DISPOSITIVO DE ALMACENAMIENTO MASIVO CON CARGA AUTOMÁTICA DE CREDENCIALES.

Procedimiento de acceso a cuentas de un usuario con un dispositivo de almacenamiento masivo (100);

el procedimiento comprende: detectar la conexión de un dispositivo de almacenamiento masivo (100) portátil con un dispositivo de acogida (110); proporcionar, el dispositivo portátil de almacenamiento masivo, almacenamiento masivo de datos que son independientes de la generación de contraseñas de un solo uso como las que se utilizan con reproductores musicales, cámaras digitales, PDA, ordenadores personales o similar; y tras esta detección: lanzar una aplicación (320) que reside en el dispositivo portátil de almacenamiento masivo (100); dicha aplicación (320) hace que se establezca una conexión entre el dispositivo de acogida (100) y una primera entidad; en le que dicha aplicación, además: facilita la selección de una institución, haciendo que, una vez establecida la conexión, una semilla que se utiliza con un generador de contraseñas de un solo uso (330) implementado en el dispositivo portátil de almacenamiento masivo, se cargue en el dispositivo portátil de almacenamiento masivo (100) desde la entidad mientras está conectada con el dispositivo de acogida; haciendo que el generador de contraseñas de un solo uso genere una contraseña de un solo uso en del dispositivo portátil de almacenamiento masivo utilizando la semilla cargada, y obteniendo la contraseña de un solo uso del dispositivo portátil de almacenamiento masivo, y transmitiendo la contraseña de un solo uso a la institución seleccionada junto con la información de identificación del usuario, de modo que el usuario pueda acceder a su cuenta

Campo de la invención

La presente invención se refiere en general a dispositivos portátiles de almacenamiento masivo, tales como tarjetas de memoria y unidades portátiles de memoria flash de bus serie universal ("USB"), utilizadas para almacenar y transferir archivos de gran tamaño a dispositivos digitales o desde ellos; y más concretamente, a los mecanismos de seguridad y control de acceso implementados en los dispositivos, para acceder a dispositivos y también a otras instituciones.

Antecedentes de la invención

Tener que recordar contraseñas es una molestia. El ordenador de la oficina necesita un nombre de usuario y una contraseña. Cada cuenta de correo electrónico necesita un nombre de usuario y una contraseña, como también cada una de las cuentas en línea. Si la seguridad no fuera un problema, cualquiera optaría por tener un solo nombre de usuario y una sola contraseña para todas las cuentas.

Pero la seguridad es un problema serio y consecuentemente, la gestión de las contraseñas y el acceso a las cuentas también lo es. Varios de los enfoques actuales enfrentan este serio problema en un intento de hacer las contraseñas más fáciles de recordar, o bien más fuertes y resistentes a la hora de resultar comprometidas.

Uno de estos enfoques es la contraseña de un solo uso ("OTP"). En general, una contraseña de un solo uso es un valor que puede utilizarse para acceder al sistema una vez, antes de que cambie. En otras palabras, se actualiza regularmente (a una cierta frecuencia definida) sin que el usuario tenga que cambiarla. Esto quiere decir que el usuario envía un único valor (contraseña), que se utiliza una sola vez, y el sistema al cual este quiere acceder, verifica que se trata del valor que debe ser. Normalmente esto se logra con un pequeño dispositivo o "token", que genera la contraseña del usuario basándose en un algoritmo predecible. La entidad validadora del sistema utiliza el mismo algoritmo predecible, y si a los algoritmos se les da el mismo valor semilla, el sistema "sabe" de esa manera cuál debe ser el valor en cada instante (o cuenta) de la contraseña de un solo uso del usuario, siempre cambiante. La manera más común de que se actualicen estos tokens requiere que el usuario lea el valor en una pantalla y lo introduzca en el ordenador. Otro mecanismo recientemente desarrollado permite al token transmitir el valor directamente al ordenador. Las dos implementaciones y en general, la contraseña de un solo uso, proporcionan un alto nivel de seguridad, pero necesitan que el usuario lleve encima un token para la generación de los valores de la contraseña de un solo uso. Los tokens son una forma de autenticación de dos factores, siendo uno de los factores el secreto del usuario (contraseña o pin) y el segundo factor, el valor OTP junto con el hardware (token) necesario para producirlo.

Otro enfoque utiliza un dispositivo de gestión de contraseñas. Tal dispositivo es capaz de realizar un seguimiento de varias contraseñas y números de cuenta de un usuario y enviar la(s) contraseña(s) adecuada(s) a cada cuenta de usuario. Por ejemplo, el usuario puede tener una contraseña maestra para acceder al dispositivo y cuando el dispositivo verifica la contraseña maestra del usuario, puede enviar la contraseña real para una cuenta determinada cuando se conecta a un ordenador de acogida. El usuario puede introducir sus distintas contraseñas o las contraseñas pueden insertarse en el dispositivo de gestión de contraseñas. Uno de estos dispositivos de SafeNet® (anteriormente, Rainbow Technologies) se conoce como iKey™ y también tiene capacidades de encriptado, con la generación de claves asociada.

Cada uno de estos enfoques carece de algo y por tanto, no ha logrado un alto nivel de aceptación en el gran público. Los tokens OTP se utilizan sobre todo para controlar el acceso a redes corporativas y no han tenido una amplia aceptación a la hora de usarse en sistemas de amplia disposición entre el gran público, p. ej. proveedores de correo electrónico o subastas en línea, etc. Los dispositivos de gestión de contraseñas actualmente disponibles carecen del nivel de seguridad de los tokens y sistemas OTP.

Cada uno de estos enfoques requiere la utilización de un dispositivo especializado, o en otro caso, no tiene capacidad de generar contraseñas de un solo uso para distintas instituciones al tiempo que mantiene la seguridad de las contraseñas, con sus algoritmos y semillas asociados. Por ejemplo, muchos incluyen un token o dispositivo USB de cadenas de claves para un solo fin. Llevar encima este dispositivo a todas partes supone un inconveniente y limita la aceptación del usuario, especialmente en el caso de un usuario versado en tecnología, que puede estar portando también un teléfono móvil, un reproductor musical, una PDA o Blackberry, una cámara digital u otros múltiples aparatos electrónicos.

Por tanto, se necesita un dispositivo práctico y multipropósito, que integre la generación de contraseñas de un solo uso como parte de un sistema sólido de gestión de seguridad y contraseñas.

La publicación de la patente de Estados Unidos US 2002/0145632 divulga la utilización de servicios de red desde un ordenador de acogida, con ayuda de software cargado desde un dispositivo de almacenamiento portátil, p. ej. un token USB. En esta solicitud de patente, el software cargado desde el dispositivo de almacenamiento portátil y que se ejecuta en el ordenador de acogida está descrito como "keylet". Un keylet inicial se lanzará automáticamente, y ejecuta la autenticación entre el usuario y el propio dispositivo de almacenamiento portátil. Se pueden cargar otros keylets desde el dispositivo de almacenamiento portátil para ejecutarse en el PC de acogida. Los keylets de web pueden usarse para acceder a servicios web y para proporcionar automáticamente la información de registro correcta desde el dispositivo de almacenamiento portátil, para el servicio web al que se accede. Puede cargarse un navegador web propietario desde el dispositivo de almacenamiento portátil. Un keylet concreto puede instalar una barra publicitaria visible permanentemente, por ejemplo en el navegador web. Esta barra publicitaria puede proporcionar enlaces a otros keylets y servicios de red. Un keylet puede funcionar para descargar de la red contenido transferido y mostrarlo en la barra publicitaria. Se divulga un software de inicialización para llevar a cabo la configuración inicial de la clave, incluyendo la configuración de la información de autenticación de usuario y la adquisición de certificados encriptados que residirán en la clave. Sin embargo, el documento no especifica cómo tiene lugar la adquisición de los certificados.

El documento menciona que se pueden utilizar varias configuraciones de contraseña, pero no dice nada respecto a la autenticación de contraseñas de un solo uso. Además, el documento no sugiere la implementación de las funcionalidades del software de inicialización en una keylet descargada automáticamente.

RSA Security Inc ha publicado un conjunto de especificaciones en abierto para la integración de contraseñas de un solo uso en sistemas de empresa: "Open Specifications Integrate One-Time Passwords with Enterprise Applications", XP002415772; "Cryptographic Token Key Initialization Protocol V1.0 Draft 3", XP002416268; "OTPWSS-Token: Web Services Security One-Time-Password (OTP) Token Profile, Version 1-0d3", XP002416269; "A CryptoAPI Profile for One-Time Password Tokens V1.0 Draft 2", XP002416270. El documento XP002416268 especifica cómo inicializar una contraseña de un solo uso con un secreto necesario para la autenticación. Sin embargo, XP002416268 no especifica cómo está provista la aplicación que funciona en el ordenador de acogida, necesario para la inicialización de la clave.

Resumen de la invención

La invención se define como se define en las reivindicaciones independientes anexas.

La presente invención integra una sólida seguridad y la comodidad de la gestión de contraseñas en un dispositivo portátil de almacenamiento masivo. Puesto que el usuario generalmente ya tiene un dispositivo portátil de almacenamiento masivo para su utilización en cámaras digitales, reproductores musicales, PDA o similares, la seguridad y comodidad añadidas no suponen una gran carga para el usuario. Ello facilita la gran penetración de esquemas de contraseñas de un solo uso muy seguros y da como resultado la reducción significativa del riesgo respecto... [Seguir leyendo]

1. Procedimiento de acceso a cuentas de un usuario con un dispositivo de almacenamiento masivo (100); el procedimiento comprende:

detectar la conexión de un dispositivo de almacenamiento masivo (100) portátil con un dispositivo de acogida (110); proporcionar, el dispositivo portátil de almacenamiento masivo, almacenamiento masivo de datos que son independientes de la generación de contraseñas de un solo uso como las que se utilizan con reproductores musicales, cámaras digitales, PDA, ordenadores personales o similar; y tras esta detección:

lanzar una aplicación (320) que reside en el dispositivo portátil de almacenamiento masivo (100); dicha aplicación (320) hace que se establezca una conexión entre el dispositivo de acogida (100) y una primera entidad; en le que dicha aplicación, además: facilita la selección de una institución, haciendo que, una vez establecida la conexión, una semilla que se utiliza con un generador de contraseñas de un solo uso (330) implementado en el dispositivo portátil de almacenamiento masivo, se cargue en el dispositivo portátil de almacenamiento masivo (100) desde la entidad mientras está conectada con el dispositivo de acogida; haciendo que el generador de contraseñas de un solo uso genere una contraseña de un solo uso en del dispositivo portátil de almacenamiento masivo utilizando la semilla cargada, y obteniendo la contraseña de un solo uso del dispositivo portátil de almacenamiento masivo, y transmitiendo la contraseña de un solo uso a la institución seleccionada junto con la información de identificación del usuario, de modo que el usuario pueda acceder a su cuenta.

2. Procedimiento según la reivindicación 1, que también comprende el hacer que una serie de semillas adicionales que se van a utilizar con el generador de contraseñas de un solo uso (330) se carguen en el dispositivo de almacenamiento masivo (100) mientras está conectado, y que cada una de estas semillas adicionales se utilice con una cuenta o institución particular, y cada una de estas semillas se almacene en una partición oculta (308A) del dispositivo de almacenamiento masivo (100) que no es accesible mediante las órdenes estándar de lectura y escritura utilizadas por un sistema de archivos del dispositivo de acogida (110) para acceder a los datos dentro del volumen de almacenamiento del dispositivo (100).

3. Procedimiento según la reivindicación 2, en el cual, para que una entidad cargue una semilla debe establecerse que tiene permiso para cargar una semilla, para que cargue la semilla y acceda a la partición oculta (308A).

4. Procedimiento según las reivindicaciones 1, 2 ó 3, en el cual, la generación comprende calcular un valor con un algoritmo, y en el cual, la generación comprende el utilizar un algoritmo distinto para cada cuenta o institución a la que se quiere acceder.

5. Procedimiento según cualquiera de las reivindicaciones precedentes, que también comprende el vincular el dispositivo portátil de almacenamiento masivo (100) con una ranura (310A, 310B, 310X) del dispositivo portátil de almacenamiento masivo (100).

6. Procedimiento según cualquiera de las reivindicaciones precedentes, que también comprende el activar la ranura (310A, 310B, 310X).

7. Procedimiento según cualquiera de las reivindicaciones precedentes, que también comprende el hacer que el usuario y el dispositivo portátil de almacenamiento masivo (100) se autentifiquen.

8. Procedimiento según la reivindicación 5, en el que la vinculación comprende:

seleccionar una cuenta; recibir un identificador de ranura; recuperar un identificador de dispositivo en el dispositivo; y crear un identificador único basándose en el identificador de la ranura y el identificador del dispositivo.

9. Procedimiento según la reivindicación 8, que también comprende el utilizar el identificador único para vincular el dispositivo de almacenamiento masivo (100) con un servidor de validación (124).

10. Procedimiento según la reivindicación 8, en el que el identificador de la ranura se recibe de un cliente (320D) almacenado en el dispositivo portátil de almacenamiento masivo (100) y ejecutado por el procesador del dispositivo de acogida (110).

11. Procedimiento según la reivindicación 8, en el que el identificador de la ranura se recibe de un cliente (320D) almacenado en el dispositivo portátil de almacenamiento masivo (100) y ejecutado por un procesador (306) del dispositivo de almacenamiento masivo (100).

12. Procedimiento según la reivindicación 6, en el que la activación de la ranura (310A, 310B, 310X) comprende:

hacer que el usuario identifique la información que el usuario introduce; hacer que el usuario seleccione una cuenta, correlacionando la cuenta y el usuario con la ranura (310A, 310B,

310X).

13. Procedimiento según cualquiera de las reivindicaciones precedentes, que también comprende el recibir la semilla de una primera entidad antes de cargar la semilla.

14. Procedimiento según la reivindicación 1, en el cual, una conexión del dispositivo portátil de almacenamiento masivo (100) comprende el insertar el dispositivo portátil de almacenamiento masivo (100) en una toma (104) del dispositivo de acogida (110), y dicha toma (104) tiene contactos electrónicos dispuestos para la inserción y retirada frecuente del dispositivo portátil de almacenamiento masivo (100) por parte del usuario del dispositivo (100); en el cual, la aplicación (320) permite la selección de una institución (118) de entre una pluralidad de instituciones hacia las cuales el usuario desea autenticarse; y en el cual, hacer que se establezca una conexión entre el dispositivo de acogida (110) y una primera entidad, comprende el conectar con una autoridad (126); y en el cual, hacer que una semilla se cargue en el dispositivo portátil de almacenamiento masivo (100) mientras está conectado con el dispositivo de acogida (110) incluye el recibir, en el dispositivo de acogida (110), una semilla procedente de la autoridad (126) y almacenar la semilla en el dispositivo de almacenamiento masivo (100); y en el cual, hacer que el usuario identifique la información que se transmite a la institución seleccionada (118) comprende el introducir la información identificativa del usuario y la información del secreto del usuario, y hacer que la información identificativa del usuario y la información del secreto del usuario se transmita a la institución seleccionada (118); y en el cual, el procedimiento también comprende: recibir, en el dispositivo de acogida (110), un identificador de dispositivo de la autoridad (126) y almacenar el identificador de dispositivo en los dispositivos de almacenamiento masivo (100); almacenar un identificador de institución en el dispositivo de almacenamiento masivo (100); y almacenar una cuenta para su utilización con la semilla.

15. Procedimiento según la reivindicación 14, en el cual el dispositivo de acogida (100) ejecuta la aplicación.

16. Procedimiento según las reivindicaciones 14 ó 15, que también comprende el presentar al usuario una lista de instituciones (118) en las cuales inscribirse.

17. Procedimiento según las reivindicaciones 14, 15 ó 16, en el cual, seleccionar una institución (118) comprende el introducir un identificador de institución.

18. Procedimiento según las reivindicaciones 14, 15 ó 16, en el cual, seleccionar una institución (118) comprende el seleccionar una institución de una lista.

19. Procedimiento según la reivindicación 17, en el cual, el identificador de la institución comprende un localizador universal de recursos.

20. Procedimiento según la reivindicación 17, en el cual, el identificador de la institución comprende el nombre o un alias de la institución (118).

21. Procedimiento según una de las reivindicaciones 14 a 20, en el cual, la semilla se almacena en un formato encriptado.

22. Procedimiento según las reivindicaciones 14 a 21, en el cual, la aplicación (320) almacena el identificador del dispositivo en el dispositivo de almacenamiento masivo (100) .

23. Procedimiento según cualquiera de las reivindicaciones 14 a 22, en el cual, la información de identificación del usuario comprende información biométrica.

24. Procedimiento según cualquiera de las reivindicaciones 14 a 23, en el cual, el introducir la información identificativa del usuario y la información del secreto del usuario se hace en un formulario de la aplicación.

25. Procedimiento según las reivindicaciones 14 a 24, que también comprende aprender a ubicar las credenciales de seguridad y la información identificativa.

26. Procedimiento según cualquiera de las reivindicaciones 14 a 25, que también comprende asociar la información de identificación del usuario y el secreto del usuario con el identificador de la institución.

27. Procedimiento según la reivindicación 20, que también comprende asociar la semilla con el identificador de la institución.

28. Procedimiento según una de las reivindicaciones 14 a 27, en el cual, el dispositivo portátil de almacenamiento masivo (100) tiene una interfaz de bus serie universal.

29. Procedimiento según una de las reivindicaciones 14 a 28, en el cual, el dispositivo portátil de almacenamiento masivo (100) tiene un factor de forma de una tarjeta de memoria.

30. Procedimiento según una de las reivindicaciones 14 a 29, en el cual, la semilla se almacena en el dispositivo de almacenamiento masivo (100) en un formato encriptado.

31. Procedimiento según una de las reivindicaciones 14 a 30, en el cual, la semilla se almacena en una zona segura de la memoria utilizada para el almacenamiento masivo en el dispositivo de almacenamiento masivo (100).

32. Procedimiento según la reivindicación 31, en el cual, la semilla solo puede almacenarse mientras el dispositivo de almacenamiento masivo (100) se encuentra en ciertos estados operativos.