CN106462706A - 用于提供基于客户端侧得分的认证的方法和设备 - Google Patents

用于提供基于客户端侧得分的认证的方法和设备 Download PDF

Info

Publication number
CN106462706A
CN106462706A CN201480076721.9A CN201480076721A CN106462706A CN 106462706 A CN106462706 A CN 106462706A CN 201480076721 A CN201480076721 A CN 201480076721A CN 106462706 A CN106462706 A CN 106462706A
Authority
CN
China
Prior art keywords
risk
password
enhancement mode
user
data
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201480076721.9A
Other languages
English (en)
Inventor
纪尧姆·特谢龙
塞巴斯蒂安·拉维涅
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Onespan North America Inc
Onespan Inc
Original Assignee
Vasco Data Security International Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Vasco Data Security International Inc filed Critical Vasco Data Security International Inc
Publication of CN106462706A publication Critical patent/CN106462706A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H04L63/0838—Network architectures or network communication protocols for network security for authentication of entities using passwords using one-time-passwords
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0863—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving passwords or one-time passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/067—Network architectures or network communication protocols for network security for supporting key management in a packet data network using one-time keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/67—Risk-dependent, e.g. selecting a security level depending on risk profiles

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Computing Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)
  • Storage Device Security (AREA)

Abstract

公开了用于结合风险评估来生成和验证一次性口令的方法、设备和系统。所述风险评估可以包括客户端侧风险评估。所述风险评估还可以包括服务器侧风险评估。

Description

用于提供基于客户端侧得分的认证的方法和设备
相关申请的交叉引用
本申请要求于2013年12月31日提交的题目为“A method and apparatus forproviding client-side score-based authentication”的美国临时申请第61/922,516号的优先权，其全部内容通过引用合并至本文中。
本发明涉及保护对计算机和应用的远程访问以及经由计算机网络的远程事务。更具体地，本发明涉及用于认证用户的方法和设备。
背景技术
随着对计算机系统和应用的远程访问越来越普遍，通过公用网络如互联网远程访问的事务的数目和种类急剧增多。这一普遍性强调了对安全性的需要；具体地：如何确保远程访问应用的人是他所声称的人；如何确保远程执行的事务是由合法个体发起的；以及如何确保事务数据在应用服务器处被接收之前未被改变。
在过去，应用提供商依靠静态口令来为远程应用提供安全性。近年来，变得明显的是，静态口令是不够的并且需要更先进的安全技术。
在一个解决方案中，生成动态口令，用户将动态口令而非静态口令(或者动态口令以及静态口令)传递到应用。动态口令在客户端侧通过将动态变量与密码密钥以密码的形式进行组合来生成，所述密码密钥在一方面的客户端侧设备与另一方面的服务器侧验证实体之间共享。动态变量可以是基于时间的值、基于计数器的值、(例如可以由应用服务器提供的)挑战(challenge)或甚至是表示用户想要提交到应用服务器的事务的事务数据，或者上述的任意组合。动态变量可以例如通过对利用共享的密码密钥来参数化的动态变量应用对称密码算法而与共享的密码密钥以密码的形式进行组合。例如，可以使用对称加密算法如AES(高级加密标准)或动态变量的串接来对动态变量进行加密，并且可以通过散列算法如SHA-1(安全散列算法1)使共享密钥散列。在许多情况下，所得到的密码被截短并且随后被转换成字符串。然后，该字符串——通常被称为一次性口令或OTP——被显示给用户以便用户手动复制并且转移至应用。如果动态变量是基于挑战的，则字符串可以被称为响应。如果动态变量是基于挑战的，则字符串可以被认为是事务数据上的签名。在下文中，术语OTP也可以指代这样的响应或签名。因为OTP常常用于由用户手动复制，所以它们通常保持相当短，一般短于生成它们的密码。然后，可以在应用服务器侧验证所接收的OTP。通常通过生成针对OTP的期望的参考值，并且将所接收的OTP与所生成的参考值进行比较来实现上述验证。用于生成OTP的客户端装置包括具有自身显示器并且有时具有小键盘来输入PIN(个人识别号)的专用硬件认证令牌，或者通用计算装置如例如运行用于模拟专用硬件认证令牌的认证软件的智能电话。
发明内容
本发明基于发明人的以下认识：基于一次性口令的解决方案的总体安全等级可以取决于其中已经生成一次性口令的环境、平台和上下文，但是验证OTP的有效性的服务器仅指示下述二进制结果，该二进制结果指示所验证的OTP在密码上是否正确而不考虑可能影响总体安全等级的这些环境和上下文中的任何环境和上下文。例如，智能电话上的软件认证应用被攻击的风险远高于专用硬件认证令牌被攻击的风险。如果用于生成OTP的客户端装置在生成OTP的时刻位于与用户的归属国家完全不同的国家，则这还可能是出现问题的指示。
此外，本发明基于发明人的以下另一认识：即使服务器能够考虑与OTP的生成周围的上下文和环境相关的这样的信息，但是在实际中，服务器可能难以或甚至不可能获得该信息。具体地，服务器非常难以获得与客户端装置自身相关的本地信息，这是因为在许多情况下，客户端装置与服务器之间的仅有的通信途径是用户在客户端装置与服务器之间手动复制数据的。出于方便原因，用户必须从服务器手动地转移至令牌并且从令牌手动地转移至服务器的信息量必须被限制成严格的最小。
本发明的一方面提供了一种用于生成增强型一次性口令(OTP)的方法。在一些实施方式中，该方法可以包括以下步骤：执行第一风险分析；生成表示所述第一风险分析的结果的风险信息数据；确定动态变量的第一值；通过将所述动态变量的所述第一值与密码密钥以密码的形式进行组合来生成密码OTP数据；以及通过将所述密码OTP数据与所述风险信息数据进行组合来获得所述增强型OTP。
在一些实施方式中，该方法可以是先前实施方式中的任意实施方式的方法，其中，执行所述第一风险分析可以包括对一个或更多个风险因素中的每个风险因素进行风险评估。在一些实施方式中，生成风险信息数据可以包括对所述一个或更多个风险因素的所有所述风险评估的结果进行组合。在一些实施方式中，所述第一风险分析可以包括：将所述一个或更多个风险因素分组成一个或更多个风险因素类别，并且使用相应的风险因素类别的所有风险因素的所述风险评估的结果来对所述一个或更多个风险因素类别中的每个风险因素类别确定风险评估类别得分，并且其中，所述生成风险信息数据包括对所述一个或更多个风险因素类别的风险评估类别得分进行组合。在一些实施方式中，每个风险评估类别得分可以被表示为位串(bit string)，并且所述生成风险信息数据可以包括将与所述一个或更多个风险因素类别对应的各个位串的位(bit)串接成风险信息位串，并且所述风险信息数据可以包括所述风险信息位串的表示。在一些实施方式中，第一风险分析在由用户正在操作的客户端装置上完成，并且所述一个或更多个风险因素类别可以包括以下中的至少之一：平台风险因素类别，其对与客户端装置自身的特性相关的所有风险因素进行分组；用户风险因素类别，其对与用户的特性和用户的行为的特性相关的所有风险因素进行分组；或上下文风险因素类别，其对与客户端装置正在其中操作的环境或上下文的特性相关的所有风险因素进行分组。在一些实施方式中，一个或更多个风险因素类别可以包括平台风险类别、用户风险因素类别和上下文风险因素类别所有这三个风险因素类别。
在一些实施方式中，生成密码OTP数据可以包括将风险信息数据和动态变量的第一值与密码密钥以密码的形式进行组合。在一些实施方式中，将所述动态变量的所述第一值与所述密码密钥以密码的形式进行组合包括执行密码算法，所述密码算法使用所述动态变量的所述值并且通过所述密码密钥来参数化。在一些实施方式中，密码算法可以是对称密码算法，并且密码密钥可以与可以适于验证增强型OTP或使其生效的实体共享。对称密码算法可以例如包括对称加密或解密算法如AES(高级加密标准)或者带密钥的散列算法如HMAC(基于散列的消息认证码)。在一些实施方式中，对称密码算法还可以使用风险信息数据。
在一些实施方式中，动态变量可以是基于时间的。例如，动态变量可以包括时钟的值，该时钟可以被包括在生成增强型OTP的客户端装置中。在一些实施方式中，动态变量可以是基于计数器的，该计数器例如可以存储和保持在客户端装置上。在一些实施方式中，动态变量是基于挑战的，该挑战例如可以由与用户交互的应用来提供。在一些实施方式中，动态变量可以是基于以下数据的，所述数据表示用户可以提交至应用并且可以与增强型OTP相关联的事务请求。
在一些实施方式中，通过将密码OTP数据与风险信息数据组合来获得所述增强型OTP包括：使用密码OTP数据的一部分和风险信息数据来生成风险信息数据的掩蔽表示，并且将密码OTP数据与风险信息数据的掩蔽表示进行组合。
在一些实施方式中，可以在客户端装置上执行先前描述的实施方式中的任意实施方式的一些或所有步骤。在一些实施方式中，客户端装置可以包括个人通讯装置如智能电话或平板电脑。在一些实施方式中，客户端装置可以运行认证客户端应用或者认证客户端app，所述认证客户端应用或认证客户端app可以执行用于生成增强型OTP的先前描述的方法中的任意方法的一些或所有步骤。
本发明的另一方面提供了一种用于使增强型OTP生效的方法。在一些实施方式中，可以使用用于生成增强型OTP的方法的先前描述的实施方式中的任意实施方式的方法来生成增强型OTP。在一些实施方式中，可以通过以下步骤来生成增强型OTP：执行第一风险分析；生成表示所述第一风险分析的结果的风险信息数据；确定动态变量的第一值；通过将所述动态变量的所述第一值与密码密钥以密码的形式进行组合来生成密码OTP数据；以及通过将所述密码OTP数据与所述风险信息数据进行组合来获得所述增强型OTP。在一些实施方式中，所述方法可以包括以下步骤：从所述增强型OTP中检索所述密码数据；从所述增强型OTP中检索所述风险信息数据；以密码的形式验证所检索的密码数据；使用所检索的风险信息数据来执行第二风险分析；以及使用所检索的密码数据的所述密码验证和所述第二风险分析的结果来确定所述增强型OTP的总体风险等级。
在一些实施方式中，增强型OTP可以包括所述风险信息数据的掩蔽表示，并且检索所述风险信息数据可以包括使用所检索的密码数据的各部分来解除所述风险信息数据的所述掩蔽表示的掩蔽。
在一些实施方式中，以密码的形式验证所检索的密码数据可以包括：确定动态变量的第二值，其可以假定为具有与动态变量的第一值相同的值；以及使用对称密码算法将该第二值与密码密钥的副本以密码的形式进行组合，所述对称密码算法使用所述第二值并且通过所述密码密钥的所述副本来参数化。在一些实施方式中，对称密码算法还可以使用所检索的风险信息数据。在一些实施方式中，以密码的形式验证所检索的密码数据可以包括将所检索的密码数据与所述将第二值和所述密码密钥的副本以密码的形式进行组合的结果进行比较。
本发明的又一方面提供了一种用于保护用户与应用的交互的方法，由此，用户可以与访问装置交互以访问应用，并且还可以与和用户相关联的客户端装置交互。在一些实施方式中，该方法可以包括例如在客户端装置处生成增强型OTP，并且例如在生效或验证服务器处使增强型OTP生效。在一些实施方式中，可以使用先前描述的用于生成增强型OTP的方法中的任意方法来生成增强型OTP。在一些实施方式中，可以使用先前描述的用于使增强型OTP生效的方法中的任意方法来使增强型OTP生效。在一些实施方式中，该方法可以包括以下步骤：例如在客户端装置处，执行第一风险分析；例如在客户端装置处，生成表示所述第一风险分析的结果的风险信息数据；例如在客户端装置处，确定动态变量的第一值；例如在客户端装置处，通过将所述动态变量的所述第一值与密码密钥以密码的形式进行组合来生成密码OTP数据；例如在客户端装置处，通过将所述密码OTP数据与所述风险信息数据进行组合来生成增强型OTP；例如在客户端装置处，将所述增强型OTP呈现给所述用户；例如在访问装置处，接收被呈现给用户的增强型OTP；例如在生效或验证服务器或者应用服务器处，从所述增强型OTP中检索所述密码数据；例如在生效或验证服务器或者应用服务器处，从所述增强型OTP中检索所述风险信息数据；例如在生效或验证服务器或者应用服务器处，以密码的形式验证所检索的密码数据；例如在生效或验证服务器或者应用服务器处，使用所检索的风险信息数据执行第二风险分析；例如在生效或验证服务器或者应用服务器处，使用所检索的密码数据的所述密码验证和所述第二风险分析的结果来确定所述增强型OTP的总体风险等级；以及例如在生效或验证服务器或者应用服务器处，取决于所述总体风险等级的值来决定是否执行某个动作。
在一些实施方式中，第二风险分析还可以包括使用与所述用户和所述应用的其他交互相关的信息。在一些实施方式中，第二风险分析还可以包括使用与除所述用户之外的其他用户和所述应用的其他交互相关的信息。
在一些实施方式中，所述动作可以包括准予所述用户访问，例如准予访问一些资源。在一些实施方式中，所述动作可以包括用户登录。在一些实施方式中，所述动作可以包括准予用户一些授权例如以执行某些动作或事务。在一些实施方式中，所述动作可以包括执行由所述用户请求的事务。在一些实施方式中，增强型OTP可以与由用户请求的事务相关联。在一些实施方式中，增强型OTP可以与事务请求一起提供给应用。
本发明的再一方面提供一种用于保护用户与应用之间的交互的系统。在一些实施方式中，该系统可以适于与先前描述的用于生成增强型OTP的方法中的任意方法一起使用。在一些实施方式中，该系统可以适于与先前描述的用于使增强型OTP生效的方法中的任意方法一起使用。在一些实施方式中，该系统可以适于与先前描述的用于保护用户与应用的交互的方法中的任意方法一起使用。
在一些实施方式中，该系统可以包括：客户端装置，由用户操作并且包括用户输出接口(如显示器)；访问装置，包括用户输入接口(如键盘)并且与用户交互并且使得用户能够与应用交互；以及寄放应用的应用服务器。在一些实施方式中，访问装置和应用服务器被包括在物理上不同的计算机中，并且访问装置和应用服务器可以适于通过计算机网络进行通信。计算机网络可以包括局域网、广域网，并且可以包括互联网。
在一些实施方式中，客户端装置可以适于：执行第一风险分析；生成表示所述第一风险分析的结果的风险信息数据；确定动态变量的第一值；通过将所述动态变量的所述第一值与存储在所述客户端装置上的密码密钥以密码的形式进行组合来生成密码OTP数据；通过将所述密码OTP数据与所述风险信息数据进行组合来生成增强型OTP；以及使用所述用户输出接口将所述增强型OTP呈现给所述用户。在一些实施方式中，客户端装置可以包括个人通讯装置如智能电话。在一些实施方式中，客户端装置可以适于(例如通过在该描述的其他地方描述的用于生成增强型OTP的方法中的任意方法)运行用于生成增强型OTP的客户端认证应用或客户端认证app。
在一些实施方式中，访问装置可以适于使用所述用户输入接口来接收通过客户端装置呈现给用户的增强型OTP。在一些实施方式中，访问装置还可以适于将增强型OTP转发给应用服务器。在一些实施方式中，访问装置可以包括例如能够连接到互联网的笔记本电脑或个人计算机(PC)。在一些实施方式中，访问装置可以运行网络浏览器以使得用户能够与网络服务器连接，并且与可以包括在由网络服务器寄放的应用中的网络应用交互。
在一些实施方式中，应用服务器可以适于：从所述增强型OTP中检索所述密码数据；从所述增强型OTP中检索所述风险信息数据；以密码的形式验证所检索的密码数据；使用所检索的风险信息数据来执行第二风险分析；使用所检索的密码数据的所述密码验证和所述第二风险分析的结果来确定所述增强型OTP的总体风险等级；以及取决于所述总体风险等级的值来决定是否执行某个动作。在一些实施方式中，应用服务器可以包括一个或更多个服务器计算机。在一些实施方式中，包括在应用服务器中的计算机可以通过计算机网络(例如，局域网、广域网或互联网)来连接。在一些实施方式中，应用服务器可以寄放应用的服务器部分。在一些实施方式中，应用服务器可以与互联网连接。在一些实施方式中，应用服务器和访问装置可以通过互联网来连接。在一些实施方式中，应用可以包括可以由应用服务器寄放的基于网络的应用。
客户端侧风险分析
在本发明的一些实施方式中，客户端装置可以被配置成收集与本地风险因素有关的信息如例如：与已在其上实现客户端装置的平台有关的信息；与客户端装置正在其中操作的上下文有关的信息；以及与正在操作客户端装置的用户有关的信息。在一些实施方式中，客户端装置可以被配置成将该风险因素的相关信息压缩成少量的位(bit)。
在一些实施方式中，客户端装置可以被配置成：收集与本地风险因素有关的信息，以及执行第一客户端侧风险分析。在一些实施方式中，表示所压缩的风险因素的相关信息的位(此后，其可以被简称为风险信息位)可以包括该第一客户端侧风险分析的结果。
在一些实施方式中，客户端装置可以对一组风险因素中的每个风险因素确定得分。在一些实施方式中，客户端装置可以将单独的风险因素的各个得分组合成单个总体风险分析得分。在一些实施方式中，各个得分可以通过布尔(Boolean)和/或数值来表示。在一些实施方式中，客户端装置可以通过对正在被组合的得分应用逻辑规则、布尔函数和/或数学函数来组合得分。
在一些实施方式中，各个风险因素可以被分组成许多不同的风险因素类别。在一些实施方式中，客户端装置可以通过将针对该类别的所有的风险因素的得分进行组合来为每个类别确定得分。在一些实施方式中，客户端装置可以将不同类别的得分组合成单个总体得分。在一些实施方式中，客户端装置可以使用仅一种风险因素类别。在一些实施方式中，风险信息位可以包括该总体得分的二进制表示。在一些实施方式中，风险信息位可以包括各种风险因素类别的得分的二进制表示的串接。
例如，在一些实施方式中，客户端装置可以将风险因素分组成许多个风险因素类别中，许多个风险因素类别可以包括平台相关的风险因素类别(平台类别)、用户相关的风险因素类别(用户类别)和/或上下文相关的风险因素类别(上下文类别)。
平台类别可以包括与已在其上实现客户端装置的平台相关的所有风险因素。例如，该类别中的一种风险因素可以指示客户端装置是专用的硬件令牌还是例如智能电话上的软件应用。该类别中的另一风险因素可以通过病毒检测器和/或防火墙的存在或不存在(和类型)来确定。又一风险因素可以通过考虑这种病毒检测器的检测日志来确定。平台类别的再一风险因素可以考虑操作系统和/或浏览器软件的类型。
用户类别可以包括与正在操作客户端装置的用户相关的所有风险因素。例如，在一些实施方式中，客户端装置可以具有用于捕获用户的某些生物测定特征(如指纹、虹膜扫描、语音特性或面部特性)的测量结果的生物测定部件，并且将该测量结果与参考模板进行比较。生物测定风险因素的得分可以例如指示测量结果与参考模板匹配的程度。其他生物测定风险因素可以指示生物测定测量结果被篡改或规避的风险。例如，客户端装置可以适于存储最近的生物测定测量结果并(如通过使用语音录音或面部图片来)检测重放攻击，并且一种生物测定风险因素可以指示生物测定测量结果实际上与重放攻击对应的概率。在一些实施方式中，客户端装置可以适于接收来自用户的PIN或口令，并且可以适于将所接收的PIN或口令与所存储的参考值进行比较。如果用户输入错误的PIN或口令，则客户端装置可以适于允许特定数目的重试。在这样的情况下，用户类别的风险因素可以考虑用户输入正确的PIN或口令所需要的尝试的实际次数(由此，在第一尝试中没有输入正确的PIN或口令的事实可以指示某人必须猜测PIN或口令)。用户类别的另一风险因素可以与用户的行为(例如，用户访问哪个应用以及以何种顺序并且以何种频率访问应用、用户如何使用输入接口等)相关，并且可以通过对该行为的分析来确定该风险因素的得分。例如，在一些实施方式中，客户端装置可以适于接收来自用户的PIN或口令。客户端装置可以适于分析用户输入的PIN或口令的单独的数字或字符中的模式。例如，客户端装置可以测量与用户输入的PIN或口令的连续数字或字符的相关联的时间差序列。对于具体用户而言，该时间差序列可以平均具有某个模式，该模式可以是具体用户的或多或少的特性。如果另一用户要输入相同的PIN或口令，则这会产生可能显著地偏离原始用户的平均模式的时间差序列。客户端装置可以根据具体PIN或口令输入的给定的时间差序列与PIN或口令输入的时间差的用户平均模式的偏离的程度来确定风险因素得分。例如，偏离程度越高，则客户端装置可以分配给该风险因素的得分越高。
上下文类别可以包括与客户端装置正在其中操作的本地上下文相关的所有风险因素。例如，在一些实施方式中，客户端装置可以包括地理定位部件(如全球定位系统(GPS)部件)，其能够提供客户端装置在任意时间处的地理位置的指示，并且客户端装置可以限定许多个地理区域(例如，归属区域、邻近区域和远程区域；或者例如，本地区域、地区区域、国家区域和外国区域)并且将不同得分与每个区域相关联，基于地理定位部件的地理定位信息来确定客户端装置位于哪个区域，以及通过获取与客户端装置在该时刻所位于的区域相关联的得分来确定地理定位风险因素的得分。在一些实施方式中，客户端装置可以适于确定本地时区，并且可以使用本地时区作为地理位置的代理物。
在一些实施方式中，客户端装置可以适于跟踪用户使用用于生成OTP的客户端装置的地理位置。一般地，用户使用用于生成OTP的客户端装置的位置的历史范围趋于显示出以下模式：一些位置的出现远多于其他位置。客户端装置可以将风险因素与客户端装置生成OTP的给定地理位置偏离用户的历史模式的程度相关联。当客户端装置即将生成新的OTP时，客户端装置可以将客户端装置的实际位置与历史位置进行比较，并且基于该比较来确定该风险因素的得分。例如，鉴于用户之前已生成OTP的过去的位置，对于用户而言实际位置越不常见，则客户端装置可以分配给该风险因素的得分越高。
在一些实施方式中，客户端装置可以向每个风险因素类别分配固定数目的位来表示该风险因素类别的得分。在一些实施方式中，被分配给每个风险因素类别的位的数目对于所有风险因素类别而言是相同的。在其他实施方式中，被分配给每个风险因素类别的位的数目可以在风险因素类别之间变化。在一些实施方式中，客户端装置可以通过串接表示各种风险因素类别的得分的位来确定风险信息位。例如，在一些实施方式中，可以给每个风险因素类别分配单个位，并且风险信息位可以包括所有这些单个位的串接。
例如，在一些实施方式中，客户端装置可以借助于数值风险因素来表示每个风险因素的得分。客户端装置可以通过添加该类别的风险因素的得分来组合相同类别的各种风险因素的数值得分，由此，每个风险因素的得分首先与该风险因素特定的加权因子相乘。然后，所得到的该类别的和可以与阈值因子进行比较，该阈值因子对于每个不同的类别可以是特定的，该比较的结果可以确定布尔值，该布尔值是该类别的总体布尔得分且可以由单个位表示。客户端装置可以通过串接表示各个类别的布尔得分值的位来确定风险信息位。换言之，风险信息位可以包括位串，其中，串中的每个位针对与特定位对应的特定风险因素类别指示属于特定风险因素类别的各种风险因素的数值得分的加权和是否超过与该特定风险因素类别相关联的具体阈值。
在一些实施方式中，风险信息位的数目限制为不多于12位。在一些实施方式中，风险信息位的数目不多于8位。在一些实施方式中，风险信息位的数目不多于4位。在一些实施方式中，风险信息位的数目为3位。
将风险信息位传递给服务器
在一些实施方式中，客户端装置可以适于将风险信息位连同生成的OTP一起或作为OTP的一部分传递给服务器以用于进一步分析。在下文中，包括风险信息位的OTP可以被称为增强型OTP。因此，增强型OTP可以被认为：一方面包括密码数据，其为与服务器共享的密码密钥与动态变量的密码组合的结果；以及另一方面包括传达风险信息位的风险信息数据。取决于上下文，术语OTP可以指代不包含任何风险信息数据的OTP、增强型OTP的不包含任何风险信息数据的部分或仅增强型OTP的简写。
在一些实施方式中，通过表示经压缩的风险因素相关信息的由位传达的信息可以保持隐蔽或者可以被掩蔽。例如，可以使用OTP的密码数据的位来对这些风险信息位进行加扰以掩蔽表示经压缩的风险因素相关信息的位的值。即，可以使用原始OTP的密码数据中的所有密码数据或一部分密码数据来掩蔽增强型OTP中的风险信息数据。
在一些实施方式中，风险信息位被附加至密码OTP位。在一些实施方式中，使用具有某些密码OTP位的布尔逻辑(例如，排他的“或”操作或其他操作)来处理风险信息位。在一些实施方式中，增强型OTP包括十进制数字串(即，10进制数字)，以及增强型OTP可以一方面包括表示密码OTP数据(即，通过与服务器共享的密码密钥和动态变量的密码组合而获得的数据)的十进制数字序列，并且另一方面可以包括以下十进制数字，所述十进制数字通过将对风险信息位进行编码的十进制数字与通过与服务器共享的密码密钥和动态变量的密码组合而获得的十进制数字相加或相减而获得，其中，以10为模实现所述相加或相减。更一般地，在一些实施方式中，增强型OTP包括N进制数字串(其中，N为大于1的整数)，并且增强型OTP一方面可以包括表示密码OTP数据(即，通过与服务器共享的密码密钥和动态变量的密码组合而获得的数据)的N进制数字序列，并且另一方面可以包括以下N进制数字，所述N进制数字通过将对风险信息位进行编码的N进制数字与通过与服务器共享的密码密钥和动态变量的密码组合而获得的某些N进制数字相加或相减而获得。
在一些实施方式中，可以保护表示如由客户端装置确定的经压缩的风险因素相关信息的位的完整性。在一些实施方式中，可以以密码的形式保护表示如由客户端装置确定的经压缩的风险因素相关信息的位的完整性。在一些实施方式中，表示经压缩的风险因素相关信息的位可以被包括在密码处理中以生成OTP。在一些实施方式中，风险信息位被包括在动态变量中。例如，在一些实施方式中，客户端装置可以使用风险信息位作为与动态变量一起的额外变量，并且客户端装置可以将动态变量和风险信息位两者与共享的密码密钥进行组合。在一些实施方式中，客户端装置可以首先将风险信息位与一些动态值(如时间值、计数值、挑战、事务数据等)进行组合以获得动态变量的值，然后，客户端装置可以将动态变量的值与共享的密码密钥以密码的形式进行组合以生成密码OTP数据。例如，在一些实施方式中，风险信息位可以被附加至动态值，并且然后，所得到的值可以与共享的密码密钥以密码的形式进行组合。例如，在一些实施方式中，可以使用通过共享的密码密钥参数化的对称加密算法(如AES)对所得到的值进行加密，或者可以将所得到的值提交给通过共享的密码密钥参数化的带密钥的散列算法(如HMAC)。在一些实施方式中，客户端装置然后可以例如如上面说明的将(表示风险信息位的)风险信息数据添加至这些密码OTP数据以获得增强型OTP。
在一些实施方式中，客户端装置可以使用客户端装置的用户输出接口来将所生成的增强型OTP呈现给用户以用于用户将增强型OTP转移至应用。例如，客户端装置可以将表示增强型OTP的数字串在客户端装置的显示器上显示给用户。可以使用访问装置如笔记本电脑或PC(个人计算机)来访问应用的用户可以从客户端装置的显示器读取所显示的增强型OTP，并且可以例如通过将增强型OTP提供至访问装置的用户输入接口(例如，通过在访问装置的键盘上输入增强型OTP的数字)而将增强型OTP提供至应用，因此，访问装置可以将由用户提供的增强型OTP转发至应用。
在一些实施方式中，应用可以使用其从用户接收的增强型OTP来决定采取仅一步的动作，诸如决定给予用户哪个授权、是否准予用户访问、是否接受由用户提交的事务等。在一些实施方式中，应用可以使用验证服务器来使接收到的增强型OTP生效。在一些实施方式中，验证服务器可以是应用的单独的实体。在一些实施方式中，验证服务器可以被包括在应用中。
服务器侧风险分析
在一些实施方式中，验证服务器可以：在接收增强型OTP时从所接收的增强型OTP中提取风险信息位；验证增强型OTP的(剩余部分的)密码有效性；以及使用从所接收的增强型OTP中提取的风险信息位来执行第二服务器侧风险分析。
在一些实施方式中，从所接收的增强型OTP中提取风险信息位可以包括：当风险信息位在客户端装置处与密码数据被组合以获得增强型OTP时，使在客户端装置处应用的操作反转以掩蔽增强型OTP。例如，在一些实施方式中，增强型OTP一方面可以包括表示增强型OTP(其可以由客户端装置通过将风险信息位、动态值与共享的密码密钥以密码的形式进行组合而获得)的密码数据的N进制数字串的串接，并且另一方面可以包括对风险信息位进行编码的掩蔽的N进制数字串，由此，客户端装置可以通过以下来掩蔽对风险信息位进行编码的N进制数字串：通过将对风险信息位进行编码的每个N进制数字与表示密码数据的N进制数字中之一来进行逐个数字的模N相加(或相减)。从增强型OTP中检索风险信息位可以包括将对风险信息位进行编码的掩蔽数字和表示密码数据的数字与前述串接进行分离。从增强型OTP中检索风险信息位还可以包括通过以下方式来解除对风险信息位进行编码的掩蔽数字的掩蔽：利用与由客户端装置在掩蔽操作中使用的密码数据的相应数字对每个掩蔽数字进行逐个数字的模N相减(或相加)。从增强型OTP中检索风险信息位还可以包括对客户端装置对风险信息位进行编码所使用的解除掩蔽的N进制数字串进行解码。
在一些实施方式中，如上面详细描述的，验证增强型OTP的密码有效性可以包括从增强型OTP中检索密码数据，并且它还可以包括从增强型OTP中检索风险信息位。在一些实施方式中，验证增强型OTP的密码有效性可以包括验证所检索的密码数据的密码有效性。在一些实施方式中，验证增强型OTP的密码有效性可以包括使用共享的密码密钥的服务器副本来执行密码操作。在一些实施方式中，验证增强型OTP的密码有效性可以包括确定假定已由客户端装置使用以生成增强型OTP的密码数据的动态变量的服务器副本。在一些实施方式中，验证增强型OTP的密码有效性可以包括将动态变量的服务器副本与共享的密码密钥的服务器副本以密码的形式进行组合。在一些实施方式中，可以使用由客户端装置使用以生成密码数据的基本上相同的对称密码算法来对动态变量的服务器副本与共享的密码密钥的服务器副本以密码的形式进行组合。在一些实施方式中，验证增强型OTP的密码有效性可以包括将所接收的增强型OTP与将动态变量的服务器副本与共享的密码密钥的服务器副本以密码的形式进行组合的结果进行比较。在一些实施方式中，验证增强型OTP的密码有效性可以包括将所检索的风险信息位和动态变量的服务器副本与共享的密码密钥的服务器副本以密码的形式进行组合。在一些实施方式中，可以使用由客户端装置使用以生成密码数据的基本上相同的对称密码算法来对所检索的风险信息位和动态变量的服务器副本与共享的密码密钥的服务器副本以密码的形式进行组合。在一些实施方式中，验证增强型OTP的密码有效性可以包括将所接收的增强型OTP与将检索的风险信息位和动态变量的服务器副本与共享的密码密钥的服务器副本以密码的形式进行组合的结果进行比较。
在一些实施方式中，在OTP的密码有效性的验证失败的任何情况下，服务器可以拒绝所接收的增强型OTP。在一些实施方式中，如果OTP的密码有效性的验证成功，则服务器可以将OTP接受为密码正确的，并且可以取决于第二风险分析的结果给增强型OTP分配质量等级。可替选地，服务器可以基于密码验证和第二风险分析的结果给增强型OTP分配风险等级。
在一些实施方式中，基于从增强型OTP中检索的风险信息位来完成第二风险分析。在一些实施方式中，基于从增强型OTP中检索到的风险信息位中的已被客户端装置编码的针对不同风险因素类别的不同得分进行第二风险分析。在一些实施方式中，风险信息位对如由客户端装置对许多个风险因素类别确定的得分进行编码，并且第二风险分析包括将在风险信息位中编码的这些得分与得分参考值进行比较。例如，在一些实施方式中，得分参考值可以包括阈值，并且在风险信息位中编码的相应得分可以与该阈值进行比较，并且如果对该风险因素类别编码的得分超过其相应的阈值，则可以对风险因素类别设置布尔标志(Boolean flag)。在一些实施方式中，得分参考值可以包括标定值，并且在风险信息位中编码的相应的得分可以与该标定值进行比较，并且可以通过将针对该风险因素类别编码的得分与相应的标定值相乘(或相除)来对风险因素类别计算数值风险估计。在一些实施方式中，第二风险分析包括对许多个风险因素类别确定布尔标志，并且使用一个或更多个布尔函数来组合这些布尔标志。在一些实施方式中，第二风险分析包括对许多个风险因素类别确定数值，并且使用算术运算来组合这些数值。在一些实施方式中，第二风险分析能够通过应用来参数化，使得例如某些风险因素类别可以取决于由应用提供的参数值在分析中被给予不同于其他风险因素类别的另外的权重。
在一些实施方式中，第二风险分析还可以涉及除从所接收的增强型OTP中检索的信息之外的其他信息。在一些实施方式中，服务器可以使用与用户相关联的信息或者与可以针对其生成增强型OTP的事务相关联的信息。在一些实施方式中，服务器可以使用与其他用户或其他事务相关的信息。例如，在一些实施方式中，服务器可以使用与可以针对被发现为欺骗性的事务而生成的增强型OTP有关的信息。例如，在一些实施方式中，如果在一组最近的欺骗性事务中，风险因素类别的得分具有异常值，则服务器可以增加该风险因素类别的权重。
在一些实施方式中，第二风险分析的结果是风险等级或质量等级，风险等级或质量等级可以被服务器分配给增强型OTP或者分配给可以与增强型OTP相关联的事务请求。在一些实施方式中，服务器分配给所接收的增强型OTP的质量等级或风险等级可以是单维的。在一些实施方式中，分配给OTP的风险等级或质量等级可以由数字表示。在一些实施方式中，该数字可以具有连续范围的数值中的任意值。在一些实施方式中，该数字可以仅具有有限集的离散值中之一。在一些实施方式中，分配给OTP的质量等级或风险等级可以是多维的。在一些实施方式中，分配给OTP的风险等级或质量等级可以由矢量表示。在一些实施方式中，矢量的分量中的至少一些可以是数字。在一些实施方式中，这些数字中的一些可以具有有限集的离散值中之一。在一些实施方式中，这些数字中的一些可以具有连续范围的数值中的任意值。
在一些实施方式中，所述应用可以基于在第二风险分析之后分配给OTP或分配给与该OTP相关联的事务的质量等级或风险等级来决定是否接受OTP。取决于分配给OTP或分配给与该OTP相关联的事务的质量等级或风险等级，所述应用可以例如决定是否准予用户访问或者接受由用户提交并且与该OTP相关联的事务。
附图说明
根据下文如附图所示的本发明的各方面的实施方式的更具体的描述，所描述的实施方式的前述以及其他特征和优点将是明显的。
图1示意性地示出了根据本发明的一方面的示例性方法。
图2示意性地示出了根据本发明的一方面的示例性系统。
具体实施方式
下面讨论了所描述的实施方式的一些实现。虽然讨论了具体的实现，但是应当理解的是，这仅出于说明的目的而进行。本领域的技术人员将认识到，在不背离本发明的精神和范围的情况下，可以使用其他部件和配置。
图1示意性地示出了根据本发明的一方面的示例性方法(100)。该方法可以包括以下步骤：在认证客户端装置处，本地地确定(110)一组风险因素的得分；在认证客户端装置处，使用这些风险因素得分来执行(120)第一客户端侧风险分析；在认证客户端装置处，将该第一客户端侧风险分析的结果概括(130)成短的风险信息位串；在认证客户端装置处，通过将与验证服务器共享的密钥和动态变量以密码的形式进行组合并且将风险信息位串与密码组合的结果合并来生成(140)一次性口令；将一次性口令发送(150)至验证服务器；在验证服务器处，从所接收的一次性口令中提取(160)风险信息位串；在验证服务器处，使用共享密钥来以密码的形式验证(170)一次性口令；在验证服务器处，使用所提取的风险信息位串来执行(180)第二风险分析；根据第二风险分析和一次性口令的密码验证的结果采取适当的动作(190)。
可以以设备形式(例如，执行风险分析的客户端设备和/或执行风险分析的主机侧设备)、系统形式(客户端侧、主机侧、客户端主机组合)和/或执行风险分析的方法来执行上述技术。
图2示意性地示出了根据本发明的一方面的示例性系统(200)。在一些实施方式中，用于保护应用与用户之间的交互的系统例如图2所示的系统(200)可以包括：应用服务器(210)，用于寄放应用的服务器部分；访问装置(230)，用于使得用户(290)能够(远程地)访问应用；认证客户端装置(240)，用于生成增强型OTP；以及验证服务器(220)，用于使增强型OTP生效并且对增强型OTP执行第二风险分析；由此，应用服务器和访问装置可以通过计算机网络(250)(其可以包括局域网、广域网、互联网及其组合)而彼此连接和通信，访问装置可以适于运行应用的客户端部分，认证客户端装置可以适于将所生成的增强型OTP呈现给用户，访问装置还可以适于将所生成的动态证书转发给应用服务器或验证服务器以用于生效；验证服务器可以适于向应用服务器用信号传递增强型OTP是否被验证为有效以及/或者适于向应用服务器传递可以被分配给增强型OTP的风险等级或质量等级。
在一些实施方式中，系统可以适于执行上面描述的用于生成增强型OTP并且使其生效的方法中的任意方法。
在一些实施方式中，验证服务器可以适于执行上面描述的用于使增强型OTP生效的方法中的任意方法。在一些实施方式中，应用服务器和验证服务器可以是相同的服务器。在一些实施方式中，应用服务器和验证服务器可以包括一个或更多个服务器计算机。在一些实施方式中，计算机网络可以包括互联网和/或无线通讯网络。类似地，计算机网络可以是局域网、广域网和/或每个包括通讯网络和/或互联网的组合。
在一些实施方式中，访问装置可以具有用于与用户本地交互的用户接口。例如，在一些实施方式中，访问装置可以具有用于接收用户输入的用户输入接口，如键盘、鼠标或触摸屏。在一些实施方式中，访问装置可以具有用于将可以包括视觉信号或听觉信号的输出呈现给用户的用户输出接口如显示器或扬声器。在一些实施方式中，访问装置可以包括PC(个人计算机)、平板计算机或智能电话。
在一些实施方式中，应用(如网上银行应用)可以包括：服务器部分，其在远程应用服务器上运行；以及客户端部分，其在用户的访问装置上运行并且用户与之交互以通过例如互联网访问应用的服务器部分。在一些实施方式中，应用可以包括基于网络的应用，并且应用服务器可以包括网络服务器。在一些实施方式中，用户可以使用用户的访问装置上的网络浏览器来访问应用服务器。在一些实施方式中，应用的客户端部分可以包括在用户的主机上的网络浏览器中运行的小应用程序(applet)(如java小应用程序)或脚本。在一些实施方式中，用户可以用智能电话来访问应用的服务器部分。然后，智能电话可以用作访问装置(230)，并且在智能电话上运行的客户端应用可以包括智能电话上的app(如网上银行app)，由此，app可以通过智能电话的用户接口与用户交互，并且通过例如互联网与应用服务器交互。
在一些实施方式中，认证客户端装置可以具有用于与用户本地交互的用户接口。例如，在一些实施方式中，认证客户端装置可以具有用于接收用户输入的用户输入接口如键盘、鼠标或触摸屏。在一些实施方式中，认证客户端装置可以具有用于将可以包括视觉信号或听觉信号的输出呈现给用户的用户输出接口如显示器或扬声器。在一些实施方式中，认证客户端装置可以包括平板计算机或智能电话。在一些实施方式中，认证客户端装置可以具有操作系统，如用于移动电话的Android版本或用于Windows Phone的Windows版本的操作系统。在一些实施方式中，认证客户端装置可以运行认证应用以用于生成增强型OTP。在一些实施方式中，认证装置可以适于执行先前描述的用于生成增强型OTP的方法中的任意方法。
已描述了多种实现。然而，应当理解的是，可以进行各种修改。例如，可以组合、删除、修改或补充一个或更多个实现的要素以形成另外的实现。因此，其他实现在所附权利要求的范围内。另外，虽然可以相对于若干实现中的仅一种实现来公开具体特征，但是这样的特征可以与如可能期望的的其他实现的一个或更多个其他特征以及针对给定或特定应用的优点进行组合。虽然上面描述了各种实施方式，但是应当理解，这些实施方式仅作为示例给出而非限制。具体地，当然不可能描述用于描述所要求保护的主题的部件或方法的每个可设想的组合，但是本领域的普通技术人员可以认识到许多另外的组合和排列是可行的。因此，本文中的教导的宽度和范围不应当限于上述示例性实施方式中的任意示例性实施方式，而是应当仅根据所附权利要求书及其等同方案来限定。

Claims (28)

1.一种用于生成增强型一次性口令的方法，包括以下步骤：
执行第一风险分析；
生成表示所述第一风险分析的结果的风险信息数据；
确定动态变量的第一值；
通过将所述动态变量的所述第一值与密码密钥以密码的形式进行组合来生成密码一次性口令数据；以及
通过将所述密码一次性口令数据与所述风险信息数据进行组合来获得所述增强型一次性口令。
2.根据权利要求1所述的方法，其中，执行所述第一风险分析包括对一个或更多个风险因素中的每个风险因素进行风险评估。
3.根据权利要求2所述的方法，其中，生成所述风险信息数据包括对所述一个或更多个风险因素的所有所述风险评估的结果进行组合。
4.根据权利要求2所述的方法，其中，所述第一风险分析包括将所述一个或更多个风险因素分组成一个或更多个风险因素类别，并且使用相应的风险因素类别的所有风险因素的所述风险评估的结果来对所述一个或更多个风险因素类别中的每个风险因素类别确定风险评估类别得分，并且其中，所述的生成所述风险信息数据包括对所述一个或更多个风险因素类别的所述风险评估类别得分进行组合。
5.根据权利要求4所述的方法，其中，每个风险评估类别得分被表示为位串，并且其中，所述的生成所述风险信息数据包括将与所述一个或更多个风险因素类别对应的各个位串的位串接成风险信息位串，并且其中，所述风险信息数据包括所述风险信息位串的表示。
6.根据权利要求4所述的方法，其中，所述第一风险分析在由用户正在操作的客户端装置上完成，并且其中，所述一个或更多个风险因素类别包括以下至少之一：
平台风险因素类别，所述平台风险因素类别对与所述客户端装置自身的特性相关的所有风险因素进行分组；
用户风险因素类别，所述用户风险因素类别对与所述用户的特性和所述用户的行为的特性相关的所有风险因素进行分组；
上下文风险因素类别，所述上下文风险因素类别对与所述客户端装置在其中操作的环境或上下文的特性相关的所有风险因素进行分组。
7.根据权利要求6所述的方法，所述一个或更多个风险因素类别还包括所述平台风险类别、所述用户风险因素类别和所述上下文风险因素类别这三个风险因素类别。
8.根据权利要求1所述的方法，其中，所述的生成所述密码一次性口令数据包括将所述风险信息数据和所述动态变量的所述第一值与密码密钥以密码的形式进行组合。
9.根据权利要求1所述的方法，其中，所述的将所述动态变量的所述第一值与所述密码密钥以密码的形式进行组合包括执行对称密码算法，所述对称密码算法使用所述动态变量的所述值并且通过所述密码密钥被参数化。
10.根据权利要求9所述的方法，其中，所述对称密码算法还使用所述风险信息数据。
11.根据权利要求1所述的方法，其中，所述动态变量是基于时间的。
12.根据权利要求1所述的方法，其中，所述动态变量是基于计数器的。
13.根据权利要求1所述的方法，其中，所述动态变量是基于挑战的。
14.根据权利要求1所述的方法，其中，所述动态变量是基于表示与所述增强型一次性口令相关联的事务请求的数据的。
15.根据权利要求1所述的方法，其中，通过将所述密码一次性口令数据与所述风险信息数据进行组合来获得所述增强型一次性口令包括：使用所述密码一次性口令数据的一部分和所述风险信息数据来生成所述风险信息数据的掩蔽表示，以及将所述密码一次性口令数据与所述风险信息数据的所述掩蔽表示进行组合。
16.一种用于使增强型一次性口令生效的方法，
其中，通过以下方式来生成所述增强型一次性口令：
执行第一风险分析，
生成表示所述第一风险分析的结果的风险信息数据，
确定动态变量的第一值，
通过将所述动态变量的所述第一值与密码密钥以密码的形式进行组合来生成密码一次性口令数据，以及
通过将所述密码一次性口令数据与所述风险信息数据进行组合来获得所述增强型一次性口令；
所述方法包括以下步骤：
从所述增强型一次性口令中检索所述密码数据；
从所述增强型一次性口令中检索所述风险信息数据；
以密码的形式验证所检索的密码数据；
使用所检索的风险信息数据来执行第二风险分析；以及
使用所检索的密码数据的所述密码验证和所述第二风险分析的结果来确定所述增强型一次性口令的总体风险等级。
17.根据权利要求16所述的方法，其中，所述增强型一次性口令包括所述风险信息数据的掩蔽表示，并且其中，检索所述风险信息数据包括使用所检索的密码数据的各部分来解除所述风险信息数据的所述掩蔽表示的掩蔽。
18.根据权利要求16所述的方法，其中，所述的以密码的形式验证所检索的密码数据包括：
确定所述动态变量的第二值；以及
使用对称密码算法将所述第二值与所述密码密钥的副本以密码的形式进行组合，所述对称密码算法使用所述第二值并且通过所述密码密钥的所述副本被参数化。
19.根据权利要求18所述的方法，其中，所述对称密码算法还使用所检索的风险信息数据。
20.根据权利要求18所述的方法，其中，所述的以密码的形式验证所检索的密码数据包括将所检索的密码数据与将所述第二值与所述密码密钥的所述副本以密码的形式进行组合的结果进行比较。
21.一种用于保护用户与应用的交互的方法，所述用户与访问装置进行交互以访问所述应用，并且还与所述用户相关联的客户端装置进行交互，所述方法包括以下步骤：
在所述客户端装置处，执行第一风险分析；
在所述客户端装置处，生成表示所述第一风险分析的结果的风险信息数据；
在所述客户端装置处，确定动态变量的第一值；
在所述客户端装置处，通过将所述动态变量的所述第一值与密码密钥以密码的形式进行组合来生成密码一次性口令数据；
在所述客户端装置处，通过将所述密码一次性口令数据与所述风险信息数据进行组合来生成增强型一次性口令；
在所述客户端装置处，将所述增强型一次性口令呈现给所述用户；
在所述访问装置处，接收被呈现给所述用户的所述增强型一次性口令；
从所述增强型一次性口令中检索所述密码数据；
从所述增强型一次性口令中检索所述风险信息数据；
以密码的形式验证所检索的密码数据；
使用所检索的风险信息数据来执行第二风险分析；
使用对所检索的密码数据的所述密码验证和所述第二风险分析的结果来确定所述增强型一次性口令的总体风险等级；以及
根据所述总体风险等级的值来决定是否执行特定动作。
22.根据权利要求21所述的方法，其中，所述第二风险分析还包括使用与所述用户和所述应用的其他交互相关的信息。
23.根据权利要求21所述的方法，其中，所述第二风险分析还包括使用与除了所述用户之外的其他用户和所述应用的其他交互相关的信息。
24.根据权利要求21所述的方法，其中，所述动作包括准予对所述用户的访问。
25.根据权利要求21所述的方法，其中，所述动作包括准予对所述用户的授权。
26.根据权利要求21所述的方法，其中，所述动作包括执行由所述用户请求的事务。
27.一种用于保护用户与应用之间的交互的系统，包括：
客户端装置，由所述用户操作并且包括用户输出接口；
访问装置，包括用户输入接口，与所述用户交互并且使得所述用户能够与所述应用交互；以及
应用服务器，寄放所述应用，并且如果所述应用服务器和所述访问装置包括物理上不同的计算机，则通过计算机网络与所述访问装置进行通信；
其中，所述客户端装置适于：
执行第一风险分析；
生成表示所述第一风险分析的结果的风险信息数据；
确定动态变量的第一值；
通过将所述动态变量的所述第一值与存储在所述客户端装置上的密码密钥以密码的形式进行组合来生成密码一次性口令数据；
通过将所述密码一次性口令数据与所述风险信息数据进行组合来生成增强型一次性口令；以及
使用所述用户输出接口将所述增强型一次性口令呈现给所述用户；
其中，所述访问装置适于：
使用所述用户输入接口来接收通过所述客户端装置呈现给所述用户的所述增强型一次性口令；以及
其中，所述应用服务器适于：
从所述增强型一次性口令中检索所述密码数据；
从所述增强型一次性口令中检索所述风险信息数据；
以密码的形式验证所检索的密码数据；
使用所检索的风险信息数据来执行第二风险分析；
使用对所检索的密码数据的所述密码验证和所述第二风险分析的结果来确定所述增强型一次性口令的总体风险等级；以及
根据所述总体风险等级的值来决定是否执行特定动作。
28.根据权利要求27所述的系统，其中，所述客户端装置包括个人通讯装置。
CN201480076721.9A 2013-12-31 2014-12-30 用于提供基于客户端侧得分的认证的方法和设备 Pending CN106462706A (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US201361922516P 2013-12-31 2013-12-31
US61/922,516 2013-12-31
PCT/US2014/072818 WO2015103302A1 (en) 2013-12-31 2014-12-30 A method and apparatus for providing client-side score-based authentication

Publications (1)

Publication Number Publication Date
CN106462706A true CN106462706A (zh) 2017-02-22

Family

ID=52432926

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201480076721.9A Pending CN106462706A (zh) 2013-12-31 2014-12-30 用于提供基于客户端侧得分的认证的方法和设备

Country Status (5)

Country Link
US (2) US9800574B2 (zh)
EP (1) EP3090377B1 (zh)
JP (1) JP6702874B2 (zh)
CN (1) CN106462706A (zh)
WO (1) WO2015103302A1 (zh)

Families Citing this family (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9525753B2 (en) 2012-12-12 2016-12-20 Netspective Communications Llc Integration of devices through a social networking platform
US11093988B2 (en) * 2015-02-03 2021-08-17 Fair Isaac Corporation Biometric measures profiling analytics
US11074325B1 (en) * 2016-11-09 2021-07-27 Wells Fargo Bank, N.A. Systems and methods for dynamic bio-behavioral authentication
KR102369228B1 (ko) * 2017-05-25 2022-02-28 삼성에스디에스 주식회사 리스크 기반 인증을 위한 리스크 분석 장치 및 방법
US10218697B2 (en) * 2017-06-09 2019-02-26 Lookout, Inc. Use of device risk evaluation to manage access to services
US11455641B1 (en) * 2018-03-11 2022-09-27 Secureauth Corporation System and method to identify user and device behavior abnormalities to continuously measure transaction risk
US11017100B2 (en) * 2018-08-03 2021-05-25 Verizon Patent And Licensing Inc. Identity fraud risk engine platform
US11032271B2 (en) * 2019-02-01 2021-06-08 Rsa Security Llc Authentication based on shared secret seed updates for one-time passcode generation
US11223473B2 (en) 2019-02-01 2022-01-11 EMC IP Holding Company LLC Client-driven shared secret updates for client authentication
FR3104760B1 (fr) * 2019-12-13 2023-05-26 Ingenico Group Procede, serveur et systeme d’authentification de transaction utilisant deux canaux de communication
US11115407B2 (en) 2020-01-09 2021-09-07 Bank Of America Corporation Client side OTP generation method
US11178138B2 (en) 2020-01-09 2021-11-16 Bank Of America Corporation Client side OTP generation method
US11750643B1 (en) * 2022-10-11 2023-09-05 Second Sight Data Discovery, Inc. Apparatus and method for determining a recommended cyber-attack risk remediation action
US11741217B1 (en) * 2022-11-09 2023-08-29 Ten Root Cyber Security Ltd. Systems and methods for managing multiple valid one time password (OTP) for a single identity

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2004051585A2 (en) * 2002-11-27 2004-06-17 Rsa Security Inc Identity authentication system and method
US20090235339A1 (en) * 2008-03-11 2009-09-17 Vasco Data Security, Inc. Strong authentication token generating one-time passwords and signatures upon server credential verification
CN102739659A (zh) * 2012-06-16 2012-10-17 华南师范大学 一种防重放攻击的认证方法
US20130097701A1 (en) * 2011-10-18 2013-04-18 Mcafee, Inc. User behavioral risk assessment

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010097467A (ja) * 2008-10-17 2010-04-30 Nomura Research Institute Ltd リスクベース認証システムおよびリスクベース認証方法
US10282702B2 (en) * 2010-01-04 2019-05-07 Bank Of America Corporation Dynamic employee security risk scoring
JP5839970B2 (ja) * 2011-12-05 2016-01-06 インターナショナル・ビジネス・マシーンズ・コーポレーションＩｎｔｅｒｎａｔｉｏｎａｌ Ｂｕｓｉｎｅｓｓ Ｍａｃｈｉｎｅｓ Ｃｏｒｐｏｒａｔｉｏｎ イベント系列のリスク評価値を算出する方法、装置及びコンピュータプログラム
US8819769B1 (en) * 2012-03-30 2014-08-26 Emc Corporation Managing user access with mobile device posture
US9240986B1 (en) * 2012-09-27 2016-01-19 Emc Corporation Managing security and wireless signal detection

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2004051585A2 (en) * 2002-11-27 2004-06-17 Rsa Security Inc Identity authentication system and method
US20090235339A1 (en) * 2008-03-11 2009-09-17 Vasco Data Security, Inc. Strong authentication token generating one-time passwords and signatures upon server credential verification
US20130097701A1 (en) * 2011-10-18 2013-04-18 Mcafee, Inc. User behavioral risk assessment
CN102739659A (zh) * 2012-06-16 2012-10-17 华南师范大学 一种防重放攻击的认证方法

Also Published As

Publication number Publication date
US20150188913A1 (en) 2015-07-02
US20180316661A1 (en) 2018-11-01
EP3090377B1 (en) 2020-01-22
JP2017507552A (ja) 2017-03-16
JP6702874B2 (ja) 2020-06-03
EP3090377A1 (en) 2016-11-09
WO2015103302A1 (en) 2015-07-09
US9800574B2 (en) 2017-10-24

Similar Documents

Publication Publication Date Title
CN106462706A (zh) 用于提供基于客户端侧得分的认证的方法和设备
KR102044748B1 (ko) 개인정보 보관 및 인증정보 관리가 가능한 블록체인 전자지갑 제공 시스템
US10068076B1 (en) Behavioral authentication system using a behavior server for authentication of multiple users based on their behavior
RU2718226C2 (ru) Системы и способы безопасного обращения с биометрическими данными
US20190190723A1 (en) Authentication system and method, and user equipment, authentication server, and service server for performing same method
JP4954979B2 (ja) 詐欺監視、検出、および階層状ユーザ認証のためのシステムおよび方法
CN102638447B (zh) 基于用户自主产生的动态口令对系统登录的方法和装置
CN110537195A (zh) 使用基于区块链的通证id许可卡使用的方法及使用其的服务器
CN112651841B (zh) 线上业务办理方法、装置、服务器及计算机可读存储介质
CA3076586A1 (en) System and method for authorization token generation and transaction validation
US11588804B2 (en) Providing verified claims of user identity
CN108134791A (zh) 一种数据中心综合管理系统登录验证方法
EP3681126B1 (en) Systems and methods for securely verifying a subset of personally identifiable information
US20180013758A1 (en) Method and system for dynamic password based user authentication and password management
EP3982591A1 (en) Information processing device and information processing method
CN108351924A (zh) 电子安全容器
CN106911722A (zh) 一种智能密码签名身份鉴别双向认证方法及系统
CN110298328B (zh) 测试数据形成方法、测试数据形成装置、电子设备和介质
Vaish et al. Review Report on User Authentication Methods in Cyber Security
WO2023036143A1 (zh) 去中心化零信任身份核实认证系统及方法
CN107679865B (zh) 一种基于触压面积的身份验证方法和装置
US10491391B1 (en) Feedback-based data security
CN114567451B (zh) 身份核验方法、装置、计算机设备和存储介质
Guillén-Gámez et al. Facial Authentication as A Possible Solution to the Challenges in User’s Security and Privacy in Web Applications
Liou et al. A study of biometric feature for a recall-based behavioral graphical mobile authentication

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
AD01 Patent right deemed abandoned
AD01 Patent right deemed abandoned

Effective date of abandoning: 20210604