TWI488479B - 具安全性保護的自動轉址及網路身份驗證方法 - Google Patents

Description

具安全性保護的自動轉址及網路身份驗證方法

本發明是有關於一種網路驗證方法，特別是指一種經由第三方下載中心提供給內容提供者(Internet Content Provider；以下簡稱ICP)及身份驗證提供者(Identity Provider；以下簡稱IDP)使用的安全、有彈性及讓使用者方便的身份認證方式，亦讓ICP可自由選擇所信賴的IDP來確認使用者身份之具安全性保護的自動轉址及網路身份驗證方法。

蓬勃的各種網路服務，尤其是雲踹服務將帶來各種今天仍沒見到的新網路加值服務，但安全的身份驗證而且能被普遍使用是使這些未來的便利的服務能成為事實的先決條件。

然而，現有的各種硬件身份驗證產品，如：裝有PKI證書的USB裝置、IC電子卡，或動態密碼電子令牌(token)等身份驗證硬體產品，但是整體的成本太高。另外，現有的網路身份驗證，仍然是各網路服務商各自有自己的用戶名和密碼庫及相對的身份驗證產品，對於各網路業者而言，造成了重複投資的問題；而對於使用者而言，使用者得同時記住各種不同用戶名密碼及需要購買各種不同身份驗證硬體產品，降低使用意願。

目前的網路身份驗證因市場已經往專業的獨立第三方 驗證的IDP系統發展，這樣可避免各ICP系統管理使用者身份驗證資料的成本支出，使用者也免去記憶不同ID及密碼的麻煩及購買各種不同身份驗證硬體產品。

因此，本發明是在提供一種具有前述優點的具安全性保護的自動轉址及網路身份驗證方法。

本發明具安全性保護的自動轉址及網路身份驗證方法，應用於一內容提供者伺服器、多數身份驗證提供者伺服器、一使用終端及一下載中心，各該身份驗證提供者伺服器具有個別的網頁位址，該方法包括下述步驟：(a)該下載中心提供各該身份驗證提供者伺服器一內含以私鑰簽過名的網頁位址的資料，並提供該使用終端用以識別該內含以私鑰簽過名的網頁位址的資料的公鑰；(b)該內容提供者伺服器向其中一身份驗證提供者伺服器請求驗證該使用終端的身份時，該身份驗證提供者伺服器供該使用終端下傳該內含以私鑰簽過名的網頁位址的資料；及(c)該使用終端以該公鑰識別該私鑰簽過名的網頁位址的資料是否真正來自該下載中心，若結果是真實，該掃描程式便掃描該使用終端且產生一硬體掃描資料，且自動上傳該硬體掃描資料予該身份驗證提供者伺服器以供其查驗該使用者的身份。

本發明具安全性保護的自動轉址及網路身份驗證方法，應用於一ICP伺服器、多數IDP伺服器、一使用終端及一下載中心，各該身份驗證提供者伺服器具有個別的網頁位址，該方法包括下述步驟：(a)各該IDP伺服器取得該下載中心事先用一非對稱私鑰簽過名的各該IDP伺服器之網頁位址， 且該使用終端已從該下載中心下載對應各該非對稱私鑰的非對稱公鑰及一掃描程式；(b)該使用終端瀏覽該ICP伺服器之網站，該ICP伺服器之網站提供一腳本予使用終端，該腳本內含該等ICP伺服器的業者委託進行身份認證之該IDP伺服器之網頁位址；(c)該腳本受該使用終端觸發後，該使用終端之掃描程式和該IDP伺服器相連並要求IDP伺服器下傳前述經該下載中心的私鑰簽過名的該IDP伺服器之網頁位址，並用該使用終端內存該下載中心之公鑰來辨別其是否真正來自該下載中心，若結果是真實，該掃描程式便掃描該使用終端且產生一硬體掃描資料並上傳予該IDP伺服器儲存以供後續使用者的身份比對。

較佳的，該使用終端可隨時直接和該下載中心相連，並請求該下載中心辨識取得的簽過名的IDP伺服器的網頁位址是否真實，或下載其他新的公鑰以防止駭客攻擊或非簽約的IDP伺服器非法使用其技術及服務。

較佳的，該掃描程式是掃描包括該使用終端的一中央處理單元、一基本輸入輸出系統單元、一儲存裝置、一網路介面、一主機板之識別碼及一有線或無線近距離連接的外接裝置的其中至少二硬體元件之識別碼組合。

較佳的，該掃描程式還可取得對於所掃描的該等硬體元件的地理位置進行定位，並於該身份驗證提供伺服器查驗身份時，判斷當時掃描的該等硬體元件是否處於相同的理位置以決定使用者身份。

較佳的，該內容提供者伺服器可提供數個不同的身份驗 證提供者讓使用者選擇，且提供予該使用終端的腳本內含該使用者所選擇的身份驗證提供者伺服器之網頁位址以進行身份登錄及驗證

本發明具安全性保護的自動轉址及網路身份驗證方法之功效在於：ICP伺服器、IDP伺服器及使用終端可利用同一下載中心及同一掃描程式來做身份認證，免去重覆投資，且ICP伺服器及使用者都可自由選擇IDP伺服器，避免遠端的網路駭客盜用身份資料，以及配合多重身份驗證方式加強確認使用者本人的真實身份，因此，可加強驗證使用者身份安全的保障，並且無需額外的身份識別硬體成本及維護，可增加業者及使用者的意願。

有關本發明之前述及其他技術內容、特點與功效，在以下配合參考圖式之數個較佳實施例的詳細說明中，將可清楚的呈現。在本發明被詳細描述之前，要注意的是，在以下的說明內容中，類似的元件是以相同的編號來表示。

參閱圖1，本發明具安全性保護的自動轉址及網路身份驗證方法之較佳實施例，是應用於一下載中心1、一使用終端2、一ICP伺服器群集3及一IDP伺服器群集4，各裝置分別介紹如下。

ICP伺服器群集3包括多數個分別屬於不同網站服務業者的ICP伺服器31-3n，例如：網路銀行、拍賣網站、線上遊戲業者等。IDP伺服器群集4包括多數個分別屬於不同ID管理業者的IDP伺服器41-4n，也就是提供第三方網路身份 驗證服務的如Google、Yahoo、Facebook等系統。

ICP伺服器31-3n、IDP伺服器41-4n、下載中心1及使用終端2以通訊網路彼此連接及傳遞資料。

使用終端2安裝有一瀏覽器軟體21及一掃描程式22，瀏覽器軟體21是供使用者瀏覽ICP伺服器31-3n的網站，掃描程式22是用於掃描使用終端2之多個硬體元件成識別碼記錄成一硬體掃描清單，掃描程式22是由下載中心1下載。

較佳的，掃描程式22是掃描包括使用終端2的一中央處理單元、一基本輸入輸出系統單元、一儲存裝置、一網路介面、一主機板之識別碼及一有線或無線近距離連接的外接裝置的其中至少二硬體元件之識別碼組合；此外，掃描程式21還可取得對於所掃描的該等硬體元件的地理位置進行定位，並於該IDP伺服器41-4n查驗身份時，判斷當時掃描的該等硬體元件是否處於相同的地理位置以決定使用者身份。

本發明具安全性保護的自動轉址及網路身份驗證方法的原理包括下述步驟：使用終端2經一第一管道瀏覽該ICP伺服器41之網站，ICP伺服器31之網站由此第一管道提供一腳本(如：JAVA Script)內含ICP委託幫其做身份認證之IDP伺服器41之網頁位址(URL)予使用終端2，該腳本受該使用終端2觸發後，使用終端2的掃描程式22便經由一不同於該第一管道的第二管道鏈結至該對應的IDP，要求該IDP下傳上述經下載中心1私鑰簽過名的該IDP伺服器 41之網頁位址，並用其內存下載中心1之公鑰來辨別其是否真正來自下載中心1，若結果是真實，掃描程式22便掃描使用終端2，產生一硬體掃描資料，並經由上述第二管道上傳予該IDP伺服器41儲存以供後續使用者的身份比對。

本發明具安全性保護的自動轉址及網路身份驗證方法之較佳實施例包括如圖2的網頁位址簽名及公鑰分送程序、如圖3的身份登錄程序及如圖4的身份驗證程序，以下配合圖1的裝置將本發明方法的各程序介紹如下。

參閱圖2，下載中心1是對應不同的IDP伺服器41、42提供經其非對稱私鑰簽過名的各IDP伺服器41、42之網頁位址，在本實施例中，下載中心1首先產生一非對稱密鑰對，例如：符合非對稱公鑰技術的一公鑰及一私鑰，並對每一簽過約的IDP伺服器41、42提供經下載中心1私鑰簽過名的IDP伺服器41、42之網頁位址予IDP伺服器41(步驟S201)及IDP伺服器42(步驟S202)以及在使用終端2由下載中心1下載掃描程式22時提供該公鑰予該使用終端2(步驟S203及步驟S204)。

參閱圖3，本發明方法的登錄程序中，使用終端2使用瀏覽器軟體21瀏覽ICP伺服器31之網站，且使用終端2是經由一第一管道傳遞一登錄資料(例如，使用者ID及密碼)予ICP伺服器31(步驟S301)，ICP伺服器31驗證登錄資料無誤後，即提供腳本內含ICP委託幫其做身份認證之IDP伺服器41之網頁位址予使用終端2(步驟S302)並同時請求該IDP伺服器41進行用戶身份登錄工作(步驟303)；該腳 本受該使用終端觸發後，使用終端2掃描程式22便經由一不同於該第一管道的第二管道鏈結至該對應IDP伺服器41(步驟S304)，要求該IDP伺服器41下傳前述經下載中心1私鑰簽過名的該IDP伺服器41之網頁位址(步驟S305)；並用其內存下載中心1之公鑰來辨別其是否真正來自下載中心1(步驟S306)，若結果是真實，掃描程式22便掃描使用終端2產生一硬體掃描資料(步驟S307)，再經由上述第二管道傳遞硬體掃描資料予IDP伺服器41儲存以供後續使用者的身份比對(步驟S308)，IDP伺服器41並同通知ICP伺服器31登錄已經成功(步驟309)。

由於IDP伺服器41留存有對應不同使用者的登錄資料相對應的使用終端2的硬體掃描資料，由於使用者利用隨身的使用終端2的硬體掃描資料作為身份驗證之用，讓第三人無法輕易竊取或盜用。此外，使用終端2可隨時直接和下載中心1相連，並請求下載中心1辨識取得的簽過名的IDP伺服器41的網頁位址是否真實，或下載其他新的公鑰以防止駭客攻擊或非簽約的IDP伺服器41非法使用其技術及服務。

參閱圖4，當使用終端2完成如圖3的身份登錄程序後，於下一次使用瀏覽器軟體21瀏覽ICP伺服器31之網站時，使用終端2經由第一管道傳遞該登錄資料(例如，使用者ID及密碼)予ICP伺服器31(步驟S401)，ICP伺服器31驗證登錄資料無誤後，即提供腳本內含ICP委託幫其做身份認證之IDP伺服器41之網頁位址予使用終端2(步驟S402)並同 時請求該IDP伺服器41做用戶身份認證工作(步驟403)；該腳本受該使用終端2觸發後，使用終端2的掃描程式22便經由一不同於該第一管道的第二管道鏈結至該對應IDP伺服器41(步驟S404)；要求該IDP伺服器41下傳前述經下載中心1私鑰簽過名的該IDP伺服器41之網頁位址(步驟S405)；並用其內存下載中心1之公鑰來辨別其是否真正來自下載中心1(步驟S406)，若結果是真實，掃描程式22便掃描使用終端2產生一硬體掃描資料(步驟S407)，再經由上述第二管道傳遞硬體掃描資料予IDP伺服器41(步驟S408)；IDP伺服器41查驗使用終端2之硬體掃描資料與該使用終端2預存的硬體掃描資料是否相符(步驟S409)，藉此，IDP伺服器41將查驗結果回傳給ICP伺服器31(步驟S410)以決定是否允許使用終端2登錄ICP伺服器31。

參閱圖5，本發明方法的登錄程序還可提供多個IDP伺服器41、42的選項給使用者，其方式為：使用終端2使用瀏覽器軟體21瀏覽ICP伺服器31之網站，且使用終端2是經由一第一管道傳遞一登錄資料(例如，使用者ID及密碼)予ICP伺服器31(步驟S501)，ICP伺服器31驗證登錄資料無誤後，即提供IDP伺服器41、42的選項(步驟S502)，使用終端2即可發送選取IDP伺服器42之指令給ICP伺服器31(步驟S503)；ICP伺服器31並同時請求該IDP伺服器42做用戶身份登錄工作(步驟S504)。

接著，ICP伺服器31提供一腳本內含IDP伺服器42之網頁位址予使用終端2(步驟S505)，使用終端2觸發腳本後， 使用終端掃描程式22便經由一不同於該第一管道的第二管道鏈結至該對應IDP(步驟S506)；要求該IDP伺服器42下傳前述經下載中心1私鑰簽過名的該IDP伺服器42之網頁位址(步驟S507)；並用其內存下載中心1之公鑰來辨別其是否真正來自下載中心1(步驟S508)，若結果是真實，掃描程式22便掃描使用終端2產生一硬體掃描資料(步驟S509)，再經由上述第二管道傳遞硬體掃描資料予IDP伺服器42儲存以供後續使用者的身份比對(步驟S510)，IDP伺服器42並通知ICP伺服器31身份登錄成功(步驟S511)。

參閱圖6，當使用終端2完成如圖5的身份登錄程序後，於下一次使用瀏覽器軟體21瀏覽ICP伺服器31之網站時，使用終端2經由第一管道傳遞該登錄資料(例如，使用者ID及密碼)予ICP伺服器31(步驟S601)，ICP伺服器31驗證登錄資料無誤後，即提供IDP伺服器41、42的選項(步驟S602)，使用終端2即可發送選取IDP伺服器42之指令給ICP伺服器31(步驟S603)。

然後，ICP伺服器31即提供一腳本內含IDP伺服器42之網頁位址予使用終端2(步驟S604)予使用終端2並同時請求該IDP做用戶身份認證工作(步驟S605)，該腳本受使用終端2觸發後，使用掃描程式22便經由一不同於該第一管道的第二管道鏈結至該對應IDP伺服器42(步驟S606)；要求該IDP伺服器42下傳前述經下載中心1私鑰簽過名的該IDP伺服器之網頁位址(步驟S607)；並用其內存下載中心1之公鑰來辨別其是否真正來自下載中心1(步驟S608)，若 結果是真實，掃描程式22便掃描使用終端2產生一硬體掃描資料(步驟S609)，再經由上述第二管道傳遞硬體掃描資料予IDP伺服器42(步驟S610)；IDP伺服器42查驗使用終端2之硬體掃描資料與該使用終端2預存的硬體掃描資料是否相符(步驟S611)，藉此，IDP伺服器42將查驗結果回傳給ICP伺服器31(步驟S612)以決定是否允許使用終端2登錄ICP伺服器31，如此一來，即提供使用終端2更為多元的IDP伺服器41-4n的不同選擇來進行身份驗證。

從長遠來看，本發明可改變網路身份認證產業生態，提供一個各IDP業者在相同條件下自由競爭，提供各有特色及不同價值的安全認證服務，使用者有選擇權，且隨時可更換IDP業者，ICP業者可以專注於其核心業務，把身份認證交給第三方IDP業者及讓其使用者選擇自己信任的IDP業者，本發明真正用到網際網路這樣一個開放環境且符合其精神可以自由競爭，自由選擇的安全身份認證。

綜上所述，本發明具安全性保護的自動轉址及網路身份驗證方法之功效在於：

1.本發明是藉由使用終端2的掃描程式22來掃描使用終端2的硬體資料進行身份認證，不用另外購買收各種不同身份驗證硬體產品。

2.本發明連接使用終端2和ICP伺服器31-3n的管道和連接使用終端和IDP伺服器41-4n的管道並不一樣，是一個雙管道的認證架構，駭客不容易攻擊，

3.使用者只需從下載中心1下載一掃描程式22，各個 ICP伺服器31-3n及IDP伺服器41-4n皆可使用同一掃描程式22來做身份認證。

4.ICP伺服器31-3n可選擇不同IDP伺服器41-4n的業者幫其做身份認證，亦可隨時更換IDP伺服器41-4n的業者，不用考慮更換IDP伺服器41-4n時所需的各種費用，時間及給使用者帶來的麻煩，

5.IDP伺服器41-4n的業者可利用同一架構及技術對不同客戶(ICP伺服器31-3n)提供不同附加價值，不同價格及特色的認證服務，

6.下載中心1是獨立於ICP的業者及IDP的業者以外的第三方，可以事先大量的推出掃瞄程式22給使用者，大量節省客服成本。

7.同一ICP伺服器31-3n可同時提供不同IDP伺服器41-4n讓使用者選擇，使用者可以在不同ICP伺服器31-3n選用同一IDP伺服器41-4n，這樣好的IDP伺服器41-4n就可勝出，淘汰不好的IDP伺服器41-4n。

8.不同的ICP伺服器31-3n的業者及不同的IDP伺服器41-4n的業者可與下載中心1的業者合作，由第三方的業者提供下載中心1及掃描程式22，如此一來，使用者以使用終端2可自由選擇所信賴的IDP伺服器41-4n來確認使用者身份。

9.當任一ICP系統31-3n導向任一IDP伺服器41-4n時，由於各ICP系統31-3n及各IDP伺服器41-4n之間的傳輸通道已被加密，可避免有心人士攔截及竄改網頁位址的方式盜 用個人資料。

10.除了ICP系統31-3n使用傳統的ID及密碼的登錄資料，再利用多重的硬體掃描資料及地理位置的查驗，可加強確認使用者本人的真實身份，避免被遠端的駭客盜用身份資料，故確實能達到本發明之目的。

惟以上所述者，僅為本發明之較佳實施例而已，當不能以此限定本發明實施之範圍，即大凡依本發明申請專利範圍及發明說明內容所作之簡單的等效變化與修飾，皆仍屬本發明專利涵蓋之範圍內。

1‧‧‧下載中心

2‧‧‧使用終端

21‧‧‧瀏覽器軟體

22‧‧‧掃描程式

3‧‧‧ICP伺服器群集

31~3n‧‧‧ICP伺服器

4‧‧‧IDP伺服器群集

41~4n‧‧‧IDP伺服器

S201~S204‧‧‧步驟

S301~S309‧‧‧步驟

S401~S410‧‧‧步驟

S501~S511‧‧‧步驟

S601~S612‧‧‧步驟

圖1是一系統方塊圖，說明本發明具安全性保護的自動轉址及網路身份驗證方法之相關應用裝置；圖2是一流程圖，說明本發明具安全性保護的自動轉址及網路身份驗證方法之較佳實施例中，下載中心1對應不同IDP伺服器提供用其非對稱私鑰簽過名的IDP網頁位址以及提供不同使用終端來下載共用的掃描程式及相對的公鑰；圖3是一流程圖，說明本發明具安全性保護的自動轉址及網路身份驗證方法之較佳實施例中的身份登錄過程；圖4是一流程圖，說明本發明具安全性保護的自動轉址及網路身份驗證方法之較佳實施例中的身份驗證過程；圖5是一流程圖，說明本發明具安全性保護的自動轉址及網路身份驗證方法之較佳實施例中，提供多種不同IDP系統選項供使用終端選擇其中一IDP系統選項進行身份登 錄過程；及圖6是一流程圖，說明本發明具安全性保護的自動轉址及網路身份驗證方法之較佳實施例中，提供多種不同IDP系統選項供使用終端選擇其中一IDP系統選項進行身份驗證過程。

1‧‧‧下載中心

2‧‧‧使用終端

21‧‧‧瀏覽器軟體

22‧‧‧掃描程式

3‧‧‧ICP伺服器群集

31~3n‧‧‧ICP伺服器

4‧‧‧IDP伺服器群集

41~4n‧‧‧IDP伺服器

Claims (6)

1. 一種具安全性保護的自動轉址及網路身份驗證方法，應用於一內容提供者伺服器、多數身份驗證提供者伺服器、一使用終端及一下載中心，各該身份驗證提供者伺服器具有個別的網頁位址，該方法包括下述步驟：(a)該下載中心提供各該身份驗證提供者伺服器一內含以私鑰簽過名的網頁位址的資料，並提供該使用終端用以識別該內含以私鑰簽過名的網頁位址的資料的公鑰；(b)該內容提供者伺服器向其中一身份驗證提供者伺服器請求驗證該使用終端的身份時，該身份驗證提供者伺服器供該使用終端下傳該內含以私鑰簽過名的網頁位址的資料；及(c)該使用終端以該公鑰識別該私鑰簽過名的網頁位址的資料是否真正來自該下載中心，若結果是真實，該掃描程式便掃描該使用終端且產生一硬體掃描資料，且自動上傳該硬體掃描資料予該身份驗證提供者伺服器以供其查驗該使用者的身份。
2. 一種具安全性保護的自動轉址及網路身份驗證方法，應用於一內容提供者伺服器、多數身份驗證提供者伺服器、一使用終端及一下載中心，各該身份驗證提供者伺服器具有個別的網頁位址，該方法包括下述步驟：(a)各該身份驗證提供者伺服器取得該下載中心事先用一非對稱私鑰簽過名的各該身份驗證提供者伺服器之網頁位址，且該使用終端已從該下載中心下載對應各該非對稱私鑰的非對稱公鑰及一掃描程式； (b)該使用終端瀏覽該內容提供者伺服器之網站，該內容提供者伺服器之網站提供一腳本予使用終端，該腳本內含該等內容提供者伺服器的業者委託進行身份認證之該身份驗證提供者伺服器之網頁位址；及(c)該腳本受該使用終端觸發後，該使用終端之掃描程式和該身份驗證提供者伺服器相連並要求身份驗證提供者伺服器下傳前述經該下載中心的私鑰簽過名的該身份驗證提供者伺服器之網頁位址，並用該使用終端內存該下載中心之公鑰來辨別其是否真正來自該下載中心，若結果是真實，該掃描程式便掃描該使用終端且產生一硬體掃描資料並上傳予該身份驗證提供者伺服器儲存以供後續使用者的身份比對。
3. 依據申請專利範圍第2項所述之具安全性保護的自動轉址及網路身份驗證方法，其中，該使用終端可隨時直接和該下載中心相連，並請求該下載中心辨識取得的簽過名的身份驗證提供者伺服器的網頁位址是否真實，或下載其他新的公鑰以防止駭客攻擊或非簽約的身份驗證提供者伺服器非法使用其技術及服務。
4. 依據申請專利範圍第3項所述之具安全性保護的自動轉址及網路身份驗證方法，其中，該掃描程式是掃描包括該使用終端的一中央處理單元、一基本輸入輸出系統單元、一儲存裝置、一網路介面、一主機板之識別碼及一有線或無線近距離連接的外接裝置的其中至少二硬體元件之識別碼組合。
5. 依據申請專利範圍第4項所述之具安全性保護的自動轉址 及網路身份驗證方法，其中，該掃描程式還可取得對於所掃描的該等硬體元件的地理位置進行定位，並於該身份驗證提供伺服器查驗身份時，判斷當時掃描的該等硬體元件是否處於相同的理位置以決定使用者身份。
6. 依據申請專利範圍第2項所述之具安全性保護的自動轉址及網路身份驗證方法，其中，該內容提供者伺服器可提供數個不同的身份驗證提供者讓使用者選擇，且提供予該使用終端的腳本內含該使用者所選擇的身份驗證提供者伺服器之網頁位址以進行身份登錄及驗證。