 2013-08-12 2015-12-08 Sprint Communications Company L.P. Verifying Applications in Virtual Environments Using a Trusted Security Zone
US9898642B2 (en) 2013-09-09 2018-02-20 Apple Inc. Device, method, and graphical user interface for manipulating user interfaces based on fingerprint sensor inputs
US9455998B2 (en) 2013-09-17 2016-09-27 Ologn Technologies Ag Systems, methods and apparatuses for prevention of relay attacks
US9311500B2 (en) 2013-09-25 2016-04-12 Amazon Technologies, Inc. Data security using request-supplied keys
US9237019B2 (en) 2013-09-25 2016-01-12 Amazon Technologies, Inc. Resource locators with keys
US9015796B1 (en) * 2013-10-04 2015-04-21 Fuhu Holdings, Inc. Systems and methods for device configuration and activation with automated privacy law compliance
US10154026B2 (en) 2013-10-15 2018-12-11 Microsoft Technology Licensing, Llc Secure remote modification of device credentials using device-generated credentials
US10069811B2 (en) 2013-10-17 2018-09-04 Arm Ip Limited Registry apparatus, agent device, application providing apparatus and corresponding methods
US9307405B2 (en) * 2013-10-17 2016-04-05 Arm Ip Limited Method for assigning an agent device from a first device registry to a second device registry
US9438597B1 (en) * 2013-10-22 2016-09-06 Microstrategy Incorporated Regulating credential information dissemination
US10243945B1 (en) 2013-10-28 2019-03-26 Amazon Technologies, Inc. Managed identity federation
US9185626B1 (en) 2013-10-29 2015-11-10 Sprint Communications Company L.P. Secure peer-to-peer call forking facilitated by trusted 3rd party voice server provisioning
US9191522B1 (en) 2013-11-08 2015-11-17 Sprint Communications Company L.P. Billing varied service based on tier
US9161325B1 (en) 2013-11-20 2015-10-13 Sprint Communications Company L.P. Subscriber identity module virtualization
US9420007B1 (en) 2013-12-04 2016-08-16 Amazon Technologies, Inc. Access control using impersonization
US9369461B1 (en) 2014-01-07 2016-06-14 Amazon Technologies, Inc. Passcode verification using hardware secrets
US9374368B1 (en) 2014-01-07 2016-06-21 Amazon Technologies, Inc. Distributed passcode verification system
US9292711B1 (en) 2014-01-07 2016-03-22 Amazon Technologies, Inc. Hardware secret usage limits
US9270662B1 (en) 2014-01-13 2016-02-23 Amazon Technologies, Inc. Adaptive client-aware session security
WO2015109172A1 (en) * 2014-01-17 2015-07-23 Pitroda Satyan G System and method for electronic vault to manage digital contents
US9118655B1 (en) 2014-01-24 2015-08-25 Sprint Communications Company L.P. Trusted display and transmission of digital ticket documentation
US20150229475A1 (en) * 2014-02-10 2015-08-13 Qualcomm Incorporated Assisted device provisioning in a network
US10771255B1 (en) 2014-03-25 2020-09-08 Amazon Technologies, Inc. Authenticated storage operations
US9226145B1 (en) 2014-03-28 2015-12-29 Sprint Communications Company L.P. Verification of mobile device integrity during activation
KR102239055B1 (ko) 2014-04-04 2021-04-12 삼성전자주식회사 근접한 복수의 이동 단말들에게 맞춤형 서비스를 제공하는 개인 맞춤형 장치의 동작 방법, 개인 맞춤형 장치 및 이동 단말
US20150324589A1 (en) * 2014-05-09 2015-11-12 General Electric Company System and method for controlled device access
US9483763B2 (en) 2014-05-29 2016-11-01 Apple Inc. User interface for payments
WO2015183367A1 (en) 2014-05-30 2015-12-03 Apple Inc. Continuity
US9967401B2 (en) 2014-05-30 2018-05-08 Apple Inc. User interface for phone call routing among devices
US9635010B2 (en) * 2014-06-13 2017-04-25 Verizon Patent And Licensing Inc. Network-based authentication for third party content
US9258117B1 (en) 2014-06-26 2016-02-09 Amazon Technologies, Inc. Mutual authentication with symmetric secrets and signatures
US10326597B1 (en) 2014-06-27 2019-06-18 Amazon Technologies, Inc. Dynamic response signing capability in a distributed system
US9922200B2 (en) * 2014-06-30 2018-03-20 Microsoft Technology Licensing, Llc Securely storing content within public clouds
US9883384B2 (en) 2014-07-16 2018-01-30 Qualcomm Incorporated UE-based network subscription management
