CN101785238A

CN101785238A - 用户认证系统和方法

Info

Publication number: CN101785238A
Application number: CN200780048217A
Authority: CN
Inventors: 保罗·西塔尔; 乔治·凯利·弗拉纳金; 列夫·金兹伯格
Original assignee: SYPHERLOCK TECHNOLOGY CORP
Current assignee: SYPHERLOCK TECHNOLOGY CORP
Priority date: 2006-10-25
Filing date: 2007-10-22
Publication date: 2010-07-21
Also published as: US20070162745A1; EP2084622A2; WO2008051905A2; EP2084622B1; TW200835278A; IL198384A; AU2007309051A1; JP5260533B2; CA2667747A1; US7725712B2; WO2008051905A3; CA2667747C; JP2010517121A; AU2007309051B2; IL198384A0; WO2008051905A9; EP2084622A4

Abstract

一种用于认证用户以便进行访问的方法，包括以选自认证系统所提供的一组变量及运算的用户公式的形式创建认证密钥；将用户公式储存在认证系统中；运用显示器来向用户呈现由认证系统生成的变量布置，该变量布置包括用户公式的变量，每个变量均被赋值；将所赋的值应用于用户公式中相匹配的变量并计算第一结果；将一个或更多个额外字符穿插到第一结果的字符之中；将第一结果与额外字符一起传递到认证系统。如果与第一结果一起传递的额外字符的数目低于预定阈值并且第一结果匹配由认证系统计算出的用户公式的单独且独立的计算的第二结果，则认证系统认证用户。

Description

用户认证系统和方法

本申请是2004年10月13日提交的美国申请No.10/964,408的部分连续申请，其主张2003年10月14日提交的美国临时申请No.60/510,971、以及2004年2月2日提交的美国临时申请No.60/541,160、以及2004年2月13日提交的美国临时申请No.60/544,400的权益。

技术领域

当前所披露的实施例涉及到数据安全，并且具体涉及用户认证(user authentication)。

背景技术

计算机系统可向用户提供各种应用或服务。通常，对系统的访问可限于授权的用户。用户认证的一个实例是登录过程，其中要求用户输入用户名和密码。

虽然技术上有新的开发，但是用户名和密码的组合仍然是最常用的访问控制装置的方法其中之一。然而，密码可能是不利的，因为那些容易记住的密码是最容易确定的，而那些复杂且难以确定的密码又容易遗忘。

这些类型的系统的完整性通常是以使密码保密为基础的。然而，存在许多确定密码的已知方法，包括猜测、应用常用密码甚至所有已知词的字典、包括应用所有字符组合的暴力破解、在与服务器交换期间监控密码的网络业务、“肩窥”(在登录期间从用户的肩膀上方查看)、键盘输入记录(存储或传递登录期间用户的按键)、等等。

已知针对这些攻击类型的防御措施包括将密码加长以使其难以猜测、并且使字典应用和暴力破解更困难。其他防御措施包括禁止使用“有含义的”密码(比如与用户相关的名字、电话号码、生日等)、当用户输入密码时显示无含义的字符(如星号)、肩窥只能看到星号、在网络上发送密码之前对密码加密以防止通过网络监控的侦查。

访问控制和认证的一种方法是使用一次性密码(OTP)，其中用户每次登录时使用不同的密码，从而致使许多上述攻击技术无效。因为所获得的密码不能再使用，因此截取、键盘输入记录、或采用其他方式来确定密码不具有优势。

大多数通常利用的OTP系统或多或少共享相同的协议。作为登录过程的一部分，服务器向用户发送所谓的口令，其可能只是较大的随机数。用户将这个数输入OTP发生器，例如生成OTP的专用物理装置或软件。用户输入OTP。服务器也将该口令输入其自身的OTP发生器。如果服务器OTP和用户OTP匹配，则用户被确认。

在OTP发生器是物理装置(如智能卡、令牌、生物特征辨识装置等)时，丢失、坏掉或失窃的OTP发生器的成本和不便之处可能是令人关注的事情。

在密码产生算法对所有用户来说都相同的情形中，每个用户被分配一个密钥以便使结果唯一。这个密钥通常包含在用户的OTP发生器内并且还被存储在服务器的数据库中。还存在该OTP生成方案的若干变更，例如，时间而不是口令可用来使用户和服务器同步。在大多数情形下，安全性取决于用户密钥的完整性。如果密钥被泄密，则系统将变为无效。结果，象密码一样，密钥成了各类攻击的对象，其中暴力破解是最普遍的做法之一。保护计算OTP的算法提供了额外的安全层，然而，持续一段时间，算法可被确定并且其不再是可靠的安全因素。

在网络环境中，服务器通常向众多的网络用户提供各种服务和应用。服务器可用来认证用户以便正确地授权使用特定的服务或应用。这通常由上述的标准登录过程来完成，其中服务器将刚输入的用户名和密码与所存储的用户名和密码匹配。

提供一种对字典应用、暴力破解、业务监控、肩窥、键盘输入记录以及各种其他类型的攻击来说坚固且耐用的认证系统将是有利的。

发明内容

在一个实施例中，一种认证用户用以访问装置、服务、应用、功能、或系统的方法，包括以选自认证系统所提供的一组变量及运算(operation)的用户公式的形式创建认证密钥，将用户公式储存在认证系统中，并且运用显示器来向用户呈现由认证系统生成的变量布置(arrangement of variable)，该变量布置包括用户公式的变量，每个变量均被赋值。本方法也包括将所赋的值应用于用户公式中相匹配的变量并计算第一结果，将一个或更多个额外字符穿插(intersperse)到第一结果的字符之中，并且将第一结果与额外字符一起传递到认证系统，其中如果与第一结果一起传递的额外字符的数目低于预定阈值并且第一结果匹配由认证系统计算出的用户公式的单独且独立的计算的第二结果，则认证系统认证用户。

