-
GEBIET DER ERFINDUNG
-
Die
vorliegende Erfindung betrifft im Allgemeinen Einmalanmeldungs-
bzw. Single-Sign-On-Dienste für
eine Vielzahl von Benutzern, die auf ein Dienstnetz über ein
nicht vertrauenswürdiges
Zugangsnetz zugreifen. Insbesondere betrifft die Erfindung eine
Telekommunikationsvorrichtung, eine Benutzerausrüstung und ein Verfahren für Einmalanmeldungs-Authentifizierungszwecke,
wenn das Zugangsnetz keine Datenursprungs-Authentifizierung bereitstellt.
-
HINTERGRUND
-
Einmalanmeldung
bzw. Single-Sign-On (nachstehend SSO) ist ein aufkommendes Prinzip, das
es Benutzern ermöglicht,
auf unterschiedliche Dienste ohne explizites Authentifizieren solcher
Benutzer für
jeden speziellen der unterschiedlichen Dienste zuzugreifen. Die
Unterstützung
dieses Prinzips impliziert, dass ein Benutzer nur einmal bei einer gegebenen
Identitätsanbieter-(nachstehend
IdP – vom
englischsprachigen Ausdruck Identity Provider) Einheit authentifiziert
wird und die resultierende Authentifizierung für den Einlass zu anderen Diensten oder
Diensteanbietern (SP bzw. Service Provider) gültig ist. Mit anderen Worten,
der Zweck von SSO ist es, Benutzern zu ermöglichen, sicher auf unterschiedliche
Dienste und Anwendungen zuzugreifen ohne jedes Mal authentifiziert
und authorisiert zu werden.
-
Im
Grunde gibt es zwei Ansätze
zum Unterstützen
von SSO, nämlich
einen sogenannten Endgeräte-zentrierten
Ansatz und einen sogenannten Netz-zentrierten Ansatz.
-
Bei
dem Endgeräte-zentrierten
Ansatz ist es das Endgerät
des Benutzers, das die unterschiedlichen Authentifizierungsmechanismen
unterstützt,
die erforderlich sind zum Zugriff auf die unterschiedlichen Dienste.
Beispielsweise statt des Benutzers selbst speichert das Endgerät die unterschiedlichen Passwörter. In
dieser Hinsicht erlegt dieser Ansatz noch der Benutzer- oder Endgeräteseite
die Last des Unterstützens
unterschiedlicher Authentifizierungsmechanismen auf. Zudem muss
der Benutzer sich selbst bei jeder Einheit, die die Rolle des Diensteanbieters
(SP) spielt, registrieren, sodass jede von diesen Einheiten die
Information hat, die erforderlich ist in Bezug auf den Benutzer
wie z.B. die Benutzeridentität
und Passwort, Adresse für
Postlieferungen, Kontaktinformation, Bezahlungsmodus etc.
-
Bei
dem Netz-zentrierten Ansatz wird "ein Benutzer einfach in Richtung einer
zentralen Einheit authentifiziert, die die Rolle des Identitätsbereitstellers
(IdP) für
diesen Benutzer spielt. Wenn der Benutzer es wünscht, auf einen gegebenen
Dienst zuzugreifen, braucht der entsprechende Dienstebereitsteller
(SP) keine neue Authentifizierung. Stattdessen werden dem Dienstebereitsteller
(SP) von dem Identitätsbereitsteller
(IdP) ein oder mehrere Dienstberechtigungsnachweise unterbreitet,
demnach festlegend, dass der Benutzer authentifiziert worden ist und
die notwendige Information über
den Benutzer bereitstellend. Sicherlich erfordert dieser Mechanismus
eine Geschäftsbeziehung
zwischen dem SP und dem IdP.
-
Es
gibt einen speziellen Fall, wenn dieselbe Einheit, beispielsweise
ein Mobilnetzbetreiber (nachstehend MNO – vom englischsprachigen Ausdruck Mobile
Network Operator) die Zugriffsauthentifizierung steuert und gleichzeitig
die Rolle des IdP übernimmt.
Beispielsweise führt
der Benutzer eine Authentifizierung mit dem Kernnetz (CN) durch,
um Zugriff auf das Netz zu erlangen wie während einer General-Packet-Radio-Service- bzw. GPRS-Authentifizierung
oder einer Circuit-Switched-Authentifizierung,
und der IdP verlässt
sich auf diese Authentifizierung, so dass eine neue Authentifizierung in
Richtung des IdP nicht benötigt
wird, vorausgesetzt, dass der IdP die Einrichtung hat, um die Information
von dem CN zu erhalten.
-
In
diesem speziellen Fall kann der Identitätsbereitsteller (IdP) sich
nur auf die Kernnetz- bzw. CN-Authentifizierung verlassen, wenn
das Zugangsnetz, auf das der Benutzer zugreift, Datenursprungs-Authentifizierung
bereitstellt. Dies ist beispielsweise der Fall, wenn der Benutzer über ein GPRS
Zugangsnetz zugreift.
-
In
diesem Zusammenhang bedeutet Datenursprungs-Authentifizierung, dass für irgendwelche vom
Zugangsnetz empfangene Daten und egal wer der Erzeuger war, der
beanspruchte Erzeuger dieser Daten als authentisch betrachtet werden
kann.
-
Jedoch
stellen andere Zugangsnetze wie z.B. ein Drahtloslokalbereichsnetz
(WLAN) keine Datenursprungs-Authentifizierung
bereit, demnach die Wiederverwendung der beim Zugriff auf das Netz
für SSO-Authentifizierungszwecke
durchgeführte
Ursprungs-Authentifizierung ausschließend, oder mit anderen Worten,
die Wiederverwendung der Zugriffsauthentifizierung für SSO-Zwecke
ausschließend.
-
Konventionell
impliziert in der Mobil-Welt das SSO-Prinzip, dass sobald ein Benutzer
eine Kernnetz- bzw. CN-Authentifizierung
durchgeführt
hat, ein solcher Benutzer Zugriff auf Dienste in einer Vielfalt von
Netzen erhält
ohne weiter explizite Authentifizierung vermöge einer Single-Sign-On- bzw. SSO-Unterstützung, und
wobei das Heimatnetz, das die Teilnehmerschaft des Benutzers innehat,
die Rolle des IdP für
einen solchen Benutzer übernimmt.
Allgemein gesagt, ein Benutzer kann durch das Heimatkernnetz des
Benutzers authentifiziert werden, bei dem der Benutzer Teilnehmer
ist, oder durch ein besuchtes Kernnetz (Visited Core Network), bei
dem der Benutzer Roaming durchführt.
