CN105210348A - 用于认证统一通信应用的客户端的基于对称密钥的web票证 - Google Patents

Abstract

结合对统一通信系统的用户进行认证而使用小尺寸web票证。所述web票证是通过使用对称密钥而生成的，并且其尺寸小于两百字节。在第一计算设备上执行的票证发行器响应于接收到来自客户端计算设备的认证数据而生成web票证，并且向这样的客户端计算设备传送web票证。客户端计算设备将web票证包括在向第二服务器计算设备传送的针对数据的请求中，其中第二服务器计算设备与票证发行器通信。第二服务器计算设备包括验证器，该验证器使用在第一服务器与第二服务器之间共享的对称密钥对web票证进行验证。

Description

用于认证统一通信应用的客户端的基于对称密钥的web票证

背景技术

传统的统一通信（UC）应用支持多种通信模态，其中包括而不限于语音通信（例如通过与电话系统集成）、语音邮件保留和管理、视频会议技术、会议调度、会议维护、桌面共享、即时消息传送、联系人管理（例如维护UC应用的用户的联系人列表）、存在（例如监视UC应用的用户的可用性）、群组维护（例如保持标识UC应用的用户群组的信息）以及其他通信模态。UC应用通常是分布式应用，其前端软件在客户端计算设备上执行，后端软件在服务器计算设备上执行，其中客户端计算设备与服务器计算设备处于网络通信中。

相对地最近，UC应用已被配置成执行在移动计算设备上，比如移动电话、平板设备（平板电脑）等等。对于移动计算设备的使用越来越多，因而对于执行在移动计算设备上的前端UC软件的使用也越来越多，这就带来了先前不与UC应用相关联的问题。举例来说，对应于移动电话的数据计划可以限制可由移动计算设备上传和/或下载的数据的数量（而不会让用户招致除了计划月费之外的费用）。此外，当在移动计算设备上使用UC应用时，用户通常使得这样的应用在前台执行相对小的时间量，并且随后使得UC应用在后台执行。举例来说，用户可以通过利用在移动电话上执行的UC应用参与相对简短的会议，并且此后将电话放置在口袋或手提包中。与此相对，在桌面型计算设备上执行的UC应用的用户往往允许应用在前台连续地执行。

被利用来认证UC应用的用户的传统令牌往往相对较大，比如大约4千字节。如果UC应用被配置成使得用户对于向执行UC应用的后端软件的服务器发出的每一条请求传送令牌，则此类请求的相对较大的有效载荷（其至少部分地由相对较大的令牌导致）可能使得应用在次佳的情况下执行，并且还可能导致针对超出数据计划而向用户收取附加的费用。此外，UC应用的传统后端软件被配置成对于被视为活跃的每一个UC客户端保持会话标识符，其中UC客户端通常在与使用在UC应用中的服务器通信之后的至少几个小时内被视为是活跃的。保持许多会话标识符限制了UC应用的可伸缩性，这是因为资源被保留来维持会话标识符。此外，关于便携式计算设备，长时间维持会话标识符是浪费的，这是因为如前面所提到的那样，使用移动计算设备登录的UC应用用户通常不在UC应用上保持活跃。

发明内容

下面是将在这里更加详细地描述的主题内容的简要概述。本概述不意图关于权利要求的范围进行限制。

这里描述了关于结合认证用户而创建和使用web票证的各种技术，其中所述web票证的尺寸相对较小（例如200字节或更小），并且其中所述web票证包括基于对称密钥的签名，所述对称密钥在用在其中对用户进行认证的系统中的服务器计算设备之间共享。在一个示例性实施例中，用户可以在客户端计算设备上执行统一通信（UC）应用的客户端侧实例，并且其中UC应用的后端软件希望对于向后端软件发出的每一个请求认证用户。示例性的请求包括针对取回联系人列表的请求，针对UC应用的用户的存在信息的请求，针对参与会议的请求，针对发起语音呼叫的请求等等。但是应当理解的是，这里所描述的关于web票证的创建、维护和使用的技术可以被利用在其中希望对用户进行认证的其他应用/设定中，比如银行应用、电子邮件应用等等。此外，由于web票证的尺寸相对较小，这里所描述的技术可能特别适合于其中所认证的用户正在采用移动计算设备（比如移动电话）的情况。

根据一个示例，用户可以在客户端计算设备上发起应用（例如UC应用）。用户可能希望针对UC应用的后端软件进行认证，并且可以使得客户端计算设备向正在执行UC应用的后端软件的服务器传送认证数据。认证服务器可以包括票证发行器，其是执行在服务器上的逻辑实体。票证发行器接收认证数据，并且响应于接收到这样的认证数据生成web票证。票证发行器利用对称密钥生成包括在web票证中的签名，其中票证发行器可以使用所述对称密钥来生成对应于一个有限时间段（例如一个小时）的web票证。此外，票证发行器可以在具有签名的web票证中包括以下信息：标识生成web票证的票证发行器的票证发行器标识符，标识被用来生成签名的密钥的密钥标识符，标识用户的用户标识符，web票证到期的时间，以及其他数据。响应于生成web票证，票证发行器向发出请求的客户端计算设备传送web票证。