在另一个实施例中，一种认证用户用以访问装置、服务、应用、功能、或系统的方法，包括以具有认证系统所提供的变量及运算的用户公式的形式创建认证密钥，将用户公式储存在认证系统中，并且运用显示器来向用户呈现一种变量和值的布置，该变量和值的布置包括用户公式中的变量、以及与每个变量相关联的布置的目标位置中的值。本方法也包括将在该布置中与变量相关联的目标位置处的值应用于用户公式中相匹配的变量并计算第一结果，将第一结果传递到认证系统，其中如果第一结果匹配由认证系统计算出的用户公式的单独且独立的计算的第二结果，则认证系统认证用户。

在再一个实施例中，一种认证用户用以访问装置、服务、应用、功能、或系统的方法，包括以具有认证系统所提供的变量及运算的用户公式的形式创建认证密钥，将用户公式储存在认证系统中，并且运用显示器来向用户呈现一种变量和值的布置，该变量和值的布置包括用户公式中的变量、以及与每个变量相关联的布置的目标位置中的值。本方法也包括将在该布置中与变量相关联的目标位置处的值应用于用户公式中相匹配的变量并计算第一结果，将一个或更多个额外字符穿插到第一结果的字符之中，并且将第一结果与额外字符一起传递到认证系统，其中如果与第一结果一起传递的额外字符的数目低于预定阈值并且第一结果匹配由认证系统计算出的用户公式的单独且独立的计算的第二结果，则认证系统认证用户。

附图说明

结合附图的下面的描述解释了这些实施例的前述方面以及其他特征，附图中：

图1示出根据所公开实施例的用户认证系统的一个实例；

图2示出与认证系统相关联的操作的流程图；

图3示出与用户认证系统一起使用的用户界面屏幕的一个实例；

图4示出与用户认证系统一起使用的管理屏幕的一个实例；

图5示出在企业网络中运用的本实施例；

图6说明在用于电子业务交易或电子商务的分布式系统中的另一个实施例；

图7示出用于保护(secure)通过消息发送的数据的实施例；

图8示出示范性消息的框图；

图9示出与用户认证系统一起使用的用户界面屏幕的另一个实例；

图10示出例示运用目标位置的一个实施例的流程图；

图11示出例示运用目标位置的另一个实施例的流程图；

图12示出例示运用假目标字符(decoy character)的一个实施例的流程图。

具体实施方式

图1图示了结合有所公开实施例的特征的用户认证系统100。尽管将参考附图来描述这些实施例，但是应当理解，这些实施例可包含许多备选形式以及任何适当的尺寸、形状或类型的元件或材料。

如图1所示，系统100通常包括用户接口功能和认证控制功能，在这个实例中，用户接口功能由用户接口110表示，认证控制功能由控制器115表示。

所披露的实施例包括以用户公式的形式创建认证密钥。在启动认证会话时，向用户提供变量布置，每个变量都被赋了值。用户将与提供的变量相关联的值应用于用户公式中相匹配的变量并输入结果。

参考图2的流程图进行详细解释，在如图所示的块310中生成用户公式。用户公式可以由用户根据一组变量和运算来构建。认证系统100可提供应用来帮助用户，即提供从中选择的变量和运算列表。认证系统还可提供能自动为用户生成用户公式的应用。由此得到的公式通常被用户记忆并由认证系统存储，如块315所示。

用户请求对装置、服务、应用或功能进行访问，并且接着在如图所示的块320中启动认证会话。在启动认证会话时，在如图所示的块325中认证系统向用户提供变量布置，每个变量被赋了值。用户确认(recognize)与用户公式中的变量相匹配的布置中提供的变量。接着，在如图所示的块330中，用户将赋给变量的值应用于用户公式并且在如图所示的块335中输入结果。

值可以是随机生成并赋给变量的，并且通常随每个认证会话而改变。在如图所示的块340中，认证系统独立地将赋给变量的值应用于用户公式并生成独立结果。在如图所示的块345中，认证系统将独立结果与输入的结果进行比较，如果结果匹配，则认证系统授权用户访问服务或应用(块350)。如果结果不匹配，则拒绝访问(块355)。

作为实例，用户可构建下列用户公式：3*(2*Q+3*T)。在认证会话期间，向用户提供变量布置和值。如果布置中的变量Q赋值为32，布置中的变量T赋值为9，则用户公式产生3*(2*32+3*9)或数字273。接着用户输入数字273。因为认证系统生成了变量布置和值并已经存储了用户公式，所以认证系统利用用户公式进行相同的计算。如果结果匹配，则用户被认证。

除了上述的认证会话之外，系统100还提供了管理过程作为认证系统的一部分。如上所述，认证会话包括限定用户对装置、服务、应用或功能的访问。管理过程通常向用户提供工具，该工具允许用户建立公式、记录用于随后认证会话的公式以及操控其他建立和管理过程(如空间和目录的分配、加密过程、程序间的通信，等等)。

如上所述，作为认证会话的一部分，可将变量布置呈现给用户。图3示出的是示范性布置。在这个实例中，布置360包括网格365、输入用户名的区域370以及输入密码的区域375，依照所公开的实施例，密码是应用用户公式的结果。网格365由单元380组成，其中每个单元由表示用户公式的变量的字母或字母组合385指示。每个变量被赋了一个值390。如上所述，每当将布置呈现给用户时，赋给每个变量的值可改变。在一个实施例中，每当呈现布置时，每个值由随机数发生器产生。

利用上述示范公式3*(2*Q+3*T)，用户将检查布置360并确认变量Q被赋值为69并且变量T被赋值为49。用户将应用公式并输入结果。

在这个实例中，每个单元(cell)包括两个要素(component)，即变量和值。虽然变量用字母的上下文描述而值用数字的上下文描述，但是应当理解，变量和值可表示为任何可识别的标记、符号或图像。

还是在这个实例中，变量布置示为10×10单元网格。然而，布置可以具有任何形状并且可包括任何数量的单元或位置。

用户公式可包括任何数学和非数学运算符，例如加、减、乘、除、幂(power)、取最大(max)、取最小(min)、取模(mod)、并置(concatenate)、等等，并且可包括括号以改变运算顺序(sequenceof operation)。认证系统还可提供自定义运算符(custom operator)以允许用户对所期望的公式的变量执行任何功能(function)。

图4示出了可作为管理过程的一部分向用户呈现的管理屏幕400的一个实例。管理过程可为用户提供各种工具，例如可使用户完成用户建立过程的每一步的“向导”以及帮助用户建立公式的公式生成器。在一个实施例中，公式生成器可为用户提供用于从中挑选变量和运算符的菜单并帮助用户编辑对该用户来说是唯一的公式。

管理屏幕400可包括变量布置405、数字键区410、数学功能键415和非数学功能键420以及测试公式的键425和保存公式的键430。管理屏幕400还可包括输入用户名的区域370和输入用户公式的区域440。通过在变量和各种运算符当中选择，用户可输入用户公式。

例如，用户可利用键盘145(图1)键入用户公式。当用户键入公式时，可在用户公式区域440内显示公式。另外，用户可使用指示器将光标定位于字符、变量或运算符上并且单击鼠标键或按下回车键来选择所期望的字符、变量或运算符。选择可在用户公式区域440内显示。用户继续操作直至用户公式已经如期望地构建完毕。当用户公式完成时，接着，用户可激活“保存”按钮430来存储并使用公式。

在一个实施例中，可向用户提供工具来构建一个或多个自定义运算符。例如，其中一个运算符可包括偏移函数(offset function)，其中该函数与用户公式中的变量相关联并且应用来自偏离相关联变量的布置中的变量的值。偏移函数可表述为(offset(x，y))，其中x指x轴偏移量而y指y轴偏移量。包括偏移函数的示范用户公式可以是A+B(offset(1，1))。参见图3，用户将首先找到并使用赋给变量A的值，然后将找到变量B，但是在该认证会话中将使用偏移了坐标(1，1)的变量M的值。

用户可使用任何所期望的偏移，只要该偏移指向出现在布置365中的变量。在一个示范实现中，通过在用户公式所期望之处简单键入“(offset(x，y))”，用户输入偏移函数。在另一个示范实现中，非数学函数420其中之一可包括标有“偏移”的按钮。按下偏移按钮可启动请求用户输入偏移坐标的会话框。当输入坐标时，偏移指示、例如(offset(1，1))可出现在用户公式区域440内显示的用户公式中。

在偏移函数的另一个派生中，可确定称为IX函数的特定偏移。IX函数利用与变量相关联的值作为指向布置左上部分的坐标。例如，用户可能希望利用用户公式2*B并且可能希望指定变量K作为对布置365左上角的说明。在按下偏移按钮之后，响应对坐标的请求，用户可采用IX(K)或对特定偏移的一些其他适当的指示和指示来响应。

接下来，当用户使用布置365来确定用户公式的结果时，用户将观察到变量K值被赋值为“43”并且接着将坐标(4，3)作为变量A的偏移位置、将坐标(5，3)作为指示变量B的偏移位置、将坐标(6，3)作为指示变量C的偏移位置、等等。利用坐标(5，3)处的值，用户公式2*B产生“104”，“104”接着可被输入密码区域375。

可创建用以执行任何函数、运算或者函数或运算组合的其他自定义运算符。

作为另一实例，管理屏幕400可包括用于创建对一个或多个变量进行运算的自定义函数的选择。自定义函数可包括任何数量的数学、逻辑(与、或、异或(XOR))、三角法、统计等类型的运算。可向用户提供能够用作设计自定义函数的模板的脚本。还可提供脚本用来向用户呈现按钮或菜单项以调用自定义函数并在用户公式中使用自定义函数。

能够创建自定义函数是有利的，因为它允许为特定用户或一部分企业定制系统。系统的购买者通过创建对其他系统购买者来说不可得或未知的自定义函数和运算符从而具备了进一步提高系统安全性的能力。

通过提供在公式中创建公式的称为AutoToken^TM函数的函数，认证系统可提供足够的安全性。例如，通过选择AutoToken^TM键435(图4)，用户调用AutoToken^TM函数。AutoToken^TM函数向用户提示用户在用户公式区域440中输入的用户公式。

AutoToken^TM函数自动创建两个公式，分别称为本地(local)公式和远程公式。本地公式和远程公式中的每一个包括可任意选择以及任意排序的变量、常数和运算，只要它们形成了运算公式即可。变量、常数和运算可包括来自向用户呈现的变量布置中的变量以及由管理过程提供的运算。本地公式和远程公式可以具有任何复杂性和长度并且它们通常是相同的，除非本地公式包括用于接收将由用户输入的用户公式的结果的结果变量，而远程用户公式包括用户公式本身。

可将远程公式存储在由认证系统指定的任何位置并且可将本地公式存储在用户本地位置。在一个实施例中，可将本地公式存储在由用户指定或选择的任何位置。

本地公式是可移动的(transportable)以用于访问不同位置的装置、服务、应用或函数。例如，可存储本地公式使得它为可移动的，这包括将本地公式存储在任何类型可移动介质上，如磁的、光学的、半导体的或其他适当的介质。可将本地公式存储在比如软盘、光盘、闪存、USB驱动器或用于存储和访问本地公式的任何适当的装置(如下面描述的图5中的247)。

在一个实施例中，可能没有必要存储本地公式但是可以将其传送或传输至另一个位置供用户使用。

已经实施了AutoToken^TM函数的用户的认证会话进行如下。用户请求对装置、服务、应用或函数进行访问，并且启动认证会话。系统向用户提供变量布置并且用户输入他的用户公式的结果。如果本地公式已经存储在可移动介质上，则在此时或在该点之前的任何时间，将可移动介质耦合至系统，以使认证系统可访问本地公式。认证系统插入结果来代替本地公式中的结果变量、将来自变量布置的值插入本地公式的其余项、并计算本地公式的结果。认证系统还将来自变量布置的值插入远程公式中的用户公式以及远程公式的其余项、并计算远程公式的结果。

认证系统比较结果，并且如果它们匹配，则用户被授权访问所期望的装置、服务、应用或函数。

如果出于某种原因，用户的用户公式被泄密，则用户可再次调用AutoToken^TM函数来创建新的本地、远程和用户公式，而无需额外的支持资源，从而确保了安全访问的继续。

作为另一个特征，认证系统通常允许用户将函数嵌入其他函数中以扩展用户公式的安全性。例如，用户公式可包括A+(AVE B+C+(AVED+E+F))+G+H)。特定函数可用来将虚(dummy)字符嵌入用户公式内，所述用户公式以赋给来自布置365中的变量的值为基础。这个函数可称为“集(Set)”函数。使用集函数的示范性用户公式可能是：

(set Z，1)[用户公式]。

在变量Z被赋值为5的布置中，在输入用户公式的结果的第一个值之前，用户可键入五个虚字符。因此，可在任何位置在用户公式的结果内插入任何数量的虚字符。

作为额外的安全特征，用户公式可使用赋给布置365的变量的值来指示保密短语(secret phrase)的特定字内的特定字母。例如，用户可确定其保密短语为“the dog is lazy”并且可选定ABCD的用户公式。当构建其用户公式时，用户可将指示其保密短语及其用户公式的命令键入用户公式区域440。

或者，非数学函数420可包括使用户选择指示的函数。在认证期间，可提供布置，例如，其中A被赋值为31、B被赋值为14、C被赋值为21并且D被赋值为13。将布置的值应用于短语，A＝31将产生第一字的第三字母，B＝14产生第四字的第一字母，C＝21产生第一字的第二字母，D＝13产生第三字的第一字母。因此，用户会键入ELHI。给定布置和短语的保密性质，解密这种结果的企图将很可能导致失败。

通过在用户公式内提供复位函数(reset function)，认证系统可提供更大的安全性。这个复位函数可用来使呈现给用户的变量布置复位。例如，作为认证会话的一部分，如图3所示的变量布置被呈现给用户。用户检查布置、识别用户公式的第一变量的值并输入第一变量。在输入第一变量之后，例如通过用户公式中的命令或键入命令而激活复位函数，并且值和变量被改变以便向用户提供新的布置。用户继续利用用户公式，识别来自新布置的公式中的下一个变量的值。当用户识别完所有值、计算并输入了用户公式的结果，如期望地允许用户访问。

使用复位函数的用户公式的一个实例可以是：

A‖B‖<reset>C

其中与变量A相关联的值和与变量B相关联的值并置，变量布置被复位并且A和B的并置与变量C的新值并置。

应当理解，可将复位函数插入用户公式中的任何地方并且可将其插入用户公式中的一个或多个位置。通过各种方法可激活复位函数，例如作为对按下特定键的响应来激活、或者在输入值之后自动激活。

参见图4的管理屏幕，可将复位函数作为公式生成器的一部分呈现给用户，或者作为向用户提供插入复位函数的逐步过程的“向导”呈现给用户。

如上所述，复位函数可用来使呈现给用户的变量布置复位。这可采用重新生成布置中变量的新值、改变变量的位置或两者的组合的形式。复位函数可使用基于在公式生成器或向导过程期间由用户提供的种子(seed)数或变量的公式生成新布置。变量种子可以是来自呈现给用户的变量布置中的变量。

因此，复位函数为当前所公开的实施例提供了提高的安全级别。例如，在网络环境中，如果台式机和服务器之间的通信被截取，则关于变量布置的数据可被提取。例如，某人可能试图(虽然未成功)从所截取的数据中导出变量布置。复位函数可用来使变量布置在本地复位，而不需要外部通信。因此，使通过截取通信导出变量布置的企图无效，因为生成了新变量布置并且不存在与复位或新变量布置相关联的通信。

再次参见图1，系统100可以是包括用户接口110和控制器115的台式机。控制器115可包括用于执行来自存储器125的认证程序135的一个或多个处理器120并且还可包括用于存储信息、数据和程序的存储装置130。控制器115还可包括用于和其他装置通信的接口。用户接口110可包括用于向用户呈现信息的显示装置140以及用于输入信息、询问、回答和命令的一个或多个输入装置145(比如键盘和指示器)。

在认证程序135的控制下，处理器120可提供认证服务，并且根据认证，处理器120可允许所认证的用户访问或利用服务150。在这个实施例中，服务150可以是本地服务，也就是说，服务150可驻留在台式机100内。服务150可以是系统100的用户可能要求访问的任何装置、服务、应用或函数。例如，服务150可以是数据处理系统、计算服务、内容递送系统、资料库、文件系统、等等。

在运行过程中，用户可能试图通过控制器115访问服务150。如上所述，控制器115启动认证会话来确定用户是否符合条件、具有权限、或通常被允许访问服务150。如果用户提供了正确的证明，也就是说，如本文所述的赋给用户公式的值的正确应用，则控制器115允许访问服务150。

图5说明了示为分布式系统500的另一个实施例。系统500可以是企业或公司广域网或局域网的一部分并且通常包括用户接口210、控制器215和通过通信网络225连接的应用或服务220。用户接口210通常是本地计算装置230的一部分并且控制器215和服务220通常距计算装置230较远。本地计算装置230可包括一个或多个处理器235，用于执行存储在存储装置245中的程序240。计算装置230还可包括用于存储本地公式的外部可移动存储装置247。用户接口210可包括用于向用户呈现信息的显示装置250以及用于输入信息、询问、回答和命令的一个或多个输入装置255(比如键盘和指示器)。

控制器215可起到认证服务器的作用并可包括一个或多个处理器260和用于存储控制认证过程和会话的程序的存储工具265。作为认证服务器，控制器215可用来验证计算装置230或计算装置230的用户。根据认证，控制器215可用来为计算装置230提供服务220或允许计算装置230访问服务220。在存储于存储工具265中的指令或程序的控制下，控制器215还用来引导系统220的各部件中的业务。控制器215还可在存储工具265内为计算装置230提供存储容量。作为认证服务器，控制器215可用来验证其他计算装置275₁...275_n并根据认证向其他计算装置275₁...275_n提供对服务220以及对其他服务270₁...270_n访问。

在这个实施例中，控制认证过程和会话的程序可在存储装置245和存储工具265之中分布。在存储于存储装置245和存储工具265中的程序的控制下，认证过程和会话的部分可分别由处理器235和260执行。

服务220可以是计算装置230和计算装置230的用户可能要求访问的任何应用或服务。例如，服务220可能是数据处理系统、计算服务、内容递送系统、资料库、文件系统、等等。服务220可驻留在计算装置230、控制器215内，或者可以驻留在系统220内的任何地方或者与系统200的任何部件结合。

通信网络225可包括适于通信的任何链路或网络，例如互联网、公共开关电话网络(PSTN)、无线网络、有线网络、虚拟个人网络(VPN)等。利用任何适当的协议，包括x.25、ATM、TCP/CP等，可执行通信。

在运行过程中，用户可能试图访问服务220。控制器215监控或被通知有企图的访问。例如，在存储于存储工具265中的程序的控制下，控制器215可监控并截取访问服务220的所有企图。作为另一例，服务220可自动将所有的访问企图发送到控制器215供处理。还可实施利用控制器215控制访问服务220的任何其他适当的方法。

控制器215启动认证会话来确定用户是否符合条件、具有权限或通常被允许访问服务220。控制器215为计算装置230提供数据和命令以将变量布置显示在显示器250上并提示用户提供用户公式的结果。计算装置将结果传递至控制器215。控制器215还利用用户公式和来自变量布置的值计算结果。如果传递的结果和由控制器215计算的结果匹配的话，则控制器215允许访问服务220。

在这个实施例中，当用户已经实施了如前所述的AutoToken^TM函数，则可将本地公式存储在外部可移动的存储装置247上。对本地公式的操作、包括插入用户公式的结果代替本地公式中的结果变量、将来自变量布置的值插入本地公式的其余项并计算本地公式的结果，可由在计算装置230上运行的客户程序来实施。对远程公式的操作、包括将来自变量布置的值插入远程公式中的用户公式以及远程公式的其余项并计算远程公式的结果，可由控制器215上的服务器程序来实施。

图6说明示为用于电子业务交易或电子商务的分布式系统600的另一个实施例。系统600可以基于互联网或者可以使用万维网作为常用的通信介质。系统600通常提供前述实施例的所有特征并包括许多用户610₁...610_n、控制器620以及许多应用或服务650₁...650_n。用户610₁...610_n、服务650₁...650n、以及控制器620通常表示独立的实体(如业务实体)，它们通过互联网660连接。例如，用户610₁...610_n可以是访问服务的个体或者可以是在程序的控制下访问服务的计算装置。在一个实施例中，用户610₁...610_n可付费以访问服务650₁...650_n中的一种或多种并且控制器620可用来控制这种访问通过认证。服务650₁...650n的运营商又可付费至用于访问和认证服务的控制器运营商。也可设想在用户、服务运营商和控制器运营商之中的其他业务安排。控制器620可包括一个或多个处理器425，用于执行控制用户认证和对服务650₁...650_n的访问的程序630。控制器620可用来认证用户610₁...610_n并向已认证的用户提供一种或多种服务650₁...650_n。服务650₁...650_n可包括用户610₁...610_n可能请求访问的任何服务(包括电子商务交易)。例如，服务650₁...650_n可包括购货系统、数据处理系统、计算服务、用于传递文字、音频或视频等的内容递送系统、在网络(如互联网)上参与商务交易的所有事务。

在系统600中，一个或多个用户610₁...610_n可例行访问服务650₁...650_n。控制器620监控或被通知有企图的访问。例如，控制器620可监控并截取访问任何服务650₁...650_n的所有企图。在另一个实例中，服务650₁...650_n可自动将所有的访问企图发送到控制器620供处理或以其他方式通知控制器620有企图的访问。

作为响应，控制器620启动同每个用户610的认证会话来确定特定用户是否符合条件、具有权限或通常被允许访问一种或多种服务650₁...650_n。如果用户610提供了正确的证明，就是说，如本文所述的用户公式的正确结果，则控制器620允许访问所期望的一种或多种服务。

在另一个实施例中，用户610试图访问一种或多种服务650₁...650_n，其中的对服务的访问是在一次性基础上被授权的。控制器620被通知或者主动监控有企图的访问。作为响应，控制器620启动同用户610的认证会话。管理员(可能是程序或运营商)将只对单次使用有效的用户公式传递给用户610。用户610输入一次性用户公式的结果并且通常被允许访问一种或多种服务650₁...650_n。

图7示出利用实施例用于保护作为消息的一部分被发送(如通过email)的数据的系统700。系统700包括利用在此所公开的认证系统710的消息始发器(originator)705、接受器(recipient)715和通信网络。消息始发器705和接受器715包括一个或多个处理器、存储装置和支持消息传送以及所公开的认证操作的程序。消息始发器705构建消息(如email)，该消息包括消息始发器705希望保护的数据。图8示出这种消息810的框图。数据820可作为消息的一部分或作为附在消息中的文件而被包括。认证系统710包括消息810和数据820的包装(wrapper)825，该包装将启动认证会话并且除非接受器715产生了适当的证明否则将阻止访问数据820。接着，例如使用标准email协议将消息传递至接受器715。

在接收时，接受器715试图打开消息。包装启动认证会话，显示如图3所示的布置。还生成了返回始发器的回执，其导致始发器705启动相同的认证会话。

始发器705确定始发器的用户公式的结果然后通常通过与用来传递消息的方法所不同的方法将结果传递至接受器715。接受器输入结果，并且如果正确，则包装825允许访问数据820。一旦数据被关闭，则认证会话结束。每当企图打开消息时，另一个认证伴随新的布置开始。因此，布置包括赋给变量的新值并要求始发器705再次确定用于始发器的用户公式的结果。因此，如果接受器715试图再次打开消息或将消息发送至另一个，则用户公式以前的结果不再可用来打开消息并且可通知始发器705。

图9中图示出呈现给用户的布置的另一实施例。如上所述，作为认证会话的一部分，可将变量布置900呈现给用户。布置900包括每个单元920中的变量910和多值(multiple value)915。如上所述，变量和值可能包括任何字母数字式字符，或任何标记、符号或图像。

在此实施例中，单元920各自是由在每个单元的每个角中具有值915的变量910指示的。应当理解到，在每个单元中的任何位置内可能有任何数目的变量910和值915。例如，每个单元可能具有诸如矩形的几何形状，并且值可能位于每个单元的角中。作为另一实例，每个单元可能具有圆形形状且每个单元中的值的位置可能按度数指定。

一般而言，作为认证过程的部分将要被分配给变量的值可能在单元中具有称为目标位置(target location)的特定位置。图9中具有变量H的单元可能用作一个实例。如果用于H的目标位置是左上角，则将要分配给H的值为5。

在一个示范性实施例中，作为前述用户建立过程的部分，用户可能提供信息，称作简档。用户简档可能包括关于用户的信息，例如，姓名、联系信息、工作地点，等等。简档可以被储存于控制器215(图5)、本地计算装置230(图5)存储工具(storage facility)265(图5)或任何其它适当位置。用户简档也可能包括一个或更多个用于用户的用户公式中的变量的目标位置。目标位置可能根据每个单元内的相对位置而指定，诸如“左上角”或“90度”。也可能使用任何其它的位置指定技术。

在另一实施例中，目标位置可能被指定为用户公式的部分。例如，用于图9所示实施例的示范性用户公式可能是B(UL)+C(LL)，其中UL是使用包括B的单元的左上角中的值进行指示的目标，并且LL是使用包括C的单元的左下角中的值进行指示的目标位置。可能使用任何其它指示来指定单元内的目标位置。

在启动认证会话时，认证系统100向用户提供变量布置，如图9所示。每个单元可能具有一个变量和一定数目的值。用户确认与用户公式中的变量相匹配的布置中提供的变量。用户也可能理解到，每个变量具有目标位置，该目标位置中定位有将要被分配给变量的值。用户确认出每个变量，将指定用于该变量的目标位置中的值分配给该变量，执行用户公式的运算并且输入结果。认证系统独立地将指定用于该变量的目标位置中的值分配给该变量，并且执行用户公式的运算以生成独立结果。认证系统将该独立结果与用户所输入的结果进行比较，并且如果结果匹配，则认证系统授权用户访问服务或应用。如果结果不匹配，则拒绝访问。

图10示出例示运用储存于用户简档中的目标位置的一个实施例的流程图。在块1005中，如上所述生成用户简档。在块1010中生成用户公式并且将其记忆和存储在快1015中。如块1020中所示，启动认证会话。在块1025中，认证系统100向用户提供变量和目标位置的布置。在块1030中，用户确认与用户公式中的变量相匹配的布置中提供的变量，并且将指定用于该变量的目标位置中的值分配给该变量。在块1035中，用户确定用户公式的结果并且输入该结果。在块1040中，认证系统独立地将指定用于该变量的目标位置中的值分配给该变量，并且执行用户公式的运算以生成独立结果。在块1045中，认证系统将该独立结果与用户输入的结果进行比较，并且如果结果匹配，则认证系统如块1050中所示授权用户访问服务或应用。如果结果不匹配，则如块1055中所示拒绝访问。

图11示出例示将目标位置运用作为用户公式的部分的一个实施例的流程图。在块1110中，利用目标位置生成用户公式。在块1115中，记忆并且存储用户公式。如块1120所示启动认证会话。在块1125中，认证系统100向用户提供变量和目标位置的布置。用户确认与用户公式中的变量相匹配的布置中提供的变量，并且将指定用于该变量的目标位置中的值分配给该变量，如块1130中所示。在块1135中，用户确定用户公式的结果并且输入该结果。在块1140中，认证系统独立地将指定用于该变量的目标位置中的值分配给该变量，并且执行用户公式的运算以生成独立结果。如块1045中所示，认证系统将该独立结果与用户输入的结果进行比较。如果结果匹配，则在块1150中认证系统授权用户访问服务或应用。如块1155中所示，如果结果不匹配，则拒绝访问。

回到图9，尽管单元的布置被图示为矩形网格，但是该布置可能具有任何形状并且可能包括任何数目的单元或位置。该布置内的单元也可能具有任何形状。

在另一实施例中，认证系统可能允许用户向用户公式结果添加虚字符，其一般也被称为假目标字符、或者具体地对于数目而言被称为假目标数字。这个特征是有利的，因为其允许用户通过在输入用户公式结果之前自发地向该用户公式结果添加额外的字符而动态地更进一步掩饰用户公式结果。用户可能在用户公式结果中的任何地方添加假目标字符。因而，倘若观察或记录用户动作和变量布置，则从假目标字符难以识别出实际的用户公式结果。假目标字符可能包括任何字母数字式字符、标记、符号或图像。

在一个实施例中，可能将任何数目的假目标字符穿插到用户公式结果的字符之中。在另一个实施例中，可能存在对容许的假目标字符的限制(restriction)。例如，可能不允许某些假目标字符或假目标字符的组合。在其它实施例中，可能指定最大数目的容许的假目标字符。正如一个更特定的实例，假目标字符的最大数目可能是N/2，其中N是在添加假目标字符之前用户公式结果中的字符数目。对假目标字符的限制可能是用户简档的部分，或者可能被指定用于所有用户、或用户的群组。假目标字符限制可能存储于存储器、储存位置、或系统100的储存区域中。

参考该N/2实例，可能向用户提供变量布置并且可能将用户公式结果计算为A6B4C3。用户提供AA6BB4C33给认证系统，因而即添加了额外的“A”、额外的“B”、和额外的“3”给原始结果。在此实例中，认证系统确定原始用户公式结果中的字符源自上述独立计算并且解析该AA6BB4C33字符串。认证系统确定原始用户公式结果是存在的并且将假目标字符的数目确定为三。认证系统辨识出假目标字符的数目(3)满足假目标字符限制，即，假目标字符的最大数目N/2。该系统随后允许访问。倘若假目标字符的数目超过N/2或者原始用户公式结果不存在于字符串中，则认证系统拒绝访问。

可能指明其它假目标限制并且可能使用其它最大数目的假目标字符，例如，N/3、N/4等等。

图12示出例示了运用假目标字符的一个实施例的流程图。在块1210中生成用户公式。用户公式可能或可能不包括如上所述的目标位置。用户公式被记忆并且存储在块1215中。如块1220所示启动认证会话。认证系统100向用户提供如块1225所示的变量布置。该布置可能或可能不包括如上所述的目标位置以及值。在块1230中，用户确认与用户公式中的变量相匹配的布置中提供的变量，并且将指定用于该变量的值分配给该变量。如果需要，则该值可能是在目标位置中的值。如在块1235中所示，用户确定用户公式的结果并且将包括一个或更多个假目标字符的该结果输入。在块1240中，认证系统通过使用分配给变量的值而独立地执行用户公式的运算以生成独立的结果。可能或可能没有从目标位置分配该值。在块1250中，系统解析用户生成结果以查明独立结果是否存在于所穿插的假目标字符之中。如果结果不存在，则拒绝访问，如块1265中所示。如果找到结果，并且对假目标字符的假目标字符限制集合为空，则授权访问，如块1260中所示。如果找到结果并且已经指明任何假目标字符限制，即，限制集合为非空的，则系统验证假目标字符满足限制，如块1255中所示。如果没有满足限制，则不授权访问(块1265)。如果已满足假目标字符限制，则授权访问(块1260)。

再参看图9，认证系统的另一实施例允许用户修改或定制变量的布置的表达。定制可能是针对具体用户或针对用户群组而特定的。当在用户接口定制之后启动认证会话时，向用户提供他们的特定自定义布置。这使得用户能够验证出与之交互作用的系统实际上是认证系统并且不是冒名顶替的系统。

可能使得用户能够定制任何数目的布置特征，包括例如：颜色方案、工具条颜色、填充颜色、背景、文本字体、文本尺寸、文本颜色，等等。在一个实施例中，用户可能能够提供图像，用于包括作为布置的部分，例如，作为用于布置的背景、作为用于单元的背景、作为变量、或作为布置的任何部分。

可能将布置的自定义特征作为如上所述用户简档的部分而存储。在一个实施例中，当启动认证会话时，用户可能通过键入他们的用户名或某些其它唯一标识符而登录。认证系统可能随后确证用户名并且提供一种变量布置。如果已经提供合法用户名，则认证系统可能供应与用户简档相关联的定制布置，并且可能因而向用户提供例如他们与认证系统交互作用的确保等级。在另一个实施例中，如果已经提供合法用户名并且未经客户定制而显示出一种布置，则可能指导用户终止会话。

在一个实施例中，如果提供无效用户名，则认证系统可能提供一般的(generic)布置，从而避免发出警告或提供任何信息给潜在的冒名顶替者或攻击者。

应当理解，前述说明仅仅是对所披露实施例的例解。可能由本领域技术人员想出各种替代方案和修改而不离开本文所公开的实施例。相应地，所披露的实施例旨在涵盖所有这样的属于所附权利要求书范畴内的替代方案、修改和变型。

Claims

1.一种认证用户用以访问装置、服务、应用、功能、或系统的方法，包括：

以选自认证系统所提供的一组变量及运算的用户公式的形式创建认证密钥；

将用户公式储存在认证系统中；

运用显示器来向用户呈现由认证系统生成的变量布置，该变量布置包括用户公式的变量，每个变量均被赋值；

将所赋的值应用于用户公式中相匹配的变量并计算第一结果；

将一个或更多个额外字符穿插到第一结果的字符之中；

将第一结果与额外字符一起传递到认证系统，

其中如果在具有额外字符的第一结果中找出由认证系统计算出的用户公式的单独和独立计算的第二结果，并且该额外字符满足一组指定的限制，则认证系统认证用户。

2.如权利要求1的方法，其中该组指定的限制为空。

3.如权利要求1的方法，其中由认证系统生成的变量布置是为用户定制的。

4.如权利要求1的方法，其中变量包括任何字母数字式字符、标记、符号或图像。

5.如权利要求1的方法，其中该值包括随机生成的数字值。

6.如权利要求1的方法，包括在创建用户公式的过程中向用户提供协助。

7.如权利要求1的方法，其中用户公式包括一个或更多个自定义运算符。

8.如权利要求1的方法，包括：

创建本地公式和远程公式，该本地公式具有用于接收第一结果的变量，该远程公式具有用户公式；并且

如果本地公式的计算匹配远程公式的计算，则认证用户。

9.如权利要求8的方法，其中本地公式是是可移动的。

10.如权利要求8的方法，其中由本地计算装置执行本地公式的计算，并且由远离本地计算装置的控制器执行远程公式的计算。

11.如权利要求1的方法，还包括：

提供包装，该包装启动根据权利要求1的认证会话；

将带有数据的消息封装在包装中；

当试图开启消息时启动用于消息接受器的第一认证会话并且启动用于消息始发器的第二认证会话；

从第二认证会话确定用户公式结果；

向第一认证会话提供结果；和

当认证时允许接受器访问消息和数据。

12.一种用于认证用户以访问装置、服务、应用、功能、或系统的系统，包括：

认证密钥，形式为选自认证系统所提供的一组变量及运算的用户公式，并且存储在认证系统中；

显示器，用以向用户呈现由认证系统生成的变量布置，该变量布置包括用户公式的变量，每个变量均被赋值；

将所赋的值应用于用户公式中相匹配的变量的第一结果，该第一结果与一个或更多个额外字符穿插在一起并且被传递到认证系统；和

认证系统中的回路，如果在具有额外字符的第一结果中找出由认证系统计算出的用户公式的单独和独立计算的第二结果，并且该额外字符满足一组指定的限制，则该认证系统中的回路用于认证用户。

13.一种认证用户用以访问装置、服务、应用、功能、或系统的方法，包括：

以具有认证系统所提供的变量及运算的用户公式的形式创建认证密钥；

将用户公式储存在认证系统中；

运用显示器来向用户呈现变量和值的布置，该变量和值的布置包括用户公式中的变量、以及与每个变量相关联的布置的目标位置中的值；

将在该布置中与变量相关联的目标位置处的值应用于用户公式中相匹配的变量并计算第一结果；

将第一结果传递到认证系统；

其中如果第一结果匹配由认证系统计算出的用户公式的单独且独立的计算的第二结果，则认证系统认证用户。

14.如权利要求13的方法，其中与每个变量相关联的目标位置被包括在用户公式中。

15.如权利要求13的方法，其中与每个变量相关联的目标位置被包括在用户简档中。

16.如权利要求13的方法，其中由认证系统生成的变量布置是为用户定制的。

17.如权利要求13的方法，其中变量包括任何字母数字式字符、标记、符号或图像。

18.如权利要求13的方法，其中该值包括随机生成的数字值。

19.如权利要求13的方法，包括在创建用户公式的过程中向用户提供协助。

20.如权利要求13的方法，其中用户公式包括一个或更多个自定义运算符。

21.如权利要求13的方法，包括：

如果本地公式的计算匹配远程公式的计算，则认证用户。

22.如权利要求21的方法，其中本地公式是是可移动的。

23.如权利要求21的方法，其中由本地计算装置执行本地公式的计算，并且由远离本地计算装置的控制器执行远程公式的计算。

24.如权利要求13的方法，还包括：

提供包装，该包装启动根据权利要求13的认证会话；

将带有数据的消息封装在包装中；

从第二认证会话确定用户公式结果；

向第一认证会话提供结果；和

当认证时允许接受器访问消息和数据。

25.一种用于认证用户用以访问装置、服务、应用、功能、或系统的系统，包括：

认证密钥，形式为具有认证系统所提供的变量及运算的用户公式，并且存储在认证系统中；

显示器，用以向用户呈现变量和值的布置，该变量和值的布置包括用户公式中的变量、以及与每个变量相关联的布置的目标位置中的值；

将在该布置中与变量相关联的目标位置处的值应用于用户公式中相匹配的变量的第一结果，并且该第一结果被传递到认证系统；和

认证系统中的回路，如果第一结果匹配由认证系统计算出的用户公式的单独且独立的计算的第二结果，则该认证系统中的回路用于认证用户。

26.一种认证用户用以访问装置、服务、应用、功能、或系统的方法，包括：

将用户公式储存在认证系统中；

将一个或更多个额外字符穿插到第一结果的字符之中；

将第一结果与额外字符一起传递到认证系统，

27.如权利要求26的方法，其中该组指定的限制为空。

28.如权利要求26的方法，其中与每个变量相关联的目标位置被包括在用户公式中。

29.如权利要求26的方法，其中与每个变量相关联的目标位置被包括在用户简档中。

30.如权利要求26的方法，其中由认证系统生成的变量布置是为用户定制的。

31.如权利要求26的方法，其中变量包括任何字母数字式字符、标记、符号或图像。

32.如权利要求26的方法，其中该值包括随机生成的数字值。

33.如权利要求26的方法，包括在创建用户公式的过程中向用户提供协助。

34.如权利要求26的方法，其中用户公式包括一个或更多个自定义运算符。

35.如权利要求26的方法，包括：

如果本地公式的计算匹配远程公式的计算，则认证用户。

36.如权利要求35的方法，其中本地公式是是可移动的。

37.如权利要求35的方法，其中由本地计算装置执行本地公式的计算，并且由远离本地计算装置的控制器执行远程公式的计算。

38.如权利要求26的方法，还包括：

提供包装，该包装启动根据权利要求26的认证会话；

将带有数据的消息封装在包装中；

从第二认证会话确定用户公式结果；

向第一认证会话提供结果；和

当认证时允许接受器访问消息和数据。

39.一种用于认证用户用以访问装置、服务、应用、功能、或系统的系统，包括：

将在该布置中与变量相关联的目标位置处的值应用于用户公式中相匹配的变量的第一结果，该第一结果与一个或更多个额外字符穿插在一起并且被传递到认证系统；和