專利名稱：一種安全系統(tǒng)及方法
技術(shù)領(lǐng)域：
本發(fā)明屬于信息安全領(lǐng)域。本發(fā)明涉及的是一種安全支付的系統(tǒng)及方法。具體地 說，涉及一種可以在可能不安全的聯(lián)網(wǎng)計(jì)算機(jī)客戶端上安全支付的系統(tǒng)及方法。
背景技術(shù)：
網(wǎng)絡(luò)銀行由于其巨大的方便性，受到大家的普遍重視。但是，由于其安全性沒有得 到很好地解決，所以并沒有得到很好地普及。為此，業(yè)界提出了大量的專利及非常多的解 決方案。但是所有這些方案都沒能達(dá)到安全與易用性的完美統(tǒng)一。在《計(jì)算機(jī)世界報(bào)》一 篇文章“SSL難保電子商務(wù)安全”(計(jì)算機(jī)世界報(bào)2006年05月四日)中，描述了現(xiàn)在計(jì) 算機(jī)木馬攻擊銀行系統(tǒng)的進(jìn)展及各種對抗方法，具體內(nèi)容可以參見本發(fā)明人的專利申請文 件(ZL200610041361. 6 一種不依賴操作系統(tǒng)安全的安全使用網(wǎng)絡(luò)服務(wù)器服務(wù)的裝置和方 法)。事實(shí)上這些木馬攻擊，加以改造甚至可以攻破現(xiàn)在銀行認(rèn)為最安全的USBKEY數(shù)字證 書系統(tǒng)。申請人認(rèn)為，造成這種情況的根本原因是，用戶無法準(zhǔn)確判斷計(jì)算機(jī)終端是否處于 安全狀態(tài)。而計(jì)算機(jī)終端不安全時(shí)，任何需要計(jì)算機(jī)終端提供最基本安全保證的方案，實(shí)際 上都可能不安全。例如，一般計(jì)算機(jī)終端用戶所相信的自己敲擊的鍵盤及計(jì)算機(jī)終端屏幕的顯示都 可能有安全問題。例如，當(dāng)用戶希望給張三支付300元，計(jì)算機(jī)終端顯示支付張三300元， 并要求用戶確認(rèn)簽名；用戶可以使用包括數(shù)字簽名或支付密碼等各種確認(rèn)手段；但是，實(shí) 際上是計(jì)算機(jī)木馬要求用戶確認(rèn)給李四支付十萬元。造成這種不安全的根本原因是，當(dāng)計(jì) 算機(jī)終端不安全時(shí)，所有你在計(jì)算機(jī)終端上看到的信息可能都不真實(shí)。目前黑客攻擊的主要手段是中間人攻擊，將來還有模擬操作攻擊及視覺詐騙攻 擊。模擬操作攻擊就是，當(dāng)計(jì)算機(jī)用戶把USBKEY數(shù)字證書插入計(jì)算機(jī)準(zhǔn)備進(jìn)行交易時(shí)，木 馬采取模擬用戶鍵盤及鼠標(biāo)的操作實(shí)施攻擊如，修改交易對象、修改交易價(jià)格、修改交易 數(shù)量。視覺詐騙攻擊是模擬操作攻擊的高級方式，可以修改IE的URL，甚至當(dāng)用戶輸入正確 的URL時(shí)，木馬程序讓IE顯示正確的URL，但是內(nèi)部的URL是詐騙者的地址，模擬銀行網(wǎng)站 實(shí)施詐騙?，F(xiàn)在有很多安全人員，把以上提到的攻擊網(wǎng)絡(luò)銀行計(jì)算機(jī)客戶端的方法用其他 兩個(gè)詞來定義“機(jī)器劫持”和“數(shù)據(jù)篡改”?；蛘?，用“所見非所簽”表示該種不安全狀態(tài)； 用“所見即所簽”表示希望達(dá)到的安全目的。關(guān)于計(jì)算機(jī)終端安全的最原始的專利申請是“計(jì)算機(jī)系統(tǒng)中用于安全交易的方法 和系統(tǒng)”(中國專利申請CN99806523. 4)。該方案就是采用另一臺(tái)可信計(jì)算機(jī)來解決聯(lián)網(wǎng)計(jì) 算機(jī)終端的不可信問題，即使用不可信聯(lián)網(wǎng)計(jì)算機(jī)終端和一個(gè)可信計(jì)算機(jī)組成系統(tǒng)來解決 安全問題。隨著技術(shù)的進(jìn)步，可信計(jì)算機(jī)的主機(jī)(CPU)越來越便宜。由于便攜的要求及盡量 不改變?nèi)藗兪褂糜?jì)算機(jī)終端習(xí)慣的要求，使人們提出了很多改進(jìn)的技術(shù)方案。例如，目前普 遍使用的USBKEY證書，實(shí)質(zhì)就是“計(jì)算機(jī)系統(tǒng)中用于安全交易的方法和系統(tǒng)”方案中，取消 可信鍵盤及可信顯示器的可信計(jì)算機(jī)方案。也可以說USBKEY就是沒有鍵盤及顯示器的可信計(jì)算機(jī)。這個(gè)方案雖然滿足了便攜及盡量不改變?nèi)藗兪褂糜?jì)算機(jī)終端習(xí)慣的要求，但是 降低了安全性。也就是說該方案不能保證計(jì)算機(jī)鍵盤輸入的不被篡改，也不能保證顯示屏 幕上顯示數(shù)據(jù)的準(zhǔn)確性。當(dāng)然USBKEY還是應(yīng)該具有CPU、顯示器及鍵盤，這樣才能構(gòu)成一個(gè)完整的可信計(jì) 算機(jī)，符合“計(jì)算機(jī)系統(tǒng)中用于安全交易的方法和系統(tǒng)”(中國專利申請CN99806523.4)中 可信計(jì)算機(jī)的要求。但是，這樣的USBKEY不易攜帶，所以必須對顯示器及鍵盤進(jìn)行簡化。工 行的第二代U盾，把顯示器簡化成只顯示一行，依靠移動(dòng)行來顯示完整的信息；鍵盤簡化成 五個(gè)鍵，并通過復(fù)雜的方式輸入敏感數(shù)據(jù)(PIN)。該產(chǎn)品在帶來安全性的同時(shí)，極大地?fù)p失 了方便性及易用性。目前，國際信用卡組織的新信用卡標(biāo)準(zhǔn)的EMV卡也是只有CPU的卡，本質(zhì)上與 USBKEY完全一致。USBKEY數(shù)字證書目前是網(wǎng)上銀行應(yīng)用十分廣泛且比較安全方式，比如網(wǎng) 銀盾、U盾、U寶及EMV卡等都可以是USBKEY數(shù)字證書的載體。在本專利申請中，我們把具有CPU的便攜設(shè)備(或與計(jì)算機(jī)終端連接使用的帶CPU 的設(shè)備)均稱為CPU卡。顯然，USBKEY是CPU卡；帶顯示及鍵盤的第二代USBKEY也是CPU 卡；符合國際EMV遷移的新的帶CPU的信用卡也是CPU卡；植入計(jì)算機(jī)終端的帶CPU的安全 模塊(如TPM)也是CPU卡；如果手機(jī)與計(jì)算機(jī)終端相互通訊進(jìn)行安全認(rèn)證、數(shù)字簽名或銀 行支付也是CPU卡，但是如果手機(jī)直接通過無線網(wǎng)(如移動(dòng)或聯(lián)通)進(jìn)行安全認(rèn)證、數(shù)字簽 名或銀行支付則不是CPU卡，而是計(jì)算機(jī)終端；但是如果手機(jī)中有相當(dāng)于TPM的安全模塊， 則該模塊是CPU卡，而手機(jī)是計(jì)算機(jī)終端。CPU卡中可以有數(shù)字證書，也可以沒有數(shù)字證書。總之，CPU卡是通過與計(jì)算機(jī)終端進(jìn)行信息交互，并通過計(jì)算機(jī)終端與服務(wù)器交互 信息，從而獲得服務(wù)器服務(wù)的便攜設(shè)備。在本專利申請中，我們把能夠接收到CPU卡的信息，并能把該信息傳達(dá)到人的便 攜設(shè)備，稱為用戶終端(手持設(shè)備)。傳達(dá)信息到人，可以有多種方式。例如，可以采取顯示 屏顯示數(shù)據(jù)的方式、也可以采取設(shè)備發(fā)聲閱讀的方式使人聽到數(shù)據(jù)的方式，等等。顯然滿足 該條件的最普通的設(shè)備是移動(dòng)通訊終端，即手機(jī)；也可以是為本發(fā)明專門設(shè)計(jì)的手持設(shè)備， 當(dāng)然也可以就是聯(lián)網(wǎng)的計(jì)算機(jī)終端。一般CPU卡使用網(wǎng)銀的方法是當(dāng)用戶登陸網(wǎng)銀系統(tǒng)的時(shí)候，在計(jì)算機(jī)終端上插 入CPU卡；然后在計(jì)算機(jī)上輸入PIN碼，如果驗(yàn)證通過，則可以進(jìn)行進(jìn)一步的相關(guān)操作；然 后在計(jì)算機(jī)終端上輸入或產(chǎn)生交易關(guān)鍵數(shù)據(jù)(名稱、賬號、金額)，并傳送到CPU卡；然后 CPU卡對關(guān)鍵交易數(shù)據(jù)進(jìn)行簽名，并傳送回計(jì)算機(jī)終端，再通過計(jì)算機(jī)網(wǎng)絡(luò)傳送到網(wǎng)銀服務(wù) 器確認(rèn)簽名，完成交易。這種CPU卡認(rèn)證方式可以是基于PKI公鑰體系，私鑰安全地保存在 CPU卡中，符合國家對網(wǎng)上金融交易的安全要求。當(dāng)然CPU卡可以不使用PKI公鑰體系及數(shù) 字簽名方式，而采用其他安全協(xié)議來實(shí)現(xiàn)服務(wù)。然而，當(dāng)前使用CPU卡的方法并不是絕對安全。廣泛應(yīng)用的普通CPU卡(不帶液 晶和按鍵)實(shí)際存在“所見非所簽”的安全漏洞。計(jì)算機(jī)終端與CPU卡交互操作存在被中 間人攻擊的漏洞，無法防止待簽名數(shù)據(jù)被篡改后傳送到CPU卡。另外，黑客還可以遠(yuǎn)程控制 計(jì)算機(jī)終端，在后臺(tái)篡改需要CPU卡簽名的交易數(shù)據(jù)，而客戶卻無法知曉。有效防范“所見 非所簽”的關(guān)鍵就是在于要讓用戶知道CPU卡內(nèi)的真實(shí)待簽名數(shù)據(jù)，并可以對篡改過的CPU 卡內(nèi)的交易數(shù)據(jù)拒絕簽名。
4
目前網(wǎng)銀交易中，防范“所見非所簽”的方式主要是通過在普通CPU卡上增加顯示 模塊和按鍵模塊，實(shí)現(xiàn)“屏幕確認(rèn)”或者“輸入確認(rèn)”的功能。即通常所說的“所見即所簽”。用戶在交易時(shí)，需要用戶對網(wǎng)銀交易數(shù)據(jù)進(jìn)行確認(rèn)，使得攻擊者無法暗中篡改網(wǎng) 銀交易數(shù)據(jù)，從而保證合法用戶賬戶的安全。屏幕確認(rèn)即指用戶在交易時(shí)，會(huì)對顯示在CPU 卡顯示模塊上的交易數(shù)據(jù)進(jìn)行核實(shí)，以達(dá)到確認(rèn)的目的。輸入確認(rèn)是指用戶在交易的時(shí)候， 需要將部分交易關(guān)鍵數(shù)據(jù)，比如對方姓名、賬號、交易金額等在CPU卡的輸入模塊上以物理 輸入的方式進(jìn)行確認(rèn)，杜絕攻擊者篡改簽名內(nèi)容的機(jī)會(huì)?？傊?，就是想辦法讓用戶確認(rèn)處于 CPU卡中的待簽名或待使用的數(shù)據(jù)的準(zhǔn)確性。中國專利申請ZL9912388 “互聯(lián)網(wǎng)上加手機(jī)聲響保障錢款支付安全方法及相應(yīng)系 統(tǒng)”及中國專利申請ZL02116722 “手機(jī)來電顯示信息的多種金融卡支付確認(rèn)電訊方法及系 統(tǒng)”中，提出的一種方式是銀行服務(wù)器將關(guān)鍵交易數(shù)據(jù)及一個(gè)由銀行服務(wù)器產(chǎn)生動(dòng)態(tài)的確 認(rèn)口令，通過手機(jī)短信方式告訴客戶，如果客戶認(rèn)為關(guān)鍵交易數(shù)據(jù)無誤，在計(jì)算機(jī)終端上輸 入確認(rèn)口令，傳送到銀行確認(rèn)并完成交易。該方案的本質(zhì)就是把關(guān)鍵數(shù)據(jù)傳送到銀行，然后 想辦法讓用戶確認(rèn)已經(jīng)處于銀行服務(wù)器中的待使用的數(shù)據(jù)。這種方式也可以解決“所見非 所簽”問題，但是該方案不能由CPU卡對交易數(shù)據(jù)進(jìn)行數(shù)字簽名，只能對傳送到銀行服務(wù)器 的交易數(shù)據(jù)進(jìn)行確認(rèn)，所以不是完美的方案；或者說，錯(cuò)誤的經(jīng)過簽名的數(shù)據(jù)，從銀行服務(wù) 器傳送到用戶手機(jī)，并且沒有得到用戶確認(rèn)，但銀行仍然錯(cuò)誤地接受后，從法律上看損失還 是將由用戶承擔(dān)。所以該方案是一個(gè)有一定缺陷的方案。所以，用戶希望所有送到銀行服務(wù)器的數(shù)據(jù)都是用戶希望送出的數(shù)據(jù)、所有在顯 示屏幕上看到的數(shù)據(jù)都是銀行送回的真實(shí)數(shù)據(jù)或用戶自己輸入的真實(shí)數(shù)據(jù)。這就是目前銀 行支付安全領(lǐng)域所希望的所謂的“所見即所簽”。目前在所有其他計(jì)算機(jī)客戶端的安全方案中，或多或少或不自覺地認(rèn)為計(jì)算機(jī)客 戶端有一定的安全性，實(shí)際上造成所有的方案都有這樣那樣的安全漏洞。而我們的出發(fā)點(diǎn) 就是，認(rèn)為客戶端就是木馬，而不僅僅是可能有木馬。我們假設(shè)操作系統(tǒng)就是黑客編的木 馬，黑客完全掌握了該客戶端，而用戶完全不應(yīng)該相信該計(jì)算機(jī)客戶端的安全性。從用戶的 角度來看，他只是希望計(jì)算機(jī)客戶端能正確地幫他處理問題，而并不在乎計(jì)算機(jī)客戶端是 不是安全。當(dāng)計(jì)算機(jī)客戶端不安全時(shí)，顯然上述希望不可能都成立。但是本發(fā)明人認(rèn)為可以 接受的安全是，當(dāng)用戶按照計(jì)算機(jī)客戶端屏幕顯示正常操作后，即使數(shù)據(jù)被篡改也不能使 用戶產(chǎn)生實(shí)際損失；也不能因?yàn)橛?jì)算機(jī)客戶端屏幕的虛假顯示，使用戶根據(jù)這些顯示正常 操作后產(chǎn)生實(shí)際損失。不產(chǎn)生實(shí)際損失的意思是，產(chǎn)生的結(jié)果就是該終端壞了不能用而已。最重要的一點(diǎn)就是，在網(wǎng)絡(luò)服務(wù)器端得到的數(shù)據(jù)必須肯定是操作者認(rèn)可的，至少 必須保證銀行服務(wù)器得到的有法律意義的交易數(shù)據(jù)必須肯定是操作者認(rèn)可的。中國專利申請ZL200410103401. 6“一種增強(qiáng)計(jì)算機(jī)上使用電子簽名工具安全性的 方法”，聯(lián)網(wǎng)獲得授權(quán)才能使用簽名工具。利用對方計(jì)算機(jī)對待簽名數(shù)據(jù)的簽名，反解后與 待簽名數(shù)據(jù)比較，正確后才進(jìn)行簽名。安全性只有對方計(jì)算機(jī)及本地計(jì)算機(jī)均被攻破后才 行，當(dāng)然也可以篡改兩個(gè)原始數(shù)據(jù)達(dá)到攻擊的目的。并沒有解決計(jì)算機(jī)客戶端不安全后，如 何安全使用銀行支付的問題。中國專利申請ZL200910008843“對智能密碼鑰匙進(jìn)行可信數(shù)字簽名的裝置及其工作方法”中，公開了一種針對智能密碼鑰匙進(jìn)行可信數(shù)字簽名的裝置及其工作方法。通過所 述工作方法可將智能密碼鑰匙內(nèi)的關(guān)鍵簽名數(shù)據(jù)，在裝置上由客戶以物理確認(rèn)方式加以確 認(rèn)。所述裝置將經(jīng)過確認(rèn)的關(guān)鍵簽名數(shù)據(jù)處理后，和關(guān)鍵簽名數(shù)據(jù)組合在一起交給普通智 能密碼鑰匙進(jìn)行數(shù)字簽名，并傳回至服務(wù)器，由服務(wù)器判斷簽名的有效性和正確性，以實(shí)現(xiàn) 用戶對普通智能密碼鑰匙簽名數(shù)據(jù)的可信確認(rèn)。中國專利文獻(xiàn)ZL200910008843“對智能密碼鑰匙進(jìn)行可信數(shù)字簽名的裝置及其工 作方法”、中國專利文獻(xiàn)ZL02116722“手機(jī)來電顯示信息的多種金融卡支付確認(rèn)電訊方法及 系統(tǒng)”、中國專利文獻(xiàn)9912388 “互聯(lián)網(wǎng)上加手機(jī)聲響保障錢款支付安全方法及相應(yīng)系統(tǒng)”、 《計(jì)算機(jī)世界報(bào)》文章“SSL難保電子商務(wù)安全”(計(jì)算機(jī)世界報(bào)2006年05月四日)、中國 專利文獻(xiàn)ZL200610041361. 6“一種不依賴操作系統(tǒng)安全的安全使用網(wǎng)絡(luò)服務(wù)器服務(wù)的裝置 和方法”、中國專利文獻(xiàn)CN99806523. 4“計(jì)算機(jī)系統(tǒng)中用于安全交易的方法和系統(tǒng)”、中國專 利文獻(xiàn)ZL200410103401.6 “一種增強(qiáng)計(jì)算機(jī)上使用電子簽名工具安全性的方法”等以上所 提到的所有專利文獻(xiàn)都是本專利實(shí)現(xiàn)的背景文件，為了節(jié)省本專利說明書的篇幅，申請人 把上述所有專利文獻(xiàn)的說明書都作為本專利申請的一部分，表示已經(jīng)把這些申請文件寫入 了本說明書。

發(fā)明內(nèi)容
有顯示模塊或鍵盤模塊的CPU卡，完全符合一個(gè)完整的可信計(jì)算機(jī)的要求，顯然 能夠滿足“所見即所簽”的要求。為了便于攜帶，只能把顯示模塊及輸入模塊做的很小。但 是，很小的屏幕不便于閱讀，小的鍵盤不便于操作；特別是CPU卡在使用時(shí)，大多需要物理 接入其他計(jì)算機(jī)終端，這樣使得CPU卡遠(yuǎn)離使用者，這就更使得小顯示模塊及小鍵盤模塊 顯得不易用。如果CPU卡采用無線與計(jì)算機(jī)終端連接，當(dāng)然可以避免距離問題；但是，CPU卡 必然有電池系統(tǒng)及充電問題。從歷史上看，曾經(jīng)就有具有CPU、顯示屏及薄膜鍵盤的SMART 卡，并沒有得到廣大用戶的認(rèn)可。另外，具有顯示屏及鍵盤的CPU卡可靠性差、成本更高體 積更大；由于大的體積，所以用戶不能像現(xiàn)在使用信用卡那樣，在一個(gè)錢包中放置多個(gè)帶顯 示模塊及鍵盤模塊的CPU卡。從現(xiàn)在人們的出行習(xí)慣來說，銀行卡及手機(jī)都是必帶物品；手機(jī)有顯示器及鍵盤， 充分利用手機(jī)是一個(gè)易用的方案。但是，手機(jī)可能也不是安全終端。所以可以利用手機(jī)及 CPU卡兩個(gè)物品來提高安全性。只要保證在其中一個(gè)物品是安全的，就可以保證支付安全； 比較差的情況就是兩個(gè)物品都不安全時(shí)，只要兩個(gè)物品中的“木馬”不是同一黑客所為還是 可以保證安全；更進(jìn)一步就是兩個(gè)物品中的“木馬”就是同一黑客所為，但是只要黑客很難 對應(yīng)該兩個(gè)物品，也還是安全。所以安全進(jìn)行數(shù)字簽名的方法，可以是當(dāng)通過計(jì)算機(jī)終端輸入待簽名數(shù)據(jù)，并傳 送到CPU卡；在CPU卡中，對待簽名數(shù)據(jù)簽名前，先由CPU卡產(chǎn)生一個(gè)一次性的確認(rèn)口令(動(dòng) 態(tài)密碼)，并將該確認(rèn)口令與待簽名數(shù)據(jù)同時(shí)以相對安全的方法通過計(jì)算機(jī)終端傳送給銀 行客戶；銀行客戶確認(rèn)該待簽名數(shù)據(jù)的準(zhǔn)確性后，在計(jì)算機(jī)終端上輸入對應(yīng)的確認(rèn)口令； CPU卡比較從計(jì)算機(jī)終端接收到的確認(rèn)口令與產(chǎn)生的確認(rèn)口令，一致則進(jìn)行相應(yīng)的數(shù)字簽 名，否則不進(jìn)行相應(yīng)的數(shù)字簽名。也可以使用普遍采用的輸入三次確認(rèn)口令不正確就取消 該待簽數(shù)據(jù)的方法來提高安全性。當(dāng)然CPU卡接受待簽名數(shù)據(jù)前，也可以先要求輸入身份認(rèn)證密碼(PIN)或身份認(rèn)證動(dòng)態(tài)密碼，防止多次輸入待簽名數(shù)據(jù)及確認(rèn)口令的攻擊。安全支付的目的就是“所見即所簽”。由于簽名的工作是在CPU卡中進(jìn)行，所以不 管計(jì)算機(jī)終端如何不安全，要進(jìn)行欺騙銀行服務(wù)器的工作，其欺騙的數(shù)據(jù)還是要使用CPU 卡內(nèi)的簽名功能。能不能實(shí)現(xiàn)“所見即所簽”，也可以換一種角度來說，即實(shí)現(xiàn)“所簽即所見”。即在 CPU卡使用關(guān)鍵數(shù)據(jù)之前，把該數(shù)據(jù)安全地提供給用戶，只有獲得用戶確認(rèn)后，CPU卡才能 使用該數(shù)據(jù)(例如數(shù)字簽名，修改CPU卡中的數(shù)據(jù))，并可以進(jìn)一步可以提供給銀行服務(wù)器 獲得相應(yīng)的服務(wù)。從安全的角度來看，一個(gè)可信終端應(yīng)該有鍵盤、顯示器及CPU;現(xiàn)在可以確認(rèn)的 是CPU安全，但是顯示及鍵盤可能不安全。利用手機(jī)只不過希望使用手機(jī)的顯示屏來顯 示信息。如果保證鍵盤是安全的，保證安全支付的方案就是本發(fā)明人的中國專利文獻(xiàn) ZL200610041361. 6 “一種不依賴操作系統(tǒng)安全的安全使用網(wǎng)絡(luò)服務(wù)器服務(wù)的裝置和方法”。 但是，由于便攜要求希望使顯示器與CPU分離，所以必須在CPU與顯示器之間建立安全通 道，又由于安全工作應(yīng)該是用戶盡量干預(yù)較少的工作，特別是登陸、簽名、安全支付及游戲 等安全應(yīng)用；所以只需要告訴CPU顯示的數(shù)據(jù)正確與否即可。本發(fā)明的目的是提出一種安全系統(tǒng)及方法。在使用可能不安全的計(jì)算機(jī)終端時(shí)， 可以安全地確認(rèn)CPU卡中的關(guān)鍵數(shù)據(jù)，并根據(jù)確認(rèn)的數(shù)據(jù)進(jìn)行工作。該方法可以用于網(wǎng)絡(luò) 支付；結(jié)合好的密碼協(xié)議，可簡單且安全地解決在可能不安全計(jì)算機(jī)終端上安全使用網(wǎng)絡(luò) 銀行、游戲等服務(wù)的方法。實(shí)現(xiàn)“所簽即所見”的安全目的。根據(jù)本發(fā)明的一種安全系統(tǒng)，它包括CPU卡、計(jì)算機(jī)終端、服務(wù)器及用戶終端；其 中，CPU卡與計(jì)算機(jī)終端連接、計(jì)算機(jī)終端通過網(wǎng)絡(luò)與服務(wù)器連接、用戶終端與CPU卡安全 連接；用戶在計(jì)算機(jī)終端上輸入或產(chǎn)生關(guān)鍵數(shù)據(jù)，并傳送到CPU卡；通過CPU卡與用戶終端 的安全連接，傳送關(guān)鍵數(shù)據(jù)到用戶終端；用戶根據(jù)用戶終端上的關(guān)鍵數(shù)據(jù)，確認(rèn)后輸入確認(rèn) 到CPU卡；CPU卡確認(rèn)后，變換關(guān)鍵數(shù)據(jù)并通過計(jì)算機(jī)終端傳送到服務(wù)器。這里輸入確認(rèn)到 CPU卡可以是按鍵確認(rèn)或(和)口令確認(rèn)。進(jìn)一步，如果是口令認(rèn)證，那么應(yīng)該還有下面的數(shù)據(jù)流程。CPU卡生成確認(rèn)口令； 通過CPU卡與用戶終端的安全連接，傳送確認(rèn)口令及關(guān)鍵數(shù)據(jù)到用戶終端；用戶根據(jù)用戶 終端上的關(guān)鍵數(shù)據(jù)，確認(rèn)后在計(jì)算機(jī)終端上輸入確認(rèn)口令并傳送到CPU卡；CPU卡比較確認(rèn) 口令與生成的確認(rèn)口令一致后，變換關(guān)鍵數(shù)據(jù)并通過計(jì)算機(jī)終端傳送到服務(wù)器。進(jìn)一步，如果是按鍵確認(rèn)，那么CPU卡上還有一個(gè)確認(rèn)按鍵；當(dāng)用戶通過用戶終端 確認(rèn)數(shù)據(jù)后，輸入確認(rèn)到CPU卡就是按確認(rèn)按鍵并傳送到CPU卡。更進(jìn)一步，還有短信網(wǎng)關(guān)，CPU卡與用戶終端的安全連接，是采用CPU卡內(nèi)的密碼 裝置加密、短信網(wǎng)關(guān)解密及無線移動(dòng)網(wǎng)實(shí)現(xiàn)的。更方便地，CPU卡與用戶終端的安全連接，是采用CPU卡內(nèi)置的密碼裝置、CPU卡內(nèi) 置的無線模塊、用戶終端內(nèi)置的無線模塊及用戶終端內(nèi)置的密碼裝置實(shí)現(xiàn)的。簡單地，CPU卡與用戶終端的安全連接，是采用CPU卡內(nèi)置密碼裝置與計(jì)算機(jī)終端 的連接、計(jì)算機(jī)終端與用戶終端的有線或無線連接、用戶終端的內(nèi)置密碼裝置實(shí)現(xiàn)的。根據(jù)本發(fā)明的一種安全方法，它包括用戶在計(jì)算機(jī)終端上輸入或產(chǎn)生關(guān)鍵數(shù)據(jù)， 并傳送到CPU卡；通過CPU卡與用戶終端的安全連接傳送關(guān)鍵數(shù)據(jù)到用戶終端；用戶根據(jù)用戶終端上的關(guān)鍵數(shù)據(jù)，確認(rèn)后輸入確認(rèn)到CPU卡；CPU卡確認(rèn)后，變換關(guān)鍵數(shù)據(jù)并通過計(jì) 算機(jī)終端傳送到服務(wù)器。這里輸入確認(rèn)到CPU卡可以是按鍵確認(rèn)或(和)口令確認(rèn)。進(jìn)一步，如果是口令認(rèn)證，那么應(yīng)該還有下面的數(shù)據(jù)流程。CPU卡生成確認(rèn)口令、通 過CPU卡與用戶終端的安全連接傳送確認(rèn)口令及關(guān)鍵數(shù)據(jù)到用戶終端，就是計(jì)算機(jī)終端上 輸入確認(rèn)口令并傳送到CPU卡。更進(jìn)一步，其特征在于CPU卡與用戶終端的安全連接為加密確認(rèn)口令和(或)關(guān) 鍵數(shù)據(jù)、傳送到短信網(wǎng)關(guān)、短信網(wǎng)關(guān)加密后傳送到用戶終端；更方便地，CPU卡與用戶終端的安全連接為加密確認(rèn)口令和(或)關(guān)鍵數(shù)據(jù)、通 過CPU卡內(nèi)置的無線模塊及用戶終端內(nèi)置無線模塊傳送到用戶終端、用戶終端解密得到確 認(rèn)口令及關(guān)鍵數(shù)據(jù)。簡單地，CPU卡與用戶終端的安全連接為加密確認(rèn)口令和(或)關(guān)鍵數(shù)據(jù)、傳送 到計(jì)算機(jī)終端、通過計(jì)算機(jī)終端與用戶終端的有線或無線連接傳送到用戶終端、用戶終端 解密得到確認(rèn)口令及關(guān)鍵數(shù)據(jù)。完整地12、綜合上述所有手段，加入按CPU卡上確認(rèn)按鍵的確認(rèn)方法。


下面參照附圖描繪本發(fā)明，其中圖1表示優(yōu)選實(shí)施例1、3及4相關(guān)聯(lián)的系統(tǒng)的示意圖；圖2表示優(yōu)選實(shí)施例2相關(guān)聯(lián)的系統(tǒng)的示意具體實(shí)施例方式[實(shí)施例1]短信確認(rèn)本發(fā)明的核心就是采用用戶終端顯示器作為可信顯示器及CPU卡作為可信CPU的 安全系統(tǒng)及方法。處于CPU卡中的待簽名或待使用數(shù)據(jù)，用可信的方法輸出到用戶可信設(shè) 備顯示，由用戶確認(rèn)待簽名或待使用數(shù)據(jù)；用戶確認(rèn)后進(jìn)行相應(yīng)的簽名或使用相應(yīng)的數(shù)據(jù)。 根據(jù)本發(fā)明第一種實(shí)施方式，一種安全系統(tǒng)及方法所關(guān)聯(lián)的系統(tǒng)如圖1所示。在該圖中，密 碼裝置42加密的數(shù)據(jù)與短信網(wǎng)關(guān)5的密碼裝置51對應(yīng)；即密碼裝置42完成加密，密碼裝 置51解密。例如，密碼裝置51公開公鑰(E，M)，保密私鑰(D，M)；則密碼裝置42用公鑰(E， M)加密，而密碼裝置51用保密私鑰(D，M)解密。當(dāng)然，可以采用其他密碼協(xié)議完成加密及 解密。CPU卡4內(nèi)存儲(chǔ)有手持設(shè)備地址，如手機(jī)號碼。當(dāng)把CPU卡4與計(jì)算機(jī)終端3連接后，用戶根據(jù)計(jì)算機(jī)終端3的提示輸入或產(chǎn)生 交易的關(guān)鍵數(shù)據(jù)，如接受資金的賬戶名、賬號、金額等關(guān)鍵數(shù)據(jù)；計(jì)算機(jī)終端3將這些關(guān)鍵 數(shù)據(jù)傳送到CPU卡4中；CPU卡4用隨機(jī)數(shù)生成器41生成確認(rèn)口令(PIN)，并把通過密碼裝 置42加密關(guān)鍵數(shù)據(jù)、確認(rèn)口令及手持設(shè)備地址(手機(jī)號碼)；該被加密的數(shù)據(jù)傳送到計(jì)算 機(jī)終端3，并通過計(jì)算機(jī)網(wǎng)絡(luò)2傳送到短信網(wǎng)關(guān)5 ；短信網(wǎng)關(guān)5的密碼裝置51解密該加密數(shù) 據(jù)得到關(guān)鍵數(shù)據(jù)、確認(rèn)口令及手持設(shè)備地址(手機(jī)號碼)；短信網(wǎng)關(guān)5通過移動(dòng)無線網(wǎng)6把 該關(guān)鍵數(shù)據(jù)及確認(rèn)口令根據(jù)手持設(shè)備地址(手機(jī)號碼)發(fā)送到手持設(shè)備7 (用戶手機(jī))上； 用戶確認(rèn)手持設(shè)備7上的關(guān)鍵數(shù)據(jù)正確后，在計(jì)算機(jī)終端3上輸入確認(rèn)口令；計(jì)算機(jī)終端3 把接收到的確認(rèn)口令傳送到CPU卡4中；CPU卡4比較收到的確認(rèn)口令與生成的確認(rèn)口令一致后，通過簽名裝置43簽名該關(guān)鍵數(shù)據(jù)，CPU卡4將該已簽名關(guān)鍵數(shù)據(jù)傳送到計(jì)算機(jī)終 端3，并通過計(jì)算機(jī)網(wǎng)絡(luò)2傳送已簽名關(guān)鍵數(shù)據(jù)到銀行服務(wù)器1 ；銀行服務(wù)器1根據(jù)該已簽 名關(guān)鍵數(shù)據(jù)進(jìn)行相應(yīng)的支付操作。該關(guān)鍵數(shù)據(jù)的簽名就是銀行進(jìn)行資金操作的法律依據(jù)， 并且顯然該簽名的關(guān)鍵數(shù)據(jù)是經(jīng)過銀行客戶通過手持設(shè)備7安全確認(rèn)過的。該方案顯然有一個(gè)安全缺陷，當(dāng)CPU卡4與計(jì)算機(jī)終端3連接后，計(jì)算機(jī)終端3不 斷地向CPU卡4輸送關(guān)鍵數(shù)據(jù)，并不斷猜測相應(yīng)的確認(rèn)口令。雖然成功的概率很小，但是也 是安全缺陷，解決的方法可以是一次CPU卡加電只能進(jìn)行一次關(guān)鍵數(shù)據(jù)簽名的工作、或者 在輸入關(guān)鍵數(shù)據(jù)之前通過短信方式發(fā)送輸入關(guān)鍵數(shù)據(jù)前置口令，保證輸入關(guān)鍵數(shù)據(jù)前必須 通過用戶的手持設(shè)備7 (手機(jī))確認(rèn)、或者用CPU卡4與手持設(shè)備7 (手機(jī))聯(lián)合構(gòu)成動(dòng)態(tài) 口令認(rèn)證，保證關(guān)鍵數(shù)據(jù)輸入CPU卡4的前置認(rèn)證。最好采用用戶輸入指紋，在CPU卡中比 較指紋作為安全認(rèn)證，并進(jìn)一步采用一次指紋認(rèn)證一次關(guān)鍵數(shù)據(jù)確認(rèn)來提高安全性。還有一個(gè)解決方案就是簡單地在CPU卡上增加一個(gè)按鍵，當(dāng)用戶在手持設(shè)備上確 認(rèn)關(guān)鍵數(shù)據(jù)準(zhǔn)確性后，簡單地按鍵表示數(shù)據(jù)的確認(rèn)。這樣就可以取消CPU卡中的隨機(jī)數(shù)生 成器41，但是該方案有CPU卡的制造相對困難成本稍高的缺點(diǎn)。但是這也是本發(fā)明人推薦 使用的一種方案或?qū)嵤├?。也可以結(jié)合CPU卡上的按鍵與確認(rèn)口令兩個(gè)方案，必須輸入確 認(rèn)口令后還要按鍵才能確認(rèn)數(shù)據(jù)，這樣可以防止重復(fù)猜測確認(rèn)口令的攻擊，這是一個(gè)更安 全的實(shí)施方案。在實(shí)施例1中，一種安全系統(tǒng)的是CPU卡4、計(jì)算機(jī)終端3、服務(wù)器(銀行網(wǎng)絡(luò)服務(wù) 器1)及用戶終端(手持設(shè)備7) ；CPU卡4與計(jì)算機(jī)終端連接3、計(jì)算機(jī)終端3通過網(wǎng)絡(luò)與 服務(wù)器(銀行網(wǎng)絡(luò)服務(wù)器1)連接、用戶終端(手持設(shè)備7)與CPU卡安全連接是通過CPU4 中的密碼裝置42、CPU卡到計(jì)算機(jī)終端3到計(jì)算機(jī)網(wǎng)絡(luò)2到短信網(wǎng)關(guān)的通路、短信網(wǎng)關(guān)5及 密碼裝置51、移動(dòng)無線網(wǎng)6組成；在實(shí)施例1中，一種安全方法的是用戶在計(jì)算機(jī)終端3上輸入關(guān)鍵數(shù)據(jù)，并傳送 到CPU卡4 ；CPU卡4生成確認(rèn)口令；通過CPU卡4與用戶終端(手持設(shè)備7)的安全連接， 傳送確認(rèn)口令及關(guān)鍵數(shù)據(jù)到用戶終端(手持設(shè)備7)；用戶根據(jù)用戶終端(手持設(shè)備7)上 的關(guān)鍵數(shù)據(jù)，確認(rèn)后在計(jì)算機(jī)終端上輸入確認(rèn)口令；CPU卡比較輸入的確認(rèn)口令與生成的 確認(rèn)口令一致后，變換(簽名)關(guān)鍵數(shù)據(jù)并通過計(jì)算機(jī)終端傳送到服務(wù)器，進(jìn)一步可以完成 支付。另外輸入確認(rèn)口令可以不在計(jì)算機(jī)終端3輸入，而是在與計(jì)算機(jī)通信的任何聯(lián)網(wǎng)計(jì) 算機(jī)上輸入傳送到計(jì)算機(jī)終端3，然后到CPU卡中進(jìn)行相應(yīng)的確認(rèn)。中國專利申請ZL9912388 “互聯(lián)網(wǎng)上加手機(jī)聲響保障錢款支付安全方法及相應(yīng)系 統(tǒng)”及中國專利申請ZL02116722 “手機(jī)來電顯示信息的多種金融卡支付確認(rèn)電訊方法及系 統(tǒng)”所提出的方案，是通過手機(jī)確認(rèn)服務(wù)器中的數(shù)據(jù)。與本實(shí)施例的主要區(qū)別是，一個(gè)是確 認(rèn)CPU卡中的數(shù)據(jù)，一個(gè)是確認(rèn)服務(wù)器中的數(shù)據(jù)；一個(gè)由于必須保證安全確認(rèn)CPU卡中的數(shù) 據(jù)，必須變換(加密)關(guān)鍵數(shù)據(jù)及確認(rèn)口令或者說是建立安全連接，而服務(wù)器數(shù)據(jù)確認(rèn)不需 要這關(guān)鍵的步驟；一個(gè)是被確認(rèn)的數(shù)據(jù)還需要(簽名或加密)提交到銀行服務(wù)才有效，而銀 行服務(wù)器中的數(shù)據(jù)直接用于支付。通過短信實(shí)現(xiàn)關(guān)鍵數(shù)據(jù)及確認(rèn)口令的傳送，必須依賴無線網(wǎng)絡(luò)的可靠性，所以有 實(shí)施例2。[實(shí)施例2]無線確認(rèn)(專用、手機(jī)加SD卡、手機(jī)加SIM卡)
根據(jù)本發(fā)明第二種實(shí)施方式，一種安全系統(tǒng)及方法所關(guān)聯(lián)的系統(tǒng)如圖2所示。在 該實(shí)施方式中。該圖中的手持設(shè)備6可以與計(jì)算機(jī)終端3用有線連接(如USB線)或無線 連接(如藍(lán)牙)，該種連接用“無線或有線連接5”表示，當(dāng)然無線或有線連接5還可以直接 連接CPU卡4與手持設(shè)備6。另外手持設(shè)備6如果是手機(jī)，最好通過加SD卡或更改SIM卡 加入密碼裝置61，當(dāng)然也可以用手機(jī)軟件實(shí)現(xiàn)密碼裝置61的功能。總之用戶終端(手持設(shè) 備6)與CPU卡4建立安全連接。當(dāng)把CPU卡4與計(jì)算機(jī)終端3連接后，用戶根據(jù)計(jì)算機(jī)終端3的提示輸入交易的 關(guān)鍵數(shù)據(jù)，如接受資金的賬戶名、賬號、金額等關(guān)鍵數(shù)據(jù)；計(jì)算機(jī)終端3將這些關(guān)鍵數(shù)據(jù)傳 送到CPU卡4中；CPU卡4用隨機(jī)數(shù)生成器41生成確認(rèn)口令(PIN)，并把通過密碼裝置42 加密關(guān)鍵數(shù)據(jù)及確認(rèn)口令；該被加密的關(guān)鍵數(shù)據(jù)及確認(rèn)口令傳送到計(jì)算機(jī)終端3，并通過 無線或有線連接5傳送到手持設(shè)備6 (手機(jī))；手持設(shè)備6中的密碼裝置61解密該加密數(shù) 據(jù)得到關(guān)鍵數(shù)據(jù)及確認(rèn)口令；用戶確認(rèn)手持設(shè)備6上的關(guān)鍵數(shù)據(jù)正確后，在計(jì)算機(jī)終端3上 輸入確認(rèn)口令；計(jì)算機(jī)終端3把接收到的確認(rèn)口令傳送到CPU卡4中；CPU卡4比較收到的 確認(rèn)口令與生成的確認(rèn)口令一致后，通過簽名裝置43簽名該關(guān)鍵數(shù)據(jù)，CPU卡4將該已簽 名關(guān)鍵數(shù)據(jù)傳送到計(jì)算機(jī)終端3，并通過計(jì)算機(jī)終端2傳送簽名后的關(guān)鍵數(shù)據(jù)到銀行服務(wù) 器1 ；銀行服務(wù)器1根據(jù)該簽名的關(guān)鍵數(shù)據(jù)進(jìn)行相應(yīng)的支付操作。該關(guān)鍵數(shù)據(jù)的簽名就是 銀行進(jìn)行資金操作的法律依據(jù)，并且顯然該簽名的關(guān)鍵數(shù)據(jù)是經(jīng)過銀行客戶通過手持設(shè)備 安全確認(rèn)過的。在實(shí)施例2中，一種安全系統(tǒng)的是CPU卡4、計(jì)算機(jī)終端3、服務(wù)器(銀行網(wǎng)絡(luò)服務(wù) 器1)及用戶終端(手持設(shè)備6) ；CPU卡4與計(jì)算機(jī)終端連接3、計(jì)算機(jī)終端3通過網(wǎng)絡(luò)與 服務(wù)器(銀行網(wǎng)絡(luò)服務(wù)器1)連接、用戶終端(手持設(shè)備6)與CPU卡安全連接是通過CPU4 中的密碼裝置42、CPU卡到計(jì)算機(jī)終端3到用戶終端(手持設(shè)備6)的通路、密碼裝置61、 有線或無線連接5組成。顯然還可以采用其他信息通路，如在CPU卡中增加無線裝置通過 有線或無線連接5，直接與用戶終端(手持設(shè)備6)連接。在實(shí)施例2中，一種安全方法的是用戶在計(jì)算機(jī)終端3上輸入關(guān)鍵數(shù)據(jù)，并傳送 到CPU卡4 ；CPU卡4生成確認(rèn)口令；通過CPU卡4與用戶終端(手持設(shè)備6)的安全連接， 傳送確認(rèn)口令及關(guān)鍵數(shù)據(jù)到用戶終端(手持設(shè)備6)；用戶根據(jù)用戶終端(手持設(shè)備6)上 的關(guān)鍵數(shù)據(jù)，確認(rèn)后在計(jì)算機(jī)終端上輸入確認(rèn)口令；CPU卡比較輸入的確認(rèn)口令與生成的 確認(rèn)口令一致后，變換(簽名)關(guān)鍵數(shù)據(jù)并通過計(jì)算機(jī)終端傳送到服務(wù)器，進(jìn)一步可以完成 支付。另外輸入確認(rèn)口令可以不在計(jì)算機(jī)終端3輸入，而是在與計(jì)算機(jī)通信的任何聯(lián)網(wǎng)計(jì) 算機(jī)上輸入傳送到計(jì)算機(jī)終端3，然后到CPU卡中進(jìn)行相應(yīng)的確認(rèn)。該方案所用的手持設(shè)備6可能是“智能手機(jī)”，在智能手機(jī)上安裝密碼的解碼程序 實(shí)現(xiàn)密碼裝置61 ；或者該方案的手持設(shè)備(手機(jī))上插入一個(gè)SDIO卡，上面有無線通訊模 塊及解密模塊，能夠接收計(jì)算機(jī)終端3傳送來的加密數(shù)據(jù)。并解密后顯示在手機(jī)屏幕上。 也可以為了安全，用戶手持一個(gè)有無線通訊模塊、顯示屏及鍵盤的專用安全設(shè)備。但是，智 能手機(jī)也有一個(gè)安全隱患，就是智能手機(jī)不安全時(shí)，可能把確認(rèn)口令傳回到不安全的計(jì)算 機(jī)終端3，然后輸入CPU卡產(chǎn)生不安全數(shù)據(jù)確認(rèn)。解決的方法是在CPU卡上增加一個(gè)確認(rèn) 鍵與確認(rèn)口令配合使用。最好的方法，就是使CPU卡到用戶終端的連接是CPU卡到用戶終 端的“單向通道”，即CPU卡可以把數(shù)據(jù)發(fā)送到用戶終端，而用戶設(shè)備不能把信息傳送到CPU
10卡。例如CPU卡采用廣播的方式傳播信息，而用戶終端只能接收信息不能發(fā)送信息，就是典 型的單向通道。實(shí)施例3圖形確認(rèn)根據(jù)本發(fā)明第三種實(shí)施方式，一種安全系統(tǒng)及方法所關(guān)聯(lián)的系統(tǒng)如圖1所示。當(dāng) 把CPU卡4與計(jì)算機(jī)終端3連接后，用戶根據(jù)計(jì)算機(jī)終端3的提示輸入交易的關(guān)鍵數(shù)據(jù)，如 接受資金的賬戶名、賬號、金額等關(guān)鍵數(shù)據(jù)；計(jì)算機(jī)終端3將這些關(guān)鍵數(shù)據(jù)傳送到CPU卡4 中；CPU卡4用隨機(jī)數(shù)生成器41生成確認(rèn)口令(PIN)，并把該確認(rèn)口令與關(guān)鍵數(shù)據(jù)生成圖形 (如JPEG格式)，并加以擾亂使之計(jì)算機(jī)很難識(shí)別，而人可以識(shí)別。該圖片與手持設(shè)備地址 (手機(jī)號碼)被加密(也可以不加密)的傳送到短信網(wǎng)關(guān)5，并到手持設(shè)備7 (手機(jī))上；用 戶確認(rèn)關(guān)鍵數(shù)據(jù)正確后，在計(jì)算機(jī)終端3上輸入確認(rèn)口令；計(jì)算機(jī)終端3把接收到的確認(rèn)口 令傳送到CPU卡4中；CPU卡4比較收到的確認(rèn)口令與生成的確認(rèn)口令一致后，通過簽名裝 置43簽名該關(guān)鍵數(shù)據(jù)，CPU卡4將該已簽名數(shù)據(jù)傳送到計(jì)算機(jī)終端3，并通過計(jì)算機(jī)終端2 傳送簽名后的數(shù)據(jù)到銀行服務(wù)器1 ；銀行服務(wù)器1根據(jù)該簽名的支付數(shù)據(jù)進(jìn)行相應(yīng)的支付 操作。該關(guān)鍵數(shù)據(jù)的簽名就是銀行進(jìn)行資金操作的法律依據(jù)，并且顯然該簽名的關(guān)鍵數(shù)據(jù) 是經(jīng)過銀行客戶通過手持設(shè)備安全確認(rèn)過的。在實(shí)施例1中，一種安全系統(tǒng)的是CPU卡4、計(jì)算機(jī)終端3、服務(wù)器(銀行網(wǎng)絡(luò)服務(wù) 器1)及用戶終端(手持設(shè)備7) ；CPU卡4與計(jì)算機(jī)終端連接3、計(jì)算機(jī)終端3通過網(wǎng)絡(luò)與 服務(wù)器(銀行網(wǎng)絡(luò)服務(wù)器1)連接、用戶終端(手持設(shè)備7)與CPU卡安全連接是通過CPU4 中的密碼裝置42、CPU卡到計(jì)算機(jī)終端3到計(jì)算機(jī)網(wǎng)絡(luò)2到短信網(wǎng)關(guān)的通路、短信網(wǎng)關(guān)5及 密碼裝置51、移動(dòng)無線網(wǎng)6組成；在實(shí)施例1中，一種安全方法的是用戶在計(jì)算機(jī)終端3上輸入關(guān)鍵數(shù)據(jù)，并傳送 到CPU卡4 ；CPU卡4生成確認(rèn)口令；通過CPU卡4與用戶終端(手持設(shè)備7)的安全連接， 傳送圖形化的確認(rèn)口令及關(guān)鍵數(shù)據(jù)到用戶終端(手持設(shè)備7)；用戶根據(jù)用戶終端(手持設(shè) 備7)上的關(guān)鍵數(shù)據(jù)，確認(rèn)后在計(jì)算機(jī)終端上輸入確認(rèn)口令；CPU卡比較輸入的確認(rèn)口令與 生成的確認(rèn)口令一致后，變換(簽名)關(guān)鍵數(shù)據(jù)并通過計(jì)算機(jī)終端傳送到服務(wù)器，進(jìn)一步可 以完成支付。另外輸入確認(rèn)口令可以不在計(jì)算機(jī)終端3輸入，而是在與計(jì)算機(jī)通信的任何 聯(lián)網(wǎng)計(jì)算機(jī)上輸入傳送到計(jì)算機(jī)終端3，然后到CPU卡中進(jìn)行相應(yīng)的確認(rèn)。顯然關(guān)鍵數(shù)據(jù)與確認(rèn)口令，沒有必要必須傳送到用戶終端(手持設(shè)備)，實(shí)際上也 可以傳送到用戶的電子郵箱，方便沒有手機(jī)的用戶。安全性肯定有所下降，但是更易用了。 所以有的用戶可信終端是手機(jī)，有的用戶的可信終端是其他計(jì)算機(jī)(讀電子郵件)，有的用 戶的可信終端是其他任何可以收到并顯示關(guān)鍵數(shù)據(jù)與確認(rèn)口令的設(shè)備。本質(zhì)上就是需要 CPU卡告訴計(jì)算機(jī)終端把關(guān)鍵數(shù)據(jù)及確認(rèn)口令送到哪個(gè)電子地址。對應(yīng)該電子地址就是用 戶終端。總之，發(fā)明的核心通過CPU卡與用戶終端的安全連接，在用戶終端上顯示CPU卡內(nèi) 信息的準(zhǔn)確性。并采用確認(rèn)口令、按鍵等方式確認(rèn)CPU卡內(nèi)數(shù)據(jù)，然后安全使用該數(shù)據(jù)的安 全系統(tǒng)及方法。以上用銀行服務(wù)器與CPU卡的簽名支付來說明本發(fā)明的方法。但是本發(fā)明并不完 全限定用于銀行應(yīng)用，顯然也可以應(yīng)用于網(wǎng)絡(luò)游戲，還有其他需要確認(rèn)CPU卡的數(shù)據(jù)，然后 讓CPU卡能夠準(zhǔn)確地提供該數(shù)據(jù)到服務(wù)器的應(yīng)用。盡管在以上的實(shí)施例中對本發(fā)明進(jìn)行了描述，但可以理解，以上實(shí)施例的描述是說明性的而非限制性的，本領(lǐng)域的熟練技術(shù)人員可 以理解，在不脫離由權(quán)利要求書定義的本發(fā)明的精神和范圍的前提下，可做出各種變形、改 進(jìn)、修改和替換。
權(quán)利要求
1.一種安全系統(tǒng)，它包括CPU卡、計(jì)算機(jī)終端、服務(wù)器及用戶終端；其中，CPU卡與計(jì)算機(jī)終端連接、計(jì)算機(jī)終端通過網(wǎng)絡(luò)與服務(wù)器連接、用戶終端與CPU 卡安全連接；用戶在計(jì)算機(jī)終端上輸入或產(chǎn)生關(guān)鍵數(shù)據(jù)，并傳送到CPU卡；通過CPU卡與用 戶終端的安全連接，傳送關(guān)鍵數(shù)據(jù)到用戶終端；用戶根據(jù)用戶終端上的關(guān)鍵數(shù)據(jù)，確認(rèn)后輸 入確認(rèn)到CPU卡；CPU卡確認(rèn)后，變換關(guān)鍵數(shù)據(jù)并通過計(jì)算機(jī)終端傳送到服務(wù)器。
2.根據(jù)權(quán)利要求1的系統(tǒng)，其特征在于還有CPU卡生成確認(rèn)口令；通過CPU卡與用戶 終端的安全連接，傳送確認(rèn)口令及關(guān)鍵數(shù)據(jù)到用戶終端；用戶根據(jù)用戶終端上的關(guān)鍵數(shù)據(jù)， 確認(rèn)后在計(jì)算機(jī)終端上輸入確認(rèn)口令并傳送到CPU卡；CPU卡比較確認(rèn)口令與生成的確認(rèn) 口令一致后，變換關(guān)鍵數(shù)據(jù)并通過計(jì)算機(jī)終端傳送到服務(wù)器。
3.根據(jù)權(quán)利要求1的系統(tǒng)，其特征在于CPU卡上還有一個(gè)確認(rèn)按鍵；當(dāng)用戶通過用戶 終端確認(rèn)數(shù)據(jù)后，輸入確認(rèn)到CPU卡就是按確認(rèn)按鍵并傳送到CPU卡。
4.根據(jù)權(quán)利要求2的系統(tǒng)，其特征在于還有短信網(wǎng)關(guān)，CPU卡與用戶終端的安全連接， 是采用CPU卡內(nèi)的密碼裝置加密、短信網(wǎng)關(guān)解密及無線移動(dòng)網(wǎng)實(shí)現(xiàn)的。
5.根據(jù)權(quán)利要求1的系統(tǒng)，其特征在于CPU卡與用戶終端的安全連接，是采用CPU卡內(nèi) 置的密碼裝置、CPU卡內(nèi)置的無線模塊、用戶終端內(nèi)置的無線模塊及用戶終端內(nèi)置的密碼裝 置實(shí)現(xiàn)的。
6.根據(jù)權(quán)利要求1的系統(tǒng)，其特征在于CPU卡與用戶終端的安全連接，是采用CPU卡內(nèi) 置密碼裝置與計(jì)算機(jī)終端的連接、計(jì)算機(jī)終端與用戶終端的有線或無線連接、用戶終端的 內(nèi)置密碼裝置實(shí)現(xiàn)的。
7.一種安全方法，它包括A、用戶在計(jì)算機(jī)終端上輸入或產(chǎn)生關(guān)鍵數(shù)據(jù)，并傳送到CPU卡；B、通過CPU卡與用戶終端的安全連接傳送關(guān)鍵數(shù)據(jù)到用戶終端；C、用戶根據(jù)用戶終端上的關(guān)鍵數(shù)據(jù)，確認(rèn)后輸入確認(rèn)到CPU卡；D、CPU卡確認(rèn)后，變換關(guān)鍵數(shù)據(jù)并通過計(jì)算機(jī)終端傳送到服務(wù)器。
8.根據(jù)權(quán)利要求7的方法，其特征在于步驟B還有CPU卡生成確認(rèn)口令、通過CPU卡 與用戶終端的安全連接傳送確認(rèn)口令及關(guān)鍵數(shù)據(jù)到用戶終端；步驟C的輸入確認(rèn)，就是計(jì) 算機(jī)終端上輸入確認(rèn)口令并傳送到CPU卡。
9.根據(jù)權(quán)利要求8的方法，其特征在于CPU卡與用戶終端的安全連接為加密確認(rèn)口 令和(或)關(guān)鍵數(shù)據(jù)、傳送到短信網(wǎng)關(guān)、短信網(wǎng)關(guān)加密后傳送到用戶終端；
10.根據(jù)權(quán)利要求8的方法，其特征在于CPU卡與用戶終端的安全連接為加密確認(rèn)口 令和(或)關(guān)鍵數(shù)據(jù)、通過CPU卡內(nèi)置的無線模塊及用戶終端內(nèi)置無線模塊傳送到用戶終 端、用戶終端解密得到確認(rèn)口令及關(guān)鍵數(shù)據(jù)。
11.根據(jù)權(quán)利要求8的方法，其特征在于CPU卡與用戶終端的安全連接為加密確認(rèn)口 令和(或)關(guān)鍵數(shù)據(jù)、傳送到計(jì)算機(jī)終端、通過計(jì)算機(jī)終端與用戶終端的有線或無線連接傳 送到用戶終端、用戶終端解密得到確認(rèn)口令及關(guān)鍵數(shù)據(jù)。
12.根據(jù)權(quán)利要求7到11的所有方法，其特征在于步驟C中的輸入確認(rèn)是按CPU卡上 確認(rèn)按鍵。
全文摘要
本發(fā)明的目的是提出一種安全系統(tǒng)及方法。在使用可能不安全的計(jì)算機(jī)終端時(shí)，可以安全地確認(rèn)CPU卡中的關(guān)鍵數(shù)據(jù)，并把經(jīng)過確認(rèn)的數(shù)據(jù)提供給服務(wù)器，安全準(zhǔn)確地獲得服務(wù)器的服務(wù)。該系統(tǒng)及方法，結(jié)合好的密碼協(xié)議，可簡單且安全地解決在可能不安全計(jì)算機(jī)終端上安全使用網(wǎng)絡(luò)支付、網(wǎng)絡(luò)銀行、游戲等服務(wù)的系統(tǒng)及方法。
文檔編號G06F21/34GK102073802SQ20091023455
公開日2011年5月25日 申請日期2009年11月23日 優(yōu)先權(quán)日2009年11月23日
發(fā)明者邵通 申請人:邵通