弹性、可恢复的动态设备识别的制作方法
【技术领域】
[0001]本披露涉及设备识别，更具体地涉及弹性、可恢复的动态设备标签。
【背景技术】
[0002]企业可以通过用户凭证(例如用户名和密码)来认证用户，进而控制用户对企业应用程序如Web应用程序的访问。企业可能希望实施使用两个或多个验证因素的双因素验证来提供一个更安全的环境。验证因素包括“所知”(例如用户名、密码、个人识别码、图案)、“所有”(例如设备、计算机、移动电话、物理卡、智能卡、验证令牌)，以及“特征”(例如生物特性，如指纹或独一无二的视网膜)。当用户访问使用双因素认证的网站时，该网站可能会要求用户提供用户名和密码(“所知”)。同时，该网站还可以从与用户有关联的设备检测或接收识别数据(“所有”)，并且可以借助设备标签来识别设备。而常规方法对于攻击者来说是脆弱的，因为攻击者可以截获设备标签并将设备标签复制到另一个设备来进行攻击。使用此类方法时，用户易受身份盗用和网络欺诈的影响。其他常规方法在设备标签丢失、被除去或删除时会失去与已知设备或经认证设备的联系。
【发明内容】
[0003]在一个具体实施中，描述了使用设备标签集来识别设备的系统。一个示例系统可包括存储器和处理设备，其中该处理设备经由网络接收一条访问服务器的请求。该访问服务器的请求中包括第一设备标签集。当该第一设备标签集与先前分配的设备标签集匹配时，该处理设备在不要求用户提供完整访问凭证的情况下允许对服务器的访问，并且使该第一设备标签集无效，然后发送第二设备标签集。当该第一设备标签集与先前分配的设备标签集不匹配时，该处理设备要求用户提供完整的访问凭证。
[0004]在一个具体实施中，该第一设备标签集为设备标签。在另外的具体实施中，该设备标签包括静态部分和动态部分。该动态部分具有第一动态值。在另一个具体实施中，发送第二设备标签集包括用第二动态值替换该第一动态值。在一个具体实施中，使该第一设备标签集无效包括使该设备标签动态部分的第一动态值无效。该第一设备标签集和该第二设备标签集可以是多个设备标签集的序列的一部分，并且该第二设备标签集在序列中排在该第一设备标签集后面。
[0005]该第一设备标签集可包括多个设备标签，并且该处理设备可在网页中放入代码，使得多个设备标签中的每一者都放置在客户端设备的不同存储位置。可经由安装在客户端设备上的应用程序来访问客户端设备中的这些存储位置。该处理设备可接收用于指示多个设备标签中每一者的位置的位置地图。当该位置地图指出第一预先确定数量的多个设备标签从这些存储位置丢失时，该处理设备还可以发送丢失的设备标签。当该位置地图指出第二预先确定数量的多个设备标签从这些存储位置丢失时，该处理设备可进一步请求完整的访问凭证。在一个具体实施中，该处理设备可使用该位置地图识别多个设备标签中的每一者是否在期望的存储位置。当该位置地图指出其中设备标签不在期望的存储位置时，该处理设备可要求用户提供完整的访问凭证。在一个具体实施中，该处理设备可接收无效的第一设备标签集并且可根据接收到的无效第一设备标签集使第二设备标签集无效。
[0006]此外，本发明还描述了一种使用设备标签集来识别设备的方法。一个实施该方法的计算机系统可经由网络接收访问服务器的请求。该请求包括第一设备标签集。当该第一设备标签集与先前分配的设备标签集匹配时，该处理设备在不要求用户提供完整访问凭证的情况下允许对服务器的访问，并且使该第一设备标签集无效，然后发送第二设备标签集。当该第一设备标签集与先前分配的设备标签集不匹配时，该处理设备要求用户提供完整的访问凭证。
[0007]此外，本发明还描述了一种使用设备标签集来识别设备的非暂态计算机可读存储介质。该非暂态计算机可读存储介质包括多个指令，当处理设备执行这些指令时，这些指令会让该处理设备经由网络接收访问服务器的请求。该请求包括第一设备标签集。当该第一设备标签集与先前分配的设备标签集匹配时，该处理设备在不要求用户提供完整访问凭证的情况下允许用户访问服务器。该处理设备还可使第一设备标签集无效并发送第二设备标签集。当第一设备标签集与先前分配的设备标签集不匹配时，处理设备要求用户提供完整的访问凭证。
[0008]在一个具体实施中，当该第一设备标签集与先前分配的无效设备标签集匹配时，该服务器确定该无效的第一设备标签集为先前有效的第一设备标签集的副本。该服务器可使与该第一设备标签集相关联的任何设备标签集(包括第二设备标签集)无效，并且可要求用户提供完整的访问凭证。
【附图说明】
[0009]从下面给出的详细描述和本披露的各种具体实施的附图可以更完整地了解本披
Mo
[0010]图1根据各种具体实施示出了示例系统架构。
[0011]图2示出了示例设备标签。
[0012]图3为设备标签模块的具体实施的框图。
[0013]图4为示出了一种使用设备标签集识别设备的方法的具体实施的流程图。
[0014]图5为示出了一种使用多个存储位置的设备标签集识别设备的方法的具体实施的流程图。
[0015]图6为可执行本文所述操作中的一者或多者的示例计算机系统的框图。
【具体实施方式】
[0016]本文根据各种具体实施描述了一种提供弹性、可恢复的动态设备识别的方法和系统。当一名用户使用特定客户端设备首次访问服务器(例如提供网站的服务器)时，该客户端设备对于该网站来说是未知的。该客户端设备的未知状态会给该网站带来风险。对于使用双因素认证的网站，该网站会要求用户提供多个认证因素，之后才会允许用户使用该客户端设备访问该网站。基于风险的认证技术可使用设备的上下文作为双因素认证中的第二因素。在该网站认证这些访问凭证后，该网站可向该客户端设备发送设备标签。当该客户端在将来访问该网站时，该网站可使用该设备标签将该设备识别为已知客户端设备。如果访问该网站的该客户端设备是已知的客户端设备或先前注册过的客户端设备，那么可认为该客户端的访问请求所带来的风险比未知客户端设备低。对于风险较低的访问请求，基于风险的认证系统可要求进行较低层次的用户认证和客户端设备认证。
[0017]该设备标签可以是动态的并且可在每次设备验证后更改。可使先前的设备标签失效，通过设备标签跟踪服务识别最新的设备标签。最新的设备标签可用来验证客户端设备。在标签被复制用于另一个客户端设备时这种方式有利于检测。
[0018]图1为示例系统架构100，本披露的具体实施可在该架构中运行。系统架构100可包括客户端设备101、161、181，以及资源机160、170，其中每台客户端设备和每台资源机都具有一个或多个可连接到网络130的网络连接。
[0019]资源机160、170可以是一台或多台机器，该一台或多台机器包括经由网络130连接到客户端设备101、161、181的一台或多台服务器计算机、网关或其他类似的计算设备。在系统架构100中可存在任何数量的资源机或服务器。
[0020]资源机160、170可经由网络130向客户端设备101、161、181提供互联网资源，如网页。资源机160、170可包括提供设备标签调配和管理功能的设备标签模块165、175。下面结合图3进一步详细描述了设备标签模块165、175的示例功能。在认证用户和/或客户端设备后，资源机160、170可生成并发送客户端设备的设备标签集。资源机160、170可接收并跟踪设备标签集。例如，当资源机160、170接收后来的访问请求时，资源机可验证设备标签集，而如果设备标签集是有效的，那么资源机160、170可为客户端设备生成或分配新的设备标签集。例如，如果收到的设备标签集中的某个设备标签是无效的，那么如本文更详细描述的那样，资源机160、170可使整个设备标签集以及与相应客户端设备相关联的所有设备标签集无效。当资源机160、170向客户端设备101、161、181提供所请求的网页时，设备标签模块165、175可在网页中放入代码(例如脚本)，使得客户端设备101、161、181在本地存储新的或更新的设备标签集155。例如，该脚本可指示网络浏览器在客户端设备101、161、181中存储该设备标签集155。下次客户端设备101、161、181向该资源机发送访问请求时，客户端设备101、161、181可向该资源机提供设备标签集155。这样一来，设备标签模块165可以使用设备标签集155来识别客户端设备101、161、181。
[0021]在该客户端设备与网站(如由资源机160、170提供的网站)交互时，可以使用设备标签155识别客户端设备101、161、181。设备标签155可提供双因素认证所需的认证因素，比如认证因素一一 “所有”。设备标签的一个示例为“cookie”。cookie可存储用户偏好、登录凭证、认证数据，以及(例如)网站可用于在后续访问中识别客户端设备101、161、181的设备信息。
[0022]客户端设备101、161、181可以是带有如浏览器的应用程序的任何电子设备，也可以是带有具有类似浏览器的能力的应用程序的任何电子设备，如台式计算机、膝上型计算机、服务器计算机、移动电话(也被称为手机或蜂窝式电话)、寻呼机、个人数字助理(PDA)、无线终端、平板电脑、瘦客户端，或另一种电脑、游戏系统、电视机、机顶盒、DVD或蓝光播放器，或具有到网络130的一个或多个网络连接(无线连接或有线连接)的另一种电子设备。在系统架构100中可存在任何数量的客户端设备。
[0023]在所描绘的实施例中，客户端设备101、161、181包括一个或多个应用程序105、设备标签代理107、一个或多个存储位置151，以及从资源机160、170收到的一个或多个设备标签集155。应用程序105可为使用