專利名稱：具有交易風(fēng)險(xiǎn)等級(jí)批準(zhǔn)能力的緊湊型安全裝置的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及保證電子交易安全的領(lǐng)域，并且更具體地涉及用于指示和驗(yàn)證交易的風(fēng)險(xiǎn)等級(jí)的批準(zhǔn)的方法和用于生成交易風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼的設(shè)備。
背景技術(shù)：
強(qiáng)認(rèn)證令牌是本領(lǐng)域公知的一類安全令牌。它們?cè)试S服務(wù)供應(yīng)商和應(yīng)用程序通過提供如下動(dòng)態(tài)口令來認(rèn)證令牌的持有人僅可以在知悉一方面由服務(wù)供應(yīng)商或應(yīng)用程序采用的認(rèn)證服務(wù)器與另一方面的認(rèn)證令牌之間共享的秘密或密鑰的情況下生成該動(dòng)態(tài)口令。為了生成動(dòng)態(tài)口令，強(qiáng)認(rèn)證令牌對(duì)共享秘密和動(dòng)態(tài)可變量應(yīng)用加密算法，所述動(dòng)態(tài)可變量例如包括計(jì)數(shù)器值、表示當(dāng)前時(shí)間的值和隨機(jī)詢問(challenge)中的一個(gè)或更多個(gè)。通常， 動(dòng)態(tài)口令只能使用一次，由此相對(duì)于靜態(tài)口令大大提高了安全等級(jí)。強(qiáng)認(rèn)證令牌是普及的，特別是用以保證諸如網(wǎng)上銀行的應(yīng)用程序安全，這是因?yàn)樗鼈兲峁┝吮扰c高的用戶方便性結(jié)合的靜態(tài)口令高得多的安全等級(jí)。另一類型的安全令牌是交易簽名令牌。這樣的交易簽名令牌允許服務(wù)供應(yīng)商和應(yīng)用程序通過提供如下關(guān)于交易的電子簽名來驗(yàn)證令牌持有人對(duì)交易的批準(zhǔn)以及交易數(shù)據(jù)的完整性僅可以在知悉一方面由服務(wù)供應(yīng)商或應(yīng)用程序采用的認(rèn)證服務(wù)器與另一方面的認(rèn)證令牌之間共享的秘密或密鑰的情況下生成該電子簽名。為了生成電子簽名，交易簽名令牌對(duì)共享秘密和交易數(shù)據(jù)應(yīng)用加密算法。在一些情況下，交易簽名令牌還可以將動(dòng)態(tài)可變量的值包括到電子簽名的計(jì)算中，以作為防備重放攻擊的措施。為了驗(yàn)證由安全令牌生成的動(dòng)態(tài)口令或電子簽名的有效性，認(rèn)證服務(wù)器使用其自身的一份共享秘密、計(jì)數(shù)器的其局部保持值、當(dāng)前時(shí)間、提交給終端用戶的詢問或與相關(guān)交易有關(guān)的數(shù)據(jù)來執(zhí)行與安全令牌相同或互補(bǔ)的計(jì)算以獲得驗(yàn)證值。然后，服務(wù)器將其生成的驗(yàn)證值與從用戶接收的動(dòng)態(tài)口令或電子簽名進(jìn)行比較。如果由終端用戶提交的令牌生成的動(dòng)態(tài)口令或電子簽名與由認(rèn)證服務(wù)器生成的驗(yàn)證值匹配，則認(rèn)證或交易批準(zhǔn)成功。典型的強(qiáng)認(rèn)證和交易簽名令牌具有顯示裝置，用于將生成的憑證(諸如一次性口令或電子簽名)傳送給終端用戶；以及按鈕或鍵盤，用以請(qǐng)求生成新的憑證和/或輸入詢問、交易數(shù)據(jù)、PIN碼等。其它已知的通信裝置包括聽覺輸出裝置、USB接口和無線接口。其它已知的輸入裝置包括光學(xué)傳感器、USB接口和無線接口。一些安全令牌需要用戶輸入PIN碼來執(zhí)行諸如生成電子簽名的特定動(dòng)作。在一些情況下，用戶還向認(rèn)證服務(wù)器提交除了由強(qiáng)認(rèn)證令牌生成的動(dòng)態(tài)口令之外的靜態(tài)口令，以作為防備丟失或被盜令牌的欺詐使用的對(duì)抗措施。一些安全令牌能夠生成動(dòng)態(tài)口令和電子簽名兩者。一些安全令牌是專用硬件裝置，所述專用硬件裝置的唯一或主要的功能是生成動(dòng)態(tài)口令和電子簽名；而其它令牌是具有通用計(jì)算能力的裝置(例如個(gè)人計(jì)算機(jī)、個(gè)人數(shù)字助理、手機(jī))，其運(yùn)行模擬專用硬件強(qiáng)認(rèn)證和交易簽名令牌的功能的軟件，并通常提供動(dòng)態(tài)口令和電子簽名的生成，僅作為除了其它功能之外的附加功能。后一種令牌有時(shí)被稱為軟件令牌。在第一類強(qiáng)認(rèn)證和交易簽名令牌中，秘密被嵌入外界通常無法進(jìn)行訪問的令牌本身內(nèi)部的存儲(chǔ)器中。在第二類強(qiáng)認(rèn)證和交易簽名令牌中，令牌能夠容置攜帶秘密的外部部件(如智能卡)，并且能夠與該外部部件協(xié)作以生成并提供動(dòng)態(tài)口令和電子簽名。由Vasco Data security公司銷售的DIGIPASS品牌下的系列產(chǎn)品包括如上所述的安全令牌的若干示例。

發(fā)明內(nèi)容
技術(shù)問題盡管與靜態(tài)口令相比在安全方面提供了巨大的改進(jìn)，但是由強(qiáng)認(rèn)證令牌生成的動(dòng)態(tài)口令的使用并不能解決與遠(yuǎn)程電子交易相關(guān)聯(lián)的所有安全問題。例如，通過實(shí)時(shí)中間人(MITM)攻擊，攻擊者可以得到有效的動(dòng)態(tài)口令并使用它們用于他們自己惡意的目的，例如 進(jìn)行欺詐交易。在這樣的MITM攻擊中，攻擊者會(huì)用欺詐性的交易數(shù)據(jù)替代真實(shí)的交易數(shù)據(jù)，例如，在貨幣轉(zhuǎn)賬的情況下，攻擊者會(huì)用在攻擊者的控制之下的賬號(hào)替代預(yù)期的收款賬號(hào)，并且會(huì)將要轉(zhuǎn)賬的低數(shù)額的貨幣提升至要轉(zhuǎn)賬的更高數(shù)額的貨幣。交易簽名令牌提供了對(duì)該問題的解決方法，這是因?yàn)榻灰缀灻钆扑傻碾娮雍灻詳?shù)學(xué)方式鏈接到與它們相關(guān)聯(lián)的交易數(shù)據(jù)。如果攻擊者以欺詐性數(shù)據(jù)更改或替換真實(shí)交易數(shù)據(jù)，則由驗(yàn)證服務(wù)器進(jìn)行的電子簽名的驗(yàn)證將會(huì)失敗。將交易數(shù)據(jù)提供給強(qiáng)認(rèn)證令牌的典型方式是讓用戶在令牌的鍵盤上手動(dòng)地輸入交易數(shù)據(jù)。一些用戶會(huì)覺得在他們的令牌的鍵盤上以及在他們的客戶端PC上輸入交易數(shù)據(jù)是過于繁瑣的。此外，能夠生成電子簽名的令牌一般需要用以輸入交易數(shù)據(jù)的裝置。通常，交易簽名令牌的輸入裝置包括鍵盤，這使得通常的交易簽名令牌大于僅生成動(dòng)態(tài)口令并因此僅需要最小用戶接口的通常的強(qiáng)認(rèn)證令牌(通常單個(gè)按鈕就足夠了，有時(shí)甚至根本沒有按鈕)。所需要的是一種保證電子交易安全的方法，該方法提供比由動(dòng)態(tài)口令單獨(dú)提供的安全等級(jí)高的安全等級(jí)，同時(shí)提供動(dòng)態(tài)口令的相同的用戶方便性，并且該方法可以優(yōu)選地使用具有與能夠生成動(dòng)態(tài)口令的普通強(qiáng)認(rèn)證令牌一樣緊湊的形狀因子的安全裝置來實(shí)施。技術(shù)解決方案本發(fā)明基于如下觀點(diǎn)一方面如果交易可以被分類到相對(duì)小數(shù)目的不同組中，其中每個(gè)組具有與其相關(guān)聯(lián)的特定風(fēng)險(xiǎn)等級(jí)，并且另一方面如果存在服務(wù)器明確地驗(yàn)證用戶確實(shí)意圖進(jìn)行具有該特定風(fēng)險(xiǎn)等級(jí)的交易的方式，則可以獲得比由傳統(tǒng)的動(dòng)態(tài)口令提供的安全等級(jí)顯著高的安全等級(jí)。用戶向服務(wù)器指示他們的要執(zhí)行對(duì)應(yīng)于特定風(fēng)險(xiǎn)等級(jí)的交易的意圖的一種方式是將對(duì)應(yīng)于該交易所屬的組的風(fēng)險(xiǎn)等級(jí)的交易風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼與交易數(shù)據(jù)一起提交給服務(wù)器，使得服務(wù)器可以驗(yàn)證交易風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼。本發(fā)明還基于如下觀點(diǎn)有利地可以在用戶的控制下由信任的裝置生成交易風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼；以及如果風(fēng)險(xiǎn)等級(jí)的數(shù)目相對(duì)小，則這樣的裝置僅需要簡(jiǎn)單的用戶接口以允許用戶僅以少量的交互指示交易風(fēng)險(xiǎn)等級(jí)批準(zhǔn)需要針對(duì)哪個(gè)風(fēng)險(xiǎn)等級(jí)來生成。為了提高安全等級(jí)，交易風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼優(yōu)選地是不可預(yù)知的。優(yōu)選地，它應(yīng)當(dāng)很難被任何攻擊者獲得或生成給定交易的有效的交易風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼。生成不可預(yù)知的交易風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼的一種方式涉及利用一個(gè)或更多個(gè)秘密值進(jìn)行參數(shù)化的加密算法的使用。優(yōu)選地，這些秘密中的至少一個(gè)直接或間接與用戶相關(guān)聯(lián)。在一個(gè)實(shí)施例中，在生成風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼時(shí)使用的秘密與驗(yàn)證服務(wù)器共享。加密算法可以包括對(duì)稱算法，諸如對(duì)稱加密或解密算法(例如DES或AES)，或者它可以包括單向函數(shù)，諸如散列函數(shù)(例如MD5或散列函數(shù)的SHA族的成員)。加密算法還可以包括消息認(rèn)證碼或密鑰散列消息認(rèn)證碼的生成。除了針對(duì)其 生成批準(zhǔn)代碼的風(fēng)險(xiǎn)等級(jí)之外，風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼生成算法還可以考慮動(dòng)態(tài)可變量的值，例如計(jì)數(shù)器的值或時(shí)間相關(guān)值，以防止重放攻擊。在一個(gè)實(shí)施例中，風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼生成包括將加密算法應(yīng)用于秘密、動(dòng)態(tài)可變量以及表示風(fēng)險(xiǎn)等級(jí)的值。在另一個(gè)實(shí)施例中，風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼生成包括基于風(fēng)險(xiǎn)等級(jí)從一組秘密中選擇秘密，并將加密算法應(yīng)用于所選擇的秘密和動(dòng)態(tài)可變量。在又一個(gè)實(shí)施例中，風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼生成包括基于風(fēng)險(xiǎn)等級(jí)從一組加密算法中選擇加密算法，并將所選擇的加密算法應(yīng)用于秘密和動(dòng)態(tài)可變量。在又一個(gè)實(shí)施例中，風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼生成包括基于風(fēng)險(xiǎn)等級(jí)從這些相應(yīng)參數(shù)的一組值中選擇一個(gè)或更多個(gè)參數(shù)的值，并且當(dāng)將風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼生成算法應(yīng)用于秘密和動(dòng)態(tài)可變量時(shí)使用所選擇的參數(shù)值。在一個(gè)具體的實(shí)施例中，這些參數(shù)可以包括待生成的風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼的長(zhǎng)度或者應(yīng)當(dāng)從位串中選擇哪個(gè)位，其中此位串可以包括例如密碼。本發(fā)明的優(yōu)選實(shí)施例包括一種保證電子交易安全的方法，包括步驟 定義有限數(shù)目的交易類別； 定義用以將每個(gè)可能的交易分類到這些交易類別之一的標(biāo)準(zhǔn)； 從用戶接收交易； 將上述標(biāo)準(zhǔn)應(yīng)用于接收的交易，并將接收的交易指派到上述類別之一； 向用戶提供用以生成他們的要進(jìn)行屬于特定類別的交易的意圖的證明的裝置； 從用戶接收他們的要進(jìn)行屬于特定類別的交易的意圖的證明； 針對(duì)接收的交易，驗(yàn)證用戶的要進(jìn)行屬于與接收的交易相同的類別的交易的意圖的相應(yīng)證明。在一些實(shí)施例中，可以以隱含的方式定義交易類別。在其它實(shí)施例中，可以在應(yīng)用程序的程序流程中隱含地對(duì)用以將交易分類的標(biāo)準(zhǔn)進(jìn)行編碼。本發(fā)明的另一個(gè)優(yōu)選實(shí)施例包括一種保證電子交易安全的方法，所述方法包括步驟 存儲(chǔ)用以將交易分類到有限數(shù)目的交易類別的標(biāo)準(zhǔn)，用于稍后取回； 從用戶接收交易； 將上述標(biāo)準(zhǔn)應(yīng)用于接收的交易并將接收的交易指派到上述類別之一； 向用戶提供用以生成他們的要進(jìn)行屬于特定類別的交易的意圖的證明的裝置； 從用戶接收他們的要進(jìn)行屬于特定類別的交易的意圖的證明； 針對(duì)接收的交易，驗(yàn)證用戶的要進(jìn)行屬于與接收的交易相同的類別的交易的意圖的相應(yīng)證明。優(yōu)選地，交易類別對(duì)普通用戶是有意義的，并且將交易分類到這些類別的標(biāo)準(zhǔn)可以自動(dòng)地由驗(yàn)證服務(wù)器應(yīng)用并且還可以容易地由普通用戶應(yīng)用。優(yōu)選地，交易類別或風(fēng)險(xiǎn)等級(jí)的數(shù)目至少為二且小于六。
在一個(gè)實(shí)施例中，用以將交易分類的標(biāo)準(zhǔn)包括與這些交易所呈現(xiàn)的風(fēng)險(xiǎn)相關(guān)的標(biāo)準(zhǔn)。在另一個(gè)實(shí)施例中，用以將交易分類的標(biāo)準(zhǔn)包括用以估計(jì)對(duì)交易的欺詐行為的敏感性的標(biāo)準(zhǔn)。在一些實(shí)施例中，方法的一些步驟可以由計(jì)算機(jī)系統(tǒng)進(jìn)行。該計(jì)算機(jī)系統(tǒng)可以包括服務(wù)器計(jì)算機(jī)。它還可以包括數(shù)據(jù)庫，并且它還可以包括硬件安全模塊(HSM)以執(zhí)行特定的加密操作。本發(fā)明的具體實(shí)施例包括一種保證網(wǎng)上銀行應(yīng)用程序安全的方法。在本實(shí)施例中，分類標(biāo)準(zhǔn)可以包括交易類型(交易類型的示例可以包括諸如賬戶余額信息的信息檢索、諸如股票買賣的投資操作、貨幣轉(zhuǎn)賬、諸如地址信息更新的賬戶配置)。可以使用的其它分類標(biāo)準(zhǔn)包括所涉及的貨幣數(shù)量(例如要轉(zhuǎn)賬或投資的貨幣數(shù)量)，在該情況下，可以定義特定閾值(例如以通過要轉(zhuǎn)賬的貨幣的低數(shù)量和高數(shù)量在貨幣轉(zhuǎn)賬交易之間區(qū)分)；或交易中涉及的賬戶的所有人(例如錢應(yīng)當(dāng)轉(zhuǎn)移至的賬戶由用戶擁有還是由其他人擁有)；或 用戶交易的歷史模式(例如，是否之前用戶已使用過錢要轉(zhuǎn)移至的賬戶向其轉(zhuǎn)移貨幣)。在其它實(shí)施例中，本發(fā)明可以保證具有其它類型交易的其它類型的應(yīng)用程序安全。這樣的應(yīng)用程序可以包括任何遠(yuǎn)程可訪問的應(yīng)用程序，并且這樣的交易可以包括隱含系統(tǒng)狀態(tài)變化的遠(yuǎn)程系統(tǒng)與用戶之間的任何交互。這樣的系統(tǒng)的示例可以是如防火墻的工具，由此用戶是該工具的操作者，并且由此交易包括管理工具的動(dòng)作。在該示例中，例如像監(jiān)視流量或檢索統(tǒng)計(jì)的一些交易可以被認(rèn)為是低風(fēng)險(xiǎn)交易，而例如像改變防火墻配置(包括打開或關(guān)閉特定端口)的其它交易可以被認(rèn)為是高風(fēng)險(xiǎn)交易。在本發(fā)明的優(yōu)選實(shí)施例中，由驗(yàn)證服務(wù)器使用驗(yàn)證參考值來驗(yàn)證交易風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼。在一個(gè)實(shí)施例中，使用與用于生成風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼相同或相似的算法來生成所述驗(yàn)證參考值。在另一個(gè)實(shí)施例中，使用直接或間接與用戶或由用戶使用以生成風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼的安全裝置相關(guān)聯(lián)的秘密，來生成驗(yàn)證參考值。在具體的實(shí)施例中，從數(shù)據(jù)庫中取回該秘密。在另一具體的實(shí)施例中，使用主密鑰以及直接或間接與用戶或由用戶使用以生成風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼的安全裝置相關(guān)聯(lián)的值，來生成該秘密。在又一實(shí)施例中，將驗(yàn)證參考值與從用戶接收的風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼進(jìn)行比較，并且如果根據(jù)某一匹配標(biāo)準(zhǔn)風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼與驗(yàn)證參考值匹配，則該風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼被成功驗(yàn)證。在具體的實(shí)施例中，匹配標(biāo)準(zhǔn)會(huì)要求這兩個(gè)值相等。本發(fā)明的另一個(gè)優(yōu)選實(shí)施例包括一種用于生成交易風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼的安全設(shè)備。用于生成交易風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼的安全設(shè)備優(yōu)選地具有緊湊的形狀因子和要求較少的用戶交互的簡(jiǎn)單用戶接口。用戶接口優(yōu)選地包括輸入裝置，所述輸入裝置允許用戶選擇合適的風(fēng)險(xiǎn)等級(jí)并指示安全設(shè)備生成相應(yīng)的風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼。用戶接口優(yōu)選地還包括輸出裝置以例如傳送生成的風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼。在一個(gè)實(shí)施例中，輸入裝置例如可以包括一個(gè)或更多個(gè)按鈕或拇指輪。在一個(gè)特定的實(shí)施例中，用戶通過按下或壓下與該風(fēng)險(xiǎn)等級(jí)相關(guān)聯(lián)的特定按鈕或按鈕的組合來選擇合適的風(fēng)險(xiǎn)等級(jí)。在另一個(gè)特定實(shí)施例中，用戶通過滾動(dòng)標(biāo)簽的列表來選擇合適的風(fēng)險(xiǎn)等級(jí)，每個(gè)標(biāo)簽代表特定的風(fēng)險(xiǎn)等級(jí)。在具體的實(shí)施例中，用戶通過重復(fù)地壓下按鈕來滾動(dòng)該列表。在另一個(gè)具體的實(shí)施例中，用戶通過快速地按下特定的按鈕多次來選擇合適的風(fēng)險(xiǎn)等級(jí)，由此按鈕已被按下的次數(shù)指示用戶意圖選擇哪個(gè)風(fēng)險(xiǎn)等級(jí)。在又一個(gè)特定的實(shí)施例中，用戶使用拇指輪來滾動(dòng)該列表。在再一個(gè)特定實(shí)施例中，用戶通過按下按鈕或推動(dòng)拇指輪來指示安全設(shè)備生成所選擇的風(fēng)險(xiǎn)等級(jí)的風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼。在又一特定實(shí)施例中，安全設(shè)備在特定的等待時(shí)間之后自動(dòng)地生成當(dāng)前選擇的風(fēng)險(xiǎn)等級(jí)的風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼，在該特定的等待時(shí)間期間，用戶不選擇另外的風(fēng)險(xiǎn)等級(jí)。在另一個(gè)實(shí)施例中，安全設(shè)備的用戶接口包括輸出裝置，以將生成的風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼傳送給用戶或指示當(dāng)前選擇了哪個(gè)風(fēng)險(xiǎn)等級(jí)。這些輸出裝置例如可以包括顯示裝置或用以生成聽覺信號(hào)的裝置，該聽覺信號(hào)可以包括合成語音或錄制的語音片段。在一些實(shí)施例中，使用標(biāo)簽來指示當(dāng)前選擇的風(fēng)險(xiǎn)等級(jí)。這些標(biāo)簽可以是數(shù)字的或可以包括字。在具體的實(shí)施例中，這些標(biāo)簽可以直接指風(fēng)險(xiǎn)等級(jí)。在另一個(gè)具體的實(shí)施例中，這些標(biāo)簽可以指對(duì)于用戶而言容易辨別且有意義的、與特定風(fēng)險(xiǎn)等級(jí)相關(guān)聯(lián)的交易的某些特性。在一個(gè)實(shí)施例中，安全設(shè)備具有強(qiáng)認(rèn)證令牌的形狀因子。在另一個(gè)實(shí)施例中，安全設(shè)備具有信用卡的形狀因子。在一個(gè)實(shí)施例中，在生成風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼時(shí)使用的秘密被安全地存儲(chǔ)在安全設(shè) 備中。在另一個(gè)實(shí)施例中，在生成風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼時(shí)使用的秘密被存儲(chǔ)在可以由安全設(shè)備訪問的第二設(shè)備中。該第二設(shè)備例如可以是智能卡。在又一個(gè)實(shí)施例中，用以生成風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼的算法的至少一部分由能夠被安全設(shè)備訪問的第二設(shè)備執(zhí)行。該第二設(shè)備例如可以是智能卡。有利效果本發(fā)明的重要優(yōu)點(diǎn)是，與通過生成動(dòng)態(tài)口令的傳統(tǒng)的強(qiáng)認(rèn)證令牌的使用提供的安全性相比，本發(fā)明可以提供顯著更高的安全等級(jí)(更不用說通過靜態(tài)口令的使用提供的安全等級(jí))，但是卻具有與這些令牌的成本和方便性非常相似的成本和對(duì)用戶的方便等級(jí)。在下面的示例中示出了這一點(diǎn)。一個(gè)典型的網(wǎng)上銀行應(yīng)用程序可以支持主要兩種類型的交易一方面查看賬戶信息，例如余額和交易歷史；另一方面是進(jìn)行貨幣轉(zhuǎn)賬。此應(yīng)用程序可以由靜態(tài)口令保證安全即用戶必須在他們被允許實(shí)現(xiàn)交易之前通過提供靜態(tài)口令來認(rèn)證他們本身。實(shí)踐證明，靜態(tài)口令提供了完全不足夠的安全等級(jí)。事實(shí)上，已經(jīng)多次證明靜態(tài)口令太容易受到各種攻擊，包括攻擊者獲得他們可以隨后用于欺詐目的有效口令的釣魚攻擊。生成動(dòng)態(tài)口令的強(qiáng)認(rèn)證令牌的使用提供了高得多的安全等級(jí)，這是因?yàn)檫@些動(dòng)態(tài)口令通常只使用一次并且在基于時(shí)間的令牌的特定情況下具有非常有限的有效期。然而，存在更存在復(fù)雜的攻擊，由此有效的一次性口令在它們的有效期內(nèi)幾乎被實(shí)時(shí)地獲得和使用。這樣的攻擊的一個(gè)示例是中間人攻擊(MITMA)，其中攻擊者已經(jīng)成功攔截和操縱用戶與應(yīng)用程序之間的通信，使得攻擊者可以捕獲用戶的認(rèn)證憑證(包括任何動(dòng)態(tài)口令)和/或可以以攻擊者的欺詐交易數(shù)據(jù)替代用戶的真實(shí)交易數(shù)據(jù)。在許多情況下，這樣的MITMA需要用戶在核查例如應(yīng)用程序的站點(diǎn)的URL是否正確以及該站點(diǎn)的SSL/TLS證書是否有效時(shí)是有點(diǎn)草率的。不幸的是，在現(xiàn)實(shí)生活中用戶太頻繁地表現(xiàn)出非常粗心并且不注意或忽略應(yīng)警告他們可疑事物正在發(fā)生的異常，或者他們是足夠輕信的，從而易于相信以僅接受這些異常并輸入他們的認(rèn)證憑證。一旦攻擊者已經(jīng)獲得了一組有效的認(rèn)證憑證，他們可以執(zhí)行通常只有真正用戶被授權(quán)去做的任何交易，例如從用戶的賬戶將錢轉(zhuǎn)移至攻擊者的賬戶。本發(fā)明使這種攻擊不太可能成功。根據(jù)本發(fā)明，該示例的網(wǎng)絡(luò)銀行應(yīng)用程序可以將所有的交易分為三組，每組具有它本身的相關(guān)聯(lián)的風(fēng)險(xiǎn)等級(jí) 賬戶查看交易因?yàn)楣粽邥?huì)從這樣的賬戶查看交易中以損害合法用戶為代價(jià)經(jīng)濟(jì)上受益是相當(dāng)不可能的，所以該組交易呈現(xiàn)相當(dāng)?shù)偷娘L(fēng)險(xiǎn)。 到假定可信方的貨幣轉(zhuǎn)賬這樣的假定可信方可以包括例如用戶之前已經(jīng)向其轉(zhuǎn)移貨幣的那些可信方或知名的公用事業(yè)公司。由于這樣的假定可信方不可能與攻擊者相符，所以這些交易可以被認(rèn)為是中等風(fēng)險(xiǎn)。 其他貨幣轉(zhuǎn)賬由于欺詐性交易可能是向合法用戶未知的不知名的一方的貨幣轉(zhuǎn)賬，所以這些交易最好地被認(rèn)為是高風(fēng)險(xiǎn)。向合法用戶提供小型安全設(shè)備，該小型安全設(shè)備能夠生成三種類型的風(fēng)險(xiǎn)等級(jí)批 準(zhǔn)代碼低風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼、中等風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼和高風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼。當(dāng)用戶想要進(jìn)行交易時(shí)，應(yīng)用程序要求他們提供對(duì)應(yīng)于該交易的風(fēng)險(xiǎn)等級(jí)的合適的批準(zhǔn)代碼。因此，已經(jīng)以某種方式獲得有效的低風(fēng)險(xiǎn)批準(zhǔn)代碼的攻擊者(例如通過MITMA攻擊)不能使用該低風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼來注入具有中等或高風(fēng)險(xiǎn)等級(jí)交易的特性的欺詐性交易。換句話說，即使攻擊者成功發(fā)動(dòng)了相對(duì)于特定會(huì)話的MITMA攻擊，在用戶實(shí)際生成高風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼的情況下攻擊者通常也將只能夠使用該會(huì)話進(jìn)行欺詐性交易。在實(shí)踐中，由網(wǎng)上銀行應(yīng)用程序的合法用戶執(zhí)行的大多數(shù)交易將會(huì)是低或中等風(fēng)險(xiǎn)等級(jí)交易，而高風(fēng)險(xiǎn)等級(jí)交易構(gòu)成交易總量的相對(duì)小的部分。這意味著攻擊的成功率將會(huì)自動(dòng)地顯著降低，這是因?yàn)樵趯?shí)踐中大多數(shù)交易會(huì)話會(huì)不再被攻擊者使用，因?yàn)樗鼈儗⒉粫?huì)得到攻擊者所需要的能夠成功地注入他們的欺詐性交易的有效高風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼。本發(fā)明還以另一種方式加強(qiáng)應(yīng)用程序的安全性。為了發(fā)動(dòng)成功的MITMA攻擊或另外獲得有效的認(rèn)證憑證，攻擊者通常需要依賴于合法用戶在連接到應(yīng)用程序時(shí)的某些疏忽。這樣的疏忽往往源于如下事實(shí)用戶往往忘記或忽視甚至進(jìn)行絕對(duì)單純的交易(例如查看他們的賬戶余額)的連接也可能潛在地被攻擊者劫持以用于完全不同類型的交易。此夕卜，不會(huì)期望總是向通常的用戶警告他們想要進(jìn)行的任何交易。然而，當(dāng)進(jìn)行高風(fēng)險(xiǎn)等級(jí)交易時(shí)通常的用戶很可能會(huì)格外地警惕，并且在他們被要求提供高風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼時(shí)會(huì)格外注意驗(yàn)證有沒有可疑情況發(fā)生。結(jié)果，攻擊者將更少成功發(fā)動(dòng)相對(duì)于高風(fēng)險(xiǎn)等級(jí)交易會(huì)話的MITMA攻擊或另外獲得高風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼。本發(fā)明的另外的優(yōu)點(diǎn)是，這種更高的安全等級(jí)并不是以降低的用戶的方便性為代價(jià)而產(chǎn)生的。例如，在一個(gè)實(shí)施例中，用以生成風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼的安全裝置可以具有與傳統(tǒng)的強(qiáng)認(rèn)證令牌相同的形狀因子。該安全裝置可以是具有顯示裝置和一個(gè)按鈕的小型緊湊裝置。通過按下按鈕一次，用戶指示裝置生成低風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼。通過快速按下按鈕兩次，用戶指示裝置生成中等風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼。為了指示裝置生成高風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼，用戶迅速按下按鈕三次。換句話說，通過使用具有與傳統(tǒng)強(qiáng)認(rèn)證令牌完全相同的形狀因子并且?guī)缀鯖]有任何額外需要的用戶交互的裝置，相對(duì)于僅生成動(dòng)態(tài)口令的傳統(tǒng)強(qiáng)認(rèn)證令牌的使用，可以獲得顯著更高的安全等級(jí)。在另一個(gè)實(shí)施例中，安全裝置有三個(gè)按鈕，每個(gè)不同的風(fēng)險(xiǎn)等級(jí)有一個(gè)按鈕。用戶通過按下相應(yīng)的按鈕來指示裝置生成合適的風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼。換句話說，使用具有與傳統(tǒng)強(qiáng)認(rèn)證令牌非常相似的緊湊的形狀因子并且無需額外需要的用戶交互的裝置，相對(duì)于僅生成動(dòng)態(tài)口令的傳統(tǒng)強(qiáng)認(rèn)證令牌的使用，可以獲得顯著更高的安全等級(jí)。
當(dāng)考慮柔性信用卡形狀的安全裝置時(shí)，本發(fā)明的優(yōu)點(diǎn)變得尤為明顯。生產(chǎn)這種裝置的技術(shù)尚不成熟，從而需要昂貴的部件并且常常導(dǎo)致產(chǎn)量和可靠性問題。具體地，用于用戶提供輸入的按鈕呈現(xiàn)多個(gè)問題。在實(shí)踐中，很難可靠地生產(chǎn)具有充分地對(duì)用戶的按鍵按壓進(jìn)行響應(yīng)的按鈕的柔性信用卡形狀的安全裝置。相對(duì)大比例的按鈕出現(xiàn)不充分響應(yīng)或完全不響應(yīng)。這意味著按鈕的存在對(duì)柔性信用卡形狀的安全裝置的產(chǎn)量和/或用戶方便性具有負(fù)面影響。每個(gè)額外的按鈕使該問題惡化。因此，具有通常包括至少10個(gè)按鈕的數(shù)字鍵盤的柔性信用卡形狀的交易簽名令牌的生產(chǎn)具有非常低的產(chǎn)量，這與高的部件成本相結(jié)合，使它們過分昂貴。然而，本發(fā)明允許生產(chǎn)如下柔性信用卡形狀的風(fēng)險(xiǎn)等級(jí)批準(zhǔn)裝置該裝置在提供比僅生成動(dòng)態(tài)口令的傳統(tǒng)強(qiáng)認(rèn)證令牌的安全等級(jí)顯著高的安全等級(jí)的同時(shí)，僅需要少量的按鈕和用戶交互，從而具有與單一按鈕的柔性信用卡形狀的強(qiáng)認(rèn)證令牌相同或相似的成本，并提供相同或相似的用戶方便性的等級(jí)。


圖Ia示出了根據(jù)本發(fā)明的方法。
圖Ib示出了根據(jù)本發(fā)明的另一種方法。圖Ic示出了根據(jù)本發(fā)明的又一種方法。圖Id示出了根據(jù)本發(fā)明的再一種方法。圖2a示出了根據(jù)本發(fā)明的一個(gè)實(shí)施例的用以生成動(dòng)態(tài)交易類別批準(zhǔn)代碼的方法。圖2b示出了根據(jù)本發(fā)明的另一個(gè)實(shí)施例的用以生成風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼的替選方法。圖2c示出了根據(jù)本發(fā)明的又一個(gè)實(shí)施例的用以生成風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼的另一種方法。圖3a示出了根據(jù)本發(fā)明的一個(gè)實(shí)施例的用以生成風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼的安全設(shè)備。圖3b示出了根據(jù)本發(fā)明的一個(gè)實(shí)施例的用以生成風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼的另一個(gè)安
全設(shè)備。圖3c示出了根據(jù)本發(fā)明的一個(gè)實(shí)施例的用以生成風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼的又一個(gè)安
全設(shè)備。圖4a示出了用以生成風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼的安全設(shè)備的特定形狀因子。圖4b示出了用以生成風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼的安全設(shè)備的另一形狀因子。圖4c示出了用以生成風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼的安全設(shè)備的又一形狀因子。圖4d示出了用以生成風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼的安全設(shè)備的再一形狀因子。圖4E示出了用以生成風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼的安全設(shè)備的又一形狀因子。
具體實(shí)施例方式本發(fā)明的保證電子交易安全的方法的優(yōu)選實(shí)施例如圖Ia所示包括步驟 定義有限數(shù)目的交易類別(步驟100)； 定義用以將每個(gè)可能的交易分類到這些交易類別之一的標(biāo)準(zhǔn)(步驟110)；
向用戶提供用以生成他們的要進(jìn)行屬于特定類別的交易的意圖的證明的裝置(步驟120)； 從用戶接收交易(步驟130)； 將上述標(biāo)準(zhǔn)應(yīng)用于接收的交易，并將接收的交易指派到上述類別之一(步驟
140)； 從用戶接收他們的要進(jìn)行屬于特定類別的交易的意圖的證明(步驟150);以及 針對(duì)接收的交易，驗(yàn)證用戶的要進(jìn)行屬于與接收的交易相同的類別的交易的意圖的相應(yīng)證明(步驟160)。 本發(fā)明的保證電子交易安全的方法的另一個(gè)實(shí)施例如圖Ib所示包括步驟 定義用以將交易劃分成多個(gè)類別的標(biāo)準(zhǔn)(步驟111); 將風(fēng)險(xiǎn)等級(jí)與這些類別中的每個(gè)相關(guān)聯(lián)；(步驟115)； 向用戶提供用以生成交易風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼的裝置(步驟121)； 從用戶接收交易數(shù)據(jù)(步驟131)； 將定義的標(biāo)準(zhǔn)應(yīng)用于接收的交易，以針對(duì)接收的交易確定相應(yīng)風(fēng)險(xiǎn)等級(jí)(步驟
141)； 從用戶接收與交易相關(guān)聯(lián)的交易風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼(步驟151)； 基于確定的相應(yīng)風(fēng)險(xiǎn)等級(jí)來計(jì)算接收的交易的驗(yàn)證參考值(步驟164)； 針對(duì)接收的交易，根據(jù)某一匹配標(biāo)準(zhǔn)將接收的風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼與相應(yīng)的計(jì)算的驗(yàn)證參考值進(jìn)行比較(步驟165);以及 根據(jù)相應(yīng)的接收的風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼與相應(yīng)的計(jì)算的驗(yàn)證參考值的匹配，來做出接收的交易的批準(zhǔn)(步驟166)。本發(fā)明的保證電子交易安全的方法的另一個(gè)實(shí)施例如圖Ic所示包括步驟 存儲(chǔ)用以將交易分類成有限數(shù)目的交易類別的標(biāo)準(zhǔn)以用于稍后的取回(步驟115)； 向用戶提供用以生成他們的要進(jìn)行屬于特定類別的交易的意圖的證明的裝置(步驟122)； 從用戶接收交易(步驟132)； 將上述標(biāo)準(zhǔn)應(yīng)用于接收的交易，并將接收的交易指派指派到上述類別之一(步驟 142)； 從用戶接收他們的要進(jìn)行屬于特定類別的交易的意圖的證明(步驟152)； 針對(duì)接收的交易，驗(yàn)證用戶的要進(jìn)行屬于與接收的交易相同的類別的交易的意圖的相應(yīng)證明(步驟162)。本發(fā)明的保證電子交易安全的方法的又一個(gè)實(shí)施例如圖Id所示包括步驟 向用戶提供用以基于與不同的交易相關(guān)聯(lián)的一組多個(gè)風(fēng)險(xiǎn)等級(jí)中的特定交易的風(fēng)險(xiǎn)等級(jí)來生成交易風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼的裝置(步驟123)； 從用戶接收交易數(shù)據(jù)(步驟133)； 將定義不同的風(fēng)險(xiǎn)等級(jí)的標(biāo)準(zhǔn)應(yīng)用于接收的交易，以針對(duì)接收的交易確定相應(yīng)風(fēng)險(xiǎn)等級(jí)(步驟143)； 從用戶接收與交易相關(guān)聯(lián)的交易風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼(步驟153)；
基于確定的相應(yīng)風(fēng)險(xiǎn)等級(jí)來計(jì)算接收的交易的驗(yàn)證參考值(步驟167)； 針對(duì)接收的交易，根據(jù)某一匹配標(biāo)準(zhǔn)，將接收的風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼與相應(yīng)的計(jì)算的驗(yàn)證參考值進(jìn)行比較(步驟168);以及 根據(jù)相應(yīng)的接收的風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼與相應(yīng)的計(jì)算的驗(yàn)證參考值的匹配，來做出接收的交易的批準(zhǔn)(步驟169)。在本發(fā)明的一個(gè)實(shí)施例中，用戶的要進(jìn)行屬于特定類別的交易的意圖的證明包括動(dòng)態(tài)交易類別批準(zhǔn)代碼。在本發(fā)明的另一個(gè)實(shí)施例中，用戶的要進(jìn)行屬于特定類別的交易的意圖的證明包括交易風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼。在又一實(shí)施例中，交易風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼包括動(dòng)態(tài)批準(zhǔn)代碼。 圖2a示出了根據(jù)本發(fā)明的生成動(dòng)態(tài)批準(zhǔn)代碼的優(yōu)選方法，該方法包括步驟 獲得交易類別的指示符(步驟210)； 捕獲至少一個(gè)動(dòng)態(tài)可變量的值(步驟220)； 取回一個(gè)或更多個(gè)秘密值(步驟230)； 將所述交易類別指示符、所述動(dòng)態(tài)值和所述一個(gè)或更多個(gè)秘密值進(jìn)行加密組合(步驟240);以及 將所述加密組合的結(jié)果變換為動(dòng)態(tài)批準(zhǔn)代碼(步驟250)。在一個(gè)實(shí)施例中，交易類別的指示符可以包括風(fēng)險(xiǎn)等級(jí)指示符。在另一個(gè)實(shí)施例中，動(dòng)態(tài)可變量可以是時(shí)間相關(guān)的。在具體的實(shí)施例中，動(dòng)態(tài)可變量包括實(shí)時(shí)時(shí)鐘的值。在又一個(gè)實(shí)施例中，動(dòng)態(tài)可變量包括計(jì)數(shù)器的值。在再一個(gè)實(shí)施例中，指示符、動(dòng)態(tài)值和一個(gè)或更多個(gè)秘密值的加密組合包括使用指示符與動(dòng)態(tài)值的數(shù)學(xué)組合以及使用通過所述一個(gè)或更多個(gè)秘密值進(jìn)行參數(shù)化的加密算法來生成密碼文。圖2b中示出了根據(jù)本發(fā)明的生成動(dòng)態(tài)批準(zhǔn)代碼的替選方法，該方法包括步驟 獲得交易類別的指示符(步驟210)； 捕獲至少一個(gè)動(dòng)態(tài)可變量的值(步驟220)； 取回一組秘密值(步驟231)； 基于交易類別的指示符的值，從取回的一組秘密值中選擇至少一個(gè)秘密(步驟235)； 將所述指示符、所述動(dòng)態(tài)值和所述選擇的秘密值進(jìn)行加密組合(步驟241)；以及 將所述加密組合的結(jié)果變換為動(dòng)態(tài)批準(zhǔn)代碼(步驟250)。在圖2c中示出了根據(jù)本發(fā)明的生成動(dòng)態(tài)批準(zhǔn)代碼的又一種方法，該方法包括步驟 獲得交易類別的指示符(步驟210)； 捕獲至少一個(gè)動(dòng)態(tài)可變量的值(步驟220)； 取回主密秘的值(步驟232)； 根據(jù)取回的主秘密和交易類別的指示符導(dǎo)出秘密值(步驟236)； 將所述指示符、所述動(dòng)態(tài)值和所述導(dǎo)出的秘密值進(jìn)行加密組合(步驟242);以及 將所述加密組合的結(jié)果變換為動(dòng)態(tài)批準(zhǔn)代碼(步驟250)。在一個(gè)實(shí)施例中，根據(jù)取回的主秘密和交易類別指示符導(dǎo)出秘密值的步驟包括將主秘密和交易類別指示符進(jìn)行加密組合。在具體的實(shí)施例中，加密組合包括使用作用于與交易類別指示符相關(guān)的并通過主秘密進(jìn)行參數(shù)化的數(shù)據(jù)的加密或解密算法。在另一個(gè)具體的實(shí)施例中，加密組合包括將與交易類別指示符和主秘密有關(guān)的數(shù)據(jù)散列。在一個(gè)實(shí)施例中，用以生成交易風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼的裝置包括安全設(shè)備。生成風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼的安全設(shè)備通常被提供為具有將批準(zhǔn)代碼和其它信息傳送給用戶的輸出裝置(例如顯示裝置)的手持式電池供電設(shè)備的形式。通常，該設(shè)備具有一個(gè)或更多個(gè)按鈕或其它輸入裝置，以觸發(fā)交易風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼生成和/或選擇應(yīng)當(dāng)生成批準(zhǔn)代碼的合適的風(fēng)險(xiǎn)等級(jí)。在本發(fā)明的設(shè)備的優(yōu)選實(shí)施例中，如圖3a所示，該設(shè)備是生成動(dòng)態(tài)交易類別批準(zhǔn)代碼的安全令牌300。安全令牌300通常包括秘密密鑰存儲(chǔ)裝置310、可變性源320、加密代理330、變換代理340、輸入接口 350、輸出接口 360和能量源370。秘密密鑰存儲(chǔ)裝置310優(yōu)選地以安全的方式存儲(chǔ)可以在生成動(dòng)態(tài)批準(zhǔn)代碼時(shí)使用的一個(gè)或更多個(gè)秘密密鑰。秘密密鑰存儲(chǔ)裝置310可以包括易失性存儲(chǔ)器，例如已經(jīng)存 在于令牌中的處理器或微控制器的存儲(chǔ)器或單獨(dú)的隨機(jī)存取存儲(chǔ)器(RAM)部件，由此該存儲(chǔ)器被電池永久供電以防止存儲(chǔ)的數(shù)據(jù)丟失。替選地，秘密密鑰存儲(chǔ)裝置310可以是永久性存儲(chǔ)器，例如閃存存儲(chǔ)器部件?？勺冃栽?20提供動(dòng)態(tài)可變量，該動(dòng)態(tài)可變量可以包括時(shí)間相關(guān)值或計(jì)數(shù)器值?？勺冃栽?20可以包括實(shí)時(shí)時(shí)鐘或計(jì)數(shù)器。計(jì)數(shù)器可以在每次生成動(dòng)態(tài)批準(zhǔn)代碼時(shí)自動(dòng)遞+
>曰o加密代理330可以是合適的編程處理器或微控制器、或諸如專用集成電路(ASIC)或現(xiàn)場(chǎng)可編程門陣列(FPGA)的專用硬件。另外，變換代理340可以是合適的編程處理器或微控制器、或諸如專用集成電路(ASIC)或現(xiàn)場(chǎng)可編程門陣列(FPGA)的專用硬件。加密代理330和轉(zhuǎn)換代理340可以在同一硬件平臺(tái)上或在不同的硬件平臺(tái)上實(shí)現(xiàn)?？梢园ㄈ藱C(jī)接口裝置或機(jī)器對(duì)機(jī)器接口的輸入接口 350允許用戶指示令牌生成動(dòng)態(tài)批準(zhǔn)代碼，或允許用戶選擇應(yīng)當(dāng)生成動(dòng)態(tài)批準(zhǔn)代碼的交易類型或風(fēng)險(xiǎn)等級(jí)。人機(jī)接口裝置可以包括一個(gè)或更多個(gè)按鈕。人機(jī)接口輸入裝置還可以或替選地包括拇指輪。生成的動(dòng)態(tài)批準(zhǔn)代碼可以通過輸出接口 360提供給終端用戶。在另一個(gè)實(shí)施例中，令牌包括適于輸出生成的動(dòng)態(tài)批準(zhǔn)代碼的批準(zhǔn)代碼輸出接口 360，例如人機(jī)接口裝置或機(jī)器對(duì)機(jī)器接口。人機(jī)接口輸出裝置可以包括諸如顯示裝置的視覺輸出裝置、或諸如合成話音源的聽覺輸出裝置。由人機(jī)接口輸出裝置輸出的動(dòng)態(tài)批準(zhǔn)代碼可以作為一串或序列的人類可解釋的符號(hào)傳送給用戶。輸入接口 350或輸出接口 360的機(jī)器對(duì)機(jī)器接口可以包括USB、以太網(wǎng)、串口或其它有線接口、或藍(lán)牙、WiFi、蜂窩式或其它無線接口。能量源370提供其它部件所需要的能量。能量源370可以包括電池、光伏電池、燃料電池、熱電元件、適于提取環(huán)境能源的代理、或與其它部件的能量需求和安全令牌300的總成本和形狀因子要求相容的任何其它的能量源。安全令牌300通常如下操作。通過輸入接口 350，用戶選擇合適的交易類別或風(fēng)險(xiǎn)等級(jí)，并指示令牌生成相應(yīng)的動(dòng)態(tài)批準(zhǔn)代碼。加密代理330將從秘密密鑰存儲(chǔ)裝置310取回的一個(gè)或更多個(gè)密鑰與由可變性源320提供的動(dòng)態(tài)可變量的值以及由用戶通過輸入接口 350選擇的交易類別或風(fēng)險(xiǎn)等級(jí)的指示符進(jìn)行加密組合。變換代理340將加密組合的結(jié)果變換為動(dòng)態(tài)批準(zhǔn)代碼。令牌通過輸出接口 360輸出生成的動(dòng)態(tài)批準(zhǔn)代碼。一個(gè)實(shí)施例中，這些部件被布置在諸如印刷電路板(PCB)的基底上。在另一個(gè)實(shí)施例中，這些部件容置在可以是塑料的保護(hù)殼中。在又一個(gè)實(shí)施例中，這些部件被嵌入在層壓介質(zhì)中。在又一個(gè)實(shí)施例中，如圖3b所示，這些部件中的一些可以被并入一個(gè)物理裝置(301)中，而其它部件可以被并入第二裝置(302)中，由此動(dòng)態(tài)交易類別批準(zhǔn)代碼通過兩個(gè)裝置一起緊密合作而生成。這些部件中的一些可以在兩個(gè)裝置的上進(jìn)行劃分。例如，第一裝置(301)可以包括加密代理330的第一部分，而第二裝置302可以包括加密代理330的第二部分。這對(duì)變換代理340或可變性源320同樣適用。在特定的實(shí)施例中，如圖3c所示，第一裝置(301)可以包括由電池(370)供電的不相連的智能卡閱讀器、以及包括顯示裝置的輸出接口(360)、包括按鈕的輸入接口(350)、提供時(shí)間相關(guān)值的實(shí)時(shí)時(shí)鐘(321)、用于執(zhí)行加密和/或變換操作的微處理器(341)、以及用以與插入的智能卡通信的智能卡接口 (355);而第二裝置(302)可以是智能卡，其包括秘密存儲(chǔ)裝置(310)、用于加密操作的微處理器(331)和用以提供計(jì)數(shù)器值的計(jì)數(shù)器(322)。例如，不相連的智能卡閱讀器和插入的智能卡可以如下一起生成動(dòng)態(tài)批準(zhǔn)代碼。通過閱讀器上的一個(gè)或更多個(gè)按鈕，用戶選擇交易類別或風(fēng)險(xiǎn)等級(jí)并指示閱讀器生成所選擇的交易類別或風(fēng)險(xiǎn)等級(jí)的動(dòng)態(tài)批準(zhǔn)代碼。閱讀器借助于智能卡命令、通過智能卡接口與插入的智能卡通信。通過這些智能卡命令，閱讀器將表示所選擇的交易類別或風(fēng)險(xiǎn)等級(jí)的值傳送給智能卡，并指示智能卡使用該值來生成密碼文。智能卡的加密處理器使用接收到的代表所選擇的交易類別或風(fēng)險(xiǎn)等級(jí)的值、保持并且在每次生成密碼文時(shí)會(huì)自動(dòng)遞增的計(jì)數(shù)器、以及存儲(chǔ)在其安全的非易失性存儲(chǔ)器中的秘密密鑰，來生成密碼文。智能卡將生成的密碼文和使用的計(jì)數(shù)器值發(fā)送回閱讀器。閱讀器的微處理器選擇計(jì)數(shù)器值和密碼文的一組位并將得到的位串變換成十進(jìn)制數(shù)字序列或其它人類可解釋的符號(hào)的序列。閱讀器在其顯示裝置上輸出該數(shù)字序列或其它符號(hào)的序列。在該實(shí)施例的變型中，智能卡僅存儲(chǔ)秘密值并將秘密密鑰返回閱讀器，并且閱讀器的處理器生成密碼文。圖4a示出了根據(jù)本發(fā)明的安全設(shè)備的具體實(shí)施例，該設(shè)備包括生成動(dòng)態(tài)批準(zhǔn)代碼的令牌401。它的輸出接口包括顯示裝置461。它的輸入接口包括多個(gè)按鈕451，每個(gè)不同的交易類別或風(fēng)險(xiǎn)等級(jí)有一個(gè)按鈕。在示出的示例中，令牌具有三個(gè)按鈕，這是因?yàn)樗С秩齻€(gè)不同的交易類別或交易風(fēng)險(xiǎn)等級(jí)的動(dòng)態(tài)批準(zhǔn)代碼的生成。指示相應(yīng)的交易類別或風(fēng)險(xiǎn)等級(jí)的標(biāo)簽或符號(hào)可以印在靠近每個(gè)按鈕的令牌的塑料外殼上或印在按鈕本身上。當(dāng)用戶按下按鈕時(shí)，令牌上電，生成所選擇的交易類別或風(fēng)險(xiǎn)等級(jí)的動(dòng)態(tài)批準(zhǔn)代碼，并在它的顯示裝置上輸出生成的動(dòng)態(tài)批準(zhǔn)代碼。圖4b示出了根據(jù)本發(fā)明的安全設(shè)備的另一個(gè)具體實(shí)施例，該設(shè)備包括生成動(dòng)態(tài)批準(zhǔn)代碼的令牌402。它的輸出接口包括顯示裝置462。它的輸入接口包括兩個(gè)按鈕452/453。一個(gè)按鈕452允許用戶循環(huán)通過所支持的交易類別或風(fēng)險(xiǎn)等級(jí)的列表。當(dāng)用戶按下此按鈕時(shí)，令牌選擇以下交易類別或風(fēng)險(xiǎn)等級(jí)。令牌通過顯示在顯示裝置462上的合適標(biāo)簽或符號(hào)來指示當(dāng)前哪個(gè)交易類別或風(fēng)險(xiǎn)等級(jí)被選擇。這些標(biāo)簽例如可以包括“低”、“中等”、“高”或“登陸”、“支付”、“支付高額”。如果用戶按下另一個(gè)按鈕453，令牌生成當(dāng)前選擇的交易類別代碼或風(fēng)險(xiǎn)等級(jí)的動(dòng)態(tài)批準(zhǔn)代碼，并在顯示裝置462上輸出該生成的動(dòng)態(tài)批準(zhǔn)代碼。圖4c示出了根據(jù)本發(fā)明的安全設(shè)備的又一個(gè)具體實(shí)施例，該設(shè)備包括具有信用卡的形狀因子的用以生成動(dòng)態(tài)批準(zhǔn)代碼的令牌404。它的輸出接口包括顯示裝置464。它的輸入接口包括按鈕454。如果用戶按下按鈕至少一次，則令牌上電。按鈕454被按下的次數(shù)確定當(dāng)前選擇了哪個(gè)交易類別或風(fēng)險(xiǎn)等級(jí)。例如，通過迅速按下按鈕454兩次，所支持的交易類別或風(fēng)險(xiǎn)等級(jí)的列表中的第二交易類別或風(fēng)險(xiǎn)等級(jí)被選中。為了選擇列表中的第三交易類別或風(fēng)險(xiǎn)等級(jí)，用戶迅速按下按鈕454三次。令牌通過顯示在顯示裝置464上的合適標(biāo)簽或符號(hào)來指示當(dāng)前選擇了哪個(gè)交易類別或風(fēng)險(xiǎn)等級(jí)。如果用戶未按下按鈕454超過特定的預(yù)定時(shí)間，例如2秒，則令牌生成當(dāng)前選擇的交易類別或風(fēng)險(xiǎn)等級(jí)的動(dòng)態(tài)批準(zhǔn)代碼，并在它的顯示裝置464上輸出該生成的動(dòng)態(tài)批準(zhǔn)代碼。然而，如果在該預(yù)定時(shí)間內(nèi)用戶按下按鈕454，則另一個(gè)交易類別或風(fēng)險(xiǎn)等級(jí)被選中。 圖4d示出了根據(jù)本發(fā)明的安全設(shè)備的又一個(gè)具體實(shí)施例，該設(shè)備包括生成動(dòng)態(tài)批準(zhǔn)代碼的令牌405。令牌405包括輸出和輸入接口。它的輸出接口 460可以包括一組LED467。它還可以或替選地包括顯示裝置465。它的輸入接口包括按鈕455。令牌405還包括機(jī)器對(duì)機(jī)器通信接口 480，機(jī)器對(duì)機(jī)器通信接口 480例如可以包括USB連接器和USB控制器。當(dāng)令牌405通過該機(jī)器對(duì)機(jī)器通信接口連接到主機(jī)計(jì)算機(jī)時(shí)，主機(jī)計(jì)算機(jī)上的應(yīng)用程序可以請(qǐng)求令牌405生成由主機(jī)計(jì)算機(jī)提供的交易類別或風(fēng)險(xiǎn)等級(jí)的動(dòng)態(tài)批準(zhǔn)代碼。通過輸出接口 465，令牌405向用戶指示針對(duì)哪個(gè)交易類別或風(fēng)險(xiǎn)等級(jí)請(qǐng)求動(dòng)態(tài)批準(zhǔn)代碼。例如，令牌可以導(dǎo)通與給定的交易類別或風(fēng)險(xiǎn)等級(jí)相關(guān)聯(lián)的特定LED，或者它可以在顯示裝置465上示出特定的標(biāo)簽或符號(hào)。通過按下按鈕455，用戶指示令牌405生成所請(qǐng)求的批準(zhǔn)代碼。然后，令牌405生成所請(qǐng)求的動(dòng)態(tài)批準(zhǔn)代碼，并通過通信接口 480將該動(dòng)態(tài)批準(zhǔn)代碼傳送給主機(jī)。令牌405還可以包括另一個(gè)按鈕456，用戶可以按下該按鈕456以指示主機(jī)計(jì)算機(jī)的請(qǐng)求必須被拒絕。圖4e示出了根據(jù)本發(fā)明的安全設(shè)備的又一個(gè)具體實(shí)施例，該設(shè)備包括生成動(dòng)態(tài)批準(zhǔn)代碼的令牌402。它的輸出接口包括顯示裝置466。它的輸入接口包括拇指輪457。在一個(gè)實(shí)施例中，它的輸入接口還可以包括按鈕453。通過轉(zhuǎn)動(dòng)拇指輪457，用戶可以循環(huán)通過所支持的交易類別或風(fēng)險(xiǎn)等級(jí)的列表。令牌通過顯示在顯示裝置466上的合適的標(biāo)簽或符號(hào)來指示當(dāng)前選擇了哪個(gè)交易類別或風(fēng)險(xiǎn)等級(jí)。這些標(biāo)簽例如可以包括“低”、“中等”、“高”或“登陸”、“支付”、“支付高額”。在一個(gè)實(shí)施例中，用戶通過按下拇指輪來指示令牌生成當(dāng)前選擇的交易類別代碼或風(fēng)險(xiǎn)等級(jí)的動(dòng)態(tài)批準(zhǔn)代碼。在另一個(gè)實(shí)施例中，用戶按下按鈕453來做到這一點(diǎn)。令牌在它的顯示裝置466上輸出生成的動(dòng)態(tài)批準(zhǔn)代碼。盡管上文已描述了本發(fā)明的各種實(shí)施例，但應(yīng)當(dāng)理解，它們僅通過示例而非限制的方式來呈現(xiàn)。因此，本發(fā)明的廣度和范圍不應(yīng)局限于以上描述的示例性實(shí)施例中的任一個(gè)實(shí)施例，而是應(yīng)僅根據(jù)所附權(quán)利要求和其等同物來限定。
權(quán)利要求
1.ー種保證電子交易安全的方法，包括步驟 存儲(chǔ)用以將交易分類成多個(gè)交易類別的標(biāo)準(zhǔn)； 向至少ー個(gè)用戶提供用以生成所述用戶的要進(jìn)行屬于所述交易類別之一的交易的意圖的證明的裝置； 從至少一個(gè)用戶接收至少ー個(gè)交易； 將所述標(biāo)準(zhǔn)應(yīng)用于接收的交易，并將所述接收的交易指派到所述多個(gè)交易類別之一； 從至少一個(gè)用戶接收所述用戶的要進(jìn)行屬于所述交易類別之一的交易的意圖的證明；以及 驗(yàn)證所述用戶的意圖的所述證明是否對(duì)所述接收的交易的交易類別有效。
2.根據(jù)權(quán)利要求I所述的方法，還包括生成驗(yàn)證參考值；其中，所述用戶的意圖的所述證明包括動(dòng)態(tài)交易類別批準(zhǔn)代碼；并且其中，所述驗(yàn)證所述用戶的意圖的所述證明是否有效包括將所述動(dòng)態(tài)交易類別批準(zhǔn)代碼與所述驗(yàn)證參考值進(jìn)行比較。
3.根據(jù)權(quán)利要求2所述的方法，其中，用以生成意圖的證明的所述裝置包括適于生成動(dòng)態(tài)交易類別批準(zhǔn)代碼的安全設(shè)備，其中，所述安全設(shè)備生成動(dòng)態(tài)交易類別代碼包括將交易類別指示符、動(dòng)態(tài)值和秘密值進(jìn)行加密組合；并且其中，所述生成驗(yàn)證參考值包括將所述接收的交易的交易類別指示符、動(dòng)態(tài)值和秘密值進(jìn)行加密組合。
4.根據(jù)權(quán)利要求2所述的方法，還包括將多個(gè)風(fēng)險(xiǎn)等級(jí)中的至少ー個(gè)與每個(gè)所述交易類別相關(guān)聯(lián)；其中，所述用戶的意圖的所述證明包括要進(jìn)行具有所述風(fēng)險(xiǎn)等級(jí)之ー的交易的所述用戶的證明；其中，用以生成意圖的證明的所述裝置包括適于生成動(dòng)態(tài)風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼的安全設(shè)備，其中，所述安全設(shè)備生成動(dòng)態(tài)風(fēng)險(xiǎn)等級(jí)代碼包括將風(fēng)險(xiǎn)等級(jí)指示符、動(dòng)態(tài)值和秘密值進(jìn)行加密組合；并且其中，所述生成驗(yàn)證參考值包括將所述接收的交易的風(fēng)險(xiǎn)等級(jí)指示符、動(dòng)態(tài)值和秘密值進(jìn)行加密組合。
5.ー種生成動(dòng)態(tài)交易類別批準(zhǔn)代碼的方法，包括步驟 獲得交易類別指示符； 捕獲至少ー個(gè)動(dòng)態(tài)可變量的值； 取回ー個(gè)或更多個(gè)秘密值；以及 應(yīng)用算法以使用所述交易類別指示符、所述動(dòng)態(tài)可變量值和所述ー個(gè)或更多個(gè)秘密值來生成動(dòng)態(tài)批準(zhǔn)代碼； 所述算法包括步驟 利用所述取回的ー個(gè)或更多個(gè)秘密值來確定加密秘密密鑰； 將至少所述動(dòng)態(tài)可變量值和所述加密秘密密鑰進(jìn)行加密組合，以及 將所述加密組合的結(jié)果變換為動(dòng)態(tài)批準(zhǔn)代碼。
6.根據(jù)權(quán)利要求5所述的方法，其中，所述確定加密秘密密鑰包括基于所述交易類別指示符的值從所述秘密值中選擇加密秘密密鑰。
7.根據(jù)權(quán)利要求5所述的方法，其中，所述取回ー個(gè)或更多個(gè)秘密值包括取回主秘密的值，并且其中，所述確定加密秘密密鑰包括使用所述交易類別指示符的值從所述主密鑰的所述值中導(dǎo)出加密秘密密鑰。
8.根據(jù)權(quán)利要求5所述的方法，其中，所述交易類別指示符包括風(fēng)險(xiǎn)等級(jí)指示符。
9.根據(jù)權(quán)利要求5所述的方法，其中，所述動(dòng)態(tài)可變量是時(shí)間相關(guān)的。
10.根據(jù)權(quán)利要求9所述的方法，其中，所述動(dòng)態(tài)可變量值包括實(shí)時(shí)時(shí)鐘的值。
11.根據(jù)權(quán)利要求5所述的方法，其中，所述動(dòng)態(tài)可變量值包括計(jì)數(shù)器的值。
12.根據(jù)權(quán)利要求5所述的方法，其中，所述將所述動(dòng)態(tài)可變量值和所述加密秘密密鑰進(jìn)行加密組合包括使用所述動(dòng)態(tài)可變量值與所述交易類別指示符的數(shù)學(xué)組合以及使用利用所述加密秘密密鑰參數(shù)化的加密算法來生成密文。
13.—種保證電子交易安全的設(shè)備，所述設(shè)備適于生成動(dòng)態(tài)批準(zhǔn)代碼，所述設(shè)備包括 秘密密鑰存儲(chǔ)裝置，用于存儲(chǔ)ー個(gè)或更多個(gè)秘密值； 可變性源，用于提供動(dòng)態(tài)可變量值； 輸入接ロ，適于使得能夠從支持的交易類別或風(fēng)險(xiǎn)等級(jí)指示符值的有限組中選擇交易類別指示符或風(fēng)險(xiǎn)等級(jí)指示符的值； 加密代理，適于將秘密密鑰與所述動(dòng)態(tài)可變量值和所述交易類別或風(fēng)險(xiǎn)等級(jí)指示符值進(jìn)行加密組合； 變換代理，用于將所述加密組合的結(jié)果變換為動(dòng)態(tài)批準(zhǔn)代碼；以及 輸出接ロ，用以輸出所述動(dòng)態(tài)批準(zhǔn)代碼。
14.根據(jù)權(quán)利要求13所述的設(shè)備，其中，所述可變性源包括實(shí)時(shí)時(shí)鐘。
15.根據(jù)權(quán)利要求13所述的設(shè)備，其中，所述可變性源包括計(jì)數(shù)器。
16.根據(jù)權(quán)利要求13所述的設(shè)備，其中，所述輸入接ロ包括機(jī)器對(duì)機(jī)器接ロ，并且其中，所述選擇交易類別指示符或風(fēng)險(xiǎn)等級(jí)指示符的值包括對(duì)通過所述機(jī)器對(duì)機(jī)器接ロ接收的數(shù)據(jù)進(jìn)行處理。
17.根據(jù)權(quán)利要求13所述的設(shè)備，其中，所述輸入接ロ包括人機(jī)接口裝置，并且其中，所述選擇交易類別指示符或風(fēng)險(xiǎn)等級(jí)指示符的值包括用戶與所述人機(jī)接口裝置進(jìn)行交互。
18.根據(jù)權(quán)利要求17所述的設(shè)備，其中，所述人機(jī)接口裝置包括一個(gè)或更多個(gè)按鈕，并且其中，所述用戶與所述人機(jī)接口裝置進(jìn)行交互包括使用所述按鈕中的至少ー個(gè)。
19.根據(jù)權(quán)利要求17所述的設(shè)備，其中，所述人機(jī)接口裝置包括拇指輪，并且其中，所述用戶與所述人機(jī)接口裝置進(jìn)行交互包括使用所述拇指輪。
20.根據(jù)權(quán)利要求13所述的設(shè)備，包括 第一裝置，所述第一裝置由所述第一裝置內(nèi)包含的能量源供電，并且包括所述輸入接口和輸出接ロ ；以及 第二裝置，所述第二裝置包括所述秘密密鑰存儲(chǔ)裝置； 所述第二裝置還包括用于從所述第一裝置接收信號(hào)以及向所述第一裝置轉(zhuǎn)發(fā)信號(hào)的輸入和輸出裝置，所述第一裝置還包括用于從所述第二裝置接收信號(hào)以及向所述第二裝置轉(zhuǎn)發(fā)信號(hào)的輸入和輸出裝置。
21.根據(jù)權(quán)利要求20所述的設(shè)備，其中，所述第一裝置包括所述變換代理的至少一部分。
22.根據(jù)權(quán)利要求20所述的設(shè)備，其中，所述第一裝置包括所述加密代理的至少一部分。
23.根據(jù)權(quán)利要求20所述的設(shè)備，其中，所述第一裝置包括所述可變性源的至少一部分。
24.根據(jù)權(quán)利要求20所述的設(shè)備，其中，所述第二裝置包括所述變換代理的至少一部分。
25.根據(jù)權(quán)利要求20所述的設(shè)備，其中，所述第二裝置包括所述加密代理的至少一部分。
26.根據(jù)權(quán)利要求20所述的設(shè)備，其中，所述第二裝置包括所述可變性源的至少一部分。
27.根據(jù)權(quán)利要求20所述的設(shè)備，其中，所述第二裝置包括智能卡，并且所述第一裝置的輸入和輸出裝置包括智能卡接ロ。
全文摘要
交易被分類成有限數(shù)目的類別，請(qǐng)求向服務(wù)器提交交易的用戶還生成并提交所提交的交易的動(dòng)態(tài)交易類別批準(zhǔn)代碼。在服務(wù)器側(cè)，針對(duì)接收的交易生成相應(yīng)驗(yàn)證值。交易被指派到有限數(shù)目的風(fēng)險(xiǎn)等級(jí)之一。請(qǐng)求向服務(wù)器提交交易的用戶還生成并提交所提交的交易的動(dòng)態(tài)風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼。在服務(wù)器側(cè)，針對(duì)接收的交易生成相應(yīng)驗(yàn)證值。在服務(wù)器側(cè)，通過將接收的動(dòng)態(tài)風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼與生成的驗(yàn)證碼進(jìn)行比較來驗(yàn)證接收的動(dòng)態(tài)風(fēng)險(xiǎn)等級(jí)批準(zhǔn)代碼。
文檔編號(hào)H04L29/06GK102696212SQ201080047623
公開日2012年9月26日 申請(qǐng)日期2010年10月22日 優(yōu)先權(quán)日2009年10月23日
發(fā)明者弗蘭克·霍爾內(nèi)特, 迪爾克·馬里恩 申請(qǐng)人:威斯科數(shù)據(jù)安全國際有限公司