CN1973518A - 在***漏个人信息的情况下的不可靠网关的验证 - Google Patents

Abstract

一种在不向服务器提供敏感用户信息的情况下，提供使用所述服务器的用户授权的***和方法。在用户接口和远程验证服务器之间建立安全的授权链路。该授权链路通过本地服务器，但对于所述本地服务器是不可读的。用户授权数据经由所述授权链路而从用户接口发送到授权服务器。然后，授权服务器经由该授权链路将重定向确认消息返回给用户接口。基于重定向确认消息中包含的数据，在用户接口和本地服务器之间建立本地链路。利用用户接口web浏览器来执行在用户接口、本地服务器和授权服务器之间的所有通信。因此，不需在用户接口上装载用于建立上述链路和进行上述通信的专门软件，就可以实现对使用由本地服务器控制的服务的授权。

Description

在***漏个人信息的情况下的不可靠网关的验证

技术领域

本***总的涉及对于连接局域网(LAN)的用户授权。具体地说，本***涉及一种用于授权用户访问由LAN服务器控制的服务而不需要向所述LAN服务器提供保密的用户信息的***和方法。

背景技术

在当今世界高技术的、无所不在的信息访问和可用通信中，局域网和广域网(LAN和WAN)普遍存在。例如，诸如飞机、巡航舰、火车、公共汽车以及其它移动交通工具之类的移动平台经常为乘客提供连接到装载于移动平台上的LAN的功能。这种移动平台上的LAN通常向乘客提供许多期望的服务(如无线连接到因特网和/或基于LAN或WAN的远程站点)。通常，对于使用这些服务的乘客来说，需要所述乘客提供敏感的保密信息，诸如乘客的名字、***信息、出生日期、家庭住址和电话号码之类。然后，这些保密信息一般存储于LAN的存储器中，用于授权该乘客经由车载LAN使用可用服务，或者如果先前已授权，则用于验证乘客的授权。

然而，车载服务器经常是不安全的。换句话说，当未处于使用中时，车载服务器没有受到保护以避免未授权和不期望的物理和/或电子访问。例如，移动平台的LAN设备(诸如服务器和存储设备之类)经常被搬离移动平台，并且被置于低安全性设施中的维护机架以保存。因此，存储于LAN存储器中的保密的乘客信息潜在地容易受到未授权和不期望的访问的攻击(如黑客入侵)。而且，这种LAN在LAN处于使用过程时经常容易受到攻击。因此，即使这样的用户信息仅仅被临时提供并且不被存储到LAN中，所述保密的用户信息也潜在地容易受到攻击。

另外，许多知名LAN***要求在用户设备(例如膝上型电脑)上安装专门软件以便用户获得授权/验证以及访问期望的由LAN控制的服务。所以，用户必须连接到LAN，下载所述专门的软件程序，然后完成授权/验证过程。这对于用户和LAN提供者而言是很不方便和不受欢迎的。

因此，非常期望提供不向LAN中的任何设备泄漏用户的个人信息的授权/验证的实施方式。进一步非常期望提供不需要在用户设备中安装专门的授权软件的方法。

发明内容

在一种实现中，提供一种授权对服务器的使用而不需要向所述服务器提供敏感用户信息的方法。所述方法包括：在用户接口和远程授权服务器之间建立安全的授权链接，所述授权链接经过本地服务器，但其对于本地服务器来说是不可读的。所述方法还包括：经由所述授权链接，从所述用户接口向所述授权服务器发送用户授权数据。所述授权服务器然后经由所述授权链接，向所述用户接口返回重定向确认消息。所述方法还包括：根据在所述重定向确认消息中包含的数据，在所述用户接口和所述本地服务器之间建立本地链接。所述授权链接和本地链接通过利用用户接口中的web浏览器来建立。另外，在所述用户接口、所述本地服务器和所述授权服务器之间的所有通信通过利所述用户接口的web浏览器来执行。因此，不需在所述用户接口上安装专门软件来建立这样的链接和执行这样的通信，即可实现对使用由本地服务器控制的服务的授权。

在另一优选方式中，提供一种通信***。所述通信***包括用于连接用户接口到局域网(LAN)的连接端口。所述LAN包括本地服务器，其具有处理器和其上存储本地服务器(LS)软件的存储设备。所述***还包括远离所述本地服务器、能通过因特网与本地服务器进行通信的授权服务器。当所述用户接口连接到所述通信端口时，本地处理器执行LS软件，以从本地服务器向用户接口发送注册通知。所述用户接口通常使用合适的通信电缆或无线连接来连接所述通信端口。用户利用所述注册通知来请求访问由本地服务器控制的服务。响应于所述用户请求，本地处理器执行LS软件，以在所述用户接口和所述授权服务器之间建立安全的授权链接。所述授权链接通过利用用户接口上的web浏览器来建立，不需在所述用户接口上安装专门软件。所述授权链接经过本地服务器，但其对于本地服务器来说是不可读的。本地处理器还执行LS软件，以验证由所述授权服务器发送的、包含授权数据的重定向确认消息。利用所述授权服务器的公共密钥来验证所述重定向确认消息。而且，本地处理器执行LS软件以建立所述用户接口和所述本地服务器之间的本地链接。所述本地链接也是通过利用所述用户接口的web浏览器来建立，不需在所述用户接口上安装专门软件。

本***的特征、功能和优点能在本***的多种实施例中独立实现，或也可结合其它实施例完成。

附图说明

通过详细说明和附图，本发明将变得更加易于理解，其中：

图1是图解授权用户访问和使用由本地服务器控制的服务的通信***的简化方框图；以及

图2是图解图1中所示***执行的、用于确定是否批准访问由本地服务器控制的服务的用户请求的一序列操作的时序图。

在所有附图中，相应的参考标号表示相应部分。

具体实施方式

对优选实施例的下面描述实际上仅仅是示范性的，而决非意图限制本***及其应用或使用。此外，由优选实施例提供的如下描述的优点实际上是示范性的，并且不是所有的优选实施例提供相同的优点或相同程度的优点。

图1是通信***10的简化方框图。本***10包括本地网络12(例如LAN)和远程网络14(也可以是LAN，或者广域网(WAN))。在一个优选方式中，本地网络12被装载于诸如飞机、巡航舰、火车、公共汽车或其它任何移动交通工具之类的移动平台上。远程网络14是基于地面的网络。本地网络12包括本地服务器16和至少一个本地电子存储设备20，其中所述本地服务器16包括适于执行本地服务器16的所有功能的本地处理器18。电子存储设备20最好包括计算机可读介质，所述计算机可读介质诸如硬盘或用于存储软件包或程序、算法、信息和数据之类的东西的其它电子数据存储设备等。在另一实施例中，电子存储设备20独立于本地服务器16，并且电连接到所述本地服务器16。此外，本地网络12包括多个连接端口22，其与本地服务器16通信连接(例如有线或无线连接)。

每个连接端口22适于与用户接口24通信连接(例如有线或无线连接)。通过连接到端口22，用户可以建立对本地服务器16的访问链路。例如，用户接口24可以是飞机上乘客的膝上型计算机。乘客将膝上型计算机连接到连接端口22之一，以建立与本地服务器16的链接。于是，乘客可以利用所述链接来访问和利用由本地服务器16控制的一种或多种服务。例如，乘客可以经由本地服务器16访问因特网。

通常，每个用户接口24包括显示器26、音频收听设备28和数据输入设备30。显示器26用于观看诸如信息、数据和其它图形表达之类的东西。音频收听设备28可以是任何适于产生声音的设备，诸如耳机和插孔或扬声器。数据输入设备30允许乘客向本地服务器16输入信息、数据和/或查询。例如，数据输入设备30可以是键盘、鼠标或包括在显示器26中的触摸屏。通信***10适于在不向本地服务器16泄漏敏感的保密用户信息的情况下，授权用户使用由本地服务器16控制的服务。

