CN101697220A - 保护基于pin交易的安全的系统和方法 - Google Patents

Abstract

一种用于保护基于PIN交易的安全的系统和方法，该系统利用安全主机系统在商户和由利用支付卡的个人使用的客户设备之间建立两条通信线路。安全主机系统提供呈现给客户设备的验证界面，其提供了一种用于个人提供验证信息的装置。安全主机系统从客户设备接收验证信息，将验证信息与商户提供的卡信息进行耦合以验证来自第三方支付提供者。交易服务提供者在不需要在开放式网络上发送卡持有者的实际PIN的情况下对交易进行验证。

Description

保护基于PIN交易的安全的系统和方法

技术领域

本发明涉及保护基于PIN交易的安全的领域，所述交易是用于在例如因特网的开放式网络环境下要求鉴别的金融和非金融的应用。

背景技术

增加的带宽和更低的接入费用使得在线商户和客户之间的电子商务快速增长。在连接到例如因特网的开放式网络的设备之间实施安全金融交易的能力受到客户、商户和金融机构等的关注。开放式网络为诈骗者提供了截取可以用于实施未经授权的金融交易的个人和机密信息的明显机会。在线借记卡交易和其他交易要求客户提供账户号码和相关联的个人身份号码(PIN)，由于诈骗者可以使用这些信息来直接访问客户的金融账户，因此特别危险。

为了实施金融交易，已经对在例如因特网的开放式网络上保护信息传输安全作出尝试。一些尝试涉及到在将账户或支付卡信息和PIN从客户设备例如PC、移动电话或机顶盒经过因特网发送至商户服务器之前对它们进行加密的系统。由于要求安装附加硬件设备和软件导致这些系统并不方便。一些硬件设备包括通过客户设备连接到开放式网络的物理PIN输入器或刷卡机。此外，这些系统可能需要在客户设备上安装软件。这些附加设备，无论是安装在客户设备上的硬件设备还是软件应用，不但实施数据输入操作，还在经过开放式网络发送数据前对数据进行加密。虽然经过网络发送加密信息优于发送未加密的信息，但这些信息仍然易受截取和随后的解密的影响。在一些现有技术的系统中，主账户号码(PAN)和PIN被加密并且一起经网络发送，为想成为诈骗者的人提供了一次截取访问客户金融账户全部必要信息的机会。

因此，所需要的是用于在网络上以安全的方式传输和验证信息，而不要求客户在其设备上安装特殊的加密硬件和/或软件的系统和方法。此外，需要收集来自两个专用且安全的信道的PIN和PAN数据，该信道利用数据屏蔽技术对将要发送的数据的实际值进行编码。

发明内容

本发明提供了一种安全地授权开放式网络上的商户系统和客户设备之间基于PIN的交易的系统和方法。该系统可以经过第一通信线路从商户系统接收包括PAN和支付额的交易数据。该交易数据还可以包括商户ID。该系统可以经过第二通信线路向客户设备呈现验证界面。该验证界面将是基于主机的且可以包括表示PIN元素的一些交互式控件。该验证界面既不要求客户在连接到因特网的客户设备上附加、连接或配置硬件设备，也不要求下载额外的软件。该控件可以在验证界面上被随机排列。系统可以在开放式网络上从客户设备接收坐标，该坐标表示了验证界面内交互式控件的位置。然后系统可以基于接收到的坐标确定PIN元素。系统可以基于已经确定的PIN元素和已接收和存储的交易数据建立PIN块。然后系统发送PIN块到第三方支付处理器系统用于交易授权。该系统可以基于第三方支付处理器系统的响应，向商户系统通知关于对交易授权的批准或拒绝。

附图说明

当参照附图阅读以下详细描述时，可以更好地理解本发明的这些及其它特征、方面和优点。

图1是根据本发明的某些示例性的实施例的用于安全的基于PIN的交易的系统的功能性方框图。

图2是根据本发明的某些示例性的实施例的验证界面的方框图。

图3是根据本发明的某些示例性的实施例，示意地说明在开放式网络上完成交易的方法的流程图。

图4是根据本发明的某些示例性的实施例，示意地说明在开放式网络上验证交易的方法的流程图。

具体实施方式

本发明的实施例提供了在网络环境下保护基于PIN的交易的安全的方法和系统。这里的引用“PIN”一般意图包括任何类型的口令、密码或其它验证信息。术语“基于PIN的交易”在此用于指要求个人提供例如账号或其他标识符的帐户信息以及PIN的任何交易。基于PIN的交易包括但不限于借记卡和信用卡交易。举一个基于PIN的交易的例子，客户可以通过商户的网站使用借记卡来支付在线商户。在此使用的术语“客户”意在指代发起基于PIN的交易的任何实体，而术语“商户”意在指代与之完成交易的任何实体。

本发明允许在不经过网络传输实际的PIN或不要求例如硬件PIN输入器或硬件刷卡机的附加硬件的条件下，完成在线的基于PIN的交易。代替地，与PIN关联或指示PIN的数据从客户设备传输给安全主机系统进行处理。该PIN数据由客户通过在此被称作“验证界面”的图形用户界面进行输入，该验证界面是安全主机系统通过web网络浏览器或等效机制呈现给客户设备的。包括客户账户信息在内的其它交易数据被从客户设备发送给商户系统。因此，PIN数据在网络上相对其它交易数据独立地传输。该安全主机系统可以由不同于商户的实体维护或运营。

本发明示例性的实施例将参考附图在以下进行描述，其中类似的标号被用于指示类似的元素。图1是一个功能性的方框图，示例地说明了根据本发明的某些示例性的实施例的安全的基于PIN的交易系统。正如所示的，示例的安全的基于PIN的交易系统10包括客户设备20、网络30、商户系统40、第三方支付处理器系统50，以及安全主机系统100。

客户设备20可以是客户能用来经过网络发起与商户系统40的比如金融交易的交易的任何设备。客户设备20可以是能与特定网络30的资源进行交互的任何设备，并且将典型的是处理器驱动的设备，包括显示器22、数据输入设备24(例如，鼠标或键盘)和网络接口(未示出)。显示器22可以是触摸感应的以接受来自例如手写笔或手指的指点设备的输入信号。客户设备20的网络接口可以采用任何众所周知或新出现的形式，例如调制解调器、网络接口卡等。客户设备20因此可以配置为经过无线连接和/或经过有线连接来与网络30通信。客户20可以配置为根据任何适合的通信协议进行通信。

客户设备20还可以被配置为执行软件，尤其是用于发送、接收和显示数据的软件。例如，客户设备可以执行网页浏览器软件以用于从商户系统40和安全主机系统100请求、接收和/或显示网页，以及用于向这些网页输入数据。在一个实施例中，网页浏览器软件配置为支持异步JavaScript+XML(Ajax)。Ajax在网页浏览器软件和提供数据至网页浏览器软件的服务器之间引入称为Ajax控制器的中介。在另一个实施例中，网页浏览器软件可以被配置为支持其它脚本、语言和/或并入网页的应用。

如图1中所示的，客户设备20可以是膝上型计算机。然而，客户设备20还可以是或可选地为个人计算机、手持计算机、个人数字助理、蜂窝电话、智能电话、黑莓、机顶盒、公用电话或任何其他至少具有上述能力的设备或系统。客户设备20的这些及其它形式对本领域技术人员而言是显而易见的。

网络30可以包括任何通信和/或数据网络，无论公共网或私有网，例如局域网、广域网、内部网、因特网及其任何组合，并且可以是有线和/或无线的。例如，网络30可以是因特网、蜂窝网、卫星网络和/或电缆网络。网络30提供客户设备20和商户系统40之间的连接，以及客户设备20和安全主机系统100之间的连接。尽管在此描述的示例性的实施例是在基于web的环境的背景下的，可以理解的是，本发明的各种原理和操作方法也可以在其它网络环境下应用或实施。

