[發明專利]用于對用戶進行認證或確保交互安全的系統和認證令牌

在審

• 申請號: 202010645823.5
• 申請日: 2015-10-30
• 公開（公告）號: CN111884806A
• 公開（公告）日: 2020-11-03
• 發明（設計）人: 弗雷德里克·門內斯;蓋伊·庫克;貝特·菲倫斯;塞巴斯蒂安·拉維涅;哈爾姆·布拉姆斯;湯姆·德瓦施;紀堯姆·特謝龍
• 申請（專利權）人: 威斯科數據安全國際有限公司
• 主分類號: H04L9/32
• 分類號: H04L9/32
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 王萍;唐明英

1.一種用于對有至少兩個不同用戶的多個用戶進行認證或用于確保所述有至少兩個不同用戶的多個用戶與多個能夠遠程訪問的應用之間的交互安全的系統，所述系統包括：

一個或更多個應用服務器；

多個接入客戶端設備，所述多個接入客戶端設備通過計算機網絡連接至所述應用服務器，使得所述應用服務器和所述接入客戶端設備能夠彼此通信；以及

多個認證令牌，一個或更多個認證令牌與每個用戶相關聯；以及

在所述多個認證令牌中的至少一個中的多個令牌實例，每個令牌實例包括實例數據并且與所述有至少兩個不同用戶的多個用戶中的單個用戶相關聯；

其中所述應用服務器中的每一個托管所述多個能夠遠程訪問的應用中的至少一個應用，所述接入客戶端設備中的每一個適于與所述有至少兩個不同用戶的多個用戶中的一個或更多個用戶交互，以使得所述一個或更多個用戶能夠與所述多個能夠遠程訪問的應用中的至少一個應用交互；

其中每個認證令牌包括一個或更多個令牌實例，并且所述多個認證令牌中的至少一個認證令牌包括至少兩個不同的分別與兩個不同用戶相關聯的令牌實例；

其中至少一個不同的令牌實例與所述有至少兩個不同用戶的多個用戶中的每一個用戶相關聯，并且

其中所述多個認證令牌中的每個特定認證令牌適于使用所述特定認證令牌中所包括的所選令牌實例的實例數據中包括的或從所述實例數據得到的秘密憑證生成密鑰來生成動態憑證，以針對所述應用中的一個應用對與所述所選令牌實例相關聯的用戶進行認證，或確保與所述所選令牌實例相關聯的用戶與所述應用中的所述一個應用之間的交互安全。

2.根據權利要求1所述的系統，還包括：

一個或更多個實例加載服務器，其中，所述多個令牌實例被分組成多個相互分離的用戶實例組，其中每個不同的用戶實例組包括與同一用戶相關聯的令牌實例，并且其中唯一的用戶實例組密鑰與每個用戶實例組相關聯，并且所述多個認證令牌被分組成多個令牌批次，其中唯一的批次主密鑰與每個令牌批次相關聯，其中所述批次主密鑰被包括在與所述批次主密鑰相關聯的令牌批次中所包括的每個認證令牌中；

其中，所述實例加載服務器和所述認證令牌適于支持用于將附加令牌實例加載到所述多個認證令牌中的目標認證令牌中的實例加載處理，所述實例加載處理包括用于將用戶實例組主密鑰的值傳送至所述目標認證令牌的第一加載處理階段和用于將一組實例數據值傳送至所述目標認證令牌的第二加載處理階段；

其中在所述第一加載處理階段中，第一實例加載服務器生成第一階段加載消息，所述第一階段加載消息被發送至所述目標認證令牌，并且所述目標認證令牌對所述第一階段加載消息進行接收和處理，并且其中在所述第二加載處理階段中，第二實例加載服務器生成第二階段加載消息，所述第二階段加載消息被發送至所述目標認證令牌，并且所述目標認證令牌對所述第二階段加載消息進行接收和處理；

其中所述第一階段加載消息包括一組批次相關值，所述令牌批次中的每一個批次對應一個批次相關值，每個批次相關值被確定成使得能夠根據所述令牌批次中的任何特定令牌批次的批次主密鑰和與所述特定令牌批次相對應的批次相關值的任何配對來計算所述用戶實例組主密鑰的同一值，并且其中所述目標認證令牌對所述第一階段加載消息的處理包括：所述目標認證令牌根據所述目標認證令牌中包括的批次主密鑰和所述第一階段加載消息中包括的、與所述目標認證令牌中包括的所述批次主密鑰也對應于的令牌批次相對應的批次相關值，來計算所述用戶實例組主密鑰的值；并且

其中所述第二階段加載消息包括所述一組實例數據值，其中使用所述用戶實例組主密鑰或從所述用戶實例組主密鑰得到的密鑰來確保所述第二階段加載消息安全，并且其中所述目標認證令牌通過使用所述目標認證令牌在所述第一加載處理階段中獲得的所述用戶實例組主密鑰的值來從所述第二階段加載消息中取回所述一組實例數據值，并且其中所述目標認證令牌通過使用取回的所述一組實例數據值來確定所述附加令牌實例的一組秘密密鑰的值，其中所述附加令牌實例的所述一組秘密密鑰包括所述附加令牌實例的秘密憑證生成密鑰。