專利名稱：用于安全網(wǎng)絡(luò)認證的方法和裝置的制作方法
技術(shù)領(lǐng)域：
本發(fā)明總體涉及用于訪問網(wǎng)絡(luò)中的資源的方法和裝置。更具體地 說，本發(fā)明涉及用于認證訪問網(wǎng)絡(luò)的用戶的計算機實現(xiàn)方法、裝置和 計算機可用程序代碼。
背景技術(shù)：
今天，許多組織在日常活動中和經(jīng)營商務(wù)時使用某種形式的網(wǎng)
絡(luò)。這些網(wǎng)絡(luò)可以是各種各樣的形式，例如局域網(wǎng)(LAN)、廣域網(wǎng) (WAN)或內(nèi)聯(lián)網(wǎng)。這些組織的員工通過這些網(wǎng)絡(luò)訪問資源。另外， 許多組織通過因特網(wǎng)經(jīng)營商務(wù)或其它活動，其中對它們網(wǎng)絡(luò)上特定資 源的訪問通過因特網(wǎng)發(fā)生。為增加靈活性和生產(chǎn)力， 一些公司使員工 遠程工作成為可能。員工可以遠程地在許多不同的地方工作，例如在 家里或在客戶的地點。組織花了很大的努力和成本來確保發(fā)給員工的 例如膝上型電腦的數(shù)據(jù)處理系統(tǒng)是具有安全補丁、最近的防火墻系統(tǒng) 和病毒防護系統(tǒng)的最新數(shù)據(jù)處理系統(tǒng)。這些不同的更新和應(yīng)用程序包 括在這些類型的數(shù)據(jù)處理系統(tǒng)中來減少有人會侵害員工膝上型電腦和 闖入組織網(wǎng)絡(luò)的可能性。組織知道黑客通常不會通過公司防火墻或破 解強的加密算法來闖入。此外，組織已經(jīng)認識到闖入公司網(wǎng)絡(luò)最容易 的辦法是闖入連到組織網(wǎng)絡(luò)的保護很弱的遠程數(shù)據(jù)處理系統(tǒng)。
盡管組織提供了在安全補丁、防火墻和病毒防護應(yīng)用程序方面最 新的膝上型電腦和其它計算機系統(tǒng)，但是當員工在他們自己的個人數(shù) 據(jù)處理系統(tǒng)上安裝組織的遠程連接軟件時，這個處理出現(xiàn)漏洞。員工 出于在桌上型電腦而不是膝上型電腦上工作的方便性或避免不得不攜 帶他們的膝上型電腦來回地上下班，會在他們自己的數(shù)據(jù)處理系統(tǒng)上 安裝連接軟件。這種情況有一個問題是員工的個人數(shù)據(jù)處理系統(tǒng)可能沒有最新的安全補丁或病毒防護。此外，對組織來說不可能為這些個 人系統(tǒng)設(shè)置安全級別。 一個解決辦法是分析例如連接網(wǎng)絡(luò)的遠程數(shù)據(jù) 處理系統(tǒng)。由于連接到網(wǎng)絡(luò)的時間延遲和由于病毒可以在連接到網(wǎng)絡(luò) 的幾秒之內(nèi)傳播，這樣的處理會是不切實際的。
結(jié)果，病毒或其它惡意代碼會更容易地找到方法侵入到個人數(shù)據(jù) 處理系統(tǒng)，并然后侵入組織的網(wǎng)絡(luò)。

發(fā)明內(nèi)容
本發(fā)明提供了接收來自用戶的訪問網(wǎng)絡(luò)的請求以形成接收到的 請求的方法、裝置和計算機可用程序代碼，其中接收到的請求包含由 客戶端數(shù)據(jù)處理系統(tǒng)上的硬件安全模塊使用第一密鑰加密的加密訪問 信息。加密訪問信息的解密使用與第一密鑰關(guān)聯(lián)的第二密鑰進行，以 形成解密信息。使用解密信息執(zhí)行認證處理。如果認證處理成功，則 允許用戶訪問資源。


被認為是本發(fā)明的特征的新穎的特征在所附權(quán)利要求陳述。通過 參考下面結(jié)合附圖閱讀的說明性實施方式的詳細描述，將會對本發(fā)明
本身有最好的理解。在附圖中
圖l是可實現(xiàn)本發(fā)明各方面的數(shù)據(jù)處理系統(tǒng)網(wǎng)絡(luò)的示意圖； 圖2是可實現(xiàn)本發(fā)明各方面的數(shù)據(jù)處理系統(tǒng)的框圖； 圖3是根據(jù)本發(fā)明說明性實施方式說明用于超安全網(wǎng)絡(luò)認證的組
件的圖4是根據(jù)本發(fā)明說明性實施方式用于產(chǎn)生訪問資源的請求的處 理的流程圖；以及
圖5是根據(jù)本發(fā)明說明性實施方式用于認證請求的處理的流程圖。
具體實施方式
圖l至圖2作為可實現(xiàn)本發(fā)明各實施方式的數(shù)據(jù)處理環(huán)境的示例 圖提供。應(yīng)當理解為圖l至圖2只是示例性的，并不是要表明或暗示 任何對可實現(xiàn)本發(fā)明方面或?qū)嵤┓绞降沫h(huán)境的限制。在不背離本發(fā)明 宗旨和范圍的情況下，可以對所述環(huán)境作許多修改。
現(xiàn)在參考附圖，圖l描述了可實現(xiàn)本發(fā)明方面的數(shù)據(jù)處理系統(tǒng)網(wǎng) 絡(luò)的示意圖。網(wǎng)絡(luò)數(shù)據(jù)處理系統(tǒng)IOO是可實現(xiàn)本發(fā)明實施方式的計算 機網(wǎng)絡(luò)。網(wǎng)絡(luò)數(shù)據(jù)處理系統(tǒng)100包括網(wǎng)絡(luò)102，它是用來在網(wǎng)絡(luò)數(shù)據(jù) 處理系統(tǒng)100中連接在一起的各種設(shè)備和計算機之間提供通信鏈路的 介質(zhì)。網(wǎng)絡(luò)102可以包括例如有線、無線通信鏈路或光纖電纜的連接。
在所述例子中，服務(wù)器104和服務(wù)器106連同存儲單元108 —起 連接到網(wǎng)絡(luò)102。另外，客戶端IIO、 112和114連接到網(wǎng)絡(luò)102。這 些客戶端110、 112和114可以是例如個人計算機或網(wǎng)絡(luò)計算機。在所 述例子中，服務(wù)器104提供例如啟動文件、操作系統(tǒng)映象和應(yīng)用程序 的數(shù)據(jù)給客戶端IIO、 112和114。客戶端IIO、 112和114在這個例 子中是服務(wù)器104的客戶端。網(wǎng)絡(luò)數(shù)據(jù)處理系統(tǒng)IOO可以包括另外的 服務(wù)器、客戶端和其它沒有顯示的設(shè)備。
在這些例子中，例如客戶端116的遠程客戶端會期望訪問網(wǎng)絡(luò) 102中的資源。客戶端116可通過網(wǎng)絡(luò)118發(fā)送請求到服務(wù)器104來 請求訪問資源。在這些例子中，網(wǎng)絡(luò)118可以是例如因特網(wǎng)的不安全 網(wǎng)絡(luò)。本發(fā)明方面提供了在網(wǎng)絡(luò)102中訪問網(wǎng)絡(luò)102資源的安全認證 處理。資源可以是各種形式的，例如整個網(wǎng)絡(luò)或可以是例如但不限于 數(shù)據(jù)庫、特定的目錄或文件集合。這些其它資源可以位于網(wǎng)絡(luò)上或在 例如服務(wù)器104的單數(shù)據(jù)處理系統(tǒng)上。
在所述例子中，網(wǎng)絡(luò)118是因特網(wǎng)，用網(wǎng)絡(luò)118表示使用傳輸控 制協(xié)議/因特網(wǎng)協(xié)議(TCP/IP )協(xié)議組來互相通信的世界范圍的網(wǎng)絡(luò)和 網(wǎng)關(guān)的集合。因特網(wǎng)中心是主節(jié)點或主計算機之間高速數(shù)據(jù)通信線路 的主干，包括成千上萬的商用的、政府的、教育的和其它的路由數(shù)據(jù) 和消息的計算機系統(tǒng)。圖l是作為例子，而不是作為對本發(fā)明不同實 施方式的體系結(jié)構(gòu)上的限制?，F(xiàn)在參考圖2，顯示了可實現(xiàn)本發(fā)明方面的數(shù)據(jù)處理系統(tǒng)的框圖。 數(shù)據(jù)處理系統(tǒng)200是例如圖1中服務(wù)器104或客戶端110的計算機的 例子，實現(xiàn)本發(fā)明實施方式處理的計算機可用代碼或指令可以位于其 中。
在所述例子中，數(shù)據(jù)處理系統(tǒng)200使用了包括北橋和存儲器控制 集線器(MCH) 202以及南橋和輸入/輸出(I/O)控制集線器(ICH) 204的集線器體系結(jié)構(gòu)。處理單元206、主存儲器208和圖形處理器 210連接到北橋和存儲器控制集線器202。圖像處理器210可以通過加 速圖形端口 (AGP)連接到北橋和存儲器控制集線器202。
在所述例子中，局域網(wǎng)(LAN)適配器212連接到南橋和I/0控 制集線器204。音頻適配器216、鍵盤和鼠標適配器220、調(diào)制解調(diào)器 222、只讀存儲器(ROM) 224、硬盤驅(qū)動器(HDD) 226、 CD-ROM 驅(qū)動器230、通用串行總線(USB)端口和其它通信端口 232以及 PCI/PCIe設(shè)備234通過總線238和總線240連接到南橋和I/O控制集 線器204。 PCI/PCIe設(shè)備可以包括例如用于筆記本計算機的以太網(wǎng)適 配器、內(nèi)插卡和PC卡。PCI使用卡總線控制器，而PCIe不用。ROM224 可以是例如閃存二進制輸入/輸出系統(tǒng)(BIOS)。
硬盤驅(qū)動器226和CD-ROM驅(qū)動器230通過總線240連接到南 橋和I/O控制集線器204。硬盤驅(qū)動器226和CD-ROM驅(qū)動器230可 以使用例如集成驅(qū)動電子設(shè)備(IDE)或串行先進技術(shù)連接(SATA) 接口 。超I/O ( SIO )設(shè)備236可以連接到南橋和I/O控制集線器204。
操作系統(tǒng)運行在處理單元206上并且協(xié)調(diào)和提供對圖2中數(shù)據(jù)處 理系統(tǒng)200內(nèi)的各種組件的控制。作為客戶端，操作系統(tǒng)可以是例如 Microsoft Windows XP ( Microsoft和Windows是微軟公司在美國、 其它國家或兩者的注冊商標)的市場上可買到的操作系統(tǒng)。例如 Java 編程系統(tǒng)的面向?qū)ο缶幊滔到y(tǒng)可以與操作系統(tǒng)結(jié)合運行并提 供從數(shù)據(jù)處理系統(tǒng)200上執(zhí)行的Java程序或應(yīng)用程序?qū)Σ僮飨到y(tǒng)的調(diào) 用(Java是Sun Microsystems公司在美國、其它國家或兩者的注冊商 標)。作為服務(wù)器，數(shù)據(jù)處理系統(tǒng)200可以是例如運行Advanced Interactive Executive (AIX )操作系統(tǒng)或LINUX操作系統(tǒng)的IBM eServerTMpSeries②計算機系統(tǒng)(eServer、 pSeries和AIX是國際商業(yè) 機器/〉司在美國、其它國家或兩者的商標，而Linux是Linus Torvalds 在美國、其它國家或兩者的商標)。數(shù)據(jù)處理系統(tǒng)200可以是在處理 單元206中包括多個處理器的對稱多處理器(SMP)系統(tǒng)?？蛇x地， 可以使用單處理器系統(tǒng)。
操作系統(tǒng)、面向?qū)ο缶幊滔到y(tǒng)和應(yīng)用程序或程序的指令位于例如 硬盤驅(qū)動器226的存儲設(shè)備上，并且可以加載進主存儲器208由處理 單元206執(zhí)行。本發(fā)明實施方式的處理由處理單元206使用可以位于 例如主存儲器208、只讀存儲器224或一個或多個外圍設(shè)備226和230 的存儲器的計算機可用程序代碼執(zhí)行。
本領(lǐng)域普通技術(shù)人員應(yīng)當理解，取決于實現(xiàn)，圖1至圖2中的硬 件可以變化。除了或替代圖1至圖2中所示硬件，可以使用例如閃存、 等效的非易失性存儲器或光盤驅(qū)動器等的其它內(nèi)部硬件或外圍設(shè)備。 同樣，本發(fā)明的處理可以應(yīng)用到多處理器數(shù)據(jù)處理系統(tǒng)。
在某些說明性例子中，數(shù)據(jù)處理系統(tǒng)200可以是配置有提供用于 存儲操作系統(tǒng)文件和/或用戶產(chǎn)生數(shù)據(jù)的非易失性存儲器的閃存的個 人數(shù)字助理(PDA)。
總線系統(tǒng)可以包括一個或多個例如圖2中所示的總線238或總線 240的總線。當然，總線系統(tǒng)可以使用任何類型的通信結(jié)構(gòu)或體系結(jié) 構(gòu)實現(xiàn)，該通信結(jié)構(gòu)或體系結(jié)構(gòu)提供連接到此結(jié)構(gòu)或體系結(jié)構(gòu)的不同 組件或設(shè)備之間的數(shù)據(jù)傳輸。通信單元可以包括一個或多個例如圖2 中調(diào)制解調(diào)器222或網(wǎng)絡(luò)適配器212的用來傳送和接收數(shù)據(jù)的設(shè)備。 存儲器可以是例如主存儲器208、只讀存儲器224或例如圖2中的北 橋和存儲器控制集線器202中可找到的高速緩存。圖1至圖2所述例 子和上迷例子不是暗示體系結(jié)構(gòu)上的限制。例如，數(shù)據(jù)處理系統(tǒng)200 除了采用PDA形式以外，也可以是平板計算機、膝上型計算機或電話 設(shè)備。
8另外，當數(shù)據(jù)處理系統(tǒng)200作為客戶端實現(xiàn)時，其包括受托平臺 模塊(TPM) 242。受托平臺模塊242是硬件安全模塊。在這些例子 中，受托平臺模塊242包括用來加密信息的密鑰。受托平臺模塊242 可以用來加密安全性敏感的信息。在這些例子中，對受托平臺模塊242 的訪問通過設(shè)備驅(qū)動程序發(fā)生。因此，不同應(yīng)用程序可以調(diào)用或發(fā)送 信息到受托平臺模塊242用于處理。
本發(fā)明的方面提供了用于超安全網(wǎng)絡(luò)認證的計算機實現(xiàn)的方法、 裝置和計算機可用程序代碼。用戶的登錄標識符和口令綁定到特定的 數(shù)據(jù)處理系統(tǒng)。以這種方式，只有具有認可的安全級別的數(shù)據(jù)處理系 統(tǒng)能連接到組織網(wǎng)絡(luò)。本發(fā)明方面確保了這個特征到這種程度即使 每個文件都從發(fā)起的或授權(quán)的數(shù)據(jù)處理系統(tǒng)拷貝到非授權(quán)的系統(tǒng)，也 只有授權(quán)的數(shù)據(jù)處理系統(tǒng)才能連接到網(wǎng)絡(luò)。結(jié)果，即使員工的登錄標 識符、口令和安全識別卡被盜，偷竊人如果沒有同時具有授權(quán)給那個 特定用戶的組織的膝上型電腦，也不能闖入。
