CN110268406B - 密码安全性 - Google Patents

密码安全性 Download PDF

Info

Publication number
CN110268406B
CN110268406B CN201880010911.9A CN201880010911A CN110268406B CN 110268406 B CN110268406 B CN 110268406B CN 201880010911 A CN201880010911 A CN 201880010911A CN 110268406 B CN110268406 B CN 110268406B
Authority
CN
China
Prior art keywords
user information
password
account
password reset
user
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201880010911.9A
Other languages
English (en)
Other versions
CN110268406A (zh
Inventor
L·朱
曾毅
黄宇
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Microsoft Technology Licensing LLC
Original Assignee
Microsoft Technology Licensing LLC
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Microsoft Technology Licensing LLC filed Critical Microsoft Technology Licensing LLC
Publication of CN110268406A publication Critical patent/CN110268406A/zh
Application granted granted Critical
Publication of CN110268406B publication Critical patent/CN110268406B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/45—Structures or tools for the administration of authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/602—Providing cryptographic facilities or services
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/006—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols involving public key infrastructure [PKI] trust models
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/34—User authentication involving the use of external additional devices, e.g. dongles or smart cards
    • G06F21/35—User authentication involving the use of external additional devices, e.g. dongles or smart cards communicating wirelessly
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2131—Lost password, e.g. recovery of lost or forgotten passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Databases & Information Systems (AREA)
  • Storage Device Security (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

本描述涉及密码重置安全性。一个示例可以接收针对基于云的用户帐户的登录请求和密码。该示例还可以取回与密码相关联的所存储的经认证用户信息。该示例还可以将登录请求的通知发送到与基于云的用户帐户相关联的联系地址。通知可以包含所存储的经认证用户信息中的至少一些用户信息。

