用于提供基于客户端侧得分的认证的方法和设备技术

公开了用于结合风险评估来生成和验证一次性口令的方法、设备和系统。所述风险评估可以包括客户端侧风险评估。所述风险评估还可以包括服务器侧风险评估。

【技术实现步骤摘要】
【国外来华专利技术】相关申请的交叉引用本申请要求于2013年12月31日提交的题目为“Amethodandapparatusforprovidingclient-sidescore-basedauthentication”的美国临时申请第61/922,516号的优先权，其全部内容通过引用合并至本文中。本专利技术涉及保护对计算机和应用的远程访问以及经由计算机网络的远程事务。更具体地，本专利技术涉及用于认证用户的方法和设备。
技术介绍
随着对计算机系统和应用的远程访问越来越普遍，通过公用网络如互联网远程访问的事务的数目和种类急剧增多。这一普遍性强调了对安全性的需要；具体地：如何确保远程访问应用的人是他所声称的人；如何确保远程执行的事务是由合法个体发起的；以及如何确保事务数据在应用服务器处被接收之前未被改变。在过去，应用提供商依靠静态口令来为远程应用提供安全性。近年来，变得明显的是，静态口令是不够的并且需要更先进的安全技术。在一个解决方案中，生成动态口令，用户将动态口令而非静态口令(或者动态口令以及静态口令)传递到应用。动态口令在客户端侧通过将动态变量与密码密钥以密码的形式进行组合来生成，所述密码密钥在一方面的客户端侧设备与另一方面的服务器侧验证实体之间共享。动态变量可以是基于时间的值、基于计数器的值、(例如可以由应用服务器提供的)挑战(challenge)或甚至是表示用户想要提交到应用服务器的事务的事务数据，或者上述的任意组合。动态变量可以例如通过对利用共享的密码密钥来参数化的动态变量应用对称密码算法而与共享的密码密钥以密码的形式进行组合。例如，可以使用对称加密算法如AES(高级加密标准)或动态变量的串接来对动态变量进行加密，并且可以通过散列算法如SHA-1(安全散列算法1)使共享密钥散列。在许多情况下，所得到的密码被截短并且随后被转换成字符串。然后，该字符串——通常被称为一次性口令或OTP——被显示给用户以便用户手动复制并且转移至应用。如果动态变量是基于挑战的，则字符串可以被称为响应。如果动态变量是基于挑战的，则字符串可以被认为是事务数据上的签名。在下文中，术语OTP也可以指代这样的响应或签名。因为OTP常常用于由用户手动复制，所以它们通常保持相当短，一般短于生成它们的密码。然后，可以在应用服务器侧验证所接收的OTP。通常通过生成针对OTP的期望的参考值，并且将所接收的OTP与所生成的参考值进行比较来实现上述验证。用于生成OTP的客户端装置包括具有自身显示器并且有时具有小键盘来输入PIN(个人识别号)的专用硬件认证令牌，或者通用计算装置如例如运行用于模拟专用硬件认证令牌的认证软件的智能电话。
技术实现思路
本专利技术基于专利技术人的以下认识：基于一次性口令的解决方案的总体安全等级可以取决于其中已经生成一次性口令的环境、平台和上下文，但是验证OTP的有效性的服务器仅指示下述二进制结果，该二进制结果指示所验证的OTP在密码上是否正确而不考虑可能影响总体安全等级的这些环境和上下文中的任何环境和上下文。例如，智能电话上的软件认证应用被攻击的风险远高于专用硬件认证令牌被攻击的风险。如果用于生成OTP的客户端装置在生成OTP的时刻位于与用户的归属国家完全不同的国家，则这还可能是出现问题的指示。此外，本专利技术基于专利技术人的以下另一认识：即使服务器能够考虑与OTP的生成周围的上下文和环境相关的这样的信息，但是在实际中，服务器可能难以或甚至不可能获得该信息。具体地，服务器非常难以获得与客户端装置自身相关的本地信息，这是因为在许多情况下，客户端装置与服务器之间的仅有的通信途径是用户在客户端装置与服务器之间手动复制数据的。出于方便原因，用户必须从服务器手动地转移至令牌并且从令牌手动地转移至服务器的信息量必须被限制成严格的最小。本专利技术的一方面提供了一种用于生成增强型一次性口令(OTP)的方法。在一些实施方式中，该方法可以包括以下步骤：执行第一风险分析；生成表示所述第一风险分析的结果的风险信息数据；确定动态变量的第一值；通过将所述动态变量的所述第一值与密码密钥以密码的形式进行组合来生成密码OTP数据；以及通过将所述密码OTP数据与所述风险信息数据进行组合来获得所述增强型OTP。在一些实施方式中，该方法可以是先前实施方式中的任意实施方式的方法，其中，执行所述第一风险分析可以包括对一个或更多个风险因素中的每个风险因素进行风险评估。在一些实施方式中，生成风险信息数据可以包括对所述一个或更多个风险因素的所有所述风险评估的结果进行组合。在一些实施方式中，所述第一风险分析可以包括：将所述一个或更多个风险因素分组成一个或更多个风险因素类别，并且使用相应的风险因素类别的所有风险因素的所述风险评估的结果来对所述一个或更多个风险因素类别中的每个风险因素类别确定风险评估类别得分，并且其中，所述生成风险信息数据包括对所述一个或更多个风险因素类别的风险评估类别得分进行组合。在一些实施方式中，每个风险评估类别得分可以被表示为位串(bitstring)，并且所述生成风险信息数据可以包括将与所述一个或更多个风险因素类别对应的各个位串的位(bit)串接成风险信息位串，并且所述风险信息数据可以包括所述风险信息位串的表示。在一些实施方式中，第一风险分析在由用户正在操作的客户端装置上完成，并且所述一个或更多个风险因素类别可以包括以下中的至少之一：平台风险因素类别，其对与客户端装置自身的特性相关的所有风险因素进行分组；用户风险因素类别，其对与用户的特性和用户的行为的特性相关的所有风险因素进行分组；或上下文风险因素类别，其对与客户端装置正在其中操作的环境或上下文的特性相关的所有风险因素进行分组。在一些实施方式中，一个或更多个风险因素类别可以包括平台风险类别、用户风险因素类别和上下文风险因素类别所有这三个风险因素类别。在一些实施方式中，生成密码OTP数据可以包括将风险信息数据和动态变量的第一值与密码密钥以密码的形式进行组合。在一些实施方式中，将所述动态变量的所述第一值与所述密码密钥以密码的形式进行组合包括执行密码算法，所述密码算法使用所述动态变量的所述值并且通过所述密码密钥来参数化。在一些实施方式中，密码算法可以是对称密码算法，并且密码密钥可以与可以适于验证增强型OTP或使其生效的实体共享。对称密码算法可以例如包括对称加密或解密算法如AES(高级加密标准)或者带密钥的散列算法如HMAC(基于散列的消息认证码)。在一些实施方式中，对称密码算法还可以使用风险信息数据。在一些实施方式中，动态变量可以是基于时间的。例如，动态变量可以包括时钟的值，该时钟可以被包括在生成增强型OTP的客户端装置中。在一些实施方式中，动态变量可以是基于计数器的，该计数器例如可以存储和保持在客户端装置上。在一些实施方式中，动态变量是基于挑战的，该挑战例如可以由与用户交互的应用来提供。在一些实施方式中，动态变量可以是基于以下数据的，所述数据表示用户可以提交至应用并且可以与增强型OTP相关联的事务请求。在一些实施方式中，通过将密码OTP数据与风险信息数据组合来获得所述增强型OTP包括：使用密码OTP数据的一部分和风险信息数据来生成风险信息数据的掩蔽表示，并且将密码OTP数据与风险信息数据的掩蔽表示进行组合。在一些实施方式中，可以在客户端装置上本文档来自技高网...

【技术保护点】
一种用于生成增强型一次性口令的方法，包括以下步骤：执行第一风险分析；生成表示所述第一风险分析的结果的风险信息数据；确定动态变量的第一值；通过将所述动态变量的所述第一值与密码密钥以密码的形式进行组合来生成密码一次性口令数据；以及通过将所述密码一次性口令数据与所述风险信息数据进行组合来获得所述增强型一次性口令。

【技术特征摘要】
【国外来华专利技术】2013.12.31 US 61/922,5161.一种用于生成增强型一次性口令的方法，包括以下步骤：执行第一风险分析；生成表示所述第一风险分析的结果的风险信息数据；确定动态变量的第一值；通过将所述动态变量的所述第一值与密码密钥以密码的形式进行组合来生成密码一次性口令数据；以及通过将所述密码一次性口令数据与所述风险信息数据进行组合来获得所述增强型一次性口令。2.根据权利要求1所述的方法，其中，执行所述第一风险分析包括对一个或更多个风险因素中的每个风险因素进行风险评估。3.根据权利要求2所述的方法，其中，生成所述风险信息数据包括对所述一个或更多个风险因素的所有所述风险评估的结果进行组合。4.根据权利要求2所述的方法，其中，所述第一风险分析包括将所述一个或更多个风险因素分组成一个或更多个风险因素类别，并且使用相应的风险因素类别的所有风险因素的所述风险评估的结果来对所述一个或更多个风险因素类别中的每个风险因素类别确定风险评估类别得分，并且其中，所述的生成所述风险信息数据包括对所述一个或更多个风险因素类别的所述风险评估类别得分进行组合。5.根据权利要求4所述的方法，其中，每个风险评估类别得分被表示为位串，并且其中，所述的生成所述风险信息数据包括将与所述一个或更多个风险因素类别对应的各个位串的位串接成风险信息位串，并且其中，所述风险信息数据包括所述风险信息位串的表示。6.根据权利要求4所述的方法，其中，所述第一风险分析在由用户正在操作的客户端装置上完成，并且其中，所述一个或更多个风险因素类别包括以下至少之一：平台风险因素类别，所述平台风险因素类别对与所述客户端装置自身的特性相关的所有风险因素进行分组；用户风险因素类别，所述用户风险因素类别对与所述用户的特性和所述用户的行为的特性相关的所有风险因素进行分组；上下文风险因素类别，所述上下文风险因素类别对与所述客户端装置在其中操作的环境或上下文的特性相关的所有风险因素进行分组。7.根据权利要求6所述的方法，所述一个或更多个风险因素类别还包括所述平台风险类别、所述用户风险因素类别和所述上下文风险因素类别这三个风险因素类别。8.根据权利要求1所述的方法，其中，所述的生成所述密码一次性口令数据包括将所述风险信息数据和所述动态变量的所述第一值与密码密钥以密码的形式进行组合。9.根据权利要求1所述的方法，其中，所述的将所述动态变量的所述第一值与所述密码密钥以密码的形式进行组合包括执行对称密码算法，所述对称密码算法使用所述动态变量的所述值并且通过所述密码密钥被参数化。10.根据权利要求9所述的方法，其中，所述对称密码算法还使用所述风险信息数据。11.根据权利要求1所述的方法，其中，所述动态变量是基于时间的。12.根据权利要求1所述的方法，其中，所述动态变量是基于计数器的。13.根据权利要求1所述的方法，其中，所述动态变量是基于挑战的。14.根据权利要求1所述的方法，其中，所述动态变量是基于表示与所述增强型一次性口令相关联的事务请求的数据的。15.根据权利要求1所述的方法，其中，通过将所述密码一次性口令数据与所述风险信息数据进行组合来获得所述增强型一次性口令包括：使用所述密码一次性口令数据的一部分和所述风险信息数据来生成所述风险信息数据的掩蔽表示，以及将所述密码一次性口令数据与所述风险信息数据的所述掩蔽表示进行组合。16.一种用于使增强型一次性口令生效的方法，其中，通过以下方式来生成所述增强型一次性口令：执行第一风险分析，生成表示所述第一风险分析的结果的风险信息数据，确定动态变量的第一值，通过将所述动态变量的所述第一值与密码密钥以密码的形式进行组合来生成密码一次性口令数据，以及通过将所述密码一次性口令数据与所述风险信息数据进行组合来获得所述增强型一次性口令；所述方法包括以下步骤：从所述增强型一次性口令中检索所述密码数据；从所述增强型一次性口令中检索所述风险信息数据；以密码的形式验证所检索的密码数据；使用所检索的风险信息数据来执行第二风险分析；以及使用所检索的密码...

【专利技术属性】
技术研发人员：纪尧姆·特谢龙，塞巴斯蒂安·拉维涅，
申请(专利权)人：威斯科数据安全国际有限公司，
类型：发明
国别省市：瑞士;CH