ES2778451T3 - Protección de procedimientos de inicio de sesión - Google Patents

Protección de procedimientos de inicio de sesión Download PDF

Info

Publication number
ES2778451T3
ES2778451T3 ES17203075T ES17203075T ES2778451T3 ES 2778451 T3 ES2778451 T3 ES 2778451T3 ES 17203075 T ES17203075 T ES 17203075T ES 17203075 T ES17203075 T ES 17203075T ES 2778451 T3 ES2778451 T3 ES 2778451T3
Authority
ES
Spain
Prior art keywords
login
user
token
service provider
temporary
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
ES17203075T
Other languages
English (en)
Inventor
Michael Kirchner
Benedikt Vamos
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Siemens AG
Original Assignee
Siemens AG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Siemens AG filed Critical Siemens AG
Application granted granted Critical
Publication of ES2778451T3 publication Critical patent/ES2778451T3/es
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H04L63/0838—Network architectures or network communication protocols for network security for authentication of entities using passwords using one-time-passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H04L9/3228—One-time or temporary data, i.e. information which is sent for every authentication or authorization, e.g. one-time-password, one-time-token or one-time-key
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/45—Structures or tools for the administration of authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/08—Payment architectures
    • G06Q20/12—Payment architectures specially adapted for electronic shopping systems
    • G06Q20/123—Shopping for digital content
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/22—Payment schemes or models
    • G06Q20/29—Payment schemes or models characterised by micropayments
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/36—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using electronic wallets or electronic money safes
    • G06Q20/367—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using electronic wallets or electronic money safes involving electronic purses or money safes
    • G06Q20/3674—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using electronic wallets or electronic money safes involving electronic purses or money safes involving authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/36—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using electronic wallets or electronic money safes
    • G06Q20/367—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using electronic wallets or electronic money safes involving electronic purses or money safes
    • G06Q20/3678—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using electronic wallets or electronic money safes involving electronic purses or money safes e-cash details, e.g. blinded, divisible or detecting double spending
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
    • H04L9/0637—Modes of operation, e.g. cipher block chaining [CBC], electronic codebook [ECB] or Galois/counter mode [GCM]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Business, Economics & Management (AREA)
  • Accounting & Taxation (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Finance (AREA)
  • Signal Processing (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Strategic Management (AREA)
  • General Business, Economics & Management (AREA)
  • Software Systems (AREA)
  • Computing Systems (AREA)
  • Information Transfer Between Computers (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)

Abstract

Método para el inicio de sesión de un usuario (1) en un proveedor (2) de servicio, comprendiendo el método: - transferir un primer valor (3) económico desde el usuario (1) hasta un proveedor (7) de testigos para un testigo (4) de inicio de sesión temporal; - realizar un intento de inicio de sesión en el proveedor (2) de servicio, en el que el intento de inicio de sesión requiere datos de inicio de sesión específicos de usuario y el testigo (4) de inicio de sesión temporal; - transferir un segundo valor (5) económico al usuario (1) e invalidar el testigo de inicio de sesión temporal si el inicio de sesión en el proveedor (2) de servicio fue satisfactorio dentro de un número predefinido de intentos de inicio de sesión, en el que el segundo valor (5) económico tiene sustancialmente el mismo valor que el primer valor (3) económico.

Description

DESCRIPCIÓN
Protección de procedimientos de inicio de sesión
Campo técnico
La presente invención se refiere a procedimientos para el inicio de sesión de un usuario en un proveedor de servicio, y en particular a un método para proteger procedimientos para el inicio de sesión de un usuario en un proveedor de servicio contra ataques de fuerza bruta. Además, se proporcionan un dispositivo informático, una red informática y un producto de programa informático correspondientes.
Antecedentes
Los procedimientos habituales de inicio de sesión en proveedores de servicio, que se basan en nombres de usuario y contraseñas de usuario, son a menudo objeto de ataques de fuerza bruta. En particular, la fuerza bruta es un método de ataque que usa secuencias de comandos para probar automáticamente numerosas combinaciones de nombres de usuario y contraseñas de usuario con la intención de adivinar los datos de acceso correctos. Si se ha elegido una contraseña sencilla, que por ejemplo sólo tiene una longitud de pocos caracteres o una palabra contenida en un diccionario, aumenta la probabilidad de que los datos de acceso puedan adivinarse fácilmente. Tales ataques de fuerza bruta contra procedimientos de inicio de sesión, por ejemplo, contra procedimientos de inicio de sesión de una aplicación web, pueden llevarse a cabo de una variedad de variantes diferentes. Por ejemplo, seleccionando un usuario específico (por ejemplo, “administrador”) e intentando numerosas contraseñas posibles para ese usuario. Una variante alternativa es seleccionar una contraseña probable específica (por ejemplo, “Contraseña123”) e intentar numerosas cuentas de usuario. En particular, cuanto mayor sea el grupo de usuarios de una aplicación, más probable es encontrar un usuario individual, que haya elegido realmente esta contraseña específica.
Existen medidas de protección convencionales contra ataques de fuerza bruta en procedimientos de inicio de sesión, en las que según una medida de protección se obliga a los usuarios a usar contraseñas con alta complejidad de contraseña. Esto requiere normalmente que las contraseñas deban tener una determinada longitud mínima o contener caracteres especiales y dígitos. Sin embargo, en la práctica, esto hace más difícil que los usuarios finales recuerden sus contraseñas y, por tanto, un usuario final a menudo eludirá la medida de protección eligiendo contraseñas sencillas, tales como “Contraseña123456!”. Estas contraseñas sencillas son técnicamente conformes con las directrices para elegir una contraseña y por tanto el sistema las acepta, sin embargo, todavía pueden adivinarse muy fácilmente.
Otra medida de protección convencional es bloquear cuentas de usuario en caso de demasiados intentos de inicio de sesión fallidos. En la misma, se bloquean cuentas de usuario después de demasiados intentos de inicio de sesión fallidos y sólo se reactivan mediante un administrador o después de un tiempo predeterminado. Sin embargo, un atacante puede usar este mecanismo para provocar una denegación de servicio enviando intencionadamente falsos intentos de inicio de sesión, bloqueando de ese modo usuarios específicos e impidiéndoles usar la aplicación.
Además, puede usarse limitación de la tasa, en la que esta medida de protección registra, por ejemplo, por dirección IP cuántos intentos de inicio de sesión fallidos se han provocado en un tiempo dado. Si el número es demasiado alto, la dirección IP se bloqueará para intentos adicionales de inicio de sesión. Se producen problemas con esta medida de protección, si numerosos usuarios legítimos están ubicados detrás de la misma dirección IP, por ejemplo, debido a traducción de dirección de red (NAT), o debido a un servidor proxi.
Según una medida de prevención adicional pueden requerirse los denominados testigos de un solo uso para registrar a un usuario en un proveedor de servicio, como por ejemplo en procedimientos de inicio de sesión PIN/TAN, autenticación en dos etapas con mensajes de texto en teléfonos móviles, o procedimientos de OTP basada en tiempo tales como Google Authenticator. Sin embargo, estas medidas de protección requieren las etapas de registro anteriores, dicho de otro modo, etapas de vinculación, por el usuario del testigo de seguridad respectivo con el proveedor de servicio, lo cual requiere mucho tiempo y requiere esfuerzo adicional por parte del usuario. Además, estos testigos de un solo uso no están disponibles de manera instantánea y anónima para un nuevo usuario arbitrario en un procedimiento de inicio de sesión.
El documento “'I want my money back!' Limiting Online Password-Guessing Financially” de Maximilian Golla et al en el Symposium on Usable Privacy and Security, 14 de julio de 2017, páginas 1-6, XP055444957, Santa Clara, California, que puede recuperarse en https://www.usenix.org/system/files/way2017-golla.pdf, da a conocer un método para un enfoque basado en depósito opcional a una limitación de tasa que aborda ataques en línea de adivinar. En el mismo, se pide un pequeño depósito para cada intento de inicio de sesión, que se devuelve inmediatamente después de un registro satisfactorio, de modo que los atacantes en línea de adivinar se enfrentan a altos costes por inicios de sesión no satisfactorios repetidos.
El documento EP 0 941 524 A1 da a conocer un sistema de pago digital, en el que una secuencia de números aleatorios se almacenan en un servidor de pago, en el que un conjunto de números aleatorios digitalmente codificados derivados de la secuencia almacenada y se emiten a un usuario a cambio de un pago. En el mismo, los testigos se almacenan en un carnet y el usuario puede gastar entonces los testigos transfiriendo testigos a un comerciante. El comerciante devuelve cada testigo recibido al servidor de pago, en el que el servidor de pago autentica el testigo y transmite un mensaje de autenticación al comerciante.
Si las medidas de protección mencionadas anteriormente y sus desventajas respectivas no pueden aceptarse en un caso de uso específico, entonces también puede aceptarse que pueden llevarse a cabo ataques de fuerza bruta en un procedimiento de inicio de sesión.
Sumario
Por consiguiente, existe la necesidad de medidas de protección mejoradas para procedimientos de inicio de sesión de proveedores de servicio contra ataques de fuerza bruta, que superen las desventajas mencionadas anteriormente. Por tanto, un objeto de la presente invención es proporcionar un método mejorado de este tipo, un dispositivo, un producto de programa informático y una red informática respectivos, que proporcionen protección mejorada contra ataques de fuerza bruta en un procedimiento de inicio de sesión de un proveedor de servicio.
Este objeto se resuelve mediante el contenido de las reivindicaciones independientes. Características ventajosas adicionales son el contenido de las reivindicaciones dependientes.
Según un primer aspecto de la invención, se proporciona un método para el inicio de sesión de un usuario en un proveedor de servicio. En una primera etapa, se transfiere un primer valor económico desde el usuario hasta un proveedor de testigos para un testigo de inicio de sesión temporal, y en respuesta, el usuario recibe el testigo de inicio de sesión temporal del proveedor de testigos. En una etapa adicional, el usuario realiza un intento de inicio de sesión en el proveedor de servicio usando datos de inicio de sesión específicos de usuario y el testigo de inicio de sesión temporal, en el que el intento de inicio de sesión requiere datos de inicio de sesión específicos de usuario y el testigo de inicio de sesión temporal. En otra etapa, se transfiere un segundo valor económico al usuario si el inicio de sesión en el proveedor de servicio fue satisfactorio dentro de un número predefinido de intentos de inicio de sesión, en el que el segundo valor económico tiene sustancialmente el mismo valor que el primer valor económico. Por tanto, se proporciona un método mejorado para proteger un procedimiento de inicio de sesión contra ataques de fuerza bruta, que extiende un procedimiento de inicio de sesión mediante etapas de transacción adicionales y aumenta de ese modo la complejidad técnica, así como el coste para un atacante incluyendo las etapas de transacción adicionales que incluyen un factor económico. En el mismo, las etapas de transacción adicionales pueden ejecutarse en segundo plano y de manera transparente para el usuario final y hacer que los ataques de fuerza bruta sean caros en cuanto a esfuerzo y económicamente y, por tanto, no sean atractivos para el atacante. Según el método de la invención, el procedimiento de inicio de sesión se protege ventajosamente mediante transacciones ejecutadas directamente, que pueden ser transacciones de valor micro económico, tales como las hechas posibles mediante sistemas de bases de datos distribuidos o sistemas basados en cadena de bloques, tales como IOTA, PIVX, o protocolos de pagos públicos correspondientes con mecanismos de consentimiento y validación. En particular, un usuario que quiere registrarse en un proveedor de servicio garantiza, depositando un valor económico, que él o ella puede completar satisfactoriamente un registro, por ejemplo en 10 intentos, mientras que para un atacante que quiere llevar a cabo varios miles de operaciones de inicio de sesión en el contexto de un ataque de fuerza bruta, por ejemplo, el procedimiento es demasiado caro. Por tanto, ya no son necesarios mecanismos de seguridad alternativos tales como bloquear cuentas de usuario o establecer límites de tasa contra direcciones IP. Además, el proveedor de servicio puede incluso beneficiarse económicamente de ataques de fuerza bruta que se hayan llevado realmente a cabo. Adicionalmente, no es necesario establecer una asignación entre el usuario y su cartera de cadena de bloques, es decir, una verificación de que una cartera específica pertenece a un usuario. Ventajosamente, el usuario puede usar una cartera de pago electrónico arbitraria para el procedimiento de inicio de sesión, cambiarla a lo largo del tiempo por otro procedimiento de inicio de sesión, posiblemente usar carteras de diferentes tecnologías de cadena de bloques, que proporcionan servicios de valor económico anónimos.
Según un segundo aspecto de la invención, se proporciona un dispositivo configurado para proporcionar un servicio a un usuario, que en particular puede ser un proveedor de servicio, o un dispositivo informático configurado para proporcionar un servicio a un usuario, comprendiendo el dispositivo una memoria y al menos una unidad de procesamiento, conteniendo la memoria instrucciones ejecutables por dicha al menos una unidad de procesamiento, en la que la ejecución de las instrucciones hace que el dispositivo ejecute las etapas de un método tal como se describió anteriormente para el primer aspecto de la invención.
El dispositivo para el inicio de sesión de un usuario en un proveedor de servicio descrito en el segundo aspecto puede estar configurado para realizar uno cualquiera o cualquier combinación de los métodos descritos anteriormente en el primer aspecto. Para tales dispositivos, pueden conseguirse efectos técnicos, que corresponden a los efectos técnicos descritos para el método para el inicio de sesión de un usuario en un proveedor de servicio según el primer aspecto.
Según un tercer aspecto de la invención, se proporciona una red informática, en la que la red informática comprende al menos un dispositivo informático tal como se describió anteriormente para el segundo aspecto de la invención. Según un cuarto aspecto de la invención, un producto de programa informático comprende un código de programa. El código de programa puede ejecutarse por al menos un procesador. Ejecutar el código de programa hace que el al menos un procesador realice uno de los métodos para el inicio de sesión de un usuario en un proveedor de servicio según el primer aspecto de la invención.
Para tal dispositivo, red informática y producto de programa informático para el inicio de sesión de un usuario en un proveedor de servicio, pueden conseguirse efectos técnicos, que corresponden a los efectos técnicos descritos para el primer aspecto de la invención.
Aunque se describen características específicas descritas en el sumario anterior y en la siguiente descripción detallada en relación con realizaciones y aspectos específicos de la presente invención, debe entenderse que las características de las realizaciones y los aspectos a modo de ejemplo pueden combinarse entre sí, y correlacionarse entre sí, a menos que se indique específicamente lo contrario.
Por tanto, se pretende que el sumario anterior simplemente proporcione un pequeño resumen de algunas características de algunas realizaciones e implementaciones y no debe interpretarse como limitativo. Otras realizaciones pueden comprender otras características distintas de las explicadas anteriormente.
Breve descripción de los dibujos
Los anteriores y otros elementos, rasgos característicos, etapas y características de la presente divulgación resultarán más evidentes a partir de la siguiente descripción detallada de realizaciones con referencia a las siguientes figuras:
la figura 1 ilustra un diagrama de flujo con etapas para el inicio de sesión de un usuario en un proveedor de servicio, según realizaciones de la invención;
la figura 2 ilustra un dibujo esquemático de un dispositivo para proporcionar un servicio a un usuario, según realizaciones de la invención;
la figura 3 ilustra un dibujo esquemático de un dispositivo adicional para proporcionar un servicio a un usuario que usa una base de datos distribuida, según realizaciones de la invención;
la figura 4 ilustra un dibujo esquemático de un dispositivo adicional para proporcionar un servicio a un usuario, según realizaciones de la invención.
Descripción detallada de realizaciones
A continuación, se describirán realizaciones de la invención en detalle con referencia a los dibujos adjuntos. Ha de entenderse que la siguiente descripción de realizaciones no debe interpretarse en un sentido limitativo. No se pretende que el alcance de la invención se limite por las realizaciones descritas a continuación en el presente documento o por los dibujos, que se interpretan sólo de manera ilustrativa.
Los dibujos deben considerarse como que son representaciones esquemáticas y los elementos ilustrados en los dibujos no se muestran necesariamente a escala. En cambio, los diversos elementos se representan de modo que su función y propósito general resultan evidentes para un experto en la técnica. Cualquier conexión o acoplamiento entre bloques funcionales, dispositivos, componentes, módulos u otras unidades físicas o funcionales mostrados en los dibujos o descritos en el presente documento también puede implementarse mediante una conexión o acoplamiento directo o indirecto. Puede establecerse un acoplamiento entre componentes por cable o a través de una conexión inalámbrica. Los bloques funcionales, dispositivos informáticos, nodos o entidades pueden implementarse en hardware, firmware, software o una combinación de los mismos.
A continuación, en el presente documento, se describen diversas técnicas con respecto a emplear un método y dispositivo informático para el inicio de sesión de un usuario en un proveedor de servicio.
Un usuario 1 dentro del significado de la presente divulgación puede referirse a una persona física o usuario técnico que quiere conectarse al proveedor 2 de servicio, en el que un proveedor 2 de servicio o un dispositivo 2 para proporcionar un servicio a un usuario 1 es una entidad que acepta un inicio de sesión o conexión, por ejemplo, por medio de una contraseña y nombre de usuario, y después proporciona al usuario 1 un determinado servicio.
Un servicio dentro del significado de la presente divulgación puede referirse a cualquier concepto técnico implementado en una infraestructura informática. Mediante el mismo, puede habilitarse con capacidades informáticas que almacenan y procesan datos o bien en una nube privada o bien en un servidor de terceros ubicado en un centro de datos con el fin de hacer que mecanismos de acceso de datos sean más eficientes y fiables.
Una red dentro del significado de la presente divulgación puede referirse a cualquier conjunto de nodos que permiten que una pluralidad de participantes realicen comunicación de datos entre ellos. La red puede ser una red pública o una red privada. La red puede o no basarse en una plataforma de cadena de bloques. La red puede estar conectada a al menos una red adicional. La red puede procesar de manera irreversible los datos basándose en técnicas de cadena de bloques.
Una red distribuida dentro del significado de la presente divulgación puede referirse a cualquier base de datos implementada en una red, que se almacena al menos parcialmente de manera redundante en varios nodos de red remotos entre sí. La tecnología de cadena de bloques puede comprender una pluralidad de bloques que comprenden datos relacionados con transacciones y/o contratos inteligentes. La concatenación de diferentes bloques puede implementarse mediante valores resumen criptográficos almacenados en cada bloque, en la que cada valor resumen puede referirse a datos de un bloque anterior.
La figura 1 ilustra un diagrama de flujo con etapas para el inicio de sesión de un usuario en un proveedor de servicio, según realizaciones de la invención.
El método comienza con la etapa S10. En la etapa S20, se transfiere un primer valor 3 económico desde el usuario hasta un proveedor 7 de testigos para un testigo 4 de inicio de sesión temporal. En la etapa S30, se realiza un intento de inicio de sesión en el proveedor 2 de servicio, en el que el intento de inicio de sesión requiere datos de inicio de sesión específicos de usuario y el testigo 4 de inicio de sesión temporal. En la etapa S40, se transfiere un segundo valor 5 económico al usuario 1 si el inicio de sesión en el proveedor 2 de servicio fue satisfactorio dentro de un número predefinido de intentos de inicio de sesión, en el que el segundo valor 5 económico tiene sustancialmente el mismo valor que el primer valor 3 económico. El método finaliza con la etapa S50.
La figura 2 ilustra un dibujo esquemático de un dispositivo 2 para proporcionar un servicio a un usuario 1, según realizaciones de la invención.
Tal como puede observarse en la figura 2, un usuario 1 realiza transacciones con un proveedor 7 de testigos de inicio de sesión y con el dispositivo 2 para proporcionar un servicio a un usuario 1, con el fin de iniciar sesión en el dispositivo 2.
En un intento de inicio de sesión, el usuario 1 proporciona datos de inicio de sesión específicos que comprenden un nombre de usuario y una contraseña específica de usuario correspondiente al proveedor 2 de servicio.
El proveedor 2 de servicio requiere los siguientes tres bloques de datos cuando el usuario inicia sesión:
Nombre de usuario contraseña específica de usuario testigo 4 de inicio de sesión En una implementación ideal, el factor “testigo de inicio de sesión” adicional mencionado en este caso se gestiona de manera transparente en segundo plano para el usuario 1, de modo que el usuario continúa introduciendo sólo el nombre de usuario y la contraseña como habitualmente. Por ejemplo, un testigo 4 de inicio de sesión puede representarse mediante una cadena larga que parece aleatoria, o el testigo de inicio de sesión temporal puede ser un testigo de software, tal como una cadena de caracteres, conjunto de datos, bloque de datos, par de claves privada/pública, un identificador o cualquier otra información secreta, que un tercero no puede adivinar fácilmente. En otra transacción entre el usuario 1 y el proveedor 7 de testigos, se compra un testigo 4 de inicio de sesión temporal. El usuario 1 transfiere un determinado valor 3, como por ejemplo un valor 3 económico, al proveedor 2 de servicio. En respuesta, recibe un testigo 4 de inicio de sesión temporal válido y la garantía de que el valor 3 económico se transfiere inmediatamente de vuelta al usuario 1 en cuanto el procedimiento de inicio de sesión sea satisfactorio. Un testigo 4 de inicio de sesión está limitado en cuanto a su validez, por ejemplo, para un máximo de 10 intentos de inicio de sesión. La transferencia de los valores económicos debe basarse en un método que ejecuta transacciones inmediatamente (sin retardo de varios minutos u horas). De manera ideal, se usa un procedimiento que no genera tasas de transacción para el usuario. Por tanto, se basa ventajosamente en una base de datos distribuida, preferentemente en una base de datos basada en tecnología de cadena de bloques, tal como uno de los protocolos de micropago IOTA, PIVX, ETHEREUM, DASH y BITCOIN CASH. Puede usarse cualquier otro protocolo de micropago, tal como conoce el experto en la técnica.
En una transacción adicional, si el proveedor 2 de servicio procesa un intento de inicio de sesión con un nombre de usuario y contraseña correctos, se invalida el testigo de inicio de sesión y se devuelve el valor 5 económico a la dirección del emisor desde el proveedor 7 de testigos. En otra realización, el valor 5 económico puede devolverse al usuario 1 desde el proveedor 2 de servicio.
Si el proveedor 2 de servicio procesa un intento de inicio de sesión con un nombre de usuario y contraseña incorrectos, el número de intentos permitidos con este testigo 4 de inicio de sesión temporal se reduce en 1. Si el número de intentos permitidos alcanza 0, se invalida el testigo de inicio de sesión temporal y el valor 3 económico asociado con el testigo 4 de inicio de sesión se retiene por el proveedor 7 de testigos de inicio de sesión, o en otra realización por el proveedor 2 de servicio. En una realización el proveedor 2 de servicio y el proveedor 7 de testigos de inicio de sesión pueden ser la misma entidad.
La figura 3 ilustra un dibujo esquemático de un dispositivo 2 adicional para proporcionar un servicio a un usuario 1 usando una base de datos distribuida, según realizaciones de la invención.
Tal como puede derivarse de la figura 3, el usuario 1 realiza transacciones a través de una base 6 de datos distribuida con un proveedor 2 de servicio, y directamente con el proveedor 2 de servicio. Las transacciones realizadas corresponden a las transacciones descritas para la figura 2, en las que las transferencias de los valores 3, 5 económicos se realizan usando una base 6 de datos distribuida, y además el proveedor 2 de servicio también es el proveedor 7 de testigos de inicio de sesión para el usuario 1.
La figura 4 ilustra un dibujo esquemático de un dispositivo 2 adicional para proporcionar un servicio a un usuario 1, según realizaciones de la invención.
El dispositivo 2 mostrado en la figura 4 puede realizar uno de los métodos para el inicio de sesión de un usuario 1 tal como se describió anteriormente, en el que el dispositivo 2 comprende además una interfaz 20 que está adaptada para transmitir datos de usuario o mensajes de control a otras entidades tales como servidores de bases 6 de datos distribuidas y que se proporciona para recibir datos de usuario o mensajes de control desde otras entidades tales como los servidores de la base 6 de datos distribuida o cualquier otro nodo ubicado en una red informática. La interfaz 20 está especialmente cualificada para recibir los datos de inicio de sesión, tales como nombre de usuario, contraseña específica de usuario y testigo de inicio de sesión temporal a partir de un usuario 1, tal como se describió para el primer aspecto de la invención. El dispositivo 2 comprende además una unidad 21 de procesamiento, que es responsable del funcionamiento del dispositivo 2. La unidad 21 de procesamiento comprende uno o más procesadores y puede llevar a cabo instrucciones almacenadas en una memoria 22, en la que la memoria 22 puede incluir una memoria de sólo lectura, una memoria de acceso aleatorio, un almacenamiento masivo, un disco duro o similares. La memoria puede incluir además un código de programa adecuado que va a ejecutarse por la unidad 21 de procesamiento para implementar las funcionalidades descritas anteriormente en las que participa el dispositivo 2. A partir de lo anteriormente mencionado, pueden extraerse algunas conclusiones generales:
En respuesta a transferir el primer valor económico, el usuario puede recibir un testigo de inicio de sesión temporal desde el proveedor de testigos. El proveedor de servicio puede proporcionar además una garantía para el testigo de inicio de sesión temporal, de que puede usarse para un número predeterminado de intentos de inicio de sesión y de que el valor económico se transferirá de vuelta al usuario si uno de los intentos de inicio de sesión dentro del número predefinido de intentos de inicio de sesión es satisfactorio. De ese modo, se garantiza que un usuario, que quiere iniciar sesión en un proveedor de servicio, en primer lugar tiene que ingresar un valor económico, antes de que reciba un testigo de inicio de sesión temporal, el cual es necesario para intentar iniciar sesión en el proveedor de servicio.
El testigo de inicio de sesión temporal puede invalidarse si el inicio de sesión en el proveedor de servicio fue satisfactorio. La invalidación del testigo de inicio de sesión temporal después de un intento de inicio de sesión satisfactorio, impide el uso adicional del testigo de inicio de sesión temporal y por tanto contribuye a impedir intentos de inicio de sesión adicionales con el testigo de inicio de sesión temporal por un atacante.
El proveedor de servicio puede ser el proveedor de testigos, o el proveedor de servicio puede comprender el proveedor de testigos. La unidad del proveedor de servicio y el proveedor de testigos permite una comunicación rápida y eficaz y, por tanto, un rendimiento mejorado del procedimiento de inicio de sesión.
El testigo de inicio de sesión puede proporcionarse solamente si se ha completado la transferencia de los valores económicos primero y segundo, y el usuario no tiene posibilidad de cancelar o deshacer la transferencia del valor económico por su propia acción. De ese modo, se garantiza adicionalmente que un usuario, que quiere iniciar sesión en un proveedor de servicio, en primer lugar tiene que ingresar un valor económico, antes de que reciba un testigo de inicio de sesión temporal, el cual es necesario para intentar iniciar sesión en el proveedor de servicio.
El valor económico puede transferirse de vuelta solamente si el inicio de sesión del usuario en el proveedor de servicio fue satisfactorio, en el que en respuesta a que el inicio de sesión en el proveedor de servicio fue satisfactorio, se transfiere el valor económico desde el proveedor de testigos, o desde el proveedor de servicio, al usuario.
El testigo de inicio de sesión temporal puede ser un testigo de software, tal como una cadena de caracteres, conjunto de datos, bloque de datos, par de claves privada/pública, un identificador o cualquier otra información secreta, que un tercero no puede adivinar fácilmente. De ese modo, el testigo de inicio de sesión temporal es seguro y el usuario puede recibirlo fácilmente desde el proveedor de testigos.
Los valores económicos primero y segundo pueden transferirse desde y/o hasta carteras anónimas que pertenecen al usuario en una base de datos electrónica. De ese modo, el procedimiento de inicio de sesión puede protegerse sin vinculación y registro anteriores del usuario, respectivamente una característica de seguridad que pertenece al usuario, con el proveedor de testigos. Por tanto, cualquier usuario puede realizar el procedimiento de inicio de sesión según la invención, en el que el único requisito para el usuario es que posea una cartera con la que pueda transferir un valor económico al proveedor de servicio.
Los valores económicos primero y segundo pueden transferirse usando una base de datos distribuida, en la que los datos se almacenan de manera redundante en múltiples ordenadores ubicados de manera remota unos de otros. Usar una base de datos distribuida hace que la transferencia de los valores económicos y el testigo de inicio de sesión temporal sea más segura, más rápida y cuando se requiera anónima, es decir, no tiene que realizarse ningún registro previo del usuario antes del procedimiento de inicio de sesión.
Los valores económicos primero y segundo pueden transferirse usando una base de datos basada en tecnología de cadena de bloques. Además, pueden usarse contratos inteligentes como base para la transferencia del valor económico en combinación con la transferencia del testigo de inicio de sesión temporal. En particular, los valores económicos primero y segundo pueden transferirse usando un protocolo de micropago elegido del grupo que comprende IOTA, PiVx , ETHEREUM, DASH y BITCOIN CAs H. Las tecnologías mencionadas anteriormente permiten un procedimiento de inicio de sesión más fiable que las soluciones de propiedad, que además es más seguro, más rápido y cuando se requiere anónimo, es decir, no tiene que realizarse ningún registro previo del usuario antes del procedimiento de inicio de sesión.
El testigo de inicio de sesión temporal puede ser válido para un número predefinido de intentos de inicio de sesión, mediante el cual el usuario tiene varios intentos para iniciar sesión en el proveedor de servicio en el primer intento, de modo que algunos errores en el procedimiento de inicio de sesión no conducen a la pérdida del testigo de inicio de sesión temporal. Por tanto, se reduce el riesgo de que el usuario autorizado pierda el valor económico ingresado. El testigo de inicio de sesión temporal se invalida en respuesta a que el testigo de inicio de sesión temporal se haya usado para el número predefinido de intentos de inicio de sesión. La invalidación del testigo de inicio de sesión temporal en respuesta a que el testigo de inicio de sesión temporal se haya usado para el número predefinido de intentos de inicio de sesión impide que puedan llevarse a cabo más del número predefinido de intentos de inicio de sesión antes de que sea necesaria una nueva transferencia de valor económico para un nuevo testigo de inicio de sesión temporal.
No puede transferirse ningún valor económico al usuario si el testigo de inicio de sesión temporal se invalida después de que se haya usado para el número predefinido de intentos de inicio de sesión, proporcionando de ese modo un esfuerzo de transacción aumentado y la pérdida de un valor económico después del número predefinido de intentos de inicio de sesión no satisfactorios a un usuario autorizado, o atacante, de modo que un ataque de fuerza bruta se vuelve no atractivo debido al esfuerzo y coste aumentados.
En resumen, se proporciona un método para el inicio de sesión de un usuario en un proveedor de servicio, en el que se transfiere un valor económico desde el usuario hasta un proveedor de testigos para un testigo de inicio de sesión temporal, en el que se realiza un intento de inicio de sesión que requiere datos de inicio de sesión específicos de usuario y el testigo de inicio de sesión temporal. Si el inicio de sesión en el proveedor de servicio fue satisfactorio dentro de un número predefinido de intentos de inicio de sesión, entonces el valor económico se transfiere de vuelta al usuario.
De ese modo, el procedimiento de inicio de sesión se protege ventajosamente mediante transacciones adicionales, lo que aumenta el esfuerzo, la complejidad y el coste para un atacante, en el que las etapas de transacción adicionales pueden ejecutarse en segundo plano y de manera transparente para un usuario final autorizado y hacer que los ataque de fuerza bruta no sean atractivos para un atacante. Adicionalmente, no es necesario establecer una asignación o registro entre el usuario y su cartera de cadena de bloques y proveedor de testigos, es decir, una verificación de que un usuario posee una cartera específica, de modo que el usuario puede usar una cartera arbitraria para el procedimiento de inicio de sesión, cambiarla a lo largo del tiempo, usar posiblemente carteras de diferentes tecnologías de cadena de bloques, o protocolos económicos anónimos similares.

Claims (14)

  1. REIVINDICACIONES
    i. Método para el inicio de sesión de un usuario (1) en un proveedor (2) de servicio, comprendiendo el método:
    - transferir un primer valor (3) económico desde el usuario (1) hasta un proveedor (7) de testigos para un testigo (4) de inicio de sesión temporal;
    - realizar un intento de inicio de sesión en el proveedor (2) de servicio, en el que el intento de inicio de sesión requiere datos de inicio de sesión específicos de usuario y el testigo (4) de inicio de sesión temporal; - transferir un segundo valor (5) económico al usuario (1) e invalidar el testigo de inicio de sesión temporal si el inicio de sesión en el proveedor (2) de servicio fue satisfactorio dentro de un número predefinido de intentos de inicio de sesión, en el que el segundo valor (5) económico tiene sustancialmente el mismo valor que el primer valor (3) económico.
  2. 2. Método según la reivindicación 1, en el que en respuesta a transferir el primer valor (3) económico, se recibe un testigo (4) de inicio de sesión temporal por el usuario (1) desde el proveedor (7) de testigos.
  3. 3. Método según una de las reivindicaciones anteriores, en el que el proveedor (2) de servicio es el proveedor (7) de testigos.
  4. 4. Método según una de las reivindicaciones anteriores, en el que el testigo (4) de inicio de sesión temporal es un testigo de software.
  5. 5. Método según una de las reivindicaciones anteriores, en el que los valores económicos primero y segundo se transfieren desde y/o hasta una cartera anónima que pertenece al usuario (1) en una base de datos electrónica.
  6. 6. Método según una de las reivindicaciones anteriores, en el que los valores económicos primero y segundo se transfieren usando una base (6) de datos distribuida, en el que los datos se almacenan de manera redundante en múltiples ordenadores ubicados de manera remota unos de otros.
  7. 7. Método según una de las reivindicaciones anteriores, en el que los valores económicos primero y segundo se transfieren usando una base (6) de datos basándose en tecnología de cadena de bloques.
  8. 8. Método según una de las reivindicaciones anteriores, en el que los valores económicos primero y segundo se transfieren usando el protocolo IOTA de micropago.
  9. 9. Método según una de las reivindicaciones anteriores, en el que el testigo (4) de inicio de sesión temporal es válido para el número predefinido de intentos de inicio de sesión.
  10. 10. Método según una de las reivindicaciones anteriores, en el que el testigo (4) de inicio de sesión temporal se invalida en respuesta a que el testigo (4) de inicio de sesión temporal se ha usado para el número predefinido de intentos de inicio de sesión.
  11. 11. Método según una de las reivindicaciones anteriores, en el que no se transfiere ningún valor (5) económico al usuario (1) si el testigo (4) de inicio de sesión temporal se invalida después de que se haya usado para el número predefinido de intentos de inicio de sesión.
  12. 12. Programa informático que comprende un código de programa que puede ejecutarse por al menos una unidad de procesamiento, en el que ejecutar el código de programa hace que la al menos una unidad de procesamiento ejecute un método para el inicio de sesión de un usuario en un proveedor de servicio según cualquiera de las reivindicaciones 1 a 11.
  13. 13. Dispositivo configurado para proporcionar un servicio a un usuario (1), comprendiendo el dispositivo (2) una memoria (22) y al menos una unidad (21) de procesamiento, conteniendo la memoria (22) instrucciones ejecutables por dicha al menos una unidad (21) de procesamiento, en el que la ejecución de las instrucciones hace que el dispositivo (2) ejecute un método según cualquiera de las reivindicaciones 1 a 11.
  14. 14. Red informática en la que la red informática comprende al menos un dispositivo informático según la reivindicación 13.
ES17203075T 2017-11-22 2017-11-22 Protección de procedimientos de inicio de sesión Active ES2778451T3 (es)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
EP17203075.1A EP3489849B1 (en) 2017-11-22 2017-11-22 Protection of login processes

Publications (1)

Publication Number Publication Date
ES2778451T3 true ES2778451T3 (es) 2020-08-10

Family

ID=60473311

Family Applications (1)

Application Number Title Priority Date Filing Date
ES17203075T Active ES2778451T3 (es) 2017-11-22 2017-11-22 Protección de procedimientos de inicio de sesión

Country Status (7)

Country Link
US (1) US10911239B2 (es)
EP (1) EP3489849B1 (es)
KR (1) KR102246794B1 (es)
CN (1) CN111937361A (es)
ES (1) ES2778451T3 (es)
LT (1) LT3489849T (es)
WO (1) WO2019101420A1 (es)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11956366B1 (en) 2023-10-28 2024-04-09 James Michael Siers Computer implemented zero trust authentication method

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB9624127D0 (en) * 1996-11-20 1997-01-08 British Telecomm Transaction system
US20140380418A1 (en) * 2013-06-19 2014-12-25 Haoxu Wang System and method for verifying the legitimacy of requests sent from clients to server
US9787696B2 (en) * 2015-05-19 2017-10-10 Workday, Inc. Brute force attack prevention system
US10498717B2 (en) * 2015-12-16 2019-12-03 Capital One Services, LLC. Browser extension for limited-use secure token payment
CN105610938B (zh) * 2015-12-24 2019-02-15 广州爱九游信息技术有限公司 登录状态同步方法和系统
US20170187700A1 (en) * 2015-12-28 2017-06-29 Paypal, Inc. Pregenerated two-factor authentication tokens
KR101978812B1 (ko) * 2017-08-09 2019-05-15 주식회사 센스톤 가상카드번호 기반의 금융거래제공시스템, 가상카드번호생성장치, 가상카드번호검증장치, 가상카드번호 기반의 금융거래제공방법 및 가상카드번호 기반의 금융거래제공프로그램

Also Published As

Publication number Publication date
WO2019101420A1 (en) 2019-05-31
LT3489849T (lt) 2020-03-25
US20200313892A1 (en) 2020-10-01
CN111937361A (zh) 2020-11-13
EP3489849A1 (en) 2019-05-29
US10911239B2 (en) 2021-02-02
KR20200085335A (ko) 2020-07-14
EP3489849B1 (en) 2020-01-01
KR102246794B1 (ko) 2021-04-29

Similar Documents

Publication Publication Date Title
US10735407B2 (en) System and method for temporary password management
US11388174B2 (en) System and method for securing a communication channel
US9325708B2 (en) Secure access to data in a device
US9787689B2 (en) Network authentication of multiple profile accesses from a single remote device
US8756674B2 (en) System and methods for online authentication
WO2016044373A1 (en) System and method for integrating an authentication service within a network architecture
US11212278B1 (en) Systems and methods for secure logon
KR20190114432A (ko) 블록체인 기반의 권한 인증 방법, 단말 및 이를 이용한 서버
ES2778451T3 (es) Protección de procedimientos de inicio de sesión
ES2940642T3 (es) Procedimientos y dispositivos para la inscripción y autenticación de un usuario en un servicio
US20230298027A1 (en) Identity authentication
US20240005312A1 (en) Multi-Factor User Authentication Using Blockchain Tokens
Umar An Authentication of Significant security for accessing Password through Network System
GB2532190A (en) Methods of transaction authorization using a vocalized challenge
Ramesh et al. A secured and improved dynamic ID based remote user authentication scheme using smart card and hash function for distributed systems
Duffy et al. WebAuthn+ JSON DLTthe internet of value
Annapoorna et al. Secure Login System for Online Transaction Using Two Layer Authentication Protocol
Lu et al. Security, privacy, and usability: a high common ground
Moawad et al. New Mobile Digital Signature Solution Based on Micro SD
Alenius et al. Online Banking Security