CN110365632A - 计算机网络系统中的认证 - Google Patents

计算机网络系统中的认证 Download PDF

Info

Publication number
CN110365632A
CN110365632A CN201910227524.7A CN201910227524A CN110365632A CN 110365632 A CN110365632 A CN 110365632A CN 201910227524 A CN201910227524 A CN 201910227524A CN 110365632 A CN110365632 A CN 110365632A
Authority
CN
China
Prior art keywords
security credence
emergency
host
client host
client
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201910227524.7A
Other languages
English (en)
Other versions
CN110365632B (zh
Inventor
M·罗西
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Ssh Communications Security Co
Original Assignee
Ssh Communications Security Co
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Ssh Communications Security Co filed Critical Ssh Communications Security Co
Publication of CN110365632A publication Critical patent/CN110365632A/zh
Application granted granted Critical
Publication of CN110365632B publication Critical patent/CN110365632B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/108—Network architectures or network communication protocols for network security for controlling access to devices or network resources when the policy decisions are valid for a limited amount of time
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/70—Services for machine-to-machine communication [M2M] or machine type communication [MTC]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/168—Implementing security features at a particular protocol layer above the transport layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/40—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass for recovering from a failure of a protocol instance or entity, e.g. service redundancy protocols, protocol state redundancy or protocol service redirection

Abstract

计算机网络系统中的认证。公开了用于基于由远程安全机构为客户端主机发布的安全凭证而在计算机网络系统中进行认证的方法和设备。响应于检测到客户端主机无法从远程安全机构获得用于访问目标主机的安全凭证，客户端主机可以从应急安全凭证储存器获得应急安全凭证。具有错误状态指示的应急安全凭证可以从客户端主机发送到目标主机以用于认证。

Description

计算机网络系统中的认证
技术领域
本公开涉及计算机网络系统中的认证，更具体地涉及客户端主机到目标主机的认证是基于由安全凭证机构发布的安全凭证的设置。
背景技术
计算机网络系统使得诸如用户设备、服务器、机器类型装置以及其他数据处理设备的计算装置能够传送数据。物理数据处理装置经常被称为主机。主机还可以设置在虚拟化环境中，例如包括虚拟机(VM)或容器。容器的较特定示例是LinuxTM容器或等同物。
客户端主机可能由于各种原因而需要经由计算机网络系统访问目标主机。对计算机网络系统中的主机的访问可以以各种方式来配置。访问系统的非限制性示例包括基于网络(web)的访问、基于安全协议(例如，安全外壳协议；SSH)的访问、文件传输访问、远程过程调用访问和/或软件升级访问。不管访问方法如何，安全都可能变成关注点，并且已经提出用于提高数据安全的各种解决方案。根据客户端主机的解决方案，在访问客户端主机与目标主机之间执行认证过程。认证可以基于由安全凭证机构(通常为由信任方操作的安全服务器设备)发布的安全凭证。这种安全凭证的示例包括由证书机构(CA)服务器发布的安全证书。
所发布的安全凭证可以被配置为仅具有有限的寿命。寿命可以较短，例如，仅长至足以使得认证过程能够运行其周期。寿命还可以是有限的，使得安全凭证仅可以使用一次，或者仅用于有限数量的访问。安全凭证的使用还可以以其他方式来限制。由此，客户端主机可能需要每当它想要访问目标主机时或较频繁地从安全凭证机构请求新的安全凭证。
如果客户端主机在对于访问将需要安全凭证时无法从安全凭证机构获得安全凭证，则会发生有问题的情况。例如，错误状况会防止客户端主机获得所需凭证。常见的错误状况包括链接错误和服务器故障，但存在凭证传送结构无法适当工作的许多其他原因。这在需要自动化访问的应用中特别成问题。这种场景的示例包括物联网(IoT)应用以及其他机器到机器类型通信。
注意，上面讨论的问题不限于任何特定通信协议和数据处理设备，而是可能发生在凭证发布机构的安全凭证用于认证访问方的任何计算化系统中。
发明内容
根据第一方面，提供了一种用于基于由远程安全机构为客户端主机发布的安全凭证而在计算机网络系统中进行认证的方法，方法包括以下步骤：检测客户端主机无法从远程安全机构获得用于访问目标主机的安全凭证；响应于所述检测，由客户端主机从应急安全凭证储存器获得应急安全凭证；以及从客户端主机向目标主机发送具有错误状态指示的应急安全凭证。
根据更具体的方面，从远程安全机构接收包括错误状态指示的应急安全凭证，并且将所接收的应急安全凭证存储在客户端主机处或由主机存储到外部储存器。
在从安全机构接收应急安全凭证时，客户端主机可以将所接收的应急安全凭证存储在储存器中，以响应于检测到客户端主机无法从远程安全机构获得安全凭证而随后使用。在启动从安全机构获得用于访问目标主机的安全凭证的过程时，可以确定无法从远程安全机构获得安全凭证。响应于该检测，从储存器取得所存储的应急安全凭证，以发送给目标主机。
根据另一个方面，提供了一种用于基于由安全机构为客户端主机发布的安全凭证对到计算机网络中的目标主机的访问进行认证的方法，方法包括以下步骤：
在目标主机处从客户端主机接收与访问请求关联的应急安全凭证；检测与所接收的应急凭证关联的错误指示，该错误指示表明客户端主机无法从远程安全机构获得用于访问目标主机的安全凭证；以及响应于所述检测，与基于应急安全凭证处理访问请求关联地执行至少一个附加安全操作。
根据更详细的方面，至少一个附加安全操作包括以下各项中的至少一项：请求密码认证；请求双因素认证；另外审核访问请求；限制响应于访问请求对于客户端主机允许的操作；使得发送报警消息；以及检查安全机构的状态。
根据方面，提供了一种在计算机网络中由安全凭证服务器发布安全认证以进行访问认证的的方法，该方法包括以下步骤：在客户端主机无法从安全凭证服务器获得安全凭证时，创建由客户端主机用于访问目标主机的应急安全凭证，其中，应急安全凭证被配置为提供错误状态指示；以及向客户端主机发送应急安全凭证，以存储在应急安全凭证储存器中。
根据方面，提供了一种由安全机构发布的认证凭证，该认证凭证由客户端主机用于访问数据通信系统中的目标主机，认证凭证包括用于客户端主机与目标主机之间的认证过程中的至少一个安全特征、以及安全凭证是响应于检测到防止客户端主机从安全机构获得安全凭证的错误情况而使用的应急安全凭证的指示。
认证凭证可以包括由证书机构服务器发布的应急安全证书。
根据方面，提供了一种用于客户端主机的数据处理设备，该数据处理设备用于基于由远程安全机构发布的安全凭证而在计算机网络系统中进行认证，数据处理设备包括至少一个处理器和包括计算机程序代码的至少一个存储器，其中，至少一个存储器和计算机程序代码被配置为凭借至少一个处理器使得客户端主机：检测客户端主机无法从远程安全机构获得用于访问目标主机的安全凭证；响应于所述检测，从应急安全凭证储存器获得应急安全凭证；并且向目标主机发送具有错误状态指示的应急安全凭证。
设备可以被配置为从远程安全机构接收设置有错误状态指示的应急安全凭证，并且将所接收的应急安全凭证存储在客户端主机处或外部储存器。应急安全凭证可以存储在仅可由特许访问权限持有者访问的储存器中。
设备可以被配置为处理由证书机构服务器发布的应急安全证书。
设备可以被配置为：从安全机构接收应急安全凭证；将所接收的应急安全凭证存储在储存器中，以响应于检测到客户端主机无法从远程安全机构获得安全凭证而随后使用；启动从安全机构获得用于访问目标主机的安全凭证的过程；随后确定无法从远程安全机构获得安全凭证；并且从储存器取得所存储的应急安全凭证，以发送给目标主机。
根据方面，提供了一种用于目标主机的数据处理设备，该数据处理设备用于基于由远程安全机构发布的安全凭证而对计算机网络系统中的客户端主机进行认证，数据处理设备包括至少一个处理器和包括计算机程序代码的至少一个存储器，其中，至少一个存储器和计算机程序代码被配置为凭借至少一个处理器使得目标主机：从客户端主机接收与访问请求关联的应急安全凭证；检测与所接收的应急凭证关联的错误指示，该错误指示表明客户端主机无法从远程安全机构获得用于访问目标主机的安全凭证；并且响应于所述检测，与基于应急安全凭证处理访问请求关联地执行至少一个附加安全操作。
设备可以被配置为：响应于检测错误指示，执行以下各项中的至少一项：请求密码认证；请求双因素认证；使得审核访问请求；限制响应于访问请求对于客户端主机允许的操作；使得发送报警消息；以及检查安全机构的状态。
根据方面，提供了一种用于安全凭证机构设备的数据处理设备，该数据处理设备设备用于发布用于认证计算机网络系统中的客户端主机的安全凭证，数据处理设备包括至少一个处理器和包括计算机程序代码的至少一个存储器，其中，至少一个存储器和计算机程序代码被配置为凭借至少一个处理器使得安全凭证机构设备：在客户端主机无法从安全凭证服务器获得安全凭证时，创建由客户端主机用于访问目标主机的应急安全凭证，其中，应急安全凭证被配置为包括错误状态指示；并且向客户端主机发送应急安全凭证，以存储在应急安全凭证储存器中。
在正常安全凭证传送操作的过程中，可以定期更新所存储的应急安全凭证，可以响应于来自客户端主机的请求向客户端主机传送新应急安全凭证，和/或可以将新应急安全凭证连同正常安全凭证一起发送给客户端主机。
证书机构可以被配置为对源于目标主机的与应急安全凭证的使用有关的询问进行响应。
应急安全凭证可以包括由证书机构服务器发布的安全证书。安全证书和应急安全证书中的至少一者包括临时安全证书。
应急安全凭证可以用于认证机器到机器通信。
还可以提供一种包括程序代码的计算机可读介质，该程序代码用于使得处理器执行指令，这些指令用于如本文描述的数据处理设备中的认证处理。
根据详细描述，特定更详细的方面将变得清楚。
附图说明
本发明的各种示例性实施方式由附图来例示。步骤和元素可以重新排序、省略和组合，以形成新实施方式，并且被指示为执行的任意步骤可以被使得由另一个装置或模块来执行。在附图中：
图1例示了可以具体实施本发明的特定方面的计算机网络结构的示例；
图2至图5示出了根据特定方面的流程图；
图6和图7示出了用于特定操作模式的信令流程图；以及
图8示出了数据处理设备。
具体实施方式
图1示出了可以具体实施本文描述的示例中的一些的数据网络系统1的架构的示例。数据网络系统可以包括例如企业或另一组织的内联网或更广的公共网络，诸如因特网，该公共网络启用连接到公共网络的各种装置之间的通信。网络系统可以包括一个或更多个数据网络。数据网络系统可以例如是基于IPv4(互联网协议版本4)或IPv6(互联网协议版本6)的网络系统。网络系统中的通信可以基于适当安全协议来保障。例如，可以使用安全外壳(SSH)协议、安全套接层(SSL)协议、传输层安全(TLS)协议等。
图1的示例例示了认证客户端主机10与目标主机20之间的通信的示例。客户端主机10的控制设备可以包括被配置为认证对到目标主机20的访问的请求的认证部件。认证过程可以涉及向与访问请求关联的安全凭证发布装置发送对安全凭证的另外请求。在该描述中，术语目标主机指可以由客户端主机10访问的数据处理实体。在图1的非限制性示例中，目标主机20可以包括运行安全外壳(SSH)协议服务器的目标服务器。被访问的目标主机20可以经由网络为客户端提供种种服务和功能。主机例如可以由服务器、用户装置、机器类型装置、或另一个物理数据处理实体来设置。主机还可以设置在基于云计算的虚拟环境中。
更具体地，图1示出了示例计算机网络系统1，在该计算机网络系统中，客户端主机10可以使用由安全凭证机构30发布的安全凭证来认证客户端主机从而请求对目标主机20的访问。在示例中，由安全凭证机构提供的凭证被示出为包括两种不同类型的证书35、36。提供证书的机构的安全服务器装置被示出为包括证书机构(CA)服务器。客户端主机10的控制设备可以被配置为在需要时从CA请求证书。
安全凭证机构设备30可以包括对于SSH客户端程序发布短寿命证书的认证和授权服务器。该服务器可以由信任方或组织(例如，对客户收费以对于他们发布证书的公司)来操作。在信任网方案中，签名方可以是例如密匙(自签名证书)的所有者或检查证书的人可以知道并信任的其他用户(“背书”)。
客户端主机的访问处理模块可以被设置为在认证过程之后基于由凭证发布服务器发布的信任安全凭证处理访问请求。认证过程可以基于至少一个认证器的交换，例如，基于涉及公匙和私匙或对称密匙的使用的认证过程。密匙可以用于例如在装置之间通信的数据的加密和/或已存储数据的加密。除了加密之外，密匙还可以用于实际认证和/或授权功能、数字签名等。可以使用公匙和秘密密匙。在公匙加密或非对称加密中，使用一对公匙和私匙。公匙可以广泛传播，而私匙仅为所有者所知。这完成认证(公匙用于验证支持成对的私匙的持有者发送了该消息)和加密(仅支持成对的私匙的持有者可以解密用公匙加密的消息)。证书可以用于对密匙进行验证或签名。公匙证书可以用于证明公匙的所有权。公匙证书是还被称为数字证书或身份证书的电子文档，该证书包括与密匙有关的信息、与密匙的所有方的身份有关的信息、以及已经验证证书的内容正确的实体的签名。原理是如果签名有效且检查证书的人信任签名方，那么该密匙可以用于与其所有方安全通信。由证书机构(CA)签名的证书被认为提供防止攻击者扮演安全网站或其他服务器的良好防御。
诸如CA服务器30的安全凭证机构服务器可以被设置为与记录系统33通信，以对用户进行认证并取得另外信息，例如，组信息。CA服务器还可以实施策略决定。策略决定可以尤其包括如何对用户进行认证、用户组如何映射到当事人、以及在诸如证书的凭证中包括哪些选项和扩展。记录系统33可以提供权威用户信息注册表。记录系统可以被改变为提供用户信息和系统策略定义的权威来源。在客户环境上，这可以为例如保持用户和组(当事人)的活动目录；轻量目录访问协议(LDAP)目录/OpenLDAP目录。用户可以由记录系统唯一地可识别。在认证流程期间还可以使用其他用户属性来识别用户。
凭证信息可以包括由证书机构30发布的证书35。与凭证关联的凭证信息还可以包括对诸如证书的凭证的至少一个使用限制。例如，凭证信息可以包括凭证的寿命限制。通过设置有限的寿命，系统可以被配置为提供临时访问结构。例如，可以发布仅在短时间段(例如，2分钟)内有效的临时证书。短寿命(诸如仅几分钟的寿命)可以用于降低并防止由于被危害的安全证书引起的安全风险。凭证信息还可以包括其他限制，诸如对可以使用凭证的次数的限制。还可以在凭证上设置其他限制，诸如允许和/或不允许用于特定位置中的地理限制。用户装置的地理位置例如可以基于诸如智能电话的装置的定位系统来确定。如果客户端主机或目标主机是移动装置，则它可以移动至另一个位置，并且可以需要请求不同限制的凭证。可以变化的限制的其他示例包括基于主机的IP地址、访问的日期和/或时间、所请求的服务的类型等的限制。
在图1示例中，客户端主机10或其至少一些部件可以被设置为操作为根据SSH协议启用安全通信。客户端主机的数据处理设备可以被配置为具有代理功能，该代理功能使用诸如来自凭证管理服务器设备30的公匙和私匙的认证器请求凭证信息。代理实体可以包括例如安全外壳(SSH)代理实体13。代理实体可以被配置为创建临时密匙对，或者使用另一个临时认证器结构，以从凭证管理器30获得凭证信息。代理实体还可以从本地存储器(例如从易失性存储器)检索临时认证器。应理解，在客户端主机处设置的代理和/或存储器的使用不是在所有实施方案中都是必须的。
客户端主机10还被示出为包括适于与其他SSH实体通信的SSH客户端实体12。SSH客户端实体可以包括安全外壳(SSH)客户端程序、或安全文件传输(SFTP)客户端程序、或被设置为使用SSH协议的任意其他类似程序。SSH代理实体13可以包括SSH代理程序，该SSH代理程序为SSH客户端程序12提供认证服务。客户端进程实体14可以是例如应用客户端进程。客户端进程的更具体示例包括自动化脚本、文件传输命令、数据库备份脚本等。客户端主机设备10还被示出为包括单点登录(SSO)代理实体15。SSO代理实体可以被提供为例如认证用于凭证管理器(例如，图1的证书机构(CA)服务器30)的机器到机器(M2M)客户端程序。SSO代理可以在单独(管理员)账户上运行，并且被设置为与凭证管理器服务器30具有信任关系。
根据方面，应急认证过程可以借助于应急凭证(例如，应急证书36)来提供。应急凭证可以用于例如正常使用一次或短寿命凭证(诸如短寿命证书)来访问的系统中的物理网(IoT)应用中。这种访问认证系统的示例是由SSH通信安全Oyj提供的PrivXTM。凭借PrivXTM，用户可以使用活动目录凭证、双因素认证、或单点登录认证到网关。网关被设置为基于策略规则向用户发布短寿命证书。证书然后可以用于访问目标服务器上的账户。密码可以从服务器消除，并且不需要密码仓库或密码旋转。然而，在错误状况发生时，可能不可以从安全机构获得短寿命凭证或不同限制的凭证。由此，认证可能不是总是可以的。然而，目标主机即使在这种环境中也可能需要认证。
下面描述了这种情况下的应急认证的示例。所描述的原理可以用于例如使用一次或短寿命凭证/证书的系统中的IoT应用。在诸如证书机构(CA)错误或链接错误的错误状况发生时，短寿命证书无法创建或至少无法提供给需要它的实体，并且使用这种按需证书的正常认证无法使用。然而，IoT装置即使在这种情况下也可能需要某一控制来防止例如受系统控制的进程转到不稳定状态。
可以向客户端主机10提供应急安全凭证36并将其存储在那里，使得它在无法从信任机构30获得新证书或另一凭证的情况下可用于认证。在图1中，虚线38表示客户端无法向目标主机20发送正常证书35的情况。相反，从安全机构服务器30接收的应急证书36可以存储在例如SSH(安全外壳)客户端或本地地存储在客户端主机的其他位置，并且如由线39指示的发送到目标主机。根据应急证书存储在仓库中的可能性，安全存储主机等保障外部存储。
由安全机构发布以由客户端主机用于访问数据通信系统中的目标主机的正常认证凭证35可以包括用于客户端主机10与目标主机20之间的认证过程中的至少一个安全特征。除了所述安全特征之外，应急凭证36还包括以下指示37：安全凭证是响应于检测到防止了客户端主机从安全机构获得安全凭证的错误情况而使用的应急状态安全凭证。
应急证书36可以用于在错误情况下访问目标主机。在接收应急证书时，目标主机20可以检测它由于检测到的错误状况而已经使用的指示37，并且确定已经响应于从安全机构服务器获得“正常”证书的所检测失败而发送应急证书36(而不是“正常”证书35)。
响应于这种确定，目标主机可以被配置为检查相关证书机构(CA)的状态。目标主机20可以被配置为使得它仅在确定客户端主机10无法到达CA服务器30之后接受应急证书。在这种状态下可以需要诸如密码认证或双因素认证的另外安全措施。进一步地，可以在审核日志40处执行用于相关连接的专项审核。对于客户端主机允许的操作还可以限于在正常操作下将允许的操作的子集。例如，仅可以允许防止有害或经济上无法忍受的情况发生绝对需要的操作。
应急凭证36可以由与正常凭证35相同的安全凭证服务器30来提供。应急凭证可以存储在设置在客户端主机10中的本地储存器18中，使得它们可以响应于所检测的错误情况用于访问目标主机20。
安全凭证可以在客户端主机处存储到受限储存器(诸如由根用户或其他特许用户所有的存储位置)中。应急凭证可以存储在客户端主机处的位置处，使得它们仅可由具有适当访问权限的特许用户访问。例如，在机器到机器应用中，正常机器到机器用户不能访问这种位置，这对阅读和泄露特许凭证提供另外限制。可以进行这种设置以提高安全性，并且应急凭证系统可以被配置为仅基于客户端上的特许访问权限来操作。特许访问可以用于使得使电脑黑客难以访问凭证。在系统中涉及的主机可以基于以下策略来操作：因为仅允许对客户端和服务器的有限访问，所以可以信任客户端主机中的存储。例如在安全服务器和/或云服务器中的安全外部储存器也可以用于存储。
目标主机可以检查CA服务器的状态，并且仅在确认客户端无法到达CA时接受所存储和/或用于客户端主机的应急凭证。
应急凭证36可以包括具有比正常认证证书35寿命长的另外认证凭证。如果CA30例如由于网络运行中断而停止运行或无法到达，则系统可以使用应急证书并继续业务或在其他方面关键的操作。
在例如SSH服务器的情况下，可以总是在呈现目标服务器20时允许目标服务器接受应急证书36，假定它仍然有效且具有正确的使用属性。目标服务器系统日志/SIEM系统可以被配置为使得检测应急证书的使用，并且响应于该检测，生成报警。根据可能结构，如果已经泄露客户端凭证，则它们的使用将在使用时从服务器端生成关键报警。报警可以被设置为触发CA服务器在运行且正常运行的、来自CA服务器的响应，由此显露应急凭证的错误使用。CA服务器30停止运行的检查和应急证书仅在这些环境上的接受可以被配置为是可以在目标主机服务器20中实施的协议扩展。
诸如证书36的应急凭证可以由适当指示37来属性化/标记，使得它的使用可由目标主机服务器20与诸如证书35的正常认证凭证区分。标记可以由凭证机构服务器(例如，图1的CA服务器30)来进行。
例如，应急证书可以被配置为包含向目标服务器通知所确定应急状态的特殊属性。指示可以触发由目标服务器主机采取的各种动作，诸如来自目标服务器主机的报警。指示可以是显式标签，或者它们可以从单独应急CA登记。
在标记机构与提供用于访问的凭证的机构相同时，标记可以被目标主机信任，因为它已经信任机构来提供访问凭证。如果另一机构用于标记，则应提供另一信任关系。
除了信任CA的配置之外，目标服务器在基于证书的方法中可以不需要任何另外配置，并且目标服务器可以不需要用于响应于确定应急证书而采取的动作的规则。
在应急状态时的认证的情况下，可能需要密码认证、双因素或多因素认证和/或人为干预。进一步地，可以执行用于所请求连接的审核日志40处的专项审核。应急模式的使用在客户端和服务器端处检测，并且可以被配置为总是创建关键审核事件。目标服务器配置可以被配置为“静态的”，并且在服务器端上可以不需要每密匙或每证书变化。对于客户端允许的操作可以限于在正常操作中允许的操作的子集，例如，限于防止危害所需的操作。
策略可以被配置为将应急证书限于仅用于业务上最关键的应用和/或安全机构的另外依赖性可能降低系统可靠性的机器到机器情况。例如，客户端主机可以被配置为限制应急凭证的使用，例如，即使最短系统运行中断也具有引起严重金融或其他损害的可能性的核心银行交易处理。
应急密匙和证书管理可以自动化并被形成为正常操作模式的一部分。例如，对于可以客户端存储的应急凭证可以由安全机构服务器定期更换、更新、旋转等。参照图6给出应急凭证的传送的示例。
图2是用于基于由远程安全机构为客户端主机发布的安全凭证而在计算机网络系统中进行认证的客户端主机处的操作的流程图。在方法中，在60处检测客户端主机无法从远程安全机构获得用于访问目标主机的安全凭证。在62处，响应于所述检测，客户端主机从应急安全凭证储存器获得应急安全凭证。然后在64处从客户端主机向目标主机发送具有错误状态指示的应急安全凭证。错误指示例如可以是在安全凭证中包含的属性。
应急安全凭证可以包括由证书机构服务器发布的安全证书。安全证书和应急安全证书中的至少一者可以包括临时安全证书。
图3示出了用于向客户端主机提供应急凭证的方法。在70处在客户端主机处从安全机构接收应急安全凭证，其后，在72处将应急安全凭证存储在与安全机构分离的储存器中，以响应于客户端主机无法从远程安全机构获得安全凭证的检测而随后使用。在74处启动从安全机构获得用于访问目标主机的安全凭证的过程。然而，在76处确定无法从安全机构获得安全凭证。响应于此，在78处从储存器取得所存储的应急安全凭证，以发送给目标主机。
在客户端主机处接收并存储应急安全凭证可以定期提供。还可以在每当对于客户端主机发布正常证书时提供新应急凭证。客户端主机可以从安全机构请求新应急安全凭证。应急安全凭证可以存储在客户端主机处的仅可由特许或根用户访问的存储位置中。应急证书仅可以用于有限的一组操作的认证。
图4示出了用于基于由安全机构为客户端主机发布的安全凭证进行访问认证的方法的、目标主机处的操作。在方法中，目标主机在80处从客户端主机接收与访问请求关联的应急安全凭证。在82处检测所接收应急凭证包含错误状态指示，该错误状态指示表明客户端主机无法从安全机构获得用于访问目标主机的安全凭证。响应于所述检测，在84处与基于应急安全凭证处理访问请求关联地执行至少一个附加安全操作。
至少一个附加安全操作包括请求密码认证。
图5示出了用于在计算机网络中由安全凭证服务器发布安全凭证和应急安全凭证以进行访问认证的方法。在90处，在客户端主机无法从安全凭证服务器获得安全凭证时，创建由客户端主机用于访问目标主机的应急安全凭证。应急安全凭证的创建包括生成92凭证，使得它包括错误状态指示。然后在94处向客户端主机发送应急安全凭证，以存储在应急安全凭证储存器中。
如由环路96指示的，可以重复进程，以维持客户端主机处的已存储有效应急凭证。重复可以是定期的，假如在每当以另外方式提供新凭证的时候，和/或基于来自客户端主机的请求。
图6示出了用于机器到机器(M2M)操作的正常操作模式的更详细示例的信令流程图。客户端进程由开始命令200开始机器到机器操作。响应性地，SSH客户端由连接消息202开始与目标服务器的安全外壳协议连接建立过程。目标服务器然后可以由消息203开始与SSH客户端的认证过程。SSH客户端由消息204调用SSH代理来取得认证凭证。SSH代理然后由消息205调用SSO代理来认证其CA消息。认证由消息206从SSO代理接收。到CA的消息207包含对于当前操作按需创建或之前已经创建的SSH代理的临时公匙。
SSO代理解析开始机器到机器操作的客户端进程的用户身份并由消息206对SSH代理的CA调用签名。SSO代理还可以包括其到已签名SSH代理CA调用消息的应急密匙对的公匙。该公匙可以用于以已配置的更新间隔实施应急证书更新。SSO代理由消息206向SSH代理返回已签名的消息和当前应急证书。SSH代理现在可以向CA发送已签名消息207。
CA借助具有用户注册表的消息208、209的交换由认证接收并验证消息。CA在210处发布包含用户角色的证书。如果消息中包括应急公匙，则CA还可以在该阶段发布应急证书。
SSH代理现在可以响应于在211处确定响应210中包括应急证书而由消息212调用SSO代理来安装应急证书。安装可以通过消息213来确认。
SSH代理然后可以在消息214中向SSH客户端返回认证凭证。该消息还可以包括当前或已更新的应急证书。应急证书可以由SSH客户端来存储，并且是“用于认证的正常证书”。由此，SSH客户端现在处于以下状态215：它可以向目标主机提供所接收的凭证，直到凭证被接受为止，并且它还拥有新鲜的应急凭证。
SSH客户端可以通过向目标主机发送消息216来认证与所提供凭证的连接。如果目标主机在217处接受凭证，则它由消息218要求SSH客户端使用对应私匙对数据签名。SSH客户端由消息219向SSH代理转发数据，并且在消息220中收回签名。签名由消息221发送到目标主机，该目标主机然后可以由消息222确认连接状态。然后可以在223处建立机器到机器操作。
图7例示了根据可能应急操作模式的示例操作的信令流程图。操作直到SSH代理尝试在207处连接到CA且在300处确定CA操作失败为止可以与如上面说明的正常操作模式类似。失败例如可以是由于网络连接问题、CA故障等。SSH代理响应性地可以进入应急操作模式。根据方面，通过向提供审核日志的主机发送适当消息301来审核事件。
由于联系CA时的错误，SSH代理无法创建新认证证书。为了响应该情况，SSH代理可以由消息302取得应急证书并向SSH客户端返回应急证书。
SSH客户端然后可以通过在消息303中向目标主机发送应急证书来在认证时使用应急证书。目标主机在304处从证书中的指示检测应急证书而不是正常证书用于认证。响应于此，目标主机由消息305向审核日志发送应急证书，以审核事件。
如果目标主机接受应急证书，则发送消息306，以从SSH客户端请求签名操作。SSH客户端在307中向SSH代理发送签名请求，该SSH代理检测签名请求与应急证书关联。SSH客户端在308处向SSO代理委托签名操作，该SSO代理在309处将应急密匙对的私匙用于签名操作。事件由消息310审核。签名由消息311返回到SSH代理，进一步由消息312返回到SSH客户端，然后由消息313返回到目标主机。
目标主机然后在314处验证签名。如果签名匹配，则目标主机接受认证。目标主机还通过向审核日志发送消息315来审核用于认证的应急证书的使用的事件。
目标主机然后可以由消息316确认连接状态。可以在317处建立机器到机器操作。
注意，虽然上述示例参照基于安全外壳(SSH)协议的环境来进行了说明，但类似的原理也可以适用于需要使用一个停止证书或短时间证书的认证的其他系统。
应急密匙对和关联应急证书可以用于向目标主机提供认证用户和/或客户端进程的辅助方式。SSO代理可以被配置为以特许模式运行。在特许模式下，其所有资产(配置文件、程序二进制、密匙等)仅可由特许用户访问。应急密匙对和应急证书可以被保存在非易失性储存器上，使得如果重新启动客户端主机且在重新启动CA不可达成之后，客户端仍然可以认证，以与目标主机执行业务关键操作。结构可以使得应急密匙对本身不提供到目标主机的任何访问。相反，用已经对于应急密匙对的公匙发布的应急证书进行目标主机认证。由此，应急密匙对本身对于系统安全不是关键的，因为它在没有对应有效应急证书的情况下没有用。
应急证书可以被使得与正常认证证书可区分，使得处理它的实体可以确定操作处于应急模式。由此，如果认证时使用应急证书，则检测到应急模式，并且定制高优先权审核规则可以被配置为审核事件。另外的审核规则可以被配置为检测在认证中使用应急证书。应急证书使用可以从客户端和服务器端这两者检测并审核。在应急模式下还可以应用其他规则和限制。应急证书还可以具有使应急模式的操作变窄至绝对最小值的另外约束(源位置限制、命令限制等)。
应急证书登记和更新可以被设置为连同正常认证流程一起发生，使得只要使用正常操作模式，就可以更新应急密匙对(基于所配置的更新间隔)，并且可以更新应急证书。这意味着可以在不需要任何另外更新进程的情况下应用正常密匙旋转进程限制和指导方针。
应急证书可以具有相当有限的有效时间，由此限制泄露应急密匙和证书的潜在风险。应急证书可以被设置为具有足够长的寿命，使得可以在中断CA操作的同时继续关键机器到机器操作。
应急证书在其他方面可以具有与正常认证证书相同的基于角色的访问约束。角色可以从CA和用户注册表更新。只要应急证书被更新，就可以应用新角色。这可以是可配置特征。
图8示出了用于提供实施应急证书的上述功能和处理的必要数据处理功能的数据处理设备的示例。数据处理设备50例如可以与图1的客户端主机装置10、和/或目标主机20、和/或证书机构服务器30集成，耦合到它们，和/或以其他方式设置为控制它们。数据处理设备还可以被设置为实施图1中的代理中的任一个。数据处理设备50还可以被设置为提供对通信会话和任意另外信息的控制。除了上述功能之外，控制设备还可以被配置为提供与诸如数据解密、信令以及数据通信操作的操作关联的控制功能。数据处理设备可以确定为了访问和其他控制操作需要哪些密匙或其他认证器和凭证。为了这些目的，控制设备包括至少一个存储器51、至少一个数据处理单元52、53以及至少一个输入/输出接口54。经由接口，设备可以耦合到相应装置的其他实体。控制设备可以被配置为执行适当的软件代码，以提供控制功能。控制设备还可以与其他控制实体互连。用于在主机与能够访问主机的装置之间的计算机网络中提供中间安全功能的装置可以包括适当数据处理和接口结构。
各种实施方式及其组合或细分可以被实施为方法、设备、或计算机程序产品。根据方面，功能中的至少一些在虚拟化环境中提供。还可以提供用于下载用于执行这些功能的计算机程序代码的方法。计算机程序产品可以存储在永久计算机可读介质(诸如存储芯片或在处理器内实施的存储块)、磁介质(诸如硬盘或软盘)以及光介质(诸如例如DVD及其数据变体、CD、磁盘、或半导体存储器)上。方法步骤可以使用指令来实施，这些指令可操作为使得计算机使用处理器和存储器来执行方法步骤。指令可以存储在任意计算机可读介质上，诸如存储器或非易失性储存器。
所需数据处理设备可以借助于一个或更多个数据处理器来提供。各端处的所述功能可以由单独处理器或由集成处理器来提供。数据处理器可以为适于逻辑技术环境的任意类型，并且可以包括通用计算机、专用计算机、微处理器、数字信号处理器(DSP)、专用集成电路(ASIC)、门级电路以及基于多核处理器架构的处理器(作为非限制性示例)中的一个或更多个。数据处理可以分布在若干数据处理模块上。处理和/或主机中的至少一些可以设置在虚拟化环境中。
数据处理器可以借助于例如至少一个芯片来提供。存储器可以为适于逻辑技术环境的任意类型，并且可以使用任意合适的数据存储技术(诸如基于半导体的存储装置、磁存储装置和系统、光存储装置和系统、固定存储器以及可移动存储器)来实施。
通常，各种实施方式可以在硬件或专用电路、软件、逻辑或其任意组合中实施。本发明的一些方面可以在硬件中实施，而其他方面可以在可以由控制器、微处理器或其他计算装置执行的固件或软件中实施，但本发明不限于此。虽然本发明的各种方面可以被例示并描述为框图、流程图或使用一些其他图形表示来例示并描述，但良好地理解，本文所述的这些块、设备、系统、技术或方法可以在硬件、软件、固件、专用电路或逻辑、通用硬件或控制器或其他计算装置或其一些组合中的各种组合中实施，作为非限制性示例。
可以为弹性云环境提供集中且可扩展访问管理解决方案。可以瞬时进行访问权限更新。可以不需要每主机变化。特定方面支持交互和非交互(机器到机器)连接。
上面讨论的各种方面和特征可以以未被附图具体示出和/或上面描述的方式来组合。
前面描述用示例性且非限制性示例的方式提供本发明的示例性实施方式和方面的完全且信息型描述。然而，落在本公开的精神和范围内的各种修改和适应可以鉴于前面描述在连同附图和所附权利要求一起阅读时对相关领域技术人员变得清晰。

Claims (31)

1.一种用于基于由远程安全机构为客户端主机发布的安全凭证而在计算机网络系统中进行认证的方法，所述方法包括以下步骤：
检测如下情况：客户端主机无法从所述远程安全机构获得用于访问目标主机的安全凭证；
响应于所述检测，由所述客户端主机从应急安全凭证储存器获得应急安全凭证；以及
从所述客户端主机向所述目标主机发送具有错误状态指示的所述应急安全凭证。
2.根据权利要求1所述的方法，所述方法包括以下步骤：从所述远程安全机构接收包括所述错误状态指示的所述应急安全凭证，并且将所接收的应急安全凭证存储在所述客户端主机处。
3.根据权利要求1或2所述的方法，其中，所述应急安全凭证包括由证书机构服务器发布的安全证书。
4.根据权利要求3所述的方法，其中，所述安全证书和所述应急安全证书中的至少一者包括临时安全证书。
5.根据权利要求1所述的方法，所述方法包括以下步骤：
在所述客户端主机处从所述安全机构接收所述应急安全凭证；
将所接收的应急安全凭证存储在所述储存器中，以响应于检测到所述客户端主机无法从所述远程安全机构获得安全凭证而随后使用；
启动从所述安全机构获得安全凭证以用于访问所述目标主机的过程；
确定无法从所述远程安全机构获得安全凭证；以及
从所述储存器取得所存储的应急安全凭证，以发送给所述目标主机。
6.根据权利要求5所述的方法，所述方法包括以下步骤：定期接收并存储所述应急安全凭证。
7.根据权利要求5或6所述的方法，所述方法包括以下步骤：从所述安全机构请求新应急安全凭证。
8.根据权利要求5或6所述的方法，所述方法包括以下步骤：在从所述安全机构正常传送安全凭证的过程中接收新应急安全凭证。
9.根据权利要求1或2所述的方法，所述方法包括以下步骤：将所述应急安全凭证存储在所述客户端主机处的仅能够由特许访问权限持有者访问的储存器中。
10.根据权利要求1或2所述的方法，所述方法包括以下步骤：使用所述应急安全凭证来对机器到机器通信进行认证。
11.根据权利要求1或2所述的方法，其中，所述应急安全凭证的使用限于有限的一组操作的认证。
12.一种用于基于由安全机构为客户端主机发布的安全凭证来认证对计算机网络中的目标主机的访问的方法，所述方法包括以下步骤：
在所述目标主机处从所述客户端主机接收与访问请求关联的应急安全凭证；
检测与所接收的应急凭证关联的错误指示，该错误指示表明所述客户端主机无法从所述远程安全机构获得用于访问所述目标主机的安全凭证；以及
响应于所述检测，与基于所述应急安全凭证处理所述访问请求的动作相关联地执行至少一个附加安全操作。
13.根据权利要求12所述的方法，其中，执行所述至少一个附加安全操作的步骤包括以下各项中的至少一项：
请求密码认证；
请求双因素认证；
审核所述访问请求；
限制所述客户端主机响应于所述访问请求所能进行的操作；
使得发送报警消息；以及
检查所述安全机构的状态。
14.一种用于在计算机网络中由安全凭证服务器发布安全凭证以进行访问认证的方法，该方法包括以下步骤：
在客户端主机无法从所述安全凭证服务器获得安全凭证时，创建由所述客户端主机用于访问目标主机的应急安全凭证，其中，所述应急安全凭证被配置为提供错误状态指示；以及
向所述客户端主机发送所述应急安全凭证，以存储在应急安全凭证储存器中。
15.根据权利要求14所述的方法，所述方法包括以下步骤：定期更新在所述客户端主机处存储的所述应急安全凭证。
16.根据权利要求14或15所述的方法，所述方法包括以下步骤：响应于来自所述客户端主机的请求向所述客户端主机发送新应急安全凭证。
17.根据权利要求14或15所述的方法，所述方法包括以下步骤：将新应急安全凭证连同正常安全凭证一起发送给所述客户端主机。
18.根据权利要求14或15所述的方法，所述方法包括以下步骤：对源于所述目标主机的与所述应急安全凭证的使用有关的询问进行响应。
19.一种用于客户端主机的数据处理设备，该数据处理设备用于基于由远程安全机构发布的安全凭证而在计算机网络系统中进行认证，所述数据处理设备包括至少一个处理器和包括计算机程序代码的至少一个存储器，其中，所述至少一个存储器和所述计算机程序代码被配置为凭借所述至少一个处理器使得所述客户端主机：
检测如下情况：所述客户端主机无法从所述远程安全机构获得用于访问目标主机的安全凭证；
响应于所述检测，从应急安全凭证储存器获得应急安全凭证；并且
向所述目标主机发送具有错误状态指示的所述应急安全凭证。
20.根据权利要求19所述的设备，该设备被配置为执行以下各项中的至少一项：
从所述远程安全机构接收具有所述错误状态指示的所述应急安全凭证，并且将所接收的应急安全凭证存储在所述客户端主机处；以及
将所述应急安全凭证存储在所述客户端主机处的仅能够由特许访问权限持有者访问的储存器中。
21.根据权利要求19所述的设备，所述设备被配置为：从所述安全机构接收所述应急安全凭证；将所接收的应急安全凭证存储在所述储存器中，以响应于检测到所述客户端主机无法从所述远程安全机构获得安全凭证而在随后使用；启动从所述安全机构获得安全凭证以用于访问所述目标主机的过程，随后确定无法从所述远程安全机构获得安全凭证；并且从所述储存器取得所存储的应急安全凭证，以发送给所述目标主机。
22.根据权利要求19或20所述的设备，所述设备被配置为从所述安全机构定期接收并存储应急安全凭证。
23.根据权利要求19或20所述的设备，所述设备被配置为从所述安全机构请求新应急安全凭证。
24.根据权利要求19或20所述的设备，所述设备被配置为在从所述安全机构正常传送安全凭证的过程中接收新应急安全凭证。
25.根据权利要求19或20所述的设备，所述设备被配置为使用所述应急安全凭证来对机器到机器通信进行认证。
26.一种用于目标主机的数据处理设备，该数据处理设备用于基于由远程安全机构发布的安全凭证而对计算机网络系统中的客户端主机进行认证，所述数据处理设备包括至少一个处理器和包括计算机程序代码的至少一个存储器，其中，所述至少一个存储器和所述计算机程序代码被配置为凭借所述至少一个处理器使得所述目标主机：
从客户端主机接收与访问请求关联的应急安全凭证；
检测与所接收的应急凭证关联的错误指示，该错误指示表明所述客户端主机无法从所述远程安全机构获得用于访问所述目标主机的安全凭证；并且
响应于所述检测，与基于所述应急安全凭证处理所述访问请求的动作相关联地执行至少一个附加安全操作。
27.根据权利要求26所述的设备，所述设备被配置为响应于检测到所述错误指示，执行以下各项中的至少一项：
请求密码认证；
请求双因素认证；
使得审核所述访问请求；
限制所述客户端主机响应于所述访问请求所能进行的操作；
使得发送报警消息；以及
检查所述安全机构的状态。
28.一种用于安全凭证机构设备的数据处理设备，该数据处理设备用于发布用于认证计算机网络系统中的客户端主机的安全凭证，所述数据处理设备包括至少一个处理器和包括计算机程序代码的至少一个存储器，其中，所述至少一个存储器和所述计算机程序代码被配置为凭借所述至少一个处理器使得所述安全凭证机构设备：
在客户端主机无法从所述安全凭证服务器获得安全凭证时，创建由所述客户端主机用于访问目标主机的应急安全凭证，其中，所述应急安全凭证被配置为包括错误状态指示；并且
向所述客户端主机发送所述应急安全凭证，以存储在应急安全凭证储存器中。
29.根据权利要求28所述的设备，所述数据处理设备被配置为执行以下各项中的至少一项：
定期更新在所述客户端主机处存储的所述应急安全凭证；
响应于来自所述客户端主机的请求向所述客户端主机发送新应急安全凭证；
将新应急安全凭证连同正常安全凭证一起发送给所述客户端主机；以及
对源于所述目标主机的与所述应急安全凭证的使用有关的询问进行响应。
30.一种由安全机构发布的认证凭证，该认证凭证由客户端主机用于访问数据通信系统中的目标主机，所述认证凭证包括用于所述客户端主机与所述目标主机之间的认证过程中的至少一个安全特征、以及所述安全凭证是响应于检测到使得所述客户端主机无法从所述安全机构获得安全凭证的错误情况而使用的应急安全凭证的指示。
31.根据权利要求30所述的认证凭证，所述认证凭证包括由证书机构服务器发布的应急安全证书。
CN201910227524.7A 2018-03-26 2019-03-25 计算机网络系统中的认证方法、数据处理设备 Active CN110365632B (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
GB1804826.4 2018-03-26
GB1804826.4A GB2574182A (en) 2018-03-26 2018-03-26 Authentication in a computer network system

Publications (2)

Publication Number Publication Date
CN110365632A true CN110365632A (zh) 2019-10-22
CN110365632B CN110365632B (zh) 2023-03-31

Family

ID=62068157

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910227524.7A Active CN110365632B (zh) 2018-03-26 2019-03-25 计算机网络系统中的认证方法、数据处理设备

Country Status (4)

Country Link
US (2) US11233783B2 (zh)
EP (2) EP3570517B1 (zh)
CN (1) CN110365632B (zh)
GB (1) GB2574182A (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114338057A (zh) * 2020-09-27 2022-04-12 腾讯科技（深圳）有限公司 基于第三方鉴权的登录方法、装置、设备和存储介质

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3661244A1 (en) * 2018-11-30 2020-06-03 Nagravision SA Key negotiation and provisioning for devices in a network
CN112218294B (zh) * 2020-09-08 2021-08-27 深圳市燃气集团股份有限公司 基于5g的物联网设备的接入方法、系统及存储介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1467676A (zh) * 2002-07-08 2004-01-14 徐新晟 变码多码加密安全方法及系统
US20040268152A1 (en) * 2003-06-27 2004-12-30 Wrq, Inc. Computer-based dynamic secure non-cached delivery of security credentials such as digitally signed certificates or keys
US8873752B1 (en) * 2009-01-16 2014-10-28 Sprint Communications Company L.P. Distributed wireless device association with basestations
US20170034284A1 (en) * 2015-07-31 2017-02-02 Intel Corporation System, apparatus and method for optimizing symmetric key cache using tickets issued by a certificate status check service provider
CN106716957A (zh) * 2014-09-17 2017-05-24 微软技术许可有限责任公司 高效且可靠的认证

Family Cites Families (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6233341B1 (en) * 1998-05-19 2001-05-15 Visto Corporation System and method for installing and using a temporary certificate at a remote site
US6609198B1 (en) * 1999-08-05 2003-08-19 Sun Microsystems, Inc. Log-on service providing credential level change without loss of session continuity
JP4611679B2 (ja) * 2003-07-25 2011-01-12 株式会社リコー 通信装置、通信システム、通信方法及びプログラム
US7266248B2 (en) 2003-08-08 2007-09-04 Hewlett-Packard Development Company, L.P. Method and apparatus for generating data representative of an image
ATE450950T1 (de) * 2004-04-30 2009-12-15 Research In Motion Ltd System und verfahren zur prüfung digitaler zertifikate
US20100242102A1 (en) * 2006-06-27 2010-09-23 Microsoft Corporation Biometric credential verification framework
KR20090030878A (ko) * 2007-09-21 2009-03-25 엘지전자 주식회사 인증 상태 정보 처리 방법 및 방송 수신 장치
EP2053531B1 (en) * 2007-10-25 2014-07-30 BlackBerry Limited Authentication certificate management for access to a wireless communication device
US20090132813A1 (en) * 2007-11-08 2009-05-21 Suridx, Inc. Apparatus and Methods for Providing Scalable, Dynamic, Individualized Credential Services Using Mobile Telephones
US8553883B2 (en) * 2008-02-22 2013-10-08 Telefonaktiebolaget L M Ericsson (Publ) Method and apparatus for managing subscription credentials in a wireless communication device
US9609510B2 (en) * 2009-01-28 2017-03-28 Headwater Research Llc Automated credential porting for mobile devices
US9141458B2 (en) * 2011-05-09 2015-09-22 Cleversafe, Inc. Adjusting a data storage address mapping in a maintenance free storage container
WO2013123548A2 (en) * 2012-02-20 2013-08-29 Lock Box Pty Ltd. Cryptographic method and system
US20140222604A1 (en) * 2013-02-01 2014-08-07 Jaya Bharadwaj Yellapragada System for integrating ecommerce website and social networking website on a single web-based platform
US20140282916A1 (en) * 2013-03-15 2014-09-18 Aerohive Networks, Inc. Access authorization through certificate validation
US20160173489A1 (en) * 2013-08-02 2016-06-16 Nokia Solutions And Networks Oy Communication using over-the-top identities without centralized authority
BR112017014632B1 (pt) * 2015-01-27 2023-12-26 Visa International Service Association Método implementado por computador, sistema de computador, e, mídia legível de computador
EP3272094B1 (en) * 2015-03-16 2021-06-23 Convida Wireless, LLC End-to-end authentication at the service layer using public keying mechanisms
NZ740305A (en) * 2015-09-25 2024-01-26 Mutualink Inc Enabling emergency access to secure wireless communications networks
US10491598B2 (en) * 2016-06-30 2019-11-26 Amazon Technologies, Inc. Multi-factor authentication to access services

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1467676A (zh) * 2002-07-08 2004-01-14 徐新晟 变码多码加密安全方法及系统
US20040268152A1 (en) * 2003-06-27 2004-12-30 Wrq, Inc. Computer-based dynamic secure non-cached delivery of security credentials such as digitally signed certificates or keys
US8873752B1 (en) * 2009-01-16 2014-10-28 Sprint Communications Company L.P. Distributed wireless device association with basestations
CN106716957A (zh) * 2014-09-17 2017-05-24 微软技术许可有限责任公司 高效且可靠的认证
US20170034284A1 (en) * 2015-07-31 2017-02-02 Intel Corporation System, apparatus and method for optimizing symmetric key cache using tickets issued by a certificate status check service provider

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
GUY C. HEMBROFF等: "SAMSON: Secure access for medical smart cards over networks", 《2010 IEEE INTERNATIONAL SYMPOSIUM ON "A WORLD OF WIRELESS, MOBILE AND MULTIMEDIA NETWORKS" (WOWMOM)》 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114338057A (zh) * 2020-09-27 2022-04-12 腾讯科技（深圳）有限公司 基于第三方鉴权的登录方法、装置、设备和存储介质
CN114338057B (zh) * 2020-09-27 2023-09-08 腾讯科技（深圳）有限公司 基于第三方鉴权的登录方法、装置、设备和存储介质

Also Published As

Publication number Publication date
CN110365632B (zh) 2023-03-31
GB201804826D0 (en) 2018-05-09
US20190297073A1 (en) 2019-09-26
EP3570517C0 (en) 2023-06-07
EP3570517B1 (en) 2023-06-07
EP3570517A2 (en) 2019-11-20
EP4175230A1 (en) 2023-05-03
US20220103544A1 (en) 2022-03-31
US11233783B2 (en) 2022-01-25
GB2574182A (en) 2019-12-04
EP3570517A3 (en) 2020-02-12

Similar Documents

Publication Publication Date Title
CN111213147B (zh) 用于基于区块链的交叉实体认证的系统和方法
CN111316303B (zh) 用于基于区块链的交叉实体认证的系统和方法
Yavari et al. An improved blockchain-based authentication protocol for IoT network management
CN107124431B (zh) 鉴权方法、装置、计算机可读存储介质和鉴权系统
US9867043B2 (en) Secure device service enrollment
EP3756328B1 (en) Identity-based certificate authority system architecture
US9398050B2 (en) Dynamically configured connection to a trust broker
CN111095865A (zh) 用于发布可验证声明的系统和方法
CN111164594A (zh) 用于将去中心化标识映射到真实实体的系统和方法
US20140007215A1 (en) Mobile applications platform
KR102192370B1 (ko) 블록체인 기반의 권한 인증 방법, 단말 및 이를 이용한 서버
JP6572750B2 (ja) 認証制御プログラム、認証制御装置、及び認証制御方法
WO2014004412A1 (en) Identity risk score generation and implementation
US20220103544A1 (en) Authentication in a computer network system
US20220029808A1 (en) System, Product and Method for Providing Secured Access to Data
Li et al. Pistis: Issuing trusted and authorized certificates with distributed ledger and TEE
CN116996305A (zh) 一种多层次安全认证方法、系统、设备、存储介质及入口网关
KR102062851B1 (ko) 토큰 관리 데몬을 이용한 싱글 사인 온 서비스 인증 방법 및 시스템
JP2019134333A (ja) 情報処理システム、クライアント装置、認証認可サーバー、制御方法とそのプログラム
CN111769956A (zh) 业务处理方法、装置、设备及介质
KR102245382B1 (ko) 블록체인 네트워크 기반의 가상 공통 아이디 서비스 방법 및 이를 이용한 서비스 제공 서버
KR20140043628A (ko) 보안 로그인 처리 방법
US20220321345A1 (en) Secure exchange of session tokens for claims-based tokens in an extensible system
WO2023069062A1 (en) Blockchain-based certificate lifecycle management
CN115801440A (zh) 一种认证方法、装置、系统、存储介质及电子设备

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant