ES2409629T3 - Control de acceso multi-dominio - Google Patents

Control de acceso multi-dominio Download PDF

Info

Publication number
ES2409629T3
ES2409629T3 ES00961372T ES00961372T ES2409629T3 ES 2409629 T3 ES2409629 T3 ES 2409629T3 ES 00961372 T ES00961372 T ES 00961372T ES 00961372 T ES00961372 T ES 00961372T ES 2409629 T3 ES2409629 T3 ES 2409629T3
Authority
ES
Spain
Prior art keywords
server
access control
domain
access
client
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Lifetime
Application number
ES00961372T
Other languages
English (en)
Inventor
Lawrence Sampson
Emilio Belmonte
Marco Fanti
Raul Medina
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Entrust Ltd
Encommerce Inc
Original Assignee
Entrust Ltd
Encommerce Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Entrust Ltd, Encommerce Inc filed Critical Entrust Ltd
Application granted granted Critical
Publication of ES2409629T3 publication Critical patent/ES2409629T3/es
Anticipated expiration legal-status Critical
Expired - Lifetime legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/104—Grouping of entities
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Programme-control systems
    • G05B19/02—Programme-control systems electric
    • G05B19/04—Programme control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/042—Programme control other than numerical control, i.e. in sequence controllers or logic controllers using digital processors
    • G05B19/0423—Input/output
    • G05B19/0425—Safety, monitoring
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/41—User authentication where a single sign-on provides access to a plurality of computers
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/24—Pc safety
    • G05B2219/24167—Encryption, password, user access privileges
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/30—Nc systems
    • G05B2219/32—Operator till task planning
    • G05B2219/32126—Hyperlink, access to program modules and to hardware modules in www, web server, browser
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Automation & Control Theory (AREA)
  • Storage Device Security (AREA)
  • Information Transfer Between Computers (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

Un método para controlar el acceso por un cliente (210-1) a un recurso (268) protegido por un sistema de control de acceso (220) que usa chivatos de control de acceso, transmitidos en conjunto con peticiones de acceso al recurso, para determinar si se puede permitir el acceso, en donde dichos chivatos de control de acceso se transmiten solamente entre dicho cliente y uno o más servidores que pertenecen a un primer dominio, el método que comprende los pasos de: un primer servidor (260) que pertenece a dicho primer dominio que recibe un elemento de datos particular desde dicho cliente (210-1); en donde dicho elemento de datos particular: fue transmitido a dicho cliente desde un segundo servidor (242) que no pertenece a dicho primer dominio, e indica que un usuario se ha autentificado por dicho sistema de control de acceso; dicho primer servidor (260) que determina que dicho usuario se ha autentificado por dicho sistema de control de acceso (220) en base a dicho elemento de datos particular; y en respuesta a dicho primer servidor (260) determinar que dicho usuario puede acceder a dicho recurso, dicho primer servidor (260) que transmite a dicho cliente un chivato de control de acceso generado por dicho sistema de control de acceso (220).

Description

Control de acceso multi-dominio.
SOLICITUD RELACIONADA Esta solicitud de patente reivindica prioridad de la Solicitud de Patente Provisional de EE.UU. Nº 60/150.392, presentada el 23 de octubre de 1999, titulada Soporte Multi-Dominio en un Sistema de Acceso de Aplicaciones Web, que se incorpora por este medio por referencia en su totalidad.
CAMPO DE LA INVENCIÓN La presente invención se refiere a la gestión de acceso a recursos accesibles sobre una red.
ANTECEDENTES DE LA INVENCIÓN Las redes informáticas han llegado a ser ubicuas en la empresa, la industria, y la educación. Las redes tienen uno o más recursos, tales como programas de aplicaciones que proporcionan diversas funciones informáticas, que están disponibles para todos los usuarios. El desarrollo de la red globalmente accesible, de paquetes conmutados conocida como Internet ha permitido que los recursos de red lleguen a estar disponibles en todo el mundo. El
desarrollo del protocolo de hipertexto (“HTTP”) que implementa la Telaraña Mundial (la “web”) permite redes que
sirven como plataforma para el comercio electrónico global. En particular, a través de la web una empresa intercambia fácilmente información con sus clientes, suministradores y socios en todo el mundo. Debido a que alguna información intercambiada es valiosa y sensible, el acceso a ella se debería limitar a usuarios seleccionados. De esta manera, hay una necesidad de proporcionar información de acceso selectivo disponible sobre la web.
Un planteamiento para solventar el problema anteriormente mencionado es proteger un conjunto de recursos accesibles sobre la red con un mecanismo de control de acceso. Un mecanismo de control de acceso es una combinación de soporte lógico y componentes físicos configurados para gestionar el acceso a un conjunto de recursos conectados a una red. A menudo, el mecanismo de control de acceso es un programa informático comercial, que se adquiere como un programa informático disponible comercialmente de suministradores de mecanismos de control de acceso. Un recurso es una fuente de información, identificada por un identificador, tal
como un localizador de recursos uniforme (“URL”) o una dirección del protocolo de Internet (“IP”). Un recurso protegido por un sistema de control de acceso puede ser un archivo estático (“página”) que contiene un código conforme al Lenguaje de Marcado de Hipertexto (“HTML”) o una página generada dinámicamente creada por programas en base a la Interfaz de Pasarela Común (“CGI”). Ejemplos de recursos incluyen una página web, un sitio web completo, una base de datos habilitada para web, y una mini aplicación.
La FIGURA 1 es un diagrama de bloques que representa una arquitectura de red ejemplar 100 que incluye un sistema protegido por un mecanismo de control de acceso 101. La arquitectura de red ejemplar 100 incluye un navegador 110 acoplado por un enlace de comunicación a una red 102. El bloque mostrado para el navegador 110 representa un terminal, un ordenador de estación de trabajo, o un equivalente que ejecuta un programa de navegador estándar o un equivalente, tal como Netscape, Navigator, Internet Explorer, o NCSA Mosaic. La red 102 es una red de comunicación de información compatible, preferiblemente Internet. En realizaciones alternativas, el navegador 100 es un proceso cliente o una estación de trabajo cliente de cualquier tipo conveniente, y la red 102 es una red de comunicación de datos que puede transferir información entre el cliente y un servidor que también está acoplado a la red.
El término servidor se usa aquí para referirse a uno o más elementos de soporte lógico o componentes físicos
informáticos que están dedicados a proporcionar las funciones requeridas (“servicios”) en nombre de clientes que
transmiten las peticiones. Un servidor puede ser un módulo de soporte lógico que se puede invocar por y ejecutar por un proceso cliente, un proceso separado que recibe peticiones de otros procesos cliente que ejecutan el mismo sistema informático, o un conjunto de procesos que se ejecutan en un conjunto de ordenadores, donde los procesos responden a las peticiones mediante clientes que se ejecutan en otros ordenadores.
El sistema de control de acceso 190 está acoplado a la red 102 y suministra servicios usados para gestionar acceso a servidores protegidos 150, incluyendo autentificación de usuarios y servicios de verificación, de una manera que se describirá más tarde en mayor detalle. Los servidores protegidos 150 también están acoplados a la red 102 y suministran uno o más recursos.
Antes de que un usuario pueda acceder a un recurso de los servidores protegidos 150, el usuario debe primero registrarse en el sistema de control de acceso 190, suministrando información al sistema de control de acceso 190 usada para autentificar al usuario. Los usuarios pueden registrarse o bien con un certificado digital transmitido al sistema de control de acceso 190 o bien abriendo una página de registro suministrada por el sistema de control de acceso 190 con el navegador 110 e introduciendo un nombre y una contraseña. Una vez que el usuario es autentificado, se asocia una sesión autentificada con el usuario, y el usuario puede acceder entonces a uno o más recursos en los servidores protegidos durante la vida de la sesión autentificada.
Para este propósito, el sistema de control de acceso 190 transmite uno o más datos de identificación, por ejemplo, chivatos, al navegador 110 que se usan, al menos en parte, por un servidor protegido para verificar que el usuario ha sido autentificado. Los chivatos son piezas de información que un servidor puede crear y transmitir a un navegador, para hacer al navegador almacenar el chivato y retransmitirlo en peticiones posteriores a los servidores. Un chivato se puede asociar con un nombre de dominio usado para identificar la dirección IP de un servidor. Un nombre de dominio es un identificador que identifica un conjunto o una o más direcciones IP. Ejemplos de nombres de dominio
son ‘enCommerce.com’ o ‘uspto.gov’. Un navegador transmite un chivato en conjunto con una petición al servidor
para acceder a un recurso, transmitiendo los chivatos como parte de la petición. Los chivatos transmitidos están asociados con el nombre de dominio del servidor.
Se puede usar un nombre de dominio en una dirección que identifica un recurso, tal como un URL. Por ejemplo, se
puede usar un dominio para identificar recursos “sample1File.htm” y “sample2File.htm”, usando el URL “www.demoDomain/sample2File.htm”, donde ‘demoDomain’ es el nombre de dominio. El nombre de dominio
corresponde a la dirección IP de un servidor que puede suministrar un recurso.
Un dominio es un conjunto de recursos que puede ser identificado por el nombre de dominio. De esta manera,
‘sample1File.htm’ ‘sample2File.htm’ son recursos que pertenecen al mismo dominio. El proceso de acceder a un
recurso a través de una petición que identifica el recurso usando un nombre de dominio se conoce como acceder al dominio.
Cuando un servidor protegido recibe una petición para acceso desde un cliente que ha sido autentificado, el servidor
protegido recibe unos “chivatos de control de acceso” para el dominio del servidor. Los chivatos de control de acceso
pueden contener información usada para verificar que un usuario ha sido autentificado, y pueden contener datos que especifican los privilegios del usuario. Un privilegio es un derecho para acceder a un recurso particular. Los chivatos de control de acceso típicamente están cifrados para propósitos de seguridad.
Una desventaja principal para un sistema de control de acceso convencional es que solamente controla el acceso a un conjunto de servidores y recursos que pertenecen a un dominio. La razón subyacente para esta limitación es la siguiente. Cuando un sistema de control de acceso convencional suministra unos chivatos de control de acceso a un usuario que acaba de ser autentificado, los chivatos transmitidos se asocian con el dominio del sistema de control de acceso. Cuando el navegador requiere acceso a otro recurso en otro dominio, los chivatos de control de acceso no se transmiten debido a que están asociados con otro dominio. De esta manera, cada nombre de dominio usado para desplegar un conjunto de servidores o recursos requiere su propia implementación y el mantenimiento de un sistema de control de acceso, añadiendo el coste de asegurar recursos accesibles sobre una red. Además, para cada nombre de dominio un usuario debe registrarse. De esta manera, el usuario se puede sobrecargar por procedimientos de registro repetitivos, o el número de nombres de dominio que se pueden usar son limitados por los esfuerzos para evitar sobrecargar al usuario.
En base a lo anteriormente mencionado, es claramente deseable proporcionar un sistema de control de acceso que se pueda usar para gestionar el acceso a un conjunto de recursos desplegados bajo múltiples nombres de dominio, en particular, requiere que un usuario se registre sólo una vez para acceder al conjunto de recursos.
SUMARIO DE LA INVENCIÓN La GB-A-2326802 describe un método para controlar el acceso a un recurso protegido por un sistema de control de acceso que usa la información de control de acceso transmitida en conjunto con las peticiones para acceder al recurso para determinar si se puede permitir el acceso, el método que comprende generar un ID de sesión y almacenar el ID en una base de datos. Después de una verificación inicial, las verificaciones posteriores se realizan por el servidor contactando con un controlador para verificar la validez del ID de la sesión.
Se describe un mecanismo que usa un sistema de control de acceso único para gestionar el acceso por los usuarios a los recursos que pertenecen a múltiples dominios. En una realización, se asocia un servidor con cada dominio en un conjunto de dominios. El acceso a los recursos en los dominios está gobernado por un sistema de control de acceso. Un primer servidor para un primer dominio transmite un testigo de datos a un cliente que busca acceso a un recurso en un segundo dominio. El cliente transmite el testigo de datos a un segundo servidor en el otro dominio. El segundo servidor usa el testigo de datos para verificar que el usuario está autorizado para acceder a los recursos protegidos por el sistema de control de acceso. Una vez se determina que el usuario está autorizado para acceder a los recursos, los “chivatos” de control de acceso se transmiten al cliente.
Según otra realización de la presente invención, cuando el cliente requiere acceso a un recurso en el segundo dominio, y la petición no incluye chivatos de control de acceso para el segundo dominio, los datos se transmiten al navegador haciéndolo generar otra petición al primer servidor. El primer servidor asegura que el usuario se ha autentificado antes de transmitir el testigo de datos al navegador. Además, el primer servidor puede hacer copias de los chivatos de control de acceso para el usuario a ser almacenados para transmisión posterior al segundo servidor.
BREVE DESCRIPCIÓN DE LOS DIBUJOS La presente invención se ilustra a modo de ejemplo, y no a modo de limitación, en las figuras de los dibujos anexos y en los cuales números de referencia iguales se refieren a elementos similares y en los cuales:
La FIGURA 1 es un diagrama de bloques que representa una red ejemplar, unos recursos acoplados a la red, y un sistema de control de acceso usado para gestionar el acceso a los recursos; La FIGURA 2 es un diagrama de bloques que representa una red ejemplar, unos recursos acoplados a la red, y un sistema de control de acceso usado para gestionar el acceso a los recursos en múltiples dominios; La FIGURA 3A es un diagrama de flujo que representa un proceso usado para gestionar el acceso a recursos en múltiples dominios; La FIGURA 3B es un diagrama de flujo que representa un proceso usado para gestionar el acceso a recursos en múltiples dominios; La FIGURA 4A es un diagrama de flujo que representa un proceso usado para gestionar el acceso a recursos en múltiples dominios; La FIGURA 4B es un diagrama de flujo que representa un proceso usado para gestionar el acceso a recursos en múltiples dominios; y La FIGURA 5 es un diagrama de bloques de un sistema informático que se puede usar para implementar una realización.
DESCRIPCIÓN DETALLADA DE LA REALIZACIÓN PREFERIDA Se describe un método y aparato para un sistema de control de acceso multi-dominio. En la siguiente descripción, para los propósitos de explicación, se establecen en adelante numerosos detalles específicos para proporcionar una comprensión minuciosa de la presente invención. Será evidente, no obstante, para un experto en la técnica que la presente invención se puede poner en práctica sin estos detalles específicos. En otros ejemplos, se muestran unas estructuras y dispositivos bien conocidos en forma de diagrama de bloques para evitar oscurecer innecesariamente la presente invención.
La FIGURA 2 es un diagrama de bloques que representa la arquitectura de red ejemplar 200, una arquitectura que incorpora un sistema de control de acceso multi-dominio. Un sistema de control de acceso multi-dominio permite a un usuario acceder a múltiples dominios pero solamente requiere al usuario registrarse una vez para conseguir el acceso. Los dominios protegidos por un sistema de control de acceso multi-dominio se conocen en la presente memoria como dominios de confianza con respecto al sistema de control de acceso multi-dominio.
La arquitectura de red ejemplar 200 incluye los navegadores 210, cada uno de los cuales está acoplado por un enlace de comunicación a una red 202. Los bloques mostrados para los navegadores 210 pueden representar un terminal, ordenador de estación de trabajo, o un equivalente que ejecuta un programa de navegador Web estándar o un equivalente, tal como Netscape Communicator o, Internet Explorer. Los usuarios 212 interactúan con los navegadores 210 para acceder a los recursos a través de la red 202. La red 102 es una red comunicación de información compatible, preferiblemente Internet. En realizaciones alternativas, un navegador 210 es un proceso cliente o estación de trabajo cliente de cualquier tipo conveniente, y la red 202 es una red de comunicación de datos que puede transferir información entre el cliente y un servidor que también está acoplado a la red.
Los navegadores 210 transmiten peticiones para recursos (“petición de recursos”) a los servidores protegidos 205,
que transmiten el recurso requerido siempre que el usuario que inicia la petición a través de un navegador 210 se haya autentificado mediante un sistema de control de acceso 220. Las peticiones se pueden ajustar, y responder, de una manera que se ajuste a HTTP. Los servidores protegidos 205, que incluyen los servidores protegidos 240, 260, 280, pueden ser servidores Web. En la determinación de quién ha sido autentificado, los servidores protegidos 205 y los recursos puestos a disposición por los recursos protegidos 205 pueden usar uno o más servicios del sistema de control de acceso 220.
Cada uno de los recursos protegidos 205 se puede direccionar mediante un nombre de dominio. De esta manera, cada uno de los recursos protegidos 205 y los recursos a los que se puede acceder a través de los servidores pertenecen a un dominio. El Servidor Protegido 240 y los recursos 248 y 249 pertenecen al Dominio Primario 241, el Servidor Protegido 260 y los recursos 268 y 269 pertenecen al Agente de Dominio Secundario 262, y el Servidor Protegido 280 y los recursos 288 y 289 pertenecen al Dominio Secundario 282. Los dominios representados en la FIGURA 2 están etiquetados dominio y secundario por razones que se explicarán en mayor detalle.
Para determinar si un usuario está autorizado para acceder al recurso, un servidor protegido 205 usa chivatos de control de acceso, que transmiten información derivada de ellos al sistema de control de acceso 220. Los chivatos de control de acceso pueden contener datos cifrados que especifican la información usada para verificar que el usuario es auténtico. El servidor protegido 205 puede derivar información a partir de los chivatos, y entonces transmitir una petición al sistema de control de acceso 120 para verificar si el usuario está autorizado, pasando la información derivada a partir de los chivatos, así como el recurso requerido. A continuación, el sistema de control de acceso 120 responde transmitiendo de vuelta un mensaje que especifica si el usuario está o no autorizado para acceder al recurso o cualquier otro recurso.
COMPONENTES PARA PROPORCIONAR ACCESO MULTI-DOMINIO Para proporcionar acceso multi-dominio, se crea y almacena una información de control de acceso. Cuando un usuario se autentifica primero, un navegador recibe un conjunto de chivatos de control de acceso asociados con un dominio particular desde el que se transmiten los chivatos. Posteriormente, el usuario puede requerir acceso a otro dominio protegido mediante el sistema de control de acceso 220. Por lo tanto, cuando el navegador transmite la petición a un servidor web que pertenece al otro dominio, no se transmiten los chivatos de control de acceso para el usuario. Un mecanismo verifica si un usuario se ha autentificado sin tener que recibir chivatos de control de acceso o hacer al usuario registrarse de nuevo.
Tal mecanismo se proporciona mediante los siguientes componentes del sistema de control de acceso 220: el Agente de Dominio Primario 242, los Agentes de Dominio Secundario 262 y 282, y el Servidor de Testigo Multi-Dominio 208. Estos elementos pueden ser servidores que cooperan uno con otro para proporcionar un sistema de control de acceso multi-dominio, que usa una variedad de técnicas que se describirán más tarde en mayor detalle.
Aunque cada técnica es diferente, hay aspectos de las funciones desempeñadas en cada una por un componente que siguen siendo los mismos. Además, diferentes componentes, o unos pocos componentes, que llevan a cabo las mismas funciones, son equivalentes y se pueden usar. Por lo tanto es útil describir la función que cada componente desempeña proporcionando una visión general de un proceso multi-dominio, como sigue.
Generalmente, en una realización, cuando un navegador transmite una petición a un servidor protegido en nombre de un usuario para acceder a un recurso en un dominio, y el navegador no transmite ningún chivato de control de acceso para el dominio, el navegador se conecta al agente de dominio secundario que pertenece al dominio. El agente de dominio secundario hace al navegador conectarse con el Agente de Dominio Primario 242. Si el usuario se ha autentificado, entonces el Agente de Dominio Primario 242 transmite al Servidor de Testigo Multi-Dominio 208 una petición para un “Testigo Multi-Dominio.” Un Testigo Multi-Dominio es un elemento de datos cifrado usado para verificar que el usuario se ha autentificado mediante el Sistema de Control de Acceso 220, y se explicará en mayor detalle. El Servidor de Testigo Multi-Dominio 208 genera un Testigo Multi-Dominio y lo suministra al Agente de Dominio Primario 242.
El Agente de Dominio Primario 242 transmite el Testigo Multi-Dominio al navegador, y hace al navegador conectarse al Agente de Dominio Secundario. Cuando el navegador conecta con el Agente de Dominio Secundario, el navegador transmite un Testigo Multi-Dominio al Agente de Dominio Secundario. El Agente de Dominio Secundario entonces transmite al Servidor de Testigo Multi-Dominio 208 una petición para verificar que el Testigo Multi-Dominio representa a un usuario que se ha autentificado por el sistema de control de acceso 220. Tras recibir desde el Servidor de Testigo Multi-Dominio 208 un mensaje que confirma que el usuario se ha autentificado, el Agente de Dominio Secundario transmite al navegador los chivatos de control de acceso que están asociados con el dominio del Agente de Dominio Secundario.
El Servidor de Testigo Multi-Dominio 208 incluye diversas funciones API para soportar el control multi-dominio. Éstas incluyen funciones para crear un Testigo Multi-Dominio, verificar un Testigo Multi-Dominio, almacenar y obtener datos para los chivatos de control de acceso asociados con un dominio particular, y añadir un dominio de confianza. Una lista de dominios de confianza se mantiene por el Servidor de Testigo Multi-Dominio 208.
El Servidor de Testigo Multi-Dominio 208 verifica que un Testigo Multi-Dominio fue expedido desde el Servidor de Testigo Multi-Dominio 208 a través del uso de tecnología de cifrado. Debido a que los Testigos Multi-Dominio se expiden solamente para usuarios autentificados, se puede suponer que un navegador que presenta un Testigo Multi-Dominio ha sido autentificado.
En una realización preferida, el tamaño del un Servidor de Testigo Multi-Dominio 208 se hace lo bastante pequeño de manera que pueda ser transportado como parte de la cadena de URL en una petición HTTP. La cadena de URL son datos transmitidos como parte de una petición de recursos, y se transmite con independencia del dominio al cual se requiere acceso. La cadena de URL contiene datos que especifican el URL, y puede contener otros datos, tales como parámetros en forma de parejas de nombre-valor. La cantidad de datos que se puede incluir en una cadena de URL es limitada. Debido a que la cadena de URL se transmite siempre en una petición de recursos, cuando se incluye un Testigo Multi-Dominio en una cadena de URL, se transmitirá. Si el Testigo Multi-Dominio fuera incluido en un chivato, solamente se transportaría en una petición de acceso al dominio asociado con el chivato.
En una realización, los servidores protegidos 205 y el sistema de control de acceso 220 se almacenan en y ejecutan por un servidor u ordenador físico. En realizaciones alternativas, uno o más de estos componentes están distribuidos en ordenadores separados; este planteamiento puede mejorar la seguridad y el rendimiento. Por ejemplo, cada uno de los servidores protegidos 205 se puede instalar en o ejecutar por ordenadores separados. El Agente de Dominio Primario 242 y los Agentes de Dominio Secundarios 262 y 282 se pueden instalar en el mismo ordenador como servidores protegidos 240, 260, 280 respectivamente. Cada uno de los servidores protegidos 205 y el Agente de Dominio Secundario y otros diversos componentes del controlador de Acceso 220 se pueden situar en una extranet para acceso por usuarios externos. El Servidor de Testigo Multi-Dominio 208 se puede acoplar a una Intranet segura que está protegida usando un cortafuegos.
Para que un Agente de Dominio Secundario realice su función, debe estar accesible a los usuarios para quienes no se puede proporcionar los chivatos de control de acceso autentificados. Por consiguiente, los Agentes de Dominio Secundarios 262 y 282 no están protegidos por el sistema de control de acceso 120. Por otra parte, el Agente de Dominio Primario 242 está inherentemente protegido. Debido a que está protegido, cualquier navegador que intente acceder al Agente de Dominio Primario 242 debe transmitir unos chivatos de control de acceso que muestren que el usuario es auténtico. Si el navegador no presenta tales chivatos de control de acceso, se pueden obtener realizando procedimientos de registro.
El Agente de Dominio Primario 242, los Agentes de Dominio Secundarios 262 y 282, y el Servidor de Testigo Multi-Dominio 208 se pueden implementar usando una variedad de tecnologías de soporte lógico. Por ejemplo, el Agente de Dominio Primario 242, los Agentes de Dominio Secundarios 262 y 282 se pueden escribir como secuencias de comandos CGI, API de Servidor Netscape, complementos API de Servidor de Internet. El Servidor de Testigo Multi-Dominio 208 se puede escribir usando soporte lógico usado para generar módulos y objetos compatibles con CORBA.
CONTROL DE ACCESO MULTI-DOMINIO La FIGURA 3A, la FIGURA 3B, la FIGURA 4A, y la FIGURA 4B son diagramas de flujo que representan, en parte, una realización de un proceso para implementar un sistema de control de acceso multi-dominio. Los pasos se ilustran usando la arquitectura de red ejemplar en la FIGURA 2. En la ilustración, los clientes comunican usando el protocolo HTTP. No obstante, se puede usar cualquier versión de HTTP, o cualquier otro protocolo de comunicación adecuado.
Con referencia a la FIGURA 3A, en el paso 310, el navegador 210-1 transmite una petición de recursos al servidor protegido 260 para el recurso 268, un recurso protegido. Un recurso protegido es un recurso al que solamente se puede acceder por usuarios autentificados por el sistema de control de acceso 220. En la transmisión de la petición de recursos, el navegador 210-1 no transmitió ningún chivato de control de acceso para el dominio del recurso 268, es decir, el dominio secundario 261, que en la presente memoria se conoce como el dominio requerido.
En el paso 314, el servidor protegido 260 determina si los chivatos de control de acceso para el dominio requerido se transmitieron o no al servidor protegido 260 como parte de la petición de recursos transmitida en el paso 310. Si los chivatos de control de acceso fueron recibidos, entonces los pasos mostrados en la FIGURA 3A finalizan. Cuando los pasos en las FIGURA 3A – 4B se describen como que finalizan, alternativamente, puede ocurrir otro procesamiento. Este procesamiento puede incluir, por ejemplo, operaciones para verificar que los chivatos de control de acceso representan un usuario auténtico y proporcionar acceso al recurso requerido, u operaciones para denegar acceso al recurso requerido. El procesamiento adicional que ocurre puede depender de dónde finalizan los pasos en el proceso representado en las FIGURA 3 – FIGURA 4B.
Si por otra parte, en el paso 314, el servidor protegido 260 determina que los chivatos de control de acceso para el dominio requerido no se han transmitido, entonces la ejecución pasa al paso 318.
En el paso 318, el servidor protegido 260 redirige el navegador 210-1 a un Agente de Dominio Secundario, por ejemplo, el Agente de Dominio Secundario 262. El término redirigir se refiere a transmitir una redirección a un navegador, que son datos que hacen al navegador generar otra petición de acceso a otro recurso especificado en la redirección. La redirección puede especificar parámetros y valores de parámetros para pasar junto con una petición dirigida al otro recurso. Por ejemplo, la redirección se puede consumar transmitiendo una página con una etiqueta de redirección HTML. La etiqueta incluye datos que especifican el URL del Agente de Dominio Secundario 262. La etiqueta también puede incluir valores de parámetros en forma de, por ejemplo parejas de valor de nombre que se pasan con la petición dirigida.
En el paso 322, el Agente de Dominio Secundario 262 recibe la petición dirigida desde el navegador 210-1. En respuesta, en el paso 324, el Agente de Dominio Secundario redirige el navegador 210-1 al Agente de Dominio Primario 242. La redirección especifica los valores del parámetro para pasar como parte de la petición dirigida al Agente de Dominio Primario 242. En una realización preferida, estos parámetros se conocen en la presente memoria como ORIGINATING_SDA, y pueden incluir lo siguiente.
1.El recurso requerido originalmente.
2.El dominio requerido, es decir, el dominio del recurso requerido originalmente.
3.El Agente de Dominio Secundario.
Los parámetros pueden comprender identificar información, por ejemplo, los URL o las direcciones IP.
Con referencia a la FIGURA 3B, en el paso 328, el Agente de Dominio Primario 242 recibe la petición dirigida iniciada en el paso 324.
En el paso 330, el Agente de Dominio Primario 242 determina si los chivatos de control de acceso para su dominio se han transmitido con la petición dirigida recibida en el paso 328. Si no, entonces el control pasa al paso 332, donde se determina si el usuario es auténtico. El paso puede incluir diversos procesos para autentificar usuarios, incluyendo autentificación de usuario/contraseña, o uso de certificados digitales. Si el usuario no es auténtico, entonces la ejecución de los pasos finaliza. De otro modo, el control fluye al paso 336, donde los chivatos de control de acceso para el dominio del Agente de Dominio Primario 242, el dominio 241, se transmiten al navegador 210-1. En el paso 338, el navegador se redirige al Agente de Dominio Primario 242. En el paso 328, el Agente de Dominio Primario 242 recibe la petición dirigida, que incluye los chivatos de control de acceso. En el paso 330, el Agente de Dominio Primario 242 determina que los chivatos de control de acceso para su dominio se han transmitido como parte de la petición dirigida.
Con referencia a la FIGURA 4A, en el paso 410, el Agente de Dominio Primario 242 determina si el dominio requerido, según se especifica en ORIGINATING_SMDA, es o no un dominio de confianza. Para realizar esta determinación, el Agente de Dominio Primario 242 puede invocar una función API del Servidor de Testigo Multi-Dominio 208. Si el Agente de Dominio Primario 242 determina que el dominio requerido no es un dominio de confianza, entonces la ejecución de los pasos finaliza. De otro modo, la ejecución de los pasos pasa al paso 414.
En el paso 414, el Agente de Dominio Primario 242 transmite copias de los chivatos de control de acceso recibidos en el paso 328 al Servidor de Testigo Multi-Dominio 208.
En el paso 418, el Servidor de Testigo Multi-Dominio 208 recibe los chivatos y los almacena en memoria caché. Se pueden almacenar aquí durante periodo de tiempo configurable.
En el paso 422, el Servidor de Testigo Multi-Dominio 208 genera un Testigo Multi-Dominio y lo transmite al Agente de Dominio Primario 242. El Testigo Multi-Dominio puede tener una variedad de elementos de datos. Por ejemplo, puede incluir (1) datos que identifican la copia de los chivatos almacenados en el Servidor de Testigo Multi-Dominio 208 según el paso 418 (“ID del Conjunto de Chivatos”), (2) el URL original del recurso requerido originalmente, y (3) un valor de generación de claves en base a los dos elementos previos. Un Testigo Multi-Dominio no está limitado a contener cualquier conjunto particular de elementos de datos y otra información equivalente se puede usar.
En el paso 424, el Agente de Dominio Primario 242 redirige el navegador 210-1 al Agente de Dominio Secundario 262, transmitiendo el Testigo Multi-Dominio.
Con referencia a la FIGURA 4B, en el paso 428, el Agente de Dominio Secundario 262 recibe la petición dirigida, incluyendo el Testigo Multi-Dominio.
En el paso 432, para verificar el Testigo Multi-Dominio, el Agente de Dominio Secundario 262 transmite el Testigo Multi-Dominio al Servidor de Testigo Multi-Dominio 208.
En el paso 436, el Servidor de Testigo Multi-Dominio 208 determinar si es auténtico o no el Testigo Multi-Dominio, es decir, si se ha expedido por un Servidor de Testigo Multi-Dominio 208 para un usuario auténtico. El proceso de hacer esta determinación implica descifrar el testigo. Si el Testigo Multi-Dominio no es auténtico, entonces la ejecución de los pasos finaliza. De otro modo, el control fluye al paso 440.
En el paso 440, los chivatos de control de acceso almacenados previamente, que se identifican por Cookie_Set_Id, se transmiten al Agente de Dominio Secundario. Ya no es necesario almacenar en memoria caché los chivatos de control de acceso. En el paso 444, el Agente de Dominio Secundario 262 redirige el navegador 210-1 al recurso requerido originalmente, transmitiendo los chivatos de control de acceso al navegador 210-1.
En el paso 448, el navegador 210-1 transmite la petición dirigida, solicitando el recurso requerido originalmente. Como resultado del navegador que recibe los chivatos de control de acceso transmitidos a él por el agente de dominio secundario 262 en el paso 444, la petición de redirección transmitida por el navegador 210-1 incluye los chivatos de control de acceso. Consecuentemente, el navegador 210-1 puede acceder al recurso requerido originalmente, suponiendo que los chivatos de control de acceso especifican suficientes privilegios.
CONTROL DE ACCESO MULTI-DOMINIO ALTERNATIVO En el paso 414, el Agente de Dominio Primario 242 transmite copias de los chivatos de control de acceso recibidos en el paso 328 al Servidor de Testigo Multi-Dominio 208, que hace al Servidor de Testigo Multi-Dominio 208 almacenar los chivatos de control de acceso en memoria caché hasta que se requieren más tarde por un Agente de Dominio Secundario. Más que transportar los chivatos de control de acceso al Agente de Dominio Secundario de esta manera, se pueden transportar a través del Testigo Multi-Dominio. Por supuesto el Testigo Multi-Dominio está limitado en tamaño, y no es capaz de mantener la cantidad de datos que se pueden almacenar en el chivato y que se pueden necesitar para privilegios de control de acceso.
Después de que el navegador 210-1 recibe los chivatos de control de acceso a través de un Agente de Dominio Secundario 260, el navegador 210-1 puede requerir un recurso en otro dominio de confianza. Si el navegador no está almacenando los chivatos de control de acceso para este dominio, entonces no se transmitirán chivatos de control de acceso con la petición para acceder al recurso en el otro dominio de confianza. Consecuentemente, los pasos mostrados en las FIGURA 3A y las FIGURA 4B se vuelven a ejecutar, y estos pasos pueden llegar a ser un ciclo que se repite cada vez que se accede a otro dominio de confianza.
La repetición de los pasos mostrados en las FIGURA 3A – 4B se puede evitar modificando el proceso representado como sigue. En el paso 444, más que redirigir el navegador al recurso requerido originalmente, el Agente de Dominio Secundario redirige el navegador a otro Agente de Dominio Secundario, transmitiendo el Testigo Multi-Dominio con la petición de redirección. Después de verificar el Testigo Multi-Dominio, el otro Agente de Dominio Secundario redirige el navegador aún a otro Agente de Dominio Secundario en otro dominio de confianza, transmitiendo los chivatos de control de acceso al navegador y el Testigo Multi-Dominio al navegador. Este proceso se repite hasta que el navegador recibe los chivatos de control de acceso para todos los dominios de confianza, en cuyo punto el navegador se redirige al recurso requerido originalmente.
Para propósitos de eficiencia y manejo de fallos, puede ser deseable ejecutar réplicas de Servidores de Testigo Multi-Dominio. Los chivatos de control de acceso se podrían replicar en cada réplica de Servidor de Testigo Multi-Dominio. De esta manera, cuando un Servidor de Testigo Multi-Dominio recibe una petición para almacenar los chivatos de control de acceso, los almacena y comunica a las otras réplicas del Servidor de Testigo Multi-Dominio. Consecuentemente, para propósitos de recuperación de los chivatos de control de acceso, un Agente de Dominio secundario puede requerir una copia de un conjunto de chivatos de control de acceso desde cualquier réplica.
Para evitar replicar los chivatos de control de acceso en todas las réplicas de un Servidor de Testigo Multi-Dominio, se almacenaría solamente un conjunto de chivatos de control de acceso para un usuario en una réplica. Específicamente, en respuesta a una petición de almacenar copias de chivatos de control de acceso, una réplica de Servidor de Testigo Multi-Dominio genera un Testigo Multi-Dominio que incluye un Id de Réplica que identifica el Servidor de Testigo Multi-Dominio. Un Agente de Dominio Secundario requiere chivatos de control de acceso del Servidor de Testigo Multi-Dominio identificados por un Testigo Multi-Dominio.
Si una réplica falla, un Agente de Dominio Secundario redirige los navegadores que presentan un Testigo Multi-Dominio que identifica el Servidor de Testigo Multi-Dominio 208 fallado al Agente de Dominio Primario 242. Esta redirección puede conducir eventualmente a generar y almacenar otro conjunto de chivatos de control de acceso en una réplica de Servidor de Testigo Multi-Dominio en funcionamiento, y la generación de otro Testigo Multi-Dominio que identifica el Servidor de Testigo Multi-Dominio en funcionamiento.
VISIÓN GENERAL DE LOS COMPONENTES FÍSICOS La FIGURA 5 es un diagrama de bloques que ilustra un sistema informático 500 sobre el cual se puede implementar una realización de la invención. El sistema informático 500 incluye un canal principal 502 u otro mecanismo de comunicación para comunicar información, y un procesador 504 acoplado con el canal principal 502 para el procesamiento de la información. El sistema informático 500 también incluye una memoria principal 506, tal como una memoria de acceso aleatorio (RAM) u otro dispositivo de almacenamiento dinámico, acoplado al canal principal 502 para almacenar la información y las instrucciones a ser ejecutadas por el procesador 504. La memoria principal 506 también se puede usar para almacenar variables temporales u otra información intermedia durante la ejecución de instrucciones a ser ejecutadas por el procesador 504. El sistema informático 500 además incluye una memoria sólo de lectura (ROM) 508 u otro dispositivo de almacenamiento estático acoplado al canal principal 502 para almacenar información estática e instrucciones para el procesador 504. Un dispositivo de almacenamiento 510, tal como un disco magnético o disco óptico, se proporciona y acopla al canal principal 502 para almacenar la información y las instrucciones.
El sistema informático 500 se puede acoplar a través del canal principal 502 a un visualizador 512, tal como un tubo de rayos catódicos (CRT), para visualizar información para un usuario del ordenador. Un dispositivo de entrada 514, que incluye teclas alfanuméricas y otras, está acoplado al canal principal 502 para comunicar la información y las selecciones de comandos al procesador 504. Otro tipo de dispositivo de entrada de usuario es el control de cursor 516, tal como un ratón, bola de apuntamiento, o teclas de dirección de cursor para comunicar la información de dirección y las selecciones de comando al procesador 504 y para controlar el movimiento del cursor sobre el visualizador 512. Este dispositivo de entrada típicamente tiene dos grados de libertad en dos ejes, un primer eje (por ejemplo, x) y un segundo eje (por ejemplo, y), que permite al dispositivo especificar las posiciones en un plano.
La invención está relacionada con el uso del sistema informático 500 para implementar las técnicas descritas en la presente memoria. Según una realización de la invención, esas técnicas se implementan por el sistema informático 500 en respuesta al procesador 504 que ejecuta una o más secuencias de una o más instrucciones contenidas en la memoria principal 506. Tales instrucciones se pueden leer en la memoria principal 506 desde otro medio legible por ordenador, tal como el dispositivo de almacenamiento 510. La ejecución de las secuencias de instrucciones contenidas en la memoria principal 506 hace al procesador 504 realizar los pasos del proceso descritos en la presente memoria. En realizaciones alternativas, se puede usar una circuitos cableados en lugar de o en combinación con instrucciones de soporte lógico para implementar la invención. De esta manera, las realizaciones de la invención no están limitadas a cualquier combinación específica de circuitos de componentes físicos y soporte lógico.
El término “medio legible por ordenador” como se usa en la presente memoria se refiere a cualquier medio que
participa en proporcionar instrucciones al procesador 504 para la ejecución. Tal medio puede tomar muchas formas, incluyendo pero no limitadas a, medios no volátiles, medios volátiles, y medios de transmisión. Los medios no volátiles incluyen, por ejemplo, discos ópticos o magnéticos, tales como el dispositivo de almacenamiento 510. Los medios volátiles incluyen una memoria dinámica, tal como la memoria principal 506. Los medios de transmisión incluyen cables coaxiales, hilos de cobre y fibras ópticas, incluyendo los hilos que comprenden el canal principal
502. Los medios de transmisión también pueden tomar la forma de ondas acústicas o luminosas, tales como aquéllas generadas durante las comunicaciones de datos de ondas de radio e infrarrojos.
Las formas comunes de medios legibles por ordenador incluyen, por ejemplo, un disquete, un disco flexible, un disco duro, cinta magnética, o cualquier otro medio magnético, un CD-ROM, cualquier otro medio óptico, tarjetas perforadas, cinta de papel, y cualquier otro medio físico con patrones de agujeros, una RAM, una PROM, y EPROM, una FLASH-EPROM, cualquier otro circuito integrado o cartucho de memoria, una onda portadora como se describe en lo sucesivo, o cualquier otro medio desde el cual puede leer un ordenador.
Se pueden implicar diversas formas de medios legibles por ordenador en transportar una o más secuencias de una o más instrucciones al procesador 504 para la ejecución. Por ejemplo, las instrucciones se pueden llevar a cabo inicialmente en un disco magnético de un ordenador remoto. El ordenador remoto puede cargar las instrucciones en su memoria dinámica y enviar las instrucciones sobre una línea de teléfono usando un módem. Un módem local para el sistema informático 500 puede recibir los datos en la línea de teléfono y usar el transmisor de infrarrojos para convertir los datos a una señal de infrarrojos. Un detector de infrarrojos puede recibir los datos transportados en la señal de infrarrojos y los circuitos adecuados pueden situar los datos en el canal principal 502. El canal principal 502 transporta los datos a la memoria principal 506, desde la que el procesador 504 recupera y ejecuta las instrucciones. Las instrucciones recibidas por la memoria principal 506 se puede almacenar de manera opcional en el dispositivo de almacenamiento 510 o bien antes o bien después de la ejecución por el procesador 504.
El sistema informático 500 también incluye una interfaz de comunicación 518 acoplada al canal principal 502. La interfaz de comunicación 518 proporciona una comunicación de datos de dos vías que se acopla a un enlace de red 520 que está conectado a una red local 522. Por ejemplo, la interfaz de comunicación 518 puede ser una tarjeta de red digital de servicios integrados (ISDN) o un módem para proporcionar una conexión de comunicación de datos a un tipo correspondiente de línea de teléfono. Según otro ejemplo, la interfaz de comunicación 518 puede ser una tarjeta de red de área local (LAN) para proporcionar conexión de comunicación de datos a una LAN compatible. También se pueden implementar enlaces inalámbricos. En cualquier implementación tal, la interfaz de comunicación 518 envía y recibe señales eléctricas, electromagnéticas u ópticas que transportan secuencias de datos digitales que representan diversos tipos de información.
El enlace de red 520 típicamente proporciona comunicación de datos a través de una o más redes a otros dispositivos de datos. Por ejemplo, el enlace de red 520 puede proporcionar una conexión a través de la red local 522 a un ordenador principal 524 o al equipo de datos operado por un Proveedor de Servicios de Internet (ISP) 526. El ISP 526 a su vez proporciona servicios de comunicación de datos a través de la red de comunicación de datos
por paquetes en todo el mundo ahora comúnmente conocida como “Internet” 528. La red local 522 e Internet 528
ambas usan señales eléctricas, electromagnéticas u ópticas que transportan secuencias de datos digitales. Las señales a través de las diversas redes y las señales en el enlace de red 520 y a través de la interfaz de comunicación 518, que transporta los datos digitales a y desde el sistema informático 500, son formas ejemplares de ondas portadoras que transportan la información.
El sistema informático 500 puede enviar mensajes y recibir datos, incluyendo un código de programa, a través de la(s) red(es), el enlace de red 520 y la interfaz de comunicación 518. En el ejemplo de Internet, un servidor 530 podría transmitir un código requerido para un programa de aplicaciones a través de Internet 528, el ISP 526, la red local 522 y la interfaz de comunicación 518. De acuerdo con la invención, una aplicación descargada tal implementa las técnicas descritas en la presente memoria.
El código recibido se puede ejecutar por el procesador 504 según se recibe, y/o almacenar en el dispositivo de almacenamiento 510, u otro almacenamiento no volátil para ejecución posterior. De esta manera, el sistema informático 500 puede obtener un código de aplicación en forma de una onda portadora.
En la especificación anteriormente mencionada, la invención se ha descrito con referencia a realizaciones específicas de la misma.

Claims (10)

  1. REIVINDICACIONES
    1. Un método para controlar el acceso por un cliente (210-1) a un recurso (268) protegido por un sistema de control de acceso (220) que usa chivatos de control de acceso, transmitidos en conjunto con peticiones de acceso al recurso, para determinar si se puede permitir el acceso, en donde dichos chivatos de control de acceso se transmiten solamente entre dicho cliente y uno o más servidores que pertenecen a un primer dominio, el método que comprende los pasos de:
    un primer servidor (260) que pertenece a dicho primer dominio que recibe un elemento de datos particular desde dicho cliente (210-1); en donde dicho elemento de datos particular:
    fue transmitido a dicho cliente desde un segundo servidor (242) que no pertenece a dicho primer dominio, e indica que un usuario se ha autentificado por dicho sistema de control de acceso;
    dicho primer servidor (260) que determina que dicho usuario se ha autentificado por dicho sistema de control de acceso (220) en base a dicho elemento de datos particular; y en respuesta a dicho primer servidor (260) determinar que dicho usuario puede acceder a dicho recurso, dicho primer servidor (260) que transmite a dicho cliente un chivato de control de acceso generado por dicho sistema de control de acceso (220).
  2. 2.
    El método de la reivindicación 1, que además incluye los pasos de:
    recibir una primera petición desde dicho cliente (210-1) para acceder a dicho recurso (268); determinar que dicho cliente no transmitió un chivato de control de acceso particular en conjunto con dicha primera petición que se puede usar para determinar si dicho cliente puede acceder a dicho recurso (268); y en respuesta a determinar que dicho cliente no transmitió un chivato de control de acceso particular en conjunto con dicha primera petición, dicho primer servidor (260) hacer a dicho cliente transmitir una segunda petición a dicho segundo servidor (242) para determinar los derechos de acceso de dicho cliente.
  3. 3.
    El método de la reivindicación 2, en donde dicho elemento de datos particular fue transmitido a dicho cliente (210-1) desde dicho segundo servidor (242) en respuesta a dicho segundo servidor que determina que dicho usuario se ha autentificado, en donde dicho segundo servidor que determina que dicho usuario se ha autentificado incluye dicho servidor que realiza al menos uno de:
    hacer a dicho usuario registrarse a dicho sistema de control de acceso para ser autentificado por dicho sistema de control de acceso (220), y examinar uno o más chivatos que están asociados con un nombre de dominio asociado con dicho segundo servidor pero no dicho primer servidor.
  4. 4.
    El método de cualquier reivindicación precedente, que además incluye los pasos de:
    hacer que dicho cliente transmita dicho elemento de datos particular a uno o más de otros servidores, en donde cada uno de los otros servidores de dicho uno o más de otros servidores transmite otros elementos de datos que se transmiten solamente entre dicho cliente y otro dominio de uno o más servidores al que pertenece dicho cada uno de otro servidor; y dicho cada uno de otro servidor de dicho uno o más de otros servidores que transmiten otra información de control de acceso generada por dicho sistema de control de acceso en otro elemento de datos o dichos otros elementos de datos respectivos.
  5. 5.
    El método de cualquier reivindicación precedente, el método que además incluye los pasos de:
    dicho segundo servidor (242) hacer que un segundo chivato de control de acceso que refleja dicho chivato de control de acceso sea almacenado en un mecanismo de almacenamiento que se puede acceder por dicho primer servidor (260); y dicho primer servidor que recupera dicho chivato de control de acceso para generar dicho chivato de control de acceso; en donde preferiblemente dicho mecanismo de almacenamiento es un servidor particular (208) dedicado a generar chivatos de control de acceso que cada uno indica que un usuario particular se ha autentificado por dicho sistema de control de acceso, el método que además incluye el paso de dicho servidor particular generar dicho elemento de datos particular en respuesta a una petición transmitida por dicho segundo servidor a dicho servidor particular.
  6. 6.
    El método de cualquier reivindicación precedente, que además incluye los pasos de:
    dicho segundo servidor (242) que transmite una petición para dicho elemento de datos particular a un servidor particular (208) dedicado a generar chivatos de control de acceso que cada uno indica que un usuario particular ha sido autentificado por dicho sistema de control de acceso; y dicho servidor particular generar dicho elemento de datos particular y transmitir dicho elemento de datos particular a dicho segundo servidor; en donde el paso de que dicho primer servidor determine que dicho usuario se ha autentificado por dicho sistema de control de acceso preferiblemente incluye que dicho primer servidor transmita una petición a dicho servidor particular para verificar que dicho elemento de datos particular está asociado con un usuario que se ha autentificado.
  7. 7.
    Un medio legible por ordenador que transporta una o más secuencias de una o más instrucciones para controlar el acceso por un cliente (210-1) a un recurso (268) protegido por un sistema de control de acceso (220) que usa chivatos de control de acceso, transmitidos en conjunto con las peticiones para acceder al recurso, para determinar si se puede permitir el acceso, en donde dichos chivatos de control de acceso solamente se transmiten entre dicho cliente (210-1) y uno o más servidores que pertenecen a un primer dominio, la una o más secuencias de una o más instrucciones que incluyen instrucciones que cuando se ejecutan por uno o más procesadores, hacen al uno o más procesadores realizar los pasos de:
    un primer servidor (260) que pertenece a dicho primer dominio recibir un elemento de datos particular de dicho cliente (210-1); en donde dicho elemento de datos particular:
    fue transmitido a dicho cliente desde un segundo servidor (242) que no pertenece a dicho primer dominio, e indica que un usuario se ha autentificado por dicho sistema de control de acceso;
    dicho primer servidor (260) que determina que dicho usuario se ha autentificado por dicho sistema de control de acceso (220) en base a dicho elemento de datos particular; y en respuesta a dicho primer servidor (260) determinar que dicho usuario puede acceder a dicho recurso, dicho primer servidor (260) que transmite a dicho cliente (210-1) un chivato de control de acceso generado por dicho sistema de control de acceso (220).
  8. 8.
    El medio legible por ordenador de la reivindicación 7, que además incluye los pasos de:
    recibir una primera petición desde dicho cliente (210-1) para acceder a dicho recurso (268); determinar que dicho cliente no transmitió un chivato de control de acceso particular en conjunto con dicha primera petición que se puede usar para determinar si dicho cliente puede acceder a dicho recurso (268); y en respuesta a determinar que dicho cliente no transmitió dicho chivato de control de acceso particular en conjunto con dicha primera petición, dicho primer servidor (260) hacer a dicho cliente transmitir una segunda petición a dicho segundo servidor (242) para determinar los derechos de acceso de dicho cliente.
  9. 9.
    El medio legible por ordenador de la reivindicación 8, en donde dicho elemento de datos particular fue transmitido a dicho cliente (210-1) desde dicho segundo servidor (242) en respuesta a dicho segundo servidor que determina que dicho usuario se ha autentificado.
  10. 10.
    El medio legible por ordenador de las reivindicaciones 8 o 9, en donde dicho segundo servidor (242) que determina que dicho usuario (210-1) se ha autentificado incluye dicho servidor que realiza al menos uno de:
    hacer a dicho usuario registrarse a dicho sistema de control de acceso (220) a ser autentificado por dicho sistema de control de acceso, y examinar uno o más chivatos que están asociados con un nombre de dominio asociado con dicho segundo servidor pero no con dicho primer servidor.
ES00961372T 1999-08-23 2000-08-23 Control de acceso multi-dominio Expired - Lifetime ES2409629T3 (es)

Applications Claiming Priority (5)

Application Number Priority Date Filing Date Title
US15039299P 1999-08-23 1999-08-23
US150392P 1999-08-23
US09/535,080 US6339423B1 (en) 1999-08-23 2000-03-23 Multi-domain access control
US535080 2000-03-23
PCT/US2000/023442 WO2001015377A1 (en) 1999-08-23 2000-08-23 Multi-domain access control

Publications (1)

Publication Number Publication Date
ES2409629T3 true ES2409629T3 (es) 2013-06-27

Family

ID=26847603

Family Applications (1)

Application Number Title Priority Date Filing Date
ES00961372T Expired - Lifetime ES2409629T3 (es) 1999-08-23 2000-08-23 Control de acceso multi-dominio

Country Status (4)

Country Link
US (2) US6339423B1 (es)
EP (1) EP1216533B1 (es)
ES (1) ES2409629T3 (es)
WO (1) WO2001015377A1 (es)

Families Citing this family (219)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7403922B1 (en) 1997-07-28 2008-07-22 Cybersource Corporation Method and apparatus for evaluating fraud risk in an electronic commerce transaction
US7096192B1 (en) * 1997-07-28 2006-08-22 Cybersource Corporation Method and system for detecting fraud in a credit card transaction over a computer network
US6965999B2 (en) * 1998-05-01 2005-11-15 Microsoft Corporation Intelligent trust management method and system
US7155605B1 (en) * 1999-03-31 2006-12-26 Lenovo (Singapore) Pte. Ltd. Data processing system and method for maintaining secure data blocks
US7140039B1 (en) * 1999-06-08 2006-11-21 The Trustees Of Columbia University In The City Of New York Identification of an attacker in an electronic system
US7272855B1 (en) 1999-06-08 2007-09-18 The Trustees Of Columbia University In The City Of New York Unified monitoring and detection of intrusion attacks in an electronic system
US7013296B1 (en) 1999-06-08 2006-03-14 The Trustees Of Columbia University In The City Of New York Using electronic security value units to control access to a resource
US6745332B1 (en) * 1999-06-29 2004-06-01 Oracle International Corporation Method and apparatus for enabling database privileges
US7058817B1 (en) * 1999-07-02 2006-06-06 The Chase Manhattan Bank System and method for single sign on process for websites with multiple applications and services
US7058683B1 (en) 1999-07-20 2006-06-06 Sun Microsystems, Inc. Methods and apparatus for providing a virtual host in electronic messaging servers
US6778653B1 (en) * 1999-11-09 2004-08-17 Nortel Networks Limited Storing information about a telephony session
US8571975B1 (en) 1999-11-24 2013-10-29 Jpmorgan Chase Bank, N.A. System and method for sending money via E-mail over the internet
US7137009B1 (en) * 2000-01-06 2006-11-14 International Business Machines Corporation Method and apparatus for securing a cookie cache in a data processing system
US20010047397A1 (en) * 2000-02-18 2001-11-29 Jameson David H. Method and system for using pervasive device to access webpages
US20020138728A1 (en) * 2000-03-07 2002-09-26 Alex Parfenov Method and system for unified login and authentication
JP3641590B2 (ja) * 2000-03-13 2005-04-20 ヤフー株式会社 アクセス認証システム
US8239445B1 (en) * 2000-04-25 2012-08-07 International Business Machines Corporation URL-based sticky routing tokens using a server-side cookie jar
US7039699B1 (en) * 2000-05-02 2006-05-02 Microsoft Corporation Tracking usage behavior in computer systems
CA2409280A1 (en) * 2000-05-15 2001-11-22 Communicator, Inc. Method and system for providing an online industry hub
US7200863B2 (en) * 2000-05-16 2007-04-03 Hoshiko Llc System and method for serving content over a wide area network
JP2001338062A (ja) * 2000-05-26 2001-12-07 Nec Corp 電子カルテ情報管理システムおよび電子カルテ情報管理方法
US7426530B1 (en) 2000-06-12 2008-09-16 Jpmorgan Chase Bank, N.A. System and method for providing customers with seamless entry to a remote server
US10185936B2 (en) * 2000-06-22 2019-01-22 Jpmorgan Chase Bank, N.A. Method and system for processing internet payments
US7464162B2 (en) * 2000-07-10 2008-12-09 Oracle International Corporation Systems and methods for testing whether access to a resource is authorized based on access information
US7080077B2 (en) * 2000-07-10 2006-07-18 Oracle International Corporation Localized access
US9038170B2 (en) 2000-07-10 2015-05-19 Oracle International Corporation Logging access system events
US7124203B2 (en) * 2000-07-10 2006-10-17 Oracle International Corporation Selective cache flushing in identity and access management systems
US7249369B2 (en) * 2000-07-10 2007-07-24 Oracle International Corporation Post data processing
US8661539B2 (en) * 2000-07-10 2014-02-25 Oracle International Corporation Intrusion threat detection
US7134137B2 (en) * 2000-07-10 2006-11-07 Oracle International Corporation Providing data to applications from an access system
US7194764B2 (en) * 2000-07-10 2007-03-20 Oracle International Corporation User authentication
US7711798B1 (en) * 2000-07-12 2010-05-04 Paltalk Holdings, Inc. Method and computer program for offering products and services by examining user activity
US7200869B1 (en) * 2000-09-15 2007-04-03 Microsoft Corporation System and method for protecting domain data against unauthorized modification
US6925497B1 (en) * 2000-09-26 2005-08-02 Microsoft Corporation Systems and methods for controlling the number of clients that access a server
US7051069B2 (en) * 2000-09-28 2006-05-23 Bea Systems, Inc. System for managing logical process flow in an online environment
US6823391B1 (en) * 2000-10-04 2004-11-23 Microsoft Corporation Routing client requests to back-end servers
US6898633B1 (en) * 2000-10-04 2005-05-24 Microsoft Corporation Selecting a server to service client requests
US20040015584A1 (en) * 2000-10-09 2004-01-22 Brian Cartmell Registering and using multilingual domain names
US7103556B2 (en) * 2000-11-02 2006-09-05 Jpmorgan Chase Bank, N.A. System and method for aggregate portfolio client support
EP2378733B1 (en) * 2000-11-10 2013-03-13 AOL Inc. Digital content distribution and subscription system
US7093019B1 (en) * 2000-11-21 2006-08-15 Hewlett-Packard Development Company, L.P. Method and apparatus for providing an automated login process
US6718331B2 (en) * 2000-12-14 2004-04-06 International Business Machines Corporation Method and apparatus for locating inter-enterprise resources using text-based strings
US8095624B2 (en) * 2000-12-28 2012-01-10 CenterBeam Inc. Architecture for serving and managing independent access devices
US7185364B2 (en) * 2001-03-21 2007-02-27 Oracle International Corporation Access system interface
US7440962B1 (en) 2001-02-28 2008-10-21 Oracle International Corporation Method and system for management of access information
US7171411B1 (en) 2001-02-28 2007-01-30 Oracle International Corporation Method and system for implementing shared schemas for users in a distributed computing system
US7062563B1 (en) * 2001-02-28 2006-06-13 Oracle International Corporation Method and system for implementing current user links
FR2821685A1 (fr) * 2001-03-01 2002-09-06 Couponet S A Systeme d'echange d'informations entre des ordinateurs par l'intermediaire d'un reseau
US7499948B2 (en) 2001-04-16 2009-03-03 Bea Systems, Inc. System and method for web-based personalization and ecommerce management
US20030217333A1 (en) * 2001-04-16 2003-11-20 Greg Smith System and method for rules-based web scenarios and campaigns
US20030041050A1 (en) * 2001-04-16 2003-02-27 Greg Smith System and method for web-based marketing and campaign management
US8849716B1 (en) 2001-04-20 2014-09-30 Jpmorgan Chase Bank, N.A. System and method for preventing identity theft or misuse by restricting access
US7020705B2 (en) * 2001-04-26 2006-03-28 Intel Corporation De-authenticating in security environments only providing authentication
US20030005308A1 (en) * 2001-05-30 2003-01-02 Rathbun Paul L. Method and system for globally restricting client access to a secured web site
WO2002099598A2 (en) 2001-06-07 2002-12-12 First Usa Bank, N.A. System and method for rapid updating of credit information
US7392546B2 (en) * 2001-06-11 2008-06-24 Bea Systems, Inc. System and method for server security and entitlement processing
JP4301482B2 (ja) * 2001-06-26 2009-07-22 インターナショナル・ビジネス・マシーンズ・コーポレーション サーバ、情報処理装置及びそのアクセス制御システム並びにその方法
US7421411B2 (en) * 2001-07-06 2008-09-02 Nokia Corporation Digital rights management in a mobile communications environment
US7266839B2 (en) * 2001-07-12 2007-09-04 J P Morgan Chase Bank System and method for providing discriminated content to network users
GB2378010A (en) 2001-07-27 2003-01-29 Hewlett Packard Co Mulit-Domain authorisation and authentication
US20030037131A1 (en) * 2001-08-17 2003-02-20 International Business Machines Corporation User information coordination across multiple domains
US7920682B2 (en) * 2001-08-21 2011-04-05 Byrne William J Dynamic interactive voice interface
DE10144336A1 (de) * 2001-09-10 2003-04-03 Siemens Ag Anlagen-Server-Computer und Verfahren zur Überprüfung der Rechte für eine Eingabe eines Benutzers
US6976068B2 (en) * 2001-09-13 2005-12-13 Mcafee, Inc. Method and apparatus to facilitate remote software management by applying network address-sorting rules on a hierarchical directory structure
JP2003108520A (ja) * 2001-09-28 2003-04-11 Canon Inc 情報提供サーバ、端末装置及びその制御方法並びに情報提供システム
US7069581B2 (en) * 2001-10-04 2006-06-27 Mcafee, Inc. Method and apparatus to facilitate cross-domain push deployment of software in an enterprise environment
US20030074455A1 (en) * 2001-10-11 2003-04-17 International Business Machines Corporation Context aware server devices
JP4173447B2 (ja) * 2001-10-24 2008-10-29 ビーイーエイ システムズ， インコーポレイテッド データ同期
EP1444568A4 (en) * 2001-11-01 2005-11-09 Bank One Delaware Nat Ass SYSTEM AND METHOD FOR ESTABLISHING OR AMENDING AN ACCOUNT WITH USER SELECTABLE TERMS
US7225256B2 (en) * 2001-11-30 2007-05-29 Oracle International Corporation Impersonation in an access system
US7987501B2 (en) 2001-12-04 2011-07-26 Jpmorgan Chase Bank, N.A. System and method for single session sign-on
US7478418B2 (en) * 2001-12-12 2009-01-13 Guardian Data Storage, Llc Guaranteed delivery of changes to security policies in a distributed system
US8006280B1 (en) 2001-12-12 2011-08-23 Hildebrand Hal S Security system for generating keys from access rules in a decentralized manner and methods therefor
US7921288B1 (en) 2001-12-12 2011-04-05 Hildebrand Hal S System and method for providing different levels of key security for controlling access to secured items
US7260555B2 (en) 2001-12-12 2007-08-21 Guardian Data Storage, Llc Method and architecture for providing pervasive security to digital assets
US7681034B1 (en) 2001-12-12 2010-03-16 Chang-Ping Lee Method and apparatus for securing electronic data
US7178033B1 (en) 2001-12-12 2007-02-13 Pss Systems, Inc. Method and apparatus for securing digital assets
US8065713B1 (en) * 2001-12-12 2011-11-22 Klimenty Vainstein System and method for providing multi-location access management to secured items
US10033700B2 (en) * 2001-12-12 2018-07-24 Intellectual Ventures I Llc Dynamic evaluation of access rights
US10360545B2 (en) 2001-12-12 2019-07-23 Guardian Data Storage, Llc Method and apparatus for accessing secured electronic data off-line
US7930756B1 (en) 2001-12-12 2011-04-19 Crocker Steven Toye Multi-level cryptographic transformations for securing digital assets
US7921284B1 (en) 2001-12-12 2011-04-05 Gary Mark Kinghorn Method and system for protecting electronic data in enterprise environment
US7380120B1 (en) 2001-12-12 2008-05-27 Guardian Data Storage, Llc Secured data format for access control
US7921450B1 (en) 2001-12-12 2011-04-05 Klimenty Vainstein Security system using indirect key generation from access rules and methods therefor
US7783765B2 (en) * 2001-12-12 2010-08-24 Hildebrand Hal S System and method for providing distributed access control to secured documents
USRE41546E1 (en) 2001-12-12 2010-08-17 Klimenty Vainstein Method and system for managing security tiers
US7565683B1 (en) * 2001-12-12 2009-07-21 Weiqing Huang Method and system for implementing changes to security policies in a distributed security system
US7631184B2 (en) * 2002-05-14 2009-12-08 Nicholas Ryan System and method for imposing security on copies of secured items
US7350226B2 (en) * 2001-12-13 2008-03-25 Bea Systems, Inc. System and method for analyzing security policies in a distributed computer network
US7950066B1 (en) 2001-12-21 2011-05-24 Guardian Data Storage, Llc Method and system for restricting use of a clipboard application
US8176334B2 (en) 2002-09-30 2012-05-08 Guardian Data Storage, Llc Document security system that permits external users to gain access to secured files
US7661129B2 (en) * 2002-02-26 2010-02-09 Citrix Systems, Inc. Secure traversal of network components
US20180165441A1 (en) 2002-03-25 2018-06-14 Glenn Cobourn Everhart Systems and methods for multifactor authentication
US7748045B2 (en) * 2004-03-30 2010-06-29 Michael Frederick Kenrich Method and system for providing cryptographic document retention with off-line access
US8613102B2 (en) 2004-03-30 2013-12-17 Intellectual Ventures I Llc Method and system for providing document retention using cryptography
US7725560B2 (en) 2002-05-01 2010-05-25 Bea Systems Inc. Web service-enabled portlet wizard
AU2003239326A1 (en) 2002-05-01 2003-11-17 Bea Systems, Inc. Enterprise application platform
US20030226037A1 (en) * 2002-05-31 2003-12-04 Mak Wai Kwan Authorization negotiation in multi-domain environment
EP1520217A2 (en) * 2002-06-06 2005-04-06 Dick C. Hardt Distributed hierarchical identity management
US8544084B2 (en) 2002-08-19 2013-09-24 Blackberry Limited System and method for secure control of resources of wireless mobile communication devices
US7512810B1 (en) * 2002-09-11 2009-03-31 Guardian Data Storage Llc Method and system for protecting encrypted files transmitted over a network
US7058660B2 (en) 2002-10-02 2006-06-06 Bank One Corporation System and method for network-based project management
AU2003282212A1 (en) * 2002-10-17 2004-05-04 Vodafone Group Plc Facilitating and authenticating transactions
US7568218B2 (en) * 2002-10-31 2009-07-28 Microsoft Corporation Selective cross-realm authentication
US7836310B1 (en) 2002-11-01 2010-11-16 Yevgeniy Gutnik Security system that uses indirect password-based encryption
US8301493B2 (en) * 2002-11-05 2012-10-30 Jpmorgan Chase Bank, N.A. System and method for providing incentives to consumers to share information
US7451217B2 (en) * 2002-12-19 2008-11-11 International Business Machines Corporation Method and system for peer-to-peer authorization
US7890990B1 (en) 2002-12-20 2011-02-15 Klimenty Vainstein Security system with staging capabilities
US20040128559A1 (en) * 2002-12-31 2004-07-01 Zurko Mary Ellen Trusting security attribute authorities that are both cooperative and competitive
US7591000B2 (en) * 2003-02-14 2009-09-15 Oracle International Corporation System and method for hierarchical role-based entitlements
US8831966B2 (en) 2003-02-14 2014-09-09 Oracle International Corporation Method for delegated administration
US7653930B2 (en) 2003-02-14 2010-01-26 Bea Systems, Inc. Method for role and resource policy management optimization
US7293286B2 (en) * 2003-02-20 2007-11-06 Bea Systems, Inc. Federated management of content repositories
US7483904B2 (en) * 2003-02-20 2009-01-27 Bea Systems, Inc. Virtual repository content model
US20040167880A1 (en) * 2003-02-20 2004-08-26 Bea Systems, Inc. System and method for searching a virtual repository content
US20040167871A1 (en) * 2003-02-20 2004-08-26 Bea Systems, Inc. Content mining for virtual content repositories
US20040167868A1 (en) * 2003-02-20 2004-08-26 Bea Systems, Inc. System and method for a virtual content repository
US7415478B2 (en) * 2003-02-20 2008-08-19 Bea Systems, Inc. Virtual repository complex content model
US7840614B2 (en) 2003-02-20 2010-11-23 Bea Systems, Inc. Virtual content repository application program interface
US7562298B2 (en) 2003-02-20 2009-07-14 Bea Systems, Inc. Virtual content repository browser
US7941840B2 (en) * 2003-02-25 2011-05-10 Hewlett-Packard Development Company, L.P. Secure resource access
US7810036B2 (en) * 2003-02-28 2010-10-05 Bea Systems, Inc. Systems and methods for personalizing a portal
US8224887B2 (en) * 2003-03-26 2012-07-17 Authenticatid, Llc System, method and computer program product for authenticating a client
US7454786B2 (en) * 2003-03-27 2008-11-18 International Business Machines Corporation Method for integrated security roles
US8108920B2 (en) * 2003-05-12 2012-01-31 Microsoft Corporation Passive client single sign-on for web applications
US8108939B2 (en) * 2003-05-29 2012-01-31 Oracle International Corporation Method and apparatus to facilitate security-enabled content caching
US8707034B1 (en) 2003-05-30 2014-04-22 Intellectual Ventures I Llc Method and system for using remote headers to secure electronic files
US20040268139A1 (en) * 2003-06-25 2004-12-30 Microsoft Corporation Systems and methods for declarative client input security screening
US7730543B1 (en) * 2003-06-30 2010-06-01 Satyajit Nath Method and system for enabling users of a group shared across multiple file security systems to access secured files
US7472184B2 (en) * 2003-09-19 2008-12-30 International Business Machines Corporation Framework for restricting resources consumed by ghost agents
US7703140B2 (en) * 2003-09-30 2010-04-20 Guardian Data Storage, Llc Method and system for securing digital assets using process-driven security policies
US8127366B2 (en) 2003-09-30 2012-02-28 Guardian Data Storage, Llc Method and apparatus for transitioning between states of security policies used to secure electronic documents
GB2406925B (en) * 2003-10-09 2007-01-03 Vodafone Plc Facilitating and authenticating transactions
US7882132B2 (en) * 2003-10-09 2011-02-01 Oracle International Corporation Support for RDBMS in LDAP system
US7904487B2 (en) * 2003-10-09 2011-03-08 Oracle International Corporation Translating data access requests
US20050102536A1 (en) * 2003-10-10 2005-05-12 Bea Systems, Inc. Dynamically configurable distributed security system
US20050262362A1 (en) * 2003-10-10 2005-11-24 Bea Systems, Inc. Distributed security system policies
US20050097352A1 (en) * 2003-10-10 2005-05-05 Bea Systems, Inc. Embeddable security service module
US20050086531A1 (en) * 2003-10-20 2005-04-21 Pss Systems, Inc. Method and system for proxy approval of security changes for a file security system
US20050138371A1 (en) * 2003-12-19 2005-06-23 Pss Systems, Inc. Method and system for distribution of notifications in file security systems
US7702909B2 (en) * 2003-12-22 2010-04-20 Klimenty Vainstein Method and system for validating timestamps
KR101058002B1 (ko) * 2004-02-02 2011-08-19 삼성전자주식회사 도메인 관리 시스템하에서의 데이터 기록 및 재생 방법
US7752322B2 (en) * 2004-03-19 2010-07-06 Sony Corporation System for ubiquitous network presence and access without cookies
US7774601B2 (en) 2004-04-06 2010-08-10 Bea Systems, Inc. Method for delegated administration
US7475091B2 (en) * 2004-04-13 2009-01-06 Bea Systems, Inc. System and method for viewing a virtual content repository
US7236990B2 (en) * 2004-04-13 2007-06-26 Bea Systems, Inc. System and method for information lifecycle workflow integration
US7580953B2 (en) * 2004-04-13 2009-08-25 Bea Systems, Inc. System and method for schema lifecycles in a virtual content repository that integrates a plurality of content repositories
US7240076B2 (en) * 2004-04-13 2007-07-03 Bea Systems, Inc. System and method for providing a lifecycle for information in a virtual content repository
US7236989B2 (en) * 2004-04-13 2007-06-26 Bea Systems, Inc. System and method for providing lifecycles for custom content in a virtual content repository
DE602005027061D1 (de) * 2004-04-23 2011-05-05 Panasonic Corp Servervorrichtung, client-vorrichtung und netzwerksystem
US7707427B1 (en) * 2004-07-19 2010-04-27 Michael Frederick Kenrich Multi-level file digests
US8689276B2 (en) * 2004-08-25 2014-04-01 Adobe Systems Incorporated System and method for controlling access to files
US20060112020A1 (en) * 2004-11-19 2006-05-25 Karlheinz Dorn Generation and management of a rights context for order handling in technical processes
JP4737974B2 (ja) * 2004-11-26 2011-08-03 株式会社東芝 オンラインショッピングシステムとそのユーザ管理装置、ネット店舗装置及びユーザ端末装置
US9438683B2 (en) * 2005-04-04 2016-09-06 Aol Inc. Router-host logging
US8887233B2 (en) * 2005-04-08 2014-11-11 Netapp, Inc. Cookie-based acceleration of an authentication protocol
US8078740B2 (en) * 2005-06-03 2011-12-13 Microsoft Corporation Running internet applications with low rights
US8583926B1 (en) 2005-09-19 2013-11-12 Jpmorgan Chase Bank, N.A. System and method for anti-phishing authentication
US20070073674A1 (en) * 2005-09-26 2007-03-29 Bea Systems, Inc. System and method for providing federated events for content management systems
US7953734B2 (en) 2005-09-26 2011-05-31 Oracle International Corporation System and method for providing SPI extensions for content management system
US20070073784A1 (en) * 2005-09-26 2007-03-29 Bea Systems, Inc. System and method for type inheritance for content management
US7917537B2 (en) * 2005-09-26 2011-03-29 Oracle International Corporation System and method for providing link property types for content management
US7483893B2 (en) * 2005-09-26 2009-01-27 Bae Systems, Inc. System and method for lightweight loading for managing content
US7818344B2 (en) * 2005-09-26 2010-10-19 Bea Systems, Inc. System and method for providing nested types for content management
US20070073673A1 (en) * 2005-09-26 2007-03-29 Bea Systems, Inc. System and method for content management security
US7752205B2 (en) * 2005-09-26 2010-07-06 Bea Systems, Inc. Method and system for interacting with a virtual content repository
CA2527550A1 (en) * 2005-11-24 2007-05-24 Oz Communications Method for securely associating data with https sessions
US7673135B2 (en) * 2005-12-08 2010-03-02 Microsoft Corporation Request authentication token
US8688813B2 (en) 2006-01-11 2014-04-01 Oracle International Corporation Using identity/resource profile and directory enablers to support identity management
US20070226338A1 (en) * 2006-03-23 2007-09-27 Novell, Inc. Registration of peer-to-peer services
US8185737B2 (en) 2006-06-23 2012-05-22 Microsoft Corporation Communication across domains
US8463852B2 (en) * 2006-10-06 2013-06-11 Oracle International Corporation Groupware portlets for integrating a portal with groupware systems
US8312507B2 (en) 2006-10-17 2012-11-13 A10 Networks, Inc. System and method to apply network traffic policy to an application session
US8584199B1 (en) 2006-10-17 2013-11-12 A10 Networks, Inc. System and method to apply a packet routing policy to an application session
CA2585808A1 (en) * 2007-03-26 2008-09-26 David Ker Method and system for implementing a secured and centrally managed virtual ip network on a common ip network infrastructure
JP4946564B2 (ja) * 2007-03-27 2012-06-06 富士通株式会社 認証処理方法及びシステム
US7926095B1 (en) 2007-05-04 2011-04-12 Avaya Inc. Efficient authentication system for primary and secondary servers
US7987516B2 (en) * 2007-05-17 2011-07-26 International Business Machines Corporation Software application access method and system
US8473735B1 (en) 2007-05-17 2013-06-25 Jpmorgan Chase Systems and methods for managing digital certificates
US9769177B2 (en) * 2007-06-12 2017-09-19 Syracuse University Role-based access control to computing resources in an inter-organizational community
US10019570B2 (en) * 2007-06-14 2018-07-10 Microsoft Technology Licensing, Llc Protection and communication abstractions for web browsers
US9015279B2 (en) * 2007-06-15 2015-04-21 Bryte Computer Technologies Methods, systems, and computer program products for tokenized domain name resolution
US7924810B2 (en) * 2007-06-21 2011-04-12 Hewlett-Packard Development Company, L.P. Method and computing system for controlling access
KR20090067551A (ko) * 2007-12-21 2009-06-25 삼성전자주식회사 클러스터 기반의 컨텐츠 사용 제한 및 컨텐츠 사용 방법,컨텐츠 접근 권한 인증 방법, 장치, 및 기록매체
US7970939B1 (en) * 2007-12-31 2011-06-28 Symantec Corporation Methods and systems for addressing DNS rebinding
US8627493B1 (en) * 2008-01-08 2014-01-07 Juniper Networks, Inc. Single sign-on for network applications
US8321682B1 (en) 2008-01-24 2012-11-27 Jpmorgan Chase Bank, N.A. System and method for generating and managing administrator passwords
KR100997802B1 (ko) * 2008-10-20 2010-12-01 한국전자통신연구원 정보 단말기의 보안 관리 장치 및 방법
US9288210B2 (en) * 2009-01-26 2016-03-15 Microsoft Technology Licensing, Llc Revocable object access
US9608826B2 (en) 2009-06-29 2017-03-28 Jpmorgan Chase Bank, N.A. System and method for partner key management
US9407959B2 (en) 2009-09-21 2016-08-02 Adobe Systems Incorporated Monitoring behavior with respect to a software program
US8584221B2 (en) 2009-10-23 2013-11-12 Microsoft Corporation Authenticating using cloud authentication
US8838962B2 (en) * 2010-09-24 2014-09-16 Bryant Christopher Lee Securing locally stored Web-based database data
EP2453631B1 (en) 2010-11-15 2016-06-22 BlackBerry Limited Data source based application sandboxing
US8954536B2 (en) 2010-12-20 2015-02-10 The Nielsen Company (Us), Llc Methods and apparatus to determine media impressions using distributed demographic information
US8875243B1 (en) * 2011-01-27 2014-10-28 Sprint Communications Company L.P. Identity abstraction providing limited cross-domain access
DE102011077218B4 (de) * 2011-06-08 2023-12-14 Servicenow, Inc. Zugriff auf in einer Cloud gespeicherte Daten
EP2575315A1 (en) * 2011-09-30 2013-04-03 British Telecommunications Public Limited Company Controlled access
US9386105B2 (en) * 2011-11-02 2016-07-05 Microsoft Technology Licensing, Llc Techniques for dynamic domain-based isolation
US9118619B2 (en) * 2011-11-07 2015-08-25 Qualcomm Incorported Prevention of cross site request forgery attacks by conditional use cookies
US9191405B2 (en) 2012-01-30 2015-11-17 Microsoft Technology Licensing, Llc Dynamic cross-site request forgery protection in a web-based client application
US9118618B2 (en) 2012-03-29 2015-08-25 A10 Networks, Inc. Hardware-based packet editor
US10382202B1 (en) * 2012-09-28 2019-08-13 EMC IP Holding Company LLC Method and apparatus for federated identity and authentication services
US8887260B2 (en) 2012-10-25 2014-11-11 Facebook, Inc. Token-based access control
US9338225B2 (en) 2012-12-06 2016-05-10 A10 Networks, Inc. Forwarding policies on a virtual service network
US9286465B1 (en) * 2012-12-31 2016-03-15 Emc Corporation Method and apparatus for federated single sign on using authentication broker
US9690931B1 (en) 2013-03-11 2017-06-27 Facebook, Inc. Database attack detection tool
US9992107B2 (en) 2013-03-15 2018-06-05 A10 Networks, Inc. Processing data packets using a policy based network path
US9419957B1 (en) 2013-03-15 2016-08-16 Jpmorgan Chase Bank, N.A. Confidence-based authentication
WO2014179753A2 (en) 2013-05-03 2014-11-06 A10 Networks, Inc. Facilitating secure network traffic by an application delivery controller
US10148726B1 (en) 2014-01-24 2018-12-04 Jpmorgan Chase Bank, N.A. Initiating operating system commands based on browser cookies
US9942152B2 (en) 2014-03-25 2018-04-10 A10 Networks, Inc. Forwarding data packets using a service-based forwarding policy
US10268467B2 (en) 2014-11-11 2019-04-23 A10 Networks, Inc. Policy-driven management of application traffic for providing services to cloud-based applications
US10104084B2 (en) * 2015-07-30 2018-10-16 Cisco Technology, Inc. Token scope reduction
US10223541B2 (en) * 2017-01-24 2019-03-05 Salesforce.Com, Inc. Adaptive permission token
US11196733B2 (en) * 2018-02-08 2021-12-07 Dell Products L.P. System and method for group of groups single sign-on demarcation based on first user login
US11003394B2 (en) 2019-06-28 2021-05-11 Seagate Technology Llc Multi-domain data storage system with illegal loop prevention
CN113704795B (zh) * 2021-09-02 2024-02-06 杭州戎戍网络安全技术有限公司 一种基于标签属性的多域访问控制形式化建模方法
CN114900330A (zh) * 2022-04-07 2022-08-12 京东科技信息技术有限公司 一种页面防护的方法和装置