Description

密码安全性
背景技术
已采用各种不法技术来破坏帐户安全性。通常直到很久之后才发现违规行为，并且利用现有技术很难确定谁应对违规行为负责。
附图说明
附图示出了在本申请中传达的概念的实现方式。通过参考以下结合附图的描述，能够更容易地理解所示出的实现方式的特征。在各个附图中只要可行就使用相似的附图标记来表示相似的元件。此外，每个附图标记最左边的数字表示首次引入该附图标记的附图和相关联的讨论。
图1A-图1B和图5根据一些实现方式示出了可以应用本文的密码重置安全性概念的示例性***。
图2-图4根据一些实现方式示出了示例性密码重置安全性方法。
具体实施方式
本文的概念涉及帐户安全性。帐户安全性的一个方面涉及重置保护帐户的密码。通常，不保留与密码改变相关联的条件有关的信息。因此，如果不法行为者能够使密码重置，则该不法行为者能够使用新密码来登录帐户并损害该帐户。此外，很少或没有证据可用于识别不法行为者。本文的概念收集并存储与请求密码重置的用户有关的信息。当使用新密码来访问帐户时可以评估该信息以确定用户是合法的还是不法的，并且可以采取适当的动作来保护帐户。
图1A和图1B共同示出了与***100相关的示例性帐户保护场景。该***包括帐户102(例如，用户帐户)。该帐户由基于云的资源或云资源104维护，该基于云的资源或云资源104可以包括多个服务器或服务器设备106。该帐户可以受到各种安全性措施的保护，例如需要密码来访问该帐户。本地或客户端设备108可以经由网络110(由闪电表示)与基于云的资源104通信。用户112可以使用客户端设备108来访问帐户102。
出于解释的目的，假设在实例一，用户112想要访问帐户并请求帐户密码重置114。基于云的资源104可以收集与用户112有关的信息作为密码重置过程的一部分。例如，基于云的资源可以请求与用户相关联的信息(例如，请求用户信息116)。此类信息中的一些信息可以从客户端设备获得，例如客户端设备的序列号、客户端设备的互联网协议(IP)地址和/或日期/时间、以及其它信息。此类信息中的一些信息可以直接从用户获得。例如，用户可能在密码重置过程期间提供(或被请求提供)个人标识号(PIN)。此外，用户可以建立(或被请求建立)客户端设备与他/她拥有的另一设备之间的通信。例如，用户可能具有他/她拥有的可认证设备118。可认证设备的示例可以是防篡改设备，该防篡改设备存储加密信息，例如与公钥基础设施(PKI)相关联的私钥和公钥(例如，公钥/私钥对)。可认证设备118可以增加用户信息的可信度。例如，PKI可以用于在从客户端设备获得的用户信息上创建数字签名。
在实例二，基于云的资源104可以在120处收集用户信息并存储该用户信息，例如存储在数据库(DB)122中。基于云的资源可以重置密码并以预先定义的方式向用户112发送新密码124，例如通过将新密码发送到与账户102相关联的电子邮件地址(例如，在账户设置时定义的账户联系人)。
图1B涉及使用新密码来登录帐户102。在实例三，基于云的资源104接收到具有新密码的登录请求126。在该情况下，从与图1A中相同的客户端设备108接收登录请求，但是可以使用不同的客户端设备。在128处，基于云的资源的服务器设备106可以评估与获得新用户密码相关联的所存储用户信息。在评估中可以采用各种技术。例如，简单评估可以确定用户信息的每个字段是否具有值(例如，不为空)。例如，如果IP地址为空，则可能指示密码是用不法方式获得的。例如，可能通过入侵基于云的资源获得了密码重置，以使得生成密码重置而无需存储相关联的用户信息。
在一些实现方式中，评估可以产生所存储的用户信息的置信水平。例如，如果所有用户信息都存在且可信，则置信水平可能相对较高。替代地，可能缺少一些信息，或者信息的信任度(例如，置信水平)可能较低。换句话说，置信水平与密码的“可疑性”成反比(例如，高置信度等于较不可疑，而低置信度等于较可疑)。***可以采取与评估相称的动作。在实例4到6中示出了示例。
在实例四，所存储用户信息的置信度相对较高，并且在130处，使用新密码完成对帐户102的登录。换句话说，在该情况下，“用户”很可能是“真实用户”。
在实例五，置信水平不如实例四那么高。在该情况下，如在实例四中那样完成登录，但在132处，还向与账户102相关联的联系人发送警告通知。例如，该警告通知可以是发送到最初设置帐户时提供的电子邮件地址的电子邮件消息。电子邮件消息可以包括一些或所有用户信息。
在实例六，置信水平低于实例四和实例五。换句话说，在该情况下，“用户”很可能是“不法用户”或“不法行为者”。在该情况下，登录未完成，并且替代地在134处，暂时使帐户102不活动以保护帐户。
从一个角度来看，图1A和图1B描述了可以保存与密码改变相关联的信息的实现方式。该信息可以提供细节，例如谁、何时和/或何地接收到密码重置请求。该信息可以用于保护账户102和/或基于云的资源104免受不法利用。还要注意，即使评估不正确(例如，不法行为者未被识别或真实用户被错误描述)，也存储与密码重置有关的信息记录并且可以稍后查看。
图2示出了密码重置安全性方法200。在该情况下，该方法由客户端设备108以及第一和第二服务202和204完成。从下面的说明中，第一服务可以被视为密码重置服务，并且第二服务可以被视为密码过滤服务。服务可以由图1A和图1B的基于云的资源104提供。出于解释的目的，以特定顺序来解释该方法，但在其它方法实现方式中可以重新安排顺序和/或元素。
在该示例中，方法200开始于206处，此时用户访问帐户门户并使用客户端设备108请求密码重置。在208处，可以请求用户信息。在该情况下，用户信息包括个人访问号(PIN)和智能卡(或具有防篡改公钥/私钥密钥对的其它安全可认证设备)。在210处，用户提供PIN和智能卡。例如，用户可以在小键盘或键盘上输入PIN并将智能卡放置在读卡器附近。客户端设备可以收集另外的用户信息，例如其自己的IP地址、序列号、日期、时间等等。在212处，客户端设备可以利用PKI来加密用户信息。该加密可以增强用户信息的安全性和可靠性(例如，有助于确保用户信息是准确和可信的)。可以替代地或另外地采用有助于确保用户信息的准确性的其它技术。在214处，客户端设备可以将加密的用户信息和密码重置请求发送到第一服务202。在该示例中，第一服务可以是管理帐户102的应用。例如，该应用可以管理由基于云的资源(104，图1)提供的数据中心的帐户。
在216处，第一服务202可以验证用户信息。例如，第一服务可以通过进行证书链构建来验证用户的智能卡证书是否有效和可信。第一服务还可以利用用户的智能卡证书来加密服务票据，以确保用户具有正确的智能卡和PIN。第一服务还可以收集与用户有关的另外信息。该另外信息可以有助于确定谁(用户)、何时(日期)、何处(第一服务名称和/或用户客户端设备名称)等等。该另外信息可以补充从客户端设备108获得的信息和/或对来自客户端设备的信息是冗余的。在218处，第一服务可以认证用户信息。例如，第一服务可以执行密码散列并利用其自己的证书(例如，利用与第一服务相关联的证书)对信息进行签名。在220处，第一服务可以保存信息。如上面提到的，数据库(例如图1的数据库122)可以用于存储信息。在一个示例中，数据库可以显示为存储在由微软公司提供的活动目录(ActiveDirectory)数据库中的用户帐户活动目录对象。除了该示例之外，还可以使用其它数据库解决方案。
在222处，第一服务202可以改变密码。在224处，第一服务可以将新密码发送到用户(例如，发送到客户端设备108)。
在226处，用户可以访问帐户门户以利用新密码来登录帐户。
第二服务204可以在228处接收具有新密码的登录请求。在230处，第二服务可以取回与新密码相关联的所存储签名用户信息(例如，在220处存储的)。在232处，第二服务可以评估所存储的经签名用户信息。上面相对于图1B描述了可以在评估中应用的各种技术。在一些情况下，可以针对用户信息建立置信水平。
在234处，第二服务204可以以在设置帐户时确立的方式来发送与密码重置有关的通知。例如，用户在帐户设置时可能已经选择并定义了联系人电子邮件地址。可以将通知发送到该电子邮件地址。通知可以包括与密码重置请求有关的信息，例如谁/何时/何处信息(例如，与用户和/或智能卡有关的信息、客户端设备标识信息、客户端设备IP地址、日期/时间、第一服务标识信息、基于云的资源标识信息等等)。如果尝试登录的用户不是“真实”用户，则真实用户在收到通知时具有与该用户有关的信息记录，并且现在可以采取动作以保护帐户。
在236处，第二服务204可以将用户信息的置信水平与阈值进行比较。例如，如果用户信息中的任何字段为空，则置信水平可能不满足阈值。例如，如果客户端设备108的IP地址缺失(例如，空)，则置信水平可以低于阈值。在另一示例中，如果任何信息与预期值不匹配，则置信水平可以低于阈值。例如，如果智能卡PKI信息与来自可信签发实体的信息不匹配，则置信水平可以低于阈值。替代地，如果第一服务202的签名和/或证书与预期值不匹配，则置信水平可能不满足阈值。换句话说，如果帐户密码改变信息不存在和/或未正确签名，则这可能指示密码改变操作不是由可信第一服务和/或可信用户执行的，而是帐户密码由另一工具或某些可疑的人为操作改变。
在用户信息的置信水平满足阈值的实例中(例如，在236处为是)，第二服务204可以在238处完成用户的登录过程。在用户信息的置信水平不满足阈值的替代实例中(例如，在236处为否)，第二服务可以采取动作以在240处保护账户免受不法行为者。例如，该动作可能需要使帐户不活动和/或限制可以对帐户执行的动作。
在所示出的配置中，第二服务204可以与第一服务202分离并且不同，以使得第二服务可以评估在客户端侧和第一服务侧两者的动作。例如，如果不法行为者违反了第一服务并执行了密码重置，则第二服务可以检测到不一致并确定第一服务未以可信方式起作用。
从一个角度来看，一些实现方式可以提供与谁/何时/何处(3W)改变帐户密码有关的可信信息。利用该3W信息，可以增强基于云的资源104和/或账户安全性。可以利用证书对3W信息进行签名并进行验证以防止篡改。密码证明信息可以包含用户的智能卡证书信息和服务器信息(服务器设备106标识信息和/或虚拟机信息)。密码证明信息也可以利用服务器证书来进行签名。该信息可以用于跟踪谁/何时/何处做出了具有防篡改的改变。先前的解决方案不能检测到操作是由特定用户和/或服务完成的、和/或这些先前的解决方案不能防止信息篡改。
图3示出了与本文概念的至少一些实现方式一致的密码安全性技术或方法300的流程图。
在框302处，该方法可以接收针对属于用户(例如，真实用户)的基于云的用户帐户的密码重置请求。
在框304处，该方法可以获得与密码重置请求相关联的用户信息。在一种情况下，可以利用密码重置请求来获得用户信息。在另一种情况下，可以在接收到密码重置请求时请求用户信息。用户信息可以包括各种字段，例如请求密码重置的日期和时间的日期和时间字段。其它信息字段可以涉及可认证设备、在其上生成密码重置请求的计算设备的序列号、计算设备的互联网协议(IP)地址、与密码重置请求一起输入的个人标识号、和/或与密码重置请求一起输入的用户名。可以采用各种可认证设备。可认证设备可以具有保护公钥/私钥对的防篡改硬件组件。示例性的可认证设备可以包括智能卡和加密的USB加密狗(dongle)等等。可以获得利用客户端设备处的公钥来加密的用户信息。
在框306处，该方法可以认证用户信息。例如，用户信息可以利用数字签名进行认证。在接收到用户信息时该用户信息已经加密的实例中，可以通过将公钥与签发公钥/私钥对的可信签发实体的预期值进行比较来认证该用户信息。
在框308处，该方法可以生成用于基于云的用户帐户的新密码。
在框310处，该方法可以向用户发送新密码。
在框312处，该方法可以将经认证的用户信息存储在数据库中。
图4示出了与本文概念的至少一些实现方式一致的密码安全性技术或方法400的流程图。
在框402处，该方法可以接收基于云的用户帐户的登录请求和密码。
在框404处，该方法可以取回与密码相关联的所存储的经认证用户信息。
在框406处，该方法可以将登录请求的通知发送到与基于云的用户帐户相关联的联系地址。通知可以包含至少一些所存储的经认证用户信息。
在一些实现方式中，可以在每次接收到登录请求时执行取回和发送。在其它实现方式中，仅当接收到登录请求并且密码是新的(例如，在重置之后初始使用新密码)时执行取回和发送。
一些实现方式还可以评估所存储的经认证用户信息。例如，评估可能需要向所存储的经认证用户信息分配置信水平。置信水平可以反映所存储的经认证用户信息的字段的完整性和/或所存储的经认证用户信息的值的可信度。
描述上文提到的方法的顺序并非旨在被解释为限制，并且可以用任何顺序来组合所描述框的任何数量以实现该方法或替代方法。此外，方法可以在任何合适的硬件、软件、固件或其组合中实现，以使得计算设备可以实现该方法。在一种情况下，方法作为一组指令存储在计算机可读存储介质上，以使得计算设备的执行使得该计算设备执行该方法。
图5示出了与图1A和图1B的***100类似的***100(1)。***100(1)包括具有台式计算机形式的客户端设备108和具有移动设备形式的客户端设备108(1)，例如平板设备或智能电话。客户端设备108和服务器设备106可以采用各种设备配置，其中两种配置被示为设备配置510(1)和510(2)。各个服务器设备106和/或客户端设备108可以采用配置510(1)或510(2)中的任一个，或者替代配置。(由于绘图页面上的空间限制，示出了每个配置的一个实例，而未示出相对于每个设备的设备配置)。简而言之，设备配置510(1)表示以操作***(OS)为中心的配置。配置510(2)表示片上***(SOC)配置。配置510(1)被组织成一个或多个应用512、操作***514和/或硬件516。配置510(2)被组织成共享资源518、专用资源520以及两者之间的接口522。
在任一配置510中，服务器设备106和/或客户端设备108可以包括存储装置/存储器524、处理器526、电池(或其它电源)528、通信组件530、密码重置组件532和/或密码过滤组件534。在客户端设备108或108(1)上，密码重置组件可以提供图形用户界面(GUI)以使用户输入其PIN并请求密码重置。它还可以收集用户信息并与用户的智能卡交互(例如，读取智能卡和/或利用智能卡的PKI来加密用户信息)。在服务器设备106上，密码重置组件532可以提供图2的第一服务202，并且密码过滤组件534可以提供图2的第二服务204。
如本文所使用的术语“设备”、“计算机”或“计算设备”可以表示具有一定量的处理能力和/或存储能力的任何类型的设备。处理能力可以由一个或多个处理器提供，这些处理器可以执行具有计算机可读指令形式的数据以提供功能。数据(例如计算机可读指令和/或用户相关数据)可以存储在存储装置上，例如可以在设备内部或外部的存储装置。存储装置可以包括以下各项中的任何一项或多项：易失性或非易失性存储器、硬盘驱动器、闪存设备和/或光学存储设备(例如，CD、DVD等等)、远程存储装置(例如，基于云的存储装置)等等。如本文所使用的，术语“计算机可读介质”可以包括信号。相比之下，术语“计算机可读存储介质”排除信号。计算机可读存储介质包括“计算机可读存储设备”。计算机可读存储设备的示例包括易失性存储介质(例如RAM)和非易失性存储介质(例如硬盘驱动器、光盘和闪存等等)。
如上面提到的，配置510(2)可以被认为是片上***(SOC)类型设计。在这种情况下，由服务器设备106和/或客户端设备108提供的功能可以集成在单个SOC或多个耦合的SOC上。一个或多个处理器526可以被配置为：与共享资源518(例如存储装置/存储器524等等)和/或一个或多个专用资源520(例如被配置为执行某种特定功能的硬件块)协调。因此，如本文使用的术语“处理器”还可以指中央处理单元(CPU)、图形处理单元(GPU)、控制器、微控制器、处理器核或其它类型的处理设备。
通常，本文所描述的任何功能可以使用软件、固件、硬件(例如，固定逻辑电路)或这些实现方式的组合来实现。如本文使用的术语“组件”通常表示软件、固件、硬件、整个设备或网络、或其组合。例如，在软件实现方式的情况下，这些可以表示当在处理器(例如，CPU或CPU)上执行时执行指定任务的程序代码。程序代码可以存储在一个或多个计算机可读存储器设备中，例如计算机可读存储介质(例如，存储装置524)。组件的特征和技术是独立于平台的，这意味着这些特征和技术可以在具有各种处理配置的各种商业计算平台上实现。
上面描述了各种示例。下面描述另外的示例。一个示例包括一种其上存储有指令的计算机可读存储介质，所述指令在由计算设备执行时使得所述计算设备执行包括以下各项的动作：接收针对属于用户的基于云的用户账户的密码重置请求，以及获得与所述密码重置请求相关联的用户信息。所述计算设备还认证所述用户信息，生成用于所述基于云的用户账户的新密码，向所述用户发送所述新密码，以及将所述经认证的用户信息存储在数据库中。
另一示例可以包括上文和/或下文示例中的任何示例，其中所述获得包括：利用所述密码重置请求来获得所述用户信息。
另一示例可以包括上文和/或下文示例中的任何示例，其中所述获得包括：在接收到所述密码重置请求时请求所述用户信息。
另一示例可以包括上文和/或下文示例中的任何示例，其中所述获得包括获得包含以下各项的用户信息：所述密码重置请求的日期和时间、来自可认证设备的信息、在其上生成所述密码重置请求的计算设备的序列号、所述计算设备的互联网协议(IP)地址、与所述密码重置请求一起输入的个人标识号和/或与所述密码重置请求一起输入的用户名。
另一示例可以包括上文和/或下文示例中的任何示例，其中所述可认证设备包括智能卡，所述智能卡包括包含公钥/私钥对的防篡改硬件组件。
另一示例可以包括上文和/或下文示例中的任何示例，其中所述获得包括：获得利用所述公钥来加密的所述用户信息。
另一示例可以包括上文和/或下文示例中的任何示例，其中所述计算机可读存储介质还包括：通过将所述公钥与来自签发所述公钥-私钥对的可信签发实体的预期值进行比较来验证所获得的用户信息。
另一示例可以包括上文和/或下文示例中的任何示例，其中所述计算机可读存储介质还包括：通过将所述公钥与来自签发所述公钥/私钥对的可信签发实体的预期值进行比较来验证所获得的用户信息。
另一示例可以包括上文和/或下文示例中的任何示例，其中所述认证包括：利用数字签名来认证所获得的用户信息。
另一示例可以包括上文和/或下文示例中的任何示例，其中在接收到利用所述新密码来登录所述账户的请求时，所述示例评估所存储的经认证用户信息，并基于所述评估来采取与所述账户相关的动作。
另一示例可以包括一种方法，包括：接收针对基于云的用户帐户的登录请求和密码，取回与所述密码相关联的所存储的经认证用户信息，以及向与所述基于云的用户账户相关联的联系地址发送对所述登录请求的通知，所述通知包含所存储的经认证用户信息中的至少一些用户信息。
另一示例可以包括上文和/或下文示例中的任何示例，其中所述取回和发送是在每次接收到所述登录请求时执行的。
另一示例可以包括上文和/或下文示例中的任何示例，其中所述取回和发送仅在接收到所述登录请求并且所述密码是新的时才执行。
另一示例可以包括上文和/或下文示例中的任何示例，其中所述方法还包括：评估所存储的经认证用户信息。
另一示例可以包括上文和/或下文示例中的任何示例，其中所述评估包括：向所存储的经认证用户信息分配置信水平。
另一示例可以包括上文和/或下文示例中的任何示例，其中所述置信水平反映所存储的经认证用户信息的字段的完整性和/或所存储的经认证用户信息的值的可信度。
另一示例可以包括上文和/或下文示例中的任何示例，其中所述方法由密码过滤服务执行。
另一示例可以包括一种***，所述***包括存储计算机可读指令的存储装置，以及读取所述计算机可读指令以执行动作的处理器。所述动作包括：接收针对账户的登录请求以及用于所述账户的密码，访问与获得用于所述账户的密码相关联的所存储用户信息，以及向与所述账户相关联的预先定义的联系人发送包括所述用户信息中的至少一些用户信息的通知。所述动作还包括：评估与获得用于所述账户的密码相关联的所存储用户信息，并且当所述用户信息表现为可疑时保护所述用户账户，否则完成所述登录。
另一示例可以包括上文和/或下文示例中的任何示例，其中所述处理器执行密码过滤器，所述密码过滤器执行所述方法/动作。
另一示例可以包括上文和/或下文示例中的任何示例，其中当所述用户信息的字段缺失时，所述用户信息表现为可疑。
另一示例可以包括上文和/或下文示例中的任何示例，其中当所述用户信息未被签名时，所述用户信息表现为可疑。
另一示例可以包括上文和/或下文示例中的任何示例，其中当所述用户信息上的签名与预期签名不匹配时，所述用户信息表现为可疑。
另一示例可以包括上文和/或下文示例中的任何示例，其中，与用于所述账户的密码相关的所存储用户信息包括与谁请求密码重置、从什么计算机请求所述密码重置、和/或何时请求所述密码重置相关的信息。
虽然以特定于结构特征和/或方法动作的语言描述了与密码安全性有关的各技术、方法、设备、***等等，但要理解，所附权利要求中定义的主题内容并不一定限于所描述的特定特征或动作。相反，特定特征和动作被公开为实现所要求保护的方法、设备、***等等的示例性形式。

Claims (15)

1.一种***，包括：
处理器；以及
存储计算机可读指令的存储装置，所述计算机可读指令当由所述处理器执行时使得所述处理器执行动作，所述动作包括：
在已经针对账户执行先前密码重置过程之后，接收针对所述账户的登录请求以及用于所述账户的密码；
访问作为所述先前密码重置过程的一部分而接收到的针对所述账户的所存储用户信息，所存储用户信息包括除了所述密码之外以及除了针对所述账户的用户名之外的信息中的至少一项；
向与所述账户相关联的预先定义的联系人发送包括作为所述先前密码重置过程的一部分而接收到的所存储用户信息中的至少一些用户信息的通知；
执行对作为所述先前密码重置过程的一部分而接收到的所存储用户信息的评估；以及
至少基于对作为所述先前密码重置过程的一部分而接收到的所存储用户信息的所述评估，来保护所述账户或者完成所述登录请求。
2.根据权利要求1所述的***，其中，所述处理器执行密码过滤器，所述密码过滤器执行所述动作。
3.根据权利要求1所述的***，其中，当所存储用户信息的字段缺失时，所存储用户信息表现为可疑。
4.根据权利要求3所述的***，其中，当所存储用户信息未被签名时，所存储用户信息表现为可疑。
5.根据权利要求3所述的***，其中，当所存储用户信息上的签名与预期签名不匹配时，所存储用户信息表现为可疑。
6.根据权利要求3所述的***，其中，与用于所述账户的所述密码相关的所存储用户信息包括与谁请求密码重置、从什么计算机请求所述密码重置、以及何时请求所述密码重置相关的信息。
7.根据权利要求1所述的***，其中，当所存储用户信息的置信度不满足阈值时，所存储用户信息表现为可疑。
8.一种其上存储有指令的计算机可读存储介质，所述指令在由计算设备执行时使得所述计算设备执行动作，所述动作包括：
接收针对与用户相关联的基于云的用户账户的密码重置请求；
获得与所述密码重置请求相关联的用户信息；
认证与所述密码重置请求相关联的所述用户信息；
生成用于所述基于云的用户账户的新密码；
向所述用户发送所述新密码；
将与所述密码重置请求相关联的经认证的用户信息存储在数据库中，与所述密码重置请求相关联的所述经认证的用户信息包括除了所述新密码之外以及除了与所述密码重置请求一起接收到的用户名之外的信息中的至少一项；
接收关于利用所述新密码登录到所述基于云的用户账户的后续登录请求；以及
响应于关于利用所述新密码进行登录的所述后续登录请求：
评估与所述密码重置请求相关联的所述经认证的用户信息；以及
至少基于所述评估，完成到所述基于云的用户账户的所述登录和/或采取至少一个动作以保护所述基于云的用户账户。
9.根据权利要求8所述的计算机可读存储介质，其中，所述获得包括：利用所述密码重置请求来获得所述用户信息。
10.根据权利要求8所述的计算机可读存储介质，其中，所述获得包括：在接收到所述密码重置请求时请求所述用户信息。
11.根据权利要求8所述的计算机可读存储介质，其中，所述获得包括获得包含以下各项的用户信息：所述密码重置请求的日期和时间、来自能够认证的设备的信息、在其上生成所述密码重置请求的计算设备的序列号、所述计算设备的互联网协议(IP)地址、与所述密码重置请求一起输入的个人标识号和/或与所述密码重置请求一起输入的用户名。
12.根据权利要求11所述的计算机可读存储介质，其中，所述能够认证的设备包括智能卡，所述智能卡包括包含公钥/私钥对的防篡改硬件组件。
13.根据权利要求12所述的计算机可读存储介质，其中，所述获得包括：获得利用所述公钥/私钥对中的所述公钥来加密的所述用户信息。
14.根据权利要求13所述的计算机可读存储介质，还包括：通过将所述公钥与来自签发所述公钥/私钥对的可信签发实体的预期值进行比较来验证所获得的用户信息。
15.根据权利要求8所述的计算机可读存储介质，其中，所述认证包括：利用数字签名来认证所获得的用户信息。
CN201880010911.9A 2017-02-09 2018-02-02 密码安全性 Active CN110268406B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US15/428,848 2017-02-09
US15/428,848 US10404689B2 (en) 2017-02-09 2017-02-09 Password security
PCT/US2018/016534 WO2018148103A1 (en) 2017-02-09 2018-02-02 Password security

Publications (2)

Publication Number Publication Date
CN110268406A CN110268406A (zh) 2019-09-20
CN110268406B true CN110268406B (zh) 2023-06-16

Family

ID=61244715

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201880010911.9A Active CN110268406B (zh) 2017-02-09 2018-02-02 密码安全性

Country Status (4)

Country Link
US (2) US10404689B2 (zh)
EP (1) EP3552131B1 (zh)
CN (1) CN110268406B (zh)
WO (1) WO2018148103A1 (zh)

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11544356B2 (en) * 2017-06-19 2023-01-03 Citrix Systems, Inc. Systems and methods for dynamic flexible authentication in a cloud service
US11023573B2 (en) * 2018-04-20 2021-06-01 Microsoft Technology Licensing, Llc Password reset for multi-domain environment
US10956558B2 (en) 2018-10-31 2021-03-23 Microsoft Technology Licensing, Llc Methods for increasing authentication security
CN112165473B (zh) * 2020-09-22 2022-08-16 杭州安恒信息技术股份有限公司 一种任意账号密码重置逻辑漏洞的检测方法、装置及介质
US20220385481A1 (en) * 2021-06-01 2022-12-01 International Business Machines Corporation Certificate-based multi-factor authentication
CN117940919A (zh) * 2021-09-20 2024-04-26 维萨国际服务协会 数字身份平台的自适应恢复
CN116611048A (zh) * 2023-07-13 2023-08-18 深圳奥联信息安全技术有限公司 一种密码验证***和密码验证方法

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102799820A (zh) * 2012-07-05 2012-11-28 沈群华 一种用户密码的恢复方法
WO2015027852A1 (en) * 2013-08-30 2015-03-05 Tencent Technology (Shenzhen) Company Limited Method and apparatus for resetting a user-login password for a virtual machine
CN104618314A (zh) * 2013-12-24 2015-05-13 腾讯科技（深圳）有限公司 一种密码重置方法、装置和***
CN104881599A (zh) * 2014-02-28 2015-09-02 Sap欧洲公司 用于移动应用的密码恢复
CN105530246A (zh) * 2015-12-04 2016-04-27 华为技术有限公司 虚拟机管理的方法、装置和***
CN105678158A (zh) * 2016-01-21 2016-06-15 邵军利 电子设备控制权限的管理方法及***
CN105809005A (zh) * 2016-03-29 2016-07-27 四川效率源信息安全技术股份有限公司 一种基于指纹锁定/解锁电脑屏幕的方法
CN106302335A (zh) * 2015-05-22 2017-01-04 杭州海康威视数字技术股份有限公司 网络监控设备及重置其密码的方法、装置和***、服务器

Family Cites Families (30)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7085931B1 (en) 1999-09-03 2006-08-01 Secure Computing Corporation Virtual smart card system and method
JP4969745B2 (ja) 2001-09-17 2012-07-04 株式会社東芝 公開鍵基盤システム
US7249261B2 (en) 2001-10-16 2007-07-24 Activcard Ireland Limited Method for securely supporting password change
US6938167B2 (en) 2002-12-18 2005-08-30 America Online, Inc. Using trusted communication channel to combat user name/password theft
GB2402234A (en) 2003-04-29 2004-12-01 Little Cat Z Ltd Authorising a user who has forgotten their computer password
US8087068B1 (en) 2005-03-08 2011-12-27 Google Inc. Verifying access to a network account over multiple user communication portals based on security criteria
BRPI0615559A2 (pt) 2005-07-20 2017-09-12 Verimatrix Inc sistema e método de autenticação de usúario de rede
US20070130473A1 (en) 2005-12-02 2007-06-07 Mazotas James S System and method for access control
US8099765B2 (en) * 2006-06-07 2012-01-17 Red Hat, Inc. Methods and systems for remote password reset using an authentication credential managed by a third party
US20080040613A1 (en) 2006-08-14 2008-02-14 David Carroll Challener Apparatus, system, and method for secure password reset
US10055595B2 (en) 2007-08-30 2018-08-21 Baimmt, Llc Secure credentials control method
US20090313045A1 (en) * 2008-06-11 2009-12-17 Boyce Mark D System and Method for Medical Research and Clinical Trial
US8613064B1 (en) 2008-09-30 2013-12-17 Symantec Corporation Method and apparatus for providing a secure authentication process
AU2011245059A1 (en) 2010-04-30 2012-11-08 Kl Data Security Pty Ltd Method and system for enabling computer access
US20120084844A1 (en) * 2010-09-30 2012-04-05 Jeremy Ray Brown Federation credential reset
US8904506B1 (en) * 2011-11-23 2014-12-02 Amazon Technologies, Inc. Dynamic account throttling
US20140237627A1 (en) 2013-02-19 2014-08-21 Marble Security Protecting data in a mobile environment
EP2974123B1 (en) 2013-03-13 2019-09-25 Intel Corporation Systems and methods for account recovery using a platform attestation credential
US9386011B2 (en) 2013-08-29 2016-07-05 Aol Inc. Systems and methods for managing resetting of user online identities or accounts
CN109617933B (zh) 2013-09-20 2021-09-17 甲骨文国际公司 利用表单填充代理应用的基于网络的单点登录
US20150242812A1 (en) * 2014-02-26 2015-08-27 William Bert Nelson Device and system for implementing advance directives
US9838424B2 (en) 2014-03-20 2017-12-05 Microsoft Technology Licensing, Llc Techniques to provide network security through just-in-time provisioned accounts
DE102014206325A1 (de) * 2014-04-02 2015-10-08 Bundesdruckerei Gmbh Verteiltes Authentifizierungssystem
US10230736B2 (en) * 2015-01-21 2019-03-12 Onion ID Inc. Invisible password reset protocol
US20180240107A1 (en) * 2015-03-27 2018-08-23 Black Gold Coin, Inc. Systems and methods for personal identification and verification
CN104821941B (zh) 2015-04-21 2017-12-05 南京邮电大学 智能卡口令认证及修改密码方法
GB2538774A (en) * 2015-05-28 2016-11-30 Vodafone Ip Licensing Ltd Setting a password on a device
US10025914B1 (en) * 2015-10-12 2018-07-17 Wells Fargo Bank, N.A. Authentication using third-party data
US9514294B1 (en) * 2015-11-12 2016-12-06 International Business Machines Corporation Accessing a computing resource
US10826875B1 (en) * 2016-07-22 2020-11-03 Servicenow, Inc. System and method for securely communicating requests

Patent Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102799820A (zh) * 2012-07-05 2012-11-28 沈群华 一种用户密码的恢复方法
WO2015027852A1 (en) * 2013-08-30 2015-03-05 Tencent Technology (Shenzhen) Company Limited Method and apparatus for resetting a user-login password for a virtual machine
CN104424431A (zh) * 2013-08-30 2015-03-18 腾讯科技（深圳）有限公司 一种重置虚拟机用户登陆密码的方法及装置
CN104618314A (zh) * 2013-12-24 2015-05-13 腾讯科技（深圳）有限公司 一种密码重置方法、装置和***
CN104881599A (zh) * 2014-02-28 2015-09-02 Sap欧洲公司 用于移动应用的密码恢复
CN106302335A (zh) * 2015-05-22 2017-01-04 杭州海康威视数字技术股份有限公司 网络监控设备及重置其密码的方法、装置和***、服务器
CN105530246A (zh) * 2015-12-04 2016-04-27 华为技术有限公司 虚拟机管理的方法、装置和***
CN105678158A (zh) * 2016-01-21 2016-06-15 邵军利 电子设备控制权限的管理方法及***
CN105809005A (zh) * 2016-03-29 2016-07-27 四川效率源信息安全技术股份有限公司 一种基于指纹锁定/解锁电脑屏幕的方法

Also Published As

Publication number Publication date
US11418499B2 (en) 2022-08-16
US20190342278A1 (en) 2019-11-07
US20180227288A1 (en) 2018-08-09
WO2018148103A1 (en) 2018-08-16
CN110268406A (zh) 2019-09-20
EP3552131A1 (en) 2019-10-16
EP3552131B1 (en) 2021-06-02
US10404689B2 (en) 2019-09-03

Similar Documents

Publication Publication Date Title
CN110268406B (zh) 密码安全性
EP3061027B1 (en) Verifying the security of a remote server
JP6215934B2 (ja) ログイン検証の方法、クライアント、サーバ、およびシステム
CN102930199B (zh) 多承租人订阅环境中的安全机器登记
CN107077546B (zh) 用于更新持有因素凭据的***和方法
US10887307B1 (en) Systems and methods for identifying users
US20230034169A1 (en) Non-fungible token authentication
US10432622B2 (en) Securing biometric data through template distribution
EP3887981B1 (en) Verifying user interactions on a content platform
US10148631B1 (en) Systems and methods for preventing session hijacking
CN113841145A (zh) 抑制集成、隔离应用中的勒索软件
US20180176206A1 (en) Dynamic Data Protection System
US9888035B2 (en) Systems and methods for detecting man-in-the-middle attacks
EP3937040B1 (en) Systems and methods for securing login access
US10033732B1 (en) Systems and methods for detecting cloning of security tokens
US20180176197A1 (en) Dynamic Data Protection System
CN111769956B (zh) 业务处理方法、装置、设备及介质
CN115225350B (zh) 基于国密证书的政务云加密登录验证方法及存储介质
US11671422B1 (en) Systems and methods for securing authentication procedures
US11438378B1 (en) Systems and methods for protecting against password attacks by concealing the use of honeywords in password files
CN109923525B (zh) 用于执行安全备份操作的***和方法
CN111292082A (zh) 一种块链式账本中的公钥管理方法、装置及设备
US10797870B1 (en) Systems and methods for generating passwords
Matte et al. A new framework for cloud computing security using secret sharing algorithm over single to multi-clouds
WO2024063903A1 (en) Verifiable attribute maps

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant