連續(xù)多因素認證的制作方法
【專利說明】連續(xù)多因素認證
[0001] 背景
[0002] 多因素認證是一種要求用戶提供多于一種形式的驗證來證明其身份從而能夠訪 問敏感數據或計算機系統(tǒng)的計算機化安全程序方法。常用形式的驗證包括基于知識的驗證 數據（例如，用戶知道的某個事物，諸如口令或個人標識號）、基于令牌的驗證數據（例如， 用戶具有的某個事物，諸如私鑰、安全令牌或智能卡）和生物計量數據（例如，用戶的生理 或行為特征）。最近，已經致力于連續(xù)地對用戶進行認證以便增加敏感數據或計算機系統(tǒng)的 安全性。
[0003] 現(xiàn)有的網絡安全基礎設施通常使用一個或多個網絡認證協(xié)議，諸如例如 Kerberos，以便對用戶進行認證并且控制用戶被許可訪問哪些網絡資源。為了這樣做，這些 網絡安全基礎設施中的許多基礎設施包括一個或多個認證組件，這些認證組件經常是網絡 基礎設施內的完善的系統(tǒng)。然而，這種認證系統(tǒng)不支持連續(xù)用戶認證。此外，修改現(xiàn)有的認 證系統(tǒng)以便包括附加功能會是昂貴并且容易出錯的。
[0004] 附圖簡要描述
[0005] 通過舉例而非通過限制在附圖中示出在此描述的概念。為了說明簡單和清晰，圖 中所示元素無需按比例繪制。當認為合適時，已經在附圖中重復參照標號以便表明相應的 或類似的元素。
[0006] 圖1是用于使用計算設備提供連續(xù)多因素認證的系統(tǒng)的至少一個實施例的簡化 框圖；
[0007] 圖2是圖1的系統(tǒng)的客戶端計算設備的環(huán)境的至少一個實施例的簡化框圖；
[0008] 圖3是圖1的系統(tǒng)的服務提供商服務器的環(huán)境的至少一個實施例的簡化框圖；
[0009] 圖4是可由圖1和圖2的計算設備執(zhí)行的用于連續(xù)地經由多個認證因素對用戶進 行認證的方法的至少一個實施例的簡化流程圖；
[0010] 圖5是可由圖1和圖2的計算設備執(zhí)行的用于監(jiān)視連續(xù)用戶認證的方法的至少一 個實施例的簡化流程圖；
[0011] 圖6是圖4和圖5的用于經由多個認證因素對用戶進行連續(xù)認證的方法的至少一 個實施例的簡化活動流程圖；
[0012] 圖7是圖4和圖5的用于經由多個認證因素對用戶進行連續(xù)認證的方法的另一個 實施例的簡化活動流程圖；
[0013] 圖8是圖4和圖5的用于經由多個認證因素對用戶進行連續(xù)認證的方法的另一個 實施例的簡化活動流程圖；以及
[0014] 圖9是是圖4和圖5的用于經由多個認證因素對用戶進行連續(xù)認證的方法的另一 個實施例的簡化活動流程圖。
[0015] 附圖詳細描述
[0016] 盡管本公開的概念可受到各種修改和替代形式，已經通過舉例在附圖中示出并且 將在此詳細地描述其特定實施例。然而，應當理解的是不旨在將本公開的概念限制為所公 開的具體形式，而是相反，本發(fā)明涵蓋與本公開和所附權利要求書一致的所有修改、等效方 案和替代方案。
[0017] 在說明書中對" 一個實施例"、"實施例"、"說明性實施例"等等的引用表明所描述 的實施例可包括具體的特征、結構或特性，但是每個實施例可無需包括該具體的特征、結構 或特性。而且，這種短語無需指代相同的實施例。而且，當結合實施例描述具體的特征、結 構或特性時，認為其在本領域普通技術人員結合顯式地或未顯式地描述的其他實施例實施 這種特征、結構或特性的知識范圍內。
[0018] 在某些情況下，可在硬件、固件、軟件、或其組合中實現(xiàn)所公開的實施例。所公開的 實施例還可被實現(xiàn)為由一個或多個瞬態(tài)或非瞬態(tài)機器可讀（例如計算機可讀）存儲介質攜 帶或存儲在其上的指令，這些指令可由一個或多個處理器讀取并執(zhí)行。機器可讀存儲介質 可被實施為任何用于存儲或傳輸機器可讀形式的信息的存儲設備、機構、或其他物理結構 (例如，易失性或非易失性存儲器、介質盤、或其他介質設備）。
[0019] 在附圖中，可用特定安排和/或排序示出某些結構或方法特征。然而，應當認識到 可不要求這種特定安排和/或排序。而是，在某些實施例中，可用與說明性附圖中示出的不 同的方式和/或順序安排這種特征。此外，具體附圖中包括結構或方法特征不意味著暗示 在所有實施例中要求這種特征以及在某些實施例中可不包括這種特征或者這種特征可與 其他特征組合。
[0020] 現(xiàn)在參照圖1，在說明性實施例中，用于連續(xù)地經由多個認證因素對用戶102進行 認證的系統(tǒng)100包括客戶端計算設備110、密鑰分發(fā)中心服務器130和服務提供商服務器 140。在使用中，客戶端計算設備110被配置成用于使用多個認證因素（例如，生物計量、接 近、用戶輸入、用戶存在等等）對用戶102進行認證并且監(jiān)視客戶端計算設備110的用戶 102的連續(xù)認證?？蛻舳擞嬎阍O備110還被配置成用于提供正在連續(xù)地監(jiān)視用戶102的認 證的斷言。在某些實施例中，客戶端計算設備110向密鑰分發(fā)中心服務器130提供連續(xù)用戶 認證監(jiān)視的斷言，該密鑰分發(fā)中心服務器可被配置成用于發(fā)布訪問服務提供商服務器140 或服務提供商服務器140所提供的具體資源所必需的一個或多個服務票和/或證書。密鑰 分發(fā)中心服務器130所提供的服務票可包括連續(xù)用戶認證監(jiān)視的斷言，如以下更詳細討論 的，該斷言可由服務提供商服務器140在授權訪問客戶端計算設備110之前驗證。以此方 式，客戶端計算設備110而不是密鑰分發(fā)中心服務器130可執(zhí)行用戶102的連續(xù)認證，并且 結果是，可減少修改和/或重新部署密鑰分發(fā)中心服務器130的需要。
[0021] 客戶端計算設備110可被實施為任何類型的能夠執(zhí)行在此描述的功能的計算設 備，包括但不限于桌上計算機、機頂盒、智能顯示設備、服務器、移動電話、智能電話、平板計 算設備、個人數字助理、消費者電子設備、膝上計算機、智能顯示設備、智能電視和/或任何 其他類型的計算設備。如圖1所示，說明性客戶端計算設備110包括處理器112、存儲器 114、輸入/輸出（"I/O"）子系統(tǒng)116、數據存儲設備120、通信電路124以及一個或多個傳 感器126。當然，在其他實施例中，客戶端計算設備110可包括其他或附加組件，諸如通常 在計算機和/或服務器中發(fā)現(xiàn)的那些（例如，各種輸入/輸出設備）。此外，在某些實施例 中，說明性組件中的一個或多個可被結合到另一個組件中或者以其他方式形成其一部分。 例如，在某些實施例中，存儲器114或其部分可被結合到處理器112中。
[0022] 處理器112可被實施為能夠執(zhí)行在此描述的功能的任何類型的處理器。例如，處 理器112可被實施為單核或多核處理器、數字信號處理器、微控制器、或其他處理器或處理 /控制電路。類似地，存儲器114可被實施為能夠執(zhí)行在此描述的功能的任何類型的易失性 或非易失性存儲器或數據存儲設備。在操作中，存儲器114可存儲在客戶端計算設備110 的操作期間使用的各種數據和軟件，諸如操作系統(tǒng)、應用、程序、庫和驅動程序。存儲器114 經由I/O子系統(tǒng)116通信地耦合到處理器112,I/O子系統(tǒng)116可被實施為用于促成與客戶 端計算設備110的處理器112、存儲器114、以及其他組件的輸入/輸出操作的電路和/或 組件。例如，I/O子系統(tǒng)116可被實施為或以其他方式包括用于促成輸入/輸出操作的存 儲器控制器中樞、輸入/輸出控制中樞、固件設備、通信鏈路（即，點到點鏈路、總線鏈路、導 線、線纜、光導、印刷電路板跡線等等）和/或其他組件及子系統(tǒng)。在某些實施例中，I/O子 系統(tǒng)116可形成片上系統(tǒng)（SoC)的一部分并且可與客戶端計算設備110的處理器112、存儲 器114和其他組件一起結合到單個集成電路芯片上。
[0023] 在某些實施例中，I/O子系統(tǒng)116可包括受信任執(zhí)行環(huán)境模塊118,該模塊可被實 施為獨立于處理器112操作以便提供不能由處理器112或客戶端計算設備110的其他組件 訪問的安全并隔離的環(huán)境的嵌入式微處理器，諸如安全協(xié)處理器。在這種實施例中，受信任 執(zhí)行環(huán)境模塊118可管理客戶端計算設備110為了保護客戶端計算設備110和密鑰分發(fā)中 心服務器130和服務提供商服務器140中的一個或多個之間的數據和/或通信而使用的一 個或多個加密密鑰的存儲。在這種實施例中，該一個或多個加密密鑰可存儲在存儲器114 中受信任執(zhí)行環(huán)境模塊118可訪問的并且客戶端計算設備110的其他組件不可訪問的部分 中。在其他實施例中，受信任執(zhí)行環(huán)境模塊118可包括與存儲器114分離的內部或本地安 全存儲器，其中可存儲加密密鑰。應當認識到受信任執(zhí)行環(huán)境模塊118還可安全地在受信 任執(zhí)行環(huán)境模塊118可訪問的并且客戶端計算設備110的其他組件不可訪問的存儲器114 的部分中存儲其他類型的數據。此外，受信任執(zhí)行環(huán)境模塊118可在某些實施例中在操作 功率狀態(tài)下運行，同時處理器112和客戶端計算設備110的其他組件處于低功率狀態(tài)（例 如，睡眠、休眠等等）或掉電。如以下更詳細討論的，在某些實施例中，受信任執(zhí)行環(huán)境模塊 118還可代表客戶端計算設備110和/或用戶102生成公/私鑰對，以便促成從密鑰分發(fā)中 心服務器130接收一個或多個服務票和/或證書。然而，應當認識到在某些實施例中，客戶 端計算設備110的其他組件可替代地代表客戶端計算設備110和/或用戶102生成公/私 鑰對。此外，如以下更詳細討論的，受信任執(zhí)行環(huán)境模塊118還可監(jiān)視客戶端計算設備110 的用戶102的連續(xù)認證并且向密鑰分發(fā)中心服務器130斷言正在執(zhí)行這種監(jiān)視。
[0024] 此外，應當認識到在客戶端計算設備110包括受信任執(zhí)行環(huán)境模塊118的實施例 中，受信任執(zhí)行環(huán)境模塊118或其任何功能可使用英特爾主動管理技術（AMT)、使用英特 爾⑩AMT的一部分、使用英特爾靜管理引擎（ME)、使用英特爾?vPr〇?技術、使用英特爾? 酷睿?vPro?技術、使用英特爾翁身份保護技術（IPT)和/或使用公鑰基礎設施（IPT)實 現(xiàn)，這些技術可各自從加利福尼亞州圣克拉拉市的英特爾公司獲得和/或在可從英特爾公 司獲得的芯片組內。然而，應當認識到受信任執(zhí)行環(huán)境模塊118或其任何功能可使用可從 其他制造商獲得的受信任計算設備的其他組件和/或技術實現(xiàn)。
