[發明專利]多用戶強認證令牌

有效

• 申請號: 201680054918.1
• 申請日: 2016-09-21
• 公開（公告）號: CN108027853B
• 公開（公告）日: 2023-05-26
• 發明（設計）人: 尼古拉·福爾;紀堯姆·特謝龍;盧多維克·若利;弗雷德里克·門內斯
• 申請（專利權）人: 萬思伴國際有限公司
• 主分類號: G06F21/42
• 分類號: G06F21/42;G06F21/64;G06F21/84
• 代理公司: 北京銀龍知識產權代理有限公司 11243
• 代理人: 曾賢偉;許靜

公開了利用認證設備來保護遠程可訪問應用的裝置、方法和系統。更具體地，公開了用于阻止針對認證應用的覆蓋攻擊的裝置、方法和系統，其中認證應用用于顯示交易數據并且用于在這些交易數據上生成簽名。

相關申請的交叉引用

本申請涉及并且要求2015年9月21日提交的標題為“A?MULTI-USER?STRONGAUTHENTICATION?TOKEN(多用戶強認證令牌)”的美國臨時申請No.62/221,343的優先權，其內容通過參考并入在此。

技術領域

本發明涉及對于計算機和應用的遠程訪問和計算機網絡上的遠程交易進行保護。更具體地，本發明涉及用于對抗新型攻擊的方法和裝置，這種新型攻擊針對諸如智能手機的移動設備上的認證應用。

背景技術

隨著計算機系統和應用的遠程訪問越來越流行，在諸如互聯網的公共網絡上遠程訪問的交易的數量和種類急劇增加。這種流行凸顯出安全的需要；尤其是：如何確保遠程訪問應用的人是他們所聲稱的人，如何確保遠程執行的交易由合法個人來啟動，以及如何確保交易數據在應用服務器處被接收之前未被改變。

一種對于遠程應用的訪問進行保護的方式是使用諸如用戶智能手機的用戶個人設備上的認證應用。在一些情況下，這樣的認證應用可以適于動態地生成憑證。在一些情況下，這些動態憑證可以在用戶的個人設備上被呈現給用戶，例如以字母數字的字符串形式，讓用戶來轉發給用戶正在訪問并且需要保護的遠程應用。可替換地，認證應用可以直接向遠程應用發送所生成的動態憑證(例如，使用由用戶的個人設備建立的互聯網連接)。在接收到動態憑證后，遠程應用可以驗證它從用戶或者用戶的個人設備接收到的動態憑證，并且在接收到的動態憑證的驗證成功的情況下可以允許訪問用戶。

在一些情況下，用戶想要向遠程應用提交交易。在這種情況下，遠程應用可以要求用戶利用他或她的個人設備上的認證應用來生成動態憑證，并且將該動態憑證提供給遠程應用。遠程應用然后可以驗證它從用戶接收到的動態憑證，并且在接收到的動態憑證的驗證成功的情況下可以接受該交易。

如果動態密碼被加密地鏈接到表征該交易的交易數據，那么動態憑證也可以稱之為簽名或交易數據簽名。

在一些情況下，認證應用可以適于獲得交易數據并且將其呈現給用戶，使得用戶能夠驗證這些交易數據。在一些情況下，認證應用可以向用戶呈現交易數據，并且可以請求用戶認可所呈現的交易數據，并且只有在用戶確實認可所呈現的交易數據的情況下才可以生成并且顯示這些交易數據的動態憑證或簽名。在一些情況下，認證應用可以不需要明確的認可而生成動態憑證，例如可以將它生成的動態憑證所針對的交易數據與所生成的動態憑證一起呈現給用戶，使得用戶可以驗證交易數據是否正確，并且可以根據這個驗證來確定是否轉發所生成的動態憑證。

在一些情況下，用戶可以使用訪問設備來訪問遠程應用并進行交互。例如，用戶可以使用諸如個人計算機(PC)或膝上型計算機的計算設備，該計算機設備在網絡上連接到可以正在托管遠程應用的遠程服務器計算機。用戶可以使用訪問設備向遠程應用提交交易。在此情況下，攻擊者可以嘗試通過例如中間人(man-in-the-middle)或者瀏覽者(man-in-the-browser)攻擊的方式(例如，通過使用用戶的PC或膝上型計算機上安裝的惡意軟件)來進行干擾，并且可以嘗試利用虛假交易的其他數據來替換用戶想要的合法交易的數據。例如，如果用戶正在訪問網銀應用并且提交轉賬請求，攻擊者可以嘗試通過與該攻擊者相關聯的虛假賬戶來替換想要的目的地賬號。

為了免于這樣的攻擊，遠程應用可以將其接收到的交易數據發送到該用戶的一個認證設備，這個認證設備不同于用戶正在用于訪問該遠程應用的訪問設備。認證設備可以向用戶呈現它從遠程應用接收到的交易數據，使得用戶能夠驗證遠程應用接收到的數據。認證設備還可以生成并且向用戶呈現與所呈現的交易數據相關聯或者鏈接的動態憑證。用戶然后可以將該動態憑證轉發給遠程應用，作為交易數據的用戶認可的證據。