CN101310286A - 改进的单点登录 - Google Patents

改进的单点登录 Download PDF

Info

Publication number
CN101310286A
CN101310286A CNA200680042660XA CN200680042660A CN101310286A CN 101310286 A CN101310286 A CN 101310286A CN A200680042660X A CNA200680042660X A CN A200680042660XA CN 200680042660 A CN200680042660 A CN 200680042660A CN 101310286 A CN101310286 A CN 101310286A
Authority
CN
China
Prior art keywords
password
iii
visit
distributed computer
user
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CNA200680042660XA
Other languages
English (en)
Other versions
CN101310286B (zh
Inventor
T·格拉瑟
B·约斯特梅尔
N·兰茨
W·沙伯勒
A·绍伯尔
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
International Business Machines Corp
Original Assignee
International Business Machines Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by International Business Machines Corp filed Critical International Business Machines Corp
Publication of CN101310286A publication Critical patent/CN101310286A/zh
Application granted granted Critical
Publication of CN101310286B publication Critical patent/CN101310286B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/41—User authentication where a single sign-on provides access to a plurality of computers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2113—Multi-level security, e.g. mandatory access control
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2143—Clearing memory, e.g. to prevent the data from being stolen

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Abstract

描述了一种通过输入口令来安全地访问分布式计算机***的***(I，II)的方法，其中，一些***可通过相同的口令来访问，并且一些***可通过不同的口令来访问，该方法包括以下步骤：存储信息，即哪些***(I，II)可通过相同的口令来访问，以及哪些可通过不同的口令来访问；当通过访问所述分布式计算机***的***(I，II)来开启会话时，要求输入正确的口令；高速缓存所述口令；使用所存储的信息来检验是否可通过与在当前会话期间已经访问过的***(I，II)相同的口令来访问在所述会话期间要访问的另一***(I，II)，如果检验的结果为真，则重新使用适当的高速缓存的口令，如果检验的结果为假，则要求输入正确的口令来访问所述另一***(I，II)；以及以以下方式高速缓存访问所述另一***(I，II)所需的所述口令，即在当前会话期间，当访问可通过相同的口令来访问的其它***(I，II)时，可以重新使用所述口令。

