專利名稱：用于在線交易的ip地址安全多信道認(rèn)證的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及IP地址安全多信道認(rèn)證方法，更具體地說，涉及用于使用應(yīng)用服務(wù)器 和認(rèn)證服務(wù)器的用戶的多因素認(rèn)證方法。
背景技術(shù)：
包括金融交易和其它機(jī)密交易的在線交易長期被應(yīng)用于允許兩方進(jìn)行商務(wù)活動。 在典型的在線交易中，用戶(例如像銀行客戶)使用計(jì)算機(jī)上的客戶端瀏覽器來與應(yīng)用服 務(wù)器(例如像由銀行操作的銀行業(yè)務(wù)(banking)服務(wù)器)建立一個(gè)會話并實(shí)現(xiàn)所希望的交 易(例如像將金錢從一個(gè)賬戶轉(zhuǎn)移到另一個(gè)賬戶)。因?yàn)樵诰€交易經(jīng)常通過因特網(wǎng)來進(jìn)行， 而因特網(wǎng)是由路由器、服務(wù)器、中繼線等組成的全球公共網(wǎng)絡(luò)，所以安全總是首要問題。在線交易安全的風(fēng)險(xiǎn)包括未經(jīng)授權(quán)的第三方可能能夠獲得認(rèn)證信息(例如用戶 標(biāo)識和密碼)，而且隨后可能能夠進(jìn)行對用戶不利的欺詐交易的風(fēng)險(xiǎn)。例如，如果從任意計(jì) 算機(jī)登錄到銀行只需要用戶標(biāo)識和密碼，那么獲取用戶的用戶標(biāo)識和密碼的第三方將可以 從任何地方登錄并執(zhí)行用戶可以執(zhí)行的任意交易，例如包括在未經(jīng)授權(quán)的第三方的控制下 將金錢轉(zhuǎn)移到一個(gè)賬戶。用戶標(biāo)識和密碼的竊取可以通過例如木馬(通常是指駐留于客戶端的應(yīng)用程序， 所述應(yīng)用程序在用戶標(biāo)識和密碼被用戶鍵入時(shí)監(jiān)聽用戶標(biāo)識和密碼并將所述用戶標(biāo)識和 密碼轉(zhuǎn)發(fā)給欺詐者)的技術(shù)來實(shí)現(xiàn)。另一種技術(shù)涉及網(wǎng)絡(luò)仿冒(Phishing)。在示例網(wǎng)絡(luò)仿 冒的情景中，用戶可能接收一封電子郵件，其具有請求用戶登錄聲稱屬于一個(gè)用戶之前與 其進(jìn)行過商務(wù)活動的商人的網(wǎng)站(例如，XYZ銀行)的消息。所述電子郵件包含要由用戶 激活的鏈接。如果用戶激活由網(wǎng)絡(luò)仿冒電子郵件提供的鏈接，那么一個(gè)網(wǎng)站被呈現(xiàn)給用戶， 所述網(wǎng)站具有與真網(wǎng)站(例如，XYZ銀行)幾乎相同的外觀和感覺。然而，該網(wǎng)站實(shí)際上屬 于欺詐者。用戶輸入到模仿真網(wǎng)站的外觀和感覺的欺詐者的網(wǎng)站中的信息將被記錄，并隨 后被用于對用戶實(shí)施欺詐。舉例說明，欺詐者可以利用所輸入的用戶標(biāo)識和密碼來登錄用 戶的賬戶并執(zhí)行未經(jīng)授權(quán)的金錢轉(zhuǎn)移。一種防止像木馬或網(wǎng)絡(luò)仿冒這樣的欺詐的方法涉及使用第二因素認(rèn)證，其中認(rèn)證 需要附加信息。由于起第一認(rèn)證因素的作用的用戶標(biāo)識/密碼，應(yīng)用服務(wù)器(例如，銀行應(yīng) 用)也需要基于正用于訪問的裝置或用戶擁有的硬件的附加認(rèn)證。例如，第二因素認(rèn)證可 能需要硬件權(quán)標(biāo)(token)或ATM卡。軟件也可以被用作第二因素認(rèn)證。上面提到的僅僅觸及一些寬泛的類別的在線交易風(fēng)險(xiǎn)。還有當(dāng)前存在的其它風(fēng) 險(xiǎn)，但它們是公知的并且在此將不作過多的說明。此外，技術(shù)被不斷地發(fā)展以防止在線欺 詐。相應(yīng)地，欺詐者不斷發(fā)展技術(shù)以戰(zhàn)勝包括認(rèn)證方案在內(nèi)的新實(shí)現(xiàn)的安全措施。鑒于當(dāng)前存在的和/或響應(yīng)于安全措施而顯現(xiàn)出來的交易風(fēng)險(xiǎn)，需要改進(jìn)的認(rèn)證 技術(shù)。

發(fā)明內(nèi)容
因此，本發(fā)明提供用于使用應(yīng)用服務(wù)器和認(rèn)證服務(wù)器的用戶的多因素認(rèn)證的方 法，來解決上述問題。根據(jù)本發(fā)明的一個(gè)方面，提供用于使用應(yīng)用服務(wù)器和認(rèn)證服務(wù)器的用戶的多因素 認(rèn)證的計(jì)算機(jī)實(shí)現(xiàn)方法，所述用戶與所述應(yīng)用服務(wù)器和所述認(rèn)證服務(wù)器相互作用，所述用 戶利用用戶瀏覽器程序與所述應(yīng)用服務(wù)器和所述認(rèn)證服務(wù)器中的至少一個(gè)進(jìn)行通信，所述 方法包括利用所述應(yīng)用服務(wù)器使用第一因素認(rèn)證證書認(rèn)證所述用戶；從所述應(yīng)用服務(wù)器 向所述認(rèn)證服務(wù)器提供與對使用所述第一因素認(rèn)證證書的所述認(rèn)證的請求相關(guān)聯(lián)的第一 源IP地址；指示所述用戶在所述用戶瀏覽器程序和所述認(rèn)證服務(wù)器之間建立獨(dú)立通信信 道以執(zhí)行附加認(rèn)證；比較所述第一源IP地址和與利用所述獨(dú)立通信信道的、從所述用戶到 所述認(rèn)證服務(wù)器的通信相關(guān)聯(lián)的第二源IP地址；以及如果所述第一源IP地址與所述第二 源IP地址不匹配，則所述用戶的認(rèn)證失敗。根據(jù)本發(fā)明的另一方面，提供用于使用應(yīng)用服務(wù)器和認(rèn)證服務(wù)器的用戶的多因素 認(rèn)證的計(jì)算機(jī)實(shí)現(xiàn)方法，所述用戶利用用戶瀏覽器程序與所述應(yīng)用服務(wù)器和所述認(rèn)證服務(wù) 器中的至少一個(gè)相互作用，所述方法包括從所述應(yīng)用服務(wù)器接收與從所述用戶瀏覽器程 序到所述應(yīng)用服務(wù)器的認(rèn)證請求相關(guān)聯(lián)的第一源IP地址；從所述用戶瀏覽器程序接收請 求以利用獨(dú)立通信信道來在所述用戶瀏覽器程序和所述認(rèn)證服務(wù)器之間執(zhí)行附加認(rèn)證，所 述獨(dú)立通信信道與被用于在所述應(yīng)用服務(wù)器和所述認(rèn)證服務(wù)器之間進(jìn)行通信的通信信道 獨(dú)立；比較所述第一源IP地址和與在所述認(rèn)證服務(wù)器和所述用戶瀏覽器程序之間執(zhí)行所 述附加認(rèn)證的所述請求相關(guān)的第二源IP地址；以及如果所述第一源IP地址與所述第二源 IP地址不匹配，則所述用戶的認(rèn)證失敗。


在附圖的圖中以示例而不是限制的方式來舉例說明本發(fā)明，其中相同的附圖標(biāo)記 表示相同的組件，并且其中圖1示出了典型的多信道認(rèn)證方案，其中客戶端瀏覽器利用應(yīng)用服務(wù)器和認(rèn)證服 務(wù)器兩者來進(jìn)行認(rèn)證。圖2示出了中間人(man-in-the-middle)裝置的存在，所述中間人裝置已經(jīng)由欺 詐者為了對用戶實(shí)施欺詐的目的而實(shí)現(xiàn)。圖3示出了根據(jù)本發(fā)明一個(gè)實(shí)施例的IP地址安全多信道認(rèn)證(IPAS-MCA)情景的 示意圖。圖4示出了根據(jù)本發(fā)明一個(gè)實(shí)施例的借以挫敗中間人攻擊的IP地址安全多信道 認(rèn)證(IPAS-MCA)情景的示意圖。
具體實(shí)施例方式現(xiàn)在將參照如附圖中所舉例說明的幾個(gè)實(shí)施例來詳細(xì)描述本發(fā)明。在下面的描述 中，為了提供對本發(fā)明的全面理解而詳盡地解釋大量的具體細(xì)節(jié)。然而對本領(lǐng)域技術(shù)人員 來說顯而易見的是，可以實(shí)踐本發(fā)明而不用這些具體細(xì)節(jié)中的某些或全部。在其它情況下， 為了避免不必要地使本發(fā)明模糊不清，沒有詳細(xì)地描述公知的處理步驟和/或結(jié)構(gòu)。
以下描述各種實(shí)施例，包括方法和技術(shù)。應(yīng)該記住，本發(fā)明也可以覆蓋包括存儲用 于執(zhí)行創(chuàng)造性技術(shù)的實(shí)施例的計(jì)算機(jī)可讀指令的計(jì)算機(jī)可讀介質(zhì)的制造產(chǎn)品。例如，計(jì)算 機(jī)可讀介質(zhì)可以包括半導(dǎo)體、磁、光磁、光或者其它形式的用于存儲計(jì)算機(jī)可讀代碼的計(jì)算 機(jī)可讀介質(zhì)。進(jìn)一步地，本發(fā)明還可以覆蓋用于實(shí)踐本發(fā)明的實(shí)施例的裝置。這種裝置可 以包括專用于和/或可編程用于執(zhí)行與本發(fā)明實(shí)施例有關(guān)的任務(wù)的電路。這種裝置的例子 包括在適當(dāng)編程情況下的通用計(jì)算機(jī)和/或?qū)Ｓ糜?jì)算設(shè)備，并且可以包括適合于與本發(fā)明 實(shí)施例有關(guān)的各種任務(wù)的計(jì)算機(jī)/計(jì)算設(shè)備和專用/可編程電路的組合。在多信道認(rèn)證方案中，用戶不僅需要訪問應(yīng)用服務(wù)器(例如，上面提到的XYZ銀 行)，還需要為了認(rèn)證自己的目的在獨(dú)立通信上訪問認(rèn)證服務(wù)器。簡單來說，多信道認(rèn)證方 案包含三方用戶、應(yīng)用服務(wù)器和認(rèn)證服務(wù)器?？偟膩碚f，用戶首先登錄應(yīng)用服務(wù)器(例如，XYZ銀行)并建立他的第一因素認(rèn)證 證書(例如，用戶標(biāo)識和密碼)。一旦滿足第一因素認(rèn)證證書，應(yīng)用服務(wù)器就聯(lián)系認(rèn)證服務(wù) 器來確定用戶是否是多信道認(rèn)證服務(wù)的訂戶。如果用戶是多信道認(rèn)證服務(wù)的訂戶，那么認(rèn) 證服務(wù)器(經(jīng)由應(yīng)用服務(wù)器)給用戶提供HTML指令，來指示用戶的客戶端瀏覽器(例如， 使用AJAX技術(shù))建立與認(rèn)證服務(wù)器的獨(dú)立通信信道。在該獨(dú)立通信信道中的通信可以通 過使用將如稍后討論的加密技術(shù)來使其安全。在該獨(dú)立第二信道上的用戶的瀏覽器和認(rèn)證 服務(wù)器之間的安全信道執(zhí)行附加認(rèn)證。在一個(gè)實(shí)施方案中，客戶端瀏覽器和認(rèn)證服務(wù)器都知道一個(gè)共享秘密。所述共享 秘密的一部分在這里被稱為“已知事實(shí)”或KF，其為認(rèn)證服務(wù)器和客戶端瀏覽器兩者所知。 所述已知事實(shí)可以是由認(rèn)證服務(wù)器和客戶端瀏覽器彼此都指明為“已知的”任意數(shù)據(jù)、信息 或事實(shí)。例如，已知事實(shí)可以是由商人指明為用于附加認(rèn)證的共享秘密的某特殊數(shù)據(jù)字段 (例如，賬號或電話號碼)。在認(rèn)證服務(wù)器和客戶端瀏覽器之間的認(rèn)證是一種雙向加密認(rèn)證。如果客戶端瀏 覽器可以利用共享秘密(其為認(rèn)證服務(wù)器和客戶端瀏覽器兩者所知)向認(rèn)證服務(wù)器驗(yàn)證 自己，并且如果認(rèn)證服務(wù)器可以利用共享秘密向客戶端瀏覽器驗(yàn)證自己，那么認(rèn)證被認(rèn)為 是成功的。為了交流所述已知事實(shí)，通過在用戶最初向多信道認(rèn)證系統(tǒng)注冊時(shí)的激活過程 (用于每個(gè)裝置的一次性處理)期間利用帶外(out-of-band)通信信道(例如，電子郵件、 電話等)增強(qiáng)安全性。例如，電子郵件可以被發(fā)送給用戶來將對于用戶的已知事實(shí)的字母 數(shù)字串提供給用戶，以將所述用戶綁定到他的證書。盡管多信道認(rèn)證技術(shù)可以提供針對某些形式的安全風(fēng)險(xiǎn)的附加安全措施，但是被 稱為中間人的攻擊形式已經(jīng)帶來了挑戰(zhàn)。中間人攻擊指的是欺詐者使用連接到客戶端并連 接到應(yīng)用服務(wù)器的裝置，通過中繼請求和響應(yīng)，來竊取數(shù)據(jù)和/或裝作代表客戶端瀏覽器 以實(shí)現(xiàn)欺詐的目的。換句話說，中間人裝置可以看到所有的通信(traffic)并執(zhí)行可以由 客戶端瀏覽器所執(zhí)行的大部分或所有的動作，例如包括修改SSL協(xié)議信息。因此，即使使用多信道認(rèn)證方案，在客戶端瀏覽器成功地實(shí)現(xiàn)與認(rèn)證服務(wù)器的附 加認(rèn)證之后，也仍然可能泄露機(jī)密的通信，因?yàn)镸ITM裝置嵌入在客戶端瀏覽器和應(yīng)用服務(wù) 器(例如，XYZ銀行)之間的通信中。在本發(fā)明的一個(gè)或多個(gè)實(shí)施例中，提出了 IP地址安全多信道認(rèn)證(IPAS-MCA)技 術(shù)和裝置。一般而言，AS-MCA技術(shù)檢測在客戶端瀏覽器和應(yīng)用服務(wù)器之間用于通信的IP源地址與在安全認(rèn)證信道上的在客戶端瀏覽器和認(rèn)證服務(wù)器之間用于通信的源IP地址是否 相同。如果兩個(gè)IP地址不同，則懷疑有未被授權(quán)的中間人裝置，并且認(rèn)證將失敗。參考附圖和下述的討論，可以更好地理解本發(fā)明的特征和優(yōu)點(diǎn)。圖1示出了典型 的多信道認(rèn)證方案，其中客戶端瀏覽器102利用應(yīng)用服務(wù)器104和認(rèn)證服務(wù)器106兩者來 進(jìn)行認(rèn)證。首先，客戶端瀏覽器102聯(lián)系應(yīng)用服務(wù)器104以請求認(rèn)證(130)。在這一階段， 像傳統(tǒng)上那樣，認(rèn)證一般使用用戶標(biāo)識和密碼組合。如果根據(jù)用戶標(biāo)識/密碼認(rèn)為用戶是 有效用戶，則確定客戶端瀏覽器102的用戶是否是多信道認(rèn)證系統(tǒng)的訂戶?？梢杂烧J(rèn)證服 務(wù)器106通過例如針對它的訂戶數(shù)據(jù)庫核對用戶的身份(其被應(yīng)用服務(wù)器104轉(zhuǎn)發(fā)(132) 到認(rèn)證服務(wù)器106)來做出決定。如果確定用戶是多信道認(rèn)證系統(tǒng)的訂戶，那么為了執(zhí)行進(jìn)一步的認(rèn)證的目的，認(rèn) 證服務(wù)器106經(jīng)由應(yīng)用服務(wù)器104來向客戶端瀏覽器102發(fā)送(134)指令(例如以HTML 代碼的形式)以指示客戶端瀏覽器102建立與認(rèn)證服務(wù)器106的安全通信信道。利用由認(rèn)證服務(wù)器106提供的指令(其被經(jīng)由應(yīng)用服務(wù)器104發(fā)送給客戶端瀏覽 器102)，客戶端瀏覽器102接著建立到認(rèn)證服務(wù)器106的安全通信信道(136a/136b)。經(jīng) 由安全通信信道，客戶端瀏覽器102和認(rèn)證服務(wù)器106可以執(zhí)行進(jìn)一步的認(rèn)證。認(rèn)證一般 是雙向的，客戶端瀏覽器向認(rèn)證服務(wù)器驗(yàn)證自己，反之亦然。一般說來，附加認(rèn)證可能需要只有用戶知道的和/或?qū)τ谙蚨嘈诺勒J(rèn)證系統(tǒng)注冊 為屬于用戶并被授權(quán)執(zhí)行交易的通信裝置特定的信息。因此，即使用戶標(biāo)識和密碼被竊取， 欺詐者仍然不能完成認(rèn)證，因?yàn)榕c認(rèn)證服務(wù)器的附加認(rèn)證需要對于用戶和/或被授權(quán)的用 戶裝置特定的附加信息。圖2示出了中間人裝置的存在，所述中間人裝置已經(jīng)由欺詐者為了對用戶實(shí)施欺 詐的目的而實(shí)現(xiàn)。通常，欺詐者試圖誘使用戶基于某個(gè)借口來進(jìn)行到其裝置110的連接。一 旦基于某個(gè)似乎真實(shí)的借口進(jìn)行了連接，欺詐者的裝置110接著就代表用戶的瀏覽器102 提供到應(yīng)用服務(wù)器104的連接，欺詐者的裝置110位于在客戶端瀏覽器裝置102和應(yīng)用服 務(wù)器104之間的通信中間。因此，在客戶端瀏覽器連接MITM之后，所述MITM裝置接著連接 到應(yīng)用服務(wù)器，就像兩個(gè)連接一樣。每個(gè)連接都具有來自于請求方的源IP地址。因?yàn)镸ITM裝置中繼在客戶端瀏覽器和認(rèn)證服務(wù)器之間的消息，所以瀏覽器102的 第一因素認(rèn)證(利用用戶的用戶標(biāo)識和密碼)將會成功。此外，在獨(dú)立安全信道上的瀏覽 器102和認(rèn)證服務(wù)器106之間的第二因素認(rèn)證也將會成功。那么，泄露了在客戶端瀏覽器 102和應(yīng)用服務(wù)器104之間的任意后續(xù)通信，并且因?yàn)镸ITM裝置110幾乎可以代表客戶端 瀏覽器102執(zhí)行任意動作，例如包括SSL協(xié)議信息修改，所以欺詐的風(fēng)險(xiǎn)仍然存在。圖3示出了根據(jù)本發(fā)明一個(gè)實(shí)施例的IP地址安全多信道認(rèn)證(IPAS-MCA)的示意 圖。在圖3的實(shí)例中，描述了 IPAS-MCA技術(shù)的步驟，盡管在圖3的實(shí)例中不存在欺詐的中 間人裝置。這里，存在中間人裝置的情況將聯(lián)系的圖4進(jìn)行討論?；貋韰⒄請D3，首先客戶端瀏覽器302聯(lián)系(330)應(yīng)用服務(wù)器304以請求認(rèn)證。在 這一階段，認(rèn)證一般又使用常規(guī)的用戶標(biāo)識和密碼組合。此外，應(yīng)用服務(wù)器304也注意接收 的分組的源IP地址。記錄所述源IP地址。在圖3的實(shí)例中，因?yàn)闆]有中間人裝置，所以源 IP地址將是客戶端瀏覽器302的IP地址。如果根據(jù)第一因素認(rèn)證用戶被認(rèn)為是有效用戶，則確定客戶端瀏覽器302的用戶是否是多信道認(rèn)證系統(tǒng)的訂戶?？梢杂烧J(rèn)證服務(wù)器306通過例如針對它的訂戶數(shù)據(jù)庫核對 用戶的身份(其被應(yīng)用服務(wù)器304轉(zhuǎn)發(fā)(332)到認(rèn)證服務(wù)器306)來做出決定。此外，由應(yīng) 用服務(wù)器304記錄的源IP地址信息被傳遞(332)到認(rèn)證服務(wù)器306。如果確定用戶是多信道認(rèn)證系統(tǒng)的訂戶，那么為了執(zhí)行進(jìn)一步的認(rèn)證認(rèn)的目的， 認(rèn)證服務(wù)器306經(jīng)由應(yīng)用服務(wù)器304來向客戶端瀏覽器302發(fā)送(334)指令(例如以HTML 代碼的形式)，以指示客戶端瀏覽器302建立與認(rèn)證服務(wù)器306的安全通信信道。利用由認(rèn)證服務(wù)器306提供的指令(其被經(jīng)由應(yīng)用服務(wù)器304來發(fā)送給客戶端瀏 覽器302)，客戶端瀏覽器302接著(使用例如AJAX技術(shù)或相似的技術(shù))建立(336A/336B) 到認(rèn)證服務(wù)器306的通信信道。經(jīng)由該附加通信信道，客戶端瀏覽器302和認(rèn)證服務(wù)器306 可以執(zhí)行進(jìn)一步的認(rèn)證。一般說來，附加認(rèn)證可能需要只有用戶知道的和/或?qū)τ谙蚨嘈诺勒J(rèn)證系統(tǒng)注冊 為屬于用戶并被授權(quán)執(zhí)行交易的通信裝置特定的信息。如所提到的那樣，即使泄露了用戶 標(biāo)識和密碼，欺詐者仍然不能完成認(rèn)證，因?yàn)榕c認(rèn)證服務(wù)器的附加認(rèn)證需要對于用戶和/ 或被授權(quán)的用戶裝置特定的附加信息。此外，認(rèn)證服務(wù)器306檢查來自從客戶端瀏覽器302接收到的數(shù)據(jù)分組的源IP地 址，以確定在客戶端瀏覽器302和認(rèn)證服務(wù)器306之間的安全通信會話中，在從客戶端瀏覽 器302接收到的數(shù)據(jù)分組中的IP地址是否與由應(yīng)用服務(wù)器304轉(zhuǎn)發(fā)的IP地址(其反映在 客戶端瀏覽器302和應(yīng)用服務(wù)器304之間的第一因素認(rèn)證期間由應(yīng)用服務(wù)器304所接收的 數(shù)據(jù)分組中的源IP地址)相匹配。如果這兩個(gè)IP地址匹配，則將像圖3的實(shí)例中的情況 那樣，因?yàn)闆]有中間人裝置，所以認(rèn)證被認(rèn)為是成功的。圖4示出了根據(jù)本發(fā)明一個(gè)實(shí)施例的IP地址安全多信道認(rèn)證(IPAS-MCA)的示意 圖。在圖4的實(shí)例中，中間人裝置420欺騙性地插入在客戶端瀏覽器402和應(yīng)用服務(wù)器404 之間的通信流中。一般說來，MITM裝置420可以首先使用例如像網(wǎng)絡(luò)仿冒這樣的技術(shù)來建 立與客戶端瀏覽器402的通信，以哄騙客戶端瀏覽器402的用戶相信客戶端瀏覽器402的 用戶正在與應(yīng)用服務(wù)器404進(jìn)行通信。一旦建立了客戶端瀏覽器402和MITM裝置420之間 的通信，則MITM裝置420聯(lián)系應(yīng)用服務(wù)器404并打開一個(gè)通信信道。在客戶端瀏覽器402 和應(yīng)用服務(wù)器404之間的后續(xù)通信由MITM裝置420中繼。應(yīng)用服務(wù)器404請求客戶端瀏覽器402的認(rèn)證，而所述請求被MITM 420中繼到客 戶端瀏覽器402。如所提到的那樣，在這一階段，像傳統(tǒng)上那樣，認(rèn)證一般再次使用用戶標(biāo)識 和密碼組合。在MITM 420中繼所述請求之后，客戶端瀏覽器402以用戶標(biāo)識/密碼組合來 響應(yīng)所述請求。MITM 420將用戶標(biāo)識/密碼中繼到應(yīng)用服務(wù)器404。應(yīng)用服務(wù)器404還注意接收到的分組的源IP地址。因?yàn)閿?shù)據(jù)分組從MITM裝置 420到達(dá)，所以記錄了與MITM裝置420相關(guān)聯(lián)的源IP地址。如果根據(jù)用戶標(biāo)識/密碼組合用戶被認(rèn)為是有效用戶，則確定客戶端瀏覽器402 的用戶是否是多信道認(rèn)證系統(tǒng)的訂戶?？梢杂烧J(rèn)證服務(wù)器406通過例如針對它的訂戶數(shù)據(jù) 庫核對用戶的身份(其被應(yīng)用服務(wù)器404轉(zhuǎn)發(fā)(432)到認(rèn)證服務(wù)器406)來做出決定。此 外，將由應(yīng)用服務(wù)器404記錄的源IP地址信息(在該實(shí)例中其反映來自于通信430B的MITM 裝置420的IP地址)傳遞(參見引用箭頭432)到認(rèn)證服務(wù)器406。如果確定用戶是多信道認(rèn)證系統(tǒng)的訂戶，那么為了執(zhí)行進(jìn)一步的認(rèn)證的目的，認(rèn)證服務(wù)器406經(jīng)由應(yīng)用服務(wù)器404來向客戶端瀏覽器402發(fā)送(434A)指令(例如以HTML 代碼的形式)以指示客戶端瀏覽器402建立與認(rèn)證服務(wù)器406的安全通信信道。這些指令 由MITM 420中繼(434B)到客戶端瀏覽器402。利用由認(rèn)證服務(wù)器406提供的指令(其被經(jīng)由應(yīng)用服務(wù)器404發(fā)送給客戶端瀏覽 器402)，客戶端瀏覽器402接著建立到認(rèn)證服務(wù)器406的通信信道(436A/436B)。經(jīng)由該 通信信道，客戶端瀏覽器402和認(rèn)證服務(wù)器406可以執(zhí)行進(jìn)一步的認(rèn)證。注意，來自于認(rèn)證 服務(wù)器406的指令可以包括MITM 420不能響應(yīng)的問詢(challenge) /響應(yīng)，因?yàn)镸ITM 420 不具有共享秘密。在這種情況下，MITM 420將來自于認(rèn)證服務(wù)器406的指令傳遞到客戶端 瀏覽器402，以允許客戶端瀏覽器402回答所述問詢/響應(yīng)?？蛻舳藶g覽器402接著按照指 示來建立與認(rèn)證服務(wù)器406的通信信道。此外，認(rèn)證服務(wù)器406檢查來自從客戶端瀏覽器402 (來自于由附圖標(biāo)記436A所 指定的通信)接收到的數(shù)據(jù)分組的源IP地址，以確定在客戶端瀏覽器402和認(rèn)證服務(wù)器 406之間的安全通信會話中，在從客戶端瀏覽器402接收到的數(shù)據(jù)分組中的IP地址是否與 由應(yīng)用服務(wù)器404轉(zhuǎn)發(fā)的IP地址(其反映在客戶端瀏覽器402和應(yīng)用服務(wù)器404之間的 第一因素認(rèn)證期間由應(yīng)用服務(wù)器404所接收(430B)的數(shù)據(jù)分組中的源IP地址)相匹配。因?yàn)橛蓱?yīng)用服務(wù)器404記錄并傳遞到認(rèn)證服務(wù)器406的IP地址反映MITM裝置 420的IP地址，所以該IP地址與客戶端瀏覽器的IP地址不匹配，所述客戶端瀏覽器的IP 地址由認(rèn)證服務(wù)器406從客戶端瀏覽器402和認(rèn)證服務(wù)器406之間的通信中獲得。在這種 情況下，認(rèn)證將失敗。如從上述內(nèi)容中所能理解的那樣，本發(fā)明的實(shí)施例通過進(jìn)一步實(shí)現(xiàn)針對中間人攻 擊的防護(hù)，擴(kuò)展了多信道認(rèn)證技術(shù)所提供的安全性。如果用戶標(biāo)識/密碼組合被竊取，那么 多信道認(rèn)證方案可以阻止欺詐者的后續(xù)認(rèn)證，因?yàn)槠墼p者不可能擁有在獨(dú)立安全信道上的 第二認(rèn)證所需的信息(無論是由用戶明確地提供還是由用戶通過其執(zhí)行在線交易認(rèn)證的 授權(quán)的通信裝置自動地提供)。更重要地，如果中間人裝置被欺騙性地插入在客戶端瀏覽器 和應(yīng)用服務(wù)器之間的通信路徑中，則IPA-MCA技術(shù)可以通過比較IP地址來檢測這種欺詐的 中間人裝置的存在并阻止認(rèn)證和后續(xù)的欺詐交易。這里通過引用合并的進(jìn)一步信息由這里的權(quán)利要求來提供。雖然已經(jīng)根據(jù)幾個(gè)優(yōu)選實(shí)施例來描述了本發(fā)明，但仍存在落入本發(fā)明范圍內(nèi)的修 改、置換和等效物。也應(yīng)該注意到，存在許多可供選擇的實(shí)施本發(fā)明的方法和裝置的替代方 法。雖然這里提供了多個(gè)實(shí)例，但是其意圖是這些實(shí)例關(guān)于本發(fā)明是說明性的而非限制性 的。
權(quán)利要求
1.一種用于使用應(yīng)用服務(wù)器和認(rèn)證服務(wù)器的用戶的多因素認(rèn)證的計(jì)算機(jī)實(shí)現(xiàn)方法，所 述用戶與所述應(yīng)用服務(wù)器和所述認(rèn)證服務(wù)器相互作用，所述用戶利用用戶瀏覽器程序與所 述應(yīng)用服務(wù)器和所述認(rèn)證服務(wù)器中的至少一個(gè)進(jìn)行通信，所述方法包括利用所述應(yīng)用服務(wù)器使用第一因素認(rèn)證證書認(rèn)證所述用戶；從所述應(yīng)用服務(wù)器向所述認(rèn)證服務(wù)器提供與對使用所述第一因素認(rèn)證證書的所述認(rèn) 證的請求相關(guān)聯(lián)的第一源IP地址；指示所述用戶在所述用戶瀏覽器程序和所述認(rèn)證服務(wù)器之間建立獨(dú)立通信信道以執(zhí) 行附加認(rèn)證；比較所述第一源IP地址和與利用所述獨(dú)立通信信道的、從所述用戶到所述認(rèn)證服務(wù) 器的通信相關(guān)聯(lián)的第二源IP地址；以及如果所述第一源IP地址與所述第二源IP地址不匹配，則所述用戶的認(rèn)證失敗。
2.如權(quán)利要求1所述的方法，其中所述第一因素認(rèn)證證書至少包括用戶標(biāo)識和密碼。
3.如權(quán)利要求1所述的方法，進(jìn)一步包括在指示所述用戶在所述用戶瀏覽器程序和所 述認(rèn)證服務(wù)器之間建立所述獨(dú)立通信信道以執(zhí)行附加認(rèn)證之前，確定所述用戶是否是多因 素認(rèn)證服務(wù)的訂戶。
4.如權(quán)利要求1所述的方法，其中所述附加認(rèn)證包括在所述認(rèn)證服務(wù)器和所述用戶瀏 覽器程序之間利用共享秘密來進(jìn)行認(rèn)證。
5.如權(quán)利要求4所述的方法，其中所述共享秘密包括已知事實(shí)。
6.如權(quán)利要求5所述的方法，其中所述已知事實(shí)由所述用戶在注冊期間利用帶外通信 信道來提供。
7.如權(quán)利要求6所述的方法，其中所述帶外通信信道包括話音呼叫。
8.如權(quán)利要求1所述的方法，其中所述附加認(rèn)證被加密執(zhí)行。
9.如權(quán)利要求1所述的方法，其中所述附加認(rèn)證是在所述認(rèn)證服務(wù)器和所述用戶瀏覽 器程序之間的雙向認(rèn)證。
10.如權(quán)利要求1所述的方法，其中所述指示所述用戶在所述用戶瀏覽器程序和所述 認(rèn)證服務(wù)器之間建立所述獨(dú)立通信信道以執(zhí)行附加認(rèn)證涉及AJAX技術(shù)。
11.如權(quán)利要求1所述的方法，其中所述指示所述用戶在所述用戶瀏覽器程序和所述 認(rèn)證服務(wù)器之間建立所述獨(dú)立通信信道使用HTML。
12.一種用于使用應(yīng)用服務(wù)器和認(rèn)證服務(wù)器的用戶的多因素認(rèn)證的計(jì)算機(jī)實(shí)現(xiàn)方法， 所述用戶利用用戶瀏覽器程序與所述應(yīng)用服務(wù)器和所述認(rèn)證服務(wù)器中的至少一個(gè)相互作 用，所述方法包括從所述應(yīng)用服務(wù)器接收與從所述用戶瀏覽器程序到所述應(yīng)用服務(wù)器的認(rèn)證請求相關(guān) 聯(lián)的第一源IP地址；從所述用戶瀏覽器程序接收請求以利用獨(dú)立通信信道來在所述用戶瀏覽器程序和所 述認(rèn)證服務(wù)器之間執(zhí)行附加認(rèn)證，所述獨(dú)立通信信道與被用于在所述應(yīng)用服務(wù)器和所述認(rèn) 證服務(wù)器之間進(jìn)行通信的通信信道獨(dú)立；比較所述第一源IP地址和與在所述認(rèn)證服務(wù)器和所述用戶瀏覽器程序之間執(zhí)行所述 附加認(rèn)證的所述請求相關(guān)的第二源IP地址；以及如果所述第一源IP地址與所述第二源IP地址不匹配，則所述用戶的認(rèn)證失敗。
13.如權(quán)利要求12所述的方法，其中在所述用戶瀏覽器程序到所述應(yīng)用服務(wù)器之間的 所述認(rèn)證包括利用第一因素證書的認(rèn)證。
14.如權(quán)利要求12所述的方法，其中所述第一因素認(rèn)證證書至少包括用戶標(biāo)識和密碼。
15.如權(quán)利要求12所述的方法，進(jìn)一步包括在指示所述用戶在所述用戶瀏覽器程序和 所述認(rèn)證服務(wù)器之間建立所述獨(dú)立通信信道以執(zhí)行所述附加認(rèn)證之前，確定所述用戶是否 是多因素認(rèn)證服務(wù)的訂戶。
16.如權(quán)利要求12所述的方法，其中所述附加認(rèn)證包括在所述認(rèn)證服務(wù)器和所述用戶 瀏覽器程序之間利用共享秘密來進(jìn)行認(rèn)證。
17.如權(quán)利要求16所述的方法，其中所述共享秘密包括已知事實(shí)。
18.如權(quán)利要求17所述的方法，其中所述已知事實(shí)由所述用戶在注冊期間利用帶外通 信信道來提供。
19.如權(quán)利要求12所述的方法，其中所述附加認(rèn)證是在所述認(rèn)證服務(wù)器和所述用戶瀏 覽器程序之間的雙向認(rèn)證。
20.如權(quán)利要求12所述的方法，其中所述附加認(rèn)證被加密執(zhí)行。
全文摘要
公開了用于使用應(yīng)用服務(wù)器和認(rèn)證服務(wù)器的用戶的多因素認(rèn)證的方法。所述方法包括從所述應(yīng)用服務(wù)器接收與從用戶瀏覽器程序到所述應(yīng)用服務(wù)器的認(rèn)證的請求相關(guān)聯(lián)的第一源IP地址。所述方法還包括從所述用戶瀏覽器程序接收請求以在所述用戶瀏覽器程序和所述認(rèn)證服務(wù)器之間利用獨(dú)立通信信道執(zhí)行附加認(rèn)證。所述方法還包括比較所述第一源IP地址和與執(zhí)行所述附加認(rèn)證的請求相關(guān)聯(lián)的第二源IP地址，并且如果所述第一源IP地址與第二源IP地址不匹配，則所述用戶的認(rèn)證失敗。
文檔編號H04L9/08GK102006271SQ20091025840
公開日2011年4月6日 申請日期2009年9月2日 優(yōu)先權(quán)日2008年9月2日
發(fā)明者林亞騏 申請人:F2威爾股份有限公司