KR20150070388A - 집중 보안 엔진을 사용하는 웹 서비스 제공자를 위한 프라이버시 강화 키 관리 - Google Patents

집중 보안 엔진을 사용하는 웹 서비스 제공자를 위한 프라이버시 강화 키 관리 Download PDF

Info

Publication number
KR20150070388A
KR20150070388A KR1020157013180A KR20157013180A KR20150070388A KR 20150070388 A KR20150070388 A KR 20150070388A KR 1020157013180 A KR1020157013180 A KR 1020157013180A KR 20157013180 A KR20157013180 A KR 20157013180A KR 20150070388 A KR20150070388 A KR 20150070388A
Authority
KR
South Korea
Prior art keywords
user
key
service provider
assertion
authentication
Prior art date
Application number
KR1020157013180A
Other languages
English (en)
Other versions
KR101671351B1 (ko
Inventor
네드 엠 스미스
코노어 피 카힐
빅토리아 씨 무어
제이슨 마틴
마이카 제이 쉘러
Original Assignee
인텔 코포레이션
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 인텔 코포레이션 filed Critical 인텔 코포레이션
Publication of KR20150070388A publication Critical patent/KR20150070388A/ko
Application granted granted Critical
Publication of KR101671351B1 publication Critical patent/KR101671351B1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/45—Structures or tools for the administration of authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/061—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H04L63/0838—Network architectures or network communication protocols for network security for authentication of entities using passwords using one-time-passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3234—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving additional secure or trusted devices, e.g. TPM, smartcard, USB or software token
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/12—Details relating to cryptographic hardware or logic circuitry
    • H04L2209/127—Trusted platform modules [TPM]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/082—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00 applying multi-factor authentication

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Storage Device Security (AREA)
  • Information Transfer Between Computers (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

실시예에서, 프로세서의 보안 엔진은 웹 서비스를 제공하고 네트워크를 통해 시스템에 연결된 제 2 시스템을 가진 서비스 제공자와 시스템의 사용자를 연관시키는 키 페어링의 제 1 키 페어를 생성하고, 제 2 시스템이 식별자 제공자 로직이 신뢰 실행 환경에서 실행중임을 검증할 수 있게 하도록 제 2 시스템과 보안 통신을 수행하며, 검증에 응답하여, 제 2 시스템으로 제 1 키 페어의 제 1 키를 전달하는 식별자 제공자 로직을 포함한다. 이 키는 제 2 시스템이 사용자가 다요인 인증에 따라 시스템에 인증되었다는 식별자 제공자 로직에 의해 전달된 어썰션을 검증할 수 있게 할 수 있다. 다른 실시예가 설명되고 청구된다.

