WO2015110037A1 - 一种双通道身份认证的方法和系统 - Google Patents

一种双通道身份认证的方法和系统 Download PDF

Info

Publication number
WO2015110037A1
WO2015110037A1 PCT/CN2015/071312 CN2015071312W WO2015110037A1 WO 2015110037 A1 WO2015110037 A1 WO 2015110037A1 CN 2015071312 W CN2015071312 W CN 2015071312W WO 2015110037 A1 WO2015110037 A1 WO 2015110037A1
Authority
WO
WIPO (PCT)
Prior art keywords
data
security
payment
identity authentication
security device
Prior art date
Application number
PCT/CN2015/071312
Other languages
English (en)
French (fr)
Inventor
邵通
Original Assignee
邵通
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from CN201410037680.4A external-priority patent/CN103971241A/zh
Application filed by 邵通 filed Critical 邵通
Priority to CN201580005779.9A priority Critical patent/CN106104608A/zh
Publication of WO2015110037A1 publication Critical patent/WO2015110037A1/zh

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/42—Confirmation, e.g. check or permission by the legal debtor of payment
    • G06Q20/425—Confirmation, e.g. check or permission by the legal debtor of payment using two different networks, one for transaction and one for security confirmation
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/32—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using wireless devices
    • G06Q20/327—Short range or proximity payments by means of M-devices
    • G06Q20/3278—RFID or NFC payments by means of M-devices
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/34—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using cards, e.g. integrated circuit [IC] cards or magnetic cards
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G06Q20/401—Transaction verification
    • G06Q20/4012—Verifying personal identification numbers [PIN]

Abstract

本发明的目的是提出一种双通道身份认证的方法和系统。在使用可能不安全的计算机终端时，可以利用另一个计算机终端与计算机终端配合，达到安全支付。在该方法中银行卡号和密码，不可能同时出现在可能不安全的设备中。该方法可以用于网络支付；结合好的密码协议，可简单且安全地解决使用银行、游戏等服务中身份认证和支付数据安全的方法。

Description

一种双通道身份认证的方法和系统 技术领域
本发明属于信息安全领域。本发明涉及的是一种双通道身份认证的方法和系统。具体地说，涉及一种利用使用装置输入用户标识，确认装置输入身份认证数据进行支付登录身份认证的方法和系统。
背景技术
银行卡及其支付方式由于方便性，得到普及。银行卡支付方式如图1所示，POS机3及由银行(银联)发放到商家，同时也关联该POS机3与收款账户(也可以把收款账户写入POS机3中)。用户在POS机3上刷卡42(输入付款账户)、输入金额、输入PIN41，POS机3把收款账户(或由于POS机3与收款账户关联，相当于收款账户信息)、付款账户、金额及PIN41加密后，通过电话网络传送到银联接入平台2，通过银行网络传送到相应的银行11(假设银行卡账户42的户开银行为银行11)；如果信息正确，银行11则进行相应的支付。
刷卡支付的本质就是：把收款账号、付款账号、金额及付款人的PIN(身份认证信息)，传送到银行；银行验证账号及相应PIN码正确后，进行相应的资金转移。
在目前网络支付中，还有令牌技术。支付流程是，在计算机上输入付款人的银行卡号等生成交易数据；用户根据银行认可的令牌设备显示的数据，输入计算机；银行根据交易数据中的付款账户及关联的令牌，比较用户输入令牌数据的正确性，正确一致即进行相应的支付。显然用户令牌显示的数据与银行有同步关系，这样才能进行身份认证。同步的方法有“时间同步”及“事件同步”等多种方法，该方案也成为双因素方案。
目前银行网络支付，还有一种短信支付方式，即用户在计算机上输入交易数据(如，付款账号、收款账号、金额等)，这些数据到达收单机构后，收单机构或银行发送交易数据及支付码到用户手机，用户确认交易正确后，在计算机上输入支付码，银行收到支付码与发出的支付码比较，一致后支付。
现有的网络应用中，比较常见的登录方式是：用户在计算机上打开浏览器进入网站页面；网站页面要求用户输入用户账户及PIN码；用户输入用户账户和PIN码后，计算机把用户账户和相关PIN码传送到网站；网站查询如果用户账户与PIN码匹配，那么允许该计算机登录该网站，并享有相应的权力，否则拒绝该计算机登录。
普通的网站登录，用户输入用户名及PIN码。网站验证该用户名及对应的PIN码正确，就确认该用户登录的有效性。而银行的POS支付，对应于网站登录而言，用户名相当于银行付款账号，PIN码的作用也是一样；但是表面上多了两个因素：收款账户及交易金额。收款账户其实相当于用户登录时的客户计算机地址或客户计算机上某个程序的地址；即POS机的地址或其唯一标识，决定了其在收单系统中的收款账户。所以从本质上看，网站登录与银行支付的区别就只是多了一个因素：金额。
网站登录的要素：用户名、PIN码及当前使用的计算机；
支付的要素：付款账户、PIN码、当前使用的POS(收款账户)及金额。
付款账户及用户名的本质，是服务器查找用户及相对应的身份认证手段。当身份认证数据与付款账户(用户名)匹配时，确认可以进行相应的工作。这样，付款账户和用户名的本质就是：标识数据(标识用户)；而PIN码就是：身份认证数据。当标识数据与身份认证数据匹配 后，银行或网站进行相应的工作。当然还有其他身份协议，甚至零知识身份认证协议，本质也是传送身份认证数据。
在用户的潜意识中，支付登录由两个必要因素决定：实物的银行卡(付款账户或用户名)和自己记忆的PIN码，并认为只要这两个因素不同时被攻击者掌握，支付登陆就是安全的；事实上，银行卡的安全性也是建筑在这个“安全假设”基础上的。同样登录网站，目前也是用户名和PIN两个因素。
为了安全，大多数用户“潜意识”中，更多的是把安全的希望建筑在PIN码的不泄露上。并希望当银行卡(或用户名)丢失后，用PIN码来保证安全，并认为PIN码不“容易”泄露。用PIN码保护安全也成为普通大众的“安全习惯”。从安全的角度，为了保护用户的PIN码，最好不在商家或别人的计算机(移动POS)上输入银行卡(或用户名)的真实PIN码，而采用在用户自己的手机上输入PIN码来提高保障安全的体验。
由于黑客和木马的存在，用户账户及PIN码被盗窃，造成黑客可以假冒用户进入网站，并使用用户的权力。为此，有很多技术方案来解决这个安全问题。例如用动态密码解决PIN码容易被盗的风险。但是动态密码也可以被中间人攻击，同样可以被黑客假冒。
在本申请文件中，有时需要用到各种密码技术来说明技术方案。非对称密码系统我们用RSA来说明：RSAXX私钥表示解密算法或签名算法，RSAXX公钥表示公开算法。Hash()表示哈希函数，用于给数据做一个加密标识，SM3表示另一种hash函数。用DES表示对称加密算法：DESE表示加密或解密，E表示密钥。
发明内容
在银行卡用户的潜意识中，支付由两个必要因素决定：实物的银行卡和自己记忆的PIN码，并认为只要这两个因素不同时被攻击者掌握，支付就是安全的；事实上，银行卡的安全性也是建筑在这个“安全假设”基础上的。
为了安全，大多数用户“潜意识”中，更多的是把安全的希望建筑在PIN码的不泄露上。并希望当卡丢失后，用PIN码来保证支付安全，并认为PIN码不“容易”泄露。用PIN码保护支付安全也成为普通大众的“安全习惯”。从安全的角度，为了保护用户的PIN码，最好不在商家或别人的“移动POS”上输入银行卡的真实PIN码，而采用在银行卡用户自己的手机上输入PIN码来提高保障安全的体验。
把有计算能力的手机变成传统的令牌，利用手机可以输入PIN码的优势增加支付的安全性，然后利用手机联网的特性实现银行卡号与PIN码的双通道传送，达到支付的安全和便捷的统一。
从现在人们的出行习惯来说，银行卡及手机都是必带物品；手机有显示器及键盘，充分利用持卡人自己的手机是一个安全易用的方案。相对于以前的POS机，现在需要三个装置：收款装置(或使用装置，如计算机或手机)、确认装置(如手机)及安全装置(服务网站)；用这三物品之间的信息交流的协议来提高安全性。利用使用装置(收款装置)与安全装置，确认装置与安全装置两个互不联系的信息通道，分别传送部分支付数据，然后由安全装置组合支付数据来提高支付系统的安全性。就是说这三个装置一起完成原来POS的工作。
总之，本发明的本质就是利用使用装置与安全装置，确认装置与安全装置两个互不联系的信息通道，分别传送部分支付登录数据，然后由安全装置组合支付登录数据来提高登录的安全 性。
根据本发明的一种双通道身份认证的系统，它包括：使用装置，用于获取包括标识的数据；确认装置，用于获取或产生身份认证的数据；安全装置，根据从使用装置获得的包括标识的数据和从确认装置获得的身份认证数据，组合生成登录支付数据；其中，使用装置与安全装置通过网络连接，确认装置与安全装置通过网络连接；使用装置获得包括标识的数据；安全装置通过与使用装置的连接通道，获得包括标识的数据；确认装置获得身份认证数据,并通过与安全装置的连接通道，传送到安全装置；安全装置关联包括标识的数据和身份认证数据，或根据接收到的包括标识的数据和身份认证数据，组合生成登录支付数据。
这里确认装置与安全装置网络连接，可以是通过使用装置(收款装置)中继来实现，身份认证数据可以是PIN码，也可以是其他身份认证数据，例如零知识身份认证数据。
更好地，确认装置与安全装置有同步的数据发生器，数据发生器生成的数据，可以用于标识数据与身份认证数据的关联，也可以用于确认装置变换身份认证数据和安全装置逆变换得到身份认证数据。
方便地，使用装置与确认装置还有单向数据通道装置，实现数据从使用装置到确认装置的单向传输(或从确认装置到使用装置的单向传输)，如二维码、NFC或蓝牙等通道。
根据本发明的另一方面：一种双通道身份认证的方法，它包括：A、使用装置获得包括标识的数据；B、安全装置通过与使用装置的连接通道，获得包括标识的数据；C、确认装置获得身份认证数据,并通过与安全装置的连接通道，传送到安全装置；D、安全装置关联包括标识的数据和身份认证数据，或根据接收到的包括标识的数据和身份认证数据，组合生成登录支付数据；E、安全装置传送登录支付数据到银行系统进行支付，或登录支付数据用于决定使用装置的登录是否合法，或把身份认证数据直接用于其他计算，或根据身份认证数据决定安全装置内某些计算是否执行。
进一步，步骤D安全装置是根据存储的标识数据与确认装置网络地址进行关联，确定标识数据与该网络地址的身份认证数据的关联。
还可以，确认装置与安全装置有同步的数据发生器，步骤D使用数据发生器生成的数据，用于标识数据与身份认证数据的关联，也可以用于确认装置变换身份认证数据和安全装置逆变换得到身份认证数据。
还可以，安全装置还存储标识数据与确认装置关联地址的信息，步骤D是根据该信息发送数据到确认装置，用于确认装置变换身份认证数据。
用于支付时，包括标识的数据中还有包括金额的交易数据；
还可以，步骤B后还有通过安全装置与确认装置的连接通道，传送信息到确认装置的步骤。
简单地，包括标识的数据中还包含用于关联包括标识的数据与身份认证数据的数据。
特别地，步骤D的身份认证数据是PIN码。
安全地，步骤C为：C1、确认装置获得PIN码；C2、变换PIN码；C3、通过安全装置与确认装置的连接通道，传送变换后的PIN码到安全装置。
进一步，C2是确认装置根据接收安全装置传送来的数据变换PIN码。
或者，步骤C2是根据使用装置(收款装置)内的数据产生器产生的数据或通过近场通信得到的数据变换PIN码。
进一步，步骤C2是根据确认装置内的数据产生器产生的数据或通过近场通信得到的数据变换PIN码。
还可以，步骤C为：C1、确认装置获得防偷窥码；C2、根据预存码、防偷窥码得到PIN码；C3、变换PIN码；C4、通过安全装置与确认装置的连接通道，传送变换后的PIN码到安全装置。
进一步，步骤B中还有通过安全装置与确认装置的连接通道，传送部分交易数据到确认装置的步骤。
附图说明
下面参照附图描绘本发明，其中
图1表示现有POS机支付系统的示意图；
图2表示简化的现有POS机支付系统的示意图；
图3表示优选实施例1、2、4、5、7、8、9相关联的系统的示意图；
图4表示优选实施例3，11相关联的系统的示意图；
图5表示优选实施例6相关联的系统的示意图；
图6表示优选实施例10相关联的系统的示意图。
具体实施方式
在本发明的实施例描述中，我们始终使用F代表付款账户、S代表收款账户、M代表金额、PIN代表个人识别码。
[实施例1](存储关联数据)
