CZ2021366A3 - Systém a způsob pro řízený přístup k cílové aplikaci - Google Patents

Systém a způsob pro řízený přístup k cílové aplikaci Download PDF

Info

Publication number
CZ2021366A3
CZ2021366A3 CZ2021-366A CZ2021366A CZ2021366A3 CZ 2021366 A3 CZ2021366 A3 CZ 2021366A3 CZ 2021366 A CZ2021366 A CZ 2021366A CZ 2021366 A3 CZ2021366 A3 CZ 2021366A3
Authority
CZ
Czechia
Prior art keywords
user
program
authentication
authenticator
browser
Prior art date
Application number
CZ2021-366A
Other languages
English (en)
Inventor
Libor Neumann
CSc Neumann Libor Ing.
Original Assignee
Aducid S.R.O.
ADUCID s.r.o
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Aducid S.R.O., ADUCID s.r.o filed Critical Aducid S.R.O.
Priority to CZ2021-366A priority Critical patent/CZ2021366A3/cs
Priority to EP22755065.4A priority patent/EP4381691A1/en
Priority to PCT/CZ2022/050071 priority patent/WO2023011675A1/en
Publication of CZ2021366A3 publication Critical patent/CZ2021366A3/cs

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/166—Implementing security features at a particular protocol layer at the transport layer

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Storage Device Security (AREA)
  • Computer And Data Communications (AREA)

Abstract

Vynález poskytuje systém pro řízený přístup uživatele k poskytovatelům služeb a/nebo k cílovým, zejména webovým, aplikacím. Uvedený systém obsahuje klientskou část a serverovou část. Klientská část zahrnuje autentizátor (3), vestavěný prohlížeč (1) a modul (4) datového kanálu. Autentizátor (3) je uzpůsoben pro autentizaci uživatele (8), a dále je uzpůsoben pro komunikaci s uživatelem prostřednictvím grafického uživatelského rozhraní vestavěného prohlížeče pomocí grafických a řídicích primitiv autentizátoru (2) a/nebo prostřednictvím samostatného grafického uživatelského rozhraní autentizátoru. Modul (4) datového kanálu je uzpůsoben pro komunikaci se servery poskytovatelů (60) služeb protokolem http/https, pro komunikaci s vestavěným prohlížečem (1) a pro komunikaci s autentizátorem (3). Klientská část dále obsahuje paměť (5) programů, paměť (6) proměnných a řídicí modul (7) uzpůsobený pro řízení provedení programů uložených v paměti (5) programů. Serverová část zahrnuje alespoň jeden autentizační server (73) správce (70) řízení prohlížeče. Vynález zahrnuje též počítačem realizovaný způsob řízeného přístupu uživatele k poskytovatelům služeb a/nebo aplikacím.

