CN1653781A - 用于在联合环境中进行用户确定的身份验证和单一登录的方法和系统 - Google Patents

用于在联合环境中进行用户确定的身份验证和单一登录的方法和系统 Download PDF

Info

Publication number
CN1653781A
CN1653781A CNA038113139A CN03811313A CN1653781A CN 1653781 A CN1653781 A CN 1653781A CN A038113139 A CNA038113139 A CN A038113139A CN 03811313 A CN03811313 A CN 03811313A CN 1653781 A CN1653781 A CN 1653781A
Authority
CN
China
Prior art keywords
user
service provider
authentication
server
client
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CNA038113139A
Other languages
English (en)
Other versions
CN1653781B (zh
Inventor
黑泽·玛丽亚·亨顿
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
International Business Machines Corp
Original Assignee
International Business Machines Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by International Business Machines Corp filed Critical International Business Machines Corp
Publication of CN1653781A publication Critical patent/CN1653781A/zh
Application granted granted Critical
Publication of CN1653781B publication Critical patent/CN1653781B/zh
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/382—Payment protocols; Details thereof insuring higher security of transaction
    • G06Q20/3821—Electronic credentials
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q30/00—Commerce
    • G06Q30/06—Buying, selling or leasing transactions

Abstract

提供了一种方法、设备、系统或计算机程序产品，以提供跨域、单一登录、验证功能。用户可以与一个或多个身份验证服务提供商ANSP签定合同。诸如在线银行或在线商家之类的(ECSP)电子商务服务提供商也保持了与ANSP的关系，以便ECSP可以信任由ANSP代表用户所担保的用户的经过验证的身份。用户可以访问联合环境中的任何电子商务服务提供商，而不必与该特定ECSP建立先验的关系。只要ECSP的域与用户的至少一个身份验证服务提供商具有关系，那么，用户就能够在该ECSP处具有“单一登录”体验。

Description

用于在联合环境中进行用户确定的 身份验证和单一登录的方法和系统
相关申请的交叉引用
本申请涉及下列申请，在此引用了这些申请：
2000年09月11日提出的美国专利申请序列号(代理人机构卷号AUS9-2000-0770-US1)标题为“Method and system forWeb-based cross-domain single-sign-on authentication”；以及
提出的(TBD)标题为“System and method for user enrollmentin an e-community”的美国专利申请序列号(代理人机构卷号AUS920010769US1)。
技术领域
本发明涉及改善的数据处理系统，具体来说，涉及用于进行多计算机数据传输的方法和设备。具体来说，本发明提供了用于进行计算机-对-计算机身份验证的方法和设备。
背景技术
信息技术(IT)系统和因特网促进了当前全球经济的发展。尽管IT系统具有明显的优点，但是，同时，它们也带来了来自未经授权的第三方的潜在安全威胁。实际上，作为对全球计算机网络的完整性的威胁，在现代IT系统中出现了缺少安全性的状态。为处理此问题，IT系统提供许多已知的服务：数据验证、数据保密性，实体验证、授权等等。
身份验证和授权可以以许多方式进行，企业可能需要给被授权的用户提供以对用户友好的方式从各种位置对受保护资源的安全访问。虽然提供安全的验证机制降低了对受保护资源进行未授权访问的风险，但是，相同的验证机制也可能变为用户与受保护资源进行交互的障碍。一般来说，用户希望能够从与一个应用程序进行交互跳转到与另一个应用程序进行交互，而不考虑保护支持那些应用程序的每一个特定系统的验证障碍。
随着用户变得越来越成熟，它们希望，计算机系统能够协调他们的操作，以便用户的负担减轻。这种类型的期望还适用于验证过程。用户可能认为，一旦他或她被某些计算机系统进行了身份验证，验证应该在用户的整个工作会话过程中有效，或至少在特定时间段内，而不考虑几乎对用户不可见的各种计算机体系结构。一般来说，企业会在他们的部署的系统的操作特征中满足这些期望，不仅可以安抚用户，而且还可以提高用户的效率，不论用户效率涉及雇员的生产率还是客户满意度。
具体来说，在当前的计算环境中，许多应用程序具有可以通过常见的浏览器进行访问的基于Web的用户界面，用户期望对用户更加友好，从一个基于Web的应用程序移动到另一个应用程序时的障碍少一些。关于这点，用户越来越期望能够从与一个一个因特网域上的应用程序进行交互跳转到与另一个域上的另一个应用程序进行交互，而不考虑保护每一个特定域的验证障碍。然而，即使许多系统通过易于使用的基于Web的接口提供安全的身份验证，用户可能仍不得不认真对付多个身份验证过程，这些进程妨碍了用户在域集合中的访问。在给定时间帧内让用户接受多个身份验证过程可能会严重影响用户的效率。
由多个身份验证过程或系统所带来的障碍随着越来越的单位参与联合计算环境中而变得越来越常见。在联合环境中，是一个单位的注册成员的用户可以获得对由另一个单位控制的远程资源的访问权限。在联合环境中，每一个单位都负责本单位自己的注册用户和资源的管理，然而，联合单位的计算机系统以某种方式进行交互操作，以在多个单位的注册成员之间共享资源。
例如，每一个用户都在向用户提供某些基本服务的“主域”中进行注册。用户通常通过某种形式的身份验证过程登录到主域，之后，根据用户以前定义的授权属性，用户被允许访问由主域支持的安全资源。如此，用户与用户的主域具有永恒的关系。此外，主域可以与被称为“联合体”或“联合环境”的环境(有时也称为“企业对企业”(B2B)或电子社区域)中的许多其他域具有永恒的关系。
已经有人提出了解决方案，以减少由联合环境中的多个身份验证过程或系统所带来的障碍。在2000年09月11日提出的美国专利申请序列号(代理人机构卷号AUSY-2000-0770-US1)标题为“Methodand system for Web-based cross-domain single-sign-onauthentication”中，描述了被称为“跨域单一登录”的方法，其中，用户将被允许从主域转移到成员安全域中，而不必向第二域重新进行身份验证。所描述的方法中的一个缺点是，用户只能直接从用户的主域转移到成员域中。在提出的(TBD)标题为“System and method foruser enrollment in an e-community”的美国专利申请序列号(代理机构卷号AUS920010769US1)中，描述了一种方法，其中，用户将被允许通过使用“域身份cookie”与成员域建立永恒的关系。此方法给用户提供了通过书签或直接URL(统一资源定位器)直接转至此域的能力，而不必首先通过用户的主域。此灵活的方法提供了简单的用户体验，其中，用户不必知道有关用户所参与的电子社区的实现方式的详细信息。此方法易于实现，易于使用，并提供跨域单一登录功能的安全方法。
这两种方法的困难在于，每一种方法都要求，用户具有一个并且只能具有一个能够对用户进行身份验证的域，被用户访问过的任何域都必须具有用户的主域的先验知识和信任。
因此，应该具有这样的方法和系统，其中，可以提供整个分布式系统中的用户身份证验证，而不存在每一个安全域所带来的验证障碍。换句话说，应该具有跨域、单一登录验证，其中，可以对用户进行身份验证以进入一个安全域，然后转移到另一个安全域，而不必向第二域重新进行身份验证。在一种完全基于那些公开标准的合法使用的方法中使用公开的标准是特别有利的。
发明内容
提供了一种方法、设备、系统或计算机程序产品，以提供跨域、单一登录、验证功能。电子商务服务提供商接收来自客户端的访问受控资源的请求，在确定客户端对受控资源的访问权限时电子商务服务提供商允许指定电子商务服务提供商使用多个身份验证服务提供商中的一个。电子商务服务提供商可以与访问受控资源的请求一起接收身份验证服务提供商的指定，这可以是cookie的形式。或者，如果身份验证服务提供商没有与访问受控资源的请求一起接收到，则电子商务服务提供商可以允许用户从多个身份验证服务提供商中选择一个。电子商务服务提供商还可以允许用户选择永久地将用户与用户从多个身份验证服务提供商中选择的一个关联的选项。电子商务服务提供商从电子商务服务提供商向指定的身份验证服务提供商发送身份验证请求，然后基于来自指定的身份验证服务提供商的身份验证响应确定是否提供对受控资源的访问权限。
附图说明
在所附的权利要求中阐述了本发明的新颖的特征。本发明本身，进一步的目标和优点，通过参考下面的详细描述并参考附图，将得到最好的理解，其中：
图1A描述了数据处理系统的典型的网络，其中每一个数据处理系统都可以实现本发明；
图1B描述了可以在其中可以实现本发明的数据处理系统内使用的典型的计算机体系结构；
图1C显示了其中可以实现本发明的基于Web的环境；
图1D是显示了当客户端尝试访问受保护资源时可以使用的现有技术过程的数据流程图；
图2是描述了其中可以实现本发明的联合环境的方框图；
图3是描述这样的过程的流程图：电子商务服务提供商为尝试访问位于电子商务服务提供商处的受控资源的用户从用户确定的身份验证服务提供商尝试检索经过验证的身份；
图4是描述这样的过程的流程图：身份验证服务提供商判断它是否应该应电子商务服务提供商的请求进行担保；
图5是描述这样的过程的流程图：电子商务服务提供商允许用户选择身份验证服务提供商和/或相关的选项；以及
图6是图形用户界面窗口，该窗口显示了用户可用来选择与联合环境内的单一的登录操作相关联的身份验证服务提供商的可选择的选项。
具体实施方式
一般而言，可以包括或涉及本发明的设备包括各式各样的数据处理技术。因此，作为背景，在比较详细地描述本发明之前，先描述分布式数据处理系统内的硬件和软件组件的典型的组织。
现在参考附图，图1A描述了数据处理系统的典型的网络，其中每一个数据处理系统都可以实现本发明。分布式数据处理系统100包含网络101，这是可以用来在分布式数据处理系统100内的连接在一起的各个设备和计算机之间提供通信链路的媒介。网络101可以包括诸如电线或光纤电缆之类的永久连接，或通过电话或无线通信建立的临时连接。在所描述的示例中，服务器102和服务器103与存储单元104一起连接到网络101。此外，客户端105-107也连接到网络101。客户端105-107和服务器102-103可以由诸如大型机、个人计算机、个人数字助理(PDA)等等各种各样的计算设备来代表。分布式数据处理系统100可以包括更多的未显示的服务器、客户端，路由器，其他设备和对等体系结构。
在所描述的示例中，分布式数据处理系统100可以包括因特网，网络101表示全世界的网络和网关的集合，它们使用诸如LDAP、TCP/IP、HTTP等等协议彼此进行通信。当然，分布式数据处理系统还可以包括不同类型的网络，例如，内部网、局域网(LAN)或广域网(WAN)。例如，服务器102直接支持客户端109和网络110，其中包括无线通信链路。支持网络的电话111通过无线链路112连接到网络110，PDA 113通过无线链路114连接到网络110。电话111和PDA 113也可以使用诸如BluetoothTM无线技术之类的适当的技术跨无线链路115直接在其本身之间进行数据转移，以创建所谓的个人区域网络或个人专门网络。同样，PDA 113也可以通过无线通信链路116向PDA 107传输数据。
本发明可以在各种各样的硬件平台和软件环境中实现。图1A作为异构计算环境的示例，而不对本发明作出体系结构的限制。
现在参考图1B，该图描述了诸如图1A所示的其中可以实现本发明的数据处理系统的典型的计算机体系结构。数据处理系统120包含连接到内部系统总线123的一个或多个中央处理单元(CPU)122，总线123将随机存取存储器(RAM)124、只读存储器126，以及输入/输出适配器128，该适配器128支持诸如打印机130、磁盘单元132或诸如音频输出系统等等未显示的其他设备。系统总线123还连接用于访问通信链路136的通信适配器134。用户接口适配器148连接诸如键盘140和鼠标142或诸如触摸屏、笔尖麦克风之类的未显示的其他设备。显示适配器144将系统总线123连接到显示设备146。
那些精通本技术的普通人员将认识到，图1B中的硬件可以随系统实现方式不同而不同。例如，系统可以具有诸如基于IntelPentium处理器之类的一个或多个处理器，数字信号处理器(DSP)，以及一种或多种易失性和非易失性存储器。除了图1B中所描述的硬件之外，还可以使用其他外围设备加以补充或来代替它们。所描述的示例不对本发明的体系结构作出限制。
除了能够在各种各样的硬件平台上实现外，本发明还可以以各种各样的软件环境来实现。可以使用典型的操作系统来控制每一个数据处理系统内的程序执行。例如，一个设备可以运行Unix操作系统，而另一个设备可以包含简单的Java运行时环境。典型的计算机平台可以包括浏览器，这是著名的用于访问各种各样格式的超文本文档的软件应用程序，如图形文件、字处理文件、可扩展标记语言(XML)超文本标记语言(HTML)、手持设备标记语言(HDML)、无线标记语言(WML)，以及各种其他格式和类型的文件。还应注意，图1A所示的分布式数据处理系统是完全能够支持各种各样的对等子网和对等服务。
现在参考图1C，网络图显示了其中可以实现本发明的比较具体的而通用的基于Web的环境。在此环境中，客户端150中的浏览器152的用户希望访问DNS域156中的Web应用程序服务器154上的或DNS域160中的Web应用程序服务器158上的受保护资源。受保护资源是只有在发出请求的客户端浏览器经过身份验证和授权的情况下才能访问或检索的资源(应用程序、对象、文档、页面、文件、可执行代码或其他计算资源、通信类型的资源等等)。每一个DNS域都可以具有关联的验证服务器162。通常，一旦用户经过验证服务器的身份验证，则可以设置cookie，并将cookie存储在浏览器中的cookie缓存中。发出请求的客户端可以对受保护资源作出域内的请求或域之间的请求。域内的请求表示目标资源位于执行身份验证的同一台服务器上。域之间的请求表示，目标资源位于同一个因特网域内，但与建立身份验证的验证服务器位于不同的服务器上。跨域请求表示，用户希望访问位于用户当前正在使用的DNS域外面的受保护资源。
现在参考图1D，数据流程图显示了当客户端尝试访问受保护资源时可以使用的现有技术过程。如所显示的，客户端工作站170上的用户通过在客户端工作站上执行的用户的Web浏览器并通过计算机网络访问服务器172上的受保护资源。如上所述，受保护资源是只有经过身份验证和被授权的用户访问的统一资源定位器(URL)，或一般来说，由统一资源标识符(URI)来进行标识。计算机网络可以是因特网、内部网或其他网络，如图1A或图1B所示，服务器可以是Web应用程序服务器(WAS)、服务器应用程序、servlet进程等等。
当用户请求诸如域“ibm.com”内的Web页面的受保护资源时启动进程(步骤174)。Web浏览器(或关联的应用程序或小程序)产生HTTP请求，该请求被发送到托管域“ibm.com”的Web服务器(步骤176)。服务器判断它没有客户端的有效会话(步骤178)，因此，服务器通过向客户端发送某种类型的验证质询来要求用户执行身份验证过程(步骤180)。验证质询可以是各种形式，如超文本标记语言(HTML)形式，用户必须向其中输入所需的信息(步骤182)，如用户标识符和关联的密码。
HTML形式的验证响应信息被张贴到服务器中(步骤184)，此时，服务器通过检索以前提交的注册信息并将提供的验证信息与用户的存储信息进行匹配来对对用户进行身份验证。假设身份验证过程成功，则给经过身份验证的用户指定具有独特会话标识符(会话ID)的安全套接字层(SSL)会话(步骤186)。
虽然图1D描述了典型的现有技术过程，但是，值得注意的是，此时也可以描述其他会话状态管理技术，如使用cookie来标识具有有效会话的用户，这可以包括使用用于提供验证凭据的相同cookie。
然后，服务器检索请求的Web页面，并向客户端发送HTTP响应(步骤188)。此时，用户可以通过点击超文本链接来请求浏览器内的“ibm.com”内另一个页面(步骤190)，浏览器向服务器发送另一个HTTP请求(步骤192)。此时，服务器认识到，用户具有有效会话(步骤194)，服务器在另一个HTTP响应中将请求的Web页面发回客户端(步骤196)。
如上所述，本发明可以在各种各样的网络和硬件平台内使用。具体来说，尽管本发明提供了一种方法，以便当用户尝试访问多个分支域内的受保护资源时，不对用户进行质询以便完成身份验证。这就允许在参与跨域、单一登录联合体的域之间有某种程度的自由移动。例如，一个大型Extranet可以具有多个域，其中每个域都有其自己的用户和受保护资源集。然而，受保护资源可以具有通用的企业范围内的关联，并可以在用户集之间有相当大的重叠。用户可以不必在进入不同的域时传递多个身份验证质询，从而可以提高效率。因此，本发明尝试消除跨网站自由移动的障碍。
具体来说，如上所述，分布式身份验证的一些以前的方法所存在的困难是，这些方法要求，用户具有一个并且只能具有一个能够对用户进行身份验证的域，被用户访问过的任何域都必须具有用户的主域的先验知识和信任。相反，本发明允许用户与一个或多个身份验证服务提供商(ANSP)签定合同。用户保持了与这些ANSP的关系，并向ANSP进行身份验证。诸如在线银行或在线商家之类的电子商务服务提供商(ECSP)也保持了与ANSP的关系，以便电子商务服务提供商可以信任由身份验证服务提供商代表用户所提供的用户的经过验证的身份。用户可以访问任何电子商务服务提供商，而不必与该特定电子商务服务提供商建立先验的关系。只要电子商务服务提供商的域与用户的至少一个身份验证服务提供商具有关系，那么，用户就能够在该电子商务服务提供商处具有“单一登录”体验。
本发明通过允许用户自定义他们的在站点中的注册过程，延伸了在提出的(TBD)标题为“System and method for user enrollment inan e-community”的美国专利申请序列号(代理人机构卷号AUS920010769US1)中所描述的注册过程。换句话说，用户可以通过向站点指出能够担保用户的经过验证的身份的可信的第三方的位置来选择在一个站点中进行“注册”。此过程可能设置域身份cookie(DIDC)，这在美国专利申请序列号(代理人机构卷号AUS920010769US1)进行了描述。或者，用户可以选择不设置域身份cookie，以便用户在每次对给定站点进行初始访问时(或者，具体来说，当用户与给定站点没有当前有效会话时进行的每一次访问)必须指出可信第三方的位置。下面将参考其余的图形，比较详细地描述本发明的这些及其他特点。
现在参考图2，方框图描述了在其中可以实现本发明的联合环境。诸如图2所示的那样的联合环境，包括用户、电子商务服务提供商(ECSP)，以及身份验证服务提供商(ANSP)。ECSP对应于参与联合体的企业实体。ANSP对应于用户向其进行身份验证的实体，并向ECSP提供身份验证的凭据。在给定电子社区内，电子商务服务提供商和身份验证服务提供商的角色可以通过不同的实体或单一实体来提供。
联合环境200包括：由具有浏览器应用程序204的客户端202表示的用户；两个电子商务服务提供商ECSP 210和ECSP 212；以及两个身份验证服务提供商ANSP 214和ANSP 216。用户与ANSP216具有身份验证关系220。ECSP 210与ANSP 214具有信任关系222，与ANSP 216具有信任关系224。ECSP 212与ANSP 216具有信任关系。用户尝试分别沿着网络路径230和232访问ECSP210和ECSP 212。
因此，如此示例所示以及下文所详细讨论的，本发明依赖这样的事实：用户以前已经与至少一个身份验证服务提供商并可能与多个身份验证服务提供商建立了身份验证关系，这将主要是“带外”过程，通过该过程，用户向身份验证服务提供商注册或订阅身份验证/身份凭据服务。用户可以为不同强度的身份验证(如用户名/密码、智能卡、生物特征或数字证书)签定合同，换句话说，本发明能够与各种各样的基础验证方案进行交互操作。
本发明还依赖这样的事实：电子商务服务提供商以前已经与至少一个身份验证服务提供商并可能与多个身份验证服务提供商建立了信任关系，这将主要是“带外”过程，通过该过程，电子商务服务提供商和身份验证服务提供商就涉及身份验证/身份凭据服务的每一方的责任签定各种类型的协议。电子商务服务提供商可以为不同强度的身份验证签定合同，本发明能够与各种各样的基础验证方案进行交互操作。
作为建立信任关系的过程的一部分，电子商务服务提供商和身份验证服务提供商将参与用于建立信任关系的带外信息交换，这可以包括共享机密密钥、数字证书或某些其他形式的信息。此信息用于保护用户身份凭据信息，该信息是在用户事务过程中电子商务服务提供商向身份验证服务提供商提供的。可以使用公钥技术来交换此信息，但由于公钥和关联的证书以及提供给电子商务服务提供商的身份凭据的安全要求的限制，机密密钥是优选的，虽然本发明可以采用基于公钥的技术。
优选实施例使用基于机密密钥的技术，而不是基于公钥的技术，原因有下面几个。身份凭据和/或经过验证的身份信息通过因特网，通过用户的客户端应用程序(通常是浏览器)并使用HTTP重定向从身份验证服务提供商传递到电子商务服务提供商。在此情况下，信息必须得到保护，这可以通过对包含用户的经过验证的身份信息和其他信息(如验证方法、个人信息等等)的令牌进行加密。机密密钥技术是优选的，因为它比使用公钥技术更有效率。例如，如果此信息与电子商务服务提供商的公钥进行加密，将不会有信息来自身份验证服务提供商的凭据。如果信息是使用验证服务提供商的私钥进行加密的，则没有办法阻止获取令牌的副本的任何人将其解密，这将可能泄露潜在机密的信息。这就意味着，令牌必须双重地加密，一次用身份验证服务提供商的私钥进行加密，然后，用电子商务服务提供商的公钥。如此，需要两次加密来保护令牌，需要两次解密来检索它。通过使用机密密钥技术，只需要一次加密和一次解密。
现在参考图3，流程图描述了这样的过程，电子商务服务提供商为尝试访问位于电子商务服务提供商处的受控/受保护资源的用户从用户确定的身份验证服务提供商尝试检索经过验证的身份。图3显示了当用户请求对资源进行访问时启动的过程，电子商务服务提供商已经决定，需要作出访问控制判断。为了作出访问控制判断，电子商务服务提供商需要用户的经过验证的身份。作为联合环境内的单一登录操作的一部分，电子商务服务提供商不提示用户提供身份凭据，例如，通过用户名/密码登录。相反，电子商务服务提供商将尝试从身份验证服务提供商处检索经过验证的身份(或身份凭据，如担保令牌)。根据本发明，用户有能力将验证操作定向到许多潜在的身份验证服务提供商中的某一个。然而，应该注意，电子商务服务提供商可以对用户本身进行身份验证，具体来说，当电子商务服务提供商是用户的主域时，虽然电子商务提供商通常使用身份验证服务提供商来在电子商务服务提供商不是用户的主域时对用户进行身份验证。
图3中的过程以电子商务服务提供商接收来自用户的访问受保护资源的请求开始(步骤302)。然后，就电子商务服务提供商是否已经具有用户的经过验证的身份或权限凭据进行判断(步骤304)。如果不，那么，电子商务服务提供商判断它是否具有用户的长期令牌(步骤306)。长期令牌可以是ANSP身份Cookie(AIDC)，这类似于上文所提及的域身份cookie，但它标识了用户的优选身份验证服务提供商。电子商务服务提供商可以拥有用户的AIDC，因为在用户的浏览器中以前已经设置了一个，并且因为用户的浏览器将确保AIDC伴随所有发往电子商务服务提供商的域的请求，当cookie伴随对受控资源的请求时，电子商务服务提供商将接收到cookie。电子商务服务提供商从长期令牌提取用户的优选身份验证服务提供商的身份(步骤308)，并产生对指出的或优选身份验证服务提供商的担保请求(步骤310)。电子商务服务提供商通过用户的浏览器使用HTTP重定向向身份验证服务提供商发送担保请求(步骤312)。
假定有参考步骤302-312所描述的情况，可以理解本发明的有效性。虽然电子商务服务提供商还没有用户的经过验证的身份/权限凭据，即，用户启动与电子商务服务提供商的新会话，电子商务服务提供商可以尝试从用户的优选身份验证服务提供商那里获取用户的担保令牌，即使在此特定会话中没有要求用户直接向电子商务服务提供商提供任何这样的验证信息。
继续看该示例，在某些时间点，电子商务服务提供商使用HTTP重定向通过用户的浏览器从身份验证服务提供商那里接收担保响应(步骤314)。电子商务服务提供商打开令牌以检索用户身份证验证响应(步骤316)，并对其进行检查，以判断有效的身份验证是否完成(步骤318)。如果是，那么，电子商务服务提供商将为用户构建会话凭据(步骤320)，并启动访问控制判断操作(步骤322)。就用户是否被授权作出判断(步骤324)，如果访问控制判断的结果是肯定的，即，用户被授权，那么，电子商务服务提供商提供对受保护资源的访问(步骤326)，然后，过程完成。
再次请参看步骤304，如果电子已经具有用户的经过验证的身份或权限凭据，那么过程将转到步骤322，在该步骤中，电子商务服务提供商立即执行访问控制判断。当用户已经访问过电子商务服务提供商处的相同或类似的受控资源时，这种情况可能会发生。
再次请参看步骤306，如果电子商务服务提供商没有用户的长期令牌，那么，过程转移以完成如图5所示的子进程，这将在下面进行描述。
现在参考图4，流程图描述了这样的过程：身份验证服务提供商判断是否应该应电子商务服务提供商的请求进行担保。图4中的流程图显示了当电子商务服务提供商向身份验证服务提供商发送担保请求时在身份验证服务提供商中发生的过程，如上文在步骤312中所描述的。
当特定身份验证服务提供商从给定用户的电子商务服务提供商那里接收到担保请求时，图4中的过程开始(步骤402)。就身份验证服务提供商是否具有用户的有效会话作出判断(步骤404)。如果身份验证服务提供商还没有用户的有效或当前会话，那么，身份验证服务提供商提示用户完成某种形式的身份验证操作(步骤406)。
然后，就用户是否已经经过验证作出判断(步骤408)。如果用户已经经过验证，那么，身份验证服务提供商构建验证令牌，该令牌指出用户已经肯定地经过验证(步骤410)。如果用户还没有经过验证，那么，身份验证服务提供商构建验证令牌，该令牌指出用户的身份验证操作失败(步骤412)。不论是哪一种情况，身份验证服务提供商都会通过用户的浏览器，通过HTTP重定向向发出请求的电子商务服务提供商发送包括验证令牌的担保响应消息(步骤414)，然后，该过程结束。应该注意，在两种情况下，身份验证服务提供商可以插入假信息或者以别的方式屏蔽担保消息的内容，为防止刺探者能够区分成功的和不成功的担保令牌，这将提供有关用户的验证尝试的信息。
再次请参看步骤404，如果身份验证服务提供商具有用户的有效会话，那么，过程转移到步骤410，因为身份验证服务提供商可以立即构建验证令牌，该令牌指出用户已经肯定地经过验证。当用户已经在另一个电子商务服务提供商处要求经过验证的身份凭据时，将发生这种情况，这将要求用户执行验证操作。身份验证服务提供商维持用户的会话，很可能具有某些限制，如在身份验证服务提供商处的用户的验证会话有效的最大时间段。
现在参考图5，流程图描述了这样的过程：电子商务服务提供商允许用户选择身份验证服务提供商和/或相关的选项。图3所示的过程从步骤306到达图5所示的子进程。在此情况下，如果电子商务服务提供商没有用户的长期令牌，那么，过程转移以完成图5所示的子进程。
图5所示的过程以电子商务服务提供商给用户提供被电子商务服务提供商识别的ANSP的菜单开始(步骤502)。根据本发明，电子商务服务提供商允许用户选择优选身份验证服务提供商，虽然身份验证服务提供商必须是电子商务服务提供商已经与其具有信任关系的身份验证服务提供商。如果不，那么，则给用户提供与电子商务服务提供商识别的身份验证服务提供商(即，电子商务服务提供商与其具有信任关系)建立关系的机会，如下文所详细描述的。
在提供菜单(这可以是对话框或某种其他用户输入机制)之后，电子商务服务提供商接收用户选择(步骤504)。就用户是否已经请求此时取消挂起的事务作出判断(步骤506)，如果是，那么，过程返回图3中的步骤328，此时，用户将被拒绝访问受控资源。如果用户没有请求此时取消挂起的事务，那么，就用户是否已经选择通知电子商务服务提供商用户始终希望使用特定身份验证服务提供商的特定选项作出判断(步骤508)。如果是，那么电子商务服务提供商建立AIDC，该AIDC指出用户的选择的身份验证服务提供商(步骤510)，这在从用户对话框接收到的用户输入内的别处指出。在此可能的实施例中，AIDC可以通过在用户的浏览器中设置cookie来建立。
不论是哪一种情况，都就用户是否已经选择了一个选项以从身份验证服务提供商(特定身份验证服务提供商的身份将在从用户对话框接收到的用户输入内的别处指出)处检索担保信息(步骤512)。换句话说，用户已经选择了电子商务服务提供商应该用来对用户进行身份验证的优选身份验证服务提供商，过程返回步骤310，电子商务服务提供商向所选择的身份验证服务提供商产生担保请求。
如果用户没有选择从身份验证服务提供商处检索担保信息的选项，那么，就用户是否已经选择与身份验证服务提供商建立关系作出判断(步骤514)。如果是，那么，电子商务服务提供商向所选择的身份验证服务提供商发送某种行驶的建立关系请求(步骤515)，例如，通过将用户的浏览器重定向到由用户的所选择的身份验证服务提供商支持的特定页面。
如果上面的选项没有一个发生，那么，由电子商务服务提供商以某种方式指出处理错误(步骤518)，然后，过程完成。
现在参考图6，图形用户界面窗口显示了可供用户选择的选项描述了这样的过程，电子商务服务提供商允许电子商务服务提供商(该电子商务服务提供商允许用户选择与联合环境内的单一的登录操作相关联的身份验证服务提供商)。对话框600显示了三个单选按钮控件602-606，这些控件标记了三个身份验证服务提供商的标识符。当电子商务服务提供商给用户提供选择优选身份验证服务提供商的机会时，可以向用户提供对话框500。在大多数Web环境中，对话框600中显示的控件很可能以HTML格式的文档(即，Web页面)的形式来提供。
取消按钮608在提示用户提供授权信息之前给用户提供了取消挂起的访问受控资源的请求的机会。复选框610给用户提供了请求当电子商务服务提供商需要联系身份验证服务提供商以便完成身份验证时所选择的身份验证服务提供商应该始终被电子商务服务提供商使用的能力。按钮612关闭对话框并通知电子商务服务提供商，用户已经请求由单选按钮指出的身份验证服务提供商应该被电子商务服务提供商用于发出担保请求。按钮614关闭对话框并通知电子商务服务提供商，用户希望与由单选按钮指出的身份验证服务提供商建立关系。
担保用户的身份的过程有时被称为跨联合环境或电子社区的“身份验证断言的传输”。用户的主域向另一个域担保用户的身份。这就意味着，联合环境中的每一个成员组织负责管理主域中的用户，并负责提供映射来其他域的担保的身份的规则集合。
再次请参看图2，可以参考图2所示的联合环境比较详细地描述本发明。当用户从用户与其没有活动的经过验证的会话的域(如由ECSP 210或ECSP 212支持的域)请求资源时，将发生担保过程。
假设客户端202中的用户尝试从ECSP 210访问资源，并且用户从来没有访问过ECSP 210中的资源。因此，在客户端202中没有ECSP 210设置的AIDC，ECSP 210将提示用户提供优选身份验证服务提供商的身份。如上文所讨论的并由图6显示的，可以给用户提供诸如“向AWSF-2C进行身份验证”或“向ANSP-X注册”之类的选项。此外，与整个请求关联的还有始终使用所选择的身份验证服务提供商的选项。一旦用户选择了这些选项，ECSP 210将构建发送到用户选择的身份验证服务提供商的相应的令牌。
假设用户选择了向ANSP 214进行身份验证的选项。ECSP 210将构建针对ANSP 214的担保请求，并通过客户端202的浏览器进行重定向，将此请求发送到ANSP 214。担保请求将被ANSP 214接收到，如果ANSP 214与用户具有当前有效的会话，那么，ANSP 214将构建担保响应，并通过用户的浏览器，使用HTTP重定向，将它重定向回ECSP 210。如果ANSP 214与用户没有当前有效的会话，那么，ANSP 214将提示用户提供验证信息。基于身份验证的成功，ANSP214将构建ECSP 210的担保响应，担保响应可以指出成功的身份验证或失败的身份验证。此担保响应将通过用户的浏览器使用HTTP重定向返回到ECSP 210。
ECSP 210在从ANSP 214接收到具有成功的身份验证指示的担保令牌时，将激活客户端202的会话，将应用户的请求作出访问控制判断。如果用户选择了“始终使用此ANSP”选项，那么ECSP 210将为用户构建ANSP身份Cookie(AIDC)。此cookie将标识用户的优选身份验证服务提供商。进一步访问ECSP 210中的资源，在没有当前有效会话的情况下，将通过用户的浏览器，通过HTTP重定向，从ANSP 214产生对担保令牌的请求。
如此，信息从主域通过担保令牌传递到联合环境(即，电子社区)中的其他域。担保令牌用于向联合环境中的其他组织担保用户的身份的真实性。只有在请求并不能由计划的域之外的任何电子社区域使用的情况下才为每一个电子社区域创建担保令牌。优选情况下，担保令牌是临时的，它只为重新定向而存在，并且将不驻留在用户的永久或非持久的cookie存储器中。此外，优选情况下，担保令牌通过加密来保护。担保令牌包括在被重定向回“发出请求的”电子社区域的响应中。当发出请求的前端/域接收到响应时，它将分析担保令牌，将用户的身份映射到本地身份，为用户创建凭据，进行访问控制判断，并对用户的请求提供相应的响应。然后，此前端能够担保域内的用户的身份。
鉴于上文提供的对本发明的详细描述，本发明的优点是显而易见的。本发明允许用户与一个或多个身份验证服务提供商(ANSP)签定合同。用户保持了与这些ANSP的关系，并向身份验证服务提供商进行身份验证。诸如在线银行或在线商家之类的电子商务服务提供商(ECSP)也保持了与ANSP的关系，以便电子商务服务提供商可以信任由ANSP代表用户所提供的用户的经过验证的身份。用户可以访问任何电子商务服务提供商，而不必与该特定电子商务服务提供商建立先验的关系。只要电子商务服务提供商的域与用户的至少一个身份验证服务提供商具有关系，那么，用户就能够在该电子商务服务提供商处具有“单一登录”体验。利用本发明，在一定条件下，当用户尝试访问联合环境内的第二域中的受保护资源时，不对用户进行质询以便完成身份验证。这就允许在参与跨域、单一登录联合体的域之间有某种程度的自由移动。用户可以不必传递多个身份验证质询(这可能是跨网站自由移动的障碍)，从而可以提高效率。
值得注意的是，尽管是在完全运转的数据处理系统的上下文中描述本发明的，那些精通本技术的普通人员将认识到，本发明的进程能够以存储了指令的计算机可读的介质的形式和各种各样的形式进行分发，不管实际用于进行分发的承载信号的介质的特定类型是什么。计算机可读的介质的示例包括诸如EPROM、ROM、磁带、纸张、软盘、硬盘驱动器、RAM和CD-ROM之类的介质，和诸如数字和模拟通信链路之类的传输类型的介质。
本发明的描述只作说明，而不是详尽的说明或只限于所说明的实施例。那些精通本技术的普通人员将认识到，可以进行许多修改。所选择的实施例只是为了最好地说明本发明的原理以及其实际应用，并使精通本技术的其他人理解本发明，以便实现带有各种修改的各种实施例，只要可以适合于其他预期的用途。

Claims (22)

1.一种在数据处理系统内对用户进行身份验证的方法，该方法包括：
在电子商务服务提供商处接收来自客户端的访问受控资源的请求；以及
在确定客户端对受控资源的访问权限时允许指定电子商务服务提供商使用多个身份验证服务提供商中的一个。
2.根据权利要求1所述的方法，进一步包括：
与访问受控资源的请求一起接收身份验证服务提供商的指定。
3.根据权利要求2所述的方法，进一步包括：
从cookie检索身份验证服务提供商的指定。
4.根据权利要求1所述的方法，进一步包括：
如果身份验证服务提供商没有与访问受控资源的请求一起接收到，则允许用户从多个身份验证服务提供商中选择一个。
5.根据权利要求4所述的方法，进一步包括：
允许用户选择永久地将用户与用户从多个身份验证服务提供商中选择的一个关联。
6.根据权利要求1所述的方法，进一步包括：
从电子商务服务提供商向指定的身份验证服务提供商发送身份验证请求；以及
基于来自指定的身份验证服务提供商的身份验证响应在电子商务服务提供商处确定是否提供对受控资源的访问权限。
7.根据权利要求1所述的方法，进一步包括：
响应接收来自客户端的访问受控资源的请求，判断电子商务服务提供商是否具有客户端的有效身份验证凭据；以及
响应电子商务服务提供商具有客户端的有效身份验证凭据的判断，对来自客户端的访问受控资源的请求执行访问控制判断，而不必向多个身份验证服务提供商中的一个发送身份验证请求。
8.一种在数据处理系统内对用户进行身份验证的方法，该方法包括：
在第一服务器上接收来自客户端的访问受控资源的请求；
响应第一服务器具有支持以前与客户端关联的身份验证服务的第二服务器的身份的判断，从第一服务器向第二服务器发送身份验证请求；
响应第一服务器没有支持以前与客户端关联的身份验证服务的第二服务器的身份的判断：
允许用户选择第二服务器的身份；以及
从第一服务器向第二服务器发送身份验证请求。
9.根据权利要求8所述的方法，进一步包括：
从第二服务器接收身份验证响应；以及
基于身份验证响应中所指出的状态判断是否提供对受控资源的访问权限。
10.根据权利要求8所述的方法，进一步包括：
响应接收来自客户端的访问受控资源的请求，判断第一服务器是否具有客户端的有效身份验证凭据；以及
响应第一服务器具有客户端的有效身份验证凭据的判断，对来自客户端的访问受控资源的请求执行访问控制判断，而不必从第一服务器向第二服务器发送身份验证请求。
11.根据权利要求8所述的方法，进一步包括：
在第二服务器上判断第二服务器是否具有客户端的有效身份验证凭据；以及
响应第二服务器具有客户端的有效身份验证凭据的判断，并响应身份验证请求，返回有效身份验证状态。
12.根据权利要求8所述的方法，进一步包括：
将客户端与用户的对第二服务器身份的选择关联。
13.根据权利要求12所述的方法，进一步包括：
将用户的对第二服务器的身份的选择存储在客户端中的永久cookie中。
14.根据权利要求42所述的方法，进一步包括：
允许用户选择是否将用户的对第二服务器的身份的选择存储在客户端中的cookie中。
15.根据权利要求12所述的方法，进一步包括：
允许用户选择是否将用户的对第二服务器的身份的选择永久地与用户关联。
16.根据权利要求12所述的方法，进一步包括：
允许用户选择是否在第二服务器上与身份验证服务建立关系。
17.根据权利要求8所述的方法，进一步包括：
使用HTTP重定向通过客户端以向第二服务器发送身份验证请求。
18.一种包括适用于执行根据前面的权利要求1到7中的任何一个权利要求的方法的步骤的装置的计算机系统。
19.一种包括适用于执行根据前面的权利要求8到17中的任何一个权利要求的方法的步骤的装置的计算机系统。
20.一种存储在计算机可使用的介质上的计算机程序产品，包括计算机可读的程序装置，用于当所述程序在所述计算机上运行时使计算机执行根据前面的权利要求1到7中的任何一个权利要求的方法。
21.一种存储在计算机可使用的介质上的计算机程序产品，包括计算机可读的程序装置，用于当所述程序在所述计算机上运行时使计算机执行根据前面的权利要求8到17中的任何一个权利要求的方法。
22.一种网络数据消息，包括：
传输协议标头；
与受控资源关联的统一资源标识符(URI)；以及
指出身份验证服务提供商的域身份的身份验证服务提供商令牌，其中，身份验证服务提供商是响应访问受控资源的请求可以使用的联合环境中的多个身份验证服务提供商中的一个。
CN038113139A 2002-06-28 2003-06-24 用于在联合环境中进行用户确定的身份验证的方法和系统 Expired - Fee Related CN1653781B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US10/184,664 2002-06-28
US10/184,664 US20040002878A1 (en) 2002-06-28 2002-06-28 Method and system for user-determined authentication in a federated environment
PCT/EP2003/006604 WO2004004273A1 (en) 2002-06-28 2003-06-24 Method and system for user-determined authentication and single-sign-on in a federated environment

Publications (2)

Publication Number Publication Date
CN1653781A true CN1653781A (zh) 2005-08-10
CN1653781B CN1653781B (zh) 2011-06-15

Family

ID=29779416

Family Applications (1)

Application Number Title Priority Date Filing Date
CN038113139A Expired - Fee Related CN1653781B (zh) 2002-06-28 2003-06-24 用于在联合环境中进行用户确定的身份验证的方法和系统

Country Status (11)

Country Link
US (1) US20040002878A1 (zh)
EP (1) EP1530860B1 (zh)
JP (1) JP2005538434A (zh)
KR (1) KR100800339B1 (zh)
CN (1) CN1653781B (zh)
AT (1) ATE341146T1 (zh)
AU (1) AU2003238031A1 (zh)
BR (1) BR0312228A (zh)
CA (1) CA2488881A1 (zh)
DE (1) DE60308692T2 (zh)
WO (1) WO2004004273A1 (zh)

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101902327B (zh) * 2009-06-01 2012-05-23 中国移动通信集团公司 一种实现单点登录的方法、设备及其系统
CN102546570A (zh) * 2010-12-31 2012-07-04 国际商业机器公司 用于单点登录的处理方法和系统
CN102647407A (zh) * 2011-02-15 2012-08-22 佳能株式会社 信息处理系统及信息处理系统的控制方法
CN101420416B (zh) * 2007-10-22 2013-03-13 中国移动通信集团公司 身份管理平台、业务服务器、登录系统及方法、联合方法
CN103023638A (zh) * 2011-09-22 2013-04-03 阿里巴巴集团控股有限公司 一种基于移动终端的身份验证方法及装置
WO2013097721A1 (en) * 2011-12-27 2013-07-04 Tencent Technology (Shenzhen) Company Limited Method and system for replying to website update event
CN108475312A (zh) * 2015-10-02 2018-08-31 华睿泰科技有限责任公司 用于装置安全外壳的单点登录方法

Families Citing this family (118)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7127328B2 (en) * 1994-12-30 2006-10-24 Power Measurement Ltd. System and method for federated security in an energy management system
KR100805341B1 (ko) * 1999-06-18 2008-02-20 이촤지 코포레이션 가상 지불 계정을 이용하여 인터네트워크상에서 상품,서비스 및 콘텐츠를 주문하는 방법 및 장치
US6907395B1 (en) * 2000-10-24 2005-06-14 Microsoft Corporation System and method for designing a logical model of a distributed computer system and deploying physical resources according to the logical model
US7606898B1 (en) * 2000-10-24 2009-10-20 Microsoft Corporation System and method for distributed management of shared computers
CA2436319C (en) * 2002-08-02 2014-05-13 Calin A. Sandru Payment validation network
US9064281B2 (en) 2002-10-31 2015-06-23 Mastercard Mobile Transactions Solutions, Inc. Multi-panel user interface
US20040123144A1 (en) * 2002-12-19 2004-06-24 International Business Machines Corporation Method and system for authentication using forms-based single-sign-on operations
US7072807B2 (en) * 2003-03-06 2006-07-04 Microsoft Corporation Architecture for distributed computing system and automated design, deployment, and management of distributed applications
US7890543B2 (en) 2003-03-06 2011-02-15 Microsoft Corporation Architecture for distributed computing system and automated design, deployment, and management of distributed applications
US7689676B2 (en) * 2003-03-06 2010-03-30 Microsoft Corporation Model-based policy application
US8122106B2 (en) * 2003-03-06 2012-02-21 Microsoft Corporation Integrating design, deployment, and management phases for systems
JP4485141B2 (ja) 2003-04-10 2010-06-16 株式会社日立製作所 ネットワーク上のサービス公開及び提供方法並びにそのプログラム
US8108920B2 (en) * 2003-05-12 2012-01-31 Microsoft Corporation Passive client single sign-on for web applications
US7590736B2 (en) * 2003-06-30 2009-09-15 Microsoft Corporation Flexible network load balancing
US7636917B2 (en) * 2003-06-30 2009-12-22 Microsoft Corporation Network load balancing with host status information
US7606929B2 (en) * 2003-06-30 2009-10-20 Microsoft Corporation Network load balancing with connection manipulation
US7590705B2 (en) 2004-02-23 2009-09-15 Microsoft Corporation Profile and consent accrual
US7778422B2 (en) * 2004-02-27 2010-08-17 Microsoft Corporation Security associations for devices
US7636941B2 (en) * 2004-03-10 2009-12-22 Microsoft Corporation Cross-domain authentication
KR100968179B1 (ko) * 2004-03-30 2010-07-07 인터내셔널 비지네스 머신즈 코포레이션 사용자 인증을 위한 방법, 시스템 및 프로그램을 기록한 기록 매체
US7607008B2 (en) * 2004-04-01 2009-10-20 Microsoft Corporation Authentication broker service
US20070150511A1 (en) * 2004-04-16 2007-06-28 Ruben Laguna-Macias Method and apparatus for handling user's attributes sharing between service providers
US20050246529A1 (en) * 2004-04-30 2005-11-03 Microsoft Corporation Isolated persistent identity storage for authentication of computing devies
EP1745630B1 (en) * 2004-05-11 2014-01-22 Telefonaktiebolaget LM Ericsson (publ) Method and apparatus for providing access to an identity service
US20050278333A1 (en) * 2004-05-26 2005-12-15 International Business Machines Corporation Method and system for managing privacy preferences
US7640574B1 (en) 2004-06-02 2009-12-29 Sun Microsystems, Inc. Method and system for resource based authentication
EP1769616A2 (en) * 2004-07-21 2007-04-04 International Business Machines Corporation Method and apparatus for providing federated functionality within a data processing system
US8689276B2 (en) * 2004-08-25 2014-04-01 Adobe Systems Incorporated System and method for controlling access to files
US20060080730A1 (en) * 2004-10-12 2006-04-13 Conor Cahill Affiliations within single sign-on systems
US7702917B2 (en) 2004-11-19 2010-04-20 Microsoft Corporation Data transfer using hyper-text transfer protocol (HTTP) query strings
US20060123472A1 (en) * 2004-12-07 2006-06-08 Microsoft Corporation Providing tokens to access federated resources
US7603555B2 (en) * 2004-12-07 2009-10-13 Microsoft Corporation Providing tokens to access extranet resources
US7562382B2 (en) * 2004-12-16 2009-07-14 International Business Machines Corporation Specializing support for a federation relationship
US20060206926A1 (en) * 2005-03-14 2006-09-14 Agfa Inc. Single login systems and methods
US7802144B2 (en) 2005-04-15 2010-09-21 Microsoft Corporation Model-based system monitoring
US8489728B2 (en) 2005-04-15 2013-07-16 Microsoft Corporation Model-based system monitoring
US7797147B2 (en) 2005-04-15 2010-09-14 Microsoft Corporation Model-based system monitoring
JP4151978B2 (ja) * 2005-05-25 2008-09-17 インターナショナル・ビジネス・マシーンズ・コーポレーション サーバ装置、管理方法およびプログラム
US8549513B2 (en) 2005-06-29 2013-10-01 Microsoft Corporation Model-based virtual system provisioning
US20070016393A1 (en) * 2005-06-29 2007-01-18 Microsoft Corporation Model-based propagation of attributes
US20070011172A1 (en) * 2005-07-05 2007-01-11 Netfire1 Pty Ltd Managed e-community trading environments
FR2889388A1 (fr) * 2005-07-26 2007-02-02 France Telecom Procede et systeme de gestion securise de donnees entre un serveur et un client
CA2962648C (en) 2005-10-06 2019-07-23 Mastercard Mobile Transactions Solutions, Inc. Three-dimensional transaction authentication
US20130332343A1 (en) 2005-10-06 2013-12-12 C-Sam, Inc. Multi-tiered, secure mobile transactions ecosystem enabling platform comprising a personalization tier, a service tier, and an enabling tier
US10032160B2 (en) 2005-10-06 2018-07-24 Mastercard Mobile Transactions Solutions, Inc. Isolating distinct service provider widgets within a wallet container
US7941309B2 (en) * 2005-11-02 2011-05-10 Microsoft Corporation Modeling IT operations/policies
US8418234B2 (en) 2005-12-15 2013-04-09 International Business Machines Corporation Authentication of a principal in a federation
US9065978B2 (en) 2005-12-19 2015-06-23 At&T Intellectual Property I, Lp Method for acquiring services on a multiplicity of devices
FR2898748A1 (fr) * 2006-03-17 2007-09-21 France Telecom Procede et dispositif de gestion des instances d'une application informatique
KR100773788B1 (ko) 2006-03-27 2007-11-12 (주)엔텔스 선불 사용자를 위한 유무선 연동 서비스 통합인증 방법,시스템 및 서버
JP4867486B2 (ja) * 2006-06-12 2012-02-01 富士ゼロックス株式会社 制御プログラムおよび通信システム
US8392587B2 (en) 2006-06-28 2013-03-05 International Business Machines Corporation Federated management framework for credential data
US20080027939A1 (en) * 2006-07-31 2008-01-31 Chalasani Nanchariah R Method, system, and program product for controlling access to personal attributes across enterprise domains
JP4946564B2 (ja) * 2007-03-27 2012-06-06 富士通株式会社 認証処理方法及びシステム
US8572716B2 (en) 2007-04-23 2013-10-29 Microsoft Corporation Integrating operating systems with content offered by web based entities
US20080288622A1 (en) * 2007-05-18 2008-11-20 Microsoft Corporation Managing Server Farms
US8527757B2 (en) * 2007-06-22 2013-09-03 Gemalto Sa Method of preventing web browser extensions from hijacking user information
US8655719B1 (en) * 2007-07-25 2014-02-18 Hewlett-Packard Development Company, L.P. Mediating customer-driven exchange of access to personal data for personalized merchant offers
US8397168B2 (en) 2008-04-05 2013-03-12 Social Communications Company Interfacing with a spatial virtual communication environment
US9813522B2 (en) 2008-12-05 2017-11-07 Sococo, Inc. Managing interactions in a network communications environment
JP5368547B2 (ja) 2008-04-05 2013-12-18 ソーシャル・コミュニケーションズ・カンパニー 共有仮想エリアコミュニケーション環境ベースの装置および方法
JP4336766B1 (ja) * 2008-04-18 2009-09-30 日本電気株式会社 無線通信システム、認証処理部選択方法
US9348991B2 (en) 2008-05-20 2016-05-24 International Business Machines Corporation User management of authentication tokens
US8312033B1 (en) 2008-06-26 2012-11-13 Experian Marketing Solutions, Inc. Systems and methods for providing an integrated identifier
US8151333B2 (en) * 2008-11-24 2012-04-03 Microsoft Corporation Distributed single sign on technologies including privacy protection and proactive updating
JP5153591B2 (ja) * 2008-11-26 2013-02-27 株式会社日立製作所 認証仲介サーバ、プログラム、認証システム及び選択方法
US20110030039A1 (en) * 2009-07-31 2011-02-03 Eric Bilange Device, method and apparatus for authentication on untrusted networks via trusted networks
CN101998360B (zh) * 2009-08-11 2015-05-20 中兴通讯股份有限公司 建立身份管理信任的方法及身份提供方和业务提供方
US9407959B2 (en) 2009-09-21 2016-08-02 Adobe Systems Incorporated Monitoring behavior with respect to a software program
US20110161473A1 (en) * 2009-12-30 2011-06-30 Motorola, Inc. Analytics-based binding of identifiers across information domains while maintaining confidentiality
US8972540B2 (en) * 2009-12-30 2015-03-03 Motorola Solutions, Inc. Incenting divulgence of information for binding identifiers across information domains while maintaining confidentiality
US9595039B2 (en) * 2009-12-30 2017-03-14 Motorola Solutions, Inc. Stimulus/response-based binding of identifiers across information domains while maintaining confidentiality
US20110161472A1 (en) * 2009-12-30 2011-06-30 Motorola, Inc. Client-based binding of identifiers across information domains while maintaining confidentiality
US20110161474A1 (en) * 2009-12-30 2011-06-30 Motorola, Inc. Brokering information across information domains while maintaining confidentiality
US20110167479A1 (en) * 2010-01-07 2011-07-07 Oracle International Corporation Enforcement of policies on context-based authorization
US20110166943A1 (en) * 2010-01-07 2011-07-07 Oracle International Corporation Policy-based advertisement engine
US9509791B2 (en) 2010-01-07 2016-11-29 Oracle International Corporation Policy-based exposure of presence
US9495521B2 (en) * 2010-02-05 2016-11-15 Oracle International Corporation System self integrity and health validation for policy enforcement
US20110196728A1 (en) * 2010-02-05 2011-08-11 Oracle International Corporation Service level communication advertisement business
US9467858B2 (en) 2010-02-05 2016-10-11 Oracle International Corporation On device policy enforcement to secure open platform via network and open network
US9530166B2 (en) * 2010-04-21 2016-12-27 Facebook, Inc. Social graph that includes web pages outside of a social networking system
US8250145B2 (en) 2010-04-21 2012-08-21 Facebook, Inc. Personalizing a web page outside of a social networking system with content from the social networking system
US20110283341A1 (en) * 2010-05-13 2011-11-17 Nikhil Sanjay Palekar Facilitating Secure Communications
US9152727B1 (en) 2010-08-23 2015-10-06 Experian Marketing Solutions, Inc. Systems and methods for processing consumer information for targeted marketing applications
WO2012034044A2 (en) 2010-09-11 2012-03-15 Social Communications Company Relationship based presence indicating in virtual area contexts
US9665854B1 (en) 2011-06-16 2017-05-30 Consumerinfo.Com, Inc. Authentication alerts
CN102882763B (zh) * 2011-07-12 2018-02-06 中兴通讯股份有限公司 一种实现社区联合的方法和装置
US8613068B2 (en) 2011-08-04 2013-12-17 Microsoft Corporation Cross-domain session refresh
US8849721B2 (en) 2011-09-21 2014-09-30 Facebook, Inc. Structured objects and actions on a social networking system
CN104106276B (zh) 2011-10-12 2019-03-19 万事达移动交易方案公司 多层安全移动交易使能平台
CN103067337B (zh) * 2011-10-19 2017-02-15 中兴通讯股份有限公司 一种身份联合的方法、IdP、SP及系统
US9792451B2 (en) 2011-12-09 2017-10-17 Echarge2 Corporation System and methods for using cipher objects to protect data
US20130254300A1 (en) * 2012-03-22 2013-09-26 Adam Berk Computer-based Methods and Systems for Verifying User Affiliations for Private or White Label Services
US8813206B2 (en) 2012-11-27 2014-08-19 Hong Kong Applied Science and Technology Research Institute Company Limited Anonymous personal content access with content bridge
US9251331B2 (en) 2013-01-22 2016-02-02 Canon Information And Imaging Solutions, Inc. Simplified user registration
US10664936B2 (en) 2013-03-15 2020-05-26 Csidentity Corporation Authentication systems and methods for on-demand products
US9633322B1 (en) 2013-03-15 2017-04-25 Consumerinfo.Com, Inc. Adjustment of knowledge-based authentication
US9721147B1 (en) 2013-05-23 2017-08-01 Consumerinfo.Com, Inc. Digital identity
CN103839138A (zh) * 2014-03-08 2014-06-04 成都文昊科技有限公司 用于支撑多个异构系统交互的系统
US10373240B1 (en) 2014-04-25 2019-08-06 Csidentity Corporation Systems, methods and computer-program products for eligibility verification
JP2016085641A (ja) * 2014-10-27 2016-05-19 キヤノン株式会社 権限移譲システム、権限移譲システムにて実行される方法、およびそのプログラム
US9875468B2 (en) * 2014-11-26 2018-01-23 Buy It Mobility Networks Inc. Intelligent authentication process
CN104639548B (zh) * 2015-02-03 2018-09-18 北京羽乐创新科技有限公司 一种登陆应用的方法和装置
US9779233B2 (en) * 2015-03-05 2017-10-03 Ricoh Co., Ltd. Broker-based authentication system architecture and design
CN106161361B (zh) * 2015-04-03 2018-10-02 北京神州泰岳软件股份有限公司 一种跨域资源的访问方法及装置
US11954671B2 (en) 2015-04-27 2024-04-09 Paypal, Inc. Unified login across applications
US9922475B2 (en) 2015-09-11 2018-03-20 Comcast Cable Communications, Llc Consensus based authentication and authorization process
US11386409B2 (en) 2016-03-04 2022-07-12 Sertintyone Corporation Systems and methods for media codecs and containers
GB2551978A (en) * 2016-06-30 2018-01-10 Ipco 2012 Ltd A method, apparatus, computer program product, computer readable storage medium, information processing apparatus and server
US10171467B2 (en) 2016-07-21 2019-01-01 International Business Machines Corporation Detection of authorization across systems
US11010730B2 (en) * 2016-09-15 2021-05-18 Paypal, Inc. Scope-delimited sharing of encoded sensitive data
WO2019204693A1 (en) * 2018-04-19 2019-10-24 Averon Us, Inc. Using identity-linked device information for user identification and transaction personalization via mobile tagging
US10911234B2 (en) 2018-06-22 2021-02-02 Experian Information Solutions, Inc. System and method for a token gateway environment
US11477196B2 (en) 2018-09-18 2022-10-18 Cyral Inc. Architecture having a protective layer at the data source
US11477197B2 (en) 2018-09-18 2022-10-18 Cyral Inc. Sidecar architecture for stateless proxying to databases
US11941065B1 (en) 2019-09-13 2024-03-26 Experian Information Solutions, Inc. Single identifier platform for storing entity data
CA3105899A1 (en) 2020-01-15 2021-07-15 IDENTOS Inc. Computer-implemented systems for distributed authorization and federated privacy exchange
EP3859574A1 (de) * 2020-01-28 2021-08-04 Siemens Aktiengesellschaft Verfahren zur universellen einmalanmeldung, single-sign-on und vorrichtung

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5729537A (en) * 1996-06-14 1998-03-17 Telefonaktiebolaget L M Ericsson (Publ) Method and apparatus for providing anonymous data transfer in a communication system
AU8680398A (en) * 1997-08-01 1999-02-22 Qualcomm Incorporated System and method for preventing replay attacks in wireless communication
EP0940960A1 (en) * 1998-03-02 1999-09-08 Hewlett-Packard Company Authentication between servers
US6240512B1 (en) 1998-04-30 2001-05-29 International Business Machines Corporation Single sign-on (SSO) mechanism having master key synchronization
EP1089516B1 (en) 1999-09-24 2006-11-08 Citicorp Development Center, Inc. Method and system for single sign-on user access to multiple web servers
AU2001282453A1 (en) * 2000-08-14 2002-02-25 Comsense Technologies Ltd. Multi-server authentication
EP1368722B1 (en) * 2000-11-09 2007-08-15 International Business Machines Corporation Method and system for web-based cross-domain single-sign-on authentication

Cited By (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101420416B (zh) * 2007-10-22 2013-03-13 中国移动通信集团公司 身份管理平台、业务服务器、登录系统及方法、联合方法
CN101902327B (zh) * 2009-06-01 2012-05-23 中国移动通信集团公司 一种实现单点登录的方法、设备及其系统
CN102546570A (zh) * 2010-12-31 2012-07-04 国际商业机器公司 用于单点登录的处理方法和系统
CN102546570B (zh) * 2010-12-31 2014-12-24 国际商业机器公司 用于单点登录的处理方法和系统
CN102647407A (zh) * 2011-02-15 2012-08-22 佳能株式会社 信息处理系统及信息处理系统的控制方法
US8938789B2 (en) 2011-02-15 2015-01-20 Canon Kabushiki Kaisha Information processing system, method for controlling information processing system, and storage medium
CN103023638A (zh) * 2011-09-22 2013-04-03 阿里巴巴集团控股有限公司 一种基于移动终端的身份验证方法及装置
CN103023638B (zh) * 2011-09-22 2016-03-30 阿里巴巴集团控股有限公司 一种基于移动终端的身份验证方法及装置
WO2013097721A1 (en) * 2011-12-27 2013-07-04 Tencent Technology (Shenzhen) Company Limited Method and system for replying to website update event
US9467413B2 (en) 2011-12-27 2016-10-11 Tencent Technology (Shenzhen) Company Limited Method and system for replying to website update event
CN108475312A (zh) * 2015-10-02 2018-08-31 华睿泰科技有限责任公司 用于装置安全外壳的单点登录方法
CN108475312B (zh) * 2015-10-02 2022-12-20 华睿泰科技有限责任公司 用于装置安全外壳的单点登录方法

Also Published As

Publication number Publication date
EP1530860B1 (en) 2006-09-27
WO2004004273A1 (en) 2004-01-08
CN1653781B (zh) 2011-06-15
BR0312228A (pt) 2005-04-12
EP1530860A1 (en) 2005-05-18
DE60308692D1 (de) 2006-11-09
US20040002878A1 (en) 2004-01-01
KR20050013559A (ko) 2005-02-04
AU2003238031A1 (en) 2004-01-19
KR100800339B1 (ko) 2008-02-04
DE60308692T2 (de) 2007-08-16
ATE341146T1 (de) 2006-10-15
JP2005538434A (ja) 2005-12-15
CA2488881A1 (en) 2004-01-08

Similar Documents

Publication Publication Date Title
CN1653781B (zh) 用于在联合环境中进行用户确定的身份验证的方法和系统
US9871791B2 (en) Multi factor user authentication on multiple devices
KR100800345B1 (ko) 이종 연합 환경에서 통합 사인오프하기 위한 방법 및시스템
KR100946110B1 (ko) 기존 ｓｓｌ 세션을 브레이킹하지 않고 인증서-기반 인증으로 스텝 업하는 방법 및 시스템
KR100745535B1 (ko) 이종 연합 환경에서 고유 인증 프로토콜 방법 및 시스템
US7797434B2 (en) Method and system for user-determind attribute storage in a federated environment
CN100590631C (zh) 用于安全绑定注册名称标识符简表的方法和系统
US8006289B2 (en) Method and system for extending authentication methods
US7827318B2 (en) User enrollment in an e-community
US7587491B2 (en) Method and system for enroll-thru operations and reprioritization operations in a federated environment
EP1964021B1 (en) Secure identity management
US20060021004A1 (en) Method and system for externalized HTTP authentication
US20040128390A1 (en) Method and system for user enrollment of user attribute storage in a federated environment
US20040128392A1 (en) Method and system for proof-of-possession operations associated with authentication assertions in a heterogeneous federated environment

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
C17 Cessation of patent right
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20110615

Termination date: 20110624