CN110647730A - 经由单独的处理路径进行单通道输入多因素认证 - Google Patents

经由单独的处理路径进行单通道输入多因素认证 Download PDF

Info

Publication number
CN110647730A
CN110647730A CN201910553242.6A CN201910553242A CN110647730A CN 110647730 A CN110647730 A CN 110647730A CN 201910553242 A CN201910553242 A CN 201910553242A CN 110647730 A CN110647730 A CN 110647730A
Authority
CN
China
Prior art keywords
authentication
user
input
simfa
logic
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201910553242.6A
Other languages
English (en)
Other versions
CN110647730B (zh
Inventor
S.查里
顾钟蔬
黄鹤清
D.彭达拉基斯
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
International Business Machines Corp
Original Assignee
International Business Machines Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by International Business Machines Corp filed Critical International Business Machines Corp
Publication of CN110647730A publication Critical patent/CN110647730A/zh
Application granted granted Critical
Publication of CN110647730B publication Critical patent/CN110647730B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0861—Network architectures or network communication protocols for network security for authentication of entities using biometrical features, e.g. fingerprint, retina-scan
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/18—Network architectures or network communication protocols for network security using different networks or channels, e.g. using out of band channels
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/45—Structures or tools for the administration of authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/32—User authentication using biometric data, e.g. fingerprints, iris scans or voiceprints
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/01—Input arrangements or combined input and output arrangements for interaction between user and computer
    • G06F3/03—Arrangements for converting the position or the displacement of a member into a coded form
    • G06F3/041—Digitisers, e.g. for touch screens or touch pads, characterised by the transducing means
    • G06F3/0414—Digitisers, e.g. for touch screens or touch pads, characterised by the transducing means using force sensing means to determine a position
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F3/00—Input arrangements for transferring data to be processed into a form capable of being handled by the computer; Output arrangements for transferring data from processing unit to output unit, e.g. interface arrangements
    • G06F3/01—Input arrangements or combined input and output arrangements for interaction between user and computer
    • G06F3/048—Interaction techniques based on graphical user interfaces [GUI]
    • G06F3/0487—Interaction techniques based on graphical user interfaces [GUI] using specific features provided by the input device, e.g. functions controlled by the rotation of a mouse with dual sensing arrangements, or of the nature of the input device, e.g. tap gestures based on pressure sensed by a digitiser
    • G06F3/0488—Interaction techniques based on graphical user interfaces [GUI] using specific features provided by the input device, e.g. functions controlled by the rotation of a mouse with dual sensing arrangements, or of the nature of the input device, e.g. tap gestures based on pressure sensed by a digitiser using a touch-screen or digitiser, e.g. input of commands through traced gestures
    • G06F3/04883—Interaction techniques based on graphical user interfaces [GUI] using specific features provided by the input device, e.g. functions controlled by the rotation of a mouse with dual sensing arrangements, or of the nature of the input device, e.g. tap gestures based on pressure sensed by a digitiser using a touch-screen or digitiser, e.g. input of commands through traced gestures for inputting data by handwriting, e.g. gesture or text
    • G—PHYSICS
    • G10—MUSICAL INSTRUMENTS; ACOUSTICS
    • G10L—SPEECH ANALYSIS TECHNIQUES OR SPEECH SYNTHESIS; SPEECH RECOGNITION; SPEECH OR VOICE PROCESSING TECHNIQUES; SPEECH OR AUDIO CODING OR DECODING
    • G10L17/00—Speaker identification or verification techniques
    • G10L17/02—Preprocessing operations, e.g. segment selection; Pattern representation or modelling, e.g. based on linear discriminant analysis [LDA] or principal components; Feature selection or extraction
    • G—PHYSICS
    • G10—MUSICAL INSTRUMENTS; ACOUSTICS
    • G10L—SPEECH ANALYSIS TECHNIQUES OR SPEECH SYNTHESIS; SPEECH RECOGNITION; SPEECH OR VOICE PROCESSING TECHNIQUES; SPEECH OR AUDIO CODING OR DECODING
    • G10L17/00—Speaker identification or verification techniques
    • G10L17/22—Interactive procedures; Man-machine interfaces
    • G10L17/24—Interactive procedures; Man-machine interfaces the user being prompted to utter a password or a predefined phrase
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2103—Challenge-response
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2133—Verifying human interaction, e.g., Captcha
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/082—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00 applying multi-factor authentication

Landscapes

  • Engineering & Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • General Physics & Mathematics (AREA)
  • Human Computer Interaction (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • Health & Medical Sciences (AREA)
  • Software Systems (AREA)
  • Audiology, Speech & Language Pathology (AREA)
  • Acoustics & Sound (AREA)
  • Multimedia (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Biomedical Technology (AREA)
  • General Health & Medical Sciences (AREA)
  • Telephonic Communication Services (AREA)
  • Collating Specific Patterns (AREA)

Abstract

提供了实现单输入、多因素认证(SIMFA)系统的机制。SIMFA系统经由单输入通道接收用于认证用户的用户输入，并将用户输入提供给SIMFA系统的显式通道的第一认证逻辑，其中第一认证逻辑对用户输入执行知识认证操作。SIMFA系统还将用户输入提供给SIMFA系统的一个或多个侧通道的第二认证逻辑，其中第二认证逻辑对用户输入的基于非知识的特性执行认证。SIMFA系统组合第一认证逻辑和第二认证逻辑的结果，以生成用户真实性的最终确定。SIMFA系统基于用户真实性的最终确定来生成指示用户是真实用户还是非真实用户的输出。

Description

经由单独的处理路径进行单通道输入多因素认证
技术领域
本申请总体涉及改进的数据处理装置和方法，更具体地涉及用于使用单独的处理路径执行单个通道输入的多因素认证的机制。
背景技术
随着社会越来越依赖于计算机、数据网络和其他用于协助和控制人们日常生活的各个方面的信息技术系统，计算机安全或网络安全在现代社会中变得越来越重要。人们越来越多地利用计算机系统来保存他们的个人信息、保存他们的财务信息、进行商业交易、进行信息交换等。如今，计算机或信息技术系统维护和/或传输的敏感信息比历史上任何时候都要多。
网络安全、计算机安全或信息技术安全由软件和/或硬件中提供的各种机制组成，用于保护计算机系统免于被盗和损坏其硬件、软件或信息，以及保护这些系统免受服务中断、服务误导等。这些机制涉及用于控制对硬件的物理访问以及防止可能经由网络访问、数据和代码注入等引起的伤害的各种软件和/或硬件机制。由于对计算机系统和互联网、诸如蓝牙和Wi-Fi的无线网络的日益依赖、包括智能手机、电视和作为物联网(Internet ofThings，IoT)一部分的微型设备在内的“智能”设备的增长、以及基于计算机的技术的其他进步，网络安全、计算安全和信息技术安全领域越来越重要。
发明内容
提供本发明内容是为了以简化的形式介绍一些概念，这些概念将在本文的具体实施方式中进一步描述。本发明内容不旨在识别所要求保护的主题的关键因素或必要特征，也不旨在用于限制所要求保护的主题的范围。
在一个说明性实施例中，提供了一种在包括至少一个处理器和至少一个存储器的数据处理系统中的方法，该至少一个存储器包括由处理器运行以配置处理器实现单输入、多因素认证(SIMFA)系统的指令。该方法包括由SIMFA系统接收用于经由单输入通道认证用户的用户输入，并且由SIMFA系统将用户输入提供给SIMFA系统的显式通道的第一认证逻辑，其中第一认证逻辑对用户输入执行知识认证操作。该方法还包括由SIMFA系统将用户输入提供给SIMFA系统的一个或多个侧通道的第二认证逻辑，其中第二认证逻辑对用户输入的一个或多个基于非知识的特性(non-knowledge-based characteristics)执行认证。此外，该方法包括由SIMFA系统组合第一认证逻辑和第二认证逻辑的操作结果，以生成用户真实性的最终确定。另外，该方法包括由SIMFA系统基于用户真实性的最终确定来生成指示用户是真实用户还是非真实用户的输出。
在其他说明性实施例中，提供了一种计算机程序产品，其包括具有计算机可读程序的计算机可用或可读介质。当计算机可读程序在计算设备上执行时使计算设备执行以上关于方法说明性实施例概述的操作中的各种和组合。
在又一个说明性实施例中，提供了一种系统/装置。该系统/装置可以包括一个或多个处理器和耦合到该一个或多个处理器的存储器。存储器可以包括指令，当指令由一个或多个处理器运行时使该一个或多个处理器执行以上关于方法说明性实施例概述的操作中的各种和组合。
将在以下对本发明的示例实施例的详细描述中描述本发明的这些和其他特征和优点。鉴于以下对本发明示例实施例的详细描述，本发明的这些和其他特征和优点对于本领域普通技术人员将变得显而易见。
附图说明
当结合附图阅读时，通过参考说明性实施例的以下详细描述，将最好地理解本发明以及优选的使用模式及其进一步的目的和优点，其中：
图1是示出根据一个说明性实施例的整体单输入多因素认证协议和过程的示例图；
图2是可以实现说明性实施例的各方面的分布式数据处理系统的示例图；
图3是可以实现说明性实施例的各方面的计算设备的示例框图；和
图4是概述根据一个说明性实施例的用于基于单输入通道执行多因素认证的示例操作的流程图。
具体实施方式
在许多在线计算机环境中实现的一种类型的网络安全是用户认证协议。这样的用户认证协议可以涉及希望访问计算资源的用户，该计算资源呈现有认证提示并且响应个人信息或可以根据存储的信息进行认证的有效响应(即凭证)。例如，用户登录过程是一种类型的认证协议，其中向用户呈现输入其用户名和密码的提示，然后可以根据存储的信息验证该信息以便确定是否允许用户访问计算资源。认证信息可以以多种不同的格式提供，包括语音输入、文本输入、手势输入等。
用户认证是网络安全中持久且不断发展的领域。随着新的计算设备(例如，虚拟现实、增强现实、网络物理系统(cyber-physical systems，CPS)、物联网(IoT)等)的出现，用户认证发生了巨大变化。这些设备可能不会为用户提供传统的输入/输出(input/output，I/O)接口(例如，键盘、鼠标和监视器)以输入其凭证进行认证。最近，基于生物特征的认证方法已经发展起来，以适应这些新兴计算设备的人机接口的变化。这种基于生物特征的认证方法可以包括指纹方法、声纹方法、视网膜扫描方法等。
例如，基于声纹的认证可以根据他或她的语音的特性来识别人。用户可以直接对具有麦克风或其他音频捕获设备的设备讲话，以便在不显式输入密码的情况下向设备发出命令。设备可以具有软件和先前的声纹信息，用户的语音输入可以与先前的声纹信息进行比较，以便对用户进行认证。
然而，值得注意的是，仅仅依靠基于生物特征的认证易受伪造攻击。对于声纹认证的特定场景，攻击者可以录制受害者的语音样本(诸如，通过电话呼叫或个人对话)，并且通过使用录制样本或基于模拟授权用户的语音的录制样本的合成语音输入来冒充用户，攻击者可以使用录制样本以规避认证。此外，其他单因素认证机制(例如，用户名/密码认证)同样容易受到伪造攻击，因为它们只需要攻击者能够捕获对安全提示的正确响应以便冒充授权用户。
因此，重要的是采用多因素认证方法，诸如双因素认证，即组合两种独立的认证方法以减少攻击面并降低攻击者成功的机会。然而，现有的双因素认证方法需要多轮的来回通信并且可能涉及多个设备，这导致对用户不友好的繁琐机制。也就是说，双因素认证机制要求用户使用不同的输入通道和不同的设备提供两个不同的输入，每个单独的因素单独进行认证。换句话说，双因素认证机制本质上只是在后端软件级别加入的单因素认证机制，其评估两个单独输入通道的单独结果以确定用户是否通过认证。例如，用户可以提供通过声纹认证的语音输入，并且在第二轮认证中，系统可能需要呼叫用户的电话，向用户的计算机发送电子邮件，在用户的移动电话上输出认证码，然后必须将该认证码输入用户的计算机等，以验证用户的身份。
这导致了笨重且对用户不友好的机制，这种机制经常引起授权用户方的挫败感。例如，用户可能需要经由他们的移动电话、移动认证器机制等提供输入，但可能无法立即访问该设备，该设备处于无法进行移动通信的区域，或者由于设备限制无法完成第二轮认证。因此，双因素认证将失败，合法用户将被阻止正确使用其设备，或被阻止访问他们本应具有访问权限的计算系统资源。
鉴于基于生物特征和多因素认证方法的上述问题，说明性实施例提供了共享通道多因素认证机制，该机制比已知机制对用户更加友好，其中已知机制利用单因素认证或利用单独的输入通道和设备在要求用户经由不同的设备或不同的接口提供多个输入的多因素认证方法中单独提供认证因素。说明性实施例可以有效地使认证攻击无效，而不会给合法用户增加额外的负担。
代替在传统的双因素认证中建立两轮通信，说明性实施例仅需要用户凭证的单个输入。经由单输入通道接收的凭证输入通过多个不同的处理流水线被划分到多个独立的处理路径，其中划分到这些多个不同处理流水线中可以发生，使得多个不同的处理流水线可以使用并行处理路径在大致或基本相同的时间处理凭证输入。通常，凭证输入可以被划分为显式通道和一个或多个侧通道数据输入。显式通道中的数据可以由显式通道处理流水线用于基于知识的认证，例如安全问答认证、图案知识认证等，而一个或多个侧通道处理流水线可以处理从单输入提取的一个或多个划分的数据子集，以通过基于非知识的认证(例如，声纹认证、基于生物特征的特性认证等)唯一地识别用户。因此，说明性实施例的机制利用额外的逻辑和处理流水线机制使得能够使用单输入通道进行多因素认证，其中，处理流水线机制被提供为将单输入通道输入划分为多个数据输入，以由不同的侧通道处理流水线进行单独处理以进行多因素认证。
应当理解，虽然将在用户的基于语音的输入和语音认证的上下文中描述说明性实施例，以获得对受保护资源的访问(受保护资源可以是受保护信息、受保护计算系统、受保护数据结构)、对物理资源的物理访问等，说明性实施例不限于此。相反，说明性实施例的机制可以与各种类型的任何单输入一起使用，单输入可以被划分到单独的数据通道以进行多因素认证。例如，说明性实施例可以通过各种输入机制对手势输入进行操作，可以对手势输入执行显式通道的基于知识的认证，并且可以一起执行一个或多个侧通道输入图案分析以唯一地认证用户。类似地，如下所述可以经由单输入和多因素分析来认证基于键盘或其他用户接口的术语/标识符输入。
在开始讨论说明性实施例的各个方面之前，首先应当理解，在整个说明书中，术语“机制”将用于指代执行各种操作、功能等的本发明的元件。本文使用的术语“机制”可以是以装置、过程或计算机程序产品形式的说明性实施例的功能或方面的实现。在过程的情况下，该过程由一个或多个设备、装置、计算机、数据处理系统等实现。在计算机程序产品的情况下，由计算机代码或包含在计算机程序产品中或计算机程序产品上的指令表示的逻辑由一个或多个硬件设备运行，以便实现功能或执行与特定“机制”相关联的操作。“因此，本文描述的机制可以实现为专用硬件、在通用硬件上运行的软件、存储在介质上的使得指令易于由专用或通用硬件运行的软件指令、用于运行功能的过程或方法、或任何上述的组合。
本说明书和权利要求可以关于说明性实施例的特定特征和元素使用术语“一个”、“至少一个”和“一个或多个”。应当理解，这些术语和短语旨在表明在特定说明性实施例中存在至少一个特定特征或元素，但是也可以存在多于一个。也就是说，这些术语/短语旨在不将描述或权利要求限制为存在单个特征/元素或者要求存在多个这样的特征/元素。相反，这些术语/短语仅需要至少单个特征/元素，并且多个这样的特征/元素的可能性在说明书和权利要求的范围内。
此外，应当理解，如果在本文中关于描述本发明的实施例和特征而使用的术语“引擎”的使用并不旨在限制用于完成和/或执行可归因于引擎和/或由引擎执行的动作、步骤、过程等的任何特定实施方式。引擎可以是但不限于执行特定功能的软件、硬件和/或固件或其任何组合，特定功能包括但不限于将通用和/或专用处理器与加载或存储在机器可读存储器中并由处理器执行的适当软件组合使用。此外，除非另有说明，否则与特定引擎相关联的任何名称是为了便于参考的目的而不是旨在限制特定实施方式。另外，归属于引擎的任何功能可以由多个引擎同等地执行，并入和/或与相同或不同类型的另一引擎的功能组合，或者分布在各种配置的一个或多个引擎上。
另外，应当理解，以下描述对说明性实施例的各种元素使用多个各种示例，以进一步说明说明性实施例的示例实施方式，并有助于理解说明性实施例的机制。这些实施例旨在是非限制性的，并非穷举实现说明性实施方案的机制的各种可能性。鉴于本说明书，对于本领域普通技术人员来说显而易见的是，在不脱离本发明的精神和范围的情况下，可以使用这些各种元素的许多其他替代实现方式来补充或替代本文提供的实施例。
本发明可以是系统、方法和/或计算机程序产品。计算机程序产品可以包括计算机可读存储介质，其上载有用于使处理器实现本发明的各个方面的计算机可读程序指令。
计算机可读存储介质可以是可以保持和存储由指令执行设备使用的指令的有形设备。计算机可读存储介质例如可以是――但不限于――电存储设备、磁存储设备、光存储设备、电磁存储设备、半导体存储设备或者上述的任意合适的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、静态随机存取存储器(SRAM)、便携式压缩盘只读存储器(CD-ROM)、数字多功能盘(DVD)、记忆棒、软盘、机械编码设备、例如其上存储有指令的打孔卡或凹槽内凸起结构、以及上述的任意合适的组合。这里所使用的计算机可读存储介质不被解释为瞬时信号本身，诸如无线电波或者其他自由传播的电磁波、通过波导或其他传输媒介传播的电磁波(例如，通过光纤电缆的光脉冲)、或者通过电线传输的电信号。
这里所描述的计算机可读程序指令可以从计算机可读存储介质下载到各个计算/处理设备，或者通过网络、例如因特网、局域网、广域网和/或无线网下载到外部计算机或外部存储设备。网络可以包括铜传输电缆、光纤传输、无线传输、路由器、防火墙、交换机、网关计算机和/或边缘服务器。每个计算/处理设备中的网络适配卡或者网络接口从网络接收计算机可读程序指令，并转发该计算机可读程序指令，以供存储在各个计算/处理设备中的计算机可读存储介质中。
用于执行本发明操作的计算机程序指令可以是汇编指令、指令集架构(ISA)指令、机器指令、机器相关指令、微代码、固件指令、状态设置数据、或者以一种或多种编程语言的任意组合编写的源代码或目标代码，所述编程语言包括面向对象的编程语言—诸如Java、Smalltalk、C++等，以及常规的过程式编程语言—诸如“C”语言或类似的编程语言。计算机可读程序指令可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络—包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。在一些实施例中，通过利用计算机可读程序指令的状态信息来个性化定制电子电路，例如可编程逻辑电路、现场可编程门阵列(FPGA)或可编程逻辑阵列(PLA)，该电子电路可以执行计算机可读程序指令，从而实现本发明的各个方面。
这里参照根据本发明实施例的方法、装置(系统)和计算机程序产品的流程图和/或框图描述了本发明的各个方面。应当理解，流程图和/或框图的每个方框以及流程图和/或框图中各方框的组合，都可以由计算机可读程序指令实现。
这些计算机可读程序指令可以提供给通用计算机、专用计算机或其它可编程数据处理装置的处理器，从而生产出一种机器，使得这些指令在通过计算机或其它可编程数据处理装置的处理器执行时，产生了实现流程图和/或框图中的一个或多个方框中规定的功能/动作的装置。也可以把这些计算机可读程序指令存储在计算机可读存储介质中，这些指令使得计算机、可编程数据处理装置和/或其他设备以特定方式工作，从而，存储有指令的计算机可读介质则包括一个制造品，其包括实现流程图和/或框图中的一个或多个方框中规定的功能/动作的各个方面的指令。
也可以把计算机可读程序指令加载到计算机、其它可编程数据处理装置、或其它设备上，使得在计算机、其它可编程数据处理装置或其它设备上执行一系列操作步骤，以产生计算机实现的过程，从而使得在计算机、其它可编程数据处理装置、或其它设备上执行的指令实现流程图和/或框图中的一个或多个方框中规定的功能/动作。
附图中的流程图和框图显示了根据本发明的多个实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或指令的一部分，所述模块、程序段或指令的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。
说明性实施例提供了用于使用单输入通道来执行多因素认证的机制，从而避免需要有多个不同输入，每个输入用于认证的每个因素。利用说明性实施例的机制，在计算系统中经由单输入通道从输入设备(例如，在独立计算系统实施例中)和/或其他计算系统(例如，在分布式网络计算环境实施例中)接收单输入。单输入被划分到多个不同的数据处理通道，其中单输入通过不同的处理流水线处理，以对单输入执行不同类型的认证。经由不同通道的不同处理流水线的处理可以包括在基本上或大致相同的时间对单输入进行并行处理，其中单输入的不同方面根据不同的认证协议进行处理。例如，在第一通道中，可以执行基于知识的认证，其中分析输入以确定输入是否指示用户提供具有特定于授权用户的秘密知识的一部分的输入。在其他通道中，处理输入以确定输入的其他基于非知识的特性是否指示唯一的授权用户。组合在各自的数据通道上操作的各种处理流水线的结果，以生成输入来自授权用户的可能性的评分。基于生成的评分，确定用户是否是真实的，并且基于确定的结果来准许或拒绝对请求访问的资源的相应访问。
图1是示出根据一个说明性实施例的示出整体单输入多因素认证协议和过程的示例图。图1描绘了一个示例，其中所接收的输入是诸如可以由音频捕获设备(例如，麦克风)捕获的语音输入，其中音频信号被转换为本领域公知的数字数据表示。出于说明性目的使用语音输入示例，如图1所示，给定说出认证词、短语、密码等的用户的语音输入110，根据一个说明性实施例的机制将语音输入110划分到单独的数据通道120-130。在一个说明性实施例中，单独的数据通道120、130可以包括显式通道120和一个或多个侧通道130。出于说明的目的，仅示出了单个侧通道130和相应的处理流水线，使得可能利用单个语音输入进行双因素认证。然而，在其他说明性实施例中，可以提供具有相应的处理流水线的多个侧通道130，以使用多余两个的因素执行认证。
本文使用的术语“划分”是指从相同输入(例如，语音输入110)提取不同的信息，其中不同的信息属于相同输入的不同方面。取决于实现方式，不同路径(例如，显式通道120和一个或多个侧通道130)的提取的信息可以重叠或不重叠。此外，提取的信息不需要是相同的形式。例如，使用语音输入110示例，一条路径可以处理与从语音输入获得的提取的安全答案相对应的提取信息，其中该处理可以包括语音识别和对自然语言的理解。对于这一路径，提供给该路径的语音输入110的部分可以包括整个语音输入110数据。对于另一路径，例如，与说话人的声纹特性有关的侧路径，可以提取并处理声纹特性以识别说话人。对侧通道路径的输入可以仍然包括整个语音输入110数据，或者可以仅包括提取的声纹特性，声纹特性可以在提供给显式和侧通道的各个路径之前从上游机制提取。
如图1所示，显式通道120具有相关联的处理流水线125，其包括用于分析语音输入110以执行基于知识的认证的各种分析逻辑。在一个说明性实施例中，处理流水线125包括用于执行语音识别操作的逻辑，以提取语音输入110中存在的内容，并将该内容和与用户的身份相关联的认证知识进行匹配，该用户是语音输入110声称的来源。例如，用户可以(诸如通过登录过程)提交用户标识符、与从其接收语音输入的设备或系统相关联的设备或系统标识符，以及可以与语音输入110一起发送的可以用于识别用户的信息等。然后，该用户标识符信息可以用于在注册表数据库140中执行查找操作以检索用户标识符的认证信息，其中该认证信息可以包括认证知识，例如，安全问题的答案、密码、字母数字代码或任何其他值、单词、短语或可以用于认证用户的其他知识。
流水线125的分析可以执行语音到文本的转换，以便识别语音输入110的内容，然后可以将语音输入110的内容的文本版本与检索到的与用户相关联的认证信息进行比较，例如，将用户说出并存在于语音输入110中的单词、短语等与存储的与真实用户相关联的认证词、短语等进行比较，真实用户是语音输入110声称的来源。如果文本和存储的认证信息匹配，则就知识认证而言，语音输入110的来源通过认证，即，基于知识认证，用户看起来是用户声称的真实用户。例如，在密码或密码短语的情况下，用户可以说出密码、密码短语、安全问题的答案等，该语音输入由麦克风捕获，并由与麦克风相关联的计算设备从音频信号转换为数字格式。然后，在分布式环境实施例的情况下，该语音数据由计算设备处理或者作为语音输入110被发送到认证计算系统，这是基于存储的与语音输入的来源声称的真实用户的身份相关联的认证信息对语音输入110的内容执行知识认证来实现的。如果匹配，则用户(或语音输入110的来源)通过认证。如果不匹配，则用户未通过认证。
应当理解，虽然基于知识的认证是认证用户的一种方式，但其主要缺点是，对于真实用户而言应该是秘密的一些知识实际上可以通过对用户的研究、密码破解尝试等来找到。因此，为了提高受保护资源的安全性，可以使用说明性实施例的机制来采用多因素认证，使得认证不仅仅基于知识认证过程。也就是说，说明性实施例提供基于单输入的并行认证处理路径，以便促进更安全的多因素认证，而无需用户提供多轮用户输入。
因此，如图1所示，一个或多个并行处理路径，相同的语音输入110沿着一个或多个侧通道处理路径进一步处理，诸如具有处理流水线135的侧通道130，处理流水线135包括用于分析语音输入110的各种分析逻辑，以基于语音输入110的一个或多个基于非知识内容的特性执行基于非知识的认证。在一个说明性实施例中，如图1所示，该侧通道130包括处理流水线135，处理流水线135包括用于基于可以从注册表140检索的与真实用户相关联的声纹来执行语音识别操作的分析逻辑。声纹包括在系统训练期间捕获的真实用户的各种音频特性或者从真实用户的先前语音输入中捕获的音频特性，使得用户的语音特性以声纹表示，例如，音色、音调、音量、说话节奏、重音等。
处理流水线135与显式通道120的处理流水线125大致同时接收语音输入110，并且对语音输入110进行操作以提取语音输入110内存在的声纹，即输入声纹。类似于处理流水线125，从注册表140检索认证信息以与由侧通道130及其处理流水线135执行的声纹认证一起使用。也就是说，存储在注册表140中的认证信息可以包括真实用户的真实声纹信息。可以将从语音输入110提取的输入声纹信息与从注册表检索的真实声纹信息进行比较，以确定是否匹配。应当理解，由于即使来自同一说话人的语音输入的固有可变性，可以基于模糊匹配方法来确定匹配。例如，该模糊匹配方法可以包括基于置信度得分的评估，例如，评估声纹的各种特性以确定各种特性的匹配程度，然后可以使用这些匹配程度来生成数字分数，该数字分数与指示声纹是否匹配的阈值进行比较。
如前所述，尽管图1仅示出了实现的两个通道120、130，但是本发明不限于此。相反，任何数量的侧通道130都可以结合显式通道120来实现。例如，在一些说明性实施例中，每个侧通道可以对从语音输入110提取的声纹的单独特性进行操作，并且可以生成关于不同特性(例如，音色、音量，节奏、重音等)的真实性的单独指示。在一些说明性实施例中，诸如执行图案分析的实施例，例如，对于输入设备上的滑动，一个通道可用于提取和验证用户滑动的图案，并且一个或多个侧通道可用于评估生物特性，例如指纹认证和/或输入的其他基于非知识的特性。例如，可以提供第二通道以提取和验证与触摸屏上的按压力相对应的输入特性，可以提供第三通道以提取和认证图案的不同位置处的笔划粗细，并且可以提供第四通道以从输入提取和认证用于绘制图案的方向。在不脱离本发明的精神和范围的情况下，可以将任何数量的通道用于输入的不同特性、生物特征或其他。
由多个通道120、130执行的认证处理的结果由认证验证逻辑150组合，这最终确定输入110的来源(例如用户)是否是真实的。各种结果的组合可以采用许多不同的形式。例如，在一些说明性实施例中，如果通道120、130中的任何一个的任何认证处理指示输入110不是来自真实的来源，则来源(例如，用户)未通过认证，并且可以拒绝对受保护资源的访问。在其他说明性实施例中，可以基于指示所确定的各种通道对认证过程的重要性级别的配置信息，利用向不同通道120、130提供不同权重来进行加权确定。例如，作为显式通道120的一部分执行的知识认证可以给予比作为侧通道130的一部分执行的声纹认证更大的权重。在实现两个以上并行通道的一些说明性实施例中，可以为各种通道中的每一个提供不同的权重。基于加权评估，可以将组合结果(例如，认证分数)与一个或多个阈值进行比较，以确定来源是否通过认证。例如，如果认证分数等于或大于认证阈值，则输入110的来源可以被认为是真实的，并且可以准许对受保护资源的访问，否则，可以拒绝访问。
基于来自各种通道120、130的认证结果的组合，认证验证逻辑150确定输入110的来源是否是真实的，并且基于确定的结果执行适当的动作。例如，如果输入110的来源被认为是真实的，则可以提供对受保护资源的访问。如果输入110的来源被认为是不真实的，则可以拒绝对受保护资源的访问。此外，可以记录访问尝试和/或可以向管理员或其他指定人员发送访问尝试的通知。作为认证过程的一部分收集的各种数据可以包括在日志条目和/或通知中，包括从其接收输入110的来源的标识。
因此，利用说明性实施例的机制，可以使用单输入来执行输入来源的多因素认证。为了进一步说明该操作，考虑根据一个说明性实施例的客户端计算设备170的用户尝试经由认证计算系统100访问受保护资源160的真实场景。认证计算系统100可以经由用户接口、音频输出等向用户提问(challenge)安全问题，例如“提供您的用户ID和密码”。用户通过提供语音输入110(例如，“John Smith，A347......QRX8”)来响应提问。语音输入110被发送到并行通道120、130以进行处理。显式通道120的逻辑125对语音输入110执行语音到文本的转换或语音识别操作，以将所声称的用户识别为“John Smith”，并将安全问题答案识别为“A347QRX8”。逻辑125可以在注册表140的条目中检索“John Smith”，条目包括认证信息，认证信息本身包括安全问题的正确答案。如果认证信息指示响应“A347QRX8”是正确的响应，则从知识认证的角度来说用户通过认证，否则用户未通过认证。
在并行侧通道130中，逻辑135处理语音输入110的声纹特性，以基于注册表140的认证信息条目中存储的特性信息(诸如，在真实用户的训练语音模型中)确定从语音输入110提取的声纹的各种特性的真实性。例如，在这种情况下，一个值得注意的特征是用户在安全问题的答案的前4个字符和后4个字符之间暂停，即上例中的“......”。假设这是授权用户的真实特性，如果从语音输入110提取的声纹没有这样的特性存在，例如，“JohnSmith、A347QRX8”的响应没有暂停，则可以确定，虽然知识认证指示语音输入110中提供的内容正确，但是内容的提供方式，即用户的语音特性，指示用户不是真实用户。
如果通道120、130的处理结果中的至少一个指示用户是不真实的，则即使用户提供了正确的知识响应，认证验证逻辑150也可以拒绝访问受保护资源160，并且可以记录这种拒绝和/或向适当的人员或计算设备发送通知。如果通道120、130两者的处理都指示用户是真实的，则可以允许访问受保护资源160。
因此，与需要来自用户的多轮输入的其他多因素认证机制相比，说明性实施例提供了对用户友好的环境，而不会给用户增加额外的负担，同时提供强大的认证。其他多因素认证方法需要多轮来回验证。说明性实施例仅需要来自用户的单轮输入，也不会牺牲施加给攻击者的绕过安全检查的难度。说明性实施例进一步将安全性需求提升到比单独采用单个认证机制更高的级别。与单一认证方法相比，说明性实施例可以通过用基于知识的提问来提问非法用户，以及进一步通过要求攻击者不仅要适当地响应基于知识的提问，而且要用适当的声纹特性进行响应来抵消伪造攻击。这将要求潜在的攻击者不仅能够访问对安全问题或提问的适当知识响应，而且还具有足够数量的语音样本来合成真实用户的声纹。因此，攻击面大大减少，并且认证规避变得更加困难。
如上所述，尽管使用语音输入110作为示例来说明说明性实施例的发明方面，但是说明性实施例不限于此。相反，说明性实施例的单输入多因素认证机制可以应用于各种类型的输入110，包括但不限于语音输入、文本输入、手势输入、面部识别输入等。
例如，对于手势输入实施例，可以使用图案匹配技术来匹配用户“滑动”的图案以认证用户。例如，认证系统100可以提取用户滑动的图案作为显式通道120认证处理的一部分，并将用户滑动的图案与存储在注册表140条目的认证信息中的图案进行比较。另外，认识到不同的用户表现出不同的触摸行为，即使对于相同的图案也会导致不同的触摸信号。例如，由于左手用户与右手用户的手的角度不同而存在不同的压力图案。可以从触摸屏传感器提取手势输入110中的细粒度位置数据，以构建存储在注册表140的认证信息中的分类模型，以区分用户的触摸行为，然后该分类模型可以用于经由一个或多个侧通道130对用户进行认证。也就是说，在由一个或多个侧通道130进行认证处理期间，与由显式通道120执行的图案匹配并行地，也对图案触摸行为进行认证。与仅测试图案相比，这导致了更强大的手势认证。也就是说，即使攻击者发现了图案，攻击者也需要模拟真实用户的滑动行为，例如输入单元的压力、面积和角度，例如手、手写笔、电子笔等。
在另一个说明性实施例中，输入110可以是文本输入，例如密码输入。在这样的实施例中，在由显式通道120进行处理时，提取键击作为密码输入，并与从注册表140检索的真实用户的存储密码进行比较。可以从文本输入中提取文本输入的时序、施加的压力和其他特性，以生成用户的文本输入行为的模型，然后可以使用该模型来执行侧通道认证。也就是说，在多因素认证期间，不仅是用户输入的实际密码针对从注册表140检索的存储密码进行认证，而且将从输入110提取的文本输入行为的特性与存储为注册表140条目中的认证信息的一部分的模型进行比较。因此，即使攻击者发现了密码，攻击者仍然需要能够在输入正确密码的同时模拟真实用户的文本输入行为，以便通过多因素认证。
从以上描述中显而易见的是，本发明具体涉及计算环境，并且具体地涉及经由多因素认证协议解决与基于计算机的用户认证相关联的问题。这样，说明性实施例可以用在许多不同类型的数据处理环境中。为了提供说明性实施例的特定元素和功能的描述的上下文，在下文中提供图2和图3作为其中可以实现说明性实施例的各方面的示例环境。应当理解，图2和图3仅是示例，并非旨在声明或暗示关于可以实现本发明的方面或实施例的环境的任何限制。在不脱离本发明的精神和范围的情况下，可以对所描绘的环境进行许多修改。
图2描绘了示例分布式数据处理系统的图形表示，其中可以实现说明性实施例的各方面。分布式数据处理系统200可以包括计算机网络，其中可以实现说明性实施例的各方面。分布式数据处理系统200包含至少一个网络202，其是用于在分布式数据处理系统200内连接在一起的各种设备和计算机之间提供通信链路的介质。网络202可以包括连接，诸如有线、无线通信链路或光纤电缆。
在所描绘的示例中，服务器204和服务器206与存储单元208一起连接到网络202。此外，客户端210、212和214也连接到网络202。例如，这些客户端210、212和214可以是个人计算机、网络计算机等。在所描绘的示例中，服务器204向客户端210、212和214提供诸如引导文件、操作系统映像和应用之类的数据。在所描绘的示例中，客户端210、212和214是服务器204的客户端。分布式数据处理系统200可以包括额外的服务器、客户端和未示出的其他设备。
在所描绘的示例中，分布式数据处理系统200是具有网络202的因特网，其中网络202表示使用传输控制协议/网际协议(Transmission Control Protocol/InternetProtocol，TCP/IP)协议组彼此通信的全球网络和网关集合。互联网的核心是在主要节点或主机之间的高速数据通信线路的骨干，由数千个路由数据和消息的商业、政府、教育和其他计算机系统组成。当然，分布式数据处理系统200还可以实现为包括多种不同类型的网络，诸如，例如内联网、局域网(local area network，LAN)、广域网(wide area network，WAN)等。如上所述，图2旨在作为示例，而不是对于本发明的不同实施例的架构限制，因此，图2中示出的特定元件不应被视为对可实现本发明的说明性实施例的环境的限制。
如图2所示，一个或多个计算设备(例如，服务器204)可以被具体配置为实现单输入多因素认证(SIMFA)系统220，例如，在一些说明性实施例中，单输入多因素认证系统220可以包括图1的认证系统100。计算设备的配置可以包括提供应用专用硬件、固件等，以便于操作的执行以及关于说明性实施例在此描述的输出的生成。计算设备的配置还可以或替代地包括提供存储在一个或多个存储设备中并加载到计算设备(诸如服务器204)的存储器中的软件应用程序，用于使计算设备的一个或多个硬件处理器运行配置处理器以执行操作并生成关于说明性实施例在此描述的输出的软件应用程序。此外，在不脱离说明性实施例的精神和范围的情况下，可以使用应用专用硬件、固件、在硬件上运行的软件应用等的任何组合。
应当理解，一旦以这些方式之一配置计算设备，计算设备就变成专门配置为实现说明性实施例的机制的专用计算设备，而不是通用计算设备。此外，如下所述，说明性实施例的机制的实现改进了计算设备的功能，并提供了有用且具体的结果，其有助于单输入的多因素认证，而无需多轮用户输入来执行多因素认证。
如图1所示，多因素认证(SIMFA)系统220包括接口逻辑222，通过该接口逻辑222接收用于多因素认证的输入，诸如从客户端计算设备210或经由相关的输入设备(未示出)直接进入服务器204。划分逻辑224对接收的输入进行划分以将接收的输入或其部分提供给认证处理的适当并行通道226-228，该并行通道包括显式通道226和一个或多个侧通道228。并行通道226-228的逻辑可以基于存储在注册表230中的认证信息执行其各种认证操作，注册表230可包括表示各种类型的输入特性的一个或多个输入模型232，以及知识信息234。SIMFA系统220还可以包括认证验证逻辑240，其组合并行通道226-228的各种认证处理的结果，以确定所接收的输入是否来自认证来源，并基于结果执行适当的动作，例如，允许或拒绝访问受保护资源。
如上所述，说明性实施例的机制利用专门配置的计算设备或数据处理系统来执行用于单输入的多因素认证的操作。这些计算设备或数据处理系统可以包括各种硬件元件，这些硬件元件通过硬件配置、软件配置或硬件和软件配置的组合来专门配置，以实现本文描述的一个或多个系统/子系统。图3是仅一个示例数据处理系统的框图，其中可以实现说明性实施例的各方面。数据处理系统300是计算机的示例，诸如图2中的服务器204，其中可以定位和/或执行实现本发明的说明性实施例的过程和方面的计算机可用代码或指令以便实现如本文所述的说明性实施例的操作、输出和外部效果。
在所描绘的示例中，数据处理系统300采用集线器架构，其包括北桥和存储器控制器集线器(north bridge and memory controller hub，NB/MCH)302以及南桥和输入/输出(input/output，I/O)控制器集线器(south bridge and input/output controller hub，SB/ICH)304、处理单元306、主存储器308和图形处理器310连接到NB/MCH 302。图形处理器310可以通过加速图形端口(accelerated graphics port，AGP)连接到NB/MCH 302。
在所描绘的示例中，局域网(LAN)适配器312连接到SB/ICH 204。音频适配器316、键盘和鼠标适配器320、调制解调器322、只读存储器(read onlymemory，ROM)324、硬盘驱动器(hard disk drive，HDD)326、CD-ROM驱动器330、通用串行总线(universal serial bus，USB)端口和其他通信端口332、以及PCI/PCIe设备334通过总线338和总线340连接到SB/ICH304。例如，PCI/PCIe设备可以包括用于笔记本电脑的以太网适配器、附加卡和PC卡。PCI使用卡总线控制器，而PCIe不使用。例如，ROM 324可以是闪存基本输入/输出系统(basicinput/output system，BIOS)。
HDD 326和CD-ROM驱动器330通过总线340连接到SB/ICH 304。例如，HDD 326和CD-ROM驱动器330可以使用集成驱动电子设备(integrated drive，IDE)或串行高级技术附件(serial advanced technology attachment，SATA)接口。超级I/O(Super I/O，SIO)设备336可以连接到SB/ICH 304。
操作系统在处理单元306上运行。操作系统协调并提供对图3中的数据处理系统300内的各种组件的控制。作为客户端，操作系统可以是商业上可用的操作系统，诸如
Figure BDA0002106114960000161
Windows
Figure BDA0002106114960000162
面向对象的编程系统，诸如JavaTM编程系统，可以与操作系统一起运行，并从在数据处理系统300上运行的JavaTM程序或应用程序提供对操作系统的调用。
作为服务器，例如，数据处理系统300可以是运行高级交互运行(AdvancedInteractive Executive，
Figure BDA0002106114960000171
)操作系统或者
Figure BDA0002106114960000172
操作系统的IBM eServerTM
Figure BDA0002106114960000173
计算机系统、基于PowerTM处理器的计算机系统等。数据处理系统300可以是对称多处理器(symmetric multiprocessor，SMP)系统，其包括处理单元306中的多个处理器。或者，可以采用单个处理器系统。
用于操作系统、面向对象的编程系统的指令和应用或程序位于诸如HDD326的存储设备上，并且可以加载到主存储器308中以由处理单元306运行。用于本发明的说明性实施例的过程可以由处理单元306使用计算机可用程序代码来执行，该计算机可用程序代码例如可以位于诸如主存储器308、ROM324的存储器中，或者例如位于一个或多个外围设备326和330中。
诸如图3中所示的总线338或总线340的总线系统可以包括一个或多个总线。当然，总线系统可以使用任何类型的通信结构或架构来实现，该通信结构或架构提供连接到该结构或架构的不同组件或设备之间的数据传输。诸如图3的调制解调器322或网络适配器312的通信单元可以包括用于发送和接收数据的一个或多个设备。存储器可以是例如主存储器308、ROM 324或诸如在图3中的NB/MCH 302中可找到的高速缓存。
如上所述，在一些说明性实施例中，说明性实施例的机制可以实现为应用专用硬件、固件等、存储在诸如HDD 326的存储设备中并且加载到诸如主存储器308的存储器中以由诸如处理单元306等的一个或多个硬件处理器运行的应用软件等。这样，图3中所示的计算设备变得专门配置为实现说明性实施例的机制，并且专门配置为执行操作并生成本文描述的关于诸如图1中的100或图2中的220的单输入、多因素认证(SIMFA)系统的输出。
本领域普通技术人员将理解，图2和图3中的硬件可以根据实现方式而变化。诸如闪存、等效的非易失性存储器或光盘驱动器等的其他内部硬件或外围设备可以用于补充或代替图2和3中所示的硬件。在不脱离本发明的精神和范围的情况下，说明性实施例可以应用于除了前面提到的SMP系统之外的多处理器数据处理系统。
此外，数据处理系统300可以采用多种不同数据处理系统中的任何一种形式，包括客户端计算设备、服务器计算设备、平板计算机、膝上型计算机、电话或其他通信设备，个人数字助理(personal digital assistant，PDA)等。在一些说明性示例中，数据处理系统300可以是便携式计算设备，其配置有闪存以提供用于存储操作系统文件和/或用户生成的数据的非易失性存储器。本质上，数据处理系统300可以是任何已知的或以后开发的数据处理系统，而没有架构限制。
图4是概述根据一个说明性实施例的用于基于单输入通道执行多因素认证的示例操作的流程图。如图4所示，操作通过接收用于认证的用户输入(例如，语音输入、手势输入、文本输入等)开始(步骤410)。用户输入被划分到多个并行的认证处理通道，包括用于知识认证的显式通道和用于非知识特性认证的一个或多个侧通道(步骤420)。各种通道的认证逻辑对其划分的输入进行操作，以从通道认证的特定因素的角度确定输入是否真实(步骤430)。单独的通道认证操作的结果由认证验证逻辑组合，以生成关于输入是否来自真实来源的最终确定(步骤440)。响应于确定(步骤450)输入来源是真实的，允许访问受保护资源(步骤460)。响应于确定(步骤450)输入是不真实的，拒绝访问并记录访问尝试和/或向适当的人员输出通知(步骤470)。然后操作终止。
因此，说明性实施例提供用于实现逻辑以执行用户输入的单输入、多因素认证的机制。这提供了改进的用户体验，由此用户仅需要提供单输入，但是可能增强多因素认证的安全性能力。因此，无需多次来回提问和用户响应即可实现多因素认证。
如上所述，应当理解，说明性实施例可以采用完全硬件实施例、完全软件实施例或包含硬件和软件元件的实施例的形式。在一个示例实施例中，说明性实施例的机制以软件或程序代码实现，其包括但不限于固件、驻留软件、微代码等。
例如，适合于存储和/或运行程序代码的数据处理系统将包括至少一个处理器，其通过诸如系统总线的通信总线直接或间接耦合到存储器元件。存储器元件可以包括在实际运行程序代码期间使用的本地存储器、大容量存储器和高速缓冲存储器，高速缓冲存储器提供至少一些程序代码的临时存储，以便减少运行期间必须从大容量存储器检索代码的次数。存储器可以是各种类型，包括但不限于ROM、PROM、EPROM、EEPROM、DRAM、SRAM、闪存、固态存储器等。
输入/输出或I/O设备(包括但不限于键盘、显示器、定点设备等)可以直接或通过中间有线或无线I/O接口和/或控制器等耦合到系统。I/O设备可以采用除传统键盘、显示器、定点设备等之外的许多不同形式，诸如通过有线或无线连接耦合的通信设备，包括但不限于智能电话、平板电脑、触摸屏设备、语音识别设备等。任何已知的或以后开发的I/O设备都旨在落入说明性实施例的范围内。
网络适配器还可以耦合到系统，以使数据处理系统能够通过中间私有或公共网络耦合到其他数据处理系统或远程打印机或存储设备。调制解调器、电缆调制解调器和以太网卡只是当前可用于有线通信的网络适配器类型中的一小部分。还可以使用基于无线通信的网络适配器，包括但不限于802.11a/b/g/n无线通信适配器、蓝牙无线适配器等。任何已知的或以后开发的网络适配器都在本发明的精神和范围内。
已经出于说明和描述的目的给出了对本发明的描述，并且不旨在穷举或将本发明限于所公开的形式。在不脱离所描述的实施例的范围和精神的情况下，许多修改和变化对于本领域普通技术人员来说是显而易见的。选择和描述实施例是为了最好地解释本发明的原理、实际应用，并且使本领域普通技术人员能够理解本发明的各种实施例，其具有适合于预期的特定用途的各种修改。选择本文使用的术语是为了最好地解释实施例的原理、实际应用或对市场中发现的技术的技术改进，或者使本领域其他技术人员能够理解本文公开的实施例。

Claims (14)

1.一种方法，在包括至少一个处理器和至少一个存储器的数据处理系统中，所述至少一个存储器包括由所述处理器运行以配置所述处理器实现单输入、多因素认证SIMFA系统的指令，所述方法包括：
由所述SIMFA系统经由单输入通道接收用于认证用户的用户输入；
由所述SIMFA系统将所述用户输入提供给所述SIMFA系统的显式通道的第一认证逻辑，其中所述第一认证逻辑对所述用户输入执行知识认证操作；
由所述SIMFA系统将所述用户输入提供给所述SIMFA系统的一个或多个侧通道的第二认证逻辑，其中所述第二认证逻辑对所述用户输入的一个或多个基于非知识的特性执行认证；
由所述SIMFA系统组合所述第一认证逻辑和所述第二认证逻辑的操作结果，以生成用户真实性的最终确定；以及
由所述SIMFA系统基于所述用户真实性的最终确定，生成指示所述用户是真实用户还是非真实用户的输出。
2.根据权利要求1所述的方法，其中，所述用户输入是包括声纹特性数据和安全问答内容的单个语音输入。
3.根据权利要求2所述的方法，其中，将所述用户输入提供给所述SIMFA系统的显式通道的第一认证逻辑包括由所述第一认证逻辑基于所存储的与授权用户相对应的真实安全问答数据来处理所述单个语音输入的安全问答内容，以基于所确定的所述安全问答内容的正确性级别来生成第一认证结果。
4.根据权利要求3所述的方法，其中，所述第一认证逻辑包括用于对所述单个语音输入执行语音识别或自然语言处理中的至少一个的逻辑，以从所述单个语音输入中提取关键词或关键短语，所述关键词或关键短语与对应于所述授权用户的真实安全问答数据进行比较。
5.根据权利要求3所述的方法，其中，将所述用户输入提供给所述SIMFA系统的一个或多个侧通道的第二认证逻辑包括由所述第二认证处理所述单个语音输入的所述声纹特性数据的至少一个声纹特性，以基于所确定的至少一个声纹特性与所述授权用户的真实声纹特性的对应级别来生成第二认证结果。
6.根据权利要求1所述的方法，其中，将所述用户输入提供给所述SIMFA系统的显式通道的第一认证逻辑以及将所述用户输入提供给所述SIMFA系统的一个或多个侧通道的第二认证逻辑在基本上相同的时间并行执行。
7.根据权利要求1所述的方法，其中，所述用户输入是从触摸屏输入设备接收的单个用户手势输入。
8.根据权利要求7所述的方法，其中，将所述用户输入提供给所述SIMFA系统的显式通道的第一认证逻辑包括由所述第一认证逻辑基于所存储的与授权用户相对应的真实图案数据来处理所述单个用户手势输入的图案内容，以基于所确定的图案内容的正确性级别来生成第一认证结果。
9.根据权利要求8所述的方法，其中，将所述用户输入提供给所述SIMFA系统的一个或多个侧通道的第二认证逻辑包括由所述第二认证处理所述单个用户手势输入的至少一个触摸特性，以基于所确定的所述至少一个触摸特性与所述授权用户的真实触摸特性的对应级别来生成第二认证结果。
10.根据权利要求9所述的方法，其中，所述至少一个触摸特性包括沿着由所述图案内容指定的图案的在一个或多个点处的所述触摸屏上的按压力、沿着由所述图案内容指定的图案的在一个或多个点处的笔划粗细以及绘制由所述图案内容指定的图案的方向中的至少一个。
11.根据权利要求1所述的方法，其中，所述一个或多个基于非知识的特性包括所述用户输入的生物特性。
12.一种计算机程序产品，包括其中存储有计算机可读程序的计算机可读存储介质，其中，当所述计算机可读程序在数据处理系统上运行时使所述数据处理系统实现执行根据权利要求1至11中任一项所述的方法的单输入、多因素认证(SIMFA)系统。
13.一种装置，包括：
处理器；和
耦合到所述处理器的存储器，其中，所述存储器包括指令，当所述指令由所述处理器运行时使所述处理器实现执行根据权利要求1至11中任一项所述的方法的单输入、多因素认证(SIMFA)系统。
14.一种装置，包括用于执行根据权利要求1至11中任一项所述的方法的步骤的模型。
CN201910553242.6A 2018-06-26 2019-06-25 经由单独的处理路径进行单通道输入多因素认证 Active CN110647730B (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US16/018,252 2018-06-26
US16/018,252 US10904246B2 (en) 2018-06-26 2018-06-26 Single channel input multi-factor authentication via separate processing pathways

Publications (2)

Publication Number Publication Date
CN110647730A true CN110647730A (zh) 2020-01-03
CN110647730B CN110647730B (zh) 2022-04-22

Family

ID=68982253

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910553242.6A Active CN110647730B (zh) 2018-06-26 2019-06-25 经由单独的处理路径进行单通道输入多因素认证

Country Status (2)

Country Link
US (1) US10904246B2 (zh)
CN (1) CN110647730B (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114531264A (zh) * 2020-11-23 2022-05-24 迈络思科技有限公司 认证和数据通道控制

Families Citing this family (25)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB2578386B (en) 2017-06-27 2021-12-01 Cirrus Logic Int Semiconductor Ltd Detection of replay attack
GB2563953A (en) 2017-06-28 2019-01-02 Cirrus Logic Int Semiconductor Ltd Detection of replay attack
GB201713697D0 (en) 2017-06-28 2017-10-11 Cirrus Logic Int Semiconductor Ltd Magnetic detection of replay attack
GB201801527D0 (en) 2017-07-07 2018-03-14 Cirrus Logic Int Semiconductor Ltd Method, apparatus and systems for biometric processes
GB201801526D0 (en) 2017-07-07 2018-03-14 Cirrus Logic Int Semiconductor Ltd Methods, apparatus and systems for authentication
GB201801532D0 (en) 2017-07-07 2018-03-14 Cirrus Logic Int Semiconductor Ltd Methods, apparatus and systems for audio playback
GB201801530D0 (en) * 2017-07-07 2018-03-14 Cirrus Logic Int Semiconductor Ltd Methods, apparatus and systems for authentication
GB201801528D0 (en) 2017-07-07 2018-03-14 Cirrus Logic Int Semiconductor Ltd Method, apparatus and systems for biometric processes
GB201801874D0 (en) 2017-10-13 2018-03-21 Cirrus Logic Int Semiconductor Ltd Improving robustness of speech processing system against ultrasound and dolphin attacks
GB201804843D0 (en) 2017-11-14 2018-05-09 Cirrus Logic Int Semiconductor Ltd Detection of replay attack
GB2567503A (en) 2017-10-13 2019-04-17 Cirrus Logic Int Semiconductor Ltd Analysing speech signals
GB201801664D0 (en) 2017-10-13 2018-03-21 Cirrus Logic Int Semiconductor Ltd Detection of liveness
GB201801663D0 (en) 2017-10-13 2018-03-21 Cirrus Logic Int Semiconductor Ltd Detection of liveness
GB201803570D0 (en) 2017-10-13 2018-04-18 Cirrus Logic Int Semiconductor Ltd Detection of replay attack
GB201801659D0 (en) 2017-11-14 2018-03-21 Cirrus Logic Int Semiconductor Ltd Detection of loudspeaker playback
US11735189B2 (en) 2018-01-23 2023-08-22 Cirrus Logic, Inc. Speaker identification
US11264037B2 (en) 2018-01-23 2022-03-01 Cirrus Logic, Inc. Speaker identification
US11475899B2 (en) 2018-01-23 2022-10-18 Cirrus Logic, Inc. Speaker identification
US10692490B2 (en) 2018-07-31 2020-06-23 Cirrus Logic, Inc. Detection of replay attack
US10915614B2 (en) 2018-08-31 2021-02-09 Cirrus Logic, Inc. Biometric authentication
US11037574B2 (en) 2018-09-05 2021-06-15 Cirrus Logic, Inc. Speaker recognition and speaker change detection
US11196774B2 (en) * 2020-03-05 2021-12-07 International Business Machines Corporation Network application security question detection and modification
US11657295B2 (en) * 2020-03-31 2023-05-23 Bank Of America Corporation Cognitive automation platform for dynamic unauthorized event detection and processing
US11606694B2 (en) 2020-10-08 2023-03-14 Surendra Goel System that provides cybersecurity in a home or office by interacting with internet of things devices and other devices
US11899759B2 (en) * 2020-11-25 2024-02-13 Plurilock Security Solutions Inc. Side-channel communication reconciliation of biometric timing data for user authentication during remote desktop sessions

Citations (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103442114A (zh) * 2013-08-16 2013-12-11 中南大学 一种基于动态手势的身份认证方法
CN104217149A (zh) * 2013-05-31 2014-12-17 国际商业机器公司 基于语音的生物认证方法及设备
CN104364790A (zh) * 2012-06-11 2015-02-18 赛门铁克公司 用于实施多因素认证的系统和方法
US20150213244A1 (en) * 2014-01-30 2015-07-30 Microsoft Corporation User-authentication gestures
US20160337346A1 (en) * 2015-05-12 2016-11-17 Citrix Systems, Inc. Multifactor Contextual Authentication and Entropy from Device or Device Input or Gesture Authentication
CN106204011A (zh) * 2016-06-30 2016-12-07 北京小米移动软件有限公司 Nfc支付方法及装置
CN107172049A (zh) * 2017-05-19 2017-09-15 北京信安世纪科技有限公司 一种智能身份认证系统
US20170351487A1 (en) * 2016-06-06 2017-12-07 Cirrus Logic International Semiconductor Ltd. Voice user interface
US20180020350A1 (en) * 2016-07-13 2018-01-18 Motorola Mobility Llc Electronic Device with Gesture Actuation of Companion Devices, and Corresponding Systems and Methods
CN108140082A (zh) * 2015-10-14 2018-06-08 微软技术许可有限责任公司 使用非对称密钥的多因素用户认证框架

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080208580A1 (en) 2004-06-04 2008-08-28 Koninklijke Philips Electronics, N.V. Method and Dialog System for User Authentication
US20100328035A1 (en) 2009-06-29 2010-12-30 International Business Machines Corporation Security with speaker verification
US10049204B2 (en) * 2012-05-15 2018-08-14 Symantec Corporation Computer readable storage media for multi-factor authentication and methods and systems utilizing same
WO2014011131A2 (en) 2012-07-12 2014-01-16 Sestek Ses Ve Iletisim Bilgisayar Teknolojileri Sanayii Ve Ticaret Anonim Sirketi A method enabling verification of the user id by means of an interactive voice response system
EP2816554A3 (en) * 2013-05-28 2015-03-25 Samsung Electronics Co., Ltd Method of executing voice recognition of electronic device and electronic device using the same
WO2018098301A1 (en) * 2016-11-23 2018-05-31 Abraham Joseph Kinney Detection of authorized user presence and handling of unauthenticated monitoring system commands
US20180285539A1 (en) * 2017-03-28 2018-10-04 Ca, Inc. Multifactor strong authentication

Patent Citations (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104364790A (zh) * 2012-06-11 2015-02-18 赛门铁克公司 用于实施多因素认证的系统和方法
CN104217149A (zh) * 2013-05-31 2014-12-17 国际商业机器公司 基于语音的生物认证方法及设备
CN103442114A (zh) * 2013-08-16 2013-12-11 中南大学 一种基于动态手势的身份认证方法
US20150213244A1 (en) * 2014-01-30 2015-07-30 Microsoft Corporation User-authentication gestures
US20160337346A1 (en) * 2015-05-12 2016-11-17 Citrix Systems, Inc. Multifactor Contextual Authentication and Entropy from Device or Device Input or Gesture Authentication
CN108140082A (zh) * 2015-10-14 2018-06-08 微软技术许可有限责任公司 使用非对称密钥的多因素用户认证框架
US20170351487A1 (en) * 2016-06-06 2017-12-07 Cirrus Logic International Semiconductor Ltd. Voice user interface
CN106204011A (zh) * 2016-06-30 2016-12-07 北京小米移动软件有限公司 Nfc支付方法及装置
US20180020350A1 (en) * 2016-07-13 2018-01-18 Motorola Mobility Llc Electronic Device with Gesture Actuation of Companion Devices, and Corresponding Systems and Methods
CN107172049A (zh) * 2017-05-19 2017-09-15 北京信安世纪科技有限公司 一种智能身份认证系统

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
SAZZAD HOSSAIN ET AL.: "Generation of one-time keys for single line authentication", 《2016 14TH ANNUAL CONFERENCE ON PRIVACY, SECURITY AND TRUST》 *
庞永春 等: "基于手机触摸屏传感器多点触摸身份认证算法", 《计算机应用》 *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114531264A (zh) * 2020-11-23 2022-05-24 迈络思科技有限公司 认证和数据通道控制

Also Published As

Publication number Publication date
US20190394195A1 (en) 2019-12-26
CN110647730B (zh) 2022-04-22
US10904246B2 (en) 2021-01-26

Similar Documents

Publication Publication Date Title
CN110647730B (zh) 经由单独的处理路径进行单通道输入多因素认证
US9571490B2 (en) Method and system for distinguishing humans from machines
US10223512B2 (en) Voice-based liveness verification
KR101201151B1 (ko) 사용자 인증을 위한 시스템 및 방법
Raza et al. A survey of password attacks and comparative analysis on methods for secure authentication
US9141779B2 (en) Usable security of online password management with sensor-based authentication
US20160148012A1 (en) System, method and apparatus for voice biometric and interactive authentication
US20140343943A1 (en) Systems, Computer Medium and Computer-Implemented Methods for Authenticating Users Using Voice Streams
US20190213306A1 (en) System and method for identity authentication
US9626495B2 (en) Authenticating a device based on availability of other authentication methods
US9106422B2 (en) System and method for personalized security signature
Syed et al. Effects of user habituation in keystroke dynamics on password security policy
US20150040193A1 (en) Physical Interaction Style Based User Authentication for Mobile Computing Devices
Yan et al. A usable authentication system based on personal voice challenge
US11902275B2 (en) Context-based authentication of a user
US11487856B2 (en) Enhanced security access
Chang et al. My voiceprint is my authenticator: A two-layer authentication approach using voiceprint for voice assistants
Giot et al. Keystroke dynamics authentication
Alattar et al. Privacy‐preserving hands‐free voice authentication leveraging edge technology
Fidas et al. Privacy-preserving biometric-driven data for student identity management: Challenges and approaches
Phipps et al. Securing voice communications using audio steganography
US20220197988A1 (en) Using drawing capability as a credential or authentication mechanism via generative and adversarial network
Telo ANALYZING THE EFFECTIVENESS OF BEHAVIORAL BIOMETRICS IN AUTHENTICATION: A COMPREHENSIVE REVIEW
Taheritajar et al. A Survey on Acoustic Side Channel Attacks on Keyboards
WO2019156625A1 (en) Systems and methods for two-factor authentication

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant