TW200403936A - Hardware-assisted credential validation - Google Patents

Description

200403936 玖、發明說明： 【發明戶斤屬之技術領域3 發明的技術領域 本發明係有關硬體輔助身份碼確認技術。 5 【先前技術】 發明的技術背景 網路式服務的遽增已經使得人們提高了對安全的需 求，尤其是金融交易安全方面。製造供應商與金融機構在 網路上的互動提供了駭客進行惡意干擾的機會，例如”電子 10 欺騙(spoofing)”或者公然竊取身分等行為。 當一位使用者向一位製造供應商購買產品時，該使用者 將會傳送敏感的金融資訊給該製造供應商。舉例來說，該 製造供應商隨後將與金融機構鑑認此金融資訊的正確性， 並且接受該使用者的訂單。在此項交易過程中，該使用者 15 的金融資訊將會透過數個網路鏈結而傳送。駭客可能會攔 截此資訊，或者駭客可能會假扮一位相關實體身分並盜用 其資訊，或者嘗試著進入某些其他相關實體的網站。以上 為交易過程中可能會發生的問題實例，這是大部分使用者 熟悉的部分，但也展示了該種交易中的固有問題。 20 然而，典型地，在網際網路或相似網路上進行的許多交 易或者資訊傳送動作並不會直接地包括消費者的資訊。金 融機構將來回地傳送資訊，生產者與其供應商將傳送訂購 資訊、購買訂單明細等。所有該等交易都需要安全性，否 則該等實體將容易受到駭客的攻擊。 5 除了包含機密資訊的交易數量激增之外，對互用性(讓 敕硬體在多種品牌機器上能有意義的溝通）也產生了變 化。目前，有數種不同使用網際網路來進行通訊的裝置。 此種互用性將允許該等不同平台能以一種平台獨立的方式 5來存取服務、物件以及伺服器。例如，簡易物件存取協定 (Simple Object Access Protocol SOAP)為一種作為各種 不同軟體部件間之黏著劑的協定。它將提供一種以標準方 式來橋接競爭技術的機制。SOAP的主要目的是促進互用 性。然而，互用性的增加將會使網路交易中電子欺騙狀況 10 以及盜用合夥人身分問題較容易發生。 為了解決此種問題，例如製造供應商以及銀行的許多實 體已經開始著手制定安全程序。例如，超文字傳輸協定 (HyperText Transfer Protocol、HTTP)係具有驗證量測方 法，例如網路安全協定（Secure Socket Layer、SSL)係由 15 大部分的網路瀏覽器使用藉由金鑰來加密及解密而在網際 網路（或任何網路）上於合夥人之間進行之一項安全交易中 所傳送的資訊。其他實例包括使用對稱金鑰、非對稱金鑰、 會談金鑰、符記，或者其他類型的安全身分碼。 一位初始合夥人將傳送其安全身分碼給一位接收合夥 20人。該接收合夥人隨後將利用女全身分碼來檢查任何進入 訊息以確保他從傳送合夥人所接收到的各項訊息均具有相 符的身分碼。身分碼包括憑證、符記或簽章。目前，該等 身分碼係呈軟體方式來實行以及驗證。但這並不是相當有 效率的，且仍可能會遭受到竄改。例如，儲存在檔案系統 中的金鑰係典型地由軟體應•式來進行#理。在處理軟 體應用程·肺巾’該等切可料郷露出來，相似 地，如果該等金鍮是儲存在資料庫巾的話，它們可能會在 經過儲存動作之後而暴露出來。 C發明内容3 圖_式包簡要說明 可精著讀取參照圖式而谁> 八阳進仃說明的發明說明而最佳地 了解本發明的實施例，其中·· =1圖將展示出-網路，在其上可發生一項交易。 第2圖將展不出_種具有身分碼確認之系統的實施例。 第3圖將展示出一種身分碼確認模組的實施例。 第4圖將展示出一種用以確認安全身分碼之方法的實 施例流程圖。 第5圖將展示出一種利用簡易物件存取協定（SOAP)來 確為數位簽章的方法的實施例流程圖。 【貧施方式】

第1圖將展示出一種環境，其中將在電子商務環境中於 二個合夥人提供服務且執行交易

。在此實例中，合夥人A 具有在其網站上進行之交易的相關機密資訊，例如線上訂 購系統。合夥人B 12為合夥人A的供應商，而合夥人A 可向合夥人B購買零件以便製造出商品來履行從其網站上 接收到的訂單。合夥人A將傳送一項採購訂單給合夥人B。 該採購訂單中具有敏感資訊，例如相關的金融機構、法 、競爭定價、帳戶號碼以及路嶋資 單位數允許合^人B能確認該採購訂單。例如 里 k零件定價的競爭資訊亦會被傳送出去， 優點。將料料結料合夥人A或切人B的不正當 在網人A傳送給合夥人B的資料將較可能地 杳例 傳送。然而，财在此係使_際網路做為 ^，亚不意圖以任何方式來限制本發明的應用或範圍。 ’罔路可為任何分散相路，其諸—端轉送到另一端點 的資料將產生期間的中繼段(hQp)。相似地，所傳送的資料 可為除了網際網路協定（丨P)網路中封包形式之外的任何形 式。於此，所傳送的離散資料片段將被稱為資料包。 如第1圖所示，合夥人A的傳送動作將在端點1〇與端 點12之間形成5個中繼段。例如，一中繼段包括對一金融 機構之一中介伺服器的一中繼段，一信用服務機構的桌上 型電腦的一中繼段、或者某個第三者供應商對合夥人A的 一中繼段。任何該等中繼段可能為駭客假裝其他合夥人之 身分的一攻擊點。例如，一駭客可假扮合夥人B的身分， 且取得合夥人A的敏感金融資料，其可遭受到竄改。戍者， 一駭客可假扮合夥人A的身分，且取得有關合夥人B的資 訊，或者甚至偷竊所訂購的零件，這將使假定合夥人A為 真實合夥人A的合夥人B運送零件到駭客，而不是運送到 真實的合夥人A。 安全協定的目前實行方式將在任何一端制定軟體程 200403936 序，以確認另一個合夥人確實為另一個合夥人。軟體原本 就容易受到”愚弄(fooled)”或”電子欺騙”，且常需要以無法 接受的系統經常費用來處理另一方的安全身分碼。如果一 駭客知道針對安全性所使用的特定套裝軟體是如何驗證身 5 分碼的話，駭客便可知道如何竊取或者重新建立安全身分 碼。第2圖將展示一種系統的實施例，在該系統中，將由 硬體來確認安全身分碼，而不是由一種軟體程序來進行確 認。 第2圖的系統20包括一安全身分碼確認模組30。在此 10 特定系統實施例中，該系統包括一身分碼確認模組22、一 記憶體24、一剖析器26、以及一通訊埠28。這僅是一種 系統組態的實例，且額外的部件是選擇性的。確實，在許 多系統中，.該身分碼產生器22係遠離於身分碼確認模組 30而常駐。 15 然而，使用此系統實施例將可能可以知道一網路連結裝 置如何使用安全測量方式來減輕攻擊發生的可能性。針對 外送資料傳送動作來說，身分碼產生器22將產生安全身分 碼。如本文所使用的，安全身分碼包括公開-私密加密金鑰 對、符記、數位簽章、或者可用來驗證傳送實體身分的任 20 何其他類型身分碼。記憶體24將儲存所產生的身分碼以允 許系統20能在外送資料傳送動作中包括身分碼。該等資料 傳送將透過通訊埠28來發送。 通訊埠28亦將允許系統20能接收資料包。該等資料 包中的安全身分碼隨後將由身分碼確認模組30來進行驗證 9 200403936 以及確認。例如，一項傳送動作包括來自一合夥人的一公 開金錄。安全確認模組隨後將運作該公開金输以確保所傳 送而具有資料的該公開金錄相符於先前從該合移人所收到 的公開金錄。此動作將允终接收方能確定它正與正確合夥 5 人進行交易’而不是與冒充者進行交易。 作為透過通訊埠28而接收到資料包的部分，剖析器將 可從該資料包酬載資料中摘取出安全身分碼。如本文中所 使用的，酬載資料表示的是資料包中包括的資料，其並不 包括傳送且管理該資料包所需要之該資料包中的資訊，例 10 如頭標。然而，該剖析器未必是必須的，因為可能會以呈 不需要進行摘取的一種格式來接收身分碼，或者身分碼確 認模組將能夠摘取出身分碼，而不需要剖析器。 這將在第3圖所展示的本發明實施例中更詳細地展示 出來。在此實施例中，剖析器26將提供一種算術邏輯單位 15 (arithmetic logic unit、ALU)36，其具有有關安全身分碼的 特定資訊，或者該ALU將可直接地接收到該特定資訊，如 上所述地。在此實施例中，安全身分碼至少具有三部份。 第一部分是實際身分碼。第二部份是用以產生身分碼的方 法。此包括一種為了取得身分碼而執行的算術演算法。第 20 三部份為該身分碼的數值。 在此特定實施例中，ALU 36將使用摘錄方法，該方法 係藉著對該身分碼進行運作來重新計算身分碼值。比較器 38隨後將比較重新計算出的結果以及原始值，並且判定該 身分碼是否有效。使用ALU以及比較器僅為進行此程序的 10 硬體部件實例’並不意圖以任何方式來限制本發明可能實 施例的範圍。 如此一來，將在系統的硬體中確認安全身分碼，使它們 相較於軟體確認來說，較不會受到傷害，同時可藉著將它 們移動到硬體中來加速確認的程序。 進行此種確認程序的實施例將展示於第4圖中。將選擇 性地在步驟40中剖析具有相關聯安全身分碼的一進入資 料包。在步驟42中，將接收到實際的安全身分碼。如先前 所述，確認模組可能不需要使該身分碼受到剖析。在步驟 44中，將重新計算安全身分碼的摘錄動作。摘錄或者，，雜亂 (hash)”為一種安全身分碼的表述方式，其係來自對其進行 的一連串運作。而該連串運作為上述的摘錄方法或者演算 法。 在步驟46中，重新計算的表述或者摘錄將與所提供的 表述或摘錄進行比較。如果比較此二數值的話，安全身分 碼為有效的，且資料將如同在其起源處一般地受到信賴。 同樣地，如果安全身分碼為有效的話，將在步驟48把它們 儲存起來。使一已儲存身分碼針對進入身分碼而進行檢查 的動作將可使該程序縮短為先前接收到之身分碼以及最近 接收到之身分碼的一項比較，以便判定該資料是否仍受到 信賴。然而，如上所述，儲存身分碼為選擇性的。使身分 碼儲存於硬體中而不是使其儲存在檔案系統或資料庫中， 將可增加安全性。 將以簡易物件存取協定(SOAP)方式來討論此種身分碼 200403936 確認動作的一特定應用程式。SOAP訊息的酬載包括代表 安全身分碼的數個元件。針對S〇Ap酬載來確認硬體中安 全身分碼的程序實施例將展示於第5圖中。 在γ驟50中，將對s〇AP酬載進行剖析，進而產生 5 SOAP簽早的二個元件：SjgnatureMeth〇d(簽章方法）、

Signedlnfo(簽署資訊）、以及 sjgnatureva|ue(簽章值）。 Signedlnfo(簽署資訊)54為實際上正由數位簽章簽署的資 訊。此動作係典型地經過正準化，這表示轉換成一經良好 界定的標準格式，而與一種展示於元件 10 CanomcalizationMethod(正準化方法）中的方法一同展示 於以下SOAP酬載的實例中。S|gnatureMeth〇d(簽章方法) 兀件52為用以將正準化Signed丨nf〇(簽署資訊）轉換為

SignatureVa山e(簽章值)54的方法。 在步驟58中，該程序隨後將使用SjgnatureMeth〇d (簽 15章方法）以及Signedlnfo(簽署資訊）來重新計算出該項摘 錄，且在步驟60中比較從該項重新計算動作中取得的所得 SignatUreValUe(簽章值)56。如果通過的話，該程序將繼續 進行。如果計算出的SignatureValue(簽章值)並無法正確地 與所提供的SignatureValue(簽章值）來進行比較的話，該程 20序便失敗，並且將推定該數位簽章為無效。如果該 SignatureValue(簽章值）是正確的話，該程序將在步驟62 中重新計算包含於參考元件中的參考摘錄。各個參考元件 包括摘錄方法以及針對已識別資料物件而計算出來的所得 摘錄值。將藉著什异出其摘錄值以及該數值上的簽章來簽署 200403936 -資料物件。碰將透過參考與簽章確認來檢查此簽章。 在步驟64中’重新计异的摘錄將與所提供的摘錄值明 進行比較以作為簽章確認的第二項檢查。如果該項配對正 媒的話’將在步驟68中選擇性地儲存該簽章以便於未來 5在與該合夥人進行的交易中進行比較。如果該項配對並不 正確的話，將假設該簽章為無效，且該程序將返回到碎認 另-個簽章的動作’如所展示地，或者將繼續進行以處理 该热效簽章。處理热效簽章的動作為本發明範圍以外的技

術。具有該等元件的SOAP酬載實例將在以下展示出來。 10 <Signature ld=HMyFirstSignature" xmlns=Mhttp://www.w3.org/2000/09/xmldsig#"> <Signedlnfo> <CanonicalizationMethod

Algorithm=,,http://www.w3.org/TR/2001/REC-xml-c14n-200103157> 15 <SignatureMethod

Algorithm="http://www.w3.org/2000/09/xmldsig#dsa-sha17>

〈Reference URI=Mhttp://www.w3.org/TR/2000/REC-xhtml1-20000126/"> <Transforms> 20 〈Transform ΑΙοοί^Ιιηι/ΐΊΜρνΛΛΛΛ/νν.ν^.οβ/ΤΚαΟΟΙ/ΚΕΟ-ΧΓΓΗ-οΙθΓ^ΟΟΙΟ^Ιδ’·/》 〈/Transforms〉 <DigestMethod

Algorithm="http://www.w3.org/2000/09/xmldsig#sha1'7> 13 200403936 <DigestValue>j6lwx3rvEPOOvKtMup4NbeVu8nk=</DigestValue> </Reference> </Signedlnfo> <SignatureValue>MCOCFFrVLtRlk=...</SignatureValue> 5 <Keylnfo> <KeyValue> <DSAKeyValue> <P>...</P><Q>...</Q><G>...</G><Y>...</Y> </DSAKeyValue> 10 </KeyValue> </Keylnfo> </Signature> 如上所述，必要的Signedlnfo(簽署資訊）元件為實際上簽 15 署的資訊。要注意的是，用來計算SignatureValue(簽章值） 的演算法亦將包含於所簽署的資訊中，而SignatureValue(簽 章值）元件則位於Signedlnfo(簽署資訊)之外。

CanonicalizationMethod(正準化方法）為在摘錄出來以 做為簽章運作的部分之前，用以正準化Signedlnfo(簽署資 20 訊）元件的演算法。要注意的是，此實例並不呈正準形式。 這是一種選擇性程序，且對實行本發明的實施例來說並不 是必要的。

SignatureMethod(簽章方法）為用以將正準化 Signedlnfo(簽署資訊)轉換為SignatureValue(簽章值)的演算 14 、、大 广- 法匕是摘錄演算法與金鑰依賴演算法以及其他可能演算 、且s將簽署该等演算法名稱以保護它不受到根 弱演算法的攻擊。為了提升應用程式的互用性， 創迕2必^ Λ行的一組簽章演算法，雖然使用方式為簽章 二者自可行斟酌的。可將額外的演算法指定為，，推薦式” 去選擇Άχ進行實行；料料亦將允許騎任意使用 者所指定的演算法。 錄信個參考元件包括摘錄方法以及所得摘錄值，該所得摘 Η)㈣為針對已識別資料物件所計算出的數值。它亦包括針 錄運作產生輸入動作的轉換動作。將藉著計算出其摘 •亲值以及魏值上的簽章來簽[㈣物件。該簽章隨後 將透過參考與簽章確認動作來進行檢查。 广ylnf〇(金鍮㈣)將指* Μ來確認簽章的*分碼。舉 例來說，身分碼的可能形式包括數位憑證、符記、金鎗名 稱乂及至鑰配置演异法與資訊。Keylnfo(金矯資訊)係因 著二種原因而為選擇性的。第一，簽署者可能不希望對所 有文件處理者揭露金鑰資訊。第二，可能可在應用程式的 本文中知道資訊而不需要確切地表示出來。因為Keylnf0(金 鑰資訊)係位於Signed丨nf0(簽署資訊)之外，如果簽署者希 望要聯結金鍮資訊與簽章的話，一項參考將可容易地識別 且包括Keylnfo(金鑰資訊)作為該簽章的部分。 必須要注意的是’上述訊息的細節僅為例示用途，且使 用SOAP酬載的動作亦可用來較佳地了解本發明實施例的 實例。並不意圖限制申請專利範圍的範圍，也不意圖進行 15 ϋ β η 200403936 任何暗示。 因此，雖然已經描述了/種用以進行硬體輔助身分碼確 認方法與裝置的特定實施例，除了在以下申請專利範圍中 所界定的方式之外，並不意圖將該等特定參考方式視為本 5 發明範圍的限制。 【圖式簡單説明】 第1圖將展示出一網路，在其上可發生一項交易。 第2圖將展示出一種具有身分碼確認之系統的實施例。 第3圖將展示出一種身分碼確認模組的實施例。 10 第4圖將展示出一種用以確認安全身分碼之方法的貫 施例流程圖。 第5圖將展示出〆種利用簡易物件存取協定（SOAP)來 確認數位簽章的方法的實施例流程圖。 【圖式之主要元件代表符號表】 10合夥人A、端點 40步驟 12合夥人B、端點 42步驟 20系統 44步驟 22身分碼確認模組 46步驟 24記憶體 48步驟 26剖析器 50步驟 28通訊埠 52 SignatureMethod(簽章方 30身分碼確認模組 法） 36算術邏輯單位(ALU) 54 Signedlnfo(簽署資訊） 38比較器 56 SignatureValue(簽章值） 16 200403936 58步驟 60步驟 62步驟 64步驟 66步驟 68步驟

17

Claims (1)

1. 200403936 拾、申請專利範圍： 1. 一種裝置，其包含： 一身分碼確認模組，其用以重新計算於一資料包中接收 到的安全身分碼，且判定該等安全身分碼是否有效。 5 2.如申請專利範圍第1項之裝置，其中該裝置另包含一剖 析器，其用以從已接收資料包的酬載資料中摘取出該等 安全身分碼。 3·如申請專利範圍第2項之裝置，其中該剖析器與該身分 碼確認模組係常駐在一起。 10 4.如申請專利範圍第1項之裝置，其中該裝置另包含一記 憶體，其用以儲存該等安全身分碼。 5. 如申請專利範圍第1項之裝置，其中該身分碼確認模組 另包含一算術邏輯單元以及一比較器。 6. 如申請專利範圍第1項之裝置，其中該等安全身分碼為 15 包含下列成員之群組中的一項：一符記、一數位簽章、 一密碼金鑰、以及一數位憑證。 7. 如申請專利範圍第1項之裝置，其中該等安全身分碼另 包含符合簡易物件存取協定(SOAP)的一數位簽章。 8. —種用以確認安全身分碼的方法，該方法包含： 20 接收包括安全身分碼的一資料包； 重新計算該等安全身分碼的一項表述；以及 比較該等安全身分碼的該項表述與一項已提供的表述， 來判定該等安全身分碼是否有效。 Dr， 18 200403936 9. 如申請專利範圍第8項之方法，其中該方法另包含剖析 該資料包中的酬載資料以取得該等安全身分碼。 10. 如申請專利範圍第8項之方法，其中該方法另包含儲存 該等安全身分碼。 5 11.如申請專利範圍第8項之方法，其中該等安全身分碼另 包含一種摘錄方法、欲確認的一身分碼、以及一身分碼 值。 12.如申請專利範圍第11項之方法，其中欲確認的該身分 碼另包含符合簡易物件存取協定(SOAP)的一數位簽章。 10 13.如申請專利範圍第11項之方法，其中該身分碼值另包 含符合簡易物件存取協定(SOAP)的一數位簽章值。 14. 一種系統，其包含： 一身分碼產生器，其用以提供外送安全身分碼； 一通訊埠，其用以允許對其它裝置傳送資料包，其中該 15 項傳送動作之内容包括該等外送安全身分碼；以及 一身分碼確認代理器，其用以確認透過該通訊埠所接收 到的進入身分碼。 15. 如申請專利範圍第14項之系統，其中該等外送安全身 分碼另包含由下列成員組成之群組中的一項：公開與私 20 密金鑰對、符記、數位憑證、以及數位簽章。 16. 如申請專利範圍第14項之系統，其中該系統另包含可 運作以儲存該等進入身分碼的一記憶體。 200403936 17.如申請專利範圍第14項之系統，其中該系統另包括一 剖析器，其用以摘取透過該通訊埠而在資料包中接收到 的身分碼。

   20