JP2012530965A - 共有登録システムの多要素認証 - Google Patents

共有登録システムの多要素認証 Download PDF

Info

Publication number
JP2012530965A
JP2012530965A JP2012516168A JP2012516168A JP2012530965A JP 2012530965 A JP2012530965 A JP 2012530965A JP 2012516168 A JP2012516168 A JP 2012516168A JP 2012516168 A JP2012516168 A JP 2012516168A JP 2012530965 A JP2012530965 A JP 2012530965A
Authority
JP
Japan
Prior art keywords
registrant
registry
epp
domain
message
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2012516168A
Other languages
English (en)
Inventor
タリク・エサウィ
ジェームズ・グールド
パット・ケーン
ダン・シェーンフェルト
ジョー・ウォルドロン
Original Assignee
ベリサイン・インコーポレイテッド
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ベリサイン・インコーポレイテッド filed Critical ベリサイン・インコーポレイテッド
Publication of JP2012530965A publication Critical patent/JP2012530965A/ja
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/30—Managing network names, e.g. use of aliases or nicknames
    • H04L61/3015—Name registration, generation or assignment
    • H04L61/302—Administrative registration, e.g. for domain names at internet corporation for assigned names and numbers [ICANN]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/45—Network directories; Name-to-address mapping
    • H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
    • H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/067—Network architectures or network communication protocols for network security for supporting key management in a packet data network using one-time keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3234—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving additional secure or trusted devices, e.g. TPM, smartcard, USB or software token
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/50—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using hash chains, e.g. blockchains or hash trees
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/56—Financial cryptography, e.g. electronic payment or e-cash

Abstract

登録者からレジストリへのトラストチェーンを確立するためのシステムおよび方法を提供する。登録者の登録機関へのドメイン名レコードの変更要求には、ワンタイムパスワードなどの、少なくとも１つの登録者要素を含む。登録機関は、変更を実行するための、その要素を含む拡張ＥＰＰコマンドを作成し、これをレジストリに送信することができる。レジストリは、少なくとも１つの要素を少なくとも１つの検証サーバを使用して検証できる。要素の検証が成功した場合、ＥＰＰはレジストリにより処理することができる。要素が検証されなかった場合、ＥＰＰコマンドは処理されず、エラーメッセージが生成され、登録機関に送信される。

Description

レジストリサービスが複数の独立した登録機関の間で共有されているドメイン名登録システムが、共有登録システム（Ｓｈａｒｅｄ Ｒｅｇｉｓｔｒａｔｉｏｎ Ｓｙｓｔｅｍ、ＳＲＳ）である。現在インターネットで実装されているＳＲＳは、Ｅｘｔｅｎｓｉｂｌｅ Ｐｒｏｖｉｓｉｏｎｉｎｇ Ｐｒｏｔｏｃｏｌ（ＥＰＰ）という、複数のサービスプロバイダ（登録機関など）がレジストリなどの共有の中心にあるオブジェクトを使用した、オブジェクトのプロビジョニング操作を実行できるようにするテキスト／ＸＭＬプロトコルを利用している。ＥＰＰは、実装固有の機能とその他のオブジェクト管理機能の修正および／または追加を実現する拡張メカニズムを含む。
ＳＲＳでは、ドメイン名の登録の整合性を保護するためにセキュリティが必要である。たとえば、正式に認定された登録機関のみがレジストリのドメイン名レコードの追加、削除、またはその他の修正をできるようにするためのセキュリティ対策が実装されている。このようなセキュリティ対策は、レジストリがＥＰＰコマンドを処理する前に、レジストリへの登録機関の認証要求を含むことができる。レジストリは、登録機関のデジタル証明書の検証、登録機関のパスワードの要求と検証、登録機関の通信元が、登録機関に関連付けられていることが分かっているＩＰアドレス（またはアドレス範囲）からのものであることの検証によって登録機関を認証できる。
セキュリティ対策はまた、登録者と登録機関との間の通信に対しても実装できる。ドメイン名に対する修正要求が、登録者そのものなどの認証された団体から正しく発信されていることを確かめることが重要である。このようなセキュリティ対策は、登録機関での登録者パスワードの要求および検証、登録者のデジタル証明書の検証などを含むことができる。
別のセキュリティ対策としてＡｕｔｈ Ｉｎｆｏがある。これは、ドメイン名の移管の認可に使用される第２のパスワードを含む。登録者が移管を開始したい場合、登録者はそのＡｕｔｈ Ｉｎｆｏパスワードを、取得登録機関、つまりそのパスワードを使用して移管要求を行う登録機関に提供する。第２のＡｕｔｈ Ｉｎｆｏパスワードを使用すると、無認可のドメイン名の移管を防ぐことができる。
既知のセキュリティ対策は、すべての脅威に対し全面的に効果があるというわけではない。たとえば、実際の登録者の証明書を盗んだ無認可の存在は、登録者を装い、登録者名のドメイン名レコードを不正に追加、削除、または修正できる。同様に、登録機関（または、登録機関の証明書を持つ、登録機関を装った存在）は登録者のドメイン名レコードを不正に追加、削除または修正できる。必要なのは、実際の登録者の、ドメイン名レコードの変更認可を確実に検証できるシステムである。
本発明は、一般に、レジストリに保持されているドメイン名レコードを管理するためのシステムに関する。特には、本発明は、登録者からレジストリへの、多要素認証を使用したトラストチェーンを提供するための方法とシステムに関する。このトラストチェーンは、レジストリに保持されているドメイン名レコードへのいかなる変更も適切に要求され認可されたことを確実にするために役立てることができる。この方法および技術は、ハードウェアまたはソフトウェアに実装されたワンタイムパスワード（Ｏｎｅ Ｔｉｍｅ Ｐａｓｓｗｏｒｄｓ、ＯＴＰ）、生体認証、スマートカード、ＳＭＳ、自動音声通話検証、デバイスＩＤなどのハードウェアまたはソフトウェアベースのＰＫＩ技術を含む、任意の適切な１つのあるいは複数の認証要素を使用して実装できる。この要素は、本発明の実施態様に従って、ドメイン、ホスト、電子メール転送、防衛的登録などのオブジェクトのプロビジョニングでＥＰＰトランザクションの認証と認可を行うために使用できる。
本発明の実施態様に従って、登録者は、１つまたは複数の要素（ＯＴＰを生成できるＩＤを有した登録者トークン使用、登録者の指紋、虹彩または網膜の生体認証スキャン使用、スマートカード上の登録者のデジタル証明書使用など）を生成できる。登録者は、登録機関のＷｅｂサイトにログオンし、レジストリが保持しているドメイン名登録の追加、削除、または修正（変更）要求を送信できる。たとえば、登録者はドメイン名ｔｅｓｔ．ｃｏｍの登録要求（登録できる場合）、既に登録されているドメイン名のいずれかのネームサーバの変更要求、ドメイン名の移管などを送信できる。本発明の実施態様に従うと、登録者は登録機関へ、１つまたは複数の要素、たとえば登録者のトークンにより生成されたＯＴＰ、登録者の生体認証データ、スマートカードなどにある登録者の証明書などを、登録機関へ、任意で登録者のトークンＩＤと共に送信できる。登録機関が、登録者の資格情報、また場合によっては支払いを検証し承認すると、登録機関はレジストリへ、要求された変更の完了要求を作成できる。たとえば、登録機関は、登録者から提供された要素（ＯＴＰ、生体認証および／またはＰＫＩデータなど）を含む拡張ＥＰＰ ＣＲＥＡＴＥコマンドを含む要求をレジストリのアプリケーションサーバ宛に作成し送信できる。レジストリのアプリケーションサーバは、この要素を、検証のため検証サーバに送信できる。この要素の検証が成功した場合、検証サーバは検証を確認するメッセージをレジストリのアプリケーションサーバに送信でき、そうするとアプリケーションサーバはＥＰＰコマンドを処理して、登録者が要求したドメインのドメイン名レコードを作成することができる。この方法では、レジストリのゾーンファイルは、変更要求が本物で認可されていることが検証された後にのみ変更される。
本発明のこれらおよびその他の実施形態は、後述のテキストおよび添付の図面と共により詳細に説明される。
本発明の一実施形態に従った方法を示すフローチャートである。 本発明の一実施形態に従ったシステムを示す図である。 本発明の一実施形態に従ったメッセージフローを示す図である。 本発明の一実施形態に従った、登録者の認証および認可のみを行うメッセージフローを示す図である。 本発明の一実施形態に従った、認証／認可要素を無効にするメッセージフローを示す図である。
本発明の一実施形態に従うと、登録者のドメイン名レコードの変更（追加、削除、修正）要求を認証および／または認可するために使用できる登録者からの情報（「要素」）は、登録機関からレコードを維持するレジストリへの、変更を指示するメッセージにバインドされる。この要素は、レジストリが登録機関からの変更メッセージを処理する前に検証することができる。この要素が検証されない場合、このメッセージに具体化された変更要求をレジストリは拒否することができる。これにより、無認可の存在が、ドメイン名レコードに不正に変更を行うことを防ぐことができる。また、登録機関が、登録者または別の、このような変更を行うことを許可されている存在の認可なしでドメイン名レコードを変更することを防ぐこともできる。
本発明の一実施形態に従った方法を図１に示す。この実施形態では、要素は登録者が所有するトークンにより生成できるワンタイムパスワード（ＯＴＰ）である。このトークンは、ハードウェアトークンとすることができる。あるいは登録者の携帯電話などの任意の適切なプラットフォーム上で実行するソフトウェアで実現されるＯＴＰジェネレータとすることができる。
登録者は、ログオンＩＤおよびパスワード、つまり登録者と登録機関との間の共有秘密を使用するなどして登録機関のＷｅｂサイトにログオンできる。登録者のログオン資格情報の検証が成功すると、登録機関は登録者から、登録者のドメイン名レコードのいずれかの変更要求を受信し承認することができる。たとえば、登録者は、登録者が既に登録しているドメイン名に関連付けられたネームサーバの変更要求を送信しても良い。または、登録者は、新しいドメイン名を登録する要求を送信し、登録に必要な情報を登録機関に提供しても良い。また、登録者は登録機関に、登録者のドメイン名の登録のいずれかを削除するよう要請することもできる。この要求と共に、登録者はＯＴＰとトークンＩＤを送信できる。
登録機関はレジストリに送信するための適切なＥＰＰコマンドを作成し、要求された変更がレジストリのドメイン名登録レコードに対し行われるよう送信することができる。ＥＰＰコマンドと共に、登録機関は、登録者から受信したＯＴＰを送信することができる。
この通信を登録機関から受信すると、レジストリはＯＴＰを検証サーバに送信できる。検証サーバはレジストリ自身またはＶｅｒｉＳｉｇｎなどの信頼されたサードパーティが運営できる。検証サーバは、ＯＴＰが本当にトークンにより生成されたかを検証できる。検証サーバは、その検証結果をレジストリに送信できる。ＯＴＰの検証が成功した場合、レジストリは、ドメイン名の登録者からの要求、および／またはレジストリが適切に認可されたことを確認でき、要求された変更を行える。変更要求メッセージの処理の成功または失敗を報告するメッセージを、レジストリから登録機関に送信できる。ＯＴＰの検証が成功しなかった場合、レジストリはエラーメッセージを生成し、登録機関に送信し、要求された変更は完了しない。
本発明の一実施形態に従うと、ＥＰＰ ＣＲＥＡＴＥおよびＵＰＤＡＴＥコマンドで、ＯＴＰおよび任意でトークンＩＤの受け渡しをサポートできる。トークンＩＤがコマンドに含まれている場合、ＯＴＰは検証され、検証が成功した場合に、トークンＩＤおよび（任意で）ＥＰＰ作成または更新コマンドの一部である子オブジェクトをプロビジョニングオブジェクトにバインドできる。
以下の例は、トークンのドメインへのバインドに使用できるＥＰＰ拡張を示す。
ＯＴＰデータの非ＯＴＰドメインへの追加
<command>
<update>
<domain:update
xmlns:domain="urn:ietf:params:xml:ns:domain-1.0"
xsi:schemaLocation="urn:ietf:params:xml:ns:domain-1.0 domain-1.0.xsd">
<domain:name>test.com</domain:name>
<domain:add/>
<domain:rem/>
<domain:chg/>
</domain:update>
</update>
<extension>
<otpAuth:create
xmlns:otpAuth="http://www.verisign-grs.com/epp/otpAuth-1.0"
xsi:schemaLocation="http://www.verisign-grs.com/epp/otpAuth-1.0 otpAuth-1.0.xsd">
<otpAuth:id>1234</otpAuth:id>
<otpAuth:otp>abcl23</otpAuth:otp>
<otpAuth:type>VIP</otpAuth:type>
</otpAuth:create>
</extension>
</command>
</epp>
上記のコードは、ＥＰＰ ＵＰＤＡＴＥコマンドへの拡張（＜ｅｘｔｅｎｓｉｏｎ＞から＜／ｅｘｔｅｎｓｉｏｎ＞までの間）を示す。この拡張で、ｘｍｌｎｓ名前空間（ｈｔｔｐ：／／ｗｗｗ．ｖｅｒｉｓｉｇｎ−ｇｒｓ．ｃｏｍ／ｅｐｐ／ｏｔｐＡｕｔｈ−１．０）、トークンＩＤ（上記の「１２３４」）、およびＯＴＰ自身（「ａｂｃ１２３」）を指定する。
以下の例は、本発明の実施形態に従った拡張ＥＰＰ ＵＰＤＡＴＥコマンドを示す。この例では、ＯＴＰのみがレジストリに送信され、トークンはドメインオブジェクトにバインドされたトークンＩＤを検索することにより読み出される。
ＯＴＰ認可を使用したドメイン更新
<?xml version="l.0" encoding="UTF-8" standalone="no"?>
<epp xmlns="urn:ietf:params:xml:ns:epp-1.0"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="urn:ietf:params:xml:ms:epp-1.0 epp-1.0.xsd">
<command>
<update>
<domain:update
xmlns:domain="urn:ietf:params:xml:ns:domain-1.0"
xsi:schemaLocation="urn:ietf:params:xml:ns:domain-1.0 domain-1.0.xsd">
<domain:name>test.com</domain:name>
<domain:add>
<domain:ns>
<domain:hostObj>ns1.test.com</domain:hostObj>
</domain:ns>
<domain:status s="clientDeleteProhibited"/>
</domain:add>
<domain:rem/>
<domain:chg/>
</domain:update>
</update>
<extension>
<otpAuth:auth
xmlns:otpAuth="http://www.verisign-grs.com/epp/otpAuth-1.0"
xsi:schemaLocation="http://www.verisign-grs.com/epp/otpAuth-1.0 otpAuth-1.0.xsd">
<otpAuth:otp>abcl23</otpAuth:otp>
</otpAuth:auth>
</extension>
</command>
</epp>
上記のコードは、ドメイン「ｔｅｓｔ．ｃｏｍ」の登録を追加するＥＰＰ ＵＰＤＡＴＥコマンドを示す。追加されたドメイン名レコードは、ホスト名「ｎｓｌ．ｔｅｓｔ．ｃｏｍ」を含め、レコードはロックされる（「ｃｌｉｅｎｔＤｅｌｅｔｅＰｒｏｈｉｂｉｔｅｄ」）。この拡張（＜ｅｘｔｅｎｓｉｏｎ＞から＜／ｅｘｔｅｎｓｉｏｎ＞タグの間）には、名前空間の情報およびＯＴＰ自身である「ａｂｃ１２３」が含まれる。
以下の例は、本発明の一実施形態に従った拡張ＥＰＰ ＤＥＬＥＴＥコマンドを示す。
ＯＴＰ認可を使用したドメイン削除
<?xml version="l.0" encoding="UTF-8" standalone="no"?>
<epp
xmlns="urn:ietf:params:xml:ns:epp-1.0"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="urn:ietf:params:xml:ns:epp-1.0 epp-1.0.xsd"
>
<command>
<delete>
<domain:delete
xmlns:domain="urn:ietf:params:xml:ns:domain-1.0"
xsi:schemaLocation="urn:ietf:params:xml:ns:domain-1.0 domain-1.0.xsd"
>
<domain:name>test.com</domain:name>
</domain:delete>
</delete>
<extension>
<otpAuth:auth
xmlns:otpAuth="http://www.verisign-grs.com/epp/otpAuth-1.0"
xsi:schemaLocation="http://www.verisign-grs.com/epp/otpAuth-1.0 otpAuth-1.0.xsd">
<otpAuth:otp>abcl23</otpAuth:otp>
</otpAuth:auth>
</extension>
<clTRID>ABC-12345</clTRID>
</command>
</epp>
上記のコード例は、拡張ＥＰＰ ＤＥＬＥＴＥコマンドに含められたＯＴＰ（「ａｂｃ１２３」）を示す。
以下の例は、本発明の一実施形態に従った拡張ＥＰＰ ＴＲＡＮＳＦＥＲコマンドを示す。
ＯＴＰ認可を使用したドメイン移管要求
<epp
xmlns="urn:ietf:params:xml:ns:epp-1.0"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="urn:ietf:params:xml:ns:epp-1.0 epp-1.0.xsd"
>
<command>
<transfer op="request">
<domain:transfer
xmlns:domain="urn:ietf:params:xml:ns:domain-1.0"
xsi:schemaLocation="urn:ietf:params:xml:ns:domain-1.0 domain-1.0.xsd"
>
<domain:name>test.com</domain:name>
<domain:period unit="y">1</domain:period>
<domain:authInfo>
<domain:pw>corepw</domain:pw>
</domain:authInfo>
</domain:transfer>
</transfer>
<extension>
<otpAuth:auth
xmlns:otpAuth="http://www.verisign-grs.com/epp/otpAuth-1.0"
xsi:schemaLocation="http://www.verisign-grs.com/epp/otpAuth-1.0 otpAuth-1.0.xsd">
<otpAuth:otp>abcl23</otpAuth:otp>
</otpAuth:auth>
</extension>
</command>
</epp>
上記のコードは、ＥＰＰ ＴＲＡＮＳＦＥＲコマンド拡張のＯＴＰ「ａｂｃ１２３」を含む。
場合によっては、登録機関は、プロビジョニングオブジェクトを本発明の実施形態に従った拡張セキュリティに更新する必要があることがある。たとえば、ドメインが自動延長されているが登録機関が登録者からの支払いを得られない場合などである。このような場合に、登録機関はドメインを削除（登録機関に登録手数料が払い戻されないことを避けるため）または、既存の登録者または新しい登録者からの支払いを得られるまでゾーンファイルから削除したいことがある。
本発明の実施形態は、ＥＰＰコマンドに登録機関のＯＴＰを含めることで、このような状況に対応できる。登録機関のＯＴＰがＥＰＰコマンドで提供された場合、登録者のＯＴＰを検証せずにドメインを更新できる。
自動化処理の一部として、多数のドメインを修正する必要がある場合は、ＥＰＰコマンドにＯＴＰ無効属性を含めることができる。この属性が「無効」に設定されると、ドメインは、登録機関または登録者のＯＴＰのいずれも検証せずに更新できる。ＥＰＰコマンドにはまた、ドメインレコードがＯＴＰなしで更新される理由の説明のために使用できる「無効理由」属性を含めることができる。無効の発生は、レジストリにより追跡でき、登録機関に報告できる。
トークンを紛失した場合、登録機関はＶｅｒｉＳｉｇｎなどのトークンプロバイダに連絡し、新しいトークンを、紛失したトークンが保護していたプロビジョニングオブジェクトにバインドさせることができる。登録機関は、登録者のＩＤを検証することにより新しいトークンが正しい登録者に届いていることを確認できる。
本発明の一実施形態に従って、登録機関は、古いトークンＩＤ、紛失したトークンから生成したＯＴＰ、および新しいトークンのＩＤを含むＥＰＰ ＵＰＤＡＴＥコマンドを送信することにより、紛失したトークンを置き換えることができる。紛失したトークンから生成したＯＴＰの検証が成功すると、新しいトークンＩＤを更新するプロビジョニングオブジェクトにバインドできる。
本発明の実施形態は、複数要素を検証するため複数のベンダーで運用可能である。ベンダーは、ＳＲＳのセキュリティ要件を満たし、統合メカニズムを提供するものとする。一実施形態における検証サーバは、レジストリからの検証サーバおよびサードパーティからの検証サーバを含むことができる。
本発明に従ったシステムを図２に示す。登録者２０１は、登録機関２０２と通信し、登録機関は次にレジストリ２０３と通信する。登録者２０１は、１つまたは複数の登録者要素ジェネレータ２０４〜２０６にアクセスする。この実施形態では、登録者要素ジェネレータ２０４は、登録者ＯＴＰを生成できる登録者トークンである。登録者要素ジェネレータ２０５は指紋リーダまたは虹彩スキャナなどの生体認証リーダである。登録者２０１は、任意の数の要素ジェネレータを使用して良い。登録機関２０２は登録機関要素ジェネレータ２０７〜２０８と接続している。登録機関要素ジェネレータ２０７は、登録機関ＯＴＰを生成できる登録機関トークンである。登録機関は、任意の数の要素ジェネレータを使用して良い。レジストリ２０３は、検証サーバ２０９〜２１１と通信する。検証サーバ２０９はＯＴＰ検証サーバデータベース２１２に接続されているＯＴＰ検証サーバである。検証サーバデータベース２１２は、特定のトークンＩＤと、ＯＴＰの生成に使用されるトークンに格納された共有秘密とを関連付けるレコードを格納できる。他の検証サーバ２１０および２１１は、登録者および／または登録機関により提供された他の種類の要素（生体認証、証明書など）の検証に使用できる。検証サーバは、ＶｅｒｉＳｉｇｎなどの信頼できるサードパーティにより運営されていても良い。または、例えばレジストリ検証サーバ２１１として示すように、レジストリ自身が運営していても良い。
登録者２１０は、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、インターネットなどのネットワークを通じて登録機関２０２と通信する登録者コンピュータとやりとりするユーザとなることができる。ＯＴＰジェネレータ２０４および２０７は、ＯＡＴＨ準拠、タイムベース、ＬＤＡＰ、およびＯＴＰ生成用ＯＤＢＣをサポート可能なＶｅｒｉＳｉｇｎにより提供されるＵｎｉｆｉｅｄ Ａｕｔｈｅｎｔｉｃａｔｉｏｎトークン、あるいはその他の適切なＯＴＰジェネレータとすることができる。生体認証ジェネレータ２０５および２０８は、網膜スキャナ、虹彩スキャナ、指紋リーダ、音声認識ソフトウェア、またはその他の適切な生体認証要素ジェネレータとすることができる。
登録機関２０２は登録機関サーバとすることができ、ゲートウェイ、登録機関データベースおよびその他の登録機関を構成する当該技術において知られているコンポーネントを含むことができる。レジストリ２０３はゲートウェイサーバ、レジストリアプリケーションサーバおよびレジストリデータベースを含むことができる。ＯＴＰ検証サーバ２０９は、ＶｅｒｉＳｉｇｎ Ｕｎｉｆｉｅｄ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ検証サーバ、または登録者２０１と登録機関２０２により送信されたＯＴＰを検証できる任意のその他の検証サーバとすることができる。生体認証検証サーバ２１０は、登録者２０１または登録機関２０２により送信された生体認証（網膜スキャン、指紋など）を検証できるサーバとすることができる。
図３は、本発明の一実施形態に従った、登録者からのドメイン名レコード変更要求の認証および認可にＯＴＰが使用されるメッセージフローを示す。登録者は登録機関Ｗｅｂサーバにログインし、登録者ＯＴＰを生成する。登録者ＯＴＰは、登録機関に、ドメイン名登録レコードの変更要求と共に送信される。登録機関は、要求された変更を完了するための登録者ＯＴＰを含む拡張ＥＰＰコマンドを含む要求を、レジストリへのトランスミッション用に作成する。レジストリが拡張ＥＰＰコマンドを登録機関から受信すると最初に、登録者のＯＴＰを、検証サーバに送信することにより検証する。検証サーバがＯＴＰを検証した場合、その結果をレジストリに返すためのメッセージを送信する。レジストリは、拡張ＥＰＰコマンドに記述されている変更を行い、応答を登録機関に返すことができる。そうすると登録機関は、要求された変更が正常に行われたことを登録者に知らせることができる。検証サーバがＯＴＰの検証に失敗した場合、その結果をレジストリに返すためのメッセージを送信できる。レジストリは拡張ＥＰＰコマンドを完了せず、エラーメッセージを登録機関に返す。
図４は、登録者が不在で、登録機関がたとえばレコードの削除や、現在のまたは別の登録者からの支払いを受領するまでのゾーンファイルからの削除といったドメイン名レコードの変更を行いたい場合の、本発明の一実施形態に従ったメッセージフローを示す。この場合、登録機関はＯＴＰを生成し、登録機関ＯＴＰを含む拡張ＥＰＰ要求を作成し、これをレジストリに送信する。レジストリは、登録機関ＯＴＰを検証サーバに送信して検証する。検証サーバが、登録機関ＯＴＰが検証されたことを通知した場合、レジストリはＥＰＰコマンドを処理する。検証サーバが検証が失敗したことを通知した場合、エラーメッセージが生成されレジストリに送信される。そうするとレジストリは、エラーメッセージを登録機関に送信できる。
図５は、無効条件が存在する（多数のドメインを変更する要求など）、変更の実施に要素を必要としない本発明の一実施形態に従った、メッセージフローを示す。この実施形態では、登録機関はＯＴＰ無効属性およびＯＴＰ無効理由属性を含む拡張ＥＰＰ要求を作成する。この拡張ＥＰＰコマンドは、レジストリで検査する人間のオペレータによって自動的に検査または参照される。検査者が、無効理由はＥＰＰコマンドを最初に要素検証することなく処理することを正当化するにふさわしいと判断した場合、ＥＰＰコマンドが処理される。検査者が、無効理由が不適当であると見なした場合、ＥＰＰコマンドは処理されず、エラーメッセージが登録機関へ送信される。
ＥＰＰコマンドと共に提供された要素は、本発明のさまざまな実施形態に従い、さまざまな方法で検証サーバにより検証することができる。一実施形態では、トークンＩＤはまた、レジストリに送信された拡張ＥＰＰコマンドに含まれる。トークンＩＤは、ＯＴＰと一緒に検証サーバに渡され、検証サーバはトークンＩＤを使用してＯＴＰ生成のベースとして使用される共有秘密を検索する。検証サーバは、この共有秘密をＯＴＰの検証に使用できる。別の実施形態では、登録機関は拡張ＥＰＰコマンド内に含められた、あるいは拡張ＥＰＰコマンドに加えて送信された登録者識別情報を含める。この登録者識別情報（登録者ユーザＩＤ、ログオンＩＤ、ハンドル、登録者ネットワークアドレス情報（ソースアドレス情報など）など）は、要素を検証するために使用できる登録者参照項目（トークン秘密、生体認証サンプルまたはそのハッシュ、証明書情報など）を検索するため、検証サーバが使用できる。
本発明のさらにその他の実施形態では、登録者からのドメイン名登録レコードの変更要求を認証および認可するために１つまたは複数の要素を使用しても良い。たとえば、登録者は登録機関への変更要求にＯＴＰおよび生体認証データを含めても良い。登録機関は、ＯＴＰと生体認証データの両方を、レジストリに送信する１つのＥＰＰコマンドに含めることができる。レジストリは、ＥＰＰコマンドを処理する前にＯＴＰと生体認証データの両方を検証できる。同様に、登録者からレジストリへのトラストチェーンを提供するため、任意の適切な要素の組み合わせを使用しても良い。それぞれの異なる要素は、他の要素と同じまたは異なる検証サーバに送信しても良い。
レジストリは、ＥＰＰコマンドの処理のための任意の適切なポリシーを実装できる。たとえば、レジストリは、通常のドメインに対するＥＰＰコマンドの処理には単一要素の検証を要求することができるが、高価値またはロックされているドメインに対するＥＰＰコマンド処理への前提条件として複数の要素の検証を要求することができる。レジストリは、ＥＰＰコマンドの処理前に複数の団体が検証可能な要素を提供することを要求することができる。たとえば、レジストリはドメインに対する「２者による制御」またはｎ人による制御ポリシーを実装することができる。
本発明はＥＰＰコマンドの使用に制限されない。任意の適切なプロビジョニングプロトコルにとって、本発明の実施形態の実装により確立できるトラストチェーンが有益となり得る。たとえば、出版−購読型システムのメッセージ受信者は、送信者が１つまたは複数の要素をメッセージと一緒にリレーサーバに出版のために送信すると、メッセージの送信者を認証できる。メッセージを受信すると、受信者は１つまたは複数の要素を１つまたは複数の検証サーバに、検証のため送信できる。検証の成功または失敗によりメッセージが本物であるかどうかを示すことができる。メッセージが実行可能な場合、受信者がこのメッセージを実行するかどうかは検証の成否が決定付けることができる。
本発明の実施形態に従うと、要素検証の１回または複数回試行が失敗すると、ＥＰＰコマンドの処理以外の動作が行われる結果となる。たとえば、検証失敗が繰り返されると、不正である可能性があると登録機関に、または更に詳細な解析のために不正検出および防止サービスに報告される。試行が行われる速度（たとえば単位時間（ｎ秒、ｍ分など）当たりの試行失敗回数）を、特定のドメイン、ドメインの種類、要求元、登録機関、登録者、登録者の種類などに関して報告できる。報告は、試行回数または頻度が、特定のしきい値に達するか超えた場合に行うようにすることができる。同様に、ドメインにバインドされているトークンが頻繁に変更される場合、具体的にはこのような変更が指定したしきい値（週に５度を超える場合など）を超えた場合にも報告できる。攻撃の回数または頻度が多い場合も、サービス妨害攻撃を示す場合があり、この場合も報告および適切な対応策をとることができる。セキュリティ違反の検出に対応するため、１つまたは複数のドメインに対する登録のロック、登録機関などの特定のソースから処理される要求回数の制限、特定の要素ジェネレータ（トークン、ＰＫＩスマートカード、生体認証リーダなど）または登録者からの処理要求の回数の制限などの任意の適切なアクションを取っても良い。
本発明の実施形態は、要素を非同期的に検証できる。たとえば、登録者は登録機関に、ドメイン名レコードを更新する要求を、ＯＴＰ、生体認証データ、スマートカードからのＰＫＩデータなどの少なくとも１つの要素と共に送信できる。登録機関は、更新コマンドと要素をレジストリに送信できる。レジストリはコマンドを受信して、対象（ドメイン）をｐｅｎｄｉｎｇＵｐｄａｔｅなどの保留ステータスに設定することにより、登録機関に成功メッセージを返すことができる。次にレジストリは、少なくとも１つの要素を１つまたは複数の検証サーバに、検証のため送信できる。検証結果に基づき、レジストリはドメイン名レコードへの更新を適用し、または適用せず、保留ステータスを削除する。そうすると登録機関は、保留中の要求の結果を、たとえばＥＰＰポーリングメッセージ経由で通知される。
本明細書で説明した例および実施形態は、例示のみを目的とし、その実例に鑑みたさまざまな修正または変更が、当業者によって想起され、これらは本出願および添付の特許請求の範囲の精神と範囲内に含まれるものである。
２０１ 登録者
２０２ 登録機関
２０３ レジストリ
２０４ 登録者ワンタイムパスワードジェネレータ
２０５ 登録者生体認証ジェネレータ
２０６ 登録者要素ジェネレータ
２０７ 登録機関ワンタイムパスワードジェネレータ
２０８ 登録機関生体認証ジェネレータ
２０９ ワンタイムパスワード検証サーバ
２１０ 生体認証検証サーバ
２１１ レジストリ検証サーバ
２１２ ワンタイムパスワード検証サーバデータベース

Claims (13)

  1. 認証の方法であって、
    レジストリサーバで、登録者ワンタイムパスワードおよび登録者ＩＤを含む拡張ＥＰＰコマンドを登録機関サーバから受信する段階と、
    登録者ワンタイムパスワードおよび登録者ＩＤをレジストリサーバから検証サーバに送信する段階と、
    レジストリサーバで、検証サーバからの検証メッセージを受信する段階と、
    検証メッセージが、登録者ワンタイムパスワードの検証が成功したことを示す場合にのみ、レジストリでＥＰＰコマンドを処理する段階と
    を有することを特徴とする方法。
  2. ＥＰＰコマンドが、移管、作成、削除、延長、および更新のうちの少なくとも１つのコマンドを含むことを特徴とする請求項１に記載の方法。
  3. 登録者ＩＤがトークンＩＤであることを特徴とする請求項１に記載の方法。
  4. 登録者ＩＤが登録者ユーザＩＤに基づいていることを特徴とする請求項１に記載の方法。
  5. 認証の方法であって、
    レジストリサーバで、少なくとも１つの登録者要素を含むメッセージを登録機関から受信する段階と、
    少なくとも１つの登録者要素を少なくとも１つの検証サーバに送信する段階と、
    少なくとも１つの検証メッセージを少なくとも１つの検証サーバから受信する段階と、
    検証メッセージが、少なくとも１つの登録者要素が検証に成功したことを示す場合にのみ、レジストリでメッセージを処理する段階と
    を有することを特徴とする方法。
  6. メッセージがＥＰＰコマンドを含むことを特徴とする請求項５に記載の方法。
  7. メッセージが、少なくとも１つの要素を含む拡張ＥＰＰコマンドであることを特徴とする請求項５に記載の方法。
  8. メッセージが、移管、作成、削除、延長、および更新のうちの少なくとも１つのＥＰＰコマンドを含むことを特徴とする請求項５に記載の方法。
  9. 要素が、生体認証情報、ワンタイムパスワード、ＰＫＩ情報、ＳＭＳ情報、自動音声通話識別、およびデバイスＩＤのうちの少なくとも１つの情報を含むことを特徴とする請求項５に記載の方法。
  10. レジストリで、登録者情報を受信する段階をさらに有することを特徴とする請求項５に記載の方法。
  11. 登録者情報が、登録者トークンＩＤ、登録者ログオンＩＤに基づく情報、および登録者のネットワークアドレス情報のうちの少なくとも１つの情報を含むことを特徴とする請求項１０に記載の方法。
  12. 検証のために第２の検証サーバに送信する段階をさらに有することを特徴とする請求項５に記載の方法。
  13. メッセージを処理する段階が、ドメイン名レコードの移管、作成、削除、延長、および更新のうちの少なくとも１つの処理を行う段階を含むことを特徴とする請求項５に記載の方法。
JP2012516168A 2009-06-18 2010-06-14 共有登録システムの多要素認証 Pending JP2012530965A (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US12/487,567 US8904519B2 (en) 2009-06-18 2009-06-18 Shared registration system multi-factor authentication
US12/487,567 2009-06-18
PCT/US2010/038517 WO2010147894A1 (en) 2009-06-18 2010-06-14 Shared registration system multi-factor authentication

Publications (1)

Publication Number Publication Date
JP2012530965A true JP2012530965A (ja) 2012-12-06

Family

ID=43355469

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2012516168A Pending JP2012530965A (ja) 2009-06-18 2010-06-14 共有登録システムの多要素認証

Country Status (8)

Country Link
US (1) US8904519B2 (ja)
EP (1) EP2443790A4 (ja)
JP (1) JP2012530965A (ja)
KR (1) KR101694744B1 (ja)
CN (1) CN102804680A (ja)
AU (2) AU2010260221B2 (ja)
CA (1) CA2764573C (ja)
WO (1) WO2010147894A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2017519290A (ja) * 2014-05-21 2017-07-13 マスターカード インターナショナル インコーポレーテッド 移動体デバイスにおける支払いトークン寿命管理方法

Families Citing this family (32)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8510263B2 (en) * 2009-06-15 2013-08-13 Verisign, Inc. Method and system for auditing transaction data from database operations
US8769655B2 (en) * 2010-12-30 2014-07-01 Verisign, Inc. Shared registration multi-factor authentication tokens
US9450759B2 (en) * 2011-04-05 2016-09-20 Apple Inc. Apparatus and methods for controlling distribution of electronic access clients
US8590030B1 (en) * 2011-04-14 2013-11-19 Symantec Corporation Credential seed provisioning system
US9204298B2 (en) * 2011-09-13 2015-12-01 Bank Of America Corporation Multilevel authentication
US10565666B2 (en) * 2011-09-26 2020-02-18 Verisign, Inc. Protect intellectual property (IP) rights across namespaces
US20130191137A1 (en) * 2012-01-23 2013-07-25 James F. Chen Systems and methods for electronically prescribing controlled substances
US20130275282A1 (en) 2012-04-17 2013-10-17 Microsoft Corporation Anonymous billing
US20130282589A1 (en) * 2012-04-20 2013-10-24 Conductiv Software, Inc. Multi-factor mobile transaction authentication
US9710664B2 (en) * 2012-09-07 2017-07-18 Amrita Vishwa Vidyapeetham Security layer and methods for protecting tenant data in a cloud-mediated computing network
US9444817B2 (en) 2012-09-27 2016-09-13 Microsoft Technology Licensing, Llc Facilitating claim use by service providers
CN103036680A (zh) * 2012-12-10 2013-04-10 中国科学院计算机网络信息中心 基于生物特征识别的域名认证系统及方法
EP2932680A1 (en) * 2012-12-12 2015-10-21 Interdigital Patent Holdings, Inc. Independent identity management systems
US9531603B2 (en) 2013-03-14 2016-12-27 Verisign, Inc. Reconciling internet DNS zone file changes with origin change requests
US9485213B2 (en) * 2013-03-20 2016-11-01 Uniregistry, Corp. Cross registrar compliance and communication mechanism
AU2014262178A1 (en) 2013-11-12 2015-05-28 Verisign, Inc. Multiple provisioning object operation
CN103812963B (zh) * 2014-02-19 2017-04-19 互联网域名系统北京市工程研究中心有限公司 域名注册方法及其系统
US9807053B1 (en) 2014-08-29 2017-10-31 Uniregistry, Corp. System and method related to domain name tracking and transfer
US9479533B2 (en) * 2014-12-18 2016-10-25 Go Daddy Operating Company, LLC Time based authentication codes
US9769193B2 (en) 2015-06-18 2017-09-19 Microsoft Technology Licensing, Llc Advanced security for domain names
US9769153B1 (en) * 2015-08-07 2017-09-19 Amazon Technologies, Inc. Validation for requests
US10542117B2 (en) 2015-09-03 2020-01-21 Verisign, Inc. Systems and methods for providing secure access to shared registration systems
US10560427B2 (en) * 2015-09-29 2020-02-11 Verisign, Inc. Domain name operation verification code generation and/or verification
US11329821B2 (en) * 2015-12-28 2022-05-10 Verisign, Inc. Shared registration system
US10129210B2 (en) * 2015-12-30 2018-11-13 Go Daddy Operating Company, LLC Registrant defined limitations on a control panel for a registered tertiary domain
US10880267B2 (en) 2016-04-28 2020-12-29 Afilias Limited Verification of domain events
US10511570B2 (en) 2016-08-30 2019-12-17 Verisign, Inc. Systems, devices, and methods for locality-based domain name registry operation verification
US20180063141A1 (en) * 2016-08-30 2018-03-01 Verisign, Inc. Integrated dns service provider services using token-based authentication
CN108737587B (zh) * 2017-04-20 2021-08-20 互联网域名系统北京市工程研究中心有限公司 对域名注册人设置双重标识的方法、设备及系统
US10764283B1 (en) * 2017-05-31 2020-09-01 Go Daddy Operating Company, LLC Monitoring to trigger on demand multifactor authentication
US11171917B2 (en) * 2017-11-01 2021-11-09 Verisign, Inc. Systems and methods for domain name system promotion and redemption
US11329951B2 (en) 2019-04-30 2022-05-10 Verisign, Inc. Systems and methods for secure authorization of registry functions

Family Cites Families (24)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6760746B1 (en) * 1999-09-01 2004-07-06 Eric Schneider Method, product, and apparatus for processing a data request
US20020002678A1 (en) * 1998-08-14 2002-01-03 Stanley T. Chow Internet authentication technology
US8037168B2 (en) * 1999-07-15 2011-10-11 Esdr Network Solutions Llc Method, product, and apparatus for enhancing resolution services, registration services, and search services
USRE43690E1 (en) * 1999-03-22 2012-09-25 Esdr Network Solutions Llc Search engine request method, product, and apparatus
US7188138B1 (en) * 1999-03-22 2007-03-06 Eric Schneider Method, product, and apparatus for resource identifier registration and aftermarket services
US9141717B2 (en) * 1999-03-22 2015-09-22 Esdr Network Solutions Llc Methods, systems, products, and devices for processing DNS friendly identifiers
US6338082B1 (en) * 1999-03-22 2002-01-08 Eric Schneider Method, product, and apparatus for requesting a network resource
CA2367445A1 (en) * 1999-04-22 2000-11-02 Scott Hollenbeck A shared registration system for registering domain names
USRE44207E1 (en) * 1999-09-01 2013-05-07 Esdr Network Solutions Llc Network resource access method, product, and apparatus
JP2001326632A (ja) * 2000-05-17 2001-11-22 Fujitsu Ltd 分散グループ管理システムおよび方法
JP2002123779A (ja) * 2000-10-12 2002-04-26 Hitachi Ltd 決済処理方法及びシステム並びにプログラムを格納した記録媒体
AU2002220182A1 (en) * 2000-10-20 2002-05-21 Wave Systems Corporation System and method for managing trust between clients and servers
JP2004524605A (ja) * 2000-12-14 2004-08-12 クィジッド テクノロジーズ リミテッド 認証システム
US7228438B2 (en) * 2001-04-30 2007-06-05 Matsushita Electric Industrial Co., Ltd. Computer network security system employing portable storage device
US7099957B2 (en) * 2001-08-23 2006-08-29 The Directtv Group, Inc. Domain name system resolution
US7565402B2 (en) * 2002-01-05 2009-07-21 Eric Schneider Sitemap access method, product, and apparatus
WO2006012058A1 (en) * 2004-06-28 2006-02-02 Japan Communications, Inc. Systems and methods for mutual authentication of network
JP4596945B2 (ja) * 2005-03-24 2010-12-15 富士通株式会社 データセンタの需要予測システム、需要予測方法および需要予測プログラム
US20060218289A1 (en) * 2005-03-27 2006-09-28 Elias Assad Systems and methods of registering and utilizing domain names
WO2006121854A2 (en) * 2005-05-06 2006-11-16 Verisign, Inc. Token sharing system and method
JP3996939B2 (ja) * 2006-03-30 2007-10-24 株式会社シー・エス・イー オフラインユーザ認証システム、その方法、およびそのプログラム
US8270344B2 (en) * 2007-09-10 2012-09-18 At&T Intellectual Property I, Lp System for communicating between internet protocol multimedia subsystem networks
US7698425B2 (en) 2008-02-01 2010-04-13 The Go Daddy Group, Inc. Systems for managing a domain name registrant's social websites
US8510263B2 (en) * 2009-06-15 2013-08-13 Verisign, Inc. Method and system for auditing transaction data from database operations

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2017519290A (ja) * 2014-05-21 2017-07-13 マスターカード インターナショナル インコーポレーテッド 移動体デバイスにおける支払いトークン寿命管理方法

Also Published As

Publication number Publication date
EP2443790A1 (en) 2012-04-25
AU2010260221A1 (en) 2012-01-19
CN102804680A (zh) 2012-11-28
AU2010260221B2 (en) 2014-04-03
WO2010147894A1 (en) 2010-12-23
AU2014202939A1 (en) 2014-06-19
CA2764573C (en) 2018-09-25
US20100325723A1 (en) 2010-12-23
KR101694744B1 (ko) 2017-01-10
KR20120024745A (ko) 2012-03-14
US8904519B2 (en) 2014-12-02
EP2443790A4 (en) 2015-02-25
CA2764573A1 (en) 2010-12-23

Similar Documents

Publication Publication Date Title
CA2764573C (en) Shared registration system multi-factor authentication
Barnes et al. Automatic certificate management environment (acme)
US8769655B2 (en) Shared registration multi-factor authentication tokens
US9900163B2 (en) Facilitating secure online transactions
US20050021975A1 (en) Proxy based adaptive two factor authentication having automated enrollment
US9825938B2 (en) System and method for managing certificate based secure network access with a certificate having a buffer period prior to expiration
EP2770662A1 (en) Centralized security management method and system for third party application and corresponding communication system
US20080077791A1 (en) System and method for secured network access
CN105357186B (zh) 一种基于带外验证和增强otp机制的二次认证方法
CA2719034A1 (en) System and method for storing client-side certificate credentials
CN114531277A (zh) 一种基于区块链技术的用户身份认证方法
JP5186648B2 (ja) 安全なオンライン取引を容易にするシステム及び方法
Kasten Automatic Certificate Management Environment (ACME) draft-ietf-acme-acme-03
Barnes et al. RFC 8555: Automatic certificate management environment (ACME)
CN115118454A (zh) 一种基于移动应用的级联认证系统及认证方法
Feld et al. Security analysis of OpenID, followed by a reference implementation of an nPA-based OpenID provider
Hosseyni et al. Formal security analysis of the OpenID FAPI 2.0 Security Profile with FAPI 2.0 Message Signing, FAPI-CIBA, Dynamic Client Registration and Management: technical report
CN117396866A (zh) 授权交易托管服务
Kasten et al. Automatic Certificate Management Environment (ACME)
Pohlmann Security analysis of OpenID, followed by a reference implementation of an nPA-based OpenID provider