專利名稱：用于可信認(rèn)證和登錄的方法和裝置的制作方法
技術(shù)領(lǐng)域：
本申請涉及認(rèn)證和接入。
背景技術(shù)：
身份管理以及用戶認(rèn)證和接入對于網(wǎng)絡(luò)(Web)使用、移動服務(wù)、無線通信和其他服務(wù)來說是至關(guān)重要的問題。存在許多認(rèn)證和接入?yún)f(xié)議。例如，開放ID (OpenID)是開放的、 分散的構(gòu)架，并且是用于用戶認(rèn)證和接入控制的方法。單個數(shù)字身份允許用戶登錄一次，并且獲得對多個服務(wù)的接入。數(shù)字身份通常是以唯一通用資源定位符(URL)為形式的，該URL 通常由身份提供方提供(host)。當(dāng)用戶期望用數(shù)字身份接入服務(wù)提供方時，所述身份提供方對該用戶進(jìn)行認(rèn)證。OpenID構(gòu)架允許用不同的認(rèn)證方法來認(rèn)證用戶。為了聲明在身份提供方處的身份，能夠使用幾種方法；最常用的是登錄表格(form)的使用，用戶在該登錄表格中提供密碼。然而，沒有使用可信的系統(tǒng)，依賴方將不能獲得足夠的證據(jù)來建立與遞交認(rèn)證憑證的通信伙伴之間的信任關(guān)系。用戶憑證(例如，以用戶名/密碼相結(jié)合的形式)不被綁定至平臺，因此能夠被盜取。攻擊者能夠使用盜取到的憑證來以合法用戶的名義接入服務(wù)。通過將用于OpenID協(xié)議的認(rèn)證憑證綁定至平臺及其該平臺值得信賴的狀態(tài)，能夠提高OpenID協(xié)議的保密性和安全性。在基于權(quán)證(ticket)的認(rèn)證和授權(quán)協(xié)議中，軟件令牌(即，權(quán)證)用于證明單個實(shí)體/用戶的身份?；谶@些令牌，針對特定系統(tǒng)的接入被限制于產(chǎn)生合適的令牌的實(shí)體 /用戶。此外，被包括在令牌中的數(shù)據(jù)除了可以用于只實(shí)施認(rèn)證之外，還可以用于實(shí)施能夠進(jìn)行基于令牌的接入控制方案的認(rèn)證控制。另一個認(rèn)證和授權(quán)協(xié)議將證明(attestation)身份密鑰(AIK)用作識別權(quán)證系統(tǒng)中的憑證，其中該AIK由可信平臺模塊(TPM)在可信計(jì)算環(huán)境中生成。AIK用于對信任測量簽名，以及證實(shí)(certify))由TPM生成的密鑰。這樣的基于可信權(quán)證的系統(tǒng)的當(dāng)前實(shí)施需要使用中央數(shù)據(jù)庫來維護(hù)用于權(quán)證加密的共享密鑰數(shù)據(jù)庫或公鑰基礎(chǔ)設(shè)施(PKI)，并且所有服務(wù)提供方需要被修改以評估和接受所接收到的權(quán)證。

發(fā)明內(nèi)容
公開了用于可信認(rèn)證和登錄的方法和裝置?；诳尚牌脚_模塊(TPM)的登錄方法被提出以用于認(rèn)證和接入。用戶利用與該用戶的特定平臺(例如，TPM)緊緊綁定的身份提供方來注冊身份。例如，如果用戶決定使用這個身份來登入到服務(wù)提供方，則身份提供方質(zhì)詢(challenge)用戶提供正確的憑證。在這種方法中，用于合并密碼憑證鏈的憑證由TPM 生成的權(quán)證組成。這允許用戶登入而不需要在身份提供方處的密碼。在用戶的特定平臺處的本地密碼可以一直被使用以保護(hù)身份不受本地攻擊。登錄與特定平臺的完整性驗(yàn)證結(jié)合。使用對TPM的平臺配置寄存器(PCR)的TPM 簽名的聲明，其中該P(yáng)CR安全地存儲系統(tǒng)配置，身份提供方可以將報(bào)告的系統(tǒng)狀態(tài)和先前生成的參考值進(jìn)行比較，并且只允許合法用戶使用值得信賴的平臺來登入，并且聲明身份。
4這個結(jié)合的認(rèn)證和證明，通過不僅將認(rèn)證數(shù)據(jù)綁定到特定的平臺，而且將該認(rèn)證數(shù)據(jù)綁定到被認(rèn)為是值得信賴的預(yù)定義的系統(tǒng)狀態(tài)來允許細(xì)粒度(fine grained)接入控制。這能夠允許用于認(rèn)證和接入方法的新的使用情況，該新的使用情況需要增強(qiáng)的系統(tǒng)保密性和安全性，以及將不允許任何導(dǎo)致不值得信賴系統(tǒng)的修改。


更詳細(xì)的理解可以從以下結(jié)合附圖并且舉例給出的描述中得到，其中圖1示出了用于認(rèn)證和接入系統(tǒng)的示例高層架構(gòu)；圖2示出了用于認(rèn)證和接入方法的示例高層信號流圖；圖3(a)和3(b)示出了用于認(rèn)證和接入方法的示例信號流圖；圖4是長期演進(jìn)(LTE)的無線通信系統(tǒng)/接入網(wǎng)的實(shí)施方式；以及圖5是LTE無線通信系統(tǒng)的無線發(fā)射/接收單元和基站的示例方框圖。
具體實(shí)施例方式下文涉及的術(shù)語“無線發(fā)射/接收單元(WTRU) ”包括，但并不限于用戶設(shè)備(UE)、 移動站、固定或移動訂戶単元、尋呼機(jī)、蜂窩電話、個人數(shù)字助理(PDA)、計(jì)算機(jī)或者能在無線環(huán)境下操作的任何一種類型的用戶設(shè)備。下文涉及的術(shù)語“基站”包括但并不限于節(jié)點(diǎn) B、演進(jìn)型節(jié)點(diǎn)B、站點(diǎn)控制器、接入點(diǎn)(AP)或者能在無線環(huán)境下操作的任何一種類型的接 ロ設(shè)備。這里的公開內(nèi)容將OpenID協(xié)議用作示例認(rèn)證和接入系統(tǒng)，并且可應(yīng)用至其他認(rèn)證和接入系統(tǒng)。首先描述基本的實(shí)體和它們的高層流，之后詳細(xì)論述方法。圖1是示例認(rèn)證和接入系統(tǒng)100，該系統(tǒng)100包括但不限于客戶端/用戶平臺 110、身份提供方 120、隱私認(rèn)證中心(privacy certification authority PCA) 130 以及服務(wù)提供方140?？蛻舳?用戶平臺110、身份提供方120以及服務(wù)提供方140通過無線和有線通信系統(tǒng)的任意組合來與彼此通信?？蛻舳?用戶平臺110還與PCA 130通信，該P(yáng)CA 130與存儲介質(zhì)160通信，該存儲介質(zhì)160例如存儲證實(shí)(certification)?？蛻舳?用戶平臺110可以是WTRU、基站、計(jì)算平臺，或者任何可能需要認(rèn)證的設(shè)備?？蛻舳?用戶平臺110包括但不限于可信平臺模塊(TPM) 115，該TPM 115為客戶端/ 用戶平臺110提供遠(yuǎn)程證明以及數(shù)據(jù)密封和綁定能力。TPM 115是存儲密鑰、密碼、數(shù)字證書的微控制器，并且該TPM 115能夠生成密碼密鑰。該TPM可以附著在母板上，或者集成在系統(tǒng)的芯片組中，并且可以用在任何需要這些功能的計(jì)算設(shè)備中。TPM 115確保存儲在其中的信息變得更加安全，以防止來自外部的軟件攻擊、物理篡改以及竊聽。如果在啟動順序期間針對組件采用的測量值不如預(yù)期的那樣等于參考測量，則TMP 115或客戶端/用戶平臺 110中針對數(shù)據(jù)和秘密的接入可以被拒絕。由此，如安全電子郵件、安全網(wǎng)絡(luò)接入以及數(shù)據(jù)的本地保護(hù)之類的重要應(yīng)用和能力變得更加安全。盡管這里討論的是可信平臺模塊，但是其他可替換的信任中心可以被使用，例如，移動可信模塊。TPM 115使用簽注密鑰(EK)，該EK是2048比特RSA公共和私有密鑰對，在制造期間，該密鑰對在芯片上被隨機(jī)地創(chuàng)建，并且不能夠被改變。私有密鑰從不離開芯片，而公共密鑰則用于證明以及用于發(fā)送給芯片的敏感數(shù)據(jù)的加密。EK的公共部分通常經(jīng)由EK證書而被PCA 130已知，以用于證明的目的?？傮w來說，無論TPM 115何時需要向檢驗(yàn)者(例如， 身份提供方)來認(rèn)證它自己，它都生成第二個被稱作證明身份密鑰(AIK)的RSA密鑰對，將該AIK公共密鑰發(fā)送至PCA 130，并且相對相應(yīng)的EK認(rèn)證這個公共密鑰。如果PCA 130在它的列表中發(fā)現(xiàn)這個EK，則它在TPM 115的AIK上發(fā)出證書。TPM 115隨后可以提供這個證書給身份提供方120，并且認(rèn)證它自己。如這里所陳述的，AIK(在該AIK中至少包含身份)表示這里所描述的權(quán)證的至少一部分。然而，作為權(quán)證的AIK的使用受TPM 115限制。因此，一個被稱為證實(shí)密鑰操作的間接手段被使用，其中，由TPM 115生成簽名密鑰，并且通過用AIK對該簽名密鑰進(jìn)行簽名來證實(shí)該簽名密鑰。這個密鑰被稱作證實(shí)的簽名密鑰(CSK)。該CSK和AIK與證明AIK有效的PCA —起組成這里所描述的權(quán)證的一部分。客戶端/用戶平臺110還包括生成用于服務(wù)接入的憑證或者權(quán)證的權(quán)證服務(wù)器 150。權(quán)證服務(wù)器150認(rèn)證用戶。權(quán)證服務(wù)器150使用平臺證明的可信計(jì)算方法來向身份提供方120確認(rèn)(validate)客戶端/用戶平臺110和它自己。權(quán)證服務(wù)器150不存在于當(dāng)前不可信的OpenID架構(gòu)中，其中，對應(yīng)的角色只由本地憑證存儲器扮演。由于更安全緊要的信息和操作集中在權(quán)證服務(wù)器150中，因此該權(quán)證服務(wù)器150必須是可信的，以恰當(dāng)?shù)靥幚鞟IK證書和CSK，并且不將他們散播到其他平臺；保護(hù)權(quán)證和憑證；保護(hù)對由用戶授權(quán)的所有證書的任何安全緊要的操作；提供將被直接集成在公共網(wǎng)絡(luò)瀏覽器中并且將通過該公共網(wǎng)絡(luò)瀏覽器來接入的安全選項(xiàng)；以及集合、處理和發(fā)送平臺確認(rèn)數(shù)據(jù)。這個在這里被詳細(xì)公開。用戶需要選擇PCA 130來證實(shí)在TPM 115中創(chuàng)建的AIK。PCA 130可以保留所有與身份相關(guān)的信息，并且需要采取契約措施，以確保這個與身份相關(guān)的信息不公開。在PCA 130處證實(shí)AIK以后，用戶可以選擇身份提供方120來提供(host)被聲明的身份。該被聲明的身份通過由用戶選擇出的通用資源標(biāo)識符(URI)來表示。為了注冊這樣的被聲明的身份，用戶必須向身份提供方120提供有效的AIK證書。這個在這里被詳細(xì)公開。身份提供方120可以只存在最少量的與身份相關(guān)的信息。用戶可以決定在PCA 130處提供(host)的哪些信息可以并且將被透露給身份提供方120。需要采用契約措施以確保各方之間的協(xié)調(diào)，否則，流氓PCA能夠證實(shí)屬于不同用戶的身份。由于PCA 130將不向身份提供方120透露用戶的真實(shí)身份，因此身份提供方120將不能將不同的請求鏈接到單個身份。PCA 130只是一個能夠?qū)⒈宦暶鞯纳矸萁馕龀烧鎸?shí)身份的例子。這個可以很容易地通過保持安全的數(shù)據(jù)庫來實(shí)現(xiàn)，其中，該數(shù)據(jù)庫將(唯一的)EK證書映射至AIK。在AIK 證實(shí)期間使用的EK證書允許TPM 115的無疑的標(biāo)識，并因此允許客戶端/用戶平臺110(假定只有一個用戶具有對解析該用戶的平臺110的接入)。服務(wù)提供方140只需要使得身份提供方登入網(wǎng)站。例如，在首頁上，服務(wù)提供方 140可以具有OpenID登入標(biāo)志。由用戶/客戶端使用的身份提供方120需要在服務(wù)提供方 140的已知且接受的身份提供方的列表中?，F(xiàn)在參考圖2，此處示出了用于在圖1中所公開的系統(tǒng)100的示例高層信號流 200。如這里所討論的，客戶端/用戶或用戶平臺210、服務(wù)提供方215和身份提供方220 (作為示例OpenID提供方示出)被配置以用于彼此間的通信。
客戶端/用戶平臺210使用它的網(wǎng)絡(luò)瀏覽器225經(jīng)由接入網(wǎng)頁消息227來接入服務(wù)提供方網(wǎng)頁(被標(biāo)識為索引.jsp 235)。例如，如果客戶端/用戶210想要使用他的 OpenID URI來登入，則在服務(wù)提供方215處的索引.jsp頁面235經(jīng)由OpenID登錄表格消息2 來請求該URI，并因此經(jīng)由OpenID身份消息231來獲取提供(host)被聲明的身份的 OpenID提供方220的地址。服務(wù)提供方215隨后試圖形成與OpenID提供方220的關(guān)聯(lián)。根據(jù)OpenID協(xié)議， 服務(wù)提供方215經(jīng)由關(guān)聯(lián)消息241來與OpenID提供方220相關(guān)聯(lián)。如果認(rèn)證成功，則上述關(guān)聯(lián)包括經(jīng)由關(guān)聯(lián)消息243到由OpenID提供方220發(fā)送給客戶端/用戶平臺210的重定向消息247的請求、被聲明的身份以及返回URL的安全交換。這個由服務(wù)提供方215處的用戶重定向.jsp 240和OpenID提供方220處的提供方.jsp 245執(zhí)行。在關(guān)聯(lián)之后，客戶端/用戶平臺210經(jīng)由至OpenID提供方的重定向消息249被重定向至OpenID提供方220 的提供方.jsp網(wǎng)頁M5。OpenID提供方220隨后從提供方.jsp網(wǎng)頁245轉(zhuǎn)換至提供方授權(quán).jsp網(wǎng)頁255， 以認(rèn)證客戶端/用戶平臺210。用戶通過點(diǎn)擊該提供方授權(quán).jsp網(wǎng)頁255上的鏈接來發(fā)起請求。這啟動新的后臺線程TT驗(yàn)證器258，該TT驗(yàn)證器258經(jīng)由質(zhì)詢消息252來質(zhì)詢權(quán)證服務(wù)器250。提供方授權(quán).jsp網(wǎng)頁255重定向客戶端/用戶平臺210返回至提供方.jsp 網(wǎng)頁對5，該提供方.jsp網(wǎng)頁245等待TT驗(yàn)證器258完成和評估在質(zhì)詢答復(fù)消息254中提供的質(zhì)詢結(jié)果。如這里所描述的，權(quán)證服務(wù)器250使用TPM功能生成包括權(quán)證的合適的答復(fù)，以及一般與TPM 250、PCA 275和存儲介質(zhì)觀0 (例如，保留證實(shí))交互。假定認(rèn)證成功，提供方.jsp網(wǎng)頁M5向客戶端/用戶平臺210發(fā)送重定向消息 262.重定向消息沈2經(jīng)由至服務(wù)的重定向消息264來將客戶端/用戶平臺210重定向至服務(wù)提供方215處的用戶返回url. jsp頁面沈5。該用戶返回url. jsp頁面265檢查來自相關(guān)聯(lián)的OpenID提供方220的重定向，以及經(jīng)由服務(wù)消息267來準(zhǔn)許對客戶端/用戶平臺 210的接入?，F(xiàn)在參考圖3 (a)和3 (b)，此處示出了權(quán)證服務(wù)器305和權(quán)證質(zhì)詢器310之間的信號流程圖300。另外還示出了權(quán)證服務(wù)器305和PCA 315、證實(shí)存儲介質(zhì)320和TPM 325之間的信號流。權(quán)證服務(wù)器305運(yùn)行作為客戶端上的服務(wù)應(yīng)用。它在預(yù)定義的端口上偵聽并且等待質(zhì)詢。在接收到質(zhì)詢消息327之后(該質(zhì)詢消息327包含用戶想要在例如OpenID中使用的身份，和在服務(wù)提供方處發(fā)出的服務(wù)請求)，要求用戶使用應(yīng)答消息3 來明確地允許質(zhì)詢。用戶具有拒絕該質(zhì)詢的選項(xiàng)。如果被拒絕，則OpenID認(rèn)證將失敗。如果該質(zhì)詢被接受，則提示用戶輸入用于與給定身份相對應(yīng)的AIK的密碼，并且提示用戶通過在權(quán)證服務(wù)器305處輸入存儲根密鑰(SRK)密碼來認(rèn)證TPM 325使用。該 SRK隨后被包括在TPM命令中，該TPM命令能夠接入受TPM保護(hù)的密鑰。權(quán)證服務(wù)器305之后嘗試從證書存儲介質(zhì)320中獲取先前獲得的用于這個身份的AIK證書，這些被全體地顯示為335，該335被需要以用于如這里所討論的系統(tǒng)狀態(tài)信息獲取345和TC權(quán)證生成350。 證書能夠來自先前的具有PCA(如，PCA 315)的AIK證實(shí)，并且因此能夠從系統(tǒng)上的本地證書存儲器(如，證實(shí)存儲介質(zhì)320)中獲取，或者如果在本地存儲器中該證書不可用(或者在本地存儲器中用于AIK的證書已期滿或者由于任何原因變成無效)，則用于由AIK表示的身份的新證書能夠從PCA315中被請求。特別地，如果在證書存儲介質(zhì)320中不能找到證書， 則用戶可以選擇PCA 315來連接以經(jīng)歷AIK證實(shí)過程，并且獲取用于AIK的證書。因此，用戶必須提供TPM 325的正確的所有者密碼。這防止由TPM325的所有者之外的人創(chuàng)建流氓身份。如下面示出的，由權(quán)證服務(wù)器305將用戶輸入轉(zhuǎn)發(fā)至TPM 325，在該TPM 325中評估密碼。響應(yīng)于接受質(zhì)詢，權(quán)證質(zhì)詢器310創(chuàng)建隨機(jī)的隨機(jī)數(shù)(nonce) 337。權(quán)證服務(wù)器305 經(jīng)由隨機(jī)數(shù)消息339接收來自權(quán)證質(zhì)詢器310的隨機(jī)的隨機(jī)數(shù)337。描述系統(tǒng)配置(包括隨機(jī)數(shù))的PCR值的AIK簽名的引用Q從TPM 325中獲取，做出關(guān)于系統(tǒng)狀態(tài)的聲明，共同顯示為；345。權(quán)證服務(wù)器305隨后創(chuàng)建TC權(quán)證，共同顯示為350。TC權(quán)證創(chuàng)建350包含由TPM 創(chuàng)建新密鑰(RSA密鑰對)，該新密鑰可用于對請求和身份進(jìn)行簽名。如這里描述的，使用證實(shí)密鑰操作，用AIK證實(shí)這個新密鑰。也就是說，TPM使用用于這個新創(chuàng)建的密鑰對的證實(shí)密鑰功能來生成證實(shí)聲明和綁定，其中綁定是指從PCA建立至AIK和AIK證書的信任鏈。 當(dāng)成功證實(shí)新創(chuàng)建的密鑰時，則將該新創(chuàng)建的密鑰稱作證實(shí)的簽名密鑰(CSK)。在TPM中可以有多個CSK和多個AIK (或者在由TPM保護(hù)的安全存儲器中，由TPM保護(hù))。驗(yàn)證(verify) TC權(quán)證350所需要的信息被包括在該權(quán)證350中，以使接收方(在圖3 (a)和3(b)中由權(quán)證質(zhì)詢器310表示)可以容易地驗(yàn)證該TC權(quán)證350。與純文本測量日志(Iog)ML和引用Q—起，包括TC權(quán)證350的響應(yīng)經(jīng)由TCT、Q、ML消息352被發(fā)回至權(quán)證質(zhì)詢器310。CH響應(yīng)和ACK消息(整體表示為351)是用于通知接收方(即，權(quán)證質(zhì)詢器310)下一個消息將包含TC權(quán)證350、引用和ML的協(xié)議信令消息。應(yīng)當(dāng)注意的是，在該過程中的這個接合點(diǎn)處，圖3(a)和3(b)表示圖2中的TT驗(yàn)證器線程258的內(nèi)部操作。由于OpenID提供方可以同時處理多個請求，因此它必須確保每個請求的客戶端獲取新的、新鮮(fresh)且唯一的質(zhì)詢，以防止重放攻擊。在經(jīng)由消息355應(yīng)答TC權(quán)證350之后，權(quán)證質(zhì)詢器310目前具有下列數(shù)據(jù)來自 TPM 325的AIK簽名的引用，該引用包括作為反重放保護(hù)的隨機(jī)數(shù)337 ；純文本測量文件； TC權(quán)證350，該TC權(quán)證350包括簽名的身份字符串、簽名的請求字符串、CSK的公共密鑰部分、在CSK的公共密鑰部分上的AIK簽名、以及由PCA 315發(fā)出的AIK證書。為了認(rèn)證客戶端，權(quán)證質(zhì)詢器310檢查下列信息，該信息共同被顯示為360 :AIK證書的確認(rèn)(時間戳)； 驗(yàn)證AIK證書上的PCA簽名；驗(yàn)證TC權(quán)證350中的Cl公共密鑰散列(hash)上的AIK簽名；驗(yàn)證服務(wù)請求上的簽名和TC權(quán)證350中的身份；確認(rèn)測量列表中的項(xiàng)(entry)；以及驗(yàn)證實(shí)際(被引用的)平臺配置寄存器(PCR)值與測量列表ML對應(yīng)。如果在這個驗(yàn)證過程中任何一項(xiàng)失敗，則將不能認(rèn)證客戶端。特定的憑證鏈由權(quán)證服務(wù)器305和PCA 315建立，即AIK證書-證實(shí)的CSK-簽名的請求。向用戶發(fā)送驗(yàn)證狀態(tài)消息365。這個也被例如圖2中的重定向消息262示出。在該示例中，消息262可以將用戶的瀏覽器重定向至服務(wù)提供方返回url，或者在服務(wù)提供方處認(rèn)證該用戶。如果上述驗(yàn)證中的任何一個失敗(證書實(shí)效或系統(tǒng)完整性失效)，則重定向?qū)⒃撚脩舭l(fā)送至OpenID提供方處的“認(rèn)證失敗”頁面。作為替換，在認(rèn)證失敗的情況下，在OpenID提供方處創(chuàng)建定制的結(jié)果頁面是可能的，該結(jié)果頁面顯示失敗的原因。這能夠包括給用戶顯示哪些模塊或軟件的完整性檢查失敗，并且能夠被影響(leverage)到建議用戶下一個步驟將該用戶的系統(tǒng)
8帶回值得信賴的狀態(tài)的系統(tǒng)?？紤]到這里的公開，PCA(例如，PCA 275)的角色不同于其在當(dāng)前使用可信計(jì)算的權(quán)證系統(tǒng)中所扮演的角色。例如，針對特定服務(wù)提供方215將使用的每部分身份，PCA 275 可能只需要被調(diào)用一次。在初始注冊中，客戶端/用戶平臺210將它的平臺身份與假名的部分身份相關(guān)聯(lián)。PCA275提供用于這個假名身份的證書，并且存儲假名與平臺身份的關(guān)聯(lián)。 這個數(shù)據(jù)是私有敏感的，并因此需要被保護(hù)。在另ー示例中，與當(dāng)前權(quán)證系統(tǒng)相比，PCA 275 的定位允許附加的選項(xiàng)。這里公開的信任模型和方法允許在除身份提供方220之外的地方以及按用戶的選擇放置PCA275。在公開的方法和架構(gòu)中，用戶可以選擇任意的外部PCA，其中該外部PCA的AIK證書被身份提供方所接受，或者使用由該身份提供方直接或間接提供的PCA功能。在這個后者的示例中，PCA或PCA功能可以置于身份提供方以降低復(fù)雜性，并且經(jīng)由網(wǎng)絡(luò)(Web)表格提供向身份提供方注冊的無縫替換。由于它的特定的安全架構(gòu)，所提出的公開內(nèi)容減小了針對使用可信計(jì)算的身份管理系統(tǒng)的特定威脅，其中該身份管理系統(tǒng)依賴與身份相關(guān)的信息的加密。在可信OpenID 中，例如，AIK證書對于客戶端是已知且可見的；因此，該AIK證書不能包含威脅隱私的隱藏信息。在另ー個示例中，OpenID實(shí)施向用戶呈現(xiàn)OpenID提供方登入表格。該用戶輸入他/她的憑證，并且該OpenID提供方向用戶發(fā)出小型文字檔案(cookie)。這個cookie之后用于每個隨后的OpenID使能服務(wù)接入。這可以導(dǎo)致ー些對OpenID協(xié)議的攻擊(1)直接攻擊用于登入客戶端的OpenID提供方的用戶憑證(具有虛假OpenID提供方頁面的網(wǎng)絡(luò)釣魚將暴露大量用戶憑證，該網(wǎng)絡(luò)釣魚允許身份盜竊)以及；( 包含重新使用、復(fù)制的攻擊，以及在認(rèn)證之后從客戶端的計(jì)算機(jī)中盜竊cookie，導(dǎo)致身份失竊。通過這里所提出的公開內(nèi)容來減輕這兩種攻擊。所有用戶密碼是本地的，并且只提供給本地可信權(quán)證服務(wù)器，憑證網(wǎng)絡(luò)釣魚的問題被擊退。此外，假名身份被綁定至平臺 (例如，TPM)，因此它們不能被復(fù)制到另ー設(shè)備中。此外，cookie不能被存儲在客戶端平臺上。這可以防止本地重新使用的威脅。例如，考慮由多人共享的計(jì)算機(jī)。如果人物A登入到他的OpenID賬戶，并且忘記退出，則人物 B能夠使用所存儲的cookie來模擬A。選項(xiàng)可以將本發(fā)明公開的認(rèn)證方法無縫集成在網(wǎng)絡(luò)瀏覽器中。無論用戶何時想要使用可信的這里所公開的方法來接入服務(wù)，身份提供方創(chuàng)建用于權(quán)證服務(wù)器的新質(zhì)詢。用戶只看見來自可信權(quán)證服務(wù)器應(yīng)用的提示，該提示向客戶端要本地AIK密碼，其中需要該本地AIK密碼來答復(fù)質(zhì)詢。權(quán)證服務(wù)器不存儲這個AIK認(rèn)證秘密。如果在相同平臺上的另ー個用戶B想要接入該服務(wù)，則權(quán)證服務(wù)器再一次被身份提供方質(zhì)詢，并且B需要提供A的本地AIK密碼(B不知道該本地AIK密碼)。目標(biāo)是具有在客戶端的平臺上不被永久保存的一次性cookie。可替換地，將用戶認(rèn)證綁定至設(shè)備可以通過生物識別來促成。在集成的設(shè)備中，可以顯然地、動態(tài)地以及經(jīng)常地實(shí)現(xiàn)生物識別，由此總是確保設(shè)備正在由真實(shí)的用戶使用。這里的公開內(nèi)容可以以ー種方式使用在發(fā)出的cookie上的加密，以使目標(biāo)平臺 (從身份提供方的角度所看到的用戶平臺)和用戶可以對該加密進(jìn)行解密并將其用作認(rèn)證令牌。身份提供方使用秘密密鑰對cookie加密，并且將其發(fā)送至客戶端側(cè)的權(quán)證服務(wù)器，該權(quán)證服務(wù)器受公共CSK保護(hù)。盡管CSK不意味著任意數(shù)量的數(shù)據(jù)的大批量加密，但是它可以用于加密秘密密鑰，該秘密密鑰用于加密cookie。所述秘密密鑰可以是對稱的或不對稱的密鑰?？梢栽谛枰獣r使用TPM對cookie進(jìn)行解密。該解密需要用戶利用(本地)CSK秘密來認(rèn)證CSK使用。權(quán)證服務(wù)器確保cookie被加密存儲，以及只在需要的時候被解密。在另一個應(yīng)用中，公開的認(rèn)證和接入方法可以用于合并的認(rèn)證、接入和授權(quán)方法。 主要搜索引擎公司近來宣布支持開放授權(quán)(OAuth) ( S卩，示例API授權(quán)方法)，以當(dāng)接入網(wǎng)絡(luò)服務(wù)時提供無縫用戶體驗(yàn)。用戶將使用服務(wù)提供方提供的接入鏈接來接入網(wǎng)絡(luò)(Web)服務(wù)，并且與此同時，例如，經(jīng)由OAuth準(zhǔn)許針對服務(wù)提供方提供(hosted)的服務(wù)的網(wǎng)絡(luò)應(yīng)用接入。OpenID用于使用集中存儲的身份來認(rèn)證用戶。OAuth用于授權(quán)網(wǎng)絡(luò)服務(wù)訪問如日歷、 文檔等之類的用戶數(shù)據(jù)。在單個步驟中，兩種協(xié)議的合并改善單點(diǎn)登錄的用戶體驗(yàn)，并且允許新的網(wǎng)絡(luò)服務(wù)，該新的網(wǎng)絡(luò)服務(wù)需要接入不同的用戶數(shù)據(jù)，如混搭式應(yīng)用(mash-up)、控制板等。代替用戶的TPM只對身份提供方(如，OpenID質(zhì)詢)簽名，TPM將對合并的質(zhì)詢簽名，如由身份提供方通過網(wǎng)絡(luò)應(yīng)用的請求提出的OpenlD/OAuth質(zhì)詢。用戶識別和授權(quán)與接受數(shù)據(jù)接入由TPM安全地簽名。如這里所公開的，用戶的安全性通過下列方式被改善(1) 將登入和授權(quán)綁定至硬件TPM，以及( 由OpenlD/OAuth提供方提供平臺完整性驗(yàn)證，以防止運(yùn)行在客戶端上的惡意軟件盜取敏感數(shù)據(jù)。完整性驗(yàn)證還增加網(wǎng)絡(luò)應(yīng)用的安全水平。只有在被證明的完整性驗(yàn)證狀態(tài)中的客戶端可以被給予對網(wǎng)絡(luò)服務(wù)的接入。這允許建立用于安全性和隱私重要的應(yīng)用的新網(wǎng)絡(luò)服務(wù)。例如OAuth、令牌接入的授權(quán)提供方被TPM簽名的事實(shí)能夠被唯一地識別，所描述的方法提供不可否認(rèn)性。這促使可以由網(wǎng)絡(luò)應(yīng)用的服務(wù)提供方實(shí)施的計(jì)費(fèi)過程。簽名允許網(wǎng)絡(luò)應(yīng)用提供方證明用戶請求和接入的網(wǎng)絡(luò)服務(wù)?；赥PM的用戶認(rèn)證允許平臺身份和身份提供方之間的聯(lián)系。身份提供方需要保持用于給定平臺的注冊的身份的數(shù)據(jù)庫。當(dāng)檢測到使用注冊的身份中的一個來試圖從另一個平臺登入時，身份提供方(1)能夠/必須拒絕認(rèn)證，或者(2)可以通告該身份的合法所有者。身份提供方能夠通過給定的平臺憑證容易地區(qū)分合法用戶和攻擊者。在另一個示例中，方法可以包括證明機(jī)制。身份提供方可以質(zhì)詢用戶提供關(guān)于用戶平臺的系統(tǒng)狀態(tài)的信息。如果系統(tǒng)處于值得信賴的狀態(tài)，則將準(zhǔn)許接入。這將影響 (leverage)網(wǎng)絡(luò)應(yīng)用的安全性，因?yàn)橹挥小爸档眯刨嚒钡南到y(tǒng)可以接入網(wǎng)絡(luò)服務(wù)。在又一個示例中，代替用戶側(cè)的服務(wù)應(yīng)用來偵聽進(jìn)來的身份認(rèn)證請求并將該請求轉(zhuǎn)發(fā)至TPM，可以使用無縫瀏覽器整合。這可以通過使用實(shí)施可應(yīng)用功能的瀏覽器擴(kuò)展來實(shí)現(xiàn)。身份提供方發(fā)出位于登入頁面的HTML碼內(nèi)部的質(zhì)詢。瀏覽器擴(kuò)展可以讀取這個信息并將必要的數(shù)據(jù)轉(zhuǎn)發(fā)至TPM。而該TPM創(chuàng)建簽名的權(quán)證，以及將該簽名的權(quán)證返回至所述瀏覽器擴(kuò)展。該擴(kuò)展可以隨后發(fā)出正確的HTTPS響應(yīng)至身份提供方，該響應(yīng)包括簽名的權(quán)證。 在這種情況中，圖3(a)和3(b)的流將由代替獨(dú)立擴(kuò)展的無縫集成的瀏覽器擴(kuò)展處理。這個解決方案允許更好的便攜性以及更好的用戶體驗(yàn)。總體來說，用于來自用戶平臺的可信認(rèn)證和接入的方法包括使用預(yù)定的身份登錄服務(wù)提供方，其中，所述用戶平臺由服務(wù)提供方重定向至由預(yù)定的身份所指向的身份提供方。所述方法還包括接收來自身份提供方的認(rèn)證質(zhì)詢，并且在用戶平臺接受該認(rèn)證質(zhì)詢的情況下，響應(yīng)于該認(rèn)證質(zhì)詢，傳送基于可信平臺模塊(TPM)的權(quán)證。該方法還包括在成功接收來自身份提供方的權(quán)證驗(yàn)證時接入服務(wù)提供方。所述預(yù)定的身份由通用資源標(biāo)識符表示。所述方法還包括生成權(quán)證，該權(quán)證確認(rèn)所述用戶平臺和權(quán)證。所述認(rèn)證質(zhì)詢包括至少所述預(yù)定的身份和一類型的服務(wù)請求。所述方法還包括生成用于對所述預(yù)定的身份和所述服務(wù)請求簽名的證實(shí)的簽名密鑰。所述方法還包括提供用于對應(yīng)于所述預(yù)定的身份的證明身份密鑰(AIK)的密碼， 和用于認(rèn)證TPM使用的存儲根密鑰密碼。它還包括獲得對應(yīng)于證明身份密鑰(AIK)的證書。 該方法還包括在先前獲得的證書不可用的情況下生成證書。所述方法還包括接收隨機(jī)數(shù)以響應(yīng)于肯定的質(zhì)詢應(yīng)答，以及生成來自TPM的證明身份密鑰(AIK)簽名的引用，其中該AIK 簽名的引用包括所述隨機(jī)數(shù)。所述權(quán)證還包括證實(shí)的簽名密鑰(CSK)簽名的預(yù)定的身份、 CSK簽名的請求、CSK公共密鑰以及隱私認(rèn)證中心(PCA)發(fā)布的證明身份密鑰(AIK)證書。所述方法還包括在用戶平臺接受所述認(rèn)證質(zhì)詢的情況下，響應(yīng)于認(rèn)證質(zhì)詢，傳送來自TPM的平臺配置寄存器(PCR)的證明身份密鑰(AIK)簽名的引用和測量日志。成功的權(quán)證驗(yàn)證包括確認(rèn)AIK證書的時間戳、驗(yàn)證AIK證書上的PCA簽名、驗(yàn)證CSK公共密鑰上的 AIK簽名、驗(yàn)證CSK簽名的預(yù)定的身份、驗(yàn)證CSK簽名的請求、確認(rèn)所述測量日志以及確證所述引用。所述方法還包括接收加密的cookie以用于隨后的服務(wù)提供方接入，該cookie由證實(shí)的簽名密鑰保護(hù)。所述認(rèn)證質(zhì)詢包括授權(quán)質(zhì)詢。所述方法還包括證明質(zhì)詢。用于支持可信認(rèn)證和接入的裝置包括接口模塊，被配置成使用預(yù)定的身份接入服務(wù)提供方，其中，所述裝置被所述服務(wù)提供方重定向至由所述預(yù)定的身份所指向的身份提供方。所述裝置還包括權(quán)證服務(wù)器，被配置成在認(rèn)證質(zhì)詢被接受的情況下，通過傳送基于可信平臺模塊(TPM)的權(quán)證來響應(yīng)認(rèn)證質(zhì)詢。所述接口模塊還被配置成接收來自身份提供方的成功的權(quán)證驗(yàn)證，并且接入服務(wù)提供方上的服務(wù)。所述權(quán)證服務(wù)器還被配置成生成包括證實(shí)的簽名密鑰(CSK)簽名的預(yù)定的身份、CSK簽名的請求、CSK公共密鑰以及隱私認(rèn)證中心(PCA)發(fā)布的證明身份密鑰(AIK)證書在內(nèi)的權(quán)證。所述權(quán)證服務(wù)器還被配置成獲得來自TPM的證明身份密鑰(AIK)簽名的引用以及測量日志。所述權(quán)證服務(wù)器還被配置成接收隨機(jī)數(shù)并生成來自TPM的證明身份密鑰(AIK)簽名的引用，其中，所述AIK簽名的引用包括所述隨機(jī)數(shù)。如這里所公開的，用戶客戶端/平臺可以例如是在無線通信系統(tǒng)中使用的WTRU或者基站。在一個示例中，也應(yīng)用至其他無線通信系統(tǒng)。圖4示出了包括演進(jìn)的通用陸地?zé)o線電接入網(wǎng)絡(luò)(E-UTRAN) 405的長期演進(jìn)(LTE)無線通信系統(tǒng)/接入網(wǎng)400。E-UTRAN 405包括 WTRU 410 和一些演進(jìn)節(jié)點(diǎn) B (eNB) 420。WTRU 410 與 eNB 420 通信。eNB 420 使用 X2 接口與彼此對接。eNB 420中的每個通過Sl接口與移動性管理實(shí)體(MME)/服務(wù)網(wǎng)關(guān)(S_GW)430 對接。盡管圖4示出的是單個WTRU 410和三個eNB 420，但是很顯然的是無線和有線設(shè)備的任意組合可以被包括在無線通信系統(tǒng)接入網(wǎng)400中。圖5是LTE無線通信系統(tǒng)500的示例性方框圖，該LTE無線通信系統(tǒng)500包括WTRU 410、eNB 420 以及 MME/S-GW 430。如圖 5 所示，WTRU 410、eNB 420 以及 MME/S-GW 430 被配置成使用聯(lián)系執(zhí)行盲解碼(BD)復(fù)雜性降低的方法。除了可以在典型WTRU中找到的組件，WTRU 410包括具有可選連接存儲器522的處理器516，至少ー個收發(fā)信機(jī)514，可選電池520以及天線518。所述處理器516被配置成執(zhí)行這里所公開的方法。所述收發(fā)信機(jī)514與所述處理器516和天線518通信，以促成無線通信的傳送和接收。在電池520被用于WTRU 410的情況中，該電池520為所述收發(fā)信機(jī) 514和所述處理器516供電。除了可以在典型eNB中找到的組件，eNB 420包括具有可選連接存儲器515的處理器517，收發(fā)信機(jī)519以及天線521。所述處理器517被配置成執(zhí)行這里所公開的方法。 所述收發(fā)信機(jī)519與所述處理器517和天線521通信，以促成無線通信的傳送和接收。eNB 420被連接至移動性管理實(shí)體/服務(wù)網(wǎng)關(guān)(MME/S-GW) 430，該MME/S-GW 430包括具有可選連接存儲器534的處理器533。實(shí)施例1、一種用于來自用戶平臺的可信認(rèn)證和接入的方法，該方法包括使用預(yù)定的身份登陸服務(wù)提供方，其中，所述用戶平臺被所述服務(wù)提供方重定向至由所述預(yù)定的身份指向的身份提供方。2、根據(jù)實(shí)施例1所示的方法，該方法還包括接收來自所述身份提供方的認(rèn)證質(zhì)詢。3、根據(jù)前述實(shí)施例中的任意一項(xiàng)所述的方法，該方法包括在所述用戶平臺接受所述認(rèn)證質(zhì)詢的情況下，響應(yīng)于所述認(rèn)證質(zhì)詢，傳送基于可信平臺模塊(TPM)的權(quán)證。4、根據(jù)前述實(shí)施例中的任意一項(xiàng)所述的方法，該方法包括在接收來自所述身份提供方的成功的權(quán)證驗(yàn)證時，接入所述服務(wù)提供方。5、根據(jù)前述實(shí)施例中的任意一項(xiàng)所述的方法，其中，所述預(yù)定的身份由通用資源標(biāo)識符表示。6、根據(jù)前述實(shí)施例中的任意一項(xiàng)所述的方法，該方法包括生成權(quán)證，該權(quán)證確認(rèn)所述用戶平臺和權(quán)證。7、根據(jù)前述實(shí)施例中的任意一項(xiàng)所述的方法，其中，所述認(rèn)證質(zhì)詢包括至少所述預(yù)定的身份和ー類型的服務(wù)請求。8、根據(jù)前述實(shí)施例中的任意一項(xiàng)所述的方法，該方法包括生成用于對所述預(yù)定的身份和所述服務(wù)請求簽名的證實(shí)的簽名密鑰。9、根據(jù)前述實(shí)施例中的任意一項(xiàng)所述的方法，該方法包括提供用干與所述預(yù)定的身份相對應(yīng)的證明身份密鑰(AIK)的密碼，以及用于認(rèn)證TPM使用的存儲根密鑰密碼。10、根據(jù)前述實(shí)施例中的任意一項(xiàng)所述的方法，該方法包括獲得對應(yīng)于證明身份密鑰(AIK)的證書。11、根據(jù)前述實(shí)施例中的任意一項(xiàng)所述的方法，該方法包括在先前獲得的證書不可用的情況下生成證書。12、根據(jù)前述實(shí)施例中的任意一項(xiàng)所述的方法，該方法包括接收隨機(jī)數(shù)以響應(yīng)于肯定的質(zhì)詢應(yīng)答。13、根據(jù)前述實(shí)施例中的任意一項(xiàng)所述的方法，該方法包括生成來自TPM的證明身份密鑰(AIK)簽名的引用，其中，所述AIK簽名的引用包括所述隨機(jī)數(shù)。14、根據(jù)前述實(shí)施例中的任意一項(xiàng)所述的方法，其中，所述權(quán)證還包括證實(shí)的簽名密鑰(CSK)簽名的預(yù)定的身份、CSK簽名的請求、CSK公共密鑰以及隱私認(rèn)證中心(PCA)發(fā)布的證明身份密鑰(AIK)證書。15、根據(jù)前述實(shí)施例中的任意一項(xiàng)所述的方法，該方法包括在所述用戶平臺接受所述認(rèn)證質(zhì)詢的情況下，響應(yīng)于所述認(rèn)證質(zhì)詢，傳送來自所述TPM的平臺配置寄存器(PCR) 的證明身份密鑰(AIK)簽名的引用和測量日志。16、根據(jù)前述實(shí)施例中的任意一項(xiàng)所述的方法，其中，所述成功的權(quán)證驗(yàn)證包括確認(rèn)所述AIK證書的時間戳、驗(yàn)證所述AIK證書上的PCA簽名、驗(yàn)證所述CSK公共密鑰上的 AIK簽名、驗(yàn)證所述CSK簽名的預(yù)定的身份、所述CSK簽名的請求的驗(yàn)證、所述測量日志的確認(rèn)以及所述引用的驗(yàn)證。17、根據(jù)前述實(shí)施例中的任意一項(xiàng)所述的方法，該方法包括接收加密的cookie以用于隨后的服務(wù)提供方接入，該cookie由證實(shí)的簽名密鑰保護(hù)。18、根據(jù)前述實(shí)施例中的任意一項(xiàng)所述的方法，其中，所述認(rèn)證質(zhì)詢包括授權(quán)質(zhì)詢。19、根據(jù)前述實(shí)施例中的任意一項(xiàng)所述的方法，該方法包括證明質(zhì)詢。20、一種用于支持可信認(rèn)證和接入的裝置，該平臺包括接口模塊，被配置成使用預(yù)定的身份接入服務(wù)提供方，其中，所述裝置被所述服務(wù)提供方重定向至由所述預(yù)定的身份指向的身份提供方。21、根據(jù)實(shí)施例20所述的裝置，該裝置包括權(quán)證服務(wù)器，被配置成在所述認(rèn)證質(zhì)詢被接受的情況下，通過傳送基于可信平臺模塊(TPM)的權(quán)證來響應(yīng)認(rèn)證質(zhì)詢。22、根據(jù)實(shí)施例20-21中任意一個所述的裝置，該裝置包括所述接口模塊，被配置成接收來自所述身份提供方的成功的權(quán)證驗(yàn)證，并且接入所述服務(wù)提供方上的服務(wù)。23、根據(jù)實(shí)施例20-22中任意一個所述的裝置，其中，所述權(quán)證服務(wù)器還被配置成生成包括證實(shí)的簽名密鑰(CSK)簽名的預(yù)定的身份、CSK簽名的請求、CSK公共密鑰以及隱私認(rèn)證中心(PCA)發(fā)布的證明身份密鑰(AIK)證書在內(nèi)的權(quán)證。24、根據(jù)實(shí)施例20-23中任意一個所述的裝置，其中，所述權(quán)證服務(wù)器還被配置成獲得來自所述TPM的證明身份密鑰(AIK)簽名的引用和測量日志。25、根據(jù)實(shí)施例20-24中任意一個所述的裝置，其中，所述權(quán)證服務(wù)器還被配置成接收隨機(jī)數(shù)并生成來自所述TPM的證明身份密鑰(AIK)簽名的引用，其中，所述AIK簽名的引用包括所述隨機(jī)數(shù)。雖然在上文中以特定組合的方式描述了特征和元素，但是每個特征或元素能夠單獨(dú)使用而不需要其他特征和元素，或者采用或不采用與其他特征和元素組合的方式使用。這里提供的方法或流程圖可以在引入計(jì)算機(jī)可讀存儲介質(zhì)以供通用計(jì)算機(jī)或處理器運(yùn)行的計(jì)算機(jī)程序、軟件或固件中實(shí)施。關(guān)于計(jì)算機(jī)可讀存儲介質(zhì)的示例包括只讀存儲器 (ROM)、隨機(jī)存取存儲器(RAM)、寄存器、緩沖存儲器、半導(dǎo)體存儲設(shè)備、如內(nèi)部硬盤和可移動磁盤之類的磁介質(zhì)、磁光介質(zhì)、以及如CD-ROM碟片和數(shù)字多用途光盤(DVD)之類的光介質(zhì)。舉例來說，適當(dāng)?shù)奶幚砥靼ㄍㄓ锰幚砥?、專用處理器、常?guī)處理器、數(shù)字信號處理器(DSP)、多個微處理器、與DSP核心相關(guān)聯(lián)的一個或多個微處理器、控制器、微控制器、 專用集成電路(ASIC)、現(xiàn)場可編程門陣列(FPGA)電路、任何其他類型的集成電路(IC)和/ 或狀態(tài)機(jī)。用戶平臺可以是任何數(shù)量的包括WTRU的平臺。與軟件相關(guān)聯(lián)的處理器可用于實(shí)施在無線發(fā)射接收單元(WTRU)、用戶設(shè)備(UE)、終端、基站、無線電網(wǎng)絡(luò)控制器(RNC)、或是任何主計(jì)算機(jī)中使用的射頻收發(fā)信機(jī)。WTRU可以與在硬件和/或軟件中實(shí)施的模塊結(jié)合使用，這些模塊例如相機(jī)、攝像機(jī)模塊、視頻電話、揚(yáng)聲器電話、振動設(shè)備、揚(yáng)聲器、麥克風(fēng)、電視收發(fā)信機(jī)、免提耳機(jī)、鍵盤、藍(lán)牙 模塊、調(diào)頻(FM)無線電単元、液晶顯示器(IXD)顯示單元、有機(jī)發(fā)光二極管(OLED)顯示單元、數(shù)字音樂播放器、媒體播放器、視頻游戲機(jī)模塊、因特網(wǎng)瀏覽器和/或任何無線局域網(wǎng)(WLAN)或超寬帶(UWB)模塊。
權(quán)利要求
1.一種用于來自用戶平臺的可信認(rèn)證和接入的方法，該方法包括使用預(yù)定的身份登陸服務(wù)提供方，其中，所述用戶平臺被所述服務(wù)提供方重定向至由所述預(yù)定的身份指向的身份提供方；接收來自所述身份提供方的認(rèn)證質(zhì)詢；在所述用戶平臺接受所述認(rèn)證質(zhì)詢的條件下，響應(yīng)于所述認(rèn)證質(zhì)詢，傳送基于可信平臺模塊(TPM)的權(quán)證；以及在接收來自所述身份提供方的成功的權(quán)證驗(yàn)證時，接入所述服務(wù)提供方。
2.根據(jù)權(quán)利要求1所述的方法，其中，所述預(yù)定的身份由通用資源標(biāo)識符表示。
3.根據(jù)權(quán)利要求1所述的方法，該方法還包括生成權(quán)證，該權(quán)證確認(rèn)所述用戶平臺和權(quán)證。
4.根據(jù)權(quán)利要求1所述的方法，其中，所述認(rèn)證質(zhì)詢包括至少所述預(yù)定的身份和一類型的服務(wù)請求。
5.根據(jù)權(quán)利要求4所述的方法，該方法還包括生成用于對所述預(yù)定的身份和所述服務(wù)請求進(jìn)行簽名的證實(shí)的簽名密鑰。
6.根據(jù)權(quán)利要求1所述的方法，該方法還包括提供用于與所述預(yù)定的身份相對應(yīng)的證明身份密鑰(AIK)的密碼，以及用于認(rèn)證TPM使用的存儲根密鑰密碼。
7.根據(jù)權(quán)利要求1所述的方法，該方法還包括獲得對應(yīng)于證明身份密鑰(AIK)的證書。
8.根據(jù)權(quán)利要求7所述的方法，該方法還包括在先前獲得的證書不可用的情況下生成證書。
9.根據(jù)權(quán)利要求1所述的方法，該方法還包括接收隨機(jī)數(shù)以響應(yīng)于肯定的質(zhì)詢應(yīng)答；以及生成來自所述TPM的證明身份密鑰(AIK)簽名的引用，其中，所述AIK簽名的引用包括所述隨機(jī)數(shù)。
10.根據(jù)權(quán)利要求1所述的方法，其中，所述權(quán)證還包括證實(shí)的簽名密鑰(CSK)簽名的預(yù)定的身份、CSK簽名的請求、CSK公共密鑰以及隱私認(rèn)證中心(PCA)發(fā)布的證明身份密鑰 (AIK)證書。
11.根據(jù)權(quán)利要求10所述的方法，該方法還包括在所述用戶平臺接受所述認(rèn)證質(zhì)詢的情況下，響應(yīng)于所述認(rèn)證質(zhì)詢，傳送來自所述TPM的平臺配置寄存器(PCR)的證明身份密鑰 (AIK)簽名的引用和測量日志。
12.根據(jù)權(quán)利要求11所述的方法，其中，所述成功的權(quán)證驗(yàn)證包括確認(rèn)所述AIK證書的時間戳、驗(yàn)證所述AIK證書上的PCA簽名、驗(yàn)證所述CSK公共密鑰上的AIK簽名、所述CSK 簽名的預(yù)定的身份的驗(yàn)證、所述CSK簽名的請求的驗(yàn)證、所述測量日志的確認(rèn)以及所述引用的驗(yàn)證。
13.根據(jù)權(quán)利要求1所述的方法，該方法還包括接收加密的小型文字檔案以用于隨后的服務(wù)提供方接入，該小型文字檔案由證實(shí)的簽名密鑰保護(hù)。
14.根據(jù)權(quán)利要求1所述的方法，其中，所述認(rèn)證質(zhì)詢包括授權(quán)質(zhì)詢。
15.根據(jù)權(quán)利要求1所述的方法，該方法還包括證明質(zhì)詢。
16.一種用于支持可信認(rèn)證和接入的裝置，該平臺包括接口模塊，被配置成使用預(yù)定的身份接入服務(wù)提供方，其中，所述裝置被所述服務(wù)提供方重定向至由所述預(yù)定的身份指向的身份提供方；權(quán)證服務(wù)器，被配置成在認(rèn)證質(zhì)詢被接受的情況下，通過傳送基于可信平臺模塊(TPM) 的權(quán)證來響應(yīng)該認(rèn)證質(zhì)詢；以及所述接ロ模塊被配置成接收來自所述身份提供方的成功的權(quán)證驗(yàn)證，并且接入所述服務(wù)提供方上的服務(wù)。
17.根據(jù)權(quán)利要求16所述的裝置，其中，所述權(quán)證服務(wù)器還被配置成生成權(quán)證，該權(quán)證包括證實(shí)的簽名密鑰(CSK)簽名的預(yù)定的身份、CSK簽名的請求、CSK公共密鑰以及隱私認(rèn)證中心(PCA)發(fā)布的證明身份密鑰(AIK)證書。
18.根據(jù)權(quán)利要求17所述的裝置，其中，所述權(quán)證服務(wù)器還被配置成獲得來自所述TPM 的證明身份密鑰(AIK)簽名的引用和測量日志。
19.根據(jù)權(quán)利要求16所述的裝置，其中，所述權(quán)證服務(wù)器還被配置成接收隨機(jī)數(shù)井生成來自所述TPM的證明身份密鑰(AIK)簽名的引用，其中，所述AIK簽名的引用包括所述隨機(jī)數(shù)。
全文摘要
公開了一種用于可信認(rèn)證和登錄的方法及裝置?；诳尚牌脚_模塊(TPM)的登錄方法被提出以用于認(rèn)證和接入。用戶向與該用戶的指定平臺(例如，TPM)緊緊綁定的身份提供方來注冊身份。例如，如果用戶決定使用這個身份來登入服務(wù)提供方，則身份提供方質(zhì)詢用戶提供正確的憑證。憑證由TPM生成的權(quán)證組成，即憑證鏈。這允許用戶登入而不需要在身份提供方處的密碼。
文檔編號H04L29/06GK102577301SQ200980162122
公開日2012年7月11日 申請日期2009年9月14日 優(yōu)先權(quán)日2009年9月14日
發(fā)明者A·U·施米特, A·萊切爾 申請人:交互數(shù)字專利控股公司