CN102119391B - 用于设备到站的关联的协议 - Google Patents

用于设备到站的关联的协议 Download PDF

Info

Publication number
CN102119391B
CN102119391B CN200980131666.8A CN200980131666A CN102119391B CN 102119391 B CN102119391 B CN 102119391B CN 200980131666 A CN200980131666 A CN 200980131666A CN 102119391 B CN102119391 B CN 102119391B
Authority
CN
China
Prior art keywords
portable set
computer
user
equipment
information
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN200980131666.8A
Other languages
English (en)
Other versions
CN102119391A (zh
Inventor
N·加纳帕锡
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Microsoft Technology Licensing LLC
Original Assignee
Microsoft Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Microsoft Corp filed Critical Microsoft Corp
Publication of CN102119391A publication Critical patent/CN102119391A/zh
Application granted granted Critical
Publication of CN102119391B publication Critical patent/CN102119391B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/51—Discovery or management thereof, e.g. service location protocol [SLP] or web services
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/126—Applying verification of the received information the source of the received data

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Storage Device Security (AREA)

Abstract

一种使得便携式设备能够与多个计算机自动关联的技术。创建计算机能用于在创建与便携式设备的关联之前认证便携式设备并建立可信关系的信息并将其存储在可被多个计算机访问的数据存储中且与便携式设备的用户相关联。当计算机发现它尚未关联的这一便携式设备时，计算机可标识登录到计算机的用户并使用标识该用户的信息来检索独立于设备且预期由便携式设备提交来认证它的认证信息，并允许自动关联。

Description

用于设备到站的关联的协议
背景
本发明涉及用于安全地将便携式电子设备与一个或多个计算设备进行关联(或配对)的***和方法。
用户越来越多地将许多不同类型的便携式电子设备(例如，无线头戴式耳机、数码相机、个人数字助理(PDA)、移动电话、鼠标等)与他们的计算机一起操作。许多便携式电子设备允许诸如蓝牙、超宽带(UWB)、无线通用串行总线(USB)、和近场通信(NFC)等短程无线技术，而其他一些则可经由物理有线连接来与计算设备通信。
短程无线技术和有线连接允许仅在位于彼此附近的设备之间的通信。由于物理邻近性的这一限制，某种程度上缓解了安全威胁。即，攻击设备需要在物理上连接到目标计算设备或在其传输范围内，以便能够截取和/或注入通信。尽管如此，通常采用安全特征来确保计算设备仅与可信且授权的设备关联并通信。
常规上，在将便携式设备与计算设备进行关联之前，执行一过程来确保该便携式设备是可信的。例如，允许无线技术的计算设备可执行发现协议来获得启用相同技术且在通信范围内的其他设备的列表。该计算设备然后可自动地或者在用户请求时发起与所发现的设备之一的通信。为了在两个设备之间建立信任，通常提示用户与设备之一或两者交互。例如，每一设备可显示一数字值，且提示用户在两个显示的数字值匹配时在设备之一或两者上输入“是”，以便验证该用户正在控制这两个设备从而使得该便携式设备是可信的。这一用户辅助认证过程一般被称为“手动配对”，因为它需要用户的肯定性手动动作。
作为常规的手动配对过程的一部分，一旦用户确认了连接是在可信设备之间的，设备存储安全信息(例如，密码密钥资料)以便在后续通信中使用，使得设备之间的将来的关联可由设备自动执行而不需要用户动作。由此，如果这两个相同的设备在将来发现彼此，则可检索并交换所存储的安全信息来允许设备将彼此认可为可信的，而无需执行另一手动配对过程。
概述
本发明的各方面涉及用于自动将便携式设备(例如，诸如移动电话、MP3播放器、无线头戴式耳机等无线设备)与两个或更多不同的计算机进行关联的改进的技术。使用常规技术，便携式设备需要手动地与计算机配对来在它们之间建立可信关系以便于后续的自动关联，并且该手动配对过程需要对用户希望与便携式设备一起使用的每一计算机单独执行。例如，购买新的无线头戴式耳机且试图将其与工作计算机和家庭计算机一起使用的用户常规上需要对这些计算机中的每一个进行手动配对过程来与该无线头戴式耳机建立可信关系。作为该手动配对过程的一部分，在计算机和便携式设备(例如，无线头戴式耳机)之间交换可在将来用于允许设备彼此认证且形成自动关联的认证信息。因此，在设备与计算机手动配对了一次之后，当设备在将来被带入通信范围内时，它们可彼此认证来建立可信关系并自动建立通信。
常规技术的一个缺点是它们对于便携式设备和与其一起使用的每一计算机需要单独的手动配对操作，这对于用户而言可能是麻烦的，尤其是对于将大量便携式设备与多个计算机一起操作的用户而言。根据本发明的一个实施例，克服了对执行多个手动配对操作的需要。这能够以若干方式中的任一种来完成。在一方面，在与第一计算机的手动配对操作期间，在便携式设备和该设备与其进行手动配对的计算机的用户之间建立认证信息。该认证信息然后被存储在可被任何数量的计算机全局地访问的数据存储中。由此，在建立了认证信息之后，当用户试图将该便携式设备与任何新的计算机(包括先前未与其进行手动配对的计算机)一起使用时，该计算机可从基于登录到该计算机的用户的身份从全局可访问存储中检索认证信息，并且可使用该认证信息来使得该新的计算机和便携式设备能够自动彼此认证并建立关联而无需它们被手动配对。这是有利的，因为用户只需手动地将便携式设备与一个计算机配对，并且使得该设备之后能够与用户登录到的任何计算机自动关联，而不需要用户对该用户试图与便携式设备一起使用的每一计算机进行后续的手动配对操作。
在一替换方面，可在全局可访问存储中建立并提供认证信息，而不需要便携式设备与任何特定计算机手动配对。
本发明的另一实施例涉及一种协议，该协议用于使用绑定到计算机的用户而非具体计算机本身的认证信息来向计算机认证认证便携式设备，使得该认证信息可由用户登录到的任何计算机来使用。
附图简述
附图不旨在按比例绘制。在附图中，各个附图中示出的每一完全相同或近乎完全相同的组件由同样的标号来表示。出于简明的目的，不是每一个组件在每张附图中均被标号。在附图中：
图1示出了根据本发明的一个实施例的移动设备与单个计算机的手动配对操作，以及之后与其他计算机的自动关联。
图2示出了根据本发明的一个实施例的计算机***，该计算机***包括全局可访问数据存储，该全局可访问数据存储包括供一个或多个计算机自动认证并关联便携式设备的信息；
图3是根据本发明的一个实施例的用于创建并使用认证信息来将便携式设备与计算机自动关联的示例性过程的流程图；
图4是根据本发明的一个实施例的用于为便携式设备创建认证信息并以使其可被多个计算机访问的方式来存储该认证信息的过程；
图5是根据本发明的一个实施例的用于通过标识登录到计算机的用户并检索与该用户相关联的认证信息以认证便携式设备来将便携式设备与计算机自动关联的过程；
图6是用于执行认证的设备关联的常规过程；
图7示出了根据本发明的一个实施例的用于将计算机与便携式设备手动配对来创建认证信息的过程；
图8示出了根据本发明的一个实施例的包括关于多个用户和便携式设备的认证信息的数据存储的示例性实现；
图9示出了便携式设备上包括用于基于计算机的用户的身份来向计算机认证便携式设备的信息的数据存储的示例性实现；
图10示出了根据本发明的一个实施例的用于获得用于认证便携式设备和计算机的简档的过程；
图11是示出根据本发明的一个实施例的用于在计算机和便携式设备之间进行通信以便手动认证计算机和便携式设备并使它们之间能够进行自动关联的协议的示例的图示；以及
图12是可实现本发明的各方面的示例性计算机的示意图。
详细描述
如上所述，常规的设备关联协议依赖于手动用户干预来最初在两个设备之间建立信任。在早先的手动配对过程期间建立或交换的认证信息(例如，加密密钥资料)然后可在稍后用于使得过去已经关联的两个设备能够在没有用户干预的情况下自动关联。然而，必须执行手动配对过程至少一次来建立先前从未关联过的任何两个设备的所需安全信息的交换。
申请人明白，一些用户采用两个或更多不同的计算设备(例如，一个在家中，另一个在工作处)，用户可能希望将相同的一个或多个便携式设备(例如，头戴式耳机、MP3播放器、移动电话等)与这些不同计算设备进行关联。申请人还明白，该手动配对过程对于设备用户而言可能是耗时且麻烦的，尤其是在需要为相同的便携式设备多次重复该手动配对过程来将该便携式设备与多个计算设备进行关联的时候。
由此，根据概念上在图1中示出的本发明的一个实施例，用户可以将便携式设备(例如，移动电话210)与一个计算机(例如，家庭台式机220)手动配对一次(例如，在221处)，并且该便携式设备稍后可以自动与同一用户使用的其他计算机(例如，如231处所示的膝上型计算机230，或241处所示的办公室台式机240)自动关联。如此处所使用的，所称的便携式设备被自动关联是指计算机和便携式设备的用户不需要采取任何动作来向计算机认证便携式设备或向便携式设备认证计算机并且促进它们之间的关联。
本发明的涉及允许便携式设备和该便携式设备先前未与其手动配对的计算机之间的自动关联的方面可以用任何合适的方式来实现，其不限于任何特定的实现技术。根据本发明的一个说明性实施例，采用了一种技术来用于能够与两个或多个计算机关联的便携式设备。创建认证该便携式设备的认证信息，并且该认证信息被存储在可被两个或多个计算机访问的数据存储中，且以将该认证信息与便携式设备的用户相关联的方式来存储。一旦创建了该认证信息并将其存储在该便携式设备先前未关联的计算机可访问的数据存储中，该计算机可访问并使用该认证信息来自动认证该便携式设备，而不需要手动配对操作。这能够以任何合适的方式来完成。
例如，根据本发明的另一实施例，当计算设备发现它尚未关联的至少一个便携式设备时，该计算设备可标识登录到该计算设备的用户，使用标识登录用户的信息来检索关于该便携式设备的认证信息，并使用检索到的认证信息来认证该便携式设备并将其自动与该计算设备进行关联。
从以上内容中应当理解，申请人已经认识到常规的用于将便携式设备与多个计算设备关联的技术的缺点是当在便携式设备和计算设备之间交换认证信息时，可用于在将来认证该便携式设备以便允许自动关联的信息常规上是由计算设备以该信息只能被该计算设备本地访问的方式来存储的。根据本发明的一个实施例，关于便携式设备的认证信息以使该信息可被一个或多个计算设备，甚至是未用于与便携式设备通信来建立认证信息的计算设备更全局地访问的方式来存储。结果，当这种计算设备首次发现该便携式设备时，该计算设备可访问该数据存储，检索该认证信息，并使用该认证信息来认证并自动关联该便携式设备，即使该计算设备先前从未参与过与该便携式设备的手动配对。这在图2中概念性地示出，其中便携式设备901可以在如虚线903a和903b所指示的不同时间与两个或更多计算机905a和905b关联。可用于认证便携式设备901的认证信息909被存储在可被两个或更多计算机905a-b访问的数据存储907中。由此，当计算机905a-b中的任一个，包括便携式设备901先前未与其手动配对来建立认证信息的计算机，发现便携式设备901时，计算机905a-b可访问数据存储907来检索认证信息909并使用该认证信息来向计算机认证便携式设备901并自动将其与计算机关联。
在图2所示的配置中，数据存储907被示为可被计算机905a-b中的每一个经由网络911来访问。根据本发明的一个实施例，网络911可以是任何合适的网络(例如，因特网)，且数据存储907可以与不同于计算机905a-b中的任一个的计算设备(例如，数据库服务器或其他类型的计算设备)关联。然而，应当理解，此处描述的本发明的各方面在这一点上不受限制。例如，数据存储907可以在计算机905a-b中的一个上提供或与计算机905a-b中的一个相关联，并且可由计算机905a-b经由USB闪存钥匙或任何其他合适的通信介质来访问。
根据以下讨论的本发明的一个实施例，认证信息909是通过便携式设备901与计算机905a-b中的一个的手动配对来形成的，然后被存储在数据存储907中，数据存储907可以是执行该手动配对的计算机或另一计算机上的数据存储。然而，应当理解，此处描述的本发明的各方面在这一点上不受限制，认证信息可以用任何合适的方式来开发并存储在数据存储907中。例如，在本发明的一替换实施例中，认证信息(例如，密钥资料)可以在不执行手动配对操作的情况下生成。之后，该密钥资料中要由便携式设备在自动关联期间使用的一(诸)部分可以用任何合适的方式直接存储在便携式设备上，并且该密钥资料中要由一个或多个计算机使用的一(诸)部分可以被存储在全局可访问存储中。
从以上内容中应当理解，本发明的一个实施例涉及图3所示类型的用于将便携式设备与计算机关联的过程。最初，在动作1001，将便携式设备与第一计算机(例如，图2中的计算机905a)手动配对来创建可用于认证该便携式设备的认证信息(例如，认证信息909)。应当理解，如上所述，认证信息可另选地用其他方式来建立。在动作1003，将认证信息存储在可被另一计算机(例如，计算机905b)访问的数据存储(例如，数据存储907)中并将其与便携式设备901的用户相关联。在这一点上，根据本发明的一个实施例，认证信息以将其与便携式设备的用户相关联的方式存储在数据存储中，使得发现该便携式设备的计算机能够标识计算机的用户并使用该信息来标识要从数据存储中检索什么认证信息。在这一点上，根据本发明的某些实施例，数据存储(例如，数据存储907)可包括关于任何数量的便携式设备和/或任何数量的一个或多个用户的认证信息，使得当存储了关于多个用户的设备的信息时，发现该便携式设备的计算机的用户的身份可用于标识关于该用户的设备的适当的认证信息。然而，应当理解，并非所有实施例都限于使用标识用户的信息来标识要使用什么认证信息来认证便携式设备，可采用任何合适的技术。
在动作1005，除了与便携式设备手动配对来创建认证信息的计算机之外的计算机(例如，第二计算机，如计算机905b)可访问数据存储来检索认证信息(例如，认证信息909)。该动作可以响应于计算机发现便携式设备或在任何其他合适的时间执行。
最终，在动作1007，计算机可使用检索到的认证信息(例如，认证信息909)来认证便携式设备901，并且在成功认证时将该便携式设备与计算机(例如，905b)自动关联。以此方式，便携式设备可以与计算机(例如，计算机905b)自动关联，而无需曾经与该计算机手动配对。
从以上内容中应当理解，图3所示的过程与常规的用于将便携式设备与一个或多个计算机关联的技术的不同之处在于存储认证信息的方式(例如，存储在其他计算机可访问的数据存储中，而非仅可供执行了手动配对过程来获得认证信息的计算机本地使用)以及当计算机首次发现它先前未关联的便携式设备时所执行的过程(例如，通过从数据存储中获得认证信息，而非执行手动配对操作)。
在这一点上，图4示出了根据本发明的一个实施例的过程，该过程涉及使得关于便携式设备的认证信息对先前未与该便携式设备关联的一个或多个计算机可用。在动作1101，创建可用于认证便携式设备的认证信息。如上所讨论的，该认证信息可通过将便携式设备与计算机手动配对或以任何其他合适的方式来创建，此处描述的本发明的各方面不限于用于创建认证信息的任何特定技术。
在动作1103，使用任何合适的技术，以使得认证信息可被多个计算机访问的方式来存储该认证信息，而非以仅可被单个计算机访问的本地化方式来存储该认证信息，这些技术的示例在此处有描述。根据本发明的一个实施例，该认证信息以如上讨论的将其与便携式设备的用户相关联来便于检索的方式来存储。
图5示出了计算机可根据本发明的一个实施例执行来自动将其自身与便携式设备进行关联的过程。图5的过程可以响应于计算机发现便携式设备或响应于任何其他合适的事件来发起。在动作1201，该过程标识登录到计算机的用户。之后，在动作1203，该过程从数据存储中检索与该便携式设备相关联并且也与在动作1201中被标识为登录到计算机的用户相关联的认证信息。这可以用任何合适的方式来完成，其示例在此处讨论。在动作1205中，计算机使用该认证信息来作出关于便携式设备(例如，便携式设备901)是否能够成功将其自身认证为可信设备的判定。这可以用任何合适的方式来完成，其示例在下文中讨论。当在动作1205确定便携式设备不能将其自身认证为可信设备时，该过程终止，且不将该便携式设备与计算机进行关联。另选地，当在动作1205确定便携式设备能够成功地将其自身认证为可信设备时，该过程前进到动作1207，在那里将该便携式设备自动与计算机进行关联，从而无需执行任何手动配对操作。
如上所讨论的，可存储在可被多个计算机访问的数据存储中的认证信息(例如，图2中的909)可采取任何合适的形式。例如，该认证信息可包括不能公共地访问的某种信息(此处为方便起见称为“秘密”)，并且使用该认证信息来认证便携式设备的计算机预期仅与该认证信息相关联的可信便携式设备能够提供这一秘密。
或者，根据本发明的其他实施例，该认证信息可包括一个或多个密钥资料，这些密钥资料能由检索这些密钥资料的计算机用来根据一个或多个安全协议与便携式设备进行通信。例如，在一个非限制实施例中，该密钥资料的一部分可由计算机用于验证伴随通信的数字签名，从而查明该通信实际上是由可信便携式设备发送的，因为只有与该认证信息相关联的可信便携式设备才能够连同有效数字签名来发送这一通信。在另一示例中，该密钥资料的一部分可由计算机用于对便携式设备所加密的通信进行解密。
在本说明书中，短语“密钥资料”用于指可用于保护通信安全的目的的任何信息，例如，用于维持消息的私密性和完整性，和/或用于认证消息源。密钥资料的示例包括公钥-私钥对(在非对称密钥加密和电子签名中使用)、秘密密钥(在对称密钥加密中使用)、现时值(即，使用一次然后被丢弃的随机值)、以及校验和/散列(通常通过密码散列函数生成并用于诸如完整性校验和/或承诺等不同目的)。这些仅是可用于建立根据此处描述的某些实施例使用的认证信息的密钥资料的示例。另外，应当理解，存储在数据存储中的认证信息可包含使得访问该信息的计算机能够以任何合适的方式来认证便携式设备的任何信息，此处描述的本发明的各方面不限于采用任何特定类型的密钥资料或其他认证信息。
根据本发明的一个实施例，采取步骤以便不仅在允许自动关联之前向计算机认证便携式设备，而且还在便携式设备允许计算机自动与其关联之前向类似地向便携式设备认证计算机和/或其用户。由此，以下描述的本发明的某些实施例实现了用于在使得便携式设备和计算机之间能够自动关联之前除了向计算机认证便携式设备之外还向便携式设备认证计算机和/或其用户的技术。然而，应当理解，本发明的全部方面在这一点上不受限制，此处所描述的技术可用于仅向计算机认证便携式设备来允许自动关联。
用于自动设备关联的常规技术要求每一计算机为该计算机能够与其进行自动关联的每一便携式设备存储单独的一组密钥资料(在手动配对期间形成)。同样，便携式设备常规上必须为该设备可自动关联的每一计算机存储单独的一组密钥资料(同样在手动配对期间形成)。这是因为在现有的设备关联技术中，作为将两个设备手动配对的结果所形成的密钥资料是设备专用的且绑定到设备。
作为常规关联技术的一个示例，图6示出了蓝牙简单配对协议的简化版本。最初，在动作310，两个启用蓝牙的设备发现彼此，并且在320，它们建立非安全通信信道。接着，在动作330中，两个参与设备交换其公钥。在动作340中，基于所交换的公钥和/或参与设备的蓝牙地址来计算确认值，并且在动作350，中，使用参与设备的蓝牙地址来计算用于维持配对的链接密钥，并且在动作360中，使用该链接密钥来参与加密通信。
从以上内容中应当理解，使用蓝牙简单配对建立的密钥资料被绑定到参与设备的蓝牙地址。结果，在一对设备之间建立的密钥资料通常不重复用于关联另一对设备，即使这两对设备具有共同的一个设备和/或密钥资料可以从一个设备传输到另一设备。例如，如果使用为便携式设备和具有第一蓝牙地址的第一计算机建立的密钥资料来试图关联第二计算机和该便携式设备，则该便携式设备可拒绝与第二计算机进行关联，因为密钥资料被绑定到第一蓝牙地址且便携式设备会识别该第二计算机具有不同的蓝牙地址。由此，根据本发明的一个实施例，采用独立于设备的密码密钥资料，使得它们可被不同计算机容易且安全地共享来用于设备关联的目的。
在一个实施例中，经由手动配对过程或其他过程，并非在便携式设备和任何特定计算机之间，而是在便携式设备和其用户之间创建独立于设备的密钥资料。因此，不像使用常规的设备关联协议形成的密钥资料，该密钥资料不被绑定到任何特定计算机，且因此可用于将该便携式设备与任何计算机或计算机组进行关联。根据本发明的一个实施例，采用了使用独立于设备的密钥资料来将便携式设备与计算机进行关联的关联协议。然而，此处描述的密钥资料、关联协议和其他技术在这一点上不受限制，并且可用于执行任何类型的任何两个或多个设备之间的关联，包括不仅在便携式设备和常规上被称为计算机的设备(例如，膝上型或个人计算机)之间，而且在任何类型的任何两个设备之间。另外，应当理解，对计算机或计算设备(这些术语在本文中互换使用)的引用在此处用于指具有编程的处理器的任何设备，包括可能常规上不被称为计算机的设备。另外，此处描述的技术可用于在设备组之间执行关联。例如，此处所描述的技术可在广播或多播场景中使用来使得共享第一组密钥资料的一组设备能够与共享第二组密钥资料的另一组设备进行关联。
可以使根据一个实施例使用的独立于设备的密钥资料对任何计算机可用来用于关联便携式设备的目的。这能够以任何合适的方式来完成。例如，密钥资料可被存储在与便携式设备关联的第一计算机上，并且稍后在用户请求时或响应于来自第二计算机的自动请求而被传递到第二计算机。或者，第一计算机可以将密钥资料存储在全局可访问存储中，使得第二计算机可从中检索密钥资料。该全局可访问存储可以在第一计算机或一单独的计算机上，和/或可以使用任何合适的接口，如web接口、网络文件***接口或任何其他合适的接口来检索。
根据以下描述的本发明的一个实施例，要被多个计算机用于关联便携式设备的独立于设备的密钥资料是使用用户和便携式设备两者的唯一标识符(ID)来生成的。这些唯一标识符可以用任何合适的方式来建立，本发明的采用这些ID来生成密钥资料的各方面在这一点上不受限制。例如，该唯一用户ID可以是用户的电子邮件地址、或经由提供唯一标识符的服务提供的唯一标识符，如可从微软公司获得的Windows Live ID或任何其他服务，或可以用任何其他合适的方式来提供。类似地，便携式设备可以使用任何合适的技术，如全局唯一标识符(GUID)或任何其他合适的技术，经由唯一标识符来表示。
参考图7，以消息图表的形式示出了根据本发明的一个实施例的用于将便携式设备和计算机手动配对来建立独立于设备的密钥资料的过程。图7所示的过程可以在便携式设备410和计算机420发现了彼此并且以任何合适的方式建立了通信信道(例如，非安全信道)之后开始。例如，在蓝牙的情况下，便携式设备410可能已经被置于可被发现模式，并且计算机420可能已经执行了扫描来发现便携式设备410且可能已经发起了与便携式设备410的通信。取决于底层通信方法，图7中所示的通信交换可以在发现和通信建立期间执行，或在两个参与设备之间的任何合适的通信阶段期间执行，本发明在这一点上不受限制。
在动作430中，计算机420将第一信息集合发送给便携式设备410，该第一信息集合包括用户的ID(ID用户)、该用户的公钥(PK用户)、以及为用户和便携式设备310之间的关联生成的随机值(R用户，设备)。随机值R用户，设备是唯一地标识用户和便携式设备410之间的关联的一条秘密信息。如以下所讨论的，根据一个实施例，R用户，设备可用于提供针对重放攻击的安全措施，在重放攻击中，设备试图不正确地表示其自身来建立自动关联。
然而，应当理解，本发明的涉及形成独立于设备的密钥资料的协议的该方面不限于采用诸如R用户，设备等一条额外的秘密信息来针对这一攻击进行防护，该信息在某些实施例中可被省略(例如，如果相信这一攻击的风险是最小的)。另外，尽管在一个实施例中该秘密信息是按照随机数来提供的，但应当理解，可采用任何技术来建立该秘密信息，其不限于是随机数。
在一个实施例中，采用一种技术来保护随机数到便携式设备的传递。这能够以任何合适的方式来完成。例如，该传递可以经由USB设备或诸如NFC等邻近性无线技术来发生，这种传递具有小传输范围来使得另一设备要进行窃听实际上是不可能的。
在动作440中，便携式设备410将第二信息集合发送到计算机420，该第二信息集合包括便携式设备410的ID(ID设备)以及便携式设备410的公钥(PK设备)。
应当理解，此处描述的技术不限于在动作430和440期间交换的信息的精确组合，也不限于图7所示的通信的数量和次序。例如，在一个实施例中，公钥可以在计算机420和便携式设备410之间在便携式设备410和计算机420都信任的授权机构签名的证书中发送来增强安全性，但这并非必需的。此外，该信息可以用任何合适的方式来交换，包括将动作430和440分解成多个通信并以任何合适的次序来交错通信。
在动作450中，便携式设备410在其显示器上显示计算机420所提供的或从中导出的信息中的至少某一些，并且计算机420类似地在其显示器上显示从便携式设备410接收的信息或从中导出的信息中的至少某一些，来使用户能够确认进行通信的设备是正确的设备且由此确立通信是可信的。要显示的信息是用户将能够验证为已由其他设备提供来建立可信关系的信息。这可以用任何合适的方式来完成，其示例在下文中讨论。例如，在一个实施例中，便携式设备410可以显示ID用户，而计算机420可以显示ID设备，且用户类似地能够从每一设备查看发送到另一个的ID(例如，用户能够在便携式设备410上查看ID设备，并且从计算机420查看ID用户)，使得用户能够验证每一设备正确地显示了从另一个发送的标识符。
某些设备(例如，便携式设备410)可能没有能够显示信息来向用户提供可视化该信息并确认该信息的机会的显示器或用户界面。根据本发明的一个实施例，对于此类设备，可省略在该便携式设备上显示信息的步骤。省略该步骤可阻止用户验证便携式设备正在与所需计算机(例如，420)交换信息。然而，如果用户愿意接受从中导致的降低的安全性，则可完全省略该步骤。或者，在这一情况下，用于在便携式设备和计算机之间交换信息的通信介质可以是不会留下关于两个可信设备正在通信的任何疑问的通信介质。例如，通信可通过有线连接、通过诸如USB闪存设备等便携式通信介质、或使用诸如NFC等具有非常小的传输范围且消除了第三计算设备截取和/或注入通信的可能性的通信技术来执行。
在动作460，用户通过与便携式设备410和计算机420之一或两者进行交互来确认配对和信息交换是在可信设备之间发生的。例如，如果动作450中显示的ID是正确的，则用户可操作便携式设备410和计算机420的用户界面来指示这一点。当如此指示时，计算机420和便携式设备410将以如下所述的方式来继续。或者，如果用户无法指示信息是在可信设备之间交换的，则该过程将终止，并且将不存储关联信息。
应当理解，可用任何合适的方式向用户告知预期在计算机420和便携式设备410上显示的信息。例如，每一设备(例如，便携式设备410和计算机420)可以提供一用户界面，藉此它可向用户显示其自己的ID或其他信息，使得用户能记录预期在另一设备上看见的信息来验证可信关系。例如，如上所述，便携式设备可在其自己的用户界面上向用户显示其ID，使得用户能知道预期由计算机420显示什么信息来确认计算机420与正确的便携式设备410配对。然而，这仅是一个示例，可以用任何合适的方式向用户告知预期在配对设备之一或两者上显示的信息。
如上所讨论的，当用户通过与便携式设备410和计算机420之一或两者进行交互来确认关系可信时，便携式设备410和计算机420存储在步骤430和440接收到的信息中的至少某一些和/或从中导出的信息。例如，便携式设备410可以将简档<ID用户，PK用户，R用户，设备>存储在便携式设备中可用的任何内部存储(例如，存储器)中，而计算机420可将简档<ID设备，PK设备，R用户，设备>存储在全局可访问存储中与用户相关联的位置。可获得并在这些简档中存储另外的和/或另选的信息，此处所描述的技术不限于所交换的任何特定信息。也可采用其他合适类型的信息。图7中创建的简档可用于向一个或多个计算机(包括除了计算机420之外的计算机)认证便携式设备并方便自动关联的方式的一个说明性示例在以下描述。
图8示出了用于存储使用图7所示的协议和信息为多个用户(用户1到用户N)建立的设备简档的全局可访问数据存储801的示例性配置。如上所述，这些简档仅是说明性的，使得全局可访问数据存储可以用其他方式组织来存储其他类型的信息。在图8所示的实施例中，每一用户能够与多个设备相关联。例如，所存储的且与用户1相关联的信息包括三个条目805a-c，每一条目对应于与用户1相关联的一不同设备。例如，条目805a-c可对应于移动电话、MP3播放器以及无线头戴式耳机组，所有这些都属于同一用户，但这些仅是示例，与用户相关联的便携式设备可以是任何合适的便携式设备。
应当理解，同一便携式设备可被多个用户共享。因此，根据图8所示的本发明的一个实施例，在数据存储801中，同一设备可以与多个用户相关联。这例如通过由标识符ID设备1标识的设备经由条目805a与用户1相关联且经由条目807a还与用户2相关联来示出。
如可在图8中看到的，根据一个实施例，条目805a和807a是不相同的，因为标识用户和便携式设备之间的关联的值是不同的(即，R用户1，设备1和R用户2， 设备1)。
根据本发明的一个实施例，对标识某一用户和某一设备之间的关联的不同值的使用可用于针对非可信用户的潜在重放攻击进行保护。在这一点上，应当理解，此处所描述的技术可以用于可被多个用户共享的计算机和其他设备。由此，根据本发明的一个实施例，对标识用户和便携式设备之间的关联的唯一值的使用可用于防止非可信用户所策划的重放攻击。这类攻击可采取任一或若干形式。例如，从上述内容应当理解，在计算机和某一便携式设备(本示例中称为设备1)之间交换认证信息的过程中，设备1将接收计算机发送以认证登录到该计算机的用户的身份的信息(例如，用与该用户相关联的密钥签名的ID用 户)。由此，该信息可被存储在便携式设备(例如，本示例中的设备1)上。如果另一用户获得对该便携式设备(例如，设备1)的控制，则存在这样的风险：该用户可能会导致该便携式设备重放从计算机接收的信息，从而该便携式设备能本质上假扮它是第一用户(例如，用户1)所登录到的计算机并试图作为用户1自动与另一设备(例如，设备2)进行关联，而实际上该便携式设备是在不同用户(例如，用户2)的控制下的。
应当理解，存在类似的风险，即参与用于认证便携式设备的信息的交换的计算机将接收该便携式设备用于认证其自身的信息(例如，用该便携式设备的密钥签名的、该便携式设备的唯一标识符)，并且该信息可被存储在计算机上且可能被计算机重放来在试图形成与除了用户1之外的用户(例如，用户2)所登录到的另一计算机或其他类型的设备的关联时假扮该便携式设备的身份。例如，在计算机和设备1之间交换认证信息的过程中，计算机将接收设备1发送以认证其自身的信息(例如，由与设备1相关联的密钥签名的ID设备)。由此，该信息可被存储在计算机上。如果敌方实体要获得对该计算机的控制，则存在这样的风险：该敌方实体将导致该计算机重放从设备1接收的信息，使得计算机可本质上假扮它是设备1且试图作为设备1来自动与另一用户(例如，用户2)进行关联。
根据本发明的一个实施例，在设备之间交换的认证信息中包括唯一地标识某一用户与某一设备之间的关联的值防止了上述类型的重放攻击。例如，为使设备能够正确地认证从据称有某一用户登录到其上的计算机接收到的通信，设备将进行检查来确保接收到了标识其自身(即，特定设备)和用户之间的关联的特定唯一值。因此，尽管接收来自计算机的认证信息的设备具有它认证登录到该计算机的用户的身份所需的全部信息，但它未接收任何其他设备认证用户会需要的信息，因为每一设备具有其自己的与其自身和用户之间的关联相关的唯一值。因此，接收来自用户的认证信息的设备(例如，上述示例中的设备1)不能成功地假扮有用户登录到其上的计算机的身份来与另一设备(例如，上述示例中的设备2)进行关联，因为尝试这一重放攻击的设备不拥有另一设备(例如，设备2)期望接收来认证用户的身份的特定值。
类似地，对专门标识某一用户和某一设备之间的关联的值的使用可用于防止接收了来自任何设备(例如，设备1)的认证信息以与登录的用户相关联的计算机试图假扮该设备的身份并形成与不同用户登录到的另一计算机或其他设备的关联。例如，为使计算机正确地认证从据称与登录到计算机的用户相关联的便携式设备接收到的通信，计算机将进行检查来确保其接收到标识该便携式设备和登录到计算机的用户之间的关联的特定唯一值。因此，尽管接收来自便携式设备的认证信息以与第一用户相关联的计算机具有向第一用户认证该便携式设备的身份所需的全部信息，但它未接收需要被给出以向第二用户认证便携式设备的信息，因为每一用户具有与每一用户和便携式设备之间的关联相关的唯一值。因此，接收来自便携式设备(例如，本示例中的设备1)以与第一用户(例如，上述示例中的用户1)相关联的计算机不能成功地假扮设备1的身份来与其上有另一用户(例如，上述示例中的用户2)登录的另一计算机进行关联，因为尝试这一重放攻击的计算机不拥有该另一用户(例如，用户2)预期接收来认证该便携式设备的身份的特定值。
在一个实施例中，唯一地标识关联的值被存储在一个或多个安全和防篡改位置中。或者，值可用加密形式存储，而解密密钥被存储在一个或多个安全和防篡改位置中。
此外，应当理解，代替或除了上述简档，其他类型的信息可被存储在全局可访问存储中。例如，在图11所示的协议中使用的用户的公钥和秘密密钥可被存储在全局可访问存储中。然而，这并非必需的，用户可从其他存储位置，例如在用户登录到的计算机上的本地存储位置中检索公钥和秘密密钥。
图9示出了便携式设备的存储器的示例性配置，包括为该便携式设备的多个用户建立的多个简档903a-b。尽管图9中仅示出了两个简档903a-b，应当理解，可存储任何合适数量的简档。每一简档可以对应于便携式设备的一不同用户，或者用户可定义多个简档以便在不同上下文中使用，使得同一个体可被***识别为不同用户(例如，通过不同用户ID)。在一示例性场景中，用户可使用ID用户1来登录到一个或多个家庭计算机，并使用ID用户2来登录到一个或多个工作计算机。有了存储在便携式设备上的两个简档，即用于ID用户1的一个简档和用于ID用户2的另一简档，允许便携式设备使用任一用户ID与用户登录到的任何计算机自动关联。应当理解，本发明不限于可同时与一便携式设备相关联的用户的数量。在某些实施例中，该便携式设备可允许一次仅与一个用户相关联，而在其他实施例中，该便携式设备可允许一次与一个以上用户相关联(例如，便携式设备可具有该便携式设备可以同时关联的用户数量的上限)。
再次，应当理解，代替或除了图9所示的简档，其他类型的信息可被存储在便携式设备的存储器中。例如，可以存储在图11所示的协议中使用的便携式设备的公钥和秘密密钥。
一旦建立了简档并将其存储在便携式设备和全局可访问数据存储中(如此处所使用的，所称的全局可访问的数据存储意味着该数据存储不绑定于单个计算机，并且可以被两个或更多不同的计算机访问)，包含在其中的信息可用于手动地认证便携式设备和计算机并方便了使用任何合适的技术的自动关联，其示例在下文中讨论。然而，应当理解，简档信息(或可用于如上所述的认证目的的任何其他类型的秘密或密钥资料)可以用除了使用图7的手动配对过程之外的方式来形成。例如，如上所讨论的，根据本发明的一个实施例，秘密信息可以在不经历便携式设备和任何计算机之间的手动配对操作的情况下建立。这一类型的示例性过程在图10中示出，以便与以上结合图8和9讨论的具体简档一起使用。然而，应当理解，本发明的能够在没有手动配对的情况下形成密钥资料的方面不限于与图8和9所示的简档中包括的具体类型的密钥资料一起使用。
在图10的过程中，在动作710，为用户并为便携式设备获得包括公钥-私钥对和随机值的密钥资料。公钥-私钥对和随机数可以在动作710中新生成，或者可以检索预先存在的公钥-私钥对和随机数值。可使用任何合适的计算设备来获得密钥资料，本发明在这一点上不受限制。
在动作720，密钥资料中要存储在便携式设备上的一(诸)部分用任何合适的方式来传递到便携式设备(例如，从具有密钥资料的计算机传递，并且通过有线或无线连接、经由可附连到便携式设备来下载密钥信息的便携式计算机可读介质等将它们传递到便携式设备)。所存储的信息可包括便携式设备提供给计算机来认证其自身的信息(例如，ID设备、PK设备和R用户，设备)、与传递给该设备可自动关联的计算机的公钥形成公钥-私钥对的该设备的私钥(例如，SK设备)、以及对于便携式设备的每一用户的预期要从计算机传递给便携式设备以使得便携式设备能够认证计算机或其用户的信息(例如，ID用户、PK用户、R用户， 设备)。
在动作730，将计算机用于认证便携式设备并启用自动关联的信息存储在全局可访问数据存储中并且与用户相关联(例如，如图8所示)。由此，在图8所示的实施例中，为与用户相关联的每一设备存储设备简档<ID设备，PK设备，R用户，设备>。
应当理解，动作710、720和730可以按任何逻辑上一致的次序来执行，并且每一动作可以被分解成多个动作，且这些动作可以交错或以任何逻辑上一致的次序执行。另外，如上所讨论的，图8所示的具体密钥信息仅是说明性的，可采用使用不同密钥信息的本发明的其他实施例。
图11示出了根据本发明的一个实施例的先前未手动配对的计算机和便携式设备可用于彼此认证以建立方便自动关联的可信关系的示例性协议。具体地，在成功地执行了图11的协议之后，便携式设备810将已经向计算机820证明该便携式设备820实际上是它声称的设备(即，标识符ID设备所标识的设备)，且计算机820将已经验证了到ID设备所标识的设备的连接被ID用户所标识的用户接受。另外，计算机820将已经向便携式设备证明计算机820正被ID用 户所标识的用户使用，且便携式设备810将已经验证ID用户所标识的用户是在便携式设备810接受与其自动连接的用户之中的。
如同图7所示的过程一样，图11的协议可在便携式设备810和计算机820已经发现了彼此并且已经用任何合适的方式建立了通信信道之后进行。然而，应当理解，图11所示的通信可以在发现和通信建立期间执行，或在便携式设备810和计算机820之间的通信的任何合适的阶段期间执行，图11所示的实施例在这一点上不受限制。
图11示出了便携式设备810和计算机820可用于使用图8-9所示类型的先前建立的简档来彼此认证的示例性协议。应当理解，本发明不限于与图8-9所示类型的简档一起使用来实现计算机和便携式设备之间的手动认证，可使用任何合适类型的简档来向计算机认证便携式设备和/或向便携式设备认证计算机。此外，图11的协议导致在便携式设备810和计算机820之间建立共享密钥。该共享密钥可直接或简介用于获得用于加密和解密便携式设备810和计算机820之间的通信的对称加密密钥。然而，本发明不限于一旦建立可信关系之后即建立任何特定类型的密钥资料来允许安全通信，或甚至在一旦建立可信关系之后不保护通信的***中使用。
在动作830中，计算机820向便携式设备810通知便携式设备810要与其相关联的用户的身份(例如，基于登录到计算机820的用户的身份)。在动作840，便携式设备810使用在动作830接收到的标识用户的信息(例如，ID用户)来(例如，从其存储器中)检索该便携式设备为该用户存储的简档，在所示示例中该简档包括PK用户和R用户，设备。如果不能定位与ID用户相关联的简档，这指示该便携式设备当前不接受与ID用户所标识的用户的连接，则便携式设备810可以例如通过终止协议来拒绝连接。或者，便携式设备可以发起手动配对过程(未示出)。如果能定位到用户的简档，则从该简档检索信息，使得该信息可连同便携式设备810的秘密密钥SK设备一起使用来在动作850期间将秘密提供回计算机820以便如下所讨论地认证便携式设备810。另外，在图11所示的实施例中，所检索的信息包括使得便携式设备810能够以如下讨论的方式类似地认证计算机820的信息。
在所示实施例中，便携式设备810的秘密密钥SK设备是在动作840期间检索的。然而，本发明不限于检索秘密密钥SK设备的时间。例如，秘密密钥SK设 备可以在从计算机820接收ID用户之前检索。类似地，在所示实施例中在动作840期间生成新鲜的密钥K设备(其使用在下文中描述)，但是该密钥还可以在动作840之前生成，本发明在这一点上不受限制。
在动作850中，便携式设备810使用SK设备对ID设备进行电子签名，来获得第一签名(图11中表示为签名SK设备(ID设备))，并且组装第一消息，第一消息包括：第一签名、R用户，设备、ID设备、和K设备。然后使用PK用户来加密第一消息并将其发送给计算机820。执行加密以使得只有拥有SK用户(即，对应于PK用户的秘密密钥)的实体能够访问第一消息的内容。这防止传输范围内的任何其他计算机捕捉该第一消息的内容，包括第一签名。可能期望防止第三方捕捉该第一签名，因为第三方可稍后使用该第一签名来“假扮”便携式设备820。
在动作860，计算机820生成新鲜的密钥K用户(其使用在下文中描述)并检索SK用户。同样，这两个动作可以按任一次序来执行，并且可在动作860之前执行，本发明在这一点上不受限制。计算机820使用SK用户来解密加密的第一消息。如果用户实际上是第一消息的预期接收者(即，便携式设备820期望与ID用户所标识的用户相关联，且便携式设备810使用了PK用户来加密该第一消息使得只有拥有SK用户的设备能解密它)，则解密成功，且计算机820可以从第一消息中提取ID设备。或者，ID设备可通过某种其他手段，例如，经由先前在便携式设备810和计算机820之间的信息交换来获得。使用ID设备，计算机820可以从全局可访问存储的与由ID用户所标识的用户相关联的位置处检索简档<ID设备，PK设备，R用户，设备>，使得包含在检索到的简档中的信息可用于验证便携式设备820实际上是它所声称的设备(即，由标识符ID设备所标识的设备)，且与由ID设备所标识的设备的连接被ID用户所标识的用户接受。
在一个实施例中，可要求计算机820向全局可访问存储认证来访问为ID用 户所标识的用户建立的设备简档。例如，计算机820可能需要向全局可访问存储提交某些用户凭证，这些用户凭证可以由计算机820在ID用户所标识的用户登录到计算机820时自动获得。或者，ID用户所标识的用户可在登录之后的某一时刻提供所需凭证。
如果在全局可访问存储上不能定位与ID设备和ID用户相关联的简档，这指示出该ID用户所标识的用户当前不接受与便携式设备810的自动连接，则计算机820可以例如通过终止协议来拒绝连接。或者，计算机820可以发起手动配对过程(未示出)。
如果在全局可访问存储上不能定位设备简档<ID设备，PK设备，R用户，设备>，则计算机820检索简档并从中提取PK设备。它然后从第一消息中提取第一签名，并使用PK设备来验证第一签名。用于生成第一签名的签名算法是使得仅当签名是使用对应于公钥的秘密密钥来生成时该签名才能使用公钥被验证为有效的算法。在所示实施例中，只有拥有SK设备的实体才能生成在PK设备下被验证为有效的签名。以此方式，便携式设备810向计算机820证明便携式设备820实际上是它所声称的设备(即，标识符ID设备所标识的设备)。
为了防止如上所讨论的重放攻击，计算机820还检验消息中接收到的随机值是否与从全局可访问存储检索到的值R用户，设备相同。
由此，如果第一签名有效且R用户，设备值正确，则计算机820信任便携式设备810并继而出于如下讨论的原因计算共享密钥为K设备+K用户。否则，计算机820可例如通过终止协议来拒绝连接。此外，如果第一签名有效，则计算机820使用SK用户对ID用户进行电子签名来生成第二签名，并且可组装包括以下各项的第二消息：第二签名(在图11中表示为签名SK用户(ID用户))、R用户，设备、ID用 户、和K用户。该第二消息然后使用PK设备来加密并在动作870中发送到便携式设备。同样，执行该加密以使得只有拥有SK设备的实体能访问第二消息的内容。否则，传输范围内的任何计算机可捕捉第二消息的内容，包括第二签名。可能期望防止第三方捕捉该第二签名，因为第三方可稍后使用该第二签名来“假扮”ID用户所标识的用户。
在动作880，便携式设备810使用SK设备来解密经加密的第二消息。便携式设备810然后从第二消息中提取第二签名，并使用PK用户来验证第二签名。便携式设备810还检验该消息中所接收到的随机值是否与从其存储器中检索的值R用户，设备相同。如果第二签名有效且R用户，设备值是正确的，则便携式设备810信任ID用户所标识的用户要授权的计算机820，因为只有拥有SK用户的实体才能生成了使用PK用户验证为有效的签名且获得了正确的R用户，设备值。否则，便携式设备可例如通过终止协议来拒绝连接。
从上述内容中应当理解，图11的协议由此使得便携式设备810和计算机820能够彼此相互认证并建立可信关系，即使这两个设备从未手动配对过。之后，这两个设备能以任何所需方式来参与可信通信，此处描述的本发明的各方面在这一点上不受限制。根据图11所示的实施例，新鲜的密钥K设备和K用户如上文所讨论的那样来形成。根据一个实施例，当第二签名和R用户，设备值有效时，便携式设备810计算共享密钥为K设备+K用户。此时，计算机820和便携式设备810都有了正确计算的K设备+K用户作为共享密钥，该共享密钥进而可用于导出用于保护便携式设备810和计算机820之间的通信信道的加密密钥。然而，应当理解，此处描述的本发明的各方面不限于以此方式来形成共享密钥，计算机820和便携式设备810之间的通信可以用任何合适的方式来保护，或不被保护，此处描述的本发明的各方面在这一点上不受限制。
应当理解，图11所示的协议可以由便携式设备810和计算机820自动执行而无需用户干预。例如，计算机820可在发现便携式设备810并与便携式设备810建立通信信道时自动执行动作830。动作860也可被自动执行，只要计算机820能够访问用于从全局可访问存储中检索设备简档的凭证。
此外，动作830-880可用任何合适的次序来执行，包括分解成多个动作并以任何合适的次序来交错各动作。
如上所讨论的，此处描述的本发明的各方面可与具有可被编程为采取上述动作中的任一个的处理器的任何计算机或设备来一起使用。图12是其上可实现本发明的各方面的示例性计算机1300的示意图。计算机1300包括处理器或处理单元1301，以及可包括易失性和非易失性存储器两者的存储器1302。除***存储器1302之外，计算机1300还包括存储(可移动存储1304和不可移动存储1305)。存储器1302可存储用于对处理单元1301编程来执行此处所描述的各功能中的任一个的一个或多个指令。如上所述，此处所称的计算机可包括具有编程的处理器的任何设备，包括机架安装计算机、台式计算机、膝上型计算机、平板计算机、或可能一般不被视为计算机的多种设备中的任一种，它们包括编程的处理器(例如，PDA、MP3播放器、移动电话、无线头戴式耳机等等)。
同样，计算机可具有一个或多个输入和输出设备，如图13所示的设备1306-1307。这些设备主要可被用来呈现用户界面。可被用来提供用户界面的输出设备的示例包括用于可视地呈现输出的打印机或显示屏和用于可听地呈现输出的扬声器或其他声音生成设备。可被用于用户界面的输入设备的示例包括键盘和诸如鼠标、触摸板和数字化输入板等定点设备。作为另一示例，计算机可以通过语音识别或以其他可听格式来接收输入信息。
可以用多种方式中的任一种来实现本发明的上述实施例。例如，可使用硬件、软件或其组合来实现各实施例。当使用软件实现时，该软件代码可在无论是在单个计算机中提供的还是在多个计算机之间分布的任何合适的处理器或处理器集合上执行。
此外，应当理解，此处略述的各种方法或过程可被编码为可在采用各种操作***或平台中的任何一种的一个或多个处理器上执行的软件。此外，这样的软件可使用多种合适的程序设计语言和/或程序设计或脚本工具中的任何一种来编写，而且它们还可被编译为可执行机器语言代码或在框架或虚拟机上执行的中间代码。
就此，此处描述的本发明的某些方面可被具体化为用一个或多个程序编码的一个或多个计算机可读介质(例如，计算机存储器、一个或多个软盘、紧致盘、光盘、磁带、闪存、现场可编程门阵列或其它半导体器件中的电路配置、或其他有形计算机存储介质)，当这些程序在一个或多个处理器上执行时，它们执行实现以上讨论的本发明的各个实施例的方法。这一个或多个计算机可读介质可以是便携的，使得其上存储的一个或多个程序可被加载到一个或多个不同的计算机或其他处理器上以便实现本发明上述的各个方面。
此处以一般的意义使用术语“程序”或“软件”来指可被用来对计算机或处理器编程以实现以上讨论的本发明的各个方面的任何类型的计算机代码或计算机可执行指令集，并且可包括任何计算机程序微码等等。此外，应理解，当被执行时执行本发明的方法的一个或多个计算机程序不必驻留在单个计算机或处理器上，而是可以用分布在多个不同的计算机或处理器之中以实现本发明的各方面。
计算机可执行指令可以具有可由一个或多个计算机或其他设备执行的各种形式，诸如程序模块。程序模块可包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等。程序模块的功能可按需在各实施例中组合或分布。
而且，数据结构能以任何合适的形式存储在计算机可读介质上。为简化说明，数据结构可被示为具有通过该数据结构中的位置而相关的字段。这些关系同样可以通过对各字段的存储分配传达各字段之间的关系的计算机可读介质中的位置来得到。然而，可以使用任何合适的机制来在数据结构的各字段中的信息之间建立关系，包括通过使用指针、标签、或在数据元素之间建立关系的其他机制。
本发明的各方面可以单独、组合、或以任何合适的安排或组合来使用，包括以上未具体讨论的那些方式。例如，可使用任何方式将一个实施例中描述的各方面与其他实施例中描述的各方面组合。
在权利要求书中使用诸如“第一”、“第二”、“第三”等序数词来修饰权利要求元素本身并不意味着一个权利要求元素较之另一个权利要求元素的优先级、先后次序或顺序、或者方法的各动作执行的时间顺序，而仅用作将具有某一名字的一个权利要求元素与(若不是使用序数词则)具有同一名字的另一元素区分开的标签以区分各权利要求元素。
同样，此处所使用的短语和术语是出于描述的目的而不应被认为是限制。此处对“包括”、“包含”、或“具有”、“含有”、“涉及”及其变型的使用旨在包括其后所列的项目及其等效物以及其他项目。
至此描述了本发明的至少一个实施例的若干方面，可以理解，本领域的技术人员可容易地想到各种更改、修改和改进。这些更改、修改和改进旨在落入本发明的精神和范围内。因此，上述描述和附图仅用作示例。

Claims (15)

1.一种向计算机(905a)认证便携式设备(901)的方法，所述方法包括以下动作：
(A)标识登录到所述计算机(905a)的用户的身份；
(B)在所述计算机(905a)处接收来自所述便携式设备(901)的至少一个第一通信，所述至少一个第一通信包括所述便携式设备(901)的标识符和第一安全认证信息；
(C)使用登录到所述计算机(905a)的用户的身份和所述便携式设备(901)的标识符来检索至少一个第一密钥资料(909)；以及
(D)通过使用所述至少一个第一密钥资料(909)来处理所述第一安全认证信息，来确定所述至少一个第一通信是否认证所述便携式设备(901)。
2.如权利要求1所述的方法，其特征在于，所述第一安全认证信息包括使用所述便携式设备的秘密密钥生成的数字签名，且所述至少一个第一密钥资料(1909)包括所述便携式设备的公钥。
3.如权利要求1所述的方法，其特征在于，所述用户是第一用户，所述便携式设备(901)是第一便携式设备，并且其中：
所述至少一个第一通信还包括至少一个标识符，所述至少一个标识符唯一地标识由某一用户和某一便携式设备构成的对；以及
所述确定所述至少一个第一通信是否认证所述便携式设备(901)的动作包括确定所述至少一个标识符是否唯一地标识包括所述第一用户和所述第一便携式设备的对。
4.如权利要求1所述的方法，其特征在于，还包括以下动作：
当在所述动作(D)中确定所述便携式设备(901)已被认证时，在所述计算机(905a)和所述便携式设备(910)之间建立至少一个共享密钥；以及
使用至少部分地从所述至少一个共享密钥生成的一个或多个密钥来加密所述计算机(905a)和所述便携式设备(901)之间的至少一个进一步的通信。
5.如权利要求4所述的方法，其特征在于，所述至少一个共享密钥是通过将所述计算机(905a)生成并被发送到所述便携式设备(901)的第一密钥与所述便携式设备(901)生成并被发送到所述计算机(905a)的第二密钥进行组合来计算的。
6.如权利要求1所述的方法，其特征在于，还包括在接收所述第一安全认证信息之前向所述便携式设备(901)发送标识登录到所述计算机(905a)的用户的至少一个在先通信的动作。
7.如权利要求1所述的方法，其特征在于，还包括以下动作：
从所述计算机(905a)向所述便携式设备(901)发送包括第二安全认证信息的至少一个第二通信；以及
由所述便携式设备(901)通过使用存储在所述便携式设备(901)上的至少一个第二密钥资料来处理所述第二安全认证信息以确定所述至少一个第二通信是否认证所述计算机(905a)。
8.如权利要求7所述的方法，其特征在于，所述用户是第一用户，所述便携式设备(901)是第一便携式设备，并且其中：
所述至少一个第二通信还包括唯一地标识由某一用户和某一便携式设备构成的对的至少一个标识符；以及
所述确定所述至少一个第二通信是否认证所述计算机(905a)的动作包括确定所述至少一个标识符是否唯一地标识包括所述第一用户和所述第一便携式设备的对。
9.一种便携式设备实现的***，包括：
用于从计算机(905a)接收标识登录到所述计算机(905a)的用户的身份的至少一个第一通信的装置；
用于检索第一密钥资料的装置，所述第一密钥资料与所述计算机(905a)可访问且与所述用户相关联的第二密钥资料相关联；以及
用于向所述计算机(905a)发送至少一个第二通信的装置，所述至少一个第二通信包括所述便携式设备(901)的标识符，所述至少一个第二通信还包括至少一个第一信息片断，所述第一信息片断由所述第一密钥资料保护，以使所述计算机(905a)能通过使用所述第二密钥资料来处理由所述第一密钥资料保护的所述至少一个第一信息片断以确定所述至少一个第二通信是否认证所述便携式设备(901)。
10.如权利要求9所述的便携式设备实现的***，其特征在于，还包括：
用于使用所述用户的身份来进一步获得至少一个标识符的装置，所述至少一个标识符唯一地标识由所述用户和所述便携式设备(901)构成的对；以及
用于向所述计算机(905a)发送所述至少一个标识符和/或至少部分地使用所述至少一个标识符生成的信息的装置。
11.如权利要求9所述的便携式设备实现的***，其特征在于，还包括：
用于从所述计算机(905a)接收至少一个第三通信的装置，所述第三通信包括由第三密钥资料保护的至少一个第二信息片断，所述第三密钥资料与存储在所述便携式设备(901)上的第四密钥资料相关联；以及
用于通过使用所述第四密钥资料来处理由所述第三密钥资料保护的至少一个第二信息片断，来确定所述至少一个第三通信是否认证所述计算机(905a)的装置。
12.如权利要求11所述的便携式设备实现的***，其特征在于，所述用户是第一用户，所述便携式设备(901)是第一便携式设备，并且其中：
所述至少一个第三通信还包括至少一个标识符，所述至少一个标识符唯一地标识由某一用户和某一便携式设备构成的对；以及
所述用于确定所述至少一个第三通信是否认证所述计算机(905a)的装置包括用于确定所述至少一个标识符是否唯一地标识包括所述第一用户和所述第一便携式设备的对的装置。
13.如权利要求9所述的便携式设备实现的***，其特征在于，所述第一密钥资料是所述便携式设备(901)的秘密密钥，所述便携式设备还包括：用于通过用所述便携式设备(901)的秘密密钥对至少一个信息片断进行数字签名来保护所述至少一个信息片断的装置，所述第二密钥资料是所述便携式设备(901)的公钥。
14.如权利要求11所述的便携式设备实现的***，其特征在于，还包括：
用于当确定所述至少一个第三通信认证所述计算机(905a)时，计算在所述计算机(905a)和所述便携式设备(901)之间共享的至少一个共享密钥的装置；以及
用于使用至少部分地从所述至少一个共享密钥生成的一个或多个密钥来加密发送到所述计算机(905a)的至少一个进一步的通信的装置。
15.如权利要求14所述的便携式设备实现的***，其特征在于，所述至少一个共享密钥是通过将所述计算机(905a)生成并被发送到所述便携式设备(901)的第一密钥与所述便携式设备(901)生成并被发送到所述计算机(905a)的第二密钥进行组合来计算的。
CN200980131666.8A 2008-08-14 2009-07-24 用于设备到站的关联的协议 Active CN102119391B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US12/191,752 2008-08-14
US12/191,752 US8099761B2 (en) 2008-08-14 2008-08-14 Protocol for device to station association
PCT/US2009/051628 WO2010019370A2 (en) 2008-08-14 2009-07-24 Protocol for device to station association