US9230085B1 (en) 2014-07-29 2016-01-05 Sprint Communications Company L.P. Network based temporary trust extension to a remote or mobile device enabled via specialized cloud services
US10339293B2 (en) 2014-08-15 2019-07-02 Apple Inc. Authenticated device used to unlock another device
JP2016095597A (ja) * 2014-11-12 2016-05-26 富士通株式会社 配備制御プログラム、配備制御装置及び配備制御方法
US11615199B1 (en) * 2014-12-31 2023-03-28 Idemia Identity & Security USA LLC User authentication for digital identifications
US9779232B1 (en) 2015-01-14 2017-10-03 Sprint Communications Company L.P. Trusted code generation and verification to prevent fraud from maleficent external devices that capture data
US9838868B1 (en) 2015-01-26 2017-12-05 Sprint Communications Company L.P. Mated universal serial bus (USB) wireless dongles configured with destination addresses
US9473945B1 (en) 2015-04-07 2016-10-18 Sprint Communications Company L.P. Infrastructure for secure short message transmission
US10116658B2 (en) * 2015-04-29 2018-10-30 Cyberark Software Ltd. Privileged access to target services
US10122692B2 (en) 2015-06-16 2018-11-06 Amazon Technologies, Inc. Handshake offload
US10122689B2 (en) 2015-06-16 2018-11-06 Amazon Technologies, Inc. Load balancing with handshake offload
US10158955B2 (en) 2015-07-02 2018-12-18 Gn Hearing A/S Rights management in a hearing device
JP2017055298A (ja) * 2015-09-10 2017-03-16 富士ゼロックス株式会社 接続制御装置及びプログラム
US9819679B1 (en) 2015-09-14 2017-11-14 Sprint Communications Company L.P. Hardware assisted provenance proof of named data networking associated to device data, addresses, services, and servers
US11122041B2 (en) * 2015-09-25 2021-09-14 Siemens Industry, Inc. System and method for location-based credentialing
US9967244B2 (en) * 2015-10-14 2018-05-08 Microsoft Technology Licensing, Llc Multi-factor user authentication framework using asymmetric key
US10546131B2 (en) 2015-10-22 2020-01-28 Mcafee, Llc End-point visibility
US10282719B1 (en) 2015-11-12 2019-05-07 Sprint Communications Company L.P. Secure and trusted device-based billing and charging process using privilege for network proxy authentication and audit
US9817992B1 (en) 2015-11-20 2017-11-14 Sprint Communications Company Lp. System and method for secure USIM wireless network access
US10158605B2 (en) * 2015-11-24 2018-12-18 Cisco Technology, Inc. Delegated access control of an enterprise network
JP6727799B2 (ja) * 2015-12-09 2020-07-22 キヤノン株式会社 権限委譲システム、情報処理装置、認可サーバ、制御方法およびプログラム
US10516654B2 (en) * 2016-03-15 2019-12-24 Intel Corporation System, apparatus and method for key provisioning delegation
CN105791309B (zh) * 2016-04-14 2019-09-17 北京小米移动软件有限公司 一种执行业务处理的方法、装置及系统
DK179186B1 (en) 2016-05-19 2018-01-15 Apple Inc REMOTE AUTHORIZATION TO CONTINUE WITH AN ACTION
US10621581B2 (en) 2016-06-11 2020-04-14 Apple Inc. User interface for transactions
DK201670622A1 (en) 2016-06-12 2018-02-12 Apple Inc User interfaces for transactions
EP3465434A1 (en) * 2016-06-16 2019-04-10 Google LLC Secure configuration of cloud computing nodes
US10116440B1 (en) 2016-08-09 2018-10-30 Amazon Technologies, Inc. Cryptographic key management for imported cryptographic keys
US20180068313A1 (en) 2016-09-06 2018-03-08 Apple Inc. User interfaces for stored-value accounts
US10496808B2 (en) 2016-10-25 2019-12-03 Apple Inc. User interface for managing access to credentials for use in an operation
US10769268B2 (en) * 2016-11-01 2020-09-08 Ricoh Company, Ltd. Information processing device, information processing system, and information processing method
US10855465B2 (en) * 2016-11-10 2020-12-01 Ernest Brickell Audited use of a cryptographic key
US11405201B2 (en) * 2016-11-10 2022-08-02 Brickell Cryptology Llc Secure transfer of protected application storage keys with change of trusted computing base
US11398906B2 (en) * 2016-11-10 2022-07-26 Brickell Cryptology Llc Confirming receipt of audit records for audited use of a cryptographic key
WO2018111927A1 (en) * 2016-12-14 2018-06-21 Pivotal Software, Inc. Distributed validation of credentials
