基于密码的阈值令牌生成制造技术

本文公开的实施例涉及基于密码的阈值认证的方法和系统，所述方法和系统将认证服务器的作用分布在多个服务器当中。任何t个服务器可共同验证密码并生成认证令牌，而任何t‑1个服务器无法伪造有效令牌或安装离线字典攻击。

【技术实现步骤摘要】
【国外来华专利技术】基于密码的阈值令牌生成相关申请交叉引用本申请要求2018年5月8日提交的标题为“基于密码的阈值令牌生成(PASSWORDBASEDTHRESHOLDTOKENGENERATION)”的第62/668,725号美国临时申请案的权益，其以全文引用的方式并入本文中。
技术介绍
基于令牌的认证经常用于保护和获得对互联网上和企业网络上的资源、服务和应用程序的被授权访问。存在许多方式来执行基于令牌的认证，其中基于密码的技术最为常见。例如，存在广泛使用的开放标准，例如JSONWeb令牌(JWT)和安全断言标记语言(SAML)，所述标准通过允许用户使用用户名/密码验证等标准机制进行初始认证来促进单点登录认证。随后，用户获得认证令牌并在cookie中或在其计算装置的其它本地存储装置中本地存储所述认证令牌。在此令牌到期之前，可在无任何用户参与的情况下呈现所述令牌以获得对各种应用程序的访问。其它基于令牌的认证的开放标准，例如开放授权(OAuth)和OpenID，利用类似的认证机制。通过受保护资源的所有者的批准，由认证服务器将访问令牌发给用户。用户可向资源服务器提供本文档来自技高网...

【技术保护点】
1.一种用于通过客户端获得访问令牌的方法，所述方法包括：/n接收用于获得对计算机资源的访问的凭证；/n散列所述凭证以获得第一散列；/n向多个服务器发送请求消息，每个请求消息包括所述第一散列的盲化散列和用户标识符；/n从所述多个服务器接收响应消息，每个响应消息来自对应服务器，所述响应消息包括：/n部分散列响应，其是使用发送到所述对应服务器的所述盲化散列和秘密份额而生成的，以及/n来自所述多个服务器中的每一者的加密令牌份额，所述加密令牌份额是通过使用先前由所述客户端生成并发送到所述对应服务器的散列部分对令牌份额进行加密而生成的，所述散列部分是使用所述第一散列和所述秘密份额而生成的；/n解盲化所述部...

【技术特征摘要】
【国外来华专利技术】20180508 US 62/668,7251.一种用于通过客户端获得访问令牌的方法，所述方法包括：
接收用于获得对计算机资源的访问的凭证；
散列所述凭证以获得第一散列；
向多个服务器发送请求消息，每个请求消息包括所述第一散列的盲化散列和用户标识符；
从所述多个服务器接收响应消息，每个响应消息来自对应服务器，所述响应消息包括：
部分散列响应，其是使用发送到所述对应服务器的所述盲化散列和秘密份额而生成的，以及
来自所述多个服务器中的每一者的加密令牌份额，所述加密令牌份额是通过使用先前由所述客户端生成并发送到所述对应服务器的散列部分对令牌份额进行加密而生成的，所述散列部分是使用所述第一散列和所述秘密份额而生成的；
解盲化所述部分散列响应中的每一者以获得所述散列部分；
使用所述散列部分解密所述加密令牌份额以获得所述令牌份额；以及
组合所述令牌份额以获得所述访问令牌。


2.根据权利要求1所述的方法，还包括通过以下方式向所述多个服务器进行注册：
向所述多个服务器发送请求，每个请求包括所述第一散列的所述盲化散列和所述用户标识符；
从所述多个服务器接收响应，每个响应来自对应服务器并且包括对应的部分散列响应，所述对应的部分散列响应是使用发送到所述对应服务器的所述盲化散列以及对应的秘密份额而生成的；
解盲化所述对应的部分散列响应中的每一者以获得所述散列部分；以及
将所述散列部分发送到所述多个服务器。


3.根据权利要求2所述的方法，还包括：
生成多个秘密份额；以及
将所述多个秘密份额发送到所述多个服务器。


4.根据权利要求3所述的方法，其中所述多个秘密份额彼此不同。


5.根据权利要求2所述的方法，其中所述注册包括向一个或多个额外服务器发送一个或多个额外散列部分，并且其中仅需要所有服务器中的一部分服务器来提供响应消息以获得所述访问令牌。


6.根据权利要求1所述的方法，其中对于所述服务器中的每一者，所述盲化散列是相同的。


7.根据权利要求1所述的方法，其中对于所述服务器中的每一者，所述盲化散列是不同的。


8.根据权利要求1所述的方法，其中所述令牌份额和所述访问令牌是使用非交互阈值令牌生成方案生成的。


9.根据权利要求8所述的方法，其中所述非交互阈值令牌生成方案是以下中的一个：基于对称密钥的MAC，基于公用密钥的MAC，基于秘密共享(沙米尔)R...

【专利技术属性】
技术研发人员：P·莫哈塞尔，S·阿格拉沃尔，P·穆克赫吉，P·苗，
申请(专利权)人：维萨国际服务协会，
类型：发明
国别省市：美国;US