EA003374B1 - System and method for enabling secure access to services in a computer network - Google Patents
System and method for enabling secure access to services in a computer network Download PDFInfo
- Publication number
- EA003374B1 EA003374B1 EA200100257A EA200100257A EA003374B1 EA 003374 B1 EA003374 B1 EA 003374B1 EA 200100257 A EA200100257 A EA 200100257A EA 200100257 A EA200100257 A EA 200100257A EA 003374 B1 EA003374 B1 EA 003374B1
- Authority
- EA
- Eurasian Patent Office
- Prior art keywords
- client
- service
- applet
- security
- establishing
- Prior art date
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/34—Network arrangements or protocols for supporting network services or applications involving the movement of software or configuration parameters
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/029—Firewall traversal, e.g. tunnelling or, creating pinholes
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
- H04L63/105—Multiple levels of security
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/16—Implementing security features at a particular protocol layer
- H04L63/168—Implementing security features at a particular protocol layer above the transport layer
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer And Data Communications (AREA)
- Storage Device Security (AREA)
Abstract
Description
Изобретение относится к компьютерным сетям и, более конкретно, к системе и способу обеспечения безопасного доступа к сервисам в компьютерной сети.The invention relates to computer networks and, more specifically, to a system and method for providing secure access to services in a computer network.
Уровень техникиThe level of technology
На ранней стадии развития сети Интернет представлял среду, ориентированную на поиск, где пользователи и главные компьютеры были заинтересованы в свободном и открытом обмене информацией и где пользователи и главные компьютеры взаимно доверяли друг другу. Однако сеть Интернет существенно расширилась и в настоящее время связывает между собой около 100.000 компьютерных сетей и несколько миллионов пользователей. По причине большого размера и открытости Интернет в ней стали нередкими кражи данных, подмены данных и причинения другого вреда.At an early stage of development, the Internet represented a search-oriented environment where users and host computers were interested in the free and open exchange of information and where users and host computers trusted each other mutually. However, the Internet has expanded significantly and currently connects about 100,000 computer networks and several million users. Due to the large size and openness of the Internet, it has become commonplace to steal data, replace data and cause other harm.
Практически каждый в Интернете уязвим. Перед установкой соединения компании сопоставляют выгоды от предоставления соединения через Интернет с рисками нарушения безопасности. Современные технологии обеспечения безопасности помогают обеспечить установление подлинности клиента и сервера, конфиденциальность данных, контроль сохранности системы и контроль доступа в систему.Virtually everyone on the Internet is vulnerable. Before establishing a connection, companies compare the benefits of providing an Internet connection with the risks of security breaches. Modern security technologies help to ensure client and server authentication, data confidentiality, system security control and system access control.
Наиболее распространенной из современных технологий обеспечения безопасности является брандмауэр (система защиты доступа), который включает в себя промежуточную систему, расположенную между подопечной сетью и Интернетом. Брандмауэр представляет собой внешний периметр обеспечения безопасности для предотвращения установления несанкционированного сеанса связи между подопечной сетью и Интернетом. Брандмауэр может включать в себя маршрутизаторы просмотра, проксисерверы (модули-посредники или серверыпосредники) и шлюзы на уровне приложения.The most common modern security technology is the firewall (access protection system), which includes an intermediate system located between the trust network and the Internet. A firewall is an external security perimeter to prevent unauthorized communication between the trust network and the Internet. A firewall can include browsing routers, proxy servers (mediation modules or server mediators), and application level gateways.
Чтобы пользователи смогли через Интернет получить доступ к защищенным сервисам в подопечной сети, от них могут потребовать предоставить свои реквизиты брандмауэру при помощи определенных приемов, таких как ввод пароля, либо путем вычисления ответа на вызов с использованием аппаратного ключа (устройство установления подлинности). При должном установлении подлинности пользователю разрешается пройти через брандмауэр в локальную сеть, но в типичном случае возможности пользователя ограничиваются заранее определенной группой сервисов, например, электронной почтой, получением файлов по протоколу РТР (Рбе ТгапкГег Рго1оео1 - протокол передачи файлов) и т.п.In order for users to access secured services in the trust network via the Internet, they may be required to provide their details to the firewall using certain techniques, such as entering a password, or by calculating a call response using a hardware key (authentication device). With proper authentication, the user is allowed to go through the firewall to the local network, but in a typical case, the user's capabilities are limited to a predetermined group of services, for example, e-mail, receiving files using the PTP protocol (Rbe TgapkGeg Pro1eoo1 - file transfer protocol), etc.
Некоторые администраторы локальных сетей устанавливают непосредственно перед брандмауэром с внешней стороны сервер для хранения неконфиденциальных данных, часто называемый «жертвенной овцой», который легко доступен для удаленного пользователя, но обеспечивает низкую степень безопасности.Some local area administrators, directly in front of the firewall on the outside, install a server to store non-confidential data, often called a “sacrificial sheep”, which is easily accessible to a remote user but provides a low degree of security.
Между двумя брандмауэрами, защищающими подопечную сеть, размещается «демилитаризованная зона» (ΌΜΖ, Ое-МПЦапхеб 2оие). Внешний брандмауэр защищает серверы, находящиеся в зоне ΌΜΖ, от внешней угрозы, в то же время делая возможным запросы по протоколу НТТР (НурегТех! ТгапкГег Рго1оео1 - протокол передачи гипертекста). Внутренний брандмауэр защищает подопечную сеть в случае, если один из серверов в зоне ΌΜΖ подвергается опасности. Многие компании используют зоны ΌΜΖ для поддержания функционирования своих \УеЬ-серверов.Between the two firewalls that protect the trust network, there is a “demilitarized zone” (ΌΜΖ, Oe-ScApcheb 2oie). An external firewall protects servers located in zone ΌΜΖ from an external threat, while at the same time making it possible to make requests using the HTTP protocol (NuregTech! Target Header Proto1 - hypertext transfer protocol). The internal firewall protects the trust network in case one of the servers in zone ΌΜΖ is in danger. Many companies use the ΌΜΖ zones to maintain the functioning of their \ uye-servers.
Другой технологией обеспечения безопасности, применяемой для защиты компьютерных сетей, является выдача и использование сертификатов общедоступных ключей. Сертификаты общедоступных ключей выдаются лицу поставщиком сертификатов, который при помощи определенного метода удостоверяет реквизиты лица и выдает сертификат, указывающий имя лица и общедоступный ключ. В доказательство подлинности поставщик сертификатов подписывает сертификат лица электронной подписью, используя личный ключ поставщика сертификатов.Another security technology used to protect computer networks is the issuance and use of public key certificates. Certificates of public keys are issued to the person by the certificate provider, who, using a certain method, certifies the details of the person and issues a certificate indicating the name of the person and the public key. To prove the authenticity, the certificate provider shall electronically sign the person’s certificate using the certificate provider’s private key.
Таким образом, когда пользователь через компьютер-клиент соединяется с сервером, компьютер-клиент и сервер обмениваются сертификатами общедоступных ключей. Каждая из сторон проверяет подлинность принятых сертификатов, используя общедоступный ключ поставщика сертификатов для проверки подписи в сертификате. Затем, при помощи шифрования сообщений с использованием общедоступного ключа сервера пользователь может осуществлять сеансы безопасной передачи данных серверу, и при помощи шифрования сообщений с использованием общедоступного ключа пользователя сервер может осуществлять сеансы безопасной передачи данных пользователю. Хотя сертификат общедоступного ключа может представить любое лицо, только реальный пользователь и реальный ведущий компьютер имеют соответствующий личный ключ, необходимый для дешифрования сообщения. Примерами систем компьютерной безопасности с выдачей ключей и установлением подлинности являются система безопасности КегЬегок™, разработанная Массачусетским Технологическим Институтом, и система безопасности №18Р™, разработанная ΙΒΜ Согрогабои.Thus, when a user connects to a server through a client computer, the client computer and the server exchange public key certificates. Each party verifies the authenticity of the received certificates using the public key of the certificate provider to verify the signature on the certificate. Then, by encrypting messages using a public server key, a user can securely transfer data to the server, and by encrypting messages using a public user key, the server can securely transmit data to the user. Although a public key certificate can be presented by any person, only the real user and the real host computer have the corresponding private key necessary to decrypt the message. Examples of computer security systems with key distribution and authentication are the Kegögök ™ security system, developed by the Massachusetts Institute of Technology, and Security System No. 18Р ™, developed by ΙΒΜ Sogrogaboi.
Данные технологии обеспечения безопасности не рашают проблем, связанных с перемещающимся (осуществляющих роуминг) пользователем. Для перемещающегося пользователя поддержание информации по идентификации и установлению подлинности, например, паролей, сертификатов, ключей и т.п., является обреме3 нительным процессом. Кроме того, доступ к разным системам требует разных ключей, которые часто сложно отслеживать и применять. Более того, прямой доступ к системам подвергают риску безопасность. Следовательно, существует потребность в системе и способе для обеспечения удаленного доступа к компьтерным сервисам легким и безопасным образом.These security technologies do not solve the problems associated with a roaming (roaming) user. For a roaming user, maintaining identification and authentication information, such as passwords, certificates, keys, etc., is a burdensome process. In addition, access to different systems requires different keys, which are often difficult to track and use. Moreover, direct access to systems puts security at risk. Therefore, there is a need for a system and method for providing remote access to computer services in an easy and secure manner.
Сущность изобретенияSummary of Invention
В соответствии с изобретением предложены система и способ обеспечения безопасного доступа к сервисам в компьютерной сети. Система сети включает в себя глобальный сервер, связанный через компьютерную сеть с компьютерными сервисами. Глобальный сервер включает в себя подсистему обеспечения связи, предназначенную для установления линии связи с клиентом; средство обеспечения безопасности, связанное с подсистемой обеспечения связи предназначенное для определения прав клиента; главную подсистему управления сервлетами, связанную со средством обеспечения безопасности и предназначенную для предоставления клиенту, исходя из прав клиента, апплета, который делает возможным обмен данными (Ι/Ο ίηριιΐ/οιιΐριιΐ) с безопасным сервисом; и библиотеку ключей, предназначенную для хранения ключей, которые делают возможным доступ к безопасным сервисам. Глобальный сервер может быть связан с множеством сайтов, где каждый сайт предоставляет множество сервисов. Каждый сайт может быть защищен брандмауэром. Соответственно, глобальный сервер хранит ключи для предоставления связи через брандмауэры с упомянутыми сервисами.In accordance with the invention, a system and method for providing secure access to services in a computer network is proposed. The network system includes a global server connected via computer network with computer services. The global server includes a communication subsystem designed to establish a communication link with a client; security tool associated with the communication subsystem designed to determine the rights of the client; the main servlet management subsystem associated with a security tool designed to provide the client, based on client rights, with an applet that makes it possible to exchange data (Ι / Ο ίηριιΐ / οιιΐριιΐ) with a secure service; and a key library for storing keys that make it possible to access secure services. A global server can be associated with a variety of sites, where each site provides multiple services. Each site can be protected by a firewall. Accordingly, the global server stores the keys to provide communication through the firewalls with these services.
Способ включает в себя этапы установления линии связи с клиентом; идентификации и установления подлинности клиента; определения прав клиента; предоставления клиенту, исходя из прав клиента, апплета, который делает возможным обмен данными с безопасным сервисом; и извлечения ключа, который делает возможным доступ к безопасному сервису.The method includes the steps of establishing a communication line with a client; customer identification and authentication; determining client rights; providing the client, on the basis of the rights of the client, an applet that makes it possible to exchange data with a secure service; and retrieving a key that makes it possible to access a secure service.
Преимуществом системы и способа по настоящему изобретению является обеспечение глобально доступной подопечной третьей стороны, т.е. глобального сервера. Эта подопечная третья сторона безопасным образом хранит ключи и работает как единый сервис идентификации и установления подлинности. Доступ к другим системам может осуществляться через глобальный сервер. Глобальный сервер использует хранящиеся ключи для установления подлинности пользователя под реквизитами, которые воспринимаются существующими сервисами обеспечения безопасности других систем, и устанавливает безопасный канал связи с требуемым сервисом. Благодаря глобальному брандмауэру, глобальный сервер, по существу, защищен от внешней угрозы. Соответственно, глобальный сервер предоставляет имеющим полномочия клиентам безопасную связь через брандмауэры с сервисами. Глобальный сервер может обеспечивать сервисы идентификации и установления подлинности нескольких уровней. Соответственно, глобальный сервер может предоставлять несколько уровней доступа к ресурсам, исходя из статуса пользователя, степени идентификации и установления подлинности, а также из конфиденциальности канала связи.The advantage of the system and method of the present invention is to provide a globally accessible third party trust, i.e. global server. This trust third party stores keys securely and works as a single identification and authentication service. Access to other systems can be done through a global server. The global server uses the stored keys to authenticate the user under credentials that are perceived by existing security services of other systems, and establishes a secure communication channel with the required service. Thanks to the global firewall, the global server is essentially protected from external threats. Accordingly, the global server provides authorized clients with secure communications through firewalls with services. A global server can provide identification and authentication services at multiple levels. Accordingly, the global server can provide several levels of access to resources, based on the status of the user, the degree of identification and authentication, and the confidentiality of the communication channel.
Благодаря глобальному брандмауэру и предоставляемым глобальным сервером сервисам идентификации и установления подлинности, корпорации могут хранить на глобальном сервере относительно секретную информацию, предназначенную для использования имеющими полномочия клиентами. Также, настоящее изобретение позволяет корпорациям размещать на глобальном сервере лишь часть своей секретной информации, в результате чего, если система подопечной третьей стороны подвернется опасности, то потеряется лишь данный ограниченный объем информации. Кроме того, преимущество глобального сервера состоит в том, что он действует как модуль-посредник клиента, предназначенный для управления доступом к сервисам, регистрации использования ключей и регистрации доступа к ресурсам.Thanks to the global firewall and the identity and authentication services provided by the global server, corporations can store relatively secret information on the global server for use by authorized clients. Also, the present invention allows corporations to place on the global server only a part of their secret information, as a result of which, if the third-party trust system is in danger, only this limited amount of information will be lost. In addition, the advantage of the global server is that it acts as a client mediation module designed to control access to services, register key usage and register access to resources.
Перечень фигур чертежейList of drawings
Фиг. 1 - структурная схема, иллюстрирующая систему доступа к сети с роумингом пользователей согласно настоящему изобретению;FIG. 1 is a block diagram illustrating a network access system with roaming users according to the present invention;
фиг. 2 - схема, иллюстрирующая подробную структуру примерного клиента, представленного на фиг. 1;FIG. 2 is a diagram illustrating the detailed structure of the exemplary client shown in FIG. one;
фиг. 3 - схема, иллюстрирующая подробную структуру глобального сервера, представленного на фиг. 1;FIG. 3 is a diagram illustrating the detailed structure of the global server shown in FIG. one;
фиг. 4 - схема, иллюстрирующая подробную структуру примерного представляющего сервис сервера, представленного на фиг. 1;FIG. 4 is a diagram illustrating the detailed structure of an exemplary service representing server represented in FIG. one;
фиг. 5 - блок-схема, иллюстрирующая способ удаленного доступа к безопасному сервису;FIG. 5 is a flowchart illustrating a method for remote access to a secure service;
фиг. 6 - блок-схема, иллюстрирующая подробную структуру представленного на фиг. 5 этапа создания линии связи между клиентом и глобальным сервером, представленным на фиг. 1;FIG. 6 is a block diagram illustrating the detailed structure shown in FIG. 5 stages of creating a communication line between the client and the global server shown in FIG. one;
фиг. 7 - пример АсЬ-страницы;FIG. 7 is an example of an AsL page;
фиг. 8а - блок-схема, иллюстрирующая подробную структуру представленного на фиг. 5 этапа доступа к сервису по первому варианту осуществления изобретения;FIG. 8a is a block diagram illustrating the detailed structure shown in FIG. 5 stages of access to the service in the first embodiment of the invention;
фиг. 8Ь - блок-схема, иллюстрирующая подробную структуру представленного на фиг. 5 этапа доступа к сервису по второму варианту осуществления изобретения; и фиг. 8с - блок-схема, иллюстрирующая подробную структуру представленного на фиг.FIG. 8b is a block diagram illustrating the detailed structure shown in FIG. 5 stages of access to the service according to the second embodiment of the invention; and FIG. 8c is a block diagram illustrating the detailed structure shown in FIG.
этапа доступа к сервису по третьему варианту осуществления изобретения.stages of access to the service according to the third embodiment of the invention.
Подробное описание предпочтительного варианта осуществления изобретенияDetailed Description of the Preferred Embodiment of the Invention
На фиг. 1 представлена структурная схема, иллюстрирующая примерную систему 100 доступа к сети перемещающегося пользователя согласно настоящему изобретению. Система 100 включает в себя сеть взаимосвязанных компьютеров, обозначаемую здесь как «Интернет» 102. Кроме того, система 100 включает в себя сеть 112 первой компании, сеть 118 второй компании, сеть 138 киоска и сеть 143 Интернетпровайдера (Ι8Ρ - 1п1сгпс1 8ету1се РтоуЫет), при этом каждая из сетей связана с Интернетом 102.FIG. 1 is a block diagram illustrating an exemplary roaming user network access system 100 according to the present invention. The system 100 includes a network of interconnected computers, referred to herein as the “Internet” 102. In addition, the system 100 includes a first company network 112, a second company network 118, a kiosk network 138 and an Internet provider network 143 (“8” - 1n1gsgps1 8etu1se Retout) however, each of the networks is connected to the Internet 102.
Сеть 112 компании включает в себя брандмауэр 116, установленный между Интернетом 102 и компьютером-клиентом 114а. Сеть 118 компании включает в себя брандмауэр 120, установленный между Интернетом 102 и внутренней сетевой магистралью 126 передачи сигнала. Сеть 118 компании, кроме того, включает в себя первый сервер 108а для предоставления первого сервиса 110а, второй сервер 108Ь для предоставления второго сервиса 110Ь, первый компьютер-клиент 114Ь, хранящий программу для предоставления третьего сервиса 110с и второй компьютер-клиент 114с, при этом каждый из компьютеров связан с магистралью 126 передачи сигнала. Примерные сервисы 110а110й содержат сервисную программу электронной почты, сервисную программу адресной книги, сервисную программу ежедневника, сервисную программу пейджинга и сервисную программу базы данных компании.The company network 112 includes a firewall 116 installed between the Internet 102 and the client computer 114a. The company's network 118 includes a firewall 120 installed between the Internet 102 and the internal network signal transmission backbone 126. The company network 118 further includes a first server 108a for providing the first service 110a, a second server 108b for providing the second service 110b, a first client computer 114b storing a program for providing the third service 110c and a second client computer 114c, while each of the computers is connected to the signal transmission highway 126. Approximate services 110a110y contain an e-mail service program, an address book service program, a diary service program, a paging service program, and a company database service program.
Сеть 138 киоска включает в себя первый компьютер-клиент 114й и второй компьютерклиент 114е, каждый из которых связан с Интернетом 102. Сеть 143 Интернет-провайдера включает в себя Интернет-провайдера 148, связанного по беспроводному каналу 146 с первым компьютером-клиентом 114Г и связанного через модемы 152 и 156 и проводную линию 154 со вторым компьютером-клиентом 114д.The kiosk network 138 includes the first client computer 114th and the second client computer 114e, each of which is connected to the Internet 102. The ISP network 143 includes the ISP 148 connected via the wireless channel 146 to the first client computer 114G and the associated via modems 152 and 156 and wired line 154 with a second client computer 114d.
Интернет 102 включает в себя глобальный сервер 106, который защищен глобальным брандмауэром 104, а также сервер 108с, предназначенный для предоставления сервиса 110й. Взаимный обмен данными между компьютерами-клиентами 114а-114д и сервисами 110а-110й осуществляется через глобальный сервер 106. Например, если пользователь, использующий любой из компьютеров-клиентов 114а-114д, хочет обратиться к сервису 110а-110й (который находится в неизвестном для пользователя местоположении в пределах системы 100), то для доступа к \УеЬ-странице. поддерживаемой глобальным сервером 106, пользователь использует известный иРЬ-адрес (ИшГогт Векоитсе ЬосаЮг - универсальный указатель ресурса). Примерная ^еЬ-страница 700 показана на фиг. 7 и описана с использованием этого рисунка. Глобальный брандмауэр 104 защищает глобальный сервер 106 от внешней угрозы.The Internet 102 includes a global server 106, which is protected by global firewall 104, as well as a server 108c designed to provide a 110th service. The mutual exchange of data between client computers 114a-114d and services 110a-110y takes place via the global server 106. For example, if a user using any of the client computers 114a-114d wants to access service 110a-110y (which is located in an unknown user location within the system 100), then to access the \ AU-page. supported by the global server 106, the user uses the well-known IPF address (IshGogt Vekoitse Bososa - universal resource locator). An exemplary ^ eb page 700 is shown in FIG. 7 and described using this figure. The global firewall 104 protects the global server 106 from external threats.
Перед получением прав доступа к функциональным возможностям, представляемым глобальным сервером 106, пользователь должен сначала получить разрешение от глобального сервера 106. Получение разрешения в типичном случае требует идентификации и установления подлинности пользователя, например, с использованием сертификатов общедоступных ключей. Установив подлинность, глобальный сервер 105 предоставляет пользователю доступ к сервисам 110а-110й. Очевидным является, что, в зависимости от разной степени идентификации и установления подлинности, а также в зависимости от конфиденциальности канала связи, будут разрешены разные уровни доступа к сервисам 110а-110й.Before obtaining access rights to the functionality provided by the global server 106, the user must first obtain permission from the global server 106. Obtaining permission typically requires identification and authentication of the user, for example, using public key certificates. Having established authenticity, the global server 105 provides the user with access to services 110a-110y. It is obvious that, depending on the different degrees of identification and authentication, as well as depending on the confidentiality of the communication channel, different levels of access to services 110a-110 will be allowed.
Чтобы обеспечить пользователю доступ к сервисам 110а-110й и управление ими, глобальный сервер 106 может использовать обычные апплеты, сервлеты или агенты в распределенной сетевой среде, такой как распределенная среда 1ауа™, созданная ИеЫсаре Сотротайоп. Глобальный сервер 106 предоставляет доступ к сервису 110а-110й и управление им компьютеруклиенту пользователя. Глобальный сервер 106 может перенаправить компьютер-клиент пользователя для непосредственного доступа к сервису 110а-110й самого компьютера-клиента, глобальный сервер 106 может сам обратиться к сервису 110а-110й и предоставить обмен данными компьютеру-клиенту при помощи модуляпосредника, или глобальный сервер 106 может предоставить сервис 110а-110й сам. Эти три различных режима доступа к сервисам 110а110й описаны с использованием фиг. 8А - 8С.To provide the user with access to and control of services 110a-110y, global server 106 may use conventional applets, servlets, or agents in a distributed network environment, such as the 1ААА distributed environment created by IeSare Sotratoyop. The global server 106 provides access to and management of the 110a-110y service by the user's computer. The global server 106 can redirect the user's client computer to directly access the 110a-110y service of the client computer itself, the global server 106 itself can access the 110a-110y service and provide data exchange to the client computer using the mediator module, or the global server 106 can provide service 110a-110y itself. These three different access modes for services 110a1o are described using FIG. 8A - 8C.
Глобальный сервер 106 хранит сетевые адреса всех сервисов 110а-110ф общедоступные и личные ключи пользователя, номера счетов пользователя, информацию по установлению подлинности брандмауэром и т.д. Информация по установлению подлинности брандмауэром включает необходимую идентификацию, пароли и сертификаты, необходимые для прохождения брандмауэров 116 и 120. Соответственно, пользователю необходимо хранить лишь иВЬ-адрес глобального сервера 106 и такую информацию по идентификации и установлению подлинности, как пароль или аппаратный ключ, необходимые для получения доступа к функциональным возможностям глобального сервера 106. Таким образом, перемещающийся пользователь может обращаться к компьютерным сервисам 110а-110ф используя любой компьютерный терминал, который соединен с Интернетом 102.The global server 106 stores the network addresses of all services 110a-110f of the public and private user keys, user account numbers, firewall authentication information, etc. The authentication information of the firewall includes the necessary identification, passwords and certificates required to pass through the firewalls 116 and 120. Accordingly, the user only needs to store the VI address of the global server 106 and identification and authentication information such as a password or hardware key needed to accessing the functionality of the global server 106. Thus, a roaming user can access computer services 110a-110f using any A computer terminal that is connected to the Internet 102.
На фиг. 2 представлена схема, иллюстрирующая подробную структуру компьютераклиента 114, при этом каждый из клиентов 114а-114й является частным случаем клиента 114. Клиент 114 включает в себя центральный процессор (ЦП) 210, например, микропроцессор Мо1ото1а Ро\\сг РС® или микропроцессор I п1е1 Репйит®. С ЦП 210 посредством шины 240 передачи сигнала связаны устройство 220 ввода, например, клавиатура и мышь, и устройство 230 вывода, например, монитор с ЭЛТ (электроннолучевой трубкой). Кроме этого с ЦП 210 посредством шины 240 передачи сигнала связаны интерфейс 250 связи, устройство 260 хранения данных, например, ПЗУ (постоянное запоминающее устройство) или магнитный диск, и ОЗУ (оперативное запоминающее устройство) 270. Интерфейс 250 связи компьютера-клиента 114 связан с Интернетом 102, как показано на фиг. 1 и описано со ссылкой на нее.FIG. 2 is a diagram illustrating the detailed structure of the client computer 114, with each of the clients 114a-114y being a particular case of the client 114. The client 114 includes a central processing unit (CPU) 210, for example, a mono-processor microprocessor or a microprocessor p1e1 Repyit®. The input device 220, for example, a keyboard and a mouse, and an output device 230, for example, a monitor with a CRT (CRT), are connected to the CPU 210 via a signal transmission bus 240. In addition, a communication interface 250, a data storage device 260, such as a ROM (read-only memory) or a magnetic disk, and a RAM (random access memory) 270 are connected to the CPU 210 via the signal transmission bus 240. The communication interface 250 of the client computer 114 is connected to Internet 102, as shown in FIG. 1 and described with reference to it.
Операционная система 280 содержит программу для управления обработкой, выполняемой ЦП 210, в типичном случае хранится в устройстве 260 хранения данных и загружается в ОЗУ 270 для выполнения. Операционная система 280 содержит подсистему 282 обеспечения связи, предназначенную для создания и пересылки пакетов сообщений в Интернет 106 и получения пакетов сообщений из Интернета 106 через интерфейс 250 связи.Operating system 280 includes a program for controlling the processing performed by CPU 210, typically stored in storage device 260 and loaded into RAM 270 for execution. Operating system 280 includes a communications subsystem 282 for creating and forwarding message packets to the Internet 106 and receiving message packets from the Internet 106 through the communication interface 250.
Кроме того, операционная система 280 содержит подсистему для Интернета, такую как ^еЬ-браузер 284, например, ^еЬ-браузер №1ксаре ΝανφαΙΟΓ™. созданный Ыейсаре Согрога1ίοη, или 1п1егпе1 Ехр1огег™, созданный М1сго8ой Согрогабоп. ^еЬ-браузер 284 содержит подсистему 285 шифрования, предназначенную для шифрования сообщений с использованием общедоступных и личных ключей, и подсистему 286 управления апплетами, предназначенную для выполнения апплетов 288, загруженных с глобального сервера 106, чтобы сделать возможным доступ к компьютерным сервисам 110а-1106. Загруженные апплеты 288 могут включать в себя апплеты 290 обеспечения безопасности, предназначенные для осуществления таких сервисов, как идентификация и установление подлинности пользователя, сервисы по обеспечению целостности сообщений и проверка сертификатов. Кроме того, браузер 284 принимает (см. фиг. 3) данные 391 ^еЬ-страницы, данные 390 конфигурации и информацию, идентифицирующую группу выбираемых сервисов 110а-1106, и использует данную информацию для отображения \УеЬ-страницы 700 (см. фиг. 7). ^еЬ-браузер 284 позволяет пользователю посредством клиента 114а-114д выбрать для выполнения один из сервисов 110а-1106.In addition, the operating system 280 contains a subsystem for the Internet, such as the ^ eB browser 284, for example, the ^ eB browser No. 1 ΝανφαΙΟΓ ™. created by Yisare Sogrog1ίοη, or 1p1gpe1 Expr1grg ™, created by the Moscow Sogrogabop. ^ eB browser 284 contains an encryption subsystem 285 designed to encrypt messages using public and private keys, and an applet management subsystem 286 designed to run applets 288 downloaded from the global server 106 to allow access to computer services 110a-1106. Loaded applets 288 may include security applets 290 for implementing services such as user authentication and authentication, message integrity services, and certificate validation. In addition, the browser 284 receives (see FIG. 3) the data 391 ^ of the eB page, the configuration data 390, and information identifying the group of selectable services 110a-1106, and uses this information to display the \ UE page 700 (see FIG. 7). The ^ eB browser 284 allows the user, through the client 114a-114d, to select one of the services 110a-1106 for execution.
Очевидным является, что каждый из клиентов 114а-114д, например клиент 114Ь, может включать в себя подсистему 490 выполнения сервиса (см. фиг. 4), предназначенную для предоставления сервисов 110а-1106, например сервиса 110с. Таким образом, пользователь, использующий клиента 114Ь, может запросить доступ к сервису 110с через глобальный сервер 106, не зная, что сервис 110с предоставляется клиентом 114Ь. Соответственно, глобальный сервер 106 предоставит клиенту 114 апплет 288, обеспечивающий для интерфейса пользователя обмен данными с сервисом 110с непосредственно через клиента 114Ь.It is obvious that each of the clients 114a-114d, for example, the client 114b, may include a service execution subsystem 490 (see FIG. 4) designed to provide services 110a-1106, for example, the service 110c. Thus, a user using client 114b may request access to service 110c via global server 106 without knowing that service 110c is provided by client 114b. Accordingly, the global server 106 will provide the client 114 with an applet 288 that allows the user interface to communicate with the service 110c directly through the client 114b.
На фиг. 3 представлена схема, иллюстрирующая подробную структуру глобального сервера 106, который включает в себя ЦП 310, например, микропроцессор Мо1ого1а Ро\гег РС® или микропроцессор 1п1е1 Репйиш. С ЦП 310 посредством шины 340 передачи сигнала связаны устройство 320 ввода, например клавиатура и мышь, и устройство 330 вывода, например монитор с ЭЛТ. Кроме этого с ЦП 310 посредством шины 340 передачи сигнала связаны интерфейс 350 связи, устройство 360 хранения данных, например ПЗУ или магнитный диск, и ОЗУ 370. Интерфейс 350 связи соединен обычным образом как часть Интернета 102 с клиентами 114. Хотя глобальный сервер 106 приведен как один компьютер, очевидным является, что глобальный сервер 106 может включать в себя множество компьютеров, объединенных в сеть.FIG. 3 is a schematic diagram illustrating the detailed structure of the global server 106, which includes the CPU 310, for example, the Mogilea Ro'Geg PC® microprocessor or the 1p1R1 Replicate microprocessor. An input device 320, such as a keyboard and a mouse, and an output device 330, such as a CRT monitor, are connected to the CPU 310 via a signal transmission bus 340. In addition, the communication interface 350, a storage device 360, such as a ROM or a magnetic disk, and RAM 370 are connected to the CPU 310 via the signal transmission bus 340. The communication interface 350 is connected in the usual way as part of the Internet 102 to the clients 114. Although the global server 106 is shown as one computer, it is obvious that the global server 106 may include multiple computers networked together.
Операционная система 380 содержит программу для управления обработкой, выполняемой ЦП 310, в типичном случае хранится в устройстве 360 хранения данных и загружается в ОЗУ 370 для выполнения. Операционная система 380 содержит подсистему 382 обеспечения связи, предназначенную для создания и пересылки пакетов сообщений на компьютерыклиенты 114 и получения пакетов от компьютеров-клиентов 114 через интерфейс 350 связи.The operating system 380 includes a program for managing the processing performed by the CPU 310, typically stored in the storage device 360 and loaded into the RAM 370 for execution. Operating system 380 includes a communications subsystem 382 for creating and forwarding message packets to client computers 114 and receiving packets from client computers 114 via the communications interface 350.
Кроме того, операционная система 380 содержит как часть глобального брандмауэра 104, сервисы 384 обеспечения безопасности, предназначенные для открытия канала связи с пользователями. Например, когда клиент пытается обратиться к глобальному серверу 106, сервисы 384 обеспечения безопасности сначала определяют, принимают ли глобальный сервер 106 внутрисистемную передачу данных от конкретного порта (не показан) и уполномочена ли главная подсистема 386 управления сервлетами, описанная ниже, на соединение с этим конкретным портом. Если эти условия соблюдаются, сервисы 384 обеспечения безопасности разрешают подсистеме 382 обеспечения связи открыть канал связи через конкретный порт с клиентом 114а-114д В противном случае канал открыт не будет.In addition, operating system 380 contains, as part of a global firewall 104, security services 384, designed to open a communication channel with users. For example, when a client attempts to access a global server 106, security services 384 first determine whether global server 106 is accepting intra-system data transfer from a specific port (not shown) and whether the main servlet control subsystem 386, described below, is authorized to connect to that particular by the port. If these conditions are met, security services 384 allow communication support subsystem 382 to open a communication channel through a specific port with client 114a-114d. Otherwise, the channel will not be opened.
Операционная система 380 дополнительно содержит ^еЬ-механизм 387, который, исходя из идентификации пользователя, степени установления подлинности пользователя и конфиденциальности канала связи, направляет клиенту 114а-114д данные 391 \УеЬ-страницы и информацию, идентифицирующую группу доступных сервисов 110а-1106. Пример \УеЬстраницы 700 показан на фиг. 7 и описан со ссылкой на эту фигуру. ^еЬ-подсистема 387 позволяет пользователю выбрать на вебстранице 700 сервис 110а-1106.The operating system 380 further comprises a ^ eb-mechanism 387, which, based on user identification, user authentication and confidentiality of the communication channel, sends to client 114a-114d data 391 \ hair pages and information identifying the group of available services 110a-1106. An example of page 700 is shown in FIG. 7 and described with reference to this figure. ^ eB-subsystem 387 allows the user to select service 110a-1106 on the webpage 700.
^еЬ-подсистема 387 включает в себя главную подсистему 386 управления сервлетами, которая загружает апплеты 290 обеспечения безопасности, в том числе и апплет установления подлинности (не показан), в компьютерклиент 114 и соответственно выполняет сервлет 397 установления подлинности, входящий в состав сервлетов 398 и предназначенный для осуществления сервисов идентификации и установления подлинности. Апплет 290 установления подлинности запрашивает у пользователя информацию по идентификации и установлению подлинности и затем сообщает данную информацию сервлету 397 установления подлинности. Сервлет 397 установления подлинности проверяет правильность данной информации. Следует отметить, что информация по установлению подлинности пользователя необязательно пересылается сервлету 397 установления подлинности, а ее существование и правильность подтверждаются посредством таких средств обеспечения безопасности, как криптографическое хеширование данных. Главная подсистема 386 управления сервлетами, кроме того, включает в себя подсистему 396 обеспечения безопасной связи, которая может использовать сертификаты общедоступных ключей для согласования безопасного канала связи с компьютеромклиентом 114.^ eB-subsystem 387 includes the main servlet management subsystem 386, which loads security applets 290, including the authentication applet (not shown), into the client computer 114 and performs the authentication servlet 397, included in the servlets 398 and designed to implement identification and authentication services. The authentication applet 290 queries the user for identification and authentication information and then reports this information to the authentication servlet 397. Authentication servlet 397 validates this information. It should be noted that user authentication information is not necessarily forwarded to the authentication servlet 397, and its existence and validity are confirmed through security measures such as cryptographic data hashing. The main servlet management subsystem 386 furthermore includes a secure communication subsystem 396 that can use public key certificates to negotiate a secure communication channel with the client computer 114.
При выборе сервиса 110а-1106 главная подсистема 386 управления сервлетами загружает в компьютер-клиент 114 соответствующий апплет 388, соответствующие данные 390 конфигурации и соответствующие данные 392 пользователя, а также, при необходимости, информацию 394 об адресе соответствующего сервиса. Данные 390 конфигурации включают в себя информацию, предназначенную для конфигурации АеЬ-браузера 284 пользователя, конфигурации загруженных апплетов 288 и конфигурации выбранного сервиса 110а-1106. Данные 392 пользователя могут включать в себя конкретную информацию, касающуюся взаимодействия пользователя с сервисом, например, сохраненные закладки, данные ежедневника, номера пейджеров и т.д., которые специально хранятся на глобальном сервере 106 для легкого доступа. Информация 394 об адресе сервиса указывает местоположение сервисов 110а-1106, предоставляемых в системе 100 глобальным сервером 106. Компьютер-клиент 114 выполняет соответствующий загруженный апплет 288, который через главную подсистему 386 управления сервлетами (возможно, используя соответствующий сервлет 398) позволяет пользователю получить доступ к соответствующим сервисам 110а-1106 и управлять ими. Загружаемые апплеты 388, данные 390 конфигурации, данные 392 пользователя и информация 394 об адресе сервиса могут храниться в устройстве 360 хранения данных.When selecting a service 110a-1106, the main servlet management subsystem 386 loads the corresponding applet 388, the corresponding configuration data 390 and the corresponding user data 392, and, if necessary, the information 394 about the address of the corresponding service into the client computer 114. The configuration data 390 includes information intended for configuring the AEB browser 284 of the user, the configuration of the loaded applets 288, and the configuration of the selected service 110a-1106. User data 392 may include specific information regarding user interaction with the service, for example, saved bookmarks, diary data, pager numbers, etc., that are specifically stored on the global server 106 for easy access. The service address information 394 indicates the location of the services 110a-1106 provided in the system 100 by the global server 106. The client computer 114 executes the corresponding loaded applet 288, which through the main servlet control subsystem 386 (possibly using the corresponding servlet 398) allows the user to access relevant services 110a-1106 and manage them. Downloadable applets 388, configuration data 390, user data 392, and service address information 394 may be stored in the storage device 360.
Библиотека 395 ключей представляет собой файл данных, предназначенный для хранения информации по идентификации каждого пользователя, общедоступных и личных ключей каждого пользователя, информации о пароле для каждого брандмауэра и т.д. Библиотека 395 ключей организована в формате списка с указателями, так что, исходя из выбранного сервиса 110а-1106, глобальный сервер 106 может извлечь информацию о пароле для соответствующего брандмауэра, информацию по идентификации и ключи для соответствующего пользователя. Библиотека 395 ключей может храниться в устройстве 360 хранения данных.The key library 395 is a data file for storing information on the identification of each user, public and private keys of each user, password information for each firewall, etc. The key library 395 is organized in a pointer list format, so that, based on the selected service 110a-1106, the global server 106 can retrieve password information for the corresponding firewall, identification information and keys for the corresponding user. The key library 395 may be stored in the storage device 360.
На фиг. 4 представлена схема, иллюстрирующая подробную структуру сервера 108 сервиса, при этом серверы 108а-108с и клиент 114Ь являются частными случаями сервера 108. Сервер 108 включает ЦП 410, например, микропроцессор Мо1ого1а Ро\тег РС® или микропроцессор 1и1е1 Репйиш. С ЦП 410 посредством шины 440 передачи сигнала связаны устройство 420 ввода, например, клавиатура и мышь, и устройство 430 вывода, например, монитор с ЭЛТ. Кроме этого с ЦП 410 посредством шины 440 передачи сигнала связаны интерфейс 450 связи, устройство 460 хранения данных, например, ПЗУ или магнитный диск, и ОЗУ 470. Интерфейс 450 связи соединен с клиентами 114, как показано на фиг. 1 и описано со ссылкой на эту фигуру.FIG. 4 is a diagram illustrating the detailed structure of the service server 108, wherein the servers 108a-108c and client 114b are particular cases of the server 108. The server 108 includes the CPU 410, for example, a MoneRoRo \ PC® microprocessor or an I11 Repyish microprocessor. The input device 420, for example, a keyboard and a mouse, and an output device 430, for example, a CRT monitor, are connected to the CPU 410 via a signal transmission bus 440. In addition, a communications interface 450, a data storage device 460, such as a ROM or a magnetic disk, and a RAM 470 are connected to the CPU 410 via a signal transmission bus 440. The communication interface 450 is connected to clients 114, as shown in FIG. 1 and described with reference to this figure.
Операционная система 480 содержит программу для управления обработкой, выполняемой ЦП 410, и в типичном случае хранится в устройстве 460 хранения данных и загружается в ОЗУ 470 для выполнения. Операционная система 480 также содержит подсистему 482 обеспечения связи, предназначенную для создания и пересылки пакетов сообщений на компьютерыклиенты 114 или глобальный сервер 106 и получения пакетов от компьютеров-клиентов 114 или глобального сервера 106 через интерфейс 450 связи. Кроме того, операционная система 480 содержит сервисы 484 обеспечения безопасности, предназначенные для согласования безопасного канала с пользователями, подсистему 486 обеспечения безопасной связи, предназначенный для открытия безопасного канала с пользователями, и подсистему 490 выполнения сервиса, предназначенную для предоставления пользователям сервиса 110а-1106.Operating system 480 includes a program for controlling the processing performed by CPU 410 and is typically stored in storage device 460 and loaded into RAM 470 for execution. Operating system 480 also includes a communications subsystem 482 for creating and forwarding message packets to client computers 114 or global server 106 and receiving packets from client computers 114 or global server 106 via a communications interface 450. In addition, operating system 480 includes security services 484 for negotiating a secure channel with users, secure communication subsystem 486 for opening a secure channel with users, and a service run subsystem 490 for providing service 110a-1106 to users.
Подсистема 490 выполнения сервиса содержит интерфейс 492 сервиса, предназначенный для приема сообщений от загруженных апплетов 288 и отправки сообщений загруженным апплетам 288, которые в данный момент выполняются клиентом 114, а также включает в себя обработчик 494 сервиса и данные 496 сервиса, предназначенные для обработки касающихся сервиса запросов от пользователя. Данные 496 сервиса могут включать в себя ранее созданные документы, информацию баз данных и т.д. Очевидным является, что данные 496 сервиса похожи на данные 392 пользователя, поэтому они включают тот же тип информации, но их сопровождение осуществляется на сервере 108 сервиса, а не на глобальном сервере 108.The service execution subsystem 490 includes a service interface 492 for receiving messages from downloaded applets 288 and sending messages to downloaded applets 288, which are currently being executed by the client 114, and also includes a service handler 494 and service data 496 for processing related services requests from the user. Service data 496 may include previously created documents, database information, etc. It is obvious that service data 496 is similar to user data 392, so they include the same type of information, but they are maintained on the service server 108, and not on the global server 108.
На фиг. 5 представлена блок-схема, иллюстрирующая способ 500, позволяющий пользователю обращаться к сервисам 110а-1106 в системе 100 компьютерной сети. Способ 500 инициируется клиентом 114 на этапе 505 создания линии связи с глобальным сервером 106. Этап 505 более подробно описан со ссылкой на фиг.FIG. 5 is a flow chart illustrating a method 500 allowing a user to access services 110a-1106 in computer network system 100. Method 500 is initiated by client 114 in step 505 of creating a communication link with global server 106. Step 505 is described in more detail with reference to FIG.
6. Глобальный сервер 106 на этапе 510 подтверждает, что пользователь имеет права доступа к функциональным возможностям глобального сервера 106. Подтверждение пользовательских прав доступа может включать в себя проверку сертификата пользователя, получение секретного пароля, использование технологии электронной подписи и т.д. Очевидным является, что сервисы 384 обеспечения безопасности могут дать указание главной подсистеме 386 управления сервлетами направить клиенту 114 по каналу связи апплет 389 обеспечения безопасности для установления подлинности пользователя.6. The global server 106 at step 510 confirms that the user has access rights to the functionality of the global server 106. Confirming user access rights may include verifying a user's certificate, obtaining a secret password, using electronic signature technology, etc. Obviously, security services 384 may instruct the main servlet management subsystem 386 to send a security applet 389 to the client 114 through a communications channel to authenticate the user.
После того, как права доступа пользователя подтверждены, подсистема 387 УеЬ-страниц глобального сервера 106 на этапе 515 загружает данные 391 УеЬ-страницы и данные 390 конфигурации клиенту 114. На этапе 520 браузер 284 клиента 114 использует данные 391 УеЬстраницы и данные 390 конфигурации для вывода УеЬ-страницы 700 (фиг. 7) на устройство 230 вывода клиента 114 и предоставления доступа к сервисам 110а-1106, которые предлагаются глобальным сервером 106. Пример УеЬстраницы 700 показан на фиг. 7 и описан со ссылкой на эту фигуру.After the user's access rights are confirmed, the subsystem 387 Web pages of the global server 106 at step 515 loads the data 391 Web pages and configuration data 390 to the client 114. At step 520, the client browser 114 284 uses the page data 391 and configuration data 390 The page 700 (FIG. 7) on the client output device 230 230 and providing access to the services 110a-1106 that are offered by the global server 106. The example of the page 700 is shown in FIG. 7 and described with reference to this figure.
Из вариантов, перечисленных на УеЬстранице 700, на этапе 525 пользователь при помощи устройства 220 ввода выбирает сервис 110а-1106. В ответ на это главная подсистема 386 управления сервлетами глобального сервера 106 на этапе 530 загружает соответствующий апплет (апплеты) 388, данные 390 конфигурации апплета, данные 392 пользователя и, при необходимости, информацию 394 об адресе сервиса на клиент 114. Данные 390 конфигурации апплета предпочтительно включают в себя предпочтения конкретного пользователя, например, предпочитаемые пользователем шрифты, предназначенные для конфигурации выбранного сервиса 110а-1106. Данные 392 пользователя могут включать в себя информацию, касающуюся взаимодействия конкретного пользователя и конкретного сервиса, например, сохраненные закладки, данные ежедневника, номера пейджеров и т.д. Информация 394 об адресе сервиса указывает местоположение выбранного сервиса 110а-1106. В ином случае соответствующий апплет (апплеты) 388, данные 390 конфигурации апплета, данные 392 пользователя и информация 394 об адресе сервиса могли быть загружены на этапе 515 вместе с даннымиOf the options listed on the Web page 700, at step 525, the user selects service 110a-1106 using input device 220. In response to this, the main servlet management subsystem 386 of the global server 106 loads the corresponding applet (s) 388, applet configuration data 390, user data 392 and, if necessary, information 394 about the service address to the client 114 at step 530, preferably include user-specific preferences, such as user-preferred fonts for configuring the selected service 110a-1106. User data 392 may include information regarding the interaction of a particular user and a particular service, for example, saved bookmarks, diary data, pager numbers, etc. The service address information 394 indicates the location of the selected service 110a-1106. Otherwise, the corresponding applet (s) 388, applet configuration data 390, user data 392, and service address information 394 could be loaded at step 515 along with the data
391 УеЬ-страницы и данными 390 конфигурации.391 pages and 390 configuration data.
Подсистема 286 управления апплетами клиента 114 на этапе 535 выполняет соответствующий загруженный апплет 288. Сервер 108 сервиса на этапе 537 запускает подсистему 490 выполнения сервиса. Глобальный сервер 106 на этапе 538 выбирает один из трех режимов доступа, приведенных на фиг. 8А - 8С и делающих возможным обмен информацией компьютераклиента 114 с соответствующей подсистемой 490 выполнения сервиса. Например, если пользователь выбирает сервис 1106, находящийся на сервере 108с, который не защищен отдельным брандмауэром, глобальный сервер 106 может предоставить пользователю прямой доступ. Если пользователь выбирает сервис 110а, предоставляемый сервером 108а, находящимся в пределах сети 118 компании, глобальный сервер 106 может обратиться к сервису 110а в качестве представителя пользователя. Очевидным является, что каждый брандмауэр 106 и 120 может хранить набор правил, устанавливающих соответствующий режим доступа, который должен выбрать глобальный сервер 106. Другие критерии выбора режима доступа могут включать в себя предпочтения пользователя, доступность и осуществимость. На этапе 540 глобальный сервер 106 предоставляет пользователю, использующему клиента 114, доступ к выбранному сервису 110а-1106. Этап 540 более подробно описан со ссылками на фиг. 8А, 8В и 8С.The applet control subsystem 286 of the client 114 executes the corresponding loaded applet 288 at step 535. The service server 108 at step 537 starts the service execution subsystem 490. The global server 106 at step 538 selects one of the three access modes shown in FIG. 8A - 8C and making it possible to exchange information from the client computer 114 with the corresponding service execution subsystem 490. For example, if a user selects a service 1106 located on server 108c, which is not protected by a separate firewall, global server 106 may provide the user with direct access. If the user selects the service 110a provided by the server 108a within the company's network 118, the global server 106 may contact the service 110a as a user representative. It is obvious that each firewall 106 and 120 can store a set of rules that establish the appropriate access mode that the global server 106 should choose. Other selection criteria for the access mode may include user preferences, accessibility, and feasibility. At step 540, the global server 106 provides the user using the client 114 with access to the selected service 110a-1106. Step 540 is described in more detail with reference to FIG. 8A, 8B and 8C.
На фиг. 6 представлена блок-схема, иллюстрирующая подробную структуру этапа 505, который инициируется использующим клиента 114 пользователем, указывающим на этапе 605 известный ϋΚΕ-адрес для обращения к глобальному серверу 106. Глобальный сервер 106 и клиент 114 на этапе 607 создают между собой безопасный канал связи, при необходимости, применяя технологию обеспечения безопасности 88Ь (8есите 8оске1 Ьаует - уровень защиты гнезд). То есть, сервисы 385 обеспечения безопасности глобального сервера 106 на этапе 610 определяют, разрешена ли внутрисистемная безопасная связь, и если это так, создают канал связи с клиентом 114. На этапе 615 браузер 284 клиента 114 и сервисы 384 обеспечения безопасности глобального сервера 106 согласовывают параметры безопасного канала связи, при необходимости, используя сертификаты общедоступных ключей. Примером безопасного канала связи является канал, использующий технологию компании Р8А (Рб'езГ 811атй апб А6е1тап) Эа1а 8есигйу 1пс., с шифрованием КС4 (К.оп’5 Собе 4 - алгоритм шифрования с ключем переменного размера, разработанный Роном Райвестом (Коп РАеЧ). Р8А Эа1а 8еситйу 1пс.). Очевидным является, что конфигурирование глобального сервера 106 может быть проведено таким образом, чтобы он использовал один из десяти протоколов шифрования, а клиенту 114 может быть предоставлена возможность использовать один из пяти протоколов шифрования. Следовательно, этап 615 может включать в себя выбор одного из протоколов шифрования, который является общим для глобального сервера 106 и клиента 114. На этапе 620 подсистема 285 шифрования клиента 114 и подсистема 396 обеспечения безопасной связи глобального сервера 106 используют параметры безопасного канала для создания безопасного канала связи. После этого выполнение способа 505 заканчивается.FIG. 6 is a block diagram illustrating the detailed structure of step 505, which is initiated by the user using the client 114, indicating, at step 605, a known ϋΚΕ-address for accessing the global server 106. The global server 106 and the client 114 create a secure communication channel between themselves at step 607 if necessary, applying the safety technology of 88b (8esite 8 skeleton, level of protection of the sockets). That is, the security server services 385 of the global server 106 determine at step 610 whether intra-system secure communications are enabled and, if so, create a communication channel with the client 114. At step 615, the browser 284 of the client 114 and the security services 384 of the global server 106 negotiate the parameters secure communication channel, if necessary, using certificates of public keys. An example of a secure communication channel is a channel using P8A technology (Rb'ezG 811AtAb6e1tap) EaAa 8eSigyu 1ps., Encrypted with KC4 (K.op'5 Sob 4 - encryption algorithm with a variable-size key developed by Ronest (Kop Rare) P8A Ea1a Sesyyu 1ps.). It is obvious that the configuration of the global server 106 can be carried out in such a way that it uses one of the ten encryption protocols, and the client 114 can be given the opportunity to use one of the five encryption protocols. Therefore, step 615 may include selecting one of the encryption protocols that are common to the global server 106 and the client 114. At step 620, the client encryption subsystem 285 of the client 114 and the global server 106 secure communications subsystem 396 use the secure channel parameters to create a secure channel communication. After this, the implementation of the method 505 ends.
На фиг. 7 приведен пример \УеЬ-страницы 700, доступной по иКЬ-адресу и созданной с использованием языка НТМЬ (Нурет-Тех! Магкир Ьапдиаде - язык разметки гипертекста), которая поддерживается главной подсистемой 386 управления сервлетами. ^еЬ-страница 700 содержит заголовок 710 «\УеЬ-страница». перечень предоставляемых сервисов 715 и указатель 770 для выбора одного из предоставляемых сервисов 715. Как показано на фигуре, предоставляемые сервисы 715 могут включать в себя сервис 720 электронной почты, сервис 730 ежедневника, сервис 740 доступа в Интернет, сервис 750 пейджинга и сервис 760 отправки факсов. Хотя они и не показаны, в ^еЬ-страницу 700 могут быть включены другие сервисы, например, создание закладок для сетевых ресурсов, сервис ОшекСагб™ и т.д.FIG. 7 shows an example of the \ ue-page 700, available at the iK-address and created using the NTM language (Nure-Tech! Magkir bpdiade - hypertext markup language), which is supported by the main servlet control subsystem 386. ^ an eB page 700 contains the header 710 "\ yeah page". a list of 715 services provided and an index 770 for selecting one of 715 services provided. As shown in the figure, 715 services provided may include an e-mail service 720, a diary service 730, an Internet access service 740, a paging service 750, and a fax sending service 760 . Although they are not shown, other services may be included in ^ eb-page 700, for example, bookmarking for network resources, the OshekSagb ™ service, etc.
На фиг. 8А представлена блок-схема, иллюстрирующая подробную структуру этапа 540 по первому варианту осуществления изобретения, обозначаемого как этап 540а, где глобальный сервер 106 предоставляет клиенту 114 прямое соединение с сервисом 110а-1106. Этап 540а начинается с извлечения загруженным апплетом 288 на этапе 805 адреса 394 выбранного сервиса 110а-1106 из устройства 360 хранения данных и информации по установлению подлинности для сервиса 110а-1106 из библиотеки 395 ключей. Подсистема 282 обеспечения связи на этапе 810 создает прямое и безопасное соединение с подсистемой 482 обеспечения связи сервера 108 сервиса, находящегося по извлеченному адресу сервиса, и использует информацию по установлению подлинности для собственной аутентификации. На этапе 815 апплет 288 работает как интерфейс ввода/вывода для обмена данными с подсистемой выполнения сервиса. После этого выполнение этапа 540а заканчивается.FIG. 8A is a block diagram illustrating the detailed structure of step 540 of the first embodiment of the invention, designated step 540a, where the global server 106 provides the client 114 with a direct connection to the service 110a-1106. Step 540a begins with retrieving the downloaded applet 288 in step 805 of the address 394 of the selected service 110a-1106 from the storage device 360 and authentication information for the service 110a-1106 from the key library 395. The communication support subsystem 282 at step 810 creates a direct and secure connection to the communication support subsystem 482 of the server 108 of the service located at the extracted service address and uses the authentication information for its own authentication. At step 815, the applet 288 operates as an input / output interface for exchanging data with the service execution subsystem. After this, step 540a ends.
На фиг. 8В представлена блок-схема, иллюстрирующая подробную структуру этапа 540 по второму варианту осуществления изобретения, обозначаемого как этап 540Ь, где глобальный сервер 106 работает как модуль-посредник клиента 114 для доступа к сервису 110а-1106. Этап 540Ь начинается с извлечения апплетом 288 на этапе 840 адреса «сервиса», после чего этот адрес направляется глобальному серверу 106. Таким образом, на этапе 845 апплет создает соединение с глобальным сервером 106. На этапе 850 главная подсистема 386 управления сервлетами глобального сервера 106 извлекает адрес выбранного сервиса 110а-1106 и информацию по установлению подлинности для выбранного сервиса 110а-1106 из библиотеки 395 ключей. На этапе 855 подсистема 396 обеспечения безопасной связи глобального сервера 106 согласовывает параметры безопасного канала для установления безопасного канала с подсистемой 486 обеспечения безопасной связи сервера 108 сервиса.FIG. 8B is a block diagram illustrating the detailed structure of step 540 of the second embodiment of the invention, denoted as step 540b, where the global server 106 operates as an intermediary module of the client 114 for accessing the service 110a-1106. Step 540b begins with applet 288 retrieving the “service” address at step 840, and then sending this address to the global server 106. Thus, at step 845, the applet creates a connection to the global server 106. At step 850, the main servlet control subsystem 386 of the global server 106 retrieves The address of the selected service is 110a-1106 and the authentication information for the selected service 110a-1106 from the 395 key library. At step 855, the secure communication subsystem 396 of the global server 106 negotiates the secure channel parameters to establish a secure channel with the secure communication subsystem 486 of the server 108 of the service.
После этого на этапе 860 апплет 288 работает как интерфейс ввода/вывода (позволяет пользователю обращаться с запросами к подсистеме 490 выполнения сервиса) для обмена данными с подсистемой 396 обеспечения безопасной связи глобального сервера 106. Если главная подсистема 386 управления сервлетами на этапе 865 определяет, что она не уполномочена выполнить запрос пользователя, использующего клиента 114, то на этапе 870 главная подсистема 386 управления сервлетами определяет, закончился ли способ 540Ь, например, закончил ли сеанс пользователь. Если это так, выполнение способа 540Ь заканчивается. В противном случае управление в способе 540Ь передается обратно этапу 860 для получения следующего запроса. Если главная подсистема 386 управления сервлетами на этапе 865 определяет, что она уполномочена выполнить запрос пользователя, использующего клиента 114, то главная подсистема 386 управления сервлетами, при необходимости, используя сервлеты 398, работает с подсистемой 490 выполнения сервиса как модуль-посредник клиента 114. Как модульпосредник главная подсистема 386 управления сервлетами направляет сервису 110а-1106 запрос выполнения сервиса вместо апплета 288 и направляет ответы запрашивающему апплету, в данный момент выполняемому клиентом 114. Затем управление в способе 540Ь передается обратно на этап 870.Thereafter, at step 860, the applet 288 operates as an input / output interface (allows the user to make requests to the service execution subsystem 490) to communicate with the global server 106 secure communications subsystem 396. If the main servlet control subsystem 386 determines at it is not authorized to execute a user request using the client 114, then at step 870, the main servlet control subsystem 386 determines whether method 540b has ended, for example, whether the user has ended the session. If so, method 540b ends. Otherwise, control in method 540b is passed back to step 860 to receive the next request. If the main servlet management subsystem 386 determines that it is authorized to execute a user request using the client 114, then the main servlet management subsystem 386, using servlets 398, if necessary, works with the service execution subsystem 490 as an intermediary client module 114. the modular mediator, the main servlet management subsystem 386, sends a service execution request 110a to the service 110a-1106 instead of the applet 288 and sends the responses to the requesting applet currently being executed by the client 114. Then control in method 540b is transmitted back to step 870.
На фиг. 8С представлена блок-схема, иллюстрирующая подробную структуру этапа 540 по третьему варианту осуществления изобретения, обозначаемого как этап 540с, где запрашиваемый сервис 110а-1106 находится на глобальном сервере 106. Этап 540с начинается с извлечения на этапе 880 апплетом 288 адреса сервиса 110а-1106, что приводит к предоставлению апплету 288 адреса сервиса 110а-1106 на глобальном сервере 106. Таким образом, на этапе 882 апплет 288 создает безопасное соединение с глобальным сервером 106. Дополнительный этап идентификации и установления подлинности не требуется, так как клиент 114 уже идентифицировал и аутентифицировал себя глобальному серверу 106 на этапе 510, приведенном на фиг. 5.FIG. 8C is a block diagram illustrating the detailed structure of step 540 of a third embodiment of the invention, denoted as step 540c, where the requested service 110a-1106 is located on the global server 106. Step 540c begins by retrieving the address 110a-1106 with the applet 288 at step 880, which results in providing service 288 with the address 110a-1106 on the global server 106. Thus, at step 882, the applet 288 creates a secure connection to the global server 106. The additional step of identification and authentication is not required I, because client 114 has already identified and authenticated itself to the global server 106 at step 510 shown in FIG. five.
На этапе 884 определяется, функционирует ли в данный момент сервис 110а-1106. Если это так, то на этапе 886 определяется, может ли сервис 110а-1106 работать с несколькими пользователями. Если нет, глобальный сервер 106 на этапе 890 создает отдельный сеанс для пользователя, и на этапе 892 апплет 288 работает как интерфейс ввода/вывода для обмена данными с сервисом 110а-1106, находящимся на глобальном сервере 106. В противном случае, если сервис 110а-1106 на этапе 886 определяет, что он не может работать с несколькими пользователями, то выполнение способа 540а продолжается с этапа 892. Далее, если на этапе 884 глобальный сервер 106 определяет, что сервис 110а-1106 в данный момент не функционирует, то на этапе 888 глобальный сервер 106 запускает сервис 110а-1106 и переходит к этапу 886.At step 884, it is determined whether the service 110a-1106 is currently functioning. If so, then at step 886 it is determined whether the service 110a-1106 can work with multiple users. If not, the global server 106 at step 890 creates a separate session for the user, and at step 892, the applet 288 works as an input / output interface for data exchange with the service 110a-1106 located on the global server 106. Otherwise, if the service 110- 1106 at step 886 determines that it cannot work with multiple users, then method 540a continues from step 892. Further, if at step 884 the global server 106 determines that service 110a-1106 is not functioning at the moment, then at step 888 global server 106 starts service 110a-1106 proceeds to step 886.
Предшествующее описание предпочтительных вариантов осуществления настоящего изобретения приведено только в качестве примера, настоящим изобретением охватываются и различные модификации описанных выше вариантов осуществления. Составляющие элементы в объектах данного изобретения могут быть реализованы с использованием работающего под управлением программ компьютера общего назначения с использованием проблемноориентированных интегральных микросхем или с использованием сети из взаимосвязанных обычных компонентов и схем. Описанные здесь варианты осуществления представлены с целью иллюстрации и не являются исчерпывающими или ограничивающими. В рамках приведенного выше описания предполагаются различные изменения и модификации.The preceding description of the preferred embodiments of the present invention is given only as an example, the present invention also covers various modifications of the above-described embodiments. The constituent elements in the objects of the present invention can be implemented using a general-purpose computer running programs using problem-oriented integrated circuits or using a network of interconnected conventional components and circuits. The embodiments described herein are presented for the purpose of illustration and are not intended to be exhaustive or restrictive. Within the above description, various changes and modifications are contemplated.
Claims (30)
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| PCT/US1998/017410 WO2000011832A1 (en) | 1998-08-21 | 1998-08-21 | System and method for enabling secure access to services in a computer network |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| EA200100257A1 EA200100257A1 (en) | 2001-12-24 |
| EA003374B1 true EA003374B1 (en) | 2003-04-24 |
Family
ID=22267718
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| EA200100257A EA003374B1 (en) | 1998-08-21 | 1998-08-21 | System and method for enabling secure access to services in a computer network |
Country Status (7)
| Country | Link |
|---|---|
| EP (1) | EP1105996A4 (en) |
| JP (1) | JP2002523973A (en) |
| CN (1) | CN1227858C (en) |
| CA (1) | CA2341213C (en) |
| EA (1) | EA003374B1 (en) |
| IL (1) | IL141530A0 (en) |
| WO (1) | WO2000011832A1 (en) |
Families Citing this family (56)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US6219694B1 (en) | 1998-05-29 | 2001-04-17 | Research In Motion Limited | System and method for pushing information from a host system to a mobile data communication device having a shared electronic address |
| US6701438B1 (en) * | 1999-06-14 | 2004-03-02 | Sun Microsystems, Inc. | Methods and apparatus for providing customizable security and logging protocols in a servlet engine |
| US7120692B2 (en) | 1999-12-02 | 2006-10-10 | Senvid, Inc. | Access and control system for network-enabled devices |
| US7934251B2 (en) | 1999-12-02 | 2011-04-26 | Western Digital Technologies, Inc. | Managed peer-to-peer applications, systems and methods for distributed data access and storage |
| US8793374B2 (en) | 1999-12-02 | 2014-07-29 | Western Digital Technologies, Inc. | Managed peer-to-peer applications, systems and methods for distributed data access and storage |
| ATE396577T1 (en) | 1999-12-02 | 2008-06-15 | Western Digital Tech Inc | SYSTEM FOR REMOTE RECORDING TELEVISION PROGRAMS |
| US9191443B2 (en) | 1999-12-02 | 2015-11-17 | Western Digital Technologies, Inc. | Managed peer-to-peer applications, systems and methods for distributed data access and storage |
| US6671757B1 (en) | 2000-01-26 | 2003-12-30 | Fusionone, Inc. | Data transfer and synchronization system |
| US6694336B1 (en) | 2000-01-25 | 2004-02-17 | Fusionone, Inc. | Data transfer and synchronization system |
| US6631417B1 (en) * | 2000-03-29 | 2003-10-07 | Iona Technologies Plc | Methods and apparatus for securing access to a computer |
| JP2001283062A (en) * | 2000-04-03 | 2001-10-12 | Cybozu Inc | Electric transaction system using groupware |
| US7814208B2 (en) * | 2000-04-11 | 2010-10-12 | Science Applications International Corporation | System and method for projecting content beyond firewalls |
| US7181766B2 (en) | 2000-04-12 | 2007-02-20 | Corente, Inc. | Methods and system for providing network services using at least one processor interfacing a base network |
| US7047424B2 (en) | 2000-04-12 | 2006-05-16 | Corente, Inc. | Methods and systems for hairpins in virtual networks |
| US6996628B2 (en) | 2000-04-12 | 2006-02-07 | Corente, Inc. | Methods and systems for managing virtual addresses for virtual networks |
| US7181542B2 (en) * | 2000-04-12 | 2007-02-20 | Corente, Inc. | Method and system for managing and configuring virtual private networks |
| US7028333B2 (en) | 2000-04-12 | 2006-04-11 | Corente, Inc. | Methods and systems for partners in virtual networks |
| US6944651B2 (en) | 2000-05-19 | 2005-09-13 | Fusionone, Inc. | Single click synchronization of data from a public information store to a private information store |
| EP1158745B1 (en) * | 2000-05-26 | 2003-09-03 | International Business Machines Corporation | Method and system for secure pervasive access |
| US6859879B2 (en) | 2000-05-26 | 2005-02-22 | International Business Machine Corporation | Method and system for secure pervasive access |
| US6925476B1 (en) | 2000-08-17 | 2005-08-02 | Fusionone, Inc. | Updating application data including adding first change log to aggreagate change log comprising summary of changes |
| AU2001287427A1 (en) | 2000-08-25 | 2002-03-04 | Research In Motion Limited | System and method for implementing an enhanced transport layer security protocol |
| US7774455B1 (en) | 2000-09-26 | 2010-08-10 | Juniper Networks, Inc. | Method and system for providing secure access to private networks |
| US7085817B1 (en) | 2000-09-26 | 2006-08-01 | Juniper Networks, Inc. | Method and system for modifying requests for remote resources |
| US7865569B1 (en) | 2000-09-26 | 2011-01-04 | Juniper Networks, Inc. | Method and system for modifying script portions of requests for remote resources |
| US7136896B1 (en) | 2000-09-26 | 2006-11-14 | Juniper Networks, Inc. | Dynamic toolbar for markup language document |
| JP3297037B2 (en) * | 2000-10-31 | 2002-07-02 | サイボウズ株式会社 | Information registration support system, information registration support device and method, and information storage medium |
| CA2725700C (en) | 2000-12-22 | 2015-11-24 | Research In Motion Limited | Wireless router system and method |
| US7533409B2 (en) | 2001-03-22 | 2009-05-12 | Corente, Inc. | Methods and systems for firewalling virtual private networks |
| EP1249981A1 (en) * | 2001-04-02 | 2002-10-16 | NuMeme Limited | A security service system and method |
| CA2410118C (en) | 2001-10-26 | 2007-12-18 | Research In Motion Limited | System and method for controlling configuration settings for mobile communication devices and services |
| US9332058B2 (en) | 2001-11-01 | 2016-05-03 | Benhov Gmbh, Llc | Local agent for remote file access system |
| US7146403B2 (en) | 2001-11-02 | 2006-12-05 | Juniper Networks, Inc. | Dual authentication of a requestor using a mail server and an authentication server |
| US7631084B2 (en) | 2001-11-02 | 2009-12-08 | Juniper Networks, Inc. | Method and system for providing secure access to private networks with client redirection |
| EP1777912B1 (en) * | 2001-11-02 | 2018-08-15 | Juniper Networks, Inc. | Method and system for providing secure access to resources on private networks |
| IL161735A0 (en) | 2001-11-02 | 2005-11-20 | Neoteris Inc | Method and system for providing secure access to resources on private networks |
| CN100392626C (en) * | 2001-11-20 | 2008-06-04 | 森维公司 | Access and control system for network-enabled devices |
| DE60214590T2 (en) | 2001-12-07 | 2007-09-13 | Research In Motion Ltd., Waterloo | METHOD AND DEVICE FOR CONTROLLING INFORMATION DISTRIBUTION TO MOBILE STATIONS |
| US7395354B2 (en) | 2002-02-21 | 2008-07-01 | Corente, Inc. | Methods and systems for resolving addressing conflicts based on tunnel information |
| WO2003105010A1 (en) | 2002-06-06 | 2003-12-18 | Neoteris, Inc. | Method and system for providing secure access to private networks |
| AU2003250405A1 (en) * | 2002-08-19 | 2004-03-03 | Axalto Sa | Secured method to exchange data between a browser and a web site |
| US8473355B2 (en) | 2002-12-06 | 2013-06-25 | Facebook, Inc. | System and method for electronic wallet conversion |
| US8645471B2 (en) | 2003-07-21 | 2014-02-04 | Synchronoss Technologies, Inc. | Device message management system |
| CN1298194C (en) * | 2004-03-22 | 2007-01-31 | 西安电子科技大学 | Radio LAN security access method based on roaming key exchange authentication protocal |
| US9542076B1 (en) | 2004-05-12 | 2017-01-10 | Synchronoss Technologies, Inc. | System for and method of updating a personal profile |
| US7814216B2 (en) * | 2004-09-07 | 2010-10-12 | Route 1 Inc. | System and method for accessing host computer via remote computer |
| US8365240B2 (en) | 2005-04-18 | 2013-01-29 | Research In Motion Limited | Method for providing wireless application privilege management |
| US7748046B2 (en) | 2005-04-29 | 2010-06-29 | Microsoft Corporation | Security claim transformation with intermediate claims |
| US20080115152A1 (en) | 2006-11-15 | 2008-05-15 | Bharat Welingkar | Server-controlled heartbeats |
| US7603435B2 (en) | 2006-11-15 | 2009-10-13 | Palm, Inc. | Over-the-air device kill pill and lock |
| US8135798B2 (en) | 2006-11-15 | 2012-03-13 | Hewlett-Packard Development Company, L.P. | Over-the-air device services and management |
| MX2009010490A (en) * | 2007-03-29 | 2010-02-09 | Christopher Murphy | Methods and systems for internet security via virtual software. |
| US8179872B2 (en) | 2007-05-09 | 2012-05-15 | Research In Motion Limited | Wireless router system and method |
| CA2637179A1 (en) | 2008-07-30 | 2010-01-30 | John H. Dunstan | A device and system to enable and operate the selection, sales and distribution of lottery tickets and other tickets processes |
| US8943428B2 (en) | 2010-11-01 | 2015-01-27 | Synchronoss Technologies, Inc. | System for and method of field mapping |
| CN104717192B (en) * | 2013-12-16 | 2018-05-18 | 腾讯科技（深圳）有限公司 | Legality identification method and intermediate server |
Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CA2191505A1 (en) * | 1995-12-29 | 1997-06-30 | Mark Alan Jones | Universal Connection Point for Resources and Communication |
| US5644354A (en) * | 1992-10-09 | 1997-07-01 | Prevue Interactive, Inc. | Interactive video system |
Family Cites Families (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5586260A (en) * | 1993-02-12 | 1996-12-17 | Digital Equipment Corporation | Method and apparatus for authenticating a client to a server in computer systems which support different security mechanisms |
| CA2202118A1 (en) * | 1996-04-29 | 1997-10-29 | Mitel Corporation | Protected persistent storage access for mobile applications |
| EP0966822A2 (en) * | 1997-03-10 | 1999-12-29 | Internet Dynamics, Inc. | Methods and apparatus for controlling access to information |
| US5987523A (en) * | 1997-06-04 | 1999-11-16 | International Business Machines Corporation | Applet redirection for controlled access to non-orginating hosts |
| US5870544A (en) * | 1997-10-20 | 1999-02-09 | International Business Machines Corporation | Method and apparatus for creating a secure connection between a java applet and a web server |
-
1998
- 1998-08-21 WO PCT/US1998/017410 patent/WO2000011832A1/en active Application Filing
- 1998-08-21 EA EA200100257A patent/EA003374B1/en not_active IP Right Cessation
- 1998-08-21 EP EP98943309A patent/EP1105996A4/en not_active Withdrawn
- 1998-08-21 JP JP2000566987A patent/JP2002523973A/en active Pending
- 1998-08-21 IL IL14153098A patent/IL141530A0/en unknown
- 1998-08-21 CA CA002341213A patent/CA2341213C/en not_active Expired - Lifetime
- 1998-08-21 CN CN98814246.5A patent/CN1227858C/en not_active Expired - Lifetime
Patent Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5644354A (en) * | 1992-10-09 | 1997-07-01 | Prevue Interactive, Inc. | Interactive video system |
| CA2191505A1 (en) * | 1995-12-29 | 1997-06-30 | Mark Alan Jones | Universal Connection Point for Resources and Communication |
Non-Patent Citations (2)
| Title |
|---|
| KNUDSEN, JONATHAN. Java Cryptography, O'Reilly, 1998, p. 79-91, 112, 160. Verisign Press Release. Verisign Enhances Digital IDS to Enable Universal Website Login and One-step Registration. <www.verisign.com/press/product/isv.html>, especially 2nd paragraph * |
| TANENBAUM, ANDREW. Computer Networks, Third Edition Prentice-Hall, 1996, see entire document * |
Also Published As
| Publication number | Publication date |
|---|---|
| EP1105996A4 (en) | 2005-08-17 |
| CN1227858C (en) | 2005-11-16 |
| CA2341213A1 (en) | 2000-03-02 |
| CN1354934A (en) | 2002-06-19 |
| IL141530A0 (en) | 2002-03-10 |
| JP2002523973A (en) | 2002-07-30 |
| EP1105996A1 (en) | 2001-06-13 |
| CA2341213C (en) | 2009-05-26 |
| EA200100257A1 (en) | 2001-12-24 |
| WO2000011832A1 (en) | 2000-03-02 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| EA003374B1 (en) | System and method for enabling secure access to services in a computer network | |
| US7287271B1 (en) | System and method for enabling secure access to services in a computer network | |
| US6766454B1 (en) | System and method for using an authentication applet to identify and authenticate a user in a computer network | |
| US7627896B2 (en) | Security system providing methodology for cooperative enforcement of security policies during SSL sessions | |
| EP1701510B1 (en) | Secure remote access to non-public private web servers | |
| US7849306B2 (en) | Relay method of encryption communication, gateway server, and program and program memory medium of encryption communication | |
| US8316429B2 (en) | Methods and systems for obtaining URL filtering information | |
| US6804777B2 (en) | System and method for application-level virtual private network | |
| US7752269B2 (en) | Adhoc secure document exchange | |
| Oppliger | Microsoft. net passport: A security analysis | |
| US20070180225A1 (en) | Method and system for performing authentication and traffic control in a certificate-capable session | |
| US20030051142A1 (en) | Firewalls for providing security in HTTP networks and applications | |
| US20030023880A1 (en) | Multi-domain authorization and authentication | |
| US20040255137A1 (en) | Defending the name space | |
| JP2009514050A (en) | System and method for authenticating a client in a client-server environment | |
| CN101238669A (en) | Automatically generating rules for connection security | |
| JP2005538434A (en) | Method and system for user-based authentication in a federated environment | |
| Jammalamadaka et al. | Delegate: A proxy based architecture for secure website access from an untrusted machine | |
| TW200425700A (en) | Policy-based connectivity | |
| US7421576B1 (en) | Interception and modification of network authentication packets with the purpose of allowing alternative authentication modes | |
| US20060122936A1 (en) | System and method for secure publication of online content | |
| Hirsch et al. | Security and Privacy Considerations for the OASIS Security Assertion Markup Language (SAML) V2. 0 | |
| Gritzalis et al. | Addressing threats and security issues in World Wide Web technology | |
| JPH1188436A (en) | Information supply system | |
| WO2017024588A1 (en) | Service processing method and apparatus |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| MM4A | Lapse of a eurasian patent due to non-payment of renewal fees within the time limit in the following designated state(s) |
Designated state(s): AM AZ BY KZ KG MD TJ TM RU |