US10356075B2 (en) * 2017-03-15 2019-07-16 International Business Machines Corporation Automated verification of chains of credentials
US10992795B2 (en) 2017-05-16 2021-04-27 Apple Inc. Methods and interfaces for home media control
US11431836B2 (en) 2017-05-02 2022-08-30 Apple Inc. Methods and interfaces for initiating media playback
US20220279063A1 (en) 2017-05-16 2022-09-01 Apple Inc. Methods and interfaces for home media control
CN111343060B (zh) 2017-05-16 2022-02-11 苹果公司 用于家庭媒体控制的方法和界面
CN108964885B (zh) * 2017-05-27 2021-03-05 华为技术有限公司 鉴权方法、装置、系统和存储介质
US10499249B1 (en) 2017-07-11 2019-12-03 Sprint Communications Company L.P. Data link layer trust signaling in communication network
US10541977B2 (en) * 2017-07-25 2020-01-21 Pacesetter, Inc. Utilizing signed credentials for secure communication with an implantable medical device
JP6736686B1 (ja) 2017-09-09 2020-08-05 アップル インコーポレイテッドＡｐｐｌｅ Ｉｎｃ． 生体認証の実施
KR102185854B1 (ko) 2017-09-09 2020-12-02 애플 인크. 생체측정 인증의 구현
CN110309213B (zh) * 2018-03-28 2023-10-13 腾讯科技（深圳）有限公司 一种数据库访问控制方法、装置、系统、介质及设备
MX2020010982A (es) 2018-04-18 2021-03-09 Carrier Corp Visualizacion y administracion de niveles de acceso para control de acceso con base en jerarquias de nivel de acceso.
US10812970B2 (en) 2018-04-30 2020-10-20 Tracfone Wireless, Inc. System and process for locking a subscriber identity module (SIM) card to a wireless device
WO2019221695A1 (en) * 2018-05-14 2019-11-21 Hewlett-Packard Development Company, L.P. Authorized printing
US11170085B2 (en) 2018-06-03 2021-11-09 Apple Inc. Implementation of biometric authentication
US11100349B2 (en) 2018-09-28 2021-08-24 Apple Inc. Audio assisted enrollment
US10860096B2 (en) 2018-09-28 2020-12-08 Apple Inc. Device control using gaze information
KR102436985B1 (ko) 2019-05-31 2022-08-29 애플 인크. 오디오 미디어 제어를 위한 사용자 인터페이스
US11010121B2 (en) 2019-05-31 2021-05-18 Apple Inc. User interfaces for audio media control
EP3721603B1 (en) * 2019-07-02 2021-12-08 Advanced New Technologies Co., Ltd. System and method for creating decentralized identifiers
CN116910726A (zh) 2019-07-02 2023-10-20 创新先进技术有限公司 用于将去中心化标识映射到真实实体的系统和方法
CN111213147B (zh) 2019-07-02 2023-10-13 创新先进技术有限公司 用于基于区块链的交叉实体认证的系统和方法
CN111316303B (zh) 2019-07-02 2023-11-10 创新先进技术有限公司 用于基于区块链的交叉实体认证的系统和方法
EP3688930B1 (en) 2019-07-02 2021-10-20 Advanced New Technologies Co., Ltd. System and method for issuing verifiable claims
SG11202003792QA (en) 2019-07-02 2020-05-28 Advanced New Technologies Co Ltd System and method for verifying verifiable claims
US11588646B2 (en) 2019-09-05 2023-02-21 Cisco Technology, Inc. Identity-based application and file verification
US11139991B2 (en) * 2019-09-28 2021-10-05 Intel Corporation Decentralized edge computing transactions with fine-grained time coordination
US11770374B1 (en) 2019-12-31 2023-09-26 Cigna Intellectual Property, Inc. Computer user credentialing and verification system
US11816194B2 (en) 2020-06-21 2023-11-14 Apple Inc. User interfaces for managing secure operations
US20220027812A1 (en) * 2020-07-24 2022-01-27 Sib BAHJAT System and method for storing and retrieving a historical entry to generate a renter risk report
US11392291B2 (en) 2020-09-25 2022-07-19 Apple Inc. Methods and interfaces for media control with dynamic feedback
US20220166762A1 (en) * 2020-11-25 2022-05-26 Microsoft Technology Licensing, Llc Integrated circuit for obtaining enhanced privileges for a network-based resource and performing actions in accordance therewith
US20220224678A1 (en) * 2021-01-13 2022-07-14 Delega Treasury AG Synchronized database authorization automation
US11675917B2 (en) * 2021-04-22 2023-06-13 Bank Of America Corporation Electronic system for dynamically permitting and restricting access to and modification of computer resources
US11847378B2 (en) 2021-06-06 2023-12-19 Apple Inc. User interfaces for audio routing
US11784956B2 (en) 2021-09-20 2023-10-10 Apple Inc. Requests to add assets to an asset account
CN116090013A (zh) * 2023-03-07 2023-05-09 深圳竹云科技股份有限公司 一种应用文件访问凭证动态配置方法以及装置

