Procedimientos de autenticación de los usuarios en sistemas de procesamiento de datos.

Procedimiento de autenticación de usuarios a utilizar en un sistema de procesamiento de datos,

comprendiendo el procedimiento: en un servidor de autenticación (105):

- recibir una solicitud de autenticación presentada por un usuario, incluyendo la solicitud un código de identificación personal del usuario;

-generar una "Solicitud de acceso" (205;305) unívocamente asociada con el código de identificación personal del usuario;

- procesar la "Solicitud de acceso" (210-225:310-325) para generar un código de respuesta esperado, para compararlo con un código de respuesta que el usuario tiene que proporcionar para su autenticación;

- codificar la "Solicitud de acceso" generada (230.235:330.335) para obtener una imagen representable mediante un dispositivo de representación (115,147) adaptado para mostrar la imagen al usuario;

- enviar (235:335) la imagen que contiene la "Solicitud de acceso" al usuario;

- al nivel del dispositivo de representación del usuario (147) presentar al usuario la imagen que contiene la "Solicitud 15 de acceso" mediante el dispositivo de representación;

- mediante un dispositivo de usuario (150) Dotado de un dispositivo de captura de imágenes (155), capturar ópticamente (245:345) la imagen representada;

- mediante el dispositivo de usuario, procesar la imagen capturada (250,255:350,355) para extraer de la imagen capturada la "Solicitud de acceso", y subsecuentemente procesar la "Solicitud de acceso" obtenida (260,265;360,365) para generar el código de respuesta; en el servidor de autenticación (105):

- recibir el código de respuesta del usuario y compararlo (280:380) con el código de respuesta esperado; y

- en caso de comparación positiva, autenticar el usuario, en el que una de entre dichas acciones de generar una "Solicitud de acceso" y un código de respuesta esperado, y dicha acción de procesar la imagen capturada para generar dicho código de respuesta explota una información secreta unívocamente asociada con el usuario, siendo dicha información secreta una clave de cifrado compartida por el servidor de procesamiento de datos y por el dispositivo de usuario.

Procedimientos de autenticación de los usuarios en sistemas de procesamiento de datos.

Antecedentes de la invención [0001] La presente invención se refiere en general al campo de los sistemas de procesamiento de datos o sistemas informáticos, y de las redes de datos. La invención se refiere más particularmente a procedimientos y sistemas para la autenticación de los usuarios en los sistemas de procesamiento de datos y redes de datos.

Descripción de la técnica relacionada [0002] Con el término "autenticación" el proceso está destinado en general a como dos o más entidades, por ejemplo, una unidad de procesamiento de datos "cliente" y una unidad de procesamiento de datos "servidor" en un sistema de "cliente-servidor", pueden comprobar mutuamente su identidad.

Son conocidos varios procedimientos de autenticación de un usuario en un sistema de ordenador, que prevén la evaluación de la identidad del usuario explotando por ejemplo una o más de entre las siguientes metodologías de verificación:

- Algo que es el propio usuario (por ejemplo, mediante la explotación de los datos biométricos, tales como las huellas dactilares, la impronta vocal, el modelo de la retina, la secuencia de ADN o la caligrafía u otros identificadores biométricos del usuario) ; -Algo que el usuario tiene o posee (por ejemplo, una tarjeta de identificación o un dispositivo de hardware - "token" -, por ejemplo, una clave de hardware o una "tarjeta inteligente" a acoplar a su propio ordenador, posiblemente a través de un dispositivo de lectura adecuado) ; -Algo que el usuario conoce (por ejemplo, una contraseña, una palabra clave y / o un "PIN" - número de identificación personal - o un "nombre de usuario") .

En el pasado, para la autenticación de un usuario este último paradigma fue el explotado principalmente: el usuario, para autenticarse en el sistema de procesamiento de datos, tenía que suministrar una combinación de nombre de usuario y contraseña.

Hoy en día, la cuestión de la autenticación de un usuario se necesita aún más que antes, como consecuencia del continuo aumento de los servicios puestos a disposición en línea a través de las redes de datos (por ejemplo, los servicios bancarios, servicios de comercio de acciones o bonos, los servicios de mensajería electrónica - "e-mail" -, "Really Simple Syndication" - RSS - servicios, grupos de noticias, etc) , de los que puede disfrutar un usuario a través de una red informática (Internet, intranet de la empresa y "extranet") , y, recientemente, también los servicios de entretenimiento que implican la distribución sometida al pago de los contenidos basados en las tecnologías TDT (Televisión Digital Terrestre) e IPTV (Internet Protocol Television) .

Por lo tanto, se han desarrollado mecanismos de autenticación que son más seguros y más fuertes en comparación con los mecanismos normales basados en nombre de usuario y contraseña, tales como, por ejemplo, las soluciones basadas en la detección biométrica o aquellas basadas en tokens de hardware o tarjetas inteligentes, acompañadas con software específico ("One Time Password" - OTP -, certificados digitales y análogos) .

En "Authentication Using Multiple Communication Channels" por Shintaro Mizuno, Kohji Yamada, Kenji Takahashi, NTT Información Platform Sharing Laboratories, Proceedings de los 2005 workshops on Digital identity management, 2005, Fairfax, VA, USA, 11 Noviembre - 11, 2005, páginas 54 -62, se describe un mecanismo de autenticación "solicitud de acceso-respuesta" que hace uso de un código de barras bidimensional. El sitio del proveedor de servicios envía a un ordenador del usuario, conectado a través de Internet, un código de barras que incluye una “Solicitud de acceso”; usando un teléfono celular, el usuario lee el código de barras bidimensional que se muestra en la pantalla del ordenador, utilizando de nuevo el teléfono móvil, se envía la “Solicitud de acceso”, por una red de telefonía móvil, al proveedor de servicios, a través de un servidor de autenticación, que entonces se re-envía al teléfono móvil con una firma del proveedor de servicios.

En J.M. McCune et al., "Seeing-Is-Believing: Using Chamber Phones for Human-Verifiable Authentication", Proceedings de the 2005 IEEE Symposium on Security y Privacy, 8-11 de Mayo, 2005, The Claremont Resort, Oakland, California, USA, páginas 110 - 124, se presenta un sistema que utiliza códigos de barras bidimensionales y teléfonos móviles con cámara para implementar un canal de identificación visual; el teléfono móvil tiene que ser capaz de utilizar la cámara integrada para reconocer los códigos de barras bidimensionales. El procedimiento utiliza el código de barras bidimensional para transferir a un dispositivo móvil una huella numérica (hash) que servirá para verificar una clave de autenticación que se intercambie de otra forma (comunicación por infrarrojos, bluetooth) para establecer una conexión segura con una aplicación compatible con TCG (donde TCG significa Trusted Computing Group, una organización que promueve estándares abiertos para fortalecer las plataformas de procesamiento de datos contra ataques de software) .

El documento WO 2005/116909 da a conocer un aparato para obtener información que puede utilizarse para autenticar una entidad, comprendiendo el aparato: medios de captación dispuestos para capturar una imagen; un procesador de imágenes dispuesto para procesar la imagen con el fin de recuperar un bloque de texto cifrado codificado en la imagen, y un procesador de datos dispuesto para descifrar el bloque de texto cifrado con el fin de obtener la información que puede ser utilizada para autenticar la entidad. Se proporciona el uso de un par de claves de cifrado públicas -privadas.

El documento EP- A- 1713230 da a conocer un procedimiento para la configuración de una línea de comunicación segura entre un usuario y un proveedor de servicios utilizando un canal de comunicación no seguro dentro de una red insegura, que comprende los pasos de transmitir un token de identidad de una estación de usuario a una estación de proveedor de servicios ambas acopladas a la red insegura; tras la recepción del token de identidad, provocar la creación de una dirección URL secreta por la estación de proveedor de servicios; transmitir la URL secreta dentro de un canal lateral seguro a la estación de usuario; obtener, dentro de la estación de usuario, la dirección URL secreta, y establecer una nueva trayectoria de comunicación en la red insegura que une el usuario y la estación de proveedor de servicio en base a dicha dirección URL secreta. Además de descartar un man-in-themiddle, al negarle el acceso a los datos de flujo, también es posible detenerlo negándole el acceso al contenido del flujo de datos. Este acceso puede ser negado por el uso de un libro de códigos de una sola vez con la semántica sólo conocida por el usuario y el proveedor del servicio de autenticación.

El documento EP- A- 1713230 describe un dispositivo de seguridad para transacciones en línea entre el ordenador del proveedor de servicios y un operador equipado con un ordenador. El dispositivo comprende un sensor foto-eléctrico que se aplica a la pantalla del ordenador para identificar una señal de matriz desde el ordenador del proveedor que a continuación se procesa para generar un código y medios de comunicación que permiten que sea accesible por el operador. El dispositivo también cuenta con un sensor biométrico, en particular un sensor de huella digital con el que se introducen los datos relativos al operador. Se proporcionan unos medios de cifrado entre el sensor foto-eléctrico y los medios de comunicación que aseguran que el código determinado a partir de la pantalla sólo es accesible si la huella dactilar coincide con la almacenada en la tarjeta. El dispositivo de seguridad tiene tamaño de tarjeta de crédito y tiene una fuente de alimentación independiente.

Resumen de la invención [0012] El solicitante ha observado que las tecnologías descritas anteriormente son bastante complejas y su coste puede crecer de forma exponencial con respecto al grado de seguridad y fiabilidad que se les pide.

Por ejemplo, en las soluciones basadas en el uso de tokens de hardware, hay en el servidor un reloj extremadamente preciso que es capaz de "sincronizarse" con el del dispositivo del usuario; las discordancias en la sincronización hacen que tanto el dispositivo de usuario como el proceso de autenticación sean inutilizables.

La técnica descrita en el artículo de Mizuno y otros tiene el problema de la necesidad de una conexión a una red de telefonía móvil, algo que no siempre es posible.

El procedimiento descrito en el artículo... [Seguir leyendo]

1. Procedimiento de autenticación de usuarios a utilizar en un sistema de procesamiento de datos, comprendiendo el procedimiento: en un servidor de autenticación (105) :

- recibir una solicitud de autenticación presentada por un usuario, incluyendo la solicitud un código de identificación personal del usuario; -generar una “Solicitud de acceso” (205;305) unívocamente asociada con el código de identificación personal del usuario;

-procesar la “Solicitud de acceso” (210-225:310-325) para generar un código de respuesta esperado, para compararlo con un código de respuesta que el usuario tiene que proporcionar para su autenticación;

-codificar la “Solicitud de acceso” generada (230.235:330.335) para obtener una imagen representable mediante un dispositivo de representación (115, 147) adaptado para mostrar la imagen al usuario;

- enviar (235:335) la imagen que contiene la “Solicitud de acceso” al usuario;

- al nivel del dispositivo de representación del usuario (147) presentar al usuario la imagen que contiene la “Solicitud de acceso” mediante el dispositivo de representación;

- mediante un dispositivo de usuario (150) Dotado de un dispositivo de captura de imágenes (155) , capturar ópticamente (245:345) la imagen representada;

- mediante el dispositivo de usuario, procesar la imagen capturada (250, 255:350, 355) para extraer de la imagen

capturada la “Solicitud de acceso”, y subsecuentemente procesar la “Solicitud de acceso” obtenida (260, 265;360, 365) para generar el código de respuesta; en el servidor de autenticación (105) :

- recibir el código de respuesta del usuario y compararlo (280:380) con el código de respuesta esperado; y

- en caso de comparación positiva, autenticar el usuario, en el que una de entre dichas acciones de generar una

“Solicitud de acceso” y un código de respuesta esperado, y dicha acción de procesar la imagen capturada para generar dicho código de respuesta explota una información secreta unívocamente asociada con el usuario, siendo dicha información secreta una clave de cifrado compartida por el servidor de procesamiento de datos y por el dispositivo de usuario.

2. El procedimiento según la reivindicación 1, en el que dicha generación de un código de respuesta esperado incluye asociar con el código de respuesta esperado un límite temporal de validez, y recibir el código de respuesta del usuario y compararlo con el código de respuesta esperado incluye estimar si el código de respuesta del usuario se recibe dentro de dicho límite temporal de validez.

3. El procedimiento según la reivindicación 1 o la 2, en el que dicha generación de la “Solicitud de acceso” comprende generar una secuencia de bits sustancialmente aleatoria.

4. El procedimiento según la reivindicación 3, en el que dicha generación de la “Solicitud de acceso” comprende codificar la secuencia de bits sustancialmente aleatoria en una primera cadena de caracteres alfanuméricos la representan unívocamente.

5. El procedimiento según la reivindicación 4, en el que dicha codificación de la “Solicitud de acceso” comprende

codificar la primera cadena de caracteres alfanuméricos, y codificar la primera cadena de caracteres alfanuméricos codificada para obtener la imagen representable mediante el dispositivo de representación.

6. El procedimiento según la reivindicación 5, en el que dicha generación del código de respuesta esperado incluye cifrar la secuencia de bits sustancialmente aleatoria con dicha información secreta o calcular una huella numérica de la secuencia de bits sustancialmente aleatoria con dicha información secreta.

7. El procedimiento según la reivindicación 6, en el que dicha generación del código de respuesta esperado incluye codificar la secuencia de bits sustancialmente aleatoria cifrada, o la huella numérica de la secuencia de bits sustancialmente aleatoria, para obtener una segunda cadena de caracteres alfanuméricos y almacenar la cadena obtenida.

8. El procedimiento según la reivindicación 7, en el que dicho procesamiento de la imagen capturada para extraer de

la imagen capturada la “Solicitud de acceso” y generar el código de respuesta incluye:

- descodificar la primera cadena de caracteres alfanuméricos para obtener la secuencia de bits sustancialmente aleatoria;

- cifrar la secuencia de bits sustancialmente aleatoria con dicha información secreta para obtener una secuencia adicional de bits sustancialmente aleatoria cifrada, o calcular una huella numérica de la secuencia de bits sustancialmente aleatoria con dicha información secreta;

- codificar la secuencia adicional de bits sustancialmente aleatoria cifrada, o la huella numérica de la secuencia de bits sustancialmente aleatoria, para obtener la segunda cadena de caracteres alfanuméricos, constituyendo dicha segunda cadena de caracteres alfanuméricos el código de respuesta.

9. El procedimiento según la reivindicación 3, en el que dicha generación de la “Solicitud de acceso” comprende cifrar la secuencia de bits sustancialmente aleatoria con dicha información secreta.

10. El procedimiento según la reivindicación 9, en el que dicha generación de la “Solicitud de acceso” comprende codificar la secuencia de bits sustancialmente aleatoria cifrada en una primera cadena de caracteres alfanuméricos, y codificar la primera cadena de caracteres alfanuméricos para obtener la imagen representable mediante el dispositivo de representación.

11. El procedimiento según la reivindicación 10, en el que dicha generación del código de respuesta esperado incluye codificar la secuencia de bits sustancialmente aleatoria into una segunda cadena de caracteres alfanuméricos y almacenar la segunda cadena obtenida.

12. El procedimiento según la reivindicación 11, en el que dicho procesamiento de la imagen capturada para extraer

de la imagen capturada la “Solicitud de acceso” y generar el código de respuesta incluye:

- descodificar la primera cadena de caracteres alfanuméricos para obtener la secuencia de bits sustancialmente aleatoria cifrada;

- descifrar la secuencia de bits sustancialmente aleatoria cifrada con dicha información secreta para obtener la secuencia de bits sustancialmente aleatoria;

- codificar la secuencia de bits sustancialmente aleatoria para obtener la segunda cadena de caracteres alfanuméricos, constituyendo dicha segunda cadena de caracteres alfanuméricos el código de respuesta.

13. El procedimiento según cualquiera de las reivindicaciones anteriores, en el que dicha codificación de la “Solicitud de acceso” generada para obtener una imagen comprende generar un código de barras bidimensional.

14. Un sistema para la autenticación de usuarios a utilizar en un sistema de procesamiento de datos, comprendiendo el sistema de autenticación: un terminal de procesamiento de datos del usuario, un servidor de autenticación (105) , teniendo dicho servidor de autenticación medios adaptados para:

recibir una solicitud de autenticación presentada por un usuario, incluyendo la solicitud un código de identificación personal del usuario;

-generar una “Solicitud de acceso” (205;305) unívocamente asociada con el código de identificación personal del usuario;

- procesar la “Solicitud de acceso (210-225;310-325) para generar un código de respuesta esperado, para compararlo con un código de respuesta que el usuario tiene que proporcionar para su autenticación;

-codificar la “Solicitud de acceso” generada (230, 235;330, 335) para obtener una imagen;

- enviar (235;335) la imagen que contiene la “Solicitud de acceso” al terminal de procesamiento de datos (115) del usuario mediante una red de datos (120) ; y en el que el terminal de procesamiento de datos comprende un dispositivo de representación (147) adaptado para representar al usuario la imagen que contiene la “Solicitud de acceso”; comprendiendo además el sistema un dispositivo de usuario (150) dotado de un dispositivo de captura de imágenes (155) , que tiene medios adaptados para capturar ópticamente la imagen visualizada, estando el dispositivo de usuario adaptado durante su utilización para procesar (250, 255;350, 355) la imagen capturada para extraer de la imagen capturada la “Solicitud de acceso” y para procesar (260, 265; 360, 365) la “Solicitud de acceso”

para generar un código de respuesta; y en el que el servidor de autenticación tiene medios adaptados para: recibir el código de respuesta del usuario y compararlo con el código de respuesta esperado; y en caso de comparación positiva, autenticar el usuario, en el que uno de entre dichos medios adaptados para generar una “Solicitud de acceso” y generar un código de respuesta esperado, y dichos medios adaptados para procesar la imagen capturada para generar el código de respuesta están adaptados para explotar una información secreta unívocamente asociada con el usuario, siendo dicha información secreta una clave de cifrado compartida por el servidor de procesamiento de datos y por el dispositivo de usuario.