使用設(shè)備生成的憑證的對設(shè)備憑證的安全遠(yuǎn)程修改的制作方法
【專利說明】使用設(shè)備生成的憑證的對設(shè)備憑證的安全遠(yuǎn)程修改
[0001] 戦
[0002] 對于使用包括個人或高度機(jī)密的信息和數(shù)據(jù)的移動設(shè)備的消費(fèi)者和公司兩者而 言，隱私和安全性已經(jīng)變成優(yōu)先考慮的。為了保護(hù)運(yùn)些設(shè)備，口令通常被要求來解鎖運(yùn)些設(shè) 備，從而向用戶授予訪問權(quán)。為了增加安全性，要求在長度上更長并且具有更高復(fù)雜性要求 的更強(qiáng)的口令。結(jié)果，用戶經(jīng)常忘記他們的口令并且由此希望被遠(yuǎn)程地授予對他們的設(shè)備 的暫時訪問W設(shè)置新的口令。
[0003] -些公司已經(jīng)通過使得IT(信息技術(shù))管理員能夠遠(yuǎn)程地從設(shè)備清除口令，從而向 用戶授予訪問來解決運(yùn)個問題。盡管運(yùn)種方式授予用戶對設(shè)備的訪問，但是它W不安全的 方式來運(yùn)么做，使得在口令被重置期間設(shè)備和數(shù)據(jù)是易受攻擊的。另一方式已經(jīng)在移動設(shè) 備上預(yù)先設(shè)置可被提供到用戶的恢復(fù)密鑰。然而，運(yùn)種方式降低設(shè)備的安全性，因?yàn)閮蓚€口 令可用于授予對設(shè)備的訪問。此外，運(yùn)種方式?jīng)]有提供可擴(kuò)展的方式來要求用戶提供附加 認(rèn)證信息W可由服務(wù)器驅(qū)動的確?；謴?fù)密鑰沒有被偷或被黑客攻擊。
[0004] 當(dāng)所有用戶記錄被存儲在中央數(shù)據(jù)庫(諸如活動目錄或?qū)儆脩魯?shù)據(jù)庫）中時，改 變憑證是相對容易的。然而，沒有針對在智能電話上使用的PIN(個人標(biāo)識號碼)碼的運(yùn)種數(shù) 據(jù)庫，PIN碼中的一些可能屬于將設(shè)備分發(fā)給用戶雇員的公司，并且PIN碼中的一些可直接 屬于雇員。PIN通常僅被用戶知曉并根據(jù)來自多個源的要求被設(shè)置。將新的PIN從管理服務(wù) 推送到設(shè)備可能是不可能的，因?yàn)樵O(shè)置針對PIN的要求的實(shí)際策略對于設(shè)備是已知的但是 對于服務(wù)器不是已知的。
[0005] 懸
[0006] ^本概述W便W簡化的形式介紹W下在詳細(xì)描述中進(jìn)一步描述的一些概念。本 概述并不旨在標(biāo)識所要求保護(hù)主題的關(guān)鍵特征或必要特征，也不旨在用于限制所要求保護(hù) 主題的范圍。
[0007] 提供了通過使得用戶設(shè)備憑證能在用戶設(shè)備上生成來實(shí)現(xiàn)對用戶設(shè)備憑證的安 全遠(yuǎn)程修改W及實(shí)現(xiàn)本文中描述的附加實(shí)施例的方法、系統(tǒng)和計算機(jī)程序產(chǎn)品。例如，提供 了將各種對于用戶設(shè)備的管理系統(tǒng)而言可能不知曉的因素(例如，所要求的口令復(fù)雜性)考 慮在內(nèi)的用于安全地且遠(yuǎn)程地修改用戶設(shè)備上的憑證的技術(shù)。對憑證的修改也可在不向管 理員披露新的或舊的憑證的情況下來執(zhí)行。
[000引例如，在一個實(shí)現(xiàn)中，提供了用戶設(shè)備中的方法。多個憑證策略被用戶設(shè)備存儲。 憑證策略設(shè)置針對憑證（例如，PIN碼或口令）的規(guī)則/要求，并可包括但不限于，憑證的長 度、復(fù)雜性、歷史要求和/或其它要求。憑證策略被合并來生成合并憑證策略。由用戶設(shè)備從 受信服務(wù)接收到指令來發(fā)起設(shè)備憑證改變。至少基于合并憑證策略來在用戶設(shè)備上生成新 的設(shè)備憑證。
[0009] 在一個方面，新的設(shè)備憑證可被存儲在用戶設(shè)備的存儲中并被傳送到受信服務(wù)。 在一替換方面，新的設(shè)備憑證可被存儲在用戶設(shè)備的存儲中，而不被傳送到受信服務(wù)。
[0010] 此外，在一實(shí)現(xiàn)中，可至少基于合并憑證策略W及受信服務(wù)知曉的種子來生成新 的設(shè)備憑證。新的設(shè)備憑證可被生成W具有相關(guān)聯(lián)的活動壽命。
[0011] 可從嘗試訪問用戶設(shè)備的用戶接收訪問請求。用戶可被請求來至少提供被啟用來 訪問用戶設(shè)備的新的設(shè)備憑證。除了提供被啟用來訪問用戶設(shè)備的新的設(shè)備憑證之外，用 戶可附加地被請求回答至少一個安全性問題、使用先前與設(shè)備相關(guān)聯(lián)的智能卡來認(rèn)證和/ 或提供另一認(rèn)證因素。
[0012] 在另一實(shí)現(xiàn)中，提供了用戶設(shè)備。用戶設(shè)備包括存儲、設(shè)備管理引擎和憑證生成引 擎。該存儲存儲多個憑證策略。設(shè)備管理引擎被配置成合并憑證策略來生成經(jīng)合并的憑證 策略。設(shè)備管理引擎被配置成從受信服務(wù)接收指令來發(fā)起設(shè)備憑證改變，W及指令憑證生 成引擎來至少基于合并憑證策略生成新的設(shè)備憑證。
[0013] 在一個實(shí)現(xiàn)中，設(shè)備管理引擎被配置成響應(yīng)于接收自受信服務(wù)的設(shè)備憑證檢索請 求來將新的設(shè)備憑證傳送到受信服務(wù)。在一替換方面，設(shè)備管理引擎被配置成將新的設(shè)備 憑證存儲在存儲中，并且新的設(shè)備憑證不被傳送到受信服務(wù)。
[0014] 在一實(shí)現(xiàn)中，憑證生成引擎可被配置成至少基于合并憑證策略W及受信服務(wù)知曉 的種子來生成新的設(shè)備憑證。憑證申生成引擎可被配置成生成新的設(shè)備憑證來具有相關(guān)聯(lián) 的活動壽命。
[0015] 用戶設(shè)備還可包括訪問用戶接口，其被配置成從嘗試訪問用戶設(shè)備的用戶接收訪 問請求并被配置成要求用戶至少提供被啟用來訪問用戶設(shè)備的新的設(shè)備憑證。訪問用戶接 口可被配置成請求用戶除了提供被啟用來訪問用戶設(shè)備的新的設(shè)備憑證之外回答至少一 個安全性問題。
[0016] 本文中也公開了根據(jù)本文中描述的實(shí)施例的具有存儲在其中的計算機(jī)程序指令 的計算機(jī)可讀存儲介質(zhì)，該計算機(jī)程序指令通過使得用戶設(shè)備憑證能夠在用戶設(shè)備上生成 來實(shí)現(xiàn)對用戶設(shè)備憑證的安全遠(yuǎn)程修改。
[0017] 下面將參考各個附圖，詳細(xì)描述本發(fā)明的進(jìn)一步特點(diǎn)和優(yōu)點(diǎn)，W及本發(fā)明的各實(shí) 施例的結(jié)構(gòu)和操作。值得注意的是，本發(fā)明不僅限于此處所描述的特定實(shí)施例。本文呈現(xiàn)運(yùn) 些實(shí)施例僅用于說明性的用途。基于本文所包含的描述，其它實(shí)施例對于相關(guān)領(lǐng)域的技術(shù) 人員將是顯而易見的。
【附圖說明】
[0018] 結(jié)合到本說明書并構(gòu)成本說明書的一部分的附圖示出了本發(fā)明的各個實(shí)施例，且 與描述一起，進(jìn)一步用于說明本發(fā)明的原理，并允許相關(guān)領(lǐng)域技術(shù)人員實(shí)施和使用運(yùn)些實(shí) 施例。
[0019] 圖1示出根據(jù)一示例實(shí)施例的通信系統(tǒng)的框圖，其中服務(wù)器設(shè)備與用戶設(shè)備通信 W致使針對用戶設(shè)備生成新的設(shè)備憑證。
[0020] 圖2示出根據(jù)一示例實(shí)施例的在服務(wù)器中提供用于致使用戶設(shè)備生成新的設(shè)備憑 證的過程的流程圖。
[0021] 圖3示出根據(jù)一示例實(shí)施例的在用戶設(shè)備中提供用于合并設(shè)備憑證策略并基于合 并設(shè)備憑證策略來生成新的設(shè)備憑證的過程的流程圖。
[0022] 圖4示出根據(jù)一示例實(shí)施例的被配置成合并設(shè)備憑證策略并在受服務(wù)器指令時基 于合并設(shè)備憑證策略來生成新的設(shè)備憑證的用戶設(shè)備的框圖。
[0023] 圖5示出根據(jù)一示例實(shí)施例的被配置成合并設(shè)備憑證策略的設(shè)備管理引擎的框 圖。
[0024] 圖6示出根據(jù)一示例實(shí)施例的其中用戶設(shè)備和受信服務(wù)被配置成基于被存儲在受 信服務(wù)和用戶設(shè)備兩者上的相同的種子值來獨(dú)立地生成針對用戶設(shè)備的新的設(shè)備憑證的 通信系統(tǒng)的框圖。
[0025] 圖7示出根據(jù)一示例實(shí)施例的在用戶設(shè)備中提供用于生成與基于相同的種子值由 受信服務(wù)針對用戶設(shè)備獨(dú)立地生成的新的設(shè)備憑證相同的針對該用戶設(shè)備生成的新的設(shè) 備憑證的過程的流程圖。
[0026] 圖8示出其中可實(shí)現(xiàn)各個實(shí)施例的示例性用戶設(shè)備的框圖。
[0027] 圖9示出可被用來實(shí)現(xiàn)各個實(shí)施例的示例計算設(shè)備的框圖。
[0028] 當(dāng)結(jié)合其中相同的附圖標(biāo)記標(biāo)識對應(yīng)的元素的附圖時，本發(fā)明的特征和優(yōu)點(diǎn)將從 W下闡述的詳細(xì)描述中變得更加顯而易見。在附圖中，相同的參考標(biāo)號一般指相同的、功能 上相似的和/或結(jié)構(gòu)上相似的元素。其中元素第一次出現(xiàn)的附圖由對應(yīng)的參考標(biāo)號中最左 側(cè)的數(shù)字指示。
[0029] 詳細(xì)描述
[0030] I.介紹
[0031] 本說明書公開了包括本發(fā)明的各特征的一個或多個實(shí)施例。所公開的實(shí)施例只例 示了本發(fā)明。本發(fā)明的范圍不僅限于所公開的實(shí)施例。本發(fā)明由所附的權(quán)利要求進(jìn)行限定。
