Настоящее изобретение относится к области обеспечения безопасности доступа к онлайн ресурсам и более конкретно к аутентификации пользователя, желающего получить доступ к онлайн услуге по общедоступной информационной сети, такой как Интернет.
Под понятием «аутентификация» в информационных системах в данном случае понимают проверку личных данных объекта (например, человека, компьютера, информационного процесса) с целью авторизации доступа этого объекта к ресурсам (например, услугам, сетям, системам, приложениям). Далее в тексте эти объекты обозначены термином «пользователь».
Размещение онлайн ресурсов в общедоступных информационных сетях типа сети Интернет предоставляет множество преимуществ как для пользователей, так и для организаций, особенно коммерческих организаций (например, Интернет-банкинг, электронная коммерция). Подтверждением этому служат увеличивающееся количество онлайн услуг и более широкое их использование.
Это, естественно, вызвало большой интерес киберпреступников («хакеров»), и количество программ, предназначенных для хищения данных, обеспечивающих получение обманным путем доступа к онлайн ресурсам, значительно возросло.
В связи с этим, как никогда необходимы надежные способы аутентификации как для пользователей, так и для организаций. Действительно, с одной стороны, пользователь должен быть уверен, что он на самом деле получает доступ к серверу услуг, к которому он обращается (и на который он, возможно, будет передавать персональные данные, такие как банковские реквизиты), и, с другой стороны, этот сервер должен иметь подтверждение, что этот пользователь действительно является пользователем, который был ранее зарегистрирован на сервере, и что он не является мошенником. Злонамеренные действия третьего лица, выдающего себя за законного пользователя для осуществления, например, онлайн банковской операции, являются угрозой как для законного пользователя, так и для банка, предлагающего такую онлайн услугу.
В уровне техники существуют различные способы обеспечения проверки подлинности пользователя, работающего в среде в режиме клиент/сервер и запрашивающего доступ к онлайн ресурсу. Аутентификация может происходить на основании нескольких факторов:
– данные, известные пользователю, например пароль;
– предмет, которым обладает пользователь, например магнитная карта или чип-карта;
– действие, выполняемое только пользователем, например живая подпись на сенсорном экране;
– физический параметр, присущий пользователю, например отпечаток пальца.
В настоящее время в основе наиболее широко применяемого способа осуществления аутентификации пользователя на удаленном сервере лежит применение статического пароля совместно с идентификатором (логин). Преимущество такого способа заключается в том, что его можно осуществлять полностью с помощью программного обеспечения, избегая тем самым дополнительных затрат (аппаратные средства).
Однако сетевой шпионаж с целью сбора личных данных законных пользователей является помехой для выполнения этого способа. Личные данные, полученные таким образом, могут использоваться в дальнейшем. Приемы хеширования или шифрования паролей не могут в полной мере решить эту проблему, поскольку они защищают только линии связи, оставляя незащищенным пользовательский терминал, в котором теперь нередко можно найти множество вредоносных приложений (хакерские программы).
Методы аутентификации, основанные на средствах, предоставляемых пользователям, таких как маркер аутентификации, чип-карта, смарт-карта или флэш-накопитель, являются нежелательными, так как являются причиной дополнительных затрат на аппаратные средства.
Кроме того, биометрические способы аутентификации в основном являются сложными, и для них необходимо выполнение этапа утомительного предварительного определения параметров.
Для устранения ограничений таких способов аутентификации и предоставления одного фактора, а именно применения статических паролей, были предоставлены решения для аутентификации, объединяющие два фактора: данные, известные пользователю (например, пароль), и информация, которой обладает пользователь (например, номер телефона или электронный адрес). В этом случае говорят о строгой аутентификации. Среди таких способов существует решение для аутентификации, основанное на применении одноразовых паролей (также называемых OTP сокращенно от One-Time Password).
В соответствии со своим названием одноразовый пароль (OTP) можно использовать в качестве средства аутентификации только для одного сеанса. Таким образом, при каждом новом запросе на доступ, выдаваемом пользователем на удаленный сервер, генерируется новый OTP, как правило, случайным или псевдослучайным образом и затем сообщается пользователю. Пользователь предоставляет этот OTP на удаленный сервер в качестве доказательства подлинности его данных, которые он указал, например, с помощью своего логина/пароля. Следовательно, незаконное присвоение логинов/статических паролей либо с пользовательского терминала, либо с линии связи, соединяющей пользовательский терминал с сервером, становится бесполезным, так как OTP становится устаревшим с момента его применения.
Для того чтобы обеспечить подлинную безопасность, OTP, как правило, сообщается пользователю по другому каналу, установленному между пользовательским терминалом и сервером. На самом деле OTP, как правило, отправляется пользователю через SMS (Short Service Message), через MMS (Multimedia Messaging Service) или голосовым сообщением с применением второго фактора аутентификации, например, номера телефона пользователя, который был предварительно предоставлен на удаленный сервер.
Тем не менее, отправка OTP (например, через SMS, через MMS или голосовым сообщением) на телефон, несомненно, вызывает дополнительные финансовые затраты на предоставление онлайн услуг (которые в настоящее время являются платными). Понятно, что отправка OTP через SMS большому количеству клиентов, которые ежемесячно пользуются онлайн услугой, предлагаемой малыми предприятиями (PME), представляет существенные финансовые издержки для такого предприятия.
Одной целью настоящего изобретения является устранение вышеупомянутых недостатков.
Другой целью настоящего изобретения является предоставление решения для строгой аутентификации с меньшими издержками.
Другой целью настоящего изобретения является уменьшение финансовых затрат, требуемых для обеспечения безопасности коммерческих сайтов.
Другой целью изобретения является предоставление пользователю, как правило, пользователю Интернета, возможности получения доступа к онлайн услугам простым и безопасным способом.
Другой целью настоящего изобретения является создание способа строгой аутентификации, предоставляющего возможность обеспечения безопасности доступа к онлайн ресурсам по незащищенной сети.
С этой целью изобретение, согласно первому аспекту, относится к способу аутентификации посредством одноразового пароля пользователя, имеющего компьютерный терминал и телефонный терминал и желающего получить доступ к онлайн ресурсу через информационную систему, при этом способ включает этап инициирования на указанный телефонный терминал вызова с идентификатором пользователя, желающего получить доступ, содержащим одноразовый пароль.
Изобретение, согласно второму аспекту, относится к системе аутентификации посредством одноразового пароля пользователя, имеющего компьютерный терминал и телефонный терминал и желающего получить доступ к онлайн ресурсу через информационную систему, при этом система содержит частную автоматическую телефонную станцию, предназначенную для инициирования на указанный телефонный терминал вызова с идентификатором пользователя, желающего получить доступ, содержащим одноразовый пароль.
Изобретение, согласно третьему аспекту, относится к компьютерному программному продукту, реализованному на носителе данных, который можно осуществлять в компьютерном блоке обработки и который содержит команды для осуществления способа, описываемого в настоящем документе.
Другие признаки и преимущества изобретения станут более понятны и очевидны после прочтения приведенного ниже описания предпочтительных вариантов осуществления со ссылкой на прилагаемую фигуру 1, которая схематически показывает функциональное представление варианта осуществления.
На фиг. 1 показан пользователь 10, желающий получить удаленный доступ к онлайн ресурсу через компьютерный терминал 11 посредством информационной системы 20.
Компьютерный терминал 11 может быть любым пользовательским устройством, позволяющим пользователю 10 подключиться к сети передачи данных, а именно Интернету, посредством которой к онлайн ресурсу, предлагаемому информационной системой 20, предоставлен доступ. Примерами компьютерного терминала 10 являются стационарный/портативный персональный/общедоступный компьютер, PDA (Personal Digital Assistant) или Smartphone (смартфон).
Информационной системой 20 может быть любое аппаратное и/или программное средство обработки данных, предоставляющее пользователю 10 онлайн ресурс, а именно онлайн услугу, доступную с компьютерного терминала 11. Примерами информационной системы 20 являются сервер приложений, веб-сервер, предоставляющий хостинг для веб-сайта электронной коммерции, или ряд кооперативных серверов.
Пользователь 10 также имеет телефонный терминал 12 совместно, по меньшей мере, с одним номером вызова (номер телефона). Этим телефонным терминалом 12, например, является
- мобильный телефон, Smartphone или PDA, содержащий SIM-карту (Subscriber Identity Module) или USIM (Universal Subscriber Identity Module);
- аналоговый или цифровой стационарный телефон;
- софт-телефон с номером телефона (например, SkypeTM In).
В предпочтительном исполнении телефонный терминал 12 является мобильным телефоном или Smartphone. Разумеется, эти варианты не являются ограничивающими.
Телефонный терминал 12 обеспечивает предоставление вызываемому абоненту номера вызывающего абонента (на англ. Caller_ID сокращенно от Caller Identification или CLIP сокращенно от Calling Line Identification Presentation). Другими словами, телефонный терминал 12 предоставляет вызываемому абоненту номер или в целом идентификатор вызывающего абонента. Идентификатор вызывающего абонента может быть отображен на экране телефонного терминала 12, если такой есть, или на отдельном устройстве.
Альтернативно или совместно, идентификатор входящего вызова на телефонный терминал 12 может быть:
- отображен из списка, содержащегося в этом терминале (например, журнал вызовов, пропущенных вызовов, непринятых вызовов), и/или
- получен набором определенного номера (например, для абонента France TelecomTM необходимо набрать 3131 для получения номера последнего вызывающего абонента).
В частности, компьютерный терминал 11 и телефонный терминал 12 могут представлять единое пользовательское устройство, такое как:
- стационарный/переносной компьютер, содержащий софт-телефон; или
- Smartphone или PDA, предоставляющий помимо выполнения функций телефона услугу передачи данных (DATA).
При выполнении варианта осуществления, показанного на фиг. 1, пользователь 10 желает получить доступ к онлайн ресурсу посредством информационной системы 20, для которого необходимо выполнение строгой аутентификации (этап 1 на фиг. 1). В качестве примера пользователь 10 хочет выполнить транзакцию (например, перечисление, покупку, продажу) онлайн на веб-сайте (например, на банковском сайте или на сайте электронной коммерции), хостинг для которого предоставлен информационной системой 20. Для подключения к удаленной информационной системе 20 веб-сайта, к которому необходимо получить доступ, пользователь 10 использует компьютерный терминал 11 обычным способом, вводя веб-адрес сайта.
Для онлайн ресурса, для которого необходима строгая аутентификация, информационная система 20 предназначена для проверки подлинности личных данных пользователя 10, которые он предоставил, например, посредством логина/пароля. С этой целью информационная система 20 (этап 2 на фиг. 1)
- запоминает запрос пользователя 10;
- выполняет поиск номера телефона (т.е. второй фактор аутентификации), который пользователь 10 предварительно предоставил в ходе предыдущего сеанса. Понятно, что предполагается, что пользователь 10 предварительно заполнил свой профиль (по меньшей мере, ввел логин, пароль и номер телефона) для информационной системы 20, указав в нем номер телефона своего телефонного терминала 12;
- генерирует OTP, который пользователю 10 заранее неизвестен. Такой OTP, как правило, генерируется случайным или псевдослучайным образом.
Затем информационная система 20
- передает (этап 31 на фиг. 1) сгенерированный OTP и номер телефона пользователя 10 на частную автоматическую телефонную станцию 30, также называемую PBX или PABX сокращенно от Private Automatic Branch eXchange, и
- сообщает (этап 32 на фиг. 1) пользователю 10:
o что по номеру телефона, который он предварительно предоставил (т.е. номер телефона его телефонного терминал 12) будет вскоре выполнен вызов; и
o что он должен обратно предоставить (отправить) идентификатор вызывающего абонента (Caller_ID).
PABX 30 может также являться PABX IP, которая предоставляет переход на IP (Internet Protocol) традиционной BAPX.
Преимущественно одной из основных функций PABX 30 является возможность изменения номера вызывающего абонента (Caller_ID) при необходимости.
Следовательно, при использовании номера телефона и OTP, переданных на телефонную станцию с информационной системы 20, PABX 30 предусматривает (этап 4 на фиг. 1) инициирование вызова на телефонный терминал 12 пользователя 10, одновременно предоставляя OTP в идентификаторе вызывающего абонента (то есть в Caller_ID). В результате OTP передается непосредственно на дисплей телефонного терминала 12 вместо отображения номера вызывающего абонента.
Необходимо отметить, что вызов, инициированный посредством PABX 30, на телефонный терминал 12 предназначен для предоставления OTP, а не для проведения разговора. Продолжительность этого вызова является необходимой и достаточной только для предоставления OTP на телефонный терминал 12, другими словами, до момента, когда пользователь 10 снимет трубку. Следовательно, PABX 30 запрограммирована на прекращение совершаемого вызова, например, сразу после первого или второго звонка.
Пользователь 10 вводит (этап 5 на фиг. 1) идентификатор вызывающего абонента (Caller_ID), который был отображен на его телефонном терминале 12, в соответствии с запросом информационной системы 20. В качестве примера, пользователь 10 вводит идентификатор вызывающего абонента в специальную область (например, конкретное поле в электронной форме) и передает его информационной системе 20.
Альтернативно, информационная система 20 запрашивает у пользователя 10 только определенную часть идентификатора абонента входящего вызова, который он сразу принимает на свой телефонный терминал 12.
Информационная система 20 проверяет (этап 6 на фиг. 1) достоверность сообщения, отправленного ей пользователем 10, и далее разрешает или запрещает доступ, запрошенный пользователем 10. С этой целью информационная система 20 содержит средства, обеспечивающие проверку соответствия сообщения, предоставленного пользователем 10, и OTP, сгенерированного и переданного на PABX 30. В случае соответствия содержимого, предоставленного пользователем 10 (этап 5 на фиг. 1), с содержимым, сгенерированным информационной системой 20, информационная система 20 аутентифицирует определенным способом пользователя 10. В этом случае информационная система 20 направляет пользователя 10 к запрошенному ресурсу.
Пользователю 10 сообщается результат аутентификации (этап 7 на фиг. 1).
В приведенном в качестве примера варианте осуществления описанного выше способа:
- пользователь 10 Интернета выдает сообщение с запросом на доступ со своего компьютера 11 на сервер 20 приложений, предоставляющий хостинг банковскому сайту, для выполнения определенной транзакции (этап 1 на фиг. 1);
- сервер 20 приложений запоминает запрос пользователя 10 Интернета, находит номер телефона последнего (второй фактор аутентификации пользователя 10 Интернета) и генерирует одноразовый пароль (OTP) (этап 2 на фиг. 1);
- сервер 20 приложений передает сгенерированный одноразовый пароль и номер телефона пользователя 10 Интернета на PABX 30 (этап 31 на фиг. 1);
- сервер 20 приложений сообщает пользователю 10 Интернета, что он получит вскоре вызов по номеру телефона, который он ранее представил, идентификатор вызывающего абонента (Caller_ID) которого является одноразовым паролем, который пользователь должен ввести (этап 32 на фиг. 1);
- PABX 30 осуществляет вызов по номеру телефона пользователя 10 Интернета, отображая в идентификаторе вызывающего абонента одноразовый пароль, сгенерированный сервером 20 приложений;
- пользователь 10 Интернета предоставляет идентификатор вызывающего абонента, показанный ему на его телефоне 11 (этап 5 на фиг. 1);
- сервер 20 приложений проверяет соответствие сгенерированного им одноразового пароля и пароля, который был ему предоставлен пользователем 10 Интернета (этап 6 на фиг. 1);
- сервер 20 приложений сообщает пользователю 10 Интернета об успешной/неудавшейся аутентификации (этап 7 на фиг. 1).
В другом варианте осуществления, приведенном в качестве примера, пользователь 20 обладает пользовательским устройством, сочетающим телефонный терминал и компьютерный терминал, например Smartphone, или, например, стационарным/переносным компьютером. В этом случае пользователь 10:
- подключается к удаленному серверу 20 со своего Smartphone (например, открывает веб-страницу онлайн услуги, предлагаемой удаленным сервером 20);
- авторизируется на удаленном сервере 20 с помощью, по меньшей мере, одного идентификатора, который он имеет (логин или пароль, например);
- запрашивает подключение к онлайн услуге на удаленном сервере 20 (запрашивает, например, выполнение онлайн транзакции);
- удаленный сервер 20 выполняет поиск номера телефона, связанного с личными данными, заявленными пользователем 10, причем эти данные сообщаются ему во время предшествующего этапа (например, этап регистрации для онлайн услуги);
- удаленный сервер 20 генерирует OTP;
- удаленный сервер 20 передает номер телефона пользователя 20 и сгенерированный OTP на PABX 30;
- удаленный сервер 20 просит пользователя предоставить ему идентификатор вызывающего абонента (Caller_ID), содержащийся в вызове, который будет вскоре получен;
- PABX 30 инициирует вызов по номеру телефона, который был на нее передан, предоставляя OTP в идентификаторе вызывающего абонента(Caller_ID);
- пользователь 10 вводит идентификатор вызывающего абонента (Caller_ID), содержащийся в только что полученном вызове, и передает его на удаленный сервер 20 (пользователь 20 вводит идентификатор вызывающего абонента (Caller_ID) в форму, которую он, например, предоставляет на удаленный сервер);
- удаленный сервер 20 проверяет соответствие сообщения, предоставленного пользователем, и сгенерированного OTP и сообщает пользователю результат (то есть была ли аутентификация успешной или неудавшейся).
В предпочтительном варианте осуществления, когда компьютерный терминал 11 и телефонный терминал 12 объединены в одном пользовательском устройстве (в частности, компьютер или Smartphone), программное приложение предназначено для повторного использования идентификатора вызывающего абонента из последнего входящего вызова для предоставления на удаленный сервер. В конкретном варианте осуществления это программное приложение запускается пользователем через электронную форму, предоставляющую доступ к онлайн услуге. Альтернативно это приложение запускается автоматически с момента запроса пользователем доступа к онлайн услуге.
В одном варианте осуществления программное приложение присоединено к электронной форме, предоставляющей доступ к онлайн услуге. Преимущественно это программное приложение позволяет уменьшить вмешательство пользователя в способ аутентификации.
В другом варианте осуществления, когда телефонный терминал 12 и компьютерный терминал 11 не объедены в одном пользовательском устройстве (то есть, представлено два отдельных пользовательских терминала), программное приложение, распределенное между двумя терминалами 11 и 12, обеспечивает доставку на компьютерный терминал 11 идентификатора вызывающего абонента из последнего входящего вызова, полученного телефонным терминалом 11. С этой целью программное приложение может использовать, например, радиоинтефейс связи ближнего действия (BluetoothTM, например), распределенный между компьютерным терминалом 11 и телефонным терминалом 12.
Необходимо отметить, что OTP, согласно настоящему изобретению, может быть сгенерирован с помощью любого способа, известного в области техники (например, программным, аппаратным, случайным/псевдослучайным, зависящим/независящим от факторов аутентификации).
В одном варианте осуществления идентификатор вызывающего абонента (Caller_ID), отображенный для пользователя 10, позволяет извлекать или выводить из него OTP (например, с помощью функции выбора или дешифрования), сгенерированный информационной системой 20. Эта функция предоставляется пользователю 10 его компьютерным терминалом 11 и/или телефонным терминалом 12.
В частности, способ аутентификации посредством одноразового пароля, описанный выше, может быть осуществлен совместно с другими способами обеспечения безопасности (протоколы безопасного обмена данными, например, такие как SSH или SSL).
Описанный способ обеспечивает ряд преимуществ. Он обеспечивает, по сути,
- подтверждение взаимной аутентификации между пользователем 10 и информационной системой 20;
- уменьшение затрат на аутентификацию посредством OTP: в отличие от SMS/MMS, так как вызов, как правило, является бесплатным;
- подтверждение безопасности способа аутентификации: личные данные пользователя (например, логин/пароль) и OTP передаются по двум разным каналам связи.
Изобретение относится к области обеспечения безопасности доступа к онлайн ресурсам. Технический результат заключается в обеспечении взаимной аутентификации между пользователем и информационной системой за счет передачи данных пользователя и одноразового пароля по разным каналам связи. Для этого при аутентификации посредством одноразового пароля пользователя (10), имеющего компьютерный терминал (11) и телефонный терминал (12), объединенные в одном пользовательском устройстве, и желающего получить доступ к онлайн ресурсу через информационную систему (20), инициируют вызов с идентификатором вызывающего абонента, содержащим одноразовый пароль, на указанный телефонный терминал. 2 н. и 8 з.п. ф-лы, 1 ил.
1. Способ аутентификации посредством одноразового пароля пользователя (10), имеющего компьютерный терминал (11) и телефонный терминал (12) и желающего получить доступ к онлайн ресурсу через информационную систему (20), при этом способ включает этап инициирования на указанный телефонный терминал вызова с идентификатором вызывающего абонента, содержащим одноразовый пароль, причем компьютерный терминал и телефонный терминал объединены в одном пользовательском устройстве.
2. Способ по п. 1, отличающийся тем, что он дополнительно включает этап предоставления личных данных пользователя через информационную систему (20) и этап запроса доступа через информационную систему.
3. Способ по любому из предыдущих пунктов, отличающийся тем, что он дополнительно включает этап генерирования одноразового пароля.
4. Способ по п. 1, отличающийся тем, что он дополнительно включает этап передачи номера телефона, связанного с предоставленными личными данными, и сгенерированного одноразового пароля на IP частную автоматическую телефонную станцию (30), при этом указанный номер телефона был предварительно внесен в указанную информационную систему (20).
5. Способ по п. 1, отличающийся тем, что он дополнительно включает этап предоставления на информационный сервер (20) идентификатора вызывающего абонента из вызова, полученного на телефонный терминал (12).
6. Способ по п. 1, отличающийся тем, что он дополнительно включает этап проверки соответствия сообщения, предоставленного информационной системе (20), и одноразового пароля, сгенерированного информационной системой (20).
7. Способ по любому из пп. 1, 2, 4-6, отличающийся тем, что телефонный терминал представляет собой софт-телефон, а компьютерный терминал представляет собой стационарный/переносной компьютер, содержащий указанный софт-телефон.
8. Способ по любому из пп. 1, 2, 4-6, отличающийся тем, что единое пользовательское устройство представляет собой Smartphone или PDA, предоставляющий помимо выполнения функций телефона услугу передачи данных.
9. Система аутентификации посредством одноразового пароля пользователя (10), имеющего компьютерный терминал (11) и телефонный терминал (12) и желающего получить доступ к онлайн ресурсу через информационную систему (20), причем указанный компьютерный терминал и указанный телефонный терминал объединены в одном пользовательском устройстве, при этом система содержит IP частную автоматическую телефонную станцию (30), предназначенную для инициирования на указанный телефонный терминал вызова с идентификатором вызывающего абонента, содержащим одноразовый пароль.
10. Система по п. 9, отличающаяся тем, что информационная система (20) содержит:
- средство генерирования одноразовых паролей;
- средство передачи на IP частную автоматическую телефонную станцию (30) одноразового пароля и номера телефона;
- средство проверки соответствия сгенерированного одноразового пароля и сообщения, предоставленного через информационную систему (20).
| Станок для изготовления деревянных ниточных катушек из цилиндрических, снабженных осевым отверстием, заготовок | 1923 |
|
SU2008A1 |
| ЭЛЕКТРОННАЯ СИСТЕМА ДЛЯ ПРЕДОСТАВЛЕНИЯ БАНКОВСКИХ УСЛУГ | 2005 |
|
RU2401455C2 |
| СПОСОБ И СИСТЕМА ДЛЯ АУТЕНТИФИКАЦИИ ПОЛЬЗОВАТЕЛЯ СИСТЕМЫ ОБРАБОТКИ ДАННЫХ | 2003 |
|
RU2354066C2 |
| Приспособление для суммирования отрезков прямых линий | 1923 |
|
SU2010A1 |
| Способ приготовления мыла | 1923 |
|
SU2004A1 |
| US 6078908 A, 20.06.2000 | |||
| Поточная линия | 1986 |
|
SU1445917A1 |
