19 OFICINA ESPAÑOLA DE PATENTES Y MARCAS ESPAÑA 11 Número de publicación: 2 191 07 21 Número de solicitud: 200001080 1 Int. Cl. 7 : G06F 1/00 G07C 9/00 H04L 9/32 12 PATENTE DE INVENCIÓN B1 22 Fecha de presentación: 27.04.2000 43 Fecha de publicación de la solicitud: 01.09.2003 73 Titular/es: TELEFÓNICA, S.A. Gran Vía, 28 28013 Madrid, ES Fecha de la concesión: 26.11.2004 4 Fecha de anuncio de la concesión: 01.01.200 72 Inventor/es: Carpio Cámara, Manuel; López Guevara, Arturo y Díaz Agudo, Antonio 4 Fecha de publicación del folleto de la patente: 01.01.200 74 Agente: Gómez Múgica, Luis Antonio 4 Título: Sistema de autenticación y autorización mediante tarjeta inteligente y clave única. 7 Resumen: Sistema de autenticación y autorización mediante tarjeta inteligente y clave única. Sistema de autenticación y autorización mediante tarjeta inteligente y clave única, que consiste en un sistema que dispone de lectores de tarjeta inteligente, en diferentes unidades periféricas, conectadas todas ellas con un servidor de autenticación y autorización, que por un lado identifica a la persona poseedora de la tarjeta mediante la clave que en ésta se dispone y que no es accesible más que al sistema, ni tan siquiera el propio usuario, y por otro, a partir del perfil que se le adjudica al usuario, que también se encuentra grabado en la propia tarjeta, el servidor le autoriza y consigue el acceso a determinadas aplicaciones informáticas, sin necesidad de que el usuario conozca el método de acceso a las mismas, no introduciendo nuevas claves de acceso aunque así lo exijan las aplicaciones, siendo el propio sistema el que lo ejecuta por él. ES 2 191 07 B1 Aviso: Se puede realizar consulta prevista por el art. 37.3.8 LP. Venta de fascículos: Oficina Española de Patentes y Marcas. C/Panamá, 1 28036 Madrid
1 ES 2 191 07 A1 B1 2 DESCRIPCION Sistema de autenticación y autorización mediante tarjeta inteligente y clave única. Objeto de la invención La presente memoria descriptiva se refiere a una solicitud de Patente de Invención, relativa a un sistema de autenticación y autorización mediante tarjeta inteligente y clave única, cuya finalidad estriba en que configurado como un sistema que dispone lectores de tarjetas inteligentes en diferentes unidades periféricas, tal y como puede ser para el acceso a edificios, controladores de jornada de trabajo, PC de usuarios, etc., estando todas ellas conectadas con un servidor de autenticación y autorización, logra que por un lado identifique a la persona poseedora de la tarjeta mediante la clave que en esta se dispone, no teniendo más acceso que al sistema, como tampoco es accesible al propio usuario, mientras que por otro lado, a partir del perfil que se le adjudica al usuario, que también se encuentra grabado en la propia tarjeta, el servidor le autoriza y consigue el acceso a determinadas aplicaciones informáticas, sin necesidad de que el usuario conozca el método de acceso a las mismas, no introduciendo las pertinentes claves de acceso, aunque así lo exijan las aplicaciones, siendo el propio sistema el que realiza y ejecuta estas funciones en sustitución del usuario. Campo de la invención Esta invención tiene su aplicación dentro de la industria dedicada a la fabricación de aparatos, dispositivos y elementos auxiliares para la informática y las telecomunicaciones. Antecedentes de la invención Por parte del solicitante no se tiene conocimiento de la existencia en la actualidad de una invención que presente las características que incorpora la que se describe en esta memoria. Descripción de la invención El sistema de autenticación yautorizaciónmediante tarjeta inteligente y clave única que la invención propone, se configura en sí misma como una evidente novedad dentro de su campo de aplicación, ofreciendo los instrumentos para establecer los enlaces necesarios entre los elementos del sistema, y a la vez se configura como un servicio de autenticación central único para todos los usuarios y las aplicaciones incluido el control de acceso físico. De forma más concreta, el sistema de autenticación y autorización mediante tarjeta inteligente yclave única objeto de la invención, se configura a partir de una arquitectura basada en una unidad que actúa como servidor de identificación, autenticación y autorización, conectado mediante una red de comunicaciones por un lado a unidades periféricas de uso por múltiples usuarios (tal y como puede ser el acceso a edificios) y a otras unidades de uso de cliente único, en cada una de las cuales se dispone del correspondiente elemento de lectura y método de realización de dicha lectura para tarjeta inteligente, es decir una tarjeta chip, y por otro lado el servidor de identificación y autorización se encuentra conectado con las infraestructuras de clave pública y diferentes servidores de aplicaciones informáticas a las que el usuario 2 10 1 20 2 30 3 40 4 0 60 6 desea acceder. La invención cubre las necesidades de control de acceso físico a dependencias, así como el control de acceso lógico a las aplicaciones informáticas, incluyendo por un lado la identificación de la persona, es decir la autenticación, y por otro lado el control de los permisos de acceso a cada aplicación, es decir autorización. El sistema conlleva la gestión de usuarios y autorizaciones de manera coordinada en todas las aplicaciones, y a la vez actúa como una auditoría, es decir, presenta la posibilidad de obtener trazas que permitan determinar las actuaciones que ha llevado a cabo un usuario dentro de una aplicación. La invención está basada en la utilización o empleo de técnicas criptográficas de clave pública y también está basado en tarjetas inteligentes como ítem que identifique a la persona que lo posee. El sistema de autenticación y autorización también actúa como aglutinador de los elementos que componen el sistema, construyendo un cliente puntual que es el encargado de establecer los nexos entre sus distintas piezas, que son: - Tarjeta inteligente y - Lector de la misma. En colaboración con los elementos citados anteriormente, también en la invención se contempla la utilización de lo siguiente. A saber: - Elementos de control de acceso físico, - Servidor de autenticación y autorización, - Infraestructura de clave pública (PKI) y - Aplicaciones informáticas. La invención aúna sobre un mismo soporte de tarjeta inteligente las claves de acceso físico a las instalaciones y lógico a los sistemas de información de la organización, utilizando para ello dos aplicaciones grabadas en dicho soporte que gestionan el uso de estas claves, también grabadas en zonas protegidas del soporte, gestionando el uso de estas claves, grabadas igualmente en zonas protegidas del soporte. La invención cuenta en las unidades de usuario único, por ejemplo PC del cliente, con facilidades para por un lado gestionar la comunicación con el lector de tarjeta inteligente y por otro gestionar la comunicación con el directorio X.00, servidor de autorización e identificación, donde residen las credenciales o passwords del usuario. Se puede configurar fácilmentepara quelatarjeta pida o no el PIN, así como para bloquear el PC o no cuando se saca la tarjeta, para hacer saltar el salvapantallas a un determinado tiempo tras extraer la tarjeta, etc. En definitiva, la invención permite actuar sobre el PC según la configuración que se disponga dependiendo de los eventos en el lector de tarjeta, y por otro lado, almacena en memoria RAM volátil y codificadas para evitar su intercepción, las credenciales de ese usuario en particular. También este módulo realiza la funcionalidad de single sígn-on (SSO) o contraseña única, conjuntamente con el directorio X.00, sobre las aplicaciones. La novedad reside en el hecho de que hasta ahora no existen implementaciones comerciales de SSOquesesirvanbásicamente de estándares, sin
3 ES 2 191 07 A1 B1 4 recurrir a ninguna tecnología propietaria, salvo claro está, los elementos funcionales que se realizanenelpuestodeusuario. Descripción de los dibujos Para complementar la descripción que se está realizando y con objeto de ayudar a una mejor comprensión de las características del invento, se acompaña a la presente memoria descriptiva, como parte integrante de la misma, una hoja de planos en la cual con carácter ilustrativo y no limitativo, se ha representado lo siguiente: La figura número 1.- Corresponde a una representación esquemática de los diferentes elementos que configuran la invención, relativa a un sistema de autenticación y autorización mediante tarjeta inteligente y clave única. Realización preferente de la invención A la vista de la figura número 1, puede observarse como el sistema de autenticación y autorización mediante tarjeta inteligente y clave única, 10 1 20 está constituido a partir del ordenador del cliente (1) provisto de su pertinente tarjeta, así como del control del acceso físico (2) conectados los elementos (1) y (2) a la red de comunicaciones (10), yésta a su vez se conecta con los servidores de aplicaciones informáticas (3), así como con el servidor de autenticación y autorización (4), el cual a su vez está conectado con la autoridad de certificación (6) y la autoridad de registro (), ambos configurados como dos ordenadores con su pertinente teclado. El cliente (1) ofrece los instrumentos para establecer los enlaces necesarios entre los elementos que configuran el sistema, dando como resultado un servicio de autenticación central único para todos los usuarios y las aplicaciones, incluido el control de acceso físico (2). La invención utiliza técnicas criptográficas con autenticación a nivel de aplicación. 2 30 3 40 4 0 60 6 3
ES 2 191 07 A1 B1 6 REIVINDICACIONES 1. Sistema de autenticación y autorización mediante tarjeta inteligente y clave única, de los constituidos por una arquitectura basada en una unidad que actúa como servidor de identificación, autenticación y autorización, conectado mediante una red de comunicaciones por un lado a unidades periféricas de uso por múltiples usuarios, tal y como puede ser el acceso a edificios, y a otras unidades de uso de cliente único, en cada una de las cuales se dispone del correspondiente elemento de lectura y método de realización de dicha lectura para una tarjeta inteligente, tal y como puede ser una tarjeta chip, y por otro lado el servidor de identificación y autorización se encuentra conectado con las infraestructuras de clave pública y diferentes servidores de aplicaciones informáticas a las que el usuario desea acceder, caracterizado porque aúnasobreunmismosoportedetarjeta inteligente las claves de acceso físico a las instalaciones y lógico a los sistemas de información de la organización, utilizando para ello dos aplicaciones grabadas en dicho soporte que gestionan el uso de estas claves, también grabadas en zonas protegidas del soporte. 2. Sistema de autenticación y autorización en las unidades de usuario único, o PC cliente, se dispone de facilidades para por un lado gestionar la comunicación con el lector de tarjeta inteligente y por otro lado gestionar la comunicación con el directorio X.00, configurado como el servidor de autorización e identificación, donde residen las credenciales o passwords del usuario. 3. Sistema de autenticación y autorización 10 1 20 2 30 3 40 se puede configurar fácilmente para que la tarjetapidaonoelpin,parabloquearelpcono cuando se saca la tarjeta, así como para hacer saltar el salvapantallas a un determinado tiempo tras extraer la tarjeta, etc. 4. Sistema de autenticación y autorización puede actuar sobre el PC según la configuración que se disponga dependiendo de los eventos en el lector de tarjeta.. Sistema de autenticación y autorización almacena en memoria RAM volátil y codificadas para evitar su intercepción, las credenciales de ese usuario en particular. 6. Sistema de autenticación y autorización realiza la funcionalidad de single sign-on (SSO) o contraseña única, conjuntamente con el directorio X.00, sobre las aplicaciones. 7. Sistema de autenticación y autorización realiza sin intervención del usuario el acceso a aplicaciones informáticas no modificables mediante la escritura automática de la clave o scripting. 8. Sistema de autenticación y autorización las anteriores reivindicaciones, caracterizado porque configurando adecuadamente las aplicaciones informáticas modificables se realiza la introducción en dichas aplicaciones sin intervención del usuario mediante la escritura automática de las claves de entrada a dichas aplicaciones. 4 0 60 6 4
ES 2 191 07 A1 B1
OFICINA ESPAÑOLA DE PATENTES Y MARCAS ESPAÑA 11 ES 2 191 07 21 Nº de solicitud: 200001080 22 Fecha de presentación de la solicitud: 27.04.2000 32 Fecha de prioridad: INFORME SOBRE EL ESTADO DE LA TÉCNICA 1 Int. Cl. 7 : G06F 1/00, G07C 9/00, H04L 9/32 DOCUMENTOS RELEVANTES Categoría Documentos citados Reivindicaciones afectadas Y SMART TOKENS by BRUCE SCHNEIER. Telequip Corporation. 30.08.1996. 1,7,8 [recuperado el 28.07.2003]. Recuperado de Internet: <URL:http://islab.oregonstate.edu/documents/People/schneier/ smart-token1.htm> A 3- Y Estándar ISO/IEC 7816-4. 199. [recuperado el 28.07.2003]. 1,7,8 Recuperado de Internet: <URL:http://www.cardwerk.com/smartcards/smartcard_standard_ ISO7816-4 basic_organizations.aspx> <URL:http://www.cardwerk.com/smartcards/smartcard_standard_ ISO7816-4_9_application-independent_card_services.aspx> A ENTRUST, News and Events, RSA DATA SECURITY CONFERENCE, 6 San Francisco, CA. 12.01.1998. [recuperado el 28.07.2003]. Recuperado de Internet: <URL:http://www.entrust.com/news/files/01_12_98_121.htm> A SMART CARD LOGON. White Paper. Microsoft Corporation. 22.06.1999. 1-3 [recuperado el 28.07.2003]. Recuperado de Internet: <URL:https://www.microsoft.com/windows2000/techinfo/howitworks/ security/sclogonwp.asp> <URL:https://www.microsoft.com/windows2000/docs/sclogonwp.doc> Categoría de los documentos citados X: de particular relevancia Y: de particular relevancia combinado con otro/s de la misma categoría A: refleja el estado de la técnica El presente informe ha sido realizado para todas las reivindicaciones O: referido a divulgación no escrita P: publicado entre la fecha de prioridad y la de presentación de la solicitud E: documento anterior, pero publicado después de la fecha de presentación de la solicitud para las reivindicaciones nº: Fecha de realización del informe Examinador Página 28.07.2003 Mª J. Lloris Meseguer 1/1