KR20050013559A - 제휴 환경에서 사용자에 의해 결정된 인증 및 단일 사인온을 위한 방법 및 시스템 - Google Patents

제휴 환경에서 사용자에 의해 결정된 인증 및 단일 사인온을 위한 방법 및 시스템

Info

Publication number
KR20050013559A
KR20050013559A KR10-2004-7019287A KR20047019287A KR20050013559A KR 20050013559 A KR20050013559 A KR 20050013559A KR 20047019287 A KR20047019287 A KR 20047019287A KR 20050013559 A KR20050013559 A KR 20050013559A
Authority
KR
South Korea
Prior art keywords
user
authentication
service provider
server
client
Prior art date
Application number
KR10-2004-7019287A
Other languages
English (en)
Other versions
KR100800339B1 (ko
Inventor
힌턴헤더마리아
Original Assignee
인터내셔널 비지네스 머신즈 코포레이션
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 인터내셔널 비지네스 머신즈 코포레이션 filed Critical 인터내셔널 비지네스 머신즈 코포레이션
Publication of KR20050013559A publication Critical patent/KR20050013559A/ko
Application granted granted Critical
Publication of KR100800339B1 publication Critical patent/KR100800339B1/ko

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/382—Payment protocols; Details thereof insuring higher security of transaction
    • G06Q20/3821—Electronic credentials
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q30/00—Commerce
    • G06Q30/06—Buying, selling or leasing transactions

Abstract

크로스-도메인, 단일 사인 온, 인증 기능을 위한 방법, 시스템, 또는 컴퓨터 프로그램 제품이 제공된다. 사용자는 하나 이상의 인증 서비스 제공자(ANPS)와 약정할 수 있다. 온라인 은행 또는 온라인 상인과 같은 전자상거래 서비스 제공자(ECSP)는 또한 ANSP와의 관계를 유지하여 ECSP가 사용자를 대신하여 ANSP에 의해 보증되는 사용자의 인증된 아이덴티티를 신뢰할 수 있도록 한다. 사용자는 특정 ECSP와의 선험 관계를 설정할 필요없이 제휴 환경의 임의의 전자상거래 서비스 제공자를 방문할 수 있다. ECSP의 도메인이 사용자의 인증 서비스 제공자 중 적어도 하나와 관계를 갖는 한, 사용자는 ECSP에서의 단일 사인 온 경험을 가질 수 있을 것이다.

Description

제휴 환경에서 사용자에 의해 결정된 인증 및 단일 사인 온을 위한 방법 및 시스템{METHOD AND SYSTEM FOR USER-DETERMINED AUTHENTICATION AND SINGLE-SIGN-ON IN A FEDERATED ENVIRONMENT}
정보 기술(IT) 시스템 및 인터넷은 현재 전세계 경제 성장의 원동력이 되고 있다. IT 시스템이 상당한 이점들을 갖고 있지만, 동시에, 이러한 시스템들은 허가되지 않은 제3자로부터 잠재적인 보안 위협에 직면해 있다. 사실 현대 IT 시스템에서의 보안의 결함은 전세계 컴퓨터 네트워크의 통합에 위협으로 나타나 있다. 이러한 문제를 다루기 위해, IT 시스템은 데이터 인증, 데이터 비밀성, 엔티티 인증,허가 등과 같은 다수의 공지된 서비스를 제공한다.
인증 및 허가는 다양한 방법으로 이루어질 수 있으며, 기업들은 사용자에 친숙한 방법으로, 허가된 사용자들에게 다양한 위치로부터의 보호 자원들에 대한 안전한 액세스를 제공하기를 바랄 수 있다. 안전한 인증 메커니즘을 제공함으로써 보호 자원들에 대한 허가되지 않은 액세스의 위험을 감소시킬 수 있지만, 동일한 인증 메커니즘들은 사용자가, 보호 자원들과 인터랙트하는데 장애가 될 수 있다. 사용자들은 일반적으로 애플리케이션들을 지원하는 각 특정 시스템을 보호하는 인증 장벽들에 관계 없이 하나의 애플리케이션과 인터랙트하는 것으로부터 또 다른 애플리케이션과 인터랙트하도록 건너뛸 수 있는 능력을 원한다.
사용자가 점점 더 정교해짐에 따라, 컴퓨터 시스템이 그들의 동작들을 조정하여 사용자에 대한 짐을 덜어주기를 기대한다. 이러한 유형의 기대들은 또한 인증 프로세스에도 적용된다. 사용자는 일단 몇몇 컴퓨터 시스템에 의해 인증된 경우 그 인증이 사용자에게는 거의 분간이 되지 않는 다양한 컴퓨터 아키텍쳐 경계에 관계없이 사용자의 작업 기간 내내, 또는 적어도 특정 시간 주기 동안 유효하여야 한다고 생각할 수도 있다. 기업들은 일반적으로 그들의 배치된 시스템들의 동작 특징에 있어서 이러한 기대치들을 충족시킴으로써, 사용자 효율이 피용자 생산성 또는 고객 만족에 관련되어 있든지 아니든지, 사용자들을 회유하는 한편 사용자 효율을 증가시키려고 노력한다.
보다 구체적으로, 다수의 애플리케이션이 공통의 브라우저를 통해 접근 가능한 웹 기반 사용자 인터페이스를 갖는 현재의 컴퓨팅 환경과 함께, 사용자들은 사용자에게 더 친숙하고 하나의 웹 기반 애플리케이션에서 또 다른 웹 기반 애플리케이션으로 이동하는데 낮거나 빈도가 적은 장벽을 기대한다. 이러한 상황에서, 사용자들은 각 특정 도메인을 보호하는 인증 장벽에 관계없이 하나의 인터넷 도메인 상의 애플리케이션과 인터랙트하는 것으로부터 또 다른 도메인 상의 또 다른 애플리케이션과 인터랙트하는 것으로 건너뛸 수 있는 능력을 기대하게 된다. 그러나 다수의 시스템이, 사용하기 쉽고, 웹에 기반한 인터페이스를 통해 안전한 인증을 제공할지라도, 사용자는 여전히 일단의 도메인에 걸쳐 사용자 액세스를 방해하는 다중 인증 프로세스에 직면하게 될 수 있다. 사용자가 주어진 시간 내에 다중 인증 프로세스에 직면하게 됨에 따라 사용자의 효율에 상당한 영향을 미칠 수 있다.
더 많은 조직들이 제휴 컴퓨팅 환경에 참가함에 따라, 다중 인증 프로세스 또는 시스템에 의해 제공되는 장벽들은 더욱더 보편화되어 가고 있다. 제휴 환경에 있어서, 하나의 조직의 등록된 멤버인 사용자는 또 다른 조직에 의해 제어되는 원격 자원에 액세스할 수 있다. 제휴 환경에서, 각 조직은 조직 자체의 등록된 사용자 및 자원의 관리에 책임이 있지만, 제휴 조직의 컴퓨터 시스템은 몇몇 방식으로 상호 동작하여 조직의 등록된 멤버들간에 자원을 공유한다.
예를 들면, 각 사용자는 사용자에게 일정한 기본 서비스를 제공하는 "홈 도메인(home domain)"에 등록된다. 사용자는 전형적으로 인증 프로세스의 일정 형태를 통해 사용자의 홈 도메인으로 로그인하고, 이후 사용자의 이전에 정의된 허가 속성에 따라 홈 도메인에 의해 지원되는 안전한 자원에 액세스할 수 있게 된다. 이러한 방식으로 사용자는 사용자의 홈 도메인과 영속적인(permanent) 관계를 갖는다. 또한, 홈 도메인은 "제휴(federation)" 또는 "제휴 환경", 때로는 B2B 또는 e-커뮤니티 도메인으로 불리는 환경에서 다수의 다른 도메인과 영속적인 관계를 가질 수 있다.
제휴 환경의 다중 인증 프로세스 또는 시스템에 의해 제공되는 장벽들을 감소시키는 해법들이 제안되었다. 출원 번호(서류 번호 AUS9-2000-0770-US1, 2000년9월11일 제출), "Method and system for Web-based cross-domain single-sign-on authentication"에서, "크로스-도메인 단일 사인 온(cross-domain single-sign-on)"이라 불리는 방법이 설명되었으며, 여기에서 사용자는 제2 도메인에 재인증하지 않고, 홈 도메인으로부터, 참가하려는 보안 도메인으로 이전할 수 있다. 설명된 해법에서의 결함은, 사용자가 사용자의 홈 도메인으로부터, 참가하려는 도메인으로 단지 직접적으로 이전할 수 있다는 것이다. 출원 번호(서류 번호 AUS9-2001-0769US1, 제출 미정) "System and method for user enrollment in an e-community"에서, 해법이 설명되었으며, 여기에서 사용자는 "도메인 아이덴티티 쿠키(domain identity cookie)"를 이용하여, 참가하려는 도메인과 영속적인 관계를 설정할 수 있다. 이러한 해법을 통해 사용자는 이러한 도메인으로 직접 (예를 들면, 우선 사용자의 홈 도메인을 거쳐야 할 필요 없이 북마크 또는 직접 URL(Uniform Resource Locator)를 통하여) 이동할 수 있다. 이러한 유연한 해법을 통해 사용자는 사용자가 참가하려는 e-커뮤니티에 관한 세부사항을 알 필요없이 단순한 사용자 경험을 할 수 있다. 이러한 해법은 구현하기 쉽고, 이용하기 쉽고, 크로스-도메인 단일 사인 온 기능의 안전한 방법을 제공한다.
이러한 해법 모두는 각각 사용자가 사용자를 인증할 수 있는 단지 하나의 도메인만을 가져야 하고, 사용자에 의해 방문된 임의의 도메인은 사용자의 홈 도메인의 선험적인 인식 및 신뢰를 가져야 한다는 어려움이 있다.
그러므로 분산 시스템을 통해 사용자 인증이 각 보안 도메인에 대한 인증 장벽없이 제공될 수 있는 방법 및 시스템을 갖는 것은 장점이 있다. 다시 말하면, 사용자가 하나의 보안 도메인으로 인증될 수 있고, 이후 제2 도메인에 재인증해야 할 필요없이 또 다른 보안 도메인으로 이전할 수 있는 크로스-도메인, 단일 사인 온 인증을 갖는 것은 장점이 있다. 특히, 이러한 개방 표준의 합법적인 사용에 전적으로 기초하는 해법에서 개방 표준을 이용하는 것은 장점이 있다.
본 출원은 참조로서 여기에 통합되어 있는 다음의 출원과 관련된다:
미국 특허 출원 번호(서류 번호 AUS9-2000-0770-US1, 2000년9월11일 제출), "Method and system for Web-based cross-domain single-sign-on authentication":
미국 특허 출원 번호(서류 번호 AUS9-2001-0769-US1, 제출 미정), "System amd method for user enrollment in an e-community".
본 발명은 개선된 데이터 프로세싱 시스템, 특히, 다중 컴퓨터 데이터 전송을 위한 방법 및 장치에 관한 것이다. 보다 구체적으로 본 발명은 컴퓨터 대 컴퓨터 인증을 위한 방법 및 장치를 제공한다.
도 1a는 각각 본 발명을 구현할 수도 있는 데이터 프로세싱 시스템의 전형적인 네트워크를 도시하는 도면.
도 1b는 본 발명이 구현될 수 있는 데이터 프로세싱 시스템 내에서 이용될 수 있는 전형적인 컴퓨터 아키텍쳐를 도시하는 도면.
도 1c는 본 발명이 구현될 수 있는 웹 기반 환경을 예시하는 도면.
도 1d는 클라이언트가 보호 자원에 액세스하려고 시도할 때 이용될 수 있는 종래 기술의 프로세스를 예시하는 데이터 흐름도.
도 2는 본 발명이 구현될 수 있는 제휴 환경을 도시하는 블록 다이어그램.
도 3은 전자상거래 서비스 제공자의 제어되는 자원에 액세스하려고 시도하는 사용자를 위해, 전자상거래 서비스 제공자가 사용자에 의해 결정된 인증 서비스 제공자로부터 인증된 아이덴티티를 검색하려고 시도하는 프로세스를 도시하는 흐름도.
도 4는 인증 서비스 제공자가 전자상거래 제공자를 요청하는 사용자를 보증해야하는지 여부를 판단하는 프로세스를 도시하는 흐름도.
도 5는 전자상거래 서비스 제공자에 의해 사용자가 인증 서비스 제공자 및/또는 관련된 옵션을 선택할 수 있는 프로세스를 도시하는 흐름도.
도 6은 제휴 환경 내의 단일 사인 온과 관련하여 인증 서비스 제공자를 선택하기 위해 사용자에게 이용 가능한 선택할 수 있는 옵션을 도시하는 그래픽 사용자 인터페이스 윈도우.
크로스-도메인, 단일 사인 온, 인증 기능을 위한 방법, 장치, 시스템, 또는 컴퓨터 프로그램 제품이 제공된다. 전자상거래 서비스 제공자는 제어되는 자원에 대해 액세스하려는 클라이언트로부터 요청을 수신하고, 전자상거래 서비스 제공자는 다수의 인증 서비스 제공자 중 하나의 제공자의 스펙이, 클라이언트를 위한 제어되는 자원에 대한 액세스를 결정하는데 있어서, 전자상거래 서비스 제공자에 의해 사용될 수 있도록 한다. 전자상거래 서비스 제공자는 제어되는 자원에 대한 접속 요청과 함께 인증 서비스 제공자의 스펙을 수신할 수 있으며, 이는 쿠키 형태일 수 있다. 다른 대안으로, 제어되는 자원에 대한 접속과 함께 인증 서비스 제공자가 수신되지 않았다면, 전자 상거래 서비스 제공자는 다수의 인증 서비스 제공자 중 하나의 제공자에 대한 사용자 선택을 제공할 수도 있다. 전자상거래 서비스 제공자는 또한 사용자를 다수의 인증 서비스 제공자 중 하나에 대한 사용자 선택과 지속적으로 연관시키는 옵션의 사용자 선택을 제공할 수 있다. 전자상거래 서비스 제공자는 전자상거래 서비스 제공자로부터의 인증 요청을 특정된 인증 서비스 제공자에게 전송하고, 특정된 인증 서비스 제공자로부터의 인증 응답에 기초하여, 제어되는 자원에 대한 액세스를 제공할 것인지 여부를 판단한다.
일반적으로, 본 발명을 포함하거나 본 발명과 관련될 수 있는 장치는 매우 다양한 데이터 프로세싱 기술을 포함한다. 그러므로, 본 발명을 상세히 설명하기 이전에, 배경 지식으로, 분산 데이터 프로세싱 시스템 내의 하드웨어 및 소프트웨어 컴포넌트의 전형적인 구성을 설명한다.
이제 도면을 참조하면, 도 1a은 데이터 프로세싱 시스템의 전형적인 네트워크를 도시하며, 이들 각각은 본 발명을 구현할 수 있다. 분산 데이터 프로세싱 시스템(100)은 네트워크(101)를 포함하며, 이는 분산 데이터 프로세싱 시스템(100) 내에 함께 접속된 컴퓨터 및 다양한 장치간의 통신 링크를 제공하기 위해 이용될 수 있는 매체이다. 네트워크(101)는 와이어 또는 광섬유 케이블과 같은 영속적인 접속, 또는 전화 또는 무선 통신을 통한 일시적인 접속을 포함할 수 있다. 도시된 예에서, 서버(102) 및 서버(103)는 스토리지 장치(104)와 함께 네트워크(101)에 접속된다. 또한, 클라이언트(105-107)는 네트워크(101)에 접속된다. 클라이언트(105-107) 및 서버(102-103)는 메인프레임, 개인용 컴퓨터, PDA 등과 같은 다양한 컴퓨팅 장치에 의해 표현될 수 있다. 분산 데이터 프로세싱 시스템(100)은 도시되지 않은 부가적인 서버, 클라이언트, 라우터, 다른 장치, 및 피어 투 피어 아키텍쳐를 포함할 수 있다.
도시된 예에서, 분산 데이터 프로세싱 시스템(100)은 LDAP, TCP/IP, HTTP 등과 같이 서로 통신하기 위해 다양한 프로토콜을 이용하는 게이트웨이 및 네트워크의 세계적인 집합을 나타내는 네트워크(101)를 갖는 인터넷을 포함할 수 있다. 물론 분산 데이터 프로세싱 시스템(100) 또한, 예를 들면, 인트라넷, 근거리 통신망(LAN), 또는 광역 통신망(WAN)과 같은 다수의 상이한 유형의 네트워크를 포함할 수 있다. 예를 들면, 서버(102)는 직접적으로 클라이언트(109) 및 네트워크(110)를 지원하며, 무선 통신 링크를 통합한다. 네트워크가 인에이블된 전화(111)는 무선 링크(112)를 통해 네트워크(110)에 접속하고, PDA(113)은 무선 링크(114)를 통해 네트워크(110)에 접속한다. 전화(111) 및 PDA(113)은 또한 BluetoothTM무선 기술과 같은 적절한 기술을 이용하여 무선 링크(115)를 거쳐 자신들간에 데이터를 직접적으로 전송하여 소위 개인 영역 네트워크 또는 개인 애드혹 네트워크를 생성할 수 있다. 유사한 방식으로 PDA(113)은 무선 통신 링크(116)을 통해 PDA(107)에 데이터를 전송할 수 있다.
본 발명은 다양한 하드웨어 및 소프트웨어 환경에서 구현될 수 있다. 도 1a는 이종의 컴퓨터 환경의 예로서 의도되며, 본 발명을 위한 아키텍쳐 한정으로 의도되지 않는다.
이제 도 1b를 참조하면, 다이어그램은 도 1a에 도시된 것과 같은 데이터 프로세싱 시스템의 전형적인 컴퓨터 아키텍쳐를 도시하며, 여기에서 본 발명이 구현될 수 있다. 데이터 프로세싱 시스템(120)은 내부 시스템 버스에 연결된 하나 이상의 중앙 처리 장치(CPU)(122)를 포함하며, 내부 시스템 버스는 RAM(124), ROM(126), 및 입출력 어댑터(128)를 상호 연결하며, 입출력 어댑터는 프린터(130), 디스크 장치(132), 또는 오디오 출력 시스템 등과 같은 다양한 I/O 장치, 또는 다른 도시되지 않은 장치를 지원한다. 시스템 버스(123)는 또한 통신 링크(136)에 대한 액세스를 제공하는 통신 어댑터(134)를 연결한다. 사용자 인터페이스 어댑터(148)는 키보드(140) 및 마우스(142)와 같은 다양한 사용자 장치 또는 터치 스크린, 스타일러스, 마이크로폰 등과 같이 도시되지 않은 다른 장치를 연결한다. 디스플레이 어댑터(144)는 시스템 버스(123)를 디스플레이 장치(146)에 연결한다.
당업자라면 도 1b의 하드웨어가 시스템 구현에 따라 변할 수 있다는 것을 이해할 것이다. 예를 들면, 시스템은 Intel?Pentium?기반 프로세서 및 디지털 신호 프로세서(DSP)와 같은 하나 이상의 프로세서 및 하나 이상의 유형의 휘발성 및 비휘발성 메모리를 가질 수 있다. 도 1b에 도시된 하드웨어 대신 또는 이에 부가하여 다른 주변 장치들이 이용될 수 있다. 도시된 예들은 본 발명에 관하여 구조적인 한정을 수반함을 의미하지 않는다.
다양한 하드웨어 플랫폼 상에서 구현될 수 있는 것 외에, 본 발명은 다양한 소프트웨어 환경에서 구현될 수 있다. 전형적인 운용 시스템을 이용하여 각 데이터 프로세싱 시스템 내의 프로그램 실행을 제어할 수 있다. 예를 들면, 하나의 장치는Unix?운용 시스템을 구동할 수 있는 반면, 또 다른 장치는 단순한 Java?런타임 환경을 포함한다. 대표적인 컴퓨터 플랫폼은 브라우저를 포함할 수 있으며, 이는 그래픽 파일, 워드 프로세싱 파일, XML(Extensible Markup Language), HTML(Hypertext Markup Language), HDML(Handheld Device Markup Language), WML(Wireless Markup Language), 및 다양한 다른 포맷 및 유형의 파일과 같은 다양한 포맷으로 하이퍼텍스트 문서에 액세스하기 위해 잘 알려진 소프트웨어 애플리케이션이다. 도 1a에 도시된 분산 데이터 프로세싱 시스템은 다양한 피어 투 피어 서브넷 및 피어 투 피어 서비스를 완전히 지원할 수 있는 것으로 생각됨에 주목한다.
이제 도 1c를 참조하면, 네트워크 다이어그램은 본 발명이 구현될 수 있는, 더 특징적이지만 포괄적이고 웹에 기반한 환경을 예시한다. 이러한 환경에서, 클라이언트(150)에서 브라운저(152)의 사용자는 DNS 도메인(156)에서의 웹 애플리케이션 서버(154), 또는 DNS 도메인(160)에서의 웹 애플리케이션 서버(158) 상에서, 보호 자원에 액세스하기를 원한다. 보호 자원은, 요청 클라이언트 브라우저가 인증되고 허가되는 경우, 단지 액세스되거나 검색되는 자원(애플리케이션, 객체, 문서, 페이지, 파일, 실행 가능한 코드, 또는 다른 계산을 요구하는 자원, 계산-유형 자원 등)이다. 각 DNS 도메인은 연관된 인증 서버(162)를 가질 수 있다. 전형적으로, 일단 사용자가 인증 서버에 의해 인증되는 경우, 쿠키가 부라우저 내의 쿠키 캐쉬에 설정되고 저장될 수 있다. 요청 클라이언트는 보호 자원에 대한 도메인 내의 요청 또는 도메인간 요청을 형성할 수 있다. 도메인 내의 요청은 타겟 자원이 인증을수행하는 서버와 동일한 서버 상에 위치하고 있음을 의미한다. 도메인간 요청은 타겟 자원이 동일한 인터넷 도메인 내에 위치하지만 인증을 설정했던 인증 서버와 상이한 서버 상에 있음을 의미한다. 크로스-도메인 요청은 사용자가, 사용자가 현재 이용하고 있는 DNS 도메인 밖에 있는 보호 자원에 액세스하기를 원함을 의미한다.
이제 도 1d를 참조하면, 데이터 흐름도는 클라이언트가, 보호 자원에 액세스하려고 시도할 때, 이용될 수 있는 종래 기술의 프로세스를 예시한다. 예시한 바와 같이, 클라이언트 워크스테이션(170)에서의 사용자는 컴퓨터 네트워크 상에서, 클라이언트 워크스테이션 상에서 실행되는 사용자의 웹 브라우저를 통해 서버(172) 상의 보호 자원에 대한 액세스를 탐색한다. 상술한 바와 같이, 보호 자원은, 인증되고 허가된 사용자에 의해 단지 액세스될 수 있는, URL(Uniform Resource Locator), 또는 더 일반적으로는 URI(Uniform Resource Identifier)에 의해 식별된다. 컴퓨터 네트워크는 도 1a 또는 도 1b에 도시된 바와 같이 인터넷, 인트라넷, 또는 다른 네트워크일 수 있고, 서버는 웹 애플리케이션 서버(WAS), 서버 애플리케이션, 서버 프로세스, 또는 이와 유사한 것일 수 있다.
프로세스는 사용자가 도메인 "ibm.com" 내의 웹 페이지와 같은 보호 자원을 요청할 때 개시된다(단계 174). 웹 브라우저(또는 연관된 애플리케이션 또는 애필릿)는 도메인 "ibm.com"을 호스트하는 웹 서버에 전송되는 HTTP 요청을 생성한다(단계 176). 서버는 클라이언트에 대한 활성 세션을 가지고 있지 않다고 판단하며(단계 178), 따라서 서버는 클라이언트에게 몇몇 유형의 인증 신청(authentication challenge)을 전송함으로써 사용자가 인증 프로세스를 수행하도록 요구한다(단계180). 인증 신청은 HTML(Hypertext Markup Language) 형태와 같은 다양한 형태일 수 있으며, 사용자는 사용자 식별자 및 연관된 패스워드와 같은 요구된 정보를 이러한 형태로 입력해야 한다(단계 182).
HTML 형태의 인증 응답 정보는 서버로 전송되며, 여기에서 서버는 이전에 전송된 등록을 검색하고, 제공된 인증 정보와 사용자의 저장된 정보를 매칭하여 사용자를 인증한다. 인증이 성공적이라고 가정할 경우, 유일한 세션 식별자(세션 ID)를 갖는 보안 소켓층(SSL) 세션이 인증된 사용자에게 할당된다(단계 186).
도 1d가 전형적인 종래 기술의 프로세스를 도시하고 있지만, 활성 세션으로 사용자를 식별하기 위해 쿠키를 이용하는 것과 같이 다른 대체 세션 상태 관리 기술이 이 시점에서 도시될 수 있으며, 이는 인증 증거를 제공하기 위해 이용되는 쿠키와 동일한 쿠키를 이용하는 것을 포함할 수 있다.
이 후 서버는 요청된 웹 페이지를 검색하고 클라이언트에게 HTTP 응답을 전송한다(단계 188). 이 시점에서, 사용자는 하이퍼텍스트 링크를 클릭함으로써 브라우저 내의 "ibm.com" 내의 또 다른 페이지를 요청할 수 있고(단계 190), 브라운저는 서버에 또 다른 HTTP 요청을 전송한다(단계 192). 이 시점에서, 서버는 사용자가 활성 세션을 가지고 있음을 인식하고(단계 194), 서버는 또 다른 HTTP 응답으로 요청된 웹 페이지를 클라이언트에게 전송한다(단계 196).
상술한 바와 같이, 본 발명은 다양한 네트워크 및 하드웨어 플랫폼 내에서 이용될 수 있다. 보다 구체적으로, 본 발명은 사용자가 다중 가입된 도메인 내의 보호 자원에 액세스하려고 시도할 때, 인증 목적으로 사용자가 신청되지 않도록 하는 방법론을 제공한다. 이로써 크로스-도메인, 단일 사인 온 제휴 또는 배열에 참여하는 도메인들간 자유로운 이동의 일정 정도가 가능하다. 예를 들면, 대규모 인트라넷은 각각 자신의 사용자 집합 및 보호 자원을 갖는 다중 도메인을 가질 수 있다. 그러나 보호 자원은 공통의 범 기업 제휴를 가질 수 있고 사용자 집합들간에 상당한 오버랩이 있을 수 있다. 사용자는 개별 도메인에 진입할 때, 다중 인증 신청을 패스해야 할 필요가 없어 어느 정도의 효율 또는 생산성을 얻을 수 있다. 그러므로 본 발명은 웹 사이트에 걸쳐 자유로운 이동에 대한 장벽을 제거하려고 시도한다.
보다 특징적으로, 상술한 바와 같이, 분산 인증에 대한 몇몇 이전의 해법으로는, 사용자가 사용자를 인증할 수 있는 단지 하나의 도메인만을 갖고, 사용자에 의해 방문된 임의의 도메인은 사용자의 홈 도메인에 대한 선행 지식 및 신뢰를 가져야하는 것이 요구되는 어려움이 있다. 대조적으로, 본 발명은 사용자가 하나 이상의 인증 서비스 제공자(ANSP)와 관계를 맺을 수 있도록 한다. 사용자는 이러한 ANSP와의 관계를 유지하고 ANSP에 인증한다. 온라인 은행 또는 온라인 상인과 같은 전자상거래 서비스 제공자(DCSP)는 또한 ANSP와 관계를 유지하여, 전자상거래 서비스 제공자가, 사용자를 위해 인증 서비스 제공자에 의해 제공되는 사용자의 인증된 아이덴티티를 신뢰할 수 있도록 한다. 사용자는 그 특정한 전자상거래 서비스 제공자와의 선행 관계를 설정할 필요없이 임의의 전자상거래 서비스 제공자를 방문할 수 있다. 전자상거래 서비스 제공자의 도메인이 사용자의 인증 서비스 제공자 중 적어도 하나의 제공자와 관계를 맺는 한, 사용자는 그 전자상거래 서비스 제공자에서 "단일 사인 온" 경험을 할 수 있을 것이다.
본 발명은 사용자가 사이트에서 그들의 등록을 커스터마이즈하도록 함으로써, 미국 특허 출원 번호(서류 번호 AUS9-2001-0769US1, 제출 미정) "System and method for user enrollment in an e-community"에서 설명된 등록 프로세스를 확장한다. 다시 말하면, 사용자는 사용자의 인증된 아이덴티티를 보장할 수 있는 신뢰된 제3자의 위치를 사이트에 표시함으로써 사이트에 "등록(enroll)"할 것을 선택할 수 있다. 이러한 프로세스는 도메인 아이덴티티 쿠키(DIDC)의 설정을 초래할 수 있으며, 이는 미국 특허 출원 번호(서류 번호 AUS9-2001-0769US1)에서 설명되었다.
다른 대안으로, 사용자는 도메인 아이덴티티 쿠키를 갖지 않을 것을 선택하여, 사용자가, 주어진 사이트에 대해 각각 초기 액세스할 경우, 또는 보다 구체적으로는 사용자가, 주어진 사이트와 현재 활성 세션을 가지고 있지 않을 때에 각각 액세스할 경우, 신뢰된 제3자의 위치를 표시하여야 하도록 할 수 있다. 본 발명의 이러한 특징 및 다른 특징들은 나머지 도면에 대하여 이하에서 더 상세히 설명된다.
이제 도 2를 참조하면, 블록 다이어그램은 본 발명이 구현될 수 있는 제휴 환경을 도시한다. 도 2에 도시되는 것과 같은 제휴 환경은 사용자, 전자상거래 서비스 제공자(ECSP), 및 인증 서비스 제공자(ANSP)를 포함한다. ECSP는 제휴에 참여하고 있는 비지니스 엔티티에 대응한다. ANSP는 사용자가 인증하고 ECSP에 대한 인증의 증거를 제공하는 엔티티에 대응한다. 주어진 e-커뮤니티 내에서 전자상거래 서비스 제공자 및 인증 서비스 제공자의 역할은 별개의 엔티티 또는 단일 엔티티에의해 제공될 수 있다.
제휴 환경(200)은 브라우저 애플리케이션(204)을 갖는 클라이언트(202)에 의해 표현되는 사용자; 두개의 전자상거래 서비스 제공자인 ECSP(210) 및 ECSP(212); 및 두개의 인증 서비스 제공자인 ANSP(214) 및 ANSP(216)을 포함한다. 사용자는 ANSP(216)과 인증 관계(220)를 갖는다. ECSP(210)는 ANSP(214)와 신뢰 관계(222) 및 ANSP(216)와 신뢰 관계(224)를 갖는다. ECSP(212)는 ANSP(216)와 신뢰 관계(226)를 갖는다. 사용자는 각각 네트워크 경로(230 및 232)를 따라 ECSP(210) 및 ECSP(212)에 액세스하려고 시도한다.
그러므로 이러한 예에서 도시되고 이하에서 더 상세하게 설명되는 바와 같이, 본 발명은 사용자가 적어도 하나의 인증 서비스 제공자 및 아마도 다수의 인증 서비스 제공자와 인증 관계를 이전에 설정했다는 사실에 의존하며, 이는 주로 사용자가 인증/신원증명 서비스를 위해 인증 서비스 제공자에 등록하거나 가입하는 "아웃 오브 밴드(out-of-band)" 프로세스이다. 사용자는 사용자 명칭/패스워드, 스마트 카드, 생체 인식, 또는 디지털 증명서와 같은 상이한 강도의 인증에 대해 계약할 수 있다; 다시 말하면, 본 발명은 다양한 근본적인 인증 방식을 상호 운용할 수 있다.
본 발명은 또한 전자 상거래 서비스 제공자가 적어도 하나의 인증 서비스 제공자 및 아마도 다수의 인증 서비스 제공자와 신뢰 관계를 이전에 설정했다는 사실에 의존하며, 이는 주로 전자상거래 서비스 제공자 및 인증 서비스 제공자가 인증/신원증명 서비스에 관계한 각 당사자의 책임에 관한 다양한 형태의 동의에 관여하는 "아웃 오브 밴드(out-of-band)" 프로세스이다. 전자상거래 서비스 제공자는 상이한 강도의 인증에 대해 약정할 수 있고, 본 발명은 다양한 근본적인 인증 방식을 상호 운용할 수 있다.
신뢰 관계를 설정하는 프로세스의 부분으로서, 전자상거래 서비스 제공자 및 인증 서비스 제공자는 신뢰 관계를 설정하기 위해 이용되는 정보의 아웃 오브 밴드(out-of-band) 교환에 관여하며, 이러한 정보는 공유 비밀 키, 디지털 증명서, 또는 몇몇 다른 유형의 정보를 포함할 수 있다. 이러한 정보는 사용자 트랜잭션 동안 전자상거래 서비스 제공자에 의해 인증 서비스 제공자에게 제공되는 사용자 신원증명 정보를 보호하기 위해 이용된다. 공개 키(public-key) 기술을 이용하여 이러한 정보를 교환할 수도 있으나, 공개 키 및 연관된 증명서의 제한, 및 전자상거래 서비스 제공자에게 제공되는 신원증명에 대한 보안 요건으로 인하여, (본 발명이 공개 키 기반 기술과 운용 가능하지만) 비밀 키가 바람직하다.
바람직한 실시예는 다음과 같은 이유로 공개 키 기반 기술보다는 비밀 키 기반 기술을 이용한다. 신원증명 및/또는 인증된 아이덴티티 정보는 사용자의 클라이언트 애플리케이션(전형적으로는 HTTP 전환을 이용하는 브라우저)을 경유하여 인증 서비스 제공자로부터 전자상거래 서비스 제공자에게로 인터넷을 통해 전달된다. 이러한 상황에서, 정보는 보호되어야 하고, 이는 사용자의 인증 아이덴티티 정보 및 (인증 방법, 개인 정보 등과 같은) 부가적인 정보를 포함하는 토큰을 암호화함으로써 이루어진다. 비밀 키 기술은 공개 키 기술을 이용하는 것보다 효율적이므로 바람직하다. 예를 들면, 이러한 정보가 전자상거래 서비스 제공자의 공개 키로 암호화되는 경우, 그 정보가 인증 서비스 제공자로부터 왔다는 증거가 없을 것이다. 그 정보가 인증 서비스 제공자의 개인 키로 암호화되는 경우, 토큰의 복사본을 얻은 자가 이를 복호화하지 못하도록 할 수 없으며, 이는 잠재적으로 비밀 정보를 누설할 것이다. 이는 토큰이, 인증 서비스 제공자의 개인 키로 한번, 이후 전자상거래 서비스 제공자의 공개 키로 이중으로 암호화되어야 함을 의미한다. 그러므로 토큰을 보호하기 위해서는 두번의 암호화가 요구되고, 이를 복원하기 위해서는 두번의 복호화가 요구된다. 비밀 키 기술을 이용하면, 단지 한번의 암호화 및 한번의 복호화가 요구된다.
도 3을 참조하면, 흐름도는 전자상거래 서비스 제공자가, 전자상거래 서비스 제공자에서 제어되고/보호되는 자원에 액세스하려고 시도하는 사용자를 위해, 사용자에 의해 결정된 인증 서비스 제공자로부터 인증된 아이덴티티를 검색하려고 시도하는 프로세스를 도시한다. 도 3은 사용자가 자원에 대한 액세스를 요청할 때 개시되는 프로세스를 도시하고, 전자상거래 서비스 제공자는 액세스 제어 결정이 요구된다고 결정하였다. 액세스 제어 결정이 수행되기 위해서, 전자상거래 서비스 제공자는 사용자를 위한 인증된 아이덴티티를 요구한다. 제휴 환경 내의 단일 사인 온 동작의 부분으로서, 전자상거래 서비스 제공자는 신원증명(예를 들면, 사용자 명칭/패스워드를 통한 로그인)을 위해 사용자를 프롬프트하지 않는다. 대신에 전자상거래 서비스 제공자는 인증 서비스 제공자로부터 인증된 아이덴티티(또는 보증(vouch-for) 토큰과 같은 신원증명)를 검색하려고 시도할 것이다. 본 발명에 따라, 사용자는 잠재적으로 다수의 인증 서비스 제공자들 중 하나의 제공자에 인증 동작을 지시하는 능력을 갖는다. 그러나, 전자상거래 서비스 제공자는, 특히 전자상거래 서비스 제공자가 사용자의 홈 도메인일 때, 사용자 자체를 인증할 수 있으며, 그럼에도 불구하고 전자상거래 제공자가 사용자의 홈 도메인이 아닐 때에는, 전자상거래 제공자가 사용자를 인증하기 위해 통상 인증 서비스 제공자를 이용할 것임에 주목한다.
도 3의 프로세스는 보호 자원에 대한 액세스를 위해 사용자로부터 요청을 수신하는 전자상거래 서비스 제공자로 시작한다(단계 302). 이후 전자상거래 서비스 제공자가 사용자를 위한 인증된 아이덴티티 또는 권한 증명을 이미 가지고 있는지 여부에 대한 결정이 이루어진다(단계 304). 그렇지 않은 경우, 전자상거래 서비스 제공자는 사용자를 위한 장기간(long-term) 토큰을 가지고 있는지 여부를 결정한다(단계 306). 장기간(long-term) 토큰은 ANSP 아이덴티티 쿠키(AIDC)일 수 있으며, 이는 상술한 도메인 아이덴티티 쿠키와 유사하지만 사용자의 선호하는 인증 서비스 제공자를 식별한다. AIDC가 사용자의 브라우저에서 이전에 설정될 수 있었기 때문에, 전자상거래 서비스 제공자는 사용자에 대한 AIDC를 소유할 수 있으며, AIDC가 전자상거래 서비스 제공자의 도메인에 대한 모든 요청을 수반하는 것을 사용자의 브라우저가 보장하기 때문에, 전자상거래 서비스 제공자는 제어되는 자원에 대한 요청을 수반했을 때 쿠키를 수신할 수 있었을 것이다. 전자상거래 서비스 제공자는 장기간(long-term) 토큰으로부터 사용자의 선호하는 인증 서비스 제공자의 아이덴티티를 추출하고(단계 308), 표시되거나 선호하는 인증 서비스 제공자에 대한 보증(vouch-for) 요청을 생성한다(단계 310). 전자상거래 서비스 제공자는 사용자의 브라우저를 통해 HTTP 전환을 이용하여 인증 서비스 제공자에게 보증(vouch-for) 요청을 전송한다(단계 312).
단계(302-312)에 대하여 설명되는 시나리오가 주어지면, 본 발명의 효과를 이해할 수 있다. 전자상거래 서비스 제공자가 사용자에 대한 인증된 아이덴티티/권한 증명을 아직 가지고 있지 않을지라도, 즉, 사용자가 전자상거래 서비스 제공자와 새로운 세션을 개시하고 있는 경우, 이러한 특정 세션 동안 전자상거래 서비스 제공자에게 임의의 이러한 인증 정보를 직접적으로 제공하도록 사용자가 요구를 받지 않을지라도, 전자상거래 서비스 제공자는 사용자의 선호하는 인증 서비스 제공자로부터 사용자를 위한 보증(vouch-for) 토큰을 얻으려고 시도할 수 있다.
계속해서, 적절한 일정 시점에서, 전자상거래 서비스 제공자는 사용자의 브라우저를 통해 HTTP 전화을 이용하여 인증 서비스 제공자로부터 보증(vouch-for) 응답을 수신한다(단계 314). 전자 상거래 서비스 제공자는 토큰을 언패킹(unpack)하여 사용자 인증 응답을 검색하고(단계 316), 이를 조사하여 유효한 인증이 완료되었는지 여부를 결정한다(단계 318). 만일 그렇다면, 전자상거래 서비스 제공자는 사용자를 위한 세션 증명을 형성하고(단계 320) 액세스 제어 결정 동작을 개시한다(단계 322). 사용자가 허가되어 있는지 여부에 대해 결정이 이루어지고(단계 324), 액세스 제어 결정의 결과가 긍정적인 경우, 즉, 사용자가 허가되어 있는 경우, 전자상거래 서비스 제공자는 보호 자원에 대한 액세스를 제공하고(단계 326) 프로세스는 완료된다.
다시 단계(304)를 참조하면, 전자상거래 서비스 제공자가 이미 사용자를 위한 인증된 아이덴티티 또는 권한 증명을 가지고 있는 경우, 프로세스는 단계(322)로 분기하며, 이 단계에서 전자상거래 서비스 제공자는 즉각적으로 액세스 제어 결정을 수행한다. 이러한 시나리오는 사용자가 전자상거래 서비스 제공자에서의 동일 또는 유사한 제어되는 자원에 이미 액세스할 때 발생할 수 있다.
다시 단계(306)를 참조하면, 전자상거래 서비스 제공자가 사용자를 위한 장기간(long-term) 토큰을 가지고 있지 않은 경우, 프로세스는 도 5에 도시된 바와 같이 서브 프로세스를 완료하기 위해 분기하며, 이하에서 더 설명될 것이다.
이제 도 4를 참조하면, 흐름도는 인증 서비스 제공자가 전자상거래 서비스 제공자를 요청하는 사용자를 보증해야 하는지 여부를 결정하는 프로세스를 도시한다. 도 4의 흐름도는 단계(312)에서 상술한 바와 같이 전자상거래 서비스 제공자가 인증 서비스 제공자에게 보증(vouch-for) 요청을 전송할 때, 인증 서비스 제공자에 발생하는 프로세싱을 도시한다.
도 4의 프로세스는 특정 인증 서비스 제공자가 주어진 사용자를 위한 전자상거래 서비스 제공자로부터 보증(vouch-for) 요청을 수신할 때 시작한다(단계 402). 인증 서비스 제공자가 사용자를 위한 활성 세션을 가지고 있는지 여부에 대한 결정이 이루어진다(단계 404). 인증 서비스 제공자가 사용자에 대한 활성 또는 현재 세션을 아직 가지고 있지 않은 경우, 인증 서비스 제공자는 사용자를 프롬프트하여 인증 동작의 몇몇 형태를 완료할 수 있다(단계 406).
사용자가 인증되었는지 여부에 대한 결정이 이루어진다(단계 408). 사용자가 인증되었다면, 인증 서비스 제공자는 사용자가 긍정적으로 인증되었음을 표시하는인증 토큰을 형성한다(단계 410). 사용자가 인증되지 않았다면, 인증 서비스 제공자는 사용자가 인증 동작에 실패했음을 표시하는 인증 토큰을 형성한다(단계 412). 둘중 어느 경우에라도, 인증 서비스 제공자는 사용자의 브라우저를 통한 HTTP 전환을 거쳐, 요청하는 전자상거래 서비스 제공자에게 인증 토큰을 포함하는 보증(vouch-for) 응답 메시지를 전송하고(단계 414), 프로세스는 완료된다. 양쪽 경우에 있어서, 인증 서비스 제공자는 더미(dummy) 정보를 삽입하거나, 그렇지 않으면 보증(vouch-for) 메시지의 내용을 마스크(mask)하여, 스누퍼(snooper)가 성공 및 실패한 보증(vouch-for) 토큰 - 이는 사용자의 인증 시도에 관한 정보를 제공함 - 을 구별짓지 못하도록 할 수 있다.
다시 단계(404)를 참조하면, 인증 서비스 제공자가 사용자를 위한 활성 세션을 가지는 경우, 사용자가 긍정적으로 인증되었음을 표시하는 인증 토큰을 인증 서비스 제공자가 즉각적으로 형성할 수 있기 때문에, 프로세스는 단계(410)로 분기한다. 이러한 시나리오는 사용자가 또 다른 전자상거래 서비스 제공자에서의 인증된 아이덴티티 증명을 이미 요구했을 때 발생하며, 이러한 전자상거래 서비스 제공자는 사용자가 인증 동작을 수행하도록 요구하였을 것이다. 인증 서비스 제공자는 아마도 인증 서비스 제공자에서 사용자의 인증 세션이 유효한 최대 주기와 같은 일정한 제한하에 사용자를 위한 세션을 유지한다.
이제 도 5를 참조하면, 흐름도는 전자상거래 서비스 제공자 사용자로 하여금 인증 서비스 제공자 및/또는 관련된 옵션을 선택할 수 있도록 하는 프로세스를 도시한다. 도 3에 도시된 프로세스는 단계(306)를 통해 도 5에 도시된 서브 프로세스에 이른다. 이러한 시나리오에서, 전자상거래 서비스 제공자가 사용자를 위한 장기간(long-term) 토큰을 갖지 않는 경우, 프로세스는 분기하여 도 5에 도시되는 서브 프로세스를 완료한다.
도 5에 도시된 프로세스는 사용자에게 전자상거래 서비스 제공자에 의해 인식되는 ANSP의 메뉴를 제공하는 전자상거래 서비스 제공자로 시작한다(단계 502). 본 발명에 따라, 인증 서비스 제공자는 전자상거래 서비스 제공자가 이미 신뢰 관계를 갖고 있는 것이여야만 함에도 불구하고, 전자상거래 서비스 제공자는 사용자로 하여금 선호되는 인증 서비스 제공자를 선택할 수 있도록 한다. 그렇지 않다면, 사용자는, 전자상거래 서비스 제공자가 인식하는, 즉, 후술하는 바와 같이 전자상거래 서비스 제공자와 신뢰 관계를 갖고 있는 인증 서비스 제공자와의 관계를 설정할 기회를 제공받는다.
대화형 박스 또는 일정한 다른 사용자 입력 메카니즘의 형태일 수 있는 메뉴를 제공한 후, 전자상거래 서비스 제공자는 사용자 선택을 수신한다(단계 504). 이 시점에서, 사용자가 계류중인 트랜잭션 취소를 요청할 것인지 여부에 대한 결정이 이루어지고, 만일 그렇다면, 프로세스는 도 3의 단계(328)로 분기하며, 이 시점에서 사용자는 제어되는 자원에 대한 액세스가 부정될 것이다. 이 시점에서 사용자가 계류중인 트랜잭션 취소를 요청하지 않는 경우, 전자상거래 서비스 제공자에게 사용자가 특정 인증 서비스 제공자 이용을 항상 원한다고 통지하는 특정 옵션을, 사용자가 선택하였는지 여부에 대한 결정이 이루어진다(단계 508). 만일 그렇다면, 전자상거래 서비스 제공자는 사용자의 선택된 인증 서비스 제공자를 표시하는 AIDC를 설정하며(단계 510), 이는 사용자 대화형 박스로부터 검색되는 사용자 입력 내의 다른 곳에서 표시될 것이다. 이러한 가능한 실시예에 있어서, AIDC는 사용자의 브라우저에서 쿠키를 설정함으로써 설정될 수 있다.
둘중 어느 경우에라도, 사용자가, 인증 서비스 제공자로부터 보증(vouch-for) 정보를 검색하기 위한 옵션을 선택하였는지 여부에 대한 결정이 이루어지며(단계 512), 이를 위해 특정 인증 서비스 제공자의 아이덴티티가 사용자 대화형 박스로부터 수신되는 사용자 입력 내의 다른 곳에서 표시될 것이다. 다시 말하면, 사용자는 전자상거래 서비스 제공자가 이용하여야 하는 선호되는 인증 서비스 제공자를 선택하여 사용자를 인증하고, 전자상거래 서비스 제공자가, 선택된 인증 서비스 제공자에 대한 보증(vouch-for) 요청을 생성하는 단계(310)로 프로세스가 분기한다.
사용자가 인증 서비스 제공자로부터 보증(vouch-for) 정보를 검색하기 위한 옵션을 선택하지 않는 경우, 사용자가 인증 서비스 제공자와의 관계를 설정하기 위한 옵션을 선택하였는지 여부에 대한 결정이 이루어진다(단계 514). 만일 그렇다면, 전자상거래 서비스 제공자는, 예를 들면, 사용자의 브라우저를 사용자의 선택된 인증 서비스 제공자에 의해 지원되는 특정 페이지로 전환함으로써, 선택된 인증 서비스 제공자에게 일정 형태의 관계 설정 요청을 전송한다(단계 516).
상기 옵션들 중 어느 것도 발생하지 않는다면, 전자상거래 서비스 제공자에 의해 일정한 방식으로 프로세싱 에러가 표시되고(단계 518), 프로세스는 완료된다.
이제 도 6을 참조하면, 그래픽 사용자 인터페이스 윈도우는, 사용자가 제휴환경 내의 단일 사인 온 동작과 관련하여 인증 서비스 제공자를 선택할 수 있도록 하는 전자상거래 서비스 제공자를 전자상거래 서비스 제공자가 허용하는 프로세스를 도시하는 것으로부터 사용자에 이용하는 선택 가능한 옵션을 도시한다. 대화형 박스(600)는 3 개의 인증 서비스 제공자의 식별자들로 라벨되는 3 개의 라디오 버튼 제어(602-606)를 도시한다. 전자상거래 서비스 제공자가, 선호되는 인증 서비스 제공자를 선택할 기회를 사용자에게 제공할 때, 사용자에게 대화형 박스(600)가 제공될 수 있다. 대부분의 웹 환경에서, 대화형 박스(600)에 도시되는 제어들은 아마도 HTML 포맷의 문서, 즉 웹 페이지 형태로 제공될 것이다.
취소 버튼(608)은 사용자에게 계류중인 요청을 취소할 기회를 제공하여, 인증 정보를 위해 프롬프트되기 이전에, 제어되는 자원에 액세스할 수 있도록 한다. 전자상거래 서비스 제공자가 인증 목적으로 인증 서비스 제공자와 교신할 필요가 있을 때, 체크 박스(610)는 선택되는 인증 서비스 제공자가 항상 전자상거래 서비스 제공자에 의해 이용되어야 함을 요청할 능력을 사용자에게 제공한다. 버튼(612)은 대화형 박스를 닫고, 라디오 버튼에 의해 표시되는 인증 서비스 제공자가 전자상거래 서비스 제공자에 의한 보증(vouch-for) 요청을 위해 이용되어야 함을 사용자가 요청했다고 전자상거래 서비스 제공자에게 통지한다. 버튼(614)은 대화형 박스를 닫고, 사용자가 라디오 버튼에 의해 표시되는 인증 서비스 제공자와의 관계를 설정하고자 함을 전자상거래 서비스 제공자에게 통지한다.
사용자의 아이덴티티를 보증하는 프로세스는 때때로 제휴 환경 또는 e-커뮤니티를 통해 "인증 선언의 이전(transfer of authentication assertion)"으로 언급된다. 사용자의 홈 도메인은 또 다른 도메인에 대한 사용자의 아이덴티티를 보증한다. 이는 제휴 환경의 각 멤버 조직이 홈 도메인의 사용자를 관리하고 다른 도메인으로부터의 보증된 아이덴티티를 맵핑하기 위한 규칙 집합을 제공하는 역할을 담당함을 의미한다.
다시 도 2를 참조하면, 본 발명은 도 2에 도시되는 제휴 환경에 대하여 더 상세히 설명될 수 있다. 사용자가 ECSP(210) 또는 ECSP(212)에 의해 지원되는 도메인과 같이, 사용자가 활성, 인증된 세션을 가지고 있지 않은 도메인으로부터 자원을 요청할 때 보증(vouch-for) 프로세스가 발생한다.
클라이언트(202)에서의 사용자는 ECSP(210)로부터 자원에 액세스하려고 시도하고, 사용자는 결코 ECSP(210)에서 자원에 액세스한 적이 없다고 가정한다. 그러므로 클라이언트(202)에서는 ECSP(210)에 의해 설정되는 AIDC가 없고, ECSP(210)는 선호되는 인증 서비스 제공자의 아이덴티티를 위해 사용자를 프롬프트할 것이다. 상술되고 도 6에 도시된 바와 같이, 사용자는 "ANSP-X로 인증(authenticate with ANSP-X)" 또는 "ANSP-X로 등록(enroll with ANSP-X)"와 같은 옵션들을 제공받을 수 있다. 또한, 선택된 인증 서비스 제공자를 항상 이용하기 위한 옵션은 전체 요청과 연관될 것이다. 일단 사용자가 이러한 옵션을 선택한 경우, ECSP(210)는 사용자에 의해 선택된 인증 서비스 제공자에 전송될 적절한 토큰을 형성할 것이다.
사용자가 ANSP(214)로 인증하기 위한 옵션을 선택했다고 가정한다. ECSP(210)는 ANSP(214)를 위한 보증(vouch-for) 요청을 형성할 것이고, 클라이언트(202)의 브라우저를 통한 전환에 의해 이러한 요청을 ANSP(214)에 전송할 것이다.보증(vouch-for) 요청은 ANSP(214)에 의해 수신될 것이고, ANSP(214)가 사용자와 현재 유효한 세션을 가지고 있는 경우, ANSP(214)는 보증(vouch-for) 응답을 형성하고, 사용자의 브라우저를 통한 HTTP 전환을 이용하여 이를 ECSP(210)로 전환할 것이다. ANSP(214)가 사용자와의 현재 활성 세션을 가지고 있지 않은 경우, ANSP(214)는 인증 정보를 위해 사용자를 프롬프트할 것이다. 인증 성공에 기초하여, ANSP(214)는 ECSP(210)를 위한 보증(vouch-for) 응답을 형성할 것이고, 보증(vouch-for) 응답은 성공적인 인증 또는 실패한 인증 중 어느 하나를 표시할 수 있다. 이러한 보증(vouch-for) 응답은 사용자의 브라우저를 통한 HTTP 전환을 이용하여 ECSP(210)로 반환될 것이다.
ANSP(214)로부터 성공적인 인증 표시를 갖는 보증(vouch-for) 토큰을 수신하는 경우, ECSP(210)는 클라이언트(202)를 위한 세션을 활성화할 것이고, 사용자의 요청에 대한 액세스 제어 결정을 할 것이다. 사용자가 "항상 이러한 ANSP를 이용함(always use this ANSP)" 옵션을 선택한 경우, ECSP(210)는 사용자를 위해 ANSP 아이덴티티 쿠키(AIDC)를 형성할 것이다. 이러한 쿠키는 사용자의 선호하는 인증 서비스 제공자를 식별할 것이다. 현재 활성 세션이 없는 경우, ECSP(210)에서 자원에 대한 또 다른 액세스는, 사용자의 브라우저를 통한 HTTP 전환을 거쳐 ANSP(214)로부터 보증(vouch-for) 토큰에 대한 요청을 자동적으로 생성할 것이다. 이러한 방식으로, 보증(vouch-for) 토큰을 통해, 제휴 환경, 즉 e-커뮤니티 내에서, 홈 도메인으로부터 다른 도메인으로 정보가 전달된다. 보증(vouch-for) 토큰을 이용하여 제휴 환경에서 나머지 다른 조직에 대한 사용자의 아이덴티티의 진정성(authenticity)을 보증할 수 있다. 보증(vouch-for) 토큰은 단지 요청될 때에만 각 e-커뮤니티 도메인에 대해 생성될 것이고 의도된 도메인 이외의 e-커뮤니티 도메인에 의해서는 이용될 수 없다. 보증(vouch-for) 토큰은 단지 전환(re-direction)을 위해서 존재하고 사용자의 지속(persistent) 또는 비지속(non-persistent) 쿠키 스토리지에는 상주하지 않을 것이라는 점에서 바람직하게는 일시적이다. 또한, 보증(vouch-for) 토큰은 바람직하게는 암호화에 의해 보호된다. 보증(vouch-for) 토큰은 "요청하는(requesting)" e-커뮤니티 도메인으로 전환되는 응답에 포함된다. 요청하는 프런트-엔드/도메인이 그 응답을 수신할 때, 그것은 보증(vouch-for) 토큰을 분석하고, 사용자의 아이덴티티를 로컬 아이덴티티로 맵핑하고, 사용자를 위한 증명을 생성하고, 액세스 제어 결정을 행하고, 사용자의 요청에 적절한 응답을 제공할 것이다. 이 후 이러한 프런트-엔드는 도메인 내에서 사용자의 아이덴티티를 보증할 수 있다.
본 발명의 이점은 상기 제공된 발명의 상세한 설명을 살펴보면 명확해진다. 본 발명은 사용자로 하여금 하나 이상의 인증 서비스 제공자(ANSP)들과 약정할 수 있도록 한다. 사용자는 이러한 ANSP와 관계를 유지하고 인증 서비스 제공자에 인증한다. 온라인 은행 또는 온라인 상인과 같은 전자상거래 서비스 제공자(ECSP)는 또한 ANSP와 관계를 유지하여 전자상거래 서비스 제공자가 사용자를 대신하여 ANSP에 의해 제공되는 사용자의 인증된 아이덴티티를 신뢰할 수 있도록 한다. 사용자는 특정 전자상거래 서비스 제공자와의 선험 관계를 설정해야 할 필요 없이 임의의 전자상거래 서비스 제공자를 방문할 수 있다. 전자상거래 서비스 제공자의 도메인이 적어도 하나의 사용자의 인증 서비스 제공자와 관계를 갖는 한, 사용자는 그 전자상거래 서비스 제공자에서 "단일 사인 온" 경험을 할 수 있을 것이다. 본 발명으로, 사용자는 일정 조건하에서 제휴 환경 내의 제2 도메인에서, 보호 자원에 액세스하려고 시도할 때, 인증 목적으로 신청되지 않는다. 이로써 크로스-도메인에 참여하는 도메인간에 일정 정도의 자유로운 이동, 단일 사인 온 제휴 또는 배열이 가능하게 된다. 사용자는 웹 사이트들에 걸쳐 자유롭게 이동하는데 장벽일 수 있는 다중 인증 신청을 거칠 필요없이 일정 효율 또는 생산성을 얻는다.
본 발명이 완전히 기능하는 데이터 프로세싱 시스템의 상황에서 설명되었지만, 당업자라면 본 발명의 프로세스가, 분배를 수행하기 위해 실제로 이용되는 신호 포함 매체의 특정 유형에 관계없이, 컴퓨터로 판독 가능한 매체에 있는 명령어들의 형태 및 다양한 다른 형태로 분배될 수 있음을 이해할 것이다. 컴퓨터로 판독 가능한 매체의 예에는 EPROM, ROM, 테이프, 페이퍼, 플로피 디스크, 하드 디스크 드라이브, RAM, 및 CD-ROM과 같은 매체 및 디지털 및 아날로그 통신 링크와 같은 전송형 매체가 포함된다.
본 발명의 설명은 예시용으로 제공되었으며, 개시된 실시예에만 해당되거나 이에 한정되도록 의도된 것은 아니다. 다수의 변경 및 변화들이 당업자에게 자명할 것이다. 본 발명의 원리 및 그 실제 응용을 설명하고, 당업자가 본 발명을 이해하여 다른 계획된 이용들에 적합할 수 있는 다양한 변경과 함께 다양한 실시예들을 구현할 수 있도록 하기 위한 실시예들이 선택되었다.

Claims (22)

  1. 데이터 프로세싱 시스템 내에서 사용자를 인증하는 방법에 있어서,
    제어되는 자원에 액세스하기 위해 클라이언트로부터의 요청을 전자상거래 서비스 제공자에서 수신하는 단계와;
    상기 클라이언트에 대해 상기 제어되는 자원에 대한 액세스를 결정함에 있어, 다수의 인증 서비스 제공자들 중 하나의 제공자의 스펙(specification)이 상기 전자상거래 서비스 제공자에 의해 이용되도록 하는 단계를 포함하는 사용자 인증 방법.
  2. 제1항에 있어서,
    상기 제어되는 자원에 액세스하기 위한 요청과 함께 상기 인증 서비스 제공자의 스펙을 수신하는 단계를 더 포함하는 사용자 인증 방법.
  3. 제2항에 있어서,
    상기 인증 서비스 제공자의 스펙을 쿠키로부터 검색하는 단계를 더 포함하는 사용자 인증 방법.
  4. 제1항에 있어서,
    인증 서비스 제공자가 상기 제어되는 자원에 액세스하기 위한 요청과 함께수신되지 않았다면, 상기 다수의 인증 서비스 제공자들 중 하나의 제공자의 사용자 선택을 제공하는 단계를 더 포함하는 사용자 인증 방법.
  5. 제4항에 있어서,
    사용자 선택을 제공하여, 상기 사용자를 상기 다수의 인증 서비스 제공자들 중 하나의 제공자의 상기 사용자 선택과 지속적으로 연관시키는 단계를 더 포함하는 사용자 인증 방법.
  6. 제1항에 있어서,
    상기 전자상거래 서비스 제공자로부터의 인증 요청을 상기 특정된 인증 서비스 제공자에게 전송하는 단계와;
    상기 특정된 인증 서비스 제공자로부터의 인증 응답에 기초하여 상기 제어되는 자원에 대한 액세스를 제공할 것인지 여부를 상기 전자상거래 서비스 제공자에서 결정하는 단계를 더 포함하는 사용자 인증 방법.
  7. 제1항에 있어서,
    상기 제어되는 자원에 액세스하기 위해 상기 클라이언트로부터 상기 요청을 수신하는 단계에 응답하여, 상기 전자상거래 서비스 제공자가 상기 클라이언트에 대해 유효한 인증 증명을 가지고 있는지 여부를 결정하는 단계와;
    상기 전자상거래 서비스 제공자가 상기 클라이언트에 대해 유효한 인증 증명을 가진다는 결정에 응답하여, 상기 다수의 인증 서비스 제공자들 중 하나의 제공자에게 인증 요청을 전송함없이, 상기 제어되는 자원에 액세스하기 위해 상기 클라이언트로부터 상기 요청에 대한 액세스 제어 결정을 수행하는 단계를 더 포함하는 사용자 인증 방법.
  8. 데이터 프로세싱 시스템 내에서 사용자를 인증하는 방법에 있어서,
    제어되는 자원에 액세스하기 위해 클라이언트로부터 요청을 제1 서버에서 수신하는 단계와;
    상기 제1 서버가, 상기 클라이언트와 이전에 연관되었던 인증 서비스를 지원하는 제2 서버의 아이덴티티를 가진다는 결정에 응답하여, 상기 제1 서버로부터 상기 제2 서버에 인증 요청을 전송하는 단계와;
    상기 제1 서버가, 상기 클라이언트와 이전에 연관되었던 인증 서비스를 지원하는 제2 서버의 아이덴티티를 가지지 않는다는 결정에 응답하여, 사용자가 상기 제2 서버를 위한 아이덴티티를 선택할 수 있도록 하는 단계와; 상기 제1 서버로부터 상기 제2 서버에 인증 요청을 전송하는 단계를 포함하는 사용자 인증 방법.
  9. 제8항에 있어서,
    상기 제2 서버로부터 인증 응답을 수신하는 단계와;
    상기 인증 응답의 표시된 상태에 기초하여 상기 제어되는 자원에 대한 액세스를 제공할 것인지 여부를 결정하는 단계를 더 포함하는 사용자 인증 방법.
  10. 제8항에 있어서,
    상기 제어되는 자원에 대한 액세스를 위해 상기 클라이언트로부터 상기 요청을 수신하는 단계에 응답하여, 상기 제1 서버가 상기 제1 서버에 있는 상기 클라이언트를 위해 유효한 인증 증명을 가지고 있는지 여부를 결정하는 단계와;
    상기 제1 서버가 상기 제1 서버에 있는 상기 클라이언트를 위해 유효한 인증 증명을 가진다는 결정에 응답하여, 상기 제1 서버로부터 상기 제2 서버에 인증 요청을 전송함없이 상기 제어되는 자원에 액세스하기 위해 상기 클라이언트로부터 상기 요청에 대한 액세스 제어 결정을 수행하는 단계를 더 포함하는 사용자 인증 방법.
  11. 제8항에 있어서,
    상기 제2 서버가 상기 클라이언트를 위해 유효한 인증 증명을 가지는지 여부를 상기 제2 서버에서 결정하는 단계와;
    상기 제2 서버가 상기 클라이언트를 위해 유효한 인증 증명을 가진다는 결정에 응답하여, 상기 인증 요청에 응답하여 유효한 인증 상태를 반환하는 단계를 더 포함하는 사용자 인증 방법.
  12. 제8항에 있어서,
    상기 제2 서버의 아이덴티티의 상기 사용자의 선택을 상기 클라이언트와 연관시키는 단계를 더 포함하는 사용자 인증 방법.
  13. 제12항에 있어서,
    상기 클라이언트에서의 지속 쿠키에 상기 제2 서버의 아이덴티티의 상기 사용자의 선택을 저장하는 단계를 더 포함하는 사용자 인증 방법.
  14. 제12항에 있어서,
    사용자가, 상기 클라이언트에서의 쿠키에 상기 제2 서버의 아이덴티티의 상기 사용자의 선택을 저장할 것인지 여부를 선택하도록 하는 단계를 더 포함하는 사용자 인증 방법.
  15. 제12항에 있어서,
    사용자가, 상기 제2 서버의 아이덴티티의 상기 사용자의 선택을 상기 사용자와 지속적으로 연관시킬 것인지 여부를 선택하도록 하는 단계를 더 포함하는 사용자 인증 방법.
  16. 제12항에 있어서,
    사용자가, 상기 제2 서버에 있는 상기 인증 서비스와 관계를 설정할 것인지 여부를 선택하도록 하는 단계를 더 포함하는 사용자 인증 방법.
  17. 제8항에 있어서,
    상기 제2 서버에 상기 인증 요청을 전송하기 위해 상기 클라이언트를 통해 HTTP 전환(redirection)을 이용하는 단계를 더 포함하는 사용자 인증 방법.
  18. 제1항 내지 제7항 중 어느 한 항에 따른 상기 방법의 상기 단계들을 수행하도록 적응되는 수단을 포함하는 컴퓨터 시스템.
  19. 제8항 내지 제17항 중 어느 한 항에 따른 상기 방법의 상기 단계들을 수행하도록 적응되는 수단을 포함하는 컴퓨터 시스템.
  20. 프로그램이 컴퓨터 상에서 구동될 때, 상기 컴퓨터가 제1항 내지 제7항 중 어느 한 항에 따른 방법을 수행하도록 하는 컴퓨터로 판독 가능한 프로그램 수단을 포함하는, 컴퓨터가 이용 가능한 매체 상에 저장되는 컴퓨터 프로그램 제품.
  21. 프로그램이 컴퓨터 상에서 구동될 때, 상기 컴퓨터가 제8항 내지 제17항 중 어느 한 항에 따른 방법을 수행하도록 하는 컴퓨터로 판독 가능한 프로그램 수단을 포함하는, 컴퓨터로 이용 가능한 매체 상에 저장되는 컴퓨터 프로그램 제품.
  22. 전송 프로토콜 헤더와;
    제어되는 자원과 연관되는 URI(Uniform Resource Identifier)와;
    인증 서비스 제공자의 도메인 아이덴티티를 표시하는 인증 서비스 제공자 토큰을 포함하고,
    상기 인증 서비스 제공자는, 상기 제어되는 자원에 대한 액세스 요청에 응답하여 이용될 수 있는, 제휴 환경의 다수의 인증 서비스 제공자들 중 하나의 제공자인 것인 네트워크 데이터 메시지.
KR1020047019287A 2002-06-28 2003-06-24 제휴 환경에서 사용자에 의해 결정된 인증 및 단일 사인온을 위한 방법 및 시스템 KR100800339B1 (ko)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US10/184,664 2002-06-28
US10/184,664 US20040002878A1 (en) 2002-06-28 2002-06-28 Method and system for user-determined authentication in a federated environment
PCT/EP2003/006604 WO2004004273A1 (en) 2002-06-28 2003-06-24 Method and system for user-determined authentication and single-sign-on in a federated environment

Publications (2)

Publication Number Publication Date
KR20050013559A true KR20050013559A (ko) 2005-02-04
KR100800339B1 KR100800339B1 (ko) 2008-02-04

Family

ID=29779416

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020047019287A KR100800339B1 (ko) 2002-06-28 2003-06-24 제휴 환경에서 사용자에 의해 결정된 인증 및 단일 사인온을 위한 방법 및 시스템

Country Status (11)

Country Link
US (1) US20040002878A1 (ko)
EP (1) EP1530860B1 (ko)
JP (1) JP2005538434A (ko)
KR (1) KR100800339B1 (ko)
CN (1) CN1653781B (ko)
AT (1) ATE341146T1 (ko)
AU (1) AU2003238031A1 (ko)
BR (1) BR0312228A (ko)
CA (1) CA2488881A1 (ko)
DE (1) DE60308692T2 (ko)
WO (1) WO2004004273A1 (ko)

Families Citing this family (125)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7127328B2 (en) * 1994-12-30 2006-10-24 Power Measurement Ltd. System and method for federated security in an energy management system
CA2377706A1 (en) * 1999-06-18 2000-12-28 Echarge Corporation Method and apparatus for ordering goods, services and content over an internetwork using a virtual payment account
US6907395B1 (en) * 2000-10-24 2005-06-14 Microsoft Corporation System and method for designing a logical model of a distributed computer system and deploying physical resources according to the logical model
US7606898B1 (en) * 2000-10-24 2009-10-20 Microsoft Corporation System and method for distributed management of shared computers
CA2436319C (en) * 2002-08-02 2014-05-13 Calin A. Sandru Payment validation network
US9064281B2 (en) 2002-10-31 2015-06-23 Mastercard Mobile Transactions Solutions, Inc. Multi-panel user interface
US20040123144A1 (en) * 2002-12-19 2004-06-24 International Business Machines Corporation Method and system for authentication using forms-based single-sign-on operations
US7072807B2 (en) * 2003-03-06 2006-07-04 Microsoft Corporation Architecture for distributed computing system and automated design, deployment, and management of distributed applications
US7890543B2 (en) 2003-03-06 2011-02-15 Microsoft Corporation Architecture for distributed computing system and automated design, deployment, and management of distributed applications
US7689676B2 (en) * 2003-03-06 2010-03-30 Microsoft Corporation Model-based policy application
US8122106B2 (en) 2003-03-06 2012-02-21 Microsoft Corporation Integrating design, deployment, and management phases for systems
JP4485141B2 (ja) 2003-04-10 2010-06-16 株式会社日立製作所 ネットワーク上のサービス公開及び提供方法並びにそのプログラム
US8108920B2 (en) * 2003-05-12 2012-01-31 Microsoft Corporation Passive client single sign-on for web applications
US7606929B2 (en) * 2003-06-30 2009-10-20 Microsoft Corporation Network load balancing with connection manipulation
US7590736B2 (en) * 2003-06-30 2009-09-15 Microsoft Corporation Flexible network load balancing
US7636917B2 (en) * 2003-06-30 2009-12-22 Microsoft Corporation Network load balancing with host status information
US7590705B2 (en) 2004-02-23 2009-09-15 Microsoft Corporation Profile and consent accrual
US7778422B2 (en) * 2004-02-27 2010-08-17 Microsoft Corporation Security associations for devices
US7636941B2 (en) * 2004-03-10 2009-12-22 Microsoft Corporation Cross-domain authentication
CN1965304B (zh) 2004-03-30 2011-06-01 国际商业机器公司 用户认证系统、方法、程序以及记录有该程序的记录介质
US7607008B2 (en) * 2004-04-01 2009-10-20 Microsoft Corporation Authentication broker service
WO2005101791A1 (en) * 2004-04-16 2005-10-27 Telefonaktiebolaget Lm Ericsson (Publ) Method and apparatus for handling user's attributes sharing between service providers
US20050246529A1 (en) * 2004-04-30 2005-11-03 Microsoft Corporation Isolated persistent identity storage for authentication of computing devies
JP4612045B2 (ja) * 2004-05-11 2011-01-12 テレフオンアクチーボラゲット エル エム エリクソン（パブル） コンピュータプログラム
US20050278333A1 (en) * 2004-05-26 2005-12-15 International Business Machines Corporation Method and system for managing privacy preferences
US7640574B1 (en) 2004-06-02 2009-12-29 Sun Microsystems, Inc. Method and system for resource based authentication
WO2006008290A2 (en) * 2004-07-21 2006-01-26 International Business Machines Corporation Method and apparatus for providing federated functionality within a data processing system
US8689276B2 (en) * 2004-08-25 2014-04-01 Adobe Systems Incorporated System and method for controlling access to files
US20060080730A1 (en) * 2004-10-12 2006-04-13 Conor Cahill Affiliations within single sign-on systems
US7702917B2 (en) 2004-11-19 2010-04-20 Microsoft Corporation Data transfer using hyper-text transfer protocol (HTTP) query strings
US20060123472A1 (en) * 2004-12-07 2006-06-08 Microsoft Corporation Providing tokens to access federated resources
US7603555B2 (en) * 2004-12-07 2009-10-13 Microsoft Corporation Providing tokens to access extranet resources
US7562382B2 (en) * 2004-12-16 2009-07-14 International Business Machines Corporation Specializing support for a federation relationship
US20060206926A1 (en) * 2005-03-14 2006-09-14 Agfa Inc. Single login systems and methods
US7802144B2 (en) 2005-04-15 2010-09-21 Microsoft Corporation Model-based system monitoring
US8489728B2 (en) 2005-04-15 2013-07-16 Microsoft Corporation Model-based system monitoring
US7797147B2 (en) 2005-04-15 2010-09-14 Microsoft Corporation Model-based system monitoring
JP4151978B2 (ja) * 2005-05-25 2008-09-17 インターナショナル・ビジネス・マシーンズ・コーポレーション サーバ装置、管理方法およびプログラム
US8549513B2 (en) 2005-06-29 2013-10-01 Microsoft Corporation Model-based virtual system provisioning
US20070016393A1 (en) * 2005-06-29 2007-01-18 Microsoft Corporation Model-based propagation of attributes
US20070011172A1 (en) * 2005-07-05 2007-01-11 Netfire1 Pty Ltd Managed e-community trading environments
FR2889388A1 (fr) * 2005-07-26 2007-02-02 France Telecom Procede et systeme de gestion securise de donnees entre un serveur et un client
US20130332343A1 (en) 2005-10-06 2013-12-12 C-Sam, Inc. Multi-tiered, secure mobile transactions ecosystem enabling platform comprising a personalization tier, a service tier, and an enabling tier
US20140089120A1 (en) 2005-10-06 2014-03-27 C-Sam, Inc. Aggregating multiple transaction protocols for transacting between a plurality of distinct payment acquiring devices and a transaction acquirer
EP2667344A3 (en) 2005-10-06 2014-08-27 C-Sam, Inc. Transactional services
US7941309B2 (en) * 2005-11-02 2011-05-10 Microsoft Corporation Modeling IT operations/policies
US8418234B2 (en) * 2005-12-15 2013-04-09 International Business Machines Corporation Authentication of a principal in a federation
US9065978B2 (en) 2005-12-19 2015-06-23 At&T Intellectual Property I, Lp Method for acquiring services on a multiplicity of devices
FR2898748A1 (fr) * 2006-03-17 2007-09-21 France Telecom Procede et dispositif de gestion des instances d'une application informatique
KR100773788B1 (ko) 2006-03-27 2007-11-12 (주)엔텔스 선불 사용자를 위한 유무선 연동 서비스 통합인증 방법,시스템 및 서버
JP4867486B2 (ja) * 2006-06-12 2012-02-01 富士ゼロックス株式会社 制御プログラムおよび通信システム
US8392587B2 (en) 2006-06-28 2013-03-05 International Business Machines Corporation Federated management framework for credential data
US20080027939A1 (en) * 2006-07-31 2008-01-31 Chalasani Nanchariah R Method, system, and program product for controlling access to personal attributes across enterprise domains
JP4946564B2 (ja) * 2007-03-27 2012-06-06 富士通株式会社 認証処理方法及びシステム
US8572716B2 (en) 2007-04-23 2013-10-29 Microsoft Corporation Integrating operating systems with content offered by web based entities
US20080288622A1 (en) * 2007-05-18 2008-11-20 Microsoft Corporation Managing Server Farms
WO2009001197A2 (en) * 2007-06-22 2008-12-31 Gemalto S.A. A method of preventing web browser extensions from hijacking user information
US8655719B1 (en) * 2007-07-25 2014-02-18 Hewlett-Packard Development Company, L.P. Mediating customer-driven exchange of access to personal data for personalized merchant offers
CN101420416B (zh) * 2007-10-22 2013-03-13 中国移动通信集团公司 身份管理平台、业务服务器、登录系统及方法、联合方法
US8397168B2 (en) 2008-04-05 2013-03-12 Social Communications Company Interfacing with a spatial virtual communication environment
US8756304B2 (en) 2010-09-11 2014-06-17 Social Communications Company Relationship based presence indicating in virtual area contexts
JP5368547B2 (ja) 2008-04-05 2013-12-18 ソーシャル・コミュニケーションズ・カンパニー 共有仮想エリアコミュニケーション環境ベースの装置および方法
JP4336766B1 (ja) * 2008-04-18 2009-09-30 日本電気株式会社 無線通信システム、認証処理部選択方法
US9348991B2 (en) 2008-05-20 2016-05-24 International Business Machines Corporation User management of authentication tokens
US8312033B1 (en) 2008-06-26 2012-11-13 Experian Marketing Solutions, Inc. Systems and methods for providing an integrated identifier
US8151333B2 (en) * 2008-11-24 2012-04-03 Microsoft Corporation Distributed single sign on technologies including privacy protection and proactive updating
JP5153591B2 (ja) * 2008-11-26 2013-02-27 株式会社日立製作所 認証仲介サーバ、プログラム、認証システム及び選択方法
EP2377089A2 (en) 2008-12-05 2011-10-19 Social Communications Company Managing interactions in a network communications environment
CN101902327B (zh) * 2009-06-01 2012-05-23 中国移动通信集团公司 一种实现单点登录的方法、设备及其系统
US20110030039A1 (en) * 2009-07-31 2011-02-03 Eric Bilange Device, method and apparatus for authentication on untrusted networks via trusted networks
CN101998360B (zh) * 2009-08-11 2015-05-20 中兴通讯股份有限公司 建立身份管理信任的方法及身份提供方和业务提供方
US9407959B2 (en) 2009-09-21 2016-08-02 Adobe Systems Incorporated Monitoring behavior with respect to a software program
US9595039B2 (en) * 2009-12-30 2017-03-14 Motorola Solutions, Inc. Stimulus/response-based binding of identifiers across information domains while maintaining confidentiality
US8972540B2 (en) * 2009-12-30 2015-03-03 Motorola Solutions, Inc. Incenting divulgence of information for binding identifiers across information domains while maintaining confidentiality
US20110161473A1 (en) * 2009-12-30 2011-06-30 Motorola, Inc. Analytics-based binding of identifiers across information domains while maintaining confidentiality
US20110161472A1 (en) * 2009-12-30 2011-06-30 Motorola, Inc. Client-based binding of identifiers across information domains while maintaining confidentiality
US20110161474A1 (en) * 2009-12-30 2011-06-30 Motorola, Inc. Brokering information across information domains while maintaining confidentiality
US9509791B2 (en) 2010-01-07 2016-11-29 Oracle International Corporation Policy-based exposure of presence
US20110166943A1 (en) * 2010-01-07 2011-07-07 Oracle International Corporation Policy-based advertisement engine
US20110167479A1 (en) * 2010-01-07 2011-07-07 Oracle International Corporation Enforcement of policies on context-based authorization
US20110196728A1 (en) * 2010-02-05 2011-08-11 Oracle International Corporation Service level communication advertisement business
US9467858B2 (en) 2010-02-05 2016-10-11 Oracle International Corporation On device policy enforcement to secure open platform via network and open network
US9495521B2 (en) * 2010-02-05 2016-11-15 Oracle International Corporation System self integrity and health validation for policy enforcement
US9530166B2 (en) * 2010-04-21 2016-12-27 Facebook, Inc. Social graph that includes web pages outside of a social networking system
US8250145B2 (en) 2010-04-21 2012-08-21 Facebook, Inc. Personalizing a web page outside of a social networking system with content from the social networking system
US20110283341A1 (en) * 2010-05-13 2011-11-17 Nikhil Sanjay Palekar Facilitating Secure Communications
US9152727B1 (en) 2010-08-23 2015-10-06 Experian Marketing Solutions, Inc. Systems and methods for processing consumer information for targeted marketing applications
CN102546570B (zh) * 2010-12-31 2014-12-24 国际商业机器公司 用于单点登录的处理方法和系统
JP5289480B2 (ja) * 2011-02-15 2013-09-11 キヤノン株式会社 情報処理システム、情報処理装置の制御方法、およびそのプログラム。
US9607336B1 (en) 2011-06-16 2017-03-28 Consumerinfo.Com, Inc. Providing credit inquiry alerts
CN102882763B (zh) * 2011-07-12 2018-02-06 中兴通讯股份有限公司 一种实现社区联合的方法和装置
US8613068B2 (en) 2011-08-04 2013-12-17 Microsoft Corporation Cross-domain session refresh
US8849721B2 (en) 2011-09-21 2014-09-30 Facebook, Inc. Structured objects and actions on a social networking system
CN103023638B (zh) * 2011-09-22 2016-03-30 阿里巴巴集团控股有限公司 一种基于移动终端的身份验证方法及装置
EP2767110A4 (en) 2011-10-12 2015-01-28 C Sam Inc PLATFORM FOR MULTI-STAGE SECURE MOBILE TRANSACTIONS
CN103067337B (zh) * 2011-10-19 2017-02-15 中兴通讯股份有限公司 一种身份联合的方法、IdP、SP及系统
US9792451B2 (en) 2011-12-09 2017-10-17 Echarge2 Corporation System and methods for using cipher objects to protect data
CN103188281B (zh) * 2011-12-27 2016-05-25 腾讯科技（深圳）有限公司 一种网站更新回复的方法及系统
US20130254300A1 (en) * 2012-03-22 2013-09-26 Adam Berk Computer-based Methods and Systems for Verifying User Affiliations for Private or White Label Services
US8813206B2 (en) 2012-11-27 2014-08-19 Hong Kong Applied Science and Technology Research Institute Company Limited Anonymous personal content access with content bridge
US9251331B2 (en) 2013-01-22 2016-02-02 Canon Information And Imaging Solutions, Inc. Simplified user registration
US10664936B2 (en) 2013-03-15 2020-05-26 Csidentity Corporation Authentication systems and methods for on-demand products
US9633322B1 (en) 2013-03-15 2017-04-25 Consumerinfo.Com, Inc. Adjustment of knowledge-based authentication
US9721147B1 (en) 2013-05-23 2017-08-01 Consumerinfo.Com, Inc. Digital identity
CN103839138A (zh) * 2014-03-08 2014-06-04 成都文昊科技有限公司 用于支撑多个异构系统交互的系统
US10373240B1 (en) 2014-04-25 2019-08-06 Csidentity Corporation Systems, methods and computer-program products for eligibility verification
JP2016085641A (ja) * 2014-10-27 2016-05-19 キヤノン株式会社 権限移譲システム、権限移譲システムにて実行される方法、およびそのプログラム
US9875468B2 (en) 2014-11-26 2018-01-23 Buy It Mobility Networks Inc. Intelligent authentication process
CN104639548B (zh) * 2015-02-03 2018-09-18 北京羽乐创新科技有限公司 一种登陆应用的方法和装置
US9779233B2 (en) * 2015-03-05 2017-10-03 Ricoh Co., Ltd. Broker-based authentication system architecture and design
CN106161361B (zh) * 2015-04-03 2018-10-02 北京神州泰岳软件股份有限公司 一种跨域资源的访问方法及装置
US11954671B2 (en) * 2015-04-27 2024-04-09 Paypal, Inc. Unified login across applications
US9922475B2 (en) 2015-09-11 2018-03-20 Comcast Cable Communications, Llc Consensus based authentication and authorization process
US9923888B2 (en) * 2015-10-02 2018-03-20 Veritas Technologies Llc Single sign-on method for appliance secure shell
WO2017152037A1 (en) 2016-03-04 2017-09-08 1Usf, Inc. Systems and methods for media codecs and containers
GB2551978A (en) * 2016-06-30 2018-01-10 Ipco 2012 Ltd A method, apparatus, computer program product, computer readable storage medium, information processing apparatus and server
US10171467B2 (en) 2016-07-21 2019-01-01 International Business Machines Corporation Detection of authorization across systems
US11010730B2 (en) * 2016-09-15 2021-05-18 Paypal, Inc. Scope-delimited sharing of encoded sensitive data
WO2019204693A1 (en) * 2018-04-19 2019-10-24 Averon Us, Inc. Using identity-linked device information for user identification and transaction personalization via mobile tagging
US10911234B2 (en) 2018-06-22 2021-02-02 Experian Information Solutions, Inc. System and method for a token gateway environment
US11477197B2 (en) 2018-09-18 2022-10-18 Cyral Inc. Sidecar architecture for stateless proxying to databases
US11223622B2 (en) 2018-09-18 2022-01-11 Cyral Inc. Federated identity management for data repositories
US11941065B1 (en) 2019-09-13 2024-03-26 Experian Information Solutions, Inc. Single identifier platform for storing entity data
US11770376B2 (en) 2020-01-15 2023-09-26 IDENTOS Inc. Computer-implemented systems for distributed authorization and federated privacy exchange
EP3859574A1 (de) * 2020-01-28 2021-08-04 Siemens Aktiengesellschaft Verfahren zur universellen einmalanmeldung, single-sign-on und vorrichtung

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5729537A (en) * 1996-06-14 1998-03-17 Telefonaktiebolaget L M Ericsson (Publ) Method and apparatus for providing anonymous data transfer in a communication system
KR100545512B1 (ko) * 1997-08-01 2006-01-24 퀄컴 인코포레이티드 무선통신에서의 재사용 침입 방지 시스템 및 방법
EP0940960A1 (en) 1998-03-02 1999-09-08 Hewlett-Packard Company Authentication between servers
US6240512B1 (en) 1998-04-30 2001-05-29 International Business Machines Corporation Single sign-on (SSO) mechanism having master key synchronization
EP1089516B1 (en) * 1999-09-24 2006-11-08 Citicorp Development Center, Inc. Method and system for single sign-on user access to multiple web servers
AU2001282453A1 (en) * 2000-08-14 2002-02-25 Comsense Technologies Ltd. Multi-server authentication
WO2002039237A2 (en) * 2000-11-09 2002-05-16 International Business Machines Corporation Method and system for web-based cross-domain single-sign-on authentication

Also Published As

Publication number Publication date
CN1653781B (zh) 2011-06-15
CN1653781A (zh) 2005-08-10
KR100800339B1 (ko) 2008-02-04
ATE341146T1 (de) 2006-10-15
BR0312228A (pt) 2005-04-12
DE60308692T2 (de) 2007-08-16
AU2003238031A1 (en) 2004-01-19
EP1530860B1 (en) 2006-09-27
DE60308692D1 (de) 2006-11-09
WO2004004273A1 (en) 2004-01-08
US20040002878A1 (en) 2004-01-01
CA2488881A1 (en) 2004-01-08
JP2005538434A (ja) 2005-12-15
EP1530860A1 (en) 2005-05-18

Similar Documents

Publication Publication Date Title
KR100800339B1 (ko) 제휴 환경에서 사용자에 의해 결정된 인증 및 단일 사인온을 위한 방법 및 시스템
EP1368722B1 (en) Method and system for web-based cross-domain single-sign-on authentication
JP4370258B2 (ja) ユーザ・セッションを管理するための方法、データ処理システム、およびコンピュータ・プログラム（異機種連携環境における統合サインオフのための方法およびシステム）
US8006289B2 (en) Method and system for extending authentication methods
US8200834B2 (en) Method and system for secure server-based session management using single-use HTTP cookies
KR100946110B1 (ko) 기존 ｓｓｌ 세션을 브레이킹하지 않고 인증서-기반 인증으로 스텝 업하는 방법 및 시스템
US8554930B2 (en) Method and system for proof-of-possession operations associated with authentication assertions in a heterogeneous federated environment
US8060632B2 (en) Method and system for user-determined attribute storage in a federated environment
US9143502B2 (en) Method and system for secure binding register name identifier profile
US7587491B2 (en) Method and system for enroll-thru operations and reprioritization operations in a federated environment
US7725562B2 (en) Method and system for user enrollment of user attribute storage in a federated environment
US20060294366A1 (en) Method and system for establishing a secure connection based on an attribute certificate having user credentials
US20060021004A1 (en) Method and system for externalized HTTP authentication
KR20050093763A (ko) 이종 연합 환경에서 고유 인증 프로토콜 방법 및 시스템
KR100992016B1 (ko) 데이터 프로세싱 시스템 내에 연합 기능성을 제공하는 방법및 장치

Legal Events

Date Code Title Description
A201 Request for examination
AMND Amendment
E902 Notification of reason for refusal
AMND Amendment
E601 Decision to refuse application
J201 Request for trial against refusal decision
AMND Amendment
B701 Decision to grant
GRNT Written decision to grant
FPAY Annual fee payment

Payment date: 20101210

Year of fee payment: 4

LAPS Lapse due to unpaid annual fee