Publications (2)

Publication Number Publication Date
CN102119391A CN102119391A (zh) 2011-07-06
CN102119391B true CN102119391B (zh) 2015-06-17

Family

ID=41669559

Family Applications (1)

Application Number Title Priority Date Filing Date
CN200980131666.8A Active CN102119391B (zh) 2008-08-14 2009-07-24 用于设备到站的关联的协议

Country Status (8)

Country Link
US (1) US8099761B2 (zh)
EP (1) EP2316097B1 (zh)
JP (1) JP5431479B2 (zh)
KR (1) KR101634828B1 (zh)
CN (1) CN102119391B (zh)
BR (1) BRPI0915874B1 (zh)
RU (1) RU2512118C2 (zh)
WO (1) WO2010019370A2 (zh)

Families Citing this family (24)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8769612B2 (en) * 2008-08-14 2014-07-01 Microsoft Corporation Portable device association
US8943551B2 (en) * 2008-08-14 2015-01-27 Microsoft Corporation Cloud-based device information storage
KR20100108970A (ko) * 2009-03-31 2010-10-08 삼성전자주식회사 디지털 저작권 관리 컨텐츠의 보호 방법 및 장치
US9253168B2 (en) 2012-04-26 2016-02-02 Fitbit, Inc. Secure pairing of devices via pairing facilitator-intermediary device
US8724812B2 (en) * 2010-12-31 2014-05-13 Motorola Solutions, Inc. Methods for establishing a secure point-to-point call on a trunked network
US8775533B2 (en) * 2011-05-20 2014-07-08 Microsoft Corporation Auto connect in peer-to-peer network
US9565708B2 (en) * 2011-05-20 2017-02-07 Microsoft Technology Licensing, Llc Auto-connect in a peer-to-peer network
US8634771B2 (en) * 2011-06-15 2014-01-21 Microsoft Corporation Simple peer-to-peer network formation
KR101964077B1 (ko) * 2011-09-16 2019-04-02 삼성전자주식회사 휴대용 단말기에서 블루투스 디바이스와 연결하기 위한 장치 및 방법
US9131370B2 (en) * 2011-12-29 2015-09-08 Mcafee, Inc. Simplified mobile communication device
IN2012DE00954A (zh) 2012-03-29 2015-09-11 Samsung India Electronics Pvt Ltd
US9131376B2 (en) 2012-04-20 2015-09-08 Bank Of America Corporation Proximity-based dynamic vehicle navigation
US9185093B2 (en) * 2012-10-16 2015-11-10 Mcafee, Inc. System and method for correlating network information with subscriber information in a mobile network environment
US9338657B2 (en) 2012-10-16 2016-05-10 Mcafee, Inc. System and method for correlating security events with subscriber information in a mobile network environment
US9444624B2 (en) * 2012-11-02 2016-09-13 Facebook, Inc. Providing user authentication
CN103037370A (zh) * 2012-11-05 2013-04-10 李明 一种移动存储设备和身份认证方法
US9032106B2 (en) 2013-05-29 2015-05-12 Microsoft Technology Licensing, Llc Synchronizing device association data among computing devices
CN106211022A (zh) * 2014-11-26 2016-12-07 三星电子株式会社 用于配对可穿戴设备和智能设备的方法和装置
US10270774B1 (en) * 2015-01-26 2019-04-23 Microstrategy Incorporated Electronic credential and analytics integration
CA2986572C (en) * 2015-05-21 2020-12-29 Cloudtraq Llc Identification, location, and authentication systems and methods
JP2016224522A (ja) * 2015-05-27 2016-12-28 京セラ株式会社 端末装置およびサービスサーバ
US10389731B2 (en) * 2016-11-22 2019-08-20 Microsoft Technology Licensing, Llc Multi-factor authentication using positioning data
RU2634202C1 (ru) * 2016-12-27 2017-10-24 Открытое акционерное общество "Научно-производственное объединение Ангстрем" Устройство программно-аппаратного комплекса формирования ключевой информации и радиоданных для радиостанции
WO2021111824A1 (ja) * 2019-12-03 2021-06-10 木戸　啓介 電子署名システム及び耐タンパ装置

Family Cites Families (26)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
NZ329891A (en) * 1994-01-13 2000-01-28 Certco Llc Method of upgrading firmware of trusted device using embedded key
GB9709135D0 (en) * 1997-05-02 1997-06-25 Certicom Corp Two way authentication protocol
US6016476A (en) * 1997-08-11 2000-01-18 International Business Machines Corporation Portable information and transaction processing system and method utilizing biometric authorization and digital certificate security
JP2000003336A (ja) * 1998-06-16 2000-01-07 Nec Corp 携帯型データ通信端末装置におけるユーザ認証方法及びユーザ認証システム
US6438600B1 (en) * 1999-01-29 2002-08-20 International Business Machines Corporation Securely sharing log-in credentials among trusted browser-based applications
US6941148B2 (en) * 2000-06-03 2005-09-06 International Business Machines Corporation Device registry for automatic connection and data exchange between pervasive devices and backend systems
US20030100307A1 (en) * 2001-11-27 2003-05-29 Intel Corporation Automatic service handoff method and apparatus
US20040128345A1 (en) * 2002-12-27 2004-07-01 Robinson Scott H. Dynamic service registry
GB2400196A (en) 2003-04-02 2004-10-06 Nec Technologies Restricting access to a mobile phone, laptop etc. using an authorization procedure involving a separate transceiver
US6976253B1 (en) * 2003-07-30 2005-12-13 Microsoft Corporation Method and apparatus for configuring a mobile device
US20050289558A1 (en) * 2004-06-08 2005-12-29 Daniel Illowsky Device interoperability runtime establishing event serialization and synchronization amongst a plurality of separate processing units and method for coordinating control data and operations
US7469291B2 (en) * 2004-09-22 2008-12-23 Research In Motion Limited Apparatus and method for integrating authentication protocols in the establishment of connections between computing devices
US7493487B2 (en) * 2004-10-15 2009-02-17 Microsoft Corporation Portable computing environment
AU2005222507B2 (en) * 2004-10-15 2010-10-28 Microsoft Corporation Portable computing environment
US8024488B2 (en) * 2005-03-02 2011-09-20 Cisco Technology, Inc. Methods and apparatus to validate configuration of computerized devices
CN1648863A (zh) * 2005-03-07 2005-08-03 优网通国际资讯股份有限公司 可携式软件应用的方法
US7509116B2 (en) * 2005-03-30 2009-03-24 Genx Mobile Incorporated Selective data exchange with a remotely configurable mobile unit
US8171531B2 (en) * 2005-11-16 2012-05-01 Broadcom Corporation Universal authentication token
US8341238B2 (en) * 2006-03-03 2012-12-25 Sharp Laboratories Of America, Inc. Methods and systems for multiple-device session synchronization
US8676973B2 (en) * 2006-03-07 2014-03-18 Novell Intellectual Property Holdings, Inc. Light-weight multi-user browser
EP1832998A1 (en) * 2006-03-07 2007-09-12 Hitachi, Ltd. Method of interfacing between electronic devices, method of operating a portable storage device, electronic device and electronic system
US7647041B2 (en) * 2006-03-30 2010-01-12 Sbc Knowledge Ventures, L.P. Systems, methods, and apparatus to enable backup wireless devices
EP1873668A1 (en) 2006-06-28 2008-01-02 Nokia Siemens Networks Gmbh & Co. Kg Integration of device integrity attestation into user authentication
JP5276593B2 (ja) * 2006-09-06 2013-08-28 デバイススケープ・ソフトウェア・インコーポレーテッド ネットワーク信用証明書を獲得するためのシステムおよび方法
KR101307456B1 (ko) * 2006-09-22 2013-09-11 삼성전자주식회사 휴대단말기에서 블루투스 자동등록을 제공하는 방법 및 장치
RU61491U1 (ru) * 2006-09-26 2007-02-27 ООСТЕРУМ Джозеф ВАН Универсальное устройство сопряжения портативной звуковоспроизводящей системы с автомобильным радиоприемником

Also Published As

Publication number Publication date
BRPI0915874A2 (pt) 2015-11-03
JP2011530960A (ja) 2011-12-22
RU2011105187A (ru) 2012-08-20
US8099761B2 (en) 2012-01-17
WO2010019370A2 (en) 2010-02-18
WO2010019370A8 (en) 2011-03-10
KR101634828B1 (ko) 2016-07-08
WO2010019370A3 (en) 2010-04-15
EP2316097B1 (en) 2017-06-21
US20100040233A1 (en) 2010-02-18
KR20110057149A (ko) 2011-05-31
EP2316097A4 (en) 2012-08-08
BRPI0915874B1 (pt) 2020-09-15
RU2512118C2 (ru) 2014-04-10
CN102119391A (zh) 2011-07-06
JP5431479B2 (ja) 2014-03-05
EP2316097A2 (en) 2011-05-04

Similar Documents

Publication Publication Date Title
CN102119542B (zh) 便携式设备关联
CN102119391B (zh) 用于设备到站的关联的协议
KR101974452B1 (ko) 프로그래밍이 가능한 블록체인과 통합 아이디 기반의 사용자정보 관리 방법 및 시스템
US20220318390A1 (en) Secure over-the-air firmware upgrade
US7185199B2 (en) Apparatus and methods for providing secured communication
CN111178884A (zh) 信息处理方法、装置、设备及可读存储介质
KR100559958B1 (ko) 이동통신 단말기간의 인증도구 중계 서비스 시스템 및 방법
US20210019451A1 (en) Process and detachable device for using and managing encryption keys
KR102355708B1 (ko) 블록체인 키를 이용한 사용자 인증 기반의 요청 처리 방법, 그 방법이 적용된 시스템
KR20120084631A (ko) 고유식별자 기반 인증시스템 및 방법
CN108429621B (zh) 一种身份验证方法及装置
KR102053993B1 (ko) 인증서를 이용한 사용자 인증 방법
EP4270860A1 (en) Identity authentication method, authentication access controller, request device, storage medium, program, and program product
JP5553914B1 (ja) 認証システム、認証装置、及び認証方法
US20050076217A1 (en) Integrating a device into a secure network
KR101405832B1 (ko) 이동통신기기를 이용한 로그인 인증 시스템 및 방법
KR101804972B1 (ko) 휴대통신기기 인증 시스템 및 그 방법
KR100938391B1 (ko) 서버와 클라이언트 상호인증을 통한 로그인 시스템
JP2014134879A (ja) データダウンロードシステム、データダウンロード方法、及び情報端末
JP2014135557A (ja) 権限発行システム、権限発行サーバ、及び権限発行方法

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
ASS Succession or assignment of patent right

Owner name: MICROSOFT TECHNOLOGY LICENSING LLC

Free format text: FORMER OWNER: MICROSOFT CORP.

Effective date: 20150717

C41 Transfer of patent application or patent right or utility model
TR01 Transfer of patent right

Effective date of registration: 20150717

Address after: Washington State

Patentee after: Micro soft technique license Co., Ltd

Address before: Washington State

Patentee before: Microsoft Corp.