CN105247528B - 连续多因素认证 - Google Patents

连续多因素认证 Download PDF

Info

Publication number
CN105247528B
CN105247528B CN201380076955.9A CN201380076955A CN105247528B CN 105247528 B CN105247528 B CN 105247528B CN 201380076955 A CN201380076955 A CN 201380076955A CN 105247528 B CN105247528 B CN 105247528B
Authority
CN
China
Prior art keywords
user
computing device
performing environment
environment module
distribution center
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201380076955.9A
Other languages
English (en)
Other versions
CN105247528A (zh
Inventor
N·史密斯
C·卡希尔
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Intel Corp
Original Assignee
Intel Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Intel Corp filed Critical Intel Corp
Priority to CN201810171809.9A priority Critical patent/CN108111545B/zh
Publication of CN105247528A publication Critical patent/CN105247528A/zh
Application granted granted Critical
Publication of CN105247528B publication Critical patent/CN105247528B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/316—User authentication by observing the pattern of computer usage, e.g. typical user behaviour
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • G06F21/335—User authentication using certificates for accessing specific resources, e.g. using Kerberos tickets
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/40—User authentication by quorum, i.e. whereby two or more security principals are required
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2101—Auditing as a secondary aspect
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices

Abstract

用于经由多个认证因素连续地对用户进行认证的技术包括用于生成指示用户的连续认证正被监视的连续认证断言、向密钥分发中心服务器发送该连续认证断言以及从该密钥分发中心服务器请求并且接收初始票的计算设备。这种技术还可包括从该密钥分发中心服务器请求用于访问服务提供商服务器的服务票、从该密钥分发中心服务器接收包括该连续认证断言的服务票、用包括该连续认证断言的该服务票请求访问该服务提供商服务器以及响应于该连续认证断言被验证访问该服务提供商服务器。

Description

连续多因素认证
背景
多因素认证是一种要求用户提供多于一种形式的验证来证明其身份从而能够访问敏感数据或计算机系统的计算机化安全程序方法。常用形式的验证包括基于知识的验证数据(例如，用户知道的某个事物，诸如口令或个人标识号)、基于令牌的验证数据(例如，用户具有的某个事物，诸如私钥、安全令牌或智能卡)和生物计量数据(例如，用户的生理或行为特征)。最近，已经致力于连续地对用户进行认证以便增加敏感数据或计算机系统的安全性。
现有的网络安全基础设施通常使用一个或多个网络认证协议，诸如例如Kerberos，以便对用户进行认证并且控制用户被许可访问哪些网络资源。为了这样做，这些网络安全基础设施中的许多基础设施包括一个或多个认证组件，这些认证组件经常是网络基础设施内的完善的系统。然而，这种认证系统不支持连续用户认证。此外，修改现有的认证系统以便包括附加功能会是昂贵并且容易出错的。
附图简要描述
通过举例而非通过限制在附图中示出在此描述的概念。为了说明简单和清晰，图中所示元素无需按比例绘制。当认为合适时，已经在附图中重复参照标号以便表明相应的或类似的元素。
图1是用于使用计算设备提供连续多因素认证的系统的至少一个实施例的简化框图；
图2是图1的系统的客户端计算设备的环境的至少一个实施例的简化框图；
图3是图1的系统的服务提供商服务器的环境的至少一个实施例的简化框图；
图4是可由图1和图2的计算设备执行的用于连续地经由多个认证因素对用户进行认证的方法的至少一个实施例的简化流程图；
图5是可由图1和图2的计算设备执行的用于监视连续用户认证的方法的至少一个实施例的简化流程图；
图6是图4和图5的用于经由多个认证因素对用户进行连续认证的方法的至少一个实施例的简化活动流程图；
图7是图4和图5的用于经由多个认证因素对用户进行连续认证的方法的另一个实施例的简化活动流程图；
图8是图4和图5的用于经由多个认证因素对用户进行连续认证的方法的另一个实施例的简化活动流程图；以及
图9是是图4和图5的用于经由多个认证因素对用户进行连续认证的方法的另一个实施例的简化活动流程图。
附图详细描述
尽管本公开的概念可受到各种修改和替代形式，已经通过举例在附图中示出并且将在此详细地描述其特定实施例。然而，应当理解的是不旨在将本公开的概念限制为所公开的具体形式，而是相反，本发明涵盖与本公开和所附权利要求书一致的所有修改、等效方案和替代方案。
在说明书中对“一个实施例”、“实施例”、“说明性实施例”等等的引用表明所描述的实施例可包括具体的特征、结构或特性，但是每个实施例可无需包括该具体的特征、结构或特性。而且，这种短语无需指代相同的实施例。而且，当结合实施例描述具体的特征、结构或特性时，认为其在本领域普通技术人员结合显式地或未显式地描述的其他实施例实施这种特征、结构或特性的知识范围内。
在某些情况下，可在硬件、固件、软件、或其组合中实现所公开的实施例。所公开的实施例还可被实现为由一个或多个瞬态或非瞬态机器可读(例如计算机可读)存储介质携带或存储在其上的指令，这些指令可由一个或多个处理器读取并执行。机器可读存储介质可被实施为任何用于存储或传输机器可读形式的信息的存储设备、机构、或其他物理结构(例如，易失性或非易失性存储器、介质盘、或其他介质设备)。
在附图中，可用特定安排和/或排序示出某些结构或方法特征。然而，应当认识到可不要求这种特定安排和/或排序。而是，在某些实施例中，可用与说明性附图中示出的不同的方式和/或顺序安排这种特征。此外，具体附图中包括结构或方法特征不意味着暗示在所有实施例中要求这种特征以及在某些实施例中可不包括这种特征或者这种特征可与其他特征组合。
现在参照图1，在说明性实施例中，用于连续地经由多个认证因素对用户102进行认证的系统100包括客户端计算设备110、密钥分发中心服务器130和服务提供商服务器140。在使用中，客户端计算设备110被配置成用于使用多个认证因素(例如，生物计量、接近、用户输入、用户存在等等)对用户102进行认证并且监视客户端计算设备110的用户102的连续认证。客户端计算设备110还被配置成用于提供正在连续地监视用户102的认证的断言。在某些实施例中，客户端计算设备110向密钥分发中心服务器130提供连续用户认证监视的断言，该密钥分发中心服务器可被配置成用于发布访问服务提供商服务器140或服务提供商服务器140所提供的具体资源所必需的一个或多个服务票和/或证书。密钥分发中心服务器130所提供的服务票可包括连续用户认证监视的断言，如以下更详细讨论的，该断言可由服务提供商服务器140在授权访问客户端计算设备110之前验证。以此方式，客户端计算设备110而不是密钥分发中心服务器130可执行用户102的连续认证，并且结果是，可减少修改和/或重新部署密钥分发中心服务器130的需要。
客户端计算设备110可被实施为任何类型的能够执行在此描述的功能的计算设备，包括但不限于桌上计算机、机顶盒、智能显示设备、服务器、移动电话、智能电话、平板计算设备、个人数字助理、消费者电子设备、膝上计算机、智能显示设备、智能电视和/或任何其他类型的计算设备。如图1所示，说明性客户端计算设备110包括处理器112、存储器114、输入/输出(“I/O”)子系统116、数据存储设备120、通信电路124以及一个或多个传感器126。当然，在其他实施例中，客户端计算设备110可包括其他或附加组件，诸如通常在计算机和/或服务器中发现的那些(例如，各种输入/输出设备)。此外，在某些实施例中，说明性组件中的一个或多个可被结合到另一个组件中或者以其他方式形成其一部分。例如，在某些实施例中，存储器114或其部分可被结合到处理器112中。
处理器112可被实施为能够执行在此描述的功能的任何类型的处理器。例如，处理器112可被实施为单核或多核处理器、数字信号处理器、微控制器、或其他处理器或处理/控制电路。类似地，存储器114可被实施为能够执行在此描述的功能的任何类型的易失性或非易失性存储器或数据存储设备。在操作中，存储器114可存储在客户端计算设备110的操作期间使用的各种数据和软件，诸如操作系统、应用、程序、库和驱动程序。存储器114经由I/O子系统116通信地耦合到处理器112，I/O子系统116可被实施为用于促成与客户端计算设备110的处理器112、存储器114、以及其他组件的输入/输出操作的电路和/或组件。例如，I/O子系统116可被实施为或以其他方式包括用于促成输入/输出操作的存储器控制器中枢、输入/输出控制中枢、固件设备、通信链路(即，点到点链路、总线链路、导线、线缆、光导、印刷电路板迹线等等)和/或其他组件及子系统。在某些实施例中，I/O子系统116可形成片上系统(SoC)的一部分并且可与客户端计算设备110的处理器112、存储器114和其他组件一起结合到单个集成电路芯片上。
在某些实施例中，I/O子系统116可包括受信任执行环境模块118，该模块可被实施为独立于处理器112操作以便提供不能由处理器112或客户端计算设备110的其他组件访问的安全并隔离的环境的嵌入式微处理器，诸如安全协处理器。在这种实施例中，受信任执行环境模块118可管理客户端计算设备110为了保护客户端计算设备110和密钥分发中心服务器130和服务提供商服务器140中的一个或多个之间的数据和/或通信而使用的一个或多个加密密钥的存储。在这种实施例中，该一个或多个加密密钥可存储在存储器114中受信任执行环境模块118可访问的并且客户端计算设备110的其他组件不可访问的部分中。在其他实施例中，受信任执行环境模块118可包括与存储器114分离的内部或本地安全存储器，其中可存储加密密钥。应当认识到受信任执行环境模块118还可安全地在受信任执行环境模块118可访问的并且客户端计算设备110的其他组件不可访问的存储器114的部分中存储其他类型的数据。此外，受信任执行环境模块118可在某些实施例中在操作功率状态下运行，同时处理器112和客户端计算设备110的其他组件处于低功率状态(例如，睡眠、休眠等等)或掉电。如以下更详细讨论的，在某些实施例中，受信任执行环境模块118还可代表客户端计算设备110和/或用户102生成公/私钥对，以便促成从密钥分发中心服务器130接收一个或多个服务票和/或证书。然而，应当认识到在某些实施例中，客户端计算设备110的其他组件可替代地代表客户端计算设备110和/或用户102生成公/私钥对。此外，如以下更详细讨论的，受信任执行环境模块118还可监视客户端计算设备110的用户102的连续认证并且向密钥分发中心服务器130断言正在执行这种监视。
此外，应当认识到在客户端计算设备110包括受信任执行环境模块118的实施例中，受信任执行环境模块118或其任何功能可使用英特尔主动管理技术(AMT)、使用英特尔AMT的一部分、使用英特尔管理引擎(ME)、使用英特尔vProTM技术、使用英特尔酷睿TM vProTM技术、使用英特尔身份保护技术(IPT)和/或使用公钥基础设施(IPT)实现，这些技术可各自从加利福尼亚州圣克拉拉市的英特尔公司获得和/或在可从英特尔公司获得的芯片组内。然而，应当认识到受信任执行环境模块118或其任何功能可使用可从其他制造商获得的受信任计算设备的其他组件和/或技术实现。
客户端计算设备110的通信电路124可被实施为能够使能客户端计算设备110、密钥分发中心服务器130、服务提供商服务器140和/或其他计算设备之间的通信的任何类型的通信电路、设备或其集合。通信电路124可被配置成用于使用任何一种或多种通信技术(例如，无线通信或有线通信)和相关联的协议(例如，以太网、WiMAX等等)使这种通信生效。在某些实施例中，客户端计算设备110和密钥分发中心服务器130和/或服务提供商服务器140可彼此通过网络180进行通信。
网络180可被实施为任何数量的各种有线和/或无线通信网络。例如，网络180可被实施为或以其他方式包括局域网(LAN)、广域网(WAN)、蜂窝网络或公共可访问的全球网络(诸如互联网)。此外，网络180可包括任何数量的附加设备，以便促成客户端计算设备110、密钥分发中心服务器130、服务提供商服务器140和/或其他计算设备之间的通信。
数据存储设备120可被实施为被配置成用于数据的短期或长期存储的任何类型的设备或多个设备，诸如例如存储器设备和电路、存储器卡、硬盘驱动器、固态驱动器、或其他数据存储设备。在某些实施例中，客户端计算设备110可存储处理器112不预期在近期处理的和/或期望保留到持续扩展时间段的各种类型的数据和/或软件。
该一个或多个传感器126可被实施为被配置成用于感测用户102的特征和/或用户120相对于客户端计算设备110的接近的任何类型的设备或多个设备。例如，在某些实施例中，该一个或多个传感器126可被实施为或者以其他方式包括被配置成用于感测用户102的物理属性(例如，面部特征、语音模式、视网膜模式、指纹等等)和/或行为特征(例如，眼部移动、视觉聚焦、身体移动、密钥输入力、密钥输入速度等等)的一个或多个生物计量传感器。此外或可替代地，该一个或多个传感器126可被实施为或以其他方式包括被配置成用于感测用户102的接近或用户102所携带的物理令牌(例如，射频识别标签、近场通信标签、射频发射器等等)的一个或多个接近检测传感器。该一个或多个传感器126还可被实施为被配置成用于感测用户102与客户端计算设备110的交互的一个或多个传感器。例如，在某些实施例中，该一个或多个传感器126可被实施为被配置成用于感测用户102对客户端计算设备110的携带和/或移动的一个或多个加速度计。应当认识到尽管客户端计算设备110在说明性实施例中包括该一个或多个传感器126，应当理解的是该一个或多个传感器126中的全部或一部分在其他实施例中可与客户端计算设备110分离。如下所述，该一个或多个传感器126所感测的信息可部分地用于向客户端计算设备110认证用户102。
密钥分发中心服务器130可被实施为能够执行在此描述的功能的任何类型的服务器。这样，密钥分发中心服务器130可包括通常在服务器中发现的用于通过网络180通信、存储、维持并传送数据的各种硬件和软件组件(例如，处理器、存储器和通信电路)。在操作时，密钥分发中心服务器130可被配置成用于生成用于访问服务提供商服务器140和/或服务提供商服务器140的资源的一个或多个服务票和/或证书。为了这样做，密钥分发中心服务器130可被配置成用于通过网络180与受信任执行环境模块118通信，其代表用户102进行动作。在某些实施例中，密钥分发中心服务器130可经由一个或多个密钥交换(例如SIGn-and-MAc(SIGMA)、Diffie-Hellman、ΡΚΓΝΙΤ等等)与受信任执行环境模块118建立信任。应当认识到在某些实施例中，密钥分发中心服务器130可能先前已经经由一个或多个密钥交换(例如SIGn-and-MAc(SIGMA)、Diffie-Hellman、ΡΚΓΝΙΤ等等)与受信任执行环境模块118建立信任。在任一种情况中，密钥分发中心服务器130可从受信任执行环境模块118接收正在监视用户102的连续认证的断言。如以下更详细讨论的，密钥分发中心服务器130还可被配置成用于将断言包括在被提供给客户端计算设备110以便访问服务提供商服务器140和/或服务提供商服务器140的资源的一个或多个服务票和/或证书中。
服务提供商服务器140可被实施为能够执行在此描述的功能的任何类型的服务器。这样，服务提供商服务器140可包括通常在服务器中发现的用于通过网络180通信、存储、维持并传送数据的各种硬件和软件组件(例如，处理器、存储器和通信电路)。服务提供商服务器140被配置成用于向客户端计算设备110提供一个或多个资源(例如，文件访问、网络服务等等)。在某些实施例中，服务提供商服务器140被配置成用于使能客户端计算设备110响应于验证来自客户端计算设备110的正在连续地监视用户102的认证的断言来访问这种资源。如以下更详细讨论的，来自客户端计算设备110的断言可被包括在初始地由密钥分发中心服务器130提供的服务票中。
现在参照图2，在使用中，客户端计算设备110在操作期间建立环境200。说明性环境200包括通信模块202、受信任执行环境模块118和该一个或多个传感器126。
环境200的模块202、118、126中的每个模块可被实施为硬件、软件、固件或其组合。应当认识到客户端计算设备110可包括在计算设备中通常发现的其他组件、子组件、模块以及设备，为了描述清晰的目的，未在图2中示出。
客户端计算设备110的通信模块202促成客户端计算设备110的组件或子组件与密钥分发中心服务器130和/或服务提供商服务器140之间的通信。例如，通信模块202可促成向和从密钥分发中心服务器130和/或服务提供商服务器140发送并接收通信消息(例如，公/私钥对、数字证书、用户存在信息、认证信息、证书、访问票、访问要求等等)。此外，在某些实施例中，通信模块202管理客户端计算设备110的组件或子组件之间的通信。例如，通信模块202可促成受信任执行环境模块118和该一个或多个传感器126和/或客户端计算设备110的其他组件之间的通信。
受信任执行环境模块118管理用户102经由客户端计算设备110访问服务提供商服务器140和/或服务提供商服务器140所提供的一个或多个资源所需要的用户认证和证书。如下所述，受信任执行环境模块118还连续地监视用户102相对于客户端计算设备110的存在。为了这样做，在某些实施例中，受信任执行环境模块118可包括存在监视模块204、用户认证模块206和证书管理模块208。
受信任执行环境模块118的存在监视模块204可连续地监视用户102相对于客户端计算设备的存在。也就是，存在监视模块204可确定用户是否位于客户端计算设备110附近。为了这样做，存在监视模块204可接收传感器126中的一个或多个传感器所感测到的指示用户102相对于客户端计算设备110的接近的信息。例如，该一个或多个传感器126可被配置成用于感测一个或多个用户输入(例如，键盘输入、触摸板输入、触摸屏输入等等)、无线通信(例如，近场通信、射频识别通信、蓝牙通信、通信等等)和/或设备组件输出(例如，加速度计数据、环境光传感器数据、数字照相机图像等等)。响应于从该一个或多个传感器126接收到任何这种信息，存在监视模块204可确定用户102是否位于距离客户端计算设备110的位置的参考距离内。此外或可替代地，存在监视模块204还可被配置成用于确定用户102是否不再位于距离客户端计算设备110的位置的参考距离内。在某些实施例中，存在监视模块204被配置成用于生成指示用户102是否位于距离客户端计算设备110的位置的参考距离内的用户存在数据。
受信任执行环境模块118的用户认证模块206可促成向客户端计算设备110认证用户102。为了这样做，用户102可被请求提供验证数据以便向客户端计算设备110证明其身份。验证数据可包括基于知识的验证数据(例如，用户知道的某个事物，诸如口令或个人标识号)、基于令牌的验证数据(例如，用户具有的某个事物，诸如私钥、安全令牌或智能卡)和/或生物计量验证数据(例如，用户的生理或行为特征)。在某些实施例中，用户认证模块206可要求用户102提供单个形式的验证数据以便证明其身份。然而，在其他实施例中，用户认证模块206可替代地要求用户102向客户端计算设备110提供多个认证因素(例如，多种形式的验证数据)以便证明其身份。验证数据可由用户102经由一个或多个用户输入(例如，经由键盘、触摸板、触摸屏、无线通信设备等等)提供。此外或可替代地，验证数据可包括从该一个或多个传感器126和/或存在监视模块204接收的数据。例如，在某些实施例中，验证数据可包括从该一个或多个传感器126接收的生物计量验证数据。此外，验证数据可包括从存在监视模块204接收的用户存在数据。无论如何，用户认证模块206被配置成用于至少部分地基于或者以其他方式根据该一种或多种形式的验证数据认证用户102。
在某些实施例中，用户认证模块206可要求用户102在客户端计算设备110的初始化(例如，初始引导)期间提供该一种或多种形式的验证数据。应当认识到用户认证模块206还可要求用户在客户端计算设备110的操作期间在任何其他时间提供该一种或多种形式的验证数据。例如，在某些实施例中，用户认证模块206可要求用户102连续地向客户端计算设备110认证。也就是，用户102可被要求根据参考时间间隔(例如，每隔五分钟、每隔十分钟、每隔十五分钟等等)向客户端计算设备110证明其身份。此外，在某些实施例中，用户102可被要求在初始地使用一种或多种其他形式的验证数据证明其身份之后在客户端计算设备110处连续地存在。
受信任执行环境模块118的证书管理模块208可促成使用户102能经由客户端计算设备110访问服务提供商服务器140和/或服务提供商服务器140所提供的一个或多个资源所必需的证书。例如，在某些实施例中，Kerberos网络安全协议用于管理对服务提供商服务器140的访问。在这种实施例中，证书管理模块208可被配置成用于从密钥分发中心服务器130获得访问服务提供商服务器140所需的服务票。为了这样做，证书管理模块208可与密钥分发中心服务器130交换公/私钥对、从密钥分发中心服务器130请求并接收票授权票并且从密钥分发中心服务器130请求并接收用于访问服务提供商服务器140的服务票。
如所讨论的，用户认证模块206可能要求连续用户认证。例如，在某些实施例中，用户102可被要求在经由一种或多种形式的验证数据的初始认证之后由客户端计算设备110连续地认证。在这种实施例中，证书管理模块208可被配置成用于生成并向密钥分发中心服务器130提供用户102的认证正在被客户端计算设备110连续地监视的断言。该断言可通过网络180被提供(例如，传输、发送等等)给密钥分发中心服务器130。此外或可替代地，在某些实施例中，该断言可包括指示用于认证用户102的因素(例如，多种形式的验证数据)的信息。例如，在某些实施例中，该断言可包括指示经由从键盘接收的用户名和口令结合该一个或多个传感器126所感测的用户存在数据认证过用户102的信息。此外，在某些实施例中，该断言可被实施为安全断言标记语言(SAML)消息或Kerberos安全(KRB_SAFE)消息。无论如何，该断言可在从密钥分发中心服务器130请求票授权票和/或受信任执行环境模块118和密钥分发中心服务器130之间的初始认证交换之前或之后被发送到密钥分发中心服务器130。
在某些实施例中，可使用证书管理模块208代表用户102生成的用户公/私钥对的用户私钥，对被发送到密钥分发中心服务器130的连续用户认证监视的断言进行签名。在这种实施例中，可先前经由证书管理模块208和密钥分发中心服务器130之间的一次或多次公/私钥交换向密钥分发中心服务器130提供相应的用户公钥。例如，密钥分发中心服务器130可已经从证书管理模块208和密钥分发中心服务器130之间的先前的SIGMA密钥交换接收到用户公/私钥对的用户公钥。
如所讨论的，证书管理模块208还可被配置成用于从密钥分发中心服务器130请求并接收用于访问服务提供商服务器140所需的服务票。为了这样做，在某些实施例中，证书管理模块208可首先从密钥分发中心服务器130请求初始票(例如，票授权票)。作为响应，证书管理模块208可从密钥分发中心服务器130接收该票授权票。在其中要求连续用户认证的实施例中，从密钥分发中心服务器130接收的服务票可包括连续用户认证监视的经签名断言和用户公钥。响应于接收到包括连续用户认证监视的经签名断言和用户公钥的服务票，证书管理模块208可请求访问服务提供商服务器140和/或服务提供商服务器140所提供的一个或多个资源。在某些实施例中，在用户102和/或客户端计算设备110被许可访问服务提供商服务器140之前，服务提供商服务器140验证连续用户认证监视的断言。在这种实施例中，包括在服务票中的连续用户认证监视的经签名断言由服务提供商服务器140使用包括在服务票中的用户公钥验证。在其中连续用户认证监视的经签名断言被验证的实施例中，客户端计算设备110和/或客户端计算设备110的用户102可被许可访问服务提供商服务器140和/或服务提供商服务器140所提供的资源。然而，如果连续用户认证监视的经签名断言未被验证，该访问请求可能由服务提供商服务器140丢弃。
此外，在其中用户认证模块206要求连续用户认证的实施例中，证书管理模块208可响应于用户认证模块206确定用户102不再被认证而向服务提供商服务器140和/或密钥分发中心服务器130传输通知。例如，在某些实施例中，证书管理模块208可响应于用户认证模块206从存在监视模块204接收到指示用户102不再位于客户端计算设备110的位置的参考距离内的用户存在数据，而向服务提供商服务器140和/或密钥分发中心服务器130传输指示用户102不再向客户端计算机110进行认证的通知消息。此外或可替代地，证书管理模块208可被配置成用于响应于检测到用户认证因素改变(例如，验证数据强度增加和/或降低)而向服务提供商服务器140和/或密钥分发中心服务器130传输通知消息。在这种实施例中，服务提供商服务器140和/或密钥分发中心服务器130可被配置成用于作为响应采取预防措施(例如，断开与客户端计算设备110的活跃连接、使服务票无效、要求新的服务票等等)。
现在参照图3，在使用中，服务提供商服务器140在操作期间建立环境300。说明性环境300包括断言验证模块302和授权模块304。环境300的模块302、304中的每个模块可被实施为硬件、固件、软件或其组合。应当认识到服务提供商服务器140可包括在服务器中通常发现的其他组件、子组件、模块以及设备，为了描述清晰的目的，未在图3中示出。
断言验证模块302可促成验证客户端计算设备110的受信任执行环境模块118所初始地提供的断言或以其他方式使其有效。如所讨论的，在某些实施例中，密钥分发中心服务器130所提供的服务票可包括由客户端计算设备110的受信任执行环境模块118所初始地提供的经签名断言(例如，连续用户认证监视的断言和/或连续用户存在监视的断言)。经签名断言可被实施为经签名SAML断言消息并且可由断言验证模块302使用用户公钥验证，该公钥还可包括在密钥分发中心服务器130所提供的服务票中。
此外，在某些实施例中，断言验证模块302还可在初始地接收到包括经签名断言的服务票之后继续验证由受信任执行环境模块118初始地提供的断言中的一个或多个断言。例如，在某些实施例中，断言验证模块302可连续地监视从受信任执行环境模块118接收的指示用户102不再被向客户端计算设备110和/或受信任执行环境模块118认证(例如，连续用户认证丢失)的消息。如所讨论的，受信任执行环境模块118可被配置成用于响应于确定用户102不再被认证而向服务提供商服务器140传输通知消息。例如，在某些实施例中，断言验证模块302可响应于从受信任执行环境模块118接收到通知用户102不再位于客户端计算设备110的参考距离内的消息而确定用户102不再被认证。此外或可替代地，断言验证模块302可响应于从受信任执行环境模块118接收到通知用户认证因素(例如，验证数据)中的一个或多个因素改变的消息而确定用户102不再被认证。
授权模块304促成确定用户102和/或客户端计算设备110的受信任执行环境模块118是否被许可访问服务提供商服务器140所提供的一个或多个资源。为了这样做，授权模块304可确定用户102和/或受信任执行环境模块118被许可经由包括在由密钥分发中心服务器130初始地提供的服务票内的一个或多个规则或策略访问哪些资源。例如，在某些实施例中，由密钥分发中心服务器130初始地提供的服务票还可包括具有定义用户102和/或受信任执行环境模块118被许可访问服务提供商服务器140的哪些资源的一个或多个安全规则和/或策略的特权属性文档(PAD)。
现在参照图4，在使用时，系统100的客户端计算设备110可执行用于连续地经由多个认证因素认证用户的方法400。方法400以框402开始，其中受信任执行环境模块118向密钥分发中心服务器130断言连续用户认证监视。也就是，受信任执行环境模块118向密钥分发中心服务器130提供用户102的认证正在被客户端计算设备10连续地监视的断言。在某些实施例中，提供给密钥分发中心服务器130的断言还可包括指示受信任执行环境模块118用于认证用户102的因素(例如，多种形式的验证数据)的信息。此外，在某些实施例中，正在框404，受信任执行环境模块118还可向密钥分发中心服务器130提供监视用户102的连续存在的断言。连续用户认证监视的断言和/或连续用户存在监视的断言可在从密钥分发中心服务器130请求票授权票和/或受信任执行环境模块118和密钥分发中心服务器130之间的初始认证交换之前或之后被发送到密钥分发中心服务器130。此外，在某些实施例中，可在被发送到密钥分发中心服务器130之前，使用用户公/私钥对的用户私钥，对连续用户认证监视的断言和/或连续用户存在监视的断言进行签名。在某些实施例中，用户公/私钥对由受信任执行环境模块118代表用户102生成。
在框406中，受信任执行环境模块118可从密钥分发中心服务器130请求票授权票。在某些实施例中，如果尚未完成，密钥分发中心服务器130可在从密钥分发中心服务器130请求票授权票之前或同时经由一次或多次密钥交换(例如，SIGn-and-MAc(SIGMA)、Diffie-Hellman、ΡΚΓΝΙΤ等等)与受信任执行环境模块118建立信任。在其中使用用户私钥，对连续用户认证监视的断言和/或连续用户存在监视的断言进行签名的实施例中，密钥分发中心服务器130可经由一次或多次密钥交换被提供相应的用户公钥。在框408中，受信任执行环境模块118作为响应从密钥分发中心服务器130接收票授权票。在某些实施例中，票授权票可包括连续用户认证监视的经签名断言和/或连续用户存在监视的断言。在某些实施例中，这种经签名断言可被实施为一个或多个经签名SAML消息和/或Kerberos安全(KRB_SAFE)消息。
在框410中，受信任执行环境模块118从密钥分发中心服务器130请求用于请求访问服务提供商服务器140的服务票。在某些实施例中，受信任执行环境模块118向密钥分发中心服务器130发送票授权票连同对服务票的请求。在向密钥分发中心服务器130发送对服务票的请求之后，方法400前进到框412。
在框412中，受信任执行环境模块118从密钥分发中心服务器130接收访问服务提供商服务器140所需的服务票。在某些实施例中，服务票包括经签名断言(例如，连续用户认证监视的断言和/或连续用户存在监视的断言)。此外，在某些实施例中，从密钥分发中心服务器130接收的服务票还包括用户公/私钥对的用户公钥。如所讨论的，密钥分发中心服务器130可先前在与受信任执行环境模块118的先前密钥交换期间(例如，SIGMA会话、ΡΚΓΝΙΤ等等)被提供有用户公钥。
在框414中，受信任执行环境模块118代表用户102请求访问服务提供商服务器140和/或服务提供商服务器140所提供的一个或多个资源。为了这样做，受信任执行环境模块18向服务提供商服务器140发送从密钥分发中心服务器130获得的服务票。如所讨论的，从密钥分发中心服务器130获得的服务票包括受信任执行环境模块118初始地提供的经签名断言。服务票还包括受信任执行环境模块118所生成的用户公/私钥对的用户公钥。
在框416，在用户102、受信任执行环境模块118和/或客户端计算设备110被许可访问服务提供商服务器140之前，确定连续用户认证监视的断言是否被验证。在这种实施例中，包括在服务票中的连续用户认证监视的经签名断言由服务提供商服务器140使用包括在服务票中的用户公钥验证。在其中连续用户认证监视的经签名断言被服务提供商服务器140验证的实施例中，在框418，客户端计算设备110、受信任执行环境模块118和/或客户端计算设备110的用户102可被许可访问服务提供商服务器140和/或服务提供商服务器140所提供的资源。然而，在框420，如果连续用户认证监视的经签名断言未被服务提供商服务器140验证，该访问请求可能由服务提供商服务器140丢弃。
现在参照图5，在使用时，系统100的客户端计算设备110可执行用于监视连续用户认证的方法500。方法500以框502开始，其中受信任执行环境模块118使用一个或多个认证因素(例如，用户102所提供的验证数据)认证用户102。例如，用户102可被要求向客户端计算设备110提供多个认证因素(例如，多种形式的验证数据)以便证明其身份。验证数据可包括用户102经由一个或多个用户输入(例如，键盘、触摸板、触摸屏、无线通信设备等等)提供的数据、从该一个或多个传感器126接收的数据和/或从存在监视模块24接收的用户存在数据。
在框504中，受信任执行环境模块118监视用户102的连续认证。例如，在某些实施例中，受信任执行环境模块118监视用户102的认证因素的改变(例如，强度增加、强度降低、替换等等)。此外，受信任执行环境模块118可监视指示用户102不再存在于客户端计算设备110的参考距离内的信息。在框506中，受信任执行环境模块118确定连续用户认证是否存在。也就是，受信任执行环境模块118可确定用户102是否仍应被向客户端计算设备110认证。在某些实施例中，受信任执行环境模块118可响应于确定用户102的认证因素已经发生改变和/或用户102不再位于客户端计算设备110的参考距离内，而确定应不再向客户端计算设备110认证用户102。在框506中，如果受信任执行环境模块118确定应不再向客户端计算设备110认证用户102，方法500前进到框508，其中受信任执行环境模块118通知服务提供商服务器140连续用户认证丢失。然而，如果受信任执行环境模块118确定应向客户端计算设备110认证用户102，方法500环回到框504，其中受信任执行环境模块118继续监视用户102的连续认证。
现在参照图6，说明性地示出了图4和图5的用于经由多个认证因素对用户进行连续认证的方法400、500的至少一个实施例的简化活动流程图。在数据流602中，受信任执行环境模块118可与密钥分发中心服务器130建立信任。为了这样做，受信任执行环境模块118和密钥分发中心服务器130可执行一次或多次密钥交换(例如，SIGMA会话、Diffie-Hellman等等)。在某些实施例中，在数据流602中，受信任执行环境模块118还可注册用户公/私钥对的用户公钥，该公钥可由受信任执行环境模块118代表用户102生成。
在数据流604中，用户102可被要求使用一个或多个认证因素向受信任执行环境模块118认证。在某些实施例中，在数据流604中，用户102可被要求使用多个认证因素向受信任执行模块118证明其身份。在数据流606中，受信任执行环境模块118可连续地监视用户102相对于客户端计算设备110的存在。应当认识到尽管受信任执行环境模块118在说明性实施例中被示出为在数据流606中连续地监视用户102的存在，受信任执行环境模块118可在数据流606之前或之后的任何时间连续地监视用户102的存在。也就是，受信任执行环境模块118可在说明性地在图6中示出的数据流602-622中的任何数据流中监视用户102的存在。
在数据流608中，受信任执行环境模块118可从密钥分发中心服务器130请求初始票。为了促成受信任执行环境模块118和密钥分发中心服务器130之间的安全通信，可执行安全密钥交换。例如，在数据流608中，受信任执行环境模块118和密钥分发中心服务器130可经由PKINT针对初始认证交换公/私钥对。此外，在某些实施例中，受信任执行环境模块118还可向密钥分发中心服务器130生成并发送正在执行用户102的连续认证的断言。在某些实施例中，受信任执行环境模块118发送到密钥分发中心服务器130的断言可被实施为SAML断言消息。可以用先前由受信任执行环境模块118所生成的用户公/私钥对的用户公钥，对SAML断言消息进行签名。在数据流610中，密钥分发中心服务器130可响应于该请求生成并向受信任执行环境模块118发送票授权票。在某些实施例中，在数据流610中，由密钥分发中心服务器130生成并发送的票授权票可包括初始地从受信任执行环境模块118接收的经签名SAML断言消息。
响应于从密钥分发中心服务器130接收到票授权票，受信任执行环境模块118可生成并在数据流612中向密钥分发中心服务器130发送对服务票的请求。在某些实施例中，该请求可包括从密钥分发中心服务器130接收的票授权票。在数据流614中，密钥分发中心服务器130可生成并传输所请求的服务票给受信任执行环境模块118。服务票可包括经签名SAML断言消息以及在某些实施例中初始地由受信任执行环境模块118生成的用户公钥。在数据流616中，受信任执行环境模块118可随后使用从密钥分发中心服务器130接收的服务票请求访问服务提供商服务器140和/或服务提供商服务器140所提供的资源。如所讨论的，从密钥分发中心服务器130接收的服务票可包括受信任执行环境模块118所生成的经签名SAML断言消息和用户公钥。
在数据流618中，服务提供商服务器140可验证包括在服务票中的经签名SAML断言。为了这样做，服务提供商服务器140可使用还包括在服务票中的用户公钥验证经签名SAML断言消息。如果服务提供商服务器140验证经签名SAML断言是有效的，服务提供商服务器140可在数据流620中向受信任执行环境模块118和/或用户102授权访问。在某些实施例中，密钥分发中心服务器130所提供的服务票可包括有效期。也就是，在某些实施例中，服务票可被配置成用于在参考时间量之后过期。然而，应当理解的是服务票还可被配置成用于根据某个其他条件或事件过期。例如，在某些实施例中，服务票可被配置成用于在受信任执行环境模块118的参考数量的访问请求之后过期。
此外或可替代地，在某些实施例中，受信任执行环境模块118可被配置成用于在数据流622中允许服务票过期。例如，在其中受信任执行环境模块118确定连续用户认证已经丢失(例如，确定用户102不再位于客户端计算设备110的参考距离内和/或确定一个或多个认证因素已经改变)的实施例中，受信任执行环境模块118可确定不更新访问服务提供商服务器140所需的服务票。在这样做时，服务票将过期，如以上所讨论的。此外，在某些实施例中，受信任执行环境模块118可被配置成用于通知服务提供商服务器140连续用户认证已经在服务票过期之前丢失。在这种实施例中，受信任执行环境模块118向服务提供商服务器140发送通知连续用户认证丢失的KRB_SAFE消息。
在某些实施例中，受信任执行环境模块118可请求访问服务提供商服务器140和/或服务提供商服务器140所提供的资源，而不首先从密钥分发中心服务器130获得服务票。例如，在某些实施例中，受信任执行环境模块118可在数据流602-614中任一个数据流发生之前请求访问服务提供商服务器140和/或服务提供商服务器140所提供的资源。在这种实施例中，服务提供商服务器140可在授权访问之前请求受信任执行环境模块118所提供的服务票。随后，受信任执行环境模块118可从密钥分发中心服务器130请求访问服务提供商服务器140所需的服务票。作为响应，服务提供商服务器140可生成并传输所请求的服务票给受信任执行环境模块18。服务票可包括先前由受信任执行环境模块118所提供的经签名SAML断言消息以及在某些实施例中与受信任执行环境模块118用来对SAML断言消息进行签名的用户私钥相对应的用户公钥。受信任执行环境模块118可随后使用从密钥分发中心服务器130接收的服务票，重新请求访问服务提供商服务器140和/或服务提供商服务器140所提供的资源。
现在参照图7，说明性地示出了图4和图5的用于经由多个认证因素对用户进行连续认证的方法400、500的另一个实施例的简化活动流程图。在数据流702中，用户102可被要求使用一个或多个认证因素向受信任执行环境模块118进行认证。在某些实施例中，在数据流702中，用户102可被要求使用多个认证因素向受信任执行模块118证明其身份。在数据流704中，受信任执行环境模块118可连续地监视用户102相对于客户端计算设备110的存在。应当认识到尽管受信任执行环境模块118在说明性实施例中被示出为在数据流704中连续地监视用户102的存在，受信任执行环境模块118可在数据流704之前或之后的任何时间连续地监视用户102的存在。也就是，受信任执行环境模块118可在说明性地在图7中示出的数据流702-722中的任何数据流中监视用户102的存在。
在某些实施例中，受信任执行环境模块118可代表用户102生成用户公/私钥对。在这种实施例中，受信任执行环境模块118可在数据流706中向密钥分发中心服务器130注册用户公/私钥对的用户公钥。为了这样做，受信任执行环境模块118可发起与密钥分发中心服务器130的一个或多个SIGMA会话。在某些实施例中，受信任执行环境模块118还可在数据流706中生成并向密钥分发中心服务器130发送正在监视用户102的连续认证的断言。可以用受信任执行环境模块118先前所生成的用户公/私钥对的用户私钥，对受信任执行环境模块118向密钥分发中心服务器130发送的断言进行签名。
随后，在数据流708中，受信任执行环境模块118可从密钥分发中心服务器130请求初始票。为了促成受信任执行环境模块118和密钥分发中心服务器130之间的安全通信，可执行安全密钥交换。例如，在数据流708中，受信任执行环境模块118和密钥分发中心服务器130可经由PKINT针对初始认证交换公/私钥对。
在数据流710中，密钥分发中心服务器130可响应于来自受信任执行环境模块118的请求，生成并向受信任执行环境模块118发送票授权票。在某些实施例中，在数据流710中，由密钥分发中心服务器130生成并发送的票授权票可包括初始地从受信任执行环境模块118接收的经签名断言消息。此外，在某些实施例中，票授权票可包括可定义用户102和/或受信任执行环境模块118被许可访问服务提供商服务器140的哪些资源的特权属性文档(PAD)。
响应于从密钥分发中心服务器130接收到票授权票，受信任执行环境模块118可在数据流712中生成并向密钥分发中心服务器130发送对服务票的请求。在某些实施例中，该请求可包括从密钥分发中心服务器130接收的票授权票。在数据流714中，密钥分发中心服务器130可生成并传输所请求的服务票给受信任执行环境模块118。服务票可包括经签名断言消息以及在某些实施例中PAD和初始地由受信任执行环境模块118生成的用户公钥。在数据流716中，受信任执行环境模块118可随后使用从密钥分发中心服务器130接收的服务票请求访问服务提供商服务器140和/或服务提供商服务器140所提供的资源。如所讨论的，从密钥分发中心服务器130接收的服务票可包括经签名断言消息、受信任执行环境模块118所生成的用户公钥和PAD。
在数据流718中，服务提供商服务器140可验证包括在服务票中的PAD。此外或可替代地，服务提供商服务器140可验证包括在服务票中的经签名断言消息。为了这样做，服务提供商服务器140可使用还包括在服务票中的用户公钥验证经签名断言消息。如果服务提供商服务器140验证PAD和/或经签名断言消息是有效的，服务提供商服务器140可在数据流720中授权受信任执行环境模块118和/或用户102访问所请求的资源。此外，在某些实施例中，受信任执行环境模块118可被配置成用于响应于确定连续用户认证不再存在(例如，确定用户102不再位于距客户端计算设备110的参考接近距离内和/或确定一个或多个认证因素已经改变)通知服务提供商服务器140。在这种实施例中，受信任执行环境模块118可在数据流722中向服务提供商服务器140发送通知连续用户认证丢失的KRB_SAFE消息。
此外或可替代地，在某些实施例中，受信任执行环境模块118可被配置成用于允许服务票过期。例如，在其中受信任执行环境模块118确定连续用户认证已经丢失(例如，确定用户102不再位于距客户端计算设备110的参考接近距离内和/或确定一个或多个认证因素已经改变)的实施例中，受信任执行环境模块118可确定不更新访问服务提供商服务器140所需的服务票。在这样做时，服务票将过期，如以上所讨论的。受信任执行环境模块118还可被配置成用于响应于确定连续用户认证已经丢失而删除服务票。
此外，在某些实施例中，受信任执行环境模块118可被配置成用于周期性地(例如，在参考间隔)向服务提供商服务器140和/或密钥分发中心服务器130发送通知。例如，受信任执行环境模块118可根据参考间隔向服务提供商服务器140和/或密钥分发中心服务器130发送KRB_SAFE消息。以此方式，服务攻击拒绝可被缓解。
现在参照图8，说明性地示出了图4和图5的用于经由多个认证因素对用户进行连续认证的方法400、500的又一个实施例的简化活动流程图。在数据流802中，用户102可被要求使用一个或多个认证因素向受信任执行环境模块118进行认证。在某些实施例中，在数据流802中，用户102可被要求使用多个认证因素向受信任执行模块118证明其身份。在数据流804中，受信任执行环境模块118可连续地监视用户102相对于客户端计算设备110的存在。应当认识到尽管受信任执行环境模块118在说明性实施例中被示出为在数据流804中连续地监视用户102的存在，受信任执行环境模块118可在数据流804之前或之后的任何时间连续地监视用户102的存在。也就是，受信任执行环境模块118可在说明性地在图8中示出的数据流802-822中的任何数据流中监视用户102的存在。
在数据流806中，受信任执行环境模块118可从密钥分发中心服务器130请求初始票。为了促成受信任执行环境模块118和密钥分发中心服务器130之间的安全通信，可执行安全密钥交换。例如，在数据流806中，受信任执行环境模块118和密钥分发中心服务器130可经由PKINT针对初始认证交换公/私钥对。
在数据流808中，密钥分发中心服务器130可响应于来自受信任执行环境模块118的请求生成并向受信任执行环境模块118发送票授权票。随后，在数据流810中，受信任执行环境模块118可向密钥分发中心服务器130发送一个或多个KRB_SAFE消息。在某些实施例中，该一个或多个KRB_SAFE消息可包括受信任执行环境模块118向密钥分发中心服务器130的证明以及ΡΚΓΝΤ私钥正在由受信任执行环境模块118保护的证据。在这样做时，可在受信任执行环境模块118和密钥分发中心服务器130之间建立信任。此外，在某些实施例中，发送到密钥分发中心服务器130的KRB_SAFE消息中的一个或多个消息还可包括由受信任执行环境模块18生成的指示正在监视用户102的连续认证的断言。在某些实施例中，可根据SIGMA协议发送该一个或多个KRB_SAFE消息。应当认识到在这种实施例中，数据流810可被实施为受信任执行环境模块118和密钥分发中心服务器130之间的三次(或更多次)通信交换而不是在图8中说明性地示出的一次。
如所讨论的，在某些实施例中，发送到密钥分发中心服务器130的该一个或多个KRB_SAFE消息可包括由受信任执行环境模块118生成的指示正在监视用户102的连续认证的断言。在这种实施例中，可以用受信任执行环境模块118代表用户102所生成的用户公/私钥对的用户私钥，对该断言进行签名或者其可由PKINT私钥签名。在其中用受信任执行环境模块118所生成的用户公/私钥对的用户私钥来对该断言进行签名的实施例中，可向密钥分发中心服务器130注册用户公/私钥对的相应用户公钥。
受信任执行环境模块118可随后在数据流812中生成并向密钥分发中心服务器130发送对服务票的请求。在某些实施例中，该请求可包括从密钥分发中心服务器130接收的票授权票。在数据流814中，密钥分发中心服务器130可生成并传输所请求的服务票给受信任执行环境模块118。服务票可包括经签名断言消息以及在某些实施例中特权属性文档(PAD)和与用于对断言消息进行签名的私钥相对应的公钥。PAD可定义用户102和/或受信任执行环境模块118被许可访问服务提供商服务器140的哪些资源。
在数据流816中，受信任执行环境模块118可随后使用从密钥分发中心服务器130接收的服务票请求访问服务提供商服务器140和/或服务提供商服务器140所提供的资源。如所讨论的，从密钥分发中心服务器130接收的服务票可包括经签名断言消息、公钥和PAD。
在数据流818中，服务提供商服务器140可验证包括在服务票中的PAD。此外或可替代地，服务提供商服务器140可验证包括在服务票中的经签名断言消息。为了这样做，服务提供商服务器140可使用还包括在服务票中的用户公钥验证经签名断言消息。如果服务提供商服务器140验证PAD和/或经签名断言消息是有效的，服务提供商服务器140可在数据流820中授权受信任执行环境模块118和/或用户102访问所请求的资源。此外，在某些实施例中，受信任执行环境模块118可被配置成用于响应于确定连续用户认证不再存在(例如，确定用户102不再位于距客户端计算设备110的参考接近距离内和/或确定一个或多个认证因素已经改变)通知服务提供商服务器140。在这种实施例中，受信任执行环境模块118可在数据流822中向服务提供商服务器140发送通知连续用户认证丢失的KRB_SAFE消息。
此外或可替代地，在某些实施例中，受信任执行环境模块118可被配置成用于允许服务票过期。例如，在其中受信任执行环境模块118确定连续用户认证已经丢失(例如，确定用户102不再位于距客户端计算设备110的参考接近距离内和/或确定一个或多个认证因素已经改变)的实施例中，受信任执行环境模块118可确定不更新访问服务提供商服务器140所需的服务票。在这样做时，服务票将过期，如以上所讨论的。受信任执行环境模块118还可被配置成用于响应于确定连续用户认证已经丢失而删除服务票。
此外，在某些实施例中，受信任执行环境模块118可被配置成用于周期性地(例如，在参考间隔)向服务提供商服务器140和/或密钥分发中心服务器130发送通知。例如，受信任执行环境模块118可根据参考间隔向服务提供商服务器140和/或密钥分发中心服务器130发送KRB_SAFE消息。以此方式，服务攻击拒绝可被缓解。
现在参照图9，说明性地示出了图4和图5的用于经由多个认证因素对用户进行连续认证的方法400、500的仍另一个实施例的简化活动流程图。在数据流902中，受信任执行环境模块118可与密钥分发中心服务器130建立信任。为了这样做，受信任执行环境模块118和密钥分发中心服务器140可执行一次或多次密钥交换(例如，SIGMA会话、Diffie-Hellman等等)。在某些实施例中，在数据流902中，受信任执行环境模块118还可注册用户公/私钥对的用户公钥，该公钥可由受信任执行环境模块118代表用户102生成。
在数据流904中，用户102可被要求使用一个或多个认证因素向受信任执行环境模块118进行认证。在某些实施例中，在数据流904中，用户102可被要求使用多个认证因素向受信任执行模块118证明其身份。在数据流906中，受信任执行环境模块118可连续地监视用户102相对于客户端计算设备110的存在。应当认识到尽管受信任执行环境模块118在说明性实施例中被示出为在数据流906中连续地监视用户102的存在，受信任执行环境模块118可在数据流906之前或之后的任何时间连续地监视用户102的存在。也就是，受信任执行环境模块118可在说明性地在图9中示出的数据流902-924中的任何数据流中监视用户102的存在。
在数据流908中，受信任执行环境模块118可从密钥分发中心服务器130请求初始票。为了促成受信任执行环境模块118和密钥分发中心服务器130之间的安全通信，可执行安全密钥交换。例如，在数据流908中，受信任执行环境模块118和密钥分发中心服务器130可经由PKINT针对初始认证交换公/私钥对。在数据流910中，密钥分发中心服务器130可响应于来自受信任执行环境模块118的请求生成并向受信任执行环境模块118发送票授权票。
受信任执行环境模块118可随后在数据流912中生成并向密钥分发中心服务器130发送对服务票的请求。在某些实施例中，该请求可包括从密钥分发中心服务器130接收的票授权票。在数据流914中，密钥分发中心服务器130可生成并传输所请求的服务票给受信任执行环境模块118。服务票可包括特权属性文档(PAD)和之前由受信任执行环境模块118所生成的用户公/私钥对的用户公钥。
在数据流916中，受信任执行环境模块118可随后使用从密钥分发中心服务器130接收的服务票请求访问服务提供商服务器140和/或服务提供商服务器140所提供的资源。如所讨论的，从密钥分发中心服务器130接收的服务票可包括PAD和用户公钥。响应于接收到访问请求，服务提供商服务器140可被配置成用于在数据流918中确定受信任执行环境模块118要求认证。如果服务提供商服务器140确定要求认证，受信任执行环境模块118和/或用户102可经由受信任执行环境模块118和服务提供商服务器140之间的一个或多个SAML消息(例如，数据流920-926)被认证。例如，在某些实施例中，服务提供商服务器140可在数据流920中向受信任执行环境模块118发送SAML认证请求。随后，在数据流922中，受信任执行环境模块118可向服务提供商服务器140发送SAML认证响应。
在某些实施例中，在数据流924中，服务提供商服务器140还可请求受信任执行环境模块118周期性地(例如，在参考间隔)发送SAML保活(keepalive)消息以便促成缓解服务攻击的拒绝。这种保活消息可由服务提供商服务器140至少部分地基于或以其他方式根据密钥分发中心服务器130所生成的PAD来要求。响应于接收到这种请求，受信任执行环境模块118可在数据流926中周期性地(例如，在参考间隔)向服务提供商服务器140发送SAML保活消息。在某些实施例中，一个或多个KRB_SAFE消息交换可用于在受信任执行环境模块118和服务提供商服务器140之间通信该一个或多个SAML消息(例如，数据流920-926)。
在某些实施例中，受信任执行环境模块118可被配置成用于停止向服务提供商服务器140发送SAML保活消息。例如，在某些实施例中，受信任执行环境模块118可被配置成用于响应于确定连续用户认证已经丢失(例如，确定用户102不再位于距客户端计算设备110的参考接近距离内和/或确定一个或多个认证因素已经改变)，停止向服务提供商服务器140发送SAML保活消息。在这种实施例中，服务提供商服务器140可被配置成用于在未接收到参考数量的预期SAML保活消息之后和/或在定时器过期(例如，参考超时时间段过期)之后防止受信任执行环境模块118和/或用户102访问。
此外或可替代地，在某些实施例中，受信任执行环境模块118可被配置成用于删除服务票。例如，在其中受信任执行环境模块118确定连续用户认证已经丢失(例如，确定用户102不再位于客户端计算设备10的参考距离内和/或确定一个或多个认证因素已经改变)的实施例中，受信任执行环境模块118可删除或以其他方式使访问服务提供商服务器140所需的服务票无效。在这样做时,可防止受信任执行环境模块118和/或用户112进一步访问服务提供商服务器140。
示例
以下提供在此公开的技术的说明性示例。这些技术的实施例可包括以下所描述的示例中的任何一个或多个以及任何组合。
一种经由多个认证因素连续地对用户进行认证的计算设备，该计算设备包括：受信任执行环境模块，该受信任执行环境模块用于：(i)生成指示用户的连续认证被监视的连续认证断言；(ii)向密钥分发中心服务器发送该连续认证断言；(iii)从该密钥分发中心服务器请求初始票；(iv)从该密钥分发中心服务器接收该初始票；(v)从该密钥分发中心服务器请求访问服务提供商服务器所需要的服务票；(vi)从该密钥分发中心服务器接收访问该服务提供商服务器所需要的该服务票，其中该服务票包括该连续认证断言；(vii)请求用该服务票访问该服务提供商服务器；以及(viii)响应于验证该连续认证断言访问该服务提供商服务器。
示例2包括示例1所述的主题，并且其中，该受信任执行环境模块进一步用于：(i)经由多个认证因素对该用户进行认证；(ii)监视该用户的该连续认证；(iii)确定该用户是否仍应被认证；以及(iv)响应于确定该用户应不再被认证通知该服务提供商服务器该用户的该连续认证丢失。
示例3包括示例1和2所述的主题，并且其中，通知该服务提供商服务器该用户的该连续认证丢失包括向该服务提供商服务器发送通知消息以便通知该用户的该连续认证丢失。
示例4包括示例1至3中任一项所述的主题，并且其中，该通知消息包括Kerberos消息。
示例5包括示例1至4中任一项所述的主题，并且其中，该Kerberos消息包括Kerberos安全消息。
示例6包括示例1至5中任一项所述的主题，并且其中，该受信任执行环境模块进一步用于响应于确定该用户应不再被认证而删除该服务票。
示例7包括示例1至6中任一项所述的主题，并且其中，该受信任执行环境模块进一步用于响应于确定该用户应不再被认证而许可该服务票过期。
示例8包括示例1至7中任一项所述的主题，并且其中，许可该服务票过期包括响应于确定该用户应不再被认证而不更新该服务票。
示例9包括示例1至7中任一项所述的主题，并且进一步包括用于捕获用户特征数据的一个或多个传感器；并且其中，经由多个认证因素对用户进行认证包括根据由该一个或多个传感器捕获的该用户特征数据对该用户进行认证。
示例10包括示例1至9中任一项所述的主题，并且其中，该受信任执行环境模块进一步用于：(i)监视该用户相对于该计算设备的存在；(ii)生成指示该用户相对于该计算设备的连续存在被监视的连续存在断言；(iii)向该密钥分发中心服务器发送该连续存在断言；(iv)确定该用户是否相对于该计算设备存在；以及(iv)响应于确定该用户相对于该计算设备不存在，通知该服务提供商服务器该用户相对于该计算设备的连续存在丢失。
示例11包括示例1至10中任一项所述的主题，并且其中，通知该服务提供商服务器该用户相对于该计算设备的连续存在丢失包括向该服务提供商服务器发送通知消息以便通知该用户相对于该计算设备的连续存在丢失。
示例12包括示例1至11中任一项所述的主题，并且其中，该通知消息包括Kerberos安全消息。
示例13包括示例1至12中任一项所述的主题，并且其中，该受信任执行环境模块进一步用于以参考间隔向该服务提供商服务器发送Kerberos安全消息。
示例14包括示例1至13中任一项所述的主题，并且其中，该受信任执行环境模块进一步用于：(i)代表该用户生成用户密钥对，其中该用户密钥对包括代表该用户生成的用户公钥和用户私钥；(ii)经由安全密钥交换向该密钥分发中心服务器提供该用户公钥；以及(iii)在向该密钥分发中心服务器发送该连续认证断言之前，用该用户私钥来对该连续认证断言进行签名；其中向该密钥分发中心服务器发送该连续认证断言包括向该密钥分发中心服务器发送经签名的连续认证断言；以及其中从该密钥分发中心服务器接收的该服务票包括经签名的连续认证断言和该用户公钥。
示例15包括示例1至14中任一项所述的主题，并且其中，经由安全密钥交换向该密钥分发中心服务器提供该用户公钥包括经由SIGn和MAc会话向该密钥分发中心服务器提供该用户公钥。
示例16包括示例1至15中任一项所述的主题，并且其中，从该密钥分发中心服务器接收的该服务票进一步包括特权属性文档，该特权属性文档包括访问该服务提供商服务器所需要的一个或多个策略。
示例17包括示例1至16中任一项所述的主题，并且其中，从该密钥分发中心服务器请求初始票包括从该密钥分发中心服务器请求票授权票；并且其中，从该密钥分发中心服务器接收该初始票包括从该密钥分发中心服务器接收该票授权票。
示例18包括示例1至17中任一项所述的主题，并且其中，该连续认证断言包括Kerberos安全消息或安全断言标记语言消息中的至少一项。
示例19包括一种用于经由多个认证因素连续地对用户进行认证的方法，该方法包括：(i)在计算设备的受信任执行环境模块上生成指示用户的连续认证正被监视的连续认证断言；(ii)在该受信任执行环境模块上向密钥分发中心服务器发送该连续认证断言；(iii)在该受信任执行环境模块上从该密钥分发中心服务器请求初始票；(iv)在该受信任执行环境模块上从该密钥分发中心服务器接收该初始票；(v)在该受信任执行环境模块上从该密钥分发中心服务器请求用于访问服务提供商服务器的服务票；(vi)在该受信任执行环境模块上从该密钥分发中心服务器接收用于访问该服务提供商服务器的该服务票，其中该服务票包括该连续认证断言；(vii)在该受信任执行环境模块上用包括该连续认证断言的该服务票请求访问该服务提供商服务器；以及(viii)在该受信任执行环境模块上响应于该连续认证断言被验证，访问该服务提供商服务器。
示例20包括示例19所述的主题，并且进一步包括：(i)在该受信任执行环境模块上经由多个认证因素对该用户进行认证；(ii)在该受信任执行环境模块上监视该用户的该连续认证；(iii)在该受信任执行环境模块上确定该用户是否仍应被认证；以及(iv)在该受信任执行环境模块上响应于确定该用户应不再被认证，通知该服务提供商服务器该用户的该连续认证丢失。
示例21包括示例19和20中任一项所述的主题，并且其中，通知该服务提供商服务器该用户的该连续认证丢失包括向该服务提供商服务器发送通知消息以便通知该用户的该连续认证丢失。
示例22包括示例19至21中任一项所述的主题，并且其中，该通知消息包括Kerberos安全消息。
示例23包括示例19至22中任一项所述的主题，并且进一步包括在该受信任执行环境模块上响应于该确定该用户应不再被认证而删除该服务票。
示例24包括示例19至23中任一项所述的主题，并且进一步包括在该受信任执行环境模块上响应于该确定该用户应不再被认证而许可该服务票过期。
示例25包括示例19至24中任一项所述的主题，并且其中，许可该服务票过期包括响应于该确定该用户应不再被认证不更新该服务票。
示例26包括示例19至25中任一项所述的主题，并且进一步包括在该受信任执行环境模块上接收一个或多个传感器收捕获的用户特征数据；并且其中，经由多个认证因素对用户进行认证包括根据由该一个或多个传感器捕获的该用户特征数据对该用户进行认证。
示例27包括示例19至26中任一项所述的主题，并且进一步包括：(i)在该受信任执行环境模块上监视该用户相对于该计算设备的存在；(ii)在该受信任执行环境模块上生成指示该用户相对于该计算设备的连续存在被监视的连续存在断言；(iii)在该受信任执行环境模块上向该密钥分发中心服务器发送该连续存在断言；(iv)在该受信任执行环境模块上确定该用户是否相对于该计算设备存在；以及(iv)在该受信任执行环境模块上响应于确定该用户相对于该计算设备不存在，通知该服务提供商服务器该用户相对于该计算设备的该连续存在丢失。
示例28包括示例19至27中任一项所述的主题，并且其中，通知该服务提供商服务器该用户相对于该计算设备的该连续存在丢失包括向该服务提供商服务器发送通知消息以便通知该用户相对于该计算设备的该连续存在丢失。
示例29包括示例19至28中任一项所述的主题，并且其中，该通知消息包括Kerberos安全消息。
示例30包括示例19至29中任一项所述的主题，并且进一步包括在该受信任执行环境模块上以参考间隔向该服务提供商服务器发送Kerberos安全消息。
示例31包括示例19至30中任一项所述的主题，并且进一步包括：(i)在该受信任执行环境模块上代表该用户生成用户密钥对，其中该用户密钥对包括代表该用户生成的用户公钥和用户私钥；(ii)在该受信任执行环境模块上经由安全密钥交换向该密钥分发中心服务器提供该用户公钥；以及(iii)在该受信任执行环境模块上在向该密钥分发中心服务器发送该连续认证断言之前，用该用户私钥来对该连续认证断言进行签名；其中向该密钥分发中心服务器发送该连续认证断言包括向该密钥分发中心服务器发送经签名的连续认证断言；以及其中从该密钥分发中心服务器接收的该服务票包括经签名的连续认证断言和该用户公钥。
示例32包括示例19至31中任一项所述的主题，并且其中，经由安全密钥交换向该密钥分发中心服务器提供该用户公钥包括经由SIGn和MAc会话向该密钥分发中心服务器提供该用户公钥。
示例33包括示例19至32中任一项所述的主题，并且其中，从该密钥分发中心服务器接收的该服务票进一步包括特权属性文档，该特权属性文档包括访问该服务提供商服务器所需要的一个或多个策略。
示例34包括示例19至33中任一项所述的主题，并且其中，从该密钥分发中心服务器请求初始票包括从该密钥分发中心服务器请求票授权票；并且其中，从该密钥分发中心服务器接收该初始票包括从该密钥分发中心服务器接收该票授权票。
示例35包括示例19至34中任一项所述的主题，并且其中，该连续认证断言包括Kerberos安全消息或安全断言标记语言消息中的至少一项。
示例36包括一种用于经由多个认证因素连续地对用户进行认证的计算设备，该计算设备包括处理器和存储器，该存储器其中存储有多条指令，当由该处理器执行时，该多条指令致使该计算设备执行示例19至35中任一项所述的方法。
示例37包括一种或多种机器可读介质，包括存储在其上的多条指令，响应于被执行，该多条指令致使计算设备执行如示例19至35中任一项所述的方法。
示例36包括一种用于经由多个认证因素连续地对用户进行认证的计算设备，该计算设备包括用于执行示例19至35中任一项所述的方法的装置。
示例39包括一种经由多个认证因素连续地对用户进行认证的计算设备，该计算设备包括处理器和存储器，该存储器其中存储有多条指令，当由该处理器执行时，该指令致使该计算设备：(i)生成指示用户的连续认证被监视的连续认证断言；(ii)向密钥分发中心服务器发送该连续认证断言；(iii)从该密钥分发中心服务器请求初始票；(iv)从该密钥分发中心服务器接收该初始票；(v)从该密钥分发中心服务器请求访问服务提供商服务器所需要的服务票；(vi)从该密钥分发中心服务器接收访问该服务提供商服务器所需要的该服务票，其中该服务票包括该连续认证断言；(vii)请求用该服务票访问该服务提供商服务器；以及(viii)响应于验证该连续认证断言，访问该服务提供商服务器。
示例40包括示例39所述的主题，并且其中，该多条指令进一步致使该计算设备：(i)经由多个认证因素对该用户进行认证；(ii)监视该用户的该连续认证；(iii)确定该用户是否仍应被认证；以及(iv)响应于确定该用户应不再被认证，通知该服务提供商服务器该用户的该连续认证丢失。
示例41包括示例39和40所述的主题，并且其中，通知该服务提供商服务器该用户的该连续认证丢失包括向该服务提供商服务器发送通知消息以便通知该用户的该连续认证丢失。
示例44包括示例39至41中任一项所述的主题，并且其中，该通知消息包括Kerberos消息。
示例45包括示例39至42中任一项所述的主题，并且其中，该Kerberos消息包括Kerberos安全消息。
示例44包括示例39至43中任一项所述的主题，并且其中，该多条指令进一步致使该计算设备响应于确定该用户应不再被认证而删除该服务票。
示例45包括示例39至44中任一项所述的主题，并且其中，该多条指令进一步致使该计算设备响应于确定该用户应不再被认证而许可该服务票过期。
示例46包括示例39至45中任一项所述的主题，并且其中，许可该服务票过期包括响应于确定该用户应不再被认证不更新该服务票。
示例47包括示例39至46中任一项所述的主题，并且进一步包括用于捕获用户特征数据的一个或多个传感器；并且其中，经由多个认证因素对用户进行认证包括根据由该一个或多个传感器捕获的该用户特征数据对该用户进行认证。
示例48包括示例39至47中任一项所述的主题，并且其中，该多条指令进一步致使该计算设备：(i)监视该用户相对于该计算设备的存在；(ii)生成指示该用户相对于该计算设备的连续存在被监视的连续存在断言；(iii)向该密钥分发中心服务器发送该连续存在断言；(iv)确定该用户是否相对于该计算设备存在；以及(iv)响应于确定该用户相对于该计算设备不存在，通知该服务提供商服务器该用户相对于该计算设备的该连续存在丢失。
示例49包括示例39至48中任一项所述的主题，并且其中，通知该服务提供商服务器该用户相对于该计算设备的该连续存在丢失包括向该服务提供商服务器发送通知消息以便通知该用户相对于该计算设备的该连续存在丢失。
示例50包括示例39至49中任一项所述的主题，并且其中，该通知消息包括Kerberos消息。
示例51包括示例39至50中任一项所述的主题，并且其中，该Kerberos消息包括Kerberos安全消息。
示例52包括示例39至51中任一项所述的主题，并且其中，该多条指令进一步致使该计算设备以参考间隔向该服务提供商服务器发送Kerberos安全消息。
示例53包括示例39至52中任一项所述的主题，并且其中，该多条指令进一步致使该计算设备：(i)代表该用户生成用户密钥对，其中该用户密钥对包括代表该用户生成的用户公钥和用户私钥；(ii)经由安全密钥交换向该密钥分发中心服务器提供该用户公钥；以及(iii)在向该密钥分发中心服务器发送该连续认证断言之前，用该用户私钥来对该连续认证断言进行签名；其中向该密钥分发中心服务器发送该连续认证断言包括向该密钥分发中心服务器发送经签名的连续认证断言；以及其中从该密钥分发中心服务器接收的该服务票包括经签名的连续认证断言和该用户公钥。
示例54包括示例39至53中任一项所述的主题，并且其中，经由安全密钥交换向该密钥分发中心服务器提供该用户公钥包括经由SIGn和MAc会话向该密钥分发中心服务器提供该用户公钥。
示例55包括示例39至54中任一项所述的主题，并且其中，从该密钥分发中心服务器接收的该服务票进一步包括特权属性文档，该特权属性文档包括访问该服务提供商服务器所需要的一个或多个策略。
示例56包括示例39至55中任一项所述的主题，并且其中，从该密钥分发中心服务器请求初始票包括从该密钥分发中心服务器请求票授权票；并且其中，从该密钥分发中心服务器接收该初始票包括从该密钥分发中心服务器接收该票授权票。
示例57包括示例39至56中任一项所述的主题，并且其中，该连续认证断言包括Kerberos安全消息或安全断言标记语言消息中的至少一项。

Claims (26)

1.一种经由多个认证因素连续地对用户进行认证的计算设备，所述计算设备包括：
受信任执行环境模块，所述受信任执行环境模块用于：
生成指示用户的连续认证被监视的连续认证断言，所述连续认证断言包括指示用于认证所述用户的因素的信息；
向密钥分发中心服务器发送所述连续认证断言；
从所述密钥分发中心服务器请求初始票；
从所述密钥分发中心服务器接收所述初始票；
从所述密钥分发中心服务器请求访问服务提供商服务器所需要的服务票；
从所述密钥分发中心服务器接收访问所述服务提供商服务器所需要的所述服务票，其中所述服务票包括所述连续认证断言；
用所述服务票请求访问所述服务提供商服务器；以及
响应于所述连续认证断言的验证，访问所述服务提供商服务器。
2.如权利要求1所述的计算设备，其中，所述受信任执行环境模块进一步用于：
经由多个认证因素对所述用户进行认证；
监视所述用户的所述连续认证；
确定所述用户是否仍应被认证；以及
响应于确定所述用户应不再被认证，通知所述服务提供商服务器所述用户的所述连续认证丢失。
3.如权利要求2所述的计算设备，其中，通知所述服务提供商服务器所述用户的所述连续认证丢失包括向所述服务提供商服务器发送Kerberos安全消息以便通知所述用户的所述连续认证丢失。
4.如权利要求2所述的计算设备，其中，所述受信任执行环境模块进一步用于以下中的至少一项：(i)响应于确定所述用户应不再被认证，删除所述服务票；或(ii)响应于确定所述用户应不再被认证，许可所述服务票过期。
5.如权利要求4所述的计算设备，其中，许可所述服务票过期包括响应于确定所述用户应不再被认证，不更新所述服务票。
6.如权利要求2所述的计算设备，进一步包括用于捕获用户特征数据的一个或多个传感器；并且
其中，经由多个认证因素对所述用户进行认证包括根据所述一个或多个传感器所捕获的所述用户特征数据对所述用户进行认证。
7.如权利要求1所述的计算设备，其中，所述受信任执行环境模块进一步用于：
监视所述用户相对于所述计算设备的存在；
生成指示所述用户相对于所述计算设备的连续存在被监视的连续存在断言；
向所述密钥分发中心服务器发送所述连续存在断言；
确定所述用户是否相对于所述计算设备存在；以及
响应于确定所述用户相对于所述计算设备不存在，通知所述服务提供商服务器所述用户相对于所述计算设备的所述连续存在丢失。
8.如权利要求7所述的计算设备，其中，通知所述服务提供商服务器所述用户相对于所述计算设备的所述连续存在丢失包括向所述服务提供商服务器发送Kerberos安全消息以便通知所述用户相对于所述计算设备的所述连续存在丢失。
9.如权利要求7所述的计算设备，其中，所述受信任执行环境模块进一步用于以参考间隔向所述服务提供商服务器发送Kerberos安全消息。
10.如权利要求1所述的计算设备，其中，所述受信任执行环境模块进一步用于：
代表所述用户生成用户密钥对，其中所述用户密钥对包括代表所述用户生成的用户公钥和用户私钥；
经由安全密钥交换向所述密钥分发中心服务器提供所述用户公钥；以及
在向所述密钥分发中心服务器发送所述连续认证断言之前，用所述用户私钥，对所述连续认证断言进行签名；
其中向所述密钥分发中心服务器发送所述连续认证断言包括向所述密钥分发中心服务器发送经签名的连续认证断言；以及
其中从所述密钥分发中心服务器接收的所述服务票包括经签名的连续认证断言和所述用户公钥。
11.如权利要求10所述的计算设备，其中，经由安全密钥交换向所述密钥分发中心服务器提供所述用户公钥包括经由SIGn和MAc会话向所述密钥分发中心服务器提供所述用户公钥。
12.如权利要求10所述的计算设备，其中，从所述密钥分发中心服务器接收的所述服务票进一步包括特权属性文档，所述特权属性文档包括访问所述服务提供商服务器所需要的一个或多个策略。
13.如权利要求1至12中任一项所述的计算设备，其中，所述连续认证断言包括Kerberos安全消息或安全断言标记语言消息中的至少一项。
14.一种用于经由多个认证因素连续地对用户进行认证的方法，所述方法包括：
在计算设备的受信任执行环境模块上生成指示用户的连续认证正被监视的连续认证断言，所述连续认证断言包括指示用于认证所述用户的因素的信息；
在所述受信任执行环境模块上向密钥分发中心服务器发送所述连续认证断言；
在所述受信任执行环境模块上从所述密钥分发中心服务器请求初始票；
在所述受信任执行环境模块上从所述密钥分发中心服务器接收所述初始票；
在所述受信任执行环境模块上从所述密钥分发中心服务器请求用于访问服务提供商服务器的服务票；
在所述受信任执行环境模块上从所述密钥分发中心服务器接收用于访问所述服务提供商服务器的所述服务票，其中所述服务票包括所述连续认证断言；
在所述受信任执行环境模块上用包括所述连续认证断言的所述服务票请求访问所述服务提供商服务器；以及
在所述受信任执行环境模块上响应于所述连续认证断言被验证，访问所述服务提供商服务器。
15.如权利要求14所述的方法，进一步包括：
在所述受信任执行环境模块上经由多个认证因素对所述用户进行认证；
在所述受信任执行环境模块上监视所述用户的所述连续认证；
在所述受信任执行环境模块上确定所述用户是否仍应被认证；以及
在所述受信任执行环境模块上响应于确定所述用户应不再被认证，通知所述服务提供商服务器所述用户的所述连续认证丢失。
16.如权利要求14所述的方法，进一步包括：
在所述受信任执行环境模块上监视所述用户相对于所述计算设备的存在；
在所述受信任执行环境模块上生成指示所述用户相对于所述计算设备的连续存在正在被监视的连续存在断言；
在所述受信任执行环境模块上向所述密钥分发中心服务器发送所述连续存在断言；
在所述受信任执行环境模块上确定所述用户是否相对于所述计算设备存在；以及
在所述受信任执行环境模块上响应于确定所述用户相对于所述计算设备不存在，通知所述服务提供商服务器所述用户相对于所述计算设备的所述连续存在丢失。
17.一种用于经由多个认证因素连续地对用户进行认证的计算设备，所述计算设备包括：
用于在计算设备的受信任执行环境模块上生成指示用户的连续认证正被监视的连续认证断言的装置，所述连续认证断言包括指示用于认证所述用户的因素的信息；
用于在所述受信任执行环境模块上向密钥分发中心服务器发送所述连续认证断言的装置；
用于在所述受信任执行环境模块上从所述密钥分发中心服务器请求初始票的装置；
用于在所述受信任执行环境模块上从所述密钥分发中心服务器接收所述初始票的装置；
用于在所述受信任执行环境模块上从所述密钥分发中心服务器请求用于访问服务提供商服务器的服务票的装置；
用于在所述受信任执行环境模块上从所述密钥分发中心服务器接收用于访问所述服务提供商服务器的所述服务票的装置，其中所述服务票包括所述连续认证断言；
用于在所述受信任执行环境模块上用包括所述连续认证断言的所述服务票请求访问所述服务提供商服务器的装置；以及
用于在所述受信任执行环境模块上响应于所述连续认证断言被验证而访问所述服务提供商服务器的装置。
18.如权利要求17所述的计算设备，进一步包括：
用于在所述受信任执行环境模块上经由多个认证因素对所述用户进行认证的装置；
用于在所述受信任执行环境模块上监视所述用户的所述连续认证的装置；
用于在所述受信任执行环境模块上确定所述用户是否仍应被认证的装置；以及
用于在所述受信任执行环境模块上响应于确定所述用户应不再被认证而通知所述服务提供商服务器所述用户的所述连续认证丢失的装置。
19.如权利要求18所述的计算设备，进一步包括以下中的至少一项：(i)用于在所述受信任执行环境模块上响应于确定所述用户应不再被认证而删除所述服务票的装置；或(ii)用于在所述受信任执行环境模块上响应于确定所述用户应不再被认证而许可所述服务票过期的装置。
20.如权利要求17所述的计算设备，进一步包括：
用于在所述受信任执行环境模块上监视所述用户相对于所述计算设备的存在的装置；
用于在所述受信任执行环境模块上生成指示所述用户相对于所述计算设备的连续存在正在被监视的连续存在断言的装置；
用于在所述受信任执行环境模块上向所述密钥分发中心服务器发送所述连续存在断言的装置；
用于在所述受信任执行环境模块上确定所述用户是否相对于所述计算设备存在的装置；以及
用于在所述受信任执行环境模块上响应于确定所述用户相对于所述计算设备不存在而通知所述服务提供商服务器所述用户相对于所述计算设备的所述连续存在丢失的装置。
21.如权利要求20所述的计算设备，进一步包括用于在所述受信任执行环境模块上以参考间隔向所述服务提供商服务器发送Kerberos安全消息的装置。
22.如权利要求17所述的计算设备，进一步包括：
用于在所述受信任执行环境模块上代表所述用户生成用户密钥对的装置，其中所述用户密钥对包括代表所述用户生成的用户公钥和用户私钥；
用于在所述受信任执行环境模块上经由安全密钥交换向所述密钥分发中心服务器提供所述用户公钥的装置；
用于在所述受信任执行环境模块上在向所述密钥分发中心服务器发送所述连续认证断言之前用所述用户私钥对所述连续认证断言进行签名的装置；
其中用于向所述密钥分发中心服务器发送所述连续认证断言的装置包括用于向所述密钥分发中心服务器发送经签名的连续认证断言的装置；以及
其中从所述密钥分发中心服务器接收的所述服务票包括经签名的连续认证断言和所述用户公钥。
23.一种经由多个认证因素连续地对用户进行认证的计算设备，所述计算设备包括：
处理器，以及
存储器，其中存储有多条指令，当由所述处理器执行时，所述指令致使所述计算设备：
生成指示用户的连续认证被监视的连续认证断言，所述连续认证断言包括指示用于认证所述用户的因素的信息；
向密钥分发中心服务器发送所述连续认证断言；
从所述密钥分发中心服务器请求初始票；
从所述密钥分发中心服务器接收所述初始票；
从所述密钥分发中心服务器请求访问服务提供商服务器所需要的服务票；
从所述密钥分发中心服务器接收访问所述服务提供商服务器所需要的所述服务票，其中所述服务票包括所述连续认证断言；
请求用所述服务票访问所述服务提供商服务器；以及
响应于所述连续认证断言的验证，访问所述服务提供商服务器。
24.如权利要求23所述的计算设备，其中，所述多个指令进一步致使所述计算设备：
经由多个认证因素对所述用户进行认证；
监视所述用户的所述连续认证；
确定所述用户是否仍应被认证；以及
响应于确定所述用户应不再被认证，通知所述服务提供商服务器所述用户的所述连续认证丢失。
25.如权利要求23所述的计算设备，其中，所述多个指令进一步致使所述计算设备：
监视所述用户相对于所述计算设备的存在；
生成指示所述用户相对于所述计算设备的连续存在被监视的连续存在断言；
向所述密钥分发中心服务器发送所述连续存在断言；
确定所述用户是否相对于所述计算设备存在；以及
响应于确定所述用户相对于所述计算设备不存在，通知所述服务提供商服务器所述用户相对于所述计算设备的所述连续存在丢失。
26.一种具有代码的计算机可读存储介质，所述代码在被执行时使机器执行如权利要求14－16的任一项所述的方法。
CN201380076955.9A 2013-06-27 2013-06-27 连续多因素认证 Active CN105247528B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201810171809.9A CN108111545B (zh) 2013-06-27 2013-06-27 连续多因素认证

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/US2013/048220 WO2014209322A1 (en) 2013-06-27 2013-06-27 Continuous multi-factor authentication

Related Child Applications (1)

Application Number Title Priority Date Filing Date
CN201810171809.9A Division CN108111545B (zh) 2013-06-27 2013-06-27 连续多因素认证

Publications (2)

Publication Number Publication Date
CN105247528A CN105247528A (zh) 2016-01-13
CN105247528B true CN105247528B (zh) 2018-05-18

Family

ID=52142455

Family Applications (2)

Application Number Title Priority Date Filing Date
CN201810171809.9A Active CN108111545B (zh) 2013-06-27 2013-06-27 连续多因素认证
CN201380076955.9A Active CN105247528B (zh) 2013-06-27 2013-06-27 连续多因素认证

Family Applications Before (1)

Application Number Title Priority Date Filing Date
CN201810171809.9A Active CN108111545B (zh) 2013-06-27 2013-06-27 连续多因素认证

Country Status (5)

Country Link
US (2) US9705869B2 (zh)
EP (1) EP3014507B1 (zh)
KR (1) KR101764197B1 (zh)
CN (2) CN108111545B (zh)
WO (1) WO2014209322A1 (zh)

Families Citing this family (45)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102204247B1 (ko) * 2014-02-19 2021-01-18 삼성전자 주식회사 전자 장치의 생체 정보 처리 방법 및 장치
KR102208631B1 (ko) * 2014-02-19 2021-01-28 삼성전자 주식회사 전자 장치의 보안 정보 입출력 방법 및 이를 사용하는 전자 장치
EP3111385A4 (en) 2014-02-26 2017-08-09 Blazer and Flip Flops Inc. D/B/A The Experience Engine Inc. Increasing customer monetization
US9448085B2 (en) 2014-02-26 2016-09-20 Blazer and Flip Flops, Inc. Live branded dynamic mapping
US9741022B2 (en) * 2014-02-26 2017-08-22 Blazer and Flip Flops, Inc. Parental controls
CA2942765C (en) * 2014-03-16 2022-05-17 Ric B. Richardson Persistent authentication system incorporating one time pass codes
GB201408539D0 (en) * 2014-05-14 2014-06-25 Mastercard International Inc Improvements in mobile payment systems
US11526916B2 (en) 2015-04-28 2022-12-13 Blazer and Flip Flops, Inc. Intelligent prediction of queue wait times
US9923896B2 (en) * 2014-11-24 2018-03-20 Lenovo Enterprise Solutions (Singapore) Pte. Ltd. Providing access to a restricted resource via a persistent authenticated device network
SG11201705055RA (en) 2014-12-31 2017-07-28 Visa Int Service Ass System and method for beacon based navigation to offer based transactions and beacon based digital transactions with multiple layer authentication
WO2016112338A1 (en) * 2015-01-08 2016-07-14 Intertrust Technologies Corporation Cryptographic systems and methods
EP3286942A4 (en) 2015-04-23 2018-12-05 Blazer and Flip Flops, Inc. DBA The Experience Engine Targeted venue message distribution
EP3289374B1 (en) 2015-05-01 2020-11-04 Blazer and Flip Flops, Inc. DBA The Experience Engine Map based beacon management
US10205712B2 (en) 2015-06-10 2019-02-12 Mcafee, Llc Sentinel appliance in an internet of things realm
US11057364B2 (en) * 2015-06-15 2021-07-06 Airwatch Llc Single sign-on for managed mobile devices
US10944738B2 (en) * 2015-06-15 2021-03-09 Airwatch, Llc. Single sign-on for managed mobile devices using kerberos
US10812464B2 (en) 2015-06-15 2020-10-20 Airwatch Llc Single sign-on for managed mobile devices
US10171447B2 (en) 2015-06-15 2019-01-01 Airwatch Llc Single sign-on for unmanaged mobile devices
CN105160265A (zh) * 2015-06-26 2015-12-16 苏州点通教育科技有限公司 应用于教学软件的通讯录存储系统及方法
US10073964B2 (en) 2015-09-25 2018-09-11 Intel Corporation Secure authentication protocol systems and methods
EP3566455A4 (en) 2015-12-07 2020-07-22 Blazer and Flip Flops, Inc. DBA The Experience Engine WEARABLE DEVICE
CN105376259B (zh) * 2015-12-15 2019-06-28 上海斐讯数据通信技术有限公司 分时控制的多方服务器证书的验证方法及系统
US10530768B2 (en) 2016-04-19 2020-01-07 Microsoft Technology Licensing, Llc Two-factor authentication
CN106850633A (zh) * 2017-02-09 2017-06-13 浙江风向标科技有限公司 一种鉴权方法及装置
US9948891B1 (en) * 2017-03-29 2018-04-17 Ziiproow, Inc. Conducting an audio or video conference call
US10581842B2 (en) * 2017-03-30 2020-03-03 At&T Intellectual Property I, L.P. Seamless authentication device
US10846387B2 (en) 2017-07-12 2020-11-24 At&T Intellectual Property I, L.P. Managing access based on activities of entities
US10591975B2 (en) * 2017-10-30 2020-03-17 Qualcomm Incorporated Memory access management for low-power use cases of a system on chip via secure non-volatile random access memory
US10630487B2 (en) * 2017-11-30 2020-04-21 Booz Allen Hamilton Inc. System and method for issuing a certificate to permit access to information
KR102545127B1 (ko) * 2018-04-02 2023-06-20 삼성전자 주식회사 외부 전자 장치의 키와 관련된 어플리케이션을 관리하는 전자 장치 및 전자 장치의 동작 방법
US10831506B2 (en) * 2018-04-05 2020-11-10 Phoenix Technologies Ltd. Local oversight and provisioning of BIOS activity
US20190342298A1 (en) * 2018-05-02 2019-11-07 Samsung Electronics Co., Ltd. System and method for resource access authentication
US11379263B2 (en) * 2018-08-13 2022-07-05 Ares Technologies, Inc. Systems, devices, and methods for selecting a distributed framework
US11057366B2 (en) * 2018-08-21 2021-07-06 HYPR Corp. Federated identity management with decentralized computing platforms
US11178148B2 (en) 2018-08-21 2021-11-16 HYPR Corp. Out-of-band authentication to access web-service with indication of physical access to client device
US10601828B2 (en) * 2018-08-21 2020-03-24 HYPR Corp. Out-of-band authentication based on secure channel to trusted execution environment on client device
US10939295B1 (en) 2018-08-21 2021-03-02 HYPR Corp. Secure mobile initiated authentications to web-services
KR102381389B1 (ko) * 2018-12-24 2022-04-01 인천대학교 산학협력단 우선 순위가 설정된 멀티 팩터 액세스 제어 시스템 및 방법
US11641363B2 (en) * 2019-01-14 2023-05-02 Qatar Foundation For Education, Science And Community Development Methods and systems for verifying the authenticity of a remote service
US11190511B2 (en) 2019-01-29 2021-11-30 Salesforce.Com, Inc. Generating authentication information independent of user input
DE102019108049A1 (de) * 2019-03-28 2020-10-01 Pilz Gmbh & Co. Kg Zugriffssteuerungssystem zur Steuerung eines Zugriffs eines Nutzers auf eine oder mehrere Betriebsfunktionen einer technischen Anlage
US11128482B2 (en) * 2019-04-19 2021-09-21 Microsoft Technology Licensing, Llc Metering cloud workloads at edge computing devices
US11374981B2 (en) * 2020-01-17 2022-06-28 Cisco Technology, Inc. Software usage description (SUD) for installable applications
US11658964B2 (en) 2020-08-26 2023-05-23 Bank Of America Corporation System and method for providing a continuous authentication on an open authentication system using user's behavior analysis
US20230319049A1 (en) * 2022-04-01 2023-10-05 Shopify Inc. Method and system for workflow attestation

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2001086393A2 (en) * 2000-05-09 2001-11-15 Sun Microsystems, Inc. Message authentication using message gates in a distributed computing environment
CN102404117A (zh) * 2010-10-08 2012-04-04 微软公司 用于动态应用环境的可证明身份的安全部署

Family Cites Families (132)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US4649233A (en) 1985-04-11 1987-03-10 International Business Machines Corporation Method for establishing user authenication with composite session keys among cryptographically communicating nodes
US5167030A (en) 1989-08-23 1992-11-24 Helix Software Company, Inc. System for dynamically allocating main memory to facilitate swapping of terminate and stay resident communication program to increase available memory space
FR2691556B1 (fr) 1992-05-25 1994-08-26 Hewlett Packard Co Procédé et dispositif de démarrage d'un ordinateur à un instant programmé.
US5943423A (en) 1995-12-15 1999-08-24 Entegrity Solutions Corporation Smart token system for secure electronic transactions and identification
US5809230A (en) 1996-01-16 1998-09-15 Mclellan Software International, Llc System and method for controlling access to personal computer system resources
US6009540A (en) 1997-04-08 1999-12-28 Aitm Associates Incorporated Logic module for implementing system changes on PC architecture computers
US5919257A (en) 1997-08-08 1999-07-06 Novell, Inc. Networked workstation intrusion detection system
US6715073B1 (en) 1998-06-04 2004-03-30 International Business Machines Corporation Secure server using public key registration and methods of operation
US6195749B1 (en) 2000-02-10 2001-02-27 Advanced Micro Devices, Inc. Computer system including a memory access controller for using non-system memory storage resources during system boot time
US20010037379A1 (en) 2000-03-31 2001-11-01 Noam Livnat System and method for secure storage of information and grant of controlled access to same
US7096362B2 (en) 2001-06-01 2006-08-22 International Business Machines Corporation Internet authentication with multiple independent certificate authorities
GB2376764B (en) 2001-06-19 2004-12-29 Hewlett Packard Co Multiple trusted computing environments
US6704840B2 (en) 2001-06-19 2004-03-09 Intel Corporation Computer system and method of computer initialization with caching of option BIOS
US7103529B2 (en) 2001-09-27 2006-09-05 Intel Corporation Method for providing system integrity and legacy environment emulation
US20030074568A1 (en) * 2001-10-17 2003-04-17 Kinsella David J. Methods and apparatuses for performing secure transactions without transmitting biometric information
WO2003049357A2 (en) 2001-12-07 2003-06-12 Telefonaktiebolaget Lm Ericsson (Publ) Lawful interception of end-to-end encrypted data traffic
US7127579B2 (en) 2002-03-26 2006-10-24 Intel Corporation Hardened extended firmware interface framework
US20030188193A1 (en) 2002-03-28 2003-10-02 International Business Machines Corporation Single sign on for kerberos authentication
US7216369B2 (en) 2002-06-28 2007-05-08 Intel Corporation Trusted platform apparatus, system, and method
US7096333B2 (en) 2002-07-18 2006-08-22 International Business Machines Corporation Limited concurrent host access in a logical volume management data storage environment
US7546452B2 (en) 2002-08-20 2009-06-09 Intel Corporation Hardware-based credential management
US7210034B2 (en) 2003-01-30 2007-04-24 Intel Corporation Distributed control of integrity measurement using a trusted fixed token
US20040167894A1 (en) 2003-02-21 2004-08-26 Sap Ag Method for using a business model data interface
US7606915B1 (en) 2003-02-25 2009-10-20 Microsoft Corporation Prevention of unauthorized scripts
GB2400461B (en) * 2003-04-07 2006-05-31 Hewlett Packard Development Co Control of access to of commands to computing apparatus
US20050021968A1 (en) 2003-06-25 2005-01-27 Zimmer Vincent J. Method for performing a trusted firmware/bios update
US7587750B2 (en) 2003-06-26 2009-09-08 Intel Corporation Method and system to support network port authentication from out-of-band firmware
US7841940B2 (en) 2003-07-14 2010-11-30 Astav, Inc Human test based on human conceptual capabilities
GB2404537B (en) 2003-07-31 2007-03-14 Hewlett Packard Development Co Controlling access to data
US7245218B2 (en) * 2003-09-12 2007-07-17 Curtis Satoru Ikehara Input device to continuously detect biometrics
US7299354B2 (en) 2003-09-30 2007-11-20 Intel Corporation Method to authenticate clients and hosts to provide secure network boot
US20050144609A1 (en) 2003-12-12 2005-06-30 Intel Corporation Methods and apparatus to provide a robust code update
US20050204038A1 (en) * 2004-03-11 2005-09-15 Alexander Medvinsky Method and system for distributing data within a network
US7552419B2 (en) 2004-03-18 2009-06-23 Intel Corporation Sharing trusted hardware across multiple operational environments
US20050228993A1 (en) 2004-04-12 2005-10-13 Silvester Kelan C Method and apparatus for authenticating a user of an electronic system
US7380119B2 (en) 2004-04-29 2008-05-27 International Business Machines Corporation Method and system for virtualization of trusted platform modules
US7590867B2 (en) 2004-06-24 2009-09-15 Intel Corporation Method and apparatus for providing secure virtualization of a trusted platform module
US7716494B2 (en) 2004-07-15 2010-05-11 Sony Corporation Establishing a trusted platform in a digital processing system
US8296562B2 (en) 2004-07-15 2012-10-23 Anakam, Inc. Out of band system and method for authentication
US10140596B2 (en) 2004-07-16 2018-11-27 Bryan S. M. Chua Third party authentication of an electronic transaction
US20060021018A1 (en) 2004-07-21 2006-01-26 International Business Machines Corporation Method and system for enabling trust infrastructure support for federated user lifecycle management
US7540014B2 (en) 2005-02-23 2009-05-26 Microsoft Corporation Automated policy change alert in a distributed enterprise
US8539587B2 (en) 2005-03-22 2013-09-17 Hewlett-Packard Development Company, L.P. Methods, devices and data structures for trusted data
DE102005014352A1 (de) 2005-03-24 2006-09-28 Utimaco Safeware Ag Verfahren und Steuervorrichtung zur Steuerung eines Zugriffs eines Computers auf Nutzdaten
US20060230439A1 (en) 2005-03-30 2006-10-12 Smith Ned M Trusted platform module apparatus, systems, and methods
US7752428B2 (en) 2005-03-31 2010-07-06 Intel Corporation System and method for trusted early boot flow
US7660913B2 (en) 2005-04-20 2010-02-09 Intel Corporation Out-of-band platform recovery
US7657746B2 (en) 2005-04-22 2010-02-02 Microsoft Corporation Supporting statements for credential based access control
US7636442B2 (en) 2005-05-13 2009-12-22 Intel Corporation Method and apparatus for migrating software-based security coprocessors
US8972743B2 (en) 2005-05-16 2015-03-03 Hewlett-Packard Development Company, L.P. Computer security system and method
WO2006123339A2 (en) * 2005-05-19 2006-11-23 Sandisk Il Ltd. Transaction authentication by a token, contingent on personal presence
US8370639B2 (en) * 2005-06-16 2013-02-05 Sensible Vision, Inc. System and method for providing secure access to an electronic device using continuous facial biometrics
US20060288202A1 (en) 2005-06-17 2006-12-21 Mark Doran Method for network restart
US20060294390A1 (en) * 2005-06-23 2006-12-28 International Business Machines Corporation Method and apparatus for sequential authentication using one or more error rates characterizing each security challenge
US8806224B2 (en) 2005-06-28 2014-08-12 Intel Corporation Low cost trusted platform
US8549592B2 (en) 2005-07-12 2013-10-01 International Business Machines Corporation Establishing virtual endorsement credentials for dynamically generated endorsement keys in a trusted computing platform
JP4793628B2 (ja) 2005-09-01 2011-10-12 横河電機株式会社 Ｏｓ起動方法及びこれを用いた装置
US7493460B2 (en) 2005-09-07 2009-02-17 Intel Corporation Preboot memory of a computer system
AU2006303992A1 (en) 2005-10-11 2007-04-26 Citrix Systems, Inc. Systems and methods for facilitating distributed authentication
KR100705380B1 (ko) 2005-10-19 2007-04-10 (주)이월리서치 보안 컴퓨터 시스템을 이용하여 정보 유출을 방지하는 방법
US20070106986A1 (en) 2005-10-25 2007-05-10 Worley William S Jr Secure virtual-machine monitor
US7693838B2 (en) 2005-11-12 2010-04-06 Intel Corporation Method and apparatus for securely accessing data
EP1952301A2 (en) 2005-11-23 2008-08-06 Daniel Farb Business and software security and storage methods, devices, and applications
US8261071B2 (en) 2006-01-31 2012-09-04 Microsoft Corporation Stateless human detection for real-time messaging systems
US7444670B2 (en) 2006-03-21 2008-10-28 International Business Machines Corporation Method and apparatus for migrating a virtual TPM instance and preserving uniqueness and completeness of the instance
US8650080B2 (en) 2006-04-10 2014-02-11 International Business Machines Corporation User-browser interaction-based fraud detection system
CN101060520A (zh) * 2006-04-21 2007-10-24 盛趣信息技术（上海）有限公司 基于Token的SSO认证系统
US8028165B2 (en) 2006-04-28 2011-09-27 Hewlett-Packard Development Company, L.P. Trusted platform field upgrade system and method
US7818255B2 (en) 2006-06-02 2010-10-19 Microsoft Corporation Logon and machine unlock integration
US8108668B2 (en) 2006-06-26 2012-01-31 Intel Corporation Associating a multi-context trusted platform module with distributed platforms
US7757098B2 (en) 2006-06-27 2010-07-13 Intel Corporation Method and apparatus for verifying authenticity of initial boot code
US7900252B2 (en) 2006-08-28 2011-03-01 Lenovo (Singapore) Pte. Ltd. Method and apparatus for managing shared passwords on a multi-user computer
US20080126779A1 (en) 2006-09-19 2008-05-29 Ned Smith Methods and apparatus to perform secure boot
JP2008083859A (ja) * 2006-09-26 2008-04-10 Toshiba Corp 仲介サーバ、通信仲介方法、通信仲介プログラム、および通信システム
US9262602B2 (en) 2006-09-29 2016-02-16 Hewlett-Packard Development Company, L.P. Extensible bios interface to a preboot authentication module
US7689817B2 (en) 2006-11-16 2010-03-30 Intel Corporation Methods and apparatus for defeating malware
US20080155277A1 (en) 2006-12-26 2008-06-26 Mallik Bulusu Hardware partitioned trust
US20080158000A1 (en) 2006-12-28 2008-07-03 Mattrazzo Daniel C Autodetect of user presence using a sensor
US20080162809A1 (en) 2006-12-28 2008-07-03 Rothman Michael A Operating system-independent remote accessibility to disk storage
US8332923B2 (en) 2007-01-19 2012-12-11 Toshiba America Research, Inc. Kerberized handover keying
US7840801B2 (en) 2007-01-19 2010-11-23 International Business Machines Corporation Architecture for supporting attestation of a virtual machine in a single step
US20080288782A1 (en) 2007-05-18 2008-11-20 Technology Properties Limited Method and Apparatus of Providing Security to an External Attachment Device
US7945786B2 (en) 2007-03-30 2011-05-17 Intel Corporation Method and apparatus to re-create trust model after sleep state
US8151262B2 (en) 2007-03-30 2012-04-03 Lenovo (Singapore) Pte. Ltd. System and method for reporting the trusted state of a virtual machine
US7917741B2 (en) 2007-04-10 2011-03-29 Standard Microsystems Corporation Enhancing security of a system via access by an embedded controller to a secure storage device
US8056129B2 (en) 2007-04-19 2011-11-08 International Business Machines Corporation Validating active computer terminal sessions
US8453142B2 (en) 2007-04-26 2013-05-28 Hewlett-Packard Development Company, L.P. Virtual machine control
US9158920B2 (en) 2007-06-28 2015-10-13 Intel Corporation System and method for out-of-band assisted biometric secure boot
US8060876B2 (en) 2007-08-10 2011-11-15 Intel Corporation Methods and apparatus for creating an isolated partition for a virtual trusted platform module
US7827371B2 (en) 2007-08-30 2010-11-02 Intel Corporation Method for isolating third party pre-boot firmware from trusted pre-boot firmware
US7917716B2 (en) 2007-08-31 2011-03-29 Standard Microsystems Corporation Memory protection for embedded controllers
US9178884B2 (en) 2007-09-07 2015-11-03 Intel Corporation Enabling access to remote entities in access controlled networks
US20090067688A1 (en) 2007-09-07 2009-03-12 Authentec, Inc. Finger sensing apparatus with credential release and associated methods
US20090067685A1 (en) 2007-09-07 2009-03-12 Authentec, Inc. Finger sensing apparatus using template watermarking and associated methods
US8516566B2 (en) 2007-10-25 2013-08-20 Apple Inc. Systems and methods for using external authentication service for Kerberos pre-authentication
US20090132837A1 (en) 2007-11-15 2009-05-21 Mcm Portfolio Llc System and Method for Dynamically Selecting Clock Frequency
US20100023782A1 (en) 2007-12-21 2010-01-28 Intel Corporation Cryptographic key-to-policy association and enforcement for secure key-management and policy execution
US8171321B2 (en) 2007-12-26 2012-05-01 Intel Corporation Method and apparatus for cost and power efficient, scalable operating system independent services
US8583908B2 (en) 2007-12-31 2013-11-12 Intel Corporation Enhanced network and local boot of Unified Extensible Firmware Interface images
US20090292924A1 (en) 2008-05-23 2009-11-26 Johnson Erik J Mechanism for detecting human presence using authenticated input activity
US8327415B2 (en) 2008-05-30 2012-12-04 Intel Corporation Enabling byte-code based image isolation
US8201239B2 (en) 2008-06-23 2012-06-12 Intel Corporation Extensible pre-boot authentication
US8363098B2 (en) 2008-09-16 2013-01-29 Plantronics, Inc. Infrared derived user presence and associated remote control
US8127146B2 (en) 2008-09-30 2012-02-28 Microsoft Corporation Transparent trust validation of an unknown platform
US8863268B2 (en) 2008-10-29 2014-10-14 Dell Products, Lp Security module and method within an information handling system
US8856512B2 (en) 2008-12-30 2014-10-07 Intel Corporation Method and system for enterprise network single-sign-on by a manageability engine
AT507564B1 (de) 2009-01-12 2010-06-15 Hoerbiger Kompressortech Hold Dichtanordnung zur abdichtung einer kolbenstange eines kolbenkompressors
US8629938B2 (en) 2009-10-05 2014-01-14 Sony Corporation Multi-point television motion sensor system and method
US8510569B2 (en) 2009-12-16 2013-08-13 Intel Corporation Providing integrity verification and attestation in a hidden execution environment
US20110154023A1 (en) 2009-12-21 2011-06-23 Smith Ned M Protected device management
JP4837105B2 (ja) 2010-01-22 2011-12-14 株式会社東芝 電子機器および制御方法
US8250638B2 (en) 2010-02-01 2012-08-21 Vmware, Inc. Maintaining the domain access of a virtual machine
US8756684B2 (en) * 2010-03-01 2014-06-17 Emc Corporation System and method for network security including detection of attacks through partner websites
US8464320B2 (en) * 2010-05-24 2013-06-11 Verizon Patent And Licensing Inc. System and method for providing authentication continuity
US8458470B2 (en) * 2010-05-28 2013-06-04 International Business Machinces Corporation Authentication in data management
US10482254B2 (en) 2010-07-14 2019-11-19 Intel Corporation Domain-authenticated control of platform resources
US8516551B2 (en) 2010-07-28 2013-08-20 Intel Corporation Providing a multi-phase lockstep integrity reporting mechanism
WO2012018326A1 (en) * 2010-08-04 2012-02-09 Research In Motion Limited Method and apparatus for providing continuous authentication based on dynamic personal information
GB2497887A (en) * 2010-08-30 2013-06-26 Mobitv Inc User and device authentication for media services
US8639926B2 (en) * 2010-10-29 2014-01-28 Novell, Inc. Techniques for mobile device authentication
US8660322B2 (en) * 2011-08-25 2014-02-25 King Saud University Passive continuous authentication method
EP3706363B1 (en) 2011-09-30 2022-03-16 INTEL Corporation Out-of-band remote authentication
US20140189807A1 (en) * 2011-10-18 2014-07-03 Conor P. Cahill Methods, systems and apparatus to facilitate client-based authentication
WO2013100961A1 (en) 2011-12-28 2013-07-04 Intel Corporation Method and apparatus to determine user presence
US8806610B2 (en) * 2012-01-31 2014-08-12 Dell Products L.P. Multilevel passcode authentication
US8925053B1 (en) * 2012-02-24 2014-12-30 Emc Corporation Internet-accessible service for dynamic authentication and continuous assertion of trust level in identities
US20140250523A1 (en) * 2012-10-11 2014-09-04 Carnegie Mellon University Continuous Authentication, and Methods, Systems, and Software Therefor
US9137247B2 (en) * 2013-03-15 2015-09-15 Intel Corporation Technologies for secure storage and use of biometric authentication information
US9852275B2 (en) * 2013-03-15 2017-12-26 NSS Lab Works LLC Security device, methods, and systems for continuous authentication
WO2014142947A1 (en) * 2013-03-15 2014-09-18 Intel Corporation Continuous authentication confidence module
US20140282868A1 (en) * 2013-03-15 2014-09-18 Micah Sheller Method And Apparatus To Effect Re-Authentication
US9231765B2 (en) * 2013-06-18 2016-01-05 Arm Ip Limited Trusted device

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2001086393A2 (en) * 2000-05-09 2001-11-15 Sun Microsystems, Inc. Message authentication using message gates in a distributed computing environment
CN102404117A (zh) * 2010-10-08 2012-04-04 微软公司 用于动态应用环境的可证明身份的安全部署

Also Published As

Publication number Publication date
KR101764197B1 (ko) 2017-08-02
US9705869B2 (en) 2017-07-11
EP3014507A1 (en) 2016-05-04
CN105247528A (zh) 2016-01-13
US20170374055A1 (en) 2017-12-28
CN108111545B (zh) 2021-02-02
EP3014507A4 (en) 2017-02-01
CN108111545A (zh) 2018-06-01
US20160127351A1 (en) 2016-05-05
EP3014507B1 (en) 2018-04-04
US10091184B2 (en) 2018-10-02
KR20160004353A (ko) 2016-01-12
WO2014209322A1 (en) 2014-12-31

Similar Documents

Publication Publication Date Title
CN105247528B (zh) 连续多因素认证
US10440019B2 (en) Method, computer program, and system for identifying multiple users based on their behavior
EP3108397B1 (en) Trust broker authentication method for mobile devices
US10164966B2 (en) Decoupling identity from devices in the internet of things
CN106134154A (zh) 利用机器生成的认证令牌操作服务的技术
US9935953B1 (en) Secure authenticating an user of a device during a session with a connected server
Ceccarelli et al. Continuous and transparent user identity verification for secure internet services
Shrestha et al. An offensive and defensive exposition of wearable computing
CN108140082A (zh) 使用非对称密钥的多因素用户认证框架
CN107408167A (zh) 执行用户无缝认证
CN105960774A (zh) 近场通信认证机制
CN105229596A (zh) 高级验证技术和应用
CN109479063A (zh) 使用端到端安全元件通信的嵌入式系统的授权控制
Mustafić et al. Behavioral biometrics for persistent single sign-on
KR20210022532A (ko) 정보 처리 장치, 정보 처리 방법 및 프로그램
US10831922B1 (en) System and method for access control
CN109428725A (zh) 信息处理设备、控制方法和存储介质
KR102439879B1 (ko) 블록체인 기반의 신원 인증용 시스템 및 그에 관한 동작방법
CN114844629A (zh) 区块链账户的验证方法、装置、计算机设备及存储介质
Zhou et al. A secure and privacy-preserving authentication scheme in IoMT
Park et al. Secure device control scheme with blockchain in a smart home
Lin et al. Blockchain-Based Data Access Security Solutions for Medical Wearables
JP2013182552A (ja) 遠隔学習時の認証システムおよびその方法
US20240113886A1 (en) Method and System for Custom Authenticators
KR20230009903A (ko) 생체 인식 기술을 이용한 생리학적 인증서와 연관된 전자 디바이스들 및 그들의 동작 방법들

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant