schemas/saml-schema-authn-context-types-2.0.xsd

   1 <?xml version="1.0" encoding="UTF-8"?>\r
   2 <xs:schema \r
   3   xmlns:xs="http://www.w3.org/2001/XMLSchema"\r
   4   elementFormDefault="qualified"\r
   5   version="2.0">\r
   6 \r
   7   <xs:annotation>\r
   8     <xs:documentation>\r
   9       Document identifier: saml-schema-authn-context-types-2.0\r
  10       Location: http://docs.oasis-open.org/security/saml/v2.0/\r
  11       Revision history:\r
  12           V2.0 (March, 2005):\r
  13           New core authentication context schema types for SAML V2.0. \r
  14     </xs:documentation>\r
  15   </xs:annotation>\r
  16 \r
  17   <xs:element name="AuthenticationContextDeclaration" type="AuthnContextDeclarationBaseType">\r
  18     <xs:annotation>\r
  19       <xs:documentation>\r
  20         A particular assertion on an identity\r
  21         provider's part with respect to the authentication\r
  22         context associated with an authentication assertion.\r
  23       </xs:documentation>\r
  24     </xs:annotation>\r
  25   </xs:element>\r
  26 \r
  27   <xs:element name="Identification" type="IdentificationType">\r
  28     <xs:annotation>\r
  29       <xs:documentation>\r
  30         Refers to those characteristics that describe the\r
  31         processes and mechanisms\r
  32         the Authentication Authority uses to initially create\r
  33         an association between a Principal\r
  34         and the identity (or name) by which the Principal will\r
  35         be known\r
  36       </xs:documentation>\r
  37     </xs:annotation>\r
  38   </xs:element>\r
  39 \r
  40   <xs:element name="PhysicalVerification">\r
  41     <xs:annotation>\r
  42       <xs:documentation>\r
  43         This element indicates that identification has been\r
  44         performed in a physical\r
  45         face-to-face meeting with the principal and not in an\r
  46         online manner.\r
  47       </xs:documentation>\r
  48     </xs:annotation>\r
  49     <xs:complexType>\r
  50       <xs:attribute name="credentialLevel">\r
  51         <xs:simpleType>\r
  52           <xs:restriction base="xs:NMTOKEN">\r
  53             <xs:enumeration value="primary"/>\r
  54             <xs:enumeration value="secondary"/>\r
  55           </xs:restriction>\r
  56         </xs:simpleType>\r
  57       </xs:attribute>\r
  58     </xs:complexType>\r
  59   </xs:element>\r
  60 \r
  61   <xs:element name="WrittenConsent" type="ExtensionOnlyType"/>\r
  62 \r
  63   <xs:element name="TechnicalProtection" type="TechnicalProtectionBaseType">\r
  64     <xs:annotation>\r
  65       <xs:documentation>\r
  66         Refers to those characterstics that describe how the\r
  67         'secret' (the knowledge or possession\r
  68         of which allows the Principal to authenticate to the\r
  69         Authentication Authority) is kept secure\r
  70       </xs:documentation>\r
  71     </xs:annotation>\r
  72   </xs:element>\r
  73 \r
  74   <xs:element name="SecretKeyProtection" type="SecretKeyProtectionType">\r
  75     <xs:annotation>\r
  76       <xs:documentation>\r
  77         This element indicates the types and strengths of\r
  78         facilities\r
  79         of a UA used to protect a shared secret key from\r
  80         unauthorized access and/or use.\r
  81       </xs:documentation>\r
  82     </xs:annotation>\r
  83   </xs:element>\r
  84 \r
  85   <xs:element name="PrivateKeyProtection" type="PrivateKeyProtectionType">\r
  86     <xs:annotation>\r
  87       <xs:documentation>\r
  88         This element indicates the types and strengths of\r
  89         facilities\r
  90         of a UA used to protect a private key from\r
  91         unauthorized access and/or use.\r
  92       </xs:documentation>\r
  93     </xs:annotation>\r
  94   </xs:element>\r
  95 \r
  96   <xs:element name="KeyActivation" type="KeyActivationType">\r
  97     <xs:annotation>\r
  98       <xs:documentation>The actions that must be performed\r
  99         before the private key can be used. </xs:documentation>\r
 100     </xs:annotation>\r
 101   </xs:element>\r
 102 \r
 103   <xs:element name="KeySharing" type="KeySharingType">\r
 104     <xs:annotation>\r
 105       <xs:documentation>Whether or not the private key is shared\r
 106         with the certificate authority.</xs:documentation>\r
 107     </xs:annotation>\r
 108   </xs:element>\r
 109 \r
 110   <xs:element name="KeyStorage" type="KeyStorageType">\r
 111     <xs:annotation>\r
 112       <xs:documentation>\r
 113         In which medium is the key stored.\r
 114         memory - the key is stored in memory.\r
 115         smartcard - the key is stored in a smartcard.\r
 116         token - the key is stored in a hardware token.\r
 117         MobileDevice - the key is stored in a mobile device.\r
 118         MobileAuthCard - the key is stored in a mobile\r
 119         authentication card.\r
 120       </xs:documentation>\r
 121     </xs:annotation>\r
 122   </xs:element>\r
 123 \r
 124   <xs:element name="SubscriberLineNumber" type="ExtensionOnlyType"/>\r
 125   <xs:element name="UserSuffix" type="ExtensionOnlyType"/>\r
 126 \r
 127   <xs:element name="Password" type="PasswordType">\r
 128     <xs:annotation>\r
 129       <xs:documentation>\r
 130         This element indicates that a password (or passphrase)\r
 131         has been used to\r
 132         authenticate the Principal to a remote system.\r
 133       </xs:documentation>\r
 134     </xs:annotation>\r
 135   </xs:element>\r
 136 \r
 137   <xs:element name="ActivationPin" type="ActivationPinType">\r
 138     <xs:annotation>\r
 139       <xs:documentation>\r
 140         This element indicates that a Pin (Personal\r
 141         Identification Number) has been used to authenticate the Principal to\r
 142         some local system in order to activate a key.\r
 143       </xs:documentation>\r
 144     </xs:annotation>\r
 145   </xs:element>\r
 146 \r
 147   <xs:element name="Token" type="TokenType">\r
 148     <xs:annotation>\r
 149       <xs:documentation>\r
 150         This element indicates that a hardware or software\r
 151         token is used\r
 152         as a method of identifying the Principal.\r
 153       </xs:documentation>\r
 154     </xs:annotation>\r
 155   </xs:element>\r
 156 \r
 157   <xs:element name="TimeSyncToken" type="TimeSyncTokenType">\r
 158     <xs:annotation>\r
 159       <xs:documentation>\r
 160         This element indicates that a time synchronization\r
 161         token is used to identify the Principal. hardware -\r
 162         the time synchonization\r
 163         token has been implemented in hardware. software - the\r
 164         time synchronization\r
 165         token has been implemented in software. SeedLength -\r
 166         the length, in bits, of the\r
 167         random seed used in the time synchronization token.\r
 168       </xs:documentation>\r
 169     </xs:annotation>\r
 170   </xs:element>\r
 171 \r
 172   <xs:element name="Smartcard" type="ExtensionOnlyType">\r
 173     <xs:annotation>\r
 174       <xs:documentation>\r
 175         This element indicates that a smartcard is used to\r
 176         identity the Principal.\r
 177       </xs:documentation>\r
 178     </xs:annotation>\r
 179   </xs:element>\r
 180 \r
 181   <xs:element name="Length" type="LengthType">\r
 182     <xs:annotation>\r
 183       <xs:documentation>\r
 184         This element indicates the minimum and/or maximum\r
 185         ASCII length of the password which is enforced (by the UA or the\r
 186         IdP). In other words, this is the minimum and/or maximum number of\r
 187         ASCII characters required to represent a valid password.\r
 188         min - the minimum number of ASCII characters required\r
 189         in a valid password, as enforced by the UA or the IdP.\r
 190         max - the maximum number of ASCII characters required\r
 191         in a valid password, as enforced by the UA or the IdP.\r
 192       </xs:documentation>\r
 193     </xs:annotation>\r
 194   </xs:element>\r
 195 \r
 196   <xs:element name="ActivationLimit" type="ActivationLimitType">\r
 197     <xs:annotation>\r
 198       <xs:documentation>\r
 199         This element indicates the length of time for which an\r
 200         PIN-based authentication is valid.\r
 201       </xs:documentation>\r
 202     </xs:annotation>\r
 203   </xs:element>\r
 204 \r
 205   <xs:element name="Generation">\r
 206     <xs:annotation>\r
 207       <xs:documentation>\r
 208         Indicates whether the password was chosen by the\r
 209         Principal or auto-supplied by the Authentication Authority.\r
 210         principalchosen - the Principal is allowed to choose\r
 211         the value of the password. This is true even if\r
 212         the initial password is chosen at random by the UA or\r
 213         the IdP and the Principal is then free to change\r
 214         the password.\r
 215         automatic - the password is chosen by the UA or the\r
 216         IdP to be cryptographically strong in some sense,\r
 217         or to satisfy certain password rules, and that the\r
 218         Principal is not free to change it or to choose a new password.\r
 219       </xs:documentation>\r
 220     </xs:annotation>\r
 221 \r
 222     <xs:complexType>\r
 223       <xs:attribute name="mechanism" use="required">\r
 224         <xs:simpleType>\r
 225           <xs:restriction base="xs:NMTOKEN">\r
 226             <xs:enumeration value="principalchosen"/>\r
 227             <xs:enumeration value="automatic"/>\r
 228           </xs:restriction>\r
 229         </xs:simpleType>\r
 230       </xs:attribute>\r
 231     </xs:complexType>\r
 232   </xs:element>\r
 233 \r
 234   <xs:element name="AuthnMethod" type="AuthnMethodBaseType">\r
 235     <xs:annotation>\r
 236       <xs:documentation>\r
 237         Refers to those characteristics that define the\r
 238         mechanisms by which the Principal authenticates to the Authentication\r
 239         Authority.\r
 240       </xs:documentation>\r
 241     </xs:annotation>\r
 242   </xs:element>\r
 243 \r
 244   <xs:element name="PrincipalAuthenticationMechanism" type="PrincipalAuthenticationMechanismType">\r
 245     <xs:annotation>\r
 246       <xs:documentation>\r
 247         The method that a Principal employs to perform\r
 248         authentication to local system components.\r
 249       </xs:documentation>\r
 250     </xs:annotation>\r
 251   </xs:element>\r
 252 \r
 253   <xs:element name="Authenticator" type="AuthenticatorBaseType">\r
 254     <xs:annotation>\r
 255       <xs:documentation>\r
 256         The method applied to validate a principal's\r
 257         authentication across a network\r
 258       </xs:documentation>\r
 259     </xs:annotation>\r
 260   </xs:element>\r
 261 \r
 262   <xs:element name="ComplexAuthenticator" type="ComplexAuthenticatorType">\r
 263     <xs:annotation>\r
 264       <xs:documentation>\r
 265         Supports Authenticators with nested combinations of\r
 266         additional complexity.\r
 267       </xs:documentation>\r
 268     </xs:annotation>\r
 269   </xs:element>\r
 270 \r
 271   <xs:element name="PreviousSession" type="ExtensionOnlyType">\r
 272     <xs:annotation>\r
 273       <xs:documentation>\r
 274         Indicates that the Principal has been strongly\r
 275         authenticated in a previous session during which the IdP has set a\r
 276         cookie in the UA. During the present session the Principal has only\r
 277         been authenticated by the UA returning the cookie to the IdP.\r
 278       </xs:documentation>\r
 279     </xs:annotation>\r
 280   </xs:element>\r
 281 \r
 282   <xs:element name="ResumeSession" type="ExtensionOnlyType">\r
 283     <xs:annotation>\r
 284       <xs:documentation>\r
 285         Rather like PreviousSession but using stronger\r
 286         security. A secret that was established in a previous session with\r
 287         the Authentication Authority has been cached by the local system and\r
 288         is now re-used (e.g. a Master Secret is used to derive new session\r
 289         keys in TLS, SSL, WTLS).\r
 290       </xs:documentation>\r
 291     </xs:annotation>\r
 292   </xs:element>\r
 293 \r
 294   <xs:element name="ZeroKnowledge" type="ExtensionOnlyType">\r
 295     <xs:annotation>\r
 296       <xs:documentation>\r
 297         This element indicates that the Principal has been\r
 298         authenticated by a zero knowledge technique as specified in ISO/IEC\r
 299         9798-5.\r
 300       </xs:documentation>\r
 301     </xs:annotation>\r
 302   </xs:element>\r
 303 \r
 304   <xs:element name="SharedSecretChallengeResponse" type="SharedSecretChallengeResponseType"/>\r
 305 \r
 306   <xs:complexType name="SharedSecretChallengeResponseType">\r
 307     <xs:annotation>\r
 308       <xs:documentation>\r
 309         This element indicates that the Principal has been\r
 310         authenticated by a challenge-response protocol utilizing shared secret\r
 311         keys and symmetric cryptography.\r
 312       </xs:documentation>\r
 313     </xs:annotation>\r
 314     <xs:sequence>\r
 315       <xs:element ref="Extension" minOccurs="0" maxOccurs="unbounded"/>\r
 316     </xs:sequence>\r
 317     <xs:attribute name="method" type="xs:anyURI" use="optional"/>\r
 318   </xs:complexType>\r
 319 \r
 320   <xs:element name="DigSig" type="PublicKeyType">\r
 321     <xs:annotation>\r
 322       <xs:documentation>\r
 323         This element indicates that the Principal has been\r
 324         authenticated by a mechanism which involves the Principal computing a\r
 325         digital signature over at least challenge data provided by the IdP.\r
 326       </xs:documentation>\r
 327     </xs:annotation>\r
 328   </xs:element>\r
 329 \r
 330   <xs:element name="AsymmetricDecryption" type="PublicKeyType">\r
 331     <xs:annotation>\r
 332       <xs:documentation>\r
 333         The local system has a private key but it is used\r
 334         in decryption mode, rather than signature mode. For example, the\r
 335         Authentication Authority generates a secret and encrypts it using the\r
 336         local system's public key: the local system then proves it has\r
 337         decrypted the secret.\r
 338       </xs:documentation>\r
 339     </xs:annotation>\r
 340   </xs:element>\r
 341 \r
 342   <xs:element name="AsymmetricKeyAgreement" type="PublicKeyType">\r
 343     <xs:annotation>\r
 344       <xs:documentation>\r
 345         The local system has a private key and uses it for\r
 346         shared secret key agreement with the Authentication Authority (e.g.\r
 347         via Diffie Helman).\r
 348       </xs:documentation>\r
 349     </xs:annotation>\r
 350   </xs:element>\r
 351 \r
 352   <xs:complexType name="PublicKeyType">\r
 353     <xs:sequence>\r
 354       <xs:element ref="Extension" minOccurs="0" maxOccurs="unbounded"/>\r
 355     </xs:sequence>\r
 356     <xs:attribute name="keyValidation" use="optional"/>\r
 357   </xs:complexType>\r
 358 \r
 359   <xs:element name="IPAddress" type="ExtensionOnlyType">\r
 360     <xs:annotation>\r
 361       <xs:documentation>\r
 362         This element indicates that the Principal has been\r
 363         authenticated through connection from a particular IP address.\r
 364       </xs:documentation>\r
 365     </xs:annotation>\r
 366   </xs:element>\r
 367 \r
 368   <xs:element name="SharedSecretDynamicPlaintext" type="ExtensionOnlyType">\r
 369     <xs:annotation>\r
 370       <xs:documentation>\r
 371         The local system and Authentication Authority\r
 372         share a secret key. The local system uses this to encrypt a\r
 373         randomised string to pass to the Authentication Authority.\r
 374       </xs:documentation>\r
 375     </xs:annotation>\r
 376   </xs:element>\r
 377 \r
 378   <xs:element name="AuthenticatorTransportProtocol" type="AuthenticatorTransportProtocolType">\r
 379     <xs:annotation>\r
 380       <xs:documentation>\r
 381         The protocol across which Authenticator information is\r
 382         transferred to an Authentication Authority verifier.\r
 383       </xs:documentation>\r
 384     </xs:annotation>\r
 385   </xs:element>\r
 386 \r
 387   <xs:element name="HTTP" type="ExtensionOnlyType">\r
 388     <xs:annotation>\r
 389       <xs:documentation>\r
 390         This element indicates that the Authenticator has been\r
 391         transmitted using bare HTTP utilizing no additional security\r
 392         protocols.\r
 393       </xs:documentation>\r
 394     </xs:annotation>\r
 395   </xs:element>\r
 396 \r
 397   <xs:element name="IPSec" type="ExtensionOnlyType">\r
 398     <xs:annotation>\r
 399       <xs:documentation>\r
 400         This element indicates that the Authenticator has been\r
 401         transmitted using a transport mechanism protected by an IPSEC session.\r
 402       </xs:documentation>\r
 403     </xs:annotation>\r
 404   </xs:element>\r
 405   \r
 406   <xs:element name="WTLS" type="ExtensionOnlyType">\r
 407     <xs:annotation>\r
 408       <xs:documentation>\r
 409         This element indicates that the Authenticator has been\r
 410         transmitted using a transport mechanism protected by a WTLS session.\r
 411       </xs:documentation>\r
 412     </xs:annotation>\r
 413   </xs:element>\r
 414 \r
 415   <xs:element name="MobileNetworkNoEncryption" type="ExtensionOnlyType">\r
 416     <xs:annotation>\r
 417       <xs:documentation>\r
 418         This element indicates that the Authenticator has been\r
 419         transmitted solely across a mobile network using no additional\r
 420         security mechanism.\r
 421       </xs:documentation>\r
 422     </xs:annotation>\r
 423   </xs:element>\r
 424 \r
 425   <xs:element name="MobileNetworkRadioEncryption" type="ExtensionOnlyType"/>\r
 426   <xs:element name="MobileNetworkEndToEndEncryption" type="ExtensionOnlyType"/>\r
 427 \r
 428   <xs:element name="SSL" type="ExtensionOnlyType">\r
 429     <xs:annotation>\r
 430       <xs:documentation>\r
 431         This element indicates that the Authenticator has been\r
 432         transmitted using a transport mechnanism protected by an SSL or TLS\r
 433         session.\r
 434       </xs:documentation>\r
 435     </xs:annotation>\r
 436   </xs:element>\r
 437   \r
 438   <xs:element name="PSTN" type="ExtensionOnlyType"/>\r
 439   <xs:element name="ISDN" type="ExtensionOnlyType"/>\r
 440   <xs:element name="ADSL" type="ExtensionOnlyType"/>\r
 441 \r
 442   <xs:element name="OperationalProtection" type="OperationalProtectionType">\r
 443     <xs:annotation>\r
 444       <xs:documentation>\r
 445         Refers to those characteristics that describe\r
 446         procedural security controls employed by the Authentication Authority.\r
 447       </xs:documentation>\r
 448     </xs:annotation>\r
 449   </xs:element>\r
 450 \r
 451   <xs:element name="SecurityAudit" type="SecurityAuditType"/>\r
 452   <xs:element name="SwitchAudit" type="ExtensionOnlyType"/>\r
 453   <xs:element name="DeactivationCallCenter" type="ExtensionOnlyType"/>\r
 454 \r
 455   <xs:element name="GoverningAgreements" type="GoverningAgreementsType">\r
 456     <xs:annotation>\r
 457       <xs:documentation>\r
 458         Provides a mechanism for linking to external (likely\r
 459         human readable) documents in which additional business agreements,\r
 460         (e.g. liability constraints, obligations, etc) can be placed.\r
 461       </xs:documentation>\r
 462     </xs:annotation>\r
 463   </xs:element>\r
 464 \r
 465   <xs:element name="GoverningAgreementRef" type="GoverningAgreementRefType"/>\r
 466 \r
 467   <xs:simpleType name="nymType">\r
 468     <xs:restriction base="xs:NMTOKEN">\r
 469       <xs:enumeration value="anonymity"/>\r
 470       <xs:enumeration value="verinymity"/>\r
 471       <xs:enumeration value="pseudonymity"/>\r
 472     </xs:restriction>\r
 473   </xs:simpleType>\r
 474 \r
 475   <xs:complexType name="AuthnContextDeclarationBaseType">\r
 476     <xs:sequence>\r
 477       <xs:element ref="Identification" minOccurs="0"/>\r
 478       <xs:element ref="TechnicalProtection" minOccurs="0"/>\r
 479       <xs:element ref="OperationalProtection" minOccurs="0"/>\r
 480       <xs:element ref="AuthnMethod" minOccurs="0"/>\r
 481       <xs:element ref="GoverningAgreements" minOccurs="0"/>\r
 482       <xs:element ref="Extension" minOccurs="0" maxOccurs="unbounded"/>\r
 483     </xs:sequence>\r
 484     <xs:attribute name="ID" type="xs:ID" use="optional"/>\r
 485   </xs:complexType>\r
 486   \r
 487   <xs:complexType name="IdentificationType">\r
 488     <xs:sequence>\r
 489       <xs:element ref="PhysicalVerification" minOccurs="0"/>\r
 490       <xs:element ref="WrittenConsent" minOccurs="0"/>\r
 491       <xs:element ref="GoverningAgreements" minOccurs="0"/>\r
 492       <xs:element ref="Extension" minOccurs="0" maxOccurs="unbounded"/>\r
 493     </xs:sequence>\r
 494     <xs:attribute name="nym" type="nymType">\r
 495       <xs:annotation>\r
 496         <xs:documentation>\r
 497           This attribute indicates whether or not the\r
 498           Identification mechanisms allow the actions of the Principal to be\r
 499           linked to an actual end user.\r
 500         </xs:documentation>\r
 501       </xs:annotation>\r
 502     </xs:attribute>\r
 503   </xs:complexType>\r
 504 \r
 505   <xs:complexType name="TechnicalProtectionBaseType">\r
 506     <xs:sequence>\r
 507       <xs:choice minOccurs="0">\r
 508         <xs:element ref="PrivateKeyProtection"/>\r
 509         <xs:element ref="SecretKeyProtection"/>\r
 510       </xs:choice>\r
 511       <xs:element ref="Extension" minOccurs="0" maxOccurs="unbounded"/>\r
 512     </xs:sequence>\r
 513   </xs:complexType>\r
 514 \r
 515   <xs:complexType name="OperationalProtectionType">\r
 516     <xs:sequence>\r
 517       <xs:element ref="SecurityAudit" minOccurs="0"/>\r
 518       <xs:element ref="DeactivationCallCenter" minOccurs="0"/>\r
 519       <xs:element ref="Extension" minOccurs="0" maxOccurs="unbounded"/>\r
 520     </xs:sequence>\r
 521   </xs:complexType>\r
 522 \r
 523   <xs:complexType name="AuthnMethodBaseType">\r
 524     <xs:sequence>\r
 525       <xs:element ref="PrincipalAuthenticationMechanism" minOccurs="0"/>\r
 526       <xs:element ref="Authenticator" minOccurs="0"/>\r
 527       <xs:element ref="AuthenticatorTransportProtocol" minOccurs="0"/>\r
 528       <xs:element ref="Extension" minOccurs="0" maxOccurs="unbounded"/>\r
 529     </xs:sequence>\r
 530   </xs:complexType>\r
 531 \r
 532   <xs:complexType name="GoverningAgreementsType">\r
 533     <xs:sequence>\r
 534       <xs:element ref="GoverningAgreementRef" maxOccurs="unbounded"/>\r
 535     </xs:sequence>\r
 536   </xs:complexType>\r
 537 \r
 538   <xs:complexType name="GoverningAgreementRefType">\r
 539     <xs:attribute name="governingAgreementRef" type="xs:anyURI" use="required"/>\r
 540   </xs:complexType>\r
 541 \r
 542   <xs:complexType name="PrincipalAuthenticationMechanismType">\r
 543     <xs:sequence>\r
 544       <xs:element ref="Password" minOccurs="0"/>\r
 545       <xs:element ref="RestrictedPassword" minOccurs="0"/>\r
 546       <xs:element ref="Token" minOccurs="0"/>\r
 547       <xs:element ref="Smartcard" minOccurs="0"/>\r
 548       <xs:element ref="ActivationPin" minOccurs="0"/>\r
 549       <xs:element ref="Extension" minOccurs="0" maxOccurs="unbounded"/>\r
 550     </xs:sequence>\r
 551     <xs:attribute name="preauth" type="xs:integer" use="optional"/>\r
 552   </xs:complexType>\r
 553   \r
 554   <xs:group name="AuthenticatorChoiceGroup">\r
 555     <xs:choice>\r
 556       <xs:element ref="PreviousSession"/>\r
 557       <xs:element ref="ResumeSession"/>\r
 558       <xs:element ref="DigSig"/>\r
 559       <xs:element ref="Password"/>\r
 560       <xs:element ref="RestrictedPassword"/>\r
 561       <xs:element ref="ZeroKnowledge"/>\r
 562       <xs:element ref="SharedSecretChallengeResponse"/>\r
 563       <xs:element ref="SharedSecretDynamicPlaintext"/>\r
 564       <xs:element ref="IPAddress"/>\r
 565       <xs:element ref="AsymmetricDecryption"/>\r
 566       <xs:element ref="AsymmetricKeyAgreement"/>\r
 567       <xs:element ref="SubscriberLineNumber"/>\r
 568       <xs:element ref="UserSuffix"/>\r
 569       <xs:element ref="ComplexAuthenticator"/>\r
 570     </xs:choice>\r
 571   </xs:group>\r
 572   \r
 573   <xs:group name="AuthenticatorSequenceGroup">\r
 574     <xs:sequence>\r
 575       <xs:element ref="PreviousSession" minOccurs="0"/>\r
 576       <xs:element ref="ResumeSession" minOccurs="0"/>\r
 577       <xs:element ref="DigSig" minOccurs="0"/>\r
 578       <xs:element ref="Password" minOccurs="0"/>\r
 579       <xs:element ref="RestrictedPassword" minOccurs="0"/>\r
 580       <xs:element ref="ZeroKnowledge" minOccurs="0"/>\r
 581       <xs:element ref="SharedSecretChallengeResponse" minOccurs="0"/>\r
 582       <xs:element ref="SharedSecretDynamicPlaintext" minOccurs="0"/>\r
 583       <xs:element ref="IPAddress" minOccurs="0"/>\r
 584       <xs:element ref="AsymmetricDecryption" minOccurs="0"/>\r
 585       <xs:element ref="AsymmetricKeyAgreement" minOccurs="0"/>\r
 586       <xs:element ref="SubscriberLineNumber" minOccurs="0"/>\r
 587       <xs:element ref="UserSuffix" minOccurs="0"/>\r
 588       <xs:element ref="Extension" minOccurs="0" maxOccurs="unbounded"/>\r
 589     </xs:sequence>\r
 590   </xs:group>\r
 591 \r
 592   <xs:complexType name="AuthenticatorBaseType">\r
 593     <xs:sequence>\r
 594       <xs:group ref="AuthenticatorChoiceGroup"/>\r
 595       <xs:group ref="AuthenticatorSequenceGroup"/>\r
 596     </xs:sequence>\r
 597   </xs:complexType>\r
 598   \r
 599   <xs:complexType name="ComplexAuthenticatorType">\r
 600     <xs:sequence>\r
 601       <xs:group ref="AuthenticatorChoiceGroup"/>\r
 602       <xs:group ref="AuthenticatorSequenceGroup"/>\r
 603     </xs:sequence>\r
 604   </xs:complexType>\r
 605   \r
 606   <xs:complexType name="AuthenticatorTransportProtocolType">\r
 607     <xs:sequence>\r
 608       <xs:choice minOccurs="0">\r
 609         <xs:element ref="HTTP"/>\r
 610         <xs:element ref="SSL"/>\r
 611         <xs:element ref="MobileNetworkNoEncryption"/>\r
 612         <xs:element ref="MobileNetworkRadioEncryption"/>\r
 613         <xs:element ref="MobileNetworkEndToEndEncryption"/>\r
 614         <xs:element ref="WTLS"/>\r
 615         <xs:element ref="IPSec"/>\r
 616         <xs:element ref="PSTN"/>\r
 617         <xs:element ref="ISDN"/>\r
 618         <xs:element ref="ADSL"/>\r
 619       </xs:choice>\r
 620       <xs:element ref="Extension" minOccurs="0" maxOccurs="unbounded"/>\r
 621     </xs:sequence>\r
 622   </xs:complexType>\r
 623 \r
 624   <xs:complexType name="KeyActivationType">\r
 625     <xs:sequence>\r
 626       <xs:element ref="ActivationPin" minOccurs="0"/>\r
 627       <xs:element ref="Extension" minOccurs="0" maxOccurs="unbounded"/>\r
 628     </xs:sequence>\r
 629   </xs:complexType>\r
 630 \r
 631   <xs:complexType name="KeySharingType">\r
 632     <xs:attribute name="sharing" type="xs:boolean" use="required"/>\r
 633   </xs:complexType>\r
 634 \r
 635   <xs:complexType name="PrivateKeyProtectionType">\r
 636     <xs:sequence>\r
 637       <xs:element ref="KeyActivation" minOccurs="0"/>\r
 638       <xs:element ref="KeyStorage" minOccurs="0"/>\r
 639       <xs:element ref="KeySharing" minOccurs="0"/>\r
 640       <xs:element ref="Extension" minOccurs="0" maxOccurs="unbounded"/>\r
 641     </xs:sequence>\r
 642   </xs:complexType>\r
 643 \r
 644   <xs:complexType name="PasswordType">\r
 645     <xs:sequence>\r
 646       <xs:element ref="Length" minOccurs="0"/>\r
 647       <xs:element ref="Alphabet" minOccurs="0"/>\r
 648       <xs:element ref="Generation" minOccurs="0"/>\r
 649       <xs:element ref="Extension" minOccurs="0" maxOccurs="unbounded"/>\r
 650     </xs:sequence>\r
 651     <xs:attribute name="ExternalVerification" type="xs:anyURI" use="optional"/>\r
 652   </xs:complexType>\r
 653 \r
 654   <xs:element name="RestrictedPassword" type="RestrictedPasswordType"/>\r
 655 \r
 656   <xs:complexType name="RestrictedPasswordType">\r
 657     <xs:complexContent>\r
 658       <xs:restriction base="PasswordType">\r
 659         <xs:sequence>\r
 660           <xs:element name="Length" type="RestrictedLengthType" minOccurs="1"/>\r
 661           <xs:element ref="Generation" minOccurs="0"/>\r
 662           <xs:element ref="Extension" minOccurs="0" maxOccurs="unbounded"/>\r
 663         </xs:sequence>\r
 664         <xs:attribute name="ExternalVerification" type="xs:anyURI" use="optional"/>\r
 665       </xs:restriction>\r
 666     </xs:complexContent>\r
 667   </xs:complexType>\r
 668   \r
 669   <xs:complexType name="RestrictedLengthType">\r
 670     <xs:complexContent>\r
 671       <xs:restriction base="LengthType">\r
 672         <xs:attribute name="min" use="required">\r
 673           <xs:simpleType>\r
 674             <xs:restriction base="xs:integer">\r
 675               <xs:minInclusive value="3"/>\r
 676             </xs:restriction>\r
 677           </xs:simpleType>\r
 678         </xs:attribute>\r
 679         <xs:attribute name="max" type="xs:integer" use="optional"/>\r
 680       </xs:restriction>\r
 681     </xs:complexContent>\r
 682   </xs:complexType>\r
 683 \r
 684   <xs:complexType name="ActivationPinType">\r
 685     <xs:sequence>\r
 686       <xs:element ref="Length" minOccurs="0"/>\r
 687       <xs:element ref="Alphabet" minOccurs="0"/>\r
 688       <xs:element ref="Generation" minOccurs="0"/>\r
 689       <xs:element ref="ActivationLimit" minOccurs="0"/>\r
 690       <xs:element ref="Extension" minOccurs="0" maxOccurs="unbounded"/>\r
 691     </xs:sequence>\r
 692   </xs:complexType>\r
 693   \r
 694   <xs:element name="Alphabet" type="AlphabetType"/>\r
 695   <xs:complexType name="AlphabetType">\r
 696     <xs:attribute name="requiredChars" type="xs:string" use="required"/>\r
 697     <xs:attribute name="excludedChars" type="xs:string" use="optional"/>\r
 698     <xs:attribute name="case" type="xs:string" use="optional"/>\r
 699   </xs:complexType>\r
 700   \r
 701   <xs:complexType name="TokenType">\r
 702     <xs:sequence>\r
 703       <xs:element ref="TimeSyncToken"/>\r
 704       <xs:element ref="Extension" minOccurs="0" maxOccurs="unbounded"/>\r
 705     </xs:sequence>\r
 706   </xs:complexType>\r
 707   \r
 708   <xs:simpleType name="DeviceTypeType">\r
 709     <xs:restriction base="xs:NMTOKEN">\r
 710       <xs:enumeration value="hardware"/>\r
 711       <xs:enumeration value="software"/>\r
 712     </xs:restriction>\r
 713   </xs:simpleType>\r
 714   \r
 715   <xs:simpleType name="booleanType">\r
 716     <xs:restriction base="xs:NMTOKEN">\r
 717       <xs:enumeration value="true"/>\r
 718       <xs:enumeration value="false"/>\r
 719     </xs:restriction>\r
 720   </xs:simpleType>\r
 721   \r
 722   <xs:complexType name="TimeSyncTokenType">\r
 723     <xs:attribute name="DeviceType" type="DeviceTypeType" use="required"/>\r
 724     <xs:attribute name="SeedLength" type="xs:integer" use="required"/>\r
 725     <xs:attribute name="DeviceInHand" type="booleanType" use="required"/>\r
 726   </xs:complexType>\r
 727   \r
 728   <xs:complexType name="ActivationLimitType">\r
 729     <xs:choice>\r
 730       <xs:element ref="ActivationLimitDuration"/>\r
 731       <xs:element ref="ActivationLimitUsages"/>\r
 732       <xs:element ref="ActivationLimitSession"/>\r
 733     </xs:choice>\r
 734   </xs:complexType>\r
 735   \r
 736   <xs:element name="ActivationLimitDuration" type="ActivationLimitDurationType">\r
 737     <xs:annotation>\r
 738       <xs:documentation>\r
 739         This element indicates that the Key Activation Limit is\r
 740         defined as a specific duration of time.\r
 741       </xs:documentation>\r
 742     </xs:annotation>\r
 743   </xs:element>\r
 744   \r
 745   <xs:element name="ActivationLimitUsages" type="ActivationLimitUsagesType">\r
 746     <xs:annotation>\r
 747       <xs:documentation>\r
 748         This element indicates that the Key Activation Limit is\r
 749         defined as a number of usages.\r
 750       </xs:documentation>\r
 751     </xs:annotation>\r
 752   </xs:element>\r
 753   \r
 754   <xs:element name="ActivationLimitSession" type="ActivationLimitSessionType">\r
 755     <xs:annotation>\r
 756       <xs:documentation>\r
 757         This element indicates that the Key Activation Limit is\r
 758         the session.\r
 759       </xs:documentation>\r
 760     </xs:annotation>\r
 761   </xs:element>\r
 762   \r
 763   <xs:complexType name="ActivationLimitDurationType">\r
 764     <xs:attribute name="duration" type="xs:duration" use="required"/>\r
 765   </xs:complexType>\r
 766   \r
 767   <xs:complexType name="ActivationLimitUsagesType">\r
 768     <xs:attribute name="number" type="xs:integer" use="required"/>\r
 769   </xs:complexType>\r
 770   \r
 771   <xs:complexType name="ActivationLimitSessionType"/>\r
 772   \r
 773   <xs:complexType name="LengthType">\r
 774     <xs:attribute name="min" type="xs:integer" use="required"/>\r
 775     <xs:attribute name="max" type="xs:integer" use="optional"/>\r
 776   </xs:complexType>\r
 777 \r
 778   <xs:simpleType name="mediumType">\r
 779     <xs:restriction base="xs:NMTOKEN">\r
 780       <xs:enumeration value="memory"/>\r
 781       <xs:enumeration value="smartcard"/>\r
 782       <xs:enumeration value="token"/>\r
 783       <xs:enumeration value="MobileDevice"/>\r
 784       <xs:enumeration value="MobileAuthCard"/>\r
 785     </xs:restriction>\r
 786   </xs:simpleType>\r
 787 \r
 788   <xs:complexType name="KeyStorageType">\r
 789     <xs:attribute name="medium" type="mediumType" use="required"/>\r
 790   </xs:complexType>\r
 791 \r
 792   <xs:complexType name="SecretKeyProtectionType">\r
 793     <xs:sequence>\r
 794       <xs:element ref="KeyActivation" minOccurs="0"/>\r
 795       <xs:element ref="KeyStorage" minOccurs="0"/>\r
 796       <xs:element ref="Extension" minOccurs="0" maxOccurs="unbounded"/>\r
 797     </xs:sequence>\r
 798   </xs:complexType>\r
 799 \r
 800   <xs:complexType name="SecurityAuditType">\r
 801     <xs:sequence>\r
 802       <xs:element ref="SwitchAudit" minOccurs="0"/>\r
 803       <xs:element ref="Extension" minOccurs="0" maxOccurs="unbounded"/>\r
 804     </xs:sequence>\r
 805   </xs:complexType>\r
 806 \r
 807   <xs:complexType name="ExtensionOnlyType">\r
 808     <xs:sequence>\r
 809       <xs:element ref="Extension" minOccurs="0"  maxOccurs="unbounded"/>\r
 810     </xs:sequence>\r
 811   </xs:complexType>\r
 812   \r
 813   <xs:element name="Extension" type="ExtensionType"/>\r
 814 \r
 815   <xs:complexType name="ExtensionType">\r
 816     <xs:sequence>\r
 817       <xs:any namespace="##other" processContents="lax" maxOccurs="unbounded"/>\r
 818     </xs:sequence>\r
 819   </xs:complexType>\r
 820 \r
 821 </xs:schema>\r