《用于促进基于客户端的认证的方法、系统和装置.pdf》由会员分享，可在线阅读，更多相关《用于促进基于客户端的认证的方法、系统和装置.pdf（24页完整版）》请在专利查询网上搜索。
1、(10)申请公布号 CN 103999401 A (43)申请公布日 2014.08.20 C N 1 0 3 9 9 9 4 0 1 A (21)申请号 201180075603.2 (22)申请日 2011.11.18 61/548,570 2011.10.18 US H04L 9/32(2006.01) H04L 29/06(2006.01) G06F 21/41(2013.01) (71)申请人英特尔公司 地址美国加利福尼亚州 (72)发明人 CP卡西尔 V 费加德 J 马丁 A拉扬 NM德什潘德 R佩尔曼 (74)专利代理机构北京三友知识产权代理有限 公司 11127 代理人吕俊刚 。
2、刘久亮 (54) 发明名称 用于促进基于客户端的认证的方法、系统和 装置 (57) 摘要 本发明公开了用于促进基于客户端的认证的 方法、系统和装置。示例性方法包括：在隔离的执 行环境中将身份授权器与客户端平台关联；将用 户身份和所述身份授权器关联；生成与第一服务 提供商关联的第一密钥对；基于所述客户端平台 的第一授权序列生成证明；以及利用所述密钥对 的一部分对证明签名，并向所述第一服务提供商 发送签名后的证明，以授权所述客户端平台和所 述第一服务提供商之间的通信。 (30)优先权数据 (85)PCT国际申请进入国家阶段日 2014.06.17 (86)PCT国际申请的申请数据 PCT/US20。
3、11/061359 2011.11.18 (87)PCT国际申请的公布数据 WO2013/058781 EN 2013.04.25 (51)Int.Cl. 权利要求书2页 说明书13页 附图8页 (19)中华人民共和国国家知识产权局 (12)发明专利申请 权利要求书2页 说明书13页 附图8页 (10)申请公布号 CN 103999401 A CN 103999401 A 1/2页 2 1.一种用于授权客户端平台通信的方法，该方法包括以下步骤： 在隔离的执行环境中将身份授权器与客户端平台关联； 将用户身份和所述身份授权器关联； 生成与第一服务提供商关联的第一密钥对； 基于所述客户端平台的第一授。
4、权序列生成证明；以及 利用所述密钥对的一部分对所述证明签名，并向所述第一服务提供商发送签名后的证 明以授权所述客户端平台和所述第一服务提供商之间的通信。 2.根据权利要求1所述的方法，所述方法还包括以下步骤：响应于发送所述签名后的 证明，识别与所述第一服务提供商关联的第一访问权限。 3.根据权利要求2所述的方法，所述方法还包括以下步骤：调用至少一个认证设备生 成第二授权序列。 4.根据权利要求3所述的方法，其中，所述第二授权序列导致与所述第一服务提供商 关联的第二访问权限。 5.根据权利要求1所述的方法，其中，所述用户身份包括第三方证书。 6.根据权利要求1所述的方法，所述方法还包括以下步骤：。
5、响应于接收到与第二服务 提供商通信的请求，生成第二密钥对。 7.根据权利要求1所述的方法，该方法还包括以下步骤：基于配置文件发送所述签名 后的证明。 8.根据权利要求7所述的方法，其中，所述配置文件针对所述第一服务提供商授权自 动发送所述签名后的证明，并针对第二服务提供商调用第二授权序列。 9.一种用于授权客户端平台通信的装置，该装置包括： 身份管理器，该身份管理器将用户和客户端平台关联； 认证提供器，该认证提供器生成与第一服务提供商关联的第一密钥对；以及 认证管理器，该认证管理器基于所述客户端平台的第一授权序列生成证明，并利用所 述密钥对的一部分对所述证明签名以授权所述客户端平台和所述第一服。
6、务提供商之间的 通信。 10.根据权利要求9所述的装置，所述装置还包括：存在提供器，该存在提供器调用与 所述客户端平台关联的认证设备。 11.根据权利要求10所述的装置，所述装置还包括：存在管理器，该存在管理器响应于 在阈值时间段内来自所述认证设备的存在指示生成存在消息。 12.根据权利要求10所述的装置，所述装置还包括：存在管理器，该存在管理器响应于 来自所述认证设备的存在的不存在达阈值时间段的指示生成不存在消息。 13.根据权利要求10所述的装置，所述装置还包括：会话管理器，当所述认证设备休眠 达阈值时间段时，该会话管理器向所述第一服务提供商提供退出消息。 14.根据权利要求10所述的装置。
7、，所述装置还包括：存在管理器，该存在管理器以周期 性、非周期性、按计划和人工方式中的至少一种来监测所述用户。 15.根据权利要求14所述的装置，其中，所述周期性的监测基本上是连续的。 16.一种有形的机器可存取的介质，该介质中存储了指令，当该指令被执行时造成机器 至少： 权 利 要 求 书CN 103999401 A 2/2页 3 在隔离的执行环境中将身份授权器与客户端平台关联； 将用户身份和所述身份授权器关联； 生成与第一服务提供商关联的第一密钥对； 基于所述客户端平台的第一授权序列生成证明；以及 利用所述密钥对的一部分对所述证明签名，并向所述第一服务提供商发送签名后的证 明以授权所述客户端。
8、平台和所述第一服务提供商之间的通信。 17.根据权利要求16所述的有形的机器可存取的介质，该介质存储有指令，当所述指 令被执行时造成机器响应于发送所述签名后的证明，识别与所述第一服务提供商关联的第 一访问权限。 18.根据权利要求17所述的有形的机器可存取的介质，该介质存储有指令，当所述指 令被执行时造成机器调用至少一个认证设备生成第二授权序列。 19.根据权利要求16所述的有形的机器可存取的介质，该介质存储有指令，当所述指 令被执行造成机器响应于接收到与第二服务提供商通信的请求，生成第二密钥对。 20.根据权利要求16所述的有形的机器可存取的介质，该介质存储有指令，当所述指 令被执行时造成机。
9、器基于配置文件发送所述签名后的证明。 21.根据权利要求20所述的有形的机器可存取的介质，该介质存储有指令，当所述指 令被执行时造成机器针对所述第一服务提供商授权自动发送所述签名后的证明，并针对第 二服务提供商调用第二授权序列。 22.根据权利要求20所述的有形的机器可存取的介质，该介质存储有指令，当所述指 令被执行时造成机器基于所述配置文件请求对话许可输入。 权 利 要 求 书CN 103999401 A 1/13页 4 用于促进基于客户端的认证的方法、 系统和装置 0001 相关申请的交叉引用 0002 本申请要求在2011年10月18日提交的美国临时专利申请No.61/548,570的权。
10、 益，该申请在此通过全文引用并入本文。 技术领域 0003 本公开总体上涉及网络安全，更具体地涉及用于促进基于客户端进行认证的方 法、系统和装置。 背景技术 0004 近年来，针对在线服务的用户的身份存储的示例的数量不断增加。每个用户都可 以与多个在线服务提供商(例如银行网站、图书馆网站、流电影入口、社交网络端口以及基 于网络的电子邮件服务等)互动，其中每个服务提供商通常都需要至少一种形式的认证。 认证的示例性形式包括用户名和对应的密码，它们通常由相应的服务提供商来管理和存 储。用户名和密码旨在允许服务提供商核实访问者对应于身份，例如与账户(例如银行账 户、图书馆账户、电影流账户、社交网络端口。
11、账户以及基于网络的电子邮件账户等)相关的 身份。 0005 在许多情况下，用户发现管理多个不同的用户名和/或密码的组合是单调和/或 繁琐的。结果，许多用户针对多个在线服务提供商的每一个都应用相同的用户名和/或密 码。另外，所选择的用户名以及由用户选择和/或生成的密码凭证通常较弱和/或例如容 易遭受基于字典的攻击。 附图说明 0006 图1是用于促进基于客户端进行认证的根据本公开的教导而控制的示例性认证 系统的示意例示图。 0007 图2是用于促进基于客户端进行认证的图1中的示例性受信身份管理器的示例性 实现方式的示意例示图。 0008 图3、图4A、图4B、图5、图6是表示示例性机器可读指令的。
12、流程图，该指令可以被 执行以实现图1中的基于客户端进行认证的示例性认证系统和/或图1和/或图2中的受 信身份管理器。 0009 图7例示示例性处理器平台，该处理器平台可以执行图3、图4A、图4B、图5和/或 图6中的指令以实现本文公开的示例性方法、系统和/或装置中的任一个或者全部。 具体实施方式 0010 公开了方法、系统、装置以及产品，所述方法、系统、装置以及产品包括：在隔离的 执行环境中将身份授权器和客户端平台关联；将用户身份和所述身份授权器关联；生成与 第一服务提供商关联的第一密钥对；基于所述客户端平台的第一授权序列生成证明；利用 说 明 书CN 103999401 A 2/13页 5 。
13、所述密钥对的一部分对证明签名，并向所述第一服务提供商发送签名后的证明，以授权所 述客户端平台和所述第一服务提供商之间的通信。 0011 针对每一个服务提供商都使用唯一用户名和密码组合使得当服务提供商的系统 中的一个被侵害时黑客导致的损害量/程度最小化。例如，被破解的服务提供商系统会将 用户名和密码作为明文存储，并且在用户在一个或更多个其它网站使用相同的用户名/密 码组合的情况下，会把那些其它服务的用户安全置于遭受进一步攻击的风险之中。此外，即 使用户使用用户名和相应密码的多个不同组合，这些用户名和密码对于攻击者/黑客来说 基于容易获得的关于用户的信息(例如名、中间名的首字母、姓、电话号码等)也。
14、是相对容 易猜到的。换句话说，尽管服务提供商规定和/或建议，用户也很少创建安全的随机密码。 另外，使用用户名和相应密码的多个不同组合的用户可能发现记住这些组合是单调和/或 不合实际的。在此情况下，用户可能依赖于一个或更多个“作弊条(cheat-sheet)”，一旦丢 失或被盗之后就会将用户置于极大的身份盗窃、银行盗窃、冒用身份等风险之中。 0012 在多数情形中，认证发生在用户和服务提供商之间的会话的开始处。在认证后的 会话在阈值时间段内没有接收到一次或更多次输入的情况下，服务提供商会由于不活动而 自动终止该会话。自动超时尝试保护无意地忘记退出活跃会话的用户，从而防止其他人查 看和/或与所述用。
15、户的账户互动。虽然相对较短的超时时段能够使其他人与用户的账户互 动的风险最小化，但是如果用户还在正在使用的机器(例如PC、膝上计算机、平板计算机、 电话等)旁边，如此短的超时时段会让用户十分烦恼。另外，如此较短的超时时段仍然不能 保护从用户已登录到服务提供商网站的机器在身体上走开的用户。 0013 本文公开的方法、装置、系统和/或产品扩展来自信任客户端硬件的身份管理器 部分地促进客户端用户的本地认证、客户端用户的存在检测以及连续被动重新认证。另外， 在客户端用户走开的情况下，本文公开的方法、装置、系统和/或产品调用活跃会话保护， 从而消除了对由例如服务提供商管理的预定和/或自定义的超时时段的依。
16、赖。 0014 在图1所例示的示例中，示例性的基于客户端的认证(CBA)系统100包括：客户端 平台102，其经由一个或更多个网络108与包括任意数量的认证设备104a-n的认证设备池 104以及服务提供商106可通信地连接。示例性客户端平台102可以包括任何类型的客户 端计算设备，其包括但不限于个人计算机(PC)(例如台式计算机、膝上计算机、笔记本计算 机等)、服务器/工作站、个人数字助理(PDA)、电话(例如，智能电话)和/或平板计算装 置(例如平板计算机等)。示例性认证设备池104可包括任意数量的认证 设备104a-n并且可以作为示例性客户端平台102的内置部件来操作，和/或可以经由一个。
17、 或更多个通信路径可通信地连接至示例性客户端平台102，该通信路径包括但不限于通用 串行总线(USB)、火线(FireWire, IEEE1394)、并联端口、串联端口(例如RS-232)、通用接 口总线(GPIB - IEEE 488)、蓝牙、局域网连接和/或Wi-Fi(IEEE 802.11x)等。示例性认证 设备104a-n可以包括但不限于指纹读取装置、摄像头(例如网络摄像头)、智能卡读卡器、 键盘、运动传感器和/或生物传感装置。 0015 计算平台的用户通常通过经由网络(诸如互联网)连接至服务提供商来执行一个 或更多个操作。传统上，服务提供商106利用部署和维护起来相对便宜的用户名和对。
18、应的 密码认证来管理一个或者更多个认证服务和/或过程。但是，这种服务提供商管理的授权 程序会招致对手盗窃和/或损坏用户证书，尤其是当用户变得不敏感以针对多个不同的服 说 明 书CN 103999401 A 3/13页 6 务提供商都使用相同和/或相似的用户名和密码组合时。一旦一个服务提供商受到攻击， 攻击者可能利用用户名和密码组合来获得对其他服务提供商(例如银行网站/端口和/或 电子邮件网站/端口)的访问权。另外，即使用户使用了不同的用户名和密码组合来作为 访问服务提供商的凭证，服务提供商可能仍然没有关于持有屏障的实体与相应的服务提供 商账户合法地关联的指示。换句话说，访问的实体可能是盗窃了用。
19、户名和密码组合的对手。 0016 为了减少和/或甚至消除在访问服务提供商106中的一个或者更多个时误用凭 证的情况，图1中的示例性客户端平台102包括位于安全容器112中的受信身份管理器 (trusted identity manager,TIM)110(身份授权器)。图1中的示例性安全容器112包 括一个或者更多个安全应用114，当所述安全应用114执行时允许以受信方式进行一个或 者更多个交易，如下文所详述。示例性安全容器112提供了隔离的执行环境(IEE)、与服 务提供商之间建立的信任根、数据封装、用于生成强大的加密密钥以及用于对证明签名和 对封装存储的数据加密的随机数的随机数生成器，用于。
20、一个或者更多个应用和/或认证设 备104a-n的受信路径的建立，和/或用于使涉及过期消息的重复攻击最小化的实时时钟。 在一些示例中，可以以与国际公开号WO2010/057065A2、名称“Method and Apparatus to Provide Secure Application Execution”、在2009年11月14日提交相符合的方式来实现 安全容器112。在另一些示例中，TIM110可以在智能卡上实现，例如包含防篡改数据存储、 认证码和/或隔离的处理器的智能卡。 0017 由图1中的示例性安全容器112生成的IEE保护TIM110和安全应用114免受系 统软件和硬件对手的攻击。
21、，例如，截获沿着示例性客户端平台102的总线的通信的尝试。示 例性安全容器112所生成的IEE防止安全容器112以外的硬件和/或软件成功读取、更改 和/或删除安全容器112的内容。为了允许TIM110执行证明，安全容器112在客户端平台 102上建立信任根，其中信任根能够代表请求服务提供商106加密地测量TIM110和/或安 全应用114。在一些示例中，安全容器112利用测量到的信任根用从未离开信任根的私钥对 证明签名，并且服务提供商106可以利用相应的公钥来验证签名，从而确定所述测量和/或 断言是否具有期望值。 0018 图1中的示例性安全容器112所促进的数据封装允许当数据被存储在安全容器。
22、 112以外时所述数据得到保护。示例性安全容器112所执行的数据封装可采用仅仅在硬件 安全部件内部存储和使用的密钥，和/或可以利用在加密时的系统状态(例如客户端平台 102状态)的测量结果对数据加密。在一些示例中，只有在解密时收集到相同的系统状态测 量结果才执行解密。如果以前由示例性安全容器112封装的数据损坏了，则就阻止解密，除 非在加密期间使用的原始平台密钥可用。 0019 在操作中，图1中的示例性TIM110允许客户端平台102的被授权用户获得使用客 户端平台102及其一个或者更多个服务的授权，在不输入和/或公开公共凭证的情况下在 一个或者更多个服务提供商106处认证用户，监测用户存在以。
23、在用户离开客户端平台102 的附近的事件中防止服务提供商的提前超时和/或激活客户端平台102和服务提供商106 之间的强制退出。示例性TIM110部分地允许客户端平台102建立对一个或者更多个服务 提供商106的安全信道、消除用户对用户凭证的公开并通过存在监测管理一个或者更多个 会话。可以按周期性、非周期性、按计划和/或人工执行存在监测。如下文将详细描述的， 存在监测可以包括面部识别技术，该面部识别技术例如每十秒执行一次。在一些示例中，用 说 明 书CN 103999401 A 4/13页 7 户的监测可以基本上连续地发生。 0020 在图2所示的示例中，更加详细地示出了TIM110，并包括会。
24、话管理器202，该会话 管理器202经由网络108和浏览器插件204与服务提供商106可通信地连接。图2中的 TIM110的示例还包括认证管理器206、存在管理器208、认证提供器210、存在提供器212以 及断言提供器214。图2中的示例性TIM110还包括对象面部识别(OFR)模块216、密码短 语模块218、安全断言标记语言(SAML)模块220、开放ID(OpenID)模块222以及TIM数据 库224。如下文所详述，示例性TIM110授权用户使用TIM110，针对新连接的用户在服务提 供商106激活初始证明过程、对于正在进行的会话在服务提供商106激活被动证明过程、在 TIM110和。
25、服务提供商106之间建立受信关系、促进对于每个用户和/或服务提供商关系而 言唯一的配置文件指令，并且监测服务提供商会话以确保安全。 0021 在用户与示例性TIM110互动之前，TIM110未被分配、未被授权和/或示例性客户 端平台102的用户不相关。在示例性TIM110能代表用户向服务提供商106中的一个或者 更多个发出断言之前，示例性TIM110经由示例性认证管理器206与用户身份关联。可以以 多种方式建立用户身份，这些方式包括但不限于获得第三方发出的证书，以及利用随机数 生成器和每天输入的时间来生成私钥/公钥对等。例如，一些辖区具有发布电子驾驶执照 的机动车管理部门(DMV)。这种执照是。
26、将示例性TIM110和用户绑定的安全凭证的示例。在 所例示的示例中，可以只由第三方发布者(即DMV)将所述证书放到示例性TIM110上，所述 凭证可利用由第三方发布的公钥来验证。为了最大程度地保证安全，第三方发布者可以要 求只有在物理上将凭证拿到第三方发布者(例如DMV)那里用于初始关联，所述凭证才能够 应用于TIM110。第三方证书与TIM110和用户身份信息的组合关联，并被存储在示例性TIM 数据库224中。 0022 另外，示例性认证管理器206可以要求创建TIM登录凭证，其中在实体发布位置处 (例如DMV)与第三方证书关联期间，由用户将单独的用户名和密码组合输入到TIM登录凭 证中。T。
27、IM登录凭证存储在示例性TIM数据库224中，因为示例性安全容器112的存在，TIM 数据库224示例性不能被外部读取和/或写入尝试访问。在例示的示例中，虽然TIM登录凭 证被用于针对TIM110对用户授权，但是TIM登录凭证不用于对服务提供商106认证。TIM 登录凭证不离开示例性TIM110，因此使由黑客检测的机会最小化。 0023 在一些示例中，在创建TIM登录凭证时，认证管理器206可以调用认证提供器210 中的一个或者更多个查询系统装置(例如键盘、网络摄像头、智能卡读取器等)。为了认证， 可以建立任意数量的TIM登录凭证组合。例如，与相对不敏感的服务(例如图书馆网站) 相关的服务提供。
28、商106可以在经过最小的认证过程之后(例如网络摄像头图像匹配)允许 对其网站和/或端口的全面使用。在其它示例中，如果针对TIM110的用户认证只限于网络 摄像头图像匹配，则与敏感的服务(例如银行网站)相关的服务提供商106可以只允许浏 览财务数据，但是当认证包括两种或更多不同的和/或替代认证手段时(例如网络摄像头 图像和密码的组合)，允许财务交易。 0024 在示例性TIM110和客户端平台102的用户关联之后，在与一个或者更多个服务提 供商106的会话期间中，图2中的示例性TIM110调用对用户两阶段认证。认证的第一阶段 包括初始认证，其中客户端平台102被锁定，并且认证的第二阶段包括被动重。
29、新认证，其中 客户端平台102经过认证而被预先解锁，但是需要用户存在的一个或者更多个指示来维持 说 明 书CN 103999401 A 5/13页 8 该解锁状态，从而防止一个或者更多个用户访问客户端平台102资源。可以采用用户配置 文件来确定初始认证和/或被动重新认证过程中的安全级别，该用户配置文件可以存储在 示例性TIM数据库224中。在一些示例中，初始认证需要相对较高的安全级别，此时需要凭 证的组合(例如网络摄像头图像加指纹扫描加密码，或者RFID标签检测加网络摄像头图像 面部识别)。在其它示例中，被动重新认证需要较低(与初始认证所需的认证相比)的安 全程度，例如对客户端平台102处的用。
30、户偶尔拍摄网络摄像头图像。可以按周期性、非周期 性、按计划和/或人工地执行被动重新认证。但是，认证频率和/或认证程度可以由用户配 置文件、服务提供商的要求和/或它们的组合来决定。 0025 在图2中的示例性TIM110对客户端平台102处的用户进行认证之后，示例性 TIM110在第一次与客户互动期间经由一个或者更多个临时协议与服务提供商106接触。换 句话说，示例性TIM110和服务提供商106中的每一方都必须验证另一方是可信的。在操作 中，示例性会话管理器202确定TIM110和服务提供商106彼此之间是否存在已有的关系。 如果没有，则示例性TIM110生成当向服务提供商106断言用户认证时。
31、要使用的共享名称。 示例性服务提供商106可以将所述共享名称和与用户相关的账户关联。在一些示例中，服 务提供商106可以基于密码哈希对示例性TIM110执行带外评估，以确定TIM110是否合法。 在其它示例中，服务提供商106可以验证与示例性安全容器112相关的信任根，以允许服务 提供商106验证从示例性TIM110接收到的一个或者更多个证明。 0026 响应于用户从服务提供商106对资源的请求，图2中的示例性TIM110发出HTTP 请求，其中包括指示TIM110的标签和/或由TIM110促进的用于允许用户访问示例性客户 端平台102的认证的强度。当TIM110从服务提供商106接收到用于认。
32、证的相应请求时， TIM110基于例如存储在示例性TIM数据库224中的与用户结合的一个或者更多个配置文件 指令来验证和/或确定是否允许生成公/私密钥对。在一些示例中，TIM110的会话管理器 202激活在客户端平台102上的请求允许发布和/或直接发出证明的一个或者更多个提示 (例如可点击的对话框)。在一些示例中，配置文件允许自动授权以执行认证过程。自动授 权例如可以基于用户尝试互动的服务提供商106。 0027 图2中的TIM110的示例性认证管理器206生成和/或向服务提供商106提供共 享名称。示例性共享名称可以是字母数字字符串和/或由示例性认证管理器206针对服务 提供商106生成的公。
33、钥。在示例性TIM110与其它服务提供商106操作和/或与其互动的 情况下，示例性认证管理器206可以针对每个相应的服务提供商106生成唯一的私/公密 钥对。为了证明示例性TIM110未被更改且在IEE中运行，示例性认证管理器206生成自证 明。如上所述，证明采用示例性安全容器112的信任根，该信任根可由示例性TIM110利用 其私钥进行密码学上的测量并签名，该私钥不离开TIM110和/或安全容器112。但是，在 TIM110的外部提供了相应的公钥，以使得服务提供商106有机会验证由TIM110签名的任何 事物。 0028 如果服务提供商106已经有针对用户的预先存在的账户，则一个或者更多个带。
34、外 确认过程可将用户账户和共享名称关联。带外确认可以例如向与用户关联的电话发送包括 代码(例如随机生成的)的文本消息、向与用户关联的电子邮件账户发送包括代码的电子 邮件等来进行。另一方面，如果用户在服务提供商106不具有预先存在的账户，则可执行一 个或者更多个带外帐户创建过程来进行创建。无论哪一种情况，共享名称和公钥都与用户 说 明 书CN 103999401 A 6/13页 9 关联，使得由TIM110随后发送的证明可以被接收的服务提供商106识别。 0029 示例性TIM110向服务提供商106发送签名后的证明，以向用户断言共享名称和认 证信息。认证信息可以包括但不限于时间戳信息、证明过期。
35、信息、与用于允许用户访问客户 端平台102而采用的TIM110认证方法相关的信息(例如面部识别、面部识别加指纹扫描、 面部识别加指纹扫描加密码等)等。由示例性TIM110生成的并利用与TIM/SP组合关联的 私钥签名的共享名称和授权信息被发送给服务提供商106，并可以由服务提供商106利用 公钥验证。虽然TIM110证明其用于对用户进行认证的方法，但是图2中的示例性TIM110 不发送用于允许对客户端平台102进行初始访问的用户凭证。这样，通过抑制在TIM验证 期间提供用户凭证，消除了远程提供商处对该凭证的存储。这也防止了一个或者更多个对 手获取用户凭证并且在没有每次独立地向TIM110提供文。
36、书的情况下独立地断言该凭证。 0030 示例性服务提供商106可以均采用不同的协议。为了允许在使用不同协议的不同 的服务提供商106之间通信，示例性TIM110包括开放ID模块222和SAML模块220。一般 来讲，开放ID是定义了以用户为中心和/或分散化认证框架的开放标准，并且SAML是用于 在一个或者更多个安全域之间交换认证和/或授权数据的开放标准。使用开放标准对于 TIM110和/或服务提供商106是有益的，因为它提供了各个连接都能使用的公用的预定义 的通信语言。 0031 在客户端平台102处的用户和服务提供商106之间持续进行的会话期间，示例性 存在管理器208通过与一个或者更多个存。
37、在提供器212接口来确定经认证的用户是否仍然 存在(例如在客户端平台102的附近)。图2中的示例性存在提供器212针对一个或者更 多个认证和/或重新认证事件查询认证设备104a-n(例如，经由一个或者更多个模块，诸如 示例性OFR模块216、示例性密码模块218等)中的一个或者更多个。认证和/或重新认证 事件可以包括来自模块和/或认证设备104a-n的消息，诸如指示经由网络摄像头、指纹扫 描仪检测某个用户的消息和/或指示用户存在已丢失/不存在的消息。 0032 示例性会话管理器202管理一个或者更多个用户策略。例如，响应于从示例性认 证管理器206和/或示例性存在管理器208接收到用户已被认证。
38、的消息，示例性会话管理 器202针对与用户相关的配置文件所关联的指令来查询示例性TIM数据库224。得到的动 作和/或许可可以由存储在示例性TIM数据库224中的一个或者更多个配置文件指令(诸 如特定服务提供商106所需的安全程度)来主导。例如，如果与用户关联的配置文件规定对 电子邮件服务提供商的自动登录应该发生，则示例性会话管理器202将抑制在调用TIM110 向电子邮件服务提供商发送签名后的证明之前利用许可对话框来提示用户。在一些示例 中，如果示例性存在管理器208接收和/或生成指示存在已丢失的消息，则配置文件可主导 TIM110锁定，以便在用户离开期间防止其他人使用客户端平台102。另外。
39、，配置文件可以主 导TIM110向先前进行活动会话的一个或者更多个服务提供商106发出退出消息。 0033 虽然图1和图2中例示了实现示例性CBA系统100和示例性TIM110的示例性方 式，但是图1和图2所示的部件、处理和/或设备中的一个或者更多个可以被合并、划分、 重新构造置、省略、去除和/或以其它任意方式实施。另外，图1和图2中的示例性CBA系 统100、示例性客户端平台102、示例性认证设备池104、示例性认证设备104a-n、示例性 TIM110、示例性会话管理器202、示例性认证管理器206、示例性存在管理器208、示例性认 证提供器210、示例性存在提供器212、示例性断言提供器。
40、214、示例性OFR模块216、示例性 说 明 书CN 103999401 A 7/13页 10 密码短语模块218、示例性SAML模块220、示例性开放ID模块222和/或示例性TIM数据 库224可以由一个或者更多个电路、可编程处理器、专用集成电路(ASIC)、可编程逻辑设备 (PLD)和/或场可编程逻辑设备(FPLD)等实现。当阅读本专利的装置或系统权利要求中的 任何部分包含纯软件和/或固件实现方式时，图1和图2中的示例性CBA系统100、示例性 客户端平台102、示例性认证设备池104、示例性认证设备104a-n、示例性TIM110、示例性会 话管理器202、示例性认证管理器206、示。
41、例性存在管理器208、示例性认证提供器210、示例 性存在提供器212、示例性断言提供器214、示例性OFR模块216、示例性密码模块218、示例 性SAML模块220、示例性开放ID模块222和/或示例性TIM数据库224中的至少一个在此 简略地限定为包括存储了该软件和/或固件的有形的计算机可读介质(诸如存储器、DVD、 CD等)。另外，图1和图2中的示例性CBA系统100和/或示例性TIM110除了图1和图2 中所例示的部件、处理和设备以外还可以包含一个或者更多个部件、处理和/或设备，或者 代替图1和图2中所例示的部件、处理和设备，和/或可以包括所例示的部件、处理和设备 中的多个或者全部中。
42、的超过一个部件、处理和设备。 0034 图3、图4A、图4B、图5和/或图6例示了用于实现图1中的CBA系统100和/或 图1和/或图2中的示例性TIM110的机器可读指令示例性的代表性流程图。在这些示例 中，机器可读指令包括由处理器(例如下文结合图7描述的示例性计算机P100中所示的处 理器P105)执行的程序。所述程序可以由存储在有形的计算机可读介质(例如CD-ROM、软 盘、硬盘驱动器、数字通用盘(DVD)或者与处理器P105关联的存储器)中的软件实现，但是 整个程序和/或程序的部分可以另选地由不同于处理器P105的设备执行和/或在固件或 专用硬件实现。另外，尽管参照图3、图4A、图4B。
43、、图5和/或图6中例示的流程图描述了所 述示例性程序，但是也可以另选地使用诸多其它方法来实现示例性CBA系统100和/或示 例性TIM110。例如，可以改变执行各块的顺序，和/或这里描述的一些块可以被改变、去除 或组合。 0035 如上文所述，可以利用存储在有形的计算机可读介质(例如硬盘驱动器、闪速存 储器、ROM、CD、DVD、缓存、RAM和/或任何其它能够存储信息任何时间段(例如延长的时间 段、永久地、短暂地、临时缓冲和/或信息的缓存)的存储介质)上经编码的指令(例如计 算机可读指令)来实现图3、图4A、图4B、图5和/或图6中的示例性处理。本文所使用的 术语“有形的计算机可读介质”被明确。
44、定义成包括任何类型的计算机可读存储器。另外，可 利用存储在非临时性计算机可读介质(例如硬盘驱动器、闪速存储器、ROM、CD、DVD、缓存、 RAM和/或任何其他能够存储信息任何时间段(例如延长的时间段、永久地、短暂地、临时 缓冲和/或信息的缓存)的存储介质)上的代码化指令(例如计算机可读指令)来实现图 3、图4A、图4B、图5和/或图6中的示例性处理。本文所使用的术语“非临时性计算机可读 介质”简略定义成包括任何类型的计算机可读介质。 0036 图3中的程序300从块302处开始，在块302处，示例性会话管理器202确定示例 性TIM110是否已经被建立、指派、授权和/或与客户端平台102和/。
45、或客户端平台102的用 户关联。如果没有(块302)，则示例性认证管理器206将用户身份和TIM110关联(块304)。 如上所述，可通过第三方发布的凭证(例如DMV发布的电子驾照)将用户身份和TIM110关 联，或者结合私钥/公钥与用户生成用户身份。用户可经由TIM110提供和/或选择进行关 联的一个或者更多个凭证以获得对客户端平台102的访问(块306)，并且在例示的示例中， 说 明 书CN 103999401 A 10 8/13页 11 当凭证被存储在示例性TIM数据库224中，凭证时不离开TIM110(块308)。 0037 在示例性会话管理器202确定示例性TIM110已经被客户端平。
46、台102初始化的情 况下(块302)，会话管理器202确定客户端平台102当前是否被锁定(块310)。例如当客 户端平台102初始地被供电时，如果用户退出账户，或者用户从客户端平台102走开，则会 发生客户端平台102被锁定。在一些示例中，如果客户端平台102处于锁定状态，则访问客 户端平台102就需要相对较高的安全认证级别，其中用于解锁的安全等级由一个或者更多 个配置文件设置主导。如果客户端平台102被锁定(块310)，则示例性会话管理器202调 用示例性认证管理器206调用初始证明过程(块312)。下文结合图5更详细描述块312。 如果示例性会话管理器202确定当前客户端平台102未被锁定。
47、(块310)，则会话管理器202 调用示例性存在管理器208调用被动重新认证过程(块314)。下文结合图6更详细描述块 314。然后，图3中的示例性程序300返回至块302。 0038 图4A和图4B中的程序400从块402开始，在块402中，示例性会话管理器202确 定是否发出了与服务提供商106通信的请求。如果没有(块402)，则示例性会话管理器202 就等待请求的发出。否则，会话管理器202查询示例性TIM数据库224以确定TIM110与被 请求的服务提供商106之间是否存在已有的关系和/或已经建立关系。如果示例性TIM110 和服务提供商106之间没有建立已有关系(块404)，则示例性。
48、认证管理器206向服务提供 商发送信任请求初始化消息(块406)。在从服务提供商106接收到确认之后，认证管理器 206向服务提供商106发送TIM证书(块408)。控制返回至块402。示例性服务提供商106 可对所述TIM证书执行一次或多次带外评估以验证其真实性和/或身份。例如，服务提供 商106可对TIM110执行密码哈希和/或可以验证与示例性安全容器112关联的信任根。 0039 返回参照块404，如果TIM110和被请求的服务提供商106之间存在已有关系和/ 或已经建立关系(块404)，则示例性TIM110就向服务提供商106发送HTTP请求，该请求带 有一个或者更多个标签指示使用了T。
49、IM110来以安全的方式对客户端平台102上的用户进 行认证(块410)。示例性认证管理器206等待来自服务提供商106的授权请求(块412)， 并且当接收到授权请求时，确定TIM110是否被授权继续创建并向服务提供商106发送证明 信息(块414，参照图4B)。如上所述，客户端平台102的用户保持完全控制是否要从客户 端平台102发送信息。这种控制和/或指令可以存储在TIM数据库224中，该TIM数据库 224还可以包括基于具体的服务提供商106的特定指令。 0040 响应于获得了继续从示例性TIM110向示例性服务提供商106发送证明信息的许 可(块414)，示例性会话管理器202确定服务提供商106是否具有之前创建的与用户关联 的共享名称(块416)。如果没有，则认证管理器206生成认证提供器210配置文件以关联 与服务提供商106关联的新的公钥/私钥对(块418)。认证管理器206针对与用户互动的 每个唯一示例性服务提供商106都生成额外和单独的认证提供器210配置文件，该认证提 供器210配置文件具有额外和单独的唯一公钥/私钥对和关联的共享名称。示例性认证管 理器206生成并向示例性服务提供商106。