[发明专利]用于连网计算机应用的鉴权系统

说明书

相关申请的交叉引用

本发明具有序列号为60/531,695的美国临时申请的利益和权利要求优先权，该临时申请于2003年12月23提交，并将其全部合并在此作为参考。

技术领域

本发明涉及一种用于保护连网计算机系统内应用的系统和方法。

背景技术

商业和个人都不断依赖于计算机和基于计算机的电子通信。越来越多的商业走向“无纸”办公模式，并且互联网的方便性已经导致个人使用电子媒体进行各种活动，比如经由电子邮件通信、存款、支付帐单、投资和购物，以上仅仅提到了一些。商业和个人期望电子交易的方便性的同时，这些实体还想维持至少与传统交易方法提供的同样的安全性。但是，以一些方式，很多传统交易固有地比电子交易更安全，因为计算机可容易地被用来截取在两台或更多计算机之间通信的信息。由此，创建了保护电子传递的信息的技术。

许多这些技术可利用密码术的各种方面。密码术是这样的学问，即是以秘密格式发送和/或接收消息，使得只有那些被授权接该消息的才能读取它。密码术可用于任何形式的通信，但针对该申请的目的，将讨论用于电子通信的密码术。密码术技术的例子包括对称加密、不对称加密和散列。对于电子通信，利用加密密钥，加密的消息可变换为秘密形式，之后利用解密密钥可变换回到其原始或明文形式。

除了保护信息的密码术功能外，希望保护电子存储信息的实体还可创建在连网计算机系统内的组件和希望访问该系统内服务的用户之间定义的通信关系。例如，连网计算机系统可要求在用户能够接收来自连网计算机系统内的应用之前对该用户进行鉴权。

在传统的连网计算机系统中，用户鉴权可各自出现在各个应用服务器处，即是在用户请求来自应用服务器的请求时，应用服务器负责鉴权该用户。在连网计算机系统内，该传统鉴权过程要求用户对于每个它所希望访问的应用服务器而被鉴权。

期望提供一个更有效、灵活和安全的鉴权系统和方法来接收来自连网计算机系统中的应用服务器的服务。

发明内容

本发明涉及一种用于在连网计算机系统内鉴权用户的系统和方法。该系统包括用户、应用服务器、看门人服务器和鉴权服务器，其中系统内的通信由看门人服务器管理。

根据本发明的方法，用户向看门人服务器给出凭证，并且看门人服务器将所给的用户凭证提供给鉴权服务器。鉴权服务器鉴权用户。鉴权服务器在对用户鉴权时创建鉴权令牌，并且将该鉴权令牌传输给应用服务器。将鉴权令牌从鉴权服务器传输到应用服务器可包括向看门人服务器传输鉴权令牌并接着传输到应用服务器。鉴权服务器可在已经创建鉴权令牌之后加密鉴权令牌。优选的是，鉴权服务器加密鉴权令牌所使用的加密密钥由鉴权服务器和应用服务器共享，但是不与看门人服务器共享。鉴权服务器还可在已经创建鉴权令牌之后数字签名鉴权令牌。优选的是，鉴权服务器用一个密钥对来签名鉴权令牌，其中，该密钥对的至少一部分由鉴权服务器和应用服务器共享。

在之后提供的描述中，本发明的其它应用领域将变得清楚。应当理解的是，详细的描述和特定的示例指明了本发明的优选实施例，但旨在仅用于说明目的，而不在于限制本发明的范围。

附图说明

根据详细描述和附图，将更全面地理解本发明，其中：

图1是用于连网计算机应用的传统鉴权系统的绘图。

图2是本发明的连网计算机系统的绘图。

图3是以下鉴权过程的描述：用户开始登录会话并初始地访问图2的连网计算机系统的鉴权区域内的应用服务器。

图4是描述登录服务器鉴权用户的过程的流程图。

图5是图4中创建的内部令牌的结构和内容的绘图。

图6A是说明验证过程的第一流程图，应用服务器在其第一次接收加密的内部令牌和来自web服务器的令牌ID时执行该验证过程。

图6B是说明验证过程的第二流程图，应用服务器在其第一次接收加密的内部令牌和来自web服务器的令牌ID时执行该验证过程。

图7是说明在从应用服务器接收返回的内部令牌之后web服务器处理内部令牌的流程图。

图8A是图7中创建的外部令牌的结构和内容的绘图。

图8B是组合令牌的绘图，该组合令牌包括图5和图8A中的外部令牌和内部令牌的内容。

图9是用户对之前访问过的应用服务器进行后续访问的过程的绘图。

图10是说明验证过程的流程图，应用服务器在其从web服务器后续接收加密的内部令牌和令牌ID时执行该验证过程。

图11是用户初始被登录服务器鉴权后访问第二应用服务器的过程的绘图。

具体实施方式