CN104125066B - 用于网络上的应用的安全认证的方法和系统 - Google Patents

Abstract

本发明公开了用于网络上的应用的安全认证的方法和系统。安全通信网络可包括：包括认证后端的服务器，所述认证后端被配置为与通信设备的认证前端通信。服务器小应用程序可与所述认证后端相关联。所述服务器小应用程序可以认证与所述通信设备相关的访问权限，并且基于从所述认证前端接收的信息建立用于与所述通信设备通信的安全级别。

Description

用于网络上的应用的安全认证的方法和系统

相关申请的交叉引用

本申请要求2013年4月26日提交的序列号为61/816,430的美国临时申请的优先权，通过引用将其全部内容并入本文。

技术领域

本公开涉及安全认证和/或为包括安全第三方的移动应用的执行在通信网络上的应用提供安全级别。

背景技术

随着技术的迅速发展，复杂的电子设备广泛使用于日常生活的几乎每一个方面。电子设备通常是十分简单的，但是也通常具有用于实现所述设备的成百上千的单个电子元件。软件经常与电子元件相配合，允许用户使用电子设备的全部性能。执行在网络上的所述应用可能需要安全认证。

发明内容

根据本发明的一个方面，提供一种安全通信网络，包括：服务器，包括认证后端，所述认证后端被配置为与通信设备的认证前端通信；以及服务器小应用程序，与所述认证后端相关联，其中，所述服务器小应用程序认证与所述通信设备相关的访问权限并且基于从所述认证前端接收的信息建立用于与所述通信设备通信的安全级别。

其中，至少部分基于所述通信设备的位置确定所述安全级别。

其中，所述通信包括通过网络端口的通信。

其中，通信设备包括移动设备。

其中，所述安全级别基于所述通信设备的当前通信协议。

其中，所述通信的方式被配置为在近场通信、蓝牙、无线保真和蜂窝网络之间改变。

其中，所述通信的方式被配置在所述通信设备的单个集成电路上。

其中，所述服务器小应用程序基于外部认证元素改变安全级别。

其中，所述外部认证元素包括用户的生物特征信息。

其中，所述外部认证元素包括环境信息。

其中，所述服务器小应用程序是利用硬件配置的。

根据本发明的另一个方面，提供一种用于使通信网络安全的方法，包括：从通信设备接收连接到服务器的请求；认证所述通信设备的用户；以及如果所述用户被认证，建立用于所述通信设备的安全级别；其中，基于从认证前端接收的信息建立所述安全级别。

其中，基于所述通信设备的位置确定所述安全级别。

其中，通过网络端口接收连接到网络服务器的所述请求。

其中，所述安全级别基于所述通信设备的当前通信方式。

进一步地，所述的方法包括：基于外部认证元素改变所述安全级别。

其中，所述外部认证元素包括所述用户的生物特征信息。

根据本发明的又一方面，提供一种通信设备，包括：网络端口；小应用程序，通过所述网络端口提供与通信网络的安全连接；以及认证前端，与所述小应用程序连接，所述认证前端将信息发送至服务器的认证后端，所述信息在所述通信网络上建立与所述服务器的所述安全连接的安全级别。

其中，所述信息包括所述通信设备的用户的位置。

进一步地，所述的通信设备包括：所述小应用程序的安全区域，所述安全区域包括硬件。

附图说明

参考以下附图以及描述可以更好得理解本发明。在附图中，通篇不同的附图，相同参考标号可指代相应的部分。

图1是示例性的安全通信环境的方框图。

图2是用于在网络上的通信设备和服务器之间建立示例性的安全通信的流程图。

图3是用于确定对通信设备可用的访问的安全级别的示例性的通信环境的方框图。

图4是示例性的多维、单个安全模块的方框图。

图5是建立执行在通信设备上的应用的安全通信的流程图示例。

具体实施方式

本讨论涉及用于使通信环境中的在线应用安全的方法和系统。用户的设备可以与服务器通信，以观看电影、执行银行功能、付款、购买安全敏感的物品(例如支票)、获得电子医疗或住院记录、获得大学记录以及就业记录等。设备的安全链路不必依赖于本地加密和用于给定网络的安全方法，例如，L2网络加密。可以支持在异构网络技术上的多个安全级别。不必依赖在应用级或者传输L3加密(IPsec)的端到端软件特定的安全方案。可以根据将使用的应用的一部分、服务器、通信设备和/或将通信设备连接到服务器的网络提供认证和/或多个安全级别。对于这种设备的安全措施的改进可以帮助继续驱动对这种设备的广泛采用和需求。

图1是示例性安全通信环境100的方框图。可以在例如第一通信设备104与第一服务器106、第二服务器108等的端点之间发送通信信号102。通信设备104可以是移动设备，例如，蜂窝电话、个人数字助理、平板、便携式电子邮件设备、智能电话、运载工具以及包括便携式游戏系统的其他移动设备。示例性的运载工具包括：汽车、飞机、船舶和航天器。在一些实施方式中，通信设备104也可以是例如工作站的台式计算机、家庭中的机顶盒等的非移动设备。

通信设备104可以包括被配置为发送与接收通信消息的收发器110。消息可以经由例如近场通信(NFC)、蓝牙(BT)、无线保真(WiFi)、红外(IR)以及蜂窝(例如3G、4G、5G)的不同协议发送。通信设备104还可以包括例如全球定位卫星(GPS)接收器112的定位设备。被配置为使用一个或多个不同协议通信的收发器和定位设备可以实施在单个集成电路上或者多个集成电路上。

为了保护在通信环境100中发送和接收的消息，通信设备还可以包括与存储器116直接或者间接连接的处理器114。处理器114可以执行例如存储在存储器116中的小应用程序(applet)的代码，以实施认证前端。可以利用例如安全元件、通用集成电路(UICC)或者安全数字(SD)存储器以各种方式实施存储器116。附加地或者可替代地，可以通过安全微控制器或者其他信任平台模块(TPM)、信任执行环境(TEE)、硬件和软件记号等利用硬件或固件实施小应用程序，例如，如果需要比纯软件实施方式更安全。在一些实施方式中，可以使用软件和硬件两者的组合。

处理器114还可以连接到用于安全通信的其他元件，包括可用于收集用户信息(例如，生物特征信息，诸如面部识别、静脉识别、生命体征和指纹、和/或手势或者运动)的认证传感器或者传感器120。用户信息可以利用安全通信发送，并且用于确定认证和/或安全级别，以帮助防止假冒。附带地或可替代地，传感器120可以检测包括用户的设备的位置、设备位于室内还是室外、温度、日期、时间等的环境条件。由硬件和/或软件确保来自检测器、GPS等的信息安全，以保护认证参数的完整性。例如，如果位置是标准之一，硬件和/或软件检测到由GPS给出的位置信息的修改和篡改(tempering)，并且将其作为不可靠位置信息向通信设备104报告。

通信环境100可以包括天线、陆上通信线、卫星以及由移动网络运营商(MNO)操作的蜂窝塔130，来促进通信设备104和服务器106、108之间的通信。在一个实例中，通信设备104可以通过公共云140访问第一服务器106。可以通过搜索供应商(例如YAHOO或GOOGLE)、支付供应商(例如PAYPAL)、银行或者其他金融机构等操作第一服务器106。在另一个实例中，通信设备104可以通过专用或专门云150访问第二服务器108。可以通过包括医院、大学和机构的各种实体操作第二服务器108。

为了在通信设备104与第一服务器106和第二服务器108之间提供后端安全，第一服务器106可以包括处理器160和用于存储服务器小应用程序的存储器162，并且第二服务器108可以包括处理器170和用于存储服务器小应用程序的存储器172。附带地或可替代地，可以利用硬件或者固件实施小应用程序。如以下更详细描述的，认证后端处理器160、170，服务器小应用程序162、172，认证前端114以及通信设备小应用程序116可以提供与网络无关的(network agnostic)安全通信(例如公共或者私人网络)。不管当前可用的连接(例如NFC、BT、IR、Wi-Fi、3/4/5G等)，包括那些由实施综合的、多网络结构的一些通信设备提供的这些连接如何，也可以使通信安全。网络端口通信可以帮助防止篡改。

图2是用于在通信网络100上的通信设备104与一个或多个服务器(例如第一服务器106和第二服务器108)之间建立示例性的安全通信的流程图。可以与第一服务器106、第二服务器108或者两者发生安全通信。

通信设备104可以请求到服务器106、108的连接。服务器106、108可以通过用于给定的应用或者子应用的网络进行连接，例如服务器106可以通过公共云140连接到通信设备104，或/和服务器108可以通过专门云150进行连接(200)。为了易于说明，将描述与第一服务器106的连接，但与一个或多个不同的服务器(例如第二服务器108)的连接可以类似地完成。

服务器106可以将请求的认证信息的列表发送到通信设备104。可以通过MNO130或者其他通信路径经由通信包发送所述列表(202)。请求的信息可用于在可用于应用的确定的安全级别建立与应用的连接。用于认证通信设备104的关键功能和密钥存储可以存储在硬件中，并且输出、输入以及挑战问题可以存储在通信设备104的软件中。存储在软件中的元素可以被加密，以保护信息不被窃取，例如元素可以利用对称的128位或者256位高级加密标准(AES)或者利用不对称的Rivest Shamir Adleman(RSA)认证、三重数据加密标准(3DES)、椭圆曲线密码学(ECC)等加密，并且根据国际标准化组织(ISO)9796及其他标准验证。

为了增加安全性，存储器116可以包括安全区域118，以存储安全相关算法，例如，用以防止黑客行为。例如，可以利用与第一操作系统或者核心处理器物理地和/或逻辑地隔离的通信设备104的第二操作系统或者第二核心处理器实施安全区域118。认证信息可以打包、加密并且签名，以保护信息在发送到服务器106之前不被未授权的实体窥探和篡改。

为了建立对应用可用的安全级别，服务器106可以认证用户(204)。例如，服务器可以响应于对信息的请求来处理由通信设备104发送的认证信息。服务器106的认证后端160可以基于所处理的信息确定通信设备104的用户是否是认证的用户(206)。在其它信息之中，服务器106可以处理通信用户对于挑战问题的响应，以确定响应是否对挑战问题的预期响应匹配。有效的响应可以存储在服务器小应用程序162中，例如，在服务器106的服务器小应用程序162的安全区域中。服务器106可以确定设备的认证的另一方式包括将存储的生物特征的模板与由通信设备104发送的用户的生物特征信息进行比较。设备的生物特征信息可以例如经由认证传感器120从用户获得。认证传感器120可以通过安全链路124方式将生物特征信息发送至通信设备104的网络端口。如果用户的认证被验证，服务器106可以建立用于应用在通信设备104上执行的安全级别(208)。

附带地或可替代地，认证后端160可以认证通信设备104(210)。通信设备104可以将设备验证信息存储在硬件和/或软件中。如果认证未被验证，服务器106可以拒绝它的系统以及应用对通信设备104访问(212)。如果认证被验证，服务器106可以建立用于设备的安全级别，例如，独立于任何特定应用的安全(214)。对设备的访问的安全级别可以基于通信设备104是否包括硬件安全元件(例如，较高全级别)、软件安全(例如，较低安全级别)或者两者等来确定。

附带地或可替代地，认证后端160可以对环境进行认证(216)。环境信息可用于验证通信设备的认证(218)。例如，如果通信设备104在它应位于美国时发送它当前位于中国的信息，可以拒绝认证。如果环境的认证被验证，可以基于所述信息建立安全级别(220)。作为一个实例，如果设备正在操作例如WEBEX的内容共享程序，与如果屏幕捕获功能开启相比，禁用屏幕捕获功能可以获得更高的安全级别。当用户正在乘坐列车时如果使用设备在AMAZON上购买物品，与如果设备位于家中相比，AMAZON应用可能不允许访问高的功能安全级别。在另一个实例中，如果通信设备104位于办公室外面，或者如果通信设备104的用户正在尝试在办公时间以外查看文档，公司的服务器108可以不允许访问确定的文档。

附带地或可替代地，认证后端160可以对网络进行认证(222)。在服务器108的情况下，当建立物理安全信道时可以考虑例如公共云140的政策或者专门云150的因素。基于关于通信设备104和网络的信息，可以验证网络认证(224)。如果认证经过验证，可以建立安全级别(226)。在一个实例中，用户的起搏器通信设备经由安全网络将心率信息发送到医疗供应商，用于数据处理以及监控。可以根据通信设备104的安全级别建立物理安全信道。

基于以上所述认证作为示例，服务器106可以确定是否所请求的认证和安全级别已被验证(228)。例如，设备的用户的身份、请求将在服务器106访问的应用的类型、设备的位置、访问的当日时间以及通信设备104的安全级别等可被用于确定认证、安全级别或者认证和安全级别两者。根据认证和安全级别，应用可以访问服务器确定的量。基于认证和安全级别，通信网络100可以通过应用的方式建立到通信设备104的安全信道(230)。如果所请求的认证和安全级别未被验证，服务器106可以拒绝通信设备104访问应用(232)。

图3是用于确定对通信设备104可用的访问的安全级别的示例性的通信环境300的方框图。例如，用户302可以利用通信设备104，以帮助他们在机器304上工作。通信设备104无线或者通过有线、直接或者间接地与服务器306相连接，以获得有关机器304的安全信息。服务器306可以包括：工厂车间的融合网络，包括监控单元308、协调控制单元310和同步控制单元312。

为了确定为通信设备104设置的安全级别，可以将通信设备104的位置与认证用户在其上工作的机器304的位置相比较。例如，当服务器306正在提供关于机器的信息(例如维修指南)时，将核电站的工人的位置与在其上工作的机器的位置相比较。如果通信设备104靠近所述机器，与如果通信设备104不靠近所述机器相比，服务器106可以将较高安全级别的信息提供到通信设备104。例如，服务器306是否提供对监控层308或者同步控制层312的访问可以取决于针对认证的通信设备104上的认证用户302通过通信设备104到机器304的位置和/或其他因素(例如当天的时间)所建立的安全级别。这提供在网关计算机320和单元308、310、312的协议的应用之间、以及在历史人机界面(HMI)编程计算机322和单元308、310、312的协议的应用之间的安全极别的垂直访问功能。

GPS112和/或3/4/5G110可用于向通信设备104提供位置信息，用于发送到服务器306，服务器306用来确定通信设备104的位置并且对通信设备104的位置和确定的机器304的位置进行比较。可以例如利用服务器306来存储、或者例如通过服务器306与机器304通信来确定机器的位置。为了允许对更多安全应用、或者由应用提供的文档的内容的访问，通信设备104可能需要在物理上位于该机器的一个确定的距离内，例如，紧挨着机器定位。如果通信设备104远离机器，则服务器306可能无法提供导向(guide)。

图4是示例性的多维、单个安全模块的方框图。所述单个安全模块可以在针对多个安全级别(例如级别0、1、2、3、4)的各种应用(例如应用1、2、3)上的多个设备(例如设备1、2)上操作。鉴于所述单个安全模块方法，不需要包含大量凭据以单独寻址每个应用和每个设备的一个或多个数据库。

在一个实例中，对于设备1，应用1，应用安全级别可以例如基于例如由通信设备104或者用户提供的外部认证元素从较低级别4移至较高级别1。例如，用户可能已将生物特征信息提供到通信设备104，以利用应用获得较高安全级别。或者通信设备104可能已物理移动更靠近办公室或者用户在其上工作的机器。

对于相同的设备1，通信设备104可以单独或者同时具有对应用1的级别1访问、具有对应用2的级别3访问。因此，相同用户的相同通信设备104可以对不同应用提供不同的访问级别。安全级别可以基于各种因素，例如，通信设备104的位置、当天的时间、通信设备104的标识、用户正在使用的通信设备104的安全类型等。

对于不同通信设备104，例如，包括硬件安全的一个通信设备104，安全级别可能较高。附带地或可替代地，如果通信设备104使用3/4/5G来通信而不是BT，安全级别可能改变。同样，对于访问应用3的不同的设备2，在包括本文中描述的任何因素或者其他因素的目前情况下，安全级别可以确定在级别2。以这种方法，安全模块可以向各种设备在各种应用上提供不同的访问安全级别。用户隐私和私人信息可以保存在开放/云环境中，可以提供安全和灵活的支付方式，并且可以实现医院中的电子医疗服务和私人对医疗记录的访问，而不需要针对每种类型的活动的单独、封闭的应用。

图5是建立执行在通信设备104上的应用的安全通信的流程图示例。通信设备104访问例如图4的应用1(500)。通信设备104可以响应于用户点击用户通信设备104上的图标来执行应用1。例如，应用1可以在用户的工作地点在通信网络100上提供到服务器(例如第一服务器106或者第二服务器108)的连接。在该实例中，应用1是用户通过应用商店购买的开放应用。应用1可以保存在通信设备104上、保存在网络(例如云)上或者部分地保存在通信设备104和网络上。用户是上班途中的运载工具中的乘客，并且通信设备当前距离工作确定的距离，例如5英里。

为应用1初步建立低安全级别(502)。低安全级别可以基于来自通信设备104的信息建立，例如，通信设备104的位置以及用户的身份等。经由应用1被通信设备104访问的服务器的政策可以声明对于位于距工作确定距离的该特定用户，安全级别4是适当的。基于安全级别还可以建立服务器和应用1之间的安全信道(504)。

当通信设备104接收额外的认证信息时，安全级别可以改变，例如升高或者降低(506)。在一个实例中，当通信设备到达距工作确定距离以内(例如500英尺)时，为应用1建立新的安全级别。例如，可以为工作的该用户确定1的安全级别，为应用提供对工作服务器最高的访问级别和/或对应用的最高的访问级别。通信环境可以在应用1与工作服务器之间建立修改的安全信道。

当应用1与工作连接时，通信设备104的用户可以打开应用2，例如，用户可以从其访问她的银行的第三方应用(512)。可替代地，可以使用第一方应用。在一个场景中，对于银行和通信设备104，在工作日的当地时间9：00AM，并且用户决定不向通信设备104提供手印。基于该信息以及其他可能信息，授予应用2对银行访问的确定级别(514)。例如，如果授予级别3访问，通信环境基于级别3安全级别建立安全信道(516)。在级别3，应用可以从银行访问一般信息，例如，但特定的账户信息无法访问。因此，通信环境可以为相同或者不同的通信设备提供多个应用、各种安全级别。

上述方法、设备、技术以及逻辑可以以硬件、软件或固件的多种不同的组合或者硬件与软件的多种不同方式来实施。例如，系统的所有或者部分可以包括：控制器、微处理器、或者专用集成电路(ASIC)中的电路，或者可以利用离散逻辑或元件、或者其他类型的模拟或者数字电路的组合来实施，被组合在单个集成电路上或者通过信任链路分布在互连的多个集成电路之中。

所有或者部分的上述逻辑可以实现为用于通过处理器、控制器或者其他处理设备执行的指令，并且可以存储在例如闪存(FLASH)、随机存取存储器(RAM)或者只读存储器(ROM)、程序可控只读存储器(PROM)、可擦可编程只读存储器(EPROM)的切实的或者非易失性机器可读或者计算机可读介质或者例如光盘只读存储器(CDROM)或者磁盘或者光盘的其他机器可读媒体中。如此，例如计算机程序产品的产品可以包括存储介质以及在所述介质上存储的计算机可读指令，当在端点执行计算机可读指令时，计算机系统或者其他设备使所述设备根据任何上面的说明书执行操作。

系统的处理能力可以分配在多个系统部件之中，例如在多个处理器以及存储器、可选择地包括多个分布式处理系统之中。参数、数据库及其他数据结构可以单独存储并管理，可以结合到单个存储器或者数据库里，可以逻辑地以及物理地以许多不同的方式组织，并且可以通过许多途径实现，包括例如链接表、散列表或者隐式存储器机制的数据结构。程序可以是单个程序、单独程序的部分(例如子例程)，分配在几个存储器以及处理器中，或者以许多不同的方式实现，例如在例如共享图书馆的图书馆中(例如，动态链接库(DLL))。例如DLL可以存储执行上面描述的任何系统处理的代码。

虽然已描述了各种实施方式，但许多更多的实施方式以及实施是可行的。相应地，说明并不意味着限制。

Claims (8)

1.一种安全通信网络系统，包括：服务器，包括认证后端，所述认证后端被配置为与通信设备的认证前端通信；以及

服务器小应用程序，与所述认证后端相关联，其中，所述服务器小应用程序认证与所述通信设备相关联的访问权限，并且基于从所述认证前端接收的所述通信设备的位置和与所述访问权限相关联的目标设备的位置信息的比较而建立用于与所述通信设备通信的安全级别；

其中所述服务器小应用程序基于从所述通信设备接收的外部认证元素将所述安全级别建立为不同的安全级别，其中所述外部认证元素包括以下各项中的至少一者：所述通信设备相对于与所述访问权限相关联的所述目标设备的所述位置信息的新位置或所述通信设备的用户的生物特征信息。

2.根据权利要求1所述的安全通信网络系统，其中，所述通信包括通过网络端口的通信。

3.根据权利要求1所述的安全通信网络系统，其中，通信设备包括移动设备。

4.根据权利要求1所述的安全通信网络系统，其中，所述安全级别基于所述通信设备的当前通信协议。

5.根据权利要求4所述的安全通信网络系统，其中，所述通信协议包括以下各项中的至少一者：近场通信、蓝牙、无线保真或蜂窝网络，且所述安全级别根据相应的通信协议改变为不同的安全级别。

6.根据权利要求1所述的安全通信网络系统，其中，所述服务器小应用程序是利用硬件配置的。

7.一种用于使通信网络安全的方法，包括：

从通信设备接收连接到服务器的请求；

认证所述通信设备的用户；以及

如果所述用户被认证，建立用于所述通信设备的安全级别；

其中，基于从认证前端接收的所述通信设备的位置和目标设备的位置信息的比较而建立所述安全级别；

在建立所述安全级别之后，从所述通信设备接收外部认证元素，所述外部认证元素包括以下各项中的至少一者：所述通信设备的所述用户的生物特征信息或环境信息，所述环境信息指示所述通信设备相对于所述目标设备的所述位置信息的新相对位置；以及

响应于外部认证元素的接收，将所述安全级别改变到不同的安全级别。

8.一种通信设备，包括：

网络端口；

小应用程序，通过所述网络端口提供与通信网络的安全连接；以及

认证前端，与所述小应用程序连接，所述认证前端将所述通信设备的位置发送至服务器的认证后端以与目标设备的位置信息进行比较，所述比较用于在所述通信网络上建立与所述服务器的所述安全连接的第一安全级别，且所述认证前端随后向所述服务器的所述认证后端发送外部认证元素，以将经建立的所述第一安全级别改变为用于在所述通信网络上与所述服务器的所述安全连接的第二安全级别，所述第二安全级别不同于所述第一安全级别，且所述外部认证元素是以下各项中的至少一者：所述通信设备的用户的生物特征信息或所述通信设备相对于所述目标设备的所述位置信息的新位置。