DE102017123502A1

DE102017123502A1 - Integrierte Zweitfaktor-Authentifizierung

Info

Publication number: DE102017123502A1
Application number: DE102017123502.7A
Authority: DE
Inventors: Erica Wickstrom Brand; Marius Paul Michiel Schilder; Scott D. Johnson; Vincent Palatin
Original assignee: Google LLC
Current assignee: Google LLC
Priority date: 2017-02-21
Filing date: 2017-10-10
Publication date: 2018-08-23
Also published as: GB2576437B; TW201832122A; WO2018156210A1; CN110472402A; GB2576437A; CN108460255B; CN108460255A; US20220247740A1; GB2559831B; GB201717606D0; GB2559831A8; US20190306161A1; GB2559831A; DE202017106127U1; US11394704B2; US20180241743A1; TWI634451B; GB201914300D0

Abstract

Es werden Techniken und Vorrichtungen beschrieben, die integrierte Zwei-Faktoren-Authentifizierung ermöglichen. Diese Techniken und Vorrichtungen ermöglichen die verbesserte Sicherheit von Mitgeführtem, ohne die damit einhergehende Unannehmlichkeit oder Risiko, dasselbe zu verlieren. Zu diesem Zweck ist eine sichere physische Einheit in einem Computergerät integriert. Obwohl diese das Mitgeführte bereitstellt, ohne die Notwendigkeit, ein separates Objekt mitzuführen, darf das Mitgeführte darüber hinaus nicht ferngesteuert zugänglich sein. Um einen ferngesteuerten Zugriff zu verhindern, werden physische Drähte von der sicheren physischen Einheit mit physischen Strukturen auf dem Computergerät verbunden. Auf diese Weise kann ein Hacker oder Cyber-Dieb ein Authentifizierungssystem nicht überzeugen, dass der Cyber-Angreifer tatsächlich das Mitgeführte, mit sich führt, da der Angreifer im physischen Besitz des Computergeräts sein müsste, um dies zu tun.

Description

HINTERGRUND
In der modernen Internetwelt sind Kennwörter alleine möglicherweise nicht angemessen, um wertvolle Informationen vor Hackern und Cyber-Dieben zu schützen. Ganz gleich ob diese Informationen gewünscht werden, um die Identität einer Person zu stehlen, oder um ein Unternehmen oder eine Regierung zu erpressen, oder einfach nur um Chaos zu veranlassen: Authentifizierungssysteme werden ständig durch diese bösartigen Akteure angegriffen. Die meisten dieser Hacker und Diebe greifen Authentifizierungssysteme jedoch ferngesteuert an, d. h. sie befinden sich tatsächlich nicht an dem Computer einer Person. Stattdessen sind sie weit entfernt, oftmals in einem anderen Teil der Welt. Aus diesem Grund können Authentifizierungssysteme etwas erfordern, das man weiß, wie z. B. ein Kennwort, das Hacker und Diebe stehlen oder erraten können, in Verbindung mit etwas mitgeführtem, wie z. B. einem physischen Schlüssel, einer Bankkarte oder einem Sicherheitschip. Solange das Etwas, das man hat, nicht gestohlen wird, ist das Authentifizierungssystem viel beständiger gegen Cyber-Angriffe.
Durch Verwendung von etwas das man hat (das Mitgeführte), wird die Anwesenheit einer Person bestätigt, was nahezu das wichtigste Element für gute Cyber-Sicherheit ausmacht. Die Nachrichten sind voller Meldungen darüber, dass die Kontonummern, Kennwörter und sogar Sozialversicherungsnummern von Millionen von Menschen gestohlen werden. Es wird jedoch nur selten eine nennenswerte Anzahl von physischen Karten, Schlüsseln oder Sicherheitschips gestohlen.
Obwohl die Tatsache, dass zwei Faktoren erforderlich sind, ein erster Faktor, nämlich etwas, das man weiß in Verbindung mit einem zweiten Faktor, nämlich etwas, das man hat, die Cyber-Sicherheit verbessert, hat dies dennoch Nachteile. Ein Nachteil besteht darin, dass Menschen dieses Mitgeführte verlieren. Sie verlieren ihre Bankkarte, ihren Ausweis, Schlüssel oder Schlüsselanhänger mit einem Sicherheitschip, da diese der Handlichkeit wegen oftmals klein sind. Wenn dieses Mitgeführte verloren geht, kann die Person nicht auf die Informationen zugreifen. Und selbst wenn es nicht verloren geht, muss die Person das Mitgeführte dennoch im Auge behalten, was unangenehm und lästig sein kann.
Diese Hintergrundbeschreibung wird zum Zwecke der allgemeinen Präsentation des Kontexts der Offenbarung bereitgestellt. Sofern hierin nicht anders angegeben, wird in diesem Abschnitt beschriebenes Material weder ausdrücklich noch impliziert als Stand der Technik zu der vorliegenden Offenbarung oder den beigefügten Ansprüchen bezeichnet.
KURZDARSTELLUNG
Es werden Techniken und Vorrichtungen beschrieben, die integrierte Zwei-Faktoren-Authentifizierung ermöglichen. Diese Techniken und Vorrichtungen ermöglichen die verbesserte Sicherheit des Mitgeführten, ohne die damit einhergehende Unannehmlichkeit oder das Risiko, dasselbe zu verlieren. Zu diesem Zweck ist eine sichere physische Einheit in einem Computergerät integriert. Obwohl diese das Mitgeführte bereitstellt, ohne die Notwendigkeit, ein separates Objekt mitzuführen, darf das Mitgeführte darüber hinaus nicht ferngesteuert zugänglich sein. Um einen ferngesteuerten Zugriff zu verhindern, werden physische Drähte von der sicheren physischen Einheit mit physischen Strukturen an dem Computergerät verbunden. Auf diese Weise kann ein Hacker oder Cyber-Dieb ein Authentifizierungssystem nicht überzeugen, dass der Cyberangreifer tatsächlich das Mitgeführte, mit sich führt, da der Angreifer im physischen Besitz des Computergeräts sein müsste, um dies zu tun.
Nachfolgend beschriebene Aspekte beinhalten ein Computergerät, das eine in dem Computergerät integrierte sichere physische Einheit umfasst, mit der sicheren physischen Einheit durch Drähte und/oder drahtlose Nahfeldkommunikations (NFC)-Übertragung kommunikativ verbundene physische Strukturen, einen oder mehrere Prozessoren und eines oder mehrere computerlesbare Speichermedien. Das eine oder die mehreren computerlesbaren Speichermedien weisen Anweisungen darauf auf, die in Reaktion auf Ausführung durch den einen oder die mehreren Prozessoren Vorgänge ausführen, umfassend, Empfangen einer Kombination von physischen Auswahlen, die durch die physischen Strukturen erfolgen, wobei die physischen Auswahlen durch die Drähte und/oder drahtlose NFC-Übertragung empfangen werden, Bestimmen, basierend auf der Kombination von physischen Auswahlen, dass eine Person im Besitz der sicheren physischen Einheit ist, und in Reaktion auf Bestimmen des Besitzes der sicheren physischen Einheit, Angeben, dass die Person im Besitz der sicheren physischen Einheit ist, und/oder Aktivieren der Verwendung einer Ressource des Computergeräts. Bestimmen, basierend auf der Kombination von physischen Auswahlen, dass eine Person im Besitz der sicheren physischen Einheit ist, kann umfassen, dass in Reaktion auf Empfangen einer Kombination von physischen Auswahlen bestimmt wird, ob die Kombination von physischen Auswahlen mit einer von mehreren, in der sicheren physischen Einheit gespeicherten einzigartigen Kombinationen übereinstimmt oder nicht. In Reaktion auf die Kombination von physischen Auswahlen, die mit keiner der mehreren einzigartigen Kombinationen übereinstimmen, kann es dann angeben, dass die Person nicht im Besitz der sicheren physischen Einheit ist und Zugriff auf die Ressource des Computergeräts verweigert wird. Darüber hinaus kann dann in Reaktion auf die Kombination von physischen Auswahlen, die mit keiner der mehreren einzigartigen Kombinationen übereinstimmen, angegeben werden, dass die Person im Besitz der sicheren physischen Einheit ist und/oder die Verwendung der Ressource des Computergeräts ermöglicht werden kann.
