DE69834406T2

DE69834406T2 - Verallgemeinertes benutzeridentifizierungs-und-authentisierungssystem

Info

Publication number: DE69834406T2
Application number: DE69834406T
Authority: DE
Inventors: B. Marc Lindenhurst MANZA; D. Marc Del Mar BORODITSKY
Original assignee: Passlogix Inc
Current assignee: Oracle International Corp
Priority date: 1997-05-13
Filing date: 1998-05-12
Publication date: 2006-12-07
Anticipated expiration: 2018-05-13
Also published as: CA2290434A1; EP1010049A1; IL132877A0; AU7481698A; JP4866432B2; ES2264203T3; JP2011070699A; CA2290434C; JP2009116902A; US6332192B1; EP1010049B1; AU749130B2; JP2001525961A; DE69834406D1; US20010005887A1; US6327659B2; ATE325375T1; WO1998052115A1; IL132877A

Description

Die Erfindung betrifft im Allgemeinen Verfahren zum Verifizieren der Identität eines Benutzers einer sicheren Anwendung. Insbesondere betrifft die Erfindung ein Verfahren zum Verifizieren der Identität eines auf mehrere sichere Anwendungen oder Systeme, wie z.B. einen Computer, einen Online-Dienst, automatisierten Transaktionsmechanismus und dergleichen zugreifenden Benutzers.
Viele elektronische Systeme befinden sich in Gebrauch, die eine Selbstidentifizierung des Benutzers erfordern, bevor ihm ein Zugrang zu dem System genehmigt wird. Diese Systeme umfassen Computernetzwerke, Geldausgabeautomaten (ATM's), automatisierte Datenbanken wie z.B. LEXIS^TM, Banksysteme, E-Mail-Systeme, Onlineprovider wie z.B. America On-Line (AOL)^TM, Börsenhandelssysteme, Bildungsinstitutionen, Gehaltsabrechnungssysteme und eine große Vielfalt zusätzlicher Anwendungen. Um sicherzustellen, dass die Information dieser Systeme vor unbefugtem Zugriff, Zerstörung oder Missbrauch geschützt wird, verwenden die meisten Systeme eine bestimmte Art Sicherheit. Sicherheit ist insbesondere wichtig, wenn die Information leicht für eine große Gemeinschaft möglicher Nutzer an mehreren Stellen auf Netwerken verfügbar gemacht wird.
Systemsicherheit kann typischerweise physikalische, prozedurale und technische Mechanismen beinhalten. Jedoch beruhen die meisten Systeme auf einem oder mehreren von drei Grundverfahren der Identifikation und Authentisierung, wovon jedes etwas von dem Nachweiserbringer (die Begriffe "Nachweiserbringer" (Prover) und "Benutzer" (User) werden austauschbar in der gesamten Beschreibung verwendet) erfordert:
Etwas was der Nachweiserbringer weiß (z.B. den Namen und ein Passwort);
Etwas was der Nachweiserbringer hat (z.B. einen Identitätsausweis); oder
Etwas was der Nachweiserbringer ist (z.B. Fingerabdruck).
Sicherheitssysteme beruhen üblicherweise auf etwas, was der Nachweiserbringer weiß, selbst wenn etwas angewendet wird, was der Nachweiserbringer hat. Der am häufigsten angewandte Weg für "etwas Bekanntes" ist die Verwendung von Name und Passwort in Computersystemen. Selbst neue Sicherheitsverbesserungen (z.B. Smart Cards, Firewalls, digitale Signaturen) beruhen auf herkömmlichen Passworten und Benutzer-ID's, zum Identifizieren und Authentifizieren von Benutzern, wenn ein Zugriff genehmigt wird.
Die meisten Authentisierungsverfahren beruhen auf dem Vorhandensein eines kompletten Satzes von Authentisierungsinformation bei jeder Stufe des Prozesses (z.B. Name und Passwort). Der typische Prozess besteht darin, dass der Benutzer den kompletten Satz der Authentisierungsinformation kennt und den kompletten Satz in einen Computer oder ein Terminal eingibt. Der komplette Satz wird an eine sichere Anwendung übertragen und mit einem Satz gespeicherter Authentisierungsinformation verglichen. Bei jeder Stufe des Prozesses wird der erforderliche komplette Satz an Authentisierungsinformation einer Abfangmöglichkeit und möglicherweise einer nicht authentisierten Nutzung ausgesetzt. Dieses gilt insbesondere in dem Falle von vernetzten Computerumgebungen.
Um eine gute Sicherheit zu gewährleisten, müssen Passworte schwierig zu erraten oder zu entziffern sein. Somit wird Benutzern geraten, "schwache" Passworte zu vermeiden, wie z.B. Namen (z.B. des Ehegatten, des Haustiers); leicht erzielbare Information (z.B. Telefonnummer, Geburtstag); Wörterbuchwörter; dasselbe Passwort für mehrere Systeme, usw. Um die Bedrohung durch nicht authentisierten Zugriff zu reduzieren, empfehlen Computersicherheitsexperten oft, dass ein Benutzerpasswort nur gemischte Buchstaben und Zahlen in scheinbar zufälligen Zeichenketten (Strings) (wie z.B. 87SFs81R9) enthalten und dass sie oft verändert werden. Ein nicht autorisierter Zugriff könnte leicht erfolgen, wenn ein Passwort aufgedeckt, abgefangen oder erraten wird.
Die Probleme mit einem derartigen Lösungsansatz sind zweifach. Erstens, da es menschliche Benutzer typischerweise leichter finden, sich Passworte zu merken, die einen Zusammenhang zu dem Benutzer haben (z.B. ein Wort oder Datum) sind die gewählten Passworte typischerweise nicht schwer zu erraten. Eine Untersuchung des Bereichs von Passworten, die von Computerbetreibern gewählt wurden, hat herausgefunden, dass ein Drittel aller Benutzer Passworte in dem Wörterbuch gefunden werden konnte. Derartige Passworte sind für allgemein erhältliche Software empfindlich, die jedes Wort in dem Wörterbuch als ein Passwort verwenden kann.
Zweitens führt das Problem der "Passwortüberlastung" zu vielen Brüchen sorgfältig geplanter Sicherheitstechniken. Eine zunehmende Anzahl von Anwendungen erfordert, dass Benutzer einem Authentisierungsprozess folgen, der typischerweise die Präsentation einer gewissen Form eines Namens und Passwortes beinhaltet, um einen Zugriff zu erhalten. Wenn sich Benutzer an die Sicherheitsstandards halten, müssen sie eine scheinbar zufällige Folge von Buchstaben und Nummern für jede Anwendung merken. Ferner haben die meisten sicheren Anwendungen ihre eigenen Schnittstellen und können etwas Einmaliges von dem Benutzer erfordern. Einige überprüfen Passworte des Benutzers und beschränken die Art des Passwortes, das der Benutzer verwenden kann und wie lange das Passwort gültig sein kann. Jedoch tut die weitaus größte Anzahl von Anwendungen nichts zur Vereinfachung des Prozesses für Benutzer und macht ihn stattdessen noch komplexer.
Schließlich ermuntert die Schwierigkeit sich eine Vielzahl von Passworten für eine Vielzahl von Anwendungen zu merken, die Benutzer zu schlechten Verhaltensweisen. Benutzer wählen schwache Passworte, verwenden diese gemeinsam und führen eine anfällige Passwortliste, indem sie ihre Passworte oft direkt auf ihren Computer kleben. Tatsächlich sind die Benutzer selbst das schwächste Glied in den meisten Sicherheitsanwendungen und Systemen, welche die Systeme für einen leichten Einbruch und nicht authentisierten Zugriff anfällig machen.
Somit besteht ein Bedarf für eine Art eines Passwortauthentisierungssystems, das zwei offensichtlich gegensätzliche Zielvorgaben, leicht für den Benutzer zu merken und schwierig für jeden anderen herausfindbar zu sein, genügt.
Eine herkömmliche Lösung für die Lösung dieses Problems ist die durch US-A-5,241,594 typisch dargestellte, als "single log-on" oder "single sign-on" bekannte Technik. In dieser Technik meldet sich ein Benutzer an seinem bzw. ihrem Computer lediglich einmal unter Verwendung einer herkömmlichen Benutzer-ID und eines Passwortes an. Wenn der Benutzer einen Zugriff auf einen entfernten Computer oder eine Anwendung benötigt, werden die ID und das Passwort, das der Benutzer gerade eingegeben hat, verschlüsselt und an den entfernten Computer unter Verwendung eines sicheren Transportschichtprotokolls zwischen dem Benutzercomputer und dem entfernten Computer übertragen. Das sichere Transportschichtprotokoll wird entweder unter Verwendung spezieller Software auf dem Computer des Benutzers oder unter Verwendung eines getrennten Servers durchgeführt. Das verschlüsselte Passwort wird dann mit einer Datenbank verschlüsselter Passworte verglichen, die an einer zentralen Stelle, typischerweise auf dem Server oder dem entfernten Computer, gespeichert sind. Zusätzlich müssen alle Systeme, auf die der Benutzer zugreifen will, dasselbe Passwort verwenden.
Jedoch bedeutet die Notwendigkeit, dass jeder Computer oder jede Anwendung in dem System (d.h., in dem Computer des Benutzers und allen entfernten Computern) dasselbe Passwort haben, das diese Technik nicht für alle Systeme arbeiten kann. Dieses Verfahren kann mit entfernten Computern oder Anwendungen mit komplizierten oder atypischen Authentisierungsanforderungen unbrauchbar sein. Somit sind viele "single sign-on"-Anwendungen nur mit einer eingeschränkten Anzahl von Anwendungen kompatibel. Ferner nutzen die meisten kommerziell verfügbaren Versionen von "single sign-on"-Systemen das Verfahren des getrennten Servers, was den Authentisierungsprozess verkompliziert und Kosten mit sich bringt. Zusätzlich erfordern viele kommerziell verfügbare Systeme, dass alle konformen Anwendungen dieselben Sicherheitsprotokolle, Hardwareschnittstellen, usw. verwenden, was die Anwendbarkeit derartiger Systeme einschränkt. Daher besteht ein Bedarf an einem einfachen, trotzdem sicheren Authentisierungssystem, das keine zusätzliche Hardware erfordert und mit Systemen mit unterschiedlichen Authentisierungstechniken und Anforderungen arbeitet.
Erfindungsgemäß wird ein Verfahren zum Bereitstellen eines Benutzerzugriffes auf eine sichere Anwendung bereitgestellt, mit den Schritten:

a) Liefern einer Authentisierungsanforderung an den Benutzer für einen Zugriff auf die sichere Anwendung, wobei die Authentisierungsanforderung beinhaltet, dass dem Benutzer wenigstens ein Symbol angezeigt wird;
b) Empfangen von Manipulationen durch den Benutzer an wenigstens einem Abschnitt des angezeigten Symbols;
c) Erzeugen eines Codeschlüssels auf der Basis der Manipulationen durch den Benutzer an wenigstens einem Abschnitt des angezeigten Symbols;
d) Verwenden des Codeschlüssels in Verbindung mit gespeicherter Authentisierungsinformation, die zur Erfüllung der Authentisierungsanforderungen der sicheren Anwendung erforderlich ist, um ein Resultat zu erzeugen;
e) Liefern des Resultats an die sichere Anwendung; und
f) Genehmigen des Benutzerzugriffs auf die sichere Anwendung, wenn das Resultat die Authentisierungsanforderungen der sicheren Anwendung unterstützt.

Ausführungsformen der Erfindung bieten Benutzern ein einziges einfaches Verfahren zur Authentisierung, das herkömmliche Namens- und Passwort-Lösungen ersetzt und mit verschiedenen Authentisierungsanforderungen kompatibel ist. Sie ermöglichen, dass Verifizierer ("Verifizierer" und "sichere Anwendung" werden austauschbar in der gesamten Beschreibung verwendet) sicher Nachweiserbringer authentisieren und ermöglichen, dass Nachweiserbringer durch mehrere Verifizierer authentisiert werden. Sie wenden einen Prozess an, der erfordert, dass ein Nachweiserbringer nur einen Satz von Routinen, an die man sich leicht erinnern kann, oder Nachweiserbringerschritte ausführt. Diese Nachweiserbringerschritte starten den geeigneten Authentisierungsprozess für jeden Verifizierer ohne weiteren Eingriff oder Eingabe seitens des Nachweiserbringers. Somit haben die Nachweiserbringer nur ein ein vereinheitlichtes Verfahren für alle ihre Authentisierungsanforderungen, da die Erfindung die Feinheiten in Verbindung mit jeder sicheren Anwendung erledigt.
In einer Hinsicht bieten Ausführungsformen der Erfindung ein Verfahren, um einem Benutzer Zugriff auf eine sichere Anwendung zu gewähren. Das Verfahren beinhaltet die Speicherung der zum Erfüllen der Authentisierungsanforderungen der sicheren Anwendung erforderlichen Authentisierungsinformation in verschlüsselter Form. Beispielsweise kann nur diese Information auf dem Computer eines Benutzers gespeichert werden. Wenn der Benutzer einen Zugriff auf die sichere Anwendung anfordert, wird dem Benutzer auf seiner bzw. ihrer Anzeige eine Anforderung für die Authentisierung präsentiert. Im Gegensatz zu den herkömmlichen Namens- und Passwortlösungen weist die dem Benutzer präsentierte Authentisierungsanforderung wenigstens ein Symbol auf. Der Benutzer muss wenigstens einen Teil des Symbols manipulieren, um korrekt auf die Authentisierungsanforderung zu reagieren. Nur als Beispiel könnte die Erfindung dem Benutzer einen Tisch, einen Teller und mehrere editierbare Elemente anzeigen. Der Benutzer wählt verschiedene editierbare Elemente (um eine "Mahlzeit" zu erzeugen) und verschiebt diese auf den Teller. Diese Manipulationen, welche bezüglich ihrer Reihenfolge empfindlich sein können oder nicht, sind die einzigen Schritte, an die sich der Benutzer erinnern können muss. Die "geheime Mahlzeit" ist einfach für den Benutzer zu merken, jedoch schwierig für einen anderen zu erraten. Ferner ist die "geheime Mahlzeit" unabhängig von der sicheren Anwendung, auf die zugegriffen wird, dieselbe.
Die Ausführungsformen beinhalten den Schritt der Verwendung der Benutzermanipulation(en) des bzw. der Symbole, um einen Codeschlüssel zu erzeugen. Dieser Codeschlüssel wird dazu verwendet, die verschlüsselt gespeicherte Authentisierungsinformation in ein Ergebnis zu entschlüsseln. Jede sichere Anwendung oder Anmeldungssitzung kann ein unterschiedliches erwartetes Ergebnis erfordern, aber nur der Benutzer kennt seine/ihre Nachweiserbringerschritte. Der Benutzer kennt niemals (und muss es auch tatsächlich nicht) keines der erwarteten Ergebnisse, oder wie diese zu erhalten sind. Zusätzlich kennt die sichere Anwendung (und muss es auch nicht) die Nachweiserbringerschritte (d.h., die Manipulation oder Reihenfolge von Manipulationen) oder wie diese zu erhalten sind.
Nach der Erzeugung des Ergebnisses wird dieses an die sichere Anwendung geliefert. Wenn das Ergebnis die Authentisierungsanforderung der sicheren Anwendung erfüllt (d.h., wenn der Codeschlüssel korrekt die verschlüsselte gespeicherte Authentisierungsinformation entschlüsselt hat) wird dem Benutzer der Zugriff auf die sichere Anwendung genehmigt.
Die Erfindung stellt ein einfaches, sicheres und effektives Verfahren für Benutzer bereit, um einen Zugriff auf eine Vielzahl sicherer Anwendungen zu erhalten, ohne sich an eine Reihe komplizierter Passworte erinnern zu müssen. Im Gegensatz zu herkömmlichen "single sign-on"-Systemen erübrigt die Erfindung die Eingabe, Übertragung oder Speicherung eines statischen, vollständigen Satzes von Authentisierungsdaten in irgendeiner Stufe des Authentisierungsprozesses. Die Erfindung erfordert keinerlei zusätzliche Hardware und erfordert nicht, dass alle sicheren Anwendungen, auf die zugegriffen wird, dieselben Authentisierungsanforderungen verwenden.
Eine Ausführungsform der Erfindung wird nun im Rahmen eines Beispiels und unter Bezugnahme auf die beigefügten Zeichnungen beschrieben, welche ein Verfahren veranschaulichen, um einem Benutzer Zugriff auf eine sichere Anwendung zu gewähren, und in welchen:
1 eine Blockdarstellung ist, die darstellt, dass die Erfindung mehrere Verifizierer für jeden Nachweiserbringer unterstützt.
2 eine Blockdarstellung ist, welche die Ablauffolge zwischen einer Ausführung der Nachweiserbringerschritte durch den Nachweiserbringer und der Aktivierung des geeigneten Verifizierer-spezifischen Sub-Prozesses darstellt.
3A–B Beispiele einer nicht reihenfolgenempfindlichen Serie von Nachweiserbringerschritten darstellt, die als eine Aufforderung verwendet werden könnte.
4A–D ein Beispiel einer reihenfolgenempfindlichen Serie von Nachweiserbringerschritten darstellen, die als eine Aufforderung verwendet werden könnte.
5 ein Flussdiagramm ist, das die Schritte bei der Akzeptierung von Nachweiserbringerschritten, die ein Benutzer ausgewählt hat, und der Umwandlung dieser in einen String darstellt.
6 ein Flussdiagramm ist, das die Schritte für die Angabe eines Verifizierers und dessen Authentisierungsinformation darstellt.
7 ein Flussdiagramm ist, das die Ablauffolge von in dem Prozess von dem Nachweiserbingerstart bis zur Verifiziererauthentisierung beinhalteten Sub-Prozessen darstellt.
