網絡上的安全動態憑證分發的製作方法

2023-06-18 09:41:26

專利名稱：網絡上的安全動態憑證分發的製作方法
技術領域：
本發明涉及計算系統中憑證從第一計算裝置通過網絡向第二計算裝置的安全動態分發，尤其涉及在不向第二裝置揭露或在其上儲存憑證的情況下，從第一裝置向第二裝置動態並安全地分發登錄憑證的方式，如用於第二裝置的自動登錄。
背景技術：
有很多原因期望第一計算裝置從第二計算裝置接收憑證，如用戶標識和密碼(或反之亦然)，以標識第二裝置和/或確定第二裝置的訪問級別和許可。
例如，主機計算機可具有客戶機裝置希望對其請求訪問的內容。這是一種相當常見的情形，如圖1A所示，計算裝置的世界以及可從各種其它計算裝置請求的內容的類型在媒體設備和媒體類型方面都是相當多樣化的。僅為示例性目的，圖1A示出了有許多種媒體，如音樂(MP3、WMV等)、流音頻/視頻、照片(JPEG、GIF等)、電影文件(MOV、MPEG等)、廣告、廣播媒體(無線電、電視、有線電視等)、圖形數據等等。圖1也示出了有各種以某一方式呈現媒體的設備，為某一目的，包括但不限於，電視機、收音機、調頻設備、DVD播放器、VCR、數字數據存儲和/或呈現設備、MP3播放器、智能顯示設備、膝上電腦、遊戲機、遠程控制設備、蜂窩電話、PDA、數字相框等等。由此，在這一系統中在任意兩個設備之間建立信任是一個重要的問題-為使能夠在包含設備的網絡化信任中在各種計算裝置之間的內容主含(hosting)裝置的內容或資源的安全共享。
由此，為向第二計算裝置給予對第一計算裝置的資源的訪問，經常期望令第一計算裝置「信任」有關第二計算裝置的某些東西，如為安全和/或私密性原因。給予訪問的一種常見的方法是從請求裝置接收憑證，當由主含裝置接收時，該憑證擔當用於門上的鎖的鑰匙的作用，由此建立信任。可以理解，這類憑證可在任一計算環境中在兩個計算裝置之間交換，計算環境如包括對等客戶機、分布式計算系統、薄客戶機體系結構的網絡體系結構，在薄客戶機體系結構中，應用程式處理主要出現在中央伺服器上，但是也可如後文更詳細描述的在其它網絡化環境中分布。
圖1B示出了在示例性網絡化環境中第一計算裝置(如，伺服器S)和第二計算裝置(如，客戶機C)之間的典型的現有技術登錄，在該環境中，伺服器S和客戶機C通過有線或無線的任一網絡連接NC進行通信。為各種原因，在兩個裝置之間可出現驗證交換。在一種原型的情形中，客戶機C希望訪問伺服器S的某些資源，如應用程式、內容、服務等等，或開始與伺服器S的會話。然而，在允許訪問其應用程式、內容、服務等之前，伺服器S需要客戶機C被允許訪問伺服器S的應用程式、服務、內容等的某一證據。這可包括從客戶機C接收憑證，如用戶標識和密碼。
當今，對於這一情形，如果計算機S的外部對象試圖通過網絡NC登錄到計算機S，則外部對象使用對客戶機C和伺服器S都已知的標準機制提供用於驗證的憑證。憑證登錄組件將憑證從客戶機C傳送到伺服器S，伺服器S上的驗證組件依照由客戶機C的憑證表示的許可允許訪問其資源。一般而言，想要登錄的是實際用戶，憑證通常由用戶本身記住。用戶通過外部機制，如通過在登錄時經諸如鍵盤等輸入設備輸入憑證，手動向計算裝置C輸入憑證。在其它現有技術的系統中，用戶可一次鍵入憑證，從那時起，憑證可被高速緩存或儲存在客戶機C上(如，圖1B中的「憑證」)。無論如何，憑證向客戶機C的初始傳輸在網絡NC的「帶外」發生。
然而，如果外部對象是希望以自動方式登錄的機器(即，不是實際用戶)，則該機器必須現行地從某處獲取憑證，這通常也是在網絡的「帶外」經用於向客戶機C輸入憑證的帶外機制傳輸的。如上所述，這樣做的主要原因是在裝置之間建立信任。如果客戶機C從某一帶外源知道僅伺服器S認可的機密，則可假定客戶機C是網絡NC用於在裝置之間的通信交換的可信用戶。
然而，當已在兩個裝置之間建立信任時，有至少兩個原因來質疑上述現有技術登錄系統的安全性(1)對程序庫(dictionary)攻擊的脆弱性，以及(2)發現儲存在客戶機裝置上的憑證的威脅。
關於程序庫攻擊的威脅，惡意的外部對象可重複地用強力嘗試可能用於輸入憑證的每一輸入組合和排列，並且最終，隨著時間的推移並由於強數(strongnumber)法則，它可隨機地猜出憑證。為抵擋程序庫攻擊，可旋轉憑證，即，頻繁地改變憑證。然而，如果過於頻繁地旋轉憑證，用戶很難記住這些憑證。另一方面，如果不夠頻繁地旋轉憑證，則無法減輕程序庫攻擊的威脅。
第二個關注是在這類系統中，憑證往往儲存或高速緩存在客戶機C上一段時間，從而有暴露伺服器S資源的危險。萬一惡意黑客確定了如何暴露其在客戶機C上存在，則伺服器S的資源被暴露。如果黑客與其它用戶和裝置共享該憑證，則問題變得更為複雜。不論憑證是否被旋轉，也不論負責輸入用於登錄的憑證的是實際用戶還是機器，這一風險仍存在。從伺服器S的觀點來看，由於對其資源的安全風險不再局限於其存儲範圍，因此這是一個問題。
然而，當已在裝置之間建立信任時，應當有一種方法，僅在自動登錄之前以令憑證能夠被頻繁旋轉且不在客戶機機器上儲存憑證的方式向客戶機動態地分發憑證。
由此，期望有一種用於向其尋求登錄或訪問的計算機僅在登錄實際出現之前通過網絡自動分發登錄憑證的方法。期望有一種用於驗證交換以免遭程序庫攻擊的威脅，或免使客戶機C的存儲受到窺探而取得憑證的方式在基於這些憑證的兩個計算裝置之間發生的方法。還期望有一種用於第一裝置通過隨後的登錄交換發生的同一網絡向第二裝置安全地聲明或分發憑證的一般且簡單的機制或框架。

發明內容
考慮現有技術的上述缺點，本發明提供了用於通過網絡提供安全動態憑證分發的系統和方法。在各種實施例中，本發明提供了用於在登錄發生之前由向其尋求登錄或訪問的計算機通過網絡自動向請求方分發登錄憑證的系統和方法。在示例性實施例中，基於前在的信任，計算機向請求方自我生成且自我分發登錄憑證，由此登錄憑證不由請求方儲存。
下文將描述本發明的其它優點和特徵。


參考附圖進一步描述依照本發明提供安全動態憑證分發的系統和方法，附圖中圖1A示出了當要提供媒體經驗時，不同的媒體類型和媒體設備是怎樣的。
圖1B示出了一個示例性現有技術計算環境，其中，一個計算裝置登錄到另一個以訪問其資源；圖2A是表示可在其中實現本發明的具有各種計算裝置的示例性網絡環境的框圖；圖2B是表示可在其中實現本發明的示例性非限制伺服器計算裝置的框圖；圖2C是表示可在其中實現本發明的接收或傳送數據的第二示例性非限制計算裝置的框圖；圖3A和3B示出了依照本發明的系統和方法的各種實施例從第一計算裝置向第二計算裝置的動態的安全的憑證分發；以及圖4A和4B示出了結合依照本發明的通過網絡的安全動態憑證分發的實施例所執行的過程和所遵循的協議的示例性非限制流程圖，其中，客戶機裝置希望開始與主機裝置的會話。
具體實施例方式
綜述第二計算裝置對數字內容的請求是當第二裝置希望自動接收從第一計算裝置動態生成的安全分發的憑證的時刻的示例。隨著web服務和移動web服務的出現，對數字內容的這類請求繼續增長。已向遍及整個家庭在各種設備(如，電子家庭遠程媒體設備、智能顯示器、xBox、袖珍PC、可攜式DVD設備等)上傳送娛樂體驗(如，TV、音樂、視頻、照片、DVD等)的世界引入了一種網絡化設備的廣闊生態系統。然而，在這類內容能夠被傳送到請求計算裝置之前，在請求裝置和具有內容的裝置之間出現憑證交換等，以確認請求裝置。如上所述，存在著與現有登錄技術關聯的某些風險。本發明認識到當已在裝置之間建立信任時可避免這些風險。因此，本發明提供了一種用於僅在請求裝置的登錄在網絡上出現之前以簡單的方式通過網絡向請求裝置自動分發憑證的一般框架。
示例性網絡化環境本領域的普通技術人員可以理解，本發明可結合任一計算機或可作為計算機網絡的一部分的其它客戶機或伺服器裝置，或在分布式計算環境中實現。在這一點上，本發明涉及具有任意數量的存儲器或存儲單元，以及在任意數量的存儲單元或存貯媒體上出現的任意數量的應用程式和進程的任一計算機系統或環境，它可結合依照本發明的安全動態憑證分發來使用。本發明可應用到具有在網絡環境或分布式計算環境中展開的伺服器計算機和客戶機計算機的環境中。本發明也可應用到具有程式語言功能，用於結合遠程或本地服務生成、接收和發送信息的解釋和執行能力的獨立計算裝置。由於數字媒體的網絡資源越來越多地增長，本發明尤其涉及在網絡或分布式計算環境中操作的計算裝置，並由此，依照本發明用於安全並動態地分發憑證的技術可以巨大功效應用於這些環境中。
分布式計算通過在計算裝置和系統之間交換提供了計算機資源和服務的共享。這些資源和服務包括信息交換、文件的高速緩存存儲和盤存儲。分布式計算利用了網絡連接性，允許客戶機調節其集體能力和存儲，以有益於整個企業。在這一點上，各種計算裝置可具有包含可依照本發明實現的僅在登錄前的憑證的動態請求和傳送的應用程式、對象或資源。
圖2A提供了一個示例性網絡化或分布式計算環境的示意圖。分布式計算環境包括計算對象10a、10b等，以及計算對象或裝置110a、110b、110c等。這些對象可包括程序、方法、數據存儲、可編程邏輯等等。對象可包括同一或不同設備的部分，設備如PDA、音頻/視頻設備、MP3播放器、TV、個人計算機等等。每一對象可通過通信網絡14與另一對象進行通信。該網絡本身可包括向圖2A的系統提供服務的其它計算對象和計算裝置，並且本身表示多個互連網絡。依照本發明的一個方面，對象10a、10b等，或110a、110b、110c等的每一個可包含利用諸如API等接口或其它對象、軟體、固件和/或硬體請求或使用依照本發明的過程的應用程式。
也可以理解，諸如110c等對象可主含在另一計算裝置10a、10b等，或110a、110b等上。由此，儘管所描述的物理環境可示出連接的裝置為計算機，這一說明僅為示例性的，也可選地描述物理環境包括諸如PDA、電視機、MP3播放器等各種數字設備、諸如接口、COM對象等軟體對象、或可結合媒體經驗使用的任一設備。
有各種支持分布式計算環境的系統、組件和網絡配置。例如，計算系統可通過有線或無線系統、通過區域網或廣域網連接在一起。當前，許多網絡耦合至網際網路，它為廣泛分布的計算提供了基礎結構，並包含許多不同的網絡。任一基礎結構可用於與依照本發明的安全動態憑證分發相關的示例性通信。
在家庭網絡環境中，至少有四個全異的網絡傳輸媒質，它們的每一個都支持唯一的協議，如電力線、數據(有線或無線)、語音(如，電話)和娛樂媒體。諸如電燈開關等大多數家庭控制設備和電器可使用電力線用於連接。數據服務可作為寬帶(如，DSL或電纜數據機)進入家庭，並可在家庭內使用無線(如，家庭RF或802.11B)或有線(如，家庭PNA、Cat 5、乙太網、甚至是電力線)連接來訪問。語音通信可作為有線(如，Cat 3)或無線(如，蜂窩電話)進入家庭，並可在家庭內使用Cat 3配線分布。娛樂媒體或其它圖形數據可通過衛星或電纜進入家庭，並通常在家庭內使用同軸電纜分布。IEEE 1394和DVI也是用於媒體設備群的數字互連。所有這些網絡環境和作為協議標準出現的其它事物可互連以形成可通過網際網路連接到外界的網絡，如內聯網。簡言之，存在各種全異的源用於數據的存儲和傳輸，並因此前進，計算裝置需要共享諸如所訪問或使用的與程序對象關聯的數據等數據的方法，從而請求或利用用於依照本發明安全並動態地分發憑證的過程。
網際網路通常指使用TCP/IP協議組的網絡和網關的集合，該協議組在計算機網絡的領域中是已知的。TCP/IP是「傳輸控制協議/網際網路協議」的縮寫。網際網路可被描述為由執行允許用戶通過網絡進行交互並共享信息的網絡協議的計算機互連的地理上分布的遠程計算機網絡的系統。由於這一廣泛分布的信息共享，諸如網際網路等遠程網絡更一般地演變成一種開放系統，開發者可為其設計用於執行本質上沒有限制的專用操作或服務的軟體應用程式。
由此，網絡基礎結構啟用了一組網絡拓撲的主機，如客戶機/伺服器、對等或混合體系結構。「客戶機」是使用它不相關的另一類或組的服務的一類或組的成員。由此，在計算中，客戶機是進程，即，概略地為請求由另一程序提供的服務的一組指令或任務。客戶機進程使用請求的服務，而無需「知曉」關於其它程序或該服務本身的工作細節。在客戶機/伺服器體系結構中，尤其是在網絡化系統中，客戶機通常是訪問由另一計算機，如，伺服器提供的共享網絡資源的計算機。在圖2A的示例中，計算機110a、110b等可被認為是客戶機，計算機10a、10b等可被認為是伺服器，其中，伺服器10a、10b等維護隨後在客戶機110a、110b等中複製的數據，儘管任一計算機可被認為是客戶機、伺服器或兩者，取決於環境。例如，計算機110a可以是媒體中心版本(MCE)主機PC，計算裝置10a、10b等可以是遠程媒體消費裝置。這些計算裝置的任一個可處理數據或請求服務或任務，這些數據、服務或任務可包含用於依照本發明安全並動態地分發憑證的技術。
伺服器通常是可通過諸如網際網路等遠程或本地網絡訪問的遠程計算機系統。客戶機進程可在第一計算機系統中活動，伺服器進程可在第二計算機系統中活動，它們通過通信媒質彼此進行通信，由此提供了分布式功能，並允許多個客戶機利用伺服器的信息收集能力。依照本發明的技術使用的任一軟體對象可在多個計算裝置或對象中分布。
客戶機和伺服器使用協議層提供的功能彼此通信。例如，超文本傳輸協議(HTTP)是結合全球資訊網(WWW)或「Web」一起使用的常見協議。例如，遠程桌面協議(RDP)是用於遠程計算的常見協議。通常，諸如網際網路協議(IP)地址的計算機網絡地址或諸如通用資源定位符(URL)等其它參考可用於向彼此標識伺服器或客戶機計算機。網絡地址可以指URL地址。可通過通信媒質提供通信，如，客戶機和伺服器可通過用於高容量通信的TCP/IP連接彼此耦合。
由此，圖2A示出了可在其中採用本發明的一個示例性網絡化或分布式環境，其中，伺服器通過網絡/總線與客戶機計算機通信。更詳細地，依照本發明若干伺服器10a、10b等通過通信網絡/總線14與若干客戶機或遠程計算裝置110a、110b、110c、110d、110e等互連，通信網絡/總線14可以是LAN、WAN、內聯網、網際網路等等，客戶機或遠程計算裝置可以如可攜式計算機、手持式計算機、薄客戶機、網絡化器件，或諸如VCR、TV、烤箱、燈、加熱器等依照本發明的其它設備。由此，當涉及存儲、用戶接口、呈現等時，考慮本發明可應用到具有唯一的媒體能力的任一計算裝置。
例如，在通信網絡/總線14是網際網路的網絡環境中，伺服器10a、10b等可以是web伺服器，客戶機110a、110b、110c、110d、110e等通過諸如HTTP等若干已知的協議的任一種與其進行通信。伺服器10a、10b等也可擔當客戶機110a、110b、110c、110d、110e等，這是分布式計算環境的特性。
因地制宜地，通信可以是有線或無線的。客戶機裝置110a、110b、110c、110d、110e等可以通過或不通過通信網絡/總線14通信，並且可具有與其關聯的獨立通信。例如，在TV或VCR的情況下，可以有或沒有其控制的網絡化方面。每一客戶機計算機110a、110b、110c、110d、110e等以及伺服器計算機10a、10b等可具備各種應用程式模塊或對象135，並具備與各種類型的存儲元件或對象的連接或訪問，在這些元件和對象上可儲存文件或數據流，或向其下載、發送或移植文件或數據流的部分。任意一個或多個計算機10a、10b、110a、110b等可負責維護和更新資料庫20或其它存儲元件，如用於儲存依照本發明處理的數據的資料庫或存儲器20。由此，本發明可在具有客戶機計算機110a、110b等和伺服器計算機10a、10b等的計算機網絡環境中使用，客戶機計算機可訪問計算機網絡/總線14並與其交互，伺服器計算機可與客戶機計算機110a、110b等以及其它類似的裝置和資料庫20進行交互。
示例性計算裝置圖2B和以下討論旨在提供可結合其實現本發明的合適的計算環境的簡要一般描述。然而，應當理解，考慮各種手持式、可攜式和其它計算裝置和計算對象可結合本發明使用，即，計算環境中可請求資源或可體驗媒體的任何地方。儘管下文將通用計算機描述為示例性主機，然而這僅是一個示例，本發明可使用具有網絡/總線互操作性和交互的薄客戶機來實現。由此，本發明可在幾乎不包含或包含了最少的客戶機資源的網絡化主含服務的環境中實現，如，在其中客戶機裝置僅擔當到網絡/總線的接口，如放置在設備中的對象的網絡化環境。本質上，可儲存數據或可從其檢索或向另一計算機發送數據的任何地方是用於操作依照本發明的安全動態憑證分發的期望或合適的環境。
儘管並非所需，本發明可通過作業系統來實現，由裝置或對象的服務的開發者使用，和/或包括在結合依照本發明的憑證傳送或接收操作的應用程式軟體中。軟體可在諸如由客戶機工作站、伺服器或其它裝置等一個或多個計算機執行的程序模塊等計算機可執行指令的一般上下文環境中描述。一般而言，程序模塊包括例程、程序、對象、組件、數據結構等等，執行特定的任務或實現特定的抽象數據類型。通常，程序模塊的功能可組合或如需要在各種實施例中分布。此外，本領域的技術人員可以理解，本發明可以使用其它計算機系統配置和協議來實踐。適合使用本發明的其它眾所周知的計算系統、環境和/或配置包括但不限於個人計算機(PC)、自動提款機、伺服器計算機、手持式或膝上設備、多處理器系統、基於微處理器的系統、可編程消費者電子設備、網絡PC、電器、燈、環境控制元件、小型機、大型機等等。本發明也可以在分布式計算環境中實踐，其中，任務由通過通信網絡/總線或其它數據傳輸媒質連接的遠程處理設備來執行。在分布式計算環境中，程序模塊可以位於本地和遠程計算機存儲媒質中，包括存儲器存儲設備，客戶機節點進而可擔當伺服器節點。
由此，圖2B示出了可在其中實現本發明的合適的計算系統環境100的一個示例，儘管如上所述，計算系統環境100僅為合適的計算環境的一個示例，並非建議對本發明的使用範圍或功能的局限。也不應將計算環境100解釋為對示例性操作環境100中示出的任一組件或其組合具有依賴或需求。
參考圖2B，用於實現本發明的另一示例性系統包括以常規計算機110形式的通用計算裝置。計算機110的組件包括但不限於，處理單元120、系統存儲器130以及將包括系統存儲器的各類系統組件耦合至處理單元120的系統總線121。系統總線121可以是若干種總線結構類型的任一種，包括存儲器總線或存儲器控制器、外圍總線以及使用各類總線結構的局部總線。作為示例而非局限，這類結構包括工業標準體系結構(ISA)總線、微通道體系結構(MCA)總線、增強ISA(EISA)總線、視頻電子技術標準協會(VESA)局部總線以及外圍部件互連(PCI)總線(也稱為Mezzanine總線)。
計算機110通常包括各種計算機可讀媒質。計算機可讀媒質可以是可由計算機110訪問的任一可用媒質，包括易失和非易失媒質、可移動和不可移動媒質。作為示例而非局限，計算機可讀媒質包括計算機存儲媒質和通信媒質。計算機存儲媒質包括以用於儲存諸如計算機可讀指令、數據結構、程序模塊或其它數據等信息的任一方法或技術實現的易失和非易失，可移動和不可移動媒質。計算機存儲媒質包括但不限於，RAM、ROM、EEPROM、快閃記憶體或其它存儲器技術、CDROM、數字多功能盤(DVD)或其它光碟存儲、磁盒、磁帶、磁碟存儲或其它磁存儲設備、或可以用來儲存所期望的信息並可由計算機110訪問的任一其它媒質。通信媒質通常在諸如載波或其它傳輸機制的已調製數據信號中包含計算機可讀指令、數據結構、程序模塊或其它數據，並包括任一信息傳送媒質。術語「已調製數據信號」指以對信號中的信息進行編碼的方式設置或改變其一個或多個特徵的信號。作為示例而非局限，通信媒質包括有線媒質，如有線網絡或直接連線連接，以及無線媒質，如聲學、RF、紅外和其它無線媒質。上述任一的組合也應當包括在計算機可讀媒質的範圍之內。
系統存儲器130包括以易失和/或非易失存儲器形式的計算機存儲媒質，如只讀存儲器(ROM)131和隨機存取存儲器(RAM)132。基本輸入/輸出系統133(BIOS)包括如在啟動時幫助在計算機110內的元件之間傳輸信息的基本例程，通常儲存在ROM 131中。RAM 132通常包含處理單元120立即可訪問和/或當前正在操作的數據和/或程序模塊。作為示例而非局限，圖2B示出了作業系統134、應用程式135、其它程序模塊136和程序數據137。
計算機110也可包括其它可移動/不可移動、易失/非易失計算機存儲媒質。僅作示例，圖2B示出了對不可移動、非易失磁媒質進行讀寫的硬碟驅動器141、對可移動、非易失磁碟152進行讀寫的磁碟驅動器151以及對可移動、非易失光碟156，如CD-ROM或其它光媒質進行讀寫的光碟驅動器155。可以在示例性操作環境中使用的其它可移動/不可移動、易失/非易失計算機存儲媒質包括但不限於，磁帶盒、快閃記憶體卡、數字多功能盤、數字視頻帶、固態RAM、固態ROM等等。硬碟驅動器141通常通過不可移動存儲器接口，如接口140連接到系統總線121，磁碟驅動器151和光碟驅動器155通常通過可移動存儲器接口，如接口150連接到系統總線121。
圖2B討論並示出的驅動器及其關聯的計算機存儲媒質為計算機110提供了計算機可讀指令、數據結構、程序模塊和其它數據的存儲。例如，在圖2B中，示出硬碟驅動器141儲存作業系統144、應用程式145、其它程序模塊146和程序數據147。注意，這些組件可以與作業系統134、應用程式135、其它程序模塊136和程序數據137相同，也可以與它們不同。這裡對作業系統144、應用程式145、其它程序模塊146和程序數據147給予不同的標號來說明至少它們是不同的副本。用戶可以通過輸入設備，如鍵盤162和定位設備161(通常指滑鼠、跟蹤球或觸摸板)向計算機110輸入命令和信息。其它輸入設備(未示出)可包括麥克風、操縱杆、遊戲墊、圓盤式衛星天線、掃描儀等等。這些和其它輸入設備通常通過耦合至系統總線的用戶輸入接口160連接至處理單元120，但是也可以通過其它接口和總線結構連接，如並行埠、遊戲埠或通用串行總線(USB)。圖形接口182，如Northbridge，也可連接至系統總線121。Northbridge是與CPU或主機處理單元120進行通信的晶片組，並承擔加速圖形埠(AGP)通信的責任。一個或多個圖形處理單元(GPU)184可與圖形接口182進行通信。在這一點上，GPU 184一般包括片上存儲器，如註冊表存儲，並且GPU 184與本發明的應用程式變量可對其影響的視頻存儲器186進行通信。然而，GPU 184僅是協處理器的一個示例，計算機110內可包括各種協處理設備，並可包括各種過程陰影，如像素陰影和頂點陰影。監視器191或其它類型的顯示設備也通過接口，如視頻接口190連接至系統總線121，進而可與視頻存儲器186進行通信。除監視器191之外，計算機也包括其它外圍輸出設備，如揚聲器197和印表機196，通過輸出外圍接口195連接。
計算機110可以在使用到一個或多個遠程計算機，如遠程計算機180的邏輯連接的網絡化或分布式環境中操作。遠程計算機180可以是個人計算機、伺服器、路由器、網絡PC、對等設備或其它公用網絡節點，並通常包括許多或所有上述與計算機110相關的元件，儘管在圖2B中僅示出了存儲器存儲設備181。圖2B描述的邏輯連接包括區域網(LAN)171和廣域網(WAN)173，但也可包括其它網絡/總線。這類網絡環境常見於家庭、辦公室、企業範圍計算機網絡、內聯網以及網際網路。
當在LAN網絡環境中使用時，計算機110通過網絡接口或適配器170連接至LAN 171。當在WAN網絡環境中使用時，計算機110通常包括數據機172或其它裝置，用於通過廣域網173，如網際網路建立通信。數據機172可以是內置或外置的，通過用戶輸入接口160或其它合適的機制連接至系統總線121。在網絡化環境中，描述的與計算機110相關的程序模塊或其部分可儲存在遠程存儲器存儲設備中。作為示例而非局限，圖2B示出遠程應用程式185駐留在存儲器設備181上。可以理解，示出的網絡連接是示例性的，也可以使用在計算機之間建立通信鏈路的其它裝置。
示例性裝置圖2C以及以下討論旨在提供可結合本發明的安全動態憑證分發的使用主含或請求對內容的訪問的裝置的合適的計算環境的簡要一般描述。然而，應當理解，考慮各種手持式、可攜式和其它計算裝置和計算對象可結合本發明使用，即，裝置希望主含或請求該裝置的媒體體驗的傳送的任何地方。這些裝置在媒體能力方面的差異利用了本發明的重大優點一通過理解請求計算裝置的憑證令遠程媒體體驗適合不同的遠程裝置。
儘管並非所需，本發明可通過作業系統部分地實現，由裝置或對象的服務的開發者使用，和/或包括在結合本發明的組件操作的應用程式軟體中。軟體可在諸如由客戶機工作站、伺服器或其它裝置等一個或多個計算機執行的程序模塊等計算機可執行指令的一般上下文環境中描述。本領域的技術人員可以理解，本發明可以使用其它計算機系統配置和協議來實踐。
由此，圖2C示出了可在其中實現本發明的合適的計算系統環境100a的一個示例，儘管如上所述，計算系統100和100a僅為用於依照本發明的憑證分發的合適的兩個示例，並非建議對本發明的使用範圍或功能的局限。也不應將計算環境100或100a解釋為對示例性操作環境100或100a中示出的任一組件或其組合具有依賴或需求。
參考圖2C，用於實現本發明的第二示例性裝置包括計算機100a形式的通用計算裝置。計算機110a的組件可包括但不限於，處理單元120a、系統存儲器130a以及將包括系統存儲器的各類系統組件耦合至處理單元120a的系統總線121a。系統總線121a可以是若干種總線結構類型的任一種，包括存儲器總線或存儲器控制器、外圍總線以及使用各類總線結構的局部總線。
計算機110a通常包括各種計算機可讀媒質。如上所述，計算機可讀媒質可以是可由計算機110a訪問的任一可用媒質。系統存儲器130a可包括以易失和/或非易失存儲器形式的計算機存儲媒質，如只讀存儲器(ROM)和隨機存取存儲器(RAM)。基本輸入/輸出系統(BIOS)包括如在啟動時幫助在計算機110a內的元件之間傳輸信息的基本例程，通常儲存在存儲器130a中。存儲器130a通常還包含處理單元120a立即可訪問或者當前正在操作的數據和/或程序模塊。作為示例而非局限，存儲器130a也可包括作業系統、應用程式、其它程序模塊和程序數據。
計算機110a也可包括其它可移動/不可移動、易失/非易失計算機存儲媒質，可通過諸如接口等不可移動存儲器接口連接到系統總線121a，磁碟驅動器或光碟驅動器通常通過諸如接口等可移動存儲器接口連接到系統總線121a。
用戶可通過各種輸入設備向計算機110a輸入命令和信息。圖形子系統也可連接至系統總線121a。監視器或其它類型的顯示設備也通過接口，如輸出接口150a連接到系統總線121a，它進而可與視頻存儲器進行通信。除監視器之外，計算機也可包括其它外圍輸出設備，如揚聲器和印表機，可通過輸出接口150a連接。
計算機110a可在使用到一個或多個其它遠程計算機，如遠程計算機170a的邏輯連接的網絡化或分布式環境中操作，它進而可具有與裝置110a不同的媒體能力。遠程計算機170a可以是個人計算機、伺服器、路由器、網絡PC、對等設備或其它公用網絡節點、或任一其它遠程媒體消費或傳輸設備，並可包括上文描述的與計算機110a相關的任一或所有元件。圖2C描述的邏輯連接包括網絡171a，如區域網(LAN)或廣域網(WAN)，但也可包括其它網絡/總線。這類網絡環境常見於家庭、辦公室、企業範圍計算機網絡、內聯網和網際網路。
因此，上述通用計算機僅為示例，本發明可使用具有網絡/總線互操作性和交互的任一客戶機實現。由此，本發明可在幾乎不包含或包含最少客戶機資源的網絡化主含服務的環境中實現，如，客戶機裝置僅擔當到網絡/總線的接口，如放置在設備中的對象的網絡化環境。本質上，可儲存數據或可從其檢索或向另一計算機發送數據的任何地方都是用於操作依照本發明的技術的期望或合適的環境。
示例性分布式計算框架或體系結構鑑於個人計算活動與網際網路的交匯，已經發展並且正在發展各種分布式計算框架。個人和商業用戶同樣地擁有用於應用程式和計算設備的無縫的互操作和web激活的接口，使得計算活動越來越面向web瀏覽器和網絡。
例如，MICROSOFT的管理代碼平臺，即.NET，包括伺服器、構件服務如基於web的數據存儲、以及可下載設備軟體。通常來說，.NET平臺提供(1)令整個範圍的計算設備共同工作並在所有設備上自動更新並同步化用戶信息的能力，(2)提高的web站點交互能力，通過大量使用XML而不是HTML來實現，(3)從用於各種應用，如電子郵件，或軟體，如Office.NET的管理的中央起點到用戶的具有產品和服務的定製訪問和傳送的特點的在線服務，(4)中央化數據存儲，將增加對信息訪問以及用戶和設備間的信息同步的效率和簡易性，(5)整合各種通信媒質，如電子郵件、傳真和電話的能力，(6)對開發員來說，創建可重複使用模塊的能力，藉此提高生產力並降低編程錯誤數，以及(7)還有其它跨平臺和語言綜合特性。
儘管此處的某些示例性實施例是結合駐留在計算設備上的軟體描述的，但也可以通過作業系統、應用程式接口(API)或「中間人」對象、控制對象、硬體、固件、中間語言指令或對象等來實現本發明的一個或多個部分，使本發明的方法可以在由諸如.NET代碼等管理代碼啟用，以及其它分布式計算框架中的所有語言和服務來包括、支持或訪問。
自動登錄前憑證的動態和安全分發如上所述，本發明提供了在登錄前，由向其尋求登錄或訪問的主機計算機通過網絡自動向請求方裝置分發登錄憑證，以訪問主機計算機的內容、資源和/或服務，如開始請求方裝置和主機計算機之間的會話的系統和方法。
由此，本發明允許主機機器以安全的方式控制客戶機憑證。有利的是，主機可在頻繁的基礎上旋轉憑證，以提高安全性，而無需客戶機參與旋轉。此外，採用本發明，客戶機不需要保留憑證用於任何重大的時間段，也不需要包括與完成該行動關聯的安全和存儲機制。
圖3A示出了本發明的示例性實施例，並一般描述了依照本發明僅在登錄前的安全動態憑證分發。如步驟A所示，由於裝置之間的先前的交換，第一裝置C1，如主機裝置，信任來自第二裝置，如客戶機裝置的通信，即，在步驟A已在裝置之間建立的信任。建立信任的一個示例性方法是輸入與用戶關聯的生物測定信息，使得它在兩個裝置上共享。建立信任的其它示例性方法包括令用戶向裝置之一輸入可信代碼，該代碼在另一裝置上接收以建立共享機密。類似地，用戶可向兩裝置插入或輸入同一硬體組件，如記憶棒或USB存儲器設備，以依照確認過程在裝置間建立信任。建立信任的另一示例性方法可包括第二裝置C2和第一裝置C1之間的「設置」過程，(i)它促使由第二裝置C2擁有的公鑰儲存在第一裝置C1中，以及(ii)從而第一裝置C1確保從第二裝置C2獲取的公鑰的確是來自第二裝置，而非打算竊聽第一裝置C1分發的登錄憑證的「欺詐」裝置。這一公鑰的可信交換可以本領域的普通技術人員已知的許多不同的方式發生。例如，某年某月某日提交的名為「使用網絡外輸入代碼的內容的可信網絡傳輸(Trusted Network Transfer ofContent Using Off Network Input Code)」的共同轉讓的共同待批的美國申請號XX/YYY，ZZZ(′ZZZ申請)描述了用於使用簡單用戶輸入代碼從網絡中的一個計算裝置向第二計算裝置傳輸諸如公鑰等內容，由此在裝置之間建立可信通信的系統和方法。在各種實施例中，′ZZZ令系統能夠使用網絡內容交換帶外輸入的簡單代碼從網絡中的一個計算機向另一個傳輸和接收諸如加密密鑰信息的內容。
在步驟B，在第一裝置C1和第二裝置C2建立信任之後的某一時刻，第二裝置C2作出對包含驗證交換的第一裝置C1的資源的請求。依照本發明，由於第一裝置C1具有來自可信的第二裝置C2的公鑰，如步驟C所示，第一裝置C1自動生成登錄憑證，並使用該公鑰加密這些憑證，用於在步驟D在網絡上的憑證的安全分發。
接收憑證之後，在步驟E，第二裝置C2使用對應的私鑰解密該憑證，並且同樣在步驟E，在不需要儲存憑證的情況下，登錄對象自動生成對包裝該憑證的第一裝置C1的登錄請求，並依照用於登錄請求的關聯的驗證協議在適當時重新加密(如，通過共享的公鑰)。在步驟F，登錄請求從第二裝置C2發送到第一裝置C1，而無需儲存在第二裝置C2上。在一個實施例中，為額外的保護，登錄對象結合其操作利用保護的存儲器空間。在步驟G，登錄成功，依照所建立的訪問級別和許可在第一裝置C1和第二裝置C2之間開始依照步驟B的請求的專用通信。
應當注意，依照本發明，來自第一裝置C1的經加密的憑證(以及結合登錄憑證一起發送的任何其它信息)可不受保護地儲存在第一裝置C1上，或在網絡上自由分布，因為僅第二裝置C2可對它們進行解密。因此，其後，每次當第二裝置C2希望登錄到第一裝置C1時，第二裝置C2發送指示登錄期望的網絡消息，第一裝置C1然後用經加密的憑證回復。第二裝置C2使用其私鑰解密該憑證，然後直接使用這些憑證登錄回第一裝置C1。有利的是，憑證稍後可由第一裝置C1在任何時刻重新生成，並然後用來自第二裝置C2的公鑰重新加密。由此，下次當第二裝置C2試圖登錄時，第二裝置C2動態地獲取新憑證，並使用它們來登錄。
圖3B示出了在其中第一計算裝置C1和第二計算裝置C2之間的通信實現上述過程的示例性系統。在300，第一裝置C1以建立第二裝置C2的可信度的方式，如通過′ZZZ申請的的方法，從第二裝置C2接收公鑰。在310，在建立信任之後的某一時刻，響應於預定義的事件(如，來自第二裝置C2的請求)，第一裝置310動態地生成登錄憑證，並在320用第二裝置C2的公鑰加密該憑證。在330，經加密的憑證在網絡上發送到第二裝置C2。在340，第二裝置C2解密該憑證，並在350重加密並擦除該憑證，而同時依照適當的登錄協議發出登錄請求。在370，第一裝置解密該憑證，並在380通過確定該憑證的有效性處理登錄請求。如果憑證有效，則在390，安全登錄成功。如果無效，則在385，流程失敗，因為登錄不成功。
圖4A和4B示出了示例性非限制流程圖，它表示結合依照本發明的通過網絡的安全動態憑證分發的實施例所執行的過程和所遵循的協議，其中，客戶機裝置希望開始與主機裝置的會話。因此，如果已在主機和客戶機之間建立了信任，則本發明可應用到建立會話的情形。
為簡要描述，會話是當用戶帳號使用與該帳號關聯的憑證登錄到機器上時在作業系統中創建的環境。當用戶登錄時，創建會話；當用戶註銷時，會話結束。一旦登錄，會話對該用戶帳號存在，直到他們手動或由OS強制登出。在一個實施例中，對於由第二裝置信任的第一裝置希望用一組憑證登錄到第二裝置的情形，本發明提供了用於向第一裝置動態生成並安全分發用於開始這一會話的一組憑證的系統和方法，其中，憑證不儲存或暴露在請求方裝置上。
圖4A和4B的部分通過虛線橢圓和對應的類似標號(如，圖3A對步驟B的標號變成圖4A-B中標號BB，圖4A的步驟D的標號變成圖4A-B中的DD，等等)被認為是圖3A的框圖的非限制實現。由此，步驟B的請求對應於區域BB，其中，由客戶機(圖4A)調用RDPInitRQ來開始與主機(圖4B)的會話。在圖4B中，步驟C對應於區域CC，示出了涉及主機裝置的登錄憑證的動態生成的通信和過程，以及客戶機的公鑰對加密的相應使用。步驟D一般在區域DD中示出，其中，由於客戶機公鑰的加密，登錄請求以安全的方式從主機發送到客戶機(圖4B)，並由客戶機(圖4A的區域DD)接收。在如圖4A的區域EE所示的接收並解密憑證之後，結合建立與主機裝置的會話，客戶機用經解密的憑證通過與區域FF關聯的過程自動登錄到主機，並且如一般由區域GG的過程示出的，當使用憑證的自動登錄成功時，活動會話開始。
然而，應當清楚，圖4A和4B僅從處理、接口和協議的觀點示出了可出現在裝置之間的示例性通信的一個實現，並且應當強調，本發明可使用各種其它過程、協議、接口等來實現。例如，可以理解，許多算法可採用無窮數量的數學形狀和形式，並且從軟體觀點來看關鍵的考慮是該算法是否以任何顯式或隱式的形式執行了期望的功能。此外，數據結構也可採用許多形式，並且由此，例如，可以各種方式定義類型、名字、類等等。例如，以下表I示出了用於圖4A和4B中引用的變量的一些示例性實現選擇，但是與本發明相一致，這些實現細節並不意味著限制本發明。

表I一用於登錄憑證的示例性變量由此，應當清楚，圖4A和4B示出了本發明的示例性、非限制實現，並且本發明應當參考所附權利要求書來定義。
有多種方法來實現本發明，如適當的API、工具箱、驅動程序代碼、作業系統、控制、獨立或可下載軟體對象等等，它們令應用程式和服務能夠使用依照本發明的動態安全憑證分發。本發明從API(或其它軟體對象)的觀點，並從通過本發明的機制生成、處理、接收或發送憑證的軟體或硬體對象來考慮本發明的使用。由此，此處所描述的本發明的各種實現可具有完全硬體、部分硬體部分軟體以及軟體方面。
如上所述，儘管結合各種計算裝置和網絡體系結構描述了本發明的示例性實施例，其基礎概念可應用到期望僅在登錄之前自動並安全地分發憑證的任何計算裝置或系統。例如，本發明的算法和硬體實現可應用到計算裝置的作業系統，作為裝置上的單獨對象、作為另一對象的部分、作為可重複使用控制、作為可從伺服器下載的對象、作為裝置或對象和網絡之間的「中間人」、作為分布式對象、作為硬體、在存儲器中、上述任一個的組合等來提供。儘管此處可選擇示例性程式語言、名字和示例作為各種選擇的代表，然而這些語言、名字和示例並不意味著局限。本領域的普通技術人員可以理解，有各種方式來提供實現本發明的各種實施例所實現的相同、類似或等效功能的對象代碼和名稱。
如上所述，此處所描述的各種技術可結合硬體或軟體，或在適當時用兩者的組合來實現。由此，本發明的方法和裝置，或其某一方面或部分可採用包含在有形媒質，如軟盤、CD-ROM、硬碟或任一其它機器可讀存儲媒質中的程序代碼(即，指令)的形式，其中，當程序代碼被加載到諸如計算機等機器中並由其執行時，該機器變為用於實踐本發明的裝置。在可編程計算機上執行程序代碼的情況下，計算裝置一般包括處理器、處理器可讀的存儲媒質(包括易失和非易失存儲器和/或存儲元件)、至少一個輸入設備以及至少一個輸出設備。可實現或使用本發明的憑證分發機制，如通過使用數據處理API、可重複使用控制等的一個或多個程序較佳地以高級過程語言或面向對象的程式語言來實現，以與計算機系統進行通信。然而，如期望，程序可以彙編語言或機器語言實現。在任一情況下，語言可以是已編譯或已解釋語言，並可與硬體實現相組合。
本發明的方法和裝置也可通過以通過某一傳輸媒質，如通過電線或電纜、通過光纖或通過任一其它形式的傳輸來發送的程序代碼的形式實施的通信來實踐，其中，當程序代碼由機器，如EPROM、門陣列、可編程邏輯器件(PLD)、客戶機計算機等接收、加載並執行時，該機器變為用於實踐本發明的裝置。當在通用處理器上實現時，程序代碼與處理器組合以提供操作來調用本發明的功能的唯一裝置。另外，結合本發明使用的任何存儲技術可不變地為硬體和軟體的組合。
儘管結合各種附圖的較佳實施例描述了本發明，然而可以理解，可以在不脫離本發明的情況下使用其它類似的實施例，或向描述的實施例作出修改和添加以實現本發明的同一功能。例如，儘管在網絡化環境，如對等或分布式網絡化環境的上下文中描述了本發明的示例性網絡環境，本領域的普通技術人員可以認識到，本發明不限於此，並且本申請所描述的方法可應用到任何計算裝置或環境，如遊戲控制臺、手持式計算機、可攜式計算機等等，不論它們是有線還是無限的，並可應用到通過通信網絡連接，並跨網絡交互的任意數量的這類計算裝置。此外，應當強調，考慮到了各種計算機平臺，包括手持式設備作業系統和其它應用專用作業系統，尤其是當無線網絡化設備的數量繼續增長的時候。
儘管示例性實施例涉及在特定協議和通信的環境中使用本發明，然而本發明不限於此，而是相反，可實現任一協議來提供依照本發明的動態安全憑證分發。此外，本發明可在多個處理晶片或設備中或跨其上實現，並可跨多個設備類似地實現存儲。因此，本發明不應當局限於任何單個的實施例，而是相反，應當依照所附權利要求書的寬度和範圍進行解釋。
權利要求
1.一種用於通過網絡從第二裝置向第一裝置自動分發登錄憑證的方法，其特徵在於，它包括依照至少一個可信機制從所述第一裝置接收機密，所述可信機制確定所述機密的確是來自所述第一裝置；通過網絡從所述第一裝置接收訪問所述第二裝置的至少一個資源的請求；以及響應於所述請求，由所述第二裝置生成用於登錄到所述第二裝置的至少一個登錄憑證，並通過網絡向所述第一裝置發送所述至少一個登錄憑證，用於自動登錄到所述第二裝置。
2.如權利要求1所述的方法，其特徵在於，所述機密是所述第一裝置的公鑰。
3.如權利要求1所述的方法，其特徵在於，它還包括周期性地執行所述生成和所述發送，以旋轉所述至少一個登錄憑證。
4.如權利要求1所述的方法，其特徵在於，所述生成包括基於所述機密加密所述至少一個登錄憑證。
5.如權利要求1所述的方法，其特徵在於，它還包括基於發送到所述第一裝置的所述至少一個登錄憑證，從所述第一裝置接收登錄請求。
6.如權利要求5所述的方法，其特徵在於，它還包括確認所述至少一個登錄憑證，並基於所述登錄請求將所述第一裝置登錄到所述第二裝置。
7.如權利要求6所述的方法，其特徵在於，它還包括向所述第一裝置發送成功登錄的確認。
8.如權利要求1所述的方法，其特徵在於，所述至少一個可信機制基於生物測定用戶輸入、可信代碼和硬體組件的至少其中之一。
9.一種包括用於實現權利要求1所述的方法的計算機可執行指令的計算機可讀媒質。
10.一種攜帶用於執行權利要求1所述的方法的計算機可執行指令的已調製數據信號。
11.一種包括用於實現權利要求1所述的方法的裝置的計算裝置。
12.一種生成其自己的登錄憑證用於通過網絡向請求方分發的機器，其特徵在於，它包括一安全動態登錄憑證組件，用於處理來自所述請求方的訪問所述機器的至少一個資源的請求，其中，響應於訪問所述機器的至少一個資源的請求，基於依照至少一個可信機制從所述請求方接收的機密，所述可信機制確認所述機密的確來自所述請求方，所述安全動態登錄憑證組件生成用於登錄到所述機器的至少一個登錄憑證，並通過網絡將所述至少一個登錄憑證發送到所述請求方，用於自動登錄到所述機器。
13.如權利要求12所述的機器，其特徵在於，所述機密是所述請求方的公鑰。
14.如權利要求12所述的機器，其特徵在於，所述安全動態登錄憑證組件周期性地生成並發送一新的至少一個登錄憑證，以旋轉所述至少一個登錄憑證。
15.如權利要求12所述的機器，其特徵在於，所述安全動態登錄憑證組件在通過網絡向所述請求方發送所述至少一個登錄憑證之前，基於所述機密加密所述至少一個登錄憑證。
16.如權利要求12所述的機器，其特徵在於，它還包括第二組件，用於基於發送到所述第一裝置的至少一個登錄憑證從所述請求方接收並處理登錄請求。
17.如權利要求16所述的機器，其特徵在於，所述第二組件確認所述至少一個登錄憑證，並基於所述登錄請求將所述請求方登錄到所述機器。
18.如權利要求17所述的機器，其特徵在於，所述第二組件向所述請求方發送成功登錄的確認。
19.如權利要求12所述的機器，其特徵在於，所述至少一個可信機制基於生物測定用戶輸入、可信代碼和硬體組件的至少其中之一。
20.一種用於由第一裝置為登錄到第二裝置的目的通過網絡從所述第二裝置自動獲取登錄憑證的方法，其特徵在於，它包括依照至少一個可信機制向所述第二裝置發送機密，所述可信機制確認所述機密的確來自所述第一裝置；由所述第一裝置通過網絡請求對所述第二裝置的至少一個資源的訪問；以及響應於所述請求，從所述第二裝置接收用於登錄到所述第二裝置的至少一個登錄憑證；以及在不在所述第一裝置上儲存所述至少一個登錄憑證的情況下，基於所述至少一個登錄憑證向所述第二裝置發送登錄請求。
21.如權利要求20所述的方法，其特徵在於，所述機密是所述第一裝置的公鑰。
22.如權利要求20所述的方法，其特徵在於，它還包括周期性地接收新的至少一個登錄憑證，以旋轉所述至少一個登錄憑證。
23.如權利要求20所述的方法，其特徵在於，所述接收包括基於所述機密解密所述至少一個登錄憑證。
24.如權利要求23所述的方法，其特徵在於，所述接收包括基於唯一地對應於公鑰的私鑰解密所述至少一個登錄憑證。
25.如權利要求20所述的方法，其特徵在於，它還包括響應於所述發送，接收成功登錄的確認。
26.如權利要求20所述的方法，其特徵在於，所述至少一個可信機制基於生物測定用戶輸入、可信代碼和硬體組件的至少其中之一。
27.一種包括用於實現權利要求20所述的方法的計算機可執行指令的計算機可讀媒質。
28.一種攜帶用於執行權利要求20所述的方法的計算機可執行指令的已調製數據信號。
29.一種包括用於實現權利要求20所述的方法的裝置的計算裝置。
30.一種為登錄到主機裝置的目的通過網絡自動從所述主機裝置獲取登錄憑證的客戶機裝置，其特徵在於，它包括第一組件，它依照至少一個可信機制向所述主機裝置發送機密，所述可信機制確認所述機密的確來自所述客戶機裝置；第二組件，它通過網絡請求對所述主機裝置的至少一個資源的訪問；以及第三組件，它響應於所述第二組件的請求，從所述主機裝置接收用於登錄到所述主機裝置的至少一個登錄憑證，並在不在所述客戶機裝置上儲存所述至少一個登錄憑證的情況下，基於所述至少一個登錄憑證自動向所述主機裝置發送登錄請求。
31.如權利要求30所述的客戶機裝置，其特徵在於，所述機密是所述客戶機裝置的公鑰。
32.如權利要求30所述的客戶機裝置，其特徵在於，所述第三組件周期性地接收新的至少一個登錄憑證，以旋轉所述至少一個登錄憑證。
33.如權利要求30所述的客戶機裝置，其特徵在於，所述第三組件基於所述機密解密所述至少一個登錄憑證。
34.如權利要求33所述的客戶機裝置，其特徵在於，所述第三組件基於唯一地對應於公鑰的私鑰解密所述至少一個登錄憑證。
35.如權利要求30所述的客戶機裝置，其特徵在於，所述第三組件還響應於所述登錄請求接收成功登錄的確認。
36.如權利要求30所述的客戶機裝置，其特徵在於，所述至少一個可信機制基於生物測定用戶輸入、可信代碼和硬體組件的至少其中之一。
37.一種包括具有用於通過網絡從第二裝置自動向第一裝置分發登錄憑證的計算機可執行指令的計算機可執行模塊的計算機可讀媒質，其特徵在於，所述模塊包括用於依照至少一個可信機制從所述第一裝置獲取機密的裝置，所述可信機制確認所述機密的確來自所述第一裝置；用於通過網絡從所述第一裝置接收訪問所述第二裝置的至少一個資源的請求的裝置；用於由所述第二裝置響應於通過用於接收的所述裝置所接收的請求，生成至少一個登錄憑證的裝置，其中，所述至少一個登錄憑證用於登錄到所述第二裝置；以及用於通過網絡向所述第一裝置發送所述至少一個登錄憑證，用於自動登錄到所述第二裝置的裝置。
38.如權利要求37所述的計算機可讀媒質，其特徵在於，所述機密是所述第一裝置的公鑰。
39.如權利要求37所述的計算機可讀媒質，其特徵在於，用於生成的所述裝置和用於發送的所述裝置周期性地執行，以旋轉所述至少一個登錄憑證。
40.如權利要求37所述的計算機可讀媒質，其特徵在於，用於生成的所述裝置包括用於基於所述機密加密所述至少一個登錄憑證的裝置。
41.如權利要求37所述的計算機可讀媒質，其特徵在於，它還包括用於基於由用於發送的所述裝置發送到所述第一裝置的所述至少一個登錄憑證從所述第一裝置接收登錄請求的裝置。
42.如權利要求41所述的計算機可讀媒質，其特徵在於，它還包括用於確認所述至少一個登錄憑證的裝置，以及用於基於所述登錄請求將所述第一裝置登錄到所述第二裝置的裝置。
43.如權利要求42所述的計算機可讀媒質，其特徵在於，它還包括用於向所述第一裝置發送成功登錄的確認的裝置。
44.如權利要求37所述的計算機可讀媒質，其特徵在於，所述至少一個可信機制基於生物測定用戶輸入、可信代碼和硬體組件的至少其中之一。
45.一種包括具有用於由第一裝置為登錄到第二裝置的目的通過網絡從所述第二裝置自動獲取登錄憑證的計算機可執行指令的計算機可執行模塊的計算機可讀媒質，其特徵在於，所述模塊包括用於依照至少一個可信機制向所述第二裝置發送機密的裝置，所述可信機制確認所述機密的確來自所述第一裝置；用於通過網絡請求訪問所述第二裝置的至少一個資源的裝置；以及用於響應於由用於請求的所述裝置作出的訪問請求，從所述第二裝置接收用於登錄到所述第二裝置的至少一個登錄憑證的裝置；以及用於在不在所述第一裝置上儲存所述至少一個登錄憑證的情況下，基於所述至少一個登錄憑證向所述第二裝置發送登錄請求的裝置。
46.如權利要求45所述的計算機可讀媒質，其特徵在於，所述機密是所述第一裝置的公鑰。
47.如權利要求45所述的計算機可讀媒質，其特徵在於，用於接收的所述裝置周期性地接收新的至少一個登錄憑證，以旋轉所述至少一個登錄憑證。
48.如權利要求45所述的計算機可讀媒質，其特徵在於，用於接收的所述裝置包括用於基於所述機密解密所述至少一個登錄憑證的裝置。
49.如權利要求48所述的計算機可讀媒質，其特徵在於，用於接收的所述裝置包括用於基於唯一地對應於公鑰的私鑰解密所述至少一個登錄憑證的裝置。
50.如權利要求45所述的計算機可讀媒質，其特徵在於，它還包括用於響應於由用於發送的所述裝置發送的登錄請求接收成功登錄的確認的裝置。
51.如權利要求45所述的計算機可讀媒質，其特徵在於，所述至少一個可信機制基於生物測定用戶輸入、可信代碼和硬體組件的至少其中之一。
全文摘要
提供了用於能夠通過網絡向機器安全動態分發憑證的系統和方法。在各種實施例中，向其尋求登錄或訪問的計算機在登錄前通過網絡自動向請求方分發登錄憑證。基於前在的信任，計算機自我生成並向請求方自我分發登錄憑證，由此，登錄憑證不儲存在請求方裝置上。
文檔編號G06F21/20GK1627679SQ20041009580
公開日2005年6月15日 申請日期2004年11月15日 優先權日2003年11月14日
發明者C·R·勒休, H·S·派爾, N·J·方 申請人:微軟公司