票证发行器可以将被用来生成web票证的对称密钥的列表维持一个阈值时间量。举例来说，票证发行器可以将被用来生成所请求的web票证的密钥在密钥列表中维持八小时。在一个示例中，票证发行器可以生成在八小时之后到期的web票证，并且票证发行器可以在创建web票证时使用对称密钥一小时。因此，票证发行器可以维持对称密钥的列表，其中所述列表包括被用来生成web票证的当前对称密钥，以及被用来生成web票证的另外八个最近的对称密钥。

在客户端计算设备接收到web票证之后，UC应用的客户端侧实例可以传送针对来自执行UC应用的后端软件的另一台服务器的通信数据（例如支持某种通信模态的数据）的请求。所述另一台服务器可以包括验证器，其是执行在所述另一台服务器上（或者分布在几台服务器上）的逻辑实体，该逻辑实体被配置成对web票证（从而对用户）进行认证，并且对针对所述通信数据的请求作出响应。举例来说，验证器可以支持存在，从而使得验证器可以提供表明UC应用的用户的存在的数据。为了对web票证进行认证，验证器可以从web票证读取票证发行器标识符，并且请求由票证发行器维持的对称密钥的列表。验证器还可以从web票证读取密钥标识符，并且识别在对称密钥列表中的被用来生成web票证的对称密钥。验证器利用对应于密钥标识符的对称密钥来对web票证进行认证。在对web票证进行认证之后，验证器可以生成针对来自UC应用的客户端侧实例的请求的响应，其中所述响应包括由UC应用的客户端侧实例所请求的通信数据。与此相对，如果web票证不包括特定字段，或者已到期（如在web票证中所表明的那样），或者不包括有效的密钥等等，则验证器可以拒绝该请求。

前面的概述给出了简化的概述，以便提供对于这里所讨论的系统和/或方法的某些方面的基本理解。本概述不是这里所讨论的系统和/或方法的详尽总览。其不意图标识出关键的/至关重要的元素，也不意图界定此类系统和/或方法的范围。其唯一的目的是以简化形式给出一些概念，以作为稍后给出的更加详细的描述的前导。

附图说明

图1是促进生成用于结合向服务器认证用户而利用的web票证的示例性系统的功能方框图。

图2是图示出了结合向验证器认证客户端而在统一通信系统的客户端与逻辑实体之间进行的通信的通信图。

图3图示出了示例性web票证。

图4是被配置成通过使用web票证向服务器进行认证的示例性客户端计算设备的功能方框图。

图5是包括票证发行器的示例性服务器计算设备的功能方框图，所述票证发行器被配置成生成用于发出请求的客户端计算设备的web票证。

图6是被配置成生成用于结合生成web票证而使用的对称密钥的示例性服务器计算设备的功能方框图。

图7是被配置成验证由客户端计算设备提供的web票证的示例性服务器计算设备的功能方框图。

图8是图示出了结合通过使用web票证向服务器计算设备认证用户而由客户端计算设备执行的示例性方法的流程图。

图9是图示出了由票证发行器结合生成web票证而执行的示例性方法的流程图。

图10是图示出了由密钥生成器执行的促进生成被用来创建web票证的密钥的示例性方法的流程图。

图11是图示出了由验证器执行的促进基于web票证认证用户的示例性方法的流程图。

图12是示例性计算系统。

具体实施方式

现在参照图描述关于生成web票证并且使用web票证来向服务器计算设备认证用户的各种技术，其中相同的附图标记始终被用来指代相同的元件。在后面的描述中，出于解释的目的阐述了许多具体细节，以便提供对于一个或更多方面的透彻理解。但是可能明显的是，可以在没有这些具体细节的情况下实践这样的（多个）方面。在其他情况下，以方框图的形式示出了众所周知的结构和设备，以便促进描述一个或更多方面。此外，应当理解的是，被描述为由某些系统组件实施的功能可以由多个组件来实施。类似地，举例而言，一个组件可以被配置成实施被描述为由多个组件实施的功能。

此外，术语“或者”意图表示包含性的“或者”而不是排他性的“或者”。也就是说，除非另行指定，或者从上下文清楚可见，否则短语“X采用A或B”意图表示任何自然的包含性排列。也就是说，短语“X采用A或B”被任何以下实例满足：X采用A；X采用B；或者X采用A和B二者。此外，除非另行指定或者在上下文中清楚可见是针对单数形式，否则在本申请和所附权利要求书中使用的冠词“一”和“一个”通常应当被解释成表示“一个或更多”。

此外，这里所使用的术语“组件”和“系统”意图包含被配置成具有计算机可执行指令的计算机可读数据存储装置，所述计算机可执行指令使得在由处理器执行时实施特定功能。所述计算机可执行指令可以包括例程、函数等等。还应当理解的是，组件或系统可以被局部化在单一设备上，或者被分布在几个设备上。此外，这里所使用的术语“示例性”意图表示充当某一事项的说明或示例，而不意图表明优选项。

