CN102402820B - 电子交易方法及终端设备 - Google Patents

Abstract

本发明公开了一种电子交易方法及终端设备，用以提供一种安全性较好的电子交易方案。该方法包括：终端在进行电子交易的情况下，在确定出满足预设条件的情况下，控制转换为安全操作系统，将输入设备和输出设备设置为于安全模式；以及在安全模式下，所述终端的输入设备或输出设备接收到用于进行读写操作的操作指令时，确定该操作指令是否来自于安全操作系统，以及在确定出所述操作指令来自于安全操作系统时，根据所述操作指令执行对应操作。

Description

电子交易方法及终端设备

技术领域

本发明涉及通信领域，尤其涉及一种电子交易方法及一种终端设备。

背景技术

目前，网上交易由于其便利性已经获得了广泛的普及。例如，银行系统为了提高业务处理效率，免去人们到营业厅排队等候的不便，纷纷推出了网上银行系统，人们通过可联网的计算机上的客户端就可以随时办理查询余额、转账、购买金融产品等业务；又如电子商务网站使得人们可以无需走出家门就可以从数以千万计的商品中选购自己心仪的产品，人们可以通过对网页的简单操作就可以实现下订单、修改订单、确认购买、转账等业务。

由于电子交易过程中网络侧与用户使用的终端之间交互的数据中包含许多敏感信息，例如用户名、密码、银行账号、转账金额等。如果将用于对电子交易数据进行电子签名的数字证书存储在终端计算机中，容易被复制和窃取，安全性较差，为了避免这些敏感信息被恶意用户窃取、篡改、伪造，给用户带来经济损失，现有技术提出了SD-Key或USB-Key的认证方式。SD-Key或USB-Key是一种智能安全存储设备，其内置有CPU芯片、存储部件和安全文件系统，用于存储数字证书，外观可以设计为与类似于现有优盘，便于携带。SD-Key或USB-Key中初始化写入的唯一数字证书是不可以被复制的，由于进行电子交易的数据都必须事先通过数字证书进行电子签名(也可以被理解为用数字证书对电子交易的数据进行加密)，被网络侧认证通过后才能成功交易，因此只要用户将SD-Key或USB-Key随身携带，即使银行账号、客户端用户名和密码丢失，他人也无法冒充合法用户进行电子交易。

附图1a是现有SD-Key或USB-Key的认证方式的基本原理示意图：

用户在需要进行电子交易时，登录终端计算机上的交易客户端，并将SD-Key或USB-Key插入终端计算机；终端计算机发送给网络侧的电子交易的数据先经SD-Key或USB-Key进行电子签名后，再发送给网络侧，相当于电子交易过程中通过在SD-Key或USB-Key建立用户交易客户端所在的终端计算机和网络侧设备之间的安全通道。

但是，在上述方案中仍然存在安全隐患，例如，在终端计算机上被安装了木马程序，木马程序截获并篡改终端计算机发送给SD-Key或USB-Key的待签名数据，例如原本待签名数据中的转账金额为100元，被木马程序截获修改后的待签名数据中的转账金额被修改为200元，如图1b所示；或者木马程序检测到终端计算机上插有SD-Key或USB-Key时，在用户并未进行电子交易时，木马程序主动地向预定网络侧设备发起电子交易过程，将用户账户中的金额转入其他账户，上述两种情况均会导致电子交易数据被恶意用户修改，因而仍然存在安全性不高的问题。

与终端计算机类似，移动终端在进行电子支付时同样也存在安全性不佳的问题，将现有SD-Key或USB-Key认证技术转用到移动终端的电子支付过程仍然存在安全隐患，并且由于移动终端的体积较小，不适于被设计为可接插SD-Key或USB-Key外设设备，因此现有技术没有提供一种安全性较好的基于移动终端的电子交易方法。

发明内容

本发明实施例提供一种电子交易方法，用以提供一种安全性较好的电子交易方案。

对应地，本发明实施例还提供了一种终端设备。

本发明实施例提供的技术方案如下：

一种电子交易方法，包括：终端在进行电子交易的情况下，在确定出满足预设条件的情况下，控制转换为安全操作系统，将输入设备和输出设备设置为于安全模式；以及在安全模式下，所述终端的输入设备或输出设备接收到用于进行读写操作的操作指令时，确定该操作指令是否来自于安全操作系统，以及在确定出所述操作指令来自于安全操作系统时，根据所述操作指令执行对应操作。

一种终端设备，包括输入设备、输出设备，还包括控制单元，其中：控制单元，用于在进行电子交易的情况下，在确定出满足预设条件的情况下，控制转换为安全操作系统，将输入设备和输出设备设置为于安全模式；输入设备或输出设备，用于在安全模式下，接收到用于进行读写操作的操作指令时，确定该操作指令是否来自于安全操作系统，以及在确定出所述操作指令来自于安全操作系统时，根据所述操作指令执行对应操作。

本发明实施例提供的电子交易方案新增一个安全操作系统，在电子交易流程中，需要通过输入设备输入安全性较高的数据之前、或者通过输出设备输出数据之前，终端设备从普通操作系统切换到安全操作系统中，并将输入设备或输出设备设置为安全模式，在安全模式下的输入设备或输出设备只接收安全操作系统发送的读写指令，通过上述方式避免普通操作系统中的恶意程序截取和篡改操作系统与外设之间交互的交易数据，提高了电子交易的安全性。

附图说明

图1a为现有技术中SD-Key认证方式的基本原理示意图；

图1b为现有技术中SD-Key认证过程中交易数据被截获和篡改的示意图；

图2为本发明实施例的主要实现原理流程图；

图3为本发明实施例提供的改进后的终端设备进行转账业务的流程图；

图4为本发明实施例提供的终端设备的结构示意图；

图5为本发明实施例提供的终端设备中输入设备或输出设备的结构示意图。

具体实施方式

针对现有电子交易技术中存在着交易数据被终端设备中的恶意程序截取的问题，本发明实施例提供了一种可以避免该问题的安全性较好的电子交易方案。并且该方案除了适用于个人计算机等固定终端之外，同样还适用于具有体积小、不适于接插外设的特点的移动终端。

发明人发现现有技术安全性不佳的主要原因来源于，恶意程序对用户输入的电子交易的相关数据(例如转账金额、口令、密码等)进行拦截和篡改，或者将输出给用户的数据进行篡改(例如恶意程序已经将转账金额或者转入账户进行了修改，但是在用户确认时，仍然向用户显示未篡改之前的数据，即并未将等待用户确认的数据显示给用户)，因此提出了一种改进的电子交易方案。

本发明的基本思路为：在现有终端设备软件和硬件的基础上，增加一个安全操作系统，安全操作系统与现有操作系统分别占用不同的地址空间。在安全操作系统的工作模式下，安全操作系统独占输入设备、输出设备的接口。

在电子交易流程中，在执行到下一步需要进行安全输入输出时，终端设备切换到安全性较佳的安全操作系统的方式进行，在所述安全操作系统工作状态下不允许其他程序读取输入设备输入的数据或者向输出设备写入数据，以及在输入输出步骤结束后，终端设备切换到普通操作系统中。

下面结合各个附图对本发明实施例技术方案的主要实现原理、具体实施方式及其对应能够达到的有益效果进行详细的阐述。

如图2所示，本发明实施例的主要实现原理流程如下：

步骤10，终端在进行电子交易时，确定出满足预设条件时，控制转换为安全操作系统，将输入设备和输出设备设置为于安全模式，所述安全操作系统和普通操作系统分别使用物理独立的存储空间，所述安全操作系统采用与普通操作系统不同的预定方式对输入设备和输出设备进行读写操作；

步骤20，在安全模式下，所述终端的输入设备或输出设备接收到用于进行读写操作的操作指令(读取指令或写入指令)时，确定操作指令是否来自于安全操作系统，若是进入步骤30，否则进入步骤40；

步骤30，在步骤20中输入设备或输出设备确定出所述操作指令来自于安全操作系统时，根据所述操作指令执行对应操作，例如输入设备根据读写指令向系统发送输入的数据，或者输出设备根据写入指令输出写入指令中携带的数据；

步骤40，输入设备或输出设备确定出所述操作指令并非来自于安全操作系统时，禁止执行所述操作指令对应的操作，例如丢弃掉该操作指令、删除该操作指令等。

首先，对终端设备的体系结构进行改进，具体如下：

1、在终端设备现有普通操作系统的基础上，增加一个安全操作系统。对于计算机等固定终端设备来说，现有普通操作系统为Windows系列操作系统，对于移动终端来说现有普通操作系统为Windows mobile、Symbian、OMS等。为了能够支持多种操作系统之间的转换，需要对现有的CPU进行改进，增加一位安全标识位，用于区分当前的操作系统为普通操作系统还是安全操作系统，例如当安全标识位为1时，表明当前操作系统为安全操作系统；当安全标识位为0时，表明当前操作系统为普通操作系统；

在切换为安全操作系统时，将包括输入设备和输出设备在内的外部设备设置为工作于安全模式；

对应地，为了支持终端设备中多个操作系统间的切换，终端设备还具备一个控制程序，类似于进程上下文切换机制，该程序保存当前操作系统的状态，加载另一个操作系统的信息，基于这种机制来实现操作系统间的切换。

2、新增的安全操作系统采用与普通操作系统不同的读写外部设备的方式，其中安全操作系统采用的读写外部设备的方式包括但不限于以下两种：

方式一、在现有系统总线的基础上，增加一个安全位。如果当前的操作系统为安全操作系统，则CPU在通过系统总线向输入设备或输出设备发送承载有读取指令或写入指令的信号时，将安全位置位，即设置为有效状态；在当前操作系统为普通操作系统时，CPU发送的读取指令或写入指令的总线信号中的安全位未被置位，即设置为无效状态。包括输入输出设备在内的外部设备可以通过检测承载有读取指令或写入指令的信号中的安全位是否被置位来确定该读取指令或写入指令是否来自于安全操作系统，若是则根据根据所述读取指令向所述安全操作系统发送输入的数据，或根据所述写入指令输出写入指令中携带的数据；否则丢弃所述读取指令或写入指令。

方式二、终端转换为安全操作系统之后，输入设备和输出设备被设置为不可读写的状态，CPU在向输入设备或输出设备发送读取指令或写入指令之前，首先发送一个预定安全指令，例如Secure Start指令，将该输入设备或输出设备设置为可读写状态。包括输入输出设备在内的外部设备在接收到读取指令或写入指令时，确定此前预定时间段内是否接收过预定安全指令，若是则输入设备根据所述读取指令向所述安全操作系统发送输入的数据，或输出设备根据所述写入指令输出写入指令中携带的数据；否则丢弃所述读取指令或写入指令。

方式一需要对现有终端设备的系统总线进行改造，方式二无需对系统总线进行改造，但是需要对现有输入输出设备接收到读写指令后的处理步骤进行调整。

3、为了保证安全性，新增的安全操作系统和普通操作系统分别使用物理独立的地址空间。考虑到在安全操作系统和普通操作系统切换时传输数据的需求，专门分配一个共享地址空间，用于将切换之前的操作系统获得的、且切换之后的操作系统需要使用的数据存放在该共享地址空间中。

下面将依据本发明上述发明原理，详细介绍一个实施例来对本发明方法的主要实现原理进行详细的阐述和说明。

附图3为基于上述改进后的移动终端进行转账业务的流程图。

步骤301，将SD-Key插入移动终端的外部接口中，初始化SD-Key中存储的用户的数字证书；

步骤302，用户在普通操作系统中登录网上银行客户端，进入转账业务界面，输入转账金额和转入账户标识；

步骤303，移动终端接收到用户输入的转账金额和转入账户标识之后，按照预定的转账业务流程，确定出在输入转账金额和转入账户标识之后的步骤应为接收用户通过键盘等输入设备输入的口令和密码等身份验证信息，由于身份验证信息为对安全性要求较高的数据，因此切换到安全操作系统中，将输入设备和输出设备设置为安全模式；

步骤304，切换到安全操作系统之后，提示用户输入口令密码等身份验证信息；

步骤305，用户通过键盘等输入设备输入的口令和密码等身份验证信息后，CPU向输入设备发送用于读取输入的数据的读取指令；

步骤306，输入设备由于处于安全模式下，因此需要判断步骤305中CPU发来的读取指令是否来自于安全操作系统，若是进入步骤307，否则丢弃掉所述读取指令；

在安全操作系统采用方式一来发送读取指令或写入指令时，输入设备确定承载所述读取指令或写入指令的总线信号中的预定安全位被置位时，确定接收到的读取指令或写入指令来自于安全操作系统，否则确定接收到的读取指令或写入指令来自于普通操作系统；

在安全操作系统采用方式二来发送读取指令或写入指令时，输入设备确定接收到所述读取指令或写入指令之前预定时间段内接收到预定安全指令时，确定接收到的读取指令或写入指令来自于安全操作系统，否则确定接收到的读取指令或写入指令来自于普通操作系统。

步骤307，输入设备根据接收到的读取指令，将用户输入的身份验证信息发送给CPU，进入步骤308；

步骤308，CPU在确定出连接有SD-Key设备时，将验证签名指令通过与SD-Key之间的读写接口发送给SD-Key进行身份验证和签名，所述验证签名指令中包含身份验证信息、以及转账金额和转入账户标识等交易数据；

步骤309，SD-Key采用与步骤306类似的方式确定验证签名指令是来自于安全操作系统时，进入步骤310；

步骤310，SD-Key根据验证签名指令中的身份验证信息对用户身份验证通过后，使用数字证书对交易数据进行数字签名，具体数字签名的过程与现有SD-Key或USB-Key的数字签名过程类似，在这里不再赘述；

步骤311，SD-Key将数字签名后的交易数据发送给CPU；

步骤312，CPU将在接收到SD-Key发来的签名后的交易数据后，确定身份验证通过，将写入指令发送给输出设备(例如显示屏)，该写入指令中包含步骤302中用户输入的转账金额和转入账户标识等交易数据；

步骤313，输出设备由于处于安全模式下，因此需要判断步骤312中CPU发来的写入数据指令是否来自于安全操作系统，若是进入步骤314，否则丢弃掉所述写入数据的指令；

输出设备判断写入指令是否来自于安全操作系统的方法与步骤306中输入设备判断读取数据指令是否来自于安全操作系统的方法类似，在这里不再赘述。

步骤314，输入设备根据接收到的写入指令，向用户显示写入指令中携带的交易数据，等待用户确认；

如果此时显示的交易数据与用户在步骤302输入的转账金额等数据不符，则用户可以发现。

步骤315，接收到用户基于显示的交易数据输入的确认指令后，按照预定的转账业务流程，确定出在确认转账之后的步骤应为向网络发送签名后的交易数据，安全操作系统由于功能与普通操作系统相比功能较为简单、单一，因此切换到普通操作系统中，将数字签名后的交易数据存入共享地址空间中，将输入设备和输出设备设置为普通模式；

步骤316，CPU从共享地址空间中获取数字签名后的交易数据，通过网上银行客户端将获取的数字签名后的交易数据发送给网络侧服务器。

在附图3的流程中涉及SD-Key的步骤，如步骤301、步骤308、步骤309、步骤310、步骤311、步骤312中是为了交易数据在网络传输过程中的安全性才进行的，事实上，通过步骤303、步骤304、步骤312、步骤313、步骤314即可实现避免普通操作系统中的恶意程序获取和篡改交易数据的目的，因为当输入设备和输出设备在安全模式下，确定出读写指令是来自于普通操作系统，而并非是安全操作系统时，就会丢弃接收到的读取数据指令和写入数据指令，因此在网络传输可信任的前提下(移动终端的无线传输链路与IP连接方式相比具有更佳的安全性)上述涉及SD-Key的步骤是可选的。

本发明实施例提供的电子交易方案通过在现有移动终端的基础上新增一个安全操作系统，安全操作系统和普通操作系统分别使用物理独立的存储空间，所述安全操作系统采用与普通操作系统不同的预定方式对输入设备和输出设备进行读写操作；在电子交易流程中，需要通过输入设备输入安全性较高的数据之前、或者通过输出设备输出数据之前，移动终端从普通操作系统切换到安全操作系统中，并将输入设备或输出设备设置为安全模式，在安全模式下的输入设备或输出设备只接收安全操作系统发送的读写指令，通过上述方式避免普通操作系统中的恶意程序截取和篡改操作系统与外设之间交互的交易数据，提高了电子交易的安全性。

相应地，本发明实施例还提供了一种终端设备，如图4所示，该终端设备包括控制单元401、输入设备402和输出设备403，具体如下：

控制单元401，用于在进行电子交易的情况下，在确定出满足预设条件的情况下，控制转换为安全操作系统；

输入设备402或输出设备403，用于在在安全模式下，接收到用于进行读写操作的操作指令时，确定该操作指令是否来自于安全操作系统，以及在确定出所述操作指令来自于安全操作系统时，根据所述操作指令执行对应操作。

上述输入设备402可以为键盘，触摸屏等，上述输出设备403可以为显示屏、打印机等。

附图4中的终端设备可以为个人计算机等固定终端或移动电话等移动终端。

较佳地，请参照附图5，附图4中的输入设备402或输出设备403具有接收单元501、确定单元502和执行单元503，其中：

接收单元501，用于接收用于进行读写操作的操作指令；

确定单元502，用于在所述终端当前的操作系统为安全操作系统条件下，接收单元501接收到操作指令时，确定该操作指令是否来自于安全操作系统；

执行单元503，用于在确定单元502确定出所述操作指令来自于安全操作系统时，根据所述操作指令执行对应操作。

较佳地，上述执行单元503还用于在确定单元502确定出所述操作指令并非来自于安全操作系统时，禁止执行对应操作。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，该程序可以存储于一计算机可读取存储介质中，如：ROM/RAM、磁碟、光盘等。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (11)

1.一种电子交易方法，其特征在于，包括：

终端在进行电子交易的情况下，在确定出满足预设条件的情况下，转换为安全操作系统，将输入设备和输出设备设置为于安全模式；以及

在安全模式下，所述终端的输入设备或输出设备接收到用于进行读写操作的操作指令时，确定该操作指令是否来自于安全操作系统，以及

在确定出所述操作指令来自于安全操作系统时，根据所述操作指令执行对应操作；

其中，所述安全操作系统和普通操作系统分别使用物理独立的地址空间，且共享由所述终端分配的、用于将切换之前的操作系统获得的且切换之后的操作系统需要使用的数据进行存放的共享地址空间；以及，

在安全操作系统的工作模式下，所述安全操作系统独占输入设备、输出设备的接口，且所述安全操作系统采用与普通操作系统不同的预定方式对输入设备和输出设备进行读写操作。

2.如权利要求1所述的方法，其特征在于，所述输入设备或输出设备确定接收到的操作指令是否来自于安全操作系统，具体包括：

所述输入设备或输出设备确定承载所述操作指令的总线信号中的预定安全位被置位时，确定接收到的操作指令来自于安全操作系统，否则

确定接收到的操作指令来自于普通操作系统。

3.如权利要求1所述的方法，其特征在于，所述输入设备或输出设备确定接收到的操作指令是否来自于安全操作系统，具体包括：

所述输入设备或输出设备确定接收到所述操作指令之前预定时间段内接收到预定安全指令时，确定接收到的操作指令来自于安全操作系统，否则

确定接收到的操作指令来自于普通操作系统。

4.如权利要求1所述的方法，其特征在于，在输入设备或输出设备根据所述操作指令执行对应操作后，还包括：

所述终端控制从安全操作系统转换为普通操作系统。

5.如权利要求1所述的方法，其特征在于，在确定出所述操作指令并非来自于安全操作系统时，禁止执行对应操作。

6.如权利要求1至5中任一权利要求所述的方法，其特征在于，所述预设条件包括：所述电子交易流程的下一步骤为接收用户输入的身份验证信息；或

所述电子交易流程的下一步骤为向用户显示待确认信息。

7.如权利要求1至5中任一权利要求所述的方法，其特征在于，所述输入或输出设备为与所述终端连接的智能安全存储设备。

8.如权利要求7所述的方法，其特征在于，所述操作指令为写入指令时，智能安全存储设备在确定出写入指令来自于安全操作系统后，还包括：

对写入指令中携带的身份验证信息进行验证，以及

在验证通过后，利用存储的数字证书对电子支付的交易数据进行签名，并

将签名后的交易数据发送给所述安全操作系统。

9.一种终端设备，包括输入设备、输出设备，其特征在于，还包括控制单元，其中：

控制单元，用于在进行电子交易的情况下，在确定出满足预设条件的情况下，控制转换为安全操作系统，将输入设备和输出设备设置为于安全模式；

输入设备或输出设备，用于在安全模式下，接收到用于进行读写操作的操作指令时，确定该操作指令是否来自于安全操作系统，以及在确定出所述操作指令来自于安全操作系统时，根据所述操作指令执行对应操作，其中，所述安全操作系统和普通操作系统分别使用物理独立的地址空间，且共享由所述终端分配的、用于将切换之前的操作系统获得的且切换之后的操作系统需要使用的数据进行存放的共享地址空间，以及，在安全操作系统的工作模式下，所述安全操作系统独占输入设备、输出设备的接口，且所述安全操作系统采用与普通操作系统不同的预定方式对输入设备和输出设备进行读写操作。

10.如权利要求9所述的终端设备，其特征在于，所述输入设备或输出设备具体包括：

接收单元，用于接收用于进行读写操作的操作指令；

确定单元，用于在所述终端当前的操作系统为安全操作系统条件下，接收单元接收到操作指令时，确定该操作指令是否来自于安全操作系统；

执行单元，用于在确定单元确定出所述操作指令来自于安全操作系统时，根据所述操作指令执行对应操作。

11.如权利要求10所述的终端设备，其特征在于，所述执行单元还用于在确定单元确定出所述操作指令并非来自于安全操作系统时，禁止执行对应操作。

Images