CN102136172A - 一种个人或家庭使用的刷卡终端及其实现方法 - Google Patents

Abstract

一种用于个人或家庭，与通用计算平台上的应用软件一起工作，刷卡进行支付的终端以及该终端的实现方法。刷卡终端由智能卡(104)、微处理器(106)、存储器(105)、刷卡器(101)、电池和电源控制模块(107)、通信接口模块(108)组成，也可有选择地配有显示屏(102)和键盘(103)。智能卡存储终端标识、终端密钥并进行加解密运算，微处理器/存储处理和存储支付终端上进行的其它逻辑，分工合作以降低在该终端上进行刷卡支付可能的安全风险。该终端的实现方法是支持支付卡与刷卡终端的绑定，通用计算平台上的应用软件生成交易内容发送给刷卡终端，刷卡终端进行加密和完整性保护，通过应用软件发送给后台系统，后台系统验证终端标识号和绑定列表，如果未绑定则拒绝交易，如果已绑定则正常交易处理。

Description

一种个人或家庭使用的刷卡终端及其实现方法

所属技术领域

涉及一种刷卡终端及其实现方法，尤其是用于个人或家庭，与通用计算平台上的应用软件一起工作的刷卡终端及其实现方法。

背景技术

刷卡支付是人们比较习惯的在商业销售点使用的支付方式，目前较常用的刷卡终端主要有POS机、自助终端、电话支付终端等。为了个人和家庭使用中携带方便，一般采用与其它计算平台连接，配合其它计算平台上的应用软件一起工作的方式。目前与其它计算平台连接一起工作的刷卡终端和实现方法已公开的主要有以下几种。

与分体式的POS或与商场收银机连接并配合使用的带有刷卡器的密码键盘，POS主机或商场收银机完成与用户的交互并生成订单，密码键盘完成刷卡、加解密和报文完整性保护。该终端主要由刷卡器、键盘、显示器、微处理器和存储器和开机自毁电路组成，开机自毁电路一旦检测到微动后就清除存储器中保存的密钥和程序而实现防范非法开机和保护秘密信息，该开机自毁功能需要通过国内外相应认证，代价较高，不适用于个人和家庭使用。另外因POS主机或商场收银机是专用设备，被认为是比较安全的，所以相关的逻辑和参数主要保存在POS主机或商场收银机上，终端处理器和存储器处理和保存的逻辑和参数较少。

公告号为C N1766920A的发明专利公开了一种网上安全支付系统和方法，该支付系统的用户终端中，除了能够访问互联网的主机外，增设了与主机相连的读卡器，并选择性配有密码键盘，还在主机内部署了采集加密程序，通过该采集加密程序、读卡器和密码键盘的配合使用进行支付。在该发明中刷卡器的主要工作是读入卡信息，主要的逻辑、参数和保密信息都保存在主机上，如各类加密密钥和支付参数的保存，并由主机负责磁道信息、PIN、支付报文的加解密，存在主机上的木马窃取以上秘密信息的风险。如果配有密码键盘，则PIN从密码键盘输入并由密码键盘进行加解密，该密码键盘也须具有开机自毁功能并通过国内外相应认证，代价较高，不适用于个人和家庭使用。

公告号为CN201364616Y的实用新型专利公开了一种家用支付终端，与家用计算机配套使用进行刷卡交易，包括处理模块及分别与之连接的电源模块、输入模块、输出模块、通讯模块，其中输入模块包括键盘阵列和读/写卡模块，输出模块为显示屏。该专利只简单描述了各模块的功能，说明由处理模块负责对银行卡信息进行处理，没有考虑在该终端上进行刷卡支付可能的安全风险。主要有(1)没有开机自毁电路，该终端中保存的密钥可能在传输过程以及使用过程中被他人获取，他人可截获交易报文并解密后可获得持卡人支付卡信息(2)没有开机自毁电路，该终端被挪用到商业场合后，可能发生在终端上搭线盗用持卡人支付卡信息的风险(3)由于通用计算平台的开放性，由通用计算平台上的应用软件完成的支付逻辑，保存在通用计算平台上的业务参数，及发送给支付终端的交易数据存在被通用计算平台上的恶意软件劫持和篡改的风险。

发明内容

为在个人或家庭中使用与通用计算平台相连接的刷卡终端并防范可能的安全风险且尽量降低终端成本，提供了一种新型的刷卡终端和实现该终端的方法。该刷卡终端由智能卡、微处理器、存储器、刷卡器、电池和电源控制模块、通信/接口模块组成，也可有选择地配有键盘和显示器，智能卡，微处理器/存储器处理和存储不同逻辑和参数，分工合作共同完成刷卡支付以降低安全风险。

一种个人或家庭使用的与通用计算平台相连接的刷卡终端，其由智能卡(104)、微处理器(106)、存储器(105)、刷卡器(101)、电池和电源控制模块(107)、通信/接口模块(108)组成，也可有选择地配有显示屏(102)和键盘(103)。

智能卡(104)有自身的处理器和存储，主要存储终端标识、终端密钥并进行加解密运算，其由于自身的安全设计，存储的秘密信息和逻辑由其智能卡结构保护不能被恶意获取或操控。

微处理器(106)和存储器(105)处理和存储刷卡终端上进行的其它逻辑，初始化时绑定支付卡，以避免该终端被挪用到商业场合为其它持卡人提供服务，只能使用绑定的支付卡，配合智能卡存储和保护秘密信息，该刷卡终端可避免开机自毁电路和相关认证。支付时微处理器根据存储器中的支付逻辑接受通用计算平台上的应用软件发出的指令，通知刷卡器刷卡、将需要加解密的内容转发给智能卡，对交易报文进行完整性保护，如刷卡终端有显示屏(102)和键盘(103)，则接受键盘输入，并将交易内容显示到显示屏让用户确认，以防范木马对支付逻辑、交易数据的劫持和篡改。

为不提高安全风险且能获得更高的处理效率，并避免终端成本的上升，智能卡(104)、处理器(106)/存储器(105)之间可采用以下分工原则，减少智能卡的处理和存储要求，提高微处理器和存储器的利用率；因此智能卡(104)仅保存和处理传输过程或非法获得他人刷卡终端后需要保护不被泄漏或篡改的信息，主要有终端标识，终端密钥和公私钥对，终端密码，个人回显信息，并负责为保护以上内容不被泄漏或篡改必须进行的逻辑处理，主要有生成动态密钥，使用终端密钥或公私钥加解密信息，验证终端密码并回显预留信息；而微处理器(106)/存储器(105)处理和保存防止通用计算平台上的木马干扰交易必须在终端保存的参数和逻辑，主要有该终端绑定的证件号，绑定支付卡列表，终端程序和业务参数，并负责以上信息的处理，主要有绑定支付卡，判断支付卡绑定关系，使用动态密钥对磁道信息和PIN进行加密，对报文进行完整性保护，在有显示屏(102)和键盘(103)的刷卡终端，负责将交易内容显示给用户、在用户确认后打包交易报文。

以上终端的一个更好的实施改进是，为让刷卡终端能与目前使用较多的个人电脑和手机这两类通用计算平台连接，通信/接口模块(108)采用电脑和手机共有的USB接口，但目前电脑配有的USB接口只能作为服务器模式，而绝大部分手机只支持USB接口的客户端模式，因此该终端通过采用支持USB OTG技术(各种不同设备尤其是移动设备之间数据交换的技术)的USB接口，能按需切换到USB接口的服务器模式和客户端模式，并且配合电池和电源控制模块(107)，在连接手机USB客户端时刷卡终端作为USB接口模式中的服务器(host)，由电池通过电源控制模块对刷卡终端馈电，在连接电脑类USB服务器端时刷卡终端作为USB接口模式的客户端(client)，由电脑对刷卡终端馈电，刷卡终端电源控制模块同时取电对电池进行充电。

一种与通用计算平台上的应用软件配合实现以上刷卡终端的方法，其包括以下步骤：

步骤一：刷卡终端支持绑定功能，支付卡与智能卡(104)中保存的终端唯一标识绑定并将此绑定关系上送给后台系统。

步骤二：通用计算平台上的应用软件与用户交互确定交易内容，发送给刷卡终端。

步骤三：如果刷卡终端配有显示屏(102)，则显示交易内容并等用户确认后，终端微处理器(106)驱动刷卡器(101)进行刷卡，如果终端配有键盘(103)，终端微处理器提示用户从键盘输入PIN；终端进行PIN和磁道加密，对交易报文内容进行完整性保护，然后通过通用计算平台发送给后台系统。

步骤四：后台系统验证交易报文是否完整有效，并将终端标识号、支付卡账号，与保存的绑定列表相对照，如果已绑定进行正常交易处理，不然拒绝交易提示支付卡未绑定。

以上方法的一个更好的实施改进是：可设定终端密码和回显信息，这些内容存放在智能卡中，用户可输入终端密码并查验回显信息，查看该终端是否还是自己的刷卡终端。

以上方法的一个更好的实施改进是：终端标识号与支付卡账户之间的绑定列表放在终端存储器中，刷卡后终端微处理器先进行判断，以避免用户输入PIN并等待后台系统拒绝后才发现问题。并且绑定列表放在终端存储器上的另一个好处是，支付卡账号在支付时可使用绑定时制定的昵称或终端标识号和绑定次序号来唯一替代，避免支付卡账号从刷卡终端到后台系统之间被通用计算平台上的木马程序所窃取。

以上方法的一个更好的实施改进是：支付卡可不用提前绑定，如果未绑定且未到达绑定限制，支付卡可正常发起交易，由后台系统收到交易报文后，通过向发卡机构发两次请求，先进行绑定查验请求，成功后将支付卡账号放到绑定列表中，然后进行正常交易授权请求，如果绑定不成功，则拒绝交易。

以上方法的一个更好的实施改进是：刷卡终端上的应用逻辑，主要是支持哪些交易类型，和相关业务参数，如绑定限制套餐，限制的持卡人数量或支付卡数量，支付限额，认证中心公钥参数等由用户根据需要自行下载，并且保存在终端存储器内。

以上方法的一个更好的实施改进是：智能卡负责从终端密钥派生出动态密钥以及使用终端私钥解密使用终端公钥加密的秘密信息并传递给微处理器，微处理器使用动态密钥对磁道信息、PIN、交易内容和交易报文进行加解密和完整性保护。从该动态密钥从计算上不能反推出终端密钥，因此既保护了终端密钥，又能降低对智能卡处理能力要求，在不提高终端成本的前提下提高终端整体处理速度。

以上方法的一个更好的实施改进是：没有配有显示器和键盘的刷卡终端，由通用计算平台上的应用软件进行交易数据组包，通过刷卡终端支持与通用计算平台上的应用软件之间加密传输交易数据以防范交易数据被伪造和篡改。

以上方法的一个更好的实施改进是：配有显示器和键盘的刷卡终端情况下，通用计算平台上的应用软件将交易相关数据发送给刷卡终端，刷卡终端在显示器上显示交易相关数据并等待用户确认，用户确认后由终端微处理器进行交易报文组包发送给支付后台系统以防范交易相关数据被非法篡改。

本发明的有益效果是，适用于个人及家庭支付，与通用计算平台上的应用软件配合一起完成刷卡支付，具有较好的安全、使用方便且终端价格低廉的特性，并且避免了被挪用到商业场合中引起的支付风险。

附图说明

下面结合附图和实施例对本发明进一步说明。

图1是本发明刷卡终端的示意框图。

图2是本发明实施方式一的终端初始化和支付流程。

图3是本发明实施方式二的终端初始化和支付流程。

具体实施方式1

刷卡终端没有显示器和键盘，通过通用计算平台进行输入和显示。智能卡存有终端标识，并与后台支付系统共享的唯一对称密钥、公私钥对以及后台系统颁发的证书。

初始化过程：

步骤201：通用计算平台上的应用软件中有终端认证功能，使用这个功能可初始化设定终端密码和回显信息。用户将来在需要的时候可调用这个功能输入终端密码然后查看回显信息，确认该终端的确是自己的终端，没被替换。该终端密码和回显信息放在智能卡(104)内，即使有人取走该终端，也不能获得用户个人的PIN和回显信息，然后放入一个伪造的终端内欺骗用户。

步骤202：通用计算平台上的应用软件中有支付卡绑定功能，用户先绑定支付卡，才能使用终端进行刷卡支付。绑定时从应用软件中输入证件号，如身份证号，然后刷卡输入PIN，只有当支付卡账号认证通过且证件号也匹配时，该卡与该终端标识绑定，证件号，支付卡账号与终端的绑定关系保存在终端存储器(105)和后台系统中。

步骤203：根据需要下载终端应用逻辑并设定业务参数，主要是选择绑定限制套餐和支付限额，并且保存在终端存储器(105)内。

支付过程：

步骤211：通用计算平台上的应用软件生成交易信息，在通用计算平台的屏幕上提示用户刷卡并发命令通知终端刷卡。

步骤212：终端微处理器(106)解析并理解从通用计算平台上的应用软件来的刷卡请求，通知刷卡器(101)刷卡。

步骤213：刷卡器(101)刷卡并将磁道信息送给微处理器，微处理器(106)获取账号，并查看是否已绑定。

步骤214：如果未绑定，微处理器(106)通知通用计算平台上的应用软件显示账号未绑定，交易失败。

步骤215：如果已绑定，微处理器(106)通知通用计算平台上的应用软件，提示用户输入PIN。

步骤216：通用计算平台上的应用软件提示用户输入PIN，并生成一个动态传输密钥，用该动态传输密钥对PIN进行加密，并用终端公钥加密该动态传输密钥然后一起发送给终端。

步骤217：微处理器(106)将终端公钥加密的动态传输密钥发送给智能卡(104)；智能卡(104)解密动态传输密钥，发送给微处理器(106)。

步骤218：微处理器(106)请求智能卡(104)生成一个随机数并根据随机数生成动态磁道加密密钥、动态PIN加密密钥、动态MAC密钥，微处理器(106)使用动态传输密钥对PIN进行解密，然后使用动态PIN加密密钥加密PIN，用动态磁道加密密钥加密磁道信息，然后发送给通用计算平台上的应用软件。

步骤219：通用计算平台上的应用软件根据交易类型生成报文格式，使用动态传输密钥发送给终端。

步骤220：微处理器(106)使用动态传输密钥解密报文，并使用动态MAC密钥对报文进行MAC保护，然后发送给通用计算平台上的应用软件。完成后，微处理器将内存中的所有密钥信息进行清空。

步骤221：通用计算平台上的应用软件对报文通过SSL安全通道发送给后台系统。

步骤222：后台系统检查账号是否在绑定列表内。

步骤223：如果在绑定列表内，后台系统根据随机数生成动态磁道密钥、动态PIN密钥和动态MAC密钥，验证报文信息的有效性，进行正常交易处理。

步骤224：如果不在绑定列表内，后台系统则拒绝交易，提示该卡未绑定不能交易。

在这个具体实施例中，因为微处理器不需要进行报文打包处理，所以可选用处理能力较低的微处理器。

具体实施方式2

刷卡终端自带显示器和键盘的情况下，交易内容由终端显示器上显示并等用户确认后在键盘输入PIN，终端进行交易报文打包，这可减少通用计算平台上的与终端之间的交互且降低通用计算平台上木马造成的安全风险。但因微处理器需要进行报文打包，可选用处理能力稍高的微处理器。智能卡存有与后台系统共享唯一对称密钥和公私钥对及支付系统颁发的证书。

初始化过程：

步骤301：终端具有终端认证功能，使用这个功能可初始化设定终端密码和回显信息。用户在需要的时候可调用这个功能输入终端密码然后查看回显信息，确认该终端的确是自己的终端，没被替换。该终端密码和回显信息放在智能卡(104)内，即使有人取走该终端，也不能获得终端密码和个人回显信息，然后放入一个伪造的终端内欺骗用户。

步骤302：终端具有绑定功能，用户需要先绑定银行卡，才能进行刷卡支付。绑定时从终端键盘(103)输入证件号，如身份证号，然后刷卡输入PIN，只有当支付卡账号认证通过且证件号也匹配时，该卡可绑定在该终端上，证件号、银行卡账号与终端的绑定关系保存在存储器(105)和后台支付系统内。以后卡的绑定可不用单独进行，只要绑定限制未满，且该卡的证件号与终端绑定的一致就可。

步骤303：终端根据需要下载终端应用逻辑，主要是支持哪些交易类型，和相关业务参数，如绑定限制套餐，限制的持卡人数量或支付卡数量，支付限额，认证中心公钥参数、交易货币代码等并且保存在终端存储器(105)内。

支付过程：

步骤311：通用计算平台上的应用软件生成交易信息，并发送给终端。

步骤312：微处理器(106)控制交易信息在终端显示屏(102)上显示，用户确认后，用户进行刷卡并从键盘(103)输入PIN。

步骤313：微处理器(106)从磁道信息中获取账号，并查看绑定列表中是否有该账号。

步骤314：若未绑定且绑定列表已满，则微处理器(106)从显示屏(102)提示未绑定交易失败。

步骤315：若已绑定或者未绑定但绑定列表未满，微处理器(106)请求智能卡(104)生成一个随机数并根据随机数生成动态磁道加密密钥、动态PIN加密密钥和动态MAC密钥。

步骤316：微处理器(106)用动态磁道密钥对磁道进行加密，用动态PIN密钥对PIN进行加密，对交易根据交易类型进行打包，然后用动态MAC密钥进行完整性保护，然后发送给通用计算平台上的应用软件。

步骤317：通用计算平台上的应用软件对报文通过SSL安全通道发送给后台系统。

步骤318：后台系统检查账号是否在绑定列表内。

步骤319：如果已绑定则后台系统根据随机数生成动态磁道密钥、动态PIN密钥和动态MAC密钥，验证报文信息的有效性，进行后续交易处理。

步骤320：如果未绑定，那么先发一次报文验证身份信息。

步骤321：如果身份验证成功，将该绑定关系放到后台系统中并发送给终端，并根据随机数生成动态磁道密钥、动态PIN密钥和动态MAC密钥，验证报文信息的有效性进行后续交易处理；

步骤322：如果身份验证不成功，提示该卡不能在本终端使用，交易失败。

Claims (11)

1.一种个人或家庭使用的与通用计算平台相连接的刷卡终端，其特征在于：由智能卡(104)、微处理器(106)、存储器(105)、刷卡器(101)、电池和电源控制模块(107)、通信/接口模块(108)组成，也可有选择地配有显示屏(102)和键盘(103)。其中智能卡(104)有自身的处理器和存储，主要存储终端标识、终端密钥并进行加解密运算。微处理器(106)和存储器(105)处理和存储刷卡终端上进行的其它逻辑，主要是初始化时绑定支付卡，支付时接受通用计算平台上的应用软件来的指令，通知刷卡器刷卡、将需要加解密的内容转发给智能卡，如有显示屏和键盘，则接受键盘输入，并将交易内容显示到显示屏上。

2.如权利要求1所述的刷卡终端，其特征还在于：智能卡(104)仅保存和处理传输过程或私自获得他人刷卡终端后不能泄漏或篡改的内容，主要有终端标识，终端密钥，卡片PIN，个人回显信息，并负责为保护以上内容不被泄漏或篡改必须进行的逻辑处理，主要有生成动态密钥，验证个人回显预留信息；而微处理器(106)/存储器(105)处理和存储防止通用计算平台上的木马干扰交易必须在刷卡终端上保存的参数和逻辑，主要有该终端绑定的证件号，绑定支付卡列表，终端支付程序和支付参数，并负责以上信息的处理，主要有使用动态密钥磁道信息和PIN进行加密，对报文进行完整性保护，在有显示和输入的支付终端，负责将交易内容显示给用户、在用户确认后打包支付报文。

3.如权利要求1或2所述的刷卡终端，其特征还在于：终端的通信/接口模块(108)采用支持OTG技术的USB接口，并且配有电池和电源控制模块(107)，在连接手机类USB客户端时刷卡终端作为USB接口模式中的服务器(host)，由电池通过电源控制模块对刷卡终端馈电，在连接电脑类USB服务器端时舒卡终端作为USB接口模式的客户端(client)，由电脑对刷卡终端馈电，刷卡终端电源控制模块同时取电对电池进行充电。

4.一种与通用计算平台上的应用软件配合实现以上刷卡终端的方法，其包括以下步骤：

步骤：刷卡终端支持绑定功能，支付卡与智能卡(104)中保存的终端唯一标识绑定并将此绑定关系上送给后台系统。

步骤二：通用计算平台上的应用软件与用户交互确定交易内容，发送给刷卡终端。

步骤三：如果刷卡终端配有显示屏(102)，则显示交易内容并等用户确认后，终端微处理器(106)驱动刷卡器(101)进行刷卡，如果终端配有键盘(103)，终端微处理器(106)提示用户从键盘输入PIN；终端进行PIN和磁道加密，对交易报文内容进行完整性保护，然后通过通用计算平台发送给后台系统。

步骤四：后台系统验证交易报文是否完整有效，并将终端标识号、支付卡账号，与保存的绑定列表相对照，如果已绑定进行正常交易处理，不然拒绝交易提示支付卡未绑定。

5.如权利要求4所述的方法，其特征还在于：可设定终端密码和回显信息，这些内容存放在智能卡(104)中，用户可输入终端密码并查验回显信息。

6.如权利要求4或5所述的方法，其特征还在于：终端标识号与支付卡账户之间的绑定列表放在终端存储器(105)中，支付时终端微处理器进行判断是否已绑定，如果已绑定，并使用绑定时昵称或终端标识号和绑定次序号来替代支付卡账号，如果未绑定，提示未绑定支付不能进行。

7.如权利要求4或5或6所述的方法，其特征还在于：支付卡可不用提前绑定，如果未绑定且未到达绑定限制，后台系统收到交易报文后，向发卡机构发两次请求，先进行绑定查验请求，成功后将支付卡账号放到绑定列表中，然后进行正常交易授权请求，如果绑定不成功，则拒绝交易。

8.如权利要求4或5或6或7所述的方法，其特征还在于：终端应用逻辑和相关业务参数，由用户根据需要自行下载，并且保存在终端存储器(105)内。

9.如权利要求4或5或6或7或8所述的方法，其特征还在于：智能卡(104)负责从终端密钥派生出动态密钥以及使用终端私钥解密使用终端公钥加密的动态密钥并传递给微处理器(106)，微处理器(106)使用动态密钥对磁道信息、PIN、交易内容和交易报文进行加解密和完整性保护。

10.如权利要求4或5或6或7或8或9所述的方法，其特征还在于：没有配有显示器和键盘的刷卡终端，由通用计算平台上的应用软件进行交易数据组包，通过刷卡终端支持与通用计算平台上的应用软件之间加密传输交易数据以防范交易数据被伪造和篡改。

11.如权利要求4或5或6或7或8或9所述的方法，其特征还在于：配有显示器和键盘的刷卡终端情况下，通用计算平台上的应用软件将交易相关数据发送给刷卡终端，刷卡终端在显示器上显示交易相关数据并等待用户确认，用户确认后由终端微处理器进行交易报文组包发送给支付后台系统以防范交易相关数据被非法篡改。

Images