这里描述了关于利用web票证向执行在服务器计算设备上的验证实体认证用户的各种技术，其中web票证包括基于对称密钥的签名。所述对称密钥可以在执行用户希望向其认证的应用的后端软件的各台服务器之间共享。为了保持安全性，对于相对较短的时间量，结合生成web票证而使用所述对称密钥，此后使用不同的对称密钥来生成web票证。相应地，在第一时间点对于第一用户生成的web票证可以基于第一对称密钥，而在第二时间点生成的对于第二用户的web票证可以基于第二对称密钥。利用对称密钥生成web票证允许web票证的有效载荷保持得相对较小（例如200字节或更小）。相应地，举例而言，可以很容易把web票证附加到统一资源定位符（URL）以作为请求的一部分，并且结合认证用户可以很容易从URL中提取出web票证。

现在参照图1，图示出了示例性系统100，其促进结合向服务器计算设备认证用户而生成和使用web票证。系统100是在统一通信（UC）应用的上下文中描述的。但是应当理解的是，这里所描述的特征并不限于此。举例来说，这里所描述的特征非常适合于当用户正在采用移动计算设备时希望向其认证的任何系统。此外，这里所描述的特征可以非常适合于包括在其间共享对称密钥的多个服务器计算设备的系统。

系统100包括多个客户端计算设备102至104，其中客户端计算设备102-104可以是或包括至少一个移动计算设备，比如移动电话、平板计算设备、平板手机（phablet）计算设备（例如具有近似5英寸对角线的显示屏幕的组合电话/平板设备）、便携式媒体播放器等等。此外，客户端计算设备102-104可以包括传统的桌面型和/或膝上型计算设备。客户端计算设备102-104中的每一个客户端设备可以执行UC应用的相应的客户端侧实例。UC应用可以支持多种通信模式，其中包括而不限于语音通信、视频会议技术、即时消息传送、存在、群组、屏幕共享、语音邮件、会议组织等等。

系统100还包括UC服务器系统106，其中客户端计算设备102-104通过网络108（例如因特网或内联网）与UC服务器系统106（并且与其他客户端计算设备）进行通信。UC服务器系统106包括多个服务器计算设备，其分别执行UC应用的服务器侧实例（后端软件）。所述多个服务器计算设备可以通过相应的适当通信信道彼此通信。

UC服务器系统106包括票证发行器110、密钥生成器112和多个验证器114-116。票证发行器110、密钥生成器112和验证器114-116是在UC服务器系统106中的服务器计算设备上执行的逻辑实体。举例来说，票证发行器110可以在第一服务器计算设备上执行，而密钥生成器112可以在第二服务器计算设备上执行。在另一个示例中，票证发行器110可以按照分布式方式在第一多个服务器计算设备上执行，并且密钥生成器112可以按照分布式方式在第二多个服务器计算设备上执行。在再一个示例中，票证发行器110可以在服务器计算设备中的第一处理器核心或处理器核心集合上执行，而密钥生成器112可以在服务器计算设备中的第二处理器核心或处理器核心集合上执行。此外，虽然票证发行器110和密钥生成器112被示为分开的实体，但是在一些实施例中，票证发行器110可以被配置成实施在这里被描述成由密钥生成器112实施的功能。此外，应当理解的是，UC服务器系统106可以包括多个票证发行器和/或多个密钥生成器。

如前所表明的，系统100促进结合向UC服务器系统106中的验证器114-116认证用户而生成并且使用web票证。为此，在一个示例中，第一客户端计算设备102可以执行UC应用的第一客户端侧实例，并且可以向UC服务器系统106传送认证数据，比如用户名和口令。票证发行器110可以基于用户名和口令认证用户，并且可以响应于对由第一客户端计算设备102提供的认证数据进行认证而为用户生成web票证。票证发行器110可以使用对称密钥来生成web票证。在一个示例性实施例中，票证发行器110可以利用基于散列的消息认证代码（HMAC）协议来基于所述对称密钥创建签名。举例来说，这样的签名可以具有32字节或64字节的尺寸。此外，票证发行器110可以生成web票证，从而使得所述票证包括多个字段，其中所述字段包括针对票证发行器110的标识符、标识被用来生成web票证的对称密钥的密钥标识符、签名、web票证的到期时间（例如web票证的有效只到该web票证中表明的时间为止）、针对第一客户端计算设备102的用户的至少一个标识符以及其他数据。在一个示例性实施例中，web票证可以被设定为在多于一小时但是少于一天（例如八小时）的时间窗口过去之后到期。票证发行器110随后可以通过网络108向第一客户端计算设备102传送web票证。

在接收到web票证之后，第一客户端计算设备102可以向UC服务器系统106传送针对希望在第一客户端计算设备102处利用的通信模态的通信数据的请求。举例来说，第一客户端计算设备102可以传送针对第一客户端计算设备102的用户的联系人列表的请求。在一个示例性实施例中，这样的请求可以采取针对可以对所述请求作出响应的UC服务器系统106中的特定服务器计算设备的HTTP统一资源定位符（URL）的形式。举例来说，URL可以标识执行第一验证器114的服务器计算设备。此外，web票证被包括在所述请求中。继续该示例，第一验证器114可以接收所述请求，并且可以分析web票证的内容以便验证该web票证，从而对用户进行认证。具体来说，第一验证器114可以从web票证读取标识票证发行器110的数据以及密钥标识符。

