CN107743702B - 托管移动设备的单点登录 - Google Patents

托管移动设备的单点登录 Download PDF

Info

Publication number
CN107743702B
CN107743702B CN201680034146.5A CN201680034146A CN107743702B CN 107743702 B CN107743702 B CN 107743702B CN 201680034146 A CN201680034146 A CN 201680034146A CN 107743702 B CN107743702 B CN 107743702B
Authority
CN
China
Prior art keywords
management
response
application
mobile device
credential
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201680034146.5A
Other languages
English (en)
Other versions
CN107743702A (zh
Inventor
A·雷科夫斯基
A·杰恩
D·奥兹
艾米莉·虹·许
K·巴尔代
K·奥斯丁
S·B·科米雷迪
J·B·布兰农
C·洛特罗
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Airwatch LLC
Original Assignee
Airwatch LLC
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Airwatch LLC filed Critical Airwatch LLC
Priority to CN202110676868.3A priority Critical patent/CN113630377B/zh
Publication of CN107743702A publication Critical patent/CN107743702A/zh
Application granted granted Critical
Publication of CN107743702B publication Critical patent/CN107743702B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/062—Pre-authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/30—Security of mobile devices; Security of mobile applications
    • H04W12/37—Managing security policies for mobile devices or for controlling mobile applications

Abstract

公开了通过托管移动设备的单点登录的各种示例。例如，身份提供者服务可以从在客户端设备中执行的应用程序接收对身份断言的请求。身份提供者服务然后可以检测与客户端设备相关联的平台。可以至少部分地基于所述平台发送对所述请求的响应，其中所述响应请求通过管理凭证进行认证。从所述客户端设备接收由所述管理凭证生成的数据，以及确定所述管理凭证对于所述身份断言是有效的。然后，响应于确定所述管理凭证对于所述身份断言是有效的，将所述身份断言发送到所述客户端设备。

Description

托管移动设备的单点登录
Adam Rykowski,Ashish Jain,Dale Robert Olds,Emily Hong Xu,KabirBarday,Kyle Austin,Sridhara Babu Kommireddy,Jonathan Brannon,Camilo Lotero
相关申请的交叉引用
本申请要求于2015年6月15日提交的标题为“托管移动设备的单点登录(SINGLESIGN-ON FOR MANAGED MOBILE DEVICES)”的美国非临时专利申请号14/739,975的权益，其全部内容通过引用并入本文。
本申请涉及于2015年6月15日提交的代理人案号为W205.02、标题为“托管移动设备的单点登录(SINGLE SIGN-ON FOR MANAGED MOBILE DEVICES)”、序列号为14/739,980的美国专利申请，于2015年6月15日提交的代理人案号为W204.01、标题为“非托管移动设备的单点登录(SINGLE SIGN-ON FOR UNMANAGED MOBILE DEVICES)”、序列号为14,739,983的美国专利申请，以及于2015年6月15日提交的代理人案号为W204.02、标题为“非托管移动设备的单点登录(SINGLE SIGN-ON FOR UNMANAGED MOBILE DEVICES)”、序列号为14/739,972的美国专利申请。
背景技术
用户可能拥有许多不同的账户用于众多应用程序和服务。应用程序和服务的示例可以包括社交网络服务、文件共享服务、电子邮件服务、语音通信服务、办公生产力服务、任务跟踪服务等等。用户可能必须建立对应的用户名和密码以对每个账户进行认证。在涉及众多账户的情况下，这成为困难且不便的做法。因此，用户可以设置较短或易于记忆的弱密码、在多个账户之间共享密码、使用第三方密码管理器或采用可能被认为不安全的其他做法。
身份联合(identity federation)的概念提出了这个问题的解决方案。在身份联合下，用户使用联合身份提供者建立账户。为此，用户指定单组安全凭证(credential)。然后联合账户链接到由其他组织提供的大量应用程序和服务。当用户试图访问链接到联合账户的应用程序和服务时，用户可以简单地提供联合账户的单个用户名、密码或其他凭证进行认证。以类似的方式，组织(诸如企业)可以使用目录服务(诸如MICROSOFT公司的ACTIVEDIRECTORY)，以便为该组织的多个应用程序和服务中的每一个提供单一登录。
尽管身份联合具有可用性，最终用户体验可能仍然是不理想的。即使假设用户能够为多个应用程序和服务使用单个联合账户，用户也可能被要求分别输入联合账户凭证。例如，假设用户登录由社交网络服务提供者所提供的社交网络应用程序，社交网络服务提供者也是联合身份提供者。随后，用户可能想要使用链接至该联合身份提供者的文件共享应用程序。然后用户可能必须提供先前为社交网络应用程序输入的相同的用户名和密码。为每个应用程序和服务重复输入这些安全凭证可能会使用户沮丧。
附图说明
参照以下附图可以更好地理解本公开的许多方面。附图中的组件不一定按比例绘制，而是着重于清楚地示出本公开的原理。此外，在附图中，贯穿若干视图的相同的附图标记表示相应的部分。
图1是示出本公开的示例性场景的图。
图2是根据本公开的各种示例的网络化环境的图。
图3是示出根据本公开的各种示例的示例性组件交互的顺序图。
图4-8是示出根据本公开的各种示例的功能的示例的流程图。
具体实施方式
本公开涉及为移动设备的用户提供单点登录体验。凭借单点登录体验，用户可以输入或获取账户的单组安全凭证，并且一旦进行认证，用户能够访问链接至该账户的多个不同的应用程序和服务。当用户被要求提供知识、财产或生物认证因素的组合时，也可以采用多因素认证。如本文所考虑的，术语“单点登录”可以包括由于会话超时、不活动时段、可疑活动或可能导致用户认证被怀疑的其他事件而需要用户重新输入安全凭证的情境。
在网页浏览器的情况下，可以通过cookie启用单点登录体验。响应于用户使用联合身份提供者登录，可以将cookie存储在用户的设备上，其包含指示认证的令牌(token)。当用户稍后通过联合身份提供者访问支持认证的另一网络站点时，显示Cookie并可以交换令牌以获得站点特定的令牌。因此，用户不必再次登录以访问网络站点。
但是，来自浏览器环境的单点登录设计范例在移动应用程序的环境中不起作用。尽管移动应用程序可以调用网页(web)视图，但作为移动应用程序内被调用的网页视图的一部分的cookie不能在其他移动应用程序中或通过浏览器访问。即使假定用户通过第一移动应用程序登录到联合账户，表示成功认证的cookie和应用程序令牌对第二移动应用程序不是可用的，因为它们可能具有不同的网页视图。如将要描述的，本公开的各种实现方式促进了移动应用程序内和体现该限制的其他应用程序内的单点登录。此外，根据本公开，为了实现单点登录，可以无需提出为每个应用程序使用特定软件开发工具包(softwaredevelopment kit，SDK)的需求。
具体地，在本公开中，公开了使能用于被托管的移动设备的单点登录体验的示例。参照图1，示出的是示例性单点登录场景100的示意图。在101，用户启动管理应用程序，其可以管理用户的移动设备上的应用程序。管理应用程序可以是本地移动应用程序或从浏览器访问的基于网页的管理应用程序。管理应用程序呈现被配置为接收设备管理服务的登录信息的用户界面。具体地，在该示例中，用户界面包括被配置为接收用户名和密码的表格。其他安全凭证或认证因素可以在其他示例中引出。用户输入信息后，用户选择登录输入组件。
在输入正确的登录信息之后，用户通过认证，然后可以更新用户界面以在102向用户指示登录成功。随后，用户可以启动或访问移动设备上的其他托管应用程序，诸如在103的社交网络应用程序、在104的电子邮件应用程序或在105的文件共享应用程序。这些应用程序可以与外部服务进行通信。由于用户已通过设备管理应用程序进行了认证，因此这些应用程序指示该用户已经通过认证。因此，用户不必分别为多个应用程序提供登录信息，并且用户能够使用通过各个应用程序访问的服务。
参照图2，示出的是根据各种示例的网络化环境200。网络化环境200包括客户端设备203、设备管理服务204、身份提供者206以及多个服务提供者209a...209N，其彼此之间可以通过网络212处于数据通信。网络212包括，例如因特网、一个或更多个内联网、外联网、广域网(wide area network，WAN)、局域网(local area network，LAN)、有线网络、无线网络、其他合适的网络或者两个或更多个这种网络的任何组合。例如，网络可以包括卫星网络、电缆网络、以太网和其他类型的网络。
设备管理服务204、身份提供者206和服务提供者209可以包括，例如服务器计算机或提供计算能力的任何其他系统。可选地，设备管理服务204、身份提供者206和服务提供者209可以使用多个计算设备，例如，其可以被排布在一个或更多个服务器库(bank)、计算机库或其他布置中。计算设备可以位于单个装置中，或者可以分布在多个不同的地理位置。例如，设备管理服务204、身份提供者206和服务提供者209可以包括多个计算设备，其共同形成主机计算资源、网格计算资源或任何其他分布式计算布置。在一些情况下，设备管理服务204、身份提供者206和服务提供者209可以作为弹性计算资源的至少一部分进行操作，其中处理、网络、存储或其他计算相关资源的所分配容量可以随着时间而变化。设备管理服务204、身份提供者206和服务提供者209还可以包括或被操作为一个或更多个虚拟计算机实例。通常，可以按照特定的安全协议来操作设备管理服务204、身份提供者206和服务提供者209，以使它们被认为是受信的计算环境。
设备管理服务204可以管理或监督多个客户端设备203的操作。在一些示例中，企业(诸如一个或更多个公司或其他组织)可以操作设备管理服务204以监督或管理雇员、承包商或企业环境中的其他用户的客户端设备203的操作。在这个意义上，客户端设备203可以包括由设备管理服务204管理的托管设备。
为了促进客户端设备203的管理，设备管理服务204可以建立与客户端设备203的安全通信信道(例如，移动设备管理信道或MDM信道)。设备管理服务204可以通过创建与客户端设备203的安全通信链路来建立安全通信信道。可以使用由客户端设备203执行的操作系统所提供的MDM应用程序编程接口(application programming interface，API)来建立安全通信链路。在一些示例中，可以使用由关联于客户端设备203的操作系统生态系统所提供的推送通知框架或通知服务来建立安全通信信道，其允许设备管理服务204与客户端设备203之间的通过网络212的通信，且其使用数字证书来加密。
可以通过由操作系统提供的API，将客户端设备203注册为设备管理服务204的托管设备。注册过程可以包括用户的凭证的认证。在由设备管理服务204认证用户的凭证之后，客户端设备203使用操作系统的MDM API可以将客户端设备203注册为托管设备，从而可以通过安全通信信道安全地执行各种管理功能。
管理功能的示例可以包括擦除来自客户端设备203的某些数据的命令、安装某些应用程序或应用程序更新的命令、锁定客户端设备203或激活显示器锁定特征的命令、远程执行客户端设备203恢复出厂设置的命令或其他管理功能。另外，可以通过安全通信信道将数据安全地传输至客户端设备203或由客户端设备203执行的应用程序。
另外，客户端设备203的操作系统还可以提供创建与安装在客户端设备203上的特定应用程序相关联的访问受限存储的能力。访问受限存储可以通过安全通信信道与安装在客户端设备203上的多个应用程序相关联。在某些场景下，可以向由公共证书签名的应用程序提供对彼此的访问受限存储的访问，而没有被证书签名的应用程序不能访问其他应用程序的访问受限存储。另外，设备管理服务204可以通过安全通信信道将数据传输至客户端设备203，其可以被存储在访问受限存储中，使得它可由某些应用程序访问而对安装在客户端设备203上的其他应用程序是不可访问的。
可以使用与客户端设备203、设备管理服务204或与客户端设备203相关联的企业相关联的数字证书来加密或保护安全通信信道。在一个场景中，设备管理服务204可以获得安全证书(诸如安全套接层(secure sockets layer，SSL)证书)，其对与客户端设备203相关联的特定企业是唯一的。在一个示例中，与企业相关联的管理员可以使用管理员控制台或上传证书可以采用的其他功能来向设备管理服务204提供证书。证书还可以由证书管理中心(authority)签署，其在一些情况下可以由设备管理服务204来操作。设备管理服务204可以使用该证书来加密或保护安全通信信道，使得安全通信信道是通过网络212的安全通信链路，通过该安全通信链路可以将数据发送到客户端设备203。
另外，设备管理服务204可以指定通过安全通信信道发送的数据只能被安装在客户端设备203上的某些应用程序访问。可以访问通过安全通信信道发送的数据的应用程序也可以受限于如何在客户端设备203上操纵、查看或处理某些数据。例如，安装在客户端设备203上的应用程序可被编码以限制用户从客户端设备203捕获、共享或移除数据的能力，该数据是通过安全通信信道被接收的。
设备管理服务204还可以促进确保由设备管理服务204管理的客户端设备203按照各种合规性规则(compliance rule)进行操作。在一个场景中，设备管理服务204可以发出管理命令，其指示客户端设备203针对合规性规则采取特定的动作。例如，如果客户端设备203被指定为丢失或被盗，则设备管理服务204可以发出命令，指示客户端设备203擦除先前通过安全通信信道或其他通信链接发送到客户端设备203并以其他方式存储在客户端设备203上的数据和应用程序。设备管理服务204还可以从第三方计算环境(诸如应用程序、安全码、认证令牌或其他数据)获取数据。作为另一示例，如果设备管理服务204确定客户端设备203违反了关于安装在客户端设备203上的未授权的修改或未授权的应用程序的合规性规则，则设备管理服务204可以发出命令，指示客户端设备203擦除存储在客户端设备203上的数据和应用程序。作为再一示例，设备管理服务204还可以发出命令，指示客户端设备203激活客户端设备203的显示锁定，其要求用户输入个人标识号码(personal identificationnumber，PIN)，以使用客户端设备203。
存储在管理数据存储213中且对设备管理服务204可用的数据包括例如认证数据、合规性规则、设备数据以及潜在的其他数据。认证数据可以包括用于验证由用户呈现的用于认证的一个或更多个安全凭证的数据。为此，为了加密安全通信信道和/或用于其他功能，可以存储安全证书并使其对已经被认证的客户端设备203可用。
在企业环境中，合规性规则包括一个或更多个规则，当违反规则时可以使设备管理服务204发出管理命令。合规性规则可包括未授权的硬件功能、软件功能或可能对企业数据或企业应用程序的使用构成威胁的应用程序的列表。如上所述，如果客户端设备203不符合一个或更多个合规性规则，则管理命令可以被传输至客户端设备203，指示客户端设备203执行由合规性规则指定的一个或更多个动作。可选地，合规性规则也可以驻留在客户端设备203上，其可以自我增强合规性规则。管理数据存储213还可以包括用户账户数据。用户账户数据可以包括认证用户账户可以采用的信息，诸如用户凭证。用户账户数据还可以包括数据，诸如电子邮件、联系人、日历数据、文档、文件或与用户账户相关联的其他数据。
设备数据可以表示存储在与客户端设备203相关联的管理数据存储213中的数据，所述客户端设备203通过设备管理服务204被注册为托管设备。设备数据可以包括与客户端设备203相关联的唯一设备标识符、与特定客户端设备203相关联的设备策略、与特定客户端设备203相关联的状态信息以及促进设备管理服务204对客户端设备203的管理的其他数据。设备数据还可以包括与特定客户端设备203同步的用户数据。用户账户可以与多个客户端设备203相关联。与用户账户相关联的不同客户端设备203可以具有存储在其上的不同用户账户数据。例如，用户的智能手机可以具有存储在设备上的一定数量的文档或电子邮件消息，而用户的膝上型电脑或平板电脑可以具有存储在设备上的不同数量的类型的用户账户数据。
身份提供者206可以代表服务提供者209提供联合身份服务。为此，身份提供者206可以与身份数据存储215进行通信，该身份数据存储215存储与用户身份相关联的信息。该信息可以包括，例如，用户名、安全凭证、生物身份信息、授权的客户端应用程序、未授权的客户端应用程序、授权的客户端设备203、未授权的客户端设备203等等。如将要描述的，用户能够通过身份提供者206进行认证，以便访问由多个服务提供者209提供的服务。身份提供者206可以包括多个平台适配器216，以促进不同客户端平台(诸如IOS、ANDROID、WINDOWS等)上的平台特定认证。
服务提供者209为客户端应用程序提供相应的服务。这些服务可以包括，例如，社交网络服务、电子邮件服务、语音通信服务、企业信息管理服务、生产力服务、游戏服务等等。在一些示例中，服务提供者209中的一个或更多个可以从身份提供者206分别认证用户，由此给予用户直接登录到身份提供者206或服务提供者209的选项。
服务提供者209和身份提供者206可以通过超文本传输协议(hypertext transferprotocol，HTTP)、简单对象访问协议(simple object access protocol，SOAP)、代表性状态传输(representational state transfer，REST)和/或其他协议的方式在网络212上与客户端设备203通信。
客户端设备203可以表示基于处理器的系统，诸如计算机系统，其可以以台式计算机、膝上型计算机、个人数字助理、蜂窝电话、智能手机、机顶盒、音乐播放器、网络平板电脑、平板电脑系统、游戏机、电子书阅读器或具有类似功能的任何其他设备的形式体现。客户端设备203可以包括显示器218，其包括例如一个或更多个设备，诸如液晶显示(liquidcrystal display，LCD)显示器或其他类型的显示设备。客户端设备203还可以配备有联网能力或网络接口，包括本地化网络或通信能力，诸如NFC能力、RFID读取和/或写入能力、麦克风和/或扬声器或其他本地通信能力。
客户端设备203可以执行各种应用程序，诸如管理应用程序221、多个客户端应用程序224a...224N以及其他应用程序、服务或进程。管理应用程序221可以接收来自用户的安全凭证并且用于向设备管理服务204进行认证。一旦向设备管理服务204进行了认证，管理应用程序221能够获得管理凭证225，其反过来允许客户端应用程序224从身份提供者206请求身份断言，以便向各自的服务提供者209认证客户端应用程序224，如将要描述的那样。虽然被描述为应用程序，但是应当理解，管理应用程序221可以是客户端设备203的操作系统的集成组件。而且，在一些场景中，可以将管理凭证225直接供应给操作系统以供所有客户端应用程序224使用。这可以使用安装在被管理证书密钥链中的证书配置文件或证书和Kerberos配置文件一起的组合，在iOS下执行。在一些场景中，管理凭证225可以存储在操作系统本身中，而不是存储在管理应用程序221中。各种访问规则226可以限制哪些客户端应用程序224被允许使用管理凭证225用于向身份提供者206进行认证。在各种实现方式中，访问规则226可以由身份提供者206来维护和实施。
安全断言标记语言(security assertion markup language，SAML)中的身份断言，例如包含服务提供者209用来做出访问控制决定的安全信息包。SAML支持三种类型的声明(statement)：认证声明、属性声明和授权决定声明。认证声明向服务提供者209断言客户端设备203在特定的时间使用特定的认证方法向身份提供者206进行认证。属性声明断言客户端设备203与某些属性相关联。授权决定声明断言客户端应用程序224被允许执行相对于由服务提供者209提供的资源的某动作。可以采用可扩展访问控制标记语言(extensibleaccess control markup language，XACML)和/或其他语言。
客户端应用程序224对应于被用来访问由服务提供者209提供的服务的各种应用程序。客户端应用程序224可以包括网页视图组件，由此客户端应用程序224与服务提供者209交互，以通过超文本传输协议(HTTP)请求和响应获取网络内容。然而，与用于访问各种基于网页的应用程序的浏览器不同，通过一个客户端应用程序224设置的cookie不能被另一个客户端应用程序224访问。客户端应用程序224和管理应用程序221可以单独地在显示器218上呈现各自的用户界面227。
现在参考图3，示出的是说明客户端应用程序224、管理应用程序221、设备管理服务204、服务提供者209和身份提供者206之间的交互的一个示例的顺序图300。归因于客户端应用程序224、管理应用程序221、设备管理服务204、服务提供者209和身份提供者206的功能可以在单个进程或应用程序中或在多个进程或应用程序中实现。本文讨论的功能的分离或分割仅出于说明的目的而呈现。
从步骤303开始，客户端应用程序224向服务提供者209发送访问请求。在步骤306，服务提供者209将重定向发送回客户端应用程序224，这导致客户端应用程序224将访问请求重定向到身份提供者206。在步骤309，客户端应用程序224向身份提供者206发送身份断言请求。在步骤312，身份提供者206检测客户端应用程序224的类型和平台，并以通过请求针对特定平台的管理凭证225的方式进行认证的方式响应。这可以对应于证书挑战或Kerberos挑战。在步骤315，客户端应用程序224从管理应用程序221请求管理凭证225。
在步骤318，管理应用程序221通过用户界面227从用户获取一个或更多个安全凭证。该步骤可以在管理应用程序221的初始启动时发生，伴随着凭证由管理应用程序221在各种场景中本地化存储或者存储在云服务器上(诸如身份数据存储215)，以提供用于未来访问的单点登录体验。在步骤321，管理应用程序221向设备管理服务204发送认证请求。该认证请求可以指定从用户获取的安全凭证。在步骤324，设备管理服务204将管理凭证225发送到管理应用程序221。在步骤327，管理应用程序221将管理凭证225返回给客户端应用程序224。
在步骤330，客户端应用程序224使用管理凭证225来向身份提供者206进行认证。在步骤333，身份提供者206向客户端应用程序224返回身份断言。在步骤336，客户端应用程序224向服务提供者209提供身份断言。在步骤339，服务提供者209验证身份断言。服务提供者209生成会话令牌(例如OAuth令牌)，并在步骤342返回会话令牌。
由此为随后的客户端应用程序224或者试图向另一个服务提供者209进行认证的客户端应用程序224实现了单点登录。因此，该过程可以再次重复用于客户端应用程序224a...224N。然而，一旦用户以认证客户端应用程序224a的目的而向管理应用程序221认证，则用户不需要为认证客户端应用程序224b再次输入安全凭证，除非可能由于不活动或可能导致用户身份被怀疑的其他事件。步骤315、318、321、324和327可以在对客户端应用程序224a的初始访问期间执行，但是由于管理应用程序221已经获得管理凭证225，这些步骤可以在随后访问客户端应用程序224b时省略。可选地，凭证可由管理应用程序221存储，并在步骤318自动输入而无需用户输入。在单点登录过程期间，用户界面可以保持稳定以避免来回“翻动”，使该过程对用户流畅。
现在参考图4，示出的是提供身份提供者206的操作的一个示例的流程图。作为替代，图4的流程图可被视为描绘了在计算设备中实现的方法的成分的示例。属于身份提供者206的功能可以在单个进程或应用程序中或者在多个进程或应用程序中实现。本文讨论的功能的分离或分割仅出于说明的目的而呈现。
从步骤403开始，身份提供者206从客户端应用程序224接收身份断言请求。客户端应用程序224已经由服务提供者209重定向到身份提供者206。例如，可以通过具有状态码302的超文本传输协议(HTTP)重定向响应执行重定向。在步骤406，身份提供者206在一些场景中可以确定客户端应用程序224对应于移动应用程序网页视图而不是浏览器。例如，客户端应用程序224可以在HTTP请求内将用户代理字符串发送到身份提供者206。用户代理字符串可以识别请求是源自特定浏览器还是源自本地应用程序的网页视图。对于浏览器，可以使用用于身份联合的单点登录的替代形式，因为由身份提供者206设置的cookie可以由不同的服务提供者209访问。然而，对于使用网页视图的移动应用程序，不使用专门的软件开发工具包(SDK)则cookie不能在不同的应用程序间共享。在一些情形下，如果客户端应用程序224是浏览器或非托管应用程序，则身份提供者206可被配置为拒绝访问。
在步骤407，身份提供者206确定客户端设备203的平台。身份提供者206也可以通过检查HTTP请求的用户代理字符串来确定平台。例如，身份提供者206可以至少部分地基于包含在用户代理字符串中的对应标识符来确定客户端设备203对应于IOS、ANDROID、WINDOWS、BLACKBERRY或其他平台。
在步骤408，身份提供者206至少部分地基于检测到的客户端设备203的平台来请求通过管理凭证225进行认证。具体地，身份提供者206可以在至少部分地基于由客户端设备203提供的信息来查询平台的表格之后，使用平台特定的管理凭证225请求认证。取决于客户端设备203的平台，可以使用不同类型的安全凭证和证书。例如，管理凭证225可以包括安全证书、Kerberos配置文件或其他凭证。因此，为了允许来自不同平台的单点登录，平台适配器216可以请求适合于请求访问的客户端设备203的管理凭证225的类型。例如，当平台是IOS时，可以使用对应于IOS特定证书适配器或Kerberos适配器的平台适配器216，诸如esso配置文件。当平台是ANDROID时，可以使用对应于证书适配器的平台适配器216。作为附加示例，OSX操作系统可以使用密钥链，并且WINDOWS 10可以使用账户提供者凭证。可以通过返回具有状态码401的HTTP响应来执行对认证的请求，表明需要授权。此外，HTTP响应可以具体地通过管理凭证225的使用由特定协议(例如Kerberos协议)请求认证。
在步骤410，身份提供者206确定客户端设备203是否对应于托管设备。如果客户端设备203是托管设备，则步骤408的认证将正确完成。如果步骤408的认证失败，则客户端设备203可以被推测为非托管。如果客户端设备203不对应于托管设备，则身份提供者206继续到步骤411。如果客户端设备203的确对应于托管设备，则身份提供者206移动到步骤412。
在步骤415，身份提供者206接收与管理凭证225相关联的或由管理凭证225生成的数据。在步骤418，身份提供者206确定所呈现的管理凭证225对于所请求的身份断言是有效的。身份提供者206可以验证是否允许使用管理凭证225来认证特定的客户端应用程序224或者用于特定的服务提供者209。在步骤421，如果管理凭证225被确定为有效的，则生成身份断言并且发送到客户端应用程序224。身份断言可以包括安全断言标记语言(SAML)、可扩展访问控制标记语言(XACML)或其他数据。之后，进程继续进行到完成。
如果，相反地，客户端设备203不是托管设备，则在步骤411，身份提供者206根据策略确定客户端应用程序224是否被允许在非托管设备上执行。如果客户端应用程序224不被允许在非托管设备上执行，则身份提供者206从步骤411移动到步骤424，并阻止客户端应用程序224的认证，并且可能返回未授权消息。之后，进程继续进行到完成。
如果客户端应用程序224被允许在非托管设备上执行，则身份提供者206从步骤411移动到步骤427，并且身份提供者206通过用户提供的凭证(诸如用户名和密码、生物凭证、多因素凭证等等)请求认证。在步骤430，身份提供者206接收并验证来自客户端应用程序224的用户提供的凭证。然后，身份提供者移动到步骤421，在其中生成身份断言并将其发送到客户端应用程序224。身份断言可以包括安全断言标记语言(SAML)、可扩展访问控制标记语言(XACML)或其他数据。之后，进程继续进行到完成。
继续到图5，示出的是提供设备管理服务204的操作的一个示例的流程图。属于设备管理服务204的功能可以在单个进程或应用程序中或者在多个进程或应用程序中实现。本文讨论的功能的分离或分割仅出于说明的目的而呈现。
从步骤501开始，设备管理服务204从客户端设备203接收注册请求。例如，用户可以导航到浏览器中的某个统一资源定位符(uniform resource locator，URL)，管理应用程序221可以被安装在客户端设备203上，并且用户可以接受注册条款。然后，平台特定的管理证书可以被发送到管理应用程序221。可以在配置文件内接收平台特定的管理证书，客户端设备203将该配置文件作为管理配置文件安装在配置文件存储中。
在步骤503中，设备管理服务204从客户端设备203的管理应用程序221接收认证请求。该请求可以指定一个或更多个安全凭证，诸如用户名、密码、生物标识、一次性密码等等。在步骤506，设备管理服务204确定已经呈现的安全凭证是有效的。如果安全凭证无效，则可能会生成错误。
在步骤509，设备管理服务204向客户端设备203发送一个或更多个管理凭证225。管理凭证225可以由对应于设备管理服务204的证书管理中心生成。管理凭证225可以用于在设备管理服务204和管理应用程序221之间创建用于设备管理目的的安全通信信道。之后，进程继续进行到完成。
参照图6，示出的是提供管理应用程序221的操作的一个示例的流程图。属于管理应用程序221的功能可以在单个进程或应用程序中或者在多个进程或应用程序中实现。本文讨论的功能的分离或分割仅出于说明的目的而呈现。
从步骤603开始，管理应用程序221从客户端应用程序224接收单点登录请求。例如，可以提示客户端应用程序224使用管理凭证225以便向身份提供者206进行认证。在步骤606，管理应用程序221确定用户是否已经被认证。如果用户还没有被认证，则管理应用程序221移动到步骤609，并在显示器218上呈现用户界面227，其请求来自用户的一个或更多个安全凭证。在步骤612，管理应用程序221通过用户界面227接收安全凭证。管理应用程序221继续到步骤615。如果用户已经被管理应用程序221认证，则管理应用程序221直接从步骤606移动到步骤615。
在步骤615，管理应用程序221确定客户端应用程序224是否被授权接收管理凭证225。管理应用程序221可以针对访问规则226或通过与设备管理服务204通信以做出决定。访问规则216的示例包括检测设备是否已越狱(jailbroken)、是否使用具有给定长度或复杂度的密码、是否在某地理区域内使用、是否安装了某些应用程序、是否具有某些硬件设备(例如，指纹识别器)和/或是否满足与托管客户端设备203的组织有关的其他标准。如果客户端应用程序224未被授权，则管理应用程序221移动到步骤618并拒绝该请求。之后，进程继续进行到完成。
如果客户端应用程序224被授权，则管理应用程序221移动到步骤621，并确定管理凭证225是否已被高速缓存在客户端设备203中。如果管理凭证225已被高速缓存，则在步骤624管理应用程序221从该高速缓存加载管理凭证225。在步骤625，管理应用程序221将管理凭证225提供给客户端应用程序224。之后，进程继续进行到完成。
如果管理凭证225尚未被高速缓存，则管理应用程序221从步骤621移动到步骤627，并且向设备管理服务204进行认证。为此，管理应用程序221可以使用用户提供的凭证或会话或注册令牌进行认证。在步骤630，管理应用程序221将对管理凭证225的请求发送到设备管理服务204。在步骤633，管理应用程序221从设备管理服务204接收管理凭证225。在步骤625，管理应用程序221向客户端应用程序224提供管理凭证225。之后，进程继续进行到完成。
现在转到图7，示出的是提供客户端应用程序224的操作的一个示例的流程图。属于客户端应用程序224的功能可以在单个进程或应用程序中或者在多个进程或应用程序中实现。本文讨论的功能的分离或分割仅出于说明的目的而呈现。
从步骤703开始，客户端应用程序224向服务提供者209发送访问请求。在步骤706，客户端应用程序224接收到身份提供者206的重定向。重定向可以包括具有状态码302的超文本传输协议(HTTP)重定向响应。在步骤709，客户端应用程序224向身份提供者206发送身份断言请求。在步骤712，客户端应用程序224接收响应，该响应请求通过管理凭证225进行认证。
在步骤715，客户端应用程序224从管理应用程序221获取管理凭证225。为此，客户端应用程序224可以通过本地统一资源定位符(URL)向管理应用程序221发送请求，并且还可以通过本地URL从管理应用程序221接收响应。用于调用管理应用程序221的本地URL可以包括回调信息，诸如对应于客户端应用程序224的方案名称，使得管理应用程序221可以识别客户端应用程序224并返回所请求的管理凭证225。
在步骤718，客户端应用程序224将与管理凭证225相关联的或由管理凭证225生成的数据发送给身份提供者206。在步骤721，客户端应用程序224从身份提供者206接收身份断言。身份断言可以对应于安全断言标记语言(SAML)断言或另一个断言。在步骤724，客户端应用程序224使用身份断言向服务提供者209进行认证。在步骤727，客户端应用程序224从服务提供者209接收会话令牌。例如，会话令牌可以对应于OAuth令牌。随后，在步骤730，客户端应用程序224可以向服务提供者209进行认证以访问资源。之后，进程继续进行到完成。
接下来参照图8，示出的是提供服务提供者209的操作的一个示例的流程图。作为替代，图8的流程图可以被视为描绘在计算设备中实现的方法的成分的示例。属于服务提供商209的功能可以在单个进程或应用程序中或者在多个进程或应用程序中实现。本文讨论的功能的分离或分割仅出于说明的目的而呈现。
从步骤803开始，服务提供者209从客户端应用程序224接收访问请求。服务提供者209然后将该访问请求与身份提供者206的使用相关联以进行认证。在步骤806，服务提供者209向客户端应用程序224发送重定向响应。这可以包括具有状态码302的超文本传输协议(HTTP)重定向响应。重定向响应可以将客户端应用程序224重定向到身份提供者206。重定向响应可以包括请求身份断言的安全断言标记语言(SAML)。
在步骤809，服务提供者209从客户端应用程序224接收身份断言。在步骤812，服务提供者209验证身份断言。例如，身份断言可以包括由身份提供者206生成的认证令牌，并且服务提供者209可以确认认证令牌是真实的。
在步骤815，服务提供者209生成会话令牌。在步骤818，服务提供者209为客户端应用程序224设置包括会话令牌的会话cookie。在步骤821，服务提供者209通过统一资源定位符(URL)或会话cookie，至少部分地基于呈现会话令牌的客户端应用程序224，提供对客户端应用程序224的服务访问。之后，进程继续进行到完成。
图4-8的流程图和图3的顺序图示出了本文描述的组件的实现方式的功能和操作的示例。本文描述的组件可以以硬件、软件或者硬件和软件的结合来体现。如果体现为软件，则每个成分可以表示代码模块或代码部分，其包括用于实现指定逻辑功能的程序指令。程序指令可以以例如包括用编程语言编写的人类可读语句的源代码或者包括可由合适的执行系统(诸如计算机系统或其他系统中的处理器)识别的机器指令的机器代码的形式来体现。如果体现为硬件，则每个成分可以表示实现指定逻辑功能的电路或多个互连电路。
尽管流程图和顺序图显示了特定的执行顺序，但是可以理解的是，执行顺序可以不同于所示顺序。例如，两个或更多个成分的执行顺序可以相对于所示的顺序进行交换。此外，连续显示的两个或更多个成分可以同时执行或部分同时执行。此外，在一些示例中，流程图中示出的成分中的一个或更多个可以被跳过或省略。
客户端设备203、设备管理服务204、身份提供者206、服务提供者209或本文描述的其他组件可以包括至少一个处理电路。该处理电路可以包括，例如一个或更多个处理器以及耦合到本地接口的一个或更多个存储设备。本地接口可以包括，例如具有伴随的地址的数据总线/控制总线或任何其他合适的总线结构。
用于处理电路的一个或更多个存储设备可以存储数据或组件，其可由处理电路的一个或更多个处理器执行。例如，设备管理服务204、身份提供者206、服务提供者209、管理应用程序221、客户端应用程序224和/或其他组件可以被存储在一个或更多个存储设备中，并且可以由一个或更多个处理器执行。此外，数据存储(诸如身份数据存储215或管理数据存储213)可以被存储在一个或更多个存储设备中。
本文描述的身份提供者206、设备管理服务204、服务提供者209、管理应用程序221、客户端应用程序224和/或其他组件可以以硬件形式、作为可由硬件执行的软件组件或作为软件和硬件的组合来体现。如果体现为硬件，则本文描述的组件可以实现为采用任何合适的硬件技术的电路或状态机。硬件技术可以包括，例如一个或更多个微处理器、具有在应用一个或更多个数据信号时用于实现各种逻辑功能的逻辑门的分立逻辑电路、具有适当逻辑门的专用集成电路(application specific integrated circuit，ASIC)、可编程逻辑设备(例如现场可编程门阵列(field-programmable gate array，FPGA)和复杂可编程逻辑器件(complex programmable logic device，CPLD))。
此外，本文描述的包括软件或程序指令的组件中的一个或更多个可以体现在任何非暂时性计算机可读介质中，以供指令执行系统(诸如计算机系统或其他系统中的处理器)使用或与其结合使用。计算机可读介质可以包含存储和/或维护由指令执行系统使用或与其结合使用的软件或程序指令。
计算机可读介质可以包括物理介质，诸如磁的、光学的、半导体和/或其他合适的介质。合适的计算机可读介质的示例包括但不限于固态驱动器、磁驱动器或闪存。此外，本文描述的任何逻辑或组件可以以各种方式来实现和构造。例如，所描述的一个或更多个组件可以被实现为单个应用程序的模块或组件。此外，本文描述的一个或更多个组件可以在一个计算设备中执行或者通过使用多个计算设备执行。
需要强调的是，本公开的上述示例仅仅是为了清楚地理解本公开的原理而提出的实现方式的示例。在实质上不偏离本公开的精神和原理的情况下，可以对上述示例做出许多变化和修改。所有这样的修改和变化旨在被包括在本公开的范围内。

Claims (20)

1.一种非暂时性计算机可读介质，包含在服务器计算设备中可执行的程序，所述程序当由所述服务器计算设备执行时被配置成使所述服务器计算设备至少：
从在移动设备中执行的应用程序接收对身份断言的请求；
检测与所述移动设备相关联的平台；
确定所述移动设备是托管设备还是非托管设备；
响应于确定所述移动设备是托管设备，至少部分地基于所述平台向所述移动设备发送对所述请求的响应，所述响应请求通过管理凭证进行认证，其中所述管理凭证由在所述移动设备中执行的管理应用程序存储，并且被自动输入而无需用户输入，所述管理应用程序被配置为管理所述应用程序；
响应于确定所述移动设备是非托管设备，确定所述应用程序被允许在所述非托管设备上执行以及请求通过用户提供的凭证进行认证；
从所述移动设备接收由所述管理凭证或所述用户提供的凭证生成的数据；
确定所述管理凭证或所述用户提供的凭证对于所述身份断言是有效的；以及
响应于确定所述管理凭证或所述用户提供的凭证对于所述身份断言是有效的，将所述身份断言发送到所述移动设备。
2.根据权利要求1所述的非暂时性计算机可读介质，其中响应于通过所述移动设备的用户的设备管理服务进行的认证，所述移动设备访问所述管理凭证。
3.根据权利要求1所述的非暂时性计算机可读介质，其中当所述平台是iOS时，所述请求是由iOS特定证书适配器生成的。
4.根据权利要求1所述的非暂时性计算机可读介质，其中当所述平台是ANDROID时，所述请求是由证书适配器生成的。
5.根据权利要求1所述的非暂时性计算机可读介质，其中所述管理凭证对应于由所述管理应用程序维护的设备管理证书。
6.根据权利要求1所述的非暂时性计算机可读介质，其中所述程序当由所述服务器计算设备执行时被进一步配置为使所述服务器计算设备至少：
从在所述移动设备中执行的第二应用程序接收对第二身份断言的第二请求；
至少部分地基于所述平台向所述移动设备发送对所述第二请求的第二响应，所述第二响应请求通过所述管理凭证进行认证；
从所述移动设备接收由所述管理凭证生成的数据；
确定所述管理凭证对于所述第二身份断言是有效的；以及
响应于确定所述管理凭证对于所述第二身份断言是有效的，将所述第二身份断言发送到所述移动设备。
7.一种用于托管移动设备的单点登录的系统，包括：
至少一个计算设备；以及
能够由所述至少一个计算设备执行的身份提供者服务，所述身份提供者服务被配置为使所述至少一个计算设备至少：
从在移动设备中执行的应用程序接收对身份断言的请求；
确定所述应用程序对应于本地应用程序的网页视图而不是浏览器；
确定所述移动设备是托管设备还是非托管设备；
响应于确定所述移动设备是托管设备，向所述移动设备发送响应，所述响应请求通过管理凭证进行认证，其中所述管理凭证由在所述移动设备中执行的管理应用程序存储，并且被自动输入而无需用户输入，所述管理应用程序被配置为管理所述应用程序；
从所述移动设备接收由所述管理凭证生成的数据；
确定所述管理凭证对于所述身份断言是有效的；以及
响应于确定所述管理凭证对于所述身份断言是有效的，将所述身份断言发送到所述移动设备。
8.根据权利要求7所述的系统，其中所述身份提供者服务被进一步配置为使所述至少一个计算设备至少：
检测与所述移动设备相关联的平台；以及
其中发送至所述移动设备的所述响应是至少部分地基于所述平台而生成的。
9.根据权利要求7所述的系统，其中所述身份提供者服务被进一步配置为使所述至少一个计算设备至少由iOS特定证书适配器生成对所述请求的所述响应。
10.根据权利要求7所述的系统，其中对所述身份断言的所述请求是被重定向到来自服务提供者的所述身份提供者服务。
11.根据权利要求7所述的系统，其中对所述请求的所述响应是具有401认证所需的状态码的超文本传输协议（HTTP）响应。
12.一种用于托管客户端设备的单点登录的方法，包括：
从在客户端设备中执行的应用程序接收对身份断言的请求；
检测与所述客户端设备相关联的平台；
确定所述客户端设备是托管设备还是非托管设备；
响应于确定所述客户端设备是托管设备，至少部分地基于所述平台向所述客户端设备发送对所述请求的响应，所述响应请求通过管理凭证进行认证，所述管理凭证对应于安全证书或者Kerberos配置文件，其中所述管理凭证由在所述客户端设备中执行的管理应用程序存储，并且被自动输入而无需用户输入，所述管理应用程序被配置为管理所述应用程序；
从所述客户端设备接收由所述管理凭证生成的数据；
确定所述管理凭证对于所述身份断言是有效的；以及
响应于确定所述管理凭证对于所述身份断言是有效的，将所述身份断言发送到所述客户端设备。
13.根据权利要求12所述的方法，其中响应于通过所述客户端设备的用户的设备管理服务进行的认证，所述客户端设备访问所述管理凭证。
14.根据权利要求12所述的方法，其中对所述身份断言的所述请求是从服务提供者重定向的。
15.根据权利要求12所述的方法，进一步包括检测所述客户端设备符合访问规则集。
16.根据权利要求12所述的方法，进一步包括：响应于确定所述平台对应于iOS，由iOS特定证书适配器生成对所述请求的所述响应。
17.根据权利要求12所述的方法，其中所述身份断言是安全断言标记语言（SAML）断言。
18.根据权利要求12所述的方法，其中对所述请求的所述响应是具有401认证所需的状态码的超文本传输协议（HTTP）响应。
19.根据权利要求12所述的方法，其中对所述请求的所述响应反过来请求Kerberos协议认证。
20.根据权利要求12所述的方法，其中所述管理凭证对应于由在所述客户端设备中执行的所述管理应用程序所维护的设备管理证书。
CN201680034146.5A 2015-06-15 2016-06-14 托管移动设备的单点登录 Active CN107743702B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110676868.3A CN113630377B (zh) 2015-06-15 2016-06-14 托管移动设备的单点登录

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US14/739,975 US10812464B2 (en) 2015-06-15 2015-06-15 Single sign-on for managed mobile devices
US14/739,975 2015-06-15
PCT/US2016/037369 WO2016205195A1 (en) 2015-06-15 2016-06-14 Single sign-on for managed mobile devices

Related Child Applications (1)

Application Number Title Priority Date Filing Date
CN202110676868.3A Division CN113630377B (zh) 2015-06-15 2016-06-14 托管移动设备的单点登录

Publications (2)

Publication Number Publication Date
CN107743702A CN107743702A (zh) 2018-02-27
CN107743702B true CN107743702B (zh) 2021-06-25

Family

ID=57517451

Family Applications (2)

Application Number Title Priority Date Filing Date
CN201680034146.5A Active CN107743702B (zh) 2015-06-15 2016-06-14 托管移动设备的单点登录
CN202110676868.3A Active CN113630377B (zh) 2015-06-15 2016-06-14 托管移动设备的单点登录

Family Applications After (1)

Application Number Title Priority Date Filing Date
CN202110676868.3A Active CN113630377B (zh) 2015-06-15 2016-06-14 托管移动设备的单点登录

Country Status (4)

Country Link
US (2) US10812464B2 (zh)
EP (1) EP3308526B1 (zh)
CN (2) CN107743702B (zh)
WO (1) WO2016205195A1 (zh)

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10277572B2 (en) * 2016-04-12 2019-04-30 Blackberry Limited Provisioning enterprise services provided by an infrastructure service server
US10972453B1 (en) * 2017-05-03 2021-04-06 F5 Networks, Inc. Methods for token refreshment based on single sign-on (SSO) for federated identity environments and devices thereof
US11403540B2 (en) * 2017-08-11 2022-08-02 Google Llc On-device machine learning platform
US11151239B2 (en) * 2017-10-02 2021-10-19 Red Hat, Inc. Single sign-on management for multiple independent identity providers
US11367323B1 (en) 2018-01-16 2022-06-21 Secureauth Corporation System and method for secure pair and unpair processing using a dynamic level of assurance (LOA) score
WO2019200193A1 (en) * 2018-04-13 2019-10-17 Mastercard International Incorporated Method and system for contactless transmission using off-the-shelf devices
CN108900561A (zh) * 2018-09-28 2018-11-27 北京芯盾时代科技有限公司 单点登录的方法、装置及系统
US11096059B1 (en) 2019-08-04 2021-08-17 Acceptto Corporation System and method for secure touchless authentication of user paired device, behavior and identity
US10951606B1 (en) * 2019-12-04 2021-03-16 Acceptto Corporation Continuous authentication through orchestration and risk calculation post-authorization system and method
US11329998B1 (en) 2020-08-31 2022-05-10 Secureauth Corporation Identification (ID) proofing and risk engine integration system and method
US11483355B1 (en) * 2020-12-15 2022-10-25 Proofpoint, Inc. System and methods for agentless managed device identification as part of setting a security policy for a device
US11930002B2 (en) 2021-06-01 2024-03-12 Liquit Software B.V. Cross-browser single sign-on

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103051630A (zh) * 2012-12-21 2013-04-17 微梦创科网络科技（中国）有限公司 基于开放平台实现第三方应用授权的方法、装置及系统
US8613055B1 (en) * 2013-02-22 2013-12-17 Ping Identity Corporation Methods and apparatus for selecting an authentication mode at time of issuance of an access token
CN103503407A (zh) * 2011-04-28 2014-01-08 交互数字专利控股公司 用于多sso技术的sso框架
CN104283852A (zh) * 2013-07-08 2015-01-14 中国电信股份有限公司 移动应用的单点登录认证方法和系统以及客户端和服务端

Family Cites Families (131)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5930786A (en) 1995-10-20 1999-07-27 Ncr Corporation Method and apparatus for providing shared data to a requesting client
US5781909A (en) * 1996-02-13 1998-07-14 Microtouch Systems, Inc. Supervised satellite kiosk management system with combined local and remote data storage
US5864665A (en) 1996-08-20 1999-01-26 International Business Machines Corporation Auditing login activity in a distributed computing environment
KR100484209B1 (ko) 1998-09-24 2005-09-30 삼성전자주식회사 디지털컨텐트암호화/해독화장치및그방법
AU2002214637A1 (en) 2000-10-12 2002-04-22 At And T Corp. Common protocol for accessing value-added services
US20020078153A1 (en) * 2000-11-02 2002-06-20 Chit Chung Providing secure, instantaneous, directory-integrated, multiparty, communications services
US8020199B2 (en) 2001-02-14 2011-09-13 5th Fleet, L.L.C. Single sign-on system, method, and access device
US7424618B2 (en) * 2001-03-14 2008-09-09 Paladin Electronic Services, Inc. Biometric access control and time and attendance network including configurable system-on-chip (CSOC) processors with embedded programmable logic
US7996888B2 (en) 2002-01-11 2011-08-09 Nokia Corporation Virtual identity apparatus and method for using same
US7246230B2 (en) 2002-01-29 2007-07-17 Bea Systems, Inc. Single sign-on over the internet using public-key cryptography
US7231663B2 (en) 2002-02-04 2007-06-12 General Instrument Corporation System and method for providing key management protocol with client verification of authorization
US7191467B1 (en) 2002-03-15 2007-03-13 Microsoft Corporation Method and system of integrating third party authentication into internet browser code
US7568218B2 (en) 2002-10-31 2009-07-28 Microsoft Corporation Selective cross-realm authentication
US20040128542A1 (en) 2002-12-31 2004-07-01 International Business Machines Corporation Method and system for native authentication protocols in a heterogeneous federated environment
US7788711B1 (en) 2003-10-09 2010-08-31 Oracle America, Inc. Method and system for transferring identity assertion information between trusted partner sites in a network using artifacts
JP2005286959A (ja) 2004-03-31 2005-10-13 Sony Corp 情報処理方法、復号処理方法、および情報処理装置、並びにコンピュータ・プログラム
US7509489B2 (en) * 2005-03-11 2009-03-24 Microsoft Corporation Format-agnostic system and method for issuing certificates
US8214887B2 (en) 2005-03-20 2012-07-03 Actividentity (Australia) Pty Ltd. Method and system for providing user access to a secure application
US7827400B2 (en) * 2005-07-28 2010-11-02 The Boeing Company Security certificate management
US8245292B2 (en) 2005-11-16 2012-08-14 Broadcom Corporation Multi-factor authentication using a smartcard
US7853995B2 (en) 2005-11-18 2010-12-14 Microsoft Corporation Short-lived certificate authority service
US20100242102A1 (en) 2006-06-27 2010-09-23 Microsoft Corporation Biometric credential verification framework
US8775402B2 (en) 2006-08-15 2014-07-08 Georgia State University Research Foundation, Inc. Trusted query network systems and methods
US20080072303A1 (en) 2006-09-14 2008-03-20 Schlumberger Technology Corporation Method and system for one time password based authentication and integrated remote access
US20080115198A1 (en) 2006-10-31 2008-05-15 Hsu Paul J Multi-factor authentication transfer
US8209615B2 (en) * 2006-11-22 2012-06-26 Qualcomm Incorporated Apparatus and methods of linking to an application on a wireless device
US7770214B2 (en) * 2007-04-17 2010-08-03 International Business Machines Corporation Apparatus, system, and method for establishing a reusable and reconfigurable model for fast and persistent connections in database drivers
US8627409B2 (en) 2007-05-15 2014-01-07 Oracle International Corporation Framework for automated dissemination of security metadata for distributed trust establishment
US8145909B1 (en) 2007-05-16 2012-03-27 Adobe Systems Incorporated Digitally signing an electronic document using seed data
US8621561B2 (en) 2008-01-04 2013-12-31 Microsoft Corporation Selective authorization based on authentication input attributes
US8447838B2 (en) * 2008-01-31 2013-05-21 Bizmobile Inc. System and method for providing mobile service
US8661252B2 (en) 2008-06-20 2014-02-25 Microsoft Corporation Secure network address provisioning
US8561087B2 (en) 2008-07-16 2013-10-15 Sandisk Il Ltd. Methods for enabling software in storage-capable devices
CN101656609A (zh) * 2008-08-22 2010-02-24 华为技术有限公司 一种单点登录方法、系统及装置
US9037513B2 (en) * 2008-09-30 2015-05-19 Apple Inc. System and method for providing electronic event tickets
US9836702B2 (en) 2008-10-16 2017-12-05 International Business Machines Corporation Digital rights management (DRM)-enabled policy management for an identity provider in a federated environment
US9548859B2 (en) 2008-12-03 2017-01-17 Google Technology Holdings LLC Ticket-based implementation of content leasing
WO2010083889A1 (en) 2009-01-23 2010-07-29 Nokia Siemens Networks Oy Identity management scheme
WO2010094331A1 (en) 2009-02-19 2010-08-26 Nokia Siemens Networks Oy Authentication to an identity provider
WO2010105184A2 (en) * 2009-03-13 2010-09-16 Breach Security , Inc. A method and apparatus for phishing and leeching vulnerability detection
CN102025495A (zh) * 2009-09-17 2011-04-20 成都康赛电子科大信息技术有限责任公司 基于saml2.0的身份认证和管理
US20110099607A1 (en) 2009-10-27 2011-04-28 Activepath Ltd. Method of authenticating and branding emails and other messages using information available in a message list
US8683196B2 (en) 2009-11-24 2014-03-25 Red Hat, Inc. Token renewal
JP4890605B2 (ja) 2009-12-08 2012-03-07 シャープ株式会社 複合機、複合機制御システム、プログラムおよび記録媒体
WO2011095216A1 (en) 2010-02-05 2011-08-11 Nokia Siemens Networks Oy Improved identity management
US8898457B2 (en) 2010-02-26 2014-11-25 Red Hat, Inc. Automatically generating a certificate operation request
US8566917B2 (en) 2010-03-19 2013-10-22 Salesforce.Com, Inc. Efficient single sign-on and identity provider configuration and deployment in a database system
US8762947B2 (en) 2010-04-01 2014-06-24 Salesforce.Com, Inc. System, method and computer program product for debugging an assertion
AU2011245059A1 (en) * 2010-04-30 2012-11-08 Kl Data Security Pty Ltd Method and system for enabling computer access
US8572709B2 (en) * 2010-05-05 2013-10-29 International Business Machines Corporation Method for managing shared accounts in an identity management system
AU2011288920A1 (en) * 2010-08-13 2012-12-20 Jason Dean Hart System and method for converging RFID building security with PKI techniques
US8621448B2 (en) 2010-09-23 2013-12-31 Apple Inc. Systems and methods for compiler-based vectorization of non-leaf code
US8881247B2 (en) 2010-09-24 2014-11-04 Microsoft Corporation Federated mobile authentication using a network operator infrastructure
CN102469075A (zh) * 2010-11-09 2012-05-23 中科正阳信息安全技术有限公司 一种基于web单点登录的集成认证方法
US20120144501A1 (en) 2010-12-03 2012-06-07 Salesforce.Com, Inc. Regulating access to protected data resources using upgraded access tokens
CN102111410B (zh) * 2011-01-13 2013-07-03 中国科学院软件研究所 一种基于代理的单点登录方法及系统
US9413750B2 (en) 2011-02-11 2016-08-09 Oracle International Corporation Facilitating single sign-on (SSO) across multiple browser instance
US9237017B2 (en) * 2011-03-21 2016-01-12 Microsoft Technology Licensing, Llc Lightweight authentication for on-premise rich clients
ES2773739T3 (es) 2011-03-25 2020-07-14 Thales Dis France Sa Servicio de delegación de usuario a usuario en un entorno de gestión de identidad federada
US8489450B2 (en) * 2011-03-26 2013-07-16 RS-Software, Inc. Systems and methods for facilitating customer acquisition by businesses
US20120290336A1 (en) * 2011-05-09 2012-11-15 Apple Inc. System and method for providing event-related incentives
US8839395B2 (en) 2011-05-13 2014-09-16 Cch Incorporated Single sign-on between applications
US8650622B2 (en) 2011-07-01 2014-02-11 Telefonaktiebolaget Lm Ericsson (Publ) Methods and arrangements for authorizing and authentication interworking
US20130013704A1 (en) 2011-07-07 2013-01-10 Cisco Technology, Inc. System and method for providing a message and an event based video services control plane
US20130031631A1 (en) 2011-07-25 2013-01-31 Lenovo (Singapore) Pte. Ltd. Detection of unauthorized device access or modifications
US8847729B2 (en) * 2011-08-29 2014-09-30 International Business Machines Corporation Just in time visitor authentication and visitor access media issuance for a physical site
US9081951B2 (en) 2011-09-29 2015-07-14 Oracle International Corporation Mobile application, identity interface
US8782757B2 (en) 2011-09-30 2014-07-15 Oracle International Corporation Session sharing in secure web service conversations
US8966118B2 (en) * 2011-11-14 2015-02-24 Microsoft Technology Licensing, Llc Unauthenticated redirection requests with protection
WO2013109857A1 (en) 2012-01-20 2013-07-25 Interdigital Patent Holdings, Inc. Identity management with local functionality
US9722972B2 (en) 2012-02-26 2017-08-01 Oracle International Corporation Methods and apparatuses for secure communication
US8392712B1 (en) 2012-04-04 2013-03-05 Aruba Networks, Inc. System and method for provisioning a unique device credential
US20130290226A1 (en) * 2012-04-05 2013-10-31 Maynard Dokken System and method for social graph and graph assets valuation and monetization
DE102012103106A1 (de) * 2012-04-11 2013-10-17 Vodafone Holding Gmbh Verfahren zum Authentifizieren eines Nutzers an einem Dienst auf einem Diensteserver, Applikation und System
CN104272707B (zh) 2012-04-27 2018-04-06 交互数字专利控股公司 支持邻近发现过程的方法和装置
US10049204B2 (en) 2012-05-15 2018-08-14 Symantec Corporation Computer readable storage media for multi-factor authentication and methods and systems utilizing same
JP5968077B2 (ja) 2012-05-22 2016-08-10 キヤノン株式会社 情報処理装置、その制御方法、プログラム、及び画像処理装置
US8839376B2 (en) * 2012-06-29 2014-09-16 Cable Television Laboratories, Inc. Application authorization for video services
US9246907B2 (en) 2012-07-12 2016-01-26 International Business Machines Corporation Confidence-based authentication discovery for an outbound proxy
US20140052548A1 (en) * 2012-07-18 2014-02-20 Maynard L. Dokken, JR. System and method for automated advocate marketing with digital rights registration
US8745718B1 (en) 2012-08-20 2014-06-03 Jericho Systems Corporation Delivery of authentication information to a RESTful service using token validation scheme
US9602473B2 (en) 2012-09-06 2017-03-21 Zixcorp Systems, Inc. Secure message forwarding with sender controlled decryption
US8769651B2 (en) 2012-09-19 2014-07-01 Secureauth Corporation Mobile multifactor single-sign-on authentication
US8635373B1 (en) 2012-09-22 2014-01-21 Nest Labs, Inc. Subscription-Notification mechanisms for synchronization of distributed states
US8850546B1 (en) * 2012-09-30 2014-09-30 Emc Corporation Privacy-preserving user attribute release and session management
US9436428B2 (en) 2012-11-08 2016-09-06 Ebay Inc. Methods, apparatus, and system for mobile piggybacking
GB2508598A (en) * 2012-12-04 2014-06-11 Ibm Splitting the processing logic of a distributed application page between client and server
US20140189827A1 (en) 2012-12-27 2014-07-03 Motorola Solutions, Inc. System and method for scoping a user identity assertion to collaborative devices
US8806205B2 (en) 2012-12-27 2014-08-12 Motorola Solutions, Inc. Apparatus for and method of multi-factor authentication among collaborating communication devices
US9124582B2 (en) 2013-02-20 2015-09-01 Fmr Llc Mobile security fob
US20140245411A1 (en) 2013-02-22 2014-08-28 Nokia Corporation Method and apparatus for providing account-less access via an account connector platform
US20140279622A1 (en) * 2013-03-08 2014-09-18 Sudhakar Bharadwaj System and method for semantic processing of personalized social data and generating probability models of personal context to generate recommendations in searching applications
US8997187B2 (en) 2013-03-15 2015-03-31 Airwatch Llc Delegating authorization to applications on a client device in a networked environment
US20140285337A1 (en) 2013-03-21 2014-09-25 Mark Anthony Gebhardt Automobile Alert System for Recording and Communicating Incidents to Remote Monitoring Devices
US9355223B2 (en) 2013-03-29 2016-05-31 Citrix Systems, Inc. Providing a managed browser
US9009806B2 (en) * 2013-04-12 2015-04-14 Globoforce Limited System and method for mobile single sign-on integration
US9154488B2 (en) 2013-05-03 2015-10-06 Citrix Systems, Inc. Secured access to resources using a proxy
US9344426B2 (en) * 2013-05-14 2016-05-17 Citrix Systems, Inc. Accessing enterprise resources while providing denial-of-service attack protection
US9414219B2 (en) * 2013-06-19 2016-08-09 Facebook, Inc. Detecting carriers for mobile devices
US8924608B2 (en) 2013-06-25 2014-12-30 Airwatch Llc Peripheral device management
EP3014507B1 (en) 2013-06-27 2018-04-04 Intel Corporation Continuous multi-factor authentication
US20150052584A1 (en) * 2013-08-13 2015-02-19 News UK & Ireland Limited Access Control System
US9106642B1 (en) 2013-09-11 2015-08-11 Amazon Technologies, Inc. Synchronizing authentication sessions between applications
US20150120572A1 (en) 2013-10-25 2015-04-30 Nitro Mobile Solutions, LLC Location based mobile deposit security feature
IN2013MU03727A (zh) 2013-11-27 2015-07-31 Tata Consultancy Services Ltd
US10362026B2 (en) 2013-12-16 2019-07-23 Amazon Technologies, Inc. Providing multi-factor authentication credentials via device notifications
US20150188999A1 (en) * 2013-12-28 2015-07-02 Johnson Manuel-Devadoss System and method to extend the capabilities of a web browser to improve the web application performance
US20150193749A1 (en) * 2014-01-06 2015-07-09 iVinci Partners, LLC Systems and methods of managing payments including brokering balances
WO2015130700A1 (en) 2014-02-26 2015-09-03 Secureauth Corporation Security object creation, validation, and assertion for single sign on authentication
US9525664B2 (en) 2014-02-28 2016-12-20 Symantec Corporation Systems and methods for providing secure access to local network devices
US8984149B1 (en) * 2014-03-06 2015-03-17 Iboss, Inc. Applying policies to subnets
CA2981789A1 (en) 2014-04-04 2015-10-08 David Goldschlag Method for authentication and assuring compliance of devices accessing external services
US20150317466A1 (en) * 2014-05-02 2015-11-05 Verificient Technologies, Inc. Certificate verification system and methods of performing the same
US9729538B2 (en) 2014-09-01 2017-08-08 Microsoft Israel Research And Development (2002) Ltd System, method and process for detecting advanced and targeted attacks with the recoupling of kerberos authentication and authorization
US9578004B2 (en) 2014-09-12 2017-02-21 Ca, Inc. Authentication of API-based endpoints
US9736154B2 (en) 2014-09-16 2017-08-15 Nok Nok Labs, Inc. System and method for integrating an authentication service within a network architecture
US9875121B2 (en) * 2014-09-17 2018-01-23 International Business Machines Corporation API server
US9819668B2 (en) 2014-10-22 2017-11-14 Ca, Inc. Single sign on for native and wrapped web resources on mobile devices
US9794329B2 (en) 2014-11-28 2017-10-17 Sap Se Cloud application with secure local access
US9473486B2 (en) 2014-12-05 2016-10-18 International Business Machines Corporation Single sign on availability
US9875481B2 (en) * 2014-12-09 2018-01-23 Verizon Patent And Licensing Inc. Capture of retail store data and aggregated metrics
US9467457B2 (en) 2015-01-13 2016-10-11 Oracle International Corporation Identity management and authentication system for resource access
WO2016123112A1 (en) * 2015-01-26 2016-08-04 Mobile Iron, Inc. Secure access to cloud-based services
US20180324172A1 (en) 2015-02-01 2018-11-08 Mahesh Unnikrishnan Single sign-on for remote applications
US9706402B2 (en) * 2015-03-09 2017-07-11 Neustar, Inc. System and method for secure device authentication
US9930025B2 (en) 2015-03-23 2018-03-27 Duo Security, Inc. System and method for automatic service discovery and protection
US10116658B2 (en) 2015-04-29 2018-10-30 Cyberark Software Ltd. Privileged access to target services
US9864852B2 (en) 2015-07-27 2018-01-09 Amazon Technologies, Inc. Approaches for providing multi-factor authentication credentials
US20170046758A1 (en) 2015-08-10 2017-02-16 GreenLight Me, Inc. Payment Approval Platform
US9866546B2 (en) 2015-10-29 2018-01-09 Airwatch Llc Selectively enabling multi-factor authentication for managed devices
US10454915B2 (en) 2017-05-18 2019-10-22 Oracle International Corporation User authentication using kerberos with identity cloud service

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103503407A (zh) * 2011-04-28 2014-01-08 交互数字专利控股公司 用于多sso技术的sso框架
CN103051630A (zh) * 2012-12-21 2013-04-17 微梦创科网络科技（中国）有限公司 基于开放平台实现第三方应用授权的方法、装置及系统
US8613055B1 (en) * 2013-02-22 2013-12-17 Ping Identity Corporation Methods and apparatus for selecting an authentication mode at time of issuance of an access token
CN104283852A (zh) * 2013-07-08 2015-01-14 中国电信股份有限公司 移动应用的单点登录认证方法和系统以及客户端和服务端

Also Published As

Publication number Publication date
US10812464B2 (en) 2020-10-20
US20160366120A1 (en) 2016-12-15
EP3308526A4 (en) 2019-02-13
US10536447B2 (en) 2020-01-14
US20190124073A1 (en) 2019-04-25
EP3308526B1 (en) 2021-11-10
EP3308526A1 (en) 2018-04-18
CN113630377A (zh) 2021-11-09
CN113630377B (zh) 2023-07-04
WO2016205195A1 (en) 2016-12-22
CN107743702A (zh) 2018-02-27

Similar Documents

Publication Publication Date Title
CN107743702B (zh) 托管移动设备的单点登录
US10432608B2 (en) Selectively enabling multi-factor authentication for managed devices
US11159517B2 (en) Self-federation in authentication systems
US10965664B2 (en) Single sign-on for unmanaged mobile devices
US9882887B2 (en) Single sign-on for managed mobile devices
EP3723341B1 (en) Single sign-on for unmanaged mobile devices
US11057364B2 (en) Single sign-on for managed mobile devices
US10187374B2 (en) Multi-factor authentication for managed applications using single sign-on technology
US9531714B2 (en) Enterprise authentication via third party authentication support
US10944738B2 (en) Single sign-on for managed mobile devices using kerberos
US11444932B2 (en) Device verification of an installation of an email client
US9923880B2 (en) Authenticating mobile applications using policy files
JP2020502616A (ja) フェデレーテッド・シングル・サインオン（ｓｓｏ）のための非侵入型セキュリティの実施

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant