[go: up one dir, main page]

CN101366037A - 在移动终端中用于安全http摘要响应验证以及完整性保护的计算机程序产品、装置以及方法 - Google Patents

在移动终端中用于安全http摘要响应验证以及完整性保护的计算机程序产品、装置以及方法 Download PDF

Info

Publication number
CN101366037A
CN101366037A CNA2006800523065A CN200680052306A CN101366037A CN 101366037 A CN101366037 A CN 101366037A CN A2006800523065 A CNA2006800523065 A CN A2006800523065A CN 200680052306 A CN200680052306 A CN 200680052306A CN 101366037 A CN101366037 A CN 101366037A
Authority
CN
China
Prior art keywords
response
password
http
request
rgm
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CNA2006800523065A
Other languages
English (en)
Inventor
过毅乐
陈达强
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nokia Oyj
Original Assignee
Nokia Oyj
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nokia Oyj filed Critical Nokia Oyj
Publication of CN101366037A publication Critical patent/CN101366037A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/34—User authentication involving the use of external additional devices, e.g. dongles or smart cards
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/168—Implementing security features at a particular protocol layer above the transport layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04M—TELEPHONIC COMMUNICATION
    • H04M1/00—Substation equipment, e.g. for use by subscribers
    • H04M1/72—Mobile telephones; Cordless telephones, i.e. devices for establishing wireless links to base stations without route selection
    • H04M1/724—User interfaces specially adapted for cordless or mobile telephones
    • H04M1/72403—User interfaces specially adapted for cordless or mobile telephones with means for local support of applications that increase the functionality
    • H04M1/72445—User interfaces specially adapted for cordless or mobile telephones with means for local support of applications that increase the functionality for supporting Internet browser applications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/068—Authentication using credential vaults, e.g. password manager applications or one time password [OTP] applications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H04W12/106—Packet or message integrity
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2103—Challenge-response
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2115—Third party
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2119—Authenticating web pages, e.g. with suspicious links
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Human Computer Interaction (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephone Function (AREA)
  • Telephonic Communication Services (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

一种用于与网络安全通信的移动终端，包括用户识别模块(UIM)以及用户设备模块。用户设备模块包括客户端应用。UIM与用户设备可操作地通信并且UIM包括密码提供模块(PPM)、密码生成模块、响应验证模块(RVM)以及响应生成模块(RGM)。PPM配置用于存储密码。密码生成模块与PPM可操作地通信并配置用于生成密码。RGM以及RVM与客户端应用以及PPM两者可操作地通信。RGM配置用于响应来自于客户端应用的请求从密码中生成认证响应。RVM配置用于响应于来自于客户端应用的请求验证对服务器摘要响应的请求并生成验证结果。

Description

在移动终端中用于安全HTTP摘要响应验证以及完整性保护的计算机程序产品、装置以及方法
技术领域
本发明的实施方式一般地涉及无线技术并且，更具体地，涉及移动终端中的超文本传输协议(HTTP)摘要认证的安全操作。
背景技术
移动终端，诸如便携式通信设备(PCD)(例如，蜂窝电话)、便携式数字助理(PDA)、膝上型计算机或能够与无线网络通信的任何适合设备的安全性对于移动终端用户越来越重要。通常使用安全性算法来实现移动终端和另一网络实体之间的安全性。这些安全性算法通常依赖于允许移动终端得到认证的在移动终端和另一网络实体之间共享的秘密。通常，此共享秘密以密钥的形式实现。为了进一步提高安全性，许多安全性算法要求以不同间隔重置密钥。重置密钥是一种建立新密钥使得可以用新密钥保护将来的通信的处理。如果第三方获得一组密钥并且因此危及了移动终端和其他网络实体之间的安全性，一旦已经建立了新的密钥组，则重置密钥将避免第三方能够继续访问与移动终端的通信，因而暂时限制了安全性违规。
非常需要安全通信的客户端认证的例子是HTTP摘要访问认证。HTTP摘要访问认证验证客户端和服务器二者都知晓共享的秘密(HTTP密码)。在HTTP摘要访问认证中，期望不要以明文方式(即未保护的方式)发送密码而执行验证。根据验证的结果，开始在客户端和服务器之间的安全通信。
HTTP摘要访问认证机制基于简单质询-响应范例。此机制涉及使用当前值向客户端发布的质询。对该质询的有效的HTTP响应验证了共享秘密的知识。生成HTTP响应作为来自于安全性算法或安全性函数的输出。该输出包括用户名、HTTP密码、当前值、HTTP方法、所请求的统一资源指示符(URI)以及可能的其他信息(诸如净荷)的校验和。因而，如果能通过另一实体获得HTTP密码，则丧失了关于后继通信的安全性。
移动终端通常至少包括用户识别模块(UIM)和移动设备(ME)。UIM是低功率处理器，其包括安全存储器并提供安全处理。UIM例如可以是通用集成电路卡(UICC)、订户识别模块(SIM)、可移除用户识别模块(R-UIM)等。因而，UIM可以是可移除设备或嵌入在移动终端中。ME包括高功率处理器，并且不认为其包括安全存储器或提供安全处理。
对于移动应用，HTTP客户端运行于UIM中，或者运行在ME处。由于ME的高处理功率，更希望在ME中运行HTTP客户端。在此情况下，在ME中生成HTTP响应，或者从UIM向ME传递HTTP响应。继而，从ME向网络实体发送HTTP响应，以便执行对共享秘密的知识的验证。用于实现向ME传递HTTP响应的当前装置需要或者向ME发送HTTP密码，或者在ME处存储HTTP密码。继而，可使用HTTP密码来生成HTTP响应。然而，由于ME可以不包含安全存储和/或不提供安全处理能力，HTTP密码则会冒着被损害的风险，因而阻碍了在HTTP客户端和服务器之间的安全通信。
为了防止上面描述的安全风险，可在安全UIM中生成HTTP响应。然而，如果选择了对净荷的完整性保护(通过在恰当的报头中设置qop＝＂auth-int＂)，摘要响应需要HTTP客户端来使用密码或可选地使用实体主体(entity body)(HTTP净荷)。在此情况下，缺少UIM如何获得用于摘要响应的计算的净荷的方式。特别地，净荷的尺寸可以很大，因而不希望从ME向UIM发送净荷。
此外，为支持服务器认证，必须由HTTP客户端验证来自于服务器的摘要响应。当前，此类验证也需要向HTTP客户端发送密码用来认证，因而降低了安全性。
发明内容
因此，提供了用于验证服务器摘要响应以及提供完整性保护的方法、计算机程序产品和装置。因而，从未向非安全环境暴露HTTP密码。
在一个示例性实施方式中，提供了用于与网络安全地通信的装置。所述装置包括密码提供模块(PPM)、密码生成模块、响应验证模块(RVM)和响应生成模块(RGM)。将PPM配置为存储密码。密码生成模块与PPM可操作地通信，并且被配置为生成密码。RGM和RVM与客户端应用和PPM可操作地通信。将RGM配置为响应于来自于客户端应用的请求从密码中生成认证响应。将RVM配置为响应于来自于客户端应用的请求验证对服务器摘要响应的请求以及生成验证结果。
在另一个示例性实施方式中，提供了用于在移动终端中建立对诸如超文本传输协议(HTTP)响应的响应的安全接收的方法。所述方法包括从与密码提供模块(PPM)和发送请求的客户端应用通信中的响应生成模块(RGM)接收对于认证响应的请求。可将所述PPM和所述RGM布置在用户识别模块(UIM)中。所述方法也可包括响应于所述请求而从PPM向RGM发送密码，以及在RGM处响应于所述请求和所述密码从所述密码中生成认证响应。所述方法也可以包括接收服务器摘要响应以及验证服务器摘要响应。
在另一个示例性实施方式中，提供了用于在移动终端中建立对响应的安全接收的计算机程序产品。所述计算机程序产品包括具有存储于其中的计算机可读程序代码部分的至少一个计算机可读存储介质。所述计算机可读程序代码部分包括第一、第二、第三、第四和第五可执行部分。所述第一可执行部分用于从与密码提供模块(PPM)和发送请求的客户端应用通信的响应生成模块(RGM)中接收对于认证响应的请求。可将所述PPM和所述RGM布置在用户识别模块(UIM)中。所述第二可执行部分用于响应于所述请求从PPM向RGM发送密码。所述第三可执行部分用于在RGM处响应于所述请求和所述密码，从所述密码中生成认证响应。所述第四可执行部分用于接收服务器摘要响应。所述第五可执行部分用于验证所述服务器摘要响应。
在另一个示例性实施方式中，提供了用于与网络安全地通信的装置。所述装置包括用于从与密码提供模块(PPM)和发送请求的客户端应用通信的响应生成模块(RGM)中接收对于认证响应的请求的部件。可将所述PPM和所述RGM布置在用户识别模块(UIM)中。所述装置也可包括用于响应于所述请求而从所述PPM向所述RGM发送密码的部件，以及用于在所述RGM处响应于所述请求和所述密码从所述密码中生成所述认证响应的部件。所述装置也可以包括用于接收服务器摘要响应的部件以及用于验证服务器摘要响应的部件。
本发明的实施方式提供了用于在移动终端的受保护的UIM中生成HTTP响应的方法和装置。结果，可改进在移动终端上的客户端应用和网络服务器之间的通信的安全性。
附图说明
因此已经概括描述了本发明，现在，将参考附图，附图没有必要按比例绘制，并且附图中：
图1是根据本发明的示例性实施方式的移动终端的示意性框图；
图2是根据本发明的示例性实施方式的无线通信系统的示意性框图；
图3示出了根据本发明的示例性实施方式的移动终端的移动设备(ME)和用户识别模块(UIM)的示意性框图；
图4示出了根据本发明的另一个示例性实施方式的移动终端的移动设备(ME)和用户识别模块(UIM)的示意性框图；
图5是示出了根据本发明的示例性实施方式的用于对服务器摘要响应验证和响应完整性保护的方法的控制流程图；以及
图6示出了根据示例性方法的流程图，所述方法是根据本发明的示例性实施方式的用于在移动终端中对服务器响应验证和响应完整性保护的示例性方法。
具体实施方式
在下文中，将参考附图，更充分地描述本发明的实施方式，在附图中示出了本发明的一些实施方式，但并非全部。事实上，可将这些发明的实施方式以许多不同的形式实现，并且不应将这些发明的实施方式理解为限制于这里所列出的实施方式，而是，提供这些实施方式，使得此公开内容将满足申请的法律要求。贯穿全文，同样的参考数字指示同样的元件。
图1示出了移动终端10的框图，其将从本发明的实施方式中获益。然而，应当理解，所示出的以及下文描述的移动电话仅仅是对将从本发明的实施方式中获益的移动终端的一种类型的示出，并且不应将其考虑为限制本发明的实施方式的范围。尽管为了举例的目的而示出了移动终端10的若干实施方式，以及下文中将描述移动终端10的若干实施方式，但是移动终端的其他类型，诸如便携数字助理(PDA)、寻呼机、膝上型计算机以及其他类型的语音和文本通信系统都能够容易地利用本发明的实施方式。而且，将结合移动通信应用而初步地描述本发明的实施方式的方法。但是，可以结合在移动通信产业内以及在移动通信产业外的各种其他应用而利用本发明的实施方式的方法。此外，虽然由移动终端10执行或使用本发明的方法的若干实施方式，但是，也可以由除了移动终端之外的其他(设备)利用本方法。
移动终端10包括可与发射器14和接收器16操作地通信的天线12。移动终端10进一步包括控制器20，其分别向发射器14提供信号，并从接收器16接收信号。信号包括根据可应用蜂窝系统的空中接口标准的信令信息，以及也包括用户语音和/或用户生成的数据。在此点上，移动终端10能够同一个或多个空中接口标准、通信协议、调制类型和访问类型而操作。通过说明，移动终端10能够根据多种第一、第二和/或第三代通信协议等中的任一操作。例如，移动终端10能够根据第二代(2G)无线通信协议IS-136(TDMA)、GSM和IS-95(CDMA)而操作。
可以理解，控制器20包括实现移动终端10的音频和逻辑功能所需要的电路。例如，控制器20可以包括数字信号处理器设备、微处理器设备以及多种模数转换器、数模转换器以及其他支持电路。根据这些设备各自的能力而在这些设备之间分配移动终端10的控制和信号处理功能。因而，控制器20也可以包括在调制和传输之前卷积编码以及交织消息和数据的功能。控制器20能够额外地包括内部语音编码器，以及可以包括内部数据调制解调器。进一步地，控制器20可以包括操作一个或多个可以存储在存储器中的软件程序的功能。例如，控制器20能够操作连接程序，诸如传统的Web浏览器。继而连接程序可以例如根据无线应用协议(WAP)允许移动终端10来传送和接收Web内容，诸如，基于位置的内容。而且，例如，根据本发明的实施方式(在下面描述)，控制器20能够操作能够创建对于关于移动终端的位置信息的传递授权的软件应用。
移动终端10也包括包含传统耳机或扬声器22、振铃器24、麦克风26、显示器28和用户输入接口的用户接口，所有这些都耦合到控制器20。允许移动终端10接收数据的用户输入接口可以包括允许移动终端10接收数据的多个设备中的任意一个，诸如小键盘30、触摸显示器(未示出)或其他输入设备。在包括小键盘30的实施方式中，小键盘30包括用于操作移动终端10的传统的数字(0-9)和相关键(#，*)和其他键。移动终端10进一步包括电池34，诸如震动电池组，用于为操作移动终端10所需要的多种电路提供能量，以及可选地，用于提供机械振动作为可检测的输出。
移动终端10的所有上述元件，总体上包括例如，用户设备模块的移动设备(ME)18。除了ME 18，移动终端10可包括通用识别模块(UIM)38。UIM 38通常是具有内置处理器的存储器设备。UIM38可包括例如订户识别模块(SIM)、通用集成电路卡(UICC)、通用订户识别模块(USIM)、可移除用户识别模块(R-UIM)等。UIM 38通常存储与移动订户相关的信息元素。除了UIM 38，移动终端10可配备存储器。例如，移动终端10可包括易失性存储器40，诸如包括用于临时存储数据的高速缓冲存储器区域的易失性随机访问存储器(RAM)。移动终端10也可以包括其他非易失性存储器42，其可以是嵌入的和/或可移除的。非易失性存储器42能够额外地或可选地包括诸如从加利福尼亚，Sunnyvale的SanDisk公司或加利福尼亚，Fremont的Lexar Media公司可获得的EEPROM、闪存等。存储器能够存储由移动终端使用来实现移动终端的功能的多个信息以及数据中的任意一个。例如，存储器可以包括能够唯一标识移动终端10的诸如国际移动设备标识(IMEI)码的标识符。
现在参考图2，提供了对包括诸如移动终端10的终端的无线通信网络的一种类型的图示，移动终端10将从本发明的实施方式中获益。如所示，移动终端10包括用于向基础站点或基站(BS)50传送信号以及从基础站点或基站(BS)50接收信号的天线12。BS50是蜂窝网络的一部分，其包括移动交换中心(MSC)52、语音编码器/解码器(vocoders)、数据调制解调器、以及操作蜂窝网络所需要的其他单元。当移动终端10做出和接收呼叫时，MSC52能够路由往来于移动终端10的呼叫和消息。也可以将蜂窝网络称作基站/MSC/交互作用功能(BMI)54。当将移动终端10注册到蜂窝网络时，MSC 52控制去往和来自移动终端10的消息转发，以及也控制针对移动终端10的去往和来自消息中心(未示出)的消息的转发。此类消息可包括例如由MSC 52从公共交换电话网络(PSTN)电话的用户接收的语音消息，以及也可以包括由MSC 52从移动终端10或由蜂窝网络服务的其他移动终端接收的短消息服务(SMS)消息和语音消息。
也能够将移动终端10耦合到数据网络。例如，可将BS 50连接到分组控制功能(PCF)56，其与分组数据服务节点(PDSN)58连接。可以将PDSN 58连接到广域网，诸如因特网60。接着，可经由PDSN 58将诸如处理元件62的设备(例如，个人计算机、服务器计算机等)耦合到移动终端10。通过直接或间接地将移动终端10和其他设备连接到PDSN 58和因特网60，移动终端10能够例如根据因特网协议(IP)规范来同其他设备通信，从而执行移动终端10的各种功能。
尽管此处没有示出和描述每一个可能的网络的每一个元素，应当理解到可将移动终端10耦合到使用任意个不同模式中的一个或多个(此处也被称为协议)的任意个不同网络中的一个或多个。在此点上，网络能够支持根据多个第一代(1G)、第二代(2G)、2.5G和/或第三代(3G)移动通信协议等中的任意一个或多个的通信。更特别地，可将移动终端耦合到能够支持根据第二代2G无线通信协议IS-136(TDMA)、GSM和IS-95(CDMA)的通信的网络。而且，例如，网络能够支持根据2.5G无线通信协议GPRS、增强型数据GSM环境(EDGE)等的通信。此外，例如，一个或多个网络能够支持根据诸如利用宽带码分多址(WCDMA)无线接入技术的CDMA2000和通用移动电话系统(UMTS)网络的3G无线通信协议的通信。此外，网络能够支持广域网(WAN)通信，诸如WLAN(IEEE 802.11)或WiMax(802.16)。当作为双模或更高模移动台(例如数字/模拟或TDMA/CDMA/模拟电话)时，一些窄带AMPS(NAMPS)以及TAGS网络也可以从本发明的实施方式中获益。
现在参考图3，其示出了根据本发明的示例性实施方式的移动终端10的ME 18和UIM 38的示意性框图。然而，应当理解，这里所示出和描述的移动终端10仅仅是对将从本发明的实施方式中获益的移动终端的一种类型的示出，因此不应将其考虑为限制本发明的实施方式的范围。图3示出了用于HTTP净荷的完整性保护的移动终端10的操作。
如图3所示，UIM 38包括响应生成模块(RGM)66、密码提供模块(PPM)68以及HTTP密码生成模块，其可以使用例如通用引导架构(GBA)。GBA是框架架构，其允许移动终端10和归属网络之间的安全密钥的引导(或改变)，继而，可将其进一步用于导出在移动终端10和网络应用服务器之间使用的安全密钥。可将GBA用作一种机制来提供用于防护因特网协议(IP)级别切换的密钥。例如，第三代合作伙伴计划2无线局域网(3GPP2-WLAN)和第三代合作伙伴计划无线局域网(3GPP-WLAN)工作组正在开发用于当从一个网络向另一个切换时，安全地认证移动终端的机制。因而，例如，HTTP密码生成模块可以是GBA单元(GBA_U)70。GBA_U70生成HTTP密码，以及向PPM 68发送HTTP密码。PPM 68为所有的HTTP应用存储HTTP密码。
应当注意到，尽管这里参考可关联于特定用户的UIM描述了示例性实施方式，但是可以多种方式利用本发明的实施方式。例如，UIM可以是以可在计算设备、在单独的设备等上执行的应用的形式实现的任何安全单元。进而，HTTP客户端也能以多种方式实现，诸如例如，作为众多的客户端设备的任何一个，或者在计算设备上执行的客户端应用。
在操作中，当HTTP客户端应用72需要HTTP响应来建立与处理元件62的安全通信时，HTTP客户端应用72向RGM 66发送请求78。请求78包括包含应用标识、用户名、如果需要净荷完整性保护则可选的对HTTP净荷的散列(即，H(实体主体(entity-body)))，以及当前值的信息，从可包括HTTP服务器的处理元件62接收所有这些。可选地，替代于发送H(实体主体(entity-body))，ME可以以其他形式向UIM发送所需要的信息，例如，如A2＝Method＂:＂digest-uri-value＂：＂H(实体主体(entity-body))(如在RFC 2617中定义的)。应当理解，由于可能在尺寸上太大而不适用于在请求78中包含HTTP净荷，而将HTTP净荷的散列(而不是净荷自身)包括在请求78中。因而，将对HTTP净荷的散列用作HTTP净荷的减少尺寸的转换。当将HTTP净荷的散列包含于摘要响应计算中时，HTTP服务器84(参看图5)可验证净荷内容是否已被改变。随着对请求78的接收，RGM 66从诸如PPM 68的装置请求HTTP密码，用于接收对来自于RGM 66的认证响应的请求。诸如PPM 68的装置向RGM66发送HTTP密码，RGM 66包括用于根据安全性算法或安全性函数从用户名、当前值、如果需要完整性保护则可选的H(实体主体(entity-body))、HTTP密码等中生成HTTP响应76。在示例性实施方式中，安全性算法可以是IETF 2617中指定的安全性算法。继而RGM 66向HTTP客户端应用72发送HTTP响应76来允许建立与处理元件62的安全通信。在HTTP客户端应用72和RGM 66之间的接口可以是例如通过3GPP2或3GPP协议。
在示例性的实施方式中，UIM 38可计算有效HTTP响应，其一部分可包括授权报头。有效的HTTP响应包含对用户名、HTTP密码、当前值、以及如果需要净荷完整性保护则可选的H(实体主体(entity-body))、HTTP方法和所请求的URL的校验和。将用户名设置为由ME 18向UIM 38传送的引导事务ID(B-TID)。将HTTP密码设置为Ks_int_NAF(编码的base64)。在UIM 38内部使用GBA_U 70生成Ks_int_NAF。由ME 18将当前值、HTTP方法和所请求的URI传送到UIM 38。当接收到用户名、HTTP密码、当前值、可选的H(实体主体(entity-body))、HTTP方法和所请求的URI时，，UIM 38(特别地，UIM 38的RGM 66)生成有效的HTTP响应并向ME 18发送有效的HTTP响应。
现在参考图4，描述了用于验证服务器摘要响应的移动终端10的操作。如在图4中示出的，UIM 38包括响应验证模块(RVM)80、密码提供模块(PPM)68和GBA_U 70。RVM 80可以是存储在UIM38中的应用。GBA_U 70生成HTTP密码并向PPM 68发送HTTP密码。PPM 68存储用于所有HTTP应用的HTTP密码。假设RGM 66已经如上所述地向HTTP客户端应用72发送了HTTP响应。因而，响应于由诸如HTTP客户端应用72的装置对来自于HTTP服务器84的服务器摘要响应的接收，诸如HTTP客户端的装置如果希望对服务器摘要响应的验证，可以要求此类验证。
在操作中，HTTP客户端应用72接收服务器摘要响应，以及向RVM 80发送验证请求86。验证请求86包括包含服务器摘要响应、可选的H(实体主体(entity-body))和cnonce(客户端当前值)等的信息。RVM 80继而从PPM 68请求HTTP密码。PPM 68向RVM 80发送HTTP密码。RVM 80继而根据安全性算法和安全性函数，使用cnonce、可选的H(实体主体(entity-body))、HTTP密码等生成经计算的服务器摘要响应。在示例性的实施方式中，安全性算法可以是在IETF RFC 2617中指定的安全性算法。RVM 80继而与经计算的服务器摘要响应比较而检查服务器摘要响应的有效性，以及向HTTP客户端应用72发送验证结果88以验证该服务器摘要响应。
应当注意到，上面分别参考图3和图4描述的用于HTTP响应的完整性保护和验证服务器摘要响应的方法是可选的，并且可响应于所接收的特定信号而实现。例如，如果需要完整性保护，可在请求78中包括H(实体主体(entity-body))。
图5是根据本示例性实施方式的用于提供对服务器摘要响应验证和响应完整性保护的方法的控制流程图。如图5所示，HTTP客户端应用72向HTTP服务器84发送HTTP请求90。响应于HTTP请求90，HTTP服务器84向HTTP客户端应用72发送用于认证的请求92。HTTP客户端应用继而向UIM 38发送包括应用标识、用户名、可选的H(实体主体(entity-body))和当前值的请求78。在操作94，UIM 38如上面参考图3描述的，重新获取HTTP密码并生成HTTP响应和cnonce(作为对服务器的质询的随机数)。UIM 38继而向HTTP客户端应用72发送HTTP响应76。HTTP客户端应用72继而在请求中向HTTP服务器84发送包括HTTP响应的消息96。响应于对消息96的接收，HTTP服务器84向HTTP客户端应用72发送包括服务器摘要响应的消息82。响应于对包括服务器摘要响应的消息82的接收，HTTP客户端应用72向UIM 38发送验证请求86。验证请求86包括服务器摘要响应、cnonce、可选的H(实体主体(entity-body))等。在操作98，UIM 38重新获取HTTP密码并验证服务器摘要响应。UIM 38继而向HTTP客户端应用72发送验证结果88。
图6是根据本发明的示例性实施方式的系统、方法和程序产品的流程图。将理解，可由诸如硬件、固件和/或包括一个或多个计算机程序指令的软件的各种装置实现流程图的每个块或步骤以及流程图中的块的组合。例如，可由计算机程序指令实现GBA_U 70、PPM68、RGM 66、RVM 80和HTTP客户端应用72中的一个或多个。在这点上，可由UIM 38的存储器设备存储并由内置处理器执行实现GBA_U 70、PPM 68、RVM 80和RGM 66的计算机程序指令。HTTP客户端应用程序72通常存储在ME 18的存储器中，并由控制器20执行。如同将意识到的，可将任何此类计算机程序加载到计算机和其他可编程装置(即，硬件)上来生产机器，使得在计算机或其他可编程装置上执行的指令创建用于实现在(多个)流程图块或(多个)步骤中指定的功能。还可将这些计算机程序指令存储在能够以特定方式指引计算机或其他可编程装置的计算机可读存储器中，以便存储在计算机可读存储器中的指令生产包括实现在(多个)流程块或(多个)步骤中指定的功能的指令装置的产品。也可将这些计算机程序指令加载到计算机或其他可编程装置上以使得在计算机或其他可编程装置上执行的一系列的操作步骤，从而生产计算机实现的过程，从而计算机或其他可编程装置上执行的指令提供了用于实现在(多个)流程图块或(多个)步骤中指定的功能的步骤。
因而，流程图的块或步骤支持用于实现所指定的功能的装置的组合，用于执行所指定的功能的步骤的组合，以及用于执行所指定的功能的程序指令装置。也将理解，可由执行指定功能或步骤的基于硬件的专用计算机系统、或专用硬件和计算机指令的组合实现流程图的一个或多个块或步骤，以及流程图中的块或步骤的组合。
在此点上，用于在移动终端中防护HTTP摘要响应的方法的一个实施方式包括在操作100在UIM处存储HTTP密码。在操作110，UIM的RGM接收来自于HTTP客户端应用的对HTTP响应的请求。
请求至少包括对净荷消息的散列。HTTP客户端应用的此请求可响应于服务器或其他网络实体的查询，以验证客户端(即移动终端10)知晓共享秘密，这样能够执行安全通信。在操作120，响应于对HTTP响应的请求的接收，将HTTP密码发送到RGM。在操作130，响应于对HTTP响应和HTTP密码的请求，RGM生成HTTP响应。在操作140，RGM向HTTP客户端应用发送HTTP响应。在操作150，RVM接收来自于HTTP客户端应用的对服务器摘要响应的验证请求。在操作160，RVM验证服务器摘要响应，以及向HTTP客户端应用传送验证结果。因而，HTTP密码从未离开安全的UIM，但是HTTP客户端应用依然获得HTTP响应，该HTTP响应是向服务器或其他网络实体来验证移动终端10知晓共享秘密所必需的。因此，不大可能危及HTTP客户端应用和网络上的服务器之间的通信的安全性。
应当指出，上面描述的方法和系统也可应用于建立对设备的安全认证，而不经由HTTP摘要访问认证。然而，上面详细描述了HTTP摘要访问认证，以提供对此类系统和方法的一个示例性实施方式的全面描述。
这里列出的本发明的许多修改和其他实施方式将被本发明所属领域的技术人员认识到，本发明具有前述描述和相关联的附图中呈现的教导中的益处。因此，应当理解，本发明的实施方式并非限制于所公开的特定实施方式，以及意在将修改和其他实施方式包括在所附权利要求书的范围内。尽管这里利用了特定术语，但是仅将其以通用的和描述性的含义使用，以及不为了限制的目的。

Claims (32)

1.一种装置，包括：
密码提供模块(PPM)，被配置用于存储密码；
密码生成模块，与所述PPM可操作地通信，以及被配置为生成所述密码；
响应生成模块(RGM)，与所述移动终端的客户端应用和所述PPM二者可操作地通信，所述RGM被配置用于响应于来自于所述客户端应用的请求从所述密码中生成认证响应；以及
响应验证模块(RVM)，与所述客户端应用和所述PPM二者可操作地通信，所述RVM被配置用于响应于来自于所述客户端应用的请求验证对服务器摘要响应的请求并且生成所述认证结果。
2.根据权利要求1所述的装置，其中所述RGM被配置用于从所述密码和对净荷消息的散列中生成所述认证响应。
3.根据权利要求1所述的装置，其中所述RGM被配置用于向所述客户端应用发送所述认证响应。
4.根据权利要求1所述的装置，其中所述密码包括超文本传输协议(HTTP)密码。
5.根据权利要求4所述的装置，其中所述认证响应包括HTTP响应。
6.根据权利要求1所述的装置，其中用户识别模块(UIM)被配置为允许从所述PPM向所述RGM发送所述密码，使得所述密码从未离开所述UIM。
7.根据权利要求1所述的装置，其中所述认证响应包括包含用户名、密码、当前值、HTTP方法、所请求的统一资源标识符(URI)和对HTTP净荷的散列的校验和的超文本传输协议(HTTP)响应。
8.根据权利要求1所述的装置，其中所述请求包括应用标识、用户名、当前值和对超文本传输协议(HTTP)净荷的散列。
9.根据权利要求1所述的装置，其中所述密码生成模块包括通用引导架构单元。
10.根据权利要求1所述的装置，其中所述装置包含在移动终端中。
11.一种方法，包括：
从与密码提供模块(PPM)和发送请求的客户端应用通信的响应生成模块(RGM)接收对认证响应的请求，用户标识模块(UIM)包含所述PPM和所述RGM；
响应于所述请求，从所述PPM向所述RGM发送密码；
响应于所述请求以及所述密码，在所述RGM处从所述密码中生成所述认证响应；
接收服务器摘要响应；以及
验证所述服务器摘要响应。
12.根据权利要求11所述的方法，其中生成所述响应进一步包括响应于所述请求、所述密码和对净荷消息的散列，从所述密码中生成所述认证响应。
13.根据权利要求11所述的方法，进一步包括从所述RGM向所述客户端应用发送所述认证响应。
14.根据权利要求11所述的方法，其中发送所述密码包括从所述PPM向所述RGM发送所述密码，使得所述密码从未离开所述UIM。
15.根据权利要求11所述的方法，其中生成所述认证响应包括生成包含用户名、所述密码、当前值、HTTP方法、所请求的统一资源标识符(URI)和对HTTP净荷的散列的校验和的超文本传输协议(HTTP)响应。
16.根据权利要求11所述的方法，其中接收所述请求包括接收包括应用标识、用户名、当前值和对超文本传输协议(HTTP)净荷的散列的所述请求。
17.根据权利要求11所述的方法，进一步包括在通用引导架构单元中生成所述密码。
18.根据权利要求11所述的方法，进一步包括在所述PPM中存储所述密码。
19.根据权利要求18所述的方法，其中存储所述密码包括存储超文本传输协议(HTTP)密码。
20.根据权利要求19所述的方法，其中接收对所述认证响应的所述请求包括接收对HTTP响应的请求。
21.一种计算机程序产品，包括具有存储于其中的计算机可读程序代码部分的至少一个计算机可读存储介质，所述计算机可读程序代码部分包括：
第一可执行部分，用于从与密码提供模块(PPM)和发送请求的客户端应用通信的响应生成模块(RGM)中接收对认证响应的所述请求，用户标识模块(UIM)包含所述PPM和所述RGM；
第二可执行部分，用于响应于所述请求从所述PPM向所述RGM发送密码；
第三可执行部分，用于在所述RGM处响应于所述请求和所述密码，从所述密码中生成所述认证响应；
第四可执行部分，用于接收服务器摘要响应；以及
第五可执行部分，用于验证所述服务器摘要响应。
22.根据权利要求21所述的计算机程序产品，其中所述第三可执行部分包括用于响应于所述请求、所述密码和对净荷消息的散列，从所述密码中生成所述认证响应的指令。
23.根据权利要求21所述的计算机程序产品，进一步包括用于从所述RGM向所述客户端应用发送所述认证响应的第六可执行部分。
24.根据权利要求21所述的计算机程序产品，其中所述第二可执行部分包括用于从所述PPM向所述RGM发送所述密码，使得所述密码从未离开所述UIM的指令。
25.根据权利要求21所述的计算机程序产品，其中所述第三可执行部分包括用于生成包括包含用户名、所述密码、当前值、HTTP方法、所请求的统一资源标识符(URI)和对HTTP净荷的散列的校验和的超文本传输协议(HTTP)响应的指令。
26.根据权利要求21所述的计算机程序产品，其中所述第一可执行部分包括用于接收包括应用标识、用户名、当前值和对超文本传输协议(HTTP)净荷的散列的所述请求的指令。
27.根据权利要求21所述的计算机程序产品，进一步包括用于在通用引导架构单元中生成所述密码的第六可执行部分。
28.根据权利要求21所述的计算机程序产品，进一步包括用于在所述PPM中存储所述密码的第六可执行部分。
29.根据权利要求28所述的计算机程序产品，其中所述第六可执行部分包括用于存储超文本传输协议(HTTP)密码的指令。
30.根据权利要求29所述的计算机程序产品，其中所述第一可执行部分包括用于接收对HTTP响应的请求的指令。
31.一种装置，包括：
用于从与密码提供模块(PPM)和发送请求的客户端应用通信的响应生成模块(RGM)中接收对认证响应的请求的部件，用户标识模块(UIM)包含所述PPM和所述RGM；
用于响应于所述请求，从所述PPM向所述RGM发送密码的部件；
用于在所述RGM处响应于所述请求和所述密码，从所述密码中生成所述响应的部件；
用于接收服务器摘要响应的部件；以及
用于验证所述服务器摘要响应的部件。
32.根据权利要求31所述的装置，其中用于生成所述认证响应的部件进一步包括用于响应于所述请求、所述密码和对净荷消息的散列，从所述密码中生成所述响应的部件。
CNA2006800523065A 2005-12-05 2006-12-05 在移动终端中用于安全http摘要响应验证以及完整性保护的计算机程序产品、装置以及方法 Pending CN101366037A (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US74246805P 2005-12-05 2005-12-05
US60/742,468 2005-12-05

Publications (1)

Publication Number Publication Date
CN101366037A true CN101366037A (zh) 2009-02-11

Family

ID=38123260

Family Applications (1)

Application Number Title Priority Date Filing Date
CNA2006800523065A Pending CN101366037A (zh) 2005-12-05 2006-12-05 在移动终端中用于安全http摘要响应验证以及完整性保护的计算机程序产品、装置以及方法

Country Status (4)

Country Link
US (1) US8091122B2 (zh)
EP (1) EP1958118A4 (zh)
CN (1) CN101366037A (zh)
WO (1) WO2007066203A2 (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2012000313A1 (zh) * 2010-06-28 2012-01-05 中兴通讯股份有限公司 一种家庭网关认证方法和系统
CN102375953A (zh) * 2010-08-10 2012-03-14 上海贝尔股份有限公司 软件认证方法和软件认证设备
CN103155513A (zh) * 2010-09-27 2013-06-12 诺基亚公司 加速认证的方法和装置

Families Citing this family (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8091122B2 (en) * 2005-12-05 2012-01-03 Nokia Corporation Computer program product, apparatus and method for secure HTTP digest response verification and integrity protection in a mobile terminal
CN100553193C (zh) * 2007-10-23 2009-10-21 西安西电捷通无线网络通信有限公司 一种基于可信第三方的实体双向鉴别方法及其系统
US20090125992A1 (en) * 2007-11-09 2009-05-14 Bo Larsson System and method for establishing security credentials using sms
US8522915B2 (en) * 2007-12-19 2013-09-03 Westerngeco L.L.C. Method and system for selecting parameters of a seismic source array
CN101674182B (zh) 2009-09-30 2011-07-06 西安西电捷通无线网络通信股份有限公司 引入在线可信第三方的实体公钥获取、证书验证及鉴别的方法及系统
US8495720B2 (en) * 2010-05-06 2013-07-23 Verizon Patent And Licensing Inc. Method and system for providing multifactor authentication
GB201217084D0 (en) 2012-09-25 2012-11-07 Uni I Oslo Network security
US20140165170A1 (en) * 2012-12-10 2014-06-12 Rawllin International Inc. Client side mobile authentication
JP2016519367A (ja) * 2013-03-27 2016-06-30 インターデイジタル パテント ホールディングス インコーポレイテッド 複数のエンティティにまたがるシームレスな認証
US10540490B2 (en) 2017-10-25 2020-01-21 International Business Machines Corporation Deep learning for targeted password generation with cognitive user information understanding
CN113993131B (zh) * 2021-10-28 2023-06-30 中国联合网络通信集团有限公司 访问控制方法及装置

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6230002B1 (en) * 1997-11-19 2001-05-08 Telefonaktiebolaget L M Ericsson (Publ) Method, and associated apparatus, for selectively permitting access by a mobile terminal to a packet data network
NZ533176A (en) 2001-12-25 2005-10-28 Ntt Docomo Inc Device and method for restricting content access and storage
GB0314971D0 (en) * 2003-06-27 2003-07-30 Ericsson Telefon Ab L M Method for distributing passwords
CN1601958B (zh) 2003-09-26 2010-05-12 北京三星通信技术研究有限公司 基于cave算法的hrpd网络接入认证方法
US7302060B2 (en) * 2003-11-10 2007-11-27 Qualcomm Incorporated Method and application for authentication of a wireless communication using an expiration marker
CN100493247C (zh) 2004-02-27 2009-05-27 北京三星通信技术研究有限公司 高速分组数据网中接入认证方法
US7940932B2 (en) * 2004-04-08 2011-05-10 Texas Instruments Incorporated Methods, apparatus, and systems for securing SIM (subscriber identity module) personalization and other data on a first processor and secure communication of the SIM data to a second processor
US20060236116A1 (en) * 2005-04-18 2006-10-19 Lucent Technologies, Inc. Provisioning root keys
US8091122B2 (en) * 2005-12-05 2012-01-03 Nokia Corporation Computer program product, apparatus and method for secure HTTP digest response verification and integrity protection in a mobile terminal

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2012000313A1 (zh) * 2010-06-28 2012-01-05 中兴通讯股份有限公司 一种家庭网关认证方法和系统
CN102375953A (zh) * 2010-08-10 2012-03-14 上海贝尔股份有限公司 软件认证方法和软件认证设备
CN102375953B (zh) * 2010-08-10 2015-03-18 上海贝尔股份有限公司 软件认证方法和软件认证设备
CN103155513A (zh) * 2010-09-27 2013-06-12 诺基亚公司 加速认证的方法和装置
CN103155513B (zh) * 2010-09-27 2016-01-27 诺基亚技术有限公司 加速认证的方法和装置

Also Published As

Publication number Publication date
EP1958118A2 (en) 2008-08-20
US8091122B2 (en) 2012-01-03
US20070150943A1 (en) 2007-06-28
WO2007066203A2 (en) 2007-06-14
EP1958118A4 (en) 2011-06-01
WO2007066203A3 (en) 2007-08-30

Similar Documents

Publication Publication Date Title
CN101366037A (zh) 在移动终端中用于安全http摘要响应验证以及完整性保护的计算机程序产品、装置以及方法
KR101270323B1 (ko) 단일 서비스 사인 온을 제공하는 방법, 장치 및 컴퓨터 판독가능 저장 매체
CN102388638B (zh) 由网络运营商提供的身份管理服务
US9258294B2 (en) Remote authentication method with single sign on credentials
CN103959831B (zh) 辅助的证书注册
CN102550001B (zh) 用于允许自举架构和共享身份服务相互作用的用户身份管理
US8280351B1 (en) Automatic device authentication and account identification without user input when application is started on mobile station
US8201232B2 (en) Authentication, identity, and service management for computing and communication systems
US8893244B2 (en) Application-based credential management for multifactor authentication
KR100644616B1 (ko) 마크업 랭귀지 기반의 단일인증 방법 및 이를 위한 시스템
CN102377769B (zh) 提供针对私有数据访问的无线认证的通信系统及相关方法
CN102811228B (zh) 网络业务登录方法、设备和系统
US20100281530A1 (en) Authentication arrangement
US11271922B2 (en) Method for authenticating a user and corresponding device, first and second servers and system
WO2013064716A1 (en) Security mechanism for external code
US11974129B2 (en) Token-based security risk assessment for multi-factor authentication
US8316426B2 (en) Apparatus, computer program product and method for secure authentication response in a mobile terminal
WO2016099940A1 (en) User equipment and method for dynamic internet protocol multimedia subsystem (ims) registration
US20210073365A1 (en) Securing user inputs in mobile device
Su et al. Research of single sign-on in mobile RFID middleware based on dynamic tokens and WMMP
EP3163490B1 (en) Providing security assurance information
EP3032448B1 (en) Method for authorizing access to information in a telecommunication system
Manickam et al. Secured‐KDS: Secret key distribution and authentication scheme for resource‐constrained devices
WO2024261515A1 (en) Pure authentication and key management for applications (akma) based two-factor authentication
WO2009000111A1 (en) Method for authenticating two entities, corresponding electronic device and system

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
AD01 Patent right deemed abandoned

Effective date of abandoning: 20090211

C20 Patent right or utility model deemed to be abandoned or is abandoned