专利名称:在一计算机环境中提供自适应安全访问的方法与装置的制作方法
技术领域：
本发明涉及在一计算机环境中的用户访问。更具体来讲，本发明涉及在一计算机环境中适应来自不同始发客户机的安全用户登录的方法与装置。
背景技术：
用户通常会使他们的口令泄漏(丢失或者被窃)。攻击者一般可以使用窃取的用户名/口令假冒一名来自一远端地点的用户。这损害了攻击者混入的业务，对于服务提供商来说代价很高。
大多数的公司允许用户使用极少的验证(也就是一个次要口令)访问内部网。这是一种极端的情况，该公司知道用户来自哪里；该用户的接入点在一预期的区域内(例如该公司大楼内部)。当一用户从一非预期区域(例如从家中)访问公司的内部网时，用户必须使用一安全ID(即一个主要口令)访问第一级别。
其他用于识别人员的机制例如生物测量学(指纹、视网膜扫描仪等等)是很昂贵的，并且硬件密集。这类方法很难安装和使用。如果应用于因特网，他们也是不切实际的。
避免口令失窃薄弱性的最常见解决方案是要求将密钥资料携带到每一验证环境。有时该密钥资料被保存在一智能卡中，有时它是以一张软盘携带(也许包含私人密钥)。任一方法一般都不是用户友好的，并且势必造成丢失该无口令资料的问题(或者是用户忘记携带该资料)。
提供一种自动地适应用户的登录模式的自适应多层验证系统将很有帮助。提供一种不要求服务供应商提供额外硬件的自适应多层验证系统将更有帮助。
发明内容
本发明提供一种自适应的多层验证系统。该系统自动地适应用户的登录模式。此外，本发明通过使用一种基于询问的安全性系统而不要求服务供应商提供额外的硬件。
本发明提供一种在一计算机环境中提供自适应安全访问的方法，包括步骤接收用户的登录请求；将所述用户登录请求的信息与来自所述用户的个人资料档案里存储的登录模式进行比较；根据比较的结果计算所述登录请求的信用级别；如果所计算的信用级别不足以满足要求，则基于所计算的信用级别交互询问所述用户个人信息，其中所述个人信息有所述用户在所述当前登录请求之前存储在所述个人资料档案中；如果所计算的信用级别达到足够高，则授权用户访问；以及基于该当前的登录请求为所述用户更新所述个人资料档案。
本发明还提供一种在一计算机环境中提供自适应安全访问的装置，包括一服务器，所述服务器包括一用户访问控制模块；和一评估用户模式模块，连接于该用户访问控制模块，其中，所述用户访问控制模块包括用于从一用户接收登录请求的装置；所述评估用户模式模块包括用于将所述用户登录请求的信息与来自所述用户的个人资料档案中存储的用户登录模式进行比较的装置；用于基于比较的结果计算所述当前用户登录请求的信用级别的装置；所述用户访问控制模块还包括如果所计算的信用级别不足以满足要求，则基于所计算的信用级别交互询问所述用户个人信息的装置，其中所述个人信息有所述用户在所述当前登录请求之前存储在所述个人资料档案中；所述评估用户模式模块还包括如果所计算的信用级别达到足够高，则授权用户访问的装置；以及基于该当前的登录请求为所述用户更新所述个人资料档案的装置。
本发明的一个最佳实施例提供仅当来自一新环境的用户试图连接时使用的辅助层验证。本发明接收用户的输入，例如登录尝试和对系统询问的响应。
获取诸如IP地址、始发电话号码或者该用户机器上的跟踪文件(Cookies)等用户登录信息以用于鉴定。为每一用户保留用户/使用资料档案。
将该用户登录信息与来自该特定用户的用户/使用资料档案的信息相比较。该用户/使用资料档案包含曾经建立该帐号的用户的所有用户信息以及详述该用户的访问模式的使用资料档案。
计算当前用户登录的信用级别，而且本发明确定是否要求对该用户的额外的询问。如果信用级别高，那么该用户被授权访问该系统。如果该信用级别不够高，那么向该用户发送询问。评估该用户的回答，并根据信用级别和回答授权或者拒绝访问。该用户的资料档案被更新，来反映这次访问尝试。
本发明的其他方面和有益效果将根据随后结合附图的详细说明而变得清晰，以举例的方式阐明本发明的原理。
图1是根据本发明的一种用户远程访问方案的框图；图2是根据本发明的一种多个接入点实例的框图；以及图3是根据本发明的作业视图的框图。
其中，附图标记说明如下具体实施方式
本发明具体化为一种在一计算机环境中的自适应的多层验证系统。一种根据本发明的系统自动地适应用户的登录模式。此外，本发明提供一种系统，通过使用一种基于询问的安全性系统而不要求服务供应商提供额外的硬件。
用户通常会使他们的口令泄漏(丢失或者被窃)。攻击者一般可以使用窃取的用户名/口令假冒一名来自一远端站点的用户。这损害了攻击者混入的业务，对于服务提供者来说代价很高。本发明通过提供仅当来自一新环境(即来自一新计算机、信息站等等)的用户尝试连接时使用的辅助层验证，使这类假冒更困难。
参看图1，图中示出了一种简单的用户界面方案。该用户101登录服务器102。该服务器检索该用户的已存储的使用资料档案103。对照该用户的资料档案用户101对访问该服务器的位置进行校验，以便为这次会话确定信用级别。该服务器102根据该信用级别确定是否必须采取任何额外的安全措施。
本发明的一最佳实施例分析用户对一业务的使用以及通常的接入点，以便补充每一接入点的信用级别。如果该用户总是从家中拨号访问一种业务例如AOL，本发明觉察到该模式，并在不久后当该用户访问从家中访问该业务时确定该信用级别是高的。在该点，本发明将允许直接登录该业务而不会要求任何辅助信息。
当该用户突然旅游并在旅途中访问该业务，那么该用户的信用级别降级，并在允许访问以前要求更多的验证询问。举例来说，该业务可能告诉该用户“我们惊讶地发现到你从加利福尼亚拨入。我们仅仅需要对你的身份做少许额外的背景核对。你告诉我们你有多少条狗？他们的名字是什么？”参照图2，该用户可能是一名推销员，并到不同的城市旅行。该用户的模式可能是最随机的，因为他的接入点跨越国家201、202、203。服务器204考虑到这一点，并确定这是该用户的正常模式。该服务器204在该用户的资料档案205中记录这一事实。
然而，如果该用户在一位置201登录该服务器204，然后另一用户在另一位置203使用相同身份登录，该服务器204将立即将第二位置的信用级别降级并要求更多的验证询问。这也适用于这样的情况，即举例来说，当一用户在美国登录而五小时后在日本发生一个类似的登录。本发明知道这样的时间期间是不大可能的。
本发明自动处理跟踪信息，例如IP地址、用户从哪里拨入以及访问次数。这些数据组合而成的资料档案被用来作为确定信用级别的基础。举例来说，本发明运用以下标准为一系统进行验证该用户是从哪里拨入(例如，电话号码)。
使用的机器类型(例如Mac或者PC)。
该机器上的操作系统。
该机器上的跟踪文件(Cookies)/标签(Tags)。
IP地址(例如，同一IP地址或者同一子网)，当一用户登录时，该计算机的某些显著特征被记录。在该典型实例中，一个随机标记被写入该客户计算机的存储器或者磁盘中。只有当该已有标记位于被用来登录的计算机上时登录才照常进行(例如可以在每一计算机上为HTTP事务使用一个识别跟踪文件(Cookies)。当用于识别计算机的元素与该用户的“计算机所用标准列表”不相配时，那么就如上所述，在完成验证以前要求某些辅助询问(例如“你的生日是什么？”，“你的家庭电话号码是什么？”)。
该系统适应并学习用户从之登录的新地点，然后转而仅仅从该地点使用最小限度的用户名/口令。可以使用其他技术识别上列的登录环境(例如IP地址或者拨入线路)，但是设置唯一的标记(文件、跟踪文件(Cookie)等等)确保了环境检验。
该用户不再承担必须携带任何可能丢失或者失窃的东西(例如智能卡)的负累。该方法类似于传统的个人识别系统，在这样的系统中，当用户是已知的的时候，则不要求额外的ID证据。
当本发明突然要求比往常更多的信息时，用户立即知道某些事情发生了错误。举例来说，如果该用户从家中登录，而这是一个正常位置，但该系统却要求比正常情况多的信息，例如该用户的狗的名字。这种不寻常的请求可能指示用户某些事情可能发生了错误，提示该用户调用客户支持以获取更多信息。
参看图3，用户访问控制模块301接收用户的输入，例如登录尝试和对系统询问的响应。所述用户访问控制模块301负责查找并检查用户登录信息，例如IP地址、始发电话号码或者该用户机器上的跟踪文件(Cookies)等。评估用户模式模块302从所述用户访问控制模块301处获得信息，并将它与来自该特定用户的用户/使用资料档案303的使用信息进行比较。该用户/使用资料档案包含曾经建立该帐号的用户的所有用户信息以及详述该用户的访问模式的使用资料档案。
计算当前用户登录的信用级别，而且所述评估用户模式模块302确定是否要求对该用户的额外的询问。经由所述用户访问控制模块301将询问发送给所述用户。所述用户的回答被从所述用户访问控制模块301转传给所述评估用户模式模块302。所述评估用户模式模块302根据所述信用级别以及对它要求的任何询问的回答来授权或者拒绝访问。所述评估用户模式模块302利用刚刚获得的信息为所述用户更新所述用户/使用资料档案303。
尽管本发明此处是参照最佳实施例进行描述，但本领域中的普通技术人员将很容易的理解其他应用可以代替此处阐述的这些应用，而不会脱离本发明的精神和范围。因此，本发明应当只受限于以下所附的权利要求
书。
权利要求
1.一种在一计算机环境中提供自适应安全访问的方法，包括步骤接收用户的登录请求；将所述用户登录请求的信息与来自所述用户的个人资料档案里存储的登录模式进行比较；根据比较的结果计算所述登录请求的信用级别；如果所计算的信用级别不足以满足要求，则基于所计算的信用级别交互询问所述用户个人信息，其中所述个人信息有所述用户在所述当前登录请求之前存储在所述个人资料档案中；如果所计算的信用级别达到足够高，则授权用户访问；以及基于该当前的登录请求为所述用户更新所述个人资料档案。
2.如权利要求
1所述的方法，其特征在于还包括识别和鉴定用户登录模式的步骤。
3.如权利要求
1所述的方法，进一步包括步骤在所述用户从那里登录的机器上安装一个跟踪文件/标签。
4.如权利要求
3所述的方法，还包括步骤仅在所述机器上存在来自先前访问的跟踪文件/标签时，没有建立增长的信用也可授权该用户访问。
5.如权利要求
1所述的方法，其特征在于所述关于该登录请求的信息至少包括用户从哪里拨入的；所用机器类型；所述机器上的操作系统；所述机器上的跟踪文件/标签；以及IP地址。
6.如权利要求
1所述的方法，其特征在于所述资料档案包括先前访问位置的信用级别。
7.如权利要求
1所述的方法，其特征在于如果所计算的信用级别不够高，那么拒绝所述用户访问。
8.一种在一计算机环境中提供自适应安全访问的装置，包括一服务器，所述服务器包括一用户访问控制模块；和一评估用户模式模块，连接于该用户访问控制模块，其中，所述用户访问控制模块包括用于从一用户接收登录请求的装置；所述评估用户模式模块包括用于将所述用户登录请求的信息与来自所述用户的个人资料档案中存储的用户登录模式进行比较的装置；和用于基于比较的结果计算所述当前用户登录请求的信用级别的装置；所述用户访问控制模块还包括如果所计算的信用级别不足以满足要求，则基于所计算的信用级别交互询问所述用户个人信息的装置，其中所述个人信息由所述用户在所述当前登录请求之前存储在所述个人资料档案中；所述评估用户模式模块还包括如果所计算的信用级别达到足够高，则授权用户访问的装置；以及基于该当前的登录请求为所述用户更新所述个人资料档案的装置。
9.如权利要求
8所述的装置，其特征在于所述评估用户模式模块还包括识别和鉴定用户登录模式的装置。
10.如权利要求
8所述的装置，所述服务器进一步包括在所述用户从那里登录的机器上安装一个跟踪文件/标签的装置。
11.如权利要求
10所述的装置，其特征在于所述服务器还包括仅在所述机器上存在来自先前访问的跟踪文件/标签时，没有建立增长的信用也可授权该用户访问的装置。
12.如权利要求
8所述的装置，其特征在于所述关于该登录请求的信息至少包括用户从哪里拨入的；所用机器类型；所述机器上的操作系统；所述机器上的跟踪文件/标签；以及IP地址。
13.如权利要求
8所述的装置，其特征在于所述资料档案包括先前访问位置的信用级别。
14.如权利要求
8所述的装置，其特征在于所述服务器还包括如果所计算的信用级别不够高，那么拒绝所述用户访问的装置。
专利摘要
本发明提供一种在一计算机环境中提供自适应安全访问的方法与装置，提供仅当来自一新环境的用户尝试连接时使用的辅助层验证。本发明接收用户的输入。获取用户登录信息以用于鉴定。为每一用户保留个人资料档案，并将该用户登录信息与来自该特定用户的个人资料档案的信息相比较，该个人资料档案中包含了曾经建立该帐号的用户的所有用户信息以及详述该用户访问模式的使用资料档案。计算当前用户登录位置的信用级别。如果信用级别高，那么该用户被授权访问该系统。如果信用级别不够高，那么向该用户发送询问，评估该用户的回答，并且基于该信用级别和回答授权或者拒绝访问。该用户的资料档案被更新，来反映这次访问尝试。
文档编号G06F21/00GKCN1313897SQ00819552
公开日2007年5月2日 申请日期2000年5月19日
发明者吉姆·罗斯金德, 罗里·沃德 申请人:网景通信公司导出引文BiBTeX, EndNote, RefMan