8 ein Flussdiagramm ist, das den Beginn des Prozesses und die Schritte für den Start des anschließenden Aufforderungsprozesses darstellt.
9 ein Flussdiagramm ist, das den Aufbau der Nachweiserbringerschnittstelle und Vorbereitung zum Akzeptieren von Nachweiserbringerantworten auf Aufforderungen ist.
10 ein Flussdiagramm ist, das die Schritte in der Präsentation und Verarbeitung von Nachweiserbringer-Aufforderungen darstellt.
11 ein Flussdiagramm ist, das die Schritte darstellt, die bei der Umwandlung von Nachweiserbringerschritten in einen Codeschlüssel stattfinden.
12 ein Flussdiagramm ist, das die Schritte darstellt, die automatisch stattfinden, sobald ein auf einer Nachweiserbringereingabe basierender Codeschlüssel erzeugt worden ist.
13 ein Flussdiagramm ist, das darstellt, wie der Zuordnungsprozess einen anwendungsspezifischen Sub-Prozess auswählt und erzeugt, um die Authentisierung abzuschließen.
14 ein Flussdiagramm ist, das den Zuordnungs-Sub-Prozess der Anwendungen darstellt, die auf Name und Passwort zur Authentisierung beruhen.
15 ein Flussdiagramm ist, das den Zuordnungs-Sub-Prozess für Anwendungen darstellt, die auf digitalen Zertifikaten und Signaturen und öffentlichen Schlüsseln für die Authentisierung beruhen.
16 ein Flussdiagramm ist, das den Zuordnungs-Sub-Prozess für Anwendungen darstellt, die auf Null-Kenntnis für die Authentisierung beruhen.
17 ein Flussdiagramm ist, das den Zuordnungs-Sub-Prozess für Anwendungen darstellt, die auf externen Prozessen zur Authentisierung beruhen.
18 ein Flussdiagramm ist, das die Schritte in der Übertragung der Zuordnungsprozessergebnisse an den letztlichen Verifizierer darstellt.
19 ein Flussdiagramm zur Darstellung des Kommunikations-Sub-Prozesses für Stammdaten-basierende Authentisierung ist.
20 ein Flussdiagramm zur Darstellung des Kommunikations-Sub-Prozesses für Zertifikat-basierende Authentisierung ist.
21 ein Flussdiagramm ist, das die letzten Schritte in dem Prozess zum Abschluss der Authentisierung darstellt.
In der nachfolgenden detaillierten Beschreibung einer Ausführungsform der Erfindung wird Bezug auf die nachstehenden Begriffe genommen. Dort wo angegeben werden bestimmte von diesen Begriffen austauschbar mit bestimmten anderen während der gesamten Beschreibung verwendet.
Nachweiserbringer ist als eine Person definiert, die versucht, einen Zugriff auf eine sichere Anwendung oder Verifizierer zu erhalten. Ein Nachweiserbringer wird auch als "Benutzer" bezeichnet. Nachweiserbringerschritte sind die persönliche Ablauffolge von dem Nachweiserbringer gewählter Schritte. Die Nachweiserbringerschritte basieren auf einem oder mehreren Symbolen, die dem Benutzer angezeigt werden, und einer Ablauffolge von Verschiebungen oder Manipulationen dieser Symbole, die von dem Nachweiserbringer ausgeführt werden. Ein Symbol ist als ein grafisches oder visuelles Objekt definiert, wobei sich jedoch verstehen dürfte, dass alles, was visuell dargestellt und ausgewählt, verschoben, oder in irgendeiner Weise manipuliert werden kann, als ein Symbol für die Zwecke der Erfindung verwendet werden könnte. Ein Verifizierer ist als die Anwendung, System, Computer, Server usw. definiert, auf welchen ein Nachweiserbringer versucht, Zugriff zu erhalten. Jede Einheit, die sicher ist und eine Authentisierung für einen Benutzer erfordert. um Zugriff darauf zu erhalten, kann ein Verifizierer sein. Verifizierer wird austauschbar mit "sicherer Anwendung" durch die gesamte Beschreibung verwendet. Authentisierung ist als ein Prozess einer Validierung einer geforderten Identität definiert, wie z.B. der Identität eines Nachweiserbringers. Authentisierungsinformation ist als die Information definiert, die einem Verifizierer geliefert werden muss, damit ein Nachweiserbringer Zugriff erhält. Authentisierungsinformation kann jede von einem oder mehreren Benutzernamen und Passwörtern bis zu einer Vielzahl komplexer Routinen, Prozeduren und Informationen sein. Eine Aufforderung ist als eine visuelle Präsentation definiert, die erfordert, dass der Nachweiserbringer eine Eingabe ausführt und die Aktionen vervollständigt, die seine bzw. ihre Nachweiserbringerschritte umfassen. Eine Aufforderung wird auch als eine "Authentisierungsanforderung" bezeichnet. Ein Codeschlüssel ist als ein Schlüssel definiert, der dazu verwendet werden kann, Authentisierungsinformation zu entschlüsseln, die verschlüsselt worden ist.
1 ist eine Blockdarstellung, die eine allgemeine Übersicht bietet, dass die Erfindung mehrere Verifizierer für jeden Nachweiserbringer unterstützt. Ein Benutzer beginnt durch Auswahl eines der Verifizierer von 1, die allgemein in 2 und insbesondere in den 7–21 dargestellten Schritte.
2 ist eine Blockdarstellung, die allgemein die Ablauffolge von Schritten darstellt, die für einen Nachweiserbringer erforderlich sind, um Zugriff auf einen Verifizierer zu erhalten. Die Verifizierer 1 bis N erfordern jeweils einen getrennten und einzigartigen Prozess, die in 2 als Sub-Prozess₁ bis Sub-Prozess_N dargestellt sind, damit ein Nachweiserbringer Zugriff erhält. Ein Sub-Prozess kann so einfach sein, wie z.B. die Bereitstellung eines Benutzernamens und eines Passwortes, und wie es bei vielen Online-Systemen üblich. Ein Sub-Prozess kann jedoch auch eine Reihe von Passworten oder Codes oder andere anwendungsspezifische Anforderungen umfassen. Unabhängig von der Komplexität des für einen speziellen Verifizierer erforderlichen Sub-Prozesses benötigt der Nachweiserbringer, wenn der Nachweiserbringer einen Zugriff auf den Verifizierer möchte, nur die Ausführung seiner oder ihrer Nachweiserbringerschritte, um den geeigneten Prozess für einen spezifischen Verifizierer gemäß Darstellung in 2 zu starten.
Als eine Vorab-Aktion gibt der Nachweiserbringer dem die Erfindung implementierenden System an: (a) die Nachweiserbringerschritte, die der Nachweiserbringer für den Zugriff auf alle sicheren Anwendungen (was in etwa einem "symbolischen Passwort" entspricht, das sich der Benutzer merken muss) verwenden will, und (b) den Verifizierer und die zugeordnete Authentisierungsinformation (die in etwa der sicheren Anwendung und deren zugeordnetem Passwort entspricht).
Zum Angeben von Nachweiserbringerschritten wird einem Benutzer eine Anzeige von Objekten oder Symbolen präsentiert. Eine Anordnung, Bewegung oder Reihenfolgenanordnung der Objekte oder Symbole schließt die Nachweiserbringerschritte ab. Bevorzugt sind das Objekt oder die Symbole dem Benutzer geläufig. Beispielsweise kann ein Benutzer, welcher Chemiker ist, eine solche Auswahl treffen, dass ihm eine Anzeige mit der Periodentabelle der Elemente präsentiert wird. Der Chemiker kann dann verschiedene Elemente auswählen oder Elemente zusammenfügen, um eine Formel oder ein Molekül zu erzeugen oder eine andere Kombination, die für den Chemiker leicht zu merken ist, ohne sie niederzuschreiben. Die Auswahl kann oder kann auch nicht reihenfolgenempfindlich sein.
Weitere Möglichkeiten könnten Nahrungsmittelelemente für einen Koch, Aktien für einen Finanzberater, ein Kartensatz für einen Kartenspieler usw. sein. Man kann erkennen, dass eine unzählige Vielfalt von Anzeigen von Objekten und Kombinationen davon innerhalb des Schutzumfangs der Erfindung in Betracht gezogen werden kann, und dass die vorgenannten Vorschläge keineswegs erschöpfend sind.
3A und 3B stellen eine vereinfachte Ansicht eines nicht reihenfolgenempfindlichen Gruppierungsanordnungen bzw. Layouts dar, das aus einer Reihenfolge von drei Nachweiserbringerschritten erzeugt wurde. In 3A werden zwei Objekte "X" und "Y" dem Benutzer zusammen mit einem Tic-Tac-Toe-artigen Gitter dargestellt, in welches eines oder beide Objekte verschoben werden können. Die drei Nachweiserbringerschritte werden durch drei gestrichelte Linien dargestellt, die von dem "X"-Objekt ausgehen. Da dieser spezielle Satz von Nachweiserbringerschritten nicht reihenfolgenempfindlich ist, könnte jede Reihenfolge der Nachweiserbringerschritte, die zu einem Layout ähnlich dem von 3B führt, einer Aufforderung (z.B. 3A) auf der Basis dieser Nachweiserbringerschritte genügen.
Im Gegensatz dazu stellen 4A–4C eine vereinfachte Ansicht einer reihenfolgenempfindlichen Reihenfolge von Nachweiserbringerschritten dar. 4A stellt den Nachweiserbringerschritt 1 dar, 4B stellt den Nachweiserbringerschritt 2 dar, und 4C stellt den Nachweiserbringerschritt 3 dar. 4D liefert eine Tabelle, welche die Layouts vergleicht, die sich aus den nicht reihenfolgenempfindlichen Nachweiserbringerschritten der 3A–3B und der reihenfolgenempfindlichen Nachweiserbringerschritten der 4A–4C ergeben. Für reihenfolgenempfindliche Nachweiserbringerschritte entspricht jeder Nachweiserbringerschritt einem Layout gemäß Darstellung in den 4A–4C. Für nicht reihenfolgenempfindliche Nachweiserbringerschritte entspricht das Layout gemäß Darstellung in 3B dem Endergebnis aller Nachweiserbringerschritte.
In einer Ausführungsform der Erfindung wird die Reihenfolge der Nachweiserbringerschritte alleine als ein einfach zu merkendes Passwort für den Zugriff auf eine sichere Anwendung verwendet. Das Layout oder die Reihenfolge der Layouts werden an einer für die sichere Anwendung zugänglichen Stelle gespeichert, so dass, wenn ein Nachweiserbringer einen Zugriff auf die sichere Anwendung sucht, eine Aufforderung präsentiert werden könnte, die die Symbole dem Benutzer anzeigen und erfordert, dass der Benutzer das zuvor angegebene Passwort des Benutzers wiederholt. Die Passwort-Layoutinformation könnte ferner verschlüsselt werden, so dass nur die sichere Anwendung diese für den Vergleich mit der Benutzeraufforderungsantwort entschlüsseln kann. Es wird jedoch bevorzugt, dass die Reihenfolge der Nachweiserbringerschritte und das entsprechende Layout stattdessen zur Erzeugung eines Codeschlüssels verwendet werden, um die für den Zugriff auf eine sichere Anwendung erforderliche Authentisierungsinformation zu verschlüsseln, wie es hierin nachstehend vollständiger beschrieben wird.
Nachdem das Layout oder eine Serie von Layouts erzeugt sind, verwendet das die Erfindung implementierende System das sich ergebende Layout oder die Layouts, um eine String zu erzeugen, der später zum Aufbau eines Codeschlüssels verwendet wird. 5 stellt den Nachweiserbringerschritt-Aufbauprozess dar. Nachdem der Benutzer eine Reihe von Nachweiserbringerschritten gemäß Darstellung in 3 und 4 erzeugt, erzeugt der Nachweiserbringerschritt-Aufbauprozess von 5 ein Layout auf der Basis der Nachweiserbringerschritte. Das Layout enthält im Allgemeinen den in 4D dargestellten Informationstyp. Anschließend kombiniert dieser Prozess mathematisch die Auswahlen, Objekte und Aktionen, die von dem Layout repräsentiert werden, um einen der Serie der Nachweiserbringerschritte entsprechenden String zu erzeugen. Typischerweise liegt dieser String in der Form eines binären Strings vor. Der String ist für die Reihenfolgenempfindlichkeit der Nachweiserbringerschritte, die Anordnung von Symbolen oder benutzten Objekten und die Reihenfolge der Nachweiserbringerschritte spezifisch. Der String wird so gespeichert, dass er später (siehe 9) verwendet werden kann, um einen Codeschlüssel zu erzeugen. Man beachte, dass ein Nachweiserbringer die Option hat, seine bzw. ihre Nachweiserbringerschritte jederzeit zu verändern, indem der Nachweiserbringerschritt-Aufbauprozess von 5 wiederholt wird.
In einer bevorzugten Ausführungsform wird der String auf dem Computer des Benutzers an einer Stelle und in solcher Weise gespeichert, dass der String für sichere Anwendungen, auf welche der Benutzer einen Zugriff fordert, nicht erreichbar ist. Dieses trägt zur Sicherstellung bei, dass kein kompletter Satz von Authentisierungsinformation an die sicheren Anwendungen übertragen wird. In anderen Ausführungsformen ist es jedoch möglich, den String an einer anderen Stelle als dem Computer des Benutzers und trotzdem unzugänglich für die sicheren Anwendungen, wie z.B. auf einem entfernten Computer oder Server zu speichern. Es ist auch möglich, den String auf einem tragbaren Speichermedium, wie z.B. einer Floppy Disk zu speichern, um dem Benutzer zu ermöglichen, die Vorteile der Erfindung auf jedem verwendeten Computer zu nutzen. Eine andere Möglichkeit besteht darin, den String auf einem Computernetzwerk an einer für andere Benutzer "versteckten" Stelle zu speichern.
6 stellt einen weiteren Vorab-Prozess in der Anwendung der Erfindung dar, welcher die einmalige Angabe der Authentisierungsanforderungen in Verbindung mit einer speziellen Anwendung beinhaltet. Zur Erfüllung der speziellen Authentisierungsanforderungen eines Verifizierers ermöglicht die Erfindung Benutzern, den Verifizierer und dessen Authentisierungsanforderungen im Voraus anzugeben. Dieses geschieht typischerweise, nachdem der Benutzer seine bzw. ihre Nachweiserbringerschritte ausgeführt hat, wie es in den 3, 4 und 5 dargestellt wurde. Es ist jedoch, wie 6 darstellt, für einen Nachweiserbringer möglich, den Verifiziererangabeprozess zu unterbrechen, und die Nachweiserbringerschritte zu dem Zeitpunkt auszuführen, an dem der Verifizierer angegeben wird, wenn es der Benutzer nicht bereits getan hat.
Ein Beispiel kann dazu beitragen, den Arbeitsablauf des in 6 dargestellten Prozesses zu veranschaulichen. Es werde angenommen, dass einem Benutzer ein Benutzername und ein Passwort für den LEXIS^TM-Online-Dienst erteilt worden ist. Der Benutzer möchte diese sichere Anwendung dem die Erfindung implementierenden System hinzufügen, nachdem er bereits die Schritte von 5 abgeschlossen hat. Zuerst gibt der Benutzer die spezielle sichere Anwendung (d.h. LEXIS^TM) an. Dieses erfolgt so, dass das die Erfindung implementierende System in geeigneter Weise die Authentisierungsinformation konfigurieren kann, die der Benutzer erzeugen will, um sicherzustellen, dass die Authentisierungsinformation mit den Anforderungen der sicheren Anwendung kompatibel ist. Bevorzugt erfolgt diese Angabe über eine einfache, benutzerfreundliche Schnittstelle, wie z.B. ein Pull-down-Menü oder eine Auswahl aus einer Liste von Anwendungen. Es wird jedoch in Betracht gezogen, dass viele Verfahren zur Angabe von Anwendungen einschließlich der manuellen Eingabe des Namens der Anwendung oder des Empfangs von Anwendungsinformation aus einer externen Quelle möglich sind. Es wird ferner in Betracht gezogen, dass in zukünftigen Ausführungsformen ein die Erfindung implementierendes System in der Lage sein kann, automatisch die Anwendung zu detektieren und zu ermitteln, die der Benutzer angeben möchte.
Anschließend liefert, wie es in 6 dargestellt ist, der Benutzer die geeignete Authentisierungsinformation für die sichere Anwendung. In diesem Beispiel könnte der Benutzer einen LEXIS^TM-Benutzernamen und Passwort wie z.B. "Jsmith,ab2dc3e" liefern. Dieses ist der einzige Zeitpunkt, an dem sich der Benutzer an die Authentisierungsinformation für diese Anwendung erinnern muss. Nachdem der Benutzer diese Authentisierungsinformation geliefert hat, nutzt die Erfindung den String (aus 5) zum Erzeugen eines Codeschlüssels, der zum Verschlüsseln der Authentisierungsinformation verwendet wird. Der Codeschlüssel selbst wird niemals gespeichert; alles was gespeichert wird, ist der String (wie es vorstehend angegeben wurde) und die verschlüsselte Verifiziererauthentisierungsinformation. In einer bevorzugten Ausführungsform wird die verschlüsselte Verifiziererauthentisierungsinformation an einer für den Verifizierer unzugänglichen Stelle gespeichert, wie z.B. auf dem Computer des Benutzers. Jedoch sind die für die Speicherung des Strings verfügbaren Alternativen auch auf die Speicherung der verschlüsselten Verifiziererauthentisierungsinformation anwendbar.
Das mit dem Codeschlüssel angewendete Verschlüsselungsverfahren ist bevorzugt eine nicht-reversible Einwegfunktion, wie z.B. eine Einweg-Hash-Funktion. Es dürfte sich jedoch verstehen, dass ein Fachmann auf diesem Gebiet weitere ausführbare Verschlüsselungstechniken in Betracht ziehen könnte.
Der Prozess der Erzeugung eines Strings und eines Codeschlüssels aus dem String und der Verschlüsselung der Authentisierungsinformation trägt dazu bei, dass die Nachweiserbringerschritte, Layouts und die Authentisierungsinformation nicht leicht abgeleitet werden können. Zusätzlich kann bei diesem Prozess der Codeschlüssel für jede Anwendung und Anmeldesitzung einmalig sein.
7 bietet eine Gesamtübersicht der in einer bevorzugten Ausführungsform der Erfindung beteiligten Schritte. Diese Schritte stellen zeitlich die Ereignisse dar, die auftreten, wenn ein Benutzer, welcher bereits die Schritte der Auswahl der Nachweiserbringerschritte (5) und der Verifiziererangabe (6) ausgeführt hat, versucht, einen Zugriff auf den Verifizierer zu erhalten.
Im Allgemeinen beliefert die Ausführungsform der Erfindung Nachweiserbringer mit einem einzigen, einfachen Authentisierungsverfahren, das die üblichen Namens- und Passwort-Lösungen ersetzt. Es ermöglicht auch Verifizierern sicher Nachweiserbringer zu authentisieren und ermöglicht die Authentisierung von Nachweiserbringern durch mehrere Verifizierer. Die meisten Verifizierer erfordern einen getrennten und einmaligen Prozess (d.h., die meisten Verifizierer haben einmalige Authentisierungsanforderungen). Um dem Verifizierer einen Zugriff zu gewähren, erfordert die Erfindung, dass der Nachweiserbringer einen Satz von Routinen oder Nachweiserbringerschritten abschließt. Die Nachweiserbringer müssen nur ihre Nachweiserbringerschritte ausführen, um den geeigneten Prozess für jeden Verifizierer zu starten.
Die Ausführungsform der Erfindung unterstützt eine Anzahl unterschiedlicher Authentisierungsverfahren. Die Nachweiserbringerauthentisierung wird auf der Basis der kombinierten Ergebnisse der Nachweiserbringerschritte und des geeigneten Prozesses oder Sub-Prozesses für die Anwendung, auf die zugegriffen werden soll, erreicht. Die Ausführungsform folgt einem einfachen Ablauf, der allgemein in 7 dargestellt ist, der den geeigneten Sub-Prozess für die spezifischen Anforderungen jedes Verifizierers startet. Die Reihenfolge der Schritte für die Erfindung benötigt, sobald sie gestartet ist, keine weitere Intervention oder Eingabe von dem Nachweiserbringer. Tatsächlich muss der Nachweiserbringer nur den Verifizierer oder die sichere Anwendung für den Zugriff wählen und seine bzw. ihre Nachweiserbringerschritte vervollständigen. Dem Nachweiserbringer wird ein einfaches vereinfachtes Verfahren für alle seine Authentisierungsanforderungen gegeben. Der Prozess handhabt die mit jeder Anwendung oder System verbundenen Feinheiten.
Die in 7 dargestellten Schritte werden auf alle sicheren Anwendungen angewendet, auf welche ein Benutzer einen Zugriff sucht, und werden für jede eindeutige Authentisierung auf der Basis der Anwendung oder des Systems gestartet. Im Allgemeinen wird die Nachweiserbringereingabe in dem Nachweiserbringerschnittstellenprozess und Aufforderungsprozess dazu verwendet werden, Schlüssel ("Codeschlüssel") in dem Codeschlüssel-Aufbauprozess aufzubauen. Dieser Codeschlüssel entspricht demselben Codeschlüssel, der in 6 auf dem Nachweiserbringer-Aufbauprozess von 5 erzeugt wurde. Die Erfindung "ordnet" dann dem Verifizierer einen spezifischen Sub-Prozess auf der Basis der Anwendung zu, auf die von dem Nachweiserbringer zugegriffen wird. Dieser Zuordnungsprozess würde den Codeschlüssel überprüfen und geeignete Ergebnisse zur Übertragung an den Verifizierer in dem Kommunikationsprozess erzeugen. Der Kommunikationsprozess kann ein einziger Austausch oder eine Folge von interativen Austauschvorgängen sein. Größere Details bezüglich jedes Schrittes von 7 werden nachstehend angegeben.
Die Schritte der Ausführungsform, gemäß Darstellung in 7, umfassen zwei Hauptgruppen von Schritten: Prozesse mit Nachweiserbringerbeteiligung und automatische Prozesse. Die Prozesse mit Nachweiserbringerbeteiligung werden von dem Nachweiserbringer gestartet und benötigen dessen Eingabe. Die automatischen Prozesse werden durch den Abschluss der Prozesse mit Benutzerbeteiligung gestartet und erfordern keine weitere Eingabe von dem Nachweiserbringer.
Prozesse mit Benutzerbeteiligung
Die Schritte mit Benutzerbeteiligung werden durch eine Benutzeranforderung zur Authentisierung gestartet und benötigen eine Nachweiserbringereingabe zur Vervollständigung. Die Ablauffolge beinhaltet den Nachweiserbringer-Schnittstellenprozess, den Aufforderungsprozess und den Codeschlüssel-Aufbauprozess.
Nachweiserbringer-Schnittstellenprozess
Gemäß Darstellung in 8 ist der Nachweiserbringer-Schnittstellenprozess der Startschritt in dem Gesamtprozess und umfasst die erforderlichen Schritte, um den Aufforderungsprozess aufzubauen. Der Nachweiserbringer-Schnittstellenprozess wird durch eine Nachweiserbringer-Authentisierungsanforderung gestartet. Diese Anforderung kann von verschiedenen Quellen einschließlich, jedoch nicht darauf beschränkt, Ressourcensteuerungen, Zugriffsprovidern und manuellen und automatischen Prozessen kommen. Der Nachweiserbringer-Schnittstellenprozess präsentiert und enthält Nachweiserbringeraufforderungen.
Sobald er gestartet ist, kann der Nachweiserbringer an jedem beliebigen Punkt während des Nachweiserbringer-Schnittstellenprozesses den Authentisierungsprozess widerrufen/abbrechen. Der Widerrufprozess erfolgt durch eine explizite Aktion auf der Seite des Nachweiserbringers. Der Widerrufprozess bricht den Prozess ab und die Authentisierung schlägt fehl. An jedem Punkt des Nachweiserbringer- Schnittstellenprozesses kann der Nachweiserbringer anzeigen, dass alle Aufforderungsantworten vollständig sind und die Authentisierung fortfahren sollte. Dieses zeigt keine erfolgreiche Authentisierung an. Es zeigt nur an, dass der Nachweiserbringer glaubt, dass ein vollständiger Satz von Antworten auf die Aufforderungen hin geliefert worden ist.
9 stellt ferner dar, dass der Nachweiserbringer-Schnittstellenprozess, sobald er gestartet ist, eine Aufforderung bzw. Aufforderungen für den Nachweiserbringer in einer bedeutungsvollen Weise auf der Basis der von dem Nachweiserbringer ausgewählten Umgebung und Erfahrungen präsentiert, so dass der Nachweiserbringer in üblicher Weise reagieren kann. Wie es mit dem Nachweiserbringerschritt-Aufbauprozess diskutiert wurde, könnte eine Aufforderung die Anzeige geläufiger Objekte, die ein Benutzer manipulieren soll, wiederholen. Alternativ kann dem Nachweiserbringer eine allgemeine Präsentation des standardmäßigen, einfachsten Verfahrens präsentiert werden, um die Aufforderung (Lösungsweg mit kleinstem gemeinsamen Nenner) zu präsentieren, oder ein von dem Nachweiserbringer vordefiniertes Verfahren, das besser mit der gewählten Umgebung und den Erfahrungen des Nachweiserbringers übereinstimmt.
Beispielsweise kann, wenn der Benutzer keinen speziellen Satz von Symbolen in Übereinstimmung mit seiner/ihrer Umgebung und Erfahrungen gewählt hat, dann die Anzeige eines allgemeinen, üblichen Symbols oder eines Satzes von Symbolen, wie z.B. ein Kartenspiel präsentiert werden. Der Präsentationsprozess führt die Ermittlung auf der Basis der von dem Nachweiserbringer ausgewählten Umgebung und abhängig davon, ob sie unterstützt wird, durch. Der letzte Schritt besteht in der Erzeugung die Sub-Prozesse, die die dem Nachweiserbringer zu präsentierenden individuellen Aufforderungen definieren. Diese individuellen Aufforderungen tragen dazu bei, den Authentisierungsanforderungen einer speziellen sicheren Anwendung zu genügen. Wenn irgendeiner der Sub-Prozesse nicht erzeugt werden kann, schlägt der Prozess fehl und der Prozess wird abgebrochen. Andernfalls wird der Aufforderungsprozess gestartet.
Aufforderungsprozess
10 stellt die Startschritte dar, die auftreten, wenn dem Nachweiserbringer eine Aufforderung präsentiert wird. Die Aufforderung kann eine einzelne Aufforderung oder eine Serie von Aufforderungen sein. Die Aufforderung erfordert Antwort(en) des Nachweiserbringers zum Fortsetzen des Prozesses. Die Aufforderung selbst kann mit einem Zufallswert geimpft werden, um die Ausgabe der Aufforderung zufällig zu machen, und einen sitzungsspezifischen Datensatz zu erzeugen.
Die Aufforderung wird als ein geläufiger Satz von Objekten oder Symbolen ähnlich zu der Anzeige präsentiert, die zur Auswahl der anfänglichen Nachweiserbringerschritte dargestellt wird. Eine Anordnung, Verschiebung oder Reihenfolgenbildung der Objekte und Symbole vervollständigt die Aktionen des Nachweiserbringers oder die Nachweiserbringerschritte. Die Aufforderung könnte auch reihenfolgenempfindlich sein, was anzeigt, dass eine Liste aller Aktionen (z.B. Nachweiserbringerschritte) während der Gültigkeitsdauer einer spezifischen Aufforderung aufgebaut und gespeichert wird. Die Reihenfolge der Nachweiserbringerschritte würde direkt das Ergebnis des Aufforderungsprozesses beeinflussen.
Der Nachweiserbringer kann an jedem Punkt während des Aufforderungsprozesses den Prozess widerrufen/abbrechen. Der Widerruf erfolgt durch eine explizite Aktion durch den Nachweiserbringer. Der Widerruf bricht den Prozess ab und die Authentisierung schlägt fehl. Ferner kann der Nachweiserbringer an jedem beliebigen Punkt während des Aufforderungsprozesses die Aufforderung zurücksetzen. Dieses ermöglicht es dem Nachweiserbringer, den Prozess neu zu starten, wenn der Nachweiserbringer einen Fehler während der Vervollständigung der Nachweiserbringerschritte macht. Dieses führt den Nachweiserbringer an den Start des Aufforderungsprozesses zurück.
Codeschlüssel-Aufbauprozess
Wenn der Nachweiserbringer die Vervollständigung des Aufforderungsprozesses anzeigt, beginnt der Codeschlüssel-Aufbauprozess von 11. Der Abschluss entspricht keiner erfolgreichen Authentisierung oder zeigt einen solche an. Ein Codeschlüssel wird auf der Basis der Verarbeitung der durch die Nachweiserbringerschritte in dem Aufforderungsprozess erzeugten Layouts erzeugt. Wie 11 darstellt, erzeugt jeder Nachweiserbringerschritt ein Layout, das in dem Codeschlüssel-Aufbauprozess verarbeitet wird. Sowohl reihenfolgenempfindliche als auch nicht reihenfolgenempfindliche Layouts können erzeugt werden. Die Umwandlung ist für den Aufforderungstyp, die Reihenfolgenempfindlichkeit, Anordnung der Objekte und Reihenfolge der Nachweiserbringerschritte spezifisch.
Für nicht reihenfolgenempfindliche Nachweiserbringerschritte erzeugt der Codeschlüssel-Aufbauprozess einen Layoutauszug (ähnlich der Tabelle von 4C), der den Nachweiserbringerschritten entspricht. Das letzte Layout wird in ein Ergebnis, wie z.B. einen String, verarbeitet, der zum Aufbau des Codeschlüssels verwendet wird. Typischerweise wird das Ergebnis oder der String mit einer nicht reversiblen Einwegfunktion wie z.B. einer Einweg-Hash-Funktion verarbeitet, um den Codeschlüssel zu erzeugen. Dieser Codeschlüssel wird zum Entschlüsseln der gespeicherten Authentisierungsinformation verwendet.
Für reihenfolgenempfindliche Nachweiserbringerschritte wird ein reihenfolgenempfindlicher Codeschlüssel-Aufbauprozess gemäß Darstellung in 4 abgearbeitet. Dieser Prozess wählt das erste in der Reihenfolge der Layouts, das sich aus den Nachweiserbringerschritten in dem Aufforderungsprozess ergibt. Anschließend wandelt der reihenfolgenempfindliche Codeschlüssel-Aufbauprozess das ausgewählte Layout in ein Ergebnis, wie z.B. in einen String, um. Dann wird das nächste Layout in der reihenfolgenempfindlichen Folge ausgewählt. Das vorherige Ergebnis wird mit einer nicht reversiblen Einwegfunktion (z.B. einer Einweg-Hash-Funktion) mit dem neu ausgewählten Layout verarbeitet und an den Codeschlüssel-Aufbauprozess weitergegeben. Dieser Prozess setzt sich fort, bis das letzte Layout in der Ablauffolge verarbeitet (in den tatsächlichen Codeschlüssel umgewandelt ist, indem eine nicht reversible Einwegfunktion angewendet wird) ist. Der sich ergebende Codeschlüssel wird in derselben Weise wie der durch den nicht reihenfolgenempfindlichen Codeschlüssel-Aufbauprozess erzeugte Codeschlüssel verwendet.
Es dürfte sich verstehen, dass der vorstehend beschriebene Codeschlüssel-Aufbauprozess nicht auf die nicht reversiblen Einwegfunktionen beschränkt ist, sondern dass ein Fachmann auf diesem Gebiet zusätzliche Verschlüsselungsmethoden in Betracht ziehen würde, die in der Erfindung angewendet werden können.
Man beachte auch, dass der während des Codeschlüssel-Aufbauprozesses erzeugte String derselbe sein kann wie der in dem Computer des Benutzers oder auch nicht. Es ist jedoch sicherer, einen während des Codeschlüssel-Aufbauprozesses erzeugten String zu haben, der sich von dem in dem Computer des Benutzers gespeicherten String unterscheidet. Das wichtigste Ergebnis ist, ob die Authentisierungsinformation, nach der Entschlüsselung durch den Codeschlüssel, der sich aus diesem String ergibt, die Anforderungen für die sichere Anwendung erfüllt, auf die zugegriffen werden soll. Wenn die Aufforderung nicht reihenfolgenempfindlich ist, ist nur das Endergebnis oder das Layout der Nachweiserbringerschritte für die Bestimmung des Ergebnisses des Aufforderungsprozesses (siehe 8) wichtig. Der Aufforderungsprozess setzt sich fort, bis der Nachweiserbringer die Vervollständigung anzeigt oder den Prozess abbricht.
Der Codeschlüsselprozess stellt sicher, dass die Nachweiserbringerschritte und Layouts nicht leicht abgeleitet werden können. Der Codeschlüssel wird niemals gespeichert und könnte für jede Anwendung und Authentisierungssitzung einmalig sein. Sobald der Codeschlüssel-Aufbauprozess abgeschlossen ist, werden die Ergebnisse den automatischen Prozessen zugeführt. Der Abschluss des Codeschlüssel-Aufbauprozesses zeigt in keiner Weise eine erfolgreiche Authentisierung an. Er zeigt lediglich an, dass ein spezifischer Codeschlüssel aus dem bzw. den Layouts, die sich aus den Nachweiserbringerschritten ergaben, während des Aufforderungsprozesses erzeugt worden ist.
Automatische Prozesse
Die restlichen Schritte in dem Prozess erfolgen automatisch und erfordern keine weitere Einbeziehung des Nachweiserbringers. 7 und 12 stellen eine Übersicht auf höherer Ebene über die einbezogenen Schritte dar.
Die Ergebnisse des Codeschlüssel-Aufbauprozesses starten die automatischen Prozesse. Das geeignete Authentisierungsprotokoll und entsprechende Sub-Prozesse werden auf der Basis der Anwendung ausgewählt, auf die zugegriffen wird. Der Zuordnungsprozess startet den Kommunikationsprozess mit dem Verifizierer und den anschließenden Verifizierungsprozess. Wenn der Codeschlüssel nicht zugeordnet werden kann, schlägt die Authentisierung fehl und der gesamte Prozess wird abgebrochen.
Zuordnungsprozess
Gemäß Darstellung in 13 wird der Zuordnungsprozess durch die Ergebnisse des Codeschlüssel-Aufbauprozesses gestartet. Ein geeigneter Zuordnungs-Sub-Prozess wird auf der Basis der Anwendung, auf die der Nachweiserbringer zugreift, und des Typs der für diese Anwendung erforderlichen Authentisierung ausgewählt. Nach der erfolgreichen Erzeugung eines spezifischen Zuordnungs-Sub-Prozesses werden der bzw. die Codeschlüssel diesem zur Verarbeitung zugeführt. Wenn zusätzliche Zuordnungen, in einer Folge von Zuordnungen erforderlich sind, werden dann die Ergebnisse des Zuordnungs-Sub-Prozesses in einen Zuordnungsprozess zurückgeführt. Wenn die Erzeugung eines spezifischen Zuordnungs-Sub-Prozesses fehlschlägt oder kein geeigneter Zuordnungs-Sub-Prozess entdeckt werden kann, schlägt die Authentisierung fehl, und der Gesamtprozess wird abgebrochen. Ansonsten starten die Ergebnisse des Zuordnungsprozesses den Kommunikationsprozess.
Es folgen Beschreibungen für einige mögliche Zuordnungs-Sub-Prozesse in Verbindung mit spezifischen Authentisierungsprotokollen. Diese umfassen Stammnamen und Passwort (14), digitale Signatur/Zertifikat (15), Null-Kenntnis (16) und externe Authentisierung (17). Weitere Sub-Prozesse könnten hinzugefügt werden, sobald alternative Authentisierungsprotokolle verfügbar oder entwickelt werden.
14 stellt die in dem Sub-Prozess beinhalteten Schritte dar, der herkömmliche Stammnamen und Passwort-Anwendungen unterstützt. Das Ergebnis des Codeschlüssel-Aufbauprozesses und/oder eines anderen Zuordnungs-Sub-Prozesses startet den Sub-Prozess. Die früheren Schritte in dem Zuordnungsprozess können ebenfalls zusätzliche Information liefern, die für den Start dieses Sub-Prozesses erforderlich ist. Die Ergebnisse dieses Zuordnungs-Sub-Prozesses werden an den Zuordnungsprozess zur Verwendung in dem Kommunikationsprozess zurückgeliefert. In diesem speziellen Falle sind die Ergebnisse ein spezifisches Namen- und Passwort-Paar, das in der Authentisierung verwendet werden kann. Wenn die Erzeugung dieses spezifischen Zuordnungs-Sub-Prozesses fehlschlägt, oder wenn die Zuordnung selbst nicht in der Lage ist, aus irgendeinem Grund zu vervollständigen, schlägt die Authentisierung fehl und der Prozess wird abgebrochen.
15 stellt die Schritte dar, die in dem Sub-Prozess beinhaltet sind, der die Verwendung digitaler Signaturen oder digitaler Zertifikate unterstützt. Das Ergebnis des Codeschlüssel-Aufbauprozesses und/oder eines anderen Zuordnungs-Sub-Prozesses startet den Sub-Prozess. Die früheren Schritte in dem Zuordnungsprozess können ebenfalls zusätzliche Information liefern, die für den Start dieses Sub-Prozesses erforderlich ist. Die Ergebnisse dieses Zuordnungs-Sub-Prozesses werden an den Zuordnungsprozess zur Verwendung in dem Kommunikationsprozess zurückgeliefert. In diesem speziellen Falle sind die Ergebnisse des Sub-Prozesses ein spezifisches(r) digitales(r) Zertifikat, Signatur, privater oder öffentlicher Schlüssel, das/die/der in der Authentisierung verwendet werden kann. Wenn die Erzeugung dieses spezifischen Zuordnungs-Sub-Prozesses fehlschlägt, oder wenn die Zuordnung selbst nicht in der Lage ist, aus irgendeinem Grund zu vervollständigen, schlägt die Authentisierung fehl und der Prozess wird abgebrochen.
16 stellt die Schritte dar, die in dem Sub-Prozess beinhaltet sind, der die Null-Kenntnis-Authentisierung unterstützt. Die Ergebnisse des Codeschlüssel-Aufbauprozesses und/oder eines anderen Zuordnungs-Sub-Prozesse(s) starten den Sub-Prozess. Die früheren Schritte in dem Zuordnungsprozess können ebenfalls zusätzliche Information liefern, die für den Start dieses Sub-Prozesses erforderlich ist. Die Ergebnisse dieses Zuordnungs-Sub-Prozesses werden an den Zuordnungsprozess zur Verwendung in dem Kommunikationsprozess zurückgeliefert. In diesem speziellen Falle sind die Ergebnisse des Sub-Prozesses Null-Kenntnis-Schlüssel und Information, die in der Authentisierung verwendet werden kann. Wenn die Erzeugung dieses spezifischen Zuordnungs-Sub-Prozesses fehlschlägt, oder wenn die Zuordnung selbst nicht in der Lage ist, aus irgendeinem Grund zu vervollständigen, schlägt die Authentisierung fehl und der Prozess wird abgebrochen.
17 stellt den Sub-Prozess dar, der Anwendungen auf der Basis externer Authentisierung unterstützt. Die Ergebnis des Codeschlüssel-Aufbauprozesses und/oder eines anderen Zuordnungs-Sub-Prozesse(s) starten den Prozess. Frühere Schritte in dem Zuordnungsprozess können ebenfalls zusätzliche Information liefern, die für den Start dieses Sub-Prozesses erforderlich ist. Die Ergebnisse dieses Zuordnungs-Sub-Prozesses werden an den Prozess mit externer Authentisierung geliefert. Die Steuerung der Authentisierungsaufgabe wird an diesen externen Prozess zur Vervollständigung übergeben. Wenn die Erzeugung dieses spezifischen Zuordnungs-Sub-Prozesses fehlschlägt, oder wenn die Zuordnung selbst nicht in der Lage ist, aus irgendeinem Grund zu vervollständigen, schlägt die Authentisierung fehl und der Prozess wird abgebrochen.
Kommunikationsprozess
Der Kommunikationsprozess von 18 ist die Verknüpfung zwischen dem Nachweiserbringer und dem Verifizierer. Die Ergebnisse des Zuordnungsprozesses starten den Kommunikationsprozess. Dieser Prozess führt zu dem abschließenden Verifizierungsprozess und abschließenden Authentisierungsschlussfolgerungen.
Ein geeigneter Kommunikations-Sub-Prozess muss auf der Basis der von dem Nachweiserbringer bei der Initiierung ausgewählten Anwendung, dem Typ der durchzuführenden Authentisierung und der zugeordneten Kommunikationsanforderungen ausgewählt und erzeugt werden. Beispiele dieser Kommunikations-Sub-Prozesse werden nachstehend beschrieben. Nach der erfolgreichen Erzeugung eines spezifischen Kommunikations-Sub-Prozesses wird die Kommunikation gestartet und Zuordnungsergebnisse werden ihm zur Verarbeitung zugeführt. Falls zusätzliche Zuordnungen in einer Ablauffolge von Zuordnungen erforderlich sind, werden dann die Ergebnisse des aktuellen Zuordnungs-Sub-Prozesses in die Kommunikationsprozessschleife zurückgeführt. Ansonsten starten die Ergebnisse des Kommunikationsprozesses den Verifizierungsprozess und die Ergebnisse dieses Prozesses führen zum endgültigen Authentisierungsabschluss oder Ausfall.
Der Verifikationsprozess kann an jedem Punkt während des Kommunikationsprozesses einen Fehler anzeigen. In einem derartigen Falle schlägt die Authentisierung fehl, und der Prozess wird abgebrochen. Solange der Verifikationsprozess einen Erfolg anzeigt, können der bzw. die Sub-Prozesse, falls erforderlich, weiterfahren. Wenn die Erzeugung eines spezifischen Kommunikations-Sub-Prozesses fehlschlägt, oder wenn kein geeigneter Kommunikations-Sub-Prozess entdeckt werden kann, schlägt dann die Authentisierung fehl und der Prozess wird abgebrochen.
19 stellt die Schritte dar, die in dem Stammdaten/Symmetrie-Kommunikations-Sub-Prozess beinhaltet sind. Die Ergebnisse des Zuordnungsprozesses und/oder anderer Kommunikations-Sub-Prozesse starten diesen Prozess. Die früheren Schritte in dem Kommunikationsprozess können ebenfalls zusätzliche Information liefern, die für den Start dieses Sub-Prozesses erforderlich ist. Die Ergebnisse dieses Kommunikations-Sub-Prozesses werden dem Kommunikationsprozess zugeführt, nachdem der Nachweiserbringer und Verifizierer den erschöpfenden symmetrischen Verifikationsprozess über den durch diesen Sub-Prozess bereitgestellten Kanal durchgeführt haben. Die Aufgabe der Vervollständigung des Authentisierungsprozesses kann an einem externen Authentisierungsprozess übergeben werden und die gesamte Steuerung diesem Prozess überlassen werden. Wenn die Erzeugung dieses spezifischen Kommunikations-Sub-Prozesses fehlschlägt, oder wenn die Kommunikation selbst aus irgendeinem Grund (z.B. Fehlschlag einen gültigen Kommunikationskanal zu erhalten) nicht zur Vervollständigung in der Lage ist, schlägt dann die Authentisierung fehl und der Gesamtprozess wird abgebrochen.
20 stellt die Schritte dar, die in dem Zertifikats/Asymmetrie-Kommunikations-Sub-Prozess einbezogen sind. Die Ergebnisse des Zuordnungsprozesses und/oder anderer Kommunikations-Sub-Prozesse starten diesen Prozess. Die früheren Schritte in dem Kommunikationsprozess können ebenfalls zusätzliche Information liefern, die für den Start dieses Sub-Prozesses erforderlich ist. Die Ergebnisse dieses Kommunikations-Sub-Prozesses werden dem Kommunikationsprozess zugeführt, nachdem der Nachweiserbringer und Verifizierer einen erschöpfenden asymmetrischen Verifikationsprozess über den durch diesen Sub-Prozess bereitgestellten Kanal durchgeführt haben. Die Aufgabe der Vervollständigung des Authentisierungsprozesses kann an einem externen Authentisierungsprozess übergeben werden und die gesamte Steuerung diesem Prozess überlassen werden. Wenn die Erzeugung dieses spezifischen Kommunikations-Sub-Prozesses fehlschlägt, oder wenn die Kommunikation selbst aus irgendeinem Grund (z.B. Fehlschlag einen gültigen Kommunikationskanal zu erhalten) nicht zur Vervollständigung in der Lage ist, schlägt dann die Authentisierung fehl und der Gesamtprozess wird abgebrochen.
Verifizierungsprozess
21 stellt die abschließenden Verifizierungsprozessschritte und deren Beziehung zu der Authentisierungsaufforderung dar. Ein automatischer Aufforderungs/Antwort-Prozess wird zwischen dem früheren Kommunikations/Zuordnungs-Prozess und dem Verifikationsprozess gestartet. Der Kommunikations/Zuordnungs-Prozess wird mit einer speziellen Aufforderung präsentiert. Im Allgemeinen erfordert die Aufforderung eine Antwort, um den Prozess fortzusetzen. Der Verifizierer zeigt an, ob die Antwort des aktuellen Kommunikations/Zuordnungs-Prozesses korrekt ist oder nicht und fährt dementsprechend mit dem Prozess fort. Das Aufforderung/Antwort-Bearbeitungsverfahren des Verifikationsprozesses fährt fort, bis der Verifizierer den Abschluss anzeigt oder den Authentisierungsprozess abbricht. Wenn der Verifizierer einen endgültigen Abschluss des Aufforderung/Antwort-Prozesses anzeigt, ist die Authentisierung abhängig davon, ob der Verifizierer ausreichend Antworten zum Erzeugen des erwarteten Ergebnisses erhalten hat, erfolgreich oder fehlgeschlagen.
Der Nachweiserbringer kann an jedem beliebigen Punkt während eines speziellen Verifikationsprozesses die Aufforderung zurücksetzen. Dieses ermöglicht dem Kommunikation/Zuordnungs-Prozess den Prozess in denjenigen Fällen neu zu starten, in welchen der Nachweiserbringer einen Fehler macht. Dieses führt zu dem Beginn dieses Prozesses zurück. Der Verifizierer (sowie der Kommunikation/Zuordnungs-Prozess) kann (können) an jedem beliebigen Punkt während des Verifikationsprozesses den Authentisierungsprozess widerrufen/abbrechen. Der Widerrufprozess wird durch eine explizite Aktion des Verifizierers und/oder des Kommunikations-Zuordnungs-Prozesses gestartet. Der Widerruf bricht den Authentisierungsprozess ab und der Prozess schlägt fehl.

Claims

Verfahren zum Bereitstellen eines Benutzerzugriffes auf eine sichere Anwendung, mit den Schritten: a) Liefern einer Authentisierungsanforderung an den Benutzer für einen Zugriff auf die sichere Anwendung, wobei die Authentisierungsanforderung beinhaltet, dass dem Benutzer wenigstens ein Symbol angezeigt wird; b) Empfangen von Manipulationen durch den Benutzer an wenigstens einem Abschnitt des angezeigten Symbols; c) Erzeugen eines Codeschlüssels auf der Basis der Manipulationen durch den Benutzer an wenigstens einem Abschnitt des angezeigten Symbols; d) Verwenden des Codeschlüssels in Verbindung mit gespeicherter Authentisierungsinformation, die zur Erfüllung der Authentisierungsanforderungen der sicheren Anwendung erforderlich ist, um ein Resultat zu erzeugen; e) Liefern des Resultats an die sichere Anwendung; und f) Genehmigen des Benutzerzugriffs auf die sichere Anwendung, wenn das Resultat die Authentisierungsanforderungen der sicheren Anwendung unterstützt.
Verfahren nach Anspruch 1, wobei die Authentisierungsinformation, die zum Erfüllen der Authentisierungsanforderungen der sicheren Anwendung erforderlich ist, in verschlüsselter Form gespeichert ist, und der Codeschlüssel dazu verwendet wird, die Authentisierungsinformation zum Erzeugen des Resultats zu entschlüsseln.
Verfahren nach Anspruch 2, wobei der Schritt der Erzeugung des Codeschlüssels ferner die Schritte der Erzeugung eines Layouts (Gruppierungsanordnung) auf der Basis der Manipulation durch den Benutzer wenigstens eines Abschnittes des angezeigten Symbols, und der Verarbeitung des Layouts mit einer nicht umkehrbaren Einwegfunktion aufweist, um den Codeschlüssel für die Entschlüsselung der Authentisierungsinformation zu erzeugen.
Verfahren nach Anspruch 1, 2 oder 3, wobei die Authentisierungsinformation so formatiert wird, dass sie mit den Authentisierungsanforderungen der sicheren Anwendung kompatibel ist.
Verfahren nach einem der vorstehenden Ansprüche, wobei die Authentisierungsinformation an einer für die sichere Anwendung zugänglichen Stelle gespeichert wird.
Verfahren nach einem der Ansprüche 1 bis 4, wobei die Authentisierungsinformation am Ort des Benutzers gespeichert wird.
Verfahren nach Anspruch 2, wobei der Schritt der Entschlüsselung der Authentisierungsinformation unter Verwendung des Codeschlüssels ferner den Schritt der Zuordnung der Authentisierungsinformation zu einem durch die sichere Anwendung spezifizierten Format aufweist.
Verfahren nach einem der vorstehenden Ansprüche, welches ferner den Schritt aufweist, dem Benutzer zu erlauben, Schritte nach dem Empfang einer Rücksetzanforderung zu wiederholen.
Verfahren nach einem der vorstehenden Ansprüche, wobei der Schritt der Lieferung einer Authentisierungsanforderung die Lieferung einer Vielzahl von Authentisierungsanforderungen an den Benutzer für einen Zugriff auf die sichere Anwendung aufweist.
Verfahren nach Anspruch 1 oder 2, mit einem Schritt einer Speicherung von Authentisierungsinformation, welcher eine Impfung der Authentisierungsinformation mit einem Zufallswert aufweist; und wobei der Schritt einer Lieferung einer Authentisierungsanforderung an den Benutzer das Impfen der Authentisierungsanforderung mit dem Zufallswert aufweist.
Verfahren nach Anspruch 1, mit einem Schritt einer Speicherung der Authentisierungsinformation, welcher das Speichern von Authentisierungsinformation, die für einen Zugriff auf mehrere sichere Anwendungen erforderlich ist, in verschlüsselter Form aufweist.
Verfahren nach Anspruch 11, wobei jede von den mehreren Anwendungen die selbe Authentisierungsinformation erfordert.
Verfahren nach Anspruch 11, wobei wenigstens eine von den mehreren Anwendungen nicht die selbe Authentisierungsinformation wie die anderen Anwendungen benötigt.
Verfahren nach einem der vorstehenden Ansprüche, das den Schritt der Bestimmung des Typs eines dem Benutzer anzuzeigenden Symbols entsprechend einer dem Benutzer geläufigen Erfahrung durch den Benutzer aufweist.
Verfahren nach einem der vorstehenden Ansprüche, wobei das Symbol ein graphisches Symbol ist.
Verfahren nach Anspruch 2, mit den Schritten der Erzeugung eines Layouts als Reaktion auf die Manipulation wenigstens eines Teils des angezeigten Symbols durch den Benutzer; Umwandeln des Layouts in ein mathematisches Ergebnis; und Verarbeiten des mathematischen Ergebnisses mit einer nicht umkehrbaren Einwegfunktion zum Erzeugen des Codeschlüssels.
Verfahren nach Anspruch 16, wobei das Resultat der Entschlüsselung der verschlüsselten Authentisierungsfunktion unter Verwendung des Codeschlüssels einem Format zugeordnet wird, das mit der Anwendung kompatibel ist, und das zugeordnete Resultat zur Durchführung von Aktionen genutzt wird, um die Authentisierungserfordernisse der sicheren Anwendung als Reaktion auf eine Anforderung durch die sichere Anwendung zu erfüllen.
Verfahren nach Anspruch 16 oder 17, wobei das Layout in einen binären String auf der Basis der Manipulationen durch den Benutzer umgewandelt wird.
Verfahren nach Anspruch 16 oder 17, wobei der Schritt der Umwandlung des Layouts ferner die Verarbeitung des Resultats mit einer Einweg-Hash-Funktion aufweist.
Verfahren nach Anspruch 17, wobei der Schritt der Zuordnung des Resultats ferner die Schritte der Ermittlung der speziellen sicheren Anwendung umfasst, und die Verwendung des Codeschlüssels, um die für den Zugang zu der sicheren Anwendung erforderliche Authentisierung zu erzeugen.