Nachfolgend beschriebene Aspekte beinhalten ein Computergerät, das eine in dem Computergerät integrierte sichere physische Einheit umfasst, mit der sicheren physischen Einheit durch Drähte kommunikativ verbundene physische Strukturen, einen oder mehrere Prozessoren und ein oder mehrere computerlesbare Speichermedien. Das eine oder die mehreren computerlesbaren Speichermedien weisen Anweisungen darauf auf, die in Reaktion auf Ausführung durch den einen oder die mehreren Prozessoren Vorgänge ausführen, umfassend, Empfangen einer Kombination von physischen Auswahlen, die durch die physischen Strukturen erfolgen, durch die Drähte, Bestimmen, basierend auf der Kombination von physischen Auswahlen, dass eine Person im Besitz der sicheren physischen Einheit ist, und Angeben, dass die Person im Besitz der sicheren physischen Einheit ist.
Nachfolgend beschriebene Aspekte beinhalten ein Verfahren, umfassend das Empfangen einer Kombination von physischen Auswahlen, wobei die Kombination von physischen Auswahlen durch physische Strukturen erfolgt, durch eine drahtgebundene und/oder drahtlose Nahfeldkommunikations (NFC)-Übertragung, wobei die physischen Strukturen in einem Computergerät oder einem Peripheriegerät des Computergeräts integriert sind, Bestimmen, basierend auf der Kombination von physischen Auswahlen, dass eine Person im Besitz einer sicheren physischen Einheit ist, wobei die sichere physische Einheit integral mit dem Computergerät ist, und in Reaktion auf Bestimmen des Besitzes der sicheren physischen Einheit, Angeben, dass die Person im Besitz der sicheren physischen Einheit ist und/oder Aktivieren der Verwendung einer Ressource des Computergeräts.
Nachfolgend beschriebene Aspekte beinhalten zudem ein Verfahren, umfassend Empfangen einer Kombination von physischen Auswahlen, wobei die Kombination von physischen Auswahlen durch zwei oder mehr physische Strukturen erfolgt, durch eine drahtgebundene oder drahtlose Nahfeldkommunikations (NFC)-Übertragung, wobei die zwei oder mehr physischen Strukturen in einem Computergerät oder einem Peripheriegerät des Computergeräts integriert sind, Bestimmen, basierend auf der Kombination von physischen Auswahlen, dass eine Person im Besitz einer sicheren physischen Einheit ist, wobei die sichere physische Einheit integral mit dem Computergerät ist, und in Reaktion auf Bestimmen des Besitzes der sicheren physischen Einheit, Aktivieren der Verwendung einer Ressource des Computergeräts.
Nachfolgend beschriebene Aspekte beinhalten außerdem ein Empfangen einer Kombination von physischen Auswahlen, wobei die Kombination von physischen Auswahlen durch drei oder mehr physische Strukturen erfolgt, durch Drähte, wobei die drei oder mehr physischen Strukturen in einem Computergerät integriert sind, Bestimmen, basierend auf der Kombination von physischen Auswahlen, dass eine Person im Besitz einer sicheren physischen Einheit ist, wobei die sichere physische Einheit integral mit dem Computergerät ist, Authentifizieren der Person basierend auf der Kombination von physischen Auswahlen, und in Reaktion auf Bestimmen des Besitzes der sicheren physischen Einheit und Authentifizieren der Person, Aktivieren der Verwendung einer Ressource des Computergeräts.
Nachfolgend beschriebene Aspekte beinhalten zudem ein System, umfassend Mittel zum Empfangen einer Kombination von physischen Auswahlen, Mittel zum Bestimmen, basierend auf der Kombination von physischen Auswahlen, dass eine Person im Besitz einer sicheren physischen Einheit ist, dass die physische Einheit mit dem System integral ist, und Mittel zum Aktivieren einer Ressource des Computergeräts in Reaktion auf Bestimmen des Besitzes der sicheren physischen Einheit.
Figurenliste
Es werden Vorrichtungen von, und Techniken, die integrierte Zwei-Faktoren-Authentifizierung ermöglichen, unter Bezugnahme auf die nachfolgenden Zeichnungen beschrieben. Es werden in allen Zeichnungen die gleichen Nummern verwendet, um sich auf gleiche Merkmale und Komponenten zu beziehen:

1 veranschaulicht eine exemplarische Umgebung, in der die integrierte Zwei-Faktoren-Authentifizierung enthalten sein kann.
2 veranschaulicht Elemente von 1 ausführlicher.
3 veranschaulicht exemplarische Verfahren zum Authentifizieren eines zweiten Faktors, nämlich Besitz einer sicheren physischen Einheit.
4 veranschaulicht exemplarische Verfahren zum Initialisieren einer Person zu der sicheren physischen Einheit.
5 veranschaulicht drei unterschiedliche einzigartige Kombinationen von physischen Auswahlen, jede für eine andere Person oder Ressource.
6 veranschaulicht unterschiedliche Komponenten eines exemplarischen Computersystems, das integrierte Zwei-Faktoren-Authentifizierung implementieren kann, gemäß einem oder mehreren Aspekten.

AUSFÜHRLICHE BESCHREIBUNG
Überblick
Authentifizierungssysteme verbessern Informations- und Ressourcensicherheit wesentlich, indem sie etwas, das man sich gemerkt hat und etwas, das man mit sich führt, erfordern. Dies ist der Fall, weil viele Cyber-Angriffe ferngesteuert ausgeführt werden, weshalb ein Etwas, das man mit sich führt, oftmals vor diesen ferngesteuerten Angriffen Schutz bietet. Obwohl es sich als erfolgreich beim Verbessern von Cyber-Sicherheit erweist, erfordert die Voraussetzung eines Etwas, das man hat in Verbindung mit einem Etwas, das man weiß, dass Menschen dieses Mitgeführte im Auge behalten. Wenn eine Person das Mitgeführte verliert, kann sie nicht authentifiziert werden. Und selbst wenn dieses nicht verloren geht, ist es unangenehm oder lästig, wenn Menschen Mitgeführtes im Auge behalten müssen.
Um dieses Problem zu beheben, werden nachfolgend Techniken und Vorrichtungen beschrieben, die integrierte Zwei-Faktoren-Authentifizierung ermöglichen. Diese Techniken und Vorrichtungen ermöglichen die verbesserte Sicherheit des Mitgeführten, ohne die damit einhergehende Unannehmlichkeit oder das Risiko, dasselbe zu verlieren. Zu diesem Zweck ist eine sichere physische Einheit in einem Computergerät integriert. Obwohl diese das Mitgeführte bereitstellt, ohne die Notwendigkeit, ein separates Objekt mitzuführen, darf das Mitgeführte darüber hinaus nicht ferngesteuert zugänglich sein. Um einen ferngesteuerten Zugriff zu verhindern, werden physische Drähte von der sicheren physischen Einheit mit physischen Strukturen auf dem Computergerät verbunden. Auf diese Weise kann ein Hacker oder Cyber-Dieb ein Authentifizierungssystem nicht überzeugen, dass der Cyber-Angreifer tatsächlich das Mitgeführte, mit sich führt, da der Angreifer im physischen Besitz des Computergeräts sein müsste, um dies zu tun. Mit einer physischen unfälschbaren Auswahl der physischen Strukturen auf dem Computergerät weist die Person dem Authentifizierungssystem nach, dass die Person im Besitz der sicheren physischen Einheit ist.
