CN103636162B - 经由两个通信设备的认证系统 - Google Patents

经由两个通信设备的认证系统 Download PDF

Info

Publication number
CN103636162B
CN103636162B CN201280031601.8A CN201280031601A CN103636162B CN 103636162 B CN103636162 B CN 103636162B CN 201280031601 A CN201280031601 A CN 201280031601A CN 103636162 B CN103636162 B CN 103636162B
Authority
CN
China
Prior art keywords
communication terminal
user
identifier
terminal
coded data
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201280031601.8A
Other languages
English (en)
Other versions
CN103636162A (zh
Inventor
S·帕彼隆
A·马丁
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Alcatel Lucent SAS
Original Assignee
Alcatel Lucent SAS
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Alcatel Lucent SAS filed Critical Alcatel Lucent SAS
Publication of CN103636162A publication Critical patent/CN103636162A/zh
Application granted granted Critical
Publication of CN103636162B publication Critical patent/CN103636162B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3215—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a plurality of channels
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/34—User authentication involving the use of external additional devices, e.g. dongles or smart cards
    • G06F21/35—User authentication involving the use of external additional devices, e.g. dongles or smart cards communicating wirelessly
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H04L63/0838—Network architectures or network communication protocols for network security for authentication of entities using passwords using one-time-passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/56—Financial cryptography, e.g. electronic payment or e-cash
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Telephonic Communication Services (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

为了认证拥有第一通信终端（TC1）和第二通信终端（TC2）的用户，第一通信终端（TC1）连接到应用服务器（SApp）以便访问服务，所述应用服务器（SApp）连接到能够与第二终端通信的认证服务器（SAuth），认证服务器（SAuth）接收从第一通信终端传送的用户标识符（IdU）并且基于接收的标识符识别第二通信终端。认证服务器生成编码数据（DonC）并且将其向两个终端中的一个终端传送，并且向两个终端中的另一个终端传送命令，以邀请用户使用由所述两个终端中的一个终端所接收到的所述编码数据来提供数据集（EnsD）。认证服务器使用编码数据将数据集与秘密数据（DonS）进行比较，以便允许用户访问应用服务器（SApp）。

Description

经由两个通信设备的认证系统
技术领域
本发明涉及经由两个通信设备的用户认证。
背景技术
目前，进行在线敏感交易是有风险的，包括例如在网吧或公共地点从计算机认证。这些机器的不可靠性为黑客收集敏感信息（例如接入码）提供了机会。简单的键盘记录器能够发送秘密信息，例如接入码、密码、或PIN码。恶毒的软件（例如恶意软件）能够自动进行大规模的身份盗取并且通过模仿给定用户来进行未经授权的交易。
有越来越多的在授权之前可能要求识别和认证的在线可使用的资源：电子银行应用、电子商务应用、社交网络应用、以及通过网络托管和分发的应用。此外，诸如监视器或视频投影机的实体可能成为认证的手段。这就是为什么使用单个身份或少数身份的身份统一解决方案来帮助基于互联网的识别和认证是至关重要的。然而，这些解决方案不保证用户认证。基于所有这些原因，诸如持久性密码或PIN码的敏感信息一定不能在不可靠的机器上输入。
发明内容
为了弥补上述缺陷，提出了用于认证拥有第一通信终端和第二通信终端的用户的方法，第一通信终端连接到应用服务器以便访问服务，所述应用服务器连接到能够与第一通信终端和第二通信终端通信的认证服务器，在所述认证服务器内包括以下步骤：
在接收到从第一通信终端传送的用户标识符之后，从所接收的用户标识符识别第二通信终端；
生成编码数据；
向第一通信终端或者第二通信终端传送所生成的编码数据；
向第一通信终端或第二通信终端中的另一个通信终端传送命令，以提示所述用户通过使用由所述第一通信终端或第二通信终端所接收的编码数据来提供数据集；以及
为了允许所述用户经由所述第一通信终端访问所述应用服务器，使用所生成的编码数据将由所述用户提供的并且由所述第一通信终端或第二通信终端中的另一个通信终端传送的数据集与秘密数据进行比较。
有利地，本发明提供了一种使用来自属性上不可靠的两个通信终端的PIN码或密码的可靠的方法。采用这种方法，避免了安装在诸如计算机或移动电话的通信终端中的任何恶意软件取回到持久性敏感信息。然后，用户可以使用密码而无需害怕被窃取。
根据本发明的另一个特征，所述认证服务器基于所接收的用户标识符能够隐含地识别所述第二通信终端，所述认证服务器先前已经保存了作为所述用户标识符的匹配的第二通信终端的标识，所述第二通信终端的标识。
根据本发明的另一个特征，认证服务器能够明显地识别所述第二通信终端，所述用户已经使用对应于该第二通信终端的标识的附加的信息部分填写了用户标识符。
根据本发明的另一个特征，在接收到由用户提供的并且从第二通信终端传送的初始标识符后，认证服务器从接收到的初始标识推断用户的身份；生成所述用户标识符，所述用户标识符是临时标识符；临时保存作为所述第二终端的标识的匹配的临时标识符；并且向第二通信终端传送所述用户标识符。
根据本发明的另一个特征，在接收到从第二通信终端传送的请求之后，所述认证服务器从与所述请求相关联的第二通信终端的标识符推断所述用户身份；生成所述用户标识符，所述用户标识符是临时标识符，临时保存作为第二终端的标识的匹配的临时标识符，并且向所述第二通信终端传送所述用户标识符。
根据本发明的另一个特征，所述编码数据的目的是在两个字符集之间建立匹配，以便用户经由所述数据集以混乱的形式提供一连串的字符。
根据本发明的另一个特征，所述编码数据是动态的，并且每当该用户已经提供了预定数量的字符时是会改变的。
根据本发明的另一个特征，所述编码数据以文本的形式、以表格的形式、以图像的形式、或以语音的形式向第一通信终端或第二通信终端传送。
根据本发明的另一个特征，所述秘密的数据是密码、编码、或银行卡号码。
本发明也涉及用于认证拥有第一通信终端和第二通信终端的用户认证服务器，为了访问服务所述第一通信终端连接到所述应用服务器，所述应用服务器连接到能够与所述第一通信终端和所述第二通信终端通信的认证服务器，所述认证服务器包括：
用于在接收到从所述第一通信终端传送的用户标识符之后，基于所接收的用户标识符识别所述第二通信终端的装置；
用于生成编码数据的装置；
用于向所述第一通信终端或者所述第二通信终端传送所生成的编码数据的装置；
向所述第一通信终端和所述第二通信终端中的另一个通信终端传送命令，以提示所述用户通过使用由所述第一通信终端或所述第二通信终端接收到的所述编码数据来提供数据集的装置；以及
用于基于所生成的编码数据将由所述用户输入并且由所述第二通信终端传送的数据集与秘密数据进行比较，以便允许所述用户经由所述第一通信终端访问所述应用服务器的装置。
本发明也涉及能够在服务器内实施的计算机程序，所述计算机程序包括指令，每当所述程序在所述服务器内执行时，所述指令根据本发明的方法执行所述步骤。
附图说明
依靠参照附图的以下描述将更好地理解本发明及其益处，其中：
-图1是根据本发明的一个实施例通信系统的原理框图；
-图2是根据本发明的一个实施例的用户认证方法的算法；和
-图3A、3B、3C和3D说明了本发明的不同的示例实施例。
具体实施方式
参照图1，通信系统包括应用服务器SApp、认证服务器SAuth、第一通信终端TC1和第二通信终端TC2，通过电信网络RT应用服务器SApp和认证服务器SAuth能够彼此通信并且都能够与第一通信终端TC1和第二通信终端TC2通信。
电信网络RT可以是有线网络或无线网络，或有线网络和无线网络的组合。
在一个示例中，电信网络RT是高速IP（互联网协议）分组网络，例如互联网或企业内部网。
在另一个示例中，电信网络RT是TDM（时分复用）网络或针对于公司的支持私有协议的私有网络。
用户的通信终端TC1或TC2通过电信网络RT连接到应用服务器SA。
在一个示例中，通信终端是个人计算机，其通过调制解调器直接连接到连接到电信网络RT的xDSL（数字用户线）链路或ISDN（综合业务数字网）链路。
在另一个示例中，通信终端是移动蜂窝无线电通信终端，其通过无线电通信信道连接到电信网络，例如GSM（全球移动通信系统）或UMTS（通用移动通信系统）类型。
在另一个示例中，通信终端包括电子的电信设备或物体，所述电信设备或物体可以是连接到电信网络的个人数字助理（PDA）或智能手机，能够连接到在公共无线局域网（WLAN）、使用802.1x标准的网络、或使用WIMAX（微波接入全球性互通）协议的网络上的天线。
例如，通信终端是TDM有线电话或IP语音有线电话。根据另一个示例，通信终端是经由以太网连接供电的POE（以太网供电）有线电话。
应用服务器SApp是在识别并且认证用户之后向用户提供给定服务的服务器。
根据一个示例，应用服务器SApp是托管提供给定服务的网站（例如电子商务网站）的网络服务器。
根据另一个示例，应用服务器SApp是托管提供给定服务（例如诸如购买给定产品）的语音服务器。
应用服务器SApp数据库内包含关于各种用户的信息，并且特别是每个用户的配置文件，该配置文件包括：诸如密码或编码或特定序列的字母数字字符（例如银行卡号码）的标识DonS、第一通信终端的标识IdTC1、以及第二通信终端的标识IdTC2。标识TC1和TC2可以是终端的地址，例如IP或MAC（媒体访问控制）地址、或电话号码、或能够识别终端的任何类型的数据。
认证服务器SAuth包括识别模块IDE以及认证模块AUT。在说明书的其余部分，术语模块可以指代被配置为执行至少一个特定任务的设备、软件程序、或计算机硬件和软件的组合。
识别模块IDE取回由用户为了访问特定资源（例如由网站提供的服务）而提供的标识IdU。
用户标识符IdU可以是持久性的或一次性的登录。
用户可以明显地或隐含地请求临时标识符IdU，即一次性的标识。可以通过向认证服务器传送初始标识符从而向认证服务器发起明显请求，例如，可以使认证服务器能够识别用户、生成认证服务器、以及继而用户临时标识符的持久性标识。从认证服务器已经知道的通信终端可以向该认证服务器发起隐式请求，即该服务器已经知道与该请求相关联的标识，认证服务器从该标识推断出该用户身份，然后生成临时标识符。
识别模块IDE将两个通信终端相互配成一对。配对可以是明显地或隐含地进行。
对于隐含的配对，由用户从第一通信终端输入的用户标识符IdU可用于定位第二通信终端的标识IdTC2，另外可选择的使用第一通信终端的标识IdTC1。服务器SAuth从而基于用户标识符IdU定位终端标识IdTC1和终端标识IdTC2之间的匹配。
对于明确的配对，用户输入具有对应于第二通信终端的标识IdTC2的附加的信息部分的用户标识符IdU。
识别模块IDE识别并且选择用户所需的终端，以便经由终端中的一个终端输入秘密数据DonS，以便经由终端中的另一个终端获得编码数据DonC。取决于当请求访问应用服务器SApp时由用户所使用的终端的类型，可以基于由那个用户先前提供的用户的偏好来进行这种识别，或者可以基于上下文推断来进行这种识别。
认证模块AUT生成用于认证用户的编码数据DonC。编码数据DonC的目的是在两个字符集之间建立匹配，以便用户以混乱的形式提供对应于诸如编码或密码的秘密信息的一连串的字符。例如，编码数据包括在包括数字1至9的两个集合之间建立连接的指示，一个集合中的每个数字对应于另一个集合中的一个不同数字。
认证模块AUT向由识别模块IDE所选择的通信终端中的一个通信终端传送编码数据DonC。然后，取决于该通信终端的能力，和可选择地取决于用户的偏好，该通信终端向用户以不同的可能格式提供编码数据。根据一个示例，编码数据以文本的形式、以表格的形式、或以图像的形式呈现在该通信终端的屏幕上。根据另一个实施例，经由该通信终端的扬声器向用户读出编码数据。
认证模块AUT向由识别模块IDE所选择的通信终端中的另一个通信终端传送命令，以邀请用户使用先前接收到的编码数据DonC来提供对应于秘密数据DonS的数据集。接收这个命令的通信终端包括：用于解释那个命令的和用于邀请用户经由图形或语音接口输入秘密信息的装置。例如，该通信终端包括运行在后台中的应用，它解释从认证服务器SAuth接收到的每个消息。这个应用可以是由该通信终端的操作系统管理的应用，或者可以是由SIM卡管理的以STK（SIM应用工具包）应用的形式的应用，例如在该终端是GSM移动电话的情况下，该STK应用能够直接与通信网络的实体通信，并且特别是直接与认证服务器SAuth通信。
假设两个通信终端大致同时接收编码数据DonC和提供秘密数据DonS的命令。
在一个用于示例性目的示例中，认证服务器SAuth向第一通信终端TC1传送编码数据，TC1是连接到由应用服务器SA托管的网站的个人计算机。第一终端TC1以代表数字键盘的三行乘以三列的网格的形式呈现编码数据，其中数字1至9以降序从左到右和从上到下排列。此外，认证服务器SAuth向第二通信终端TC1（TC2）传送命令，第二通信终端是智能手机。第二通信终端TC2呈现代表数字键盘的三行乘以三列的网格，在该网格中数字1至9以升序从左到右和从上到下排列。用户可以从中推断数字1对应于数字9、数字2对应于数字8等等。如果输入的秘密数据是例如3589的四位编码，则用户可以输入全部的数据，该数据是7521的顺序。
在一个实施例中，编码数据是动态的并且可能随着时间而改变。在第一示例中，每当用户提供一个字符时，或者每当用户已经提供了预定数目的字符时，两个字符集之间的匹配会变化。为此，输入字符的终端可以向认证服务器传送消息，认证服务器向呈现编码数据的终端传送新的编码数据。在第二示例中，当一个或多个时间间隔到期时，两个字符集之间的匹配会变化。当呈现编码数据的终端和认证服务器共有相同的编码数据时，认证服务器将能够通过该终端的应用解释由用户输入的字符序列、数据，该数据是例如与由用户输入的每个字符相关联的。
为了检查输入的字符序列（例如，输入的EnsD数据集）是否对应于用户为了他或她的认证所请求的秘密数据DonS，认证模块AUT借助于编码数据DonC解码由用户输入的字符。
在一个实施例中，认证服务器SAuth和应用服务器SApp集成于单个实体中。
参照图2，根据本发明的一个实施例的认证方法包括：步骤E1到E6，其在通信系统内自动地执行。
在步骤E1中，用户经由第一通信终端TC1连接到应用服务器SApp并且想要访问由应用服务器SApp提供的服务。服务器SApp使用认证系统通过邀请用户提供诸如用户名称或“登录”的用户标识符IdU、和选择诸如密码或编码或例如银行卡号码的特定序列的字符的秘密数据DonS，以允许用户访问该服务。
在步骤E2中，用户输入用户标识符IdU并且第一通信终端TC1向应用服务器SApp传送该用户标识符IdU，应用服务器SApp向认证服务器SAuth再传送该用户标识符IdU。在一种变形中，第一通信终端TC1直接向认证服务器SAuth传送该标识IdU。
如前所述，用户可以明显地或隐含地从认证服务器请求临时的用户标识符IdU，即一次性标识。使用临时标识符允许用户避免给出他或她的持久性标识。
通过向认证服务器传送例如持久性标识的初始标识，可以从第二通信终端TC2向认证服务器发起明确的请求。认证服务器从接收到的初始标识推断用户的身份，并且生成用户标识符IdU，该用户标识符IdU是临时标识符。然后，认证服务器临时地保存该临时标识符，作为第二终端的标识IdTC2的匹配，标识IdTC2是例如从该明显请求的上下文中推断的。
可以从认证服务器已经知道的第二通信终端TC2向认证服务器发起隐含请求，即认证服务器已经知道与该请求相关联的标识IdTC2的那个终端。认证服务器从第二终端的标识IdTC2推断用户的身份，并且生成用户标识符IdU，该用户标识符IdU是临时标识符。然后，认证服务器临时地保存该临时标识符，作为第二终端的标识符IdTC2的匹配。在这种情况下，假设认证服务器已经记住标识符IdTC2和用户的持久性标识之间的匹配。
在任何一种情况下，对于隐含的或明显的请求，认证服务器向第二通信终端TC2传送临时的用户标识符，并且然后该用户能够从第一通信终端TC1输入用户标识符IdU。
可选地，向认证服务器SAuth传送第一通信终端TC1的标识符TC1。
在步骤E3中，认证服务器SAuth将第一通信终端TC1与第二通信终端TC2配对。
为此，识别模块IDE借助于用户标识符IdU在数据库中定位第二通信终端的标识IdTC2。
如前所述，所述配对可以是隐含的，借助于用户标识符IdU，和可选择地借助于第一终端的标识IdTC1自动地定位第二通信终端的标识IdTC2。基于用户偏好和与每个终端相关联的潜在的上下文，第一终端的标识符IdTC1可能影响第二终端的选择。所述配对也可以是明确的，借助于使用匹配第二通信终端的标识IdTC2的附加的信息部分输入的用户标识符IdU来定位第二终端的标识IdTC2。在这种情况下，用户他自己或她自己指定他或她想使用的第二通信终端。
如果用户标识符IdU是临时标识符，则假设用户倾向于隐含的配对，不管怎样用户能够倾向于明确的配对。
然后，认证服务器SAuth向两个通信终端分配角色，指定他们中一个通信终端来向用户提供编码数据并且指定另一个通信终端来邀请用户输入他或她的秘密数据，第一终端和第二终端都潜在地承担两种角色之一的角色。为了清楚，在本方法的其余部分中假设：选择第一通信终端TC1来向用户提供编码数据，而选择第二通信终端TC2来邀请用户输入秘密数据。
在步骤E4中，认证模块AUT生成用于认证用户的编码数据DonC。认证模块AUT向第一通信终端TC1传送编码数据，第一通信终端TC1例如通过以示出两个数字集之间匹配的图像的形式将编码数据呈现在屏幕上，将编码数据提供给用户。
在步骤E5中，认证模块AUT向第二通信终端传送命令，以便邀请用户输入匹配秘密数据DonS的数据集EnsD。第二通信终端TC2例如借助于运行在后台中的应用来解释这个命令，并且邀请用户经由图形接口输入数据集EnsD。例如，第二终端包括可呈现数字键盘的触摸屏，通过使用呈现在第一通信终端TC1上的编码数据DonC，用户能够输入匹配秘密数据DonS的编码。
然后，第二通信终端TC2向认证服务器SAuth传送数据集EnsD。
可以大致同时执行步骤E4和E5，或者步骤E4和步骤E5的顺序可以是潜在相反的，在用户输入所述数据集之前，认证服务器SAuth首先向第二终端传送命令，然后向第一终端传送编码数据。
在步骤E6中，认证服务器SAuth将由用户输入并且由第二通信终端TC2传送的数据集EnsD与基于先前生成并且向第一通信终端TC1传送的编码数据的秘密数据DonS进行比较。
如果数据集EnsD匹配秘密数据DonS，则认证服务器SAuth允许访问由应用服务器SApp提供的服务。
作为示例性示例，参照图3A、3B、3C和3D描述了四个示例实施例。
参照图3A，实现了认证方法，在该认证方法期间由用户明显地提供了标识IdU并且两个通信终端隐含地配对。假设第一终端TC1和第二终端TC2都在用户能触及的范围内，并且认证服务器SAuth记住了用户标识符IdU和第一终端标识IdTC1之间的匹配。
在步骤3A1中，用户从第二终端TC2向认证服务器SAuth传送他或她的用户标识符IdU，认证服务器SAuth识别第一终端TC1。
在步骤3A2a中，认证服务器SAuth传送将被呈现在第二终端TC2上的虚拟键盘以及邀请用户输入秘密信息的命令。
在步骤3A2b中，认证服务器SAuth传送将被呈现在终端TC1上的编码数据。
在步骤3A3中，用户在第二终端TC2的虚拟键盘上输入匹配秘密数据的数据集。然后，这个数据集被传送到认证服务器SAuth，认证服务器SAuth检查该数据集的有效性。
参照图3B，实现了认证方法，在该认证方法期间借助于临时标识符两个通信终端隐含地配对。
在步骤3B1中，从第一终端TC1，用户从认证服务器SAuth请求临时标识符。
在步骤3B2中，认证服务器SAuth生成临时标识符并且向第一终端TC1传送该临时标识符。
在步骤3B3中，用户想要从第二终端TC2使用该临时标识符。在一个实施例中，用户从第二终端TC2（例如智能电话）拍摄了临时标识符的照片，并且取回该临时标识符以便从第二终端使用该临时标识符。为了避免任何的安全问题，假设第一终端和第二终端不相互通信。
在步骤3B4中，用户从第二通信终端向认证服务器SAuth传送该临时标识符，认证服务器SAuth能够执行与该终端的配对。
在步骤3B5a中，认证服务器SAuth传送将被呈现在第二终端TC2上的虚拟键盘以及邀请用户输入秘密信息的命令。
在步骤3B5b中，认证服务器SAuth向第一终端TC1传送编码数据。
参照图3C，实现了认证方法，在该认证方法期间借助于临时标识符两个通信终端隐含地配对。用户提供了第二终端的标识，第二终端不在用户能够触及的范围内，例如公共地点中的宽银幕终端。
在步骤3C1中，从第一终端TC1，用户从认证服务器SAuth请求临时标识符。
在步骤3C2a中，认证服务器SAuth生成临时标识符并且向第一终端TC1传送该临时标识符。
在步骤3C2b中，认证服务器SAuth向第二终端TC2传送该临时标识符。这使得用户能够验证他或她拥有所需的第二终端。
然后，如前述示例中执行认证；认证服务器SAuth传送将被呈现在第二终端TC2上的虚拟键盘以及邀请用户输入秘密信息的命令，并且认证服务器SAuth向第一终端TC1传送编码数据。
参照图3D，实现了认证方法，在该认证方法期间用户请求用于“按需”配对的编码。该编码可以是其内部和自身的编码，或者与URL地址（统一资源定位符）组合的编码。
在步骤3D1中，用户从第二终端TC2向认证服务器SAuth传送他或她的用户标识符IdU并且从认证服务器SAuth请求编码。
在步骤3D2中，认证服务器SAuth传送将呈现在第二终端TC2上的虚拟键盘以及邀请用户输入秘密信息的命令，并且也传送先前请求的编码。
在步骤3D3中，用户想要使用从第一终端TC1取回的编码。在一个实施例中，用户从第二终端TC1（例如智能电话）拍摄了临时标识符的照片并且为了从第一终端使用该临时标识符取回了该临时标识符。
在步骤3D4中，用户从第一通信终端向认证服务器SAuth提供编码。该服务器SAuth在该用户和两个通信终端TC1和TC2之间做出了明确的链接。
在步骤3D5中，认证服务器SAuth向第一终端TC1传送编码数据。
本文所描述的发明涉及用于用户认证的方法和服务器。根据本发明的一个实施例，本发明的方法的步骤由并入在服务器（例如认证服务器）内的计算机程序的指令确定。该程序包括程序指令，当所述程序在服务器内被加载并且执行时，该程序指令执行本发明的方法的步骤。
因此，本发明也适用于适合实施本发明的计算机程序，特别是在信息介质上或在信息介质内的计算机程序。用于实施本发明方法的这种程序可以使用任何的程序语言，并且可以是以源代码、目标代码、或在源代码和目标代码之间的中间代码的形式（例如以部分编译的形式），或以任何其他可取的形式。

Claims (19)

1.一种用于认证拥有第一通信终端(TC1)和第二通信终端(TC2)的用户的方法，所述第一通信终端(TC1)连接到应用服务器(SApp)以便访问服务，所述应用服务器(SApp)连接到能够与所述第二通信终端(TC2)和所述第一通信终端(TC1)通信的认证服务器(SAuth)，在所述认证服务器(SAuth)内所述方法包括以下步骤：
在接收到从所述第一通信终端(TC1)传送的用户标识符(IdU)之后，基于所接收的用户标识符(IdU)识别(E3)所述第二通信终端(TC2)；
生成(E4)编码数据(DonC)；
向所述第一通信终端或者所述第二通信终端传送(E4)所生成的编码数据(DonC)；
向所述第一通信终端和所述第二通信终端中的另一个通信终端传送(E5)命令，以提示所述用户通过使用由所述第一通信终端或所述第二通信终端接收到的所述编码数据(DonC)来提供对应于秘密数据(DonS)的数据集(EnsD)；以及
基于生成的编码数据(DonC)将由用户输入并且由所述第一通信终端和所述第二通信终端中的另一个通信终端传送的数据集(EnsD)与秘密数据(DonS)进行比较(E6)，以便允许用户经由第一通信终端(TC1)访问应用服务器(SApp)。
2.根据权利要求1所述的方法，其中所述认证服务器(SAuth)基于接收的用户标识符(IdU)隐含地识别第二通信终端(TC2)，所述认证服务器(SAuth)先前已经保存了所述第二通信终端的标识(IdTC2)作为所述用户标识符(IdU)的匹配。
3.根据权利要求1所述的方法，其中所述认证服务器(SAuth)明显地识别所述第二通信终端(TC2)，所述用户已经使用对应于所述第二通信终端的标识符(IdTC2)的附加的信息部分填写了所述用户标识符(IdU)。
4.根据权利要求1至3中之一所述的方法，其中在接收到由所述用户提供并且从所述第二通信终端(TC2)传送的初始标识符之后，所述认证服务器(SAuth)从接收到的初始标识符推断该所述用户的身份；生成所述用户标识符(IdU)，所述用户标识符(IdU)是临时标识符；临时保存作为所述第二终端的标识符(IdTC2)的匹配的所述临时标识符；并且向所述第二通信终端(TC2)传送所述用户标识符(IdU)。
5.根据权利要求1至3之一所述的方法，其中在接收到从所述第二通信终端(TC2)传送的请求之后，所述认证服务器(SAuth)从与所述请求相关的所述第二通信终端的标识符(IdTC2)推断所述用户的身份；生成所述用户标识符(IdU)，所述用户标识符(IdU)是临时标识符；临时保存作为用于所述第二终端的标识符(IdTC2)的匹配的所述临时标识符；并且向所述第二通信终端(TC2)传送所述用户标识符(IdU)。
6.根据权利要求1至3之一所述的方法，其中所述编码数据(DonC)的目的是在两个字符集之间建立匹配，以便用户经由所述数据集(EnsD)以混乱的形式提供一连串的字符。
7.根据权利要求4所述的方法，其中所述编码数据(DonC)的目的是在两个字符集之间建立匹配，以便用户经由所述数据集(EnsD)以混乱的形式提供一连串的字符。
8.根据权利要求5所述的方法，其中所述编码数据(DonC)的目的是在两个字符集之间建立匹配，以便用户经由所述数据集(EnsD)以混乱的形式提供一连串的字符。
9.根据权利要求6所述的方法，其中所述编码数据(DonC)是动态的，并且每当所述用户已经提供了预定数目的字符时是会改变的。
10.根据权利要求1至3和7-9之一所述的方法，其中所述编码数据(DonC)是以文本的形式、以表格的形式、以图像的形式、或以语音的形式向所述第一通信终端或所述第二通信终端传送的。
11.根据权利要求4所述的方法，其中所述编码数据(DonC)是以文本的形式、以表格的形式、以图像的形式、或以语音的形式向所述第一通信终端或所述第二通信终端传送的。
12.根据权利要求5所述的方法，其中所述编码数据(DonC)是以文本的形式、以表格的形式、以图像的形式、或以语音的形式向所述第一通信终端或所述第二通信终端传送的。
13.根据权利要求6所述的方法，其中所述编码数据(DonC)是以文本的形式、以表格的形式、以图像的形式、或以语音的形式向所述第一通信终端或所述第二通信终端传送的。
14.根据权利要求1至3、7-9以及11-13之一所述的方法，其中所述秘密的数据(DonS)是密码、编码、或银行卡号码。
15.根据权利要求4所述的方法，其中所述秘密的数据(DonS)是密码、编码、或银行卡号码。
16.根据权利要求5所述的方法，其中所述秘密的数据(DonS)是密码、编码、或银行卡号码。
17.根据权利要求6所述的方法，其中所述秘密的数据(DonS)是密码、编码、或银行卡号码。
18.根据权利要求10所述的方法，其中所述秘密的数据(DonS)是密码、编码、或银行卡号码。
19.一种用于认证拥有第一通信终端(TC1)和第二通信终端(TC2)的用户认证服务器(SAuth)，所述第一通信终端连接到应用服务器(SApp)以便访问服务，所述应用服务器(SApp)连接到能够与第二通信终端(TC2)和第一通信终端(TC1)通信的认证服务器(SAuth)，所述认证服务器(SAuth)包括：
用于在接收到从所述第一通信终端(TC1)传送的用户标识符(IdU)之后，基于所接收的用户标识符(IdU)识别(E3)所述第二通信终端(TC2)的装置(IDE)；
用于生成编码数据(DonC)的装置(AUT)；
用于向所述第一通信终端或者所述第二通信终端传送所生成的编码数据(DonC)的装置(AUT)；
向所述第一通信终端和所述第二通信终端中的另一个通信终端传送(E5)命令，以提示所述用户通过使用由所述第一通信终端或所述第二通信终端接收到的所述编码数据(DonC)来提供对应于秘密数据(DonS)的数据集(EnsD)的装置(AUT)；以及
用于基于所生成的编码数据(DonC)将由所述用户输入并且由所述第二通信终端传送的数据集(EnsD)与秘密数据(DonS)进行比较(E6)，以便允许所述用户经由所述第一通信终端(TC1)访问所述应用服务器(SApp)的装置(AUT)。
CN201280031601.8A 2011-06-28 2012-06-15 经由两个通信设备的认证系统 Active CN103636162B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
FR1155751 2011-06-28
FR1155751A FR2977418B1 (fr) 2011-06-28 2011-06-28 Systeme d'authentification via deux dispositifs de communication
PCT/EP2012/061482 WO2013000741A1 (en) 2011-06-28 2012-06-15 Authentication system via two communication devices

Publications (2)

Publication Number Publication Date
CN103636162A CN103636162A (zh) 2014-03-12
CN103636162B true CN103636162B (zh) 2017-08-29

Family

ID=46420105

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201280031601.8A Active CN103636162B (zh) 2011-06-28 2012-06-15 经由两个通信设备的认证系统

Country Status (7)

Country Link
US (1) US20140109204A1 (zh)
EP (1) EP2727279A1 (zh)
JP (1) JP5784827B2 (zh)
KR (1) KR20140024437A (zh)
CN (1) CN103636162B (zh)
FR (1) FR2977418B1 (zh)
WO (1) WO2013000741A1 (zh)

Families Citing this family (26)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9591339B1 (en) 2012-11-27 2017-03-07 Apple Inc. Agnostic media delivery system
US9774917B1 (en) 2012-12-10 2017-09-26 Apple Inc. Channel bar user interface
US10200761B1 (en) 2012-12-13 2019-02-05 Apple Inc. TV side bar user interface
US9532111B1 (en) 2012-12-18 2016-12-27 Apple Inc. Devices and method for providing remote control hints on a display
US10521188B1 (en) 2012-12-31 2019-12-31 Apple Inc. Multi-user TV user interface
AU2015280256A1 (en) 2014-06-24 2016-10-13 Apple Inc. Column interface for navigating in a user interface
WO2016021978A1 (en) * 2014-08-08 2016-02-11 Lg Electronics Inc. A method and appartus for notifying authenticity information of caller identity in wireless access system
US9706401B2 (en) * 2014-11-25 2017-07-11 Microsoft Technology Licensing, Llc User-authentication-based approval of a first device via communication with a second device
FR3041129B1 (fr) * 2015-09-14 2017-09-01 Advanced Track & Trace Procede d'authentification de site de la toile et de securisation d'acces a un site de la toile
DK201670581A1 (en) 2016-06-12 2018-01-08 Apple Inc Device-level authorization for viewing content
DK201670582A1 (en) 2016-06-12 2018-01-02 Apple Inc Identifying applications on which content is available
US11966560B2 (en) 2016-10-26 2024-04-23 Apple Inc. User interfaces for browsing content from multiple content applications on an electronic device
GB2559130B (en) * 2017-01-25 2020-05-27 Syntec Holdings Ltd Secure data exchange by voice in telephone calls
KR101979111B1 (ko) * 2017-10-25 2019-05-15 이화여자대학교 산학협력단 P2p 통신을 위한 단말 인증 방법 및 멀티캐스트를 위한 단말 인증 방법
CN113906419A (zh) 2019-03-24 2022-01-07 苹果公司 用于媒体浏览应用程序的用户界面
EP3928194A1 (en) 2019-03-24 2021-12-29 Apple Inc. User interfaces including selectable representations of content items
US11683565B2 (en) 2019-03-24 2023-06-20 Apple Inc. User interfaces for interacting with channels that provide content that plays in a media browsing application
CN113940088A (zh) 2019-03-24 2022-01-14 苹果公司 用于查看和访问电子设备上的内容的用户界面
US11797606B2 (en) 2019-05-31 2023-10-24 Apple Inc. User interfaces for a podcast browsing and playback application
US11863837B2 (en) 2019-05-31 2024-01-02 Apple Inc. Notification of augmented reality content on an electronic device
SE545872C2 (en) * 2019-09-27 2024-02-27 No Common Payment Ab Generation and verification of a temporary authentication value for use in a secure transmission
CN110913080B (zh) * 2019-11-14 2022-02-11 北京明略软件系统有限公司 一种数据传输方法及装置
US11843838B2 (en) 2020-03-24 2023-12-12 Apple Inc. User interfaces for accessing episodes of a content series
US11899895B2 (en) 2020-06-21 2024-02-13 Apple Inc. User interfaces for setting up an electronic device
US11720229B2 (en) 2020-12-07 2023-08-08 Apple Inc. User interfaces for browsing and presenting content
US11934640B2 (en) 2021-01-29 2024-03-19 Apple Inc. User interfaces for record labels

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101366234A (zh) * 2006-02-03 2009-02-11 米德耶公司 用于终端用户的身份验证的系统、装备和方法

Family Cites Families (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4275080B2 (ja) * 2002-02-13 2009-06-10 パスロジ株式会社 ユーザ認証方法およびユーザ認証システム
US7289805B2 (en) * 2005-03-14 2007-10-30 Newstep Networks Inc. Method and system for providing a temporary subscriber identity to a roaming mobile communications device
GB0506570D0 (en) * 2005-03-31 2005-05-04 Vodafone Plc Facilitating and authenticating transactions
JP5057475B2 (ja) * 2005-06-23 2012-10-24 フランス・テレコム サービスアクセス認証データ管理システム
FI20051023L (fi) * 2005-10-11 2007-04-12 Meridea Financial Software Oy Menetelmä, laitteet ja järjestely yhteyden autentikoimiseksi kannettavan laitteen avulla
JP4763447B2 (ja) * 2005-12-19 2011-08-31 株式会社ソニー・コンピュータエンタテインメント 認証システム及び認証対象装置
JP4889395B2 (ja) * 2006-07-21 2012-03-07 株式会社野村総合研究所 認証システム、認証方法および認証プログラム
US20110208659A1 (en) * 2006-08-15 2011-08-25 Last Mile Technologies, Llc Method and apparatus for making secure transactions using an internet accessible device and application
EP1919156A1 (en) * 2006-11-06 2008-05-07 Axalto SA Optimized EAP-SIM authentication
JP2009032070A (ja) * 2007-07-27 2009-02-12 Hitachi Software Eng Co Ltd 認証システム及び認証方法
US20090063850A1 (en) * 2007-08-29 2009-03-05 Sharwan Kumar Joram Multiple factor user authentication system
US8559930B2 (en) * 2009-04-24 2013-10-15 Evolving Systems, Inc. Occasional access to a wireless network
JP4746643B2 (ja) * 2008-03-31 2011-08-10 株式会社三井住友銀行 本人確認システムおよび方法
US8307412B2 (en) * 2008-10-20 2012-11-06 Microsoft Corporation User authentication management
US20100198666A1 (en) * 2009-02-03 2010-08-05 Chiang Chih-Ming Internet advertising system and method with authentication process through a mobile phone network
WO2010094331A1 (en) * 2009-02-19 2010-08-26 Nokia Siemens Networks Oy Authentication to an identity provider
JP4803311B2 (ja) * 2010-08-04 2011-10-26 富士ゼロックス株式会社 認証装置、認証方法及びプログラム

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101366234A (zh) * 2006-02-03 2009-02-11 米德耶公司 用于终端用户的身份验证的系统、装备和方法

Also Published As

Publication number Publication date
EP2727279A1 (en) 2014-05-07
KR20140024437A (ko) 2014-02-28
CN103636162A (zh) 2014-03-12
JP2014525077A (ja) 2014-09-25
US20140109204A1 (en) 2014-04-17
FR2977418A1 (fr) 2013-01-04
JP5784827B2 (ja) 2015-09-24
WO2013000741A1 (en) 2013-01-03
FR2977418B1 (fr) 2013-06-28

Similar Documents

Publication Publication Date Title
CN103636162B (zh) 经由两个通信设备的认证系统
CN111212095B (zh) 一种身份信息的认证方法、服务器、客户端及系统
US10346147B2 (en) Method and apparatus for providing a profile
CN103607284B (zh) 身份认证方法及设备、服务器
US20190324735A1 (en) Method and apparatus for providing a profile
KR101485230B1 (ko) 안전한 멀티 ｕｉｍ 인증 및 키 교환
EP1997291B1 (en) Method and arrangement for secure authentication
CN103618794B (zh) 自动登录的方法、终端及服务器
CN107124433B (zh) 物联网系统、物联网设备访问方法、访问授权方法及设备
CN104756458B (zh) 用于保护通信网络中的连接的方法和设备
CN107580790A (zh) 用于提供简档的方法和装置
KR20160124648A (ko) 프로파일 다운로드 및 설치 장치
CN102171969A (zh) 用于操作网络的方法，用于其的系统管理设备、网络和计算机程序
EP3454504A1 (en) Service provider certificate management
JP2013502156A (ja) 表現の所有権を導出、通信及び／又は検証する方法及び装置
CN105075219A (zh) 包括安全性管理服务器和家庭网络的网络系统、以及用于在网络系统中包括设备的方法
CN108200081A (zh) 智能设备联网方法及智能设备系统
CN103368918A (zh) 一种动态口令认证方法、装置及系统
KR20130039745A (ko) 인증 연동 시스템 및 방법
CN108881153A (zh) 用于登入的认证方法
CN108306881A (zh) 一种身份验证方法和装置
CN110933670A (zh) 一种实现主认证增强的安全usim卡及终端的主认证方法
CN113453230B (zh) 终端管理方法和系统以及安全代理
TWI791905B (zh) 基於代碼化技術的認證存取系統及方法
TWI759090B (zh) 平台登入方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant