KR101250065B1 - 매니지어빌리티 엔진에 의한 기업 네트워크 싱글사인온을 위한 방법 및 시스템 - Google Patents

매니지어빌리티 엔진에 의한 기업 네트워크 싱글사인온을 위한 방법 및 시스템 Download PDF

Info

Publication number
KR101250065B1
KR101250065B1 KR1020090130600A KR20090130600A KR101250065B1 KR 101250065 B1 KR101250065 B1 KR 101250065B1 KR 1020090130600 A KR1020090130600 A KR 1020090130600A KR 20090130600 A KR20090130600 A KR 20090130600A KR 101250065 B1 KR101250065 B1 KR 101250065B1
Authority
KR
South Korea
Prior art keywords
kek
user
enterprise
receiving
pbam
Prior art date
Application number
KR1020090130600A
Other languages
English (en)
Other versions
KR20100080390A (ko
Inventor
네드 스미스
푸루쇼탐 고엘
Original Assignee
인텔 코오퍼레이션
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 인텔 코오퍼레이션 filed Critical 인텔 코오퍼레이션
Publication of KR20100080390A publication Critical patent/KR20100080390A/ko
Application granted granted Critical
Publication of KR101250065B1 publication Critical patent/KR101250065B1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • G06F21/335—User authentication using certificates for accessing specific resources, e.g. using Kerberos tickets
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/41—User authentication where a single sign-on provides access to a plurality of computers
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/575—Secure boot
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/71—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information
    • G06F21/72—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information in cryptographic circuits
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/78—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure storage of data
    • G06F21/80—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure storage of data in storage media based on magnetic or optical technology, e.g. disks with sectors
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0822—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using key encryption key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/083—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving central third party, e.g. key distribution center [KDC] or trusted third party [TTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/034—Test or assess a computer or a system
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2103—Challenge-response
    • G—PHYSICS
    • G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
    • G09G—ARRANGEMENTS OR CIRCUITS FOR CONTROL OF INDICATING DEVICES USING STATIC MEANS TO PRESENT VARIABLE INFORMATION
    • G09G2358/00—Arrangements for display data security

Abstract

매니지어빌리티 엔진(ME)은 프리-부트 인증 동안에 사용자로부터 인증 응답을 수신하고, 사용자를 키 분배 센터(KDC)에 등록하여, 사용자가 PC에 대해 성공적으로 인증되었음을 표시한다. KDC는 키 암호화 키(KEK)의 형식으로 싱글사인온 크레덴셜들을 ME에 제공한다. KEK는 기업 서버들에 대한 보안 액세스를 수립하는데 이용되는 크레덴셜을 획득하기 위해 PC에 의해 추후 이용될 수 있다.
Figure R1020090130600
매니지어빌리티 엔진, 보안 액세스 방법, 프리-부트 동작, 인증 응답, 키 분배 센터, 키 암호화 키, 크레덴셜

Description

매니지어빌리티 엔진에 의한 기업 네트워크 싱글사인온을 위한 방법 및 시스템{METHOD AND SYSTEM FOR ENTERPRISE NETWORK SINGLE-SIGN-ON BY A MANAGEABILITY ENGINE}
본 발명은 일반적으로 사용자 인증에 관한 것이다. 더욱 구체적으로, 본 발명은 매니지어빌리티 엔진(manageability engine)을 이용한 기업 네트워크 싱글사인온(single-sign-on)을 위한 방법 및 시스템에 관한 것이다.
데이터 보호를 위한 Intel? Anti-Theft™ 기술(AT-d)은 칩셋 및 그 주위의 컴포넌트들에 FDE(Full Disk Encryption)을 부가하는 플랫폼 성능이다. OS(Operating System) 및 사용자 데이터를 포함하여 AT-d 보호된 드라이브 상의 모든 데이터는 암호화된다. 암호화되지 않은 채로 있는 영역들은 매니지어빌리티 엔진(manageability engine; ME) 메타데이터 및 프리-부트(pre-boot) 인증 메타데이터 영역들을 포함한다. 드라이브를 완전히 암호화하는 것에 의해, 페이징 및 구성 파일들에 포함된 민감한 데이터를 보호하며, 오프라인 공격자가 툴 키트에 의해 시스템 파일들을 조작하는 것을 방지한다.
드라이브를 완전히 암호화하는 것은 또한 도전 과제를 제공한다. 예를 들어, 디스크 드라이브들은 사용자가 인증될 때까지 사용자에 대해 오프 리미트들(off limits)이다. 현재의 실시는 초기 인증을 수행하기 위해 OS에 의존하지만, FDE에 의해, OS가 암호화됨으로써, OS를 통해 사용자를 인증하는 것이 어려워진다. 그러므로, 사용자 인증은 드라이브 액세스를 필요로 하는 임의의 프리-부트 서비스 전에 발생해야 한다.
본 명세서에 포함되며 본 명세서의 일부를 형성하는 첨부 도면들은 본 발명의 실시예들을 예시하며, 또한, 상세한 설명과 함께, 본 발명의 원리들을 설명하고 관련 기술 분야의 통상의 기술자가 본 발명을 행하고 이용할 수 있게 하는 역할을 한다. 도면들에서, 동일한 참조 번호들은 일반적으로 동일한, 기능적으로 유사한, 및/또는 구조적으로 유사한 요소들을 나타낸다. 요소가 처음에 나타나는 도면은 대응하는 참조 번호의 제일 왼쪽의 숫자(들)에 의해 표시된다.
본 발명은 본 명세서에서 특정 애플리케이션들을 위한 예시적인 실시예들을 참조하여 설명되지만, 본 발명은 이것으로 한정되지 않는다는 것을 이해해야 한다. 본 명세서에 제공된 교시에 접근한 관련 기술 분야의 통상의 기술자들이라면, 본 발명의 범위 및 본 발명의 실시예들이 상당한 효용이 있는 부가적인 분야들 내에서 부가적인 수정들, 응용들, 및 실시예들을 인식할 것이다.
본 명세서에서 본 발명의 "일 실시예", "실시예" 또는 "다른 실시예"에 대한 참조는, 그 실시예와 관련하여 설명된 특정 특징, 구조 또는 특성이 본 발명의 적어도 하나의 실시예에 포함된다는 것을 의미한다. 그러므로, 본 명세서의 여러 곳에서의 "일 실시예에서" 또는 "실시예에서"라는 문구의 출현은, 반드시 동일한 실시예를 지칭하는 것이 아니다.
본 발명의 실시예들은 프리-부트 동작 동안 사용자로부터 인증 응답을 수신하고, 사용자가 PC(personal computer)에 성공적으로 인증되었음을 케르베로스(Kerberos) 키 분배 센터(key distribution center; KDC)에 등록하기 위해 케르베로스 프로토콜을 이용하도록 매니지어빌리티 엔진(ME)을 제공한다. KDC는 기업 서버들에 대한 보안 액세스를 획득하기 위해 PC에 의해 추후 이용될 수 있는 키 암호 키(Key Encryption Key; KEK)의 형태로 싱글사인온 크레덴셜들(credentials)을 ME에 공급한다.
본 발명의 실시예들은 프리-부트 환경에서 초기에 기업 아이덴티티 관리 서비스를 이용하여 사용자 인증을 수행하는 능력을 제공한다. 이러한 능력은, 기업 네트워크에의 직접 대역외(direct out-of-band) 액세스가, 기업 네트워크에 의해 관리되고 있는 사용자 크레덴셜들을 이용할 수 있게 하는 매니지어빌리티 엔진을 이용하여 제공된다. 본 발명의 실시예들은 또한 OS 부트 동안 사용자가 이미 인증되었음을 OS가 인식할 수 있게 한다. 이것은, 크레덴셜 관리자가 ME로부터 KEK를 요청함으로써 기업에 사용자가 이미 인증되었는지 여부를 판정하기 위해 OS 사용자 로그인을 인터셉트할 수 있게 함으로써 실현된다. KEK가 ME에 안전하게 저장된 경우, KEK는 검색되어 크레덴셜 관리자에 리턴된다. 크레덴셜 관리자는, KEK를 수신 하면, 사용자가 기업에 이미 인증되었음을 판정하고, OS 사용자 로그인 프롬프트를 억제함으로써, 프로세스가 오직 싱글사인온을 요청하게 한다.
본 발명의 실시예들은 플랫폼으로부터 OS 및 그의 구성에 대한 의존성을 없애고, 가상 머신 모니터(virtual machine monitor; VMM), 가상 머신(virtual machine; VM), OS, 및 애플리케이션들이 사용자(및 머신) 아이덴티티에 기초하여 동적으로 선택되고 구성되도록 플랫폼에서 이용될 수 있게 한다. 사용자 인증은 타협된(compromised) OS 및/또는 VMM으로부터 보호된다. KDC에 대한 인증 및 플랫폼에 대한 사용자 크레덴셜들/인증들의 후속하는 해제는 OS 또는 VMM에 대한 멀웨어(malware) 또는 다른 공격들로부터 영향을 받지 않는다.
본 발명의 실시예들은 아이덴티티 관리 인프라스트럭처로서 케르베로스를 이용하여 설명되지만, 본 발명은 케르베로스 인프라스트럭처로 한정되지 않는다. 관련 기술분야의 통상의 기술자는, 예를 들어, SAML(Security Assertion Markup Language), 카드 스페이스(Card Space), 리버티 얼라이언스(Liberty Alliance), 공개 키(Public Key) 등과 같은 다른 아이덴티티 관리 인프라스트럭처가 또한 이용될 수 있다는 것을 알 것이다.
도 1은 설명된 실시예들의 양태들이 이용될 수 있는 예시적인 컴퓨터 플랫폼을 예시하는 블록도이다. 컴퓨터 플랫폼(100)은 프로세서(102)(대역내 프로세서라고도 알려짐)를 포함한다. 프로세서(102)는 시스템 메모리에 연결될 수 있으며, 시스템 메모리는 일 실시예에서 동적 랜덤 액세스 메모리(104)일 수 있다. 프로세서(102)는 마이크로프로세서, 디지털 신호 프로세서, 마이크로컨트롤러 등과 같은, 소프트웨어를 실행할 수 있는 임의의 유형의 프로세서일 수 있다. 도 1은 하나의 이러한 프로세서(102)만을 도시하고 있지만, 플랫폼(100) 내에 하나 이상의 프로세서가 존재할 수 있으며, 하나 이상의 프로세서는 다수의 스레드, 다수의 코어 등을 포함할 수 있다.
프로세서(102)는 DMI(Direct Media Interface) 인터페이스(108)를 통해 칩셋(106)에 더 접속될 수 있다. 칩셋(106)은, 그 중에서도, 매니지어빌리티 엔진(ME)(110), CSB(crypto services block)(112) 및 가상화 엔진(virtualization engine; VE)(114)을 포함한다. CSB(112)는 AES(Advanced Encryption Standard)의 하드웨어 구현이며, 128 및 256 비트의 키 사이즈를 지원한다. VE(114)는 SATA(Serial Advanced Technology Attachment) 디바이스(118)와 같은 임의의 장착된 SATA 저장 디바이스들에 대해 SATA 커맨드 디코딩 및 다른 가속화된 동작들을 수행하는 SATA 컨트롤러(116)에 연결된다. VE(114)는 또한 예를 들어, NAND 플래시(122)와 같은 NVM 디바이스 상에 데이터를 캐싱하기 위한 불휘발성 메모리(non-volatile memory; NVM) 컨트롤러(120)에 연결된다. ME(110)는 정책들 및 키들을 구성함으로써 VE(114) 및 CSB(112)의 거동(behavior)을 제어한다. ME(110)는 감사 이벤트들(audit events)을 수집하고, 사용자 인증을 관리하고, 기업 서비스들(126)과 인터페이스한다. ME(110)는 대역외 마이크로컨트롤러(도시되지 않음) 및 네트워크 컨트롤러(124)를 이용하여 네트워크(125)를 통해 기업 서비스들(126)과 인터페이스한다. 일 실시예에서, 네트워크(125)는 인터넷(이것으로 한정되지 않음)과 같은 광역 통신망(wide area network)일 수 있다.
실시예에서, 칩셋(106)은 SPI(serial peripheral interface) 버스(128)를 통해 불휘발성 메모리(130)에 연결된다. 불휘발성 메모리(130)는 플래시 메모리 또는 SRAM(static random access memory) 등일 수 있다. 많은 기존의 플랫폼에서, NVM(103)은 플래시 메모리이다. 플래시 메모리(130)는 칩셋(106)을 위한 칩셋 펌웨어(132) 및 네트워크 컨트롤러(124)를 위한 네트워크 컨트롤러 펌웨어(134)를 포함한다.
실시예들에서, 프로세서(102)는 NVM(130) 내에 BIOS(basic input/output system) 펌웨어(136)를 갖는다. 다른 실시예들에서, 프로세서(102)는 원격 디바이스(도시되지 않음)로부터 부트될 수 있으며, 여기서, 부트 벡터(포인터)는 NVM(130)의 BIOS 펌웨어(136)에 상주한다. 칩셋(106)은, 칩셋(106)을 제어하기 위한 칩셋 펌웨어(132), 네트워크 컨트롤러(124)를 제어하기 위한 네트워크 컨트롤러 펌웨어(134), 및 BIOS 펌웨어(136)를 포함하여 NVM(130)의 내용 전부에 액세스할 수 있다.
도 2는 본 발명의 실시예에 따른 매니지어빌리티 엔진을 이용한 기업 네트워크 싱글사인온을 위한 시스템을 예시하는 블록도이다. 시스템(200)은 프리-부트 섹션 및 포스트-부트 섹션을 갖는 CPU(202)를 포함한다. 프리-부트 섹션은, 그 중에서도, BIOS(204) 및 프리-부트 인증 모듈(Pre-Boot Authentication Module; PBAM)(206)을 포함한다. 포스트-부트 섹션은, 그 중에서도, OS(208) 및 그래픽 식별 및 인증(Graphical Identification and Authentication; GINA)(210)을 포함한다. 시스템(200)은 또한 매니지어빌리티 엔진(ME)(110)을 포함한다. ME(110)는 CPU(202)에 연결된다.
BIOS(204)는, 부분적으로, 먼저 파워 온(power on)될 때 개인용 컴퓨터(PC)에 의해 실행되는 펌웨어 코드를 지칭한다. BIOS(204)의 주요 기능은 예를 들어, 비디오 디스플레이 카드, 하드 디스크 등과 같은 시스템 컴포넌트 하드웨어, 및 다른 하드웨어 디바이스들을 식별하고 초기화하는 것이다. BIOS(204)는 예를 들어, 확장 펌웨어 인터페이스(Extensible Firmware Interface; EFI) BIOS 또는 레거시 BIOS일 수 있다. 본 발명의 실시예들에서, 사용자(도시되지 않음)는 PBAM(206)을 이용하여 BIOS(204)를 통해 인증될 수 있다.
PBAM(206)은 프리-부트 양방향 로그인을 위한 인증 정책을 구현한다. PBAM(206)은 신뢰 인증 계층(trusted authentication layer)으로서 OS(208) 외부의 안전한 변조 방지 환경을 보증하기 위한 BIOS(204)의 확장이다. PBAM(206)은 사용자를 인증하기 위해 사용자에게 인증 도전을 제공한다. 예를 들어, PBAM(206)은 사용자 식별 및 패스워드를 사용자로부터 요청할 수 있다. 사용자 식별 및 패스워드는 사용자를 인증할지 여부를 판정하기 위해 저장된 데이터와 비교될 수 있다. PBAM(206)은 앞으로 이동하기 위해 정확한 패스워드를 갖고 있음을 사용자가 확인받을 때까지 OS(208)의 로딩을 방지한다.
OS(208)는 활동의 관리 및 조정과 컴퓨터 플랫폼을 위한 자원들의 공유를 담당한다. OS(208)는 예를 들어, 마이크로소프트 윈도우즈 OS 또는 리눅스 OS일 수 있다.
GINA(210)는 OS 양방향 로그인 모델을 위한 인증 정책을 구현하는 동적 링크 라이브러리(dynamic link library; DLL)이다. 크레덴셜 관리자라고도 알려진 GINA는 OS에서 사용자 인증을 위한 모든 식별 및 인증 사용자 상호작용들을 수행한다.
ME(110)는, 그 중에서도, ME 공통 서비스 모듈(212)을 포함한다. ME 공통 서비스(Common Services; CS) 모듈(212)은 매니지어빌리티 엔진(110)에서 실행되는 펌웨어 계층을 나타낸다. CS(212)는 ME(110)가 예를 들어, 기업(220)과 같은 기업 네트워크에 접속할 수 있게 하는 통신 스택을 제공한다. CS(212)는 또한 플러그인 인터페이스를 제공하여, 펌웨어 모듈들이 부가/제거될 수 있어, 각각 칩셋(106)의 기능을 증가/감소시킬 수 있다. 본 발명의 실시예에서, DT2 모듈(214) 및 공통 인증 모듈(Common Authentication Module; CAM)(216)은 칩셋(106)에 부가적인 기능을 제공하는 펌웨어 플러그인들이다. 다른 FW(218)는 다른 펌웨어 모듈을 위한 대표적인 플레이스 홀더(place holder)를 예시한다. 암호화 키들인 DWK(device wrap key)(215) 및 KEK(217)는 각각 DT2 모듈(214) 및 CAM(216)에 대한 대응하는 크레덴셜들이며, 플랫폼 상에 안전하게 저장된 것으로 도시된다. 기타(219)는 기타 다른 FW(218)에 대한 암호화 키를 위한 플레이스 홀더이다.
DT2 모듈(214)은 암호화된 저장 디바이스들에 대한 액세스를 제어하는 펌웨어 플러그인이다. DWK(215)는 펌웨어 플러그인 DT2(214)를 이용하여 암호화된 디스크들을 언로크(unlock) 하는데 이용되는 암호화 키/크레덴셜이다. 암호화 키 DWK(215)에의 액세스는 사용자 또는 관리자의 성공적인 인증에 기초하여 조건적이다.
CAM(216)은 주로 프리-부트 BIOS 코드, 옵션 ROM 또는 사용자 인증 도전들을 수행하는 기타 호스트 펌웨어 모듈들과의 인터페이스를 담당하는 펌웨어 플러그인이다. 그 도전들에 대한 응답들은 어서트된 아이덴티티들이 확인되는 CAM(216)에 공급된다. 일 실시예에서, CAM(216)은 또한 케르베로스 클라이언트로서 알려져 있다. KEK(217)(또한 케르베로스 티켓 승인 티켓 또는 TGT라고도 지칭됨)는 기업 서버들(226)을 경유하여 기업 서비스들(126)에 액세스하기 위한 티켓들을 획득하는데 사용되는 암호화 키/크레덴셜이다. 암호화 키 KEK(217)에 대한 액세스는 사용자 또는 관리자의 성공적인 인증에 기초하여 조건적이다.
시스템(200)은 네트워크(도 1에 도시된 바와 같음)를 통해 기업(220)과 인터페이스한다. 기업(220)은 KDC(Key Distribution Center)(222), 디렉토리(224) 및 기업 서버들(226)을 경유한 기업 서비스들(126)을 포함한다.
KDC(222)는 사용자들 및 서비스들의 인증을 돕는데 사용되는 인증 서버이다. KDC(222)는 기업 서비스들과 같은 서비스들에 대한 액세스를 가능하게 하는 티켓들을 분배한다. KDC(222)는 클라이언트로부터의 초기 인증 요청에 응답하여 KEK로서 알려진 스페셜 키를 발행하며, KEK는 또한 케르베로스 도전 응답 프로토콜 내의 TGT(Ticket Granting Ticket)으로서 정의된다. 사용자들이 실제로 그들이 자칭하는 사람인 경우, 사용자들은 KEK/TGT를 이용하여 그들의 패스워드를 재입력할 필요 없이 기업 서비스들(126)에 대한 다른 서비스 티켓들을 획득할 수 있다. KDC(222)는 백엔드 인터페이스(도시하지 않음)를 통해, 디렉토리(224)와 인터페이스하여 사용자, 호스트 또는 서비스에 관한 정보를 얻는다.
디렉토리(224)는 사용자들, 호스트 및 서비스들과 관련된 데이터를 저장한 다. 디렉토리(224)에 저장된 데이터는 사용자 이름, 패스워드 및 패스워드 만기일, 및 사용자가 보유한 서비스에 관한 임의의 티켓들의 속성들을 포함할 수 있지만 이에 제한되지 않는다.
도 3은 본 발명의 실시예에 따른 매니지어빌리티 엔진을 이용한 기업 네트워크 싱글사인온을 위한 예시적인 방법을 설명하는 흐름도(300)이다. 본 발명은 흐름도(300)에 대하여 본원에 기재된 실시예들로 한정되지 않는다. 오히려, 다른 기능적 흐름도들이 본 발명의 범위 내에 있는 본원에 제공된 교시들을 읽은 후에 관련 기술 분야(들)의 통상의 기술자들에게 명백할 것이다. 프로세스는 블록(302)에서 시작하고, 여기서 프로세스는 즉시 블록(304)으로 진행한다.
블록(304)에서, ME 공통 인증 모듈은 PBAM으로부터 사용자 인증 크레덴셜(즉, 사용자 식별 및 패스워드)을 수신한다. 사용자는 BIOS를 통해 PBAM에 대해 인증한다. PBAM은 사용자를 인증하기 위해 사용자에게 인증 도전을 제공한다. 예를 들어, PBAM은 사용자 식별 및 패스워드를 사용자로부터 요청할 수 있다. 도전에 응답하여, 사용자는 PBAM에게 사용자 인증 크레덴셜을 제공하고, ME에게 사용자 인증 크레덴셜을 전송한다. 프로세스는 블록(306)으로 진행한다.
블록(306)에서, ME는 KEK(또한 TGT 라고도 알려져 있음)를 요청하기 위해 기업 KDC에의 접속을 개방한다. KEK는 서비스들(126)을 위해 기업 서버들(226)에 액세스하기 위한 서비스 티켓들을 얻는데 사용될 수 있다. 기업 KDC는 기업 도전 응답 프로토콜을 수행하여 사용자에 관한 정보를 포함하는 디렉토리 서비스를 질의함으로써 기업의 알려진 엔티티로서 사용자를 확인/인증한다. 디렉토리 서비스는 마 이크로소프트 액티브 디렉토리, LDAP(Lightweight Directory Access Protocol), 또는 일부 다른 디렉토리 서비스일 수 있다. 사용자가 알려진 엔티티(예를 들어, 사용자 식별 및 패스워드가 인증됨)이면, 기업 KDC는 KEK를 리턴할 것이다. 기업 KDC는 또한 사용자 특권들, 그룹 멤버십들 또는 임의의 다른 사용자에 대한 제약들에 관한 임의의 다른 권한 정보를 리턴할 것이다. KEK는 기업 서버에게 서버 특정 티켓을 요청할 권한을 갖는다. 그 후 프로세스는 블록(308)으로 진행한다.
블록(308)에서, ME 공통 인증 모듈은 KEK 및 사용자에 관한 임의의 다른 권한 정보를 수신하고, 플랫폼 플래시 또는 일부 다른 보안 저장 영역 내에 KEK를 안전하게 저장한다. KEK가 플래시 내에 안전하게 저장되면, 그것은 ME의 제어 하에 있기 때문에, ME는 이제 기업 서버에 대한 서비스 특정 티켓을 얻기 위한 권한 승인을 가진다. 그 후 프로세스는 블록(310)으로 진행한다.
일 실시예에서, ME는 사용자의 성공적인 인증에 기초하여 액션을 수행할 수 있고, 이것은 서비스 특정 티켓을 얻을 수 있거나, 또는 ME 공통 서비스들 하에서 서비스를 수행할 수 있다.
블록(310)에서, 예를 들어, 암호화된 디스크들과 같은 플랫폼 자원들은 디렉토리에 의해 공급된 토큰을 이용하거나 인증 파라미터로부터 DWK를 도출함으로써 언로크될 수 있다. 그 후 프로세스는 블록(312)으로 진행한다.
프로세스의 이 시점에서, 사용자는 필수적으로 기업 사용자 크레덴셜들(싱글사인온 크레덴셜들)을 이용하여 ME에 대해 로그인한다. 이제 BIOS는 OS를 로딩할 필요가 있고, 사용자는 OS에 인증될 필요가 있다. 블록(312)에서, ME는 프로세스 를 다시 BIOS(예를 들어, BIOS(206))로 보내서 OS를 부팅시킨다. 그 후 프로세스는 블록(314)으로 진행한다.
OS가 부팅되면, 이것은 사용자를 OS에 인증시킬 준비가 되어 있는 지점에 도달할 때까지 그것의 통상 프로세스를 통해 진행한다. 이것은 예를 들어 마이크로소프트 GINA와 같은 크레덴셜 관리자를 호출함으로써 수행된다. GINA 프로세스 동안, 사용자 인증 크레덴셜을 위해 사용자를 프롬프트(prompt)할지 또는 ME로부터 자동적으로 크레덴셜을 얻을지를 판정해야 한다. 블록(314)에서, 예를 들어, GINA 래퍼와 같은 소프트웨어 심(software shim)을 이용하여, 사용자에게 사용자 로그인 스크린이 제시되는 지점에서 통상의 OS 로그인 프로세스를 인터셉트한다. 소프트웨어 심은 ME에게 KEK를 요청함으로써 사용자가 기업(220)에 의해 이미 인증되었는지를 확인하도록 질의한다. 그 후 프로세스는 판정 블록(316)으로 진행한다.
판정 블록(316)에서, KEK가 이용가능한지의 여부를 판정한다. KEK가 이용가능하면, 프로세스는 블록(318)으로 진행한다.
블록(318)에서, KEK 요청이 ME에게 인도(vectored)되고, 여기서 KEK는 보안 저장 장치로부터 검색되어 심(shim)으로 리턴되며, 심은 사용자가 이미 기업에 대해 인증되었다고 판정하고, 사용자 로그인 프롬프트를 억제하여 프로세스가 단지 싱글사인온을 요청하게 한다.
판정 블록(316)으로 돌아가서, KEK가 이용가능하지 않다고 판정되면, 사용자 로그인 프롬프트는 억제되지 않을 것이고, OS 사용자 인증 프로세스는 통상대로 진행할 것이다(블록(320)).
OS는, 기업 서버들에서 자원들 또는 서비스들에 대한 액세스가 필요할 경우에, 이제 로컬 KEK를 이용하여 적절한 기업 서버에 특정적인 티켓을 얻을 수 있다. 티켓은 OS와 기업 서버 사이의 보안된 통신 채널을 구축하는데 사용될 수 있다. 일 실시예에서, TLS 프로토콜이 TLS 세션을 협상하는데 이용될 수 있다.
도 4는 본 발명의 실시예에 따른 하나 이상의 기업 서버들로부터의 자원들 또는 서비스들에 대한 액세스를 가능하게 하는 예시적인 방법을 설명하는 흐름도(400)이다. 본 발명은 흐름도(400)에 대하여 본원에 설명된 실시예에 한정되지 않는다. 오히려, 다른 기능적 흐름도들이 본 발명의 범위 내에 있는 본원에 제공된 교시들을 읽은 후에 관련 기술 분야(들)에 있는 통상의 기술자에게 명백할 것이다. 프로세스는 블록(402)에서 시작하며, 여기서 프로세스는 즉시 블록(404)으로 진행한다.
블록(404)에서, 사용자가 기업 서비스 또는 자원에 대한 권한을 요청하면, 요청은 ME에게 보내진다. 그 후 프로세스는 블록(406)으로 진행한다.
블록(406)에서, ME는 KEK를 이용하여 기업 KDC로부터의 서비스를 제공하는 기업 서버에 대해 특정적인 티켓을 얻는다. 그 후 프로세스는 블록(408)으로 진행한다.
블록(408)에서, ME는 서비스에 대한 티켓을 수신하면, 그 티켓을 OS(또는 OS 공간 내의 어플리케이션)에 제공한다. 일 실시예에서, 티켓은 티켓에 매립된 키를 포함할 수 있다. 그 후 프로세스는 블록(410)으로 진행한다.
블록(410)에서, OS는 기업 서버와 PC 사이에 보안 통신 채널을 구축하기 위 해 티켓을 이용할 수 있다. 일 실시예에서, TLS 프로토콜을 이용하여 PC와 서버 사이에서 TLS 세션을 협상할 수 있다.
본 발명의 실시예들의 특정 양상들은 하드웨어, 소프트웨어 또는 그 조합을 이용하여 구현될 수 있고, 하나 이상의 컴퓨터 플랫폼들 또는 다른 프로세싱 시스템들로 구현될 수도 있다. 사실상, 일 실시예에서, 방법들은 이동 또는 고정 컴퓨터들, PDA(personal digital assitant)들, 셋탑 박스들, 휴대 전화기들 및 호출기들과 같은 프로그램 가능한 머신들, 및 적어도 하나의 프로세서, 그 적어도 하나의 프로세서에 의해 판독가능한 저장 매체(휘발성 및 불휘발성 메모리 및/또는 저장 소자)를 포함함), 적어도 하나의 입력 디바이스 및 하나 이상의 출력 디바이스들을 각각 포함하는 다른 전자 디바이스들에서 실행되는 프로그램들로 구현될 수 있다. 입력 디바이스를 이용하여 입력되는 데이터에 프로그램 코드가 적용되어, 기술된 기능들을 수행하고 출력 정보를 생성한다. 출력 정보는 하나 이상의 출력 디바이스들에 적용될 수 있다. 본 기술 분야의 통상의 기술자는 본 발명의 실시예들이 멀티프로세서 시스템들, 미니컴퓨터들, 메인프레임 컴퓨터들 등을 포함하는 각종 컴퓨터 플랫폼 구성들과 함께 실시될 수 있음을 이해할 수 있다.
각각의 프로그램은 하이 레벨 절차 또는 객체 지향형 프로그래밍 언어로 구현되어 프로세싱 시스템과 통신할 수 있다. 그러나, 프로그램들은 원한다면, 어셈블리 또는 기계어로 구현될 수 있다. 임의의 경우에, 언어는 컴파일링되거나 번역될 수 있다.
프로그램 명령어들을 이용하여, 그 명령어들로 프로그램되는 범용 또는 특수 목적의 프로세싱 시스템이 본원에 기재된 방법들을 수행하게 할 수 있다. 대안적으로, 방법들은 그 방법들을 수행하기 위한 하드와이어드(hardwired) 로직을 포함하는 특정 하드웨어 컴포넌트들에 의해, 또는 프로그램된 컴퓨터 컴포넌트들 및 맞춤형 하드웨어 컴포넌트들의 임의의 조합에 의해 수행될 수 있다. 본원에 기재된 방법들은 그 방법들을 수행하기 위해 프로세싱 시스템 또는 다른 전자 디바이스를 프로그래밍하는데 사용될 수 있는 명령어들을 저장한 머신 판독가능 매체를 포함할 수 있는 컴퓨터 프로그램 제품으로서 제공될 수 있다. 본원에서 사용되는 "머신 판독가능 매체" 또는 "머신 액세스가능 매체"라는 용어는 머신에 의해 실행되는 명령어들의 시퀀스를 저장하거나 인코딩할 수 있고, 머신으로 하여금 본원에 기재된 방법들 중 어느 하나를 수행하게 하는 임의의 매체를 포함할 수 있다. 따라서, "머신 판독가능 매체" 및 "머신 액세스가능 매체"라는 용어는 고체 상태 메모리들, 광학 및 자기 디스크들 등을 포함하나, 이에 제한되지 않는다. 또한, 본 기술 분야에서 결과를 야기하거나 액션을 취하는 것으로 하나의 형태 또는 다른 형태(예를 들어, 프로그램, 절차, 프로세스, 어플리케이션, 모듈, 로직 등)로 소프트웨어라는 용어를 쓰는 것은 일반적이다. 그러한 표현들은 프로세서가 액션을 수행하거나 결과를 생성하게 하기 위한 프로세싱 시스템에 의한 소프트웨어의 실행을 진술하는 약술 방식일 뿐이다.
본 발명의 다양한 실시예들이 상술되었지만, 그들은 단지 예로서 제시되었을 뿐, 한정적이지 않음을 이해해야 한다. 첨부된 특허 청구 범위에 정의된 발명의 정신 및 범위에서 벗어나지 않고 본원의 형태와 상세에서의 다양한 변경이 이루어 질 수 있다는 것을 본 기술 분야의 통상의 기술자들은 이해할 것이다. 따라서, 본 발명의 폭 및 범위는 상술된 예시적인 실시예들 중 어느 것에 의해서도 제한되어서는 안되며, 이어지는 특허청구범위 및 그 등가물들에 따라 정의되어야 한다.
도 1은 설명된 실시예들의 양태들이 이용될 수 있는 예시적인 컴퓨터 플랫폼을 예시하는 블록도.
도 2는 본 발명의 실시예에 따른 매니지어빌리티 엔진을 이용한 기업 네트워크 싱글사인온을 위한 시스템을 예시하는 블록도.
도 3은 본 발명의 실시예에 따른 매니지어빌리티 엔진을 이용한 기업 네트워크 싱글사인온을 위한 예시적인 방법을 설명하는 흐름도.
도 4는 본 발명의 실시예에 따른 하나 이상의 기업 서버로부터의 자원들 또는 서비스들에 대한 액세스를 가능하게 하는 예시적인 방법을 설명하는 흐름도.
<도면의 주요 부분에 대한 부호의 설명>
102: 프로세서(들)
106: 칩셋
110: 매니지어빌리티 엔진(ME)
116: SATA 컨트롤러
118: SATA 디바이스
120: NVM 컨트롤러
122: NAND 플래시
124: 네트워크 컨트롤러
126: 기업 서비스들
130: 플래시
132: 칩셋 펌웨어
134: 네트워크 컨트롤러 펌웨어
136: BIOS 펌웨어

Claims (19)

  1. 삭제
  2. 삭제
  3. 삭제
  4. 삭제
  5. 보안 액세스 시스템의 매니지어빌리티 엔진(ME)에 의해 수행되는 보안 액세스 방법으로서,
    프리-부트 인증 모듈(PBAM)로부터 사용자 인증 크레덴셜들을 수신하는 단계;
    사용자가 상기 PBAM에 성공적으로 인증된 것에 응답하여, 기업 서버로부터 키 암호화 키(KEK)를 요청하는 단계;
    상기 사용자가 상기 기업 서버에 의해 인증되면 상기 KEK를 수신하여, 상기 KEK를 안전하게 저장하는 단계;
    상기 KEK를 수신한 후에 BIOS가 OS(operating system)의 부팅을 진행하게 하는 단계;
    OS 로그인 프로세스를 인터셉트하는데 이용되는 심(shim)으로부터 상기 KEK에 대한 요청을 수신하는 단계;
    보안 저장 장치로부터 상기 KEK를 검색하는 단계; 및
    상기 KEK를 상기 OS에 전송하는 단계 - 상기 심은, 상기 KEK를 수신시에 OS 로그인 프롬프트를 억제하고, 상기 OS의 부팅을 완료함 -
    를 포함하고,
    상기 OS가 상기 기업 서버에 대한 액세스를 요구하는 경우, 상기 OS는 상기 기업 서버에 특정적인 티켓을 획득하기 위해 상기 ME로부터 상기 KEK를 검색하는 보안 액세스 방법.
  6. 제5항에 있어서,
    BIOS를 통해 상기 PBAM에 대해 사용자가 인증되는 보안 액세스 방법.
  7. 제5항에 있어서,
    상기 PBAM은 사용자를 인증하기 위해 상기 사용자에 대한 인증 도전(challenge)을 제공하며, 상기 인증 도전은 상기 사용자가 상기 사용자 인증 크레덴셜들을 입력하도록 요구하는 보안 액세스 방법.
  8. 제5항에 있어서,
    상기 사용자 인증은 사용자 식별 및 사용자 패스워드를 포함하는 보안 액세스 방법.
  9. 제5항에 있어서,
    기업 서버로부터 키 암호화 키(KEK)를 요청하는 단계는, 기업 네트워크에 대한 접속을 개방하는 단계 및 기업 키 분배 센터(KDC)로부터 상기 KEK를 요청하는 단계를 포함하는 보안 액세스 방법.
  10. 제9항에 있어서,
    상기 KDC는 상기 사용자가 상기 기업 네트워크에 알려진 엔티티인지를, 상기 사용자의 인증성을 확인하기 위한 상기 사용자 인증 크레덴셜들을 이용하여 디렉토리를 질의(query)함으로써 확인하는 보안 액세스 방법.
  11. 제5항에 있어서,
    상기 KEK가 안전하게 저장되면, 상기 KEK는 상기 매니지어빌리티 엔진의 제어하에 있으며, 기업 서버들에 대한 서비스 특정적인 티켓을 획득하기 위해 승인된 권한을 갖는 보안 액세스 방법.
  12. 제5항에 있어서,
    상기 KEK가 안전하게 저장되면, 상기 사용자는 기업 싱글사인온 크레덴셜들(Enterprise single-sign-on credentials)을 이용하여 상기 ME에 로그온되는 보안 액세스 방법.
  13. 제5항에 있어서,
    상기 OS의 부팅은 상기 OS에 대해 상기 사용자를 인증하기 위해 사용자 인증 모듈을 호출하는 것을 포함하는 보안 액세스 방법.
  14. 제5항에 있어서,
    상기 OS 로그인 프롬프트를 억제하는 단계는 싱글사인온을 요청하는 것만을 위해 상기 사용자 인증을 가능하게 하는 보안 액세스 방법.
  15. 복수의 머신 액세스가능한 명령어들을 갖는 컴퓨터 판독가능 저장 매체로서,
    상기 명령어들은 프로세서에 의해 실행되는 경우, 상기 프로세서로 하여금 제5항 내지 제14항 중 어느 한 항에 따른 방법을 수행하게 하는 컴퓨터 판독가능 저장 매체.
  16. 보안 액세스 시스템으로서,
    프리-부트 인증 모듈(PBAM)로부터 사용자 인증 크레덴셜들을 수신하기 위한 수단;
    사용자가 상기 PBAM에 성공적으로 인증된 것에 응답하여, 기업 서버로부터 키 암호화 키(KEK)를 요청하기 위한 수단;
    상기 사용자가 상기 기업 서버에 의해 인증되면 상기 KEK를 수신하여, 상기 KEK를 안전하게 저장하기 위한 수단;
    상기 KEK를 수신한 후에 BIOS가 OS의 부팅을 진행하게 하기 위한 수단;
    OS 로그인 프로세스를 인터셉트하는데 이용되는 심(shim)으로부터 상기 KEK에 대한 요청을 수신하기 위한 수단;
    보안 저장 장치로부터 상기 KEK를 검색하기 위한 수단; 및
    상기 KEK를 상기 OS에 전송하기 위한 수단 - 상기 심은, 상기 KEK를 수신시에 OS 로그인 프롬프트를 억제하고, 상기 OS의 부팅을 완료함 -
    을 포함하고,
    상기 OS가 기업 서버에 대한 액세스를 요구하는 경우, 상기 OS는 상기 기업 서버에 특정적인 티켓을 획득하기 위해 상기 보안 액세스 시스템으로부터 상기 KEK를 검색하는 보안 액세스 시스템.
  17. 제16항에 있어서,
    BIOS를 통해 상기 PBAM에 대해 사용자가 인증되는 보안 액세스 시스템.
  18. 제16항에 있어서,
    기업 서버로부터 키 암호화 키(KEK)를 요청하기 위한 수단은, 기업 네트워크에 대한 접속을 개방하고 기업 키 분배 센터(KDC)로부터 상기 KEK를 요청하는 것을 포함하는 보안 액세스 시스템.
  19. 제16항에 있어서,
    상기 KEK가 안전하게 저장되면, 상기 KEK는 상기 보안 액세스 시스템의 제어하에 있으며, 기업 서버들에 대한 서비스 특정적인 티켓을 획득하기 위해 승인된 권한을 갖는 보안 액세스 시스템.
KR1020090130600A 2008-12-30 2009-12-24 매니지어빌리티 엔진에 의한 기업 네트워크 싱글사인온을 위한 방법 및 시스템 KR101250065B1 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US12/319,065 US8856512B2 (en) 2008-12-30 2008-12-30 Method and system for enterprise network single-sign-on by a manageability engine
US12/319,065 2008-12-30

Related Child Applications (1)

Application Number Title Priority Date Filing Date
KR1020110035735A Division KR101597378B1 (ko) 2008-12-30 2011-04-18 매니지어빌리티 엔진에 의한 기업 네트워크 싱글사인온을 위한 방법 및 시스템

Publications (2)

Publication Number Publication Date
KR20100080390A KR20100080390A (ko) 2010-07-08
KR101250065B1 true KR101250065B1 (ko) 2013-04-03

Family

ID=41694633

Family Applications (2)

Application Number Title Priority Date Filing Date
KR1020090130600A KR101250065B1 (ko) 2008-12-30 2009-12-24 매니지어빌리티 엔진에 의한 기업 네트워크 싱글사인온을 위한 방법 및 시스템
KR1020110035735A KR101597378B1 (ko) 2008-12-30 2011-04-18 매니지어빌리티 엔진에 의한 기업 네트워크 싱글사인온을 위한 방법 및 시스템

Family Applications After (1)

Application Number Title Priority Date Filing Date
KR1020110035735A KR101597378B1 (ko) 2008-12-30 2011-04-18 매니지어빌리티 엔진에 의한 기업 네트워크 싱글사인온을 위한 방법 및 시스템

Country Status (5)

Country Link
US (3) US8856512B2 (ko)
EP (1) EP2204754A1 (ko)
JP (2) JP2010157227A (ko)
KR (2) KR101250065B1 (ko)
CN (1) CN101771689B (ko)

Families Citing this family (59)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8856512B2 (en) 2008-12-30 2014-10-07 Intel Corporation Method and system for enterprise network single-sign-on by a manageability engine
US8509449B2 (en) * 2009-07-24 2013-08-13 Microsoft Corporation Key protector for a storage volume using multiple keys
US8462955B2 (en) * 2010-06-03 2013-06-11 Microsoft Corporation Key protectors based on online keys
EP2588950A4 (en) * 2010-07-01 2015-08-19 Hewlett Packard Development Co USER MANAGEMENT ARCHITECTURE FOR SEVERAL ENVIRONMENTS ON A DATA PROCESSING DEVICE
US10482254B2 (en) * 2010-07-14 2019-11-19 Intel Corporation Domain-authenticated control of platform resources
US9367327B2 (en) * 2010-09-24 2016-06-14 Intel Corporation Method to ensure platform silicon configuration integrity
US8607054B2 (en) 2010-10-15 2013-12-10 Microsoft Corporation Remote access to hosted virtual machines by enterprise users
US9519784B2 (en) 2011-09-30 2016-12-13 Hewlett-Packard Development Company, L.P. Managing basic input/output system (BIOS) access
EP2761524A4 (en) * 2011-09-30 2015-05-13 Intel Corp SAFE DISPLAYS FOR SAFE TRANSACTIONS
EP2590100A1 (en) 2011-11-04 2013-05-08 British Telecommunications Public Limited Company Method and apparatus for securing a computer
FR2989197B1 (fr) * 2012-04-05 2014-05-02 Toucan System Procede de securisation d'acces a un dispositif informatique
JP5968077B2 (ja) * 2012-05-22 2016-08-10 キヤノン株式会社 情報処理装置、その制御方法、プログラム、及び画像処理装置
US9208298B2 (en) * 2012-06-18 2015-12-08 Google Inc. Pass through service login to application login
US8973095B2 (en) 2012-06-25 2015-03-03 Intel Corporation Authenticating a user of a system via an authentication image mechanism
US9336357B2 (en) 2012-09-28 2016-05-10 Intel Corporation Secure access management of devices
US9705869B2 (en) 2013-06-27 2017-07-11 Intel Corporation Continuous multi-factor authentication
DE102014101836A1 (de) * 2014-02-13 2015-08-13 Fujitsu Technology Solutions Intellectual Property Gmbh Verfahren zum Hochfahren eines Produktions-Computersystems
US9411975B2 (en) 2014-03-31 2016-08-09 Intel Corporation Methods and apparatus to securely share data
US10298555B2 (en) * 2014-04-04 2019-05-21 Zettaset, Inc. Securing files under the semi-trusted user threat model using per-file key encryption
US10043029B2 (en) 2014-04-04 2018-08-07 Zettaset, Inc. Cloud storage encryption
US10873454B2 (en) 2014-04-04 2020-12-22 Zettaset, Inc. Cloud storage encryption with variable block sizes
US9749310B2 (en) * 2015-03-27 2017-08-29 Intel Corporation Technologies for authentication and single-sign-on using device security assertions
US10073964B2 (en) 2015-09-25 2018-09-11 Intel Corporation Secure authentication protocol systems and methods
US10013561B2 (en) 2015-10-30 2018-07-03 Ncr Corporation Dynamic pre-boot storage encryption key
US10037418B2 (en) * 2015-11-25 2018-07-31 Dell Products L.P. Pre-boot authentication credential sharing system
US9875113B2 (en) * 2015-12-09 2018-01-23 Quanta Computer Inc. System and method for managing BIOS setting configurations
US10339317B2 (en) 2015-12-18 2019-07-02 Intel Corporation Computing devices
JP6609472B2 (ja) * 2015-12-25 2019-11-20 Ｄｙｎａｂｏｏｋ株式会社 電子機器、方法およびプログラム
US10367643B2 (en) * 2016-03-28 2019-07-30 Symantec Corporation Systems and methods for managing encryption keys for single-sign-on applications
CN105975845B (zh) * 2016-07-04 2020-03-27 深圳市游云龙科技有限公司 一种机构的登录方法及登录装置
US10484382B2 (en) 2016-08-31 2019-11-19 Oracle International Corporation Data management for a multi-tenant identity cloud service
US10594684B2 (en) 2016-09-14 2020-03-17 Oracle International Corporation Generating derived credentials for a multi-tenant identity cloud service
US10846390B2 (en) 2016-09-14 2020-11-24 Oracle International Corporation Single sign-on functionality for a multi-tenant identity and data security management cloud service
US10511589B2 (en) 2016-09-14 2019-12-17 Oracle International Corporation Single logout functionality for a multi-tenant identity and data security management cloud service
US10445395B2 (en) 2016-09-16 2019-10-15 Oracle International Corporation Cookie based state propagation for a multi-tenant identity cloud service
EP3513542B1 (en) 2016-09-16 2021-05-19 Oracle International Corporation Tenant and service management for a multi-tenant identity and data security management cloud service
US10484243B2 (en) 2016-09-16 2019-11-19 Oracle International Corporation Application management for a multi-tenant identity cloud service
US10904074B2 (en) 2016-09-17 2021-01-26 Oracle International Corporation Composite event handler for a multi-tenant identity cloud service
US10454915B2 (en) * 2017-05-18 2019-10-22 Oracle International Corporation User authentication using kerberos with identity cloud service
US11343243B2 (en) * 2017-08-23 2022-05-24 Corsha, Inc. Machine-to-machine streaming authentication of network elements
US11308132B2 (en) 2017-09-27 2022-04-19 Oracle International Corporation Reference attributes for related stored objects in a multi-tenant cloud service
US10705823B2 (en) 2017-09-29 2020-07-07 Oracle International Corporation Application templates and upgrade framework for a multi-tenant identity cloud service
CN109729523B (zh) * 2017-10-31 2021-02-23 华为技术有限公司 一种终端联网认证的方法和装置
US10715564B2 (en) 2018-01-29 2020-07-14 Oracle International Corporation Dynamic client registration for an identity cloud service
US11321187B2 (en) 2018-10-19 2022-05-03 Oracle International Corporation Assured lazy rollback for a multi-tenant identity cloud service
US11095628B2 (en) 2019-01-24 2021-08-17 Dell Products L.P. Device locking key management system
US11792226B2 (en) 2019-02-25 2023-10-17 Oracle International Corporation Automatic api document generation from scim metadata
US11423111B2 (en) 2019-02-25 2022-08-23 Oracle International Corporation Client API for rest based endpoints for a multi-tenant identify cloud service
EP3915030B1 (en) * 2019-04-30 2023-10-18 Hewlett-Packard Development Company, L.P. Storage of network credentials
US11347859B2 (en) * 2019-08-01 2022-05-31 Dell Products L.P. Systems and methods for leveraging authentication for cross operating system single sign on (SSO) capabilities
US11687378B2 (en) 2019-09-13 2023-06-27 Oracle International Corporation Multi-tenant identity cloud service with on-premise authentication integration and bridge high availability
US11870770B2 (en) 2019-09-13 2024-01-09 Oracle International Corporation Multi-tenant identity cloud service with on-premise authentication integration
CN111125674B (zh) * 2019-12-20 2022-03-22 中国银联股份有限公司 开放式数据处理系统、开放式数据系统及数据处理方法
CN112035820B (zh) * 2020-07-22 2024-02-02 北京中安星云软件技术有限公司 一种用于Kerberos加密环境下的数据解析方法
US11469880B2 (en) * 2020-08-20 2022-10-11 EMC IP Holding Company LLC Data at rest encryption (DARE) using credential vault
US11601418B2 (en) 2020-10-14 2023-03-07 Bank Of America Corporation System for increasing authentication complexity for access to online systems
CN113472735B (zh) * 2021-05-13 2023-06-13 新华三大数据技术有限公司 一种大数据服务单点登录方法、装置及存储介质
CN113704724B (zh) * 2021-11-01 2022-01-11 天津南大通用数据技术股份有限公司 一种基于Kerberos机制实现数据库登录认证的方法
KR102657533B1 (ko) 2022-04-27 2024-04-16 한국정보인증주식회사 Qr코드를 활용한 토큰 기반 인증 sso 시스템 및 방법

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5919257A (en) 1997-08-08 1999-07-06 Novell, Inc. Networked workstation intrusion detection system
KR100705380B1 (ko) * 2005-10-19 2007-04-10 (주)이월리서치 보안 컴퓨터 시스템을 이용하여 정보 유출을 방지하는 방법
US7299354B2 (en) * 2003-09-30 2007-11-20 Intel Corporation Method to authenticate clients and hosts to provide secure network boot
US20070282757A1 (en) 2006-06-02 2007-12-06 Microsoft Corporation Logon and machine unlock integration

Family Cites Families (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7231513B1 (en) * 1999-12-17 2007-06-12 Intel Corporation Dynamically linked basic input/output system
US20030188193A1 (en) * 2002-03-28 2003-10-02 International Business Machines Corporation Single sign on for kerberos authentication
US7587750B2 (en) * 2003-06-26 2009-09-08 Intel Corporation Method and system to support network port authentication from out-of-band firmware
US7275263B2 (en) * 2003-08-11 2007-09-25 Intel Corporation Method and system and authenticating a user of a computer system that has a trusted platform module (TPM)
US20050228993A1 (en) * 2004-04-12 2005-10-13 Silvester Kelan C Method and apparatus for authenticating a user of an electronic system
US20060021018A1 (en) 2004-07-21 2006-01-26 International Business Machines Corporation Method and system for enabling trust infrastructure support for federated user lifecycle management
US7660913B2 (en) * 2005-04-20 2010-02-09 Intel Corporation Out-of-band platform recovery
CN100546245C (zh) * 2006-01-11 2009-09-30 西安电子科技大学 跨安全域的网络认证和密钥分配方法
US9262602B2 (en) * 2006-09-29 2016-02-16 Hewlett-Packard Development Company, L.P. Extensible bios interface to a preboot authentication module
US20080148046A1 (en) * 2006-12-07 2008-06-19 Bryan Glancey Real-Time Checking of Online Digital Certificates
US7917741B2 (en) * 2007-04-10 2011-03-29 Standard Microsystems Corporation Enhancing security of a system via access by an embedded controller to a secure storage device
US9158920B2 (en) * 2007-06-28 2015-10-13 Intel Corporation System and method for out-of-band assisted biometric secure boot
US20090067688A1 (en) * 2007-09-07 2009-03-12 Authentec, Inc. Finger sensing apparatus with credential release and associated methods
US8516566B2 (en) * 2007-10-25 2013-08-20 Apple Inc. Systems and methods for using external authentication service for Kerberos pre-authentication
CN101286843B (zh) * 2008-06-03 2010-08-18 江西省电力信息通讯有限公司 点对点模式下单点登录方法
US8856512B2 (en) 2008-12-30 2014-10-07 Intel Corporation Method and system for enterprise network single-sign-on by a manageability engine

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5919257A (en) 1997-08-08 1999-07-06 Novell, Inc. Networked workstation intrusion detection system
US7299354B2 (en) * 2003-09-30 2007-11-20 Intel Corporation Method to authenticate clients and hosts to provide secure network boot
KR100705380B1 (ko) * 2005-10-19 2007-04-10 (주)이월리서치 보안 컴퓨터 시스템을 이용하여 정보 유출을 방지하는 방법
US20070282757A1 (en) 2006-06-02 2007-12-06 Microsoft Corporation Logon and machine unlock integration

Also Published As

Publication number Publication date
KR101597378B1 (ko) 2016-02-25
JP5512841B2 (ja) 2014-06-04
JP2013084312A (ja) 2013-05-09
KR20100080390A (ko) 2010-07-08
CN101771689B (zh) 2015-05-13
US10489574B2 (en) 2019-11-26
US20150095638A1 (en) 2015-04-02
JP2010157227A (ja) 2010-07-15
US20170323095A1 (en) 2017-11-09
CN101771689A (zh) 2010-07-07
US9626502B2 (en) 2017-04-18
KR20110044962A (ko) 2011-05-03
EP2204754A1 (en) 2010-07-07
US20100169640A1 (en) 2010-07-01
US8856512B2 (en) 2014-10-07

Similar Documents

Publication Publication Date Title
US10489574B2 (en) Method and system for enterprise network single-sign-on by a manageability engine
US11366906B2 (en) Domain-authenticated control of platform resources
US8201239B2 (en) Extensible pre-boot authentication
US9426147B2 (en) Protected device management
KR101556069B1 (ko) 대역외 원격 인증
US8909940B2 (en) Extensible pre-boot authentication
US10169589B2 (en) Securely booting a computer from a user trusted device
US20160342803A1 (en) Computer device and method for controlling access to a resource via a security system
US9864853B2 (en) Enhanced security mechanism for authentication of users of a system
US7765407B2 (en) Method and apparatus for providing centralized user authorization to allow secure sign-on to a computer system

Legal Events

Date Code Title Description
A201 Request for examination
E902 Notification of reason for refusal
A107 Divisional application of patent
E701 Decision to grant or registration of patent right
GRNT Written decision to grant
FPAY Annual fee payment

Payment date: 20160303

Year of fee payment: 4

FPAY Annual fee payment

Payment date: 20170302

Year of fee payment: 5

FPAY Annual fee payment

Payment date: 20190227

Year of fee payment: 7