CN1276318C - 把移动电话机用户自动登录到计算机网络的方法和系统 - Google Patents

Abstract

本发明涉及利用一移动电话机将一计算机用户自动登录到一计算机系统的系统和方法。一用户标识模块(SIM)引入到该计算机系统，因此该计算机系统使SIM与该计算机用户相关。然后SIM插入到该移动电话机。当该移动电话机开机时，提示用户输入个人识别码(PIN)。当该用户希望登录到该计算机系统时，该用户建立该移动电话机和该计算机之间的通信信道。该移动电话机和计算机交换标识信息并且该计算机用户自动登录到该计算机系统。

Description

把移动电话机用户自动登录到计算机网络的方法和系统

                      相关申请

此申请涉及并要求了1998年11月24日提交名称为“移动电话机的自动PC登录”的美国临时专利申请No.60/109,691的优先权，这里并入其公开文本作为参考。

                       背景

全球移动通信系统(GSM)描述了一种由该区域和许多其它国家的公共陆地移动网(PLMN)利用的用于无线通信的欧洲标准，希望该标准能提供一致性，因此用户可以在整个欧洲和许多其它国家接入无线通信系统而只具有最小的设备兼容性问题。

为使移动电话机工作在蜂窝电话系统，移动电话机的用户必须与网络提供商预约。在GSM系统中，通过使用一用户标识模块(SIM)，移动电话机被识别为与网络提供商有预约。SIM是包括一处理器和一存储器的“智能卡”。SIM设计为可以从一个移动电话机中取出并插入用户希望使用其预约的另一移动电话机中。在GSM中，SIM用于保护移动网不被欺诈接入和用于确保用户隐私。这通过鉴定用户来实现，以防止未登记用户接入、无线路径加密，特别是加密所有的用户信息以防止第三方窃听、和用户标识保护以防止用户位置泄露。

为了保护存储在计算机中的信息，鉴定机制用于验证计算机的用户是一授权用户。典型的计算机鉴定机制包括登录标识和口令。一种加强计算机系统或网络安全性的方法是增加登录标识和口令中的字符数目。另外，一些计算机系统和网络要求登录标识和口令规则的基础例如每隔三个月改变。计算机用户发现每几个月就要记住长长的鉴定码很难。相应地，需要一种用户鉴定一计算机系统而不必记住登录标识和口令的安全方式。

                      本发明综述

根据本发明可以克服鉴定系统例如计算机系统中发现的这些和其它缺点和难点。根据本发明示范性的实施例，包含在移动电话机中的SIM卡与用户的计算机帐号有关，其利用了在计算机和SIM之间交换标识信息的安全技术。当移动电话机开机时，用户需要输入个人识别码(PIN)。当输入正确PIN的移动电话机用户开始与计算机通信时，该移动电话机与计算机交换标识信息，如果该用户被授权，则该用户自动登录到计算机中。相应地，用户只需要记住短PIN，以便执行登录计算机所需的鉴定。

根据这里描述的各种实施例，计算机和移动电话机之间的通信链路可以包括短距离的无线通信链路、一红外线无线通信链路、或一连接计算机和移动电话机的电缆。或者，当移动电话机插入位于计算机附近的电话电池充电器时建立该通信链路。

另外，本发明示范性的实施例提供配置移动电话机和计算机系统的方法，因此计算机系统使移动电话机的用户与存储在计算机系统中的用户名和口令相关。

                    附图的简短描述

从下面结合附图的详细描述中，本发明上述目的、特点以及优点将变得显而易见，附图中：

图1说明根据本发明示范性实施例的鉴定系统；

图2说明用于构造移动电话机和计算机系统的示范性方法；

图3说明用于存储和恢复与特定用户相关的SIMID和公共密钥的示范性数据库记录；

图4说明允许移动电话机登录到本发明的计算机系统的示范性布局；和

图5说明用于利用移动电话机记录到计算机系统的示范性方法。

                      详细描述

在下面的描述中，为了解释而不是限制的目的，阐明了具体细节，诸如详细的电路、电路组成部分和技术，以便提供对本发明的全面理解。然而，在超出这些具体细节的其它实施例中也可以实施本发明，这对本技术人员来说是显而易见的。在其它例子中，省略了对熟知方法、装置和电路的详细描述以不混淆本发明的描述。

该示范性的实施例提供关于根据GSM标准操作的移动电话机的例子的说明。然而，本领域技术人员可以理解这里所揭示的概念同样适用于根据其它标准工作的移动电话机。同样，一些示范性的实施例提供了关于提供用户识别信息的SIM卡的说明性例子，但是这里描述的技术同样适用于在移动电话机中提供用户识别信息的其它方法。

图1说明用于实现本发明的硬件示范性实施例。用户将SIM 120插入到移动电话机110。SIM 120提供移动电话机110工作在移动网必需的信息。当移动电话机110开机时，用户被提示输入允许用户操作该电话机PIN，如果用户输入的PIN与SIM 120中存储的PIN匹配，则用户能操作移动电话机110。

计算机140可以是任何类型的计算机，诸如包括英特尔处理器和使用微软视窗操作系统的“Wintel”计算机。然而，本领域技术人员将承认计算机还可以使用任何制造商做出的处理器，例如Cyrix或AMD、Motorola，和任何类型的操作系统，例如UNIX和苹果的Macintosh操作系统。典型地，用户为了接入操作系统和存储在计算机140中的申请文件，用户必须登录到计算机140。典型的登录过程包括图形用户接口形式，该形式具有用户输入登录标识和口令的空白显示。一旦用户输入正确的登录标识和口令，则用户将登录到计算机140。

为了使用户实现本发明，可以配置计算机系统和移动电话机，因此移动电话机110的用户帐号或标识与计算机140(或计算机网)的用户帐号或标识相关。更特别是，SIM 120与计算机140的用户账户相关。根据本发明的示范性实施例，计算机140运行Windows NT，SIM可以运行写成Java程序设计语言的程序。

图2说明用于构造系统的示范性方法。相应地，在步骤205，移动电话机设置成信息可以写入SIM的模式，例如SAT构造方式。根据本发明的示范性实施例，SIM 120包含SIM应用工具包(SAT)。SAT是并入GSM标准的开发环境，为了书写运行于SIM的程序。为了将生成公共和私人密钥的程序安装到SIM 120，SIM 120插入到智能卡阅读器/书写器150。本领域技术人员将承认智能卡阅读器/书写器只需要安装运行于SIM 120的程序，例如生成公共和私人密钥的程序。相应地，根据本发明的自动登录到PC机不需要每台计算机具有一个智能卡阅读器/书写器。通过选择移动电话机上可用的功能菜单的配置SAT选择，和输入正确的PIN，即用于配置移动电话机的管理PIN，移动电话机可被设置在SAT配置模式。或者，用于将移动电话机设置在SAT配置模式使用的PIN可以与启动移动电话机使用的PIN相同。

在步骤210，计算机140生成一组公共和私人密钥。根据步骤215，公共密钥存储在计算机140或计算机网中的管理数据库中。图3说明用于存储和恢复与特定用户相关的SIMID和公共密钥的纯粹示范性数据库记录。在步骤220，私人密钥存储在SIM 120中。另外，根据步骤225，用于在移动电话机110和计算机140之间传送的编码数据的各种参数存储在SIM 120中。各种参数是用于RSA算法数，例如两个素数。

一旦已经配置系统使SIM与计算机系统的一个或多个用户帐号/标识相关，和移动电话机110的用户已经将PIN输入到移动电话机110，则用户可以自动登录到计算机140。相应地，用户将衔接移动电话机110和计算机140之间的通信链路，以在其间传送鉴定/标识信息。根据示范性的实施例，经短距离无线通信技术诸如“蓝牙”建立移动电话机110和计算机140之间的通信链路，其1998第3期Ericsson Review中JaapHaartsen的“蓝牙-用于Ad HOC无线连接的通用无线接口”中描述了“蓝牙”，这里并入其作为参考。当然本领域技术人员可以理解可以使用任何其它类型的通信链路。根据利用“蓝牙”的示范性实施例，用户只需要进入计算机无线范围内的区域，用于在移动电话机和计算机之间衔接的通信链路。根据该实施例，计算机140具有附于其上的通信单元130，以便经短距离无线通信进行通信。

图4说明根据本发明允许移动电话机用户登录到计算机系统的示范性布局。计算机405运行一操作系统450，该操作系统的一个组成部分是资源管理器410。如图4所示，智能卡设备驱动器415连接运行于计算机405的操作系统450和SIM 430之间。在一示范性的实施例中，计算机140运行一使用微软智能卡技术的操作系统。

微软智能卡技术目前可用于下列操作系统，微软Windows 95、Windows 98、NT 4和NT 5。另外，微软操作系统的将来版本也能支持该智能卡技术。智能卡技术利用一资源管理器管理和控制智能卡的所有应用访问。在1998年4月24日Microsoft公司的“智能卡白皮书”中描述了微软智能卡技术，这里并入其作为参考。虽然这里参照Windows NT操作系统描述本发明的示范性实施例，本领域技术人员将承认本发明可以利用具有或可被改成与智能卡通信能力的任何类型的操作系统来实现。设备驱动器415和资源管理器410是智能卡技术的组成部分。相应地，本领域技术人员将承认在其它操作系统环境中，负责登录的操作系统组成部分将执行类似于这里关于设备驱动器415和资源管理器410描述的功能。设备驱动器415通过通信链路420与移动电话机425通信。标识和鉴定信息经移动电话机425在SIM 430和经设备驱动器415的计算机405之间交换。相应地，设备驱动器415将从移动电话机425收到的信息变换成资源管理器410兼容的形式，还将来自资源管理器410的数据变换成移动电话机425可以传送到SIM 430的形式。

图5说明利用移动电话机中的SIM记录到计算机系统的示范性方法。在步骤510，一个计算机和工作的移动电话机辨认接近的另一个。根据一示范性的实施例，这通过计算机检测移动电话机发射的一短距离信号来实现。或者，该移动电话机可以检测计算机发射的—短距离信号。在步骤515，计算机确定是否发现一移动电话机。如果该计算机没有找到移动电话机，根据判决步骤515的“否”路径输出，则计算机返回搜索移动电话机的步骤510。如果移动电话机被该计算机发现，根据判决步骤515的“是”路径输出，则根据步骤520，Windows NT计算机上的智能卡技术组成部分向移动电话机发送一指令以启动SIM中的鉴定应用程序。

在步骤525，计算机利用AT命令查询移动电话机，以确定检测到的移动电话机是否能够生成一数字签名，和是否该能力已经在移动电话机中启动。AT代表注意，AT命令是用于计算机串行通信的标准命令。数字签名是RSA算法利用私人密钥和一串随机比特生成的一串比特。所用的数字签名唯一和安全地识别移动电话机。根据本发明的示范性实施例，该移动电话机可以选择其中一个菜单以启动和禁止发送一数字签名。如果没有启动该数字签名能力，根据判决步骤525的“否”路径输出，则系统返回到步骤510，该计算机继续搜索移动电话机。

如果该数字签名能力已经被移动电话机启动，根据判决步骤525的“是”路径输出，则根据步骤530，智能卡驱动器415向移动电话机发送一AT命令请求SIM ID号。在从移动电话机返回SIM ID到计算机之后，智能卡驱动器415通知资源管理器410 SIM卡插入到移动电话机中。资源管理器410通知卡插入的图形标识和鉴定动态连接程序库(GINA)，根据步骤550GINA允许显像器执行智能卡鉴定机制代替标准的Windows NT用户名和口令鉴定。

在步骤560，GINA恢复来自SIM的鉴定信息。步骤560包括GINA呼叫Crypto应用程序接口(CryptoAPI)，其导致该卡和智能卡驱动器之间的数据传送。此数据传送包括智能卡驱动器向SIM发送(经与计算机405连接的收发信机装置)一随机模式的比特。此信息例如可以存储在移动电话机的SMS(短信息业务)存储器中。移动电话机中的SIM卡利用RSA算法和私人密钥编码随机数据。编码数据，即数字签名送回到智能卡驱动器。已加密的随机比特由智能卡驱动器或CryptoAPI业务提供商利用SIM的公共密钥解密。根据步骤570，比较解密后的随机比特和已传送的随机比特。如果数据匹配，则根据步骤580，用户登录到计算机。步骤580的登录过程由GINA与鉴定系统的另一个组成部分合作完成，例如LAN安全性结构(LSA)、Kerbos、密钥分布中心(KDC)。

虽然上面描述了登录计算机，本领域技术人员将承认本发明同样适用于登录到计算机网或任何需要鉴定的装置。另外，虽然通信单元130表示为计算机140单独的外围设备，本领域技术人员将承认通信单元130可以并入PC卡设计和安装在计算机140内。而且，虽然示范性实施例描述了利用PIN启动移动电话机，移动电话机还可以用传统的话音启动系统启动。

虽然讨论了示范性的实施例，其中计算机140和移动电话机110之间的通信链路是无线通信链路、本发明可以用计算机和移动电话机之间的任何类型的通信链路实现。虽然讨论了示范性的实施例，其中计算机140和移动电话机110之间的通信链路是无线通信链路、本发明可以用计算机和移动电话机之间的任何类型的通信链路实现。相应地，该通信链路可以是附在两个装置之间的电缆，例如RS-232电缆。或者，通信链路可以是IrDA链路，即红外线数据协会定义其标准的红外线链路。根据示范性的实施例，当移动电话机110插入到充电移动电话机电池的支架时可以执行该鉴定。除了连接到电源，该支架通过这里描述的任何一种通信链路连接到计算机。另外，当已经登录到计算机的移动电话机用户移出计算机的范围时，用户可以自动退出该计算机。或者，当移动电话机移出范围时，可以启动一口令保护的屏幕保护器(Saver)以保护计算机用户数据。

虽然利用上述示范性的实施例描述了本发明；但这些实施例在各方面是说明性的，而不是对本发明的限制。因此，本发明的范围由所附权利要求阐明并包含其含盖的任何和所有的等同物和修改。

Claims (12)

1.一种将移动电话机用户自动登录到计算机网络上的方法，包括步骤：

当该移动电话机开机时，输入个人识别码；

如果所输入的个人识别码与存储在所述移动电话机中的用户标识模块上的个人识别码相匹配，则激活该移动电话机；

从一个与所述计算机网络连接的计算机搜索一个移动电话机；

所述计算机确定该移动电话机是否已经设置成自动登录模式，其中如果该移动电话机中存在和激活了数字签名能力，则该移动电话机就被设置在了自动登录模式；

如果该移动电话机中存在和激活了数字签名能力，则所述计算机请求该移动电话机的标识号；

在该标识号被从该移动电话机返回后，执行该移动电话机和该计算机之间的鉴定过程；和

如果该鉴定过程成功，则自动将该移动电话机用户登录到计算机网络上。

2.根据权利要求1的方法，其中该标识号是一个存储在该移动电话机中的智能卡上的用户识别模块号。

3.根据权利要求1的方法，其中请求该移动电话机的标识号的步骤包括步骤：

利用AT命令获取该标识号。

4.根据权利要求1的方法，其中鉴定过程包括步骤：

向一个负责登录的操作系统组件通知一个卡被插入到该移动电话机中；

从该卡获取和分析鉴定信息；和

如果该鉴定信息是有效的，则将该用户登录到该计算机上。

5.根据权利要求4的方法，其中获取和分析鉴定信息的步骤包括步骤：

向该移动电话机发送一个随机比特串；

在该移动电话机中用私钥编码这一随机比特串；

向该计算机返回这一编码的随机比特串；和

在该计算机中利用一公钥解码这一编码的比特串。

6.根据权利要求5的方法，其中当用公钥解码的比特串与发送到该移动电话机的随机比特串匹配时，该鉴定信息是有效的。

7.根据权利要求1的方法，其中该计算机和该移动电话机通过无线通信信道交换信息。

8.根据权利要求7的方法，其中该无线通信信道为一短程射频信道。

9.根据权利要求7的方法，其中该无线通信信道为一红外通信信道。

10.根据权利要求1的方法，其中该计算机和该移动电话机通过电缆交换信息。

11.根据权利要求1的方法，进一步包括步骤：

当该移动电话机与所述计算机之间的距离是一个预定距离时，自动将用户从该计算机网络注销，其中该预定距离是该计算机生成的无线电信号的射程。

12.根据权利要求1的方法，进一步包括步骤：

当该移动电话机与所述计算机之间的距离是一个预定距离时，启动在该计算机上的口令保护的屏幕保护器，其中该预定距离是由该计算机生成的无线电信号的射程。

Images