[发明专利]基于移动设备的认证

说明书

相关申请的交叉引用

相关声明：联邦政府发起的研究/开发

不适用

背景

技术领域

本公开涉及生物测定系统和访问控制，尤其涉及安全交易相关的基于移动设备的认证。

现有技术

私人财产利益的识别通常需要将个人划分为具有访问权的个人和不具有访问权的个人。与财产利益的认知价值和/或实际价值相称的是，必须建立安全协议来保证已认证的个人容易访问，而未认证的个人无论进行什么攻击或绕过尝试均无法访问。

在最简单的情况下，私人财产利益可以为物理设施，并且对其内部的访问可以通过安装于门上的锁着的机械锁进行防护。物理设施的拥有者可以拥有钥匙来打开机械锁以开门，任何其他得到许可的个人也可使用此方法进行访问。而任何其他未经授权的个人均不拥有钥匙，从而也无法打开机械锁。当然，也可以通过其他多种不同方法来绕过机械锁，包括通过撬锁、毁坏锁和门、或者通过从得到授权的个人处盗取钥匙。不考虑这些可能的绕过尝试，为了阻止未得到授权的访问，可以增加锁的复杂度，可以加固锁和门的强度，等等。更为复杂的攻击可能会击败这些进一步的防护，因此安全防护是一个保持不断变化的领域。

财产利益也可以是个人的银行账户、信用卡账户、零售分期付款账户、公共账户、或在现代日常生活中经常遇到并使用的任何其他资源，其访问必须通过安全系统进行适当地限制。在很多情况下，这些资源或者财产利益可以通过电子方式访问，并且存在一些当前正使用的常用的安全系统和设备。例如，可以通过自动柜员机（ATM)访问银行账户中的货币资金。在支付任何资金之前，银行（亦即ATM）必须确保请求人确实为其宣称之人。

存在用于认证或核实请求人身份的各种现有技术。认证可以采用一种或多种要素，要素包括请求者所知道的某事物、请求者所拥有的某事物、以及请求者自身的某事物。由于额外的认证要素会带来额外的费用以及复杂性，因此通常只采用一种或最多两种要素。在ATM示例中，其上编码有基本账户持有人信息的ATM卡为一个要素（请求者所拥有的事物），并且只有在成功验证了相应的个人识别码（PIN，或请求者所知道的其他事物）时，对账户的访问才会被允许。通常银行服务也可以通过互联网在线访问，并且多数金融相关的网络服务都具有额外的安全措施，而对一些其他不太关键的网络服务的访问可能只被利用账户名与密码构成的单一要素（请求者/用户所知道的事物）来保护。

至少在理论上，密码与PIN的保密本质意在防止未授权访问。在实际中，由于授权用户时常错误地与无意地泄露其密码或PIN给未授权用户，因此该技术失效。此外，暴力式技术以及基于字典的技术可能会进一步危及这些认证系统的有效性，暴力式技术涉及字母、数字、与符号的每种组合的输入。由于密码与PIN均需要记住，用户通常选择较容易记住的词，使得更容易通过字典攻击方法击败。另一方面，需要的密码越复杂，越难以记住密码，从而密码越有可能被写在计算机周围合法用户与恶意用户均容易获得的事物上。由于采用这种安全模式的服务数量增加，因此PIN或密码的可用性受到越来越多地关注。

如上述简要提及的，可以采用各种硬件设备作为第二认证要素。包括如上述的ATM卡之类的单一磁条编码卡、以及射频识别（RFID）设备，这两者均需要在访问点采用特定的读取装置。可以采用与第一认证要素结合提供的能生成唯一代码或一次性密码的复杂令牌来提供更高级别的保护。但是，令牌设备的许可证昂贵、维护昂贵、并且用户携带不方便。当用任何微小设备时，令牌很容易丢失，特别是当其成为了人们日常生活中必须管理与携带的另一个杂乱物品时；许多人已经在追踪钥匙、钱包、和移动电话方面具有了足够的困难。

需承认，常见的移动电话已经普遍存在并且容易获得，因此也可以采用这些设备作为第二硬件认证要素。在访问在线服务之前，可以将一次性密码作为短信服务（SMS）文本消息发送至移动电话，移动电话的号码已经在服务中进行了预登记。当与发送到移动电话的文本消息相同的文本消息重新输入至服务中时，即认为访问已被认证。