CN101444036B - 用于激活终端的方法 - Google Patents

Abstract

本发明涉及由操作者激活终端(4)的方法，终端的激活允许在终端(4)与安全服务器之间安全地交换信息，其特征在于此方法包括对于终端(4)的以下步骤：-从操作者(2)处接收第一条激活信息，-从授权服务器(3)处接收第二条激活信息，-利用第一条和第二条激活信息激活终端。

Description

用于激活终端的方法

技术领域

本发明涉及服务安全性的一般技术领域，特别是涉及根据机密数据的输入，激活安全终端的技术领域。

本发明显然适用于电子支付终端和银行票据发行者。

背景技术

在安放安全终端，或者对安全终端进行维护操作之后(其意味着终端失效)，应该在激活或者再激活终端之前，检查终端的完整性。

为了保证终端的安全性，根据PCI标准(支付卡行业数据安全标准)对PED(个人识别码进入设备)的规定，应由两名不同的操作者完成对终端的激活。这种双重激活的缺点是，需有两名操作者出现在终端所在位置。

本发明的总体目标是提出一种方法和相关的装置，使得终端的双重激活在终端所在的位置只需要一位操作者。

发明内容

为达此目的，提出了一种通过操作者激活终端的方法，终端的激活允许在终端与安全服务器之间交换安全信息，其特征在于包括以下对终端的操作步骤：

-从操作者处接收第一条激活信息，

-从授权服务器接收第二条激活信息，

-利用第一和第二条激活信息激活终端。

因此，终端的激活需要接收来自两个不同实体的两条激活信息：第一条和第二条激活信息是互补的，并共同激活终端。换言之，仅收到两条激活信息中的一条不能激活终端：进一步要求终端接收到两条激活信息中的另一条。

在本发明的范围内，“激活终端”是指使该终端运行的情况。

安全服务器为，例如，银行服务器，终端为支付终端。

根据本发明所述的方法，使得终端的双重激活仅要求一个自然人出现在需要激活的终端所在地，远程授权服务器扮演虚拟操作者的角色。

本发明所述的激活方法优选但非局限的方面如下：

-加密第一条和第二条激活信息，此方法包括用于终端的以下步骤：

利用分配给终端并储存在终端存储器中的至少一个密钥，解

密第一条和第二条加密的激活信息，

由此，可以防止在终端、操作者和授权服务器之间交换的激活信息被恶意的第三方重用。

-此方法进一步包括以下步骤：

对于终端：

将分配给操作者的操作者标识符和分配给终端的终端标识符发送到授权服务器，

对于授权服务器：

根据接收自终端的操作者标识符和终端标识符，验证操作者被授权激活该终端，且对该终端的激活被授权，如果操作者被授权激活此终端，且对该终端的激活被授权，则向终端发送第二条激活信息，

-此方法进一步包括以下步骤：

对于授权服务器：

在数据库中查找分配给该终端的多个密钥，

根据数据库中的激活信息，创建第二条激活信息，

利用分配给该终端的密钥加密该第二条激活信息，

将加密的第二条激活信息发送给该终端，

对于终端：

利用分配给该终端并储存在终端存储器中的密钥，对加密的第二条密码信息进行解密。

-对于终端，此方法进一步包括以下步骤

向授权服务器发送日期，此日期在加密第二条激活信息的步骤中用作随机变量，

-对于授权服务器，本方法进一步包括以下步骤：

将终端标识符，操作者标识符和终端上干预的时刻写入数据库。

-操作者标识符包括唯一的操作者号，其存储在包含第一条激活信息的激活装置上，

-操作者标识符进一步包括用于在终端上输入的个人识别号，个人识别号与操作者号相关联，

-此方法包括由检查操作者在终端上输入的号码是否与和此操作者号相关联的个人识别号相同构成的步骤。

本发明也涉及能够应用上述方法的服务器。

本发明也涉及能够应用上述方法的终端。

附图说明

本发明的其他特征，目标和优点，通过以下的描述将变得显而易见，其描述是纯说明性的且非局限的，并应参考附图阅读，其中：

-图1给出了在可以应用此方法的装置之间的不同交换；

-图2列出了在此方法的一个实施例中应用的步骤。

具体实施方式

参照图1和图2，描述了应用本发明所述方法的一个实施例的装置，以及本发明所述方法的一个实施例的步骤。

这些装置包括生产场所1、操作者2、授权服务器3以及至少一个终端4。

生产场所1是生产终端的实体。生产场所1也负责将所生产的终端分送到预定这些终端的地点。

操作者2是授权在终端上进行干预的自然人。操作者2到达终端已被分送到的地点，以便验证这些终端的完整性。操作者2是终端4的双重激活所要求的两个主角之一。

授权服务器3是负责对操作者2进行授权的实体。授权服务器3将可用于识别操作者2的装置和激活终端4所需的装置发送给操作者2。授权服务器3也负责验证从待激活的终端4接收到的信息。授权服务器3是终端4的双重激活所要求的两个主角中的另一个。

终端4是安全外设，包括一个或多个密钥5，其储存在终端4的存储器中，并对待传送的信息进行加密，或者对终端接收到的加密信息进行解密。终端一旦被激活，也就是说，终端一旦准备好接收与安全服务器分享的密信，则终端将与安全服务器(未给出)交流。终端为，例如，支付终端，安全服务器为银行服务器。

终端激活方法包括以下步骤。

为了激活终端4，授权的操作者2到达终端4所在地点(或者将终端带回操作者2所在地点)。

授权的操作者2验证终端4的完整性之后，应用激活方法。

在激活终端4的方法的步骤10中，终端4对操作者2进行识别。为此，他/她向终端4发送个人的操作者标识符，此标识符已由授权服务器3提供给他/她。

操作者标识符对每个操作者2是特有的：换言之，两个不同的操作者2不能具有相同的操作者标识符。这使得授权的操作者2能够互相区分，且可从所有授权的操作者2中，识别出干预终端4的操作者2。

在一个实施例中，操作者标识符包括单个的个人操作者号11，其存储在用于激活终端4的装置中。用于激活终端4的装置是，例如用于插入终端4的芯片卡13。

存储在芯片卡13中的操作者号11可与个人识别号12(PIN码)相关联，此个人识别号12需由操作者2在终端4的键盘(未给出)上输入。

由于识别操作者2需要插入芯片卡13，并在终端4上输入个人识别号12，这就限制了在丢失或盗窃芯片卡13的情况下，第三方可能取代授权的操作者2的风险。芯片卡13的任何丢失或盗窃都被告知给授权场所3，从而在授权服务器3上对该芯片卡13进行阻挡。

在操作者标识符包括储存在芯片卡13上的操作者号11和需在终端4的键盘上输入的个人识别号12的情况下，终端4检查操作者标识符的这两部分确实互相匹配。

在操作者2连续3次输入错误的个人识别号(即，如果在终端的键盘上输入的号码和与给此芯片卡相关联的PIN码不同)的情况下，例如，可激活用于阻挡操作者2的此芯片卡13的功能。

在激活方法的另一个步骤10’中，操作者2向终端4发送第一条激活信息14。任选地，利用分配并储存在终端4的存储器中的密钥对第一条激活信息14进行加密。终端将第一条激活信息储存在存储器中。

向终端4发送操作者标识符和第一条激活信息14，可以同时执行或者相继执行。

在一个实施例中，第一条激活信息14记录在操作者2的芯片卡13上。

在本方法的另一个步骤20中，终端4向授权服务器3发送操作者标识符(特别是存储在芯片卡13上的操作者号11)。

终端4也向授权服务器3发送20′与之相关联的终端标识符15，其储存在终端4的存储器中。

终端标识符15对于每个终端4是特有的：换言之，两个不同的终端4不能具有相同的终端标识符。这使得终端4可被彼此区分。

在一个实施例中，终端标识符15包括单独的序列号。

在一个实施例中，终端4也向授权服务器3发送20″日期16，此日期包括，例如，与操作者2在终端4上的干预时刻相对应的年、月、日和时间。

发送操作者标识符20、发送终端标识符20′和发送日期20″可同时执行或相继执行。

在本方法的另一步骤中，授权服务器3接收操作者标识符、终端标识符和日期，并核对这些信息。

授权服务器3核对30操作者2是否被授权干预终端4。为此，授权服务器3引用数据库6，数据库6中存储着与操作者2的授权相关的信息。

授权服务器3也验证30′终端4被授权使其激活，也就是说，终端4还没有因为被盗、不适于使用、过旧或报废而从可利用终端编号中清除。和终端的可用性相关的信息储存在授权服务器3的数据库6中。

在一个实施例中，授权服务器3在数据库6中存储40与当前干预相关的信息。例如，授权服务器3在数据库6中存储终端4发送的日期16、终端标识符和操作者标识符2。这为终端4上执行的操作提供了可追溯性。

授权服务器3也根据存储在数据库6中的数据，创建与终端相关联的第二条激活信息17。

如果操作者2被授权激活终端4，且如果终端4可用，则授权服务器3向终端4发送50第二条激活信息17。

任选地，授权服务器3可以利用例如分配给终端的密钥，加密第二条激活信息17，密钥可以预先存储在数据库6中。利用分配给终端的密钥，对第二条激活信息17进行加密可以依据：

-操作者标识符，

-终端标识符，

-日期。

在加密过程中，日期用作随机变量。

在本发明的另一步骤中，终端4接收第二条激活信息。

在第一条和第二条激活信息被加密的情况下，终端4利用分配给该终端的密钥，将第一条和第二条加密的激活信息解密60。*

为解密第二条激活信息，终端采用了日期、操作者标识符和终端标识符，以及分配给终端并储存在终端存储器中的密钥。事实上，该日期、操作者标识符和终端标识符对于将已将他们传送到授权服务器3的终端4是已知的。

一旦接收到第二条激活信息17(且第一条和第二条激活信息被解密)，终端4做好了接收与安全服务器分享的密信的准备：即终端4被激活。

因此，本发明所述方法提供了对终端4的双重激活，此双重激活在终端4所在地只需要一名操作者2。

在应用此激活方法之前，先应用两个方法：

-创建终端的方法，

-操作者授权方法。

作为示例，将参考图2描述创建终端的方法和操作者授权方法的例子，给出这些方法完全是作为示例。

创建终端的方法包括以下步骤：

在创建终端的方法的一个步骤中，生产场所1生产终端4，并将其与终端标识符15关联。终端标识符15储存在终端存储器4中。

在创建终端的方法的另一个步骤中，生产场所1收到来自授权服务器3的由授权服务器3产生的一组密钥。

密钥可以是，例如，3DES(三重数据加密标准)密钥。当然，本发明的方法不限于本例中的3DES密钥，密钥可以是RSA密钥或本领域技术人员所知的任何其他类型的密钥，密钥类型的选择取决于所采用的加密算法。

在创建终端的方法的另一步骤中，生产场所1从收到的来自授权服务器3的所有密钥中，选择一个或多个分配给所创建的终端4的密钥。

在创建终端的方法的另一步骤中，生产场所1在终端4的安全存储器中储存为终端4选择的密钥5。

在创建终端的方法的另一个步骤80中，生产场所1向授权服务器3发送终端标识符15。生产场所1同样发送分配给终端4的密钥5。

在创建终端的方法的另一步骤中，授权服务器3接收分配给终端4的密钥，以及终端标识符。

授权服务器3在数据库6中存储终端15的标识符和分配给终端4的密钥5，以便授权服务器3能够根据终端的标识符15找回分配给终端4的密钥5。

此外，由于密钥5记录在终端4和授权服务器3中，这使得在终端4和授权服务器3之间允许进行加密交换，特别是传送第二条激活信息17时。

在创建终端的方法的另一步骤90中，生产场所1将终端分送到这些终端所服务的地点。

然后可以通过应用前面所述的激活方法来激活终端。

对操作者2进行授权的方法包括以下步骤。

在授权方法的一个步骤中，授权服务器3将操作者标识符发送给操作者2，使他/她可被待激活的终端4识别。

如前面所述，此标识符包括：

-存储在芯片卡上的操作者号，在上述激活方法的一个步骤中，此芯片卡用于被操作者2插入终端4，

-与操作者号关联的个人识别号，需由操作者2输入终端4。

发送存储着操作者号和相关联的个人识别号的芯片卡，可分两个阶段执行：

-芯片卡通过第一次递送100发送给操作者2，

-个人识别号通过第二次递送110发送给操作者2。

由此，可以限制截取了递送100、110之一的第三方拥有使授权的操作者2被识别的全部信息的风险。从而限制了第三方可能取代他/她作为授权的操作者2的风险。

读者应意识到全局消息的分割，使得终端的激活分为：

-第一条激活信息，和

-第二条激活信息。

此分割可通过授权服务器执行，授权服务器只在数据库中存储第二条激活信息，第一条激活信息存储在操作者的芯片卡上(在通过实施例中分配给终端的密钥加密第一条激活信息，或者执行完这样的对第一条激活信息的加密之后)。

本发明所述方法的不同实施例因此具有很多优点：

-由于已被分配了单独的个人标识符，干预终端的操作者2可被识别，

-操作者2不能独自激活终端，因为此激活要求终端4接收两条激活信息，操作者2只持有这两条信息中的一条，

-由于对操作者2进行验证要求在终端4上输入个人识别号，因此操作者2的激活装置(即，例如芯片卡)的丢失不会造成第三方取代他/她作为授权的操作者2，

-在授权服务器3在数据库中记录操作者标识符、终端标识符和与干预时刻相应的日期的实施例中，终端4上发生的干预可以是可追踪的，

-对终端4上发生的干预的记录，集中在授权服务器3的数据库中，这有助于追踪所有终端上发生的干预，也有助于对操作者2的可能失误的后续监控，

-通过加密第一条和第二条激活信息，可以避免信息被第三方截取，以及为欺诈性激活此终端或其他终端而被恢复。

参考

10在终端识别操作者

10′由操作者将第一条激活信息发送给终端

20由终端向授权服务器发送操作者标识符

20′由终端向授权服务器发送终端标识符

20″由终端向授权服务器发送日期

30　由授权服务器验证操作者的授权

30′由授权服务器验证终端的可用性

40由授权服务器存储与当前干预相关的信息

50由授权服务器对第二条激活信息加密

60由授权服务器发送第二条激活信息

70由终端对第二条加密的激活信息解密

Claims (7)

1.一种由操作者激活支付终端(4)的方法，支付终端(4)的激活允许在安全支付终端(4)与安全服务器之间交换安全信息，其特征在于包括对支付终端(4)的以下步骤：

-在操作者检查支付终端的完整性后，从操作者(2)处接收第一条加密的激活信息，

-从授权服务器(3)接收第二条加密的激活信息，

-利用至少一个分配给支付终端并储存在支付终端(4)的存储器中的密钥，解密第一条和第二条加密的激活信息，以得到第一条和第二条激活信息，

-利用第一条和第二条激活信息激活支付终端，

从所述操作者接收的所述第一条激活信息和从所述授权服务器接收的所述第二条激活信息是互补的，并共同使支付终端运行。

2.根据权利要求1所述的方法，其特征在于该方法进一步包括以下步骤：

对于支付终端(4)：

-向授权服务器(3)发送分配给操作者(2)的操作者标识符，和分配给支付终端(4)的终端标识符，

对于授权服务器(3)：

-根据接收自支付终端(4)的操作者标识符和终端标识符，检查操作者(2)是否被授权激活支付终端(4)，以及支付终端(4)的激活是否被授权，如果操作者(2)被授权激活支付终端(4)，且支付终端(4)的激活被授权，则将第二条加密的激活信息发送到支付终端。

3.根据以上权利要求中任一项所述的方法，其特征在于该方法进一步包括以下步骤：

对于授权服务器(3)：

-在数据库中查找分配给支付终端(4)的密钥，

-根据数据库中包含的信息，创建第二条激活信息，

-利用分配给支付终端的密钥，加密第二条激活信息，

-向支付终端发送第二条加密的激活信息，

对于支付终端(4)：

-利用分配给支付终端并存储在支付终端的存储器中的密钥，解密第二条加密的激活信息。

4.根据权利要求3所述的方法，其特征在于该方法进一步包括以下步骤：

对于支付终端(4)：

-向授权服务器(3)发送日期，该日期在加密第二条激活信息的步骤中用作随机变量。

5.根据权利要求2所述的方法，其特征在于对于授权服务器(3)该方法进一步包括以下步骤：

-将终端标识符，操作者标识符和支付终端(4)上发生干预的时刻写入数据库。

6.根据权利要求2所述的方法，其特征在于操作者标识符包括单独的操作者号，该操作者号存储在包含第一条激活信息的激活装置中。

7.据权利要求6所述的方法，其特征在于操作者标识符进一步包括用于在支付终端(4)上输入的个人识别号，该个人识别号与操作者号相关联，

该方法包括检查由操作者在支付终端上输入的号码与和操作者号相关联的个人识别号是否相同构成的步骤。