CN109284599A - 使用便携式电子设备为用户创建强认证的方法和系统 - Google Patents

使用便携式电子设备为用户创建强认证的方法和系统 Download PDF

Info

Publication number
CN109284599A
CN109284599A CN201810803344.4A CN201810803344A CN109284599A CN 109284599 A CN109284599 A CN 109284599A CN 201810803344 A CN201810803344 A CN 201810803344A CN 109284599 A CN109284599 A CN 109284599A
Authority
CN
China
Prior art keywords
user
central server
portable electronic
electronic device
authentication
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201810803344.4A
Other languages
English (en)
Inventor
哈伦堡·菲利普
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Dandy Trading Co
Original Assignee
Dandy Trading Co
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Dandy Trading Co filed Critical Dandy Trading Co
Publication of CN109284599A publication Critical patent/CN109284599A/zh
Pending legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/36—User authentication by graphic or iconic representation
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/34—User authentication involving the use of external additional devices, e.g. dongles or smart cards
    • G06F21/35—User authentication involving the use of external additional devices, e.g. dongles or smart cards communicating wirelessly
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/32—User authentication using biometric data, e.g. fingerprints, iris scans or voiceprints
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/40—User authentication by quorum, i.e. whereby two or more security principals are required
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H04L63/0838—Network architectures or network communication protocols for network security for authentication of entities using passwords using one-time-passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/1001—Protocols in which an application is distributed across nodes in the network for accessing one among a plurality of replicated servers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0825—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/068—Authentication using credential vaults, e.g. password manager applications or one time password [OTP] applications

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Telephonic Communication Services (AREA)
  • Collating Specific Patterns (AREA)

Abstract

一种使用用户持有的便携式电子设备(170,180)为用户创建强认证的方法，其特征在于，所述方法包括步骤：a)中央服务器(101)请求外部认证服务提供商(110,120,130)对用户进行认证；b)从所述认证服务提供商(110,120,130)向所述中央服务器(101)提供第一组用户信息；c)允许用户使用所述便携式电子设备(170,180)的集成相机(172,182)捕获有效物理用户标识(190)的静止或运动图像；d)所述中央服务器(101)从所述便携式电子设备(170,180)接收所述图像，并对所述图像进行光学特性识别，从而获得第二组用户信息；e)所述中央服务器(101)对所述第一和第二组用户信息进行比较；f)当所述第一和第二组用户信息匹配时，在所述中央服务器(101)中将所述便携式电子设备(170,180)与所述用户和用户特定的认证信息相关联。本发明还涉及一种系统。

Description

使用便携式电子设备为用户创建强认证的方法和系统
技术领域
本发明涉及一种使用便携式电子设备为用户创建强认证的方法和系统。特别地，本发明涉及使用中央服务器的该种方法和系统，更具体地，这种中央服务器与多个认证服务提供商进行交互，其中认证服务提供商能够基于对所述便携式电子设备的控制来对用户进行认证。
背景技术
现有技术中，关于如何为终端用户提供安全且不复杂的认证方式的提议有很多种。这种认证可以是用户个人，例如在登录过程中，数字业务、数字文档等。
例如，已经提出的是，通过将设备以加密方式绑定至特定用户，从而使用便携式电子设备作为“你拥有的东西”认证因子。
例如，在SE1450927-7中已经提出，使用中央服务器来连接到多个认证服务提供商，目的是对用户进行认证。
在SE1551176-9中还提出，使用与移动电话运营商的认证会话来对诸如WiFi网络等二级网络中的用户进行认证。
此外，现有技术已经提出，使用移动电话对包含在物理标识中的信息进行自动解译。关于这一方面，现有技术包括US2014279519A1、US9465800B2以及US2003051164A1。
然而，需要一种更强的认证，使得其一经配置便可以应用于任何情形，并且其仅具有最少量的用户交互。并且，这种认证还应该是非常容易地进行配置。
发明内容
本发明提出了一种至少解决该问题的方案。
因此，本发明涉及一种通过使用用户持有的便携式电子设备为用户创建强认证的方法，其特征在于，所述方法包括步骤：a)中央服务器请求外部认证服务提供商对用户进行认证；b)从所述认证服务提供商向所述中央服务器提供第一组用户信息；c)允许用户使用所述便携式电子设备的集成相机捕获有效实体用户标识的静止或运动图像；d)所述中央服务器从所述便携式电子设备接收所述图像，并对所述图像进行光学特性识别，从而获得第二组用户信息；e)所述中央服务器对所述第一和第二组用户信息进行比较；f)当所述第一和第二组用户信息匹配时，在所述中央服务器中将所述便携式电子设备与所述用户和用户特定的认证信息相关联。
并且，本发明还涉及一种通过使用用户持有的便携式电子设备为用户创建强认证的系统，其特征在于，所述系统包括中央服务器，用于请求外部认证服务提供商对用户进行认证，其特征还在于，所述中央服务器设置成从所述认证服务提供商第一组用户信息，其特征还在于，所述系统被设置成允许所述用户使用所述便携式电子设备的集成相机捕获有效实体用户标识的静止或运动图像，其特征还在于，所述中央服务器从所述便携式电子设备接收所述图像，并对所述图像进行光学特性识别，从而获得第二组用户信息，其特征还在于，所述中央服务器对所述第一和第二组用户信息进行比较，其特征还在于，当所述第一和第二组用户信息匹配时，在所述中央服务器中将所述便携式电子设备与所述用户和用户特定的认证信息相关联。
附图说明
下面，将参考本发明的示例性实施例和附图对本发明进行详细描述，其中：
图1是根据本发明的系统的简化示图，该系统用于执行根据本发明的方法；
图2是根据本发明的方法的流程图；和
图3示出了捕获物理用户标识图像的便携式电子设备。
具体实施方式
因此，图1示出了根据本发明的系统100，其包括：中央服务器101，中央服务器101又包括数据库102或与数据库102之间进行通信；至少一个、优选至少两个或多个用户服务提供商150、160；以及，至少一个、优选至少两个或多个认证服务提供商110、120、130。在本发明的另一方面，该系统100仅包括中央服务器101、数据库102以及由中央服务器101提供给连接的认证服务提供商110、120、130和用户服务提供商150、160的任何软件，因此认证服务提供商110、120、130和用户服务提供商150、160不是系统100的一部分，并且，下文所讨论的软件功能，在便携式电子设备170、180上来执行。
数据库102包括信息，该信息涉及到注册的认证服务提供商110、120、130，用户服务提供商150、160，设备170、180，设备170、180软件功能和用户，诸如用于各种情况所需的最小允许认证级别。通常，中央服务器101被设置为：将此处所述的信息存储在数据库102中。这例如涉及到下述的用户专用认证信息。
用户服务提供商150、160可以是能够远程向用户提供服务的任何类型的一方，例如：在线提供商；诸如图书馆、政府机构等公共服务参与者；诸如网上银行等金融机构；支付提供商；在线社区；通讯服务；或者以某种方式远程向用户提供服务的任何其他参与者，通过该种方式，需要用户身份以便提供至少一个所提供的服务。优选地，用户直接通过诸如因特网之类的数字通信网络102与服务提供商150、160进行通信。在下文中，当使用术语“因特网”时，应当理解，可以使用任何类型的适用的数字通信网络，例如有线或无线局域网或广域网。具体地，所有实体101、110、120、130、150、160、170、180通过该网络102直接或间接地相互连接。
在图1中，虚线表示无线通信，而实线表示有线通信。
此外，认证服务提供商110、120、130可以是能够远程地向用户提供认证服务的任何类型的一方，并且特别地被设置为用于执行对用户的认证。例如：在线提供商；诸如图书馆、政府机构等公共服务参与者；诸如网上银行等金融机构；支付提供商；在线社区；通讯服务；或者任何其他参与者，其与每个用户的关系要求由认证提供商110、120、130所提供的用户认证功能安全地建立所讨论用户的身份。优选的是，认证提供商110、120、130与各用户直接通信。该通信可通过使用作为移动无线网络一部分的基站111并优选地由提供商110操作而发生在网络102，但优选地用于至少一个认证服务提供商110，提供商110和便携式用户电子设备170、180之间的通讯通过由该提供商10提供的移动无线网络执行，并使用基站111为用户电子设备170、180提供通讯服务。优选地，所述移动无线网络是需要连接到网络的用户标识(例如IMSI(国际移动用户标识))的网络，例如通过使用安装在与网络进行通信的电子设备中的SIM(用户标识模块)卡，或者与SIM卡的识别功能相对应的软件功能。这种网络的实例包括诸如GSM、3G、LTE和5G网络等电话网络。优选地，提供商110是所述网络的网络运营商，并且因此当连接到所述移动无线网络时具有对电子设备170、180的身份的第一手访问。基站111是所述移动无线网络的一部分。
本文中，术语“认证服务”表示用于对用户进行认证的远程提供的服务，包括通过某个最低安全级别来建立用户的正确身份。这种最低安全级别，例如最低保证级别(LOA)，在本文中表示为“认证级别”。此种认证级别的例子是由NIST(美国国家标准与技术研究院)提供的那些定义，据此，至少有四个基本级别的保证级别，范围从低安全性程序(仅测试是否为同一用户在不同场合访问服务)(“1级”)直到高安全性程序(认证取决于用户拥有高度加密的加密密钥)(“4级”)。有关详细信息，请访问www.nist.gov。这里，优选地，每个认证服务提供商110、120、130明确地与一个或多个特定可用的明确定义的认证级别相关联，其中所述认证服务满足其要求；并且，每个认证服务提供商是与某个相应的最低支持认证级别相关联的。特定认证服务提供商可以与关于不同用户的不同最低认证级别相关联。优选地，该信息存储在数据库102中并且可从中央服务器101访问。例如，该信息可以通过中央服务器101在每个认证服务提供商110、120、130的初始注册步骤中提供，并且随后，例如响应于与特定用户有关的新信息而进行更新。通过由中央服务器101向已被识别为可用于认证所述用户的一个或多个认证服务提供商的请求，还可以提供与特定用户相关的可用的认证等级。
优选地，对于至少一个认证服务提供商110，其是包括与至少一个用户电子设备170、180进行通信的基站111的移动无线网络的运营商，该认证服务提供商110使用的认证因子是“你拥有的东西”，即用户的待认证的项目是所述用户电子设备170、180。这意味着，由认证服务提供商110提供的认证基于用户对连接到所述移动无线网络的电子设备170、180的控制。通过例如在电子设备170、180上接收SMS(短信服务)消息(其中该消息经由基站111从提供商110发送，该SMS包括代码)，并且经由另一个信道(例如，web界面)输入该代码，使得输入的代码到达认证服务提供商110，从而可以证明电子设备170、180的所有权，并因此证明用户的身份，其中已经得以安全认证该用户的身份关联于所述移动无线网络的订阅签署。
便携式电子设备170、180还可以以其他方式用作“你拥有的东西”认证因子。例如，银行或类似的认证服务提供商可能先前已经参与过在所讨论的电子设备170、180上本地安装第三方认证软件，然后，该软件可以用于使用电子设备170、180进行认证作为“你拥有的东西”因子。这样的例子包括瑞典服务“BankID”，其基于本地存储在所讨论的电子设备170、180上的私有密码PKI密钥。在该例子中，这样的软件功能与根据本发明并在下面描述的软件功能相分离，并且不是由中央服务器101提供，而是通过其他第三方信道以与系统100相分离且不同的方式提供。
可以认识到，实体101、110、120、130、150、160中的每一个可以实现为相应的独立的因特网连接的服务器；分布式或虚拟服务器集；或者在任何其他配置中，只要所讨论的相应实体能够提供用于与实体进行通信的明确定义的接口。
与系统100进行通信的每个用户使用电子设备170、180，其中电子设备170、180优选地被布置为通过网络102与系统100进行通信。在图1中，这种设备由被称为智能电话类型的移动电话170以及便携式计算机180来进行例证。然而，电子设备可以是能够与系统100进行通信，特别是进行无线通信的任何设备，例如台式计算机或“机器对机器”接口。在该上下文中，术语“无线通信”表示至少部分地通过无线链路进行的通信。优选地，设备170、180是通用类型，并且还优选地，设备170、180包括能够向用户提供交互式图形用户界面的相应显示器171、181。该交互式图形用户界面优选地由下面讨论的软件功能来提供，并且其可以提供用于在用户和所述软件功能之间进行通信的信道。
优选地，电子设备170、180包括SIM(用户识别模块)卡或相应的(诸如相应的软件功能)，被布置成将电子设备170、180唯一地识别到移动无线网络，诸如：由设备170、180连接到的提供商110所运营的移动无线网络。例如，这种识别可以通过IMSI代码进行。
优选地，每个电子设备170、180被布置为经由所述基站111提供的至少一个有线或无线通信路径进行通信，并且优选地经由至少一个其他无线信道与网络102进行通信，例如通过另一个运营商的移动无线网络，诸如至运营商110的LTE漫游伙伴(LTE roamingpartner)；传统的无线互联网连接不是移动电话连接，诸如经由WiFi接入点191的WiFi连接，或者使用传统的有线互联网连接(使用图1中的设备180的实线所例证的)。
用户优选为人，但在某些方面，用户也可以是实施以“机器到机器”的系统中的由机器实施的通信部件。在后一种情况下，电子设备170、180可以包括在所述机器中或构成所述机器。
图2示出了根据本发明的方法，用于使用由用户持有的便携式电子设备为用户创建强认证。在第一步中，该方法开始。
在随后的步骤中，提供中央服务器101，并且该中央服务器101被布置为与至少一个认证服务提供商110、120、130以及至少一个用户服务提供商150、160之间进行通信。应该认识到，该步骤可以预先进行，并且对于该方法的多次运行仅进行一次。
在随后的步骤中，每个认证服务提供商110、120、130优选地与至少一个相应的可用的认证级别相关联。每个特定提供商110、120、130可以与若干可用的这种级别相关联，在这种情况下，某个提供商110、120、130的可用级别之一被认为是最低或最不安全的级别。例如，添加另一个标识因子(例如用户拥有/控制的附加物理标识)，或者添加加密，从而将会使得认证级别更加安全。
如上所述，对于至少一个认证服务提供商，基于对电子设备170、180的控制，相应的可用的认证等级包括“你拥有的东西”认证因子。
在随后的步骤中，中央服务器101请求所述认证服务提供商之一来对用户进行认证。这样，例如，意味着用户成功登录到由所讨论的认证服务提供商提供的网页，或者意味着用户以任何其他合适的方式在某一认证级别提供用户身份的证明。例如，这种认证可以包括用户向认证服务提供商提供某种类型的用户凭证数据；用户使用便携式电子设备170、180上的软件功能来使用私有PKI密钥产生签署；或者以任何其他合适的方式。
这里，“凭证数据”应被理解为所有类型的用户特定信息，其中，这些用户特定信息可以经由电子设备170、180由用户来提供，并且其可以被认证方使用以用于识别或证明用户的身份，比如用户名-密码组合；PIN代码；加密密钥；哈希值；生物识别数据，诸如指纹数据；等等。
优选地，在所述认证步骤中，至少一个认证服务提供商110对用户进行认证，该认证基于对电子设备170、180的控制以及随后的所有权，进一步基于电子设备、包括在电子设备中的SIM卡等与用户之间的关联，其中该关联先前已经在用户初始认证(例如与订阅(subscription)有关)之后由所述认证服务提供商110存储。这种初始认证可以例如是现实生活认证，其中用户向认证服务提供商的办公室工作人员提供个人身份卡。提供商110的认证可以是通过如上所述发送SMS，或者例如通过提供商110的移动无线网络自动从电子设备170、180读取一些信息，例如由在电子设备170、180中的SIM卡提供的IMSI号码，或者电子设备170、180的MAC地址。
优选地，基于便携式电子设备170、180的控制的认证优选自动执行并且不与用户进行任何交互。例如，这可以通过在电子设备170、180上执行的软件功能来实现，其中，电子设备170、180与中央服务器101通信并且根据中央服务器101的请求，自动将所需设备170、180和/或用户特定信息提供给认证服务提供商110、120、130。
此外，该步骤中的认证可以结合向用户提供某种类型服务的认证服务提供商来得以执行，包括在中央服务器101的发起下提供认证服务。
因此，在该认证步骤中，所讨论的认证服务提供商保存关于用户的信息，例如用户凭证数据或者电子设备170、180的IMSI或MSISDN代码的信息，从而允许认证服务提供商在特定身份认证级别处对用户进行认证。
或者，认证服务提供商已经具有关于经过认证的用户的活跃(active)认证会话。这可能意味着，在会话处于活跃状态期间的预定时间内，当再次进行认证时，用户(或所述软件功能，视情况而定)不必提供凭证数据，或者不必证明对电子设备170、180的控制。该时间段可以由认证服务提供商来定义。在这种情况下，该认证步骤可以简单地包括：对于来自具有相同认证服务提供商的用户的先前认证的这种活跃认证会话，验证其存在性。
如上所述，中央服务器101查询认证服务提供商110、120、130以认证用户。此后，优选地，在回复中央服务器101之前，认证服务提供商110、120、130对已经活跃的认证会话是否存在进行验证。
中央服务器101优选地选择认证服务提供商110、120、130，以基于关于最小可接受的认证级别的预定标准，与中央服务器101关于可用的这种认证级别的存储和可用的信息以及可用于认证相关用户的认证服务提供商相比较。优选地，基于待创建的强用户认证的类型来选择最小可接受的认证级别。
具体地，可用于使用便携式电子设备170、180对用户进行认证的认证服务提供商110、120、130可以存储有在便携式电子设备170、180上提前向中央服务器101发信号的信息。例如，该信息可以由中央服务器101以cookie形式存储在便携式电子设备170、180上，其与使用由所讨论的认证服务提供商提供的认证用户界面的用户的认证相关联。作为示例，由所述认证服务提供商110、120、130提供并且从便携式电子设备170、180访问的认证web界面可以被设置为允许中央服务器101在用于识别所讨论的认证服务提供商110、120、130的电子设备170、180上放置cookie。例如，这可以通过包括由中央服务器101提供的web内容的认证web界面来完成，从而由于加载认证服务界面而调用中央服务器101。然后，由于来自便携式电子设备170、180的稍后调用，中央服务器101可以读取放置的cookie，例如对用户服务提供商150、160的调用，用户服务web界面由于加载所述用户服务web界面而被设置为自动调用中央服务器101(因此读取先前放置的cookie)，其方式类似于认证web界面的情况。这样，从用户的角度来看，本过程可以是无缝的，中央服务器101负责整个决策链。
一旦用户已经由如上所述的认证服务提供商110、120、130认证，就从所述认证服务提供商110、120、130向中央服务器101提供第一组用户信息。
该第一组用户信息可以是特定于用户的任何数字存储信息，例如姓名、地址、社会安全号码、性别、出生地点、年龄、身长(length)、眼睛颜色、头发颜色、体重等，或这些数据的任何组合。所讨论的认证服务提供商110、120、130先前已经以安全的方式获得并存储了第一组用户信息，从而说明为什么可以信任第一组用户信息的准确性。
提供第一组用户信息可以通过简单回复由中央服务器101对所讨论的所选认证服务提供商110、120、130提出的上述认证请求来完成。
然而，根据优选实施例，软件功能由中央服务器101提供并且在本地安装且被设置为在便携式电子设备170、180上本地执行。该安装优选地在初始步骤中执行(参见图2)。然后，优选地，中央服务器101使用软件功能来远程访问便携式电子设备170、180并与之通信。软件功能优选地安全地连接到便携式电子设备170、180，在某种意义上它只能是从设备170、180执行，并且中央服务器101知道软件功能的特定实例与哪个设备170、180相关联。为此，每个软件功能实例优选是唯一的(例如使用唯一选择的安装参数唯一地配置)，并且其可以包括向中央服务器101唯一地标识特定软件功能实例的识别功能。具体地，优选的是软件功能以加密图形方式绑定到物理设备170、180，例如通过公钥基础设施(PKI)密钥对的私钥被软件功能安全地存储在所讨论的设备170、180上，而所述密钥对的相应公钥存储在中央服务器101上并与所讨论的物理设备170、180相关联，例如使用MAC地址或类似物被识别。
由中央服务器提供并且本地安装在便携式电子设备上并且被设置为在其上执行的软件功能，优选不是通用软件功能，而是特别适合于执行本文所述的认证步骤。优选地，此软件功能被设置为经由网络102与中央服务器101通信，并且其提供用户界面，诸如交互式图形用户界面(GUI)，以经由便携式电子设备170、180屏幕171、181与用户通信，但优选地其不暴露任何其他外部通信信道。
优选地，软件功能或中央服务器101可以“刮取(scrape)”第一组用户信息，例如从便携式电子设备170、180的屏幕，或直接从认证服务提供商，通过认证到认证服务提供商作为用户并从中获取第一组用户信息。在后一种情况下，可以使用先前存储的用户凭证，或者优选地，可以请求用户在认证期间输入这样的凭证以从认证服务提供商进行刮取。例如，可以鼓励用户在便携式设备170、180上输入PIN码，激活与认证服务提供商有关的加密登录步骤，该登录步骤自动启动，然后由中央服务器101完成。用于执行刮取的中央服务器101可以使用所谓的web驱动程序，其基本就上是或者模仿了用于对认证服务提供商进行登录/认证的web浏览器。这种刮取的一个实例是PSD2“直接访问”。因此，此处“刮取信息”可以意味着，软件功能或中央服务器101被设置成自动地读取其执行的设备170、180的第一组用户屏幕信息、解译读取的信息、以及将解译的信息用作第一组用户信息。例如，上述认证web界面可以被设置成显示与认证用户有关的用户信息，并且警告中央服务器101屏幕上存在关于特定预定格式和布局的这种用户信息，于是中央服务器101可以刮取屏幕171、181并以安全且可重复的方式获得第一组用户信息。或者，“刮取信息”因此可以意味着，软件功能或中央服务器101使用先前或在用户的认证过程期间接收的用户凭证来执行对认证服务提供商的自动登录，并且在此类登录情况下直接从身份认证服务提供商处请求信息。
如上所述，进一步优选的是，使用便携式电子设备170、180的控制作为“你拥有的东西”认证因子来执行用户的认证。特别是在这种情况下，优选地，中央服务器101从与用户具有现有认证关系的多个可用认证服务提供商中选择认证服务提供商110、120、130。如上所述，通过从认证服务提供商110、120、130到中央服务器101的直接通信，或者以任何其他合适的方式，可以使用cookie来使该信息可用于中央服务器101。然后，上述选择步骤优选地包括中央服务器101或所述认证服务提供商110、120、130首先基于便携式电子设备170、180的控制检查用户是否已经与认证服务提供商进行了有效且活跃的认证会话，此后，如果存在这样的有效认证会话，则使用现有认证会话作为所述认证。
根据本发明，便携式电子设备170、180包括集成数字相机172、182。数字相机172、182可以是从硬件角度集成在设备170、180中的任何合适的数字相机，并且通过在设备170、180硬件上运行的操作系统为第三方软件应用程序允许并提供控制。
在随后的步骤中，中央服务器101然后被设置为允许用户使用便携式电子设备170、180的所述集成相机172、182来捕获有效物理用户标识190的静止或运动图像。(见图3)。优选地，该图像包含整个用户标识190。
根据优选实施例，该捕获由所述软件功能执行，而不是所讨论的设备170、180的标准相机应用。在这种情况下，软件功能被特别设置为不允许用户选择已经存在的图像(诸如来自web资源或者被先前捕获并存储在所讨论的设备170、180的存储器上)并且使用该已经存在的图像作为用户标识的图像。相反，软件功能优选地迫使用户使用便携式电子设备的相机172、182来捕获经由所选择的认证服务提供商110、120、130直接连接到上述认证的图像。例如，这可以通过根据本发明用于创建强用户认证所需的软件功能来实现，例如通过中央服务器101和使用与中央服务器101的加密通信以及使用上述PKI对的软件功能来实现，从而中央服务器101可以确保软件功能实际上是由中央服务器101具体提供并且根据上述安装在特定设备170、180上的软件功能实例，并且如果不是这种情况，中央服务器101拒绝接受所捕获的图像，如下所述。用于此的例行程序是众所周知的，在此不再详细描述。
然后，软件功能可以被设置为：在用户请求使用软件功能设置安全用户认证时，自动激活相机172、182，并且可以不继续将捕获的图像提供给中央服务器101，如下所述，在使用相机172、182已经将图像捕获之前。
图3示出了这一点，示出了相机172捕获物理用户标识190的图像，其包括不同的图形字段，例如用户文本信息191；用户照片192；以及特定于所使用的用户标识190的类型的预定安全特征193。
在随后的步骤中，中央服务器101从所述便携式电子设备170、180接收所述图像。图像优选地由所述软件功能发送，优选以加密形式发送。
在从所讨论的设备170、180接收到图像时，中央服务器101执行图像的数字图像分析，包括光学特性识别，从而获得第二组用户信息(在图3所示的实例中，文本信息191)。图像分析和光学特性识别可以以这样的常规方式执行，包括：执行一种算法，该算法用于识别图像中的文本字段并解译这些文本字段中的文本信息。
第二组用户信息可以类似于第一组用户信息，并且以数码方式存储。在某些情况下，第一和第二用户信息在所包含的信息类型或字段方面可能不是完全相同的，但是其必须具有一定的重叠，从而在第一组和第二组用户信息中都存在至少一个用户信息类型(例如“姓名”)。
物理用户标识190可以是任何传统的和广泛认可的标识，例如护照、驾驶执照或个人身份卡。根据优选实施例，可以从中央服务器101的角度预定义一组不同类型的这种用户标识，其中该组中每个这样类型的用户标识与某个先验信息相关联，该先验信息相关于所讨论的识别类型的信息内容。例如，这种先验信息可以包括所讨论类型的标识的某些信息字段(例如文本字段、图像信息或物理安全特征)的物理相对位置。然后，中央服务器101将优选地首先从上述软件功能中确定或请求关于当前使用的类型的信息，然后基于所述当前使用类型的先验信息执行所述光学特性识别算法。
在优选实施例中，在所述图像捕获步骤中，首先允许用户使用软件功能和从中央服务器101提供的可用的这种物理用户标识的列表来选择特定类型的物理用户标识。优选地，中央服务器101基于所讨论的认证服务提供商的身份和要产生的所选类型的强用户认证中的至少一个来产生这样的列表。中央服务器101或用户可以从可用的这种类型的强用户认证列表中选择强认证的类型。例如，对于最强的用户认证类型，仅可以使用有效护照作为用户标识，而对于不太强的类型，可以使用其他类型的有效用户标识文档。如上所述，此后基于该物理用户标识是所选类型的假设来执行光学特性识别。
通常优选的是，中央服务器101，作为光学特性识别算法的一部分或固有属性，也认证用户识别的类型。这意味着，中央服务器101优选地首先识别用户识别的类型，然后验证图像中所示的识别满足这种识别的所有视觉要求，或者中央服务器101使用上述类型假设并使用该假设执行相应的验证。
在从软件功能接收捕获图像时，光学特性识别优选为完全自动完成。这同样适用于其他类型的图像分析，例如关于以下特征中的一个或多个的用户照片192的分析：根据中央服务器101可用的其他图像与用户的相似性；从照片192评定出的年龄；以及从照片192评定出的性别。
如上所述，优选地，软件功能以加密方式绑定到中央服务器101。在这种情况下，优选地，软件功能必须关联于图像捕获步骤而被认证到中央服务器101，以便中央服务器101接受图像以执行所述图像分析步骤。
为了进一步增强本方法的安全性，优选地，中央服务器101实现至少一个控制机制，以用来验证图像是与认证服务提供商正在认证的用户相关联地被捕获，而不是使用用户标识的旧图像等。
实现此目的的一种优选方式是：图像捕获步骤还包括：向用户和/或便携式电子设备170、180提供一次性密码。然后，上述图像分析和光学特性识别步骤包括：用户或软件功能向中央服务器101提供一次性密码作为捕获图像的一部分，并且图像分析步骤包括：中央服务器101检测一次性密码并验证其正确性。可以使用光学特性识别来实施对一次性密码的检测。例如，一次性密码可以以电子方式传达给用户，并且在某个短时间段内有效，例如从发出起最多10分钟。
在优选实施例中，所讨论的一次性密码以电子方式提供，例如以QR码的形式提供，并且用户通过将用户标识放置在电子屏幕上或与电子屏幕连接(例如计算机屏幕)来布置所捕获的图像，该电子屏幕显示一次性密码，由相机172、182可见。
或者，所讨论的一次性密码可以以字母数字混编字符串的形式提供，优选地以数字方式提供，并且用户通过将用户标识放置在一次性密码的手写注释199附近来布置所捕获的图像，由相机172、182可见。
在优选的替代方案中，用户不主动参与一次性密码的处理。相反，一次性密码以预定格式提供，优选是数字的，可以由软件功能读取或采样，并且软件功能又被设置为自动修改捕获的图像，从而中央服务器101可以将一次性密码从中央服务器101可用的图像中提取。一个例子是水印，插入到图像中以与其捕获相关联并由中央服务器101自动读取。
然而，为了保证图像是与认证服务提供商的认证相关联地被捕获，优选地，捕获的图像是运动图像，例如几秒钟的短视频剪辑，并且，编码一次性密码的信息通过软件功能经由执行该软件功能的电子设备170、180的硬件组件以自动产生的物理环境因子的形式添加到运动图像中。
例如，一次性密码可以如上所述由软件功能接收，并且软件功能在捕获运动图像期间以摩尔斯码激活电子设备170的相机闪光灯173或者相应的，可以通过中央服务器101接收和分析包括用户标识的运动图像来解译作为一次性密码的方式。
在另一实例中，运动图像包括与图像数据一起被捕获的声音，并且软件功能在捕获运动图像期间使用电子设备170的扬声器174来回放声音，所记录的声音由中央服务器101作为上述图像分析的一部分。
在另一实例中，在捕获运动图像期间，中央服务器101实时地向用户和/或关于捕获过程的定性方面的软件功能产生控制信号。例如，软件功能可以以简单移动命令的形式接收这样的控制信号，并且在捕获运动图像期间在屏幕171、181上向用户显示这样的顺序。这样的命令可以是“放大”，“缩小”，“向上”，“向下”，“向左”，“向右”，“将识别文件的另一侧朝向相机”，“倾斜识别文件”等，与捕获相机172、182相对于用户标识190的位置有关。然后，图像分析步骤包括：中央服务器101使用传统的图像分析算法验证用户和/或软件功能确实执行了由中央服务器101在图像捕获期间通过所述命令所指示的控制步骤。需要注意的是，软件功能可以自动地执行这样的命令，而无需用户的参与，例如使用其对电子设备170、180的控制来在运动图像捕获期间赋予有序类型的光学变焦。
在随后的步骤中，中央服务器101将第一和第二组用户信息相互比较。
在优选的情况下，由中央服务器101对捕获和接收的图像进行自动数字分析还包括：执行数字图像分析，其中图像是为了检测如下至少一个特征：用户识别190的总体布局；用户脸部192的图片；以及用户标识190的预定图形安全特征193。比较步骤还包括：分析使用所述图像分析检测到的特征并将所讨论的特征与预期值进行比较。例如，所讨论的特征可以是某种视觉识别布局或特定安全特征的存在。
在随后的步骤中，在第一和第二组用户信息匹配的情况下，便携式电子设备170、180在中央服务器101中与用户和用户特定认证信息相关联。优选地，用户特定认证信息是基于从使用过的认证服务提供商接收的用户特定信息计算或确定的。
在第一和第二组用户信息不匹配的情况下，或者如果确定的信息不确定性太高，则该方法结束。
如上所述，第一和第二组用户信息可能不完全重叠。优选地，对于一组强用户认证类型中的每一个，中央服务器101实现关于用户信息的一个或多个类型的某些最小标准，以便找到“匹配”。
特别地，优选的是关联步骤包括：允许(例如使用软件功能)用户选择密码(例如PIN码)，并在中央服务器101中将便携式电子设备170、180与用户和密码相关联。然后，当用户希望在稍后的时间点进行认证时，可以使用该密码，如下所述。替代地或补充地，可以添加生物特征定义的因子并将其绑定到便携式电子设备170、180。例如，可以允许用户使用便携式电子设备的硬件指纹传感器来登记指纹，其中该指纹代替PIN码而被随后使用，但是相应地，在使用创建的强用户身份认证期间。相应地，可以使用用户视网膜扫描、手掌血管扫描、全视觉面部扫描等。
进一步优选地，关联步骤包括：中央服务器101创建私钥/公钥对，优选为PKI密钥对，并且在便携式电子设备170、180上存储该私钥(例如使用软件功能)。在这种情况下，上述用户特定认证信息包括所述私钥或者就是所述私钥。需要注意的是，该私钥与上面讨论的私钥不同，认证服务提供商使用该私钥来认证用户。
特别是在这种情况下，进一步优选地，关联步骤包括：将软件功能或电子设备170、180与所述创建的公钥以及所述匹配的用户信息相关联。
进一步优选地，软件功能被布置成允许用户签署(sign)所捕获图像的副本，例如通过使用所述创建的私钥对所捕获图像的散列(hash)进行签署，并且进一步将该签署传送给中央服务器101并存储在其中以供将来参考。
对于上面讨论的图像分析和比较步骤的所有变体，优选地，中央服务器101使用预定的评定方法进一步数字地评定光学特性识别以及执行的任何其他图像分析的可靠性。例如，可以基于关于打印在用户标识上的特定特性的正确光学确定的测量不确定性来计算这种方法。然后，在总确定的可靠性低于预定值的情况下，不认为存在上述“匹配”。换句话说，仅在总确定的可靠性高于预定值的情况下才执行关联步骤。
使用这样的方法和这样的系统100，以非常简单但安全的方式创建强用户认证。强用户认证至少部分地存储在便携式电子设备170、180上，并且优选地至少部分地存储在中央服务器101上。例如，强用户认证可以体现在上述PKI密钥对中，其具有存储在便携式电子设备170、180上的用户认证私钥和存储在中央服务器101或其他地方的相应用户认证公钥。为了使用强用户认证，优选的是要求用户使用所述密码。
由于用户由认证服务提供商110、120、130进行认证，与身份190的图像的捕获有关，因此实现了非常强的认证。由于使用相同的便携式电子设备170、180来执行图像的认证和捕获，因此所实现的用户认证与便携式电子设备170、180密切相关，从而成为非常强的“你拥有的东西”认证因子。如果选择了密码，则还会出现“你拥有的东西”因子。
因此，在捕获显示物理标识190的图像的整个过程期间，用户被认证(具有活跃的、未过期的认证会话)是本发明的一个重要方面。这是通过中央服务器101部分地通过便携式电子设备170、180上的所述软件功能来管理整个过程而得以实现的。由于中央服务器101跟踪用户认证以及图像的捕获/分析，因此可以保证用户实际上是在读取和认证标识时进行身份认证。
因此，进一步优选地，中央服务器101在使用上述创建的强用户认证执行的后续用户认证步骤中是活跃的。
因此，在比上述强用户认证的创建更晚的时间点执行的后续步骤中，用户关于外部用户服务提供商150、160而被认证。应该认识到，强用户认证可以通过使用便携式电子设备170、180，访问用户服务提供商150、160网络界面，通过向用户提供的该强用户认证创建作为替代，从而实现关于用户而创建。例如，用户服务提供商150、160然后可以链接到中央服务器101，从而激活上述过程。或者，用户服务提供商150、160甚至可以是用户认证服务提供商，活跃地参与强用户认证的创建。然而，创建的强用户认证一旦被创建，便可以用于关于任何用户服务提供商150、160在所述稍后时间点来对用户进行认证。
通常，该稍后的用户认证包括：用户使用存储在便携式电子设备170、180上的私钥来签署某个认证信息，例如在便携式电子设备170、180上的体现出强用户认证的上述私有PKI密钥，其公钥由中央服务器持有。此后，使用所述公钥验证所得到的签署。因此，任何一方都可以验证签署，因为验证是基于私钥来执行的。然而，中央服务器101保证强用户认证，并且中央服务器101优选地公开API(应用程序编程接口)或其他数字且优选为自动的接口，其中第三方可以使用该接口以允许中央服务器101验证签署。
如果用户服务提供商150、160自身没有验证签署，则优选地，将验证从中央服务器101传送或指示给用户服务提供商150、160。此后，用户服务可以由所讨论的用户服务提供商150、160安全地提供给用户，例如登录、汇款、购买等。
认证信息的签署由便携式电子设备170、180执行，优选为由所述软件功能执行，优选为在没有用户的直接参与的情况下，除非用户优选地可以发起认证和/或接受这一事实，即认证是关于用户服务提供商150、160而得以执行的。
该认证信息原则上可以是便携式电子设备170、180和执行验证的一方都知道其内容的任何信息。然而，优选地，签署的认证信息是要由用户签署的电子、数字文档的散列(hash)。在这种情况下，签署的所述文档优选地被提供给中央服务器101，于是中央服务器101计算所述散列并将其提供给在便携式电子设备170、180上执行的上述软件功能。之后，所述软件功能使用所提到的私钥对散列(hash)进行签署，并将得到的签署提供给中央服务器101。最后，中央服务器101存储了文档和所述签署。
以上，已经描述了优选实施例。然而，对于本领域技术人员显而易见的是，在不脱离本发明的基本思想的情况下，可以对所公开的实施例进行诸多修改。
本发明适用于必须认证用户身份的各种电子、数字情形。特别地，一旦创建，强用户认证便可以用作更复杂的过程中的用户认证子组件，甚至用于实时或接近实时的应用，其中用户需要关于用户正在执行的操作而在运行中进行认证甚至连续地进行认证。
通常，以上关于该方法所述的所有内容同样适用于该系统，反之亦然。所有方法步骤优选地由相应的系统组件自动地、数字地和电子地来执行。
因此，本发明不限于所描述的实施例，而是可以在所附权利要求的范围内变化。

Claims (21)

1.一种使用用户持有的便携式电子设备(170,180)为用户创建强认证的方法，其特征在于，所述方法包括步骤：
a)中央服务器(101)请求外部认证服务提供商(110,120,130)对所述用户进行认证；
b)从所述认证服务提供商(110,120,130)向所述中央服务器(101)提供第一组用户信息；
c)允许用户使用所述便携式电子设备(170,180)的集成相机(172,182)捕获有效物理用户标识(190)的静止或运动图像；
d)所述中央服务器(101)从所述便携式电子设备(170,180)接收所述图像，并对所述图像进行光学特性识别，从而获得第二组用户信息；
e)所述中央服务器(101)对所述第一和第二组用户信息进行比较；
f)当所述第一和第二组用户信息匹配时，在所述中央服务器(101)中将所述便携式电子设备(170,180)与所述用户和用户特定的认证信息相关联。
2.根据权利要求1所述的方法，其特征在于，所述步骤f)包括：允许所述用户选择密码并将所述便携式电子设备(170,180)与所述用户及所述中央服务器(101)中的密码相关联。
3.根据权利要求1或2所述的方法，其特征在于，在所述步骤a)中，使用所述便携式电子设备(170,180)的控制作为认证因子来执行所述用户的认证。
4.根据权利要求3所述的方法，其特征在于，所述认证服务提供商(110,120,130)是从具有关于所述用户的现有认证关系的多个可用的认证服务提供商中选出的，并且其特征还在于，所述步骤a)包括：所述中央服务器(101)或所述认证服务提供商(110,120,130)首先基于所述便携式电子设备(170,180)的控制检查所述用户是否已经与所述认证服务提供商(110,120,130)进行了有效的认证会话，并且此后，如果存在这样的有效认证会话，则使用所述现有认证会话作为所述步骤a)中的认证。
5.根据前述权利要求中任一项所述的方法，其特征在于，在所述步骤c)中，首先允许所述用户从由所述中央服务器(101)提供的可用的这样的物理用户标识的列表中选择特定类型的物理用户标识(190)，其中，所述列表由所述中央服务器(101)基于所述认证服务提供商(110,120,130)的身份和所讨论的强用户认证的类型中的至少一个来产生，并且其特征还在于，在所述步骤d)中，所述光学特性识别是基于所述物理用户标识(190)是所选类型的假设而得以执行的。
6.根据前述权利要求中任一项所述的方法，其特征在于，所述步骤d)还包括：除了所述光学特性识别之外还执行数字图像分析，执行所述图像分析是为了检测以下至少一个特征：所述用户标识(190)的总体布局；所述用户的脸部的图片(192)；以及所述用户标识(190)的预定图形安全特征(193)，并且其特征还在于，所述步骤e)中的所述比较还包括：对使用所述图像分析检测到的特征进行分析，并将所讨论的特征与预期值进行比较。
7.根据权利要求6所述的方法，其特征在于，所述步骤c)由软件功能执行，其中所述软件功能由所述中央服务器(101)提供并本地安装在所述携式电子设备(170,180)上并设置为在其上执行，其中所述软件功能不允许所述用户选择已经存在的图像并使用这样的已经存在的图像作为用户标识(190)的图像，而是迫使用户使用所述便携式电子设备(170,180)的相机(172,182)执行所述捕获。
8.根据前述权利要求中任一项所述的方法，其特征在于，由所述中央服务器(101)提供并且本地安装在所述便携式电子设备(170,180)上并被设置为在其上执行的所述软件功能以加密方式连接到所述中央服务器(101)，其中必须结合所述步骤c)将所述软件功能认证到所述中央服务器(101)，以便所述中央服务器(101)在步骤d)中接收所述图像。
9.根据权利要求8所述的方法，其特征在于，所述步骤f)包括：所述中央服务器(101)创建私钥/公钥对并将所述私钥存储在所述便携式电子设备(170,180)上，其中所述私钥随后是所述用户特定的认证信息。
10.根据权利要求9所述的方法，其特征在于，所述步骤f)包括：将所述软件功能或所述便携式电子设备(170,180)与所创建的公钥以及所述用户信息相关联。
11.根据权利要求9或10所述的方法，其特征在于，所述步骤f)还包括：所述用户使用所创建的私钥对在所述步骤c)中捕获的所述图像的副本进行签署，并且其特征还在于，将所述签署通信传送到所述中央服务器(101)。
12.根据前述权利要求中任一项所述的方法，其特征在于，所述步骤c)还包括：向所述用户和/或所述便携式电子设备(170,180)提供一次性密码，其特征还在于，所述步骤c)包括：所述用户或软件功能提供所述一次性密码作为所述图像的一部分或其属性，其特征还在于，所述步骤d)包括：所述中央服务器(101)使用光学特性识别检测所述一次性密码并验证其正确性。
13.根据权利要求12所述的方法，其特征在于，所述一次性密码以电子形式提供，例如以QR码的形式提供，并且其特征还在于，所述用户通过将所述用户标识(190)置于显示所述一次性密码的屏幕上或与之相关联来布置图像。
14.根据权利要求12所述的方法，其特征在于，所述一次性密码以数字字母混编字符串的形式来提供，并且其特征在于，所述用户通过将所述用户标识(190)置于所述一次性密码的手写注释(199)附近来布置图像。
15.根据权利要求12所述的方法，其特征在于，所述一次性密码以可由软件功能读取或采样的形式来提供，其中所述软件功能由所述中央服务器(101)提供并且本地安装在所述便携式电子设备(170,180)上并被设置为在其上执行，其特征还在于，所述软件功能被设置成对所述图像进行自动修改，以便可以从所述图像中提取所述一次性密码。
16.根据前述权利要求中任一项所述的方法，其特征在于，在所述步骤c)中，所述图像是由所述便携式电子设备(170,180)的摄像机(172,182)捕获的运动图像，其特征还在于，在捕获所述图像的期间，所述中央服务器(101)向所述用户和/或关于捕获过程的定性方面的软件功能产生控制信号，其特征还在于，所述步骤d)包括：所述中央服务器(101)验证所述用户和/或所述软件功能实际上是按照所述中央服务器(101)的指示来执行所述控制步骤的。
17.根据前述权利要求中任一项所述的方法，其特征在于，所述步骤e)还包括：所述中央服务器(101)在数值上评定所述光学特性识别以及任何执行的图像分析的可靠性，其特征还在于，所述步骤f)仅在总确定的可靠性高于预定值的情况下才执行。
18.根据前述权利要求中任一项所述的方法，其特征在于，所述步骤b)中的所述提供包括：所述中央服务器(101)刮擦所述第一组用户信息。
19.根据前述权利要求中任一项所述的方法，其特征在于，在后续步骤中，用户相对于外部用户服务提供商(110,120,130)被认证，其中所述后续步骤包括子步骤g1)：所述用户使用在所述步骤f中提供的PKI密钥对的私钥对信息进行签署，并且所述公钥由所述中央服务器(101)持有；以及子步骤g2)：使用所述公钥验证生成的签署。
20.根据权利要求19所述的方法，其特征在于，在所述步骤g1)中签署的信息是所述用户待签署的文档的散列，其特征还在于，所述方法还包括：向所述中央服务器(101)提供所述文件；所述中央服务器(101)计算所述散列并将其提供给所述便携式电子装置(170,180)的所述软件功能；所述软件功能使用所述私钥对所述散列进行签署，并将得到的散列提供给所述中央服务器(101)；所述中央服务器(101)存储所述文档和所述签署。
21.一种使用用户持有的便携式电子设备(170,180)为用户创建强认证的系统，其特征在于，所述系统包括中央服务器(101)，用于请求外部认证服务提供商(110,120,130)对用户进行认证，其特征还在于，所述中央服务器(101)设置成从所述认证服务提供商(110,120,130)接收第一组用户信息，其特征还在于，所述系统被设置成允许所述用户使用所述便携式电子设备(170,180)的集成相机(172,182)捕获有效物理用户标识(190)的静止或运动图像，其特征还在于，所述中央服务器(101)从所述便携式电子设备(170,180)接收所述图像，并对所述图像进行光学特性识别，从而获得第二组用户信息，其特征还在于，所述中央服务器(101)对所述第一和第二组用户信息进行比较，其特征还在于，当所述第一和第二组用户信息匹配时，在所述中央服务器(101)中将所述便携式电子设备(170,180)与所述用户和用户特定的认证信息相关联。
CN201810803344.4A 2017-07-21 2018-07-20 使用便携式电子设备为用户创建强认证的方法和系统 Pending CN109284599A (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
SE1750953-0 2017-07-21
SE1750953A SE542213C2 (en) 2017-07-21 2017-07-21 Method and system for creating a strong authentication for a user using a portable electronic device

Publications (1)

Publication Number Publication Date
CN109284599A true CN109284599A (zh) 2019-01-29

Family

ID=63142926

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201810803344.4A Pending CN109284599A (zh) 2017-07-21 2018-07-20 使用便携式电子设备为用户创建强认证的方法和系统

Country Status (4)

Country Link
US (1) US10970370B2 (zh)
EP (1) EP3432183A1 (zh)
CN (1) CN109284599A (zh)
SE (1) SE542213C2 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11416621B2 (en) 2020-06-18 2022-08-16 Micron Technology, Inc. Authenticating software images

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10574650B2 (en) * 2017-05-17 2020-02-25 Bank Of America Corporation System for electronic authentication with live user determination
US11252145B2 (en) * 2018-12-20 2022-02-15 Microsoft Technology Licensing, Llc Cross-device access to one-time passwords
IT202100017279A1 (it) * 2021-06-30 2022-12-30 Intesa Sanpaolo S P A Immagine animata codificata e metodo per generare, visualizzare e leggere tale immagine animata codificata, in particolare per l’autorizzazione di operazioni su sevizi online
EP4388512A1 (en) * 2021-08-19 2024-06-26 Securesign, Inc. Method and system for electronic signature verification

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020056043A1 (en) * 1999-01-18 2002-05-09 Sensar, Inc. Method and apparatus for securely transmitting and authenticating biometric data over a network
US20140279519A1 (en) * 2013-03-15 2014-09-18 Jumio Inc. Method and system for obtaining and using identification information
US20160063235A1 (en) * 2014-08-28 2016-03-03 Kevin Alan Tussy Facial Recognition Authentication System Including Path Parameters
US20160098722A1 (en) * 2013-03-15 2016-04-07 United States Postal Service System and method of identity verification
CN106716918A (zh) * 2014-08-08 2017-05-24 艾丹迪商贸公司 用户认证方法和系统
CN106797371A (zh) * 2014-04-17 2017-05-31 康普特尔公开有限公司 用于用户认证的方法和系统

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030051164A1 (en) 2001-05-18 2003-03-13 Patton Patricia Carol System and method for authentication of network users with preprocessing generating a verified personal profile for use on a publicly accessed global networked computer system and a system and method for producing the exchange of such secure identification
US20110276484A1 (en) 2010-05-04 2011-11-10 Gregory A. Pearson, Inc. Identity verification systems
FR2959896B1 (fr) 2010-05-06 2014-03-21 4G Secure Procede d'authentification d'un utilisateur requerant une transaction avec un fournisseur de service
WO2013102210A1 (en) * 2011-12-30 2013-07-04 Visa International Service Association A hosted thin-client interface in a payment authorization system
US20130204786A1 (en) 2012-02-03 2013-08-08 Daniel Mattes Verification of Online Transactions
US20150235215A1 (en) * 2012-08-16 2015-08-20 Tango Mobile, LLC System and Method for Mobile or Web-Based Payment/Credential Process
US9294475B2 (en) * 2013-05-13 2016-03-22 Hoyos Labs Ip, Ltd. System and method for generating a biometric identifier
US9465800B2 (en) 2013-10-01 2016-10-11 Trunomi Ltd. Systems and methods for sharing verified identity documents
SE539741C2 (en) * 2014-09-30 2017-11-14 Tokon Security Ab Method for providing information from an electronic device to a central server
SE1551176A1 (en) 2015-09-14 2017-03-15 Identitrade Ab Method and system for authenticating a user
EP3596681A2 (en) * 2017-03-16 2020-01-22 Age Checked Limited Secure age verification system

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020056043A1 (en) * 1999-01-18 2002-05-09 Sensar, Inc. Method and apparatus for securely transmitting and authenticating biometric data over a network
US20140279519A1 (en) * 2013-03-15 2014-09-18 Jumio Inc. Method and system for obtaining and using identification information
US20160098722A1 (en) * 2013-03-15 2016-04-07 United States Postal Service System and method of identity verification
CN106797371A (zh) * 2014-04-17 2017-05-31 康普特尔公开有限公司 用于用户认证的方法和系统
CN106716918A (zh) * 2014-08-08 2017-05-24 艾丹迪商贸公司 用户认证方法和系统
US20160063235A1 (en) * 2014-08-28 2016-03-03 Kevin Alan Tussy Facial Recognition Authentication System Including Path Parameters

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11416621B2 (en) 2020-06-18 2022-08-16 Micron Technology, Inc. Authenticating software images
TWI782546B (zh) * 2020-06-18 2022-11-01 美商美光科技公司 用於驗證軟體影像之方法、系統及電腦可讀媒體
US11783045B2 (en) 2020-06-18 2023-10-10 Micron Technology, Inc. Authenticating software images
TWI823596B (zh) * 2020-06-18 2023-11-21 美商美光科技公司 用於驗證軟體影像之方法、系統及電腦可讀媒體

Also Published As

Publication number Publication date
US10970370B2 (en) 2021-04-06
SE542213C2 (en) 2020-03-10
EP3432183A1 (en) 2019-01-23
SE1750953A1 (en) 2019-01-22
US20190026446A1 (en) 2019-01-24

Similar Documents

Publication Publication Date Title
US10708257B2 (en) Systems and methods for using imaging to authenticate online users
US11108558B2 (en) Authentication and fraud prevention architecture
CN109284599A (zh) 使用便携式电子设备为用户创建强认证的方法和系统
KR100858144B1 (ko) 이동통신 단말기를 이용한 인터넷 사이트에서의 사용자인증 방법 및 장치
CN108810021B (zh) 确定验证功能的查询系统和方法
EP3178212B1 (en) Method and system for authenticating a user
KR101214839B1 (ko) 인증 방법 및 그 시스템
EP3178195B1 (en) Method and system for authenticating a user
CN104618315B (zh) 一种验证信息推送和信息验证的方法、装置及系统
US9578022B2 (en) Multi-factor authentication techniques
JP2013524314A (ja) 携帯端末機を用いた認証方法及びシステム
WO2012078212A1 (en) System and method for identity verification on a computer
JP2011141785A (ja) 携帯端末を用いた会員登録システム及び認証システム
US20180211258A1 (en) System and method for secure personal information retrieval
JP2014531070A (ja) サイトにおけるアクションを認可するための方法およびシステム
US10509893B2 (en) Method for authenticating a user and corresponding user devices, server and system
JP7202500B1 (ja) 情報処理装置、情報処理方法、およびプログラム
KR101297166B1 (ko) 생체 정보를 이용한 사용자 인증 방법 및 시스템과 생체정보를 이용하여 인증 정보를 전송하는 이동통신 단말기
KR101027228B1 (ko) 인터넷 보안을 위한 본인인증 장치, 그 방법 및 이를 기록한 기록매체
CN110766388B (zh) 虚拟卡生成方法及系统、电子设备
KR20150044067A (ko) 지문정보를 이용한 신분증 발급 시스템, 사용자 장치, 신분증 발급장치, 지문 인증 장치 및 방법
CN106204025A (zh) 一种基于sim卡的支付方法和装置
Sun et al. Let Your Camera See for You: A Novel Two-Factor Authentication Method against Real-Time Phishing Attacks
Hastings et al. Considerations for identity management in public safety mobile networks
KR101595099B1 (ko) 보안코드 서비스 제공 방법

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
WD01 Invention patent application deemed withdrawn after publication
WD01 Invention patent application deemed withdrawn after publication

Application publication date: 20190129