CN104662864B - 使用了移动认证应用的用户方便的认证方法和装置 - Google Patents

使用了移动认证应用的用户方便的认证方法和装置 Download PDF

Info

Publication number
CN104662864B
CN104662864B CN201380049938.6A CN201380049938A CN104662864B CN 104662864 B CN104662864 B CN 104662864B CN 201380049938 A CN201380049938 A CN 201380049938A CN 104662864 B CN104662864 B CN 104662864B
Authority
CN
China
Prior art keywords
user
application
message
server
certification
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201380049938.6A
Other languages
English (en)
Other versions
CN104662864A (zh
Inventor
尼古拉斯·福特
弗兰克·库利耶
纪尧姆·特谢龙
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Onespan North America Inc
Original Assignee
Vasco Data Security International Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Vasco Data Security International Inc filed Critical Vasco Data Security International Inc
Publication of CN104662864A publication Critical patent/CN104662864A/zh
Application granted granted Critical
Publication of CN104662864B publication Critical patent/CN104662864B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/34—User authentication involving the use of external additional devices, e.g. dongles or smart cards
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H04L63/0838—Network architectures or network communication protocols for network security for authentication of entities using passwords using one-time-passwords
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/36—User authentication by graphic or iconic representation
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/606—Protecting data by securing the transmission between two devices or processes
    • G—PHYSICS
    • G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
    • G09C—CIPHERING OR DECIPHERING APPARATUS FOR CRYPTOGRAPHIC OR OTHER PURPOSES INVOLVING THE NEED FOR SECRECY
    • G09C5/00—Ciphering apparatus or methods not provided for in the preceding groups, e.g. involving the concealment or deformation of graphic data such as designs, written or printed messages
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/18—Network architectures or network communication protocols for network security using different networks or channels, e.g. using out of band channels
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3215—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a plurality of channels
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H04L9/3228—One-time or temporary data, i.e. information which is sent for every authentication or authorization, e.g. one-time-password, one-time-token or one-time-key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3234—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving additional secure or trusted devices, e.g. TPM, smartcard, USB or software token
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/69—Identity-dependent
    • H04W12/77—Graphical identity

Abstract

公开了用于确保应用交互的安全的方法、装置和系统。可以通过如下方式来确保应用交互的安全：在用户认证设备处，捕捉由访问设备发射的、被编码有包括应用标识符的认证发起消息的信号，对该信号进行解码并且获得认证发起消息，检索出应用标识符，将人类可解释的应用身份表示呈现给用户，获得对生成能够被验证服务器得到的响应消息的用户批准，使用密码学算法来生成在密码学上链接至应用身份的动态安全值，并且生成包括所生成的动态安全值的响应消息；使响应消息能够被验证服务器得到；并且在验证服务器处，接收响应消息，验证响应消息，包括验证动态安全值的有效性，并且将响应消息的验证的结果传送至该应用。

