JP6701364B2 - パスワードなしのコンピュータログインのサービス支援モバイルペアリングのためのシステム及び方法 - Google Patents

Description

パスワード及びユーザ特権に関する様々なコンピュータネットワーキング要件の急増を考えると、パスワード及びユーザ名を使用するコンピューティングデバイス上のユーザの認証は一般に、最大の難度を提起する。例えば、ユーザは、様々な異なるコンピューティングデバイス上で様々なアカウントを有することができ、いずれも英数字と特殊文字との組み合わせを必要とする異なるユーザ名及びパスワードを有する。具体的には、それぞれのアカウントは、パスワードが数字、アルファベット、及び特殊文字を含む、特定の数の文字を保有することを必要とし得る。これらのパスワード及びユーザ名の全てによって、ユーザは、あまりにも多くのデータを記憶し、思い出すことを求められる。加えて、キーストローク追跡機構を有する悪意のあるコードがマシン上に存在する場合、ログイン試行時にパスワードの使用に関するセキュリティ上の問題が存在する可能性がある。一部のユーザは、パスワードベースの認証をハッカーの盗み見に対して脆弱にしてしまう、この悪意のあるコードをダウンロードするようにそそのかされる場合がある。更に、偽造マーケティングリンクを介してユーザ名及びパスワードを明らかにするようにユーザをそそのかす、フィッシングメールの試みも、ユーザのパスワード及びユーザ名をハッカーに晒す場合がある。

パスワードベース認証のソリューションとして、コンピュータにおけるユーザに関連付けられたモバイルパーソナルデバイスの近位検出の機能は、パスワードなしのログイン機構をよりセキュアにし得る。特に、ユーザは、コンピュータにログインしようとする間にモバイルデバイスを携帯する可能性が高いという事実を考えると、コンピュータに関連付けられたモバイルデバイスは自然認証器として使用されてもよい。つまり、一部のコンピューティング環境は、ユーザログイン時に、同じユーザのモバイルデバイスをコンピューティングデバイスとペアリングするために、近位検出機構を使用し得る。パスワードなしのコンピュータログインを容易にする試みがされてきており、このログインでは、ユーザは、電話又はウェアラブルデバイスなどのユーザ登録されたモバイルデバイスでの承認クリックを使用して、ログイン試行を承認することができる。しかしながら、かかるソリューションは典型的に、Ｂｌｕｅｔｏｏｔｈ（登録商標、以下同じ） Ｌｏｗ Ｅｎｅｒｇｙ（ＢＬＥ）の使用によるモバイルデバイスの近位検出を活用する。つまり、一部のコンピューティング環境は、ＢＬＥプロトコルを使用するモバイルデバイスとペアリングされ得る。しかしながら、多くのコンピューティング環境には、ＢＬＥ機構は存在しない。それにより、現在の１つの課題は、ＢＬＥ検出機能を有しない、混合タイプのコンピュータモデルを用いたＥｎｔｅｒｐｒｉｓｅ（登録商標）の展開など、全てのコンピューティングデバイス及び環境をサポートすることである。例えば、Ｗｉｎｄｏｗｓ（登録商標）のバージョン７（ＢＬＥ検出を保有しない）を有するマシンは、現在一般に使用されている環境である。一部のベンダは、ユーザがこの問題を解決するためにインストールするよう、ＢＬＥドングルを提供している。しかし、ＢＬＥドングルは、時間及びコンピューティングリソースを更に費やすものに過ぎないため、パスワードなしのログインをはるかに厄介なものにしている。これは、実施形態が生まれる文脈内にある。

ネットワークサービスを使用したパスワードなしのログインのためにモバイルデバイスをコンピューティングデバイスとセキュアにペアリングするシステム及び方法の実施形態が提供される。本実施形態は、プロセス、装置、システム、デバイス、又は方法などの多数のやり方で実行され得ることを理解すべきである。いくつかの本発明の実施形態を下に記載する。

いくつかの実施形態では、データ通信のためのシステム及び方法が提供される。この方法は、コンピューティングデバイスからネットワークサーバにペアリング要求を送信することを含み得、ペアリング要求は、コンピュータ認証データ及びコンピュータの公開鍵を含む。この方法は、ペアリング要求に応答した、ネットワークサーバを使用するモバイルデバイスとコンピューティングデバイスとのペアリングを更に含み得る。例えば、デバイスのペアリング時に、コンピューティングデバイスは、ペアリング秘密鍵及び関連するＱＲ画像を生成し得、ユーザは、モバイルデバイスを使用してスキャンするようにプロンプトで指示される。モバイルデバイス内のペアリングエージェントは、コンピュータ認証データを読み取り、そこからコンピュータの公開鍵を解析し得る。ペアリングエージェントはまた、スキャンされたＱＲ画像からペアリング秘密鍵を抽出してペアリング要求を検証し、コンピューティングデバイス上でユーザログインパスワードを暗号化するのに使用されるパスワード暗号鍵を生成し得る。この方法は、非対称暗号化を実行することができ、これにより、パスワード暗号鍵はモバイル側に記憶され得、ログインパスワードはコンピュータ側で暗号化バージョンとして記憶される。パスワード暗号鍵は、コンピュータの公開鍵により暗号化された形式でコンピュータ側に送られる。コンピュータは、暗号鍵を使用して、登録時にログインパスワードを暗号化することができる、又はログイン時に暗号化されたパスワードを復号することができる。

いくつかの実施形態では、データ通信システムが提供される。データ通信システムは、コンピューティングデバイスからネットワークサーバへペアリング要求を送信するように動作可能なコンピューティングデバイスを含み得、ペアリング要求は、コンピュータ認証データ及びコンピュータの公開鍵を含む。ネットワークサーバは、メモリが連結されたプロセッサを含み得、プロセッサは、ペアリング要求に応答して、モバイルデバイスをコンピューティングデバイスとペアリングするように動作可能である。モバイルデバイスは、コンピュータの公開鍵に基づいてパスワード暗号鍵を暗号化し、暗号化されたパスワード暗号鍵及びモバイル認証データをコンピューティングデバイスに転送するように動作可能な第２のプロセッサを含んでもよい。コンピューティングデバイスは、コンピュータの公開鍵を使用して暗号化されたパスワード暗号鍵を復号するように、更に動作可能であってもよい。更に、コンピューティングデバイスは、パスワード暗号鍵を使用してログインパスワードを暗号化し、この暗号化バージョンのログインパスワードを記憶すると同時に、パスワード暗号鍵を削除するように、動作可能であってもよい。

いくつかの実施形態では、有形の非一時的コンピュータ可読媒体が命令を有し、その命令は、プロセッサによって実行されると、本明細書に記載されるデータ通信方法をプロセッサに実行させる。この方法は、コンピューティングデバイスからネットワークサーバにペアリング要求を送信することを含み得、ペアリング要求は、コンピュータ認証データ及びコンピュータの公開鍵を含む。この方法は、ペアリング要求に応答した、ネットワークサーバを使用するモバイルデバイスとコンピューティングデバイスとのペアリングを更に含み得る。モバイルデバイスにおいて、この方法は、モバイルデバイスによって、コンピュータの公開鍵に基づくパスワード暗号鍵を暗号化することを含み得る。このパスワード暗号鍵は、モバイル認証データと共にコンピューティングデバイスに転送されてもよく、コンピューティングデバイスは、モバイル認証データを認証する。この方法は、検証されたデータに応答して、コンピュータの公開鍵を使用して暗号化されたパスワード暗号鍵を復号することと、パスワード暗号鍵でログインパスワードを暗号化することと、を更に含み得る。この暗号化されたログインパスワードは記憶され得、パスワード暗号鍵は削除される。

実施形態の他の態様及び利点は、例えば、記載した実施形態の原理を示す添付図面と関連して行われる以下の詳細な説明から明白になるであろう。

説明した実施形態及びその利点は、添付図面と関連して行われる以下の説明を参照して最もよく理解され得る。これらの図面は、記載された実施形態の趣旨と範囲から逸脱することなく、記載された実施形態に対して当業者によって行われる形態と詳細のいかなる変更も制限しない。

いくつかの実施形態による、ネットワークサービスを使用して、パスワードなしのログイン用にモバイルデバイスをコンピュータとセキュアにペアリングするためのデータ通信システムの斜視図である。

いくつかの実施形態による、ネットワークサービスを使用して、パスワードなしのログイン用にモバイルデバイスをコンピュータとセキュアにペアリングするためのデータ通信システムの実装例である。 いくつかの実施形態による、ネットワークサービスを使用して、パスワードなしのログイン用にモバイルデバイスをコンピュータとセキュアにペアリングするためのデータ通信システムの実装例である。

いくつかの実施形態において、ペアリング要求を受信した後に、図２Ａのモバイルデバイスのうちの１つ又は２つ以上で使用される、データ通信システムのモバイル側のグラフィカルユーザインターフェース（ＧＵＩ）例の図である。

いくつかの実施形態において、ペアリング要求を検証するために、図２Ａのウェアラブルモバイルデバイスのうちの１つ又は２つ以上で使用される、データ通信システムのモバイル側のＧＵＩ例の別の図である。

いくつかの実施形態による、パスワードなしのコンピュータログインのための通信及び／又は動作アーキテクチャを示す。

いくつかの実施形態による、ＢＬＥフロー最適化を有するパスワードなしのコンピュータログインのための通信及び／又は動作アーキテクチャを示す。

いくつかの実施形態による、データ通信システムのペアリングプロトコルを示すブロック図である。

いくつかの実施形態による、データ通信システムのための第２のペアリングプロトコルを示すブロック図である。

いくつかの実施形態による、ネットワークサービスを使用して、パスワードなしのログイン用にモバイルデバイスをコンピュータとセキュアにペアリングするための方法のフロー図である。

いくつかの実施形態による、ネットワークサービスを介したパスワードなしのログインを使用して、コンピュータにログインするための方法６６０のフロー図である。

本明細書に記載される実施形態を実装し得る、例示的なコンピューティングデバイスを示す図である。

以下の実施形態は、ネットワークサービスを使用して、パスワードなしのログイン用にモバイルデバイスをコンピュータとセキュアにペアリングするためのデータ通信システム及び方法を記載する。この実施形態は、これらの特定の詳細の一部又は全てを必要とせずに実施され得ることを、当業者は理解できる。他の事例では、よく知られているプロセス動作については、実施形態を不必要にあいまいにしないため、詳細に記載していない。

データ通信のためのシステム及び方法は、コンピューティングデバイスからネットワークサーバへペアリング要求を送信することを含み得、ペアリング要求は、コンピュータ認証データ及びコンピュータの公開鍵を含む。この方法は、ペアリング要求に応答して、ネットワークサーバを使用したモバイルデバイスとコンピューティングデバイスとのペアリングを更に含み得る。例えば、デバイスのペアリング時に、コンピューティングデバイスは、ペアリング秘密鍵及び関連するＱＲ画像を生成し得、ユーザは、モバイルデバイスを使用してスキャンするようにプロンプトで指示される。モバイルデバイス内のペアリングエージェントは、コンピュータ認証データを読み取り、そこからコンピュータの公開鍵を解析し得る。ペアリングエージェントはまた、スキャンされたＱＲ画像からペアリング秘密鍵を抽出してペアリング要求を検証し、コンピューティングデバイス上でユーザログインパスワードを暗号化するのに使用されるパスワード暗号鍵を生成し得る。この方法は、非対称暗号化を実行することができ、これにより、ログインパスワード（又はパスワード暗号鍵）はモバイル側に記憶され得、ログインパスワードはコンピュータ側で暗号化バージョンとして記憶される。それにより、コンピュータのみがコンピュータの公開鍵を有するため、コンピュータのみがパスワードを復号することができる。

データ通信のためのこのシステム及び方法は、クラウドコンピューティングサービスがいずれのクライアントにもなりすますことのできないように、エンドツーエンドのセキュリティを保証する、ペアリングされたモバイルデバイスを介する改訂されたコンピュータログインプロトコルを含む。更に、改訂されたコンピュータログインプロトコルは、コンピューティングデバイスとモバイルデバイスとのペアリングにおけるユーザログインを保護する、企業がホストする別個のゲートウェイユーティリティの必要性を排除し、それにより、コンピュータデバイスからクラウドコンピューティングサービスに送信されるコンピュータ認証クレデンシャルの必要性も排除する。むしろ、データ通信のためのこのシステム及び方法の認証スキームは、コンピュータ側で表示され、モバイル側に入力又はスキャンされるペアリングＰＩＮの使用を実行し、この機構を有効にする。例えば、一実施形態では、ペアリングＰＩＮは、ランダムに生成された６〜１０桁の数字列とすることができる。更に、長い秘密、又はＱＲ画像に直接埋め込まれたコンピュータの公開鍵を使用して、この機構を有効にすることができる。ローカル認証及びペアリングのためのＱＲ画像のスキャンは、より良い使用可能性、より強いセキュリティ、及びユーザフレンドリーなアプリケーションを促進する。

データ通信のためのこのシステム及び方法は、特定のクレデンシャルプロバイダに限定されない、クラウドサービスのような、ネットワークサービスを介した任意の２つのクライアントコンポーネント間の信頼及び秘密の交換を確立するプロトコルを定義する。データ通信のためのこのシステム及び方法は、公開鍵のようなデータオブジェクトを使用するばかりでなく、デバイス間の信頼を確立する。このような基本交換は、送信元の認証が欠落することにより、「介入者」攻撃を受ける場合がある。特に、データ通信システムは、クラウドサービスを使用して、コンピューティングデバイスとモバイルデバイスとのペアリングを支援し得る。コンピューティングデバイスとモバイルデバイスとの間で交換されたデータは、排他的に既知であり、ネットワークサーバではなく、これらのデバイス上に記憶され得る。それにより、コンピュータのセキュリティを高めるために、ネットワークサーバは、デバイスのペアリングに参加しても、メッセージを暗号化し、暗号化されたパスワード鍵を復号することも、交換されたデータを検出することもできない。このため、第三者が、ネットワークサーバ、又は２つのデバイスのうちのいずれかの役割及び権限を装うことができる、「介入者」攻撃が防御される。実施形態は、権限なくデバイスをコンピュータとペアリングすること又はコンピュータをモバイルデバイスとペアリングすることを防止する。具体的には、ペアリング段階で、ネットワークサービスは、ペアリング要求に応答して、コンピューティングデバイスをモバイルデバイスとペアリングする際の連絡役として機能し得る。

いくつかの実施形態では、コンピューティングデバイス及びモバイルデバイスが、近位範囲内にあり、Ｂｌｕｅｔｏｏｔｈ Ｌｏｗ Ｅｎｅｒｇｙ（ＢＬＥ）などの近位検出プロトコルを使用して直接接続する能力を有する場合、本システム及び方法は、登録及び中央管理の目的でネットワークサーバを使用する。この実施形態では、ネットワークサーバは、デバイスをペアリングするための媒介としては機能しない。むしろ、ネットワークサーバは、コンピュータ及びモバイルデバイスの両方を、サービス消費の追跡及び監視などの管理目的で中央ネットワークサービスに登録する。これにより、例えば電話機が紛失又は盗難された場合に、サービスプロバイダのシステム管理者がペアリング機構をオフにすることができる。一方、中央ネットワークサービスは、いずれのデバイスにもなりすますことはできない。更に、ネットワークサーバは、アカウント証明書などの特別な顧客アカウントクレデンシャルを使用することなく、顧客アカウントでコンピューティングデバイスを識別し、追跡することができ得る。データ通信のためのこのシステム及び方法は、コンピューティングデバイス及びモバイルデバイスの近位検出機構を利用し得るが、近位検出機構の存在は、本明細書に開示されるデータ通信のためのシステム及び方法の正常な実装には必要とされない。これにより、本明細書に記載されるシステムは、企業展開に対応するより幅広いレガシーコンピュータに適用可能になる。

以下の説明で、多数の詳細について説明する。しかしながら、本発明はこれらの特定の詳細を伴わずに実施されてもよいことが、当業者には明白となるであろう。いくつかの例では、本発明が不明瞭になるのを回避するため、周知の構造及びデバイスについては、詳細ではなくブロック図の形態で示される。

以下の詳細な説明の一部は、コンピュータメモリ内のデータビットでの動作のアルゴリズム及び記号表現に関して与えられる。これらのアルゴリズム的記述及び表現は、データ処理分野の当業者が、他の当業者に対して仕事の内容を最も効果的に伝達するために使用する手段である。アルゴリズムは、本明細書では、また一般に、所望の結果に結び付く工程の首尾一貫したシーケンスとして想到される。工程は、物理量の物理的操作を要するものである。必須ではないものの、通常、これらの量は、記憶し、転送し、組み合わせ、比較し、また別の形で操作することができる、電気信号又は磁気信号の形態を採る。これらの信号をビット、値、要素、記号、文字、用語、数値などと称することが、主に一般的な用法の理由から時には好都合であることが判明している。

しかしながら、これら及び同様の用語の全てが、適切な物理量と関連付けられるものであり、これらの量に適用される好都合なラベルに過ぎないことに留意すべきある。以下の考察から明白であるように、別の形で具体的に提示されない限り、明細書全体を通して、「提供する」、「生成する」、「インストールする」、「モニタリングする」、「実施する」、「受信する」、「ログに記録する」、「妨害する」などの用語を利用した考察は、コンピュータシステムのレジスタ及びメモリ内の物理（電子）量として表されるデータを操作し、コンピュータシステムのメモリ若しくはレジスタ、又は他のかかる情報の記憶、伝達、若しくは表示デバイス内の物理量として同様に表される、他のデータへと変換する、コンピュータシステム又は類似の電子コンピューティングデバイスのアクション及びプロセスを指すことを理解されたい。

本発明はまた、本明細書の動作を行うための装置に関する。この装置は、要求される目的に合わせて特別に構築されてもよく、又はコンピュータに記憶されたコンピュータプログラムによって選択的に活性化若しくは再構成される汎用コンピュータを備えてもよい。かかるコンピュータプログラムは、フロッピーディスク、光ディスク、ＣＤ−ＲＯＭ、及び光磁気ディスクを含む任意の種類のディスク、読み取り専用メモリ（ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）、ＥＰＲＯＭ、ＥＥＰＲＯＭ、磁気若しくは光カード、又は電子命令を記憶するのに好適な任意の種類の媒体などが挙げられるが、これらに限定されない、コンピュータ可読記憶媒体に記憶されてもよく、それぞれがコンピュータシステムバスに接続される。

本明細書における「一実施形態」又は「ある実施形態」に対する言及は、実施形態と関連して記載される特定の特徴、構造、又は特性が、本発明の少なくとも１つの実施形態に含まれることを意味する。本明細書の様々な位置にある「一実施形態では」という句は、必ずしも同じ実施形態を指さない。図面の説明全体を通して、同様の参照番号は、同様の要素を意味する。

図１を参照すると、ネットワークサービスを使用して、パスワードなしのログイン用にモバイルデバイスをコンピューティングデバイスとセキュアにペアリングするためのシステム及び方法の例示的な実施形態が示されている。本システムは、ネットワークサービスコンピューティング環境１５０内の少なくとも１つのクライアントコンピューティングデバイス１１０と、少なくとも１つのモバイルデバイス１２０と、少なくとも１つのネットワークサーバ１４０と、を含む。コンピューティングデバイス１１０及びモバイルデバイス１２０は共に、ネットワークサーバ１４０に連結し得る。コンピューティングデバイス１１０、ネットワークサーバ１４０、及びモバイルデバイス１２０は、同じＬＡＮ上に存在してもよく、又はインターネットを介して連結されるが、ファイアウォール、ルータ、及び／若しくは他のネットワークデバイスによって分離され得る、異なるＬＡＮ上に存在してもよい。一実施形態では、コンピューティングデバイス１１０は、モバイル通信ネットワークを介してネットワーク１５０に連結し得る。同様に、モバイルデバイス１２０は、モバイル通信ネットワークを介してネットワーク１５０に連結し得る。別の実施形態では、コンピューティングデバイス１１０、ネットワークサーバ１４０、及びモバイルデバイス１２０は、異なるネットワーク上に存在してもよい。

それぞれのコンピューティングデバイス１１０は、クライアントペアリングエージェント１１２と、メモリ１１４と、プロセッサ１１６と、を含み得る。図示されていないが、それぞれのコンピューティングデバイス１１０は、コンピューティングデバイスとモバイルデバイスとのペアリング段階で、コンピューティングデバイスに関連付けられたＱＲ画像又はＰＩＮを表示するためのモニタを含み得る。例えば、ローカル認証プロセスは、ＱＲ画像に直接埋め込まれたペアリングＰＩＮ、長い秘密、及び／又はコンピュータの公開鍵の使用を介して実施され得る。コンピューティングデバイス１１０の例としては、限定するものではないが、パーソナルコンピュータ、ラップトップ、ＰＤＡ、携帯電話、ネットワーク機器などが挙げられる。クライアントペアリングエージェント１１０は、ユーザによって開始されるコンピュータ認証データ及びコンピュータの公開鍵を含む、ペアリング要求を生成するように機能し得る（以下に、ネットワークサーバを使用してペアリングする方法を参照しながら更なる詳細を論じる）。クライアントペアリングエージェント１１０はまた、ネットワークサーバ１４０を介してこれらの要求をモバイルデバイス１２０に間接的に通信するようにも機能し得る。モバイル通知サービスを介したプロンプトを表示するときに、クライアントペアリングエージェント１１０は、ペアリング段階でコンピューティングデバイス１１０に関連付けられたＱＲ画像又はＰＩＮの表示を開始し得る。更に、クライアントペアリングエージェント１１０は、メモリ１１４及びプロセッサ１１６と連結して、ペアリング要求に応答して送信される、モバイルデバイス１２０によって生成されたパスワード暗号鍵を復号し得る（後述のペアリングの方法に、更なる詳細が提供される）。クライアントペアリングエージェント１００は、ＱＲコード（登録商標、以下同じ）への代替チャネルを使用して、ペアリングＰＩＮを近位にあるモバイルデバイスに送信することができ、例えば、ＢＬＥの使用は、コンピューティングデバイスがかかる機能を有する場合の１つの選択肢となる。

いくつかの実施形態では、モバイルデバイス１２０は、モバイルペアリングエージェント１２２と、メモリ１２４と、プロセッサ１２６と、を含んでもよい。モバイルペアリングエージェント１２２は、ネットワークサーバ１４０を介して、コンピューティングデバイス１１０とのペアリング承認を間接的に通信するように機能し得る。モバイルペアリングエージェント１２２は、モバイルデバイスとのペアリングを要求するコンピュータの公開鍵に基づいて、パスワード暗号鍵を生成し、暗号化し得る。いくつかの実施形態では、エージェント１２２はまた、ＱＲコードをスキャンするか、又はクライアントペアリングエージェント１１２が送信したＢＬＥメッセージを受信することができる。図示されていないが、様々な実施形態では、モバイルデバイス１２０は、ネットワーク機器、携帯電話、スマートフォン、ページャ、無線周波数（ＲＦ）デバイス、赤外線（ＩＲ）デバイス、携帯情報端末（ＰＤＡ）、セットトップボックス、カメラ、これらのデバイスのうちの少なくとも２つを組み合わせた集積デバイスなどであってもよい。

一実施形態では、ネットワークサーバ１４０は、ペアリングモジュール１４２、メモリ１４４、及びプロセッサ１４６を含んでもよい。一実施形態では、データ通信システム１００は、クラウドサービスを使用して、コンピューティング１１０とモバイルデバイス１２０とのペアリングを支援し得る。コンピューティングデバイスとモバイルデバイスとの間で交換されたデータは、排他的に既知であり、ネットワークサーバ１４０ではなく、デバイス（１１０、１２０）上に記憶され得る。それにより、ネットワークサーバ１４０は、デバイス（１１０、１２０）のペアリングに参加しても、暗号化されたパスワード鍵を復号することも、交換されたデータを検出することもできない。具体的には、ペアリングの段階で、ペアリングモジュール１４２は、ペアリング要求に応答して、コンピューティングデバイス１１０をモバイルデバイス１２０とペアリングする際の連絡役として機能し得る。例えば、コンピューティングデバイス１１０がペアリング要求を送信すると、ペアリングモジュール１４２は、ペアリング要求が開始されたことを示すモバイルプッシュ通知をモバイルデバイス１２０に送信し、モバイルデバイス１２０でユーザからの応答を求め得る。ペアリングモジュール１４２はまた、モバイルペアリングエージェントがインストールされるときに、モバイルデバイス１２０を登録してもよく、それによって、ネットワークサーバ１４０は、ペアリング要求を完了させる前に、モバイルデバイスが登録されているか否かを検出し得る。つまり、いくつかの実施形態では、モバイルデバイス１２０の登録がない場合、ペアリングモジュール１４２は、コンピューティングデバイス１１０によって送信されるペアリング要求を拒否し得る。登録がある場合、ネットワークサービスは、モバイルデバイス１２０との接触を開始して、クレデンシャル識別子、ユーザ識別子、及びワンタイムパスワード又は所有証明の署名などといった既存のモバイルクレデンシャルを使用して、モバイルデバイスから送られるデータを検査することができ得る。このように、ペアリングモジュール１４２は、ペアリングサービスの使用を追跡できるようになる。更に、ペアリングモジュール１４２は、ペアリングモジュール１４２が、エンティティプロバイダによる検証に基づいてペアリング要求を認証し、その使用を追跡することができるように、Ｅｎｔｅｒｐｒｉｓｅ（登録商標）サービスの使用権利付与に対して検出されたＥｎｔｅｒｐｒｉｓｅ（登録商標）エンティティプロバイダからの応答を求め得る。代替方法では、ペアリングモジュール１４２は、ＳＭＳ、音声通話などを使用して、モバイルデバイスからの応答を求めてもよい。この実施形態では、ユーザは、コンピューティングデバイスのモニタに表示されるＰＩＮを入力することを選択してよく、そのモニタに表示されるＱＲ画像をスキャンしてもよい。別の実施形態では、コンピューティングデバイス１１０は、ペアリング秘密鍵を生成し、その鍵をＱＲ画像と関連付けて、コンピューティングデバイス１１０に関連付けられたモニタに表示してもよい。更に別の実施形態では、コンピューティングデバイス１１０がＢＬＥ機能を有する場合、コンピューティングデバイスは、ＢＬＥを使用して、ペアリング秘密鍵をＢＬＥ経由でモバイルデバイスにサイレントモードで送信してもよい。

ネットワークサービスコンピューティング環境１５０は、例えば、サーバコンピュータ１４０、又はコンピューティング機能を提供する任意の他のシステムを含んでもよい。あるいは、ネットワークサービスコンピューティング環境１５０は、例えば、１つ若しくは２つ以上のサーババンク又はコンピュータバンク又は他の構成に配置された複数のコンピューティングデバイスを使用してもよい。このようなコンピューティングデバイスは、単一の設置内に位置してもよく、多数の異なる地理的位置の間で分散されてもよい。例えば、ネットワークサービスコンピューティング環境１５０は、クラウドコンピューティングリソース、グリッドコンピューティングリソース、及び／又は任意の他の分散コンピューティング構成を一緒に含み得る、複数のコンピューティングデバイスを含んでもよい。場合によっては、ネットワークサービスコンピューティング環境１５０は、処理、ネットワーク、ストレージ、又は他のコンピューティング関連リソースの割り当てられた容量が時間と共に変化し得る、弾性コンピューティングリソースに対応し得る。

一実施形態では、モバイルデバイス１２０とコンピューティングデバイス１１０とがペアリングされた後、ペアリングモジュール１４２は、モバイルデバイス１２０へのモバイルプッシュ通知をアサートすることにより、パスワードなしのログイン要求に応答することも支援し得る。このパスワードなしのログイン時に、モバイルペアリングエージェント１２２は、要求側のコンピューティングデバイス１１０からコンピュータの公開鍵を抽出し、それに応答して、モバイルデバイスとコンピューティングデバイスとの間にペアリングが存在するか否かを検出し得る。モバイルペアリングエージェントは更に、パスワード暗号鍵を暗号化してクライアントコンピューティングデバイス１１０に送信し得、クライアントコンピュータデバイス１１０は、そのパスワード暗号鍵を復号することができる。このパスワード暗号鍵は、ユーザログインパスワードを暗号化及び復号するために使用され得る。パスワードなしのログイン時に、クライアントペアリングエージェントは、モバイルデバイス１２０とコンピューティングデバイス１１０とのペアリング段階で以前に記憶された、暗号化されたユーザログインパスワードを復号することが可能になり得る。

図２Ａ−１及び図２Ａ−２は、いくつかの実施形態により、ネットワークサービスを使用して、パスワードなしのログイン用にモバイルデバイスとコンピュータとをセキュアにペアリングするためのデータ通信システムの実装例である。図２Ａ−１に示すように、ＱＲ画像は、ペアリング要求に応答して、コンピューティングデバイスモニタに表示される。モバイルデバイスがＱＲ画像をスキャンした後、ユーザは、ペアリング後にペアリングプロトコル及びログインプロトコルに従って（図４〜図６Ａを参照しながら詳細を後述）、コンピューティングデバイスにログインされる。図２Ａ−２では、以下に更に記載されるように、ＰＩＮ（個人識別番号）が、コンピュータによって表示され、ユーザによって相互認証データの検証用にモバイルデバイスに入力され得る。図２Ｂは、いくつかの実施形態において、ペアリング要求を受信した後、図１、図２Ａ−１、及び図２Ａ−２のモバイルデバイス１２０のうちの１つ又は２つ以上に使用される、データ通信システムのモバイル側のグラフィカルユーザインターフェース（ＧＵＩ）例の図を示している。クラウドサービス１５０は、コンピューティングデバイスの通知、関連するユーザクレデンシャル（電子メールアドレスなど）、及びクレデンシャル識別子を含む、示されているような（図２Ｂ）モバイルデバイス１２０ａへのモバイルプッシュ通知をアサートし得る。モバイルデバイス１２０ａのユーザは、図示のように、ボタンを選択することによって、ペアリング要求を承認又は拒否するか否かを選択することができる。図２Ｃは、いくつかの実施形態において、ペアリング要求を検証するために、図２Ａのウェアラブルモバイルデバイス１２０ｂのうちの１つ又は２つ以上に使用される、データ通信システムのモバイル側のＧＵＩ例を示す別の図である。腕時計であるモバイルデバイス１２０ｂを着用したユーザは、タッチ感応型ユーザ画面にタッチすることによりペアリング要求を確認することができる。例えば、１本の指で上にスワイプすることで承認を表すことができ、１本の指で下にスワイプすることで拒否を表すことができる。モバイルデバイス１２０は、モバイルプッシュ通知に応答してなされる様々なハンドジェスチャを感知するように構成され得、これには、ジェスチャをする指の数、及びスワイプの方向、タップ、又は指によって作られる形状を検出することが含まれる。

図３Ａは、いくつかの実施形態により、パスワードなしのコンピュータログインのための通信及び／又は動作アーキテクチャを示している。図示のように、コンピューティングデバイス１１０は、プッシュサービス機構を有するネットワークサーバ１４０によって実行されるクラウドサービスを介して、モバイルデバイス１２０とペアリングされる。プッシュサービスは、クラウドサービスの外部であっても、ネットワークサーバ１４０の内部に位置していてもよい。第１のアクションとして、モバイルデバイスとコンピューティングデバイスとのペアリングは、ＢＬＥなどの近位検出サービスを介して、又はクラウド支援サービスを介して間接的に、行われ得る。第２に、コンピューティングデバイスは、公開鍵、及び任意追加的に、例えば、あるエンティティが別のエンティティに関して行う主張のセットであり、ユーザに関するステートメントを伝送する、セキュリティアサーションマークアップランゲージ（ＳＡＭＬ）などの企業トークンを送信し得る。更に、図示のように、クラウドサービス支援のペアリングが行われ得、公開鍵及びトークンを使用してペアリング要求が検証され、モバイルプッシュサービスを介してモバイルデバイスにプロンプトが表示される。次に、コンピュータデバイスは、ＱＲ画像に直接埋め込まれたＰＩＮ、長い秘密、及び／又はコンピュータの公開鍵を表示し得る。これに応答して、モバイルデバイスのユーザは、ＰＩＮ及び／又は長い秘密を入力することができる。代替方法では、モバイルデバイスのユーザは、ＱＲ画像をスキャンするように選択することができる。別の代替方法では、コンピュータが生成する長い秘密は表示されず、２つのデバイスの間にかかる機能が存在する場合には、ごく近接するＢＬＥペアデバイスにサイレントモードで送信される。更に、モバイルデバイスは、モバイル公開鍵（Ｍ＿ｐｕｂ）及びパスワード暗号鍵を生成し得る。モバイルデバイスは、パスワード暗号鍵を暗号化し、ワンタイムパスワード（ＯＴＰ）トークン証明、及び２つのデバイス間でローカルに送信されたペアリングＰＩＮ又は秘密から生成される認証データと共に、ネットワークサーバ１４０によって実行されるクラウドサービスにこの暗号化された鍵を送信し得る。最後に、コンピューティングデバイスは、モバイルデバイスの公開鍵と共に、ラップされた（暗号化された）パスワード暗号鍵を取得し得る。図示のように、モバイルデバイス鍵ペア（Ｍ＿ＫＰ）及びパスワード暗号鍵は、モバイルデバイスに記憶されたままであり、コンピュータ交換鍵ペア（Ｃ＿ＫＰ）及び暗号化されたパスワードはコンピューティングデバイスに記憶されたままである。これにより、鍵ペアは、セキュアなエンドツーエンドのデータ交換のために使用され得る。それぞれの側で、初期プロビジョニング交換後に、他方の側の公開鍵が保持される。一方の側で、将来的に他方の側にデータを送信する必要がある場合には、他方の側の公開鍵を使用してデータを暗号化することになる。このようにして、意図されたターゲット側のみが受信したデータを復号することができる。したがって、モバイル鍵ペア（Ｍ＿ＫＰ）及びコンピュータ鍵ペア（Ｃ＿ＫＰ）は、将来のセキュアなデータ交換のために使用され得る。例えば、交換鍵ペアは、いくつかの実施形態において、将来の課金及び管理目的に使用され得る。

図３Ｂは、いくつかの実施形態による、ＢＬＥフロー最適化を有する、パスワードなしのコンピュータログインのための通信及び／又は動作アーキテクチャを示している。いくつかの実施形態では、コンピューティングデバイス１１０及びモバイルデバイス１２０が、ＢＬＥなどの近位検出を有する場合、データ通信のためのシステム及び方法は、デバイスとセキュリティユーティリティとのペアリングを強化するために使用され得る。第１のアクションとして、モバイルデバイスとコンピューティングデバイスとのペアリングは、ＢＬＥなどの近位検出サービスを介して行われ得る。第２に、コンピューティングデバイスは、公開鍵、及び例えば、あるエンティティが別のエンティティに関して行う主張のセットであり、ステートメントを伝送する、セキュリティアサーションマークアップランゲージ（ＳＡＭＬ）などの企業トークンを送信し得る。更に、コンピュータデバイスは、ＰＩＮを任意追加的に表示すると同時に、ＢＬＥを介してＰＩＮを目視確認のためにモバイルデバイス１２０にサイレントモードで送信し得る。これに応答して、モバイルデバイスのユーザは、目視による一致検査で任意追加的にＰＩＮを承認し、モバイル交換鍵ペア（Ｍ＿ＫＰ）とコンピュータ交換鍵ペア（Ｃ＿ＫＰ）との間での鍵交換を開始することができる。モバイルデバイスは、コンピュータの公開鍵を用いてパスワード暗号鍵（ラップされた鍵）を暗号化し、この暗号化された鍵を、以前にサービスに登録されたモバイルクレデンシャル及びＰＩＮで生成された認証データから、任意追加的にワンタイムパスワード（ＯＴＰ）を伴って、クラウドサービスに送信し得る。これに応答して、クラウドサービスは、サービス消費の監視と共にそれぞれのモバイルデバイス及びコンピューティングデバイスの追跡が行われる、ペアリング及びアカウント管理に対する支援を実行し得る。最後に、コンピューティングデバイスは、モバイル認証データ並びにモバイルデバイスの公開鍵と共に、ラップされた（暗号化された）パスワード暗号鍵を取得し得る。

図４は、いくつかの実施形態による、データ通信システムのためのペアリングプロトコルを示すブロック図である。データ通信システム１００は、図１に示すように、コンピューティングデバイス１１０内（メモリ１１４内）に記憶され、プロセッサ１１６によって実行されるペアリングコンピュータアプリケーション（Ｃ＿ＰＡ）を含んでもよい。更に、システム１００は、図１に示すように、モバイルデバイス１２０内（メモリ１２４内）に記憶され、プロセッサ１２６によって実行されるペアリングモバイルアプリケーション（Ｍ＿ＰＡ）を含んでもよい。モバイルデバイス１２０は、ペアリング通信及び／又はＱＲ読み取り機能のためのデバイスを含み得る。システム１００は更に、モバイルデバイスとコンピュータとの間の通信を容易にするクラウドサービスと、クラウドサービスに代わってユーザのモバイルデバイスに通知を送信するモバイルプッシュサービスと、を更に含んでもよい。

セキュアペアリング及びパスワード交換フローは、コンピューティングデバイス１１０を使用してペアリング鍵及びデータ交換鍵を生成することを含み得る。例えば、コンピュータペアリングアプリケーションＣ＿ＰＡは、ローカルの１回使用のペアリング秘密（Ｃ＿ＬＰＳ）と持続データ交換鍵ペアＣ＿ＫＰと、を生成し得る。ペアリング秘密Ｃ＿ＬＰＳは、ペアリング要求の開始時にＱＲコードとしてコンピューティングデバイスの画面に表示され得る（図示のように、プロトコルのステップ１）。任意追加的に、モバイルキーボードに適したＰＩＮである明示的な秘密値が、コンピューティングデバイスによって表示されてもよい。ＱＲ画像はまた、ユーザ名などのユーザ情報を含んでもよい。また、ＱＲ画像は、Ｃ＿ＰＡの公開鍵値を含んでもよいが、これにより、密になりすぎて認識できなくなる場合がある。したがって、ＱＲ画像の好ましいレンダリングは、ＱＲに適した短いペアリング鍵のものである。

第２に、コンピューティングデバイス１１０は、ペアリングを要求し得る。例えば、ペアリングコンピュータアプリケーション（Ｃ＿ＰＡ）は、クラウドサービスにペアリング要求を送信し、モバイルプッシュを使用して、ユーザが登録したモバイルデバイスを通知するようにクラウドサービスに指示し得る。一実施形態では、要求は、そのプライベート鍵の所有権証明（proof of possession）（ＰＯＰ）だけではなく、クライアントの公開鍵（Ｃ＿Ｐｕｂ）に関してペアリング秘密から導出されるコンピュータ認証データ（Ｃ＿ＡｕｔｈＤａｔａ）も含み得る（図示のように、プロトコルのステップ２）。例えば、コンピューティングデバイスは、コンピュータ認証データを生成するために、メッセージ認証のための鍵付きハッシング（keyed−hash messaging authentication code）（ＨＭＡＣ）などのハッシングアルゴリズム関数を使用し得る。
Ｃ＿ＡｕｔｈＤａｔａ＝ＨＭＡＣ（ＫＤＦ（Ｃ＿ＬＰＳ），ＣｏｎｔｅｘｔＤａｔａ｜Ｃ＿Ｐｕｂ） ［１］
ＣｏｎｔｅｘｔＤａｔａ＝Ｕｓｅｒｎａｍｅ｜Ｃ＿ＫｅｙＩＤ ［２］
ここで、ＫＤＦは、擬似ランダム関数を用いてマスタ鍵、パスワード、パスフレーズなどの秘密値から１つ又は２つ以上の秘密鍵を導出する鍵導出関数である。一実施形態では、秘密鍵は、Ｃ＿ＬＰＳから導出され得る。コンテキストデータ（ＣｏｎｔｅｘｔＤａｔａ）は、ユーザ名又はコンピュータ鍵識別子（Ｃ＿ＫｅｙＩＤ）であってもよい。このフォーマットを使用して、データの受信側（ネットワークサーバ又はモバイルデバイスか否か）は、そのデータが元のソースからのものであるかどうかを検査することができ、それによって、「介入者」が実行したあらゆる変更が検出され得る。

任意追加的に、この要求はまた、Ｅｎｔｅｒｐｒｉｓｅ（登録商標）関連付け機構を含んでもよい。一実施形態では、この要求は、コンピューティングデバイスのＥｎｔｅｒｐｒｉｓｅ（登録商標）サービスの使用権利付与の証明をクラウドサービスに提供する、Ｅｎｔｅｒｐｒｉｓｅ（登録商標）関連付けデータを含んでもよい。Ｅｎｔｅｒｐｒｉｓｅ（登録商標）環境に対する委任されたアイデンティティプロバイダは、このプロセス時にコンピューティングデバイス及び関連するユーザを、そのログインユーザ名及びパスワード又は他の認証方法を使用して検証することができる。検査されたユーザに応答して、委任されたアイデンティティプロバイダは、認証されたユーザの証明として、その認可アサーション（例えば、ＳＡＭＬ）をクラウドサービスに送信することができる。

次に、クラウドペアリングサービスは、モバイルデバイス登録を検査し、検証された登録に応答して、モバイルアプリケーションの実行をトリガし得る。一実施形態では、クラウドサービスは、登録されたモバイルデバイスのデータベースの中から、ペアリングするように要求されたモバイルデバイスを検索し得る（図示のように、プロトコルのステップ３）。一致が発生すると、クラウドペアリングサービスは、モバイルプッシュ通知をトランザクションＩＤと共にユーザモバイルデバイスに送信する、プッシュサービスのアクションを開始し得る（図示のように、プロトコルのステップ４）。いくつかの実施形態では、元のペアリング要求メッセージは、ファイルサイズ要件及びプライバシーの考慮により、プッシュ通知内に含むことはできない。

更に、モバイルペアリングセキュリティの処理が行われる。ユーザは、任意追加的に、ＱＲ機能が制限される場合の予備として、コンピューティングデバイスのモニタに表示される明示的なＰＩＮを入力するか、ＱＲ画像をスキャンすることができる。ユーザがピンの入力を選択した場合、ペアリングモバイルアプリケーション（Ｍ＿ＰＡ）は、クラウドペアリングサービス上に位置する初期ペアリング要求のペイロードからコンピュータ認証データを読み取ることができる（図示のように、プロトコルのステップ５及び６）。代替方法では、ユーザは、コンピューティングデバイスのモニタに表示されるＱＲコード画像をスキャンし、読み取るように、ペアリングモバイルアプリケーション（Ｍ＿ＰＡ）によってプロンプトで指示されてもよい（図示のように、プロトコルのステップ６）。その他、ＢＬＥ機能が使用可能である場合には、モバイルデバイスは、ＱＲスキャンを使用せずに、ＢＬＥチャネルを介してペアリング秘密（Ｃ＿ＬＰＳ）をサイレントモードで受信し得る。モバイルアプリケーションは、ペアリング要求を検証し、コンピューティングデバイスの公開鍵（Ｃ＿Ｐｕｂ）を記憶する。

ＰＩＮの入力又はＱＲ画像のスキャン又はＢＬＥベースのＣ＿ＬＰＳ取得後に、モバイルパスワード暗号鍵交換が行われ得る。一実施形態では、ペアリングモバイルアプリケーション（Ｍ＿ＰＡ）は、それ自体のデータ交換鍵ペア（Ｍ＿ＫＰ）及びパスワード暗号鍵Ｋ＿ＰＷＤを生成してもよい。アプリケーション（Ｍ＿ＰＡ）は、要求側のコンピュータの公開鍵Ｃ＿Ｐｕｂをその認証データと共に使用して、パスワード暗号鍵Ｋ＿ＰＷＤを暗号化してもよい。更に、この暗号化された鍵Ｋ＿ＰＷＤ（又はＫ＿ｅｎｃ）は、モバイルアプリケーション（Ｍ＿ＰＡ）をクラウドペアリングサービスにペアリングすることによって送信されてもよい（図示のように、プロトコルのステップ７）。いくつかの実施形態では、モバイルアプリケーションは、コンピュータ認証データを生成するために使用されるものと同様に、近位でローカルに受信されたＣ＿ＬＰＳと共にハッシングアルゴリズム関数（ＨＭＡＣ）を使用して、導出された所有権証明（ＰＯＰ）及びモバイル認証データを送信し得る。このデータ交換はまた、モバイル公開鍵（Ｍ＿ｐｕｂ）と、ペアリングされたモバイルデバイス鍵識別子（Ｍ＿ＫＩＤ）と、を含み得る。例えば、ペアリングモバイルアプリケーション（Ｍ＿ＰＡ）は、ＨＭＡＣアルゴリズムを使用して、モバイル認証データを生成し得る。
ＣｉｐｈｅｒＤａｔａ＝暗号化（Ｋ＿ＰＷＤ、Ｃ＿Ｐｕｂ） ［３］
Ｍ＿ＰＯＰ＝署名付き（ＣｉｐｈｅｒＤａｔａ、Ｍ＿Ｐｒｉｖ） ［４］
Ｍ＿ＡｕｔｈＤａｔａ＝ＨＭＡＣ（ＫＤＦ（Ｃ＿ＬＰＳ）、Ｍ＿ＫＩＤ｜ユーザ名｜ＣｉｐｈｅｒＤａｔａ｜ＰＯＰ）［５］
ここで、解読データ（ＣｉｐｈｅｒＤａｔａ）は、要求側のコンピュータの公開鍵Ｃ＿Ｐｕｂに基づくパスワード暗号鍵Ｋ＿ＰＷＤの暗号化バージョンである。解読データ（ＣｉｐｈｅｒＤａｔａ）及びモバイルのプライベート鍵（Ｍ＿Ｐｒｉｖ）の署名付き関数を使用して、所有権証明（Ｍ＿ＰＯＰ）が生成されてもよい。更に、モバイル認証データ（Ｍ＿ＡｕｔｈＤａｔａ）は、秘密鍵、ペアリングされたモバイルデバイスの鍵識別子（Ｍ＿ＫＩＤ）、ユーザ名、解読データ（ＣｉｐｈｅｒＤａｔａ）、及び所有権証明（Ｍ＿ＰＯＰ）をハッシュ化する、鍵付きハッシュ関数、ＨＭＡＣを使用して生成されてもよい。上記と同様に、秘密鍵は、コンピュータデバイスに知られているＣ＿ＬＰＳを使用した鍵導出関数から導出されてもよい。

コンピュータデバイスとモバイルデバイスとのペアリングが完了すると、クラウドペアリングサービスは、それぞれのペアリング変数の多くを記憶すると共にデバイスを登録し得る（図示のように、プロトコルのステップ８）。この時点で、コンピューティングデバイスは、モバイルデバイスに関連する、クラウドサービスから受信した応答データを検証し得る（図示のように、プロトコルのステップ１０）。例えば、モバイルデバイスは、コンピュータのプライベートペアリング秘密、Ｃ＿ＬＰＳを使用して検証され得る。ここで、ペアリングコンピュータアプリケーション（Ｃ＿ＰＡ）は、データがペアリング秘密に基づいた認証データと共にモバイルデバイスから送信されることを検証し得る。このとき、コンピューティングデバイスは、ペアリングされたモバイルデバイスの鍵識別子（Ｍ＿ＫＩＤ）、モバイルの公開鍵（Ｍ＿Ｐｕｂ）を記憶し、パスワード暗号鍵（Ｋ＿ＰＷＤ）を使用してそのコンピュータログインパスワードを暗号化し得る。ペアリングコンピュータアプリケーション（Ｃ＿ＰＡ）は、暗号化パスワードを記憶し、暗号化後に暗号鍵を破棄し得る。更に、ペアリング及び登録は、コンピューティングデバイスとクラウドサービスとの間で確認され得る（図示のように、プロトコルのステップ１１及び１２）。

コンピュータデバイスとモバイルデバイスとのペアリング後、パスワードなしのコンピュータログインは、パスワード暗号鍵の検索のためにモバイルデバイスへのモバイルプッシュを実行するよう、コンピュータアプリケーション（Ｃ＿ＰＡ）からクラウドサービスへの要求を含み得る。この要求は、コンピュータのデータ交換鍵識別子と、そのプライベート鍵の所有権証明（ＰＯＰ）と、を含み得る。これに応答して、モバイルアプリケーション（Ｍ＿ＰＡ）は、ログイン要求を承認するためのユーザ承認を求め得る。要求側が以前にモバイルデバイスとペアリングされたことを検証した後、モバイルアプリケーション（Ｍ＿ＰＡ）はまた、要求側の公開鍵（Ｃ＿Ｐｕｂ）を使用して暗号化された形式でパスワード暗号鍵（Ｋ＿ＰＷＤ）を送信し得る。以前にペアリングされたコンピューティングデバイスは、暗号化されたパスワード暗号鍵（Ｋ＿ＰＷＤ）を復号し、ユーザのパスワードを取得し、標準ログインユーティリティを使用してそのアカウントにログインできるようになる。

いくつかの実施形態では、コンピューティングデバイスアプリケーションＣ＿ＰＡが、ペアリング要求メッセージをクラウドペアリングサービスに送信するときに、認証クレデンシャルが使用される必要はない。これはまた、ネットワークサービスに対する匿名要求であってもよい。

一実施形態では、ＱＲ画像を使用して、ネットワークサービスを介することなく、コンピュータの公開鍵（Ｃ＿ｐｕｂ）をＭ＿ＰＡに移送することで、「介入者」シナリオを解決することができる。ＱＲ画像が使用される場合、モバイルアプリケーションＭ＿ＰＡでは、コンピューティングデバイスによって送信されるペアリング要求を取得する動作が不要になる。しかし、ＱＲデータは、密であり過ぎる場合があり、それによって、ＱＲコードのスキャンにより時間がかかり得る。

いくつかの実施形態では、ユーザが複数のモバイルデバイスを有している場合、関連する全てのプッシュ対応デバイスへのモバイルプッシュブロードキャストが実行されてもよい。プッシュブロードキャストは、いくつかの実施形態では、ペアリング要求識別子のみを含み得る。実際の要求メッセージは、プッシュブロードキャスト時に直接送信される必要はない。これにより、より大きいサイズの要求データが許容され得るが、モバイルプッシュブロードキャストは、より多くの時間量を必要とし得る。

いくつかの実施形態では、ネットワークサービスへのスパムを軽減するため、コンピュータアプリケーションＣ＿ＰＡからの要求において、ワンタイムパスワード又は他の以前に既知であったクレデンシャルをクラウドサービスと共に使用することができる。

ペアリング要求に対するモバイルデバイスの応答時に、モバイルアプリケーションＭ＿ＰＡは、ペアリング要求メッセージを取得し、応答するようにトリガされ得る。ユーザがＰＩＮを入力することを選択した場合、モバイルアプリケーションＭ＿ＰＡは、クラウドサービスを呼び出して、実際のメッセージを取得する。モバイルアプリケーションＭ＿ＰＡはまた、プッシュメッセージからの要求トランザクションＩＤを送信してもよい。更に、モバイルアプリケーションＭ＿ＰＡは、そのモバイルプッシュクレデンシャルを使用して、クラウドサービスに認証データを送信してもよい。これにより、モバイルアプリケーションＭ＿ＰＡは、クラウドサービスからペアリング要求データを受信する。ユーザがＱＲコードをスキャンすることを選択すると、モバイルアプリケーションＭ＿ＰＡは、ＱＲ画像からＣ＿ＬＰＳ、及び任意追加的にＣ＿Ｐｕｂを抽出する。

この実施例では、所定のデータのペアリング要求がＣ＿ＬＰＳに基づいて検証された後、モバイルの公開鍵Ｍ＿Ｐｕｂ、モバイルのプライベート鍵Ｍ＿Ｐｒｉｖ、及びデバイス識別子（Ｍ＿ＩＤ）を含む、モバイルデバイス側からの鍵ペアが生成され得る。モバイルペアリングアプリケーションは、ランダムデータ暗号鍵Ｍ＿ＤＫを生成し、コンピュータ識別子（Ｃ＿ＩＤ）、公開鍵（Ｃ＿Ｐｕｂ）、ユーザ識別子（ｕｓｅｒｉｄ）、デバイス識別子（Ｍ＿ＩＤ）、モバイル公開鍵（Ｍ＿Ｐｕｂ）、モバイルのプライベート鍵（Ｍ＿Ｐｒｉｖ）、データ暗号鍵（Ｍ＿ＤＫ）を記憶し得る。モバイルペアリングアプリケーションは、これに応答して、コンピューティングデバイスのポーリング用にクラウドネットワークサービスに戻すメッセージを構築し得る。特に、モバイルペアリングアプリケーションＭ＿ＰＡは、クラウドサービスにペアリング応答メッセージ（ｐａｉｒｉｎｇＲｅｓｐ）を送信し得、モバイルプッシュクレデンシャルが、クラウドサービスへの認証に使用される。

ペアリング応答（ｐａｉｒｉｎｇＲｅｓｐ）の処理時に、クラウドサービスは、モバイルクレデンシャルを使用してモバイルデバイスを認証し得る。クラウドサービスは、ペアリング識別子（Ｃ＿ＩＤ、Ｍ＿ＩＤ、ユーザ名、企業ＩＤ）を登録し、応答メッセージからのデータを記憶し得る。クラウドサービスは、メッセージ「ｐａｉｒｉｎｇＲｅｓｐ」を送信することによって、ペアリング応答を得るためのコンピューティングデバイスのポーリング要求に応答し得る。ポーリング要求は、Ｃ＿ＩＤ及びトランザクションＩＤが、クラウドサービスが記憶したものと一致した場合に受け入れられ得る。このチェックは、追加されるセキュリティには任意である。

ペアリング応答の処理時に、コンピューティングデバイスは、Ｃ＿ＬＰＳからの同一の鍵導出アルゴリズムによって導出された鍵を伴う認証データと、モバイル認証データＭ＿ＰＯＰと、を検証する。コンピューティングデバイスは、ＣｉｐｈｅｒＤａｔａを復号して、データ鍵「Ｍ＿ＤＫ」をそのプライベート鍵Ｃ＿Ｐｒｉｖと共に取得し得る。また、コンピューティングデバイスは、モバイルデバイス識別子（Ｍ＿ＩＤ）と、モバイルデバイスの公開鍵Ｍ＿Ｐｕｂと、を将来の使用のためにセキュアに記憶し得る。この時点で、２つのデバイス（コンピューティングデバイスＣ＿ＰＡ及びモバイルデバイスＭ＿ＰＡ）は、交換を行い、エンドツーエンドのセキュアなデータ交換を行うことができる信頼関係を確立している。

確立されたペアリングは、パスワードなしのコンピュータログインを補助するために使用され得る。この使用例では、コンピューティングデバイスは、パスワードを暗号化するため、暗号鍵Ｍ＿ＤＫを更に使用し得る。セキュリティ上の目的により、パスワード暗号鍵Ｍ＿ＤＫは記憶されない。

いくつかの実施形態では、コンピュータデバイスは、ペアリングを承認するための確認メッセージをクラウドサービスに及び任意追加的にモバイルデバイスに返信する。同時に、この確認は、将来の課金及び管理目的に使用されてもよく、コンピューティングデバイスは、登録された正当なデバイスとして確認される。

クラウドペアリングサービスが将来の検証通信用にコンピューティングデバイスを登録すると、ネットワークサービスは、メッセージの検証を行い、コンピュータ及びモバイルデバイスの識別子Ｃ＿ＩＤとＭ＿ＩＤとの間のペアリングをサービスデータベースに登録し得る。

図５は、企業管理者によるペアリング管理のため、企業ユーザＩＤがクラウドに登録されるいくつかの実施形態による、データ通信システムに対する第２のペアリングプロトコルを示すブロック図である。図４のプロトコルと同様に、コンピューティングデバイスＣ＿ＰＡは、ネットワークサーバ１４０が実行するクラウドサービスを使用して、モバイルデバイスＭ＿ＰＡとペアリングされ得る。図４のプロトコルと図５のプロトコルとの間の区別として、第２のペアリングプロトコルは、クラウドサービスへの企業ユーザＩＤアサーションを取得するステップを含み、それによって、クラウドサービスは、ユーザを企業管理用デバイスと結合することが可能になる。

図６Ａは、いくつかの実施形態による、ネットワークサービスを使用して、パスワードなしのログイン用にモバイルデバイスをコンピュータとセキュアにペアリングするための方法６００のフロー図である。アクション６１０において、モバイルデバイスは、クラウドペアリングサービスに登録される。また、モバイルデバイスは、Ｅｎｔｅｒｐｒｉｓｅサービスプロバイダに登録されてもよい。例えば、モバイルデバイスは、ネットワークサーバに登録されてもよく、モバイルデバイスに関連付けられたユーザ識別子及び電話番号を含む、モバイルクレデンシャルデータが生成されてもよい。後に、追加のセキュリティのための初期モバイルプッシュ通知は、モバイルのＯＴＰクレデンシャルに基づき得る。

アクション６１２では、コンピューティングデバイスは、要求をネットワークサーバに送信することによってペアリング要求を開始し得る。ペアリング要求は、コンピューティングデバイスの認証データ、コンピュータの公開鍵、及び所有権証明鍵を含み得る。コンピュータデバイスはまた、ペアリング鍵及びデータ交換鍵を生成し得る。例えば、コンピューティングデバイス内のコンピュータペアリングアプリケーションＣ＿ＰＡは、ローカルの１回使用のペアリング秘密（Ｃ＿ＬＰＳ）と、持続データ交換鍵ペアＣ＿ＫＰと、を生成し得る。データ交換鍵ペアＣ＿ＫＰは、検証の目的で将来使用されてもよい。

決定アクション６１４では、ネットワークサーバは、ペアリング要求に対応するモバイルデバイスが登録されているか否かを検査し得る。モバイルデバイスが登録されていない場合、アクション６３８に示すように、ネットワークサーバはペアリング要求を拒否することができる。モバイルデバイスが登録されている場合、アクション６１６において、コンピューティングデバイスは、コンピュータの公開鍵及び秘密ペアリング鍵（Ｃ＿ＬＰＳ）に対応するＰＩＮ又はＱＲ画像を表示し得る。コンピューティングデバイスは、ＱＲ画像の表示に先立ってそれを生成する。ＰＩＮは、あらかじめ選択された英数字コードであってもよく、ペアリング要求の開始前又はその最中に、コンピューティングデバイスによってランダムに生成されてもよい。あるいは、アクション６１６は、モバイルデバイス登録の検出に先立って行われてもよく、その場合、コンピューティングデバイスは、ペアリング要求を開始した後に、ＰＩＮ又はＱＲ画像を直接表示する。ＢＬＥ機能が使用可能である場合、コンピューティングデバイスは、ＢＬＥを使用して、ＱＲスキャンを使用せずにＢＬＥとローカルにペアリングされ得るモバイルデバイスに、Ｃ＿ＬＰＳを送信し得る。

アクション６１８では、ユーザは、モバイルデバイスにおいて、Ｃ＿ＬＰＳを取得するためにＰＩＮを入力するか、又はＱＲ画像をスキャンするようにプロンプトで指示される。いくつかの実施形態では、ネットワークサーバは、トランザクション識別子を有するモバイルプッシュ通知を開始し得、モバイルプッシュ通知はまた、コンピュータ認証データを含む。コンピュータ認証データは、コンピューティングデバイスによるペアリング要求の開始に先立って生成され得る。コンピュータ認証データは、ペアリング秘密鍵に基づき得る。更に、アクション６１９において、ネットワークサーバは、コンピュータ認証データを受信し得る。

決定アクション６２０では、モバイルデバイスアプリケーションＭ＿ＰＡは、モバイルデバイスユーザにより入力されたＰＩＮがコンピューティングデバイスからの要求を検証できるか否かの判断を行い得る。あるいは、モバイルデバイスは、スキャンされたＱＲ画像又はＢＬＥで受信されたＣ＿ＬＰＳが、ペアリング要求に提供された認証データを検証できるか否かの判断を行い得る。いずれのケースでも一致が存在しないときは、アクション６３８において、モバイルデバイスはペアリング要求を拒否し得る。図示されてないが、モバイルデバイスユーザは、正しいＰＩＮを入力するか、又はＱＲ画像を再スキャンする若しくはＣ＿ＬＰＳのＢＬＥ送信を再試行する、複数回の機会を与えられ得る。具体的には、プロセスは、アクション６１８に戻ることになる。ＰＩＮ若しくはＱＲ画像として、又はＢＬＥチャネル経由でＣ＿ＬＰＳを取得する、この反復の試行は、特定の試行回数にあらかじめ設定されてもよく、アクション６４０において、ペアリング要求は最終的に拒否され、プロセスが終了する。しかしながら、一致が生じている場合、モバイルデバイスは、コンピュータの公開鍵の抽出に移行し得る。代替方法では、（図示されていないが）モバイルデバイスは、ネットワークサーバから同じ情報を要求し得る。

アクション６２４において、モバイルデバイスは、パスワード暗号鍵を生成し、パスワード暗号鍵を暗号化し得る。代替方法では、モバイルデバイスは、メモリからパスワード暗号鍵を取得してもよい。パスワード暗号鍵の暗号化は、ペアリング開始要求で送信されたコンピュータの公開鍵を使用して実行され得る。暗号化されたパスワード暗号鍵は、アクション６２６において、コンピューティングデバイスに転送され得る。加えて、モバイルデバイスは、同じアクション６２６において、モバイル認証データを生成し、転送してもよい。特に、暗号化された鍵は、ネットワークサーバに転送されてもよく、そこからコンピューティングデバイスに転送される。

暗号化された鍵及びモバイル認証データを受信すると、決定アクション６２８において、コンピューティングデバイスは、モバイル認証データが有効であるか否かを検出し得る。モバイル認証データが有効でない場合、アクション６３８において、コンピューティングデバイスは、ネットワークサーバを介して間接的にペアリング要求を拒否し得る。一方、モバイル認証データが有効である場合、アクション６３０において、コンピューティングデバイスは、コンピュータのプライベート鍵を使用して暗号化された鍵を復号し得る。

アクション６３２において、コンピューティングデバイスは、パスワード暗号鍵を使用して、そのユーザアカウントに関連付けられたログインパスワードを暗号化し得る。この暗号化されたログインパスワードは、アクション６３４において、パスワードなしのログイン中に将来の使用のためにコンピューティングデバイスによって記憶されてもよい。更に、アクション６３６において、パスワード暗号鍵はユーザのセキュリティの目的で削除されてもよい。

図６Ｂは、いくつかの実施形態による、ネットワークサービスを介したパスワードなしのログインを使用して、コンピュータにログインするための方法６６０のフロー図である。アクション６６２において、要求側のコンピューティングデバイスは、特定のコンピューティングデバイスへのパスワードなしのログインアクセスを要求し得る。特に、要求は、ネットワークサーバに送信されてもよく、ネットワークサーバはこれに応答して、決定アクション６６４において、コンピューティングデバイス及びモバイルデバイスが以前にペアリングされたか否かを検出する。以前のペアリングが存在しない場合は、アクション６６８において、パスワードなしのログインアクセスが拒否される。以前のペアリングが存在する場合、アクション６６６において、ネットワークサーバは、モバイルデバイスにモバイルプッシュ通知をアサートする。モバイルプッシュは、パスワードなしのログイン要求をモバイルデバイスユーザに警告する。図示されていないが、ユーザはこのとき、ログイン要求を拒否する機会を与えられ得る。代替方法では、アクション６７０に示すように、モバイルデバイスは、パスワードなしのログイン要求のデータペイロードを取得し、ログイン要求からコンピュータ認証データ及び公開鍵を抽出し得る。代替方法では、ネットワークサーバが、コンピュータ認証データ及び公開鍵を抽出し、それをモバイルデバイスに転送してもよい。

アクション６７２において、モバイルデバイスは、コンピュータの公開鍵を使用してパスワード鍵を暗号化し得る。この暗号化されたパスワード鍵は、アクション６７４においてコンピューティングデバイスに転送され得、アクション６７６において、コンピューティングデバイスは、そのコンピュータの公開鍵を使用して暗号化されたパスワード鍵を復号する。更に、アクション６７８において、コンピューティングデバイスは、ペアリング段階で以前に記憶された、暗号化されたログインパスワードを復号し得る。最後に、アクション６８０において、コンピュータデバイスは、ログインパスワードを使用してログインを実行し得る。

本明細書に記載の方法が、従来の汎用コンピュータシステムなどのデジタル処理システムで実行されてもよいことを理解されたい。あるいは、１つの機能のみを実行するように設計又はプログラムされた専用コンピュータが使用されてもよい。図７は、本明細書に記載される実施形態を実行し得る、例示的なコンピューティングデバイスを示す図である。図７のコンピューティングデバイス７００は、いくつかの実施形態により、ネットワークサービスを使用して、パスワードなしのログイン用にモバイルデバイスをコンピュータとセキュアにペアリングする方法を実行する機能の実施形態を実行するために使用され得る。コンピューティングデバイス７００は、バス７０６を介してメモリ７０４に連結された中央処理装置（ＣＰＵ）７０２と、大容量記憶デバイス７０８と、を含む。大容量記憶デバイス７０８は、フロッピーディスクドライブ又は固定ディスクドライブなどの永続的データ記憶デバイスを表し、いくつかの実施形態では、これらはローカルであってもリモートであってもよい。いくつかの実施形態では、大容量記憶デバイス７０８は、バックアップ記憶を実行することができる。メモリ７０４としては、読み取り専用メモリ、ランダムアクセスメモリなどが挙げられ得る。コンピューティングデバイスに存在するアプリケーションは、いくつかの実施形態では、メモリ７０４又は大容量記憶デバイス７０８などのコンピュータ可読媒体を介して記憶されるか又はアクセスされ得る。アプリケーションは、また、コンピューティングデバイスのネットワークモデム又は他のネットワークインタフェースによってアクセスされる、変調された変調電子信号の形でもよい。いくつかの実施形態では、ＣＰＵ ７０２が、汎用プロセッサ、専用プロセッサ、又は特別にプログラムされた論理デバイスで具現化されてもよいことを理解されたい。

ディスプレイ７１２は、バス７０６を介して、ＣＰＵ ７０２、メモリ７０４、及び大容量記憶デバイス７０８と通信する。ディスプレイ７１２は、本明細書に記載のシステムと関連付けられた任意の視覚化ツール又はレポートを表示するように構成されている。入出力デバイス７１０は、バス７０６に連結されて、コマンド選択における情報をＣＰＵ ７０２に通信する。外部デバイスとの間のデータが入出力デバイス７１０を介して通信されてもよいことを理解されたい。ＣＰＵ ７０２は、図１〜図６Ｂに関して記載された機能を有効にするために、本明細書に記載されている機能を実行するように規定され得る。いくつかの実施形態では、この機能を具現化するコードは、ＣＰＵ ７０２などのプロセッサによって実行するためにメモリ７０４又は大容量記憶デバイス７０８内に記憶されてもよい。コンピューティングデバイス上のオペレーティングシステムは、ｉＯＳ（商標）、ＭＳ−ＷＩＮＤＯＷＳ（商標）、ＯＳ／２（商標）、ＵＮＩＸ（商標）、ＬＩＮＵＸ（商標）又は他の既知のオペレーティングシステムであってよい。本明細書に記載の実施形態が、仮想化コンピューティングシステムと一体化されてもよいことを理解されたい。

上述の説明で、多数の詳細について説明している。しかしながら、本発明はこれらの特定の詳細を伴わずに実施されてもよいことが、当業者には明白となるであろう。いくつかの例では、本発明が不明瞭になるのを回避するため、周知の構造及びデバイスについては、詳細ではなくブロック図の形態で示される。

上述の説明は限定ではなく例示を意図したものであることを理解されたい。上述の説明を読み理解することで、他の多くの実施形態が当業者には明白となるであろう。特定の例示的実施形態を参照して本発明について記載してきたが、本発明は記載した実施形態に限定されず、添付の請求項の趣旨及び範囲内の修正及び変更と共に実施できることが認識されるであろう。したがって、明細書及び図面は、限定的な意味ではなく例示的な意味で考慮されるべきである。したがって、本発明の範囲は、添付の請求項が享受する等価物の全範囲と共に、かかる請求項を参照して決定されるべきである。

詳細な説明的な実施形態は、本明細書に開示される。しかしながら、本明細書に開示された特定の機能的詳細は、実施形態を記載するための代表に過ぎない。しかしながら、実施形態は、多くの代替形態で具現化されてもよく、本明細書で説明された実施形態のみに限定されるように解釈されるべきでない。

第１、第２などの用語は、本明細書では、様々な工程又は計算を説明するために使用されることがあり、そのような工程又は計算は、これらの用語によって限定されるべきでないことを理解されたい。これらの用語は、ある工程又は計算を別のものと区別するためにのみ使用される。例えば、本開示の範囲から逸脱せずに、第１の計算を第２の計算と呼ぶことができ、同様に第２の工程を第１の工程と呼ぶことができる。本明細書で使用されるとき、「及び／又は（and/or）」という用語と「／」という記号は、関連したリスト項目のいずれか及び１つ以上の全ての組み合わせを含む。本明細書で使用されるとき、「ａ」、「ａｎ」、及び「ｔｈｅ」という単数形は、文脈で特に明示されない限り、複数形も含むように意図される。更に、「備える」、「備えること」、「含む」、及び／又は「含むこと」という用語が、本明細書で使用されるとき、述べられた特徴、整数、工程、動作、要素、及び／又は構成要素の存在を明示するが、１つ以上の他の特徴、整数、工程、動作、要素、構成要素、及び／又はそのグループの存在又は追加を除外しないことを理解されよう。したがって、本明細書で使用される用語は、特定の実施形態を説明するためだけのものであり、限定するものではない。

また、一部の代替実施態様では、示された機能／行為は、図に示された順序以外で行われてもよいことに注意されたい。例えば、連続的に示された２つの図が、実際には、含まれる機能／行為に応じて、実質的に同時に実行されてもよく、逆の順序で実行されてもよい。上記の実施形態を考慮すると、実施形態が、コンピュータシステムに記憶されたデータに関係する様々なコンピュータ実施動作を用いることがあることを理解されたい。これらの動作は、物理量の物理的操作を必要とするものである。必須ではないものの、通常、これらの量は、記憶し、転送し、組み合わせ、比較し、また別の形で操作することができる、電気信号又は磁気信号の形態を採る。更に、行われる操作は、作成、識別、判定、比較などの用語で言及されることがある。実施形態の一部を構成する本明細書に記載された動作はいずれも、有用な機械動作である。実施形態は、これらの動作を行うためのデバイス又は装置にも関する。装置は、必要とされる目的のために特別に構成されてもよく、又は装置は、コンピュータに記憶されたコンピュータプログラムによって選択的に起動又は構成される汎用コンピュータでもよい。具体的には、本明細書の教示に従って記述されたコンピュータプログラムと共に様々な汎用マシンを使用することができ、必要な動作を実行するためにより特殊な装置を構成することがより好都合であることがある。

モジュール、アプリケーション、レイヤ、エージェント、又は他の方法で実行可能なエンティティは、ハードウェア、プロセッサ実行ソフトウェア、又はこれらの組み合わせとして実現されてもよい。ソフトウェアベースの実施形態が本明細書に開示される場合、ソフトウェアが、コントローラなどの物理的マシンで具現化されてもよいことを理解されたい。例えば、コントローラは、第１のモジュール及び第２のモジュールを含んでもよい。コントローラは、例えば、方法、アプリケーション、レイヤ、又はエージェントの様々な動作を実行するように構成されていてもよい。

また、実施形態は、非一時的コンピュータ可読媒体上のコンピュータ可読コードとして実施されてもよい。コンピュータ可読媒体は、後でコンピュータシステムが読み取ることができるデータを記憶することができる任意のデータ記憶デバイスである。コンピュータ可読媒体の例としては、ハードディスク、ネットワーク接続ストレージ（ＮＡＳ）、読み取り専用メモリ、ランダムアクセスメモリ、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＣＤ−ＲＷ、磁気テープ、フラッシュメモリデバイス、並びに他の光学及び非光学データ記憶デバイスが挙げられる。コンピュータ可読媒体は、コンピュータ可読コードが分散式に記憶され実行されるように、ネットワーク接続されたコンピュータシステムに分散されてもよい。本明細書に記載された実施形態は、携帯端末デバイス、タブレット、マイクロプロセッサシステム、マイクロプロセサベース又はプログラム可能な民生用電子機器、ミニコンピュータ、メインフレームコンピュータなどを含む様々なコンピュータシステム構成で実施されてもよい。実施形態は、また、有線又は無線ネットワークによって連結されたリモート処理デバイスによってタスクが実行される分散コンピューティング環境で実施され得る。

方法動作を特定の順序で記載しているが、記載された動作の間に他の動作を行ってもよく、記載された動作が、わずかに異なる時間で行われるように調整されてもよく、記載された動作が、処理と関連付けられた様々な間隔で処理動作を行うことを可能にするシステム内で分散されてもよいことを理解されたい。

様々な実施形態において、本明細書に記載される方法及び機構の１つ以上の部分は、クラウドコンピューティング環境の一部をなし得る。そのような実施形態では、リソースが、１つ以上の様々なモデルによるサービスとしてインターネットを介して提供され得る。そのようなモデルとしては、サービスとしてのインフラストラクチャ（Infrastructure as a Service）（ＩａａＳ）、サービスとしてのプラットフォーム（Platform as a Service）（ＰａａＳ）、及びサービスとしてのソフトウェア（Software as a Service）（ＳａａＳ）を挙げることができる。ＩａａＳでは、コンピュータインフラストラクチャは、サービスとして送達される。そのような場合には、コンピューティング機器は、通常、サービスプロバイダによって所有され、操作されている。ＰａａＳモデルでは、開発者がソフトウェアソリューション開発に使用するソフトウェアツール及び基本機器は、サービスとして提供され、サービスプロバイダによってホストされ得る。ＳａａＳは、典型的に、サービスプロバイダライセンシングソフトウェアをオンデマンドサービスとして含んでいる。サービスプロバイダは、ソフトウェアをホストし得るか、又はソフトウェアを所定の期間の間顧客に展開し得る。上述のモデルの多数の組み合わせが可能であり、かつ企図される。

様々なユニット、回路、又は他の構成要素が、タスク（１つ又は複数）を行う「ように構成される」として記載又は特許請求され得る。そのような文脈において、「ように構成される」とは、ユニット／回路／構成要素が、動作中にタスク（１つ又は複数）を行う構造（例えば、回路機構）を含むと示すことにより、構造を含んで使用される。そのため、ユニット／回路／構成要素は、指定されたユニット／回路／構成要素が現在動作中でない（例えば、電源が入っていない）場合であっても、タスクを行うように構成されると言うことができる。「ように構成される」という文言と共に使用されるユニット／回路／構成要素には、ハードウェア例えば、動作を実装するように実行可能なプログラム命令を格納する回路、メモリが含まれる。ユニット／回路／構成要素が１つ以上のタスクを行う「ように構成される」ことへの言及は、そのユニット／回路／構成要素に関して、米国特許法１１２条第６項を行使しないことが明示的に意図される。更に、「ように構成される」には、ソフトウェア及び／又はファームウェア（例えば、ＦＰＧＡ又はソフトウェアを実行する汎用プロセッサ）によって問題のタスク（複数可）を行うことができる様式で動作するように操作される一般的な構造（例えば、一般的な回路機構）が含まれ得る。「ように構成される」には、１つ以上のタスクを実装又は実行するように適合されるデバイス（例えば、集積回路）を製造するように、生産プロセス（例えば、半導体製造設備）を適合することも含む。

以上の説明は、説明のために、特定の実施形態を参照して記載されている。しかしながら、上述の例示的な考察は、包括的であること、又は本発明を開示される正確な形態に限定することを意図するものではない。上述の教示を考慮して、多くの修正及び変形が可能である。実施形態は、実施形態の原理及びその実際の用途を最も良く説明するために選択かつ記載され、それにより、他の当業者が、企図される特定の用途に好適であり得る実施形態と様々な修正を最大限に利用することを可能にする。したがって、この実施形態は、説明的であり非限定的なものとして解釈されるべきであり、本発明が本明細書に示された詳細に限定されないが、添付の特許請求の範囲及び等価物内で修正され得る。

Claims (12)

1. システムにおけるデータ通信の方法であって、
   コンピュータからネットワークサーバを介してモバイルデバイスにペアリング要求を送信することであって、前記ペアリング要求が前記コンピュータのコンピュータ認証データと、前記コンピュータのコンピュータ公開鍵と、を含み、前記モバイルデバイスと前記コンピュータと前記ネットワークサーバとは互いに異なる装置である、ことと、
   前記コンピュータにて前記ネットワークサーバから、前記モバイルデバイスが前記コンピュータとペアリング登録されることの標示を受信することと、
   前記コンピュータによって、前記ペアリング要求と前記標示とに応答して、前記ネットワークサーバを使用して前記モバイルデバイスを前記コンピュータとペアリングすることと、
   前記モバイルデバイスから前記ネットワークサーバを介して、前記モバイルデバイスのモバイル公開鍵と前記モバイルデバイスのモバイル認証データと前記コンピュータ公開鍵を使用して前記モバイルデバイスによって暗号化されたパスワード暗号鍵とを前記コンピュータにて受信することであって、前記ネットワークサーバは、コンピュータプライベート鍵が前記コンピュータ上に排他的に格納されて前記ネットワークサーバ上に格納されないことによって、前記暗号化されたパスワード暗号鍵を復号できない、ことと、
   前記コンピュータによって、前記コンピュータ認証データを使用して、前記モバイル認証データを検証することと、
   前記コンピュータによって、前記検証されたモバイル認証データに応答して、前記コンピュータの前記コンピュータプライベート鍵を使用して前記暗号化されたパスワード暗号鍵を復号することと、
   前記コンピュータによって、前記復号されたパスワード暗号鍵を用いてログインパスワードを暗号化することであって、前記ログインパスワードはユーザが前記コンピュータへのパスワードなしログインで使用するよう構成される、ことと、を含む方法。
2. 前記ペアリング要求を送信することが、
   ペアリング秘密鍵と、前記コンピュータ公開鍵及び前記コンピュータプライベート鍵を含む、前記コンピュータの交換鍵ペアと、を前記コンピュータによって生成することと、
   前記ペアリング秘密鍵及びコンピュータのプライベート鍵から前記コンピュータ認証データを前記コンピュータによって生成することと、
   前記コンピュータ認証データを含む前記ペアリング要求を前記コンピュータによって生成することと、
   前記コンピュータから前記ネットワークサーバに前記ペアリング要求を送信することと、を含む、請求項１に記載の方法。
3. 前記ペアリングすることが、
   前記コンピュータによって前記コンピュータのディスプレイ上にクイックレスポンス（ＱＲ）画像を表示することと、
   前記モバイルデバイスが前記ネットワークサーバに登録されたか否かを前記ネットワークサーバが検出することに応答して、前記コンピュータによって、トランザクション識別子を有するモバイルプッシュ通知を開始することであって、前記モバイルプッシュ通知が、ペアリング秘密鍵に基づいた前記コンピュータ認証データを含む、ことと、
   前記復号されたパスワード暗号鍵を用いて前記ログインパスワードを前記コンピュータによって暗号化することと、
   前記コンピュータによって、前記暗号化されたログインパスワードを記憶することと、を含む、請求項１に記載の方法。
4. 前記ペアリング要求を送信することが、
   ペアリング秘密鍵と、前記コンピュータ公開鍵及び前記コンピュータプライベート鍵を含む、前記コンピュータの交換鍵ペアと、を前記コンピュータによって生成することと、
   前記コンピュータによって、前記ペアリング秘密鍵及び前記コンピュータプライベート鍵から前記コンピュータ認証データを生成することと、
   前記コンピュータによって、前記コンピュータ認証データを含む前記ペアリング要求を生成することと、
   前記モバイルデバイスが前記コンピュータの近位にあるとき、前記コンピュータからＢｌｕｅｔｏｏｔｈ経由で前記モバイルデバイスへ前記ペアリング秘密鍵を転送することと、
   前記コンピュータから前記ネットワークサーバに前記ペアリング要求を送信することと、を含む、請求項１に記載の方法。
5. ログイン要求を前記コンピュータから前記ネットワークサーバへ送信することであって、前記ログイン要求が、前記コンピュータ公開鍵に関連付けられたコンピュータデータ交換鍵識別子と、プライベート鍵の所有権証明とを含む、ことと、
   前記プライベート鍵の所有権証明から前記モバイルデバイスが前記コンピュータ公開鍵を抽出したことに基づいて、前記コンピュータと前記モバイルデバイスとの間にペアリングが存在することの標示を、前記モバイルデバイスから前記コンピュータにて受信することと、
   を更に含む、請求項１に記載の方法。
6. 前記コンピュータによって、前記コンピュータと前記モバイルデバイスとの間で完了したそれぞれのデバイスペアリングを監視することと、
   完了したそれぞれのデバイスペアリングを前記コンピュータによって記憶することと、
   複数の記憶されている完了したデバイスペアリングに基づいて、それぞれの後続のペアリングサービス要求を前記コンピュータによって認証することと、を更に含む、請求項１に記載の方法。
7. 方法を実行するためのコードを含む非一時的コンピュータ可読媒体であって、前記方法が、
   コンピュータからネットワークサーバを介してモバイルデバイスにペアリング要求を送信することであって、前記ペアリング要求が前記コンピュータのコンピュータ認証データと、前記コンピュータのコンピュータ公開鍵と、を含み、前記モバイルデバイスと前記コンピュータと前記ネットワークサーバとは互いに異なる装置である、ことと、
   前記コンピュータにて前記ネットワークサーバから、前記モバイルデバイスが前記コンピュータとペアリング登録されることの標示を受信することと、
   前記コンピュータによって、前記ペアリング要求と前記標示とに応答して、前記ネットワークサーバを使用して前記モバイルデバイスを前記コンピュータとペアリングすることと、
   前記モバイルデバイスから前記ネットワークサーバを介して、前記モバイルデバイスのモバイル公開鍵と前記モバイルデバイスのモバイル認証データと前記コンピュータ公開鍵を使用して前記モバイルデバイスによって暗号化されたパスワード暗号鍵とを前記コンピュータにて受信することであって、前記ネットワークサーバは、コンピュータプライベート鍵が前記コンピュータ上に排他的に格納されて前記ネットワークサーバ上に格納されないことによって、前記暗号化されたパスワード暗号鍵を復号できない、ことと、
   前記コンピュータによって、前記コンピュータ認証データを使用して、前記モバイル認証データを検証することと、
   前記コンピュータによって、前記検証されたモバイル認証データに応答して、前記コンピュータの前記コンピュータプライベート鍵を使用して前記暗号化されたパスワード暗号鍵を復号することと、
   前記コンピュータによって、前記復号されたパスワード暗号鍵を用いてログインパスワードを暗号化することであって、前記ログインパスワードはユーザが前記コンピュータへのパスワードなしログインで使用するよう構成される、ことと、を含む、コンピュータ可読媒体。
8. 前記ペアリング要求を送信することが、
   ペアリング秘密鍵と、前記コンピュータ公開鍵及び前記コンピュータプライベート鍵を含む、前記コンピュータの交換鍵ペアと、を前記コンピュータによって生成することと、
   前記ペアリング秘密鍵及びコンピュータのプライベート鍵から前記コンピュータ認証データを生成することと、
   前記コンピュータ認証データを含む前記ペアリング要求を前記コンピュータによって生成することと、
   前記コンピュータから前記ネットワークサーバに前記ペアリング要求を送信することと、を含む、請求項７に記載のコンピュータ可読媒体。
9. 前記ペアリングすることが、
   前記コンピュータによって前記コンピュータのディスプレイ上にクイックレスポンス（ＱＲ）画像を表示することと、
   前記モバイルデバイスが登録されたか否かを前記ネットワークサーバが検出することに応答して、前記コンピュータによって、トランザクション識別子を有するモバイルプッシュ通知を開始することであって、前記モバイルプッシュ通知が、ペアリング秘密鍵に基づいた前記コンピュータ認証データを含む、ことと、
   前記復号されたパスワード暗号鍵を用いて前記ログインパスワードを前記コンピュータによって暗号化することと、
   前記コンピュータによって、前記暗号化されたログインパスワードを格納することと、
   を含む、請求項７に記載のコンピュータ可読媒体。
10. ログイン要求を前記コンピュータから前記ネットワークサーバへ送信することであって、前記ログイン要求が、前記コンピュータ公開鍵に関連付けられたコンピュータデータ交換鍵識別子と、プライベート鍵の所有権証明とを含む、ことと、
    前記プライベート鍵の所有権証明から前記モバイルデバイスが前記コンピュータ公開鍵を抽出したことに基づいて、前記コンピュータと前記モバイルデバイスとの間にペアリングが存在することの標示を、前記モバイルデバイスから前記コンピュータにて受信することと、を更に含む、請求項７に記載のコンピュータ可読媒体。
11. 委任されたエンティティプロバイダからのＥｎｔｅｒｐｒｉｓｅサービス使用の権利付与を前記コンピュータによって要求することと、
    前記委任されたエンティティプロバイダからＥｎｔｅｒｐｒｉｓｅ検証データを前記コンピュータによって受信することと、
    前記コンピュータによって、Ｅｎｔｅｒｐｒｉｓｅ検証データを処理して、前記ペアリング要求を検証することと、を更に含む、請求項７に記載のコンピュータ可読媒体。
12. 前記コンピュータと前記モバイルデバイスとの間で完了したそれぞれのデバイスペアリングを前記コンピュータによって監視することと、
    完了したそれぞれのデバイスペアリングを前記コンピュータによって記憶することと、
    複数の記憶されている完了したデバイスペアリングに基づいて、それぞれの後続のペアリングサービス要求を前記コンピュータによって認証することと、を更に含む、請求項７に記載のコンピュータ可読媒体。

Images