CN104205722B - 基于设备验证的有条件的有限服务授权 - Google Patents

基于设备验证的有条件的有限服务授权 Download PDF

Info

Publication number
CN104205722B
CN104205722B CN201280071191.XA CN201280071191A CN104205722B CN 104205722 B CN104205722 B CN 104205722B CN 201280071191 A CN201280071191 A CN 201280071191A CN 104205722 B CN104205722 B CN 104205722B
Authority
CN
China
Prior art keywords
service
equipment
access
hardware capabilities
computing device
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201280071191.XA
Other languages
English (en)
Other versions
CN104205722A (zh
Inventor
S·W·多伊奇
A·巴尔加瓦-斯庞特泽尔
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Intel Corp
Original Assignee
Intel Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Intel Corp filed Critical Intel Corp
Publication of CN104205722A publication Critical patent/CN104205722A/zh
Application granted granted Critical
Publication of CN104205722B publication Critical patent/CN104205722B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H04L63/0838—Network architectures or network communication protocols for network security for authentication of entities using passwords using one-time-passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H04L9/3228—One-time or temporary data, i.e. information which is sent for every authentication or authorization, e.g. one-time-password, one-time-token or one-time-key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/065—Continuous authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/068—Authentication using credential vaults, e.g. password manager applications or one time password [OTP] applications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/082—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00 applying multi-factor authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/50—Service provisioning or reconfiguring

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephonic Communication Services (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

本文描述了用于接受设备的能力证明以确定在操作状态期间是否授权对服务的访问的装置、计算机实现的方法、系统、设备、以及计算机可读介质的实施例。在各种实施例中，响应于证明的能力的验证，可以有条件地授权对所寻求的服务的访问。在各种实施例中，在操作状态期间，可以在有限的基础上授权对服务的访问。

Description

基于设备验证的有条件的有限服务授权
技术领域
概括地说，本发明的实施例涉及数据处理的技术领域，具体地说，涉及基于设备验证的有条件的有限服务授权，例如在计划的或非计划的事件之前、期间和/或之后。
背景技术
本文所提供的背景描述是为了大体呈现本公开的上下文的目的。就本背景技术章节中的描述的范围而言，当前被指名的发明者的工作以及在提交申请时不构成现有技术的该描述的各方面，既不明确又不隐含地承认其为针对本公开的现有技术。除非本文另有指示，本章节中所描述的方法不是对于本公开中的权利要求的现有技术，并且不因包含在本章节中被承认为是现有技术。
在危机时刻，例如在自然灾害之后，或在其他计划的或非计划的事件之前、期间或之后，对服务(例如访问通信网络)的需求可能会超过这些服务的可用性。例如，紧急救援人员，例如第一响应者(例如，消防员、警察、医护人员)可能由于普通用户对蜂窝电话网络的高容量利用率，而难以在危机期间访问蜂窝电话网络。
附图说明
通过以下结合附图的详细描述将容易理解实施例。为了促进该描述，相似的附图标记指代相似的结构元件。在附图的图中通过示例的方式而不是通过限制的方式来说明实施例。
图1示意性地示出了根据各种实施例的在操作状态期间，第一响应者设备可能如何提供各种类型的信息以获得对服务的访问的示例。
图2示意性地描绘了根据各种实施例的可以由与服务提供者相关联的计算设备实现的示例方法。
图3示意性地描绘了根据各种实施例的可以由第一响应者设备实现的示例方法。
图4示意性地描绘了根据各种实施例的可以在其上实现公开的方法和计算机可读介质的示例计算设备。
具体实施方式
在下面的详细描述中，参考组成其一部分的附图，其中贯穿全文中的相似标号标明相似的部分，并且通过说明可以被实践的实施例的方式显示在附图中。应当理解的是，可以在不脱离本发明的范围使用其他的实施例以及作出结构或逻辑上的改变。因此，下面的详细描述不应被视为具有限制意义，并且实施例的范围由所附权利要求及其等同物限定。
各种操作可以以最有助于理解权利要求所有保护的主题的方式，被描述为多个依次的离散动作或操作。然而，描述的顺序不应被解释为暗示这些操作一定是依照顺序的。尤其是，这些操作可以不按照呈现的顺序来执行。描述的操作可以按照与描述的实施例不同的顺序来执行。可以执行各种另外的操作和/或在另外的实施例中省略描述的操作。
出于本公开的目的，短语“A和/或B”是指(A)、(B)、或(A和B)。出于本公开的目的，短语“A、B、和/或C”是指(A)、(B)、(C)、(A和B)、(A和C)、(B和C)、或(A、B和C)。
该描述可以用短语“在一实施例中”或“在实施例中”，其可以每个指一个或多个相同或不同的实施例。此外，术语“包括”、“包含”、“具有”以及类似物，在相对于本公开的实施例中使用时是同义的。
如本文所用，术语“模块”可以指、成为其中的一部分、或包括特定用途集成电路(“ASIC”)、电子电路、处理器(共享、专用、或组)和/或存储器(共享、专用、或组)，其执行一个或多个软件或固件程序、组合逻辑电路、和/或其他合适的部件，提供所描述的功能。
现在参照图1，在各种实施例中，设备10(配置了本公开所教导的适用部分)可以在操作状态期间(例如危机)寻求对服务的访问，其中在有限的基础上将对服务进行授权。在各种实施例中，服务可以是对通信网络的优先访问，例如蜂窝网络，并且在一个或多个操作状态(例如，危机)期间，对其的访问可以在有条件的和/或有限的基础上被授权。在各种实施例中，“优先访问”可以包括高于提供给其他设备的更高级别的服务质量(“QoS”)。
在各种实施例中，“操作状态”可能存在于事件发生之前、期间和/或之后，例如紧急事件(例如，自然灾害、火灾、暴动、恐怖袭击等)，在特定的位置或在特定的区域之内。在各种实施例中，事件可以是计划的(例如，体育赛事、政治集会、示威等)或非计划的(例如，自然灾害、恐怖袭击、停电等)。在各种实施例中，设备10可以是移动电话(例如，智能电话)或与该位置或区域相关联的第一响应者(例如警察、消防员或医护人员)的其他计算设备。例如，区域可以由特定管辖区的警察进行监管，并且设备10可以是一种类型的通信设备，例如发给那些警察的移动电话。
设备10可以从所寻求的服务提供者被远程地布置。例如，在图1中，设备10从安全计算设备12被远程地布置。在各种实施例中，安全计算设备12可以是器具或其他计算设备，如在3GPP长期演进(“LTE”)版本10(2011年3月)(“LTE标准”)中描述的演进节点B(“eNB”)，其配置了本公开的教导的适用的部分以充当服务提供者14的看门人。在各种实施例中，安全计算设备12可以实现任何数量的其他无线标准或协议，包括但不限于Wi-Fi(IEEE802.11家族)、WiMAX(IEEE 802.16家族)、EV-DO、HSPA+、HSDPA+、HSUPA+、EDGE、GSM、GPRS、CDMA、TDMA、DECT、蓝牙、它们的衍生物、以及被指定为3G、4G、5G及其外的任何其他无线协议。
在各种实施例中，提供者14可以包括电信公司的一个或多个计算设备(其可以或可以不配置本公开教导的适用部分)，例如蜂窝网络提供者。为了执行看门人的角色，在各种实施例中，安全计算设备12可以接收来自设备10的各种类型的信息，并且在使用该信息执行各种检查之后，有条件地对设备10所寻求的服务授权访问。在各种实施例中，代替独立的看门人安全计算设备12，提供者14本身可以在操作状态期间担当看门人，例如在危机时刻期间。
在各种实施例中，由设备10提供给安全计算设备12的信息可以包括设备10的能力证明。各个实施例中，能力证明可以包括硬件能力证明，并且可以由设备10的受信分区18作出。在各种实施例中，受信分区18可以包括一个或多个部件(例如，存储器、处理器、执行应用，等等)，对这些部件的访问可以被限制或约束到各种其他部件。例如，受信分区18对一个或多个操作系统、设备驱动和/或一个或多个应用来说可以是不可访问的。虽然不是必需的，在各种实施例中，例如在图1中显示的实施例，受信分区18可以包括受信平台模块(“TPM”)16。虽然也并不是必需的，在各种实施例中，例如在图1中显示的实施例，设备10的受信分区18可以包括由加利福尼亚州的圣克拉拉的公司开发的受信执行技术(Trusted Execution Technology,“TXT”)硬件部件19。
在各种实施例中，安全计算设备12可以被配置为：响应于由设备10通过需要的方式对证明的能力进行验证而有条件地对设备10所寻求的服务进行授权。在各种实施例中，安全计算设备12可以通过第三方促进能力证明。例如，在图1中，安全计算设备12可以将由设备10证明的硬件能力转发到能力证明验证计算设备20(其可以或可以不配置本公开的教导的适用部分)，其可以验证证明的硬件能力。
在各种实施例中，安全计算设备12可以基于由设备10作出的能力证明的验证(例如，由能力证明验证计算设备20)是否表明设备10是第一响应者设备，有条件地对设备10所寻求的服务进行授权。例如，当操作状态存在(例如，可以由安全计算设备12和/或与提供者14相关联的一个或多个计算设备上的状态值表明)时，在此期间，在有条件的或有限的基础上对服务进行授权，如果由设备10证明的能力表明它是第一响应者设备，例如发给消防员的一种类型或类别的移动电话，安全计算设备12可以授权设备10对服务的访问(例如，对蜂窝网络的优先访问)。
在各种实施例中，设备(例如设备10)可以基于除了或替代设备10的硬件能力的其他信息而被有条件地授权对服务的访问。例如，安全计算设备12可以基于设备10的用户标识(未示出)有条件地对设备10所寻求的服务进行授权。安全计算设备12可以接受设备10的用户凭证，并且可以基于该凭证的认证是否表明该用户是第一响应者(例如警察或消防员)，有条件地对所寻求的服务进行授权。在各种实施例中，认证可以不仅包括确定用户是否是第一响应者，而且包括确定第一响应者的凭证是否仍然有效或已被吊销。凭证可以是与用户相关联的各种类型的信息，例如由用户选择或分配给用户的个人识别号码(“PIN”)，或其他类型的用户专有信息，包括生物统计数据(例如视网膜或指纹数据)。例如，设备10可以提示用户输入凭证，例如，通过输入PIN或在指纹读取器上按压手指。
在各种实施例中，响应于安全计算设备12从设备10接受的一次性密码的确认，设备(例如设备10)可以被有条件地授权对服务的访问(例如，通过安全计算设备12)。在各种实施例中，可以在设备10的受信分区18中生成该一次性密码(类似于证明的硬件能力)。例如，设备10可以配置有一次性密码生成器22，其在图1中包括由加利福尼亚州圣克拉拉的 公司开发的身份保护技术(Identity Protection Technology，“IPT”)，以生成和/或提供一次性密码。虽然显示在图1中的受信分区之内，在各种实施例中，一次性密码生成器22可以在设备10的不同的受保护的分区中，或设备10的任何受保护的分区以外。在各种实施例中，安全计算设备12可以促进由第三方进行的一次性密码确认，例如在图1中的一次性密码确认计算设备24(其可以或可以不配置有本公开的教导的适用部分)。
在各种实施例中，在用户接收到设备(例如设备10)后，用户可以用一次性密码确认计算设备24给设备10登记。在各种实施例中，用户还可以获得合适的用户凭证，例如，使用一次性密码确认计算设备24和/或安全计算机系统12。例如，用户可以登录到与一次性密码确认计算设备24相关联的网站，并请求在该用户的设备10上配置一次性密码功能。同时，在各种实施例中，用户还可以将凭证(例如PIN和/或用户名)与一次性密码相关联。
在各种实施例中，设备(例如设备10)可以基于设备10提供的唯一标识符，被(例如，由安全计算设备12)有条件地授权对服务的访问。例如，在各种实施例中，平台嵌入式不对称令牌(Platform Embedded Asymmetrical Token,或“PEAT”)可以被存储在设备10的受信分区18中，并且除了或替代各种其他类型的信息，平台嵌入式不对称令牌可以被用于有条件地授权设备10对服务的访问。
在各种实施例中，安全计算设备12可以基于各种类型的信息的组合，有条件地授权对设备10的访问。例如，仅响应于由设备10证明的能力的验证，安全计算设备12可以有条件地授权对服务的访问。在各种实施例中，响应于由设备10证明的能力的验证，并响应于与设备10的用户相关联的凭证的认证，安全计算设备12可以有条件地授权对服务的访问。在各种实施例中，响应于与设备的用户相关联的凭证的认证，以及响应于与设备10相关联的一次性密码的确认，安全计算设备12可以基于由设备10证明的能力的验证有条件地授权对服务的访问。在各种实施例中，响应于与设备的用户相关联的凭证的认证，以及响应于与设备10相关联的一次性密码的确认，安全计算设备12可以有条件地授权对服务的访问。在各种实施例中，响应于由设备10证明的能力的验证，以及与设备10相关联的一次性密码的确认，可以有条件地授权对服务的访问。在有条件地授权对服务的访问前，可以检查信息类型的任何其他组合。
在图2中显示了可以由设备(例如安全设备12)实现的示例方法200。在方框202处，在特定的操作状态期间(例如，危机期间)，寻求对服务的访问的远程布置的设备(例如，设备10)的能力证明，可以被(例如，由安全计算设备12)接受。在方框204处，证明的能力可以被(例如，安全计算设备12通过第三方(例如能力证明验证计算设备20(例如，其可以配置有TXT或类似的技术)))验证。如果证明的能力不能被验证(例如，设备10没有被注册为第一响应者设备)，则方法200可以前进到方框206。远程布置的设备可能被(例如，由安全计算设备12)拒绝访问所寻求的服务，并且方法200可以结束。
然而，如果证明的能力被验证，则在方框208处，远程布置的设备的用户的凭证可以被(例如，由安全计算设备12)接受。例如，用户可以提供可以用于认证该用户(例如，作为第一响应者)的PIN、视网膜数据、指纹数据或类似物。在方框210处，凭证可以被(例如，由安全计算设备12自身或经由第三方(未示出))认证，如果该凭证不能被认证，则方法可以前进到方框206。该远程布置的设备对服务的访问可能会被(例如，由安全计算设备12)拒绝，并且方法200可以结束。
然而，如果所提供的凭证被认证，则在方框212处，来自远程布置的设备的一次性密码可以被(例如，由安全计算设备12)接受。在方框214处，一次性密码可以经由第三方(例如一次性密码确认计算设备24)被(例如，由安全计算设备12)确认。如果一次性密码不能被确认，则方法200可以前进到方框206。该设备对服务的访问可能被(例如，由安全计算设备12)拒绝，并且方法200可以结束。然而，如果一次性密码被确认，则在方框216处，对服务的访问可以被(例如，由安全计算设备12)授权给远程布置的设备。授权访问之后，方法可以结束。
在图2的方法200中，在提供对服务的访问之前检查三条信息(远程布置的设备的能力、用户凭证、一次性密码)。然而，如上面所讨论的，这不是限制性的。在各种实施例中的方法可以包括检查由方法200检查的任何一条、两条或三条信息。另外，可以以与图2中所显示的顺序不同的顺序检查这些信息。另外或替代地，可以基于对给定的设备成功检查过的信息条数而授权对服务的不同级别的访问(例如，蜂窝网络上的QoS的不同级别)。
图3描绘了可以在设备(例如图1中的设备10)上实现的示例方法300。在方框302处，连接过程可以被(例如，设备10)发起。例如，在方框304处，能够(例如，由设备10)确定是否存在特定的操作状态(例如，危机状态)。例如，在发起连接后，设备10可以查询(例如，使用安全计算设备12)是否存在操作状态。如果操作状态不存在，则在方框306处，正常的连接过程可以被(例如，由设备10)利用。在这种情况下，安全计算设备12可以简单地在设备10和提供者14的一个或多个计算设备之间传递消息，和/或重定向设备10以直接与提供者14的一个或多个计算设备交换消息。在方框306之后，方法300可以结束。
然而，如果存在特定的操作状态(例如，危机)，则在方框308处，设备10可以传输(例如，至安全计算设备12)设备10的能力(例如，硬件)证明。例如，设备10可以从TPM 16提供其硬件能力的远程证明(例如，至安全计算设备12)。如果证明的能力被(例如，由在图2的方框204处的安全计算设备12)验证，则在方框310处，对用户凭证的请求可能会或可能不会被传输(例如，由安全计算设备12至设备10)。
如果没有传输对用户凭证的请求，则在各种实施例中，在方框312处，设备10可以访问它所寻求的服务。这可能发生在安全计算设备12需要仅仅验证硬件能力以提供对服务的访问之处。在方框312之后，方法300可以结束。
然而，如果传输了对用户凭证的请求，则在各种实施例中，在方框314处，设备10可以提供(例如，至安全计算设备12)用户凭证。例如，设备10的用户可以使用设备10的键盘输入PIN码。在各种实施例中，设备10可以包括视网膜或指纹读取装置，其可以从用户处收集视网膜或指纹数据作为凭证。
如果用户凭证被(例如，由在图2的方框210处的安全计算设备12)认证，则在各种实施例中，在方框316处，对一次性密码的请求可能会或可能不会被(例如，由安全计算设备12)传输至设备10。如果对一次性密码的请求没有被传输，则在各种实施例中，方法300可以前进到方框312，并且设备10可以访问该服务。这可能发生在安全计算设备12需要硬件能力证明和用户凭证而不是一次性密码来取得对该对服务的访问的实施例中。在这样的实施例中，在方框312之后，方法300可以结束。然而，如果一次性密码被请求，则在各种实施例中，在方框318处，设备10可以提供(例如，从受保护的IPT模块22)该一次性密码。如上面所讨论的，在各种实施例中，安全计算设备12可以确认一次性密码(例如，通过第三方(例如在方框214处的一次性密码确认计算设备24))。假设一次性密码被确认，则在方框312处，设备10可以被许可访问该服务。在方框312之后，方法300可以结束。
虽然本文描述的实施例和示例主要涉及在可能表明危机的操作状态期间提供对服务的优先访问给第一响应者，公开的技术可以在其他场景中被实现。例如，公司可以提供例如访问公司内部网的服务。在特定的操作状态期间(例如，在合并或在季度末)，设备(例如发给公司的高层管理人员的移动电话、膝上计算机或计算平板)可以被授权对公司内部网的优先访问。
为清晰起见，各种术语已被用于特定的上下文中，并且可以与其他术语进行互换。例如，“验证”已被用于描述如何检查设备的硬件能力。“认证”已被用于描述如何检查用户的凭证。以及“确认”已被用于描述如何检查一次性密码。然而，这些单独的术语并不意味着限制如何在这些类型的信息上执行检查。
图4示出了根据各个实施例的适于用作设备10或安全计算系统12的示例计算设备400(其也可以被称为系统)。该计算设备可以包括多个部件，包括但不限于印刷电路板(“PCB”)402、处理器404和至少一个通信芯片406。在各种实施例中，处理器404可以是处理器核心。在各种实施例中，所述至少一个通信芯片406也可以被物理地和电气地耦合到处理器404(例如，经由PCB 402)。在进一步的实现中，通信芯片406可以是处理器404的一部分。
取决于其应用，例如，如设备10或安全计算机系统12，计算设备400可以包括可以被或可以不被物理地和电气地耦合到PCB 402的其他部件。这些其他部件包括但不限于：存储器控制器407、易失性存储器(例如，动态随机存取存储器408，也称为“DRAM”)、非易失性存储器(例如，只读存储器410，也被称为“ROM”)、闪存412、图形处理器414、数字信号处理器(未示出)、加密处理器(未示出)、输入/输出(“I/O”)控制器416、天线418、显示器(未示出)、触摸屏显示器420、触摸屏控制器422、电池424、音频编解码器(未示出)、视频编解码器(未示出)、功率放大器、全球定位系统(“GPS”)设备428、指南针430、加速度计(未示出)、陀螺仪(未示出)、扬声器432、照相机434、以及大容量存储设备(例如硬盘驱动器、固态驱动器、压缩盘(“CD”)、数字通用光盘(“DVD”))(未示出)，等等。在各种实施例中，处理器404可以与其他部件(例如存储器控制器407和/或I/O控制器416)集成在同一管芯上，以形成片上系统(“SoC”)。
在各种实施例中，易失性存储器(例如，DRAM 408)、非易失性存储器(例如，ROM410)、闪存412和大容量存储设备可以包括编程指令，被配置以响应于由处理器404执行，使得计算设备400实践方法200和/或300的所有或被选择的方面。例如，一个或多个存储器部件，例如易失性存储器(例如，DRAM 408)、非易失性存储器(例如，ROM 410)、闪存412、以及大容量存储设备可以包括被配置以实践所公开的技术(例如方法200和/或300的所有或被选择的方面)的控制模块436的暂时的和/或持久的副本。
通信芯片406可以启动有线和/或无线通信，用于传送数据至和从计算设备400。术语“无线”及其派生词可以用于描述电路、设备、系统、方法、技术、通信信道等，其可以通过使用调制的电磁辐射经过非固态介质来传达数据。该术语不暗示相关联的设备不包含任何线，尽管在一些实施例中它们可能没有。通信芯片406可以实现任何数量的无线标准或协议，包括但不限于：Wi-Fi(IEEE 802.11家族)、WiMAX(IEEE 802.16家族)、IEEE802.20、长期演进(“LTE”)、Ev-DO、HSPA+、HSDPA+、HSUPA+、EDGE、GSM、GPRS、CDMA、TDMA、DECT、蓝牙、它们的衍生物、以及被指定为3G、4G、5G及其外的任何其他无线协议。计算设备400可以包括多个通信芯片406。例如，第一通信芯片406可以专用于短距离无线通信(例如Wi-Fi和蓝牙)且第二通信芯片406可以专用于长距离无线通信(例如GPS、EDGE、GPRS、CDMA、WiMAX、LTE、EV-DO等)。
计算设备400的处理器404可以包括封装在处理器404内的集成电路管芯。在各种实施例中，处理器404的集成电路管芯可以包括一个或多个设备，例如晶体管或金属互连，其被形成以使用本文描述的一个或多个技术来促进ECC码字的迭代译码。术语“处理器”可以指处理来自寄存器和/或存储器的电子数据以将该电子数据转换成可以被存储在寄存器和/或存储器中的其他电子数据的任何设备或设备的一部分。
通信芯片406还可以包括封装在通信芯片406之内的集成电路管芯。在各种实施例中，通信芯片406的集成电路管芯可以包括一个或多个设备，例如晶体管或金属互连，其被形成以促进ECC码字的迭代译码。
在各种实现中，计算设备400可以是膝上计算机、上网本、笔记本、超级本、智能电话、计算平板、个人数字助理(“PDA”)、超移动PC、移动电话、台式计算机、服务器、打印机、扫描仪、监视器、机顶盒、娱乐控制单元(例如，游戏控制台)、数字照相机、便携式音乐播放器、或数字录像机。在进一步的实现中，计算设备400可以是处理数据的任何其他电子设备。
本文描述了装置、计算机实现的方法、系统、设备、以及计算机可读介质的实施例，用于接受设备的能力证明，以确定在操作状态期间是否授权对服务的访问。在各种实施例中，可以响应于证明的能力的验证来有条件地授权对所寻求的服务的访问。在各种实施例中，在操作状态期间，可以在有限的基础上授权对服务的访问。
在各种实施例中，能力证明可以包括硬件能力证明。在各种实施例中，证明的能力的验证可以包括通过第三方进行证明的能力的验证。在各种实施例中，证明的能力的验证可以包括使用受信执行技术进行证明的能力的验证。
在各种实施例中，服务可以包括对通信网络的优先访问。在各种实施例中，所寻求的服务可以基于所述能力证明是否表明该设备是第一响应者设备而被有条件地授权。在各种实施例中，所寻求的服务可以另外地基于该设备的用户的身份而被有条件地授权。在各种实施例中，该设备的用户凭证可以被接受。在各种实施例中，所寻求的服务可以另外地基于凭证的认证是否表明该用户是第一响应者而被有条件地授权。
在各种实施例中，来自设备的一次性密码可以被接受。在各种实施例中，所寻求的服务可以另外地响应于一次性密码的确认而被有条件地授权。在各种实施例中，一次性密码可以由受信分区中的身份保护技术提供。
在各种实施例中，设备的控制模块，例如移动电话、平板计算机、以及其他设备可以在操作状态期间，将系统的能力证明从授信分区传输到与服务的提供者相关联的计算系统。在各种实施例中，响应于证明的能力的验证，控制模块可以从与服务的提供者相关联的计算系统接收对服务的访问有条件的授权。
虽然出于描述的目的本文说明和描述了某些实施例，各种各样的通过计算以达到相同目的的替代和/或等效实施例或实现可以取代显示和描述的实施例而不脱离本公开的范围。本申请旨在涵盖本文所讨论的实施例的任何改变或变化。因此，其明显旨在，本文描述的实施例仅由权利要求及其等同物限定。
其中公列举“一”或“第一”元件或其等价物，这样的公开包括一个或多个这样的元件，既不要求也不排除两个或更多的这样的元件。此外，除非另有具体说明，用于识别的元件的序数标号(例如，第一，第二或第三)被用于在元件之间进行区分，而不是表明或暗示需要的或限制的这些元件的数量，也没有表明这些元件的特定位置或顺序。

Claims (24)

1.一种用于有条件的有限服务授权的方法，包括：
由计算设备确定存在操作状态，其中在所述操作状态期间，在有限的基础上授权对服务的访问；
由所述计算设备接受与寻求对所述服务的访问的设备的用户相关联的凭证，所述设备距所述计算设备远程布置；
由所述计算设备接受所述设备的硬件能力证明，用于在所述操作状态期间确定是否授权对所述寻求的服务的访问；以及
由所述计算设备接受一次性密码，其中所述硬件能力证明包括指示所述设备是否是第一响应者设备的信息，其中所述第一响应者设备被发放用于在所述操作状态期间被授权对所述服务的访问，并且其中所述硬件能力证明由所述设备的受信分区作出；以及
响应于所述凭证的认证以及所述一次性密码的确认，以及响应于确定存在操作状态，并且进一步响应于对硬件能力证明的验证，由所述计算设备有条件地授权对所寻求的服务的访问。
2.如权利要求1所述的方法，其中所述一次性密码的确认包括使用身份保护技术进行确认。
3.如权利要求1所述的方法，进一步包括由所述计算设备基于所述凭证的所述认证是否表明所述用户是第一响应者而有条件地授权所述寻求的服务。
4.如权利要求1所述的方法，其中所述服务包括对通信网络的优先访问。
5.如权利要求1所述的方法，进一步包括：由所述计算设备另外地基于所述硬件能力证明是否表明所述设备是第一响应者设备而有条件地授权对所述寻求的服务的访问。
6.如权利要求1所述的方法，其中所述对硬件能力证明的验证包括使用第三方对所述硬件能力证明进行验证。
7.如权利要求1所述的方法，其中所述硬件能力证明包括使用受信执行技术的硬件能力证明。
8.至少一种机器可读介质，存储多条指令，所述指令响应于在装置上被执行，而促使所述装置实现如权利要求1-7中任一项所述的方法。
9.一种用于有条件的有限服务授权的系统，包括：
一个或多个处理器；
操作地耦合到所述一个或多个处理器的存储器；
受信分区；以及
由所述一个或多个处理器操作的控制模块，用于在操作状态期间，从所述受信分区传输所述系统的硬件能力证明至与服务的提供者相关联的计算系统，以及响应于对硬件能力证明的验证，从与所述服务的提供者相关联的所述计算系统接收对所述服务的访问的有条件的授权，其中在所述操作状态期间，在有限的基础上对服务进行授权，并且其中所述硬件能力证明包括指示所述系统是否是第一响应者系统的信息，其中所述第一响应者系统被发放用于在所述操作状态期间被授权对所述服务的访问。
10.如权利要求9所述的系统，其中所述对硬件能力证明的验证包括通过第三方对所述硬件能力证明进行验证。
11.如权利要求9所述的系统，其中来自所述受信分区的所述硬件能力证明包括由所述受信分区内的受信执行技术的部件进行能力证明。
12.如权利要求9所述的系统，其中所述服务包括对通信网络的优先访问。
13.如权利要求9-12中任一项所述的系统，其中所述控制模块进一步传输所述系统的用户凭证至与所述提供者相关联的所述计算系统，以及另外地响应于所述凭证的认证是否表明所述用户是第一响应者，而从与提供者相关联的所述计算系统接收对所述服务的访问的有条件的授权。
14.如权利要求9-12中任一项所述的系统，其中所述控制模块进一步传输来自所述受信分区的一次性密码至与所述提供者相关联的所述计算系统，以及另外地响应于所述一次性密码的确认，而从与所述提供者相关联的所述计算系统接收由所述系统对所述服务的访问的有条件的授权。
15.如权利要求14所述的系统，其中所述一次性密码由身份保护技术提供。
16.如权利要求9-12中任一项所述的系统，进一步包括触摸屏显示器。
17.如权利要求9-12中任一项所述的系统，进一步包括操作地耦合到所述一个或多个处理器的全球定位系统设备。
18.一种用于有条件的有限服务授权的装置，包括：
用于由计算设备确定存在操作状态的单元，其中在所述操作状态期间，在有限的基础上授权对服务的访问；
用于由所述计算设备接受与寻求对所述服务的访问的设备的用户相关联的凭证的单元，所述设备距所述计算设备远程布置；
用于由所述计算设备接受所述设备的硬件能力证明以在所述操作状态期间确定是否授权对所述寻求的服务的访问的单元；以及
用于由所述计算设备接受一次性密码的单元，其中所述硬件能力证明包括指示所述设备是否是第一响应者设备的信息，其中所述第一响应者设备被发放用于在所述操作状态期间被授权对所述服务的访问，并且其中所述硬件能力证明由所述设备的受信分区作出；以及
用于响应于所述凭证的认证以及所述一次性密码的确认，以及响应于确定存在操作状态，并且进一步响应于对硬件能力证明的验证，由所述计算设备有条件地授权对所寻求的服务的访问的单元。
19.如权利要求18所述的装置，其中所述一次性密码的确认包括使用身份保护技术进行确认。
20.如权利要求18所述的装置，进一步包括用于由所述计算设备基于所述凭证的所述认证是否表明所述用户是第一响应者而有条件地授权所述寻求的服务的单元。
21.如权利要求18所述的装置，其中所述服务包括对通信网络的优先访问。
22.如权利要求18所述的装置，进一步包括：用于由所述计算设备另外地基于所述硬件能力证明是否表明所述设备是第一响应者设备而有条件地授权对所述寻求的服务的访问的单元。
23.如权利要求18所述的装置，其中所述对硬件能力证明的验证包括使用第三方对所述硬件能力证明进行验证。
24.如权利要求18所述的装置，其中所述硬件能力证明包括使用受信执行技术的硬件能力证明。
CN201280071191.XA 2012-03-28 2012-03-28 基于设备验证的有条件的有限服务授权 Active CN104205722B (zh)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/US2012/030809 WO2013147757A1 (en) 2012-03-28 2012-03-28 Conditional limited service grant based on device verification

Publications (2)

Publication Number Publication Date
CN104205722A CN104205722A (zh) 2014-12-10
CN104205722B true CN104205722B (zh) 2018-05-01

Family

ID=49260826

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201280071191.XA Active CN104205722B (zh) 2012-03-28 2012-03-28 基于设备验证的有条件的有限服务授权

Country Status (5)

Country Link
US (1) US9338656B2 (zh)
EP (1) EP2847926B1 (zh)
KR (2) KR20140116510A (zh)
CN (1) CN104205722B (zh)
WO (1) WO2013147757A1 (zh)

Families Citing this family (27)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10270748B2 (en) 2013-03-22 2019-04-23 Nok Nok Labs, Inc. Advanced authentication techniques and applications
US9887983B2 (en) * 2013-10-29 2018-02-06 Nok Nok Labs, Inc. Apparatus and method for implementing composite authenticators
US10706132B2 (en) 2013-03-22 2020-07-07 Nok Nok Labs, Inc. System and method for adaptive user authentication
US9961077B2 (en) 2013-05-30 2018-05-01 Nok Nok Labs, Inc. System and method for biometric authentication with device attestation
US9654469B1 (en) 2014-05-02 2017-05-16 Nok Nok Labs, Inc. Web-based user authentication techniques and applications
US9577999B1 (en) 2014-05-02 2017-02-21 Nok Nok Labs, Inc. Enhanced security for registration of authentication devices
US9413533B1 (en) 2014-05-02 2016-08-09 Nok Nok Labs, Inc. System and method for authorizing a new authenticator
US9749131B2 (en) 2014-07-31 2017-08-29 Nok Nok Labs, Inc. System and method for implementing a one-time-password using asymmetric cryptography
US10148630B2 (en) 2014-07-31 2018-12-04 Nok Nok Labs, Inc. System and method for implementing a hosted authentication service
US9875347B2 (en) 2014-07-31 2018-01-23 Nok Nok Labs, Inc. System and method for performing authentication using data analytics
US9455979B2 (en) 2014-07-31 2016-09-27 Nok Nok Labs, Inc. System and method for establishing trust using secure transmission protocols
US9736154B2 (en) 2014-09-16 2017-08-15 Nok Nok Labs, Inc. System and method for integrating an authentication service within a network architecture
US9767324B2 (en) * 2014-11-22 2017-09-19 Intel Corporation Transparent execution of secret content
US20170116432A1 (en) * 2015-01-22 2017-04-27 Daniel Minoli System and methods for cyber-and-physically-secure high grade weaponry
US10554662B2 (en) * 2015-06-30 2020-02-04 Mcafee, Llc Security service for an unmanaged device
US10769635B2 (en) 2016-08-05 2020-09-08 Nok Nok Labs, Inc. Authentication techniques including speech and/or lip movement analysis
US10637853B2 (en) 2016-08-05 2020-04-28 Nok Nok Labs, Inc. Authentication techniques including speech and/or lip movement analysis
US10250582B2 (en) * 2016-08-08 2019-04-02 Microsoft Technology Licensing, Llc Secure private location based services
US10091195B2 (en) 2016-12-31 2018-10-02 Nok Nok Labs, Inc. System and method for bootstrapping a user binding
US10237070B2 (en) 2016-12-31 2019-03-19 Nok Nok Labs, Inc. System and method for sharing keys across authenticators
US11868995B2 (en) 2017-11-27 2024-01-09 Nok Nok Labs, Inc. Extending a secure key storage for transaction confirmation and cryptocurrency
US11831409B2 (en) 2018-01-12 2023-11-28 Nok Nok Labs, Inc. System and method for binding verifiable claims
US12041039B2 (en) 2019-02-28 2024-07-16 Nok Nok Labs, Inc. System and method for endorsing a new authenticator
US11792024B2 (en) 2019-03-29 2023-10-17 Nok Nok Labs, Inc. System and method for efficient challenge-response authentication
US20220166762A1 (en) * 2020-11-25 2022-05-26 Microsoft Technology Licensing, Llc Integrated circuit for obtaining enhanced privileges for a network-based resource and performing actions in accordance therewith
US20220294639A1 (en) * 2021-03-15 2022-09-15 Synamedia Limited Home context-aware authentication
US12126613B2 (en) 2021-09-17 2024-10-22 Nok Nok Labs, Inc. System and method for pre-registration of FIDO authenticators

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101917398A (zh) * 2010-06-28 2010-12-15 北京星网锐捷网络技术有限公司 一种客户端访问权限控制方法及设备

