BRPI0304267B1 - Método e sistema para processar listas de revogação de certificado em um sistema de autorização - Google Patents
Método e sistema para processar listas de revogação de certificado em um sistema de autorização Download PDFInfo
- Publication number
- BRPI0304267B1 BRPI0304267B1 BRPI0304267-7A BRPI0304267A BRPI0304267B1 BR PI0304267 B1 BRPI0304267 B1 BR PI0304267B1 BR PI0304267 A BRPI0304267 A BR PI0304267A BR PI0304267 B1 BRPI0304267 B1 BR PI0304267B1
- Authority
- BR
- Brazil
- Prior art keywords
- authorization
- certificate
- user
- privileges
- identity
- Prior art date
Links
- 238000013475 authorization Methods 0.000 title claims abstract description 102
- 238000000034 method Methods 0.000 title claims abstract description 36
- 238000012545 processing Methods 0.000 title abstract description 41
- 238000012544 monitoring process Methods 0.000 claims abstract description 29
- 230000008569 process Effects 0.000 claims description 17
- 238000013507 mapping Methods 0.000 claims description 7
- 230000004044 response Effects 0.000 claims description 6
- 238000012986 modification Methods 0.000 claims description 4
- 230000004048 modification Effects 0.000 claims description 4
- 230000008030 elimination Effects 0.000 claims 1
- 238000003379 elimination reaction Methods 0.000 claims 1
- 238000004590 computer program Methods 0.000 abstract description 2
- 238000004891 communication Methods 0.000 description 13
- 238000010586 diagram Methods 0.000 description 8
- 230000007246 mechanism Effects 0.000 description 5
- 101000896740 Solanum tuberosum Cysteine protease inhibitor 9 Proteins 0.000 description 4
- 238000005516 engineering process Methods 0.000 description 4
- 238000010200 validation analysis Methods 0.000 description 4
- 230000008901 benefit Effects 0.000 description 3
- 230000000694 effects Effects 0.000 description 2
- 230000008520 organization Effects 0.000 description 2
- 238000003860 storage Methods 0.000 description 2
- 238000012546 transfer Methods 0.000 description 2
- 238000012795 verification Methods 0.000 description 2
- 230000004888 barrier function Effects 0.000 description 1
- 230000005540 biological transmission Effects 0.000 description 1
- 230000008859 change Effects 0.000 description 1
- 230000001010 compromised effect Effects 0.000 description 1
- 238000010276 construction Methods 0.000 description 1
- 238000004090 dissolution Methods 0.000 description 1
- 239000000835 fiber Substances 0.000 description 1
- 230000003993 interaction Effects 0.000 description 1
- 238000012432 intermediate storage Methods 0.000 description 1
- 230000007935 neutral effect Effects 0.000 description 1
- 230000002093 peripheral effect Effects 0.000 description 1
- 238000004904 shortening Methods 0.000 description 1
- 230000011664 signaling Effects 0.000 description 1
- 230000009466 transformation Effects 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
- H04L9/3268—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements using certificate validation, registration, distribution or revocation, e.g. certificate revocation list [CRL]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
- H04L2209/56—Financial cryptography, e.g. electronic payment or e-cash
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
- H04L2209/80—Wireless
- H04L2209/805—Lightweight hardware, e.g. radio-frequency identification [RFID] or sensor
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Storage Device Security (AREA)
- Computer And Data Communications (AREA)
Abstract
"método e sistema para processar listas de revogação de certificado em um sistema de autorização". são apresentados um método, um sistema, um aparelho e um produto de programa de computador para processar listas de revogação de certificados (crls) em um sistema de processamento de dados. em lugar de usar crls para fins de autenticação, as crls são usadas para fins de autorização, e a responsabilidade de processamento das crls é colocada em um processo de monitoração dentro de um subsistema de autorização centralizado em lugar das aplicações que autenticam certificados. um processo de monitoração obtém crls recentemente publicadas e determina se os certificados revogados estão associados com usuários que possuem privilégios autorizados. nesse caso, então o processo de monitoração atualiza uma ou mais bases de dados de autorização para reduzir ou eliminar os privilégios autorizados para aqueles usuários.
Description
SISTEMA PARA PROCESSAR LISTAS DE REVOGAÇÃO DE EM UM SISTEMA DE AUTORIZAÇÃO.
ANTECEDENTES DA INVENÇÃO
MÉTODO E
CERTIFICADO
1. Campo da Invenção:
A presente invenção se refere a um sistema aperfeiçoado de processamento de dados e, em particular, a um método e aparelho para transferência de dados em muiticomputadores. Ainda mais particularmente, a presente invenção proporciona um método e aparelho para autorização de computador-para-computador. Mais particularmente, a presente invenção se refere à autenticação de usuários em uma rede heterogênea.
2. Descrição da Técnica Relacionada
As preocupações a cerca da integridade e da privacidade da comunicação eletrônica cresceram com a adoção de serviços baseados na Internet. Foram desenvolvidas várias tecnologias de criptografação e de autenticação proteger a comunicação eletrônica, tais como chaves de criptografação assimétricas.
conjunto de normas X.509 para certificados digitais foi promulgado para criar uma estrutura computacional comum, segura, que incorpora o uso de chaves criptográficas. Um certificado digital X.509 é um padrão da ····· · · ·
International Telecommunications Union (ITU) que foi adotado pelo grupo da Internet Engineering Task Force (IETF). Ele liga, criptograficamente, o proprietário do certificado, presumivelmente o nome da pessoa dentro do certificado, com sua chave pública criptográfica. Esta ligação criptográfica está baseada no envolvimento de uma entidade autorizada dentro da Infra-estrutura de Chave
Pública da Internet para certificados X.509 (PKIX) chamada a autoridade de certificação (CA) . Como resultado, uma associação forte e segura entre o proprietário do certificado e sua chave pública pode se tornar informação pública, embora permaneça à prova de violação e segura. Um aspecto importante dessa confiabilidade é uma assinatura digital que a autoridade certificadora estampa em um certificado antes que ele seja liberado para uso.
Subseqüentemente, quando o certificado é apresentado a um sistema para uso de um serviço, sua assinatura é verificada antes que o proprietário do objeto seja autenticado. Depois que o processo de autenticação é completado com sucesso, ao proprietário do certificado pode ser proporcionado acesso a certas informações, serviços, ou outros recursos controlados, isto é, o proprietário do certificado pode ser autorizado a acessar certos sistemas.
• · · · · · • · ······ · · · · ··· · · · · ··· · ·
PKIX, essencialmente, cria e administra duas construções diferentes, mas intimamente relacionadas: um certificado X.509 e uma Relação de Revogação de Certificado (CRL) X.509. Como observado acima, um certificado digital proporciona uma garantia, isto é, uma certificação, para uma chave pública do indivíduo que porta o certificado, considerando que uma CRL é o meio pelo qual uma autoridade de autenticação anuncia a dissolução da ligação representada em um certificado. Em outras palavras, uma CRL é o meio pelo qual a autoridade certificadora declara que um certificado previamente emitido, embora ainda vigente, não é mais válido. Os certificados são revogados por uma variedade de razões administrativas, como uma mudança na afiliação do indivíduo com uma organização, ou razões de segurança, tais como quando a segurança do certificado ou de uma chave associada foi comprometida de alguma maneira, como perda, roubo, ou revelação sem autorização da chave privada. Certificados que foram revocados são permanentemente invalidados; eles não podem ser não revogados, retomados, restaurados, ou de outro modo reativados. Uma autoridade emissora certifica uma chave pública de um proprietário pela assinatura, criptograficamente, da estrutura de dados do certificado. Similarmente, o processo de revogação também é certificado • · · · ··· · · · ·· • · ·· ······ · ·· • ······ ·· ·· •·· · · · ···· · estampando a assinatura da autoridade certificadora na estrutura de dados da CRL.
Para validar um certificado digital corretamente, uma aplicação deve verificar se o certificado foi revocado.
Quando a autoridade certificadora emite o certificado, a autoridade certificadora gera um número de série único pelo qual o certificado será identificado, e este número de série é armazenado dentro do campo número de série dentro de um certificado X.509. Tipicamente, um certificado de
X.509 revogado é identificado dentro de uma CRL pelo número de série do certificado; um número de série de um certificado revogado aparece dentro de uma lista de números de série dentro da CRL. Conseqüentemente, uma aplicação que está validando um certificado tem que examinar quaisquer listas de revogação de certificado que sejam potencialmente relevantes para o certificado, a fim de determinar se o certificado foi revogado. Em particular, quaisquer CRLs que tenham sido publicadas recentemente pela autoridade de certificação que emitiu o certificado devem ser examinadas.
Uma autoridade de certificação publica uma CRL nova, tipicamente, sempre que um certificado é revogado. CRLs podem ser distribuídas para um sistema de validação de certificados por uma variedade de mecanismos, mas devido a problemas potenciais com a passagem da informação para • · ··· · · sistemas de assinantes, sistemas comerciais PKIX contam, normalmente, com um mecanismo de interrogação no qual uma aplicação de validação de certificado tem a responsabilidade de interrogar CRLs. A autoridade de certificado pode colocar CRLs recentemente publicadas em locais particulares, tais como um diretório LDAP (Protocolo de Acesso a Diretório de Pouco Peso - Lightweight Directory
Access Protocol) diretório, e este local particular é especificado nos certificados que são emitidos por uma autoridade de certificado.
A verificação de CRLs para cada certificado que está sendo processado por cada aplicação que usa o certificado tem um impacto enorme sobre o desempenho em redes e servidores. A interrogação das CRLs de muitos servidores de aplicação pode criar tráfico de rede indesejável, e alguns servidores dentro de uma rede de empresas podem não ter acesso direto aos locais de armazenamento das CRLs devido a políticas de barreiras de proteção. O alongamento de um intervalo de interrogação reduz o tráfico de rede, mas aumenta os riscos de segurança, enquanto o encurtamento do intervalo de indagação degrada o desempenho da rede e do sistema. Em vez de ou além de verificar uma CRL, o
Protocolo de Estado de Certificado On-line (OCSP) requer que cada aplicação que usa o certificado contate um ··· · ··· · · · ·· ··· • · ♦ · · · · ··· · · · · • ······ ·· ··· •·· · · · ···· · · servidor para obter o estado de um certificado, por exemplo, atual, expirado, ou desconhecido. Esse estado de
OCSP também verifica cargas computacionais colocadas em aplicações que usam certificado e criam tráfego de rede.
Portanto, seria vantajoso ter um método e sistema que minimizam a carga computacional que ê causada pelo exame das CRLs.
SUMÁRIO DA INVENÇÃO
São apresentados um método, um sistema, um aparelho e um produto de programa de computador para processar listas de revogação de certificados (CRLs) em um sistema de processamento de dados. Em lugar de usar as CRLs para fins de autenticação, as CRLs são usadas para fins de autorização, e a responsabilidade de processar as CRLs é colocada em um processo de monitoração dentro de um subsistema de autorização centralizado em lugar de nas aplicações que autenticam certificados. Um processo de monitoração obtém CRLs recentemente publicadas e determina se certificados revogados estão associados com usuários que possuem privilégios autorizados. Nesse caso, então o processo de monitoração atualiza uma ou mais bases de dados de autorização para reduzir ou eliminar os privilégios autorizados para esses usuários.
BREVE DESCRIÇÃO DOS DESENHOS ··· · ·♦· · · · ·· ··· • · ♦ · · * · ··· · » » · • ······ ·· · · · •·· · · · ···· · ·
Os novos aspectos que se acredita serem característicos da invenção são apresentados nas reivindicações anexas. A invenção em si, objetivos adicionais e suas vantagens serão entendidos melhor através de referência à descrição detalhada seguinte, quando lida em conjunto com os desenhos que acompanham, em que:
| A figura | IA descreve | um | sistema | típico de |
| processamento de | dados distribuídos | no qual | a presente | |
| invenção pode ser | implementada; | |||
| A figura 1B | descreve uma | arquitetura de | computador | |
| típica que pode | ser usada | dentro | de um | sistema de |
processamento de dados no qual a presente invenção pode ser implementada;
A figura 2 representa uma maneira típica na qual uma entidade obtém um certificado digital;
| A figura 3 é um | diagrama em blocos que representa uma | |||
| maneira típica na | qual uma | entidade | pode usar | um |
| certificado digital | com um | sistema de | Internet | ou |
aplicação;
A figura 4A mostra alguns dos campos de um certificado digital padrão X.509;
A figura 4B mostra alguns dos campos de uma lista de revogação de certificado X.509;
• · · * * · · · · e • · · · * · · ··· · · · • ··*··· ·« « « • * · * · · · · β · ·
A figura 5A é um diagrama em blocos que representa uma maneira na qual uma lista de revogação de certificado pode ser usada durante uma operação de autenticação dentro de um sistema de processamento de dados distribuídos que compreende um sistema ou subsistema de autorização centralizado;
A figura 5B é um diagrama em blocos que representa uma maneira em que uma lista de revogação de certificado pode ser usada por um processo de monitoração para modificar privilégios de autorização dentro de um sistema de processamento de dados distribuídos que compreende um sistema ou subsistema de autorização centralizado; e
A figura 6 é um fluxograma que representa um processo de monitoração pelo qual um subsistema de autorização centralizado atualiza privilégios de autorização para usuários cujos certificados são indicados como sendo revogados de acordo com listas de revogação de certificados recentemente publicadas.
DESCRIÇÃO DETALHADA DA INVENÇÃO
Em geral, os dispositivos que podem compreender ou se relacionar com a presente invenção incluem uma ampla variedade de tecnologias de processamento de dados. Então, como base, uma organização típica de componentes de hardware e de software dentro de um sistema de * ··♦ · ··· · · « ·φ ··« ···« ···» « · · · ····♦··«· · >· · * * · 4 * · · ··· · · · * ···«·· * · ··· *·· · * · ·Λ· · » processamento de dados distribuídos é descrita antes de descrever a presente invenção em mais detalhes.
Com referência agora às figuras, a figura IA representa uma rede típica de sistemas de processamento de dados, cada um dos quais pode implementar uma porção da presente invenção. 0 sistema de processamento de dados distribuídos 100 contém a rede 101, que é um meio que pode ser usado para proporcionar ligações de comunicações entre vários dispositivos e computadores conectados juntos dentro de um sistema de processamento de dados distribuídos 100. A rede 101 pode incluir conexões permanentes, como fios ou cabos de fibra ótica, ou conexões temporárias, feitas através de telefone ou comunicações sem fios. No exemplo representado, o servidor 102 e o servidor 103 são conectados à rede 101 junto com a unidade de armazenamento
104. Além disso, os clientes 105 - 10 também são conectados à rede 101. Os clientes 105 - 107 e os servidores 102-103 podem ser representados por uma variedade de dispositivos de computação, tais como computadores de grande porte, computadores pessoais, assistentes pessoais digitais (PDAs) etc. 0 sistema de processamento de dados distribuídos 100 pode incluir servidores adicionais, clientes, roteadores , outros dispositivos, e arquiteturas ponto-a-ponto, que não são mostradas.
• · « · ··· · ·
• ·· ··· • · · · · • · · · · • ··· · ·
No exemplo representado, o sistema de processamento de dados distribuídos 100 pode incluir a Internet com rede
101 representando uma coleção mundial de redes e portas que usam vários protocolos para se comunicar uma com a outra, como o Protocolo de Acesso a Diretório de Pouco Peso (LDAP), Protocolo de Controle de Transporte/ Protocolo de
Internet (TCP/IP), Protocolo de Transporte de Hipertexto (HTTP), Protocolo de Aplicação Sem fios (WAP) etc.
Naturalmente, o sistema de processamento de dados distribuídos 100 também pode incluir vários tipos diferentes de redes, como, por exemplo, uma intranet, uma rede de área local (LAN) , ou uma rede de área estendida (WAN) . Por exemplo, o servidor 102 suporta, diretamente, o cliente 109 e a rede 110 que incorpora ligações de comunicação sem fios. O telefone 111 ativado por rede se conecta à rede 110 através de ligação sem fios 112 e o PDA
113 se conecta à rede 110 através de ligação sem fios 114.
telefone 111 e o PDA 113 também podem transferir dados diretamente entre eles através de ligação sem fios 115, usando uma tecnologia apropriada, como a tecnologia sem fios da Bluetooth™, para criar as chamadas redes de área pessoais (PAN) ou redes pessoais ad-hoc. De maneira similar, o PDA 113 pode transferir dados para o PDA 107 por meio de ligação de comunicação sem fios 116.
A presente invenção podería ser implementada em uma
variedade de plataformas de hardware; a figura IA é planejada como um exemplo de um ambiente de computação heterogêneo e não como uma limitação arquitetônica para a presente invenção.
Com referência agora à figura IB, um diagrama representa uma arquitetura de computador típica de um sistema de processamento de dados, como aqueles mostrados na figura IA, na qual a presente invenção pode ser implementada. O sistema de processamento de dados 120 contém uma ou mais unidades centrais de processamento (CPUs) 122 conectadas ao barramento de sistema interno 123, que interliga a memória de acesso randômico (RAM) 124, memória somente de leitura 126 e o adaptador de entrada/ 15 saída 128 que, suporta vários dispositivos de E/S, como a impressora 130, as unidades de disco 132, ou outros dispositivos não mostrados, como um sistema de saída de áudio etc. O sistema de barramento 123 também conecta o adaptador de comunicação 134 que proporciona acesso à ligação de comunicação 136. O adaptador de interface de usuário 148 conecta vários dispositivos de usuário, como teclado 140 e mouse 142, ou outros dispositivos não mostrados, como uma tela de toque, caneta para PALM,
microfone etc. O adaptador de exposiçãol44 conecta o barramento de sistema 123 ao dispositivo de exibição 146.
Aqueles de habilidade comum na técnica apreciarão que o hardware na figura 1B pode variar, dependendo da implementação de sistema. Por exemplo, o sistema pode ter um ou mais processadores, como um processador Intel° baseado em Pentium e um processador de sinal digital (DSP), e um ou mais tipos de memória volátil e não-volátil.
Outros dispositivos periféricos podem ser usados além de ou em lugar do hardware representado na figura 1B. Em outras palavras, alguém de habilidade comum na técnica não esperaria achar componentes ou arquiteturas idênticas dentro de um telefone ativado pela Web ou ativado por rede e uma estação de trabalho de mesa completamente caracterizada. Os exemplos representados não têm um significado que implique em limitações arquitetônicas com respeito à presente invenção.
Além de poder ser implementada em uma variedade de plataformas de hardware, a presente invenção pode ser implementada em uma variedade de ambientes de software. Um sistema operacional típico pode ser usado para controlar execução de programa dentro de cada sistema de processamento de dados. Por exemplo, um dispositivo pode ser executado em um sistema operacional Unix°, enquanto
outro dispositivo contém um ambiente de tempo de execução simples Java*. Uma plataforma de computador representativa pode incluir um navegador que é uma aplicação de software bem conhecida para acessar documentos de hipertexto em uma variedade de formatos, tais como arquivos de gráfico, arquivos de processamento de textos, Linguagem Extensível de Complementação (XML), Linguagem de Complementação de
Hipertexto (HTML), Linguagem de Complementação de
Dispositivo Manual (HDML), Linguagem de Complementação sem
Fio (WML) e vários outros formatos e tipos de arquivos.
A presente invenção pode ser implementada em uma variedade de plataformas de hardware e de software, como descrito acima. Mais especificamente, entretanto, a presente invenção é dirigida a proporcionar autorização para acesso seguro de usuário à aplicações ou sistemas dentro de um ambiente de processamento de dados distribuídos. Para realizar esta meta, a presente invenção
| usa as relações de confiança | associadas | com | certificados | |
| digitais de uma maneira | moderna. Antes | de | descrever a | |
| 20 presente invenção em | mais | detalhe, | entretanto, é | |
| proporcionada um pouco | de | informação | de | base sobre |
| certificados digitais | para | avaliar | as | eficiências |
operacionais e outras vantagens da presente invenção.
····· · · · · • · · · · · ·
Os certificados digitais suportam criptografia de chave pública na qual cada parte envolvida em uma comunicação ou transação tem um par de chaves, chamadas a chave pública e a chave privada. A chave pública de cada parte é publicada enquanto a chave privada é mantida secreta. As chaves públicas são números associados com uma entidade particular e são destinadas a serem conhecidas por alguém que precisa ter interações confiadas com aquela entidade. As chaves privadas são números que se supõe serem conhecidos apenas de uma entidade particular, isto é, mantidos em segredo. Em um sistema criptográfico de chave pública típico, uma chave privada corresponde a exatamente uma chave pública.
Dentro de um sistema de criptografia chave pública, uma vez que todas as comunicações envolvem só chaves públicas e nenhuma chave privada é transmitida ou compartilhada, mensagens confidenciais podem ser geradas usando só informação pública e podem ser decifradas usando só uma chave privada que está na posse exclusiva do receptor planejado. Além disso, a criptografia de chave pública pode ser usada para autenticação, isto é, assinaturas digitais, como também para privacidade, isto é, criptografação.
Criptografação é a transformação de dados em uma forma ilegível por alguém sem uma chave secreta de descriptografação; a criptografação assegura privacidade mantendo o conteúdo da informação escondido de alguém para quem ele não seja destinado, até mesmo aqueles que podem ver os dados criptografados. A autenticação é um processo por meio do qual o receptor de uma mensagem digital pode ser confiante da identidade do remetente e/ ou da integridade da mensagem.
Por exemplo, quando um remetente criptografa uma mensagem, a chave pública do receptor é usada para transformar os dados dentro da mensagem original nos conteúdos da mensagem criptografada. Um remetente usa uma chave pública do receptor planejado para criptografar dados, e o receptor usa uma chave privada para descriptografar a mensagem criptografada.
Ao autenticar dados, os dados podem ser assinados computando uma assinatura digital dos dados e a chave privada do signatário. Uma vez que os dados são assinados digitalmente, eles podem ser armazenados com a identidade do signatário e a assinatura que prova que os dados se originaram do signatário. Um signatário usa uma chave privada para assinar dados, e um receptor usa a chave pública do signatário para verificar a assinatura.
• · ·
Um certificado é um documento digital que atesta a identidade e propriedade da chave de entidades, como um indivíduo, um sistema de computador, um servidor específico executando naquele sistema etc. Certificados são emitidos por autoridades de certificados. Uma autoridade de certificado (CA) é uma entidade, normalmente uma terceira parte encarregada de uma transação, que é encarregada de assinar ou emitir certificados para outras pessoas ou entidades. A CA, usualmente, tem uma espécie de responsabilidade legal para sua certificação da ligação entre uma chave pública e seu proprietário que permite a alguém dar crédito à entidade que assinou um certificado.
Há muitas dessas autoridades de certificados, como
VeriSign, Entrust etc. Estas autoridades são responsáveis pela verificação da identidade e da propriedade da chave de uma entidade ao emitir o certificado.
Se uma autoridade de certificado emite um certificado para uma entidade, a entidade tem que proporcionar uma chave pública e alguma informação sobre a entidade. Uma ferramenta de software, como navegadores de Web especialmente equipados, pode assinar, digitalmente, essa informação e enviá-la para a autoridade de certificado. A autoridade de certificado poderia ser uma companhia como a
VeriSign que proporciona serviços de autoridade de ····· · · · · • · · · · · · certificados a terceiros encarregados. A autoridade de certificados, então, gerará o certificado e o retornará. 0 certificado pode conter outra informação, como datas durante as quais o certificado é válido e um número de série. Uma parte do valor proporcionado por uma autoridade de certificado é servir como um serviço de introdução neutro e confiado, baseado em parte nas suas exigências de verificação, que são publicadas abertamente em suas
Práticas de Serviço de Certificação (CSP).
Tipicamente, depois que a CA recebeu um pedido para um novo certificado digital que contém a chave pública da entidade solicitante, a CA assina a chave pública da entidade solicitante com a chave privada da CA e coloca a chave pública assinada dentro do certificado digital.
Alguém que recebe o certificado digital durante uma transação ou comunicação pode, então, usar a chave pública da CA para verificar a chave pública assinada dentro do certificado. A intenção é que o certificado de uma entidade verifica que a entidade possui uma chave pública particular.
Outros aspectos de processamento do certificado também são padronizados. O Formato de Mensagem de Solicitação de
Certificado (RFC 2511) especifica um formato que foi recomendado para uso quando uma parte em que se pode
confiar está solicitando um certificado de uma CA. Também foram promulgados Protocolos de Gerenciamento de
Certificados para transferir certificados. Mais informação sobre a infra-estrutura de chave pública (PKIX) X.509 pode ser obtida da Internet Engineering Task Force (IETF) em mm.ietf.org. A descrição das figuras 2 - 4B proporciona alguma informação de base útil sobre certificados digitais porque a presente invenção reside em um sistema de processamento de dados distribuídos que processa certificados digitais e/ ou listas de revogação de certificados.
Com referência agora à figura 2, um diagrama em blocos representa uma maneira típica na qual um indivíduo obtém um certificado digital. O usuário 202, operando em algum tipo de computador de cliente, previamente obteve ou gerou um par de chaves pública/ privada, por exemplo, a chave pública de usuário 204 e a chave privada de usuário 206. O usuário 202 gera um pedido para o certificado 208 contendo a chave pública de usuário 204 e envia a solicitação para a autoridade de certificação 210 que está de posse da chave pública CA 212 e da chave privada CA 214. A autoridade de certificação 210 verifica a identidade de usuário 202 de alguma maneira e gera o certificado digital X.509 216, contendo a chave pública 218 assinada pelo usuário. Todo o • ·
certificado é assinado com a chave privada CA 214; o certificado inclui a chave pública do usuário, o nome associado com o usuário e outros atributos. O usuário 202 recebe o certificado digital 216, recentemente gerado, e o usuário 202 pode, então, apresentar o certificado digital
216, como necessário, para se envolver em transações confiáveis ou em comunicações confiáveis. Uma entidade que recebe o certificado digital 216 do usuário 202 pode verificar a assinatura da CA usando a chave pública de CA
212, que é publicada e está disponível para a entidade verificadora.
Com referência agora à figura 3, um diagrama em blocos representa uma maneira típica na qual uma entidade pode usar um certificado digital a ser autenticado em um sistema ou aplicação de Internet. O usuário 302 possui o certificado digital X.509 304, que é transmitido para uma aplicação da Internet ou da intranet 306 no sistema principal 308; a aplicação 306 inclui funcionalidade de X.509 para processar e usar certificados digitais. O usuário 302 assina ou criptografa dados que envia para a aplicação 306 com sua chave privada.
A entidade que recebe o certificado 3 04 pode ser uma aplicação, um sistema, um subsistema etc. O certificado 304 contém um nome de indivíduo ou identificador de indivíduo
que identifica o usuário 302 para a aplicação 306, que pode executar um tipo de serviço para o usuário 302. A entidade que usa o certificado 304 verifica a autenticidade do certificado antes de usar o certificado com relação aos dados assinados ou criptografados do usuário 302.
O sistema principal 308 também pode conter o registro de sistema 310, que é usado para autorizar o usuário 302 a acessar serviços e recursos dentro do sistema 308, isto é, reconciliar a identidade de um usuário com privilégios de usuário. Por exemplo, um administrador de sistema pode ter configurado uma identidade de usuário para pertencer a um certo um grupo de segurança, e o usuário está restrito a ser capaz de acessar só aqueles recursos que são configurados para estarem disponíveis para um grupo de segurança como um todo. Vários métodos bem conhecidos para impor um esquema de autorização podem ser empregados dentro do sistema.
Como previamente observado com relação à técnica anterior, a fim de validar, adequadamente, um certificado digital, uma aplicação tem verificar se o certificado foi revogado. Quando a autoridade certificadora emite o certificado, a autoridade certificadora gera um número de série único pelo qual o certificado será identificado, e esse número de série é armazenado dentro do campo número de série dentro de um certificado X.509. Tipicamente, um certificado X.509 revogado é identificado dentro de uma CRL através do número de série do certificado; um número de série de um certificado revogado aparece dentro de uma lista de números de série dentro da CRL.
A fim de determinar se certificado 304 ainda é válido, a aplicação 306 obtém uma lista de revogação de certificados (CRL) de repositório de CRL 312 e valida a
CRL. A Aplicação 306 compara o número de série dentro do certificado 304 com a lista de números de série dentro da
CRL recuperada, e, se não houver nenhum número de série de comparação, então, a aplicação 306 valida o certificado
304. Se a CRL tiver um número de série de comparação, então, o certificado 304 será rejeitado, e a aplicação 306 pode tomar medidas apropriadas para rejeitar a solicitação do usuário para acesso a quaisquer recursos do controlador.
Com referência agora à figura 4A, alguns dos campos de um certificado digital X.509 padrão são mostrados. As construções mostradas na figura 4A estão em Notação de
Sintaxe Abstrata 1 (ASN.l) e são definidas dentro do padrão de X.509.
Com referência agora à figura 4B, são mostrados alguns dos campos de uma lista de revogação de certificado X.509. Cada certificado revogado é identificado em uma CRL que usa
a construção mostrada na figura 4B, que também está na notação ASN.l. Especificamente, são citadas definições para certificados digitais e listas de revogação de certificados dentro de Internet X.509 Public Key Infrastructure
Certificate and CRL Profile, IETF RFC 2459, janeiro de
1999.
íl
Como descrito acima, uma lista de revogação de certificados é um mecanismo pelo qual um certificado é descertifiçado. Em outras palavras, uma CRL representa uma relação dissolvida ou repudiada entre uma terceira parte responsável e um conjunto de indivíduos que estão portando ou apresentando um certificado, isto é, um usuário.
Conseqüentemente, CRLs são, tipicamente, usadas para determinar se um certificado é válido ou não antes de executar alguma operação em nome de um usuário. Como mostrado na figura 3, uma CRL é usada, tipicamente, durante um processo de autenticação, enquanto um certificado está sendo validado.
Voltando agora à presente invenção, a descrição das figuras restantes é dirigida a uma explicação de uma nova técnica. Em contraste com sistemas típicos da técnica anterior, a presente invenção processa listas de revogação de certificados para fins de autorização em lugar de fins de autenticação. Publicações relevantes de listas de • e· · · ·
revogação de certificados são monitoradas na presente invenção para determinar se um certificado para um usuário com privilégios autorizados foi revocado, e nesse caso, os privilégios autorizados são reduzidos ou retirados.
Com relação à figura 5A, um diagrama em blocos representa uma maneira na qual uma lista de revogação de certificados pode ser usada durante uma operação de autenticação dentro de um sistema de processamento de dados distribuídos que compreende um sistema ou subsistema de autorização centralizado. De maneira similar àquela mostrada na figura 3, a figura 5A representa um sistema no qual uma CRL é processada durante uma operação de autenticação. Mais especificamente, a figura 5A mostra que uma CRL pode ser processada durante uma operação de validação de certificado para fins de autenticação antes de invocar a funcionalidade dentro de um subsistema ou sistema de autorização centralizado para fins de autorização.
O cliente 502 envia uma solicitação para um recurso controlado junto com um certificado digital, mostrado como solicitação/ certificado 504, em nome de um usuário que é o cliente 502 da operação; o cliente 502 também envia a prova de posse da chave privada através da sinalização de alguns dados usando a chave privada. A aplicação que usa certificado 506 recebe a solicitação/ certificado e, um aa « # < a » a « •a · · · « · aaa · t » a · · · ··· · aaa a a a a a a a aa aaa aaa * · · ♦ ··· · · pouco mais tarde, envia a resposta 508, que pode ser positiva ou negativa.
Contudo, antes de enviar uma resposta, a aplicação 506 tenta validar o certificado recebido a fim de autenticar a identidade do usuário do cliente 502 e determinar se ao usuário será proporcionado acesso ao recurso solicitado.
Como previamente descrito acima, um certificado pode ter sido revogado, como indicado dentro de uma CRL. Como parte da operação de validação de certificado, a aplicação 506 recupera uma CRL do repositório de CRL 510 em que a autoridade de certificação 512 publicou uma ou mais CRLs.
Se a aplicação 506 não descobre que o certificado foi revogado, e se o certificado for de outro modo validado, então, a operação de autenticação é completada, e a aplicação 506 pode prosseguir para determinar se o usuário está autorizado a acessar o recurso solicitado. A determinação de autorização é realizada por uma estrutura ou subsistema de autorização.
Porém, subsistemas de autorização são operados, freqüentemente, de maneira distinta, a partir de subsistemas de autenticação. É possível para uma empresa comprar uma estrutura de autenticação e uma estrutura de autorização de vendedores diferentes e, então, integrar os dois subsistemas. De fato, uma estrutura de autorização
• ·«· · • · · · · • · · · · • · · · · ······ • ** · · • · ·· • · · · • · · ·· ··· · · · • · · · • ··· · pode fazer interface com múltiplos tipos diferentes de estruturas de autenticação, cada uma das quais usa uma técnica diferente para autenticação. Por exemplo, uma estrutura de autenticação pode contar com certificados digitais, enquanto outra pode contar com informação biométrica. Além disso, cada estrutura de autenticação pode manter seu próprio conjunto de identidades de usuários. No caso de certificados digitais, um certificado digital contém o nome do usuário para o qual uma autoridade de certificado emitiu o certificado digital. Com relação à terminologia usada com certificados digitais, um usuário é considerado um indivíduo, e a identidade do usuário é armazenada dentro de um certificado em um campo de nome distinguido ou um campo de indivíduo, como mostrado na figura 4A. O nome distinguido é então usado como um identificador de usuário em relação às operações de autenticação.
Em lugar de empregar identidades de usuário de uma estrutura de autenticação particular, a estrutura de autorização pode manter um conjunto distinto de identidades de usuário, o que é particularmente útil porque a estrutura de autorização pode precisar fazer interface com as múltiplas estruturas de autenticação, cada uma das quais mantêm seu próprio conjunto de identidades de usuário. A >· · * · ·« • · · · · · · » · · · · · ·· ······ · · fim de que o sistema de processamento de dados use uma identidade de usuário com relação à estrutura de autenticação e uma identidade de usuário diferente com relação à estrutura de autorização, um mecanismo é proporcionado para mapear uma identidade de usuário na estrutura de autenticação para outra identidade de usuário na estrutura de autorização.
Fazendo referência à figura 5A novamente, a aplicação
506 mapeia o nome distinguido dentro do certificado recebido para o identificador de usuário interno do subsistema de autorização de acordo com a informação dentro de um repositório de mapeamentos 520. Um nome distinguido para o usuário foi colocado dentro de um certificado quando uma autoridade de certificação emitiu o certificado para o usuário; o identificador de usuário interno do subsistema de autorização foi gerado quando o usuário foi administrativamente aprovado, isto é, autorizado, para certos privilégios. O nome distinguido não é idêntico ao identificador de usuário dentro do subsistema de autorização, permitindo, assim, que o subsistema de autorização e o subsistema de autenticação assim operem com relação aos diferentes padrões, princípios, ou regras, conforme determinado por vendedores diferentes.
Após o mapeamento, o nome distinguido do certificado para uma identidade de usuário de autorização que pode ser usada pelo servidor de autorização 522, a aplicação 506 pode enviar uma solicitação de autorização com a identidade de usuário de autorização para o servidor 522, que usa a base de dados de autorização 524 em sua operação de tomada de decisões. O servidor de autorização 522 verifica o repositório de usuário 526 para determinar que políticas de segurança são aplicáveis ao usuário identificado, e então o servidor de autorização 522 obtém políticas de segurança aplicáveis 528 a fim de tomar uma decisão, que é retornada para a aplicação 506. 0 repositório de usuário 526 pode ser implementado como um diretório de LDAP (Protocolo de Acesso a Diretório de Pouco Peso) e políticas de segurança 528 podem ser implementadas como listas de controle de acesso (ACLs).
Embora a figura 5A mostre uma unica aplicaçao, deve ser notado que um sistema de processamento de dados distribuídos pode ter muitas aplicações que são semelhante à aplicação 506. Uma vez que as operações de autenticação são executadas por cada autenticação podem ser distribuídas. Por sua vez, subsistema de autorização
| aplicação, as | operações de | |
| consideradas | como | sendo |
| cada aplicação | conta | com um |
| que opera de | uma | maneira |
centralizada, embora deva ser notado que múltiplos servidores de autorização poderíam ser implementados de uma maneira distribuída embora centralizada. Conseqüentemente, as operações de autenticação podem ser consideradas como sendo distribuídas embora as operações de autorização possam ser consideradas como sendo centralizadas.
Com referência agora à figura 5B, um diagrama em blocos representa uma maneira na qual uma lista de revogação de certificados pode ser usada por um processo de monitoração para modificar privilégios de autorização dentro de um sistema de processamento de dados distribuídos que compreende um sistema ou subsistema de autorização centralizado. De maneira similar àquela mostrada na figura
5A, a figura 5B representa um cliente que envia uma solicitação para um recurso controlado junto com um certificado digital em nome de um usuário que está operando o cliente; elementos semelhantes na figura 5A e na figura
5B têm numerais de referência semelhantes. Pode ser considerado que os sistemas de processamento de dados mostrados na figura 5A e na figura 5B incluem operações de autenticação distribuídas e operações de autorização centralizadas.
Em contraste com o sistema de processamento de dados mostrado na figura 5A, entretanto, o sistema de
• · · · ··· processamento de dados na figura 5B difere pelo fato de que as operações com relação às listas de revogação de certificados foram movidas das entidades de autenticação distribuídas para a entidade de autorização centralizada.
Esta implementação esta baseada em um novo reconhecimento da relação entre a natureza de uma lista de revogação de certificados e sua utilidade dentro de um ambiente de rede de empresa. Como mencionado acima, um certificado digital pode ser revogado, isto é, relacionado em uma lista de revogação de certificados por várias razões. Com relação a uma empresa que está proporcionando acesso a recursos controlados, a consequência do fato de que um certificado foi revogado deveria ser a remoção de privilégios autorizados para o usuário que está associado com o certificado. Movendo a responsabilidade de processar as CRLs para a entidade de autorização centralizada das entidades de autenticação distribuídas o ambiente de rede apresenta melhor desempenho. Fazendo referência mais uma vez à figura 5B, em lugar de a aplicação 506 interrogar as
CRLs, o processo de monitoração 530 interroga quaisquer
CRLs recentemente publicadas no repositório 510. Quando uma CRL recentemente publicada é encontrada, o processo de monitor 530 atualiza a informação de autorização para • · · · · · • · . · · · • · « · · · • · · · · ·<
······ quaisquer usuários, isto é, nomes distintos, que são encontrados dentro de uma CRL.
Embora a aplicação 506 não seja mais responsável pela verificação das CRLs, a aplicação 506 continua enviando solicitações para o servidor de autorizações 522 como descrito com relação à figura 5A. Se o processo de monitoramento 530 mudou os privilégios de autorização para o usuário de cliente 502 em resposta a uma CRL recentemente publicada, que revogou o certificado do usuário, então, o servidor de autorização 522 gerará uma resposta de autorização negativa, e a aplicação 506 negará ao cliente
502 o acesso ao recurso solicitado.
Com referência agora à figura 6, um fluxograma representa um processo de monitoração pelo qual um subsistema de autorização centralizado atualiza privilégios de autorização para usuários cujos certificados são indicados como sendo revogados de acordo com listas de revogação de certificados recentemente publicadas. O processo começa com um processo de monitoração que verifica, continuamente, se uma lista de revogação de certificados foi publicada recentemente (etapa 602) . Se não, então o processo de monitoração continua interrogando um ou mais repositórios de CRLs para CRLs recentemente publicadas. Se houver uma CRL recentemente publicada, %
então, o processo de monitoração recupera a mesma para processamento (etapa 604).
Deve ser notado que outros mecanismos para obtenção de uma CRL podem ser implementados pelo processo de monitoração. Por exemplo, as CRLs podem ser empurrados a entidades que foram previamente registradas com alguma entidade, como uma autoridade de certificação, para receber
CRLs recentemente publicadas. Neste caso, não seria requerido que o processo de monitoração interrogasse um repositório de CRLs.
O processo de monitoração, então, faz um laço através de todos os certificados que estão listados na CRL. O próximo número de série de certificado na CRL é recuperado (etapa 606), e uma tentativa é feita para mapear o número de série do certificado para uma identidade de usuário que usa a informação dentro da base de dados do subsistema de autorização (etapa 608). Considerando que as descrições da figura 5A e da figura 5B discutem o uso de um nome distinto de certificado em uma operação de mapeamento de identidade de autorização em lugar de um número de série de um certificado, como usado na etapa 606, deve ser notado que a base de dados de autorização pode ser povoada com vários itens de dados de um certificado digital de usuário, quando um usuário é administrativamente aprovado, isto é,
·· · · · autorizado, para certos privilégios. Consequentemente, o número de série para o certificado também pode ser armazenado na base de dados de autorização junto com o nome distinguido do usuário, assim, permitindo uma operação de consulta usando os números de série em uma lista de revogação de certificados.
Uma determinação é feita se a operação de mapeamento foi bem sucedida (etapa 610) e, se assim, então, a base de dados de autorização ê atualizada para modificar os privilégios do usuário (etapa 612); caso contrário, o processo somente se ramifica porque o número de série da
CRL não está associado com um usuário que tem privilégios autorizados. Também podem ser executadas outras operações relacionadas com a segurança, se a base de dados de autorização for atualizada. Por exemplo, em algumas concretizações, as aplicações que usam certificados podem fazer o armazenamento intermediário de provisão de informação de autorização; quando a base de dados de autorização é atualizada, essas aplicações serão notificadas para esvaziar suas caches porque as caches não mais conterão informação atual.
Uma determinação é feita, então, se há mais números de série de certificados na CRL recuperada que não tenham sido ainda processados (etapa 614), e nesse caso, o processo se
ramifica para a etapa 606. Se não houver mais números de série de certificados a serem processados, então uma determinação é feita quanto a continuar o processo de monitoração (etapa 616), e nesse caso, então o processo se ramifica para a etapa 602. Caso contrário, o processo está completo, por exemplo, o processo pode ter sido terminado administrativamente.
Se o processo de monitoração for capaz de mapear um certificado revogado com um usuário que autorizou privilégios como indicado dentro da base de dados de autorização, o processo de monitoração pode iniciar uma variedade de modificações diferentes para base de dados de autorização que dependem da implementação do subsistema de autorização. Em uma concretização, a base de dados de autorização mantém um item de dados para cada usuário que indica associação em um grupo autorizado ou uma classe autorizada de usuários. Quando originalmente autorizado para acesso, o usuário pertence, originalmente, a um certo grupo autorizado ou classe autorizada de usuários. Se o certificado do usuário é revogado, então o usuário pode ser movido, subseqüentemente, para outro tipo de grupo autorizado ou classe autorizada de usuários, mudando o valor do item de dados na base de dados para o usuário que está relacionado com o grupo autorizado ou classe
autorizada. O grupo autorizado ou classe autorizada subseqüente, provavelmente, não teria privilégios, embora, em alguns casos, possa haver alguns grupos ou classes que têm um conjunto muito mínimo de privilégios, e o usuário poderia ser colocado em um destes grupos ou classes. Por exemplo, muitos sistemas permitem usuários visitantes e/ ou temporários, e o usuário poderia ser colocado em um desses grupos que têm privilégios a nível de visitante que permitem a um usuário ver certos tipos de informação, mas não permitem a um usuário executar qualquer operação significativa, assim, reduzindo os privilégios autorizados para o usuário. Fazendo referência mais uma vez à figura
5B, a modificação da associação com o grupo ou classe de um usuário poderia ser feita atualizando o repositório de usuário, as políticas de segurança, ou o repositório de mapeamento, como apropriado.
Em outra concretização, a base de dados de autorização mantém uma lista de controle de acesso (ACL) para cada usuário que indica os recursos que um usuário está autorizado a acessar. Se o certificado de um usuário for revogado, então a lista de recursos autorizados seria cancelada ou eliminada. Em alguns casos, como mencionado acima, um conjunto mínimo de recursos a nível de visitante ······ · • » · · · · ♦ · · • · · » * · · · · • · · · · ··· »····» pode permanecer na ACL de forma que o usuário retém a habilidade para executar um conjunto mínimo de operações.
As vantagens da presente invenção serão evidentes em vista da descrição detalhada que é provida acima. Na 5 presente invenção, as operações com relação às listas de revogação de certificados são executada por uma entidade de autorização centralizada em lugar de entidades de autenticação distribuídas. Fazendo assim, são melhoradas a segurança, a escalabilidade e o desempenho. A segurança é melhorada porque mudanças na segurança, como promulgado através das CRLs, entram em vigor rapidamente. Desde que há um só processo de monitoração que está observando a publicação de CRLs, o intervalo de interrogação pode ser fixado bastante pequeno de forma que as CRLs são recuperadas muito mais depressa. Além disso, o processo de monitoração atualiza a base de dados de autorização imediatamente de modo que as mudanças entram em vigor em todas as aplicações que usam certificados que o subsistema de autorização suporta.
0 desempenho é melhorado porque uma grande quantidade de tráfego de rede é eliminada pelo processo de monitoração centralizada, e cada aplicação usando certificado não é encarregada da responsabilidade de verificar as CRLs e examinar as CRLs. Através da remoção da operação de
444
44·· 444 »·44 · 4 · 1
444444 4 444
4444*4 4 4 444 * · 4 4 444 4 4 verificação de CRLs de cada aplicação que usa certificado, o sistema é muito mais escalonável porque só um processo de monitoração é requerido, não importa quantas aplicações usando certificados são suportadas.
É importante notar que embora a presente invenção tenha sido descrita no contexto de um sistema de processamento de dados funcionando completamente, aqueles de habilidade comum na técnica apreciarão que alguns dos processos associados com a presente invenção são capazes de ser distribuídos na forma de instruções ou outros mecanismos em um meio legível em computador e uma variedade de outras formas, independente do tipo particular de meio que porta o sinal realmente usado para realizar a distribuição. Exemplos de meios legíveis em computador incluem meios como EPROM, ROM, fita, papel, disco flexível, unidade de disco rígido, RAM e CD-ROMs e meios do tipo de transmissão, como ligações de comunicações digitais e analógicas.
Um método geralmente é concebido para ser uma seqüência lógica de etapas que conduzem a um resultado desejado. Estes etapas requerem manipulações físicas de quantidades físicas. Normalmente, embora não necessariamente, essas quantidades têm a forma de sinais elétricos ou magnéticos capazes de serem armazenados, ·· ··· • ·« • · · * · · · • · · · · ·· • *» · ··· · · · · ··· ·· · · · • · ··· · · transferidos, combinados, comparados e de outro modo manipulados. Às vezes é conveniente, principalmente por razões de uso comum, fazer referência a esses sinais como bits, valores, parâmetros, itens, elementos, objetos, símbolos, caracteres, termos, números ou semelhante. Porém, deve ser notado que todos esses termos e termos semelhantes estarão associados com as quantidades físicas apropriadas e são apenas rótulos convenientes aplicados a essas quantidades.
A descrição da presente invenção foi apresentada para fins de ilustração, mas não foi pretendido ser exaustivo ou estar limitado às concretizações divulgadas.
Muitas modificações e variações serão evidentes para aqueles de habilidade comum na técnica. As concretizações foram escolhidas para explicar os princípios da invenção e suas aplicações práticas e capacitar outros de habilidade comum na técnica a compreender a invenção para implementar várias concretizações com várias modificações como possam ser adequadas a outros usos considerados.
Claims (12)
- REIVINDICAÇÕES1. Método para gerenciamento de autorização de acesso em um meio de computação distribuído, o método caracterizado pelo fato de compreender:mapeamento de uma identidade de autenticação de usuário para uma identidade de autorização de usuário, em que a dita identidade de autenticação de usuário não é a mesma que a dita identidade de autorização de usuário, e a dita identidade de autenticação de usuário é associada com um certificado digital;utilização da dita identidade de autorização de usuário para acessar um processo em execução no dito ambiente de computação distribuído, em que o dito acesso é gerenciado de acordo com privilégios de autorização associados com a dita identidade de autorização de usuário; e monitoramento (606) da revogação do dito certificado digital, em que os ditos privilégios de autorização são modificados quando o dito certificado digital é revogado.
- 2. Método, de acordo com a reivindicação 1, caracterizado pelo fato de ainda incluir interrogação de um repositório acerca de uma lista de revogação de certificados, de acordo com um intervalo de interrogação predeterminado, em que a dita lista de revogação de certificados compreendePetição 870170009534, de 13/02/2017, pág. 8/122/5 identificadores únicos associados com certificados digitais que foram revogados.
- 3. Método, de acordo com a reivindicação 1, caracterizado pelo fato de ainda incluir realização do monitoramento da dita revogação do dito certificado digital dentro de um subsistema de autorização centralizado.
- 4. Método, de acordo com a reivindicação 1, caracterizado pelo fato de ainda compreender:obtenção (604) de uma lista de revogação de certificados;para cada certificado digital indicado como sendo revogado pela dita lista de revogação de certificados, determinar (606) se cada certificado digital foi emitido a um usuário associado com um conjunto dos ditos privilégios de autorização; e em resposta a uma determinação (606) de que um certificado foi emitido para o dito usuário associado com o dito conjunto de privilégios de autorização, atualizar (612) uma base de dados para modificar o dito conjunto de privilégios de autorização para o dito usuário para o qual o dito certificado digital foi emitido.
- 5. Método, de acordo com a reivindicação 4, caracterizado pelo fato de ainda compreender redução ou eliminação do dito conjunto de privilégios de autorizaçãoPetição 870170009534, de 13/02/2017, pág. 9/123/5 para o dito usuário quando a dita base de dados (524) é atualizada (612) .
- 6. Método, de acordo com a reivindicação 1, caracterizado pelo fato de ainda compreender modificação de associação para o dito usuário para o qual o dito certificado digital foi emitido de um primeiro grupo de autorização para um segundo grupo de autorização tendo menos privilégios de autorização do que o dito primeiro grupo.
- 7. Aparelho para gerenciamento de autorização de acesso em um meio de computação distribuído, o aparelho caracterizado pelo fato de compreender:meios para mapeamento de uma identidade de autenticação de usuário para uma identidade de autorização de usuário, em que a dita identidade de autenticação de usuário não é a mesma que a dita identidade de autorização de usuário, e a dita identidade de autenticação de usuário é associada com um certificado digital;meios para utilização da dita identidade de autorização de usuário para acessar um processo em execução no dito ambiente de computação distribuído, em que o dito acesso é gerenciado de acordo com privilégios de autorização associados com a dita identidade de autorização de usuário;ePetição 870170009534, de 13/02/2017, pág. 10/124/5 meios para monitoramento (606) da revogação do dito certificado digital, em que os ditos privilégios de autorização são modificados quando o dito certificado digital é revogado.
- 8. Aparelho, de acordo com a reivindicação 7, caracterizado pelo fato de ainda compreender meio (506) para interrogar um repositório (510) acerca de uma lista de revogação de certificado de acordo com um intervalo de interrogação predeterminado, em que a dita lista de revogação de certificado compreende identificadores únicos associados com certificados digitais que foram revogados.
- 9. Aparelho, de acordo com a reivindicação 7, caracterizado pelo fato de ainda compreender meio (530) para realizar o monitoramento da dita revogação do dito certificado digital dentro de um subsistema de autorização centralizado.
- 10. Aparelho, de acordo com a reivindicação 7, caracterizado pelo fato de ainda compreender:meio para obter (604) uma lista de revogação de certificados;meio para determinar (606), para cada certificado digital indicado como sendo revogado pela dita lista de revogação de certificado, determinar se cada certificadoPetição 870170009534, de 13/02/2017, pág. 11/125/5 digital foi emitido para um usuário associado com um conjunto dos ditos privilégios de autorização; e meio para atualizar (612) uma base de dados em resposta a uma determinação (606) que um certificado foi emitido para um dito usuário associado com o dito conjunto de privilégios de autorização para modificar o dito conjunto de privilégios de autorização para o dito usuário para o qual o dito certificado digital foi emitido.
- 11. Aparelho, de acordo com a reivindicação 10, caracterizado pelo fato de ainda compreender meio para reduzir ou eliminar o dito conjunto de privilégios de autorização para o dito usuário quando a dita base de dados (524) é atualizada (612).
- 12. Aparelho, de acordo com a reivindicação 10, caracterizado pelo fato de ainda compreender meio para modificar a associação para o dito usuário para o qual o dito certificado digital foi emitido de um primeiro grupo de autorização para um segundo grupo de autorização tendo menos privilégios de autorização do que o dito primeiro grupo.
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| US10/256,096 US20040064691A1 (en) | 2002-09-26 | 2002-09-26 | Method and system for processing certificate revocation lists in an authorization system |
| US10/256,096 | 2002-09-26 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| BRPI0304267B1 true BRPI0304267B1 (pt) | 2019-07-02 |
Family
ID=32029221
Family Applications (2)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| BRPI0304267-7A BRPI0304267B1 (pt) | 2002-09-26 | 2003-09-26 | Método e sistema para processar listas de revogação de certificado em um sistema de autorização |
| BR0304267-7A BR0304267A (pt) | 2002-09-26 | 2003-09-26 | Método e sistema para processar listas de revogação de certificado em um sistema de autorização |
Family Applications After (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| BR0304267-7A BR0304267A (pt) | 2002-09-26 | 2003-09-26 | Método e sistema para processar listas de revogação de certificado em um sistema de autorização |
Country Status (2)
| Country | Link |
|---|---|
| US (1) | US20040064691A1 (pt) |
| BR (2) | BRPI0304267B1 (pt) |
Families Citing this family (40)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7716486B2 (en) * | 1995-10-02 | 2010-05-11 | Corestreet, Ltd. | Controlling group access to doors |
| US7600129B2 (en) * | 1995-10-02 | 2009-10-06 | Corestreet, Ltd. | Controlling access using additional data |
| US8015597B2 (en) * | 1995-10-02 | 2011-09-06 | Corestreet, Ltd. | Disseminating additional data used for controlling access |
| US7822989B2 (en) * | 1995-10-02 | 2010-10-26 | Corestreet, Ltd. | Controlling access to an area |
| US8261319B2 (en) * | 1995-10-24 | 2012-09-04 | Corestreet, Ltd. | Logging access attempts to an area |
| US20070111799A1 (en) * | 2001-09-28 | 2007-05-17 | Robb Harold K | Controlled access switch |
| GB2394803A (en) * | 2002-10-31 | 2004-05-05 | Hewlett Packard Co | Management of security key distribution using an ancestral hierarchy |
| US8352725B1 (en) * | 2003-04-21 | 2013-01-08 | Cisco Technology, Inc. | Method and apparatus for managing secure communications |
| KR100519770B1 (ko) * | 2003-07-08 | 2005-10-07 | 삼성전자주식회사 | 애드 혹 망에서 분산 인증서 관리 방법 및 그 시스템 |
| KR20050064119A (ko) * | 2003-12-23 | 2005-06-29 | 한국전자통신연구원 | 인터넷접속을 위한 확장인증프로토콜 인증시 단말에서의서버인증서 유효성 검증 방법 |
| US20060156391A1 (en) * | 2005-01-11 | 2006-07-13 | Joseph Salowey | Method and apparatus providing policy-based revocation of network security credentials |
| US7991874B2 (en) * | 2005-03-16 | 2011-08-02 | At&T Intellectual Property I, L.P. | Method and system for business activity monitoring |
| US8098823B2 (en) * | 2005-05-03 | 2012-01-17 | Ntt Docomo, Inc. | Multi-key cryptographically generated address |
| US8312264B2 (en) * | 2005-09-30 | 2012-11-13 | Blue Coat Systems, Inc. | Method and system for authentication among peer appliances within a computer network |
| US9054879B2 (en) * | 2005-10-04 | 2015-06-09 | Google Technology Holdings LLC | Method and apparatus for delivering certificate revocation lists |
| JP4770423B2 (ja) * | 2005-11-22 | 2011-09-14 | コニカミノルタホールディングス株式会社 | ディジタル証明書に関する情報の管理方法、通信相手の認証方法、情報処理装置、ｍｆｐ、およびコンピュータプログラム |
| JP4483817B2 (ja) * | 2006-03-30 | 2010-06-16 | 村田機械株式会社 | 失効リスト取得機能付き通信装置 |
| US7958562B2 (en) * | 2006-04-27 | 2011-06-07 | Xerox Corporation | Document access management system |
| WO2008013525A1 (en) * | 2006-07-25 | 2008-01-31 | Northrop Grumman Corporation | Common access card heterogeneous (cachet) system and method |
| US8386785B2 (en) | 2008-06-18 | 2013-02-26 | Igt | Gaming machine certificate creation and management |
| US8369521B2 (en) * | 2008-10-17 | 2013-02-05 | Oracle International Corporation | Smart card based encryption key and password generation and management |
| US9218501B2 (en) * | 2010-08-06 | 2015-12-22 | Oracle International Corporation | Secure access management against volatile identity stores |
| US9003490B2 (en) * | 2011-03-16 | 2015-04-07 | Red Hat, Inc. | Using entitlement certificates to manage product assets |
| US9344282B2 (en) * | 2011-03-22 | 2016-05-17 | Microsoft Technology Licensing, Llc | Central and implicit certificate management |
| US20130061281A1 (en) * | 2011-09-02 | 2013-03-07 | Barracuda Networks, Inc. | System and Web Security Agent Method for Certificate Authority Reputation Enforcement |
| US20130061038A1 (en) * | 2011-09-03 | 2013-03-07 | Barracuda Networks, Inc. | Proxy Apparatus for Certificate Authority Reputation Enforcement in the Middle |
| US8893269B1 (en) * | 2012-09-28 | 2014-11-18 | Emc Corporation | Import authorities for backup system |
| US9729517B2 (en) | 2013-01-22 | 2017-08-08 | Amazon Technologies, Inc. | Secure virtual machine migration |
| US10063380B2 (en) * | 2013-01-22 | 2018-08-28 | Amazon Technologies, Inc. | Secure interface for invoking privileged operations |
| US9626727B2 (en) * | 2014-05-19 | 2017-04-18 | International Business Machines Corporation | Integrating metadata from applications used for social networking into a customer relationship management (CRM) system |
| GB2530084B (en) * | 2014-09-12 | 2022-04-27 | Sw7 Ventures H K Ltd | Key usage detection |
| US10333696B2 (en) | 2015-01-12 | 2019-06-25 | X-Prime, Inc. | Systems and methods for implementing an efficient, scalable homomorphic transformation of encrypted data with minimal data expansion and improved processing efficiency |
| US10708673B2 (en) | 2015-09-25 | 2020-07-07 | Qualcomm Incorporated | Systems and methods for video processing |
| EP3354016A4 (en) * | 2015-09-25 | 2019-08-21 | Qualcomm Incorporated | SYSTEMS AND METHOD FOR VIDEO PROCESSING |
| US10560457B2 (en) * | 2015-12-14 | 2020-02-11 | American Express Travel Related Services Company, Inc. | Systems and methods for privileged access management |
| EP3851924A1 (de) * | 2020-01-14 | 2021-07-21 | Siemens Aktiengesellschaft | Leitsystem für technische anlagen mit zertifikatsmanagement |
| CN113381859B (zh) * | 2020-03-10 | 2024-02-20 | 本无链科技(深圳)有限公司 | 一种用于区块链的进程互签通信方法及系统 |
| US20230230091A1 (en) * | 2020-11-02 | 2023-07-20 | Intel Corporation | Methods, systems, articles of manufacture and apparatus to control transactional data |
| CN115363503B (zh) * | 2022-08-15 | 2025-03-07 | 岱川医疗(深圳)有限责任公司 | 防内窥镜二次使用的方法 |
| US20250175460A1 (en) * | 2023-11-24 | 2025-05-29 | Amazon Technologies, Inc. | Mechanism for enforcing access control at scale to an internet service using transport layer security (tls) |
Family Cites Families (16)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US6301659B1 (en) * | 1995-11-02 | 2001-10-09 | Silvio Micali | Tree-based certificate revocation system |
| US5699431A (en) * | 1995-11-13 | 1997-12-16 | Northern Telecom Limited | Method for efficient management of certificate revocation lists and update information |
| US5949877A (en) * | 1997-01-30 | 1999-09-07 | Intel Corporation | Content protection for transmission systems |
| US5922074A (en) * | 1997-02-28 | 1999-07-13 | Xcert Software, Inc. | Method of and apparatus for providing secure distributed directory services and public key infrastructure |
| US6067623A (en) * | 1997-11-21 | 2000-05-23 | International Business Machines Corp. | System and method for secure web server gateway access using credential transform |
| US6128740A (en) * | 1997-12-08 | 2000-10-03 | Entrust Technologies Limited | Computer security system and method with on demand publishing of certificate revocation lists |
| US6233577B1 (en) * | 1998-02-17 | 2001-05-15 | Phone.Com, Inc. | Centralized certificate management system for two-way interactive communication devices in data networks |
| US6301658B1 (en) * | 1998-09-09 | 2001-10-09 | Secure Computing Corporation | Method and system for authenticating digital certificates issued by an authentication hierarchy |
| US6643774B1 (en) * | 1999-04-08 | 2003-11-04 | International Business Machines Corporation | Authentication method to enable servers using public key authentication to obtain user-delegated tickets |
| US7085931B1 (en) * | 1999-09-03 | 2006-08-01 | Secure Computing Corporation | Virtual smart card system and method |
| US7356690B2 (en) * | 2000-12-11 | 2008-04-08 | International Business Machines Corporation | Method and system for managing a distributed trust path locator for public key certificates relating to the trust path of an X.509 attribute certificate |
| US7350229B1 (en) * | 2001-03-07 | 2008-03-25 | Netegrity, Inc. | Authentication and authorization mapping for a computer network |
| US6871279B2 (en) * | 2001-03-20 | 2005-03-22 | Networks Associates Technology, Inc. | Method and apparatus for securely and dynamically managing user roles in a distributed system |
| US8601566B2 (en) * | 2001-10-23 | 2013-12-03 | Intel Corporation | Mechanism supporting wired and wireless methods for client and server side authentication |
| US7571314B2 (en) * | 2001-12-13 | 2009-08-04 | Intel Corporation | Method of assembling authorization certificate chains |
| US7512785B2 (en) * | 2003-07-18 | 2009-03-31 | Intel Corporation | Revocation distribution |
-
2002
- 2002-09-26 US US10/256,096 patent/US20040064691A1/en not_active Abandoned
-
2003
- 2003-09-26 BR BRPI0304267-7A patent/BRPI0304267B1/pt unknown
- 2003-09-26 BR BR0304267-7A patent/BR0304267A/pt active IP Right Grant
Also Published As
| Publication number | Publication date |
|---|---|
| US20040064691A1 (en) | 2004-04-01 |
| BR0304267A (pt) | 2004-08-31 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| BRPI0304267B1 (pt) | Método e sistema para processar listas de revogação de certificado em um sistema de autorização | |
| KR100872099B1 (ko) | 컴퓨터 그리드에 대한 싱글-사인-온 액세스를 위한 방법 및시스템 | |
| US7844816B2 (en) | Relying party trust anchor based public key technology framework | |
| EP1714422B1 (en) | Establishing a secure context for communicating messages between computer systems | |
| US7865721B2 (en) | Method and system for configuring highly available online certificate status protocol | |
| US7444509B2 (en) | Method and system for certification path processing | |
| US7356690B2 (en) | Method and system for managing a distributed trust path locator for public key certificates relating to the trust path of an X.509 attribute certificate | |
| JP5265744B2 (ja) | 導出鍵を用いたセキュアメッセージングシステム | |
| US8340283B2 (en) | Method and system for a PKI-based delegation process | |
| US8024488B2 (en) | Methods and apparatus to validate configuration of computerized devices | |
| US20020073310A1 (en) | Method and system for a secure binding of a revoked X.509 certificate to its corresponding certificate revocation list | |
| US20020144119A1 (en) | Method and system for network single sign-on using a public key certificate and an associated attribute certificate | |
| CA2357792C (en) | Method and device for performing secure transactions | |
| US8499147B2 (en) | Account management system, root-account management apparatus, derived-account management apparatus, and program | |
| US20020144108A1 (en) | Method and system for public-key-based secure authentication to distributed legacy applications | |
| KR20050054081A (ko) | 보안 정보 통합 관리 시스템 및 그 방법 | |
| US20020194471A1 (en) | Method and system for automatic LDAP removal of revoked X.509 digital certificates | |
| WO2021107755A1 (en) | A system and method for digital identity data change between proof of possession to proof of identity | |
| US7827407B2 (en) | Scoped federations | |
| US20210258172A1 (en) | Method for monitoring digital certificates | |
| CN112385179A (zh) | 用于监视数字证书的方法 | |
| Crampton et al. | Access control in a distributed object environment using XML and roles | |
| IES83387Y1 (en) | A biometric authentication system and method |