用户认证管理的制作方法

专利名称：用户认证管理的制作方法
背景技术：
在计算环境中，网站常常使用用户认证来达到安全目的，例如，以访问服务器或网站内容或执行在线交易。用户认证通常要求，用户向网站注册他们的标识信息，常常提供唯一用户名和相关联的安全代码，例如，字母数字密码。使用用户名和相关联的密码的用户认证通常被称为单因素认证。有时候，网站可以要求用户提供一个以上的形式的认证(例如， 安全密钥)，这常常被称为多因素认证(例如，两因素认证)。此外，网站可以使用认证码以便判断用户是人还是因特网-机器人程序(例如，用来滥发邮件的计算机)。用户认证也可以包括“带外”认证，其中，认证可以在以前建立的通信系统外部进行(例如，在向网页上输入用户名和密码之后，下载存储在闪存驱动器上的电子密钥)。
概述 提供本概述是为了以精简的形式介绍将在以下详细描述中进一步描述的一些概念。本发明内容并不旨在标识出所要求保护的主题的关键因素或必要特征，也不旨在用于限定所要求保护的主题的范围。
当网站的用户希望访问某些信息或在该网站上执行某些交易时，他们常常被要求向用户界面(UI)输入用户名和密码。例如，使用与特定用户名相关联的密码可以提供对用户的认证，因为密码通常只为向网站进行注册的用户所知(例如，共享秘密)。然而，如果密码被除已注册的用户以外的那些人(例如，身份窃贼)使用，用于对网站进行远程访问的安全性会破坏。可以使用多因素认证向用户认证添加一层或多层安全性，例如，当用户执行在线购物时。
当前多因素认证技术包括使用电话或移动设备作为第二认证因素。作为示例，当网站用户尝试在线购买商品时，主网站可以向用户的移动设备(例如，移动电话)发送短消息服务(SMS)消息(例如，文本消息)。在此示例中，在接收到SMS消息之后，用户可以以由网站所提供的认证密钥作出响应。以此方式，例如，身份窃贼将需要用户的用户名、密码，以及指定的移动设备才能完成认证。
以前的和当前的解决方案包括在从服务器系统接收到认证请求时自动呼叫用户指定的电话的系统(Authentify，http://WWW. authentify. com)。然而，只有那些与认证服务有预先的商业协定并获得了特定许可证的第三方站点才可以为他们的用户使用这种类型的多因素认证。此外，当前系统不提供对于第三方站点的普遍的自动供应，例如，通常要求希望使用认证服务的网站开发人员/所有者和服务实体之间的大量的人际交互。另外， 一些当前系统要求网站主持和提供多因素认证请求。
以前的和当前解决方案通常不允许最终用户(例如，经历了多因素认证过程的用户)管理认证过程和相关的帐户信息。例如，在当前系统中，最终用户可能不能轻松地访问关于使用他们的认证信息发生的交易的信息。此外，最终用户通常不具有，例如，管理何时以及如何使用多因素认证，或关闭对他们的指定的移动设备的服务的现成的能力。
此处提供了用于向因特网用户和第三方网站提供多因素认证服务的注册和帐户管理的技术和系统。在一个实施例中，注册第三方网站可以包括接收涵盖了希望使用多因素认证服务的第三方网站的有效数字身份证书(例如，SSL证书)。此外，为了注册第三方网站，认证服务可以接收用于该第三方网站的多因素认证服务的使用条款的协定。在此实施例中，一旦接收到这些项，多因素认证服务可以允许第三方网站使用该服务(例如，打开该服务，或向第三方网站发送授权密钥)。
在此实施例中，向多因素认证服务注册用户可以包括通过服务可用性的通知，让用户知道，基于用户的地区，该服务是否可用，并提供国家特定的短代码。此外，注册用户还可以包括向该服务注册用户的移动设备(例如，移动电话号码)，例如，以便提供多因素认证。另外，还可以提供基于因特网的用户帐户管理用户界面(UI)，该界面允许用户查看他们的帐户上的交易，还具有关闭指定的移动设备的认证的能力(例如，在电话丢失的情况下)。
为实现上述和相关目的，以下描述和附图阐述了各个说明性方面和实现。这些方面和实现仅指示可可以使用一个或多个方面的各种方式中的一些。结合附图阅读以下详细描述，则本发明的其他方面、优点、以及新颖特征将变得显而易见。
附图描述

图1是示出了多因素用户认证的示例性实施例的框图。
图2是示出了用于向第三方网站的多因素认证服务的用户提供认证服务帐户管理的示例性方法的流程图。
图3是示出了用户使用认证服务帐户管理的供应的一个示例性实施例的流程图。
图4是来自多因素认证网站的用户注册窗口的示例性实施例的图示。
图5是来自多因素认证网站的用户帐户管理窗口的示例性实施例的图示。
图6是示出了用于注册第三方网站以使用多因素认证服务的示例性方法的流程图。
图7是示出了第三方网站向多因素认证服务进行注册的一个示例性实施例的框图。
图8是第三方网站向多因素认证服务进行注册的另一示例性实施例的图示。
图9是包括被配置成实施这里所阐述的供应中的一个或多个的处理器可执行指令的示例性计算机可读介质的图示。
图10示出了其中可以实现此处所阐述的实施方式中的一种或多种的示例性计算环境。
具体实施例方式现在参考附图来描述所要求保护的主题，所有附图中使用相同的附图标记来指代相同的元素。在以下描述中，为解释起见，阐明了众多具体细节以提供对所要求保护的主题的全面理解。然而，很明显，所要求保护的主题可以在没有这些具体细节的情况下实施。在其他情况下，以框图形式示出了各个结构和设备以便于描述所要求保护的主题。
图1是示例多因素用户认证100的图示。在此示例中，浏览器页面102包括以用户使用用户名和密码进行登录的形式存在的第一认证因素104。当用户108通过在登录框 104输入他们的用户名和密码来启动认证时，第二级别的认证可以，例如，出现于浏览器页面102上的第二帧106中。在此示例中，第二帧可以包含扭曲文本的图像(例如，CAPTCHA图像)，以及告诉用户将向他们的移动设备110发送消息的状态消息，以及有关如何继续操作的说明。
在示例认证100中，为了继续进行用户认证，用户108在他们的移动设备110上接收关于认证的消息。在此示例中，消息可以包括基于SMS的文本消息，并可包括有关如何完成认证的说明。用户108可以发送对该消息的回复，其包括来自浏览器页面102上的帧106 中的扭曲文本图像的文本代码。接收到对认证消息的适当响应之后，可以认证用户108。
在一个实施例中，用户可能希望访问包括关于该用户的个人信息的网站(例如， 用于访问来自诊所的个人的病历的网站)。在此实施例中，该网站可以要求用户使用预先注册的用户名和密码进行登录，可以使用该登录信息来标识数据库中的有关用户的认证信息。然而，例如，如果用户正在尝试第一次访问认证服务，可能需要某些注册信息来处理用户认证。作为示例，用户可能需要注册可以被认证服务用来发送认证消息的移动设备。
一方面，使用多因素认证服务，例如，执行在线交易的第三方网站的用户，可能首先需要向多因素认证服务进行注册。在一个实施例中，注册可包括给该服务提供诸如移动电话号码之类的移动设备访问代码，以便对于该用户的第二认证可以使用移动设备。此外， 在此方面，用户可能希望管理他们的多因素认证服务的细节，例如，诸如查看涉及他们的认证的过去的交易。在此示例中，帐户管理还可涉及允许用户撤销指定用于认证的移动设备。
图2是用于向第三方网站的多因素认证服务的用户提供认证服务帐户管理的示例性方法200的流程图。示例性方法200从202开始，并包括在204向多因素认证服务注册用户。注册用户可以包括在206基于用户的地区，向用户提供多因素认证服务的可用性的通知。作为示例，多因素认证服务可以使用基于第二级别的认证的短消息服务(SMS)，该短消息服务是用户所在的国家所特有的。在此示例中，如果用户可能在多因素认证服务没有能力操作的国家使用此服务，可以向用户提供告诉该服务不可用的通知(例如，在用户可能进行注册的网站上)。
在208，注册用户还可以包括基于用户的地区向用户提供位置特定的认证服务移动访问代码。例如，在一个实施例中，由该服务的用户指定的移动设备可以包括移动电话。 在此实施例中，用户可以使用短代码来使用他们的移动电话访问多因素认证服务，例如，对认证消息作出回答，或从该服务查询帐户信息。此外，在此实施例中，移动电话所使用的短代码可以是例如诸如国家之类的地理位置所特定的。在此实施例中，可以向用户提供国家特定的短代码用于访问(例如，呼叫)多因素认证服务。
在210，在示例性方法200中，注册用户还可以包括向多因素认证服务注册用户的所希望的移动设备(例如，移动电话)，供用于多因素认证过程中。作为示例，一旦注册了移动电话，多因素认证服务可以在用户登录到使用该服务的第三方网站上之后向用户的指定的电话发送SMS消息(例如，文本消息)。在此示例中，为了被认证(例如，通过第二级别)，用户可以利用网站上显示的代码对SMS消息作出回答(例如，或者，在另一实施例中， 用户可以向网站输入通过SMS发送到他们的电话上的代码)。
在示例性方法200中，在212，可以提供基于因特网的用户帐户撤销服务，其可以包括用户界面(UI)，该用户界面允许用户撤销指定供多因素认证服务用于将来的多因素认证的移动设备。例如，如果多因素认证服务的用户丢失了他们指定用于认证服务的移动设备，则他们可能不能访问网站的使用该服务的区域。此外，在此示例中，如果另一个人找到该移动设备，则他们可能能够授权用户并未参与的交易。因此，在一个实施例中，用户可以登录到该认证服务中的他们的帐户，并且，例如，停用丢失的用于认证的电话。
在另一实施例中，基于因特网的用户帐户撤销服务UI可以给用户提供允许不使用用户的指定的移动设备即可进行认证的能力。作为示例，如果用户丢失他们的移动设备并使用认证服务的用户帐户UI停用该设备，则用户可能仍希望访问使用多因素认证服务的第三方网站。在此示例中，认证服务可以允许用户无需使用丢失的移动设备来进行认证。 此外，在要求用户重新激活安全协议之前，认证服务可以限制这种类型的替换，例如，只发生一次。在另一示例中，用户可能位于他们的指定的移动设备不能接收到消息的区域(例如，不在手机发射塔范围)，或者，移动设备可能无法使用(例如，电池损坏/无电、电池丢失、设备损坏等等)。在此示例中，认证服务可以通过从认证网站上的用户的帐户执行额外的安全措施(例如，共享秘密的PIN、共享秘密的问题等等)，允许用户对于使用移动设备进行“一次性的替换”。
在示例性方法200中，在212，可以提供基于因特网的用户帐户报告服务，其可以包括向用户报告用户帐户活动事务的UI。例如，用户可能希望查看使用了多因素认证服务的在线交易，诸如安全登录、在线购物或下载。如此，在此示例中，用户可以具有监视与他们的帐户相关联的活动的能力，以达到防欺诈或者一般的帐户维护目的。提供了帐户报告服务，示例方法200在216结束。
图3是示出了用户使用认证服务帐户管理的一个示例性实施例300的流程图。在示例性实施例300中，在304，用户可以向多因素认证服务进行注册，这可包括提供与用户相关的信息以及用户指定的用于多因素认证的移动设备访问号码(例如，移动电话号码)。 作为示例，图4是来自多因素认证网站404的用户注册窗口 402的示例性实施例400的图示。在此示例性实施例400中，注册使用多因素认证服务的用户可以输入用户名406、密码 408 (例如，包括字母数字字符串的共享秘密)，将使用服务410的用户所在的国家，以及指定的移动电话412的号码(例如，该服务可以将该号码用于第二级别的认证)。
在另一实施例中，可以要求用户输入额外的私人信息，如真名实姓、实际地址、其他联络信息，以及计费信息(例如，如果该认证服务产生费用)。此外，在此实施例中，用户可以提供对于特定问题的只有该用户知道的答案，以防用户忘记密码。另外，在另一实施例中，用户可能与例如至少一个另一个人共享他们的指定移动设备，，用户可能希望设置单独的仅为该用户所知的个人标识码(PIC)。如此，在此示例中，只有该用户可以使用该移动设备用该PIC进行认证，因为使用该电话的第二个人可能不知道PIC。
在图3中，在示例性实施例300中，在306中，多因素认证服务可以判断在用户的地区(例如，国家)是否可以提供认证服务，如果可以提供，则，例如，为用户提供国家特定的短代码以远程访问该服务。在一个实施例中，用户可以输入用户希望使用认证服务的位置(例如，国家)。在此实施例中，例如，该服务可以判断在用户计划使用该服务的国家中是否可以提供他们的服务。在此示例中，多因素认证服务可能在特定国家没有设施或操作能力，从而，限制了该服务在该特定国家的可用性。
在另一实施例中，可以使用反向因特网协议(IP)查询，确定已注册的用户的位置。在此实施例中，例如，该服务可以检索用户在注册过程中所使用的计算机的IP地址，并执行反向IP查询，以确定用户的地理位置(例如，该用户所在的国家)。
在一个实施例中，诸如移动电话之类的移动设备可以使用短代码来联络多因素认证服务。短代码可以被用来，例如，对来自该服务的认证消息作出回复，或者访问来自该服务的用户帐户信息。在此实施例中，短代码可以是为相应的地理位置所特有的。例如，位于美国的用户可以使用第一短代码，而位于法国的用户可以使用第二短代码来从移动设备访问认证服务。在此示例中，多因素认证服务可以向用户提供可以在用户打算使用该服务的国家使用的短代码。
在308，在示例性实施例300中，多因素认证服务可以执行试验性多因素认证。例如，为了判断指定的移动设备是否可以用于认证，和/或给用户一些使用多因素认证的体验，该服务可以执行试验性认证，引导用户完成一些步骤。如上文所描述的，在图1，100中示出了多因素认证的一个实施例。
在310，在此实施例中，该服务可以向用户的移动电话发送试验性第二级别认证消息，例如，在用户输入了他们的适当的第一级别的认证登录信息之后。例如，如图1，100所示，用户108可以在104在服务的网页102处输入他们的用户名和密码，该服务可以向用户的移动电话110发送SMS消息，指导用户108如何完成认证。
在示例性实施例300中，在312，在执行试验性多因素认证时，用户可以使用他们的移动电话以适当的响应对由该服务所发送的测试消息作出回复。作为示例，在图1，100 中，要求用户108以该服务的网页上显示为106的代码对由该服务所发送的SMS消息作出回答。在此示例中，用户108可以向使用短代码发送到该服务的回复SMS消息中输入显示的代码106以从移动设备访问该服务。
例如，在另一实施例中，发送到用户的移动电话的SMS消息可以包含代码。在此示例中，可以要求用户将SMS消息中的代码输入到该服务的网站上的框中。如此，在此示例中，只有在他们的移动电话上接收到消息的，并且正在从计算机使用该服务的用户，才能够输入用于第二级别认证的代码。
在图3中，在314，在示例性实施例300中，在用户向多因素认证服务进行注册之后，用户可以开始访问使用多因素认证服务的一个或多个第三方网站。在一个实施例中，用户可能希望管理他们的多因素认证帐户的各方面。在316，用户可能会丢失由该用户指定用于多因素认证的移动设备。在318，例如，用户可以登录到他们的多因素认证帐户，并撤销指定用于认证的移动设备。作为示例，图5是来自多因素认证网站的用户帐户管理窗口 502的示例性实施例500的图示。在此实施例500中，作为示例，用户可以激活网页上的可以自动从他们的认证帐户中删除该用户的指定的移动电话的按钮506。在另一实施例中，帐户中的激活“丢失电话”事件可以允许用户激活用于认证的不同的移动设备。
在320，在图3的示例性实施例300中，用户可以重新获取丢失的移动设备，或者他们可以获取新的移动设备。在322，用户可以使用多因素认证服务的帐户管理服务来重新激活找到的移动设备，或者激活用于多因素认证的新的移动设备。
例如，在使用多因素认证服务之后，经由第三方网站，用户可能希望查看使用他们的帐户所执行的交易。在326，在示例性实施例300中，用户可以登录到多因素认证服务网站(例如，如在图5中，500)来管理他们的帐户。在320，用户可以查看交易报告，例如，该报告可包括归属于该用户的帐户的交易列表。在图5，500中，用户交易报告504可以包括帐户活动列表，例如，包括交易日期、动作、使用认证的域，以及从哪里启动认证的(例如，由用户)。在一个实施例中，可以按照相应的交易中的各种元素(例如，日期、位置等等)对交易进行排序。例如，管理帐户交易可以为用户促进欺诈防备，从而，可以标识欺骗性的交易ο 在334，用户可以访问帐户管理服务，以更改帐户的设置。作为示例，在图5，500 中，在认证服务网页502上，可以有用户的帐户的帐户设置框508。在此示例中，用户可以从可以更改的帐户设置列表中选择。作为示例，用户可能希望只在最初登录到第三方网站时让该站点使用多因素认证服务，而不希望在初始登录之后的一段时间要求多因素认证。在此示例中，用户可以管理他们的帐户设置，以确定多个多因素认证之间的时间长度。可以管理的其他帐户设置可包括例如改变用户的简档(例如，如果需要的话，包括计费信息)、限制对于特定第三方站点认证、激活共享的移动设备代码(如上文所描述的)、关闭或限制服务、以及更改指定的移动设备。
在324，在示例性实施例300中，用户可以使用他们的移动设备来管理他们的服务帐户，例如，无需登录到网站。在此实施例中，在328，用户可以使用例如短代码向多因素授权服务发送查询，请求关于该用户的帐户的完成的和/或尝试的最后一次交易的信息。在此实施例中，在332，该服务可以以所请求的信息作出响应。如此，例如，用户可以只使用他们的移动设备管理他们的帐户(例如，通过发送信息请求或改变设置的请求)。
在336，用户可以要求在使用多因素认证服务的第三方站点涉及该用户的未来的交易应用多因素认证。在此实施例中，可以由该用户使用他们的移动设备以及该服务的访问代码(例如，短代码)向该服务发送请求。作为示例，用户可能已经设置他们的帐户当登录到第三方站点时，对于这些站点每周只使用多因素认证一次。在此示例中，用户可以要求所有未来的向第三方站点的登录都使用多因素认证。
可以理解，尽管在上面的实施例和示例中描述了用户帐户管理服务的一些示例， 此处所描述的技术不仅限于这些实施例和示例。本领域的技术人员可以设计可以被此处所描述的技术和系统使用的替换的用户帐户管理服务的技术和系统。
在另一方面，为了使第三方网站让他们的用户使用多因素认证服务，他们可以向多因素认证服务进行注册。在此方面，在第三方网站建立多因素认证服务是麻烦的。例如， 通常需要预先的商务关系、硬件和软件安装和设置，及其他的人的干预，才能使一个网站具有这种多因素认证。然而，可以设计用于注册第三方网站以使用多因素又能减轻第三方网站和多因素认证服务之间的人的干预的方法。
图6是示出了用于注册第三方网站以使用多因素认证服务的示例性方法600的流程图。示例性实施例600从602开始，并包括注册第三方网站。在606，对第三方网站的注册可以包括多因素认证服务接收第三方网站的有效数字身份证书。例如，为了启动第三方网站向认证服务的注册，可以向多因素认证服务发送证实第三方网站的身份的有效公钥证书。如此，在此示例中，该服务可以知道用于未来的潜在交易(例如，计费、关闭服务等等) 的第三方网站的有效身份(例如，以及负责它的人的)。
在608，对第三方网站的注册可以包括多因素认证服务接收第三方网站对于多因素认证服务的使用条款的认可。例如，在一个实施例中，在接收到证实第三方网站的身份的有效公钥证书之后，多因素认证服务向负责第三方网站的那些人发送多因素认证服务的使用条款。在此实施例中，负责第三方网站的那些人可以返回使用条款的签定生效的副本，或者他们对条款认可的另一指示。在另一实施例中，使用条款可以包括向负责第三方网站的那些人指出由第三方网站启动多因素认证服务即表示对使用条款认可的语言。
在610，在第三方网站开始使用多因素认证服务之前，在第三方网站和多因素认证服务之间没有额外的人的干预的情况下，多因素认证服务可以允许第三方网站在注册的网站上使用多因素认证服务。作为示例，在第三方网站向多因素认证服务进行注册之后，该服务可以为该第三方网站激活该服务。在一个实施例中，对服务的激活可以包括向第三方网站发送可以被用来访问该服务的访问代码。在另一实施例中，可以通过向第三方网站提供代码来激活该服务，开发人员可以在站点上安装该代码以使用服务。在另一实施例中，可以通过让多因素认证服务提供商在已注册的用户列表中安装第三方网站的域来激活该服务。
可以理解，服务激活可以包括由本领域的技术人员设计的替换的技术。此外，此处所描述的技术和系统不仅限于如上文所描述的对服务激活的实施例。
图7是示出了第三方网站向多因素认证服务进行注册的一个示例性实施例700的框图。在此实施例700中，第三方网站704向多因素认证服务702发送有效数字身份证书 750。例如，第三方网站开发人员可以向该服务发送请求注册的电子邮件，以及附加的公钥证书。
在此实施例700中，在接收到证书之后，多因素认证服务702向第三方网站704发送服务752的使用条款。然后，第三方网站704可以发送他们接受754该服务的使用条款的指示，服务702可以向第三方网站704发送激活代码756，以便他们可以开始使用该服务。
在另一实施例中，第三方网站开发人员可以对，例如，包括多因素认证服务的使用条款的广告作出响应。在此示例中，对使用条款的认可可以包括向多因素认证服务提供商发送数字身份证书。
在另一实施例中，注册和激活多因素认证服务可以与从网站开发门户可用的网站开发服务相关联。例如，第三方网站开发人员可以使用网站开发门户来促进他们的网站的开发和管理。在此示例中，多因素认证服务可以是从开发门户可用的多个单项服务中的一个。如此，在此示例中，第三方网站开发人员可以向开发门户进行注册(例如，包括提供有效数字身份证书)，以后为他们的网站选择多因素认证服务。
图8是第三方网站，例如，使用网站开发门户关系，向多因素认证服务进行注册的另一示例性实施例800的图示。在此示例性实施例800中，第三方网站开发人员(例如， developer@newwebsite.com)可以预先向开发门户810进行注册。作为示例，向开发门户 810进行注册可以包括发送标识第三方网站的公钥证书，以及对使用条款812的认可。另外，在此实施例800中，注册可包括开发人员的简档信息806、第三方网站信息814，并可包括计费信息808 (例如，如果开发门户对服务进行收费，可以将信用卡保留在文件中)。
在此实施例中，当注册的开发人员希望将多因素认证服务添加到他们的网站中时，该开发人员可以从由开发门户810所提供的服务列表中选择服务。例如，在注册使用该服务时，可以生成应用程序编程接口(API)代码802，该代码802允许第三方网站访问API 以便在他们的网站上使用认证服务。另外，可以生成秘密密钥804(例如，在第三方网站和开发门户之间共享的秘密)，可以使用该秘密密钥804在访问服务时认证第三方网站。
可以理解，本领域的技术人员可以设计注册并允许第三方网站使用认证服务的替换实施例，而只让该服务接收有效数字标识证书，对使用条款的认可，并允许第三方使用该服务。然而，此处所描述的技术不仅限于上文所描述的实施例，这不过是在第三方网站开始使用多因素认证服务之前，在在第三方网站和多因素认证服务之间没有额外的人的干预的情况下，执行所描述的步骤。
再一实施例涉及包括被配置成实现此处所呈现的技术中的一种或多种的处理器可执行指令的计算机可读介质。可以用这些方式设计的一种示例性计算机可读介质在图9 中示出，其中实现900包括其上编码有计算机可读数据908的计算机可读介质906 (例如， CD-R、DVD-R、或硬盘驱动器盘片)。计算机可读数据906又包括被配置成根据这里所阐述的原理中的一个或多个来操作的计算机指令集904。在一个这样的实施方式900中，处理器可执行指令904可以被配置成执行一种例如诸如图2的示例性方法200之类的方法。在另一这样的实施方式中，处理器可执行指令904可以被配置成执行一种例如诸如图6的示例性方法600之类的方法。本领域普通技术人员可以设计可被配置成根据此处描述的技术操作的许多这样的计算机可读介质。
尽管用结构特征和/或方法动作专用的语言描述了本主题，但可以理解，所附权利要求书中定义的主题不必限于上述具体特征或动作。相反，上述具体特征和动作是作为实现权利要求的示例形式公开的。
如在本申请中所使用的，术语“组件”、“模块”、“系统”、“接口 ”等等一般旨在表示计算机相关的实体，其可以是硬件、硬件和软件的组合、软件、或运行中的软件。例如，组件可以是，但不限于是，在处理器上运行的进程、处理器、对象、可执行码、执行的线程、程序和 /或计算机。作为说明，运行在控制器上的应用程序和控制器都可以是组件。一个或多个组件可以驻留在进程和/或执行的线程中，并且组件可以位于一个计算机内和/或分布在两个或更多的计算机之间。
此外，所要求保护的主题可以使用产生控制计算机以实现所公开的主题的软件、 固件、硬件或其任意组合的标准编程和/或工程技术而被实现为方法、装置或制品。如这里所使用的术语“制品”可以包含可以从任何计算机可读的设备、载体或介质进行访问的计算机程序。当然，本领域的技术人员将会认识到，在不背离所要求保护的主题的范围或精神的前提下可以对这一配置进行许多修改。
图10以及下面的讨论提供了用于实现这里所阐述的供应中的一个或多个的实施方式的合适计算环境的简要概括描述。图10的操作环境只是合适的操作环境的一个示例， 并且不旨在对操作环境的使用范围或功能提出任何限制。示例计算设备包括，但不限于，个人计算机、服务器计算机、手提式或膝上型设备、移动设备(诸如移动电话、个人数字助理 (PDA)、媒体播放器等等)、多处理器系统、消费电子产品、小型计算机、大型计算机、包括上面的系统或设备的中的任何一种的分布式计算环境等等。
虽然并非必需，但各实施方式是在由一个或多个计算设备执行的“计算机可读指令”的一般上下文中描述实施方式的。计算机可读指令可以通过计算机可读介质来分发(下面将讨论)。计算机可读指令可被实现为执行特定任务或实现特定抽象数据类型的程序模块，诸如函数、对象、应用程序编程接口(API)、数据结构等等。通常，计算机可读指令的功能可按需在各个环境中组合或分布。
图10示出了包括被配置成实现此处所提供的一个或多个实施例的计算设备1000 的系统1010的示例。在一种配置中，计算设备1012包括至少一个处理单元1016和存储器1018。取决于计算设备的确切配置和类型，存储器1018可以是易失性的(如RAM)、非易失性的(如ROM、闪存等)或是两者的某种组合。该配置在图10中由虚线1014来例示。
在其它实施例中，设备1012可以包括附加特征和/或功能。例如，设备1012还可以包括附加存储(例如，可移动和/或不可移动)，其中包括但不限于磁存储、光存储等等。 这样的另外的存储在图10中由存储1020示出。在一个实施例中，用于实现此处所提供的一个或多个实施例的计算机可读指令可以在存储1020中。存储1020还可以储存实现操作系统、应用程序等的其它计算机可读指令。可以在存储器1018中加载计算机可读指令以供例如处理单元1016执行。
如这里所使用的术语“计算机可读介质”包括计算机存储介质。计算机存储介质包括以用于存储诸如计算机可读指令或其他数据之类的信息的任何方法或技术实现的易失性和非易失性、可移动和不可移动介质。存储器1018和存储1020都是计算机存储介质的示例。计算机存储介质包括，但不限于，RAM、ROM、EEPR0M、闪存或其他存储技术，CD-ROM、 数字多功能盘(DVD)或其他光存储、磁带盒、磁带、磁盘存储或其他磁存储设备，或可以用来存储所需信息并可以被计算设备1012访问的任何其他介质。任何这样的计算机存储介质可以是设备1012的一部分。
设备1012还可以包括允许设备1012与其他设备进行通信的通信连接1026。通信连接1026可以包括，但不限于，调制解调器、网络接口卡(NIC)、集成网络接口、射频发射机/接收机、红外线端口、USB连接，或用于将计算设备1012连接到其他计算设备的其他接口。通信连接1026可以包括有线连接或无线连接。通信连接1026可以发送和/或接收通信介质。
术语“计算机可读介质”可以包括通信介质。通信介质通常以诸如载波或其他传输机制之类的“已调制数据信号”来体现计算机可读指令或其他数据，并包括任何信息传送介质。术语“已调制数据信号”可以包括以在信号中编码信息的方式来设置或改变其一个或多个特征的信号。
设备1012可以包括输入设备1024，诸如键盘、鼠标、笔、语音输入设备、触摸输入设备、红外照相机、视频输入设备、和/或任何其他输入设备。设备1012还可以包括输出设备1022，诸如一个或多个显示器、扬声器、打印机、和/或任何其他输出设备。输入设备1024 和输出设备1022可以通过有线连接、无线连接、或其任何组合来连接到设备1012。在一个实施方式中，可以使用来自另一计算设备的输入设备或输出设备作为计算设备1012的输入设备1024或输出设备1022。
计算设备1012的组件可以通过诸如总线之类的各种互连来连接。这样的互连可以包括诸如PCIExpress之类的外围部件互连(PCI)、通用串行总线(USB)、火线 (IEEE1394)、光学总线结构等等。在另一实施方式中，计算设备1012的组件可以通过网络互连。例如，存储器1018可以包括位于通过网络互连的不同物理位置的多个物理存储器单元。
本领域的技术人员将认识到，用来存储计算机可读指令的存储设备可以分布在网络上。例如，可经由网络1028访问的计算设备1030可以存储计算机可读指令来实现这里所提供的一个或多个实施方式。计算设备1012可以访问计算设备1030，并下载计算机可读指令的一部分或全部以便执行。或者，计算设备1012可以根据需要下载计算机可读指令的一部分，或者一些指令可以在计算设备1012上执行而一些指令则在计算设备1030上执行。
这里提供了实施方式的各种操作。在一个实施方式中，所描述的操作中的一个或多个可以组成存储在一个或多个计算机可读介质上的计算机可读指令，这些指令如果由计算设备执行则使得计算设备执行所描述的操作。描述一些或所有操作的顺序不应该被解释为暗示这些操作一定是依赖于顺序的。从本说明书获益的本领域技术人员将认识到替换顺序。此外，应该理解，并非所有的操作都一定存在于这里所提供的每一个实施方式中。
此外，在此使用词语“示例性”意指用作示例、实例或说明。这里作为“示例性”所描述的任何方面或设计不必被解释为有利于其他方面或设计。相反，使用词语示例性旨在以具体的方式呈现各个概念。如本申请中所使用的，术语“或”意指包括性“或”而非互斥性“或”。即，除非另有指定或从上下文可以清楚，“X使用A或B”意指任何自然的包括性排列。即，如果X使用A ；X使用B^X使用A和B两者，则在任何以上情况下，都满足“X使用A或B。”此外，本申请中和所附权利要求书所使用的冠词“一”和“一个” 一般可以解释为“一个或多个”，除非另有指定或从上下文可以清楚是指单数形式。
同样，虽然参考一个或多个实现示出并描述了本发明，但本领域技术人员基于对本说明书和附图阅读和理解，可以想到各种等效更改和修改。本发明包括所有这样的修改和更改，并且仅由所附权利要求书的范围来限定。具体来说，对于由上述组件(例如，元素、 资源等等)执行的各种功能，除非另外指明，否则用于描述这些组件的术语旨在对应于执行所描述的执行此处在本发明的示例性实现中所示的功能的组件的指定功能(例如，功能上等效)的任何组件，即使这些组件在结构上不等效于所公开的结构。此外，尽管可相对于若干实现中的仅一个实现来公开本发明的一个特定特征，但这一特征可以如对任何给定或特定应用所需且有利地与其他实现的一个或多个其他特征相组合。此外，就在“具体实施方式
”或者权利要求书中使用术语“包括”、“具有”、“带有”或其变体而言，这些术语旨在以与术语“包括”相似的方式为包含性的。
权利要求
1.一种用于在第三方网站上向多因素认证服务的用户提供认证服务帐户管理的方法 (200)，包括向所述多因素认证服务注册用户(204)，这包括基于所述用户的地区，向所述用户提供多因素认证服务的可用性通知(206)； 基于所述用户的地区，向所述用户提供位置特定的认证服务移动访问代码(208)；以及向所述多因素认证服务注册用户所希望的用于多因素用户认证的移动设备(210)； 提供基于因特网的用户帐户撤销服务(212)，这包括允许所述用户撤销对用于多因素认证的移动设备的指定的用户界面(UI)；以及提供基于因特网的用户帐户报告服务，这包括向所述用户报告一个或多个交易的UI， 所述交易包括用户帐户活动。
2.如权利要求1所述的方法，其特征在于，向所述多因素认证服务注册用户包括在注册所述移动设备之后，所述用户在他们的注册的移动设备上接收来自所述多因素认证服务的测试消息；以及所述用户使用所述用户的注册的移动设备，对来自所述多因素认证服务的所述测试消息作出回复，以确认收到所述测试消息。
3.如权利要求1所述的方法，其特征在于，提供基于因特网的用户帐户撤销服务包括允许所述用户撤销用户对用于多因素认证的移动设备的指定的UI。
4.如权利要求1所述的方法，其特征在于，基于因特网的用户帐户撤销服务UI可以为用户提供允许不使用用户的指定的移动设备即可进行认证的能力。
5.如权利要求1所述的方法，其特征在于，提供基于移动设备的用户帐户撤销服务包括用户向所述多因素认证服务发送消息，所述消息指示所述多因素认证服务为在使用所述多因素认证服务的第三方网站上的相应的用户交易请求多因素认证。
6.如权利要求1所述的方法，其特征在于，提供基于移动设备的用户帐户报告服务包括用户向所述多因素认证服务发送查询，所述多因素认证服务返回包括所述用户帐户活动的一个或多个交易的报告。
7.如权利要求1所述的方法，其特征在于，所述服务可用性通知包括基于所述用户的地区，将所述多因素认证服务对于所述用户的可用性通知给所述用户的通知，所述地区是通过反向IP查询确定的。
8.如权利要求1所述的方法，其特征在于，所述一个或多个认证交易的所述报告包括下列各项中的一个或多个交易日期； 交易时间；启动认证交易的用户的IP地址； 启动认证交易的用户的位置；以及启动了认证交易的第三方网站的域。
9.如权利要求1所述的方法，其特征在于，向所述多因素认证服务注册用户包括使用多因素认证服务网站上的UI和所述用户的指定的移动设备来执行试验性多因素用户认证。
10.一种用于注册第三方网站以使用多因素认证服务的方法(600)，包括 由所述多因素认证服务接收所述第三方网站的有效数字身份证书(606)；由所述多因素认证服务接收所述第三方网站对于所述多因素认证服务的使用条款的认可(610)；以及在所述第三方网站开始使用所述多因素认证服务之前，在所述第三方网站和所述多因素认证服务之间没有额外的人的干预的情况下，通过所述多因素认证服务，允许所述第三方网站在所述注册的网站上使用所述多因素认证服务。
11.如权利要求10所述的方法，其特征在于，包括使用第三方网站开发人员可以访问的开发人员门户来向所述第三方网站开发人员提供允许所述第三方网站使用所述多因素认证服务的应用程序编程接口(API)密钥；向所述第三方网站开发人员提供可以被所述第三方网站用来认证使用所述多因素认证服务的请求的共享的秘密密钥；向所述第三方网站提供所述多因素认证服务的使用条款；
12.如权利要求11所述的方法，其特征在于，所述第三方网站向所述开发人员门户进行注册包括提供所述第三方网站的已验证的标识信息。
13.如权利要求11所述的方法，其特征在于，使用所述开发人员门户向所述第三方网站开发人员提供所述多因素认证服务的帐户细节的管理，所述帐户细节包括下列各项中的一个或多个API密钥； 共享的秘密密钥； 应用程序令牌； 计费信息；以及网站标识证书信息。
14.如权利要求10所述的方法，其特征在于，对用于所述第三方网站的多因素认证服务的使用条款的认可包括来自负责所述第三方网站的个人的对使用条款的接受的通知。
15.如权利要求10所述的方法，其特征在于，允许所述第三方网站在所述注册的网站上使用所述多因素认证服务包括下列各项中的一个或多个激活所述第三方网站使用所述多因素认证服务的能力； 提供允许所述第三方网站激活所述多因素认证服务的代码；以及向所述第三方网站提供允许所述第三方网站激活所述多因素认证服务的一个或多个密钥。
全文摘要
多因素认证服务的最终用户可以使用帐户管理服务，第三方网站可以注册以使用多因素认证服务。注册第三方网站可以包括多因素认证服务接收该第三方网站的有效数字标识证书，并接收该第三方网站对于该多因素认证服务的使用条款的同意。一旦接收到，多因素认证服务就可以允许该第三方网站使用该服务(例如，打开该服务，或向该第三方网站发送授权密钥)。此外，向多因素认证服务注册用户可以包括确定服务可用性，并提供位置特定的访问代码。另外，注册用户可以包括注册用户的移动设备，例如，以提供多因素认证。同样，还可以提供基于因特网的用户帐户管理用户界面，该界面允许用户查看他们的帐户上的交易，还具有关闭指定的移动设备的认证的能力。
文档编号H04W12/06GK102187701SQ200980142417
公开日2011年9月14日 申请日期2009年10月19日 优先权日2008年10月20日
发明者R·E·奥齐, J·E·奥齐, T·A·高尔文, E·M·佩蒂 申请人:微软公司