CN103250162A - 用于保护远程仓库中的凭证的方法 - Google Patents
用于保护远程仓库中的凭证的方法 Download PDFInfo
- Publication number
- CN103250162A CN103250162A CN201180058822.XA CN201180058822A CN103250162A CN 103250162 A CN103250162 A CN 103250162A CN 201180058822 A CN201180058822 A CN 201180058822A CN 103250162 A CN103250162 A CN 103250162A
- Authority
- CN
- China
- Prior art keywords
- credentials
- user
- encrypted
- private key
- pki
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000000034 method Methods 0.000 title claims abstract description 44
- 238000003860 storage Methods 0.000 claims abstract description 38
- 238000004891 communication Methods 0.000 claims description 78
- 230000006854 communication Effects 0.000 claims description 78
- 230000004044 response Effects 0.000 claims description 16
- 230000003068 static effect Effects 0.000 claims description 15
- 230000008676 import Effects 0.000 claims description 6
- 238000013475 authorization Methods 0.000 claims description 2
- 238000010295 mobile communication Methods 0.000 description 18
- 230000006870 function Effects 0.000 description 14
- 230000005540 biological transmission Effects 0.000 description 6
- 238000010586 diagram Methods 0.000 description 6
- 230000008569 process Effects 0.000 description 5
- 238000005516 engineering process Methods 0.000 description 4
- 238000004519 manufacturing process Methods 0.000 description 3
- 230000007246 mechanism Effects 0.000 description 3
- 230000008859 change Effects 0.000 description 2
- 238000004590 computer program Methods 0.000 description 2
- 238000012795 verification Methods 0.000 description 2
- 241000239290 Araneae Species 0.000 description 1
- 230000007175 bidirectional communication Effects 0.000 description 1
- 230000001413 cellular effect Effects 0.000 description 1
- 238000006243 chemical reaction Methods 0.000 description 1
- 230000002708 enhancing effect Effects 0.000 description 1
- 238000003780 insertion Methods 0.000 description 1
- 230000037431 insertion Effects 0.000 description 1
- 210000003127 knee Anatomy 0.000 description 1
- 239000004973 liquid crystal related substance Substances 0.000 description 1
- 238000012423 maintenance Methods 0.000 description 1
- 230000014759 maintenance of location Effects 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 239000004576 sand Substances 0.000 description 1
- 230000005236 sound signal Effects 0.000 description 1
- 239000003381 stabilizer Substances 0.000 description 1
- 230000001360 synchronised effect Effects 0.000 description 1
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
- G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/2107—File encryption
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Bioethics (AREA)
- General Health & Medical Sciences (AREA)
- Computer Hardware Design (AREA)
- Health & Medical Sciences (AREA)
- Software Systems (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Databases & Information Systems (AREA)
- Mobile Radio Communication Systems (AREA)
- Lock And Its Accessories (AREA)
- Telephonic Communication Services (AREA)
Abstract
本发明提供了保护远程仓库中的用户凭证的方法。根据一个实施例，提供了一种方法，该方法包括：根据注册的密码来产生第一私钥和第一公钥对；产生第二私钥和第二公钥对；根据所述第二私钥和所述第一公钥来产生存储密钥；使用所述存储密钥来加密凭证集合；根据已加密的凭证集合和所述第一私钥来创建加密凭证签名；以及将所述已加密的凭证集合、所述加密凭证签名、和所述第二公钥存储在所述远程仓库中。
Description
相关申请的交叉引用
本申请要求于2010年10月12日提交的美国申请No.12902638和于2010年10月12日提交的欧洲申请No.EP10187215.8的优先权，以全文引用的方式将这两个申请并入本文中。
技术领域
本公开涉及电子凭证管理领域，以及更具体地，涉及远程仓库中的电子凭证管理领域。
背景技术
随着通过在线网络变得可用的服务和信息的数目的增长，要求用户通过使用电子凭证来认证其身份和特权。这些凭证可以包括用户名、密码、加密密钥、令牌或者在授权或认证过程中使用的任何其他信息。
这些凭证通常被本地存储在计算机或电子设备上，用户通过该计算机或电子设备来访问相关联的服务。当用户重置或改变电子设备时，他们必须重新输入或重新导入它们的凭证。
附图说明
图1是示出了包括移动通信设备在内的通信系统的方框图，本公开的示例实施例可应用于该通信系统中；
图2是示出了根据本公开的一个示例实施例的移动通信设备的框图；
图3A是示出了根据本公开的一个示例实施例的保护用户凭证的示例方法的流程图。
图3B是示出了根据本公开的一个示例实施例的保护用户凭证的示例方法的示例数据流的流程图。
图4是示出了根据本公开的一个示例实施例的对用于访问远程仓库中的用户凭证的请求进行认证的示例方法的流程图。
图5是示出了根据本公开的一个示例实施例的访问远程仓库中的受保护的用户凭证的示例方法的流程图。
在附图中，相似的附图标记用于表示相似的元素和特征。
具体实施方式
根据本公开的一个方面，提供了一种用于保护远程仓库中的用户凭证的方法。该方法包括：根据注册的密码来产生第一私钥和第一公钥对；产生第二私钥和第二公钥对；根据所述第二私钥和所述第一公钥来产生存储密钥；使用所述存储密钥来加密凭证集合；根据已加密的凭证集合和所述第一私钥来创建加密凭证签名；以及将所述已加密的凭证集合、所述加密凭证签名、和所述第二公钥存储在所述远程仓库中。
根据本公开的另一方面，提供了一种对用于访问远程仓库中的用户凭证的请求进行认证的方法，所述远程仓库存储有唯一用户标识(UID)以及根据所述UID和密码产生的认证令牌。该方法包括从通信设备接收用户登录标识和第一随机数；向所述通信设备发送第二随机数；从所述通信设备接收响应令牌，所述响应令牌是根据所述第一随机数、所述第二随机数、所述用户登录标识和所述密码产生的；根据所述第一随机数、所述第二随机数、和所述认证令牌来产生验证令牌；以及验证所述响应令牌与所述验证令牌匹配。
根据本公开的又一方面，提供了一种访问远程仓库中被保护的用户凭证的方法。该方法包括从所述远程仓库接收已加密的凭证集合、加密凭证签名、和第二公钥；根据用户输入的密码来产生第一私钥；根据所述已加密的凭证集合和所述第一私钥来验证所述加密凭证签名；根据所述第一私钥和所述第二公钥来产生存储密钥；以及使用所述存储密钥来解密所述已加密的凭证集合。
首先参考图1，图1以框图的形式示出了其中可以应用本公开的示例实施例的通信系统100。通信系统100包括可以用若干不同方式中的任何一种方式与系统100的其余部分连接的一定数目的移动通信设备(移动设备)201。相应地，在图1中使用了不同的连接到系统100的示例方式来描绘了移动通信设备201的若干实例。移动通信设备201连接到无线通信网络101，无线通信网络101可以包括无线广域网(WWAN)102和无线局域网(WLAN)104或者其他适合的网络布置中的一项或多项。在一些实施例中，移动通信设备201被配置为通过WWAN102和WLAN104这二者进行通信，并在这些网络之间漫游。在一些实施例中，无线网络101可包括多个WWAN102和WLAN104。
WWAN102可被实现为任何适合的无线接入网技术。以示例而非限制的方式，WWAN102可被实现为包括一定数目收发机基站108(图1中示出了其中之一)的无线网络，在该无线网络中，基站108中的每一个向对应的区域或小区提供无线射频(RF)覆盖。通常由向移动通信设备201的用户提供订阅套餐的移动网络服务提供商来运营WWAN102。在一些实施例中，WWAN102符合以下无线网络类型中的一种或多种：Mobitex无线网络、DataTAC、GSM(全球移动通信系统)、GPRS(通用分组无线系统)、TDMA(时分多址接入)、CDMA(码分多址接入)、CDPD(蜂窝数字分组数据)、iDEN(集成的数字增强型网络)、EvDO(演进的数据优化)CDMA2000、EDGE(增强型数据速率GSM演进)、UMTS(全球移动电信网络)、HSDPA(高速下行链路分组接入)、IEEE802.16e(也被称为全球微波接入互操作性或“WiMAX”)或其它各种网络。虽然WWAN102被描述为“广域”网，在本文中该术语也旨在并入无线城域网(WMAN)和用于在比通常WLAN所覆盖更大的区域上无线地提供协同服务的其它类似的技术。
WWAN102还可以包括无线网络网关110，无线网络网关110将移动通信设备201连接到传输设施112，并通过传输设施112连接到无线连接器系统120。传输设施可以包括一个或多个私有网络或线路、公共的互联网、虚拟私有网络、或者任何其他适合的网络。无线连接器系统120可例如由诸如公司、大学、或政府部门的组织或企业来运营，这允许接入到诸如内部网或企业网的网络124及其资源，或者可由移动网络提供商来运营无线连接器系统120。在一些实施例中，可使用互联网而不是内部网或企业网来实现网络124。
无线网络网关110在无线连接器系统120和WWAN102之间提供接口，这便于移动通信设备201和直接或间接地连接到WWAN102的其他设备(未示出)之间的通信。因此，通过传输设施112，经由WWAN102和无线网络网关110向无线连接器系统120传输经由移动通信设备201发送的通信。无线网络网关110接收到从无线连接器系统120发送的通信，并经由WWAN102向移动通信设备201传输。
在一些实施例中，WLAN104包括符合IEEE802.11x标准(有时称为WiFi)的无线网络，例如，IEEE802.11x标准诸如是IEEE802.11a、IEEE802.11b和/或IEEE802.11g标准。在其它实施例中，可以针对WLAN104使用其它通信协议，例如IEEE802.11n、IEEE802.16e(也被称为全球微波接入互操作性或“WiMAX”)或者IEEE802.20(也被称为移动无线宽带接入)。WLAN104包括共同提供WLAN覆盖区域的一个或多个无线RF接入点(AP)114(其中之一在图1中示出)。
WLAN104可以例如是用户的个人网络、企业网、或者由互联网服务提供商(ISP)、移动网络提供商、或者公共或半公共区域中的产权人提供的热点。接入点114被连接到接入点(AP)接口116，接入点接口116可直接连接到无线连接器系统120(例如，如果接入点114是无线连接器系统120所驻留在的企业WLAN104的一部分)，或者如果接入点14是个人Wi-Fi网络或Wi-Fi热点(在这种情况下，可要求用于安全连接到无线连接器系统120的机制，如虚拟私有网络(VPN))，经由传输设施112间接连接到无线连接器系统120。AP接口116在接入点114和无线连接器系统120之间提供转换和路由服务，以方便与无线连接器系统120的直接或间接的通信。
可以将无线连接器系统120实现为一个或多个服务器，并通常位于防火墙113的后面。无线连接器系统120管理去往或来自所管理的移动通信设备201的集合的通信(包括电子邮件消息)。无线连接器系统120还提供对可连接到无线连接器系统120的用户和移动通信设备201的管理控制(administrative control)和管理能力(management capability)。
无线连接器系统120允许移动通信设备201访问网络124以及已连接的资源和服务(例如，用户身份服务器132和服务提供商142)。服务提供商142可以包括内容服务器、应用服务器或用于提供服务的任何其他系统，内容服务器用于提供内容，例如，互联网内容或来自组织的内部服务器的内容，应用服务器用于实现基于服务器的应用，例如电子邮件。当访问这些服务提供商142时，用户可被要求输入或发送在其通信设备上存储的凭证，以认证其与服务提供商相关联的身份和特权。在一些实施例中，通信设备201可以要求特定的凭证，以仅访问服务提供商142在其上驻留的网络124。
根据本公开的一个方面，用户身份服务器132被配置为保护用户凭证和认证通信设备201。在至少一个实施例中，通过计算机程序指令来实现用户身份服务器132，该计算机程序指令驻留在计算机系统或服务器上的持久性存储器上，并由一个或多个微处理器来执行。在一些实施例中，在与服务提供商142相同的计算机上实现用户身份服务器132。
在示例实施例中，使用图1中示出的任何示例移动设备连接，或者适于与移动设备交换消息的任何其他连接手段，用户身份服务器132可以通过通信系统100与移动设备通信和交换消息。在一些实施例中，用户身份服务器132被配置为发送和接收用于认证的消息，或者上载或下载凭证。在一些实施例中，可以对这些消息进行签名、加密或者进行其他方式的保护。
在一些实施例中，用户身份服务器132可通信地连接到凭证仓库134。在一些示例中，凭证仓库134包括与唯一用户标识相关联的凭证信息。该信息可以包括：已加密的凭证、时间戳、签名、加密密钥或者可以与已加密的信息相关联地存储的任何其他数据。用户身份服务器与凭证仓库通信，以上载和下载凭证信息。
在图1中，用户身份服务器132被示出为直接连接到凭证仓库134；然而在一些实施例中，凭证仓库134可以与用户身份服务器132驻留在相同的系统或计算机上。在其他实施例中，凭证仓库134可以位于网络上的不同位置处。在一些实施例中，网络上可以存在多个凭证仓库，它们都可通信地连接到用户身份服务器132。
无线连接器系统120通常提供与移动通信设备201的安全数据(例如，电子邮件消息、个人信息管理器(PIM)数据和IM数据)交换。在一些实施例中，对无线连接器系统120和移动通信设备201之间的通信加密。在一些实施例中，使用对称加密密钥对通信加密，对称加密密钥是使用高级加密标准(AES)或三重数据加密标准(三重DES)加密来实现的。在安全的双向认证环境中产生私有加密密钥，并将其用于数据的加密和解密。
无线网络网关110适于通过WWAN102向无线连接器系统120发送从移动设备201接收到的数据分组。然后，无线连接器系统120向适当的连接点(例如，用户身份服务器132、服务提供商142或者其他已连接的计算机117)发送数据分组。相反，无线连接器系统120向无线网络网关110发送例如从用户身份服务器132或服务提供商142接收到的数据分组，然后无线网络网关110向目标移动设备201发送该数据分组。WLAN104的AP接口116在移动设备201、无线连接器系统120和网络连接点(例如内容服务器、应用服务器或任何其他服务提供商142)之间提供类似的发送功能。
网络124可包括私有局域网、城域网、广域网、公共互联网或其组合，并可包括使用其中的任何一种单独或组合构造的虚拟网络。计算机117可以直接地或经由中间通信网络(例如，互联网112)间接连接到网络124。当计算机117例如经由互联网112间接连接到网络时，可以要求VPN或用于安全连接到网络124的其他机制。计算机117可以具有任何适合的构造，并至少包括处理器以及均连接到处理器的显示屏、一个或多个用户输入设备、以及存储器。计算机117可以是台式计算机、膝上型/笔记本/上网本型计算机、或者其组合，并且可以具有用于连接到网络124的有线或无线通信子系统。
备选地，移动设备201可以使用计算机117经由网络124连接到无线连接器系统120。在至少一些实施例中，为了安全的目的，可以用于将移动设备201连接到无线连接器系统120的计算机117被限制为直接连接到网络124的计算机117。可以提供链路106，以在移动设备201和连接到无线连接器系统120的计算机117之间交换信息。链路106可以包括物理接口和短距无线通信接口之一或这二者。物理接口可包括以太网连接、通用串行总线(USB)连接，FirewireTM(也被称为IEEE1394接口)连接或经由移动设备201和计算机117的各个端口或接口的其它串行数据连接之一或组合。短距无线通信接口可以是个域网(PAN)接口。个域网是无线点对点连接，意味着不需要物理线缆来连接两个端点。
将意识到的是：仅出于说明的目的而提供上述通信系统，并且上述通信系统包括与移动通信设备201一起使用的大量可能配置中的一个可能通信网络配置。可以结合在实现或便于无线通信方面有效的任何其他类型的网络和关联设备来使用本公开的教导。通信系统的各合适的变型预期落在本公开的范围内。
现在参考图2，图2示出了其中可以应用本公开所述示例实施例的移动设备201。移动设备201是双向通信设备，具有数据和语音通信能力以及例如经由互联网与其它计算机系统通信的能力。根据移动设备201所提供的功能，在各个实施例中，设备201可以是：被配置用于进行数据和语音通信的多模式通信设备、支持无线通信的智能电话、移动电话或PDA(个人数字助理)、或者具有无线调制解调器的计算机系统。
移动设备201包括装有设备201的各组件的刚性外壳(未示出)。将设备201的内部组件构造在印刷电路板(PCB)上。移动设备201包括控制器，控制器包括控制设备201的整体操作的至少一个处理器240(例如，微处理器)。处理器240与诸如无线通信子系统211的设备子系统交互，以与无线网络101交换射频信号来执行通信功能。处理器240与附加的设备子系统交互，附加的设备子系统包括：显示屏204(如液晶显示(LCD)屏)、输入设备206(如键盘和控制按钮)、闪存244、随机存取存储器(RAM)246、只读存储器(ROM)248、辅助输入/输出(I/O)子系统250、诸如串行数据端口(例如，通用串行总线(USB)数据端口)之类的数据端口252、扬声器256、麦克风258、短距通信子系统262、以及通称为264的其他设备子系统。图2所示的某些子系统执行与通信相关的功能，而其他子系统可以提供“驻留”或机载功能。
在一些实施例中，设备201可包括触摸屏显示器。可以使用连接到电子控制器并覆盖显示屏204的触敏输入表面来构造触摸屏显示器。触敏覆盖和电子控制器提供触敏输入设备，并且处理器240经由电子控制器与触敏覆盖交互。
移动设备201可以与其地理覆盖区域内的无线网络101的多个固定的收发机基站108中的任何一个进行通信(图1)。在所需网络注册或激活程序完成之后，移动设备201可以通过无线网络101发送和接收通信信号。
处理器240在所存储的程序控制之下操作，并执行存储在诸如持久性存储器之类的存储器中(例如，在闪存244中)的软件模块221。如图2中示出的，软件模块221包括操作系统软件223和软件应用225，软件应用225可以包括电子邮件消息收发应用272、地址簿274、即时消息收发应用276、电话应用284、以及远程凭证管理模块280。在一些示例实施例中，可以将各个应用272、274、276、284和280执行的功能各自实现为多个独立的单元，以及这些单元中的任意一个或多个可被实现为其他软件应用225的一部分。在一些示例实施例中，一个或多个应用225被配置为与用户身份服务器132(图1)交换授权消息和用户凭证。
出于说明的目的，图2示出了远程凭证管理模块280。在一些示例实施例中，远程凭证管理模块280可被配置为产生各种加密密钥、创建数字签名、以及产生各种认证令牌。
在一些实施例中，远程凭证管理模块280还可被配置为交换认证消息和令牌，以及一旦被认证，与用户身份服务器132交换凭证信息。
虽然远程凭证管理模块280被示出为单个模块或应用，在很多实施例中，可以在各个应用(例如，电子邮件消息收发应用272)内或者在操作系统223内实现以上描述并在下面进一步详细描述的远程凭证管理模块280的功能，而不是必须使用单独的模块或应用。本申请涵盖所有这种实现。
可以将软件模块221及其各部分临时加载到易失性存储器(例如，RAM246)中。RAM246用于存储运行中数据变量以及其他类型的数据或信息。虽然针对各种类型的存储器描述了特定的功能，这仅是一个示例，并且也可以使用对各种类型的存储器的不同功能指派。
在一些实施例中，辅助输入/输出(I/O)子系统250可以包括外部通信链路或接口，例如，以太网连接。移动设备201可以包括用于与其它类型的无线网络进行通信的其他无线通信接口，例如，诸如正交频分复用(OFDM)网络之类的无线网络，或包括与GPS卫星网络(未示出)通信的GPS收发机在内的GPS(全球定位系统)子系统。辅助I/O子系统250可以包括诸如可点击轨迹球或滚轮或指轮之类的指向或导航工具(输入设备)，或响应于设备201上的各种事件(例如接到电子消息或呼入电话呼叫)或为了例如触觉反馈(触摸反馈)之类的其它目的而提供振动提示的振动器。
在一些实施例中，移动设备201还包括可拆卸的存储卡230(通常包括闪存)和存储卡接口232。通常经由存储卡230将网络接入与移动设备201的订户或用户相关联，存储卡230可以是在GSM网络中使用的订户身份模块(SIM)卡，或者在相关无线网络类型中使用的其他类型的存储卡。将存储卡230插入或连接到移动设备201的存储卡接口232中，以协同无线网络101进行操作。
移动设备201还在可擦除持久性存储器中存储其他数据227，在一个示例实施例中，可擦除持久性存储器是闪存244。在各种实施例中，数据227包括服务数据，服务数据包括移动设备201要求的用于建立和维护与无线网络101的通信的信息。数据227还可以包括用户应用数据和其他数据，用户应用数据例如是电子邮件消息、地址簿和联系人信息、日历和日程信息、记事本文档、图像文件、以及由其用户存储在移动设备201上的其他通常存储的用户信息。可以将存储在移动设备201的持久性存储器(例如闪存244)中的数据227至少部分地被组织到多个数据库内，每个数据库包含具有相同数据类型的数据项或者与相同的应用相关联的数据项。例如，电子邮件消息、联系人记录和任务项可以存储在设备存储器内的单个数据库中。
存储在存储器(易失性或非易失性)中的数据227可以包括用户凭证290。在一些实施例中，用户凭证290包括与用户的身份有关的数据、与移动设备201连接到的各种服务相关联的许可和特权。例如，用户凭证可以包括：用户名、密码、加密密钥、令牌或者与身份和特权的验证相关联的其他信息。
在一些实施例中，可以由远程凭证管理模块280使用本文中描述的方法之一来向用户身份服务器132发送用户凭证290中的一些，或者从用户身份服务器132接收用户凭证290中的一些。
可以使用串行数据端口252来与用户的主机计算机系统(未示出)同步。串行数据端口252使得用户可以通过外部设备或软件应用来设置首选项，并通过除了无线通信网络101之外的方式向移动设备201提供信息或软件下载来扩展移动设备201的能力。例如，可以使用备选的下载路径，通过直接从而可靠和可信的连接将加密密钥加载到移动设备201上，以由此提供安全的设备通信。
在一些实施例中，移动设备201具有服务路由应用编程接口(API)，该服务路由API向应用提供使用标准连接协议将业务通过串行数据(即，USB)或
(
是Bluetooth SIG，Inc.的注册商标)连接路由到主机计算机系统的能力。当用户经由USB线缆或
连接将其移动设备201连接到主机计算机系统时，使用USB线缆或
连接将目的地为无线网络101的业务自动路由到移动设备201。类似地，在USB线缆或
连接上向主机计算机系统自动发送任何目的地为无线网络101的业务，以进行处理。
移动设备201还包括作为电源的电池238，电池238通常是可以例如通过耦合到电池接口(例如，串行数据端口252)的充电电路进行充电的一个或多个可充电电池。电池238向移动设备201中的至少一些电子电路提供电功率，以及电池接口236向电池238提供机械和电连接。电池接口236耦合到向移动设备201的电路提供功率V+的稳压器(未示出)。
短距通信子系统262是附加可选组件，其在移动设备201和不同系统或设备之间提供通信，该设备不一定是相似的设备。例如，子系统262可以包括红外设备和关联的电路和组件，或符合无线总线协议的通信机制，例如
通信模块，以提供与具有类似能力的系统和设备的通信。
通常在制造期间或制造之后将控制基本设备操作的应用的预定集合(包括数据和可能的语音通信应用)安装在移动设备201上。还可以通过无线网络101、辅助I/O子系统250、串口252、短距通信子系统262、或者其他适合的子系统264将附加应用和/或对操作系统223或软件应用225的升级加载到移动设备201上。可以永久性地安装下载的程序或代码模块，例如，写入到程序存储器(即，闪存224)中，或者针对于处理器240在运行时间时的执行，写入到RAM246中并从RAM246执行。应用安装中的这样灵活性增强了移动设备201的功能性，并且可以提供增强的机载功能、通信相关功能、或这两者。例如，安全通信应用使得能够使用移动设备201来执行电子商业功能和其他类似的金融交易。
移动设备201可以提供两种主要的通信模式：数据通信模式和可选的语音通信模式。在数据通信模式下，诸如文本消息、电子邮件消息、或者网页下载之类的接收到的数据信号将由通信子系统211处理，并输入处理器240进行进一步的处理。例如，可以由浏览器应用进一步处理下载的网页，或者由电子邮件消息收发应用处理电子邮件消息，并向显示器204输出。移动设备201的用户还可以使用输入设备结合显示屏204来编写数据项，例如电子邮件消息。可以通过通信子系统211在无线网络101上发送这些编写好的项目。
在语音通信模式下，移动设备201提供电话功能，并作为典型的蜂窝电话进行操作。整体操作是类似的，除了将向扬声器256输出接收到的信号以及将由换能器(例如，麦克风258)产生用于发送的信号。通过软件/固件(即，语音通信模块)和硬件(即，麦克风258、扬声器256和输入设备)的组合来提供电话功能。还可以在移动设备201上实现备选的语音或音频I/O子系统，例如语音消息录制子系统。虽然通常主要通过扬声器256来完成语音或音频信号输出，也可以使用显示屏204来提供对主叫方的身份、语音呼叫的持续时间或者其他语音呼叫相关信息的指示。
现在参考图3A和3B。图3A以流程图的形式示出了用于保护远程仓库中的用户凭证的方法300，以及图3B示出了方法300的示例数据流。
本文中描述的示例使用了在加密中通常使用的静态密钥对和短时密钥对的语言文字。静态密钥通常与身份或设备相关联，并且可以由公钥基础结构来证明。短时密钥通常是临时产生的，并且仅被用于单个会话。一般而言，短时表示没有存储该私钥的必要。
虽然下面的示例描述静态密钥和短时密钥，这些术语仅作为示例使用，并且不对可以使用的公钥/私钥对的类型造成限制。
在方法300开始之前，用户将密码322和唯一用户标识(UID)320注册到用户身份服务器132。密码322可以是可被用来产生加密密钥的任何字符串。UID320是唯一标识符，例如，电子邮件地址、用户名或尚未在用户身份服务器132中使用的任何其他标识符。
周期性地或者基于用户触发，可以对设备201上存储的凭证290的当前集合进行备份、转移或者简单地保护在凭证仓库134中。在事件302处，方法300开始于根据用户的密码322来产生静态私钥dS。可以使用任何函数(例如，散列函数)来产生静态私钥dS，并且在一些实施例中，静态私钥dS可以组合其他的用户信息，例如UID。
在一些实施例中，根据静态私钥dS产生静态公钥QS。在椭圆曲线加密(ECC)中，QS＝dSG，其中，G是在满足等式y2＝x3+ax+b的椭圆曲线上的点(xG，yG)，其中，a和b是常数。可以在Standards for EfficientCryptograph Group′s Standards for Efficient Cryptography1：Elliptic CurveCryptography(SEC1)中找到标准椭圆曲线加密的细节。dS和QS形成静态公钥/私钥对324。
在事件304处，还使用椭圆曲线加密来产生短时公钥/私钥对(dE，QE)326。在一些实施例中，短时私钥dE是随机数或伪随机数，并且可以由熵源或随机数产生器328产生。
在事件306处，使用椭圆曲线Diffie-Hellman(ECDH)方案，可以根据短时私钥dE和静态公钥QS产生存储密钥KSTOR。
在事件308处，使用存储密钥KSTOR来加密在通信设备201上存储的凭证CR的集合。
在事件310处，使用数字签名算法，用静态私钥dS来产生针对已加密的凭证的签名SigCR。在一些实施例中，所使用的签名是在前述SEC1中描述的椭圆曲线数字签名算法(ECDSA)。
在事件312处，将已加密的凭证集合EncCR、签名SigCR、以及短时公钥QE连同用户的UID一起存储在凭证仓库134中。在一些实施例中，凭证仓库134中存储的信息还包括可以由时间源332或修订管理系统来产生的时间戳或版本信息。在一些实施例中，可以将已加密的凭证集合EncCR、签名SigCR、短时公钥QE、以及可选的时间戳或版本信息一起存储在凭证仓库134中，作为元组330。
当通信设备201希望访问或更新凭证仓库134中存储的凭证时，通信设备201首先必须通过图4中示出的示例方法向用户身份服务器132认证其身份。在通信设备的请求之前，将用户的唯一标识(UID)和认证令牌注册402到用户身份服务器132。认证令牌是根据UID和密码的散列值来创建的。
在事件404处，通信设备201向用户身份服务器132发送具有UID和随机数R1的访问请求。在事件406处，用户身份服务器132通过使用第二随机数R2质询通信设备来进行响应。
在事件408处，通信设备201产生响应令牌，并将其向用户身份服务器132发送。响应令牌是根据两个随机数(R1和R2)的散列值以及UID和密码的散列值所产生的。
在事件410处，用户身份服务器132根据两个随机数(R1和R2)的散列值以及认证令牌来产生验证令牌。
如果响应令牌和验证令牌匹配412，认证通信设备201并允许其访问所保护的用户凭证。
一旦被认证，用户可以如图5中所示出地访问在凭证仓库134上存储的凭证信息。在事件502处，用户可以接收已加密的凭证、签名、短时公钥以及与用户的UID相关联的任何其他信息。
在事件504处，通过使用被用来在事件302处产生dS的技术，可以根据用户的密码重新产生静态私钥dS。
在事件506处，使用静态私钥dS来验证已加密的凭证集合EncCR的签名SigCR。在一些实施例中，所使用的签名验证是椭圆曲线数字签名算法(ECDSA)验证函数。
在事件508处，使用椭圆曲线Diffie-Hellman(ECDH)方案，根据静态私钥ds和短时公钥QE来重新产生存储密钥KSTOR。该存储密钥与初始产生的用于以如以下等式所示地对凭证加密的存储密钥相同：
KSTOR＝dSQE＝dSdEG＝dEdSG＝dEQS
在事件510处，使用存储密钥KSTOR来解密已加密的凭证集合EncCR。
在事件512处，可以向通信设备201导入凭证。在一些实施例中，可以将整个凭证集合导入在设备201上，而在其他实施例中，用户可以仅向设备201导入所选择的凭证。
虽然主要在方法方面对本公开进行了描述，本公开也涉及各种设备，该各种设备包括用于执行所描述的方法的至少一些方面和特征的组件，可以通过硬件组件、软件或二者的任何组合的方式或者通过任何其他方式来提供。此外，与设备一起使用的制造品(例如，预先记录的存储设备或者其他类似的计算机可读介质)包括记录其上的程序指令。要理解，这种设备或制造品也在本公开的范围之内。
以上呈现的各个实施例仅是示例，并且绝不意味着对本公开的范围进行限制。具体地，可以从上述至少一个实施例中选择特征来创建由特征的子组合构成的、在上面没有明确描述的备选实施例。此外，可以从上述至少一个实施例选择特征并进行组合来创建由特征的组合构成的、在上面没有明确描述的备选实施例。在整体检视本申请时，适于这种组合和子组合的特征对本领域技术人员可以是显而易见的。在本文中描述并在所提到的权利要求中的主题意在覆盖和包含所有适合的技术改变。
Claims (17)
1.一种保护远程仓库中的用户凭证的方法，所述方法包括：
根据注册的密码来产生第一私钥和第一公钥对；
产生第二私钥和第二公钥对；
根据所述第二私钥和所述第一公钥来产生存储密钥；
使用所述存储密钥来加密凭证集合；
根据已加密的凭证集合和所述第一私钥来创建加密凭证签名；以及
将所述已加密的凭证集合、所述加密凭证签名、和所述第二公钥存储在所述远程仓库中。
2.根据权利要求1所述的方法，其中，根据注册的密码来产生第一私钥和第一公钥对利用了椭圆曲线密码方案。
3.根据权利要求1所述的方法，其中，产生第二私钥和第二公钥对利用了椭圆曲线密码方案。
4.根据权利要求1所述的方法，其中，根据所述第二私钥和所述第一公钥来产生存储密钥利用了椭圆曲线Diffie-Hellman方案。
5.根据权利要求1所述的方法，其中，根据已加密的凭证集合和所述第一私钥来创建加密凭证签名利用了椭圆曲线数字签名算法。
6.根据权利要求1所述的方法，其中，所述第一私钥和所述第一公钥对是静态密钥对，以及所述第二私钥和所述第二公钥对是短时密钥对。
7.一种对用于访问远程仓库中的用户凭证的请求进行认证的方法，所述远程仓库存储有唯一用户标识UID以及根据所述UID和密码产生的认证令牌，所述方法包括：
从通信设备接收用户登录标识和第一随机数；
向所述通信设备发送第二随机数；
从所述通信设备接收响应令牌，所述响应令牌是根据所述第一随机数、所述第二随机数、所述用户登录标识和所述密码产生的；
根据所述第一随机数、所述第二随机数、和所述认证令牌来产生验证令牌；以及
验证所述响应令牌与所述验证令牌匹配。
8.根据权利要求7所述的方法，其中，产生验证令牌包括：对所述第一随机数、所述第二随机数、和所述认证令牌应用散列函数。
9.根据权利要求7所述的方法，还包括：在所述响应令牌与所述验证令牌匹配时，向所述通信设备发送授权消息。
10.一种访问远程仓库中被保护的用户凭证的方法，所述方法包括：
从所述远程仓库接收已加密的凭证集合、加密凭证签名、和第二公钥；
根据用户输入的密码来产生第一私钥；
根据所述已加密的凭证集合和所述第一私钥来验证所述加密凭证签名；
根据所述第一私钥和所述第二公钥来产生存储密钥；以及
使用所述存储密钥来解密所述已加密的凭证集合。
11.根据权利要求10所述的方法，其中，根据用户输入的密码来产生第一私钥利用了椭圆曲线密码方案。
12.根据权利要求10所述的方法，其中，根据所述第一私钥和所述第二公钥来产生存储密钥利用了椭圆曲线Diffie-Hellman方案。
13.根据权利要求10所述的方法，还包括：向通信设备导入凭证集合。
14.一种用于保护远程仓库中的用户凭证的服务器，所述服务器包括：
处理器；
存储器；以及
加密模块，当由所述处理器执行时，所述加密模块将所述处理器配置为：
根据注册的密码来产生第一私钥和第一公钥对；
产生第二私钥和第二公钥对；
根据所述第二私钥和所述第一公钥来产生存储密钥；
使用所述存储密钥来加密凭证集合；
根据已加密的凭证集合和所述第一私钥来创建加密凭证签名；以及
将所述已加密的凭证集合、所述加密凭证签名、和所述第二公钥存储在所述远程仓库中。
15.一种对用于访问远程仓库中的用户凭证的请求进行认证的服务器，所述远程仓库存储有唯一用户标识UID以及根据所述UID和密码产生的认证令牌，所述服务器包括：
处理器；
存储器；以及
认证模块，当由所述处理器执行时，所述认证模块将所述处理器配置为：
从通信设备接收用户登录标识和第一随机数；
向所述通信设备发送第二随机数；
从所述通信设备接收响应令牌，所述响应令牌是根据所述第一随机数、所述第二随机数、所述用户登录标识和所述密码产生的；
根据所述第一随机数、所述第二随机数、和所述认证令牌来产生验证令牌；以及
验证所述响应令牌与所述验证令牌匹配。
16.一种对用于访问远程仓库中的用户凭证的请求进行认证的通信设备，所述远程仓库存储有唯一用户标识UID以及根据所述UID和密码产生的认证令牌，所述通信设备包括：
处理器；
存储器；以及
远程凭证管理模块，当由所述处理器执行时，所述远程凭证管理模块将所述处理器配置为：
向服务器发送用户登录标识和第一随机数；
从所述服务器接收第二随机数；
根据所述第一随机数、所述第二随机数、所述用户登录标识和所述密码来产生响应令牌；
向所述服务器发送所述响应令牌；以及
从所述服务器接收认证消息。
17.一种用于访问远程仓库中被保护的用户凭证的通信设备，所述通信设备包括：
处理器；
存储器；以及
远程凭证管理模块，当由所述处理器执行时，所述远程凭证管理模块将所述处理器配置为：
从所述远程仓库接收已加密的凭证集合、加密凭证签名和第二公钥；
根据用户输入的密码来产生第一私钥；
根据所述已加密的凭证集合和所述第一私钥来验证所述加密凭证签名；
根据所述第一私钥和所述第二公钥来产生存储密钥；
使用所述存储密钥来解密所述已加密的凭证集合；以及
向所述设备导入已解密的凭证集合。
Applications Claiming Priority (3)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| EP10187215A EP2442253A1 (en) | 2010-10-12 | 2010-10-12 | A method for securing credentials in a remote repository |
| EP10187215.8 | 2010-10-12 | ||
| PCT/US2011/055445 WO2012051076A2 (en) | 2010-10-12 | 2011-10-07 | A method for securing credentials in a remote repository |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN103250162A true CN103250162A (zh) | 2013-08-14 |
| CN103250162B CN103250162B (zh) | 2016-02-03 |
Family
ID=43589518
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201180058822.XA Active CN103250162B (zh) | 2010-10-12 | 2011-10-07 | 用于保护远程仓库中的凭证的方法、通信设备、服务器 |
Country Status (4)
| Country | Link |
|---|---|
| EP (1) | EP2442253A1 (zh) |
| CN (1) | CN103250162B (zh) |
| CA (1) | CA2813765C (zh) |
| WO (1) | WO2012051076A2 (zh) |
Cited By (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN105100009A (zh) * | 2014-05-12 | 2015-11-25 | 阿里巴巴集团控股有限公司 | 登陆控制系统、方法和装置 |
| CN109155035A (zh) * | 2016-02-23 | 2019-01-04 | 区块链控股有限公司 | 用于使用区块链在点对点分布式账簿上有效转移实体的方法及系统 |
| CN110619222A (zh) * | 2019-08-21 | 2019-12-27 | 上海唯链信息科技有限公司 | 基于区块链的授权处理方法、装置、系统及介质 |
| CN114189857A (zh) * | 2017-05-11 | 2022-03-15 | 无线通信与技术公司 | 网关及由网关实施的方法 |
| CN115280718A (zh) * | 2020-03-13 | 2022-11-01 | 国际商业机器公司 | 端点实例之间的安全私钥分发 |
Families Citing this family (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US11310059B2 (en) | 2020-06-02 | 2022-04-19 | Microsoft Technology Licensing, Llc | Ephemeral cryptography keys for authenticating computing services |
Family Cites Families (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CA2256936C (en) * | 1998-12-23 | 2002-04-02 | Hamid Bacha | System for electronic repository of data enforcing access control on data search and retrieval |
| US7707420B1 (en) * | 1999-06-23 | 2010-04-27 | Research In Motion Limited | Public key encryption with digital signature scheme |
| DE19946127A1 (de) * | 1999-09-20 | 2001-04-12 | Deutsche Telekom Ag | Verfahren zur Entschlüsselung von mit einem hybriden Verschlüsselungsverfahren verschlüsselten Dokumenten nach Verlust des privaten kryptografischen Schlüssels |
| US6826686B1 (en) * | 2000-04-14 | 2004-11-30 | International Business Machines Corporation | Method and apparatus for secure password transmission and password changes |
| US7548620B2 (en) * | 2004-02-23 | 2009-06-16 | Verisign, Inc. | Token provisioning |
| US20060153370A1 (en) * | 2005-01-07 | 2006-07-13 | Beeson Curtis L | Generating public-private key pair based on user input data |
| US20090144557A1 (en) * | 2007-07-26 | 2009-06-04 | Hyblue, Inc. | Recoverable secure data store system and method |
-
2010
- 2010-10-12 EP EP10187215A patent/EP2442253A1/en not_active Ceased
-
2011
- 2011-10-07 CA CA2813765A patent/CA2813765C/en active Active
- 2011-10-07 CN CN201180058822.XA patent/CN103250162B/zh active Active
- 2011-10-07 WO PCT/US2011/055445 patent/WO2012051076A2/en active Application Filing
Cited By (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN105100009A (zh) * | 2014-05-12 | 2015-11-25 | 阿里巴巴集团控股有限公司 | 登陆控制系统、方法和装置 |
| CN109155035A (zh) * | 2016-02-23 | 2019-01-04 | 区块链控股有限公司 | 用于使用区块链在点对点分布式账簿上有效转移实体的方法及系统 |
| CN109155035B (zh) * | 2016-02-23 | 2023-07-04 | 区块链控股有限公司 | 用于使用区块链在点对点分布式账簿上有效转移实体的方法及系统 |
| CN114189857A (zh) * | 2017-05-11 | 2022-03-15 | 无线通信与技术公司 | 网关及由网关实施的方法 |
| CN114189857B (zh) * | 2017-05-11 | 2023-11-28 | 无线通信与技术公司 | 网关及由网关实施的方法 |
| CN110619222A (zh) * | 2019-08-21 | 2019-12-27 | 上海唯链信息科技有限公司 | 基于区块链的授权处理方法、装置、系统及介质 |
| CN115280718A (zh) * | 2020-03-13 | 2022-11-01 | 国际商业机器公司 | 端点实例之间的安全私钥分发 |
| CN115280718B (zh) * | 2020-03-13 | 2023-10-24 | 国际商业机器公司 | 用于授权实例之间的安全私钥分发的方法和系统 |
Also Published As
| Publication number | Publication date |
|---|---|
| CA2813765C (en) | 2018-07-31 |
| CN103250162B (zh) | 2016-02-03 |
| WO2012051076A2 (en) | 2012-04-19 |
| CA2813765A1 (en) | 2012-04-19 |
| WO2012051076A3 (en) | 2012-06-21 |
| EP2442253A1 (en) | 2012-04-18 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US9455830B2 (en) | Method for securing credentials in a remote repository | |
| US11200307B2 (en) | Access management | |
| US8566911B2 (en) | Method of obtaining authorization for accessing a service | |
| US8898453B2 (en) | Authentication server and method for granting tokens | |
| EP2622786B1 (en) | Mobile handset identification and communication authentication | |
| US9060273B2 (en) | Authentication server and methods for granting tokens comprising location data | |
| CA2734481C (en) | Authentication server and method for granting tokens | |
| EP2879421B1 (en) | Terminal identity verification and service authentication method, system, and terminal | |
| WO2004054196A1 (en) | System and method of secure authentication information distribution | |
| CN103250162B (zh) | 用于保护远程仓库中的凭证的方法、通信设备、服务器 | |
| CA2807583C (en) | Method of obtaining authorization for accessing a service | |
| JP2014006691A (ja) | デバイス認証方法及びシステム | |
| CN104753679A (zh) | 用户认证方法和系统、以及智能穿戴设备 | |
| CA2809562C (en) | Authentication server and methods for granting tokens comprising location data | |
| JP6719503B2 (ja) | ログイン制御方法 | |
| CA2734028C (en) | Use of certificate authority to control a device's access to services | |
| Konidala et al. | A secure and privacy enhanced protocol for location-based services in ubiquitous society | |
| Kasper et al. | Rights management with NFC smartphones and electronic ID cards: A proof of concept for modern car sharing | |
| KR101550425B1 (ko) | 유심 인증을 이용한 서비스 제공 시스템 및 방법 | |
| Rad et al. | A secure protocol for traffic police mobile communication system | |
| Roselin Selvarani | Secured Paradigm for Mobile Databases |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| C10 | Entry into substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| CB02 | Change of applicant information |
Address after: Voight, Ontario, Canada Applicant after: Blackberry Ltd. Applicant after: Certicom Corp. Address before: Voight, Ontario, Canada Applicant before: Research In Motion Ltd. Applicant before: Certicom Corp. |
|
| COR | Change of bibliographic data | ||
| C14 | Grant of patent or utility model | ||
| GR01 | Patent grant | ||
| TR01 | Transfer of patent right |
Effective date of registration: 20191023 Address after: Voight, Ontario, Canada Patentee after: BlackBerry Ltd. Address before: Voight, Ontario, Canada Co-patentee before: CERTICOM Corp. Patentee before: Blackberry Ltd. |
|
| TR01 | Transfer of patent right | ||
| TR01 | Transfer of patent right |
Effective date of registration: 20240605 Address after: Illinois Patentee after: Ot patent trusteeship Co.,Ltd. Country or region after: U.S.A. Address before: Voight, Ontario, Canada Patentee before: BlackBerry Ltd. Country or region before: Canada |
|
| TR01 | Transfer of patent right |
Effective date of registration: 20240702 Address after: Ai Erlandubailin Patentee after: Maliki Innovation Co.,Ltd. Country or region after: Ireland Address before: Illinois Patentee before: Ot patent trusteeship Co.,Ltd. Country or region before: U.S.A. |