远程网络14包括远程服务器34，在此也称为授权服务器34。授权服务器34包括远程处理器38，其适于执行授权服务器34的所有功能。所述授权服务器34也包括至少一个远程电子存储设备42。所述电子存储设备优选包括计算机可读介质，诸如硬盘或用于存储软件包或程序、算法、信息和数据之类的东西的任何其它电子存储设备。在另一实施例中，电子存储设备20独立于本地服务器16，并且电连接到本地服务器16。

本地服务器16和授权服务器34通过利用任何合适的通信方式(例如，陆上线路、陆地无线链路或卫星通信链路)来相互通信。在一个优选方式中，使用卫星通信***和方法来实现在本地服务器16和授权服务器34之间的通信，其中所述卫星通信***和方法诸如在于2001年11月20日提交的、申请号为09/989,742、名称为“向移动平台提供双向数据服务和实况电视节目的方法和装置(Method and Apparatus for Providing Bi-Directional Data Servicesand Live Television Programming to Mobile Platforms)”、并且被转让给波音公司的美国专利申请中所描述的。

本地服务器16提供和控制***10的用户可能想利用的许多服务。例如，用户可能希望经由本地服务器16访问因特网，或者，用户可能希望访问存储在存储模块20上并且由本地服务器16控制的信息、游戏和/或其它形式的娱乐资料(诸如电影之类)。为了访问这些由本地服务器16控制的服务，用户将用户接口24(诸如膝上型计算机)经由连接端口22之一连接到本地网络12。然后，用户输入注册信息并请求访问想要的服务。然后，授权服务器34向用户请求授权信息。所述***利用由用户提供的授权信息以便或者授权对所请求服务的访问，验证用户以前已经被授权访问所请求的服务，或者拒绝对所请求服务的访问。从用户请求的授权信息包括用户希望保密的个人敏感信息。例如，所请求的保密信息可以包括诸如用户姓名、口令、***信息、出生日期、家庭地址和电话号码之类的东西。

为了保持所述保密用户信息的保密性和安全性，所述***10在远程网络14上授权或拒绝用户服务请求。具体地说，***10确定授权，而不需要本地服务器16读取和存储保密用户信息。此外，在不需要在用户接口24上装载专用于***10的专门授权软件的情况下，所述***10通过使用用户接口24中包含的web浏览器(未示出)来确定用户授权。也就是说，所述***10利用在将用户接口24和连接端口22相连之前在用户接口24上装载的任何通用web浏览器来确定用户授权。

在此使用的专门软件是除了用户接口24的web浏览器以外的任何软件。具体地说，在此描述的***10的操作不需要在用户接口24上安装或下载为和***10一起使用而专门设计的专门软件。为了使用在此所述的***10，用户只需要具有通用的web浏览器，其是目前大多数基于计算机的设备中预先安装的一般标准软件。

图2是图解由***10所执行的、用于确定是否批准访问由本地服务器16控制的服务的用户请求的一序列操作的时序图100。一旦用户经由连接端口22连接到本地网络12，本地服务器16向用户接口24发送注册通知(例如初始网页)，其包含到将出现在用户接口的显示器26上的注册网页的链接，如104所示。换句话说，在104处，本地服务器16向用户接口24发送注册网页。通过所述注册网页，用户请求访问由本地服务器16控制的一种或多种服务。利用用户接口24上的web浏览器，在用户接口和远程授权服务器34之间建立起安全授权链路108。具体地说，在用户接口24和远程授权服务器34之间开启一个加密会话。利用授权服务器34的、提供给用户接口24的证书，提供安全授权链路108。在一个优选实施中，授权链路108是一个超文本传输协议安全套结字(https)通道。

本地服务器16包括存储于存储设备20中的软件，该软件明确允许授权链路108通过本地服务器16而不被所述本地服务器16读取。更确切地说，授权链路108经过本地服务器16，但其对于本地服务器16而言是不可读的。具体地说，本地服务器16能够看到和记录经由授权链路108发送的数据，但是本地服务器不能重建该数据。本地服务器16上的软件也执行只允许本地网络12外的授权用户访问的访问控制机制。此外，在一个优选实施中，尽管授权链路108被允许通过本地服务器16，但是本地服务器16上的软件在允许访问所选择的其它因特网链接的同时，却阻塞访问所选择的因特网链接。例如，本地服务器16上的软件在阻塞对所有其他因特网链接的访问时，可允许访问与客户服务有关的链接、免费聊天室以及与特定移动平台信息相关的链接。在另一优选方式中，本地服务器16上的软件在阻止对因特网的所有其他访问时，允许授权链路108通过本地服务器16。本地服务器16需要传递给授权服务器34的任何数据或信息(诸如用户接口IP地址)可以作为在104处发送的初始网页的一部分而被传递。在一个优选实施例中，本地服务器16以加密方式发送这些附加数据。

一旦建立安全授权链路108，授权服务器34向用户请求个人的和保密的用户授权数据。于是，用户利用用户接口输入设备30来输入授权数据，如112所示。在一个优选实施例中，授权数据包括这类信息：用户姓名、***信息、出生日期、家庭地址和电话号码。在另一实施例中，用户可能以前已被授权使用由本地服务器16控制的特定服务。在这种情况下，用户授权数据可能只包括用以验证用户的用户姓名和密码。授权服务器34利用用户授权数据以确定是授权还是拒绝用户访问所请求的服务。一旦授权服务器34确定该用户是否被授权，所述授权服务器34将构建重定向确认消息，所述重定向确认消息经由安全授权链路108发送到用户接口22，如116所示。所以，所述重定向确认消息通过本地服务器16而传递到用户接口24。然而，因为确认消息在加密的会话108之内，所以当重定向确认消息经过到达用户接口24的通道时，本地服务器16不能读取所述重定向确认消息。在一个优选方式中，授权服务器34构建经由授权链路108而发送到用户接口24的超文本传输协议(http)的重定向确认消息。而且，授权服务器34可以构建经由授权链路108而发送到用户接口24的超文本传输协议安全套结字(https)重定向确认消息。

重定向确认消息包含命令用户接口24立刻发送重定向确认消息到本地服务器16的数据指令，如120所示。因此，在120，在用户接口24和本地服务器16之间建立本地链路。在一个优选方式中，http协议重定向确认信息利用本地服务器证书来禁止对话窗口显示在用户接口显示器26上。所以，该重定向确认消息对用户是透明的。重定向确认消息还包含表示用户是否已被授权访问所请求服务的统一资源***(URL)。一旦该重定向确认消息已被发送到本地服务器16，本地服务器16上的软件现在允许本地服务器16读取该重定向确认消息。本地服务器16使用URL中包含的信息以允许或禁止用户访问所请求的服务。例如，如果用户获得授权，则URL包含诸如会话标识数据、允许的一种或多种服务是什么、允许用户访问所述一种或多种服务多长时间之类的内容。此外，URL可以包含用户接口24的IP地址，以便本地服务器16可以将URL中的IP地址和本地服务器16已知的IP地址进行比较，从而验证该重定向确认消息是否可信。

同样地，授权服务器34可以以Java Script格式构建重定向确认消息。在这个实施例中，重定向确认消息并非在http协议层构建，而是把网页装载到用户接口的web浏览器中。一旦装载了该网页，先执行包含于所装载网页内的小脚本，以达到重定向的目的。这个方法的优点在于在没有使用有关安全状态的任何潜在烦扰消息泄密的情况下，让乘客了解发生了什么。

此外，利用授权服务器34的个人密钥对重定向确认消息进行数字签名，以便本地服务器16可以使用授权服务器34的公共密钥来验证该重定向确认消息是否可信。同样地，重定向确认消息被加密，在用户接口24把确认消息发送到本地服务器16后，该重定向确认消息必须被本地服务器16解密。对重定向确认消息实施数字签名和/或加密防止了黑客等非预期(unintended)用户获取该确认消息并在以后使用它。此外，在一个优选方式中，重定向确认消息具有内嵌在所述确认消息中的时间戳。所述时间戳限定所述确认消息有效的持续时间，以便即使重定向确认消息中包含的确认消息被黑客以某种方式获取了，它也只能在预定的时间段内被使用，如10微秒到10分钟。优选地，授权服务器34提供时间戳，要求本地服务器16遵守时间戳。这使得可以容易地调整时间戳。

在一个优选方式中，在120的本地链路是不安全的链路，其中凭借该本地链路，将重定向确认消息从用户接口发送到本地服务器14。换句话说，所发送的重定向确认消息是未加密的。然而，该重定向确认消息不包括任何保密的用户信息。所以，即使在120所述重定向确认消息被窃取，也不会获得保密信息。同样地，120处的本地链路可以是安全链路，以便重定向确认消息以加密方式发送给本地服务器16。例如，可以通过使用https连接将重定向确认消息从用户接口24发送到本地服务器16。

在不需在用户接口24上装载专门软件(即专用于***10的软件)的情况下，通过利用用户接口的web浏览器，将重定向确认消息从用户接口24发送到本地服务器16。具体地说，***10不需使用任何装载于用户接口上的专门软件，即可提供安全的用户授权/验证。因此，用户为了获取访问由本地服务器16控制的所需服务的授权，不必连接到***10以下载专门软件到用户接口24。而且，在用户授权过程期间，***10没有使用cookies或在用户接口24上存储cookies。所以，cookies在用户接口web浏览器内被禁用，而不会影响***10的操作。因此，一旦用户已被授权访问所请求的服务，即该服务被本地服务器16启动，用户可以关闭用户接口的web浏览器，而不会中断服务。而且，用户可以关断和再次启动用户接口24，服务依然是可用的。

在一个优选实施例中，在120处重定向确认消息已被发送到本地服务器16之后，本地服务器16经由安全链路与授权服务器34进行通信，如124所示。124处的链路提供在本地服务器16和授权服务器34之间的通信信道，用于诸如此类的事件，诸如本地服务器16通知授权服务器34：重定向确认消息已被成功接收。或者，124处的链路可以被授权服务器34用来识别本地服务器16。换句话说，授权服务器34可以识别本地服务器16是否位于移动平台上(例如飞机)，或者识别本地服务器16是否为基于地面的服务器。

因此，***10提供一种用户授权方法，其***露用户的个人保密信息给本地网络12中的任何设备。而且，***10在不需要向用户接口24下载专门授权软件的情况下提供用户授权。

虽然已经根据多个特定实施例描述了本***，但是本领域的技术人员将会认识到，可以利用在权利要求的精神和范围内的修改来实现该***。

Claims (39)

1、一种在不需要向服务器提供敏感信息的情况下授权对服务器的使用的方法，所述方法包括：

利用用户接口的web浏览器在用户接口和远程授权服务器之间建立安全的授权链路，所述授权链路经过所述本地服务器，但是对所述本地服务器是不可读的；

利用所述用户接口的web浏览器，经由所述授权链路，从所述用户接口向所述授权服务器发送用户授权数据；

经由所述授权链路，从所述授权服务器向所述用户接口返回重定向确认消息；以及

利用所述用户接口的web浏览器，根据包含在所述重定向确认消息中的数据，在所述用户接口和所述本地服务器之间建立本地链路。

2、根据权利要求1的方法，其中所述方法还包括：一旦建立了本地连接，则提供对所请求的由所述本地服务器控制的服务的用户访问。

3、根据权利要求1的方法，其中所述方法还包括：经由所述安全授权链路从所述本地服务器向所述授权服务器发送数据。

4、根据权利要求1的方法，其中在所述用户接口和所述授权服务器之间建立安全授权链路包括：从所述本地服务器向所述用户接口发送注册通知，其中用户利用所述注册通知以请求访问由所述本地服务器控制的服务。

5、根据权利要求1的方法，其中返回重定向确认消息包括：利用所述授权服务器来验证所述用户授权数据。

6、根据权利要求1的方法，其中建立本地链路包括：利用所述用户接口的web浏览器，从所述用户接口向所述本地服务器发送所述重定向确认消息。

7、根据权利要求6的方法，其中建立本地链路包括：使用所述授权服务器的公共密钥以及附于所述重定向消息的数字签名来验证所述重定向消息是否有效。

8、根据权利要求6的方法，其中发送重定向确认消息包括：对所发送的重定向确认消息进行加密。

9、根据权利要求1的方法，其中建立安全授权链路包括：在没有在所述用户接口上的、用于建立授权链路的专门软件的情况下建立所述授权链路。

10、根据权利要求1的方法，其中发送注册通知包括：从所述本地服务器向所述用户接口发送注册页。

11、根据权利要求1的方法，其中发送注册通知包括：从所述本地服务器向所述用户接口发送到注册页的链接。

12、根据权利要求1的方法，其中建立安全授权链路包括：在所述用户接口和所述授权服务器之间建立https会话。

13、根据权利要求1的方法，其中建立安全授权链路包括：在阻塞对多个所选择的因特网链接的同时提供所述授权链路。

14、根据权利要求1的方法，其中建立安全授权链路包括：从所述本地服务器向所述授权服务器发送关于所述用户接口的通信标识数据。

15、根据权利要求14的方法，其中发送通信标识数据包括：对所发送的通信标识数据进行加密。

16、根据权利要求1的方法，其中建立安全授权链路包括：从所述用户接口向所述授权服务器发送用户注册信息。

17、根据权利要求1的方法，其中返回重定向确认消息包括：使用所述授权服务器来构建https重定向确认消息。

18、根据权利要求1的方法，其中返回重定向确认消息包括：使用所述授权服务器来构建Java Script重定向确认消息。

19、根据权利要求1的方法，其中返回重定向确认信息包括：从所述授权服务器向所述本地服务器发送授权和授权服务相关的数据。

20、根据权利要求1的方法，其中建立本地链路包括：当在用户接口的web浏览器中禁用cookies时建立所述本地链路。

21、根据权利要求1的方法，其中返回重定向确认消息包括：在重定向确认消息中嵌入时间戳，其中所述时间戳用于限定确认消息有效的持续时间。

22、根据权利要求1的方法，其中建立本地链路包括：在所述用户接口和所述本地服务器之间建立安全的https会话。

23、一种通信***，包括：

连接端口，适于提供对于用户接口的连接；

远程授权服务器；和

本地服务器，包括本地处理器和本地存储设备，所述本地存储设备具有存储在其上并且可由所述本地处理器执行的本地服务器(LS)软件，其中所述本地处理器被配置成：

当所述用户接口与所述连接端口通信连接时，执行LS软件以从所

述本地服务器向所述用户接口发送注册通知，其中用户利用所述注册通

知以请求访问由所述本地服务器控制的服务；

执行所述LS软件以在所述用户接口和所述授权服务器之间建立安全授权链路以便响应用户请求，其中授权链路是利用用户接口的web浏览器来建立的，而不需要其他存储在所述用户接口中的、用于建立所述授权链路的专门软件，所述授权链路经过本地服务器，但对于所述本地服务器来说是不可读的；

执行所述LS软件以验证由所述授权服务器发送的重定向确认消息，所述重定向确认消息包括授权数据并且是利用所述授权服务器的公共密钥来验证的；

执行所述LS软件以根据所述授权数据在所述用户接口和所述本地服务器之间建立本地链路，所述链路是利用所述用户接口的web浏览器来建立的，而不需要其他存储在所述用户接口中的、用于建立所述本地链路的专门软件。

24、根据权利要求23的***，其中所述本地处理器被进一步配置成执行LS软件，以使得用户能够访问由所述本地服务控制的授权服务，其中所述授权服务在所述重定向确认消息中标识。

25、根据权利要求23的***，其中所述授权服务器包括远程处理器和远程存储设备，其中所述远程存储设备具有存储在其上的可由所述远程处理器运行的授权服务器(AS)软件，其中所述远程处理器被配置成：

执行所述AS软件以验证经由所述授权链路从所述用户接口向所述授权服务器发送的用户授权数据；和

执行AS软件以经由所述授权链路，向所述用户接口返回重定向确认消息，所述确认信息包括授权和与授权服务相关的数据，其中在没有其他存储在所述用户接口中的、用于与机载服务器通信的专门软件的情况下，所述用户接口利用用户接口的web浏览器，向所述本地服务器发送所述确认消息。

26、根据权利要求23的***，其中所述本地处理器进一步被配置为：执行所述LS软件以建立所述安全授权链路，其包括所述用户接口和所述授权服务器之间的https会话。

27、根据权利要求23的***，其中所述本地处理器进一步被配置成：在阻塞对各种所选择的因特网链接的访问时，执行LS软件以建立所述安全授权链路。

28、根据权利要求23的***，其中所述本地处理器进一步被配置成：当在所述用户接口的web浏览器内禁用cookies时，执行所述LS软件以建立所述本地链路。

29、根据权利要求23的***，其中所述远程处理器进一步被配置成：执行所述LS软件以返回包含内嵌时间戳的所述重定向确认消息，所述时间戳用于限定所述确认消息有效的持续时间。

30、根据权利要求23的***，其中本地链路是通过利用在所述用户接口和所述本地服务器之间的安全https会话来建立的。

31、根据权利要求23的***，其中所述远程处理器进一步被配置成：执行所述LS软件以返回包含数字签名的重定向确认消息。

32、根据权利要求31的***，其中所述本地处理器进一步被配置成：执行所述LS软件以利用所述授权服务器的数字签名和个人密钥来验证所述重定向确认消息的真实性。

33、一种在不向机载服务器泄露保密信息的情况下授权使用由所述机载服务器控制的服务的方法，所述方法包括：

从机载服务器向用户接口发送注册通知，其中用户利用所述注册通知来请求访问由机载服务器控制的服务；

在所述用户接口和基于地面的服务器之间建立安全授权链路，所述授权链路是利用用户接口的web浏览器来建立的，而不需要其他存储在用户接口中、用于建立授权链路的专门软件，所述授权链路经过所述机载服务器，并且对所述机载服务器来说是不可读的；

利用所述用户接口的web浏览器，经由所述授权链路，从所述用户接口向所述基于地面的服务器发送用户授权数据，而不需要其他存储在所述用户接口中的、用于建立授权链路的专门软件；

利用所述基于地面的服务器验证所述用户授权数据；

经由所述授权链路，从所述基于地面的服务器向所述用户接口返回重定向确认消息，其包括授权和授权服务相关的数据，

利用所述用户接口的web浏览器从所述用户接口向所述机载服务器发送所述重定位确认消息，而不需要其他存储在所述用户接口中的、用于与所述机载服务器通信的专门软件；

利用所述基于地面的服务器的公共密钥，验证所述重定向确认消息是否有效；和

利用所述用户接口的web浏览器在所述用户接口和所述机载服务器之间建立本地链路，而不需要其他存储在所述用户接口中的、用于与所述机载服务器通信的专门软件。

34、根据权利要求33的方法，其中建立安全授权链路包括：利用所述基于地面的服务器的证书，在所述用户接口和所述基于地面的服务器之间建立https会话。

35、根据权利要求33的方法，其中建立安全授权链路包括：当阻塞对多个所选择的因特网链接的访问时提供所述安全链路。

36、根据权利要求33的方法，其中返回重定向确认消息包括：利用基于地面的服务器，构建http重定向确认消息和Java Script重定向确认消息中的一种。

37、根据权利要求33的方法，其中建立本地链路包括：当所述用户接口的web浏览器中禁用cookies时建立所述本地链路。

38、根据权利要求33的方法，其中返回重定向确认消息包括：在所述重定向确认消息中嵌入时间戳，所述时间戳限定确认消息有效的持续时间。

39、根据权利要求33的方法，其中建立本地链路包括：在所述用户接口和所述本地服务器之间建立安全https会话。