HK1088471B

HK1088471B - Apparatus and method for integrating authentication protocols in the establishment of connections between computing devices

Info

Publication number: HK1088471B
Application number: HK06110424.9A
Authority: HK
Inventors: Herbert A. Little; Ian M. Robertson; Michael K. Brown; Michael G. Kirkup; Jonathan F. Hammell
Original assignee: Research In Motion Limited
Filing date: 2006-09-20
Publication date: 2012-05-25

Claims

Eine Methode zur Integration von Authentisierungsprotokollen bei der Herstellung einer Verbindung zwischen einem ersten Rechner (100) und mindestens einem zweiten Rechner (250), bestehend aus den Schritten:
Empfang einer Zugriffsanforderung von einem Benutzer (256) des ersten Rechners (100) für den Zugriff auf den mindestens einen zweiten Rechner (250); und

Herstellung einer Verbindung zwischen einem ersten Rechner (100) und dem mindestens einem zweiten Rechner (250), bestehend aus:
Negoziierung der Benutzerauthentisierung am mindestens einen zweiten Rechner (250) durch Übertragung der Benutzerauthentisierungsdaten vom ersten Rechner (100) an einen Authentisierungsserver zur Authentisierung des Benutzers an dem mindestens einen zweiten Rechner (250);

dadurch gekennzeichnet, dass die Benutzerauthentisierungsdaten beim Schritt Herstellung nur dann automatisch vom ersten Rechner (100) an den Authentisierungsserver übertragen werden, wenn dem Benutzer Zugriff auf den ersten Rechner (100) gewährt wurde; wobei der Authentisierungsserver eine Token-Methode auf Basis der Two-Factor-Authentisierung anwendet, die bewirkt, dass eine Antwort, die einen erwarteten zeitabhängigen Tokenwert und die für den Benutzer maßgeblichen Authentisierungsdaten umfasst, vom Authentisierungsserver erhalten werden muss, um den Benutzer am mindestens einen zweiten Rechner (250) zu authentisieren; die Methode weiter bestehend aus den Schritten Erzeugung des erwarteten zeitabhängigen Tokenwertes am ersten Rechner (100) gemäß einem Algorithmus zur Erzeugung der Authentisierungsdaten und Abrufung der für den Benutzer maßgeblichen Authentisierungsdaten von einem Datenspeicher (108) des ersten Rechners (100); wobei der erzeugte Tokenwert und die abgerufenen Authentisierungsdaten beim Schritt Herstellung an den Authentisierungsserver übertragen werden; und Wiederholung der Schritte Erzeugung und Abrufung und Übertragung der Benutzerauthentisierungsdaten an den Authentisierungsserver, wenn vom Authentisierungsserver eine Neuauthentisierung gefordert wird.
Die Methode gemäß Anspruch 1, wobei sich der Authentisierungsserver in einem dritten Rechner (252) befindet, der mit dem mindestens einen zweiten Rechner (250) verbunden ist.
Die Methode gemäß Anspruch 1, wobei sich der Authentisierungsserver in einem oder mehreren des mindestens einen zweiten Rechners (250) befindet.
Die Methode gemäß irgendeinem der Ansprüche 1 bis 3, weiter bestehend aus den Schritten:
Erhalt der Benutzerauthentisierungsdaten für den Zugriff auf den Rechner von einem Benutzer (258), der Zugriff auf den ersten Rechner (100) anfordert;

Authentisierung des Benutzers am ersten Rechner (100) mittels der Benutzerauthentisierungsdaten für den Zugriff auf den Rechner; und

Gewährung des Zugriffs des Benutzers auf den ersten Rechner (100), wenn der Benutzer erfolgreich am ersten Rechner (100) authentisiert wurde.
Die Methode gemäß irgendeinem der Ansprüche 1 bis 4, wobei der erste Rechner (100) ein Mobilgerät darstellt.
Die Methode gemäß irgendeinem der Ansprüche 1 bis 5, wobei die zwischen dem ersten Rechner (100) und dem mindestens einen zweiten Rechner (250) hergestellte Verbindung den ersten Rechner und den mindestens einen zweiten Rechner in einem virtuellen privaten Netz verbindet.
Die Methode gemäß irgendeinem der Ansprüche 1 bis 6, weiter bestehend aus dem Schritt Speicherung der für den Benutzer maßgeblichen Benutzerauthentisierungsdaten in einem Datenspeicher des ersten Rechners.
Die Methode gemäß Anspruch 7, wobei der Schritt Speicherung nur ausgeführt wird, wenn dies von einer die Verwendung des ersten Rechners (100) regelnden IT-Richtlinie genehmigt wird.
Die Methode gemäß Anspruch 7 oder 8, wobei die für den Benutzer (258) maßgeblichen und auf dem ersten Rechner (100) gespeicherten Benutzerauthentisierungsdaten ein Passwort enthalten.
Die Methode gemäß irgendeinem der Ansprüche 1 bis 9, wobei der Schritt Erzeugung nur dann ausgeführt wird, wenn dies von einer die Verwendung des ersten Rechners (100) regelnden IT-Richtlinie genehmigt wird.
Die Methode gemäß irgendeinem der Ansprüche 1 bis 10, weiter bestehend aus dem Schritt der Einstellung eines Anzeigers auf aktiven oder inaktiven Status, um anzuzeigen, ob die Benutzerauthentisierungsdaten für den Netzzugriff automatisch an einen Authentisierungsserver übertragen werden sollten oder nicht, wobei die Benutzerauthentisierungsdaten zur Authentisierung des Benutzers am mindestens einen zweiten Rechner (250) beim Schritt Herstellung nur dann vom ersten Rechner (100) an den Authentisierungsserver übertragen werden, wenn festgestellt wurde, dass der Anzeiger auf aktiven Status eingestellt ist.
Die Methode gemäß Anspruch 11, wobei der Anzeigestatus gemäß einer die Verwendung des ersten Rechners (100) regelnden IT-Richtlinie ferneingestellt wird.
Eine Softwareanwendung zur Ausführung auf einem ersten Rechner (100), bestehend aus einer Vielzahl von auf einem rechnerlesbaren Mittel (108) gespeicherten Instruktionen, wobei diese Instruktionen bei der Ausführung durch einen Prozessor (102) des ersten Rechners (100) die Schritte der Methode gemäß irgendeinem der Ansprüche 1 bis 12 vollziehen.
Ein Apparat (100) zur Integration von Authentisierungsprotokollen für die Herstellung einer Verbindung mit mindestens einem Fernrechner, Fernsystem oder Fernnetz (250), bestehend aus mindestens einem Prozessor (102), einem mit dem mindestens einen Prozessor (102) verbundenen Datenspeicher (108) und einem mit dem mindestens einen Prozessor (102) verbundenen Kommunikationsmittel (104), zur Erleichterung der Kommunikation mit dem mindestens einen Fernrechner, Fernsystem oder Fernnetz (250), wobei der mindestens eine Prozessor (102) eine Vielzahl an Instruktionen ausführt, um die Methode gemäß irgendeinem der Ansprüche 1 bis 12 auszuführen.
Ein drahtloses Netz (202), bestehend aus einer Vielzahl von Apparaten (100) gemäß Anspruch 14.