Description

改进的单点登录
技术领域
本发明涉及一种通过输入口令来安全地访问分布式计算机***的***的方法，其中，一些***可通过相同的口令来访问，而一些***可通过不同的口令来访问。
背景技术
现代计算机***，特别是分布式计算机***以及很多应用和服务都通过口令来保护。由此，产生的问题是用户具有太多的口令，这些口令在不同的时间点过期，并且具有不同的口令规则。此外，一些***实施口令规则而其它***则不实施。一般而言，用户经常为多个***选择相同的口令，以便易于记住它们。此外，用户还经常将口令写下来，这违反了口令的基本安全规则。
遗忘口令导致了涉及高费用的高的帮助台(helpdesk)调用率。全部帮助台请求中的大约30％是口令相关的。
解决管理多个口令的问题的方法是单点登录(SSO，single sign on)。SSO是一种这样的机制，即用户认证和授权的单个动作可以借此来准许用户在无需输入多个口令的情况下访问用户对其具有访问许可的分布式应用环境中的所有计算机、***和/或多个应用组件。
已知支持SSO的两类产品。一类是口令同步，另一类是具有主口令(master password)的基于数据库的口令。
支持口令同步的产品使用一个单口令来访问多个***。口令同步允许用户利用单个用户动作来改变用于多个***的口令。口令同步的缺点在于：如果口令由不对的人掌握，则这个人可以利用该口令直接访问所有的***。因此，口令同步是不安全的。
支持具有主口令的基于数据库的口令的产品使用数据库来存储用于多个***的多个口令。用户通过输入主口令来访问所有的***，其中SSO产品将在数据库中查找用于给定***的正确口令。因此，该数据库必须在双向加密的情况下存储口令，以便稍后以明文检索口令来认证该用户。这种具有主口令的基于数据库的口令的缺点在于：如果在单向加密的情况下将***口令存储在诸如资源访问控制设施(RACF，Resource Access ControlFacility)这样的高安全产品中，则双向加密是不安全的。由此，单向加密是一种像例如安全散列算法(SHA，Secure Hash Algorithm)的算法，其以不可能写入其它算法来恢复字符的原始序列的方式对字符序列(像例如口令)进行编码，其中双向加密是一种像例如数据加密标准(DES，DataEncryption Standard)的算法，其以仅可能通过相同的算法来恢复字符的原始序列的方式对字符序列进行编码。再者，如果主口令由不对的人掌握，那么使用SSO产品利用这一口令可以访问所有的***。
由于实际上SSO给予用户访问所有***的主口令，因此推荐使用智能卡、生物统计扫描器(biometric scanner)或这二者，而不是单个主口令。一些SSO产品支持这样的特征。
此外，用于完整信息技术(IT)基础设施的商业SSO产品是相当昂贵的，并且可能导致诸如上述缺陷的其自身的问题。
发明内容
本发明的目的是改善提供口令保护的分布式计算机***和SSO产品的安全性。
本发明的目的是由所提出的通过输入口令来安全地访问分布式计算机***的***的方法来达到的，其中，所述分布式计算机***中的一些***可通过相同的口令来访问，而一些***可通过不同的口令来访问，所述方法包括以下步骤：
-存储信息，即所述分布式计算机***中的哪些***可通过相同的口令来访问，以及所述分布式计算机***中的哪些***可通过不同的口令来访问，
-当通过访问所述分布式计算机***中的第一***来开启会话时，要求用户输入正确的口令，
-以以下方式高速缓存所述口令：即在当前会话期间，当访问可通过相同的口令来访问的所述分布式计算机***的其它***时，可以重新使用所述口令，
-使用所存储的信息来检验：是否可通过与在当前会话期间已经访问过的***相同的口令来访问在所述会话期间要访问的另一***，
-如果检验的结果为真，则重新使用适当的高速缓存的口令来访问所述另一***，
-如果检验的结果为假，则要求所述用户输入正确的口令来访问所述另一***，以及
-以以下方式高速缓存访问所述另一***所需要的所述口令：即在当前会话期间，当访问可通过相同的口令来访问的所述分布式计算机***的其它***时，可以重新使用所述口令。
由此，退出在所述会话期间所访问的所述分布式计算机***的所有***优选地关闭当前会话，以便在退出所述分布式计算机***的所有***之后，当再次访问所述分布式计算机***的***时，开始新的会话。
对***的访问这样发生，例如通过起动或选择应用，访问存储器，使用文档等，例如通过用户点击应用中的按钮，点击桌面上的图标，等等。
退出在会话期间所访问的***可以这样发生，例如自动地通过超时，通过关闭文档或通过退出应用。由此可想到的是，分布式计算机***的特征在于用于所有***的自动超时，例如，在一个小时之后而无需交互，以便在一个小时之后无需交互而退出所有***。可想到的是，高速缓存的口令延迟例如30分钟过期，即在一个半小时之后无需交互，所有高速缓存的口令均过期。
由此，术语“分布式计算机***”包括分布式布置的个人计算机、服务器、存储器和其它硬件设备(其每一个均可通过口令访问)，以及分布式应用环境，其中，位于相同或不同计算机、服务器和其它硬件设备上并且使用不同资源的不同应用可以通过口令由一个或多个终端进行远程访问。术语“***”包括硬件设备，像个人计算机、服务器、存储器和分布式计算机***的其它资源，以及存储在可通过口令单独访问的这样的硬件设备上的应用、数据库等。
此外，术语“高速缓存的”或“高速缓存”指的是与像例如在数据库、磁盘存储器等中的持久性存储器形成对比的像例如在随机访问存储器(RAM)等中的非持久性存储器。高速缓存仅发生在会话期间，其中可想到的是，当关闭会话时，有效地(actively)删除被高速缓存的口令，例如，通过擦除高速缓存。
根据本发明的方法优于本领域的状况，即，类似于已知的SSO产品的用户不必输入他用于他想要访问的每个***的口令，其中与已知的SSO产品相比，口令并不用于立即访问可通过所述口令访问的所有***，访问不同***所需的口令也不持久地存储在分布式计算机***的数据库等中。高速缓存的口令仅用于在用户选择要访问特定***的那一刻来访问可通过该高速缓存的口令访问的***。
这样的话，如果口令由不对的人掌握，则通过单个用户动作不可能改变可利用相同口令访问的所有***的口令，因为仅当访问可利用相同口令访问的另一***时才使用高速缓存的口令，而如果在会话期间并不访问可利用该口令访问的***，则不使用高速缓存的口令。此外，因为口令并不被持久地存储而是仅被存储在仅在会话期间用于存储口令的高速缓存中，所以不可能通过遍搜(ransack)例如数据库来获得口令。
在根据本发明的所述方法的优选实施例中，通过用户自己和/或通过分布式计算机***的管理员来完成和/或由分布式计算机***来确定配置哪些***可以通过相同的口令来访问，以及哪些***可以通过不同的口令来访问。
在根据本发明的所述方法的另一优选实施例中，在会话结束时删除高速缓存的口令。这样的话，不可以通过遍搜分布式计算机***的数据库、存储器转储(memory dump)等来窃取口令。
在根据本发明的所述方法的又一优选实施例中，以加密的方式来高速缓存口令，从而防止在存储器转储中的明文口令。用于高速缓存的口令的加密优选地是双向加密。
在根据本发明的所述方法的特定优选实施例中，所述分布式计算机***包括至少两个不同的安全区(security zones)，其中，位于不同安全区中的***仅可通过不同的口令来访问。为了访问位于第一安全区中的***，用户必须输入第一口令。高速缓存所述第一口令，并且重新使用高速缓存的第一口令来访问可通过相同的第一口令访问的位于所述第一安全区中的其它***。为了访问位于第二安全区中的***，要求用户输入第二口令，再次高速缓存所述第二口令，并且重新使用所述第二口令来访问可通过相同的第二口令访问的所述第二安全区中的其它***。由此可想到的是，取决于例如用户设置，相同安全区中的一些***可通过另一口令来访问。通过将所述分布式计算机***划分成不同的安全区，不可能利用相同的口令来访问位于不同安全区中的***。这增加了安全性。另一方面，通过允许使用相同的口令来访问位于相同安全区中的***，用户交互仍然便利，因为用户仅需处理很少的口令。
本发明的另一部分目的是通过用于实现上述方法的分布式计算机***来达到的，其中，所述分布式计算机***至少包括可通过相同的口令来访问的两个***，存储信息(即哪些***可通过相同的口令来访问，以及哪些***可通过不同的口令来访问)的装置，高速缓存访问所述分布式计算机***的***所输入的口令的装置，使用所存储的信息来检验是否可通过与在当前会话期间已经访问过的***相同的口令来访问在所述会话期间要访问的另一***的装置，以及当访问可通过与在所述会话期间已经访问过的***相同的口令来访问的所述分布式计算机***中的另一***时重新使用适当的高速缓存的口令的装置。由此，对于哪些***要求相同的口令以及哪些***要求不同的口令的信息优选地被持久地存储在所述分布式计算机***中。因此可想到的是，该信息被本地存储在用户终端中，或者被中央存储在服务器上。
在根据本发明的分布式计算机***的优选实施例中，所述分布式计算机***至少包括两个不同的安全区，其中，位于不同安全区中的***要求不同的口令来访问它们。由此，对不同安全区的定义优选地被持久地存储在所述分布式计算机***中。如果用户尝试通过相同的口令来访问位于不同安全区中的两个***，则该访问被拒绝。
根据本发明的分布式计算机***的另一优选实施例包括允许所述分布式计算机***的用户和/或所述分布式计算机***的管理员配置哪些***可通过相同的口令来访问以及哪些***可通过不同的口令来访问的装置。
在本发明的特定优选实施例中，以上所提及的方法由存储在计算机可用介质上的计算机程序产品来实现，其包括：当在计算机上执行所述计算机程序产品时，用于使计算机实现以上所提及的方法的计算机可读程序装置。由此，所述计算机程序产品必须实现在会话期间保留口令的运行时内存口令高速缓存。
可以以硬件、软件或软硬件的组合来实现本发明。任何种类的计算机***-或适于实现文中所描述的方法的其它装置-都是合适的。硬件和软件的典型组合可以是具有计算机程序的通用计算机***，当加载和执行该计算机程序时，其控制计算机***，从而使得该计算机***实现文中所描述的方法。本发明也可以体现于计算机程序产品中，其包括使得能够实现文中所描述的方法的所有特征，并且当将其加载到计算机***中时，其能够实现这些方法。
当前上下文中的计算机程序装置或计算机程序意味着这样一组指令以任何语言、代码或符号的任何表达，即该组指令旨在使得具有信息处理能力的***或是直接地或是在以下其一或二者之后实现特定的功能：a)转换成另一种语言、代码或符号；b)以不同材质的形式再现。
参照以下说明书、权利要求和附图，可以更好地理解前述内容以及本发明的其它目的、特征和优点。
附图说明
图1示出了根据本发明的方法的流程图；
图2示出了包括经由应用可由用户访问的四个***的分布式计算机***的方案，该应用使得分布式计算机***实现根据本发明的方法，其中在该方案中还示出了当用户访问这四个***时所实现的步骤；以及
图3示出了包括位于两个不同安全区中的四个不同***的另一分布式计算机***的方案，其中在该方案中还示出了当用户访问这四个***时所实现的步骤。
具体实施方式
如从图1中可以看出的，可以以a)到i)的九个步骤来描述根据本发明的方法。
在步骤a)中存储信息，即，分布式计算机***中的哪些***可通过相同的口令来访问，以及哪些***可通过不同的口令来访问。
在步骤b)中用户通过访问分布式计算机***中的第一***来开启会话。开启会话这样发生，例如，通过起动分布式计算机***的用户终端，通过起动应用，通过访问分布式计算机***的服务器，等等。由此，要求用户输入正确的口令来访问第一***。如果输入的是正确的口令，则该用户访问第一***，并且会话被开启。优选地，在步骤b)中还要求用户输入他的用户身份(用户-ID)。需要这来例如检验允许用户访问哪些***。
在步骤c)中以以下方式高速缓存口令：即在当前会话期间，可以重新使用该口令来访问可通过与在当前会话期间已经访问过的***相同的口令访问的分布式计算机***的其它***。优选地，在步骤c)中还高速缓存在步骤b)中输入的用户-ID。
在步骤d)中进行检验，即会话是否仍然有效，或者是否关闭了会话。如果会话仍然有效，则该方法继续进行到步骤e)，如果关闭了会话，例如通过退出分布式计算机***的所有***，则该方法继续进行到步骤i)。
在步骤e)中用户想要访问分布式计算机***的另一***，例如，通过请求存储在另一***上的文档。
在步骤f)中进行检验，即该另一***是否可通过与在当前会话期间已经访问过的***的口令相同的口令来访问。
如果用户在当前会话期间已经访问过要求与实际将要访问的***相同的口令的***，则在步骤g)中重新使用适当的高速缓存的口令来访问该另一***。优选地，在步骤g)中还使用高速缓存的用户-ID来检验是否允许用户访问该另一***。在步骤g)之后，该方法继续进行到步骤d)。
如果该另一***要求不同于在当前会话期间已经访问过的任何***的另一口令，则在步骤h)中要求用户输入正确的口令来访问该另一***。优选地，当输入正确的口令时，重新使用高速缓存的用户-ID，以便用户不必再输入他的用户-ID。此外，这允许控制是否允许用户访问该另一***。
在步骤c)中还存储这一最新输入的口令，其中，所输入的第一和第二口令现在都可用于被重新使用来访问可通过高速缓存的口令之一访问的分布式计算机***中的其它***。现在该方法继续进行到步骤d)。
如果步骤d)导致会话关闭的结果，则该方法继续进行到步骤i)，其中通过擦除高速缓存来删除高速缓存的口令。
如果分布式计算机***包括可通过不同的口令来访问的至少两个***，则如下执行根据本发明的方法：
-存储信息，即哪些***可通过相同的口令来访问，以及哪些***可通过不同的口令来访问，
-当通过访问所述分布式计算机***中的第一***来开启会话时，要求用户输入正确的第一口令，
-高速缓存在所述会话期间的所述第一口令，
-当访问所述分布式计算机***中的第二***时，使用所存储的信息来检验所述第二***是否可通过与第一***相同的口令来访问，
-当检验的结果是第二***可通过与第一***相同的第一口令来访问时，重新使用所述高速缓存的第一口令，
-当检验的结果是第二***可通过不同于已经访问过的第一***的另一口令来访问时，要求用户输入第二口令，
-同样高速缓存在所述会话期间的所述第二口令，以及
-当访问可通过所述第二口令来访问的另一***时，重新使用所述高速缓存的第二口令。
关于图2和图3可以更好地理解当访问包括可通过不同的口令访问的至少两个***的分布式计算机***时根据本发明的方法的执行。由此，在图2和图3中相当清楚地描述了根据本发明的方法的执行，其中，将所需步骤细化成详细的单独的动作。
如图2中所示，分布式计算机***包括位于相同安全区中可以通过口令访问的四个***I、II、III、IV。经认证来访问所有这四个***的用户对其进行逐一访问。***I、II、III可通过相同的口令来访问，其中***IV要求不同于***I、II、III的口令的口令。该信息存储在用户配置中。
经认证来访问***I、II、III和IV的用户对那些***的访问按以下步骤发生：
在第一步骤1中，为了访问***I、II、III、IV，用户起动应用，取决于用户想要首先访问哪个***，该应用向用户询问将要访问的第一***的特定口令。该应用优选地包括含有计算机可读程序装置的计算机程序产品，当在计算机上执行所述计算机程序产品时，该计算机可读程序装置用于使得计算机实现以上提及的方法。
在第二步骤2中，用户选择首先访问***I。
在第三步骤3中，应用要求用户输入他的用户-ID和用于***I的口令。
通过检查用户-ID，应用检查是否允许用户访问***I。如果允许用户访问并且如果该口令是正确的，则在第四步骤4中，该应用使用户登录到***I中。
在第五步骤5中，该应用高速缓存用户-ID、口令以及***I的名称。
在第六步骤6中，用户选择访问***II。
在第七步骤7中，该应用检查用户配置：***II是否应当使用与***I相同的口令。
由于这为真，因此在第八步骤8中，该应用在高速缓存中进行用户-ID查找，以便检查是否已经为在用户配置中找到的***之一高速缓存了用户-ID。
在第九步骤9中，通过使用用于访问***I的高速缓存口令以及用户-ID，该应用使用户登录到***II中。通过口令查找，从高速缓存接收高速缓存的口令。
在第十步骤10中，用户选择访问***III。
在第十一步骤11中，该应用再次检查用户配置：***III是否应当使用与***I相同的口令。
由于这为真，因此在第十二步骤12中，该应用在高速缓存中进行用户-ID查找，以便检查是否已经为在用户配置中找到的***之一高速缓存了用户-ID。
在第十三步骤13中，通过使用用于访问***I的高速缓存口令以及用户-ID，该应用使用户登录到***III中。通过口令查找，从高速缓存接收高速缓存的口令。
在第十四步骤14中，用户选择访问***IV。
在第十五步骤15中，该应用再次检查用户配置：***IV是否应当使用与***I相同的口令。
由于这为假，因此在第十六步骤16中，用户必须输入他的用户-ID和***IV的口令。