如果第一验证器114无法访问由票证发行器110使用来生成web票证的有效对称密钥的未到期列表，则第一验证器114可以将针对所述对称密钥列表的请求导向票证发行器110，其中所述列表中的对称密钥对应于其中web票证是有效的时间段。在一个示例中，web票证可以对于一个8小时时间窗口是有效的（例如在由票证发行器110生成之后的八小时）。此外，票证发行器110可以仅使用对称密钥来生成针对更小时间窗口（例如一小时）的web票证。因此，由票证发行器110维持的密钥的总集可以是至少9个密钥（例如当前正由票证发行器110使用的对称密钥，以及由票证发行器110在之前的八个小时期间使用的八个对称密钥）。第一验证器114可以使用web票证中的密钥标识符来识别所述对称密钥列表中的由票证发行器110使用来生成web票证的密钥。第一验证器114随后可以使用所述对称密钥来验证web票证，并且因此可以对用户进行认证。此后，第一验证器114可以生成针对所述请求的响应，并且向第一客户端计算设备102传送这样的响应。在该示例中，第一验证器114可以响应于通过使用web票证对用户进行认证来向第一客户端计算设备102传送联系人列表。

因为web票证的尺寸相对较小（例如小于200字节），所以执行UC应用的客户端侧实例的客户端计算设备可以被配置成对于针对UC服务器系统106中的服务器发出的每一个请求传送web票证。一旦web票证到期，第一客户端计算设备102可以从票证发行器110请求新的web票证。以这种方式利用web票证还促进对UC服务器系统106进行伸缩，以便允许更多客户端计算设备利用由UC服务器系统106供应的服务，这是因为UC服务器系统106不需要对于客户端计算设备102-104正与UC服务器系统106一起参与的每一个会话维持会话标识符。这是因为当客户端计算设备向UC服务器系统106传送请求时，包括在web票证中的数据促进了相对快速地重建会话。举例来说，除了前面描述的web票证中的信息之外，票证发行器110还可以包括针对将在其中终止（terminate）与web票证相关联的流量的服务器计算设备的标识符、针对会话的标识符等等。

现在转到图2，图示出了示例性通信图200，其图示出了可以在第一客户端计算设备102、票证发行器110、密钥生成器112和第一验证器114之间进行的通信。在202处，第一客户端计算设备102向票证发行器110传送认证数据，其中所述认证数据可以是用户名和口令或者可以被用来标识第一客户端计算设备102的用户的某种其他适当的数据。票证发行器110随后可以基于接收自第一客户端计算设备102的认证数据来对用户进行认证。响应于对用户进行了认证，票证发行器110可以开始生成web票证。

正如前面所提到的那样，票证发行器110被配置成通过利用对称密钥生成web票证。为了减少对应于对称密钥加密方案的安全性缺陷，票证发行器110可以对于相对较小的时间窗口（例如一个小时）使用任何一个密钥来生成web票证。因此，如果所述时间窗口是一个小时，则票证发行器110每一个小时使用不同的对称密钥来生成web票证。但是应当理解的是，可能希望的是使得web票证对于比票证发行器110使用对称密钥来生成web票证的时间窗口更长的时间段是有效的。因此，票证发行器110可以维持对应于有效web票证的对称密钥的总集（列表），随着较早的密钥变为失效而将其丢弃，并且用票证发行器110使用来创建web票证的更加新的密钥将其替换。

相应地，响应于基于在202处向票证发行器110传送的认证数据对用户进行认证，票证发行器110可以确定其是否可以访问到对于生成web票证保持有效的对称密钥（例如其已经有超过一小时没有被用来生成web票证）。如果票证发行器110无法访问到适合于生成web票证的密钥，则在204处票证发行器110向密钥生成器112传送针对密钥的请求。密钥生成器112利用随机数生成器或伪随机数生成器来生成至少一个密钥，并且在206处向票证发行器110提供所述至少一个密钥。如果所述针对密钥的请求是来自票证发行器110的针对密钥的第一请求，则密钥生成器112可以被配置成在206处向票证发行器110传送多个密钥（例如票证发行器110将立即利用的第一密钥，以及在第一密钥到期之后要利用的一个或更多密钥）。

如果票证发行器110可以访问到有效的对称密钥或者响应于接收到来自密钥生成器112的对称密钥，则在208处，票证发行器110可以生成web票证，并且向第一客户端计算设备102传送web票证。此后，第一客户端计算设备102可以生成针对支持希望在第一客户端计算设备102处采取的通信模态的通信数据的请求（其中所述通信数据可以由第一验证器114访问到）。第一客户端计算设备102将web票证包括在请求中，并且在210处向第一验证器114传送所述请求。为了验证web票证，第一验证器114需要关于由票证发行器110使用来生成web票证的对称密钥的知识。相应地，第一验证器114可以对接收自第一客户端计算设备102的web票证进行分析，并且基于web票证的内容识别票证发行器110。第一验证器114可以在本地进行搜索，以便确定其是否已经可以访问到由票证发行器110使用来生成web断续器（ticker）的对称密钥的有效列表。如果第一验证器114无法访问到这样的列表，则在212处，第一验证器向票证发行器110传送针对由票证发行器110维持的对称密钥的列表的请求。举例来说，如果web票证对于八小时是有效的，并且票证发行器110在生成web票证时把对称密钥使用仅仅一个小时，则由票证发行器110维持的密钥总集可以包括至少九个密钥。

在214处，票证发行器110向第一验证器114传送所述密钥列表。第一验证器114随后可以基于web票证中的密钥标识符来识别由票证发行器110使用来生成web票证的密钥。使用这样的密钥，第一验证器114可以验证web票证，从而对用户进行认证。响应于验证了web票证，在216处，第一验证器114可以向第一客户端计算设备102传送响应，其中所述响应包括由第一客户端计算设备102请求的通信数据。

现在参照图3，图示出了示例性web票证300。web票证300包括第一字段302，其包括标识生成web票证300的票证发行器的发行器标识符。web票证300还包括第二字段304，其包括标识由在第一字段302中标识的票证发行器利用来生成web票证300的对称密钥的密钥标识符。应当清楚的是，第二字段304中的密钥标识符不是对称密钥本身；相反，所述密钥标识符是可以被用来在数据库中查找所述对称密钥的数值。web票证300还包括第三字段306，其包括基于在第二字段304中标识出的对称密钥而生成的签名。web票证300的第四字段308标识web票证300将到期的时间。举例来说，在第一字段302中标识出的票证发行器可以把在第四字段308中标识出的到期时间设定为该票证发行器生成web票证300之后的某一阈值时间量（例如从票证发行器生成web票证的时间开始的八小时）。web票证300还包括第五字段310，其可以包括某种其他标识符，比如其中用户将要参与的会议的组织者的标识符、用户标识符、会话标识符等等。

现在参照图4，图示出了第一客户端计算设备102的示例性描绘。第一客户端计算102执行应用402（例如UC应用）的客户端侧实例。应用402包括被配置成从票证发行器请求web票证的票证请求器组件404。在一个示例性实施例中，票证请求器组件404可以通过向票证发行器传送用户名和口令来请求web票证。客户端应用402还包括数据请求器组件406，其向验证器传送针对通信数据的请求，其中所述请求包括web票证。响应于接收到针对由数据请求器组件406传送的请求的响应，客户端应用402可以被配置成更新显示在第一客户端计算设备102的显示屏幕上的图形内容。在一个示例中，数据请求器组件406可以传送针对第一客户端计算设备102的用户的联系人列表的请求。当接收到针对所述请求的响应时，客户端应用402可以使得在第一客户端计算设备102的显示屏幕上显示这样的联系人列表或其一部分。

现在参照图5，图示出了可以被包括在UC服务器系统106中的示例性第一服务器计算设备500。第一服务器计算设备500执行票证发行器110。第一服务器计算设备500还包括数据储存库502，其包括一个对称密钥列表，其中所述对称密钥列表中的密钥与有效的（未到期的）web票证相关联。如前所提到的那样，票证发行器110接收来自客户端计算设备的针对web票证的请求。票证发行器110访问数据储存库502以便确定所述密钥列表中的最近的密钥是否可以被用来生成用于发出请求的客户端计算设备的web票证。如果所述密钥列表不包括适当的对称密钥，则密钥请求器组件504可以从执行在UC服务器系统106中的不同服务器上的密钥生成器请求对称密钥。在另一个实施例中，票证发行器110可以被配置成具有密钥生成器，并且可以使得密钥生成器生成对称密钥。

如果所述对称密钥列表包括适当的对称密钥或者响应于接收到来自密钥生成器的新的对称密钥，则票证生成器组件506可以生成用于发出所述请求的客户端计算设备的web票证。票证发行器110还包括票证传送器组件508，其向发出请求的客户端计算设备传送web票证。

票证发行器110还负责维护数据储存库502中的对称密钥列表。也就是说，票证发行器110被配置成在从某一对称密钥变为可由票证发行器110使用来生成web票证开始经过一定阈值时间量之后从对称密钥列表中去除所述密钥。因此，举例来说，在某一密钥第一次被票证发行器110使用来生成web票证的八小时之后，票证发行器110可以从对称密钥列表中去除这样的密钥。同样地，当从密钥生成器112接收到密钥时，票证发行器110可以将该密钥添加到密钥列表中。相应地，随着新的密钥被添加到密钥列表中，可以从这样的列表中去除最早的密钥。

现在参照图6，图示出了UC服务器系统106中的第二服务器计算设备600。第二服务器计算设备600可以与第一服务器计算设备500通信，并且可以执行密钥生成器112。密钥生成器112包括密钥请求接收器组件602，其接收来自票证发行器110的针对新的对称密钥的请求。密钥生成器组件604响应于密钥请求接收器组件602接收到请求而生成对称密钥，并且向发出请求的票证发行器传送所述对称密钥。此外，密钥生成器组件604可以生成密钥标识符，该密钥标识符可以被用来在查找表中标识密钥，并且密钥生成器组件604可以附加地向发出请求的票证发行器传送密钥标识符。替换地，票证发行器可以生成密钥标识符。此外，应当理解的是，密钥生成器112可以为多于一个票证发行器生成密钥。

现在参照图7，图示出了UC服务器系统106中的第三服务器计算设备700，其中第三服务器计算设备700执行第一验证器114。第三服务器计算设备700包括数据储存库702，其中数据储存库702包括通信数据703。第一验证器114包括数据请求接收器组件704，其接收来自客户端计算设备的针对通信数据703的请求，其中所述请求包括由票证发行器110发出的web票证。数据储存库702还可以包括密钥列表706，其中密钥列表706是先前接收自票证发行器110的对称密钥的列表。第一验证器114可以包括列表请求器组件708，其访问数据储存库702并且检视密钥列表706，以便确定密钥列表706是否是当前的。如果数据储存库702中的密钥列表706不是当前的，则总集请求器组件708可以从（如在所接收到的web票证中所标识出的）票证发行器110请求密钥列表。这样的密钥列表可以被保持在数据储存库702中以作为密钥列表706。

验证器114还包括验证器组件710，其可以对web票证进行验证，从而对发出请求的客户端计算设备的用户进行认证。举例来说，验证器组件710可以检视web票证以确定其中缺失某一字段。如果验证器组件720确定某一字段缺失（例如web票证中的任何字段），则验证器组件720可以拒绝针对数据703的请求。此外，验证器组件710可以分析web票证中的标识出该web票证何时到期的字段。如果验证器组件720确定web票证已到期，则验证器组件710拒绝针对通信数据703的请求。如果web票证尚未到期，则验证器组件710可以从web票证中提取出签名，并且可以使用在web票证中标识出的来自密钥列表706的对称密钥对所述签名进行验证。第一验证器114还包括数据提供器组件712，其与验证器组件710进行通信。如果验证器组件710发现web票证是有效的，则数据提供器组件712可以使得向发出请求的客户端计算设备传送所请求的通信数据703。如果验证器组件710发现签名是无效的，则拒绝来自客户端的请求。

图8-11图示出了与创建和使用web票证来对用户进行认证有关的示例性方法。虽然所述方法被示出并且描述成在一个序列中实施的一系列动作，但是应当理解并且认识到的是，所述方法不受所述序列的顺序的限制。举例来说，一些动作可以按照不同于这里所描述的顺序的顺序发生。此外，一项动作可以与另一项动作同时发生。此外，在某些情况下，可能不需要所有动作来实施这里所描述的方法。

此外，这里所描述的动作可以是计算机可执行指令，其可以由一个或更多处理器实施和/或被存储在一个或多个计算机可读介质上。所述计算机可执行指令可以包括例程、子例程、程序、执行线程等等。此外，所述方法动作的结果可以被存储在计算机可读介质中、显示在显示设备上等等。

现在参照图8，图示出了示例性方法800，其可以结合对用户进行认证而由客户端计算设备执行来接收并且使用web票证。方法800开始于802处，并且在804处向web票证发行器传送认证数据。在806处，响应于web票证发行器对在804处传送的认证数据进行认证，客户端接收来自web票证发行器的web票证。

在808处，向验证器传送数据请求，其中所述数据请求包括在806处接收到的web票证。在810处，响应于验证器对web票证进行了验证，在810处接收来自验证器的所请求的数据。方法800在812处结束。

现在参照图9，图示出了可以结合生成web票证而由票证发行器执行的示例性方法900。方法900开始于902处，并且在904处，接收来自客户端计算设备的针对web票证的请求。在906处，票证发行器对所维护的对称密钥列表进行分析，以便确定所述密钥列表是否包括可以被采用来生成web票证的对称密钥（例如所述对称密钥尚未到期）。如果web票证发行器不具有用于生成web票证的未到期的对称密钥，则在908处，web票证发行器可以向密钥生成器传送针对对称密钥的请求。替换地，如果被配置成这样做，则票证发行器可以生成对称密钥。在910处，响应于向密钥生成器传送请求，可以接收来自密钥生成器的至少一个密钥。在某些情况下，密钥生成器可以向web票证发行器传送多个密钥（例如三个密钥），其中第一密钥将由票证发行器立即使用来生成web票证，而第二和第三密钥将在后来被使用来生成web票证。举例来说，第一密钥可以被用来在第一小时期间生成web票证，第二密钥可以被用来在第二小时期间生成web票证，第三密钥可以被用来在第三小时期间生成web票证。相应地，向票证发行器提供一个对称密钥队列，并且其可以向发出请求的验证器提供这样的队列。

在912处，响应于在910处接收到来自密钥生成器的至少一个密钥，或者响应于确定票证发行器已经可以访问到有效的密钥，在912处，生成由客户端计算设备请求的web票证。在914处，向客户端计算设备传送web票证，并且方法900在916处结束。

现在参照图10，图示出了可以结合维护密钥列表并且向发出请求的验证器提供所述密钥列表而由票证发行器执行的示例性方法1000。方法1000开始于1002，并且在1004处，接收来自客户端计算设备的针对web票证的初始请求。在1006处，接收或者生成初始的对称密钥列表。在一个示例性实施例中，所述初始的对称密钥列表可以包括多个密钥：将由票证发行器立即使用来生成web票证的第一密钥；紧接在第一密钥到期之后将被用来生成web票证的第二密钥，以及紧接在第二密钥到期之后将被用来生成web票证的第三密钥。因此，所述列表包括尚未被票证发行器采用来生成web票证的两个密钥的队列。

在1008处，确定验证器是否请求了对称密钥列表。如果已接收到来自验证器的请求，则在1010处向发出请求的验证器传送由票证发行器维护的对称密钥列表，并且此后方法1000返回到动作1008。可以确定所述列表包括尚未被票证发行器使用的两个对称密钥。包括这样的密钥可以允许发出请求的验证器在未来的时间使用所述列表，而无须从票证发行器请求更新后的列表。此外，包括这样的密钥可以考虑到由各个服务器计算设备使用的时钟的差异。

在1012处，确定由票证发行器使用来生成web票证的最近的密钥是否仍然有效。换句话说，确定所述密钥可以在其中被用来生成web票证的阈值时间窗口是否已到期。如果发现所述密钥仍然有效，则方法1000可以返回到动作1008。

如果在1012处确定所述密钥对于结合生成web票证而使用而言不再有效，则在1014处激活对称密钥列表中的队列中的下一个密钥，以便由票证发行器使用来生成web票证。在1016处，接收或生成新的密钥以供包括在队列中，从而使得所述队列再次包括两个对称密钥。

在1018处，确定对称密钥列表中的密钥数目（在将新的密钥添加到队列中之后）是否大于预定义的阈值。换句话说，确定列表中的最早的密钥是否与任何有效的web票证相关联。如果确定密钥列表中的密钥数目大于阈值，则在1020处从列表中去除最早的密钥。当在1018处确定密钥数目不大于阈值时，或者在从密钥列表中去除最早的密钥之后，方法1000返回到动作1008。

如果在1006处，确定票证发行器是否保持了或者可以访问到密钥总集。如果在1006处确定票证发行器不包括或者无法访问到密钥总集（例如这是自执行票证发行器的服务器启动以来的针对web票证的第一请求），则在1008处，可以生成三个对称密钥。在1010处，可以对所述三个密钥指派相应的到期时间。举例来说，每一个密钥可以被票证发行器使用某一时间段，并且到期时间可以包括顺序的非重叠的时间范围。

现在参照图11，图示出了示例性方法1100，其可以结合验证web票证从而认证用户而由验证器执行。方法1100开始于1102，并且在1104处，接收来自客户端计算设备的针对通信数据的请求，其中所述请求包括web票证。在1106处，从web票证读取发行器标识符，并且在1108处，从在web票证中标识出的票证发行器请求对称密钥列表。应当理解的是，在某些情况下，验证器将已经在其高速缓存中具有有效的对称密钥列表，从而使得动作1108是可选的。

在1110处，从web票证读取密钥标识符。在1112处，基于web票证和/或密钥的内容确定web票证是否有效。举例来说，在1112处，可以确定web票证是否已到期。此外，可以从web票证中提取出签名，并且基于在web票证中标识出的密钥对其进行验证。如果在1112处确定web票证不是有效的，则在1114处拒绝来自客户端的请求。如果在1112处确定web票证是有效的，则在1116处向客户端传送针对客户端的请求的响应，其中所述响应包括所请求的数据。所述方法在1118处结束。

现在参照图12，图示出了可以根据这里所公开的系统和方法使用的示例性计算设备1200的高层级图示。举例来说，计算设备1200可以被使用在支持基于对称密钥生成web票证的系统中。作为另一个示例，计算设备1200可以被使用在支持维护对称密钥列表的系统中。计算设备1200包括至少一个处理器1202，其执行存储在存储器1204中的指令。举例来说，所述指令可以是用于实施被描述成由前面所讨论的一个或更多组件实施的功能的指令，或者用于实施前面所描述的其中一种或更多种方法的指令。处理器1202可以通过系统总线1206访问存储器1204。除了存储可执行指令之外，存储器1204还可以存储对称密钥列表、通信数据、web票证等等。

计算设备1200附加地包括可由处理器1202通过系统总线1206访问的数据存储库1208。数据存储库1208可以包括可执行指令、对称密钥列表、web票证等等。计算设备1200还包括允许外部设备与计算设备1200通信的输入接口1210。举例来说，输入接口1210可以被用来接收来自外部计算机设备、来自用户等等的指令。计算设备1200还包括输出接口1212，其把计算设备1200与一个或更多外部设备进行接口。举例来说，计算设备1200可以通过输出接口1212显示文字、图像等等。

应设想到，通过输入接口1210和输出接口1212与计算设备1200通信的外部设备可以被包括在提供用户可以与之交互的基本上任何类型的用户接口的环境中。用户接口类型的示例包括图形用户接口、自然用户接口等等。举例来说，图形用户接口可以接受来自采用（多个）输入设备（比如键盘、鼠标、遥控器等等）的用户的输入，并且在比如显示器之类的输出设备上提供输出。此外，自然用户接口可以使得用户能够与计算设备1200进行交互，而不会受到由比如键盘、鼠标、遥控器等输入设备所强加的约束。相反，自然用户接口可以依赖于话音辨识、触摸和触笔辨识、屏幕上和邻近屏幕的手势辨识、空中手势、头部和眼睛跟踪、语音和话音、视觉、触摸、手势、机器智能等等。

