专利名称：无线发射/接收单元的制作方法
技术领域：
本发明涉及无线通信。更具体的，公开了用于提供对于应用程序和基于互联网的服务的可信单点登录(SSO)访问以及可信的身份(ID)管理的方法和设备。
背景技术：
由于无线通信设备的不断増加，需要增强和简化用户登录到由第三方互联网内容供应商提供的独立安全网站的认证过程。为了获得对这些网站的访问，需要用户为每个服务设置唯一的用户ID和密码。然而，使用符合不同密码策略的多个用户ID和密码是棘手的并且会变为安全缺ロ。因此，非常需要ー种用于增强密码管理的安全等级并且同时为无线通信设备用户简化用户认证过程的方法。因为第三方网站服务与无线网络运营商保持独立的协议，所以将用户认证过程基于访问网络上的第三方服务是不现实的，该访问网络是无线网络比如无线电接入网络(RAN)、固定或低移动性无线网络(例如IEEE802. 16型网络)或者固定有线网络。因为服务供应商和用户经常使用单个身份通过多个RAN、无线网络或固定网络来访问服务，用户和第三方服务供应商将有可能在不同网络上实施SSO操作，其中网络运营商可保持对授权用户许可的控制。在一种情况下，无线网络运营商和第三方ID业务供应商可提供唯一用户ID给用户来在不同类型的网络、运营商和服务供应商之间实现无缝的服务连续性。唯一用户ID可分解在不同网络类型和实体的服务之间以及服务供应商边界的频率和高容量的改变带来的过渡问题。对于密码或认证证书的不良管理会对安全产生毁灭的影响。攻击者可通过薄弱的或被盗的密码来获得对敏感数据的访问。不良的密码管理还会导致运行成本的増加。例如，帮助桌面(Help Desk)需要容量会随着需要重新获得或重置丢失或遗忘密码的用户的数量增加而大幅増加。以下是将在下文详细描述的用于改善密码管理的现有技术特定密码策略、无密码认证、生物因素、密码同步、证书映射、企业单点登录(E-SS0)、结合密码同步的E-SS0、网站单点登录(Web-SSO)以及安全声明标记语言(SAML)。为了增强用户的密码等级，一个组织实施特定密码策略。普通的密码策略需要用户设置很难猜到的密码或频繁地更换密码。密码策略还可备份用户密码历史纪录来防止立即重用密码，或实施封锁策略来封锁在一定量的尝试之后登录失败的任何人。然而，实施好的密码策略会增强密码安全 性时，其还鼓励用户设置便于记忆和管理的模式化密码。例如，用户可使用字符和数字的组合来建立密码，比如_$%9876来满足密码策略的复杂性要求。然而，当用户被系统提示来更改密码时会使用旧密码的变形来建立新密码，比如_$%8765或_$%7654。模式化密码的使用削弱了密码的安全等级，这是因为已知用户的密码历史会使得对旧密码变形的破译尝试次数大大減少。因为复杂的密码很难记忆，严格的密码策略会导致用户对于不同的服务采用相同的密码。当在不同服务中都使用密码时，在任何ー种服务中的单个密码危机会导致在所有其它服务中的密码危机。无密码认证是另ー种用于改善认证过程安全性的技木。个人和组织采用不依赖用户ID和密码的认证方法，比如智能卡和认证代码。智能卡使用固有密码(个人身份号码(PIN))来对存储在卡上用于用户认证目的的复杂密码解锁。这种设置消除了对用户输入密码的需求，并且使用多因素认证(物理智能卡和存储其上的PIN)来认证用户。然而，智能卡具有比如设置系统的高预支付成本，以及用于维持对丢失、被盗和其它危机卡的帮助桌面支持的高维护成本。使用生物因素来认证用户也正流行起来。普通的生物认证设备包括视网膜扫描仪、指纹扫描仪和手部扫描仪。这些设备用从用户的身体属性获得的数据来认证用户。这种设备的一个缺陷是它们的实施和维护都是昂贵的。密码同步是允许用户在多个系统中使用一个单ー的密码的技木。在密码同步中，密码是符合对于密码重置和密码更改的単一安全策略的。在这种技术中，从ー个位置提取密码的纯文本拷贝并且将其置于ー个或多个外部服务位置。为了实现这种方案，每个用户的用户简档的拷贝必须在每个系统被建立开始时就存在于其中，并且在系统运行的整个时期都保持。密码同步中的密码更改可通过单向推动或双向推动来进行。在单向密码推动中，在中央系统中的密码更改被截取并被推动到网络内的其它位置。在双向密码推动中，密码更改可在任何系统中作出并且在整个密码结构中传播。单向密码推动的主要问题在于存储密码的系统的安全性測量。因为同步的密码在多个系统中使用，在任一系统中的安全危机会导致所有系统中的灾难性的安全危机。尽管双向密码同步提供更大的用户灵活性，但是其也会导致其它问题，比如建立密码更改的无穷循环。因为系统被程序化来将新的数据传播到系统的其`部分，所以系统会受困于无尽的密码更新过程来传播在单个密码上的多个密码更改。因此，尽管密码同步使得用户不需要记忆和管理网络中多个密码，但是密码同步也通过允许用户使用一个密码来访问多个服务而削弱了密码的安全性。证书映射，通常被称为E-SS0，是ー种代表用户存储、重新获得和“键入”用户ID和密码的技术。为了实施E-SSO，E-SSO软件的ー份副本必须被安装在每个WTRU上。用于每个系统和应用程序的用户ID和密码被存储在本地文件、附着于网络的数据或者用户目录中。在最初的安装之后，用户可通过它们先前那样的操作或者通过新的E-SSO软件接ロ登录到他们的工作站。当用户请求使用他们的工作站连接到应用程序吋，E-SSO软件自动地添加应用程序的登录页的用户ID和密码字段。在E-SSO系统中，用户使用ー组或两组用户证书(例如用户ID和密码)登录到他们的工作站(1)当用户仅需要登录到E-SSO软件而不是他们的工作站时；以及(2)当用户必须登录二者吋。ー些E-SSO系统支持除了用密码登录网站以及访问用户的证书简档的其它认证技术的使用，包括智能卡、认证符号或生物采样。此外，ー些E-SSO技术被配置为对于每个目标完全控制密码管理。这种方式消除了对用户为任意目标系统记忆密码的需要。E-SSO软件自动代表用户登录。在E-SSO中，用户不需要在目标系统上更改密码。软件组织并预期密码更改请求并且代表用户相应地更改密码。如果目标系统仅通过证书管理软件来访问那么证书映射密码管理特征是最佳的。尽管E-SSO系统提供保护用户密码的功能，但是系统具有成本高和建立繁琐的缺陷。实施E-SSO系统不仅需要为每个用户建立登录ID，而且为每个用户对于每个目标应用程序存储当前密码。建立E-SSO系统还需要安装客户端软件和配置证书数据库用于存储用户ID和密码。数据库可通过专用网络服务或者通过扩展已有目录(例如有效目录、LDAP、NAS)的概要来获得。证书数据库本身具有多个要求。为了实现其目的，数据库必须是快速和可用的，因为数据库中的ー个故障会阻止大量用户登录到任何系统。此外，数据库也必须是安全的，因为数据库中的危机会导致所有系统中每个用户证书的危机。作为中央密码控制系统，E-SSO引入了单故障点。如果E-SSO系统或者证书数据库出问题，那么用户不能登录到任何系统。此外，E-SSO技术不支持对于支持多个用户接ロ的应用程序(例如客户机、网站、电话等)的认证过程。此外，因为E-SSO依赖于Windows “截屏”技木，E-SSO系统的配置和管理成本很高，特别是在多种工作站上进行吋。因此，E-SSO系统不仅是缓慢、耗时、建立和登记成本高的，并且还是易于单故障点。将E-SSO与密码同步结合会解决仅实施E-SSO系统的ー些缺陷。例如，不用密码同步技术，用户将不能使用他们的E-SSO密码来登录到使用可替代的用户接ロ的应用程序。因为用户不是一定知道他们的密码，使用私人客户端比如Microsoft Outlook的用户不能通过网络入口访问e-mail帐户。通过将密码同步与E-SSO结合，用户可使用他们的原始密码来通过可替换接ロ比如网络入ロ登录到其它应用程序。此外，在配置E-SSO系统之前配置密码同步系统减小了获得每 个用户的用户ID简档的时间和精力。在E-SSO系统中，用户证书典型地用从原始E-SSO密码获得的密钥来加密。在这种配置下原始E-SSO密码的丢失会导致对于每个系统的用户证书的丢失。甚至在丢失的E-SSO密码被重置后，加密证书将不能被访问，因为证书是用从丢失密码获得的密钥加密的。换句话说，重置用户的E-SSO密码将不能重新获得用户证书，并且用户必须用E-SSO系统重新登记。为了解决这个问题，E-SSO系统必须提供“后门”来在E-SSO密码重置后恢复用户证书。密码重置系统必须集成该后门系统或者提供其本身的后门。在重置用户的原始E-SSO密码之后，密码重置系统必须从安全存储中恢复用户的先前密码，解密用户的旧证书并且用新的密码和密钥重新加密，从而E-SSO客户端软件能够被重新访问。集成密码重置、密码同步和E-SSO系统解决了该问题并且允许组织能够享受到快速配置、自动登录和自我服务问题解决的益处。然而，这些技术的结合不能解决安全密码和登录证书的发行。此外，在任何客户机或服务器软件或数据库中的危机都会危及用户简档。并且，该结合还不能提供证明进行密码同步和E-SSO的系统的“健康”状态的方式。没有这种证明，一旦用户被系统授权，用户可在甚至系统有危机的时候访问系统。Web-SSO用应用程序和通过网页浏览器访问的资源来工作。在Web-SSO中，对网络资源的访问被网络代理服务器或在目标网络服务器上的组件拦截，并且尝试访问网络资源的未认证用户被转移到认证提示，并且仅在成功的登录之后才被重新定向到原始站点。Cookies是最常用于追踪用户的认证状态的，并且Web-SSO基础从Cookies中提取用户身份信息并且将其传递到网络资源。屏幕截取和联盟是在Web-SSO中使用的两种最重要的现有技木。普通类型的屏幕截取是网络截取。网络截取也被称为HTML截取或者页面截取，是ー种计算机程序网络截取器从网页上提取数据的技术。网络截取可被用于E-SSO或Web-SSO中。截屏技术是有用的，因为网页是使用通常包括文本形式信息的基于文本标示语言(例如HTML)来建立的。相反，程序之间的数据交换通常使用不易被人们理解的为机器设计的数据结构来完成。类似的，用于用户的数据输出通常不适用于机器解释。因此，需要截屏来完成程序之间的数据传送，通过首先从HTML和其它标示机器语言中提取机器友好数据，井随后在程序之间交換所提取的机器友好数据。当执行截屏时，从计算机文本显示器读取的数据通常通过其辅助端ロ读取终端的存储器、或者通过将终端的输出端ロ连接到另ー个系统的输入端ロ来完成。在这些情况下，屏幕截取还可指网页的计算机化解析。截屏通常被执行来(I)连接不能够提供与兼容当前硬件的可替换机构的合法系统，或者(2)连接提供较不复杂应用程序接ロ(API)的第三方系统。在第二种情况下，第三方系统会考虑不需要截屏，因为比如会増加系统负载、广告收入损失或信息内容的控制损失的原因。图1说明了在使用网络截取的Web-SSO的现有技术的WTRU中的示例程序。在该图表中，假设WTRU配备了代理软件并且在WTRU上的网络访问应用程序与SSO代理软件协同交互来允许代理建立和控制SSO在网络服务上的程序。例如当浏览器接收访问URL的请求时，其将URL传输到SSO代理软件来验证web-SSO是否能被用于访问特定网站。联盟是第二种用于使用基于标准的协议来使得一个应用程序对于另ー个实体维持用户身份的web-SSO的重要技木，从而不需要多余的认证。支持联盟的说明标准包括自由联盟(Liberty Alliance) `ID-FF、OASIS、SAML 以及 Shibboleth,由 Internet2 开发。自由联盟提供一组开发包含定义联盟身份管理和网络服务通信协议的说明的组的广义エ业协会。协议被设计用于企业内和企业间的配置。OASIS是开发用于电子商务的解决方式的非盈利性组织。当前版本为2. 0的SAML是用于安全維持的标示语言，其包括可实现SSO认证的用户身份信息。Shibboleth是基于联盟身份和SAML为认证和授权基础建立结构和开放源实施方式的Internet2中间设备开始(NMI)项目。图2说明了使用自由联盟ID-FF的WTRU用户的web_SS0程序。在web_SS0的环境中，自由联盟使得用户登录到单独帐户并且从网络中的ID管理实体管理的“信任圈子”中的多个服务供应商请求服务。自由联盟的ー个显著特征是“联盟”过程。自由联盟允许用户确定他们是否想要不经过重新认证而访问服务供应商(SP)，而不是确定用户在不经过重新认证时必须拥有什么类型的权利来访问SP。为了获得这个权利，用户必须首先由被识别为SP的身份供应商(IDP)来认证。这使得自由联盟称为用于扩展企业框架环境中的用于身份管理的可行框架，其中用户典型的将个人数据的管理委托给企业。SAML是由OASIS组织建立的XML标准，用于在安全域之间即在IDP和SP之间交换认证和授权数据。图3描述了 SAML组件之间的关系。SAML尝试通过在网络实体之间实现无缝和可靠的认证程序和安全維持信息的交換来解决web-SSO的问题。SAML标准利用以下组件(I)维持组件，(2)协议组件，(3)捆绑组件，(4)和简档组件。维持组件允许实体来维持另一个实体的特征和属性，比如用户名、状态、邮件地址、团体中的会员等。协议组件通过XML方案编码并且定义请求-响应相关协议的列表。捆绑组件定义SAML协议消息如何在SOAP消息中传送并且SOAP消息如何在HTTP上传送。SOAP消息是完好形成的XML消息，其根据W3C组织SOAP版本1. 2封装和编码规则来建立。图4示出了在典型的捆绑情况下在SAML组件之间的交換的例子。简档组件是SAML规范的核心，其定义SAML请求和相应怎样传送。尽管独立ID-FF和SAML在增强密码安全等级中起到了重要的作用，但是都没有解决怎样保证需要用于用户的设备或IDP和SP中的web-SSO的敏感信息安全。此外，因为独立ID-FF和SAML最终放弃了对用户到IDP和SP的认证过程的控制，所以所需要的用户的个人信息、用户简档的公开会导致该过程中的危机。在文献和产品中出现了可信的计算技木，大多是在可信计算组(TrustedComputing Group (TCG))的技术伞之下。可信计算是基于提供密码功能和保护存储的专用、物理独立硬件模块的物理安全的。TCG已经开发了提供方法用于计算实体来维持系统完整性的方法的各种技术，来当建立了适当可信等级时验证认证过程，并且在与其它设备的信息交換和处理上基于这些目标设备的明显可信等级来执行评估和决定。TCG定义了被称为可信平台模块(TPM)的核心平台模块。图5描述了 TPM的组成，该TPM提供TPM模块及其接ロ的物理保护。该模块还提供对于易失性和非易失性存储空间的保护以及执行加密和数字签名的密码功能。TPM使用平台配置寄存器(PCR)基于公钥基础(PKI)通过HASH扩展和用户设备细节和安全背书密钥(EK)来捕捉平台及其软件不见的“状态”。EK从未被暴露在外，但是其假信号、证明身份密钥(AIK)被用于验证平台的完整性数值。此外，TPM在存储器中使用“密封”数据结合AIK签名的PCR值的过程，从而数据仅当来自TPM和密封存储器的匹配PCR值测量和验证的平台或软件的完整性被验证时才能被访问或提取。图6说明了外部实体(攻击者或验证者)可怎样使用TPM、AIK和私有证书权力(PCA)来进行请求平台证明。这种证明机制对于改善SSO技术的可信性和安全性方面都是有用的。TCG还可指定用于包括TPM的计算平台的详细TPM软件堆栈(TSS)。每个TSS模块包括提供特定功能的组建。这些组建的最初设计目的是提供对TPM的单个、同步的登录点，用根据应用程序适当排序和排列的字节来隐藏建立指令流以及管理TPM资源。图7示出了 TPM和TSS层的结构。TSS模块包括以下组件(I)与标准化TPM设备驱动器库(TDDL)交互的TSS设备驱动器接ロ(TDDLI) ; (2)与TPM的TCS指令(未示出)交互的TSS核心服务接ロ(TCSI);以及(3)与TCG的TSP指令(未示出)交互并且位于应用程序之下的TCG服务供应商接ロ(TSPI )。在TPM —侧，TDDL位于卖家特定的TPM设备驱动器顶部，其与TPM通信。TDDLI保证TSS的不 同实施方式将与任何TPM适当通信，将提供OS独立接ロ用于TPM应用程序，并且将允许TPM卖家提供软件TPM仿真器作为用户模式组建。TDDL在平台上提供用户模式和内核模式的转换。TCG核心服务(TCS)提供对于平台服务的普通设置的接ロ。TCS提供以下四种核心服务(1)上下文管理，其实施对TPM的线程访问；(2)证书和密钥管理，其存储关于平台的证书和密钥；(3)測量事件管理，其管理事件日志项目并且访问相关PCR，以及(4)參数模块产生，用于连续化、同步化并处理TPM指令。TCG服务供应商(TSP)是基于目标定向结构的对于TPM的C接ロ。TSP与应用程序位于相同的处理地址位置内。授权发生在该层中，通过使用为该层编码的用户接ロ或者通过在TCS层的回呼机制。为了为終端用户提供标准化的授权接ロ，本地应用程序不提供认证服务，而是由平台提供。TSP提供两种服务(I)上下文管理；以及(2)加密。上下文管理提供允许对应用程序和TSP资源的有效利用的动态处理。每个处理为ー组相关的TCG操作提供上下文。应用程序中不同的线程可共享相同的上下文或者可获得独立的上下文。为了充分利用TPM保护功能，必须提供支持密码功能。TSP不提供这种支持，除非其对于执行TPM说明所需要的操作是必须的。特别的，大量数据加密不被接ロ暴露。TPM指定密码功能的例子包括消息消化和少量(小于1024字节)数据的加密。
发明内容
公开了ー种用于基于可信计算技术的密码管理和SSO访问的方法和设备。该方法实施TCG的TPM，其与代理S SO単元和网页访问应用程序交互来提供安全、可信的机制，以产生、存储和重新获得密码和SSO证书。各种实施方式允许用户在仅一次登录到位于用户设备中的安全代理之后，安全且透明地从ー个站点跳到另ー个属于预识别站点组中的站点。在用户登录到移动设备之后，位于设备上的代理SSO单元拦截尝试访问属于登记组的安全站点的应用程序，并且使用由TPM产生并保持的每个站点安全密码来登录到组中的单独站点。可通过硬件或软件来实施的代理SSO单元还由TPM保护其完整性。这通过不需要用户单独记忆或存储的TPM产生的随机密码为对不同站点使用SSO的过程提供了高等级的可信性。SSO特征可被应用到任何数量的安全站点，并且列表可随着用户在互联网上导航并访问新的网络服务器来增长。每个网络服务器具有与其相关的安全登录证书，其与可实现SSO程序的自主操作的TCG产生的用户证书相关联，从在网络服务器上的最初登记到随后的登录和认证会话。作为ー项选择，用户可由实现其SSO网络访问的网站组的代理软件提供ー个提示。用户将能够选择是否允许对代理软件指示的网站组或者其子集的SSO操作。附加实施方式包括用于E-SSO的TPM增强、以及具有联盟身份管理的web_SS0的机制。本发明还提供了ー种无线发射/接收单元(WTRU)，该WTRU包括单点登录(SSO)代理単元，该SSO代理単元被配置为从用户接收用户认证数据，获取对用于与网站认证以访问服务的用户特定登录信息的请求，使用从用户接收的用户认证数据来从模块访问用户特定登录信息，其中模块包括可信平台模块或通用用户身份模块，以及向网络访问应用(WAA)模块提供用户特定登录信息；模块，该模块被配置为存储用于与网站认证的用户特定登录信息和存储用户认证数据，模块还被配置为通过将所接收的用户认证数据与所存储的用户认证数据进行比较来在WTRU执行用户认证，以及用于当用户被认证时将所存储的用于与网站认证的用户特定登录信息转发到SSO代理単元；以及WAA模块，该WAA模块被配置为自动接收由SSO代理単元提供的用户特定登录信息，以及将所提供的用户特定登录信息传送到网站用干与网站的认证。
从以下关于优选实施方式的描述中可以更详细地了解本发明，这些优选实施方式是作为实例给出的，并且是结合附图而被理解的，其中图1是根据现有技术的用于WTRU的web-SSO的示例流程图；图2是根据现有技术的用于web-SSO处理配备有自由联盟ID-FF的WTRU的示例流程图；图3示出了 SAML组件之间关系的框图；图4示出了 SSO中SP发起的后-后捆绑的例子；图5示出了一般TPM的框图；图6示出了由外部方使用TPM AIK的用于AIK证书验证过程的例子；图7是TPM和TSS中的不同层的框图；图8是无线通信系统的示例框图；图9是使用TPM/TSS的`安全自动登录的实施方式的示例框图；图10是使用TPM/TSS和装置可信镜像的安全自动登录的实施方式的示例流程图；图11是基于使用TPM的组方式密码的使用TPM/TSS的用于网络访问的SSO的实施方式的示例流程图；图12是使用自由联盟ID-FF的无线通信系统的示例框图；图13是使用自由联盟ID-FF的TPM/TSS保护的web-SSO的实施方式的流程图。
具体实施例方式在此提及的术语“无线发射/接收单元(WTRU)”包括但不限于用户设备(UE)、移动站、固定或移动用户単元、传呼机、蜂窝电话、个人数字助理(PDA)、计算机或者能够在无线或结合了无线/有线的环境中操作的任何其他类型的用户设备。在此提及的术语“基站”包括但不限于Node-B、站点控制器、接入点(AP)或者任何类型的能够在无线环境中操作的接ロ设备。图8是包括至少ー个WTRU805和无线电接入网络(RAN)807的无线通信系统800的示例框图。WTRU805与用户809交互并且WTRU805包括单点自动登录(SASO)代理单元810、TPM/TSS815、网络访问应用程序(WAA)820。TPM/TSS815与SASO代理单元810和WAA820交互，以提供安全、可信的机制来产生、存储和重新获得密码和SSO证书。SASO代理単元810由TPM/TSS815来保护其完整性，因此在对不同网站使用SSO时能够实现高等级的可信性。TPM/TSS815通过存储和产生不需要用户单独记忆的随机密码来提供这种高等级的可信性。RAN807典型地包括对至少一个网站830a-c的访问。可选的，RAN807还包括装置可信镜像(DTM)835。为了最小化用户809需要记忆的密码数量，提供了ー种机制，通过它用户809首先建立一个站点或应用程序的列表，并且随后SASO代理単元810在其自身的日志和随后由TPM/TSS815使用存储器密钥绑定或利用内部存储器安全保管的日志来记录信息。SASO代理单元810使用协作绑定或拦截技术比如网络截取来解释用户对于应用程序或网站830的访问请求，以及从应用程序或网站830登录和/或密码键入的提示。用户809的证书(也被称为根身份)可被安全地存储在TPM/TSS815本身中或另ー个安全存储设备比如US頂中。此外，可从该根身份建立密钥分级结构。根身份被安全地保存在设备中并且不会被泄漏到安全或可信域之外。当用户809第一次登录到安全网站830时，WAA820与SASO代理单元810和TPM/TSS815交互来建立与用于网站830的证明信息相关联的高熵值(high entropy)、唯一的ID和高熵值的密码。此后，无论何时用户809想要访问网站830，用户的证书被自动输入到经由通信链路通过WAA820、SASO代理单元810和TPM/TSS815之间的交互发送的信息中。可选的，无论何时用户809访问RAN807，WTRU805以同样的方式使用SASO代理单元810和TPM/TSS815来建立与RAN807中相关网络元件比如服务供应商(SP)或身份供应商(IDP)(未示出)之间的可信关系。可替换的，RAN807保持特定的系统部件或与可信的第三方实体比如DTM835的关系。一旦WTRU805与RAN807具有建立的可信关系和安全链路，DTM835作为用于移动可信服务的代理和用于为每个安全网站建立的密码的数据库。用户809可从功能上获得对WTRU805的访问并且因此通过使用单点登录ID和密码访问WTRU锁定机制从而获得对互联网的访问。一旦登录，所有其它服务都可由WTRU805透明地处理。此外，密钥卡(key fobs)、智能卡和/或生物统计可被用于提供安全的两个或三个因素认证来访问电话特征。可选的，认证证书可被发送到RAN807，用于认证和使得用户访问设备。TPM/TSS815提供对于数据(包括密码)固有安全性，通过提供物理保护界限来加密地保护和存储密码。然而，数据保护的強度在密码或秘密密钥用于保护这种数据的情况下，还部分地依赖于数据本身的強度和新鮮度。在给出加密数据的充足采样以及在攻击者的配置上有足够的计算能力和时间吋，很强保护的数据可被破坏。因此，更新密钥，并且如果需要用新的密钥来对数据重新加密，可对窃听者解密加密身份和认证数据的尝试提供附加的安全屏障。用于通用认证的密钥和密码应当由TPM/TSS815频繁地更新。这种更新将需要一种协议，利用该协议初始化、获得和执行关于数据和/或密钥更新。在一种可替换的实施方式中，WTRU805内部包括通用用户身份模块(USM)(未示出)。作为独立和保护实体的US頂，提供用于软件的第二安全执行环境以及用于数据比如密码的安全存储之处。因此，SASO代理单元810可位于US頂中。WAA820还可以位于US頂中。 在WTRS805的另ー种可替换实施方式中，USM可将TPM/TSS815替换为单独“安全”执行环境。在这种情况下，WTRU815可不具有执行平台的功能和/或通常由TPM/TSS815提供的应用程序完整性測量、验证和证明的功能。然而，因为USIM是独立的、受保护和安全的执行环境，其可实现SASO代理単元810甚至可能是WAA820的安全执行。US頂还可被配置为产生和存储高熵值的特定站点密码并且被配置为存储SSO密码和SSO证书。
在WTRU805的另ー种可替换实施方式中，在此充分合并引用2007年5月8日提交的美国专利申请No. 11/745，697中所公开的内容，该申请中所公开的“扩展” USIM位于WTRU805中，并且为SASO代理810、WAA820以及TPM/TSS815提供安全执行环境。图9示出了根据ー种可替换的实施方式的图8的系统800的组件之间的信号发送。特别的，图9示出了用于SASO使用TPM/TSS815用于网络访问的示例程序。在步骤1005，当用户809通过ー个安全因素或优选的两个或三个因素认证获得对WTRU805的访问时,程序被初始化。这些认证因素是允许SASO代理单元810访问保持在TPM/TSS815中的安全信息的机制。在步骤910，如果使用了生物第二或第三因素认证，SASO代理单元810发送请求到TPM/TSS815来重新获得该生物认证数据来用于认证。在步骤915，TPM810将生物认证数据供应给SASO代理单元810。接着，在步骤920，用户809发送请求到WAA820来与安全网站注册。在步骤925，WAA820将用户809想要对其访问的愿望传递给网站A830a。在步骤930，WAA820接收并且显示或者否则指示网站A830a的登录提示。在步骤935，SASO代理单元810通过网络截取或通过API或其它解析技术的结合来拦截来自WAA820的网络A830a的认证。在步骤940，SASO代理单元810将用户ID信息(其可以是来自多因素认证的设备登录信息)传递到TPM/TSS815。在步骤945，特定网站的安全密码由TPM/TSS815产生和安全地存储(直接存储在TPMNV存储器中或者在普通存储器中但是由TPM保护绑定存储密钥加密)。在步骤950，SASO代理单元810随后拦截WAA820并且通过比如截取或API的或其它解析技术的使用的方法来在用于网站A830a的WAA820的密码提示上填入特定网站的安全密码。在步骤955，WAA820将该特定网站的密码传递到网站A830A。在步骤960，网站A830a注册特定网站的密码并且将访问授权发送到WAA820。一旦建立了注册，网站信息(例如URL、数字证书、用户ID和密码等)作为数据库记录共同安全地存储在TPM/TSS815中或者作为由TPM/TSS815绑定存储密钥保护的数据点。特定网站的密码可被SASO代理単元810重新使用，以用于随后登录到各个站点。在步骤965，在网站A830a授权对WAA820的访问吋，WAA发送注册成功和访问授权消息到SASO代理单元810。在步骤970，可跟随正常的基于网络的通信。
注意到在图9中的步骤905到965被描述用于用户的特定站点的密码在网站由WTRU805管理的初始注册。在这种初始注册之后，用户809可使用WAA820来请求对网站A830a的访问(类似于步骤920)。随后，SASO代理单元810可拦截来自WAA820的登录提示(类似于步骤935)以获得存储在TPM/TSS815的特定站点的密码(类似于步骤945)，并且通过截取、API或解析来在WAA820上填入特定于网站A830a的登录信息(类似于步骤950)。随后，WAA820将特定网站的登录信息发送到网站A830a(类似于步骤955)，并且网站A830a在证明特定网站的登录信息供应之后，授权对WAA820的请求服务的访问(类似于步骤960)，以及SASO代理単元810从WAA820获得该访问授权消息，并且随后使得用户809知道该服务被授权。随后可跟随正常的基于网络的通信(类似于步骤970)。当访问其密码被保持在TPM820中的已经建立的网站时，可执行ー组类似的程序。例如，步骤905到970可由SASO代理单元810在步骤970对于其它站点例如不同网站比如网站B830b来重复。由TPM/TSS815实现的编码完整性验证程序被用于保护SASO代理单元810和其它软件部件的完整性，来保证安全事务处理。如果建立了策略或简档例如来管理密码更新程序，TPM/TSS815还通过将它们存储在由TPM绑定存储密钥保护的存储器中来保护策略和简档信息。如果用户809尝试访问非网络的第三方服务或安全服务器，那么与上述使用非常相似的程序可通过使用可由DTM835管理的可信镜像程序的方式来使用。图10示出了根据另ー种实施方式的图8中的组件之间的信号发送。特别的，图10示出了用于SASO使用TPM/TSS815和DTM835用于在WTRU805和随后在DTM835的用户认证信息的注册的用于网络访问的示例程序1000。典型地位于RAN807中但是可位于RAN之外的DTM835提供将WTRU805的可信度“镜像”以及将这种信息证明给外部请求方的服务。例如DTM835可采用管理用于图9所示的TPM/TSS815所述的身份信息。在步骤1005，用户809通过将他们的认证信息注册到SASO代理单元810来初始化程序1000。这种注册可通过使用通过ー个因素或优选的两个因素认证来进行。此外，第三因素可以是由TPM/TSS815安全保存的通过生物信息。同样在步骤1005，用户809可选择性地提供想要服务的列表。接着，在步骤1010，SASO代理単元810将认证数据和想要服务的列表发送到TPM/TSS815。在步骤1015，TPM/TSS815密封认证数据和想要服务的列表到SASO代理单元810和WAA820的整体。在步骤1020，SASO代理单元810为WTRU805发送完整性信息(或者等同的证明信息)以及认证数据和应用程序和想要服务的列表到DTM835。在步骤1025，DTM835将用户的认证证书注册到网站A，830a。在该过程期间，DTM835和网站A830a相互建立密码，其将被特别的使用来从网站A830a获得用于用户809和WTRU805的服务。在步骤1030，DTM835将指示对网站A830a注册完成的消息发送到SASO代理单元810。在步骤1035，SASO代理单元810指示给用户809注册完成。
在注册完成之后，用户可在使用可信DTM単元835进行中介的SASO过程(步骤1040 — 1095)中访问网站A830a。在步骤1040，用户809指示SASO代理单元810 (或者WAA820，其中SASO代理単元830a可通过截取或类似技术拦截该消息)用户809想要访问网站A830a。在步骤1045，SASO代理单元810指示给WAA820用户想要访问网站A。可替换地，如果用户直接指示给WAA820指示他们想要访问网站A830a，并且SASO代理単元使用截取来获得相同信息，那么就不需要步骤1045。在步骤1050，WAA820将对于访问网站A830a的请求发送到DTM835。随后在步骤1055，DTM835转发对于访问网站A830a的请求。在步骤1060，网站A830a将对于特定服务的密码的请求发送到DTM单元835。在步骤1065，DTM单元835将特定网站的密码发送到网站A830a。在步骤1070，网站A830a将服务访问授权消息发送到DTM单元835。在步骤1075，DTM单元835将服务访问授权消息发送到WAA820。在步骤1080，WAA820指示给用户809该访问对于网站A830a被授权。在步骤1085，用户可开始使用WAA820从网站A830a接收服务。在步骤1088、1090和1093，DTM835可请求并接收信息来验证WTRU805和WAA820完整性的证明以及用户认证数据和特定服务的数据(比如应用程序和想要的服务的列表)的完整性。这种远程证明程序可使用的TPM/TSS815在WTRU805上的远程证明功能来完成。步骤1088、1090和1093的程序可在例如当WTRU805被启动的时刻执行。这些步骤还作为步骤1050的部分被集成在从DTM835到网站的服务请求消息中。类似于1040 — 1085的步骤可对于另ー个网站重复，比如网站B830b，或者注册列表上的任何其它网站。在图10的一些可替换实施方式中，WTRU805可不具有TRM/TSS815。在这种情况下，仍然可使用DTM835。再參考图10，如果WTRU不具有TPM/TSS815，SASO代理单元810将用户和设备认证数据、想要服务的列表直接注册到DTM単元835。在信息的接收之后，DTM835产生并維持高熵值的特定站点(或服务)的密码(类似于图10的步骤1125)。在初始注册之后，当用户809想要访问站点A830a时，那么SASO代理单元810提示WAA820来访问DTM835(类似于图10的步骤1145和1150)。DTM835请求对网站A830a的访问(类似于步骤1155)。网站A830a将对于特定服务的密码的请求发送到DTM835(类似于步骤1160)。DTM835将特定网站的密码发送到网站A830a (类似于步骤1165)。网站A830a发送服务访问授权消息到DTM835 (类似于步骤1170)。DTM835发送访问授权消息到WAA820 (类似于步骤1175)。WAA820指示给用户809对于网站A830a的访问被授权(类似于步骤1180)。用户可开始使用WAA820从网站A830a接收服务(类似于步骤1185)。图11示出了根据本发明另ー种实施方式的图8的系统800的组件之间的信号发送。特别的，图11示出了用于SSO使用TPM/TSS815以ー种比现有技术更安全的方式用于网络访问的示例程序1100。在该方法中，用户809配置ー组站点，对于每个的访问由SASO代理単元810控制并且具有用户809提供的公共的特定组登录/密码。通过使用该程序，用户809可控制使用特定组密码控制对于特定网站“组”的访问，从而将SASO代理単元810的访问权限配置为每个用户809仅想要访问特定组的网站。例如，如果用户809仅提供对于“财经网站”组的公共密码但是没有提供对于“个人网站组”的另ー个不同的密码，那么SASO代理単元810将被授权仅管理对于属干“财经网站”组的站点的SSO操作。如图11所示，该实施方式包括通过示例方式的以下优选信号发送步骤。顺序和/或内容中的其它改变是可能的并且仍然在实施方式的范围内。在步骤1105，用户809可能在SASO代理単元810的提示下通过发送用于网站组建立的请求到SASO代理単元810来初始化程序1100。所述请求可包括网站A830a和网站B830b,以及用户对于网站组作出的SSO密码，以及属于该组的网站的URL。该步骤可以以递增的方式完成，由此用户809 可通过仅具有网站A830a并且随后増加或删除其它网站来建立组。如果该网站列表更新在任何点执行，SASO代理単元810将需要请求用于添加、删除或甚至解除绑定和重新绑定由TPM/TSS815保持的一些数据(它们中的一些数据也由SASO代理单元810保持)的过程。接着，在步骤1110，SASO代理单元810对于网站组中的每个网站注册网站URL和单独SSO密码。在步骤1115，SASO代理单元810随后将SSO密码、用于属于该组的所有网站的网站URL和网站证书、WAA820和SSO代理单元810的地址处理发送到TPM/TSS815，以及将用于数据绑定和对于特定网站的密码产生的请求发送到TPM/TSS815。在步骤1120，对于网站列表中的每个URL，使用TPM随机数产生器(RNG)，TPM/TSS815产生强加密的密码。随后在步骤1125，TPM/TSS815绑定特定网站的URL、任何证书(包括站点证书)、SSO密码以及其产生的特定站点的密码在用TPM存储密钥加密的数据点中。这种密钥是“限制”在容纳TPM的平台(例如WTRU或计算机)中的。如果在步骤1105，用户809用其相关的信息(URL、证书等)指示了网站组的列表的更新(添加、删除或改变)，必须有一个来自SASO代理単元810和TPM/TSS815的指示来添加或删除对于所影响网站的特定网站记录。接着，在步骤1130，用户809将用于网站A830a的URL提供给WAA820。在步骤1135，SASO代理单元810通过网络截取或通过API或其它解析技术的结合，拦截来自网站A830a的密码提示。随后在步骤1140，SASO代理单元810验证网站A830a是否是注册网站组中的ー个成员以及如果确定是肯定的，就识别该组。在步骤1145，SASO代理単元810请求人类用户809为网站A830a所属的网站组提供SSO密码。在步骤1150，人类用户809为网站A830a提供(通过例如USM、生物技术或键入)SSO密码。可替换地，步骤1145和1150可变成透明并由SASO代理単元810自动提供。接着，在步骤1155，SASO代理单元810检查用户809提供的SSO密码。在步骤1160，SASO代理单元810发送ー个请求到TPM/TSS815来解除绑定和重新获得用于网站A830a的密码。在该请求中，SASO代理单元810包括对于网站A830a的SSO密码和站点URL。在步骤1165，TPM/TSS815使用对于网站A830a的SSO密码和URL作为数据处理来从先前存储的数据点中解除绑定对于网站A830a的特定站点的密码和证书。在解除绑定和重新获取先前存储的特定网站的密码、URL列表和特定网站的证书吋，TPM/TSS815基于其刚从绑定存储器中重新获取的数据值，验证其从SASO代理単元810接收的SSO密码和网站URL。如果在以上步骤1165中实现了验证，那么在步骤1170，TPM/TSS815将对于网站A830a的特定网站的密码和证书提供给SASO代理単元810。随后在步骤1173，SASO代理单元810使用比如网络截取、API或其它解析技术来在WAA820填充对于网站A830a的密码和证书字段。随后在步骤1175，WAA820被填充并且WAA820发送特定网站的密码和证书到网站A830a。随后在步骤1180，在网站A830a注册密码和证书。在步骤1185，网站注册的成功被指示给WAA820。在步骤1190，网站注册的成功被指示给SASO代理単元810并且记录在其数据库中。而且在步骤1190中，网站注册的成功记录还被记录为在由TPM密钥保护的安全存储器中的存储测量日志(SML)。在步骤1195，完成可信SSO的建立，包括由TPM/TSS815保持的特定站点的密码和证书。在网站注册建立之后，当用户809想要访问网站A830a用于登录来在随后的时间使用网站的服务时，实际上进行与1130 — 1175相同的步骤，只有在这种情况下终端结果不是初始站点注册而是SSO 登录到网站A830a。而且，如果用户809想要注册到网站B830b而不是网站A830a，那么先前用于网站A830a的相同步骤可被用于网站B830b的SSO注册或认证。然而，用于网站B830b的网站特定信息比如其URL、证书、特定站点的密码和令牌将被使用来代替用于网站A830a的那些。在一种可替换的实施例中，组方式访问控制可在没有用户809的清楚配置的情况下执行。作为替换，SASO代理単元810可由控制对不同类型的网站组的策略或简档数据(其本身可以由TPM保护)来提供。在这样的实施方式中，组方式访问控制将由SASO代理単元810在安装时配置。此外，在安装时间之后策略的更新也是可能的。图12是根据一个可替换实施方式配置的无线通信系统1200的示例框图。系统1200是包括至少ー个WTRU1215和无线电接入网络(RAN) 1203的自由联盟(LibertyAlliance)兼容无线通信系统。WTRU被配置为与用户1205交互并且包括web-SSO单元1212、平台处理单元1210、TPM/TSS1217。平台处理单元1210可以以软件SW或硬件来实现。RAN1203包括ID供应商120和服务供应商1225。可替换地，ID供应商1220可位于RAN1203之外,例如在公共互联网上。图13示出了根据另ー个实施方式的图12的系统1200的组件之间的信号发送。特别的，在图13中，基于ID-FF/SAML的web-SSO技术也和TPM/TSS1217提供的完整性检查机制结合。在顺序和/或内容中的其它改变也是可能的并且仍然在该实施方式的范围内。在步骤1303，用户1205通过指示运行web-SSO单元1212的愿望(例如通过点击它或者通过系统启动默认等)来开始程序1300。在步骤1308，平台处理单元1210请求TPM/TSS1217来执行web-SSO单元1212的编码完整性检查。在步骤1312，TPM1217运行编码完整性检查并且将结果传递到平台处理单元1210。如果在步骤1312中的检查是肯定的，那么在步骤1316，登录或认证信息被提供到平台处理单元1210并且传递到web-SSO单元1212。在步骤1320，web_SS0单元1212请求TPM1217来重新获得先前使用TPM密钥存储的登录证书。在步骤1324，TPM1217重新获得并且将登录证书数据传递到web-SSO软件1212。在步骤1328，web-SSO单元1212使用重新获得的登录证书数据来登录到IDP1220。在步骤1332，IDP1220发送介绍cookie到web-SSO单元1212。接着，在步骤1336，web-SSO单元1212验证SP1225。在步骤1340，SP1225询问web-SSO 单元 1212 :1) web-SSO 单元 1212 是否具有来自 IDP1220 的 cookie，2) web-SSO 单元1212是否想要使用其联盟ID (如IDP1220支持的)，以及3) web-SSO单元1212是否支持证书开始其平台安全状态的状态，其由平台限定TPM私钥标记，其公钥已经存储在SP中或可由PCA获得。优选的，在步骤1220，PCA可以是IPD。随后，在步骤1344，web-SSO单元1212发送平台可信状态到TPM/TSS1217。在步骤1348，TPM/TSS1217建立并传递TPM保持的私人签名密钥签署的用于证明平台的可信状态的证书到Web-SSO软件1212。在步骤1352，web-SSO单元1212指示给SP1225 :1)其具有来自10 1220的(3001^6，2)其想要使用由IDP1220保持的它的联盟帐户，以及还发送3)平台安全性状态证书到SP1225。在步骤1356，SP1225借助于PCA的帮助来评估web-SSO单元1212发送的可信证书。随后在步骤1358，SP1212请求web-SSO单元1212重新定向和再次验证，这一次使用联盟认证请求。接着，在步骤1362，web-SSO单元1212发送联盟认证请求到IDP1220。在步骤1364，IDP1220产生联盟姓名ID和相关的认证状态。在步骤1368，IDP1220请求web-SSO单元1212重新定向至IJ SP1225。在步骤1372，Web-SSO单元1212请求TPM/TSS1217重新获得已经用由TPM/TSS1217密钥保护存储的联盟〈证明 > 的联盟假像。在步骤1376，TPM/TSS1217重新获得假像数据并将其传递到web-SSO单元1212。在步骤1380，web-SSO单元1212将由IDP1220保持的重新获得的联盟〈证明 > 假像发送到SP1225。接着，在步骤1384，SP1225用IDP1220初始化验证过程来使用SOAP协议验证用于人类用户1205的〈证明 >。在步骤1388，IDP1220使用SOAP协议互换验证过程。在步骤1982，SP1225评估用于人类用户1205的所述〈证明 > 和联盟帐号。最后，在步骤1396，SP1225指示给web-SSO单元1212该服务的授权起动，以及一指示被提供给人类用户1205(例如通过显示器等)。 在图13的可替换实施方式中，设备的可信状态可由IDP1220评估一次并且随后如果需要与每个SP1225通信由其使用。这种信息的交付可通过联盟方案比如SAML或SOAP程序中的比如cookie或其它已存在或修改的消息/协议的方式来完成。虽然本发明的特征和元素在公开的实施方式中以特定的结合进行了描述，但每个特征或元素可以在没有所述优选实施方式的其他特征和元素的情况下单独使用，或在与或不与所公开的其他特征和元素结合的各种情况下使用。本发明提供的方法或流程图可以在由通用计算机或处理器执行的计算机程序、软件或固件中实施，其中所述计算机程序、软件或固件是以有形的方式包含在计算机可读存储介质中的，关于计算机可读存储介质的实例包括只读存储器(ROM)、随机存取存储器(RAM)、寄存器、缓冲存储器、半导体存储设备、内部硬盘和可移动磁盘之类的磁介质、磁光介质以及CD-ROM碟片和数字多功能光盘(DVD)之类的光介质。举例来说，恰当的处理器包括通用处理器、专用处理器、传统处理器、数字信号处理器(DSP)、多个微处理器、与DSP核心相关联的ー个或多个微处理器、控制器、微控制器、专用集成电路(ASIC)、现场可编程门阵列(FPGA)电路、任何ー种集成电路(IC)和/或状态机。与软件相关联的处理器可以用于实现射频收发信机，以在无线发射接收单元(WTRU)、用户设备、终端、基站、无线电网络控制器(RNC)或是任何一种主机计算机中加以使用。WTRU可以与采用硬件和/或软件形式实施的模块结合使用，例如相机、摄像机模块、视频电路、扬声器电话、振动设备、扬声器、麦克风、电视收发信机、免提耳机、键盘、蓝牙 模块、调频(FM)无线电単元、液晶显示器(IXD)显示单元、有机发光二极管(OLED)显示单元、数字音乐播放器、媒体播放器、视频游戏机模块、互联网浏览器和/或任何一种无线局域网(WLAN)模块。实施例1. ー种对通过具有可信平台模块(TPM)的无线发射/接收单元(WTRU)访问的网站提供安全单点登录(SSO)的方法，该方法包括在所述WTRU处确定 目标网站组；安全地登录到从所述网站组中选择的ー个网站；使用在所述WTRU的TPM中产生和存储的安全密码登录从所述网站组中选择的其它网站。2.根据实施例1所述的方法，其中所述TPM包括SSO代理単元，用于确定何时请求对目标网站组的访问。3.根据实施例2所述的方法，其中所述SSO代理単元由所述TPM安全地保护。4.根据前述实施例中任一实施例所述的方法，其中所述TPM产生随机的密码，以用于访问从所述目标网站组中选择的网站。5.根据实施例4所述的方法，其中所述TPM存储随机密码，该随机密码被产生以用于访问从所述网站组中选择的网站。6. 一种根据前述实施例中任一实施例的方法，其中确定步骤还包括所述WTRU的用户选择目标网站组。7. 一种根据前述实施例中任一实施例的方法，其中所述SSO代理単元安全地记录
密码信息。8.根据实施例7所述的方法，其中所记录的密码信息是使用密钥绑定技术存储的。9.根据实施例7或8所述的方法，其中所述所记录的密码信息是存储在所述TPM内的。10.根据前述实施例中任一实施例所述的方法，其中所述WTRU包括存储在TPM中的P隹一身份。11.根据前述实施例中任一实施例所述的方法，其中所述WTRU包括存储在通用用户身份模块(USIM)中的唯一身份。12.根据实施例10-11中任一实施例所述的方法，该方法还包括基于所述唯一的身份建立加密密钥分级。13.根据前述实施例中任一实施例所述的方法，其中安全地登录到从网站组中选择的网站的步骤还包括建立与所述网站的证书信息相关联的唯一的用户身份和密码。14.根据前述实施例中任一实施例所述的方法，其中登录到从网站组中选择的其他网站的步骤还包括自动地传送用户证书到所述网站。15.根据实施例14所述的方法，其中所述用户证书与数据一起传送。16.根据前述实施例中任一实施例所述的方法，该方法还包括感测用户的生物信息。17.根据实施例16所述的方法，其中所感测的生物信息被用于认证目的。18.根据前述实施例中任一实施例所述的方法，该方法还包括用户请求注册到包括网站A和网站B的网站组。19.根据实施例18所述的方法，其中所述注册还包括SSO密码，该SSO密码用于包括所述网站A和B的网站组、以及属于该组的网站的URL。20.根据实施例18-19中任一实施例所述的方法，其中所述注册被递增地执行。21.根据实施例18-20中任一实施例所述的方法，该方法还包括所述SSO代理单元对于所述网站组注册网站URL和単独SSO密码。22.根据实施例21所述的方法，该方法还包括所述SSO代理单元向TPM和TPM软件堆栈(TSS) (TPM/TSS)发送SSO密码、对于属于所述网站组的所有网站的URL和网站证书、网络访问应用程序(WAA)和代理的地址处理，以及SSO代理向TPM/TSS请求数据绑定和特定网站的密码的产生。23.根据实施例22所述的方法，该方法还包括TPM/TSS相对于预定的參考检查代理和WAA的编码完整性。24.根据实施例23所述的方法，该方法还包括对于所述网站组的每个URL，TPM/TSS使用TPM随机数产生器产生强加密的密码。25.根据实施例24所述的方法，该方法还包括TPM使用产生并且然后由TPM/TSS保护的存储密钥将特定网站的URL、证书、SSO密码散列(hash)、以及产生的特定网站的密码密封为组合的编码完整性值。26.根据实施例24所述的方法，该方法还包括TPM使用产生并且然 后由TPM/TSS保护的存储密钥将特定网站的URL、证书、SSO密码散列、以及产生的特定网站的密码绑定为组合的编码完整性值。27.根据实施例25-26中任一实施例所述的方法，该方法还包括TPM/TSS产生强加密的随机数，该随机数用作TPM和SSO代理单元之间用于指示相应于所述网站组中的每个网站的进一歩的行为和请求的令牌。28.根据实施例27所述的方法，该方法还包括TPM/TSS使用令牌作为所述网站组中的每个网站的数据处理。29.根据实施例28所述的方法，该方法还包括TPM/TSS混编SSO密码、并安全地存储密码和散列。30.根据实施例29所述的方法，该方法还包括TPM/TSS向SSO代理单元发送所有令牌；以及TPM/TSS发送指示令牌和网站URL之间的映射的映射数据。31.根据实施例30所述的方法，该方法还包括WTRU的用户选择URL。32.根据实施例31所述的方法，该方法还包括所述代理拦截来自网站A的密码提示。
33.根据实施例32所述的方法，其中SSO代理単元使用网络截取或结合应用程序接ロ(API)来拦截来自网站A的密码。34.根据实施例32-33中任一实施例所述的方法，该方法还包括SSO代理单元检查网站A是否是所述网站组中的成员。35.根据实施例34所述的方法，该方法还包括所述代理请求WTRU的用户提供对于包含网站A的网站组的SSO密码。36.根据实施例35所述的方法，该方法还包括WTRU的用户提供SSO密码。37.根据实施例36所述的方法，该方法还包括所述代理检查由WTRU的用户提供的SSO密码。38.根据实施例37所述的方法，该方法还包括所述代理向TPM/TSS发送开封(unseal)对于网站A的密码的请求。39.根据实施例38所述的方法，其中开封对于网站A的密码的请求包括SSO代理単元存储在数据库中的对于网站A的SSO密码和任何特定网站的证书。40.根据实施例38或39中任一实施例所述的方法，其中开封对于网站A的密码的请求包括对于SSO代理単元和WAA的编码处理。41.根据实施例39-40中任一实施例所述的方法，该方法还包括TPM/TSS检查属于网站A的令牌；以及开封对于网站A的特定网站的密码和证书。42.根据实施例41所述的方法，该方法还包括TPM/TSS向SSO代理单元提供对于网站A的特定网站的密码和证书。43.根据实施例42所述的方法，该方法还包括SSO代理単元填充在WAA上对于网站A的密码和证书字段。44.根据实施例43所述的方法，该方法还包括
向网站A发送特定网站的密码和证书；在网站A处确认成功的注册。45.根据实施例44所述的方法，该方法还包括向SSO代理単元指示成功的网站注册；以及将成功的注册记录在SSO代理单元数据库中。46.根据前述实施例中任一实施例所述的方法，其中与WTRU的ID和认证相关的数据由WTRU的TPM加密地保护。47.根据前述实施例中任一实施例所述的方法，该方法还包括使用新的加密密钥周期性地更新存储的、加密的数据。48. 一种通过使用可信平台模块(TPM)的装置保护访问应用程序和基于互联网的服务的用户自动登录(SASO)的方法，该方法包括
用户通过单点登录ID和密码访问应用程序和基于互联网的服务。49.根据实施例48所述的方法，其中TPM包括TPM软件堆栈(TSS)。50.根据实施例48-49中任一实施例所述的方法，该方法还包括用户通过保护ー个因素认证向所述装置认证并获得对装置的访问。51.根据实施例48-49中任一实施例所述的方法，该方法还包括用户通过保护两个因素认证向所述装置认证并获得对装置的访问，其中第二因素是由TPM安全地通过生物保持的。52.根据实施例48-51中任一实施例所述的方法,其中SASO代理单元访问保持在TPM内的安全信息。53.根据实施例51或52所述的方法，其中生物第二因素认证被使用，并且SASO代理単元向TPM发送请求以重新得到该生物第二因素认证以用于认证。54.根据实施例53所述的方法，该方法还包括TPM向SASO代理単元提供生物认证数据。55.根据实施例48-54中任一实施例所述的方法，该方法还包括用户通过使用WAA尝试注册到安全的网站。56.根据实施例55例所述的方法，其中所述应用程序是网络-WAA (WAA)。57.根据实施例55或56所述的方法，其中WAA向第一基于互联网的服务的网站发送用户希望访问它的指示。58.根据实施例57所述的方法，该方法还包括WAA接收并指示第一基于互联网的服务的网站的登录提示。59.根据实施例48-58中任一实施例所述的方法，该方法还包括SSO代理单元拦截来自WAA的第一网站的认证提示。60.根据实施例59所述的方法，其中所述拦截通过网络截取或通过结合解析技术来完成。61.根据实施例48-60中任一实施例所述的方法，该方法还包括SASO代理单元向TPM传递用户ID信息。62.根据实施例61所述的方法，其中用户ID信息包括来自两个因素认证的装置
登录信息。
63.根据实施例48-62中任一实施例所述的方法，该方法还包括特定网站的安全密码被生成并由TPM安全地存储。64.根据实施例63所述的方法，其中所述密码被安全地直接存储在TPMNV存储器中或者通过TPM保护的绑定存储密钥在通用存储器中被加密。65.根据实施例59-64中任一实施例所述的方法，其中SASO代理单元通过WAA密码提示将信息填入特定网站的安全密码、将特定网站的信息填入第一网站。66.根据实施例65所述的方法，该方法还包括WAA向第一网站传送特定网站的密码；以及第一网站注册特定网站的密码并且向WAA发送访问授权。67.根据实施例48-66中任一实施例所述的方法,其中注册■被建立还包括安全地存储特定网站的信息和在由TPM绑定存储密钥保护的TPM数据点中的数据库记录。
68.根据实施例67所述的方法，其中特定网站的的信息包括以下至少ー者URL、数字证书、用户ID以及密码。69.根据实施例66-68中任一实施例所述的方法，其中特定网站的的密码被SASO代理単元重用于稍后到相应网站的登录。70.根据实施例48-69中任一实施例所述的方法，其中第一网站授权访问WAA还包括正常的基于网络的通信。71.根据实施例48-70中任一实施例所述的方法，该方法还包括访问已经建立的网站，其中对于该网站的密码已经被保持在TPM中。72.根据实施例48-71中任一实施例所述的方法，该方法还包括使用SASO代理单元访问另外的网站。73.根据实施例48-72中任一实施例所述的方法，其中由TPM启动的编码完整性检查过程被用于保护SASO代理単元的完整性以确保安全事务处理的发生。74.根据实施例48-73中任一实施例所述的方法，该方法还包括建立策略或简档以管理密码更新过程，其中TPM通过将策略和简档信息存储在由TPM绑定存储密钥保护的数据点中来保护所述策略和简档信息。75.根据实施例48-74中任一实施例所述的方法，该方法还包括使用安全时间设施以提供要被管理的安全密码更新策略。76.根据实施例48-75中任一实施例所述的方法，该方法还包括将若干个网站组合在一起并将单个认证密码保持在TPM中。77.根据实施例48-76中任一实施例所述的方法，该方法还包括TPM执行对用于认证的密钥和密码的频繁更新。78.根据实施例77所述的方法，其中TPM包括安全定时器模块，该安全定时器模块记录上一次密码更新发生的时间、以及由用户或基于互联网的服务提供的触发密码更新过程的更新时间间隔。79. 一种由用户通过具有SASO代理单元和可信平台模块(TPM)的装置对应用程序或基于互联网的服务访问的单点自动登录(SASO)的方法，该方法包括用户配置一组应用程序或基于互联网的服务，由此访问每个应用程序或基于互联网的服务被ー组特定的密码控制。80.根据实施例79所述的方法，该方法还包括
SASO代理単元接收对网站组的建立或注册的请求，该网站组包括第一互联网网站和第二互联网网站；以及产生对于所述网站组的SSO密码、以及属于所述网站组的互联网网站的URL。81.根据实施例80所述的方法，其中用户增加开始仅具有第一互联网网站的用户组，而随后添加或删除其他网站。82.根据实施例79-81中任一实施例所述的方法，该方法还包括执行对网站组的更新，以及SASO代理单元请求用于添加、或甚至解除绑定和重新绑定由TPM保持的数据的过程。83.根据实施例79-82中任一实施例所述的方法，该方法还包括SASO代理单元注册对于网站组的网站URL和单个SSO密码。84.根据实施例79-83中任一实施例所述的方法，其中TPM包括TPM软件堆栈(TSS)085.根据实施例80-84中任一实施例所述的方法，该方法还包括SASO代理单元向TPM发送属于所述组中的所有网站的SSO密码、URL以及网站证书、互联网WAA软件和SSO代理单元本身的地址处理；以及向TPM发送对于数据绑定和对于特定网站的的密码产生的请求。86.根据实施例85所述的方法，其中对于表中的每个URL，TPM使用TPM随机数产生器(RNG)产生强加密的密码。87.根据实施例86所述的方法，该方法还包括TPM绑定特定网站的URL、任何证书、SSO密码、以及其产生 的在用TPM存储密钥加密的数据点中的特定网站的密码。88.根据实施例87所述的方法，其中所述密钥是限制在容纳TPM的平台中的。89.根据实施例80-88中任一实施例所述的方法，其中用户用网站组相关联的信息向所述网站组指示更新，还包括来自SASO代理単元和TPM的指示添加或删除对于所影响的网站的特定网站的记录。90.根据实施例79-89中任一实施例所述的方法，该方法还包括用户将URL输入到对于WAA的第一互联网网站的装置中。91.根据实施例90所述的方法，该方法还包括SASO代理単元拦截来自第一互联网网站的密码提示。92.根据实施例91所述的方法，其中所述拦截是网络截取的或结合API或其他解析技术进行的。93.根据实施例91或92所述的方法，该方法还包括SASO代理単元检查第一互联网网站是否是注册的网站组的成员，并且如果结果为肯定的就识别该组。94.根据实施例91-93中任一实施例所述的方法，该方法还包括SASO代理单元请求用户提供对于第一互联网网站所属的网站组的SSO密码。95.根据实施例91-94中任一实施例所述的方法，该方法还包括用户输入或提供对于第一互联网网站的SSO密码和网站URL。96.根据实施例95所述的方法，其中所述提供是由生物进行的。97.根据实施例94-96中任一实施例所述的方法，其中SASO代理单元检验用户提供的SSO密码。
98.根据实施例91-93中任一实施例所述的方法，该方法还包括SSO代理单元通过网站URL、其证书以及对于密码的提示自动提供SSO密码。99.根据实施例79-88中任一实施例所述的方法，该方法还包括SSO代理单元向TPM发送请求以解除绑定并重新获得对于第一互联网网站的密码，所述第一互联网网站的密码包括对于第一互联网网站的SSO密码和网站URL。100.根据实施例99所述的方法，该方法还包括TPM将对于第一互联网网站的SSO密码和URL用作数据处理，以解除绑定对于来自先前存储的数据点的第一互联网网站的特定网站的密码和证书；TPM相对于它从绑定存储中恢复的数据的值，检查它从SASO代理单元接收到的SSO密码和网站URL。101.根据实施例100所述的方法，其中如果SSO密码的检查被完成，则TPM向SSO代理単元提供对于第一互联网网站的特定网站的密码和证书。102.根据实施例79-101中任一实施例所述的方法，该方法还包括SSO代理单元使用网络截取、API或其他解析技术填充对于第一互联网网站的密码和证书字段。103.根据实施例102所述的方法，该方法还包括填充互联网WAA井向第一互联网网站发送特定网站的密码和证书；以及注册在第一互联网网站注册的密码和证书。104.根据实施例103所述的方法，该方法还包括向互联网WAA指示成功的注册；以及向SASO代理単元指示所述注册并将所述注册记录在其数据库中。105.根据实施例104所述的方法，该方法还包括将所述注册被记录为在由TPM密钥保护的安全存储器中的存储测量日志(SML)。106.根据实施例79-105中任一实施例所述的方法，其中用户设法访问要登录的第一互联网网站以在稍后的时间使用网站的服务，还包括用户通过SASO获得访问。
`
107.根据实施例79-106中任一实施例所述的方法，其中用户注册或稍后访问第ニ互联网网站而不是第一互联网网站，还包括使用对于第二互联网网站的特定网站信息执行第二互联网网站的SASO注册或认证，所述特定网站信息包括以下一者或多者URL、证书、特定网站的密码、以及令牌。108.根据前述实施例中任一实施例所述的方法，其中运行TPM限于用户的平台，还包括通过位于用户的装置或平台中的TPM加密地保护对于其保密性、完整性、以及真实性的用户或用户的装置的认证和ID相关的数据。109.根据实施例108所述的方法，其中TPM通过提供物理保护界限为它加密地保护并存储的数据提供固有的安全性。110.根据实施例108-109中任一实施例所述的方法，该方法还包括扩展US頂功能以将TPM功能包括在内，从而包括高熵值的密码的安全证书被提供给应用程序安全组件和IP堆栈安全组件。111.根据实施例110所述的方法，其中应用安全组件包括DRM和PGP服务组件。112.根据实施例110或111所述的方法，其中IP堆栈安全组件包括IPSec或TLS或包括二者。113.根据实施例108-110中任一实施例所述的方法，该方法还包括基于密码和/或加密密钥的自动更新的策略，所述密码和/或加密密钥在集成在USIM内的TPM内被刷新。
114.根据实施例108-110中任一实施例所述的方法，该方法还包括将US頂功能扩展为将TLS和应用程序安 全所需的认证算法包括在内。
权利要求
1.ー种无线发射/接收单元(WTRU)，该WTRU包括 单点登录(SSO)代理単元，该SSO代理単元被配置为 从用户接收用户认证数据， 获取对用干与网站认证以访问服务的用户特定登录信息的请求， 使用从所述用户接收的所述用户认证数据来从模块访问所述用户特定登录信息，其中所述模块包括可信平台模块或通用用户身份模块，以及 向网络访问应用(WAA)模块提供所述用户特定登录信息； 所述模块，该模块被配置为存储用干与所述网站认证的所述用户特定登录信息和存储所述用户认证数据，所述模块还被配置为通过将所接收的用户认证数据与所存储的用户认证数据进行比较来在所述WTRU执行用户认证，以及用于当所述用户被认证时将所存储的用干与所述网站认证的用户特定登录信息转发到所述SSO代理単元；以及 所述WAA模块，该WAA模块被配置为自动接收由所述SSO代理単元提供的所述用户特定登录信息，以及将所提供的用户特定登录信息传送到所述网站用干与所述网站的认证。
2.根据权利要求1所述的WTRU，其中所述模块被配置为产生随机高熵值密码。
3.根据权利要求1所述的WTRU，其中所述模块被配置为产生随机高熵值登录ID。
4.根据权利要求1所述的WTRU，其中所述SSO代理単元被配置为基于生物因素来认证所述用户。
5.根据权利要求1所述的WTRU，其中一旦所述用户认证数据在所述SSO代理単元被成功接收，则访问被自动授权给服务的预识别组中的多个服务。
6.根据权利要求2所述的WTRU，其中所述模块被配置为产生服务特定的密码。
7.根据权利要求3所述的WTRU，其中所述模块被配置为产生服务特定的登录ID。
8.根据权利要求1所述的WTRU，其中所述模块被配置为根据服务的策略要求产生登录ID和密码。
9.根据权利要求1所述的WTRU，其中所述SSO代理単元被配置为当被服务提示时或者当到达期满时间吋，与所述服务进行交互以自动更新密码。
10.根据权利要求1所述的WTRU，其中所述SSO代理単元和所述模块被配置为与装置可信镜像(DTM)执行相互认证。
11.根据权利要求10所述的WTRU，其中所述SSO代理単元和所述模块被配置为提供关于可信状态的信息，通过所述DTM提供所述WTRU的认证证书给外部请求方。
12.根据权利要求1所述的WTRU，其中所述模块被配置为在建立通信链接之前执行完整性检查。
13.根据权利要求1所述的WTRU，其中所述模块为安全执行环境。
全文摘要
一种无线发射/接收单元(WTRU)，包括SSO代理单元，配置为从用户接收用户认证数据，获取对用于与网站认证以访问服务的用户特定登录信息的请求，用从用户接收的用户认证数据从模块访问用户特定登录信息，该模块包括可信平台模块或通用用户身份模块，和向WAA模块提供用户特定登录信息；模块，配置为存储用于与网站认证的用户特定登录信息和存储用户认证数据，模块还配置为通过将接收的用户认证数据与存储的用户认证数据比较在WTRU执行用户认证，及用户被认证时将存储的用于与网站认证的用户特定登录信息转发到SSO代理单元；以及WAA模块，配置为自动接收SSO代理单元提供的用户特定登录信息，以及将提供的用户特定登录信息传送到网站用于与网站的认证。
文档编号H04L29/06GK103067399SQ20121059289
公开日2013年4月24日 申请日期2007年8月22日 优先权日2006年8月22日
发明者Y·C·沙阿, I·查, A·雷兹尼克, O·洛佩兹-托拉斯 申请人:交互数字技术公司