[发明专利]令牌共享系统和方法

说明书

相关申请的交叉参考

本申请要求2005年5月6日提交的顺序号为60/678,214的临时申请的权益，该申请的公开内容由此被全部结合以在此作为参考。

发明领域

本发明的领域是计算机安全性，特别是认证。

发明背景

企业采用强认证技术来保护其数据和信息技术的机密性、完整性和所确保的服务是已知的。这已经通过利用多种方法来实现，其中包括把数字证书发给每个雇员、给每个雇员提供令牌等等。用于企业的强认证可以相对简单直接地来实施，这是因为通常存在受控的一组用户必须向其认证他们自己的单个实体，即所述企业本身。

对于消费者应用来说，可能难以应用强认证技术。数字证书和令牌可能被视为消费者与其他实体(比如商人)进行交互的障碍，并且可能是消费者和所述其他实体都不愿意承担的支出。然而，鉴于黑客造成的威胁日益复杂并且更具破坏性(比如身份盗窃、网络钓鱼、中间人攻击以及信用卡盗窃)，可以预期消费者愿意采用某些强认证技术。随着在线进行的商务和其他活动的量逐年增多，进一步加强了上述情况。

实际上，无反应的泄密威胁以及所导致的负面事件的累积本身可以被视为当今对于消费者活动持续向在线环境转移的障碍。虽然消费者需要更强的认证，但是某些已知的解决方案可能难以实施。例如，与大多数企业客户不同，消费者必须向大量的不同实体认证其自身。消费者通常可能不想记录与不同实体相关联的不同认证凭证。例如，许多消费者具有多个银行、信用卡、服务供应商、保健和政府帐户。这些帐户当中的每一个都可以受益于消费者的强认证。在这种情况下，如果对于每个帐户向该消费者发给一个认证设备，那么他或她的口袋或钥匙圈可能会装满各种设备。这对消费者来说可能是不期望的。

所需要的是一种能够利用共享的令牌进行操作的认证系统和方法，该共享令牌可以被消费者用来向各种各样的企业认证其自身。如果可以在许多场所共享单个令牌，则消费者将更有可能开始携带它到各个地方以作为必要的个人工具，象蜂窝电话、车钥匙或信用卡一样。

附图简述

图1示出根据本发明一个实施例的集中式验证服务。

图2示出根据本发明一个实施例的分布式验证服务。

图3示出根据本发明一个实施例的凭证夹体系结构。

图4示出根据本发明一个实施例的能够生成多个令牌的单个设备的蜂窝电话实施方式。

详细描述

这里所使用的“身份共享”是指共享认证令牌持有者的个人身份的能力。  “第二因素共享”是指共享认证与令牌相关联的别名的能力。例如，一个双因素认证系统可以包括个人识别号(“PIN”，即“第一因素”)和一次性口令(“OTP”，即“第二因素”)。该PIN是在令牌的个人持有者与所述认证系统之间共享的秘密。特定OTP可以是一个数字序列，其只能由给定令牌唯一地生成并且由所述认证系统进行检查。当认证系统接收并验证来自用户的PIN时，该系统可以把该用户认证为与该特定PIN相关的用户。同样，当认证系统接收并验证来自令牌的OTP时，它可以把该令牌认证为与该特定OTP相关的令牌。在身份共享系统中，几个实体当中的任何一个都可以基于例如PIN或者PIN和OTP来认证用户的身份。在第二因素共享系统中，几个实体当中的任何一个都可以利用OTP认证令牌本身。虽然已经使用双因素认证设备作为例子讨论了身份和第二因素共享，但是根据本发明可以使用任何认证方案。例如，对于第二因素共享可以使用数字证书和/或挑战-响应方案。

集中式令牌服务模型

根据本发明的一个实施例，采用集中式令牌服务基础设施来提供并验证例如存储在硬件令牌上和/或由硬件令牌实施的第二因素凭证(比如证书或OTP)。可以在多个应用和/或web站点当中的任一个处激活实施该第二因素的令牌。一个应用可以在该应用自身的用户数据库中管理第一因素(比如用户名和口令)。作为令牌激活的一部分，该应用可以存储本地用户名与共享的第二因素令牌标识符(比如令牌序列号)之间的映射。

为了进行验证，用户可以输入第一因素(比如用户名和口令)和第二因素(比如来自令牌的OTP或存储在令牌上的证书)。该应用可以本地验证第一因素。在成功的验证之后，它可以检索所述令牌序列号(该令牌序列号可以与第一因素相关联)，并且随后通过例如在网络(例如因特网、虚拟专用网等等)上向集中式验证服务发送验证请求来验证第二因素。为了实现这一点，驻留(host)该应用的企业可以配置一个到该集中式验证服务的验证代理(“认证代理”)。