Gehen wir z. B. von einem Fall aus, in dem eine Person einen Schlüsselanhänger aufbewahren muss, der einen Sicherheitschip aufweist. Wenn die Person denselben zu Hause lässt, kann sie auf ihren Computer am Arbeitsplatz nicht zugreifen. Wenn derselbe nass oder schmutzig wird, funktioniert er möglicherweise nicht mehr. Wenn sie denselben zerbricht oder verliert, kann sie ebenfalls nicht auf ihren Computer zugreifen. Im Gegensatz dazu kann durch die beschriebene integrierte Zwei-Faktoren-Authentifizierung eine Person immer auf ihren Computer zugreifen, da das Mitgeführte in den Computer integriert ist, d. h. sie kann auf eine Auswahl von Knöpfen oder Tasten drücken, die durch physische Drähte mit einer physisch sicheren Einheit kommunizieren, um nachzuweisen, das sie im Besitz ihres Computers ist.
Die folgende Abhandlung beschreibt zunächst eine Betriebsumgebung, dann Verfahren, physische Auswahlen für eine sichere physische Einheit, und endet mit einem exemplarischen elektronischen Gerät sowie exemplarischen Aspekten.
Exemplarische Umgebung
1 veranschaulicht eine exemplarische Umgebung 100, in der die integrierte Zwei-Faktoren-Authentifizierung enthalten sein kann. Die exemplarische Umgebung 100 beinhaltet ein Computergerät 102, das eine sichere physische Einheit 104, Drähte 106, physische Strukturen 108 und physische Auswahlen 110 aufweist. Das Computergerät 102 beinhaltet die sichere physische Einheit 104, wie z. B. durch Integration mit dessen Schaltung. Die sichere physische Einheit 104 kann durch eine Kombination der physischen Auswahlen 110 der physischen Strukturen 108 bestimmen, dass eine Person im Besitz der sicheren physischen Einheit 104 ist. Die physischen Strukturen 108 können in dem Computergerät 102 integriert, oder peripher dazu sein, und sind hier kommunikativ durch die Drähte 106 mit der sicheren physischen Einheit 104 verbunden. Basierend auf der Kombination der physischen Auswahlen 110, die mit einer Kombination von der Person zugeordneten Auswahlen übereinstimmen, bestimmt die sichere physische Einheit 104, dass die Person im Besitz des Computergeräts 102 und der sicheren physischen Einheit 104 ist. Auf diese Weise authentifizieren die Techniken mit einem zweiten Faktor, dem zweiten Faktor, nämlich etwas Mitgeführtem, anstatt nur mit einem ersten Faktor, nämlich im Allgemeinen etwas, das man weiß.
Nehmen wir beispielsweise an, dass eine Person ihren Laptop-Computer verwenden möchte. Zu diesem Zweck benötigt sie Zwei-Faktoren-Authentifizierung, hier etwas, das man weiß über ein Kennwort, das in eine Benutzeroberfläche des Computers eingegeben wird, und etwas Mitgeführtes, das durch Auswahl einer Kombination von physischen Auswahlen nachgewiesen wird, um Besitz der sicheren physischen Einheit 104 nachzuweisen. Nehmen wir an, dass sie den Laptop einschaltet und dann ihr Kennwort in einen Startbildschirm eingibt. Anschließend drückt sie für einen zweiten Faktor die Umschalttaste auf ihrer integrierten Tastatur und gleichzeitig die Zahl „9“ auf der Tastatur sowie die Lauter-Schaltfläche auf der Anzeige des Laptops. Mit einem authentifizierten Kennwort und einem bestimmten Besitznachweis erlaubt der Laptop den Zugriff. Es ist zu bemerken, dass es für einen Remote-Hacker oder -Cyber-Dieb schwierig, wenn nicht gar unmöglich wäre, Zugriff zu erlangen, ohne im Besitz des Laptops zu sein und diesen Besitz durch Auswahl dieser Kombination von Tasten und Schaltfläche nachzuweisen.
Ausführlicher ausgedrückt, beinhalten Beispiele der physischen Auswahlen 110 eine Tastenbetätigung 110-1, periphere Schaltflächenbetätigung 110-2, Berührung 110-3 eines weichen Sensors oder Gerätetastenbetätigung 110-4. Nehmen wir für die Tastenbetätigung 110-1 an, dass das Computergerät 102 entweder eine integrierte Tastatur oder eine drahtgebundene Verbindung zu der Tastatur aufweist. Die Tastatur beinhaltet Tasten 108-1, ganz gleich ob es sich dabei um typische mechanische Tasten oder Soft-Touch- oder Schaltflächen handelt, die eine physische Auswahl erfordern. Die periphere Schaltflächenbetätigung 110-2 ist eine physische, allgemein mechanische Betätigung einer peripheren Schaltfläche 108-2 eines Geräts, das eine drahtgebundene Verbindung zu dem Computergerät 102, wie z. B. einen Netzschalter auf einer Anzeige oder einen Lautstärkeknopf oder -rad auf einem peripheren Audiolautsprecher, aufweist. Die Berührung 110-3 von einem weichen Sensor 108-3 kann das Positionieren eines Fingers oder eines Stiftes neben einem kapazitiven oder Hall-Effekt-Sensor, oder eine Berührung eines Touchscreens oder eines Fingerabdrucklesers sein. Die Gerätetastenbetätigung 110-4 drückt, hält oder bewegt eine Taste oder einen Schalter, hier eine Gerätetaste 108-4.
Nehmen wir Bezug auf 2, die Elemente von 1 ausführlicher veranschaulicht. Das Computergerät 102 ist mit unterschiedlichen, nicht einschränkenden exemplarischen Geräten veranschaulicht: Smartphone 102-1, Laptop 102-2, Fernseher 102-3, Desktop 102-4, Tablet 102-5 und tragbarer Computer 102-6. Das Computergerät 102 beinhaltet (einen) Computerprozessor(en) 202 und computerlesbare Medien 204, die Speichermedien 206 und Archivierungsmedien 208 beinhalten. Anwendungen und/oder ein Betriebssystem (nicht dargestellt), die als computerlesbare Anweisungen auf computerlesbaren Medien 204 enthalten sind, können durch Computerprozessor(en) 202 ausgeführt werden, um einige hierin beschriebene Funktionalitäten bereitzustellen. Die computerlesbaren Medien 204 beinhalten zudem Authentifikator 210, der separat oder als Teil der Archivierungsmedien 208 gespeichert werden kann. Der Authentifikator 210 ist konfiguriert, um eine Person durch Zwei-Faktoren-Authentifizierung entweder alleine oder in Kombination mit anderen Programmen zu authentifizieren. Der Authentifikator 210 arbeitet dahingehend, um die sichere physische Einheit 104 in Abhängigkeit von der Implementierung zu unterstützen oder zu verwenden. Das Computergerät 102 beinhaltet außerdem die sichere physische Einheit 104 und beinhaltet entweder die physischen Strukturen 108, oder ist oftmals durch Drähte 106 in kommunikativer Verbindung mit derselben.
Genauer ausgedrückt, kann die sichere physische Einheit 104 mit den Prozessoren 202 und den computerlesbaren Archivierungsmedien 208 integriert werden, auch wenn sie ggf. ihre eigenen Prozessoren und/oder Archivierungsmedien beinhaltet. Beispielsweise kann die sichere physische Einheit 104 einen Speicher beinhalten, der einen kryptografisch sicheren Schlüssel 212, Firmware 214 und drahtgebundene Eingabeanschlüsse 216 aufweist. Der kryptografisch sichere Schlüssel 212 ist etwas, bei dem sichergestellt werden kann, dass es sicher ist, wie z. B. ein One-Way-Schlüssel, der durch einen Hash-Algorithmus generiert wird, obwohl viele unterschiedliche Arten von sicheren Schlüsseln verwendet werden könnten. Die Firmware 214 ist konfiguriert, um die Vorgänge der nachfolgend beschriebenen Verfahren alleine oder zusammen mit anderen Einheiten (z. B. dem Authentifikator 210) auszuführen, obwohl in einigen Aspekten die sichere physische Einheit 104 vollständig fest verdrahtet sein kann, wobei sie auf anderen Anwendungen basiert, um einige Vorgänge auszuführen. Mit den drahtgebundenen Eingangsanschlüssen 216 kann im Allgemeinen nicht von irgendeiner schätzbaren Distanz außer durch die Drähte 106 kommuniziert zu werden.
In einigen Fällen beinhaltet die sichere physische Einheit 104 auch einen NFC (Nahfeldkommunikations-) Eingang 218. Daher können die drahtlosen physischen Auswahlen der sicheren physischen Einheit 104 zusammen mit einer drahtgebundenen Kommunikation von einer anderen physischen Struktur mitgeteilt werden. In einem solchen Fall kann eine der physischen Auswahlen durch eine physische Struktur erfolgen, die integral mit einem Peripheriegerät des Computergeräts 102 ist (wobei diese Auswahl durch eine Nachfeldübertragung (NFC) empfangen wird) und eine andere mit einer physischen Auswahl, die zu einer Struktur gemacht wird, die in drahtgebundener Kommunikation mit der sicheren physischen Einheit 104 steht. Weitere Beispiele beinhalten einen Fall, in dem eine NFC-Kommunikation dahingehend bekannt ist, dass sie lokal und sicher sind, und zulassen, dass die Techniken selbst ohne eine drahtgebundene Kommunikation bestimmen, dass eine Person im Besitz der sicheren physischen Einheit 104 ist. NFC-Beispiele beinhalten eine drahtlose Tastatur, die physische Strukturen aufweist, die entweder alleine oder in Kombination mit einer drahtgebundenen Auswahl auswählbar sind, wie z. B. ein Tablet-Netzschalter und eine drahtlose Tablet-Tastatur.
Die sichere physische Einheit 104 beinhaltet zudem eine einzigartige Kombination 220, die die Kombination der physischen Auswahlen 110 darstellt, die benötigt werden, um zu bestimmen, dass die Person in deren Besitz ist. Bei Bestimmen des Besitzes kann die sichere physische Einheit 104, wie an anderer Stelle hierin ausführlicher beschrieben, den sicheren Schlüssel 212 bereitstellen.
Die teilweise in 1 veranschaulichten physischen Strukturen 108 können auch mechanische oder nicht mechanische Strukturen beinhalten, die jeweils Bewegung oder Nähe erfordern. Beispiele beinhalten mechanische Strukturen, die Bewegung beinhalten, um eine Auswahl anzugeben, z. B. eine Schaltfläche, einen Hebel, eine Zehnertastatur, Tasten, Lautstärke, Strom oder andere mechanische Bewegung, die in einem Chassis von dem Computergerät 102 oder einem Peripheriegerät integriert ist. Andere Beispiele beinhalten nicht mechanische Strukturen, die die Nähe eines Stiftes oder Fingers der Person erfordern, um eine Auswahl anzugeben, wie z. B. einen Hall-Effekt-, weichen/Kondensator-, Bewegungs- oder Näherungssensor.
Die sichere physische Einheit 104 ist konfiguriert, um durch die Drähte 106 eine Kombination von physischen Auswahlen 110 zu empfangen, die durch die physischen Strukturen 108 erfolgen. Anschließend bestimmt die sichere physische Einheit 104 basierend auf der Kombination von physischen Auswahlen, dass eine Person im Besitz der sicheren physischen Einheit 104 ist. Die sichere physische Einheit 104 kann, z. B. einem Remote-Authentifizierungssystem oder lokal dem Authentifikator 210, das/der wiederum den Zugriff auf eine Ressource durch die Person zulässt, angeben, dass die Person im Besitz der sicheren physischen Einheit 104 ist. Die sichere physische Einheit 104 kann jedoch einfach veranlassen, dass auf die Informationen oder die Ressource durch die Person durch den Betrieb der Firmware 214 zugegriffen wird.
In einigen Aspekten ist die sichere physische Einheit 104 ein Siliziumchip, der integral mit einer integrierten Schaltung, einer Hauptplatine oder anderer Hardware des Computergeräts 102 ist. Beispielsweise kann die sichere physische Einheit 104 drahtgebunden sein, z. B. als Teil einer Leiterplatte (PCB), wobei die Drähte 106 Signalspuren auf der PCB sind, die zu den physischen Strukturen 108 gehen. Die sichere physische Einheit 104 kann eine zuvor und dauerhaft eingestellte einzigartige Kombination von physischen Auswahlen beinhalten, die einer oder sogar mehreren Personen zugeordnet ist. Möglichkeiten, in denen diese Kombinationen initialisiert werden, sind an anderer Stelle hierin beschrieben.
Da die Umgebung, in der Techniken und Vorrichtungen für integrierte Zwei-Faktoren-Authentifizierung implementiert werden können, im Allgemeinen beschrieben wurde, wendet sich diese Abhandlung nun exemplarischen Verfahren zu.
Exemplarische Verfahren
Die nachfolgende Abhandlung beschreibt Verfahren für integrierte Zwei-Faktoren-Authentifizierung. Diese Verfahren können, wie in 1 und 2 dargestellt, unter Verwendung der zuvor beschriebenen Beispiele, wie z. B. dem Computergerät 102 und der sicheren physischen Einheit 104 implementiert werden. Aspekte dieser Verfahren sind in 3 veranschaulicht, die als durch eine oder mehrere Einheiten ausgeführte Vorgänge veranschaulicht sind. Die Reihenfolgen, in der diese Verfahren dargestellt und/oder beschrieben werden, sind nicht als Einschränkung gedacht und jegliche Anzahl oder Kombination an Betriebsweisen der beschriebenen Verfahrensvorgänge können in beliebiger Reihenfolge kombiniert werden, um ein Verfahren oder ein abwechselndes Verfahren zu implementieren.
3 veranschaulicht ein exemplarisches Verfahren 300 zum Authentifizieren eines zweiten Faktors, nämlich Besitz einer sicheren physischen Einheit.
Bei 302 wird eine Kombination von physischen Auswahlen durch eine drahtgebundene oder drahtlose Nahfeldkommunikation empfangen. Die Kombination von physischen Auswahlen erfolgt durch zwei oder mehr physische Strukturen, die in einem Computergerät oder einem Peripheriegerät des Computergeräts integriert sind. Diese Kombination von physischen Auswahlen kann gleichzeitig erfolgen, wie z. B. Drücken von zwei Schaltflächen auf einmal oder nacheinander, wie z. B. Drücken einer Lauter-Schaltfläche, Loslassen der Lauter-Schaltfläche und dann beispielsweise schnelles Drücken der ESC-Taste. Einige Kombinationen sind komplex, während andere relativ einfach sind, und daher können zwei, drei oder sogar mehr Auswahlen gleichzeitig, nacheinander oder eine Kombination von beiden durchgeführt werden. Eine Person kann eine Umschalttaste auf einer Tastatur gleichzeitig (z. B. beide gedrückt halten, selbst wenn eine vor der anderen gedrückt wurde) mit einer Leertaste drücken, dann die Umschalttaste loslassen, dabei einen Druck auf die Leertaste aufrechterhalten, während eine Zehnertastatur betätigt wird. Einfachere Beispiele sind ebenfalls zulässig, wie z. B. gleichzeitiges Drücken einer Lauter-Taste und eines Netzschalters auf einem Smartphone.
Wie zuvor bemerkt, kann die Kombination von physischen Auswahlen mindestens teilweise durch eine drahtlose NFC-Übertragung erfolgen. Beispiele beinhalten diejenigen, bei denen die physischen Strukturen eine Taste oder eine Schaltfläche einer Tastatur beinhalten, wenn die Tastatur dem Computergerät zugeordnet, jedoch nicht darin integriert ist. Die Tastatur kann einen drahtlosen NFC-Sender beinhalten, durch den die drahtlose NFC-Übertragung übertragen wird.
Bei 304 wird basierend auf der Kombination von physischen Auswahlen bestimmt, dass eine Person im Besitz der sicheren physischen Einheit ist. Wie bemerkt, ist diese sichere physische Einheit in dem Computergerät integriert. Aus diesem Grund kann eine Person die sichere physische Einheit nicht verlieren, ohne auch das Computergerät zu beschädigen. Dem Benutzer werden außerdem keine Umstände dadurch bereitet, im Besitz der sicheren physischen Einheit oder eines anderen Faktorauthentifizierungsobjekts bleiben zu müssen, um das Mitgeführte bei sich zu haben.
Bestimmen des Besitzes kann durch die sichere physische Einheit 104 durch Vergleichen der Kombination von physischen Auswahlen mit einer der Person zugeordneten einzigartigen Kombination ausgeführt werden. Der Vergleich kann in Hardware oder Firmware der sicheren physischen Einheit 104 durch Vergleichen einer gespeicherten Kombination mit der durch die Drähte 106 und die drahtgebundenen Eingangsanschlüsse 216 empfangenen Kombination, oder, wie zuvor bemerkt, ganz oder teilweise mit einer NFC-Übertragung verglichen werden. Möglichkeiten mit einem binären Ja/Nein beim Vergleichen von zwei Gruppen von Daten sind in dem Bereich gut bekannt, und können innerhalb einer physischen integrierten Schaltung oder in Software sicher ausgeführt werden. Hierbei wird eine Kombination benötigt, um zu zeigen, dass Besitz dauerhaft, und ohne fortlaufenden Stromverbrauch, als die einzigartige Kombination 220 gespeichert werden kann. Wie bemerkt, kann mehr als eine einzigartige Kombination 220 vorhanden sein, wobei jede derselben eine andere Person oder eine andere Gruppe von Zugriffsrechten darstellt. Im Falle von unterschiedlichen Gruppen von Zugriffsrechten gibt es mehrere sichere Schlüssel 212, wovon jeder diese unterschiedlichen Zugriffsrechte darstellt.
Bei 306 werden Anmeldeinformationen empfangen und authentifiziert. Bei den Anmeldeinformationen handelt es sich um etwas, das man weiß, wie z. B. ein Kennwort, das von dem Computergerät empfangen wird. Das Computergerät kann auf der Firmware 214 der sicheren physischen Einheit 104 basieren oder kann das Kennwort der Person empfangen und durch den Authentifikator 210 authentifizieren. Dieser Vorgang kann optional sein, wobei angenommen wird, dass er vor Bestimmen des Besitzes bei Vorgang 304 abgeschlossen wird, oder nach Bestimmen des Besitzes ausgeführt wird, wobei in diesem Fall das Verfahren den Zugriff nach Empfangen einer Angabe zulässt, dass die Anmeldeinformationen authentisch sind. Es ist zu bemerken, dass Empfangen der Anmeldeinformationen auch optional sein kann, um die Ressourcen des Computergeräts zu aktivieren. Darüber hinaus können die empfangenen und authentifizierten Anmeldeinformationen dieselbe Kombination von physischen Auswahlen sein, die nachfolgend ausführlicher beschrieben werden.
Bei 308 wird in Reaktion auf das Bestimmen des Besitzes der sicheren physischen Einheit die Verwendung einer Ressource des Computergeräts ermöglicht. In einigen Fällen bestimmt die sichere physische Einheit 104 den Besitz und leitet diese Angabe an den Authentifikator 210 weiter, der wiederum Zugriff erlaubt, wenn die Anmeldeinformationen einer Person später (oder bereits zuvor) authentifiziert wurden. In einem solchen Fall leitet die sichere physische Einheit 104 einen angemessenen Sicherheitsschlüssel 212, wie z. B. jenen der Kombination von physischen Auswahlen zugeordneten, und somit die Person und die Berechtigungen weiter, sofern mehr als eine Gruppe oder eine Ebene von Berechtigungen existieren. Mit diesem sicheren Schlüssel 212 ermöglicht der Authentifikator 210 die Verwendung der Ressource, obwohl der Authentifikator 210 auch die Authentifizierung der Anmeldeinformationen erfordern kann.
In anderen Fällen gestattet die sichere physische Einheit 104 einem anderen, oder veranlasst diesen, den Zugriff auf Ressourcen ohne Angabe von authorisierten Anmeldeinformationen zu erlauben. Die Techniken erwägen ggf. die Kombination von physischen Auswahlen als Darstellung des Mitgeführten in Verbindung mit etwas, das man weiß. Dies kann mit Ressourcen mit niedrigerer Priorität und Informationen, oder sogar für Ressourcen mit höherer Priorität erfolgen. Für Ressourcen mit höherer Priorität ist es unwahrscheinlich, dass die Kombination eine sehr einfache ist, wie z. B. gleichzeitiges Drücken eines Netzschalters und Lautstärkeknopfes. Stattdessen kann die Kombination ausreichend komplex sein, um das Mitgeführte und das Wissen darzustellen. In einigen Fällen ermöglicht die sichere physische Einheit 104 die Verwendung der Ressource ohne Hilfe von einer anderen Einheit basierend auf dieser Komplexität. In einigen anderen Fällen kann die sichere physische Einheit 104 basierend auf einer Kombination bestimmen, dass die Person im Besitz ist, und die Kombination außerdem an eine andere Einheit, wie z. B. an den Authentifikator 210, weiterleiten, die dann die Kombination als Anmeldeinformationen behandelt. Daher kann ein Eintrag einer Kombination von physischen Auswahlen nachweisen, dass die Person im Besitz der sicheren physischen Einheit (das Mitgeführte) ist, und das Etwas, das man weiß nachweisen. Obwohl für die Techniken nicht erforderlich, ist dies eine mögliche und sehr effiziente Art, eine Person zu authentifizieren und die Ressourcenverwendung für eine Person zu ermöglichen.
Nehmen wir beispielsweise an, eine Person möchte ihren Computer verwenden. Sie schaltet ihn ein und drückt dann eine Drei-Tasten-Kombination, die mit der Kombination für die sichere physische Einheit 104 übereinstimmt. Anschließend wird bestimmt, dass sie im Besitz ist. Sie hat noch kein Kennwort eingegeben, deshalb kann ggf. ihren Computer mit eingeschränkten Berechtigungen starten, und z. B. im Internet zu surfen. Oder die eingeschränkten Berechtigungen können ausreichen, um den Computer nur zu verwenden, damit eine Benutzeroberfläche um ein Kennwort bittet. Oder es kann unterschiedliche Zugriffsebenen basierend darauf geben, welches Kennwort sie eingibt, sodass der anfängliche Zugriff die niedrigste Ebene ist, z. B. nur lokale Daten, und dann zwei andere Kennwörter jeweils eine mittlere (z. B. Serverdaten) und eine hohe Zugriffsebene (z. B. unternehmensweiten Administratorzugriff) ermöglichen.
Nehmen wir für ein zweites Beispiel einen Mann an, der seinen Laptop und alle seine normalen Berechtigungenl, wie z. B. Internetzugriff, Serverdatenzugriff und Zugriff auf lokale Daten, verwenden will. Nehmen wir an, dass er seinen Laptop einschaltet und dann eine Kombination auswählt, die Tasten drückt und einige davon gleichzeitig und einige aufeinanderfolgend berührt, und die, basierend auf Zeitpunkt und Komplexität für eine andere Person, die ihn beobachtet, schwer replizierbar sind. Dadurch können die Techniken ihm vollen Zugriff ohne separate Anmeldeinformationen geben. Daher wird angegeben, dass diese Person im Besitz ist, oder die Ressource wird aktiviert, ohne diese Angabe zu einer anderen Einheit weiterzuleiten, um Zugriff zu ermöglichen (z. B. Authentifikator 210).
Das Verfahren 300 kann für mehr als eine Person verwendet werden, da die sichere physische Einheit 104 mehr als eine einzigartige Kombination 220 speichern kann. Daher wird optional bei 310 eine andere Kombination von physischen Auswahlen empfangen, die durch zwei oder mehr unterschiedliche physische Strukturen vorgenommen wurden. Bei 312 wird die andere Kombination mit den einzigartigen Kombinationen 220 verglichen und bestimmt, das sie nicht übereinstimmt, wobei in diesem Fall Zugriff auf die Ressource des Computergeräts 102 bei Vorgang 316 verweigert wird. Bei 314 wird die andere Kombination mit den einzigartigen Kombinationen 220 verglichen und bestimmt, das sie mit einer der einzigartigen Kombinationen 220 übereinstimmt, wobei in diesem Fall Zugriff auf die Ressource des Computergeräts 102 bei Vorgang 308 ermöglicht wird. Dadurch kann mehr als eine Person ein Computergerät verwenden, obwohl der zugelassene Zugriff auf Ressourcen auf diesem Computergerät basierend auf der Identität der Person variieren kann.
Obwohl nicht erforderlich, können die Techniken, wie durch das exemplarische Verfahren 400 von 4 dargestellt, eine Person zu der sicheren physischen Einheit initialisieren. Diese Initialisierung kann einfach darin bestehen, der Person zu sagen, was die einzigartige Kombination von physischen Auswahlen benötigt wird, um den Besitz der sicheren physischen Einheit zu verifizieren. In einigen Fällen werden jedoch mehrere Personen, mehrere Zugriffsrechte und benutzerauswählbare Kombinationen von physischen Auswahlen zugelassen.
Bei 402 wird eine Benutzeroberfläche dargestellt, die angibt, dass die Auswahl einer Kombination von physischen Auswahlen initialisiert werden kann. Die Benutzeroberfläche kann unterschiedliche Optionen präsentieren, wie z. B. die physischen Strukturen 108 von 1, die mit der sicheren physischen Einheit 104 drahtgebunden sind, und entfernt oder auf einem Computergerät ausgeführt werden können, das eine sichere physische Einheit aufweist. Es ist zu bemerken, dass nicht alle potenziellen physischen Strukturen drahtgebunden sein müssen, wobei einige Untergruppen eher drahtgebunden und andere drahtlos sein können. Nehmen wir daher an, dass die Benutzeroberfläche die Person bittet, drei der folgenden physischen Strukturen 108 so auszuwählen, dass sie gleichzeitig ausgewählt werden: Berühren des Touchpads der Tastatur; Drücken von einer oder zwei Tasten auf der Tastatur; Drücken einer Leiser-Schaltfläche auf der Anzeige; Drücken einer Lauter-Schaltfläche auf der Anzeige; Drücken des Netzschalters auf der Anzeige; Drücken des Netzschalters auf dem Gehäuse des Hauptcomputers; Drehen des peripheren Lautstärkenwählelements nach oben oder nach unten (z. B. ein drahtgebundenes oder drahtloses); Kippen der Anzeige relativ zu der Tastatur (für angeschlossene Anzeige/Tastaturen).
Bei 404 wird eine einzigartige Kombination von physischen Auswahlen der physischen Strukturen empfangen. Diese Kombination kann durch die sichere physische Einheit 104 empfangen, woraufhin die Kombination als eine der einzigartigen Kombinationen 220 gespeichert werden kann. Hierbei können unterschiedliche Komplexitätsebenen verwendet oder weggelassen werden, wie z. B. Zuordnen der einzigartigen Kombination 220 zu einer bestimmten Person, obwohl dies nicht erforderlich ist. Daher kann jeder Person, die die physischen Auswahlen kennt, in diesem bestimmten Fall gestattet werden, als in Besitz des Computergeräts 102 befindlich bestimmt zu werden. In anderen Fällen können die mehreren unterschiedlichen Kombinationen empfangen, und anderen Personen oder anderen Ressourcen für eine selbe Person zugeordnet werden.
Bei 406 wird die einzigartige Kombination von physischen Auswahlen als eine einzigartige Kombination auf der sicheren physischen Einheit gespeichert. Dies ist nur ein Beispiel der einzigartigen Kombinationen 220, die in 2 dargestellt, und in Verfahren 300 verwendet werden.
Bei 408 wird die gespeicherte einzigartige Kombination einem sicheren Schlüssel, wie z. B. einem der sicheren Schlüssel 212 oder einem der in 5 dargestellten, zugeordnet. Wie erwähnt, kann jeder sichere Schlüssel Berechtigungen einer anderen Person und/oder anderer Ressourcen zugeordnet werden. Verfahren 400 kann wiederholt werden, was mit einer gestrichelten Linie dargestellt ist.
Nehmen wir an, dass beispielsweise zwei Personen die sichere physische Einheit initialisiert haben, jede mit anderen Kombinationen, und dass eine von ihnen mit zwei Ressourcenzugriffsebenen initialisiert hat. Dies ist in 5 veranschaulicht, die drei unterschiedliche einzigartige Kombinationen, die einzigartige Kombination 502 einer ersten Person, die einzigartige Kombination 504 mit niedriger Zugriffsebene einer zweiten Person und die einzigartige Kombination 506 mit hoher Zugriffsebene einer zweiten Person darstellt. Es ist zu bemerken, dass jede dieser Kombinationen einen entsprechenden geheimen Schlüssel 508, 510 und 512 aufweist, und dass jede jeweils andere physische Auswahlen 514, 516 und 518, erfordert. Beispiele physischer Auswahlen und physischer Strukturen von 1 sind zur Veranschaulichung bereitgestellt. Die physischen Auswahlen 514 beinhalten die Gerätetastenbetätigung 108-4 und die Berührung 110-3. Die physischen Auswahlen 516 beinhalten drei gleichzeitige Tastendrücke 110-1. Die physischen Auswahlen 518 beinhalten den Tastendruck 110-1 und die periphere Tastenbetätigung 110-2.
Bei Auswahl einer dieser Kombinationen von physischen Auswahlen werden Besitz und Identität sowie Ressourcenrechte (für zweite und dritte Kombinationen, wie oben beschrieben) bestätigt. Jeder zugeordnete geheime Schlüssel 508, 510 oder 512 wird dann, wie zuvor beschrieben, an den 214 und/oder den Authentifikator 210 weitergeleitet.
Die vorangegangene Abhandlung beschreibt Verfahren betreffend Zwei-Faktoren-Authentifizierung. Aspekte dieser Verfahren können in Hardware (z. B. feste Logikschaltung), Firmware, Software, manueller Verarbeitung oder einer Kombination derselben implementiert sein. Diese Techniken können bei einer oder mehreren der Einheiten, die in den 1, 2, 5 und 6 dargestellt sind, enthalten sein (das Computersystem 600 wird in 6 nachfolgend beschrieben), die weiter aufgeteilt, kombiniert werden können und so weiter. Daher veranschaulichen diese Figuren einige der vielen möglichen Systeme oder Vorrichtungen, die in der Lage sind, die beschriebenen Techniken einzusetzen. Die Einheiten dieser Figuren stellen generell Software, Firmware, Hardware, gesamte Vorrichtungen oder Netzwerke oder eine Kombination derselben dar.
Exemplarisches Computersystem
6 veranschaulicht verschiedene Komponenten eines exemplarischen Computersystems 600, das, wie unter Bezugnahme auf die vorangegangenen 1-5 beschrieben, als eine Art von Client, Server und/oder Computergerät implementiert werden kann, um integrierte Zwei-Faktoren-Authentifizierung auszuführen. In Aspekten kann das Computersystem 600 als einzelne oder eine Kombination von einer drahtgebundenen und/oder drahtlosen tragbaren Vorrichtung, System-On-Chip (SoC) und/oder als eine andere Vorrichtungsart oder Teil derselben implementiert werden. Das Computersystem 600 kann auch mit einem Benutzer (z. B. einer Person, die Zugriff auf Informationen und Ressourcen erlangen möchte) und/oder einer Einheit verbunden sein, der bzw. die die Vorrichtung derart betreibt, dass eine Vorrichtung logische Vorrichtungen beschreibt, die Benutzer, Software, Firmware und/oder eine Kombination von Vorrichtungen beinhalten.
Das Computersystem 600 beinhaltet die sichere physische Einheit 104 von 1, 2 und 5, obwohl diese Einheit nicht genau wie veranschaulicht vorliegen muss. Die sichere physische Einheit 104 kann in dem Computersystem 600 durch Integration mit einer Hauptplatine oder von derselben getrennt integriert sein, jedoch innerhalb des Rahmens, Gehäuses oder anderen Strukturen des Computersystems 600.
Das Computersystem 600 beinhaltet die Kommunikationsgeräte 602, die drahtgebundene und/oder drahtlose Kommunikation von Gerätedaten 604 ermöglichen (z. B. empfangene Daten, Daten, die empfangen werden, Daten, die für die Übertragung eingeplant sind, Datenpakete von Daten usw.). Die Gerätedaten 604 oder andere Geräteeinhalte können Konfigurationseinstellungen des Geräts, Medieninhalte, die in dem Gerät gespeichert sind, und/oder mit einem Benutzer des Geräts verbundene Informationen beinhalten. Auf dem Computersystem 600 gespeicherte Medien können jede Art von Audio-, Video- und/oder Bilddaten beinhalten, und können eine Ressource oder Informationen sein, worauf der Zugriff verweigert wird. Das Computersystem 600 beinhaltet eine oder mehrere Dateneingaben 606, über die jeder Typ von Daten, Medieninhalt und/oder Eingaben wie menschliche Äußerungen, Berührungsdaten, vom Benutzer wählbare Eingaben (explizit oder implizit), physische, wählbare Strukturen, Nachrichten, Musik, Fernsehmedieninhalte, aufgezeichnete Videoinhalte und jede andere Art von irgendeiner Inhalts- und/oder Datenquelle empfangenen Audio-, Video- und/oder Bilddaten empfangen werden kann/können.
Das Computersystem 600 beinhaltet zudem Kommunikationsschnittstellen 608, die als eine oder mehrere einer seriellen und/oder parallelen Schnittstelle, einer drahtlosen Schnittstelle, einer Art von Netzwerkschnittstelle, ein Modem und als jede andere Art von Kommunikationsschnittstelle implementiert werden können. Die Kommunikationsschnittstellen 608 stellen eine Verbindung und/oder Kommunikationsverbindungen zwischen dem Computersystem 600 und einem Kommunikationsnetz bereit, mittels dem andere elektronische, Computer- und Kommunikationsgeräte Daten mit dem Computersystem 600 kommunizieren.
Das Computersystem 600 beinhaltet einen oder mehrere Prozessoren 610 (z. B. beliebige Mikroprozessoren, Controller und dergleichen), die verschiedene computerausführbare Befehle verarbeiten, um den Betrieb des Computersystems 600 zu steuern und um Techniken für integrierte Zwei-Faktoren-Authentifizierung, in der diese enthalten sein können, zu ermöglichen. Alternativ oder außerdem kann das Computersystem 600 mit irgendeiner oder einer Kombination von Hardware, Firmware oder fester Logikschaltung implementiert sein, die in Verbindung mit Verarbeitungs- und Steuerschaltungen, die generell bei 612 identifiziert sind, implementiert ist. Obwohl nicht dargestellt, kann das Computersystem 600 einen Systembus oder ein Datenübertragungssystem beinhalten, das die verschiedenen Komponenten innerhalb des Geräts koppelt. Ein Systembus kann eine beliebige oder eine Kombination von unterschiedlichen Bus-Strukturen wie einen Speicherbus oder Memory-Controller, einen Peripheriebus, einen universellen seriellen Bus und/oder einen Prozessor- oder lokalen Bus beinhalten, der irgendwelche aus einer Vielzahl von Busarchitekturen verwendet.
Das Computersystem 600 beinhaltet zudem computerlesbare Medien 614 wie eine oder mehrere Speichergeräte, die permanenten und/oder nicht flüchtigen Datenspeicher ermöglichen (d. h. im Gegensatz zu reiner Signalübertragung), wobei Beispiele dafür Direktzugriffsspeicher (RAM), nicht flüchtiger Speicher (z. B. eines oder mehrere von einem Nur-Lese-Speicher (ROM), Flash-Speicher, EPROM, EEPROM usw.) und eine Plattenspeichereinheit beinhalten. Eine Plattenspeichereinheit kann als jede Art von magnetischem oder optischem Speichergerät, wie z. B. ein Festplattenlaufwerk, eine beschreibbare und/oder wiederbeschreibbare Compact Disc (CD), eine Art von Digital Versatile Disc (DVD) und dergleichen implementiert sein. Das Computersystem 600 kann zudem ein Massenspeichermediengerät 616 beinhalten.
Die computerlesbaren Medien 614 stellen Datenspeichermechanismen bereit, um die Gerätedaten 604 zu speichern, sowie verschiedene Geräteanwendungen 618 und beliebige andere Arten von Informationen und/oder Daten, die mit Betriebsaspekten des Computersystems 600 verbunden sind. Ein Betriebssystem 620 kann beispielsweise als eine Computeranwendung mit computerlesbaren Medien 614 aufrechterhalten und auf den Prozessoren 610 ausgeführt werden. Die Geräteanwendungen 618 können einen Gerätemanager, wie z. B. eine beliebige Form einer Steuerungsanwendung, Softwareanwendung, Signalverarbeitung und Steuermodul, Code, der einem bestimmten Gerät eigen ist, eine Hardwareabstraktionsschicht für ein bestimmtes Gerät und so weiter beinhalten.
Die Geräteanwendungen 618 können zudem beliebige Systemkomponenten, Engines oder Manager beinhalten, um die Techniken zu implementieren. In diesem Beispiel beinhalten die Geräteanwendungen 618 den Authentifikator 210.
Obwohl Aspekte von integrierter Zwei-Faktoren-Authentifizierung sprachenspezifisch in Bezug auf Funktionen und/oder Verfahren beschrieben wurden, ist der Gegenstand der beigefügten Ansprüche nicht zwangsläufig auf diese bestimmten beschriebenen Funktionen oder Verfahren beschränkt. Die spezifischen Merkmale und Verfahren sind vielmehr als exemplarische Implementierungen von integrierter Zwei-Faktoren-Authentifizierung offenbart.

Claims

Computergerät, umfassend: eine sichere physische Einheit, die in dem Computergerät integriert ist; mit der sicheren physischen Einheit durch Drähte und/oder drahtlose Nahfeldkommunikations (NFC)-Übertragung kommunikativ verbundene physische Strukturen; einen oder mehrere Prozessor(en); und ein oder mehrere computerlesbare Speichermedien mit Anweisungen darauf, die in Reaktion auf Ausführung durch den einen oder die mehreren Prozessoren Vorgänge ausführen, umfassend: Empfangen einer Kombination von physischen Auswahlen, die durch die physischen Strukturen erfolgen, wobei die physischen Auswahlen durch die Drähte und/oder drahtlose NFC-Übertragung empfangen werden; Bestimmen, basierend auf der Kombination von physischen Auswahlen, dass eine Person im Besitz der sicheren physischen Einheit ist; und in Reaktion auf Bestimmen des Besitzes der sicheren physischen Einheit, Angeben, dass die Person im Besitz der sicheren physischen Einheit ist und/oder Ermöglichen des Zugriffs auf eine Ressource des Computergeräts.
Computergerät nach Anspruch 1, wobei Zugriff auf die Ressource des Computergeräts in Reaktion auf Angeben ermöglicht wird, dass die Person im Besitz der sicheren physischen Einheit ist.
Computergerät nach Anspruch 1 oder 2, wobei die Vorgänge ferner umfassen: Empfangen von Anmeldeinformationen; und in Reaktion auf Authentifizieren der Anmeldeinformationen und die Angabe, dass die Person im Besitz der sicheren physischen Einheit ist, Ermöglichen des Zugriffs auf eine Ressource des Computergeräts.
Computergerät nach einem der Ansprüche 1 bis 3, wobei mindestens einer des einen oder der mehreren Prozessoren und mindestens eines des einen oder der mehreren computerlesbaren Speichermedien in der sicheren physischen Einheit integriert sind.
Computergerät nach Anspruch 4, wobei das mindestens eine des einen oder der mehreren computerlesbaren Speichermedien, das in der sicheren physischen Einheit integriert ist, Firmware ist, und wobei die Firmware die Vorgänge ausführt.
Computergerät nach einem der Ansprüche 1 bis 5, wobei die sichere physische Einheit drahtgebundene Eingangsanschlüsse für jeden der Drähte beinhaltet, wobei mit den drahtgebundenen Eingangsanschlüssen nicht anders als durch die Drähte kommuniziert werden kann.
Computergerät nach einem der Ansprüche 1 bis 6, wobei die sichere physische Einheit mehrere einzigartige Kombinationen von physischen Auswahlen beinhaltet, von denen jede einer von mehreren unterschiedlichen Personen zugeordnet ist.
Computergerät nach einem der Ansprüche 1 bis 7, wobei: die sichere physische Einheit ein Siliziumchip ist, der integral mit einer integrierten Schaltung, einer Hauptplatine oder anderer Hardware des Computergeräts ist; der Siliziumchip mit den physischen Strukturen verdrahtet ist; und die Vorgänge ferner Empfangen der Kombination von physischen Auswahlen an dem Siliziumchip und durch die Drähte umfassen.
Computergerät nach einem der Ansprüche 1 bis 8, wobei die sichere physische Einheit eine zuvor eingestellte einzigartige Kombination von physischen Auswahlen beinhaltet, die der Person zugeordnet ist.
Computergerät nach einem der Ansprüche 1 bis 9, wobei Angeben, dass die Person im Besitz der sicheren physischen Einheit ist, eine Benutzeroberfläche präsentiert, durch die die Anmeldeinformationen empfangen werden können.
Computergerät nach einem der Ansprüche 1 bis 10, wobei die Kombination von physischen Auswahlen, die durch die physischen Strukturen erfolgen, durch die Drähte empfangen wird, und die Vorgänge ferner umfassen: Empfangen einer anderen Kombination von anderen physischen Auswahlen, die durch andere physische Strukturen erfolgen, die integral mit einem Peripheriegerät sind, das dem Computergerät zugeordnet, jedoch davon entfernt ist, wobei die anderen physischen Auswahlen durch die drahtlose NFC-Übertragung empfangen werden; und Bestimmen, dass die Person im Besitz der sicheren physischen Einheit ist, basierend auf der Kombination von physischen Auswahlen und der anderen Kombination von anderen physischen Auswahlen.
Computergerät nach einem der Ansprüche 1 bis 11, wobei die physischen Strukturen eine mechanische Struktur beinhalten, die Bewegung erfordert, um eine Auswahl anzugeben, und eine nicht mechanische Struktur, die die Nähe eines Teils der Person erfordert, um eine Auswahl anzugeben.
Verfahren, umfassend: Empfangen einer Kombination von physischen Auswahlen, wobei die Kombination von physischen Auswahlen durch zwei oder mehr physische Strukturen erfolgt, durch eine drahtgebundene und/oder drahtlose Nahfeldkommunikations (NFC)-Übertragung, wobei die zwei oder mehr physischen Strukturen in einem Computergerät oder einem Peripheriegerät des Computergeräts integriert sind; Bestimmen, basierend auf der Kombination von physischen Auswahlen, dass eine Person im Besitz einer sicheren physischen Einheit ist, wobei die sichere physische Einheit integral mit dem Computergerät ist; und in Reaktion auf Bestimmen des Besitzes der sicheren physischen Einheit, Angeben, dass die Person im Besitz der sicheren physischen Einheit ist und/oder Ermöglichen der Verwendung einer Ressource des Computergeräts.
Verfahren nach Anspruch 13, ferner umfassend: Empfangen von Anmeldeinformationen, und wobei Ermöglichen der Verwendung der Ressource ferner in Reaktion auf die Authentifizierung der Anmeldeinformationen erfolgt.
Verfahren nach Anspruch 13 oder 14, ferner umfassend, vor Empfangen der Kombination von physischen Auswahlen, Initialisieren der sicheren physischen Einheit zu der Person, die wirksam zum Speichern einer ausgewählten Kombination von physischen Auswahlen in der sicheren physischen Einheit ist, und Zuordnen der ausgewählten Kombination zu der Person oder zu der Ressource des Computergeräts.
Verfahren nach einem der Ansprüche 13 bis 15, wobei Bestimmen, dass die Person im Besitz der sicheren physischen Einheit ist, Vergleichen der Kombination von physischen Auswahlen mit einer einzigartigen Kombination umfasst, die der Person zugeordnet ist, und zuvor zu ihr initialisiert wurde.
Verfahren nach einem der Ansprüche 13 bis 16, wobei die sichere physische Einheit ein Siliziumchip ist, der integral mit einer integrierten Schaltung, einer Hauptplatine oder anderer Hardware des Computergeräts ist.
Verfahren nach einem der Ansprüche 13 bis 17, ferner umfassend: Empfangen einer anderen Kombination von physischen Auswahlen, die durch zwei oder mehr physische Strukturen erfolgt, wobei die zwei oder mehr physischen Strukturen in dem Computergerät oder dem Peripheriegerät des Computergeräts integriert sind; Bestimmen, dass die andere Kombination der physischen Auswahlen zu einer von mehreren, in der sicheren physischen Einheit gespeicherten einzigartigen Kombinationen passt oder nicht; und in Reaktion darauf, dass die andere Kombination von physischen Auswahlen zu keiner der mehreren einzigartigen Kombinationen passt, Verweigern von Zugriff auf die Ressource des Computergeräts; oder in Reaktion darauf, dass die andere Kombination von physischen Auswahlen zu einer der mehreren einzigartigen Kombinationen passt, Ermöglichen der Verwendung der Ressource des Computergeräts.
Verfahren nach einem der Ansprüche 13 bis 18, wobei die physischen Strukturen eine Taste oder einen Schalter einer Tastatur beinhalten, wobei die Tastatur dem Computergerät zugeordnet, jedoch nicht darin integriert ist, wobei die Tastatur einen drahtlosen NFC-Sender beinhaltet, durch den die drahtlose NFC-Übertragung übertragen wird.
Verfahren nach einem der Ansprüche 13 bis 19, wobei die Kombination von physischen Auswahlen, die durch die Drähte und/oder die drahtlose Nahfeldkommunikations (NFC)-Übertragung empfangen wird, eine Kombination von physischen Auswahlen umfasst, die durch drei oder mehr physische Strukturen erfolgt, die in dem Computergerät integriert sind.
Verfahren nach einem der Ansprüche 13 bis 20, ferner umfassend: Authentifizierung der Person basierend auf der Kombination von physischen Auswahlen; und in Reaktion auf Bestimmen des Besitzes der sicheren physischen Einheit und Authentifizieren der Person, Ermöglichen der Verwendung einer Ressource des Computergeräts.