在一計算機環境中提供自適應安全訪問的方法與裝置的製作方法
2023-06-09 01:09:16 1
專利名稱:在一計算機環境中提供自適應安全訪問的方法與裝置的製作方法
技術領域：
本發明涉及在一計算機環境中的用戶訪問。更具體來講，本發明涉及在一計算機環境中適應來自不同始發客戶機的安全用戶登錄的方法與裝置。
背景技術：
用戶通常會使他們的口令洩漏(丟失或者被竊)。攻擊者一般可以使用竊取的用戶名/口令假冒一名來自一遠端地點的用戶。這損害了攻擊者混入的業務，對於服務提供商來說代價很高。
大多數的公司允許用戶使用極少的驗證(也就是一個次要口令)訪問內部網。這是一種極端的情況，該公司知道用戶來自哪裡；該用戶的接入點在一預期的區域內(例如該公司大樓內部)。當一用戶從一非預期區域(例如從家中)訪問公司的內部網時，用戶必須使用一安全ID(即一個主要口令)訪問第一級別。
其他用於識別人員的機制例如生物測量學(指紋、視網膜掃描儀等等)是很昂貴的，並且硬體密集。這類方法很難安裝和使用。如果應用於網際網路，他們也是不切實際的。
避免口令失竊薄弱性的最常見解決方案是要求將密鑰資料攜帶到每一驗證環境。有時該密鑰資料被保存在一智慧卡中，有時它是以一張軟盤攜帶(也許包含私人密鑰)。任一方法一般都不是用戶友好的，並且勢必造成丟失該無口令資料的問題(或者是用戶忘記攜帶該資料)。
提供一種自動地適應用戶的登錄模式的自適應多層驗證系統將很有幫助。提供一種不要求服務供應商提供額外硬體的自適應多層驗證系統將更有幫助。
發明內容
本發明提供一種自適應的多層驗證系統。該系統自動地適應用戶的登錄模式。此外，本發明通過使用一種基於詢問的安全性系統而不要求服務供應商提供額外的硬體。
本發明提供一種在一計算機環境中提供自適應安全訪問的方法，包括步驟接收用戶的登錄請求；將所述用戶登錄請求的信息與來自所述用戶的個人資料檔案裡存儲的登錄模式進行比較；根據比較的結果計算所述登錄請求的信用級別；如果所計算的信用級別不足以滿足要求，則基於所計算的信用級別交互詢問所述用戶個人信息，其中所述個人信息有所述用戶在所述當前登錄請求之前存儲在所述個人資料檔案中；如果所計算的信用級別達到足夠高，則授權用戶訪問；以及基於該當前的登錄請求為所述用戶更新所述個人資料檔案。
本發明還提供一種在一計算機環境中提供自適應安全訪問的裝置，包括一伺服器，所述伺服器包括一用戶訪問控制模塊；和一評估用戶模式模塊，連接於該用戶訪問控制模塊，其中，所述用戶訪問控制模塊包括用於從一用戶接收登錄請求的裝置；所述評估用戶模式模塊包括用於將所述用戶登錄請求的信息與來自所述用戶的個人資料檔案中存儲的用戶登錄模式進行比較的裝置；用於基於比較的結果計算所述當前用戶登錄請求的信用級別的裝置；所述用戶訪問控制模塊還包括如果所計算的信用級別不足以滿足要求，則基於所計算的信用級別交互詢問所述用戶個人信息的裝置，其中所述個人信息有所述用戶在所述當前登錄請求之前存儲在所述個人資料檔案中；所述評估用戶模式模塊還包括如果所計算的信用級別達到足夠高，則授權用戶訪問的裝置；以及基於該當前的登錄請求為所述用戶更新所述個人資料檔案的裝置。
本發明的一個最佳實施例提供僅當來自一新環境的用戶試圖連接時使用的輔助層驗證。本發明接收用戶的輸入，例如登錄嘗試和對系統詢問的響應。
獲取諸如IP位址、始發電話號碼或者該用戶機器上的跟蹤文件(Cookies)等用戶登錄信息以用於鑑定。為每一用戶保留用戶/使用資料檔案。
將該用戶登錄信息與來自該特定用戶的用戶/使用資料檔案的信息相比較。該用戶/使用資料檔案包含曾經建立該帳號的用戶的所有用戶信息以及詳述該用戶的訪問模式的使用資料檔案。
計算當前用戶登錄的信用級別，而且本發明確定是否要求對該用戶的額外的詢問。如果信用級別高，那麼該用戶被授權訪問該系統。如果該信用級別不夠高，那麼向該用戶發送詢問。評估該用戶的回答，並根據信用級別和回答授權或者拒絕訪問。該用戶的資料檔案被更新，來反映這次訪問嘗試。
本發明的其他方面和有益效果將根據隨後結合附圖的詳細說明而變得清晰，以舉例的方式闡明本發明的原理。
圖1是根據本發明的一種用戶遠程訪問方案的框圖；圖2是根據本發明的一種多個接入點實例的框圖；以及圖3是根據本發明的作業視圖的框圖。
其中，附圖標記說明如下具體實施方式
本發明具體化為一種在一計算機環境中的自適應的多層驗證系統。一種根據本發明的系統自動地適應用戶的登錄模式。此外，本發明提供一種系統，通過使用一種基於詢問的安全性系統而不要求服務供應商提供額外的硬體。
用戶通常會使他們的口令洩漏(丟失或者被竊)。攻擊者一般可以使用竊取的用戶名/口令假冒一名來自一遠端站點的用戶。這損害了攻擊者混入的業務，對於服務提供者來說代價很高。本發明通過提供僅當來自一新環境(即來自一新計算機、信息站等等)的用戶嘗試連接時使用的輔助層驗證，使這類假冒更困難。
參看圖1，圖中示出了一種簡單的用戶界面方案。該用戶101登錄伺服器102。該伺服器檢索該用戶的已存儲的使用資料檔案103。對照該用戶的資料檔案用戶101對訪問該伺服器的位置進行校驗，以便為這次會話確定信用級別。該伺服器102根據該信用級別確定是否必須採取任何額外的安全措施。
本發明的一最佳實施例分析用戶對一業務的使用以及通常的接入點，以便補充每一接入點的信用級別。如果該用戶總是從家中撥號訪問一種業務例如AOL，本發明覺察到該模式，並在不久後當該用戶訪問從家中訪問該業務時確定該信用級別是高的。在該點，本發明將允許直接登錄該業務而不會要求任何輔助信息。
當該用戶突然旅遊並在旅途中訪問該業務，那麼該用戶的信用級別降級，並在允許訪問以前要求更多的驗證詢問。舉例來說，該業務可能告訴該用戶「我們驚訝地發現到你從加利福尼亞撥入。我們僅僅需要對你的身份做少許額外的背景核對。你告訴我們你有多少條狗？他們的名字是什麼？」參照圖2，該用戶可能是一名推銷員，併到不同的城市旅行。該用戶的模式可能是最隨機的，因為他的接入點跨越國家201、202、203。伺服器204考慮到這一點，並確定這是該用戶的正常模式。該伺服器204在該用戶的資料檔案205中記錄這一事實。
然而，如果該用戶在一位置201登錄該伺服器204，然後另一用戶在另一位置203使用相同身份登錄，該伺服器204將立即將第二位置的信用級別降級並要求更多的驗證詢問。這也適用於這樣的情況，即舉例來說，當一用戶在美國登錄而五小時後在日本發生一個類似的登錄。本發明知道這樣的時間期間是不大可能的。
本發明自動處理跟蹤信息，例如IP位址、用戶從哪裡撥入以及訪問次數。這些數據組合而成的資料檔案被用來作為確定信用級別的基礎。舉例來說，本發明運用以下標準為一系統進行驗證該用戶是從哪裡撥入(例如，電話號碼)。
使用的機器類型(例如Mac或者PC)。
該機器上的作業系統。
該機器上的跟蹤文件(Cookies)/標籤(Tags)。
IP位址(例如，同一IP位址或者同一子網)，當一用戶登錄時，該計算機的某些顯著特徵被記錄。在該典型實例中，一個隨機標記被寫入該客戶計算機的存儲器或者磁碟中。只有當該已有標記位於被用來登錄的計算機上時登錄才照常進行(例如可以在每一計算機上為HTTP事務使用一個識別跟蹤文件(Cookies)。當用於識別計算機的元素與該用戶的「計算機所用標準列表」不相配時，那麼就如上所述，在完成驗證以前要求某些輔助詢問(例如「你的生日是什麼？」，「你的家庭電話號碼是什麼？」)。
該系統適應並學習用戶從之登錄的新地點，然後轉而僅僅從該地點使用最小限度的用戶名/口令。可以使用其他技術識別上列的登錄環境(例如IP位址或者撥入線路)，但是設置唯一的標記(文件、跟蹤文件(Cookie)等等)確保了環境檢驗。
該用戶不再承擔必須攜帶任何可能丟失或者失竊的東西(例如智慧卡)的負累。該方法類似於傳統的個人識別系統，在這樣的系統中，當用戶是已知的的時候，則不要求額外的ID證據。
當本發明突然要求比往常更多的信息時，用戶立即知道某些事情發生了錯誤。舉例來說，如果該用戶從家中登錄，而這是一個正常位置，但該系統卻要求比正常情況多的信息，例如該用戶的狗的名字。這種不尋常的請求可能指示用戶某些事情可能發生了錯誤，提示該用戶調用客戶支持以獲取更多信息。
參看圖3，用戶訪問控制模塊301接收用戶的輸入，例如登錄嘗試和對系統詢問的響應。所述用戶訪問控制模塊301負責查找並檢查用戶登錄信息，例如IP位址、始發電話號碼或者該用戶機器上的跟蹤文件(Cookies)等。評估用戶模式模塊302從所述用戶訪問控制模塊301處獲得信息，並將它與來自該特定用戶的用戶/使用資料檔案303的使用信息進行比較。該用戶/使用資料檔案包含曾經建立該帳號的用戶的所有用戶信息以及詳述該用戶的訪問模式的使用資料檔案。
計算當前用戶登錄的信用級別，而且所述評估用戶模式模塊302確定是否要求對該用戶的額外的詢問。經由所述用戶訪問控制模塊301將詢問發送給所述用戶。所述用戶的回答被從所述用戶訪問控制模塊301轉傳給所述評估用戶模式模塊302。所述評估用戶模式模塊302根據所述信用級別以及對它要求的任何詢問的回答來授權或者拒絕訪問。所述評估用戶模式模塊302利用剛剛獲得的信息為所述用戶更新所述用戶/使用資料檔案303。
儘管本發明此處是參照最佳實施例進行描述，但本領域中的普通技術人員將很容易的理解其他應用可以代替此處闡述的這些應用，而不會脫離本發明的精神和範圍。因此，本發明應當只受限於以下所附的權利要求
書。
權利要求
1.一種在一計算機環境中提供自適應安全訪問的方法，包括步驟接收用戶的登錄請求；將所述用戶登錄請求的信息與來自所述用戶的個人資料檔案裡存儲的登錄模式進行比較；根據比較的結果計算所述登錄請求的信用級別；如果所計算的信用級別不足以滿足要求，則基於所計算的信用級別交互詢問所述用戶個人信息，其中所述個人信息有所述用戶在所述當前登錄請求之前存儲在所述個人資料檔案中；如果所計算的信用級別達到足夠高，則授權用戶訪問；以及基於該當前的登錄請求為所述用戶更新所述個人資料檔案。
2.如權利要求
1所述的方法，其特徵在於還包括識別和鑑定用戶登錄模式的步驟。
3.如權利要求
1所述的方法，進一步包括步驟在所述用戶從那裡登錄的機器上安裝一個跟蹤文件/標籤。
4.如權利要求
3所述的方法，還包括步驟僅在所述機器上存在來自先前訪問的跟蹤文件/標籤時，沒有建立增長的信用也可授權該用戶訪問。
5.如權利要求
1所述的方法，其特徵在於所述關於該登錄請求的信息至少包括用戶從哪裡撥入的；所用機器類型；所述機器上的作業系統；所述機器上的跟蹤文件/標籤；以及IP位址。
6.如權利要求
1所述的方法，其特徵在於所述資料檔案包括先前訪問位置的信用級別。
7.如權利要求
1所述的方法，其特徵在於如果所計算的信用級別不夠高，那麼拒絕所述用戶訪問。
8.一種在一計算機環境中提供自適應安全訪問的裝置，包括一伺服器，所述伺服器包括一用戶訪問控制模塊；和一評估用戶模式模塊，連接於該用戶訪問控制模塊，其中，所述用戶訪問控制模塊包括用於從一用戶接收登錄請求的裝置；所述評估用戶模式模塊包括用於將所述用戶登錄請求的信息與來自所述用戶的個人資料檔案中存儲的用戶登錄模式進行比較的裝置；和用於基於比較的結果計算所述當前用戶登錄請求的信用級別的裝置；所述用戶訪問控制模塊還包括如果所計算的信用級別不足以滿足要求，則基於所計算的信用級別交互詢問所述用戶個人信息的裝置，其中所述個人信息由所述用戶在所述當前登錄請求之前存儲在所述個人資料檔案中；所述評估用戶模式模塊還包括如果所計算的信用級別達到足夠高，則授權用戶訪問的裝置；以及基於該當前的登錄請求為所述用戶更新所述個人資料檔案的裝置。
9.如權利要求
8所述的裝置，其特徵在於所述評估用戶模式模塊還包括識別和鑑定用戶登錄模式的裝置。
10.如權利要求
8所述的裝置，所述伺服器進一步包括在所述用戶從那裡登錄的機器上安裝一個跟蹤文件/標籤的裝置。
11.如權利要求
10所述的裝置，其特徵在於所述伺服器還包括僅在所述機器上存在來自先前訪問的跟蹤文件/標籤時，沒有建立增長的信用也可授權該用戶訪問的裝置。
12.如權利要求
8所述的裝置，其特徵在於所述關於該登錄請求的信息至少包括用戶從哪裡撥入的；所用機器類型；所述機器上的作業系統；所述機器上的跟蹤文件/標籤；以及IP位址。
13.如權利要求
8所述的裝置，其特徵在於所述資料檔案包括先前訪問位置的信用級別。
14.如權利要求
8所述的裝置，其特徵在於所述伺服器還包括如果所計算的信用級別不夠高，那麼拒絕所述用戶訪問的裝置。
專利摘要
本發明提供一種在一計算機環境中提供自適應安全訪問的方法與裝置，提供僅當來自一新環境的用戶嘗試連接時使用的輔助層驗證。本發明接收用戶的輸入。獲取用戶登錄信息以用於鑑定。為每一用戶保留個人資料檔案，並將該用戶登錄信息與來自該特定用戶的個人資料檔案的信息相比較，該個人資料檔案中包含了曾經建立該帳號的用戶的所有用戶信息以及詳述該用戶訪問模式的使用資料檔案。計算當前用戶登錄位置的信用級別。如果信用級別高，那麼該用戶被授權訪問該系統。如果信用級別不夠高，那麼向該用戶發送詢問，評估該用戶的回答，並且基於該信用級別和回答授權或者拒絕訪問。該用戶的資料檔案被更新，來反映這次訪問嘗試。
文檔編號G06F21/00GKCN1313897SQ00819552
公開日2007年5月2日 申請日期2000年5月19日
發明者吉姆·羅斯金德, 羅裡·沃德 申請人:網景通信公司導出引文BiBTeX, EndNote, RefMan