Description

Systém a způsob pro řízený přístup k cílové aplikaci
Oblast techniky
Předkládaný vynález se týká systému a způsobu řízeného přístupu uživatele k cílové aplikaci a/nebo k poskytovateli služeb s využitím tohoto programového systému.
Dosavadní stav techniky
Pro práci s webovými aplikacemi v současnosti uživatelé běžně používají různé webové prohlížeče (browser) od různých výrobců (Internet Explorer, Edge, Safari, Chrome, Opera, Firefox a další). Tyto prohlížeče uživatelům nabízejí řadu de facto standardních funkcionalit.
Existují různá vylepšení uživatelské zkušenosti při práci s webovými aplikacemi. Jedná se o specializované vestavěné funkčnosti prohlížečů různých dodavatelů. Jde například o možnosti nastavení a personalizace grafického rozhraní, jako je nastavení oblíbených URL adres, možnosti zapamatování a vyplňování hesel apod.
Existují další rozšíření funkčnosti prohlížečů (plug-in), které si může uživatel do svého prohlížeče nainstalovat a tím funkčnost svého prohlížeče dále rozšířit.
Zejména z důvodu dodatečně zjištěných bezpečnostních rizik se tyto možnosti v čase mění. Tak se stává, že po provedení aktualizace prohlížeče přestanou některá rozšíření být podporována či jsou dokonce zakázána.
Společnou vlastností dnes používaných prohlížečů je, že je ovládají a nastavují sami uživatelé. To od uživatele vyžaduje určité odborné znalosti a komplikuje to uživatelskou zkušenost. Jaké jsou odborné nároky kladené na uživatele? Například očekávání, že uživatel bude rozumět práci se serverovými certifikáty, že bude umět odlišit pravý certifikát od podvrženého. Proto jsou zavedena organizační a technologická opatření, které tomu mají pomoci. Jedná se např. o tak zvané „zelené certifikáty“, tedy celý soubor postupů a technických opatření, který má zajistit, aby pravé certifikáty prohlížeč označil zelenou barvou, a tím dal uživateli srozumitelný signál, že připojení je bezpečné. Očekává se, že uživatel si takového signálu všimne a správně na něj zareaguje. Zároveň ale existují i postupy útočníků, které umí podvrhnout falešný certifikát a přitom zajistit, že jej prohlížeč označí zelenou barvou. To pro uživatele představuje nezanedbatelné bezpečnostní riziko, jelikož běžný uživatel především v oblasti kybernetické bezpečnosti nedisponuje dostatečnou kvalifikovaností.
Běžný uživatel dnes používá desítky až stovky webových stránek, služby desítek poskytovatelů. Autentizace k těmto stránkám bývá běžně založena na technice uživatelské jméno/heslo. To vyžaduje od uživatele správu velkého množství hesel. Bezpečnostní doporučení vesměs preferují složitá hesla, navíc hesla, která se mají, pokud možno, často měnit. Z pochopitelných bezpečnostních důvodů není vhodné používat stejná hesla pro více účtů ani stará dříve použitá hesla. To ale na uživatele klade téměř nesplnitelné nároky. Proto existují specializované aplikace či služby usnadňující tuto úlohu, tzv. „password manager“. I tyto aplikace jsou však spravovány pouze uživatelem samotným. Volba vhodného řešení a jeho správné používání vždy závisí jen na uživateli, který nedisponuje dostatečným know-how v oblasti kybernetické bezpečnosti. To je reálná uživatelská komplikace a zároveň neřiditelné bezpečnostní riziko.
Přihláška vynálezu PV 2020-271 řeší problém zlepšení bezpečnosti autentizace a uživatelského komfortu při autentizaci pro webové aplikace tím, že poskytuje programový systém obsahující vestavěný prohlížeč, autentizátor a modul datového kanálu. Tento systém však stále zcela neřeší výše uvedená bezpečnostní rizika.
- 1 CZ 2021 - 366 A3
Podstata vynálezu
Předmětem vynálezu je systém pro řízený přístup uživatele k poskytovatelům služeb a/nebo k cílovým, zejména webovým, aplikacím, kde uvedený systém obsahuje klientskou část a serverovou část.
Klientská část zahrnuje autentizátor, vestavěný prohlížeč a modul datového kanálu, přičemž autentizátor je uzpůsoben pro autentizaci uživatele, a popřípadě i pro autentizaci datového kanálu a provázání autentizace uživatele s autentizovaným kanálem, a autentizátor je dále uzpůsoben pro komunikaci s uživatelem prostřednictvím grafického uživatelského rozhraní (GUI) vestavěného prohlížeče pomocí grafických a řídicích primitiv autentizátoru a/nebo prostřednictvím samostatného grafického uživatelského rozhraní (GUI) autentizátoru, přičemž modul datového kanálu je uzpůsoben pro komunikaci se servery poskytovatelů služeb protokolem http/https, pro komunikaci s vestavěným prohlížečem a pro komunikaci s autentizátorem, přičemž klientská část dále obsahuje paměť programů, paměť proměnných a řídicí modul uzpůsobený pro řízení provedení programů uložených v paměti programů, a serverová část zahrnuje alespoň jeden autentizační server správce řízení prohlížeče.
Klientská část systému obvykle komunikuje se serverem poskytovatele služeb, a to za účelem poskytnutí služeb nebo přístupu k datům, přičemž poskytnutí služeb nebo přístup k datům vyžadují autentizaci uživatele a/nebo zařízení.
Za účelem získání a aktualizace programů a pravidel pro jejich provádění klientská část systému dále komunikuje s autentizačním serverem správce řízení prohlížeče. S výhodou tato komunikace probíhá na straně klientské části prostřednictvím autentizátoru.
Klientská část systému obsahující paměť programů, paměť proměnných a řídicí modul uzpůsobený pro řízení provedení programů uložených v paměti programů může být na jednom nebo na více zařízeních uživatele a tvoří na každém zařízení uživatele jednu softwarovou jednotku. Na mobilních zařízeních se taková softwarová jednotka typicky nazývá mobilní aplikace. Na počítači se taková softwarová jednotka typicky nazývá aplikace nebo program.
Řídicí modul je uzpůsoben pro sledování veškeré komunikace vestavěného webového prohlížeče se servery poskytovatelů služeb. Řídicí modul podle předem definovaných pravidel (pravidel spuštění) spouští vhodný program z paměti programů. Pravidlem spuštění může být typicky načtení URL webové stránky poskytovatele služeb a/nebo příkaz zadaný prostřednictvím vestavěného webového prohlížeče uživatelem.
V případě, že je předem definované pravidlo spuštění splněno, řídicí modul předá kód programu k provedení, s výhodou program provede vestavěný webový prohlížeč.
Programy jsou počítačové programy vytvořené pro konkrétní použití, například pro konkrétní server nebo webové rozhraní nebo webovou stránku poskytovatele služeb. Program je typicky určen pro ověření certifikátu dané webové stránky porovnáním s certifikátem nebo z něj odvozenými informacemi, které program obsahuje; a/nebo je program typicky určen pro autentizační komunikaci s webovou stránkou poskytovatele služeb; a/nebo je program určen pro zjednodušení uživatelské interakce.
Programy i pravidla pro jejich spuštění řídicím modulem se do paměti programů a do řídicího modulu instalují z jednoho nebo více autentizačních serverů správce/správců řízení prohlížeče, které klientská část systému vyhodnocuje jako důvěryhodné. Klientská část systému může mít například seznam důvěryhodných serverů, nebo se může používat oboustranná autentizace, kdy klientská část (klientské zařízení) se autentizuje k autentizačnímu serveru a autentizační server se autentizuje ke klientské části, jak je popsáno například v CZ 306790 nebo EP 2208335).
- 2 CZ 2021 - 366 A3
Není zde vyloučeno, že jeden nebo více poskytovatelů služeb zároveň plní funkci správce řízení prohlížeče. Tedy že autentizační server poskytovatele služeb zároveň plní funkci autentizačního serveru správce řízení prohlížeče.
Program v libovolné podobě, např. zdrojový kód nebo přeložený spustitelný kód (s výhodou může být použit JavaScript), se do paměti programů přenese jako data z autentizačního serveru správce řízení prohlížeče. Systém zajistí, aby se na zařízení oprávněných uživatelů přenesly správné programy. Před přenosem programů může autentizační server vyžadovat autentizaci uživatele. To znamená, že systém zajišťuje, aby jen autentizovaní uživatelé s příslušnými oprávněními měli k dispozici na svých zařízeních odpovídající programy.
Autentizační server(y) správce řízení prohlížeče ve spolupráci s autentizátorem mohou s výhodou řídit pravidla přenosu a správy programů. To spočívá především v tom, že autentizační server(y) a/nebo autentizátor mohou určovat, které autentizační servery jsou důvěryhodné, a smějí tedy přenášet programy do paměti programů, a případně určovat jaký typ programů může daný důvěryhodný autentizační server přenášet do paměti programů. K tomu lze využívat například technologie zabezpečené komunikace mezi více subjekty, zejména s využitím autentizačních objektů, jak je popsáno např. v EP 3320666.
Programy mohou využívat proměnné z paměti proměnných. Pokud program potřebuje hodnotu proměnné, najde si ji v paměti proměnných. Program může zapisovat hodnotu proměnné nebo číst hodnotu proměnné.
Hodnoty proměnných mohou být s výhodou zašifrované, a to tak, že lze hodnotu proměnné přečíst jen tehdy, pokud je úspěšně ukončena autentizace uživatele.
V jednom výhodném provedení šifrovací klíč pro rozšifrování hodnoty proměnné není uložen na stejném zařízení jako paměť proměnných, ale je uložen na autentizačním serveru, k němuž se musí uživatel nebo zařízení autentizovat. V dalším výhodném provedení je šifrovací klíč pro rozšifrování hodnoty proměnné uložen na stejném zařízení jako paměť proměnných, přičemž je šifrovací klíč zašifrován pomocí veřejného klíče příslušejícího k privátnímu klíči uloženém na autentizačním serveru, k němuž se musí uživatel nebo zařízení autentizovat. Teprve po úspěšné autentizaci uživatele nebo zařízení se šifrovací klíč autentizačním systémem přenese do operační paměti uživatelem používaného zařízení a tam se použije k rozšifrování hodnoty proměnné, nebo se zašifrovaný šifrovací klíč přenese autentizovaným bezpečným kanálem na autentizační server, tam se pomocí privátního klíče dešifruje a přenese opět autentizovaným bezpečným kanálem do operační paměti uživatelem právě používaného zařízení, kde se následně použije k dešifrování hodnoty proměnné. Tímto autentizačním serverem může být autentizační server správce řízení prohlížeče nebo autentizační server poskytovatele služeb.
Proměnná může obsahovat například důvěrný údaj potřebný pro autentizaci uživatele nebo zařízení k poskytovateli služby, důvěrný údaj uživatele, či údaj o poskytovateli identity, grafické symboly, potřebné hodnoty pro vykonání programu jako je např. kontrolovaný certifikát, URL důvěryhodného poskytovatele, identifikátor uživatele, osobní údaj(e) uživatele.
Má-li uživatel více zařízení, pak na každém z nich může mít klientskou část systému, přičemž všechny klientské části na zařízeních jednoho uživatele mohou s výhodou být synchronizovatelné, což znamená že se synchronizuje jak paměť programů a odpovídající pravidla v řídicím modulu, tak i paměť proměnných.
Vestavěný webový prohlížeč (angl. embedded browser) je webový prohlížeč založený na mezinárodních standardech HTML a http/https. Takový prohlížeč je možno implementovat jako součást jiného programu na počítači či mobilním zařízení, v běžném operačním systému.
- 3 CZ 2021 - 366 A3
Autentizátor je specializovaný program, modul či systém určený k bezpečnému ověření identity uživatele v kybernetickém prostoru. Autentizátor k tomu účelu používá autentizační protokol využívající kryptografické algoritmy, kryptografické klíče či sdílená tajemství jako jsou hesla, PIN, privátní a veřejný klíč asymetrické kryptografie, certifikáty atd. Autentizátor s výhodou autentizuje uživatele ke každému cílovému systému jednotným způsobem a nezatěžuje uživatele různým chováním autentizace pro různé poskytovatele služby.
Autentizátor komunikuje s autentizačním serverem správce řízení prohlížeče pro účely autentizační komunikace, a s výhodou i pro účely předávání programů a pravidel pro jejich provádění, předávání dat ze synchronizační fronty, a/nebo dešifrování zašifrovaných proměnných s pomocí údajů uložených pouze na autentizačním serveru.
Autentizátor také autentizuje zabezpečený datový kanál mezi modulem datového kanálu a cílovou webovou aplikací poskytovatele služeb (s výhodou se jedná o TLS kanál) a podílí se na provázání autentizace uživatele s autentizací datového kanálu. Vytvořením autentizovaného kanálu a jeho provázáním s autentizací uživatele se zabezpečí komunikace vestavěného prohlížeče s cílovou aplikací poskytovatele služeb. Není pak potřeba řešit autentizaci na aplikační úrovni cílové webové aplikace, přitom se zvýší bezpečnost použití cílové webové aplikace na úroveň přinejmenším porovnatelnou s bezpečností jednoúčelové mobilní aplikace.
Uživatel s výhodou komunikuje s cílovými webovými aplikacemi (například aplikacemi poskytovatelů služeb) i s autentizátorem pomocí GUI vestavěného webového prohlížeče (standardem HTML).
Pro případnou komunikaci uživatele s autentizátorem pomocí GUI vestavěného webového prohlížeče slouží modul grafických a řídících primitiv autentizátoru. Grafická a řídící primitiva autentizátoru jsou základní elementy, ze kterých jsou tvořeny části GUI, zejména tlačítka, ikony, texty atd., a které slouží pro ovládání autentizátoru a prostřednictvím kterých se autentizátoru předávají požadované úkony.
To umožní jedinou a opakovaně používanou uživatelskou zkušenost při autentizaci. Správu autentizátoru tak lze při tomto výhodném provedení spustit například prostřednictvím dedikovaného grafického prvku (např. ikony) autentizátoru, načež prohlížeč aktivuje příslušnou URL obsahující například URI schéma registrované pro autentizátor. URL obsahuje příslušné parametry grafické a/nebo řídicí komponenty autentizátoru. URL je odesláno na lokální rozhraní modulu grafických a řídicích primitiv autentizátoru, které provede příslušné akce a vrátí potřebná data, které GUI vestavěného prohlížeče zobrazí.
V jiném provedení uživatel komunikuje s cílovými webovými aplikacemi (například aplikacemi poskytovatelů služeb) pomocí GUI vestavěného webového prohlížeče. S autentizátorem uživatel komunikuje prostřednictvím samostatného GUI autentizátoru, případně částečně prostřednictvím samostatného GUI autentizátoru a částečně pomocí GUI vestavěného prohlížeče za pomoci modulu grafických a řídicích primitiv autentizátoru.
Modul datového kanálu je modul určený pro vytvoření datového kanálu mezi klientskou částí na straně uživatele a serverovou částí na straně poskytovatele služby, který po vytvoření datového kanálu je zakončením tohoto kanálu na straně uživatele. Modul datového kanálu je komunikačně propojen s vestavěným prohlížečem, a také je komunikačně propojen s autentizátorem. Modul datového kanálu je uzpůsoben pro komunikaci protokolem http/https a pro využití kryptografických protokolů pro zabezpečení komunikace přes síť, jako je například protokol TLS.
Poskytovatel služeb je server nebo aplikace, která poskytuje služby či data využívaná uživateli, přičemž pro přístup k těmto datům či službám je podmíněn autentizací uživatele. Jednotliví poskytovatelé služeb jsou obvykle vzájemně nezávislí a mají vlastní webové či mobilní aplikace.
- 4 CZ 2021 - 366 A3
Aplikace poskytovatele služeb je možnou cílovou webovou či mobilní aplikací, ke které uživatel přistupuje za využití programového systému podle vynálezu.
Poskytovatel služeb může mít vlastní autentizační server nebo může využívat autentizační server poskytovatelů identity, například v systémech federace elektronické identity. V předkládaném vynálezu autentizační server poskytovatele služeb nebo autentizační server poskytovatele identity komunikuje s autentizátorem. V tomto textu, pokud se hovoří o autentizačním serveru poskytovatele služeb, je do tohoto termínu zahrnut i autentizační server poskytovatele identity.
Poskytovatel služeb může ukončovat datový kanál vytvořený mezi poskytovatelem služeb a modulem datového kanálu podle vynálezu například přímo ve své webové aplikaci nebo na předřazeném serveru (například na reverse proxy serveru) nebo na jiném zakončení datového kanálu s https komunikací.
Autentizační server poskytovatele služeb může být server vlastněný či spravovaný či provozovaný poskytovatelem služeb, nebo server vlastněný či spravovaný či provozovaný třetí stranou. Například v systémech federace elektronické identity jsou autentizační server nebo autentizační služba poskytovány poskytovatelem identity, případně prostřednictvím zprostředkovatele identity. Poskytovatelů a/nebo zprostředkovatelů identity může být v systému i více.
Synchronizace je souhrn aktivit zařízení uživatele a autentizačních serverů sloužící k přenosu potřebných informací mezi více zařízeními jednoho uživatele. Cílem synchronizace je zajištění shodnosti relevantních informací na všech zařízeních uživatele. Bezpečnostní rizika při synchronizaci snižuje to, když je při ní používáno k zašifrování dat tajemství sdílené zařízeními uživatele, které je přenášeno pouze přímo mezi těmito zařízeními, ale nikoliv přes autentizační servery. Případně může být tajemství sdílené zařízeními uživatele předáváno mezi zařízeními uživatele prostřednictvím serveru tak, že tajemství je zašifrováno, a klíč je k dispozici (tj. uložen nebo poskytnut) pouze pro zařízení uživatele, ale nikoliv pro server. Pro provádění synchronizace se využívají zejména autentizační servery.
K synchronizaci lze použít například následující nástroje:
Synchronizační nástroj 1 - synchronizační fronta autentizačního serveru:
Synchronizační zprávy obsahující synchronizační data od jednoho zařízení uživatele, opatřené časovým razítkem tohoto zařízení, jsou přijaty serverem. Autentizační server zjistí všechny repliky zařízení, tj. všechna zařízení stejného uživatele (nebo přiřazená k účtu stejného uživatele). Přijaté synchronizační zprávy server označí časovým razítkem času přijetí podle času serveru a server zkopíruje synchronizační zprávy do front na serveru pro všechna zařízení stejného uživatele (s výjimkou zařízení, od kterého synchronizační zprávy přijal). V okamžiku, kdy se připojí a autentizuje zařízení uživatele, kterému přísluší konkrétní synchronizační fronta, všechny příslušné synchronizační zprávy se přenesou na toto zařízení, a když toto zařízení potvrdí jejich přijetí, jsou tyto přenesené zprávy z fronty vymazány. Časová razítka zařízení jsou použita k seskupování dílčích částí souboru dat a k rozlišení a případnému vyloučení duplicitní synchronizace přes různé autentizační servery.
Synchronizační nástroj 2 - vysílání synchronizace zařízením uživatele:
Zařízení uživatele na základě seznamu autentizačních serverů, na kterých je přiřazeno k danému účtu uživatele nebo k danému uživateli, aktivuje zabezpečený komunikační kanál se serverem ze seznamu, tímto komunikačním kanálem se přenesou synchronizační zprávy na server, kde jsou přijaty a zpracovány synchronizační frontou autentizačního serveru.
- 5 CZ 2021 - 366 A3
