用于存在识别的方法、设备和系统

摘要

描述了与存在识别相关联的示例。一个示例包括检测由移动设备广播的存在识别符。该移动设备属于用户。该存在识别符的一部分是基于一次性密码种子生成的。将存在识别符的该部分提供给识别服务器。从识别服务器接收与用户相关联的识别信息。识别服务器使用该部分来基于一次性密码种子识别用户。基于识别信息执行动作。

权利要求

1.一种识别方法，包括：

检测由属于用户的移动设备广播的存在识别符，其中，所述存在识别符的一部分是基于一次性密码种子生成的；

将所述存在识别符的仅所述部分提供给识别服务器；

从所述识别服务器接收与所述用户相关联的识别信息，其中，所述识别服务器使用所述部分来基于所述一次性密码种子识别所述用户；以及基于所述识别信息执行动作。

2.根据权利要求1所述的方法，其中，所述动作是与所述移动设备建立安全连接。

3.根据权利要求2所述的方法，其中所述方法包括向所述移动设备提供第一公钥，其中所述识别信息包括与所述移动设备相关联的第二公钥，并且其中通过从所述识别服务器接收所述第二公钥并且所述移动设备与所述识别服务器一起验证所述第一公钥来建立所述安全连接。

4.根据权利要求1所述的方法，其中，所述动作是向所述用户授予对资产的使用权以及为所述用户提供资源中的一个。

5.根据权利要求1所述的方法，其中，涉及所述移动设备的传输通过配对技术来进行。

6.一种识别系统，包括：

数据储存器，其用于存储将用户与移动设备相关联的登记数据集，其中登记数据集包括相应的一次性密码种子；

登记模块，其用于接收来自用户的要关联移动设备与所述用户的登记请求；

一次性密码种子生成模块，其用于为所述移动设备生成一次性密码种子，向所述移动设备提供所述一次性密码种子，以及存储关联所述用户、所述移动设备和所述一次性密码种子的登记数据集；以及验证模块，其用于接收来自受管设备的响应于由所述移动设备广播的存在识别符的请求，其中所述存在识别符的一部分是基于存储在所述移动设备中的一次性密码种子生成的一次性密码，并且来自受管设备的响应于由所述移动设备广播的存在识别符的所述请求仅包括所述存在识别符的所述部分，并且用于在基于存储在所述数据储存器中的一次性密码种子验证了所述一次性密码之后，向所述受管设备提供与所述用户相关联的识别信息。

7.根据权利要求6所述的系统，其中所述登记请求包括由所述移动设备生成的公钥，所述公钥与存储在所述移动设备上的私钥配对，并且其中由所述一次性密码种子生成模块将所述公钥与所述登记数据集一起存储在所述数据储存器中。

8.根据权利要求7所述的系统，其中，提供给所述受管设备的识别信息包括所述公钥，以促成在所述受管设备与所述移动设备之间建立安全通信。

9.根据权利要求6所述的系统，其中，提供给所述受管设备的识别信息控制所述受管设备为所述用户执行动作。

10.根据权利要求6所述的系统，其中，提供给所述受管设备的识别信息授权所述用户使用由所述受管设备控制的资源。

11.根据权利要求6所述的系统，其中所述登记请求是经由登记设备从所述移动设备接收的，并且其中所述一次性密码种子是经由所述登记设备提供给所述移动设备的。

12.一种存储设备可执行指令的非暂时性计算机可读介质，所述设备可执行指令在被执行时使得所述设备：将登记数据发送到识别服务器，所述登记数据包括与存储在所述设备中的第一私钥配对的第一公钥，并且其中所述识别服务器使用所述登记数据来将一次性密码种子与所述设备的用户相关联；

从所述识别服务器接收所述一次性密码种子；

周期性地广播包括基于所述一次性密码种子生成的一次性密码的存在识别符，其中所述存在识别符由受管设备用来从所述识别服务器获得识别所述设备的所述用户的信息并代表所述用户执行动作，并且其中仅所述存在识别符中的所述一次性密码由所述受管设备提供给所述识别服务器。

13.根据权利要求12所述的非暂时性计算机可读介质，其中，所述指令还使得所述设备：从所述受管设备接收第二公钥；

与所述识别服务器一起验证所述第二公钥；以及

基于所述第二公钥并基于所述受管设备在识别信息中从所述识别服务器接收所述第一公钥来建立与所述受管设备的安全连接。

14.根据权利要求12所述的非暂时性计算机可读介质，其中所述登记数据是经由登记设备发送到所述识别服务器的，并且其中所述一次性密码种子是经由所述登记设备从所述识别服务器接收的。

15.根据权利要求12所述的非暂时性计算机可读介质，其中，所述存在识别符基于所述一次性密码种子周期性地改变，以模糊所述设备的用户的身份。

说明书

用于存在识别的方法、设备和系统

背景技术

[0001] 人们在日常生活和工作中使用各种移动设备(例如，手机、平板电脑、膝上型计算机)。在商业中，有时期望使用移动设备来识别和/或认证个人用户。这可以通过例如使用移动设备作为多因素认证方案中的一个因素来实现。这可以通过例如在移动设备上显示密码、从移动设备广播信标等来实现。

附图说明

[0002] 结合以下详细描述可以更全面地理解本申请，这些详细描述是结合附图考虑的。

[0003] 图1例示了与存在识别相关联的示例设备。

[0004] 图2例示了与存在识别相关联的示例操作的流程图。

[0005] 图3例示了与存在识别相关联的示例系统。

[0006] 图4例示了与存在识别相关联的示例操作的另一流程图。

[0007] 图5例示了与存在识别相关联的示例操作的另一流程图。

[0008] 图6例示了示例计算设备，示例系统和方法以及等同物可以在该示例计算设备中操作。

具体实施方式

[0009] 描述了与存在识别(presence identification)相关联的系统、方法和等同物。如上所述，由设备广播的信标可以用于向企业的信息技术基础设施的一些部分识别和/或认证用户。然而，当用户的移动设备持续广播单个信标或包括关于用户的个人识别信息的信标时，可能存在隐私和/或安全问题。例如，可能能够在持续广播信标的用户旅行、访问客户等等时跟踪他们。此外，广播相同的信标可能易受重放攻击的影响，重放攻击允许某人通过将信标的复制发送到受管资源来获得对该资源的使用权(access)。

[0010] 为了解决隐私和安全挑战，用户的移动设备可以嵌入一次性密码种子，其副本存储在帮助企业管理信息技术资源的识别服务器中。因此，移动设备可以根据一次性密码种子和移动设备已知的时间表来轮换其存在识别符，而不是广播单个存在识别符。当受管设备检测到存在识别符时，该受管设备可以向识别服务器检查该存在识别符是否可信。识别服务器可以使用其一次性密码种子的副本来认证用户，并根据受管设备的功能来批准受管设备连接到移动设备和/或与用户交互。

[0011] 图1例示了与存在识别相关联的示例设备。应当理解，图1中描绘的项目是例示性示例，并且许多不同的系统、设备等可以根据各种示例进行操作。

[0012] 图1例示了移动设备100。移动设备可以是例如手机、平板电脑、膝上型计算机等。移动设备100可以由用户来控制。用户可能寻求将自己与公司的信息技术基础设施内的移动设备100相关联，以便用户可以利用由该基础设施管理的资源和设备。例如，当用户是公司的雇员、支付公司提供的服务等时，这可能是适当的。因此，用户可以向识别服务器120注册移动设备100。在一些示例中，可以经由登记设备130来处理该注册。登记设备可以是例如用户的个人计算机、当用户是公司的雇员时由公司提供给用户的计算机，等等。在其他场景中，移动设备100直接操纵向识别服务器120注册可能是适当的。这可能在移动设备100具有建立到识别服务器120的安全连接的方式时是适当的。

[0013] 注册过程可以使识别服务器120存储将用户与移动设备100相关联的识别信息。识别信息还可以包括作为注册过程的一部分被提供给移动设备100的一次性密码种子125。另外，识别信息还可以包括第一公钥。第一公钥可以由移动设备100生成，并与移动设备安全地存储的第一私钥配对。如下面将讨论的，移动设备100可以使用第一公钥和第一私钥来与由信息技术基础设施管理的设备(例如，受管设备110)安全地通信和/或与之建立安全连接。

[0014] 一旦移动设备100接收到一次性密码种子125，移动设备100就可以开始周期性地广播存在识别符105。存在识别符105可以是由移动设备100基于一次性密码种子125生成的。具体来说，基于移动设备100和识别服务器120已知的时间表，移动设备100可以广播一系列不同的存在识别符105。例如，对于第一时间段，移动设备100可以广播基于与第一时间段相关联的时间戳并基于一次性密码种子125生成的第一存在识别符。在第一时间段结束之后的第二时间段的开始，移动设备100可以广播基于与第二时间段相关联的时间戳并基于一次性密码125的第二存在识别符。移动设备100广播单独的存在识别符的时间长度可以取决于操作识别服务器120的公司所期望的安全重要性、移动设备100的用户期望的匿名性等等。在一些示例中，由移动设备100广播的每个存在识别符105可以是针对该特定广播唯一地生成的。

[0015] 存在识别符可以由受管设备110检测。受管设备110可以是构成公司的信息技术基础设施的设备、装置等。这些设备可以包括例如打印机、计算机、安全检查点、会议技术以及可能期望向该设备识别和/或认证移动设备100的用户的其他类型的设备。

[0016] 当受管设备110检测到存在识别符105时，受管设备可以联络识别服务器120来确定存在识别符105是否有效。因此，识别服务器120可以使用其一次性密码种子125的副本来验证使用存储在移动设备100上的一次性密码种子125的副本生成的存在识别符105和/或存在识别符125的一部分。当识别服务器120成功验证了存在识别符105时，识别服务器120可以向受管设备110提供与用户和/或移动设备100相关联的识别信息。这可以允许受管设备110代表用户和/或移动设备100采取一些动作，这取决于受管设备110的功能。

[0017] 受管设备110采取的动作类型可以取决于受管设备110被设计为执行的功能的类型。例如，当用户走进会议室时，该会议室中的受管设备110可以检测到存在识别符105，并在向识别服务器130证实了存在识别符105之后为该用户预留会议室。在该示例中，受管设备110还可以例如开始操作某些会议室特征(例如，投影仪、电话会议服务)、发起与用户的日历相关联的会晤、在会议室中的计算机上启动与用户的账户相关联的虚拟桌面等等。用于激活这些各种特征的信息可以是从识别服务器130本身获得的，或者是从作为受管设备110能够访问的信息技术基础设施的一部分的其他设备获得的。其他类型的受管设备110可以包括例如计算机、打印机、安全措施等。

[0018] 在其他示例中，可能期望受管设备110与移动设备100建立安全连接。当受管设备110被设计为使用存储在移动设备100上的数据来执行某些服务时，这可能是合期望的。例如，可以基于由识别服务器120促成的移动设备100和受管设备110之间的安全密钥交换来建立安全连接。在一个示例中，受管设备110可以使用由识别服务器120存储的识别信息中维持的第一公钥，如上所述。因此，当识别服务器120验证了存在识别符105时，识别服务器
120可以将第一公钥发送到受管设备110。另外，受管设备110可以将第二公钥发送到移动设备100。第二公钥可以与受管设备110保存在安全存储中的第二私钥配对。然后，移动设备
100可以向识别服务器120验证第二公钥，以确保受管设备110是并入了识别服务器120与之相关联的信息技术基础设施中的设备。该验证以及受管设备110接收第一公钥可以完成安全密钥的成功交换，可以使用这点来确保移动设备100和受管设备110之间的通信。

[0019] 应当理解，在以下描述中，阐述了许多具体细节以提供对示例的透彻理解。然而，应当理解，可以在不限于这些具体细节的情况下实践这些示例。在其他情况下，可能未详细描述方法和结构以免不必要地模糊对示例的描述。而且，这些示例可以彼此组合使用。

[0020] 本文使用的“模块”包括但不限于硬件、固件、存储在计算机可读介质上或在机器上执行的软件、和/或用于实行(一个或多个)功能或(一个或多个)动作和/或导致来自另一模块、方法和/或系统的功能或动作的各种的组合。模块可以包括软件控制的微处理器、分立模块、模拟电路、数字电路、编程模块设备、包含指令的存储器设备等。模块可以包括门、门的组合或其他电路组件。在描述多个逻辑模块的情况下，将多个逻辑模块合并到一个物理模块中可以是可能的。类似地，在描述单个逻辑模块的情况下，该单个逻辑模块分布在多个物理模块之间可以是可能的。

[0021] 图2例示了示例方法200。方法200可以体现在存储处理器可执行指令的非暂时性处理器可读介质上。指令在被处理器执行时可以使处理器实行方法200。在其他示例中，方法200可以存在于专用集成电路(ASIC)的RAM和/或逻辑门中。

[0022] 方法200可以执行与个人识别相关联的各种任务。在各种示例中，方法200可以由作为公司的信息技术基础设施的一部分的受管设备来执行，类似于受管设备110(图1)。方法200包括在210处检测存在识别符。可以从移动设备接收广播。在整个方法200中，涉及移动设备的传输可以例如通过配对技术来进行，所述配对技术诸如蓝牙、近场通信、WIFI等。移动设备可以是例如手机、膝上型电脑、平板电脑等。移动设备可以属于用户。可以基于一次性密码种子生成存在识别符的一部分。还可以基于移动设备已知的时间表来生成该部分，使得移动设备周期性地改变正在广播的存在识别符。这可以允许移动设备模糊移动设备的用户的身份。

[0023] 方法200还包括在220处将存在识别符的该部分提供给识别服务器。方法200还包括在230处接收识别信息。识别信息可以与用户相关联。可以从识别服务器接收识别信息。识别服务器可以使用存在识别符的该部分来基于一次性密码种子来识别用户。

[0024] 方法200还包括在240处执行动作。可以基于识别信息执行动作。在各种示例中，动作可以包括向用户授予对由执行方法200的设备管理的资产的使用权、为用户提供资源、与移动设备建立安全连接等等。

[0025] 作为例示，可以通过由识别服务器证实了的公钥交换来建立安全连接。例如，可以向移动设备提供第一公钥，然后可以向识别服务器验证第一公钥。此外，可以与由识别服务器提供的识别信息一起包括与移动设备相关联的第二公钥。因此，执行方法200的设备可以能够使用第二公钥来与移动设备安全地通信，并且移动设备可以能够使用第一公钥来与执行方法200的设备安全地通信。

[0026] 图3例示了系统300。系统300包括数据储存器310。数据储存器310可以存储将用户与移动设备399相关联的登记数据集。登记数据集可以包括相应的一次性密码种子。

[0027] 系统300还包括登记模块320。登记模块320可以接收来自用户的要将移动设备399与该用户相关联的登记请求。在一些示例中，可以经由登记设备(未示出)从移动设备399接收登记请求。在该示例中，可以经由登记设备将一次性密码种子提供给移动设备399。

[0028] 系统300还包括一次性密码种子生成模块330。一次性密码种子生成模块330可以为移动设备399生成一次性密码种子。一次性密码种子生成模块330还可以将该一次性密码种子提供给移动设备。一次性密码种子生成模块330还可以在数据储存器310中存储登记数据集，该登记数据集将用户、移动设备399和一次性密码种子相关联。

[0029] 系统300还包括验证模块340。验证模块340可以接收来自受管设备390的请求。可以响应于移动设备399广播的存在识别符而接收来自受管设备390的请求。存在识别符可以包括基于移动设备399中的一次性密码种子生成的一次性密码。在接收到请求时，验证模块340然后可以基于存储在数据储存器310中的一次性密码种子来验证该一次性密码，并将与用户相关联的识别信息提供给受管设备390。在一些示例中，向受管设备390提供识别信息可以控制受管设备390为移动设备399的用户执行动作。作为例示，识别信息可以授权该用户使用由受管设备390控制的资源。

[0030] 在一个示例中，由登记模块320接收的登记请求可以包括由移动设备399生成的公钥。该公钥可以与存储在移动设备399上的私钥配对。该公钥可以由一次性密码种子生成模块330存储在数据储存器中，作为关联用户、移动设备399和一次性密码种子的登记数据集的一部分。在该示例中，当验证模块340向受管设备390提供识别信息时，识别信息可以包括该公钥。这可以促成在受管设备390和移动设备399之间建立安全通信。

[0031] 图4例示了方法400。方法400可以由诸如移动设备100(图1)之类的设备来执行。该设备可以由用户来控制。方法400包括在410处将登记数据发送到识别服务器。登记数据可以包括第一公钥。第一公钥可以与存储在该设备中的第一私钥配对。识别服务器可以使用登记数据来将一次性密码种子与设备的用户相关联。

[0032] 方法400还包括在420处接收一次性密码种子。可以从识别服务器接收一次性密码种子。在一些示例中，在动作410处发送到识别服务器的登记数据可以是经由登记设备发送的。在该示例中，可以经由登记设备从识别服务器接收一次性密码种子。

[0033] 方法400还包括在430处周期性地广播存在识别符。存在识别符可以包括基于一次性密码种子生成的一次性密码。因此，存在识别符可以基于一次性密码种子而周期性地改变，这可以模糊该设备的用户的身份。受管设备可以使用存在识别符来从识别服务器获得识别设备用户的信息。存在识别符和/或识别设备用户的信息可以由受管设备用来代表用户执行动作。

[0034] 图5例示了与存在识别相关联的方法500。方法500包括与上面参考方法400(图4)描述的动作类似的若干动作。例如，方法500包括在510处将登记数据发送到识别服务器，在520处接收一次性密码种子，以及在530处周期性地广播存在识别符。

[0035] 方法500还包括在540处接收第二公钥。该第二公钥可以是从接收到了在动作530处广播的存在识别符的受管设备接收的。

[0036] 方法500还包括在550处向识别服务器验证第二公钥。验证第二公钥可以向执行方法500的设备确保该第二公钥是从作为与识别服务器550相关联的信息技术基础设施的一部分的设备接收的。因此，验证第二公钥可以防止执行方法500的设备无意间将敏感信息发送到未授权设备。

[0037] 方法500还包括在560处与受管设备建立安全连接。可以基于第二公钥并基于受管设备在识别信息中从识别服务器接收第一公钥来建立安全连接，所述识别信息是由识别服务器向受管设备提供的。

[0038] 图6例示了示例计算设备，示例系统和方法以及等同物可以在该计算设备中操作。示例计算设备可以是计算机600，其包括通过总线630连接的处理器610和存储器620。计算机600包括存在识别模块640。存在识别模块640可以单独地或组合地执行上面参考示例系统、方法等描述的各种功能。在不同的示例中，存在识别模块640可以被实现为存储处理器可执行指令的非暂时性计算机可读介质，被实现在硬件、软件、固件、专用集成电路中，和/或其组合。

[0039] 指令还可以作为数据650和/或过程660被呈现给计算机600，所述数据650和/或过程660临时存储在存储器620中并然后由处理器610执行。处理器610可以是各种处理器，包括双微处理器和其他多处理器架构。存储器620可以包括非易失性存储器(例如，只读存储器)和/或易失性存储器(例如，随机存取存储器)。存储器620还可以是例如磁盘驱动器、固态盘驱动器、软盘驱动器、磁带驱动器、闪存卡、光盘等。因此，存储器620可以存储过程660和/或数据650。计算机600还可以以许多配置(未示出)与其他设备相关联，所述其他设备包括其他计算机、设备、外围设备等。

[0040] 应该理解，提供所公开示例的先前描述是为了使本领域技术人员能够制作或使用本公开。对于本领域技术人员来说，对这些示例的各种修改将是容易地显而易见的，并且本文定义的一般原理可以应用于其他示例而不脱离本公开的精神或范围。因此，本公开不旨在限于本文所示的示例，而是旨在与符合本文公开的原理和新颖特征的最宽范围相一致。