通过检查用户-ID，该应用检查是否允许用户访问***IV。如果允许用户访问并且如果该口令是正确的，则在第十七步骤17中，该应用使用户登录到***IV中。
在第十八步骤18中，该应用高速缓存用户-ID、口令以及***IV的名称。
图3中所示的分布式计算机***也包括可以通过口令访问的四个***I′、II′、III′、IV′。由此，***I′和II′位于第一安全区，而***III′和IV′位于第二安全区。***I′和II′可通过相同的口令来访问，以及***III′和IV′可通过不同于***I′和II′的口令的相同口令来访问。该信息存储在用户配置中。经认证来访问所有这四个***的用户对其进行逐一访问。
经认证来访问***I′、II′、III′和IV′的用户对那些***的访问按以下步骤发生：
在第一步骤1′中，为了访问***I′、II′、III′、IV′，用户起动应用，取决于用户想要首先访问哪个***，该应用向用户询问将要访问的第一***的特定口令。该应用优选地包括含有计算机可读程序装置的计算机程序产品，当在计算机上执行所述计算机程序产品时，该计算机可读程序装置使得计算机实现以上提及的方法。
在第二步骤2′中，用户选择首先访问***I′。
在第三步骤3′中，该应用要求用户输入他的用户-ID和用于***I′的口令。
在第四步骤4′中，该应用使用户登录到***I′中。
在第五步骤5′中，该应用高速缓存用户-ID、口令以及***I′的名称。
在第六步骤6′中，用户选择访问***II′。
在第七步骤7′中，该应用检查用户配置：***II ′是否应当使用与***I′相同的口令。
由于这为真，因此在第八步骤8′中，该应用在高速缓存中进行用户-ID查找，以便检查是否已经为在用户配置中找到的***之一高速缓存了用户-ID。
在第九步骤9′中，该应用检查由分布式计算机***的管理员所定义的规则：***II′是否位于与***I′相同的安全区中。
由于这为真，因此在第十步骤10′中，通过使用用于访问***I′的高速缓存的口令和用户-ID，该应用使用户登录到***II′中。通过口令查找，从高速缓存接收高速缓存的口令。
在第十一步骤11′中，用户选择访问***III′。
在第十二步骤12′中，该应用再次检查用户配置：***III′是否应当使用与***I′相同的口令。
由于这为假，因此在第十三步骤13′中，该应用要求用户输入他的用户-ID和用于***III′的口令。
在第十四步骤14′中，该应用检查由分布式计算机***的管理员所定义的规则：***III′是否位于与***I′相同的安全区中。
由于这为假，因此在第十五步骤15′中，该应用检查口令高速缓存：用于第二安全区的口令是否不同于第一安全区的口令。
由于这为真，因此在步骤16′中，该应用使用步骤13′的用户-ID和口令来使用户登录到***III′中。
在第十七步骤17′中，该应用高速缓存用户-ID、口令以及***III′的名称。
在第十八步骤18′中，用户选择登录***IV′。
在第十九步骤19′中，该应用检查用户配置：***IV′是否应当使用与***III′相同的口令。
由于这为真，因此在第二十步骤20′中，该应用在高速缓存中进行用户-ID查找，以便检查是否已经为在用户配置中找到的***之一高速缓存了用户-ID。
在第二十一步骤21′中，该应用检查由分布式计算机***的管理员所定义的规则：***IV′是否位于与***III′相同的安全区中，。
由于这为真，因此在第二十二步骤22′中，通过使用用于访问***III′的高速缓存口令以及用户-ID，该应用使用户登录到***IV′中。通过口令查找，从高速缓存接收高速缓存的口令。
一般而言，结合包括至少两个不同安全区的分布式计算机***，其中通过不同的口令来访问不同安全区的***，按照以下方式来执行根据本发明的方法：用户必须输入用于访问位于第一安全区中的***的至少第一口令，并且必须输入用于访问位于第二安全区中的***的至少第二口令，其中在会话期间高速缓存口令，并且重新使用高速缓存的口令来访问在此会话期间允许用户访问的相同安全区中的其它***。当结束会话时，删除高速缓存的口令。
重要的是要指出，根据本发明的方法支持跨群集(cross-cluster)认证和跨平台(cross-platform)认证，并且其也可应用于其它环境中，例如，在群集内。
本发明显示了以下优点：
-如果涉及很多***，则在很大程度上减少了用户登录，
-用户须记住较少的不同口令，这导致较少的对遗忘口令的帮助台调用，
-取决于分布式计算机***，用户可以配置哪些***使用相同的口令，这导致高扩缩性，
-对于不同的安全区实施不同的口令，其中不存在主口令，
-不持久地存储口令，
-根据本发明的方法实现是简单且便宜的，并且其对于完整IT基础设施而言具有低安全风险，
-其可以应用于各种现有的应用，而无需改变完整IT基础设施。
为了配置哪些***使用相同的口令，用户在应用中配置哪组特定的***使用相同的口令。例如，在任选的双向加密的情况下，将该信息持久地存储在文件中或数据库中。
此外，分布式计算机***的管理员可以视情况配置用于应用的规则，以便定义需要和实施不同口令的不同安全区。例如，在任选的双向加密的情况下，将该信息持久地存储在文件中、数据库中或硬编码于应用中。如果用户对两个不同的安全区输入了相同的口令，那么该应用将拒绝对第二区域的登录。
为了同步给定安全区中的口令，可想到的是使用支持口令同步的SSO产品。还可想到的是用户对此手动完成。安全区可以包括，例如，所有的UNIX***或所有的Window***或所有的主机***，等等。
虽然已经结合具体的优选实施例详细描述了本发明，但是显然鉴于前述描述，很多替换、修改和变型对于本领域的技术人员而言是显而易见的。因此，应当设想所附权利要求将包括落在本发明真正的范围和精神内的任何这样的替换、修改和变型。

Claims (10)

1.通过输入口令来安全地访问分布式计算机***中的***(I，II，III，IV，I′，II′，III′，IV′)的方法，其中，一些***可通过相同的口令来访问，并且一些***可通过不同的口令来访问，所述方法包括以下步骤：
-存储信息，即哪些***(I，II，III，IV，I′，II′，III′，IV′)可通过相同的口令来访问，以及哪些***可通过不同的口令来访问，
-当通过访问所述分布式计算机***中的第一***(I，II，III，IV，I′，II′，III′，IV′)来开启会话时，要求输入正确的口令，
-以以下方式高速缓存所述口令：即在当前会话期间，当访问可通过相同的口令来访问的其它***(I，II，III，IV，I′，II′，III′，IV′)时，可重新使用所述口令，
-使用所存储的信息来检验：是否可通过与在当前会话期间已经访问过的***(I，II，III，IV，I′，II′，III′，IV′)相同的口令来访问在所述会话期间要访问的另一***(I，II，III，IV，I′，II′，III′，IV′)，
-如果检验的结果为真，则重新使用适当的高速缓存的口令来访问所述另一***(I，II，III，IV，I′，II′，III′，IV′)，
-如果检验的结果为假，则要求输入正确的口令来访问所述另一***(I，II，III，IV，I′，II′，III′，IV′)，以及
-以以下方式高速缓存访问所述另一***(I，II，III，IV，I′，II′，III′，IV′)所需的所述口令：即在当前会话期间，当访问可通过相同的口令来访问的其它***(I，II，III，IV，I′，II′，III′，IV′)时，可重新使用所述口令。
2.根据权利要求1的方法，其特征在于：通过用户自己和/或通过所述分布式计算机***的管理员来完成和/或由所述分布式计算机***来确定配置哪些***(I，II，III，IV，I′，II′，III′，IV′)可通过相同的口令来访问，以及哪些***可通过不同的口令来访问。
3.根据权利要求1或2的方法，其特征在于：在会话结束时删除高速缓存的口令。
4.根据权利要求1至3之一的方法，其特征在于：以加密的方式高速缓存所述口令。
5.根据前述权利要求之一的方法，其特征在于：所述分布式计算机***包括至少两个不同的安全区，其中，位于不同安全区中的***(I′，II′，III′，IV′)可通过不同的口令来访问。
6.用于实现根据权利要求1至5之一的方法的分布式计算机***，所述分布式计算机***包括可通过相同的口令来访问的至少两个***(I，II，III，IV，I′，II′，III′，IV′)，其特征在于：存储信息的装置，所述信息即哪些***可通过相同的口令来访问，以及哪些***可通过不同的口令来访问；高速缓存访问所述分布式计算机***中的***(I，II，III，IV，I′，II′，III′，IV′)所输入的口令的装置；使用所存储的信息来进行检验的装置，即检验是否可通过与在当前会话期间已经访问过的***相同的口令来访问在所述会话期间要访问的另一***；以及当访问可通过与在所述会话期间已经访问过的***相同的口令来访问的所述分布式计算机***中的另一***(I，II，III，IV，I′，II′，III′，IV′)时，重新使用适当的高速缓存的口令的装置。
7.根据权利要求6的分布式计算机***，其特征在于：所述分布式计算机***至少包括两个不同的安全区，其中，位于不同安全区中的***(I′，II′，III′，IV ′)可通过不同的口令来访问。
8.根据权利要求7的分布式计算机***，其特征在于：允许用户和/或管理员配置哪些***(I，II，III，IV，I′，II′，III′，IV′)可通过相同的口令来访问以及哪些***可通过不同的口令来访问的装置。
9.存储在计算机可用介质上的计算机程序产品，其包括计算机可读程序装置，当在计算机上执行所述计算机程序产品时，用于使得计算机实现根据权利要求1至5中任何一项的方法。
10.用于在数据处理***中执行的数据处理程序，其包括软件代码部分，当在所述计算机上运行所述程序时，用于实现根据前述权利要求1至5中任何一项的方法。
CN200680042660XA 2005-11-24 2006-08-17 改进的单点登录 Active CN101310286B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
EP05111261.3 2005-11-24
EP05111261 2005-11-24
PCT/EP2006/065398 WO2007060034A1 (en) 2005-11-24 2006-08-17 Improved single sign on

Publications (2)

Publication Number Publication Date
CN101310286A true CN101310286A (zh) 2008-11-19
CN101310286B CN101310286B (zh) 2011-12-14

Family

ID=37106371

Family Applications (1)

Application Number Title Priority Date Filing Date
CN200680042660XA Active CN101310286B (zh) 2005-11-24 2006-08-17 改进的单点登录

Country Status (4)

Country Link
US (1) US9251323B2 (zh)
JP (1) JP2009517723A (zh)
CN (1) CN101310286B (zh)
WO (1) WO2007060034A1 (zh)

Families Citing this family (30)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5090834B2 (ja) 2007-09-11 2012-12-05 株式会社リコー 情報処理装置及び認証制御プログラム
US8539568B1 (en) 2007-10-03 2013-09-17 Courion Corporation Identity map creation
WO2009076447A1 (en) * 2007-12-10 2009-06-18 Courion Corporaton Policy enforcement using esso
JP4604253B2 (ja) * 2007-12-21 2011-01-05 Ｎｅｃビッグローブ株式会社 ウェブページ安全性判定システム
US8875261B2 (en) 2008-10-22 2014-10-28 International Business Machines Corporation Rules driven multiple passwords
US8281381B2 (en) * 2009-08-03 2012-10-02 Novell, Inc. Techniques for environment single sign on
JP4856225B2 (ja) * 2009-09-15 2012-01-18 株式会社沖データ 画像データ生成装置
US9183023B2 (en) * 2010-07-01 2015-11-10 Hewlett-Packard Development Company, L.P. Proactive distribution of virtual environment user credentials in a single sign-on system
CN102625297B (zh) * 2011-01-27 2016-01-13 腾讯科技（深圳）有限公司 用于移动终端的身份管理方法及装置
JP5505341B2 (ja) * 2011-03-11 2014-05-28 ブラザー工業株式会社 通信装置
US8819444B2 (en) 2011-12-27 2014-08-26 Majid Shahbazi Methods for single signon (SSO) using decentralized password and credential management
US10742634B1 (en) 2011-12-27 2020-08-11 Majid Shahbazi Methods for single sign-on (SSO) using optical codes
US9356924B1 (en) 2011-12-27 2016-05-31 Majid Shahbazi Systems, methods, and computer readable media for single sign-on (SSO) using optical codes
US20130232072A1 (en) * 2012-03-01 2013-09-05 Robert D. Fish Method of Using a Cell Phone to Authenticate a Commercial Transaction
US9529993B2 (en) * 2012-03-02 2016-12-27 International Business Machines Corporation Policy-driven approach to managing privileged/shared identity in an enterprise
GB201217084D0 (en) * 2012-09-25 2012-11-07 Uni I Oslo Network security
US9922324B2 (en) 2014-05-21 2018-03-20 Square, Inc. Verified purchasing by email
US20150339656A1 (en) * 2014-05-21 2015-11-26 Square, Inc. Verified purchasing by push notification
US10776809B1 (en) 2014-09-11 2020-09-15 Square, Inc. Use of payment card rewards points for an electronic cash transfer
CN104239776B (zh) * 2014-09-23 2018-04-20 浪潮(北京)电子信息产业有限公司 多控存储***单点登录方法及多控存储***
US20160132676A1 (en) * 2014-11-11 2016-05-12 Meir Avganim Secure password storage and recall system
US11042863B1 (en) 2015-03-20 2021-06-22 Square, Inc. Grouping payments and payment requests
US10509900B1 (en) 2015-08-06 2019-12-17 Majid Shahbazi Computer program products for user account management
US10467615B1 (en) 2015-09-30 2019-11-05 Square, Inc. Friction-less purchasing technology
US20180260556A1 (en) * 2017-03-09 2018-09-13 Meir Avganim Secure data and password storage and recall system
CN107395614B (zh) * 2017-08-09 2021-06-22 深圳国泰安教育技术有限公司 单点登录方法及***
US10891372B1 (en) 2017-12-01 2021-01-12 Majid Shahbazi Systems, methods, and products for user account authentication and protection
US11144620B2 (en) * 2018-06-26 2021-10-12 Counseling and Development, Inc. Systems and methods for establishing connections in a network following secure verification of interested parties
US10747900B1 (en) * 2019-08-19 2020-08-18 Cyberark Software Ltd. Discovering and controlling sensitive data available in temporary access memory
US11823191B1 (en) 2022-08-29 2023-11-21 Block, Inc. Integration for performing actions without additional authorization requests

Family Cites Families (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5226172A (en) * 1989-06-12 1993-07-06 Motorola, Inc. Methods for configuring and performing 3-level password searching in a distributed computer system
US5418854A (en) * 1992-04-28 1995-05-23 Digital Equipment Corporation Method and apparatus for protecting the confidentiality of passwords in a distributed data processing system
US5491752A (en) * 1993-03-18 1996-02-13 Digital Equipment Corporation, Patent Law Group System for increasing the difficulty of password guessing attacks in a distributed authentication scheme employing authentication tokens
WO1995008885A1 (en) * 1993-09-20 1995-03-30 International Business Machines Corporation System and method for changing the key or password in a secure distributed communications network
US5689638A (en) 1994-12-13 1997-11-18 Microsoft Corporation Method for providing access to independent network resources by establishing connection using an application programming interface function call without prompting the user for authentication data
US5581700A (en) * 1995-08-11 1996-12-03 Dell U.S.A., L.P. Hierarchical multiple password acceptance system
US6006334A (en) * 1997-05-01 1999-12-21 International Business Machines Corp. Method and system for authentication over a distributed service to limit password compromise
US6094721A (en) * 1997-10-31 2000-07-25 International Business Machines Corporation Method and apparatus for password based authentication in a distributed system
US6061799A (en) * 1997-10-31 2000-05-09 International Business Machines Corp. Removable media for password based authentication in a distributed system
US6161178A (en) * 1998-12-07 2000-12-12 International Business Machine Corporation Data processing system and method for specification of one of a plurality of password requirements for each boot device
US6718415B1 (en) * 1999-05-14 2004-04-06 Acqis Technology, Inc. Computer system and method including console housing multiple computer modules having independent processing units, mass storage devices, and graphics controllers
US6996718B1 (en) * 2000-04-21 2006-02-07 At&T Corp. System and method for providing access to multiple user accounts via a common password
US7080077B2 (en) * 2000-07-10 2006-07-18 Oracle International Corporation Localized access
JP3674772B2 (ja) 2000-12-19 2005-07-20 日本電気株式会社 複数サーバ間ログイン連携システム、クライアント装置、ログイン管理装置、サーバ装置及び記憶媒体
JP4109874B2 (ja) 2002-02-05 2008-07-02 キヤノン株式会社 情報処理装置、その制御方法、プログラム及び記録媒体
US7260836B2 (en) * 2002-02-26 2007-08-21 Aol Llc System and method for distributed authentication service
CA2473793C (en) * 2002-02-28 2014-08-26 Telefonaktiebolaget L M Ericsson (Publ) System, method and apparatus for federated single sign-on services
JP4390429B2 (ja) * 2002-05-07 2009-12-24 セイコーエプソン株式会社 シングルサインオンシステム、そのプログラム及びその方法
US7275259B2 (en) * 2003-06-18 2007-09-25 Microsoft Corporation System and method for unified sign-on
US7251732B2 (en) * 2003-06-18 2007-07-31 Microsoft Corporation Password synchronization in a sign-on management system
US7392536B2 (en) * 2003-06-18 2008-06-24 Microsoft Corporation System and method for unified sign-on
US20050015490A1 (en) * 2003-07-16 2005-01-20 Saare John E. System and method for single-sign-on access to a resource via a portal server
CN1323508C (zh) * 2003-12-17 2007-06-27 上海市高级人民法院 一种基于数字证书的单点登录方法

Also Published As

Publication number Publication date
US9251323B2 (en) 2016-02-02
CN101310286B (zh) 2011-12-14
WO2007060034A1 (en) 2007-05-31
US20080276308A1 (en) 2008-11-06
JP2009517723A (ja) 2009-04-30

Similar Documents

Publication Publication Date Title
CN101310286B (zh) 改进的单点登录
CN108292331B (zh) 用于创建、验证和管理身份的方法及***
US9934502B1 (en) Contacts for misdirected payments and user authentication
US8200966B2 (en) Secure network access
KR102236341B1 (ko) 블록체인-기반 데이터 관리를 위한 시스템 및 방법
AU2018213955B9 (en) Contacts for misdirected payments and user authentication
EP3937040B1 (en) Systems and methods for securing login access
WO2012040869A1 (en) User account recovery
WO2021249527A1 (zh) 实现MOTOpay的方法、装置及电子设备
EP3579595A1 (en) Improved system and method for internet access age-verification
US20060179031A1 (en) Internet Web shield
US20050238174A1 (en) Method and system for secure communications over a public network
CN110175439A (zh) 用户管理方法、装置、设备及计算机可读存储介质
US20190132312A1 (en) Universal Identity Validation System and Method
CA2310535A1 (en) Vault controller context manager and methods of operation for securely maintaining state information between successive browser connections in an electronic business system
JP2012118833A (ja) アクセス制御方法
CN105760733B (zh) 数据加密方法及模块、数据访问方法及模块
CN1180352C (zh) 客户鉴权***及客户鉴权方法
CN114024730B (zh) 一种企业门户管理***
CN106453273B (zh) 一种基于云技术的信息保险管理***和方法
US11502840B2 (en) Password management system and method
CN108668260B (zh) 一种sim卡数据自毁方法、sim卡、装置及服务器
Chauhan et al. Secure data in cloud computing using face detection and fingerprint
Merdassi et al. Private security for the cloud mobile via a strong authentication method
CN109191220A (zh) 在电子***上操作电子***的方法、装置和设备

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant