專利名稱：用于管理移動計算設(shè)備上的軟件應(yīng)用程序的方法和系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及用于管理移動計算設(shè)備上的軟件應(yīng)用程序的方法和系統(tǒng)。
背景技術(shù)：
制定好了使用一次性密碼(one time passwords,OTPs)以增強訪問例如公司網(wǎng)絡(luò) 的安全性。實現(xiàn)使用一次性密碼(OTPs)的系統(tǒng)的最一般的方法是向每一個用戶提供硬件 令牌，用戶必須接通例如個人計算機(PC)的終端，其中所述個人計算機用于訪問網(wǎng)絡(luò)。令 牌包括硬件和軟件，以及在每一次用戶訪問網(wǎng)絡(luò)時生成唯一的密碼。給這樣的網(wǎng)絡(luò)的每個 用戶提供硬件令牌的成本和運銷是巨大的。為了避免上述令牌的一些缺點，已經(jīng)開發(fā)了這樣的系統(tǒng)和方法，其在移動計算設(shè) 備上采用一次性密碼安全應(yīng)用程序。該一次性密碼(OTP)應(yīng)用程序使移動計算設(shè)備作為認(rèn) 證令牌使用，等同于現(xiàn)在在其他系統(tǒng)中使用以得到安全網(wǎng)絡(luò)的訪問的專用認(rèn)證令牌。已經(jīng)確定需要遠(yuǎn)程地和安全地管理這些已經(jīng)下載到移動計算設(shè)備上的OTP應(yīng)用 程序。因此，本發(fā)明的目的是提供除了其他因素以外的用以管理在移動計算設(shè)備上采用 的一次性密碼應(yīng)用程序的方法和系統(tǒng)。

發(fā)明內(nèi)容
根據(jù)本發(fā)明，提供了管理一次性密碼安全軟件應(yīng)用程序的方法，所述一次性密碼 安全軟件應(yīng)用程序在移動計算設(shè)備上采用，所述方法包括生成命令消息，該命令消息包括命令數(shù)據(jù)，其指定被移動計算設(shè)備所采用的一次性密碼安全應(yīng)用程序中執(zhí)行的命 令的類型，以及唯一的識別碼，以識別在其上執(zhí)行命令的數(shù)據(jù)記錄，或者識別在其上執(zhí)行命令的 一次性密碼算法及其相關(guān)的認(rèn)證實體；以及傳送命令消息到移動計算設(shè)備，以在移動計算設(shè)備上執(zhí)行，從而管理一次性密碼 安全軟件應(yīng)用程序。移動計算設(shè)備優(yōu)選是移動電話、個人數(shù)字助理(PDA)或者其他具有無線連接的移 動計算設(shè)備。通過命令消息指定的命令的類型可以是，例如，更新或者增加與認(rèn)證實體相關(guān)的 數(shù)據(jù)的命令，去除認(rèn)證實體的命令，執(zhí)行用于指定的認(rèn)證實體的同步操作的命令，或者增 加、更新或刪除與一次性密碼安全應(yīng)用程序相關(guān)的一般數(shù)據(jù)記錄的命令。優(yōu)選的，該方法可以進一步包括在傳送之前加密命令消息。加密可以是對稱或者非對稱加密。命令消息通常從與經(jīng)過唯一的識別碼識別的認(rèn)證實體相關(guān)的總控鑰匙服務(wù)器 (turnkey server)傳送。優(yōu)選的，在命令消息被傳送之前，在移動計算設(shè)備和認(rèn)證實體之間存在信任關(guān)系。在將一次性密碼安全應(yīng)用程序安裝到移動計算設(shè)備的過程中，可以建立在 移動計算設(shè)備和認(rèn)證實體之間的所述信任關(guān)系。優(yōu)選的，在與命令消息相關(guān)的認(rèn)證實體和移動計算設(shè)備之間不存在信任關(guān)系的情 況下，可以從與被信任的認(rèn)證實體相關(guān)的總控鑰匙服務(wù)器傳送命令消息，所述被信任的認(rèn) 證實體與命令消息不相關(guān)。在一些情況下，可以首先將命令消息從與移動計算設(shè)備沒有信任關(guān)系的總控鑰匙 服務(wù)器傳送到與移動計算設(shè)備具有信任關(guān)系的總控鑰匙服務(wù)器。優(yōu)選的，命令消息可以包括與總控鑰匙服務(wù)器相關(guān)的安全密鑰，其中所述總控鑰 匙服務(wù)器與移動計算設(shè)備沒有信任關(guān)系。加密命令消息的步驟可以包括經(jīng)過第二通信信道將安全密鑰傳送到移動計算設(shè) 備的用戶，其中所述安全密鑰優(yōu)選是PIN。加密命令消息的步驟可以進一步包括以現(xiàn)有共用的安全密鑰加密命令消息，其中 所述共用的安全密鑰在一次性密碼安全軟件應(yīng)用程序的安裝過程中被傳送給移動計算設(shè)備。所述方法可以進一步包括在移動計算設(shè)備上接收命令消息以及執(zhí)行該命令消息。執(zhí)行命令消息的步驟可以進一步包括解密命令消息。所述方法可以進一步包括在安裝一次性密碼安全軟件應(yīng)用程序的過程中注冊SMS 端口，以及傳送一次性密碼安全軟件應(yīng)用程序，所述一次性密碼安全軟件應(yīng)用程序包括被 注冊的SMS端口的遠(yuǎn)程管理模塊。優(yōu)選的，所述方法可以進一步包括從移動計算設(shè)備接收端口沖突消息，以響應(yīng)將 一次性密碼安全軟件應(yīng)用程序傳送到注冊的SMS端口，以及重新傳送一次性密碼安全軟件 應(yīng)用程序到移動計算設(shè)備的可選SMS端口。根據(jù)本發(fā)明的另一個方面，提供了管理一次性密碼安全軟件應(yīng)用程序的系統(tǒng)，所 述一次性密碼安全軟件應(yīng)用程序被移動計算設(shè)備所采用，所述系統(tǒng)包括與網(wǎng)絡(luò)相關(guān)的認(rèn)證實體的安全服務(wù)器，所述網(wǎng)絡(luò)被移動計算設(shè)備通過使用一次性密碼而訪問；該系統(tǒng)可于生成命令消息，該命令消息包括命令數(shù)據(jù)，指定在移動計算設(shè)備上所采用的一次性密碼安全應(yīng)用程序中執(zhí)行的命 令的類型，以及唯一的識別碼，以識別在其上執(zhí)行命令的數(shù)據(jù)記錄，或者識別在其上執(zhí)行命令的 一次性密碼算法及其相關(guān)的認(rèn)證實體；以及傳送命令消息到移動計算設(shè)備，以在移動計算設(shè)備上執(zhí)行，從而管理一次性密碼 安全軟件應(yīng)用程序。安全服務(wù)器可以被配置為在注冊過程中建立與認(rèn)證實體的信任關(guān)系。安全服務(wù)器可以被進一步配置，通過首先從與第二網(wǎng)絡(luò)相關(guān)的第二認(rèn)證實體的第 二服務(wù)器接收命令消息而生成命令消息。


圖1是根據(jù)本發(fā)明的管理用戶的移動計算設(shè)備上的安全軟件應(yīng)用程序的系統(tǒng)的簡化的示意圖；圖2是說明將一次性密碼安全應(yīng)用程序安裝在移動計算設(shè)備上的安裝過程的主 要步驟的流程圖，所述一次性密碼安全應(yīng)用程序包括遠(yuǎn)程管理模塊；圖3到圖6顯示了命令消息、未加密命令消息，PIN加密命令消息和密鑰加密命令 消息的示例性的具體實施方式
的結(jié)構(gòu)；圖7是說明源于不同的來源及其執(zhí)行的命令消息的流程圖；以及圖8是說明隊列中的命令執(zhí)行的流程圖。
具體實施例方式圖1顯示了管理用戶的移動計算設(shè)備上的軟件應(yīng)用程序的系統(tǒng)的高度簡化的示 意形式。對本發(fā)明而言，術(shù)語“移動計算設(shè)備”包括但不限于移動電話(包括蜂窩式電 話)，個人數(shù)字助理(PDAs)，智能電話(smartphones)，膝上型電腦或者筆記本電腦，以及其 他類似設(shè)備。一般而言，這類設(shè)備具有包括顯示器和鍵區(qū)(keypad)或鍵盤的用戶接口，機 載處理器(onboard processor)以及軟件，以及優(yōu)選為無線的通信接口。本發(fā)明涉及遠(yuǎn)程和動態(tài)地管理在這種移動計算設(shè)備上的軟件應(yīng)用程序。這種應(yīng)用 程序的一個例子是一次性密碼(OTP)安全應(yīng)用，并且下面的描述就基于該示例。在圖1中，用戶10具有移動計算設(shè)備12，顯示為PDA。該設(shè)備12能夠經(jīng)過不同的 通信信道進行通信，例如，以包括SMS網(wǎng)關(guān)16的無限電話網(wǎng)絡(luò)14發(fā)送推送SMS(短消息系 統(tǒng))消息。在示例性實施例中，顯示出用戶10可能希望獲得對于兩個單獨的網(wǎng)絡(luò)18和20的 訪問，這兩個網(wǎng)絡(luò)都分別作為認(rèn)證實體(authenticationentities)。用戶希望獲得訪問的 第一網(wǎng)絡(luò)18包括總控鑰匙服務(wù)器(turnkeyserver) 22、防火墻24以及管理員工作站26 (為 清楚起見網(wǎng)絡(luò)的其他組件被省略)，所述工作站通過管理員28操作。相似的，用戶希望獲得 訪問的第二網(wǎng)絡(luò)20包括總控鑰匙服務(wù)器30、防火墻32以及管理員工作站34(為清楚起見 網(wǎng)絡(luò)的其他組件被省略)，所述工作站通過管理員36操作。在本發(fā)明所描述的實施例中，理想的是管理已經(jīng)在用戶10的移動計算設(shè)備12上 采用的軟件應(yīng)用程序，從而使網(wǎng)絡(luò)18和20的管理員28和36添加、刪除、修改數(shù)據(jù)，這能夠 使安裝在移動計算設(shè)備10中的軟件作為認(rèn)證令牌而操作。例如，在本發(fā)明的不同實施例 中，系統(tǒng)和方法允許在安全環(huán)境中的例如令牌同步、算法改變以及增加新的認(rèn)證實體的操 作，而沒有用戶介入。如上文所述，被移動計算設(shè)備12所安裝并采用的軟件應(yīng)用程序是一次性密碼 (OTP)安全應(yīng)用程序，其可以在使用如國際專利申請No.PCT/IB2008/051580，公開號為WO 2008/132670所描述的方法和系統(tǒng)的移動計算設(shè)備12上采用。該文件作為參考在此被引 用。被采用的OTP安全應(yīng)用程序允許用戶10經(jīng)過作為認(rèn)證令牌的移動計算設(shè)備12來訪問 網(wǎng)絡(luò)18。但是，應(yīng)理解，認(rèn)證令牌僅僅是移動計算設(shè)備12上所采用的軟件應(yīng)用程序。在一 個示例性實施例中，令牌提供管理模塊，從而能夠?qū)崿F(xiàn)本發(fā)明，同時令牌還提供其他允許開 發(fā)和集成新模塊(例如第三方的)在令牌中而無需顯著的改變令牌本身的基于插拔的技術(shù)(plug-in-based technology) 0這些模塊能夠執(zhí)行不同的操作。為了達成該目的，需要遠(yuǎn) 程和動態(tài)地訪問與認(rèn)證令牌(稱為“通用數(shù)據(jù)記錄”，general data records)的有關(guān)的數(shù) 據(jù)。在圖1所示的示例性實施例中，網(wǎng)絡(luò)或者認(rèn)證實體18已經(jīng)在移動計算設(shè)備12上 安裝了 OTP安全應(yīng)用程序。在安裝過程中，管理員28已經(jīng)捕獲用戶數(shù)據(jù)。同樣，通過例如 向移動計算設(shè)備12下載安全密鑰(security key)，在網(wǎng)絡(luò)或者認(rèn)證實體18以及移動計算 設(shè)備12之間建立信任關(guān)系(trust relationship)。根據(jù)PCT/IB2008/051580的方法和系統(tǒng)，通過使用用戶的另一個計算設(shè)備的單獨 的同步調(diào)度(deployment)過程，在使用電子郵件消息得到安裝過程中的安全性，所述電子 郵件作為向用戶10的分發(fā)(distributing)邀請以采用安全軟件應(yīng)用程序以及對用戶10 設(shè)置對網(wǎng)絡(luò)進行訪問的安全接入的機制。在安裝過程中，不需要通過電子郵件向用戶發(fā)送 安全密鑰，以及在PCT/IB2008/051580的一些系統(tǒng)和方法的實施例中，安全性可以是通過 寫作或者其他方式的言辭上的通信。重要的事情是信任關(guān)系已經(jīng)存在于認(rèn)證實體18和移 動計算設(shè)備(也稱為認(rèn)證令牌)12之間。應(yīng)理解，在示例性實施例中，以及特別是在安全軟件的安裝過程中的所給予的關(guān) 注中，任何在OTP安全應(yīng)用程序的管理中對移動計算設(shè)備12的傳送都應(yīng)當(dāng)被保證安全。在圖1所示的系統(tǒng)中，網(wǎng)絡(luò)18的總控鑰匙服務(wù)器22位于防火墻24之后，所述防 火墻24保護總控鑰匙服務(wù)器22免受基于互聯(lián)網(wǎng)的攻擊。在一個示例性實施例中，作為認(rèn)證令牌的移動計算設(shè)備12使用不同的OTP算法來 為其所支持的不同的認(rèn)證實體的每一個生成一次性密碼。例如，認(rèn)證令牌將使用兩個完全 不同的OTP算法來訪問網(wǎng)絡(luò)18和網(wǎng)絡(luò)20( —旦將網(wǎng)絡(luò)20增加為認(rèn)證令牌的認(rèn)證實體)。從而，OTP算法和認(rèn)證實體形成移動計算設(shè)備12的唯一的對，以及所述對被唯一 的識別(ID)編號(例如認(rèn)證實體ID)所標(biāo)識。通過該認(rèn)證實體ID，每個這樣的對具有與其 相關(guān)的數(shù)據(jù)記錄。被存儲在移動計算設(shè)備12中的所述記錄包括被OTP算法所使用的數(shù)據(jù)， 以生成用于專門的認(rèn)證實體的OTP。正是這些被管理員28所管理的數(shù)據(jù)記錄(也稱為“認(rèn) 證實體記錄”)采用本發(fā)明的系統(tǒng)和方法，以允許OTP安全應(yīng)用程序的遠(yuǎn)程管理。通過使用在認(rèn)證實體18和移動計算設(shè)備12之間的“推送SMS (push SMS) ”技術(shù)， 即使當(dāng)OTP安全應(yīng)用程序在用戶的移動計算設(shè)備12上沒有被激活，也可以進行認(rèn)證令牌的 遠(yuǎn)程管理和處理。根據(jù)PCT/IB2008/051580所描述的認(rèn)證令牌的調(diào)度系統(tǒng)，定制的OTP應(yīng)用程序被 發(fā)送到用戶10的移動計算設(shè)備12中。這由流程2中的塊40和塊42顯示。移動計算 設(shè)備12通常提供安裝結(jié)果的反饋信息。并非所有的移動計算設(shè)備都可以提供OTP安全應(yīng)用程序的遠(yuǎn)程管理所需要的必 要SMS庫(library)(例如JSR120 無線消息API，或者JSR205 無線消息API 2. 0)。由此， 需要OTP安全應(yīng)用程序的調(diào)度系統(tǒng)確定用戶的移動計算設(shè)備12的制造和模型(如圖2的 塊44所示)，以及然后通過確定移動計算設(shè)備12是否提供必要SMS庫而確定專門的移動計 算設(shè)備12是否將支持遠(yuǎn)程管理(塊46)。根據(jù)這一信息，定制的OTP安全應(yīng)用程序被發(fā)送 給用戶的移動計算設(shè)備12，如果專門的移動計算設(shè)備提供正確的SMS庫，其中該應(yīng)用程序 僅包括遠(yuǎn)程管理OTP安全應(yīng)用程序的模塊。如果移動計算設(shè)備12不提供所需的SMS庫，被發(fā)送的定制的OTP安全應(yīng)用程序?qū)H僅包括基本的特征，但不包括用于OTP安全應(yīng)用程序 的遠(yuǎn)程管理的模塊(見塊48)。這樣，通過在安裝OTP安全應(yīng)用程序之后使用從移動計算設(shè)備12向有關(guān)的總控鑰 匙服務(wù)器發(fā)回的反饋信息，網(wǎng)絡(luò)18或認(rèn)證實體的管理員28能夠確定哪一個用戶具有支持 遠(yuǎn)程管理的認(rèn)證令牌。移動計算設(shè)備12通常在移動計算設(shè)備12的專門端口收聽包括命令消息的SMS消 息，以及當(dāng)命令消息被接受時可以執(zhí)行從認(rèn)證令牌所接收的命令消息。在控制移動計算設(shè)備端口的使用以及避免通信中的沖突的努力中，互聯(lián)網(wǎng)號碼分 配機構(gòu)(IANA)對特定的應(yīng)用設(shè)定分配了移動計算設(shè)備的特定端口。但是，當(dāng)開發(fā)通信策略 時，許多移動計算設(shè)備軟件應(yīng)用程序的開發(fā)者并沒有考慮這些預(yù)先分配的端口，而本發(fā)明 中的系統(tǒng)必須應(yīng)用特定的方法來解決該問題。根據(jù)這一點，在移動計算設(shè)備12上安裝包括遠(yuǎn)程管理模塊的OTP安全應(yīng)用程序的 過程中，認(rèn)證實體或網(wǎng)絡(luò)18的總控鑰匙服務(wù)器22選擇并注冊(register)推送SMS端口 (塊50)。根據(jù)從移動計算設(shè)備12傳送回的反饋信息(如圖2中的塊52所示)，如果發(fā)生 端口沖突則信息被提供以確認(rèn)端口注冊以及通知總控鑰匙服務(wù)器22 (塊54)。總控鑰匙服 務(wù)器22然后可以選擇另一個端口，重試安裝過程以及重復(fù)該過程直到找到自由端口。一旦 對移動計算設(shè)備的遠(yuǎn)程管理能力的調(diào)度成功(塊56)，總控鑰匙服務(wù)器可以對特定用戶顯 示額外的遠(yuǎn)程管理選項(塊58)。