CN1656773A - 用于对服务供应商的服务验证用户的方法 - Google Patents

用于对服务供应商的服务验证用户的方法 Download PDF

Info

Publication number
CN1656773A
CN1656773A CN03811865.3A CN03811865A CN1656773A CN 1656773 A CN1656773 A CN 1656773A CN 03811865 A CN03811865 A CN 03811865A CN 1656773 A CN1656773 A CN 1656773A
Authority
CN
China
Prior art keywords
user
equipment
authenticating security
identity provider
service supplier
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN03811865.3A
Other languages
English (en)
Other versions
CN1656773B (zh
Inventor
A·布斯博姆
R·奎内特
M·舒巴
S·霍尔特曼斯
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Telefonaktiebolaget LM Ericsson AB
Original Assignee
Telefonaktiebolaget LM Ericsson AB
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Telefonaktiebolaget LM Ericsson AB filed Critical Telefonaktiebolaget LM Ericsson AB
Publication of CN1656773A publication Critical patent/CN1656773A/zh
Application granted granted Critical
Publication of CN1656773B publication Critical patent/CN1656773B/zh
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F15/00—Digital computers in general; Data processing equipment in general
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F1/00—Details not covered by groups G06F3/00 - G06F13/00 and G06F21/00
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/67—Risk-dependent, e.g. selecting a security level depending on risk profiles

Abstract

公开了用于对服务供应商(SP)的服务验证用户的方法、设备和计算机程序。请求用户到服务供应商(SP)的服务上的访问。由服务供应商(SP)选择一个或多个验证安全简档，用于规定用于对服务验证用户的服务供应商(SP)的验证安全要求。从服务供应商(SP)向身份供应商(IdP1)发送一个或多个选取的验证安全简档的指示和对于身份供应商(IdP1)识别用户的用户身份，以请求身份供应商(IdP1)验证用户。基于用户身份和一个或多个选取的验证安全简档之一来验证用户。把指示对于服务供应商(SP)验证用户的断言发送给服务供应商(SP)。

Description

用于对服务供应商的服务验证用户的方法
技术领域
本发明涉及验证领域，并且特别涉及用于对服务供应商的服务验证用户的方法。
背景技术
类似于互联网上的网站或电子商务的许多电子可获得的服务为了若干目的而需要用户识别和验证，像提供对机密信息或服务或资源的访问，例如基于web的电子邮件访问或者在线银行业务，像提供适应于用户简档的个人化服务，像数据挖掘，即从大量用户与服务之间的交互得出结论，例如为了创建作为消费者的用户行为的简档，或者像在电子商务应用中检验用户信誉这样的目的，例如通过确信用户总是支付其帐单来检验。为了准许对其他形式的服务进行访问可能也需要用户识别和验证，像访问类似于汽车门或公司建筑物或方向盘的物理单元。
识别意味着对身份进行规定，身份毫不含糊地定义了某个用户或某组用户。被规定的身份对于特定的一个人或一组人可以是或也可以不是可追踪的，即身份可能是明文形式的用户的名字，但也可能是随机选择的登录名。唯一的要求是在组人登录的情况下特定的一组人中只有单个人或某个人在特定用户身份下注册了，基于此特定用户身份有可能识别注册的用户。举个例子，例如可以是用来访问服务供应商的服务的用户的登录名。验证被定义为对身份进行检验，例如检验呈递某个身份的用户是否实际上就是在该相同身份下初始注册过了的同一个用户。
验证是通过检验用户凭证(credential)来完成的。基本上有三种类型的用户凭证。首先，用户拥有的东西，例如钥匙、智能卡、护照、公司身份卡等等，其次，用户知道的东西，例如口令、个人识别号码(PIN)、他妈妈的娘家姓等等，再次，用户的身体特征，例如虹膜图型、语音、指纹、面部特征、笔迹等等。
用户验证可以包括对一种或多种类型凭证的检验，例如口令只是与PIN代码知识组合拥有公司ID。例如用户的名字这样的用户身份被用在识别步骤里，以便把进行验证时从用户那收集的用户凭证和与注册的用户身份相关的用户凭证联系起来。通过检验收集的用户凭证与注册的用户凭证是否匹配来检验用户身份，并从而完成验证。因而验证一般包括要求验证作为先决条件的实体的识别，并且用户的注册对验证来说是必需的。
过去，每个服务供应商一般执行自己用户的识别和验证，例如最常见的是经由用户名和口令，有可能使用安全传输协议，并留意自己用户简档数据库。对于用户来说缺陷在于他一般得记住对于不同的服务供应商的用户身份和口令的不同组合，或者更普遍的是用户身份和凭证的不同组合，这是不方便的，而且在大多数情况中当用户把他的不同的用户身份和与之对应的各个口令(凭证)写下来时不是非常安全。如果用户对于不用的服务供应商使用相同或相似的组合，安全性就进一步受到威胁。对于服务供应商来说缺陷在于它得保留自己的数据库，并且还得自己执行所有的验证步骤。此外，由于技术和经济原因服务供应商自行验证一般基于单个或很有限数量的用户凭证类型，因为建立适当的基础设施来收集并处理不同类型的用户凭证耗费很大，这对于现代验证方法的引进是严重的障碍，像基于生物统计学或基于智能卡的方法，智能卡像移动电话里的用户身份模块(SIM)卡。
近来，已经出现了若干技术，例如MicrosoftPassport(微软口令)，请见例如2001年三月在 http：//www.passport.com上公布的Microsoft PassportTechnical White Paper(微软口令技术白皮书)，目标是把验证从实际服务中分离出来。这样的话，“身份供应商”(“IdP”)负责用户注册以及，无论何时用户想访问服务时都负责用户验证。可以在单个实体内完成用户注册和用户验证，并且也可以把两者分开。实际服务的供应商(“服务供应商”，“SP”)与身份供应商可以是同一个也可以不是同一个。身份供应商可能本身充当某些服务的供应商，此外也可能对外部服务供应商提供身份服务。在MicrosoftPassport中，用户验证总是经由用户名/口令机制来完成，经由SSL来传输，而对口令改变间隙没有任何限制，从而可以访问向MicrosoftPassport注册过的任何种类的服务。
身份供应商和服务供应商的功能性的分离有若干优点：服务供应商不必管理自己用户的注册和验证，而可以把这些“外源(outsource)”给身份供应商。然而，更重要的是用户能够只利用一个一致的登录流程到达不同服务。正如所述，现今的用户必须要记住并且/或者拥有各个服务供应商之间相互独立的验证凭证，或者重新使用像口令这样的凭证，这当然对安全有威胁。比如，一个攻击者可能窃听用户在web门户输入的未加密的口令，并且然后使用它试图访问有相同口令的用户在线银行账户。
然而，已知的身份供应商的解决方案MicrosoftPassport不区分不同服务或服务供应商的不同安全要求。服务供应商的安全要求主要取决于需要进行验证的目的。为了单纯提供个人化的web门户，除了对银行账户进行在线访问或者对主要的现金交易进行授权，有较低的安全等级也就足够了。更确切地说，MicrosoftPassport认为验证是二元判定，就像只基于一种凭证类型被验证或未被验证，并且假定基于用户名—口令组合的静态验证机制是身份供应商和服务供应商都知道的并预先—明显地或隐含地—认同了。这显然有若干缺点，包括，首先不能应付不同服务/资源的不同类型的安全要求，也不能应付随着时间的过去在安全要求上的改变。如果护照类的身份供应商决定改变验证处理，这就需要独立地使用频带外装置把这告知每个服务供应商，或者服务供应商只得希望身份供应商实行的任何改变都是“合理的”。
WO 01/11450公开了一种单个符号验证多个信息资源的系统结构和方法。安全结构把信任等级要求与信息资源关联起来，并且基于口令、证书、生物统计学技术和智能卡的验证方案与信任等级相关。一旦收到访问信息资源的请求，不用先验证信任等级是否足够，介于客户机实体和信息资源之间的看门人(gatekeeper)就按照映射规则使用凭证收集服务来获得客户机实体的登录凭证，此映射规则在足够的信任等级和一套合适的凭证类型之间建立起对应关系。
在WO 01/11450 A1中说明的系统有若干局限性。首先，它依靠信息资源和信任等级之间的关联以及信任等级和用来进行验证的凭证类型之间的映射规则，既要事先知道又要事先认同提供了身份供应商功能性的实体和信息资源之间的关联和映射规则。而且，与同一信任等级相关的所有信息资源都以同样的方式来处理。无论何时身份供应商决定改变关联和/或映射规则，这就特别成问题，因为不是所有受到改变影响的信息资源(或各个信息资源的供应商)例如由于安全、技术或商业有关原因可以发觉改变可以接受。从而，最终不是信息资源的供应商和信息资源本身而是身份供应商确定验证处理，即确定哪个特定凭证是准备用于特定验证。
然而，由身份供应商做出的这种方针决策是许多服务供应商不能接受的。从而对关联和映射规则进行更新会造成与服务供应商之间的冲突。静态或预定的关联或映射规则不够灵活，满足不了有关实体的要求。此外，用预定的关联或映射规则表示验证方案和凭证类型所有可能出现的组合来满足所有的服务供应商和所有类型的服务的各种安全要求，这是相当复杂的，尤其是鉴于验证方法数量和种类的增加以及服务供应商有时快速变化着的要求。由于对这么多种可能性来说预定的关联或映射规则存在固有的不灵活性，所以只要有可能，在能够按照新的安全要求验证之前得对关联或映射规则执行麻烦的更新操作。在特别情况下这种不灵活性尤其是个缺陷，例如在请求访问与任何或有效的信任等级无关的例如新引进的服务时。另一个的局限性在于客户机和所访问的信息资源之间进行会话期间包括请求和响应在内的所有信息流都经过作为进入路径部件的看门人。然而，使用身份供应商作为进入路径部件来传送用户客户机和服务供应商之间的整个信息流不必要地增加了身份供应商的负载。
MicrosoftPassport和WO 01/11450 A1共同的另一局限性是只有一个身份供应商被用于验证目的。这种限制迫使用户和服务供应商只信任一个身份供应商。然而，因为隐私、信任、商业和费用的原因，集中式的验证事例常常不被用户和服务供应商所接受。比如，用户不想让用户有关信息只在一个身份供应商上就被采集到，用户有关信息像各种类型的凭证，以免不必要的数据聚集或甚至欺诈。
发明内容
本发明的一个目的是提供以更加安全和灵活的方式对服务供应商的服务验证用户的方法、设备和计算机程序。
通过权利要求1和9中所述的方法而达到这个目的。而且，此发明体现在权利要求15、21、27和34中所述的设备和权利要求36和37中所述的计算机程序上。有利的实施方案在其他的权利要求中陈述。
公开了一种对服务供应商的服务验证用户的方法。
此方法可以通过用户请求访问服务供应商的服务来启动。从用户的设备向服务供应商发送此请求，触发服务供应商利用下面的步骤继续运行。或者，请求可以被预先设置并在例如预定时间或间隔上到达服务供应商。
一旦被访问请求触发，服务供应商就选择一个或多个验证安全简档来规定对服务验证用户的验证安全要求。
方法继续进行，通过把一个或多个选取的验证安全简档的指示和识别用户的用户身份发送到身份供应商来请求身份供应商验证用户，即服务供应商从其相关的设备或例如服务供应商可以远程访问的设备上发送一个或多个选取的验证安全简档作为一种形式的指示，以一个或多个验证安全简档的形式向身份供应商指示验证安全要求，在这些简档之一的基础上准备执行验证。此外，向身份供应商发送用户身份，是为了验证步骤进行用户识别这个目的。
接着，基于用户身份以及一个或多个选取的验证安全简档之一，用户被身份供应商验证。通过识别用户和检验用户来完成验证，例如识别用户是否为先前向身份供应商所注册的那个，并按照这一个验证安全简档在用户身份的基础上检验用户。
最后，可以把关于身份供应商验证结果的信息发送到服务供应商。尤其是，把指示进行用户验证的断言(assertion)发送到服务供应商，例如，用来指示用户验证已经按照服务供应商的验证安全简档所规定的验证安全要求完成了。取决于实施或使用情况，此断言可以例如规定一个用来进行验证的验证简档或者单纯指示“验证成功”。断言的其他实现方式也是有可能的。
此方法改进了对服务供应商的服务进行用户验证的方法并使此方法对服务供应商来说极安全，因为是服务供应商而不是身份供应商最终确定身份供应商要满足的安全要求，从而按照服务供应商所选择的验证安全简档之一验证用户。此方法对身份供应商来说也更安全了，因为它可以清晰地并在传输(on-the-fly)中被指示，服务供应商的哪个验证要求目前适用并且对于目前进行的用户验证必须被满足。服务供应商的验证安全要求可以改变。在这种情况下，服务供应商通过选择另一个验证安全简档会马上适应其改变了的安全要求，从而使此方法对服务供应商来说更安全而且非常灵活。从而，尤其在服务供应商的验证安全要求改变了的特别情形下而且在其他情况和环境下，当身份供应商请求验证时，服务供应商可以灵活行动，并且可以马上规定它改变了的验证要求并用一个或多个选取的验证简档传送给身份供应商。而且，此方法不需要服务供应商只利用特定的单个身份供应商。取而代之，任何身份供应商都可以被用来进行验证。此外，不需要有身份供应商作为介于服务供应商和客户机之间的进入路径(in-path)部件。
按照优选实施方案，一个或多个验证安全简档包括至少一个安全属性，用来例如更精确地规定验证安全要求。服务供应商通过规定安全属性可以汇编一个或多个验证安全简档。通过由它自己作规定，服务供应商可以把验证安全简档修整得正好适合它的安全要求。可选择地或者此外，服务供应商可以选择预定的验证安全简档，它包括用预定方式安排的一个或多个安全属性。当规定和/或选择基于一个或多个安全属性的验证安全简档时，就要把身份供应商和/或用户的验证能力考虑进来。安全属性的范例是对凭证、传输层安全性、网络安全性、链接层安全性、定时信息、策略、诈骗检测测量、赔偿责任和/或担保以及其他安全特征这一组中的一项进行说明的规定。安全属性可以包括类型的规定，例如像口令或生物统计学这样的凭证类型，也可以包括与特定类型相关的值的规定，例如与口令相关的口令长度或与生物统计学相关的某个清晰度的指纹。使用安全属性，身份供应商可以得到服务供应商的有关身份供应商按照服务供应商的要求执行用户验证必须基于哪一些安全特征的精确指示。
按照另一个优选实施方案，服务供应商从一个或多个安全简档的一组中选择被指示为被身份供应商支持用来验证的一个或多个验证安全简档。从一个或多个被支持的验证安全简档这一组中选择一个或多个验证安全简档增加成功验证的概率。
按照另一个优选实施方案，服务供应商接收来自身份供应商的对这组一个或多个被支持的安全简档的指示，例如通过发送被支持的验证安全简档的列表。这个指示也可以是指向服务器的URI，其中可以从此服务器中获得这组简档，例如由服务供应商下载而获得。其他方式的指示也有可能。优选地，在身份供应商的验证能力发生改变时，把对这组简档的指示或这组简档本身作为一种形式的指示发送到服务供应商，例如当身份供应商从被支持的项目中废除某个安全属性时，像废除凭证类型和/或凭证值，例如不再支持短于4个字符的口令长度，或者假如身份供应商提供新引进的凭证类型或值，例如从今天起指纹被支持。
按照另一个优选实施方案，执行验证所基于的所述一个验证安全简档是被身份供应商从一个或多个选取的验证安全简档中选择的。通过这样做，身份供应商可以避免询问服务供应商准备执行的验证是基于选取的验证安全简档中的哪一个。取而代之，身份供应商可以假定所有选取的和指示的验证安全简档都满足服务供应商的验证安全要求，并可以选择最合适的一个，例如最适合于身份供应商和/或得被验证的用户的需要或能力。而且，服务供应商和身份供应商之间为了协商实际执行用户验证是基于哪个验证安全简档而进行的交互作用可以被最小化，并因而成功验证的速度和概率都增加了。
按照另一个优选实施方案，一个或多个选取的验证安全简档可以利用一个或多个关系来相关联一个或多个其它的验证安全简档。这些关系中每一个都表示一个或多个选取的验证安全简档相对一个或多个其它的验证安全简档在验证安全强度方面的排序。关系的范例是有向边线(edge)，表示例如强度大于或等于两个验证安全简档之间的关系。也可以把选取的验证安全简档互相关联起来。基于一个或多个选取的验证安全简档和一个或多个其它的验证安全简档的关系，即，与选取的和其他的验证简档的总体以及各个关系有关的信息，通过由身份供应商选择一个或多个其他的验证安全简档之一并且基于身份供应商选取的这个其他的验证安全简档来验证用户，一个或多个其它的验证安全简档与一个或多个选取的验证安全简档比较在验证安全强度上被相等强度或更强相关联，从而基于一个或多个选取的验证安全简档之一可以执行验证用户的步骤。从而，满足服务供应商的验证安全要求的验证安全简档的种类和数量扩大了。从扩大的种类和数量的验证安全简档之中，身份供应商可以灵活选择一个验证简档用来进行验证，例如最合适前面所解释的某个能力的一个，从而增加成功验证的可能性和验证的速度。
按照另一个优选实施方案，服务供应商可以规定到一个或多个其它的验证安全简档的一个或多个关系，并且服务供应商可以把到一个或多个其它的验证安全简档的一个或多个关系的指示发送给身份供应商。通过这样做，一个或多个选取的与一个或多个其它的验证安全简档之间的关系更精确地反映了服务供应商的验证安全要求，这可以导致更快的验证，而对于实际用来进行验证的验证安全简档的协商的交互更少。
按照另一个优选实施方案，利用执行验证所基于的验证安全简档的指示来补充断言，并且服务供应商检查指示的验证安全简档是否可以接受。给服务供应商提供与执行验证所基于的验证安全简档有关的信息进一步增加了服务供应商的安全性并给服务供应商提供了例如检查实际上被用来进行验证的验证安全简档是否满足其当前验证安全要求的可能性，。
公开了一种对服务供应商的服务验证用户的方法。此方法包括以下步骤：用户请求访问服务供应商的服务；把识别用户的用户身份发送给身份供应商，以请求身份供应商验证用户；基于用户身份和验证安全简档来验证用户；把指示进行用户验证的断言发送给服务供应商；利用验证安全简档的指示来补充此断言；以及服务供应商检查指示的验证安全简档是否可以接受。
在此，服务供应商不在进行验证前预先提供它的安全验证要求给身份供应商，这对某些实施方式来说可能是有利的。然而，通过检查执行用户验证所基于的指示的验证安全简档，相对于服务供应商的安全要求，服务供应商仍然能够检验对用户的服务验证与服务供应商的验证安全要求是否匹配。而且，由于基于被身份供应商支持的任何验证安全简档而进行的验证能够用于验证的事实，验证最好与用户的验证能力相匹配，如果凭证检验有必要的话，所以身份供应商的灵活性增加了。最终，是服务供应商有权决定用户是否被充分验证了。
两种方法都可以进一步包括依稀步骤：在服务供应商上接收来自用户设备的用户身份和身份供应商的参考，以响应从服务供应商向用户设备发送的验证请求。这种与用户设备之间进行的交互是很平常的，并且可以轻松地完成此实现方式。
基于收到的断言，可以准许基于此断言的对服务的访问。或者，基于断言并基于对可否接受的检查准许服务访问，例如通过检查指示的验证安全简档是否与服务供应商的验证安全要求相匹配，从而验证的安全性增加了，尤其是对于服务供应商来说。
按照另一个优选实施方案，此方法可以包括以下步骤：验证升级。通过基于其它的验证安全简档来进行其它的验证，执行验证升级。按照前述的涉及对服务供应商的服务验证用户的方法中的选择和验证的步骤之中的任何步骤，执行选择和其它的验证，例如服务供应商可以选择一个或多个验证安全简档并把这些简档发送给身份供应商，后者选择其中之一用来验证用户。身份供应商可以基于关系来选择某个验证安全简档，可以向服务供应商指示执行验证所基于的选取的验证安全简档，服务供应商可以例如检查指示的验证安全简档，以查看它是否与其用于验证的验证安全要求相匹配。如果打算访问有更强验证安全要求的服务，升级功能可以使用户和服务供应商继续会话。
按照另一个优选实施方案，验证升级可以包括对其它的身份供应商的改变，以便基于其它的验证安全简档执行其它的用户验证，从而在先前的身份供应商不支持按照服务供应商更强的验证安全要求进行的其它的验证简档的情况中例如能够继续进行服务会话。
此发明进一步体现在设备上。下面，说明与服务供应商相关的设备和与身份供应商相关的设备。
公开了与服务供应商相关的设备。与服务供应商相关的设备包括用于接收消息的接收单元、用于发送消息的发射单元和用于处理消息与信息的处理单元。与服务供应商相关的设备可以用于接收用户对服务供应商服务的访问请求，选择一个或多个验证安全简档用来规定验证用户到服务上的验证安全要求，把对一个或多个选取的验证安全简档的指示和识别用户的用户身份发送给身份供应商，以请求身份供应商验证用户，以及接收身份供应商指示用户验证的断言。
按照优选实施方案，与服务供应商相关的设备可以用于选择一个或多个验证安全简档，这些简档包括至少一个安全属性，用来规定验证安全要求。
按照另一个优选实施方案，与服务供应商相关的设备可以用于从一组安全简档中选择被指示为被身份供应商支持验证的一个或多个验证安全简档。
按照另一个优选实施方案，与服务供应商相关的设备可以用于从身份供应商接收对这组一个或多个被支持的安全简档的指示。
按照另一个优选实施方案，与服务供应商相关的设备可以用于把一个或多个选取的验证安全简档关联到一个或多个其它的验证安全简档上，每个关系都表示一个或多个选取的验证安全简档相对一个或多个其它的验证安全简档在验证安全强度方面上的排序，并且此设备可以进一步用于把与一个或多个其它的验证安全简档的至少一个或多个关系发送给用来进行验证的身份供应商，这些其它的简档在验证强度上相等强度或更大强度相关。
按照另一个优选实施方案，与服务供应商相关的设备可以用于接收由身份供应商执行用户验证所基于的验证安全简档的指示，并且此设备进一步用于检查指示的验证安全简档是否可以接受。
可选择地或此外，与服务供应商相关的设备可以用于接收用户对服务供应商服务的访问请求，把识别用户的用户身份发送给身份供应商，以请求身份供应商验证用户，接收来自身份供应商的指示用户验证的断言，此断言被补充以对验证安全简档的指示，检查指示的验证安全简档是否可以接受。
按照另一个优选实施方案，与服务供应商相关的设备可以用于接收来自用户设备的用户身份和身份供应商的参考，以响应从与服务供应商相关的设备向用户设备发送的验证请求。
按照另一个优选实施方案，与服务供应商相关的设备可以用于基于断言准许访问服务。
按照另一个优选实施方案，与服务供应商相关的设备可以用于基于断言和对接受的检查来准许访问服务。
按照另一个优选实施方案，与服务供应商相关的设备可以用于基于其它的验证安全简档在其它的验证基础上执行验证升级。
按照另一个优选实施方案，与服务供应商相关的设备可以用于为了验证升级而改变成其它的身份供应商来执行其它的验证。
公开了与身份供应商相关的设备。与身份供应商相关的设备包括用于接收消息的接收单元、用于发送消息的发射单元和用于处理消息与信息的处理单元。与身份供应商相关的设备可以用于接收用户验证的请求。此请求包括对于身份供应商识别用户的用户身份，例如识别与身份供应商相关的设备，还包括对于一个或多个验证安全简档的指示，一个或多个验证安全简档为了对服务供应商的服务验证用户而规定了服务供应商的验证安全要求。与身份供应商相关的设备可以进一步用于基于用户身份和一个或多个验证安全简档之一来验证用户，以及向服务供应商发送指示用户验证的断言。
按照优选实施方案，与身份供应商相关的设备可以用于根据在执行验证所基于的某个验证安全简档中所包括的至少一个安全属性来验证用户。
按照另一个优选实施方案，与身份供应商相关的设备可以用于把被身份供应商支持用于验证的一个或多个安全简档的一组的指示发送给服务供应商。
按照另一个优选实施方案，与身份供应商相关的设备可以用于从一个或多个验证安全简档之中选择执行验证所基于的所述一个验证安全简档。
可以利用一个或多个关系把一个或多个验证安全简档相关到一个或多个其它的验证安全简档上。一个或多个关系中每一个都表示一个或多个验证安全简档相对一个或多个其它的验证安全简档在验证强度上的排序。与身份供应商相关的设备可以用于通过选择与一个或多个验证安全简档相比在验证安全强度是相等或更大强度被相关的一个或多个其它的验证简档之一并通过基于选取的其它的验证安全简档来验证用户，从而执行用户验证。
按照另一个优选实施方案，与身份供应商相关的设备可以用于从服务供应商接收对于到一个或多个其它的验证安全简档的一个或多个关系的指示。
按照另一个优选实施方案，与身份供应商相关的设备可以用于给断言补充上执行验证所基于的验证安全简档的指示。
可替换地或此外，与身份供应商相关的设备可以用于接收对验证用户的请求。此请求包括对身份供应商识别用户的用户身份，例如识别身份供应商的设备。与身份供应商相关的设备可以用于基于用户身份和一个验证安全简档来验证用户，以及向服务供应商发送指示用户验证的断言。给此断言补充上执行用户验证所基于的验证安全简档的指示。
按照另一个优选实施方案，与身份供应商相关的设备可以用于基于其它的验证安全简档在其它的验证的基础上执行验证升级。
本发明进一步体现在一个或多个计算机程序上。一个或多个计算机程序包括可载入设备的软件代码部分，用于执行此验证方法的步骤中的任何步骤。可以把一个或多个计算机程序保存在计算机可读媒体上。计算机可读媒体可以是在设备内或放在外面的永久性或可再写性存储器。也可以把计算机程序转移到设备上，比如作为信号序列经由电缆或无线链路来转移。
尤其，公开了可载入与服务供应商相关的设备中的计算机程序。此计算机程序包括如下的代码：用于处理用户对服务供应商服务的访问请求；选择一个或多个验证安全简档来规定用于对服务验证用户的验证安全要求；启动向身份供应商发送对一个或多个选取的验证安全简档的指示和识别用户的用户身份，以请求身份供应商验证用户；以及处理身份供应商指示用户验证的断言。
可选择地，计算机程序可以是这样一种格式，不包括或者跳过涉及选择一个或多个验证安全简档以及向身份供应商发送一个或多个验证安全简档的指示的软件部分，并且取而代之或此外，此计算机程序包括代码，用于检查执行用户验证所基于的指示的验证安全简档是否可以接受，所指示的验证简档连同断言一起被输入计算机程序中。
而且，公开了可载入与身份供应商相关的设备中的计算机程序。此计算机程序包括代码：用于处理验证用户的请求，此请求包括对于身份供应商识别用户的用户身份和对于一个或多个验证安全简档的指示，这些简档规定了服务供应商的验证安全要求，用来对于服务供应商的服务进行用户验证；基于用户身份和从服务供应商接收的一个或多个验证安全简档之一执行用户验证；以及启动向服务供应商发送指示用户验证的断言。
用计算机程序实现此发明的方法有可能还有其他方式。特别是，此计算机程序可以实现所述方法的任何实施方案。
下面参考附图说明本发明的详细的实施方案。
附图说明
图1a示出了具有属性的验证安全简档的一个范例；
图1b示出了用于验证安全简档及其相对于验证安全强度的排序的一个范例；
图2示出了用于在数字属性值和验证安全强度之间映射的范例；
图3示出了用于验证的第一示范性消息流；
图4示出了用于验证的第二示范性消息流；
图5示出了用于验证的第三示范性消息流；
图6示出了用于验证的第四示范性消息流；
图7示出了用于验证的第五示范性消息；
图8示出了用于验证的第六示范性消息流；
图9示出了用于验证的第七示范性消息流；
图10示出了用于验证升级的第一示范性消息流；
图11示出了用于验证升级的第二示范性消息流；
图12示出了用于实现此方法的设备的一个范例；
图13示出了用于实行此方法的设备和设备之间的链路的第一范例；
图14示出了用于实行此方法的设备和设备之间的链路的第二范例；
图15示出了用于实行此方法的设备和设备之间的链路的第三范例。
具体实施方式
验证方法可以由以下三个单元部分组成：第一，用来描述一个或多个验证安全简档(ASProf)的数据结构，以及作为结构化的可扩充的可机读集合的ASProf之间的可能关系。为了说明此数据结构，使用有向图来表示不同ASProf之间的关系，例如“强度大于等于”(≥)。在这个图中，每个节点是一个ASProf，每个有向边线表示两个ASProf之间的一个关系。第二，同意ASProf用来对于服务供应商的服务验证用户的方法。服务供应商可以把一个或多个被请求的ASProf从某种意义上说就是一张“希望列表(wish list)”发送给身份供应商，进而后者决定是否遵照并可以制定被使用的一个或多个ASProf的可选择建议。与往返发送全部的ASProf相反，使用参考和更新可以减少交换的数据。如果第一身份供应商不能满足服务供应商的要求，就可以联系其它的身份供应商来进行验证。第三，用来在会话期间升级ASProf的方法；在会话期间升级ASProf涉及再次协商ASProf，并且升级ASProf也可能需要新的用户凭证的检验。如果身份供应商不能满足升级的ASProf，服务供应商就会联系可选择的身份供应商来进行升级。
要求具有身份X的用户实际上是与这个身份相关的用户，这个判断的确定程度可以根据连续标度(scale)看出来，并且取决于多种因素，包括，但不限于：
-为了验证而被检验的一个或多个类型的用户凭证，例如口令可以被认为不如与PIN代码结合的公司ID安全；
-当客户机和服务器之间传达验证信息(例如口令)时所使用的传输、网络和链路层的安全性特征，服务器例如TLS、IPsec。
-最近进行验证的时间，例如十秒前输入的PIN一般比三天前输入的PIN安全得多，因为攻击者可能趁这三天同时未授权访问客户机设备；
-用户凭证的长度和复杂性，例如口令或PIN的长度，口令只包含字母，而口令只包含至少两个数字和至少两个特殊字符，密钥的长度，等等；
-对于管理秘密用户凭证的策略，例如更改口令的频繁程度，多少次改变以后旧口令被重新使用，身份供应商怎样保护秘密用户凭证数据的机密性和完整性；
-对于在使用公共秘钥基础设施(PKI)的情况下秘钥管理的策略，例如怎样管理证明的吊销(revocation)，证明的原件是可信的，等等；
-进行测量以检测欺诈，以及在检测到欺诈的情况下凭证吊销的流程和吊销所需要的时间；
-为防欺诈身份供应商向服务供应商提供的赔偿责任(liability)/担保；
-对于检验向身份供应商注册的用户的“真实”身份的策略，例如在网页上输入名字和个人数据被认为不如口令检验安全。
在这篇文档中，这些及其他属性的聚集影响用户验证的确定程度，这被称为“验证安全简档”(“ASProf”)。
所述ASProf被描述为一套属性，例如上面给出的这些属性，带或不带属性值。例如，空的或者默认的ASProf会具有未被分配属性值的属性。可以把ASProf设想成包括说明处理过程的策略，通过此处理验证凭证被管理、重建、吊销等等。ASProf的说明最好是可变更的、可扩充的和可机读的。最好是可扩充标记语言(XML)用作底层元语言。因为ASProf不是封闭的一套数据而是需要适用于像生物统计学这样的不断出现的验证技术和新颖的安全技术，例如密码(cryptographic)技术，所以可扩充性是重要的。可扩充性确保可以把将来的属性包括到ASProf里，并且作为替换给定ASProf的属性的要求，可扩充性还包括可变更性。不同属性之间可能存在关系。
图1a示出了一个有不同属性的ASProf A01的范例，这些属性像PIN B01、智能卡B02、生物统计学B03、传输安全性B04和策略B05。ASProf可以被扩充用于将来的属性，例如用于包含用来进行验证的将来的技术B06。
可以把属性值分配给ASProf的属性，例如这套属性可以是数字的，即“密钥长度”＝“128”，“口令最小长度”＝“10”，或者是描述性的，例如“传输安全性”＝“TLS隧道效应”或者“传输安全性”＝“WTLS”，TLS是指传输层安全性并且WTLS是指无线TLS。参考图1a，属性值的安排如下：
属性                              属性值
PIN                               10个字符
智能卡                            无
生物统计学(例如指纹)              高分辨率(200千字节)
传输安全性                        WTLS
策略                              无
下面在表A中示出了另一个用XML编码的有属性的ASProf的范例，表A在后面的文本给出了注释。下面的例子中一些属性之间存在关系。
<？xml version＝″1.0″？>
<ASProf>
  <user_credentials>
    <password>                                      AA1
      <min_length>5</min_length>
      <max_length>10</max_length>
      <max_session_duration>
        <unit>hours</unit>
        <value>8</value>
      </max_session_duration>
      <case_sensitive>yes</case_sensitive>
      <special_chars_required>
        none
      </special_chars_required>
      <digits_required>1</digits_required>
    </password>
</user_credentials>
<transport_layer_security>
                                                    AA2
  <protocol>
    <type>TLS</type>
    <MAC>MD5</MAC>
    <MAC>SHA</MAC>
    <cipher>DES</cipher>
    <cipher>3DES</cipher>
  </protocol>
  <protocol>
    <type>SSL>/type>
  </protocol>
</transport_layer_security>
<security_policies>
  <password>
                                                    AA3
    <max_validity>
      <unit>months</unit>
      <value>6</value>
    </max_validity>
    <first_reuse>10</first_reuse>
    <privacy_policy>
      http：//www.idprovider.com/w3c/p3p.xml
    <privacy_policy>
  </password>
  <PKI>
    <trusted_CA>Verisign</trusted_CA>
                                                    AA4
    <trusted_CA>RSA</trusted_CA>
    <trusted_CA>Thawte</trusted_CA>
  </PKI>
                                                    AA5
  <liability>
    <max_liability>
      <unit>USD</unit>
      <value>0.00</value>
    </max_liability>
</security_policies>
<user_registration>
  <ID_verification>
                                                    AA6
    <type>email_confirmation</type>
  </ID_verification>
  <expiration>
    <time>
      <unit>months</unit>
      <value>6</value>
    </time>
  </expriation>
<renewal>
      <time>never</time>
    </renewal>
    <revocation>                                    AA7
      <guaranteed_revocation_time>
        <unit>minutes</unit>
        <value>30</value>
      </guaranteed_revocation_time>
    </revocation>
  </user_registration>
</ASProf>
表A：用于以XML编码的ASProf的范例。
表A的注释：
AA1：用于用户验证的口令最少5个字符最多10个字符。直到再次请求验证为止会话持续时间最大为8小时。口令是案件敏感的(casesensitive)，不需要包含特殊字符，但是必须包含至少一个数字字符。
AA2：TLS被用来保证传输层的安全，是容许的消息。验证算法是消息摘译算法(Security Hash Algorithm)5(MD5)和安全性散列算法(Data Encrytion Standard)(SHA)，容许的加密算法是数据加密标准(DES)，三倍DES SSL还被允许代替TLS作为传输层的安全协议。
AA3：口令必须至少每6个月改变一次，直到用过至少10个其他口令才可以再用旧口令。在给定的URL上可以找到管理用户数据的详细的隐私策略。
AA4：Verisign、RSA和Thawte是被相信为原件证明机构。
AA5：身份供应商没有假定对于欺诈或盗窃身份的赔偿责任($0.00)。
AA6：一旦注册，就使用确认电子邮件发送到她的电子邮件地址来确认用户身份。当此账户有6个月没有使用时，注册期满。不要求对注册信息进行定期更新。
AA7：如果检测到欺诈和凭证泄漏，则帐户保证在30秒内被阻塞(吊销)。
最好按验证安全强度把多个ASProf联系起来。可以用有向图的方式说明表示ASProf列队或排序的关系。在这幅图中，每个节点都是一个ASProf。此图可以有“根节点”，它可以是空ASProf，即，没什么安全性。每个有向边线都规定了两个ASProf之间的一个关系，例如“≥”关系。这套ASProf和ASProf之间的关系最好是可变更的、可扩充的和可机读的。最好是XML用作底层元语言。
特殊情况可以设想，例如此图变成一个n维网格(在n个属性的情况下)。要是这样，对于每个属性都有独立的关系，而且两个ASProf的比较对应于每个属性的独立比较。两个ASProf之间比较的例子有≥关系：
如果
密钥长度1≥密钥长度2与口令长度1≥口令长度2
那么
ASProf1≥ASProf2
然而，更常用的图形表示法考虑了复杂得多的规定，例如密钥长度64的指纹辨认比密钥长度256的口令更安全。当单一体系中使用了完全不同的验证机制时“把苹果与桔子作比较”的情况就要紧了。图形观念比其他概念更常用，并且允许完全不同的验证方法和技术之间的优先表达式，在其他概念中各个属性被独立处置。
原则上说每个服务供应商都可以创建此图，并且不同的服务供应商可以使用不同的图。一个服务供应商可以有多个图形，例如用于不同用户或身份供应商或服务的。这反映了一个要求，每个服务供应商最好都能够定义他自己的优选和优先的验证安全特征。第一服务供应商会认为虹膜扫描比关键字更安全。第二服务供应商会认为关键字更安全。当然，这不排除再用“默认”图的可能，如果服务供应商希望这么做的话。
在图1b中，描绘了一个ASProf图的范例。此图包括用点代表的ASProf A1、A2、A3、A4、A5、A6、A7、A8、A9，用表示两个ASProf之间≥关系的箭头把它们连接起来。图1b的图示中所用的箭头符号意思是连接两个ASProf的箭头利用其箭头头部指示了两个ASProf之一与另一个ASProf相比是≥，即ASProf1→ASProf2意思是ASProf2≥ASProf1。在图中会发现用于表示ASProf之间≥关系的箭头12、13、16、24、35、47、58、68、79、89。
智能卡、PIN、生物统计学的属性和属性值被描绘成与ASProf相关联。尤其是，ASProf A4包括56比特智能卡属性B4，ASProf A7包括128比特智能卡属性B7，ASProf A6包括4位数PIN属性B6，ASProfA8包括10位数PIN属性B8，以及ASProf A9包括包括虹膜辨认属性B9。在图1中也可以有其他属性或属性的结合相关联ASProf。此外，可以在图1b中定义一个指示“没什么安全性(no securitywhatsoever)”的根节点ASProf A1关系到ASProf上，例如经由关系12、13和16联系到ASProf A2、A3、A6上。也可以把其他ASProf或关系包括到图形中，可以修改或删除已有的ASProf或关系。
知道有10个数目字的PIN被定义成≥知道有4个数目字的PIN。用箭头68描绘这种≥关系，此箭头68始于包括4位数PIN属性B6的ASProf A6并指向包括10位数PIN属性B8的ASProf A8。拥有具有128比特密钥的智能卡被定义成≥拥有有56比特密钥的智能卡。相应地，用箭头47表示ASProf B7和ASProf B4之间的≥关系，此箭头从56比特智能卡指向128比特智能卡。另外，虹膜辨认方法被定义成≥10位数口令以及≥智能卡上的128比特密钥，分别用箭头89和79表示各个≥关系。然而，试着决定是否10位数口令≥智能卡上的128比特密钥就没多大意义。要是两个ASProf之间的≥关系是行不通的或者是不想要的，相应的箭头在图中就不见了。
下面给出在图1b中描绘的图形XML表示的范例。有两个数据结构共同用来代表一个有向图：(a)使用邻接列表，这是对的列表，每一对代表一个有向边线(有时也叫箭头或关系)，对的第一部分规定了各个有向边线的始发ASProf，第二部分规定了它们的终止ASProf。(b)使用关联矩阵(incidence matrix)，对于每个始发节点都包含一个图中存在的边线所到达的终止节点的列表。在下面的表格B中给出的范例中，使用关联矩阵的形式表示。也有可能用其他形式表示。
<？xml version＝″1.0″？>
<ASProf_graph>
  <ASProf>
    <name>A1</name>                                 BB1
    <successor>A2<successor>
    <successor>A3<successor>
    <successor>A6<successor>
  </ASProf>
  <ASProf>                                          BB2
    <name>A2</name>
    …
    <successor>A4<successor>
  </ASProf>
<ASProf>
  <name>A3</name>
  …
  <successor>A4<successor>
</ASProf>
<ASProf>
  <name>A4</name>
  <user_credentials>
                                                    BB3
    <smart_card>
       <key_length>56</key_length>
    </smart_card>
  </user_credentials>
  <successor>A7<successor>
</ASProf>
<ASProf>
  <name>A5</name>
  …
  <successor>A8<successor>
</ASProf>
<ASProf>
  <name>A6</name>
  <user_credentials>
                                                    BB4
    <PIN>
       <digits>4</digits>
    </PIN>
  </user_credentials>
  <successor>A8<successor>
</ASProf>
<ASProf>
  <name>A7</name>
  <user_credentials>
                                                    BB5
    <smart_card>
       <key_length>128</key_length>
    </smart_card>
  </user_credentials>
  <successor>A9<successor>
</ASProf>
<ASProf>
  <name>A8</name>
  <user_credentials>
                                                    BB6
    <PIN>
       <digits>10</digits>
    </PIN>
  </user_credentials>
    <successor>A9<successor>
  </ASProf>
  <ASProf>
    <name>A9</name>
    <user_credentials>
      <biometrics>                                  BB7
        <type>iris_scan</type>
      </biometrics>
    </user_credentials>
  </ASProf>
</ASProf_graph>
表B：利用以XML编码的具有图1b关系的ASProf的范例。
表B的注释：
BB1：A1是此图的根节点，它代表空ASProf即根本没有安全特征。
BB2：在此图中有从根节点A1到节点A2、A3和A6的有向边线。节点的“后继者”被定义为“强度大于或等于”始发节点。
BB3：按照图1b，有属性值“56比特”的属性B4“智能卡”与ASProfA4相关。
BB4：按照图1b，有属性值“4位数”的属性B6“PIN”与ASProfA6相关。
BB5：按照图1b，有属性值“128比特”的属性B7“智能卡”与ASProf A7相关。
BB6：按照图1b，有属性值“10位数”的属性B4“PIN”与ASProfA8相关。
BB7：按照图1b，有属性值“虹膜辨认”的属性B9“生物统计学”与ASProf A9相关。
ASProf的属性也可以有分级结构。比如，“密钥长度”属性可能具有不同的解释，这取决于下一较高级属性规定了“TLS隧道效应”还是“WTLS”。因此，不能总是直接比较“密钥长度”属性的数字值而不首先比较相邻下一较高级属性。
在数字属性值的情况下，不需要具有属性值和验证安全强度之间的单调关系，就某种意义来说更大的密钥长度总是意味着更高的验证安全强度。图2示出了一个单调关系的范例：在此范例中，发觉长度大约为9的口令的验证安全强度最优。更短的口令被认为较不安全，因为他们更容易被破解，例如在长度非常短的情况下用硬算攻击的方式，对较长的口令用词汇攻击的方式。然而，长于9的口令也被认为较不安全，既然它们很难记住所以很可能被用户写下来。属性值“口令长度”和相应的验证安全强度之间的关系在图2上部分中示出。下部分示出怎样用有向图的方式表示这个映射，尽管可以想到其他表现方式。有属性口令长度的第一ASProf和有属性口令长度的第二ASProf之间的关系用相应箭头表示，现在是表示强于(“＞”)关系的箭头，即用从第二ASProf开始到第一ASProf上结束的箭头来指示第一ASProf强于(“＞”)第二ASProf。如果附加的箭头从第一ASProf开始到第二ASProf上结束，第一ASProf和第二ASProf就被指示成强度相等(“＝”)。比如，表示两个口令长度的强度相等“＝”关系用两个箭头表示，一个箭头从第一口令长度指向第二口令长度，另一个箭头从第二口令长度指向第一口令长度。在这个范例中，有11-20个字符的口令被定义成和有3-6个字符的口令验证安全强度相等。
事实上，完全可以留给服务供应商来决定它的优选和优先属性特征，例如。第一服务供应商为进行单调映射而决定，另一个服务供应商可以按照图2的映射来决定映射，以及第三服务供应商可以接受身份供应商默认的图形而不关心映射的细节。
图2的范例说明了如何用有向图表示非单调关系。它进一步说明了属性值的范围例如“7-10个字符”，在图示中如何毁坏在单一节点中，即不需要每个被容许的数字值都形成图形中的独立节点。
下面，说明由一个或多个身份供应商对于服务供应商SP的服务验证用户：
按照图3，客户机联系服务供应商SP提供的服务，用户通过用消息1a发送服务请求来调用此服务。服务要求进行用户验证，服务供应商SP用消息1b向客户机发送进行用户验证的请求。客户机用消息1c把用户身份提供给服务供应商SP，服务供应商SP可以检验用户身份。如果用来验证客户机的身份供应商IdP1是服务供应商SP未知的，客户机就用消息1c向SP发送一个身份供应商IdP1的参考，例如统一资源标识符(URI)。可选择地，从客户机默认地向服务供应商SP发送身份供应商IdP1的参考。
服务供应商SP通过用消息2向身份供应商IdP1发送期望的ASProf和用户身份来请求验证用户，此ASProf规定了服务的验证安全要求。典型地，服务供应商SP和身份供应商IdP1正在建立安全会话(例如使用TLS)，该会话为他们交换的信息提供了机密性、完整性和可靠性，以及服务供应商SP和身份供应商IdP1之间单向或双向的验证。对于推荐的验证方法中所涉及的任何类型的实体之间任何类型的加密所必需的处理和消息既没有在图3中也没有在后面的图形中描绘。
身份供应商IdP1在处理3a中检查它是否可以满足从SP接收的ASProf中所述的要求。如果可以满足要求，身份供应商IdP1可以在处理3a中进一步检查是否需要检验用户凭证。如果凭证检验是必需的，就向客户机发送对用户凭证的请求3b，而客户机可以通过提供所请求的用户凭证从而用消息3c响应这个请求3b。对于请求3b和相应的响应3c来说频带内和频带外通信都有可能。基于检查ASProf的要求和任选的凭证检验得到的正向结果，身份供应商IdP1用消息3d向SP发送进行用户检验的断言。基于此断言，服务供应商SP可以准许对客户机进行访问，以访问被请求服务的会话。
作为检验用户凭证的范例：用户已经在上午9点使用用户名/口令机制经由一个IdP验证到自己收藏的web门户。在上午11点，用户想访问在提供互联网图书销售服务的服务供应商上他的简档，而所述服务供应商还接受来自同一IdP的验证断言。如果所述服务供应商在它ASProf中要求口令输入不能超过一个小时，IdP就需要在用户被验证到所述服务供应商上以前请求用户再次输入口令。另一方面，如果所述服务供应商接受高达24小时陈旧的口令输入，就没必要再次输入口令了。
按照图3和图3上的说明，只有一个ASProf从服务供应商SP向身份供应商IdP1发送。然而，把推荐的方法用于这样的情况也容易，即多个期望的ASProf从服务供应商SP向身份供应商IdP1发送。在这种情况下，服务供应商SP发送ASProf的“希望列表”，也就是服务供应商SP认为可以充分验证用户的ASProf。身份供应商IdP1检查希望列表。如果希望列表上的一个或多个ASProf是身份供应商IdP1所支持的，身份供应商IdP1可以选择ASProf中他最佳支持的那一个，例如不需凭证检验或者凭证检验与希望列表中其他被支持的ASProf相比没有那么困难。
结合图3说明的方法是使用“反信道”消息流，涉及身份供应商IdP1和SP之间直接进行的消息交换。换句话说，也可以使用“前信道”来实施此方法，即身份供应商IdP1和服务供应商SP之间的任何通信都由客户机中继，最好使用合适的安全性预防措施，以使客户机不能窜改往返通过的信息。对于不同消息反信道和正信道的结合也有可能。
对于为了完成图3的验证而进行的前信道通信的范例在图4中描绘。在前信道通信中，用消息42a从服务供应商SP向客户机发送期望的ASProf和选择地发送用户身份。客户机用消息42b向身份供应商IdP1发送期望的ASProf和用户身份。如果用户身份不由服务供应商SP提供，则客户机获取用户身份并用消息42b把它发送给身份供应商IdP1。如图3中所示，身份供应商IdP1可以在处理3a中检查接收的ASProf以及是否必须进行凭证检验。如果是这样，身份供应商IdP1可以使用消息3b、3c来检验用户凭证。如图3中所示，消息3b、3c是可选择的，并且可以利用带内或带外通信。用消息43d、43e经客户机向服务供应商SP发送由身份供应商IdP1给出的安全断言。在这种情况下，安全断言被认为是验证令牌或者记录单(ticket)。
在移动客户机的情况下，反信道实施方案有利于避免服务供应商SP和身份供应商IdP1之间越过客户机的空中接口进行通信。对于前信道通信，唯独为了在服务供应商SP和身份供应商IdP1之间往返传递信息就在空中接口上使用了额外的带宽并导致额外的等待时间。
前信道解决方案是像互联网这样的固定网常用的，与反信道解决方案相比它更好地减少了执行难度。它还有发生会话重定向的优点，即图4的1c中向服务供应商SP的请求由消息42a中来自服务供应商SP的答复来回应，而不像在反信道情况下由来自身份供应商IdP1的答复来回应。这可能导致验证所需的全部时间比反信道通信更短了。
混合执行方案也有可能，例如使用代理服务器，从而赶超用于在服务供应商SP和身份供应商IdP1之间通信的前信道，同时避免了流过客户机的业务量。因而混合执行方案对于移动客户机来说非常有用。
对于这个情况，结合图3所述的身份供应商IdP1不支持从服务供应商SP向身份供应商IdP1发送的期望的一个或多个ASProf，身份供应商IdP1把对一个或多个期望的ASProf的反建议提供给服务供应商SP。按照图5，服务供应商SP用消息2a向身份供应商IdP1发送包括期望的ASProf和用户身份的验证请求。身份供应商IdP1检查收到的期望的ASProf并认识到期望的ASProf不被支持。一个或多个可选择的ASProf被确定并作为推荐的可选择的ASProf被用消息4a从身份供应商IdP1向SP发送。服务供应商SP在处理5a中检查是否一个或多个推荐的可选择的ASProf之中至少有一个可以接受。如果接收的推荐的可选择的ASProf之中没有一个可以接受，服务供应商SP就可以向用来进行检验的身份供应商IdP1发送一个或多个其它期望的ASProf，或可以和其他用来进行检验的身份供应商IdP1取得联系或者终止此验证。如果一个或多个推荐的可选择的ASProf之中至少有一个可以接受，服务供应商SP就用消息5b向身份供应商IdP1发送对至少一个推荐的可选择的ASProf的批准。如果多个推荐的可选择的ASProf都可以接受，服务供应商SP就选择多个ASProf之一，之后发送对选取的ASProf的批准，例如服务供应商SP可以检查收到的一个或多个推荐的可选择的ASProf并在发现第一个ASProf可以接受以后停止检查。这个ASProf由服务供应商SP批准并且把批准这个ASProf的指示发送给身份供应商IdP1。对于批准了的ASProf，身份供应商IdP1用结合图3所述的处理和消息3a-3d继续进行处理。
如上面结合图3-5所述，服务供应商SP想要身份供应商IdP1使用一个或多个ASProf意味着把期望的一个或多个ASProf发送给身份供应商IdP1。然而，服务供应商SP不必向身份供应商IdP1发送一个或多个期望的ASProf来请求验证。取而代之，服务供应商SP可以请求从身份供应商IdP1发送一个所支持的ASProf的列表。这在图6中示出。服务供应商SP用消息62a向身份供应商IdP1发送用户身份并请求验证。身份供应商IdP1用带有身份供应商IdP1所支持的ASProf的列表的消息62b来响应。服务供应商SP在处理62c中检查此列表并从列表中选择一个可以接受的ASProf。用消息62d向身份供应商IdP1发送选取的ASProf(作为指示的一个示范)或选取的ASProf的指示。发送选取的ASProf(作为指示的一个示范)或指示可以再补充以用户身份，用于使选取的ASProf与用消息62a发送的验证请求相关联。身份供应商IdP1可以在处理63a中检查对选取的ASProf来说是否有必要进行凭证检验，用结合图3所述的处理和消息3a-3d来继续处理。
通过发送各个具有或不具有体现安全强度等级的关系的ASProf可以完成ASProf的发送。可以发送各个ASProf或者ASProf和关于ASProf之间关系的信息。比如，就结合图1和2所述的图形表示法来说，可以发送整个图形和图形的各个部分，像ASProf和箭头。ASProf的发送者例如服务供应商SP可以规定哪些ASProf是想要接收者使用的，例如身份供应商IdP1。特别地，如果接收者不支持期望ASProf中的任何一个，接收者可以在图形上从期望的ASProf开始导航以查看是否他能支持一个ASProf，这一个ASProf被认可为强度大于或等于期望的ASProf，如果关于ASProf之间关系的信息是接收者可以得到的。当导航通过接收者已知的图形或图形的各个部分时，接收者可以选择至少一个强度大于或等于的ASProf，以满足发送者期望的ASProf的强度上的要求。
对于导航的相应示范在图7中描述，其中服务供应商SP用消息72向用来进行验证的身份供应商IdP1发送整个ASProf图形或其中一部分、对期望的ASProf的指示和用户身份。不发送整个图形，服务供应商SP能够只发送图形中包括强度大于或等于期望的ASProf的ASProf的那部分，例如从而降低发送努力或者从而不给身份供应商IdP1提供这个验证不可用的信息。身份供应商IdP1在处理73a中检查期望的ASProf是否被支持。如果它不被支持，身份供应商IdP1在处理73a中通过导航搜索从SP接收的图形来检查是否有更强的ASProf(如图7中所绘)或强度相等的ASProf被支持。如果强度大于或等于而且与不被支持的期望的ASProf不同的至少一个ASProf是身份供应商IdP1所支持的，身份供应商IdP1就如结合图3所述(处理和消息3a-3c)那样在处理73a中检查检验用户凭证并请求用户发送它们是否必要。如果使用一个等强度或更强的ASProf并可选择地检验用户凭证，身份供应商IdP1就用消息73d向身份供应商IdP1发送一个进行用户验证的断言，其最好再补充上对所用的等强或更强的ASProf的指示。在允许客户机进行服务访问以前，服务供应商SP可以在处理73e中检查所用的ASProf是否是服务供应商SP可以接受的，例如是否遵照服务供应商SP的验证安全要求。
如上面所解释发送此图形或此图形的某些部分使推荐的方法在消息往返传播数量上更加有效，如果服务供应商SP和身份供应商IdP1共同分享至少在某种程度上相似的想法，这使ASProf强度大于或等于另一个ASProf，即他们共同分享关于ASProf和ASProf之间相对于验证安全强度上的关系的信息。此外，发送此图形有利于使服务供应商SP和身份供应商之间的消息往返传播数量最小，从而使验证服务快多了，同时还保证SP安全优选和优先级被察觉。
比如，如果服务供应商SP请求一个128比特的密钥长度，而身份供应商只能提供或64比特或256比特，那么服务供应商SP和身份供应商共同拥有这样一个观念，即256比特密钥比128比特密钥更强被服务供应商SP接受了。如果不是共同拥有这个观念，那么需要交换附加的消息直到服务供应商SP和身份供应商同意采用某个ASProf。如果不知道256比特密钥比128比特密钥更强这个关系，身份供应商就发送比如128比特密钥不被支持的一个指示给服务供应商SP。对于这种情况，服务供应商SP可以用被支持的256比特的可选择ASProf来响应。
一个ASProf强度是否大于或等于另一个ASProf这个共同拥有的观念可能是明显的也可能是隐含的。对隐含认同的示范是上面128比特对256比特的情况，意味着256比特通常可以理解为强于128比特。假设服务供应商SP在请求了128比特的时候发现256比特可以接受，不能提供128比特的身份供应商就用256比特代替并在ASProf中把这件事告知服务供应商SP。然而，如果服务供应商SP用了与身份供应商不同的ASProf强度的定义，身份供应商错误的假设导致附加的再次协商和附加的消息或者验证终止。一个示范是服务供应商SP和身份供应商之间共同拥有的明显观念与图2中给出的共同拥有的隐含观念相比更优选，在图2服务供应商SP定义了一个数字属性和被发觉的验证安全强度之间非单调的不被普遍认同的关系。
图8示出了一个验证，服务供应商SP用消息2发送一个包括期望的ASProf和用户身份的验证请求，但不发送其他关于SP的图形的信息。如处理83a中所示，身份供应商IdP1不支持期望的ASProf，并且它挑选一个可选择的ASProf。身份供应商在处理83a中检查是否有必要进行凭证检验。按照结合图3所给出的解释使用消息3b和3c来可选择验证用户凭证之后，用消息83d向SP发送进行用户验证的断言和所用的可选择的ASProf的指示给SP。服务供应商SP在处理83e中检查可选择的ASProf是否可以接受。如果此ASProf可以接受，就开始服务会话。为了挑选可选择的ASProf，ASProf可以使用它自己的表示法，例如通过使用自己的图形或假定的明显的表示法。然而，为了避免服务供应商SP发现可选择的ASProf不可接受，身份供应商IdP1最好使用服务供应商SP和身份供应商IdP1之间共同使用的表示法。在对于身份供应商IdP1所提供的验证服务注册服务供应商SP时可以提供反映根据服务供应商SP的顺序的图形。然而，对于特别情形除了期望的ASProf和用户身份没有其他信息是身份供应商IdP1可以得到的，身份供应商IdP1最好可以使用它自己的表示法，例如他自己的图形，或可以向身份供应商请求一个或多个被支持的ASProf，例如以图形的形式。
通过用关系把ASProf联系起来，可以创建几组ASProf。比如，通过用＝关系把所述数量的ASProf中的每一对联系起来从而形成一组有相等验证安全强度的ASProf，很多个ASProf被联系起来，例如如图2中所指示由具有3-6和11-20个字符的ASProf形成相等验证安全强度的一组。服务供应商可以通过从属于用来验证用户的某个组的ASProf之中选择一个来向身份供应商指示要使用属于这组的ASProf中的任何一个并向身份供应商发送选取的ASProf的指示，用来验证用户。如果身份供应商察觉到了指示的组，例如由于下述事实，由服务供应商SP向IdP或由后者向前者提供关于此组的特性的信息，即ASProf和他们的关系，身份供应商就可以基于指示从此组之中选择某个ASProf用来进行验证。如果服务供应商和身份供应商共同使用此组的同一个表示法，就可以使用一个组标识符向身份供应商指示此组。可以把各个组分级排序，例如把包括第一数目个ASProf的第一组相关联到第二组ASProf，并且身份供应商可以从一组导航搜索到另一组。为了检查执行验证所基于的那个ASProf是否与服务供应商的验证安全强度相匹配，所述验证安全简档所关联的组的指示可能是充分的。形成组的优点在于带有可比的特性的验证安全简档有了更好的可定标性和可管理性，其中可比的特性像可比的凭证类型、可比的创建或有效期。
作为另一种验证方法，服务供应商SP可以请求验证而不规定任何ASProf。在图9中描述了相应情形。服务供应商SP用消息62a向身份供应商IdP1发送一个包括用户身份的验证请求。身份供应商IdP1如处理93a中所指示那样使用它自己选择的ASProf，并且可选择地通过例如利用结合图3所解释的消息3b、3c来按照选取的ASProf执行凭证检验。然后，身份供应商IdP1用消息93d把所用的ASProf的指示或者所用的ASProf本身作为另一种形式的指示与验证的断言一起向服务供应商SP发送。然后服务供应商SP决定是否接受此验证，即在处理93e中检查所用的ASProf是否可以接受。
在下面两图10和11中说明了用来在服务会话期间由身份供应商向服务供应商SP更新用户验证的方法。按照图10，一个客户机参与服务会话。在利用对于服务供应商的服务第一次用户验证建立服务会话可以按照图3到9的说明来完成。在服务会话期间，客户机访问一个服务，此服务要求一个比已建立的会话更高的安全等级。对更高的安全等级的示范是可以通过5位数PIN码访问他在线银行账户的用户。然而，如果用户又想从他的银行账户授权一笔现金交易，就需要另外一个一次口令或者TAN。另一个示范，用户可以通过口令访问他个人化的web门户。门户上的一些服务往往是收费的。当用户在这样一个服务上点击时，需要使用连接到用户PC上的智能卡读出器进行验证。
服务供应商SP检测用消息102a从客户机向服务供应商SP发送的服务请求并选择一个ASProf，下文中被称为修正的ASProf，它满足更严格的要求，即修正的ASProf比第一次验证所用的ASProf更强。服务供应商SP用消息102b向身份供应商发送一个包括修正的ASProf和用户身份的验证请求并选择ASProf，此身份供应商不必与第一次验证所用的身份供应商相同。身份供应商IdP1在处理103a中检查它是否能够满足更强的ASProf要求。如果它能满足，身份供应商IdP1在处理103a中检查这个更强的ASProf是否需要重新检验用户凭证并且如果需要就用消息103b、103c完成这个检验。如图3中所示，可选择消息103b、103c可以用带内或频外通信交换这两个消息。然后如结合图3所述对于用消息103d从身份供应商IdP1向服务供应商SP发送的进行用户验证的断言继续进行处理。基于此断言，服务供应商SP可以允许访问要求升级ASProf的服务并且服务会话能够继续进行。不发送选取的ASProf(作为指示的一种形式)，而发送对选取的ASProf的指示像URI，例如当选取的ASProf是身份供应商IdP1已知的或者可访问的。如果第一次验证中所用的ASProf是身份供应商IdP1已知的，服务供应商SP就发送一个指示以便使用比第一次验证中所用的ASProf更强的ASProf。在这种情况下，身份供应商IdP1可以例如通过导航图形来执行对修正的ASProf的选择。最好，这个被用来升级验证的修正的ASProf被指示给服务供应商SP并被它批准用来升级验证。
图11示出由第一身份供应商IdP1建立起验证和服务会话并且客户机请求对要求更高安全等级的服务进行服务访问。服务供应商SP因而检测要求更高安全等级的用消息102a发送的服务请求并用消息102b向第一IdP发送包括修正的ASProf和用户身份的验证请求。第一身份供应商IdP1在处理113a1中检查收到的修正的ASProf并检测到修正的ASProf不被支持。因此，第一身份供应商IdP1用消息113b发送对修正的ASProf的拒绝和可选择的对第一身份供应商IdP1推荐的可选择的ASProf的拒绝。服务供应商SP可以在处理113c中检查可选择的ASProf并且会发现它们是不可接受的。可以把对此拒绝的响应发送给第一身份供应商IdP1来指示验证对于第一身份供应商IdP1来说被终止了。在这一点上，服务供应商SP可以使验证升级终止或者可以挑选第二身份供应商IdP2用来进行验证升级。如果有第二身份供应商IdP2可以用，就用消息112b向第二身份供应商IdP2发送另一个验证请求。另一个请求包括修正的ASProf和用户身份，后者可以与在第一身份供应商IdP1上用于第一次验证的用户身份完全相同或不同。第二身份供应商IdP2在处理113a2中检查修正的ASProf是否被支持。如果修正的ASProf不被支持，需要的话，例如通过利用带内或频外通信的消息113b、113c来执行用户凭证的检验。用消息113d向SP发送用户验证的断言。基于这个断言，服务供应商SP可以批准访问有更严格安全要求的服务，并且服务会话可以继续进行。
另一个示范性的升级情形是：用户由他的互联网服务供应商(ISP)有时也叫互联网接入供应商通过口令进行验证。在时间的某一刻上，用户想访问视频流服务，此服务往往是收费的而且要求更强的验证，例如用移动电话(用户身份模块/无线标识模块，SIM/WIM)作为验证令牌。服务供应商，即视频服务流服务的供应商，首先联系用来验证升级的ISP。ISP因为它一般不管理SIM和移动电话，可能只有简单口令列表不能满足更严格的ASProf。它可以向服务供应商推荐一个更弱的ASProf，但服务供应商拒绝。服务供应商然后联系用户的移动操作员，它是由客户机在初始的服务请求中规定为潜在的身份供应商的。作为身份供应商的移动操作员能够满足规定的ASProf，即要求拥有特定的SIM/WIM以及知道PIN代码。它发送更强的验证的断言给服务供应商，从而用户可以继续使用此流式服务。
无论何时从身份供应商向服务供应商发送ASProf，不必要每次都明显地全部写出ASProf的整套属性，反之亦然。相应地，不必完全发送ASProf之间的关系或全部图形。取而代之，为了减少交换的数据量可以使用参考(URI)以及更新，如下面所解释的。
一个ASProf可以由一系列片断(fragment)组成，每个都规定一个或多个属性，例如按照表A的XML描述与涉及<user_credentials>、<transport_layer_security>、<security_policies>和<user_registration>的片断作比较。来自各个片断的属性或者互相补充，即如果它们只在一个片断中出现或者互相覆盖，即如果它们在两个片断中都出现。在覆盖的情况下，需要基于片段的排序规定优先权法则，即后续片断覆盖先前的，或者相反。
参考例如最好是URI，可以被用来指向ASProf或指向片断，片断最好代表全部ASProf的语义子集，代替明显地全部拼写这个ASProf或片段的所有属性。使用参考使得提取数据和缓冲存储成为可能而且可以基本上减少往返发送的数据量。例如，当服务供应商频繁使用某个身份供应商时，该身份供应商在某个时间段使用同一个ASProf，不需要每次在所述的某个时间段内验证新用户的时候都在服务供应商和身份供应商之间明显地交换ASProf。
ASProf更新的使用可以进一步减少交换的数据量，意味着与已有的ASProf和较新的ASProf之间的差有关的Δ(delta)更新。更新ASProf是或者补充已有的ASProf或者覆盖其一些属性的较新的ASProf。还可能有更新片断或更新属性。比如，身份供应商使用口令检验对于服务供应商进行用户验证。对于某个用户交互，需要验证更新，其中与先前用的ASProf的唯一区别是给对于口令检验规定了更短的有效时间(time-to-live)。在这种情况下，相对于发送接收部件得完全提取和缓冲存储的新ASProf的参考，显然把参考发送给先前用的ASProf就有效得多，加上规定偏离有效时间属性的单一属性。
推荐的方法还体现在与服务供应商、身份供应商或者代理或客户设备相关的设备中，像服务器。这种设备包括用来接收消息M2的至少一个接收单元R、用来发送消息M1的发射单元和用来处理消息和信息的处理单元P，并且最好包括用于存储信息的数据库D。在图12中描绘了这种设备的范例，图中示出单元R、T、P、D和消息M1、M2和用来在各个单元R、T、P、D之间交换信息和消息的互连PR、PT、PD。设备DEV是服务供应商、身份供应商或者像客户设备这样的用户可以采用来实施此方法的设备的一个范例。
在用来执行验证方法的设备之间交换消息和信息的设备和链路在图13、14和15中分别对反信道、前信道和反/前混合信道通信给出范例。可以结合图12所绘所述构成这些设备。
图13示出客户机D12、服务供应商D10和身份供应商D11以及这三者之间的链路CON10、CON11、CON12，用来经由前信道通信对于服务供应商D10验证客户机D12。经由链路CON10来进行客户机D12和服务供应商D10之间的通信，经由链路CON11来进行服务供应商D10和身份供应商D11之间的通信，经由链路CON12来进行身份供应商D11和客户机D12之间的通信。经由链路CON10、CON11、CON12在这三者之间交换信息和消息的范例在例如图3中可以找到，即经由链路CON10的服务请求(消息1a)、验证请求(消息1b)、用户身份和身份供应商参考(消息1c)以及服务会话，经由链路CON11的期望的ASProf和用户身份(消息2)以及用户验证的断言(消息3d)，还有经由链路CON12的用户凭证请求(消息3d)和用户凭证递送(消息3d)。链路CON10、CON11、CON12可以但不必是固定连接，例如如果客户机D12是一部移动电话，就可以经由短消息业务(SMS)获得链路CON12。
图14示出客户机D22、服务供应商D20和身份供应商D21以及这三者之间的链路CON20、CON21，用来经由前信道通信把客户D22验证到服务供应商D20。对照图11，服务供应商D20和身份供应商D21之间不存在直接链路。取而代之，经由客户机D22在服务供应商D20和身份供应商D21之间实现通信。服务供应商D20和身份供应商D21之间交换的信息被客户机D22中继。经由链路CON20和CON21在这三者之间交换信息和消息的范例在例如图4中可以找到，即经由链路CON20发送服务请求(消息1a)、验证请求(消息1b)、用户身份和身份供应商参考(消息1c)以及服务会话。相应地，经由链路CON21发送用户凭证请求(消息3b)和用户凭证。然而，期望的ASProf和包含在验证请求中的用户身份(消息42a、42b)经由链路CON20和CON21从服务供应商D20经由客户机D22向身份供应商D21发送。为了经由链路CON20和CON21从身份供应商D21经由客户机D22向服务供应商D20发送的用户验证的断言(消息43d、43e)而实现相应的中继。
图15示出混合实现使用代理D31来赶超前信道实现。为了把客户机D33的用户验证到服务供应商D30的服务，客户机D33经由链路CON30向服务供应商D30发送服务请求。服务供应商D30经由链路C30用用户验证请求来响应客户机，客户机D33把用户身份和选择地将身份供应商D32的参考经由链路CON30提供给身份供应商D32。为了在服务供应商D30和身份供应商D32之间进行通信，例如为了发送用户身份和期望的ASProf或者为了用户验证的断言，把代理D31置于在服务供应商D30和身份供应商D32之间。从服务供应商D30到身份供应商D32的信息和反过来的信息可以使用连接CON31和CON32经由代理D31来发送。对于用户凭证请求和用户凭证的递送，可以使用链路CON35。选择地，链路CON34和链路CON34能够用于用户凭证的请求和传送。在代理D31和客户机D33之间经由链路CON34可以交换其他信息。
按照此发明的方法还体现在一个或多个计算机程序，这些计算机程序可装载到与服务供应商、身份供应商、代理或客户机相关的设备中。一个或多个计算机程序包括软件代码部分，以便实施上述方法。可以把一个或多个计算机程序存储在计算机可读媒体上。计算机可读媒体可以是服务器内部或外部的或者放在外面的永久性或可再写性存储器。还可以把计算机程序服务器例如作为信号序列经由电缆或无线链路转移到服务器。
推荐的方法适合用在像GPRS这样的2G和像UMTS这样的3G移动电信系统中。还可以应用于对像互联网这样的固定网络以及固定网络和无线网络的结合中的服务进行验证，无线网络包括无线局域网(WLAN)。用户可以采用移动和固定客户机终端。与服务供应商、身份供应商或代理相关的服务器一般在网络中是固定的。然而，可以把推荐的方法应用到运动着的非固定的客户机上。服务器的范例是个人计算机(PC)或膝上型电脑。
下面，对本发明优点的其中一些进行总结：
对于稳态验证安全策略在服务供应商和身份供应商之间不具有固定关系，此发明能够提供验证安全简档的特殊协商和升级。对于特殊协商，不需要关于ASProf的服务供应商和身份供应商之间任何在先协议。
而且，不同类型的服务和可能对于知道用户是他所宣称的那个人的确定性有非常不同的要求。同样地，不同的验证机制和安全基础结构提供了不同等级的确定性。推荐的方法支持这些不同等级的确定性，从而克服二元验证概念都有的限制。
另一优点是本发明提供了灵活模型，允许在服务供应商一方和在身份供应商一方的策略在传输过程中改变。如果策略和安全性特征改变，就可以最小化服务供应商和身份供应商之间的带外通信。
而且，此验证方法允许管理ASProf的复杂规定，即不同类型的属性像指纹辨别和口令可以相对于验证安全强度进行比较。而且，也可以协商不同属性的结合，以使此推荐的方法更通用。
还有，此验证方法使各个服务的服务供应商有权充当最终做出关于验证的决定的策略决定和策略强制点。对于这个服务供应商友好的情况，能够实施推荐的发明，从而身份供应商提供确认用户凭证的服务而且身份供应商最好只参与会话建立或者只用于验证更新。在会话期间对身份供应商没有别的要求，由此减少了身份供应商的负载及其会话管理的复杂性，并且与现有技术的具有中间身份供应商的验证方法相比改善了可缩放性。

Claims (37)

1.用于对服务供应商(SP)的服务验证用户的一种方法，包括以下步骤：
请求用户接入到服务供应商(SP)的服务，
服务供应商(SP)选择一个或多个验证安全简档，用于规定对服务验证用户的验证安全要求，
把一个或多个选取的验证安全简档的指示和识别用户的用户身份发送给身份供应商(IdP1)，以请求身份供应商(IdP1)验证用户，
基于用户身份和一个或多个选取的验证安全简档之一验证用户，以及
向服务供应商(SP)发送指示用户验证的断言。
2.按照权利要求1的方法，其中一个或多个验证安全简档包括用来规定验证安全要求的至少一个安全属性。
3.按照权利要求1或2的方法，其中服务供应商(SP)从一个或多个安全简档的一组中选择被指示为被身份供应商(IdP1)支持用于验证的一个或多个验证安全简档。
4.按照权利要求3的方法，其中服务供应商(SP)从身份供应商(IdP1)接收用于这组一个或多个被支持的安全简档的指示。
5.按照任何一项前面权利要求的方法，其中执行验证所基于的所述一个验证安全简档是由身份供应商(IdP1)从选取的验证安全简档中选择的。
6.按照任何一项前面权利要求的方法，其中一个或多个选取的验证安全简档利用一个或多个关系被关联到一个或多个其它的验证安全简档上，每个关系表示一个或多个选取的验证安全简档相对一个或多个其它的验证安全简档在验证安全强度上的排序，而且验证用户的步骤通过如下来执行：
由身份供应商(IdP1)选择与一个或多个选取的验证安全简档相比在验证安全强度上相等强度或更大强度相关联的一个或多个其它的验证安全简档之一，以及
基于选取的其他的验证安全简档来验证用户。
7.按照权利要求6的方法，其中服务供应商(SP)规定与一个或多个其它的验证安全简档的一个或多个关系，并且服务供应商(SP)把与一个或多个其它的验证安全简档的一个或多个关系的指示发送给身份供应商(IdP1)。
8.按照任何一项前面权利要求的方法，其中利用执行验证所基于的验证安全简档的指示来补充断言，并且由服务供应商(SP)检查指示的验证安全简档是否可以接受。
9.用于对服务供应商(SP)的服务验证用户的一种方法，包括以下步骤：
请求用户接入到服务供应商(SP)的服务，
把识别用户的用户身份发送给身份供应商(IdP1)，用于请求身份供应商(IdP1)验证用户，
基于用户身份和验证安全简档来验证用户，
把指示用户验证的断言发送给服务供应商(SP)，利用验证安全简档的指示来补充此断言，以及
服务供应商(SP)检查指示的验证安全简档是否可以接受。
10.按照任何一项前面权利要求的方法，进一步包括以下步骤：在服务供应商(SP)上接收来自用户设备的用户身份和身份供应商(IdP1)的参考，以响应从服务供应商(SP)向用户设备发送的验证请求。
11.按照任何一项前面权利要求的方法，进一步包括以下步骤：基于该断言准许访问服务。
12.按照权利要求8-10之中任何一项权利要求的方法，进一步包括以下步骤：基于断言和对可否接受的检查来准许访问服务。
13.按照任何一项前面权利要求的方法，进一步包括以下步骤：验证升级，基于至少一个其它的验证安全简档执行其它的验证来执行验证升级。
14.按照权利要求13的方法，其中验证升级包括改变为其它的身份供应商(IdP2)，用于基于其它的验证安全简档来执行其它的用户验证。
15.一种与服务供应商(SP)相关的设备，此设备包括用于接收消息的接收单元，用于发送消息的发射单元和用于处理消息与信息的处理单元，其中此设备适用于：
接收用户对服务供应商(SP)的服务的访问请求，
选择一个或多个验证安全简档，用于规定验证安全要求，以便对服务验证用户，
把一个或多个选取的验证安全简档的指示和识别用户的用户身份发送给身份供应商(IdP1)，用于请求身份供应商(IdP1)验证用户，以及
接收指示由身份供应商(IdP1)验证用户的断言。
16.按照权利要求15的设备，其中该设备适用于选择一个或多个验证安全简档，这一个或多个验证安全简档包括至少一个安全属性，用于规定验证安全要求。
17.按照权利要求15或16的设备，其中该设备适用于从一组安全简档中选择被指示为被身份供应商(IdP1)支持用于验证的一个或多个验证安全简档。
18.按照权利要求17的设备，其中该设备适用于从身份供应商(IdP1)接收用于这组一个或多个被支持的安全简档的指示。
19.按照权利要求15-18之一的设备，其中该设备适用于把一个或多个选取的验证安全简档关联到一个或多个其它的验证安全简档上，每个关系表示一个或多个选取的验证安全简档相对于一个或多个其它的验证安全简档在验证安全强度上的排序，并且此设备进一步适用于把与一个或多个其它的验证安全简档的至少一个或多个关系发送给身份供应商(IdP1)以便验证，其中一个或多个其它的验证安全简档在验证强度上被相等或更大强度相关联。
20.按照权利要求15-19之一的设备，其中该设备适用于接收由身份供应商(IdP1)执行用户验证所基于的验证安全简档的指示，并且此设备进一步适用于检查指示的验证安全简档是否可以接受。
21.一种与服务供应商(SP)相关的设备，此设备包括用于接收消息的接收单元、用于发送消息的发射单元和用于处理消息与信息的处理单元，其中此设备适用于：
接收用户对服务供应商(SP)的服务的访问请求，
把识别用户的用户身份发送给身份供应商(IdP1)，以请求身份供应商(IdP1)验证用户，
接收来自身份供应商(IdP1)的指示用户验证的断言，利用验证安全简档的指示来补充此断言，以及
检查指示的验证安全简档是否可以接受。
22.按照权利要求15-21之一的设备，其中该设备适用于接收来自用户设备的用户身份和身份供应商(IdP1)的参考，以响应从与服务供应商(SP)相关的设备向用户设备发送的验证请求。
23.按照权利要求15-22之一的设备，其中该设备适用于基于断言准许对服务的访问。
24.按照权利要求20-22之一的设备，其中该设备适用于基于断言和可否接受的检查来准许对服务的访问。
25.按照权利要求15-24之一的设备，其中该设备适用于基于其它的验证安全简档根据其它的验证执行验证升级。
26.按照权利要求15-25之一的设备，其中该设备适用于为了验证升级而改变为其它的身份供应商(IdP2)，以便执行其它的验证。
27.一种与身份供应商(IdP1)相关的设备，此设备包括用于接收消息的接收单元、用于发送消息的发射单元和用于处理消息与信息的处理单元，其中此设备适用于：
接收用户验证的请求，此请求包括对于身份供应商(IdP1)识别用户的用户身份和用于一个或多个验证安全简档的指示，这一个或多个验证安全简档规定服务供应商(SP)的验证安全要求，用于对于服务供应商(SP)的服务验证用户，
基于用户身份和一个或多个验证安全简档之一来验证用户，以及
向服务供应商(SP)发送指示用户验证的断言。
28.按照权利要求27的设备，其中该设备适用于在执行验证所基于的一个验证安全简档中包括的至少一个安全属性的基础上验证用户。
29.按照权利要求27或28的设备，其中该设备适用于把被身份供应商(IdP1)支持用于验证的一组一个或多个安全简档的指示发送给服务供应商(SP)。
30.按照权利要求27-29之一的设备，其中该设备适用于从验证安全简档中选择执行验证所基于的所述一个验证安全简档。
31.按照权利要求27-30之一的设备，其中利用一个或多个关系把一个或多个验证安全简档和一个或多个其它的验证安全简档相关联，每个关系表示一个或多个验证安全简档相对于一个或多个其它的验证安全简档在验证强度上的排序，并且其中此设备适用于通过选择一个或多个其它的验证简档之一并通过基于选取的其它的验证安全简档验证用户来执行用户的验证，其中这一个或多个其它的验证简档与一个或多个验证安全简档相比在验证安全强度上被相等或更强相关联。
32.按照权利要求31的设备，其中该设备适用于从服务供应商(SP)接收与一个或多个其它的验证安全简档的一个或多个关系的指示。
33.按照权利要求27-32之一的设备，其中该设备适用于利用执行验证所基于的验证安全简档的指示来补充断言。
34.与身份供应商(IdP1)相关的一种设备，此设备包括用于接收消息的接收单元、用于发送消息的发射单元和用于处理消息与信息的处理单元，其中此设备适用于：
接收验证用户的请求，此请求包括相对于身份供应商(IdP1)识别用户的用户身份，
基于用户身份和验证安全简档来验证用户，以及
向服务供应商(SP)发送指示用户验证的断言，利用执行用户验证所基于的验证安全简档的指示来补充此断言。
35.按照权利要求27-34之一的设备，其中该设备适用于执行验证升级，验证升级是以根据其它的验证安全简档以其它的验证为基础的。
36.一种计算机程序，可载入与服务供应商(SP)相关的设备中，此计算机程序包括适用于执行权利要求1-14之一的方法的步骤之中涉及服务供应商(SP)的任何步骤的代码。
37.一种计算机程序，可载入与身份供应商(IdP1)相关的设备中，此计算机程序包括适用于执行权利要求1-14之一的方法的步骤中涉及身份供应商(IdP1)的任何步骤的代码。
CN038118653A 2002-05-24 2003-05-23 用于对服务供应商的服务验证用户的方法 Expired - Fee Related CN1656773B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
EP02011440 2002-05-24
EP02011440.1 2002-05-24
PCT/EP2003/005421 WO2003100544A2 (en) 2002-05-24 2003-05-23 Method for authenticating a user to a service of a service provider

Publications (2)

Publication Number Publication Date
CN1656773A true CN1656773A (zh) 2005-08-17
CN1656773B CN1656773B (zh) 2010-04-28

Family

ID=29558288

Family Applications (1)

Application Number Title Priority Date Filing Date
CN038118653A Expired - Fee Related CN1656773B (zh) 2002-05-24 2003-05-23 用于对服务供应商的服务验证用户的方法

Country Status (9)

Country Link
US (2) US20060053296A1 (zh)
EP (1) EP1508236B1 (zh)
JP (1) JP4668610B2 (zh)
KR (1) KR100989487B1 (zh)
CN (1) CN1656773B (zh)
AT (1) ATE367043T1 (zh)
AU (1) AU2003245887A1 (zh)
DE (1) DE60314871T2 (zh)
WO (1) WO2003100544A2 (zh)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2010034209A1 (zh) * 2008-09-28 2010-04-01 华为技术有限公司 一种安全状态重评估的方法、系统及装置
CN101291220B (zh) * 2007-04-16 2010-08-18 华为技术有限公司 一种身份安全认证的系统、装置及方法
WO2011131002A1 (zh) * 2010-04-22 2011-10-27 中兴通讯股份有限公司 身份管理方法及系统
CN101730100B (zh) * 2009-03-17 2012-11-28 中兴通讯股份有限公司 身份提供实体授权服务的监管方法以及监管实体
CN102812662A (zh) * 2010-03-29 2012-12-05 英特尔公司 用于管理员驱动的简表更新的方法和设备
CN107171941A (zh) * 2017-06-01 2017-09-15 来三斤（厦门）网络科技有限公司 一种分享和社交模式的互联网供应链平台，方法和装置

Families Citing this family (233)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8026229B2 (en) 2001-08-13 2011-09-27 Sterix Limited Antitumor-active 2-alkoxyestradiol sulfamates
US7370347B2 (en) * 2003-06-27 2008-05-06 Sap Ag Authentication scheme system and method
US7526541B2 (en) * 2003-07-29 2009-04-28 Enterasys Networks, Inc. System and method for dynamic network policy management
EP1569405A1 (en) * 2004-02-27 2005-08-31 Telefonaktiebolaget LM Ericsson (publ) Technique for creation and linking of communications network user accounts
WO2005086005A1 (en) * 2004-03-05 2005-09-15 Secure Systems Limited Partition access control system and method for controlling partition access
US8914518B2 (en) * 2004-04-23 2014-12-16 International Business Machines Corporation Intermediary for satisfying a service requirement established by a service provider
US20050262100A1 (en) * 2004-05-19 2005-11-24 Bea Systems, Inc. System and method for context propagation in application servers and transaction-based systems
ES2264853B1 (es) * 2004-06-24 2007-12-16 Vodafone España, S.A. Sistema y metodo de asercion de identidades en una red de telecomunicaciones.
US8499153B2 (en) * 2004-06-24 2013-07-30 Nokia Corporation System and method of authenticating a user to a service provider
US7336773B2 (en) * 2004-07-21 2008-02-26 Nokia, Inc. Method and system for multi-mode communication with sender authentication
US20060059340A1 (en) * 2004-09-10 2006-03-16 Eldenmalm Jan P Method and system for dynamic authentication and authorization
US7613919B2 (en) * 2004-10-12 2009-11-03 Bagley Brian B Single-use password authentication
KR100639993B1 (ko) * 2004-12-07 2006-10-31 한국전자통신연구원 사용자 식별자 갱신 방법 및 그 시스템
GB2422218B (en) * 2005-01-14 2009-12-23 Hewlett Packard Development Co Provision of services over a common delivery platform such as a mobile telephony network
US20060161616A1 (en) * 2005-01-14 2006-07-20 I Anson Colin Provision of services over a common delivery platform such as a mobile telephony network
GB2422217B (en) 2005-01-14 2009-12-23 Hewlett Packard Development Co Provision of services over a common delivery platform such as a mobile telephony network
US7784092B2 (en) * 2005-03-25 2010-08-24 AT&T Intellectual I, L.P. System and method of locating identity providers in a data network
EP1710969A1 (en) * 2005-04-08 2006-10-11 Siemens Aktiengesellschaft A method and system for enabling a first party to provide a second party with personalized digital content
US7657746B2 (en) * 2005-04-22 2010-02-02 Microsoft Corporation Supporting statements for credential based access control
US7825543B2 (en) 2005-07-12 2010-11-02 Massachusetts Institute Of Technology Wireless energy transfer
CN101258658B (zh) 2005-07-12 2012-11-14 麻省理工学院 无线非辐射能量传递
US7814330B2 (en) * 2005-08-01 2010-10-12 Oracle International Corporation Method and apparatus for facilitating multi-level computer system authentication
FR2891677A1 (fr) 2005-10-05 2007-04-06 France Telecom Procede d'authentification d'un client, fournisseurs d'identites et de services, signaux de requete d'authentification et d'assertion d'authentification, et programmes d'ordinateur correspondants
US7797734B2 (en) * 2005-10-27 2010-09-14 Aurora Financial Systems, Inc. Systems and methods for user interface control
US7784085B2 (en) * 2005-12-08 2010-08-24 Oracle America, Inc. Enabling identity information exchange between circles of trust
WO2007085175A1 (fr) * 2006-01-24 2007-08-02 Huawei Technologies Co., Ltd. Procédé, système d'authentification et centre d'authentification reposant sur des communications de bout en bout dans le réseau mobile
US20080028453A1 (en) * 2006-03-30 2008-01-31 Thinh Nguyen Identity and access management framework
US20070255953A1 (en) * 2006-04-28 2007-11-01 Plastyc Inc. Authentication method and apparatus between an internet site and on-line customers using customer-specific streamed audio or video signals
FR2901436B1 (fr) 2006-05-19 2008-07-04 Airbus France Sas Dispositif de reception de messages, en particulier dans le cadre d'echanges securises de donnees, aeronef et procede associes
US8417791B1 (en) * 2006-06-30 2013-04-09 Google Inc. Hosted calling service
JP4611946B2 (ja) * 2006-08-10 2011-01-12 日本電信電話株式会社 利用者回線認証システム、利用者回線認証方法および利用者回線認証プログラム
US8707409B2 (en) 2006-08-22 2014-04-22 Interdigital Technology Corporation Method and apparatus for providing trusted single sign-on access to applications and internet-based services
US8418235B2 (en) * 2006-11-15 2013-04-09 Research In Motion Limited Client credential based secure session authentication method and apparatus
US8375360B2 (en) 2006-11-22 2013-02-12 Hewlett-Packard Development Company, L.P. Provision of services over a common delivery platform such as a mobile telephony network
US8689296B2 (en) * 2007-01-26 2014-04-01 Microsoft Corporation Remote access of digital identities
US8590027B2 (en) * 2007-02-05 2013-11-19 Red Hat, Inc. Secure authentication in browser redirection authentication schemes
EP2116000B1 (fr) * 2007-02-28 2017-05-17 Orange Procéée d'authentification unique d'un utilisateur auprès de fournisseurs de service
US20080222714A1 (en) * 2007-03-09 2008-09-11 Mark Frederick Wahl System and method for authentication upon network attachment
US7870597B2 (en) * 2007-04-10 2011-01-11 Symantec Corporation Method and apparatus for managing digital identities through a single interface
DE102008013079B4 (de) 2007-03-28 2024-03-21 NortonLifeLock Inc. Verfahren und Anordnung zur Verwaltung digitaler Identitäten über eine einzige Schnittstelle
US8572716B2 (en) 2007-04-23 2013-10-29 Microsoft Corporation Integrating operating systems with content offered by web based entities
US8115448B2 (en) 2007-06-01 2012-02-14 Michael Sasha John Systems and methods for wireless power
US9421388B2 (en) 2007-06-01 2016-08-23 Witricity Corporation Power generation for implantable devices
US9003488B2 (en) 2007-06-06 2015-04-07 Datavalet Technologies System and method for remote device recognition at public hotspots
WO2008148191A2 (en) * 2007-06-06 2008-12-11 Boldstreet Inc. Remote service access system and method
US20140355592A1 (en) 2012-11-01 2014-12-04 Datavalet Technologies System and method for wireless device detection, recognition and visit profiling
US8965992B2 (en) 2007-07-27 2015-02-24 Blackberry Limited Apparatus and methods for coordination of wireless systems
FI121646B (fi) * 2007-08-08 2011-02-15 Teliasonera Finland Oyj Menetelmä ja järjestelmä käyttäjäidentiteetin hallintaan
US20090064291A1 (en) * 2007-08-28 2009-03-05 Mark Frederick Wahl System and method for relaying authentication at network attachment
US20090089870A1 (en) * 2007-09-28 2009-04-02 Mark Frederick Wahl System and method for validating interactions in an identity metasystem
GB2456290B (en) * 2007-10-05 2011-03-30 Iti Scotland Ltd Distributed protocol for authorisation
US9471801B2 (en) * 2007-11-29 2016-10-18 Oracle International Corporation Method and apparatus to support privileges at multiple levels of authentication using a constraining ACL
NO327152B1 (no) * 2007-12-19 2009-05-04 Fast Search & Transfer Asa Fremgangsmåte for å forbedre sikkerhet i prosedyrer for innlogging og tjenesteaksess
WO2009092105A2 (en) 2008-01-18 2009-07-23 Tekelec Systems, methods and computer readable media for application-level authentication of messages in a telecommunications network
CN101247223B (zh) * 2008-03-06 2010-06-09 西安西电捷通无线网络通信有限公司 一种基于可信第三方的实体双向鉴别方法
US8990896B2 (en) 2008-06-24 2015-03-24 Microsoft Technology Licensing, Llc Extensible mechanism for securing objects using claims
US8250635B2 (en) * 2008-07-13 2012-08-21 International Business Machines Corporation Enabling authentication of openID user when requested identity provider is unavailable
US20100077457A1 (en) * 2008-09-23 2010-03-25 Sun Microsystems, Inc. Method and system for session management in an authentication environment
US9601261B2 (en) 2008-09-27 2017-03-21 Witricity Corporation Wireless energy transfer using repeater resonators
US9160203B2 (en) 2008-09-27 2015-10-13 Witricity Corporation Wireless powered television
US8482158B2 (en) 2008-09-27 2013-07-09 Witricity Corporation Wireless energy transfer using variable size resonators and system monitoring
US9093853B2 (en) 2008-09-27 2015-07-28 Witricity Corporation Flexible resonator attachment
US9577436B2 (en) 2008-09-27 2017-02-21 Witricity Corporation Wireless energy transfer for implantable devices
US9105959B2 (en) 2008-09-27 2015-08-11 Witricity Corporation Resonator enclosure
US20110074346A1 (en) * 2009-09-25 2011-03-31 Hall Katherine L Vehicle charger safety system and method
US8598743B2 (en) 2008-09-27 2013-12-03 Witricity Corporation Resonator arrays for wireless energy transfer
US8772973B2 (en) 2008-09-27 2014-07-08 Witricity Corporation Integrated resonator-shield structures
US9318922B2 (en) 2008-09-27 2016-04-19 Witricity Corporation Mechanically removable wireless power vehicle seat assembly
US9396867B2 (en) 2008-09-27 2016-07-19 Witricity Corporation Integrated resonator-shield structures
US20110043049A1 (en) * 2008-09-27 2011-02-24 Aristeidis Karalis Wireless energy transfer with high-q resonators using field shaping to improve k
US9035499B2 (en) 2008-09-27 2015-05-19 Witricity Corporation Wireless energy transfer for photovoltaic panels
US9515494B2 (en) 2008-09-27 2016-12-06 Witricity Corporation Wireless power system including impedance matching network
US9106203B2 (en) * 2008-09-27 2015-08-11 Witricity Corporation Secure wireless energy transfer in medical applications
US9544683B2 (en) 2008-09-27 2017-01-10 Witricity Corporation Wirelessly powered audio devices
US9601270B2 (en) 2008-09-27 2017-03-21 Witricity Corporation Low AC resistance conductor designs
US8643326B2 (en) 2008-09-27 2014-02-04 Witricity Corporation Tunable wireless energy transfer systems
US8907531B2 (en) 2008-09-27 2014-12-09 Witricity Corporation Wireless energy transfer with variable size resonators for medical applications
US8963488B2 (en) 2008-09-27 2015-02-24 Witricity Corporation Position insensitive wireless charging
US8928276B2 (en) 2008-09-27 2015-01-06 Witricity Corporation Integrated repeaters for cell phone applications
US8497601B2 (en) 2008-09-27 2013-07-30 Witricity Corporation Wireless energy transfer converters
US9246336B2 (en) 2008-09-27 2016-01-26 Witricity Corporation Resonator optimizations for wireless energy transfer
US8922066B2 (en) 2008-09-27 2014-12-30 Witricity Corporation Wireless energy transfer with multi resonator arrays for vehicle applications
US8946938B2 (en) 2008-09-27 2015-02-03 Witricity Corporation Safety systems for wireless energy transfer in vehicle applications
US8957549B2 (en) 2008-09-27 2015-02-17 Witricity Corporation Tunable wireless energy transfer for in-vehicle applications
US8901779B2 (en) 2008-09-27 2014-12-02 Witricity Corporation Wireless energy transfer with resonator arrays for medical applications
US8901778B2 (en) 2008-09-27 2014-12-02 Witricity Corporation Wireless energy transfer with variable size resonators for implanted medical devices
US20100277121A1 (en) * 2008-09-27 2010-11-04 Hall Katherine L Wireless energy transfer between a source and a vehicle
US20100259110A1 (en) * 2008-09-27 2010-10-14 Kurs Andre B Resonator optimizations for wireless energy transfer
US9065423B2 (en) 2008-09-27 2015-06-23 Witricity Corporation Wireless energy distribution system
US8912687B2 (en) 2008-09-27 2014-12-16 Witricity Corporation Secure wireless energy transfer for vehicle applications
US8947186B2 (en) * 2008-09-27 2015-02-03 Witricity Corporation Wireless energy transfer resonator thermal management
US9601266B2 (en) 2008-09-27 2017-03-21 Witricity Corporation Multiple connected resonators with a single electronic circuit
US9744858B2 (en) 2008-09-27 2017-08-29 Witricity Corporation System for wireless energy distribution in a vehicle
US9184595B2 (en) 2008-09-27 2015-11-10 Witricity Corporation Wireless energy transfer in lossy environments
US8937408B2 (en) 2008-09-27 2015-01-20 Witricity Corporation Wireless energy transfer for medical applications
US8933594B2 (en) 2008-09-27 2015-01-13 Witricity Corporation Wireless energy transfer for vehicles
US8362651B2 (en) 2008-10-01 2013-01-29 Massachusetts Institute Of Technology Efficient near-field wireless energy transfer using adiabatic system variations
WO2010040393A1 (en) * 2008-10-08 2010-04-15 Nokia Siemens Networks Oy Method for providing access to a service
WO2010063091A2 (en) 2008-11-04 2010-06-10 Securekey Technologies Inc. System and methods for online authentication
AT507759B1 (de) * 2008-12-02 2013-02-15 Human Bios Gmbh Anforderungsbasiertes personenidentifikationsverfahren
JP5161053B2 (ja) * 2008-12-11 2013-03-13 日本電信電話株式会社 ユーザ認証方法、ユーザ認証システム、サービス提供装置、及び認証制御装置
JP5302665B2 (ja) * 2008-12-25 2013-10-02 日本電信電話株式会社 認証サーバ提示方法、サービス提供システム、サービス提供装置、およびサービス提供プログラム
JP2010157012A (ja) * 2008-12-26 2010-07-15 Nippon Telegr & Teleph Corp <Ntt> 認証システム、ユーザ端末接続サーバ装置、ユーザ端末装置、これらのプログラム
US9209994B2 (en) * 2008-12-31 2015-12-08 Sybase, Inc. System and method for enhanced application server
US8380989B2 (en) 2009-03-05 2013-02-19 Sybase, Inc. System and method for second factor authentication
US8903434B2 (en) * 2008-12-31 2014-12-02 Sybase, Inc. System and method for message-based conversations
US9100222B2 (en) * 2008-12-31 2015-08-04 Sybase, Inc. System and method for mobile user authentication
WO2010090664A1 (en) * 2009-02-05 2010-08-12 Wwpass Corporation Centralized authentication system with safe private data storage and method
EP2485453B1 (en) 2009-02-19 2016-04-20 SecureKey Technologies Inc. Method for online authentication
US10764748B2 (en) * 2009-03-26 2020-09-01 Qualcomm Incorporated Apparatus and method for user identity authentication in peer-to-peer overlay networks
US20100248779A1 (en) * 2009-03-26 2010-09-30 Simon Phillips Cardholder verification rule applied in payment-enabled mobile telephone
US8370509B2 (en) * 2009-04-09 2013-02-05 Alcatel Lucent Identity management services provided by network operator
US7690032B1 (en) 2009-05-22 2010-03-30 Daon Holdings Limited Method and system for confirming the identity of a user
US9066227B2 (en) 2009-07-17 2015-06-23 Datavalet Technologies Hotspot network access system and method
US7685629B1 (en) 2009-08-05 2010-03-23 Daon Holdings Limited Methods and systems for authenticating users
US7865937B1 (en) 2009-08-05 2011-01-04 Daon Holdings Limited Methods and systems for authenticating users
US8443202B2 (en) 2009-08-05 2013-05-14 Daon Holdings Limited Methods and systems for authenticating users
CN101645776B (zh) 2009-08-28 2011-09-21 西安西电捷通无线网络通信股份有限公司 一种引入在线第三方的实体鉴别方法
CN101674182B (zh) 2009-09-30 2011-07-06 西安西电捷通无线网络通信股份有限公司 引入在线可信第三方的实体公钥获取、证书验证及鉴别的方法及系统
CA2782713C (en) * 2009-12-01 2018-05-01 Securekey Technologies Inc. System and methods for identity attribute validation
US9129086B2 (en) 2010-03-04 2015-09-08 International Business Machines Corporation Providing security services within a cloud computing environment
US9246915B2 (en) * 2010-03-19 2016-01-26 Appbanc, Llc Streaming media for portable devices
US8826030B2 (en) * 2010-03-22 2014-09-02 Daon Holdings Limited Methods and systems for authenticating users
US8326266B2 (en) * 2010-05-25 2012-12-04 Telefonaktiebolaget Lm Ericsson (Publ) Redundant credentialed access to a secured network
US9602168B2 (en) 2010-08-31 2017-03-21 Witricity Corporation Communication in wireless energy transfer systems
US20120084844A1 (en) * 2010-09-30 2012-04-05 Jeremy Ray Brown Federation credential reset
US8689004B2 (en) 2010-11-05 2014-04-01 Microsoft Corporation Pluggable claim providers
KR20140037276A (ko) * 2011-03-23 2014-03-26 인터디지탈 패튼 홀딩스, 인크 네트워크 통신 보호 시스템 및 방법
US10168413B2 (en) 2011-03-25 2019-01-01 T-Mobile Usa, Inc. Service enhancements using near field communication
US9600679B2 (en) * 2011-04-29 2017-03-21 Micro Focus Software Inc. Techniques for resource operation based on usage, sharing, and recommendations with modular authentication
TW201306610A (zh) * 2011-06-28 2013-02-01 Interdigital Patent Holdings 驗證協定之自動協商及選擇
US9948145B2 (en) 2011-07-08 2018-04-17 Witricity Corporation Wireless power transfer for a seat-vest-helmet system
CN103858457B (zh) * 2011-08-01 2018-11-13 英特尔公司 用于身份提供商(IdP)漫游/代理的多跳单点登录(SSO)
CN102916933A (zh) * 2011-08-03 2013-02-06 腾讯科技（深圳）有限公司 通过第三方网站进行注册或登陆的方法和系统
CA2844062C (en) 2011-08-04 2017-03-28 Witricity Corporation Tunable wireless power architectures
US10044713B2 (en) 2011-08-19 2018-08-07 Interdigital Patent Holdings, Inc. OpenID/local openID security
US9824199B2 (en) 2011-08-25 2017-11-21 T-Mobile Usa, Inc. Multi-factor profile and security fingerprint analysis
US8832798B2 (en) * 2011-09-08 2014-09-09 International Business Machines Corporation Transaction authentication management including authentication confidence testing
US8590018B2 (en) 2011-09-08 2013-11-19 International Business Machines Corporation Transaction authentication management system with multiple authentication levels
WO2013036947A2 (en) 2011-09-09 2013-03-14 Witricity Corporation Foreign object detection in wireless energy transfer systems
US20130062966A1 (en) 2011-09-12 2013-03-14 Witricity Corporation Reconfigurable control architectures and algorithms for electric vehicle wireless energy transfer systems
KR101310208B1 (ko) * 2011-10-13 2013-09-24 서울여자대학교 산학협력단 보안 요구사항의 우선순위 결정 방법
US9318257B2 (en) 2011-10-18 2016-04-19 Witricity Corporation Wireless energy transfer for packaging
AU2012332131A1 (en) 2011-11-04 2014-05-22 Witricity Corporation Wireless energy transfer modeling tool
JP2015508987A (ja) 2012-01-26 2015-03-23 ワイトリシティ コーポレーションＷｉｔｒｉｃｉｔｙ Ｃｏｒｐｏｒａｔｉｏｎ 減少した場を有する無線エネルギー伝送
US9031539B2 (en) * 2012-04-12 2015-05-12 At&T Intellectual Property I, L.P. Anonymous customer reference client
US8718607B2 (en) 2012-04-12 2014-05-06 At&T Intellectual Property I, L.P. Anonymous customer reference services enabler
US8682385B2 (en) 2012-05-11 2014-03-25 International Business Machines Corporation Managing third party transactions at a mobile operator
US8850187B2 (en) * 2012-05-17 2014-09-30 Cable Television Laboratories, Inc. Subscriber certificate provisioning
JP6066586B2 (ja) * 2012-05-22 2017-01-25 キヤノン株式会社 情報処理システム、その制御方法、およびそのプログラム。
US9172694B2 (en) * 2012-05-22 2015-10-27 International Business Machines Corporation Propagating delegated authorized credentials through legacy systems
US9343922B2 (en) 2012-06-27 2016-05-17 Witricity Corporation Wireless energy transfer for rechargeable batteries
TW201417598A (zh) 2012-07-13 2014-05-01 Interdigital Patent Holdings 安全性關聯特性
US9203829B1 (en) * 2012-07-18 2015-12-01 Google Inc. Unified user login
US9287607B2 (en) 2012-07-31 2016-03-15 Witricity Corporation Resonator fine tuning
US8745718B1 (en) 2012-08-20 2014-06-03 Jericho Systems Corporation Delivery of authentication information to a RESTful service using token validation scheme
US10084595B2 (en) 2012-08-24 2018-09-25 At&T Intellectual Property I, L.P. Algorithm-based anonymous customer references
US9595378B2 (en) 2012-09-19 2017-03-14 Witricity Corporation Resonator enclosure
US9442778B2 (en) * 2012-10-01 2016-09-13 Salesforce.Com, Inc. Method and system for secured inter-application communication in mobile devices
WO2014063159A2 (en) 2012-10-19 2014-04-24 Witricity Corporation Foreign object detection in wireless energy transfer systems
JP6255858B2 (ja) * 2012-10-31 2018-01-10 株式会社リコー システム及びサービス提供装置
US9449757B2 (en) 2012-11-16 2016-09-20 Witricity Corporation Systems and methods for wireless power system with improved performance and/or ease of use
US8898769B2 (en) 2012-11-16 2014-11-25 At&T Intellectual Property I, Lp Methods for provisioning universal integrated circuit cards
US20140181939A1 (en) * 2012-12-14 2014-06-26 United States Postal Service Cloud computing exchange for identity proofing and validation
US9411925B2 (en) * 2014-04-14 2016-08-09 Lenovo Enterprise Solutions (Singapore) Pte. Ltd. Simultaneously viewing multi paired schematic and layout windows on printed circuit board (PCB) design software and tools
JP2016534698A (ja) 2013-08-14 2016-11-04 ワイトリシティ コーポレーションＷｉｔｒｉｃｉｔｙ Ｃｏｒｐｏｒａｔｉｏｎ インピーダンス同調
US9036820B2 (en) 2013-09-11 2015-05-19 At&T Intellectual Property I, Lp System and methods for UICC-based secure communication
US9319419B2 (en) * 2013-09-26 2016-04-19 Wave Systems Corp. Device identification scoring
US9208300B2 (en) * 2013-10-23 2015-12-08 At&T Intellectual Property I, Lp Apparatus and method for secure authentication of a communication device
US9240994B2 (en) 2013-10-28 2016-01-19 At&T Intellectual Property I, Lp Apparatus and method for securely managing the accessibility to content and applications
US9231940B2 (en) * 2013-12-16 2016-01-05 Verizon Patent And Licensing Inc. Credential linking across multiple services
US9780573B2 (en) 2014-02-03 2017-10-03 Witricity Corporation Wirelessly charged battery system
WO2015123614A2 (en) 2014-02-14 2015-08-20 Witricity Corporation Object detection for wireless energy transfer systems
JP6201835B2 (ja) * 2014-03-14 2017-09-27 ソニー株式会社 情報処理装置、情報処理方法及びコンピュータプログラム
JP6287401B2 (ja) * 2014-03-18 2018-03-07 富士ゼロックス株式会社 中継装置、システム及びプログラム
WO2015150006A1 (en) * 2014-03-31 2015-10-08 Deutsche Telekom Ag Method and system for protecting and/or anonymizing a user identity and/or user data of a subscriber of a data protection service, mobile communication network, program and computer program product
WO2015161035A1 (en) 2014-04-17 2015-10-22 Witricity Corporation Wireless power transfer systems with shield openings
US9842687B2 (en) 2014-04-17 2017-12-12 Witricity Corporation Wireless power transfer systems with shaped magnetic components
US11297059B2 (en) * 2014-04-25 2022-04-05 Adobe Inc. Facilitating user-centric identity management
US9837860B2 (en) 2014-05-05 2017-12-05 Witricity Corporation Wireless power transmission systems for elevators
EP3140680B1 (en) 2014-05-07 2021-04-21 WiTricity Corporation Foreign object detection in wireless energy transfer systems
US9954375B2 (en) 2014-06-20 2018-04-24 Witricity Corporation Wireless power transfer systems for surfaces
US9264419B1 (en) * 2014-06-26 2016-02-16 Amazon Technologies, Inc. Two factor authentication with authentication objects
US10574091B2 (en) 2014-07-08 2020-02-25 Witricity Corporation Enclosures for high power wireless power transfer systems
US9842688B2 (en) 2014-07-08 2017-12-12 Witricity Corporation Resonator balancing in wireless power transfer systems
JP6404928B2 (ja) * 2014-07-28 2018-10-17 エンクリプティア株式会社 ユーザ情報管理システム、及びユーザ情報管理方法
US20160088093A1 (en) * 2014-09-24 2016-03-24 V5 Systems, Inc. Dynamic data management
US9148408B1 (en) 2014-10-06 2015-09-29 Cryptzone North America, Inc. Systems and methods for protecting network devices
US9906497B2 (en) 2014-10-06 2018-02-27 Cryptzone North America, Inc. Multi-tunneling virtual network adapter
WO2016114842A1 (en) 2014-10-31 2016-07-21 Convida Wireless, Llc End-to-end service layer authentication
US9813400B2 (en) * 2014-11-07 2017-11-07 Probaris Technologies, Inc. Computer-implemented systems and methods of device based, internet-centric, authentication
US10904234B2 (en) 2014-11-07 2021-01-26 Privakey, Inc. Systems and methods of device based customer authentication and authorization
US9875468B2 (en) 2014-11-26 2018-01-23 Buy It Mobility Networks Inc. Intelligent authentication process
US9843217B2 (en) 2015-01-05 2017-12-12 Witricity Corporation Wireless energy transfer for wearables
WO2016149355A1 (en) 2015-03-16 2016-09-22 Convida Wireless, Llc End-to-end authentication at the service layer using public keying mechanisms
JP6386967B2 (ja) * 2015-04-30 2018-09-05 日本電信電話株式会社 認証方法及びシステム
EP3089497A1 (en) * 2015-04-30 2016-11-02 Gemalto Sa Method, requester device, verifier device and server for proving at least one piece of user information
US9736165B2 (en) * 2015-05-29 2017-08-15 At&T Intellectual Property I, L.P. Centralized authentication for granting access to online services
US9866543B2 (en) * 2015-06-03 2018-01-09 Paypal, Inc. Authentication through multiple pathways based on device capabilities and user requests
EP3316512B1 (en) * 2015-09-28 2020-12-02 Guangdong Oppo Mobile Telecommunications Corp., Ltd. User identity authentication method and device
US10248899B2 (en) 2015-10-06 2019-04-02 Witricity Corporation RFID tag and transponder detection in wireless energy transfer systems
EP3362804B1 (en) 2015-10-14 2024-01-17 WiTricity Corporation Phase and amplitude detection in wireless energy transfer systems
US9736120B2 (en) 2015-10-16 2017-08-15 Cryptzone North America, Inc. Client network access provision by a network traffic manager
US9866519B2 (en) 2015-10-16 2018-01-09 Cryptzone North America, Inc. Name resolving in segmented networks
WO2017070227A1 (en) 2015-10-19 2017-04-27 Witricity Corporation Foreign object detection in wireless energy transfer systems
EP3365958B1 (en) 2015-10-22 2020-05-27 WiTricity Corporation Dynamic tuning in wireless energy transfer systems
US10075019B2 (en) 2015-11-20 2018-09-11 Witricity Corporation Voltage source isolation in wireless power transfer systems
US10129252B1 (en) * 2015-12-17 2018-11-13 Wells Fargo Bank, N.A. Identity management system
US10263473B2 (en) 2016-02-02 2019-04-16 Witricity Corporation Controlling wireless power transfer systems
US10412048B2 (en) 2016-02-08 2019-09-10 Cryptzone North America, Inc. Protecting network devices by a firewall
US10063104B2 (en) 2016-02-08 2018-08-28 Witricity Corporation PWM capacitor control
US9628444B1 (en) 2016-02-08 2017-04-18 Cryptzone North America, Inc. Protecting network devices by a firewall
US10438209B2 (en) 2016-02-10 2019-10-08 Bank Of America Corporation System for secure routing of data to various networks from a process data network
US10178105B2 (en) * 2016-02-22 2019-01-08 Bank Of America Corporation System for providing levels of security access to a process data network
US9503452B1 (en) 2016-04-07 2016-11-22 Automiti Llc System and method for identity recognition and affiliation of a user in a service transaction
US9560015B1 (en) 2016-04-12 2017-01-31 Cryptzone North America, Inc. Systems and methods for protecting network devices by a firewall
US10325081B2 (en) * 2016-08-18 2019-06-18 Hrb Innovations, Inc. Online identity scoring
US10402796B2 (en) 2016-08-29 2019-09-03 Bank Of America Corporation Application life-cycle transition record recreation system
WO2019006376A1 (en) 2017-06-29 2019-01-03 Witricity Corporation PROTECTION AND CONTROL OF WIRELESS POWER SYSTEMS
EP3763143A4 (en) 2018-03-09 2021-11-17 Nokia Technologies Oy METHODS, DEVICES AND COMPUTER-READABLE MEDIA FOR AUTHENTICATION IN COMMUNICATIONS
US20190390971A1 (en) * 2018-06-25 2019-12-26 Uber Technologies, Inc. Determining cumulative estimated time for requested services
US11316849B1 (en) 2019-04-04 2022-04-26 United Services Automobile Association (Usaa) Mutual authentication system
US11582229B2 (en) * 2019-06-01 2023-02-14 Apple Inc. Systems and methods of application single sign on
CN111066020B (zh) 2019-07-02 2023-08-04 创新先进技术有限公司 用于创建去中心化标识的系统和方法
EP3688930B1 (en) 2019-07-02 2021-10-20 Advanced New Technologies Co., Ltd. System and method for issuing verifiable claims
CN111213147B (zh) 2019-07-02 2023-10-13 创新先进技术有限公司 用于基于区块链的交叉实体认证的系统和方法
EP3688633A4 (en) 2019-07-02 2020-10-07 Alibaba Group Holding Limited SYSTEM AND PROCEDURE FOR VERIFICATION OF VERIFICABLE CLAIMS
CN111316303B (zh) 2019-07-02 2023-11-10 创新先进技术有限公司 用于基于区块链的交叉实体认证的系统和方法
CN116910726A (zh) * 2019-07-02 2023-10-20 创新先进技术有限公司 用于将去中心化标识映射到真实实体的系统和方法
US11277497B2 (en) * 2019-07-29 2022-03-15 Tim Donald Johnson System for storing, processing, and accessing medical data
US11783022B2 (en) 2020-06-01 2023-10-10 Apple Inc. Systems and methods of account verification upgrade
JP2022044080A (ja) * 2020-09-07 2022-03-17 富士フイルムビジネスイノベーション株式会社 情報処理装置及びプログラム
US20220343014A1 (en) * 2021-04-22 2022-10-27 Soundhound, Inc. Api for service provider fulfillment of data privacy requests

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5610910A (en) * 1995-08-17 1997-03-11 Northern Telecom Limited Access to telecommunications networks in multi-service environment
US5724423A (en) * 1995-09-18 1998-03-03 Telefonaktiebolaget Lm Ericsson Method and apparatus for user authentication
US5740361A (en) * 1996-06-03 1998-04-14 Compuserve Incorporated System for remote pass-phrase authentication
US6505296B2 (en) * 1997-10-13 2003-01-07 Hewlett-Packard Company Emulated branch effected by trampoline mechanism
JPH11224236A (ja) * 1998-02-05 1999-08-17 Mitsubishi Electric Corp 遠隔認証システム
CN1110764C (zh) * 1998-11-23 2003-06-04 黎明网络有限公司 一种综合信息服务平台系统及其方法
US6226752B1 (en) * 1999-05-11 2001-05-01 Sun Microsystems, Inc. Method and apparatus for authenticating users
US6609198B1 (en) * 1999-08-05 2003-08-19 Sun Microsystems, Inc. Log-on service providing credential level change without loss of session continuity
US6892307B1 (en) * 1999-08-05 2005-05-10 Sun Microsystems, Inc. Single sign-on framework with trust-level mapping to authentication requirements
US6697806B1 (en) * 2000-04-24 2004-02-24 Sprint Communications Company, L.P. Access network authorization
AU2001253795A1 (en) * 2000-04-26 2001-11-07 Global Transaction Company Multi-tiered identity verification authority for e-commerce

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101291220B (zh) * 2007-04-16 2010-08-18 华为技术有限公司 一种身份安全认证的系统、装置及方法
WO2010034209A1 (zh) * 2008-09-28 2010-04-01 华为技术有限公司 一种安全状态重评估的方法、系统及装置
CN101730100B (zh) * 2009-03-17 2012-11-28 中兴通讯股份有限公司 身份提供实体授权服务的监管方法以及监管实体
CN102812662A (zh) * 2010-03-29 2012-12-05 英特尔公司 用于管理员驱动的简表更新的方法和设备
CN102812662B (zh) * 2010-03-29 2015-04-29 英特尔公司 用于管理员驱动的简表更新的方法和设备
WO2011131002A1 (zh) * 2010-04-22 2011-10-27 中兴通讯股份有限公司 身份管理方法及系统
CN102238148A (zh) * 2010-04-22 2011-11-09 中兴通讯股份有限公司 身份管理方法及系统
CN102238148B (zh) * 2010-04-22 2015-10-21 中兴通讯股份有限公司 身份管理方法及系统
CN107171941A (zh) * 2017-06-01 2017-09-15 来三斤（厦门）网络科技有限公司 一种分享和社交模式的互联网供应链平台，方法和装置

Also Published As

Publication number Publication date
AU2003245887A1 (en) 2003-12-12
ATE367043T1 (de) 2007-08-15
DE60314871D1 (de) 2007-08-23
JP2005535006A (ja) 2005-11-17
AU2003245887A8 (en) 2003-12-12
KR20040105259A (ko) 2004-12-14
EP1508236A2 (en) 2005-02-23
US20140101743A1 (en) 2014-04-10
WO2003100544A3 (en) 2004-03-11
EP1508236B1 (en) 2007-07-11
CN1656773B (zh) 2010-04-28
JP4668610B2 (ja) 2011-04-13
WO2003100544A2 (en) 2003-12-04
DE60314871T2 (de) 2008-03-13
KR100989487B1 (ko) 2010-10-22
US20060053296A1 (en) 2006-03-09

Similar Documents

Publication Publication Date Title
CN1656773A (zh) 用于对服务供应商的服务验证用户的方法
CN1246781C (zh) 信息处理系统
CN1304980C (zh) 电子票证、电子钱包和信息终端
CN1193567C (zh) 用于安全管理的基于环球网的应用服务模式的方法和装置
CN100343830C (zh) 服务提供设备和服务提供方法
CN1263259C (zh) 结算中介处理装置
CN100338907C (zh) 信息处理系统和方法、信息处理设备和方法
CN1522395A (zh) 内容使用装置和网络系统,以及许可信息获取方法
CN1268104C (zh) 设置防火墙的方法和设备
CN1492346A (zh) 电子值的认证方法、认证系统与装置
CN1365472A (zh) 用于注册与应用有关的域名的共享注册系统
CN1758589A (zh) 信息处理设备、信息处理方法和程序
CN1674498A (zh) 用户验证信息与验证等级的管理
CN1430140A (zh) 限制内容访问与存储的设备与方法
CN1532661A (zh) 信息提供以及用户验证设备、方法、程序和记录媒体
CN1914591A (zh) 安全装置、终端装置、门设备和设备
CN1514616A (zh) 联合体环境中用户属性存储的用户登记方法和系统
CN1269072C (zh) 电子商务合同调停方法与移动通讯网络
CN1579065A (zh) 用于数据供应、交易和电子投票的方法和系统
CN1701560A (zh) 无线通信网络系统中的连接认证
CN1423225A (zh) 信息变换装置
CN1832395A (zh) 用于签发证书的格式不可知的系统和方法
CN1514394A (zh) 在联合环境执行注册中介和重定优先级操作的方法和系统
CN1695123A (zh) 万维网服务之间的安全措施的动态协商
CN1465006A (zh) 用于管理存储在移动终端存储块中的程序的系统

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20100428

Termination date: 20190523