CN103606081A - 交易保护方法、受理装置和提交装置 - Google Patents

Abstract

一种交易保护方法、受理装置和提交装置，涉及金融、电子、通信、软件和信息安全技术领域。交易机构尤其银行的交易终端设备(如ATM、POS)配套无线交易受理装置，客户手机输入交易信息(密码和/或金额)，以近程无线通信(如蓝牙)建立保密通道发送提交；受理装置配置为键盘接口自动识别，交易信息转换生成键盘扫描码序列，模拟键盘按键传递交易主机，等效从密码键盘输入；随时监测计算受理装置与提交装置之间位置(GPS)距离，监听感应外部声音，当距离超界、声控报警、通道中断，则向交易终端设备送入取消指令，等效从密码键盘按取消键终止当次交易事务。保护账号密码，免受疏忽遗忘和暴力抢夺之害：设备系统与业务流程均无须改变。

Description

交易保护方法、受理装置和提交装置

技术领域

本发明涉及金融、电子、通信、软件和信息安全技术领域。

背景技术

金融服务电子化，银行ATM(自动柜员机)、POS机等交易终端设备随处可见，人们持有银行卡(信用卡、借记卡)，即可随时从自己的银行账户提取现金、转账支付。然而，如此便捷的金融服务却存在安全隐患，不法分子盗用银行卡事件时有发生，严重侵害金融秩序和客户钱财。盗卡手段包括捡拾、盗抢、克隆银行卡，而关键环节则是窃取客户密码。不法分子甚至采用高科技手段，覆盖布置假键盘记录按键，隐蔽安装微型摄像头偷窥输入，窃取客户密码行径屡屡得逞。为了解决银行卡密码安全问题，已经涌现出许多技术方法。本申请人的在先发明“交易保密方法、受理装置和提交软件”(中国发明专利申请号201010199411.X)引述了多项相关发明专利(申请)技术，归纳为物理障碍、视觉干扰、生物特征、系统集成和利用移动电话诸方案并指出了各自的局限。该发明提出的基于近程无线通信和虚拟HID键盘提交技术，无须改变银行交易设备软硬件和业务流程，不失为一种有效可行的新方案，但其还局限于HID键盘的配置，而且也只涉及安全保密问题而未涉及更广的安全保护问题。事实上，除了前述窃取密码的安全问题之外，还有两种安全问题需要面对：一是疏忽遗忘，持卡人插卡交易(取款、转账等)，忘记退出取卡，离开后他人跟进操作顺手牵羊，粗心酿成损失；二是暴力抢夺，歹徒结伙守候持卡人输完密码，乘机暴力排挤强行取款转账，而受害人势单力薄无法反抗，眼睁睁看着钱财被抢。这两种情形都有真实案例发生，银行虽有视频监控也只能事后追究，并不能有效防范，目前也未见有其它切实适用的技术办法。

发明内容

本发明提出一种交易保护方法，供交易机构尤其是银行向其客户提供输入交易信息的保密服务。所谓交易信息，主要指交易密码，可选地还指交易金额；特别地，还可包括特定功能按键(例如取消、退格、退卡键等)，以便实施进一步保护。首先，为交易终端设备(典型的如ATM、POS机等)增加一种交易受理装置，采用近程(即近距离)无线通信方式接收客户提交的交易信息。可采用的近距离无线通信方式，包括射频、蓝牙、红外线及超声波等。交易终端设备原有的密码键盘(物理的或触摸屏的)输入方式保留不变，新增的无线交易受理装置与之共存、并行不悖。为此，特别地将交易受理装置配套为键盘接口方式，将其与交易终端设备主机直接相连。键盘接口具体分为标准键盘(如PC键盘、PS/2键盘)接口和HID(HumanInterface Devices，人机接口设备)键盘接口(通常是USB接口)。前述本申请人的在先发明已经提出HID键盘接口方案，是一种理想方式，但还不够全面。一种变通的方法，是当原有的密码键盘配置为USB接口的HID键盘时，则将交易受理装置配套为标准键盘接口。由于键盘接口的电器特性和机械特性都有标准规范，而交易终端设备操作系统也已经内置有相应的设备驱动程序，所以交易受理装置只要接入交易终端设备主机，便能被系统自动识别为键盘。事实上，这样的键盘并非真实键盘，而是虚拟键盘；对于交易终端设备主机而言，相当于在原有密码键盘之外存在第二键盘，两个键盘都能输入按键码，效果相同互不干扰。交易受理装置的一端以键盘接口形态接入交易终端设备，另一端则通过无线通信方式建立保密通道来接收客户交易信息，最终将收到的交易信息转换生成键盘扫描码序列，模拟键盘按键序列传递给交易终端设备主机，从而等效于从密码键盘输入交易信息。配置为键盘接口的优点是明显的，既无需改变现有交易终端设备硬件，也完全不必修改现行系统软件和业务流程。假若配置为串口、并口、总线接口等，则需配套相应驱动控制程序，乃至必须修改业务软件。

由于无线通信空间的开放性，信道很容易被窃听，交易信息有被拦截仿冒的危险。因此，必须在交易提交装置与交易受理装置之间建立保密通道，才能保证交易信息安全传输。保密通道的建立，可以有各种各样的方法。一种可行的办法，是通过密钥协商过程来实施，其实质是在通信双方之间生成与交换密钥。例如，可采取下列步骤：

(1)交易提交装置生成第一随机密钥，用交易机构的公钥加密之后发送出去：

(2)交易受理装置接收到第一随机密钥的密文，用交易机构的私钥解密获得第一随机密钥；

(3)交易受理装置生成第二随机密钥，用第一随机密钥加密之后发送出去；

(4)交易提交装置接收到第二随机密钥的密文，用第一随机密钥解密获得第二随机密钥；

(5)交易提交装置将交易信息用第二随机密钥加密之后发送出去；

(6)交易受理装置接收到交易信息的密文，用第二随机密钥解密获得交易信息的明文，最后传递给交易终端设备主机。

上述步骤中，前四步体现了保密通道的建立过程，后两步好比在建立的保密通道内秘密地传输交易信息。显然，密钥协商过程包括了双边生成与交换随机密钥的步骤，而由交易受理装置随机生成的密钥(第二随机密钥)或基于此密钥变换导出的密钥，最终才被用于加密和解密交易信息。这是十分关键的。假设有人恶意搭线窃听甚至发起中间人攻击，他拦截获得了第一随机密钥的密文，但因为没有交易机构的私钥而无法解密获得密钥明文；同样，他可能拦截获得第二随机密钥的密文，但因为没有第一随机密钥也无法解密获得密钥明文；最后，他也可能拦截获得交易信息的密文，但因为没有第二随机密钥而终究无法解密获得交易信息明文。当然他可能发动重放攻击，假如不是用的第二随机密钥加密交易信息。那么他可能就得逞了，因为他无须理解交易信息，只需记录并重复提交全过程即可。正是由于第二随机密钥的作用，攻击才归于失败。但上述保密方法不是建立保密通道的唯一方式，不应视为对本发明方法的限制。

在传递交易信息到交易终端设备主机之前，交易受理装置需要先将交易信息转换生成键盘扫描码序列，然后才模拟键盘按键序列传递。这个环节还必须谨慎。由于是模拟键盘按键传递，恶意模仿交易提交装置发送某些特定功能键，则有可能导致交易终端设备中断服务进程甚至锁闭、重启或关机。因此，在转换生成键盘扫描码期间，还有必要限定与检验键字符码的有效值范围(例如仅限于数字字符)，确保无效字符码被屏蔽(或过滤)而不传递给交易终端设备，避免潜在的干扰破坏行为。但为了实施保护措施，就要允许“取消”指令，将其转换为相应功能键的键盘扫描码序列，而等效于从交易终端设备的密码键盘按取消键(或返回、退格、删除、退卡键等)，导致交易终端设备当次(即正在进行中的本次)交易事务被强制终止或干扰阻止。

本发明还提出一种交易保护方法，与前述交易保护方法同样地，在交易机构尤其银行的交易终端设备上，配置无线交易受理装置，让客户手持交易提交装置输入交易信息，通过近程无线通信方式建立的保密通道发送到交易终端设备。交易受理装置与交易终端设备主机的接口可以是键盘接口但不限于键盘接口。本发明交易保护方法的目的，是解决疏忽遗忘和暴力抢夺两类安全问题。

解决疏忽遗忘类安全问题的办法，是在所述交易受理与提交过程中，还随时监测计算交易受理装置与交易提交装置之间的位置距离，当发现监测计算的距离超出预定范围(比如2米)，则自动向交易终端设备送入取消指令，从而等效于从交易终端设备的密码键盘按取消键，导致交易终端设备当次交易事务被强制终止或干扰阻止。所述监测计算，一种实用的办法，是根据交易受理装置和交易提交装置各自的全球卫星定位(GPS)坐标来实施，得出两者之间的距离。具体又可作两种安排：其一，是由交易受理装置一方主导，交易受理装置接收交易提交装置的定位坐标，然后参照自身的定位坐标来实施监测计算，当距离超出预定范围，则交易受理装置自发地向交易终端设备送入取消指令；其二，是由交易提交装置一方主导，交易提交装置接收交易受理装置的定位坐标，然后参照自身的定位坐标来实施监测计算，当距离超出预定范围，则交易提交装置向交易受理装置发出取消指令，后者继而再传递给交易终端设备。因为距离是相对的，所以两种方案异曲同工，都能导致交易终端设备当次交易事务被强制终止或干扰阻止。可预期的效果是，一但持卡人离去几步远之后，即使他(她)疏忽遗忘，亦将自动阻止继续取款转账，甚至直接自动退卡。

解决暴力抢夺类安全问题的办法，是在所述交易受理与提交过程中，还随时监听感应外部声音，当感应到有声控报警时，则自动向交易终端设备送入取消指令，从而等效于从交易终端设备的密码键盘按取消键，导致交易终端设备当次交易事务被强制终止或干扰阻止。鉴于声控报警的声纹因人而异，具有个性化特征，故所述监听感应放在交易受理装置一方来实施不太现实，而放在交易提交装置一方来实施正适合。交易提交装置预先存储用户应急声纹，然后在交易受理与提交过程中，现场即时拾音采样，搜索匹配进行模式识别，当模式匹配一致时，则交易提交装置向交易受理装置发出取消指令，后者继而再传递给交易终端设备，从而导致交易终端设备当次交易事务被强制终止或干扰阻止。可预期的效果是，持卡人在交易过程中若遭遇暴力抢夺，他(她)只需喊叫一声，即可自动阻止继续取款转账，甚至直接自动退卡。当然，也可以在交易提交装置的操作界面上定义退出键(按钮)来应急，只需点按一下此键，交易提交装置就向交易受理装置发出取消指令，也能产生同样结果。但问题是，若交易提交装置先被歹徒夺走，结局就不同。比较而言，喊一声应急更有机会也更自然。

上述保护方法，在交易受理装置与交易提交装置之间，有赖于保密通道的建立与保持，若保密通道中断，则交易受理装置可直接向交易终端设备主机发出取消指令，从而导致交易终端设备当次交易事务被强制终止或干扰阻止。

由上述保护方法，本发明还设计一种交易受理装置，通过近程无线通信方式建立的保密通道，接收交易提交装置发出的交易信息并传递到交易终端设备。该交易受理装置的构成包括：接口单元，配置为键盘接口而与交易终端设备适配连接；通信单元，建立与交易提交装置近程无线通信连接；保密单元，存储了交易机构确认的密钥，实施加密解密建立保密通道；定位单元，获取保存本装置的定位坐标；控制单元，协调控制各功能单元的执行。所述交易受理装置的主要特征在于：所述定位单元，将向交易提交装置提供本交易受理装置的定位坐标，或接收交易提交装置的定位坐标，用来计算本交易受理装置与交易提交装置之间的距离；所述控制单元，一方面，将经由保密通道接收的交易信息转换生成键盘扫描码序列，通过所述接口单元送入交易终端设备主机，而等效于从交易终端设备的密码键盘输入交易信息；另一方面，当判定所述定位单元计算的距离超出预定范围，或当收到取消指令，或当保密通道中断，则将取消指令所对应的键盘扫描码序列，通过所述接口单元送入交易终端设备主机，而等效于从交易终端设备的密码键盘按取消键，导致交易终端设备当次交易事务被强制终止或干扰阻止。此外，所述控制单元，在将收到的交易信息转换生成键盘扫描码序列期间，还限定与检验键盘扫描码的有效值范围，确保无效键码被屏蔽而不传递给交易终端设备。

所述交易受理装置与交易提交装置之间建立保密通道，也可采取但不限于上述密钥协商过程，包括了双边生成与交换随机密钥的步骤，而由交易受理装置随机生成的密钥或基于此密钥变换导出的密钥，最终被用来解密所收到的交易信息(密文)。当然，交易提交装置也使用同一密钥加密其提交的交易信息。

本发明的交易受理装置，可以跟交易终端设备一体化设计与制造，但更现实的应用方式，是与现有大量在用的交易终端设备(如ATM机)集成使用。而所需做的工作，只是初始化(写入编码标识和机构密钥)之后，直接接入交易终端设备的键盘接口即可。交易受理装置可以是无源的，若采用标准键盘接口，则交易终端设备需先关机，接入交易受理装置之后再开机启动；若采用HID键盘，则由于USB的热插拔特性，可以随时接入和移除，而交易终端设备仍然照常服务运行，不受任何干扰。

与交易受理装置相对应的，是交易提交装置，具有手持可移动的特点。交易提交装置可以设计成专用设备，但更好的办法是利用现成的移动电话(手机)、PDA(个人数字助理)、媒体播放器等。于是，只需要设计配套的交易提交软件，运行于手持移动交易提交装置尤其是移动电话上，提供操作界面，供用户输入交易信息，并通过近程无线通信方式与交易受理装置之间建立保密通道，经由交易受理装置发送到交易终端设备。

本发明的交易提交装置，其构成包括：通信单元，建立与交易受理装置近程无线通信连接；保密单元，实施加密解密建立保密通道；定位单元，获取保存本装置定位坐标；声控单元，存储声纹数据并感应外部声音；控制单元，协调控制各功能单元的执行。其中，定位单元和声控单元两者至少有其一或兼而有之。该交易提交装置的特征在于：所述定位单元，还向交易受理装置提供本装置定位坐标，或接收交易受理装置定位坐标，用来计算本装置与交易受理装置之间的距离；所述声控单元，当外部声音与预存应急声纹模式匹配一致时发出报警；所述控制单元，当判定所述定位单元计算的距离超出预定范围，或当所述声控单元产生报警，或当响应于用户的取消操作，则向交易受理装置发送取消指令，以图导致交易终端设备当次交易事务被强制终止或干扰阻止。

本发明的交易提交装置，还关注两方面：一是界面输入交易信息过程的保密性，二是建立保密通道的可靠性。在软件操作界面上输入交易密码时，尽管显示的是密码字符，但客户按键过程可能被偷窥，致使所输入的交易密码失窃。交易提交装置采取的措施是，在操作界面输入交易密码后，内部再对该密码施行与客户个性化信息相关的加密变换，使得最后提交到交易终端设备的交易密码与原始输入的交易密码实际不同。所谓客户个性化信息，就是具体客户特有的一些信息，如电话号码、账号、预先存入的密码/密钥或PIN(个人识别码)等。偷窥者因为没有客户个性化信息的确切数据，尽管可能窃取到客户输入的交易密码，却无法推导出加密变换之后的实际交易密码。在建立保密通道方面，交易提交装置实现的是与交易受理装置配套一致的密码算法，通常经由密钥协商过程，最终采用交易终端设备一方生成的随机密钥来加密所提交的交易信息。

本发明的积极效果，是提供了一种简单实用而且行之有效的交易保护方法，设计出配套的交易受理装置和交易提交装置，不但能够在交易过程中严密保护客户的账号密码安全，而且能够避免客户因疏忽遗忘损失钱财，也使得客户在遭遇暴力抢夺时有能力和机会应急响应自我保护。本发明还很容易推广应用，尤其是能够让银行大量在用的ATM机只需临时关机重启(采用标准键盘接口时)甚至无须暂停服务(采用HID键盘接口时)，立即就能从根本上提升安全保密与保护功能，客户手机下载交易提交软件也立即可用且有望普及，从而开拓出一项新服务业务，社会经济效益不可限量。

附图说明

图1是本发明的示意图。交易终端设备(1)属于交易机构所有，包含交易主机(11)和密码键盘(12)，一般还应有显示器、出钞机构、网络接口等未出示。在交易主机(11)中，业务进程(111)即运行于操作系统上的业务应用程序；消息队列(112)、设备驱动程序(113)是操作系统的运行机制，从键盘接口(114)接收密码键盘(12)输入的扫描码，然后转换为消息作为业务进程(111)的输入(即交易信息)；键盘接口(115)则从交易受理装置(2)接收扫描码，同样通过设备驱动程序(113)和消息队列(112)，转换为消息输入业务进程(111)；通信接口(116)则为交易受理装置(2)提供了其它可选通道，比如串口、并口、总线接口等，经设备驱动程序(113)和消息队列(112)，将交易信息的键符码(键字符码)序列输送至业务进程(111)。交易受理装置(2)，包含但不限于定位单元(21)、通信单元(22)、控制单元(23)、接口单元(24)、保密单元(25)。其中，定位单元(21)，获取和存储本装置的定位坐标，既可提供自身定位坐标也可接收对方定位坐标，用来计算两者之间的位置距离；通信单元(22)，通过近程无线通信方式，与交易提交装置(3)中的通信单元(36)之间建立通信连接；控制单元(23)，协调控制本装置内部各个功能单元的执行，并根据预设条件实施保护；接口单元(24)，配置为键盘(标准键盘或HID键盘)接口，而与交易主机(11)中的键盘接口(115)直接物理相连，将交易信息转换为键盘扫描码序列作为输入；保密单元(25)，基于通信连接，与交易提交装置(3)中的保密单元(32)协作建立维持保密通道。交易提交装置(3)，包含但不限于定位单元(31)、保密单元(32)、声控单元(33)、控制单元(34)、移动键盘(35)、通信单元(36)。其中，定位单元(31)，获取和存储本装置的定位坐标，既可提供自身定位坐标也可接收对方定位坐标，用来计算两者之间的位置距离；保密单元(32)，基于通信连接，与交易受理装置(2)中的保密单元(25)协作建立维持保密通道；声控单元(33)，预先存储使用者的个人应急声纹数据，并在交易期间感应外部声音，当外部声音与预存应急声纹模式匹配一致时则产生报警；控制单元(34)，协调控制本装置内部各个功能单元的执行，并根据预设条件实施保护；移动键盘(35)，手工输入交易信息；通信单元(36)，通过近程无线通信方式，与交易受理装置(2)中的通信单元(22)之间建立通信连接。交易提交装置(3)与交易受理装置(2)之间，通过近程无线通信保密通道，传送交易信息(包括取消指令)和其它信息(包括定位坐标和协议数据)，最终将在交易提交装置(3)的移动键盘(35)上手工输入的交易信息，送达交易终端设备(1)的交易主机(11)，即输入到业务进程(111)。在交易过程中，当发现交易提交装置(3)与交易受理装置(2)之间的位置距离超出预定范围，交易提交装置(3)的控制单元(34)和交易受理装置(2)的控制单元(23)，都能发出取消指令；当发现保密通道中断，交易受理装置(2)的控制单元(23)直接发出取消指令；当发生声控报警，交易提交装置(3)的控制单元(34)向交易受理装置(2)发出取消指令。凡所发出的取消指令，都被转换为键盘扫描码或键符码，最终经过键盘接口(115)或通信接口(116)送达交易主机(11)，从而导致交易终端设备当次交易事务被强制终止或干扰阻止。

图2是本发明在交易提交装置一方的处理流程示意图。开始之后，先建立保密通道，客户输入交易信息(对于交易密码可做密码加密变换防偷窥)，获取本方定位坐标再发送出去；若保密通道中断则结束，否则继续；可选地，也可接收对方(即交易受理装置)的定位坐标，并计算双方位置距离，若遇保密通道中断则结束，若判断距离超界则转去发送取消指令，否则继续；若发生声控报警，则转去发送取消指令作为保护响应；发送交易信息之后，既可继续交易，也可正常停止交易，发送取消指令之后拆除保密通道，然后结束。在上述过程中，每当发送或接收，都要检查保密通道的可用性，保密通道中断则意味着当次交易无法继续，只能结束。

图3是本发明在交易受理装置一方的处理流程示意图。就绪之后，即处于侦听状态，持续等待有交易提交装置接入的到来，接着建立保密通道；既接收对方(即交易提交装置)的定位坐标，也获取本方的定位坐标，然后计算双方位置距离；可选地，也可发送本方的定位坐标，而让对方计算双方位置距离；若判断距离超界则转去生成与传递取消指令对应的键盘扫描码或键符码，否则继续；接收交易信息之后，要判断是否对方发出的取消指令，是则转去生成与发送取消指令对应的键盘扫描码或键符码，否则将交易信息转换为键盘扫描码序列并传递给交易主机，然后转入下一轮收发循环。在上述过程中，每当发送或接收，都要检查保密通道的可用性，还要检测判断距离，以及是否收到取消指令。凡是遇到保密通道中断、距离超界，以及收到取消指令，都要转去生成与传递取消指令对应的键盘扫描码或键符码，然后拆除保密通道，转入下一轮侦听循环，等待下一次接入，周而复始。

具体实施方式

本发明的实施例，参看图1。先设计交易受理装置(2)，其中控制单元(23)采用8051兼容处理器芯片，定位单元(21)采用GPS模块含天线以串口连接处理器芯片，通信单元(22)采用蓝牙通信模块也以串口连接处理器芯片，接口单元(24)配置为标准PS/2键盘接口芯片内接处理器芯片外接交易主机(11)的标准键盘接口(115)，保密单元(25)由处理器固件编程实现加解密功能并存储密钥。如此构成的交易受理装置本身是无源的，接入接交易主机(11)的标准键盘接口(115)，从该接口的电源线获取电能。处理器的固件编程，参照图3所示的处理流程编制实现。另外，交易提交装置(3)就利用移动电话，采用NOKIA5310型手机，在J2ME集成开发环境编制交易提交软件程序，显示一个简单输入操作界面。其中，定位单元(31)就用手机内置GPS部件，保密单元(32)存储密钥并编程实现加解密功能，声控单元(33)就用手机的MIC录制保存个人应急声纹数据且感应匹配外部声音，控制单元(34)就用手机核心处理器，移动键盘(35)就用手机键盘，通信单元(36)就用手机内置蓝牙部件。手机交易提交程序，参照图2所示的处理流程编制实现，然后下载到手机上即可实用。

Claims (10)

1.一种交易保护方法，是在交易机构尤其银行的交易终端设备上，配置无线交易受理装置，让客户手持交易提交装置输入交易信息，通过近程无线通信方式建立的保密通道发送到交易终端设备，其特征在于，所述交易受理装置，将经由保密通道接收的交易信息转换生成键盘扫描码序列，通过键盘接口送入交易终端设备主机，而等效于从交易终端设备的密码键盘输入交易信息。

2.根据权利要求1所述的方法，其特征是，所述转换生成还包括限定与检验键盘扫描码的有效值范围，确保无效键码被屏蔽而不传递给交易终端设备。

3.根据权利要求1和2所述的方法，其特征是，所述转换生成还包括将取消指令转换为相应功能的键盘扫描码序列，而等效于从交易终端设备的密码键盘按取消键，导致交易终端设备当次交易事务被强制终止或干扰阻止。

4.一种交易保护方法，是在交易机构尤其银行的交易终端设备上，配置无线交易受理装置，让客户手持交易提交装置输入交易信息，通过近程无线通信方式建立的保密通道发送到交易终端设备，其特征在于，所述交易受理与提交过程中，还随时监测计算交易受理装置与交易提交装置之间的位置距离，和/或监听感应外部声音，当发生下列事件

(1)监测计算的距离超出预定范围，或

(2)监听感应到声控报警，或

(3)保密通道中断，

则向交易终端设备送入取消指令，而等效于从交易终端设备的密码键盘按取消键，导致交易终端设备当次交易事务被强制终止或干扰阻止。

5.根据权利要求4所述的方法，其特征是，所述监测计算根据交易受理装置和交易提交装置各自的卫星定位坐标来实施。

6.根据权利要求4和5所述的方法，其特征是，所述监测计算由交易受理装置接收交易提交装置定位坐标并参照自身定位坐标来实施，而所述送入取消指令亦由交易受理装置自发进行。

7.根据权利要求4和5所述的方法，其特征是，所述监测计算由交易提交装置接收交易受理装置定位坐标并参照自身定位坐标来实施，所述监听感应由交易提交装置预存用户应急声纹并现场拾音匹配模式识别，而所述送入取消指令亦由交易提交装置向交易受理装置发出。

8.一种交易受理装置，通过近程无线通信方式建立的保密通道，接收交易提交装置发出的交易信息并传递到交易终端设备，其构成包括，接口单元配置为键盘接口而与交易终端设备适配连接，通信单元建立与交易提交装置近程无线通信连接，保密单元实施加密解密建立保密通道，定位单元获取保存本装置定位坐标，控制单元协调控制各功能单元的执行，其特征在于包括

(1)所述定位单元，向交易提交装置提供本装置定位坐标，或接收交易提交装置定位坐标，用来计算本装置与交易提交装置之间的距离；

(2)所述控制单元，一方面，将经由保密通道接收的交易信息转换生成键盘扫描码序列，通过所述接口单元送入交易终端设备主机，而等效于从交易终端设备的密码键盘输入交易信息；另方面，当判定所述定位单元计算的距离超出预定范围，或当收到取消指令，或当保密通道中断，则将取消指令所对应的键盘扫描码序列，通过所述接口单元送入交易终端设备主机，而等效于从交易终端设备的密码键盘按取消键，导致交易终端设备当次交易事务被强制终止或干扰阻止。

9.根据权利要求8所述的装置，其特征是，所述控制单元还限定与检验键盘扫描码的有效值范围，确保无效键码被屏蔽而不传递给交易终端设备。

10.一种交易提交装置，即手持移动交易提交装置尤其是移动电话或个人数字助理，具备操作界面供用户输入交易信息，并通过近程无线通信方式与交易受理装置建立保密通道，发送到交易终端设备，其构成包括，通信单元建立与交易受理装置近程无线通信连接，保密单元实施加密解密建立保密通道，定位单元获取保存本装置定位坐标，声控单元存储声纹数据并感应外部声音，控制单元协调控制各功能单元的执行，其中定位单元和声控单元两者有其一或兼而有之，其特征在于包括

(1)所述定位单元，向交易受理装置提供本装置定位坐标，或接收交易受理装置定位坐标，用来计算本装置与交易受理装置之间的距离；

(2)所述声控单元，当外部声音与预存应急声纹模式匹配一致时报警；

(3)所述控制单元，当判定所述定位单元计算的距离超出预定范围，或当所述声控单元产生报警，或当响应于用户的取消操作，则向交易受理装置发送取消指令，以图导致交易终端设备当次交易事务被强制终止或干扰阻止。

Images