Family Cites Families (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP0917119A3 (en) * 1997-11-12 2001-01-10 Citicorp Development Center, Inc. Distributed network based electronic wallet
US7774824B2 (en) 2004-06-09 2010-08-10 Intel Corporation Multifactor device authentication
US20060236408A1 (en) * 2005-04-14 2006-10-19 International Business Machines Corporation Method and apparatus for device dependent access control for device independent web content
US20080254850A1 (en) * 2005-05-06 2008-10-16 Wms Gaming Inc. Trusted Computing in a Wagering Game Machine
US8468361B2 (en) * 2005-09-21 2013-06-18 Broadcom Corporation System and method for securely provisioning and generating one-time-passwords in a remote device
US7787600B1 (en) 2005-10-07 2010-08-31 At&T Mobility Ii, Llc Handling emergency calls using EAP
US8522018B2 (en) 2006-08-18 2013-08-27 Fujitsu Limited Method and system for implementing a mobile trusted platform module
US7945786B2 (en) * 2007-03-30 2011-05-17 Intel Corporation Method and apparatus to re-create trust model after sleep state
US8127292B1 (en) * 2007-06-22 2012-02-28 Parallels Holdings, Ltd. Virtualization system with hypervisor embedded in bios or using extensible firmware interface
US8275349B2 (en) * 2007-11-29 2012-09-25 Rivada Networks, Llc Method and system for providing tiered priority access to communication network resources
GB2458470A (en) * 2008-03-17 2009-09-23 Vodafone Plc Mobile terminal authorisation arrangements
WO2010041991A1 (en) * 2008-10-06 2010-04-15 Telefonaktiebolaget L M Ericsson (Publ) Digital rights management in user-controlled environment
US8589672B2 (en) * 2008-11-14 2013-11-19 International Business Machines Corporation Method for securely merging multiple nodes having trusted platform modules
AR076088A1 (es) * 2009-03-06 2011-05-18 Interdigital Patent Holding Inc Plataforma de validacion y gestion de dispositivos inalambricos
US8245053B2 (en) * 2009-03-10 2012-08-14 Dell Products, Inc. Methods and systems for binding a removable trusted platform module to an information handling system
US8635705B2 (en) * 2009-09-25 2014-01-21 Intel Corporation Computer system and method with anti-malware
KR101088029B1 (ko) * 2009-11-19 2011-11-29 최운호 스마트카드와 통신단말기를 이용한 전자화폐 인증 시스템
WO2013040241A1 (en) * 2011-09-13 2013-03-21 Privatecore, Inc. Software cryptoprocessor

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101917398A (zh) * 2010-06-28 2010-12-15 北京星网锐捷网络技术有限公司 一种客户端访问权限控制方法及设备

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
Hardware-rooted Trust for Secure Key Management and Transient Trust;Jeffrey S. Dwoskin等;《PROCEEDINGS OF THE 14TH ACM CONFERENCE ON COMPUTER AND COMMUNICATIONS SECURITY》;20071031;全文 *

Also Published As

Publication number Publication date
KR20160119265A (ko) 2016-10-12
WO2013147757A1 (en) 2013-10-03
US9338656B2 (en) 2016-05-10
EP2847926A4 (en) 2015-12-16
US20130337777A1 (en) 2013-12-19
EP2847926A1 (en) 2015-03-18
EP2847926B1 (en) 2019-08-21
KR20140116510A (ko) 2014-10-02
CN104205722A (zh) 2014-12-10
KR101699874B1 (ko) 2017-01-25

Similar Documents

Publication Publication Date Title
CN104205722B (zh) 基于设备验证的有条件的有限服务授权
US10021087B2 (en) Method and system for providing a secure communication channel to portable privatized data
Gordon et al. Blockchain technology for healthcare: facilitating the transition to patient-driven interoperability
EP3536002B1 (en) Decentralized biometric identity authentication
US10609026B2 (en) Data communication method using secure element and electronic system adopting the same
US9967261B2 (en) Method and system for secure authentication
US9565181B2 (en) Method and apparatus for automated password entry
EP3427464B1 (en) Systems and methods for authenticating user for secure data access using multi-party authentication system
US20150312041A1 (en) Authentication in ubiquitous environment
US10735198B1 (en) Systems and methods for tokenized data delegation and protection
US20210319862A1 (en) User Medical Record Transport Using Mobile Identification Credential
TW200912646A (en) Access control device, access control method and access control program
KR102145034B1 (ko) 사용자 계정을 이용한 다이렉트 송금을 위한 트랜잭션 처리
US20140122119A1 (en) Medical data storage and retrieval
CN106716957A (zh) 高效且可靠的认证
US20190163931A1 (en) Devices, systems, and methods for securely storing and managing sensitive information
CN102238192A (zh) 匿名保健和记录系统
JP2015159534A (ja) 弁護士サービスのデジタルまたは電子権限のためのシステムおよび方法
CN107733973A (zh) 安全控制方法、终端、服务器及计算机可读介质
CN106446692A (zh) 硬件强制访问保护
US20170289153A1 (en) Secure archival and recovery of multifactor authentication templates
JP2012073902A (ja) 個人認証システム、個人認証方法、プログラム及び記憶媒体
US11716630B2 (en) Biometric verification for access control using mobile identification credential
JP2020021459A (ja) プログラム、情報処理方法、情報処理装置
US11601816B2 (en) Permission-based system and network for access control using mobile identification credential including mobile passport

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant