CN102609842B

CN102609842B - 一种基于硬件签名设备的支付密码装置及其应用方法

Info

Publication number: CN102609842B
Application number: CN201210017367.5A
Authority: CN
Inventors: 李晖; 朱旭东; 高文龙; 吕萌; 肖成生
Original assignee: HAIJIYE HIGH TECHNOLOGY Co Ltd
Current assignee: Shaanxi Haijiye High-tech Industrial Co.,Ltd.
Priority date: 2012-01-19
Filing date: 2012-01-19
Publication date: 2016-02-24
Anticipated expiration: 2032-01-19
Also published as: CN102609842A

Abstract

本发明公开了一种基于硬件签名设备的支付密码装置及其应用方法。硬件签名设备将信息正或逆输送到用户远程交易系统终端，用户远程交易系统终端将信息正或逆输送到远程交易系统，远程交易系统将信息正或逆输送到支付密码生成服务器，所述支付密码生成服务器将信息正或逆分别输送到支付密码核印服务器和支付密码后台数据库。基于硬件签名设备的支付密码装置的应用方法，包括发行方法、增加账号方法、计算支付密码方法，本发明具有安全可靠、用户终端成本低、结构简单，使用方便，保密性强的优点，可用于各种远程交易系统。

Description

一种基于硬件签名设备的支付密码装置及其应用方法

技术领域

本发明涉及一种新型支付密码装置的发行、增加账户和计算支付密码的方法，具体涉及一种基于硬件签名设备的支付密码装置及其应用方法。

背景技术

随着电子计算机技术的发展，电子支付的安全和方便性越来越高，由于电子支付的快捷方便，节省成本，我国一直在大力发展电子支付密码技术；中国人民银行与国家密码管理委员会制定了支付密码器的通用性技术规范实现了支付密码器的全国通用，支付密码器的主要核心部件，如支付密码产生的算法，核验等都是统一的，需采用专用芯片。

支付密码器是根据2001年中国人民银行与国家密码管理委员会联合制度的“支付密码器通用性技术规范”文件要求设计的一种电子设备，其作为一种金融支付的安全工具，是由开票方将票据的各项要素（如：账户，出票日期等）明文输入后，利用高强度的密码技术进行运输，得到一组与明文对应的数字，即“支付密码”，取得该支付密码即可实现票据的电子支付，最终由银行经核验后完成金融支付；上述各票据要素的不同，支付密码不同，由此防止伪造或涂改票据。

硬件签名设备是具有数字签名能力的各种硬件设备的统称，例如现在银行业内流行的U盾，手机Key等各种签名设备。

U盾是一种基于“USBKey”身份认证方式的通用串行总线(UnivorsalSerialBus；以下简称：USB)设备，内置单片机或智能芯片，形状类似于U盘。单片机或智能芯片具有存储空间，用于存储用户的密钥或个人数字证书。用户在网上交易时，先向服务器提交客户端证书，服务器对客户端证书验证通过后提示用户接入硬件签名设备，用户将硬件签名设备插入个人计算机的USB接口，U盾内置的l024位非对称密钥算法便对数据进行由加密、解密和数字签名，从而保证了用户认证的安全性。

随着互联网的发展，不法分子的攻击水平越来越高，为了解决U盾只能确保证书不被盗取而不能阻挡黑客伪造文件骗取其签名，因而难以防止高水平的黑客及黑客程序的攻击,手机Key(M-Key)应运而生。手机Key是一种基于手机的支付认证工具;其通过手机嵌入安全签名模块，实现签名认证;并通过数字短信通道，实现签名信息交互。其中安全签名模块是由微处理器芯片和薄膜连接电路组成，并插接在手机平台的SIM/UIM卡座与SIM/UIM卡之间，分别与手机和SIM/UIM卡连接。微处理器芯片中存储有签名、验证，加密、解密的密钥和相关程序，同时设有公钥运算协处理器，以完成在信息签名、验证，加密和解密处理过程中的相关运算。

支付密码器的应用和防伪的效果实际上已经在银行业内形成共识。但据了解，支付密码器价格大约在300到600元左右，增加了企业负担。同时支付密码器难以与网上银行（企业版）、手机银行（企业版）等电子银行联动，实现企业票据填写、票据签发和支付转账的自动化处理。部分客户因为嫌操作过繁而不愿使用，也有不愿使用。所以使得支付密码器的推广并不顺利。然而U盾、手机Key等硬件签名设备由于价格低廉，携带、使用方便，已被广大用户所接受。基于以上分析我们发明了一种具有支付密码功能的硬件签名设备装置,以硬件签名设备为可信客户计算平台，采用公钥数字签名技术，结合已经在银行广泛部署的支付密码系统，为用户（包括对公用户和个人用户）提供一种新的、易用的安全票据支付手段。

发明内容

本发明的目的是提供一种结构简单，使用方便，保密性强的一种基于硬件签名设备的支付密码装置。

本发明的另一目的是提供基于硬件签名设备的支付密码装置的应用方法。

为了克服现有技术的不足，本发明的技术方案是这样解决的：一种基于硬件签名设备的支付密码装置，该装置包括硬件签名设备、用户远程交易系统终端、远程交易系统、支付密码核印服务器、支付密码生成服务器、支付密码后台数据库，本发明的特殊之处在于所述硬件签名设备将信息正或逆输送到用户远程交易系统终端，用户远程交易系统终端将信息正或逆输送到远程交易系统，远程交易系统将信息正或逆输送到支付密码生成服务器，所述支付密码生成服务器将信息正或逆分别输送到支付密码核印服务器和支付密码后台数据库。

一种所述基于硬件签名设备的支付密码装置的应用方法，该应用方法包括发行方法、增加账号方法、计算支付密码方法，其中：

—、所述发行方法，按下述步骤进行：

（1）在远程交易系统界面选择“发行支付密码器”功能；

（2）通过硬件签名设备私钥签名“支付密码器编号”，并将其发送至远程交易系统；

（3）远程交易系统将“支付密码器编号”及其签名组成的“发行请求”数据包发送到支付密码生成服务器；

（4）支付密码生成服务器验证签名；验证通过后，获取银行公钥，然后通过硬件签名设备公钥对银行公钥加密，并发送至远程交易系统；

（5）远程交易系统将接收到的数据包发送到硬件签名设备，硬件签名设备通过设备私钥解密该数据包得到银行公钥，并存储；

二、所述增加账号方法，按下述步骤进行：

（1）在远程交易系统界面选择“增加账号”功能并选取相应“账号”；

（2）远程交易系统将“账号”传送到硬件签名设备，硬件签名设备通过设备私钥生成“支付密码器编号”和“账号”的签名，并将“支付密码器编号”、“账号”及其签名组成的“增加账号请求”数据包回传远程交易系统；远程交易系统将该数据包发送至支付密码生成服务器；

（3）支付密码生成服务器验证签名；验证通过后，支付密码产生服务器生成“账号密钥对”，即账号密钥与账号公钥和芯片序号，并将“支付密码器编号”、“账号”、账号公钥与芯片序号发送至支付密码核印服务器，支付密码核印服务器产生账号对称密钥对和“账号序号”，并将账号对称密钥对和“账号序号”回传到支付密码生成服务器；

（4）支付密码生成服务器通过设备公钥加密账号密钥、“账号”、账号对称密钥对与“账号序号”，并发送到远程交易系统；

（5）远程交易系统将接收到的数据包发送硬件签名设备，硬件签名设备通过设备私钥解密数据包得到账号密钥、“账号”、账号对称密钥对与“账号序号”，并存储；

三、所述计算支付密码方法，按下述步骤进行：

（1）在远程交易系统界面选择“支付密码计算”功能并输入银行账号、业务种类、交易金额、交易日期、凭证号码；

（2）硬件签名设备通过银行公钥加密账号密钥和账号对称密钥对生成密文，然后将票据要素、密文及其签名构成支付密码计算请求数据包，并发送给远程交易系统；

（3）远程交易系统将支付密码计算请求数据包发送给支付密码生成服务器，支付密码生成服务器验证签名，验证通过后，得到票据要素，然后采用银行私钥解密该数据中密文获取账号密钥、账号对称密钥对，通过票据要素、账号密钥和账号对称密钥对生成支付密码，最后将产生的支付密码通过设备公钥加密并发送到远程交易系统；

（4）远程交易系统将接收到的数据包发送到硬件签名设备，硬件签名设备通过设备私钥，进行解密，并显示支付密码以供用户使用。

所述基于硬件签名设备的支付密码装置应用方法中的发行方法，当用户不想对硬件签名设备装置进行更新修改或者不想将用户私钥存储在自身硬件签名设备装置中时，按下述步骤进行：

（1）在远程交易系统界面选择“发行支付密码器”功能；

（2）硬件签名设备通过其设备私钥签名的“支付密码器编号”，并将其发送至远程交易系统；

（4）支付密码生成服务器验证签名；验证通过后，获取银行公钥，然后通过硬件签名设备公钥对银行公钥加密，将加密的银行公钥与“支付密码器编号”发送至支付密码后台数据库,并存储。

所述基于硬件签名设备的支付密码装置应用方法中的增加账号方法,当用户不想对硬件签名设备装置进行更新修改或者不想将用户私钥存储在自身硬件签名设备装置中时，按下述步骤进行：

（2）远程交易系统将“账号”传送到硬件签名设备，硬件签名设备通过设备私钥生成“支付密码器编号”和“账号”的签名，并将“支付密码器编号”、“账号”及其签名组成的“增加账号请求”数据包回传远程交易系统，远程交易系统将该数据包发送至支付密码生成服务器；

（3）支付密码产生服务器验证签名；验证通过后，支付密码产生服务器生成“账号密钥对”，即账号密钥与账号公钥和芯片序号，并将“支付密码器编号”、“账号”、账号公钥与芯片序号发送至支付密码核印服务器；支付密码核印服务器产生账号对称密钥对和“账号序号”，并将账号对称密钥对和“账号序号”回传到支付密码生成服务器；

（4）支付密码生成服务器通过银行公钥加密账号密钥、“账号”、账号对称密钥对与“账号序号”加密后，并发送到支付密码后台数据库，并存储。

所述基于硬件签名设备的支付密码装置应用方法中的计算支付密码的方法，当用户不想对硬件签名设备装置进行更新修改或者不想将用户私钥存储在自身硬件签名设备装置中时，按下述步骤进行：

（2）硬件签名设备将通过设备私钥签名的“票据要素”、“支付密码器编号”与“账号”的计算请求发送至支付密码生成服务器；

（3）支付密码生成服务器验证签名，验证通过后，从支付密码后台数据库获取相应的由银行公钥加密的账号密钥、“账号”、账号对称密钥对与“账号序号”数据包，解密，得到账号密钥、账号对称密钥对，通过票据要素、账号密钥和账号对称密钥对产生支付密码，并使用设备公钥对产生的支付密码加密，并发送至远程交易系统；

（4）远程交易系统将接收到的数据包发送至硬件签名设备，硬件签名设备通过设备私钥解密，并显示支付密码以供用户使用。

本发明与现有技术相比，具有结构简单，使用方便，保密性强的特点。本发明适用于网上银行系统或银行自助终端系统等远程交易系统。以硬件签名设备为可信客户端计算平台，采用公钥数字签名技术，结合已经在银行广泛部署的支付密码系统，为用户（包括对公用户和个人用户）提供一种新的、易用的安全票据支付手段。客户利用硬件签名设备对票据要素进行数字签名作为支付密码产生请求，由银行验证签名正确以及客户账户余额足够后产生支付密码，并显示给用户。其支付密码的产生必须经过银行的认可，防止恶意签发空头支票，无法解决支票信用度不足的问题。同时本发明与硬件签名设备实现相关功能，有效降低了用户成本，特别对个体企业扫清了支付密码应用的成本障碍。本发明，一次交易的数字签名产生与本次交易的具体信息密切相关，大大加强了银行端对交易核印的正确性，很好的抵抗了不法黑客分子运用木马攻击等种种方式窃取支付密码，转移用户资产的行为。同时本发明的成功推广应用还将有可能改变目前的传统支付认证模式，减少现金使用，增强国家资金流动的监控能力和税收有重大的社会和经济意义。

附图说明

图1为本发明装置的结构示意框图；

图2为图1的发行时序流程图；

图3为图1的增加账号时序流程图;

图4为图1的支付密码时序流程图;

图5为图1的不更新修改硬件签名设备的发行时序流程图；

图6为图1的不更新修改硬件签名设备的增加账号时序流程图；

图7为图1的不更新修改硬件签名设备的产生支付密码时序流程图；

图8为基于U盾的支付密码装置在网上银行系统中的应用结构示意框图。

具体实施方式

附图为本发明的实施例

下面结合附图和实施例，对发明的内容进一步的详细描述：

参照图1所示，一种基于硬件签名设备的支付密码装置，该装置包括硬件签名设备、用户远程交易系终端、远程交易系统、支付密码核印服务器、支付密码生成服务器、支付密码后台数据库，所述硬件签名设备6将信息正或逆输送到用户远程交易系统终端1，用户远程交易系统终端1将信息正或逆输送到远程交易系统2，远程交易系统2将信息正或逆输送到支付密码生成服务器4，所述支付密码生成服务器4将信息正或逆分别输送到支付密码核印服务器3和支付密码后台数据库5。

以硬件签名设备6为可信客户计算平台，采用公钥数字签名技术，结合已经在银行广泛部署的支付密码系统，为用户（包括对公用户和个人用户）提供一种新的、易用的安全支付手段。

图2为本发明基于硬件签名设备的支付密码装置的发行时序流程图，如图2所示：

（1）在远程交易系统界面选择“发行支付密码器”功能；

（2）硬件签名设备6通过其私钥SK_u签名“支付密码器编号”，并将其发送至远程交易系统2；

（3）远程交易系统2将“支付密码器编号”及其签名组成的“发行请求”数据包发送到支付密码生成服务器4；

（4）支付密码生成服务器4验证签名；验证通过后，获取银行公钥PK_c；然后通过硬件签名设备6公钥PK_u对PK_c加密，并发送至远程交易系统2；

（5）远程交易系统2将接收到的数据包发送到硬件签名设备6；硬件签名设备6通过SK_u解密该数据包得到PK_c，并存储。

图3为本发明基于硬件签名设备的支付密码装置的增加账号时序流程图。如图3所示：

（2）远程交易系统2将“账号”传送到硬件签名设备6，硬件签名设备6通过SK_u生成“支付密码器编号”和“账号”的签名，并将“支付密码器编号”、“账号”及其签名组成的“增加账号请求”数据包回传远程交易系统2；远程交易系统2将该数据包发送至支付密码生成服务器4；

（3）支付密码产生服务器4验证签名；验证通过后，支付密码产生服务器4生成“账号密钥对”（即账号密钥SK与账号公钥VK）和“芯片序号ID”；并将“支付密码器编号”、“账号”、“VK”与“ID”发送至支付密码核印服务器3；支付密码核印服务器3产生“账号对称密钥对”（即AK_核与AK_支）和“账号序号”，并将“AK_支”和“账号序号”回传到支付密码生成服务器4；

（4）支付密码生成服务器4通过PK_u加密“SK”、“账号”、“AK_支”与“账号序号”，并发送到远程交易系统2；

（5）远程交易系统2将接收到的数据包发送硬件签名设备6，硬件签名设备6通过SK_u解密数据包得到“SK”、“账号”、“AK_支”与“账号序号”，并存储。

图4为本发明基于硬件签名设备的支付密码装置产生支付密码时序流程图：

（1）在远程交易系统界面选择“支付密码计算”功能并输入银行账号、业务种类、交易金额、交易日期、凭证号码等票据要素；

（2）硬件签名设备6通过其PK_c加密SK和AK_支生成密文，然后将票据要素、密文及其签名（该签名是通过SK_u签名票据要素和密文生成）构成支付密码计算请求数据包，并发送给远程交易系统2；

（3）远程交易系统2将支付密码计算请求数据包发送给支付密码生成服务器4；支付密码生成服务器4验证签名，验证通过后，得到票据要素；然后采用SK_c解密该数据中密文获取获得SK、AK_支，通过票据要素、SK和AK_支生成支付密码；最后将产生的支付密码通过PK_u加密并发送到远程交易系统2；

（4）远程交易系统2将接收到的数据包发送到硬件签名设备6，硬件签名设备6通过SK_u，进行解密，并显示支付密码以供用户使用。

图5为本发明基于硬件签名设备且不更新修改硬件签名设备的支付密码装置的发行时序流程图：

（1）在远程交易系统界面选择“发行支付密码器”功能；

（2）硬件签名设备6通过其私钥SK_u签名的“支付密码器编号”，并将其发送至远程交易系统2；

（3）远程交易系统2统将“支付密码器编号”及其签名组成的“发行请求”数据包发送到支付密码生成服务器4；

（4）支付密码生成服务器4验证签名；验证通过后，获取银行公钥PK_c；然后通过硬件签名设备公钥PK_u对PK_c加密，将加密的PK_c与“支付密码器编号”发送至支付密码后台数据库5,并存储。

图6为本发明基于硬件签名设备且不更新修改硬件签名设备的支付密码装置的增加账号时序流程图：

（3）支付密码产生服务器4验证签名；验证通过后，支付密码产生服务器4生成“账号密钥对”（即账号密钥SK与账号公钥VK）和“芯片序号ID”；并将“支付密码器编号”、“账号”、“VK”与“ID”发送至支付密码核印服务器；支付密码核印服务器3产生“账号对称密钥对”（即AK_核与AK_支）和“账号序号”，并将“AK_支”和“账号序号”回传到支付密码生成服务器4；

（4）支付密码生成服务器4通过PK_c加密“SK”、“账号”、“AK_支”与“账号序号”，加密后，并发送到支付密码后台数据库5，并存储。

图7为本发明基于硬件签名设备且不更新修改硬件签名设备的支付密码装置的产生支付密码时序流程：

（2）硬件签名设备6将通过其SK_u签名的“票据要素”、“支付密码器编号”与“账号”的计算请求发送至支付密码生成服务器4；

（3）支付密码生成服务器4验证签名，验证通过后，从支付密码后台数据库5获取相应的由PK_c加密的“SK”、“账号”、“AK_支”与“账号序号”数据包，解密，得到SK、AK_支，通过票据要素、SK和AK_支产生支付密码，并使用PK_u对产生的支付密码加密，并发送至远程交易系统2；

（5）远程交易系统将接收到的数据包发送至硬件签名设备6；硬件签名设备6通过SK_u解密，并显示支付密码以供用户使用。

实施例1

图8为基于U盾的支付密码装置在网上银行系统中的应用：

一、发行

（1）将U盾7插入用户电脑8，登陆网上银行9，在网上银行9界面选择“发行支付密码器”功能；

（2）U盾7通过其私钥SK_u签名“支付密码器编号”，并将其发送至网上银行系统2；

（3）网上银行系统9将“支付密码器编号”及其签名组成的“发行请求”数据包发送到支付密码生成服务器4；

（4）支付密码生成服务器4验证签名；验证通过后，获取银行公钥PK_c；然后通过U盾7公钥PK_u对PK_c加密，并发送至网上银行系统9；

（5）网上银行系统9将接收到的数据包发送到U盾7；U盾7通过SK_u解密该数据包得到PK_c，并存储。

二、增加账号

（1）将U盾7插入用户电脑8，登陆网上银行9，在网上银行9界面选择“增加账号”功能并选取相应“账号”；

（2）网上银行系统9将“账号”传送到U盾7，U盾7通过SK_u生成“支付密码器编号”和“账号”的签名，并将“支付密码器编号”、“账号”及其签名组成的“增加账号请求”数据包回传网上银行系统9；网上银行系统9将该数据包发送至支付密码生成服务器4；

（3）支付密码产生服务器7验证签名；验证通过后，支付密码产生服务器4生成“账号密钥对”（即账号密钥SK与账号公钥VK）和“芯片序号ID”；并将“支付密码器编号”、“账号”、“VK”与“ID”发送至支付密码核印服务器3；支付密码核印服务器3产生“账号对称密钥对”（即AK_核与AK_支）和“账号序号”，并将“AK_支”和“账号序号”回传到支付密码生成服务器4；

（4）支付密码生成服务器4通过PK_u加密“SK”、“账号”、“AK_支”与“账号序号”，并发送到网上银行系统9；

（5）网上银行系统2将接收到的数据包发送U盾7，U盾7通过SK_u解密数据包得到“SK”、“账号”、“AK_支”与“账号序号”，并存储。

三、计算支付密码

（1）将U盾7插入客户电脑1，登录进入企业网上银行9，选择“支付密码计算”功能，并输入银行账号、业务种类、交易金额、交易日期、凭证号码等票据要素；

（2）U盾7通过其PK_c加密SK和AK_支生成密文，然后将票据要素、密文及其签名（该签名是通过SK_u签名票据要素和密文生成）构成支付密码计算请求数据包，并发送给网上银行系统9；

（3）网上银行系统9将支付密码计算请求数据包发送给支付密码生成服务器4；支付密码生成服务器4验证签名，验证通过后，得到票据要素；然后采用SK_c解密该数据中密文获取获得SK、AK_支，通过票据要素、SK和AK_支生成支付密码；最后将产生的支付密码通过PK_u加密并发送到网上银行系统9；

（4）网上银行系统9将接收到的数据包发送到U盾7，U盾7通过SK_u，进行解密，并显示支付密码以供用户使用。

最后应说明的是：以上实施例仅用以说明本发明的技术方案而非对其进行限制，尽管参照较佳实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解；其依然可以对本发明的技术方案进行修改或者等同替换，而这些修改或者等同替换亦不能使修改后的技术方案脱离本发明技术方案的精神和要求保护的范围。

Claims

1.一种基于硬件签名设备的支付密码装置，该装置包括硬件签名设备、用户远程交易系统终端、远程交易系统、支付密码核印服务器、支付密码生成服务器、支付密码后台数据库，其特征在于所述硬件签名设备（6）将信息正或逆输送到用户远程交易系统终端（1），用户远程交易系统终端（1）将信息正或逆输送到远程交易系统（2），远程交易系统（2）将信息正或逆输送到支付密码生成服务器（4），所述支付密码生成服务器（4）将信息正或逆分别输送到支付密码核印服务器（3）和支付密码后台数据库（5）。

2.一种如权利要求1所述的基于硬件签名设备的支付密码装置的应用方法，该应用方法包括发行方法、增加账号方法、计算支付密码方法，其中：

—、所述发行方法，按下述步骤进行：

（1）在远程交易系统界面选择“发行支付密码器”功能；

（2）通过硬件签名设备私钥SK_u签名“支付密码器编号”，并将其发送至远程交易系统；

（4）支付密码生成服务器验证签名；验证通过后，获取银行公钥PK_c，然后通过硬件签名设备公钥PK_u对银行公钥PK_c加密，并发送至远程交易系统；

（5）远程交易系统将接收到的数据包发送到硬件签名设备，硬件签名设备通过设备私钥SK_u解密该数据包得到银行公钥PK_c，并存储；

二、所述增加账号方法，按下述步骤进行：

（2）远程交易系统将“账号”传送到硬件签名设备，硬件签名设备通过设备私钥SK_u生成“支付密码器编号”和“账号”的签名，并将“支付密码器编号”、“账号”及其签名组成的“增加账号请求”数据包回传远程交易系统；远程交易系统将该数据包发送至支付密码生成服务器；

（3）支付密码生成服务器验证签名；验证通过后，支付密码产生服务器生成“账号密钥对”，即账号密钥SK与账号公钥VK，和芯片序号ID，并将“支付密码器编号”、“账号”、账号公钥VK与芯片序号ID发送至支付密码核印服务器，支付密码核印服务器产生账号对称密钥AK，和“账号序号”，并将账号对称密钥AK和“账号序号”回传到支付密码生成服务器；

（4）支付密码生成服务器通过设备公钥PK_u加密账号密钥SK、“账号”、账号对称密钥AK与“账号序号”，并发送到远程交易系统；

（5）远程交易系统将接收到的数据包发送硬件签名设备，硬件签名设备通过设备私钥SK_u解密数据包得到账号密钥SK、“账号”、账号对称密钥AK与“账号序号”，并存储；

三、所述计算支付密码方法，按下述步骤进行：

（2）硬件签名设备通过银行公钥PK_c加密账号密钥SK和账号对称密钥AK生成密文，然后将票据要素、密文及其签名构成支付密码计算请求数据包，并发送给远程交易系统；

（3）远程交易系统将支付密码计算请求数据包发送给支付密码生成服务器，支付密码生成服务器验证签名，验证通过后，得到票据要素，然后采用银行私钥SK_c解密该数据中密文获取账号密钥SK、账号对称密钥AK，通过票据要素、账号密钥SK和账号对称密钥AK生成支付密码，最后将产生的支付密码通过设备公钥PK_u加密并发送到远程交易系统；

（4）远程交易系统将接收到的数据包发送到硬件签名设备，硬件签名设备通过设备私钥SK_u，进行解密，并显示支付密码以供用户使用。

3.根据权利要求2所述基于硬件签名设备的支付密码装置应用方法中的发行方法，当用户不想对硬件签名设备装置进行更新修改或者不想将用户私钥存储在自身硬件签名设备装置中时，其特征还在于按下述步骤进行：

（1）在远程交易系统界面选择“发行支付密码器”功能；

（2）硬件签名设备通过其设备私钥SK_u签名的“支付密码器编号”，并将其发送至远程交易系统；

（4）支付密码生成服务器验证签名；验证通过后，获取银行公钥PK_c；然后通过硬件签名设备公钥PK_u对银行公钥PK_c加密，将加密的银行公钥PK_c与“支付密码器编号”发送至支付密码后台数据库,并存储。

4.根据权利要求2所述基于硬件签名设备的支付密码装置应用方法中的增加账号方法,当用户不想对硬件签名设备装置进行更新修改或者不想将用户私钥存储在自身硬件签名设备装置中时，其特征还在于按下述步骤进行：

（2）远程交易系统将“账号”传送到硬件签名设备，硬件签名设备通过设备私钥SK_u生成“支付密码器编号”和“账号”的签名，并将“支付密码器编号”、“账号”及其签名组成的“增加账号请求”数据包回传远程交易系统，远程交易系统将该数据包发送至支付密码生成服务器；

（3）支付密码产生服务器验证签名；验证通过后，支付密码产生服务器生成“账号密钥对”，即账号密钥SK与账号公钥VK，和芯片序号ID，并将“支付密码器编号”、“账号”、账号公钥VK与芯片序号ID发送至支付密码核印服务器；支付密码核印服务器产生账号对称密钥AK，和“账号序号”，并将账号对称密钥AK和“账号序号”回传到支付密码生成服务器；

（4）支付密码生成服务器通过银行公钥PK_c加密账号密钥SK、“账号”、账号对称密钥AK与“账号序号”加密后，并发送到支付密码后台数据库，并存储。

5.根据权利要求2所述基于硬件签名设备的支付密码装置应用方法中的计算支付密码的方法，当用户不想对硬件签名设备装置进行更新修改或者不想将用户私钥存储在自身硬件签名设备装置中时，其特征还在于按下述步骤进行：

（2）硬件签名设备将通过设备私钥SK_u签名的“票据要素”、“支付密码器编号”与“账号”的计算请求发送至支付密码生成服务器；

（3）支付密码生成服务器验证签名，验证通过后，从支付密码后台数据库获取相应的由银行公钥PK_c加密的账号密钥SK、“账号”、账号对称密钥AK与“账号序号”数据包，解密，得到账号密钥SK、账号对称密钥AK，通过票据要素、账号密钥SK，和账号对称密钥AK产生支付密码，并使用设备公钥PK_u对产生的支付密码加密，并发送至远程交易系统；

（4）远程交易系统将接收到的数据包发送至硬件签名设备，硬件签名设备通过设备私钥SK_u解密，并显示支付密码以供用户使用。