[0032] 說明書中對"一個實(shí)施例"、"一實(shí)施例"、"一示例實(shí)施例"等等的引用表示所描述 的實(shí)施例可包括特定特征、結(jié)構(gòu)或特性，但是，每一個實(shí)施例可不必包括該特定特征、結(jié)構(gòu)， 或特征。此外，運(yùn)些短語不一定指相同的實(shí)施例。此外，當(dāng)關(guān)于某一實(shí)施例描述特定特征、結(jié) 構(gòu)或特性時，不管是否被明確描述，關(guān)于其他實(shí)施例來實(shí)現(xiàn)該特征、結(jié)構(gòu)或特性被認(rèn)為是在 本領(lǐng)域技術(shù)人員的知識范圍內(nèi)。
[0033] W下描述多個示例性實(shí)施例。應(yīng)當(dāng)注意，在此提供的任何章節(jié)/子章節(jié)標(biāo)題不旨在 限制。本文檔中描述了各實(shí)施例，并且任何類型的實(shí)施例可被包括在任何章節(jié)/子章節(jié)下。 此外，在任何章節(jié)/子章節(jié)中公開的各實(shí)施例可與在相同章節(jié)/子章節(jié)和/或不同章節(jié)/子章 節(jié)中描述的任何其它實(shí)施例W任何方式組合。
[0034] II.示例實(shí)施例
[0035] 本文中描述了實(shí)現(xiàn)對用戶設(shè)備憑證的安全遠(yuǎn)程修改的各實(shí)施例。在一實(shí)施例中， "受信服務(wù)"被啟用來遠(yuǎn)程地改變用戶設(shè)備上的憑證。用戶設(shè)備之前已經(jīng)與"受信服務(wù)"雙向 地認(rèn)證。此外，用戶設(shè)備向"受信服務(wù)"授予經(jīng)由安全信道來通信、發(fā)起動作和修改數(shù)據(jù)的能 力。運(yùn)允許"受信服務(wù)"添加、更新和修改用戶設(shè)備上基于憑證的策略。"受信服務(wù)"可請求用 戶設(shè)備生成新的憑證，該新的憑證滿足用戶設(shè)備上設(shè)置的"受信服務(wù)"可知情或可不知情的 口令策略。該請求可添加附加的要求，可修改或擴(kuò)充存儲在用戶設(shè)備上的憑證策略(例如， 受信服務(wù)可提供憑證策略)和/或可提供在該設(shè)備上必須被滿足或被提供W用于要被使用 的所生成的憑證的附加和/或替換數(shù)據(jù)。在用戶設(shè)備成功地改變用戶設(shè)備上的憑證后，如果 用于允許"受信服務(wù)"檢索憑證的準(zhǔn)則被滿足，則"受信服務(wù)"可遠(yuǎn)程地檢索憑證。用戶設(shè)備 上對新的憑證的生成的發(fā)起可由IT管理員和/或由用戶自己來執(zhí)行(例如，使用認(rèn)證用戶并 允許用戶在受管設(shè)備上執(zhí)行某些操作的自服務(wù)口戶）。
[0036] 因此，新的憑證(例如，新的口令、新的PIN碼等等）可根據(jù)來自多個管理源的要求 來在用戶設(shè)備上生成。有效的策略是合并來自Exchange(交換)服務(wù)器(例如，電子郵件或其 它消息收發(fā)服務(wù)器）、移動設(shè)備管理(MDM)系統(tǒng)、內(nèi)建準(zhǔn)則等中的一個或多個的多個策略的 產(chǎn)品。
[0037] 在一實(shí)施例中，遠(yuǎn)程服務(wù)可發(fā)起對用戶設(shè)備上的憑證的改變W保護(hù)用戶設(shè)備(在 遠(yuǎn)程服務(wù)不向該設(shè)備提供新的憑證的情況下）。
[0038] 在一實(shí)施例中，針對用戶設(shè)備的新生成的憑證(在用戶設(shè)備處生成的）可被提供給 用戶，而不向用戶設(shè)備的IT管理員披露該新生成的憑證。
[0039] 在一實(shí)施例中，用戶設(shè)備生成的憑證可由"受信服務(wù)"（本文中也稱為"遠(yuǎn)程服務(wù)"