本發(fā)明方面認識到當前安全解決方案是基于軟件并且不具有硬 件的安全保護。本發(fā)明方面結(jié)合了認證用戶和受托平臺模塊的安全特 征。加密請求中信息的一部分。尤其當接收到來自用戶的訪問網(wǎng)絡(luò)的 請求時，請求的部分使用執(zhí)行加密信息的密鑰來解密。使用這個解密 信息和其它在請求中包括的信息來執(zhí)行認證。如果認證成功，那么允 許用戶訪問資源。
在說明性例子中，加密的信息是口令。如果正確地處理，口令使 用客戶端數(shù)據(jù)處理系統(tǒng)上的第一密鑰加密。該第一密鑰可以由該客戶 端數(shù)據(jù)處理系統(tǒng)上的硬件安全模塊訪問。加密的口令和用戶標識符在 請求中發(fā)送到服務(wù)器或其它設(shè)備?？诹钍褂门c第一密鑰關(guān)聯(lián)的第二密 鑰解密。解密的口令和用戶標識符然后在認證處理中被使用來確定是 否允許用戶訪問請求的資源。在這些例子中，第一密鑰是私鑰并且第 二密鑰是私鑰的公鑰。私鑰只有通過硬件安全模塊才能訪問，以至于 如果沒有私鑰，任何其它加密密碼的嘗試都不會成功。結(jié)果，口令的 任何解密都產(chǎn)生用于認證處理的不正確或不可識別的口令?，F(xiàn)在轉(zhuǎn)向圖3，根據(jù)本發(fā)明說明性實施方式，描述說明用于超安 全網(wǎng)絡(luò)認證系統(tǒng)的組件的圖。在這個例子中，在客戶端計算機300處 的用戶聯(lián)系服務(wù)器302來訪問資源304?？蛻舳擞嬎銠C300可以使用 這些例子中圖2的數(shù)據(jù)處理系統(tǒng)200來實現(xiàn)。類似地，服務(wù)器302可 以使用圖2中數(shù)據(jù)處理系統(tǒng)200來實現(xiàn)。在這些例子中，資源304是 網(wǎng)絡(luò)。資源304可以是其它形式，例如，數(shù)據(jù)庫、目錄、打印機或任 何其它期望對其有訪問限制的信息或資源。
在這些例子中，用戶輸入用戶標識符和口令到訪問程序306,然 后加密口令到受托平臺模塊308。訪問程序306可以是例如撥號程序 或其它用來與例如服務(wù)器302的端點建立連接的程序。受托平臺模塊 308位于客戶端計算機300并且訪問私鑰310。
如上所述的受托平臺模塊308是位于客戶端計算機300的硬件設(shè) 備。受托平臺模塊308使用來自私鑰310的私鑰加密口令。這個私鑰 是分配給試圖訪問資源304的用戶的私鑰。受托平臺模塊308基于輸 入到訪問程序306中的用戶標識符識別用于加密口令的私鑰。受托平 臺模塊308返回加密口令到訪問程序306,然后訪問程序306發(fā)送請 求320到服務(wù)器302。在這個例子中，請求320包括用戶標識符和加 密的口令。另外，請求320也可以識別期望訪問的資源。請求可以包 括例如期望的服務(wù)器IP地址的屬性。
服務(wù)器處理312接收請求320。服務(wù)器處理312基于請求320中 的用戶標識符從公鑰314中識別公鑰。服務(wù)器處理312使用識別的公 鑰解密加密口令并且然后傳遞解密的口令和用戶標識符到認證處理 316。認證處理316確定是否允許特定的用戶訪問例如網(wǎng)絡(luò)資源或IP 地址的資源。另外，口令用來驗證用戶是否是請求訪問資源304的真 正用戶。如果認證處理316成功地認證了請求，客戶端計算機300然 后就被提供了對資源304的訪問。在這些例子中，資源304是網(wǎng)絡(luò)資 源的IP地址。
在這些例子中，認證處理316可以^使用任何類型的認證系統(tǒng)實現(xiàn)。 例如，可以使用遠程認證撥入用戶服務(wù)(RADIUS)系統(tǒng)。這種類型的系統(tǒng)需要輸入用戶名和口令來訪問網(wǎng)絡(luò)。信息通過點到點協(xié)議從客戶端傳送到網(wǎng)絡(luò)訪問服務(wù)器設(shè)備并且然后通過RADIUS協(xié)議傳送到 RADIUS服務(wù)器。RADIUS服務(wù)器使用各種認證方案檢查信息是否正 確。例如，可以使用詢問握手認證協(xié)議(CHAP)或可擴展認證協(xié)議 (EAP) 。 RADIUS在2000年6月的RFC2865中描述。在這些例子中，服務(wù)器302提供對例如圖1中網(wǎng)絡(luò)102的資源的 訪問。如果發(fā)生了不正確的密鑰加密，口令仍然可以解密但會產(chǎn)生不 能訪問資源304的不正確口令?？蛻舳擞嬎銠C300和服務(wù)器302中的 組件形成了超安全網(wǎng)絡(luò)認證系統(tǒng)。使用這個系統(tǒng)，只有從特定的分配 給用戶的數(shù)據(jù)處理系統(tǒng)上才允許訪問資源。結(jié)果，如果用戶的標識符 和口令被盜，那么除非非授權(quán)用戶也有用戶的數(shù)據(jù)處理系統(tǒng)，否則非 授權(quán)用戶不能訪問資源?，F(xiàn)在轉(zhuǎn)向圖4，根據(jù)本發(fā)明說明性實施方式，描述用于產(chǎn)生訪問 資源的請求的處理的流程圖。在圖4中說明的處理可以在例如圖3中 訪問程序306的訪問程序中實現(xiàn)。處理通過接收用戶的標識符和口令(步驟400)開始。處理發(fā)送 口令到受托平臺模塊(步驟402)。依次地，接收口令的加密版本(步 驟404)。處理然后用用戶標識符和加密的口令創(chuàng)建訪問請求(步驟 406)。這個請求也可以識別期望訪問的資源。訪問請求然后發(fā)送到服 務(wù)器(步驟408)并在其后終止處理。轉(zhuǎn)向圖5，根據(jù)本發(fā)明說明性實施方式描述用于認證請求的處理 的流程圖。圖5中說明的處理可以在例如圖3中服務(wù)器302的服務(wù)器 上實現(xiàn)。尤其是，處理可以使用圖3中服務(wù)器處理312和認證處理316 實現(xiàn)。處理通過接收訪問請求(步驟500)開始。處理使用在訪問請求 中包含的用戶標識符識別公鑰(步驟502)。然后，處理使用公鑰解 密加密的口令(步驟504)。處理然后使用用戶標識符和解密的口令 執(zhí)行認證(步驟506)。下一步，確定是否認證成功(步驟508)。在這些例子中，如果對于正請求訪問的資源，用戶和口令都存在，那么認證成功。換句話說，步驟508還通過確定口令是否正確來確定 是否允許用戶訪問資源，并且確定請求是否確實來自用戶。如果認證 成功，處理允許訪問資源(步驟510)，并且隨后終止處理。否則， 返回錯誤消息(步驟512)并隨后終止處理。錯誤消息可以是例如訪 問拒絕消息。這樣，本發(fā)明各方面提供了用于提供對資源的安全訪問的計算機 實現(xiàn)的方法、裝置和計算機可用程序代碼。在這些例子中，受托平臺 模塊用來在客戶端數(shù)據(jù)處理系統(tǒng)上加密口令。使用用戶標識符和加密 口令發(fā)送訪問請求。加密的口令然后解密。解密的密鑰然后同用戶標 識符在這些例子的認證處理中使用。結(jié)果，只有請求來自在客戶端數(shù) 據(jù)處理系統(tǒng)的用戶時，正確的認證才能發(fā)生。在這些例子中，加密的 信息是口令。取決于特定的實現(xiàn)，可以加密其它信息，例如除了或代 替口令而請求的資源。除了防止非授權(quán)用戶的非授權(quán)訪問，本發(fā)明方面也確保了用戶只通過選擇的或設(shè)置為組織所需要的安全級別的硬件 訪問資源。以這種方式，例如病毒和其它引入資源的惡意代碼的威脅 就減少了。本發(fā)明能采取完全硬件實施方式、完全軟件實施方式或包含硬件 和軟件元件的實施方式的形式。在優(yōu)選的實施方式中，本發(fā)明是用軟 件實現(xiàn)，軟件包括但不局限于固件、駐留軟件和微代碼等。而且，本發(fā)明可以采取可從提供由計算機或任何指令執(zhí)行系統(tǒng)使用或與其結(jié)合使用的程序代碼的計算機可用或計算機可讀介質(zhì)訪問的 計算機程序產(chǎn)品的形式。為了本描述的目的，計算機可用或計算機可 讀介質(zhì)可以是任何能包含、存儲、傳送、傳播或傳輸由指令執(zhí)行系統(tǒng)、 裝置或設(shè)備使用或與其結(jié)合使用的程序的裝置。介質(zhì)可以是電子的、磁的、光的、電磁的、紅外的或半導(dǎo)體系統(tǒng) (或裝置或設(shè)備)或傳播介質(zhì)。計算機可讀介質(zhì)的例子包括半導(dǎo)體或 固態(tài)存儲器、磁帶、可移動計算機盤、隨機存儲器(RAM)、只讀存 儲器(ROM)、硬磁盤和光盤。光盤的當前例子包括壓縮盤-只讀存 儲器(CD-ROM)、壓縮盤-讀/寫(CD-R/W)和DVD。適合存儲和/或執(zhí)行程序代碼的數(shù)據(jù)處理系統(tǒng)會包括至少一個通 過系統(tǒng)總線直接或間接耦合到存儲器元件的處理器。存儲器元件可包 括在實際執(zhí)行程序代碼時使用的本地存儲器、海量存儲設(shè)備和為了減 少在執(zhí)行時必須從海量存儲設(shè)備檢索代碼的次數(shù)而提供至少 一 些程序 代碼的臨時存儲的高速緩存。輸入/輸出或1/0設(shè)備(包括但不局限于鍵盤、顯示器和定點設(shè)備 等)能直接或者通過中間1/0控制器耦合到系統(tǒng)。網(wǎng)絡(luò)適配器也可以耦合到系統(tǒng)，使數(shù)據(jù)處理系統(tǒng)能通過中間專用 或公共網(wǎng)絡(luò)耦合到其它數(shù)據(jù)處理系統(tǒng)或遠程打印機或存儲設(shè)備。調(diào)制 解調(diào)器、電纜調(diào)制解調(diào)器和以太網(wǎng)卡只是當前可以得到的網(wǎng)絡(luò)適配器 類型的一小部分。本發(fā)明的描述是為了說明和描述而提出的，它不打算是窮盡的或 要將本發(fā)明限制到所公開的形式。許多修改和變化對本領(lǐng)域普通技術(shù) 人員是顯而易見的。選擇和描述實施方式是為了最好地解釋本發(fā)明的 原理、實際的應(yīng)用并使本領(lǐng)域其它普通技術(shù)人員能理解本發(fā)明具有各 種適合特定預(yù)期用途的修改的各種實施方式。
權(quán)利要求
1、一種用于認證網(wǎng)絡(luò)中的用戶的計算機實現(xiàn)的方法，該計算機實現(xiàn)的方法包括接收來自用戶的訪問網(wǎng)絡(luò)的請求以形成接收到的請求，其中接收到的請求包括由客戶端數(shù)據(jù)處理系統(tǒng)上的硬件安全模塊使用第一密鑰加密的加密訪問信息；使用與第一密鑰關(guān)聯(lián)的第二密鑰對加密訪問信息進行解密以形成解密的信息；使用解密的信息執(zhí)行認證處理；和如果認證處理成功，則允許用戶訪問資源。
2、 如權(quán)利要求1所述的計算機實現(xiàn)的方法，其中第一密鑰是私 鑰并且第二密鑰是^^鑰。
3、 如權(quán)利要求2所述的計算機實現(xiàn)的方法，其中私鑰只可由硬 件安全模塊訪問。
4、 如權(quán)利要求1所述的計算機實現(xiàn)的方法，其中加密訪問信息 是口令和用戶標識符至少之一。
5、 如權(quán)利要求1所述的計算機實現(xiàn)的方法，其中所述接收、解 密、執(zhí)行和允許步驟在服務(wù)器數(shù)據(jù)處理系統(tǒng)、路由器或交換機之一上 執(zhí)行。
6、 如權(quán)利要求1所述的計算機實現(xiàn)的方法，其中客戶端數(shù)據(jù)處 理系統(tǒng)是膝上型計算機。
7、 如權(quán)利要求l所迷的計算機實現(xiàn)的方法，其中資源是網(wǎng)絡(luò)。
8、 如權(quán)利要求l所述的計算機實現(xiàn)的方法，其中資源是數(shù)據(jù)庫。
9、 一種網(wǎng)絡(luò)數(shù)據(jù)處理系統(tǒng)，包括 網(wǎng)絡(luò)；連接到網(wǎng)絡(luò)的服務(wù)器數(shù)據(jù)處理系統(tǒng)；和通過網(wǎng)絡(luò)外部通信鏈路與服務(wù)器通信的客戶端計算機，其中客戶 端計算機包括硬件安全模塊，其中客戶端使用硬件安全模塊利用私鑰加密用于請求訪問網(wǎng)絡(luò) 的口令以形成加密口令，客戶端在訪問網(wǎng)絡(luò)的請求中向服務(wù)器數(shù)據(jù)處 理系統(tǒng)發(fā)送加密口令，服務(wù)器數(shù)據(jù)處理系統(tǒng)使用與私鑰關(guān)聯(lián)的公鑰對 口令進行解密來形成解密的口令，并且服務(wù)器數(shù)據(jù)處理系統(tǒng)確定是否 允許客戶端數(shù)據(jù)處理系統(tǒng)使用解密口令訪問網(wǎng)絡(luò)。
10、 一種計算機程序產(chǎn)品，包括具有用于認證網(wǎng)絡(luò)中的用戶的計算機可用程序代碼的計算機可 用介質(zhì)，所述計算機程序產(chǎn)品包括當在計算機上運行時執(zhí)行權(quán)利要求 1至8中任一個的步驟的計算機可用程序代碼。
11、 一種數(shù)據(jù)處理系統(tǒng)，包括 總線；連接到總線的通信單元；連接到總線的存儲器，其中存^i殳備包^i十算機可用程序代碼集；和 連接到總線的處理器單元，其中處理器單元執(zhí)行計算機可用程序 代碼集以執(zhí)行權(quán)利要求1至9中任一個的步驟。
12、 一種用于訪問資源的數(shù)據(jù)處理系統(tǒng)，該數(shù)據(jù)處理系統(tǒng)包括 接收來自用戶的訪問網(wǎng)絡(luò)的請求以形成接收到的請求的接收部件，其中接收到的請求包括由客戶端數(shù)據(jù)處理系統(tǒng)上的硬件安全模塊使用第一密鑰加密的加密訪問信息；使用與第一密鑰關(guān)聯(lián)的第二密鑰對加密訪問信息進行解密以形成解密的信息的解密部件；使用解密的信息執(zhí)行認證處理的執(zhí)行部件；和 如果認證處理成功，則允許用戶訪問資源的允許部件。
13、 如權(quán)利要求12所述的數(shù)據(jù)處理系統(tǒng)，其中第一密鑰是私鑰 并且第二密鑰是公鑰。
14、 如權(quán)利要求13所述的數(shù)據(jù)處理系統(tǒng)，其中私鑰只可由硬件 安全模塊訪問。
15、如權(quán)利要求12所述的數(shù)據(jù)處理系統(tǒng)，其中加密訪問信息是 口令和用戶標識符至少之一。
全文摘要
接收來自用戶的訪問網(wǎng)絡(luò)的請求以形成接收到的請求的方法、裝置和計算機可用的程序代碼，其中接收到的請求包含由客戶端數(shù)據(jù)處理系統(tǒng)上的硬件安全模塊使用第一密鑰加密的加密訪問信息。加密訪問信息的解密使用與第一密鑰關(guān)聯(lián)的第二密鑰進行以形成解密信息。使用解密信息執(zhí)行認證處理。如果認證處理成功，則允許用戶訪問資源。
文檔編號H04L29/06GK101297534SQ200680039980
公開日2008年10月29日 申請日期2006年10月16日 優(yōu)先權(quán)日2005年10月27日
發(fā)明者D·M·根蒂, J·S·特索羅, S·P·穆倫 申請人:國際商業(yè)機器公司