為了遠(yuǎn)程地和動態(tài)地管理在移動計算設(shè)備12上的OTP安全軟件應(yīng)用程序，在一個 示例性實施例中，特定網(wǎng)絡(luò)認(rèn)證實體的總控鑰匙服務(wù)器，例如總控鑰匙服務(wù)器22，生成經(jīng)過 推送SMS技術(shù)發(fā)送到移動計算設(shè)備12的命令消息。命令消息通常包括指定要在移動計算設(shè)備12上的OTP安全軟件應(yīng)用程序中執(zhí)行 的命的類型的命令數(shù)據(jù)，以及識別數(shù)據(jù)記錄或者OTP算法以及與命令相關(guān)的認(rèn)證實體的唯 一的識別碼(identification code)。通過使用和執(zhí)行這些傳送的命令消息，總控鑰匙服務(wù)器22可以控制移動計算設(shè) 備12作為認(rèn)證令牌進行操作。不同的可用命令消息進一步允許更改(modification)在認(rèn) 證令牌的數(shù)據(jù)存儲中的記錄。雖然命令消息基本的目的是遠(yuǎn)程管理認(rèn)證令牌，但是應(yīng)理解， 為了管理或控制令牌的一些方面，令牌本身的特定組件(component)也可以發(fā)出命令。命令消息的示例 增加/更新認(rèn)證實體記錄——該命令為特別的認(rèn)證實體更新認(rèn)證數(shù)據(jù)，或者如 果在管理作為認(rèn)證令牌的移動計算設(shè)備的OTP安全應(yīng)用程序中不存在該認(rèn)證實體則增加 認(rèn)證實體。 刪除認(rèn)證實體記錄——該命令從管理作為認(rèn)證令牌的移動計算設(shè)備的OTP安全 應(yīng)用程序中刪除識別的認(rèn)證實體。 同步認(rèn)證實體——該命令執(zhí)行用于特別的認(rèn)證實體的同步操作。 增加/更新數(shù)據(jù)記錄——該命令更新或者增加一般數(shù)據(jù)記錄。數(shù)據(jù)記錄可以被 用于存儲設(shè)置、用戶數(shù)據(jù)或者需要被安全存儲的任何其他形式的信息(包括插拔模塊所需 的數(shù)據(jù))。 刪除數(shù)據(jù)記錄——該命令刪除一般數(shù)據(jù)記錄。
根據(jù)可用的命令消息，可以通過特定的認(rèn)證實體更新所使用的OTP算法，以增加 新的認(rèn)證實體，以同步現(xiàn)有的認(rèn)證實體，以及以增加或者刪除移動令牌中的任意數(shù)據(jù)。從 而，該命令消息組足夠靈活，以在OTP安全應(yīng)用程序的遠(yuǎn)程管理中執(zhí)行不同的任務(wù)，而不需 要對執(zhí)行遠(yuǎn)程管理的系統(tǒng)做出任何修改。通過總控鑰匙服務(wù)器生成的命令消息的一個示例性實施例的結(jié)構(gòu)如圖3所示。如 該圖所示，命令消息通常至少包括命令識別(ID)編號60的字段(field)或者第一數(shù)據(jù)字 段62。其他四個數(shù)據(jù)字段64到70是可選的，并且他們的使用依賴于特定的命令類型。認(rèn)證令牌使用命令I(lǐng)D字段60來確定哪些數(shù)據(jù)字段被包含于命令消息，以及他們 各自的數(shù)據(jù)類型是什么。命令I(lǐng)D是命令數(shù)據(jù)，其指定(specifiy)在移動計算設(shè)備上的一次性密碼安全應(yīng) 用程序中執(zhí)行的命令的類型。不同命令I(lǐng)D的密鑰的例子如下表所示
ID命令的類型1增加/更新認(rèn)證實體2刪除認(rèn)證實體3同步認(rèn)證實體4增加/更新數(shù)據(jù)記錄5刪除數(shù)據(jù)記錄根據(jù)示例性實施例，可能包含于每一個命令消息中的實際數(shù)據(jù)(以及命令消息的 各個數(shù)據(jù)字段)如下所示1.增加/更新認(rèn)證實體——增加新的認(rèn)證實體到OTP令牌存儲系統(tǒng)，· String Name (字符串名稱)——將要增加的認(rèn)證實體的描述性名稱· long ID (長ID)——增加的實體的唯一的認(rèn)證實體識別(ID)(也稱為公司ID) (即，唯一的識別碼)· int dataSize(int數(shù)據(jù)量)——實體的原始數(shù)據(jù)的大小· byte[Jdata——實體的原始數(shù)據(jù)，也稱為實體數(shù)據(jù)組(data-set)。被相關(guān)的 OTP算法所使用，以及通常包括種(seed)以及迭代計數(shù)。2.刪除認(rèn)證實體——從OTP令牌存儲系統(tǒng)中刪除認(rèn)證實體· long ID (長ID)——刪除的實體/公司的唯一的認(rèn)證實體ID或者公司ID (即， 唯一的識別碼)3.同步公司——同步特定的認(rèn)證實體· long companyID(長公司ID)——同步實體的唯一的認(rèn)證實體ID ( S卩，唯一的識 別碼)· String challenge (字符串質(zhì)詢)——當(dāng)同步實體時通過OTP算法的質(zhì)詢 (challenge)，該質(zhì)詢形成安全檢測的一部分
4.增加/更新數(shù)據(jù)——增加一般數(shù)據(jù)記錄到OTP令牌的數(shù)據(jù)存儲· String Name (字符串名稱)——將要增加的數(shù)據(jù)的描述#long ID (長ID)——數(shù)據(jù)的唯一的識別(ID)(即，唯一的識別碼)。該ID被模 塊使用以便訪問數(shù)據(jù)，所述數(shù)據(jù)屬于該模塊。· int dataSizeGnt數(shù)據(jù)量)——數(shù)據(jù)的大小· byte [] data——實際數(shù)據(jù)，可以表現(xiàn)任何東西5.刪除數(shù)據(jù)——從OTP令牌數(shù)據(jù)存儲中刪除一般數(shù)據(jù)· long ID (長ID)——刪除一般數(shù)據(jù)記錄的唯一 ID ( S卩，唯一的識別碼)為了確保在遠(yuǎn)程管理移動計算設(shè)備上的OTP安全應(yīng)用程序中保持充分的安全性， 命令消息可以在傳送到移動計算設(shè)備12之前由總控鑰匙服務(wù)器22加密。在一個示例性實施例中，系統(tǒng)和方法提供三個基本的命令安全等級，即未加密、 PIN加密以及密鑰加密。對于每個命令安全等級而言，上述的命令消息被嵌入適合于特定的 命令安全等級的包裝(wrapper)結(jié)構(gòu)中。對于未加密命令消息而言，不執(zhí)行安全特征，并且這些消息對于第三方觀測者而 言是可讀的。雖然這些命令消息不能被信任，但是，當(dāng)修改OTP安全應(yīng)用程序中的不重要的 數(shù)據(jù)時未加密的命令消息仍然是有用的。有利的，未加密的命令消息具有比加密的命令消 息更低的處理開銷，因為在創(chuàng)建和執(zhí)行未加密的命令消息時不需要執(zhí)行加密/解密?，F(xiàn)在討論如圖4所示的未加密的命令消息的包裝結(jié)構(gòu)的示例，確認(rèn)命令字段72包 括識別整個命令結(jié)構(gòu)的字節(jié)序列。在多個模塊使用相同的通信信道的方案中該識別是有用 的，并且必須確定包裝結(jié)構(gòu)是否包括命令數(shù)據(jù)或其他數(shù)據(jù)。簽名代碼字段(Signing Code field) 74是單獨的八位字節(jié)，其值為“00000000”，指示未加密的安全方案(scheme)用于命 令包裝。在移動計算設(shè)備12接收命令消息的情況下，可以提示和/或通知移動計算設(shè)備12 的用戶10執(zhí)行管理命令。描述字段(Description field) 76在這種情況下可以被用于向 用戶提供關(guān)于命令消息的性質(zhì)的信息。命令數(shù)據(jù)字段(Command data field) 78包括要執(zhí)行的實際命令，如圖3所示。PIN加密命令使用預(yù)定的個人識別編號(PIN)來加密命令消息。該PIN可以是任 何任意的字節(jié)序列，并且通?？梢员徽J(rèn)證實體所使用，所述認(rèn)證實體與OTP安全應(yīng)用程序 或者用戶的移動計算設(shè)備12所采用的移動令牌之間沒有前面的信任關(guān)系。例如，管理員36 或網(wǎng)絡(luò)20 (即認(rèn)證實體)的總控鑰匙服務(wù)器30可以經(jīng)過第二安全通信信道將PIN傳送到 用戶10。當(dāng)接收到命令包裝，將向用戶進行PIN提示。然后，該PIN被用于解密命令消息。這類命令包裝的結(jié)構(gòu)如圖5所示，并且提供用于證實用戶所輸入的PIN的自包含 機制。確認(rèn)命令字段(Confirm Command field)82、簽名代碼字段(Signing Code field)84 和描述字段(Description field)86與圖4的相關(guān)描述相似。PIN檢測1字段(PIN Checkl field) 88是任意選擇的字節(jié)序列。PIN檢測2字段(PIN Check2 field) 90是以PIN加密 PIN檢測1的值的結(jié)果。當(dāng)用戶10輸入PIN來解密命令包裝時，PIN檢測2字段90的值首 先被PIN解密，并且然后認(rèn)證令牌確定該解密值是否對應(yīng)PIN檢測1字段88的值。如果這 兩個匹配，就確定用戶必須已經(jīng)輸入了正確的PIN，以及命令消息可以被解密。命令數(shù)據(jù)字段92包括要執(zhí)行的實際命令，如圖3所示。
密鑰加密命令消息提供不需要用戶介入的命令消息傳送和執(zhí)行的安全方法。如圖 6所示，命令包裝的基本命令結(jié)構(gòu)與圖5中的PIN加密命令結(jié)構(gòu)基本上完全相同。命令消息 被字節(jié)序列加密，并且提供檢測以證實解密過程。該命令包裝在用于選取加密所用的字節(jié)序列以及包括用于認(rèn)證實體ID的字段94 上不同。密鑰簽名(key-signed)命令消息在OTP安裝應(yīng)用程序的安裝過程中，使用已經(jīng) 已經(jīng)安裝在移動計算設(shè)備12上的OTP安全軟件中的現(xiàn)有的共用對稱(existing shared symmetric)密鑰，而不是使用任意的字節(jié)序列作為加密密鑰(例如，上面描述的PIN加密命 令消息)。由于認(rèn)證令牌可以包括多個這樣的用于不同認(rèn)證實體的密鑰，認(rèn)證實體ID字段 94指出了哪一個共用的密鑰被簽名于命令消息。密鑰加密命令結(jié)構(gòu)使認(rèn)證實體和安裝的認(rèn)證令牌有可能安全地發(fā)出新的命令消 息而無需用戶輸入PIN，所述認(rèn)證實體與移動計算設(shè)備12具有信任關(guān)系。在使用非對稱密鑰的情況下，從給定認(rèn)證實體發(fā)出的密鑰簽名命令消息被實體的 公共密鑰簽名，從而保證命令是合法的并且源自該實體。在一個示例性實施例中，上面描述 的PIN加密命令可以在使用非對稱密鑰之前用于首先安全地發(fā)送認(rèn)證實體的公共密鑰。對稱與非對稱加密之間的區(qū)別在于，對于對稱加密而言，所有的加密命令消息將 也被移動認(rèn)證令牌的公共密鑰加密。如上文所述，當(dāng)OTP安全應(yīng)用程序初始安裝以及被移 動計算設(shè)備所采用時，安全密鑰可以被發(fā)出。雖然移動計算設(shè)備的處理需求在這一階段禁止執(zhí)行非對稱加密方案，但是它是共 用密鑰加密方案的邏輯延續(xù)。應(yīng)理解，上述命令安全方案使認(rèn)證實體能夠與移動計算設(shè)備12建立信任關(guān)系。如上文所述，建立認(rèn)證實體18或20與移動計算設(shè)備12之間的信任關(guān)系的簡化方 法是向移動計算設(shè)備12的OTP安全應(yīng)用程序發(fā)送共用密鑰以及增加公司命令消息和以PIN 加密該消息。這一過程不需要認(rèn)證實體與移動計算設(shè)備之間的任何類型的現(xiàn)有信任關(guān)系， 而其僅需要將PIN安全傳送到用戶。建立信任關(guān)系的方法等于如PCT/IB2008/051580所述的安裝軟件應(yīng)用程序的方 法，因為使用分開的通信信道。例如，PIN加密命令內(nèi)在的包括在應(yīng)用程序源中，并且用戶 還是需要輸入PIN以建立信任關(guān)系。另一個認(rèn)證實體可以遵從相同的過程來建立與用戶移動令牌的信任關(guān)系。認(rèn)證實 體可以創(chuàng)建新的命令消息，以PIN加密消息，并且然后使用分開的通信信道傳送命令到用 戶的認(rèn)證令牌以及發(fā)送PIN到用戶。但是，無論何時使用該方法，都需要認(rèn)證實體首先證實PIN要傳送的實體/用戶實 際上就是合法用戶，并且然后安全地將PIN傳送給用戶。應(yīng)理解，這一安全傳送的實質(zhì)依賴于所使用的命令安全方案。如果使用對稱加密， PIN需要保密以及不經(jīng)修改地傳送。如果使用非對稱加密，那么認(rèn)證實體需要傳送其公共密 鑰到用戶的認(rèn)證令牌，并且傳送認(rèn)證令牌的公共密鑰到認(rèn)證實體的總控鑰匙服務(wù)器而無需 修改。在(對稱和非對稱)這兩種情況下，每一次新的認(rèn)證實體(例如網(wǎng)絡(luò)20)想要建 立與移動計算設(shè)備12之間的信任關(guān)系都需要一定的努力。但是，通過使用認(rèn)證令牌與其他 認(rèn)證實體(例如網(wǎng)絡(luò)18)之間的已經(jīng)建立的信任關(guān)系將解決這一問題。
密鑰簽名/加密命令消息被設(shè)計為部分地繞開該問題。一旦諸如網(wǎng)絡(luò)18的認(rèn) 證實體已經(jīng)建立起與認(rèn)證令牌12之間的信任關(guān)系，第二認(rèn)證實體(即與OTP安全應(yīng)用程 序安裝于其上的移動計算設(shè)備不具備信任關(guān)系的認(rèn)證實體，例如網(wǎng)絡(luò)20)可以發(fā)出被基本 (primary)認(rèn)證實體的密鑰(即具有信任關(guān)系的實體)簽名的密鑰簽名命令消息。在對稱加密的情況下，第二認(rèn)證實體20將發(fā)送其內(nèi)部命令消息到基本認(rèn)證實體 18。然后，基本認(rèn)證實體18將以它與認(rèn)證令牌共用的安全密鑰加密命令消息。應(yīng)該理解， 這一操作需要第二認(rèn)證實體20信任基本認(rèn)證實體18，因為基本實體18將訪問第二實體的 原始命令消息。相似的，基本認(rèn)證實體18需要信任第二認(rèn)證實體20，而第二認(rèn)證實體將能 夠通過基本實體18向認(rèn)證令牌發(fā)出惡意命令消息。對于非對稱加密而言，在一個示例性實施例中，基本認(rèn)證實體18僅被用于向作為 認(rèn)證令牌的移動計算設(shè)備發(fā)送第二實體的公共密鑰，以及同時找回認(rèn)證令牌的公共密鑰。 認(rèn)證實體之間的信任需求因此被顯著降低，雖然兩個實體還是需要彼此信任。一旦在未信任的第二實體與令牌之間已經(jīng)建立了信任關(guān)系，實體從而能夠反過來 作為在未來的認(rèn)證令牌與其它未信任實體之間建立信任這些情況下的基本實體。根據(jù)上述內(nèi)容，總控鑰匙服務(wù)器安全地向認(rèn)證令牌傳送共用的安全密鑰。該安全 密鑰之后可以被用于加密任何未來的從總控鑰匙服務(wù)器向用戶的移動計算設(shè)備發(fā)送的命 令消息。一旦OTP安全應(yīng)用程序在用戶的移動計算設(shè)備12上被安裝以及被激活，在認(rèn)證令 牌與發(fā)出安裝請求的總控鑰匙服務(wù)器之間自動建立信任關(guān)系?？偪罔€匙服務(wù)器可以在這種 情況下創(chuàng)建密鑰加密命令，該密鑰加密命令將由移動令牌正確證實并被解密。由于OTP安全應(yīng)用程序的基于插拔的設(shè)計，移動令牌可以潛在地具備同時執(zhí)行的 一定數(shù)量的模塊或者組件。這些組件如何進行相互作用通常是不明顯的。為了確保一個組 件不發(fā)出對另一個組件產(chǎn)生不利影響的命令，在移動計算設(shè)備的認(rèn)證令牌中執(zhí)行命令隊列 系統(tǒng)。任何移動令牌的組件可以選擇直接執(zhí)行命令或者將其加入命令隊列。如果組件對 于立即執(zhí)行特別命令的安全性并不確定，該命令被置于命令隊列。在大多數(shù)情況下，命令源自收聽引入的載有命令消息的SMS的SMS接收組件或者 模塊。如前所述，任何其它組件也可以是命令消息的源，從而能夠?qū)⒚钭⑷朊铌犃?。?如，命令可以通過MMS和藍(lán)牙發(fā)送，兩者都具備其自有的處理引入數(shù)據(jù)的模塊。圖7顯示了從不同的源接收的和置于隊列系統(tǒng)中的命令消息的可能處理流程。命 令消息可以來自不同的源(由塊100、102和104所示)以及這些命令消息然后被傳送到各 自的模塊用于處理和執(zhí)行。通過塊106和塊108指示該處理，其中在塊106中移動計算設(shè) 備12的SMS收聽器接收命令，而在塊108中藍(lán)牙收聽器接收命令。然后，移動計算設(shè)備中 的組件或模塊處理相關(guān)命令(塊110)，但首先確定命令消息是否在現(xiàn)實被安全地執(zhí)行(如 塊112所示)。如果命令消息可以被立即執(zhí)行，如塊114所示，所述命令消息被發(fā)送給命令執(zhí)行 組件而實時地執(zhí)行。反之，命令消息被加入到命令隊列以備以后執(zhí)行(塊116)。該隊列機 制在非易失性移動計算設(shè)備存儲器中存儲隊列(塊118)，從而當(dāng)應(yīng)用程序退出或用戶的移 動計算設(shè)備關(guān)機時，命令不會丟失。
應(yīng)該理解，下一次“安全時間”(如圖7所示)僅發(fā)生在令牌應(yīng)用下一次被啟動 (launch)的時間。在這些情況下，在移動令牌的核心服務(wù)(例如其存儲和加密組件)被初 始化之后、但是在已經(jīng)開始執(zhí)行由實時命令執(zhí)行不利影響的不同的其他組件(例如，插拔 模塊)之前，隊列機制通常直接、順序地執(zhí)行在隊列中的命令消息(塊120)。當(dāng)認(rèn)證令牌開始時，隊列系統(tǒng)需要找回存儲的命令消息，因此需要訪問存儲系統(tǒng)。 但是，存儲系統(tǒng)將通常被用戶選擇PIN加密。從而，隊列系統(tǒng)可能需要等待用戶輸入PIN，并 因此在命令隊列可以被從存儲器載入之前對存儲系統(tǒng)解鎖。圖8顯示了在令牌關(guān)閉和重啟 循環(huán)過程中命令的操作和命令隊列。傳送到移動計算設(shè)備的最常見的遠(yuǎn)程管理命令消息可能是令牌同步命令。令牌同 步命令通常通過認(rèn)證實體的總控鑰匙服務(wù)器、通過移動計算設(shè)備自身的用戶，或者通過認(rèn) 證實體的管理員，而自動初始化。令牌同步命令在下面詳細(xì)描述，以便提供移動計算設(shè)備12 中的OTP安全應(yīng)用程序的管理的特定示例。用戶的移動認(rèn)證令牌可以在不同的情況下漂流而不同步。例如，如果用戶用令牌 產(chǎn)生若干OTP，然后不使用這些OTP中的任何一個用于認(rèn)證實體的總控鑰匙服務(wù)器中的認(rèn) 證，認(rèn)證令牌將不同步。檢測不同步(out-of-sync)的令牌可能是復(fù)雜的，因為難以區(qū)分不同步OTP與只 是不正確的OTP。如果用戶不成功地輸入OTP —定的次數(shù)，很可能令牌不再和總控鑰匙服務(wù) 器同步。管理OTP安全應(yīng)用程序的問題在于決定輸入了潛在的不同步OTP的用戶是否是其 令牌不同步的合法用戶，或者是否是嘗試入侵用戶賬戶的黑客。這樣，需要在同步令牌之前 證實用戶作為合法用戶的身份。這一確定用戶是合法用戶還是黑客的過程應(yīng)當(dāng)優(yōu)選無需使 用標(biāo)準(zhǔn)(自動模式)OTP機制而執(zhí)行。根據(jù)示例性實施例，支持OTP認(rèn)證的兩個模式，即自動模式和質(zhì)詢模式，所述自動 模式(根據(jù)每一次修改的共用秘密)生成OTP的序列，而所述質(zhì)詢模式提供OTP以響應(yīng)質(zhì) 詢。應(yīng)理解，質(zhì)詢模式永遠(yuǎn)不會變得不同步。每個質(zhì)詢一定要對應(yīng)專門的對話并從而也一 定要對應(yīng)每一個OTP。在懷疑用戶令牌變得不同步的情況下，可以執(zhí)行下列兩個可選項1.在用戶令牌上執(zhí)行遠(yuǎn)程同步操作，而不驗證令牌是否實際上不同步。2.使用質(zhì)詢模式驗證用戶的身份，然后僅在用戶身份不能正確驗證的情況下執(zhí)行 同步操作。這明顯減少了執(zhí)行非必要同步嘗試的可能性，以及使黑客不可能強行(force) 同步。如果本發(fā)明的方法和系統(tǒng)被用于執(zhí)行同步，那么就沒有與非必需同步相關(guān)的安全 風(fēng)險。唯一要考慮的是命令發(fā)送的管理費用和成本。不同的公司將執(zhí)行其自有的涉及同步 標(biāo)準(zhǔn)的原則。根據(jù)上面詳細(xì)描述的數(shù)據(jù)結(jié)構(gòu)，通過總控鑰匙服務(wù)器生成同步命令消息。然后，該 命令消息在選定的通信信道上(例如SMS)傳送給移動計算設(shè)備的認(rèn)證令牌。在接收到命 令消息的情況下，認(rèn)證令牌根據(jù)上述的命令安全方案(例如，以必要安全密鑰解密命令消 息)驗證命令消息的合法性，以及進一步執(zhí)行消息(通過下面詳細(xì)描述的命令隊列機制的 方式)從而以總控鑰匙服務(wù)器同步認(rèn)證令牌。
在同步過程中，OTP算法被傳遞質(zhì)詢代碼，所述質(zhì)詢代碼作為命令數(shù)據(jù)的一部分被 發(fā)送，并返回一些結(jié)果值。假定OTP算法使用質(zhì)詢以更新一些類型的內(nèi)部迭代計數(shù)器(是 令牌上的所謂公司數(shù)據(jù)的一部分)。進一步假定結(jié)果值也可以在服務(wù)器上生成，所述服務(wù)器 初始發(fā)出同步請求。這樣，可以通過將服務(wù)器結(jié)果值與令牌的結(jié)果值相匹配來證實令牌的 成功同步。本發(fā)明提供了一種方法和系統(tǒng)，其中由移動OTP令牌使用的算法以及由移動OTP 令牌支持的認(rèn)證實體可以動態(tài)修改而無需軟件改變令牌。相似的系統(tǒng)和方法可以用于執(zhí)行 例行維護任務(wù)(例如令牌同步)，而無需用戶介入。根據(jù)本發(fā)明，通過OTP安全應(yīng)用程序執(zhí) 行的認(rèn)證令牌下載到移動計算設(shè)備上而解決了與傳統(tǒng)令牌相關(guān)的限制。該系統(tǒng)和方法進一步提供時間上的優(yōu)點，即用戶和管理員在OTP安全應(yīng)用程序的 維護操作上所花費的時間被縮短。
權(quán)利要求
一種管理移動計算設(shè)備上所采用的一次性密碼安全軟件應(yīng)用程序的方法，所述方法包括生成命令消息，該命令消息包括命令數(shù)據(jù)，其指定被所述移動計算設(shè)備所采用的所述一次性密碼安全應(yīng)用程序中執(zhí)行的命令的類型，以及唯一的識別碼，以識別在其上執(zhí)行命令的數(shù)據(jù)記錄，或者識別在其上執(zhí)行命令的一次性密碼算法及其相關(guān)的認(rèn)證實體；以及傳送所述命令消息到所述移動計算設(shè)備，以在所述移動計算設(shè)備上執(zhí)行，從而管理所述一次性密碼安全軟件應(yīng)用程序。
2.如權(quán)利要求1所述的方法，其中所述移動計算設(shè)備是移動電話、個人數(shù)字助理PDA或 者其他具有無線連接的移動計算設(shè)備。
3.如權(quán)利要求1或2所述的方法，其中通過所述命令消息指定的命令的類型是更新或 者增加與認(rèn)證實體相關(guān)的數(shù)據(jù)的命令，刪除所述認(rèn)證實體的命令、執(zhí)行用于所述認(rèn)證實體 的同步操作的命令，或者增加、更新或刪除與所述一次性密碼安全應(yīng)用程序相關(guān)的一般數(shù) 據(jù)記錄的命令。
4.如權(quán)利要求1到3中任意一項所述的方法，其中該方法進一步包括在傳送之前加密 所述命令消息。
5.如權(quán)利要求4所述的方法，其中所述加密是對稱或者非對稱加密。
6.如權(quán)利要求1到5中任意一項所述的方法，其中所述命令消息從與經(jīng)過所述唯一的 識別碼標(biāo)識的所述認(rèn)證實體相關(guān)的總控鑰匙服務(wù)器傳送。
7.如權(quán)利要求6所述的方法，其中在所述命令消息被傳送之前，在所述移動計算設(shè)備 與所述認(rèn)證實體之間存在信任關(guān)系。
8.如權(quán)利要求7所述的方法，其中在將所述一次性密碼安全應(yīng)用程序安裝到所述移動 計算設(shè)備的過程中，已經(jīng)在所述移動計算設(shè)備與所述認(rèn)證實體之間建立了所述信任關(guān)系。
9.如權(quán)利要求1到5中任意一項所述的方法，其中所述方法進一步包括，如果在與所述 命令消息相關(guān)的所述認(rèn)證實體以及所述移動計算設(shè)備之間不存在信任關(guān)系，則從與被信任 的認(rèn)證實體相關(guān)的總控鑰匙服務(wù)器傳送所述命令消息，所述被信任的認(rèn)證實體與所述命令 消息不相關(guān)。
10.如權(quán)利要求9所述的方法，其中所述方法包括首先從與所述移動計算設(shè)備沒有信 任關(guān)系的總控鑰匙服務(wù)器傳送所述命令消息到與所述移動計算設(shè)備具有信任關(guān)系的總控 鑰匙服務(wù)器。
11.如權(quán)利要求10所述的方法，其中所述命令消息包括與所述總控鑰匙服務(wù)器相關(guān)的 安全密鑰，其中所述總控鑰匙服務(wù)器與所述移動計算設(shè)備沒有信任關(guān)系。
12.如權(quán)利要求4所述的方法，其中加密所述命令消息的步驟包括經(jīng)過第二通信信道 將安全密鑰傳送到所述移動計算設(shè)備的用戶。
13.如權(quán)利要求13所述的的方法，其中所述安全密鑰是PIN。
14.如權(quán)利要求4所述的方法，其中加密所述命令消息的步驟進一步包括以現(xiàn)有的共 用的安全密鑰加密所述命令消息，所述現(xiàn)有的共用的安全密鑰在所述一次性密碼安全軟件 應(yīng)用程序的安裝過程中被傳送給所述移動計算設(shè)備。
15.如權(quán)利要求1到14中任意一項所述的方法，其中所述方法進一步包括在所述移動 計算設(shè)備處接收所述命令消息以及執(zhí)行該命令消息從而管理所述一次性密碼安全軟件應(yīng) 用程序。
16.如權(quán)利要求15所述的方法，其中執(zhí)行所述命令消息的步驟可以包括解密所述命令消息。
17.—種管理移動計算設(shè)備所采用的一次性密碼安全軟件應(yīng)用程序的系統(tǒng)，所述系統(tǒng) 包括與網(wǎng)絡(luò)相關(guān)的認(rèn)證實體的安全服務(wù)器，所述網(wǎng)絡(luò)被所述移動計算設(shè)備通過使用一次性 密碼而訪問； 該系統(tǒng)用于生成命令消息，該命令消息包括命令數(shù)據(jù)，其指定被所述移動計算設(shè)備所采用的一次性密碼安全應(yīng)用程序中執(zhí)行的命 令的類型，以及唯一的識別碼，以識別在其上執(zhí)行命令的數(shù)據(jù)記錄，或者識別在其上執(zhí)行命令的一次 性密碼算法及其相關(guān)的認(rèn)證實體；以及傳送所述命令消息到所述移動計算設(shè)備，以在所述移動計算設(shè)備上執(zhí)行，從而管理所 述一次性密碼安全軟件應(yīng)用程序。
18.如權(quán)利要求17所述的系統(tǒng)，其中所述安全服務(wù)器被配置為在注冊過程中建立與所 述認(rèn)證實體的信任關(guān)系。
19.如權(quán)利要求18所述的系統(tǒng)，其中所述安全服務(wù)器被進一步配置為通過首先從與第 二網(wǎng)絡(luò)相關(guān)的第二認(rèn)證實體的第二服務(wù)器接收命令消息來生成所述命令消息。
全文摘要
本發(fā)明提供了一種用于管理在移動計算設(shè)備(12)上所采用的一次性密碼安全軟件應(yīng)用程序的方法和系統(tǒng)。所述方法包括生成命令消息，該命令消息包括命令數(shù)據(jù)以及唯一的識別碼，其中該命令數(shù)據(jù)指定在被移動計算設(shè)備所采用的一次性密碼安全應(yīng)用程序上執(zhí)行的命令的類型，該識別碼識別在其上執(zhí)行命令的數(shù)據(jù)記錄，或者識別在其上執(zhí)行的一次性密碼算法及其相關(guān)的認(rèn)證實體。通過總控鑰匙服務(wù)器(18)向移動計算設(shè)備(12)傳送消息，用于在移動計算設(shè)備上執(zhí)行，從而管理一次性密碼安全軟件應(yīng)用程序。
文檔編號G06F21/31GK101939746SQ200880119852
公開日2011年1月5日 申請日期2008年12月10日 優(yōu)先權(quán)日2007年12月10日
發(fā)明者F·M·朱伯特 申請人:菲爾愛迪(私人)有限公司