[發明專利]用于允許訪問web應用的被保護部分的方法和系統

無效

• 申請號: 201280031842.2
• 申請日: 2012-05-07
• 公開（公告）號: CN103814381A
• 公開（公告）日: 2014-05-21
• 發明（設計）人: 亨德里克·吉臣;克斯·魯道夫·德溫克
• 申請（專利權）人: 荷蘭遠程識別有限公司
• 主分類號: G06F21/34
• 分類號: G06F21/34;G06F21/77
• 代理公司: 北京中創陽光知識產權代理有限責任公司 11003
• 代理人: 尹振啟

技術領域

本發明提供一種用于允許訪問web應用的被保護部分的方法和系統。本申請要求通過引用結合于此的荷蘭申請NL2006733的優先權。

背景技術

用于這個目的的方法和系統在本領域內是眾所周知的。它們通常需要鍵入用來標識用戶的用戶名和用來認證的密碼。如果用戶名和密碼的鍵入組合和用戶名和密碼的登記組合匹配，則對web應用的訪問被允許。

在特定情況下，用戶名和密碼不被認為是足夠安全的，因為這些能夠被有意地盜取、推測或者傳送。然后，可以執行附加的檢查。額外的問題可能被詢問，或例如由指紋或虹膜掃描所確定的個人特性可以被執行，并且連同用戶名或用戶名和密碼一起發送，以便使這些與預存的細節相匹配。盡管認證的水平隨著這些方法的使用而提高，但是仍然存在欺詐的風險，因為細節在它們被其它媒體（例如語音或電子郵件）發送或者共享時能夠連同圖像一起被攔截。

發明內容

本發明的目的是提出克服上述缺點的方法和系統。

本發明由此提出用于允許訪問web應用的被保護部分的方法，包括給數據載體提供唯一存儲的載體ID、存儲的個人特性，諸如生物識別特性，還提供用于數據載體的閱讀器以及用于讀取個人特性的閱讀器，所述方法包括以下步驟：在訪問能夠被web應用ID標識的web應用時，借助于閱讀器讀取個人特性；將已讀取的個人特性與載體數據上存儲的個人特性相比較；將載體ID和web應用ID的組合發送到驗證機構；在驗證機構處查找與網站ID相對應的網站的訪問要求；在驗證機構處查找與載體ID相對應的人體的個人細節，諸如年齡；當個人細節滿足訪問要求時，通過驗證機構將訪問許可通知往回發送到web應用；以及基于該訪問許可通知來許可訪問網站的被保護部分。

本發明提供若干優點。因為諸如指紋或虹膜掃描或類似排序的生物識別之類的個人特性被存儲在數據載體上，并且被閱讀器讀取，所以不需要直接通過安全的或不安全的連接（諸如互聯網）將它發送到網站或web服務器。而且，用戶不需要鍵入用戶名和/或密碼，因為這個被直接地從驗證機構提供給網站。由此數據被攔截的風險的進一步降低被實現。此外，不需要傳送諸如個人年齡之類的個人細節，因為完全授權能夠發生在授權實例處。數據載體可以是使得能夠存儲表示個人特性的電子數據的任何裝置。載體ID可以被認為是數據載體的標識符，并且它可以具有固定值。驗證機構可以是web服務器，包括（中心）數據庫或者耦合到此，以用于存儲載體ID和該載體的持有者的個人特性的組合。載體ID未被直接地鏈接到對網站的訪問，但在這種情況下，所有者易于布置對盜取或損壞卡的替換：用戶獲得新卡并且保持他的訪問代碼。當用戶在網站處登記時，這些組合可以在前面被登記一次。

載體例如可以是芯片卡，其中芯片包括用于將生物識別特性輸入與已存儲生物識別特性相比較、并且返回指示存在匹配與否的通知的應用。與卡的通信可以經由卡閱讀器或無線地發生,例如因為卡配置有藍牙或NFC通信裝置。生物識別特性可以用連接到個人想要用其訪問網站的計算機的專用閱讀器或例如用裝配有用于生物識別特性的閱讀器的移動電話來讀取。

為了進一步增加安全性，數據載體可以包括密鑰，并且所述方法進一步包括僅通過驗證機構在基于該密鑰被加密的驗證值和驗證機構的預定值匹配時發送訪問代碼。這個預定值可以例如當驗證機構包括連接到所述密鑰（來自數據載體）的相同加密密鑰，并且驗證機構對該相同的加密進行計算時，可計算該預定值。在這里使用詢問-響應（Challenge-Response）過程，該過程根據每時隙生成的隨機值（稱作詢問）計算存在于數據庫中的所有卡的各個響應。當進行注冊到網站上的請求時，所謂的詢問被發送到卡并且被用密鑰加密。對該詢問的響應然后被返回給驗證機構，其驗證它是否和存儲的預先計算好的響應匹配。然后載體ID被確定并且對應用戶被標識。

在另外的實施例中，所述方法包括通過驗證機構重復地在時間間隔期間確定基于數據載體上的密鑰被加密的驗證值是否和預定值匹配。所述間隔可以例如包括幾秒鐘，并且檢查約每隔一秒被執行。這樣，對驗證值的正確響應被推測的機會被進一步消除。

有效的響應僅持續有限量的時間。當發送詢問以接收響應時，已知哪些時隙是有效的。在接收到響應時，在預先計算好的響應的列表中查找以得到特定時隙。對于特定時隙的響應將僅在一個或多個詢問被請求持續的時隙期間或者在可配置周期（例如60秒）之后保持有效。

在附加的實施例中，數據載體被體現為卡，諸如具有信用卡格式的卡，以便它能夠容易地被存放在用戶錢包中并且被隨身攜帶。數據載體還能夠是例如嵌入在平板或智能電話中的安全元件/安全組件的一部分。