Family Cites Families (33)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB8916586D0 (en) 1989-07-20 1989-09-06 Int Computers Ltd Distributed data processing system
US5696898A (en) * 1995-06-06 1997-12-09 Lucent Technologies Inc. System and method for database access control
US5708780A (en) * 1995-06-07 1998-01-13 Open Market, Inc. Internet server access control and monitoring systems
US5941947A (en) * 1995-08-18 1999-08-24 Microsoft Corporation System and method for controlling access to data entities in a computer network
JP2977476B2 (ja) * 1995-11-29 1999-11-15 株式会社日立製作所 機密保護方法
US5918014A (en) * 1995-12-27 1999-06-29 Athenium, L.L.C. Automated collaborative filtering in world wide web advertising
US5963915A (en) * 1996-02-21 1999-10-05 Infoseek Corporation Secure, convenient and efficient system and method of performing trans-internet purchase transactions
US6073241A (en) * 1996-08-29 2000-06-06 C/Net, Inc. Apparatus and method for tracking world wide web browser requests across distinct domains using persistent client-side state
US5968119A (en) * 1996-12-09 1999-10-19 Wall Data Incorporated Method of accessing information of an SNA host computer from a client computer using a specific terminal emulation
US6088016A (en) * 1996-12-30 2000-07-11 S3 Incorporated Dithering method and apparatus using ramp probability logic
EP0953170B1 (en) * 1997-01-20 2003-09-10 BRITISH TELECOMMUNICATIONS public limited company Data access control
US5875296A (en) * 1997-01-28 1999-02-23 International Business Machines Corporation Distributed file system web server user authentication with cookies
US6006334A (en) * 1997-05-01 1999-12-21 International Business Machines Corp. Method and system for authentication over a distributed service to limit password compromise
US6170017B1 (en) * 1997-05-08 2001-01-02 International Business Machines Corporation Method and system coordinating actions among a group of servers
JP3180054B2 (ja) 1997-05-16 2001-06-25 インターナショナル・ビジネス・マシーンズ・コーポレ−ション ネットワーク・セキュリティ・システム
US5999971A (en) * 1997-06-25 1999-12-07 Inforonics, Inc. Apparatus and method for identifying clients accessing network sites
CA2295150A1 (en) * 1997-06-26 1999-01-07 Michael John Kenning Data communications
US7233997B1 (en) * 1997-06-26 2007-06-19 British Telecommunications Plc Data communications
US6282454B1 (en) * 1997-09-10 2001-08-28 Schneider Automation Inc. Web interface to a programmable controller
US6065120A (en) * 1997-12-09 2000-05-16 Phone.Com, Inc. Method and system for self-provisioning a rendezvous to ensure secure access to information in a database from multiple devices
US6098093A (en) * 1998-03-19 2000-08-01 International Business Machines Corp. Maintaining sessions in a clustered server environment
US6199113B1 (en) * 1998-04-15 2001-03-06 Sun Microsystems, Inc. Apparatus and method for providing trusted network security
US6185567B1 (en) * 1998-05-29 2001-02-06 The Trustees Of The University Of Pennsylvania Authenticated access to internet based research and data services
US6182142B1 (en) * 1998-07-10 2001-01-30 Encommerce, Inc. Distributed access management of information resources
US6145084A (en) * 1998-10-08 2000-11-07 Net I Trust Adaptive communication system enabling dissimilar devices to exchange information over a network
US6985953B1 (en) * 1998-11-30 2006-01-10 George Mason University System and apparatus for storage and transfer of secure data on web
US6226752B1 (en) * 1999-05-11 2001-05-01 Sun Microsystems, Inc. Method and apparatus for authenticating users
US6539424B1 (en) * 1999-11-12 2003-03-25 International Business Machines Corporation Restricting deep hyperlinking on the World Wide Web
AU2001278159A1 (en) * 2000-08-11 2002-02-25 Incanta, Inc. Resource distribution in network environment
US20020072980A1 (en) * 2000-12-07 2002-06-13 Rabindranath Dutta System, method, and program for managing electronic shopping carts
US6915486B2 (en) * 2001-02-13 2005-07-05 International Business Machines Corporation Customizing a graphical user interface of a host application
US20020143861A1 (en) * 2001-04-02 2002-10-03 International Business Machines Corporation Method and apparatus for managing state information in a network data processing system
US20030023752A1 (en) * 2001-07-12 2003-01-30 International Business Machines Corporation Pluggable URL providers in a J2EE server

Also Published As

Publication number Publication date
EP1216533A1 (en) 2002-06-26
US6339423B1 (en) 2002-01-15
WO2001015377A1 (en) 2001-03-01
EP1216533B1 (en) 2013-03-06
EP1216533A4 (en) 2007-10-24
US20040243842A1 (en) 2004-12-02

Similar Documents

Publication Publication Date Title
ES2409629T3 (es) Control de acceso multi-dominio
TWI400922B (zh) 在聯盟中主用者之認證
US8220032B2 (en) Methods, devices, and computer program products for discovering authentication servers and establishing trust relationships therewith
CN105007280B (zh) 一种应用登录方法和装置
US8990911B2 (en) System and method for single sign-on to resources across a network
US6931549B1 (en) Method and apparatus for secure data storage and retrieval
US8799639B2 (en) Method and apparatus for converting authentication-tokens to facilitate interactions between applications
US20030163691A1 (en) System and method for authenticating sessions and other transactions
US20110030041A1 (en) Session Ticket Authentication Scheme
JP2019185775A (ja) ブロックチェーン基盤の権限認証方法、端末及びこれを利用したサーバ
JP5602165B2 (ja) ネットワーク通信を保護する方法および装置
WO2016173199A1 (zh) 一种移动应用单点登录方法及装置
JP6572750B2 (ja) 認証制御プログラム、認証制御装置、及び認証制御方法
JP2005538434A (ja) 連携型（フェデレーテッド）環境におけるユーザ判定による認証のための方法およびシステム
JP2005516533A (ja) パブリックキー暗号法を用いたインターネット上でのシングルサインオン
CN104054321A (zh) 针对云服务的安全管理
CN107992771B (zh) 一种数据脱敏方法和装置
TW200805970A (en) Method and apparatus for super secure network authentication
US7594107B1 (en) Method and apparatus for updating web certificates
CN109388937B (zh) 一种多因子身份认证的单点登录方法及登录系统
CN103220261A (zh) 一种开放鉴权应用程序接口代理的方法、装置及系统
US11050722B2 (en) Information processing device, program, and information processing method
US11258766B2 (en) VNF package signing system and VNF package signing method
CN113411324B (zh) 基于cas与第三方服务器实现登录认证的方法和系统
US8984616B2 (en) Efficient routing for reverse proxies and content-based routers