商户系统40和安全主机系统100都可以包括各种网络设备来访问和读取相关联的计算机可读介质，其上存储了用于实现本发明的各种方法的数据和/或计算机可执行指令。通常地，网络设备包括用于在网络30上发送和接收数据和/或计算机可执行指令的网络接口、用于存储数据和/或计算机可执行指令的存储器。网络设备还可以包括用于处理数据和执行计算机可执行指令的处理器，以及其他现有技术中的内部和外围部件(例如，输入和输出设备)。在此使用的术语“计算机可读介质”描述了任何形式的计算机存储器或传播信号发送介质的形式。表示数据和计算机可执行指令的传播信号在网络设备之间传递。

商户系统40可以包括商户网页服务器42、商户数据库44和/或其它网络设备。商户网页服务器42尤其可以托管(host)包括商户网站的商户网页文件。通过由商户网站提供的图形用户界面，商户可以通过网络30提供待售的产品和/或服务，以及可以允许客户(即，客户设备20的操作者)输入交易数据来发起涉及产品和/或服务的交易。

安全主机系统100被配置为以安全的方式验证商户系统40和客户设备20之间的交易。安全主机系统100可以包括一些网铬设备，例如交易网关服务器110、交易应用服务器120、验证网关服务器130、验证应用服务器140和安全服务器150。

交易网关服务器110除了其它功能以外，尤其可以提供安全主机系统100和商户系统40之间经过安全链路的接口。例如，商户系统40可以通过比如安全的点对点连接的专用通信链路或者是通过安全的网络通信与交易网关服务器110进行通信。经由网络30的安全通信可以使用安全传输协议或握手进行，比如安全壳BSD、通常也称为虚拟专用网络的点对点隧道协议(PPTP)和/或安全套接分层(SSL)协议。用于在商户系统40和安全主机系统100之间实现安全连接的其它方法对本领域技术人员而言将是显而易见的。

因此，商户系统40可以以安全的方式发送交易请求和交易数据至交易网关服务器110。交易网关服务器110将这些请求和数据路由至适当的交易应用服务器120进行处理。交易应用服务器120包括一个或多个应用、数据库和/或程序模块122以验证交易请求、处理和管理交易数据以及传达交易授权和拒绝信息至商户系统40。

验证网关服务器130除了其它功能以外，尤其可以托管包括验证界面的网页文件。通过验证界面，验证网关服务器130可以允许客户(即，客户设备20的操作者)输入PIN数据以完成经由商户网站发起的交易。验证网关服务器130将收集自客户设备20的PIN数据和其它信息路由至适当的验证应用服务器140。验证应用服务器140可以包括一个或多个应用、数据库和/或程序模块142，程序模块142负责对接收自客户设备20的PIN数据进行处理和管理，以及基于客户设备20的配置产生或选择适当的验证界面。验证应用服务器140还可以配置成确定客户设备20的地理位置信息(即，基于客户设备20的IP地址)以保证正在发生的是合法的交易。

交易应用服务器120和验证应用服务器140都连接到安全服务器150。安全服务器可以是但不限于硬件安全模块(“HSM”)。安全服务器150包括一个或多个应用、数据库和/或程序模块152，以产生用于随机重新排列验证界面的算法或算法的种子、解密PIN数据(经由网络30接收自客户设备20)和交易数据(经由安全通信链路接收自商户系统40)，基于PIN数据确定PIN，以及与一或多个第三方支付处理器系统50通信。安全服务器150实现的另一个功能是从收集的数据建立和加密PIN块。PIN块是将PIN和PAN组装到数据块中，如ANSI标准X9.8-1995规定的。正如图1所示和描述的，交易数据和PIN数据经由隔离和独立的路径到达安金服务器150，并且在到达安全服务器150之前不进行合并。该隔离为基于PIN的交易提供了增强的安全性。

每个接入到安全主机系统100的接入点，即与商户系统40通信的交易网关服务器110、与客户设备20通信的验证网关服务器130和与第三方支付处理器系统50通信的安全服务器150，可以由防火墙70A、70B、70G提供安全保护。在防火墙后面的安全服务器150上利用来自两个隔离和独立的信道的数据建立PIN块的事实，相比在客户设备上建立PIN块且在开放网络上发送该PIN块以用于第三方处理的其它系统提供了更好的安全级别。可选地，为了增加安全性，额外的防火墙70C-F可以用于安全主机系统100的每个设备之间。

同一个安全服务器150或另一个专用安全服务器可以通过专用通信链路或经过安全网络通信与第三方支付处理器系统50通信。第三方支付处理器系统50代表金融机构负责处理和验证包含在PIN块中的信息、授权交易和处理支付。既然第三方支付处理器系统50在本领域中是众所周知的，在此不再详细描述。

图2是根据本发明的某些示例性的实施例的验证界面的方框图。如上讨论的，安全主机系统100产生最终显示在客户设备20上的验证界面200。验证界面200是种机制，通过该机制安全主机系统100收集来自客户设备20的PIN数据和某些其他信息。在图2显示的实施例中，验证界面200以PIN输入器的常见形式呈现出来。示例性的验证界面200具有交互式部件202，交互式部件202可以表现为PIN输入器上的按钮。因此按钮包括用于形成客户的PIN的字母-数字元素。例如，客户的PIN可以是数字序列或字母串或其组合，通过对应于每个被包含的数字或字母选择交互式部件202进行输入。本领域技术人员将理解验证界面200为了从客户设备20收集PIN数据，作为替代地可以呈现为任何其它合适的形式，并且可以包括其他类型的交互式部件202，比如单选框(radioboxes)、下拉菜单和诸如此类。在其它实施例中，客户的PIN可以包括可以被适当地显示在验证界面200上的数字、字母-数字和/或图标元素。

验证界面200由安全主机系统100托管，当其被调用时，可以通过网络30作为嵌入在商户网页上的对象呈现给客户设备20。例如，商户网页可以包括使得由客户设备20执行的网页浏览器软件调用安全主机系统100以呈现验证界面200的代码。验证界面200可以作为Ajax控制或任何其它适合的脚本、程序、对象或诸如此类来实现。由于验证界面200被安全主机系统100托管，并且作为嵌入在网页上的对象呈现给客户设备20，客户设备20不要求安装附加的硬件或软件以安全地传递PIN数据至安全主机系统100。

当经由验证界面200输入PIN时，客户选择对应于PIN的元素的交互式部件202。当每个交互式部件202被选择时，其在验证界面200中的坐标被记录并随后经由网络30传输至安全主机系统100。每个PIN元素的坐标可以在它们被记录时发送至安全主机系统100，或可以在所有PIN元素被选择后成批发送。重要的是，实际PIN元素并不在网络30上传输，而是将代表被选择的交互式部件202的验证界面200中的坐标的数据在网络30上传输。安全主机系统100，特别是安全服务器150，随后确定对应于这些坐标的实际的PIN元素，并由此构造PIN。

安全主机系统100可以在每次交易的基础上动态地产生验证界面200。在某些实施例中，验证界面200的交互式部件202以随机排列的方式显示。同样地，组成PIN的元素不会显示在期望或可预见的位置。因此，PIN的元素不能通过对客户与验证界面200的交互进行的简单观察或通过截取该交互产生的坐标，而轻易地被辨别出。如上提及的，验证应用服务器140可以负责产生验证界面200，并且安全服务器150可以负责产生由验证应用服务器140执行的算法或算法的种子以随机化交互式部件202。每次验证界面200被调用时，可以重新产生该随机化算法或重新产生种子。该算法还可以被设计为每次交易一次或在选择每个交互式部件202之后直至PIN输入完成，对验证界面200的交互式部件202进行随机重排列。用于随机化算法的密钥或种子被存储在安全服务器150中，以用于随后基于经由验证界面200收集的PIN数据确定客户的PIN。

图3是根据本发明的某些示例性的实施例，示意地说明在商户系统中执行的完成基于PIN的交易的方法的流程图。该示例性的方法从起始方框301开始，并且进行至步骤302，该步骤中商户系统40从客户设备20接收发起交易的请求。典型地，交易发起请求以经由托管在商户服务器42上的商户网站“结帐”或完成购买的命令的形式从客户设备20接收。在步骤304，若尚未在网络30上建立与客户设备20的SSL连接，则建立该SSL连接。接下来在步骤306中，商户系统40可以产生序号来帮助追踪交易。在步骤308中，结帐页面被呈现给客户设备20，提示客户输入某些信息，例如包括进行支付的数额、其中该支付将被记账/借贷的出帐或进账的账户的识别符(“PAN”)以及完成交易是否要求PIN的指示。

在步骤310中，确定接收自客户设备20的信息是否包括完成交易需要PIN的指示。如果否，则该方法在步骤328中结束。如果接收自客户设备20的信息包括支持PIN的交易的指示，则在步骤312中，该信息与序号和可应用的商户ID(即，与商户或商户系统40关联的唯一标志符)结合以形成交易数据。在步骤314中交易数据经过安全的通信链路被发送至安全主机系统100。

接下来在步骤316中，确定是否从安全主机系统100接收到该交易“支持PIN”的确认。换言之，安全主机系统100检查包含在交易数据中的账户号码并确定访问所关联的账户是否需要PIN。如果该交易不是支持PIN的，则在步骤318中将交易失败界面(例如，网页)呈现给客户设备20，来通知客户使用所提供的信息不能完成交易，且方法在步骤328中结束。否则，如果该交易是支持PIN的，则在步骤320将交易完成界面(例如，网页)呈现给客户设备20。交易界面包括使得调用安全主机系统100以呈现验证界面200的代码(例如，Ajax控制或其它脚本、程序或对象)。在交易完成界面被呈现后，商户系统40等待来自安金主机系统100的关于该交易已被授权的确认。在步骤322，确定是否该交易已被授权。若是，则步骤324中交易成功界面呈现给客户设备20，来通知客户交易已经成功地完成。交易成功界面可以包括，或者其后可以是，用于客户记录的交易收据。在步骤322中如果确定交易没有被授权，则在步骤326中交易失败界面呈现给客户设备20，来通知客户使用所提供的信息不能完成交易。可选地，交易失败界面可以允许客户输入新的信息来对交易进行重试。交易成功界面或交易失败界面呈现之后，示例性的方法300在步骤328中结束。

图4是根据本发明的某些示例性的实施例，示意地说明由安全主机系统执行的完成基于PIN的交易的方法的流程图。该示例性的方法从起始方框401开始并且进行至步骤402，该步骤中安全主机系统100从商户系统40接收交易数据。在步骤404中，从交易数据中提取BIN(银行识别号)，用于验证客户帐号与有效的金融机构相关联。在步骤406中，检查帐号以确保相关联的账户是支持PIN的。在步骤408中，使用安全主机系统100检查商户ID以确保商户系统40已注册且信誉良好。步骤404-408的验证检查可以任何顺序或并行执行，并且每一个可以采用安全主机系统维护的查找表或通过其他众所周知的方法执行。还可以执行额外的和/或替代的验证检查以确保请求的交易应进行。

在初始验证步骤成功完成后，在步骤410中将“主题包”发送至商户系统40。该主题包是与验证界面200关联的一套规范。商户系统40可以使用该主题包产生其中嵌入了验证界面200的交易完成界面。主题包可以说明交易完成界面的外观(look and feel)，包括是否应该显示与特定金融机构关联的任何标识或色彩机制。

接着在步骤412中，从客户设备20接收呈现验证界面200的请求。在步骤414中，响应于所述请求，验证界面200被产生并提供给客户设备20。验证界面200可以被嵌入商户系统40提供的交易完成界面中。如上描述的，验证界面200的交互式部件202可以被随机排列。

在步骤416中，经由验证界面200接收表示至少一个被选择的交互式部件202的坐标。在步骤418中，确定是否要求或期望任何额外的坐标。若是，该方法返回至步骤416以接收额外的坐标。当所有坐标被最终接收时，该方法转移至步骤420，其中坐标作为PIN数据被提供给比如HSM的安全服务器150。在步骤422中，接收自商户系统40的交易数据也被提供给安全服务器150。在步骤424中，安全服务器150将PIN数据的坐标与PIN元素关联，以构造客户的PIN。在步骤426中，安全服务器150使用该PIN和包括PAN的交易数据构造PIN块。在步骤428中，安全服务器150加密PIN块并将其提供给第三方支付服务器系统50以对交易进行验证和授权。

在将PIN块提供给第三方支付服务器系统50之后，安全主机系统100等待来自第三方支付服务器系统50的交易已被授权的确认。在步骤430，确定是否接收到这样的确认。若是，在步骤432将确认发送至商户系统40。否则，在步骤434，提供交易失败通知给商户系统40。关于交易是否已被授权和已完成的通知被送至商户系统40之后，示例性的方法400在步骤436中结束。

前述的本发明示例性的实施例仅为了示例和说明而提出，并不是意图将发明穷举或限定至公开的确切形式。在此讨论的示例性的方法仅以举例的方式提供而非意图将本发明限定至列举的步骤顺序。额外的和/或可替代的方法步骤和/或方法可以根据本发明进行实施。同样地，所描述的系统和设备仅以举例的方式提供而非意图将本发明限定至任何特定的配置。例如，在不脱离本发明精神的情况下，描述的与一设备有关的功能可以由另一个设备实施。因此，通过阅读以上属于多个示例性实施例的说明，将理解很多本发明的其他更改、特征、实施例和操作环境是可行的。此外，以上描述的系统和方法可以被与要求接入验证的非金融账户和系统协同使用。本发明的特征和方面已仅以举例的方式说明或描述，且因此并不想要解释为本发明要求或必要的元素。因此，应该被理解为，在前的描述仅涉及到本发明的某些示例性的实施例，而在不脱离本发明精神和范围的情况下，可以如任何附加权利要求定义的那样另外做出多种修改和增加。

Claims (10)

1.一种用于安全地授权商户系统和客户设备之间的基于PIN的交易的方法，包括：

经由第一通信链路从商户系统接收包含帐户识别符和支付额的交易数据；

经由第二通信链路呈现验证界面给客户设备，所述验证界面包括多个交互式控件；

经由所述验证界面从所述客户设备接收表示对应于PIN元素的所选交互式控件在验证界面内的位置的坐标；

基于所述坐标确定PIN元素；

在安全服务器中基于所述PIN元素和所述交易数据建立PIN块；以及

将所述PIN块提供给第三方支付处理器系统，并等候来自第三方支付处理器系统的关于交易已被授权的确认。

2.如权利要求1所述的方法，进一步包括响应于接收到所述确认，通知商户系统所述交易已被授权的步骤。

3.如权利要求1所述的方法，进一步包括响应于接收到拒绝，通知商户系统所述交易未被授权的步骤。

4.如权利要求1所述的方法，进一步包括以下步骤：响应于从商户系统接收到交易数据，确定与账户标识符关联的账户是支持PIN的。

5.如权利要求1所述的方法，进一步包括以下步骤：响应于从商户系统接收到交易数据，确定包括在账户标识符中的BIN与有效的参与的金融机构关联。

6.如权利要求1所述的方法，其中所述交易数据进一步包括商户ID；以及

其中该方法进一步包括以下步骤：响应于从商户系统接收到交易数据，基于商户ID验证商户系统已注册且信誉良好。

7.如权利要求1所述的方法，其中在验证界面内的多个交互式控件被随机排列。

8.如权利要求7所述的方法，其中经由第二通信链路向客户设备呈现验证界面，包括多个交互式控件的所述验证界面进一步包括，在产生随机排列所述多个交互式控件的算法之后呈现验证界面。

9.如权利要求7所述的方法，其中在每次选择对应于PIN元素的交互式控件之一之后，验证界面内的所述多个交互式控件被随机重新排列。

10.一种用于安全地授权商户系统和客户设备之间的基于PIN的交易的系统，包括：

交易网关服务器，用于经由第一通信链路从商户系统接收包含帐户识别符和支付额的交易数据；

验证应用服务器，用于产生验证界面和随机排列验证界面内的多个交互式控件；

验证网关，用于经由第二通信链路向客户设备提供验证界面，且经由验证界面从客户设备接收坐标，该坐标表示对应于PIN元素的所选择的交互式控件在验证界面内的位置；以及

安全服务器，用于接收坐标和交易数据，基于所述坐标确定PIN元素，基于所述PIN元素和所述交易数据建立PIN块，并且将所述PIN块提供给第三方支付处理器系统用于授权所述交易。

Images