此外，虽然被图示为单一系统，但是应当理解的是，计算设备1200可以是分布式系统。因此，举例来说，几个设备可以通过网络连接通信，并且可以共同实施被描述为由计算设备1200实施的任务。

这里所描述的各种功能可以通过硬件、软件或者其任意组合来实施。如果是通过软件来实施，则函数可以被存储在计算机可读介质上或者作为计算机可读介质上的一条或更多条指令或代码来传送。计算机可读介质包括计算机可读存储介质。计算机可读存储介质可以是能够由计算机访问的任何可用的存储介质。作为举例而非限制，这样的计算机可读存储介质可以包括RAM、ROM、EEPROM、CD-ROM或其他光盘存储装置，磁盘存储装置或其他磁性存储设备，或者可以被用来通过指令或数据结构的形式携带或存储所期望的程序代码并且可以由计算机访问的任何其他介质。这里所使用的碟（disk）和盘（disc）包括紧致盘（CD）、激光盘、光盘、数字通用盘（DVD）、软碟以及Blu-ray（蓝光）盘（BD），其中碟通常通过磁性方式再现数据，而盘通常利用激光器通过光学方式再现数据。此外，传播信号不被包括在计算机可读存储介质的范围内。计算机可读介质还包括通信介质，其中包括促进从一个地方向另一个地方传输计算机程序的任何介质。举例来说，连接可以是通信介质。举例来说，如果使用同轴线缆、光纤线缆、双绞线、数字订户线（DSL）或者比如红外、无线电和微波之类的无线技术从网站、服务器或其他远程来源传送软件，则所述同轴线缆、光纤线缆、双绞线、DSL或者比如红外、无线电和微波之类的无线技术被包括在通信介质的定义内。前述各项的组合也应当被包括在计算机可读介质的范围内。

替换地或附加地，这里所描述的功能可以至少部分地由一个或更多硬件逻辑组件实施。作为举例而非限制，可以使用的说明性类型的硬件逻辑组件包括现场可编程门阵列（FPGA）、程序特定集成电路（ASIC）、程序特定标准产品（ASSP）、芯片上系统的系统（SOC）、复杂可编程逻辑设备（CPLD）等等。

前面已经描述的内容包括一个或更多实施例的示例。出于描述前面提到的各个方面的目的当然不可能描述前述设备或方法的每一种可设想到的修改和改动，但是本领域普通技术人员可以认识到，各个方面的许多另外的修改和排列是可能的。相应地，所描述的各个方面意图涵盖落在所附权利要求的精神和范围内的所有此类改动、修改和变型。此外，就在详细描述或权利要求中使用术语“包括”而言，这样的术语意图是包含性的，其方式类似于作为“包含”的术语“包括”在被采用作为权利要求中的过渡词时被解释的方式。

Claims (10)

1.一种客户端计算设备，其被配置成在执行统一通信应用的客户端侧实例时实施多项动作，所述多项动作包括：

向执行统一通信应用的第一服务器侧实例的第一服务器传送第一请求；

在传送所述请求之后，接收来自第一服务器的web票证，所述web票证包括基于对称密钥的签名；

向执行统一通信应用的第二服务器侧实例的第二服务器传送第二请求，其中第二请求包括web票证；以及

接收来自第二服务器的基于所述请求的数据分组。

2.权利要求1的客户端计算设备，其是移动电话。

3.权利要求1的客户端计算设备，其中，所述web票证具有小于两百字节的尺寸。

4.权利要求1的客户端计算设备，其被配置成在接收到来自第一服务器的web票证之后并且在所述web票证到期之前，对于向执行统一通信应用的相应的服务器侧实例的服务器的每一项请求传送web票证。

5.权利要求4的客户端计算设备，其中，所述web票证在多于一个小时并且少于一天之后到期。

6.权利要求1的客户端计算设备，其中，所述web票证还包括将第一服务器标识成web票证的发行器的数据。

7.权利要求1的客户端计算设备，其中，所述统一通信应用支持多种通信模态，所述模态包括即时消息传送、联系人的存在、屏幕共享、群组维护、视频会议技术以及电话会议技术。

8.权利要求1的客户端计算设备，其中，所述web票证包括表明该web票证将要到期的时间的数据。

9.一种由客户端计算设备在执行统一通信应用的客户端侧实例时所执行的方法，所述方法包括：

接收来自执行票证发行器的第一服务器的web票证，所述web票证包括标识该票证发行器的数据以及基于对称密钥的签名；

向执行验证器的第二服务器传送请求，所述请求包括所述web票证；

接收来自第二服务器的针对所述请求的响应；以及

基于接收自第二服务器的针对所述请求的响应在客户端计算设备的显示屏幕上显示数据。

10.权利要求9的方法，其中，统一资源定位符包括向第二服务器传送的请求。