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5943423A (en) * 1995-12-15 1999-08-24 Entegrity Solutions Corporation Smart token system for secure electronic transactions and identification
US7010690B1 (en) * 2000-07-07 2006-03-07 Sun Microsystems, Inc. Extensible system for building and evaluating credentials
CN1875564A (zh) * 2003-10-29 2006-12-06 高通股份有限公司 用于提供应用程序凭证的方法和装置
CN101099385A (zh) * 2004-11-16 2008-01-02 高通股份有限公司 用于对本地和远程内容实行应用程序级限制的方法和设备

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH1125045A (ja) 1997-06-30 1999-01-29 Nec Corp アクセス制御方法とその装置及び属性証明書発行装置並びに機械読み取り可能な記録媒体
JP4503794B2 (ja) 2000-07-19 2010-07-14 株式会社日立製作所 コンテンツ提供方法及び装置
CA2465321C (en) * 2001-11-06 2010-05-11 International Business Machines Corporation Method and system for the supply of data, transactions and electronic voting
JP2003273860A (ja) 2002-03-19 2003-09-26 Ricoh Co Ltd 暗号化文書閲覧方法、暗号化文書閲覧システム、暗号化文書閲覧プログラム、暗号化文書閲覧プログラムを格納する記憶媒体、暗号化文書閲覧システムに用いられる管理装置、暗号化文書のデータ構造、暗号化文書のデータ構造生成装置、及び暗号化文書のデータ構造生成プログラム
GB2405566B (en) * 2002-10-14 2005-05-18 Toshiba Res Europ Ltd Methods and systems for flexible delegation
JP4706165B2 (ja) 2003-05-26 2011-06-22 日本電気株式会社 アカウント管理システム、アカウント管理方法およびアカウント管理プログラム
US7568098B2 (en) * 2003-12-02 2009-07-28 Microsoft Corporation Systems and methods for enhancing security of communication over a public network
JP4525609B2 (ja) * 2006-02-22 2010-08-18 日本電気株式会社 権限管理サーバ、権限管理方法、権限管理プログラム
CN101262342A (zh) 2007-03-05 2008-09-10 松下电器产业株式会社 分布式授权与验证方法、装置及系统
US8862872B2 (en) * 2008-09-12 2014-10-14 Qualcomm Incorporated Ticket-based spectrum authorization and access control
US8505078B2 (en) 2008-12-28 2013-08-06 Qualcomm Incorporated Apparatus and methods for providing authorized device access

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5943423A (en) * 1995-12-15 1999-08-24 Entegrity Solutions Corporation Smart token system for secure electronic transactions and identification
US7010690B1 (en) * 2000-07-07 2006-03-07 Sun Microsystems, Inc. Extensible system for building and evaluating credentials
CN1875564A (zh) * 2003-10-29 2006-12-06 高通股份有限公司 用于提供应用程序凭证的方法和装置
CN101099385A (zh) * 2004-11-16 2008-01-02 高通股份有限公司 用于对本地和远程内容实行应用程序级限制的方法和设备

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104541474A (zh) * 2012-08-10 2015-04-22 密码研究公司 集成电路中的安全特征和密钥管理
CN104541474B (zh) * 2012-08-10 2018-03-30 密码研究公司 集成电路、用于集成电路的方法以及用于委托权限系统的方法
CN103338196A (zh) * 2013-06-17 2013-10-02 上海华和得易信息技术发展有限公司 一种用于信息的认证授权和安全使用的方法与系统
TWI620084B (zh) * 2013-09-16 2018-04-01 安訊士有限公司 散發使用者憑證之裝置、方法及系統
CN106576244A (zh) * 2014-07-31 2017-04-19 高通股份有限公司 使设备接入到安全本地网络
CN106576244B (zh) * 2014-07-31 2020-04-24 高通股份有限公司 使设备接入到安全本地网络
CN110837633A (zh) * 2019-10-16 2020-02-25 支付宝(杭州)信息技术有限公司 智能凭证实现方法、系统及可读存储介质
CN110837633B (zh) * 2019-10-16 2021-10-08 支付宝(杭州)信息技术有限公司 智能凭证实现方法、系统及可读存储介质

Also Published As

Publication number Publication date
CN102257505B (zh) 2015-12-16
EP2382573A2 (en) 2011-11-02
US20130326596A1 (en) 2013-12-05
US20100269156A1 (en) 2010-10-21
JP2012514255A (ja) 2012-06-21
KR101313480B1 (ko) 2013-11-21
US8505078B2 (en) 2013-08-06
US9100403B2 (en) 2015-08-04
JP5680548B2 (ja) 2015-03-04
WO2010075343A2 (en) 2010-07-01
KR20110110254A (ko) 2011-10-06

Similar Documents

Publication Publication Date Title
CN102257505B (zh) 用于提供经授权装置接入的设备和方法
CN111429254B (zh) 一种业务数据处理方法、设备以及可读存储介质
CN101120569B (zh) 用户从用户终端远程访问终端设备的远程访问系统和方法
AU2006298507B2 (en) Method and arrangement for secure autentication
CN101321165B (zh) 嵌入式系统中许可的认证
EP2368339B1 (en) Secure transaction authentication
US8301887B2 (en) Method and system for automated authentication of a device to a management node of a computer network
CN102546171A (zh) 安全元件认证
JP2009519557A (ja) 資源が限られている装置におけるオフライン認証方法
US8793773B2 (en) System and method for providing reputation reciprocity with anonymous identities
JP2017152880A (ja) 認証システム、鍵処理連携方法、および、鍵処理連携プログラム
US20120089830A1 (en) Method and device for digitally attesting the authenticity of binding interactions
JP2020514919A (ja) アクセス制御の方法
KR101856530B1 (ko) 사용자 인지 기반 암호화 프로토콜을 제공하는 암호화 시스템 및 이를 이용하는 온라인 결제 처리 방법, 보안 장치 및 거래 승인 서버
US8646099B2 (en) Midlet signing and revocation
KR101550425B1 (ko) 유심 인증을 이용한 서비스 제공 시스템 및 방법
CN115526703A (zh) 企业用户认证授权方法及系统
KR101523709B1 (ko) 웹사이트 선별차단 관리시스템
CN117478785A (zh) 退出儿童模式的方法、装置、存储介质及电子设备
Holleis Smart Embedded Appliances Networks–Security Considerations
Chochliouros et al. Mobile Public Key Infrastructures
EP2411935A1 (en) Method and device for digitally attesting the authenticity of binding interactions

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant