CN107690788B - 识别和/或认证系统和方法 - Google Patents

识别和/或认证系统和方法 Download PDF

Info

Publication number
CN107690788B
CN107690788B CN201680025392.4A CN201680025392A CN107690788B CN 107690788 B CN107690788 B CN 107690788B CN 201680025392 A CN201680025392 A CN 201680025392A CN 107690788 B CN107690788 B CN 107690788B
Authority
CN
China
Prior art keywords
user
ped
authentication
recipient system
otp
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201680025392.4A
Other languages
English (en)
Other versions
CN107690788A (zh
Inventor
比约恩·皮尔维茨
达妮埃莱·万塔吉亚托
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Da NiailaiWantajiyatuo
Bi YueenPierweici
Original Assignee
Da NiailaiWantajiyatuo
Bi YueenPierweici
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Da NiailaiWantajiyatuo, Bi YueenPierweici filed Critical Da NiailaiWantajiyatuo
Publication of CN107690788A publication Critical patent/CN107690788A/zh
Application granted granted Critical
Publication of CN107690788B publication Critical patent/CN107690788B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H04L9/3228—One-time or temporary data, i.e. information which is sent for every authentication or authorization, e.g. one-time-password, one-time-token or one-time-key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H04L63/0838—Network architectures or network communication protocols for network security for authentication of entities using passwords using one-time-passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1475—Passive attacks, e.g. eavesdropping or listening without modification of the traffic monitored
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/18—Network architectures or network communication protocols for network security using different networks or channels, e.g. using out of band channels
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/082—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00 applying multi-factor authentication

Abstract

本发明涉及一种允许具有个人电子设备(PED)的用户认证、注册、和/或登录到接收方系统的认证方法。一旦与接收方系统进行交互，向用户提示其唯一令牌ID。接收方系统产生一次性密码(OTP)并将其与令牌ID一起发送到认证服务器，并且另外可以请求用户的信息。认证服务器向用户的PED发送包括OTP的认证请求，该认证请求提示用户决定是否继续进行。用户可以决定继续进行认证，一旦如此PED将OTP和由接收方系统与PED之间的先前握手所创建的随机密码(存储在PED中的(RP))发送到接收方系统，从而接收方系统通过对所产生的且所接收到的OTP与所存储的且所接收到的RP进行比较来对用户进行认证。如果请求用户信息，则将它与认证数据(即OTP和RP)一起提供给接收方系统。

Description

识别和/或认证系统和方法
技术领域
本发明涉及用于利用个人电子设备来执行认证的系统和方法。
背景技术
大多数网站和购买亭需要用户注册并登录以便使用网站，并且进行交易，更改帐户信息等。许多网站试图对访客做出简档以便识别他们或其人口，从而因此能够定制显示消息。
用于识别用户的若干方法是已知的，这些方法通常落在间接或直接方法之中。间接方法例如包括写入和读取cookie，跟踪互联网协议(IP)地址等等。这些间接方法是相对无创的，但比直接方法的准确度要低得多。
识别用户的直接方法需要对用户的具体主动识别，其涉及两个步骤：识别和认证。识别是基本回答问题“你是谁？”的识别步骤。例如，想要访问诸如电子商务网站这样的在线系统的用户例如必须能够典型地通过提交诸如电子邮件地址、用户ID、会员号码等等这样的唯一个人标识符来注册为新的用户或登录为现有用户。
认证是基本上回答问题：“你怎么能证明你真的是你说的你是谁？”的验证步骤。典型地网站请求明显只能被用户和网站所知的密码、PIN码等。高级认证方法利用诸如指纹、虹膜特征等这样的生物特征数据。
该系统传统上依赖于被保持为秘密并且难以猜测的认证信息。此外，用户经常被告知在多个网站上不要使用相同密码。然而，这样的要求很难强制，并且因此许多懒惰的人们会在多个网站上使用相同的易于猜测的密码，这致使其信息在所有这些网站上的安全性降低。
这种典型的识别和认证系统的一些缺点包括：
1)诸如例如电子商务网站这样的在这里被称为接收方系统的这样的网站(用户的目标网站)必须以适当的安全措施来保护用户的个人信息。这些信息的仓库通常是黑客攻击的目标以为了欺骗性地获得诸如姓名、地址、信用卡号等这样的大量个人信息，
2)用户必须产生、仔细存储、并且定期更新任何这种接收方系统的密码，最好是对于他希望访问的每个网站总是具有唯一的密码。这需要极好且安全的归档系统或非凡的存储器。
3)为了在这样的网站和接收方系统上首次注册，用户必须传送足够的个人信息以在网站上进行他所期望的业务，例如，希望购买物品并将它递送到其家庭住址的电子商务网站用户必须传达诸如姓名、地址、电话号码、电子邮件地址、信用卡信息等这样的他的所有通用信息。对于每个网站必须重新输入这些数据，这是耗时且易于输入错误的。
4)如果诸如他的地址或电子邮件地址这样的用户信息发生变化，则用户必须在每个他希望与之进行未来业务的网站上更新这些信息。这是耗时的，并且通常用户不记得他是否更新了特定网站上的信息(诸如例如他的送货地址)。这可导致用户的货物被错误地递送到旧地址。
5)存储多个用户的个人信息的接收方系统通常会具有其许多用户的信息已经过时这样的挑战，这使大量邮件或电子邮件营销效率较低且效果较差。
对这些缺点中的一些的一个部分解决方案是所谓的“单点登录”方式，其基于主系统(例如诸如Facebook，Linked-ln，Twitter等这样的社交网络平台)上的唯一用户帐户。在这种单点登录系统中，为了登录到接收方系统以处理某种业务，例如，用户必须首先通过接收方系统而登录主系统。一旦用户被主系统识别和认证，则主系统与接收方系统共享某些数据，并且接收方系统与用户建立用户会话。
然而，这样的单点登录系统也具有一些缺点，诸如：
1)必须向主系统通知用户的个人信息，并且用户可能不希望这种主系统具有这样的个人信息；
2)主系统了解用户访问并与其交易业务的所有接收方系统；
3)接收方系统必须与主体系统具有信任关系；
4)用户必须信任主系统和接收方系统，这两者妥当的分享用户个人数据正在进行中。
5)典型地是社交网络平台的主系统了解用户的朋友或联系人也常去的接收方系统，这在所有主系统的用户之间引起额外的隐私和信任问题；并且
6)接收方系统上的用户的登录ID和密码变得更有价值，并且因此成为更有吸引力的黑客目标，其中用户通过主系统访问每个接收方系统，这需要增加安全性并且在如果这样的登录凭据被泄露的情况下导致更大的风险。
7)通过连接到主系统上，用户创建单点故障。如果主系统的登录数据丢失或受损，则与主系统的登录ID相关联的所有接收方系统的登录ID也丢失或受损。
对于仅需要进行交易确认的认证应用也出现类似问题，诸如在金融运作、进入建筑物，机器或车辆、车辆或任何装备的租赁等等中。
因此，需要一种用于降低在接收方网站保护用户信息的负担的系统，从而降低这些接收方系统的开销成本。
发明内容
因而，根据上述缺点，本发明的目的是提供一种能够进行可靠认证而无需由用户为相应接收方系统提供单独的认证信息的系统。
这是通过独立权利要求的特征来实现的。
本发明的另外特别有利的实施例是由从属权利要求的特征提供的。
本发明可以减轻用户必须记住多个、唯一且复杂的密码的负担，其中他希望对每个接收方系统使用一个。可以进一步消除用户在每个网站输入他的个人信息的需要并且更新他所使用的所有网站上的他的信息也将被简单化。此外，这导致每个用户的个人信息在任何给定接收方法系统中是更当前的。
本发明的具体方法是通过产生两种不同的随机码(一个通过认证服务器提供给PED并且另一个通过接收方系统直接提供给PED)来在接收方系统处提供认证。当PED被用户授权时，它将这两个随机码提供给接收方系统，接收方系统用于检查其真实性并且如果肯定的话，则确认对用户的认证。
根据本发明的实施例，提供了一种用于允许具有个人电子设备PED的用户通过网络认证、注册、和/或登录接收方系统的认证系统，该系统包括：接收方系统，该接收方系统被配置为：接收来自用户的唯一令牌ID；将令牌ID发送到认证服务器并产生一次性密码OTP；将该令牌ID与OTP一起发送到认证服务器；作为对接收方系统与PED之间的最终握手的响应(即响应先前成功的认证)，产生并存储随机密码RP；直接从PED接收RP和OTP(并且在一些实施例中，从而用于识别用户的用户数据)；通过对所产生的OTP与所接收到的OTP以及所产生的RP与所接收到的RP进行比较来对用户进行认证(并且在一些实施例中，如果认证成功，则还随后使用户注册并登录到接收方系统)。此外，该认证系统包括通过网络与PED和接收方系统进行通信的认证服务器，该认证服务器被配置为：接收来自接收方系统的用户的令牌ID和OTP；并且向用户的PED发送认证请求以决定用户是否在接收方系统处继续进行认证，该请求包括OTP。此外，该认证系统包括PED，该PED被配置为：存储在先前握手中从接收方系统所接收到的随机密码RP；提示用户决定是否在接收方系统处继续进行认证；并且如果用户授权，则将RP和OTP发送到接收方系统。
应当注意的是认证服务器可以基于用户的PED的唯一标识符和/或一些随机分量和/或散列函数向用户分配令牌ID。唯一标识符可以是例如电话号码、UUID号码和/或MAC地址、或者任何其它标识符。
可能会响应用户的交易请求而向用户(或用户PED)提示他的唯一令牌ID。然而，用户的令牌ID还可以由接收方系统一次接收并与其它用户的标识符相关联地存储在那里。
PED可以将用户数据存储在可对其访问的存储器中并且被配置成从存储器检索用户数据并且在如果用户授权的情况下则将它们提供给接收方系统。这提供了用户数据不存储在认证服务器或除用户的PED之外的任何其它地方这样的优点。然而，应当注意的是用户数据的存储和提供仅是本发明的非限制性实施例之一。
根据本发明的另一个实施例，提供了一种用于允许具有个人电子设备PED的用户认证、注册、和/或登录接收方系统的认证方法，该方法包括步骤：a)接收方系统接收用户的唯一令牌ID；b)一旦接收到用户对认证的请求，接收方系统产生一次性密码OTP并将令牌ID和OTP传递到认证服务器(并且在一些实施例中，对用户存储在PED中的某些个人数据的传输的请求)；c)认证服务器向用户的PED发送包括OTP的认证请求，该认证请求提示用户以决定是否在接收方系统处继续进行认证(并且在一些实施例中，批准对用户存储在PED中的某些个人数据的传输)；d)PED使得用户决定继续进行认证(并且在一些实施例中，继续对用户存储在PED中的某些个人数据的传输)；d)PED将所存储的从认证服务器所接收到的随机密码、RP、以及OTP(并且在一些实施例中，用户存储在PED中的某些个人数据)发送到接收方系统；e)接收方系统直接从PED接收RP和OTP(并且在一些实施例中，用户存储在PED中的某些个人数据)；以及f)接收方系统通过对所产生的OTP与所接收到的OTP以及所存储的RP与所接收到的RP进行比较来对用户进行认证(并且在一些实施例中，如果认证成功，则还随后使用户注册并登录到接收方系统)。
按照上述系统，还提供了相应部件装置和方法。尤其是，提供了一种用于允许具有个人电子设备PED的用户认证、注册、和/或登录接收方系统的认证方法，该方法在接收方系统上执行并且包括步骤：一旦接收到来自用户的请求，接收来自用户的他的唯一令牌ID(其可执行一次并且此后将令牌ID存储在接收方系统中，或者接收方系统可以在每个认证发生时提示用户输入他的令牌ID，以及在一些实施例中，对用户存储在PED中的某些个人数据的传输的请求)；一旦接收到用户的令牌ID，产生一次性密码OTP(并且在一些实施例中，对由用户存储在PED中的某些个人数据的传输的请求)并且将用户输入的令牌ID和OTP(并且在一些实施例中，对用户存储在PED中的某些个人数据的传输的请求)传递到认证服务器；从PED接收RP(前提是接收方系统与PED之间的先前握手已经发生)和OTP(以及在一些实施例中，用于从而识别用户的用户数据)；并且通过对所产生的OTP与所接收到的OTP以及所存储的RP与所接收到的RP进行比较来对用户进行认证(并且可选地，如果认证成功，则随后使用户注册并登录到接收方系统中)。
类似地，提供这样一种接收方系统，该接收方系统具有用于执行将在接收方系统上执行的上述认证方法的装置。这些装置可以是用于与用于分别存储OTP和RP的存储器装置一起实现这些步骤的处理器。然而，应该注意的是本发明并不局限于具有用于执行上述步骤的单个处理器的接收方系统。而是，接收方系统可以是分布式的以便单独处理器执行例如与和用户的通信(令牌ID提示和接收)有联系的任务以及与认证以及从PED接收数据和密码有联系的任务。任何其它的任务分配也是可能的。一个或多个处理器可以是包括通用的、可编程的、或者专用硬件的任何处理设备。
类似地，提供一种用于允许具有个人电子设备PED的用户注册和/或登录到接收方系统的认证方法，该方法在PED上执行并且包括步骤：接收来自认证服务器的对包括OTP的认证的请求(以及在一些实施例中，对用户存储在PED中的某些个人数据的传输的请求)；提示用户以确认认证请求，并且在一些实施例中，确认他是否授权PED以向接收方系统提供所请求的用户数据；如果用户确认了认证请求并且授权PED这样做，则将对认证请求的确认与从认证服务器所接收到的OTP以及所存储的RP一起(以及在一些实施例中，所请求的用户数据)发送到接收方系统。
还提供了其具有用于执行上述步骤的装置的相应PED装置。该装置可以是一个或多个处理器以及具有用于存储RP和用户数据的在逻辑上或物理上分离的存储器部分的相应存储器。
还提供了一种用于存储下述指令集的计算机可读存储介质，所述指令集当由至少一个处理器执行时使得至少一个处理器执行包括上述方法的步骤的操作。应当注意的是计算机可读存储介质也可是分布式的，即在接收方系统中包括存贮器并且在认证服务器中包括用户的PED。
附图说明
从以下结合附图所给出的描述和优选实施例将显而易见地得知本发明的上述和其它目的及特征，在附图中：
图1是用于对用户和他的个人电子设备(PED)、接收方系统、认证服务器(所有通过诸如因特网相互联网)进行说明的网络图；
图2是在用户的PED上运行的移动应用的示例性界面屏幕；
图3是用于向用户提示用户的唯一令牌ID的接收方系统为的示例性界面屏幕；
图4是响应在图3的界面屏幕中提交令牌ID而示出了PED从认证服务器所接收到的任何认证请求的移动应用的示例性界面屏幕；
图5是响应接收方系统的认证请求而提示用户采取动作的移动应用的示例性界面屏幕；
图6是示出了接收方系统正在等待用户的认证的接收方系统的示例性界面屏幕；
图7是示出了用户已被授权并登录到接收方系统的接收方系统的示例性界面屏幕；
图8是示出了认证请求的历史的移动应用的示例性界面屏幕；
图9是示出了用户个人信息的匿名子集的移动应用的示例性界面屏幕；
图10是示出了用户个人信息的个人子集的移动应用的示例性界面屏幕；
图11是示出了用户个人信息的经济子集的移动应用的示例性界面屏幕；
图12是示出了用户的PED的唯一PED ID的移动应用的示例性界面屏幕；
图13是用于对双因素认证进行说明的流程图；并且
图14是用于对三因素认证进行说明的流程图。
具体实施方式
下面对本发明的说明性实施例进行说明。以下说明提供了具体细节以透彻理解这些实施例并且实现对这些实施例的描述。本领域技术人员将理解的是可以在没有这些细节的情况下实施本发明。在其它情况下，众所周知的结构和功能未被详细地示出或描述以避免不必要地使对实施例的描述变得难以理解。
除非上下文另有明确要求，否则在整个说明书和权利要求书中，词语“包括(comprise)”、“包括(comprising)”等将以包容性的意义来解释，而不是以排他或穷尽的意义来解释；也就是说，以“包括但不限于”的意义来解释。使用单数或复数的词也分别包括复数或单数。另外，词“在这里”、“之上”、“之下”、以及类似含义的词当在本申请中使用时应将本申请作为一个整体而不是本申请的任何特定部分引用。当就两个或多个项的列表而言权利要求使用词“或(or)”时，该词涵盖对该词的以下所有解释：列表中的任何项、列表中的所有项、以及列表中项的任何组合。当词“每个(each)”用于指先前作为数目上的至少一个被引入时，词“每个(each)”并不一定意味着多个要素，而是也可是指单数要素。
图1说明了由下述计算机实施的认证方法10使用的网络结构，所述计算机实施的认证方法10用于允许具有诸如移动电话、膝上型计算机、平板计算机等这样的个人电子设备30的用户20利用诸如信息亭、ATM、远程工作站、计算机这样的另一设备或者甚至在同一个人电子设备30上注册和/或登录到诸如电子商务网站这样的接收方系统40。该方法包括以下详细说明的步骤。
首先，提供能够通过网络15与个人电子设备30(PED 30)和接收方系统40进行通信的认证服务器50。例如(图1)，这种认证服务器50可以与因特网以及用户20的PED 30和接收方系统40相连。例如，用户20可能试图从电子商务亭40购买礼品卡。
在能够使用认证方法10之前，用户20必须在认证服务器50上建立帐户并且提供仅存储在PED 30上(诸如仅存储在PED 30的第一非暂时性计算机可读存储介质160或他处上而不是存储在认证服务器50上)的用户20的个人信息60。例如，认证服务器50诸如通过唯一PED ID 80(图12)或其一些功能来唯一地识别用户的个人电子设备50。认证服务器50通过例如运行在PED30上的移动应用35与PED 30进行通信，这种移动应用35由用户20从认证服务器50或他处下载到PED 30。移动应用35优选地通过加密连接将唯一的PED ID 80传递到认证服务器50。或者，PED30可以通过SMS文本消息、聊天应用、电子邮件等与认证服务器50进行通信。将用户20的个人信息60存储在PED 30上，或者通过PED 30将其优选地存储在第一非暂时性计算机可读存储介质160上，并且仅由其可访问。移动应用35优选地与认证服务器50进行交互以建立用户帐户，由此用户20不需要直接与认证服务器50进行交互。
在一个实施例中，利用加密密钥130对个人数据60进行加密，以便它变为加密的个人信息140。此后利用认证服务器50所存储的加密密钥130将加密的个人信息140存储在PED30或非暂时性计算机可读存储介质160上，优选地存储在第二非暂时性计算机可读存储介质170上。
认证方法10为用户20建立唯一的令牌ID 70，该令牌ID 70优选地易于记忆且易于键入。令牌ID 70优选地是由认证服务器50建立的并由移动应用35存储在PED 30上。令牌ID70可以基于唯一的PED ID 80，或者基于唯一的PED ID 80与认证服务器50所产生的随机令牌密钥150的组合，以便如果用户20认为他的令牌ID 70例如已经被欺诈性地使用，则他可以随意重置令牌ID 70。
在与接收方系统40进行交互时，向用户20提示他的令牌ID 70(图3)。如果用户20不记得他的令牌ID70，则他可激活他的PED 30上的移动应用35，该移动应用35显示在图示中例如被称为“Smartoken”的令牌ID 70(图2)。如本领域已知的，移动应用35还可以是利用生物识别技术所保护的密码或者利用生物识别技术进行保护，以降低在如果用户的PED 30例如丢失或被盗的情况下欺诈的机会。
一旦接收到用户的令牌ID70，接收方系统40与认证服务器50进行通信以参考用户的令牌ID 70(图6)来请求来自PED 30的登录或注册信息。软件应用或模块驻留在接收方系统40上以向接收方系统的处理器提供用于执行方法10的指令。
一旦接收到来自接收方系统40的信息请求，认证服务器50向用户的PED30发送认证请求85，该认证请求85用于向用户20提示以决定是否在接收方系统40处继续进行认证，并且如果是的话，则优选地选择PED 30被授权以提交给接收方系统40的用户个人信息60的子集90。认证服务器50将诸如接收方系统40的IP地址和端口等这样的接收方系统40的位置或标识信息发送到PED 30，以便PED 30知道如何或在何处将用户的个人信息60的子集90发送到接收方系统40。
如果用户20决定不继续进行认证，诸如如果他进行交易的想法改变了，或者例如如果恶意的第三方在接收方系统40上欺骗性地使用用户令牌ID 70，则用户拒绝将个人信息60发送到接收方系统40。接收方系统40最终停止等待个人信息60并取消会话，返回到默认的等待主屏幕等。
如果用户20决定继续进行认证，则用户20选择用户个人信息60的子集90以将其发送到接收方系统40并指示PED 30继续进行(图5)。PED30从第一非暂时性计算机可读存储介质160检索个人信息60的子集90并且优选地通过加密连接将个人信息60的子集90发送到接收方系统40。在一个实施例中，将用户的个人信息60分成诸如匿名子集100(图9)、个人子集110(图10)、以及经济子集120(图11)这样的若干不同的数据集。因而，用户20可决定何时由认证服务器50提示将个人数据60的哪个子集发送到接收方系统40(图5和图9至图11)。匿名子集100例如可以包括用户20的非标识信息。个人子集110可以包括标识用户20的个人信息60(诸如他的姓名、地址、电话号码、电子邮件地址、社交媒体ID等)的联系方式。经济子集120可以包括诸如姓名、帐单地址、信用卡信息(诸如信用卡号码、到期日、CSV代码等)这样的用于进行金融交易的用户20的经济个人信息60。
接收方系统40接收个人信息60的子集90并对用户20进行识别和/或认证，从而建立用户会话。用户20随后注册并登录到接收方系统40(图7)。在用户20执行交易之后，在预置的不活动时间之后，或者在用户20公开注销了接收方系统40之后，会话结束并且用户20将不得不重复上述处理以重新登录到接收方系统40。
根据本发明的实施例，认证服务器50存储认证密钥信息，但不存储与用户有关的数据。例如，认证服务器存储用户的令牌ID 70和/或用于对个人数据进行解密的密钥，但不存储用户的个人信息60。用户的个人信息60仅存储在PED30中，例如存储在包含在PED 30之内的计算机可读介质或者诸如存储卡或者具有可通过蓝牙或近场通信(NFC)或任何其它手段与PED 30相连的存储器的设备这样的可由PED 30读取的外部计算机可读介质中。密钥和数据信息的分离提供了通过将它们仅保持在用户控制下的PED 30上来保护个人数据这样的更好优点。
有利地，另外用随机码(例如在每次使用之后变化的一次随机码)来标识用户所使用的设备。因此，接收方系统40被配置为产生随机码。该配置可以是例如通过插件来实现的。
当用户想要登录到接收方系统40并插入他自己的用户令牌ID70时，该插件产生唯一的随机码(RC)并将该码而不是用户的令牌ID70发送到认证服务器50或者除了用户的令牌ID 70之外还将该码发送到认证服务器50。用户认证服务器50此后将所产生的随机码RC转发给PED 30。
例如通过将用户的令牌ID 70和RC从接收方系统40发送到认证服务器50以便认证服务器将RC转发到与相应令牌ID相关联的PED，可以确保将RC转发到正确的PED。
如果用户指示PED发送数据，则PED将数据与RC一起发送到接收方系统40。接收方系统此后可以验证发送RC的设备是否由利用用户令牌ID 70登录的同一个人拥有，因为没有其他人可以知道由接收方系统40所创建的随机码。
这在图13中进行说明。因此，在步骤1中，用户将其令牌ID 70输入到接收方系统(远程系统)的界面中。该界面可以是例如通过与因特网相连的用户浏览器所访问的web界面。然而，本发明不限于此，并且界面还可以是由app等等所提供的界面。通过用户界面，接收方系统将包括令牌ID的认证请求与随机的一次密码(OTP)一起发送到认证服务器(参见图13中的步骤2)。例如，令牌ID可以是8位代码，其中数字可以是十六进制数。然而，令牌ID还可以具有任何其它格式。可以随机为会话产生OTP密码，即OTP可以由接收方系统一次产生并且在会话期间保持活动，即用户利用他的令牌ID登录到系统中。如图13中的步骤3所示，认证服务器检查令牌ID并且将对认证的请求与随机OTP码一起传送到PED。在步骤4中通过向接收方系统发送存储在PED中的用户数据以及随机OTP，PED提示用户确认其对接收方系统的真实性。接收方系统检查OTP，接收用户数据，并且使用户登录。
图14说明了3因素认证。可以看出，步骤1至步骤4与上述参考图13所述的那些相对应。除此之外，还提供了进一步的安全措施。特别是，在接收方系统使用户第一次或任何时间登录之后(即在接收方系统与PED之间的握手之后，其包括OTP和RP的交换)，在步骤5中接收方系统产生随机密码(RP)并将该RP提供给PED。此后PED(即在第一次分配RP之后)使用当前存储的RP作为进一步的认证手段。特别是，在步骤4中，PED不但向接收方系统提供用户数据和OTP，而且还提供在最后(先前)认证(即在最后握手之后)从接收方设备所获得的RP。
换句话说，在第一个(或在任何情况下在前的)握手中，接收方系统利用PED所保存的并在下一认证实例发送回的密码进行答复。因而，通过三个因素对用户进行认证：1)令牌ID(诸如8位十六进制代码或其它任何东西)；(2)接收方系统所产生的随机OTP代码；以及(3)PED(在在前认证期间)从接收方系统所接收到的先前交换的密码。以这种方式继续进行能够使得实现认证服务器不知道第三个因素(RP)的用户盲认证。
因此，即使攻击者知道存储在PED中的所有用户(个人)数据，并且即使攻击者完全访问认证服务器数据库并且可能会骇客攻击服务器以将请求转发给其PED而不是已认证用户的PED，攻击者也无法作为用户登录到接收方系统，因为第三因素认证只存储在设备上，即未存储在认证服务器中。
随机密码(RP)可以由接收方系统上的软件插件发布，并且只能在接收方系统与用户设备之间直接交换。如上所述，RP可以是可再生密码，这意味着它是在每个认证中新产生的。然而，应当注意的是本发明不局限于此并且RP还可以是在第一次登录时所分配的并在其后使用的固定密码。
上述认证系统和方法所提供的增强的安全级别不但可用作用于任何类型的网络商店、门户网站、在线服务等的认证平台，而且还可用作电子银行(在线和/或手机银行)中的认证平台。该认证为当前使用的SMS或专用的基于时间同步的令牌的认证过程提供了更容易且更便宜的替代方法，同时为用户提供了更方便的访问，而无需在接收方系统中输入进一步的码。
因而，除了上述实施例之外，接收方系统不仅存储每个用户的OTP，而且还存储每个用户的当前RP，以便对所存储的OTP和RP分别与从用户的PED所接收到的OTP和RP进行比较。PED还进一步被配置为存储从接收方系统所接收到的最后RP并将其与从认证服务器所接收到的OTP一起传送到接收方系统。
根据与上述实施例中的任一个相组合的示例性实施例，PED具有存储在其中的应用，该应用提示用户设置PIN(个人识别码)。在用户输入了PIN之后，PED将PIN存储在存储器中。该应用可以由用户下载。该应用进一步使得PED利用根据从认证服务器所接收到的PIN和加密/解密密钥这两者所产生的密钥来对存储在PED中的用户数据进行加密和/或解密。因而，而不是仅使服务器上的加密密钥和单独的PED的存储器中的用户数据分开，对所产生的且存储在认证服务器侧上的解密密钥与客户端(设备)侧上的用户产生的PIN进行组合。可以通过密钥和PIN串的简单串联来执行该组合。例如，可以对密钥“asdfghzumo”与PIN“1234”进行组合以形成密钥“asdfghzumo 1234“。
然而，应当注意的是该组合可以是以任何方式执行的，例如通过将PIN值添加到密钥上或者通过密钥和PIN的任何其它函数来实现。
PED可以为用户提供设置PIN的机会，同时为用户未输入PIN的情况提供预置的默认PIN。如果用户未利用该应用更改该PIN，则使用默认PIN以产生加密和解密密钥。然而，本发明不限于此，并且在开始使用认证方法之前可能要求用户设置PIN。
特别地，根据本发明的实施例，本设备是用于允许具有个人电子设备的用户对接收方系统进行认证的计算机实现的认证方法所使用的网络结构。PED可以是诸如移动电话、笔记本电脑、平板电脑等这样的任何设备。接收方系统可以是诸如电子商务网站这样的需要利用诸如信息亭、ATM、远程工作站、计算机、具有用于输入令牌ID的输入装置的任何其它电子设备、或甚至在与用户相接口的同一个人电子设备上的另一设备来进行用户认证的任何系统。本认证方法的使用场景的其它非限制性示例是公司内网或应用、用于金融交易的认证、用于建筑物或拱顶入口的认证、汽车/自行车/船租赁等。
本发明可用于例如诸如电子银行这样的交易之类的任何授权/批准动作。在这种情况下，用户可能已经登录到系统(例如银行的手机银行应用或银行的安全网站)，并愿意进行汇款。利用本认证方式，可以仅提示用户确认(例如通过点击移动银行应用或银行网站中的相应按钮)交易，并且此后银行的后端(对应于接收方系统)产生包含例如受益人的BIC，IBAN以及交易金额和“批准”按钮的推送通知，并且将所产生的表单发送到用户的PED，该PED向用户显示用于批准交易的相应界面。此后用户可以在PED上批准交易并且利用该批准(包括如上所述的OTP和RP)，用户授权交易。不需要将诸如TAN码这样的任何数据手动输入到银行app或银行网站。
应当注意的是在上述示例中，而不是每次(即在网上银行系统的每个交易中)提示输入令牌ID，接收方系统可以一次接收令牌ID并且保存。例如，一旦在银行分行设立网上银行，客户将他的令牌ID(他希望用于网上银行认证的设备)提供给银行职员，从而使该令牌ID与他的IBAN相关联。换句话说，银行(接收方系统)存储令牌ID并在用户的每个进一步交易中使用它。因此，当被要求在网上银行表单中批准(“签名”)交易时，表单不需要再次向用户提示令牌ID—它已具有令牌ID。通过点击“签名”按钮，集成在银行服务器中的插件将直接触发认证请求，在这种情况下所述认证请求将包括例如受益人、BIC、IBAN、以及将要转账的金额。此后用户将在他的电话上接收请求，点击“授权”或“是”，并且从而批准并且授权转账。
然而，这只是本发明可能的部署之一。本发明还可以用于登录到诸如电子商店这样的接收方系统，并且另外，还可以用于向接收方系统提供诸如个人用户数据这样的存储在PED上的一些用户数据。
该方法包括下列步骤。
首先，提供能够通过网络与个人电子设备(PED)和接收方系统进行通信的认证服务器。这种认证服务器可以与因特网以及例如用户的PED和接收方系统相连。
在能够使用认证方法之前，用户在认证服务器上建立帐户，这将用户的个人信息存储到PED的存储器中，并且例如诸如通过唯一的PED ID或者其一些功能来唯一地标识用户的个人电子设备。证服务器优选地通过运行在PED上的移动应用与PED进行通信，这样的移动应用由用户从认证服务器或他处下载到PED。移动应用奉认证服务器之命将用户的个人信息和唯一的PED ID传递到接收方系统，所有最好是通过加密连接。最好是用户通过运行在PED上的移动应用在认证服务器上建立他的帐户，而不必直接与认证服务器进行交互。
该认证方法为用户建立最好是易于记忆且简单键入的唯一令牌ID。一旦与接收方系统进行交互，向用户提示他的令牌ID。一旦接收到用户的令牌ID，接收方系统参考用户的令牌ID与认证服务器进行通信以直接从PED请求登录或注册信息。一旦接收到来自接收方系统的信息请求后，认证服务器向用户的PED发送认证请求，该认证请求提示用户决定是否在接收方系统处继续进行认证，并且如果是，则选择PED被授权以通过网络将其提交给接收方系统的用户个人信息的子集。如果决定继续进行认证，则用户选择用户个人信息的子集以发送到接收方系统并且指示PED继续进行。PED从其存储器检索个人信息的子集并且将其发送到接收方系统，最好是通过加密连接。
接收方系统接收个人信息的子集并且对用户进行识别或认证，从而建立用户会话。用户随后注册并登录到接收方系统。在用户执行了交易之后，在预置的不活动时间之后或者在用户明确注销了接收方系统之后，会话结束并且用户必须重复上述处理才能重新登录到接收方系统。
本发明是这样一种系统，该系统减轻了接收方网站上的用于确保用户信息安全的负担从而降低了这种接收方系统的开销成本。本发明减轻了用户必须记住多个、唯一、且复杂密码的负担，他希望使用的每个接收方系统一个密码，并且进一步消除了用户要在每个网站输入个人信息的需要。本系统消除了在如果他的信息在他使用的所有网站上发生变化的情况下用户必须记住要更新他的信息的需要。另外，本发明导致每个用户的个人信息对于任何给定接收方系统而言更为通用，并且由用户保留个人信息而不是保留例如在网络上的远程数据存储位置。从以下结合附图的更详细的描述可显而易见地得知本发明的其它特征和优点，所述附图通过示例的方式对本发明的原理进行说明。
根据本发明的又一方面，一种计算机可读介质用于存储下述指令，所述指令当由相应处理器执行时执行上述方法中的任何一个。所述介质可以分布在网络结构中，例如如上所述，其部分被存储在PED中、在认证服务器中、以及在接收方设备中。因而，用于控制PED的指令部分被存储在PED的程序存储器中。这可以是通过将用于控制对如上所述的用户数据的访问的app存储在PED上来实现的。此外，接收方系统可以存储下述插件，该插件实现用于执行OTP和RP产生和比较的指令，与PED和认证服务器进行交互，并且向用户提供用于输入如上所述的他的令牌ID的界面。类似地，可以将认证服务器指令存储在包括或连接到用户数据库的单独的服务器设备中。
应当注意的是用户可以用于将令牌ID输入到诸如网页这样的由接收方系统所提供的界面。这可以显示在例如用户的膝上型计算机、台式PC、或平板电脑、或PED这样的任何设备上。然而，本发明并不局限于该方法并且可以从诸如ATM、信息亭、或收银机这样的任何其它界面或者通过任何其它软件和/或硬件应用输入令牌ID。
一种用于使得具有个人电子设备的用户通过网络而注册和/或登录到接收方系统的认证服务器可以包括：帐户管理装置，用于通过唯一地识别用户的个人电子设备来建立用户的帐户，并且向用户分配令牌ID；令牌产生装置，用于自动地产生令牌ID；通信装置，用于通过网络与个人电子设备和接收方系统进行通信，该通信装置被配置为：接收来自接收方系统的具有随机码的用户的令牌ID，并且一旦接收到来自接收方系统的令牌ID和随机码，向用户的PED发送包括该随机码的认证请求。
相应地，接收方系统可以包括：随机码产生装置，用于产生随机码(OTP)并且用于产生随机密码(RP)；通信装置，用于提示用户以提供令牌ID并请求认证服务器以利用令牌ID和OTP对用户进行认证；以及真实性验证装置，用于检查从用户所接收到的OTP随机码是否与对于同一用户而提供给认证服务器的OTP随机码匹配。该真实性验证装置还可以被配置为检查从PED所接收到的RP是否与所存储的RP相匹配。此外，接收方可以被配置为在每次成功的用户认证时产生新的RP。
个人电子设备可以包括：存贮器，用于以加密形式存储用户数据；通信装置，用于与如上所述的接收方系统和认证服务器进行通信；以及加密/解密装置，用于执行对用户数据的加密和解密。
换句话说，本发明的示例性实施例所提供的计算机实现的认证方法允许具有个人电子设备的用户认证、确认交易、注册、和/或登录到接收方系统，所述方法包括在下面描述的步骤a)至j)。在步骤a)中，提供了在网络上与个人电子设备和接收方系统进行通信的认证服务器。在步骤b)中，认证服务器对用户在认证系统中的个人电子设备进行唯一地标识并且向用户分配令牌ID(即用户的PED)。在步骤c)中，在一些实施例中，将用户的个人信息存储在PED的存储器中。在步骤d)中，接收方系统向用户提示他的唯一令牌ID。在步骤e)中，一旦接收到用户的令牌ID，则接收方系统将用户输入的令牌ID传递到认证服务器。应当注意的是令牌ID可以是通过将令牌ID手动地输入到用户界面(浏览器、数字键盘设备等等)、或者通过从卡(磁性或芯片)或任何其它NFC标签或任何其它存储+通信装置读取它而自动地提供令牌ID、或者通过由PED中的应用自动地提供令牌ID而接收到的。当接收方系统接收到令牌ID时，它可以产生一次性密码(OTP)并将其与令牌ID一起提供给认证服务器(并且在一些实施例中，可以另外产生用于对存储在PED中的某些用户数据进行传输的请求)。在步骤f)中，认证服务器将认证请求与OTP和PED一起发送到用户的PED(并且在一些实施例中，对存储在PED中的某些用户数据进行传输的请求)，并且此后提示用户决定是否在接收方系统处继续进行认证(并且在一些实施例中，对存储在PED中的某些用户数据的传输)。在步骤g)中，如果决定继续进行认证，则用户向接收方系统授权认证请求(并且在一些实施例中，授权PED发送所请求的个人信息)。如果用户没有授权PED这样做，则认证过程(并且在一些实施例中，对所请求的个人数据的传输)终止，并且用户未被认证，注册和/或登录和/或交易未获批准。在步骤h)中，如果接收方系统的认证请求如此请求，则PED检索个人信息并将个人信息发送到接收方系统。PED可以将个人信息与从认证服务器所接收到的OTP一起发送到接收方系统。PED可以进一步将个人信息与存储在PED存储器中的随机密码(RP)一起发送到接收方系统。随机密码是由接收方系统产生的并提供给PED。在第一次认证时，接收方系统可以提供密码一次，并且PED可以存储它并在每个进一步的过程中使用它。或者，在每个成功的认证时，接收方系统可以新产生RP并将其提供给PED。在步骤i)中，接收方系统接收个人信息并且根据需要从而对用户进行标识。随后用户注册并登录到接收方系统。如上所述，这不是限制特征，而是一个实施例。一般来说，注册、登录、或个人信息传输没有一个必须被执行。交易的认证和/或登录和/或注册和/或批准可以取决于对所产生的且存储在接收方系统中的OTP与从PED所接收到的OTP的肯定比较和/或通过对所产生的且存储在接收方系统中的RP与从PED所接收到的RP进行比较所执行的成功认证。如果OTP匹配(或者如果OTP和RP都匹配)，则用户被认证并登录。如果OTP不匹配(或者RP不匹配)，则用户未被认证并且认证过程终止而不允许用户登录。
在认证方法中，在步骤c)中个人信息可以在个人电子设备上在至少匿名子集、个人子集、以及经济子集或任何其它子集(视情况而定)之间存在差异；并且其中在步骤d)中接收方系统向用户提示其唯一令牌ID并向用户通知注册和/或登录所需的个人信息的子集的类型；并且其中在步骤f)、g)、以及i)中，视情况而定，个人信息对应于用户的个人信息的匿名子集、个人子集、或经济子集或者其任何其它子集。在步骤c)中个人电子设备的存储器可以是个人电子设备可访问的第一非暂时性计算机可读存储介质。在步骤c)中可以对用户的个人信息进行加密并将其存储在第一非暂时性计算机可读存储介质上，根据认证服务器所产生并存储在第二非暂时性计算机可读存储介质上的加密密钥对其进行加密；并且其中在步骤h)中，个人电子设备从认证服务器检索加密密钥，对个人信息进行解密，并将已解密的用户的个人信息发送到接收方系统。在步骤b)中认证服务器所分配的令牌ID可以基于用户的个人电子设备的唯一标识符和/或认证服务器所建立的随机令牌密钥，并且进一步包括步骤j)，在该步骤j)中用户能够随时根据用户的个人电子设备的唯一标识符和/或认证服务器的随机令牌来启动新的令牌ID的产生。
根据本发明的一个方面，分别在PED、接收方系统、以及认证服务器上提供了用于存储下述指令集的非暂时性计算机可读存储介质，所述指令当由相应处理器执行时使其执行如上所述的操作，所述操作包括：b)通过在认证系统中唯一地标识用户的个人电子设备并且向用户分配令牌ID，在在网络上与个人电子设备和接收方系统进行通信的认证服务器上为用户建立帐户；c)将用户的个人信息存储在个人电子设备可访问的存储器上；d)接收方系统向用户提示其唯一令牌ID；e)接收方系统一旦接收到用户的令牌ID则将用户输入的令牌ID传递到认证服务器；f)认证服务器向用户的个人电子设备发送认证请求，该认证请求提示用户决定是否在接收方系统处继续进行认证(以及在一些实施例中，对存储在个人电子设备上的某些个人数据的请求)；g)(如果在接收方系统的认证请求中如此请求并且)如果用户授权这样做，个人电子设备将个人信息发送到接收方系统；h)个人电子设备检索个人信息并将个人信息发送到接收方系统(如适用)；以及i)接收方系统接收个人信息并由此对用户进行标识(如果适用)，用户随后注册和/或登录到接收方系统。相应地，提供了一种用于允许具有个人电子设备的用户注册和/或登录到接收方系统的认证系统，该系统包括：认证服务器，用于通过网络与个人电子设备和接收方系统进行通信，该认证服务器适于通过唯一地标识用户的个人电子设备并向用户分配令牌ID来为用户建立帐户，并且适于将认证请求(并且在一些实施例中，对存储在个人电子设备上的某些个人数据的请求)发送到用户的个人电子设备以用于决定用户是否在接收方系统处继续进行认证(并且如适用，数据传输)；驻留在个人电子设备上的软件应用，该软件应用适于将用户的个人信息存储在可访问的存储器上并且随后如果这样请求并当响应接收到认证(并且如适用，数据传输)请求而用户被授权时检索个人信息并且将该个人信息发送到接收方系统；软件应用，该软件应用驻留在接收方系统上并且适用于向用户提示令牌ID，将令牌ID传递到认证服务器，并且直接接收来自个人电子设备的个人信息以从而对用户进行认证和识别；由此响应用户的交易请求，接收方系统向用户提示其唯一令牌ID并将该令牌ID发送到认证服务器，该认证服务器将认证(并且如适用，数据传输)请求发送到用户的个人电子设备以用于提示用户决定是否在接收方系统处继续进行认证(并且如适用，数据传输)，此后如果用户授权，则个人电子设备从存储器检索个人信息并且将该个人信息与对认证请求的确认一起发送到接收方系统以从而识别用户，用户随后被认证、注册、并登陆到接收方系统。此外如上所述，PED可以将个人信息与从认证服务器所接收到的OTP和/或如上所示的在PED上从认证服务器(OTP)和接收方系统(RP)所接收到的RP一起发送到接收方系统。
虽然已经对本发明的特定形式进行了说明和描述了，但是很显然的是在不脱离本发明的精神和范围的情况下进行各种修改。因此，本发明不受到除所附权利要求之外的限制。
在描述本发明的某些特征或方面时使用的特定术语不应被认为意味着术语在本文中被重新定义为限于与该术语相关联的本发明的任何具体特征，特征或方面。在以下权利要求中使用的术语不应被解释为将本发明限制于说明书中公开的特定实施例，除非上述详细描述部分明确地定义了这些术语。
当描述本发明的某些特征或方面时所使用的特定术语不应被视为意味着该术语在这里被重新定义以被限定为与该术语相关联的本发明的任何具体特性、特征、或方面。通常，在下面的权利要求中所使用的术语不应被理解为将本发明限制为在说明书中所披露的特定实施例，除非上面的详细说明部分明确定义了这些术语。
因此，本发明的实际范围不仅包括所披露的实施例，而且还包括实施或实现本发明的所有等同方式。
以上对本发明的实施例的详细描述并不意图是穷举的或者将本发明限制为以上公开的精确形式或者在本说明书中所提到的特定使用领域。虽然上面为了说明性目的对本发明的具体实施例或示例进行了说明，但是相关领域技术人员可以理解的是各种等同变型可能在本发明的范围内。此外，这里所提供的本发明的教导可应用于其它系统，而不一定是上面所描述的系统。可对上面所描述的各种实施例的要素和动作进行组合以提供进一步的实施例。
通过引用将上述所有专利和申请及其它参考(包括可能在相伴的申请文件中所列出的任何)并入到这里。如有必要，可改进本发明的方面以采用上述各个参考的系统、功能、以及概念以提供本发明的更进一步的实施例。可以参照上述“详细描述”对本发明做出改变。尽管上述说明详细描述了本发明的某些实施例并描述了预期的最佳模式，但是不管在本文中上面的描述是如何详细，本发明可通过多种方式实施。因此，尽管实施细节可能有相当大的变化，但仍被这里所公开的本发明所涵盖。如上所述，在描述本发明的某些特征或方面时所使用的特定术语并不被视为意味着该术语在这里被重新定义以被限定为与该术语相关联的本发明的任何具体特性、特征、或方面。
总结，认证方法允许具有个人电子设备(PED)的用户登录到接收方系统。一旦与接收方系统进行交互，向用户提示其唯一令牌ID。接收方系统产生一次性密码(OTP)并将其与令牌ID一起发送到认证服务器，并且另外可以请求某些用户信息。认证服务器向用户的PED发送包括OTP的认证请求，所述认证请求提示用户决定是否继续进行。用户可以决定继续进行认证，一旦如此PED将OTP和由接收方系统与PED之间的先前握手所创建的随机密码(存储在PED中的(RP))发送到接收方系统，从而接收方系统通过对所产生的且所接收到的OTP与所存储的且所接收到的RP进行比较来对用户进行认证。如果请求用户信息，则将它与认证数据(即OTP和RP)一起提供给接收方系统。

Claims (14)

1.一种用于允许具有个人电子设备PED(30)的用户通过网络认证到接收方系统(40)的认证系统(10)，所述认证系统包括：
接收方系统(40)，所述接收方系统被配置为：
–接收来自所述用户的唯一令牌ID，
–在接收到用户的认证请求时，产生一次性密码OTP，
–将所述令牌ID与所述OTP一起发送到认证服务器，
–产生并存储与用户相关的随机密码RP，
–将RP提供给PED，
–直接从所述PED接收RP和OTP，
–通过对产生的OTP与接收到的OTP以及产生的RP与接收到的RP进行比较并且确定他们匹配来对所述用户进行认证；
认证服务器(50)，所述认证服务器通过所述网络与所述PED和所述接收方系统这两者进行通信，所述认证服务器被配置为：
–接收来自所述接收方系统的所述用户的唯一令牌ID和OTP；并且
–向与所述令牌ID相关联的所述用户的PED发送认证请求以决定所述用户是否在所述接收方系统处继续进行认证，所述请求包括OTP；
所述PED(30)被配置为：
–存储从所述接收方系统接收到的随机密码RP；
–从所述认证服务器(50)接收认证请求，所述认证请求提示所述用户决定是否在所述接收方系统处继续进行认证，并且如果是的话，则选择PED(30)被授权以提交给接收方系统(40)的用户个人信息(60)的子集(90)；并且
–如果所述用户授权，则将在接收到的认证请求中包括的先前获得的所述个人信息的子集、所述RP和所述OTP发送到所述接收方系统以从而对所述用户进行认证。
2.根据权利要求1所述的认证系统，其中，所述接收方系统进一步被配置为在每次用户的认证时产生新的RP并将其发送到所述PED。
3.根据权利要求1或2所述的认证系统，其中，
所述PED被配置为将用户数据存储在存储器中，从所述存储器检索所述用户数据，并且将检索到的数据与所述OTP和所述RP一起发送到所述接收方系统，
所述接收方系统被配置为接收来自所述PED的用户数据。
4.根据权利要求3所述的认证系统，其中，
所述PED包括具有加密的且存储在其上的用户数据的第一计算机可读存储介质，所述加密基于由所述认证服务器所产生的并存储在PED的第二计算机可读存储介质上的加密密钥；并且
所述PED被配置为：从所述认证服务器检索所述加密密钥，对所述个人信息进行解密，并将用户的已解密的个人信息发送到所述接收方系统。
5.根据权利要求4所述的认证系统，其中，
所述PED被配置为通过应用提示用户设置个人标识号PIN，并且
所述加密进一步基于所述PIN。
6.根据权利要求1或2所述的认证系统，其中，所述认证服务器基于所述用户的个人电子设备的唯一标识符针对所述用户的PED向用户分配令牌ID。
7.根据权利要求1或2所述的认证系统，其中，所述认证服务器基于由所述认证服务器所建立的随机令牌密钥针对所述用户的PED向用户分配令牌ID。
8.一种用于允许具有个人电子设备PED的用户认证到接收方系统的认证方法，所述方法包括步骤：
a)所述接收方系统接收来自所述用户的唯一令牌ID；
b)在接收到所述用户的认证请求时，所述接收方系统产生一次性密码OTP并将所述接收到的用户的令牌ID和所述OTP传递到认证服务器；
c)所述认证服务器向与所述令牌ID相关联的所述用户的PED发送认证请求，所述认证请求包括OTP；
d)响应于从所述认证服务器(50)接收到认证请求，所述PED提示所述用户以决定是否在所述接收方系统处继续进行认证，并且如果是的话，则选择PED(30)被授权以提交给接收方系统(40)的用户个人信息(60)的子集(90)；
e)所述PED使得所述用户授权或禁止在所述接收方系统处继续进行认证；
f)所述PED将先前从所述接收方系统所获得的且存储在所述PED中的所述个人信息(60)的子集(90)、与用户相关的随机密码RP以及从所述认证服务器的认证请求中接收到的所述OTP发送到所述接收方系统；
h)所述接收方系统直接从所述PED接收所述RP和所述OTP并且通过对所述产生的OTP与所述接收到的OTP以及存储的RP与所述接收到的RP进行比较来对用户进行认证，并且如果它们匹配，则认证用户。
9.根据权利要求8所述的认证方法，进一步包括步骤：在每次成功的用户认证时，通过所述接收方系统产生所述RP并且将所述RP提供给所述用户PED。
10.根据权利要求8或9所述的认证方法，进一步包括步骤：
通过所述PED，将用户数据存储在存储器中，从所述存储器检索所述用户数据，并将所述检索到的数据与所述OTP和所述RP一起发送到所述接收方系统；
通过所述接收方系统，接收来自所述PED的用户数据。
11.根据权利要求8或9所述的认证方法，其中，在步骤b)中对所述用户的用户数据进行加密并将其存储在第一计算机可读存储介质上，所述加密基于由所述认证服务器所产生的并存储在第二计算机可读存储介质上的加密密钥；并且其中在步骤g)中，所述PED从所述认证服务器检索所述加密密钥，对所述个人信息进行解密，并将所述用户的已解密的个人信息发送到所述接收方系统。
12.根据权利要求8或9所述的认证方法，其中，所述认证服务器基于所述用户的个人电子设备的唯一标识符和由所述认证服务器所建立的随机令牌密钥中的至少一个针对所述用户的PED向用户分配所述令牌ID。
13.根据权利要求11所述的认证方法，进一步包括通过所述PED提示所述用户设置个人标识号PIN的步骤，其中，加密和解密的步骤分别进一步基于所述PIN。
14.一种用于存储下述指令集的计算机可读存储介质，所述指令集当由相应PED、认证服务器、以及接收方系统的处理器来执行时使得相应处理器执行包括根据权利要求8至13中的任何一个的方法的步骤的操作。
CN201680025392.4A 2015-03-02 2016-03-02 识别和/或认证系统和方法 Active CN107690788B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
EP15157247.6 2015-03-02
EP15157247.6A EP3065366B1 (en) 2015-03-02 2015-03-02 Identification and/or authentication system and method
PCT/EP2016/054369 WO2016139222A1 (en) 2015-03-02 2016-03-02 Identification and/or authentication system and method

Publications (2)

Publication Number Publication Date
CN107690788A CN107690788A (zh) 2018-02-13
CN107690788B true CN107690788B (zh) 2021-07-09

Family

ID=52629400

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201680025392.4A Active CN107690788B (zh) 2015-03-02 2016-03-02 识别和/或认证系统和方法

Country Status (4)

Country Link
US (1) US10608820B2 (zh)
EP (2) EP3065366B1 (zh)
CN (1) CN107690788B (zh)
WO (1) WO2016139222A1 (zh)

Families Citing this family (25)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11122034B2 (en) 2015-02-24 2021-09-14 Nelson A. Cicchitto Method and apparatus for an identity assurance score with ties to an ID-less and password-less authentication system
US11171941B2 (en) 2015-02-24 2021-11-09 Nelson A. Cicchitto Mobile device enabled desktop tethered and tetherless authentication
US10250594B2 (en) * 2015-03-27 2019-04-02 Oracle International Corporation Declarative techniques for transaction-specific authentication
ES2929974T3 (es) * 2015-08-12 2022-12-05 Haventec Pty Ltd Sistema de autenticación de dispositivo
US10164971B2 (en) 2015-10-22 2018-12-25 Oracle International Corporation End user initiated access server authenticity check
WO2017070412A1 (en) 2015-10-23 2017-04-27 Oracle International Corporation Password-less authentication for access management
US20180083955A1 (en) * 2016-09-19 2018-03-22 Ebay Inc. Multi-session authentication
US11010763B1 (en) * 2016-09-27 2021-05-18 United Services Automobile Association (Usaa) Biometric authentication on push notification
US10601822B2 (en) * 2017-02-10 2020-03-24 Brett Littrell Multifactor authentication device
US11095631B1 (en) * 2017-04-17 2021-08-17 T Stamp Inc. Systems and methods for identity verification via third party accounts
CN107454113B (zh) * 2017-09-29 2020-12-22 宝略科技(浙江)有限公司 一种基于时间校准数据进行身份认证的方法及系统
CN108111518B (zh) * 2017-12-28 2021-02-02 北京天诚安信科技股份有限公司 一种基于安全密码代理服务器的单点登录方法及系统
US10855686B2 (en) 2018-04-09 2020-12-01 Bank Of America Corporation Preventing unauthorized access to secure information systems using multi-push authentication techniques
US11093771B1 (en) 2018-05-04 2021-08-17 T Stamp Inc. Systems and methods for liveness-verified, biometric-based encryption
US11496315B1 (en) 2018-05-08 2022-11-08 T Stamp Inc. Systems and methods for enhanced hash transforms
US11144620B2 (en) * 2018-06-26 2021-10-12 Counseling and Development, Inc. Systems and methods for establishing connections in a network following secure verification of interested parties
CN110831001B (zh) * 2018-08-07 2022-09-23 黎光洁 基于eguid的用户id分配方法
CN109684790B (zh) * 2018-12-26 2021-06-04 佛山市瑞德物联科技有限公司 软件启动方法、软件授权验证方法、设备和存储介质
US11301586B1 (en) 2019-04-05 2022-04-12 T Stamp Inc. Systems and processes for lossy biometric representations
IT201900015701A1 (it) * 2019-09-05 2021-03-05 Foodea Lab S R L Computer-implemented method and system for secure identification of disconnected objects and their locations.
US11494840B2 (en) * 2019-10-15 2022-11-08 John Arthur Benson System and method for buying and selling stocks, fractional shares, shares, commodities, and other products listed on any stock exchange
RU2766134C2 (ru) * 2020-02-26 2022-02-08 Акционерное общество "Лаборатория Касперского" Способ анонимной отправки данных с устройства пользователя
IT202000007078A1 (it) * 2020-04-03 2021-10-03 Bitjam S R L Startup Costituita Ai Sensi Dellart 4 Comma Convertito Con Legge N 33/2015 Sistema elettronico per controllare l’apertura di una serratura opto-elettronica di una porta d’accesso, relativa serratura opto-elettronica e chiave opto-elettronica per l’apertura della serratura.
US11438329B2 (en) 2021-01-29 2022-09-06 Capital One Services, Llc Systems and methods for authenticated peer-to-peer data transfer using resource locators
EP4109945A1 (en) 2021-05-27 2022-12-28 Giesecke+Devrient Mobile Security GmbH Token, particularly otp, based authentication system and method

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP2651097A1 (en) * 2012-04-11 2013-10-16 Vodafone Holding GmbH Method of authenticating a user at a service on a service server, application and system

Family Cites Families (41)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB0020108D0 (en) * 2000-08-15 2000-10-04 Nokia Mobile Phones Ltd Devices
US7181762B2 (en) * 2001-01-17 2007-02-20 Arcot Systems, Inc. Apparatus for pre-authentication of users using one-time passwords
US6983381B2 (en) * 2001-01-17 2006-01-03 Arcot Systems, Inc. Methods for pre-authentication of users using one-time passwords
US7117528B1 (en) * 2002-10-24 2006-10-03 Microsoft Corporation Contested account registration
WO2005101978A2 (en) * 2004-04-22 2005-11-03 Fortress Gb Ltd. Certified abstracted and anonymous user profiles for restricted network site access and statistical social surveys
US8996423B2 (en) * 2005-04-19 2015-03-31 Microsoft Corporation Authentication for a commercial transaction using a mobile module
AU2006242555A1 (en) * 2005-04-29 2006-11-09 Oracle International Corporation System and method for fraud monitoring, detection, and tiered user authentication
US20070125840A1 (en) * 2005-12-06 2007-06-07 Boncle, Inc. Extended electronic wallet management
US8739278B2 (en) * 2006-04-28 2014-05-27 Oracle International Corporation Techniques for fraud monitoring and detection using application fingerprinting
KR100786551B1 (ko) * 2006-09-15 2007-12-21 이니텍(주) 복수 개의 방식에 의한 일회용 비밀번호의 사용자 등록,인증 방법 및 그러한 방법을 수행하는 프로그램이 기록된컴퓨터 판독 가능 기록 매체
US8239677B2 (en) * 2006-10-10 2012-08-07 Equifax Inc. Verification and authentication systems and methods
US8006300B2 (en) * 2006-10-24 2011-08-23 Authernative, Inc. Two-channel challenge-response authentication method in random partial shared secret recognition system
CN101647220A (zh) * 2007-02-02 2010-02-10 塞姆泰克创新解决方案公司 Pin块替换
EP1965595B1 (en) * 2007-02-27 2009-10-28 Lucent Technologies Inc. Wireless communication techniques for controlling access granted by a security device
US8954745B2 (en) * 2007-04-03 2015-02-10 Alcatel Lucent Method and apparatus for generating one-time passwords
US8869251B2 (en) * 2007-06-01 2014-10-21 Bank Of America Corporation Remote provision of consistent one-time password functionality for disparate on-line resources
EP2160864B8 (en) * 2007-06-26 2012-04-11 G3-Vision Limited Authentication system and method
IL184701A0 (en) * 2007-07-18 2008-01-06 Cidway Technologies Ltd Atm activated by cell-phone
FR2919974B1 (fr) * 2007-08-08 2010-02-26 Fidalis Systeme d'information et procede d'identification par un serveur d'application d'un utilisateur
US20090172402A1 (en) * 2007-12-31 2009-07-02 Nguyen Tho Tran Multi-factor authentication and certification system for electronic transactions
CA2632793A1 (en) * 2008-04-01 2009-10-01 Allone Health Group, Inc. Information server and mobile delivery system and method
KR20100021818A (ko) * 2008-08-18 2010-02-26 한국전자통신연구원 임시 식별정보를 이용한 사용자 인증 방법 및 시스템
CN101662459A (zh) * 2008-08-28 2010-03-03 西门子（中国）有限公司 一种认证方法
JP5802137B2 (ja) * 2009-02-05 2015-10-28 ダブリューダブリューパス コーポレイションＷｗｐａｓｓ Ｃｏｒｐｏｒａｔｉｏｎ 安全なプライベート・データ記憶装置を有する集中型の認証システム、および方法
US8572394B2 (en) * 2009-09-04 2013-10-29 Computer Associates Think, Inc. OTP generation using a camouflaged key
US8630907B2 (en) * 2009-09-30 2014-01-14 Ebay Inc. Secure transactions using a point of sale device
US8769784B2 (en) * 2009-11-02 2014-07-08 Authentify, Inc. Secure and efficient authentication using plug-in hardware compatible with desktops, laptops and/or smart mobile communication devices such as iPhones
AU2011261259B2 (en) * 2010-06-04 2015-05-14 Visa International Service Association Payment tokenization apparatuses, methods and systems
EP2598984A4 (en) * 2010-07-29 2017-04-19 Nirmal Juthani System and method for generating a strong multi factor personalized server key from a simple user password
US8555355B2 (en) * 2010-12-07 2013-10-08 Verizon Patent And Licensing Inc. Mobile pin pad
US8763097B2 (en) * 2011-03-11 2014-06-24 Piyush Bhatnagar System, design and process for strong authentication using bidirectional OTP and out-of-band multichannel authentication
CN103095662B (zh) * 2011-11-04 2016-08-03 阿里巴巴集团控股有限公司 一种网上交易安全认证方法及网上交易安全认证系统
US8924712B2 (en) * 2011-11-14 2014-12-30 Ca, Inc. Using QR codes for authenticating users to ATMs and other secure machines for cardless transactions
KR20130132672A (ko) * 2012-05-21 2013-12-05 김주한 결제 단말기 애플리케이션, asp 시스템 및 결제 방법
US20140117075A1 (en) * 2012-10-26 2014-05-01 Lee S. Weinblatt Mobile Device-Based Electronic Payment Systems and Methods
US10102510B2 (en) * 2012-11-28 2018-10-16 Hoverkey Ltd. Method and system of conducting a cryptocurrency payment via a mobile device using a contactless token to store and protect a user's secret key
US9191386B1 (en) * 2012-12-17 2015-11-17 Emc Corporation Authentication using one-time passcode and predefined swipe pattern
US20140337957A1 (en) * 2013-05-07 2014-11-13 Dannie Gerrit Feekes Out-of-band authentication
JP6399382B2 (ja) * 2014-01-08 2018-10-03 パナソニックＩｐマネジメント株式会社 認証システム
US9148284B2 (en) * 2014-01-14 2015-09-29 Bjoern Pirrwitz Identification and/or authentication method
US9319401B2 (en) * 2014-01-27 2016-04-19 Bank Of America Corporation System and method for cross-channel authentication

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP2651097A1 (en) * 2012-04-11 2013-10-16 Vodafone Holding GmbH Method of authenticating a user at a service on a service server, application and system

Also Published As

Publication number Publication date
US20180048472A1 (en) 2018-02-15
WO2016139222A1 (en) 2016-09-09
EP3266181A1 (en) 2018-01-10
CN107690788A (zh) 2018-02-13
EP3065366B1 (en) 2020-09-09
EP3065366A1 (en) 2016-09-07
US10608820B2 (en) 2020-03-31
EP3266181B1 (en) 2020-09-16

Similar Documents

Publication Publication Date Title
CN107690788B (zh) 识别和/或认证系统和方法
US9741033B2 (en) System and method for point of sale payment data credentials management using out-of-band authentication
EP2873192B1 (en) Methods and systems for using derived credentials to authenticate a device across multiple platforms
US8572377B2 (en) Method for authentication
CN106416336B (zh) 识别和/或认证系统和方法
US8079082B2 (en) Verification of software application authenticity
US11750385B2 (en) System and method for authenticating a user
US11665156B2 (en) Method and system for securely authenticating a user by an identity and access service using a pictorial code and a one-time code
KR20110081103A (ko) 보안 트랜잭션 시스템 및 방법
JP2018502410A (ja) 共通識別データ置換システムおよび方法
KR20220167366A (ko) 온라인 서비스 서버와 클라이언트 간의 상호 인증 방법 및 시스템
KR102313868B1 (ko) Otp를 이용한 상호 인증 방법 및 시스템
JP5919497B2 (ja) ユーザ認証システム
KR101879842B1 (ko) Otp를 이용한 사용자 인증 방법 및 시스템
EP3570518B1 (fr) Systeme et procede d'authentification utilisant un jeton a usage unique de duree limitee
BR112016016273B1 (pt) Sistema e método de autenticação e meio de armazenamento legível por computador

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant