CN109997136B - 使用定位数据的多因素认证方法 - Google Patents

Abstract

本文所描述的技术提供了基于定位数据的多因素认证。一般而言，本文所公开的配置使得系统能够使用与身份相关联的定位数据以及可能的其他数据来授权特定动作。例如，当用户希望更改密码或访问受保护的账户时，如果与用户相关联的设备位于安全区域中，则系统可以认证用户。如果检测到所请求的操作和/或与用户相关联的预定的移动模式，则系统可以认证用户。例如，在计算设备的位置在预定的区域内的情况下，当用户的计算机遵循预定的移动模式时，并且当一个或多个验证过程满足一个或多个标准时，系统允许用户更改密码。

Description

使用定位数据的多因素认证方法

技术领域

本公开的示例实施例总体涉及计算机领域，特别地涉及使用定位数据的多因素认证方法。

背景技术

支持双因素认证的技术为计算机系统提供增强的安全性。例如，当用户希望访问帐户、更改密码或采取其他类似动作时，系统可以通过电话呼叫、文本消息或电子邮件联系用户。虽然当前的技术除了仅仅录入密码或个人标识码(PIN)之外还提供额外的安全层，但这些技术还需要用户执行许多其他任务。在一些情况下，用户可能必须使用固定电话、访问电子邮件帐户并执行许多手动数据录入任务。当涉及到优选的用户体验并且为用户提供安全性时，现有系统还有很多不足之处。

关于这些和其他考虑，呈现了本文的公开内容。

发明内容

本文所描述的技术提供了使用定位数据的多因素认证。一般而言，本文所公开的配置使得系统能够基于与旨在执行一个或多个操作的用户相关联的定位数据和其他数据来授权身份以执行一个或多个操作。例如，当用户希望更改密码、访问受保护的账户或执行某种其他类型的受保护的操作时，系统可以使用定位数据和(在一些配置中)姿势数据来认证身份。

在一些配置中，系统可以使用用户的位置以及由用户执行的移动(movement)模式来认证用户。例如，如果用户执行与用户的位置相关联的预定的移动模式，则系统可以认证用户。在特定示例中，在用户的计算机或者一个或多个用户移动遵循预定的移动模式，并且用户位于特定区域内时，系统允许用户更改密码。在一些配置中，系统可以通过在显示器上显示指令来指导用户执行预定的移动模式。

在其他示例中，预定的移动模式可以与用户从一个位置移动到另一位置相关联。当用户执行预定的移动模式并且用户在预定的区域内时，系统授权用户执行所请求的操作(例如，更改密码、访问帐户、访问受保护的数据、访问安全位置等)。例如，可以授予用户临时授权以进入受限区域来执行修复。在确定何时向用户授予访问权限时，系统可以响应于确定用户遵循了从用户的办公室到受限区域的预定的移动模式而向用户授予访问权限。

在一些配置中，系统可以在对用户的认证期间使用其他数据。例如，如果上下文数据(例如，用户的日程安排、日历邀请、电子邮件、文本消息)指示他们在预定时间内在他或她的经理办公室中开会，则系统可以跟踪用户的位置以确定用户的移动模式与上下文数据中所指示的活动是否一致。根据一些配置，系统可以确定用户经常访问(或比其他位置更频繁)的位置，并且使用这些位置作为验证的形式。例如，系统可以向该位置分配得分，并使用该得分来确定是否要使用较弱/较强的初级认证。在其他示例中，如果数据指示用户正坐在他或她的办公室中，则系统可以利用该位置作为用于多因素认证过程的可接受的验证形式。另外，当用户在特定位置时，可以使用例如密码、PIN的录入或生物特征安全措施的使用的验证方法。本文所公开的技术和机制旨在提供针对位置信息篡改的保护。例如，系统可以采用一种或多种附加的验证措施，而不是仅依赖于可能会被改变的位置信息。

根据一些示例，系统可以确定用户是否在预定的区域中时执行了其他验证过程。验证过程可以包括但不限于用户从系统接收指令并确定用户是否执行该指令。例如，系统可以请求用户在预定的区域内执行显示器上所示的一个或多个姿势。姿势的成功执行可以使系统生成允许用户执行动作的许可数据，诸如更改密码或访问帐户或其他受保护的数据。

本文所公开的技术可以使计算系统能够从与用户相关联的计算设备接收定位数据和其他数据。系统可以使用该数据来确定何时使用户能够执行操作和/或访问受保护的数据。例如，当用户位于预定的区域(诸如用户的家中或用户的工作场所)内或附近时，系统可以授予对用户的帐户的访问权限。另外，如果用户位于预定义的不允许区域，诸如竞争者工作场所的工作场所或已知的非法商业/组织的场所，则系统可以暂时/永久地暂停对敏感/机密资源的访问。

定位数据可以指示用户在室外环境或室内环境中的位置。例如，定位数据可以指示用户在建筑物的特定房间内、建筑物内的特定资源(例如，打印机)附近等。在一些配置中，室内地图数据标识室内环境的资源。资源可以包括室内环境内的计算设备资源和非计算设备资源。例如，地图数据可以标识室内环境内的内部路径、门道、房间或其他区域，以及其他计算资源和非计算资源。作为示例，地图数据可以标识过道、办公室、公共区域、桌子、椅子、办公桌的边界，诸如打印机、复印机、传真机等资源的位置，以及标识用户与之交互的其他类型的计算设备和其他物理对象。

在一些配置中，定位数据可以指示用户设备在环境内的移动。另外，系统可以使用定位数据来标识用户设备的移动模式。定位数据可以包括各种类型的数据，诸如用户的速度、用户的方向、用户采取的步骤的数目、用户执行的姿势(例如，升高和降低移动计算设备)，等等。在一些情况下，定位数据可以相对于某个已知位置。例如，可以使用无线保真(WI-FI)定位系统和/或使用用户计算设备上可用的传感器来确定用户在室内环境内的位置。

系统还可以使用定位数据来监控用户的位置。当用户穿过建筑物的房间和过道时，系统可以确定是否继续允许访问受保护的数据或继续授权用户执行所请求的操作。例如，系统可以授权用户在建筑物的一个区域中时访问数据或执行所请求的操作，但不能在建筑物的其他区域中访问数据或执行所请求的操作。类似地，在预定义数目的用户同时存在于指定位置的情况下，系统可以授权访问资源。

系统还可以生成元数据，其定义关于特定位置、与特定位置相关联的预定的移动模式等的信息。例如，元数据可以标识针对位置的名称、位置内的资源的名称和能力、被用于认证的预定的移动模式等。

本文所公开的配置可以接收和分析从与用户相关联的计算设备接收的定位数据。如下面更详细描述的，可以由本文所公开的技术利用从一个或多个系统(诸如一个或多个GPS设备、蓝牙LE接近度信标、无线路由器、W-Fi接入点或其他合适的设备)接收的定位数据。另外，本文所公开的配置可以分析来自其他系统的其他类型的数据，以标识用户和用户的位置和/或移动模式。例如，系统可以利用诸如面部识别的成像技术来标识在相机或其他类型的检测器或传感器的视场内移动的人。指示摄像机、热传感器、移动检测器、声音检测器或任何其他类型的检测器或传感器的位置的数据可以被用以标识所检测的用户的位置和/或移动模式。在一些配置中，可以从多个系统和多个计算设备分析定位数据和其他数据，以标识一个或多个用户的位置或移动模式。

应当理解，上述主题内容还可以被实施成计算机控制的装置、计算机进程、计算系统，或者诸如计算机可读介质的制品。通过阅读以下详细描述和对相关联的附图的回顾，这些和各种其他特征将明显。提供本发明内容是为了以简化的形式介绍一些构思，这些构思将在下面的具体描述中进一步被描述。

本发明内容不旨在标识所要求保护的主题内容的关键特征或必要特征，也不旨在将本发明内容用以限制所要求保护的主题的范围。此外，所要求保护的主题内容不限于解决在本公开的任何部分中提到的任何或所有缺点的实施方式。

附图说明

参考附图描述了详细描述。在附图中，附图标记的最左边的(多个)数字标识该附图标记首次出现的图。不同附图中的相同附图标记指示相似或相同的项目。对多个项目中的各个项目的引用可以使用具有字母序列的字母的附图标记来指示每个个体项目。对项目的通用引用可以使用没有字母序列的特定附图标记。

图1A-图1B图示了提供使用定位数据进行多因素认证的系统的示例。

图2是示出用于多因素认证的说明性系统的图。

图3A-图3B图示了使用从用户计算设备接收的定位数据来提供多因素认证的系统的示例数据流场景。

图4是示出了说明用于多因素认证的本文所公开的机制的各方面的例程的流程图。

图5是图示用于计算系统的说明性计算机硬件和软件架构的计算机架构图，该计算系统能够实施本文所呈现的技巧和技术的各方面。

图6是图示能够实施本文所呈现的技巧和技术的各方面的分布式计算环境的图。

图7是图示用于计算设备的计算设备架构的计算机架构图，该计算设备能够实施本文所呈现的技巧和技术的各方面。

具体实施方式

以下详细描述描述了使用定位数据来实现多因素认证的技术。一般而言，本文所公开的配置使得系统能够利用与用户的移动相关联的定位数据来认证用户。例如，本文所公开的技术可以使计算系统能够在用户在整个环境中移动时从用户计算设备接收定位数据和其他数据，并且在环境内执行各种操作。系统可以生成许可数据，该许可数据在使用定位数据认证用户之后授权用户执行所请求的操作。

出于说明性的目的，考虑用户期望使用除了用户的计算设备之外的计算设备访问受保护的资源(例如，用户帐户)的场景。当用户进入建筑物内的特定位置时，系统可以请求用户执行某个动作，该动作确认用户在特定位置内和/或在特定位置时执行某个预定的移动模式。例如，系统可以请求用户拍摄该位置处的某个已知对象的照片、与该位置处的计算设备执行某种交互(例如，在设备上输入指纹、轻扫或以其他方式向设备提供卡、轻敲由设备呈现的用户界面元素)、连接到该位置处的无线网络等。系统还可以或备选地请求用户在房间内的桌子周围移动、上下举起他们的手臂几次，或者执行某个其他预定的姿势(例如，以指定模式挥手)。当系统检测到用户已经执行了所请求的操作和/或执行了预定的移动模式时，系统可以生成允许用户更改密码的许可数据。

为了说明本文所公开的技术的各方面，图1A到图1B图示提供使用定位数据进行多因素认证的系统的示例。图1A-图1B的示例包括办公建筑物(其表示较大建筑物的一部分)的代表性楼层102。尽管该示例包括针对单层的室内办公室环境，但是可以理解，本文所公开的技术可以被应用于任何环境。例如，本文所公开的技术可以被应用于学校、商店、工厂、炼油厂或可以从系统受益的任何其他环境，该系统可以向各个身份或所选择的多组身份提供针对不同资源的不同级别的访问权限。

现在转到图1A，该示例图示了两个不同用户101正在请求认证以便访问受保护的资源的场景。在该示例中，第一用户101A已经向认证系统115发送了认证请求138A，并且第二用户101B已经向认证系统115发送了认证请求138B。认证请求138可以是访问受保护的资源或执行与受保护的资源有关的操作的请求，诸如但不限于访问受保护的数据、访问帐户、访问受保护的区域(例如，安全房间)、登录到计算设备上、利用打印机或某个其他资源等。

在一些配置中，认证系统115与绘制(mapping)系统110交互以确定环境内的用户101的位置。在一些配置中，绘制系统110可以使用与用户101的移动相关联的定位数据142和关联于用户与室内环境内的资源的交互的其他数据(未示出)来生成室内地图数据117A。在其他示例中，绘制系统110访问至少部分地由一个或多个其他绘制服务生成的地图数据。在一些示例中，绘制系统110从诸如图2中所图示的计算设备202的用户计算设备接收定位数据142。

如上所述，资源可以包括计算设备资源和非计算设备资源。例如，资源可以包括内部路径、门道、房间或室内环境内的其他区域，以及其他计算资源和非计算资源。作为示例，地图数据可以标识过道、办公室、公共区域、家具的边界，诸如打印机、复印机、传真机等资源的位置，以及标识用户与其交互的其他类型的计算设备和其他物理对象。资源可以与一个或多个位置相关联。

可以由多种合适的技术来生成指示用户101的位置的定位数据142。例如，指示用户101A或用户101B的位置的定位数据142可以由移动计算设备生成。在另一示例中，指示用户101的位置的定位数据142可以由相机系统利用诸如面部识别技术的剖析(profiling)技术来生成，以标识和跟踪用户的移动。根据一些配置，一个或多个WI-FI接入点106被定位在楼层102周围的位置。这些接入点106可以被用来生成指示内部环境内的用户和/或计算设备的位置的定位数据142。可以使用其他有线或无线技术来使绘制系统110能够确定人进入的时间、在特定区域内移动、进入特定区域或退出特定区域。

在图1A的示例中，从用户101A获得定位数据142A，并且从用户101B获得定位数据142C-142D。在一些配置中，可以将由绘制系统110或认证系统115收集的定位数据142存储在存储器设备中。所存储的定位数据142可以指示各种事件的时间(诸如在特定位置停留的时间)、用户的速度、方向、进入、退出和其他活动。所存储的定位数据142可以被用于审计和/或机器学习目的。

当用户101移动通过诸如楼层102的环境时，可以由绘制系统110和/或认证系统115获得针对用户的移动模式103。在图1A所示的示例中，移动模式103被示为虚线，其指示用户101A-101B已经在楼层102内行进。

当确定是否认证用户时，认证系统115可以使用这些移动模式103。例如，认证系统115可以利用移动模式103来检测用户101B已经离开他或她的办公室并且在用户被邀请的会议的时间前往会议室。认证系统115可以确定该移动模式103与从用户的办公室到会议室的预定的移动模式一致，并且对用户101B授权并生成允许用户101B访问安全数据和/或执行需要授权的操作143的许可数据139B。本文所提供的各种实施例用于说明性目的，并且不应当被解释为限制性的。本公开的各方面可以被应用于任何合适的环境。

诸如地图数据117A或118A(图2中所示)的地图数据可以包括地形数据和可能影响用户从一个位置到另一个位置的通勤的其他数据。地图数据还可以包括图像数据，该图像数据可以包括地理区域内的道路和路径的静止图像或视频图像数据以及房间、资源、建筑物和其他地标的图像。地图数据可以基于全球定位坐标、由私有或公共信标定义的坐标，或任何其他合适的资源。地图数据可以包括由绘制系统110或某个其他系统生成的室内地图数据117A，以及由绘制系统110或某个其他系统生成的室外地图数据118A。地图数据可以由一个或多个计算设备用于各种目的，例如导航目的。

在如图1A所图示的认证的另一示例中，认证系统115生成许可数据139A，其允许用户101A响应于认证用户101A而执行经授权的操作143(例如，更改密码)。作为示例，认证系统115可以通过在计算设备144B上显示移动模式来指导用户101A执行预定的移动模式。当用户101A执行预定的移动模式并且用户在预定的区域(例如，办公室)内时，认证系统115通过生成许可数据139A来授权用户执行所请求的操作(例如，更改密码、访问帐户、访问受保护的数据、访问安全位置等)。

除了使用用户的位置和预定的移动模式之外，认证系统115还可以使用一种或多种其他验证方法(例如，录入密码、PIN或使用生物特征安全措施)。在一些配置中，认证系统115可以生成防止用户访问受保护的资源的许可数据139。例如，认证系统115可以生成防止用户在用户离开指定区域(例如，离开办公室)时访问受保护的资源的许可数据139。

如上面简要描述的，定位数据142可以指示用户设备在环境中的移动。另外，系统可以使用定位数据来标识用户设备的移动模式。定位数据142可以包括各种类型的数据，诸如用户的速度、用户的方向、用户采取的步骤的数目、用户所执行的姿势(例如，升高和降低移动计算设备)等。在一些情况下，定位数据可以相对于某个已知位置。例如，可以使用无线保真(WI-FI)定位系统和/或使用用户计算设备上可用的传感器来确定用户在室内环境内的位置。

在当前示例中，绘制系统110和/或认证系统可以使用由与用户101B相关联的定位数据142指示的移动模式103来确定用户已经从办公室行进到达会议室(使用定位数据142B)、在桌子144D周围走动(使用定位数据142C)，以及抬起和放下手(使用定位数据142D)。也可以使用其他机制检测姿势。例如，系统可以使用图像处理技术或某种其他运动检测技术来检测姿势。

作为示例，响应于用户101B经由请求138B请求对受保护的资源的授权，认证系统115可以指导用户执行姿势，诸如手的姿势。作为另一示例，系统115可以指导用户执行指定的移动模式。当用户101B所执行的姿势和/或移动模式与由认证系统115指定的预定的移动模式一致时，认证系统生成允许访问受保护的资源的许可数据139B。在一些配置中，认证系统115可以确定用户在一段时间期间的移动模式偏离通常与用户相关联的移动模式。根据一些配置，认证系统115使用一个或多个机器学习机制来确定这些偏差的时间。在一些示例中，当用户的移动模式偏离通常与用户相关联的移动模式时，认证系统115可以利用更高的安全性要求。

现在转向图1B，其示出了与室内地图数据117A相关联的元数据。在当前示例中，绘制系统110生成元数据117B-1到117B-8的一部分，以描述关于由地图数据117A标识的资源的信息。认证系统115还可以生成元数据117B-1到117B-8的一部分，以描述关于与特定资源相关联的认证标准的信息。

例如，元数据可以包括描述一个或多个设施的信息或与一个或多个设施相关联的信息。例如，元数据可以包括但不限于与房间、过道、公共区域、墙壁、计算设备、打印机、显示屏、电话、建筑物的房间、安全系统、网络设备和其他类型的资源相关的数据。在一些特定示例中，元数据可以包括一个或多个计算设备的访问代码和操作参数。在其他示例中，元数据可以描述房间的内容、将公司的个人与各个办公室相关联的组织图，或任何其他资源。元数据还可以描述一个或多个资源的位置和/或大小。例如，控制数据可以包括用于控制计算设备或系统(诸如安全系统、电梯门、受保护的门等)的指令、命令或其他代码。元数据还可以包括指示用户或资源的位置的定位数据。例如，元数据可以指示特定用户、一组用户、打印机、计算机显示屏、电话、建筑物的房间、安全系统、网络设备和其他类型的资源的位置。元数据还可以指示关于用户或资源的位置的阈值精确度水平。元数据还可以指示认证系统115在认证用户时利用的预定的移动模式。

在一些配置中，元数据可以包括定义建筑物或其他结构的各方面的地图数据。例如，由绘制系统110生成的室内地图数据117A可以定义室内环境102的各方面，例如，墙壁、门道、路径或结构的其他兴趣点的位置。室外地图数据还可以定义室外空间的各方面，例如，地理区域内的道路和其他类型的行进路径。

元数据117B-1包括将房间标识为具有5英尺宽×100英尺长的过道的信息。元数据117B-2包括标识房间是办公室、用户101B占用办公室、办公室大小为12×12、办公室内有一个计算设备，以及认证系统115利用第一预定的移动模式的信息。例如，认证系统115可以指导用户101在利用办公室中的PC之前执行姿势。元数据117B-3包括标识房间是办公室、用户101A占用办公室、办公室大小为12×10、办公室内有一个计算设备、以及认证系统115利用第二预定的移动模式(例如，从特定方向进入办公室、触摸办公室的墙壁等)的信息。元数据117B-4包括标识房间是办公室、用户101C占用办公室、办公室大小为12×10、办公室内有一个计算设备、以及认证系统115利用第一预定的移动模式的信息。

在一些配置中，绘制系统110基于在定位数据142中所标识的移动模式来标识办公室的占用者。例如，定位数据142可以指示用户101B最频繁地进入和退出房间号1002，并且在办公室里度过大部分时间。元数据117B-5包括将房间标识为具有4英尺宽×100英尺长的过道的信息。元数据117B-6包括将资源标识为会议室、房间号、会议室的大小是30x20、有55英寸的显示器、在会议室内有六个座位的会议室桌、以及认证系统115利用第三预定的移动模式以用于认证用户的信息。元数据117B-7包括将资源标识为4英尺宽的电视的信息。元数据117B-8包括将资源标识为具有受控访问的外部的三英尺门道的信息。

现在参考图2，其提供了用于使用定位数据进行多因素认证的系统200的各方面。应当理解，本文所描述的主题内容可以被实施成计算机控制的装置、计算机进程、计算系统、或者诸如计算机可读存储介质的制品。通过阅读以下详细描述和对相关联附图的回顾，这些和各种其他特征将是明显的。此外，所要求保护的主题内容不限于解决在本公开的任何部分中提到的任何或所有缺点的实施方式。

如将在本文中更详细地描述，可以理解，本文所描述的技巧和技术的实施方式可以包括使用固态电路、数字逻辑电路、计算机组件和/或在一个或多个设备上执行的软件。本文所描述的信号可以包括模拟和/或数字信号以用于传输改变的状态、移动和/或与移动检测相关联的任何数据。由计算设备的用户捕获的例如可以是任何类型的移动形式的姿势可以使用任何类型的传感器或输入设备。

虽然在结合计算机系统上的操作系统和应用程序的执行而执行的程序模块的一般上下文中呈现了本文所描述的主题内容，但是本领域技术人员将认识到可以与其他类型的程序模块结合执行其他实施方式。通常，程序模块包括执行特定任务或实施特定抽象数据类型的例程、程序、组件、数据结构和其他类型的结构。此外，本领域技术人员将理解，本文所描述的主题内容可以利用其他计算机系统配置来实践，包括手持式设备、多处理器系统、基于微处理器或可编程的消费者电子产品、小型计算机、大型计算机等。

通过使用本文所描述的技术，系统可以基于使用定位数据的多因素认证来生成许可数据。这样的技术可以提高各种资源的安全性。通过提供更多安全性来保护安全资源，本文所公开的配置可以有益于帮助用户和商业实体。在由本文所描述的技术提供的许多益处中，可以提高室内或室外环境内的资源的安全性，这可以降低安全数据被访问的风险，或者允许执行危害针对组织的安全的操作的风险。也可以从本文所公开的技术的实施方式中实现除了本文提到的那些之外的其他技术效果。

在以下描述中，参考形成其一部分的附图，并且其中通过图示的方式示出了具体的配置或示例。参考系统附图，其中相同的附图标记贯穿几个附图表示相同的元件、计算系统、计算机可读存储介质和用于提供使用定位数据进行多因素认证的计算机实现的方法的各方面。如将在下面关于图5-7更详细地描述的，存在可以实施本文所描述的功能和技术的许多应用和服务。

图2是示出本文所公开的用于使用定位数据进行多因素认证的一个示例系统200的各方面的框图。在一个说明性示例中，示例系统200可以包括绘制系统110、认证系统115、一个或多个客户端计算设备202A-202B(“设备202”)、一个或多个数据库系统125A-125B(通常称为“数据库系统125”)和一个或多个网络250。如下面所述的，设备202可以被用于与一个或多个用户101A-101B(“用户101”)交互。如上所述，用户计算设备与向绘制系统110提供定位数据142相关联。提供该示例是出于说明性目的而不应当被解释为限制性。可以理解，系统200可以包括任何数目的设备、数据库系统、用户、绘制系统和/或任何数目的认证系统。

系统200使客户端计算设备202能够与统一接口交互，以用于访问被存储在不同数据库系统125中的不同类型的数据，并向与绘制系统110相关联的一个或多个系统提供数据。通过提供统一接口，使得用户和客户端即使在数据库系统125是异构的情况下，也能够利用单个查询来存储和检索来自多个不连续数据库的数据。在一些配置中，联合数据库系统可以将由客户端计算设备202生成的查询分解成子查询以用于提交给相关的组成数据库管理系统，之后系统可以合成子查询的结果集合。因为各种数据库管理系统可以采用不同的查询语言，所以数据库系统125或绘制系统110可以将包装器应用于子查询以将它们翻译成适当的查询语言。

出于说明性的目的，在图2中所示的示例中，第一数据库系统125A是存储室内地图数据和元数据的受保护的系统，第二数据库系统125B是存储室外地图数据的可公共访问的系统(诸如GOOGLE MAPS)，并且第三数据库系统125C是存储元数据的另一可公共访问的系统(诸如通用搜索引擎、社交网络或电子商务站点)。在一些示例中，元数据可以包括可以指示资源或用户的位置的定位数据。当客户端计算设备202发送针对被存储在数据库系统125处的数据的请求时，认证系统115可以确定客户端计算设备202是否要接收所请求的数据。在允许客户端计算设备202向绘制系统110提供定位数据之前，认证系统115还可以被用来认证客户端计算设备202。

在一些配置中，绘制系统110、认证系统115和各个数据库可以由不同的商业实体或实体的不同部门独立地管理和/或管控。例如，绘制系统110的管控控制可以通过管理分离、人员分离或者管理或控制每个数据存储库的个体或实体不重叠的另一布置与认证系统115的管控控制分离。另外，各个数据库系统的管控控制可以彼此分离。分离每个数据存储库的管控控制和系统200的其他组件有助于减轻安全性问题。

出于说明性的目的，客户端计算设备202可以与组织、个人、公司、机器、系统、服务、设备或利用具有被存储在认证系统115处的凭证的至少一个身份的任何其他实体相关联。例如，身份可以与用户帐户、智能卡、证书或任何其他形式的认证相关联。与客户端计算设备202相关联的个人、设备、企业或实体可以订阅或至少利用由认证系统115提供的服务，而无需认证系统115存储诸如室内地图和其他元数据的私有元数据。绘制系统110可以存储私有元数据和/或从各种数据库系统125获取私有元数据。提供这些示例是出于说明性目的而不应当被解释为限制性。可以理解，系统和设备可以以不同的方式组合，以根据所存储的数据类型创建期望的私有数据分离。

绘制系统110、认证系统115、设备202和数据库系统125，和/或被配置有本文所公开的特征的任何其他计算机可以通过诸如网络250的一个或多个局域网和/或广域网被互连。另外，计算设备可以使用任何技术进行通信，诸如蓝牙、WIFI、WIFI DIRECT、NFC或可以包括基于光的、有线的或无线的技术的任何其他合适的技术。应当理解，可以利用比本文所述的更多类型的连接。

各个设备202可以作为独立设备操作，或者这种设备可以与其他计算机(诸如一个或多个服务器120)一起操作。各个计算设备的形式可以是个人计算机、移动电话、平板电脑、可穿戴计算机(包括头戴式显示器(HMD)或手表)，或具有用于与一个或多个用户101交互的组件的任何其他计算设备。在一个说明性示例中，各个设备202和提供者设备104可以包括本地存储器(图5)，在本文中也被称为“计算机可读存储介质”，其被配置为存储数据和代码模块，诸如程序模块211。

绘制系统110、认证系统115和数据库系统125的形式可以是个人计算机、服务器群、大规模系统或具有用于处理、协调、收集、存储和/或在一个或多个计算设备之间传输数据的组件的任何其他计算系统。在一个说明性示例中，服务器120可以包括本地存储器(图5)，在本文中也被称为“计算机可读存储介质”，其被配置为存储数据和代码模块，诸如绘制管理器116和认证模块121。绘制系统110、认证系统115和数据库系统125还可以包括用于提供、接收和处理定位数据以及其他数据并且执行本文所描述的技术的一个或多个方面的组件和服务，诸如应用服务并且如图6中所示。

认证系统115可以操作一个或多个认证服务(诸如微软的ACTIVE DIRECTORY或操作认证协议(诸如OpenID)的任何其他服务)、可以被用来管理凭证并生成供绘制系统使用的许可数据。可以在认证系统115处从一个或多个设备202接收凭证，并且认证系统115可以生成用于使绘制系统110能够控制对一个或多个资源144(144A-144D)的访问的许可数据。另外，绘制系统110、认证系统115和数据库系统125可以提供或可以访问一个或多个服务，诸如提供数据管理软件的服务、日历软件或其他服务。如本文所述，认证系统110还可以使用定位数据142来执行多重认证。例如，认证管理器121可以使用用户101的位置(使用定位数据确定)与确定由用户101执行的移动模式103与被存储在预定义的移动模式220内的预定义的移动模式103一致的组合来对用户101执行多因素认证。如上面所讨论的，认证系统115可以利用一个或多个不同的预定的移动模式。在一些示例中，认证系统115所利用的预定义的移动模式可以随时间改变。例如，认证系统115可以在一天利用一个预定义的移动模式(例如，第一姿势)，并且接下来的一天利用第二个预定义的移动模式(例如，第二姿势)。

在一些配置中，绘制系统110包括将接口暴露的应用编程接口119(“API 119”)，通过该接口，在计算设备上执行的操作系统和应用程序可以实现本文所公开的功能。通过使用该数据接口和其他接口，操作系统和应用程序可以通信和处理数据。

在一些配置中，可以通过将许可级别与一个或多个类别的数据相关联来保护数据的特定部分。在一些示例中，图2中所示的系统200包括具有第一访问级别的第一类数据(例如受保护的数据117)，以及具有第二访问级别的第二类数据(例如未受保护的数据118)。

为了说明该示例的各方面，受保护的数据117包括室内地图数据117A和受保护的元数据117B。未受保护的数据118包括室外地图数据118A和未受保护的元数据118B。元数据可以包括定位数据142，其可以指示资源或用户的位置。在该示例中，室内地图数据117A和受保护的元数据117B由绘制系统110生成并被提供给例如私密管理的系统的第一数据库系统125A。室外地图数据118A由第二数据库系统125B(例如，公共可用系统)提供，并且未受保护的元数据118B由第三数据库系统125C(例如，搜索引擎、社交网络等)提供。提供该示例出于说明性目的而不应当被解释为限制性。可以理解，任何数目的级别可以与数据的任何部分相关联，以实现针对身份(例如，与账户相关联的用户或一组身份)的粒度级别的访问。还可以理解，不同类型的数据可以来自更多或更少的计算设备。

认证系统115可以通过认证用户并将身份与定义角色和/或特权的条目相关联来实现对一个或多个资源和/或数据部分的受控访问。角色和/或特权允许或拒绝执行操作以访问和/或管理用于一个或多个相关联的身份的数据。在许多其他实施方式中，本文所描述的技术利用访问控制列表122和认证管理器121来管理对不同类型的数据的访问控制的粒度级别。例如，系统115可以允许一个身份或第一组身份使用认证过程的第一集合来访问受保护的资源，同时针对第二身份或第二组身份使用不同的认证过程的集合。

在一些示例中，本文所公开的技术可以向不同的个体或不同的个体组提供不同级别的访问。例如，可以为公司的全职员工授予第一级别的访问权限，并且可以为供应商或承包商授予第二级别的访问权限。在下面描述的示例中，对个人身份授予对受保护的数据和其他资源的访问权限。可以理解，本文所公开的技术还可以将对受保护的数据和其他资源的访问权限授权给身份的组。

现在参考图3A-图3B，下面示出并描述了涉及使用定位数据进行多因素认证的系统200的示例数据流场景。图3A-图3B中所示的示例图示了在以上关于图1A-图1B所图示的场景中在系统200的计算设备之间交换的各种类型的数据的各方面。

图3A图示了可以从多个数据库系统125接收的可以包括受保护的数据117和未受保护的数据118的数据。具体地，通过绘制系统110生成或以其他方式获得室内地图数据117A和受保护的元数据117B，并将其提供给第一数据库系统125A。室外地图数据118A由第二数据库系统125B提供，并且未受保护的元数据118B由第三数据库系统125C提供。在该示例中，第一数据库系统125A可以是私密管理的服务器，并且第二数据库系统125B和第三数据库系统125C可以是公共可访问的服务，例如搜索引擎、社交网络等。

在该示例中，用户101A利用第一计算设备202A使用一个或多个API 119向绘制系统110提供定位数据142。如上所述，用户可以向绘制系统110提供指示用户的移动模式以及用户与环境内的一个或多个资源的交互的定位数据。在生成或获得室内地图数据之后，绘制系统110可以将室内地图数据117A和元数据117B存储在资源数据306内。绘制系统110还可以将室内地图数据117A和受保护的元数据117B提供给第一数据库系统125A。绘制系统110还可以向第二数据库系统125B提供诸如室外地图数据的地图数据，并且向第三数据库系统125C提供未受保护的元数据118B。

另外，如图3A中所示，资源144经由(多个)API 119向绘制系统提供设备元数据302。根据一些配置，资源可以在初始化过程期间或在某个其他时间提供设备元数据。在其他示例中，绘制系统110可以执行网络发现技术以标识被连接到与室内环境102相关联的网络的设备。设备元数据302可以定义诸如但不限于设备标识符、设备的类型、设备的版本等的信息。

例如，本文所公开的技术可以使计算系统能够从用户计算设备接收定位数据。系统可以使用一种或多种绘制技术使用定位数据142来生成室内地图数据117A。例如，可以分析移动模式103以确定房间和其他物理对象的边界。

如上所述，室内地图数据117A可以标识室内环境的资源。资源可以包括室内环境内的计算设备资源和非计算设备资源。例如，地图数据可以标识室内环境内的内部路径、门道、房间或其他区域，以及计算资源和非计算资源。

在一些配置中，第一计算设备202A可以在生成室内地图数据117A之后继续提供定位数据142。系统可以使用该附加数据，以基于在生成地图数据之后所接收的定位数据来动态地修改所生成的室内地图数据117A。例如，地图数据最初可能不指示室内环境内资源的存在。

当认证用户101A时，认证系统115也可以使用该定位数据142。例如，与用户101A相关联的第一计算设备202A可以向认证系统115发送认证请求138，以请求访问受保护的资源。如上所述，认证系统115可以利用定位数据142来确定用户101A的位置、确定用户所执行的移动模式103，并在认证用户时使用该位置和该移动模式。

现在转到图3B，当认证用户时，认证系统115使用与第二用户101B发送给第一用户101A的邀请相关联的信息。在图3B中所图示的示例中，用户101A从第二用户101B接收参加在会议室的会议的邀请301。在一些配置中，邀请301的形式可以是标识位置(例如会议室)的日历事件。在这种示例中，邀请301可以直接或通过诸如日历服务的服务从第二计算设备202B被传输到第一计算设备202A。在一些配置中，可以将邀请301传输到绘制系统110。提供该示例是出于说明性目的而不应当被解释为限制性。可以理解，邀请301可以是其他形式，诸如电子邮件、文本消息和即时消息或适于标识位置和标识与用于允许访问资源的许可相关联的身份的任何其他形式的通信。

在会议时，并且当用户101A在房间内时，当用户101A请求访问与举行会议的房间中的资源相关联的受保护的资源时，认证系统115可以授权用户101A访问资源。例如，认证系统115可以使用邀请301来关联用户正在参加在特定时间和特定位置处的会议。提供这些实施例是出于说明性的目的而不应当被解释为限制性。可以理解，可以利用任何合适的用户活动或移动模式来修改与一个或多个资源相关联的许可。

现在转向图4，下面示出并描述了使用定位数据进行多因素认证的例程400的各方面。应当理解的是，本文所公开的方法的操作不一定以任何特定的顺序呈现，并且以备选的(多种)顺序执行一些或所有操作是可能的并且被预期。为了便于描述和说明，已经以所演示的顺序呈现了操作。在不脱离所附权利要求的范围的情况下，可以添加、省略和/或同时执行操作。

还应当理解，所图示方法可以在任何时间结束，并且不需要完整地被执行。可以通过执行被包括在计算机存储介质上的计算机可读指令来执行方法的一些或所有操作和/或基本等同的操作，如下面所定义的。如在说明书和权利要求中使用的术语“计算机可读指令”及其变型在本文中被广泛使用，以包括例程、应用、应用模块、程序模块、程序、组件、数据结构、算法等。计算机可读指令可以在各种系统配置上被实施，包括单处理器或多处理器系统、小型计算机、大型计算机、个人计算机、手持式计算设备、基于微处理器的设备、可编程消费者电子产品、它们的组合等。

因此，应当理解，本文所描述的逻辑操作被实施成(1)作为在计算系统上运行的计算机实现的动作或程序模块的序列和/或(2)作为计算系统内的被互连的机器逻辑电路或电路模块。实施方式是取决于计算系统的性能和其他要求的选择上的问题。因此，本文所描述的逻辑操作被不同地称为状态、操作、结构设备、动作或模块。可以用、固件、专用数字逻辑及其任何组合来实施这些操作、结构设备、动作和模块。

例如，例程400的操作在本文中被描述为至少部分地由认证系统115、绘制系统110、程序模块211和/或操作系统的组件来实施。在一些配置中，包括认证管理器121的认证系统115，包括绘制管理器116的绘制系统110或运行本文公开的特征的另一模块可以是动态链接库(DLL)、静态链接库、由应用编程接口(API)产生的功能、编译的程序、解释的程序、脚本或任何其他可执行指令集。诸如定位数据142的数据和其他数据可以被存储在一个或多个存储器组件中的数据结构中。可以通过寻址链接或引用数据结构来从数据结构中获得数据。

尽管以下说明参考附图的组件，但是可以理解，例程400的操作也可以以许多其他方式来实施。例如，例程400可以至少部分地由另一远程计算机的处理器或本地电路来实施。另外，备选地或附加地，例程400的一个或多个操作可以至少部分地由单独工作或与其他软件模块一起工作的芯片集实施。在下面描述的示例中，诸如绘制系统110的计算系统的一个或多个模块可以接收和/或处理本文所公开的数据。适于提供本文所公开的技术的任何服务、电路或应用可以被用于本文所描述的操作中。

参考图4，例程400开始于操作401，在401中计算系统的一个或多个模块接收输入数据。如上面所讨论的，认证系统115可以在用户可以访问诸如受保护的数据的受保护的资源，或者执行需要认证的一些其他操作之前从用户101接收需要认证的请求。

接下来，在操作403处，计算系统的一个或多个模块可以接收定位数据143。如上面所讨论的，定位数据142可以包括与用户在室内环境中的移动相关联的数据，诸如用户在建筑物内的移动。在一些示例中，与用户相关联的移动计算设备向绘制系统110提供定位数据142，其包括针对在室内环境内移动的用户的速度数据和方向数据。可以从与一个或多个身份相关联的计算设备202接收定位数据142，或者可以从另一系统接收定位数据142，该另一系统可以具有可以跟踪个人的移动的相机和其他设备。

接下来，在操作405处，计算系统的一个或多个模块可以标识用户的位置。如上所述，认证系统115可以从绘制系统110请求用户的位置。绘制系统110可以访问地图数据117A以确定用户在环境102内的位置。

接下来，在操作407处，计算系统的一个或多个模块可以确定该位置是否在预定的区域内。如本文所概述的，认证系统115可以将该位置用作针对用户101的多因素认证中的因素中的一个。例如，当用户保持在特定区域内时，认证系统115可以生成允许用户访问安全数据的许可数据。

接下来，在操作409处，计算设备的一个或多个模块可以确定是否满足一个或多个验证过程。如本文所概述的，当确定是否认证用户时，认证系统115可以使用各种不同的验证过程。在一些示例中，当满足与验证过程相关联的一个或多个标准时，满足认证过程。

接下来，在操作411处，计算设备的一个或多个模块可以确定用户是否已经执行了所请求的操作(例如，在该位置拍摄图片)，或者与用户101相关联的移动模式103与预定的移动模式一致。如上面所讨论的，认证系统115可以确定请求认证的用户101是否已经执行了所请求的操作或者是否与预定的移动模式一致。

接下来，在操作413处，计算设备的一个或多个模块可以生成允许用户访问安全数据的许可数据139和/或执行安全操作。如本文所概述的，响应于认证的一个或多个条件改变(例如，用户移动到不同区域)，认证系统115可以生成限制用户101访问安全数据的许可数据和/或执行安全操作。

图5示出了针对能够执行本文所描述的程序组件的计算机(诸如计算设备202(图2))的示例计算机架构500的附加细节。因此，图5中所图示的计算机架构500图示了针对服务器计算机、移动电话、PDA、智能电话、台式计算机、上网本计算机、平板计算机、和/或膝上型计算机的架构。计算机架构500中可以被用以执行本文中呈现的软件组件的任何方面。

图5中所图示的计算机架构500包括中央处理单元502(“CPU”)、包括随机存取存储器506(“RAM”)和只读存储器(“ROM”)508的系统存储器504、以及将存储器504耦合到CPU502的系统总线510。包含有助于诸如在启动期间在计算机架构500内的元件之间传递信息的基本例程的基本输入/输出系统被存储在ROM 508中。计算机架构500还包括用于存储操作系统507、其它数据以及一个或多个应用程序的海量存储设备512。

海量存储设备512通过被连接到总线510的海量存储控制器(未示出)而被连接到CPU502。海量存储设备512及其相关联的计算机可读介质提供用于计算机架构500的非易失性存储装置。尽管本文中包含的计算机可读介质的描述指代海量存储设备，诸如固态驱动器、硬盘驱动器或CD-ROM驱动器，但是本领域技术人员应当认识到，计算机可读介质可以是可以由计算机架构500访问的任何可用的计算机存储介质或通信介质。

通信介质包括计算机可读指令、数据结构、程序模块或诸如载波或其他传输介质的经调制的数据信号中的其他数据并且包括任何递送介质。术语“经调制的数据信号”意指使其特性中的一个或多个特性改变或设置以在该信号中编码信息的信号。通过示例而非限制，通信介质包括有线介质(诸如有线网络或直接有线连接)和无线介质(诸如声学、RF、红外和其他无线介质)。上面中的任何的组合还应当被包含在计算机可读介质的范围内。

通过示例而非限制，计算机存储介质可以包括以任何方法或技术实现以用于存储信息(诸如计算机可读指令、数据结构、程序模块或其他数据)的易失性和非易失性、可移除和不可移除介质。例如，计算机介质包括但不限于RAM、ROM、EPROM、EEPROM、闪速存储器或其他固态存储器技术、CD-ROM、数字多用盘(DVD)、HD-DVD、蓝光盘、或其他光学存储装置、磁带盒、磁带、磁盘存储装置或其他磁存储设备、或者可以被用来存储期望信息并且可以由计算机架构500访问的任何其他介质。出于权利要求的目的，短语“计算机存储介质”、“计算机可读存储介质”以及其变型不包括波、信号、和/或其他瞬态和/或无形通信介质本身。

根据各种配置，计算机架构500可以在使用通过网络756和/或另一网络(未示出)与远程计算机的的逻辑连接的网络化环境中操作。计算机架构500可以通过被连接到总线510的网络接口单元514连接到网络756。应当认识到，网络接口单元514还可以被用来连接到其他类型的网络和远程计算机系统。计算机架构500还可以包括用于从许多其他设备(包括键盘、鼠标或电子触笔(图5中未示出))接收和处理输入的输入/输出控制器516。类似地，输入/输出控制器516可以将输出提供到显示屏、打印机、或其他类型的输出设备(也未在图5中示出)。

应当理解，本文中描述的软件组件在被加载到CPU 502中并且被执行时将CPU 502和总体计算机架构500从通用计算系统变换成被定制为促进本文中呈现的功能的专用计算系统。CPU 502可以由任何数目的晶体管或其他分立电路元件(其可以单独地或集体地呈现任何数目的状态)构造。更具体地，CPU 502可以响应于被包含在本文中公开的软件模块内的可执行指令而作为有限状态机操作。这些计算机可执行指令可以通过规定CPU 502如何在各状态之间转变由此变换构成CPU 502的晶体管或其他分立硬件元件来变换CPU 502。

对本文中呈现的软件模块进行编码还可以变换本文中呈现的计算机可读介质的物理结构。在本说明书的不同实施方式中，物理结构的特定变换可以取决于各种因素。这些因素的示例可以包括但不限于被用来实施计算机可读介质的技术，无论计算机可读介质被表征为主存储装置还是辅助存储装置，等等。例如，如果计算机可读介质被实施为基于半导体的存储器，则本文中公开的软件可以通过变换半导体存储器的物理状态而被编码在计算机可读介质上。例如，软件可以变换构成半导体存储器的晶体管、电容器、或其他分立电路元件的状态。软件还可以变换这种组件的物理状态以便将数据存储在其上。

作为另一示例，本文中公开的计算机可读介质可以使用磁性技术或光学技术来实现。在这种实施方式中，本文中呈现的软件可以在软件被编码在其中时变换磁性介质或光学介质的物理状态。这些变换可以包括改变给定磁性介质内的特定位置的磁性特性。这些变换还可以包括改变给定光学介质内的特定位置的物理特征或特性，以改变那些位置的光学特性。在不脱离本说明书的范围和精神的情况下，物理介质的其他变换是可能的，其中，提供前述示例仅仅是为了方便本讨论。

鉴于上文，应当认识到，许多类型的物理变换在计算机架构500中进行，以便存储和执行本文中呈现的软件组件。还应当理解，计算机架构500可以包括其他类型的计算设备，包括手持式计算机、嵌入式计算机系统、个人数字助理、以及本领域技术人员已知的其他类型的计算设备。还预期到，计算机架构500可以不包括图5中示出的组件中的全部，可以包括在图5中未被明确示出的其他组件，或者可以利用与图5中示出的架构完全不同的架构。

图6描绘了能够执行本文中描述的用于使用定位数据进行多因素认证的软件组件的说明性分布式计算环境600。因此，图6中所图示的分布式计算环境600可以被用来执行本文中呈现的软件组件的任何方面。例如，分布式计算环境600可以被用来执行本文中描述的软件组件的各方面。

根据各种实施方式，分布式计算环境600包括计算环境602，该计算环境602在网络604上操作、与网络604通信、或作为网络604的一部分。网络604可以为或者可以包括上面参考图5描述的网络756。网络604还可以包括各种接入网络。一个或多个客户端设备606A-606N(下文中共同地和/或一般地称为“客户端606”)可以经由网络604和/或其他连接(图6中未图示)与计算环境602进行通信。在一个图示的配置中，客户端606包括：计算设备606A(诸如膝上型计算机、台式计算机、或其他计算设备)；板式或平板计算设备(“平板计算设备”)606B；移动计算设备606C(诸如移动电话、智能电话、或其他移动计算设备)；服务器计算机606D；和/或其他设备606N。应当理解，任何数目的客户端606可以与计算环境602进行通信。本文中参考图5和图7图示和描述了针对客户端606的两个示例计算架构。应当理解，图示的客户端606以及本文中图示的和描述的计算架构是说明性的，并且不应当以任何方式被理解为受限制。

在图示的配置中，计算环境602包括应用服务器608、数据存储装置610、以及一个或多个网络接口612。根据各种实施方式，应用服务器608的功能可以由一个或多个服务器计算机提供，该一个或多个服务器计算机作为网络604的部分执行或与网络604进行通信。应用服务器608可以托管各种服务、虚拟机、门户和/或其他资源。在图示的配置中，应用服务器608托管用于托管应用或其他功能的一个或多个虚拟机614。根据各种实施方式，虚拟机614托管用于使用定位数据进行多因素认证的一个或多个应用和/或软件模块。应当理解，该配置是说明性的，并且不应当以任何方式被理解为限制性的。应用服务器608还托管或提供对一个或多个门户、链接页面、网站和/或其他信息(“门户网站”)616的访问。

根据各种实施方式，应用服务器608还包括一个或多个邮箱服务618以及一个或多个消息传送服务620。邮箱服务618可以包括电子邮件(“email”)服务。邮箱服务618还可以包括各种个人信息管理(“PIM”)服务，以及呈现服务，其包括但不限于日历服务、联系人管理服务、协作服务、和/或其他服务。消息传送服务620可以包括但不限于即时消息传送服务、聊天服务、论坛服务、和/或其他通信服务。

应用服务器608还可以包括一个或多个社交网络服务622。社交网络服务622可以包括各种社交网络服务，包括但不限于：用于共享或发布状态更新、即时消息、链接、照片、视频、和/或其他信息的服务；用于评论或显示对文章、产品、博客、或其他资源的兴趣的服务；和/或其他服务。在一些配置中，社交网络服务622由以下服务提供或包括以下服务：FACEBOOK社交网络服务、LINKEDIN专业网络服务、MYSPACE社交网络服务、FOURSQUARE地理网络服务、YAMMER办公室同事网络服务、等等。在其他配置中，社交网络服务622由其他服务、网站和/或可以或者可以不明确已知为社交网络提供者的提供者来提供。例如，一些网站允许用户在各种活动和/或诸如阅读已发布的文章、评论商品或服务、发布、协作、打游戏、等等的上下文期间经由电子邮件、聊天服务、和/或其他手段与彼此交互。这种服务的示例包括但不限于来自华盛顿州雷德蒙德市的微软公司的WINDOWS LIVE服务和XBOX LIVE服务。其他服务是可能的并且被预期。

社交网络服务622还可以包括发评论、博客和/或微博服务。这种服务的示例包括但不限于YELP评论服务、KUDZU审阅服务、OFFICETALK企业微博服务、TWITTER消息传送服务、GOOGLE BUZZ服务、和/或其他服务。应当认识到，上面服务列表不是穷尽的，并且为简洁起见本文中未提到许多附加的和/或备选的社交网络服务622。如此，上面配置是说明性的，并且不应当以任何方式被理解为受限制。根据各种实施方式，社交网络服务622可以托管用于提供本文中描述的功能(诸如提供使用定位数据来进行多因素认证)的一个或多个应用和/或软件模块。例如，应用服务器608中的任一个应用服务器可以传输或促进本文中描述的功能和特征。例如，运行在电话或任何其他客户端606上的社交网络应用、邮件客户端、消息传送客户端或浏览器可以与网络服务622进行通信并且甚至部分地促进上面关于图4描述的功能。

如图6中所示出的，应用服务器608还可以托管其他服务、应用、门户和/或其他资源(“其他资源”)624。其他资源624可以包括但不限于文档共享、渲染或任何其他功能。因此，可以认识到，计算环境602可以提供本文中提供的本文中公开的构思和技术与各种邮箱、消息传送、社交网络和/或其他服务或资源的整合。

如上面所提到的，计算环境602可以包括数据存储装置610。根据各种实施方式，数据存储装置610的功能由一个或多个数据库提供，该一个或多个数据库在网络604上进行操作或者与网络604进行通信。数据存储装置610的功能还可以由被配置成托管针对计算环境602的数据的一个或多个服务器计算机提供。数据存储装置610可以包括、托管、或提供一个或多个真实或虚拟数据存储库626A-626N(下文中共同地和/或一般地被称为“数据存储库626”)。数据存储库626被配置成托管由应用服务器608使用或创建的数据和/或其他数据。尽管在图6中未图示，但是数据存储装置626还可以托管或存储网页文档、文字文档、演示文档、数据结构、用于由推荐引擎执行的算法、和/或由任何应用程序或另一模块利用的其他数据。数据存储装置626的各方面可以与用于存储文件的服务相关联。

计算环境602可以与网络接口612进行通信或者由网络接口612访问。网络接口612可以包括用于支持两个或更多个计算设备(包括但不限于客户端606与应用服务器608)之间的通信的各种类型的网络硬件和软件。应当理解，网络接口612还可以被用来连接到其他类型的网络和/或计算机系统。

应当理解，本文中描述的分布式计算环境600可以利用可以被配置成执行本文中公开的软件组件的任何方面的任何数目的虚拟计算资源和/或其他分布式计算功能来提供本文中描述的软件元件的任何方面。根据本文中公开的构思和技术的各种实施方式，分布式计算环境600将本文中被描述为服务的软件功能提供到客户端606。应当理解，客户端606可以包括真实机或虚拟机，其包括但不限于服务器计算机、web服务器、个人计算机、移动计算设备、智能电话、和/或其他设备。如此，本文中公开的构思和技术的各种配置使得被配置成访问分布式计算环境600的任何设备能够利用本文中描述的用于提供使用定位数据进行多因素认证的功能以及其他方面。在一个特定示例中，如上面所概述的，本文中描述的技术可以至少部分地由结合图6的应用服务器608工作的图5的网络浏览器510应用实施。

现在转到图7，其为针对能够执行本文中描述的用于使用定位数据进行多因素认证的各种软件组件的计算设备的说明性计算设备架构700。计算设备架构700可应用于计算设备，该计算设备部分地由于形状因子、无线连接性、和/或电池供电的操作而促进移动计算。在一些配置中，计算设备包括但不限于移动电话、平板设备、板式设备、便携式视频游戏设备、等等。计算设备架构700可应用于图6中示出的客户端606中的任何客户端。另外，计算设备架构700的各方面可以可应用于传统的台式计算机、便携式计算机(例如，电话、膝上型电脑、笔记本电脑、超便携本电脑、以及上网本电脑)、服务器计算机、以及其他计算机系统，诸如本文中参考图5所描述的。例如，本文中下面公开的单触摸和多触摸方面可以被应用到利用触摸屏或某个其他支持触摸的设备(诸如支持触摸的跟踪板或支持触摸的鼠标)的台式计算机。

图7中图示的计算设备架构700包括处理器702、存储器组件704、网络连接性组件706、传感器组件708、输入/输出组件710、以及功率组件712。在图示的配置中，处理器702与存储器组件704、网络连接性组件706、传感器组件708、输入/输出(“I/O”)组件710、以及电源组件712进行通信。尽管未在图7中图示的各个组件之间示出连接，但是这些组件可以交互以执行设备功能。在一些配置中，组件被布置以便经由一个或多个总线(未示出)进行通信。

处理器702包括中央处理单元(“CPU”)，该中央处理单元(“CPU”)被配置成处理数据、执行一个或多个应用程序的计算机可执行指令、并且与计算设备架构700的其他组件进行通信以便执行本文中描述的各种功能。处理器702可以被用来执行本文中呈现的软件组件的各方面并且具体地至少部分地利用支持触摸的输入的那些方面。

在一些配置中，处理器702包括图形处理单元(“GPU”)，其被配置成加速由CPU执行的操作，包括但不限于由执行通用科学和/或工程计算应用以及图形密集计算应用(诸如高分辨率视频(例如，720P、1080P和更高分辨率)、视频游戏、三维(“3D”)建模应用、等等)所执行的操作。在一些配置中，处理器702被配置成与离散GPU(未示出)进行通信。在任何情况下，CPU和GPU可以根据共处理CPU/GPU计算模型而被配置，其中，执行在CPU上的应用的顺序部分和计算密集部分由GPU加速。

在一些配置中，处理器702是片上系统(“SoC”)以及下面本文中描述的其他组件中的一个或多个组件，或者被包括在片上系统(“SoC”)以及下面本文中描述的其他组件中的一个或多个组件中。例如，SoC可以包括处理器702、GPU、网络连接性组件706中的一个或多个以及传感器组件708中的一个或多个。在一些配置中，处理器702部分地利用封装叠加(“PoP”)集成电路封装技术而制造。处理器702可以为单核处理器或多核处理器。

处理器702可以根据可从英国剑桥的ARM HOLDINGS获得许可的ARM架构来创建。备选地，处理器702可以根据诸如可从加利福尼亚州山景城的INTEL公司以及其他获得的x86架构来创建。在一些配置中，处理器702为可从加利福尼亚州圣地亚哥的QUALCOMM获得的SNAPDRAGON SoC、可从加利福尼亚州圣克拉拉的NVIDIA获得的TEGRA SoC、可从韩国首尔的SAMSUNG获得的HUMMINGBIRD SoC、可从德克萨斯州达拉斯的TEXAS INSTRUMENTS获得的开放多媒体应用平台(“OMAP”)SoC、上面SoC中的任何SoC的定制版本、或专用SoC。

存储器组件704包括随机存取存储器(“RAM”)714、只读存储器(“ROM”)716、集成存储存储器(“集成存储装置”)718、以及可移除存储存储器(“可移除存储装置”)720。在一些配置中，RAM714或其部分、ROM 716或其部分、和/或RAM 714和ROM 716的特定组合被集成在处理器702中。在一些配置中，ROM 716被配置成存储固件、操作系统或其部分(例如，操作系统内核)、和/或从集成存储装置718和/或可移除存储装置720加载操作系统内核的引导程序。

集成存储装置718可以包括固态存储器、硬盘、或固态存储器和硬盘的组合。集成存储装置718可以被焊接或以其他方式连接到逻辑板，处理器702和本文中描述的其他组件也可以被连接到该逻辑板上。这样，集成存储装置718被集成在计算设备中。集成存储装置718被配置成存储操作系统及其部分、应用程序、数据、以及本文中描述的其他软件组件。

可移除存储装置720可以包括固态存储器、硬盘、或固态存储器和硬盘的组合。在一些配置中，提供可移除存储装置720来代替集成存储装置718。在其他配置中，作为附加的可选存储装置提供可移除存储装置720。在一些配置中，可移除存储装置720与集成存储装置718逻辑地组合使得总可用存储装置可用作总组合存储容量。在一些配置中，向用户示出集成存储装置718和可移除存储装置720的总组合容量，而不是针对集成存储装置718和移动存储装置720的分离的存储能力。

可移除存储装置720被配置成插入到可移除存储存储器槽(未示出)或其他机构中，通过该其他机构插入和固定可移除存储装置720以促进可移除存储装置720可以通过其与计算设备的其他组件(诸如处理器702)进行通信的连接。可移除存储装置720可以以各种存储器卡格式来实施，各种存储器卡格式包括但不限于PC卡、CompactFlash卡、存储器棒、安全数字(“SD”)、miniSD、microSD、通用集成电路卡(“UICC”)(例如，订户身份模块(“SIM”)或通用SIM(“USFM”))、专用格式、等等。

可以理解，存储器组件704中的一个或多个可以存储操作系统。根据各种配置，操作系统包括但不限于来自华盛顿州雷德蒙德的微软公司的WINDOWS MOBILE OS、来自微软公司的WINDOWS PHONE OS、来自微软公司的WINDOWS、来自加利福尼亚州帕洛阿尔托的惠普公司的PALM WEBOS、来自加拿大的安大略滑铁卢的Research In Motion Limited的BLACKBERRYOS、来自加利福尼亚州库比蒂诺的苹果公司的IOS、以及来自加利福尼亚州山景城的谷歌公司的ANDROID OS。可以预期其他操作系统。

网络连接性组件706包括无线广域网组件(“WWAN组件”)722、无线局域网组件(“WLAN组件”)724、以及无线个人区域网络组件(“WPAN组件”)726。网络连接性组件706促进到网络756或另一网络的通信和来自网络756或另一网络的通信，该另一网络可以为WWAN、WLAN或WPAN。尽管仅仅图示了网络756，但是网络连接性组件706可以促进与包括图6的网络604的多个网络的同时通信。例如，网络连接性组件706可以经由WWAN、WLAN或WPAN中的一个或多个促进与多个网络的同时通信。

网络756可以是或者可以包括WWAN，诸如移动电信网络，其利用一个或多个移动电信技术来将语音和/或数据服务提供到经由WWAN组件722利用计算设备架构700的计算设备。移动电信技术可以包括但不限于全球移动通信系统(“GSM”)、码分多址(“CDMA”)ONE、CDMA7000、通用移动电信系统(“UMTS”)、长期演进(“LTE”)以及微波接入全球互通(“WiMAX”)。另外，网络756可以利用各种信道访问方法(其可以或者可以不由上述标准使用)，其包括但不限于时分多址(“TDMA”)、频分多址(“FDMA”)、CDMA、宽带CDMA(“W-CDMA”)、正交频分复用(“OFDM”)、空分多址(“SDMA”)、等等。数据通信可以使用通用分组无线电服务(“GPRS”)、全域进化增强数据率(“EDGE”)、包括高速下行链路分组接入(“HSDPA”)、增强上行链路(“EUL”)或以其他方式命名的高速上行链路分组接入(“HSUPA”)、演进HSPA(“HSPA+”)的高速分组接入(“HSPA”)协议族、LTE以及各种其他当前的和未来的无线数据接入标准来提供。网络756可以被配置成利用上面技术的任何组合来提供语音和/或数据通信。网络756可以被配置成或者调整为根据未来代技术来提供语音和/或数据通信。

在一些配置中，WWAN组件722被配置成向网络756提供双多模式连接性。例如，WWAN组件722可以被配置成向网络756提供连接性，其中，网络756经由GSM和UMTS技术或经由技术的某个其他组合提供服务。备选地，多个WWAN组件722可以被用来执行这种功能，和/或提供附加的功能以支持其他不可兼容技术(即，不能够由单个WWAN技术支持)。WWAN组件722可以促进到多个网络(例如，UMTS网络和LTE网络)的类似连接性。

网络756可以是根据一个或多个电气和电子工程师学会(“IEEE”)802.11标准(诸如IEEE 802.11a、802.11b、802.11g、802.11n、和/或未来802.11标准(在本文中共同地被称为WI-FI))进行操作的WLAN。还预期到草拟的802.11标准。在一些配置中，利用一个或多个无线WI-FI接入点来实施WLAN。在一些配置中，无线WI-FI接入点中的一个或多个是具有到用作WI-FI热点的WWAN的连接性的另一计算设备。WLAN组件724被配置成经由WI-FI接入点连接到网络756。这种连接可以经由各种加密技术来保证安全，该各种加密技术包括但不限于WI-FI保护接入(“WPA”)、WPA2、有线等效保密(“WEP”)、等等。

网络756可以是WPAN，该WPAN根据红外数据协会(“IrDA”)、蓝牙、无线通用串行总线(“USB”)、Z波、ZIGBEE或某个其他短距离无线技术进行操作。在一些配置中，WPAN组件726被配置成经由WPAN促进与其他设备(诸如外围设备、计算机、或其他计算设备)的通信。

传感器组件708包括磁力计728、环境光传感器730、接近度传感器732、加速度计734、陀螺仪736、以及全球定位系统传感器(“GPS传感器”)738。预期其他传感器，诸如但不限于还可以被并入在计算设备架构700中的温度传感器或冲击检测传感器。

磁力计728被配置成测量磁场的强度和方向。在一些配置中，磁力计728将测量提供到被存储在存储器组件704中的一个存储组件内的指南针应用程序以便向用户提供在包括基本方向(北、南、东、以及西)的参考系中的准确方向。类似的测量可以被提供到包括指南针组件的导航应用程序。预期由磁力计728获得的测量的其他使用。

环境光传感器730被配置成测量环境光。在一些配置中，环境光传感器730将测量提供到被存储在一个存储器组件704内的应用程序，以便自动调节(下面描述的)显示器的亮度来补偿弱光和强光环境。预期由环境光传感器730获得的测量的其他使用。

接近度传感器732被配置成检测接近计算设备而没有直接接触的对象或东西的存在。在一些配置中，接近度传感器732检测用户的身体(例如，用户的面部)的存在并且将该信息提供到应用程序，该应用程序被存储在存储器组件704中的一个存储器组件内，其利用该接近度信息来启用或禁用计算设备的某个功能。例如，电话应用程序可以响应于接收到接近度信息而自动禁用(下面描述的)触摸屏，使得用户的面部不会在呼叫期间不经意地结束呼叫或者启用/禁用电话应用程序内的其他功能。预期由接近度传感器732检测到的接近度的其他使用。

加速度计734被配置成测量合适的加速度。在一些配置中，来自加速度计734的输出由应用程序用作输入机制以控制应用程序的某个功能。例如，应用程序可以是视频游戏，其中角色、其部分、或对象响应于经由加速度计734接收到的输入而被移动或以其他方式被操纵。在一些配置中，来自加速度计734的输出被提供到应用程序以用于在横向模式与纵向模式之间进行切换、计算坐标加速度、或者检测跌落中使用。预期加速度计734的其他使用。

陀螺仪736被配置成测量并且维持方位。在一些配置中，来自陀螺仪736的输出由应用程序用作输入机制以控制应用程序的某个功能。例如，陀螺仪736可以被用于准确识别视频游戏应用或某个其他应用的3D环境内的移动。在一些配置中，应用程序利用来自陀螺仪736和加速度计734的输出来增强应用程序的某个功能的控制。预期陀螺仪736的其他使用。

GPS传感器738被配置成从GPS卫星接收信号以在计算位置中使用。由GPS传感器738计算的位置可以由要求或者受益于位置信息的任何应用程序使用。例如，由GPS传感器738计算的位置可以与导航应用程序一起使用以提供从该位置到目的地的方向或从目的地到该位置的方向。另外，GPS传感器738可以被用来将位置信息提供到外部的基于位置的服务，诸如E911服务。GPS传感器738可以获得位置信息，该位置信息经由利用网络连接性组件706中的一个或多个来辅助GPS传感器738获得位置固定的WI-FI、WIMAX、和/或蜂窝三角测量技术来生成。GPS传感器738还可以被用在辅助GPS(“A-GPS”)系统中。GPS传感器738还可以结合其他组件(诸如处理器702)操作以生成用于计算设备700的定位数据。

I/O组件710包括显示器740、触摸屏742、数据I/O接口组件(“数据I/O”)744、音频I/O接口组件(“音频I/O”)746、视频I/O接口组件(“视频I/O”)748、以及相机750。在一些配置中，显示器740和触摸屏742被组合。在一些配置中，数据I/O组件744、音频I/O组件746、以及视频I/O组件748中的两个或更多个被组合。I/O组件710可以包括被配置成支持下面描述的各种接口的离散处理器或者可以包括被内置到处理器702的功能。

显示器740是被配置成以视觉形式呈现信息的输出设备。特别地，显示器740可以呈现图形用户界面(“GUI”)元素、文本、图像、视频、通知、虚拟按钮、虚拟键盘、消息传送数据、互联网内容、设备状态、时间、日期、日历数据、偏好、地图信息、位置信息、以及能够以视觉形式被呈现的任何其他信息。在一些配置中，显示器740是利用任何有源或无源矩阵技术和任何背光技术(如果使用的话)的液晶显示器(“LCD”)。在一些配置中，显示器740是有机发光二极管(“OLED”)显示器。预期其他显示器类型。

触摸屏742(在本文中也被称为“支持触摸的屏幕”)是被配置成检测触摸的存在和位置的输入设备。触摸屏742可以是电阻性触摸屏、电容性触摸屏、表面声波触摸屏、红外触摸屏、光学成像触摸屏、色散信号触摸屏、声学脉冲识别触摸屏、或可以利用任何其他触摸屏技术。在一些配置中，触摸屏742作为透明层被并入在显示器740的顶部上，以使得用户能够使用一个或多个触摸来与被呈现在显示器740上的对象或其他信息进行交互。在其他配置中，触摸屏742是被并入在不包括显示器740的计算设备的表面上的触摸板。例如，计算设备可以具有被并入在显示器740的顶部上的触摸屏和与显示器740相对的表面上的触摸板。

在一些配置中，触摸屏742为单触摸触摸屏。在其他配置中，触摸屏742为多触摸触摸屏。在一些配置中，触摸屏742被配置成检测离散触摸、单触摸姿势、和/或多触摸姿势。为方便起见，这些在本文中共同地被称为姿势。现在将描述若干姿势。应当理解，这些姿势是说明性的并且不旨在限制随附权利要求的范围。另外，所描述的姿势、附加的姿势、和/或备选姿势可以被实施在用于与触摸屏742一起使用的软件中。如此，开发者可以创建特定于特殊应用程序的姿势。

在一些配置中，触摸屏742支持轻敲姿势，其中，用户在被呈现在显示器740上的项目上轻敲触摸屏742一次。可以出于各种原因使用轻敲姿势，包括但不限于打开或启动用户轻敲的任何东西。在一些配置中，触摸屏742支持双击姿势，其中，用户在被呈现在显示器740上的项目上轻敲触摸屏742两次。可以出于各种原因使用双击姿势，包括但不限于按阶段放大或缩小。在一些配置中，触摸屏742支持轻敲并保持姿势，其中，用户轻敲触摸屏742并且维持接触至少预定义时间。可以出于各种原因使用轻敲并且保持姿势，包括但不限于打开上下文特定菜单。

在一些配置中，触摸屏742支持平移(pan)姿势，其中，用户将手指放置在触摸屏742上并且在将手指在触摸屏742上移动的同时维持与触摸屏742接触。可以出于各种原因使用平移姿势，包括但不限于以受控制的速率移动通过屏幕、图像或菜单。还预期多个手指平移姿势。在一些配置中，触摸屏742支持轻弹姿势，其中，用户在用户想要使屏幕移动的方向上滑动手指。可以出于各种原因使用轻弹姿势，包括但不限于水平地或垂直地滚动通过菜单或页面。在一些配置中，触摸屏742支持夹捏(pinch)和拉伸姿势，其中，用户在触摸屏742上利用两个手指(例如，拇指和食指)做出夹捏运动或将两个手指移动开。可以出于各种原因使用夹捏和拉伸姿势，包括但不限于对网站、地图或图片的逐渐放大或缩小。

尽管已经参考使用一个或多个手指用于执行姿势来描述上面姿势，但是诸如脚趾头的其他附肢或诸如触笔的对象可以被用来与触摸屏742进行交互。如此，上面姿势应当被理解为说明性的，并且不应当以任何方式被理解为限制性的。

数据I/O接口组件744被配置成促进将数据输入到计算设备以及从计算设备输出数据。在一些配置中，数据I/O接口组件744包括连接器，其被配置成例如出于同步操作目的而在计算设备与计算机系统之间提供有线连接性。该连接器可以是专用连接器或标准化连接器(诸如USB、微型USB、迷你USB，等等)。在一些配置中，连接器是用于将计算设备与诸如转接站、音频设备(例如，数字音乐播放器)、或视频设备的另一设备进行转接的转接连接器。

音频I/O接口组件746被配置成向计算设备提供音频输入和/或输出能力。在一些配置中，音频I/O接口组件746包括被配置成收集音频信号的麦克风。在一些配置中，音频I/O接口组件746包括被配置成为针对耳机或其他外部扬声器提供连接性的耳机插孔。在一些配置中，音频I/O接口组件746包括用于输出音频信号的扬声器。在一些配置中，音频I/O接口组件746包括光学音频线缆出口。

视频I/O接口组件748被配置成向计算设备提供视频输入能力和/或输出能力。在一些配置中，视频I/O接口组件748包括视频连接器，其被配置成从另一设备(例如，视频媒体播放器，诸如DVD或蓝光播放器)接收视频作为输入，或者将视频发送到另一设备(例如，监控器、电视、或某种其他外部显示器)作为输出。在一些配置中，视频I/O接口组件748包括用以输入/输出视频内容的高清晰度多媒体接口(“HDMI”)、迷你HDMI、微型HDMI、显示器端口、或专用连接器。在一些配置中，视频I/O接口组件748或其部分与音频I/O接口组件746或其部分进行组合。

相机750可以被配置成捕获静态图像和/或视频。相机750可以利用电荷耦合器件(“CCD”)或互补金属氧化物半导体(“CMOS”)图像传感器来捕获图像。在一些配置中，相机750包括用以辅助在弱光环境中拍摄照片的闪存。针对相机750的设置可以被实施为硬件或软件按钮。

尽管未图示，但是一个或多个硬件按钮也可以被包括在计算设备架构700中。硬件按钮可以被用于控制计算设备的某个操作方面。硬件按钮可以是专用按钮或多用途按钮。硬件按钮可以是机械的或基于传感器的。

所图示的电源组件712包括一个或多个电池752，其可以被连接到电池量表754。电池752可以是可充电的或一次性的。可充电电池类型包括但不限于锂聚合物、锂离子、镍镉和镍金属氢化物。电池752中的每个电池可以由一个或多个电池单元组成。

电池量表754可以被配置成测量电池参数，诸如电流、电压和温度。在一些配置中，电池量表754被配置成测量电池的放电率、温度、寿命和其他因素的作用以在特定错误百分比内预测剩余寿命。在一些配置中，电池量表754将测量提供到被配置成利用这些测量来向用户呈现有用功率管理数据的应用程序。功率管理数据可以包括以下中的一个或多个：已使用的电池的百分比、剩余的电池的百分比、电池状况、剩余时间、剩余容量(例如，以瓦特时为单位)、电流消耗以及电压。

功率组件712还可以包括功率连接器，其可以与上述I/O组件710中的一个或多个进行组合。功率组件712可以经由I/O组件与外部功率系统或充电仪器接口连接。

可以鉴于以下条款考虑本文所呈现的公开内容。

条款A.一种计算机实现的方法，包括：接收指示对于访问与身份相关联的受保护的数据的请求的输入数据；通过以下来验证与身份相关联的凭证：接收指示与身份相关联的位置的定位数据，确定位置在预定的区域内，确定当与身份相关联的位置在预定的区域内时，一个或多个附加验证过程满足一个或多个标准，确定所请求的操作被执行或者与身份相关联的移动模式与预定的移动模式一致中的一个或多个，以及生成允许对受保护数据的访问的许可数据。

条款B.根据条款A的计算机实现的方法，还包括：至少部分地基于确定移动模式与预定的移动模式不一致，或者位置在预定的区域之外中的一个或多个，来生成撤销对受保护的数据的访问的第二许可数据。

条款C.根据条款A-B的计算机实现的方法，其中接收定位数据包括从与身份相关联的计算设备接收定位数据。

条款D.根据条款A-C的计算机实现的方法，还包括：当与身份相关联的计算设备的位置在预定的区域之外时；当一个或多个验证过程的一个或多个标准未被满足时；或者当与计算设备相关联的移动模式与预定的移动模式不一致时中的一个或多个时，生成撤销对受保护的数据的访问的第二许可数据。

条款E.根据条款A-D的计算机实现的方法，其中确定所请求的操作中的一个或多个请求被执行包括：标识由用户执行的姿势以及确定姿势与所请求的操作一致。

条款F.根据条款A-E的计算机实现的方法，还包括确定与身份相关联的位置与指示用户的计划位置的数据一致，其中指示计划位置的数据至少部分地基于参加会议的邀请，其中邀请限定会议时间和会议室的名称，并且其中生成地图数据包括为会议室分配名称。

条款G.一种系统，包括处理器和与处理器通信的存储器，存储器具有被存储在其上的计算机可读指令，当由处理器执行时，计算机可读指令使处理器：接收与身份的认证请求相关联的输入数据；接收指示身份的位置的定位数据；确定位置在预定的区域内；确定与身份相关联的移动模式与预定的移动模式一致；以及至少部分地基于位置和移动模式来认证身份。

条款H.根据条款G的系统，其中指令使处理器生成授权对一个或多个受保护的数据的访问或者动作的执行的许可数据。

条款I.根据条款G-H的系统，其中指令使处理器至少部分地基于确定在与身份相关联的位置在预定的区域内时一个或多个验证过程未满足一个或多个标准，而生成撤销对一个或多个受保护的数据的访问或者动作的执行的第二许可数据。

条款J.根据条款G-I的系统，其中指令使处理器至少部分地基于与身份相关联的位置在预定的区域之外的确定，而生成撤销对一个或多个受保护的数据的访问或者动作的执行的第二许可数据。

条款K.根据条款G-J的系统，其中确定与身份相关联的移动模式与预定的移动模式一致包括标识由用户执行的动作以及确定动作与预定的移动模式一致。

条款L.根据条款G-K的系统，其中标识动作包括以下的一个或多个：标识由身份执行的姿势或标识在预定的区域内被执行的移动模式。

条款M.根据条款G-L的系统，其中指令使处理器确定与身份相关联的位置与指示用户的计划位置的数据一致。

条款N.根据条款G-M的系统，其中指令使处理器访问元数据以确定预定的移动模式。

条款O.一种计算机可读存储介质，具有被存储在其上的计算机可执行指令，当由计算设备的一个或多个处理器执行时，计算机可执行指令使计算设备的一个或多个处理器：接收与身份的认证请求相关联的输入数据；接收指示身份的位置的定位数据；确定位置在预定的区域内；确定与身份相关联的移动模式与预定的移动模式一致；以及至少部分地基于位置和移动模式来认证身份。

条款P.根据条款O的计算机可读存储介质，其中指令使处理器生成授权对一个或多个受保护的数据的访问或动作的执行的许可数据。

条款Q.根据条款O-P的计算机可读存储介质，其中指令使处理器基于当与身份相关联的位置在预定的区域内时一个或多个验证过程未满足一个或多个标准的确定，而生成撤销对一个或多个受保护的数据的访问或动作的执行的第二许可数据。

条款R.根据条款O-Q的计算机可读存储介质，其中指令使处理器至少部分地基于与身份相关联的位置在预定的区域之外的确定，而生成撤销对一个或多个受保护的数据的访问或动作的执行的第二许可数据。

条款S.根据条款O-R的计算机可读存储介质，其中确定与身份相关联的移动模式与预定的移动模式一致包括标识由用户执行的动作。

条款T.根据条款O-S的计算机可读存储介质，还包括确定一个或多个其他用户在预定的区域处，并且其中认证身份还至少部分地基于确定一个或多个其他用户在预定的区域处。

最后，尽管已经用结构特征和/或方法动作专用的语言描述了各种配置，但是应当理解，所附表示中所限定的主题内容不必限于所描述的特定特征或动作。而是，作为实施所要求保护的主题内容的示例形式公开特定特征和动作。

Claims (22)

1.一种计算机实现的方法，包括:

接收指示对于访问与用户相关联的受保护的数据的请求的输入数据；

接收指示与所述用户相关联的第一计算设备的当前位置的定位数据；

确定所述定位数据指示所述第一计算设备的所述当前位置在预定的区域内；

确定一个或多个附加验证过程指示当所述定位数据指示所述第一计算设备的所述当前位置在所述预定的区域内时所述用户物理上存在于所述预定的区域内，其中来自所述用户的验证输入引起所述一个或多个附加验证过程在物理上位于所述预定的区域内的第二计算设备处的执行；

响应于确定所述第一计算设备的所述当前位置在预定的区域内并且确认由位于所述预定的区域内的所述第二计算设备对所述一个或多个附加验证过程的执行，生成允许对所述受保护的数据的访问的许可数据；

以及至少部分地基于确定以下一项或多项，生成撤销对所述受保护的数据的访问的第二许可数据：移动模式与预定的移动模式不一致或者所述计算设备的所述当前位置已经移动到所述预定的区域之外。

2.根据权利要求1所述的计算机实现的方法，其中接收所述定位数据包括从与所述用户相关联的所述计算设备接收所述定位数据。

3.根据权利要求1所述的计算机实现的方法，还包括在以下一个或多个时生成撤销对所述受保护的数据的访问的第二许可数据：

当所述计算设备的所述当前位置移动到所述预定的区域之外时；当所述一个或多个验证过程的所述一个或多个标准不再被满足时；或者当与所述计算设备相关联的移动模式与预定的移动模式不一致时。

4.根据权利要求1所述的计算机实现的方法，其中确定所请求的操作被执行包括：针对不同于所述计算设备的计算资源标识由所述用户执行的姿势，以及确定所述姿势与所述所请求的操作一致。

5.根据权利要求1所述的计算机实现的方法，还包括确定与所述用户相关联的所述计算设备的所述当前位置与指示所述用户的计划位置的数据一致，其中指示所述计划位置的所述数据至少部分地基于参加会议的邀请，其中所述邀请限定会议时间和会议室的名称并且其中生成地图数据包括为所述会议室分配所述名称。

6.根据权利要求1所述的计算机实现的方法，其中在所述第二计算设备上被执行的所述一个或多个附加验证过程包括确定所述验证输入指示与所述用户相关联的生物特征数据，并且允许对所述受保护的数据的访问的所述许可数据还要求确定所述验证输入指示与所述用户相关联的所述生物特征数据。

7.根据权利要求1所述的计算机实现的方法，其中在所述第二计算设备上被执行的所述一个或多个附加验证过程包括：

显示用以按照预定的移动模式来移动的指令；

接收指示所述用户的当前移动模式的附加定位数据；以及

响应于确定所述预定的移动模式与所述当前移动模式一致，确认对所述一个或多个附加验证过程的执行。

8.一种系统，包括：

处理器；以及

与所述处理器通信的存储器，所述存储器具有被存储在其上的计算机可读指令，当由处理器执行时，所述计算机可读指令使所述处理器：

接收指示用户的认证请求的第一输入；

接收指示与所述用户相关联的计算设备的当前位置的定位数据；

确定所述定位数据指示所述计算设备的所述当前位置在预定的区域内；

确定附加验证过程指示当所述定位数据指示所述计算设备的所述当前位置在所述预定的区域内时所述用户物理上存在于所述预定的区域内，其中所述附加验证过程包括接收指示所述用户在物理上位于或者已经位于所述预定的区域内的第二输入；

响应于确定所述计算设备的所述当前位置在所述预定的区域内并且确认对所述附加验证过程的执行，认证所述用户以用于提供对受保护的数据的访问；以及

响应于确定移动模式与预定的移动模式不一致或者响应于确定所述计算设备已经移动到所述预定的区域之外，生成撤销对所述受保护的数据的访问的许可数据。

9.根据权利要求8所述的系统，其中所述指令使所述处理器：响应于确定所述计算设备的所述当前位置在所述预定的区域之外并且确认对所述附加验证过程的执行，生成授权计算机实现的动作的执行的第一许可数据。

10.根据权利要求9所述的系统，其中所述指令使所述处理器：至少部分地基于所述附加验证过程未满足一个或多个标准的确定，而生成撤销对所述受保护的数据的访问或者否定所述计算机实现的动作的所述执行的所述许可数据。

11.根据权利要求8所述的系统，其中所述指令使所述处理器：基于由成像设备捕获的所述用户的物理动作确定与所述用户相关联的所述移动模式与所述预定的移动模式一致。

12.根据权利要求11所述的系统，其中所述动作对应于以下的一个或多个：由所述用户执行的姿势或者在所述预定的区域内由所述用户执行的预定的移动模式。

13.根据权利要求12所述的系统，其中所述指令使所述处理器访问元数据以确定所述预定的移动模式。

14.根据权利要求8所述的系统，其中所述指令使所述处理器确定与所述用户相关联的所述计算设备的所述当前位置与指示所述用户的计划位置的数据一致。

15.根据权利要求8所述的系统，其中所述第二输入包括位于所述预定的区域内的对象的图像数据，其中响应于确定所述图像数据包括所述对象的图像，所述用户被认证。

16.根据权利要求8所述的系统，还包括：

从存储日历数据的服务器接收上下文数据；

确定所述上下文数据指示所述用户已经被安排处在预定的位置内，其中响应于确定所述上下文数据指示所述用户已经被安排处在所述预定的位置内，所述用户被认证。

17.一种计算机可读存储介质，具有被存储在其上的计算机可执行指令，所述计算机可执行指令在由计算设备的一个或多个处理器执行时使所述计算设备的所述一个或多个处理器：

接收与用户的认证请求相关联的输入数据；

接收指示与所述用户相关联的计算设备的当前位置的定位数据；

基于所述定位数据，确定所述计算设备的所述当前位置在预定的区域内；

确定操作已经相对于计算资源被执行，所述计算资源不同于所述计算设备并且物理上存在于所述预定的区域内，其中所述操作的执行指示所述用户在所述预定的区域内；

响应于通过所述定位数据确定所述计算设备的所述当前位置在预定的区域内并且确认指示所述用户位于所述预定的区域内的所述操作的执行，认证所述用户；以及

至少部分地基于确定以下一项或多项生成撤销所述用户对受保护的数据的访问的许可数据：移动模式与预定的移动模式不一致或者所述计算设备的所述当前位置已经移动到所述预定的区域之外。

18.根据权利要求17所述的计算机可读存储介质，其中对所述用户的认证授予针对所述用户访问受保护的数据或者执行动作的许可。

19.根据权利要求18所述的计算机可读存储介质，其中所述指令使所述处理器：至少部分地基于当与所述用户相关联的所述当前位置在所述预定的区域内时一个或多个验证过程未满足一个或多个标准的确定，而生成否定对所述用户访问所述受保护的数据或执行所述动作的授权的第二许可数据。

20.根据权利要求18所述的计算机可读存储介质，其中所述指令使所述处理器：至少部分地基于与所述用户相关联的所述当前位置在所述预定的区域之外的确定，而生成撤销对所述用户访问所述受保护的数据或执行所述动作的授权的第二许可数据。

21.根据权利要求17所述的计算机可读存储介质，其中所述指令使所述处理器：确定与所述用户相关联的移动模式与预定的移动模式一致。

22.根据权利要求21所述的计算机可读存储介质，还包括确定一个或多个其他用户在所述预定的区域处，并且其中认证所述用户还至少部分地基于确定所述一个或多个其他用户在所述预定的区域处。

Images