[发明专利]用户认证装置和方法

说明书

本申请要求于2009年5月11日提交的澳大利亚临时专利申请No.2009902095的优先权，该申请的内容通过引用合并于此。

技术领域

本发明涉及用于用户认证的电子安全装置和系统。在典型的应用中，根据本发明实施例的装置可用于产生用于认证用户的认证码。

背景技术

用于进行涉及用户和交易系统的电子交易的电子商务系统的使用是司空见惯的。这种系统可用于网上银行、在线购物、自动柜员机存取、股票交易、缴费等。

在电子商务系统中对于安全电子交易的重要的要求涉及向系统认证用户。换言之，验证该用户是他们要求的。

用于认证用户的一个方法涉及向用户提供电子可读装置，例如含有关于用户的磁性存储信息的卡。为了允许用户使用他的卡，机构(例如银行)向用户提供唯一的代码(如PIN)，该代码在使用该卡用于和与该机构相关联的交易系统(例如自动柜员机)进行电子交易时被提供。利用这种方法的一个难点是每次用户利用系统认证时都使用相同的代码。这就增加了诸如攻击者之类的另一方获取唯一的代码并由此进行未授权的交易的风险。

另一个方法涉及向用户提供可产生例如一次性口令(OTP)的一次性能用认证码(one time useable authentication code)的装置。每次使用该装置时，这种装置可产生OTP。这种装置的一个示例包括令牌或智能卡，其产生由在该装置的存储器中存储的密码(或“密钥”)得出的OTP。由于该密码对于与该装置相关联的认证系统来说是已知的，因此该密码通常称作“共享密码”。当该用户利用认证或安全系统认证时，认证系统产生由共享密码得到的理想代码值，并比较该理想代码值和OTP来认证用户。

在涉及OTP装置和认证系统的安全系统中，用户认证可包含用户向机构(例如银行)的交易系统提供OTP，然后交易系统将OTP传送到由认证服务提供商所管理的远程认证系统或基础设施来用于用户的认证。在一些系统中，认证系统可能够向另一个机构的交易系统认证用户来由此使用户能够利用多种交易系统进行认证。这种系统通常被称作联合系统。

在联合系统中，由于交易系统依赖认证服务提供商的认证系统来进行认证过程，因此它不需要知道共享密码。由此，联合系统可提供多个交易系统的联合访问，并包含可结合多个相同的或不同的风险类别的交易使用的单个共享密码。

随着今天对更强的在线认证、身份保护、交易签约、双向认证等的不断改变的要求，联合访问已经被市场化为限制用户对携带多个认证装置的需要的手段，因为每一个用户可使用单个装置用于提供他们希望执行的服务，而不考虑他们希望使用哪个机构(例如企业或组织)来执行。

遗憾的是，联合系统的限制在于他们可允许通过网络钓鱼、密码击键记录(secret keystroke logging)或任意其它威胁的手段来进行与被损害的一个机构相关联的跨渠道欺骗和威胁的机会。如果被实现，则这种威胁可允许攻击者获取认证所需的信息。然后这种信息可被用于不正当地使用由独立机构提供的服务，该独立机构也已经订购相同的联合服务。当依赖单个装置来便于不同风险的活动的认证服务时可使这种限制加剧。

目前，认为在不与那些系统共享“密码”时，单个认证装置不能被用于访问多个独立的认证系统。不过，由于不同的认证系统可与不同类别的交易或服务相关联，因此向与低风险活动(例如登录到基于会员的一般信息服务)相关联的认证系统披露密码的不同的风险活动可包括与高风险活动(例如在线银行账户访问)相关联的认证系统的安全性。

需要一种改善的、用于向多个服务认证用户的认证装置。

本说明书中对任何现有技术的引用不被当作且不应当被当作承认或以任何方式暗示该现有技术形成任意国家中公知常识的一部分。

发明内容

本发明提供了一种认证装置，包括：

用于存储多个密钥的数据存储器，每一个密钥与对应的服务相关联；

用于从所述对应的服务中选择服务的服务选择器；

认证码生成器，用于根据与所选择的服务相关联的所述密钥产生一次性能用认证码，以向与所选择的服务相关联的认证控制器传送；和

用于输出所产生的认证码以向所述认证控制器传送的输出端。

根据实施例的装置可能够向多个服务认证用户。优选地，实施例管理并存储多个密钥以及其它必要的、足以提供每一个共享利益方(换言之，用户和服务)所寻求的安全性的信息。