[发明专利]基于个人访问历史的用户认证

说明书

相关申请的交叉引用

本发明要求2014年12月30日提交的题为“USER AUTHENTICATION BASED ON PERSONAL ACCESS HISTORY(基于个人访问历史的用户认证)”的美国临时申请序列号62/097,675的优先权，其内容通过参考全部并入于此。

发明领域

本发明涉及包括计算机和应用的远程访问和计算机网络上的远程交易。更具体地，本发明涉及用于考虑用户的个人访问历史数据来认证用户的方法和系统。

发明背景

随着计算机系统和应用的远程访问越来越流行，在诸如互联网的公共网络上远程访问的交易的数量和种类极具增加。这样的流行凸显出安全的需要；尤其是：如何确保远程访问应用的人是他们所声称的人，即如何认证基于计算机的应用的用户。

近来，普通用户通常或多或少地访问大多数情况下彼此不相关的大量的应用和网络。这些站点中的一些在允许用户访问之前需要进行某种用户认证。这导致普通用户必须管理大量的认证机制和凭证，尤其是用户名-密码组合。这实际上对于许多用户而言造成了方便性的问题；普通用户发现难以记住单个的安全密码，更不必说针对整个范围的应用的大量密码。因此，许多用户倾向于使用相同的密码用于几个应用和网站和/或选择易于记忆但也容易猜到的密码。这就造成了严重的安全问题。在提供更高的便利性和/或安全性的尝试中，已经开发出单点登录(SSO)方案。虽然这样的SSO方法能够使得事情对于用户来更加便利，但是从安全性和可访问性的角度来说他们往往成为单点故障。事实上，如果用户针对SSO系统进行认证所使用的认证机制被损害(例如，因为用户对于SSO系统的密码已经泄露)或者不再可访问(例如，用户已经被阻挡或忘记SSO密码)，那么这可能累及或者使得SSO系统为用户管理的所有账户不可访问。

因此，需要的是与现有系统相比提供更高安全性和/或便利性的用于认证用户的系统和方法。

发明内容

本发明基于发明人的发现：特定用户访问的许多应用持有对于该用户特定的信息宝藏。

本发明还基于发明人的另一发现：虽然对于特定用户为特定的至少一些信息也可以对于至少一些其他人至少部分地可用(例如，与特定用户有一些关系的相同应用的其他用户)，但是不可能任何其他用户将会访问该特定用户为特定的信息。这样的必然结果是，能够证明了解对于特定合法用户是特定的所有信息的人很可能是该特定的合法用户。更普遍地，一个人能够证明了解的对于特定合法用户是特定的信息越多，这个人实际上是特定合法用户的可能性越大。

本发明还基于发明人的另一发现：对于许多用户来说，与例如可能和应用没有联系的一些密码相比，更容易记住他们与他们倾向于经常访问的应用之间最近的交互的细节。

本发明还基于发明人的又一发现：因为SSO系统具有登录进入大范围的应用的能力，所以SSO系统原理上也可以访问各种应用可以针对特定用户保存的并且当他或她登录时特定用户可访问的相同的个人应用信息。

一般原理。

在一些实施例中，SSO(单点登录)系统的用户可以通过正确地回答一系列问题来被认证到SSO系统，其中的一系列问题涉及合法用户有关的个人信息的了解。在一些实施例中，这些问题可以涉及合法用户与访问由SSO系统进行管理的应用的交互历史。在一些实施例中，这些问题可以涉及由合法用户从用户通过SSO系统进行访问的应用可检索的特定信息。

本发明的一个方面提供了用于认证用户的方法。在一些实施例中，该方法包括如下步骤：代表用户向两个或更多个基于计算机的应用中的多个应用提供认证凭证；获取用户与多个基于计算机应用之间的历史交互有关的数据；生成用于在访问设备输出的系列问题，这些问题涉及用户与多个基于计算机的应用的历史交互；在访问设备处接收系列问题的答案；评估接收到的答案；使用答案的评估结果来认证用户(或者声称是用户的人)。涉及用户与基于计算机的应用的历史交互有关的数据可被称为个人历史应用数据或本说明书中其他位置的应用交互数据。