CN1661961A - 用于鉴权的方法、硬件标志及计算机 - Google Patents

用于鉴权的方法、硬件标志及计算机 Download PDF

Info

Publication number
CN1661961A
CN1661961A CN2005100519936A CN200510051993A CN1661961A CN 1661961 A CN1661961 A CN 1661961A CN 2005100519936 A CN2005100519936 A CN 2005100519936A CN 200510051993 A CN200510051993 A CN 200510051993A CN 1661961 A CN1661961 A CN 1661961A
Authority
CN
China
Prior art keywords
computer
authentication
hardware flags
pki
certificate
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN2005100519936A
Other languages
English (en)
Inventor
佐藤正和
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
International Business Machines Corp
Original Assignee
International Business Machines Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by International Business Machines Corp filed Critical International Business Machines Corp
Publication of CN1661961A publication Critical patent/CN1661961A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • G06F21/445—Program or device authentication by mutual authentication, e.g. between devices or programs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/34—User authentication involving the use of external additional devices, e.g. dongles or smart cards
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2103—Challenge-response

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Storage Device Security (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

本发明的目的是大大提高在使用如IC卡的硬件标志的情况下防止未授权访问的安全等级。本发明的解决方案是：利用连接到计算机10的硬件标志30的鉴权方法包括步骤：通过计算机10在硬件标志30中存储在计算机10中产生的计算机公钥，将存储在硬件标志30中的用户公钥Uk从硬件标志30读出到计算机10，将读出的用户公钥Uk从计算机10注册到认证中心50并使计算机10接收从认证中心50颁发的关于用户公钥Uk的证书，及通过计算机10将所颁发的用户公钥Uk的证书存储在硬件标志30中。

Description

用于鉴权的方法、硬件标志及计算机
技术领域
本发明涉及用于鉴权可疑人的方法等，更具体而言，涉及利用如IC卡的硬件标志的鉴权方法等。
背景技术
近年来，例如公司内部的电子商务活动增加了，存在迅速增长的保护公司内部个人信息的趋势。例如，个人信息从公司泄漏导致相当大的公司社会信任损失，大大影响公司的管理。另一方面，雇用出租员工和外包业务已经在公司中流行，例如能访问内部公司网络的人的类型及访问这种网络的形式已经多样化。因此，即使在内部公司网络的情况下，如果只用传统的用户ID和口令，还是很难维护系统处于安全状态。在结算系统、教育领域中的各种管理系统、关于政府办公室、税务等的公共系统、利用如电子货币等的分布式系统及公司内部系统中，也需要高级安全性。在这种情形下，利用由IC卡代表的硬件标志进行个人鉴权的技术被用于处理如“偷听”、“伪造”和“欺骗”的威胁。
图12(a)和12(b)是用于解释利用IC卡的传统口令鉴权方法的图。图12(a)示出了证书安装时的处理，而图12(b)示出了证书使用时的处理。图中说明了通过如因特网的网络访问远程访问单元(未示出)的计算机(PC)201和通过插入例如IC卡读/写器中连接到计算机201的IC卡202。还说明了通过因特网连接到计算机201的认证中心。
在传统的口令鉴权方法中，口令(PIN(个人身份号)码)首先在图12(a)所示的证书安装时从计算机201设到IC卡202中。在IC卡202中，进行公钥与私钥的组合。其后，计算机201从IC卡202读出公钥。计算机201向认证中心203申请注册公钥。认证中心203向计算机201颁发该公钥的证书。计算机201将从认证中心203获得的公钥证书存储在IC卡202中。
图12(b)所示的证书的使用如下所述。IC卡202连接到计算机201。其后，IC卡202的口令通过计算机201输入。口令的校对在IC卡202中执行。在输入正确口令的情况下，表示口令正确的应答“OK”从IC卡202输出到计算机201。以这种方式执行的口令输入和校对使得能对通过将IC卡202插入IC卡读/写器访问计算机201的人进行关于该访问计算机201的人(输入口令的人)是否是授权人的鉴权。其后，在计算机201和IC卡202之间执行公钥的读出、利用私钥的鉴权等。
作为在文献中描述的传统技术，提出了利用存储在IC卡中的证书实现个人鉴权的方法(见例如非专利文献1)。在非专利文献1中，未授权使用的阻止是作为实现个人鉴权要研究的一个问题讨论的。在该文献中提出了对未授权人IC卡使用的阻止、未授权人使用IC卡的阻止、盗取私钥的阻止、未授权使用的早期检测、检测后要采取的措施、当IC卡不可用时要采取的措施等。
[非专利文献1]Yoshio Sato所写的“Individual Authentication bySmart Card”UNISYS TECHNOLOGY REVIEW No.73，2002年5月(137-139页)
本发明要解决的问题
在图12(a)和12(b)所示的个人鉴权方法中，IC卡202用于存储用户公钥的数字证书和配对私钥。当利用VPN(虚拟专用网)等从远程基站等进行专用网的连接时，存储在IC卡202中的数字证书和私钥的组合用作用户鉴权手段。即，传统上，不使用证书引入到计算机201上Web浏览器中的方法，而使用证书存储在如可以作为“钥匙”携带的IC卡202的硬件标志中的方法，从而通过利用硬件标志操作个人鉴权设备。
但是，存在如IC卡202的硬件标志丢失或被偷的危险。传统上，一种用于访问硬件标志的口令设置成即使第三方获得该硬件标志也能保护该硬件标志中的信息不被第三方访问。但是，口令并非足够强壮的保护手段，因为它有可能在输入时通过偷窥被窃取或者通过用户无意间写的笔记被泄漏。利用数字证书鉴权的基本目的就是防止这种关于口令的失误。如果只通过使用口令保护智能卡不被访问，则在这一步仍存在安全漏洞。一部分相应的问题在上述非专利文献1中提出，但没有进行提出之后的讨论。只讨论了操作措施，如“不要留在桌子上，等”、“不要用生日等作为PIN”、“通过指示登录日期来实现未授权使用的早期检测”，但这些不是对未授权使用问题的根本解决方案。
发明内容
本发明为解决上述技术问题而实现，本发明的一个目的是大大提高利用如IC卡的硬件标志进行鉴权的系统的安全等级。
本发明的另一个目的是提供使硬件标志只能用于特定计算机的设备。
本发明还有一个目的是提供使硬件标志只能用于由特定认证中心认证的多台计算机或一台计算机的设备。
本发明还有一个目的是提供如IC卡的具有明显提高的防止未授权访问安全等级的硬件标志。
本发明的一个主要特征在于不是口令而是其它数字证书和私钥的组合用作允许访问硬件标志的鉴权手段。即，根据本发明，提供了利用连接到计算机的硬件标志的鉴权方法，该方法包括步骤：通过计算机将来自计算机和认证中心产生的计算机公钥Ck和计算机私钥Ck′的计算机公钥Ck存储在硬件标志中，将存储在硬件标志中的用户公钥Uk从硬件标志读出到计算机，将读出的用户公钥Uk从计算机注册到认证中心，并使计算机接收从认证中心颁发的关于用户公钥Uk的证书，并通过计算机将所颁发的用户公钥Uk的证书存储在硬件标志中。这种方法特征在于硬件标志是IC卡，其中用户公钥Uk和用户私钥Uk′存储在存储器中。
采用本发明的利用硬件标志的鉴权方法包括步骤：在计算机中从硬件标志获得一个或多个在该硬件标志中产生的随机数R，将利用计算机私钥Ck′对所获得的随机数R形成的签名Ck′(R)从计算机返回给硬件标志，使计算机从硬件标志接收由硬件标志利用存储在硬件标志中的计算机公钥Ck对签名Ck′(R)执行的鉴权，并且如果签名Ck′(R)的鉴权成功，则利用存储在硬件标志中的用户公钥Uk和用户私钥Uk′执行用户鉴权。
在本发明的另一方面，采用本发明的鉴权方法包括步骤：使计算机接收从认证中心颁发的计算机公钥Ck的证书，由计算机获得用于在认证中心鉴权的认证中心公钥Ak的证书，将所获得的认证中心公钥Ak的证书从计算机存储到硬件标志中，将存储在硬件标志中的用户公钥Uk读到计算机，将读到的用户公钥Uk从计算机注册到认证中心，使计算机接收从认证中心颁发的关于用户公钥Uk的证书，并将所颁发的用户公钥Uk的证书从计算机存储到硬件标志。
此外，采用本发明的鉴权方法包括步骤：由计算机获得一个或多个在硬件标志中产生的随机数R，将在计算机中利用计算机私钥Ck′对随机数R形成的签名Ck′(R)从计算机发送到硬件标志，将在认证中心中鉴权的计算机公钥Ck的证书从计算机发送到硬件标志，如果计算机公钥Ck被硬件标志利用所存储的用于认证中心的认证中心公钥Ak的证书进行了鉴权，则使计算机接收由硬件标志利用计算机公钥Ck对签名Ck′(R)执行的鉴权，并且如果硬件标志对签名Ck′(R)的鉴权成功，则利用存储在硬件标志中的用户公钥Uk和用户私钥Uk′执行用户鉴权。
在本发明的另一方面，提供了通过连接到计算机被使用的硬件标志，该硬件标志具有存储从计算机获得的计算机公钥Ck的计算机公钥存储器，存储各自用于个人身份鉴权的用户公钥Uk和用户私钥Uk′的用户密钥存储器及向计算机提供所存储的用户公钥Uk、从计算机获得从认证中心颁发的关于用户公钥Uk的用户公钥Uk证书并存储所获得的用户公钥Uk的证书的证书存储器。该硬件标志还具有向计算机提供一个或多个所产生随机数的随机数提供装置，从计算机获得由计算机利用用于计算机的计算机私钥Ck′对随机数形成的签名Ck′(R)的获得装置，及利用存储在计算机公钥存储器中的计算机公钥Ck鉴权由获得装置获得的签名Ck′(R)的鉴权装置。该硬件标志还具有为了用户鉴权，向计算机提供根据用户公钥Uk、用户私钥Uk′及从鉴权服务器提供的随机数R′形成的信息(Uk′(R′))的用户鉴权装置。
在本发明的另一方面，采用本发明的硬件标志包括：存储各自用于个人身份鉴权的用户公钥Uk和用户私钥Uk′的用户密钥存储器，向计算机提供所存储用户公钥Uk、从计算机获得从认证中心颁发的关于用户公钥Uk的用户公钥Uk证书并存储用户公钥Uk证书的证书存储器，及从计算机获得用于认证中心的公钥Ak的证书并存储公钥Ak的证书的认证中心证书存储器。
该硬件标志还包括：向该计算机或其它计算机提供一个或多个随机数的随机数提供装置，从该计算机或其它计算机获得利用随机数提供装置向其提供随机数的该计算机或其它计算机的计算机私钥Ck′对随机数形成的签名Ck′(R)和用于该计算机或其它计算机的计算机公钥Ck的获得装置、利用认证中心公钥Ak鉴权由获得装置获得的计算机公钥Ck的第一鉴权装置、及如果第一鉴权装置确定计算机公钥Ck正确则利用计算机公钥Ck鉴权所获得签名Ck′(R)的第二鉴权装置。
该硬件标志还包括：在第二鉴权装置对签名Ck′(R)鉴权后通过向该计算机或其它计算机提供存储在用户密钥存储器中的用户公钥Uk对用户私钥Uk′执行鉴权的用户鉴权装置。
在本发明的另一方面，采用本发明的硬件标志包括：存储向计算机颁发证书的认证中心公钥Ak的证书的存储器、向计算机提供一个或多个随机数的随机数提供装置、从计算机获得利用计算机的计算机私钥CK′对随机数形成的签名Ck′(R)和计算机的计算机公钥Ck的获得装置、利用认证中心公钥Ak鉴权所获得计算机公钥Ck的第一鉴权装置、及如果第一鉴权装置确定计算机公钥Ck正确则利用计算机公钥Ck鉴权所获得签名Ck′(R)的第二鉴权装置。
获得装置特征在于获得在认证中心鉴权的计算机证书Ck(包括计算机公钥Ck)。
该硬件标志还包括：在第二鉴权装置对签名Ck′(R)鉴权后向计算机提供根据用户公钥Uk、用户私钥Uk′和一个或多个从鉴权服务器提供的随机数R′形成的信息(Uk′(R′))的用户鉴权装置。
本发明还可以理解为通过使用硬件标志执行个人身份鉴权的计算机。该计算机包括：将从计算机产生的计算机公钥Ck和计算机私钥Ck′存储在硬件标志中的存储器、读出存储在硬件标志中的用户公钥Uk的用户公钥读出装置、在认证中心注册读出的用户公钥Uk并接收从认证中心颁发的关于用户公钥Uk的证书的证书接收装置及将由证书接收装置接收的用户公钥Uk的证书存储在硬件标志中的证书存储器。
该计算机还包括：从硬件标志获得一个或多个随机数的随机数获得装置、利用计算机私钥Ck′对由随机数获得装置获得的随机数形成签名Ck′(R)并将该签名Ck′(R)输出到硬件标志的签名输出装置及从硬件标志获得由硬件标志利用存储在硬件标志中的计算机公钥Ck对签名Ck′(R)执行鉴权的结果的获得装置。有利地，这种布置使得只有保留计算机证书和私钥的组合的合法计算机的用户才能访问该智能卡。
因此，在采用本发明的计算机中，计算机公钥Ck和计算机私钥Ck′是由密钥产生装置产生的；所产生的计算机公钥Ck在认证中心注册；计算机公钥Ck的证书和用于认证中心的认证中心公钥Ak的证书由证书获得装置从认证中心获得。可选地，计算机公钥Ck和在认证中心产生的用于认证中心的认证中心公钥Ak是由证书获得装置获得的。所获得的鉴权公钥Ak由认证中心证书存储器存储在硬件标志中，而所存储的用户公钥Uk由用户公钥读出装置读出。其后，读出的用户公钥Uk在认证中心注册，为用户公钥Uk而颁发的证书由证书接收装置接收。所接收的用户公钥Uk的证书由证书存储器存储在硬件标志中。
在本发明的另一方面，采用本发明的计算机包括：存储计算机公钥Ck和计算机私钥Ck′的存储器、从硬件标志获得随机数的随机数获得装置、利用计算机私钥Ck′对由随机数获得装置获得的随机数形成签名Ck′(R)并输出该签名Ck′(R)到硬件标志的签名输出装置、向硬件标志输出存储在存储器中的计算机公钥Ck的公钥输出装置及从硬件标志获得利用存储在硬件标志中的认证中心公钥Ak的证书对计算机公钥Ck执行的鉴权结果和利用鉴权后的计算机公钥Ck对签名Ck′(R)执行的鉴权结果的获得装置。
本发明还可以理解为在计算机中执行的程序，它利用连接到计算机的硬件标志执行个人身份鉴权，该程序使计算机能够执行将计算机的计算机公钥Ck存储在硬件标志中的功能、读出存储在硬件标志中的用户公钥Uk的功能、在认证中心注册读出的用户公钥Uk并接收从认证中心颁发的关于该用户公钥Uk的证书的功能及将所颁发的用户公钥Uk的证书存储在硬件标志中的功能。
该程序使计算机还能执行从硬件标志获得随机数的功能、利用计算机私钥Ck′对所获得的随机数形成签名Ck′(R)并向硬件标志输出该签名Ck′(R)的功能及从硬件标志获得利用存储在硬件标志中的计算机公钥Ck对签名Ck′(R)执行的鉴权结果的功能。
本发明的另一程序使计算机能执行获得用于计算机的计算机公钥Ck的证书和用于认证中心的认证中心公钥Ak的证书的功能、将所获得的认证中心公钥Ak的证书存储在硬件标志的功能、从硬件标志读出存储在硬件标志中的用户公钥Uk的功能、在认证中心注册读出的用户公钥Uk并接收从认证中心颁发的用户公钥Uk的证书的功能及将所接收的用户公钥Uk的证书存储在硬件标志中的功能。
本发明还有另一程序使计算机能执行存储计算机公钥Ck和计算机私钥Ck′的功能、从硬件标志获得随机数的功能、利用计算机私钥Ck′对所获得的随机数形成签名Ck′(R)并将签名Ck′(R)输出到硬件标志的功能、将所存储的计算机公钥Ck输出到硬件标志的功能及从硬件标志获得利用存储在硬件标志中的认证中心公钥Ak的证书对计算机公钥Ck执行的鉴权结果和利用鉴权后的计算机公钥Ck对签名Ck′(R)执行的鉴权结果的功能。
发明优点
根据本发明，其它数字证书和私钥的组合代替口令用作允许访问硬件标志的鉴权手段，从而有效提高了使用硬件标志时防止未授权访问的安全等级。
附图说明
图1是显示在本发明实施方式(实施方式1和实施方式2)中采用本发明的个人鉴权系统全局配置的图；
图2是显示计算机配置(硬件和软件)的方框图；
图3是显示硬件标志硬件配置的方框图；
图4是用于概括关于实施方式1中用户证书安装处理的图；
图5是用于概括关于实施方式1中用户证书使用处理的图；
图6是显示在图4所示用户证书安装时处理的控制流程图；
图7是显示在图5所示用户证书使用时处理的控制流程图；
图8是用于概括关于实施方式2中用户证书安装处理的图；
图9是用于概括关于实施方式2中用户证书使用处理的图；
图10是显示在图8所示用户证书安装时处理的控制流程图；
图11是显示在图9所示用户证书使用时处理的控制流程图；及
图12(a)和12(b)是用于解释使用IC卡的传统口令鉴权方法的图。
附图标记描述
10...计算机(PC)
11...CPU
12...RAM
13...接口(I/F)
14...存储器
20...操作系统(OS)
21...硬件标志驱动器
22...硬件标志设置实用程序
23...公钥和私钥管理/鉴权代理使用实用程序
30...硬件标志
31...CPU
32...RAM
33...ROM
34...接口(I/F)
35...安全性保护存储器
50...认证中心
70...远程系统
71...远程访问装置
72...远程访问鉴权服务器
90...因特网
具体实施方式
本发明的实施方式将参考附图进行描述。
[实施方式1]
图1是显示本发明实施方式(实施方式1和实施方式2)中采用本发明的个人鉴权系统全局配置的图。在本发明实施方式中采用本发明的个人鉴权系统具有作为进行远程访问的客户端PC(个人计算机)的计算机(PC)10和利用计算机10执行个人鉴权的硬件标志30。在图1中还说明了作为通过因特网90连接到计算机10的单元的用于注册和获得用户证书与计算机证书的认证中心50，及例如在公司中包括公司内部系统的远程系统70。远程系统70具有连接到因特网90并能够访问计算机10和被计算机10访问的远程访问装置71及在远程访问时利用用户证书鉴权计算机10的远程访问鉴权服务器72。包括用户证书的各数字证书都包含如序列号、颁发证书的认证中心50的名字、到期日期、所有者(用户)的名字、所有者的公钥等信息。
硬件标志30插入到例如IC卡读/写器中并通过例如USB(通用串行总线)连接到计算机10。用户公钥Uk和用户私钥Uk′存储在硬件标志30中。通常，硬件标志30是统称为SmartCard(商标)的IC卡中的一种。硬件标志30的其它例子是塑料卡、磁卡和光卡。每种可用作硬件标志30的IC卡包括如存储卡和微处理器卡的接触型卡及如近接触型、接近型、邻近型和微波型卡的非接触型卡。
认证中心50是颁发数字证书并确保公钥为真的第三方代理。认证中心50的例子是Toriton，Inc.和VeriSign Japan K.K.。计算机10向认证中心50申请注册用户公钥Uk并从认证中心50获得用户公钥Uk的证书。计算机10通过利用存储在硬件标志30中的用户公钥Uk访问远程访问鉴权服务器72。在远程访问时，远程访问鉴权服务器72通过利用由认证中心50颁发的用户证书鉴权计算机10，从而确保一定的安全性。
当存储在硬件标志30中的用户公钥Uk被读出时，需要从计算机10访问硬件标志30的许可。传统上，口令用作该访问硬件标志30的许可。但是，在这种实施方式中，不同于传统口令的其它数字证书和私钥的组合用于访问许可。例如，计算机证书可用作在此提到的“其它数字证书”和“私钥组合”。目前，在Windows(商标)等系统中，计算机证书还可以针对某一应颁发证书的主题而颁发，对用户也一样。当执行利用计算机证书的智能卡鉴权时，只有具有该计算机证书和私钥组合的计算机的合法用户才能访问硬件标志30。在实施方式1中，在此所使用的“合法”狭义上是指发给用户证书到硬件标志30的用户被允许使用的特定计算机10。以下描述的实施方式2中的“合法”是指其中持有了从特定认证中心50颁发的计算机证书和私钥组合的计算机10。但是，本实施方式(实施方式1和实施方式2)中的方法和基于口令方法的传统鉴权彼此是正交的关系，只有这种实施方式的方法可用于鉴权或利用口令方法的组合可用于鉴权。
图2是显示计算机10配置(硬件和软件)的方框图。计算机10具有充当整个计算机10中枢并在操作系统(OS)20控制下执行各种程序的CPU 11，用作CPU 11的主要工作存储器的RAM 12及通过其执行与硬件标志30的通信的接口(I/F)13。计算机10还具有由例如ROM和如硬盘单元的辅助存储器构成的存储器14。在存储器14中，存储计算机公钥、计算机私钥，如果需要还存储认证中心公钥。如果硬件标志30是例如IC卡，则接口13包括例如IC卡读/写器。
操作系统20事先存储在ROM中，通过在由CPU 11执行时写入RAM 12来执行。这样运行的操作系统20具备驱动硬件标志30的硬件标志驱动器21、作为设置硬件标志30的一段软件的硬件标志设置实用程序22及作为管理公钥和私钥并利用认证中心50的一段软件的公钥和私钥管理/鉴权代理使用实用程序23。
图3是显示硬件标志30硬件配置的方框图。硬件标志30具有用于全局控制的CPU 31、用作CPU 31工作存储器的可重写存储器的RAM 32及其中存储了在硬件标志30中所执行程序的ROM 33。硬件标志30还具有与例如连接到计算机10的IC卡读/写器通信的接口(I/F)34。硬件标志30还具有由例如非易失性存储器构成的安全性保护存储器35。可以使用EEPROM(电可擦除可编程只读存储器)、闪速存储器或FeRAM(铁电随机存取存储器)作为安全性保护存储器35。在安全性保护存储器35中，存储了用户公钥Uk、用户私钥Uk′和计算机公钥Ck或认证中心公钥Ak。如果需要，在口令设置时使用的口令也可以存储在存储器35中。
实施方式1中利用上述功能配置的个人鉴权方法将参考图4至7进行描述。在以下进行的描述中，“用户证书Uk”指在认证中心50鉴权过的用户公钥Uk，“计算机证书Ck”指在认证中心50中鉴权过的计算机公钥Ck，而“认证中心证书Ak”指在认证中心50中鉴权过的认证中心公钥。
图4是概括关于实施方式1中用户证书安装处理的图。计算机10首先将计算机公钥Ck存储在硬件标志30中，并从硬件标志30准备的用户公钥Uk和用户私钥Uk′中读出存储在硬件标志30的存储器中的用户公钥Uk。然后，计算机10向认证中心50申请注册用户公钥Uk并从认证中心50获得用户公钥Uk的证书。其后，计算机10将用户证书Uk(在认证中心50中鉴权过的用户公钥Uk)存储在硬件标志30中。如上所述，当用户证书Uk安装在硬件标志30中时或在用户证书Uk安装在硬件标志30中之前，还要安装硬件标志30的用户可以使用的计算机10的计算机证书Ck。
图5是概括关于实施方式1中用户证书使用处理的图。首先，随机数R从硬件标志30产生并发送到计算机10。计算机10向硬件标志30发回利用计算机私钥Ck′对随机数R形成的签名Ck′(R)。硬件标志30利用Ck认证Ck′(R)，并且如果Ck′(R)正确就允许计算机10访问它。在其后允许访问后，计算机10可以执行包括从硬件标志30读出用户公钥Uk及利用用户私钥Uk′认证的操作。
图6是显示在图4所示用户证书安装时处理的控制流程图。将参考图2和3所示的方框图进行描述。由计算机10的CPU 11执行的公钥和私钥管理/鉴权代理使用实用程序23产生计算机公钥Ck和计算机私钥Ck′(步骤101)。计算机10的硬件标志设置实用程序22将计算机公钥Ck通过I/F(计算机10的接口13和硬件标志30的接口34)存储在硬件标志30的安全性保护存储器35中(步骤102)。
硬件标志30的CPU 31产生用户公钥Uk和用户私钥Uk′(步骤103)并将产生的用户公钥Uk和用户私钥Uk′存储在硬件标志30的安全性保护存储器35中。计算机10的公钥和私钥管理/鉴权代理使用实用程序23通过I/F从硬件标志30读出用户公钥Uk(步骤104)并向认证中心50申请注册用户公钥Uk(步骤105)。在认证中心50中，签名附加到用户公钥Uk(步骤106)，用户公钥Uk的用户证书颁发给计算机10(步骤107)。计算机10的硬件标志设置实用程序22将用户证书Uk(在认证中心50中鉴权过的用户公钥Uk)通过I/F存储在硬件标志30的安全性保护存储器35中(步骤108)。从而完成在用户证书安装时的处理。
图7是显示在图5所示的用户证书使用时处理的控制流程图。硬件标志30的CPU 31产生随机数R(步骤151)并通过I/F(硬件标志30的接口34和计算机10的接口13)将随机数R发送到计算机10(步骤152)。在计算机10中，利用计算机私钥Ck′对随机数R形成签名Ck′(R)(步骤153)。所产生的Ck′(R)通过I/F发送到硬件标志30(步骤154)。
硬件标志30的CPU 31利用计算机公钥Ck认证从计算机10发来的Ck′(R)(步骤155)。CPU 31通过认证确定Ck′(R)是否正确(步骤156)。如果Ck′(R)不正确，则CPU 31执行拒绝处理(步骤157)。如果Ck′(R)正确，则CPU 31通知计算机10 CK′(R)正确(ok)(步骤158)。其后，在计算机10中，利用存储在硬件标志30的安全性保护存储器35中的用户公钥Uk和用户私钥Uk′执行用户鉴权(个人鉴权)并执行各种处理(步骤159)。在远程访问鉴权服务器72中执行鉴权的同时，硬件标志30向计算机10提供基于用户公钥Uk、用户私钥Uk′和从远程访问鉴权服务器72提供的随机数R′的为用户鉴权而准备的信息(Uk′(R′))。在计算机10中，利用信息(Uk′(R′))执行包括对图1所示远程访问鉴权服务器72进行远程访问的操作。
如上所述，根据实施方式1，只有具有与硬件标志30中所存储计算机公钥Ck对应的计算机私钥Ck′的计算机10才能访问硬件标志30。因而可以提高防止未授权使用硬件标志30的安全等级。尽管为了易于说明，上述描述假设只使用一个计算机证书Uk，但多个计算机证书也可以使用。
[实施方式2]
在实施方式1中，只有一台特定的合法计算机10能使用硬件标志30。在实施方式2中，这种使用形式扩充成利用认证中心50的公钥鉴权过的计算机10都能使用硬件标志30。与实施方式1中相同的功能用相同的符号表示，其具体描述将不再重复。
图8是概括关于实施方式2中用户证书安装处理的图。计算机10首先向认证中心50申请注册计算机公钥Ck并接收从认证中心50颁发的计算机公钥Ck的证书和认证中心50的公钥Ak(认证中心公钥Ak)。计算机10将认证中心公钥Ak存储在硬件标志30中。另一方面，硬件标志30形成用户公钥Uk和用户私钥Uk′的组合。计算机10从硬件标志30读出用户公钥Uk，向认证中心50申请注册用户公钥Uk并从认证中心50获得用户公钥Uk的证书。计算机10将用户公钥Uk的证书存储在硬件标志30中。从而，当用户公钥Uk的证书安装在硬件标志30中时或在用户公钥Uk的证书安装在硬件标志30中之前，在认证中心50中鉴权过的认证中心公钥Ak安装在计算机(多台计算机)10中，其中计算机公钥Ck在认证中心50中鉴权，计算机10的使用由硬件标志30的用户允许。
图9是概括关于实施方式2中用户证书使用处理的图。首先，随机数R从硬件标志30产生并发送到计算机10。计算机10利用计算机私钥Ck′对随机数R′形成签名Ck′(R)并将Ck′(R)与计算机证书(包括计算机公钥Ck)一起发送到硬件标志30。硬件标志30利用在认证中心50中鉴权过的认证中心公钥Ak认证Ck。如果Ck正确，则硬件标志30利用Ck认证Ck′(R)。如果Ck′(R)正确，则硬件标志30允许计算机10访问它。在其后允许访问以后，计算机10可以执行包括从硬件标志30读出用户公钥Uk和利用用户私钥Uk′进行认证的操作。
图10是显示在图8所示用户证书安装时处理的控制流程图。将参考图2和3所示的方框图进行描述。由计算机10的CPU 11执行的公钥和私钥管理/鉴权代理使用实用程序23产生计算机公钥Ck和计算机私钥Ck′(步骤201)并向鉴权部分50申请注册计算机公钥Ck(步骤202)。在鉴权部分50中签名附加到计算机公钥Ck(步骤203)，计算机公钥Ck的证书从鉴权部分50颁发到计算机10(步骤204)。而且，在认证中心50中鉴权过的认证中心证书Ak也从认证中心50颁发到计算机10(步骤205)。
计算机10的硬件标志设置实用程序22将在认证中心50中鉴权过的认证中心证书Ak通过I/F(计算机10的接口13和硬件标志30的接口34)存储到硬件标志30的安全性保护存储器35中(步骤206)。硬件标志30的CPU 31产生用户公钥Uk和用户私钥Uk′(步骤207)并将产生的用户公钥Uk和用户私钥Uk′存储在硬件标志30的安全性保护存储器35中。计算机10的公钥和私钥管理/鉴权代理使用实用程序23通过I/F从硬件标志30读出用户公钥Uk(步骤208)并向认证中心50申请注册用户公钥Uk(步骤209)。在认证中心50中，签名附加到用户公钥Uk(步骤210)，而且用户公钥Uk的用户证书Uk颁发(发送)到计算机10(步骤211)。计算机10的硬件标志设置实用程序22将在认证中心50中鉴权过的用户证书Uk通过I/F存储到硬件标志30的安全性保护存储器35中(步骤212)。从而完成用户证书安装时的处理。
图11是显示图9所示用户证书使用时处理的控制流程图。硬件标志30的CPU 31产生随机数R(步骤251)并将随机数R通过I/F(硬件标志30的接口34和计算机10的接口13)发送到计算机10(步骤252)。在计算机10中，利用计算机私钥Ck′对随机数R形成签名Ck′(R)(步骤253)，而且所产生的Ck′(R)通过I/F发送到硬件标志30(步骤254)。同时，在认证中心50中鉴权过的计算机公钥Ck(计算机证书Ck)也发送到硬件标志30(步骤255)。
硬件标志30的CPU 31通过利用存储在安全性保护存储器35中的认证中心公钥Ak认证从计算机10发送的Ck(步骤256)。在硬件标志中，通过认证确定Ck是否正确(步骤257)。如果Ck不正确，则执行拒绝处理(步骤258)。如果Ck正确，则从计算机10发送的Ck′(R)利用该Ck认证(步骤259)。确定Ck′(R)是否正确(步骤260)。如果Ck′(R)不正确，则执行拒绝处理(步骤261)。如果Ck′(R)正确，则指示Ck′(R)正确的信息发送到计算机10(步骤262)。其后，在计算机10中，通过利用存储在硬件标志30的安全性保护存储器35中的用户公钥Uk和用户私钥Uk′执行用户鉴权(个人鉴权)并执行各种处理(步骤263)。在远程访问鉴权服务器72中执行鉴权的同时，硬件标志30向计算机10提供根据用户公钥Uk和用户私钥Uk′为用户鉴权准备的信息(Uk′(R′))。在计算机10中，通过利用信息(Uk′(R′))执行包括对图1所示远程访问鉴权服务器72进行远程访问的操作。
如上所述，根据实施方式2，当利用认证中心公钥Ak认证计算机公钥Ck时，计算机公钥Ck被识别为是正确的，认证是通过利用计算机公钥Ck执行的，从而使得具有在认证中心50中鉴权过的正确计算机公钥Ck和计算机私钥Ck′的计算机10能访问硬件标志30。以这种方式，可以提高防止未授权使用硬件标志30的安全等级。而且，硬件标志30可以与多台在特定认证中心50中鉴权过的计算机10一起使用，从而实现方便性的很大提高。尽管假定只存在一个认证中心证书Ak(在上述站50中鉴权过的认证中心公钥Ak)，但毫无疑问，可以存在多个认证中心公钥Ak。尽管关于计算机公钥Ck和计算机私钥Ck′在计算机10中产生的情况描述了该实施方式，但是在有些情况下认证中心50可以直接产生这些类型的密钥并颁发它们的证书。而且，尽管关于用户公钥Uk和用户私钥Uk′在硬件标志30中产生的情况描述了该实施方式，但是在有些情况下认证中心50可以产生这些类型的密钥。
如上所述，在该实施方式中，不是口令而是其它数字证书(在认证中心50中鉴权过的公钥)和私钥的组合用作允许访问硬件标志30的鉴权手段，由此使得能够识别允许使用硬件标志30的计算机10。因而，硬件标志30的授权使用可以被禁止，而且系统的安全性可以有效地提高。
工业应用性
例如，在如笔记本PC和台式PC的各种计算机中、在如IC卡的硬件标志中及利用这类计算机和硬件标志的网络系统中，可以很好地利用本发明。而且，例如，作为在这类计算机中执行的程序，可以很好地利用本发明。

Claims (27)

1、一种鉴权方法，利用连接到计算机的硬件标志，所述方法包括步骤：
通过计算机将计算机的计算机公钥Ck存储在硬件标志中；
将存储在硬件标志中的用户公钥Uk从硬件标志读出到计算机；
将读出的用户公钥Uk从计算机注册到认证中心，并使计算机接收从认证中心颁发的关于用户公钥Uk的证书；及
通过计算机将所颁发的用户公钥Uk的证书存储在硬件标志中。
2、如权利要求1所述的鉴权方法，其中硬件标志是IC卡，其中用户公钥Uk和用户私钥Uk′存储在存储器中。
3、一种鉴权方法，利用连接到计算机的硬件标志，所述方法包括步骤：
在计算机中从硬件标志获得一个或多个在硬件标志中产生的随机数R；
从计算机向硬件标志返回利用计算机私钥Ck′对随机数R形成的签名Ck′(R)；
使计算机从硬件标志接收由硬件标志利用存储在硬件标志中的计算机公钥Ck对签名Ck′(R)执行的鉴权。
4、如权利要求3所述的鉴权方法，还包括如果签名Ck′(R)的鉴权成功，则通过计算机利用存储在硬件标志中的用户公钥Uk和用户私钥Uk′执行用户鉴权的步骤。
5、一种鉴权方法，利用连接到计算机的硬件标志，所述方法包括步骤：
由计算机获得在认证中心中鉴权的认证中心公钥Ak的证书；
将所获得的认证中心公钥Ak的证书从计算机存储到硬件标志；
将存储在硬件标志中的用户公钥Uk读到计算机；
将读出的用户公钥Uk从计算机注册到认证中心，并使计算机接收从认证中心颁发的关于用户公钥Uk的证书；及
将所颁发的用户公钥Uk的证书从计算机存储到硬件标志。
6、如权利要求5所述的鉴权方法，还包括计算机接收从认证中心颁发的计算机公钥Ck的证书的步骤。
7、一种鉴权方法，利用连接到计算机的硬件标志，所述方法包括步骤：
由计算机获得一个或多个在硬件标志中产生的随机数R；
将在计算机中利用计算机私钥Ck′对随机数R形成的签名Ck′(R)从计算机发送到硬件标志；
将在认证中心中鉴权的计算机公钥Ck的证书从计算机发送到硬件标志；
如果计算机公钥Ck由硬件标志利用所存储的用于认证中心的认证中心公钥Ak的证书进行了鉴权，则使计算机接收由硬件标志利用计算机公钥Ck对签名Ck′(R)执行的鉴权。
8、如权利要求7所述的鉴权方法，还包括如果由硬件标志进行的对签名Ck′(R)的鉴权成功，则利用存储在硬件标志中的用户公钥Uk和用户私钥Uk′执行用户鉴权的步骤。
9、一种硬件标志，通过连接到计算机被使用，所述硬件标志包括：
计算机公钥存储器，存储从计算机获得的计算机公钥Ck；
用户密钥存储器，存储各自用于个人身份鉴权的用户公钥Uk和用户私钥Uk′；及
证书存储器，向计算机提供存储在用户密钥存储器中的用户公钥Uk、从计算机获得从认证中心颁发的关于用户公钥Uk的用户公钥Uk的证书并存储所获得的用户公钥Uk的证书。
10、如权利要求9所述的硬件标志，还包括：
随机数提供装置，向计算机提供一个或多个所产生的随机数；
获得装置，从计算机获得由计算机利用计算机的计算机私钥Ck′对随机数形成的签名Ck′(R)；及
鉴权装置，利用存储在所述计算机公钥存储器中的计算机公钥Ck鉴权由所述获得装置获得的签名Ck′(R)。
11、如权利要求10所述的硬件标志，还包括：用户鉴权装置，为了用户鉴权向计算机提供基于用户公钥Uk、用户私钥Uk′和从鉴权服务器提供的随机数R′形成的信息(Uk′(R′))。
12、一种硬件标志，通过连接到计算机被使用，所述硬件标志包括：
用户密钥存储器，存储各自用于个人身份鉴权的用户公钥Uk和用户私钥Uk′；
证书存储器，向计算机提供存储在用户密钥存储器中的用户公钥Uk、从计算机获得从认证中心颁发的关于用户公钥Uk的用户公钥Uk的证书并存储用户公钥Uk的证书；及
认证中心证书存储器，从计算机获得认证中心公钥Ak的证书并存储公钥Ak的证书。
13、如权利要求12所述的硬件标志，还包括：
随机数提供装置，向该计算机或其它计算机提供一个或多个随机数；
获得装置，从该计算机或其它计算机获得利用由所述随机数提供装置提供给随机数的该计算机或其它计算机的计算机私钥Ck′对随机数形成的签名Ck′(R)及该计算机或其它计算机的计算机公钥Ck；
第一鉴权装置，利用认证中心的公钥Ak鉴权由所述获得装置获得的计算机公钥Ck；及
第二鉴权装置，如果所述第一鉴权装置确定计算机公钥Ck正确，则利用计算机公钥Ck鉴权由所述获得装置获得的签名Ck′(R)。
14、如权利要求13所述的硬件标志，还包括：用户鉴权装置，在由所述第二鉴权装置对签名Ck′(R)鉴权后，通过向该计算机或其它计算机提供存储在所述用户密钥存储器中的用户公钥Uk利用用户私钥Uk′执行鉴权。
15、一种硬件标志，通过连接到计算机被使用，所述硬件标志包括：
存储向计算机颁发证书的认证中心公钥Ak的证书的存储器；
随机数提供装置，向计算机提供一个或多个随机数；
获得装置，从计算机获得利用该计算机的计算机私钥Ck′对随机数形成的签名Ck′(R)和该计算机的计算机公钥Ck；
第一鉴权装置，利用认证中心的公钥Ak对由所述获得装置获得的计算机公钥Ck执行鉴权；
第二鉴权装置，如果所述第一鉴权装置确定计算机公钥Ck为真，则利用计算机公钥Ck对由所述获得装置获得的签名Ck′(R)执行鉴权。
16、如权利要求15所述的硬件标志，其中所述获得装置获得在认证中心鉴权的计算机证书Ck，该计算机证书Ck包括计算机公钥Ck。
17、如权利要求15所述的硬件标志，还包括：用户鉴权装置，在由所述第二鉴权装置对签名Ck′(R)鉴权后，向计算机提供基于用户公钥Uk、用户私钥Uk′和一个或多个从鉴权服务器提供的随机数R′形成的信息(Uk′(R′))。
18、一种计算机，利用硬件标志执行个人身份鉴权，所述计算机包括：
在硬件标志中存储从计算机Ck和计算机私钥Ck′产生的计算机公钥Ck的存储器；
用户公钥读出装置，读出存储在硬件标志中的用户公钥Uk；
证书接收装置，将读出的用户公钥Uk在认证中心中注册并接收从认证中心颁发的关于用户公钥Uk的证书；及
证书存储器，在硬件标志中存储由所述证书接收装置接收的用户公钥Uk的证书。
19、如权利要求18所述的计算机，还包括：
随机数获得装置，从所述硬件标志获得一个或多个随机数；
签名输出装置，利用计算机私钥Ck′对由所述随机数获得装置获得的随机数形成签名并将该签名Ck′(R)输出到所述硬件标志；及
获得装置，从所述硬件标志获得由所述硬件标志利用由存储器存储在硬件标志中的计算机公钥Ck对签名Ck′(R)执行的鉴权结果。
20、一种计算机，利用硬件标志执行个人身份鉴权，所述计算机包括：
证书获得装置，获得认证中心的认证中心公钥Ak的证书；
认证中心证书存储器，在硬件标志中存储由所述证书获得装置获得的认证中心公钥Ak的证书；
用户公钥读出装置，读出存储在硬件标志中的用户公钥Uk；
证书接收装置，将读出的用户公钥Uk在认证中心中注册并接收从认证中心颁发的关于用户公钥Uk的证书；及
证书存储器，在硬件标志中存储由所述证书接收装置接收的用户公钥Uk的证书。
21、如权利要求20所述的计算机，其中所述证书获得装置从认证中心获得计算机公钥Ck的证书。
22、一种计算机，利用硬件标志执行个人身份鉴权，所述计算机包括：
存储计算机公钥Ck和计算机私钥Ck′的存储器；
随机数获得装置，从硬件标志获得一个或多个随机数；
签名输出装置，通过利用计算机私钥Ck′对由所述随机数获得装置获得的随机数形成签名Ck′(R)，并将签名Ck′(R)输出到硬件标志；及
获得装置，从硬件标志获得利用存储在硬件标志中的认证中心公钥Ak的证书对计算机公钥Ck执行鉴权的结果及利用计算机鉴权后的公钥Ck对签名Ck′(R)执行鉴权的结果。
23、如权利要求22所述的计算机，其中所述公钥读出装置输出由认证中心鉴权的计算机证书Ck，该计算机证书Ck包括计算机公钥Ck。
24、一种程序，操作利用连接到计算机的硬件标志执行个人身份鉴权的计算机，所述程序使计算机执行：
将计算机的计算机公钥Ck存储在硬件标志中的功能；
读出存储在硬件标志中的用户公钥Uk的功能；
将读出的用户公钥Uk在认证中心中注册并接收从认证中心颁发的关于用户公钥Uk的证书的功能；及
将所颁发的用户公钥Uk的证书存储在硬件标志中的功能。
25、如权利要求24所述的程序，其中该程序使计算机还执行：
从硬件标志获得一个或多个随机数的功能；
利用计算机私钥Ck′对所获得的随机数形成签名Ck′(R)并将签名Ck′(R)输出到硬件标志的功能；及
从硬件标志获得利用存储在硬件标志中的计算机公钥Ck对签名Ck′(R)执行的鉴权结果的功能。
26、一种程序，操作利用连接到计算机的硬件标志执行个人身份鉴权的计算机，所述程序使计算机执行：
获得计算机的计算机公钥Ck的证书与认证中心的认证中心公钥Ak的证书的功能；
将所获得的认证中心公钥Ak的证书存储在硬件标志中的功能；
读出存储在硬件标志中的用户公钥Uk的功能；
将读出的用户公钥Uk在认证中心中注册并接收从认证中心颁发的用户公钥Uk的证书的功能；及
将所接收的用户公钥Uk的证书存储在硬件标志中的功能。
27、一种程序，操作利用连接到计算机的硬件标志执行个人身份鉴权的计算机，所述程序使计算机执行：
存储计算机公钥Ck和计算机私钥Ck′的功能；
从硬件标志获得一个或多个随机数的功能；
利用计算机私钥Ck′对所获得的随机数形成签名Ck′(R)并将签名Ck′(R)输出到硬件标志的功能；
将所存储的计算机公钥Ck输出到硬件标志的功能；及
从硬件标志获得利用存储在硬件标志中的认证中心公钥Ak的证书对计算机公钥Ck执行的鉴权结果及利用鉴权的计算机公钥Ck对签名Ck′(R)执行的鉴权结果的功能。
CN2005100519936A 2004-02-27 2005-02-23 用于鉴权的方法、硬件标志及计算机 Pending CN1661961A (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2004052835A JP4420201B2 (ja) 2004-02-27 2004-02-27 ハードウェアトークンを用いた認証方法、ハードウェアトークン、コンピュータ装置、およびプログラム
JP2004052835 2004-02-27

Publications (1)

Publication Number Publication Date
CN1661961A true CN1661961A (zh) 2005-08-31

Family

ID=34747531

Family Applications (1)

Application Number Title Priority Date Filing Date
CN2005100519936A Pending CN1661961A (zh) 2004-02-27 2005-02-23 用于鉴权的方法、硬件标志及计算机

Country Status (5)

Country Link
US (2) US7752445B2 (zh)
EP (1) EP1571525B1 (zh)
JP (1) JP4420201B2 (zh)
CN (1) CN1661961A (zh)
TW (1) TWI335750B (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101212293B (zh) * 2006-12-31 2010-04-14 普天信息技术研究院 一种身份认证方法及系统
CN102834830A (zh) * 2010-04-22 2012-12-19 联邦印刷有限公司 从id-令牌中读取属性的程序
CN109495429A (zh) * 2017-09-12 2019-03-19 华为技术有限公司 一种鉴权方法、终端及服务器

Families Citing this family (31)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3758554B2 (ja) * 2001-10-31 2006-03-22 ソニー株式会社 情報提供システム及び情報提供方法、記憶媒体、並びにコンピュータ・プログラム
US7895443B2 (en) * 2002-11-05 2011-02-22 Safenet, Inc. Secure authentication using hardware token and computer fingerprint
EP1770584B1 (en) * 2005-09-27 2019-03-06 Omron Corporation Programmable controller system and aid device for control program development therefor
JP2007143066A (ja) * 2005-11-22 2007-06-07 Canon Inc 撮像装置及び鍵管理方法
US7751339B2 (en) 2006-05-19 2010-07-06 Cisco Technology, Inc. Method and apparatus for simply configuring a subscriber appliance for performing a service controlled by a separate service provider
US20070283143A1 (en) * 2006-06-06 2007-12-06 Kabushiki Kaisha Toshiba System and method for certificate-based client registration via a document processing device
US20090271876A1 (en) * 2006-09-11 2009-10-29 Nobuya Takagi Ic card, and access control method thereof
US8166532B2 (en) * 2006-10-10 2012-04-24 Honeywell International Inc. Decentralized access control framework
GB2435533B (en) * 2006-11-23 2008-03-05 Richard Mervyn Gardner Integrated systems for simultaneous mutual authentication of database and user
US8387124B2 (en) * 2007-03-15 2013-02-26 Palo Alto Research Center Incorporated Wormhole devices for usable secure access to remote resource
DE102007019541A1 (de) * 2007-04-25 2008-10-30 Wincor Nixdorf International Gmbh Verfahren und System zum Authentifizieren eines Benutzers
WO2009052634A1 (en) * 2007-10-24 2009-04-30 Securekey Technologies Inc. Method and system for effecting secure communication over a network
GB2480581B (en) * 2009-03-12 2014-05-07 Hewlett Packard Development Co Dynamic remote peripheral binding
US9015489B2 (en) * 2010-04-07 2015-04-21 Microsoft Technology Licensing, Llc Securing passwords against dictionary attacks
US8751827B1 (en) * 2010-06-25 2014-06-10 Emc Corporation Apparatus for controlling embedded security on a storage platform
DE102010030590A1 (de) * 2010-06-28 2011-12-29 Bundesdruckerei Gmbh Verfahren zur Erzeugung eines Zertifikats
DE102010041804A1 (de) * 2010-09-30 2012-04-05 Siemens Aktiengesellschaft Verfahren zur sicheren Datenübertragung mit einer VPN-Box
WO2012147178A1 (ja) * 2011-04-27 2012-11-01 三菱電機株式会社 数値制御装置システム
US8842840B2 (en) 2011-11-03 2014-09-23 Arvind Gidwani Demand based encryption and key generation and distribution systems and methods
US20130126619A1 (en) * 2011-11-18 2013-05-23 Unisys Corporation Method and system for certifying contact information
WO2013089725A1 (en) 2011-12-15 2013-06-20 Intel Corporation Method and device for secure communications over a network using a hardware security engine
CN104246784B (zh) * 2011-12-15 2017-11-17 英特尔公司 用于保护和安全地传输媒体内容的方法、设备和系统
WO2013089728A1 (en) 2011-12-15 2013-06-20 Intel Corporation Method, device, and system for securely sharing media content from a source device
US20130311382A1 (en) 2012-05-21 2013-11-21 Klaus S. Fosmark Obtaining information for a payment transaction
US9642005B2 (en) * 2012-05-21 2017-05-02 Nexiden, Inc. Secure authentication of a user using a mobile device
CN103634265B (zh) * 2012-08-20 2019-01-11 腾讯科技（深圳）有限公司 安全认证的方法、设备及系统
US9819661B2 (en) * 2013-09-12 2017-11-14 The Boeing Company Method of authorizing an operation to be performed on a targeted computing device
US10169719B2 (en) * 2015-10-20 2019-01-01 International Business Machines Corporation User configurable message anomaly scoring to identify unusual activity in information technology systems
US10334434B2 (en) * 2016-09-08 2019-06-25 Vmware, Inc. Phone factor authentication
TWI690820B (zh) * 2019-01-15 2020-04-11 臺灣網路認證股份有限公司 以嵌入式瀏覽器模組管理憑證之系統及方法
JP6735867B2 (ja) * 2019-03-04 2020-08-05 マイクロ モーション インコーポレイテッド ドングルを用いたインターフェースへのアクセスの制御

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5315657A (en) * 1990-09-28 1994-05-24 Digital Equipment Corporation Compound principals in access control lists
US5701343A (en) * 1994-12-01 1997-12-23 Nippon Telegraph & Telephone Corporation Method and system for digital information protection

Family Cites Families (33)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
SE470001B (sv) * 1991-09-12 1993-10-18 Televerket Förfarande för identifiering och kryptonyckelutbyte mellan två kommunicerande apparater för krypterad trafik
US5544246A (en) 1993-09-17 1996-08-06 At&T Corp. Smartcard adapted for a plurality of service providers and for remote installation of same
US6088450A (en) * 1996-04-17 2000-07-11 Intel Corporation Authentication system based on periodic challenge/response protocol
JP3086887B2 (ja) * 1996-08-08 2000-09-11 株式会社ローレルインテリジェントシステムズ 情報伝達方法、情報発信方法、情報再生方法及び通信装置
US6212634B1 (en) * 1996-11-15 2001-04-03 Open Market, Inc. Certifying authorization in computer networks
US6233685B1 (en) * 1997-08-29 2001-05-15 Sean William Smith Establishing and employing the provable untampered state of a device
JP3688879B2 (ja) 1998-01-30 2005-08-31 株式会社東芝 画像認識装置、画像認識方法及びその記録媒体
US6754820B1 (en) * 2001-01-30 2004-06-22 Tecsec, Inc. Multiple level access system
US6607136B1 (en) 1998-09-16 2003-08-19 Beepcard Inc. Physical presence digital authentication system
US6988250B1 (en) * 1999-02-15 2006-01-17 Hewlett-Packard Development Company, L.P. Trusted computing platform using a trusted device assembly
JP4176898B2 (ja) * 1999-02-19 2008-11-05 株式会社東芝 個人認証システム、それに使用される携帯装置及び記憶媒体
DE60007724T3 (de) * 1999-03-05 2011-06-09 Hewlett-Packard Development Co., L.P., Houston Chipkarten-benutzerschnittstelle für eine vertraute computerplattform
US7036738B1 (en) 1999-05-03 2006-05-02 Microsoft Corporation PCMCIA-compliant smart card secured memory assembly for porting user profiles and documents
JP2001066989A (ja) * 1999-08-31 2001-03-16 Fuji Xerox Co Ltd 一方向性関数生成方法，一方向性関数値生成装置，証明装置，認証方法および認証装置
US7069440B2 (en) * 2000-06-09 2006-06-27 Northrop Grumman Corporation Technique for obtaining a single sign-on certificate from a foreign PKI system using an existing strong authentication PKI system
GB0020416D0 (en) * 2000-08-18 2000-10-04 Hewlett Packard Co Trusted system
KR20020060572A (ko) 2001-01-11 2002-07-18 포만 제프리 엘 개인용 컴퓨터가 허가되지 않은 사용자에 의해 사용되는것을 방지하기 위한 보안 시스템
JP2002279390A (ja) 2001-03-15 2002-09-27 Sony Corp データアクセス制御システム、メモリ搭載デバイス、およびデータアクセス制御方法、並びにプログラム記憶媒体
JP2002281025A (ja) 2001-03-16 2002-09-27 Nippon Telegr & Teleph Corp <Ntt> カード内情報の外部出力装置への出力方法及び装置
JP2002312325A (ja) 2001-04-13 2002-10-25 Nippon Telegr & Teleph Corp <Ntt> Ｉｃカードと連携したサービスアクセス端末装置ならびにその方法
US6834795B1 (en) * 2001-06-29 2004-12-28 Sun Microsystems, Inc. Secure user authentication to computing resource via smart card
US6983364B2 (en) * 2001-06-29 2006-01-03 Hewlett-Packard Development Company, Lp. System and method for restoring a secured terminal to default status
JP2003036023A (ja) 2001-07-25 2003-02-07 Toyo Eng Corp ネットワークシステムおよびそれを用いた情報送信方法
US6990471B1 (en) * 2001-08-02 2006-01-24 Oracle International Corp. Method and apparatus for secure electronic commerce
JP2003044436A (ja) 2001-08-02 2003-02-14 Sony Corp 認証処理方法、および情報処理装置、並びにコンピュータ・プログラム
JP4602606B2 (ja) * 2001-08-15 2010-12-22 ソニー株式会社 認証処理システム、認証処理方法、および認証デバイス、並びにコンピュータ・プログラム
JP4969745B2 (ja) 2001-09-17 2012-07-04 株式会社東芝 公開鍵基盤システム
JP2003115841A (ja) 2001-10-05 2003-04-18 Ducomm Inc 電子認証方法および電子認証装置
US7206936B2 (en) * 2001-12-19 2007-04-17 Northrop Grumman Corporation Revocation and updating of tokens in a public key infrastructure system
JP2003298574A (ja) 2002-03-29 2003-10-17 Toshiba Corp 電子機器、認証局、電子機器認証システム、電子機器の認証方法
JP4009131B2 (ja) 2002-04-23 2007-11-14 日本電信電話株式会社 共通テナント管理者によるｉｃカード相互運用方法及びシステム
JP4253167B2 (ja) 2002-06-28 2009-04-08 エヌ・ティ・ティ・コミュニケーションズ株式会社 個人情報アクセス制御方法、端末、システム、並びに、プログラム
US7895443B2 (en) * 2002-11-05 2011-02-22 Safenet, Inc. Secure authentication using hardware token and computer fingerprint

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5315657A (en) * 1990-09-28 1994-05-24 Digital Equipment Corporation Compound principals in access control lists
US5701343A (en) * 1994-12-01 1997-12-23 Nippon Telegraph & Telephone Corporation Method and system for digital information protection

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101212293B (zh) * 2006-12-31 2010-04-14 普天信息技术研究院 一种身份认证方法及系统
CN102834830A (zh) * 2010-04-22 2012-12-19 联邦印刷有限公司 从id-令牌中读取属性的程序
CN102834830B (zh) * 2010-04-22 2016-08-17 联邦印刷有限公司 从id-令牌中读取属性的程序
CN109495429A (zh) * 2017-09-12 2019-03-19 华为技术有限公司 一种鉴权方法、终端及服务器
CN109495429B (zh) * 2017-09-12 2020-08-07 华为技术有限公司 一种鉴权方法、终端及服务器

Also Published As

Publication number Publication date
US7752445B2 (en) 2010-07-06
US20100325428A1 (en) 2010-12-23
JP4420201B2 (ja) 2010-02-24
US8271781B2 (en) 2012-09-18
EP1571525A1 (en) 2005-09-07
US20060005011A1 (en) 2006-01-05
EP1571525B1 (en) 2012-06-27
JP2005242745A (ja) 2005-09-08
TW200539644A (en) 2005-12-01
TWI335750B (en) 2011-01-01

Similar Documents

Publication Publication Date Title
CN1661961A (zh) 用于鉴权的方法、硬件标志及计算机
JP6789264B2 (ja) バーコードを使用する身元認証
US20080120698A1 (en) Systems and methods for authenticating a device
US20080120707A1 (en) Systems and methods for authenticating a device by a centralized data server
CN1281608A (zh) 利用生物统计数据生成密码密钥
CN1889432A (zh) 基于智能卡的口令远程认证方法、智能卡、服务器和系统
KR20140135836A (ko) 임베디드 컨트롤러를 통한 시스템용 센서 데이터의 보안 강화
CN103093136B (zh) 一种java应用访问智能密钥装置的方法
CN1527208A (zh) 基于身份认证的计算机安全及加密的实现方法和装置
JP2015088080A (ja) 認証システム、認証方法、及びプログラム
CN1838141A (zh) 利用移动电话增强访问计算机应用系统的安全性的技术
CN1195275C (zh) 安全设备
WO2011005869A2 (en) Method and system for generating and using biometrically secured embedded tokens in documents
CN1925398A (zh) 一种基于预运算的密码卡动态认证方法及系统
CN1494686A (zh) 使用改进的密码输入方法的用户识别
CN102222195B (zh) 电子书阅读方法和系统
CN200983153Y (zh) 具有按键的加密签名手写板
CN1466061A (zh) 自动随机一次性密码提高网络交易安全的认证方法
WO2006093238A1 (ja) 認証補助装置、認証主装置、集積回路及び認証方法
RU2573235C2 (ru) Система и способ проверки подлинности идентичности личности, вызывающей данные через компьютерную сеть
CN1193298C (zh) 以存储卡来保护文件的系统与方法
US20120300246A1 (en) Token Generation From A Printer
JP4760124B2 (ja) 認証装置、登録装置、登録方法及び認証方法
JP4199156B2 (ja) 管理システム及び管理方法
CN102457484A (zh) 用户名密码认证加校验码两者集合来验证用户信息的方法

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C12 Rejection of a patent application after its publication
RJ01 Rejection of invention patent application after publication

Application publication date: 20050831