Description

집중 보안 엔진을 사용하는 웹 서비스 제공자를 위한 프라이버시 강화 키 관리{PRIVACY ENHANCED KEY MANAGEMENT FOR A WEB SERVICE PROVIDER USING A CONVERGED SECURITY ENGINE}
컴퓨터 사용자는 인터넷 및 웹 기반 상호작용의 급증 때문에 루틴 기반으로 10 명 심지어 100 명의 인터넷 기반 웹 서비스 제공자와 상호작용한다. 각각의 서비스 제공자는 자신의 고객에 대한 근접 액세스를 유지하도록 가입자 베이스를 유지하기를 원한다. 그 결과, 사용자는 10 개 및 심지어 100 개의 계정 및 대응하는 사용자 이름과 암호를 관리할 것으로 예상된다. 사용자는 흔히 웹 기반 서비스에 쉽게 액세스하도록 암호 크리덴셜을 오용한다(예컨대, 취약한 암호를 사용하고, 암호와 사용자 이름을 재사용한다). 크로스 사이트 계정 해킹, 서비스 제공자 공모 및 사용자 트랜잭션의 추적을 포함하는 몇몇 문제가 발생할 수 있다. 이들 공격은 정보, 실제 자산의 사용자 손실 제어, 명예 훼손 및 심지어 실직을 초래한다.
사용자 연구는 암호 관리가 주요 유용성 시도이고 웹 계정 관리 부실에 대한 기여 요인임을 나타낸다. 현재 해결책은 사용자가 암호를 생성하고 일련의 암호 리셋 시도 질의(예컨대, 좋아하는 애완동물)를 제공하는 것을 수반하는 사용자 계정 생성 프로토콜에 의존한다. 여러 번 시도 정보가 공개되고/되거나 쉽게 추측될 수 있으므로 이들 메커니즘은 취약하다. 다른 방안은 공개 키 기반구조(public key infrastructure:PKI)를 웹사이트 및 클라이언트로 통합한다. 그러나, 사용자 클라이언트는 각각의 서비스 제공자와 함께 사용할 클라이언트 X.509 인증서를 구입해야 하는데, 이 인증서의 가격은 대부분의 사용자에게 엄청나게 비싸다. 이와 유사하게, 특정 서비스 제공자에게 사용자를 인증하는 OTP(one-time-password) 디바이스의 사용은 별도의 OTP 디바이스로 인해 비싼 가격이다. 비용을 줄이는 데 소프트웨어 OTP 디바이스가 사용될 수 있지만, 각각의 서비스 제공자는 특정 OTP 구현을 지원해야 하며, 어떤 경우에 OTP 디바이스는 인증에만 사용될 수 있고 데이터를 암호화하거나 서명하는 데에는 사용될 수 없다.
도 1은 본 발명의 실시예에 따라 다양한 구성요소 사이의 통신을 도시하는 시스템의 블록도이다.
도 2는 본 발명의 실시예에 따라 시그마 세션에서 발생하는 통신의 하이레벨 뷰이다.
도 3은 본 발명의 실시예에 따라 웹 서비스 제공자와 보안 방법으로 통신하는 방법의 흐름도이다.
도 4는 본 발명의 실시예에 따른 시스템 배치의 블록도이다.
도 5는 실시예가 사용될 수 있는 예시적인 시스템의 블록도이다.
다양한 실시예에서, 프로세서, 칩셋 등과 같은 반도체 디바이스 내에 신뢰 실행 환경(trusted execution environment:TEE)을 제공하는 보안 엔진에 식별자 제공자(identity provider:IdP) 로직이 내장될 수 있다. 이 보안 엔진은 본 명세서에서 통합 보안 엔진(converged security engine:CSE)으로 지칭된다. IdP는 실시예에서 표준 SAML(security assertion markup language) 메시지를 사용하여 사용자의 인증 상태를 보고한다. CSE는 민감한 사용자 인증 데이터 및 사용자-서비스 제공자 페어링 키를 보호하는 데 사용된다. 사용자가 서비스 제공자 웹 페이지를 브라우징할 때, 서비스 제공자(SP)는 사용자가 SAML 재지정 메커니즘을 사용하여 인증하도록 요구한다. 이 요구는 사용자가 SP와의 시도-응답 상호작용을 직접 수행할 필요 없이, 시스템에서 자동으로 처리된다. IP를 호스팅하는 CSE는 SAML 요구를 수락한다. 이 방안은, 사용자는 요구가 재지정될 수 있는 IdP를 항상 가질 것이므로, SP로 하여금 SAML을 채용하게 한다. TEE에서 실행하는 CSE도 (이 태스크를 수행할 것을 SP에게 요구하기보다) 사용자를 직접 인증한다. 인증 처리는 국부적으로 상당량의 다요인 인증의 복잡도가 SP에게 비밀이 되어, 암호 대안의 채용에 대한 장벽을 낮춘다.
보다 구체적으로, 실시예는 사용자를 SP와 연관시키는 사용자-SP 키 페어링의 동적 생성을 지시하고 조정하는 데 SAML 메시지 교환을 사용할 수 있으며, 각각의 SP에는 SP 웹사이트에 대한 사용자의(클라이언트의) 후속 액세스를 인증하는 상이한 비대칭 또는 대칭 키가 제공된다. 암호를 관리하는 데 사용된 방안과 유사하지만, 이 페어링은 암호를 강한 암호화 크리덴셜로 대체한다. 본 명세서에 설명된 실시예는 사용자 계정, 웹사이트 콘텐츠 등에 대한 인터넷 네트워크 액세스에 관한 것이지만, 인증 프로세스가 SP에 의해 제공된 임의의 웹 서비스에 대한 액세스에 보다 일반적으로 적용가능함을 알아야 한다.
사용자는 페어링 관계를 수립하는 데 옵트인(opt-in) 승인을 포함하는 프라이버시 제어를 사용하여 그리고 또한 페어링 키를 사용하는 데(예컨대, SP 인증 요구에 응답하는 데) 옵트인 승인을 사용함으로써 사용자와 SP 사이의 관계의 제어를 유지한다. 프라이버시는 페어링시에 익명의 보안 채널을 수립하도록 제조 시간에 클라이언트 플랫폼에 내장되는 EPID(enhanced privacy identifier) 키를 사용함으로써 더 강화된다. 익명 식별자는 클라이언트 TEE가 인증됨을 알리지만 어떤 특정 플랫폼이 페어링을 수립하고 있는지는 알리지 않는다. 이를 위해, 프로토콜은 SP가 페어링과 연관되는 이전에 생성된 계정을 사용자가 사용하는 것을 가능하게 한다. 실시예는 또한 페어링 키를 사용자의 계정 정보에 연관시키는 데 OTP 또는 대역 외 메커니즘의 사용을 지원할 수 있다(예컨대, SP는 페어링 키를 사용하여 리턴되는 PIN(personal identification number)과 함께 사용자에게 텍스트 또는 폰 메시지를 전달한다).
이제 도 1을 참조하면, 시스템의 다양한 구성요소들 사이의 통신을 나타내는 시스템(100)의 블록도가 도시된다. 보다 구체적으로, 시스템(100)은 클라이언트 시스템(110)이 웹 페이지 서버 또는 서비스 제공자의 다른 시스템을 통해 웹 기반 정보를 제공하는 웹 서비스 제공자와 같은 서비스 제공자(160)의 정보에 액세스하려고 시도하는 네트워크 환경이다. 다른 구현에서, 클라이언트 시스템(110)은 임의의 유형의 컴퓨팅 디바이스, 예컨대, 데스크톱 컴퓨터, 랩톱 컴퓨터, 울트라북™, 태블릿 컴퓨터, 전자 판독기, 스마트폰 또는 다른 디바이스일 수 있다. 일반적으로, 클라이언트 시스템(110)은 하나 이상의 프로세서 코어 및 다른 엔진을 포함하는 중앙 처리 유닛(CPU)과 같은 프로세서(120), 디스플레이(130), CSE(140), 및 사용자가 인터넷을 통해 웹 페이지에 액세스할 수 있게 하는 브라우저(155)를 포함하며 다양한 애플리케이션을 저장하도록 구성된 저장부(150)를 포함하는 다양한 구성요소를 포함한다. 물론, 쉬운 설명을 위해 이 제한된 개수의 구성요소가 도시되지만, 클라이언트 시스템은 다수의 다른 구성요소를 포함할 수 있다.
또한 도 1에 클라이언트 시스템(110) 내의 구성요소들 사이뿐만 아니라 클라이언트 시스템(110)과 서비스 제공자(160) 사이에서 발생하는 다수의 통신이 도시된다. 실시예의 하이레벨 특징부를 설명하기 위해 특정 순서로 도시되었지만, 이들 통신의 전부가 필요한 것은 아님을 알아야 하며 상이한 순서 및 상이한 통신이 발생할 수 있음도 알아야 한다. 초기 동작으로서, 사용자는 시스템 초기화 시에 시스템에 인증하도록 요청될 수 있다. 다수의 상이한 유형의 인증 메커니즘이 제공될 수 있음에 유의해야 하며 몇몇 실시예는 다요인 인증 프로세스가 발생함을 지시하는 것임을 알아야 한다. 본 발명의 범위는 이것으로 제한되지 않지만, 그러한 다요인 인증은 키보드, 터치패드, 터치 스크린 등을 통한 사용자 입력, 근거리 무선 통신, 무선 통신 및/또는 사용자가 시스템의 위치 내에 존재하며 인증된 사용자임을 나타내는 프레즌스 인증을 포함하는 복수의 상이한 인증 메커니즘을 포함할 수 있다. 또 다른 인증 메커니즘은 예컨대, 망막 스캔, 지문 또는 다른 생체인증 기반 식별 메커니즘에 의한 다른 생체인증 특징부를 포함할 수 있다. 그 중에서도 디바이스에 대한 사용자의 운반 또는 액세스, 키 입력 힘 및/또는 속도의 생체인증 감지에 기초한 가속도계 기반 인증을 포함하는 인증에 시스템의 다양한 센서가 사용될 수 있음에 유의한다. 일반적으로, 복수의 생체인증, 근접 및 종래의 (예컨대, 암호) 센서를 포함하는 인증에 사용된 센서는 복수의 상이한 인증 및 프레즌스 모니터링 메커니즘을 포함할 수 있다.
이 사용자 인증은 클라이언트 시스템을 사용하는 프로세스에서 초기에 발생할 수 있고, 서비스 제공자에 대한 임의의 액세스와 무관할 수 있다. 이들 인증 절차는 본 명세서에 설명된 바와 같이 IdP 로직을 포함하는 CSE(140)를 사용하여 적어도 일부분 수행될 수 있다. 본 발명의 범위는 이것으로 제한되지 않지만, CSE(140)는 TEE 내에서 실행될 수 있고, 예컨대, 가상화 기술에 의해 신뢰 실행 환경이 생성되고 실행되게 하는 칩셋의 ME(manageability engine)의 펌웨어와 같은 칩셋 구성요소의 펌웨어로서 구현될 수 있다. 그러므로 이 펌웨어는 ME와 같은 칩셋의 엔진 및/또는 클라이언트 시스템의 범용 코어와 같은 엔진을 포함하는 시스템의 하나 이상의 처리 엔진 상에서 실행할 수 있다.
도 1은 웹사이트에 대한 액세스를 위해 사용자를 인증할 때 수행되는 동작의 하이레벨 뷰를 더 도시한다. 보이는 바와 같이, 이 프로세스는 사용자가 브라우저(155)를 통해 액세스하려고 시도할 때 시작한다. 이 액세스 요청에 응답하여, 서비스 제공자(160)는 실시예에서 SAML 요청일 수 있는 인증 요청을 통신한다. 이 인증 프로세스를 수행하기 전에, 사용자는 클라이언트 시스템과 서비스 제공자 사이에서 암호화 키를 통한 페어링이 허가되는지 여부를 나타내도록 프롬프트될 수 있다. 실시예에서, 이 허가 요청은 프로세서(120)와 디스플레이(130) 사이의 신뢰 경로를 통하여 이 경로가 클라이언트 시스템(110) 상에서 실행하는 멀웨어 엔티티에도 숨겨지도록 할 수 있다. 그러므로 다양한 실시예에서, 사용자 승인을 요구하는 이 디스플레이 프레임 이미지는 플랫폼의 사용자에게는 보일 수 있지만, 플랫폼 상에서 실행하는 (잠재적으로 멀웨어 애플리케이션을 포함하는) 애플리케이션 및 운영 시스템(OS)을 포함하는 비신뢰 소프트웨어에 의해서는 액세스될 수 없다. 일 실시예에서, 디스플레이 프레임 이미지는 신뢰 디스플레이 기술을 사용하여 생성될 수 있다. 이 방법으로, 호스트 소프트웨어 및 OS는 그 프레임의 콘텐츠를 복호화할 수 없고, 대신에 신뢰 엔진으로부터 (예컨대, 집적된) 그래픽 디스플레이 프로세서로 신뢰 출력 경로를 통해 제공된다.
사용자 승인이 제공되면, 그 다음에 사용자와 서비스 제공자 사이에 암호화 키의 페어링이 이미 존재하는지 여부가 판정된다. 만일 아니라면, 이 페어링은 예컨대, 시그마(Sigma:Sign-and-mac) 프로토콜을 사용하여 생성될 수 있으며, 그 세부사항은 후술될 것이다. 그 다음에, 개인 페어링 키 정보의 사용이 허용되어야 하는지 여부를 판정하도록 사용자로부터 다른 승인이 요구될 수 있다. 허용된다고 가정하면, 통신은 사용자를 인증할 때 사용된 인증 요인을 설명하는 어썰션(assertion)을 제공하기 위해 예컨대, SAML 메커니즘을 통해 CSE(140)로부터 서비스 제공자(160)로 전달된다. 서비스 제공자(160)에 의한 이 응답의 검증에 응답하여, 요청된 웹 페이지에 대한 액세스가 제공될 수 있다. 이에 따라, 브라우저(155)는 디스플레이(130)를 통해 사용자에게 웹 페이지 및/또는 요청된 데이터의 디스플레이를 가능하게 하도록 동작할 수 있다. 도 1의 실시예에서 이 하이레벨로 도시되지만, 본 발명의 범위가 이것으로 제한되지 않음을 알아야 한다.
다음으로 도 2를 참조하면, 본 발명의 실시예에 따라 시그마 세션에서 발생하는 통신의 하이레벨 뷰가 도시된다. 보이는 바와 같이, 시그마 세션(200)은 실시예에서 클라이언트 시스템일 수 있는 증명기(prover)(210)와 실시예에서 주어진 인증 기관일 수 있는 온라인 인증서 상태 프로토콜(OCSP) 응답기(230)에 대한 프록시로서 동작하는 서비스 제공자일 수 있는 검증기(220) 사이에서 발생할 수 있다. 보이는 바와 같이, 시그마 세션의 생성을 요구하도록 제 1 메시지가 증명기(210)로부터 검증기(220)로 제공될 수 있다. 이 요청은 차례로 검증기(220)로부터 응답기(230)로의 OCSP 요청 및 결과 응답을 발생시키고 차례로 이 응답에 관한 특정 정보를 제공하는 검증기(220)로부터 증명기(210)로의 메시지로 이어진다. 그 다음에, 증명기(210)는 실시예에서 검증기(220)가 증명기(210)의 진위를 검증하게 하는 EPID 서명과 함께 증명기에 대한 EPID 인증서일 수 있는 인증서 정보를 통신할 수 있다. 따라서, 후속 메시지는 양 방향으로 통신되어 사용자-서비스 제공자 키 페어링이 생성될 수 있다. 이 키 페어링은 각각의 공개 및 개인 키 페어를 포함할 수 있으며, 클라이언트 및 서비스 제공자의 각각이 키 페어를 생성하고 생성된 공개 키를 다른 것에 제공한다. 페어링은 예컨대, 시그마 핸드쉐이크 또는 전송 계층 보안(TLS) 핸드쉐이크의 결과로서 대칭 키도 포함할 수 있다. 페어링 관계가 무-사용자 이름/암호 인증을 레버리지하지 않는 레거시 SPs를 나타내는 데 사용될 수 있는 암호와 같은 덜 강한 다른 속성을 가질 수 있음에 유의한다.
이제 도 3을 참조하면, 브라우저 세션의 콘텍스트에서 사용자-서비스 제공자 키 페어링의 생성을 가능하게 하도록 웹 서비스 제공자와 보안 방식으로 통신하는 방법의 흐름도가 도시된다. 도 3에서 보이는 바와 같이, 방법(300)은 서비스 제공자 시스템의 구성요소뿐만 아니라 클라이언트 시스템 내의 다양한 구성요소 양자 모두를 사용하여 수행될 수 있다. 또한 방법(300)에서 상이한 흐름이 존재하며, 주어진 인증 프로세스에서 모든 동작이 수행될 수 있는 것은 아님을 알아야 한다. 보이는 바와 같이, 방법(300)은 블록(310)에서 하나 이상의 요인을 사용하여 클라이언트 시스템에서 CSE에 대해 사용자를 인증함으로써 시작한다. 전술한 바와 같이, 이 인증은 사전 부팅 환경과 같은 클라이언트 시스템과의 세션에서 초기에 발생할 수 있고, 임의의 미래의 웹 브라우징 활동과 무관하게 수행될 수 있다. 또한 전술한 바와 같이, 다요인 인증 프로세스의 다양한 요인이 수행될 수 있다.
다음 제어는 사용자가 주어진 서비스 제공자 사이트로 내비게이팅하고 데이터에 액세스하려고 시도할 수 있는 블록(315)으로 넘어간다. 이 액세스는 클라이언트 시스템 상에서 실행하는 브라우저를 통해서일 수 있다. 검색 엔진, 정 보 사이트 등과 같은 다수의 웹사이트에 대해 어떠한 추가 인증도 필요하지 않으며 대신에 웹 페이지의 직접 내비게이팅이 발생할 수 있음에 유의한다. 오히려 본 명세서에 설명된 실시예는 사용자가 예컨대, 구매, 금융 거래 등을 포함하는 인터넷을 통한 임의의 유형의 상업 활동을 의미하도록 본 명세서에서 광범위하게 사용되는 e-커머스를 위해 웹사이트와 보안 방식으로 통신하려고 시도하는 경우에 사용될 수 있다. 그러한 e-커머스는 사용자가 본 명세서에 설명된 사용자-SP 페어링 키를 사용하지 않고, 종래의 사용자 이름과 암호 없이 사용자의 계정에 로그인하는 것을 가능하게 하는 것도 포함할 수 있다.
그러므로 도 3을 더 참조하면, 제어는 그 다음으로 서비스 제공자로부터 인증 요청 메시지가 수신되는 블록(320)으로 넘어간다. 실시예에서 이 메시지는 사용자가 인증의 증거를 제공하도록 요구하는 SAML 인증 요청 메시지이다. 브라우저 내에서 이 메시지의 수신에 응답하여, 브라우저는 요청을 시스템 CSE 내에서 실행하는 IdP 로직으로 재지정할 수 있다. 블록(330)에서 이 IdP 로직은 SAML 요청을 내부 포맷 메시지로 변환할 수 있다. 본 발명의 범위는 실시예에서 이것으로 제한되지 않지만, 이 내부 메시지 포맷은 자바, C++, 자바스크립트 또는 다른 컴퓨터 프로그래밍 언어 데이터 구조 표현을 포함할 수 있다. 제어는 그 다음으로 이 특정 서비스 제공자 내에 페어링이 존재하는지 여부를 판정할 수 있는 다이아몬드(335)로 넘어간다. 만일 예라면, 제어는 블록(375)으로 넘어가며 이하에서 더 논의된다.
이와 달리, 페어링이 존재하지 않으면, 제어는 사용자가 예컨대, 신뢰 채널을 통해 페어링 키의 생성을 승인하거나 거절하도록 프롬프트될 수 있는 블록(340)으로 넘어간다. 실시예에서, 이 신뢰 경로는 사용자가 요청 메시지를 수신하게 하지만 (멀웨어를 포함하는) 플랫폼 상에서 실행하는 임의의 다른 엔티티가 이 메시지에 액세스하지 못하게 하는 CSE와 디스플레이 사이의 스푸핑 불가(non-spoofable) 보안 채널일 수 있다. 제어는 그 다음으로 사용자가 이 페어링의 생성을 승인하였는지 여부를 판정하는 다이아몬드(350)로 넘어간다. 실시예에서, 이 승인은 마우스 클릭, 키보드 승인과 같은 사용자 입력 메커니즘을 통해 또는 제스처 입력 디바이스에 의해 수신된 사용자 제스처를 통해서와 같은 다른 방법으로 수신될 수 있다.
사용자가 생성을 승인한다고 가정하면, 제어는 페어링 키가 생성될 수 있는 블록(355)으로 넘어간다. 실시예에서, 비대칭 또는 대칭 키 생성 프로세스가 수행되어 이 키를 생성할 수 있다. 그 다음으로 제어는 시그마 세션이 생성될 수 있는 블록(360)으로 넘어간다. 실시예에서 이 시그마 세션은 도 2에 관하여 전술한 바와 같이 수행될 수 있다. 이 세션 동안에, 시그마 메시지는 서비스 제공자가 클라이언트 시스템이 인증된 신뢰 실행 환경 내에 있는지 검증하는 것을 가능하게 하도록 서비스 제공자와 교환될 수 있다. 그 다음에 이 시그마 세션 동안에 페어링 공개 키는 서비스 제공자로 전달될 수 있다(블록 365). 공개 키를 전달하는 대신에, 대칭 키의 사본이 전달될 수 있다. 본 명세서에 설명된 실시예를 사용하여, 사용자가 보안 정보에 액세스하려고 시도하고/하거나 계정을 가진 각각의 서비스 제공자마다 개별 개인 키 및 공개 키가 생성될 수 있음에 유의한다. 또한 도시되지는 않았지만 쉬운 설명을 위해 이 시그마 세션 동안에 클라이언트 시스템이 서비스 제공자로부터 서비스 제공자의 공개 키 및/또는 서비스 제공자의 인증에 관한 인증서를 포함하는 인증 정보를 수신함을 알아야 한다.
이 정보를 사용하여, 데이터 구조가 생성될 수 있다(블록 370). 예컨대, 실시예에서, 서비스 제공자로부터 수신된 공개 키뿐만 아니라 클라이언트에 의해 생성된 공개 키 및 개인 키도 포함하는 페어링 관계, 서비스 제공자 인증서 및 웹사이트 활동 동안에 시그마 세션을 유지/복원하는 데 사용될 수 있는 시그마 세션 키와 같은 추가 정보를 설명하는 암호화된 방식으로 기록이 생성되고 저장될 수 있다. 즉, 실시예는 웹사이트가 사용자가 인증되지 않은 채로 있고 클라이언트 시스템의 위치에 있음을 보장하도록 몇몇 사전결정된 간격에 따라 활성을 유지하는 동안 발생하는 시그마 세션을 제공할 수 있다.
도 3에 도시되지 않았지만, 사용자 기록을 생성 및/또는 업데이트하는 유사한 동작이 서비스 제공자 측에서 발생할 수 있다. 특히 사용자가 종래의 사용자 이름과 암호를 사용하여 액세스되는 서비스 제공자와의 계정을 이미 가지고 있는 경우에, 이 사용자 기록은 본 명세서에 설명된 바와 같이 생성된 키 페어에 따라 발생하는 인증을 제공하는 대신에 기록을 수정하도록 업데이트될 수 있다. 이와 같이, 실시예는 종래의 사용자 이름과 암호를 사용하여 액세스되는 레거시 웹사이트 계정이 키 페어 메커니즘을 사용하여 액세스되는 웹사이트 계정으로 이동하게 한다. 이를 위해, 서비스 제공자는 레거시 사용자 이름과 암호를 제거하고 웹 서비스와 상호작용하기 위해 키 페어 기반 인증으로 이동하도록 서비스 제공자 측에서 사용자의 기록을 업데이트하기 위해 사용자로부터 인증을 더 요구할 수 있다.
도 3을 더 참조하면, 이 시점에 사용자와 서비스 제공자 사이에 적합한 키 페어링 배치가 수립될 수 있다. 따라서, 제어가 다이아몬드(335)로 다시 넘어갈 때, 결정은 긍정적이며 이에 따라 동작은 블록(375)으로 넘어간다. 다음 동작은 웹 브라우징 세션이 발생하는 것을 가능하게 하도록 인증된 사용자를 검증하는 것에 관한 것이다. 특히 블록(375)에서 사용자는 브라우징 세션을 가능하게 하기 위해 페어링 키의 사용을 승인하도록 신뢰 채널을 통해 다시 프롬프트될 수 있다. (다이아몬드 378에서) 이 사용자 승인이 수신된다고 가정하면, 제어는 CSE에 사용자를 인증하는 데 사용된 인증 요인을 설명하는 어썰션이 생성될 수 있는 블록(380)으로 넘어간다. 실시예에서, 이 어썰션은 블록(310)에서 수행된 사용자 다요인 사용자 인증을 설명하는 서명된 SAML 어썰션일 수 있다. 이 세션에서는 어떠한 사용자 식별도 존재하지 않으며, 사용자의 생체인증 또는 다른 정보의 개시도 존재하지 않음에 유의한다. 그 대신에 설명되는 모든 것은 이 인증과 연관된 임의의 특정 사용자 정보라기보다는(사용자가 사실상 인증되었던 것이 아니라), 이 인증을 수행할 때 사용된 요인이다. 제어는 그 다음으로 SAML 응답이 서비스 제공자로 전달될 수 있는 블록(385)으로 넘어간다. 그 다음에 블록(390)에서 서비스 제공자는 SAML 응답을 검증할 수 있고 그 후에 검증 하의 데이터 및/또는 웹 페이지에 대한 액세스를 허가할 수 있으며(블록 392), 양자 모두 클라이언트 시스템에 의해 수신되어 브라우저가 웹 페이지 및/또는 데이터를 수신할 수 있게 한다(블록 395). 도 3의 실시예에서 이 하이레벨로 도시되지만, 본 발명의 범위는 이것으로 제한되지 않음을 알아야 한다.
이제 도 4를 참조하면, 개시 실행 프로세스를 도시하는 본 발명의 실시예에 따라 시스템 배치의 블록도가 도시된다. 도 4에서 보이는 바와 같이, 시스템(400)은 CPU(410)를 포함할 수 있다. 다양한 실시예에서, 이 CPU는 SoC(system on a chip) 또는 다른 멀티코어 프로세서일 수 있고, 보안 실행 기술, 예컨대, 인텔® TXT™ 기술, 인텔® ME 또는 신뢰 실행 환경을 가능하게 하는 ARM TrustZone을 포함할 수 있다. 이 환경은 부트 및 개시 환경에서 플랫폼 구성요소(예컨대, 기본 입출력 시스템(BIOS), OS 로더, 가상 머신 관리자 및 다른 구성요소)를 측정하는 것을 포함하는 컴퓨팅 플랫폼을 평가하는 신뢰 루트를 수립한다. 이 루트는 또한 임의의 다른 구성요소의 무결성을 평가하도록 신뢰 위치를 제공한다. 기본 신뢰 루트와, 측정 및 평가를 위한 보안 기반이 수립되면, 메모리 내에 비밀을 밀봉하고 보호하며 시스템 구성의 로컬 또는 원격 인증을 제공하는 데 다른 메커니즘이 사용될 수 있다.
도 4의 실시예에서 보이는 바와 같이, CPU(410)는 칩셋(420)에 연결될 수 있다. 도 4의 실시예에서 개별 구성요소로서 도시되지만, 몇몇 구현에서 칩셋(420)은 CPU(410)로서, 특히 CPU가 SoC로서 구현될 때, 동일한 패키지 내에 구현될 수 있음을 알아야 한다. 보이는 바와 같이, 칩셋(420)은 본 명세서에 설명된 바와 같이, 서비스 제공자와 사용자 및 키 기반 인증의 다요인 인증을 수행하도록 IdP 로직을 포함할 수 있는 CSE(428)를 포함하는 관리성 엔진(425)을 포함할 수 있다. 실시예에서, 클라이언트 시스템이 서비스 제공자에게 아직도 익명인 채로 인증될 수 있도록 EPID를 사용하여 시그마 세션이 수행될 수 있다.
CSE(428)는 ME 내에 있는 것으로 도시되지만, 본 발명의 범위는 이것으로 제한되지 않으며 본 명세서에 설명된 인증 및 키 페어링 활동이 신뢰 실행 환경으로서 또한 적합한 다른 위치에서 수행될 수 있음에 유의한다. 실시예에서, CSE(428)는 ME의 펌웨어 내의 자바 가상 머신(JVM) 상에서 구동하는 자바™ 애플릿과 같은 애플릿에 의해 구현될 수 있다. 그러나, 본 명세서에 설명된 인증용으로 사용된 보안 엔진이 시스템의 다른 실행 엔진 상에서 구동하는 가상 머신 또는 다른 가상화 환경의 내부에서 구동하는 일반 엔진일 수 있음에 유의한다.
도 4의 실시예에서, 칩셋(420) 내에 구성되거나 독립 허브일 수 있는 센서/통신 허브(430)를 포함하는 추가 구성요소가 존재할 수 있다. 보이는 바와 같이, 하나 이상의 센서(440)는 허브(430)와 통신할 수 있다. 설명을 위한 예로써, 센서는 GPS 모듈 또는 다른 전용 위치 센서를 포함할 수 있다. 관성 및 환경 센서와 같은 다른 센서가 존재할 수 있다. 몇몇 예로써, 가속도계 및 힘 검출기가 제공될 수 있고 이들 센서로부터 획득된 정보가 생체인증에 사용될 수 있다. 또한, 다양한 실시예에서 3G 또는 4G/LTE 통신 프로토콜에 따라 주어진 셀룰러 시스템과 같은 로컬 또는 광역 무선 네트워크와의 통신을 가능하게 하도록 하나 이상의 무선 통신 모듈(445)도 존재할 수 있다.
도 4에서 더 볼 수 있듯이, 플랫폼(400)은 본 명세서에 설명된 바와 같이 (키 페어링 및 인증 동작을 승인하도록 사용자로의 요청을 포함하는) 디스플레이 프레임 이미지의 스누핑을 방지하도록 보안 채널(455)을 통해 ME(425)에 연결될 수 있는 디스플레이 프로세서(450)를 더 포함할 수 있다. 보이는 바와 같이, 디스플레이 프로세서(450)는 그러한 요청에 대한 응답과 같은 사용자 입력을 수신하도록 터치 스크린 디스플레이일 수 있는 디스플레이(470)에 연결될 수 있다. 그러므로 이 예에서, 디스플레이 내에 구성된 것은 터치 스크린(475) 및 터치 스크린 제어기(480)(물론 디스플레이 자체 뒤에 숨겨져 있음)일 수 있다. 이들 구성요소로부터 ME(425)로의 입력 채널이 비신뢰 채널일 수 있음에 유의한다. 유사하게, 다른 사용자 인터페이스, 즉, 예로서 키보드 및 마우스일 수 있는 사용자 인터페이스(4951 및 4952)는 내장형 제어기(490)를 통해 센서/통신 허브(430)에 연결될 수 있다. 다시 한번 이들 사용자 인터페이스로부터의 이 입력 경로는 비신뢰 채널을 경유할 수 있다.
실시예는 다수의 상이한 환경에서 사용될 수 있다. 이제 도 5를 참조하면, 실시예가 사용될 수 있는 예시적인 시스템(500)의 블록도가 도시된다. 보이는 바와 같이, 시스템(500)은 스마트폰 또는 다른 무선 통신기일 수 있다. 도 5의 블록도에 도시된 바와 같이, 시스템(500)은 예컨대, 시스템의 부트업시에 하나 이상의 사용자 인증을 수행하고, 본 명세서에 설명된 바와 같이 원격 서비스 제공자와 키 페어링 동작 및 신뢰 어썰션을 더 수행하도록 관리성 엔진 및 다른 신뢰 하드웨어 지원과 같은 보안 엔진을 포함할 수 있는 베이스밴드 프로세서(510)를 포함할 수 있다. 일반적으로, 베이스밴드 프로세서(510)는 디바이스에 대한 컴퓨팅 동작뿐만 아니라 통신에 관하여 다양한 신호 처리를 수행할 수 있다. 그 다음에, 베이스밴드 프로세서(510)는 몇몇 실시예에서 서비스 채널을 통해 키 페어링 동작의 사용자 승인을 위한 요청을 제공할 수 있는 터치 스크린 디스플레이에 의해 구현될 수 있는 사용자 인터페이스/디스플레이(520)에 연결될 수 있다. 또한, 베이스밴드 프로세서(510)는 도 5의 실시예에서 비휘발성 메모리, 즉, 플래시 메모리(530) 및 시스템 메모리, 즉, 동적 랜덤 액세스 메모리(DRAM)(535)를 포함하는 메모리 시스템에 연결될 수 있다. 더 볼 수 있듯이, 베이스밴드 프로세서(510)는 비디오 및/또는 스틸 이미지를 기록할 수 있는 이미지 캡처 디바이스와 같은 캡처 디바이스(540)에 연결될 수 있다.
통신이 송신되고 수신되는 것을 가능하게 하기 위해, 베이스밴드 프로세서(510)와 안테나(590) 사이에 다양한 보안 회로가 연결될 수 있다. 특히, 무선 주파수(RF) 송수신기(570) 및 WLAN 송수신기(575)가 존재할 수 있다. 일반적으로, RF 송수신기(570)는 예컨대, CDMA(code division multiple access), GSM(global system for mobile communication), LTE(long term evolution) 또는 다른 프로토콜에 따라서 3G 또는 4G 무선 통신 프로토콜과 같은 주어진 무선 통신 프로토콜에 따라 무선 데이터 및 호출을 수신하고 송신하는 데 사용될 수 있다. 또한 GPS 센서(580)가 존재할 수 있다. 무선 신호, 예컨대, AM/FM 및 다른 신호의 수신 또는 송신과 같은 다른 무선 통신이 또한 제공될 수 있다. 또한, WLAN 송수신기(575)를 통해, 예컨대, 블루투스™ 표준 또는 IEEE 802.11a/b/g/n과 같은 IEEE 802.11 표준에 따라 로컬 무선 신호가 또한 구현될 수 있다. 도 5의 실시예에서 이 하이레벨로 도시되지만, 본 발명의 범위는 이것으로 제한되지 않음을 이해해야 한다.
그러므로 실시예는 SP 또는 2차 Idp로의 Idp TEE 구동 및 IdP 작업부하를 구동하는 TEE를 인증하는 데 키 암호화를 사용할 수 있다. 이들 인증 어썰션은 다수의 인증 요인의 표현을 포함하며, 실제 인증은 서비스 제공자 또는 제 3 자 인증 권한에 의해서가 아니라, 클라이언트 TEE에 의해 수행된다.
그러므로 다양한 실시예에서, 웹서비스에 대한 사용자 인증은 다요인 인증의 복잡성을 숨기는 TEE를 사용하여 클라이언트에서 수행될 수 있다. 실시예에서, 암호화 키(대칭 또는 비대칭)는 SP에 사용자를 인증하는 데 사용될 수 있다. 특히, MITM(man-in-the-middle) 공격자가 트랜잭션을 상관시킬 수 없음을 보장하도록 (예컨대, 페어링 관계로서 수립된) 각각의 SP마다 상이한 키가 사용될 수 있다. 또한, 초기 셋업 동안에 EPID 키의 사용은 트랜잭션 세부사항을 공유하도록 다수의 SP 간의 충돌을 방지한다. 그리고 다요인 인증으로 사용자 인증을 수행하는 데 TEE를 사용함으로써, 인증의 복잡성은 SP에게 비밀이 되어, SP 백엔드가 강한 인증을 위한 광범위한 지원을 제공하기가 쉬워진다. 실시예는 페어링 키 생성 및 페어링 키 사용을 위해 사용자로부터 옵트인 승신을 수신하는 데 신뢰 입출력 메커니즘을 더 사용할 수 있다.
실시예는 다수의 상이한 유형의 시스템에서 사용될 수 있다. 예컨대, 일 실시예에서 통신 디바이스는 본 명세서에 설명된 다양한 방법 및 기술을 수행하도록 구성될 수 있다. 물론, 본 발명의 범위는 통신 디바이스로 제한되지 않으며, 그 대신에 다른 실시예는 명령어를 처리하는 다른 유형의 장치, 또는 컴퓨팅 디바이스 상에서 실행되는 것에 응답하여 디바이스가 본 명세서에 설명된 하나 이상의 방법 및 기술을 수행하게 하는 명령어를 포함하는 하나 이상의 머신 판독가능 매체에 관한 것일 수 있다.
후속하는 예는 다른 실시예에 관한 것이다. 실시예에서, 시스템은 웹 서비스를 제공하고 네트워크를 통해 시스템에 연결된 제 2 시스템을 가진 서비스 제공자와 시스템의 사용자를 연관시키는 키 페어링의 제 1 키 페어를 생성하고, 제 2 시스템이 식별자 제공자 로직이 신뢰 실행 환경에서 실행중임을 검증할 수 있게 하도록 제 2 시스템과 보안 통신을 수행하며, 검증에 응답하여, 제 2 시스템으로 제 1 키 페어의 제 1 키를 전달 -제 1 키는 제 2 시스템이 사용자가 다요인 인증에 따라 시스템에 인증되었다는 식별자 제공자 로직에 의해 전달된 어썰션을 검증할 수 있게 함- 하는 식별자 제공자 로직을 포함하는 보안 엔진을 구비한다. 시스템은 사용자에 관하여 센싱된 정보를 보안 엔진에 제공하는 적어도 하나의 센서 수단을 더 구비하며, 보안 엔진은 센싱된 정보를 사용하여 사용자를 인증한다.
일 실시예에서, 식별자 제공자 로직은 어썰션을 생성하고 키 페어링의 제 2 키로 어썰션에 서명하며, 서비스 제공자는 서명된 어썰션의 검증에 응답하여 제 2 시스템을 통해 웹 서비스에 액세스할 수 있게 한다. 또한, 보안 엔진은 사용자가 사용자와 서비스 제공자를 연관시키는 키 페어링을 생성하려고 시도함을 확인하도록 시스템의 신뢰 경로를 따라 전달되는 요청을 생성한다. 실시예에서, 보안 엔진은 사용자가 웹 서비스에 액세스하려고 시도하기 전에 다요인 인증에 따라 사용자를 인증한다.
실시예에서, 식별자 제공자 로직은 제 2 시스템으로부터 인증 요청을 수신하고 인증 요청에 응답하여 어썰션을 생성한다. 그리고, 보안 엔진은 프레즌스 검출 센서 또는 사용자 인증 센서에 대응하는 적어도 하나의 센서로부터 센싱된 정보를 수신한다.
다른 실시예에서, 방법은 클라이언트 시스템의 보안 엔진의 식별자 제공자 로직에서 인증 요청을 수신하는 단계 -인증 요청은 클라이언트 시스템의 사용자가 액세스하려고 시도하는 웹 서비스를 가진 서비스 제공자로부터 수신됨- 와, 사용자가 다요인 인증을 통해 클라이언트 시스템에 인증되었다는 어썰션을 생성하고, 사용자와 서비스 제공자를 연관시키는 키 페어링의 제 1 키로 어썰션에 서명하는 단계와, 서비스 제공자에게 서명된 어썰션을 전달하는 단계 -서비스 제공자는 서명된 어썰션의 검증에 응답하여 사용자와의 시도-응답 상호작용 없이 사용자가 웹 서비스에 액세스할 수 있게 함- 를 포함한다.
실시예에서, 방법은 사용자가 웹 서비스에 액세스하려고 시도하기 전에 다요인 인증에 따라 사용자를 인증하는 단계를 더 포함한다. 인증 요청은 인증 요청을 보안 엔진으로 재지정하는 클라이언트 시스템의 브라우저 애플리케이션에서 수신될 수 있다.
방법은 클라이언트 시스템의 신뢰 경로를 통해 전달되는 요청에 응답하여, 사용자가 사용자 입력을 통해 웹 서비스에 액세스하려고 시도함을 확인하는 단계를 더 포함할 수 있고, 신뢰 경로는 클라이언트 시스템 상에서 실행하는 멀웨어에 액세스할 수 없다.
방법은 키 페어링을 생성하기 위한 사용자 승인에 응답하여 보안 엔진에서 제 1 키 페어를 생성하는 단계를 더 포함할 수 있다. 이는 클라이언트 시스템과 서비스 제공자 사이의 시그마 세션을 통해, 클라이언트 시스템의 신뢰 실행 환경을 검증하고 제 1 키 페어의 공개 키를 제공하며 서비스 제공자에 의해 생성된 제 2 키 페어의 공개 키를 수신하도록 통신하는 단계를 포함할 수 있다.
실시예에서, 데이터 구조는 클라이언트 시스템에 저장될 수 있고, 데이터 구조는 제 1 키 페어의 개인 키와 공개 키 및 제 2 키 페어의 공개 키를 포함한다. 이 데이터 구조는 어썰션에 서명하도록 액세스될 수 있다.
설명된 바와 같이 방법을 사용하면, 사용자는 사용자로부터 사용자 이름 또는 암호를 수신하지 않고도 웹 서비스에 액세스할 수 있게 된다. 또한, 웹 서비스를 위한 사용자 계정은 사용자 이름 및 암호 메커니즘으로부터 키 페어링을 통한 연관으로 이동될 수 있다.
또 다른 실시예는 명령어를 포함하는 적어도 하나의 컴퓨터 판독가능 매체를 포함하고, 명령어는 실행될 때 시스템이 서비스 제공자의 시스템에서, 사용자 이름 또는 암호 없이 서비스 제공자의 웹사이트를 통해 계정에 액세스하라는 사용자 요청을 수신하고, 사용자가 다요인 인증을 통해 클라이언트 시스템에 인증되었다는 어썰션을 획득하도록 인증 요청을 시스템으로부터 사용자의 클라이언트 시스템으로 전달 -어썰션은 사용자와 서비스 제공자를 연관시키는 키 페어링의 제 1 키로 서명됨- 하며, 클라이언트 시스템으로부터 어썰션을 수신하고, 어썰션을 검증하고 검증에 응답하여 웹사이트를 통해 계정에 대한 액세스를 허가할 수 있게 한다.
실시예에서, 다른 명령어는 시스템이 클라이언트 시스템의 신뢰 실행 환경을 검증하고 키 페어링의 제 2 키를 수신하도록 시그마 세션을 통해 클라이언트 시스템과 통신할 수 있게 한다. 추가 명령어는 시스템이 클라이언트 시스템에 제공할 인증서 정보를 획득하도록 시스템과 원격 온라인 인증서 상태 제공자 간에 통신을 수행할 수 있게 한다. 또 다른 명령어는 시스템이 사용자 이름 및 암호 메커니즘을 통한 계정의 연관을 상기 키 페어링을 통한 연관으로 이동시킬 수 있게 한다.
실시예는 코드로 구현될 수 있고 명령을 수행하도록 시스템을 프로그래밍하는 데 사용될 수 있는 명령어를 저장한 비일시적 저장 매체 상에 저장될 수 있다. 저장 매체는 플로피 디스크, 광디스크, 고체 상태 드라이브(SSD), 콤팩트 디스크 판독전용 메모리(CD-ROM), 콤팩트 디스크 리라이터블(CD-RW) 및 광자기 디스크를 포함하는 임의의 유형의 디스크, 판독 전용 메모리(ROM), 랜덤 액세스 메모리(RAM), 예컨대, 동적 랜덤 액세스 메모리(DRAM), 정적 랜덤 액세스 메모리(SRAM), 소거가능한 프로그램가능 판독 전용 메모리(EPROM), 플래시 메모리, 전기적으로 소거가능한 프로그램가능 판독전용 메모리(EEPROM)와 같은 반도체 디바이스, 자기 또는 광 카드, 또는 전자 명령어를 저장하기에 적합한 임의의 유형의 매체를 포함할 수 있지만, 이들로 제한되지 않는다.
본 발명은 한정된 수의 실시예에 관하여 설명되었지만, 당업자는 그러한 실시예로부터의 다수의 변경 및 수정을 알 것이다. 첨부된 특허청구범위는 그러한 모든 변경 및 수정을 본 발명의 진정한 사상 및 범주 내에 있는 것으로 커버하도록 의도된다.

Claims (20)

  1. 시스템으로서,
    웹 서비스를 제공하고 네트워크를 통해 상기 시스템에 연결된 제 2 시스템을 가진 서비스 제공자와 상기 시스템의 사용자를 연관시키는 키 페어링(a key pairing)의 제 1 키 페어를 생성하고, 상기 제 2 시스템이 식별자 제공자 로직이 신뢰 실행 환경에서 실행중임을 검증할 수 있게 하도록 상기 제 2 시스템과 보안 통신을 수행하며, 상기 검증에 응답하여, 상기 제 2 시스템으로 상기 제 1 키 페어의 제 1 키를 전달 -상기 제 1 키는 상기 제 2 시스템이 상기 사용자가 다요인 인증(a multi-factor authentication)에 따라 상기 시스템에 인증되었다는 상기 식별자 제공자 수단에 의해 전달된 어썰션(assertion)을 검증할 수 있게 함- 하는 식별자 제공자 수단을 포함하는 보안 엔진과,
    상기 사용자에 관하여 센싱된 정보를 상기 보안 엔진에 제공하는 적어도 하나의 센서 수단 -상기 보안 엔진은 상기 센싱된 정보를 사용하여 상기 사용자를 인증함- 을 포함하는
    시스템.
  2. 제 1 항에 있어서,
    상기 식별자 제공자 수단은 상기 어썰션을 생성하고 상기 키 페어링의 제 2 키로 상기 어썰션에 서명하며,
    상기 서비스 제공자는 상기 서명된 어썰션의 검증에 응답하여 상기 제 2 시스템을 통해 상기 웹 서비스에 액세스할 수 있게 하는
    시스템.
  3. 제 2 항에 있어서,
    상기 보안 엔진은 상기 사용자가 상기 사용자와 상기 서비스 제공자를 연관시키는 상기 키 페어링을 생성하려고 시도함을 확인하도록 상기 시스템의 신뢰 경로를 따라 전달되는 요청을 생성하는
    시스템.
  4. 제 2 항에 있어서,
    상기 보안 엔진은 상기 사용자가 상기 웹 서비스에 액세스하려고 시도하기 전에 상기 다요인 인증에 따라 상기 사용자를 인증하는
    시스템.
  5. 제 1 항에 있어서,
    상기 식별자 제공자 수단은 상기 제 2 시스템으로부터 인증 요청을 수신하고 상기 인증 요청에 응답하여 상기 어썰션을 생성하는
    시스템.
  6. 제 1 항에 있어서,
    상기 보안 엔진은 상기 사용자에 관한 생체인증 정보를 획득하도록 가속도계에 대응하는 상기 적어도 하나의 센서로부터 상기 센싱된 정보를 수신하는
    시스템.
  7. 클라이언트 시스템의 보안 엔진의 식별자 제공자 로직에서 인증 요청을 수신하는 단계 -상기 인증 요청은 상기 클라이언트 시스템의 사용자가 액세스하려고 시도하는 웹 서비스를 가진 서비스 제공자로부터 수신됨- 와,
    상기 사용자가 다요인 인증을 통해 상기 클라이언트 시스템에 인증되었다는 어썰션을 생성하고, 상기 사용자와 상기 서비스 제공자를 연관시키는 키 페어링의 제 1 키로 상기 어썰션에 서명하는 단계와,
    상기 서비스 제공자에게 상기 서명된 어썰션을 전달하는 단계 -상기 서비스 제공자는 상기 서명된 어썰션의 검증에 응답하여 상기 사용자와의 시도-응답 상호작용 없이 상기 사용자가 상기 웹 서비스에 액세스할 수 있게 함- 를 포함하는
    방법.
  8. 제 7 항에 있어서,
    상기 사용자가 상기 웹 서비스에 액세스하려고 시도하기 전에 상기 다요인 인증에 따라 상기 사용자를 인증하는 단계를 더 포함하는
    방법.
  9. 제 7 항에 있어서,
    상기 클라이언트 시스템의 브라우저 애플리케이션에서 상기 인증 요청을 수신하고 상기 인증 요청을 상기 보안 엔진으로 재지정하는 단계를 더 포함하는
    방법.
  10. 제 7 항에 있어서,
    상기 클라이언트 시스템의 신뢰 경로를 통해 전달되는 요청에 응답하여, 상기 사용자가 사용자 입력을 통해 상기 웹 서비스에 액세스하려고 시도함을 확인하는 단계를 더 포함하되,
    상기 신뢰 경로는 상기 클라이언트 시스템 상에서 실행하는 멀웨어에 액세스할 수 없는
    방법.
  11. 제 10 항에 있어서,
    상기 키 페어링을 생성하기 위한 사용자 승인에 응답하여 상기 보안 엔진에서 제 1 키 페어를 생성하는 단계를 더 포함하는
    방법.
  12. 제 11 항에 있어서,
    상기 클라이언트 시스템과 상기 서비스 제공자 사이의 시그마 세션을 통해, 상기 클라이언트 시스템의 신뢰 실행 환경을 검증하고 상기 제 1 키 페어의 공개 키를 제공하며 상기 서비스 제공자에 의해 생성된 제 2 키 페어의 공개 키를 수신하도록 통신하는 단계를 더 포함하는
    방법.
  13. 제 12 항에 있어서,
    상기 클라이언트 시스템에 데이터 구조를 저장하는 단계를 더 포함하되,
    상기 데이터 구조는 상기 제 1 키 페어의 개인 키와 공개 키 및 상기 제 2 키 페어의 공개 키를 포함하는
    방법.
  14. 제 13 항에 있어서,
    상기 어썰션에 서명하도록 상기 데이터 구조에 액세스하는 단계를 더 포함하는
    방법.
  15. 제 7 항에 있어서,
    상기 사용자로부터 사용자 이름 또는 암호를 수신하지 않고도 상기 웹 서비스로의 사용자 액세스를 가능하게 하는 단계를 더 포함하는
    방법.
  16. 제 7 항에 있어서,
    상기 웹 서비스를 위한 사용자 계정을 사용자 이름 및 암호 메커니즘으로부터 상기 키 페어링을 통한 연관(association)으로 이동시키는 단계를 더 포함하는
    방법.
  17. 시스템으로서,
    서비스 제공자의 상기 시스템에서, 사용자 이름 또는 암호 없이 상기 서비스 제공자의 웹사이트를 통해 계정에 액세스하라는 사용자 요청을 수신하는 수단과,
    상기 사용자가 다요인 인증을 통해 클라이언트 시스템에 인증되었다는 어썰션을 획득하도록 인증 요청을 상기 시스템으로부터 상기 사용자의 클라이언트 시스템으로 전달하는 수단 -상기 어썰션은 상기 사용자와 상기 서비스 제공자를 연관시키는 키 페어링의 제 1 키로 서명됨- 과,
    상기 클라이언트 시스템으로부터 상기 어썰션을 수신하는 수단과,
    상기 어썰션을 검증하고, 상기 검증에 응답하여 상기 웹사이트를 통해 상기 계정에 대한 액세스를 허가하는 수단을 포함하는
    시스템.
  18. 제 17 항에 있어서,
    상기 클라이언트 시스템의 신뢰 실행 환경을 검증하고 상기 키 페어링의 제 2 키를 수신하도록 시그마 세션을 통해 상기 클라이언트 시스템과 통신하는 수단을 더 포함하는
    시스템.
  19. 제 17 항에 있어서,
    상기 클라이언트 시스템에 제공할 인증서 정보를 획득하도록 상기 시스템과 원격 온라인 인증서 상태 제공자 간에 통신을 수행하는 수단을 더 포함하는
    시스템.
  20. 제 17 항에 있어서,
    사용자 이름 및 암호 메커니즘을 통한 계정의 연관을 상기 키 페어링을 통한 연관으로 이동시키는 수단을 더 포함하는
    시스템.
KR1020157013180A 2012-12-20 2013-12-03 통합 보안 엔진을 사용하는 웹 서비스 제공자를 위한 프라이버시 강화 키 관리 KR101671351B1 (ko)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US13/721,760 US9064109B2 (en) 2012-12-20 2012-12-20 Privacy enhanced key management for a web service provider using a converged security engine
US13/721,760 2012-12-20
PCT/US2013/072911 WO2014099355A1 (en) 2012-12-20 2013-12-03 Privacy enhanced key management for a web service provider using a converged security engine

Publications (2)

Publication Number Publication Date
KR20150070388A true KR20150070388A (ko) 2015-06-24
KR101671351B1 KR101671351B1 (ko) 2016-11-01

Family

ID=50976356

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020157013180A KR101671351B1 (ko) 2012-12-20 2013-12-03 통합 보안 엔진을 사용하는 웹 서비스 제공자를 위한 프라이버시 강화 키 관리

Country Status (5)

Country Link
US (3) US9064109B2 (ko)
EP (2) EP2936371B1 (ko)
KR (1) KR101671351B1 (ko)
CN (1) CN104798076B (ko)
WO (1) WO2014099355A1 (ko)

Families Citing this family (65)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10181953B1 (en) 2013-09-16 2019-01-15 Amazon Technologies, Inc. Trusted data verification
US8914628B2 (en) * 2009-11-16 2014-12-16 At&T Intellectual Property I, L.P. Method and apparatus for providing radio communication with an object in a local environment
US9237155B1 (en) 2010-12-06 2016-01-12 Amazon Technologies, Inc. Distributed policy enforcement with optimizing policy transformations
US8769642B1 (en) 2011-05-31 2014-07-01 Amazon Technologies, Inc. Techniques for delegation of access privileges
US9197409B2 (en) 2011-09-29 2015-11-24 Amazon Technologies, Inc. Key derivation techniques
US9203613B2 (en) 2011-09-29 2015-12-01 Amazon Technologies, Inc. Techniques for client constructed sessions
US9178701B2 (en) 2011-09-29 2015-11-03 Amazon Technologies, Inc. Parameter based key derivation
US9215076B1 (en) 2012-03-27 2015-12-15 Amazon Technologies, Inc. Key generation for hierarchical data access
US8892865B1 (en) 2012-03-27 2014-11-18 Amazon Technologies, Inc. Multiple authority key derivation
US8739308B1 (en) 2012-03-27 2014-05-27 Amazon Technologies, Inc. Source identification for unauthorized copies of content
US9258118B1 (en) 2012-06-25 2016-02-09 Amazon Technologies, Inc. Decentralized verification in a distributed system
US9660972B1 (en) 2012-06-25 2017-05-23 Amazon Technologies, Inc. Protection from data security threats
US9374369B2 (en) * 2012-12-28 2016-06-21 Lookout, Inc. Multi-factor authentication and comprehensive login system for client-server networks
US9407440B2 (en) 2013-06-20 2016-08-02 Amazon Technologies, Inc. Multiple authority data security and access
US9521000B1 (en) 2013-07-17 2016-12-13 Amazon Technologies, Inc. Complete forward access sessions
US10192054B2 (en) * 2013-09-13 2019-01-29 Intel Corporation Automatic pairing of IO devices with hardware secure elements
US9237019B2 (en) 2013-09-25 2016-01-12 Amazon Technologies, Inc. Resource locators with keys
US9311500B2 (en) 2013-09-25 2016-04-12 Amazon Technologies, Inc. Data security using request-supplied keys
US10243945B1 (en) * 2013-10-28 2019-03-26 Amazon Technologies, Inc. Managed identity federation
US9363264B2 (en) * 2013-11-25 2016-06-07 At&T Intellectual Property I, L.P. Networked device access control
US9420007B1 (en) 2013-12-04 2016-08-16 Amazon Technologies, Inc. Access control using impersonization
US9374368B1 (en) 2014-01-07 2016-06-21 Amazon Technologies, Inc. Distributed passcode verification system
US9292711B1 (en) 2014-01-07 2016-03-22 Amazon Technologies, Inc. Hardware secret usage limits
US9369461B1 (en) 2014-01-07 2016-06-14 Amazon Technologies, Inc. Passcode verification using hardware secrets
US9262642B1 (en) 2014-01-13 2016-02-16 Amazon Technologies, Inc. Adaptive client-aware session security as a service
US10771255B1 (en) 2014-03-25 2020-09-08 Amazon Technologies, Inc. Authenticated storage operations
US10019564B2 (en) * 2014-03-28 2018-07-10 Cryptography Research, Inc. Authentication of a device
US9258117B1 (en) 2014-06-26 2016-02-09 Amazon Technologies, Inc. Mutual authentication with symmetric secrets and signatures
US10326597B1 (en) * 2014-06-27 2019-06-18 Amazon Technologies, Inc. Dynamic response signing capability in a distributed system
WO2016033499A1 (en) * 2014-08-29 2016-03-03 Mastercard International Incorporated Secure on device cardholder authentication usning biometric data
US9686245B2 (en) * 2014-09-16 2017-06-20 Entersekt International Limited System and method for secure authentication
CN107004091B (zh) * 2014-09-26 2021-07-13 英特尔公司 安全地交换车辆传感器信息
CN205721792U (zh) * 2014-09-30 2016-11-23 苹果公司 电子设备
US9965789B2 (en) * 2014-12-22 2018-05-08 Intel Corporation Pre-purchase wearable device testing
US9749310B2 (en) * 2015-03-27 2017-08-29 Intel Corporation Technologies for authentication and single-sign-on using device security assertions
US10122689B2 (en) 2015-06-16 2018-11-06 Amazon Technologies, Inc. Load balancing with handshake offload
US10122692B2 (en) 2015-06-16 2018-11-06 Amazon Technologies, Inc. Handshake offload
US11157905B2 (en) * 2015-08-29 2021-10-26 Mastercard International Incorporated Secure on device cardholder authentication using biometric data
US10073964B2 (en) 2015-09-25 2018-09-11 Intel Corporation Secure authentication protocol systems and methods
US10516651B2 (en) 2015-12-22 2019-12-24 Intel IP Corporation Securely routing sensor data from sensors to a trusted execution environment (TEE)
US10171493B2 (en) 2016-03-05 2019-01-01 Sears Brands, L.L.C. Method and system to dynamically obfuscate a web services interface
US10116440B1 (en) 2016-08-09 2018-10-30 Amazon Technologies, Inc. Cryptographic key management for imported cryptographic keys
US10771451B2 (en) 2016-09-13 2020-09-08 Queralt, Inc. Mobile authentication and registration for digital certificates
US11431509B2 (en) 2016-09-13 2022-08-30 Queralt, Inc. Bridging digital identity validation and verification with the FIDO authentication framework
US10887113B2 (en) 2016-09-13 2021-01-05 Queralt, Inc. Mobile authentication interoperability for digital certificates
US10419402B2 (en) * 2017-01-26 2019-09-17 Microsoft Technology Licensing, Llc Addressing a trusted execution environment using signing key
US11210412B1 (en) * 2017-02-01 2021-12-28 Ionic Security Inc. Systems and methods for requiring cryptographic data protection as a precondition of system access
US10218697B2 (en) 2017-06-09 2019-02-26 Lookout, Inc. Use of device risk evaluation to manage access to services
US11526745B2 (en) 2018-02-08 2022-12-13 Intel Corporation Methods and apparatus for federated training of a neural network using trusted edge devices
CN108471403B (zh) * 2018-02-27 2020-08-21 平安科技（深圳）有限公司 一种账户迁移的方法、装置、终端设备及存储介质
US11556730B2 (en) 2018-03-30 2023-01-17 Intel Corporation Methods and apparatus for distributed use of a machine learning model
US10939295B1 (en) * 2018-08-21 2021-03-02 HYPR Corp. Secure mobile initiated authentications to web-services
US10764752B1 (en) 2018-08-21 2020-09-01 HYPR Corp. Secure mobile initiated authentication
US10601828B2 (en) * 2018-08-21 2020-03-24 HYPR Corp. Out-of-band authentication based on secure channel to trusted execution environment on client device
US11057366B2 (en) * 2018-08-21 2021-07-06 HYPR Corp. Federated identity management with decentralized computing platforms
US11063753B2 (en) * 2019-03-20 2021-07-13 Arris Enterprises Llc Secure distribution of device key sets over a network
CN109921902B (zh) 2019-03-22 2020-10-23 创新先进技术有限公司 一种密钥管理方法、安全芯片、业务服务器及信息系统
AU2019204707B2 (en) * 2019-03-26 2020-10-01 Advanced New Technologies Co., Ltd. Program execution and data proof scheme using multiple key pair signatures
US10846383B2 (en) * 2019-07-01 2020-11-24 Advanced New Technologies Co., Ltd. Applet-based account security protection method and system
EP3771141A1 (en) * 2019-07-24 2021-01-27 Robert Bosch GmbH Computer-implemented method to secure interactions between at least two users in a network
CN111666560A (zh) * 2020-05-28 2020-09-15 南开大学 一种基于可信执行环境的密码管理方法和系统
US10965674B1 (en) * 2020-06-08 2021-03-30 Cyberark Software Ltd. Security protection against threats to network identity providers
DE102021110143A1 (de) 2021-04-21 2022-10-27 Bundesdruckerei Gmbh Erstellen einer kryptographisch abgesicherten elektronischen Identität
US11962580B2 (en) 2021-11-17 2024-04-16 Akamai Technologies, Inc. Browser extensionless phish-proof multi-factor authentication (MFA)
US20220116206A1 (en) * 2021-12-22 2022-04-14 Intel Corporation Systems and methods for device authentication in supply chain

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080123862A1 (en) * 2006-11-27 2008-05-29 Red Hat, Inc. Secure information transfer using dedicated public key pairs
WO2012087844A1 (en) * 2010-12-22 2012-06-28 Intel Corporation Client hardware authenticated transactions

Family Cites Families (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
AU2003296056A1 (en) * 2002-12-20 2004-07-14 Matsushita Electric Industrial Co., Ltd. Information management system
US10156959B2 (en) * 2005-03-16 2018-12-18 Icontrol Networks, Inc. Cross-client sensor user interface in an integrated security network
US7716494B2 (en) 2004-07-15 2010-05-11 Sony Corporation Establishing a trusted platform in a digital processing system
EP2194476B1 (en) 2005-03-22 2014-12-03 Hewlett-Packard Development Company, L.P. Method and apparatus for creating a record of a software-verification attestation
US20080126779A1 (en) 2006-09-19 2008-05-29 Ned Smith Methods and apparatus to perform secure boot
FI122847B (fi) 2006-10-23 2012-07-31 Valimo Wireless Oy Menetelmä ja järjestelmä turvalliseksi PKI-avaimen (Public Key Infrastructure) rekisteröimiseksi matkaviestinympäristössä
US7945786B2 (en) 2007-03-30 2011-05-17 Intel Corporation Method and apparatus to re-create trust model after sleep state
US20090132837A1 (en) 2007-11-15 2009-05-21 Mcm Portfolio Llc System and Method for Dynamically Selecting Clock Frequency
CN101170407B (zh) * 2007-12-03 2011-01-12 北京深思洛克软件技术股份有限公司 一种安全地生成密钥对和传送公钥或证书申请文件的方法
US8171321B2 (en) 2007-12-26 2012-05-01 Intel Corporation Method and apparatus for cost and power efficient, scalable operating system independent services
US8127146B2 (en) 2008-09-30 2012-02-28 Microsoft Corporation Transparent trust validation of an unknown platform
US9490984B2 (en) * 2009-09-14 2016-11-08 Interdigital Patent Holdings, Inc. Method and apparatus for trusted authentication and logon
US8510569B2 (en) 2009-12-16 2013-08-13 Intel Corporation Providing integrity verification and attestation in a hidden execution environment
WO2011123699A2 (en) * 2010-03-31 2011-10-06 Orsini Rick L Systems and methods for securing data in motion
US8516551B2 (en) 2010-07-28 2013-08-20 Intel Corporation Providing a multi-phase lockstep integrity reporting mechanism
AU2012225621B2 (en) * 2011-03-07 2015-10-29 Security First Corp. Secure file sharing method and system
KR101959738B1 (ko) * 2012-05-24 2019-03-19 삼성전자 주식회사 장치 식별자와 사용자 인증 정보에 기반한 보안 키 생성 장치
US9860221B2 (en) * 2015-03-10 2018-01-02 Intel Corporation Internet of things group formation using a key-based join protocol

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080123862A1 (en) * 2006-11-27 2008-05-29 Red Hat, Inc. Secure information transfer using dedicated public key pairs
WO2012087844A1 (en) * 2010-12-22 2012-06-28 Intel Corporation Client hardware authenticated transactions

Also Published As

Publication number Publication date
CN104798076A (zh) 2015-07-22
US20140181925A1 (en) 2014-06-26
KR101671351B1 (ko) 2016-11-01
US20150341332A1 (en) 2015-11-26
US20170214526A1 (en) 2017-07-27
WO2014099355A1 (en) 2014-06-26
EP2936371A1 (en) 2015-10-28
EP2936371A4 (en) 2016-06-08
US9602492B2 (en) 2017-03-21
US10097350B2 (en) 2018-10-09
EP2936371B1 (en) 2019-10-09
US9064109B2 (en) 2015-06-23
EP3608807A1 (en) 2020-02-12
CN104798076B (zh) 2017-09-12

Similar Documents

Publication Publication Date Title
KR101671351B1 (ko) 통합 보안 엔진을 사용하는 웹 서비스 제공자를 위한 프라이버시 강화 키 관리
US10091195B2 (en) System and method for bootstrapping a user binding
US10237070B2 (en) System and method for sharing keys across authenticators
EP3420677B1 (en) System and method for service assisted mobile pairing of password-less computer login
EP3061027B1 (en) Verifying the security of a remote server
EP3213487B1 (en) Step-up authentication for single sign-on
US9807610B2 (en) Method and apparatus for seamless out-of-band authentication
US20220255931A1 (en) Domain unrestricted mobile initiated login
US20170244676A1 (en) Method and system for authentication
TWI510108B (zh) 可信賴聯合身份管理及資料存取授權方法及裝置
US9230089B2 (en) User device security manager
US20130205360A1 (en) Protecting user credentials from a computing device
US20160125180A1 (en) Near Field Communication Authentication Mechanism
US20220159029A1 (en) Detection of security risks based on secretless connection data
US9723003B1 (en) Network beacon based credential store
KR20170041741A (ko) 호스팅된 인증 서비스를 구현하기 위한 시스템 및 방법
JP5827680B2 (ja) ＩＰｓｅｃとＩＫＥバージョン１の認証を伴うワンタイム・パスワード
US20230091318A1 (en) System and method for pre-registration of fido authenticators
US10063592B1 (en) Network authentication beacon
Binu et al. A mobile based remote user authentication scheme without verifier table for cloud based services
US20240129736A1 (en) Mitigating against spurious deliveries in device onboarding
Kreshan THREE-FACTOR AUTHENTICATION USING SMART PHONE

Legal Events

Date Code Title Description
A201 Request for examination
E902 Notification of reason for refusal
E701 Decision to grant or registration of patent right
GRNT Written decision to grant