CN110869928A - 认证系统和方法 - Google Patents

Abstract

在处理部件处从由终端用户操作的进行请求的设备接收如下数据：所述数据描述针对访问计算机程序的请求。处理部件确定是否存在用于终端用户的现有认证会话。根据不存在用于终端用户的现有认证会话的确定，提示终端用户向处理部件认证。根据存在用于终端用户的现有认证会话的确定，执行风险评定。风险评定包括对以下各项中一个或二者的考虑：（i）与针对访问计算机程序的请求相关联的一个或多个请求特性，以及（ii）一个或多个计算机程序访问准则。根据风险评定是正面的确定，向进行请求的设备提供对计算机程序的访问。根据风险评定是负面的确定，提示终端用户执行认证活动。响应于接收到对终端用户执行了认证活动且认证活动是成功的进行指示的数据，为终端用户建立新的认证会话，并且向进行请求的设备提供对计算机程序的访问。

Description

认证系统和方法

技术领域

本发明一般涉及使用单一登入（single sign-on）技术对跨多个设备的计算机程序的终端用户访问进行认证。

发明内容

在一个实施例中，存在用于执行增强认证的系统和方法。

在处理部件处从由终端用户操作的进行请求的设备接收如下数据：所述数据描述针对访问计算机程序的请求。处理部件确定是否存在用于终端用户的现有认证会话。根据用于终端用户的现有认证会话不存在的确定，提示终端用户向处理部件认证。根据用于终端用户的现有认证会话存在的确定，执行风险评定。风险评定包括对以下各项中一个或二者的考虑：（i）与针对访问计算机程序的请求相关联的一个或多个请求特性，以及（ii）一个或多个计算机程序访问准则。根据风险评定是正面的确定，向进行请求的设备提供对计算机程序的访问。根据风险评定是负面的确定，提示终端用户执行认证活动。响应于接收到对终端用户执行了认证活动并且认证活动是成功的进行指示的数据，为终端用户建立新的认证会话，并且向进行请求的设备提供对计算机程序的访问。

对终端用户执行了认证活动进行指示的数据可以包括终端用户的生物计量学数据；由终端用户选择的密码；和/或在从进行请求的设备接收到针对访问的请求之后由处理部件提供的一次性密码。

在一些实施例中，处理部件从终端用户接收注册请求。处理部件创建唯一的注册令牌（token）。处理部件创建数据库记录，所述数据库记录包括针对终端用户的标识符以及唯一的注册令牌。处理部件向注册设备提供一种访问认证应用以用于发起注册设备的注册的机制。通过认证应用而从终端用户接收所述针对终端用户的标识符和唯一的注册令牌。收集与注册设备相关联的标识符。从注册设备接收公共密钥。公共密钥形成密码密钥对的一部分，所述密码密钥对在终端用户向注册设备认证时被创建。注册设备存储密码密钥对的私有密钥。处理部件计算设备认证权重，所述设备认证权重连同公共密钥一起被存储在数据库中。

在一些实施例中，在接收针对访问计算机程序的请求之前，使用注册设备来建立用于终端用户的认证会话。

在一些实施例中，进行请求的设备是注册设备，并且在其它实施例中是不同的设备。

在一些实施例中，对计算机程序访问准则的考虑指示了风险评定是负面的确定，而无论对请求特性的考虑如何。

在一些实施例中，对请求特性的考虑指示了风险评定是负面的确定，而无论对计算机程序访问准则的考虑如何。

计算机程序访问准则可以包括与计算机程序相关联的最小认证权重，所述最小认证权重可以基于计算机应用的关键性来被确定。

请求特性可以包括以下各项中的一个或多个：设备认证权重；进行请求的设备的位置；自建立了现有认证会话以来已过去的时间；以及注册设备是否是用于做出访问请求的相同设备。

设备认证权重可以基于终端用户通过它来向注册设备认证的模态和/或注册设备的安全评定来被计算。

在一些实施例中，处理部件接收与执行认证活动的终端用户有关的公共密钥。

在一些实施例中，在处理部件处接收针对访问计算机程序内的资源的请求，并且确定一个或多个请求特性是否满足一个或多个计算机程序资源访问准则。所述一个或多个计算机程序资源访问准则包括与资源相关联的最小认证权重。

在一些实施例中，与终端用户访问不是请求访问的主体的另一计算机程序有关地建立了现有认证会话。在这样的实施例中，所述一个或多个请求特性可以包括如下模态：在所述模态中建立了与访问另一计算机程序有关的现有认证会话。

在某些实施例中，计算机程序可以是本机应用；基于web（网）的应用；或进行请求的设备的操作系统。

在一些实施例中，对请求特性和计算机程序访问准则的考虑指示了：当设备认证权重不超过与计算机程序相关联的最小认证权重的时候，风险评定是负面的确定。

在一些实施例中，对请求特性和计算机程序访问准则的考虑指示了：当在访问请求被发送的时候进行请求的设备的第一位置与当现有认证会话被创建的时候另一设备的第二位置之间的距离超过距离阈值的时候，风险评定是负面的确定。

在一些实施例中，对请求特性和计算机程序访问准则的考虑指示了：当在访问请求被发送的第一时间与现有认证会话被创建的第二时间之间的时间段超过时间段阈值的时候，风险评定是负面的确定。

附图说明

当结合示例性实施例的附图来被阅读的时候，前述概要、以及本发明的实施例的以下详细描述将被更好地理解。然而，应当理解到，本发明不限于所示的精确布置和手段。

在附图中：

图1是一图解，其图示了可以结合本发明的示例性实施例被使用的示例性硬件和软件部件；

图2A是一图解，其图示了与本发明的示例性注册过程有关的、在设备与其它计算机系统部件之间及其之中的通信和数据流；

图2B是一图解，其图示了与本发明的示例性认证过程有关的、在设备与其它计算机系统部件之间及其之中的通信和数据流；并且

图3是一图解，其图示了根据本发明可以被使用的示例性计算机系统架构。

具体实施方式

组织和终端用户面临认证空间中的多个挑战。要求用户记住用于访问他们每天使用的计算机程序（例如应用、设备的操作系统等等）的多个密码。该负担与用户需要访问多个设备上的多个计算机程序（例如在旅行时经由移动设备，以及在抵达工作或其它目的地时经由他们的台式机）的程度相复合。作为结果，密码重置在上涨，这对于组织来实现和维护是高成本的。另外，移动应用正在组织内激增。这进一步增加密码重置的复杂性以及在如果单个应用或系统受损的情况下组织面临的极大风险。鉴于前述内容，在本领域中存在有针对如下系统的需要：所述系统向终端用户提供在访问计算机程序方面的便利性和灵活性并且向组织提供所需要的安全性。

本发明的实施例提供在认证技术领域中的新奇改进，并且在标识和访问管理系统中特别有用。更特别地，本发明的实施例提供一种平台，所述平台允许用户使用单一登入功能性（即单一登录（例如用户名/密码、触摸标识））来登录到多个不同的客户端（例如移动的、台式的、服务/能力）中的任一个上，并且访问计算机程序（例如本机移动应用、台式机应用、基于web（网）/云的应用、认证设置、操作系统、服务或能力）。在示例性实施例中，本发明使用生物计量学（尽管不需要在本发明的所有实施例中使用生物计量学）、认证和密码部件来使能实现如下能力：其中用户的身份（例如生物计量学身份）、或签名保持匿名，而同时密码密钥关系被用于认证用户。在优选实施例中还提供了风险引擎，以基于各种风险因素、作为示例诸如时间、设备数目和/或地理位置来控制单一登入功能。

现在描述本发明的示例性实施例的详细描述。图1是系统100的图解，其图示了可以结合本发明的实施例被使用的示例性硬件和软件部件。设备10是寻求对计算机程序的访问的任何设备。（一个或多个）设备15包括向处理部件20注册的设备。所图示的网络是通信网络，其允许系统100的部件传送并且交换数据。处理部件20执行本文中所述的认证活动。处理部件20在示例性实施例中可以是计算机服务器，并且因而，在本文中还被称为认证服务器20。风险引擎30包括计算机处理器，所述计算机处理器被编程以执行本文中所述的风险评定活动。规则/权重存储装置45包括用于由风险引擎30使用的规则和权重的数据存储/检索机制。密码存储装置40存储与结合本发明被使用的密码密钥相关联的数据。

参考图2A，描述了示例性方法200，终端用户可以通过该示例性方法200向系统注册，包括向系统注册他的（一个或多个）设备15。在步骤201中，用户从安全客户端设备发起注册。更特别地，用户可以从受信的工作台式机或其它经认证的环境、利用现有认证会话（即从已经被注册并且用户登录到其中的受信设备或者从用户登录到其中的经授权的台式机）发起注册。在步骤202中，认证服务器20接收针对开始注册的请求并且创建唯一的有时限的注册令牌（作为示例例如一次性pin（个人标识号）或密码、或QR码）。认证服务器20创建数据库记录，该数据库记录包括例如：诸如用户的电子邮箱地址之类的针对用户的标识符以及唯一的有时限的注册码。在步骤203中，认证服务器20例如使用安全电子邮箱地址向用户发送电子消息，该电子消息包括用于下载应用并且发起注册过程的链接。如本文中更充分地描述的，应用充当认证代理并且例如利用生物计量学而被保护，以解锁对私有密钥的访问。可替换地，用于下载应用的链接可以在安全会话内在屏幕上被显示给用户。因此，以任何数目的方式向用户提供对应用的访问，因此他可以将其安装在设备上。因而，在步骤204中，通过使用链接，用户安装应用，并且通过应用向用户提示注册他的设备。在步骤205中，用户录入针对用户的标识符、例如他的电子邮箱地址，以及唯一的有时限的注册码。可以收集附加的数据，例如执行注册的设备的标识符以及这样的设备在注册时的位置。在该点处，用户寻求注册的设备15的真实性和所有权被确认，以及用户与用户来注册他的设备所采用的设备上的经认证的会话的关联。在步骤206中，例如通过录入用户创建的密码或使用生物计量学特征，用户在设备15上注册认证因素。在步骤207中，在设备的安全容器内创建密码密钥对。密钥对的私有密钥被存储在设备的安全区域中，并且在参考图2A所描述的认证过程期间不被透露。公共密钥包括设备ID、密钥ID，并且在一些实施例中包括对设备15在注册时的位置进行描述的数据。

与注册过程有关地，在步骤208中，被安装在设备15上的应用结合风险引擎30来计算设备认证权重。在优选实施例中，设备认证权重可以基于若干因素来被计算。

一个因素涉及位置，其使用例如由应用在注册时获得的参数（例如地理位置、时间）。进行注册过程的设备以及待被注册的设备二者的位置都与所述过程相关。例如，系统将考虑是否应当准许用户注册不在距用户正在使用来执行注册的设备的合理邻近度内的设备。在特定的示例中，如果用户在他寻求注册他的移动电话的时候登录到他在纽约的膝上型电脑上，那么如果相同的用户在他纽约膝上型电脑登录之后的几分钟内尝试从欧洲的一位置下载应用并且注册他的移动电话，则注册可以被拒绝，因为这将指示不可能的速度（即在几分钟内从纽约行进到欧洲）。

关于另一因素，被寻求注册的设备的认证能力越安全，被指派的权重就越高。例如，风险引擎30基于所提供的认证因素来指派权重，例如基于硬件并且利用被存储在设备的安全容器中的密钥来被支持的生物计量学因素将被认为比密码受信。生物计量学因素特别地可以基于已建立的行业评级来被加权：例如，虹膜扫描仪与静脉扫描仪相比具有更少的假阳性，并且因而将被给予更高的权重。因而，在示例性实施例中，从高到低的加权次序是虹膜扫描仪、静脉扫描仪、触摸标识、通行短语以及然后是密码。

另一因素涉及设备关于存储私有密钥而言有多安全，以及是否存在任何已知的泄漏或漏洞。因此，例如，触摸标识传感器具有操作系统和硬件支持，以确保私有密钥从不被软件访问并且它们被完全存储在硬件内且在硬件内运作。另一方面，某些虹膜扫描仪实现方式可以具有更高的被感知的安全评级，但是结合这样的实现方式被使用的密钥管理是完全基于软件的，并且因而，私有密钥在被提交给存储装置之前被暴露给软件。利用硬件安全性的虹膜扫描仪实现方式可以具有比触摸标识高的安全评级。

应当注意到，寻求被注册的设备不需要是集成设备。例如，用户可以利用用于生物计量学认证的外部可用的设备，其直接地或者经由无线能力并且使用已知接口来连接到它们的设备。

在示例性实施例中，用于设备的注册过程然后被完成，并且设备将以下数据元素发送到认证服务器20：用户标识符，例如他的电子邮箱地址；唯一的注册码；公共密钥；以及设备认证权重。在步骤209中，在数据库40中更新用户/设备记录。

用户可以按照前述注册过程来注册多于一个设备15。每个设备15与其自己的唯一公共/私有密钥关系和独特的密钥ID相关联。关于多个设备的注册，认证权重基于登录上下文并且特定于设备。更特别地，处于静息的设备（例如离线或者在线但是没有在被使用的经注册的设备）不贡献于权重逻辑。用户可以经由第一设备来发起登录，并且基于第一设备的使用将认证权重指派给该特定的事务。如果用户寻求从第二设备登录，则基于来自第二设备的该新的认证请求（例如基于位置、时间以及先前描述的其它因素）来计算认证权重。

参考图2B，图示了示例性方法210，其中本发明的系统处理登录请求。当用户尝试使用一设备来访问所期望的计算机程序的时候，所述过程开始。用户可以寻求对以下各项的访问：移动设备上的本机或web（网）应用；台式计算机上的本机或web（网）应用；服务器应用或服务；或者操作系统，作为示例，例如智能设备的操作系统。

在一些实施例中，将从本发明的认证技术获益的每个计算机程序需要包括认证模块，所述认证模块在终端用户请求对应用的访问时以及在一些实例中在终端用户寻求在应用内执行活动（例如访问资源）时发动。更特别地，对于每个类别的设备和计算机程序（例如移动本机应用；移动web（网）应用；台式机本机应用；台式机web（网）应用；台式机插件；以及对服务器和/或操作系统的访问），创建入口点，所述入口点将设备/应用的用户接口/访问控制转化成与认证服务器20通信的能力。这允许单一登入到跨所有平台/设备/服务的所有这样的计算机程序。

在计算机程序的创建者也是认证技术的发起者的情况下，认证模块可以被写入到与登录到计算机程序中相关联的代码中。然而，对于第三方计算机程序（即不是由认证技术的发起者所创建的那些，诸如移动设备的本机的应用）而言，需要用于对认证模块进行编码的入口点。这样的第三方可以允许计算机程序的用户定制计算机程序的登录页面（例如允许定制的品牌化）。这样的访问可以被用作用于包括实现认证模块的代码（例如HTML或JavaScript代码）的开口，所述认证模块然后当用户请求对计算机程序的访问的时候发动。

现在对参考图2B所图示的示例性方法的步骤进行参考，在步骤211中，当用户请求对计算机程序的访问、通过例如录入他的用户名来向计算机程序标识他自己的时候，认证模块发动并且使得所述设备发起认证请求。在步骤212中，将认证请求传递到认证服务器20。在步骤213中，认证服务器20确定用户是否必须认证或者是否可以信任先前的认证。更特别地，认证服务器20确定是否存在有用于用户的认证会话（即尚未期满或被清除的现有会话）。作为示例，假定采用第一设备的用户登录到计算机程序中。认证服务器20在一特定的位置处维护对用户使用第一设备登录到计算机程序中的记录。该记录在如由管理员配置的最大会话长度的持续时间内保持有效，并且如果超过了最大会话长度则将会自动被清除或在下一登录时被清除。在下一登录时，假定用户从不同的设备登录，使得针对第二设备的设备标识符、第二设备的位置以及目标计算机程序的身份是可用的。认证服务器20使用来自先前登录以及来自当前登录尝试的数据以执行速度计算和应用风险评分，并且可以确定是否应当准许用户登录或是否需要附加的认证。

如果会话不存在，则必须建立一个。参考步骤215直到219来更详细地描述用于建立会话的过程。

然而，即使认证会话存在，在步骤214中仍评定与新请求的访问相关联的风险（例如因为现有认证会话可能需要比当前寻求访问的应用将会需要的更少的安全要求），如随后那样。

风险引擎首先考虑与以下各项相关联的最小认证权重：寻求访问的计算机程序、或寻求访问的计算机程序内的资源、或关于计算机程序将被执行的活动。风险引擎30为了该目的而查阅规则/权重数据库45。例如，与非关键计算机程序/应用相比，关键计算机程序/应用可以与更高的最小认证权重相关联。作为进一步的示例，与针对使用应用来完成事务的请求或针对访问应用内的资源的请求相比，针对登录到计算机程序/应用的请求可以与更低的最小认证权重相关联。

如果在注册过程期间所指派的设备认证权重低于最小认证权重，则风险引擎30需要认证步骤。

如果在注册过程期间所指派的设备认证权重与最小认证权重相同或高于最小认证权重，则风险引擎30考虑：寻求对应用的访问的设备的位置；自最近的认证以来已过去的时间；和/或被用于寻求对应用的访问的设备（例如它是在注册过程期间所使用的相同设备吗）。

因而，风险引擎30可以考虑是否在受信的位置邻近度内（例如家庭或办公室、旅馆处、与托管应用的公司或实体相关联的会议中心处、或在公司和用户通常驻留所在的国家内的公共场所处）使用设备。风险引擎30可以进一步考虑用户是否位于公司在该处做生意或以其它方式在该处的外国。在一个示例性实施例中，用户可以向风险引擎30告知所预期的位置并且相应地获得预批准以减小对权重的影响。

在一些实施例中，考虑用户移动的速度。例如，假定用户从纽约市成功地登录到应用，并且会话被准许。估计将花费至少6小时来行进到英国；因而，如果在纽约市登录之后30分钟用户尝试从伦敦登录，那么评分将由于不可能的速度而降低。在示例性实施例中，风险引擎30指派每小时600英里的默认用户最大速度。在该模型的情况下，每小时700英里的速度是可能的，但是可能性较小。每小时800英里的速度将会甚至进一步降低评分，并且每小时1200英里的速度将会致使评分为零，并且将会导致即时的登录失败。

在另一示例中，在一个实施例中，在被使用的设备不同于第一次登录到应用的设备的事实是加权计算中的负面因素。

基于这些考虑，风险引擎30相应地确定风险评分，并且向认证服务器20指示是否应当准许用户访问应用或是否需要另一认证步骤。

如果风险评定指示了尽管存在现有认证会话仍应当对认证进行重新验证，则过程如在步骤215直到219中所描述的那样继续。在一些实施例中，向用户提供结合附加认证步骤被使用的一次性密码，如以下更详细地描述的那样。

在需要认证的事件中，在步骤215中，向系统注册（例如通过参考图2A所述的过程）了的所有设备15从认证服务器20接收认证请求。例如，所有经注册的设备15接收如由特定的设备平台所支持的通知。在用户激活了来自已经接收到通知的设备之一的通知时，仅该设备可以用于使用认证模块来履行认证请求。认证请求包括密码随机数（nonce）。（一个或多个）设备15在步骤216中执行认证质询（例如指纹扫描或录入密码），并且终端用户输入一次性密码。在步骤217中，如果认证质询成功，则密码随机数使用私有密钥被签名并且被发送到认证服务器20。在步骤218中，认证服务器20使用被存储在密码密钥存储装置40中的公共密钥来验证签名。在步骤219中，认证会话上下文被返回到设备10（或设备15，如果进行请求的设备是经注册的设备的话）处的进行请求的计算机程序/应用。采用设备10（或设备15）的用户然后可以被重新定向到所期望的计算机程序/应用/被给予对所期望的计算机程序/应用的访问。

在一些实例中，用户已成功地登录到应用中，并且一旦在该应用内，用户就期望访问应用内的资源，例如执行应用内的某个活动。本发明的框架可以用于评定是否可以在现有认证会话内访问资源，或者与所请求的资源相关联的风险是否需要附加认证。例如，用户可以已被准许使用现有认证会话而登录到应用（例如由于在登录时应用的低风险性质所致），但是现在寻求完成可以与更多风险相关联的事务。风险引擎30可以用于确定是否可以准许所期望的活动（例如事务），或者是否需要对证书的进一步验证。为了对此进行实现，风险引擎30的功能性被扩展到应用的活动部分，使得将采用风险引擎来评定与所期望的活动相关联的风险。在一个实施例中，可以使得风险引擎的功能性作为应用编程接口（API）而可用于应用。当用户在应用内指示用于执行特定活动的期望的时候，该应用调用认证器API，所述认证器API召用认证服务器20，从而调用风险引擎30的功能性来评定与事务相关联的风险。更特别地，认证服务器20标识终端用户，创建一次性密码，并且将它发送回到API，在所述API处，应用经由访问应用来显示该一次性密码。并行地，认证服务器20向终端用户的（一个或多个）经注册的设备15发起通知。在线的任何经注册的设备15接收并且显示通知。用户选择一个设备并且发起认证（通过使用触摸标识，例如加上验证先前提供的一次性密码）。认证服务器20接收经注册的设备决策（即，是或否），向它添加风险引擎30的决策，并且然后利用经签名的会话令牌来往回向API进行响应，从而对请求进行授权或拒绝它。API相应地对应用进行响应。如上所述，用户所期望的不同类型的事务可以被指派不同的权重，并且那些权重结合风险评定来被使用。

本发明的实施例涉及在现有系统之上的改进并且解决现有技术中存在的若干技术问题。例如，在提供在例如本机应用与Web（网）应用之间的单一登入的现有解决方案中，如果存在共享的会话上下文，则它被重新使用。结合本发明，风险引擎确定在提供访问之前是否需要新的认证会话。这改进计算机技术的运转，因为它允许在用户从一个应用移动到另一个应用以及从一个设备移动到另一个设备时以连续的方式、利用新的认证事件来键入先前的认证事件。此外，在任何成功的认证事件完成时，为每个单一登入请求生成行业标准安全令牌（例如SAML或OAUTH令牌）。这些令牌被多数应用接受，它们的内容被签名，并且它们仅仅是单次使用的。本发明不依赖于继续被共享的预先存在的经认证密钥。所有终端用户具有他们自己的密钥集，所述密钥集通过如先前所述的注册过程被建立。这改进计算机技术的运转，因为它使用硬件存储的密码、以不可驳的方式跨多个设备断言用户身份。仍另外地，本发明的实施例表示在现有技术之上的改进，因为本发明不涉及关于基于会话上下文是否要准许访问的仅仅二元的决策。结合本发明的实施例，与认证同时或甚至在认证之后（例如在访问请求时）考虑访问权限的上下文。这表示在现有技术之上的显著改进，因为对因素（诸如设备类型、位置和应用上下文感知）的连续考虑增大了平台的有用性，因为它允许平台架构师在不损害安全性的情况下容易地组合不同风险水平的应用。

解决方案允许对用户身份的密码信任，而不在后端上托管任何用户生物计量学或其它身份信息。它还允许跨多个设备（包括移动设备）、应用和服务而对多个应用的单一登入，而同时控制和管理相关联的风险。

在以下描述本发明的示例性用例。

在处理部件处从由终端用户操作的进行请求的设备接收如下数据：所述数据描述针对访问计算机程序的请求。进行请求的设备可以是经注册的设备或可以是另一设备。

处理部件确定是否存在用于终端用户的现有认证会话。现有认证会话可以在先前以若干不同方式之一被建立。

例如，终端用户可以在终端用户的工作日之前或在该工作日的开始时（例如在他离开去办公室之前在家里或在他的通勤期间）向经注册的设备认证（例如使用生物计量学特征或密码）。在已经这样做了之后，假定风险引擎根据其评定（例如，在向他的经注册的设备认证时的终端用户的位置在距他办公室的合理距离内；认证的时间在相同的工作日内；以及贯穿终端用户的工作日由终端用户寻求访问的应用从安全视角来看不是高度敏感/关键的）而做出该确定，终端用户可以能够无缝地并且自动地访问贯穿他的工作日所需要的所有应用，而不必再次登录/认证。

在另一示例中，可以通过如下建立了现有认证会话：终端用户通过以典型的方式（例如用户名和密码）而登录到计算机应用中，或者终端用户在先前的会话中响应于认证服务器20的提示而向经注册的设备认证。在每个这样的情况中，结合了确定对于当前访问请求而言是否需要新的认证，如本文中更详细地描述的那样在现有认证如何被建立方面来评定现有认证（例如认证的模态，包括用于认证的设备；认证的位置和时间，以及被评定的计算机程序）。

现在返回到流程，根据用于终端用户的现有认证会话不存在的确定，提示终端用户进行认证。这可以用终端用户访问计算机程序的典型方式（例如经由用户名和密码）或通过使用经注册的设备15、以本文中所述的方式来被实现。

根据用于终端用户的现有认证会话存在的确定，确定一个或多个请求特性是否满足一个或多个计算机程序访问准则。

请求特性可以包括设备认证权重。设备认证权重可以基于终端用户通过它来向注册设备认证的模态（例如生物计量学特征或密码）和/或注册设备的安全评定（例如设备一般多安全）来被计算。因而，例如，如果设备一般是安全的（例如无已知的泄漏或访问漏洞）并且终端用户在注册期间使用生物计量学特征向设备认证了，则设备认证权重将较高。这样，例如，如果在采用具有较高认证权重的设备时创建了现有认证会话，则可能更有可能对于当前所请求的对计算机程序的访问而言不需要重新认证。

请求特性还可以包括进行请求的设备的位置。例如，可以考虑终端用户是否从与现有认证会话的在先登录/建立的位置合理地并且现实地紧密邻近的位置做出请求。请求特性还可以包括对在现有认证会话的建立与当前访问请求之间已过去的时间的评定（例如是否已经过了太多时间）。

计算机程序访问准则可以包括与寻求访问的计算机程序相关联的最小认证权重，该最小认证权重可以基于计算机应用的关键性来被确定（例如从安全视角来看更敏感或关键的计算机应用将被更高地加权，并且因而具有更严格的认证要求）。

根据一个或多个请求特性满足一个或多个计算机程序访问准则的确定，向进行请求的设备提供对计算机程序的访问。从终端用户的视角来看，在没有终端用户的进一步的认证的情况下，无缝地并且自动地提供访问。

根据一个或多个请求特性不满足一个或多个计算机程序访问准则的确定，提示终端用户执行认证活动。响应于接收到对终端用户执行了认证活动进行指示的数据（例如，终端用户的生物计量学数据或由终端用户选择的密码；以及在一些实例中在从进行请求的设备接收到针对访问的请求之后由处理部件提供的一次性密码），为终端用户建立新的认证会话，并且向进行请求的设备提供对计算机程序的访问。

在一个示例中，对请求特性和计算机程序访问准则的考虑指示了：当设备认证权重不超过与计算机程序相关联的最小认证权重的时候（例如向经注册的设备认证的方式和/或经注册的设备本身不足够安全），风险评定是负面的确定。

在另一示例中，对请求特性和计算机程序访问准则的考虑指示了：当在访问请求被发送的时候进行请求的设备的第一位置与当现有认证会话被创建的时候另一设备的第二位置之间的距离超过距离阈值的时候（例如终端用户不能在经过的时间段内行进在创建现有认证会话的位置到做出访问请求的位置之间的距离），风险评定是负面的确定。

在一些实施例中，对请求特性和计算机程序访问准则的考虑指示了：当在访问请求被发送的第一时间与现有认证会话被创建的第二时间之间的时间段超过时间段阈值的时候（例如在终端用户创建认证会话的时候与终端用户请求对计算机程序的访问的时候之间已经经过了太多时间），风险评定是负面的确定。

本发明的实施例的示例性方法可以由如下系统来实施：所述系统采用客户端/服务器架构，诸如例如参考图1所图示并且描述的部件的集合。这样的示例性实施例如下参考图3被更详细地描述。可以被用作对系统的输入的数据以及来自系统的输出可以被存储在一个或多个数据库301（例如规则/权重存储装置45或密码存储装置40）中。（一个或多个）数据库服务器302可以包括数据库服务管理应用303，其管理数据自（一个或多个）数据库301的存储和检索。数据库301可以是关系数据库；然而，在不偏离本发明的范围的情况下可以使用其它数据组织结构。

一个或多个应用服务器304（例如认证服务器20和/或风险引擎30）与数据库服务器302通信。应用服务器304向数据库服务器302传送针对数据的请求。数据库服务器302检索所请求的数据。应用服务器304还可以将数据发送到数据库服务器302以用于存储在（一个或多个）数据库301中。应用服务器304包括一个或多个处理器305、存储程序（计算机可读指令）以供（一个或多个）处理器执行的非暂时性计算机可读存储介质307以及在（一个或多个）处理器305与计算机可读存储介质307之间的接口306。应用服务器304可以存储本文中所提及的计算机程序。

在通过网络（例如因特网或内联网）传送数据和信息的程度上，可以采用一个或多个网络服务器308。网络服务器308也包括一个或多个处理器309、存储程序（计算机可读指令）以供（一个或多个）处理器执行的计算机可读存储介质311以及在（一个或多个）处理器309与计算机可读存储介质311之间的接口310。采用网络服务器308来递送可以通过通信网络312、例如被采用计算设备313（例如（一个或多个）设备10、15）的终端用户所访问的内容。当通过诸如因特网浏览器之类的应用请求数据的时候，网络服务器308接收并且处理请求。网络服务器308发送所请求的数据或应用、连同用户接口指令一起，所述用户接口指令用于在设备313（例如（一个或多个）设备10、15）上显示用户接口。

本文中所参考的计算机被特殊地编程以执行本文中所述的功能性。

存储程序（即包括计算机可读指令的软件模块）的非暂时性计算机可读存储介质（例如307或311）可以包括以用于存储诸如计算机可读指令、数据结构、程序模块或其它数据之类的信息的任何方法或技术所实现的易失性和非易失性、可移除和不可移除的介质。计算机可读存储介质可以包括但不限于RAM、ROM、可擦除可编程ROM（EPROM）、电可擦除可编程ROM（EEPROM）、闪速存储器或其它固态存储器技术、CD-ROM、数字通用盘（DVD）或其它光学存储装置、磁性卡带、磁带、磁盘存储装置或其它磁性存储设备，或可以用于存储所期望的信息并且可以被计算机系统访问并且被处理的任何其它介质。

在至少一个实施例中，包括有一个或多个计算机，其具有一个或多个处理器和存储器（例如一个或多个非易失性存储设备）。在一些实施例中，存储器或存储器的计算机可读存储介质存储程序、模块和数据结构、或其子集以用于处理器控制并且运行本文中所公开的各种系统和方法。在一个实施例中，一种非暂时性计算机可读存储介质已经在其上存储了计算机可执行的指令，所述计算机可执行的指令当被处理器执行的时候执行本文中所公开的一个或多个方法。

本领域技术人员将领会到，可以对以上所示和所述的示例性实施例做出改变，而不偏离其宽泛的发明概念。因此理解到，本发明不限于所示和所述的示例性实施例，而是意图覆盖在如由权利要求限定的本发明的精神和范围内的修改。例如，示例性实施例的特定特征可以是或可以不是所要求保护的发明的部分，并且所公开的实施例的特征可以被组合。除非在本文中特别地阐明，否则“一”、“一个”和“该”不限于一个元素，而是代替地应当被理解为意指“至少一个”。

将理解到，本发明的各图和描述中的至少一些已经被简化，以聚焦于对于清楚理解本发明而言相关的元素上，同时为了清楚的目的而消除了本领域普通技术人员将领会到也可以构成本发明的一部分的其它元素。然而，由于这样的元素在本领域中公知，并且由于它们不一定促进更好地理解本发明，因此在本文中不提供对这样的元素的描述。

此外，在所述方法不依赖于本文中所阐明的步骤的特定次序的程度上，步骤的特定次序不应当被解释为对权利要求的限制。针对本发明的方法的权利要求不应当被限制于按所撰写的次序执行其步骤，并且本领域技术人员可以容易地领会到这些步骤可以变化并且仍保持在本发明的精神和范围内。

Claims (29)

1.一种计算机化的方法，包括：

在处理部件处从由终端用户操作的进行请求的设备接收如下数据：所述数据描述针对访问计算机程序的请求；

由处理部件确定是否存在用于终端用户的现有认证会话；

根据不存在用于终端用户的现有认证会话的确定，提示终端用户向处理部件认证；

根据存在用于终端用户的现有认证会话的确定，执行风险评定，所述风险评定包括对以下各项中一个或二者的考虑：（i）与针对访问计算机程序的请求相关联的一个或多个请求特性，以及（ii）一个或多个计算机程序访问准则；

根据风险评定是正面的确定，向进行请求的设备提供对计算机程序的访问；

根据风险评定是负面的确定，提示终端用户执行认证活动，并且响应于接收到对终端用户执行了认证活动且认证活动是成功的进行指示的数据，为终端用户建立新的认证会话，并且向进行请求的设备提供对计算机程序的访问。

2.根据权利要求1所述的计算机化的方法，其中对终端用户执行了认证活动进行指示的数据包括终端用户的生物计量学数据。

3.根据权利要求1所述的计算机化的方法，其中对终端用户执行了认证活动进行指示的数据包括由终端用户选择的密码。

4.根据权利要求1所述的计算机化的方法，其中对终端用户执行了认证活动进行指示的数据包括在从进行请求的设备接收到访问请求之后由处理部件所提供的一次性密码。

5.根据权利要求1所述的计算机化的方法，进一步包括：

在处理部件处从终端用户接收注册请求；

由处理部件创建唯一的注册令牌；

由处理部件创建数据库记录，所述数据库记录包括针对终端用户的标识符以及唯一的注册令牌；

由处理部件向注册设备提供一种访问认证应用以用于发起注册设备的注册的机制；

通过认证应用而从终端用户接收针对终端用户的标识符以及唯一的注册令牌；

收集与注册设备相关联的标识符；

从注册设备接收公共密钥，所述公共密钥形成密码密钥对的一部分，所述密码密钥对在终端用户向注册设备认证时被创建，其中所述注册设备存储密码密钥对的私有密钥；

由处理部件计算设备认证权重；

由处理部件在数据库中存储公共密钥和设备认证权重。

6.根据权利要求5所述的计算机化的方法，其中在接收到对针对访问计算机程序的请求进行描述的数据的步骤之前，使用注册设备来建立用于终端用户的现有认证会话。

7.根据权利要求5所述的计算机化的方法，其中所述进行请求的设备包括注册设备。

8.根据权利要求5所述的计算机化的方法，其中所述进行请求的设备包括除了注册设备之外的设备。

9.根据权利要求1所述的计算机化的方法，其中对所述一个或多个计算机程序访问准则的考虑指示了风险评定是负面的确定，而无论对所述一个或多个请求特性的考虑如何。

10.根据权利要求1所述的计算机化的方法，其中对所述一个或多个请求特性的考虑指示了风险评定是负面的确定，而无论对所述一个或多个计算机程序访问准则的考虑如何。

11.根据权利要求1所述的计算机化的方法，其中所述一个或多个计算机程序访问准则包括与计算机程序相关联的最小认证权重。

12.根据权利要求5所述的计算机化的方法，其中所述一个或多个请求特性包括设备认证权重。

13.根据权利要求1所述的计算机化的方法，其中所述一个或多个请求特性包括进行请求的设备的位置。

14.根据权利要求1所述的计算机化的方法，其中所述一个或多个请求特性包括自建立了现有认证会话以来已过去的时间。

15.根据权利要求5所述的计算机化的方法，其中所述一个或多个请求特性包括进行请求的设备是否是注册设备。

16.根据权利要求5所述的计算机化的方法，其中基于终端用户通过它来向注册设备认证的模态而计算所述设备认证权重。

17.根据权利要求5所述的计算机化的方法，其中基于注册设备的安全评定来计算所述设备认证权重。

18.根据权利要求11所述的计算机化的方法，其中基于计算机程序的关键性来确定最小认证权重。

19.根据权利要求5所述的计算机化的方法，其中所述处理部件接收与执行认证活动的终端用户有关的公共密钥。

20.根据权利要求1所述的计算机化的方法，进一步包括：

在处理部件处从进行请求的设备接收如下数据：所述数据描述针对访问计算机程序内的资源的请求；以及

确定一个或多个请求特性是否满足一个或多个计算机程序资源访问准则，其中所述一个或多个计算机程序资源访问准则包括与资源相关联的最小认证权重。

21.根据权利要求1所述的计算机化的方法，其中与终端用户访问不是访问请求的主体的另一计算机程序有关地建立了现有认证会话。

22.根据权利要求20所述的计算机化的方法，其中所述一个或多个请求特性包括一模态，在所述模态中建立了与访问另一计算机程序有关的现有认证会话。

23.根据权利要求1所述的计算机化的方法，其中所述计算机程序是本机应用。

24.根据权利要求1所述的计算机化的方法，其中所述计算机程序是基于web（网）的应用。

25.根据权利要求1所述的计算机化的方法，其中所述计算机程序是进行请求的设备的操作系统。

26.根据权利要求5所述的计算机化的方法，其中对所述一个或多个请求特性和计算机程序访问准则的考虑指示了：当设备认证权重不超过与计算机程序相关联的最小认证权重的时候，风险评定是负面的确定。

27.根据权利要求1所述的计算机化的方法，其中对所述一个或多个请求特性和计算机程序访问准则的考虑指示了：当在访问请求被发送的时候进行请求的设备的第一位置与现有认证会话被创建的时候另一设备的第二位置之间的距离超过距离阈值的时候，风险评定是负面的确定。

28.根据权利要求1所述的计算机化的方法，其中对所述一个或多个请求特性和计算机程序访问准则的考虑指示了：当在访问请求被发送的第一时间与现有认证会话被创建的第二时间之间的时间段超过时间段阈值的时候，风险评定是负面的确定。

29.一种系统，包括：

处理部件，所述处理部件被配置成：

从由终端用户操作的进行请求的设备接收如下数据：所述数据描述针对访问计算机程序的请求；

确定是否存在用于终端用户的现有认证会话；

根据不存在用于终端用户的现有认证会话的确定，提示终端用户向处理部件认证；

风险引擎，所述风险引擎被配置成：

根据存在用于终端用户的现有认证会话的确定，执行风险评定，所述风险评定包括对以下各项中一个或二者的考虑：（i）一个或多个请求特性，以及（ii）一个或多个计算机程序访问准则；

所述处理部件进一步被配置成：

根据风险评定是正面的确定，向进行请求的设备提供对计算机程序的访问；

根据风险评定是负面的确定，提示终端用户执行认证活动，并且响应于接收到对终端用户执行了认证活动且认证活动是成功的进行指示的数据，为终端用户建立新的认证会话，并且向进行请求的设备提供对计算机程序的访问。

Images