Dalším předmětem vynálezu je počítačem realizovaný způsob řízeného přístupu uživatele k poskytovatelům služeb a/nebo k cílovým, zejména webovým, aplikacím, přičemž tento způsob využívá systému podle vynálezu. Způsob obsahuje kroky:
a) přenesení alespoň jednoho programu a pravidel pro jeho/jejich spuštění z autentizačního serveru správce řízení prohlížeče, přičemž program se uloží do paměti programů a pravidlo pro jeho spuštění se uloží do řídicího modulu v klientské části;
b) přijetí požadavku uživatele na využití služby a/nebo přístup k datům poskytovatele služeb a/nebo přístup k cílové aplikaci, přičemž požadavek se přijme prostřednictvím GUI vestavěného webového prohlížeče;
c) spuštění programu odpovídajícího pravidlu/pravidlům spuštění, která jsou splněna požadavkem uživatele, prostřednictvím řídicího modulu;
d) předání přijatého požadavku uživatele, případně modifikovaného výsledkem běhu spuštěného programu, modulu datového kanálu, přičemž požadavek je neautentizovaný a nešifrovaný;
e) vytvoření (v některých provedeních neautentizovaného) datového kanálu s komunikací standardem http/https mezi modulem datového kanálu a poskytovatelem služeb (tento krok vytvoření datového kanálu může proběhnout i souběžně s nebo před kroky b) až d)), aktivace autentizace modulem datového kanálu a předání údajů pro autentizaci z modulu datového kanálu do autentizátoru; přičemž spuštěný program může poskytovat údaje pro autentizaci v cílové aplikaci poskytovatele služeb a/nebo k autentizačnímu serveru poskytovatele služeb, tyto údaje program s výhodou čte jako hodnoty proměnných v paměti proměnných; přičemž pokud pro čtení hodnoty proměnné program specifikuje potřebu autentizace uživatele, je tato autentizace provedena autentizátorem a autentizačním serverem správce řízení prohlížeče nebo autentizačním serverem poskytovatele služeb před předáním hodnoty proměnné spuštěnému programu; a/nebo je-li potřeba ověřit certifikát poskytovatele služby nebo jiného komunikačního partnera (např. poskytovatele identity), porovná program certifikát obdržený od poskytovatele služby nebo od jiného komunikačního partnera s kopií, která je součástí programu nebo která je uložená do příslušné proměnné;
f) volitelný krok autentizace datového kanálu vytvořeného v kroku e) a popřípadě autentizace uživatele prostřednictvím autentizační komunikace autentizátoru s autentizačním serverem poskytovatele služeb; přičemž datový kanál se s výhodou prováže s autentizací uživatele;
g) přenesení (případně modifikovaného) požadavku uživatele (popřípadě zašifrovaného požadavku uživatele) prostřednictvím modulu datového kanálu a datovým autentizovaným kanálem k poskytovateli služeb, a to včetně parametrů vytvořených spuštěným programem, jako je vyplněné uživatelské jméno a heslo;
h) poskytnutí služby a/nebo přístupu k datům poskytovatele služeb a/nebo přístupu k cílové aplikaci uživateli, popřípadě na základě autentizace uživatele, prostřednictvím autentizovaného datového kanálu vytvořeného v kroku e) a popřípadě autentizovaného v kroku f).
Krok a) je typicky prováděn prostřednictvím autentizátoru, který zprostředkovává komunikaci s autentizačním serverem správce řízení prohlížeče zabezpečeným datovým kanálem. Tento krok může vyžadovat autentizaci uživatele nebo jeho zařízení nebo klientské části systému k autentizačnímu serveru správce řízení prohlížeče.
Termín „neautentizovaný datový kanál“, použitý např. v kroku e), znamená datový kanál, u kterého není úplně dokončena autentizace. Tedy zahrnuje datový kanál, u kterého nebyla zahájena autentizace, ale i datový kanál, u kterého byla autentizace zahájena, ale dosud nebyla dokončena, například byla autentizace částečně provedena.
- 6 CZ 2021 - 366 A3
Provázání datového kanálu s autentizací uživatele může provést autentizátor a/nebo autentizační server poskytovatele služeb. Vhodné způsoby provázání jsou popsány například v přihlášce PV 2020-271.
S výhodou lze pro autentizační komunikaci zahrnující provázání datového kanálu s autentizací uživatele využít autentizační vektory popsané v PV 2015-473.
Objasnění výkresů
Obr. 1 schematicky ilustruje příklad provedení systému podle vynálezu.
Příklady uskutečnění vynálezu
V tomto oddílu jsou popsána některá možná provedení a využití předkládaného vynálezu.
Použití při ochraně datového kanálu:
Cílem takového použití je vyloučení možnosti přítomnosti útočníka v datovém kanálu cílové aplikace, a to zejména v situacích, kdy na straně poskytovatele služeb není proxy server zajišťující takovou ochranu.
Program je vytvořen tak, aby porovnával certifikát použitého TLS kanálu s referenčním certifikátem, vztahujícím se k příslušnému webovému serveru, zadaným tvůrcem programu. V případě, že TLS kanál má více certifikátů nebo se certifikát mění, obsahuje program všechny verze referenčních certifikátů.
Pravidlo spuštění programu zajistí spuštění programu, kdykoli uživatel komunikuje s příslušným webovým serverem v okamžiku, kdy uživatel přistupuje pomocí vestavěného webového prohlížeče k příslušnému webovému serveru. Program porovná serverový certifikát aktuálního TLS kanálu použitého prohlížečem s referenčním certifikátem. V případě shody umožní uživateli přístup k webovému serveru, protože je explicitně ověřeno, že datový kanál je správně zabezpečený a není napaden útočníkem.
V případě neshody program pomocí prohlížeče zobrazí příslušné chybové hlášení a zabrání v užívání napadeného datového kanálu.
Použití při správě hesel:
Cílem takového použití je automaticky udržovat dostatečně bezpečné heslo pro příslušnou webovou aplikaci, která používá přístupové údaje (jméno a/nebo heslo) vyplňované uživatelem na webové stránce, a tím zvýšit pohodlí pro uživatele a zároveň bezpečnost autentizace.
Program je vytvořen tak, aby rozpoznal požadavek příslušné webové aplikace na zadání hesla a/nebo na změnu hesla. Zároveň je program upraven pro vygenerování dostatečně bezpečného hesla, a jeho uložení jako hodnotu proměnné do paměti proměnných, a pro čtení hodnoty této proměnné z paměti proměnných. Program zároveň obsahuje požadavek na to, jak silná autentizace uživatele má být použita při čtení hodnoty této proměnné.
Pravidlo spuštění programu zajistí spuštění programu, když uživatel přistupuje pomocí vestavěného webového prohlížeče k přihlašovací stránce příslušné webové aplikace. Program rozpozná situaci, kdy je webovou aplikací požadováno zadání uživatelského jména a/nebo hesla a v takovém případě iniciuje čtení hodnoty proměnné.
- 7 CZ 2021 - 366 A3
Systém vynutí příslušnou autentizaci uživatele pomocí autentizátoru a autentizačního serveru správce řízení prohlížeče, např. ověření biometriky, a po úspěšné autentizaci uživatele předá programu hodnotu proměnné. Program ji použije k vytvoření HTML textu odpovídajícího zadání příslušného uživatelského jména a/nebo hesla uživatelem, který odešle webové aplikaci.
V případě, že program rozpozná situaci, kdy je požadována změna hesla, vyžádá analogicky čtení hodnoty proměnné, kterou použije jako staré heslo, vygeneruje nové heslo (s dostatečně vysokou entropií), to uloží jako novou hodnotu proměnné a spolu se starým heslem použije pro změnu hesla v příslušné webové aplikaci.
Pokud uživatel používá více klientských zařízení, následný proces synchronizace pamětí proměnných na všech zařízeních zajistí přenos nové hodnoty dané proměnné na všechna klientská zařízení tohoto uživatele.
Použití pro automatizaci přihlašování v systémech elektronické identity (eID systémech):
Komplikované eID systémy často po uživatelích vyžadují, aby při každém přihlašování vybírali svého poskytovatele identity a/nebo autentizační prostředek. To komplikuje uživatelskou zkušenost a zároveň otevírá možnosti útoku pro útočníky.
Program je upraven pro rozpoznání požadavku příslušné webové aplikace na výběr poskytovatele identity a/nebo výběr autentizačního prostředku. Pravidlo spuštění programu zajistí spuštění programu, když uživatel přistupuje pomocí prohlížeče ke stránce příslušné webové aplikace. Program rozpozná požadavek na výběr poskytovatele identity a/nebo autentizačního prostředku, vytvoří místo uživatele odezvu, která vybere správnou položku, a odezvu odešle webové aplikaci.
Použití pro ochranu proti útoku na systémy federované elektronické identity (federativní eID systémy):
Současné standardní systémy eID federace (využívající např. protokoly SAML či oAUTH) spoléhají na přenos výsledku autentizace (assertion) pomocí funkcionality http redirect přes prohlížeč autentizovaného uživatele. Přitom ignorují existenci bezpečnostní slabiny, která umožňuje útočníkovi se k výsledku autentizace (assertion) na nechráněném kanále dostat a následně ho zneužít k vlastnímu přihlášení. Bezpečnost přenosu výsledku autentizace lze zajistit jen v případě, pokud jsou všechny použité kanály autentizované, když je tím vyloučena možnost MITM útoku na každý takový kanál.
Program je tedy upraven pro porovnání certifikátů použitých TLS kanálů pro všechny servery zapojené do eID federace. S výhodou je program upraven také pro výběr poskytovatele identity a/nebo autentizačního prostředku. Pravidlo spuštění programu zajistí spuštění programu, když uživatel přistupuje pomocí prohlížeče ke stránce příslušné webové aplikace. Program po spuštění kontroluje všechny certifikáty použitých datových kanálů daného federativního eID systému a zároveň zajistí zlepšenou uživatelskou zkušenost a omezí možnosti sociálních útoků.
Použití pro personalizovanou správu uživatelského rozhraní:
Toto použití je vhodné v situacích, kdy je v dané bezpečnostní doméně, např. ve firmě, používáno několik různých webových aplikací. Různí uživatelé či různé skupiny uživatelů mají přístup jen k některým webovým aplikacím. Ostatní webové aplikace nepotřebují používat a ani k nim nepotřebují mít přístup. Cílem tohoto použití je přizpůsobit uživatelské rozhraní dané skupině uživatelů tak, aby uživatelé mohli jednoduše používat ty webové aplikace, které potřebují používat.
Program je tedy upraven pro zobrazení v uživatelském rozhraní prohlížeče pouze těch ovládacích prvků (např. tlačítek s ikonami) webových aplikací, které daný uživatel či daná skupina uživatelů
- 8 CZ 2021 - 366 A3 potřebuje používat, a zároveň pro zabránění zobrazení ovládacích prvků ostatních aplikací. K tomu může program s výhodou použít jednu nebo více proměnných v paměti proměnných.
Program může také s výhodou využít autentizaci uživatele prostřednictvím autentizátoru a autentizačního serveru správce řízení prohlížeče pro řízení přenosu programů ze serverů a pro nastavení pravidel či určení proměnných, které se mají použít.
Použití pro migraci legacy systémů:
To je využitelné v situacích, kdy je v dané bezpečnostní doméně, např. ve firmě, používáno několik různých webových aplikací; přičemž v daném okamžiku jsou některé webové aplikace migrovány na aplikace využívající moderní autentizaci pomocí vestavěného webového prohlížeče (popsanou v PV 2020-271), zatímco jiné webové aplikace v doméně používají například klasickou autentizaci pomocí jména a hesla. Cílem použití je sjednotit uživatelské chování pro oba typy webových aplikací a zároveň umožnit budoucí migrace dalších webových aplikací bez negativních dopadů na uživatelskou zkušenost.
Program je upraven pro zobrazení v uživatelském rozhraní prohlížeče pouze těch ovládacích prvků (např. tlačítek s ikonami) webových aplikací, které daný uživatel či daná skupina uživatelů potřebuje používat, a zároveň pro rozpoznání požadavku příslušné webové aplikace na zadání hesla a na změnu hesla. Zároveň je program upraven pro vygenerování dostatečně bezpečného hesla, a jeho uložení jako hodnoty proměnné do paměti proměnných, a pro čtení hodnoty této proměnné z paměti proměnných. Tyto funkce reagují na požadavky webových aplikací, takže dovolují klasickou autentizaci (např. jméno a heslo) i novou moderní verzi autentizace.
Při migraci další webové aplikace se program modifikuje a v rámci komunikace s autentizačním serverem správce řízení prohlížeče se přenese do paměti programů. Změní se tak komunikace s webovou aplikací při autentizaci i způsob zajištění bezpečnosti, přitom uživatelské rozhraní může zůstat stejné.
Použití pro ukládání důvěrných informací:
To je vhodné pro využití tehdy, když si uživatel potřebuje uložit, udržovat a číst důvěrné informace pro použití v různých životních situacích. Takovými důvěrnými informacemi mohou být např. přístupové kódy pro různé účely, PINy k platebním kartám, smluvené důvěrné informace pro prokazování identity atp.
Program je upraven pro záznam, čtení a modifikaci hodnot proměnných v paměti proměnných. Přitom program může nastavit příznak u proměnné tak, aby čtení či modifikace proměnné vyžadovaly autentizaci uživatele na odpovídající úrovni zabezpečení (např. silnou dvoufaktorovou autentizaci ověřující biometrii uživatele).
Při tomto použití je zvláště výhodné, jsou-li proměnné zašifrovány tak, aby ke čtení proměnné byl zapotřebí šifrovací klíč uložený na autentizačním serveru. To znamená, že například při odcizení autentizačního prostředku hodnoty proměnných nelze přečíst bez autentizace k autentizačnímu serveru.
Důvěrné informace mohou být chráněny například silnou dvoufaktorovou autentizací ověřující např. biometrii uživatele.
Důvěrné informace může uživatel s výhodou číst či editovat na libovolném svém zařízení (mobil, tablet, PC), když následně tyto budou synchronizovány na všech zařízeních uživatele.
Použití pro ukládání ověřených osobních údajů:
- 9 CZ 2021 - 366 A3
Takové použití je vhodné pro správu důvěryhodnými autoritami ověřených osobních údajů, které si uživatel potřebuje uložit a udržovat dostupné na svých zařízeních (např. občanský průkaz, řidičský průkaz, zbrojní průkaz, vysokoškolský diplom, potvrzení o absolvovaném školení, ověření profesní kvalifikace) pro použití v různých životních situacích.
Program je upraven pro záznam a čtení ověřených osobních údajů v paměti proměnných, a může být s výhodou upraven i pro jejich zpracování pro běžná použití tohoto typu údajů, například pro vkládání do e-mailové komunikace či do formulářů. Přitom může využít možností nastavit příznak tak, aby vyžadoval autentizaci uživatele příslušným způsobem na odpovídající úrovni zabezpečení.
Při tomto použití je zvláště výhodné, jsou-li proměnné zašifrovány tak, aby ke čtení proměnné byl zapotřebí šifrovací klíč uložený na autentizačním serveru. To znamená, že například při odcizení autentizačního prostředku hodnoty proměnných nelze přečíst bez autentizace k autentizačnímu serveru.
Důvěrné informace mohou být chráněny například silnou dvoufaktorovou autentizací ověřující např. biometrii uživatele.
Důvěrné informace může uživatel s výhodou udržovat na libovolném svém zařízení (mobil, tablet, PC), když následně tyto budou synchronizovány na všech zařízeních uživatele. Při výměně zařízení, např. při použití koupi nového telefonu, jsou ověřené osobní údaje při migraci autentizačního systému automaticky přeneseny na nové zařízení (např. procesem synchronizace) a ze starého zařízení mohou být spolehlivě vymazány.
Použití pro ochranu proti škodlivému kódu (malwaru):
Program je upraven pro ověření projevů přítomnosti škodlivého kódu či ověření vlastností konfigurace a instalovaného software na příslušném zařízení s cílem identifikovat bezpečnostní slabiny a/nebo přítomnost škodlivého kódu na daném zařízení. Program může také analyzovat komunikaci pomocí http protokolu a identifikovat přístup na rizikové servery. Program může bezpečnostní problémy signalizovat a/nebo vynucovat bezpečnostní opatření podle své interní logiky a znalostí tvůrce programu.
Program je přenesen a aktualizován z řídicího systému pomocí autentizačního systému na zařízení uživatele, kde je řízeně spouštěn v souladu s předem nastavenými pravidly. Výhodou tohoto systému je, že program je schopen zablokovat přístup uživatele k aplikaci či stránce, která potenciálně může obsahovat škodlivý kód ještě, než může dojít k přenesení škodlivého kódu do zařízení uživatele.
Následující příklady provedení vynálezu jsou popsány s odkazem na Obr. 1.
Příklad 1 - Ochrana datového kanálu
Cílem provedení programu je vyloučení možnosti útočníka přítomného v datovém kanálu 41 mezi klientskou částí systému a cílovou aplikací.
Tvůrce programu vytvoří program tak, aby porovnával certifikát použitého TLS kanálu 41 se správným certifikátem, vztahujícím se k příslušnému webovému serveru cílové aplikace 61 resp. proxy serveru 62 poskytovatele služeb 60, zadaným tvůrcem programu.
Správce 70 řízení prohlížeče nahraje program a pravidlo spuštění programu do synchronizační fronty 74 autentizačního serveru 73 spravovaného správcem 70 řízení prohlížeče.
Když uživatel 8 spustí svoje zařízení, autentizátor 3 využitím autentizačního serveru 73 správce řízení prohlížeče a autentizační komunikace 31 převezme ze synchronizační fronty 74
- 10 CZ 2021 - 366 A3 autentizačního serveru 73 spravovaného správcem 70 řízení prohlížeče program a pravidlo spuštění programu a nahraje bezpečně program do paměti 5 programů a pravidlo spuštění programu do řídícího modulu 7.
Pravidlo spuštění programu zajistí spuštění programu, kdykoli uživatel 8 komunikuje s příslušným webovým serverem cílové aplikace 61. V okamžiku, kdy uživatel 8 přistupuje pomocí prohlížeče 1 k příslušnému webovému serveru cílové aplikace 61 poskytovatele služeb 60, je spuštěn program. Ten porovná serverový certifikát aktuálního TLS kanálu 41 použitého prohlížečem s referenčním certifikátem uloženým v programu. V případě shody umožní uživateli přístup k webovému serveru cílové aplikace 61, protože je explicitně ověřeno, že datový kanál 41 je správně zabezpečený a není napaden útočníkem.
V případě neshody program zobrazí příslušné chybové hlášení pomocí prohlížeče 1 a zabrání v užívání napadeného datového kanálu.
Příklad 2 - Správa hesel
Cílem programu je automaticky udržovat kvalitní heslo pro příslušnou webovou cílovou aplikaci 61. Tím se zvýší pohodlí pro uživatele a zároveň bezpečnost autentizace.
Tvůrce programu vytvoří program tak, aby rozpoznal požadavek příslušné webové cílové aplikace 61 na zadání hesla a na změnu hesla. Zároveň tvůrce zajistí schopnost programu vygenerovat kvalitní heslo s dostatečnou entropií, jeho záznam do specializované proměnné v paměti 6 proměnných a čtení z této specializované proměnné.
Tvůrce programu zároveň určí, jak silná autentizace uživatele má být použita při čtení hodnoty dané specializované proměnné.
Správce 70 řízení prohlížeče nahraje program a pravidlo spuštění programu do synchronizační fronty 74 autentizačního serveru 73 spravovaného správcem 70 řízení prohlížeče.
Když uživatel 8 spustí svoje zařízení, autentizátor 3 využitím autentizačního serveru 73 správce 70 řízení prohlížeče a autentizační komunikace 31 převezme ze synchronizační fronty 74 autentizačního serveru 73 spravovaného správcem 70 řízení prohlížeče program a pravidlo spuštění programu a nahraje bezpečně program do paměti 5 programů a pravidlo spuštění programu do řídícího modulu 7.
Program je spuštěn řídicím modulem 7 na základě pravidla spuštění v okamžiku, kdy uživatel přistupuje pomocí vestavěného prohlížeče 1 k přihlašovací stránce příslušné webové cílové aplikace 61.
Program rozpozná situaci, kdy je požadováno zadání hesla, a v takovém případě vyžádá čtení hodnoty specializované proměnné od autentizátoru 3.
Autentizátor 3 spolu s příslušným autentizačním serverem např. autentizační serverem 63 spravovaným poskytovatelem 60 služeb nebo autentizačním serverem 73 spravovaným správcem 70 řízení prohlížeče s využitím autentizační komunikace 31 vynutí příslušnou autentizaci uživatele např. ověření biometriky.
Po úspěšné autentizaci uživatele přečte autentizátor 3 zašifrovanou hodnotu proměnné z paměti 6 proměnných, rozšifruje ji s pomocí příslušného autentizačního serveru a s využitím autentizační komunikace 31 a předá dešifrovanou hodnotu programu. Program hodnotu použije k vytvoření HTML textu odpovídajícího zadání příslušného hesla uživatelem, který odešle webové cílové aplikaci 61.
- 11 CZ 2021 - 366 A3
V případě, že program rozpozná situaci, kdy je požadována změna hesla, vyžádá analogicky čtení hodnoty specializované proměnné od autentizátoru 3, kterou použije jako staré heslo, vygeneruje s výhodou s pomocí autentizátoru 3 nové heslo s vysokou entropií, a to uloží prostřednictvím autentizátoru 3 jako novou hodnotu specializované proměnné do paměti 6 proměnných.
Autentizační systém pak zajistí bezpečnou synchronizaci nové hodnoty specializované proměnné na všechna zařízení (repliky) daného uživatele a to tak, že autentizátor 3 s pomocí příslušného autentizačního serveru a s využitím autentizační komunikace 31 uloží novou zašifrovanou hodnotu do příslušné synchronizační fronty, např. do synchronizační fronty 74 autentizačního serveru 73 spravovaného správcem 70 řízení prohlížeče.
Pokud uživatel 8 použije jiné své zařízení s nainstalovanou klientskou částí systému, tak autentizátor 3 tohoto jiného zařízení využitím příslušného autentizačního serveru, např. autentizačního serveru 73 správce řízení prohlížeče, a autentizační komunikace 31 převezme ze synchronizační fronty 74 autentizačního serveru 73 spravovaného správcem 70 řízení prohlížeče změněnou zašifrovanou hodnotu proměnné a nahraje ji bezpečně do své paměti 6 proměnných.
Příklad 3 - migrace legacy systémů
Použití pro migraci legacy systémů je využitelné v situacích, kdy je v dané bezpečnostní doméně, např. ve firmě, používáno několik různých webových aplikací; přičemž v daném okamžiku jsou některé webové aplikace migrovány na aplikace využívající integrovanou autentizaci pomocí vestavěného prohlížeče (popsanou v PV 2020-271), zatímco jiné webové aplikace v doméně používají například klasickou autentizaci pomocí jména a hesla (legacy aplikace). Cílem použití je sjednotit uživatelské chování pro oba typy webových aplikací a zároveň umožnit budoucí migrace legacy webových aplikací bez negativních dopadů na uživatelskou zkušenost.
Tvůrce programu vytvoří první program tak, že zobrazuje pomocí vestavěného prohlížeče 1 v uživatelském rozhraní prohlížeče pouze ovládací prvky (např. tlačítka s ikonami) webových aplikací, které daný uživatel či daná skupina uživatelů potřebuje používat.
Zároveň pro každou legacy webovou aplikaci, která používá klasické přihlašování pomocí přihlašovacího jména a hesla, zajišťuje správu hesel tak, jak bylo popsáno v příkladu 2.
Správce 70 řízení prohlížeče nahraje první program a pravidlo spuštění programu do synchronizační fronty 74 autentizačního serveru 73 spravovaného správcem 70 řízení prohlížeče.
Když uživatel 8 spustí svoje zařízení, autentizátor 3 využitím autentizačního serveru 73 správce 70 řízení prohlížeče a autentizační komunikace 31 převezme ze synchronizační fronty 74 autentizačního serveru 73 spravovaného správcem 70 řízení prohlížeče první program a pravidlo spuštění programu a nahraje bezpečně první program do paměti 5 programů a pravidlo spuštění programu do řídícího modulu 7.
Program je spuštěn řídicím modulem 7 na základě pravidla v okamžiku, kdy uživatel přistupuje pomocí vestavěného prohlížeče 1 k přihlašovací stránce příslušné webové cílové aplikace 61.
V případě přístupu k příslušné legacy aplikaci program rozpozná situaci, kdy je požadováno zadání hesla, a v takovém případě vyžádá čtení hodnoty specializované proměnné od autentizátoru 3.
Autentizátor 3 spolu s příslušným autentizačním serverem, např. autentizační serverem 63 spravovaným poskytovatelem 60 služeb nebo autentizačním serverem 73 spravovaným správcem 70 řízení prohlížeče, s využitím autentizační komunikace 31 vynutí příslušnou autentizaci uživatele např. ověřením biometriky.
- 12 CZ 2021 - 366 A3
Po úspěšné autentizaci uživatele přečte autentizátor 3 zašifrovanou hodnotu proměnné z paměti 6 proměnných, rozšifruje ji s pomocí příslušného autentizačního serveru a s využitím autentizační komunikace 31 a předá dešifrovanou hodnotu programu. Program hodnotu použije k vytvoření HTML textu odpovídajícího zadání příslušného hesla uživatelem, který odešle legacy webové cílové aplikaci 61.
V dalším kroku při migraci legacy webové aplikace tvůrce programu modifikuje první program na druhý program tak, že se změní jeho chování pro migrovanou webovou aplikaci. Chování programu pro ostatní aplikace zůstane nezměněno. V tomto příkladu je vynechána správa hesel, která je při migraci webové aplikace nahrazena silnou vzájemnou autentizací.
Správce 70 řízení prohlížeče nahraje druhý program a pravidlo spuštění programu do synchronizační fronty 74 autentizačního serveru 73 spravovaného správcem 70 řízení prohlížeče.
Když uživatel 8 spustí svoje zařízení, autentizátor 3 využitím autentizačního serveru 73 správce 70 řízení prohlížeče a autentizační komunikace 31 převezme ze synchronizační fronty 74 autentizačního serveru 73 spravovaného správcem 70 řízení prohlížeče druhý program a nahraje bezpečně program do paměti 5 programů, kde druhý program nahradí dříve používaný první program, a pravidlo spuštění programu do řídícího modulu 7.
Program je spuštěn řídicím modulem 7 na základě pravidla v okamžiku, kdy uživatel přistupuje pomocí vestavěného prohlížeče 1 k přihlašovací stránce příslušné webové cílové aplikace 61.
Uživatelské chování je zachováno a zároveň došlo k migraci webové aplikace na vyšší úroveň bezpečnosti.
Příklad 4 - ukládání ověřených osobních údajů
Použití pro ukládání ověřených osobních údajů je vhodné pro správu ověřených osobních údajů, které jsou uživateli přiděleny autoritami a které uživatel nemůže měnit. Uživatel si potřebuje uložit a udržovat ověřené osobní informace (např. řidičský průkaz, vysokoškolský diplom, potvrzení o absolvovaném školení, ověření profesní kvalifikace) pro použití v různých životních situacích.
Tvůrce programu vytvoří první program tak, že zaznamenává, čte anebo modifikuje obsah specializovaných proměnných v paměti 6 proměnných tak, že je používá k záznamu elektronické formy příslušných osobních údajů. Přitom používá vhodné zabezpečení obsahu proměnných.
Program je vytvořen tak, že umožňuje zobrazování obsahu pomocí vestavěného prohlížeče 1 v uživatelském rozhraní prohlížeče, a to včetně možnosti dalšího využití například pro vkládání do e-mailové komunikace či do webových formulářů.
Správce 70 řízení prohlížeče nahraje program a pravidlo spuštění programu do synchronizační fronty 74 autentizačního serveru 73 spravovaného správcem 70 řízení prohlížeče.
Když uživatel 8 spustí svoje zařízení, autentizátor 3 využitím autentizačního serveru 73 správce 70 řízení prohlížeče a autentizační komunikace 31 převezme ze synchronizační fronty 74 autentizačního serveru 73 spravovaného správcem 70 řízení prohlížeče program a pravidlo spuštění programu a nahraje bezpečně program do paměti 5 programů a pravidlo spuštění programu do řídícího modulu 7.
Program je spuštěn řídicím modulem 7 na základě pravidla v okamžiku, kdy uživatel přistupuje pomocí vestavěného prohlížeče 1 k například k příslušné stránce příslušné webové cílové aplikace 61.
- 13 CZ 2021 - 366 A3
Uživatel 8 může s využitím programem zobrazeného tlačítka odsouhlasit vložení obsahu příslušné proměnné z paměti 6 proměnných do položky webového formuláře cílové aplikace 61.
Protože obsah proměnných paměti 6 proměnných je synchronizován na ostatní zařízení téhož 5 uživatele 8 s využitím autentizátoru 3, autentizační komunikace 31, autentizačního serveru 73 spravovaného správcem 70 řízení prohlížeče nebo autentizačního serveru 63 spravovaného poskytovatelem služeb, je hodnota proměnné na všech zařízeních uživatele 8 shodná, a tedy obsahuje stejné osobní údaje.
V případě, že uživatel 8 použije jiné svoje zařízení, autentizátor 3 využitím autentizačního serveru 73 správce 70 řízení prohlížeče a autentizační komunikace 31 převezme ze synchronizační fronty 74 autentizačního serveru 73 spravovaného správcem 70 řízení prohlížeče program a pravidlo spuštění programu a nahraje bezpečně program do paměti 5 programů a pravidlo spuštění programu do řídícího modulu 7.
To znamená že na takovém jiném zařízení je stejný program řízený stejnými pravidly spuštění a používající stejné specializované proměnné se shodným obsahem jako v případě původního zařízení.

Claims (12)

  1. PATENTOVÉ NÁROKY
    1. Systém pro řízený přístup uživatele k poskytovatelům služeb a/nebo k cílovým, zejména webovým a/nebo mobilním, aplikacím, vyznačující se tím, že obsahuje klientskou část a serverovou část, přičemž klientská část zahrnuje autentizátor (3), vestavěný prohlížeč (1) a modul (4) datového kanálu, přičemž autentizátor (3) je uzpůsoben pro autentizací uživatele (8), a autentizátor (3) je dále uzpůsoben pro komunikaci s uživatelem prostřednictvím grafického uživatelského rozhraní vestavěného prohlížeče pomocí grafických a řídicích primitiv (2) autentizátoru a/nebo prostřednictvím samostatného grafického uživatelského rozhraní autentizátoru, přičemž modul (4) datového kanálu je uzpůsoben pro komunikaci se servery poskytovatelů (60) služeb protokolem http/https, pro komunikaci s vestavěným prohlížečem (1) a pro komunikaci s autentizátorem (3), přičemž klientská část dále obsahuje paměť (5) programů, paměť (6) proměnných a řídicí modul (7) uzpůsobený pro řízení provedení programů uložených v paměti (5) programů, a serverová část zahrnuje alespoň jeden autentizační server (73) správce (70) řízení prohlížeče.
  2. 2. Systém podle nároku 1, vyznačující se tím, že klientská část systému je na jednom nebo více zařízeních uživatele.
  3. 3. Systém podle nároku 1 nebo 2, vyznačující se tím, že řídicí modul (7) je uzpůsoben pro sledování veškeré komunikace webového prohlížeče (1) se servery poskytovatelů (60) služeb.
  4. 4. Systém podle kteréhokoliv z předcházejících nároků 1 až 3, vyznačující se tím, že autentizátor (3) je dále uzpůsoben pro autentizaci datového kanálu (41) a provázání autentizace uživatele s autentizovaným kanálem (41).
  5. 5. Systém podle kteréhokoliv z předcházejících nároků 1 až 4, vyznačující se tím, že řídicí modul (7) je uzpůsoben pro předání kódu programu k provedení, s výhodou vestavěnému webovému prohlížeči (1), při splnění předem daného pravidla/pravidel.
  6. 6. Systém podle kteréhokoliv z nároků 1 až 5, vyznačující se tím, že programy jsou počítačové programy vytvořené pro konkrétní použití, s výhodou pro konkrétní server nebo webové rozhraní nebo webovou stránku poskytovatele služeb.
  7. 7. Systém podle kteréhokoliv z nároků 1 až 6, vyznačující se tím, že program je určen pro ověření certifikátu dané webové stránky porovnáním s certifikátem nebo z něj odvozenými informacemi, které program obsahuje; a/nebo je program určen pro autentizační komunikaci s webovou stránkou poskytovatele služeb; a/nebo je program určen pro zjednodušení uživatelské interakce.
  8. 8. Systém podle kteréhokoliv z nároků 1 až 7, vyznačující se tím, že paměť (6) proměnných je upravena pro ukládání zašifrovaných hodnot proměnných, přičemž pro jejich rozšifrování je nutno získat informaci ze serveru, k němuž se uživatel či jeho zařízení musí autentizovat.
  9. 9. Systém podle kteréhokoliv z nároků 1 až 8, vyznačující se tím, že je upraven pro synchronizaci paměti (5) programů, paměti (6) proměnných, a pravidla/pravidel v řídicím modulu (7).
  10. 10. Počítačem realizovaný způsob řízeného přístupu uživatele k poskytovatelům služeb a/nebo k cílovým, zejména webovým, aplikacím, vyznačující se tím, že obsahuje kroky:
    a) přenesení alespoň jednoho programu a pravidel pro jeho/jejich spuštění z autentizačního serveru (73) správce (70) řízení prohlížeče, přičemž program se uloží do paměti (5) programů a pravidlo/pravidla pro jeho spuštění se uloží do řídicího modulu (7);
    b) přijetí požadavku uživatele (8) na využití služby a/nebo přístup k datům poskytovatele (60) služeb a/nebo přístup k cílové aplikaci, přičemž požadavek se přijme prostřednictvím vestavěného prohlížeče (1);
    c) spuštění programu odpovídajícího pravidlu/pravidlům spuštění, která jsou splněna požadavkem
    - 15 CZ 2021 - 366 A3 uživatele, prostřednictvím řídicího modulu (7);
    d) předání přijatého požadavku uživatele, případně modifikovaného výsledkem běhu spuštěného programu, přičemž požadavek je neautentizovaný a nešifrovaný, modulu (4) datového kanálu; e) vytvoření datového kanálu (41) s komunikací standardem http/https mezi modulem (4) datového kanálu a poskytovatelem (60) služeb, aktivace autentizace modulem (4) datového kanálu a předání údajů pro autentizaci z modulu (4) datového kanálu do autentizátoru (3);
    přičemž spuštěný program poskytuje údaje pro autentizaci v cílové aplikaci poskytovatele (60) služeb a/nebo k autentizačnímu serveru poskytovatele (60) služeb, tyto údaje program s výhodou čte jako hodnoty proměnných v paměti (6) proměnných; přičemž pokud pro čtení hodnoty proměnné program specifikuje potřebu autentizace uživatele, je tato autentizace provedena autentizátorem (3) a autentizačním serverem (73) správce (70) řízení prohlížeče nebo autentizačním serverem (63) poskytovatele (60) služeb před předáním hodnoty proměnné spuštěnému programu; a/nebo přičemž je-li potřeba ověřit certifikát poskytovatele (60) služby nebo jiného komunikačního partnera, porovná program certifikát obdržený od poskytovatele (60) služby nebo od jiného komunikačního partnera s kopií, která je součástí programu nebo která je uložená do příslušné proměnné;
    f) volitelný krok autentizace datového kanálu (41) vytvořeného v kroku e) a popřípadě autentizace uživatele prostřednictvím autentizační komunikace autentizátoru (3) s autentizačním serverem poskytovatele (60) služeb; přičemž datový kanál (41) se s výhodou prováže s autentizací uživatele; g) přenesení požadavku uživatele, případně modifikovaného a/nebo zašifrovaného požadavku uživatele, prostřednictvím modulu (4) datového kanálu a datovým autentizovaným kanálem (41) k poskytovateli (60) služeb, a to včetně parametrů vytvořených spuštěným programem;
    h) poskytnutí služby a/nebo přístupu k datům poskytovatele (60) služeb a/nebo přístupu k cílové aplikaci uživateli, popřípadě na základě autentizace uživatele, prostřednictvím autentizovaného datového kanálu (41) vytvořeného v kroku e) a popřípadě autentizovaného v kroku f).
  11. 11. Způsob podle nároku 10, vyznačující se tím, že krok a) je prováděn prostřednictvím autentizátoru (3), který zprostředkovává komunikaci s autentizačním serverem (73) správce (70) řízení prohlížeče zabezpečeným datovým kanálem (31), přičemž tento krok s výhodou vyžaduje autentizaci uživatele nebo jeho zařízení nebo klientské části systému k autentizačnímu serveru správce řízení prohlížeče.
  12. 12. Způsob podle nároku 10 nebo 11, vyznačující se tím, že programy, pravidla pro jejich spuštění a/nebo proměnné jsou synchronizovány prostřednictvím synchronizačních front na autentizačních serverech (63, 73).
    1 výkres
    Seznam vztahových značek:
    1 - vestavěný webový prohlížeč
    2 - grafické a řídicí primitivy autentizátoru
    3 - autentizátor
    31 - autentizační komunikace
    4 - modul datového kanálu
    41 - datový kanál s https komunikací
    5 - paměť programů
    6 - paměť proměnných
    7 - řídicí modul
    8 - uživatel
    60 - poskytovatel služeb
    61 - cílová webová aplikace poskytovatele služeb
    62 - proxy server poskytovatele služeb
    63 - autentizační server spravovaný poskytovatelem služeb
    - 16 CZ 2021 - 366 A3
    70 - správce řízení prohlížeče
    73 - autentizační server spravovaný správcem řízení prohlížeče
    74 - synchronizační fronta autentizačního serveru spravovaného správcem řízení prohlížeče
CZ2021-366A 2021-08-04 2021-08-04 Systém a způsob pro řízený přístup k cílové aplikaci CZ2021366A3 (cs)

Priority Applications (3)

Application Number Priority Date Filing Date Title
CZ2021-366A CZ2021366A3 (cs) 2021-08-04 2021-08-04 Systém a způsob pro řízený přístup k cílové aplikaci
EP22755065.4A EP4381691A1 (en) 2021-08-04 2022-08-03 System and method for controlling access to target application
PCT/CZ2022/050071 WO2023011675A1 (en) 2021-08-04 2022-08-03 System and method for controlling access to target application

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CZ2021-366A CZ2021366A3 (cs) 2021-08-04 2021-08-04 Systém a způsob pro řízený přístup k cílové aplikaci

Publications (1)

Publication Number Publication Date
CZ2021366A3 true CZ2021366A3 (cs) 2023-02-15

Family

ID=82939887

Family Applications (1)

Application Number Title Priority Date Filing Date
CZ2021-366A CZ2021366A3 (cs) 2021-08-04 2021-08-04 Systém a způsob pro řízený přístup k cílové aplikaci

Country Status (3)

Country Link
EP (1) EP4381691A1 (cs)
CZ (1) CZ2021366A3 (cs)
WO (1) WO2023011675A1 (cs)

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CZ287994B6 (cs) 1990-06-20 2001-03-14 Grünenthal GmbH Plazmidy, způsob jejich výroby a jejich použití pro získávání aktivátoru plazminogenu
US6874084B1 (en) * 2000-05-02 2005-03-29 International Business Machines Corporation Method and apparatus for establishing a secure communication connection between a java application and secure server
US8429734B2 (en) * 2007-07-31 2013-04-23 Symantec Corporation Method for detecting DNS redirects or fraudulent local certificates for SSL sites in pharming/phishing schemes by remote validation and using a credential manager and recorded certificate attributes
CZ306790B6 (cs) 2007-10-12 2017-07-07 Aducid S.R.O. Způsob navazování chráněné elektronické komunikace mezi různými elektronickými prostředky, zejména mezi elektronickými prostředky poskytovatelů elektronických služeb a elektronickými prostředky uživatelů elektronických služeb
US8677466B1 (en) * 2009-03-10 2014-03-18 Trend Micro Incorporated Verification of digital certificates used for encrypted computer communications
CZ2013373A3 (cs) 2013-05-22 2014-12-03 Anect A.S. Způsob autentizace bezpečného datového kanálu
CZ2015473A3 (cs) 2015-07-07 2017-02-08 Aducid S.R.O. Způsob zabezpečení autentizace při elektronické komunikaci
CZ2015472A3 (cs) 2015-07-07 2017-02-08 Aducid S.R.O. Způsob navazování chráněné elektronické komunikace, bezpečného přenášení a zpracování informací mezi třemi a více subjekty
CZ2020271A3 (cs) 2020-05-14 2021-11-24 Aducid S.R.O. Programový systém a způsob autentizace

Also Published As

Publication number Publication date
WO2023011675A1 (en) 2023-02-09
EP4381691A1 (en) 2024-06-12

Similar Documents

Publication Publication Date Title
Boyd Getting started with OAuth 2.0
US10805284B2 (en) Federated login for password vault
US10284376B2 (en) Code signing system with machine to machine interaction
US10397008B2 (en) Management of secret data items used for server authentication
US8353016B1 (en) Secure portable store for security skins and authentication information
US9172541B2 (en) System and method for pool-based identity generation and use for service access
CN101427510B (zh) 用于网络功能描述的数字通行
US9332008B2 (en) Time-based one time password (TOTP) for network authentication
US8220035B1 (en) System and method for trusted embedded user interface for authentication
JP2021523650A (ja) 安全なブロックチェーントランザクションおよびサブネットワークのためのシステム、方法、デバイス及び端末
US10284374B2 (en) Code signing system with machine to machine interaction
US20100250955A1 (en) Brokered information sharing system
US11841959B1 (en) Systems and methods for requiring cryptographic data protection as a precondition of system access
US11556617B2 (en) Authentication translation
US20070208950A1 (en) Secure object for convenient identification
US8953805B2 (en) Authentication information generating system, authentication information generating method, client apparatus, and authentication information generating program for implementing the method
CN110784441A (zh) 通过网络的针对客户端的认证方法
EP3895043B1 (en) Timestamp-based authentication with redirection
GB2554082A (en) User sign-in and authentication without passwords
CN113678131A (zh) 使用区块链保护在线应用程序和网页
CZ2021366A3 (cs) Systém a způsob pro řízený přístup k cílové aplikaci
US8447984B1 (en) Authentication system and method for operating the same
Bradbury Digital certificates: worth the paper they're written on?
Siriwardena et al. Basic/Digest Authentication
Hon Public key infrastructure; passwords