CN107820689A - 将认证密钥分发给应用程序安装 - Google Patents

将认证密钥分发给应用程序安装 Download PDF

Info

Publication number
CN107820689A
CN107820689A CN201680034662.8A CN201680034662A CN107820689A CN 107820689 A CN107820689 A CN 107820689A CN 201680034662 A CN201680034662 A CN 201680034662A CN 107820689 A CN107820689 A CN 107820689A
Authority
CN
China
Prior art keywords
client device
proof
identification
certification key
installation
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201680034662.8A
Other languages
English (en)
Other versions
CN107820689B (zh
Inventor
A·S·雷科夫斯基
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
An Weizhi Co Ltd
Airwatch LLC
Original Assignee
An Weizhi Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by An Weizhi Co Ltd filed Critical An Weizhi Co Ltd
Publication of CN107820689A publication Critical patent/CN107820689A/zh
Application granted granted Critical
Publication of CN107820689B publication Critical patent/CN107820689B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3242—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving keyed hash functions, e.g. message authentication codes [MACs], CBC-MAC or HMAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Power Engineering (AREA)
  • Stored Programmes (AREA)
  • Information Transfer Between Computers (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

公开了用于辅助将认证代码分发到托管应用程序的安装的各种示例。身份证明通过在客户端设备上安装配置简档而被发送到该设备。所述配置简档包括身份证明。管理服务还可以启动托管应用程序的安装。身份证明可用于认证客户端设备，以便可以将认证密钥提供给托管应用程序。

Description

将认证密钥分发给应用程序安装
相关申请的交叉引用
本申请要求于2015年6月29日提交的申请号为14/753,889、名称为“DISTRIBUTINGAN AUTHENTICATION KEY TO AN APPLICATION INSTALLATION(将认证密钥分发给应用程序安装)”的美国非临时专利申请的权益，其全部内容通过引用并入本文中。
本申请涉及于2015年6月18日提交的申请号为3056/CHE/2015、名称为“DISTRIBUTING SECURITY CODES THROUGH A RESTRICTED COMMUNICATIONS CHANNEL(通过受限的通信信道分发安全码)”的印度专利申请以及于2015年10月7日提交的申请号为14,876,827、名称为“DISTRIBUTING SECURITY CODES THROUGH A RESTRICTEDCOMMUNICATIONS CHANNEL(通过受限的通信信道分发安全码)”的美国专利申请。
背景技术
用户认证对于维护数据安全性和访问控制十分重要。应用程序通常作为托管应用程序(managed application)安装在客户端设备上。托管应用程序可以在企业移动管理(enterprise mobility management，EMM)系统的请求下安装。一旦客户端设备向EMM系统注册为托管设备(managed device)，则EMM系统就可以在客户端设备上启动应用程序的安装。将客户端设备注册为托管设备授予EMM基础设施某些特权来管理、监控或以其他方式监督托管设备的操作。在诸如设备被发放(issue)给公司员工的公司环境之类的企业环境中，管理员可以在客户端设备上启动各种应用程序的安装，该客户端设备向与企业相关联的用户提供各种功能。
例如，EMM基础设施可以通过指示客户端设备从应用程序库(例如可以从其下载或购买软件的公共应用程序市场)下载并安装应用程序来启动应用程序在客户端设备上的安装。在某些实例中，企业可能有许多应用程序，管理员可以使得该应用程序对于企业内的用户而言是可用的。这些应用程序中的一个或更多可以要求用户认证他的或她的身份，以便使用该应用程序或本地地或通过网络使用应用程序来访问资源。为了辅助用户认证，EMM基础设施可以将认证密钥分发给托管应用程序，该托管应用程序可以用其认证与特定客户端设备相关联的用户账户的身份。因此，认证密钥的安全分发可能是希望的，以辅助对托管应用程序的安装的认证。
附图说明
参照以下附图可以更好地理解本公开的许多方面。附图中的组件不一定按比例绘制，而是着重于清楚地示出本公开的原理。此外，在附图中，贯穿若干视图，相似的参考标号表示相应的部分。
图1是示例性联网环境的图。
图2A-2B描绘了示例性序列图。
图3A-3B描绘了示例性流程图。
具体实施方式
用户认证对维护数据安全与对本地和网络资源的访问控制非常重要。如上所述，应用程序通常作为托管应用程序安装在客户端设备上。托管应用程序可以在实现企业移动管理(EMM)功能的管理服务的请求下安装。一旦客户端设备向管理服务注册为托管设备，则管理服务可以启动在客户端设备上安装应用程序。为了完成设备的注册，用户可以使用在客户端设备上运行的软件代理或组件来将他的或她的用户凭证呈现给管理服务。在客户端设备上运行的软件代理或组件可以以管理服务来认证用户。管理服务可以利用应用编程接口(application programming interface，API)，以便管理、监控或以其他方式监督托管设备的操作，该应用编程接口由客户端设备执行的操作系统提供。在企业环境中，例如设备被发放给公司员工的公司环境中，管理员可以启动应用程序在客户端设备上的安装。在管理服务的指导下安装的应用程序可以是托管应用程序。
在一些情景中，通过作为托管应用程序安装的应用程序，可以使用用户账户的用户凭证来向管理服务或通过网络可访问的其他系统认证用户。通过向可以用于后续通信的应用程序的安装实例提供认证密钥或会话令牌来验证用户的身份。例如，认证密钥可以包括会话令牌、访问令牌或其他类型的令牌，其允许用户账户被验证而不需要用户的实际凭证，诸如用户名/密码对。然后，应用程序的安装可以将该认证密钥提供给管理服务或需要验证用户账户的任何其他服务提供商系统，以便为应用程序提供对资源的访问。
本公开的示例可以辅助(facilitate)将认证令牌安全分发给在客户端设备上的应用程序安装，所述客户端设备向管理服务注册为托管设备。认证令牌只有在客户端设备以通过管理服务安装在客户端设备上的身份证明(identity certificate)的方式被认证之后才能提供给客户端设备。由于托管设备可以向管理服务授予某些特权，所以管理服务可以有权在托管设备上安装各种类型的配置文件。通过由客户端设备执行的操作系统提供的管理API来辅助配置简档(configuration profile)的安装。例如，APPLE IOS操作系统可以提供可用于安装包括身份证明(作为有效负载)的配置简档的管理API。
针对注册为托管设备的设备，可以使得管理API可用于管理服务。在一种情景中，身份证明可以通过将证书(certificate)与由管理服务安装在客户端设备上的配置简档相合并而安装在客户端设备上。然后管理服务可利用客户端设备(其利用该证书)的操作系统的功能，以便验证客户端设备的身份。管理服务验证客户端设备的身份，以响应于尚未采用管理服务认证自己的应用程序的安装的后续网络通信来确定是否应该向客户端设备提供认证密钥。
参照图1，示出根据各种示例的联网环境100。联网环境100包括客户端设备106和计算环境109，其可以通过网络118彼此进行数据通信。网络118包括例如因特网、一个或更多内联网、外联网、广域网(WAN)、局域网(LAN)、有线网络、无线网络、其他合适的网络，或者两个或更多这种网络的任何组合。例如，网络可以包括卫星网络、线缆网络、以太网和其他类型的网络。
计算环境109可以包括例如服务器计算机。可选地，计算环境109可以采用例如可以被布置在一个或更多服务器库(bank)或计算集群中的多个计算设备。计算设备可以位于单个安装中，或者可以分布在许多不同的地理位置中。例如，计算环境109可以包括一起形成托管(hosted)计算资源、网格计算资源或任何其他分布式计算布置的多个计算设备。在一些情况下，计算环境109可以作为弹性计算资源的至少一部分来操作，其中处理、网络、存储或其他计算相关资源的分配容量可以随时间变化。计算环境109还可以包括或操作为一个或更多虚拟化计算机实例。通常，计算环境109可以根据特定的安全协议来操作，使得它们被认为是受信的计算环境。存储在数据存储121中的数据与下面描述的各种组件的操作相关联。
计算环境109可以执行管理服务112或其他系统。管理服务112可以管理或监督多个客户端设备106的操作。在一些示例中，诸如一个或更多公司或其他组织的企业可以操作管理服务112来监督或管理员工、承包商或企业环境中的其他用户的客户端设备106的操作。在这个意义上，客户端设备106是由管理服务112管理的托管设备。
客户端设备106可以通过API向管理服务112注册为托管设备，该API由客户端设备106执行的操作系统提供。注册过程可以包括对用户凭证的认证。一旦由管理服务112对用户的凭证进行了认证，管理服务112可以将管理简档(management profile)发送到客户端设备106。管理简档允许使用由操作系统提供的管理API来执行各种管理功能。
管理功能的示例可包括擦除来自客户端设备106的某些数据、安装某些应用程序或应用程序更新、安装配置简档、锁定客户端设备106或激活显示器锁定功能、执行对客户端设备106的工厂重置或执行其他管理功能的命令。如上所述，由管理服务112生成的或者从另一服务(诸如认证机构)获得的身份证明可以由管理服务112通过向客户端设备106分发配置简档而安装在客户端设备106上。身份证明可以与用户账户唯一地相关联，并且用于识别客户端设备106的身份或与客户端设备106相关联的用户账户。例如，身份证明可以认证用户对电子邮件、网络或其他资源的访问。在本公开的示例中，证书可以辅助与客户端设备106相关联的用户账户的认证。一旦安装证书，认证密钥还可以被部署到应用程序的安装，所述应用程序作为托管应用程序被安装在客户端设备106上中。
身份证明还可以由用户或管理员手动安装在客户端设备106上。在这种情况下，可以将证书作为电子邮件的附件发送到客户端设备106，或者可以从网络源或本地存储下载到客户端设备106。然后，用户或管理员可以下载并在客户端设备106上安装证书。在另一种情景中，还可以使用诸如简单证书注册协议(Simple Certificate Enrollment Protocol，SCEP)之类的协议将证书分发给客户端设备106。在这种情景中，管理服务112或另一服务可以使用由API实现的协议将证书分发给客户端设备106，该API由客户端设备106执行的操作系统提供。身份证明或安装身份证明所采用的简档还可以指定安装在客户端设备106上的哪些应用程序允许访问身份证明。安装身份证明可采用的简档的示例为“单点登录简档”。
管理服务112还可以辅助确保由管理服务112管理的客户端设备106按照各种合规规则(compliance rule)进行操作。在一种情景中，管理服务112可以发出管理命令，其指示客户端设备106针对合规规则采取特定的动作。例如，如果客户端设备106被指定为丢失或被盗，则管理服务112可以发出命令，指示客户端设备106擦除存储在客户端设备106上的数据和应用程序。如果管理服务112确定客户端设备106违反了关于安装在客户端设备106上的未授权的修改或未授权的应用程序的合规规则，则管理服务112可以发出命令，指示客户端设备106擦除存储在客户端设备106上的数据和应用程序。作为另一个示例，管理服务112还可以发出命令，指示客户端设备106激活客户端设备106的显示器锁定，该显示器锁定要求用户输入PIN以便使用客户端设备106。客户端设备106还可以本地地存储合规规则，并且使用安装在客户端设备106上的进程来实施合规规则。
存储在数据存储121中的数据包括例如用户数据133。数据存储121还可以存储合规规则、用户电子邮件、日历数据、联系人数据、文档、文件以及未被描绘并且对于充分理解本公开的示例不是必需的其他企业数据。用户数据133可以包括认证用户账户可采用的信息，诸如用户凭证、用户名/密码对，或者任何类型的加密形式的认证凭证。用户数据133还可以包括诸如应用程序、电子邮件、联系人、日历数据、文档、文件或与用户的用户账户或客户端设备106相关联的其他数据之类的数据。
设备数据136可以表示存储在数据存储121中的数据，该数据存储121与向管理服务112注册为托管设备的客户端设备106相关联。设备数据136可以包括与客户端设备106相关联的唯一设备标识符、与特定客户端设备106相关联的设备策略、关于与客户端设备106相关联的配置简档的信息、与特定客户端设备106相关联的状态信息以及辅助管理服务112管理客户端设备106的其他数据。当特定客户端设备106向管理服务112注册为托管设备时，管理服务器112可以在设备数据136中创建条目，使得客户端设备106可以与特定用户的用户账户相关联。
身份证明138可以表示公钥证书，公钥证书包括关于特定用户以及与用户相关联的密钥的信息。身份证明138还可以包括作为证明的签名者的证明机构的数字签名。在一些情景中，如上所述，身份证明138可以由管理服务112自签名，其可以代表用户生成身份证明138，所述身份证明138被用于各种身份验证目的。
应用程序安装数据141表示与应用程序相关联的数据，该应用程序作为托管应用程序被安装在与用户账户相关联的一个或更多客户端设备106上。应用程序安装数据141可以包括安装在特定用户的客户端设备106上的应用程序的身份、用于应用程序的特定安装的许可数据、应用程序设置、配置、应用程序的副本、版本信息或与安装在用户的客户端设备106上的应用程序相关联的任何其他数据。应用程序安装数据141还可以包括与客户端设备106上的应用程序的特定安装相关联的认证密钥142。在本公开中，客户端设备106上的应用程序的特定安装也被称为应用程序安装。
认证密钥142可以包括会话令牌、访问令牌或其他类型的令牌，其允许在不需要用户的实际凭证(例如用户名/密码对)的情况下验证用户账户。认证密钥142还可以包括由管理服务112生成并与应用程序安装相关联的密钥散列消息认证码(keyed-hash messageauthentication code，HMAC)。认证密钥142是与应用程序在特定客户端设备106上的特定安装相关联的唯一代码或令牌，其中应用程序在管理服务112的指导下作为托管应用程序被安装。一旦认证了用户的身份，认证密钥142可以被提供给应用程序安装，并且可以被应用程序安装用于向管理服务112认证其自身。
客户端设备106代表可以与用户或企业相关联的一个或更多设备，其可以向管理服务112注册为托管设备。客户端设备106可以表示可以体现为台式计算机、膝上型计算机、个人数字助理、蜂窝电话、智能手机、机顶盒、音乐播放器、网络平板电脑、平板电脑系统、游戏机、电子书阅读器或具有相同能力的任何其他设备等形式的基于处理器的系统(诸如计算机系统)。客户端设备106可以包括显示器，其包括例如一个或更多诸如液晶显示(LCD)显示器或其他类型的显示器设备的设备。客户端设备106还可以配备有联网能力或联网接口，包括诸如NFC能力、RFID读取和/或写入能力、麦克风和/或扬声器或其他局部通信能力的局部联网或通信能力。
客户端设备106可以被配置成执行操作系统143，该操作系统143提供辅助管理服务112对设备进行管理的各种API。例如，操作系统143可以允许客户端设备106采用管理服务112注册为托管设备。操作系统143还可以允许通过管理服务112将配置简档安装在客户端设备106上。在一种情景中，配置简档可以包括由管理服务112生成的或由其获得的身份证明。操作系统143还可以实现安全和认证协议，例如Kerberos认证。在一个示例中，操作系统143可以拦截某些网络通信，该某些网络通信与被发送到安装在客户端设备106上的应用程序或服务的认证协议相关，并且可以代表应用程序或服务处理对这些通信的响应。
例如，如果诸如管理服务112的网络服务发布具有对应于“未授权”消息的状态码401的超文本传输协议(HTTP)响应或者对认证的请求，则操作系统143可以拦截通信并确定是否已经在客户端设备106上安装了适当的凭证或身份证明。对认证的请求可以包括对必要的认证协议、凭证或身份证明的指示以便完成认证。例如，认证请求可以指示管理服务112需要Kerberos认证，以便完成对客户端设备106的认证。如果在客户端设备106上安装了适当的凭证或身份证明，则操作系统143可以代表通信被发送到的应用程序或服务来对通信进行回复。
客户端设备106还可以执行各种应用程序，诸如管理组件145、一个或更多托管应用程序147以及其他应用程序、服务或过程。管理组件145可以监控或管理客户端设备106的数据、应用程序或硬件组件的至少一部分。管理组件145还可以识别客户端设备106是否正在按照已经指派给客户端设备106的合规规则进行操作。在一些示例中，管理组件145可以用作客户端设备106的操作系统的一部分。在其他示例中，管理组件145可以在客户端设备106的应用层中起作用。或者，管理组件145可以是例如使用软件开发工具包(SoftwareDevelopment Kit，SDK)开发的应用程序的一部分，所述软件开发工具包辅助在应用程序中包括监控或管理客户端设备106的至少部分资源的功能。
管理组件145可以在客户端设备106启动时由客户端设备106自动执行。另外，管理组件145可以作为客户端设备106中的后台进程运行。因此，在一些示例中，管理组件145可以在没有用户干预的情况下执行。另外，管理组件145可以与管理服务112通信，以便辅助对客户端设备106的管理以及合规规则的实施。管理组件145还可以辅助将客户端设备106向管理服务112注册为托管设备。为了辅助注册，管理组件145可以通过在客户端设备106的显示器上呈现的用户界面来获得用户凭证，诸如用户名/密码组合。然后，管理组件145可以启动客户端设备106向管理服务112的注册。例如，管理组件145可以在客户端设备106上安装管理简档，其允许管理组件145和/或管理服务112使用由操作系统143提供的管理API来管理客户端设备106。
托管应用程序147可以表示在管理服务112的指导下安装的任何应用程序。管理服务112可以发出命令，指示客户端设备106安装特定应用程序作为托管应用程序147，使得管理服务112可以管理应用程序的安装。以这种方式，管理服务112可以启动对托管应用程序147的删除或对由托管应用程序147使用的数据的删除，指定由托管应用程序147使用的设置或策略，或者执行与托管应用程序147相关联的由操作系统143支持的其他管理功能。
设备简档(device profile)149可以存储在客户端设备106上并由操作系统143管理。设备简档149可以表示可以允许管理员将配置信息分发到托管设备的配置简档。设备配置文件149可以包括例如电子邮件设置、网络设置、身份证明或者管理员可能希望在客户端设备106上驻留的任何其他配置数据。管理服务112可以将设备简档149与在客户端设备106上安装设备简档149的命令一起发送到客户端设备106，使得它们可以由也被安装在客户端设备106上的某些应用或服务访问。
在本公开的上下文中，在管理服务112的指导下安装在客户端设备106上的设备简档149可以包括身份证明138，该身份证明138由管理服务112代表与客户端设备106相关联的用户账户生成或获得。因此，在向管理服务112注册客户端设备106之后，管理服务112可以发送包括身份证明138的设备简档149以安装在客户端设备106上。由于管理服务112可以生成或获得与用户账户相关联的身份证明138，管理服务112还可以通过确认由客户端设备106提供的证书与存储在用户数据133中的身份证明138相匹配来验证客户端设备106的身份。包含身份证明138的设备配置文件149可以通过安全通信链路，例如网络118上的安全套接层(secure sockets layer，SSL)连接，被发送到客户端设备106。
为了辅助认证密钥142安全分发到客户端设备106上的应用程序安装，管理服务112可以通过利用由操作系统143(例如Kerberos)实现安全协议来认证托管应用程序147。在一种情景中，当由用户启动时，托管应用程序147可以通过网络向管理服务112发送通信。托管应用程序147可以被指示(instrumented)为向管理服务112提供可以是会话令牌、一次性密码或者任何其他密钥的认证密钥142，以便访问可以通过管理服务112或可依赖管理服务112来认证托管应用程序147的任何其他系统访问的资源。
在一种情景中，托管应用程序147可以提供由管理服务112已过期的或是无效的认证密钥142。如果托管应用程序147第一次被启动，则托管应用程序147将不具有与应用程序的安装相关联的认证密钥142以提供给管理服务112。在任一情景中，管理服务112可以用认证请求或指示托管应用程序147未被认证的通信来对托管应用程序147的安装进行回复。
认证请求可以包括具有指示托管应用程序147未被授权的状态码401的HTTP响应。操作系统143可以拦截认证请求并且确定适当的身份证明138是否存储在客户端设备106上，其可以提供给管理服务112。例如，操作系统143可以基于域名、用户标识符或嵌入在认证请求中的任何其他信息而验证适当的身份证明138。管理服务112可以验证由操作系统143提供的身份证明138，并且用认证密钥142对托管应用程序147的安装进行回复，对托管应用程序147的安装存储认证密钥142以用于随后与管理服务112或另一个服务器或者提供对资源的访问的应用程序进行通信。对托管应用程序147的安装可以将认证密钥142存储在访问受限的存储中，使得操作系统143可以禁止安装在客户端设备106上的其他应用程序访问。
管理服务112还可以撤销分配给托管应用程序147的认证密钥142，这将认证密钥142与数据存储121中的用户的用户账户解除关联。在这种情景中，对认证密钥142的撤销还可以撤销对用于在客户端设备106上的托管应用程序147的安装的特定资源的访问。
接下来参照图2A-2B，示出了根据本公开的示例的示出客户端设备106与计算环境109之间的交互的顺序图。如步骤201所示，管理服务112可以发出命令以在由管理服务112管理的客户端设备106上安装设备简档149。设备简档149可以包括由管理服务112生成或获得的代表与客户端设备106相关联的用户的身份证明138。身份证明138可以辅助客户端设备106的认证以用于随后的与管理服务112的通信。
证书简档(certificate profile)可以被发送到由客户端设备106执行的操作系统143，所述操作系统143提供了辅助对包含身份证明138的设备简档149的安装的API。在步骤203中，操作系统143可以安装包括身份证明138的设备简档149。操作系统143可以验证设备简档149是否从具有在客户端设备106上安装设备简档149的权限的管理服务112接收。换句话说，操作系统143可以验证设备简档149是从具有向客户端设备106发出MDM命令的权限的系统接收的。
在步骤205中，管理服务112可以向操作系统143发出安装作为托管应用程序147的应用程序的命令。在步骤206中，操作系统143可以启动由客户端设备106上的命令所识别的应用程序的安装。在一些示例中，安装作为托管应用程序147的应用程序的命令还可以被发送到管理组件145或由客户端设备106执行的任何其他进程或代理，其具有代表管理服务112启动对应用程序的安装的特权。在步骤206中，操作系统143可以安装作为托管应用程序147的应用程序。
在步骤207中，由操作系统143安装的托管应用程序147可以发送命令，以连接或访问管理服务112控制访问的一个或更多资源。管理服务112可以确定该命令是否包含对应于托管应用程序147的安装的认证密钥142。在所描绘的情景中，因为连接命令是托管应用程序147第一次尝试联系管理服务112，所以托管应用程序147不具有认证密钥142，认证密钥142认证其对管理服务112的访问。
相应地，在步骤209中，管理服务112可以用认证的命令或认证请求来对连接命令进行回复。如上所述，认证请求可以包括具有对应于“未授权”消息的状态码401的HTTP响应。认证请求可以被发送到操作系统143或被操作系统143拦截，操作系统143实现诸如Kerberos的安全协议。在步骤211中，操作系统143可以代表托管应用程序147用存储在客户端设备106上的身份证明138对认证请求进行回复。在步骤213中，管理服务112可以验证身份证明138，以便认证客户端设备106的身份或者与客户端设备106相关联的用户账户。
继续图2A的顺序图，现在参照图2B。如步骤215所示，一旦响应于来自管理服务112的认证请求而验证操作系统143提供的身份证明138，管理服务112就可以生成或获得认证密钥142，并且将认证密钥142发送到托管应用程序147。认证密钥142可以包括会话密钥、会话令牌、认证令牌、一次性密码或者在随后的通信中可以由托管应用程序147用来向管理服务112认证其自身的任何其他凭证。例如，为了访问电子邮件、文档或托管应用程序147与管理服务112或计算环境109中的其他进程进行通信的其他资源，可以提供认证密钥142作为凭证，其认证在与特定用户账户相关联的客户端设备106上的托管应用程序147的特定安装。
在步骤217中，托管应用程序147可以安装认证密钥142。安装认证密钥142可能需要将认证密钥142保存在客户端设备106上的托管应用程序147可访问的安全存储区域中。在步骤219中，托管应用程序147可以将认证密钥142提供给管理服务112。可以将认证密钥142作为访问通过网络118可访问的资源的请求的一部分发送到管理服务112。资源可以包括电子邮件、文档、联系人数据、日历数据或管理服务112控制访问的任何其他资源。在步骤221中，管理服务112可以验证从托管应用程序147接收的认证密钥142，以确定是否应该准许托管应用程序147访问所请求的资源。
接下来参照图3A-3B，示出了提供管理服务112的操作的一个示例的流程图。作为替换，图3A-3B示出的流程图可以被看作描绘了在计算环境101中实现的方法的元件的示例。属于管理服务112的功能可以在由计算环境101执行的单个进程或应用程序中或者在多个进程或应用程序中实现。仅出于说明的目的而呈现如本文讨论的功能的分离或分割。
从步骤301开始，管理服务112可以向客户端设备106发送包括身份证明138的设备简档149。设备简档149可以以证书简档命令、配置简档、或者可以引导客户端设备106的操作系统143在客户端设备106上安装身份证明138的任何其他命令或文档。身份证明138还可以识别与客户端设备106相关联的用户账户的用户名、与管理服务112或用户的企业相关联的域名、或者操作系统143可以从中识别从管理服务112发送到客户端设备106的后续认证请求的任何其他识别信息。
在步骤303中，管理服务112可以启动在客户端设备106上的作为托管应用程序147的应用程序的安装。管理服务112可以发出指导操作系统143或管理组件145获取并在客户端设备106上安装作为托管应用程序147的该应用程序。在步骤305中，管理服务112可以从托管应用程序147的安装中接收对内容的请求。在一些示例中，可以向第三方服务进行对内容的请求。在这种情况下，管理服务112可以响应于第三方服务向托管应用程序147的安装发送认证请求，来代表第三方服务向客户端设备106上的托管应用程序147的安装辅助提供认证密钥。该请求可以包括根据Kerberos协议的连接命令。该请求还可以包括来自托管应用程序147的对资源的任何其他类型的连接请求。
在步骤307中，管理服务112可以响应于从托管应用程序147接收对内容的请求，向托管应用程序147发送认证请求。如上所述，认证请求可以包括具有指示托管应用程序147是未被授权的状态码401的HTTP响应。在步骤309中，管理服务112可以从客户端设备106接收身份证明138。在步骤310中，管理服务112可以验证从托管应用程序147接收到的身份证明138。如果身份证明138未通过验证，则由于托管应用程序147未被授权访问所请求的资源，因此该过程继续到完成。如果证书未正确签名、未签名、识别不正确的用户，或者包含导致身份证明138从最初在步骤301中由管理服务112提供到由客户端设备106的身份证明138而变化的任何其他缺陷，则身份证明138未通过验证。
如果身份证明138由管理服务112验证，则过程进行到图3B。在图3B的步骤311中，响应于身份证明138被验证，管理服务112将认证密钥142发送到客户端设备106上的托管应用程序147的安装。在步骤313中，管理服务112可以从托管应用程序147接收认证密钥142。在步骤315中，管理服务112可以确定认证密钥142是否对应于由管理服务112提供给客户端设备106的认证密钥142。换句话说，管理服务112可以验证通过管理服务112请求内容的应用程序的安装与认证密钥142被提供给其的安装是相同的安装。如果认证密钥142被验证，则在步骤319中，管理服务112可以准许托管应用程序147访问所请求的资源。如果认证密钥142未被验证，则在步骤317中，管理服务112可以拒绝托管应用程序147的安装访问所请求的资源。
图2A-2B和3A-3B的顺序图和流程图示出了本文描述的组件的实现方式的功能和操作的示例。这里描述的组件可以以硬件、软件或者硬件和软件的组合来体现。如果以软件体现，则每个元素可以表示包括用于实现一个或更多指定的逻辑功能的程序指令的代码模块或部分代码。程序指令可以以例如包括用编程语言编写的人类可读语句的源代码或者包括可由合适的执行系统(诸如计算机系统或其他系统中的处理器)识别的机器指令的机器代码的形式来体现。如果以硬件体现，则每个元素可以表示实现指定逻辑功能的电路或多个互连电路。
尽管流程图显示了特定的执行顺序，但是应该理解的是，执行的顺序可以不同于所示的顺序。例如，两个或更多元件的执行顺序可以相对于所示的顺序进行交换。此外，连续显示的两个或更多元件可以同时执行或部分同时执行。此外，在一些示例中，流程图中示出的一个或更多元件可以被跳过或省略。
客户端设备106、计算环境109或本文描述的其他组件可以包括至少一个处理电路。这样的处理电路可以包括例如一个或更多处理器以及耦合到本地接口的一个或更多存储设备。本地接口可以包括例如具有伴随地址的数据总线/控制总线或任何其他合适的总线结构。
用于处理电路的一个或更多存储设备可以存储可由处理电路的一个或更多处理器执行的数据或组件。例如，管理服务112、操作系统143、管理组件145或其他组件可以存储在一个或更多存储设备中，并且可以由一个或更多处理器执行。而且，诸如数据存储121的数据存储可以存储在一个或更多存储设备中。
本文描述的管理服务112、操作系统143、管理组件145或其他组件可以以硬件形式、作为可由硬件执行的软件组件、或作为软件和硬件的组合来体现。如果体现为硬件，则本文描述的组件可以被实现为采用任何合适的硬件技术的电路或状态机。硬件技术可以包括例如一个或更多微处理器、具有用于在施加一个或更多数据信号时实现各种逻辑功能的逻辑门的分立逻辑电路、具有适当逻辑门的专用集成电路(application specificintegrated circuit，ASIC)，可编程逻辑器件(例如，现场可编程门阵列(field-programmable gate array，FPGA)和复杂可编程逻辑器件(complex programmable logicdevices，CPLD))。
而且，本文描述的包括软件或程序指令的一个或更多组件可以以任何非暂时性计算机可读介质体现，以供指令执行系统(诸如计算机系统或其他系统中的处理器)使用或与其结合使用。计算机可读介质可以包含、存储和/或维护由指令执行系统使用或与其结合使用的软件或程序指令。
计算机可读介质可以包括诸如磁、光、半导体和/或其他合适的介质的物理介质。合适的计算机可读介质的示例包括但不限于固态驱动器、磁驱动器或闪存。此外，本文描述的任何逻辑或组件可以以各种方式来实现和构造。例如，所描述的一个或更多组件可以被实现为单个应用程序的模块或组件。此外，本文描述的一个或更多组件可以在一个计算设备中执行或者通过使用多个计算设备来执行。
需要强调的是，本公开的上述示例仅仅是为了清楚地理解本公开的原理而提出的实现方式的示例。在本质上不偏离本公开的精神和原理的情况下，可以对上述示例做出许多变型和修改。所有这样的修改和变化在本文中旨在被包括在本公开的范围内。

Claims (20)

1.一种包含能够在计算设备中执行的程序的非暂时性计算机可读介质，所述程序在由所述计算设备执行时被配置为使所述计算设备至少：
将身份证明发送到客户端设备，所述身份证明与用户账户唯一相关联，所述身份证明进一步作为由所述客户端设备执行的操作系统的证书简档被安装；
在所述客户端设备上启动应用程序的安装；
代表所述应用程序的所述安装，接收访问内容的请求；
将对所述身份证明的请求发送到所述客户端设备；
从所述客户端设备接收所述身份证明；
基于从所述客户端设备接收到的所述身份证明是否与发送到所述客户端设备的所述身份证明相匹配来验证所述用户账户的身份；
响应于验证所述用户账户的所述身份而生成认证密钥，所述认证密钥与所述应用程序的所述安装相关联；以及
将所述认证密钥发送到所述客户端设备。
2.根据权利要求1所述的非暂时性计算机可读介质，其中所述认证密钥包括与所述应用程序的所述安装相关联的密钥散列消息认证码(HMAC)或会话令牌中的至少一个。
3.根据权利要求1所述的非暂时性计算机可读介质，其中所述认证密钥被发送到由所述客户端设备执行的所述应用程序的安装。
4.根据权利要求1所述的非暂时性计算机可读介质，其中对所述身份证明的所述请求包括具有状态码401的超文本传输协议(HTTP)响应。
5.根据权利要求1所述的非暂时性计算机可读介质，其中响应于确定所述应用程序的所述安装不与认证密钥相关联而生成对所述身份证明的所述请求，其中所述认证密钥与所述计算设备能够访问的数据存储中的所述用户账户相关联。
6.根据权利要求1所述的非暂时性计算机可读介质，所述程序进一步被配置为使所述计算设备至少：
接收来自所述客户端设备的访问内容的请求；以及
基于来自所述客户端设备的访问内容的请求是否包含所述认证密钥来认证所述客户端设备。
7.根据权利要求1所述的非暂时性计算机可读介质，所述程序进一步被配置为通过将所述应用程序的所述安装与所述计算设备能够访问的数据存储中的所述认证密钥解除关联来使所述计算设备至少撤销所述认证密钥。
8.一种系统，包括：
至少一个计算设备；以及
能够由所述至少一个计算设备执行的管理服务，所述管理服务被配置为使所述至少一个计算设备至少：
将身份证明发送到客户端设备，所述身份证明与用户账户唯一相关联，所述身份证明进一步作为由所述客户端设备执行的操作系统的证书简档被安装；
在所述客户端设备上启动应用程序的安装；
代表所述应用程序的所述安装，接收访问内容的请求；
将对所述身份证明的请求发送到所述客户端设备；
从所述客户端设备接收所述身份证明；
基于从所述客户端设备接收到的所述身份证明是否与发送到所述客户端设备的所述身份证明相匹配来验证所述用户账户的身份；
响应于验证所述用户账户的所述身份而生成认证密钥，所述认证密钥与所述应用程序的所述安装相关联；以及
将所述认证密钥发送到所述客户端设备。
9.根据权利要求8所述的系统，其中所述认证密钥包括与所述应用程序的所述安装相关联的密钥散列消息认证码(HMAC)或会话令牌中的至少一个。
10.根据权利要求8所述的系统，其中所述认证密钥被发送到由所述客户端设备执行的所述应用程序的所述安装。
11.根据权利要求8所述的系统，其中对所述身份证明的所述请求包括具有状态码401的超文本传输协议(HTTP)响应。
12.根据权利要求8所述的系统，其中响应于确定所述应用程序的所述安装不与认证密钥相关联而生成对所述身份证明的所述请求，其中所述认证密钥与所述计算设备能够访问的数据存储中的所述用户账户相关联。
13.根据权利要求8所述的系统，其中所述管理服务进一步被配置为：
接收来自所述客户端设备的访问内容的请求；以及
基于来自所述客户端设备的访问内容的请求是否包含所述认证密钥来认证所述客户端设备。
14.根据权利要求8所述的系统，其中所述管理服务进一步被配置为通过将所述应用程序的所述安装与所述计算设备能够访问的数据存储中的所述认证密钥解除关联来使所述至少一个计算设备至少撤销所述认证密钥。
15.一种方法，包括：
将身份证明发送到客户端设备，所述身份证明与用户账户唯一相关联，所述身份证明进一步作为由所述客户端设备执行的操作系统的证书简档而被安装；
在所述客户端设备上启动应用程序的安装；
代表所述应用程序的所述安装，接收访问内容的请求；
将对所述身份证明的请求发送到所述客户端设备；
从所述客户端设备接收所述身份证明；
基于从所述客户端设备接收到的身份证明是否与发送到所述客户端设备的身份证明相匹配来验证所述用户账户的身份；
响应于验证所述用户账户的所述身份而生成认证密钥，所述认证密钥与所述应用程序的所述安装相关联；以及
将所述认证密钥发送到所述客户端设备。
16.根据权利要求15所述的方法，其中所述认证密钥包括与所述应用程序的所述安装相关联的密钥散列消息认证(HMAC)码或会话令牌中的至少一个。
17.根据权利要求15所述的方法，其中所述认证密钥被发送到由所述客户端设备执行的所述应用程序的所述安装。
18.根据权利要求15所述的方法，其中响应于确定所述应用程序的所述安装不与认证密钥相关联而生成对所述身份证明的所述请求，其中所述认证密钥与所述用户账户相关联。
19.根据权利要求15所述的方法，进一步包括：
接收来自所述客户端设备的访问内容的请求；以及
基于来自所述客户端设备的访问内容的所述请求是否包含所述认证密钥来认证所述客户端设备。
20.根据权利要求15所述的方法，进一步包括通过将所述应用程序的所述安装与数据存储中的所述认证密钥解除关联来撤销所述认证密钥。
CN201680034662.8A 2015-06-29 2016-06-27 将认证密钥分发给应用程序安装的系统和方法 Active CN107820689B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US14/753,889 US9843572B2 (en) 2015-06-29 2015-06-29 Distributing an authentication key to an application installation
US14/753,889 2015-06-29
PCT/US2016/039633 WO2017003945A1 (en) 2015-06-29 2016-06-27 Distributing an authentication key to an application installation

Publications (2)

Publication Number Publication Date
CN107820689A true CN107820689A (zh) 2018-03-20
CN107820689B CN107820689B (zh) 2021-10-26

Family

ID=57603145

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201680034662.8A Active CN107820689B (zh) 2015-06-29 2016-06-27 将认证密钥分发给应用程序安装的系统和方法

Country Status (4)

Country Link
US (2) US9843572B2 (zh)
EP (1) EP3314809B1 (zh)
CN (1) CN107820689B (zh)
WO (1) WO2017003945A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112470428A (zh) * 2018-06-08 2021-03-09 威睿公司 未托管的安全的应用程序间数据通信

Families Citing this family (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10484372B1 (en) * 2015-12-14 2019-11-19 Amazon Technologies, Inc. Automatic replacement of passwords with secure claims
US10652023B2 (en) * 2015-12-30 2020-05-12 T-Mobile Usa, Inc. Persona and device based certificate management
US10972262B2 (en) 2015-12-30 2021-04-06 T-Mobile Usa, Inc. Persona and device based certificate management
US10228926B2 (en) * 2016-01-28 2019-03-12 T-Mobile Usa, Inc. Remote support installation mechanism
FR3058286B1 (fr) * 2016-11-02 2019-11-22 Overkiz Procede de procede de controle d’acces a un service utilisateur destine au controle d’une installation domotique
CN110235424B (zh) * 2017-01-20 2022-03-08 三星电子株式会社 用于在通信系统中提供和管理安全信息的设备和方法
CN107169762B (zh) * 2017-05-24 2020-02-07 中国银联股份有限公司 一种安全载体的配置方法及装置
US10521581B1 (en) * 2017-07-14 2019-12-31 EMC IP Holding Company LLC Web client authentication and authorization
US11115392B1 (en) * 2018-03-07 2021-09-07 Turbo Business Suite LLC Consumer-authorized controlled distribution of trusted source data
US20220038479A1 (en) * 2018-09-20 2022-02-03 Siemens Mobility GmbH Data Capture Apparatus with Embedded Security Applications and Unidirectional Communication
US11558366B2 (en) * 2018-10-26 2023-01-17 Cisco Technology, Inc. Access to secured networks for known entities
CN109617694B (zh) * 2018-12-21 2021-10-26 网易（杭州）网络有限公司 一种应用程序发布方法和装置
US11122029B2 (en) * 2019-01-11 2021-09-14 Citrix Systems, Inc. Secure cloud computing
US11343079B2 (en) * 2020-07-21 2022-05-24 Servicenow, Inc. Secure application deployment
US11764979B2 (en) * 2021-05-28 2023-09-19 Servicenow, Inc. Customer-controlled authentication
US20230222205A1 (en) * 2022-01-13 2023-07-13 Vmware, Inc. Sharing enterprise resources with temporary users

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101345620A (zh) * 2007-07-10 2009-01-14 吕秀娥 一种网上在线令牌的互联网用户帐号密码保护方法
US7853995B2 (en) * 2005-11-18 2010-12-14 Microsoft Corporation Short-lived certificate authority service
CN102655494A (zh) * 2011-03-01 2012-09-05 广州从兴电子开发有限公司 一种基于saml的单点登录模式设计的认证平台
CN103227799A (zh) * 2013-05-13 2013-07-31 山东临沂烟草有限公司 基于多应用系统统一用户管理及单点登陆平台的实现方法
US20140007215A1 (en) * 2012-06-15 2014-01-02 Lockheed Martin Corporation Mobile applications platform
US20140109174A1 (en) * 2012-10-15 2014-04-17 Citrix Systems, Inc. Providing Virtualized Private Network Tunnels
CN104052608A (zh) * 2014-07-07 2014-09-17 西安电子科技大学 云应用中基于第三方的无证书远程匿名认证方法
US20140331297A1 (en) * 2013-05-03 2014-11-06 Citrix Systems, Inc. Secured access to resources using a proxy

Family Cites Families (55)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040088576A1 (en) 2002-10-31 2004-05-06 Foster Ward Scott Secure resource access
US7496755B2 (en) * 2003-07-01 2009-02-24 International Business Machines Corporation Method and system for a single-sign-on operation providing grid access and network access
CN1879382B (zh) 2003-11-04 2011-12-28 Ntt通信公司 在设备间建立加密通信通道的方法和设备
US7257583B2 (en) * 2004-01-09 2007-08-14 Microsoft Corporation System and method for updating an on-device application catalog in a mobile device receiving a push message from a catalog server indicating availability of an application for download
US7536722B1 (en) * 2005-03-25 2009-05-19 Sun Microsystems, Inc. Authentication system for two-factor authentication in enrollment and pin unblock
US8693995B2 (en) 2007-12-13 2014-04-08 Michelle Fisher Customized mobile applications for special interest groups
EP1982288A2 (en) * 2006-01-26 2008-10-22 Imprivata, Inc. Systems and methods for multi-factor authentication
US20070220271A1 (en) 2006-03-15 2007-09-20 Law Eric C W Online creation and delivery of cryptographically verifiable one-time password tokens
US20080072060A1 (en) 2006-08-28 2008-03-20 Susan Cannon Memory device for cryptographic operations
US8528058B2 (en) * 2007-05-31 2013-09-03 Microsoft Corporation Native use of web service protocols and claims in server authentication
US10015158B2 (en) * 2008-02-29 2018-07-03 Blackberry Limited Methods and apparatus for use in enabling a mobile communication device with a digital certificate
US9479339B2 (en) * 2008-02-29 2016-10-25 Blackberry Limited Methods and apparatus for use in obtaining a digital certificate for a mobile communication device
US8208900B2 (en) * 2008-03-04 2012-06-26 Apple Inc. Secure device configuration profiles
US20100250946A1 (en) * 2009-03-31 2010-09-30 Korte Michael D Ad hoc distribution
US8090797B2 (en) * 2009-05-02 2012-01-03 Citrix Systems, Inc. Methods and systems for launching applications into existing isolation environments
US8898748B2 (en) * 2009-05-21 2014-11-25 Mobile Iron, Inc. Remote verification for configuration updates
EP3832975A1 (en) * 2009-05-29 2021-06-09 Alcatel Lucent System and method for accessing private digital content
EP2462733A4 (en) 2009-08-07 2014-04-30 Ericsson Telefon Ab L M METHOD AND DEVICES FOR CONTROLLING CONTENT CONSUMPTION
CN102025710B (zh) 2009-09-11 2015-11-25 中国银联股份有限公司 多应用智能卡及智能卡多应用管理系统和方法
US8613067B2 (en) * 2009-11-17 2013-12-17 Secureauth Corporation Single sign on with multiple authentication factors
US8683196B2 (en) * 2009-11-24 2014-03-25 Red Hat, Inc. Token renewal
US8763089B2 (en) 2010-01-12 2014-06-24 Microsoft Corporation Flexible authentication and authorization mechanism
US8473743B2 (en) * 2010-04-07 2013-06-25 Apple Inc. Mobile device management
US9645992B2 (en) * 2010-08-21 2017-05-09 Oracle International Corporation Methods and apparatuses for interaction with web applications and web application data
US9894047B2 (en) 2010-09-09 2018-02-13 Kaseya Limited Method and apparatus of providing messaging service and callback feature to mobile stations
US9147085B2 (en) * 2010-09-24 2015-09-29 Blackberry Limited Method for establishing a plurality of modes of operation on a mobile device
US9241195B2 (en) * 2010-11-05 2016-01-19 Verizon Patent And Licensing Inc. Searching recorded or viewed content
WO2012116441A1 (en) 2011-03-03 2012-09-07 Securekey Technologies Inc. Ad-hoc network communications
JP5304817B2 (ja) * 2011-03-09 2013-10-02 コニカミノルタ株式会社 画像形成装置、画像形成システム、画像形成装置の制御方法、及び画像形成装置の制御プログラム
US10127746B2 (en) 2013-05-23 2018-11-13 Bytemark, Inc. Systems and methods for electronic ticket validation using proximity detection for two or more tickets
US8769305B2 (en) * 2011-03-21 2014-07-01 Moncana Corporation Secure execution of unsecured apps on a device
US20120254857A1 (en) * 2011-03-31 2012-10-04 Infosys Technologies Limited System and method for installing an application on client machine
US9143530B2 (en) * 2011-10-11 2015-09-22 Citrix Systems, Inc. Secure container for protecting enterprise data on a mobile device
US8752145B1 (en) 2011-12-30 2014-06-10 Emc Corporation Biometric authentication with smart mobile device
CA2799903C (en) * 2012-02-17 2017-10-24 Research In Motion Limited Certificate management method based on connectivity and policy
FR2987139B1 (fr) * 2012-02-21 2014-09-05 Commissariat Energie Atomique Dispositif optique de diffraction en reflexion a haute tenue au flux laser.
JP5844001B2 (ja) * 2012-04-01 2016-01-13 オーセンティファイ・インクＡｕｔｈｅｎｔｉｆｙ Ｉｎｃ． マルチパーティシステムにおける安全な認証
US9152781B2 (en) * 2012-08-09 2015-10-06 Cisco Technology, Inc. Secure mobile client with assertions for access to service provider applications
US8539567B1 (en) * 2012-09-22 2013-09-17 Nest Labs, Inc. Multi-tiered authentication methods for facilitating communications amongst smart home devices and cloud-based servers
US20140109176A1 (en) * 2012-10-15 2014-04-17 Citrix Systems, Inc. Configuring and providing profiles that manage execution of mobile applications
US9754089B2 (en) 2013-03-15 2017-09-05 Microsoft Technology Licensing, Llc Enterprise application management with enrollment tokens
US9143492B2 (en) 2013-03-15 2015-09-22 Fortinet, Inc. Soft token system
US20150294545A1 (en) 2013-04-11 2015-10-15 Philip Odette Enhanced Low-Battery Alert and Indicator
EP3014837B1 (en) 2013-06-24 2019-08-07 Telefonica Digital España, S.L.U. A computer implemented method to improve security in authentication/authorization systems and computer program products thereof
US9705919B1 (en) * 2013-07-12 2017-07-11 Palo Alto Networks, Inc. Security policy enforcement for mobile devices based on device state
US9894099B1 (en) * 2013-07-12 2018-02-13 Palo Alto Networks, Inc. Automatically configuring mobile devices and applying policy based on device state
US9036820B2 (en) 2013-09-11 2015-05-19 At&T Intellectual Property I, Lp System and methods for UICC-based secure communication
US9674173B2 (en) * 2014-04-10 2017-06-06 Blue Cedar Networks, Inc. Automatic certificate enrollment in a special-purpose appliance
JP6335657B2 (ja) * 2014-05-30 2018-05-30 キヤノン株式会社 権限委譲システム、方法、認証サーバーシステム、およびプログラム
US9230085B1 (en) 2014-07-29 2016-01-05 Sprint Communications Company L.P. Network based temporary trust extension to a remote or mobile device enabled via specialized cloud services
US10021088B2 (en) * 2014-09-30 2018-07-10 Citrix Systems, Inc. Fast smart card logon
US9571288B2 (en) 2014-12-27 2017-02-14 Airwatch Llc Peer to peer enterprise file sharing
US9703572B2 (en) 2015-06-05 2017-07-11 Airwatch Llc Managed application detection logic
US9979553B2 (en) * 2015-08-06 2018-05-22 Airwatch Llc Secure certificate distribution
US9866546B2 (en) 2015-10-29 2018-01-09 Airwatch Llc Selectively enabling multi-factor authentication for managed devices

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7853995B2 (en) * 2005-11-18 2010-12-14 Microsoft Corporation Short-lived certificate authority service
CN101345620A (zh) * 2007-07-10 2009-01-14 吕秀娥 一种网上在线令牌的互联网用户帐号密码保护方法
CN102655494A (zh) * 2011-03-01 2012-09-05 广州从兴电子开发有限公司 一种基于saml的单点登录模式设计的认证平台
US20140007215A1 (en) * 2012-06-15 2014-01-02 Lockheed Martin Corporation Mobile applications platform
US20140109174A1 (en) * 2012-10-15 2014-04-17 Citrix Systems, Inc. Providing Virtualized Private Network Tunnels
US20140331297A1 (en) * 2013-05-03 2014-11-06 Citrix Systems, Inc. Secured access to resources using a proxy
CN103227799A (zh) * 2013-05-13 2013-07-31 山东临沂烟草有限公司 基于多应用系统统一用户管理及单点登陆平台的实现方法
CN104052608A (zh) * 2014-07-07 2014-09-17 西安电子科技大学 云应用中基于第三方的无证书远程匿名认证方法

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112470428A (zh) * 2018-06-08 2021-03-09 威睿公司 未托管的安全的应用程序间数据通信

Also Published As

Publication number Publication date
WO2017003945A1 (en) 2017-01-05
CN107820689B (zh) 2021-10-26
US9843572B2 (en) 2017-12-12
EP3314809A1 (en) 2018-05-02
US10356082B2 (en) 2019-07-16
US20160381006A1 (en) 2016-12-29
US20180077149A1 (en) 2018-03-15
EP3314809A4 (en) 2018-12-12
EP3314809B1 (en) 2022-03-30

Similar Documents

Publication Publication Date Title
CN107820689A (zh) 将认证密钥分发给应用程序安装
US11930426B2 (en) Providing access to applications with varying enrollment levels
US11572713B1 (en) Smart lock box
US8407464B2 (en) Techniques for using AAA services for certificate validation and authorization
US8832453B2 (en) Token recycling
US9577823B2 (en) Rule-based validity of cryptographic key material
CN105027107B (zh) 迁移计算资源的计算机实现的方法及计算系统
CN102281286B (zh) 分布式混合企业的灵活端点顺从和强认证的方法和系统
US7770212B2 (en) System and method for privilege delegation and control
CN109155780A (zh) 基于隧道客户端网络请求的设备认证
US20180336554A1 (en) Secure electronic transaction authentication
KR101530809B1 (ko) 멀티-테넌트 서비스 제공자에 의한 동적 플랫폼 재구성
CN111314340B (zh) 认证方法及认证平台
US9686244B2 (en) Rule-based validity of cryptographic key material
CN108111473B (zh) 混合云统一管理方法、装置和系统
US20070220589A1 (en) Techniques for validating public keys using AAA services
US20150271157A1 (en) Rule-based Validity of Cryptographic Key Material
CN106105138A (zh) 使用数字证书来认证虚拟机图像
JP2009519557A (ja) 資源が限られている装置におけるオフライン認証方法
DE102007044905A1 (de) Verfahren und Vorrichtung zur Ermöglichung einer Dienstnutzung und Feststellung der Teilnehmeridentität in Kommunikationsnetzen mittels softwarebasierten Zugangsberechtigungsausweisen (vSIM)
CN108701094A (zh) 在基于云的应用中安全地存储和分发敏感数据
CN107924431B (zh) 匿名应用程序包装
CN108701175A (zh) 将用户账户与企业工作空间相关联
US9413536B2 (en) Remote secure device management in smart grid ami networks
KR102410006B1 (ko) 사용자 권한 관리가 가능한 did 생성 방법 및 이를 이용한 사용자 권한 관리 시스템

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant