專利名稱：用于釋放對計算機系統(tǒng)或程序的訪問的方法
技術領域：
本發(fā)明涉及一種用于釋放對計算機系統(tǒng)或程序的訪問的方法。本發(fā)明還涉及一種用于釋放對計算機系統(tǒng)或程序的訪問的便攜式數(shù)據(jù)載體。
背景技術：
為使用戶可以訪問計算機或程序，有一系列不同的公知過程和輔助手段。在很多沒有很高安全要求的情況下，在正確地輸入用戶標識和口令之后就釋放訪問。但例如當同一用戶擁有可以訪問多個計算機系統(tǒng)或程序的訪問授權時就出現(xiàn)了困難。此時用戶須知道多個用戶標識和相關的口令。
取代手動輸入口令用戶還可以利用便攜式安全數(shù)據(jù)載體來進行認證。但其前提是，在這里所使用的終端設備上安裝了能夠訪問便攜式安全數(shù)據(jù)載體的合適的軟件。這樣，當用戶對計算機系統(tǒng)或程序的訪問是借助第三方的終端設備建立的時，安裝這樣的軟件尤其成問題。這種情況例如可以在外勤工作人員對客戶進行訪問時想訪問自己公司的服務器時發(fā)生。在這樣的情況下通常排除對常規(guī)安全數(shù)據(jù)載體的使用，因為在大多數(shù)情況下在客戶的終端設備上沒有安裝使用安全數(shù)據(jù)載體所需的軟件。為解決此問題已公知有一種裝置，其根據(jù)按鈕的按壓而在顯示器上顯示出數(shù)字。然后外勤工作人員讀取該數(shù)字，并借助客戶的終端設備例如作為一次性口令而登記到被保護的互聯(lián)網(wǎng)頁面。由此該外勤工作人員可以通過客戶的終端設備在一定的時間內訪問自己公司的服務器。但該過程的缺點是，必須每次向終端設備敲入一次性口令。此外的缺點是，任何擁有能產(chǎn)生口令的設備的人都可以建立對該系統(tǒng)的訪問。因此該設備的損失是非常關鍵的。

發(fā)明內容
本發(fā)明要解決的技術問題是，可以通過一終端設備以安全和對用戶友好的方式釋放對計算機系統(tǒng)或程序的訪問，而不必在該終端設備上安裝專門為該目的設置的軟件。
本發(fā)明的技術問題通過具有權利要求1的特征的方法來解決。
在按照本發(fā)明的為用戶通過終端設備釋放對計算機系統(tǒng)或程序的訪問而無需在該終端設備上安裝專門為此目的而設的軟件的方法中，在用戶的便攜式數(shù)據(jù)載體和終端設備之間建立數(shù)據(jù)連接。由該便攜式數(shù)據(jù)載體對用戶進行認證。在成功進行認證后，由該便攜式數(shù)據(jù)載體建立用于釋放對計算機系統(tǒng)或程序的訪問的訪問代碼，并通過該數(shù)據(jù)連接進行傳輸。
本發(fā)明的優(yōu)點在于，通過采用便攜式數(shù)據(jù)載體可以非常友好的方式釋放訪問。在此進行的用戶認證可以保證高的安全標準。尤其具有優(yōu)點的是，采用便攜式數(shù)據(jù)載體無需在終端設備上安裝特殊的軟件。由此可以借助不允許用戶在其上安裝軟件的第三方的終端設備為用戶釋放訪問。
尤其可以通過終端設備的USB接口建立數(shù)據(jù)連接。由于越來越多的終端設備提供USB接口，因此按照本發(fā)明的方法可以普遍使用。此外的優(yōu)點在于，便攜式數(shù)據(jù)載體的運行電壓可以通過USB接口提供，因此便攜式數(shù)據(jù)載體不需要自身的電壓源。
可以基于用戶輸入的個人秘密信息來進行認證。其優(yōu)點在于，可以簡單的方式實現(xiàn)并且無需預留高的計算能力。同樣還可以基于生物方法、尤其是對用戶的指紋進行檢驗的方法來進行認證。由此可以保證非常高的安全標準。
在本發(fā)明方法的一種變形中，由便攜式數(shù)據(jù)載體產(chǎn)生訪問代碼。為了使?jié)撛诘娜肭掷щy，可以在產(chǎn)生訪問代碼時考慮一個由計算機系統(tǒng)提供的隨機數(shù)。由此，每次都采用一個不同的訪問代碼，從而使得對于訪問代碼的偵察不會為入侵者提供任何有用的信息。在本發(fā)明方法的另一種變形中，在便攜式數(shù)據(jù)載體中存儲至少一個防止未授權訪問的訪問代碼。由此消除了產(chǎn)生訪問代碼的計算開銷。
可以在便攜式數(shù)據(jù)載體的存儲器的公開區(qū)域內提供通過數(shù)據(jù)連接傳輸?shù)脑L問代碼。由此可以通過應用終端設備的命令來通過數(shù)據(jù)連接傳輸訪問代碼。在本發(fā)明方法的一種擴展中，便攜式數(shù)據(jù)載體對終端設備的輸入裝置進行模擬。由此可由便攜式數(shù)據(jù)載體將訪問代碼作為被模擬的輸入裝置的輸入通過數(shù)據(jù)連接傳輸。其優(yōu)點在于，對于訪問代碼的傳輸不需要手動輸入命令。在本發(fā)明方法的所有變形中，例如都可將訪問代碼傳輸?shù)揭蛱鼐W(wǎng)網(wǎng)頁上。
在本發(fā)明方法的一種優(yōu)選實施方式中，在便攜式數(shù)據(jù)載體的存儲器中存儲用于建立到計算機系統(tǒng)的連接的軟件。由此可實現(xiàn)與使用的終端設備的最大程度的不相關性。為使從外部對便攜式數(shù)據(jù)載體的存儲器的訪問盡可能簡單地實現(xiàn)，可以將便攜式數(shù)據(jù)載體的存儲器作為驅動器來運行。
按照本發(fā)明的為用戶通過終端設備釋放對計算機系統(tǒng)或程序的訪問而無需在該終端設備上安裝專門為此目的而設的軟件的便攜式數(shù)據(jù)載體，具有用于提供用于釋放對計算機系統(tǒng)或程序的訪問的訪問代碼的安全芯片。按照本發(fā)明的便攜式數(shù)據(jù)載體的特點在于，設置了用于建立與終端設備的數(shù)據(jù)連接的裝置，并且利用安全芯片對用戶進行認證。
按照本發(fā)明的便攜式數(shù)據(jù)載體尤其這樣構成，其可以連接在終端設備的USB接口上。在一種擴展中，便攜式數(shù)據(jù)載體具有USB集線器，通過該USB集線器將與終端設備的數(shù)據(jù)連接在該便攜式數(shù)據(jù)載體內分離為多個分離的信號路徑。由此可以從便攜式數(shù)據(jù)載體一側向終端設備報告多個USB設備，如輸入裝置和替換的數(shù)據(jù)載體。此外，按照本發(fā)明的便攜式數(shù)據(jù)載體還可以具有構成為閃存EEPROM的存儲器。這樣的存儲器可以很小的開銷從便攜式數(shù)據(jù)載體的外部讀取。在一種優(yōu)選實施方式中，按照本發(fā)明的便攜式數(shù)據(jù)載體具有用于采集生物數(shù)據(jù)的傳感器、尤其是指紋傳感器。


以下借助所示實施例對本發(fā)明進行描述。圖中示出圖1示意性示出按照本發(fā)明構成的便攜式數(shù)據(jù)載體的實施例的體系結構，該便攜式數(shù)據(jù)載體連接在個人計算機上用以釋放對計算機系統(tǒng)或程序的訪問；圖2示出按照本發(fā)明的借助便攜式數(shù)據(jù)載體釋放訪問的實施例；以及圖3示意性示出按照本發(fā)明的便攜式數(shù)據(jù)載體的另一實施例的體系結構。
具體實施例方式
圖1示意性示出按照本發(fā)明構成的便攜式數(shù)據(jù)載體1的實施例的體系結構，該便攜式數(shù)據(jù)載體1連接在個人計算機2上用以釋放對計算機系統(tǒng)或程序的訪問。便攜式數(shù)據(jù)載體1優(yōu)選構成為也稱為憑證(Token)并優(yōu)選插入個人計算機2的接頭中的小型設備。便攜式數(shù)據(jù)載體1具有與非易失性存儲器4、指紋傳感器5和安全芯片6連接的集成電路3。在外部集成電路3與個人計算機2的USB接口7連接。在此USB表示通用串行總線的縮寫。個人計算機2以未詳細示出的方式與例如因特網(wǎng)的網(wǎng)絡連接。作為集成電路3優(yōu)選采用簡稱為ASIC的特定用途集成電路，其功能方式按照便攜式數(shù)據(jù)載體1特殊地剪裁。非易失性存儲器4尤其構成為閃存EEPROM。安全芯片6與集成電路3按照標準的T＝1協(xié)議通信，并根據(jù)便攜式數(shù)據(jù)載體1的構成還可以作為插在便攜式數(shù)據(jù)載體1中的芯片卡的組成部分。便攜式數(shù)據(jù)載體1和個人計算機2的USB接口7的連接用于以運行電壓為便攜式數(shù)據(jù)載體1提供電源以及便攜式數(shù)據(jù)載體1和個人計算機2之間的數(shù)據(jù)傳輸。便攜式數(shù)據(jù)載體1的作用原理將借助圖2詳細描述。
圖2示出按照本發(fā)明的借助便攜式數(shù)據(jù)載體1釋放訪問的實施例。在此用一個方塊表示一個或多個動作。在此根據(jù)應通過其進行訪問的受保護的因特網(wǎng)網(wǎng)頁的各個動作是屬于便攜式數(shù)據(jù)載體1還是屬于用戶，將相應的方塊顯示在三列之一中。在此左列表示映射在因特網(wǎng)網(wǎng)頁上的動作。中間列表示便攜式數(shù)據(jù)載體1的動作。右列示出用戶的對應動作。
為了啟動按照本發(fā)明的方法，利用個人計算機2調用釋放訪問所需的因特網(wǎng)網(wǎng)頁，并將便攜式數(shù)據(jù)載體1插到個人計算機2的USB接口7的插頭上并由此將其激活。如通過方塊B1顯示的，此后用戶在被調用的因特網(wǎng)網(wǎng)頁上輸入用戶標識。該輸入例如可以通過由用戶將用戶標識從便攜式數(shù)據(jù)載體1的非易失性存儲器4的公開區(qū)域傳輸?shù)皆撘蛱鼐W(wǎng)網(wǎng)頁來實現(xiàn)。這被示為方塊B2。非易失性存儲器4的公開區(qū)域可從便攜式數(shù)據(jù)載體1的外部來訪問。因此對于傳輸可采用個人計算機2上的通常可用的命令，如“復制”、“剪切”、“粘貼”。除了從便攜式數(shù)據(jù)載體1的非易失性存儲器4傳輸之外，還可以通過個人計算機2的鍵盤來將用戶標識輸入因特網(wǎng)網(wǎng)頁。而在另一種變形中則完全不用輸入用戶標識。
下一個動作是在因特網(wǎng)網(wǎng)頁上顯示由所屬的服務器產(chǎn)生的隨機數(shù)。這通過方塊B3來顯示。按照方塊B4，用戶利用命令“剪切”和“粘貼”將該隨機數(shù)從因特網(wǎng)網(wǎng)頁傳輸?shù)奖銛y式數(shù)據(jù)載體1的非易失性存儲器4的公開區(qū)域。原理上還可以取代“剪切”命令而使用“復制”命令。通過方塊B5示出，隨機數(shù)作為輸入用于以方塊B6表示的產(chǎn)生便攜式數(shù)據(jù)載體1的響應。但如通過方塊B7示出的，該響應僅在對用戶成功認證的情況下才會產(chǎn)生。在按照本發(fā)明方法的當前實施方式下，借助對用戶指紋的驗證來進行認證。按照方塊B8，用戶例如通過將手指放在指紋傳感器5上或通過執(zhí)行便攜式數(shù)據(jù)載體1的非易失性存儲器4中的程序來觸發(fā)該驗證。指紋傳感器5采集一幅圖像、提取其特征并與存儲的參考特征進行比較。可替換的，對用戶的認證還可以通過輸入個人秘密數(shù)字實現(xiàn)。在成功認證之后便攜式數(shù)據(jù)載體1產(chǎn)生響應。在產(chǎn)生響應時考慮所述隨機數(shù)。例如為了產(chǎn)生響應而計算哈西隨機數(shù)的數(shù)字簽名。
如通過方塊B9示出的，在便攜式數(shù)據(jù)載體1的非易失性存儲器4的公開區(qū)域內提供該響應。根據(jù)方塊B 10，用戶通過使用命令“剪切”和“粘貼”來將該響應從便攜式數(shù)據(jù)載體1的非易失性存儲器4傳輸?shù)揭蛱鼐W(wǎng)網(wǎng)頁。方塊B 11示出，所屬的服務器對該響應的正確性進行驗證并相應地為用戶釋放訪問。
如果不需滿足過高的安全性要求，還可以采用本發(fā)明方法的不采用隨機數(shù)的簡化變形。在該變形中仍要對用戶的指紋進行驗證。當結果為正面的時，便攜式數(shù)據(jù)載體1產(chǎn)生一個一次性口令并將其存放在便攜式數(shù)據(jù)載體1的非易失性存儲器4的公開區(qū)域內。用戶以已描述過的方式將該一次性口令傳送到因特網(wǎng)網(wǎng)頁。由此在預定的時間段內為該用戶釋放訪問。就是在這種變形中也可以通過用個人秘密數(shù)字代替指紋來對用戶進行認證而對本發(fā)明的方法進行進一步的簡化。在這種情況下，在便攜式數(shù)據(jù)載體1的非易失性存儲器4的公開區(qū)域內存儲一可執(zhí)行程序，該程序要求用戶輸入其個人秘密數(shù)字。由用戶輸入的該秘密數(shù)字的值將與參考值進行比較，在一致時也產(chǎn)生一個一次性口令，其存放在便攜式數(shù)據(jù)載體1的非易失性存儲器4的公開區(qū)域內，并由用戶從那里傳輸?shù)揭蛱鼐W(wǎng)網(wǎng)頁。
在執(zhí)行本發(fā)明的方法時，還可以采用作為可執(zhí)行程序在便攜式數(shù)據(jù)載體1中實現(xiàn)的瀏覽器。在此可將用于由用戶釋放訪問的因特網(wǎng)網(wǎng)頁作為“收藏”來存儲。在這種變形中，不要求動用個人計算機2的瀏覽器并采用其安全設置。
在所有這些方法變形中，與安全相關的操作均分別由安全芯片6來執(zhí)行，并在安全芯片6中存儲秘密保有的信息。尤其是可以在安全芯片6中存儲生物參考數(shù)據(jù)組，該生物參考數(shù)據(jù)組可在集成電路3中與當前生物原始數(shù)據(jù)完全或部分地進行比較。
圖3示意性示出按照本發(fā)明的便攜式數(shù)據(jù)載體1的另一實施例的體系結構。該實施例的特點在于，便攜式數(shù)據(jù)載體1通過集成的USB集線器8連接到個人計算機2的USB接口7上。USB集線器8使得可以將兩個USB設備連接到個人計算機2的USB接口7上。在便攜式數(shù)據(jù)載體1內形成USB集線器8和集成電路3之間的兩個分離的信號路徑。集成電路3對于第一信號路徑模擬USB鍵盤并相應地在個人計算機2的操作系統(tǒng)中作為附加鍵盤登錄。該USB鍵盤被個人計算機2看作是物理存在的鍵盤并對其輸入進行相應的處理。對于第二信號路徑將實現(xiàn)一個閃存驅動器。該閃存驅動器具有允許在不同因特網(wǎng)網(wǎng)頁和服務之間進行選擇的可執(zhí)行程序。除此之外，按照圖3的實施例與圖1所示的實施例相同。
在采用按照圖3實現(xiàn)的便攜式數(shù)據(jù)載體1時，將其插在個人計算機2的USB接口7的插頭內。借助該閃存驅動器上的可執(zhí)行程序選擇期望的因特網(wǎng)網(wǎng)頁。然后用戶將因特網(wǎng)網(wǎng)頁上的輸入標記置于為此而設的輸入?yún)^(qū)內，并通過將手指放在便攜式數(shù)據(jù)載體1的指紋傳感器5上而觸發(fā)生物用戶認證。在成功認證用戶之后便攜式數(shù)據(jù)載體1產(chǎn)生一次性口令并通過第一信號路徑將其傳送到因特網(wǎng)網(wǎng)頁的輸入?yún)^(qū)。不需要手動地將該一次性口令傳送到因特網(wǎng)網(wǎng)頁，因為對于第一信號路徑模擬了鍵盤，并由此自動進行傳輸。同樣還可以將存儲在便攜式數(shù)據(jù)載體1中的用戶標識和口令發(fā)送到因特網(wǎng)網(wǎng)頁的相應輸入?yún)^(qū)。用戶可以上述方式訪問多個不同的因特網(wǎng)網(wǎng)頁，而無需注意分別對應的用戶標識和口令，因為在成功認證用戶之后這些用戶標識和口令被自動輸入到受訪因特網(wǎng)網(wǎng)頁的輸入?yún)^(qū)。取代將用戶標識和口令輸入因特網(wǎng)網(wǎng)頁還可以將其分別輸入具有口令保護的本地應用或網(wǎng)絡應用。尤其是還可以在操作系統(tǒng)的登錄屏幕上進行輸入。此外還可以考慮在非易失性存儲器4中存儲用于注冊應用程序、因特網(wǎng)網(wǎng)頁或服務的可執(zhí)行程序。在此該程序可顯示用戶通過標準輸入裝置最后輸入的命令。
如果該程序第一次新識別出通過口令保護的應用程序或因特網(wǎng)網(wǎng)頁，其可以對用戶給出自動登記注冊信息的建議。根據(jù)該程序的配置設置可在下一次調用時當用戶相對于憑證被認證時自動填寫注冊信息。該程序還可要求放置手指。
此外，借助圖2描述的本發(fā)明的方法和其變形也可類似地用于圖3示出的便攜式數(shù)據(jù)載體1的實施例。但對于從便攜式數(shù)據(jù)載體1到個人計算機2的數(shù)據(jù)傳輸不需要手動輸入命令。
本發(fā)明方法的所有變形的一個重要方面在于，無需在個人計算機2上安裝專門用于該方法的軟件。該方法的實施可以基于個人計算機2的標準軟件和/或在便攜式數(shù)據(jù)載體1上實現(xiàn)的軟件。
權利要求
1.一種為用戶通過終端設備(2)釋放對計算機系統(tǒng)或程序的訪問而無需在該終端設備(2)上安裝專門為此目的而設的軟件的方法，其中-在用戶的便攜式數(shù)據(jù)載體(1)和終端設備(2)之間建立數(shù)據(jù)連接；-由該便攜式數(shù)據(jù)載體(1)對用戶進行認證；-在成功進行認證后，由該便攜式數(shù)據(jù)載體(1)提供用于釋放對計算機系統(tǒng)或程序的訪問的訪問代碼，并通過該數(shù)據(jù)連接進行傳輸。
2.根據(jù)權利要求1所述的方法，其特征在于，所述數(shù)據(jù)連接通過所述終端設備(2)的USB接口(7)建立。
3.根據(jù)權利要求1或2所述的方法，其特征在于，基于用戶輸入的個人秘密信息來進行所述認證。
4.根據(jù)權利要求1或2所述的方法，其特征在于，基于生物方法、尤其是對用戶的指紋進行檢驗的方法來進行所述認證。
5.根據(jù)權利要求1至4中任一項所述的方法，其特征在于，所述訪問代碼由所述便攜式數(shù)據(jù)載體(1)產(chǎn)生。
6.根據(jù)權利要求5所述的方法，其特征在于，在產(chǎn)生所述訪問代碼時考慮一個由計算機系統(tǒng)提供的隨機數(shù)。
7.根據(jù)權利要求1至4中任一項所述的方法，其特征在于，在所述便攜式數(shù)據(jù)載體(1)中存儲至少一個用于防止未授權訪問的訪問代碼。
8.根據(jù)權利要求1至7中任一項所述的方法，其特征在于，在所述便攜式數(shù)據(jù)載體(1)的存儲器(4)的公開區(qū)域內提供所述通過數(shù)據(jù)連接傳輸?shù)脑L問代碼。
9.根據(jù)權利要求1至8中任一項所述的方法，其特征在于，通過應用所述終端設備(2)的命令來通過所述數(shù)據(jù)連接傳輸所述訪問代碼。
10.根據(jù)權利要求1至8中任一項所述的方法，其特征在于，由所述便攜式數(shù)據(jù)載體(1)對終端設備(2)的輸入裝置進行模擬。
11.根據(jù)權利要求10所述的方法，其特征在于，由所述便攜式數(shù)據(jù)載體(1)將所述訪問代碼作為被模擬的輸入裝置的輸入通過數(shù)據(jù)連接傳輸。
12.根據(jù)權利要求1至11中任一項所述的方法，其特征在于，將所述訪問代碼傳輸?shù)揭蛱鼐W(wǎng)網(wǎng)頁上。
13.根據(jù)權利要求1至12中任一項所述的方法，其特征在于，在所述便攜式數(shù)據(jù)載體(1)的存儲器(4)中存儲用于建立到計算機系統(tǒng)的連接的軟件。
14.根據(jù)權利要求1至13中任一項所述的方法，其特征在于，將所述便攜式數(shù)據(jù)載體(1)的存儲器(4)作為驅動器運行。
15.一種為用戶通過終端設備(2)釋放對計算機系統(tǒng)或程序的訪問而無需在該終端設備(2)上安裝專門為此目的而設的軟件的便攜式數(shù)據(jù)載體，具有用于提供用于釋放對計算機系統(tǒng)或程序的訪問的訪問代碼的安全芯片(6)，其特征在于，具有用于建立與終端設備(2)的數(shù)據(jù)連接的裝置(3)，并且該安全芯片(6)對用戶進行認證。
16.根據(jù)權利要求15所述的便攜式數(shù)據(jù)載體，其特征在于，該便攜式數(shù)據(jù)載體可以連接在所述終端設備(2)的USB接口(7)上。
17.根據(jù)權利要求15或16所述的便攜式數(shù)據(jù)載體，其特征在于，其具有USB集線器(8)，通過該USB集線器(8)將在便攜式數(shù)據(jù)載體(1)中的與終端設備(2)的數(shù)據(jù)連接劃分為多個分離的信號路徑。
18.根據(jù)權利要求15至17中任一項所述的便攜式數(shù)據(jù)載體，其特征在于，其具有構成為閃存EEPROM的存儲器(4)。
19.根據(jù)權利要求15至18中任一項所述的便攜式數(shù)據(jù)載體，其特征在于，其具有用于采集生物數(shù)據(jù)的傳感器(5)、尤其是指紋傳感器。
全文摘要
本發(fā)明涉及一種為用戶通過終端設備(2)釋放對計算機系統(tǒng)或程序的訪問而無需在該終端設備(2)上安裝專門為此目的而設的軟件的方法。其中，建立在用戶的便攜式數(shù)據(jù)載體(1)和終端設備(2)之間的數(shù)據(jù)連接。由該便攜式數(shù)據(jù)載體(1)對用戶進行認證。在成功進行認證后，由該便攜式數(shù)據(jù)載體(1)建立用于釋放對計算機系統(tǒng)或程序的訪問的訪問代碼，并通過該數(shù)據(jù)連接進行傳輸。
文檔編號G06F21/34GK1918527SQ200480041885
公開日2007年2月21日 申請日期2004年12月14日 優(yōu)先權日2003年12月18日
發(fā)明者羅伯特·米勒 申請人:德國捷德有限公司