《用于设备到站的关联的协议.pdf》由会员分享，可在线阅读，更多相关《用于设备到站的关联的协议.pdf（31页珍藏版）》请在专利查询网上搜索。
1、10申请公布号CN102119391A43申请公布日20110706CN102119391ACN102119391A21申请号200980131666822申请日2009072412/191,75220080814USG06F21/20200601H04L29/06200601G06F13/10200601G06F15/1620060171申请人微软公司地址美国华盛顿州72发明人N加纳帕锡74专利代理机构上海专利商标事务所有限公司31100代理人钱静芳54发明名称用于设备到站的关联的协议57摘要一种使得便携式设备能够与多个计算机自动关联的技术。创建计算机能用于在创建与便携式设备的关联之前认证便。
2、携式设备并建立可信关系的信息并将其存储在可被多个计算机访问的数据存储中且与便携式设备的用户相关联。当计算机发现它尚未关联的这一便携式设备时，计算机可标识登录到计算机的用户并使用标识该用户的信息来检索独立于设备且预期由便携式设备提交来认证它的认证信息，并允许自动关联。30优先权数据85PCT申请进入国家阶段日2011021186PCT申请的申请数据PCT/US2009/0516282009072487PCT申请的公布数据WO2010/019370EN2010021851INTCL19中华人民共和国国家知识产权局12发明专利申请权利要求书3页说明书15页附图12页CN102119397A1/3页2。
3、1至少一个用多个指令编码的计算机可读存储介质1302，所述指令在由计算机905A执行时执行一种向所述计算机905A认证便携式设备901的方法，所述方法包括以下动作A标识登录到所述计算机905A的用户的身份；B在所述计算机905A处接收来自所述便携式设备901的至少一个第一通信，所述至少一个第一通信包括所述便携式设备901的标识符和第一安全认证信息；C使用登录到所述计算机905A的用户的身份和所述便携式设备901的标识符来检索至少一个第一密钥资料909；以及D通过使用所述至少一个第一密钥资料909来处理所述第一安全认证信息，来确定所述至少一个第一通信是否认证所述便携式设备901。2如权利要求1所。
4、述的至少一个计算机可读存储介质，其特征在于，所述第一认证信息包括使用所述便携式设备的秘密密钥生成的数字签名，且所述至少一个第一密钥资料1909包括所述便携式设备的公钥。3如权利要求1所述的至少一个计算机可读存储介质1302，其特征在于，所述用户是第一用户，所述便携式设备901是第一便携式设备，并且其中所述至少一个第一通信还包括唯一地标识由某一用户和某一便携式设备构成的对的至少一个标识符；以及所述确定所述至少一个第一通信是否认证所述便携式设备901的动作包括确定所述至少一个标识符是否唯一地标识包括所述第一用户和所述第一便携式设备的对。4如权利要求1所述的至少一个计算机可读存储介质1302，其特征。
5、在于，还包括以下动作当在所述动作D中确定所述便携式设备901已被认证时，在所述计算机905A和所述便携式设备910之间建立至少一个共享密钥；以及使用至少部分地从所述至少一个共享密钥生成的一个或多个密钥来加密所述计算机905A和所述便携式设备901之间的至少一个进一步的通信。5如权利要求4所述的至少一个计算机可读存储介质1302，其特征在于，所述至少一个共享密钥是通过将所述计算机905A生成并被发送到所述便携式设备901的第一密钥与所述便携式设备901生成并被发送到所述计算机905A的第二密钥进行组合来计算的。6如权利要求1所述的至少一个计算机可读存储介质1302，其特征在于，还包括在接收所述第。
6、一安全认证信息之前向所述便携式设备901发送标识登录到所述计算机905A的用户的至少一个在先通信的动作。7如权利要求1所述的至少一个计算机可读存储介质1302，其特征在于，还包括以下动作从所述计算机905A向所述便携式设备901发送包括第二安全认证信息的至少一个第二通信；以及由所述便携式设备901通过使用存储在所述便携式设备901上的至少一个第二密钥资料来处理所述第二安全认证信息以确定所述至少一个第二通信是否认证所述计算机905A。权利要求书CN102119391ACN102119397A2/3页38如权利要求7所述的至少一个计算机可读存储介质1302，其特征在于，所述用户是第一用户，所述便携。
7、式设备901是第一便携式设备，并且其中所述至少一个第二通信还包括唯一地标识由某一用户和某一便携式设备构成的对的至少一个标识符；以及所述确定所述至少一个第二通信是否认证所述计算机905A的动作包括确定所述至少一个标识符是否唯一地标识包括所述第一用户和所述第一便携式设备的对。9一种便携式设备901，包括至少一个处理器1301，其被编程为从计算机905A接收标识登录到所述计算机905A的用户的身份的至少一个第一通信；检索第一密钥资料，所述第一密钥资料与所述计算机905A可访问且与所述用户相关联的第二密钥资料相关联；以及向所述计算机905A发送至少一个第二通信，所述至少一个第二通信包括所述便携式设备9。
8、01的标识符，所述至少一个第二通信还包括至少一个第一信息片断，所述第一信息片断由所述第一密钥资料保护，以使所述计算机905A能通过使用所述第二密钥资料来处理由所述第一密钥资料保护的所述至少一个第一信息片断以确定所述至少一个第二通信是否认证所述便携式设备901。10如权利要求9所述的便携式设备901，其特征在于，所述至少一个处理器1301还被编程为使用所述用户的身份来进一步获得唯一地标识由所述用户和所述便携式设备901构成的对的至少一个标识符；以及向所述计算机905A发送所述至少一个标识符和/或至少部分地使用所述至少一个标识符生成的信息。11如权利要求9所述的便携式设备，其特征在于，所述至少一个。
9、处理器1301还被编程为从所述计算机905A接收至少一个第三通信，所述第三通信包括由第三密钥资料保护的至少一个第二信息片断，所述第三密钥资料与存储在所述便携式设备901上的第四密钥资料相关联；以及通过使用所述第四密钥资料来处理由所述第三密钥资料保护的至少一个第二信息片断，来确定所述至少一个第三通信是否认证所述计算机905A。12如权利要求11所述的便携式设备901，其特征在于，所述用户是第一用户，所述便携式设备901是第一便携式设备，并且其中所述至少一个第三通信还包括唯一地标识由某一用户和某一便携式设备构成的对的至少一个标识符；以及所述确定所述至少一个第三通信是否认证所述计算机905A的动作包。
10、括确定所述至少一个标识符是否唯一地标识包括所述第一用户和所述第一便携式设备的对。13如权利要求9所述的便携式设备901，其特征在于，所述第一密钥资料是所述便携式设备901的秘密密钥，所述至少一个处理器1301被编程为通过用所述便携式设备901的秘密密钥对至少一个信息片断进行数字签名来保护所述至少一个信息片断，且所权利要求书CN102119391ACN102119397A3/3页4述第二密钥资料是所述便携式设备901的公钥。14如权利要求11所述的便携式设备901，其特征在于，所述至少一个处理器1301还被编程为当确定所述至少一个第三通信认证所述计算机905A时，计算在所述计算机905A和所述便。
11、携式设备901之间共享的至少一个共享密钥；以及使用至少部分地从所述至少一个共享密钥生成的一个或多个密钥来加密发送到所述计算机905A的至少一个进一步的通信。15如权利要求14所述的便携式设备901，其特征在于，所述至少一个共享密钥是通过将所述计算机905A生成并被发送到所述便携式设备901的第一密钥与所述便携式设备901生成并被发送到所述计算机905A的第二密钥进行组合来计算的。权利要求书CN102119391ACN102119397A1/15页5用于设备到站的关联的协议0001背景0002本发明涉及用于安全地将便携式电子设备与一个或多个计算设备进行关联或配对的系统和方法。0003用户越来越多。
12、地将许多不同类型的便携式电子设备例如，无线头戴式耳机、数码相机、个人数字助理PDA、移动电话、鼠标等与他们的计算机一起操作。许多便携式电子设备允许诸如蓝牙、超宽带UWB、无线通用串行总线USB、和近场通信NFC等短程无线技术，而其他一些则可经由物理有线连接来与计算设备通信。0004短程无线技术和有线连接允许仅在位于彼此附近的设备之间的通信。由于物理邻近性的这一限制，某种程度上缓解了安全威胁。即，攻击设备需要在物理上连接到目标计算设备或在其传输范围内，以便能够截取和/或注入通信。尽管如此，通常采用安全特征来确保计算设备仅与可信且授权的设备关联并通信。0005常规上，在将便携式设备与计算设备进行关。
13、联之前，执行一过程来确保该便携式设备是可信的。例如，允许无线技术的计算设备可执行发现协议来获得启用相同技术且在通信范围内的其他设备的列表。该计算设备然后可自动地或者在用户请求时发起与所发现的设备之一的通信。为了在两个设备之间建立信任，通常提示用户与设备之一或两者交互。例如，每一设备可显示一数字值，且提示用户在两个显示的数字值匹配时在设备之一或两者上输入“是”，以便验证该用户正在控制这两个设备从而使得该便携式设备是可信的。这一用户辅助认证过程一般被称为“手动配对”，因为它需要用户的肯定性手动动作。0006作为常规的手动配对过程的一部分，一旦用户确认了连接是在可信设备之间的，设备存储安全信息例如，。
14、密码密钥资料以便在后续通信中使用，使得设备之间的将来的关联可由设备自动执行而不需要用户动作。由此，如果这两个相同的设备在将来发现彼此，则可检索并交换所存储的安全信息来允许设备将彼此认可为可信的，而无需执行另一手动配对过程。0007概述0008本发明的各方面涉及用于自动将便携式设备例如，诸如移动电话、MP3播放器、无线头戴式耳机等无线设备与两个或更多不同的计算机进行关联的改进的技术。使用常规技术，便携式设备需要手动地与计算机配对来在它们之间建立可信关系以便于后续的自动关联，并且该手动配对过程需要对用户希望与便携式设备一起使用的每一计算机单独执行。例如，购买新的无线头戴式耳机且试图将其与工作计算机。
15、和家庭计算机一起使用的用户常规上需要对这些计算机中的每一个进行手动配对过程来与该无线头戴式耳机建立可信关系。作为该手动配对过程的一部分，在计算机和便携式设备例如，无线头戴式耳机之间交换可在将来用于允许设备彼此认证且形成自动关联的认证信息。因此，在设备与计算机手动配对了一次之后，当设备在将来被带入通信范围内时，它们可彼此认证来建立可信关系并自动建立通信。0009常规技术的一个缺点是它们对于便携式设备和与其一起使用的每一计算机需要单独的手动配对操作，这对于用户而言可能是麻烦的，尤其是对于将大量便携式设备与多说明书CN102119391ACN102119397A2/15页6个计算机一起操作的用户而言。
16、。根据本发明的一个实施例，克服了对执行多个手动配对操作的需要。这能够以若干方式中的任一种来完成。在一方面，在与第一计算机的手动配对操作期间，在便携式设备和该设备与其进行手动配对的计算机的用户之间建立认证信息。该认证信息然后被存储在可被任何数量的计算机全局地访问的数据存储中。由此，在建立了认证信息之后，当用户试图将该便携式设备与任何新的计算机包括先前未与其进行手动配对的计算机一起使用时，该计算机可从基于登录到该计算机的用户的身份从全局可访问存储中检索认证信息，并且可使用该认证信息来使得该新的计算机和便携式设备能够自动彼此认证并建立关联而无需它们被手动配对。这是有利的，因为用户只需手动地将便携式设。
17、备与一个计算机配对，并且使得该设备之后能够与用户登录到的任何计算机自动关联，而不需要用户对该用户试图与便携式设备一起使用的每一计算机进行后续的手动配对操作。0010在一替换方面，可在全局可访问存储中建立并提供认证信息，而不需要便携式设备与任何特定计算机手动配对。0011本发明的另一实施例涉及一种协议，该协议用于使用绑定到计算机的用户而非具体计算机本身的认证信息来向计算机认证认证便携式设备，使得该认证信息可由用户登录到的任何计算机来使用。0012附图简述0013附图不旨在按比例绘制。在附图中，各个附图中示出的每一完全相同或近乎完全相同的组件由同样的标号来表示。出于简明的目的，不是每一个组件在每张。
18、附图中均被标号。在附图中0014图1示出了根据本发明的一个实施例的移动设备与单个计算机的手动配对操作，以及之后与其他计算机的自动关联。0015图2示出了根据本发明的一个实施例的计算机系统，该计算机系统包括全局可访问数据存储，该全局可访问数据存储包括供一个或多个计算机自动认证并关联便携式设备的信息；0016图3是根据本发明的一个实施例的用于创建并使用认证信息来将便携式设备与计算机自动关联的示例性过程的流程图；0017图4是根据本发明的一个实施例的用于为便携式设备创建认证信息并以使其可被多个计算机访问的方式来存储该认证信息的过程；0018图5是根据本发明的一个实施例的用于通过标识登录到计算机的用户。
19、并检索与该用户相关联的认证信息以认证便携式设备来将便携式设备与计算机自动关联的过程；0019图6是用于执行认证的设备关联的常规过程；0020图7示出了根据本发明的一个实施例的用于将计算机与便携式设备手动配对来创建认证信息的过程；0021图8示出了根据本发明的一个实施例的包括关于多个用户和便携式设备的认证信息的数据存储的示例性实现；0022图9示出了便携式设备上包括用于基于计算机的用户的身份来向计算机认证便携式设备的信息的数据存储的示例性实现；0023图10示出了根据本发明的一个实施例的用于获得用于认证便携式设备和计算机说明书CN102119391ACN102119397A3/15页7的简档的过。
20、程；0024图11是示出根据本发明的一个实施例的用于在计算机和便携式设备之间进行通信以便手动认证计算机和便携式设备并使它们之间能够进行自动关联的协议的示例的图示；以及0025图12是可实现本发明的各方面的示例性计算机的示意图。0026详细描述0027如上所述，常规的设备关联协议依赖于手动用户干预来最初在两个设备之间建立信任。在早先的手动配对过程期间建立或交换的认证信息例如，加密密钥资料然后可在稍后用于使得过去已经关联的两个设备能够在没有用户干预的情况下自动关联。然而，必须执行手动配对过程至少一次来建立先前从未关联过的任何两个设备的所需安全信息的交换。0028申请人明白，一些用户采用两个或更多不。
21、同的计算设备例如，一个在家中，另一个在工作处，用户可能希望将相同的一个或多个便携式设备例如，头戴式耳机、MP3播放器、移动电话等与这些不同计算设备进行关联。申请人还明白，该手动配对过程对于设备用户而言可能是耗时且麻烦的，尤其是在需要为相同的便携式设备多次重复该手动配对过程来将该便携式设备与多个计算设备进行关联的时候。0029由此，根据概念上在图1中示出的本发明的一个实施例，用户可以将便携式设备例如，移动电话210与一个计算机例如，家庭台式机220手动配对一次例如，在221处，并且该便携式设备稍后可以自动与同一用户使用的其他计算机例如，如231处所示的膝上型计算机230，或241处所示的办公室台。
22、式机240自动关联。如此处所使用的，所称的便携式设备被自动关联是指计算机和便携式设备的用户不需要采取任何动作来向计算机认证便携式设备或向便携式设备认证计算机并且促进它们之间的关联。0030本发明的涉及允许便携式设备和该便携式设备先前未与其手动配对的计算机之间的自动关联的方面可以用任何合适的方式来实现，其不限于任何特定的实现技术。根据本发明的一个说明性实施例，采用了一种技术来用于能够与两个或多个计算机关联的便携式设备。创建认证该便携式设备的认证信息，并且该认证信息被存储在可被两个或多个计算机访问的数据存储中，且以将该认证信息与便携式设备的用户相关联的方式来存储。一旦创建了该认证信息并将其存储在该。
23、便携式设备先前未关联的计算机可访问的数据存储中，该计算机可访问并使用该认证信息来自动认证该便携式设备，而不需要手动配对操作。这能够以任何合适的方式来完成。0031例如，根据本发明的另一实施例，当计算设备发现它尚未关联的至少一个便携式设备时，该计算设备可标识登录到该计算设备的用户，使用标识登录用户的信息来检索关于该便携式设备的认证信息，并使用检索到的认证信息来认证该便携式设备并将其自动与该计算设备进行关联。0032从以上内容中应当理解，申请人已经认识到常规的用于将便携式设备与多个计算设备关联的技术的缺点是当在便携式设备和计算设备之间交换认证信息时，可用于在将来认证该便携式设备以便允许自动关联的信。
24、息常规上是由计算设备以该信息只能被该计算设备本地访问的方式来存储的。根据本发明的一个实施例，关于便携式设备的认证信息以使该信息可被一个或多个计算设备，甚至是未用于与便携式设备通信来建立认证信息的计说明书CN102119391ACN102119397A4/15页8算设备更全局地访问的方式来存储。结果，当这种计算设备首次发现该便携式设备时，该计算设备可访问该数据存储，检索该认证信息，并使用该认证信息来认证并自动关联该便携式设备，即使该计算设备先前从未参与过与该便携式设备的手动配对。这在图2中概念性地示出，其中便携式设备901可以在如虚线903A和903B所指示的不同时间与两个或更多计算机905A和。
25、905B关联。可用于认证便携式设备901的认证信息909被存储在可被两个或更多计算机905AB访问的数据存储907中。由此，当计算机905AB中的任一个，包括便携式设备901先前未与其手动配对来建立认证信息的计算机，发现便携式设备901时，计算机905AB可访问数据存储907来检索认证信息909并使用该认证信息来向计算机认证便携式设备901并自动将其与计算机关联。0033在图2所示的配置中，数据存储907被示为可被计算机905AB中的每一个经由网络911来访问。根据本发明的一个实施例，网络911可以是任何合适的网络例如，因特网，且数据存储907可以与不同于计算机905AB中的任一个的计算设备例。
26、如，数据库服务器或其他类型的计算设备关联。然而，应当理解，此处描述的本发明的各方面在这一点上不受限制。例如，数据存储907可以在计算机905AB中的一个上提供或与计算机905AB中的一个相关联，并且可由计算机905AB经由USB闪存钥匙或任何其他合适的通信介质来访问。0034根据以下讨论的本发明的一个实施例，认证信息909是通过便携式设备901与计算机905AB中的一个的手动配对来形成的，然后被存储在数据存储907中，数据存储907可以是执行该手动配对的计算机或另一计算机上的数据存储。然而，应当理解，此处描述的本发明的各方面在这一点上不受限制，认证信息可以用任何合适的方式来开发并存储在数据存储。
27、907中。例如，在本发明的一替换实施例中，认证信息例如，密钥资料可以在不执行手动配对操作的情况下生成。之后，该密钥资料中要由便携式设备在自动关联期间使用的一诸部分可以用任何合适的方式直接存储在便携式设备上，并且该密钥资料中要由一个或多个计算机使用的一诸部分可以被存储在全局可访问存储中。0035从以上内容中应当理解，本发明的一个实施例涉及图3所示类型的用于将便携式设备与计算机关联的过程。最初，在动作1001，将便携式设备与第一计算机例如，图2中的计算机905A手动配对来创建可用于认证该便携式设备的认证信息例如，认证信息909。应当理解，如上所述，认证信息可另选地用其他方式来建立。在动作1003，。
28、将认证信息存储在可被另一计算机例如，计算机905B访问的数据存储例如，数据存储907中并将其与便携式设备901的用户相关联。在这一点上，根据本发明的一个实施例，认证信息以将其与便携式设备的用户相关联的方式存储在数据存储中，使得发现该便携式设备的计算机能够标识计算机的用户并使用该信息来标识要从数据存储中检索什么认证信息。在这一点上，根据本发明的某些实施例，数据存储例如，数据存储907可包括关于任何数量的便携式设备和/或任何数量的一个或多个用户的认证信息，使得当存储了关于多个用户的设备的信息时，发现该便携式设备的计算机的用户的身份可用于标识关于该用户的设备的适当的认证信息。然而，应当理解，并非所有。
29、实施例都限于使用标识用户的信息来标识要使用什么认证信息来认证便携式设备，可采用任何合适的技术。0036在动作1005，除了与便携式设备手动配对来创建认证信息的计算机之外的计算机例如，第二计算机，如计算机905B可访问数据存储来检索认证信息例如，认证信息说明书CN102119391ACN102119397A5/15页9909。该动作可以响应于计算机发现便携式设备或在任何其他合适的时间执行。0037最终，在动作1007，计算机可使用检索到的认证信息例如，认证信息909来认证便携式设备901，并且在成功认证时将该便携式设备与计算机例如，905B自动关联。以此方式，便携式设备可以与计算机例如，计算机9。
30、05B自动关联，而无需曾经与该计算机手动配对。0038从以上内容中应当理解，图3所示的过程与常规的用于将便携式设备与一个或多个计算机关联的技术的不同之处在于存储认证信息的方式例如，存储在其他计算机可访问的数据存储中，而非仅可供执行了手动配对过程来获得认证信息的计算机本地使用以及当计算机首次发现它先前未关联的便携式设备时所执行的过程例如，通过从数据存储中获得认证信息，而非执行手动配对操作。0039在这一点上，图4示出了根据本发明的一个实施例的过程，该过程涉及使得关于便携式设备的认证信息对先前未与该便携式设备关联的一个或多个计算机可用。在动作1101，创建可用于认证便携式设备的认证信息。如上所讨论。
31、的，该认证信息可通过将便携式设备与计算机手动配对或以任何其他合适的方式来创建，此处描述的本发明的各方面不限于用于创建认证信息的任何特定技术。0040在动作1103，使用任何合适的技术，以使得认证信息可被多个计算机访问的方式来存储该认证信息，而非以仅可被单个计算机访问的本地化方式来存储该认证信息，这些技术的示例在此处有描述。根据本发明的一个实施例，该认证信息以如上讨论的将其与便携式设备的用户相关联来便于检索的方式来存储。0041图5示出了计算机可根据本发明的一个实施例执行来自动将其自身与便携式设备进行关联的过程。图5的过程可以响应于计算机发现便携式设备或响应于任何其他合适的事件来发起。在动作12。
32、01，该过程标识登录到计算机的用户。之后，在动作1203，该过程从数据存储中检索与该便携式设备相关联并且也与在动作1201中被标识为登录到计算机的用户相关联的认证信息。这可以用任何合适的方式来完成，其示例在此处讨论。在动作1205中，计算机使用该认证信息来作出关于便携式设备例如，便携式设备901是否能够成功将其自身认证为可信设备的判定。这可以用任何合适的方式来完成，其示例在下文中讨论。当在动作1205确定便携式设备不能将其自身认证为可信设备时，该过程终止，且不将该便携式设备与计算机进行关联。另选地，当在动作1205确定便携式设备能够成功地将其自身认证为可信设备时，该过程前进到动作1207，在那。
33、里将该便携式设备自动与计算机进行关联，从而无需执行任何手动配对操作。0042如上所讨论的，可存储在可被多个计算机访问的数据存储中的认证信息例如，图2中的909可采取任何合适的形式。例如，该认证信息可包括不能公共地访问的某种信息此处为方便起见称为“秘密”，并且使用该认证信息来认证便携式设备的计算机预期仅与该认证信息相关联的可信便携式设备能够提供这一秘密。0043或者，根据本发明的其他实施例，该认证信息可包括一个或多个密钥资料，这些密钥资料能由检索这些密钥资料的计算机用来根据一个或多个安全协议与便携式设备进行通信。例如，在一个非限制实施例中，该密钥资料的一部分可由计算机用于验证伴随通信的数字签名，。
34、从而查明该通信实际上是由可信便携式设备发送的，因为只有与该认证信息相关联的可信便携式设备才能够连同有效数字签名来发送这一通信。在另一示例中，该密钥说明书CN102119391ACN102119397A6/15页10资料的一部分可由计算机用于对便携式设备所加密的通信进行解密。0044在本说明书中，短语“密钥资料”用于指可用于保护通信安全的目的的任何信息，例如，用于维持消息的私密性和完整性，和/或用于认证消息源。密钥资料的示例包括公钥私钥对在非对称密钥加密和电子签名中使用、秘密密钥在对称密钥加密中使用、现时值即，使用一次然后被丢弃的随机值、以及校验和/散列通常通过密码散列函数生成并用于诸如完整性校。
35、验和/或承诺等不同目的。这些仅是可用于建立根据此处描述的某些实施例使用的认证信息的密钥资料的示例。另外，应当理解，存储在数据存储中的认证信息可包含使得访问该信息的计算机能够以任何合适的方式来认证便携式设备的任何信息，此处描述的本发明的各方面不限于采用任何特定类型的密钥资料或其他认证信息。0045根据本发明的一个实施例，采取步骤以便不仅在允许自动关联之前向计算机认证便携式设备，而且还在便携式设备允许计算机自动与其关联之前向类似地向便携式设备认证计算机和/或其用户。由此，以下描述的本发明的某些实施例实现了用于在使得便携式设备和计算机之间能够自动关联之前除了向计算机认证便携式设备之外还向便携式设备认。
36、证计算机和/或其用户的技术。然而，应当理解，本发明的全部方面在这一点上不受限制，此处所描述的技术可用于仅向计算机认证便携式设备来允许自动关联。0046用于自动设备关联的常规技术要求每一计算机为该计算机能够与其进行自动关联的每一便携式设备存储单独的一组密钥资料在手动配对期间形成。同样，便携式设备常规上必须为该设备可自动关联的每一计算机存储单独的一组密钥资料同样在手动配对期间形成。这是因为在现有的设备关联技术中，作为将两个设备手动配对的结果所形成的密钥资料是设备专用的且绑定到设备。0047作为常规关联技术的一个示例，图6示出了蓝牙简单配对协议的简化版本。最初，在动作310，两个启用蓝牙的设备发现彼。
37、此，并且在320，它们建立非安全通信信道。接着，在动作330中，两个参与设备交换其公钥。在动作340中，基于所交换的公钥和/或参与设备的蓝牙地址来计算确认值，并且在动作350，中，使用参与设备的蓝牙地址来计算用于维持配对的链接密钥，并且在动作360中，使用该链接密钥来参与加密通信。0048从以上内容中应当理解，使用蓝牙简单配对建立的密钥资料被绑定到参与设备的蓝牙地址。结果，在一对设备之间建立的密钥资料通常不重复用于关联另一对设备，即使这两对设备具有共同的一个设备和/或密钥资料可以从一个设备传输到另一设备。例如，如果使用为便携式设备和具有第一蓝牙地址的第一计算机建立的密钥资料来试图关联第二计算机。
38、和该便携式设备，则该便携式设备可拒绝与第二计算机进行关联，因为密钥资料被绑定到第一蓝牙地址且便携式设备会识别该第二计算机具有不同的蓝牙地址。由此，根据本发明的一个实施例，采用独立于设备的密码密钥资料，使得它们可被不同计算机容易且安全地共享来用于设备关联的目的。0049在一个实施例中，经由手动配对过程或其他过程，并非在便携式设备和任何特定计算机之间，而是在便携式设备和其用户之间创建独立于设备的密钥资料。因此，不像使用常规的设备关联协议形成的密钥资料，该密钥资料不被绑定到任何特定计算机，且因此可用于将该便携式设备与任何计算机或计算机组进行关联。根据本发明的一个实施例，采用了使用独立于设备的密钥资料。
39、来将便携式设备与计算机进行关联的关联协议。然而，此处描述的密钥资料、关联协议和其他技术在这一点上不受限制，并且可用于执行任何类型说明书CN102119391ACN102119397A7/15页11的任何两个或多个设备之间的关联，包括不仅在便携式设备和常规上被称为计算机的设备例如，膝上型或个人计算机之间，而且在任何类型的任何两个设备之间。另外，应当理解，对计算机或计算设备这些术语在本文中互换使用的引用在此处用于指具有编程的处理器的任何设备，包括可能常规上不被称为计算机的设备。另外，此处描述的技术可用于在设备组之间执行关联。例如，此处所描述的技术可在广播或多播场景中使用来使得共享第一组密钥资料的一。
40、组设备能够与共享第二组密钥资料的另一组设备进行关联。0050可以使根据一个实施例使用的独立于设备的密钥资料对任何计算机可用来用于关联便携式设备的目的。这能够以任何合适的方式来完成。例如，密钥资料可被存储在与便携式设备关联的第一计算机上，并且稍后在用户请求时或响应于来自第二计算机的自动请求而被传递到第二计算机。或者，第一计算机可以将密钥资料存储在全局可访问存储中，使得第二计算机可从中检索密钥资料。该全局可访问存储可以在第一计算机或一单独的计算机上，和/或可以使用任何合适的接口，如WEB接口、网络文件系统接口或任何其他合适的接口来检索。0051根据以下描述的本发明的一个实施例，要被多个计算机用于关。
41、联便携式设备的独立于设备的密钥资料是使用用户和便携式设备两者的唯一标识符ID来生成的。这些唯一标识符可以用任何合适的方式来建立，本发明的采用这些ID来生成密钥资料的各方面在这一点上不受限制。例如，该唯一用户ID可以是用户的电子邮件地址、或经由提供唯一标识符的服务提供的唯一标识符，如可从微软公司获得的WINDOWSLIVEID或任何其他服务，或可以用任何其他合适的方式来提供。类似地，便携式设备可以使用任何合适的技术，如全局唯一标识符GUID或任何其他合适的技术，经由唯一标识符来表示。0052参考图7，以消息图表的形式示出了根据本发明的一个实施例的用于将便携式设备和计算机手动配对来建立独立于设备的。
42、密钥资料的过程。图7所示的过程可以在便携式设备410和计算机420发现了彼此并且以任何合适的方式建立了通信信道例如，非安全信道之后开始。例如，在蓝牙的情况下，便携式设备410可能已经被置于可被发现模式，并且计算机420可能已经执行了扫描来发现便携式设备410且可能已经发起了与便携式设备410的通信。取决于底层通信方法，图7中所示的通信交换可以在发现和通信建立期间执行，或在两个参与设备之间的任何合适的通信阶段期间执行，本发明在这一点上不受限制。0053在动作430中，计算机420将第一信息集合发送给便携式设备410，该第一信息集合包括用户的IDID用户、该用户的公钥PK用户、以及为用户和便携式设。
43、备310之间的关联生成的随机值R用户，设备。随机值R用户，设备是唯一地标识用户和便携式设备410之间的关联的一条秘密信息。如以下所讨论的，根据一个实施例，R用户，设备可用于提供针对重放攻击的安全措施，在重放攻击中，设备试图不正确地表示其自身来建立自动关联。0054然而，应当理解，本发明的涉及形成独立于设备的密钥资料的协议的该方面不限于采用诸如R用户，设备等一条额外的秘密信息来针对这一攻击进行防护，该信息在某些实施例中可被省略例如，如果相信这一攻击的风险是最小的。另外，尽管在一个实施例中该秘密信息是按照随机数来提供的，但应当理解，可采用任何技术来建立该秘密信息，其不限于是随机数。0055在一个实。
44、施例中，采用一种技术来保护随机数到便携式设备的传递。这能够以任何合适的方式来完成。例如，该传递可以经由USB设备或诸如NFC等邻近性无线技术来发说明书CN102119391ACN102119397A8/15页12生，这种传递具有小传输范围来使得另一设备要进行窃听实际上是不可能的。0056在动作440中，便携式设备410将第二信息集合发送到计算机420，该第二信息集合包括便携式设备410的IDID设备以及便携式设备410的公钥PK设备。0057应当理解，此处描述的技术不限于在动作430和440期间交换的信息的精确组合，也不限于图7所示的通信的数量和次序。例如，在一个实施例中，公钥可以在计算机42。
45、0和便携式设备410之间在便携式设备410和计算机420都信任的授权机构签名的证书中发送来增强安全性，但这并非必需的。此外，该信息可以用任何合适的方式来交换，包括将动作430和440分解成多个通信并以任何合适的次序来交错通信。0058在动作450中，便携式设备410在其显示器上显示计算机420所提供的或从中导出的信息中的至少某一些，并且计算机420类似地在其显示器上显示从便携式设备410接收的信息或从中导出的信息中的至少某一些，来使用户能够确认进行通信的设备是正确的设备且由此确立通信是可信的。要显示的信息是用户将能够验证为已由其他设备提供来建立可信关系的信息。这可以用任何合适的方式来完成，其示。
46、例在下文中讨论。例如，在一个实施例中，便携式设备410可以显示ID用户，而计算机420可以显示ID设备，且用户类似地能够从每一设备查看发送到另一个的ID例如，用户能够在便携式设备410上查看ID设备，并且从计算机420查看ID用户，使得用户能够验证每一设备正确地显示了从另一个发送的标识符。0059某些设备例如，便携式设备410可能没有能够显示信息来向用户提供可视化该信息并确认该信息的机会的显示器或用户界面。根据本发明的一个实施例，对于此类设备，可省略在该便携式设备上显示信息的步骤。省略该步骤可阻止用户验证便携式设备正在与所需计算机例如，420交换信息。然而，如果用户愿意接受从中导致的降低的安全。
47、性，则可完全省略该步骤。或者，在这一情况下，用于在便携式设备和计算机之间交换信息的通信介质可以是不会留下关于两个可信设备正在通信的任何疑问的通信介质。例如，通信可通过有线连接、通过诸如USB闪存设备等便携式通信介质、或使用诸如NFC等具有非常小的传输范围且消除了第三计算设备截取和/或注入通信的可能性的通信技术来执行。0060在动作460，用户通过与便携式设备410和计算机420之一或两者进行交互来确认配对和信息交换是在可信设备之间发生的。例如，如果动作450中显示的ID是正确的，则用户可操作便携式设备410和计算机420的用户界面来指示这一点。当如此指示时，计算机420和便携式设备410将以如。
48、下所述的方式来继续。或者，如果用户无法指示信息是在可信设备之间交换的，则该过程将终止，并且将不存储关联信息。0061应当理解，可用任何合适的方式向用户告知预期在计算机420和便携式设备410上显示的信息。例如，每一设备例如，便携式设备410和计算机420可以提供一用户界面，藉此它可向用户显示其自己的ID或其他信息，使得用户能记录预期在另一设备上看见的信息来验证可信关系。例如，如上所述，便携式设备可在其自己的用户界面上向用户显示其ID，使得用户能知道预期由计算机420显示什么信息来确认计算机420与正确的便携式设备410配对。然而，这仅是一个示例，可以用任何合适的方式向用户告知预期在配对设备之一。
49、或两者上显示的信息。0062如上所讨论的，当用户通过与便携式设备410和计算机420之一或两者进行交互来确认关系可信时，便携式设备410和计算机420存储在步骤430和440接收到的信息中说明书CN102119391ACN102119397A9/15页13的至少某一些和/或从中导出的信息。例如，便携式设备410可以将简档存储在便携式设备中可用的任何内部存储例如，存储器中，而计算机420可将简档存储在全局可访问存储中与用户相关联的位置。可获得并在这些简档中存储另外的和/或另选的信息，此处所描述的技术不限于所交换的任何特定信息。也可采用其他合适类型的信息。图7中创建的简档可用于向一个或多个计算机包。
50、括除了计算机420之外的计算机认证便携式设备并方便自动关联的方式的一个说明性示例在以下描述。0063图8示出了用于存储使用图7所示的协议和信息为多个用户用户1到用户N建立的设备简档的全局可访问数据存储801的示例性配置。如上所述，这些简档仅是说明性的，使得全局可访问数据存储可以用其他方式组织来存储其他类型的信息。在图8所示的实施例中，每一用户能够与多个设备相关联。例如，所存储的且与用户1相关联的信息包括三个条目805AC，每一条目对应于与用户1相关联的一不同设备。例如，条目805AC可对应于移动电话、MP3播放器以及无线头戴式耳机组，所有这些都属于同一用户，但这些仅是示例，与用户相关联的便携式。