DE112017002032T5

DE112017002032T5 - Verfahren und Vorrichtung zur Verwendung einer biometrischen Vorlage zum Steuern des Zugangs zu einer Benutzeranmeldeinformation für ein gemeinsam genutztes drahtloses Kommunikationsgerät

Info

Publication number: DE112017002032T5
Application number: DE112017002032.8T
Authority: DE
Inventors: Anthony R. Metke; Michael F. Korus; George Popovich
Original assignee: Motorola Solutions Inc
Current assignee: Motorola Solutions Inc
Priority date: 2016-04-13
Filing date: 2017-04-05
Publication date: 2019-01-24
Also published as: US20170300678A1; CA3019168A1; WO2017180384A1; GB201815538D0; GB2564595A

Abstract

Verfahren und Vorrichtung zum Verwenden einer biometrischen Vorlage zum Steuern des Zugriffs auf eine Benutzeranmeldeinformation für ein gemeinsam genutztes drahtloses Kommunikationsgerät (106). Ein Verfahren beinhaltet das Empfangen, von einem mobilen Gerät (106), einer Authentifizierungsanforderung. Die Authentifizierungsanforderung beinhaltet eine Gerätereferenz, die dem mobilen Gerät zugeordnet ist. Das Verfahren beinhaltet ferner das Empfangen, von dem mobilen Gerät, einer Anforderung für eine biometrische Vorlage eines Benutzers. Das Verfahren beinhaltet ferner das Bestimmen, unter Bezugnahme auf wenigstens eines aus einer Gruppe bestehend aus der Gerätereferenz und einer Autorisierungsdatenbank, dass das mobile Gerät autorisiert ist, die biometrische Vorlage des Benutzers basierend auf mindestens einem Attribut zu empfangen, das eine Verwendung der biometrischen Vorlage steuert. Das Verfahren beinhaltet ferner als Reaktion auf das Bestimmen, dass das mobile Gerät autorisiert ist, die biometrische Vorlage des Benutzers zu empfangen, das Übermitteln der biometrischen Vorlage des Benutzers an das mobile Gerät.

Description

Hintergrund der Erfindung
Ein digitales Zertifikat kann in einer öffentlichen Schlüsselinfrastruktur („public key infrastructure“ (PKI)) erstellt werden und kann verwendet werden, um den Besitz eines öffentlichen Schlüssels als Teil eines kryptographischen Protokolls zu identifizieren, dass zur Authentifizierung einer Endeinheit (das heißt, eines Benutzers oder eines drahtlosen Kommunikationsgerätes) ausgeführt wird, und anschließend Zugang zu einem Dienst zu gewähren. Um das digitale Zertifikat von einer PKI zu erhalten, sendet die Endeinheit typischerweise eine Zertifikatssignaturanforderung an eine Komponente (zum Beispiel eine Registrierungsstelle („registration authority“ (RA)) oder eine Zertifizierungsstelle („certificate authority“ (CA))) in einer PKI. Das von der PKI erzeugte Zertifikat bescheinigt den Besitz an einem öffentlichen Schlüssel durch das genannte Subjekt des Zertifikats und bindet eine Identität der Endeinheit an den öffentlichen Schlüssel durch Aufnehmen der Identität der Endeinheit und des öffentlichen Schlüssels in das Zertifikat und Signieren des Zertifikats mit dem privaten Schlüssel einer vertrauenswürdigen CA. Die CA kann weitere Informationen über die Endeinheit in das Zertifikat aufnehmen. Beispielsweise kann die CA Attribute aufnehmen, die verwendet werden können, um einen Hinweis auf die Anwendungen und Dienste zu geben, auf die die Endeinheit zugreifen dürfen soll, oder andere Attribute der Endeinheit, wie eine Funktion, ein Rang oder eine Gruppenzugehörigkeit. Einmal erzeugt, ermöglicht das digitale Zertifikat anderen (vertrauenden Parteien), sich auf Signaturen oder Versicherungen zu verlassen, die mit einem privaten Schlüssel gemacht werden, der mit dem öffentlichen Schlüssel in dem Zertifikat korrespondiert. Der Prozess zum Erlangen eines Zertifikats wird im Folgenden als Zertifikatsregistrierung bezeichnet.
Um die Sicherheit im Umfeld der Zertifikatsregistrierung zu erhöhen, beinhalten einige drahtlose Kommunikationsgeräte ferner eine biometrische Authentifizierung. Beispielsweise kann, wenn ein Benutzer sich zum ersten Mal an einem Gerät authentifiziert, verlangt werden, dass der Benutzer biometrische Information bereitstellt. Typischerweise wird eine derartige biometrische Identifikation auch auf dem Gerät des Benutzers gespeichert. Wenn die biometrische Informationseingabe durch den Benutzer mit der biometrischen Identifikation übereinstimmt, die von der Vorrichtung aufbewahrt wird, ist dem Benutzer der Zugriff auf das Gerät gestattet. Solche biometrischen Informationen können ferner verwendet werden, um den Benutzer bei dem Erlangen eines Zertifikats zu authentifizieren.
Figurenliste
Die begleitenden Figuren, in denen gleiche Bezugszahlen sich auf identische oder funktional ähnliche Elemente in den einzelnen Ansichten beziehen, sind zusammen mit der nachfolgenden detaillierten Beschreibung in die Spezifikation aufgenommen und bilden einen Teil derselben und dienen dazu, Ausführungsformen von Konzepten, die die beanspruchte Erfindung umfassen, weiter zu veranschaulichen und verschiedene Prinzipien und Vorteile dieser Ausführungsformen zu erläutern.

1 ist ein Blockdiagramm eines drahtlosen Kommunikationssystems, in welchem die Auswahl der Serviceinstanz gemäß einigen Ausführungsformen der vorliegenden Erfindung implementiert ist.
2 ist ein Blockdiagramm eines mobilen Gerätes des drahtlosen Kommunikationssystems aus 1 gemäß einigen Ausführungsformen der vorliegenden Erfindung.
3 ist ein Blockdiagramm eines Benutzeranmeldeinformationsservers („user credential server“) des drahtlosen Kommunikationssystems aus 1 gemäß einigen Ausführungsformen der vorliegenden Erfindung.
4 ist ein Blockdiagramm eines Dienstnetzwerkelements („service network element“) des drahtlosen Kommunikationssystems aus 1 gemäß einigen Ausführungsformen der vorliegenden Erfindung.
5A ist ein Logikflussdiagramm, welches ein Verfahren veranschaulicht, dass von dem drahtlosen Kommunikationssystem aus 1 ausgeführt wird, um eine Verteilung einer biometrischen Vorlage eines Benutzers („user biometric template“) gemäß einigen Ausführungsformen der vorliegenden Erfindung zu steuern.
5B ist eine Fortsetzung des Logikflussdiagramms aus 5A, welches ein Verfahren veranschaulicht, dass von dem drahtlosen Kommunikationssystem aus 1 ausgeführt wird, um eine Verteilung einer biometrischen Vorlage eines Benutzers gemäß einigen Ausführungsformen der vorliegenden Erfindung zu steuern.
6 ist ein Logikflussdiagramm, welches ein Verfahren veranschaulicht, dass von dem drahtlosen Kommunikationssystem aus 1 ausgeführt wird, um den Zugriff auf eine Benutzeranmeldeinformation („user credential“) gemäß einigen Ausführungsformen der vorliegenden Erfindung zu steuern.

Fachleute werden erkennen, dass Elemente in den Figuren der Einfachheit und der Klarheit halber dargestellt sind und nicht notwendigerweise maßstabsgetreu gezeichnet wurden. Beispielsweise können die Dimensionen und/oder die relative Positionierung von einigen Elementen in den Figuren gegenüber anderen Elementen übertrieben dargestellt sein, um das Verständnis von verschiedenen Ausführungsformen der vorliegenden Erfindung zu verbessern. Ferner werden häufig gängige, gut verstandene Elemente, die in einer wirtschaftlich sinnvollen Ausführungsform nützlich oder notwendig sind, nicht dargestellt, um eine weniger versperrte Sicht auf diese verschiedenen Ausführungsformen der vorliegenden Erfindung zu erleichtern. Es ist ferner zu berücksichtigen, dass bestimmte Handlungen und/oder Schritte in einer bestimmten Reihenfolge ihres Auftretens beschrieben oder dargestellt werden können, während der Fachmann versteht, dass eine solche Spezifität bezüglich der Reihenfolge tatsächlich nicht erforderlich ist. Fachleute werden ferner erkennen, dass Verweise auf spezifische Ausführungsformen der Implementierung, wie zum Beispiel „Schaltkreise“, ebenfalls durch Ersetzen mit Softwareanweisungen durchgeführt werden können, entweder auf universellen Datenverarbeitungsvorrichtungen (zum Beispiel CPU) oder auf spezialisierten Datenverarbeitungsvorrichtungen (zum Beispiel DSP). Es versteht sich auch, dass die hierin verwendeten Begriffe und Ausdrücke die gewöhnliche technische Bedeutung haben, die diesen Begriffen und Ausdrücken von Fachleuten im vorstehend beschriebenen technischen Gebiet gegeben wird, soweit hierin keine andere spezifische Bedeutung festgelegt ist.
Detaillierte Beschreibung der Erfindung
In einem Netzwerk der öffentlichen Sicherheit, wie beispielsweise dem Ersthelfernetzwerk („First Responder Network“ (FirstNet)), kann ein mobiles drahtloses Kommunikationsgerät von zahlreichen Benutzern von einer Behörde und über mehrere Arbeitsschichten gemeinsam genutzt werden. Solche gemeinsam genutzten drahtlosen Kommunikationsgeräte können hierin als gemeinsam genutzte Geräte oder gemeinsam nutzbare Geräte bezeichnet werden. Ferner können solche gemeinsam genutzten Geräte in gewissem Maße zufällig gemeinsam genutzt werden, wobei ein Benutzer, der eine Arbeitsschicht beginnt, zufällig eines von mehreren verfügbaren mobilen Geräten aufnimmt. In solchen Fällen kann ein einzelnes Zertifikat, das für das Gerät ausgestellt wurde, nicht verwendet werden, um den gegenwärtigen Benutzer des mobilen Gerätes zu identifizieren.
Zusätzlich ist es auch nicht machbar, das gemeinsam genutzte Gerät mit biometrischen Vorlagen und Zertifikaten für jeden potentiellen Benutzer des Geräts auszustatten. Das heißt, wenn biometrische Vorlagen und Zertifikate für alle Benutzer ausgestellt werden, die ein Gerät gemeinsam nutzen, muss das gemeinsam genutzte Gerät möglicherweise biometrische Vorlagen und Zertifikate für, in einigen Fällen, hunderte von Benutzern speichern. Wenn das gemeinsam genutzte Gerät mit biometrischen Vorlagen und Zertifikaten für mehrere Benutzer verloren oder gestohlen wird, müssten die biometrischen Vorlagen und Zertifikate für jeden in dem Gerät gespeicherten Benutzer widerrufen werden. Darüber hinaus könnte ein Benutzer wenigstens eine biometrische Vorlage und ein Zertifikat auf jedem gemeinsam genutzten Gerät haben, da jeder Benutzer eingerichtet ist, um mehrere Geräte gemeinsam zu nutzen. Wenn ein Benutzer mit einer biometrischen Vorlage und einem Zertifikat auf mehreren gemeinsam genutzten Geräten von dem Unternehmen gekündigt wird, müssen die biometrische Vorlage und das Zertifikat des Benutzers möglicherweise von jedem der gemeinsamen Geräte entfernt werden.
Dementsprechend stellt eine exemplarische Ausführungsform ein Verfahren zum Steuern eines Zugriffs auf eine Benutzeranmeldeinformation unter Verwendung einer biometrischen Vorlage bereit. Das Verfahren beinhaltet das Empfangen, von einem mobilen Gerät, einer Authentifizierungsanforderung. Die Authentifizierungsanforderung beinhaltet eine Gerätereferenz („device credential“), die dem mobilen Gerät zugeordnet ist. Das Verfahren beinhaltet ferner das Empfangen, von dem mobilen Gerät, einer Anforderung für eine biometrische Vorlage eines Benutzers. Das Verfahren beinhaltet ferner das Bestimmen, unter Bezugnahme auf wenigstens eines aus einer Gruppe, bestehend aus der Gerätereferenz und einer Autorisierungsdatenbank, dass das mobile Gerät autorisiert ist, die biometrische Vorlage des Benutzers basierend auf wenigstens einem Attribut, welches eine Verwendung der biometrischen Vorlage steuert, zu empfangen. Das Verfahren beinhaltet ferner, als Reaktion auf das Bestimmen, dass das mobile Gerät autorisiert ist, die biometrische Vorlage des Benutzers zu empfangen, das Übertragen der biometrischen Vorlage des Benutzers an das mobile Gerät.
Eine weitere exemplarische Ausführungsform stellt ein Verfahren zur Authentifizierung eines Benutzers auf einem mobilen Gerät bereit. Das Verfahren beinhaltet das Empfangen, durch eine Ein-/Ausgabeschnittstelle des mobilen Gerätes, einer benutzeridentifizierenden Eingabe. Das Verfahren beinhaltet ferner, als Reaktion auf das Empfangen der benutzeridentifizierenden Eingabe, dass Authentifizieren durch das mobile Gerät, gegenüber einem biometrischen Vorlagenserver („biometric template server“). Das Verfahren beinhaltet ferner, als Reaktion auf das Authentifizieren gegenüber dem biometrischen Vorlagenserver, das Übertragen, durch das mobile Gerät an den biometrischen Vorlagenserver, der benutzeridentifizierenden Eingabe. Das Verfahren beinhaltet ferner, als Reaktion auf das Übertragen der benutzeridentifizierenden Eingabe, das Empfangen, durch das mobile Gerät, einer oder mehrerer Nachrichten mit einer biometrische Vorlage für den Benutzer. Das Verfahren beinhaltet ferner das Authentifizieren, durch das mobile Gerät, des Benutzers basierend auf der biometrischen Vorlage.
Eine weitere exemplarische Ausführungsform stellt ein mobiles Gerät bereit. Das mobile Gerät beinhaltet eine Ein-/Ausgabeschnittstelle, eine drahtlose Schnittstelle, einen Prozessor und mindestens eine Speichervorrichtung. Die Speichervorrichtung ist dazu eingerichtet, einen Satz von Anweisungen zu speichern, die, wenn von einem Prozessor ausgeführt, den Prozessor veranlassen, eine benutzeridentifizierende Eingabe von einem Benutzer des mobilen Gerätes über die Ein-/Ausgabeschnittstelle zu empfangen. Die Speichervorrichtung ist ferner dazu eingerichtet, den Prozessor zu veranlassen, sich als Reaktion auf das Empfangen der benutzeridentifizierenden Eingabe bei einem biometrischen Vorlagenserver zu authentifizieren und die benutzeridentifizierende Eingabe an den biometrischen Vorlagenserver über die drahtlose Schnittstelle zu übertragen. Die Speichervorrichtung ist ferner dazu eingerichtet, den Prozessor zu veranlassen, als Reaktion auf das Übertragen der benutzeridentifizierenden Eingabe, eine oder mehrere Nachrichten mit einer biometrischen Vorlage für den Benutzer über die drahtlose Schnittstelle zu empfangen. Die Speichervorrichtung ist ferner dazu eingerichtet, den Prozessor zu veranlassen, den Benutzer basierend auf der biometrischen Vorlage zu authentifizieren. Die Speichervorrichtung ist ferner dazu eingerichtet, den Prozessor zu veranlassen, eine Anforderung für eine Benutzeranmeldeinformation basierend auf Metadaten, die in der einen oder den mehreren Nachrichten enthalten sind, zusammenzustellen. Die Speichervorrichtung ist ferner dazu eingerichtet, den Prozessor zu veranlassen, die Anforderung für eine Benutzeranmeldeinformation zu signieren, um eine signierte Anforderung zu erzeugen. Die Speichervorrichtung ist ferner dazu eingerichtet, den Prozessor zu veranlassen, die signierte Anforderung über die drahtlose Schnittstelle an einen Benutzeranmeldeinformationsserver zu übertragen. Die Speichervorrichtung ist ferner dazu eingerichtet, den Prozessor zu veranlassen, als Reaktion auf das Übertragen der signierten Anforderung, die Benutzeranmeldeinformation über die drahtlose Schnittstelle zu empfangen.
Es sei darauf hingewiesen, dass zur Vereinfachung der Beschreibung die hierin bereitgestellten exemplarischen Ausführungsformen hinsichtlich des Hochladens und des Herunterladens einer einzelnen biometrischen Vorlage beschrieben sind. Jedoch kann eine einzelne biometrische Vorlage eine oder mehrere biometrische Identifizierungsmerkmale beinhalten (zum Beispiel einen Iris-Scan, einen Fingerabdruck, einen Handabdruck, eine gesichtserkennungsfähige Fotografie, Sprachdaten, ein Elektrokardiogramm und dergleichen), die zur Authentifizierung eines zugehörigen Benutzers verwendet werden können.
1 veranschaulicht eine beispielhafte Ausführungsform eines kabellosen Kommunikationssystems 100 gemäß einer Ausführungsform der vorliegenden Erfindung. Das drahtlose Kommunikationssystem 100 beinhaltet ein erstes mobiles Gerät 104 und ein zweites mobiles Gerät 106. Wie im Folgenden detailliert dargelegt, können das erste mobile Gerät 104 und das zweite mobile Gerät 106 jedes mobile Kommunikationsgerät sein, das Funktionalitäten zur biometrischer Authentifizierung und zum sicheren Authentifizieren von Benutzern beinhaltet. In einigen Ausführungsformen wird die biometrische Authentifizierung (das heißt der Vergleich einer biometrischen Probe mit einer biometrische Vorlage) auf dem ersten mobilen Gerät 104 und dem zweiten mobilen Gerät 106 ausgeführt und das Erfassen einer biometrischen Probe wird von einem oder mehreren Erfassungsgeräten ausgeführt, die verknüpft sind mit, aber getrennt sind von, dem ersten mobilen Gerät 104 und dem zweiten mobilen Gerät 106. Zum Beispiel kann in einigen Ausführungsformen ein am Körper getragener biometrischer Sensor (zum Beispiel ein biometrisches Armband oder eine Uhr) über eine drahtgebunde oder drahtlose Verbindung mit dem ersten mobilen Gerät 104, dem zweiten mobilen Gerät 106 oder beiden verbunden sein. Das erste mobile Gerät 104 und das zweite mobile Gerät 106 können jeweils beispielsweise ein Mobiltelefon, ein Smartphone, in Landfunkgerät („Land Mobile Radio“ (LMR)), ein persönlicher digitaler Assistent („personal digital assistant“ (PDA)), ein Laptop-Computer, ein Personalcomputer mit Funkfrequenz („radio frequency“ (RF)) -Fähigkeiten, oder jede andere Art von mobilem Gerät mit drahtlosen Weitbereichskommunikationsfähigkeiten („wide area wireless communication capabilities“), wie zum Beispiel Weitverkehrsnetz („wide area network“ (WAN))- oder drahtlose lokale Netzwerk („wireless local area network“ (WLAN)) -Fähigkeiten, und/oder kurzreichweitige drahtlose Kommunikationsfähigkeiten, wie zum Beispiel Bluetooth-Fähigkeiten oder Nahfeldkommunikations („near-field communication“ (NFC)) -Fähigkeiten. In verschiedenen Technologien können das erste mobile Gerät 104 und das zweite mobile Gerät 106 bezeichnet werden als Mobilstation („mobil station“ (MS)), Benutzerausrüstung („user equipment“ (UE)), Benutzerendgerät („user terminal“ (UT)), Teilnehmerstation („subscriber station“ (SS)), Teilnehmereinheit („subscriber unit“ (SU)), Ferneinheit („remote unit“ (RU)), Zugangsterminal („access terminal“) und so weiter.
Das drahtlose Kommunikationssystem 100 beinhaltet ferner eine Infrastruktur 120 umfassend ein Funkzugangsnetzwerk („radio access network“ (RAN)) 122, das über ein Datennetzwerk („data network“) 126 in Verbindung steht mit einem Benutzeranmeldeinformationsserver („user credential server“) 130 und einer Behörde für die öffentliche Sicherheit („public safety agency“) oder einem Unternehmensdienstenetzwerk („enterprise service network“) 140 (im Folgenden als „Dienstnetzwerk 140“ bezeichnet). In verschiedenen Ausführungsformen kann der Benutzeranmeldeinformationsserver 130 Teil des Dienstnetzwerks 140 sein oder kann separat von und zugänglich über das Dienstnetzwerk 140 sein.
Das RAN 122 beinhaltet einen drahtlosen Zugangsknoten („wireless access node“) 124, der drahtlose Kommunikationsdienste für mobile Geräte (zum Beispiel das erste mobile Gerät 104 und das zweite mobile Gerät 106) bereitstellt, die sich in einem Versorgungsgebiet des Zugangsknotens über eine zugehörige Luftschnittstelle („air interface“), wie beispielswiese die Luftschnittstelle 116, befinden. Die Luftschnittstelle 116 beinhaltet einen Uplink und einen Downlink, wobei Uplink und Downlink jeweils mehrere Verkehrskanäle („traffic channels“) und mehrere Signalisierungskanäle („signaling channels“) beinhalten. Der drahtlose Zugangsknoten 124 kann ein beliebiger netzwerkbasierter drahtloser Zugangsknoten („network-based wireless access note“) sein, wie zum Beispiel ein Node B, ein weiterentwickelter Node B („evolved Node B“ (eNB)), ein Zugangspunkt („access point“ (AP)), oder eine Basisstation („base station“ (BS)). Das RAN 122 kann auch einen oder mehrere Zugangsnetzwerkcontroller („access network controller“) (nicht dargestellt) beinhalten, wie zum Beispiel ein Funknetzwerkcontroller („Radio Network Controller“ (RNC)) oder einen Basisstationscontroller („Base Station Controller“ (BSC)), der mit einem oder mehreren drahtlosen Zugangsknoten gekoppelt ist; jedoch kann in verschiedenen Ausführungsformen der vorliegenden Erfindung die Funktionalität solcher Zugangsnetzwerkcontroller in dem Zugangsknoten implementiert sein.
Der Benutzeranmeldeinformationsserver 130 kann eins oder mehrere der folgenden sein: ein Identitätsmanagementserver („identity management server“ (IdM)), eine Registrierungsstelle („Registration Authority“ (RA)), eine Zertifizierungsstelle („Certificate Authority“ (CA)), eine vollständige öffentliche Schlüsselinfrastruktur („public key infrastructur“ (PKI)) (die eine RA und CA sowie andere PKI-Komponenten enthält) oder jede andere Art von Kryptografiesystemen mit öffentlichen Schlüsseln („public key cryptography system“), das öffentliche Schlüssel verwaltet. Der Benutzeranmeldeinformationsserver 130 gibt verwaltet Benutzeranmeldeinformationen für jeden der Benutzer des drahtlosen Kommunikationssystems 100 heraus und verwaltet sie. Die Benutzeranmeldeinformationen können eine signierte Datenstruktur („signed data structure“) beinhalten, zum Beispiel ein digitales Zertifikat („digital certificate“) oder ein Identitätstoken („identity token“), welches ein Benutzer verwenden kann, um sich gegenüber anderen Elementen des drahtlosen Kommunikationssystems 100 zu authentifizieren und/oder eine sichere Verbindung mit solchen anderen Elementen herzustellen.
Das Dienstnetzwerk 140 beinhaltet eine Benutzerteilnehmerdatenbank („user subscription database“) 142 (zum Beispiel einen Heimteilnehmerserver („Home Subscriber Server“ (HSS))), der Teilnehmer- und Profilinformation für jeden Benutzer verwaltet, der an den Diensten des Dienstnetzwerks 140 teilnimmt (zum Beispiel Benutzer 102). Einige Ausführungsformen bezeichnen den Benutzer 102 als Teilnehmer. Die Profilinformation des Benutzers 102 kann eine Funktion des Benutzers 102 in dem drahtlosen Kommunikationssystem 100 beinhalten (zum Beispiel einen Arbeitsbereich, einen Titel oder eine Verantwortlichkeit, die dem Benutzer 102 zugeordnet ist) oder eine Beziehung zwischen dem Benutzer 102 und einem oder mehreren anderen Mitgliedern einer Kommunikationsgruppe, die den Benutzer 102 beinhaltet. Die Profilinformation für den Benutzer 102 kann auch einen Rang oder eine andere Priorisierung des Benutzers 102 gegenüber einem anderen Benutzer beinhalten (zum Beispiel ob der Benutzer 102 ein Feuerwehr-/Polizeibeamter oder kein Beamter („non-officer“) ist, oder ob der Benutzer ein Feuerwehr-/Polizeibattalionskommandant, -leutnant oder -sergeant ist). Die Profilinformation des Benutzers 102 kann auch ein Teilnetzwerk des Dienstnetzwerks identifizieren, wie zum Beispiel eine Abteilung oder einen Bezirk des Dienstnetzwerkers, zu dem der Benutzer 102 gehört.
Das Dienstnetzwerk 140 beinhaltet ferner eine Geräteautorisierungsdatenbank („device authorization database“) 144, eine Richtlinien- und Attributzugriffssteuerdatenbank („policy and attribute access control database“) 146, und einen biometrischen Vorlagenserver („biometric template server“) 148. In einer Ausführungsform verwaltet die Geräteautorisierungsdatenbank 144 eine Liste von Identifikatoren von mobilen Geräten, wie zum Beispiel dem ersten mobilen Gerät 104 und dem zweiten mobilen Gerät 106, die gemeinsam nutzbare Geräte sind, das heißt, die von jedem der mehreren verschiedenen Benutzern verwendet werden können, wie beispielsweise dem Benutzer 102. Wie im Folgenden ausführlich erläutert, bieten einige Ausführungsformen gemeinsam nutzbare Geräte, die erweitert sind, um biometrische Authentifizierung durchzuführen, um zu steuern, welche Benutzer sich gegenüber dem Dienstnetzwerk 140 unter Verwendung der Geräte authentifizieren können.
Die Richtlinien- und Attributzugriffssteuerdatenbank 146 verwaltet Attribute von Benutzern („Autorisierungsattribute“ („authorization attributes“)), wie zum Beispiel dem Benutzer 102, die autorisiert sind, ein gemeinsam genutztes Gerät zu nutzen, wie zum Beispiel das erste mobile Gerät 104 und das zweite mobile Gerät 106. Die Richtlinien- und Attributzugriffssteuerdatenbank 146 verwaltet auch Richtlinien, die die Verwendung eines gemeinsam genutzten Gerätes durch solche Benutzer mit dem Dienstnetzwerk 140 steuern, wie beispielsweise kontext- und situationsabhängige Bedingungen bei der Verwendung. Solche Attribute können beispielsweise die vorstehend beschriebene Benutzerprofilinformation beinhalten. Andere Attribute können Typen von mobilen Geräten (wie zum Beispiel Marken von mobilen Geräten, mobile Geräte mit bestimmten verfügbaren Applikationen, wie zum Beispiel Sprache, Video, Daten und Drücken-Zum-Sprechen („Push-To-Talk“ (PTT)), oder mobile Geräte, die bestimmte Hard- oder Softwareversionen unterstützen) oder Pools von mobilen Geräten (zum Beispiel eine Liste oder ein Bereich von Identifikatoren von mehreren gemeinsam genutzten mobilen Geräten) sein, auf deren Benutzung ein Benutzer beschränkt ist; Anwendungen, Funktionen oder Ressourcen eines gemeinsam genutzten Gerätes, auf die ein Benutzer zugreifen/benutzen darf; eine Benutzersicherheitsebene („user assurance level“), das heißt eine Authentifizierungsebene („level of authentication“), auf der ein Benutzer als authentifiziert gilt, wenn der Benutzer unter Verwendung einer biometrischen Vorlage authentifiziert wird; und Attribute, die die Verwendung der biometrischen Vorlage steuern (zum Beispiel, ob die biometrische Vorlage lediglich für eine anfängliche Authentifizierung des Benutzers verwendet werden soll oder auch für eine kontinuierliche Authentifizierung verwendet werden kann). Solche Richtlinien und Attribute können auch eine Lebensdauer der biometrischen Vorlage („biometric template lifetime“) beinhalten, das heißt eine begrenzte Zeitspanne, in der eine biometrische Vorlage gültig ist und der zugehörige Benutzer das gemeinsam genutzte Gerät verwenden darf. Wenn die Lebensdauer der biometrischen Vorlage abläuft löscht ein mobiles Gerät, das die biometrische Vorlage speichert oder verwendet, die biometrische Vorlage und es kann erforderlich sein, alle Benutzeranmeldeinformationen, wie beispielsweise Zertifikate, die von dem mobilen Gerät während der Lebensdauer der biometrischen Vorlage von dem Benutzeranmeldeinformationsserver 130 heruntergeladen wurden, zu löschen. In gleicher Weise können Attribute Attribute beinhalten, die die Verwendung einer Benutzeranmeldeinformation durch den Benutzer steuern, wie beispielsweise eine Gültigkeitsdauer der Benutzeranmeldeinformation, die die Nutzungsdauer einer empfangenen Benutzeranmeldeinformation und einen Betreffnamen der Benutzeranmeldeinformation („user credential subject name“) begrenzt. Die Richtlinien- und Attributzugriffssteuerdatenbank 146 kann von einem Betreiber des Dienstnetzwerks 140 vorab in dem Dienstnetzwerk 140 bereitgestellt werden.
Der biometrische Vorlagenserver 148 verwaltet eine biometrische Vorlage für jeden Benutzer, der autorisiert ist, ein gemeinsam genutztes Gerät zu verwenden, wie beispielsweise das erste mobile Gerät 104 und das zweite mobile Gerät 106 und verwaltet ferner eine benutzeridentifizierende Eingabe oder Eingaben, die jeder biometrischen Vorlage zugeordnet sind. Jede von dem biometrischen Vorlagenserver 148 verwaltete biometrische Vorlage beinhaltet eine oder mehrere Arten von biometrischen Daten, das heißt einen oder mehrere biometrische Identifikatoren (zum Beispiel einen Iris-Scan, einen Fingerabdruck, einen Handadruck, eine gesichtserkennungsfähige Fotografie, Sprachdaten, ein Elektrokardiogramm und dergleichen), die zur Authentifizierung eines zugehörigen Benutzers verwendet werden können. Die benutzeridentifizierende Eingabe beinhaltet Daten (zum Beispiel einen Benutzernamen, ein Codewort, einen Schlüssel, eine persönliche Identifikationsnummer, oder eine Spracheingabe, wie zum Beispiel den Benutzer, der seinen oder ihren Namen sagt, und dergleichen), die in ein mobiles Gerät eingegeben werden können von einem Benutzer des mobilen Gerätes, beispielsweise dem Benutzer 102, und die von dem biometrischen Vorlagenserver 148 verwendet werden können, um eine biometrische Vorlage des Benutzers eindeutig zu identifizieren. Wenn also ein mobiles Gerät, wie beispielsweise das erste mobile Gerät 104 und das zweite mobile Gerät 106, einem biometrischen Vorlagenserver 148 eine benutzeridentifizierende Eingabe bereitstellt, kann der biometrische Vorlagenserver 148 eine biometrische Vorlage abrufen, die der empfangenen benutzeridentifizierenden Eingabe zugeordnet ist, und die abgerufene biometrische Vorlagen an das mobile Gerät zurückgeben.
Da die Benutzerteilnehmerdatenbank 142, die Geräteautorisierungsdatenbank 144, die Richtlinien- und Attributzugriffssteuerdatenbank 146 und der biometrische Vorlagenserver 148 jeweils ein Element des Dienstnetzwerks 140 sind, kann jedes als Dienstnetzwerkelement des drahtlosen Kommunikationssystems 100 bezeichnet werden. Da ferner die Elemente des RAN 122, wie zum Beispiel der drahtlose Zugangsknoten 124, das Datennetzwerk 126, der Benutzeranmeldeinformationsserver 130 und die mehreren Dienstnetzwerkelemente 142, 144, 146 und 148 jeweils ein Element der Infrastruktur 120 sind, kann jedes auch als Infrastrukturelement des drahtlosen Kommunikationssystems 100 bezeichnet werden. Die Infrastruktur 120 kann jede Art von Kommunikationsnetzwerk sein, wobei das erste mobile Gerät 104 und das zweite mobile Gerät 106 mit Infrastrukturelementen unter Verwendung eines geeigneten over-the-air-Protokolls- und Modulationsschemas kommunizieren. Obwohl nicht dargestellt, kann die Infrastruktur 120 eine weitere Anzahl von Infrastrukturelementen für eine kommerzielle Ausführungsform beinhalten, die häufig, aber nicht darauf beschränkt, bezeichnet werden als Brücken („bridges“), Switches („switches“), Zonencontroller („zone controllers“), Router, Authentifizierungszentren („authentication centers“), oder jeder andere Art von Infrastrukturausrüstung, die die Kommunikation zwischen Einheiten in einer drahtlosen oder kabelgebundenen Netzwerkumgebung ermöglichen. Schließlich ist anzumerken, dass das drahtlose Kommunikationssystem 100 veranschaulicht ist durch Bezugnahme auf eine begrenzte Anzahl von Geräten, um die Abbildung zu vereinfachen. Jedoch kann jede beliebige Zahl von mobilen Geräten und Infrastrukturelementen in ein kommerzielles System implementiert werden, ohne die Allgemeingültigkeit der hierin enthaltenen Lehren zu beeinträchtigen.
2 ist ein Blockdiagramm einer exemplarischen Ausführungsform eines gemeinsam genutzten mobilen Gerätes 200, das repräsentativ ist für das erste mobile Gerät 104 und das zweite mobile Gerät 106. Das mobile Gerät 200 beinhaltet im Allgemeinen einen Prozessor 202, wenigstens eine Speichervorrichtung 204, eine drahtlose Schnittstelle 216 und eine Ein-/Ausgangs-(I/O)-Schnittstelle 218. Der Fachmann sollte erkennen, dass 2 das mobile Gerät 200 in einer übermäßig vereinfachten Weise darstellt und eine praktische Ausführungsform zusätzliche Komponenten und geeignet konfigurierte Verarbeitungslogik beinhalten kann, um bekannte oder konventionelle Funktionsmerkmale zu unterstützen, die hier nicht im Detail beschrieben sind.
Das mobile Gerät 200 arbeitet unter der Steuerung des Prozessors 202, wie zum Beispiel einem oder mehreren Mikroprozessoren, Mikrocontrollern, digitalen Signalprozessoren (DSPs), Kombinationen davon oder anderen derartigen Vorrichtungen, die dem Fachmann bekannt sind. Der Prozessor 202 betreibt das zugehörige mobile Gerät gemäß Daten und Anweisungen, die in der wenigstens einen Speichervorrichtung 204 gespeichert sind, wie zum Beispiel Direktzugriffsspeicher („random access memory“ (RAM)), dynamischem Direktzugriffsspeicher („dynamic random access memory“ (DRAM)) und/oder Festspeicher („read only memory“ (ROM)) oder äquivalenten davon, die Daten und Anweisungen speichern, die von dem entsprechenden Prozessor ausgeführt werden können, so dass das mobile Gerät die hierin beschriebenen Funktionen ausführen kann.
Die von der mindestens einen Speichervorrichtung 204 verwalteten Daten und Anweisungen beinhalten Softwareprogramme, die eine geordnete Auflistung von ausführbaren Anweisungen zur Implementierung logischer Funktionen beinhalten. Beispielsweise kann die Software in wenigstens einer Speichervorrichtung 204 ein geeignetes Betriebssystem und Softwareprogramme beinhalten. Das Betriebssystem steuert die Ausführung von anderen Computerprogrammen und bietet Scheduling, Ein-Ausgabe-Steuerung, Datei- und Datenverwaltung, Speicherverwaltung und Kommunikationssteuerung und zugehörige Dienste. Die Programme können verschiedene oder Anwendungen („apps“), Add-Ons, und der gleichen beinhalten, die eingerichtet sind, um Benutzerfunktionen mit dem mobilen Gerät 200 bereitzustellen. Die wenigstens eine Speichervorrichtung 204 verwaltet auch einen oder mehrere Identifikatoren des mobilen Gerätes (zum Beispiel eine Mobilstationsidentifikation („mobile station identifyer“ (MSID)), eine Teilnehmereinheitindentifikation („subscriber unit identifyer“ (SUID)), eine internationale mobile Teilnehmeridentität („International Mobile Subscriber Identity“ (IMSI)) oder eine temporäre mobile Teilnehmeridentität („Temporary Mobile Subscriber Identity“ (TMSI))), die das mobile Gerät 200 eindeutig in dem drahtlosen Kommunikationssystem 100 identifizieren. Die mindestens eine Speichervorrichtung 204 verwaltet auch eine Dienstnetzwerkidentifikation („service network identifyer“), die das Dienstnetzwerk 140 identifiziert (zum Beispiel eine Agentur für öffentliche Sicherheit), zu dem das mobile Gerät gehört, und eine Dienstnetzwerksubnetzwerkidentifikation („service network sub-network identifyer“), die das Sub-Netzwerk des Dienstnetzwerks 140 identifiziert (zum Beispiel ein Identifikator einer Abteilung oder eines Bezirks der Agentur für öffentliche Sicherheit), zu dem das mobilen Gerät gehört.
Das mobile Gerät 200 beinhaltet ferner ein Sicherheitsmodul 206. Das Sicherheitsmodul 206 beinhaltet Sicherheitsfunktionen, wie zum Beispiel Verschlüsselung, Entschlüsselung, Schlüsselerzeugung, Zertifikatsdatensignierung („certificate data signing“) und dergleichen. Das Sicherheitsmodul 206 kann in Hardware, Software, oder einer Kombination davon implementiert sein. Das Sicherheitsmodul 206 beinhaltet auch Algorithmen zum Erzeugen, Senden, Empfangen, Manipulieren und Speichern von Benutzeranmeldeinformationen 208, privaten Schlüsseln, öffentlichen Schlüsseln, digitalen Zertifikaten, Identitätstoken, und dergleichen zur Verwendung bei der sicheren Authentifizierung gegenüber dem Dienstnetzwerk 140 (oder Elementen davon). In einigen Ausführungsformen verwaltet das Sicherheitsmodul 206 einen Verschlüsselungs-/Entschlüsselungs-Schlüssel, der mit dem biometrischen Vorlagenserver 148 gemeinsam genutzt wird und der verwendet werden kann, um eine biometrische Vorlage, die von dem biometrischen Vorlagenserver 148 verwaltet wird, zu Verschlüsseln und zu Entschlüsseln. In anderen Ausführungsformen teilen der biometrische Vorlagenserver 148 und das Sicherheitsmodul 206 keinen symmetrischen Schlüssel. Stattdessen hat das Sicherheitsmodul 206 Zugriff auf den öffentlichen Schlüssel des biometrischen Vorlagenservers 148 und der biometrische Vorlagenserver 148 hat Zugriff auf den öffentlichen Schlüssel des Sicherheitsmoduls 206.
In einer Ausführungsform der vorliegenden Erfindung kann das mobile Gerät 200 zusätzlich ein Hardware-Sicherheitsmodul („hardware security module“ (HSM)) 210 beinhalten. Das HSM 210 ist ein hardwarebasiertes Verschlüsselungs- und Schlüsselverwaltungsgerät, das hardwarebasierte kryptografische Funktionen ähnlich zu dem Sicherheitsmodul 206 bereitstellt und Manipulationsschutz („tamper protection“) für die Benutzeranmeldeinformationen 208 bietet. Wenn das HSM 210 verwendet wird, werden die privaten Schlüssel des Gerätes in dem HSM erzeugt und sind keiner anderen Komponente des mobilen Gerätes ausgesetzt, aber ein CA-Zertifikat und ein RA-Zertifikat des Gerätes, das von dem HSM 210 verwaltet wird, kann zu der wenigstens einen Speichervorrichtung 204 kopiert werden, zur Effizienzsteigerung der kryptografischen Operationen. In einigen Ausführungsformen ist das HSM 210 ein CRYPTR™-Mikrochip, der von Motorola Solutions, Inc. erhältlich ist und der in einem Mikro-SD-Slot eines mobilen Gerätes installiert werden kann. Ein CRYPTR-basierter PKI-Betrieb ist sicherer als ein softwarebasierter Ansatz zum Speichern der Schlüssel („software-based key storage approach“). Das heißt, der CRYPTR erzeugt und speichert private Schlüssel in einem manipulationssicheren Hardwaresicherheitsmodul. Für jede PKI-Operation werden Daten an den CRYPTR gesendet und der CRYPTR führt die Signatur durch und gibt die signierten Daten an die anfragende Anwendung zurück. Somit sind die privaten Schlüssel niemals einer Anwendung ausgesetzt, die auf dem mobilen Gerät ausgeführt wird.
Die drahtlose Schnittstelle 216 erlaubt einen Austausch von drahtloser Kommunikation mit dem RAN 122. Beispielsweise kann die drahtlos Schnittstelle 216 einen drahtlosen Bereichsnetzwerk („wireless area network“ (WAN)) -Funktransceiver mit einer zugehörigen Antenne zum Austausch von WAN-Kommunikation mit dem RAN 122 beinhalten.
Die I/O-Schnittstelle 218 erlaubt einem Benutzer, Information einzugeben in und Information zu empfangen von dem mobilen Gerät 200. Beispielsweise kann die I/O-Schnittstelle 218 einer Tastatur („keypad“), einem Touchscreen, einer Scroll-Kugel („scroll ball“), einer Scroll-Leiste („scroll bar“), Tasten, einem Barcodescanner, ein Mikrofon und dergleichen beinhalten. Ferner kann die I/O-Schnittstelle 218 ein Anzeigegerät, wie zum Beispiel eine Flüssigkristallanzeige („liquid crystal display“ (LCD)), einen Touchscreen, einen Lautsprecher und dergleichen, zum Anzeigen von Systemausgaben beinhalten. Die I/O-Schnittstelle 218 beinhaltet auch eine oder mehrere biometrischen Datenerfassungsvorrichtungen 220, die biometrische Daten von einem Benutzer des mobilen Gerätes erfassen, zum Beispiel dem Benutzer 102, und die erfassten biometrischen Daten in wenigstens einer Speichervorrichtung 204 speichern. Beispielsweise können die eine oder mehreren biometrischen Datenerfassungsvorrichtungen 220 eine Bildaufnahmevorrichtung, zum Beispiel eine Digitalkamera, die der Benutzer 102 verwenden kann, um sein oder ihr Bild aufzunehmen, einen Fingerabdruckscanner, den der Benutzer verwenden kann, um seinen oder ihren Fingerabdruck in das mobile Gerät 200 zu scannen, einen Irisscanner, den der Benutzer 102 verwenden kann, um sein oder ihr Irismuster in das mobile Gerät 200 zu scannen, oder ein Mikrofon, das Sprachaudiomuster („voice audio patterns“) des Benutzers 102 erfasst, beinhalten. Die erfassten biometrischen Daten des Benutzers 102 können zum Speichern auf dem biometrischen Vorlagenserver 148 an das Servicenetzwerk 140 übermittelt werden, oder sie können mit einer biometrischen Vorlage verglichen werden, die von dem mobilen Gerät 200 von dem biometrischen Vorlagenserver 148 heruntergeladen wurde, um eine Identität eines Benutzers zu verifizieren, der versucht das mobile Gerät 200 zu verwenden.
Die I/O-Schnittstelle 218 kann beispielsweise auch eine serielle Schnittstelle, eine parallele Schnittstelle, eine Kleincomputer-Systemschnittstelle („small computer system interface“ (SCSI)), eine Infrarot („infrared“ (IR)) -Schnittstelle, eine USB-Schnittstelle („universal serial bus“ (USB)), einen Mikro-SD-Steckplatz und dergleichen zur Kommunikation mit oder zur Kopplung mit einem externen Gerät beinhalten.
Die Komponenten (202, 204, 210, 216 und 218) des mobilen Gerätes 200 sind kommunikativ über eine lokale Schnittstelle 222 gekoppelt. Die lokale Schnittstelle 222 kann beispielsweise ein oder mehrere Busse oder andere drahtgebundene oder drahtlose Verbindungen sein, wie sie in der Technik bekannt sind. Die lokale Schnittstelle 222 kann zusätzliche Elemente haben, um die Kommunikation zu ermöglichen, die der Einfachheit halber weggelassen wurden, wie zum Beispiel Controller, Buffer (Caches), Treiber, Repeater, Empfänger neben vielen anderen. Darüber hinaus kann die lokale Schnittstelle 222 Adress-, Steuer- und/oder Datenverbindungen beinhalten, um eine angemessene Kommunikation zwischen den vorstehend genannten Komponenten zu ermöglichen. In einer Ausführungsform kann die eine oder mehrere biometrische Datenerfassungsvorrichtungen 220 physisch an einem separaten Gerät angeordnet sein, dass mit dem mobilen Gerät 200 sicher gekoppelt („securely paired“) ist, zum Beispiel unter Verwendung von Bluetooth oder einem anderen geeigneten drahtlosen Protokoll.
3 veranschaulicht eine exemplarische Ausführungsform eines Benutzeranmeldeinformationsservers 130. Der Benutzeranmeldeinformationsserver 130 kann beispielsweise eine öffentliche Schlüsselinfrastruktur, wie zum Beispiel eine Registrierungsstelle (RA) und/oder eine Zertifizierungsstelle (CA) sein. Der Benutzeranmeldeinformationsserver 130 arbeitet unter der Kontrolle eines Prozessors 302, beispielsweise eines oder mehrerer Mikroprozessoren, Mikrocontroller, digitaler Signalprozessoren (DSPs), Kombinationen davon oder anderer derartiger dem Fachmann bekannten Geräte. Der Prozessor 302 betreibt den Benutzeranmeldeinformationsserver 130 gemäß Daten und Anweisungen, die in wenigstens einer Speichervorrichtung 304 gespeichert sind, wie beispielsweise Direktzugriffsspeicher („random access memory“ (RAM)), dynamischem Direktzugriffsspeicher („dynamic random access memory“ (DRAM)) und/oder Festspeicher („read only memory“ (ROM)) oder Äquivalenten davon, die Daten und Programme speichert, die durch den zugehörigen Prozessor ausgeführt werden können, so dass der Server die hierin beschriebenen Funktionen ausführen kann.
Der Benutzeranmeldeinformationsserver 130 beinhaltet ferner eine oder mehrere Netzwerkschnittstellen 306 zum Verbinden mit anderen Elementen der Infrastruktur 120, wie zum Beispiel der Benutzerteilnehmerdatenbank 142, der Geräteautorisierungsdatenbank 144, Richtlinien- und Attributzugangssteuerdatenbank 146, dem biometrischen Vorlagenserver 148 und dem Datennetzwerk 126. Der Benutzeranmeldeinformationsserver 130 kommuniziert über die eine oder mehreren Netzwerkschnittstellen 306 und das Datennetzwerk mit anderen Geräten des drahtlosen Kommunikationssystems 100, wie zum Beispiel dem ersten mobilen Gerät 104 und dem zweiten mobilen Gerät 106. Die eine oder mehreren Netzwerkschnittstellen 306 können eine drahtlose, eine drahtgebundene und/oder eine optische Schnittstelle beinhalten, die in der Lage ist, Nachrichten (zum Beispiel Datenpakete) zum Datennetzwerk 126 zu übertragen und Nachrichten von diesem zu empfangen.
Der Benutzeranmeldeinformationsserver 130 beinhaltet ferner ein Zertifikats-Repository („Certificate Repository“ (CR)) 310 oder ist über die eine oder mehrere Netzwerkschnittstellen 306 in Kommunikation mit einem solchen. In einigen Ausführungsformen ist das CR 310 mit einer elektronischen Datenbank implementiert, die verwendet wird, um persistente digitale Speicherzertifikate („persistent storage digital certificates“) 312 bereitzustellen, wie zum Beispiel Benutzerzertifikate, ein RA-Zertifikat 134, ein CA-Zertifikat 138 und Gerätezertifikate, die dem ersten mobilen Gerät 104 und dem zweiten mobilen Gerät 106 zugeordnet sind, und die Gerätezertifikate von dem Benutzeranmeldeinformationsserver 130 verwendet werden können, um die mobilen Geräte zu überprüfen und sicher mit ihnen zu kommunizieren. In einigen Ausführungsformen verwenden das erste mobile Gerät 104 und das zweite mobile Gerät 106 ein öffentliches Schlüsselpaar ohne Zertifikat, um sich gegenüber dem Benutzeranmeldeinformationsserver 130, dem biometrischen Vorlagenserver 148 und anderen Servern des Dienstnetzwerks 140 zu authentifizieren. Die Komponenten (302, 304, 306, 310) des Benutzeranmeldeinformationsservers 130 sind über eine lokale Schnittstelle 308 kommunikativ gekoppelt. Die lokale Schnittstelle 308 kann beispielsweise eine oder mehrere Busse oder andere drahtgebundene oder drahtlose Verbindungen sein, wie sie in der Technik bekannt sind. Die lokale Schnittstelle 308 kann zusätzliche Elemente haben, um die Kommunikation zu ermöglichen, die der Einfachheit halber weggelassen wurden, wie zum Beispiel Controller, Buffer (Caches), Treiber, Repeater und Empfänger neben vielen anderen. Darüber hinaus kann die lokale Schnittstelle 308 Adress-, Steuer- und/oder Datenverbindungen beinhalten, um eine angemessene Kommunikation zwischen den vorgenannten Komponenten zu ermöglichen.
4 veranschaulicht eine beispielhafte Ausführungsform eines Dienstnetzwerkelementes 400, wie zum Beispiel der Benutzerteilnehmerdatenbank 142, der Geräteautorisierungsdatenbank 144, der Richtlinien- und Attributzugangssteuerdatenbank 146 und dem biometrischen Vorlagenserver 148. Das Dienstnetzwerkelement 400 beinhaltet einen Prozessor 402, zum Beispiel einen oder mehrere Mikroprozessoren, Mikrocontroller, digitale Signalprozessoren (DSPs), Kombinationen davon oder andere dem Fachmann bekannte Geräte. Das Dienstnetzwerkelement 400 beinhaltet ferner wenigstens eine Speichervorrichtung 404, wie beispielsweise Direktzugriffsspeicher („random access memory“ (RAM)), dynamischem Direktzugriffsspeicher („dynamic random access memory“ (DRAM)) und/oder Festspeicher („read only memory“ (ROM)) oder Äquivalente davon, die über eine zugehörige lokale Schnittstelle 408 in Verbindung mit dem Prozessor 402 steht. Jede der mindestens einen Speichervorrichtung 404 speichert Daten und Programme, wie zum Beispiel Gruppenrufprogramme („group call programs“), die von dem Prozessor 402 ausgeführt werden können und die es dem Dienstnetzwerkelement 400 ermöglichen, Funktionen auszuführen, um in dem drahtlosen Kommunikationssystem 100 zu arbeiten.
In einer Ausführungsform verwaltet der Speicher der Geräteautorisierungsdatenbank 144 eine Liste von mobilen Geräten, wie zum Beispiel dem ersten mobilen Gerät 104 und dem zweiten mobilen Gerät 106, die gemeinsam nutzbare Geräte sind (das heißt, die von jedem der mehreren verschiedenen Benutzer verwendet werden können, wie beispielsweise dem Benutzer 102). Es sollte beachtet werden, dass in einigen Ausführungsformen die Geräteautorisierungsdatenbank 144 nicht verwendet wird. In solchen Ausführungsformen enthält das Gerätezertifikat, das für das mobile Gerät ausgestellt ist, ein oder mehrere Attribute, die dem biometrischen Vorlagenserver 148 anzeigen, dass das mobile Gerät autorisiert ist, eine biometrische Vorlage anzufordern, und die dem Benutzeranmeldeinformationsserver 130 angeben, dass das mobile Gerät autorisiert ist, eine Benutzeranmeldeinformation anzufordern.