本发明的第1个实施例就是把交易数据用使用装置(收款装置)与安全装置，身份认证数据(PIN码)用确认装置与安全装置两个通道分别传送，然后由安全装置组合收到的数据组成完整的支付数据进行支付的实施例。
本实施例我们结合银行卡来叙述，一种双通道身份认证的方法和系统(支付系统)所关联的方法和系统如图3所示。支付系统由双通道身份认证系统1(安全装置11、确认装置12、使用装置13及网络14)、银行平台2及付款人3组成。其中安全装置11与使用装置13通过网络14连接；安全装置11与确认装置12通过网络14连接；安全装置11与银行平台2连接(也可以通过网络14连接，虚线表示)。
使用装置13包括：磁卡刷卡器131、收款账户S；付款人3有银行卡32(含有付款账户F)及相应的PIN31；确认装置12包括：与付款账户F对应的关联数据P；安全装置11包括：付款账户F、及与F对应的关联数据P。
支付的步骤为：
1、使用装置13有收款账户S，获得支付金额M，从付款人3刷银行卡32得到付款账户F；上述交易数据(M，S，F)通过网络14传送到安全装置11；
2、安全装置11接收到(M，S，F)，根据F得到对应的关联数据P。
3、确认装置12输入PIN31，通过网络14传送(PIN31，P)到安全装置11；
4、安全装置11根据P对应的F，进行(M，S，F)与(PIN31，P)的关联，得到与PIN31匹配的(M，S，F)；安全装置11发送支付数据(PIN31，M，S，F)到银行平台2；
5、如果正确，银行平台2支付并返回支付完成信息到安全装置11，然后到使用装置13； 否则返回支付错误信息到安全装置11，然后信息通过网络14返回到使用装置13或(和)确认装置12。
该实施例的P是用于关联的数据，可以是任何数据，只是要求安全装置11中付款账户F相关的P与确认装置12中的P一致即可，即P可以是一串没有其他意义的数据，只用于两部分交易数据的关联，该数据可以在安全装置和确认装置中分别输入即可；这样，确认装置12可以隐藏自己的网络地址发送(PIN31，P)到安全装置11。
P也可以是确认装置12的网络地址，如QQ号码、微信号码、微博号码、电子邮件预先获得的地址等。这样利用确认装置12的网络地址，增加判断从这些网络地址合法发送的数据，加强了本实施例的安全性。实施例1实现了付款账户F及金额M与PIN码的双通道分别传输到安全装置11的支付系统及方法，防止银行卡号(付款账户F)和PIN码被不法分子同时截取的可能性，提高了现有系统的安全性。
实施例与现有手机刷卡器技术的区别在于，银行卡PIN码的输入是在用户自己的手机上(确认装置)，而不是在刷卡的手机上；进一步与令牌技术(把用户手机看成令牌)的区别在于，需要在令牌上输入银行卡的PIN码，不需要在使用装置上输入令牌显示的数据，同时该令牌(手机)还有独立的通信功能，能够把数据直接传送到安全装置11，而不必通过使用装置13转发。很显然确认装置12传送到安全装置11的PIN31可以采用密码技术。如确认装置12执行RSA安全公钥(PIN31，P),安全装置11执行RSA安全私钥(RSA安全公钥(PIN31，P))，RSA安 全私钥不公开且由安全装置11自己掌握，RSA安全公钥与RSA安全私钥是一对公私密钥。由于确认装置12不储存PIN31，所以当确认装置12与银行卡32同时丢失时，与丢失普通银行卡安全风险基本一致，而令牌与卡一起丢失，那么就完全不安全。当然也可以使用对称密码体制，这样牵扯到密钥分配的协议。总之这里密码协议是保证传输过程的数据安全。在以下实施例中，公钥体制还有使用数字签名的优点。
还可以安全装置随机产生关联数据P，传送到使用装置13显示P，确认装置12除了输入PIN31外还要输入P，这样也可以实现交易数据关联。好处是安全装置11不需要存储付款账户F与关联数据P的对应关系。也可以采用确认装置12随机产生并显示关联数据P，在使用装置13上输入，传送到安全装置11用于关联。这些显示及输入步骤，还可以改用其他技术手段如，二维码，声波，NFC等近场数据传输技术。总之目的就是使安全装置11与确认装置12有一个用于关联的数据P。
关联数据P如果是网络地址，那么该信息也可以包含在发送PIN31到安全装置12的地址中，这样也可以单独对PIN31加密，而不需要对(PIN31，P)加密。由于P是网络地址，所以还可以有安全装置12把交易数据传送到确认装置11的步骤。这样便于用户确认交易数据的正确性。
事实上，双通道身份认证系统1共同配合完成一台银行POS的工作。
本实施例的双通道身份认证系统由使用装置、确认装置及安全装置组成。
在本实施例中，如果使用装置是计算机，刷卡获得付款账户就是输入用户名，在确认装置上输入PIN码。这就是一个双通道身份认证登录过程。付款账户或用户名就是用户的标识数据。
本实施例的双通道身份认证的方法，它包括：(步骤1)A、使用装置获得包括标识的数据(包 括付款账户的交易数据)；(步骤2)B、安全装置通过与使用装置的连接通道，获得包括标识的数据(获得交易数据)；(步骤3)C、确认装置获得身份认证数据,并通过与安全装置的连接通道，传送到安全装置；(步骤4)D、安全装置关联包括标识的数据和身份认证数据，或根据接收到的包括标识的数据和身份认证数据，组合生成登录支付数据；(步骤5)E、安全装置传送登录支付数据到银行系统进行支付，或登录支付数据用于决定使用装置的登录是否合法，或把身份认证数据直接用于其他计算，或根据身份认证数据决定安全装置内某些计算是否执行。
[实施例2](关联码是网络地址)
本实施例2我们结合银行卡来叙述，一种双通道身份认证系统所关联的方法和系统如图3所本发明的一个实施例就是把交易数据用使用装置(收款装置)与安全装置，身份认证数据用确认装置与安全装置两个通道分别传送，然后由安全装置组合收到的数据组成完整的支付数据后进行支付的实施例。
如图3所示。系统由双通道身份认证系统1(安全装置11、确认装置12、使用装置13及网络14)、银行平台2及付款人3组成。其中安全装置11与使用装置13通过网络14连接；安全装置11与确认装置12通过网络14连接；安全装置11与银行平台2连接(也可以通过网络14连接，虚线表示)。
使用装置13包括：磁卡刷卡器131、收款账户S；付款人有银行卡32(含有付款账户F)及相应的PIN31；安全装置11包括：付款账号与其对应的关联数据P，P是确认装置12的网络地址如手机号码、QQ号码、微博号码及电子邮件地址等。
支付的步骤为：
1、使用装置13有收款账户S，获得支付金额M，从付款人4刷银行卡32得到付款账户F；上述交易数据(M，S，F)通过网络14传送到安全装置11；
2、安全装置11接收到(M，S，F)，根据F得到对应的关联数据P，该地址就是确认装置12的网络地址。
3、安全装置11生成随机数R，根据网络地址P发送R到确认装置12。
4、用户在确认装置12输入PIN31，通过网络14传送(R+PIN31)到安全装置11，P是确认装置的网络地址；
5、安全装置11根据P关联(M，S，F)与(R+PIN31)；并根据R，得到PIN31＝(R+PIN31)-R；及与PIN31匹配的(M，S，F)；安全装置11发送支付数据(PIN31，M，S，F)到银行平台2；
6、如果正确，银行平台2支付并返回支付完成信息到安全装置11，然后到使用装置13；否则返回支付错误信息到安全装置11，然后信息通过网络14返回到使用装置13或(和)确认装置12。
该实施例的P是确认装置12的网络地址，可以是手机号码、QQ号码、微信号码、微博号码及电子邮件地址等。这样可以利用他们的安全性进一步加强了实施例的安全性。实施例2实现了付款账户F及金额M与PIN码的双通道分别传输到安全装置11的支付系统，防止银行卡号(付款账户F)和PIN码被不法分子同时截取的可能性，提高了现有系统的安全性。
步骤3也可以不只传送R，而是传送(R，M，S)，确认装置就可以显示确认(M，S)数据的正确性；
步骤4的R+PIN31只不过是一种根据数据R变换PIN31的一种方法，本质上应该是确认装置12可以计算一个函数H(R，PIN31)，然后安全装置根据R可以计算H-1(R，PIN31)并得到PIN31。当然H也可以使用对称密码体制和公开密码体制。
本实施例中的R，不是必须。但是有R安全性更高。
本实施例中，还可以采用安全装置11传送数据到确认装置12通过短信(网络)，而确认装置12传送数据到安全装置11使用计算机网络(WIFI,GPRS)。但本质上就是安全装置11与确认装置12能够双向传送信息，以下实施例均不赘述：手机短信网络和计算机网络合起来都看成一个网络，即网络14。
事实上，双通道身份认证系统1共同完成一台银行POS的工作。
该实施例与实施例1相比，就是利用网络地址作为关联数据，还可以传送交易数据到确认装置进行显示确认。与实施例1同样可以用于登录。刷卡输入付款账户改为输入用户名。
[实施例3](关联手机令牌)
实施例3我们结合银行卡来叙述，一种双通道身份认证系统所关联的方法和系统如图4所本发明的实施例就是把交易数据用使用装置(收款装置)与安全装置，身份认证数据用确认装置与安全装置两个通道分别传送，然后由安全装置组合收到的数据组成完整的支付数据后进行支付的实施例。
本实施例我们结合银行卡来叙述，一种双通道身份认证系统所关联的系统如图4所示。支付系统由双通道身份认证系统1(安全装置11、确认装置12、使用装置13及网络14)、银行平台2及付款人3组成。其中安全装置11与使用装置13通过网络14连接；安全装置11与确认装置12通过网络14连接；安全装置11与银行平台2连接。
使用装置13包括：磁卡刷卡器131、收款账户S；付款人3有银行卡32(含有付款账户F)及相应的PIN31；安全装置11包括：付款账户F与其对应的关联数据P，与付款账户F相关的数据生成器111；确认装置12包括数据生成器121，关联数据P。数据生成器121与数据生成器111生成的数据同步，如令牌技术中的时间同步，或事件同步。
支付的步骤为：
1、使用装置13有收款账户S，获得支付金额M，从付款人3刷银行卡32得到付款账户F；上述交易数据(M，S，F)通过网络14传送到安全装置11；
2、安全装置11接收到(M，S，F)，根据F得到对应的关联数据P，根据F得到对应数据生成器111生成的数据R；即有(M，S，F，P，R)。
3、确认装置12输入PIN31，确认装置12的数据生成器121生成数据R，并通过网络14，根据传送(R+PIN31，P)到安全装置11；
4、安全装置11根据P关联(M，S，F，P，R)和(R+PIN31，P)，得到(R+PIN31)及R，然后PIN31；组合并发送支付数据(PIN31，M，S，F)到银行平台2；
5、如果正确，银行平台2支付并返回支付完成信息到安全装置11，然后到使用装置13；否则返回支付错误信息到安全装置11，然后信息通过网络14返回到使用装置13或(和)确认装置12。
该实施例中的R，是由安全装置11的数据生成器111和确认装置12的数据生成器121分别产生。与令牌的原理一致，他们产生的数在一个时间段一致(时间同步)，或根据产生次数 一致(事件同步)。更进一步，还可以用一个真正的令牌产生这个数R，然后输入确认装置12来达到确认装置12获得R。也可以用近场通信技术实现数据R从令牌到确认装置的传送，如NFC技术，二维码，声波等近场数据传送技术。
实施例3与实施例2的区别在于，数据R由安全装置11与确认装置12分别产生一致的数据，而不需要从安全装置11传送到确认装置12，或者相反为了获得一致的R从确认装置12传送R到安全装置11。
与实施例1、2一样，关联数据P也可以是网络地址。实施例1、2、3的使用装置13获得付款账户F的方法都是刷银行卡32，实际上也可以使用二维码存储银行卡账户码，然后使用装置13扫描该二维码获得付款账户F。
本实施例的双通道身份认证系统由使用装置、确认装置及安全装置组成；确认装置还有与安全装置同步的数据发生器，数据发生器生成的数据，可以用于交易数据与身份认证数据的关联，也可以用于确认装置变换身份认证数据和安全装置逆变换得到身份认证数据；
如果加入关联码P，传输((R+PIN31)，P)；本实施例确认装置可以隐藏确认装置12的网络地址，也是一种安全手段。
在本实施例中，如果使用装置是计算机，刷卡获得付款账户就是输入用户名，在确认装置上输入PIN码。这就是一个双通道登录过程。付款账户或用户名就是用户的标识数据。
本实施例的双通道身份认证的方法，它包括：(步骤1)A、使用装置获得包括标识的数据(包括付款账户的交易数据)；(步骤2)B、安全装置通过与使用装置的连接通道，获得包括标识的数据(获得交易数据)；(步骤3)C、确认装置获得身份认证数据,并通过与安全装置的连接通道，传送到安全装置；(步骤4)D、安全装置关联包括标识的数据和身份认证数据，或根据接收到的包括标识的数据和身份认证数据，组合生成登录支付数据；(步骤5)E、安全装置传送登录支付数据到银行系统进行支付，或登录支付数据用于决定使用装置的登录是否合法，或把身份认证数据直接用于其他计算，或根据身份认证数据决定安全装置内某些计算是否执行。
[实施例4](二维码关联码)
实施例4我们结合银行卡来叙述，一种安全支付系统所关联的系统如图3所示。支付系统由双通道身份认证系统1(安全装置11、确认装置12、使用装置13及网络14)、银行平台2及付款人3组成。其中安全装置11与使用装置13通过网络14连接；安全装置11与银行平台2连接；确认装置12与安全装置11通过网络14连接。
使用装置13包括：刷卡器131、收款账户S；付款人有银行卡32(含有付款账户F)及相应的PIN31；
这样，支付的步骤为：
1、使用装置13有收款账户S，获得金额M，生成关联码P，从付款人3刷银行卡32中得到付款账户F，；上述交易数据(M，S，F，P)通过网络14传送到安全装置11；
2、使用装置13生成P的二维码，并显示；
3、确认装置12扫描使用装置13显示的二维码，得到P；
4、付款人3在确认装置12上输入PIN31；
5、确认装置12通过网络14传送(PIN31，P)到安全装置11；
6、安全装置11根据(PIN31，P)与(M，S，F，P)，得到PIN31匹配的(M，S，F)； 安全装置11发送支付数据(PIN31，F，S，M)到银行平台2；
7、如果正确，银行平台2支付并返回支付完成信息到安全装置11，然后到使用装置13；否则返回支付错误信息到安全装置11，然后信息通过网络14返回到使用装置13或(和)确认装置12。
实施例4中的关联码P的用途是提供给安全装置11进行支付数据的匹配和组合，所以该数据的生成可以是随机产生，可以是根据固定规则产生，当然也可以由安全装置11产生(如，流水码)，然后传送到使用装置13中。
本实施例中，确认装置12可以隐藏其网络地址。
在步骤2，3中，把“使用装置13生成P的二维码并显示；确认装置12扫描使用装置13显示的二维码，得到P”；可以有多种方法实现；如实施例中图形码方法。也可以使用声波的方式，使用装置把要传送的信息进行编码，用使用装置的扬声器播放出来，然后确认装置的听筒接收到扬声器的声音后，解码得到要传送的数据。为了让付款人确认付款金额，还可以在实施例4中的二维码中还包括一些交易信息。如这样，支付的步骤还可以为：
1、使用装置13有收款账户S，获得金额M，生成关联数据P，从付款人3刷银行卡32中得到付款账户F，；上述交易数据(M，S，F，P)通过网络14传送到安全装置11；
2、使用装置13生成(M，S，P)的二维码并显示；
3、确认装置12扫描使用装置13显示的二维码，得到(M，S，P)；
4、付款人3确认收款账户S及金额M后，在确认装置12上输入PIN31；
5、确认装置12，通过网络14传送(PIN31，P)到安全装置11；
6、安全装置11根据(PIN31，P)及(M，S，F，P)，得到PIN31匹配的(M，S，F)；安全装置11发送支付数据(PIN31，F，S，M)到银行平台2；
7、如果正确，银行平台2支付并返回支付完成信息到安全装置11，然后到使用装置13；否则返回支付错误信息到安全装置11，然后信息通过网络14返回到使用装置13或(和)确认装置12。
事实上，通过二维码单向从使用装置13向确认装置12传送的信息，也可以采用手工输入完成。扫描二维码的本质是信息从使用装置单向传送到确认装置，手工输入也是近场传送的手段。所以二维码还可以改成其他近场技术手段，如声波、NFC等等。
实施例4中的关联数据P的用途是提供给安全装置11进行登录数据的匹配和组合，所以该数据的生成可以是随机产生，可以是根据固定规则产生，当然也可以由安全装置11产生(如，流水码)，然后传送到使用装置13中。
本实施例中，确认装置12也可以隐藏其网络地址。
由于考虑安全装置11中，可以采用存储付款账户的HASH值，来提高安全性。付款账户的作用是查找相应密钥或查找确认装置的网络地址。
在本实施例中，如果使用装置是计算机，刷卡获得付款账户就是输入用户名，在确认装置上输入PIN码。这就是一个双通道登录过程。付款账户或用户名就是用户的标识数据。使用装置就是使用装置。扫描二维码可以不需要预存关联数据进行登录支付工作。
[实施例5](密码技术)
实施例5我们结合银行卡来叙述，一种安全支付系统所关联的系统如图3所示。支付系统由双通道身份认证系统1(安全装置11、确认装置12、使用装置13及网络14)、银行平台2及付款人3组成。其中安全装置11与使用装置13通过网络14连接；安全装置11与银行平台2连接；确认装置12与安全装置11通过网络14连接。
安全装置11包括：安全装置11私钥RSA安全私钥，付款账户F及相关的确认装置12的网络地址G；使用装置13包括：磁卡刷卡器131、安全装置11的公钥RSA安全公钥、收款账户S；确认装置12包括：安全装置11的公钥RSA安全公钥；付款人有银行卡32(含有付款账户F)及相应的PIN31；
这样，支付的步骤为：
1、使用装置13生成支付金额M，再刷银行卡32得到付款账户F，还有存储的收款账户S；使用装置13计算RSA安全公钥(M，S，F)，通过网络14传送到安全装置11；
2、安全装置11计算RSA安全私钥(RSA安全公钥(M，S，F))，得到(M，S，F)；并根据F得到确认装置的网络地址G；安全装置11生成关联码P，并计算RSA安全私钥(M，S，P),根据G传送到确认装置12；
3、确认装置12计算RSA安全公钥(RSA安全私钥(M，S，P))，得到(M，S，P)；
4、付款人3确认S及M后，在确认装置12上输入PIN31；
5、确认装置12，通过网络14传送RSA安全公钥(PIN31，P)到安全装置11；
6、安全装置11计算RSA安全私钥(RSA安全公钥(PIN31，P))，得到(PIN31，P)；
7、安全装置11根据P与已在安全装置11中的(M，S，F，P)，得到PIN31匹配的(M，S，F)；安全装置11发送支付数据(PIN31，F，S，M)到银行平台2
8、如果正确，银行平台2支付并返回支付完成信息到安全装置11，然后到使用装置13；否则返回支付错误信息到安全装置11，然后信息通过网络14返回到使用装置13或(和)确认装置12。
这里公钥体制的使用主要还是保证装置之间传递信息的安全性。显然密码体制可以不使用RSA双密钥体制，也可以使用其他双密钥体制，也可以使用对称密码体制。本实施例中，银行卡号(付款账户)与PIN码是双通道传递。显然使用对称密码体制，需要根据要求做好密钥分配协议。保证只有相应的装置才能得到相应数据的明文。
本实施例中，有确认装置的网络地址G，所以关联码P不是必须，有关联码P更安全。
图3中，在使用装置13中增加一个芯片，处于刷卡器131与使用装置13的CPU之间，内有收款账户S的私钥及安全装置11的公钥；这就是实施例6。
[实施例6](使用装置芯片)
一种双通道安全支付的方法所关联的系统如图5所示。支付系统由双通道身份认证系统1(安全装置11、确认装置12、网络14、使用装置13包含刷卡器131和芯片132)、银行平台2、付款人3组成。其中安全装置11与使用装置13通过网络14连接；安全装置11与银行平台2连接；确认装置12与安全装置11通过网络14连接。
安全装置11内包括：安全私钥RSA安全私钥、收款账户S及相关的公钥RSA收款公钥，付款账户F及相关的确认装置12的网络地址G；使用装置13包括芯片132，刷卡器131直接连接芯片132，该芯片内含有收款账户S及相关的私钥RSA收款私钥；确认装置12有安全公钥RSA安全公 钥；付款人3拥有银行卡32(付款账户F)及相应的PIN31。
这样，支付的步骤为
1、使用装置13生成金额M，刷卡器131刷银行卡32得到付款账户F，传送到芯片132，芯片132内有收款账户S；芯片132计算RSA收款私钥(M，S，F)，传送(S，RSA收款私 钥(M，S，F))到使用装置13，再通过网络14传送到安全装置11；
2、安全装置11根据S得到RSA收款公钥，再根据(S，RSA收款私钥(M，S，F))，得到(M，S，F)；并根据F得到确认装置12的网络地址G；安全装置11生成关联码P，并计算RSA安全私钥(M，S，P),根据G传送到确认装置12；
3、确认装置12计算RSA安全公钥(RSA安全私钥(M，S，P))，得到(M，S，P)；显示(M，S)；
4、付款人3确认S及M后，在确认装置12上输入PIN31；确认装置12计算RSA安全公钥(PIN31，M，S，P)，通过网络14传送到安全装置11；
5、安全装置11计算RSA安全私钥(RSA安全公钥(PIN31，M，S，P))，得到(PIN31，M，S，P)；根据P及安全装置11内已有的(M，S，F，P)，得到与PIN31关联的(M，S，F)；安全装置11发送支付数据(PIN31，M，S，F)到银行平台2；
6、如果正确，银行平台2支付并返回支付完成信息到安全装置11，然后到使用装置13；否则返回支付错误信息到安全装置11，然后信息通过网络14返回到使用装置13或(和)确认装置12。
由于在安全装置11中，可以改进直接存放付款账户F的安全性，可以存储付款账户F的HASH值，这里付款账户F的作用是对应确认装置12的网络地址，如手机号、QQ号、EMAIL地址、微信、博客地址等等。
[实施例7](有计算双通道)
一种双通道安全支付的方法所关联的系统如图3所示。支付系统由双通道身份认证系统1(安全装置11、确认装置12、使用装置13及网络14)、银行平台2、付款人3组成。其中安全装置11与使用装置13通过网络14连接；安全装置11与银行平台2连接；确认装置12与安全装置11通过网络14连接。
安全装置11内包括：安全私钥RSA安全私钥、安全公钥RSA安全公钥、付款账户F及相关的网络地址P；使用装置13含有安全公钥RSA安全公钥、收款账户S；确认装置12包含：安全公钥RSA安全公钥及付款私钥RSA付款私钥；付款人拥有银行卡32(CPU卡，有计算能力，内有确认装置12的网络地址P、付款账户F及RSA付款公钥)及付款的PIN码PIN31。
1、使用装置13获得金额M，银行卡32连接使用装置13；
2、使用装置13传送(金额M，收款账户S)到银行卡32；
3、银行卡32计算RSA安全公钥(M，S，F，P，RSA付款公钥)，并传送到使用装置13，然后传送到安全装置11；
4、安全装置11计算RSA安全私钥(RSA安全公钥(M，S，F，P，RSA付款公钥))，得到(M，S，F，P，RSA付款公钥)；
5、安全装置11计算RSA付款公钥(M，S，RSA安全公钥(M，S，F))；根据P传送到确认装置12；
6、确认装置12计算RSA付款私钥(RSA付款公钥(M，S，RSA安全公钥(M，S，F))，得到(M，S，RSA安全公钥(M，S，F))；
7、用户确认M及S后，在确认装置12上输入PIN31；
8、确认装置12计算并传送RSA安全公钥(PIN31，RSA安全公钥(M，S，F))到安全装置11；
9、安全装置11根据RSA安全私钥及RSA安全公钥((PIN31，RSA安全公钥(M，S，F)))，计算得到PIN31及(F，S，M)；安全装置11发送：(PIN31，F，S，M)到银行平台2；
10、如果正确，银行平台2支付并返回支付完成信息到安全装置11，然后到使用装置13；否则返回支付错误信息到安全装置11，然后信息通过网络14返回到使用装置13或(和)确认装置12。
该实施例是利用现在银行业的CPU卡，来实现安全支付。即把在POS机输入密码(PIN)的工作，转移到用户手持设备(手机)上，进一步提高安全性。这样用户在很大程度上，不需要关注POS机的安全性。
本实施例的优点在于，安全装置不需要存储交易信息及用户信息。有利于安全装置专注于密码处理。
[实施例8](有签名双通道)
根据本发明关联的第8种实施方式，一种双通道安全支付的方法所关联的系统如图3所示。支付系统由双通道身份认证系统1(安全装置11、确认装置12、使用装置13、网络14)、银行平台2、付款人3组成。其中安全装置11与使用装置13通过网络14连接；安全装置11与银行平台2连接；确认装置12与安全装置11通过网络14连接。
安全装置11内包括：安全私钥RSA安全私钥、安全公钥RSA安全公钥、付款账户F及相关的网络地址P；使用装置13含有安全公钥RSA安全公钥、收款账户S；确认装置12包含：安全公钥RSA安全公钥；付款人拥有银行卡32(CPU卡，有计算能力，内有确认装置12的网络地址P及付款账户F)及付款PIN码PIN31。银行平台2有付款账户F及相应的RSA付款公钥。
这样，支付的步骤为
1、使用装置13获得金额M，银行卡32连接使用装置13；
2、使用装置13传送(金额M，收款账户S)到银行卡32；
3、银行卡32计算RSA安全公钥(M，S，F，P，RSA付款私钥(M，S，F))，并传送到使用装置13，然后传送到安全装置11；
4、安全装置11计算RSA安全私钥(RSA安全公钥(M，S，F，P，RSA付款私钥(M，S，F)))，得到(M，S，F，P，RSA付款私钥(M，S，F))；
5、安全装置11根据P计算并传送RSA安全私钥(M，S，RSA安全公钥(F、RSA付款私钥(M，S，F)))到确认装置12；
6、确认装置12计算RSA安全公钥(RSA安全私钥(M，S，RSA安全公钥(F、RSA付款私钥(M，S，F))))，得到(M，S，RSA安全公钥(F、RSA付款私钥(M，S，F)))；
7、用户确认M及S后，在确认装置12上输入PIN31；
8、确认装置12计算并传送RSA安全公钥(PIN31，RSA安全公钥(F、RSA付款私钥(M，S，F)))到安全装置11；
9、安全装置11根据RSA安全私钥及RSA安全公钥(PIN31，RSA安全公钥(F、RSA付款私钥(M，S，F)))，得到PIN31、F及RSA付款私钥(M，S，F)；安全装置11发送：(PIN31，F，RSA付款私钥(M，S，F))到银行平台2，该平台使用RSA付款公钥验证支付正确性；
10、如果正确，银行平台2支付并返回支付完成信息到安全装置11，然后到使用装置13；否则返回支付错误信息到安全装置11，然后信息通过网络14返回到使用装置13或(和)确认装置12。
该实施例是利用现在银行业的CPU卡，来实现安全支付。即把在POS机输入密码(PIN)的工作，转移到用户手持设备(手机)上，进一步提高安全性。这样用户在很大程度上，不需要关注POS机的安全性。本实施例的优点在于，安全装置不需要存储交易信息。有利于安全装置专注于密码处理。
再有就是交易结束后，银行留有交易的数字签名数据RSA付款私钥(M，S，F)。
[实施例9](无计算双通道)
根据本发明关联的第9种实施方式，一种双通道安全支付的方法所关联的系统如图3所示。支付系统由双通道身份认证系统1(安全装置11、确认装置12、使用装置13、网络14)、银行平台2、付款人3组成。其中安全装置11与使用装置13通过网络14连接；安全装置11与银行平台2连接；确认装置12与安全装置11通过网络14连接。
安全装置11内包括：安全私钥RSA安全私钥、安全公钥RSA安全公钥；使用装置13含有安全公钥RSA安全公钥、收款账户S；确认装置12包含：安全公钥RSA安全公钥及付款私钥RSA付款私钥；付款人3拥有银行卡32(包含支付数据：RSA安全公钥(付款账户F，确认装置12网络地址P，RSA付款公钥))及付款的PIN码PIN31。
这样，支付的步骤为
1、使用装置13得到RSA安全公钥(F，P，RSA付款公钥)；
2、使用装置13得到金额M及收款账户S，计算RSA安全公钥(M，S，RSA安全公钥(F，P，RSA付款公钥))，并传送到安全装置11；
3、安全装置11根据RSA安全私钥计算得到：(M，S，F，P，RSA付款公钥)；
4、安全装置11计算RSA付款公钥(M，S)；根据P传送到确认装置12；
5、确认装置12计算RSA付款私钥(RSA付款公钥(M，S))，得到(M，S)；
6、用户确认S及M后，在确认装置12上输入PIN31；
7、确认装置传送RSA安全公钥(PIN31)到安全装置11；
8、安全装置11计算RSA安全私钥(RSA安全公钥(PIN31))，得到PIN31，并根据接收RSA安全公钥(PIN31)的网络地址P，匹配得到(F，S，M)；安全装置11发送：(PIN31，F，S，M)到银行平台2；
9、如果正确，银行平台2支付并返回支付完成信息到安全装置11，然后到使用装置13；否则返回支付错误信息到安全装置11，然后信息通过网络14返回到使用装置13或(和)确认装置12。
本实施例的第7步的RSA安全公钥(PIN31)，可以用RSA付款私钥(PIN31)代替，其后的步骤进行相应的修改。甚至可以用RSA付款私钥(PIN31，M，S)代替，即留有交易的数字签名。
本实施例的第1步，使用装置13得到RSA安全公钥(F，P，RSA付款公钥)。可以通过多种方式： 如把RSA安全公钥(F，P，RSA付款公钥)数据印刷成二维码，然后使用装置扫描该二维码获得；也可以把RSA安全公钥(F，P，RSA付款公钥)存放在磁条卡上，使用装置通过刷卡获得；还可以把RSA安全公钥(F，P，RSA付款公钥)放到IC卡上，通过在使用装置上插入IC卡获得；还可以把RSA安全公钥(F，P，RSA付款公钥)放到射频卡上(如电子标签、Mifare卡、Desfire卡等近场数据通信的卡)，通过让该卡靠近使用装置获得。
本实施例的第7步，RSA安全公钥(PIN31)可以在加密时扩展一个随机数R，变成计算RSA安全公钥(PIN31，R)防止使用RSA安全公钥进行穷举PIN31进行攻击。
本实施例的优点在于，当交易开始前和结束后，安全装置中不需要存储任何与付款用户和收款用户相关的信息，这样的安全装置的工作比较简洁，可以做成庄永密码机，不受黑客攻击。
本实施例还可以在使用装置上增加一个安全芯片，内部有收款账户及收款私钥，并且收款公钥用数字证书加以确认。这样，传送到安全装置的数据可以用收款公钥进行验证和解密，可以确保确认装置收到的交易数据的真实性，防止使用装置内的木马篡改收款账户。
为了安全，还可以用付款用户名代替真实的付款账户，实现对付款账户的保密。显然也可以用加入收款用户名，或用收款账户名代替收款账户，实现收款账户的保护和付款人方便确认收款人，同样也可以加入付款账户名。这样实现上，只需在安全装置上建立付款账户与付款用户名，或收款账户与收款用户名的对应即可。
该实施例显然修改后可以用于登录。付款账户对应用户名。
[实施例10](CPU卡)
根据本发明关联的第10种实施方式，一种双通道支付的方法所关联的系统如图6所示。支付系统由双通道身份认证系统1(安全装置11(CPU卡)、确认装置12、使用装置13、网络14)、银行平台2、付款人3组成。其中安全装置11(CPU卡)与使用装置13连接；安全装置11(CPU卡)与银行平台2通过使用装置13及网络14连接，安全装置11(CPU卡)与确认装置12通过使用装置13及网络14连接；确认装置12与安全装置11(CPU卡)通过使用装置13及网络14连接。
安全装置11(CPU卡)包括：卡数据私钥RSA卡数据私钥、卡数据公钥RSA卡数据公钥、付款私钥RSA付款私钥、付款账户F及确认装置12的网络地址QP、确认付款签名的PIN码PIN111；使用装置13有芯片131内含收款账户S、使用装置13网络地址SP；确认装置12芯片121包含：卡数据私钥RSA卡数据私钥、卡数据公钥RSA卡数据公钥、安全装置11确认付款签名PIN码PIN111，及确认使用PIN111的芯片码31；付款人3拥有芯片码31；银行平台2有与付款账户F相关的RSA付款公钥用于验证RSA付款私钥数字签名的正确性。
这样，支付的步骤为
1、使用装置13获得金额M，传送到芯片131，芯片131有收款账户S，使用装置13网络地址SP，传送(M，S，SP)到安全装置11；
2、安全装置11生成随机数R，有确认装置12网络地址QP，计算RSA卡数据私钥(M，S，SP，R)，传送(QP，RSA卡数据私钥(M，S，SP，R))到芯片131，然后到使用装置13；
3、使用装置13根据QP，传送RSA卡数据私钥(M，S，SP，R)到确认装置12；
4、确认装置12传送RSA卡数据私钥(M，S，SP，R)到芯片121，计算RSA卡数据公钥(RSA卡 数据私钥(M，S，SP，R))得到(M，S，SP，R)；
5、芯片121传送(M，S)到确认装置12，并显示；
6、用户确认(M，S)正确后，在确认装置上输入芯片码31，并传送到芯片121；
7、芯片121判断芯片码31，正确传送RSA卡数据私钥(R+PIN111)及SP到确认装置12；根据SP通过网络14传送RSA卡数据私钥(R+PIN111)到使用装置13，通过使用装置13传送到安全装置11；
8、安全装置11计算RSA卡数据公钥(RSA卡数据私钥(R+PIN111))，得到(R+PIN111)；根据第2步产生的R，得到PIN111；
9、安全装置11根据PIN111的正确性，计算RSA付款私钥(PIN111，F，S，M)或RSA付款 私钥(F，S，M)到银行平台2；支付平台用RSA付款公钥验证签名的正确性。
10、如果正确，银行平台2进行支付并返回支付完成信息到使用装置13或(和)确认装置12，否则返回错误信息到使用装置13或(和)确认装置12。
在这个实施例中，安全装置与确认装置的连接通道就是通过使用装置实现的加密通道，类似VPN技术。在这个加密通道中，可以用非对称密码体制解决加密和解密的问题。当然也可以用对称密码体制解决加密和解密问题。也可以用公钥解决密钥传输，对称密码体制解决加密。总之，可以把安全装置与确认装置的连接，在密码意义下看成直接连接。本专利申请以上所有实施例中，安全装置与确认装置的连接都可以用这种方式处理。达到安全装置与确认装置的安全连接，即攻击者不能从连接通道获得有意义的数据。
本实施例中是传输R来增强安全。也可以参考实施例3用令牌技术，让安全装置与确认装置获得相同的R。这样安全装置在没有确认装置的芯片121工作获得R的前提下，不可能进行支付。
本实施例的芯片码32的功能是打开芯片121，使之进行相应的计算，也可以让芯片码等同PIN111，这样就不需要在芯片121中存储PIN111了。直接从确认装置上获得PIN111传送到芯片121进行计算。
本实施例中的芯片131及芯片121，都可以用软件实现。芯片131的目的是确保收款账户S传送到安全装置11，即使黑客完全掌握使用装置的OS系统，也不能篡改收款账户。
与该实施例对应，我们可以考虑登录方法。
安全装置11包括：登录账户F及相关的登录公钥RSA登录公钥和确认装置12的网络地址P；使用装置13有使用装置网络地址D；确认装置12芯片121包含：登录私钥RSA登录私钥、登录账户F的PIN码PIN111，及确认使用PIN111的芯片码31；用户3拥有芯片码31及登录账户F。
1、使用装置13获得登录账户F，使用装置网络地址D；上述数据(F、D)通过网络3传送到安全装置11；
2、安全装置11得到(F、D)，根据F得到确认装置12网络地址P及RSA登录公钥，生成随机数R，计算RSA登录公钥(R，F，D)，根据P传送到确认装置12；
3、确认装置12传送RSA登录公钥(R，F，D)到芯片121，芯片121计算RSA登录私钥(RSA登录公钥(R))得到(R，F，D)；
4、在确认装置上输入芯片码31，并传送到芯片121；
5、芯片121判断芯片码31，正确传送RSA登录私钥(R+PIN111，F，D)到确认装置12，然 后通过网络14传送到安全装置11；
6、安全装置11计算RSA登录公钥(RSA登录私钥(R+PIN111，F，D))，得到(R+PIN111，F，D)；根据第2步产生的R，得到(PIN111，F，D)；发送登录数据(PIN111、F、D)到网站2；
7、网站2根据(PIN111、F、D)中的(PIN111、F)判断，正确允许网络地址D的用户登录成功，否则拒绝登录。
这里芯片码31的功能就是决定芯片121是否进行密码计算的工作。这样可以在确认装置(手机)丢失后，防止确认装置的滥用。由于木马可以窃取芯片码31，所以采用与芯片121直接连接的指纹识别设备更好。这样指纹数据不出现在确认装置中，预存的指纹和采集的指纹都只在芯片121中，提高了安全性。
[实施例11](防偷窥)
实施例11我们结合银行卡来叙述，一种安全支付系统所关联的方法和系统如图4所本发明的实施例就是把交易数据用使用装置与安全装置，身份认证数据用确认装置与安全装置两个通道分别传送，然后由安全装置组合收到的数据组成完整的支付数据后进行支付的实施例。
本实施例我们结合银行卡来叙述，一种安全支付系统所关联的系统如图4所示。支付系统由双通道身份认证系统1(安全装置11、确认装置12、使用装置13及网络14)、银行平台2及付款人3组成。其中安全装置11与使用装置13通过网络14连接；安全装置11与确认装置12通过网络14连接；安全装置11与银行平台2连接。
使用装置13包括：磁卡刷卡器131、收款账户S；付款人3有银行卡32(含有付款账户F)及相应的PIN31所对应的防偷窥码FP31；安全装置11包括：付款账户F与其对应的关联数据P，与付款账户F相关的数据生成器111；确认装置12包括数据生成器121，预存码YC122＝PIN31+FP31，关联数据P。数据生成器121与数据生成器111生成的数据同步，如令牌技术中的时间同步，或事件同步。
支付的步骤为：
1、使用装置13有收款账户S，获得支付金额M，从付款人3刷银行卡32得到付款账户F；上述交易数据(M，S，F)通过网络14传送到安全装置11；
2、安全装置11接收到(M，S，F)，根据F得到对应的关联数据P，根据F得到对应数据生成器111生成的数据R；即有(M，S，F，P，R)。
3、确认装置12输入FP31，确认装置12的数据生成器121生成数据R，有预存码YC122，得到PIN31＝YC122-FP31＝PIN31+FP31-FP31，并通过网络14，根据传送(R+PIN31，P)到安全装置11；
4、安全装置11根据P关联(M，S，F，P，R)和(R+PIN31，P)，得到(R+PIN31)及R，然后PIN31；组合并发送支付数据(PIN31，M，S，F)到银行平台2；
5、如果正确，银行平台2支付并返回支付完成信息到安全装置11，然后到使用装置13；否则返回支付错误信息到安全装置11，然后信息通过网络14返回到使用装置13或(和)确认装置12。
该实施例中与实施例3基本一致，区别在于在确认装置上用户不是输入银行卡32的PIN31，而是FP31。这样可以防止对用户输入PIN码的偷窥。当银行卡32与确认装置12同时 丢失后，确认装置12中并没有PIN31，所以安全。而FP31被偷窥，同时银行卡32丢失(被复制)，只要确认装置12没有同时被丢，银行卡支付还是安全。采用YC122与FP31共同解决了防偷窥的问题。另外这个防偷窥的YC122＝PIN31+FP31，PIN31＝YC122-FP31就是YC122根据PIN31及FP31进行变换，PIN31根据YC122及FP31进行逆变换。这两个可逆的函数，而不是一定使用加法和减法。
该实施例显然修改后可以用于登录。付款账户对应用户名。
上述所有实施例中，安全装置可以与银行平台直接连接，也可以与银行平台2通过网络14连接，图上画虚线表示这种连接。当然通过网络14连接应该增加密码技术保证信息从安全装置到银行平台2的安全性。
总结本发明的思想，其核心就是双通道，让使用装置(收款装置)及确认装置分别传送部分登录支付数据(交易数据)，然后安全装置组合这两部分数据为登录支付数据，除安全装置外，任何装置中都不会有完整的支付数据。
在以上的实施例中，装置之间的数据传送，在叙述时有的没有采用加密技术。两个设备通信的加密技术及密钥分配，对称密码体制和公开密码体制这些技术都是公知技术。我们的实施例可以都使用这些技术实现通信的加密。为叙述方便，就不具体一一叙述。
另外，在以上所有实施例中。现实的实现方法可能还需要在安全装置和银行支付系统间加一个密码装置或工作装置。该密码装置或工作装置和安全装置共同完成实施例中安全装置的功能。
以上用实施例来说明本发明的方法。但是本发明并不完全限定用于银行应用，显然也可以应用于网络游戏，还有其他需要身份认证(账号及密码)的应用。尽管在以上的实施例中对本发明进行了描述，但可以理解，以上实施例的描述是说明性的而非限制性的，本领域的熟练技术人员可以理解，在不脱离由权利要求书定义的本发明的精神和范围的前提下，可做出各种变形、改进、修改和替换。

Claims (10)

  1. 一种双通道身份认证的系统，它包括：
    使用装置，用于获取包括标识的数据；
    确认装置，用于获取或产生身份认证的数据；
    安全装置，根据从使用装置获得的包括标识的数据和从确认装置获得的身份认证数据，组合生成登录支付数据；
    其中，使用装置与安全装置通过网络连接，确认装置与安全装置通过网络连接；
    使用装置获得包括标识的数据；安全装置通过与使用装置的连接通道，获得包括标识的数据；确认装置获得身份认证数据,并通过与安全装置的连接通道，传送到安全装置；安全装置关联包括标识的数据和身份认证数据，或根据接收到的包括标识的数据和身份认证数据，组合生成登录支付数据。
  2. 根据权利要求1的系统，特征在于确认装置与安全装置有同步的数据发生器，数据发生器生成的数据，可以用于标识数据与身份认证数据的关联，也可以用于确认装置变换身份认证数据和安全装置逆变换得到身份认证数据。
  3. 根据权利要求1的系统，特征在于使用装置与确认装置还有单向数据通道装置，实现数据从使用装置到确认装置的单向传输(或从确认装置到使用装置的单向传输)，如二维码、NFC或蓝牙等通道。
  4. 一种双通道身份认证的方法，它包括：
    A、使用装置获得包括标识的数据；
    B、安全装置通过与使用装置的连接通道，获得包括标识的数据；
    C、确认装置获得身份认证数据,并通过与安全装置的连接通道，传送到安全装置；
    D、安全装置关联包括标识的数据和身份认证数据，或根据接收到的包括标识的数据和身份认证数据，组合生成登录支付数据；
    E、安全装置传送登录支付数据到银行系统进行支付，或登录支付数据用于决定使用装置的登录是否合法，或把身份认证数据直接用于其他计算，或根据身份认证数据决定安全装置内某些计算是否执行。
  5. 根据权利要求4的方法，特征在于步骤D安全装置是根据存储的标识数据与确认装置网络地址进行关联，确定标识数据与该网络地址的身份认证数据的关联。
  6. 根据权利要求4的方法，特征在于确认装置与安全装置有同步的数据发生器，步骤D使用数据发生器生成的数据，用于标识数据与身份认证数据的关联，也可以用于确认装置变换身份认证数据和安全装置逆变换得到身份认证数据。
  7. 根据权利要求5的方法，特征在于安全装置还存储标识数据与确认装置关联地址的信息，步骤D是根据该信息发送数据到确认装置，用于确认装置变换身份认证数据。
  8. 根据权利要求4到7的方法，其特征在于包括标识的数据中还有包括金额的交易数据；
  9. 根据权利要求4到7的方法，步骤B后还有通过安全装置与确认装置的连接通道，传送信息到确认装置的步骤。
  10. 根据根据权利要求4到7的方法，特征在于包括标识的数据中还包含用于关联包括标识的数据与身份认证数据的数据。
PCT/CN2015/071312 2014-01-27 2015-01-22 一种双通道身份认证的方法和系统 WO2015110037A1 (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201580005779.9A CN106104608A (zh) 2014-01-27 2015-01-22 一种双通道身份认证的方法和系统

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201410037680.4A CN103971241A (zh) 2013-01-28 2014-01-27 一种双通道支付的方法和系统
CN201410037680.4 2014-01-27

Publications (1)

Publication Number Publication Date
WO2015110037A1 true WO2015110037A1 (zh) 2015-07-30

Family

ID=53683121

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2015/071312 WO2015110037A1 (zh) 2014-01-27 2015-01-22 一种双通道身份认证的方法和系统

Country Status (2)

Country Link
CN (1) CN106104608A (zh)
WO (1) WO2015110037A1 (zh)

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101321068A (zh) * 2008-07-23 2008-12-10 北京握奇数据系统有限公司 实现双重身份认证的方法及装置
CN101631020A (zh) * 2008-07-16 2010-01-20 上海方立数码科技有限公司 指纹识别与pki体系相结合的身份认证系统
CN102945365A (zh) * 2012-10-19 2013-02-27 西安凯虹电子科技有限公司 多种数据传输方式的手持式虹膜识别装置及方法
CN202976102U (zh) * 2012-11-22 2013-06-05 深圳市亚略特生物识别科技有限公司 身份识别装置
CN103177482A (zh) * 2011-12-20 2013-06-26 西安众智惠泽光电科技有限公司 一种基于双重身份验证的打卡机
CN103973445A (zh) * 2013-01-28 2014-08-06 邵通 一种双通道登录的方法和系统

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102054316A (zh) * 2009-11-06 2011-05-11 中国银联股份有限公司 一种通过手机进行密码认证的银行卡交易方法及系统
CN103377429A (zh) * 2012-04-17 2013-10-30 中国银联股份有限公司 一种使用二维码进行的支付方法以及支付系统

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101631020A (zh) * 2008-07-16 2010-01-20 上海方立数码科技有限公司 指纹识别与pki体系相结合的身份认证系统
CN101321068A (zh) * 2008-07-23 2008-12-10 北京握奇数据系统有限公司 实现双重身份认证的方法及装置
CN103177482A (zh) * 2011-12-20 2013-06-26 西安众智惠泽光电科技有限公司 一种基于双重身份验证的打卡机
CN102945365A (zh) * 2012-10-19 2013-02-27 西安凯虹电子科技有限公司 多种数据传输方式的手持式虹膜识别装置及方法
CN202976102U (zh) * 2012-11-22 2013-06-05 深圳市亚略特生物识别科技有限公司 身份识别装置
CN103973445A (zh) * 2013-01-28 2014-08-06 邵通 一种双通道登录的方法和系统
CN103971241A (zh) * 2013-01-28 2014-08-06 邵通 一种双通道支付的方法和系统

Also Published As

Publication number Publication date
CN106104608A (zh) 2016-11-09

Similar Documents

Publication Publication Date Title
AU2015277000B2 (en) Efficient methods for authenticated communication
CN109150548B (zh) 一种数字证书签名、验签方法及系统、数字证书系统
JP6701431B2 (ja) セキュアチャネルの確立
US20180144114A1 (en) Securing Blockchain Transactions Against Cyberattacks
CA2875503C (en) Enterprise triggered 2chk association activation
CA2875563C (en) Enchanced 2chk authentication security with query transactions
US20190173873A1 (en) Identity verification document request handling utilizing a user certificate system and user identity document repository
WO2015161699A1 (zh) 数据安全交互方法和系统
Liu et al. State of the art: Secure mobile payment
US11636478B2 (en) Method of performing authentication for a transaction and a system thereof
CN111756533A (zh) 用于安全密码生成的系统、方法和存储介质
CN101770619A (zh) 一种用于网上支付的多因子认证方法和认证系统
GB2434724A (en) Secure transactions using authentication tokens based on a device "fingerprint" derived from its physical parameters
WO2015161690A1 (zh) 数据安全交互方法和系统
CN102710611A (zh) 网络安全身份认证方法和系统
WO2013044192A2 (en) Securing transactions against cyberattacks
TW201417010A (zh) 行動裝置進行金融憑證交易之系統與方法
CN101944216A (zh) 双因子在线交易安全认证方法及系统
CN113507372A (zh) 一种接口请求的双向认证方法
CN107615797B (zh) 一种隐藏用户标识数据的装置、方法和系统
KR101348079B1 (ko) 휴대단말을 이용한 전자서명 시스템
Ahamad et al. A biometric based secure mobile payment framework
KR20140046674A (ko) 클라우드 공인인증 시스템 및 그 제공방법
US20160335636A1 (en) Dual-Channel Identity Authentication Selection Device, System and Method
Nashwan et al. Mutual chain authentication protocol for SPAN transactions in Saudi Arabian banking

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 15740129

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 15740129

Country of ref document: EP

Kind code of ref document: A1