ES2420158T3 - Sistema y método para bloquear un inicio de sesión de red no autorizado usando una contraseña robada - Google Patents

Sistema y método para bloquear un inicio de sesión de red no autorizado usando una contraseña robada Download PDF

Info

Publication number
ES2420158T3
ES2420158T3 ES05750620T ES05750620T ES2420158T3 ES 2420158 T3 ES2420158 T3 ES 2420158T3 ES 05750620 T ES05750620 T ES 05750620T ES 05750620 T ES05750620 T ES 05750620T ES 2420158 T3 ES2420158 T3 ES 2420158T3
Authority
ES
Spain
Prior art keywords
user
server
access
computer
authentication
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
ES05750620T
Other languages
English (en)
Inventor
Allan Camaisa
Jonas Samuelsson
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Anakam Inc
Original Assignee
Anakam Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from US10/892,584 external-priority patent/US7676834B2/en
Application filed by Anakam Inc filed Critical Anakam Inc
Application granted granted Critical
Publication of ES2420158T3 publication Critical patent/ES2420158T3/es
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

Un método para conceder a un usuario, de manera selectiva, acceso a datos, que comprende:en un servidor (22, 104) de información, la recepción de un nombre de usuario y una contraseña desde unordenador (12, 102) de usuario; si el nombre de usuario y la contraseña son válidos, de manera transparente para el ordenador (12, 102) deusuario, la transferencia de la comunicación del ordenador de usuario a un servidor (106) de autenticación;en el servidor (106) de autenticación, la determinación de si una cookie depositada previamente en elordenador (12, 102) de usuario incluye un ID de máquina que coincide con un ID de máquina de prueba yuna clave de inicio de sesión coincide con una clave de inicio de sesión de prueba y, si es así, de maneratransparente para un usuario del ordenador (12, 102) de usuario, la transferencia de la comunicación delordenador de usuario de nuevo al servidor (22, 104) de información, la concesión al ordenador (12, 102) deusuario de un acceso a los datos, y la actualización de la clave de acceso, por el contrario, la no concesiónal ordenador de usuario de acceso a los datos en ausencia de etapas de autenticación adicionales.

