CN103095662B - 一种网上交易安全认证方法及网上交易安全认证系统 - Google Patents

一种网上交易安全认证方法及网上交易安全认证系统 Download PDF

Info

Publication number
CN103095662B
CN103095662B CN201110346508.3A CN201110346508A CN103095662B CN 103095662 B CN103095662 B CN 103095662B CN 201110346508 A CN201110346508 A CN 201110346508A CN 103095662 B CN103095662 B CN 103095662B
Authority
CN
China
Prior art keywords
user
transaction
session key
otp
random session
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201110346508.3A
Other languages
English (en)
Other versions
CN103095662A (zh
Inventor
邓玉良
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Advanced New Technologies Co Ltd
Original Assignee
Alibaba Group Holding Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Alibaba Group Holding Ltd filed Critical Alibaba Group Holding Ltd
Priority to CN201110346508.3A priority Critical patent/CN103095662B/zh
Priority to TW101107355A priority patent/TW201319976A/zh
Priority to US13/666,671 priority patent/US20130124421A1/en
Priority to PCT/US2012/063196 priority patent/WO2013067276A1/en
Priority to EP12805805.4A priority patent/EP2774100A1/en
Priority to JP2014533492A priority patent/JP6021923B2/ja
Publication of CN103095662A publication Critical patent/CN103095662A/zh
Priority to HK13107588.8A priority patent/HK1180489A1/zh
Application granted granted Critical
Publication of CN103095662B publication Critical patent/CN103095662B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G06Q20/409—Device specific authentication in transaction processing
    • G06Q20/4097—Device specific authentication in transaction processing using mutual authentication between devices and transaction partners
    • G06Q20/40975—Device specific authentication in transaction processing using mutual authentication between devices and transaction partners using encryption therefor
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/02—Payment architectures, schemes or protocols involving a neutral party, e.g. certification authority, notary or trusted third party [TTP]
    • G06Q20/027—Payment architectures, schemes or protocols involving a neutral party, e.g. certification authority, notary or trusted third party [TTP] involving a payment switch or gateway
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/382—Payment protocols; Details thereof insuring higher security of transaction
    • G06Q20/3825—Use of electronic signatures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/382—Payment protocols; Details thereof insuring higher security of transaction
    • G06Q20/3829—Payment protocols; Details thereof insuring higher security of transaction involving key management
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/385—Payment protocols; Details thereof using an alias or single-use codes
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G06Q20/401—Transaction verification
    • G06Q20/4014—Identity check for transactions

Landscapes

  • Business, Economics & Management (AREA)
  • Engineering & Computer Science (AREA)
  • Accounting & Taxation (AREA)
  • Strategic Management (AREA)
  • Physics & Mathematics (AREA)
  • General Business, Economics & Management (AREA)
  • General Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Finance (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)

Abstract

本申请提供了一种网上交易安全认证方法及网上交易安全认证系统，既能克服硬件存在的使用范围、使用寿命及技术升级的问题，又能解决当前网上交易面临的防范钓鱼、木马、木马钓鱼能力较差的问题。所述方法包括：生成用户端与服务端进行加密通信的随机会话密钥；所述服务器端依据所述随机会话密钥，验证所述用户端的用户身份；用户身份验证通过后，所述服务器端生成交易图片信息，并依据所述随机会话密钥加密传输所述交易图片信息至用户端；所述用户端确认所述交易图片信息后，所述服务器端依据所述随机会话密钥验证交易签名。

Description

一种网上交易安全认证方法及网上交易安全认证系统
技术领域
本申请涉及安全认证领域，特别是涉及一种网上交易安全认证方法及网上交易安全认证系统。
背景技术
在互联网日益发达和普及的今天，网上交易因其方便、快捷、高效、经济的优势已逐渐成为人们日常交易活动中重要的交易方式之一。但是，网上交易需要借助于互联网平台才能实现，在交易支付过程中用户需要通过计算机输入账户密码，如果这时遭到黑客的攻击，用户的账户密码就很容易泄露，使用户可能蒙受经济上的损失。
当前比较流行的几种黑客攻击方式包括钓鱼、木马和木马钓鱼等，其中“钓鱼”是指黑客利用用户的弱点来骗取用户的密码；“木马”是指黑客通过向用户机器种植恶意程序，达到篡改用户交易的目的，让用户为黑客买单；“木马钓鱼”是指同时使用木马和钓鱼劫持用户交易，并在第三方网站创建交易，篡改用户交易显示，给用户展示用户想看到的交易，骗取用户输入密码，让用户为黑客在第三方网站上的交易买单。
为了增加交易的安全性，人们开发了密码控件技术和动态口令OTP(onetimepassword，简称OTP，即一次一密)技术，用来对用户的网上交易进行保护。但是，最初的密码控件技术仅仅是一个静态的密码保护插件，而第一代的OTP技术只是基于密码安全的角度设计的，对钓鱼和木马的防范能力较差；第二代的OPT技术虽然将交易信息作为一个外部输入来产生密码，此时的密码已经不再是基于密码安全的安全了，因此安全性能有所提升，但目前应用二代OTP技术的主要是一些硬件产品如USBKey，而硬件产品在使用范围和使用寿命上都受到限制，特别是当技术升级时，硬件产品一般需要更换新的硬件才能实现。
因此，需要本领域技术人员迫切解决的一个技术问题就是：如何通过软件的方式实现二代OTP技术，既能克服硬件存在的使用范围、使用寿命及技术升级的问题，又能解决当前网上交易面临的防范钓鱼、木马、木马钓鱼能力较差的问题。
发明内容
本申请所要解决的技术问题是提供一种网上交易安全认证方法及网上交易安全认证系统，既能克服硬件存在的使用范围、使用寿命及技术升级的问题，又能解决当前网上交易面临的防范钓鱼、木马、木马钓鱼能力较差的问题。
为了解决上述问题，本申请公开了一种网上交易安全认证方法，包括：
生成用户端与服务端进行加密通信的随机会话密钥；
所述服务器端依据所述随机会话密钥，验证所述用户端的用户身份；
用户身份验证通过后，所述服务器端生成交易图片信息，并依据所述随机会话密钥加密传输所述交易图片信息至用户端；
所述用户端确认所述交易图片信息后，所述服务器端依据所述随机会话密钥验证交易签名。
优选的，所述生成用户端与服务端进行加密通信的随机会话密钥，包括：
在用户端生成随机数；
用预置的RSA公钥加密所述随机数；
发送所述加密的随机数至服务端；
在服务端依据所述加密的随机数生成随机会话密钥；
发送所述随机会话密钥至用户端。
优选的，所述依据随机会话密钥验证用户端的用户身份，包括：
在用户端提取用户机器信息；
用所述随机会话密钥加密用户机器信息；
传送所述加密的用户机器信息至服务端；
在服务端验证用户机器信息匹配程度；
当用户机器信息匹配程度符合预置条件时，用户身份验证通过；
当用户机器信息匹配程度不符合预置条件时，用户身份验证失败。
优选的，所述方法还包括：
在服务端生成抓取因子，并发送至用户端；
则在用户端根据所述抓取因子提取用户机器信息，用所述随机会话密钥加密用户机器信息和抓取因子，并传送至服务端；
服务端依据所述抓取因子验证用户机器信息匹配程度。
优选的，当用户身份验证失败时，所述方法还包括：
用户端发送手机短信发送请求；
服务端收到所述请求后，获取用户信息，生成手机短信验证码，并发送所述手机短信验证码至用户绑定的手机；
用户收到手机短信验证码后，在用户端输入所述手机短信验证码，并发送至服务端；
服务端进行短信验证码验证，验证通过后，发送用户身份验证通过的结果至用户端。
优选的，所述生成交易图片信息，包括：
根据交易信息、随机会话密钥、时间和用户种子，生成交易验证码；
根据交易信息和随机会话密钥，生成摘要信息；
生成底图，并将摘要信息加入所述底图；
将所述交易信息和交易验证码加入所述包含摘要信息的底图，生成交易图片信息。
优选的，所述依据随机会话密钥验证交易签名，包括：
在用户端输入交易验证码；
对交易图片信息和交易验证码用所述随机会话密钥进行数字签名；
发送所述数字签名至服务端；
服务端验证所述数字签名是否正确，并发送验证结果至用户端。
本申请还提供了一种网上交易安全认证系统，包括：OTP控件、OTP控件服务器和OTP认证平台，其中，
所述OTP控件和OTP控件服务器，用于生成OTP控件与OTP控件服务器进行加密通信的随机会话密钥，并依据所述随机会话密钥，验证OTP控件的用户身份；
所述OTP认证平台，与OTP控件服务器相连，用于在收到OTP控件服务器发送的用户身份验证通过的信息后，生成交易图片信息，并依据所述随机会话密钥加密传输所述交易图片信息至OTP控件；在OTP控件确认所述交易图片信息后，依据所述随机会话密钥验证交易签名。
优选的，在生成随机会话密钥时，所述OTP控件用于生成随机数，用预置的RSA公钥加密所述随机数，并发送至OTP控件服务器；所述OTP控件服务器用于依据所述加密的随机数生成随机会话密钥，并发送所述随机会话密钥至OTP控件。
优选的，在验证OTP控件的用户身份时，所述OTP控件用于提取用户机器信息，用所述随机会话密钥加密用户机器信息，并发送至OTP控件服务器；所述OTP控件服务器用于验证用户机器信息匹配程度，当用户机器信息匹配程度符合预置条件时，用户身份验证通过；当用户机器信息匹配程度不符合预置条件时，用户身份验证失败。
优选的，所述OTP控件服务器还用于生成抓取因子，并发送至OTP控件；则所述OTP控件根据所述抓取因子提取用户机器信息，用所述随机会话密钥加密用户机器信息和抓取因子，并发送至OTP控件服务器；所述OTP控件服务器依据所述抓取因子验证用户机器信息匹配程度。
优选的，当用户身份验证失败时，所述系统还包括：客户端脚本模块，用于发送手机短信发送请求；所述OTP认证平台还用于收到所述请求后，获取用户信息，生成手机短信验证码，并发送所述手机短信验证码至用户绑定的手机；还用于进行短信验证码验证，验证通过后，发送用户身份验证通过的结果至客户端脚本模块。
优选的，所述OTP认证平台包括：
OTP算法驱动模块，用于根据交易信息、随机会话密钥、时间和用户种子，生成交易验证码；
OTP业务系统，用于根据交易信息和随机会话密钥，生成摘要信息；
图片服务器，用于生成底图，并将摘要信息加入所述底图；还用于将所述交易信息和交易验证码加入所述包含摘要信息的底图，生成交易图片信息。
优选的，在验证交易签名时，所述OTP控件用于输入交易验证码，对交易图片信息和交易验证码用所述随机会话密钥进行数字签名，并发送所述数字签名至OTP认证平台；所述OTP认证平台用于验证所述数字签名是否正确，并发送验证结果。
与现有技术相比，本申请包含以下优点：
第一，本申请基于OTP技术、密码控件技术、交易图片签名技术等软件技术实现了网上交易的安全认证，克服了硬件产品存在的使用范围、使用寿命和技术升级的难点；
第二，本申请通过利用随机会话密钥安全地传输交易图片的方式，实现了用户交易的二次确认，即利用软件的方式实现了二代OTP技术，解决了现有的软件产品防范钓鱼、木马、木马钓鱼困难的问题；
第三，本申请通过建立了OTP控件服务器和OTP认证平台，实现了OTP技术的批量化交易；
第四，本申请提供的安全认证系统是基于软件技术构建的，易于推广，如能在第三方系统(如第三方商家、第三方支付平台)中得到应用，可以增强整个行业的安全性。
附图说明
图1是本申请实施例所述的一种网上交易安全认证方法流程图；
图2是本申请实施例所述的生成用户端与服务端加密通信的随机会话密钥的流程图；
图3是本申请实施例所述的通过用户机器信息验证用户身份的流程图；
图4是本申请实施例所述的通过手机短信验证用户身份的流程图；
图5是本申请实施例所述的手机短信信息内容示意图；
图6是本申请实施例所述的获取交易图片信息的流程图；
图7是本申请实施例所述的交易图片信息示意图；
图8是本申请实施例所述的生成交易图片信息的流程图；
图9是本申请实施例所述的验证交易签名的流程图；
图10是本申请实施例所述的升级原密码控件用户为OTP控件用户的流程图；
图11是本申请实施例所述的一种网上交易安全认证系统结构图；
图12是本申请另一实施例所述的一种网上交易安全认证系统结构图；
图13是本申请实施例所述的支付网站站内被钓鱼的示意图；
图14是本申请实施例所述的用户被钓鱼到第三方外部商家的示意图；
图15是本申请实施例所述的用户被钓鱼到第三方支付平台的示意图。
具体实施方式
为使本申请的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本申请作进一步详细的说明。
本申请利用软件的方式实现了一种网上交易安全认证方法和网上交易安全认证系统，既能克服硬件存在的使用范围、使用寿命及技术升级的问题，又能解决当前网上交易面临的防范钓鱼、木马、木马钓鱼能力较差的问题。
下面通过图1至图9对本申请的内容进行详细说明。
需要说明的是，图1至图9的流程中涉及到位于用户端的OTP控件、JS(一种计算机脚本语言Javascript的缩写)脚本和浏览器，以及位于服务端的网上支付网关、OTP控件服务器(图中简称为控件服务器)、OTP认证平台、业务系统和数据库。其中，OTP控件安装在用户端的机器上，配合OTP控件服务器和OTP认证平台完成网上交易的安全认证。OTP控件服务器主要用于验证OTP控件的用户身份，OTP认证平台主要完成交易验证。网上支付SSL服务器是网上交易中用于完成网上支付的服务器，业务系统主要用于网上交易业务的数据处理。
参照图1，是本申请实施例所述一种网上交易安全认证方法流程图，具体步骤如下：
步骤101，生成用户端与服务端进行加密通信的随机会话密钥；
所述生成用户端与服务端进行加密通信的随机会话密钥是指用户端与服务端进行会话密钥交互，由用户端生成随机数发送至服务端，由服务端根据随机数生成随机会话密钥和抓取因子，并返回至用户端。
参照图2所示，详细的过程如下：
S1，页面跳转至收银台；
S2，JS脚本初始化OTP控件；
S3，JS脚本生成会话密钥请求，并发送给OTP控件；
S4，OTP控件生成24字节随机数；
S5，OTP控件用预置的RSA公钥(一种公钥加密算法，名称来自三个发明者RonRivest，AdiShamirh，LeonardAdleman的姓名)加密所述随机数；
S6，OTP控件将加密的数据返回给JS脚本；
S7，JS脚本调用浏览器发送会话密钥交互请求；
S8，浏览器发送会话密钥交互请求至网上支付网关；
S9，网上支付网关转发报文至OTP控件服务器；
所述报文包含所述会话密钥交互请求；
S10，OTP控件服务器解密报文，获取客户端随机数；
具体的，OTP控件服务器用RSA私钥解密得到OTP控件的24字节随机数；
S11，OTP控件服务器生成12字节的随机数；
S12，OTP控件服务器取OTP控件的24字节的前12字节和自己的12字节，变成一个24字节的随机会话密钥；
S13，OTP控件服务器保存所述随机会话密钥到数据库；
S14，OTP控件服务器生成抓取因子；
所述抓取因子是随机抽取的n个随机数的集合，用于步骤102中抓取用户机器信息，并用于验证所抓取的用户机器信息，是本实施例的一种优选实现方式。
S15，OTP控件服务器用OTP控件的24字节随机数作为密钥加密自己的12字节随机数和抓取因子；
S16，OTP控件服务器发送会话密钥交互响应；
S17，网上支付网关转发响应报文至浏览器；
S18，浏览器接收响应报文，返回JS脚本调用；
S19，JS脚本获取密文信息；
S20，JS脚本向OTP控件发送机器信息验证请求；
S21，OTP控件用自己的24字节随机数解密所述密文信息，获得OTP控件服务器的12字节随机数；
S22，OTP控件用自己的24字节的前12字节和解密得到的12字节得到随机会话密钥，随后的报文用所述随机会话密钥加密传输；
S23，OTP控件获取抓取因子。由上可知，控件和服务端之间生成了一个随机会话密钥，而且两边各自生成一半，因此非常安全。
步骤102，依据所述随机会话密钥，验证用户端的用户身份；
所述验证用户端的用户身份包括两种方式，一种通过用户机器信息进行验证，如图3所示；另一种是当用户机器信息验证失败后，通过手机短信对用户身份进行验证，如图4所示。
参照图3所示，所述通过用户机器信息进行验证的方式又可细分为下述步骤：
S1，JS脚本将会话密钥响应报文传入OTP控件；
S2，OTP控件获取随机会话密钥和抓取因子；
OTP控件用自己的24字节解密服务端响应，并用解密得到的12字节替换24字节的后12字节，最终得到所述随机会话密钥。
S3，OTP控件提取用户机器信息；
OTP控件根据抓取因子提取用户机器信息。用户机器信息采取编号的形式，每个编号对应抓取因子中的一个随机数，假设某次的抓取因子包含10个随机数，则对应这10个随机数提取对应编号的机器信息。OTP控件每次提取部分机器信息。
由于抓取因子是随机的，因此每次根据抓取因子提取的用户机器信息也是不同的。例如，控件服务器在某一次下放的抓取因子为16个随机数，而随后在下一次下放的抓取因子又为20个随机数，那么对于同一个OTP控件和同一个用户机器，每次抓取的用户机器信息都是不同的，从而提高了用户身份验证的安全性，这也是本实施例的一种优选实现方式。其中，用户机器信息包含机器的硬件信息，也可以包含软件信息，如操作系统版本等。
S4，OTP控件用随机会话密钥加密用户机器信息，并返回至JS脚本；
如果采用抓取因子的方法，则OTP控件还会把抓取因子同用户机器信息一起加密发送。
S5，JS脚本调用浏览器发送请求报文；
S6，浏览器发送请求报文至网上支付网关；
S7，网上支付网关转发报文至OTP控件服务器；
S8，OTP控件服务器读取数据库信息；
S9，OTP控件服务器根据抓取因子比对数据，逐个判断用户的机器信息是否变更；
通过比对抓取因子对应的值，即将根据抓取因子抓取的用户机器信息和数据库中所述抓取因子对应的值进行比对，判断用户的机器信息是否变更。
S10，当用户机器匹配成功率符合预置条件时，认为此用户机器匹配成功；
所述符合预置条件可以是，用户机器匹配成功率＞＝80％，此时认为用户身份验证通过；当用户机器匹配成功率＜80％时，认为用户身份验证失败。
S11，OTP控件服务器返回成功报文至网上支付网关；
S12，网上支付网关转发成功报文至浏览器；
S13，浏览器接收成功报文，并返回JS脚本调用。
参照图4所示，所述通过手机短信进行用户身份验证的方式又可细分为下述步骤：
其中，S1至S9与图3中的S1至S9相同，在此略，下面从S10开始说明；
S10，当用户机器匹配成功率不符合预置条件时，认为此用户机器匹配失败；
如前所述，所述符合预置条件可以是，用户机器匹配成功率＜80％，此时认为用户身份验证失败。
S11，OTP控件服务器返回失败报文至网上支付网关；
S12，网上支付网关转发失败报文至浏览器；
S13，浏览器接收报文，返回JS脚本调用；
S14，JS脚本从业务系统获取短信验证码验证页面；
S15，JS脚本展现所述页面；
通常，所述页面提示用户输入手机号码或其他用户相关信息；
S16，JS脚本发送短信发送请求至控件服务器；
当用户在上述页面输入手机号码其他用户相关信息后，JS脚本发送短信发送请求；
S17，控件服务器发送短信发送请求至OTP认证平台；
S18，OTP认证平台从业务系统获取用户信息；
所述用户信息可以是用户手机号码，也可以是用户名、电子邮箱、联系地址等其他相关信息；
S19，OTP认证平台生成验证码；
OTP认证平台是根据用户信息生成验证码；
S20，OTP认证平台发送短信请求至业务系统；
S21，由业务系统发送短信给用户绑定的手机；
其中，所述短信中包含了OTP认证平台生成的验证码，参照图5所示，是手机短信显示的信息内容示意图；
S22，用户收到所述短信后，在网页上输入短信验证码；
S23，JS脚本发送短信验证请求至OTP控件服务器；
S24，OTP控件服务器转发短信验证请求至OTP认证平台；
S25，OTP认证平台对手机验证码进行验证；
S26，验证成功后，OTP认证平台发送验证成功请求至OTP控件服务器；
S27，OTP控件服务发送验证成功响应至JS脚本；
S28，JS脚本向OTP控件发送抓取机器信息请求；
S29，OTP控件抓取所有的机器信息；
S30，OTP控件向JS脚本返回抓取的机器信息；
其中，OTP控件用随机会话密钥加密机器信息；
S31，JS脚本调用浏览器提交抓取的机器信息；
S32，浏览器向网上支付网关发送请求报文；
S33，网上支付网关向OTP控件服务器转发报文；
S34，OTP控件服务器更新用户机器信息；
S35，OTP控件服务器向网上支付网关发送响应报文；
S36，网上支付网关向浏览器转发响应报文；
S37，浏览器向JS调用返回响应报文；
S38，JS脚本收到响应报文，完成用户身份验证。
步骤103，用户身份验证通过后，生成交易图片信息，并依据所述随机会话密钥加密传输所述交易图片信息至用户端；
由服务端生成交易图片信息，所述交易图片信息可参见图7所示，并由服务端将交易图片信息发给用户端。
参照图6所示，用户端获取交易图片信息的过程具体包括：
S1，JS脚本发送用户机器验证结果至OTP控件；
当然，如果机器验证失败并采用手机短信验证方式，则可以将手机短信验证结果发送给OTP控件；
S2，OTP控件发送交易图片信息获取请求至JS脚本；
S3，JS脚本发送交易图片信息请求至浏览器；
S4，浏览器发送交易图片信息请求至网上支付网关；
S5，网上支付网关转发报文至OTP控件服务器；
S6，控件服务器发送获取交易图片请求至OTP认证平台；
S7，OTP认证平台根据订单号获取交易信息；
OTP认证平台从业务系统获取此次请求对应的订单号，并依据所述订单号获取对应的交易信息，所述交易信息包括交易内容、交易金额、交易时间等如图7所示的信息。
S8，OTP认证平台根据交易信息生成图片要素；
所述图片要素是指生成交易图片信息的要素，如交易验证码、摘要信息、底图等要素。
S9，OTP认证平台生成交易图片信息；
在OTP认证平台中，由图片服务器利用图片要素生成交易图片信息；
其中S8和S9生成交易图片信息的详细过程可参见图8所示流程；
S10，OTP认证平台用随机会话密钥加密交易图片信息，发送交易图片信息响应至OTP控件服务器；
S11，OTP控件服务器发送交易图片信息响应至网上支付网关；
S12，网上支付网关转发响应报文至浏览器；
S13，浏览器接收报文，返回JS脚本调用；
S14，JS脚本向OTP控件展示图片。
参照图8所示，在OTP认证平台中生成交易图片信息的过程具体包括：
1)OTP算法驱动根据交易信息、随机会话密钥、时间和用户种子生成交易验证码；
其中，所述时间是指交易时间，所述用户种子是一个20个字节的随机数，每个用户都有一个种子，而且都不一样。
2)OTP业务系统根据交易信息和随机会话密钥生成摘要信息，每一项交易对应唯一的摘要信息；
3)图片服务器生成底图；
4)将摘要信息加入底图，摘要信息与底图颜色一样；
5)将所述交易信息和交易验证码加入所述包含摘要信息的底图，生成交易图片信息。
步骤104，在用户端确认所述交易图片信息后，依据所述随机会话密钥验证交易签名。
所述验证交易签名是指用户获取交易图片信息后，从交易图片中获取交易验证码，并输入交易验证码确认交易，OTP控件对交易图片和交易验证码进行数字签名并发送至OTP认证平台，OTP认证平台验证数字签名是否正确并返回交易签名认证结果至用户端。
参照图9所示，具体包括：
S1，JS脚本发送图片展现请求至OTP控件；
S2，OTP控件展现交易内容信息，显示的交易图片信息参照图7所示；
S3，用户在OTP控件输入交易验证码；
S4，OTP控件对交易图片和交易验证码利用随机会话密钥进行数字签名；
S5，OTP控件发送签名验证请求至JS脚本；
S6，JS脚本发送签名验证请求至浏览器；
S7，浏览器发送交易信息图片请求至网上支付网关；
S8，网上支付网关转发报文至OTP控件服务器；
S9，OTP控件服务器发送交易签名验证请求至OTP认证平台；
S10，OTP认证平台验证签名是否正确；
S11，OTP认证平台发送交易签名验证结果至OTP控件服务器；
S12，OTP控件服务器发送交易图片验证响应至网上支付网关；
S13，网上支付网关转发响应报文至浏览器；
S14，浏览器接收报文，返回JS调用；
S15，进行后续处理。
综上所述，上述安全认证方法在传输过程中加入随机会话密钥，保证了整个传输过程的交易图片信息不会被篡改，同时图片信息变成在控件里面显示，并随着用户输入密码，控件对图片和密码签名，加密传输到服务端验证，这样就保证了整个交易过程中的安全性。
以上所述的用户是指OTP控件用户，所谓OTP控件用户是指安装了OTP控件并进行实名认证和手机绑定的用户。对于原密码控件用户，参照图10所示，升级为OTP控件用户的流程具体包括：
用户打开浏览器，输入支付网站网址，获取页面信息，网上支付网关下发带升级信息的脚本，通过浏览器显示，用户看到升级的提示，用户点击升级，向下载服务器提出下载请求，下载服务器将数据传输至浏览器，用户进行安装；更新后第一次支付，页面展现请求报文，网上支付网关查找用户类型，对于非实名认证用户，返回要求实名认证的页面，浏览器返回实名认证的页面，并展现给用户；用户登录身份信息和银行卡信息，浏览器发送实名认证请求，网上支付网关验证身份并打款，业务系统发送打款响应，网上支付网关转发报文至浏览器；用户输入打款和手机信息，浏览器发送验证请求，网上支付网关转发至业务系统，业务系统发送验证结果，浏览器展现验证结果给用户。
对于新用户申请，用户在注册后，按照上述图10所示流程操作即可升级为OTP控件用户。
此外，在步骤102验证用户身份的过程中，服务端首先通过用户机器信息验证用户身份，如果验证失败会再通过手机短信验证的方式验证用户身份，因此，用户绑定的手机号对安全支付来说是非常重要的信息。所以用户绑定的手机号变更需要通过以下两种方式之一才能完成：
一种是采用往用户注册邮箱发邮件的方式，用户通过邮件链接验证身份，然后更新新手机号码；
另一种是通过客服电话，有客服验证用户身份后，更新用户手机号码。
基于上述方法实施例的说明，本申请还提供了相应的系统实施例。
参照图11，是本申请实施例所述的一种网上交易安全认证系统结构图。
所述安全认证系统可以包括OTP控件10、OTP控件服务器20和OTP认证平台30，其中，
所述OTP控件10和OTP控件服务器20，用于生成OTP控件10与OTP控件服务器20进行加密通信的随机会话密钥，并依据所述随机会话密钥，验证OTP控件10的用户身份；
所述OTP认证平台30，与OTP控件服务器20相连，用于在收到OTP控件服务器发送的用户身份验证通过的信息后，生成交易图片信息，并依据所述随机会话密钥加密传输所述交易图片信息至OTP控件10；在OTP控件10确认所述交易图片信息后，依据所述随机会话密钥验证交易签名。
其中，在生成随机会话密钥时，所述OTP控件10用于生成随机数，用预置的RSA公钥加密所述随机数，并发送至OTP控件服务器20；所述OTP控件服务器20用于依据所述加密的随机数生成随机会话密钥，并发送所述随机会话密钥至OTP控件10。
其中，在验证OTP控件的用户身份时，所述OTP控件10用于提取用户机器信息，用所述随机会话密钥加密用户机器信息，并发送至OTP控件服务器20；所述OTP控件服务器20用于验证用户机器信息匹配程度，当用户机器信息匹配程度符合预置条件时，用户身份验证通过；当用户机器信息匹配程度不符合预置条件时，用户身份验证失败。
进一步优选的，所述OTP控件服务器20还用于生成抓取因子，并发送至OTP控件10；则所述OTP控件10可以根据所述抓取因子提取用户机器信息，用所述随机会话密钥加密用户机器信息和抓取因子，并发送至OTP控件服务器20；所述OTP控件服务器20可以依据所述抓取因子验证用户机器信息匹配程度。
进一步优选的，如图12所示，当上述用户身份验证失败时，所述系统还可以包括：
客户端脚本模块40，用于发送手机短信发送请求；
所述OTP认证平台30还用于收到所述请求后，获取用户信息，生成手机短信验证码，并发送所述手机短信验证码至用户绑定的手机；
用户收到手机短信验证码后，在客户端脚本模块40中输入所述手机短信验证码，并发送至OTP认证平台30；
所述OTP认证平台30还用于进行短信验证码验证，验证通过后，发送用户身份验证通过的结果至客户端脚本模块40。
进一步优选的，所述OTP认证平台30具体可以包括：
OTP算法驱动模块，用于根据交易信息、随机会话密钥、时间和用户种子，生成交易验证码；
OTP业务系统，用于根据交易信息和随机会话密钥，生成摘要信息；
图片服务器，用于生成底图，并将摘要信息加入所述底图；还用于将所述交易信息和交易验证码加入所述包含摘要信息的底图，生成交易图片信息。
其中，在验证交易签名时，所述OTP控件10用于输入交易验证码，对交易图片信息和交易验证码用所述随机会话密钥进行数字签名，并发送所述数字签名至OTP认证平台30；
所述OTP认证平台30用于验证所述数字签名是否正确，并发送验证结果。
对于上述安全认证系统实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
为了更好地理解本申请的内容，下面再结合几个黑客攻击的具体案例分析利用本申请提供的方法和系统如何能防范钓鱼、木马、木马钓鱼。
1、支付网站站内钓鱼
站内交易替换是近期出现的一种木马病毒变种，木马在支付网站站内创建一笔即时到帐交易，如：我要付款，然后跳转回收银台让用户支付。
站内交易替换的过程，参照图13所示：
①用户在购物网站购买商品后，用户点击确认购买，浏览器跳转到支付网站收银台后，木马拦截正常的支付流程；
②木马将浏览器导向支付网站即时到帐页面；
③木马生成一笔“我要付款”订单，收款方为欺诈者的网上支付账号；
④浏览器跳回支付网站收银台；用户看到自己需要支付一笔订单，这笔订单实际上会支付到欺诈者的网上支付账号；
⑤用户选择付款；
⑥用户支付木马生成的即时到帐订单，钓鱼过程结束。
在本申请的方案中，因为用户的交易信息是以图片形式传入控件显示，而且整个过程是由应用层的随机会话密钥加密，即使黑客创建一笔新的交易，他也无法让这笔交易的图片传入控件，因为每个控件的随机会话密钥不一样，黑客的图片无法用用户控件的随机会话密钥解密。
2、钓鱼到第三方外部商家
此类型木马的钓鱼步骤参照图14所示：
①用户机器感染木马后，木马会监听浏览器的URL地址栏；用户在购物网站购买商品后，用户点击确认购买；
②浏览器跳转到支付网站收银台后，木马会拦截正常的支付流程，跳转至另一个第三方外部商户；
③木马在用户客户端登录欺诈者的外部商户账号，然后生成一笔同样金额的订单，该订单使用支付网站进行付款；
④浏览器会跳回支付网站收银台；这时候，用户看到自己需要支付一笔订单，这笔订单实际上会支付到欺诈者的外部商户账号；
⑤用户选择付款；
⑥用户实际支付了一笔外部商户订单，支付网站会付款给所述第三方外部商户，钓鱼过程结束。
从以上流程可以看出，这种木马钓鱼不仅与支付网站的安全相关，而且与被钓鱼的第三方外部商家的安全性紧密相关。如果能将本申请的方案应用到第三方外部商家，因为绝大多数外部商家没有能力建设完善的安全体系，那么由支付网站提供客户端控件和服务端服务的方式，就可以防止这种木马。
3、钓鱼到第三方支付平台
此种木马钓鱼方式是用户通过在支付网站收银台的时候，木马去其他第三方支付平台生成一笔网银充值订单，诱骗用户进行网银充值付款。参照图15，详细过程如下：
①用户在收银台页面进行充值操作；这个操作可能由很多原因发起，如：用户在购物网站购买商品，进入收银台准备付款；用户发起一笔“我要付款”即时到帐交易；用户在个人版点击交易详情进行付款等；木马会监听浏览器的URL，当用户准备付款时，木马就拦截正常的操作流程；
②木马将浏览器导向其他第三方支付平台，并登录欺诈者的账号；木马可以使用下列方式将浏览器导向第三方支付平台：
(1)修改浏览器的跳转地址，跳转至第三方支付平台；
(2)修改网银订单提交表单的跳转地址；这种方式和图15中的流程稍有不同，需要木马在远程服务端动态生成一笔网银订单，然后远程发送给木马客户端，木马篡改页面中的表单信息；这种方式在木马出现初期较为常见；
(3)其他形式；木马在短时间内做大量的URL跳转，比如木马会在用户点击去网银充值时，不直接进行拦截，而在浏览器跳转到网银页面后，再跳转去盛大；
③无论木马在第二步会使浏览器跳转多少次，都会到第三方支付平台生成一笔网银充值订单；
④用户在浏览器看到自己需要支付一笔网银订单，支付的银行和金额和正常交易流程相同，但是网银充值收款方不是支付网站；
⑤用户没有注意充值收款方，进行了充值；
⑥银行将钱充值进欺诈者的帐号，钓鱼过程完成。
从以上流程可以看出，这种木马钓鱼不仅与支付网站的安全相关，而且跟被钓鱼的第三方支付平台的安全紧密相关。如果能将本申请的方案应用到第三方支付平台，由支付网站提供方案，第三方支付平台自建系统，方案被推广后，可以防止这种木马。
综上所述，本申请包含以下优点：
第一，本申请基于OTP技术、密码控件技术、交易图片签名技术等软件技术实现了网上交易的安全认证，克服了硬件产品存在的使用范围、使用寿命和技术升级的难点；
第二，本申请通过利用随机会话密钥安全地传输交易图片的方式，实现了用户交易的二次确认，即利用软件的方式实现了二代OTP技术，解决了现有的软件产品防范钓鱼、木马、木马钓鱼困难的问题；
第三，本申请通过建立了OTP控件服务器和OTP认证平台，实现了OTP技术的批量化交易；
第四，本申请提供的安全认证系统是基于软件技术构建的，易于推广，如能在第三方系统(如第三方商家、第三方支付企业)中得到应用，可以增强整个行业的安全性。
本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。
以上对本申请所提供的一种网上交易安全认证方法和网上交易安全认证系统，进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。

Claims (12)

1.一种网上交易安全认证方法，其特征在于，包括：
生成用户端与服务端进行加密通信的随机会话密钥；
所述服务端依据所述随机会话密钥，验证所述用户端的用户身份；
用户身份验证通过后，所述服务端生成交易图片信息，并依据所述随机会话密钥加密传输所述交易图片信息至用户端；
所述用户端确认所述交易图片信息后，所述服务端依据所述随机会话密钥验证交易签名；
其中,所述依据随机会话密钥验证交易签名，包括：
在用户端输入交易验证码；
对交易图片信息和交易验证码用所述随机会话密钥进行数字签名；
发送所述数字签名至服务端；
服务端验证所述数字签名是否正确，并发送验证结果至用户端。
2.根据权利要求1所述的方法，其特征在于，所述生成用户端与服务端进行加密通信的随机会话密钥，包括：
在用户端生成随机数；
用预置的RSA公钥加密所述随机数；
发送所述加密的随机数至服务端；
在服务端依据所述加密的随机数生成随机会话密钥；
发送所述随机会话密钥至用户端。
3.根据权利要求1或2所述的方法，其特征在于，所述依据随机会话密钥验证用户端的用户身份，包括：
在用户端提取用户机器信息；
用所述随机会话密钥加密用户机器信息；
传送所述加密的用户机器信息至服务端；
在服务端验证用户机器信息匹配程度；
当用户机器信息匹配程度符合预置条件时，用户身份验证通过；
当用户机器信息匹配程度不符合预置条件时，用户身份验证失败。
4.根据权利要求3所述的方法，其特征在于，还包括：
在服务端生成抓取因子，并发送至用户端；
则在用户端根据所述抓取因子提取用户机器信息，用所述随机会话密钥加密用户机器信息和抓取因子，并传送至服务端；
服务端依据所述抓取因子验证用户机器信息匹配程度。
5.根据权利要求3所述的方法，其特征在于，当用户身份验证失败时，还包括：
用户端发送手机短信发送请求；
服务端收到所述请求后，获取用户信息，生成手机短信验证码，并发送所述手机短信验证码至用户绑定的手机；
用户收到手机短信验证码后，在用户端输入所述手机短信验证码，并发送至服务端；
服务端进行短信验证码验证，验证通过后，发送用户身份验证通过的结果至用户端。
6.根据权利要求1所述的方法，其特征在于，所述生成交易图片信息，包括：
根据交易信息、随机会话密钥、时间和用户种子，生成交易验证码；
根据交易信息和随机会话密钥，生成摘要信息；
生成底图，并将摘要信息加入所述底图；
将所述交易信息和交易验证码加入所述包含摘要信息的底图，生成交易图片信息。
7.一种网上交易安全认证系统，其特征在于，包括：一次一密(OTP)控件、OTP控件服务器和OTP认证平台，其中，
所述OTP控件和OTP控件服务器，用于生成OTP控件与OTP控件服务器进行加密通信的随机会话密钥，并依据所述随机会话密钥，验证OTP控件的用户身份；
所述OTP认证平台，与OTP控件服务器相连，用于在收到OTP控件服务器发送的用户身份验证通过的信息后，生成交易图片信息，并依据所述随机会话密钥加密传输所述交易图片信息至OTP控件；在OTP控件确认所述交易图片信息后，依据所述随机会话密钥验证交易签名；
其中,在验证交易签名时，所述OTP控件用于输入交易验证码，对交易图片信息和交易验证码用所述随机会话密钥进行数字签名，并发送所述数字签名至OTP认证平台；
所述OTP认证平台用于验证所述数字签名是否正确，并发送验证结果。
8.根据权利要求7所述的系统，其特征在于：
在生成随机会话密钥时，所述OTP控件用于生成随机数，用预置的RSA公钥加密所述随机数，并发送至OTP控件服务器；
所述OTP控件服务器用于依据所述加密的随机数生成随机会话密钥，并发送所述随机会话密钥至OTP控件。
9.根据权利要求7或8所述的系统，其特征在于：
在验证OTP控件的用户身份时，所述OTP控件用于提取用户机器信息，用所述随机会话密钥加密用户机器信息，并发送至OTP控件服务器；
所述OTP控件服务器用于验证用户机器信息匹配程度，当用户机器信息匹配程度符合预置条件时，用户身份验证通过；当用户机器信息匹配程度不符合预置条件时，用户身份验证失败。
10.根据权利要求9所述的系统，其特征在于：
所述OTP控件服务器还用于生成抓取因子，并发送至OTP控件；
则所述OTP控件根据所述抓取因子提取用户机器信息，用所述随机会话密钥加密用户机器信息和抓取因子，并发送至OTP控件服务器；
所述OTP控件服务器依据所述抓取因子验证用户机器信息匹配程度。
11.根据权利要求9所述的系统，其特征在于，当用户身份验证失败时，还包括：
客户端脚本模块，用于发送手机短信发送请求；
所述OTP认证平台还用于收到所述请求后，获取用户信息，生成手机短信验证码，并发送所述手机短信验证码至用户绑定的手机；还用于进行短信验证码验证，验证通过后，发送用户身份验证通过的结果至客户端脚本模块。
12.根据权利要求7所述的系统，其特征在于，所述OTP认证平台包括：
OTP算法驱动模块，用于根据交易信息、随机会话密钥、时间和用户种子，生成交易验证码；
OTP业务系统，用于根据交易信息和随机会话密钥，生成摘要信息；
图片服务器，用于生成底图，并将摘要信息加入所述底图；还用于将所述交易信息和交易验证码加入所述包含摘要信息的底图，生成交易图片信息。
CN201110346508.3A 2011-11-04 2011-11-04 一种网上交易安全认证方法及网上交易安全认证系统 Active CN103095662B (zh)

Priority Applications (7)

Application Number Priority Date Filing Date Title
CN201110346508.3A CN103095662B (zh) 2011-11-04 2011-11-04 一种网上交易安全认证方法及网上交易安全认证系统
TW101107355A TW201319976A (zh) 2011-11-04 2012-03-05 網路交易安全認證方法及網路交易安全認證系統
US13/666,671 US20130124421A1 (en) 2011-11-04 2012-11-01 Secure authentication method and system for online transactions
EP12805805.4A EP2774100A1 (en) 2011-11-04 2012-11-02 Secure authentication method and system for online transactions
PCT/US2012/063196 WO2013067276A1 (en) 2011-11-04 2012-11-02 Secure authentication method and system for online transactions
JP2014533492A JP6021923B2 (ja) 2011-11-04 2012-11-02 オンライン取引のための安全な認証方法およびシステム
HK13107588.8A HK1180489A1 (zh) 2011-11-04 2013-06-28 種網上交易安全認證方法及網上交易安全認證系統

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201110346508.3A CN103095662B (zh) 2011-11-04 2011-11-04 一种网上交易安全认证方法及网上交易安全认证系统

Publications (2)

Publication Number Publication Date
CN103095662A CN103095662A (zh) 2013-05-08
CN103095662B true CN103095662B (zh) 2016-08-03

Family

ID=48207802

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201110346508.3A Active CN103095662B (zh) 2011-11-04 2011-11-04 一种网上交易安全认证方法及网上交易安全认证系统

Country Status (7)

Country Link
US (1) US20130124421A1 (zh)
EP (1) EP2774100A1 (zh)
JP (1) JP6021923B2 (zh)
CN (1) CN103095662B (zh)
HK (1) HK1180489A1 (zh)
TW (1) TW201319976A (zh)
WO (1) WO2013067276A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110443613A (zh) * 2019-08-02 2019-11-12 中国工商银行股份有限公司 交易安全认证方法及装置

Families Citing this family (33)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7566002B2 (en) * 2005-01-06 2009-07-28 Early Warning Services, Llc Identity verification systems and methods
SG11201510655RA (en) * 2013-07-05 2016-01-28 Chung-Yu Lin Network identity authentication using communication device identification code
CA2918066A1 (en) * 2013-07-15 2015-01-22 Visa International Service Association Secure remote payment transaction processing
CN105684010B (zh) 2013-08-15 2021-04-20 维萨国际服务协会 使用安全元件的安全远程支付交易处理
CN115358746A (zh) 2013-09-20 2022-11-18 维萨国际服务协会 包括消费者认证的安全远程支付交易处理
US9276910B2 (en) * 2013-11-19 2016-03-01 Wayne Fueling Systems Llc Systems and methods for convenient and secure mobile transactions
CN104616137A (zh) * 2013-12-26 2015-05-13 腾讯科技（深圳）有限公司 安全支付方法、服务器及系统
CN104767613B (zh) 2014-01-02 2018-02-13 腾讯科技（深圳）有限公司 签名验证方法、装置及系统
CN105308623B (zh) * 2014-03-17 2019-05-31 中国工商银行股份有限公司 网络在线服务提供装置及方法
CN103905205B (zh) * 2014-04-03 2017-10-27 江苏先安科技有限公司 一种基于数据图像编码的跨设备跨应用的数字签名和验证方法
CN105025470A (zh) * 2014-04-18 2015-11-04 中国移动通信集团公司 一种业务请求处理方法、系统及相关装置
CN105577612B (zh) * 2014-10-11 2020-04-17 中兴通讯股份有限公司 身份认证方法、第三方服务器、商家服务器及用户终端
CN104318437B (zh) * 2014-10-11 2017-12-01 上海众人网络安全技术有限公司 一种虚拟预付卡线上支付系统及其支付方法
CN104320473A (zh) * 2014-10-31 2015-01-28 山东超越数控电子有限公司 一种远端浏览器管理系统登陆方法
KR101561499B1 (ko) * 2014-11-27 2015-10-20 주식회사 미래테크놀로지 엔에프씨 인증카드를 이용한 인증방법
EP3065366B1 (en) * 2015-03-02 2020-09-09 Bjoern Pirrwitz Identification and/or authentication system and method
CN104796404A (zh) * 2015-03-17 2015-07-22 浪潮集团有限公司 一种基于USB设备绑定的国产服务器web登陆方法
JP6385887B2 (ja) * 2015-05-13 2018-09-05 日本電信電話株式会社 認証サーバ、認証システム、認証方法及びプログラム
KR20160136000A (ko) * 2015-05-19 2016-11-29 에스케이플래닛 주식회사 대면확인 otp 애플리케이션 발급을 위한 시스템 및 방법
CN106533685B (zh) * 2015-09-09 2020-12-08 腾讯科技（深圳）有限公司 身份认证方法、装置及系统
CN105553983B (zh) * 2015-12-17 2017-06-13 北京海泰方圆科技股份有限公司 一种网页数据保护方法
US20170214671A1 (en) 2016-01-26 2017-07-27 befine Solutions AG Method for encrypting and decrypting data with a one-time-key
CN106020948B (zh) * 2016-05-10 2019-09-17 中国银联股份有限公司 一种流程调度方法及装置
CN108205616A (zh) * 2016-12-16 2018-06-26 北京小米移动软件有限公司 身份信息校验方法及装置
CN106991566A (zh) * 2017-03-23 2017-07-28 上海族蚂信息科技有限公司 一种在线交互数据处理系统
CN106851602A (zh) * 2017-03-31 2017-06-13 武汉票据交易中心有限公司 一种交易系统短信验证方法及系统
CN107454079B (zh) * 2017-08-04 2020-07-07 西安电子科技大学 基于物联网平台的轻量级设备认证及共享密钥协商方法
US20210241270A1 (en) * 2017-12-28 2021-08-05 Acronis International Gmbh System and method of blockchain transaction verification
CN108521429A (zh) * 2018-04-20 2018-09-11 黄绍进 一种匿名的互联网应用访问方法及装置
CN109801059B (zh) * 2018-12-28 2023-04-18 易票联支付有限公司 一种移动支付系统和移动支付方法
CN110956539A (zh) * 2019-11-28 2020-04-03 中国银行股份有限公司 一种信息处理方法、装置及系统
CN111340494B (zh) * 2020-05-15 2020-08-28 支付宝(杭州)信息技术有限公司 资产类型一致性证据生成、交易、交易验证方法及系统
CN112738561A (zh) * 2020-12-03 2021-04-30 西安慧博文定信息技术有限公司 一种基于otp图像加密、验证的方法及设备

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6675153B1 (en) * 1999-07-06 2004-01-06 Zix Corporation Transaction authorization system
US6856975B1 (en) * 2000-03-30 2005-02-15 Verify & Protect Inc. System, method, and article of manufacture for secure transactions utilizing a computer network
CN102201918A (zh) * 2011-05-31 2011-09-28 飞天诚信科技股份有限公司 无线智能密钥装置及其签名方法

Family Cites Families (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5768382A (en) * 1995-11-22 1998-06-16 Walker Asset Management Limited Partnership Remote-auditing of computer generated outcomes and authenticated biling and access control system using cryptographic and other protocols
US5784463A (en) * 1996-12-04 1998-07-21 V-One Corporation Token distribution, registration, and dynamic configuration of user entitlement for an application level security system and method
JP3001501B2 (ja) * 1998-05-20 2000-01-24 日本電気フィールドサービス株式会社 機密情報漏洩防止機能付きコンピュータネットワーク
US6938013B1 (en) * 2000-01-05 2005-08-30 Uniteller Financial Services, Inc. Money-transfer techniques
US20020038420A1 (en) * 2000-04-13 2002-03-28 Collins Timothy S. Method for efficient public key based certification for mobile and desktop environments
JP2002251375A (ja) * 2001-02-21 2002-09-06 Ntt Data Corp 通信ネットワークにおけるユーザ認証サーバ、本人認証方法及びプログラム
DE10137152A1 (de) * 2001-07-30 2003-02-27 Scm Microsystems Gmbh Verfahren zur Übertragung vertraulicher Daten
JP2003058508A (ja) * 2001-08-13 2003-02-28 Sony Corp 個人認証装置、および個人認証方法、並びにコンピュータ・プログラム
KR100464755B1 (ko) * 2002-05-25 2005-01-06 주식회사 파수닷컴 이메일 주소와 하드웨어 정보를 이용한 사용자 인증방법
US7644275B2 (en) * 2003-04-15 2010-01-05 Microsoft Corporation Pass-thru for client authentication
DE10343566A1 (de) * 2003-09-19 2005-05-04 Brunet Holding Ag Verfahren zur Abwicklung einer elektronischen Transaktion
US20050154889A1 (en) * 2004-01-08 2005-07-14 International Business Machines Corporation Method and system for a flexible lightweight public-key-based mechanism for the GSS protocol
JP4383195B2 (ja) * 2004-02-10 2009-12-16 日本放送協会 鍵管理装置及びそのプログラム、ライセンス配信装置及びそのプログラム、並びに、コンテンツ利用端末及びそのプログラム
JP4636632B2 (ja) * 2004-12-27 2011-02-23 富士通株式会社 認証システム
US8112787B2 (en) * 2005-12-31 2012-02-07 Broadcom Corporation System and method for securing a credential via user and server verification
US7548890B2 (en) * 2006-11-21 2009-06-16 Verient, Inc. Systems and methods for identification and authentication of a user
CN101232631B (zh) * 2007-01-23 2011-08-31 阿里巴巴集团控股有限公司 通信终端通过短信息进行安全认证的方法及系统
DE102007045981A1 (de) * 2007-09-25 2009-04-02 Fiducia It Ag Onlinebankingsystem und Onlinebankingverfahren zur datentechnisch gesicherten elektronischen Kommunikation
JP2010198333A (ja) * 2009-02-25 2010-09-09 Nec Corp サービス提供システム、情報読取装置、サービス提供方法、ユーザ情報送信方法、及びプログラム
US20120185398A1 (en) * 2009-09-17 2012-07-19 Meir Weis Mobile payment system with two-point authentication
US20110075840A1 (en) * 2009-09-30 2011-03-31 Zayas Fernando A Method and system for generating random numbers in a storage device
US8635260B2 (en) * 2009-12-02 2014-01-21 Seagate Technology Llc Random number generator incorporating channel filter coefficients
JP5474644B2 (ja) * 2010-04-14 2014-04-16 株式会社ソニー・コンピュータエンタテインメント サーバ接続方法、サーバ、および遠隔操作システム

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6675153B1 (en) * 1999-07-06 2004-01-06 Zix Corporation Transaction authorization system
US6856975B1 (en) * 2000-03-30 2005-02-15 Verify & Protect Inc. System, method, and article of manufacture for secure transactions utilizing a computer network
CN102201918A (zh) * 2011-05-31 2011-09-28 飞天诚信科技股份有限公司 无线智能密钥装置及其签名方法

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110443613A (zh) * 2019-08-02 2019-11-12 中国工商银行股份有限公司 交易安全认证方法及装置

Also Published As

Publication number Publication date
HK1180489A1 (zh) 2013-10-18
TW201319976A (zh) 2013-05-16
CN103095662A (zh) 2013-05-08
JP6021923B2 (ja) 2016-11-09
JP2014529273A (ja) 2014-10-30
EP2774100A1 (en) 2014-09-10
WO2013067276A1 (en) 2013-05-10
US20130124421A1 (en) 2013-05-16

Similar Documents

Publication Publication Date Title
CN103095662B (zh) 一种网上交易安全认证方法及网上交易安全认证系统
US20240095713A1 (en) Method, client device and pos terminal for offline transaction
US10708054B2 (en) Secure microform
US20090228966A1 (en) Authentication Method for Wireless Transactions
US10045210B2 (en) Method, server and system for authentication of a person
US20080046988A1 (en) Authentication Method
US20120116978A1 (en) Method of and system for securely processing a transaction
CN106716916A (zh) 认证系统和方法
CA2649684A1 (en) Authentication methods and systems
US20210209582A1 (en) Virtual smart card for banking and payments
CN101577917A (zh) 一种安全的基于手机的动态密码验证方法
US11403633B2 (en) Method for sending digital information
WO2008033065A1 (en) Method and computer system for ensuring authenticity of an electronic transaction
EP1142194B1 (en) Method and system for implementing a digital signature
CN106656992B (zh) 一种信息验证方法
CN111130798A (zh) 一种请求鉴权方法及相关设备
US20110161234A1 (en) Ordering scheme
JP2015519636A (ja) サイバーｉｄを使用してセキュアなトランザクションを提供する方法およびシステム
CN109389449B (zh) 一种信息处理方法、服务器及存储介质
CN110399714B (zh) 用于验证终端的可信用户界面真实性的方法及其系统
US20060117173A1 (en) Method and system for the secure transmission of a confidential code through a telecommunication network
US11089010B2 (en) Method for transmitting digital information
JP4148465B2 (ja) 電子価値流通システムおよび電子価値流通方法
Di Crescenzo et al. A secure virtual point of service for purchasing digital media content over 3G wireless networks

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
REG Reference to a national code

Ref country code: HK

Ref legal event code: DE

Ref document number: 1180489

Country of ref document: HK

C14 Grant of patent or utility model
GR01 Patent grant
REG Reference to a national code

Ref country code: HK

Ref legal event code: GR

Ref document number: 1180489

Country of ref document: HK

TR01 Transfer of patent right
TR01 Transfer of patent right

Effective date of registration: 20191210

Address after: P.O. Box 31119, grand exhibition hall, hibiscus street, 802 West Bay Road, Grand Cayman, Cayman Islands

Patentee after: Innovative advanced technology Co., Ltd

Address before: A four-storey 847 mailbox in Grand Cayman Capital Building, British Cayman Islands

Patentee before: Alibaba Group Holding Co., Ltd.