[0025] 客戶端計算設備110的通信電路124可被實施為能夠使能客戶端計算設備110、密 鑰分發(fā)中心服務器130、服務提供商服務器140和/或其他計算設備之間的通信的任何類型 的通信電路、設備或其集合。通信電路124可被配置成用于使用任何一種或多種通信技術 (例如，無線通信或有線通信）和相關聯(lián)的協(xié)議（例如，以太網、Wi-Π?、WiMAX等等）使 這種通信生效。在某些實施例中，客戶端計算設備110和密鑰分發(fā)中心服務器130和/或 服務提供商服務器140可彼此通過網絡180進行通信。
[0026] 網絡180可被實施為任何數量的各種有線和/或無線通信網絡。例如，網絡180 可被實施為或以其他方式包括局域網（LAN)、廣域網（WAN)、蜂窩網絡或公共可訪問的全球 網絡（諸如互聯(lián)網）。此外，網絡180可包括任何數量的附加設備，以便促成客戶端計算設 備110、密鑰分發(fā)中心服務器130、服務提供商服務器140和/或其他計算設備之間的通信。
[0027] 數據存儲設備120可被實施為被配置成用于數據的短期或長期存儲的任何類型 的設備或多個設備，諸如例如存儲器設備和電路、存儲器卡、硬盤驅動器、固態(tài)驅動器、或其 他數據存儲設備。在某些實施例中，客戶端計算設備110可存儲處理器112不預期在近期 處理的和/或期望保留到持續(xù)擴展時間段的各種類型的數據和/或軟件。
[0028] 該一個或多個傳感器126可被實施為被配置成用于感測用戶102的特征和/或用 戶120相對于客戶端計算設備110的接近的任何類型的設備或多個設備。例如，在某些實 施例中，該一個或多個傳感器126可被實施為或者以其他方式包括被配置成用于感測用戶 102的物理屬性（例如，面部特征、語音模式、視網膜模式、指紋等等）和/或行為特征（例 如，眼部移動、視覺聚焦、身體移動、密鑰輸入力、密鑰輸入速度等等）的一個或多個生物計 量傳感器。此外或可替代地，該一個或多個傳感器126可被實施為或以其他方式包括被配 置成用于感測用戶102的接近或用戶102所攜帶的物理令牌（例如，射頻識別標簽、近場通 信標簽、射頻發(fā)射器等等）的一個或多個接近檢測傳感器。該一個或多個傳感器126還可 被實施為被配置成用于感測用戶102與客戶端計算設備110的交互的一個或多個傳感器。 例如，在某些實施例中，該一個或多個傳感器126可被實施為被配置成用于感測用戶102對 客戶端計算設備110的攜帶和/或移動的一個或多個加速度計。應當認識到盡管客戶端計 算設備110在說明性實施例中包括該一個或多個傳感器126,應當理解的是該一個或多個 傳感器126中的全部或一部分在其他實施例中可與客戶端計算設備110分離。如下所述， 該一個或多個傳感器126所感測的信息可部分地用于向客戶端計算設備110認證用戶102。
[0029] 密鑰分發(fā)中心服務器130可被實施為能夠執(zhí)行在此描述的功能的任何類型的服 務器。這樣，密鑰分發(fā)中心服務器130可包括通常在服務器中發(fā)現(xiàn)的用于通過網絡180通 信、存儲、維持并傳送數據的各種硬件和軟件組件（例如，處理器、存儲器和通信電路）。在 操作時，密鑰分發(fā)中心服務器130可被配置成用于生成用于訪問服務提供商服務器140和/ 或服務提供商服務器140的資源的一個或多個服務票和/或證書。為了這樣做，密鑰分發(fā) 中心服務器130可被配置成用于通過網絡180與受信任執(zhí)行環(huán)境模塊118通信，其代表用 戶102進行動作。在某些實施例中，密鑰分發(fā)中心服務器130可經由一個或多個密鑰交換 (例如SIGn-and-MAc(SIGMA)、Diffie-Hellman、FΚΓNIT等等）與受信任執(zhí)行環(huán)境模 塊118建立信任。應當認識到在某些實施例中，密鑰分發(fā)中心服務器130可能先前已經經由 一個或多個密鑰交換（例如SIGn-and-MAc(SIGMA)、Diffie-Hellman、FΚΓNIT等等） 與受信