Description

Sistema y método para bloquear un inicio de sesión de red no autorizado usando una contraseña robada.
I. Campo de la Invención La presente invención se refiere, en general, a la prevención de un inicio de sesión de red no autorizado usando una contraseña robada.
II. Antecedentes de la Invención Las contraseñas son una manera utilizable desde cualquier lugar para proporcionar un mínimo nivel de autenticación a un usuario de ordenador que trata de acceder a un ordenador en red, tal como un sitio Web. Por ejemplo, la banca en línea requiere que un usuario inicie sesión en un servidor Web de una institución financiera usando un nombre de usuario y una contraseña que han sido proporcionados previamente al usuario por el servidor. De esta manera, sólo un usuario (con suerte, el verdadero dueño de la cuenta) que posee tanto el nombre de usuario como la contraseña puede acceder a la cuenta del usuario.
Como otro ejemplo, algunos servidores Web proporcionan servicios de suscripción. Por ejemplo, los usuarios pueden suscribirse a un sitio Web para recibir publicaciones de noticias, títulos de música, etc. Para garantizar que sólo los usuarios que hayan pagado la cuota de suscripción puedan acceder a los contenidos, se requiere que un usuario que pretende acceder inicie sesión con un nombre de usuario y una contraseña.
En cualquier caso, es posible que una contraseña pueda ser robada y que, consecuentemente, la información destinada únicamente para el propietario legítimo de la contraseña caiga en las manos de un ladrón de contraseñas. Algunas estimaciones para el año 2003 indican que hasta dos millones de estadounidenses han sufrido un asalto de sus cuentas bancarias en línea, con una pérdida promedio de 1.200 dólares para una pérdida total de más de dos mil millones de dólares. Una forma común en la que los ladrones consiguen el acceso es enviando correos electrónicos con aspecto oficial a los clientes del banco, solicitando nombres de usuario y contraseñas de manera que, si las peticiones ilegítimas se cumplen, se usan, a continuación, para iniciar sesión en las cuentas en línea y robarles el dinero. Habiendo reconocido el problema anterior, se proporciona la solución en la presente memoria.
III. Técnica anterior El documento US 2001/044896 Al (SCHWARTZ GIL [IL] ET AL), 22 de Noviembre de 2001, describe una técnica para autenticar una primera parte a una segunda parte que es aplicable a las transacciones electrónicas. Además de emplear contraseñas personales, y un dispositivo operativo con parámetro de huella dactilar, se emplean dos firmas, una que es característica de la primera parte, y la otra asociada con el ordenador o el dispositivo de comunicación de la primera parte. Las firmas cambian a intervalos aleatorios, en respuesta a solicitudes de cambio realizadas por el dispositivo de la primera parte al dispositivo empleado por la segunda parte. Las firmas cambiadas invalidan las firmas anteriores, y se almacenan en los dispositivos de computación o de comunicación de ambas partes. El procedimiento de cambio autentica el ordenador o el dispositivo de comunicación, y puede autenticar también el propietario de la contraseña.
El documento US 2003/005308 Al (RATHBUN PAUL L [US] ET AL) 2 de Enero de 2003, describe un método y un sistema proporcionados para restringir el acceso de clientes a un sitio Web. Un primer servidor Web recibe un inicio de sesión de cliente y, como respuesta, asigna un cookie al cliente, la cual contiene una credencial de acceso que tiene al menos un atributo basado en el papel de cliente. Un segundo servidor Web aloja el sitio Web seguro, teniendo el sitio Web un fichero de seguridad asociado que contiene al menos un privilegio de acceso basado en el papel de cliente. En respuesta a la solicitud HTTP del cliente en el segundo servidor, la cookie es recuperada, decodificada y las credenciales de acceso se comparan con el al menos un privilegio de acceso basado en el papel de cliente. Si las credenciales de acceso tienen al menos un atributo basado en papel en común con el al menos un acceso basado en el papel de cliente al segundo sitio Web asegurado. El documento US 2004/059951 Al (PINKAS BINYAMIN [US] ET AL), 25 de Marzo de 2004 describe sistemas y métodos proporcionados para la autenticación mediante la combinación de una Prueba de Turing Inversa (Reverse Turing Test, RTT) con protocolos de autenticación de usuarios basados en contraseña para proporcionar una mayor resistencia a los ataques por fuerza bruta. Según una realización de la invención, se proporciona un método para la autenticación de usuarios, en el que el método incluye la recepción de un par nombre de usuario/contraseña asociado con un usuario; la solicitud una o más respuestas de una primera Prueba de Turing Inversa (RTT); y la concesión del acceso al usuario si se recibe una respuesta válida a la primera RTT y el par nombre de usuario/contraseña es válido.
El documento US 6 047 268 A (BARTOLI PAUL D [US] ET AL), 4 de Abril de 2000, describe un método y un 2
aparato para la autenticación de transacciones realizadas en una red de datos que utiliza una “cookie” que contiene tanto información estática (información que identifica al usuario) como información dinámica (información basada en la transacción). La parte de información dinámica orientada a la transacción comprende un número aleatorio y un número de secuencia, en el que este último realiza un seguimiento del número de transacciones de facturación realizadas por el usuario con el número de cuenta. La cookie, enviada al fichero cookie del usuario tras una transacción previa, es válida para sólo una única transacción nueva. Un servidor de facturación, tras recibir la cookie que contiene las partes de información estática y dinámica, identifica el usuario a partir del número de cuenta en la parte estática y accede desde una base de datos asociada al número aleatorio y al número de secuencia del servidor de facturación enviados por última a ese usuario en la parte dinámica orientada a la transacción. Si la parte dinámica esperada coincide con la parte dinámica recibida, el usuario es autenticado para proceder con la transacción actual.
EXPOSICIÓN DE LA INVENCIÓN Según la presente invención, en las reivindicaciones adjuntas se exponen un método y un sistema para conceder a un usuario, de manera selectiva, acceso a los datos.
SUMARIO DE LA INVENCIÓN Un método para conceder a un usuario, de manera selectiva, acceso a los datos incluye, en un servidor Web, la recepción de un nombre de usuario y una contraseña desde un ordenador de usuario. Sin limitaciones, el servidor Web puede ser un servidor de banca en línea o un servidor de suscripción de contenido. Si el nombre y la contraseña de usuario son válidos, se accede a una cookie depositada previamente en el ordenador de usuario y el servidor determina si la cookie es válida. Sólo si la cookie, el nombre de usuario y la contraseña son válidos se concede el acceso a los datos en el ordenador de usuario. De lo contrario, se inicia un procedimiento de validación de usuario.
En realizaciones no limitativas, la cookie incluye al menos una clave de inicio de sesión y un ID de máquina. Si la cookie, el nombre de usuario y la contraseña son válidos y se concede el acceso al ordenador de usuario, una nueva cookie es descargada posteriormente en el ordenador de usuario para su uso durante el siguiente intento de inicio de sesión. La nueva cookie incluye el mismo ID de máquina que la antigua cookie, pero una clave de acceso diferente.
Si se desea, los métodos no limitativos pueden incluir además, antes de iniciar un procedimiento de validación del usuario cuando no se encuentra un cookie válida en el ordenador de usuario, la determinación de si todas las N máquinas asignadas por el servidor al usuario han accedido al servidor, donde N > 1. Si no, el servidor descarga una cookie al ordenador de usuario que está intentando el acceso, en la que esta cookie tiene un ID de máquina único y una clave de inicio de sesión única. A continuación, el servidor concede el acceso al ordenador de usuario, quizás después de una validación exitosa.
Los ejemplos no limitativos del procedimiento de validación pueden incluir el envío de un correo electrónico al usuario, en el que el correo electrónico contiene al menos un hipervínculo a un sitio Web en el que puede obtenerse una nueva cookie que es válida para acceder a los datos. El acceso al sitio Web en el que se encuentra la nueva cookie puede deshabilitarse después de que el usuario hace clic en el hipervínculo. O si no, el procedimiento de validación puede incluir una solicitud al usuario para que llame a un número de teléfono para verificar la información predeterminada, o para que acceda a un sitio Web para verificar en línea una información predeterminada.
En otro aspecto, se describe un sistema para impedir que un ladrón que posee una contraseña de un usuario acceda a la información destinada a ser accedida por el usuario. El sistema incluye al menos un ordenador de usuario asociado con el usuario, y un ordenador servidor que controla el acceso a la información. El ordenador servidor concede el acceso a la información solo tras la recepción de una contraseña válida y la determinación de que una cadena de verificación válida reside en el ordenador de usuario; de lo contrario, el servidor inicia un procedimiento de validación.
En todavía otro aspecto, un sistema de ordenador incluye un servidor Web que tiene medios para enviar un nombre de usuario y una contraseña a un ordenador de usuario, y medios para enviar una cadena de verificación al ordenador de usuario. La cadena de verificación incluye el ID de máquina que es sustancialmente único al ordenador de usuario y una clave de inicio de sesión que es actualizada cada vez que el ordenador de usuario accede al servidor Web. El servidor tiene también medios para, después de enviar la cadena de verificación al ordenador de usuario y en respuesta a un intento de inicio de sesión desde un ordenador de inicio de sesión que puede ser o no el ordenador de usuario, determinar si una contraseña enviada desde el ordenador de inicio de sesión es válida o no, y si la cadena de verificación reside en el ordenador de inicio de sesión. Se proporcionan
medios para, si la contraseña es válida pero la cadena de verificación no reside en el ordenador de inicio de sesión, se deniegue el acceso y, a continuación, se inicie un procedimiento de validación y/o se determine si todas las N máquinas asignadas al usuario han accedido al servidor. Si todas las máquinas asignadas no han accedido al servidor, una cadena de verificación que tiene un ID de máquina que es diferente al ID de máquina del ordenador de usuario y una clave de inicio de sesión que es diferente de la clave de inicio de sesión del ordenador de usuario es descargada al ordenador de inicio de sesión, el cual puede recibir, a continuación, permiso de acceso.
En otra realización, un método para conceder a un usuario, de manera selectiva, acceso a los datos incluye, en un servidor de información, la recepción de un nombre de usuario y una contraseña desde un ordenador de usuario. El método incluye también, si el nombre de usuario y la contraseña son válidos, de manera transparente para el ordenador de usuario, la transferencia de la comunicación del ordenador de usuario a un servidor de autenticación. A continuación, en el servidor de autenticación, se determina si una cookie previamente depositada en el ordenador de usuario incluye un ID de máquina que coincide con un ID de máquina de prueba y una clave de inicio de sesión que coincide con una clave de inicio de sesión de prueba. Si es así, de manera transparente para un usuario del ordenador de usuario, la comunicación del ordenador de usuario es transferida de nuevo al servidor de información y el acceso a los datos es concedido al ordenador de usuario. También se actualiza la clave de acceso. Si la prueba de la cookie falla, sin embargo, el método no concede el acceso del ordenador de usuario a las etapas de autenticación adicionales en ausencia de datos.
En algunas realizaciones, si el ID de máquina no coincide con el ID de máquina de prueba, se ejecutan etapas de autenticación adicionales. En este caso, las etapas de autenticación adicionales pueden incluir el envío de un código PIN a un teléfono inalámbrico asociado con el usuario, y la recepción desde el ordenador de usuario del código PIN desde el usuario obtenido desde el teléfono inalámbrico. O, tal como se ha indicado anteriormente, el código PIN puede ser enviado a una cuenta de correo electrónico del usuario. En otras realizaciones, si el ID de máquina coincide con el ID de máquina de prueba, pero la clave de inicio de sesión no coincide con la clave de inicio de sesión de prueba, no se ejecutan etapas de autenticación adicionales y se deshabilita una cuenta asociada con el usuario.
El servidor de información puede ser, por ejemplo, un servidor de banca en línea, un servidor de comercio electrónico o un servidor VPN.
En otro aspecto, un sistema de autenticación para al menos un ordenador de usuario asociado con un usuario incluye al menos un servidor de información que controla el acceso a la información. El servidor de información recibe los datos de autenticación iniciales desde el ordenador de usuario y si los datos de autenticación iniciales son válidos, de manera transparente para un usuario del ordenador de usuario, transfiere la comunicación a al menos un servidor de autenticación. El servidor de autenticación realiza una autenticación secundaria con el ordenador de usuario y si la autenticación secundaria es válida, de manera transparente para un usuario del ordenador de usuario, es transferida de nuevo al servidor de información para acceder a la información. De lo contrario, una cuenta asociada con el usuario es deshabilitada, y/o se ejecuta una autenticación terciaria, cuya finalización con éxito hace que el servidor de autenticación, de manera transparente para un usuario del ordenador de usuario, transfiera la comunicación de nuevo al servidor de información para acceder a la información.
En todavía otro aspecto, un servidor de autenticación configurado para la comunicación con al menos un ordenador de usuario y al menos un servidor de información incluye medios para la autenticación del ordenador de usuario usando una cookie depositada previamente en el ordenador de usuario. El servidor de autenticación incluye también medios sensibles a los medios de autenticación, para informar al servidor de información para conceder el acceso al ordenador de usuario. El servidor de autenticación incluye además medios sensibles a los medios de autenticación, para transferir la comunicación del ordenador de usuario de nuevo al servidor de información.
Los detalles de la presente invención, en relación a su estructura y funcionamiento, pueden comprenderse mejor con referencia a los dibujos adjuntos, en los que los números de referencia similares se refieren a partes similares, y en los que:
BREVE DESCRIPCIÓN DE LOS DIBUJOS
La Figura 1 es un diagrama de bloques de un sistema ejemplar para implementar la presente invención;
La Figura 2 es un diagrama de flujo de la lógica de registro;
La Figura 3 es un diagrama de flujo de la lógica de inicio de sesión subsiguiente;
La Figura 4 es un diagrama de bloques de otro sistema no limitativo;
La Figura 5 es un diagrama de flujo de alto nivel de la lógica usada por el sistema mostrado en la Figura 4;
y La Figura 6 muestra más detalles de la lógica mostrada en la Figura 5.
DESCRIPCIÓN DETALLADA DE LA REALIZACIÓN PREFERIDA Con referencia inicialmente a la Figura 1, se muestra un sistema, designado en general con el número de referencia 10, que incluye una pluralidad de ordenadores 12 de usuario (sólo se muestra un único ordenador de usuario en aras de una mayor claridad), cada uno de los cuales puede tener un procesador 14 y un disco y/o un almacenamiento 16 de programa de estado sólido para almacenar el software que conforma la lógica. Además, cada ordenador 12 de usuario puede incluir uno o más dispositivos 18 de entrada, tales como teclados, ratones, dispositivos de reconocimiento de voz, etc., así como uno o más dispositivos 20 de salida, tales como monitores, impresoras, otros ordenadores, etc. La lógica de autenticación ejecutada por el presente sistema y expuesta en la presente memoria puede ser usada en aplicaciones tales como, pero no limitadas a, la banca en línea, el comercio electrónico seguro en línea y el control de acceso VPN.
Tal como se muestra en la Figura 1, el ordenador 12 de usuario se comunica con un servidor 22 Web a través de Internet 24. El servidor 22 tiene un procesador 26 y un disco y/o un almacenamiento 28 de programa de estado sólido para almacenar el software que conforma la lógica, incluida la totalidad o parte de la lógica expuesta más adelante. El servidor 22 puede acceder a una base de datos 30 de información de clientes que contiene la información de inicio de sesión y de registro de los usuarios establecida más adelante, entendiéndose que la base de datos puede estar rellenada previamente con información de usuario acerca de los clientes existentes que elijan iniciar el servicio actual. Además, el servidor 22 puede acceder a una base de datos 32 de información para suministrar a los usuarios una información deseada, por ejemplo, registros de cuentas bancarias, contenido de suscripción, etc. Si se desea, las bases de datos 30, 32 pueden ser implementadas en una única estructura de datos.
Con referencia ahora a la lógica de registro inicial de la Figura 2, que comienza en el bloque 34, el usuario inicia una sesión en el tiempo inicial. Pasando al bloque 36, se establecen un nombre de usuario y una contraseña, por ejemplo, permitiendo al usuario seleccionar un nombre de usuario y una contraseña, o con la concesión, por parte del servidor 22, de un nombre de usuario y una contraseña al usuario. En el bloque 38, si se desea, se puede obtener información adicional del usuario. Dicha información del usuario puede incluir información de facturación e información de validación. La información de validación puede ser confidencial para el usuario con el fin de proteger su cuenta de usuarios externos no deseados que podrían haber robado información de la cuenta del usuario, según una lógica adicional establecida más adelante. Debe entenderse que, de manera alternativa, la información de validación puede ser obtenida previamente desde el usuario de diversas maneras, en línea o fuera de línea.
En el bloque 40, al mismo tiempo que el usuario se registra o posteriormente, en el caso de usuarios que ya están registrados con el servidor para otros propósitos, pero ahora, por primera vez, inician el servicio actual, se envía una cadena de verificación al ordenador del usuario. Preferiblemente, la cadena de verificación es, aunque no necesariamente, una que no requiere interacción con el usuario o con un software especial, tal como una cookie que puede tener un ID de máquina y una clave de inicio de sesión, por ejemplo, una cadena de 4.096 bits con un valor generado aleatoriamente. La cookie puede tener también un ID de usuario que es único para una persona. La cookie no requiere un software de cliente especial y es completamente invisible para el usuario. Tanto el ID de máquina como la clave de inicio de sesión son generados aleatoriamente, almacenados en el servidor, y están asociados con la cuenta de ese usuario. Una vez establecida la cuenta del usuario, el ID de máquina y la clave de inicio de sesión se asocian con la cuenta del usuario. El acceso se concede si toda la información de usuario y la información de la cuenta de usuario son correctas, tal como se muestra en el bloque 42.
Después del registro, la lógica que puede ser implementada por el servidor 22 pasa a la Figura 3 para intentos posteriores por parte del usuario para iniciar sesión en el servidor 26 y acceder a la información del usuario contenida en la base de datos 32 mostrada en la Figura 1. Comenzando con el bloque 44, tras inicios de sesión posteriores, el usuario introduce el nombre de usuario y una contraseña. En el bloque 46 de decisión, el servidor comprueba la validez del nombre de usuario y de la contraseña. Si el nombre de usuario y la contraseña no son correctos, se deniega el acceso del usuario en el bloque 48.
Si en el bloque 46 de decisión, se determina que el nombre de usuario y la contraseña son correctos, la lógica pasa al bloque 50 de decisión, en el que el servidor comprueba el ordenador de usuario para verificar que la cookie correcta esté almacenada en el ordenador del usuario, por ejemplo, comparando la cookie en el ordenador del usuario con los registros de la cookie del servidor. Si el servidor determina que la cookie está presente y es correcta, se concede el acceso a la información del usuario en la base de datos 32 en el bloque 52. A continuación, en el bloque 54, suponiendo que la máquina usada no es una máquina recién introducida, tal como se expone
adicionalmente más adelante en relación al bloque 58, se descarga una nueva clave de acceso transportada en una nueva cookie preferiblemente a través de una conexión SSL cifrada. Esta nueva cookie con la nueva clave de inicio de sesión es usada para el siguiente inicio de sesión de usuario usando la misma máquina. La clave de inicio de sesión en la nueva cookie es diferente de la clave de inicio de sesión de la cookie antigua, pero el ID de máquina se mantiene constante.
Por el contrario, si, en el bloque 50 de decisión, se determina que la cookie en el ordenador de usuario no es correcta, en algunas realizaciones opcionales el servidor 22 pasa al bloque 56 de decisión para determinar si todos los ordenadores que han sido asignados al usuario han accedido o no al servidor 22. En otras palabras, en algunas aplicaciones, tales como la banca en línea, el servidor puede asignar al usuario en el registro, en respuesta a una solicitud del usuario, más de un único ordenador (es decir, para usar “N” ordenadores, N > 1) para acceder a la información en la base de datos 32. Por ejemplo, un cliente de banca en línea podría desear acceder a su cuenta bancaria, tanto desde el ordenador de la oficina como desde un ordenador doméstico. Si todos los "N" ordenadores asignados que han sido asignados al usuario han accedido al servidor 22 y han recibido las cookies, lo que significa que el ordenador usado actualmente tiene un número superior al número autorizado, se deniega el acceso del usuario y la lógica pasa al bloque 57 para desencadenar un procedimiento de validación. Si se desea, para frustrar un ataque de diccionario, pueden permitirse sólo un número limitado de intentos de verificación de inicio de sesión/cookie desde cualquier máquina, después de los cuales la máquina es bloqueada hasta que se produzca una validación exitosa.
En una implementación no limitativa, el procedimiento de validación puede incluir la introducción, por parte del usuario, de información confidencial proporcionada inicialmente en el procedimiento inicial de inicio de sesión. La información de validación puede ser el nombre de soltera de la madre del usuario, el número de la seguridad social del usuario, o alguna otra información que preferiblemente sea personal para el usuario. A continuación, el servidor 22 comprueba la entrada del usuario con la información de validación recopilada en el bloque 38 en la Figura 2. Si se encuentra una coincidencia, la validación es exitosa y se concede el acceso al usuario; de lo contrario, la validación no tiene éxito y se deniega el acceso.
En algunas implementaciones, el procedimiento de validación puede incluir el envío de un correo electrónico al usuario. El correo electrónico puede contener un hipervínculo a un sitio Web en el que puede obtenerse una nueva cookie que es válida para acceder a los datos. Si se desea, el acceso al sitio Web en el que puede obtenerse una nueva cookie puede ser deshabilitado después de que el usuario hace clic una vez en el hipervínculo. O si no, el procedimiento de validación puede incluir una solicitud al usuario para que llame a un número de teléfono para verificar una información predeterminada, o para que acceda a un sitio Web para verificar la información predeterminada en línea. Una vez que la validación es exitosa, el servidor 22 permite el acceso a la información en la base de datos 32. Por el contrario, si el servidor determina en el bloque 56 de decisión que no todas las máquinas que han sido asignadas han accedido al servidor 22, una nueva cookie con un nuevo ID de máquina y una clave de acceso es descargada al nuevo ordenador en el bloque 58. A continuación, la lógica vuelve al bloque 52 para conceder el acceso, en algunas realizaciones sólo después de haber desencadenado la primera validación, tal como se describe en el bloque 57, para asegurar que el usuario correcto está iniciando la sesión.
En el contexto de la adición de una nueva máquina, cuando más de un único ordenador de usuario están autorizados, la nueva máquina puede ser añadida de manera automática en su primer inicio de sesión, según la lógica anterior (suponiendo que se cumplen las condiciones indicadas anteriormente), o el servidor puede preguntar al usuario de la nueva máquina si la nueva máquina debe considerarse como uno de los "N" ordenadores autorizados, de manera temporal o de otra manera. Si el usuario indica que la máquina será sólo temporal (por ejemplo, si el usuario está operando un terminal en un hotel), el usuario podría especificar una fecha de caducidad y/o un número de inicios de sesión después de los cuales se denegaría cualquier acceso a la información de usuario desde esa máquina, o al menos desencadenaría de nuevo el procedimiento de verificación. Esto puede llevarse a cabo haciendo que la cookie se considera “caducada” al final del período. Por ejemplo, en un terminal de una habitación de hotel, un usuario podría especificar una caducidad en la fecha esperada de salida del hotel, o un usuario podría especificar un número de inicios de sesión que se permitirán desde esa máquina antes de que se desencadene de nuevo el procedimiento de verificación. La información de caducidad se almacena en el servidor. Cuando una máquina llega a la fecha de caducidad, el número de nuevas máquinas restantes para ser añadidas a la cuenta del usuario puede actualizarse en una unidad. Por el contrario, no se solicitaría al usuario información sobre el uso temporal al comunicarse con el servidor desde un conjunto básico de ordenadores desde los que el usuario tiene un acceso autorizado permanente. Una o más piezas de la información anterior que es transmitida entre los ordenadores pueden ser encriptadas usando, por ejemplo, un cifrado DES triple.
Las Figuras 4-6 muestran implementaciones preferidas específicas de la lógica y el sistema anteriores. Por motivos de simplicidad, la Figura 4 omite ciertos detalles, tales como los dispositivos de entrada y los dispositivos
de salida. Un sistema 100 preferido puede incluir uno o más ordenadores 102 de usuario que se comunican a través de Internet, por ejemplo, con un servidor 104 de información de una institución financiera. El servidor 104 de información se comunica con un servidor 106 de autenticación. Preferiblemente, ambos servidores 104, 106 están detrás de un cortafuegos 108. Aunque sólo se muestran un único servidor 104 de información y un único servidor 106 de autenticación, debe entenderse que pueden usarse clústeres de servidores. Por ejemplo, pueden usarse clústeres J2EE que usan persistencia de memoria de replicación de sesión, donde los objetos individuales en la sesión Http son serializados en un servidor de respaldo conforme cambian, proporcionando un alto rendimiento y escalabilidad. Además, cuando el servidor 106 de autenticación está detrás del cortafuegos 108, el uso de una Capa de Conexión Segura (Secure Socket Layer, SSL) puede no ser necesario, aunque si se requiere acceso desde una extranet, puede usarse SSL.
En cualquier caso, el propósito del sistema 100 es permitir el acceso controlado del ordenador 102 de usuario a los datos en una base de datos 110 de información sensible, usando la información de autenticación en una base de datos 112 de autenticación. El servidor 104 de información y la base de datos 110 de información sensible pueden ser un servidor/una base de datos convencionales usados, por ejemplo, en una institución financiera, con las excepciones indicadas más adelante. Por el contrario, el servidor 106 de autenticación y la base de datos 112 de autenticación pueden ser complementos según los principios actuales. En cualquier caso, las bases de datos en la presente memoria pueden ser, por ejemplo, servidores SQL, servidores DB2, servidores Oracle o servidores de gama baja, tales como MySQL.
La lógica de una implementación preferida de la lógica se muestra en las Figuras 5 y 6. Aunque puede usarse cualquier arquitectura de software apropiada, en una implementación puede usarse el marco “Struts” orientado a objetos de Apache Software Foundation, en el que las solicitudes del cliente al servidor 104 de información se almacenan en una memoria caché y se pasan a la acción de negocio requerida, tal como se define en el fichero de configuración Struts. A continuación, puede usarse el procedimiento de validación XSD para proporcionar reglas abiertas de validación de datos. La “Vista" es presentada en una única página JSP principal que usa XSL y XML para visualizar las distintas partes de la página. XSLT y XML proporcionan una separación completa entre la presentación, las empresas y las capas de datos. Los detalles adicionales de esta versión particular del diseño J2EE son conocidos en la técnica y se omitirán en aras de la claridad.
La Figura 5 muestra un flujo lógico de alto nivel que puede ser implementado por el sistema 100 mostrado en la Figura 4. Comenzando en el bloque 114, el usuario contacta con el servidor 104 de información usando el ordenador 102’ de usuario. En general, este contacto implica una autenticación inicial, tal como un procedimiento de inicio de sesión que incluye la introducción de un nombre de usuario y una contraseña. Si el procedimiento de inicio de sesión falla en el bloque 116 de decisión, la lógica termina, pero si tiene éxito, la presente invención avanza al bloque 118. La comunicación entre los servidores 104, 105 puede usar los principios SOAP conocidos en la técnica.
En el servidor 106 de autenticación, en el bloque 120 de decisión se determina si la máquina es reconocida (usando el ID de máquina en la cookie descrita anteriormente) y ha sido asegurada previamente por el usuario (usando la clave de inicio de sesión). Esto puede considerarse como un procedimiento de autenticación secundario. Si la prueba es superada, la lógica pasa al bloque 122 para transferir (de manera transparente para el usuario) al usuario de nuevo al servidor 104 de información para un servicio adicional, por ejemplo, para transacciones bancarias en línea. Por otro lado, si la prueba en el bloque 120 de decisión falla, la lógica puede pasar al bloque 124 para realizar una pregunta de seguridad al usuario según los principios establecidos en la presente memoria, cuya pregunta de seguridad podría considerarse como un procedimiento de autenticación terciario. Por ejemplo, un correo electrónico o un mensaje SMS de teléfono inalámbrico pueden ser enviados al usuario, que contienen un código de número de identificación personal (PIN), de un único uso, generado aleatoriamente, que es suministrado por el servidor 106 de autenticación. Este código PIN de un único uso puede ser enviado por el usuario al servidor 106 de autenticación usando el ordenador 102 de usuario, para demostrar que el usuario está autorizado para el acceso.
Si la pregunta de seguridad es superada con éxito en el bloque 126 de decisión, el usuario tiene la opción, en el bloque 128 de asegurar la máquina específica que está siendo usada para un uso futuro y, a continuación, el usuario es redirigido al servidor de información en el bloque 122. De lo contrario, el procedimiento termina sin proporcionar el acceso al usuario.
La Figura 6 muestra partes de una implementación no limitativa detallada de la lógica mostrada en la Figura 5. Comenzando en el bloque 130, el usuario intenta el inicio de sesión descrito anteriormente con el servidor 104 de información. Si esto no tiene éxito en el bloque 132 de decisión, la lógica vuelve al bloque 130, pero tal como se ha descrito anteriormente, cuando el inicio de sesión inicial con el servidor 104 de información es exitoso, la lógica, de
manera transparente para el usuario, es tomada por el servidor 106 de autenticación para determinar, en el bloque 134 de decisión, si el ordenador 102 de usuario tiene cookies deshabilitadas. Si las cookies están deshabilitadas, se devuelve un mensaje de error en el estado 136.
Si el usuario no ha deshabilitado la función de aceptación de cookies, sin embargo, la lógica pasa desde el bloque 134 de decisión al bloque 138 de decisión para determinar si el usuario existe en la base de datos 112 de autenticación tal como se determina, por ejemplo, por el ID de usuario residente en la cookie de autenticación o por el nombre de usuario usado en el bloque 130. En caso contrario, se devuelve un mensaje de error. De lo contrario, la lógica pasa al bloque 138 de decisión para determinar si la cuenta del usuario está habilitada. Esto se hace comprobando un indicador en la base de datos 112 de autenticación que indica si la cuenta del usuario está habilitada o deshabilitada. Si no se ha habilitado ninguna cuenta para el usuario, se devuelve un mensaje de error, pero si no, la lógica pasa desde el bloque 138 de decisión al bloque 140 de decisión para determinar si existe un perfil de usuario.
La expresión "perfil de usuario" hace referencia a un factor asociado con el usuario que indica si se plantea una pregunta de seguridad, y qué tipo de pregunta de seguridad se plantea, al usuario si se requiere una autenticación adicional. En otras palabras, el perfil asociado con un usuario determina qué debe proporcionar el usuario para probar la identidad y, de esta manera, para obtener acceso a la cuenta de usuario. Esta determinación se realiza comprobando si el ID de perfil asociado con el usuario en una tabla de usuarios en la base de datos 112 de autenticación se corresponde a un registro en una tabla de perfiles en la base de datos. Cuando no existe ningún perfil para el usuario, se devuelve un mensaje de error. Cuando existe un perfil, sin embargo, la lógica pasa al bloque 142 de decisión para determinar si la institución servida (por ejemplo, un banco que opera el servidor 104 de información) ha instituido lo que podría entenderse como un protocolo de inicio de sesión "silencioso". Si no se ha implementado este protocolo, la lógica pasa al bloque 144 de decisión donde se bifurca dependiendo del modo de funcionamiento, definido una vez más por la institución. En un modo de "bloqueo", la lógica pasa al bloque 146 de decisión para determinar si se requieren preguntas de autenticación de usuario. Si es así, la lógica pasa al bloque 148 de decisión para determinar si el usuario ha activado las preguntas. La expresión "activación de las preguntas" hace referencia a que el usuario ha proporcionado preguntas de seguridad auto-definidas y respuestas en el pasado (cuya prueba, de esta manera, resulta ser falsa sólo en el primer inicio de sesión), después de lo cual no se pide al usuario que proporcione o responda a preguntas de nuevo, evitando la necesidad de una autenticación terciaria. Si el usuario no ha activado las preguntas, se solicita al usuario que responda a preguntas definidas por la institución en el bloque 150.
Después del bloque 150 o cuando no se requieren las preguntas del usuario, o si se requieren y el usuario las ha activado, la lógica pasa al bloque 152 de decisión donde se determina si el ID de máquina en la cookie del usuario coincide con el ID residente en la base de datos 112 de autenticación. Si el ID de máquina coincide, a continuación, la lógica determina en el bloque 154 de decisión, si la clave de inicio de sesión descrita anteriormente en la cookie coincide con el valor correspondiente en la base de datos 112 de autenticación, y si se encuentra una coincidencia, se genera una nueva clave de inicio de sesión, registrada en el bloque 156, y se constituye una nueva cookie y se envía al usuario según la descripción anterior. A continuación, el usuario es autenticado, por ejemplo, accediendo al servidor 104 de información / la base de datos 110 de información en el bloque 158. El servidor de información recibe una notificación de la autenticación exitosa y la comunicación del ordenador de usuario es transferida de nuevo al servidor de información.
Si la prueba de la clave de inicio de sesión falla en el bloque 154 de decisión, la lógica pasa al bloque 160 de decisión, donde se bifurca dependiendo del modo. En el modo de bloqueo, la cuenta del usuario es deshabilitada en el bloque 162 mediante el establecimiento, de manera apropiada, del indicador indicado anteriormente en la base de datos 112 de autenticación, y se devuelve un mensaje de error. Sin embargo, en el modo de observación se permite al usuario acceder a su cuenta en el bloque 158.
Recuérdese que en el bloque 152 de decisión se realizó una prueba de ID de máquina. Si la prueba falla, la lógica pasa al bloque 164 de decisión, donde se bifurca dependiendo del modo. En el modo de bloqueo, la lógica pasa al bloque 166 para iniciar el segundo factor de autenticación, por ejemplo, la pregunta de seguridad expuesta anteriormente en referencia a la Figura 5. En lugar de invocar el método PIN suministrado por teléfono celular descrito anteriormente, pueden hacerse las preguntas al usuario y las respuestas del usuario pueden compararse con las establecidas en el bloque 150. En cualquier caso, en el bloque 168 de decisión se determina si la pregunta de seguridad ha sido respondida con éxito por el usuario y, si es así, se concede acceso a la cuenta en el bloque
158. Por el contrario, la lógica pasa al bloque 170 de decisión para determinar si se han realizado un número predeterminado de intentos de inicio de sesión, y cuando se supera el valor umbral, la cuenta del usuario es deshabilitada en el bloque 172, y se devuelve un mensaje de error. Sin embargo, en el modo de observación en el bloque 164 de decisión el usuario tiene autorización para acceder a su cuenta en el bloque 158.
Recuérdese que en el bloque 142 de decisión se determina si la función de inicio de sesión "silenciosa" está implementada. Si lo es, la lógica pasa al bloque 174 de decisión para determinar si el usuario, en base a, por ejemplo, el nombre de usuario introducido al iniciar la sesión en el bloque 130, es un usuario que intenta iniciar la
5 sesión por primera vez. Si no, la lógica pasa al bloque 144 de decisión para operar tal como se ha descrito anteriormente. Sin embargo, si el usuario es un usuario que intenta iniciar sesión por primera vez, la lógica pasa al bloque 176 para establecer el ID de máquina estático expuesto anteriormente y, a continuación, al bloque 178 para establecer la clave de inicio de sesión dinámica de una sola vez. A continuación, se concede el acceso en el bloque 158.
10 De esta manera, en el modo de inicio de sesión silencioso, el usuario, una vez registrado por primera vez con el servidor 104 de información, recibe automáticamente la presente cookie de autenticación (dependiendo de las pruebas exitosas en los bloques 134-140 de decisión), la parte de la clave de acceso que es renovada cada vez que el usuario accede a su cuenta. Con respecto al modo de funcionamiento, en el modo de observación, el
15 usuario recibe acceso a su cuenta, independientemente de las coincidencias de la cookie, mientras que en el modo de bloqueo se habilita una seguridad más alta según la lógica anterior.

Claims (7)

  1. REIVINDICACIONES
    1. Un método para conceder a un usuario, de manera selectiva, acceso a datos, que comprende:
    5 en un servidor (22, 104) de información, la recepción de un nombre de usuario y una contraseña desde un ordenador (12, 102) de usuario; si el nombre de usuario y la contraseña son válidos, de manera transparente para el ordenador (12, 102) de usuario, la transferencia de la comunicación del ordenador de usuario a un servidor (106) de autenticación; en el servidor (106) de autenticación, la determinación de si una cookie depositada previamente en el
    10 ordenador (12, 102) de usuario incluye un ID de máquina que coincide con un ID de máquina de prueba y una clave de inicio de sesión coincide con una clave de inicio de sesión de prueba y, si es así, de manera transparente para un usuario del ordenador (12, 102) de usuario, la transferencia de la comunicación del ordenador de usuario de nuevo al servidor (22, 104) de información, la concesión al ordenador (12, 102) de usuario de un acceso a los datos, y la actualización de la clave de acceso, por el contrario, la no concesión
    15 al ordenador de usuario de acceso a los datos en ausencia de etapas de autenticación adicionales.
  2. 2. Método según la reivindicación 1, en el que si el ID de máquina no coincide con el ID de máquina de prueba, se ejecutan etapas de autenticación adicionales.
    20 3. Método según la reivindicación 1, en el que si el ID de la máquina coincide con el ID de máquina de prueba, pero la clave de inicio de sesión no coincide con la clave de inicio de sesión de prueba, no se ejecutan etapas de autenticación adicionales y una cuenta asociada con el usuario es deshabilitada.
  3. 4. Método según la reivindicación 2, en el que las etapas de autenticación adicionales incluyen el envío de un
    25 código PIN a un teléfono inalámbrico asociado con el usuario, y la recepción desde el ordenador de usuario el código PIN desde el usuario obtenido desde el teléfono inalámbrico.
  4. 5. Método según la reivindicación 1, en el que el servidor (22, 104) de información es un servidor de banca en
    línea. 30
  5. 6. Método según la reivindicación 1, en el que el servidor (22, 104) de información es un servidor de comercio electrónico.
  6. 7. Método según la reivindicación 1, en el que el servidor (22, 104) de información es un servidor VPN. 35
  7. 8. Sistema de autenticación para al menos un ordenador (12, 102) de usuario asociado con un usuario, que comprende un servidor (22, 104) de información y un servidor (106) de autenticación, cada uno configurado para efectuar el método de cualquiera de las reivindicaciones 1 a 7.
ES05750620T 2004-07-15 2005-05-13 Sistema y método para bloquear un inicio de sesión de red no autorizado usando una contraseña robada Active ES2420158T3 (es)

Applications Claiming Priority (5)

Application Number Priority Date Filing Date Title
US10/892,584 US7676834B2 (en) 2004-07-15 2004-07-15 System and method for blocking unauthorized network log in using stolen password
US892584 2004-07-15
US11/077,948 US8079070B2 (en) 2004-07-15 2005-03-11 System and method for blocking unauthorized network log in using stolen password
US77948 2005-03-11
PCT/US2005/017093 WO2006019451A1 (en) 2004-07-15 2005-05-13 System and method for blocking unauthorized network log in using stolen password

Publications (1)

Publication Number Publication Date
ES2420158T3 true ES2420158T3 (es) 2013-08-22

Family

ID=35907694

Family Applications (1)

Application Number Title Priority Date Filing Date
ES05750620T Active ES2420158T3 (es) 2004-07-15 2005-05-13 Sistema y método para bloquear un inicio de sesión de red no autorizado usando una contraseña robada

Country Status (4)

Country Link
US (1) US8219822B2 (es)
EP (1) EP1766839B1 (es)
ES (1) ES2420158T3 (es)
WO (1) WO2006019451A1 (es)

Families Citing this family (52)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8533791B2 (en) 2004-07-15 2013-09-10 Anakam, Inc. System and method for second factor authentication services
US7676834B2 (en) * 2004-07-15 2010-03-09 Anakam L.L.C. System and method for blocking unauthorized network log in using stolen password
US20100100967A1 (en) * 2004-07-15 2010-04-22 Douglas James E Secure collaborative environment
US8296562B2 (en) * 2004-07-15 2012-10-23 Anakam, Inc. Out of band system and method for authentication
US8528078B2 (en) 2004-07-15 2013-09-03 Anakam, Inc. System and method for blocking unauthorized network log in using stolen password
US20060288057A1 (en) * 2005-06-15 2006-12-21 Ian Collins Portable data backup appliance
US7844445B2 (en) * 2005-10-12 2010-11-30 Storage Appliance Corporation Automatic connection to an online service provider from a backup system
US20080028008A1 (en) * 2006-07-31 2008-01-31 Storage Appliance Corporation Optical disc initiated data backup
US7813913B2 (en) 2005-10-12 2010-10-12 Storage Appliance Corporation Emulation component for data backup applications
US7702830B2 (en) * 2005-10-12 2010-04-20 Storage Appliance Corporation Methods for selectively copying data files to networked storage and devices for initiating the same
US7899662B2 (en) * 2005-10-12 2011-03-01 Storage Appliance Corporation Data backup system including a data protection component
US7822595B2 (en) * 2005-10-12 2010-10-26 Storage Appliance Corporation Systems and methods for selectively copying embedded data files
US8069271B2 (en) * 2005-10-12 2011-11-29 Storage Appliance Corporation Systems and methods for converting a media player into a backup device
US20070162271A1 (en) * 2005-10-12 2007-07-12 Storage Appliance Corporation Systems and methods for selecting and printing data files from a backup system
US20070091746A1 (en) * 2005-10-12 2007-04-26 Storage Appliance Corporation Optical disc for simplified data backup
US8195444B2 (en) * 2005-10-12 2012-06-05 Storage Appliance Corporation Systems and methods for automated diagnosis and repair of storage devices
US7818160B2 (en) * 2005-10-12 2010-10-19 Storage Appliance Corporation Data backup devices and methods for backing up data
US20080082453A1 (en) * 2006-10-02 2008-04-03 Storage Appliance Corporation Methods for bundling credits with electronic devices and systems for implementing the same
USRE47533E1 (en) * 2006-10-04 2019-07-23 Aaa Internet Publishing Inc. Method and system of securing accounts
US9762576B2 (en) 2006-11-16 2017-09-12 Phonefactor, Inc. Enhanced multi factor authentication
US20080126446A1 (en) * 2006-11-27 2008-05-29 Storage Appliance Corporation Systems and methods for backing up user settings
US20080172487A1 (en) * 2007-01-03 2008-07-17 Storage Appliance Corporation Systems and methods for providing targeted marketing
US20080226082A1 (en) * 2007-03-12 2008-09-18 Storage Appliance Corporation Systems and methods for secure data backup
US20090030955A1 (en) * 2007-06-11 2009-01-29 Storage Appliance Corporation Automated data backup with graceful shutdown for vista-based system
US20090031298A1 (en) * 2007-06-11 2009-01-29 Jeffrey Brunet System and method for automated installation and/or launch of software
DE102007041768B4 (de) * 2007-09-04 2010-03-04 Deckel Maho Pfronten Gmbh System zur Steuerung des Zugriffs auf eine Werkzeugmaschine
CN101425897B (zh) * 2007-10-29 2011-05-18 上海交通大学 一种用户认证方法、系统、服务器和用户节点
US8312033B1 (en) 2008-06-26 2012-11-13 Experian Marketing Solutions, Inc. Systems and methods for providing an integrated identifier
US8544109B2 (en) * 2008-08-12 2013-09-24 So-Net M3 Usa Methods and systems involving survey administration
KR101051078B1 (ko) 2008-12-05 2011-07-21 한국화학연구원 염증관련 질환치료제용 2,4-이중치환-5-아미노카르보닐-1,3-티아졸 유도체, 그의 제조방법 및 그를 유효성분으로 함유하는 ｓｐｃ 수용체 활성으로 유발되는 염증관련질환 치료제
US9576119B2 (en) * 2008-12-26 2017-02-21 Facebook, Inc. Preventing phishing attacks based on reputation of user locations
US8918901B2 (en) * 2010-02-04 2014-12-23 Ca, Inc. System and method for restricting access to requested data based on user location
US8413137B2 (en) * 2010-02-04 2013-04-02 Storage Appliance Corporation Automated network backup peripheral device and method
CN102291372A (zh) * 2010-06-18 2011-12-21 中华电信股份有限公司 身份认证方法
US8551186B1 (en) * 2010-12-06 2013-10-08 Amazon Technologies, Inc. Audible alert for stolen user devices
US9607336B1 (en) 2011-06-16 2017-03-28 Consumerinfo.Com, Inc. Providing credit inquiry alerts
US8863258B2 (en) * 2011-08-24 2014-10-14 International Business Machines Corporation Security for future log-on location
US20130103834A1 (en) * 2011-10-21 2013-04-25 Blue Coat Systems, Inc. Multi-Tenant NATting for Segregating Traffic Through a Cloud Service
US9578499B2 (en) 2012-08-21 2017-02-21 Facebook, Inc. Authenticating user sessions based on information obtained from mobile devices
US9332019B2 (en) 2013-01-30 2016-05-03 International Business Machines Corporation Establishment of a trust index to enable connections from unknown devices
US9633322B1 (en) 2013-03-15 2017-04-25 Consumerinfo.Com, Inc. Adjustment of knowledge-based authentication
US10664936B2 (en) 2013-03-15 2020-05-26 Csidentity Corporation Authentication systems and methods for on-demand products
US9721147B1 (en) 2013-05-23 2017-08-01 Consumerinfo.Com, Inc. Digital identity
US10373240B1 (en) 2014-04-25 2019-08-06 Csidentity Corporation Systems, methods and computer-program products for eligibility verification
JP2015225500A (ja) * 2014-05-28 2015-12-14 富士通株式会社 認証用情報の窃取検知方法、認証用情報の窃取検知装置、及びプログラム
CN104202162B (zh) * 2014-08-12 2017-09-22 武汉理工大学 一种基于手机登录的系统及登录方法
US10091174B2 (en) 2014-09-29 2018-10-02 Dropbox, Inc. Identifying related user accounts based on authentication data
US9600670B2 (en) * 2014-12-23 2017-03-21 Intel Corporation Provisioning location-based security policy
US10911234B2 (en) 2018-06-22 2021-02-02 Experian Information Solutions, Inc. System and method for a token gateway environment
US11941065B1 (en) 2019-09-13 2024-03-26 Experian Information Solutions, Inc. Single identifier platform for storing entity data
US11165817B2 (en) * 2019-10-24 2021-11-02 Arbor Networks, Inc. Mitigation of network denial of service attacks using IP location services
JP7408882B2 (ja) * 2021-12-29 2024-01-05 楽天グループ株式会社 認証システム、認証装置、認証方法、及びプログラム

Family Cites Families (122)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6130621A (en) * 1992-07-09 2000-10-10 Rsa Security Inc. Method and apparatus for inhibiting unauthorized access to or utilization of a protected device
US5590199A (en) * 1993-10-12 1996-12-31 The Mitre Corporation Electronic information network user authentication and authorization system
US7822989B2 (en) * 1995-10-02 2010-10-26 Corestreet, Ltd. Controlling access to an area
US5887065A (en) * 1996-03-22 1999-03-23 Activcard System and method for user authentication having clock synchronization
US5802176A (en) * 1996-03-22 1998-09-01 Activcard System for controlling access to a function, using a plurality of dynamic encryption variables
US5937068A (en) * 1996-03-22 1999-08-10 Activcard System and method for user authentication employing dynamic encryption variables
US5737421A (en) * 1996-03-22 1998-04-07 Activcard System for controlling access to a function having clock synchronization
US6085320A (en) * 1996-05-15 2000-07-04 Rsa Security Inc. Client/server protocol for proving authenticity
US6831980B1 (en) * 1996-10-09 2004-12-14 Activcard Ireland Limited Random number generator and method for same
US6498861B1 (en) * 1996-12-04 2002-12-24 Activcard Ireland Limited Biometric security encryption system
US6076167A (en) * 1996-12-04 2000-06-13 Dew Engineering And Development Limited Method and system for improving security in network applications
US5982898A (en) * 1997-03-07 1999-11-09 At&T Corp. Certification process
FR2767624B1 (fr) * 1997-08-21 2002-05-10 Activcard Dispositif portable electronique pour systeme de communication securisee, et procede d'initialisation de ses parametres
US6240184B1 (en) * 1997-09-05 2001-05-29 Rsa Security Inc. Password synchronization
US6035404A (en) * 1997-09-09 2000-03-07 International Business Machines Corporation Concurrent user access control in stateless network computing service system
US6076163A (en) * 1997-10-20 2000-06-13 Rsa Security Inc. Secure user identification based on constrained polynomials
US6047268A (en) * 1997-11-04 2000-04-04 A.T.&T. Corporation Method and apparatus for billing for transactions conducted over the internet
US6411715B1 (en) * 1997-11-10 2002-06-25 Rsa Security, Inc. Methods and apparatus for verifying the cryptographic security of a selected private and public key pair without knowing the private key
US6286022B1 (en) * 1997-11-18 2001-09-04 Rsa Security Inc. Efficient finite field basis conversion involving a dual basis
AU2085199A (en) * 1997-11-19 1999-06-07 Security Dynamics Technologies, Inc. Digital coin tracing using trustee tokens
US6157920A (en) * 1997-11-19 2000-12-05 Lucent Technologies Inc. Executable digital cash for electronic commerce
US6389442B1 (en) * 1997-12-30 2002-05-14 Rsa Security Inc. Efficient finite field multiplication in normal basis
US20010014895A1 (en) * 1998-04-03 2001-08-16 Nameeta Sappal Method and apparatus for dynamic software customization
US6160903A (en) * 1998-04-24 2000-12-12 Dew Engineering And Development Limited Method of providing secure user access
FR2779018B1 (fr) * 1998-05-22 2000-08-18 Activcard Terminal et systeme pour la mise en oeuvre de transactions electroniques securisees
US6044471A (en) 1998-06-04 2000-03-28 Z4 Technologies, Inc. Method and apparatus for securing software to reduce unauthorized use
US6301362B1 (en) * 1998-06-12 2001-10-09 International Business Machines Corporation Method and apparatus for cryptographically transforming an input block into an output block
US6269163B1 (en) * 1998-06-15 2001-07-31 Rsa Security Inc. Enhanced block ciphers with data-dependent rotations
US6393447B1 (en) * 1998-10-22 2002-05-21 Lucent Technologies Inc. Method and apparatus for extracting unbiased random bits from a potentially biased source of randomness
US6460141B1 (en) * 1998-10-28 2002-10-01 Rsa Security Inc. Security and access management system for web-enabled and non-web-enabled applications and content on a computer network
US6374359B1 (en) * 1998-11-19 2002-04-16 International Business Machines Corporation Dynamic use and validation of HTTP cookies for authentication
US6373969B1 (en) * 1999-03-15 2002-04-16 Activcard Ireland, Limited Corrective optical component
US6721891B1 (en) * 1999-03-29 2004-04-13 Activcard Ireland Limited Method of distributing piracy protected computer software
US6751654B2 (en) * 1999-03-31 2004-06-15 International Business Machines Corporation Simulating web cookies for non-cookie capable browsers
US6317777B1 (en) * 1999-04-26 2001-11-13 Intel Corporation Method for web based storage and retrieval of documents
US6700606B1 (en) * 1999-06-09 2004-03-02 Activcard Ireland Limited Micromirror optical imager
US6202159B1 (en) * 1999-06-30 2001-03-13 International Business Machines Corporation Vault controller dispatcher and methods of operation for handling interaction between browser sessions and vault processes in electronic business systems
US6584505B1 (en) * 1999-07-08 2003-06-24 Microsoft Corporation Authenticating access to a network server without communicating login information through the network server
US6760844B1 (en) * 1999-07-30 2004-07-06 Unisys Corporation Secure transactions sessions
US6769068B1 (en) 1999-09-02 2004-07-27 International Business Machines Corporation Dynamic credential refresh in a distributed system
WO2001035277A1 (en) * 1999-11-12 2001-05-17 Mindmatters Technologies, Inc. System for automating and managing an enterprise ip environment
US6598072B1 (en) * 1999-12-02 2003-07-22 International Business Machines Corporation System for precluding repetitive accessing of web pages in a sequence of linked web pages accessed from the world wide web through a web browser at a web receiving display station
US6429927B1 (en) * 1999-12-23 2002-08-06 Activcard Ireland, Limited Imaging device, especially for optical fingerprinting
US7437408B2 (en) * 2000-02-14 2008-10-14 Lockheed Martin Corporation Information aggregation, processing and distribution system
US7140036B2 (en) 2000-03-06 2006-11-21 Cardinalcommerce Corporation Centralized identity authentication for electronic communication networks
US20010044896A1 (en) 2000-03-06 2001-11-22 Gil Schwartz Authentication technique for electronic transactions
US6813354B1 (en) * 2000-03-09 2004-11-02 Lucent Technologies Inc. Mixing in small batches
DE60128473T2 (de) * 2000-03-13 2008-01-10 Honeywell International Inc. Integriertes sicherheits- und kommunikationssystem mit sicherer kommunikationsverbindung
US20020029248A1 (en) * 2000-03-17 2002-03-07 Cook Jon L. Method and systems for providing a secure electronic mailbox
JP2001312468A (ja) * 2000-04-28 2001-11-09 Konami Co Ltd ネットワーク接続制御方法及び接続制御システム
US7426530B1 (en) * 2000-06-12 2008-09-16 Jpmorgan Chase Bank, N.A. System and method for providing customers with seamless entry to a remote server
US7389531B2 (en) * 2000-06-16 2008-06-17 Entriq Inc. Method and system to dynamically present a payment gateway for content distributed via a network
US6836845B1 (en) * 2000-06-30 2004-12-28 Palm Source, Inc. Method and apparatus for generating queries for secure authentication and authorization of transactions
US6662231B1 (en) * 2000-06-30 2003-12-09 Sei Information Technology Method and system for subscriber-based audio service over a communication network
US7464162B2 (en) 2000-07-10 2008-12-09 Oracle International Corporation Systems and methods for testing whether access to a resource is authorized based on access information
US20030093430A1 (en) * 2000-07-26 2003-05-15 Mottur Peter A. Methods and systems to control access to network devices
US7096354B2 (en) 2000-08-04 2006-08-22 First Data Corporation Central key authority database in an ABDS system
US20020031230A1 (en) 2000-08-15 2002-03-14 Sweet William B. Method and apparatus for a web-based application service model for security management
US7546334B2 (en) 2000-11-13 2009-06-09 Digital Doors, Inc. Data security system and method with adaptive filter
US7571466B2 (en) * 2001-02-23 2009-08-04 Microsoft Corporation Parental consent service
US6958992B2 (en) * 2001-03-16 2005-10-25 Mitel Corporation Registering an IP phone with an IP phone switch
US20020133706A1 (en) * 2001-03-19 2002-09-19 Alok Khanna Login for online account aggregation
US6848052B2 (en) * 2001-03-21 2005-01-25 Activcard Ireland Limited High security personalized wireless portable biometric device
US7467298B2 (en) * 2001-04-16 2008-12-16 Microsoft Corporation Methods and arrangements for selectively maintaining parental access consent in a network environment
US6986047B2 (en) * 2001-05-10 2006-01-10 International Business Machines Corporation Method and apparatus for serving content from a semi-trusted server
US20030005308A1 (en) * 2001-05-30 2003-01-02 Rathbun Paul L. Method and system for globally restricting client access to a secured web site
NL1018494C2 (nl) * 2001-07-09 2003-01-10 Koninkl Kpn Nv Methode en systeem voor het door een dienstproces aan een client leveren van een dienst.
US20030018707A1 (en) * 2001-07-20 2003-01-23 Flocken Philip Andrew Server-side filter for corrupt web-browser cookies
US7590859B2 (en) * 2001-08-24 2009-09-15 Secure Computing Corporation System and method for accomplishing two-factor user authentication using the internet
US7032026B1 (en) * 2001-08-31 2006-04-18 Oracle International Corp. Method and apparatus to facilitate individual and global lockouts to network applications
US6772954B2 (en) * 2001-10-09 2004-08-10 Activcard Ireland Limited Method of encoding information within directory files on an integrated circuit smart card
US7373515B2 (en) * 2001-10-09 2008-05-13 Wireless Key Identification Systems, Inc. Multi-factor authentication system
US7275260B2 (en) * 2001-10-29 2007-09-25 Sun Microsystems, Inc. Enhanced privacy protection in identification in a data communications network
US7725490B2 (en) * 2001-11-16 2010-05-25 Crucian Global Services, Inc. Collaborative file access management system
USRE41546E1 (en) * 2001-12-12 2010-08-17 Klimenty Vainstein Method and system for managing security tiers
US7421733B2 (en) * 2002-02-06 2008-09-02 Hewlett-Packard Development Company, L.P. System and method for providing multi-class processing of login requests
GB2387002A (en) 2002-02-20 2003-10-01 1Revolution Group Plc Personal identification system and method using a mobile device
JP2003244584A (ja) * 2002-02-20 2003-08-29 Canon Inc 画像処理装置、印刷システム、画像データ形式選択方法、プログラム、及び記憶媒体
US20030163739A1 (en) * 2002-02-28 2003-08-28 Armington John Phillip Robust multi-factor authentication for secure application environments
US7353383B2 (en) * 2002-03-18 2008-04-01 Jpmorgan Chase Bank, N.A. System and method for single session sign-on with cryptography
US7418596B1 (en) * 2002-03-26 2008-08-26 Cellco Partnership Secure, efficient, and mutually authenticated cryptographic key distribution
US20030188186A1 (en) * 2002-04-01 2003-10-02 Cherry Darrel D. System and method for authorizing printing services
US7035854B2 (en) * 2002-04-23 2006-04-25 International Business Machines Corporation Content management system and methodology employing non-transferable access tokens to control data access
US7383570B2 (en) * 2002-04-25 2008-06-03 Intertrust Technologies, Corp. Secure authentication systems and methods
US7316033B2 (en) * 2002-11-25 2008-01-01 Music Public Broadcasting, Inc. Method of controlling recording of media
US7562222B2 (en) 2002-05-10 2009-07-14 Rsa Security Inc. System and method for authenticating entities to users
US9081976B2 (en) * 2002-12-18 2015-07-14 Music Public Broadcasting, Inc. Method for redirecting of kernel data path for controlling recording of media
US7100049B2 (en) * 2002-05-10 2006-08-29 Rsa Security Inc. Method and apparatus for authentication of users and web sites
US7578002B2 (en) * 2002-11-25 2009-08-18 Trimble Navigation Limited Controlling interaction of deliverable electronic media
US7523490B2 (en) * 2002-05-15 2009-04-21 Microsoft Corporation Session key security protocol
US20030229782A1 (en) * 2002-06-07 2003-12-11 Robert Bible Method for computer identification verification
US20030033245A1 (en) * 2002-08-26 2003-02-13 Andrew Kahr Method for collection of amounts overdue and due by payday-to-payday drafts
US7536433B2 (en) * 2002-09-25 2009-05-19 Jpmorgan Chase Bank, N.A. System and method for customizing a portal environment
EP1559028A1 (en) * 2002-11-06 2005-08-03 Digital Interactive Entertainment, Llc Activation and personalization of downloadable content
US7796977B2 (en) * 2002-11-18 2010-09-14 Research In Motion Limited Voice mailbox configuration methods and apparatus for mobile communication devices
US7360096B2 (en) * 2002-11-20 2008-04-15 Microsoft Corporation Securely processing client credentials used for Web-based access to resources
US7353282B2 (en) * 2002-11-25 2008-04-01 Microsoft Corporation Methods and systems for sharing a network resource with a user without current access
AU2003293125A1 (en) * 2002-11-27 2004-06-23 Rsa Security Inc Identity authentication system and method
US7237118B2 (en) * 2002-12-05 2007-06-26 Microsoft Corporation Methods and systems for authentication of a user for sub-locations of a network location
US7685631B1 (en) * 2003-02-05 2010-03-23 Microsoft Corporation Authentication of a server by a client to prevent fraudulent user interfaces
US8751801B2 (en) 2003-05-09 2014-06-10 Emc Corporation System and method for authenticating users using two or more factors
US7694330B2 (en) 2003-05-23 2010-04-06 Industrial Technology Research Institute Personal authentication device and system and method thereof
EP1629460B1 (en) * 2003-05-30 2015-05-13 Apple Inc. An electronic device, a method and a computer-readable storage medium
US7177837B2 (en) * 2003-07-11 2007-02-13 Pascal Pegaz-Paquet Computer-implemented method and system for managing accounting and billing of transactions over public media such as the internet
US7546630B2 (en) 2003-07-17 2009-06-09 International Business Machines Corporation Methods, systems, and media to authenticate a user
US7275263B2 (en) * 2003-08-11 2007-09-25 Intel Corporation Method and system and authenticating a user of a computer system that has a trusted platform module (TPM)
US7721329B2 (en) * 2003-11-18 2010-05-18 Aol Inc. Method and apparatus for trust-based, fine-grained rate limiting of network requests
US7404204B2 (en) * 2004-02-06 2008-07-22 Hewlett-Packard Development Company, L.P. System and method for authentication via a single sign-on server
US8527277B2 (en) * 2004-02-17 2013-09-03 At&T Intellectual Property I, L.P. System and method for managing recognition errors in a multiple dialog state environment
US7665127B1 (en) * 2004-06-30 2010-02-16 Jp Morgan Chase Bank System and method for providing access to protected services
US8296562B2 (en) 2004-07-15 2012-10-23 Anakam, Inc. Out of band system and method for authentication
US20100100967A1 (en) 2004-07-15 2010-04-22 Douglas James E Secure collaborative environment
US8533791B2 (en) 2004-07-15 2013-09-10 Anakam, Inc. System and method for second factor authentication services
US8528078B2 (en) 2004-07-15 2013-09-03 Anakam, Inc. System and method for blocking unauthorized network log in using stolen password
US7676834B2 (en) 2004-07-15 2010-03-09 Anakam L.L.C. System and method for blocking unauthorized network log in using stolen password
US20060106605A1 (en) * 2004-11-12 2006-05-18 Saunders Joseph M Biometric record management
US20070136517A1 (en) * 2005-11-29 2007-06-14 Quantum Corporation Use of directory revision number to validate directory
US20070136573A1 (en) 2005-12-05 2007-06-14 Joseph Steinberg System and method of using two or more multi-factor authentication mechanisms to authenticate online parties
US9407662B2 (en) 2005-12-29 2016-08-02 Nextlabs, Inc. Analyzing activity data of an information management system
US20080114980A1 (en) 2006-11-13 2008-05-15 Thangapandi Sridhar System, method and apparatus for using standard and extended storage devices in two-factor authentication
CA2713419A1 (en) 2007-02-01 2008-08-07 Credit Suisse Securities (Usa) Llc Method and system for dynamically controlling access to a network
US20080301570A1 (en) 2007-06-01 2008-12-04 Milstead James M Spaciotemporal graphical user interface for collaborative and secure information sharing

Also Published As

Publication number Publication date
WO2006019451A1 (en) 2006-02-23
EP1766839B1 (en) 2013-03-06
EP1766839A1 (en) 2007-03-28
US20060069921A1 (en) 2006-03-30
EP1766839A4 (en) 2010-06-02
US8219822B2 (en) 2012-07-10

Similar Documents

Publication Publication Date Title
ES2420158T3 (es) Sistema y método para bloquear un inicio de sesión de red no autorizado usando una contraseña robada
US8079070B2 (en) System and method for blocking unauthorized network log in using stolen password
ES2835784T3 (es) Método y sistema para gestionar información personal dentro de sistemas informáticos independientes y redes digitales
US8528078B2 (en) System and method for blocking unauthorized network log in using stolen password
ES2645289T3 (es) Autenticación de transacciones seguras
US6173400B1 (en) Methods and systems for establishing a shared secret using an authentication token
JP2828218B2 (ja) 分散通信ネットワークにおける許可パスワードまたはキーの変更方法およびシステム
US8041954B2 (en) Method and system for providing a secure login solution using one-time passwords
US7461399B2 (en) PIN recovery in a smart card
US6263446B1 (en) Method and apparatus for secure distribution of authentication credentials to roaming users
US7035442B2 (en) User authenticating system and method using one-time fingerprint template
US8561174B2 (en) Authorization method with hints to the authorization code
JP2003534589A (ja) 認証システム及び方法
US11477190B2 (en) Dynamic user ID
WO2002017555A2 (en) Countering credentials copying
Singhal et al. Software tokens based two factor authentication scheme
JP4612951B2 (ja) ローミング中のユーザに認証信用証明を安全に配布するための方法および装置
CA2611549C (en) Method and system for providing a secure login solution using one-time passwords
Perlman et al. User-centric PKI
US11151243B1 (en) Password hopping system and method
US20220138290A1 (en) Method and system for a secure transaction
JP2002149613A (ja) インターネット上での本人認証方式および装置
Umar An Authentication of Significant security for accessing Password through Network System
JP2021068024A (ja) 生体認証システム
JP2004021591A (ja) 管理装置及び認証装置