ES2938270T3 - Método para autenticar un usuario, y dispositivos, servidor y sistema de usuario correspondientes - Google Patents

Método para autenticar un usuario, y dispositivos, servidor y sistema de usuario correspondientes Download PDF

Info

Publication number
ES2938270T3
ES2938270T3 ES18755191T ES18755191T ES2938270T3 ES 2938270 T3 ES2938270 T3 ES 2938270T3 ES 18755191 T ES18755191 T ES 18755191T ES 18755191 T ES18755191 T ES 18755191T ES 2938270 T3 ES2938270 T3 ES 2938270T3
Authority
ES
Spain
Prior art keywords
user
server
challenge
user device
authentication data
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
ES18755191T
Other languages
English (en)
Inventor
Michael Hutchinson
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Thales DIS France SAS
Original Assignee
Thales DIS France SAS
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Thales DIS France SAS filed Critical Thales DIS France SAS
Application granted granted Critical
Publication of ES2938270T3 publication Critical patent/ES2938270T3/es
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/313—User authentication using a call-back technique via a telephone network
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/34—User authentication involving the use of external additional devices, e.g. dongles or smart cards
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/36—User authentication by graphic or iconic representation
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/42—User authentication using separate channels for security data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
    • H04L9/3273—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response for mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/69—Identity-dependent
    • H04W12/77—Graphical identity

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Computing Systems (AREA)
  • Telephonic Communication Services (AREA)
  • Information Transfer Between Computers (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)

Abstract

La invención se refiere a un método (20) para autenticar a un usuario. Un servidor (14) accede a un identificador de usuario asociado a un segundo identificador de dispositivo de usuario (16). El servidor accede, para el usuario, a una ubicación o ubicaciones de referencia predeterminadas dentro de una tabla de referencia. El método comprende: Enviar desde un primer dispositivo de usuario (12) al servidor, a través de un primer canal de comunicación, un mensaje (24) que incluye el identificador del usuario y una solicitud para obtener una tabla de desafío. Generación (26), por parte del servidor, de una primera tabla de desafíos que incluye un primer juego de caracteres válido. Envío, gracias al segundo identificador de dispositivo de usuario, desde el servidor al segundo dispositivo de usuario, a través de un segundo canal de comunicación, un mensaje (210) que incluye la primera tabla de desafíos y una primera solicitud para mostrar la primera tabla de desafíos. Mostrando (212), por oa través del segundo dispositivo de usuario, la primera mesa de desafío. Seleccionar (216), por parte de un usuario, a través de una primera interfaz hombre-máquina del dispositivo de usuario, uno o más caracteres seleccionados. Enviar, desde el primer dispositivo de usuario al servidor, a través del primer canal de comunicación, un mensaje (220) que incluye los caracteres seleccionados, como datos de autenticación de usuario enviados. Determinación (224), por parte del servidor, en base a la(s) ubicación(es) de referencia predeterminada(s) dentro de la primera tabla de desafío, uno(s) carácter(es) de referencia correspondiente(s), como datos de autenticación de usuario de referencia. Verificar (226), por parte del servidor, para el usuario, si los datos de autenticación del usuario enviados coinciden o no con los datos de autenticación del usuario de referencia. Y, sólo en caso afirmativo, conseguir, por parte del servidor, autenticar al usuario. La invención también se refiere a los dispositivos de usuario correspondientes (12) y (16), (Traducción automática con Google Translate, sin valor legal)

Description

DESCRIPCIÓN
Método para autenticar un usuario, y dispositivos, servidor y sistema de usuario correspondientes
Campo de la invención
La presente invención se refiere de forma general a un método para autenticar un usuario.
Además, la invención se refiere a un primer y un segundo dispositivo de usuario, para autenticar un usuario.
Además, la invención es un servidor para autenticar un usuario.
Por último, la invención se refiere a un sistema para autenticar un usuario. El sistema incluye un servidor y al menos dos dispositivos de usuario.
La presente invención es especialmente aplicable a un campo en el que un ordenador personal (o PC) es el primer dispositivo de usuario, y un teléfono móvil es el segundo dispositivo de usuario.
Estado de la técnica
El documento GB 2433 147 A describe una solución que utiliza una cuadrícula de desafío rellena con símbolos y transmitida desde un autenticador a un PC, para mostrarse al usuario del PC. El usuario selecciona, según un patrón de identificación personal (o PIP), como ubicaciones dentro de la cuadrícula de desafío, conocidas solo por el usuario y el autenticador, un conjunto de símbolos comprendidos dentro de la cuadrícula de desafío. A continuación, el PC devuelve el conjunto de símbolos, para su verificación mediante el autenticador y, por lo tanto, para autenticar (o no) el usuario.
Sin embargo, la cuadrícula de desafío y el conjunto de símbolos, como respuesta de desafío, se han transmitido a través de un canal de comunicación no seguro. Dicha solución conocida no protege de un ataque “ hombre en el centro” (o MITM), que permite capturar tanto la cuadrícula de desafío como la respuesta de desafío correspondiente, para poder extraer datos de la secuencia de cuadrícula de desafío seleccionada correspondiente, como datos de autenticación de usuario.
El documento GB 2514419 A describe una técnica anterior relevante adicional.
Existe la necesidad de una solución alternativa en línea para autenticar un usuario, que sea más segura que dicha solución de la técnica anterior mencionada anteriormente.
Sumario de la invención
La invención propone una solución para satisfacer la necesidad especificada anteriormente en la presente memoria, proporcionando un método para autenticar un usuario, según la reivindicación 1, un servidor para autenticar un usuario, según la reivindicación 7, y un sistema para autenticar un usuario, según la reivindicación 8.
Según la invención, un servidor accede a un identificador relacionado con el usuario asociado a un identificador relacionado con un segundo dispositivo de usuario. El servidor accede, para el usuario, a al menos una ubicación de referencia predeterminada, dentro de una tabla de referencia. El método comprende las siguientes etapas. Enviar, desde un primer dispositivo de usuario al servidor, a través de un primer canal de comunicación, un primer mensaje que incluye el identificador relacionado con el usuario, y una solicitud para obtener una tabla de desafío, como datos de autenticación de usuario de desafío. Generar, mediante el servidor, una primera tabla de desafío, que incluye un primer conjunto de caracteres, siendo válida la primera tabla de desafío. Enviar, gracias al identificador de segundo dispositivo de usuario, desde el servidor al segundo dispositivo de usuario, a través de un segundo canal de comunicación, un segundo mensaje que incluye la primera tabla de desafío y una primera solicitud para visualizar la primera tabla de desafío. Visualizar, mediante o a través del segundo dispositivo de usuario, la primera tabla de desafío. Seleccionar, mediante un usuario, a través de una interfaz hombre-máquina relacionada con el primer dispositivo de usuario, al menos un carácter visualizado correspondiente, como al menos un carácter seleccionado. Enviar, desde el primer dispositivo de usuario al servidor, a través del primer canal de comunicación, un tercer mensaje, como un mensaje de respuesta de desafío, que incluye el al menos un carácter seleccionado, como datos de autenticación de usuario presentados. Determinar, mediante el servidor, basándose en la al menos una ubicación de referencia predeterminada, dentro de la primera tabla de desafío, como la tabla de referencia, al menos un carácter de referencia correspondiente, como datos de autenticación de usuario de referencia. Verificar, mediante el servidor, para el usuario, si los datos de autenticación de usuario presentados coinciden o no con los datos de autenticación de usuario de referencia. Y conseguir autenticar, mediante el servidor, el usuario, solo si los datos de autenticación de usuario presentados coinciden con los datos de autenticación de usuario de referencia. O no conseguir autenticar, mediante el servidor, el usuario, solo si los datos de autenticación de usuario presentados no coinciden con los datos de autenticación de usuario de referencia.
El principio de la invención consiste en utilizar un servidor para obtener de un primer dispositivo de usuario identificado (y un cliente), a través de un primer canal (de comunicación), una solicitud para obtener datos de autenticación de usuario (desafío), tales como una tabla (de desafío). El servidor registra o permite registrar un identificador de usuario, en asociación con un identificador o identificadores correspondientes, como, p.ej., un número de teléfono, de un dispositivo de usuario, tal como un teléfono móvil. El servidor también registra o permite registrar uno o varios lugares o ubicaciones dentro de una tabla de referencia, como un PIP de referencia y una ubicación o ubicaciones de referencia. El servidor calcula o permite calcular un conjunto de caracteres, como, p. ej., un número o números, un alfa o alfas y/o un pictograma o pictogramas, como datos de autenticación de usuario, y localiza o permite localizar los datos de autenticación de usuario, en una cuadrícula o tabla (de desafío), como una serie de elementos de datos, según la ubicación o ubicaciones de referencia. A continuación, el servidor transmite o permite transmitir la tabla, a través de un segundo canal (comunicación), al dispositivo de usuario registrado (en vez del primer dispositivo de usuario). El dispositivo de usuario registrado muestra o permite mostrar a su usuario la tabla recibida. El usuario presenta (o selecciona), a través de una interfaz hombre-máquina (o MMI, por sus siglas en inglés), en relación con el primer dispositivo de usuario, uno o varios caracteres mostrados por el segundo dispositivo de usuario. El primer dispositivo de usuario transmite o permite transmitir, a través del primer canal, el carácter o caracteres presentados al servidor. El servidor identifica (o determina) a partir de la ubicación o ubicaciones de referencia dentro de la tabla transmitida, como la tabla de referencia, un conjunto de caracteres de referencia correspondiente, como datos de autenticación de usuario de referencia. El servidor verifica si los datos de autenticación de usuario recibidos (presentados) coinciden o no con los datos de autenticación de referencia. En caso afirmativo, el servidor autentica (con éxito) el usuario. De lo contrario, el servidor no autentica el usuario.
Debe observarse que la invención no impone ninguna restricción en lo que respecta a los datos de autenticación de usuario de referencia. Los datos de autenticación de usuario de referencia pueden incluir un Número de identidad personal (o PIN, por sus siglas en inglés), una contraseña, una Contraseña de un solo uso (u OTP, por sus siglas en inglés) y/o una credencial o credenciales de usuario que sean accesibles e identificadas por el usuario y el servidor a través de la ubicación o ubicaciones de referencia.
El usuario necesita conocer la ubicación o ubicaciones de referencia dentro de una tabla, para su recepción mediante, o a través del, segundo dispositivo de usuario, para extraer datos de autenticación de usuario comprendidos u ocultos dentro de la tabla, para que coincidan con los datos de autenticación de usuario de referencia.
Solo el usuario que tiene el segundo dispositivo de usuario, como algo que el usuario tiene y una Autenticación de factor (o FA, por sus siglas en inglés), y que comparte con el servidor la ubicación o ubicaciones de referencia, como algo que el usuario conoce y otro FA, es capaz de autenticarse para el servidor.
Una posesión de tal segundo dispositivo de usuario, permite recibir datos de autenticación de usuario de desafío y autenticar con éxito el usuario, a través del primer dispositivo de usuario, para el servidor.
Cada uno del primer y segundo dispositivos de usuario, puede ser una entidad independiente, o puede cooperar con otra entidad o entidades, tal como un chip o chips incorporados o extraíbles, como Elemento seguro (o SE, por sus siglas en inglés), para autenticar de forma más segura el usuario en cuestión.
En la presente descripción, un SE es un objeto inteligente que incluye un chip, o chips, que protegen, como un componente o componentes resistentes a la manipulación, el acceso a datos almacenados, y que está destinado a comunicar datos con un dispositivo o dispositivos, como, p. ej., un dispositivo anfitrión SE y/o un teléfono móvil SE.
La solución de la invención incluye una recepción de servidor tanto de una solicitud de datos de autenticación de usuario como de datos de autenticación de usuario presentados a través de un primer canal, una transmisión de servidor de datos de autenticación de usuario de desafío a través de un segundo canal, y una autenticación de servidor correspondiente.
La solicitud de datos de autenticación de usuario y los datos de autenticación de usuario presentados, se transmiten a través del primer canal, mientras que los datos de autenticación de usuario de desafío se transmiten a través del segundo canal, que está separado del primer canal.
Tal uso de dos canales, para comunicar los datos requeridos para autenticar el usuario en cuestión, permite mejorar la seguridad de los datos intercambiados, ya que un atacante potencial ha de capturar los datos transmitidos a través de los dos canales, para autenticarse fraudulentamente con respecto al servidor, como el usuario en cuestión.
Debe observarse que la invención no impone ninguna restricción en lo que respecta a los dos canales utilizados. El primer canal puede estar relacionado con un canal de tipo de protocolo de transferencia de hipertexto (o HTTP, por sus siglas en inglés) (marca registrada), o cualquier otro canal de comunicación de datos. El segundo canal puede estar relacionado con un canal de tipo “a través del aire” (o OTA, por sus siglas en inglés), o cualquier otro canal de comunicación de datos que sea distinto del primer canal.
La solución de la invención constituye una solución de dos FA de flujo único, que utiliza dos canales separados.
La solución de la invención permite eliminar, con respecto a la técnica anterior mencionada anteriormente, la necesidad de utilizar un canal seguro, para intercambiar secretamente datos a través del único canal implicado.
La solución de la invención permite eliminar, al contrario que la técnica anterior mencionada anteriormente, el ataque de tipo MITM.
La solución de la invención es segura, ya que el usuario interactúa con un primer dispositivo de usuario, para iniciar un proceso de autenticación de usuario; recibe, mediante, o a través de, un segundo dispositivo de usuario registrado, datos de autenticación de usuario de desafío, y envía, mediante, o a través del, primer dispositivo de usuario, datos de autenticación de usuario presentados, como respuesta de desafío, para su reconocimiento por el servidor.
La solución de la invención permite autenticar de forma segura el usuario del primer dispositivo de usuario, y utilizar el segundo dispositivo de usuario para recibir los datos de autenticación de usuario de desafío necesarios.
Según un aspecto adicional, la invención es un primer dispositivo de usuario para autenticar un usuario. Según la invención, el primer dispositivo de usuario está configurado para enviar a un servidor, a través de un primer canal de comunicación, un mensaje que incluye el identificador relacionado con el usuario y una solicitud para obtener una tabla de desafío, como datos de autenticación de usuario de desafío. El primer dispositivo de usuario está configurado para recibir, de un usuario, a través de una interfaz hombre-máquina relacionada con el primer dispositivo de usuario, al menos un carácter correspondiente, como al menos un carácter seleccionado. El al menos un carácter correspondiente se visualiza mediante, o a través de, un segundo dispositivo de usuario. Y el primer dispositivo de usuario está configurado para enviar al servidor, a través del primer canal de comunicación, un mensaje de respuesta de desafío, que incluye el al menos un carácter seleccionado, como datos de autenticación de usuario presentados.
El primer dispositivo de usuario puede ser un terminal de usuario, como, p. ej., un PC o un SE, o cualquier tipo de dispositivo de comunicación y computación.
Según otro aspecto adicional, la invención es un segundo dispositivo de usuario, para autenticar un usuario.
Según la invención, el segundo dispositivo de usuario está configurado para recibir desde un servidor, a través de un segundo canal de comunicación, un mensaje que incluye la primera tabla de desafío y una primera solicitud para visualizar la primera tabla de desafío. Y el segundo dispositivo de usuario está configurado para visualizar, mediante, o a través del, segundo dispositivo de usuario, la primera tabla de desafío.
El segundo dispositivo de usuario puede ser un terminal de usuario, como, p. ej., un teléfono móvil o un SE, o cualquier tipo de dispositivo de comunicación y computación.
Según otro aspecto adicional, la invención es un servidor para autenticar un usuario.
Según la invención, el servidor comprende medios para acceder a un identificador relacionado con el usuario asociado a un identificador relacionado con un segundo dispositivo de usuario. El servidor comprende medios para acceder, para el usuario, a al menos una ubicación de referencia predeterminada, dentro de una tabla de referencia. El servidor está configurado para recibir desde un primer dispositivo de usuario, a través de un primer canal de comunicación, un primer mensaje que incluye el identificador relacionado con el usuario y una solicitud para obtener una tabla de desafío, como datos de autenticación de usuario de desafío. El servidor está configurado para generar una primera tabla de desafío, que incluye un primer conjunto de caracteres, siendo la primera tabla de desafío válida. El servidor está configurado para enviar, gracias al identificador de segundo dispositivo de usuario, al segundo dispositivo de usuario, a través de un segundo canal de comunicación, un segundo mensaje que incluye la primera tabla de desafío y una primera solicitud para visualizar la primera tabla de desafío. El servidor está configurado para recibir, del primer dispositivo de usuario, a través del primer canal de comunicación, un tercer mensaje, como un mensaje de respuesta de desafío, que incluye al menos un carácter seleccionado, como datos de autenticación de usuario presentados. El servidor está configurado para determinar, basándose en la al menos una ubicación de referencia predeterminada, dentro de la primera tabla de desafío, como la tabla de referencia, al menos un carácter de referencia correspondiente, como datos de autenticación de usuario de referencia. El servidor está configurado para verificar, para el usuario, si los datos de autenticación de usuario presentados coinciden o no con los datos de autenticación de usuario de referencia. Y el servidor está configurado para conseguir autenticar el usuario, solo si los datos de autenticación de usuario presentados coinciden con los datos de autenticación de usuario de referencia. O el servidor está configurado para no conseguir autenticar el usuario, solo si los datos de autenticación de usuario presentados no coinciden con los datos de autenticación de usuario de referencia.
Según otro aspecto adicional, la invención es un sistema para autenticar un usuario.
Según la invención, el sistema incluye un servidor y un primer dispositivo de usuario, y al menos un segundo dispositivo de usuario. El servidor comprende medios para acceder a un identificador relacionado con el usuario asociado a un identificador relacionado con el segundo dispositivo de usuario. El servidor comprende medios para que el usuario acceda a al menos una ubicación de referencia predeterminada, dentro de una tabla de referencia. Un primer dispositivo de usuario está configurado para enviar, a través de un primer canal de comunicación, al servidor, un primer mensaje que incluye el identificador relacionado con el usuario y una solicitud para obtener una tabla de desafío, como datos de autenticación de usuario de desafío. El servidor está configurado para generar una primera tabla de desafío, que incluye un primer conjunto de caracteres, siendo la primera tabla de desafío válida. El servidor está configurado para enviar, gracias al identificador de segundo dispositivo de usuario, al segundo dispositivo de usuario, a través de un segundo canal de comunicación, un segundo mensaje que incluye la primera tabla de desafío y una primera solicitud para visualizar la primera tabla de desafío. El segundo dispositivo de usuario está configurado para visualizar o permitir visualizar la primera tabla de desafío. El primer dispositivo de usuario está configurado para recibir, a través de una interfaz hombre-máquina relacionada con el primer dispositivo de usuario, al menos un carácter visualizado correspondiente, como al menos un carácter seleccionado. El primer dispositivo de usuario está configurado para enviar, al servidor, a través del primer canal de comunicación, un tercer mensaje, como un mensaje de respuesta de desafío, que incluye el al menos un carácter seleccionado, como datos de autenticación de usuario presentados. El servidor está configurado para determinar, basándose en la al menos una ubicación de referencia predeterminada, dentro de la primera tabla de desafío, como la tabla de referencia, al menos un carácter de referencia correspondiente, como datos de autenticación de usuario de referencia. El servidor está configurado para verificar, para el usuario, si los datos de autenticación de usuario presentados coinciden o no con los datos de autenticación de usuario de referencia. Y el servidor está configurado para conseguir autenticar el usuario, solo si los datos de autenticación de usuario presentados coinciden con los datos de autenticación de usuario de referencia. O el servidor está configurado para no conseguir autenticar el usuario, solo si los datos de autenticación de usuario presentados no coinciden con los datos de autenticación de usuario de referencia.
El sistema puede incluir, en el lado del cliente, un PC, como un primer dispositivo de usuario, y un teléfono móvil, como un segundo dispositivo de usuario.
Breve descripción de las figuras
Las características y ventajas adicionales de la invención resultarán más evidentes a partir de una descripción detallada de una realización preferida de la invención, dada como un ejemplo indicativo y no limitativo, junto con las siguientes figuras:
- la Figura 1 ilustra un diagrama simplificado de una realización ilustrativa de un sistema que comprende un PC, un teléfono móvil y un servidor, utilizando el sistema el teléfono registrado previamente, para recibir en el lado del cliente desde el servidor, un conjunto de caracteres a visualizar en el teléfono, de modo que el usuario presenta, a través del PC, basándose en una ubicación o ubicaciones de referencia dentro del conjunto de caracteres, un subconjunto de caracteres, comprendido en el conjunto de caracteres visualizado, para autenticarse para el servidor, según la invención; y
- la Figura 2 representa un ejemplo de un flujo de mensajes intercambiados entre el usuario, el PC, el teléfono y el servidor del sistema de la Figura 1, de modo que el servidor autentica (o no) de forma segura el usuario, gracias al uso del PC y del teléfono, utilizando dos canales distintos y la ubicación o ubicaciones de referencia compartidas entre solo el usuario y el servidor.
Descripción detallada
A continuación, se considera una realización ilustrativa en la que el método de la invención para autenticar un usuario se aplica mediante un PC, como una entidad independiente, es decir, sin cooperar con otro dispositivo, tal como un SE, y un teléfono móvil, como una entidad independiente, tal como un SE.
Según otra realización ilustrativa (no representada), el método de la invención para autenticar un usuario se aplica mediante uno o dos terminales de usuario, en cooperación con un SE respectivo. Según tal realización, el SE, como el primer o el segundo dispositivo de usuario, para autenticar un usuario, está adaptado para realizar las funciones llevadas a cabo por el PC o el teléfono, respectivamente, y descrito en la presente memoria, proporcionando, además, un procesamiento de datos seguro y, preferiblemente, un intercambio de datos seguro con su dispositivo anfitrión y/o el servidor.
El SE puede ser un chip incorporado, como un chip soldado, posiblemente de forma extraíble, como, p. ej., un SE incorporado, una tarjeta de circuito integrado universal incorporada (o eUICC, por sus siglas en inglés), o una tarjeta de circuito integrado universal integrada (o iUICC, por sus siglas en inglés), en una tarjeta de circuitos impresos (o PCB, por sus siglas en inglés) de un dispositivo informático anfitrión, como un dispositivo anfitrión SE, o un chip que está acoplado al terminal de usuario, como un dispositivo anfitrión SE, e incluido dentro de un bus de serie universal (o USB, por sus siglas en inglés), una tarjeta inteligente, o cualquier otro medio que pueda tener diferentes factores de forma. Por lo tanto, el chip puede fijarse o extraerse con respecto a su dispositivo anfitrión, como, p. ej., el PC o el teléfono móvil.
La invención no impone ninguna limitación en cuanto a un tipo de tipo SE.
Naturalmente, la realización descrita a continuación en la presente memoria, es únicamente a título ilustrativo y no se considera que reduzca el ámbito de la presente invención.
La Figura 1 muestra esquemáticamente un sistema 10 para autenticar un usuario 11, con un PC 12, como un primer dispositivo de usuario, un servidor (web) 14 y un teléfono (móvil) 16, como un segundo dispositivo de usuario.
En vez de estar constituido por un PC, el primer dispositivo de usuario puede estar constituido, p. ej., por un teléfono móvil, un teléfono inteligente (es decir, un teléfono móvil con una capacidad de asistente digital personal [o PDA, por sus siglas en inglés]), un decodificador, un ordenador de tableta, un ordenador de sobremesa, un ordenador portátil, un reproductor de vídeo, un reproductor de audio, un reproductor multimedia, una consola de juegos, un netbook, un PDA, o cualquier otro dispositivo informático conectado a una interfaz hombre-máquina (o MMI), o que incluya la misma.
El usuario 11 desea beneficiarse de uno o varios servicios suministrados mediante, o a través del, servidor 14. Los servicios proporcionados mediante, o a través del, servidor 14 pueden satisfacer reglas de tipo Consorcio World Wide Web (o W3C).
El usuario 11 se registra como una cuenta de usuario en el servidor 14, utilizando, p. ej., un nombre de usuario, como un identificador o identificadores 11 de usuario (o ID), para acceder a uno o varios servicios proporcionados mediante, o a través del, servidor 14.
Durante el registro con respecto al servidor 14, el usuario 11 puede seleccionar uno o varios segundos dispositivos de usuario que estén asociados con el usuario (identificado) 11, y para estar presentes y utilizados para su autenticación mediante, o a través del, servidor 14.
Por lo tanto, el teléfono 16 se registra con respecto al servidor 14 en asociación con la ID o las ID 11 de usuario, utilizando, p. ej., un número de directorio de abonado internacional de estación móvil (o MSISDN, por sus siglas en inglés), como el número de teléfono 16, y/o similares, como una ID o varias ID de un teléfono 16, que permita o permitan identificar de forma única el teléfono 16.
A efectos de simplicidad, solo se han representado un PC 12 y un teléfono 16, para el usuario 11.
Sin embargo, el servidor 14 gestiona una pluralidad de cuentas de usuario y segundos dispositivos de usuario asociados correspondientes.
El usuario 11 utiliza el PC 12 para conectarse al servidor 14, como un servidor de autenticación de usuario.
El PC 12 incluye uno o varios microprocesadores y/o microcontroladores (no representados), como medios de procesamiento de datos, una o varias memorias (no representadas), como medios de almacenamiento de datos, y una o varias interfaces de entrada/salida (o I/O) (no representadas).
El procesador del PC procesa datos que se originan en cualquier componente interno y/o se destinan al mismo, y datos que se originan en cualquier dispositivo externo y/o se destinan al mismo a través de una o varias interfaces de I/O del PC.
El PC 12 soporta una aplicación de navegador (tipo web).
El procesador del PC ejecuta, principalmente, además de un sistema operativo (u OS, por sus siglas en inglés), la aplicación de navegador.
La aplicación de navegador puede ser, como resulta conocido per se, una aplicación Microsoft Internet Explorer (marca registrada), una aplicación Mozilla Firefox (marca registrada) o cualquier otra aplicación de navegador.
Según una alternativa, en vez de la aplicación de navegador, el cliente es una aplicación propia, tal como una aplicación de escritorio, es decir, una aplicación que, de forma típica, solo es accesible por un emisor (o proveedor) de la aplicación considerada.
La aplicación de navegador desempeña una función de un cliente, para cargar información en el servidor 14. La aplicación de navegador también puede utilizarse para descargar información desde el servidor 14.
La interfaz o interfaces de I/O del PC comprenden (y/o están conectadas a) una pantalla 122 de visualización y un teclado 124, como una MMI, para interactuar con el usuario 11 del PC.
La MMI del PC puede utilizarse para iniciar un proceso de autenticación de usuario a través del cliente.
La interfaz o interfaces de I/O del PC incluyen una o varias interfaces de I/O para intercambiar datos, a través de una primera red de comunicación (no representada), a través de un primer canal 13 que utiliza un enlace por cable o inalámbrico, con el servidor 14.
Dicho primer enlace entre el PC 12 y el servidor 14 es al menos monodireccional, es decir, desde el PC 12 al servidor 14, como un enlace ascendente. El primer enlace puede ser bidireccional.
El PC 12 está adaptado para enviar al servidor 14, a través de un primer canal (comunicación), una ID de usuario y una solicitud para obtener datos de autenticación de usuario.
El primer canal puede ser seguro o no seguro.
La interfaz de I/O del PC con el servidor 14 puede utilizar un protocolo de transferencia de hipertexto (o HTTP), un protocolo de transferencia de archivos (o FTP, por sus siglas en inglés) y/o cualquier otro protocolo, o protocolos, de comunicación de datos, para comunicarse con el servidor 14.
El PC 12 está dispuesto para recibir, desde el usuario 11, a través de la MMI del PC o una MMI conectada al PC 12, uno o varios caracteres mostrados, o a mostrar, mediante, o a través del, teléfono 16. El usuario 11 selecciona o presenta el carácter o caracteres. El carácter o caracteres seleccionados son, preferiblemente, un subconjunto del conjunto de caracteres mostrado mediante, o a través del, teléfono 16.
Preferiblemente, el PC 12 es capaz de obtener, recolectar o capturar, del usuario 11 el carácter o caracteres seleccionados, como datos de autenticación de usuario presentados, como, p.ej., uno o varios PIN, una contraseña o contraseñas, una o varias OTP y/o una credencial o credenciales de usuario.
La MMI del PC puede utilizarse para mostrar información al usuario 11 del PC, como, p.ej., un mensaje para sugerir o solicitar al usuario 11 seleccionar o presentar un carácter o caracteres que se muestran, o a mostrar, al usuario 11 mediante, o a través del, teléfono 16.
El PC 12 está configurado para enviar al servidor 14, a través del primer canal, el carácter o caracteres seleccionados, como datos de autenticación de usuario presentados, obtenidos mediante, o a través del, PC 12.
El servidor 14 está conectado al PC 12 a través del primer canal 13.
El servidor 14 es remoto, es decir, accesible a través de dos o más redes de comunicación, tales como una red de Intranet y/o una red de Internet, permitiendo definir un primer canal 13, y una red de radiocomunicación móvil que permite definir un segundo canal 15.
El segundo canal 15 está separado del primer canal 13.
El segundo canal 15 puede ser seguro o no seguro.
Según una alternativa (no representada), el servidor 14 es local. Por ejemplo, el servidor 14 está incorporado dentro de un dispositivo, tal como el PC 12 o un SE que está conectado o acoplado al PC 12.
El servidor 14 está dispuesto para recibir del PC 12, como cliente, a través del primer canal, una o varias ID de usuario, para identificar el usuario 11 (registrado) en cuestión.
El servidor 14 está dispuesto, además, para recibir del PC 12, como cliente, a través del primer canal 13, para el usuario 11 (identificado), una solicitud para obtener datos de autenticación de usuario.
El servidor 14 puede ser operado o gestionado por un operador de red móvil (o MNO), un operador de red virtual móvil (o MVNO), un operador de banca, un operador de red de comunicación por cable, un operador de servicio (o administrador) o en nombre de un operador de servicio, como un proveedor de servicios.
El servidor 14 comprende varias interfaces de I/O (no representadas) para comunicarse con dispositivos externos, tales como dos dispositivos 12 y 16 de usuario, para el usuario 11 en cuestión, y uno o varios (micro)procesadores (no representados), como medios de procesamiento de datos, que están asociados internamente entre sí.
El servidor 14 comprende y/o está conectado a una o varias memorias (no representadas), como una memoria de servidor. La memoria de servidor almacena una base de datos. La base de datos registra, para cada usuario de una pluralidad de usuarios, una o varias ID de usuario, en asociación con una o varias ID relacionadas con uno o varios dispositivos de comunicación correspondientes, que deben estar presentes en el lado del cliente, como uno o varios segundos dispositivos de usuario que el usuario en cuestión posee.
La base de datos también registra, para cada usuario (identificado), una o varias ubicaciones de referencia, dentro de una tabla de referencia, en asociación con la ID o las ID de usuario. La ubicación o ubicaciones de referencia constituyen un PIP de referencia para el usuario 11 en cuestión, como una fórmula o secreto para extraer un conjunto de caracteres (o datos) de una tabla de referencia. Dicho secreto se comparte con el usuario 11.
La memoria del servidor almacena, preferiblemente, además de un sistema operativo OS, uno o varios algoritmos de aplicación de autenticación de usuario accesibles desde el procesador del servidor 14.
Dicho algoritmo de aplicación de autenticación de usuario permite, cuando es ejecutado por el procesador del servidor 14, generar una primera tabla de desafío, como una tabla de desafío verdadera, genuina o válida, que incluye un primer conjunto de caracteres individuales o caracteres. La primera tabla de desafío constituye una serie de caracteres individuales o caracteres. La primera tabla de desafío comprende una o varias filas y una o varias columnas. La primera tabla de desafío generada para una sesión de autenticación de usuario, es preferiblemente distinta de una tabla de desafío posterior para el mismo usuario o una primera tabla de desafío generada para otra sesión de autenticación de usuario. Por lo tanto, la primera tabla de desafío solo es válida para una sesión determinada.
El servidor 14 está conectado, además, al teléfono 16 a través del segundo canal 15.
Según una característica esencial de la invención, el servidor 14, y, más exactamente, el algoritmo de aplicación de autenticación de usuario (cuando es ejecutado por el procesador del servidor 14), está configurado para enviar, gracias al teléfono 16, como un segundo dispositivo de usuario (registrado), una o varias ID, al teléfono 16, a través del segundo canal 15, la primera tabla de desafío y una solicitud para mostrar o visualizar la primera tabla de desafío.
El uso del segundo canal 15 impide que un MITM intercepte tanto el desafío como los datos de respuesta de desafío y la extracción de datos, del secreto compartido entre el usuario 11 y el servidor 14.
El servidor 14 está adaptado para recibir, del PC 12, como un primer dispositivo de usuario, a través del primer canal 13, uno o varios caracteres presentados o seleccionados, como datos de autenticación de usuario presentados.
El servidor 14 también está configurado para determinar, basándose en la ubicación o ubicaciones de referencia (predeterminadas o registradas), dentro de la primera tabla de desafío, como tabla de referencia, uno o varios caracteres de referencia, como datos de autenticación de usuario de referencia.
Para llevar a cabo dicha determinación de datos de autenticación de usuario de referencia, el servidor 14 copia (o extrae) cada carácter situado dentro de una ubicación de referencia y concatena cada uno de los caracteres así copiados, para construir, o formar, un subconjunto de uno o varios caracteres comprendidos dentro de la primera tabla de desafío.
El servidor 14 está configurado, además, para comprobar o verificar, para el usuario en cuestión, si los datos de autenticación de usuario presentados coinciden o no con los datos de autenticación de usuario de referencia.
Para llevar a cabo tal verificación de datos de autenticación de usuario, el servidor 14 compara, para el usuario (identificado), los datos de autenticación de usuario presentados (recibidos), con los datos de autenticación de usuario de referencia (determinados).
En caso afirmativo, es decir, solo si los datos de autenticación de usuario presentados coinciden con los datos de autenticación de usuario de referencia, el servidor 14 autentica con éxito el usuario en cuestión. El servidor 14 puede enviar, entonces, al primer dispositivo de usuario, a través del primer canal 13, y/o al segundo dispositivo de usuario, a través del segundo canal 15, un mensaje o mensajes de éxito de autenticación correspondientes, tal como “éxito de autenticación” , como resultado (comparación o autenticación).
En caso negativo, es decir, solo si los datos de autenticación de usuario presentados no coinciden con los datos de autenticación de usuario de referencia, el servidor 14 no consigue autenticar el usuario en cuestión. El servidor 14 puede enviar, entonces, al primer dispositivo de usuario, a través del primer canal 13, y/o al segundo dispositivo de usuario, a través del segundo canal 15, un mensaje o mensajes de fallo de autenticación correspondientes, tal como “fallo de autenticación” , como resultado.
El servidor 14 está conectado a través del segundo canal 15, utilizando un segundo enlace por cable o inalámbrico, al teléfono 16.
Dicho segundo enlace entre el servidor 14 y el teléfono 16 es al menos monodireccional, es decir, del servidor 14 al teléfono 16, como un enlace descendente. El segundo enlace puede ser bidireccional.
En vez de estar constituido por un teléfono, el segundo dispositivo de usuario puede estar constituido, p. ej., por un teléfono inteligente, un decodificador, un ordenador tablet, un ordenador de sobremesa, un ordenador portátil, un reproductor de vídeo, un reproductor de audio, un reproductor multimedia, una consola de juegos, un netbook, un PDA o cualquier otro dispositivo informático conectado a una MMI o que incluya una MMI.
El segundo dispositivo de usuario puede ser cualquier otro dispositivo que incluya medios para procesar datos, que comprenda, o esté conectado a, medios de comunicación para recibir o intercambiar datos con un dispositivo externo, como, p. ej., su dispositivo anfitrión y/o el servidor 14, y que comprenda, o esté conectado a, medios para almacenar datos.
El teléfono 16 se utiliza para que se acceda desde el servidor 14.
El teléfono 16 incluye uno o varios (micro)procesadores y/o (micro)controladores (no representados), como medios para procesar datos, que comprenden, y/o están conectados a, una o varias memorias, como medios para almacenar datos, que comprenden, o están conectados a, medios para interactuar con un usuario, como una MMI, y que comprenden, o están conectados a, una antena o antenas 166 para intercambiar datos, a través del segundo canal, con un dispositivo externo, como p. ej., el servidor 14.
Las memorias del teléfono pueden incluir una o varias EEPROM (acrónimo de “ Memoria de solo lectura programable borrable eléctricamente” ), una o varias ROM (acrónimo de “ Memoria de solo lectura” ), una o varias memorias Flash, y/o cualquier otra memoria de diferentes tipos, como, p. ej., una o varias RAM (acrónimo de “ Memoria de acceso aleatorio” ). La antena 166 permite comunicar, a través de un enlace o enlaces 15 de radiofrecuencia (o RF), como uno o más enlaces inalámbricos, a través de una segunda red o redes (comunicación), datos con el servidor 14.
La RF puede fijarse en varios cientos de MHz, p. ej., aproximadamente 850, 900, 1800, 1900 y/o 2100 MHz, tal como una RF de largo alcance (o LR, por sus siglas en inglés).
El teléfono 16 está configurado para recibir, desde el servidor 14, a través del segundo canal, una primera tabla de desafío y una solicitud para mostrar o visualizar la primera tabla de desafío.
El teléfono MMI se utiliza para mostrar la primera tabla de desafío.
El teléfono MMI incluye, y/o está conectado a, una pantalla 162 de visualización.
La pantalla 162 de visualización permite visualizar preferiblemente la primera tabla de desafío.
El teléfono MMI puede incluir, y/o conectarse a, un teclado 164.
La MMI del teléfono permite que el usuario 11 interactúe con el teléfono 16.
La Figura 2 ilustra un ejemplo de un flujo 20 de mensajes que implica el usuario 11, el PC 12, el teléfono 16 y el servidor 14, de modo que el servidor 14 autentica (o no) el usuario 11, basándose en la presencia del teléfono 16. Se supone que el servidor 14 ha registrado previamente (o ha permitido registrar) (no representado) la ID de usuario 11, en asociación con el número de teléfono 16. El teléfono 16 constituye un dispositivo de usuario de referencia (comunicación) que estará presente localmente dentro del entorno del usuario, para autenticar el usuario 11.
Para llevar a cabo tal registro de dispositivo, en asociación con una cuenta del usuario 11, el servidor 14 añade preferiblemente el teléfono 16, además de una entrada o selección de usuario explícita, entre un conjunto de dispositivos de comunicación de usuario que estarán presentes localmente para autenticar el usuario 11.
El usuario 11 inicia 22 una ejecución del cliente soportado por el PC 12, de modo que el usuario 11 inicia sesión en el servidor 14.
De forma alternativa, en vez del usuario 11, el cliente se inicia automáticamente (es decir, sin ninguna participación del usuario 11).
El PC 12 y, más exactamente, el cliente, se conecta a un portal de inicio de sesión del servidor 14. Para realizar tal conexión, el PC 12 transmite al servidor 14, a través de un canal de cliente, utilizando, p. ej., un protocolo de tipo HTTP, como un primer canal, un mensaje 24 que incluye la ID de usuario y una solicitud para obtener una tabla de desafío, como datos de autenticación de usuario de desafío.
El servidor 14 genera 26 una primera tabla de desafío, como una tabla de desafío válida, que incluye un primer conjunto de caracteres. Dicha generación del primer conjunto de caracteres puede ser aleatoria o pseudoaleatoria.
El primer conjunto de caracteres es el conjunto de caracteres (verdadero, genuino o) válido, como datos de autenticación de usuario de desafío.
Dicho primer conjunto de caracteres incluye, dentro de una o varias ubicaciones de referencia predeterminadas, dentro de la primera tabla de desafío, un subconjunto de caracteres, como un subconjunto de caracteres de referencia.
Opcionalmente, el servidor 14 envía al PC 12, a través del primer canal, un mensaje 27 que incluye una solicitud para mostrar o visualizar una solicitud de usuario para seleccionar uno o varios caracteres, como un subconjunto de caracteres, que están incluidos dentro de la primera tabla de desafío. El PC 12 visualiza 29 la solicitud de usuario para seleccionar un subconjunto de la primera tabla de desafío, tal como “ Por favor, seleccione un subconjunto de la primera tabla de desafío utilizando su información de PIP” .
El servidor 14 obtiene o recupera 28 el MSISDN del teléfono, como una o más ID de segundo dispositivo de usuario.
Gracias al MSISDN del teléfono, el servidor 14 envía al teléfono 16, p.ej., a través de un canal de servicio de mensajes cortos (o SMS), como un segundo canal, un mensaje 210 que incluye la primera tabla de desafío y una solicitud para mostrar o visualizar la primera tabla de desafío. El mensaje 210 puede incluir una solicitud para visualizar una solicitud de usuario para seleccionar uno o varios caracteres incluidos dentro de la primera tabla de desafío, tal como “ Por favor, seleccione un subconjunto de la primera tabla de desafío utilizando su información de PIP e introducir en su primer dispositivo” . El teléfono 16 visualiza 219 la solicitud de usuario para seleccionar un subconjunto de la primera tabla de desafío, tal como “ Por favor, seleccione un subconjunto de la primera tabla de desafío utilizando su información de PIP e introducirlo en su primer dispositivo” .
El servidor 14 genera 211 una segunda tabla de desafío, como una tabla inválida, que incluye un segundo conjunto de caracteres. Dicha segunda generación de conjunto de caracteres puede ser aleatoria o pseudoaleatoria. El segundo conjunto de caracteres es el conjunto de caracteres (falso o) no válido, de modo que el segundo conjunto de caracteres es distinto del primer conjunto de caracteres. El servidor 14 envía al PC 12, a través del primer canal, un mensaje 213 que incluye la segunda tabla de desafío y una solicitud para mostrar o visualizar la segunda tabla de desafío. Dicho mensaje 213 puede incluir una solicitud para visualizar una solicitud de usuario para seleccionar, como datos de autenticación presentados, a través del PC 12, uno o más caracteres comprendidos dentro de la primera tabla de desafío visualizada (o mostrada), o que se visualizará (o mostrará), mediante o a través del teléfono 16. El PC 12 visualiza 215 la solicitud de usuario para seleccionar un subconjunto de la primera tabla de desafío, tal como “ Por favor, seleccione un subconjunto de la primera tabla de desafío que se visualiza en su teléfono, utilizando su información de PIP” . El PC 12 visualiza 217 la segunda tabla de desafío, que incluye el segundo conjunto de caracteres (no válido).
Una vez que el teléfono 16 ha recibido el SMS 210, el teléfono 16 visualiza 212 la primera tabla de desafío, que incluye el primer conjunto de caracteres (válido).
Por lo tanto, se requiere que el usuario 11 determine, desde la primera tabla de desafío (obtenida del teléfono 16) un conjunto de caracteres (o datos), como respuesta de desafío, utilizando el secreto compartido con el servidor 14. Por lo tanto, también se requiere que el usuario 11 envíe, a través del PC 12, al servidor 14 la respuesta de desafío.
El usuario 11 conoce su PIP de referencia y obtiene 214 una o varias ubicaciones de referencia dentro de una tabla de desafío.
El usuario 11 selecciona 216, basándose en las ubicaciones de referencia, uno o varios caracteres, como un subconjunto de caracteres, dentro de la tabla de desafío primera y válida, mostrada o visualizada por el teléfono 16.
Para seleccionar 216 el subconjunto de caracteres, como datos de autenticación de usuario que se presentarán, el usuario 11 entra o teclea, a través de la MMI relacionada o conectada con el PC 12, el subconjunto de caracteres.
Una vez que el PC 12 tiene el subconjunto 218 de caracteres seleccionado, el PC 12 transmite al servidor 14, a través del primer canal, un mensaje 220 de respuesta de desafío, que incluye el subconjunto de caracteres seleccionado, como datos de autenticación de usuario presentados.
El servidor 14 obtiene 222 las ubicaciones de referencia registradas dentro de la tabla de desafío primera y válida, como la tabla de referencia.
Entonces, el servidor 14 determina 224, basándose en las ubicaciones de referencia registradas, uno o varios caracteres, como un subconjunto de caracteres de referencia y datos de autenticación de usuario de referencia, dentro de la tabla de referencia mostrada o visualizada por el teléfono 16.
El servidor 14 verifica 226 si el subconjunto de caracteres recibido coincide o no con el subconjunto de caracteres de referencia.
En caso afirmativo, es decir, solo si los datos de autenticación de usuario presentados coinciden con los datos de autenticación de usuario de referencia, el servidor 14 consigue autenticar el usuario 11 y concede acceso de usuario al servicio o servicios gestionados mediante, o a través del, servidor 14.
En caso negativo, es decir, solo si los datos de autenticación de usuario presentados no coinciden con los datos de autenticación de usuario de referencia, el servidor 14 no consigue autenticar el usuario 11 y deniega acceso de usuario al servicio o servicios gestionados mediante, o a través del, servidor 14.
Opcionalmente, el servidor 14 envía al teléfono 16, a través del segundo canal, un mensaje 227 que incluye una solicitud para mostrar o visualizar el resultado de autenticación. A continuación, el teléfono 16 muestra o visualiza o permite visualizar el resultado de autenticación (no representado), tal como “ Fallo de autenticación” o “ Éxito de autenticación” .
De forma adicional o alternativa, y también opcionalmente, el servidor 14 envía al PC 12, a través del primer canal, un mensaje 229 que incluye una solicitud para mostrar o visualizar el resultado de autenticación. Entonces, el PC 12 muestra o visualiza o permite visualizar el resultado de autenticación (no representado), tal como “ Fallo de autenticación” o “ Éxito de autenticación” .
Puede autenticarse con éxito con respecto al servidor 14, únicamente el usuario 11 que utiliza el teléfono 16 que se registra previamente en el lado del servidor 14 y presente en la ubicación del usuario, y que conoce la ubicación o ubicaciones de referencia dentro de la primera tabla de desafío, para determinar un carácter o caracteres comprendidos dentro de la primera tabla de desafío recibida, mediante, o a través del, teléfono 16, es decir, a través del segundo canal.
Tanto el teléfono 16 como las ubicaciones de referencia son necesarios para que un usuario determinado se autentique con éxito ante, o respecto al, servidor 14.
La solución de la invención permite llevar a cabo una autenticación de usuario segura basándose en una presencia local del segundo dispositivo de usuario registrado, que permite recibir datos de autenticación de usuario de desafío, de donde el usuario 11 deduce los datos de autenticación de usuario correctos.
La realización que acaba de describirse no pretende limitar el alcance de la invención en cuestión. Se pueden proporcionar otras realizaciones. Como otra realización, en vez de utilizar una tecnología de RF de largo alcance para el segundo canal, el segundo dispositivo de usuario puede comunicarse a través de cualquier tecnología o tecnologías de RF de corto alcance, como, p. ej., una tecnología o tecnologías de tipo Wi-Fi, Bluetooth, comunicación de campo cercano o Bluetooth de baja energía.

Claims (7)

  1. REIVINDICACIONES
    i. Un método (20) para autenticar un usuario, que comprende:
    - enviar, desde un primer dispositivo (12) de usuario al servidor, a través de un primer canal de comunicación, un primer mensaje (24) que incluye un identificador relacionado con el usuario y una solicitud para obtener una tabla de desafío, como datos de autenticación de usuario de desafío;
    - generar (26), mediante el servidor, una primera tabla de desafío, que incluye un primer conjunto de caracteres, siendo la primera tabla de desafío válida;
    - obtener, mediante el servidor, un identificador relacionado con un segundo dispositivo de usuario; - enviar, gracias al identificador de segundo dispositivo de usuario, desde el servidor al segundo dispositivo de usuario, a través de un segundo canal de comunicación, un segundo mensaje (210) que incluye la primera tabla de desafío y una primera solicitud para visualizar la primera tabla de desafío; - visualizar (212), mediante, o a través del, segundo dispositivo de usuario, la primera tabla de desafío; - generar (211), mediante el servidor, una segunda tabla de desafío, que incluye un segundo conjunto de caracteres, siendo la segunda tabla de desafío no válida;
    - enviar (213), desde el servidor al primer dispositivo de usuario, a través del primer canal de comunicación, un tercer mensaje que incluye la segunda tabla de desafío y una segunda solicitud para visualizar la segunda tabla de desafío;
    - visualizar (217), mediante, o a través del, primer dispositivo de usuario, la segunda tabla de desafío; - seleccionar (216), mediante un usuario, a través de una interfaz hombre-máquina relacionada con el primer dispositivo de usuario, al menos un carácter visualizado correspondiente, como al menos un carácter seleccionado;
    - enviar (220), desde el primer dispositivo de usuario al servidor, a través del primer canal de comunicación, un cuarto mensaje, como un mensaje de respuesta de desafío, que incluye el al menos un carácter seleccionado, como datos de autenticación de usuario presentados;
    - obtener (222), mediante el servidor, al menos una ubicación de referencia predeterminada, dentro de la primera tabla de desafío, como una tabla de referencia;
    - determinar (224), mediante el servidor, en base a la al menos una ubicación de referencia predeterminada, dentro de la primera tabla de desafío, al menos un carácter de referencia correspondiente, como datos de autenticación de usuario de referencia;
    - verificar (226), mediante el servidor, para el usuario, si los datos de autenticación de usuario presentados coinciden o no con los datos de autenticación de usuario de referencia; y
    - conseguir autenticar, mediante el servidor, el usuario, solo si los datos de autenticación de usuario presentados coinciden con los datos de autenticación de usuario de referencia.
  2. 2. Método según la reivindicación 1, en donde el segundo mensaje incluye, además, una primera solicitud para visualizar una solicitud de usuario para seleccionar al menos un carácter incluido dentro de la primera tabla de desafío.
  3. 3. Método según la reivindicación 1, en donde el servidor envía al primer dispositivo de usuario, a través del primer canal de comunicación, un quinto mensaje (27) que incluye una primera solicitud para visualizar una solicitud de usuario para seleccionar al menos un carácter incluido dentro de la primera tabla de desafío.
  4. 4. Método según la reivindicación 1, en donde el tercer mensaje incluye una solicitud para visualizar una solicitud de usuario para seleccionar, como datos de autenticación presentados, a través del primer dispositivo de usuario, al menos un carácter correspondiente comprendido dentro de la primera tabla de desafío que se visualiza, o a visualizar, mediante, o a través del, segundo dispositivo de usuario.
  5. 5. Método según la reivindicación 1, en donde el primer canal de comunicación es no seguro y el segundo canal de comunicación es seguro.
  6. 6. Método según la reivindicación 1, en donde el primer dispositivo de usuario visualiza o permite visualizar la solicitud de usuario para seleccionar al menos un carácter correspondiente comprendido dentro de la primera tabla de desafío.
  7. 7. Un servidor (14) para autenticar un usuario, estando configurado el servidor para:
    - recibir, desde un primer dispositivo (12) de usuario, a través de un primer canal de comunicación, un primer mensaje (24) que incluye un identificador relacionado con el usuario y una solicitud para obtener una tabla de desafío, como datos de autenticación de usuario de desafío;
    - generar (26) una primera tabla de desafío, que incluye un primer conjunto de caracteres, siendo la primera tabla de desafío válida;
    - obtener un identificador relacionado con un segundo dispositivo de usuario;
    - enviar, gracias al identificador de segundo dispositivo de usuario, al segundo dispositivo de usuario, a través de un segundo canal de comunicación, un segundo mensaje (210) que incluye la primera tabla de desafío y una primera solicitud para visualizar la primera tabla de desafío;
    - generar una segunda tabla de desafío, que incluye un segundo conjunto de caracteres, siendo la segunda tabla de desafío no válida;
    - enviar al primer dispositivo de usuario, a través del primer canal de comunicación, un tercer mensaje que incluye la segunda tabla de desafío y una segunda solicitud para visualizar la segunda tabla de desafío;
    - recibir, desde el primer dispositivo de usuario, a través del primer canal de comunicación, un cuarto mensaje (220), como un mensaje de respuesta de desafío, que incluye al menos un carácter seleccionado, como datos de autenticación de usuario presentados;
    - obtener al menos una ubicación de referencia predeterminada, dentro de la primera tabla de desafío, como una tabla de referencia;
    - determinar (224), basándose en la al menos una ubicación de referencia predeterminada, dentro de la primera tabla de desafío, al menos un carácter de referencia correspondiente, como datos de autenticación de usuario de referencia;
    - verificar (226), para el usuario, si los datos de autenticación de usuario presentados coinciden o no con los datos de autenticación de usuario de referencia; y
    - conseguir autenticar el usuario, solo si los datos de autenticación de usuario presentados coinciden con los datos de autenticación de usuario de referencia.
    Un sistema (10) para autenticar un usuario, incluyendo el sistema un servidor (14) y un primer dispositivo (12) de usuario, y al menos un segundo dispositivo (16) de usuario,
    - el primer dispositivo de usuario está configurado para enviar, a través de un primer canal de comunicación, al servidor, un primer mensaje (24) que incluye un identificador relacionado con el usuario y una solicitud para obtener una tabla de desafío, como datos de autenticación de usuario de desafío; - el servidor está configurado para:
    - generar (26) una primera tabla de desafío, que incluye un primer conjunto de caracteres, siendo la primera tabla de desafío válida;
    - obtener un identificador relacionado con el segundo dispositivo de usuario;
    - enviar, gracias al identificador de segundo dispositivo de usuario, al segundo dispositivo de usuario, a través de un segundo canal de comunicación, un segundo mensaje (210) que incluye la primera tabla de desafío y una primera solicitud para visualizar la primera tabla de desafío;
    - generar una segunda tabla de desafío, que incluye un segundo conjunto de caracteres, siendo la segunda tabla de desafío no válida;
    - enviar al primer dispositivo de usuario, a través del primer canal de comunicación, un tercer mensaje que incluye la segunda tabla de desafío y una segunda solicitud para visualizar la segunda tabla de desafío;
    - el segundo dispositivo de usuario está configurado para visualizar o permitir visualizar la primera tabla de desafío;
    - el primer dispositivo de usuario está configurado para:
    - visualizar la segunda tabla de desafío;
    - recibir, a través de una interfaz hombre-máquina relacionada con el primer dispositivo de usuario, al menos un carácter (218) visualizado correspondiente, como al menos un carácter seleccionado;
    - enviar, al servidor, a través del primer canal de comunicación, un cuarto mensaje (220), como un mensaje de respuesta de desafío, que incluye el al menos un carácter seleccionado, como datos de autenticación de usuario presentados;
    - el servidor está configurado para:
    - obtener al menos una ubicación de referencia predeterminada, dentro de la primera tabla de desafío, como una tabla de referencia;
    - determinar (224), basándose en la al menos una ubicación de referencia predeterminada, dentro de la primera tabla de desafío, al menos un carácter de referencia correspondiente, como datos de autenticación de usuario de referencia;
    - verificar (226), para el usuario, si los datos de autenticación de usuario presentados coinciden o no con los datos de autenticación de usuario de referencia; y
    - conseguir autenticar el usuario, solo si los datos de autenticación de usuario presentados coinciden con los datos de autenticación de usuario de referencia.
ES18755191T 2017-08-16 2018-08-13 Método para autenticar un usuario, y dispositivos, servidor y sistema de usuario correspondientes Active ES2938270T3 (es)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US15/678,957 US10509893B2 (en) 2017-08-16 2017-08-16 Method for authenticating a user and corresponding user devices, server and system
PCT/EP2018/071941 WO2019034619A1 (en) 2017-08-16 2018-08-13 USER AUTHENTICATION METHOD AND DEVICES, CORRESPONDING USER SERVER AND SERVER

Publications (1)

Publication Number Publication Date
ES2938270T3 true ES2938270T3 (es) 2023-04-05

Family

ID=63207759

Family Applications (1)

Application Number Title Priority Date Filing Date
ES18755191T Active ES2938270T3 (es) 2017-08-16 2018-08-13 Método para autenticar un usuario, y dispositivos, servidor y sistema de usuario correspondientes

Country Status (4)

Country Link
US (1) US10509893B2 (es)
EP (1) EP3669293B1 (es)
ES (1) ES2938270T3 (es)
WO (1) WO2019034619A1 (es)

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10868812B2 (en) * 2017-12-29 2020-12-15 ANI Technologies Private Limited Method and system for device authentication
US10693648B2 (en) * 2018-03-26 2020-06-23 Ca, Inc. System and method for dynamic grid authentication
US11042626B2 (en) * 2018-05-21 2021-06-22 Nextek Power Systems, Inc. Method of and system for authenticating a user for security and control
US11709925B1 (en) * 2018-09-27 2023-07-25 Amazon Technologies, Inc. Visual token passwords
US11449821B2 (en) 2019-07-16 2022-09-20 Mastercard International Incorporated Systems and methods for use in facilitating verified deliveries
US11140156B2 (en) * 2019-07-16 2021-10-05 Mastercard International Incorporated Systems and methods for use in binding internet of things devices with identities associated with users

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9191215B2 (en) * 2003-12-30 2015-11-17 Entrust, Inc. Method and apparatus for providing authentication using policy-controlled authentication articles and techniques
GB2433147A (en) 2005-12-01 2007-06-13 Jonathan Geoffrey Milt Craymer A method for verifying a person's identity or entitlement using one-time transaction codes
GB2488310B8 (en) 2011-02-02 2016-01-27 Winfrasoft Corp A method and system for authenticating a user of a computerised system
US20130104197A1 (en) * 2011-10-23 2013-04-25 Gopal Nandakumar Authentication system
US20150295717A1 (en) * 2012-08-08 2015-10-15 V-Auth Limited Authentication method and system
US8868919B2 (en) * 2012-10-23 2014-10-21 Authernative, Inc. Authentication method of field contents based challenge and enumerated pattern of field positions based response in random partial digitized path recognition system
GB2514419B (en) * 2013-05-24 2016-05-04 Barclays Bank Plc Improved user authentication system and method
US10558355B2 (en) * 2017-02-21 2020-02-11 International Business Machines Corporation Obfuscating mobile device passwords through pattern generation
US10691912B2 (en) * 2017-08-09 2020-06-23 The Board Of Trustees Of The Leland Stanford Junior University Ultrasonic biometric sensing device integrated with optics

Also Published As

Publication number Publication date
US20190057199A1 (en) 2019-02-21
EP3669293A1 (en) 2020-06-24
WO2019034619A1 (en) 2019-02-21
US10509893B2 (en) 2019-12-17
EP3669293B1 (en) 2022-11-30

Similar Documents

Publication Publication Date Title
ES2938270T3 (es) Método para autenticar un usuario, y dispositivos, servidor y sistema de usuario correspondientes
KR102242218B1 (ko) 사용자 인증 방법 및 장치, 및 웨어러블 디바이스 등록 방법 및 장치
AU2020244394B2 (en) Method, requester device, verifier device and server for proving at least one piece of user information
EP3433994B1 (en) Methods and apparatus for sim-based authentication of non-sim devices
JP5601729B2 (ja) 移動無線機の移動無線網へのログイン方法
ES2935717T3 (es) Método para autenticar un usuario y dispositivo, primer y segundo servidores y sistema correspondientes
US10050791B2 (en) Method for verifying the identity of a user of a communicating terminal and associated system
EP3724798B1 (en) Method for authenticating a user based on an image relation rule and corresponding first user device, server and system
US20150256537A1 (en) Method for providing a secure service
US20150304318A1 (en) Method and system for accessing a service
WO2021138217A1 (en) Method, chip, device and system for authenticating a set of at least two users
US11601807B2 (en) Mobile device authentication using different channels
EP2811769A1 (en) Method and system for accessing a service
US12032674B2 (en) Method and system for managing access to a service
US20220067138A1 (en) Method and system for managing access to a service
EP2669836A1 (en) Method, device and system for decrypting data
EP3024194A1 (en) Method for accessing a service and corresponding server, device and system