[發明專利]用于最小披露憑證的身份托管管理

在審

• 申請號: 201480015756.1
• 申請日: 2014-03-13
• 公開（公告）號: CN105284074A
• 公開（公告）日: 2016-01-27
• 發明（設計）人: G·扎弗魯查;C·帕奎恩;M·蔡斯
• 申請（專利權）人: 微軟技術許可有限責任公司
• 主分類號: H04L9/32
• 分類號: H04L9/32
• 代理公司: 上海專利商標事務所有限公司 31100
• 代理人: 段登新

背景

各組織越來越關注安全地標識在因特網上以及離線地訪問并利用其服務和資源的用戶，同時保持這些用戶的信息對其他任何人的私密性。這些用戶認證和數據共享需求被成本和效率考慮、被利用個人信息的新業務模型、以及被釣魚、身份盜竊以及其他安全威脅的爆炸性增長所驅動。用于用戶認證和數據共享的傳統機制(諸如塑料卡和紙質憑證)是昂貴的、易于偽造的、且難以在線使用的。

結果，存在對于可以軟件和/或硬件實現并被用來防護因特網上的貨幣或財務交易的機制(例如，X.509證書)的快速增長的興趣。然而，這些機制受到限制，因為例如這些機制不能在不披露與用戶相關聯的至少一部分信息的情況下被使用。在驗證手續期間，為了確定給定憑證是否有效，用戶必須提供至少一些身份數據以便被認證。

即使一些傳統機制能夠保持匿名，也存在導致這些傳統機制的使用出現問題的其他關注點。在一些情況下，依賴方(諸如商品/服務的提供商)可能期望標識其憑證非法的特定用戶，諸如當該用戶可能不再有資格使用先前頒發的憑證、其中包含的屬性已經變得臨時或永久無效、或該用戶違反了與該服務提供商相關聯的策略時。在服務提供商例如期望能夠標識用戶以阻止欺詐的同時，這些用戶尋求通過控制/最小化所披露的關于他們的信息來限制公開暴露。

概述

提供本概述以便以簡化形式介紹將在以下的詳細描述中進一步描述的一些代表性概念的選集。本概述不旨在標識出所要求保護的主題的關鍵特征或必要特征，也不旨在以限制所要求保護的主題的范圍的任何方式來使用。

簡言之，本文公開的主題的各方面涉及經由身份托管管理來實現數據安全和隱私。在一個方面，實現身份托管管理的技術允許受信用戶匿名訪問在線服務/資源，同時向這些服務/資源的提供者(例如，依賴方)保證在線交易不受用戶不當行為(包括欺詐)的危害。然而，要領會，這種不當行為不限于欺詐且可涉及任何不恰當的請求/活動，諸如違反服務條款。如果用戶在某個方面行為不當，則審計者組件將該用戶解除匿名(de-anonymize)，并且必要時阻止對任何在線資源/服務的未來訪問。

在一個方面，身份管理系統和審計者被配置成通過實現密碼加密方案(cryptographicencryptionscheme)來提供身份托管管理。使用此加密方案，根據一個方面，身份管理系統的一個或多個組件選擇一個或多個憑證作為能夠解析用戶的身份的假名(pseudonym)。一個組件(身份托管證明者)基于素數階密碼群(prime-ordercryptographicgroup)使用私有密碼密鑰來對每個假名加密。為了阻止用戶加密垃圾數據而不是實際的假名，身份證明者生成對假名的承諾和加密形式的假名之間的一致性證據(proofofconsistency)。

在一個方面，另一組件(身份托管驗證者)證實此證據以及假名的真實性。如果此證據有效，則該假名是根據密碼加密方案被正確加密的。當與用于最小披露憑證的證實的呈遞證據相組合時，可證明密碼加密方案針對密文延展性(ciphertextmalleability)是安全的。當審計者在解密之前檢查呈遞證據時，對經加密的假名的任何打擊將被檢測到，從而導致失敗。

結合附圖閱讀以下詳細描述，本發明的其他優點會變得顯而易見。

附圖簡述

作為示例而非限制，在附圖中示出了本發明，附圖中相同的附圖標記指示相同或相似的元素，附圖中：

圖1是解說根據一個示例實現的示例身份托管管理架構的框圖。

圖2是解說根據一個或多個示例實現的用于身份托管管理的示例協議的框圖。

圖3是解說根據一個示例實現的用于用假名來保護最小披露憑證的示例步驟的流程圖。

圖4是解說根據一個示例實現的用于將最小披露憑證解除匿名的示例步驟的流程圖。

圖5是解說根據一個示例實現的用于頒發配置有用于身份托管管理的假名的最小披露憑證的示例步驟的流程圖。

圖6是表示示例非限制聯網環境的框圖，其中可實現本文所描述的各種實施例。

圖7是表示其中可實現本文所描述各實施例的一個或多個方面的示例非限制計算系統或操作環境的框圖。

詳細描述