Der Speicher der Richtlinien- und Attributzugangssteuerdatenbank 146 verwaltet Attribute von Benutzern (zum Beispiel kontext- und situationsabhängige Bedingungen bei der Verwendung), wie zum Beispiel dem Benutzer 102, die autorisiert sind, ein gemeinsam genutztes Gerät zu benutzen, und Richtlinien, die die Benutzerverwendung des gemeinsam genutzten Gerätes für den Zugriff auf das Dienstnetzwerk 140 steuern.
Der Speicher des biometrischen Vorlagenservers 148 verwaltet eine biometrische Vorlage für jeden Benutzer, der autorisiert ist, ein gemeinsam genutztes Gerät zu verwenden. Der biometrische Vorlagenserver 148 kann von einem Betreiber des Dienstnetzwerks 140 vorab mit den biometrischen Vorlagen bereitgestellt werden oder kann, wie im Folgenden ausführlich beschrieben ist, eine biometrische Vorlage von einem Benutzer über ein mobiles Gerät empfangen, wenn der Benutzer sich erstmalig in dem Dienstnetzwerk 140 anmeldet.
Das Dienstnetzwerkelement 400 beinhaltet ferner eine oder mehrere Netzwerkschnittstellen 406 (eine dargestellt), die mit dem Prozessor 402 über die jeweilige lokale Schnittstelle 408 in Verbindung stehen und die eine Schnittstellenanbindung mit anderen Dienstnetzwerkelementen und mit anderen Infrastrukturelementen des drahtlosen Kommunikationssystems 100 bereitstellen. Die lokale Schnittstelle 408 kann beispielsweise ein oder mehrere Busse oder andere drahtgebundene oder drahtlose Verbindungen sein, wie sie in der Technik bekannt sind. Die lokale Schnittstelle 408 kann zusätzliche Elemente beinhalten, um die Kommunikation zu ermöglichen, die der Einfachheit halber weggelassen wurden, wie zum Beispiel Controller, Buffer (Caches), Treiber, Repeater, Empfänger neben vielen anderen. Darüber hinaus kann die lokale Schnittstelle 408 Adress-, Steuer- und/oder Datenverbindungen beinhalten, um eine angemessene Kommunikation zwischen den vorgenannten Komponenten des Dienstnetzwerkelementes 400 zu ermöglichen.
Sofern hierin nicht anders spezifiziert, wird die hierin als von einem mobilen Gerät (wie dem ersten mobilen Gerät 104 oder dem zweiten mobilen Gerät 106), dem Benutzeranmeldeinformationsserver 130, einem Dienstnetzwerkelement 400 (wie der Benutzerteilnehmerdatenbank 142, der Geräteautorisierungsdatenbank 144, der Richtlinien- und Attributzugangssteuerdatenbank 146, und dem biometrischen Vorlagenserver 148) ausgeführt beschriebene Funktionalität, mit oder in Softwareprogrammen implementiert und Anweisungen sind in dem jeweiligen Speicher gespeichert und werden von dem zugehörigen Prozessor ausgeführt.
Ein Benutzeranmeldeinformationsschema, zum Beispiel ein PKI-Schema, verwendet eine Benutzeranmeldeinformation, wie zum Beispiel ein digitales Zertifikat, um zu verifizieren, dass ein bestimmter öffentlicher Schlüssel zu einer bestimmten Endeinheit (zum Beispiel dem Benutzer 102) gehört und für die Zugriffssteuerung („access control“) verwendet werden kann. Das Zertifikat ist ein elektronisches Dokument, das von einer vertrauenswürdigen Partei ausgestellt wird und das zum Nachweis des Eigentums an einem öffentlichen Schlüssel verwendet wird. Das Zertifikat beinhaltet Information über den Schlüssel und eine Identität des Schlüsselinhabers und beinhaltet ferner eine digitale Signatur einer Zertifizierungsstelle („Certificate Authority“ (CA)), das heißt einer Organisation, die überprüft hat, dass der Inhalt des Zertifikats korrekt ist. Um eine Benutzeranmeldeinformation auf einem mobilen Gerät zu erhalten, muss ein Benutzer über eine Client-Software auf einem mobilen Gerät eines Benutzers einen Registrierungsprozess für Benutzeranmeldeinformationen mit dem Benutzeranmeldeinformationsserver durchlaufen. In einigen Fällen kann der Benutzeranmeldeinformationsserver 130 eine CA beinhalten, die den Lebenszyklus der Benutzerzertifikate ausstellt und steuert und eine RA beinhalten, die die Authentifizierung des Benutzers/mobilen Gerätes für die CA ausführt, bevor eine Benutzeranmeldeinformation für den Benutzer/ das mobile Gerät erzeugt werden kann. Um eine sichere Registrierung von Benutzeranmeldeinformationen für einen Benutzer eines gemeinsam genutzten mobilen Gerätes bereitzustellen, sieht das drahtlose Kommunikationssystem 100 eine infrastrukturbasierte Speicherung von biometrischen Vorlagen von Benutzern vor, wobei eine biometrische Vorlage für einen gegebenen Benutzer von einem gemeinsam genutzten mobilen Gerät heruntergeladen werden kann, wenn sich dieser Benutzer bei dem Gerät anmeldet und dann zur Authentifizierung des Benutzers als Teil eines Registrierungsprozesses von Benutzeranmeldeinformationen verwendet werden kann.
Die 5A und 5B veranschaulichen ein beispielhaftes Verfahren 500 zum Steuern der Verteilung einer biometrischen Vorlage für einen Benutzer, wie beispielsweise dem Benutzer 102, unter Verwendung des drahtlosen Kommunikationssystems 100. Bei Block 502 übermittelt das erste mobile Gerät 104, das derzeit vom Benutzer 102 verwendet wird, an den biometrischen Vorlagenserver 148, und der biometrische Vorlagenserver empfängt von dem ersten mobilen Gerät 104 eine erste Authentifizierungsanforderung, mit der das erste mobile Gerät 104 fordert, am biometrischen Vorlagenserver 148 authentifiziert zu werden. Die erste Authentifizierungsanforderung beinhaltet eine erste Gerätereferenz („device credential“), die mit dem ersten mobilen Gerät assoziiert ist, wie zum Beispiel einer Mobilstationsidentifikation („mobile station identifyer“ (MSID)), einer Teilnehmereinheitsidentifikation („subscriber unit identifiyer“ (SUID)), einer internationalen mobilen Teilnehmeridentität („International Mobile Subscriber Identity“ (IMSI)), einer temporären mobilen Teilnehmeridentität („Temporary Mobile Subscriber Identity“ (TMSI)), einem Gerätezertifikat oder einem öffentlichen Schlüsselpaar, dass das mobile Gerät in dem drahtlosen Kommunikationssystem 100 identifiziert. Die Gerätereferenz enthält genügend Information für den biometrischen Vorlagenserver 148, um festzustellen, dass das erste mobile Gerät 104 autorisiert ist, die biometrische Vorlage hochzuladen. Beispielsweise kann der biometrische Vorlagenserver 148 das erste mobile Gerät 104 eindeutig identifizieren und auf die Geräteautorisierungsdatenbank 144 verweisen. In einem weiteren Beispiel kann, wenn das Gerätezertifikat Autorisierungsattribute enthält, der biometrische Vorlagenserver 148 diese Attribute verwenden, um festzustellen, dass das erste mobile Gerät 104 autorisiert ist, auf biometrische Vorlagen zuzugreifen oder hochzuladen.
Bei Block 504 übermittelt das erste mobile Gerät 104 an den biometrischen Vorlagenserver 148 und der biometrische Vorlagenserver empfängt von dem ersten mobilen Gerät eine Anforderung, eine biometrische Vorlage von dem ersten mobilen Gerät zu dem biometrischen Vorlagenserver hochzuladen. Die Anforderung kann eine benutzeridentifizierende Eingabe beinhalten, die ein Benutzer des ersten mobilen Gerätes, das heißt den Benutzer 102, identifiziert. Wenn sich der Benutzer 102 beispielsweise bei dem ersten mobilen Gerät 104 anmeldet, kann der Benutzer dem ersten mobilen Gerät 104 eine benutzeridentifizierende Eingabe bereitstellen. Die benutzeridentifizierende Eingabe beinhaltet Daten, wie zum Beispiel einen Benutzernamen, ein Codewort oder einen Schlüssel, die von einem Benutzer in das erste mobile Gerät 104 eingegeben werden können und die von dem biometrischen Vorlagenserver 148 verwendet werden können, um eine biometrische Vorlage des Benutzers abzurufen. Beispielsweise kann die benutzeridentifizierende Eingabe ein Benutzername, ein Passwort, eine Zwei-Faktor-Authentifizierung, eine biometrische Eingabe, eine Smart-Card-Eingabe und/oder eine andere mit dem Benutzer assoziierte Identifizierung sein. Die benutzeridentifizierende Eingabe kann auch einen oder mehrere andere Faktoren beinhalten, die mit dem Benutzer assoziiert sind, zum Beispiel etwas, das der Benutzer weiß, etwas, das der Benutzer hat und/oder etwas, das der Benutzer ist. Ein Betreiber des drahtlosen Kommunikationssystems 100 kann den Typ der benutzerdefinierenden Eingabe für den Benutzer einstellen, wenn der Benutzer mit der Arbeit für den Systembetreiber beginnt.
Bei Block 506 bestimmt der biometrische Vorlagenserver 148 als Reaktion auf das Empfangen der ersten Authentifizierungsanforderung und der Anforderung eine biometrische Vorlage hochzuladen, dass das erste mobile Gerät 104 autorisiert ist, die biometrische Vorlage zu dem biometrischen Vorlagenserver hochzuladen. Das heißt, als Reaktion auf das Empfangen der ersten Authentifizierungsanforderung und der Anforderung, eine biometrische Vorlage hochzuladen, und durch Bezugnahme auf eine oder mehrere Gerätereferenzen des ersten mobilen Gerätes und der Geräteautorisierungsdatenbank 144, bestimmt der biometrische Vorlagenserver 148, dass das erste mobile Gerät 104 autorisiert ist, in dem drahtlosen Kommunikationssystem 100 zu arbeiten. Basierend auf einer solchen Bestimmung bestimmt der biometrische Vorlagenserver 148 ferner, dass das erste mobile Gerät 104 autorisiert ist, eine biometrische Vorlage auf dem biometrischen Vorlagenserver hochzuladen. In einigen Ausführungsformen kann das erste mobile Gerät 104 eine spezielle Vorrichtung sein, die zum Hochladen von biometrischen Vorlagen dient.
In einigen Ausführungsformen kann der biometrische Vorlagenserver 148 bestimmen, dass das erste mobile Gerät 104 autorisiert ist, eine biometrische Vorlage auf den biometrischen Vorlagenserver 148 hochzuladen, basierend auf einem oder mehreren Attributen, die eine Verwendung der biometrischen Vorlage steuern und die dem Benutzer 102 zugeordnet sind. So kann der biometrische Vorlagenserver 148, beispielswiese unter Bezugnahme auf die Benutzerteilnehmerdatenbank 142, ein oder mehrere dem Benutzer 102 zugeordnete Attribute abrufen, wie zum Beispiel eine Behörde, oder ein Unternehmen, das den Benutzer beschäftigt, eine Abteilung, für die der Benutzer innerhalb der Behörde oder des Unternehmens arbeitet, einen Behördenbezirk, in dem der Benutzer stationiert ist, wie zum Beispiel eine Polizei- oder Feuerwehrwache, eine geografische Zuständigkeit der Behörde oder des Unternehmens, das den Benutzer beschäftigt oder in dem der Benutzer derzeit stationiert ist, eine Funktion des Benutzers oder ein Rang des Benutzers, innerhalb der Behörde oder des Unternehmens, das den Benutzer beschäftigt. Der biometrische Vorlagenserver 148 kann ferner aus der Richtlinien- und Attributzugangssteuerdatenbank 146 Informationen erhalten betreffend die erforderlichen Attribute zum Hochladen einer biometrischen Vorlage auf den biometrischen Vorlagenserver 148 über das erste mobile Gerät 104, wie zum Beispiel eine Behörde, ein Unternehmen, ein Bezirk und eine geografische Zuständigkeit, in der das erste mobile Gerät 104 registriert ist oder eine erforderliche Funktion oder Rang eines Benutzers, der autorisiert ist, biometrische Vorlagen auf den biometrischen Vorlagenserver 148 hochzuladen. Der biometrische Vorlagenserver 148 kann die dem Benutzer 102 zugeordneten Attribute mit den dem mobilen Gerät zugeordneten Attributen vergleichen und das erste mobile Gerät 104 autorisieren, eine biometrische Vorlage auf den biometrischen Vorlagenserver 148 hochzuladen, wenn die Attribute passen.
In einigen Ausführungsformen der vorliegenden Erfindung können die von dem biometrischen Vorlagenserver 148 berücksichtigten Attribute eine erforderliche Sicherheitsebene beinhalten, bevor der biometrische Vorlagenserver 148 den Benutzer oder das mobile Gerät autorisiert, die biometrische Vorlage oder ein Behördenkennzeichen („authority indicator“) hochzuladen.
Bei Block 508 lädt das erste mobile Gerät 104 als Reaktion auf das Bestimmen, dass das erste mobile Gerät 104 autorisiert ist, die biometrische Vorlage hochzuladen, eine biometrische Vorlage des Benutzers 102 des ersten mobilen Geräts 104 auf den biometrischen Vorlagenserver 148 hoch. Das heißt, als Reaktion auf das Bestimmen, dass das erste mobile Gerät 104 autorisiert ist, eine biometrische Vorlage auf den biometrischen Vorlagenserver 148 hochzuladen, benachrichtigt der biometrische Vorlagenserver 148 das erste mobile Gerät 104, dass das erste mobile Gerät 104 fortfahren kann, die biometrische Vorlage hochzuladen. Bevor, gleichzeitig mit oder nach dem Empfangen einer solchen Benachrichtigung erfasst das erste mobile Gerät 104 von dem Benutzer 102 und über die eine oder mehreren biometrischen Datenerfassungsvorrichtungen 220 des ersten mobilen Gerätes 104 biometrische Daten des Benutzers, zum Beispiel einen Iris-Scan, einen Fingerabdruck, einen Handabdruck, ein gesichtserkennungsfähiges Foto, Sprachdaten oder ein Elektrokardiogramm, die zur Identifizierung des Benutzers verwendet werden können. Als Reaktion auf den Empfang der Benachrichtigung übermittelt das mobile Gerät 104 eine biometrische Vorlage umfassend die von dem Benutzer 102 erfassten biometrischen Daten an den biometrischen Vorlagenserver 148. Das erste mobile Gerät 104 kann auch eine bestimmte Menge von mit dem Benutzer der biometrischen Vorlage assoziierten Metadaten senden. In einigen Ausführungsformen verschlüsselt das erste mobile Gerät 104 die biometrische Vorlage, bevor es die biometrische Vorlage auf dem biometrischen Vorlagenserver 148 hochlädt, beispielsweise unter Verwendung einer oder mehreren vom Benutzer bereitgestellten PINs, dem öffentlichen Schlüssel des biometrischen Vorlagenservers 148 oder einem gemeinsamen Schlüssel, der dem biometrischen Vorlagenserver 148 und dem ersten mobilen Gerät 104 bekannt ist.
Bei Block 510 speichert der biometrische Vorlagenserver 148 als Reaktion auf das Empfangen der biometrischen Vorlage von dem ersten mobilen Gerät 104 die biometrische Vorlage in Verbindung mit einem Identifikator des Benutzers 102, wie beispielsweise der benutzeridentifizierenden Eingabe, die von dem ersten mobilen Gerät 104 bereitgestellt ist. Zusätzlich kann der biometrische Vorlagenserver 148 die biometrische Vorlage unter Verwendung eines Verschlüsselungs-/Entschlüsselungs-Schlüssels verschlüsseln, der jedem der Vielzahl von mobilen Geräten und dem biometrischen Vorlagenserver 148 bekannt ist und von diesen verwaltet wird, um eine verschlüsselte biometrische Vorlage zu erzeugen und die verschlüsselte biometrische Vorlage zu speichern. Die Verwendung einer verschlüsselten biometrischen Vorlage bietet eine erhöhte Authentifizierungssicherheit, da nur ein mobiles Gerät, das über den Verschlüsselungs-/Entschlüsselungs-Schlüssel verfügt, in der Lage sein wird, die biometrische Vorlage zur Authentifizierung eines Benutzers zu verwenden. In einigen Ausführungsformen verschlüsselt der biometrische Vorlagenserver 148 die biometrische Vorlage unabhängig davon, ob sie bereits von dem ersten mobilen Gerät 104 verschlüsselt wurde. Blöcke 502 bis 510 können wiederholt werden, um mehrere biometrische Identifikatoren (zum Beispiel ein Iris-Scan, ein Fingerabdruck, ein Handabdruck, ein gesichtserkennungsfähiges Foto, Sprachdaten, ein Elektrokardiogramm und dergleichen) für den Benutzer 102 zu speichern. In einigen Ausführungsformen sind die mehreren biometrischen Identifikatoren in einer einzigen biometrischen Vorlage enthalten.
Mit der auf dem biometrischen Vorlagenserver 148 gespeicherten biometrischen Vorlage für den Benutzer 102 steht die gespeicherte biometrische Vorlage zum Herunterladen zur Verfügung, beispielsweise auf das zweite mobile Gerät 106, das die Vorlage zur Authentifizierung des Benutzers 102 auf dem zweiten mobilen Gerät 106 verwenden kann.
Zu irgendeinem Zeitpunkt nachdem die biometrische Vorlage des Benutzers 102 über das erste mobile Gerät 104 auf dem biometrischen Vorlagenserver 148 hochgeladen wurde, stellt der Benutzer 102 dem zweiten mobilen Gerät 106 eine benutzeridentifizierende Eingabe bereit. Die benutzeridentifizierende Eingabe passt zu der oben bei Block 504 eingegebenen Eingabe, und kann daher von dem biometrischen Vorlagenserver 148 verwendet werden, um die biometrische Vorlage des Benutzers 102 abzurufen. Bei Block 512 übermittelt das zweite mobile Gerät 106 als Reaktion auf das Empfangen der benutzeridentifizierenden Eingabe an den biometrischen Vorlagenserver 148, und der biometrische Vorlagenserver empfängt von dem zweiten mobilen Gerät 106 eine zweite Authentifizierungsanforderung, mit der das zweite mobile Gerät 106 eine Authentifizierung mit dem biometrischen Vorlagenserver 148 anfordert. Die zweite Authentifizierungsanforderung beinhaltet eine zweite Gerätereferenz („device credential“), die dem zweiten mobilen Gerät 106 zugeordnet ist, und die anzeigen kann, dass das mobile Gerät autorisiert ist, auf Daten von biometrischen Vorlagen zuzugreifen.
Bei Block 514 übermittelt das zweite mobile Gerät 106 an den biometrischen Vorlageserver 148 und der biometrische Vorlagenserver 148 empfängt von dem zweiten mobilen Gerät 106 eine Anforderung zum Herunterladen einer mit dem Benutzer 102 assoziierten biometrischen Vorlage von dem biometrischen Vorlagenserver 148. Diese Anforderung kann die benutzeridentifizierende Eingabe, die den gegenwärtigen Benutzer 102 des zweiten mobilen Gerätes identifiziert, beinhalten, von ihr begleitet sein oder ihr vorausgegangen sein. Ähnlich wie beim Hochladen einer biometrischen Vorlage durch den Benutzer 102 auf das erste mobile Gerät 104 beinhaltet die benutzeridentifizierende Eingabe Daten, die von dem biometrischen Vorlagenserver 148 verwendet werden können, um die biometrische Vorlage des Benutzers abzurufen.
Bei Block 516 bestimmt der biometrische Vorlagenserver 148, dass das zweite mobile Gerät 106 autorisiert ist, die biometrische Vorlage von dem biometrischen Vorlagenserver 148 herunterzuladen. Das heißt, als Reaktion auf das Empfangen der zweiten Authentifizierungsanforderung und der Aufforderung zum Herunterladen der biometrischen Vorlage und durch Bezugnahme auf eine oder mehrere Gerätereferenzen des zweiten mobilen Gerätes und die Geräteautorisierungsdatenbank 144 bestimmt der biometrische Vorlagenserver 148, dass das zweite mobile Gerät 106 autorisiert ist, in dem drahtlosen Kommunikationssystem 100 zu arbeiten. Basierend auf einer solchen Bestimmung bestimmt der biometrische Vorlagenserver 148 ferner, dass das zweite mobile Gerät autorisiert ist, eine biometrische Vorlage herunterzuladen, und ruft die biometrische Vorlage, die mit dem Benutzer 102 assoziiert ist, basierend auf der benutzeridentifizierenden Eingabe, die von dem zweiten mobilen Gerät 106 empfangen wurde, ab.
Ähnlich wie bei der Autorisierung des Hochladens der biometrischen Vorlage auf den biometrischen Vorlagenserver, kann der biometrische Vorlagenserver 148 in einigen Ausführungsformen der vorliegenden Erfindung bei dem Bestimmen, dass das zweite mobile Gerät 106 autorisiert ist, eine biometrische Vorlage auf den biometrischen Vorlagenserver herunterzuladen, ferner Metadaten berücksichtigen (zum Beispiel eines oder mehrere Attribute, die mit dem Benutzer 102 assoziiert sind) und die eine Verwendung der biometrischen Vorlage steuern. Beispielsweise kann der biometrische Vorlagenserver 148 unter Bezugnahme auf die Benutzerteilnehmerdatenbank 142 Metadaten abrufen, die ein oder mehrere dem Benutzer 102 zugeordnete Attribute beinhalten, wie zum Beispiel eine Behörde oder ein Unternehmen, das den Benutzer beschäftigt, eine Abteilung, für die der Benutzer innerhalb der Behörde oder des Unternehmens arbeitet, einen Behördenbereich, in dem der Benutzer stationiert ist, wie zum Beispiel eine Polizei- oder Feuerwehrwache, eine geografische Zuständigkeit der Behörde oder des Unternehmens, das den Benutzer beschäftigt, oder in dem der Benutzer derzeit stationiert ist, eine Funktion des Benutzers oder ein Rang des Benutzers innerhalb der Behörde oder des Unternehmens, das den Benutzer beschäftigt. Der biometrische Vorlagenserver 148 kann ferner aus der Richtlinien- und Attributzugangssteuerdatenbank 146 Information über die erforderlichen Attribute zum Herunterladen einer biometrischen Vorlage von dem biometrischen Vorlagenserver 148 über das zweite mobile Gerät 106 erhalten. Solche Attribute können beispielsweise eine Behörde, ein Unternehmen, ein Bezirk, eine geografische Zuständigkeit, in der das mobile Gerät registriert ist, oder eine erforderliche Funktion oder Rang eines Benutzers sein, der autorisiert ist, biometrische Vorlagen von dem biometrischen Vorlagenserver herunterzuladen, umfassen. Der biometrische Vorlagenserver 148 vergleicht die dem Benutzer 102 zugeordneten Attribute mit den Attributen des zweiten mobilen Gerätes 106. In einer Ausführungsform ist das mobile Gerät 106 autorisiert, eine biometrische Vorlage von dem biometrischen Vorlagenserver 148 herunterzuladen, wenn die Attribute passen.
In einigen Ausführungsformen können die von dem biometrischen Vorlagenserver 148 weiter oder stattdessen berücksichtigten Attribute eine erforderliche Sicherheitsebene beinhalten, bevor der biometrische Vorlagenserver den Benutzer/ das mobile Gerät autorisiert, eine biometrische Vorlage oder ein Behördenkennzeichen („authority indicator“) hochzuladen.
In Ausführungsformen, in denen das Biometrische entweder durch das erste mobile Gerät 104, den biometrischen Vorlagenserver 108 oder beide verschlüsselt ist, wird die biometrische Vorlage durch das zweite mobile Gerät 106 unter Verwendung der gleichen Benutzereingabe oder des gleichen Schlüssels entschlüsselt, mit dem sie verschlüsselt wurde. Die entschlüsselte biometrische Vorlage kann von dem zweiten mobilen Gerät 106 verwendet werden, um den Benutzer 102 zu authentifizieren und einen Zugriff auf und ein Herunterladen (in den Blöcken 520, 522) durch das zweite mobile Gerät 106 von einer Benutzeranmeldeinformation für den Benutzer 102 zu steuern.
6 veranschaulicht ein beispielhaftes Verfahren 600 zum Betreiben des drahtlosen Kommunikationssystems 100 zum Steuern des Zugriffs auf eine Benutzeranmeldeinformation, wie beispielsweise ein PKI-Zertifikat oder ein Identitätstoken. Das Verfahren 600 geht davon aus, dass der biometrische Vorlagenserver 142, wie vorstehend beschrieben, eine biometrische Vorlage, vorzugsweise in einem verschlüsselten Format, für einen Benutzer, wie beispielsweise den Benutzer 102, verwaltet. Wie bereits erwähnt, kann die biometrische Vorlage mehrere biometrische Identifikatoren für den Benutzer 102 beinhalten.
Bei Block 602 erhält der Benutzer 102 das erste mobile Gerät 104 und stellt dem ersten mobilen Gerät 104 eine benutzeridentifizierende Eingabe bereit, wie vorstehend im Detail beschrieben. In einigen Ausführungsformen kann die benutzeridentifizierende Eingabe Teil einer Anmeldung des Benutzers bei dem ersten mobilen Gerät 104 sein. Ein Betreiber des drahtlosen Kommunikationssystems 100 kann die Art der benutzeridentifizierenden Eingabe für den Benutzer 102 einstellen, wenn der Benutzer 102 mit der Arbeit für oder mit dem Systembetreiber beginnt.
In einer Ausführungsform der vorliegenden Erfindung authentifiziert sich das erste mobile Gerät 104 bei Block 604 als Reaktion auf das Empfangen der benutzeridentifizierenden Eingabe gegenüber dem biometrischen Vorlagenserver 148 und übermittelt eine Anforderung für eine biometrische Vorlage, die die benutzeridentifizierende Eingabe beinhaltet. In einigen Ausführungsformen kann sich das erste mobile Gerät 104 unter Verwendung eines Gerätezertifikats authentifizieren, das eine Identifizierung des mobilen Gerätes beinhaltet, wie beispielsweise eine IMEI und/oder eine IMSI. Wie vorstehend bereits erwähnt, enthält die Gerätereferenz genügend Information für den biometrischen Vorlagenserver 148, um zu bestimmen, dass das erste mobile Gerät 104 autorisiert ist, die biometrische Vorlage hochzuladen.
Wie vorstehend beschrieben, ermöglicht die benutzeridentifizierende Eingabe dem biometrischen Vorlagenserver 148 die mit dem Benutzer 102 assoziierte biometrische Vorlage abzurufen. Bei Block 606 empfängt das erste mobile Gerät 104 als Reaktion auf das Übertragen der Benutzereingabe an den biometrischen Vorlagenserver 148 eine oder mehrere Nachrichten, wobei die eine oder mehrere Nachrichten die biometrische Vorlage für den Benutzer beinhalten.
Bei Block 608 authentifiziert das erste mobile Gerät 104 den Benutzer basierend auf der empfangenen biometrischen Vorlage. Biometrische Authentifizierungsverfahren sind bekannt und werden nicht näher beschrieben, abgesehen davon, dass die biometrische Authentifizierung des Benutzers durchgeführt wird, indem neue biometrische Proben vom Benutzer genommen und mit den Daten in den biometrischen Vorlagen verglichen werden. In einigen Ausführungsformen wird die empfangene biometrische Vorlage verschlüsselt empfangen und wird von dem ersten mobilen Gerät 104 vor der Authentifizierung entschlüsselt. In solchen Ausführungsformen kann das erste mobile Gerät 104 die empfangene Vorlage mit wenigstens einem der folgenden entschlüsseln: dem privaten Schlüssel des ersten mobilen Gerätes 104, einem gemeinsamen Schlüssel, der dem ersten mobilen Gerät 104 und dem biometrischen Vorlagenserver 148 bekannt ist, oder mit vom Benutzer bereit gestellten Eingaben, wie einer PIN. Das erste mobile Gerät 104 entschlüsselt die verschlüsselte biometrische Vorlage basierend auf der Benutzereingabe, um eine entschlüsselte Vorlage zu erzeugen und der Benutzer 102 wird von dem ersten mobilen Gerät 104 basierend auf der entschlüsselten biometrischen Vorlage authentifiziert.
Als Reaktion auf das erfolgreiche Authentifizieren des Benutzers 102 erlaubt das erste mobile Gerät 104 dem Benutzer Zugriff auf das Gerät und seine Applikationen. In einigen Ausführungsformen kann das erste mobile Gerät 104 bewirken, dass der Screen und das Keyboard entsperrt werden und kann dem Benutzer Zugang zu anderen Ressourcen des mobilen Gerätes bieten. Bei Block 610 stellt das erste mobile Gerät 104 eine Anforderung für Benutzeranmeldeinformationen, wie zum Beispiel ein digitales Zertifikat für das erste mobile Gerät 104 basierend auf den Metadaten, die in der einen oder den mehreren Nachrichten empfangen wurden (zum Beispiel die Nutzungsbedingungen) zusammen. So kann beispielsweise die Benutzeranmeldeinformationsanforderung eine PKI-Zertifikat-Verwaltungsprotokoll-Zertifizierungsanforderung („PKI Certificate Management Protocol (CMP) certification request“) sein, wie sie in dem Request For Comments (RFC) 42 von der Internettechnik-Arbeitsgruppe („Internet Engineering Task Force“ (IETF)) beschrieben wird. Bei Block 612 signiert das erste mobile Gerät 104 die Benutzeranmeldeinformationsanforderung unter Verwendung seines privaten Schlüssels eines dem Gerät zugeordneten privaten/öffentlichen-Schlüsselpaares („private/public key pair“), um eine signierte Benutzeranmeldeinformationsanforderung (das heißt eine signierte Anforderung) zu erzeugen, und, bei Block 614 die signierte Benutzeranmeldeinformationsanforderung an den Benutzeranmeldeinformationsserver 130 zu vermitteln. In einer anderen Ausführungsform der vorliegenden Erfindung kann das erste mobile Gerät 104 autorisiert sein, als eine RA zu handeln, wobei in diesem Fall das erste mobile Gerät 104 die Benutzeranmeldeinformationsanforderung mit dem privaten Schlüssel (das heißt einem Registrierungsstellenschlüssel („registration authority key“)) eines privaten/öffentlichen Schlüsselpaares signieren kann, welches dem RA-Zertifikat des ersten mobilen Gerätes 104 zugeordnet ist.
In einigen Ausführungsformen authentifiziert sich das erste mobile Gerät 104 gegenüber dem Benutzeranmeldeinformationsserver 130 mit einer Gerätereferenz („device credential“), die angibt, dass das mobile Gerät autorisiert ist, Benutzeranmeldeinformationen anzufordern. In einigen Ausführungsformen gibt die Gerätereferenz ferner an, dass das mobile Gerät 104 biometrische Benutzerauthentifizierungen durchführt, bevor die Benutzeranmeldeinformationsanforderung an den Benutzeranmeldeinformationsserver 130 gesendet wird. Als Reaktion auf den Empfang der signierten Benutzeranmeldeinformationsanforderung validiert der Benutzeranmeldeinformationsserver 130 die Benutzeranmeldeinformationsanforderung. In einer Ausführungsform der vorliegenden Erfindung validiert der Benutzeranmeldeinformationsserver 130 die Benutzeranmeldeinformationsanforderung durch das Validieren der Signatur des ersten mobilen Gerätes 104 der Benutzeranmeldeinformationsanforderung, unter Verwendung eines öffentlichen Schlüssels des privaten/öffentlichen Schlüsselpaares, das dem Gerät zugeordnet ist, wie zum Beispiel dem öffentlichen Schlüssel, der in dem Gerätezertifikat des ersten mobilen Gerätes 104 enthalten ist. Wenn die Benutzeranmeldeinformationsanforderung mit dem privaten RA-Schlüssel des Gerätes signiert ist, kann der Benutzeranmeldeinformationsserver 130 die Benutzeranmeldeinformationsanforderung durch Verwendung eines entsprechenden öffentlichen RA-Schlüssels des Gerätes validieren.
Der Benutzeranmeldeinformationsserver 130 erzeugt eine Benutzeranmeldeinformationsantwort, wie zum Beispiel einer CMP Zertifizierungsantwort, die die Benutzeranmeldeinformation für das erste mobile Gerät 104 beinhaltet. Bei Block 616 übermittelt der Benutzeranmeldeinformationsserver 130 die Benutzeranmeldeinformationsantwort an das erste mobile Gerät 104 über das Datennetzwerk 126 und das RAN 122. In einigen Ausführungsformen sendet der Benutzeranmeldeinformationsserver 130 keine Antwort an das erste mobile Gerät 104, sondern das erste mobile Gerät 104 fragt das Zertifikatsverzeichnis („certificate repository“) für das neu ausgestellte Benutzerzertifikat ab. In anderen Ausführungsformen gibt der Benutzeranmeldeinformationsserver 130 nur einen einheitlichen Resourcenanzeiger („uniform resource locator“ (URL)) zurück, den das erste mobile Gerät 104 verwenden kann, um die Benutzeranmeldeinformation zu erhalten.
In einigen Ausführungsformen speichert das erste mobile Gerät 104 die Benutzeranmeldeinformation sicher in seinem Sicherheitsmodul 206, dem HSM 210 oder beiden. In einigen Ausführungsformen benötigt das erste mobile Gerät 104 eine biometrische Autorisierung des Benutzers 103, um die Benutzeranmeldeinformation sicher zu speichern.
In der vorangehenden Spezifikation sind spezifische Ausführungsformen beschrieben worden. Fachleuten ist jedoch klar, dass verschiedene Abwandlungen und Änderungen durchgeführt werden können, ohne den Schutzbereich der Erfindung, wie er in den Ansprüchen definiert ist, zu verlassen. Dementsprechend sind die Spezifikation und die Abbildungen in einem illustrativen Sinn anstatt in einem einschränkenden Sinn aufzufassen, und alle entsprechenden Abwandlungen sollen in den Schutzbereich der vorliegenden Lehren fallen.
Die Nutzen, Vorteile, Problemlösungen und jedes denkbare Element, das dazu führt, dass irgendein Nutzen, Vorteil oder irgendeine Lösung eintritt oder ausgeprägter wird, sollen nicht als kritische, erforderliche oder essentielle Merkmale oder Elemente eines beliebigen Anspruchs oder aller Ansprüche ausgelegt werden. Die Erfindung wird ausschließlich durch die angehängten Ansprüche definiert, einschließlich jeder beliebigen Änderung, die während der Rechtshängigkeit der vorliegenden Anmeldung vorgenommen wird, und aller Äquivalente solcher Ansprüche, wie veröffentlicht.
Darüber hinaus sollen in diesem Dokument relationale Ausdrücke, wie zum Beispiel, erste und zweite, oben und unten, und dergleichen ausschließlich verwendet werden, um eine Entität oder Aktion von einer anderen Entität oder Aktion zu unterscheiden, ohne notwendigerweise irgend eine tatsächliche solche Beziehung oder Reihenfolge zwischen solchen Entitäten oder Aktionen zu erfordern oder zu implizieren. Die Ausdrücke „umfasst“, „umfassend“, „hat“, „habend“, „beinhalten“, „beinhaltend“, „enthalten“, „enthaltend“ oder eine beliebige Variation davon sollen eine nicht-exklusive Einbeziehung abdecken, so dass ein Prozess, Verfahren, Artikel oder eine Vorrichtung, die eine Liste von Elementen umfassen, haben, beinhalten, enthalten, nicht nur solche Elemente beinhalten, sondern andere Elemente beinhalten können, die nicht ausdrücklich aufgeführt werden, oder solchen Prozessen, Verfahren, Artikeln oder Vorrichtungen inhärent sind. Ein Element, das fortfährt mit „umfasst... ein“, „hat... ein“, „beinhaltet... ein“, „enthält... ein“, schließt nicht, ohne weitere Auflagen, die Existenz zusätzlicher identischer Elemente in dem Prozess, Verfahren, Artikel oder der Vorrichtung aus, die das Element umfassen. Die Ausdrücke „eine“ und „ein“ werden als eins oder mehr definiert, sofern hierin nichts anderes explizit festgelegt ist. Die Ausdrücke „im Wesentlichen“, „essentiell“, „ungefähr“, „etwa“ oder eine beliebige andere Version davon wurden als „nahe bei sein“ definiert, wie dem Fachmann auf dem Gebiet klar ist, und in einer nicht begrenzenden Ausführungsform wird der Ausdruck definiert, innerhalb von 10 %, in einer anderen Ausführungsform innerhalb von 5 % in einer anderen Ausführungsform innerhalb von 1 % und in einer anderen Ausführungsform innerhalb von 0,5 % zu sein. Der Ausdruck „gekoppelt“, wie er hierin verwendet wird, wird als „verbunden“ definiert, obwohl nicht notwendigerweise direkt und nicht notwendigerweise mechanisch. Eine Vorrichtung oder Struktur, die in einer bestimmten Art und Weise „konfiguriert“ ist, ist mindestens auf diese Art und Weise konfiguriert, kann aber auch auf mindestens eine andere Art und Weise konfiguriert sein, die nicht aufgeführt ist.
Es ist gewünscht, dass einige Ausführungsformen einen oder mehrere generische oder spezialisierte Prozessoren (oder „Verarbeitungsvorrichtungen“) umfassen, wie zum Beispiel, Mikroprozessoren, digitale Signalprozessoren, kundenspezifische Prozessoren, freiprogrammierbare Feld-Gate-Arrays (FPGAs) und eindeutige gespeicherte Programmanweisungen (die sowohl Software als auch Firmware umfassen), die den einen oder mehrere Prozessoren steuern, um in Verbindung mit bestimmten Nicht-Prozessor-Schaltungen, einige, die meisten oder alle der Funktionen des Verfahrens und/oder der Vorrichtung, die hierin beschrieben werden, zu implementieren. Alternativ können einige oder alle Funktionen durch eine Zustandsmaschine implementiert werden, die über keine gespeicherten Programmanweisungen verfügt, oder in einer oder mehreren anwendungsspezifischen integrierten Schaltungen (ASICs), in denen jede Funktion oder einige Kombinationen von bestimmten Funktionen als kundenspezifische Logik implementiert sind. Selbstverständlich kann eine Kombination der beiden Ansätze verwendet werden. Sowohl die Zustandsmaschine als auch die ASIC wird hierein als „Verarbeitungsvorrichtung“ angesehen werden, für Zwecke der weitergehenden Diskussion und des Anspruchswortlautes.
Darüber hinaus kann eine Ausführungsform als ein computerlesbares Speicherelement oder -medium implementiert sein, das über einen darauf gespeicherten computerlesbaren Code zum Programmieren eines Computers (der zum Beispiel einen Prozessor umfasst) verfügt, um ein hierin beschriebenes und beanspruchtes Verfahren durchzuführen. Beispiele solcher computerlesbaren Speichermedien umfassen, ohne darauf beschränkt zu sein: eine Festplatte, eine CD-ROM, eine optische Speichervorrichtung, eine magnetische Speichervorrichtung, einen ROM (Nur-Lese-Speicher), einen PROM (Programmierbarer Nur-Lese-Speicher), einen EPROM (Löschbarer Programmierbarer Nur-Lese-Speicher), einen EEPROM (Elektrisch Löschbarer Programmierbarer Nur-Lese-Speicher) und einen Flash-Speicher. Weiterhin ist zu erwarten, dass ein Fachmann auf dem Gebiet, ungeachtet möglicher erheblicher Anstrengungen und einer großen Designauswahl, die zum Beispiel durch eine zur Verfügung stehende Zeit, der aktuellen Technologie und ökonomische Überlegungen begründet ist, geleitet durch die hierin offenbarten Konzepte und Prinzipien, ohne Weiteres in der Lage ist, solche Softwareanweisungen und Programme und ICs mit minimalem Versuchsaufwand zu erzeugen.
Die Zusammenfassung der Offenbarung wird zur Verfügung gestellt, um dem Leser zu erlauben, die Natur der technischen Offenbarung schnell zu erkennen. Sie wird mit dem Verständnis eingereicht, dass sie nicht verwendet wird, um den Geist oder die Bedeutung der Ansprüche zu interpretieren oder zu begrenzen. Zusätzlich ist der vorangehenden ausführlichen Beschreibung zu entnehmen, dass verschiedene Merkmale in verschiedenen Ausführungsformen zusammengruppiert werden, um die Offenbarung zu straffen. Dieses Offenbarungsverfahren soll nicht als ein Reflektieren einer Intention interpretiert werden, dass die beanspruchten Ausführungsformen mehr Merkmale erfordern, als ausdrücklich in jedem Anspruch vorgetragen werden. Vielmehr liegt, wie aus den folgenden Ansprüchen hervorgeht, ein erfinderischer Gegenstand in weniger als allen Merkmalen einer einzelnen offenbarten Ausführungsform vor. Somit werden die folgenden Ansprüche hierdurch in die ausführliche Beschreibung integriert, wobei jeder Anspruch für sich alleine als ein getrennt beanspruchter Gegenstand steht.

Claims

Verfahren zum Steuern des Zugriffs auf eine Benutzeranmeldeinformation, wobei das Verfahren umfasst: das Empfangen, von einem mobilen Gerät, einer Authentifizierungsanforderung, wobei die Authentifizierungsanforderung eine Gerätereferenz beinhaltet, die dem mobilen Gerät zugeordnet ist; das Empfangen, durch das mobile Gerät, einer Anforderung nach einer biometrischen Vorlage eines Benutzers; das Bestimmen, durch Bezugnahme auf wenigstens eines aus der Gruppe bestehend aus der Gerätereferenz und einer Autorisierungsdatenbank, dass das mobile Gerät autorisiert ist, die biometrische Vorlage des Benutzers basierend auf wenigstens einem Attribut zu empfangen, das eine Verwendung der biometrischen Vorlage steuert; und als Reaktion auf das Bestimmen, dass das mobile Gerät autorisiert ist, die biometrische Vorlage des Benutzers zu empfangen, das Übermitteln der biometrischen Vorlage des Benutzers an das mobile Gerät.
Verfahren gemäß Anspruch 1, wobei das wenigstens eine Attribut, dass die Verwendung der biometrischen Vorlage steuert, wenigstens eines umfasst von: einer Behörde, einer Abteilung, eines Bezirks, einer Gerichtsbarkeit, einer Sicherheitsebene, eines Behördenkennzeichens oder einer Funktion des Benutzers.
Verfahren gemäß Anspruch 1, wobei das Übermitteln der biometrischen Vorlage des Benutzers an das mobile Gerät das Übermitteln von Metadaten zu dem mobilen Gerät beinhaltet.
Verfahren gemäß Anspruch 3, wobei die Metadaten wenigstens eines beinhalten, ausgewählt aus der Gruppe bestehend aus einer Funktion eines Benutzers, der autorisiert ist, die biometrische Vorlage zu verwenden, einem Rang eines Benutzers, der autorisiert ist, die biometrische Vorlage zu verwenden, einer Lebensdauer der biometrischen Vorlage, Bedingungen, unter denen die biometrische Vorlage zu löschen ist, einem Typ des mobilen Gerätes, das autorisiert ist, die biometrische Vorlage zu verwenden, einen Betreffnamen der Benutzeranmeldeinformation, einer Gültigkeitsdauer der Benutzeranmeldeinformation, einem oder mehreren Autorisierungsattributen und einer Sicherheitsebene.
Verfahren gemäß Anspruch 1 ferner umfassend: im Anschluss an das Übermitteln der biometrischen Vorlage des Benutzers an das mobile Gerät, das Empfangen, von dem mobilen Gerät, einer Anforderung für eine Benutzeranmeldeinformation, die dem Benutzer zugeordnet ist, wobei die Anforderung vom dem mobilen Gerät signiert ist; und als Reaktion auf das Empfangen der Anforderung für eine Benutzeranmeldeinformation; das Validieren, dass das mobile Gerät autorisiert ist, Anforderungen für Benutzeranmeldeinformationen zu genehmigen; und das Übermitteln, an das mobile Gerät, der Benutzeranmeldeinformation, die dem Benutzer zugeordnet ist.
Verfahren gemäß Anspruch 5, wobei das Validieren, dass das mobile Gerät autorisiert ist, Anforderungen für Benutzeranmeldeinformationen zu genehmigen, beinhaltet, das Ausführen einer Geräteidentifikation mit dem mobilen Gerät; wobei das mobile Gerät, vor dem Anfordern der Benutzeranmeldeinformation ein Gerätezertifikat bereitstellt, das ein Attribut enthält, welches dem Benutzeranmeldeinformartionsserver anzeigt, dass das mobile Gerät dazu eingerichtet ist, eine Benutzerauthentifizierung basierend auf einer gespeicherten biometrischen Vorlage auszuführen.
Verfahren zum Authentifizieren eines Benutzers auf einem mobilen Gerät, wobei das Verfahren umfasst: das Empfangen, durch eine Ein-/Ausgabeschnittstelle des mobilen Gerätes, einer benutzeridentifizierenden Eingabe; als Reaktion auf das Empfangen der benutzeridentifizierenden Eingabe, das Authentifizieren, durch das mobile Gerät, gegenüber einem biometrischen Vorlagenserver; als Reaktion auf das Authentifizieren gegenüber dem biometrischen Vorlagenserver, das Übermitteln, durch das mobile Gerät, zu dem biometrischen Vorlagenserver, der benutzeridentifizierenden Eingabe; als Reaktion auf das Übermitteln der benutzeridentifizierenden Eingabe, das Empfangen, durch das mobile Gerät, einer oder mehrerer Nachrichten beinhaltend eine biometrische Vorlage für den Benutzer; und das Authentifizieren, durch das mobile Gerät, des Benutzers, basierend auf der biometrischen Vorlage.
Verfahren nach Anspruch 7, wobei die biometrische Vorlage nur für eine Lebensdauer der biometrischen Vorlagen gültig ist, und das mobile Gerät die biometrische Vorlage löscht, wenn die Lebensdauer der biometrischen Vorlagen abgelaufen ist.
Das Verfahren gemäß Anspruch 7, ferner umfassend: das Zusammenstellen, durch das mobile Gerät, einer Anforderung für eine Benutzeranmeldeinformation basierend auf Metadaten, die in der einen oder den mehreren Nachrichten enthalten sind; das Signieren, durch das mobile Gerät, der Anforderung für eine Benutzeranmeldeinformation, um eine signierte Anforderung zu erzeugen; das Übermitteln, durch das mobile Gerät, zu einem Benutzeranmeldeinformationsserver, der signierten Anforderung; und als Reaktion auf das Übermitteln der signierten Anforderung, das Empfangen, durch das mobile Gerät, der Benutzeranmeldeinformation.
Verfahren gemäß Anspruch 9, ferner umfassend: als Reaktion auf das Empfangen der Benutzeranmeldeinformation, das sichere Speichern der Benutzeranmeldeinformation.
Verfahren gemäß Anspruch 10, wobei das sichere Speichern das Erfordern einer biometrischen Authentifizierung des Benutzers auf der Grundlage der biometrischen Vorlage beinhaltet, um eine Verwendung der Benutzeranmeldeinformation zu aktivieren.
Verfahren gemäß Anspruch 9, wobei die Metadaten Information beinhaltet, die die Verwendung der biometrischen Vorlage durch das mobile Gerät steuert.
Verfahren gemäß Anspruch 9, wobei die Metadaten Information beinhaltet, die die Verwendung der Benutzeranmeldeinformation durch das mobile Gerät steuert.
Verfahren gemäß Anspruch 9, wobei die Metadaten wenigstens eines sind, ausgewählt aus einer Gruppe bestehend aus einer Funktion eines Benutzers, der autorisiert ist, die biometrische Vorlage zu verwenden, eines Rangs eines Benutzers, der autorisiert ist, die biometrische Vorlage zu verwenden, einer Lebensdauer der biometrischen Vorlage, Bedingungen, unter denen die biometrische Vorlage gelöscht wird, eines Typs des mobilen Gerätes, das autorisiert ist, die biometrische Vorlage zu verwenden, einem Betreffnamen der Benutzeranmeldeinformation, einer Gültigkeitsdauer der Benutzeranmeldung, einem oder mehreren Autorisierungsattributen und einer Sicherheitsebene.
Verfahren gemäß Anspruch 9, wobei das Signieren der Anforderung das Signieren der Anforderung unter Verwendung eines Registrierungsstellenschlüssels, der dem mobilen Gerät zugeordnet ist, beinhaltet.
Verfahren gemäß Anspruch 9, wobei die Anforderungen für eine Benutzeranmeldeinformation eine Zertifikatssignierungsanforderung ist, wobei die Benutzeranmeldeinformation ein Zertifikat ist.
Verfahren gemäß Anspruch 9, wobei die Anforderung für eine Benutzeranmeldeinformation eine Anforderung für ein Identitätstoken ist, und wobei die Benutzeranmeldeinformation ein Identitätstoken ist.
Verfahren gemäß Anspruch 9, wobei der Benutzeranmeldungsinformationsserver wenigstens eines beinhaltet, ausgewählt aus einer Gruppe bestehend aus einer öffentlichen Schlüsselinfrastruktur, einem öffentlichen Schlüsselinfrastrukturelement, einer Registrierungsstelle und einer Zertifizierungsstelle.
Verfahren gemäß Anspruch 7, weiter umfassend: das Empfangen einer Benutzereingabe mit einer von dem Benutzer bereitgestellten persönlichen Identifizierungsnummer; das Entschlüsseln der biometrischen Vorlage basierend auf der von dem Benutzer bereitgestellten persönlichen Identifizierungsnummer, um eine entschlüsselte biometrische Vorlage zu erzeugen; und das Authentifizieren des Benutzers basierend auf der entschlüsselten biometrischen Vorlage.
Mobiles Gerät umfassend: eine Ein-/Ausgabeschnittstelle; eine drahtlose Schnittstelle; einen Prozessor; wenigstens eine Speichervorrichtung, die dazu eingerichtet ist, einen Satz von Instruktionen zu speichern, der, wenn von dem Prozessor ausgeführt, den Prozessor veranlasst, die folgenden Funktionen durchzuführen: Empfangen, über die Ein-/Ausgabeschnittstelle, einer benutzeridentifizierenden Eingabe von einem Benutzer des mobilen Gerätes; als Reaktion auf das Empfangen der benutzeridentifizierenden Eingabe, das Authentifizieren gegenüber einem biometrischen Vorlagenserver und das Übermitteln, an den biometrischen Vorlagenserver über die drahtlose Schnittstelle, der benutzeridentifizierenden Eingabe; als Reaktion auf das Übermitteln der benutzeridentifizierenden Eingabe, das Empfangen, über die drahtlose Schnittstelle, einer oder mehrerer Nachrichten, die eine biometrische Vorlage für den Benutzer beinhalten; das Authentifizieren des Benutzers basierend auf der biometrischen Vorlage; das Zusammenstellen einer Anforderung für eine Benutzeranmeldeinformation basierend auf Metadaten, die in der einen oder den mehreren Nachrichten enthalten sind; das Signieren der Anforderung für eine Benutzeranmeldeinformation, um eine signierte Anforderung zu erzeugen; das Übermitteln, über die drahtlose Schnittstelle, an einen Benutzeranmeldeinformationsserver, der signierten Anforderung; und als Reaktion auf das Übermitteln der signierten Anforderung, das Empfangen über die drahtlose Schnittstelle, der Benutzeranmeldeinformation.