KR20220019834A - 디바이스로의 보안 자격증명 전송을 인증하는 방법 및 시스템 - Google Patents

디바이스로의 보안 자격증명 전송을 인증하는 방법 및 시스템 Download PDF

Info

Publication number
KR20220019834A
KR20220019834A KR1020227001997A KR20227001997A KR20220019834A KR 20220019834 A KR20220019834 A KR 20220019834A KR 1020227001997 A KR1020227001997 A KR 1020227001997A KR 20227001997 A KR20227001997 A KR 20227001997A KR 20220019834 A KR20220019834 A KR 20220019834A
Authority
KR
South Korea
Prior art keywords
client device
user
processors
identifier
authentication server
Prior art date
Application number
KR1020227001997A
Other languages
English (en)
Other versions
KR102698459B1 (ko
Inventor
바딤 수콤리노브
알베르토 마틴
안드레이 프로닌
Original Assignee
구글 엘엘씨
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 구글 엘엘씨 filed Critical 구글 엘엘씨
Priority to KR1020247027878A priority Critical patent/KR20240129110A/ko
Publication of KR20220019834A publication Critical patent/KR20220019834A/ko
Application granted granted Critical
Publication of KR102698459B1 publication Critical patent/KR102698459B1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/575—Secure boot
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H04L9/0897—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage involving additional devices, e.g. trusted platform module [TPM], smartcard or USB
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3234—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving additional secure or trusted devices, e.g. TPM, smartcard, USB or software token
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
    • H04L9/3273—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response for mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H04W12/084—Access security using delegated authorisation, e.g. open authorisation [OAuth] protocol
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/50—Secure pairing of devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless
    • H04L2209/805—Lightweight hardware, e.g. radio-frequency identification [RFID] or sensor

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Power Engineering (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)
  • Information Transfer Between Computers (AREA)
  • Telephonic Communication Services (AREA)
  • Computer And Data Communications (AREA)

Abstract

디바이스(130)로의 보안 자격증명 전송을 인증하는 방법은 사용자 아이덴티티(306) 및 디바이스 아이덴티티(308)를 검증하는 단계를 포함한다. 특히, 상기 방법은 제1 클라이언트 디바이스(120)에서 사용자 식별 입력을 요청(412, 414)하고 수신(310, 416)함으로써 사용자 아이덴티티를 검증하는 단계 및 제2 클라이언트 디바이스의 디바이스 아이덴티티를 검증하는 단계를 포함하며, 상기 검증하는 단계는 (i) 상기 제2 클라이언트 디바이스(130)의 하드웨어로부터 상기 제2 클라이언트 디바이스(130)의 보안 상태를 결정(408)하고, (ii) 상기 제2 클라이언트 디바이스(130)의 보안 상태와 관련된 식별자를 인증 서버(110)에 호출(418, 420)하고, 그리고 (iii) 상기 호출된 식별자에 기초하여 상기 제2 클라이언트 디바이스(130)에 대한 인증서를 상기 인증 서버(110)로부터 획득함으로써 이루어진다. 상기 사용자 아이덴티티 및 상기 디바이스 아이덴티티를 검증한 후, 상기 방법은 인증 서버(110)에 의해 생성된 하나 이상의 토큰(436, 444, 446)을 사용하는 보안 자격증명 전송을 위해 상기 제1 클라이언트 디바이스(120)와 상기 제2 클라이언트 디바이스(130) 사이에 보안 채널을 상기 설정(312, 448)하는 단계를 포함한다.

Description

디바이스로의 보안 자격증명 전송을 인증하는 방법 및 시스템
관련 출원에 대한 상호 참조
또한 본 출원은 2019년 7월 30일 출원된 미국 출원 번호 제16/526,384호의 계속이며, 그 전체 내용은 참조로서 본 명세서에 통합된다.
새 디바이스를 설정할 때, 사용자는 암호를 제공하거나 이중 인증을 사용하거나 기타 수단을 사용하여 시스템에 새로 로그인해야 한다. 이 로그인 프로세스는 비밀번호 조회 시스템에 액세스하는 것과 같은 추가 단계를 포함할 수 있다. 로그인하기 전에, 사용자는 새 디바이스를 완전히 탐색하지 못하고, 새 디바이스가 자신의 요구에 맞는지 또는 새 디바이스가 업무용 또는 기타 용도를 위한 보안 디바이스인지 판단하지 못할 수 있다.
본 개시의 양태는 디바이스로의 보안 자격증명 전송을 인증하기 위한 방법을 제공한다. 상기 방법은 하나 이상의 제1 프로세서에 의해, 제1 클라이언트 디바이스에서, 제2 디바이스로의 보안 자격증명 전송을 개시하기 위한 사용자 입력을 수신하는 단계, 상기 사용자 입력은 제2 클라이언트 디바이스로 송신될 통신을 트리거링하며; 사용자 아이덴티티를 검증하는 단계, 상기 검증하는 단계는: 상기 하나 이상의 제1 프로세서에 의해, 사용자 식별 입력을 요청하고, 그리고 상기 하나 이상의 제1 프로세서에 의해, 상기 사용자 식별 입력을 수신함으로써 이루어지며; 상기 제2 클라이언트 디바이스의 디바이스 아이덴티티를 검증하는 단계, 상기 검증하는 단계는 상기 제2 클라이언트 디바이스의 하나 이상의 제2 프로세서에 의해, 상기 제2 클라이언트 디바이스의 하드웨어로부터 상기 제2 클라이언트 디바이스의 보안 상태를 결정하고, 상기 하나 이상의 제2 프로세서에 의해, 상기 제2 클라이언트 디바이스의 보안 상태와 관련된 식별자를 인증 서버에 호출하고, 그리고 상기 하나 이상의 제2 프로세서에 의해, 상기 호출된 식별자에 기초하여 상기 제2 클라이언트 디바이스에 대한 인증서를 상기 인증 서버로부터 수신함으로써 이루어지며; 상기 하나 이상의 제2 프로세서에 의해, 상기 보안 자격증명 전송을 위한 계정과 연관된 하나 이상의 토큰을 수신하는 단계; 및 상기 사용자 아이덴티티 및 상기 디바이스 아이덴티티를 검증한 후, 상기 하나 이상의 제1 프로세서 및 상기 하나 이상의 제2 프로세서를 사용하여, 상기 하나 이상의 토큰을 사용하는 상기 보안 자격증명 전송을 위해 상기 제1 클라이언트 디바이스와 상기 제2 클라이언트 디바이스 사이의 보안 채널을 설정하는 단계를 포함한다.
일 예시에서, 상기 제2 디바이스로의 보안 자격증명 전송을 개시하기 위한 사용자 입력은 상기 제1 클라이언트 디바이스에 설치된 애플릿에서의 탭 입력을 포함한다. 다른 예시에서, 상기 통신은 근거리 통신을 사용하여 상기 제1 클라이언트 디바이스로부터 상기 제2 클라이언트 디바이스로 송신된다. 이 예시에서, 방법은 상기 제2 클라이언트 디바이스의 하나 이상의 제2 프로세서가 상기 통신을 수신한 후, 상기 하나 이상의 제2 프로세서에 의해, 상기 제2 디바이스로의 보안 자격증명 전송에 대한 사용자 확인을 요청하는 단계를 선택적으로 포함한다.
추가 예시에서, 상기 사용자 식별 입력은 상기 제1 클라이언트 디바이스에 대한 사용자 아이덴티티의 기존 검증이다. 또 다른 예시에서, 상기 제2 클라이언트 디바이스의 보안 상태는 상기 제2 클라이언트 디바이스의 신뢰 보안 칩으로부터 결정된다. 또 다른 예시에서, 상기 인증 서버로부터의 인증은 상기 호출된 식별자가 상기 인증 서버의 데이터베이스에 있는 알려진 클라이언트 디바이스와 연관되어 있음을 표시한다.
다른 예시에서, 방법은 상기 하나 이상의 제1 프로세서에 의해, 상기 제2 클라이언트 디바이스에 대한 인증서를 수신하는 단계를 더 포함한다. 추가 예시에서, 상기 하나 이상의 제1 프로세서에 의해, 보안 자격증명 전송을 위한 계정의 선택을 수신하는 단계를 더 포함한다. 또 다른 예시에서, 상기 제2 클라이언트 디바이스의 보안 상태와 관련된 식별자를 상기 인증 서버에 호출하는 것은 상기 식별자를 상기 인증 서버에 호출하기 위한 프록시로서 상기 제1 클라이언트 디바이스를 사용하는 것을 포함한다.
본 개시의 또 다른 양태는 하나 이상의 프로세서에 의해 실행가능한 명령어를 저장하도록 구성된 비일시적 컴퓨터 판독가능 매체를 제공한다. 명령어는 실행시 상기 하나 이상의 프로세서로 하여금 방법을 수행하게 한다. 상기 방법은 제1 클라이언트 디바이스에서, 제2 디바이스로의 보안 자격증명 전송을 개시하기 위한 사용자 입력을 수신하는 단계, 상기 사용자 입력은 제2 클라이언트 디바이스로 송신될 통신을 트리거링하며; 상기 제1 클라이언트 디바이스에서, 사용자 아이덴티티를 검증하는 단계, 상기 검증하는 단계는: 사용자 식별 입력을 요청하고 그리고 상기 사용자 식별 입력을 수신함으로써 이루어지며; 상기 제2 클라이언트 디바이스의 디바이스 아이덴티티를 검증하는 단계, 상기 검증하는 단계는 상기 제2 클라이언트 디바이스에서, 상기 제2 클라이언트 디바이스의 하드웨어로부터 상기 제2 클라이언트 디바이스의 보안 상태를 결정하고, 상기 제2 클라이언트 디바이스로부터, 상기 제2 클라이언트 디바이스의 보안 상태와 관련된 식별자를 인증 서버에 호출하고, 그리고 상기 제2 클라이언트 디바이스에서, 상기 호출 식별자에 기초하여 상기 제2 클라이언트 디바이스에 대한 인증서를 상기 인증 서버로부터 수신함으로써 이루어지며; 상기 인증 서버로부터, 상기 보안 자격증명 전송을 위한 계정과 연관된 하나 이상의 토큰을 수신하는 단계; 및 상기 사용자 아이덴티티 및 상기 디바이스 아이덴티티를 검증한 후, 상기 하나 이상의 토큰을 사용하는 상기 보안 자격증명 전송을 위해 상기 제1 클라이언트 디바이스와 상기 제2 클라이언트 디바이스 사이의 보안 채널을 설정하는 단계를 포함한다.
일 예시에서, 상기 제2 디바이스로의 보안 자격증명 전송을 개시하기 위한 사용자 입력은 상기 제1 클라이언트 디바이스에 설치된 애플릿에서의 탭 입력을 포함한다. 다른 예시에서, 상기 통신은 근거리 통신을 사용하여 상기 제1 클라이언트 디바이스로부터 상기 제2 클라이언트 디바이스로 송신된다. 추가 예시에서, 상기 제2 클라이언트 디바이스의 보안 상태는 상기 제2 클라이언트 디바이스의 신뢰 보안 칩으로부터 결정된다. 또 다른 예시에서, 상기 인증 서버로부터의 인증은 상기 호출된 식별자가 상기 인증 서버의 데이터베이스에 있는 알려진 클라이언트 디바이스와 연관되어 있음을 표시한다.
또 다른 예시에서, 방법은 상기 제1 클라이언트 디바이스에서, 상기 제2 클라이언트 디바이스에 대한 인증서를 수신하는 단계를 더 포함한다. 다른 예시에서, 방법은 상기 제1 클라이언트 디바이스에서, 보안 자격증명 전송을 위한 계정의 선택을 수신하는 단계를 더 포함한다. 추가 예시에서, 상기 제2 클라이언트 디바이스의 보안 상태와 관련된 식별자를 상기 인증 서버에 호출하는 것은 상기 식별자를 상기 인증 서버에 호출하기 위한 프록시로서 상기 제1 클라이언트 디바이스를 사용하는 것을 포함한다.
본 개시의 추가 양태는 시스템을 제공한다. 시스템은 검증된 보안 상태를 갖는 복수의 디바이스에 대한 디바이스 아이덴티티 정보의 데이터베이스를 저장하는 메모리 및 상기 메모리와 통신하는 하나 이상의 프로세서를 포함한다. 하나 이상의 프로세서는 보안 자격증명 전송을 개시하는 것과 관련된 제1 컴퓨팅 디바이스로부터 통신을 수신하고; 제2 컴퓨팅 디바이스로부터 확인 요청을 수신하고, 상기 확인 요청은 챌린지 통신을 포함하며, 상기 챌린지 통신은 사용자 아이덴티티 검증과 관련된 정보, 이전의 챌린지 통신으로부터의 제1 식별자, 그리고 상기 제2 컴퓨팅 디바이스의 보안 상태와 관련된 제2 식별자를 포함하는 제2 컴퓨팅 디바이스로부터의 서명을 포함하며; 상기 확인 요청의 검증을 수행하고, 상기 검증을 수행하는 것은 상기 사용자 아이덴티티 검증과 관련된 정보가 상기 제1 컴퓨팅 디바이스로부터 온 것인지 검증하는 것, 상기 제1 식별자가 상기 제2 식별자와 일치하는지 검증하는 것, 그리고 상기 제2 식별자가 디바이스 아이덴티티 정보의 데이터베이스의 디바이스와 일치하는지 검증하는 것을 포함하며; 그리고 상기 제2 컴퓨팅 디바이스로의 보안 자격증명 전송을 위한 보안 채널을 설정하기 위해 상기 제1 컴퓨팅 디바이스 및 상기 제2 컴퓨팅 디바이스에 하나 이상의 토큰을 제공하도록 구성된다.
일 예시에서, 상기 하나 이상의 프로세서는 상기 하나 이상의 토큰을 제공하도록 구성되며, 상기 하나 이상의 토큰을 제공하는 것은: 상기 확인 요청에 대한 인증서를 포함하는 제1 토큰을 상기 제2 컴퓨팅 디바이스에 제공하는 것; 상기 제1 컴퓨팅 디바이스로부터 사용자 계정의 선택을 수신하는 것; 상기 사용자 계정에 대한 제2 토큰을 상기 제1 컴퓨팅 디바이스에 제공하는 것; 상기 제2 컴퓨팅 디바이스로부터 서명된 제2 토큰을 수신하는 것; 및 상기 제2 컴퓨팅 디바이스로의 보안 자격증명 전송을 위한 보안 채널을 설정하기 위한 제3 토큰을 제공하는 것을 포함한다.
도 1은 본 개시의 양태에 따른 예시적 시스템(100)의 기능도이다.
도 2은 본 개시의 양태에 따른 예시적 시스템(100)의 픽토리얼 다이어그램이다.
도 3는 본 개시의 양태에 따른 예시적 방법의 흐름도(300)이다.
도 4는 본 개시의 양태에 따른 예시적 방법의 상세도(400)이다.
도 5는 본 개시의 양태에 따른 예시적 방법의 흐름도(500)이다.
개요
이 기술은 디바이스에 대한 보안 자격증명 전송을 인증하기 위한 방법 및 시스템에 관한 것이다. 사용자가 새 디바이스나 대여한 디바이스를 사용하는 경우, 일반적으로 사용자 프로필 및 기타 설정을 디바이스로 전송하려면 자격증명이 필요하다. 일반적으로 비밀번호, 이중 인증 및 기타 인증 체계의 일부 조합이 구현된다. 그러나 이러한 방법의 한 가지 문제는 일반적으로 디바이스가 보안 디바이스인지 검증하는 통합 방법이 포함되어 있지 않다는 것이다. 본 명세서에 기술된 방법 및 시스템은 자격증명 전송 이전에 사용자와 디바이스를 검증할 수 있는 일련의 단계를 제공한다. 또한, 본 명세서에 기술된 방법 및 시스템은 다른 인증 방법 및 시스템보다 사용자 인터렉션이 덜 필요하여 사용자에게 더 간단한 프로세스를 허용한다. 더욱이, 본 명세서에 기술된 접근법은 새로운 또는 대여한 디바이스에 자격증명을 수동으로 입력할 필요성을 줄이고 및/또는 자격증명의 임시 전송/인증을 허용함으로써 사용자 프로필 및 기타 설정의 보안을 향상시킬 수 있다.
인증을 위한 시스템은 제1 클라이언트 디바이스, 제2 클라이언트 디바이스 및 인증 서버를 포함한다. 사용자는 제1 클라이언트 디바이스에 또는 제1 클라이언트 디바이스가 액세스 가능한 사용자 프로필을 가질 수 있다. 사용자 프로필은 디바이스 설정, 애플리케이션 다운로드, 애플리케이션 설정 또는 계정 설정을 포함할 수 있다. 제2 클라이언트 디바이스는 사용자 프로필 저장소가 없거나 그에 액세스할 수 없는 디바이스일 수 있다. 인증 서버는 보안이 알려져 있거나 그렇지 않으면 검증된 복수의 디바이스에 대한 디바이스 아이덴티티 정보의 데이터베이스를 가질 수 있다.
사용자 프로필의 보안 자격증명 전송을 개시하기 위해, 사용자 입력이 제1 클라이언트 디바이스에서 수신된 다음, 제2 클라이언트 디바이스에서 수신되어 제1 클라이언트 디바이스로부터 제2 클라이언트 디바이스로의 전송을 확인할 수 있다. 상기 확인에 응답하여, 제2 클라이언트 디바이스는 제2 클라이언트 디바이스의 식별자를 제1 클라이언트 디바이스에 송신할 수 있다. 식별자는 제2 클라이언트 디바이스의 하드웨어로부터 검색된 보안 상태를 포함할 수 있으며, 이는 제2 클라이언트 디바이스가 전송을 위해 신뢰할 수 있는 디바이스임을 표시한다. 사용자 아이덴티티 검증은 제2 클라이언트 디바이스에서 사용자 확인을 수신한 후, 제2 클라이언트 디바이스로의 보안 자격증명 전송에 대한 요청을 추가로 확인하기 위해 제1 클라이언트 디바이스에서 수행될 수 있다. 또한, 검증을 위해 제2 클라이언트 디바이스의 서명을 인증 서버로 전송함으로써 제2 클라이언트 디바이스에 대한 디바이스 아이덴티티 검증이 수행될 수 있다. 제2 클라이언트 디바이스가 검증되면, 인증 서버는 제2 클라이언트 디바이스에 대한 인증서 및 전송 토큰을 제2 클라이언트 디바이스에 제공할 수 있다. 인증서 및 전송 토큰이 제2 클라이언트 디바이스로부터 제1 클라이언트 디바이스로 전송될 수 있으며, 이는 제2 클라이언트 디바이스의 인증서의 추가 검사를 수행할 수 있다.
사용자 입력은 사용자 프로필과 같은 계정 및 보안 자격증명 전송을 위한 유효 시간을 선택하기 위해 제1 클라이언트 디바이스에서 수신될 수 있다. 그 다음, 제1 클라이언트 디바이스는 인증 서버로부터 선택된 계정에 대한 임시 토큰을 요청할 수 있다. 응답으로, 인증 서버는 임시 토큰을 제1 클라이언트 디바이스에 전송할 수 있고, 제1 클라이언트 디바이스는 임시 토큰을 제2 클라이언트 디바이스에 전송한다. 제2 클라이언트 디바이스는 임시 토큰에 서명하고, 서명된 임시 토큰을 인증 서버에 전송하여 제1 클라이언트 디바이스와 제2 클라이언트 디바이스 사이의 채널을 검증할 수 있다. 서명된 임시 토큰과 관련된 정보가 검증되면, 인증 서버는 보안 자격증명 전송에 대해 요청된 유효 시간을 가지는 정규 세션 토큰을 제2 클라이언트 디바이스에 제공한다. 그런 다음 정규 세션 토큰을 사용하여 제1 클라이언트 디바이스로부터 제2 클라이언트 디바이스로의 사용자 프로필의 보안 자격증명 전송이 완료된다. 즉, 제2 클라이언트 디바이스는 유효 시간 동안 사용자 프로필에 액세스하기 위해 제1 클라이언트 디바이스에 의해 인증된다.
위에 설명된 기능은 클라이언트 디바이스에서 사용자 자격증명에 대한 액세스 권한을 부여하는 보다 안전한 프로세스를 제공하는 기술적 효과가 있다. 사용자가 이미 신뢰하는 클라이언트 디바이스를 사용하여 제2 클라이언트 디바이스를 인증함으로써, 프로세스는 덜 복잡한 사용자 입력을 요구하고 알 수 없는 디바이스에 수동으로 사용자 자격증명을 입력할 필요가 없어 보안을 향상시킬 수 있는 기술적 이점이 있다. 로그인 정보의 사용자 입력과 추가 사용자 검증 단계를 요구하는 대신, 인증 방법은 특정한 계정의 전송의 사용자 요청과 신뢰할 수 있는 디바이스에서의 인증을 요구한다. 또한, 프로세스는 인증 서버를 사용하여 제2 디바이스를 신뢰할 수 있는 디바이스로 검증하기 때문에, 사용자는 제2 디바이스에 사용자 자격증명을 전송하거나 액세스하는 보안에 대해 더 큰 확신을 가질 수 있다. 보안은 또한 사용자 자격증명을 전송하기 전에 제1 및 제2 클라이언트 디바이스 둘 모두의 상호 아이덴티티 검증 프로세스에 의해 향상될 수 있다.
예시적 시스템
도 1 및 2는 본 명세서에 기술된 구성이 구현될 수 있는 예시적 시스템(100)을 도시한다. 예시적 시스템은 클라이언트 컴퓨팅 디바이스를 인증하기 위한 시스템일 수 있다. 이 예에서, 시스템(100)은 네트워크(160)를 통해 연결된 복수의 컴퓨팅 디바이스(110, 120, 130) 및 저장 시스템(150)을 포함할 수 있다. 컴퓨팅 디바이스(110)는 인증 서버로서 동작하는 서버 컴퓨팅 디바이스일 수 있다. 컴퓨팅 디바이스(120, 130)는 클라이언트 컴퓨팅 디바이스일 수 있다.
도 1에서 도시된 바와 같이, 인증 서버(110)는 하나 이상의 프로세서(112), 메모리(114), 명령어(116) 및 데이터(118)를 포함한다. 하나 이상의 프로세서(112)는 상업적으로 이용 가능한 CPU와 같은 일반적 프로세서일 수 있다. 대안적으로, 하나 이상의 프로세서는 ASIC 또는 기타 하드웨어 기반 프로세서와 같은 전용 디바이스일 수 있다. 도 1은 동일한 블록 내에 있는 것으로 디바이스(110)의 프로세서, 메모리 및 다른 요소를 기능적으로 도시하지만, 프로세서, 컴퓨팅 디바이스 또는 메모리가 실제로 다수의 프로세서, 컴퓨팅 디바이스, 동일한 물리적 하우징 내에 저장되거나 저장되지 않을 수 있는 메모리를 포함할 수 있다는 것을 통상의 기술자는 이해할 것이다. 일례에서, 하나 이상의 컴퓨팅 디바이스(110)는 다른 컴퓨팅 디바이스와 데이터를 수신, 프로세싱 및 전송하기 위한 목적으로 네트워크의 다른 노드와 정보를 교환하는 로드 밸런싱된 서버 팜과 같은 복수의 컴퓨팅 디바이스를 갖는 하나 이상의 서버 컴퓨팅 디바이스를 포함할 수 있다.
메모리(114)는 프로세서(들)(112)에 의해 실행되거나 다른 방식으로 사용될 수 있는 명령어(116) 및 데이터(118)를 포함하여, 하나 이상의 프로세서(112)에 의해 액세스 가능한 정보를 저장한다. 메모리(114)는 컴퓨팅 디바이스 판독가능 매체 또는 하드 드라이브, 메모리 카드, ROM, RAM, DVD 또는 기타 광학 디스크, 기타 쓰기 가능 및 읽기 전용 메모리와 같이, 전자 디바이스의 도움으로 판독될 수 있는 데이터를 저장하는 다른 매체를 포함하여 프로세서에 의해 액세스가능한 정보를 저장할 수 있는 임의의 유형일 수 있다. 시스템 및 방법은 전술한 것의 상이한 조합을 포함할 수 있으며, 이에 의해 명령어 및 데이터의 상이한 부분이 상이한 유형의 매체에 저장된다. 특히, 메모리(114)는 복수의 컴퓨팅 디바이스에 대한 디바이스 아이덴티티 정보의 데이터베이스를 저장하도록 구성될 수 있다.
명령어(116)는 프로세서에 의해 직접(머신 코드와 같은) 또는 간접적으로(스크립트와 같은) 실행될 임의의 명령어 세트일 수 있다. 예를 들어, 명령어는 컴퓨팅 디바이스 판독가능 매체에 컴퓨팅 디바이스 코드로서 저장될 수 있다. 이와 관련하여, 용어 "명령어" 및 "프로그램"은 본 명세서에서 상호교환적으로 사용될 수 있다. 명령어는 프로세서에 의한 직접 프로세싱을 위해 객체 코드 포맷으로 저장될 수 있거나, 스크립트들 또는 필요에 따라 인터프리트되거나 미리 컴파일되는 독립적인 소스 코드 모듈의 집합을 포함하는 임의의 다른 컴퓨팅 디바이스 언어로 저장될 수 있다. 명령어의 프로세스, 기능, 방법 및 루틴은 아래에 자세히 설명된다. 또한, 명령어(116)는 보안 디바이스로 알려져 있거나 검증된 디바이스의 디바이스 아이덴티티 정보의 데이터베이스를 컴파일 및 업데이트하는 것을 포함할 수 있다.
데이터(118)는 명령어(116)에 따라 프로세서(112)에 의해 검색, 저장 또는 수정될 수 있다. 예로서, 메모리(114)와 연관된 데이터(118)는 복수의 컴퓨팅 디바이스에 대한 디바이스 아이덴티티 정보의 데이터베이스를 포함할 수 있다. 추가로, 데이터(118)는 또한 하나 이상의 클라이언트 디바이스, 예를 들어, 120, 130 또는 그 이상에 대한 지원 서비스에 사용되는 데이터를 포함할 수 있다. 이러한 데이터는 웹 기반 애플리케이션 호스팅, 파일 공유 서비스, 통신 서비스, 게임, 비디오 또는 오디오 파일 공유 또는 기타 네트워크 기반 서비스를 지원하는 데이터를 포함할 수 있다.
클라이언트 컴퓨팅 디바이스(120, 130) 각각은 인증 서버(110)와 유사하게 구성될 수 있으며, 상술한 바와 같은 하나 이상의 프로세서, 메모리, 명령어 및 데이터를 갖는다. 각각의 클라이언트 컴퓨팅 디바이스(120, 130)는 사용자가 사용하도록 의도된 개인용 컴퓨팅 디바이스일 수 있다. 도 2에 도시된 바와 같이, 클라이언트 컴퓨팅 디바이스(120, 130) 둘 모두는 단일 사용자(220)에 의해 사용되도록 의도될 수 있다. 일부 대안적인 예에서, 인증 서버(110)는 클라이언트 컴퓨팅 디바이스(120 또는 130)로부터 원격이 아닌 클라이언트 컴퓨팅 디바이스(120 또는 130)의 일부일 수 있다.
추가로, 각 클라이언트 컴퓨팅 디바이스(120, 130)는 하나 이상의 프로세서(예를 들어, 중앙 처리 디바이스(CPU)), 데이터 및 명령어를 저장하는 메모리(예: RAM 및 내부 하드 드라이브), 디스플레이(122, 132)와 같은 디스플레이(예: 화면을 포함한 모니터, 터치 스크린, 프로젝터, TV 또는 정보를 디스플레이할 수 있는 기타 디바이스), 스피커 및 사용자 입력 디바이스(124, 134)(예: 마우스, 키보드, 터치 스크린 또는 마이크로폰)를 포함하여, 개인 컴퓨팅 디바이스와 관련하여 일반적으로 사용되는 모든 컴포넌트를 가질 수 있다. 각각의 클라이언트 컴퓨팅 디바이스의 하나 이상의 프로세서는 하나 이상의 프로세서(112)와 동일하거나 유사할 수 있고, 명령어 및 데이터를 저장하는 각 클라이언트 컴퓨팅 디바이스의 메모리는 명령어(116) 및 데이터(118)를 저장하는 메모리(114)와 동일하거나 유사할 수 있다. 또한, 각각의 클라이언트 컴퓨팅 디바이스는 근거리 통신(NFC) 기능을 가능하게 하는 하나 이상의 컴포넌트를 포함할 수 있다.
클라이언트 컴퓨팅 디바이스(120, 130)는 풀 사이즈 개인용 컴퓨팅 디바이스를 포함할 수 있지만, 대안적으로 인터넷과 같은 네트워크를 통해 서버 컴퓨팅 디바이스(서버 컴퓨팅 디바이스(110))와 데이터를 무선으로 교환할 수 있는 모바일 컴퓨팅 디바이스를 포함할 수 있다. 예를 들어, 클라이언트 컴퓨팅 디바이스(120)는 모바일폰 또는 무선 지원 PDA, 태블릿 PC, 웨어러블 컴퓨팅 디바이스 또는 시스템, 또는 인터넷이나 기타 네트워크를 통해 정보를 얻을 수 있는 넷북과 같은 디바이스일 수 있다. 다른 예시에서, 클라이언트 컴퓨팅 디바이스(120)는 스마트워치와 같은 웨어러블 컴퓨팅 시스템일 수 있다.
클라이언트 컴퓨팅 디바이스(120)에서, 사용자(220)와 같은 사용자에 대한 사용자 프로필이 켜져 있거나 액세스할 수 있다. 사용자 프로필은 디바이스 설정, 애플리케이션 다운로드, 애플리케이션 설정 및/또는 계정 설정을 포함할 수 있다. 클라이언트 컴퓨팅 디바이스(130)는 저장되거나 액세스 가능한 사용자 프로필을 갖지 않을 수 있다. 예를 들어, 클라이언트 컴퓨팅 디바이스(130)는 새로 구입한 랩톱 또는 대여한 랩톱 또는 소매 환경의 디스플레이 랩톱일 수 있다.
메모리(114)와 마찬가지로, 저장 시스템(150)은 하드 드라이브, 메모리 카드, ROM, RAM, DVD, CD-ROM, 쓰기 가능 및 읽기 전용 메모리와 같이, 서버 컴퓨팅 디바이스(110)에 의해 액세스 가능한 정보를 저장할 수 있는 임의의 유형의 컴퓨터화된 스토리지일 수 있다. 또한, 저장 시스템(150)은 데이터가 동일한 또는 상이한 지리적 위치에 물리적으로 위치될 수 있는 복수의 상이한 스토리지 디바이스에 저장되는 분산 스토리지 시스템을 포함할 수 있다. 저장 시스템(150)은 도시된 바와 같이 네트워크(160)를 통해 컴퓨팅 디바이스에 연결될 수 있고 및/또는 컴퓨팅 디바이스(110, 120, 130 등) 중 임의의 것에 직접 연결되거나 통합될 수 있다. 저장 시스템(150)은 인증 서버(110)와 같은 하나 이상의 서버 컴퓨팅 디바이스 및/또는 클라이언트 컴퓨팅 디바이스(120 또는 130)와 같은 하나 이상의 클라이언트 컴퓨팅 디바이스에 의해 검색되거나 액세스될 수 있는 다양한 유형의 정보를 저장하여 본 명세서에 기술된 구성 일부 또는 전부를 수행할 수 있다.
도 1은 동일한 블록 내에 있는 것으로 디바이스 디바이스의 프로세서, 메모리 및 다른 요소를 기능적으로 도시하지만, 프로세서, 컴퓨터, 컴퓨팅 디바이스 또는 메모리는 실제로 다수의 프로세서, 컴퓨터, 컴퓨팅 디바이스, 동일한 물리적 하우징 내에 저장되거나 저장되지 않을 수 있는 메모리를 포함할 수 있다. 유사하게, 메모리는 컴퓨팅 디바이스(110)의 하우징과 다른 하우징에 위치한 하드 드라이브 또는 다른 저장 매체일 수 있다.
프로세서, 컴퓨터, 컴퓨팅 디바이스 또는 메모리에 대한 참조는 병렬로 동작하거나 동작하지 않을 수 있는 프로세서, 컴퓨터, 컴퓨팅 디바이스 또는 메모리의 집합에 대한 참조를 포함하는 것으로 이해될 것이다. 예를 들어, 컴퓨팅 디바이스(110)는 로드 밸런싱된 서버 팜, 분산 시스템 등으로 작동하는 서버 컴퓨팅 디바이스를 포함할 수 있다. 또한, 아래에 설명된 일부 기능은 단일 프로세서를 갖는 단일 컴퓨팅 디바이스에서 발생하는 것으로 표시되지만, 다양한 여기에 설명된 주제의 양태는 예를 들어 네트워크(160)를 통해 정보를 통신하는 복수의 컴퓨팅 디바이스에 의해 구현될 수 있다.
네트워크(160) 및 중간 노드(intervening node)는 블루투스, 블루투스 LE와 같은 단거리 통신 프로토콜, 인터넷, 월드 와이드 웹, 인트라넷, 가상 사설망, 광역 네트워크, 로컬 네트워크, 하나 이상의 회사에 독점적인 통신 프로토콜을 사용하는 사설 네트워크, 이더넷, WiFi 및 HTTP 및 이들의 다양한 조합을 포함한 다양한 구성 및 프로토콜을 포함할 수 있다. 이러한 통신은 모뎀 및 무선 인터페이스와 같은 다른 컴퓨터와 데이터를 주고 받을 수 있는 디바이스에 의해 지원될 수 있다.
예시적 방법
위에서 설명되고 도면에 도시된 동작에 더하여, 이제 다양한 동작이 설명될 것이다. 다음 동작은 아래에 설명된 정확한 순서로 수행될 필요가 없음을 이해해야 한다. 오히려 다양한 동작들이 다른 순서로 또는 동시에 처리될 수 있으며, 동작이 추가되거나 생략될 수 있다. 예를 들어, 도 3은 본 개시의 양태에 따른 흐름도(300)이다. 더 구체적으로, 도 3은 인증 서버(110)를 사용하여 클라이언트 컴퓨팅 디바이스(120)(이하 "제1 클라이언트 디바이스")로부터 클라이언트 컴퓨팅 디바이스(130)(이하 "제2 클라이언트 디바이스")로의 보안 자격증명 전송을 인증하기 위한 예시적 방법의 흐름을 보여준다. 제1 클라이언트 디바이스(120) 및 제2 클라이언트 디바이스(130)는 NFC가 활성화될 수 있다. 또한, 도 4는 제1 클라이언트 디바이스(120), 제2 클라이언트 디바이스(130) 및 인증 서버(110) 사이의 통신을 포함하여 도 3에 도시된 방법에 대한 추가 세부사항을 보여주는 기능 다이어그램(400)을 도시한다.
블록(302)에서, 사용자 프로필의 보안 자격증명 전송을 개시하기 위해, 사용자 입력이 제1 클라이언트 디바이스(120) 및 제2 클라이언트 디바이스(130)에서 수신될 수 있다. 예를 들어, 도 4에 도시된 바와 같이, 단계(402)에서, 사용자 입력은 제1 클라이언트 디바이스(120)에서 수신되어 제2 클라이언트 디바이스(130)를 인증하는 프로세스를 개시할 수 있다. 사용자 입력은 제1 클라이언트 디바이스에 설치된 애플릿 또는 제1 클라이언트 디바이스에 열려 있는 브라우저의 제1 클라이언트 디바이스의 사용자 입력 디바이스(124)에서 수신된 탭일 수 있지만, 다른 유형의 사용자 입력이 대신 사용될 수 있다. 일부 경우에, 사용자 입력이 보안 자격증명 전송을 위한 계정 표시를 제공할 수 있다. 사용자 입력은 단계(404a)에서 제1 클라이언트 디바이스로부터 인증 서버로의 제1 통신의 전송을 트리거할 수 있다. 제1 통신은 제1 클라이언트 디바이스와 관련된 정보, 보안 자격증명 전송 개시하는 것 및/또는 전송을 위한 계정을 포함할 수 있다. 사용자 입력은 또한 단계(404b)에서 NFC 또는 다른 근거리 통신 프로토콜을 사용하여 제2 통신의 전송을 트리거할 수 있다. 제2 통신은 제2 클라이언트 디바이스에서 보안 자격증명 전송을 개시하기 위한 명령어를 포함할 수 있다. 제2 클라이언트 디바이스는 제1 클라이언트 디바이스로부터의 통신을 검출할 수 있고, 단계(406a)에서, 제2 클라이언트 디바이스 상에서의 전송의 확인을 사용자에게 프롬프트할 수 있다. 프롬프트는 제2 클라이언트 디바이스에서 브라우저(또는 다른 애플리케이션)를 열고 브라우저에서 사용자 입력을 요청하는 것을 포함할 수 있다. 단계(406b)에서, 사용자 확인은 제2 클라이언트 디바이스에서 사용자 입력을 통해 제2 클라이언트 디바이스에서 수신될 수 있다.
블록(304)에서, 사용자 확인에 응답하여, 제2 클라이언트 디바이스는 제2 클라이언트 디바이스의 식별자를 제1 클라이언트 디바이스에 송신할 수 있다. 도 4의 단계(408)에 도시된 바와 같이, 식별자는 신뢰할 수 있는 보안 칩과 같은 제2 클라이언트 디바이스의 하드웨어로부터 검색될 수 있다. 또한, 식별자는 또한 보안 상태를 포함할 수 있으며, 이는 또한 제2 클라이언트 디바이스의 하드웨어로부터 검색될 수 있다. 특히, 제2 클라이언트 디바이스의 보안 상태는 제2 클라이언트 디바이스가 보안 자격증명 전송을 위해 준비되었음을 나타낼 수 있다. 예를 들어, 보안 상태는 제2 클라이언트 디바이스가 "검증된 부팅 모드"에 있다는 것일 수 있다. 검증된 부트 모드에 대한 보안 상태는 플랫폼 펌웨어 및/또는 제2 클라이언트 디바이스의 운영 체제가 알려진 신뢰할 수 있는 소스로부터 온 것으로 인증되었음을 나타낼 수 있다. 일 예시에서, 검증된 부트 모드에 대한 보안 상태는 제2 클라이언트 디바이스에서 실행된 모든 코드가 알려지고 신뢰할 수 있는 소스 트리에서 오는 것으로 검증되었음을 나타낼 수 있다. 단계(410)에 도시된 바와 같이, 제2 클라이언트 디바이스에 대한 식별자를 검색한 후, 식별자는 예를 들어 NFC를 통해 제1 클라이언트 디바이스(120)에 전송될 수 있다.
블록(306)에서, 제2 클라이언트 디바이스로의 보안 자격증명 전송에 대한 요청을 확인하기 위해 제1 클라이언트 디바이스에서 사용자 아이덴티티 검증이 수행될 수 있다. 도 4의 단계(412)에 도시된 바와 같이, 사용자 아이덴티티 검증은 제2 클라이언트 디바이스에서 사용자 확인을 수신한 후에 요청될 수 있다. 사용자 아이덴티티 검증에 대한 요청은 예를 들어 NFC 또는 다른 근거리 통신 프로토콜을 사용하여 챌린지 통신으로서 제2 클라이언트 디바이스로부터 전송될 수 있다. 요청 수신에 응답하여, 제1 클라이언트 디바이스는 단계(414)에서 사용자 식별 입력을 위한 프롬프트를 제공할 수 있다. 프롬프트는 제1 클라이언트 디바이스의 디스플레이(122) 상에 제공될 수 있다. 이것은 자격증명 전송의 보안을 향상시키는 기술적 이점이 있는 양방향 검증 프로세스를 용이하게 할 수 있다. 사용자 식별 입력은 제1 클라이언트 디바이스 상의 기존 검증 프로세스일 수 있다. 예를 들어, 비밀번호, 지문 검증, 얼굴 인식 등과 같은 제1 클라이언트 디바이스의 잠금을 해제하는 사용자 식별 입력이 사용될 수 있다. 사용자 식별 입력이 단계(416)에 도시된 바와 같이 제1 클라이언트 디바이스에 의해 수신되고 검증되면, 사용자 아이덴티티 검증이 완료된다. 선택적으로, 사용자 아이덴티티 검증은 아래 블록(312)에서 계정이 전송을 위해 선택될 때와 같이 나중 단계에서 수행될 수 있다.
블록(308)에서, 제2 클라이언트 디바이스에 대한 식별자를 사용하여 제2 클라이언트 디바이스에 대해 디바이스 아이덴티티 검증이 수행될 수 있다. 디바이스 아이덴티티 검증은 사용자 아이덴티티 검증을 완료한 후 제1 클라이언트 디바이스에 의해 개시될 수 있다. 도 4의 단계(418)에 도시된 바와 같이, 제1 클라이언트 디바이스는 제2 클라이언트 디바이스에 챌린지 통신을 송신할 수 있으며, 여기서 챌린지 통신은 적어도 제2 클라이언트 디바이스에 대한 식별자를 포함한다. 일부 구현예에서, 챌린지 통신은 현재 챌린지 통신과 이전 챌린지 통신 사이의 체인을 보여주는 결합된 챌린지 통신일 수 있다. 이 경우, 체인은 현재 디바이스 아이덴티티 검증을 위한 챌린지 통신과 블록(306)에서 수행된 사용자 아이덴티티 검증 사이에 있을 수 있다. 따라서 결합된 시도 통신은 제2 클라이언트 디바이스에 대한 식별자 및 사용자 아이덴티티 검증과 관련된 정보를 포함할 수 있다.
디바이스 아이덴티티 검증을 위한 챌린지 통신을 수신한 것에 응답하여, 제2 클라이언트 디바이스는 제2 클라이언트 디바이스의 보안 상태와 관련된 식별자를 포함하는 서명을 삽입할 수 있다. 이전에 설명된 바와 같이, 제2 클라이언트 디바이스의 보안 상태는 신뢰할 수 있는 보안 칩과 같은 제2 클라이언트 디바이스의 하드웨어로부터 검색될 수 있다. 그런 다음 식별자를 포함하는 서명은 단계(420)에서 인증 서버에 대한 확인 요청으로 전송된다. 인증 서버가 제2 클라이언트 디바이스(130)의 일부인 일부 구현예에서, 식별자를 포함하는 서명을 갖는 확인 요청의 송신은 인증 서버에 대한 식별자를 포함하는 서명을 호출하거나 인용함으로써 수행될 수 있다.
확인 요청을 수신한 후, 인증 서버는 단계(422)에서 식별자와 디바이스 아이덴티티 정보의 데이터베이스를 사용하여 제2 클라이언트 디바이스를 보안 디바이스로 검증한다. 위에서 설명된 바와 같이, 디바이스 아이덴티티 정보의 데이터베이스는 인증 서버(110)의 메모리(114), 또는 인증 서버의 하나 이상의 프로세서(112)에 액세스 가능한 저장 시스템(150)에 저장될 수 있다. 디바이스 아이덴티티 정보의 데이터베이스에는 보안 디바이스에 대한 알려진 식별자를 포함할 수 있다. 서명의 식별자가 데이터베이스에 저장된 디바이스의 식별자와 일치하면, 제2 클라이언트 디바이스가 보안 디바이스인 것으로 검증된다. 또한, 검증은 의도된 클라이언트 디바이스에 대해 검증이 수행되고 있음을 보장하기 위해 챌린지 통신의 식별자가 서명의 식별자와 일치하는지 체크하는 것을 포함할 수 있다. 검증은 또한 사용자 식별 검증과 관련된 정보가 제1 클라이언트 디바이스로부터 온 것인지를 체크하는 것을 포함할 수 있다.
그런 다음 인증 서버는 단계(424)에서 검증의 확인(인증서) 및 보안 자격증명 전송을 위한 전송 토큰과 함께 응답을 제2 클라이언트 디바이스에 전송한다. 인증서는 챌린지 통신에 추가로 삽입된 인증 서버에 대한 식별자를 포함하는 서명일 수 있다. 그런 다음, 전송 토큰은 단계(426)에서 인증서로 업데이트된 챌린지 통신으로 제2 클라이언트 디바이스에 의해 제1 클라이언트 디바이스에 전송될 수 있다.
단계(428)에서, 업데이트된 챌린지 통신에 기초하여, 제1 클라이언트 디바이스는 선택적으로 제2 클라이언트 디바이스의 인증서에 대한 추가 체크를 수행할 수 있다. 추가 체크는 (i) 제2 클라이언트 디바이스의 서명이 인증서에 있는 것과 일치하는지 검증하고 (ii) 인증 서버의 서명이 알려진 인증 서버의 식별자를 포함하는지 검증하는 것을 포함할 수 있다. 추가 체크를 수행하면 디바이스 아이덴티티 검증 프로세스의 보안 및 무결성이 더욱 향상될 수 있다.
블록(310)에서, 보안 자격증명 전송을 위한 계정을 선택하기 위해 제1 클라이언트 디바이스에서 사용자 입력이 수신될 수 있다(계정이 아직 선택되지 않은 경우). 선택된 계정은 제1 클라이언트 디바이스의 사용자 프로필일 수 있다. 계정 선택에 관한 사용자 입력에 대한 프롬프트는 전송 토큰이 제1 클라이언트 디바이스에서 수신된 후 및/또는 추가 체크가 인증을 검증한 후 도 4의 단계(430)에서 제1 클라이언트 디바이스에 의해 제공될 수 있다. 프롬프트는 제1 클라이언트 디바이스의 디스플레이(122) 상에 제공될 수 있다. 이것은 제2 클라이언트 디바이스가 신뢰할 수 있고 보안 자격증명 전송을 위해 준비되었다는 확인이 수신될 때까지 사용자 계정을 나타내는 정보가 제2 클라이언트 디바이스에 제공되지 않을 수 있기 때문에 자격증명 전송 프로세스의 보안을 향상시킬 수 있다. 사용자 입력은 단계(432)에서 수신될 수 있고, 또한 계정에 대한 정규 세션 토큰에 대한 유효 시간에 대한 요청을 포함할 수 있다. 유효 시간은 15분과 45분 사이, 예를 들어 30분일 수 있다. 이것은 사용자 계정 또는 프로필 및 연관 설정의 임시 인증을 용이하게 할 수 있다. 이 임시 인증은 이후에 서드파티의 액세스를 방지하여 사용자 보안을 향상시킬 수 있다. 선택적으로 사용자 아이덴티티 검증은 계정 선택 전이나 후에 이 단계에서 수행될 수 있다.
블록(312)에서, 인증 서버에 의해 생성된 하나 이상의 토큰을 사용하여 제1 클라이언트 디바이스와 제2 클라이언트 디바이스 사이에 보안 채널이 설정된다. 도 4의 단계(434)에서, 제1 클라이언트 디바이스는 인증 서버로부터 선택된 계정에 대한 임시 토큰을 요청할 수 있다. 이에 응답하여, 인증 서버는 단계(436)에서 임시 토큰을 제1 클라이언트 디바이스에 전송할 수 있고, 적용 가능한 경우 정규 세션 토큰에 대해 요청된 유효 시간을 기록할 수 있다. 임시 토큰은 10초에서 30초 사이와 같이 비교적 짧은 기간 동안 유효할 수 있다. 임시 토큰 유효 시간은 보안 채널 설정을 수행하기에만 충분하게 길면 된다. NFC를 사용하여, 임시 토큰은 임시 토큰에 서명하는 단계(438)에서 제1 클라이언트 디바이스로부터 제2 클라이언트 디바이스로 전송된다. 예를 들어, 제2 클라이언트 디바이스는 보안 칩의 식별자로 임시 토큰에 서명할 수 있다. 서명된 임시 토큰 및 전송 토큰은 제1 클라이언트 디바이스와 제2 클라이언트 디바이스 사이의 채널을 검증하기 위해 단계(440)에서 제2 클라이언트 디바이스로부터 인증 서버로 전송된다. 서명/식별자, 임시 토큰 및 전송 토큰이 모두 인증 서버에 저장된 것과 일치하는 경우 인증 서버는 단계(442)에서 채널을 검증한다. 그런 다음 인증 서버는 단계(444)에서 보안 자격증명 전송을 위해 요청된 유효 시간을 갖는 정규 세션 토큰을 제2 클라이언트 디바이스에 제공한다.
블록(314)에서, 정규 세션 토큰을 사용하여 제1 클라이언트 디바이스로부터 제2 클라이언트 디바이스로의 사용자 프로필의 보안 자격증명 전송이 완료된다. 정규 세션 토큰은 도 4의 단계(446)에서 제2 클라이언트 디바이스로부터 제1 클라이언트 디바이스에게로 전송되고, 그런 다음 단계(448)에서 요청된 유효 시간 동안 NFC를 사용하여 제2 클라이언트 디바이스를 신뢰 디바이스로 인증한다. 유효 시간 동안, 제2 클라이언트 디바이스는 브라우저와 같은 애플리케이션을 통해 사용자 프로필에 대한 액세스 권한을 부여받는다. 대안적으로, 제1 클라이언트가 정규 세션 토큰을 수신한 후 제1 클라이언트는 사용자 프로필을 제2 클라이언트 디바이스로 전송한다. 유효 시간이 사용자에 의해 특정되지 않은 경우와 같은 일부 다른 예에서, 요청된 유효 시간 대신에 다른 기간이 이용될 수 있다. 기간은 미리 설정된 기간일 수 있거나 제1 클라이언트 디바이스가 제2 클라이언트 디바이스의 설정된 근접도에 있을 때로 정의될 수 있다.
일부 대안적인 예에서, TPM(신뢰할 수 있는 플랫폼 모듈), 중앙 처리 유닛에 내장된 보안 관련 명령 코드, 또는 TEE(신뢰할 수 있는 실행 환경) 솔루션은 신뢰할 수 있는 보안 칩이 아닌 제2 클라이언트 디바이스의 상태 또는 서명에 대한 식별자를 제공할 수 있다.
다른 예에서, 제2 클라이언트 디바이스가 인증 서버에 액세스하는 것을 허용하는 네트워크 연결을 갖지 않을 수 있는 상황에서, 제1 클라이언트 디바이스는 인증 서버와 통신하기 위한 인터넷 게이트웨이로서 제2 클라이언트 디바이스에 의해 이용될 수 있다. 이를 위해, 제1 클라이언트 디바이스는 제2 클라이언트 디바이스에 임시 무선 연결을 제공하거나 제2 클라이언트 디바이스를 대신하여 인증 서버로/로부터 전송함으로써 또는 다른 알려진 수단에 의해 프록시 역할을 할 수 있다.
도 5는 본 개시의 양태에 따른 흐름도(500)이다. 보다 구체적으로 도 5는 인증 서버(110)의 하나 이상의 프로세서(112)에 의해 수행되는 제1 클라이언트 디바이스(120)에서 제2 클라이언트 디바이스(130)로의 보안 자격증명 전송을 인증하기 위한 예시적 방법의 흐름을 도시한다.
블록(502)에서, 하나 이상의 프로세서(112)는 보안 자격증명 전송을 개시하는 것과 관련된 제1 컴퓨팅 디바이스로부터 통신을 수신할 수 있다. 위의 단계(402 및 404a)와 관련하여 설명된 바와 같이, 통신은 제1 컴퓨팅 디바이스에서 열린 애플릿의 탭과 같은 제1 컴퓨팅 디바이스에서 수신된 사용자 입력에 기초하여 트리거될 수 있다.
블록(504)에서, 검증 요청이 제2 컴퓨팅 디바이스로부터 수신될 수 있다. 검증 요청은 사용자 아이덴티티 검증과 관련된 정보, 이전의 챌린지 통신으로부터의 제1 식별자 및 제2 컴퓨팅 디바이스의 보안 상태와 관련된 제2 식별자를 포함하는 제2 컴퓨팅 디바이스로부터의 서명을 포함하는 챌린지 통신을 포함할 수 있다. 사용자 아이덴티티 검증과 관련된 정보는 단계(412-416)과 관련하여 위에서 설명된 바와 같이 획득될 수 있다. 제1 식별자는 단계(408, 410, 및 418)과 관련하여 위에서 설명된 바와 같이 획득될 수 있다.
블록(506)에서, 하나 이상의 프로세서(112)는 확인 요청의 검증을 수행할 수 있다. 블록(506)에 도시되고 위의 단계(422)와 관련하여 추가로 설명된 바와 같이, 검증은 (i) 사용자 아이덴티티 검증과 관련된 정보가 제1 컴퓨팅 디바이스로부터 온 것임을 검증하는 것, (ii) 제1 식별자가 제2 식별자와 일치하는지 검증하는 것 및 (iii) 제2 식별자가 디바이스 아이덴티티 정보의 데이터베이스의 디바이스와 일치하는지 검증하는 것을 포함할 수 있다.
블록(508)에서, 하나 이상의 토큰은 상기 제2 컴퓨팅 디바이스로의 보안 자격증명 전송을 위한 보안 채널을 설정하기 위해 하나 이상의 프로세서(112)에 의해 상기 제1 컴퓨팅 디바이스 및 상기 제2 컴퓨팅 디바이스에 전송될 수 있다. 특히, 하나 이상의 프로세서(112)는 제1 토큰을 생성하고 이를 확인 요청에 대한 인증서를 포함하는 제2 컴퓨팅 디바이스에 전송할 수 있다. 위의 단계(424 및 426)과 관련하여 위에서 설명된 바와 같이, 제1 토큰은 전송 토큰일 수 있다. 하나 이상의 프로세서(112)는 또한 선택된 사용자 계정에 대한 제2 토큰을 생성하고 이를 제1 컴퓨팅 디바이스에 전송할 수 있다. 단계(434 및 436)과 관련하여 위에서 설명된 바와 같이, 제2 토큰은 임시 토큰일 수 있으며, 이는 사용자 계정의 선택을 나타내는 사용자 입력을 수신한 후에 제1 클라이언트 디바이스에 의해 요청된다. 또한, 하나 이상의 프로세서(112)는 보안 자격증명 전송을 위한 보안 채널을 설정하기 위한 제3 토큰을 생성하고 이를 제2 컴퓨팅 디바이스에 전송할 수 있다. 단계(442 및 444)와 관련하여 위에서 설명한 바와 같이, 제3 토큰이 서명된 임시 토큰 및 전송 토큰에 기초하여 채널이 검증된 후에 생성되고 전송될 수 있다.
위에 설명된 구성은 클라이언트 디바이스에서 사용자 자격증명에 대한 액세스 권한을 부여하는 보다 안전한 프로세스를 제공한다. 사용자가 이미 신뢰하는 클라이언트 디바이스를 사용하여 제2 클라이언트 디바이스를 인증함으로써, 프로세스는 덜 복잡한 사용자 입력을 요구하고 알 수 없는 디바이스에 수동으로 사용자 자격증명을 입력할 필요가 없어 보안을 향상시킬 수 있다. 로그인 정보의 사용자 입력과 추가 사용자 검증 단계를 요구하는 대신, 인증 방법은 특정한 계정의 전송의 사용자 요청과 신뢰할 수 있는 디바이스에서의 인증을 요구한다. 또한, 프로세스는 인증 서버를 사용하여 제2 디바이스를 신뢰할 수 있는 디바이스로 검증하기 때문에, 사용자는 제2 디바이스에 사용자 자격증명을 전송하거나 액세스하는 보안에 대해 더 큰 확신을 가질 수 있다. 보안은 또한 사용자 자격증명을 전송하기 전에 제1 및 제2 클라이언트 디바이스 둘 모두의 상호 아이덴티티 검증 프로세스에 의해 향상될 수 있다.
달리 언급되지 않는 한, 전술한 대안적 예는 상호 배타적이지 않으며, 고유한 이점을 달성하기 위해 다양한 조합으로 구현될 수 있다. 상기 논의된 구성의 이러한 및 다른 변형 및 조합은 청구 범위에 의해 정의된 주제를 벗어나지 않고 활용될 수 있으므로, 실시예에 대한 전술한 설명은 청구 범위에 의해 정의된 주제의 제한이 아닌 예시의 방식으로 받아들여야 한다. 또한, "예를 들어", "포함하는" 등과 같이 표현된 문구 뿐만 아니라 본 명세서에 설명된 예시의 제공은 특정 예에 대한 청구 범위의 주제를 제한하는 것이 아니라 오히려 예는 많은 가능한 실시예 중 하나만을 예시하기 위한 것이라고 해석되어야 한다. 또한, 상이한 도면에서 동일한 참조 번호는 동일하거나 유사한 요소를 식별할 수 있다.
본 명세서에서 논의된 시스템들이 사용자에 관한 개인 정보를 수집하거나 또는 개인 정보를 사용하는 경우에 있어서, 사용자에게 프로그램 또는 구성이 사용자 정보(예를 들면, 암호, 사용자의 소셜 네트워크에 관한 정보, 사용자 특징(나이, 성별, 직업 등), 소셜 액션들 또는 활동들, 사용자의 선호 사용자에 의해 생성 또는 제출된 콘텐츠 또는 사용자의 현재 위치)를 수집할 것인지 여부를 제어할 하나 이상의 기회가 제공될 수 있다. 추가로, 특정 데이터는 그것이 저장되거나 사용되기 전에 하나 이상의 다양한 방식들로 취급되어, 개인적으로 식별가능한 정보는 제거된다. 예를 들면, 사용자의 아이덴티티는 사용자에 관한 개인적으로 식별가능한 정보가 결정될 수 없도록 취급되거나 또는 사용자의 지리적 위치는 위치 정보가 획득된 상황에서 일반화되어(시, 우편번호 또는 주 수준으로), 사용자의 특정한 위치가 결정될 수 없도록 한다. 따라서, 사용자는 사용자에 관한 정보가 어떻게 수집되는지 본 명세서에 기술된 구현예에 의해 사용되는지에 관한 제어를 가진다.

Claims (20)

  1. 디바이스에 대한 보안 자격증명 전송을 인증하는 방법에 있어서,
    하나 이상의 제1 프로세서에 의해, 제1 클라이언트 디바이스에서, 제2 디바이스로의 보안 자격증명 전송을 개시하기 위한 사용자 입력을 수신하는 단계, 상기 사용자 입력은 제2 클라이언트 디바이스로 송신될 통신을 트리거링하며;
    사용자 아이덴티티를 검증하는 단계, 상기 검증하는 단계는:
    상기 하나 이상의 제1 프로세서에 의해, 사용자 식별 입력을 요청하고, 그리고
    상기 하나 이상의 제1 프로세서에 의해, 상기 사용자 식별 입력을 수신함으로써 이루어지며;
    상기 제2 클라이언트 디바이스의 디바이스 아이덴티티를 검증하는 단계, 상기 검증하는 단계는:
    상기 제2 클라이언트 디바이스의 하나 이상의 제2 프로세서에 의해, 상기 제2 클라이언트 디바이스의 하드웨어로부터 상기 제2 클라이언트 디바이스의 보안 상태를 결정하고,
    상기 하나 이상의 제2 프로세서에 의해, 상기 제2 클라이언트 디바이스의 보안 상태와 관련된 식별자를 인증 서버에 호출하고, 그리고
    상기 하나 이상의 제2 프로세서에 의해, 상기 호출된 식별자에 기초하여 상기 제2 클라이언트 디바이스에 대한 인증서를 상기 인증 서버로부터 수신함으로써 이루어지며;
    상기 하나 이상의 제2 프로세서에 의해, 상기 보안 자격증명 전송을 위한 계정과 연관된 하나 이상의 토큰을 수신하는 단계; 및
    상기 사용자 아이덴티티 및 상기 디바이스 아이덴티티를 검증한 후, 상기 하나 이상의 제1 프로세서 및 상기 하나 이상의 제2 프로세서를 사용하여, 상기 하나 이상의 토큰을 사용하는 상기 보안 자격증명 전송을 위해 상기 제1 클라이언트 디바이스와 상기 제2 클라이언트 디바이스 사이의 보안 채널을 설정하는 단계를 포함하는, 방법.
  2. 청구항 1에 있어서, 상기 제2 디바이스로의 보안 자격증명 전송을 개시하기 위한 사용자 입력은 상기 제1 클라이언트 디바이스에 설치된 애플릿에서의 탭 입력을 포함하는, 방법.
  3. 청구항 1 또는 2에 있어서, 상기 통신은 근거리 통신을 사용하여 상기 제1 클라이언트 디바이스로부터 상기 제2 클라이언트 디바이스로 송신되는, 방법.
  4. 청구항 3에 있어서, 상기 제2 클라이언트 디바이스의 하나 이상의 제2 프로세서가 상기 통신을 수신한 후, 상기 하나 이상의 제2 프로세서에 의해, 상기 제2 디바이스로의 보안 자격증명 전송에 대한 사용자 확인을 요청하는 단계를 더 포함하는, 방법.
  5. 임의의 선행하는 청구항에 있어서, 상기 사용자 식별 입력은 상기 제1 클라이언트 디바이스에 대한 사용자 아이덴티티의 기존 검증인, 방법.
  6. 임의의 선행하는 청구항에 있어서, 상기 제2 클라이언트 디바이스의 보안 상태는 상기 제2 클라이언트 디바이스의 신뢰 보안 칩으로부터 결정되는, 방법.
  7. 임의의 선행하는 청구항에 있어서, 상기 인증 서버로부터의 인증은 상기 호출된 식별자가 상기 인증 서버의 데이터베이스에 있는 알려진 클라이언트 디바이스와 연관되어 있음을 표시하는, 방법.
  8. 임의의 선행하는 청구항에 있어서, 상기 하나 이상의 제1 프로세서에 의해, 상기 제2 클라이언트 디바이스에 대한 인증서를 수신하는 단계를 더 포함하는, 방법.
  9. 임의의 선행하는 청구항에 있어서, 상기 하나 이상의 제1 프로세서에 의해, 보안 자격증명 전송을 위한 계정의 선택을 수신하는 단계를 더 포함하는, 방법.
  10. 임의의 선행하는 청구항에 있어서, 상기 제2 클라이언트 디바이스의 보안 상태와 관련된 식별자를 상기 인증 서버에 호출하는 것은 상기 식별자를 상기 인증 서버에 호출하기 위한 프록시로서 상기 제1 클라이언트 디바이스를 사용하는 것을 포함하는, 방법.
  11. 하나 이상의 프로세서에 의해 실행가능한 명령어를 저장하도록 구성된 비일시적 컴퓨터 판독가능 매체로서, 상기 명령어는 실행시 상기 하나 이상의 프로세서로 하여금 방법을 수행하게 하며, 상기 방법은:
    제1 클라이언트 디바이스에서, 제2 디바이스로의 보안 자격증명 전송을 개시하기 위한 사용자 입력을 수신하는 단계, 상기 사용자 입력은 제2 클라이언트 디바이스로 송신될 통신을 트리거링하며;
    상기 제1 클라이언트 디바이스에서, 사용자 아이덴티티를 검증하는 단계, 상기 검증하는 단계는:
    사용자 식별 입력을 요청하고, 그리고
    상기 사용자 식별 입력을 수신함으로써 이루어지며;
    상기 제2 클라이언트 디바이스의 디바이스 아이덴티티를 검증하는 단계, 상기 검증하는 단계는:
    상기 제2 클라이언트 디바이스에서, 상기 제2 클라이언트 디바이스의 하드웨어로부터 상기 제2 클라이언트 디바이스의 보안 상태를 결정하고,
    상기 제2 클라이언트 디바이스로부터, 상기 제2 클라이언트 디바이스의 보안 상태와 관련된 식별자를 인증 서버에 호출하고, 그리고
    상기 제2 클라이언트 디바이스에서, 상기 호출 식별자에 기초하여 상기 제2 클라이언트 디바이스에 대한 인증서를 상기 인증 서버로부터 수신함으로써 이루어지며;
    상기 인증 서버로부터, 상기 보안 자격증명 전송을 위한 계정과 연관된 하나 이상의 토큰을 수신하는 단계; 및
    상기 사용자 아이덴티티 및 상기 디바이스 아이덴티티를 검증한 후, 상기 하나 이상의 토큰을 사용하는 상기 보안 자격증명 전송을 위해 상기 제1 클라이언트 디바이스와 상기 제2 클라이언트 디바이스 사이의 보안 채널을 설정하는 단계를 포함하는, 매체.
  12. 청구항 11에 있어서, 상기 제2 디바이스로의 보안 자격증명 전송을 개시하기 위한 사용자 입력은 상기 제1 클라이언트 디바이스에 설치된 애플릿에서의 탭 입력을 포함하는, 매체.
  13. 청구항 11 또는 12에 있어서, 상기 통신은 근거리 통신을 사용하여 상기 제1 클라이언트 디바이스로부터 상기 제2 클라이언트 디바이스로 송신되는, 매체.
  14. 청구항 11 내지 13 중 어느 한 항에 있어서, 상기 제2 클라이언트 디바이스의 보안 상태는 상기 제2 클라이언트 디바이스의 신뢰 보안 칩으로부터 결정되는, 매체.
  15. 청구항 11 내지 14 중 어느 한 항에 있어서, 상기 인증 서버로부터의 인증서는 상기 호출된 식별자가 상기 인증 서버의 데이터베이스에 있는 알려진 클라이언트 디바이스와 연관되어 있음을 표시하는, 매체.
  16. 청구항 11 내지 15 중 어느 한 항에 있어서, 상기 제1 클라이언트 디바이스에서, 상기 제2 클라이언트 디바이스에 대한 상기 인증서를 수신하는 단계를 더 포함하는, 매체.
  17. 청구항 11 내지 16 중 어느 한 항에 있어서, 상기 제1 클라이언트 디바이스에서, 상기 보안 자격증명 전송을 위한 상기 계정의 선택을 수신하는 단계를 더 포함하는, 매체.
  18. 청구항 11 내지 17 중 어느 한 항에 있어서, 상기 제2 클라이언트 디바이스의 보안 상태와 관련된 식별자를 상기 인증 서버에 호출하는 것은 상기 식별자를 상기 인증 서버에 호출하기 위한 프록시로서 상기 제1 클라이언트 디바이스를 사용하는 것을 포함하는, 매체.
  19. 시스템으로서,
    검증된 보안 상태를 갖는 복수의 디바이스에 대한 디바이스 아이덴티티 정보의 데이터베이스를 저장하는 메모리; 및
    상기 메모리에 결합된 하나 이상의 프로세서를 포함하며, 상기 하나 이상의 프로세서는:
    보안 자격증명 전송을 개시하는 것과 관련된 제1 컴퓨팅 디바이스로부터 통신을 수신하고;
    제2 컴퓨팅 디바이스로부터 확인 요청을 수신하고, 상기 확인 요청은 챌린지 통신을 포함하며, 상기 챌린지 통신은:
    사용자 아이덴티티 검증과 관련된 정보,
    이전의 챌린지 통신으로부터의 제1 식별자, 그리고
    상기 제2 컴퓨팅 디바이스의 보안 상태와 관련된 제2 식별자를 포함하는 제2 컴퓨팅 디바이스로부터의 서명을 포함하며;
    상기 확인 요청의 검증을 수행하고, 상기 검증을 수행하는 것은:
    상기 사용자 아이덴티티 검증과 관련된 정보가 상기 제1 컴퓨팅 디바이스로부터 온 것인지 검증하는 것,
    상기 제1 식별자가 상기 제2 식별자와 일치하는지 검증하고, 그리고
    상기 제2 식별자가 디바이스 아이덴티티 정보의 데이터베이스의 디바이스와 일치하는지 검증하는 것을 포함하며; 그리고
    상기 제2 컴퓨팅 디바이스로의 보안 자격증명 전송을 위한 보안 채널을 설정하기 위해 상기 제1 컴퓨팅 디바이스 및 상기 제2 컴퓨팅 디바이스에 하나 이상의 토큰을 제공하도록 구성되는, 시스템.
  20. 청구항 19에 있어서, 상기 하나 이상의 프로세서는 상기 하나 이상의 토큰을 제공하도록 구성되며, 상기 하나 이상의 토큰을 제공하는 것은:
    상기 확인 요청에 대한 인증서를 포함하는 제1 토큰을 상기 제2 컴퓨팅 디바이스에 제공하는 것;
    상기 제1 컴퓨팅 디바이스로부터 사용자 계정의 선택을 수신하는 것;
    상기 사용자 계정에 대한 제2 토큰을 상기 제1 컴퓨팅 디바이스에 제공하는 것;
    상기 제2 컴퓨팅 디바이스로부터 서명된 제2 토큰을 수신하는 것; 및
    상기 제2 컴퓨팅 디바이스로의 보안 자격증명 전송을 위한 보안 채널을 설정하기 위한 제3 토큰을 제공하는 것을 포함하는, 시스템.
KR1020227001997A 2019-07-30 2020-07-22 디바이스로의 보안 자격증명 전송을 인증하는 방법 및 시스템 KR102698459B1 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
KR1020247027878A KR20240129110A (ko) 2019-07-30 2020-07-22 디바이스로의 보안 자격증명 전송을 인증하는 방법 및 시스템

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US16/526,384 US11552798B2 (en) 2019-07-30 2019-07-30 Method and system for authenticating a secure credential transfer to a device
US16/526,384 2019-07-30
PCT/US2020/043042 WO2021021511A1 (en) 2019-07-30 2020-07-22 Method and system for authenticating a secure credential transfer to a device

Related Child Applications (1)

Application Number Title Priority Date Filing Date
KR1020247027878A Division KR20240129110A (ko) 2019-07-30 2020-07-22 디바이스로의 보안 자격증명 전송을 인증하는 방법 및 시스템

Publications (2)

Publication Number Publication Date
KR20220019834A true KR20220019834A (ko) 2022-02-17
KR102698459B1 KR102698459B1 (ko) 2024-08-23

Family

ID=71995169

Family Applications (2)

Application Number Title Priority Date Filing Date
KR1020247027878A KR20240129110A (ko) 2019-07-30 2020-07-22 디바이스로의 보안 자격증명 전송을 인증하는 방법 및 시스템
KR1020227001997A KR102698459B1 (ko) 2019-07-30 2020-07-22 디바이스로의 보안 자격증명 전송을 인증하는 방법 및 시스템

Family Applications Before (1)

Application Number Title Priority Date Filing Date
KR1020247027878A KR20240129110A (ko) 2019-07-30 2020-07-22 디바이스로의 보안 자격증명 전송을 인증하는 방법 및 시스템

Country Status (6)

Country Link
US (2) US11552798B2 (ko)
EP (1) EP4005177A1 (ko)
JP (2) JP7318108B2 (ko)
KR (2) KR20240129110A (ko)
CN (2) CN114128212B (ko)
WO (1) WO2021021511A1 (ko)

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20210119802A1 (en) * 2019-10-21 2021-04-22 Vmware, Inc. Two-way authentication for voice-activated devices
WO2021078763A1 (en) * 2019-10-23 2021-04-29 Telecom Italia S.P.A. Multimedia content secure access
JP2021082004A (ja) * 2019-11-19 2021-05-27 キヤノン株式会社 認可サーバー、システム、システムの方法、および認可サーバーのプログラム
CN112887260A (zh) * 2019-11-30 2021-06-01 华为技术有限公司 授权方法及装置
US11251980B2 (en) 2020-01-22 2022-02-15 Motorola Mobility Llc Electronic devices and corresponding methods for verifying device security prior to use
US11595214B2 (en) * 2020-11-10 2023-02-28 Okta, Inc. Efficient transfer of authentication credentials between client devices
US12021861B2 (en) * 2021-01-04 2024-06-25 Bank Of America Corporation Identity verification through multisystem cooperation
CN113672884A (zh) * 2021-08-23 2021-11-19 浙江大华技术股份有限公司 身份认证方法、装置、存储介质和身份认证设备
US12057363B2 (en) 2021-08-31 2024-08-06 Taiwan Semiconductor Manufacturing Company, Ltd. Chip package structure with multiple gap-filling layers and fabricating method thereof
WO2023070425A1 (zh) * 2021-10-28 2023-05-04 京东方科技集团股份有限公司 设备身份验证方法及装置、电子设备、计算机可读介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20160286391A1 (en) * 2013-12-30 2016-09-29 Apple Inc. Spoofing protection for secure-element identifiers
WO2016178082A1 (en) * 2015-05-01 2016-11-10 Assa Abloy Ab Authentication channel flow through wearable
KR20190036504A (ko) * 2017-09-27 2019-04-04 사이트릭스 시스템스, 인크. 클라이언트 애플리케이션들에 대한 보안 싱글 사인 온 및 조건부 액세스
US20190182044A1 (en) * 2017-12-07 2019-06-13 International Business Machines Corporation Automating verification using secure encrypted phone verification

Family Cites Families (29)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7694018B2 (en) * 2002-11-19 2010-04-06 Hewlett-Packard Development Company, L.P. Method and system for communication between two devices by editing machine specific information at a proxy server
JP4760101B2 (ja) * 2005-04-07 2011-08-31 ソニー株式会社 コンテンツ提供システム，コンテンツ再生装置，プログラム，およびコンテンツ再生方法
US20060294366A1 (en) 2005-06-23 2006-12-28 International Business Machines Corp. Method and system for establishing a secure connection based on an attribute certificate having user credentials
AU2007300707B2 (en) 2006-09-27 2011-11-17 Multifactor Corporation System and method for facilitating secure online transactions
US7979899B2 (en) * 2008-06-02 2011-07-12 Microsoft Corporation Trusted device-specific authentication
US8078873B2 (en) 2008-06-30 2011-12-13 Intel Corporation Two-way authentication between two communication endpoints using a one-way out-of-band (OOB) channel
US20120128154A1 (en) * 2010-11-23 2012-05-24 Intuit Inc. Establishing a secure proximity pairing between electronic devices
WO2012109751A1 (en) * 2011-02-15 2012-08-23 Research In Motion Limited System and method for identity management for mobile devices
WO2014026199A1 (en) * 2012-08-10 2014-02-13 Chipp'd Ltd. System for providing multiple levels of authentication before delivering private content to client devices
GB2506591A (en) * 2012-09-28 2014-04-09 Bell Identification Bv Method of providing secure services using a mobile device
US8850543B2 (en) * 2012-12-23 2014-09-30 Mcafee, Inc. Hardware-based device authentication
US10123189B2 (en) 2013-03-21 2018-11-06 Razer (Asia-Pacific) Pte. Ltd. Electronic device system restoration by tapping mechanism
US9098687B2 (en) * 2013-05-03 2015-08-04 Citrix Systems, Inc. User and device authentication in enterprise systems
EP2997531B1 (en) * 2013-05-15 2019-08-28 Visa International Service Association Methods and systems for provisioning payment credentials
US10756906B2 (en) * 2013-10-01 2020-08-25 Kalman Csaba Toth Architecture and methods for self-sovereign digital identity
US9785247B1 (en) * 2014-05-14 2017-10-10 Leap Motion, Inc. Systems and methods of tracking moving hands and recognizing gestural interactions
US9589263B2 (en) * 2014-06-27 2017-03-07 Paypal, Inc. Automatic payment code display system
US9654972B2 (en) * 2014-08-18 2017-05-16 Qualcomm Incorporated Secure provisioning of an authentication credential
US9986421B2 (en) 2014-12-03 2018-05-29 Verizon Patent And Licensing Inc. Secure virtual transfer of subscriber credentials
US11115417B2 (en) * 2015-05-19 2021-09-07 Microsoft Technology Licensing, Llc. Secured access control to cloud-based applications
US9602493B2 (en) * 2015-05-19 2017-03-21 Cisco Technology, Inc. Implicit challenge authentication process
US10257171B2 (en) * 2015-09-04 2019-04-09 Ca, Inc. Server public key pinning by URL
WO2018005496A1 (en) * 2016-06-27 2018-01-04 Live Nation Entertainment, Inc. Systems and methods for short-range communication between devices
FR3057689A1 (fr) * 2016-10-14 2018-04-20 Safran Identity and Security Procede et systeme de fourniture de jeton dans un systeme d'emulation de carte hote comportant un premier et un second dispositifs
GB2561396B (en) * 2017-04-13 2020-07-15 Barclays Execution Services Ltd Data security using two operating environments operating in parallel
KR102634632B1 (ko) * 2018-06-03 2024-02-08 애플 인크. 트랜스퍼 계정들을 위한 사용자 인터페이스들
US11100498B2 (en) * 2018-06-03 2021-08-24 Apple Inc. User interfaces for transfer accounts
US11599627B2 (en) * 2018-12-03 2023-03-07 Bank Of America Corporation System employing smart device for secure and authenticated event execution
US20210019285A1 (en) * 2019-07-16 2021-01-21 Citrix Systems, Inc. File download using deduplication techniques

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20160286391A1 (en) * 2013-12-30 2016-09-29 Apple Inc. Spoofing protection for secure-element identifiers
WO2016178082A1 (en) * 2015-05-01 2016-11-10 Assa Abloy Ab Authentication channel flow through wearable
KR20190036504A (ko) * 2017-09-27 2019-04-04 사이트릭스 시스템스, 인크. 클라이언트 애플리케이션들에 대한 보안 싱글 사인 온 및 조건부 액세스
US20190182044A1 (en) * 2017-12-07 2019-06-13 International Business Machines Corporation Automating verification using secure encrypted phone verification

Also Published As

Publication number Publication date
JP2023145552A (ja) 2023-10-11
US12041174B2 (en) 2024-07-16
WO2021021511A1 (en) 2021-02-04
CN114128212B (zh) 2024-04-30
WO2021021511A8 (en) 2021-04-01
CN114128212A (zh) 2022-03-01
JP7318108B2 (ja) 2023-07-31
US20210036859A1 (en) 2021-02-04
CN118199894A (zh) 2024-06-14
JP2022542327A (ja) 2022-09-30
US11552798B2 (en) 2023-01-10
US20230106348A1 (en) 2023-04-06
KR20240129110A (ko) 2024-08-27
KR102698459B1 (ko) 2024-08-23
EP4005177A1 (en) 2022-06-01

Similar Documents

Publication Publication Date Title
KR102698459B1 (ko) 디바이스로의 보안 자격증명 전송을 인증하는 방법 및 시스템
JP6992105B2 (ja) 認証能力を決定するためのクエリシステム及び方法
US10171241B2 (en) Step-up authentication for single sign-on
US9985993B2 (en) Query system and method to determine authentication capabilities
US9015482B2 (en) System and method for efficiently enrolling, registering, and authenticating with multiple authentication devices
US9306754B2 (en) System and method for implementing transaction signing within an authentication framework
US9083689B2 (en) System and method for implementing privacy classes within an authentication framework
US11539526B2 (en) Method and apparatus for managing user authentication in a blockchain network
US11184355B2 (en) Preventing unauthorized access to secured information systems using authentication tokens and multi-device authentication prompts
KR20170041741A (ko) 호스팅된 인증 서비스를 구현하기 위한 시스템 및 방법
US11777942B2 (en) Transfer of trust between authentication devices
US11706219B1 (en) Secure session sharing between computing devices
US20220086139A1 (en) Mutually authenticated voice communications
KR20240075374A (ko) 사용자 단말을 이용한 인증 기반 금융거래서비스 제공 시스템 및 방법

Legal Events

Date Code Title Description
E902 Notification of reason for refusal
E701 Decision to grant or registration of patent right
A107 Divisional application of patent
GRNT Written decision to grant