TW201626832A

TW201626832A - 具軀域ＯｐｅｎＩＤ用戶端及伺服器群ＳＳＯ

Info

Publication number: TW201626832A
Application number: TW105109085A
Authority: TW
Inventors: 尹赫車; 安德魯斯史密特; 安德魯斯萊赫
Original assignee: 內數位專利控股公司
Priority date: 2011-01-07
Filing date: 2012-01-09
Publication date: 2016-07-16
Also published as: US20160205067A1; TW201234904A; US20140230027A1; US9237142B2; WO2012094602A1; TWI558253B

Abstract

行動通信裝置的用戶可以使用用於存取源域中的服務的源域識別碼來存取目標域中的服務。為了能夠在目標域中使用源域識別碼，源域識別碼可以首先被登記在目標域中。藉由目標域處的登記實體，例如閘道或OpenID伺服器，可以執行該登記。登記實體可以與用戶的裝置建立安全頻道以能夠登記源域識別碼。一旦被登記，源域識別碼可以用於目標域中的用戶認證。源域識別碼的登記及/或基於登記的源域識別碼的用戶認證可以使用位於用戶的裝置的本地OpenID提供方(OP)來執行。

Description

具軀域OpenID用戶端及伺服器群SSO

本申請案要求2011年1月7日提出的美國臨時專利申請案No.61/430,869的權益，其全部內容作為引用結合於此。

行動通信裝置的使用能夠讓用戶在他們從一個位置移動到另一位置時存取多個服務。例如，用戶在移動位置時可能進入到各種無線網路或域的附近。每個網路可以向用戶提供多個服務。為了存取這些服務，用戶可能必須使用已註冊的用戶識別碼登陸到網路。服務提供方可以使用該已註冊的用戶識別碼來認證該用戶以允許該用戶存取其服務。

如果用戶想在另一個網路或域中存取服務，該用戶可能被迫執行另一註冊。如果用戶嘗試使用在另一域中已經註冊的用戶識別碼，則他們可能接收到錯誤訊息。因此，用戶可能必須分別向用戶希望存取來自服務提供方的服務的每個網路註冊。這可能需要用戶記住許多不同的已註冊識別碼。替代地，用戶可能需要在每個網路中註冊相同或相似的識別碼以避免必須記住每一個不同的已註冊識別碼。這樣做可能帶來安全性問題，因為進攻者可能獲取一個網路的識別碼，這樣可以存取用戶已使用該相同識別碼的其他網路。

一些服務提供方可以實施OpenID來解決這些問題中的一些。但是，甚至使用OpenID，用戶端可能屬於藉由其發現以及與域實體之間的信任關係所定義的域。用戶端可能不能登錄到屬於另一識別碼域的可信賴方(RP)，因為此RP不能與源域中的認證實體之間具有信任關係，因此可能不可以信任來自用戶端的認證。

本部分用於以簡單形式介紹各種概念，這將在下面的具體實施方式中進一步描述。

這裏描述了用於源域與目標域之間的識別碼聯合(federation)的系統、方法以及裝置實施方式。如這裏所述，源域識別碼可以被登記在目標域中且可以使用源域識別碼在目標域中認證用戶。源域識別碼可以與用戶相關聯。源域識別碼可以使得用戶能夠在源域中存取源域服務。源域識別碼可以被登記在目標域中以使得用戶可以使用源域識別碼來存取目標域服務。可以使用所登記的源域識別碼在目標域啟用用戶認證。可以使用OpenID提供方(OP)執行該認證。例如，OP可以是位於用戶裝置上的本地OP。一旦用戶已經被認證，用戶就可以存取目標域服務。

根據另一個示例實施方式，源域識別碼可以被發送到目標域以獲得在目標域對服務的存取。例如，源域識別碼可以使得用戶能夠在源域存取源域服務。可以接收對用戶認證的請求以能夠在目標域登記源域識別碼。可以使用用戶裝置處的本地識別碼提供方來認證用戶。在目標域可以建立到登記實體的安全頻道。登記實體可以被配置用於例如能夠在目標域登記源域識別碼。可以使用所建立的安全頻道將用戶認證發送到登記實體。

根據另一個示例實施方式，可以接收請求以用於執行本地用戶認證，以使用源域識別符在目標域對用戶進行認證。可以使用用戶裝置上的本地識別碼提供方來執行用戶認證。可以建立到被配置用於在目標域提供服務的服務提供方的安全頻道。可以使用到該服務提供方的安全頻道來發送本地用戶認證以能夠存取服務。

本部分用於以簡單方式介紹概念選擇，這將在下面具體實施方式部分進一步描述。該部分不旨在確定要求主題的關鍵特徵或必要特徵，也不旨在用於限制要求主題的範圍。此外，要求主題不限於解決本揭露任何部分中註明的任何或所有缺點的實施方式。

100‧‧‧示例通信系統

102a、102b、102c、102d‧‧‧無線傳輸/接收單元(WTRU)

104‧‧‧無線電存取網路(RAN)

106‧‧‧核心網路

108‧‧‧公共交換電話網(PSTN)

110‧‧‧網際網路

112‧‧‧其他網路

116‧‧‧空氣介面

118‧‧‧處理器

120‧‧‧收發器

122‧‧‧傳輸/接收元件

124‧‧‧揚聲器/麥克風

126‧‧‧鍵盤

128‧‧‧顯示器/觸控板

130‧‧‧不可移式記憶體

132‧‧‧可移式記憶體

134‧‧‧電源

136‧‧‧全球定位系統(GPS)碼片組

138‧‧‧週邊裝置

140a、140b、140c‧‧‧節點B

142a、142c‧‧‧無線電網路控制器

144‧‧‧媒體閘道(MGW)

146‧‧‧行動交換中心(MSC)

148‧‧‧服務GPRS支援節點(SGSN)

150‧‧‧閘道GPRS支援節點(GGSN)

IuCS、Iub‧‧‧介面

202、1002‧‧‧目標識別碼域

204、1004‧‧‧源識別碼域

206、208、940、1006、1008‧‧‧OPSF

210、1012‧‧‧可信賴方(RP)

212、1010、1014‧‧‧用戶端

214、1016、1018、1210‧‧‧本地OP

OP‧‧‧本地OpenID提供方

348、446、534、660、758、802、932‧‧‧用戶

350、448、536、662、760、806‧‧‧瀏覽代理(BA)

352、450、538、664、762、810、936‧‧‧OP_loc

354、452、1114、1124‧‧‧閘道(GW、GW_a、GW_N)

356、454‧‧‧RP_G

358、456‧‧‧OP_agg,G

360、458‧‧‧OPSF_G

362‧‧‧OP_agg,S

364、670‧‧‧OPSF_S

OIDs‧‧‧源域^S

AUTH_G‧‧‧認證協定

HTTPS‧‧‧安全頻道

K_S、K_G、K_asc、K_T‧‧‧密鑰

d_G、d_T‧‧‧參數

OID_G‧‧‧OpenID識別符

DNS‧‧‧本地功能變數名稱伺服器

OpenID‧‧‧開放識別碼

SDB_G‧‧‧資料庫

ENR_G‧‧‧登記

540‧‧‧RP_T

542、668、768‧‧‧OpenID聚合實體(OP_agg)

544、666、764、808‧‧‧識別符(OPSF_T)

OPSF‧‧‧OpenID服務功能

606、656、754‧‧‧程序(R、F)

S’‧‧‧簽名密鑰

770‧‧‧OP_N

S_R‧‧‧根秘密

804‧‧‧用戶端應用

812‧‧‧卡終端(CT)

814‧‧‧eID卡

eID‧‧‧電子識別碼檔

934‧‧‧應用

938‧‧‧服務註冊方

OID_enr‧‧‧登錄識別符

1102、1202‧‧‧用戶設備(UE)

1104、1206‧‧‧閘道管理者(GW_G)

1106、1108、1110、1116、1118、1120、1208‧‧‧服務(S_aa、S_ai、S_ak、S_NA、S_NI、S_NK、S_ij)

1120、1112‧‧‧層(F_N、F_a)

1124‧‧‧GW_N

1204‧‧‧底層閘道(GW_Fi)

1218‧‧‧策略提供方

從以下以示例方式結合所附圖式給出的描述中可以得到更詳細的理解，其中：第1A圖是可以實施一個或多個揭露的實施方式的示例通信系統的系統圖；第1B圖是可以在第1A圖中示出的通信系統中使用的示例無線傳輸/接收單元(WTRU)的系統圖；第1C圖是可以在第1A圖中示出的通信系統中使用示例無線電存取網路和示例核心網路的系統圖；第2圖是在本地OpenID的環境下用於聯合的源和目標識別碼域；第3圖是示出基於閘道的本地OpenID登記協定的流程圖；第4圖是示出基於閘道的本地OpenID認證協定的流程圖；第5圖是示出OpenID認證協定的另一個流程圖；第6圖是示出OpenID登記協定的另一個流程圖；第7圖是示出用於執行來自OpenID域的攝入(ingestion)的協定的流程圖；第8圖是示出使用eID卡的攝入的圖；第9圖是示出使用次級頻道對裝置綁定進行服務註冊的流程圖；第10圖是示出能夠藉由使用來自目標域中另一用戶端的本地OpenID提供方(本地OP)來存取目標域中的服務的用戶端的圖；第11圖是示出用於用戶設備(UE)的底層(floor-level)服務存取的圖；以及第12圖是示出使用本地OpenID的用於UE的底層服務存取的圖。

這裏提供了所用術語描述。本地IdP是用於本地用戶端實體和可以進行本地做出(即，非常接近裝置)的用於用戶/裝置的識別碼判定的該實體的功能的術語。RP是OpenID協定中的可信賴方或嘗試驗證用戶/裝置的識別碼並與識別碼提供方之間具有信任關係的其他應用服務提供方。OP是OpenID提供方協定實體。GW是閘道，諸如控制例如連接的實體間的網際網路訊務的實體。BA是瀏覽代理並可以包括能夠存取網際網路的用戶裝置上的任一基於網路的環境、應用或服務。OID_X是識別碼域^X中的用戶的OpenID識別符(例如，URL或電子郵件位址)。OP_X是OpenID識別碼域^X的OpenID提供方。OPSF_X是OpenID伺服器或具有識別碼域^X中OpenID服務功能(OPSF)的實體。OP_agg，X是識別碼域^X中的OpenID提供方聚合實體(OP_agg)。RP_X是識別碼域/服務群組^X中的可信賴方。U是一般行動用戶。UE是一般行動用戶的行動裝置。

本地行動SSO是用於總體指示傳統上由基於網路的SSO伺服器執行的單一簽名(SSO)及/或相關識別碼管理功能的部分或整體的術語。基於本地的實體及/或模組可以執行本地行動SSO，其可以例如是通信裝置本身的部分或全部。基於本地的實體/模組可以是實體及/或邏輯上位於(即，本地位於)通信裝置及/或其用戶的緊鄰的附近(例如，該實體/模組被嵌入到裝置中或藉由本地介面或有線連接或短程無限方式連結或連接到裝置)。本地OpenID是用於指示本地行動SSO實施的子集的術語，由此SSO或識別碼管理的實施可以基於OpenID協定。OpenID識別碼提供方(OP或OpenID IdP)的功能的部分或全部可以由位於本地的實體/模組來執行。

本地識別碼提供方(IdP)是用於指示可以執行OpenID伺服器的功能的部分或全部的實體或模組的術語。OP_loc還可以用於表示本地IdP。OP_loc可以是與本地實體相關聯的本地OP，例如軟體或硬體。OP_loc可以執行用於實施OpenID識別碼提供方的操作。根據一個示例，可以在智慧卡網路伺服器(SCWS)或其他可信任處理模組上實施OP_loc。OP_loc的功能之一可以用於經由關於用戶及/或裝置的識別碼的判定來促進用戶及/或裝置認證。該判定可以從OP_loc被發送到裝置的瀏覽代理(BA)或其他應用，其然後可以將該判定轉發到外部可信賴方(RP)。當OP_loc提供的功能主要被限制到提供該識別碼判定時，執行該功能的OP_loc可以被稱為本地判定提供方(LAP)。

OP_loc可以處理(例如，創建、管理及/或發送)一個或多個判定訊息。OP_loc可以使用這些訊息來判定與用戶及/或裝置相關的一個或多個識別碼的驗證狀態。此判定可以被做出給這些訊息的一個或多個外部接收方。在OpenID協定中，例如RP之類的第三方實體可以是該判定訊息的接收方之一。OP_loc可以例如藉由使用加密密鑰對該判定訊息進行簽名。

本地OpenID可以實施一個或多個加密密鑰。一個這樣的密鑰可以被稱為根會話密鑰並被表示為K_rp，其可以是用於在RP與OP之間使用的會話密鑰，以充當可以從中導出其他密鑰的根會話密鑰。另一個這樣的密鑰可以稱為判定密鑰並被表示為K_asc，其可以是簽名密鑰，可以用於對用於用戶認證的一個或多個判定訊息進行簽名。K_asc可以從K_rp導出。

本地OpenID還可以實施稱為OpenID服務功能(OPSF)的服務，其作用可以用於產生、共享及/或分配OP_loc及/或可選地RP使用的秘密或簽名。外部RP可以將OPSF和OP_loc視為單一實體。OPSF能夠驗證OP_loc及/或本地OP所發佈的簽名、並可以經由公共網際網路由RP直接接觸到。藉由修改裝置上的本地功能變數名稱伺服器(DNS)解析快取記憶體，裝置上的瀏覽器或其他應用可以重新定向到OP_loc，由此OPSF的位址可以映射到OP_loc。OPSF及/或基於閘道的OP可以從RP的角度動作，就像它們是單一實體。OPSF能夠驗證基於閘道的OP及/或OP_loc所發佈的簽名、並可以經由公共網際網路由RP直接接觸到。藉由修改裝置上的本地DNS解析快取記憶體，裝置上的瀏覽器或其他應用可以被重新定向到基於閘道的OP，由此OPSF的位址映射到本地基於閘道的OP。根據示例實施方式，OPSF可以與OP_agg位於相同的位置。

OP_agg可以是OpenID提供方識別碼聚合功能。OP_agg可以是本地OpenID使用的服務，其作用是用於代表RP促進OP_loc的發現。OP_agg可以是提供用於RP的發現服務的實體。根據OpenID標準，該OP操作服務可以是經由HTML或XRDS發現。OP_agg實體可以在DNS位址上操作，DNS位址是OpenID識別符的部分(例如，如果識別符是http：//openid.mno.com/id，則OP_agg可以在http：//openid.mno.com運作網路服務)。例如，OP_agg可以是可以作為發現服務進行操作的行動網路操作方(MNO)的域中的伺服器。發現服務可以經由公共網際網路並可以是輕量的。

AUTH_G是例如經由閘道GW向目標域^G執行的認證。ENR_G是向目標域^G的OpenID登記，其還可以經由例如閘道被執行。LAA是可以執行任何形式的用戶認證(例如強用戶認證)並能夠向OP_loc判定該用戶認證的本地認證代理。例如，LAA可以與生物特徵量測裝置、智慧卡讀取器、加密訊標等相關聯。PIN是個人識別號碼。K_X是用於OpenID關聯模式的識別碼域^X中的OPSF_X與OP_loc之間的長期共享秘密。SEE是安全執行環境。

第1A圖是可以實施一個或多個揭露的實施方式的示例通信系統100的圖。通信系統100可以是向多個無線用戶提供例如語音、資料、視訊、訊息發送、廣播等的內容的多重存取系統。通信系統100可以使得多個無線用戶能夠經由分享包括無線頻寬在內的系統資源來存取這些內容。例如，通信系統100可以使用一種或多種頻道存取方法，例如分碼多重存取(CDMA)、分時多重存取(TDMA)、分頻多重存取(FDMA)、正交FDMA(OFDMA)、單載波FDMA(SC-FDMA)等。

如第1A圖所示，通信系統100可以包括無線傳輸/接收單元(WTRU)102a、102b、102c、102d、無線電存取網路(RAN)104、核心網路106、公共交換電話網(PSTN)108、網際網路110以及其他網路112，但是應該理解的是所揭露的實施方式考慮了任意數量的WTRU、基地台、網路及/或網路元件。WTRU 102a、102b、102c、102d中每一個可以是被配置用於在無線環境中操作及/或通信的任意類型的裝置。例如，WTRU 102a、102b、102c、102d可以被配置用於傳送及/或接收無線信號並可以包括用戶設備(UE)、行動站、固定或行動用戶單元、呼叫器、蜂巢式電話、個人數位助理(PDA)、智慧型電話、膝上型電腦、隨身型易網機、個人電腦、無線感測器、消費性電子裝置等。

通信系統100還可以包括基地台114a和基地台114b。基地台114a、114b的每一個可以是被配置用於與WTRU 102a、102b、102c、102d的至少一個WTRU無線介面連接以促進對例如核心網路106、網際網路110及/或網路112的一個或多個通信網路的存取的任意類型的裝置。例如，基地台114a、114b可以是基地收發台(BTS)、節點B、e節點B、家用節點B、家用e節點B、站點控制器、存取點(AP)、無線路由器等。雖然基地台114a、114b每個被描述為單一元件，但是應該理解的是基地台114a、114b可以包括任意數量的互連的基地台及/或網路元件。

基地台114a可以是RAN 104的部分，其還可以包括其他基地台及/或網路元件(未示出)，例如基地台控制器(BSC)、無線電網路控制器(RNC)、中繼節點等。基地台114a及/或基地台114b可以被配置用於在特定地理區域內傳送及/或接收無線信號，該特定地理區域可以被稱為胞元(未示出)。胞元還可以被劃分成胞元扇區。例如，與基地台114a相關聯的胞元可以被劃分成三個扇區。因此，在一個實施方式中，基地台114a可以包括三個收發器，即胞元的每個扇區一個收發器。在一個實施方式中，基地台114a可以使用多輸入多輸出(MIMO)技術並因此可以針對胞元的每個扇區使用多個收發器。

基地台114a、114b可以經由空氣介面116與WTRU 102a、102b、102c、102d中的一個或多個進行通信，空氣介面116可以是任何合適的無線通信鏈路(例如，無線電頻率(RF)、微波、紅外(IR)、紫外(UV)、可見光等)。可以使用任何合適的無線電存取技術(RAT)來建立空氣介面116。

更具體地，如上所述，通信系統100可以是多重存取系統並可以使用一種或多種頻道存取方案，例如CDMA、TDMA、FDMA、OFDMA、SC-FDMA等。例如，RAN 104中的基地台114a和WTRU 102a、102b、102c可以實施例如通用行動電信系統(UMTS)陸地無線電存取(UTRA)的無線電技術，其可以使用寬頻CDMA(WCDMA)來建立空氣介面116。WCDMA可以包括例如高速封包存取(HSPA)及/或演進型HSPA(HSPA+)等的通信協定。HSPA可以包括高速下行鏈路封包存取(HSDPA)及/或高速上行鏈路封包存取(HSUPA)。

在一個實施方式中，基地台114a和WTRU 102a、102b、102c可以實施例如演進型UMTS陸地無線電存取(E-UTRA)之類的無線電技術，其可以使用長期演進(LTE)及/或LTE高級(LTE-A)來建立空氣介面116。

在其他實施方式中，基地台114a和WTRU 102a、102b、102c可以實施的無線電技術例如有IEEE 802.16(即，全球微波互通存取(WiMAX))、CDMA 2000、CDMA2000 1X、CDMA2000 EV-DO、臨時標準2000(IS-2000)、臨時標準95(IS-95)、臨時標準856(IS-856)、全球行動通信系統(GSM)、GSM演進增強型資料速率(EDGE)、GSM EDGE(GERAN)等。

第1A圖中的基地台114b可以例如是無線路由器、家用節點B、家用e節點B、微微(femto)胞元基地台或存取點，並可以使用任意合適的RAT來促進例如商業場所、家裏、車輛、校園等之類的局部區域內的無線連接。在一個實施方式中，基地台114b和WTRU 102c、102d可以實施例如IEEE 802.11之類的無線電技術來建立無線區域網路(WLAN)。在一個實施方式中，基地台114b和WTRU 102c、102d可以實施例如IEEE 802.15之類的無線電技術來建立無線個域網路(WPAN)。在還一個實施方式中，基地台114b和WTRU 102c、102d可以利用基於蜂巢的RAT(例如WCDMA、CDMA2000、GSM、LTE、LTE-A等)來建立微微胞元或毫微微胞元。如第1A圖所示，基地台114b可以與網際網路110具有直接連接。因此，基地台114b可以不需要經由核心網路106存取網際網路110。

RAN 104可以與核心網路106通信，核心網路106可以是被配置用於向WTRU 102a、102b、102c、102d中的一個或多個提供語音、資料、應用及/或網際網路協定語音(VoIP)服務。例如，核心網路106可以提供呼叫控制、記賬服務、基於移動位置的服務、預付費呼叫、網際網路連接、視訊分配等，及/或執行高階安全功能，例如用戶認證。雖然在第1A圖中未示出，但是應當理解RAN 104及/或核心網路106可以是與使用與RAN 104使用的相同或不同的RAT的其他RAN直接或間接通信。例如，除了連接到使用E-UTRAN無線電技術的RAN 104，核心網路106還可以與使用GSM無線電技術的另一RAN(未示出)通信。

核心網路106還可以充當WTRU 102a、102b、102c、102d存取PSTN 108、網際網路110及/或其他網路112的閘道。PSTN 108可以包括提供普通老式電話服務(POTS)的電路交換電話網。網際網路110可以包括使用公共通信協定的互連電腦網路和裝置的全球系統。公共通信協定可以例如是TCP/IP網際網路協定族中的傳輸控制協定(TCP)、用戶資料報協定(UDP)以及網際網路協定(IP)。網路112可以包括其他服務提供方擁有及/或操作的有線或無線通信網路。例如，網路112可以包括連接到一個或多個RAN的另一核心網路，該一個或多個RAN可以域RAN 104使用相同或不同的RAT。

通信系統100中一些或所有WTRU 102a、102b、102c、102d可以包括多模能力，換言之，WTRU 102a、102b、102c、102d可以包括在不同無線鏈路上與不同無線網路進行通信的多個收發器。例如，第1A圖所示的WTRU 102c可以被配置用於與使用基於蜂巢的無線電技術的基地台114a通信，以及與可以使用IEEE 802無線電技術的基地台114b通信。

第1B圖是例示WTRU 102的系統圖。如第1B圖所示，WTRU 102可以包括處理器118、收發器120、傳輸/接收元件122、揚聲器/麥克風124、鍵盤126、顯示器/觸控板128、不可移式記憶體130、可移式記憶體132、電源134、全球定位系統(GPS)碼片組136以及其他週邊裝置138。應該瞭解的是，在保持符合實施方式的同時，WTRU 102可以包括前述元件的任何子組合。

處理器118可以是通用處理器、專用處理器、常規處理器、數位信號處理器(DSP)、多個微處理器、與DSP核心關聯的一或多個微處理器、控制器、微控制器、專用積體電路(ASIC)、現場可編程閘陣列(FPGA)電路、其他任何類型的積體電路(IC)、狀態機等等。處理器118可以執行信號編碼、資料處理、功率控制、輸入/輸出處理及/或能使WTRU 102在無線環境中操作的任何其他功能。處理器118可以耦合至收發器120，收發器120可以耦合至傳輸/接收元件122。雖然第1B圖將處理器118和收發器120描述為是獨立元件，但是應該瞭解，處理器118和收發器120可以集成在一個電子封裝或晶片中。處理器118可以執行應用層程式(例如，瀏覽器)及/或無線電存取層(RAN)程式及/或通信。處理器118可以執行例如在存取層及/或應用層處的安全性操作，例如認證、安全密鑰協定及/或加密操作。

傳輸/接收元件122可以被配置用於經由空氣介面116來傳輸信號到基地台(例如基地台114a)或接收來自基地台(例如基地台114a)的信號。舉個例子，在一個實施方式中，傳輸/接收元件122可以是被配置用於傳輸及/或接收RF信號的天線。在一個實施方式中，舉例來說，傳輸/接收元件122可以是被配置用於傳輸及/或接收IR、UV或可見光信號的發光體/偵測器。在再一個實施方式中，傳輸/接收元件122可以被配置用於傳輸和接收RF和光信號。應該瞭解的是，傳輸/接收元件122可以被配置用於傳輸及/或接收無線信號的任何組合。

此外，雖然在第1B圖中將傳輸/接收元件122描述為是單一元件，但是WTRU 102可以包括任何數量的傳輸/接收元件122。更具體地說，WTRU 102可以使用MIMO技術。因此，在一個實施方式中，WTRU 102可以包括用於經由空氣介面116來傳輸和接收無線電信號的兩個或多個傳輸/接收元件122(例如多個天線)。

收發器120可以被配置用於對傳輸/接收元件122將要傳輸的信號進行調變、以及對傳輸/接收元件122接收的信號進行解調。如上所述，WTRU 102可以具有多模能力。因此，收發器120可以包括能使WTRU 102經由諸如UTRA和IEEE 802.11之類的多種RAT來進行通信的多個收發器。

WTRU 102的處理器118可以耦合至揚聲器/麥克風124、鍵盤126及/或顯示器/觸控板128(例如液晶顯示器(LCD)顯示單元或有機發光二極體(OLED)顯示單元)、並且可以接收來自這些元件的用戶輸入資料。處理器118還可以向揚聲器/麥克風124、鍵盤126及/或顯示器/觸控板128輸出用戶資料。此外，處理器118可以從任何適當的記憶體(例如不可移式記憶體130及/或可移式記憶體132)中存取資訊、以及將資料存入這些記憶體。所述不可移式記憶體130可以包括隨機存取記憶體(RAM)、唯讀記憶體(ROM)、硬碟或是任何其他類型的記憶儲存裝置。可移式記憶體132可以包括用戶識別碼模組(SIM)卡、記憶條、安全數位(SD)記憶卡等等。在其他實施方式中，處理器118可以從那些並非實際位於WTRU 102的記憶體存取資訊、以及將資料存入這些記憶體，其中舉例來說，該記憶體可以位於伺服器或家用電腦(未顯示)。

處理器118可以接收來自電源134的電力、並且可以被配置分發及/或控制用於WTRU 102中的其他元件的電力。電源134可以是為WTRU 102供電的任何適當的裝置。舉例來說，電源134可以包括一個或多個乾電池(如鎳鎘(Ni-Cd)、鎳鋅(Ni-Zn)、鎳氫(NiMH)、鋰離子(Li-ion)等等)、太陽能電池、燃料電池等等。

處理器118還可以與GPS碼片組136耦合，該碼片組136可以被配置用於提供與WTRU 102的目前位置相關的位置資訊(例如經度和緯度)。作為來自GPS碼片組136的資訊的補充或替換，WTRU 102可以經由空氣介面116接收來自基地台(例如基地台114a、114b)的位置資訊、及/或根據從兩個或多個附近基地台接收的信號時序來確定其位置。應該瞭解的是，在保持符合實施方式的同時，WTRU 102可以用任何適當的定位方法來獲取位置資訊。

處理器118還可以耦合到其他週邊裝置138，這其中可以包括提供附加特徵、功能及/或有線或無線連接的一個或多個軟體及/或硬體模組。例如，週邊裝置138可以包括加速度計、電子指南針、衛星收發器、數位相機(用於照片和視訊)、通用串列匯流排(USB)埠、振動裝置、電視收發器、免持耳機、藍芽®模組、調頻(FM)無線電單元、數位音樂播放器、視訊遊戲機模組、網際網路瀏覽器等等。

第1C圖是根據一個實施方式的RAN 104和核心網路106的系統圖。如上所述，RAN 104可以使用UTRA無線電技術以經由空氣介面116來與WTRU 102a、102b、102c進行通信。並且該RAN 104還可以與核心網路106通信。如第1C圖所示，RAN 104可以包括節點B 140a、140b、140c，而節點B 140a、140b、140c中的每一個都可以包括一個或多個收發器，以便經由空氣介面116來與WTRU 102a、102b、102c進行通信。每一個節點B 140a、140b、140c都可以與RAN 104內部的特定胞元(未顯示)相關聯。RAN 104還可以包括RNC 142a、142b。應該瞭解的是，在保持符合實施方式的同時，RAN 104可以包括任何數量的節點B和RNC。

如第1C圖所示，節點B 140a、140b可以與RNC 142a進行通信。此外，節點B 140c可以與RNC 142b進行通信。節點B 140a、140b、140c可以經由Iub介面來與各自的RNC 142a、142b進行通信。RNC 142a、142b彼此可以經由Iur介面來進行通信。每一個RNC 142a、142b都可以被配置用於控制與其相連的各自節點B 140a、140b、140c。此外，每一個RNC 142a、142b都可以被配置用於執行或者支援其他功能，例如外環功率控制、負載控制、許可控制、封包排程、切換控制、巨集分集、安全功能、資料加密等等。

第1C圖所示的核心網路106可以包括媒體閘道(MGW)144、行動交換中心(MSC)146、服務GPRS支援節點(SGSN)148及/或閘道GPRS支援節點(GGSN)150。雖然每一個前述元件都被描述為是核心網路106的一部分，但是應該瞭解，這其中的任一元件都可以被核心網路操作者之外的實體擁有及/或操作。

RAN 104中的RNC 142a可以經由IuCS介面連接到核心網路106中的MSC 146。MSC 146可以連接到MGW 144。MSC 146和MGW 144可以為WTRU 102a、102b、102c提供針對PSTN 108之類的電路交換網路的存取，以便促進WTRU 102a、102b、102c與傳統的陸線通信裝置之間的通信。

RAN 104中的RNC 142a還可以經由IuPS介面連接到核心網路106中的SGSN 148。SGSN 148可以連接到GGSN 150。SGSN 148和GGSN 150可以為WTRU 102a、102b、102c提供針對網際網路110之類的封包交換網路的存取，以便促進WTRU 102a、102b、102c與IP賦能的裝置之間的通信。

如上所述，核心網路106還可以連接到網路112，其中該網路112可以包括其他服務供應者擁有及/或操作的其他有線或無線網路。

上述一個及/或多個通信系統可以用於執行這裏所述的基於OpenID的認證中。根據示例實施方式，用戶可以加入工作會議，在該工作會議中他們希望使用投影(projection)服務將工作相關資料投影在該會議。工作相關資料可以被儲存在它們工作域的雲端服務上(例如，經由T-MOBILE®雲)，但是會議域可以具有在站點可存取的Wi-Fi投影服務。用戶在適用於啟用投影服務使用的會議域可能沒有已註冊的用戶識別碼。但是，會議域和用戶的工作域都可以是OpenID可存取的。因此，使用這裏所述的實施方式，用戶可以使用在他們工作域的用戶的已註冊識別碼在會議域處獲得對Wi-Fi投影服務的存取。

使用行動本地OpenID，可以基於OpenID來執行認證，其中可以分配例如OP的認證實體。OP可以包括位於UE上的OP_loc。例如，OP_loc可以包括智慧卡網頁伺服器(SCWS)，其可以包括位於UE上的智慧卡(例如UICC)上的OP。根據一個實施方式，這裏描述了SSO方案中位於用戶端上的OP實體的應用。用戶端及/或服務的群組(例如RP)可以被動態管理以提供上下文(context)豐富的SSO。這裏所述的實施方式可以被映射到被管理設施中的實體及/或服務存取控制的應用情形。

識別碼聯合及/或分組可以在位於OpenID用戶端上的OP的環境中被實施。這裏描述了用於在不同域之間聯合基於本地OP的識別碼的系統和方法。這裏還揭露了用於管理用戶及/或可信賴方群組的系統和方法。

識別碼聯合可以允許使用用戶端識別碼，該用戶端識別碼可以是在一個域中有效用於在另一個域內執行認證，在另一個域中，用戶端識別碼初始可以是無效的。在基於位於用戶端的OP實現的IdM環境中，在第2圖中描述了至少一個識別碼聯合的示例。

第2圖示出了用於在本地OpenID環境中聯合的源識別碼域204和目標識別碼域202。如第2圖所述，當在目標域202與源域204之間使用在源域204中已建立的用戶端212的用戶端識別碼進行通信時，會存在發現及/或信任關係的問題。目標識別碼域202中的網路實體可以與源識別碼域204中的實體通信。目標識別碼域202可以包括OP_agg/OPSF 206和可信賴方(RP)210。OP_agg/OPSF 206和可信賴方(RP)210在222可以執行信任的通信。源識別碼域204可以包括OP_agg/OPSF 208和用戶端212。用戶端212可以包括本地OP 214，用於提供用戶端212及/或用戶端212的用戶的認證資訊。OP_agg/OPSF 208和用戶端212在224可以執行信任的通信。OP_agg 206和OP_agg 208可以包括OpenID發現功能並可以是例如在其中多個OP被聚合以用於發現的實體。OPSF 206和OPSF 208可以包括OpenID服務功能。

源識別碼域204可以藉由識別碼域的發現和分別與域實體OP_agg 208和OPSF 208的信任關係來定義。用戶端212可以在216請求登錄屬於目標識別碼域202的RP 210。為了登錄，用戶端212可以在216提供來自本地OP 214的認證資訊。例如，認證資訊可以作為用戶及/或用戶端212的本地認證結果被提供。RP 210與源識別碼域204的OPSF 208可能不具有信任關係(如在218的虛線所示)，因此可以不信任來自位於用戶端的OP 214的認證資訊。

這裏描述了可以用於在源識別碼域204中的實體與目標識別碼域202中的實體之間建立信任關係以啟用例如RP 210之類的RP來信任從例如本地OP 214之類的OP接收的認證資訊的各種實施方式。根據一個示例實施方式，在220，可以在RP 210信任的目標識別碼域202的OPSF 206與用戶端212的本地OP 214之間建立信任關係。如果在220，在OPSF 206與本地OP 214之間沒有預先存在的信任關係，則可以藉由例如源識別碼域204的OPSF 208與目標識別碼域202的OPSF 206之間的信任仲介來建立信任關係。從結構上來說，在目標域中的RP與源域中的OPSF/OP_agg之間缺少信任的關係(例如，如第2圖的218所示)可以與例如如自由聯盟標準所示的識別碼聯合中缺少信任關係相類似。

當使用本地OP時，可以不涉及其他OP實體。例如，可以實施一個用戶端本地OP。還可以啟用域策略，例如存取控制及/或存取隱私(privacy)以啟用域之間的粒狀(granular)分離。使用存取控制及/或存取隱私，源識別碼域204可能不知道目標識別碼域202中的每個登錄，反之亦然。本地OP 214可以無縫工作以使得用戶能夠在於另一個識別碼域中進行通信時使用相同的OpenID識別符。當使用本地OP時，還可以避免手動改變定址並且用戶可以知道他們活動所在的域。當實施這裏描述的實施方式時，例如從RP 210的角度來看，本地OpenID協定流可以被改變。

OpenID可以依賴基於URL的識別碼(即，在用戶控制下及/或指向用戶已經選擇的OP的發現位置的給定名稱)，其可以導致識別碼聯合。根據示例實施方式，可以藉由允許用戶為每個OP域指派單獨的OpenID識別碼URL及/或與對應的RP使用該單獨的OpenID識別碼URL來克服聯合。還可以在不剝奪用戶控制的情況下，啟用自動操作來克服聯合。

如果OP功能完全及/或整個在用戶端本地裝置內被實施(例如，在行動通信裝置上及/或行動通信裝置上的UICC上)，則識別碼聯合不是個問題。如果OP功能完全及/或整個在用戶端本地裝置內被實施，則用戶的識別碼判定(assertion)可以經由單一本地OP(例如本地OP 214)及/或該本地OP的域(例如，源識別碼域204)。這可以在不同域之間產生很少或不產生聯合。該單一本地OP(例如本地OP 214)可以服務RP(例如RP 210)。這可以本地實施針對域的域分隔。

識別碼管理的完全分散化是不期望的。IdM可以考慮各個風險承擔著(stakeholder)之間的信任及/或業務關係。這可能需要某個網路及/或供應方側控制允許處於用戶控制下的本地實體做出的識別碼判定。

經由使用本地用戶端裝置上的本地判定提供方及/或屬於一個特定域(例如MNO的域，可以與例如本地判定提供方共享秘密)的一些基於網路的實體(例如OP_agg/OPSF)，使用分散式方式(例如本地OpenID)，識別碼聯合可以變得更為明顯。這可能是由於在這種系統中做出的本地判定可以與一個特定域共享強秘密。例如，如果在源域中使用已註冊識別碼的用戶想要從屬於另一個域的RP(而不是強鏈結到本地判定提供方的RP)接收服務，則源域的憑證可能不會自動用於向該目標域RP進行關於該用戶的識別碼判定。在這種情況中，自動識別碼聯合可以變為期望的特徵。如這裏所述，這種分散式本地域特定OP功能可以被描述為域間識別碼聯合的目標。

在本地OP聯合中，OpenID識別碼可以被登記在目標域中及/或OpenID識別碼可以用於認證。OpenID識別碼的登記可以使用源識別碼域(域^S)中的OPSF/OP_agg元件與目標識別碼域(域^T)中的OPSF/OP_agg元件之間的預先存在的信任關係，使得向目標識別碼域的用戶識別可以成功。登記階段可以包括在目標識別碼域內伺服器與本地OP之間的認證秘密的協商。認證秘密的協商可以獨立於源識別碼域，這可以用於域分隔。在目標識別碼域中共享的秘密可以不為源識別碼域中的實體所知或是容易複製的。這可以排除在目標識別碼域中藉由OPSF與本地OP之間的共同方法進行簡單密鑰衍生。如果該派生及/或根秘密被源域的OPSF所知，則源域的OPSF可以在目標域中複製該根秘密及/或假扮本地OP、及/或用戶。源域的OPSF甚至能夠假扮目標域OPSF。因此，目標域的OPSF和本地OP在登記階段可以運作用於認證的合適的密鑰協定(例如，合適的AKA)。

可以執行OpenID識別碼以用於使用OpenID的認證。例如，OpenID識別符的本地管理(例如，針對每個識別碼域中的對應RP使用正確的OpenID識別符)似乎是不可避免的，這是由於在發現階段中OpenID識別碼URL的核心作用。但是，在一些域中，網際網路路由可能受到約束或影響，例如在域中的用戶端經由特定閘道組進行連接的時候。這些閘道可以用於重寫例如這裏所述的OpenID識別符。

經由使用各種選擇可以發起源識別碼域中的實體與目標識別碼域中的聯合的OP之間的認證程序。例如，OpenID用戶端(例如使用合適外掛模組的瀏覽器)或OpenID用戶端內的另一實體可以被使用，其知道每個信任域中識別碼(例如URL)到RP的映射。這可能導致安全性隱憂，因為其可能打開了經由操作映射表攻擊的襲擊(inroad)。根據另一選擇，當用戶瀏覽到目標識別碼域的登錄頁面時，其可以選擇正確的OpenID識別符及/或將該OpenID識別符提供給用戶以用於經由例如一些自動完成的形式來利用使用RP的認證。還可以使用例如資料刮擦(data scraping)的技術。這些自動完成和刮擦技術也可能導致安全性隱憂，因為它們可能打開了網路釣魚(phishing)攻擊的襲擊。用於認證的另一種選擇可以是將發現實體OP_agg定位在用戶端。例如，發現實體OP_agg可以與本地SCWS相關聯。由於OP_agg可能具有公共IP位址，這種選擇可能不能被實施用於大範圍部署。本地OP_agg可以管理用於用戶可以被登記到的各種OpenID信任域的OpenID識別符到RP的映射。還可以使用集中式選擇，其可以類似於背景技術中使用PKI的ID聯合。該選擇可以具有成拱形(overarching)OP_agg實體，其可以服務多個信任域並可以調整(leverage)典型ID聯合的集中的基礎架構的部署。在此選擇中，域間合作可能是很難的，因為其可能不清楚誰在控制聯合OP_agg。這可能導致隱私的隱患，因為中心OP_agg可能得知所有域間的用戶的所有認證。

這裏還描述了本地OP的聯合與SSO群組的建立之間的關係及/或對認證和存取的基於群組的控制。在OpenID認證中，屬於OpenID提供方的域^X的OpenID識別碼OID_X可以在OpenID發現階段被映射到對應OpenID提供方的位址。在本地OpenID中，這可以是OPSF_X的位址。在OpenID中，OPSF_X在多個可信賴方(RP)之間是不會區別對待的。為了建立服務群組，一種實施可以封閉域^X。也就是說，屬於域^X的RP列表{RP_X}或服務群組^X可以被定義且可以能夠藉由簡單的策略決定和增強程序來增強OPSF_X的功能。也就是說，OPSF_X可以拒絕來自不在{RP_X}中的RP_Y的認證請求。這可以將來自封閉用戶群組的本地OpenID轉向封閉用戶及/或服務群組認證方案。這裏描述的實體(例如，OP_agg發現實體及/或OPSF)可以具有用於促進域間聯合的功能。

當用戶經由本地OpenID認證已經存取的多於一個服務群組存在時，可以執行RP到OPSF的上述映射的擴展。上述服務群組的概括可以是例如等式1所示的映射{(OID，RP)}→{OPSF} 等式1其將OpenID識別符(OID)和RP映射到能夠認證RP所屬的域/群組的用戶的一個或多個OPSF。本地OpenID程序中用於實施此映射的一個位置可以是發現階段。例如，實體OP_agg或一組OP_agg之上的元實體(meta-entity)可以儲存此關聯表。由於在OpenID中使用了全局識別符(例如全局URI作為識別符)，因此關聯表可以是全局的。可以用不同方式來組織映射。例如，可以用支援服務分組而不是特定群組的用戶訂閱的方式來將任一(OID_*，RP_X)映射到OPSF_X。如這裏所述，該用戶訂閱可以由OPSF_X來執行。

聯合是支援想要在例如源域中的各自服務群組^S與例如目標域中的服務群組^T之間漫遊的用戶的一種過程。用戶能夠使用來自源域^S的用戶OpenID識別符來獲得對目標域^T的服務的存取。在以上引入的記法中，這可以表示關聯OID_SX{RP_T}→OPSF_T 等式2可以被建立，以用於來自域的用戶，在該域中用戶具有OpenID識別符OID_S，用戶可能想要在面向屬於域^T/群組^T的服務的域^T中透明地使用該OpenID識別符OID_S。除了建立用於發現程序的所述關聯，該程序還可以建立屬於具有OID_S的用戶或UE的OP_loc與OPSF_T之間的共享秘密及/或簽名。

產生此關聯及/或建立的該過程被稱為登記並在下文進行進一步的描述。

登記的一種實施可以包括在域^S與域^T之間建立閘道管理者服務。此服務可以是域^S的特別RP，其作用可以是為OID_S建立服務關聯、及/或促進共享秘密及/或簽名的建立。例如在OpenID認證中，閘道管理者服務可以建立服務關聯及/或在其已接收到在域^S中的認證證明之後促進共享秘密及/或簽名的建立。閘道管理者服務還可以對管理聯合的策略進行評估。登記程序可以被制定成透明的。例如，登記程序可以在用戶首次嘗試登錄到域^T的服務時無縫進行。

如這裏所述可以執行閘道(GW)的域中的登記和認證。GW可以是目標域的實體，其於此可以被標示為例如域^T及/或域^G。GW可以是例如具有最大分隔架構的目標域中的實體。將OpenID登記到目標域^G中的目標GW的此過程稱為ENR_G。在這裏所述的協定中實體GW、OPSF_G和OP_agg,G可以保持分開。根據另一個實施方式，在基於閘道的本地OP聯合中，這些實體的功能可以共同位於單一實體上，例如在GW上，這可以減少訊務量。

第3圖是示出經由GW 354的目標域登記的示例實施方式的流程圖。第3圖所示的協定可以用於在GW 354的域^G中登記OP_loc 352。GW 354可以保存附屬可信賴方的資料庫(例如，在域^G中，SDB_G=RP_G，其中域^G是指裝置可以經由GW 354到達的目標域)。GW 354可以維護包括域^G中的OpenID識別符至源識別碼域^S中的OpenID識別符的多對一映射的資料庫。附屬RP的資料庫和OpenID識別符的資料庫可以是相同或不同的資料庫。

在GW 354的操作中，GW 354能夠在登記程序中偵聽及/或攔截(intercept)BA 350與RP_G 356之間的通信。BA 350可以是瀏覽代理或位於由用戶348操作的裝置上的具有網路通信能力的其他應用。藉由例如在BA 350上使用例如資料刮擦之類的技術，GW 354可以偵聽及/或攔截BA 350與RP_G 356之間的通信。被刮擦的資訊可以從BA 350所在的裝置被傳送到 GW 354。這可以使得GW 354能夠辨識新用戶裝置是否希望存取附屬服務及/或觸發此裝置的OP_loc 352到域^G的登記。第3圖的協定流示出了這些所描述的程序，例如在登記協定程序ENR_G之前。

如第3圖的協定流所示，在302，用戶348可以瀏覽到RP_G 356的登錄頁面。例如，用戶348可以使用BA 350來經由GW 354與RP_G 356通信。在304，用戶348可以藉由將源域^S(OID_S)的OpenID識別符提交給GW 354來登錄。GW 354可以在306檢查與RP_G 356相關聯的識別符的資料庫SDB_G來瞭解SDB_G是否包括從用戶348接收到的OID_S。如果SDB_G包括OID_S，則可以使用OID_S為目標域^G中的服務對用戶348進行認證。但是，如果SDB_G沒有包括OID_S，則OID_S可以被登記在目標域^G中。例如，可以使用ENR_G將OID_S登記在域^G中(第3圖的步驟310-346，或其組合)。

在執行ENR_G中，用戶348可以例如經由BA 350被重新定向到GW 354的登記頁面(在310)。在312，GW 354可以例如經由BA 350從用戶348獲得對加入域^G的意圖的確認。在314，GW 354可以使用OID_S從OP_agg,S 362獲得源域^S的OPSF_S 364的位址。可以例如使用HTTP簡單發現來獲得OPSF_S 364的位址。在316，GW 354可以執行與OPSF_S 364的關聯，其中OPSF_S 364可以產生關聯控制碼A和簽名密鑰S。關聯控制碼A可以是OPSF_S產生的亂數(nonce)或其他亂數。簽名密鑰S可以是OPSF_G用來產生判定簽名的簽名密鑰、且可以從關聯控制碼A中導出。關聯控制碼A可以被傳遞到這裏所述的OP_loc 352，在OP_loc 352中關聯控制碼A可以再次被用於導出簽名密鑰S，簽名密鑰S還可以用於在OP_loc 352創建判定簽名。RP_G 356及/或OPSF_S 364可以驗證判定簽名，因為它們都知道簽名密鑰S。簽名密鑰S可以被用於在GW 354驗證判定。S可以是使用例如密鑰導出函數從關聯控制碼A和密鑰K_S導出的簽名密鑰。K_S可以是在源域^S中的OPSF_S 364與OP_loc 352之間共享的預定根密鑰。K_S可以是可以用於創建OPSF_S 364與OP_loc 352之間的信任關係的預先建立的密鑰。

在316，關聯控制碼A和簽名密鑰S可以被發送到GW 354。在318，使用A和S，GW 350可以產生密鑰導出參數d_G及/或OpenID識別符OID_G。密鑰導出參數d_G可以用於建立GW 354與OP_loc 352之間的秘密。根據示例實施方式，d_G可以是亂數(例如基於時間及/或日期的亂數)，獨立網路實體難以或不可能確定該亂數，但是該亂數在GW 354與OP_loc 352之間共享。OID_G可以是域^G的OpenID識別符，其可以用於在RP_G 356處存取服務。OID_G可以與從用戶348及/或用戶348的裝置初始接收的OID_S相關聯。

在320，GW 354可以將BA 350重新定向到OPSF_S 364，以發起及/或確定在源域^S處的用戶認證。重新定向訊息可以包括會話ID、返回URL、亂數、OID_G、關聯控制碼A以及密鑰導出參數d_G、或這些的任意組合。例如在OpenID擴展中可以發送這些參數。在322，BA 350可以執行OPSF_S 364的修改後的DNS查找以確定用於執行本地用戶認證的OP_loc 352。BA 350可以發送認證請求到OP_loc 352(在324)。在324的認證請求可以包括OID_G、關聯控制碼A、密鑰導出參數d_G及/或在來自GW 354的重新定向訊息中接收的一個或多個其他參數。在326，OP_loc 352可以執行使用用戶348的本地用戶認證(例如，藉由獲得可以經本地驗證的用戶憑證)。OP_loc 352可以在328簽名判定(例如OpenID判定)，其包括密鑰導出參數d_G和使用簽名密鑰S的OID_G，其中S在OP_loc 352作為A和K_S的函數被導出(與在OPSF_S 364處的方式類似)。在330，OP_loc 352從密鑰導出參數d_G和簽名密鑰S導出域^G的秘密密鑰K_G。秘密密鑰K_G可以是在OP_loc 352和GW 354處建立的密鑰，其在OPSF_G 360與GW 354之間被共享。在330，OP_loc 352可以儲存K_G和OID_G供後續使用。

在332，OP_loc 352可以發送經簽名的判定到BA 350。在334，BA 350可以將該經簽名的判定轉發到GW 354。在336，GW 354可以使用其從OPSF_S 364接收到的簽名密鑰S來驗證該經簽名的判定。在338，GW 354可以從密鑰導出參數d_G和簽名密鑰S導出目標域^G的共享密鑰K_G。共享密鑰K_G可以在GW 354與OP_loc 352之間被共享。GW 354可以在338儲存共享密鑰 K_G供之後使用。如果GW 354確定用戶348已經被正確認證(例如藉由在336驗證認證判定)，則GW 354還可以在340儲存OID_S到OID_G的關聯。在342，GW 354可以發送OID_G到OP_agg,G 358，並在344，發送OID_G及/或K_G到OPSF_G 360。在346，用戶348及/或用戶348的裝置可以被重新定向到RP_G 356的登錄頁面。

在登記程序中，共享秘密K_G可以被建立以在域^G中簽名後續判定(例如OpenID判定)。此秘密K_G可以用安全的方式從密鑰導出參數d_G導出。這可以避免必須在域^G與OP_loc 352之間建立端對端安全頻道。於此進一步描述安全性實施選擇的詳情。

如第3圖所示，在域^G中的登記(ENR_G)的步驟中，GW 354可以作為可信賴方(RP)來操作，運作使用OP_loc 352的本地OpenID協定以用於認證。後者的協定可以經由產生域特定識別符OID_G、域特定密鑰K_G及/或此資料到相關實體的分配而得到增強。在該域登記協定中，登記可以在用戶348首次請求登錄到閘道域^G的RP_G 356附屬服務時發生。在成功登記後，用戶的瀏覽器BA 350可以被顯式重新定向到該服務的登錄頁面(例如藉由RP_G 356)。組合的登記及/或登錄到RP_G 356的用戶體驗可以被無縫執行(例如藉由使用例如Web 2.0或類似技術)。可以小心進行以在安全性上不妥協。例如，可以阻止用戶登錄到期望可信賴方以外的另一個可信賴方。在ENR_G後執行無縫登錄到RP_G 356的一個示例實施方式可以是用於GW 354將初始登錄訊息從BA 350重放到RP_G 356並運作OpenID認證協定AUTH_G，例如第4圖所示的AUTH_G，假扮OP_loc 352。

根據使用GW 354的登記的另一個實施方式，GW秘密K_G可以從GW 354被直接傳送到OP_loc 352。在此實施方式中，在OpenID運作及/或共享長期秘密K_G的分配之前可以建立安全頻道(例如，在GW 354與BA 350之間，以及，及物地，或端對端地至OP_loc 352)。例如，在機密性及/或完整性上可以保護此頻道，同時長期秘密K_G可以從GW 354傳送到BA 350，再從BA 350傳送到OP_loc 352。對於秘密的裝置本地傳送(例如，從BA 350到OP_loc 352)的保護來說，可以使用安全的裝置本地頻道協定。安全的裝置本地頻道協定的一個示例實施方式在第三代合作夥伴計畫(3GPP)規範的技術規範(TS)號碼33.110中示出。

向GW 354的OpenID認證可以在密鑰K_G經由BA 350被發送到OP_loc 352之後發生。在此認證完成之前(例如，在GW 354成功驗證經簽名的判定之後)，GW 354可能不接受K_G作為用於此OP_loc 352的認證密鑰。也就是說，如果在ENR_G中OpenID認證失敗，則GW 354可以丟棄K_G及/或不將此密鑰傳遞給OPSF_G 360。如果此條件滿足，則GW 354與BA 350之間的頻道可以不需要(一側，由BA 350)認證，這是因為此認證可以被包括在協定本身中及/或必然用於密鑰K_G傳遞。根據另一個示例實施方式，OP_loc 352而不是GW 354可以產生秘密K_G。一旦在OP_loc 352處被產生，秘密K_G可以被傳送到GW 354(例如經由GW 354與OP_loc 352之間的安全頻道)。這可以減少GW 354上的加密負擔。

根據一實施方式，在GW 354與BA 350之間的安全頻道的建立期間創建的共享秘密可以被使用。此頻道的加密密鑰可以被直接採用、或可以藉由例如另一密鑰導出程序而被採用。如果在安全頻道的建立期間創建了該共享密鑰，則互相認證可以是安全頻道建立的一部分。否則，ENR_G中的OpenID認證可以不是用於安全頻道端點及/或產生的K_G可能被洩露給中間人攻擊方。在ENR_G中可以運作獨立的密鑰導出通信協定，例如Diffie-Hellman協定。該協定經由加密的方式用於ENR_G(例如如第3圖所示)。

GW 354可以向BA 350進行認證。此認證可以進行為用戶348可見(例如藉由擴展確認(validation)網頁證書)，以供用戶348知道用戶348可以登記到的哪個OpenID域。OP_loc 352進行的用戶348本地認證程序可以顯示關於用戶348登記的資訊。OP_loc 352可以基於在來自BA 350的認證請求中接收的訊息中出現相應資訊(例如K_G)來決定顯示該資訊。如果OP_loc 352向用戶348示出其將藉由執行認證登記到GW 354的域^G，則用戶348能夠在用戶348經由BA 346確認該登記時將此資訊與之前顯示給用戶348的資訊進行比較及/或匹配(在312)。這可以有效減少用戶登記程序中的攻擊(例如，由在用戶348的機器處本地安裝的惡意程式造成的，該惡意程式可以模仿有效登記瀏覽器視窗)。對於用戶介面安全性來說，安全用戶介面、生物特徵量測用戶認證及/或用於用戶348的UI端點的可信任識別的安全圖像等的使用可以被使用。

如果兩個網域控制器是可信任的，則可以保持源域^S和目標域^G之間的域分隔。例如，密鑰K_G雖然藉由獨立的密鑰導出而被導出的，但是其在一些情形中對於域之間的衝突來說不是安全的。例如，如果目標域^G的GW 354與源域^S的OPSF_S 364不是可信任的，則它們可以潛在共享認證資訊。另一種安全性實施可以使得域特定的OpenID識別符OID_G不為用戶348所知。OP_loc 352可以保持OID_G以用於目標域^G中的認證AUTH_G中。

如果登記失敗，則GW 354、OPSF_G 360及/或OP_agg,G 358之間的內部通信可以被執行，以使它們各自的資料庫保持一致。OP_loc 352可以完成登記及/或儲存域特定密鑰K_G及/或OID_G，但是由GW 354到OPSF_G 360及/或OP_agg,G 358的該訊息的登記可能已失敗。在這種情況中，向RP_G 356認證的嘗試可以觸發另一個ENR_G運作，因為GW 354可以認為此用戶是沒有登記的。這可以使得OP_loc 352儲存用於一個GW域^G的多個憑證。可以實施不同的實施方式來阻止在OP_loc 352上為單一GW域^G儲存多個憑證。在一個示例中，OP_loc 352能夠在由唯一的GW域識別符所分類的資料庫中儲存憑證。

第4圖是示出了基於閘道的本地OpenID認證AUTH_G的流程圖。可以在目標域^G中執行認證AUTH_G並經由GW 452提供該認證AUTH_G。根據一個示例實施方式，可以在登記階段ENR_G之後執行AUTH_G。OPSF_G 458與OP_loc 450之間的共享長期秘密K_G可以用於在AUTH_G期間執行認證。在登記階段ENR_G中，在這些實體之間可以贊成存在OPSF_G 458與OP_loc 450之間的共享長期秘密K_G。

如第4圖中所示，AUTH_G可以用於登錄到GW 452的域^G中的信賴方RP_G 454。與第3圖所示的登記程序ENR_G類似，GW 452可以偵聽至附屬服務的OpenID登錄請求及/或在用戶446的已登記識別碼(不是來自源域^S的用戶446的初始識別碼)存在的情況下決定使用該已登記的識別碼。如第4圖所示，用戶446可以瀏覽到RP_G 454的登錄頁面(在402)。例如，用戶446可以使用BA 448來經由GW 452與RP_G 454通信。在404，用戶446可以藉由提交用於域^S的OpenID識別符(OID_S，其可以由GW 452截取)來進行登錄。GW 452可以從其資料庫SDB_G中檢查與RP_G 454相關聯的識別符(在406)以瞭解SDB_G是否包括從用戶446接收的OID_S。在408，GW 452可以確定OID_S是否已經被登記。如果OID_S沒有被登記在SDB_G中，則可以使用例如這裏所述的ENR_G來登記該OID_S。如果OID_S被登記及/或被包含在SDB_G中，則可以使用這裏所述的OID_S在AUTH_G中對用戶446進行認證(例如，第4圖中的步驟410-444或其組合)。

在執行AUTH_G中，GW 452可以用於將OID_S改寫為OID_G(在410)。例如，GW 452可以例如經由其儲存的資料庫來確定對應於OID_S的OID_G。GW 452可以將登錄OID_G轉發到RP_G 454(在412)。在414，RP_G 454可以使用OID_G從OP_agg,G 456獲得OPSF_G 458的位址。例如可以經由HTTP簡單發現來獲得OPSF_G 458位址。RP_G 454和OPSF_G 458可以執行關聯(在416)。在關聯期間中，OPSF_G 458可以產生關聯控制碼A和簽名密鑰S。可以使用密鑰導出函數從關聯控制碼A和共享密鑰K_G中導出簽名密鑰S。共享密鑰K_G可以在OPSF_G 458與OP_loc 450之間被共享並可以在域^G中的OID_S登記期間已被建立。關聯控制碼A和簽名密鑰S可以被發送到RP_G 454(在416)。RP_G 454可以發送重新定向訊息給GW 452(在418)。重新定向訊息可以包括到OPSF_G 458的重新定向及/或參數，例如會話ID、返回URL、亂數、OID_G及/或關聯控制碼A。關聯控制碼A可以用作用於關聯的識別符，其可以使得RP_G 454和OPSF_G 458唯一地識別OpenID登錄程序。關聯控制碼A還可以使得RP_G 454和OPSF_G 458在OpenID協定的關聯和發現階段將認證流映射到關聯簽名密鑰S。亂數可以是隨機符串值，其由RP_G 454產生用於此認證運作以將該認證運作與其他可以並行發生的認證運作區分開。亂數還可以提供重放保護。重新定向訊息中包含的OID_G可以用作用於使用RP_G 454進行認證的參數的指示。RP_G 454可以保持OID_G和簽名密鑰S以直接驗證從OP_loc 450接收的已簽名判定。

在420，GW 452可以在重新定向訊息中將OPSF_G 458的位址改寫為OPSF_S的位址。在422，GW 452可以將該重新定向訊息轉發到BA 448。在422，OID_G可以被保持為被轉發到BA 448的重新定向訊息中的參數。在424，BA 448可以執行OPSF_S至OP_loc 450的修改後的DNS查找。在426，BA448可以發送認證請求給OP_loc 450。認證請求可以包括OID_G參數，其可以使得OP_loc 450能夠決定用於簽名判定的正確的簽名密鑰(例如，從共享密鑰K_G中導出的簽名密鑰)。認證請求還可以包括由BA 448接收的重新定向訊息中的一個或多個其他參數。

在428，可以在用戶446與OP_loc 450之間執行用戶認證。基於在428的有效用戶認證，在430，OP_loc 450可以選擇用於使用RP_G 454的認證的被請求的認證參數。例如，如果被請求的認證參數是OID_G，則在432，OP_loc 450可以選擇K_G作為判定密鑰K_asc，以用於執行向RP_G 454的認證。但是，如果被請求的參數是OID_S，則在432，OP_loc 450可以選擇K_S作為判定密鑰K_asc。由於在418已經為使用RP_G 454的認證請求OID_G作為重新定向訊息中的參數，因此OP_loc 450可以選擇K_G作為第4圖中的判定密鑰K_asc。K_G可以是在OPSF_G 458處儲存的共享密鑰。在436，OP_loc 450可以使用簽名密鑰S對認證判定(例如OpenID判定)進行簽名，該簽名密鑰S可以從關聯控制碼A和關聯密鑰K_asc中導出。在438，已簽名的判定可以從OP_loc 450被發送到BA 448。在440，BA 448可以經由GW 452發送已簽名的判定到RP_G 454。在442， RP_G 454可以使用簽名密鑰S來驗證該判定(例如OpenID判定)。在444，RP_G 454可以(例如經由GW 452及/或BA 448)向用戶446指示用戶已經登錄到RP_G 454並可以存取服務。

如第4圖所示，為了使得向RP_G 454的認證對於BA 448及/或用戶446來說是透明的，GW 452可以在OpenID協定訊息中替換某些資料，例如用OID_G來替換OID_S及/或用OPSF_S的位址來替換OPSF_G 458的位址。經由這種方式，RP_G 454及/或BA 448能夠例如運作未經修改的本地OpenID認證協定。

使用這裏所述的實施方式，可以保持域分隔。例如，在RP_G 454與源域_S的實體中的一個(例如OPSF_S)之間可以沒有聯繫。協定可以依賴GW 452能夠截取、讀取及/或修改BA 448與RP_G 454之間的訊息。例如，GW 452可以善意地用於AUTH_G或故意作為用於AUTH_G的善意中間人。如果RP_G 454和BA 448初始經由加密的頻道(例如HTTPS)進行通信，則可以採取特殊措施。一種可能性可以是共享GW 452與RP_G 454之間的對應加密密鑰。如果RP_G 454發現GW 452在至BA 448的例如用於登錄頁面的GET(獲取)訊息的路由上，則RP_G 454可以使用該加密密鑰。以這種方式，BA 448可能正使用GW 452可以竊聽的加密連接經由GW 452請求RP_G 454的登錄頁面。如果在認證之後希望RP_G 454和BA 448可以私密通信，而不需要GW 452能夠在通信上竊聽，則RP_G 454和BA 448可以在成功AUTH_G運作後使用不同密鑰建立安全頻道。在一個示例中，為了將之前成功的AUTH_G運作綁定到這之後安全頻道的建立，BA 448的公共密鑰可以被包含在AUTH_G的已簽名判定訊息中。RP_G 454可以使用此公共密鑰來對其自己的公共密鑰、或者會話加密密鑰進行加密。該公共密鑰可以使用可由BA 448獨立驗證的數位簽名來簽名，並可以被發送到BA 448。然後，RP_G 454和BA 448可以佔有加密密鑰，然後可以相互被保證另一方的識別碼。使用這些加密密鑰，RP_G 454和BA 448可以建立GW 452不能竊聽的安全頻道。

由於GW 452可以修改及/或改寫BA 448與RP_G 454之間的至少一部分訊息，因此這些訊息可以不被任何一方認證，這使得GW 452能夠執行惡意攻擊。例如，GW 452能夠將用戶登錄到不是用戶所期望的另一個可信賴方(例如藉由改寫RP位址)。一種用於防止GW 452執行這種惡意通信的措施可以是在執行AUTH_G之前將GW 452向BA 448及/或用戶裝置進行認證。這種認證可以假定可信任閘道不會執行這種惡意攻擊。GW 452還可以得到充分保護不受惡意程式侵害以避免這種攻擊。如這裏所述，如果BA 448與RP_G 454之間的安全頻道在AUTH_G之後被建立，則BA 448可以被保證其會被登錄到正確的可信賴方。建立此安全頻道失敗可以被理解為攻擊的指示。減輕所述威脅的另一種方式可以是對BA 448與RP_G 454之間的相關訊息進行數位簽名。可以簽名該訊息(例如使用XML簽名)以將GW修改的資料排除在外。

在具有本地OpenID的群組SSO中，可以從哪個得到針對OpenID識別符及/或可信賴方的認證來確定OPSF域。可以執行這個的一種方式可以是經由OP_agg實體。OP_agg可以在識別碼管理中獲取老大哥的角色。OP_agg可以用作中心實體，其知道及/或能夠鏈結在一個或多個域中一個或多個基於OpenID的用戶存取。OP_agg還可以直接瞭解用戶與各種OpenID提供方之間的信任及/或業務關係。這可能是由於例如使用了OpenID協定。這裏所述的實施方式可以使用OP_agg的功能來實施OpenID的發現程序。OP_agg及/或OPSF功能可以被包含在UE內側的本地OpenID實體中。裝置上的本地實體(例如在智慧卡內、信任環境(TrE)內及/或SEE內)能夠存取用於通信的公共網際網路或其他類似網路。

第5圖和第6圖分別示出了認證流和登記流的另一個示例實施方式。第5圖是示出基於OP_agg的本地OpenID認證的流程圖。如第5圖所示，可以在目標域^T中使用源域^S的識別符OID_S來執行用戶534及/或用戶534的裝置到可信賴方RP_T 540的認證。在502，用戶534可以瀏覽到目標域^T的 RP_T 540的登錄頁面。用戶534可以例如經由BA 536瀏覽到該登錄頁面。在504，用戶534可以例如經由BA 536將源域^S的登錄OID_S提交至RP_T 540。在506，RP_T 540可以從OP_agg 542請求OPSF_T 544的位址。可以針對(OID_S，RP_T 540)請求OPSF_T 544的位址。在508，OP_agg 542可以確定OPSF_T位址。在登記後，可以例如在OP_agg 542建立OID_S到目標域^T中可信賴方RP_T 540的映射。OP_agg 542可以是充當中心發現點的通用OP_agg。OP_agg 542可以在510將OPSF_T 544的位址發送給RP_T 540。在512，RP_T 540和OPSF_T 544可以執行關聯。在512的關聯期間，OPSF_T 544可以產生關聯控制碼A和簽名密鑰S，其中使用密鑰導出函數從關聯控制碼A和共享密鑰K_T中導出S。共享密鑰K_T可以是在OPSF_T 544與OP_loc 538之間共享的根密鑰，用於使用OP_loc 538進行用戶534的認證。因此，共享密鑰K_T可以是源域^S與目標域^T之間的共享秘密。在512，OPSF_T 544可以發送關聯控制碼A和簽名密鑰S給RP_T 540。

在514，RP_T 540可以發送重新定向訊息給BA 536。該重新定向訊息可以包括具有參數的到OPSF_T 544的重新定向，該參數例如是會話ID、返回URL、亂數、OID_S及/或關聯控制碼。在516，BA 536可以執行OPSF_T 544位址的DNS查找，其可以基於OPSF_T 544位址至OP_loc 538位址的本地映射來返回OP_loc 538位址。在518，BA 536可以發送認證請求給OP_loc 538。認證請求可以包括標記^T。標記^T可以允許OP_loc 538能夠確定其應該向哪個域進行認證。例如標記^T可以指示應該使用哪個域密鑰K_S或K_T及/或用戶534的裝置在什麼域中。此標記^T可以是HTTP GET訊息中的伺服器位址，該HTTP GET訊息從BA 536被提交給OPSF_T 544及/或經由修改的DNS查找被重新定向到OP_loc 538。例如該標記^T可以可以是OPSF_T 544的位址。在520，用戶534可以向OP_loc 538進行認證(例如藉由提交認證憑證)。OP_loc 538可以包括與OPSF_T 544共享的共享秘密K_T。在522，OP_loc 538可以從標記^T來確定OPSF_T 544及/或將判定密鑰K_asc選為K_T。The OP_loc 538可以使用簽名S對判定訊息(例如OpenID判定訊息)進行簽名，該簽名S可以從關聯控制碼A和判定密鑰K_asc (其等於K_T)的函數導出。在526，可以將已簽名的判定訊息發送到BA 536。在528，BA 536可以將該已簽名的判定訊息轉發到RP_T 540。在530，RP_T 540可以使用簽名密鑰S來驗證該判定訊息。在532，RP_T 540可以(例如經由BA 536)向用戶534指示用戶登錄到RP_T 540並可以存取服務。

如第5圖所示，OP_agg 542可以基於從BA 536接收到的資訊(例如OID_S及/或RP_T 540)來確定OPSF_T 544。在514的至BA 536的重新定向訊息可以包括例如與OPSF_S位址相對的OPSF_T 544位址(例如URL)，其中OID_S可以已被初始登記到該OPSF_S位址。OPSF_T 544可以被映射到例如在516的修改的DNS查找中的OP_loc 538。OP_loc 538可以確定針對目標域^T的正確密鑰K_T，以用於基於在518的認證請求中所接收到的標記^T的認證。標記^T的格式可以是例如用於OPSF_T 544的URI。

根據不同的實施方式，OP_loc 538可以是完全、完整功能的本地OP、或傳統的基於網路的源域OP。當OP_loc 538是OpenID協定的本地判定提供方(LAP)(其中可以分佈多個OP)時，可以使用第5圖所示的協定流或其一部分。當OP_loc 538是完全、完整功能的本地OP或傳統的基於網路的源域OP(例如源域OP_s)時，可以使用第5圖所示的協定流。

KT的共享可以在認證及/或登記之前發生。例如，對於分散式情況，密鑰K可以在源域OPSF_S與目標域OPSF_T之間被共享。在這之後的可以是在LAP(例如OP_loc)與源域OPSF_S之間的第二域內K_T共享。這種實施可以解決源域和目標域是附屬域的情況。在這種情況中，允許特定源域和目標域OPSFs對的區別對待(藉由例如允許該首選域對之間的共享密鑰建立)可以給操作方以所提出的基於群組的SSO操作方式，從而向不同的客戶組提供差別化服務。在另一種實施中，K_T不可以在LAP與源域OPSF_S之間共享。可以在LAP與源域OPSF_S之間使用單獨的共享密鑰，例如K_T’。例如，LAP可以使用K_T向源OPSF_S進行認證，源OPSF_S可以使用K_T向目標域OPSF_T認證用戶。

登記的顯式(explicit)形式可以用於向目標域^T登記。第6圖示出了該顯式登記的一個示例實施方式。第6圖是示出了基於OP_agg的本地OpenID顯式登記協定的流程圖。如第6圖所示，源域^S的OID_S到目標域^T的登記可以用其顯式形式被執行。例如，用戶660可以瀏覽到用於執行登記的特定登記頁面。登記可以用於將用戶660向目標域^T中的實體進行認證，該實體能夠分配資料到OP_loc 664及/或OP_agg 668(例如用作中心發現點的通用OP_agg)使得如這裏所述可以滿足目標域^T中的OpenID認證的條件。

為了能夠向目標域^T登記，用戶660可以瀏覽到目標域^T中的RP。用戶660及/或用戶660的裝置可以從源域^S的OpenID提供方(OP)請求向此登記實體的源域^S中的OpenID認證。根據第6圖所示的示例實施方式，登記實體的作用可以由目標域^T的OPSF_T 666來實施。OPSF_T 666可以在用於OID_S及/或OP_loc 664的認證的第一個OpenID運作中做出與源域^S的可信賴方類似的行為。OPSF_T 666及/或OP_loc 664可以執行密鑰導出和資訊分配程序，這可以導致登記。OPSF_T 666與OP_loc 664之間的仲介可以包括OPSF_S 670且到服務群組的關聯可以由OP_agg 668來執行。

如第6圖所示，在602，用戶660可以例如經由BA 662瀏覽到OPSF_T 666登記頁面。用戶660可以提交登錄資訊至OPSF_T 666以用於存取目標域^T中的服務。登錄資訊可以包括OpenID識別碼OID_S，其用於登錄到源域^S中的服務。在604，OPSF_T 666可以從OP_agg 668請求對應於OID_S和OPSF_T的OPSF位址。OP_agg 668在606可以運作程序R並在608可以將OPSF_S 670的位址返回到OPSF_T 666。程序R是在登記準備中運作的程序。在一個示例實施方式中，程序R可以是在登記準備中運作的資料庫功能，並可以使得OP_agg 668能夠執行對應於所述對(OID_S，OPSF_T 666)的OPSF位址的資料庫查找。在運作程序R中：1)可以確定該對(OID_S，OPSF_T 666)是未知服務關聯，這意味著OID_S可以不被登記在域^T中；2)可以從OID_S分開確定OPSF_S 670；及/或3)可以在OPSF_S 670和可以允許登記的OPSF_T 666之間決定信任關係 (例如，此信任關係可以由相應策略的查找執行)。如果上述三種條件的所有或組合被滿足，則OP_agg 668可以發送OPSF_S 670的位址給OPSF_T 666以用於域^T中的OID_S登記。否則，例如至少不滿足一個或多個附件條件的情況下，OP_agg 668可以發送錯誤資訊給OPSF_T 666，且OID_S不能夠被登記在域^T中。

在610，如果OPSF_T 666獲得OPSF_S 670的位址(例如合適的條件被滿足用於能夠在域^T中登記OID_S)，則OPSF_T 666可以執行與OPSF_S 670的關聯。在610，OPSF_S 670可以產生關聯控制碼A及/或簽名密鑰S。簽名密鑰S可以從A和共享秘密K_S的函數中導出，該共享秘密K_S是在OP_loc 664與OPSF_S 670之間預先建立的共享秘密。在610，OPSF_S 670可以發送A和S到OPSF_T 666。在612，OPSF_T 666可以發送重新定向訊息到BA 662。重新定向訊息可以包括到OPSF_S的重新定向及/或參數，例如會話ID、返回URL、亂數、OID_S及/或關聯控制碼A。

BA 662可以執行對OPSF_S 670的位址的DNS查找，該OPSF_S 670的位址可以藉由本地修改被映射到OP_loc 664的位址(在614)，以用於使用OP_loc 664執行用戶660認證。在616，BA 662可以發送認證訊息到OP_loc 664。該認證訊息可以包括關聯控制碼A、OID_S及/或例如在來自OPSF_T 666的重新定向訊息中接收的一個或多個其他參數。在618，用戶660可以執行使用OP_loc 664的認證。OP_loc 664可以使用簽名密鑰S來對判定(例如OpenID判定)進行簽名，其中S從關聯控制碼A和判定密鑰K_asc中導出的。K_asc可以等於共享秘密K_S，該K_S被OPSF_S 670共享。由於共享秘密K_S對應於在616的認證訊息中接收的OID_S請求，OP_loc 664可以選擇該共享秘密K_s作為判定密鑰K_asc。在622，OP_loc 664可以發送已簽名判定到BA 662。在624，BA 662可以將該已簽名判定轉發給OPSF_T 666。

在626，OPSF_T 666可以使用從OPSF_S 670接收到的判定簽名密鑰S來驗證該判定。在628，OPSF_T 666可以產生密鑰導出參數d_T。密鑰導出參數d_T可以是在目標域^T中產生的亂數並可以用作OP_loc 664與OPSF_T 666之間的秘密密鑰控制參數。在630，OPSF_T 666可以發送重新定向訊息到BA 662。重新定向訊息可以包括到源域^S的OPSF_S 670的重新定向及/或參數，例如“本地登記”參數、OID_S、OPSF_T識別符(例如，URL)、密鑰導出參數d_T及/或關聯控制碼A。在632，BA 662可以使用OPSF_S 670的位址來執行修改的OP_loc 664的DNS查找。在634，BA 662可以將d_T、A、OID_S及/或在630接收的一個或多個其他參數轉發到OP_loc 664。在636，OP_loc 664可以從密鑰導出參數d_T和簽名密鑰S中導出目標域密鑰K_T。目標域密鑰K_T可以被導出作為OP_loc 664與OPSF_T 666之間的共享密鑰，其可以用於目標域^T中的用戶認證。OP_loc 664可以儲存該導出的目標域密鑰K_T以供之後使用(例如，在認證中)。

OP_loc 664可以將目標域密鑰K_T的值指派給用於在目標域中對判定進行簽名的判定密鑰K_asc。OP_loc知道基於在重新定向訊息中接收的OPSF_T URL和目標域^T的OID_T將K_T的值指派給判定密鑰K_asc。OP_loc 664可以從關聯控制碼A和判定密鑰K_asc導出用於目標域^T的簽名密鑰S’。在638，OP_loc 664可以使用簽名密鑰S’對判定訊息(例如，OpenID判定訊息)進行簽名。在OP_loc 664已經產生用於向OPSF_T 666認證的已簽名判定之後，在640，OP_loc 664可以發送該已簽名判定到BA以用於登記。已簽名判定可以包括登記指示參數(例如，“登記”)，其向BA指示應該修改DNS查找。BA 662可以將此參數理解為用於建立用於目標域^T的OPSF_T 666的修改的DNS查找。這可以使得後續的本地OpenID認證針對源域^S和目標域^T透明地運作。在642，BA 662可以從OP_loc 664的位址安裝OPSF_T 666的經修改地DNS查找。在644，BA 662可以發送該判定訊息到OPSF_T 666。

在646，OPSF_T 666可以從d_T和簽名密鑰S中導出共享目標域密鑰K_T。共享密鑰K_T可以用於創建OP_loc 664與OPSF_T 666之間的信任關係，並可以在源域^S與目標域^T之間共享。OPSF_T 666可以在646從關聯控制碼A和共享密鑰K_T中產生S’。OPSF_T可以使用S’來驗證在644接收的判定。OPSF_T 666可以在648儲存目標域^T的共享密鑰K_T以供之後使用(例如在認證中)。在650，OPSF_T 666可以經由例如BA 662發送對確認用戶660希望將OID_S登記到目標域^T中的請求。在652，用戶660可以經由例如BA 662發送確認及/或OID_S到OPSF_T 666。在654，OPSF_T 666可以從OP_agg 668請求OID_S的登記。OP_agg 668可以將OID_S登記在目標域^T中以使得其用於在目標域^T中認證用戶660。例如，在656，OP_agg 668可以使用登記結束函數F來登記OID_S。登記結束函數F可以是將OID_S與目標域_T中的OPSF_T 666及/或OID_T相關聯的資料庫結束函數。這可以阻止例如偽登記嘗試。在此登記程序之後，用戶660能夠使用其來自源域^S的OpenID識別碼OID_S，以本地OpenID認證到目標域^T中的相關聯可信賴方。在結束登記後，在658，OP_agg 668可以向OPSF_T 666指示該登記。

如第6圖所示，在606的登記準備程序R之後可以是使用作為可信賴方(RP)的OPSF_T 666的本地OpenID運作。根據實施方式，登記程序可以在OPSF_T 666使用簽名秘密S已驗證了判定之後開始。該登記程序可以包括修改的本地OpenID運作，其中添加了密鑰導出程序，該密鑰導出程序可以產生用於OPSF_T 666與OP_loc 664之間的本地OpenID認證的共享密鑰K_T。針對這個，OPSF_T 666可以在628產生密鑰導出參數d_T並可以在630在OpenID重新定向訊息中將該d_T與用於登記的命令一起發送到OP_loc 664。

OPSF_T 666可以獨立地選擇密鑰導出參數d_T。可以執行將共享密鑰K_T綁定到向OPSF_T 666的OP_loc 664的之前認證(例如OpenID認證)。這可以發生使得OPSF_T 666得到被認證用於登記的OP_loc 664將能夠導出正確的共享密鑰K_T的保證。為了建立此特性，K_T的導出可以用獨特的方式取決於d_T和簽名密鑰S。除了例如OPSF_S 670，沒有其他方可以知道簽名密鑰S，因此不能夠確定K_T。由於OPSF_S 670知道簽名密鑰S，因此如果其知道d_T，則其可以導出K_T。為了防止這個，OPSF_T 666和OP_loc 664可以至少在可以在其中傳送d_T的步驟中經由加密頻道進行通信。

OPSF_T 666可以使用接收的已簽名判定的驗證以確定可信的OP_loc 664例如藉由產生共享密鑰K_T已經執行了登記。在這個發生之後，及/或在可選地從用戶660請求最終的登記確認之後(在650)，OPSF_T 666可以觸發使用OP_agg 668的用於OID_S的服務關聯的建立。針對這個，OP_agg 668可以在656運作程序F。在程序F，OP_agg 668可以產生及/或儲存用於域^T中的可信賴方RP_T的OID_S對RP_T的關聯對(OID_S，RP_T)。可以依據例如各種策略來確定該關聯。

根據示例實施方式，這裏所述的源域^S可以是沒有使用本地OpenID而是使用標準OpenID以用於基於網路的認證的OpenID提供方的OpenID域。例如，OpenID提供方(OP)(例如，GOOGLE®、YAHOO®等)可以不執行本地OpenID。當OP沒有執行本地OpenID時，可以執行攝取(ingestion)，這可以與這裏所述的登記和認證程序相似。當執行從該標準OpenID域(例如，正常域^N)到本地OpenID域的識別碼攝取(即，使用標準OpenID的登記及/或認證)時，正常域^N可以在BA域OP_N之間的基於網路的認證協定進行運作。這可以導致產生陳述特定OID_N被認證的判定。但是，此判定可能不能提供OID_N以期望的方式一定用於特定OP_loc的保證。例如，此判定可能不能提供OID_N一定用於依靠相同裝置的實體或傳輸層協定端點，其包括已經執行了OpenID認證的BA。用於能夠實現向OP_N的認證到特定OP_loc的綁定的系統及/或方法可以基於建立認證因素之間的綁定。用於建立此綁定的一種方式可以是在單一安全頻道會話中纏繞該登記協定，提供至少通信夥伴的認證。通信夥伴可以用作例如通信端點，使得兩側可以被保證它們在後續的訊息交換中與一個對等方通信。

第7圖是示出了從OpenID域協定攝入的流程圖。如第7圖所示，在702，用戶758可以經由例如BA 760瀏覽到OPSF_T 764。在704，BA 760和OPSF_T 764可以建立用於通信的安全已認證頻道。在706，用戶758可以經由例如BA 760提交用於正常域^N的登錄識別符OID_N至OPSF_T 764。在708， OPSF_T 764可以從OP_agg 768請求與對(OID_N，OPSF_T 764)相關聯的OPSF位址。在710，OP_agg 768可以將用於非本地OP_N 770的位址(例如URL)發送到OPSF_T 764。在712，OPSF_T 764可以執行與OP_N 770的關聯。OP_N 770可以產生關聯控制碼A和簽名密鑰S，其中簽名密鑰S是藉由使用例如密鑰導出函數從關聯控制碼A和K_N中導出。K_N可以是域^N的導出的密鑰或其可以由正常域^N OP_N 770隨機產生。K_N可以由OP_N 770產生並在OP_N 770與OPSF_T 764之間被共享。在712，OP_N 770可以發送關聯控制碼A和簽名密鑰S至OPSF_T 764。

在714，OPSF_T 764可以發送重新定向訊息至BA 760。重新定向訊息可以包括到正常域^N中的OPSF_N的重新定向及/或附加參數，例如會話ID、返回URL、亂數、OID_N及/或關聯控制碼A。在716，用戶758可以經由例如BA 760向OP_N 770執行認證。例如，用戶758可以向OP_N 770提供認證憑證。在718，OP_N 770可以使用簽名密鑰S對判定訊息(例如，OpenID判定訊息)進行簽名並且在720可以發送已簽名的判定訊息至OPSF_T 764。在722，OPSF_T 764可以使用在712從OP_N 770接收的簽名密鑰S來驗證判定。

在724，OPSF_T 764可以產生用於目標域^T的密鑰導出參數d_T。密鑰導出參數d_T可以是為OPSF_T 764所知的數(例如亂數)、且可以被OP_loc 762共享以用於導出共享密鑰以在OPSF_T 764與OP_loc 762之間建立安全通信。在726，OPSF_T 764可以發送重新定向訊息至BA 760。重新定向訊息可以指示使用OP_loc 762的本地登記的使用。此外，重新定向訊息可以包括OID_N、OPSF_T識別碼(例如URL)、密鑰導出參數d_T及/或關聯控制碼A。在730，BA 760可以安裝來自OPSF_T 764識別符的OP_loc 762的經修改的DNS查找。在732，BA 760可以將接收到的參數轉發到OP_loc 762。在734，用戶758可選地可以執行使用OP_loc 762的本地用戶認證。在736，OP_loc 762可以從d_T和根秘密S_R中導出K_T。OPSF_T 764和OP_loc 762可以共享預先建立的根秘密S_R，其可以允許OPSF_T 764將OP_loc 762認證為真正的本地OP。此認證可以從OPSF_T 764被委派給信任第三方。在736，OP_loc 762可以儲存K_T以供之後使用。OP_loc 762可以從關聯控制碼A和判定密鑰K_asc中產生簽名密鑰S’。可以基於在來自OPSF_T 764的重新定向訊息中接收的OPSF_T識別符給判定密鑰K_asc賦予目標域^T的共享密鑰K_T的值。在738，OP_loc 762可以使用簽名密鑰S’對判定(例如OpenID判定)進行簽名。

在740，OP_loc 762可以發送具有指示登記的參數的已簽名判定訊息至BA 760。在742，BA 760可以將該已簽名判定轉發至OPSF_T 764。在744，OPSF_T 764可以從目標導出密鑰d_T和預先建立的根秘密S_R中導出目標域^T的共享密鑰K_T。OPSF_T 764還可以從關聯控制碼A和共享密鑰K_T中產生簽名密鑰S’。OPSF_T 764可以使用該簽名密鑰S’來驗證接收到的判定。在746，OPSF_T 764可以儲存K_T。在748，OPSF_T 764可以請求對用戶758想要OID_N登記在目標域^T中的確認。在750，用戶758可以提供該確認給OPSF_T 764。對確認的請求及/或來自用戶758的確認可以例如經由BA 760被發送。在752，OPSF_T 764可以發送對OID_N登記到OP_agg 768的請求。為了結束登記，OP_agg 768可以在754運作登記結束程序F。在程序F，OP_agg 768可以產生及/或儲存關聯對(OID_N，OPSF_T 764)。這可以防止惡意的登記嘗試。在此登記程序之後，在756登記可以完成並且用戶758能夠使用其OpenID識別碼OID_N以本地OpenID向目標域^T中的相關聯的可信賴方進行認證。

例如如第6圖所示，可以在OpenID發現中執行在OP_agg 768處的本地登記準備功能R。這裏描述了登記準備功能R且其可以在第7圖所示的實施方式中實施，但是對登記準備功能R的標記沒有在第7圖中示出。應當理解可以使用OpenID協定認證來實施第7圖，因此另外的OpenID協定認證步驟可以被實施，並也已從第7圖省略。在OP_agg 768處的本地登記結束程序F與第6圖所示的登記結束程序相同或相似，只是OPSF_S 670被替換為OP_N 770，OID_S被替換為OID_N。用N標記的括弧指示可以是OpenID認證運作的攝入協定的一部分。

在第7圖所示的實施方式中，在726，OPSF_T 764發送的重新定向訊息(例如在第一個OpenID判定的驗證之後)可以指向OPSF_T 764。這可以允許在728經由修改的DNS查找來存取本地OP 762。這裏可能不可以使用OP_N 770位址，因為沒有為OP建立修改的DNS查找。在從OPSF_T 764接收(在726)到重新定向訊息之後，可以安裝用於該域的修改的DSN查找的安裝。這可以發生，使得OP_loc 762的查找可以成功。

導出的共享密鑰K_T對OpenID協定運作的加密依賴性可以在密鑰導出程序中被保持。這可以允許OPSF_T 764之後證明其已經正確執行攝入(例如，將其綁定到使用OP_N 770的OpenID認證)。為了增強這種判定，可以在d_T的產生中插入到安全頻道建立的綁定。例如，在TLS頻道建立中的上一個封包的散列(hash)值可以用加密方式被包括在d_T中。根據一個示例實施方式，該頻道綁定可以按照網際網路工程任務組(IETF)請求註解(Request for Comments)發表的標準文獻號碼5056和5929中示出的來執行。這些標準文獻示出了從已建立的TLS隧道擷取密鑰，這可以用這裏所述的方式執行。

第7圖中示出了實施方式可以使得OP_agg 768的功能能夠執行登記程序準備R及/或在後續認證中的OPSF_T 764發現。使用OpenID提供方OP_N 770，發現功能可以被結合到OP_N 770的網路域，且OP_N 770可能不被啟動(enable)及/或不願意執行這些功能以用於目標域^T中的本地OpenID認證。可以執行使用可擴展資源描述符序列(XRDS)的高階發現功能的使用來解決這個問題。XRDS是用於提供並描述用於網路資源(例如URL)及/或在資源(例如URL)可用的服務的元資料(metadata)的XML格式。該問題在特殊情況中不存在，例如，在目標域^T中的可信賴方能夠本身執行OPSF_T 764的發現。

在攝入協定中，來自OP_loc 762的已簽名判定可以包括除了至OPSF_T 764的登記命令之外的UE上的OP_loc 762的唯一識別符。這在OP_loc 762被包括在實體上分離且可能是可移動的SEE(例如智慧卡)的情況中是有用的。

根秘密S_R可以是用於每個OP_loc的獨特的秘密及/或經傳輸的唯一識別符可以使得OPSF_T 764能夠在其本地資料庫中找到正確的根秘密。這可以使得OPSF_T 764能夠將登記以OID_N及/或OP_loc 762的獨特的識別碼一致作為條件，使得在OPSF_T 764作為識別碼提供方的情況下至少一個OID_N可以使用至少一個指定的OP_loc 762。

在成功攝入後，可以執行目標域^T中的認證。在攝入的另一種實施中，經由添加的因素的用戶本地認證可以被執行作為攝入的一部分(例如在OP_loc 762的認證請求接收之後的步驟中)。OP_loc 762可以為此經由安全頻道與本地認證代理(LAA)通信。LAA可以執行具有期望強度的用戶認證及/或登記用戶認證憑證(例如生物特徵量測資料)。至目標域的攝入可以經由LAA直接被執行，而不需要例如OP_N的參與。

一個示例實施方式可以包括使用電子識別碼檔(eID)。例如，eID可以包括德國新式國民識別碼證(German Neuer Personalausweis)，其為配備有無接觸智慧卡的識別碼卡。這裏描述了涉及eID卡的用於執行本地OpenID攝入的基線架構及/或認證架構。

第8圖是示出使用eID卡814的攝入的圖。在816，eID卡814和卡終端(CT)812可以經由安全協定(例如安全密碼認證的連接建立(PACE)協定)在無接觸鏈路上通信。PACE是為eID卡開發的協定並可以被標準化以用於各種電子管理ID和移動檔。OP_loc 810可用作請求真正用戶資訊(例如出生日期(年齡驗證)、註冊位址、國籍、性別等)的服務。OP_loc 810可以經由BA 806接收用戶802資訊及/或OPSF_T 808資訊。CT 812可以經由用戶端應用804接收用戶資訊。OP_loc 810可以配備有用於請求用戶認證的授權證書。授權權證的部署可以例如由認可的實體來控制。在818，授權證書可以被傳送到CT 812。在一個實施方式中，授權證書可以與對期望資料的請求一起被傳送到CT 812。用戶802可以經由輸入用戶802的PIN來授權資料釋放到OP_loc 810。OP_loc 810可以驗證接收的個人資料的真實性。這可以添加認證因素(例如特定eID卡814的持有及/或對eID卡814的PIN的知曉)到本地OpenID登記程序。這可以允許策略決定(例如年齡驗證)，其可以由OP_loc 810本地採用及/或在OPSF_T 808處被採用。OP_loc 810可以將相關資料插入到例如已簽名判定中。在818，OP_loc 810和CT 812可以經由用戶端伺服器協定(例如HTTPS)在某安全頻道上通信。根據另一個實施方式，CT 812和OP_loc 810可以共同位於相同安全元件(例如智慧卡)上。

在現代網路服務的部署中，在特定行動及/或社交服務中，用戶註冊可以涉及某種形式的裝置綁定。例如，在汽車共享、行動及/或胞元服務中，行動用戶可以經由他們的行動裝置提供他們的位置及/或計畫目的地的資料並經由本地安裝在他們裝置上的應用來尋找汽車共享機會。汽車共享及/或其他社交服務可以具有一些安全性需求，因為用戶經由與其他用戶進行服務仲介互動可能招致潛在的風險。因此，經由將網路服務註冊與用戶的行動電話號碼(例如IMSI)(其是合法個人註冊的，例如在歐盟)綁定，且由此與包含註冊時的行動電話號碼(例如IMSI)的服務應用及/或SIM卡所在的裝置綁定，可以確保可靠性及/或能夠進行服務收費。這種組合的註冊和裝置綁定可以使用具有某些安全性特性的次級頻道，其可以具有裝置上的有保證的端點。根據示例實施方式，簡訊服務(SMS)可以用於該次級頻道。例如，經由SMS將碼發送到用戶之前輸入到註冊表格中的電話號碼。用戶可能必須將該碼鍵入到移動應用以啟動服務註冊。

如上所述的次級頻道的使用可以對在攻擊者已經存取(即使是臨時的)到電話以擷取碼的情況下接收其他人電話上的碼提供很少的保護。在這種情況中，攻擊者能夠以非法電話擁有者的姓名註冊到服務。例如如這裏所述的使用本地OP的OpenID識別碼攝入可以能夠建構更便捷、無縫以及安全服務註冊程序，其可以使用專用次級頻道(例如，SMS或用於能夠將裝置與期望安全特性綁定的另一個合適的頻道)。

第9圖是示出使用次級頻道以利用裝置綁定的服務註冊的流程圖。第9圖中示出的實施方式可以利用服務註冊方938和用於OP_loc 936與OPSF 940之間的安全通信的次級頻道。由於第9圖沒有示出從一個OpenID域到另一個的轉變，因此OPSF 940可以例如是一般的OPSF或源域^S OPSF_S。如第9圖所示，在902，用戶可以瀏覽到OPSF 940的登記頁面並可以提交登記登錄識別符OID_enr至服務註冊方938。例如可以經由應用934提交登錄識別符。在904，服務註冊方938可以執行與OPSF 940的關聯。在關聯期間，可以產生用於目標域的密鑰導出參數d_T。OPSF 940可以產生關聯控制碼A和簽名密鑰S，其中簽名密鑰S從關聯控制碼A和密鑰導出參數d_T中導出。在904，關聯控制碼A和簽名密鑰S可以從OPSF 940被發送到服務註冊方938。在906，OPSF 940還可以經由次級頻道(例如SMS)發送密鑰導出參數d_T到OP_loc 936。共享的密鑰導出參數d_T可以經由具有定義的安全性特性的次級頻道被發送到裝置上的OP_loc 936，該裝置包括發佈認證及/或註冊請求的應用934。

在908，服務註冊方938可以發送重新定向訊息到應用934。重新定向訊息可以包括至OPSF_S的重新定向及/或參數，例如會話ID、返回URL、亂數、OID_S及/或關聯控制碼A。在910，應用934可以執行OPSF_S位址的修改的DNS查找以確定OP_loc 936的位址。在912，應用934可以發送認證請求到OP_loc 936。認證請求可以包括例如在來自服務註冊方938的重新定向請求中接收的資訊或其中的參數的組合。在914，用戶932可以在OP_loc 936執行認證。例如，用戶932可以提供認證憑證，該認證憑證可以用於用戶裝置上的本地認證。在916，OP_loc 936可以使用簽名密鑰S對判定(例如OpenID判定)進行簽名。簽名密鑰S可以在OP_loc 936從經由次級頻道接收的關聯控制碼A和密鑰導出參數d_T的函數中被導出。在918，已簽名判定可以從OP_loc 936被發送到應用934。在920，應用934可以將已簽名判定轉發到服務註冊方938。

在922，服務註冊方938可以使用從OPSF 940接收的簽名密鑰S來驗證判定(例如，OpenID判定)。在924，OP_loc 936可以從密鑰導出參數 d_T和簽名密鑰S中導出共享密鑰K、並在裝置上儲存該密鑰K。密鑰K可以被OPSF 940共享以創建信任關係。在926，服務註冊方938可以請求用於源域^S的OpenID識別符OID_S向目標域^T的OPSF 940的登記。在928，服務註冊方938可以例如經由應用934在目標域^T中發送OID_S的註冊確認到用戶932。在930，OPSF 940可以從密鑰導出參數d_T和簽名密鑰S中導出共享密鑰K。OPSF 940可以儲存用於源域的OpenID識別符OID_S與共享密鑰K的關聯。

基於本地OP的服務註冊的前提條件包括將服務應用934下載及/或安裝到用戶932的裝置。另一個前提條件可以包括在裝置上存在OP_loc 936。OP_loc 936可以與應用934(例如，來自相同下載源、服務註冊方或移動應用市場)一起被安裝或OP_loc 936可以預先裝有例如裝置或UICC。OP_loc 936可以或可以不具有與用於例如服務註冊和認證的專用OPSF的預先建立的信任關係，例如，共享的秘密密鑰。

在首次使用服務時(例如，藉由用戶932首次啟動應用934)，可以要求用戶932註冊到服務。這可以經由多種方式來實現。例如，用戶932可以按下按鍵(例如名為“使用OpenID註冊”的按鍵)，在用戶932按下按鍵後，可以觸發應用934提交一般OpenID登記識別符OID_enr，其可以向服務註冊方938指示應用934和用戶932可能正在請求註冊。在另一個示例中，註冊及/或認證可以統一在服務註冊方938的單一網頁中。服務註冊可以被無縫完成，並可以不從本地OpenID認證中被(例如被用戶932)洞悉。例如，用戶932可以只是按下按鍵(例如，“登錄”按鍵)並且服務註冊方938及/或OPSF 940可以自發發起註冊程序。在另一個示例中，服務註冊方938可以做出關於被包括在註冊程序中的這些OpenID識別符的策略決定。這對於被迫重新註冊(例如因為安全性原因)可以是有用的。

如第9圖所示，在904，服務註冊方938可以建立與OPSF 940的OpenID關聯。在此關聯期間的某點，可以產生密鑰導出參數d_T。如何產生d_T以及哪個實體經由次級頻道將d_T發送到裝置可以取決於實施、信任關係及 /或職責分離。例如，OPSF 940可以產生d_T。替代地，服務註冊方938可以產生d_T，並且d_T在關聯請求中被發送到OPSF 940。用於次級頻道的定址資訊可以例如是與行動電話相關聯的號碼(例如，IMSI)及/或可以由用戶經由註冊頁面提交。

為了將註冊綁定到正進行的OpenID認證運作，關聯簽名密鑰S可以取決於導出參數d_T(例如，S=f(A，d_T))。在另一個示例中，d_T可以與關聯簽名密鑰S相同。此外，d_T到達裝置上的OP_loc 936的方式可以是實施相關的。示例可以包括手動用戶輸入或服務應用934及/或OP_loc 936存取次級頻道(例如，使用SIM工具套件函數)的方案

在第9圖示出的本地OpenID認證協定流(其可以包括例如本地用戶認證)中，導出的簽名密鑰S可以用於對OpenID判定進行簽名及/或驗證。在成功認證後，經由在OPSF 940和OP_loc 936本地地從密鑰導出參數d_T中創建註冊的共享密鑰K、並將該密鑰K與用於被請求服務的註冊的OpenID識別符OID_S相關聯，用戶932可以被註冊。實際上，第9圖示出的協定流可以用於確保由服務應用934使用經註冊的OpenID識別符來用於使用OP_loc 936的本地OpenID認證，服務應用934和OP_loc 936可以位於次級頻道終止處的相同裝置上。

根據示例實施方式，OpenID聯合的應用正使用例如已有的用戶OpenID識別碼授權對公司安全域的存取。該安全域可以例如是內網或虛擬私人網路(VPN)，其可以受網際網路閘道伺服器的保護。網際網路閘道伺服器可以與這裏所述的實體網存取閘道不同。經由使用用戶的已有OpenID識別碼來使用公司安全域，用戶能夠將他們自己的私人裝置帶到公司域並將私人裝置用於工作服務或公司域中的其他服務，而不用獨立地註冊另一個識別碼。在公司安全域中使用閘道伺服器僅僅是閘道伺服器的實施的一個示例，應當理解閘道伺服器和已有OpenID識別碼可以用於各種其他的實施中。

例如在SEE或智慧卡中使用受保護的本地OP對保持公司域的保護的某些安全性特性是有利的。在一個示例中，在登記期間可以經由多個頻道對用戶進行認證(例如，經由為公司域存取經由常規郵件發送用於OP_loc啟動的PIN)。可以阻止公司存取帳號的複製。可以使用許多可用實體存取訊標的安全特性，例如安全USB棒。本地OpenID可以基於標準認證和應用協定(例如HTTP(S))。

為了在已有的域(例如公司安全域)中實施並使用OP_loc。如這裏所述，來自OpenID域的本地OpenID攝入可以被使用。這裏所述的攝入程序可以利用兩個因素的認證。例如，一個因素可以包括擁有OP_loc，而另一個因素可以包括知曉OpenID用戶認證憑證。根據示例實施方式，OP_loc可以被嵌入在智慧卡中。智慧卡可以被裝在指定的用戶的實體位址。用戶可以在其裝置(例如智慧型電話)上安裝智慧卡。用戶可以瀏覽到公司安全閘道的頁面及/或提交用戶的OpenID識別碼來登錄。安全閘道可以決定此用戶的OP_loc還沒有被登記。安全閘道可以運作攝入協定，例如第7圖所示的攝入協定。軟體組可以被下載到裝置以能夠進行協定的用戶端側的動作，例如修改的DNS查找的建立。

可以使用被選擇的OpenID提供方位置(例如，GOOGLE®、YAHOO®等)來執行OpenID認證。在協定運作及/或後續認證中，安全閘道可以結合OP_agg(其可以用於解決發現的問題)的作用。根據另一個實施方式，目標域^T的OPSF_T可以與公司閘道保持分開。例如，OPSF_T可以是用於至少一個公司安全閘道的認證提供方服務。

如這裏所述，可以使用登記的識別碼來執行後續的認證。用戶認證可以是透明的(例如，不需要本地用戶認證)或使用在裝置上可用的被用作另外認證因素的任何形式本地用戶認證來實施。該本地認證的因素(例如生物特徵量測認證)可以在用戶的本地認證中被登記到攝入協定。

根據實施公司閘道的示例實施方式，公司閘道可以結合在裝置與公司網路之間建立安全頻道(例如VPN)的任務。雖然在此示例實施方式中使用公司網路，但是應當理解可以以類似方式使用各種其他類型的網路。裝置與公司網路之間的安全頻道可以用於本地OpenID認證，例如在第7圖的安全頻道的登記中示出的。可以有多種方式來建立裝置與網路(例如公司網路)之間的安全頻道，其中一些可以包括VPN的使用。

根據一個示例實施方式，可以經由VPN安全隧道來實施本地OpenID。在此示例實施方式中，用戶可以啟動VPN用戶端，VPN用戶端可以建立至公司VPN閘道的安全隧道但是可以待在隔離模式(例如，VPN用戶端沒有獲得至VPN的連接)。在例如經由本地OP的認證之後，可以啟用完全的VPN連接。可以經由VPN安全頻道實施本地OpenID，只需對VPN用戶端進行小小修改或不需要修改。可以被包括作為登記階段的公司閘道的VPN用戶端可以執行與在安全頻道建立中的相同或相似的初始行為。

根據另一個示例實施方式，可以使用本地OpenID認證來建立VPN連接。在此示例實施方式中，可以在網路中執行向VPN閘道的基於本地OP的認證。在OpenID認證中，可以與目標域^T的OPSF_T協商應用服務特定的秘密的共享密鑰。也就是說，應用服務特定的秘密的共享密鑰可以用於將認證會話綁定到之後的安全隧道的建立。基於這個，VPN隧道可以被建立。使用本地OpenID認證建立VPN連接可以實施秘密密鑰從本地OP到VPN用戶端的傳遞及/或使用。根據示例實施方式，該秘密密鑰的傳遞及/或使用可以與第三代合作夥伴計畫(3GPP)規範的技術規範(TS)編號33.220中示出的GBA-ME類似。

這裏描述了用於在一個或多個裝置與網路之間建立安全頻道的實施方式。根據實施方式，可以經由VPN安全隧道來實施本地OpenID並且可以使用本地OpenID認證來建立VPN連接。VPN安全隧道的實施和VPN連接的建立可以例如被結合到相同協定中。

根據示例實施方式，OpenID聯合可以涉及多個用戶端。涉及多個用戶端的聯合的OP的一個示例實施方式在第10圖中示出。第10圖是示出源域1004的用戶端1014的圖，其經由使用本地OP功能1016及/或來自目標域1002的另一個用戶端1010的憑證獲得至目標域1002的SSO。如第10圖所示，例如用戶端1014之類的裝置可以利用在用戶端1014與另一個裝置之間已經存在的OP關係來從RP 1012獲得服務。其他裝置可以例如是目標域1002中的用戶端1010及/或OPSF 1006。在一種實施中，用戶端1014可以具有至用戶端1010的鏈路(例如，私人鏈路)。與認證用戶端1014本身進行比較，用戶端1010可以具有更大的能力來認證用戶端1014的用戶。例如，經由使用其本身的聯合OpenID能力和已有的判定，用戶端1010可以具有更大的能力來認證用戶。用戶端1010及/或其本地OP 1018(或例如其他本地判定提供方)能夠保證用戶端1014的用戶及/或用戶端1014本身，這優於在用戶端1014及/或其本身的本地OP 1016保證其用戶或其本身的情況(例如，經由源域1004中的OP_agg/OPSF 1008)。

關於單一用戶端(例如用戶端1014)的實施，可以使用如這裏所述的類似特徵來實施另外的用戶端1010。第10圖示出了經由源用戶端1014結合目標域1002中的不同用戶端1010。源域1004中的用戶端1014上的本地OP 1016在某些方面可以與目標域1002的用戶端1010上的本地OP 1018不同，並可以在一般性映射中被獲取。因此，可以執行以下類型的映射或關聯：{用戶端IDS，OIDS，用戶端IDT，OIDT，RP}→{OPSF} 等式3等式3的映射可以將兩個用戶端ID(源和目標)、兩個OpenID識別符(源和目標)及/或可依賴方組成的五個一組關聯到能夠認證用於RP所屬的域/群組的用戶的一個或多個OPSF_S。

在本地OpenID中，此映射可以在發現階段被執行。例如，實體OP_agg及/或一組OP_agg之上的元實體可以儲存此映射表。該關聯表可以是全局的。這可能由於全局URI用作例如OpenID中的識別符。可以用各種方式組織該映射。例如，其可以映射{(用戶端ID_S，OID_S，用戶端ID_T，OID_T，RP)}到{OPSF_X}。該映射可以支援服務分組。對群組的用戶訂閱的支援可以由例如這裏所述的OPSF_X執行。

關於聯合，用戶可能期望在可以支援源域^S和目標域^T的服務群組之間漫遊。在上述的記法中，這意味著關聯用戶端DS x OIDSx用戶端DTx OIDTx{RP_T}→OPSF_T 等式4可以被建立用於來自域^S的用戶，在該域^S中用戶有具有用戶端ID_S、OpenID識別符OID_S的用戶端，用戶可能想要在域^T中透明地使用用戶端ID_S、OpenID識別符OID_S，但是某種程度上可以使用該能力或經由用戶端ID_T及/或至屬於域/群組^T的服務的OpenID識別符OID_T及/或用戶端ID_T啟用的已有OpenID連接。發現及/或登記可以依據這些映射/關聯的檢查。可以理解與關於單一用戶端的實施的這裏所述的實施方式類似的實施方式可以用於多個用戶端實施。

根據示例實施方式，底層服務SSO可以用於使得用戶及/或用戶的UE能夠使用單一識別碼來存取多個域中的服務。第11圖是示出了該底層服務存取的圖。例如，行動用戶可以進入具有多個底層(例如F_a 1112和F_N 1122)的建築(例如，辦公大樓)。根據示例實施方式，每層可以被多個公司租用。行動用戶可以擁有及/或使用行動裝置，例如UE 1102。UE 1102可以是私人行動裝置(例如智慧型電話或膝上型電腦)並可以包含用戶的公司的遠端及/或現場電子服務S的訂閱。該訂閱可以使得SSO到公司服務及/或使用可用識別碼管理方案來實現。根據一個示例，UE 1102可以承載公司及/或識別碼服務提供方(例如MNO)運作的本地OpenID系統的本地OP實例(instance)。

如第11圖所示，當進入建築(例如辦公大樓)並移動到建築內時，UE 1102可以與一個或多個閘道(例如，GW_G 1104、GW_a 1114及/或GW_N 1124)(例如自動地)互動。GW_a 1114和GW_N 1124的每一個可以分別與服務群組S_a和S_N相關聯。例如，GW_a 1114可以賦能對服務S_aa 1106、S_ai 1108及/或S_ak 1110的存取，而GW_N 1124可以賦能對服務S_NA 1116、S_NI 1118及/或S_NK 1120的存取。

當UE 1102進入到與建築非常接近時(例如在對該建築的實體存取)，UE 1102會遇到GW_G 1104。GW_G 1104可以正服務用於該建築中的其他GW及/或服務的存取控制功能。該閘道管理者GW_G 1104可以例如經由OpenID過程識別及/或認證UE 1102。GW_G 1104能夠識別及/或認證UE 1102是因為GW_G 1104可以知道該建築中的公司的識別碼提供方。根據一個實施方式，GW_G 1104可以與該建築中的公司具有信任關係。GW_G 1104可以識別UE 1102、及/或用作UE 1102的建築範圍內的識別碼提供方。GW_G 1104可以轉出憑證給UE 1102、提供服務發現資料給UE 1102、及/或為UE 1102建立用於建築中的服務存取的准許策略。

當UE 1102可以經由不同底層(例如F_a 1112及/或F_N 1122)時，UE 1102可以聯繫對應於每個層F(或服務群組)的閘道GW。例如，當UE 1102在層F_a 1112時，其可以聯繫閘道GW_a 1114以存取服務S_aa 1106、S_ai 1108及/或S_ak 1110，而UE 1102在層F_N 1122時可以聯繫閘道GW_N 1124以存取服務S_NA 1116、S_NI 1118及/或S_NK 1120。對於每個閘道，運作的登記程序可以與GW_G 1104運作的登記程序類似。登記程序可以基於閘道(例如，GW_a 1114或GW_N 1124)與GW_G 1104之間的信任關係。以這種方式，UE 1102及/或其用戶可以獲取用於每個層的認證憑證、及/或可以存取UE 1102及/或其用戶訂閱的服務。可以根據閘道方面(例如，層方面)的策略來區分認證憑證及/或服務。例如，在層F_a 1112上，UE 1102可以具有對緊急服務的存取，而在層F_N 1122，UE 1102可以使用線上列印。

根據一個示例實施方式，UE 1102可以具有對與閘道相關聯的服務的完全服務存取。例如，層F_N 1122可以是用戶的本地層，與另一層相比，在該層中UE 1102可以被授權經由GW_N 1124存取很大數量的服務及/或完全存取服務。一個或多個層及/或閘道可以被分組，使得可以有層群組等級的策略區分及/或處理。此過程可以是自動的。例如，層F_a 1112和F_N 1122可以被分組及/或具有相關聯策略，由此UE 1102甚至可以不用注意這些層上的登記及/或登錄程序。第11圖中的每個層F表示服務群組，但是應當理解可以用各種其他方式來對服務分組。

本地OpenID可以提供用於第11圖示出的實施方式的輕量實現選項。例如，首次遇到時的登記原則可以沿用到每個閘道GW。首次遇到時的登記可以經由存取作為普通RP或網路服務的一個或多個GW來進行。服務發現可以是例如任何合適形式的發現。在首次遇到時存取GW時，UE 1102可以不為一個或多個其他GW所知。向GW的認證可以經由在OP層級之上的下一個GW來實現。根據示例實施方式，在層級中最上的OP可以是初始訂閱OP(例如，MNO)。閘道管理者GW(例如GW_G 1104)可以在初始訂閱OP之下的層，且層或群組GW(例如，GW_a 1114及/或GW_N 1124)可以在下一個層。

第12圖是示出使用本地OpenID的底層服務存取的圖。可以遇到(例如首次遇到)的每個閘道的功能能夠在較高的OP的認證運作中運作附屬秘密(例如，導出的密鑰)。第12圖中示出了OP登記的這種鏈鎖。可以使用如這裏所述的基於閘道的本地OpenID聯合協定。用於連續閘道登記及/或閘道層的服務存取的高階概念可以實現。可以使用這裏所述的程序(例如ENR_G及/或AUTH_G)來實現閘道登記及/或閘道層的服務存取。

可以如第12圖所示執行登記程序。如第12圖所示，UE 1202可以包括OP_loc並可以在1212執行使用本地OP 1210的認證。在1214，UE 1202 可以提交登記請求至GW_G 1206。在1216，GW_G 1206可以導出及/或與本地OP 1210交換秘密以用於在域^G中登記UE 1202(例如，使用如這裏所述的UE 1202源域^S識別符)。GW_G 1206還可以與可以執行用戶認證及/或存取服務的策略的策略提供方1218通信。當UE 1202移動到GW_Fi 1204附近時，UE 1202可以在1224請求域ⁱ中的登記以用於在1230存取域ⁱ中的服務，例如服務S_ij 1208。在1226，UE 1202可以執行使用GW_Fi 1204的認證以存取域ⁱ中的服務。在1222，GW_Fi 1204可以導出及/或與GW_G 1206交換秘密。在1220，UE 1202可以執行使用GW_G 1206的認證以執行使用GW_Fi 1204的登記。這可以在UE 1202的OP_loc中建立用於在域ⁱ中使用的新秘密。為了得到對域ⁱ中的服務(例如服務S_ij 1208)的存取，在1230，UE 1202可以請求對服務S_ij 1208的存取並可以向GW_Fi 1204和OP_loc功能進行認證以得到對服務S_ij 1208的存取。在1228，服務S_ij 1208的RP可以與GW_Fi 1204執行密鑰導出。

根據示例實施方式，用戶的UE 1202不可以使用底層閘道GW_Fi 1204或閘道管理者GW_G 1206來登記。用戶及/或UE 1202可以嘗試存取在層F_i上的服務S_ij 1208。GW_Fi 1204可以中斷與S_ij 1208的RP的服務存取嘗試、並可以通知具有OID_S(例如源域OpenID識別符)的UE 1202可以尚未被登記。GW_Fi 1204可以與GW_Fi 1204的域ⁱ發起ENR_i、登記協定。GW_Fi 1204可以嘗試(例如經由HTTP簡單發現)得到本地OP 1210處的OP_agg的位址(例如在ENR_i的第一個步驟中)。GW_G 1206可以中斷該通信嘗試及/或確定至源域的OpenID請求。

GW_G 1206可以返回常規錯誤訊息(例如常規錯誤訊息‘不操作’)到GW_Fi 1204。錯誤訊息可以包括到GW_G 1206的登記頁面的重新定向。GW_Fi 1204可以分離錯誤訊息、中止ENR_i及/或轉發該重新定向至UE 1202的BA。這可以是例如域^G中的ENR_G的第一個步驟。BA可以與GW_G 1206運作ENR_G。UE 1202的用戶可以重複對S_ij 1208的服務存取嘗試，在服務存取嘗試時可以發起ENR_i。在成功ENR_i之後，用戶可以使用AUTH_i來存取S_i。登記的串接(cascade)可以使得用戶能夠使用本地OP 1210以使用提供S_ij 1208的RP進行認證。可以理解的是用戶可以不需要重複每個服務存取嘗試，但是這可以自動地執行以阻止用戶必須重複這種存取嘗試。

使用GW_G 1206及/或底層閘道GW_Fi 1204的登記的序列可以與實體存取控制及/或生物特徵量測認證組合。例如，在進入設施的用戶入口，用戶可以被重新定向到登記計數器。用戶可以被指示為登記而存取GW_G 1206的網站。用戶可以使用GW_G 1206來運作ENR_G，GW_G 1206可以傳遞生物特徵量測認證資料到存取控制系統，該存取控制系統可以與該閘道在相同位置。需要注意的是例如使用位於UE 1202上的OP_loc將生物特徵量測登記綁定到UE 1202的登記。例如，可以經由質詢-回應程序來增大ENR_G。生物特徵量測登記程序可以產生秘密號碼。秘密號碼可以被秘密地傳送給OP_loc、及/或顯示給增大的ENR_G協定中的用戶。用戶可以向登記櫃檯的工作人員大聲讀出該秘密號碼、或例如經由自動裝置讀出。這可以確保提交其生物特徵量測資料的用戶是參與GW_G 1206運作ENR_G的裝置及/或OP_loc的實際持有者。這是非限定性示例，其他方法可以用於確保提交其生物特徵量測資料的用戶是裝置及/或OP_loc的實際持有者。

ENR_G程序可以與至UE 1202的便捷存取鏈路的下載結合。這可以用於使用與某加入的用戶便捷性結合的生物特徵量測操作發起之後的使用本地OpenID的建築存取。此便捷存取鏈路可以是各種形式。例如，便捷存取鏈路可以包括指向附屬於GW_G 1206的特殊服務的瀏覽器書簽，GW_G 1206可以運作經結合的認證及/或實體存取控制程序。其他形式的便捷存取鏈路可以包括例如Java Applet及/或用於行動裝置的移動應用。

用於設施/建築的存取控制可以經由GW_G 1206的服務來建立，UE 1202可以經由如這裏所述的便捷存取鏈路來存取該服務。在一個示例中，用戶可以被定向到可以包含用於用戶認證的生物特徵量測裝置的十字轉門/單人閘道。用戶可以向裝置輸入他/她的生物特徵量測認證、並可以經由便捷存取鏈路存取該存取服務。生物特徵量測資料的匹配可以在存取服務(例如可信賴方)中發生，該匹配可以結合生物特徵量測資料與經由AUTH_G的本地OpenID認證，或其可以在OP_loc內被本地執行。當實施OP_loc時，生物特徵量測資料可以在登記程序中和在AUTH_G協定運作中被傳輸到OP_loc。

雖然本發明的特徵和元素以特定的結合進行了描述，但是本領域中具有通常知識者可以理解的是，每個特徵或元素可以在沒有其他特徵和元素的情況下單獨使用。此外，本領域中具有通常知識者可以理解，這裏描述的實施方式被提供僅用於示意性目的。例如，雖然這裏描述的實施方式使用OP_loc、非本地OP或外部OP以用於執行相似功能，反之亦然。另外，這裏描述的方法可以在由電腦或處理器執行的電腦程式、軟體或韌體中實施，其中所述電腦程式、軟體或韌體是以有形的方法包含在電腦可讀媒體中的。電腦可讀媒體的實例包括電子信號(經由有線或無線連接傳送)和電腦可讀儲存媒體。電腦可讀儲存媒體的實例包括但不限於，唯讀記憶體(ROM)、隨機存取記憶體(RAM)、暫存器、快取記憶體、半導體儲存裝置、內部硬碟和可移式磁片之類的磁性媒體、磁光媒體以及CD-ROM磁片和數位多功能光碟(DVD)之類的光學媒體。與軟體相關聯的處理器可以用於實現射頻收發器，以便在WTRU、UE、終端、基地台、RNC或任何主機電腦中加以使用。

446‧‧‧用戶

448‧‧‧瀏覽代理(BA)

450‧‧‧OP_loc

452‧‧‧閘道(GW)

454‧‧‧RP_G

456‧‧‧OP_agg,G

458‧‧‧OPSF_G