CN101180662A - 安全的数据通信的方法 - Google Patents

Abstract

在客户终端(1)与安全数据库服务器(2)之间的数据交换中，使用由单独的安全服务器(3)中的组合生成器(7)产生的位置信息将数据编码。所述位置信息用于产生特定于通信事件的图像，其由客户终端(1)访问，并且是在客户终端(1)输入敏感数据的基础。在客户终端、数据库服务器和安全服务器之间的三路通信链路极大地增加了成功截获客户终端输入的数据以及将其解码的难度。所述安全数据通信的方法尤其适合于例如银行业中的密码数据的传送。

Description

安全的数据通信的方法

技术领域

本发明涉及一种安全的数据通信的方法和一种采用该方法的系统。具体地，本发明涉及一种在客户终端与远程服务器之间进行数据通信的方法，其中，该远程服务器防止被交换数据的有效的未经授权的截获，因而在数据已加密的情况下，使得加密数据被解码的风险可以忽略。本发明尤其适合于但不限于金融应用，如ATM和在线银行业务，其中，用于访问安全金融数据的授权数据由客户终端通过可能不安全的通信链路传送到远程服务器，于是在该服务器对授权数据进行验证。

背景技术

自然地，仅准许经授权的人员访问安全数据是很重要的。但是，在许多领域，必须对安全需要与数据的快速和远程访问的需要进行权衡。例如，医院的事故抢救队立即访问病人的个人医疗记录的能力可以证明是能够拯救生命的。就银行客户而言，现在他们需要能够快速而容易地访问他们的资金，而不必一定要在正常工作时间去银行部门。为此，已开发出安全系统，该系统将数据保持在安全的数据库服务器上，并且允许通过远程客户终端访问数据。

在这种安全系统中，通常通过使用授权数据如用户名、密码或个人标识号(PIN)来对用户身份进行验证，该授权数据在客户终端与数据库服务器之间发送。尽管客户终端的用户可以采取各种措施来保证授权数据处于保密状态，但是，在用户输入授权数据时，授权数据可能会被他人看到，或者可能在客户终端与数据库服务器之间的某点以电子方式被截获。

对金融数据如个人银行资料的未经授权的访问，显然带来了金钱报酬，从而使其成为日益增加的犯罪行为的目标。目前，许多信用卡或借记卡采用带有持卡者部分授权数据的磁条或电子芯片。该授权数据的剩余部分对于持卡者是已知的，例如以PIN的形式知道。当卡插入自动柜员机(ATM)或者借记卡“PDQ”机时，存储在磁条或电子芯片上的信息以及持卡者输入的PIN被传送到远程数据库服务器或者单独的授权服务器以便进行验证。如果授权数据正确，则持卡者被准予访问其金融数据。

一种简单形式的卡诈骗是观察持卡者在ATM输入其PIN，然后偷取该卡。或者，不偷卡(偷卡自然会使持卡者警觉)，而是可以在金融交易期间使用可公开得到的磁卡读取器来复制该卡上存储的数据。于是，复制的卡可以用于购买和现金提取，而不会引起持卡者或银行的注意。

相比磁条卡，智能卡具有的明显安全优势在于所有的授权数据，包括PIN，是以加密的形式存储在卡上的。这使得实际上不能在金融交易期间进行卡复制。而且，如果卡被偷，犯罪分子访问存储在该卡上的PIN也是极其困难和耗时的。然而，通过观察持卡者输入其PIN并且随后偷取该卡，仍然能够进行卡诈骗。这种形式的卡诈骗尤其与智能卡相关，其中，使用PIN而不是签名来进行日常的电子销售点(EPOS)交易。结果，持卡者PIN被观看到的机会日益增加。

FR2819067描述了一种用于智能卡并且包括触摸屏小键盘的EPOS终端。每次智能卡插入该EPOS终端，在触摸屏小键盘上向持卡者显示随机的小键盘排列，供输入其PIN。结果，观察者仅通过观察持卡者的手指移动并不能确定持卡者的PIN。在US 5,949,348和US 4,479,112中描述了类似的系统。

由于智能卡的PIN存储在卡本身上，所以进行EPOS交易不需要将全部的授权数据发送到数据库或授权服务器。具体地，存储在卡上的PIN决不在EPOS终端之外传送。因此，这些公开文献没有解决在EPOS终端与远程数据库服务器之间的通信期间他人截获授权数据的问题。

虽然智能卡提供一种安全的授权形式，但是，在每个客户终端必须提供读卡器，以便对卡进行读取和确认授权。因此，智能卡对于许多应用是不实际的，尤其是在对安全数据的访问要通过因特网进行批准时。对于诸如在线银行业务等应用，在客户终端(例如家用计算机)与数据库或授权服务器之间连续发送授权数据以便验证。虽然授权数据通常是加密的，例如使用公开密钥加密来加密，但是，存在以下担忧，即开发出解密这种数据的方法仅是时间问题。

发明内容

因此，需要一种改进的在客户终端与服务器之间进行可靠远程授权的方法，其使得不需要在客户终端处提供另外的硬件(例如智能卡读取器)。因此，本发明的一个目的是提供一种授权方法，其中，客户终端发送到服务器的数据如果被截获，则不能用于提取用户的全部授权数据。

另外，犯罪分子采用来欺骗性获得银行客户的银行授权数据的一种较新的伎俩称为“网络钓鱼”。这涉及向银行的因特网客户发送电子邮件或信件，将客户引向具有该银行网页外观的网站，并且该网站往往以诸如例行安全检查等借口，要求客户完整地输入其授权数据。当然，该网站是假的，而操作该网站的犯罪分子于是能够捕获和使用客户的授权数据来安排从该客户的账户转移资金。

因此，本发明的单独的又一目的是提供一种授权方法，该授权方法降低客户由于欺骗性网络钓鱼袭击而上当的可能性。

相应地，在第一方面，本发明提供一种在服务器与远离该服务器的终端之间进行安全通信的方法，所述终端包括用户操作的数据输入设备，所述安全通信方法包括步骤：将编码数据从服务器传送到终端，该编码数据特定于通信事件；关于编码数据，根据用户使用终端的数据输入设备输入的数据，产生位置数据，该位置数据由针对数据输入设备中用户所选择字符的位置的标识符构成；将该位置数据从终端传送到服务器；以及使用所述编码数据将服务器接收到的位置数据解码，以产生用户所输入的数据。

在第二方面，本发明提供一种安全通信系统，该系统包括服务器和远离该服务器并且与服务器进行双向通信的至少一个终端，所述服务器包括：编码器，用于产生特定于通信事件的编码数据；通信接口，用于将编码数据传送到远程终端，并且用于从终端接收位置数据，所述位置数据由针对用户所选择字符的位置的标识符构成，并且是用户输入的数据的编码；以及解码器，用于将接收自终端的位置数据解码，所述解码器使用编码器的编码数据来对位置数据进行解码，并且每个终端包括：手工操作的输入设备，用于输入用户数据，该用户数据被编码为位置数据；以及终端通信接口，用于从服务器接收编码数据，以及用于将位置数据传送到服务器。

在第三方面，本发明提供一种安全通信服务器，该安全通信服务器包括：编码器，用于产生特定于通信事件的编码数据；通信接口，用于将编码数据传送到远程终端，以及用于从该远程终端接收位置数据，所述位置数据由针对用户所选择字符的位置的标识符构成，并且是用户输入的数据的编码；以及解码器，用于将接收自终端的位置数据解码，所述解码器使用编码器的编码数据来对位置数据进行解码。

在第四方面，本发明提供一种在服务器与远离该服务器的终端之间进行安全通信的方法，所述终端包括用户操作的数据输入设备和显示器，所述安全通信方法包括步骤：从远程终端向服务器提交通信请求并且向服务器提供特定于该终端的用户的初步用户标识数据，识别特定于该用户的设计数据并且基于所识别的设计数据将显示数据从服务器传送到终端；以及基于从服务器接收的显示数据，在终端的显示器上产生图像，其中，仅当显示器上的图像对应于用户先前知道的图像时，用户才输入进一步的敏感数据。

在第五方面，本发明提供一种安全通信系统，该系统包括服务器和远离该服务器并且与该服务器进行双向通信的至少一个终端，所述服务器包括：用户设计数据存储器，其中存储有特定于每个用户的显示数据；以及通信接口，用于将显示数据传送到远程终端，并且用于从终端接收用户输入的数据，并且每个终端包括：用户操作的数据输入设备，用于输入用户数据；显示器；和终端通信接口，用于从服务器接收显示数据，并且用于将用户输入的数据传送给服务器。

在第六方面，本发明提供一种安全通信服务器，该服务器包括：用户设计数据存储器，其中存储有特定于每个用户的显示数据；以及通信接口，用于将显示数据传送给远程终端，并且用于从该终端接收用户输入的数据。

附图说明

当结合附图阅读时，根据以下具体描述，本发明的以上和其他目的、优点和新颖的特征将变得更加容易理解，其中：

图1示出了根据本发明的授权系统；

图2是根据本发明数据通信方法的第一实施例执行的数据交换的简图；

图3示出了本发明授权系统的安全服务器产生的示例性图像数据；

图4示出了根据本发明的可替选授权系统；

图5是根据本发明数据通信方法的第二实施例执行的数据交换的简图；

图6示出了采用由图4的授权系统的安全服务器产生的字母数字字符的示例性图像数据；以及

图7示出了采用由图4的授权系统的安全服务器产生的非字母数字字符的示例性图像数据。

具体实施方式

图1的授权系统包括客户终端1、数据库服务器2和安全服务器3，所有这三者都相互进行双向通信。在常规授权系统的情况下，没有安全服务器3，而客户终端1与数据库服务器2仅与彼此进行通信。

使客户终端1适合以硬件或者软件的方式访问远程存储在数据库服务器2上的数据，以及改变和/或添加远程存储的数据。客户终端1包括显示器4和输入设备5。用于客户终端的适合的设备包括但不限于个人计算机、ATM、移动通信设备和PDA。实际上，可使得能够进行外部通信并且具有显示器和输入设备的任何设备都适合用作客户终端1。

客户终端1的显示器4可以是任何能够改变其外观，以便向用户传递变化信息的设备。虽然VDU是优选的，但是，显示器4可以可替选地由小键盘或键盘上的可修改图例构成。可替选地，显示器4和输入设备5可以以触摸屏显示器的形式集成。

输入设备5用于输入授权数据，如用户名、密码和/或PIN。授权数据随后由客户终端1使用，以获得对数据库服务器2的访问。客户终端1可以另外包括用于接收和读取卡的装置，或者其它标识装置，从而携带部分授权数据。例如，客户终端1可以是ATM，在这种情况下，ATM的读卡器接收带有持卡者的账户资料的卡，其中，所述资料例如为名字、银行类别码和账户号。但是，卡上携带的数据只表示部分授权数据，并且只有在用户在客户终端1的输入设备5上输入另外的授权数据时，才准许访问数据库服务器2。

数据库服务器2存储旨在仅由经过授权的人员访问的数据10，并且包括用于对试图访问该数据库服务器2的用户的授权进行验证的装置6。验证装置6的最简单的形式包括查找表，该查找表包含有效授权数据的列表。如果验证装置6接收到的授权数据与存储在查找表中的授权数据匹配，则该用户被准许访问存储在数据库服务器2中的数据10。优选地，使验证装置6适合于根据接收到的授权数据确定用户的身份，使得可以根据用户的身份定制对存储在数据库服务器2中的数据的访问，例如，使得病人仅能够访问其自己的医疗记录，或者银行客户仅能够访问其自己的银行资料。验证装置6可以是数据库服务器2的一部分，或者其可以采用单独的授权服务器的形式，该授权服务器拒绝对数据库服务器2的访问，直到接收到有效的授权数据。

安全服务器3包括组合生成器7、图像生成器8和解码器9。当从数据库服务器2接收到请求时，组合生成器7被使得适合于产生随机字符串以及特定于该随机字符串的标识码。所产生的随机字符串将取决于将由用户在客户终端1的输入设备5上输入的授权数据的内容，在合法字符集上的随机产生。例如，如果授权数据为PIN的形式，即如果授权数据仅包括数字，则随机字符串理想地是10个字符长，例如“7260948135”。可替选地，如果授权数据包括数字和大写字母，则随机字符串可以达到36个字符长，对应于10个数字(0-9)和26个字母(A-Z)，例如“JR6VSAPKB2G”。组合生成器7将随机字符串和标识码两者传送到图像生成器8和解码器9，并且仅将标识码回传到数据库服务器2。随机字符串可以例如通过使用随机数发生器来从字符串的查找表中随机选择输入来产生，其中，每个字符串具有不同的配置。

图像生成器8取得从组合生成器7接收到的随机字符串，并且产生适合于在客户终端1上显示的图像数据。例如，在客户终端1为个人计算机时，图像数据可以由图像文件(例如JPG、GIF、BMP等)或者HTML文件构成。所产生的图像至少包括随机字符串的每个字符，其中，图像中每个字符的位置通过该字符在随机字符串中出现的顺序来确定。因此，例如，随机字符串的第一个字符可能显示在图像的左上，而该字符串的最后一个字符显示在该图像的右下。产生的图像优选地保持相同的总体设计，而不管所接收到的随机字符串如何，并且仅是所述相同的总体设计中的字符的配置随着每个随机字符串变化。例如，图像生成器8可能总是产生数字小键盘的图像，其中，小键盘上的数字的排列根据所接收到的随机字符串而改变。图3示出了在接收到字符串“35492*0#6781”时图像生成器8所产生的可能的图像。

图像生成器8产生的图像数据应该理解为客户终端1能够用于改变显示器4的外观的任何数据。例如，在显示器4在小键盘上包含可配置图例时，图像数据所可以包括的不超过从组合生成器7接收到的随机字符串。客户终端1在接收到图像数据时将接着修改小键盘的第一个键的图例，以显示随机字符串的第一个字符，修改第二个键的图例以显示字符串的第二个字符，等等。

图像生成器8针对特定随机字符串所产生的图像数据被指派与针对该随机字符串从组合生成器7接收到的标识码相同的标识码。因此，对于从数据库服务器2接收到的每个请求，安全服务器3产生图像数据，并且为该图像数据指派标识码。该标识码被从安全服务器3发送到数据库服务器，而数据库服务器又将该标识码传送给客户终端1。

客户终端1使用标识码从安全服务器3检索到由图像生成器8产生的对应的图像数据。客户终端1于是使用接收的图像数据来修改显示器4的外观，以便向用户呈现多个字符(例如数字、字母和符号等)，其位置随机排列。用户于是通过使用输入设备5选择组成其授权数据的各个字符来输入其授权数据，如PIN。用户所输入的授权数据由客户终端1记录为位置数据。该位置数据接着可以由客户终端1转换成字符数据或者某种其他形式的数据，用于发送到安全服务器3。例如，如果图3的图像显示在客户终端1，并且用户选择了数字“7，9，2，0”，则位置数据可能是“第一行第一列；第三行第一列；第三行第二列；第二行第一列”。该位置数据接着可以被转换成“1，7，8，4”，其对应于数字在常规数字小键盘上的排列。从而，其可以被转换成的位置数据或字符数据表示编码形式的授权数据。只有知道特定于该标识码的图像数据或随机字符串，以及用于产生该图像数据的方法，才能够将这个编码的授权数据(例如“1，7，8”)进行解码。在用户输入授权数据之后，特定于所显示图像数据的经编码的授权数据和标识码由客户终端1发送到安全服务器3，其在安全服务器3由解码器9进行解码。

解码器9存储每个随机字符串和接收自组合生成器7的标识码。当从客户终端1接收到编码的授权数据和标识码时，解码器9使用对应的随机字符串，即具有相同标识码的字符串，解码或者提取真正的授权数据。编码的授权数据于是被从安全服务器3的解码器9发送到数据库服务器2。

在使用中，客户终端1首先向数据库服务器2发送访问请求(S1)。该请求可以通过建立客户终端1与数据库服务器2之间的连接来进行。可替选地，可首先要求用户输入部分授权数据，例如用户名。如果所述部分授权数据是有效的，则其构成访问请求。一旦数据库服务器2已经接收到有效的访问请求，数据库服务器2向安全服务器3发出要求终端显示标识码的请求(S2)。数据库服务器2也可以通过将特定于客户终端访问请求的交易标识码传送给客户终端来确认该访问请求。该交易标识码不同于向安全服务器请求的标识码。接着，组合生成器7产生随机字符串和终端显示标识码(S3)，这两者被传送到图像生成器8和解码器9。接着，图像生成器8产生适合于在客户终端1上显示的图像数据(S4)，并且将相同的终端显示标识码指派给该图形数据。

终端显示标识码被从安全服务器3发送到数据库服务器2，数据库服务器2又将该标识码发送到客户终端1(S5)。因此，客户终端1从数据库服务器2接收特定于正在进行的交易的唯一交易标识码，以及终端显示标识码。于是，客户终端1使用终端显示标识码向安全服务器3请求图像数据(S6)。接着，由图像生成器8产生的特定于该特定标识码的图像数据由安全服务器3返回给对其进行显示的客户终端1。

接着，用户使用呈现在客户终端1上的图像数据输入其授权数据(S7)。由于客户终端1上所显示字符的随机排列，用户输入的授权数据被编码。接着，经编码的授权数据和终端显示标识码被从客户终端1发送到安全服务器3(S8)，其在安全服务器3中被解码器9所接收。解码器9使用终端显示标识码对编码的授权数据进行解码(S9)，以识别对应的已经用于编码授权数据的随机字符串。一旦解码，真正的授权数据被从安全服务器3传送到数据库服务器2(S10)。接着，验证装置6对真正的授权数据进行检查(S11)，如果验证装置6确定从安全服务器3接收到的授权数据是有效的，则准许用户访问数据库服务器2(S12)。否则，数据库服务器2告知客户终端1授权数据无效(S13)，并且根据目前的银行实践，邀请用户重新输入其PIN，直到最多三次尝试。如果无效，则数据库服务器2可以向安全服务器3另外请求新的终端显示标识码，这也会导致新的图像数据被发送到客户终端1，以便重新开始该过程。

客户终端1从安全服务器3检索到的图像数据用作用于对用户输入的授权数据进行编码的码。当在终端1上显示编码数据和使用该显示的数据来输入用户授权数据时，用户输入的数据被立即编码，即用户实际上输入编码的授权数据。因此，客户终端1不需要另外对用户输入的数据进行编码。具体地，客户终端1并不是接收用户输入的真正的授权数据并然后对其进行编码。相反，用户在不知道的情况下输入编码的授权数据。结果，不需要客户终端1包括处理装置来对授权数据进行编码，除非为了与数据库服务器和/或安全服务器进行通信而另外要求。实际上，编码的授权数据可以通过哑终端，即仅包括显示装置4和输入装置5的终端1来实现。

在客户终端1的输入装置5具有多个可手工单独操作的按钮或键的情况下，其中，所述按钮或键相对于彼此位于固定位置，并且每个按钮或键被分配给相应的字符，则安全服务器3可以向客户终端发送“虚拟映射”，在该“虚拟映射”中，键盘的特定键，例如字母数字序列的位置被指派以其自己的标识符。每个位置标识符被选择成与键盘上的那个键的实际字符不同。从而在标识符是字母数字符号时，实际上，虚拟映射四处交换键盘各个键的字符。通过采用虚拟映射来将用户的键击传送给安全服务器，虽然用户的键盘保持不变，并且以通常的方式输入授权数据，但是，回送到安全服务器3的由用户输入的授权数据被以关于虚拟映射的位置数据的形式进行编码。该系统尤其适合于例如进行在线银行业务时使用家用PC的环境。

使用标识码使得多个客户终端1能够同时访问数据库服务器2和安全服务器3。但是，如果授权系统被设置成使得在任一时刻只有一个用户或客户终端1能够访问数据库服务器2，则可以不使用标识码。在这种情况下，不需要标识码，因为在任一时刻，安全服务器3仅产生和使用一个随机字符串。

每个标识码可以包括网站的URL或由其构成。于是，图像生成器8产生的图像数据以web文档，例如HTML或XML文件或者Java applet等的形式存储。从而响应于来自客户终端1的访问数据库服务器2的请求，将唯一和临时的URL返回给客户终端1。客户终端1使用该URL来装载相关网站的内容以显示图像数据。URL优选地不包括会使得能够进行欺骗的数据。

一旦解码器9将接收自客户终端1的经编码的授权数据解码，对应的存储在解码器9中的随机字符串优选地被从安全服务器3删除。在从安全服务器3删除随机字符串时，截获经编码的授权数据的人不能将该编码的数据重新发送到安全服务器3以获得对数据库服务器2的访问。如果解码器9接收到具有不存在的标识码的编码数据，则安全服务器3可以被配置成发出潜在安全破坏的警告。类似地，在安全服务器3接收到经编码的授权数据之后，也优选地删除由图像生成器8产生的图像数据。于是，这防止他人在截获从客户终端1发送的经编码的授权数据后提取终端显示标识码并且向安全服务器3请求对应的图像数据。可替选地，或者实际上是另外地，图像数据和/或随机字符串可以具有有限的寿命，例如5分钟，5分钟对于大多数ATM交易是足够的。结果，如果用户在输入其授权数据时耗时太久，则用户将超时。

利用上述授权系统，授权数据从不未经编码就从客户终端1发送。而且，由于客户终端1发送的经编码的授权数据是使用随机字符串进行编码的，所以，他人仅截获该编码数据而提取授权数据即使不是不可能，也是极其困难的。另外，由于授权数据是通过选择具有随机配置的字符而输入的，对于观察用户的人而言，要从视觉上获取用户的授权数据显然更加困难。

希望数据库服务器2与安全服务器3之间的通信链路本身是安全的，例如利用外部不能访问的内部线路或专线。结果，不需要对安全服务器3与数据库服务器2之间发送的授权数据进行编码。但是，当数据库服务器3与安全服务器3之间的通信不安全时，安全服务器3的解码器9优选地在将经过散列的授权数据发送到数据库服务器2之前使用单向散列算法对编码的授权数据重新进行编码。数据库服务器6的验证装置6仅存储经散列的授权数据，而不是存储一列实际的授权数据。这个对授权数据进行散列的附加步骤增加了安全性，即授权数据从不以未经编码的形式存储在数据库服务器2或者安全服务器3上。结果，任何危及服务器2或3的安全的人不能提取授权数据。

为了进一步提高安全性，授权系统内的所有通信，即服务器2、3与客户终端1之间的通信，优选地使用例如128位SSL协议进行加密。

重要的是，通过将用户的标识信息和授权数据的各个部分分开，大大增强了系统的固有安全性。为了危及用户的账户，观察者必须捕获并解码以下通信：(i)客户终端1与数据库服务器2之间的通信；(ii)客户终端1与安全服务器3之间的通信；(iii)安全服务器3与数据库服务器2之间的通信。通过将数据流分成三个不同的和分别的路径，并且每个数据路径携带明显减少的数据，观察者要破坏系统的安全，即使不是不可能，也是极其困难的。因此，即使观察者成功解码了数据流中的一个数据流，但没有有关同一交易的其他两个数据流中所包含的信息，则所解码的信息也是没有用的。而且，由于标识数据是与交易标识码相关联地被传送到数据库服务器2，而授权数据与终端显示标识码相关联地被传送到安全服务器3，所以，这两个数据流没有共同的数据来使得观察者能够确定数据流与同一账户相关。

通过截获客户终端1与安全服务器3之间发送的图像数据和经编码的授权数据两者而对授权数据的违法获得，可以通过利用不同的加密密钥对图像数据和经编码的授权数据进行加密来进一步提高授权系统的安全性而成为不明确的。通过使用不同的加密密钥来对图像数据和经编码的授权数据进行加密，解密数据以获得授权数据的任务不止加倍。这是因为解密任务随着加密数据大小的减小而变得越发困难。由于图像数据可能包括的与随机字符串(例如数字0-9)无多少差别，而且经编码的授权数据可能包括的与若干选择的字符(例如PIN)无多少差别，因而要加密的数据的大小通常仅为数十字节。结果，加密数据对暴力解密方法的抵抗力极强。

通过在客户终端1与安全服务器3之间采用两个通信路径，其中每个通信路径采用不同的加密密钥，可以对图像数据和经编码的授权数据采用分别的加密密钥。例如，安全服务器3可以包括两个服务器，第一个服务器存储图像生成器8产生的图像数据，而第二个服务器存储接收自客户终端1的经编码的授权数据。于是，客户终端1向第一个服务器请求通过使用第一密钥加密的图像数据，并且使用第二加密密钥将编码的授权数据发送到第二服务器。

尽管授权系统优选地包括分立的数据库服务器2和安全服务器3，但是，组合生成器7、图像生成器8和解码器9可以全部形成数据库服务器2的一部分。在这种情况下，省略安全服务器3，而客户终端1仅与数据库服务器2进行通信。数据库服务器2在接收到来自客户终端1的访问请求时，向客户终端1返回标识码和图像数据。客户终端1接着将经编码的授权数据和标识码发送给数据库服务器2，在数据库服务器2，将经编码的授权数据解码，并且验证其有效性。如上针对安全服务器3所述，数据库服务器2可以包括采用不同加密密钥分别传送图像数据和经编码的授权数据的两个服务器。第一个服务器负责接收来自客户终端1的访问请求，并且返回标识码和图像数据，而第二个服务器负责从客户终端1接收经编码的授权数据和标识码。

虽然到目前为止参考了用于获得对存储在数据库服务器2上的数据的访问的授权系统，但是该授权系统可以用于需要远程验证授权的任何场合。例如，该授权系统可以用于获得对安全建筑的访问。在这种情况下，客户终端1可以是与门邻近的小键盘，而数据库服务器2在从安全服务器3接收到有效的授权数据时，向门发送信号使其打开。

利用本发明的授权系统和方法，可以通过可能不安全的通信以比目前能够的方式更加安全的方式，远程验证用户的授权。具体地，可以对用户的授权进行验证，而不需要用户发送如果被截获则可以用于提取用户的授权数据的数据。

在图4中示出了上述授权系统和方法的进一步开发；该系统类似于图1所示的系统，并且尽可能地使用相同的附图标记。所述进一步开发尤其适合用于具有显示器如LCD、等离子体或CRT显示器的客户终端1。数据库服务器2另外包括查找表11，在该表中存储了用户或客户的列表，其中，每个用户被指派有设计码，如字母数字串，该设计码优选地对各个用户唯一，但不必如此。在安全服务器3中，另外提供显示数据解码器12。显示数据解码器12被编程成解码每个用户的设计码，以及将设计数据传送给图像生成器8。

设计数据限定在提示客户终端的用户输入其授权数据如他们的PIN号时，将由该客户终端显示的图像的特征。因此，呈现给每个用户的网页被进行定制，并且优选地对每个用户唯一。而且，总是向同一用户呈现相同的网页，但是网页的设计随用户的不同而不同。设计数据可以限定的特征的示例包括：网页上字母/数字的字体大小；网页的背景颜色；各个可选择键的颜色；键周围的边界的颜色；各个键的形状；键周围的任何边界的形状；以及任何点缀性的细节，如图案和另外的图像。图5示出了对于字母数字电子小键盘具有直线图案化边界的网页。当然能够明白，网页的设计变型不限于以上给出的示例，而且具有极大量的特征，其设计可以在不损害网页功能的情况下进行变化，其中，网页的功能是使得用户能够输入其授权数据。

在图4所示授权系统的情况下，授权的方法如下。远程终端1请求访问数据库服务器2(S20)。数据库服务器2作为响应通知远程终端有关该通信会话的会话ID，并且提示远程终端输入请求访问的用户的初步标识。这可能例如是用户的名字或者其账户号。一旦用户输入其初步的标识，远程终端1将标识信息和会话ID传送给数据库服务器1。数据库服务器2接着从查找表11中识别出针对该用户的设计码(S21)，并且将该设计码与新会话的请求一起传送给安全服务器3(S22)。安全服务器3根据设计码确定用于登录特定于该用户的页面的设计特征(S23)。任选地，产生小键盘的各个按钮的随机排列(S24)，如上参考图2所述。接着，图像生成器8采用用户的设计特征创建登录页面(S25)，并且将针对该登录页面的URL和特定于数据库服务器与安全服务器之间涉及该用户的通信会话的单独会话ID一起进行传送(S26)。接着，数据库服务器2将URL传送给远程终端1，该远程终端访问该URL(S27)，并且为该用户显示特定的登录网页。假设登录网页是用户熟悉的，接着输入用户的授权数据(S28)并且由远程终端1采用由于小键盘重新排列而导致的编码形式来传送给安全服务器3(S29)。安全服务器3随后将位置加密密钥数据解码(S30)，以识别用户的真正的授权数据，接着使用对数据库服务器与安全服务器之间通信会话唯一的会话ID，将真正的授权数据传送给数据库服务器(S31)。接着，数据库服务器2将接收自安全服务器3的授权数据与其已经针对该用户记录的授权数据进行比较(S32)。假设授权数据是正确的，则数据库服务器2接着准许远程终端1的用户所请求的对安全系统的访问(S33)，或者，在授权数据是不正确的情况下拒绝访问(S34)。

因此，从以上可以看出，与图2的授权方法类似，必要的授权信息被分成段，并且不同的段在远程终端、数据库服务器和安全服务器的不同通信组合之间交换。没有单个通信交换包含所有的标识和授权数据。而且，各个数据包优选是加密的，并且不大得足以使得他人能够使用目前的密码破解技术来破解加密。标识和授权数据被分成至少两个段，其中，每个片段采用不同的会话ID和不同的通信链路。

可以设想，可以向用户提供选择其自己的设计变型的机会，该设计变型于是存储在数据库服务器2的查找表11中。但是，这需要全部的设计变型是公开可用的。因此，优选的是设计变型由银行选择，使得可用的置换保持保密。

在该系统的情况下，鼓励用户熟悉每次提示他们输入其授权数据时呈现给他们的网页设计。熟悉他们自己的、优选是唯一的网页，意味着如果设法通过网络钓鱼获得用户的授权数据，将向该用户呈现没有包括用户所熟悉的设计细节的网页。这使得用户能够区分银行发布的有效网页和网络钓鱼网页。

当然能够明白，所述向每个用户呈现其自己的、个性化的登录网页的系统不需要另外涉及重新组织各个键和按钮的排序。也就是说，组合生成器7在图4中是任选的。但是，即使没有对键和按钮进行重新排序，相比已知系统，所述系统仍然具有提高的安全性，因为用户输入的授权数据是按照远程终端与安全服务器之间的交易的唯一通信ID传送给安全服务器3的，并且是与指派给客户终端1与数据库服务器2之间的通信的通信ID分开的。因此，传送给数据库服务器2的用户身份仍然与传送给安全服务器3的授权数据分离。因此，以上关于图1的授权系统描述的三路通信也设置有图4的授权系统。

当然，当在授权系统中另外实现组合生成器7的情况下，可实现更高的安全等级，并且完全解决对网络钓鱼风险的担心，以及对一旦PIN号的输入受到监视则卡可能被盗的担心。

图1的授权系统是相对于对一系列待显示的、单独以数字形式标记的键或按钮的需求来描述的。但是，为了提供更高等级的安全性，本发明设想以下任选项：将键或者按钮单独标记以数字和字母的混合，如图6所示。利用该附加的特征，登录网页将呈现多个键的排列，例如3×4阵列，其不包含针对每个可能的数字或字母的键。但是，由于网页是由查找表11中存储的设计码确定的，所以，该网页将包括用户输入其授权码所需的数字和字母。因此，希望为了网络钓鱼而复制登录页面的某人不仅必须针对每个用户从大量的可能设计置换中猜出设计特征的正确集合，而且现在必须从10个数字和26个字母(假设是英文字母)中选出包括该用户授权数据的字母和数字的正确子组。

同一构思的进一步开发涉及针对每个键使用非字母数字图形。如图7所示，授权系统可以采用具有任何可区分特征的卡通或者缩略图。因此，在图7中，键包括卡车、云、花、杯子等卡通图像。这些特征是对小键盘的整体特色设计的补充，在该例子中，所述特色设计涉及相邻圆圈的边界。于是，用户从键阵列中选择三个或四个键构成其授权数据。在图7中，授权数据包括1)车；2)雨云；3)太阳；4)花盆。

例如，对于一组256个不同的字符或符号以及12个键的阵列，具有6.1×10²⁸个可以显示给用户的可能组合。而且，利用同样256个不同的字符，具有42亿个不同的4字符PIN。结果，在设法进行网络钓鱼的情况下，用户能够输入其PIN的机率是340万分之一。

而且，相信所述授权系统的这种进一步开发可以向用户提供另外的优点。这是因为许多用户难于记住他们的授权数据，如他们的PIN号。用户将发现这些图像更易于单独地、并且以其正确的顺序回忆，因为这些图像更适合于借助于认知的顺序或故事来回忆。

图4中安全系统的另外优点在于向用户显示的小键盘可以被选择来适应视力残障。例如，针对视力受限的人，能够以比正常对比度更高的对比度来呈现所显示的图像，或者呈现得比正常的更大。还可以设想，针对视力极其有限或者没有视力的人，设计数据可以集成声音特征。尤其是当远程终端为家用计算机的情况下，显示器的各个键可以每个指派单独的声音，优选是该键的字符的简短描述。于是，将允许用户在键未被选中的情况下用tab键遍历键以听取不同的声音。当听到特定于用户授权码的键时，用户将能够例如通过按下其键盘上的回车键来选择该键。可替选地，系统可以配置为使得只有在同一键被接连选择两次的情况下才被选中。使得用户第一次选中键仅触发该键的音频描述，其后重复该选择，于是会将该键认为是针对用户的授权码而选择的。当然，应该理解，本发明旨在包含用于使得用户能够听见与键相关联的不同声音，而没有为了输入用户的授权数据而进行的键选择的可替选过程。这样，本发明向具有视力残障的用户另外提供了之前对他们不可用的电子访问安全数据如家庭银行业务的益处。

虽然上述安全通信系统涉及传送授权数据，但是，当然应该可以看出，这些系统中实施的安全的通信方法也适合于任何敏感信息的传送，并且，特别地，检查用户输入的授权数据的有效性的步骤不是本发明的实质特征。

因此，与已知的电子登录系统相比，本发明的授权系统具有明显提高的安全性，因为该授权系统将标识和授权数据分成多个段，其中，至少一个段以与另一段和/或不同通信链路不同的标识会话码来传送。图4的授权系统另外还具有明显降低的客户或用户可能被误导而将其授权数据输入网络钓鱼站点的风险。在2003年，由于网络钓鱼诈骗使得银行和信用卡公司损失大约102亿美元，所以，目前急切需要解决该安全风险。

尽管在上面仅对数个示例性实施例或者本发明进行了具体描述，但是，本领域技术人员应该容易理解，可以对所述示例性实施例进行许多修改而实质上不背离本发明的新颖性教导和优点。因此，所有这种修改旨在包括在如所附权利要求所限定的本发明范围内。

Claims (42)

1.一种在服务器与远离该服务器的终端之间进行安全通信的方法，所述终端包括用户操作的数据输入设备，所述安全通信的方法包括步骤：

将编码数据从服务器传送到终端，该编码数据特定于通信事件；

关于编码数据，根据用户使用终端的数据输入设备输入的数据，产生位置数据，该位置数据由针对数据输入设备的用户所选择字符的位置的标识符构成；

将该位置数据从终端传送到服务器；以及

使用所述编码数据将服务器接收到的位置数据解码，以产生用户所输入的数据。

2.根据权利要求1所述的方法，其中，所述终端包括显示器，并且所述方法进一步包括在所述显示器上显示多个字符的步骤，所述字符中的每一个字符在所述显示器上的位置是关于所述编码数据确定的。

3.根据权利要求1或2所述的方法，进一步包括响应于来自所述终端的针对通信事件的请求而产生所述编码数据的步骤。

4.根据权利要求2或3所述的方法，其中，所述编码数据标识所显示字符的排列。

5.根据权利要求4所述的方法，其中，所显示的所述多个字符包括数字系列0、1、2、3、4、5、6、7、8、9。

6.根据权利要求4所述的方法，其中，所显示的所述多个字符包括字母数字字符的完整集合的子集。

7.根据权利要求4所述的方法，其中，所显示的所述多个字符包括非字母数字的用户可区分字符。

8.根据权利要求7所述的方法，其中，所述编码数据包括从非字母数字字符的较大集合中取出的非字母数字字符的子集。

9.根据权利要求8所述的方法，其中，待显示的字符子集选自字母数字和非字母数字字符的集合。

10.根据权利要求5所述的方法，其中，所述编码数据包括具有随机顺序的数字串。

11.根据权利要求10所述的方法，其中，所述产生编码数据的步骤包括从字符串的表中随机选择字符串，所述表中的每个字符串具有不同的顺序。

12.根据权利要求2至9中任一项所述的方法，其中，所述编码数据包括能够在所述终端的显示器上显示的图像数据。

13.根据权利要求12所述的方法，进一步包括步骤：将网站的URL传送到所述终端，其中，所述编码数据被嵌入所述网页中，并且在所述显示器上显示多个字符的步骤包括在所述显示器上显示所述网站的内容。

14.根据权利要求1所述的方法，其中，所述输入设备是键盘，所述编码数据包括虚拟映射，该虚拟映射将唯一标识符指派给所选择的一组键在所述键盘上的位置中的每个位置。

15.根据前述权利要求中任一项所述的方法，其中，所述编码数据和所述位置数据通过不同通信路径传送。

16.根据前述权利要求中任一项所述的方法，其中，所述服务器与终端之间传送的数据使用公开密钥加密进行加密。

17.根据权利要求16所述的方法，其中，所述编码数据和所述位置数据通过不同的通信路径来传送，并且每个通过使用不同的加密密钥进行加密。

18.根据权利要求15至17中任一项所述的方法，其中，所述编码数据由安全服务器产生，其被传送到所述服务器，以及从所述服务器传送到所述远程终端，并且所述位置数据由所述终端传送给所述安全服务器，在所述安全服务器，所述位置数据被解码，以便用户输入的数据从所述安全服务器传送给所述服务器。

19.一种在服务器与远离该服务器的终端之间进行安全通信的方法，所述终端包括用户操作的数据输入设备和显示器，所述安全通信方法包括步骤：

从远程终端向服务器提交通信请求并且向服务器提供特定于该终端的用户的初步用户标识数据，

识别特定于该用户的设计数据并且基于所识别的设计数据将显示数据从服务器传送到终端；以及

基于从服务器接收的显示数据，在终端的显示器上产生图像，

其中，仅当显示器上的图像对应于用户先前知道的图像时，用户才输入进一步的敏感数据。

20.根据权利要求19所述的方法，进一步包括步骤：

将编码数据从所述服务器传送给所述终端，所述编码数据特定于通信事件；

关于所述编码数据，根据随后由用户使用所述终端的数据输入设备输入的数据，产生位置数据，所述位置数据由针对所述输入设备的用户可选择字符的位置的标识符；

将所述位置数据从所述终端传送给所述服务器；以及

使用所述编码数据将所述服务器接收的所述位置数据解码，以产生所述用户输入的数据。

21.根据权利要求19或20所述的方法，其中，所述显示数据包括关于下列中的一个或多个的数据：预选择的边界图案；一个或多个预选择的颜色；以及预选择的按钮形状。

22.根据权利要求21所述的方法，其中，针对视力受损的用户，所述显示数据包括关于下列中的一个或多个的数据：预选择的高对比颜色；以及比正常更大的可选择字符。

23.根据权利要求19至22中的任一项所述的方法，其中，与所述显示数据有关的音频数据被从所述服务器传送到所述终端。

24.根据权利要求23所述的方法，其中，所述音频数据包括针对所述显示数据的每个用户可选择字符的不同可识别声音。

25.一种安全通信系统，该系统包括服务器和远离该服务器并且与该服务器进行双向通信的至少一个终端，所述服务器包括：编码器，用于产生特定于通信事件的编码数据；通信接口，用于将编码数据传送到远程终端，并且用于从终端接收位置数据，所述位置数据由针对用户所选择字符的位置的标识符构成，并且是用户输入的数据的编码；以及解码器，用于将接收自终端的位置数据解码，所述解码器使用编码器的编码数据来对位置数据进行解码，并且每个终端包括：手工操作的输入设备，用于输入用户数据，该用户数据被编码为位置数据；以及终端通信接口，用于从服务器接收编码数据，以及用于将位置数据传送到服务器。

26.根据权利要求25所述的安全通信系统，其中，所述终端进一步包括显示器，在该显示器上显示多个字符，所述字符中的每个字符在所述显示器上的位置是关于所述编码数据确定的。

27.根据权利要求25或26所述的安全通信系统，其中，所述用户输入的数据包括授权数据，并且所述服务器进一步包括存储有有效授权数据的数据存储器，所述解码器解码的授权数据是对照所述有效授权数据来验证的。

28.根据权利要求25至27中任一项所述的安全通信系统，其中，所述编码器包括编码数据存储器，在该存储器中存储有字符串表，每个字符串中的字符具有不同的顺序，从而，所述编码器通过从所述字符串表中随机选择字符串而产生所述编码数据。

29.根据权利要求26至27所述的安全通信系统，其中，所述服务器包括用户显示设计数据存储器，在该存储器中存储特定于每个用户的设计数据，所述设计数据规定要显示在所述终端显示器上的图像的特征。

30.根据权利要求25至29中的任一项所述的安全通信系统，其中，所述服务器和所述至少一个远程终端均进一步包括公开密钥加密装置，用于加密所述服务器与终端之间的通信。

31.根据权利要求25至30中的任一项所述的安全通信系统，其中，所述服务器具有分立的通信装置，用于将所述编码数据传送给所述终端，以及用于从所述终端接收位置数据，使得所述编码数据和位置数据通过不同的通信路径在所述终端和服务器之间传送。

32.一种安全通信服务器，该安全通信服务器包括：编码器，用于产生特定于通信事件的编码数据；通信接口，用于将编码数据传送到远程终端，以及用于从该远程终端接收位置数据，所述位置数据由针对用户所选择字符的位置的标识符构成，并且是用户输入的数据的编码；以及解码器，用于将接收自终端的位置数据解码，所述解码器使用编码器的编码数据来对位置数据进行解码。

33.一种安全通信系统，该系统包括服务器和远离该服务器并且与该服务器进行双向通信的至少一个终端，所述服务器包括：用户设计数据存储器，其中存储有特定于每个用户的显示数据；以及通信接口，用于将显示数据传送到远程终端，并且用于从终端接收用户输入的数据，并且每个终端包括：用户操作的数据输入设备，用于输入用户数据；显示器；和终端通信接口，用于从服务器接收显示数据，并且用于将用户输入的数据传送给服务器。

34.根据权利要求33所述的安全通信系统，其中，所述用户输入的数据包括授权数据，并且所述服务器进一步包括数据存储器，在该存储器中存储有有效授权数据，其中所述用户输入的授权数据是对照该有效授权数据来比较的。

35.根据权利要求33或34所述的安全通信系统，其中，每个远程终端包括一个或多个扬声器，并且从所述服务器传送给所述终端的显示数据包括音频数据。

36.根据权利要求33至35中任一项所述的安全通信系统，所述服务器进一步包括：编码器，用于产生特定于通信事件的编码数据；以及解码器，用于将接收自所述终端的位置数据解码，所述位置数据由针对用户所选择字符的位置的标识符构成，并且是用户输入的数据的编码，所述解码器使用所述编码器的编码数据来对所述位置数据进行解码，并且，其中所述通信接口用于将所述编码数据传送给所述远程终端，以及用于从该终端接收所述位置数据。

37.根据权利要求36的安全通信系统，其中，所述编码器包括编码数据存储器，该存储器中存储有字符串表，每个字符串中的字符具有不同的顺序，从而，所述编码器通过从所述字符串表中随机选择字符串而产生所述编码数据。

38.根据权利要求33至37中任一项所述的安全通信系统，其中，所述服务器和所述至少一个远程终端均进一步包括公开密钥加密装置，用于将所述服务器与终端之间的通信加密。

39.根据权利要求38所述的安全通信系统，其中，所述服务器具有分立的通信装置，用于将所述显示数据传送给所述终端，以及用于从所述终端接收用户输入的数据，使得所述显示数据和所述用户输入的数据通过不同的通信路径在所述终端与服务器之间传送。

40.一种安全通信服务器，该服务器包括：用户设计数据存储器，其中存储有特定于每个用户的显示数据；以及通信接口，用于将显示数据传送给远程终端，并且用于从该终端接收用户输入的数据。

41.一种基本上如这里之前参考附图描述的在服务器与远离该服务器的终端之间进行安全通信的方法。

42.一种基本上如这里之前参考附图描述的安全通信系统。

Images