隐含共享密钥的安全数据通道鉴权制造技术

本发明专利技术解决了两侧(A、B)之间的安全数据通道的鉴权的方法，首先建立非鉴权的受保护的数据通道(1)，其中数据通道(1)的终端(3)在第一侧(A)并且数据通道(1)的终端(4)在另一侧(B)、并且目标应用(7)在第一侧(A)并且目标应用(8)在另一侧(B)，而终端(3)和(4)具有非鉴权的共享密钥(5)，因此，在数据通道(1)的两侧(A、B)，计算源自非鉴权共享密钥(5)的数据，然后经由数据通道(1)之外的外部通信装置将源自非鉴权共享密钥(5)的数据传递到外部鉴权系统(2)的两侧(11、12)，外部鉴权系统(2)因此执行通信侧(A、B)的鉴权，包括数据通道(1)的鉴权。

【技术实现步骤摘要】
【国外来华专利技术】
本专利技术涉及在双方之间的远程电子通信期间验证安全数据通道用户的电子身份的方法。
技术介绍
在用户或系统远程访问服务提供商的信息系统中的受保护的资产的情况下使用安全数据通道。受保护的资产可以是可变字符-这些可能是机密信息或被设计用来公开的信息，但是仅允许由被授权者来改变或者其可能涉及使用信息和通信技术来实现各种动作或交易，或者其可能关系到为各种设备设置指令、获取测量的或以其它方式获取的信息或数据。数据通道安全性是远程访问期间受保护的资产的保护水平的限制因素。受保护的资产的安全性的一般水平不能比数据通道安全性高。这从安全性的一般规则中显现出来，其中一般安全性水平由最薄弱的要素的安全性水平来设置。数据通道安全性由鉴权限制，所述鉴权即数据通道的两端上的系统或用户(系统的操作者或所有者)的身份的验证的建立。在开始通过数据通道传输数据之前，在创建安全数据通道之前或作为数据通道创建的一部分来执行鉴权-其为电子身份的验证，典型地在使用目标电子服务之前基于远程来执行。在远程访问目标电子服务的情况下将数据通道用于对数据传输的保护，作为对被授权用户的保护，避免例如攻击者的未授权用户访问服务。安全数据通道由被鉴权的共享密钥保护，其仅为数据通道两端上的系统已知。被鉴权的共享密钥创建包括身份校验-数据通道两端上的用户或系统的鉴权。另一已知的变型是在不鉴权或部分鉴权的情况下创建数据通道，因此将该数据通道用于针对目标应用的用户的鉴权。在这种情况下，数据通道使用非鉴权的共享密钥，并且其不能充当安全密钥，因为它可能被攻击者滥用，因为没有执行任何满值的数据通道鉴权，并且攻击者甚至可能滥用或者以其它方式攻击针对目标应用的用户的鉴权并从而甚至成功攻击目标应用。为了确保数据通道和目标应用的安全性，需要执行双鉴权-针对数据通道和目标应用，或者按照某一其他方式连接数据通道和目标应用。已知一些在由应用执行的鉴权中使用创建数据通道之前或创建数据通道时执行的数据通道鉴权的结果、将目标应用与数据通道连接(通道绑定)以提高应用通信安全性的方法。当前，外部鉴权不用于数据通道鉴权。待鉴权的用户或相应的系统具有可用的鉴权密钥(证书)，例如，在通过密码进行鉴权的情况下，他们可以直接使用所述鉴权密钥(证书)以用于鉴权，或者，如在使用通过公共密钥基础设施的鉴权的情况下，他们将使用所述密钥来执行鉴权所需的合适的加密操作。本专利技术的目的在于消除电子通信安全性当前的弱点，即不充分、无用、弱或难用的安全通道的鉴权，以及以此方式提高针对各种(甚至高质量)攻击的主要远程电子通信的抵抗力和以此方式显著减少电子通信的风险。此外，提出的专利技术的目的在于通过在某一刻将外部鉴权系统和数据通道或相应的目标应用之间的数据传输简化为单向传输来简化外部鉴权的使用。这允许使用其他数据传输技术-它们是常用的并且它们不能用于更复杂的数据传输方法。
技术实现思路
本专利技术的主题是一种安全数据通道鉴权的方法，其特征在于，首先，使用基于使用常规加密方法(例如使用密钥协商)获取的非鉴权的共享密钥，在双方之间创建非鉴权的加密数据通道，保证数据通道的仅两端或临时生成的加密密钥对的存在。然后，使用非鉴权的数据通道，用户和数据通道鉴权所需的信息可以通过例如外部鉴权服务URL、质询、鉴权/数据会话标识符(秘密地)传输。从而，两侧的数据通道端例如使用利用通过共享密钥的签名的伪随机加密函数来创建数据通道的非鉴权的共享密钥的加密派生物。派生物创建的方法保证在共享密钥相同的情况下，在数据通道两端计算的共享密钥的两不派生物具有相同的值。例如，可以使用类型为HASH或HMAC的常规的非对称伪随机算法来执行计算。然后-使用在数据通道的两端的但是在数据通道之外的外部通信手段-将源自非鉴权的共享密钥的数据、至少数据通道的非鉴权的共享密钥的派生物或其派生的信息传输到外部鉴权(外部鉴权系统或服务)的合适输入。源自非鉴权的共享密钥的数据可以是非鉴权的共享密钥的派生物、或例如通过使用附加数据进行的修改获得的非鉴权的共享密钥的被修改的派生物、或根据非鉴权的共享密钥和附加数据计算的派生物、或根据非鉴权的共享密钥和附加数据计算的并例如被附加数据进一步修改的派生物。可以由数据通道的各终端或由数据通道的每侧的目标应用和/或由鉴权系统侧来执行通过附加数据进行的修改。可以由数据通道的每侧的不同组件或由相同的组件在数据通道的两侧执行修改。可以由数据通道终端和/或由目标应用和/或由外部鉴权系统侧来创建附加和/或补充数据。可以由数据通道每侧的不同组件或由相同的组件在数据通道两侧创建附加和/或补充数据。在外部鉴权在数据通道两端上接收到源自非鉴权的共享密钥的数据之后，外部鉴权执行所传递的源自数据通道的非鉴权的共享密钥的数据的鉴权，通常通过使用外部鉴权可访问的提供商的鉴权密钥或用户的鉴权密钥，使得例如使用签名，或者用密钥或用其它方式被鉴权的密钥进行加密，以可靠加密的方式连接源自非鉴权的共享密钥的数据的鉴权以及用户或对应的系统的鉴权。外部鉴权是如下的特殊系统、程序集和设备集或电子服务，其能够单独执行用户/系统的鉴权和包括源自数据通道的非鉴权的共享密钥的数据的鉴权在内的其他被鉴权的安全操作，外部鉴权与数据通道分离并且其不使用数据通道来传输信息。外部通信手段可以例如使用局部通信技术，如使用QR码的扫描和显示的可容易和直观地执行的光通信，如短距离无线通信、光通信、局域网、设备中的内建(built-in)内部通信技术或其他常规的合适手段(例如服务提供商的内部网络或“云”服务提供商的内部受保护的网络)，或安全远程通信。源自非鉴权的共享密钥的数据的鉴权可以使用外部鉴权系统来执行，例如基于根据源自非鉴权的共享密钥和用户和/或系统的鉴权密钥的数据获得的派生物的比较，或者可以使用外部鉴权系统经由使用在利用外部鉴权对用户和/或系统的鉴权期间被鉴权的临时签名密钥的加密签名来执行；或可以使用外部鉴权系统通过利用在使用外部鉴权系统对用户和/或系统的鉴权期间被鉴权的临时加密密钥的加密来执行；或可以通过由根据源自非鉴权的共享密钥和在使用外部鉴权系统对用户和/或系统的鉴权期间被鉴权的临时密钥的数据获得的派生物的比较、使用外部鉴权系统来执行；或可以使用外部鉴权系统以如下的方式来执行：将由外部鉴权系统使用源自数据通道的非鉴权的共享密钥的移交的数据以用于用户鉴权，使本文档来自技高网...

【技术保护点】
一种两侧(A、B)之间的安全数据通道的鉴权的方法，其特征在于，首先建立非鉴权的受保护的数据通道(1)，所述数据通道(1)的终端(3)在第一侧(A)并且数据通道(1)的终端(4)在另一侧(B)，并且在第一侧(A)具有目标应用(7)以及在另一侧(B)具有目标应用(8)，而终端(3)和(4)具有非鉴权的共享密钥(5)，因此，在数据通道(1)的两侧(A、B)，计算源自非鉴权的共享密钥(5)的数据，然后经由数据通道(1)之外的外部通信装置将源自非鉴权的共享密钥(5)的数据传递到外部鉴权系统(2)的两侧(11、12)，所述外部鉴权系统(2)因此执行通信侧(A、B)的鉴权，包括数据通道(1)的鉴权。

【技术特征摘要】
【国外来华专利技术】2013.05.22 CZ PV2013-3731.一种两侧(A、B)之间的安全数据通道的鉴权的方法，其特征在于，
首先建立非鉴权的受保护的数据通道(1)，所述数据通道(1)的终端(3)在
第一侧(A)并且数据通道(1)的终端(4)在另一侧(B)，并且在第一侧(A)
具有目标应用(7)以及在另一侧(B)具有目标应用(8)，而终端(3)和(4)
具有非鉴权的共享密钥(5)，因此，在数据通道(1)的两侧(A、B)，计算源
自非鉴权的共享密钥(5)的数据，然后经由数据通道(1)之外的外部通信装
置将源自非鉴权的共享密钥(5)的数据传递到外部鉴权系统(2)的两侧(11、
12)，所述外部鉴权系统(2)因此执行通信侧(A、B)的鉴权，包括数据通道
(1)的鉴权。
2.根据权利要求1所述的方法，其特征在于，以如下的方式获取源自非鉴
权的共享密钥(5)的数据：终端(3)和(4)计算非鉴权的共享密钥(5)的
派生物(6)或终端(3)和(4)根据非鉴权的共享密钥(5)和附加数据(14)
来计算派生物(6)；以及派生物(6)能够通过附加数据(16)进一步修改。
3.根据权利要求2所述的方法，其特征在于，由选自包括数据通道(1)
的终端(3)和(4)、目标应用(7、8)以及外部鉴权系统(2)的侧(11、12)
在内的群组的至少一个组件，在每侧(A、B)单独执行非鉴权的共享密钥(5)
的派生物(6)的修改。
4.根据权利要求2所述的方法，其特征在于，由选自包括数据通道(1)
的终端(3)和(4)、目标应用(7、8)以及外部鉴权系统(2)的侧(11、12)
在内的群组的至少一个组件，在每侧(A、B)单独创建附加数据(14)和/或补
充数据(16)。
5.根据权利要求2所述的方法，其特征在于，以终端(3)和(4)计算非
鉴权的共享密钥(5)的派生物(6)的方式来获取源自非鉴权的共享密钥(5)
的数据。
6.根据权利要求2所述的方法，其特征在于，以终端(3)和(4)计算附
加数据(14)和非鉴权的共享密钥(5)的派生物(6)的方式来获取源自非鉴
权的共享密钥(5)的数据。
7.根据权利要求2所述的方法，其特征在于，以终端(3)和(4)计算非

\t鉴权的共享密钥(5...

【专利技术属性】
技术研发人员：N·利博，
申请(专利权)人：阿读随得有限公司，
类型：发明
国别省市：捷克;CZ