Zum Zweck der Vereinfachung bezieht sich die vorliegende Beschreibung nachstehend
auf eine Kernnetzauthentifizierung, egal ob das Heimat- oder das
besuchte Netz den Benutzer authentifiziert hat. In diesem Zusammenhang wird
eine Datenursprungs-Authentifizierung
sichergestellt, da sie auf der Tatsache beruht, dass das Kernnetz
(CN) des Mobilnetzbetreibers ein zuverlässiges Netz ist und demnach
eine Mobilstation (oder eine Benutzerausrüstung oder eine Benutzerendgeräteseite),
der von dem CN eine IP-Adresse zugewiesen worden ist, über die
vertrauenswürdige
IP-Adresse identifiziert werden kann. Jedwede Daten, die von der
Mobilstation stammen, können
als authentisch betrachtet werden. Zudem kann die IP-Adresse als die
Pseudo-Identität
des Benutzers während
der Dauer, in der die IP-Adresse der Mobilstation des Benutzers
zugewiesen ist, betrachtet werden. Dieses Prinzip wird unter einem
SSO-Ansatz verwendet zum Erhalten anderer Identitäten des
Benutzers wie die Mobilteilnehmerverzeichnisnummer (Mobile Subscriber
Directory Number, nachstehend MSISDN bezeichnet).
-
Heutzutage
gibt es zwei Hautgeschäftsmodelle
in Bezug auf Single-Sign-On. Das Erste ist das sogenannte Walled-Garden-SSO und bezieht sich auf
die Verwendung von SSO für
Dienste, die von derselben Einheit angeboten werden, die SSO anbietet,
nämlich
Lokaldienste (Local Services) innerhalb dieser Beschreibung. Es
gibt keine offenen Spezifikationen oder Standardtechnologie, die
dieses Geschäftsmodell
unterstützen.
-
Ein
anderes wohlbekanntes Modell ist das sogenannte Federated-SSO, wobei
der SSO-Dienst durch einen Identitätsbereitsteller (IdP) bereitgestellt wird,
wohingegen die Dienste von einem oder mehreren Dienstebereitstellern
(SP) bereitgestellt werden, nämlich
externe Dienste (External Services) innerhalb dieser Beschreibung.
Das als Liberty Alliance Project (LAP) bekannte Industrieforum hat
einen Satz von Protokollen entwickelt, um Szenarien zu ermöglichen,
die die sogenannte Federated-SSO unterstützen. LAP spezifiziert keinen
speziellen Authentifizierungsmechanismus, sondern lediglich wie
das Authentifizierungsergebnis von einem Identitätsbereitsteller (IdP) zu einem
Dienstebereitsteller (SP) übertragen
werden kann, wobei der Letztere letztendlich den Endbenutzer mit
Diensten bedient. LAP suggeriert jedoch nicht, wie ein IdP arbeitet,
wenn der Benutzer über
ein nicht vertrauenswürdiges
Zugangsnetz zugreift.
-
Wenn
ein Mobilnetzbetreiber (MNO) beide Rollen übernimmt, den Kernnetz- bzw.
CN-Authentifizierungsbereitsteller und den Identitätsbereitsteller (IdP)
in den obigen Szenarien für
Single-Sign-On (SSO), dem Walled-Garden- und dem Federated-SSO-Szenario, und
vorausgesetzt, dass das Zugangsnetz Datenursprungs-Authentifizierung
bereitstellt, führt
ein Benutzer einfach eine Zugangsauthentifizierung durch und sobald
dieser Schritt ausgeführt
worden ist, kann SSO verwendet werden, um Zugriff auf eine Anzahl
von Diensten zu gewähren ohne
irgendeinen neuen Authentifizierungsprozess.
-
Beispielsweise
vorausgesetzt, dass das Zugangsnetz ein GPRS-Netz ist, ist die Einheit, die die Rolle
des Identitätsbereitstellers
(IdP) spielt, sobald eine GPRS-Identifizierung
erfolgreich durchgeführt worden
ist, sicher, dass jede Anfrage für
Dienstberechtigungsnachweise, die von einem Benutzer mit einer gegebenen
IP-Adresse empfangen werden, tatsächlich von diesem Benutzer
kommen und nicht von einem Angreifer, der IP-Spoofing durchführt. Hierdurch
kann der IdP die angeforderten Dienstberechtigungsnachweise dem
Benutzer bereitstellen ohne das Durchführen einer zusätzlichen
Authentifizierung. Einhergehend mit diesem beispielhaften Szenario
offenbart
US-6253327 eine
Vorrichtung und ein Verfahren für
einen Benutzer, dem eine IP-Adresse zugewiesen worden ist, als er
einmal durch ein Netz authentifiziert worden ist, wobei diese IP-Adresse
als eine sicher durch eine verhandelte Punkt-zu-Punkt-Protokollsitzung
authentifizierte verwendet wird, hierdurch den Bedarf nach weiteren
Authentifizierungen eliminierend, wenn der Benutzer auf öffentliche
oder private Netzbereiche zugreift. Dies ist eine akzeptable Lösung, wenn
das Zugangsnetz Datenursprungs-Authentifizierung
bereitstellt, wie es eine Punkt-zu-Punkt-Protokollsitzung ermöglicht.
-
Jedoch
bietet der derzeitige Stand der Technik keine sichere Lösung für eine Single-Sign-On-Authentifizierung,
wenn das Zugangsnetz keine Datenursprungs-Authentifizierung bereitstellt,
da die gegebene IP-Adresse, die den Benutzer identifiziert, nicht durch
den Mobilnetzbetreiber (MNO) kontrolliert ist und von einem IP-Spoofing
durchführenden
Angreifer verwendet werden könnte.
In dieser Hinsicht ist die Verwendung eines Tunnelmechanismus durch ein
sicheres Gateway zum Authentifizieren eines auf ein Privatnetz zugreifenden
Benutzers mit dem Hinzufügen
und Entfernen von IP-Adressen für
Netzeinheiten im Privatnetz und dem Verbinden von Funktionen zum
Zuordnen des Ursprungs einer Anfrage zu dem Ziel einer entsprechenden
Antwort, um einen direkten Zugriff von dem Zugangsnetz zum Privatnetz zu
vermeiden, wie in
US-6571289 gezeigt,
nicht hilfreich, wenn das Zugangsnetz keine Datenursprungs-Authentifizierung
bereitstellt, und schließt ein
Eindringen eines angreifenden Benutzers, der IP-Spoofing durchführt, nicht
aus.
-
Daher
ist die vorliegende Erfindung dazu gedacht, diese Einschränkung auf
solche Weise auszuräumen,
dass ein Mobilnetzbetreiber (MNO), der Zugriff über ein Zugangsnetz bereitstellt,
das nicht imstande ist, Datenursprungs-Authentifizierung bereitzustellen, wie
z.B. ein WLAN, die Ursprungs-Authentifizierung für SSO wiederverwenden kann.
Darüber hinaus
richtet sich die vorliegende Erfindung auf das Ausräumen dieser
Einschränkung
mindestens nach einem Netzzentrierten Ansatz.
-
RESÜMEE DER ERFINDUNG
-
Das
obige Ziel wird in Übereinstimmung
mit der vorliegenden Erfindung durch das Bereitstellen einer Vorrichtung
nach Anspruch 1 erreicht, durch eine Benutzerausrüstung nach
Anspruch 14 und das Verfahren nach Anspruch 18, die alle dazu gedacht sind,
Single-Sign-On-Dienste für
einen Benutzer bereitzustellen, der auf ein Dienstnetz über ein
Zugangsnetz zugreift, das keine Datenursprungs-Authentifizierung
bereitstellt, durch Wiederverwendung der ursprünglichen Zugangsindentifizierung,
die mit dem Kernnetz durchgeführt
wird. Die Vorrichtung, die Benutzerausrüstung und das Verfahren bilden
demnach ein einziges Erfindungskonzept.
-
Die
Vorrichtung in Übereinstimmung
mit der Erfindung ist eingerichtet zum Empfangen einer Einmalanmeldungs-
bzw. Single-Sign-On-Dienstanfrage in einem Telekommunikationsdienstnetz
von einem Benutzer über
ein Zugangsnetz, das nicht befähigt ist,
Datenursprungs-Authentifizierung
bereitzustellen, wobei der Benutzer als ein Ergebnis einer Authentifizierung
durch ein Kernnetz Zugriffsberechtigungsnachweise empfangen hat.
Diese Vorrichtung umfasst:
- – eine Vorrichtung zum Einrichten
eines sicheren Tunnels mit dem Benutzer über ein Zugangsnetz unter Verwendung
einer durch das Zugangsnetz zugewiesen äußeren IP-Adresse;
- – eine
Einrichtung zum Prüfen
der Gültigkeit
von Zugriffsberechtigungsnachweisen, die von dem Benutzer während des
Einrichtens des sicheren Tunnels empfangen worden sind;
- – eine
Einrichtung zum Einrichten einer gültigen Sitzung mit dem Benutzer
auf die erfolgreiche Gültigkeitsprüfung der
Zugriffsberechtigungsnachweise hin;
- – eine
Einrichtung zum Zuweisen einer internen IP-Adresse, die als eine
innere IP-Adresse innerhalb des sicheren Tunnels zu verwenden ist;
und
- – eine
Einrichtung zum Verknüpfen
von Sitzungsdaten, Zugriffsberechtigungsnachweisen und der zugewiesenen
internen IP-Adresse für
den Benutzer.
-
Die
Vorrichtung ist vorzugsweise mit einer Einrichtung ausgerüstet zum
Erzeugen von Dienstberechtigungsnachweisen, die verwendbar sind
für den
Benutzer, um auf gewisse Dienste zuzugreifen, die einen speziellen
Authorisierungsbeleg erfordern. Zudem ist diese Einrichtung eingerichtet
zum Erzeugen von Dienstberechtigungsnachweisen auf einer Pro-Dienst-Basis für den Benutzer
und auf eine Dienstanfrage hin.
-
Unter
der Voraussetzung, dass die Zugriffsberechtigungsnachweise, die
dem Dienstnetz bereitgestellt werden, signiert sein können oder
nicht, ist die Vorrichtung vorzugsweise mit einer Einrichtung versehen
zum Kommunizieren mit einem Authentifizierungsserver des Heimatnetzes,
um die Gültigkeit der
von dem Benutzer empfangenen Zugriffsberechtigungsnachweise zu prüfen, wenn
die Zugriffsberechtigungsnachweise nicht durch eine erkannte Authentifizierungseinheit
signiert sind.
-
Die
Vorrichtung kann mit unterschiedlichen Komponenten in vorteilhafter
Weise implementiert werden, wobei die Einrichtung zum Einrichten
des sicheren Tunnels mit einem Benutzer in einer ersten Vorrichtung
eingeschlossen ist, die Sicher-Dienstzugangspunkt bzw. Secure-Service-Entry-Point
genannt wird, und die Einrichtung zum Verknüpfen von Sitzungsdaten, Zugriffsberechtigungsnachweisen und
einer zugeordneten internen IP-Adresse für den Benutzer in einer zweiten
Vorrichtung eingeschlossen sind, die Single-Sign-On-Server bzw. SSO-Server
genannt wird. Unter diesem Ansatz umfasst die Vorrichtung ferner
eine Einrichtung, damit die ersten und zweiten genannten Vorrichtungen
kommunizieren können,
nämlich
der Secure-Service-Entry-Point mit dem Single-Sign-On-Server.
-
Andererseits,
unter der Vorraussetzung, dass das Dienstnetz, auf das der Benutzer
zugreift, sich von dem Heimatnetz unterscheiden kann, bei dem der
Benutzer als Teilnehmer gemeldet ist, umfasst die Vorrichtung der
vorliegenden Erfindung eine Einrichtung für eine zusätzliche Koordination mit dem für diesen
Benutzer zuständigen
Identitätsbereitsteller
im Heimatnetz. Diese Einrichtung für die zusätzliche Koordination befindet
sich vorzugsweise beim Single-Sign-On-Server, obwohl sie alternativ
auch beim Secure-Service-Entry-Point angeordnet sein kann.
-
Im
Betrieb schließt
die Vorrichtung für
eine beispielhafte Benutzung, wenn der Benutzer auf einen lokalen
HTTP-Dienst oder auf einen externen Dienst in einem vom derzeit
bezugrifften Dienstnetz unterschiedlichen Netz zugreift, eine Einrichtung
zum Prüfen
ein, ob der Benutzer zuvor authentifiziert worden ist oder nicht.
Daher kann die Vorrichtung mit einer Einrichtung versehen sein zum
Kommunizieren mit einer Zwischen-Einheit, die angeordnet ist, um den
Zugriff des Benutzers auf den HTTP-Lokaldienst oder den externen
Dienst in einem externen Netz zu unterbrechen. Speziell kann diese
Zwischen-Einheit ein HTTP-Proxy sein oder eine zu diesem Zweck angeordnete
Universal-Firewall.
-
Im
Betrieb für
eine andere beispielhafte Benutzung, wenn der Benutzer auf einen Nicht-HTTP-Lokaldienst
zugreift, schließt
die Vorrichtung auch eine Einrichtung ein zum Prüfen, ob der Benutzer zuvor
authentifiziert worden ist oder nicht. Unter diesem Ansatz können jedoch
gegebenenfalls nicht derart angenehme Vorteile gegeben sein, wenn man
eine zwischen dem Benutzer und dem Dienst eingefügte Zwischen-Einheit hat, die
die Einrichtung ist zum geteilten Prüfen zwischen dem Dienst und der
Vorrichtung selbst. In Bezug auf jene beiden beispielhaften Benutzungen
bestimmt nicht die Tatsache, einen HTTP-Dienst oder einen Nicht-HTTP-Dienst
zu haben die Vorteile oder Nachteile des Vorsehens der Zwischen-Einheit,
sondern es zeigen sich eher unterschiedliche Konfigurationen, die
mit der Vorrichtung der vorliegenden Erfindung kompatibel sind.
-
Die
Benutzerausrüstung
im Zusammenhang mit der Erfindung ist eingerichtet zum Ausführen der Authentifizierungsprozeduren
mit einem Kernnetz und schließt
eine Einrichtung ein zum Einrichten eines sicheren Tunnels mit einem
Dienstnetz durch ein nicht mit Datenursprungs-Authentifizierung
versehenes Zugangsnetz, wobei der sichere Tunnel eine durch das
Zugangsnetz zugewiesene äußere IP-Adresse
nutzt und die Benutzerausrüstung
auch einschließt:
- – eine
Einrichtung zum Erhalten von Zugriffsberechtigungsnachweisen als
ein Ergebnis des Authentifiziertwerdens durch das Kernnetz; und
- – eine
Einrichtung zum Verknüpfen
des Zugriffsberechtigungsnachweises mit dem sicheren Tunnel.
-
Die
Benutzerausrüstung
schließt
in vorteilhafter Weise eine Einrichtung ein zum Verknüpfen der
internen IP-Adresse, die als eine innere IP-Adresse innerhalb des
getunnelten Verkehrs verwendet wird, mit den Zugriffsberechtigungsnachweisen
und mit dem sicheren Tunnel. Auf diese Weise können weitere Adressen zu speziellen
Diensten leicht bei der Benutzerausrüstung auf die zuvor zugewiesene IP-Adresse
als eine Pseudo-Identität
stoßen
zum direkten Zugriff auf die speziellen Dienste.
-
Obwohl
unterschiedliche Mechanismen verwendet werden können zum Erhalten von Zugriffsberechtigungsnachweisen,
werden zusätzliche
Sicherheitsvorteile gesehen beim Bereitstellen einer Benutzerausrüstung, wobei
die Einrichtung zum Erhalten von Zugriffsberechtigungsnachweisen
einschließt:
- – eine
Einrichtung zum Empfangen einer Authentifizierungs-Hinterfragung von
dem Kernnetz;
- – eine
Einrichtung zum Erzeugen und Zurückgeben
einer Authentifizierungsantwort zum dem Kernnetz;
- – eine
Einrichtung zum Erzeugen eines Paars aus einem öffentlichen und einem privaten
Schlüssel; und
- – eine
Einrichtung zum Unterbreiten des öffentlichen Schlüssels gemeinsam
mit einer digitalen Signatur, die die Inhaberschaft des privaten Schlüssels bestätigt, gegenüber dem
Kernnetz.
-
Alternativ
schließt
in einer vereinfachten Benutzerausrüstung und einem Kernnetz die
Einrichtung zum Erhalten von Zugriffsberechtigungsnachweisen bei
der Benutzerausrüstung
ein:
- – eine
Einrichtung zum Empfangen einer Authentifizierungs-Hinterfragung von
dem Kernnetz;
- – eine
Einrichtung zum Erzeugen und Zurückgeben
einer Authentifizierungsantwort zu dem Kernnetz; und
- – eine
Einrichtung zum Anfordern eines von dem Kernnetz erhaltbaren digitalen
Zertifikat.
-
In Übereinstimmung
mit der vorliegenden Erfindung wird auch ein Verfahren zum Unterstützen von
Einmalanmeldungs- bzw. Single-Sign-On-Diensten in einem Telekommunikationsdienstnetz
bereitgestellt für
einen Benutzer, der über
ein Zugangsnetz auf das Dienstnetz zugreift, das nicht imstande
ist, Datenursprungs-Authentifizierung bereitzustellen, wobei der
Benutzer durch ein Kernnetz authentifiziert wird, und das Verfahren
die Schritte umfasst:
- – Bereitstellen von Zugriffsberechtigungsnachweisen
für die
Seite der Benutzerausrüstung
als ein Ergebnis des Authentifiziertwerdens durch das Kernnetz;
- – Einrichten
eines sicheren Tunnels zwischen der Benutzerausrüstungsseite und einer Einheit
des Dienstnetzes über
das Zugangsnetz unter Verwendung einer durch das Zugangsnetz zugewiesenen äußeren IP-Adresse;
- – Verknüpfen der
Zugriffsberechtigungsnachweise mit dem sicheren Tunnel auf der Benutzerausrüstungsseite;
- – Prüfen der
Gültigkeit
der Zugriffsberechtigungsnachweise, die von der Benutzerausrüstungsseite während des
Einrichtens des sicheren Tunnels empfangen worden sind;
- – Einrichten
einer gültigen
Sitzung mit dem Benutzer auf die erfolgreiche Gültigkeitsprüfung der Zugriffsberechtigungsnachweise
hin;
- – Zuweisen
einer internen IP-Adresse für
den Benutzer bei dem Dienstnetz, die als innere IP-Adresse innerhalb
des getunnelten Verkehrs zu verwenden ist; und
- – Verknüpfen von
Sitzungsdaten, Zugriffsberechtigungsnachweisen und der zugewiesenen
internen IP-Adresse für
den Benutzer bei einer Einheit des Dienstnetzes.
-
In
vorteilhafter Weise und gemäß einem
bevorzugten entsprechenden Merkmal bei der Benutzerausrüstung umfasst
das Verfahren ferner einen Schritt des Verknüpfens einer als eine innere IP-Adresse
innerhalb des getunnelten Verkehrs empfangenen internen IP-Adresse
mit den Zugriffsberechtigungsnachweisen und mit dem sicheren Tunnel auf
der Benutzerausrüstungsseite.
-
Das
Verfahren umfasst ebenfalls gemäß bevorzugter
entsprechender Merkmale in der obigen Vorrichtung einen Schritt
des Erzeugens von Dienstberechtigungsnachweisen für den Benutzer.
Dieser Schritt kann zusätzlich
einen Schritt des Erzeugens von Dienstberechtigungsnachweisen auf
einer Pro-Dienst-Basis für
den Benutzer auf eine Dienstanfrage hin einschließen.
-
Vorzugsweise
schließt
der Schritt des Prüfens
der Gültigkeit
der Zugriffsberechtigungsnachweise, die von dem Benutzer erhalten
werden, bei dem Dienstnetz ferner einen Schritt ein des Kommunizierens
mit einem Authentifizierungsserver des Heimatnetzes, wenn die Zugriffsberechtigungsnachweise
nicht durch eine erkannte Authentifizierungseinheit signiert sind.
-
Andererseits
und abhängig
von der speziellen Konfiguration, die der Vorrichtung verliehen
wird in Übereinstimmung
mit der Erfindung, kann das Verfahren ferner einen Schritt des Kommunizierens
mit einer ersten Vorrichtung einschließen, die Sicher-Diensteingangspunkt
bzw. Secure-Service-Entry-Point genannt wird, die zuständig ist
für den
sicheren Tunnel, und einer zweiten Vorrichtung, die Einmalanmeldungs-
bzw. Single-Sign-On-Server
genannt wird, bei der der Schritt des Verknüpfens von Sitzungsdaten, Zugriffsberechtigungsnachweisen und
der zugewiesenen internen IP-Adresse für den Benutzer stattfindet.
-
In
einer beispielhaften Benutzung schließt das Verfahren ferner, wenn
der Benutzer auf einen lokalen Dienst oder auf einen externen Dienst
in einem von dem derzeit bezugrifften Dienstnetz abweichenden Netz
zugreift, eine Einrichtung ein zum Prüfen, ob der Benutzer zuvor
authentifiziert worden ist oder nicht.
-
KURZBESCHREIBUNG DER ZEICHNUNGEN
-
Die
Merkmale, Ziele und Vorteile der Erfindung werden auf das Lesen
dieser Beschreibung hin im Zusammenhang mit den beiliegenden Zeichnungen
ersichtlich, in denen zeigt:
-
1 eine
Basisübersicht
einer bekannten Architektur für
eine Zugriffssteuerung basierend auf einem erweiterbaren Authentifizierungsprotokoll
(Extensible Authentication Protocol);
-
2 eine Übersicht
beispielhafter Architektur und Schnittstellen, auf die Einheiten
und Schnittstellen fokussierend, die involviert sind, wenn der Benutzer
durch das Heimatnetz des Benutzers authentifiziert wird und ferner
auf ein Dienstnetz zugreift über
ein Zugangsnetz, das keine Ursprungsauthentifizierung bereitstellt,
wobei das Dienstnetz die Zugriffsauthentifizierung wieder verwendet;
-
3 eine
Ablaufsequenz einer derzeit bevorzugten Ausführungsform für einen
Benutzer zum Erhalten von Zugriffsberechtigungsnachweisen als ein
Ergebnis des Authentifiziertwerdens durch das Heimatkernnetz des
Benutzers;
-
4 eine
erste Übersicht
beispielhafter Architektur und Schnittstellen, die in 2 gezeigt
sind, fokussierend auf einen bevorzugten Betrieb, wenn der Benutzer
auf einen lokalen HTTP-Dienst zugreift;
-
5 eine
zweite Übersicht
beispielhafter Architektur und Schnittstellen, die in 2 gezeigt werden,
fokussierend auf einen bevorzugten Betrieb, wenn der Benutzer auf
einen lokalen Nicht-HTTP-Dienst zugreift oder auf einen lokalen HTTP-Dienst
ohne Unterstützung
irgendeiner Zwischen-Einheit wie eines HTTP-Proxy oder einer Firewall;
und
-
6 eine
dritte Übersicht
beispielhafter Architektur und Schnittstellen, die in 2 gezeigt
sind, fokussierend auf einen bevorzugten Betrieb, wenn der Benutzer
auf einen externen Dienst in einem Netz zugreift, das sich von dem
derzeit bezugrifften Dienstnetz unterscheidet.
-
DETAILLIERTE BESCHREIBUNG
BEVORZUGTER AUSFÜHRUNGSFORMEN
-
Das
Folgende beschreibt derzeit bevorzugte Ausführungsformen einer Vorrichtung;
einer Benutzerausrüstung
und eines Verfahrens, um einem Benutzer die Möglichkeit anzubieten, Single-Sign-On- bzw.
Einmalanmeldungs-(SSO-)Dienste zu erhalten beim Zugreifen über ein
Zugangsnetz, das keine Ursprungsauthentifizierung bereitstellt,
wie z.B., wenn über
ein drahtloses Lokalbereichsnetz (WLAN) zugegriffen wird.
-
Die
vorliegende Erfindung präsentiert
einige Aspekte in Verbindung mit der Benutzerausrüstung, mit
dem besuchten Dienstnetz, welches speziell das Heimatdienstnetz
sein kann, und mit dem Einrichten eines sicheren Tunnels zwischen
dem Benutzerendgerät
und dem besuchten Dienstnetz über
ein Zugangsnetz, das keine Datenursprungs-Authentifizierung bereitstellt.
-
In Übereinstimmung
mit einem ersten Aspekt der vorliegenden Erfindung wird ein neuer
Mechanismus bereitgestellt zum Erhalten von Authentifizierungs-
oder Zugriffsberechtigungs-Nachweisen
auf der Benutzerendgeräteseite
(N-10) von dem Kernnetz (N-30) während
des Kernnetzauthentifizierungs-Prozesses,
und zum Verknüpfen
der Authentifizierungs- oder Zugriffsberechtigungsnachweise auf der
Benutzerendgeräteseite
(N-10) mit einem speziellen sicheren Tunnel (S-24) in Richtung eines Dienstnetzes
(N-40), welches speziell ein Heimatdienstnetz sein kann oder ein
besuchtes Dienstnetz. Zum Zwecke der Klarheit und Einfachheit wird
eine Authentifizierung oder ein Zugriffsberechtigungsnachweis nachstehend
als ein "Zugriffsberechtigungsnachweis" bezeichnet.
-
Daher
wird, wie in 2 dargelegt und in 3 fortgesetzt,
das Erzwingen einer Zugriffsauthentifizierung durch einen generischen
Zugriffsserver (nachstehend GAS genannt – vom englischsprachigen Ausdruck
Generic Access Server) (N-22) in dem Zugangsnetz (N-20) durchgeführt, obwohl die Authentifizierung
selbst auf eine Endpunkt-zu-Endpunkt-Weise zwischen den Benutzern (N-10)
und dem Authentifizierungsserver (N-31), der sich im Kernnetz (N-30)
befindet, vorgenommen wird unter Verwendung eines erweiterbaren
Authentifizierungsprotokoll- bzw. Extensible-Authentication-Protocoll-Systems (nachstehend
in Übereinstimmung
mit IETF RFC 2284 als EAP bezeichnet). Das Extensible-Authentication-Protocol
stellt ein Authentifizierungssystem bereit, das eingerichtet ist
zum Unterstützen
von Mehrfachauthentifizierungsmechanismen. Heutzutage ist EAP mit
Hosts und Routern implementiert worden, die einander über Schaltungsvermittlungen
verbinden oder über
Wählleitungen
unter Verwendung von einem Punkt-zu-Punkt-Protokoll (PPP). Zudem ist EAP
auch mit Vermittlungen in Übereinstimmung
mit einem IEEE802-Standard wie z.B. 802.1X-2001 implementiert worden,
wobei EAP-Nachrichten eingekapselt sind.
-
Ein
Vorteil der EAP-Architektur ist ihre Flexibilität. Beispielsweise kann ein
Netzzugangsserver (N-21) (allgemein als NAS bzw. Network-Access-Server
bekannt) wie der in 1 gezeigte, der über EAP-über-PPP
oder über
ein IEEE802-Protokoll mit
einem Benutzer (N-11) verbunden ist, der eine Authentifizierung
benötigt,
bevor Zugriff zum Netz gewährt
wird, lokale Benutzer authentifizieren während er gleichzeitig als Durchlasseinheit
für nicht
lokale Benutzer dient sowie für
jene Authentifizierungsverfahren, die nicht als ein NAS lokal implementiert
sind.
-
Demnach
versucht in einer in 2 gezeigten derzeit bevorzugten
Ausführungsform
ein Benutzer (N-10) Zugriff zum Netz zu erhalten. Eine PPP- oder
IEEE802-basierte Verbindung (S-21) wird zwischen dem Client und
dem GAS (N-22) im Zugangsnetz (N-20) eingerichtet. Der GAS erzwingt
eine Authentifizierung durch Kommunizieren mit einem Authentifizierungsserver
(N-31) im Kernnetz (N-30) unter Verwendung eines für "Authentifizierung,
Authorisierung und Buchung" bzw. "Authentication, Authorization
and Accounting" (nachstehend
AAA genannt) geeigneten Protokolls (S-22), und dient als Durchlass für EAP-Nachrichten.
-
Ein
konventionelles geeignetes AAA-Protokoll (S-12; S-22) kann ein Fernauthentifizierungs-Einwählbenutzerdienst-(Romote Authentication
Dial In User Service gemäß IETF RFC
2865, nachstehend RADIUS genannt) Protokoll sein, das ein Client/Server-Modell
zum Durchführen
von Authentifizierung Authorisierung und Konfigurationsinformation
zwischen einem Netzzugangsserver (NAS) (N-21; N-22) und einem Authentifizierungsserver
(N-31) verwendet, wie in 1 dargestellt. Typischer Weise
verwenden die Bereitsteller von Verbindbarkeit mit der Telekommunikationsnetzen
RADIUS, um die Identität ihrer
Benutzer zu verifizieren. Daher wählt ein Benutzer eine wohlbekannte
Telefonnummer und die Modems an beiden Enden, der Benutzer und der
Verbindbarkeitsbereitsteller richten eine Verbindung ein. Die Modems
auf der Serverseite sind mit einem Netzzugangsserver (NAS) verbunden,
der von dem Benutzer erfordert, sich zu authentifizieren bevor er
Zugang zu dem Netz gewährt
durch Fragen (S-11) nach einem Login-Namen und Passwort. Der Netzzugangsserver
(NAS) (N-21; N-22) verwendet das RADIUS-Protokoll zum Kommunizieren (S-12) über das Netz
mit einem RADIUS-Server (N-31), der die von dem NAS über den
Benutzer weitergeleitete Information wie z.B. den Login-Namen und
das Passwort sammelt, um den Benutzer zu authentifizieren. Der Authentifizierungsprozess
kann gegebenenfalls erfordern, dass der RADIUS-Server eine Anzahl
von Hinterfragungen an den NAS sendet, auf die der Benutzer in der
Lage sein sollte, zu antworten. Als ein Ergebnis des Authentisierungsprozesses
zeigt der RADIUS-Server (N-31) dem NAS (N-21; N-22) an, ob oder
nicht der Benutzer (N-10; N-11) berechtigt ist, auf das Netz zuzugreifen.
Ein anderes AAA-Protokoll, das geeignet ist zur Verwendung, kann
DIAMETER sein, welches eine Weiterentwicklung von RADIUS ist.
-
Dann
wird, wie in 2 gezeigt, eine EAP-Authentifizierung
(S-23) Ende-zu-Ende zwischen dem Benutzer (N-10) und dem Authentifizierungsserver
(N-31) durch einen generischen Zugangsserver (N-22) des Zugangsnetzes
(N-20) durchgeführt,
welcher speziell beispielsweise der Netzzugangsserver (N-21) der 1 sein
kann.
-
Während dieses
in 2 gezeigten EAP-Authentifizierungsprozesses werden eine
oder mehrere Zugriffsberechtigungsnachweise verteilt oder bestätigt, speziell
zwischen dem Benutzer (N-10) und dem Heimatnetz (N-30), oder, allgemeiner,
zwischen dem Benutzer und dem Kernnetz, egal, ob das Kernnetz, das
den Benutzer authentifiziert, das Heimat- oder das besuchte Netz
ist.
-
Diese
Zugriffsberechtigungsnachweise werden ferner verwendet zum Einrichten
eines sicheren Tunnels (S-24) zwischen dem Benutzer (N-10) und einem
Dienstnetz (N-40), das das Heimat- oder das besuchte Netz sein kann. Dieser
sichere Tunnel (N-24),
nämlich
ein sicherer Kommunikationskanal, muss mindestens Datenursprungs-Authentifizierung bereitstellen
oder eine hierzu äquivalente
Funktionalität,
wie durch diesen ersten Aspekt der vorliegenden Erfindung angestrebt.
-
Unterschiedliche
Mechanismen zum Verteilen oder Bestätigen von Zugriffsberechtigungsnachweisen
können
geeignet sein zum Zwecke der vorliegenden Erfindung, sofern sie
gültig
verwendet werden können
als mit dem sicheren Tunnel verknüpft oder hinzugeordnet.
-
Trotzdem
wird in Übereinstimmung
mit einer heutzutage bevorzugten Ausführungsform ein neuer Mechanismus
bereitgestellt zum Erhalten von kurzlebigen Zertifikaten, die geeignet
sind zum Zwecke der vorliegenden Erfindung, wie in 3 gezeigt.
-
In
dieser Ablauffolge werden, wenn eine Authentifizierungs-Hinterfragung auf
der Benutzerendgeräteseite
empfangen worden ist (N-10) und zusätzlich zu dem Erzeugen der
Authentifizierungsantwort, ein Schlüsselpaar aus einem öffentlichen
und einem privaten Schlüssel
erzeugt werden. Der öffentliche Schlüssel wird
gemeinsam mit der die Inhaberschaft des privaten Schlüssels bestätigenden
digitalen Signatur mit der Authentifizierungsantwort in Richtung des
Authentifizierungsservers (N-31) in dem Kernnetz gesendet.
-
Dann
wird auf das erfolgreiche Authentifizieren des Benutzers hin die
empfangene Digitalsignatur geprüft
und wenn sie korrekt ist, wird ein kurzlebiges Digitalzertifikat
erzeugt für
den öffentlichen Schlüssel des
Benutzers. Dieses Zertifikat wird von dem Authentifizierungsserver
(N-31) zur Benutzerendgeräteseite
(N-10) gemeinsam mit einer Nachricht zurückgegeben, die eine erfolgreiche
Authentifizierung angibt.
-
Alternativ
zu dem Erzeugen eines Schlüsselpaars
aus öffentlichem
und privaten Schlüssel
auf der Benutzerendgeräteseite
und in keiner Zeichnung dargestellt, kann die Benutzerendgeräteseite
(N-10) einfach eine Anfrage in Bezug auf ein Digitalzertifikat erzeugen,
das mit der Antwort der Authentifizierungs-Infragestellung unterbreitet
wird.
-
Das
derart vermöge
dieser bevorzugten oder einer anderen Ausführungsform erhaltene kurzlebige Digitalzertifikat
ist eine Art von Zugriffsberechtigungsnachweis, die mit der Benutzerendgeräteseite
zu verknüpfen
ist, mit einem sicheren Tunnel in Übereinstimmung mit diesem ersten
Aspekt der vorliegenden Erfindung.
-
Trotzdem
können
unterschiedliche Mechanismen zum Erhalten von Zugriffsberechtigungsnachweisen
vom Kernnetz verwendet werden, die für den Zweck der vorliegenden
Erfindung gültig
sind. Eine Möglichkeit,
die in der bevorzugten Ausführungsform
der 2 gezeigt wird, ist, dass die Zugriffsberechtigungsnachweise
wie z.B. das obige kurzlebige Zertifikat zu dem Benutzer (N-10)
von dem Authentifizierungsserver (N-31) verteilt werden, der sie wiederum
von einem getrennten Berechtigungsnachweis-Bereitsteller (Credential Provider)
(N-32) erhält.
Eine andere Möglichkeit
ist, dass der Authentifizierungsserver (N31) selbst solche Zugriffsberechtigungsnachweise
erzeugt. Die Zugriffsberechtigungsweise können elektronisch durch den
Authentifizierungsserver (N-31) oder durch den Berechtigungsnachweisbereitsteller
(N-32) signiert sein. Eine alternative Ausführungsform ist, dass einiges
kryptographisches Material sowohl beim Authentifizierungsserver
(N-31) als auch bei der Benutzerausrüstung (N-10) hergeleitet wird
und darauf folgend als ein Zugriffsberechtigungsnachweis verwendet
wird. Im letzteren Fall ist es nicht erforderlich, die Zugriffsberechtigungsnachweise
von dem Authentifizierungsserver in Richtung des Benutzers zu verteilen, aber
dann würden
die resultierenden Zugriffsberechtigungsnachweise nicht durch das
Kernnetz signiert sein (N-30).
-
Zurück zu 2,
die von dem Kernnetz (N-30) während
der Zugriffsauthentifizierung erhaltenen Zugriffsberechtigungsnachweise
werden zum Einrichten eines sicheren Tunnels (N-24) zwischen dem
Benutzer (N-10) und einer Einheit (N-41) in dem Heimat- oder besuchten
Dienstnetz (N-40) verwendet, die Sicher-Dienstzugangspunkt bzw.
Secure-Service-Entry-Point
(nachstehend SSEP) genannt wird in der vorliegenden Spezifikation.
Wenn die Zugriffsberechtigungsnachweise nicht durch das Kernnetz
signiert sind, dann wird vorzugsweise ein Kommunikationskanal (S-25)
zwischen dem SSEP (N-41) und dem Authentifizierungsserver (N-31)
benötigt, sodass
die SSEP mit dem Authentifizierungsserver prüfen kann, ob die von dem Benutzer
(N-10) bereitgestellten Zugriffsberechtigungsnachweise akzeptabel
sind. Andererseits, unter der Voraussetzung, dass die Zugriffsberechtigungsnachweise
signiert sind, ist die SSEP (N-41) vorzugsweise eingerichtet, um
sie als gültige
Zugriffsberechtigungsnachweise zu akzeptieren, die durch den Authentifizierungsserver
(N-31) oder den Berechtigungsnachweisbereitsteller (N-32) signiert
sind. In jedem Fall muss der sichere Kommunikationskanal (S-24)
zwischen dem Benutzer (N-10) und der SSEP (N-41) mindestens Datenursprungs-Authentifizierung
bereitstellen. Auf diese Weise kann der gesamte über diesen sicheren Kommunikationskanal
empfangene Verkehr als von dem beanspruchten Benutzer kommend betrachtet werden
und nicht von einem den Benutzer nachahmenden Angreifer.
-
In Übereinstimmung
mit einem zweiten Aspekt der vorliegenden Erfindung wird ein neuer
Mechanismus bei einer Einheit eines Heimat- oder besuchten Dienstnetzes
bereitgestellt zum Aufrechterhalten von dem Benutzer zugeordneter
Sitzungsinformation und zum Verknüpfen der Sitzungsinformation
mit dem Einrichten und dem Abbauen des sicheren Tunnels. Diese Einheit
ist vorzugsweise ein Einmalanmeldungs- bzw. Single-Sign-On- (SSO-)Server (N-42)
in Kooperation mit dem obigen Secure-Service-Entry-Point (SSEP)
(N-41) in einer derzeit bevorzugten Ausführungsform, obwohl es auch
nur eine von beiden sein kann. Auf diese Weise werden, wenn der
Benutzer (N-10) weiter versucht, auf einen Dienst über den
sicheren Kommunikationskanal (S-24) zuzugreifen, und um den Benutzer
mit Single-Sign-On-Unterstützung zu
versehen, Dienstberechtigungsnachweise von dem Benutzer (N-10) zu dem
SSO-Server (N-42) angefordert, oder von dem Dienst selbst, oder
von einer mit dem Dienst zu diesem Zweck kooperierenden Einheit.
Der SSO-Server (N-42) hat die Sicherheit, dass eine solche Anfrage
in Bezug auf Dienstberechtigungsnachweise für diesen Benutzer (N-10) tatsächlich von
dem Versuch dieses Benutzers, auf einen solchen Dienst zuzugreifen, herrührt und
nicht von einem Angreifer, der den Benutzer nachahmt. Daher kann
der SSO-Server (N-42)
die angeforderten Dienstberechtigungsnachweise dem Anfordernden
ohne das Durchführen
irgendeiner zusätzlichen
Authentifizierung bereitstellen.
-
Daher,
und immer noch unter Bezugnahme auf 2, tauscht
die SSEP Information (S-26) mit dem SSO-Server (N-42) aus, um dem
Benutzer eine IP-Adresse zuzuweisen, die in dem getunnelten Verkehr
zu verwenden ist. Diese IP-Adresse kann zu einem Vorrat von IP-Adressen
gehören,
die von dem Dienstnetz gehandhabt werden. Dann lässt die SSEP (N-41) den SSO-Server
(N-42) wissen, dass der Benutzer (N-10) eine Sitzung eingerichtet
hat.
-
Sobald
dies vorgenommen worden ist, d.h., die dem Benutzer zugewiesene
IP-Adresse ist mit den Benutzer-Zugriffsberechtigungsnachweisen
und mit der entsprechenden Sitzungsinformation verknüpft worden,
kann der SSO-Server (N-42)
versichert sein, dass weitere Anfragen in Bezug auf Dienstberechtigungsnachweise,
die von dieser internen IP-Adresse
empfangen werden, tatsächlich
von dem entsprechenden Benutzer kommen.
-
Vorausgesetzt,
dass der Benutzer den sicheren Kommunikationskanal mit einem besuchten Dienstnetz
eingerichtet hat, braucht der SSO-Server eine zusätzliche
Koordination mit dem Identitätsanbieter
(IdP), der für
diesen Benutzer zuständig
ist, nämlich
mit einer Einheit des Heimatdienstnetzes, das die Rolle des IdP
spielt, wie in keiner Zeichnung dargestellt. Zum Zwecke der Einfachheit
der Darstellung nehmen die nachfolgenden Erläuterungen an, dass der Benutzer
mit dem Heimatdienstnetz verbunden ist, welches die Rolle des IdP
des Benutzers spielt.
-
Der
Benutzer kann an dieser Stelle die Single-Sign-On- (SSO-)Dienste
zu seiner oder ihrer Zufriedenheit genießen, selbst wenn Zugriff über ein
Zugangsnetz erfolgt ist, das nicht imstande ist, Datenursprungs-Authentifizierung
bereitzustellen. Speziell kann der Benutzer (N-10) unter irgendeinem
oben kommentierten Geschäftsmodell
arbeiten, nämlich unter
dem Walled-Garden-Modell oder unter dem Federated-Single-Sign-On-Modell
in Übereinstimmung mit derzeit
bevorzugten jeweiligen dies befolgenden beschriebenen Ausführungsformen.
-
In
einer ersten Ausführungsform
unterbricht unter einem Walled-Garden-Szenario, das in 4 dargestellt
ist, wenn der Benutzer auf einen HTTP-Lokaldienst zugreift (N-44)
ein Zwischenknoten (N-43) den Zugriff (S-30, S-29) zu dem HTTP-Lokaldienst. Dieser
Zwischenknoten (N-43), der vorzugsweise ein HTTP-Proxy ist, obwohl
auch eine Universal-Firewall ebenfalls zu diesem Zweck eingerichtet
werden könnte,
fragt den SSO-Server (N-42) ab (S-28), ob der Benutzer zuvor authentifiziert
worden ist oder nicht. Eine Pseudo-Identität zum Identifizieren des Benutzers
in diesem Fall ist die zuvor zugewiesene IP-Adresse, die Datenursprungs-Authentifizierung
sicherstellt. Der SSO-Server (N-42), der eine solche Abfrage empfängt, prüft, dass
es eine aktive Sitzung gibt, die mit dieser IP-Adresse etikettiert ist,
und sendet eine Bestätigung
(Acknowledgement) oder, eher, einen Dienstberechtigungsnachweis
zu dem HTTP-Proxy (N-43), wobei der letztere den Benutzerzugriff
(N-10) auf den HTTP-Lokaldienst
(N-44) ermöglicht,
und optional in den Endgeräte-Browser des Benutzers
ein Coockie anordnet. Dieses Cookie kann, wenn es bereitgestellt
wird, ferner verwendet werden zum Identifizieren des Benutzers (N-10) ohne
dass weitere Prüfungen
benötigt
würden
mit dem SSO-Server (N-42) bei nachfolgenden Anfragen für die HTTP-Dienste.
-
In
einer zweiten Ausführungsform
unter einem in 5 dargestellten Walled-Garden-Szenario, wenn
der Benutzer auf Nicht-HTTP-Dienste (N-45) zugreift, oder, allgemeiner
gesagt, wenn der Benutzer auf einen Lokaldienst (N-45) zugreift,
der keinen obigen HTTP-Proxy erfordert, direkt auf den Lokaldienst
(N-45) zugegriffen werden (S-24, S-31) von der Benutzerendgeräteseite
(N-10), wahrscheinlich durch die SSEP (N-41). Der angeforderte Lokaldienst (N-45)
verwendet die zuvor zugeordnete IP-Adresse als Pseudo-Identität zum direkten
Abfragen (S-32) des SSO-Servers (N-42), ob der Benutzer zuvor authentifiziert
worden ist. Der SSO-Server (N- 42),
der eine solche Abfrage empfängt,
prüft,
dass es eine aktive Sitzung gibt, die mit der IP-Adresse etikettiert
ist, und sendet eine Bestätigung
oder, eher, einen Dienstberechtigungsnachweis zu dem Lokaldienst (N-45),
um den Benutzerzugriff (N-10) zu ermöglichen.
-
In
einer dritten Ausführungsform
versucht der Benutzer (N-10) unter einem Federated-SSO-Szenario,
das in 6 gezeigt wird, auf einen externen Dienst (N-51)
zuzugreifen und der Browser (N-10) des Benutzers wird in Übereinstimmung
mit den LAP-Protokollen neu gerichtet (S-30, S-33) auf einen dritten
beteiligten SP (N-51), nämlich einen
externen Dienst. Dann fordert der dritte beteiligte SP (N-51) eine
Dienstauthorisierung zu dem SSO-Server (N-42) mit einer gegebenen
IP-Adresse an (S-33, S-28), die zuvor verliehen worden ist, wenn der
Benutzer die Zugriffsberechtigungsnachweise bereitgestellt bekommen
hat. Der SSO-Server (N-42) prüft
unter den SSO-Premissen den Authentifizierungs- und Authorisierungs-Zustand
für den
Benutzer, dem die gegebene IP-Adresse als Pseudo-Identifizierer zugeordnet worden ist,
und gibt dann einen Dienstberechtigungsnachweis zurück, der
verwendet werden kann zum Anmelden (Sign-On) bei dem anfragenden
dritten Beteiligten (SP). Der SSO-Server kann gut ein Cookie wie
bei der obigen ersten Ausführungsform
anordnen.
-
Schließlich, wenn
ein Benutzer einen sicheren Tunnel abbaut, kommuniziert die SSEP
mit dem SSO-Server, um die interne IP-Adresse zu entfernen und um die sich
auf den Benutzer beziehende Sitzungsinformation in dem SSO-Server
zu löschen.
-
Die
Erfindung ist oben in Bezug auf einige Ausführungsformen in erläuternder
und nicht einschränkender
Weise beschrieben worden. Offensichtlich sind Modifikationen und
Variationen dieser Ausführungsformen
im Lichte der obigen Lehren möglich
und jedwede Modifikation der Ausführungsformen, die in den Schutzbereich
der Ansprüche
fällt, ist
als darin eingeschlossen betrachtet.