Description

使用了移动认证应用的用户方便的认证方法和装置
对相关申请的交叉引用
本申请要求于2012年8月3日提交的题为“User-convenient authenticationmethod and apparatus using a mobile authentication application”的美国临时申请No.61/679,284，该申请的全部内容通过引用合并到本文中。
技术领域
本发明涉及确保通过计算机网络对计算机和应用的远程访问以及远程交易的安全。更具体地，本发明涉及用于使用户向远程应用服务器认证的方法和装置。
背景技术
随着对计算机系统和应用的远程访问的日益流行，通过公用网络如因特网来远程访问的交易的数目和种类已经显著增长。上述流行已经突显了对于安全的需求；特别地：如何确保正在远程访问应用的人是他们声称自己是的人，如何确保正在远程进行的交易由合法的个体发起，以及如何确保交易数据在应用服务器处被接收之前尚未被篡改。
在过去，应用提供者依赖于静态口令来提供远程应用的安全。近年来，已经变得明显的是，静态口令并不足够并且需要更高级的安全技术。
通过“强认证令牌设备”来提供与静态口令相比提供了显著较高安全水平的认证技术。强认证令牌的典型示例为由伊利诺伊州的芝加哥的Vasco数据安全公司(参见网站http://www.vasco.com)商品化的的产品线。强认证令牌为自主电池供电设备，其致力于提供认证和/或交易签名功能，并且通常为口袋尺寸且具有其显示器和小键盘。在一些情况下，将小键盘减少至单个按钮或甚至完全省却。在其他情况下，小键盘可以为完全键盘。典型强认证令牌的显示器和小键盘为不可移除且非用户可维护的，其完全受控于令牌，并且不受主计算机上的恶意软件的干扰。因而，强认证令牌被认为具有与例如PC相比的值得信任的用户接口，在PC的情况下，总是存在下述可能性：恶意软件例如病毒或木马向用户呈现虚假信息或者捕捉用户在小键盘上输入的任何信息，或者读取存储器中的与安全应用相关联的敏感数据或者在数据被签名之前对数据进行篡改。强认证令牌的主要目的在于：生成通常称为“一次性口令”(OTP)或动态口令的动态安全值。通常通过将在令牌与验证或认证服务器之间所共享的秘密与提供至令牌的动态值——例如时间值、计数器值或服务器挑战——或这些的组合在密码学上相组合来生成这些OTP。一些强认证令牌还可以使用已经作为动态值提供至令牌或与以上所提及的动态值中的任何动态值结合的数据(例如交易数据)来生成安全值。在这些情况下，所产生的安全值意在指示用户对于数据的批准，并且该安全值通常称为电子签名或消息认证码(MAC)。在一些情况下，将秘密与动态值在密码学上相组合包括：对与动态值相关的数据执行对称加密或解密算法(例如DES、3DES或AES)并且将该秘密用作对称加密或解密钥。在一些情况下，将秘密与动态值在密码学上相组合包括：执行利用该秘密作为的密钥的密码学哈希函数(例如，SHA-1)并且将与动态值相关的数据用作哈希函数的输入数据。一些强认证令牌由具有显示器和小键盘的设备组成，该设备能够利用所插入的智能卡进行通信，由此，部分地由设备自身且部分地由所插入的智能卡来完成OTP或MAC的生成。
将数据提供至强认证令牌的典型方式为通过使用户在令牌的小键盘上手动地输入数据。当以此方式需要被输入的数据的量超过几十个字符时，该处理可能被用户感知为太麻烦。
将所生成的OTP或MAC从认证令牌提供至需要对它们进行验证的系统的典型方式包括：令牌在其显示器上显示所生成的OTP或MAC，并且用户将所显示的OTP或MAC复制进他或她的PC(或其他互联网访问设备)中，该PC将OTP或MAC传输至应用或认证服务器，然后可以在该应用或认证服务器处对OTP或MAC的有效性进行验证。然而，这还需要来自用户的一些可能被感知为不便的动作。
强认证令牌通常依赖于对称密码机制以使用在强认证令牌与验证服务器之间所共享的对称秘密钥来生成OTP或MAC。如果用户想要在若干个应用的情况下使用他或她的令牌，则上述可能是成问题的，这是由于所有这些应用服务器然后需要共享一个或多个令牌的秘密钥，上述又具有产生安全风险的可能性。
专用硬件强认证令牌的另一方面在于：它们必然具有某个非零最小成本。这有时可以使专用硬件强认证令牌对于针对其每个用户的成本有时可以为关键因素的多个应用缺少吸引力。
所需要的是下述认证机构，其一方面提供与强认证令牌相同水平的安全性，而另一方面其对于用户非常方便并且可以在若干个应用或应用提供者的情况下容易地使用，并且非常有成本效益。
发明内容
本发明的方面基于发明者的见识的组合，例如下述发明者的见识：如果若干个不同应用可以依赖于在被所述若干个不同应用所信任且已经访问令牌秘密的第三方认证服务器上对通过该令牌所生成的OTP和MAC的验证，则可以利用相同的强认证令牌来确保这些不同应用的安全，而无需这些不同应用全部共享所述令牌的秘密。
本发明的方面所基于的另一见识在于：如果生成OTP或MAC的用户的设备包括通信接口和典型访问设备例如个人计算机(PC)或膝上型计算机，则可以使认证处理对于用户非常方便，该通信接口用于与计算设备交换数据，由此可以假定这些通信接口相对于目标应用(例如，基于网页的应用)是普遍存在的，并且，用户被期望可以使用典型访问设备来访问这些应用，而无需参与潜在的复杂或易错技术步骤，例如安装用于这些通信接口的驱动器。
本发明的方面所基于的另一见识在于：如果本解决方案可以重新使用用户无论如何已经具有的设备例如移动电话而不是需要分配新的专用硬件设备，则本解决方案可以非常有成本效益。
认证设备
在本发明的一些实施方式中，多个用户中的每个用户被提供有认证设备。在一些实施方式中，认证设备为专用硬件设备例如专用强认证令牌。在其他实施方式中，认证设备包括手持移动电子客户设备，例如智能电话或个人数字助理(PDA)。在一些实施方式中，手持移动电子客户设备配备有认证软件应用。在一些实施方式中，已经利用至少一个秘密值对认证设备进行个性化，认证设备可以在如下所述的动态安全值的生成中直接地或间接地使用秘密值。
动态安全值的生成
在一些实施方式中，认证设备适于生成动态安全值。在一些实施方式中，所生成的动态安全值可以包括一次性口令或动态口令，和/或对挑战的响应和/或对交易数据的电子签名。在一些实施方式中，认证设备适于将所生成的动态安全值呈现给用户。在一些实施方式中，通过将至少一个秘密值(例如密码学钥)与至少一个动态变量(例如，时间值、和/或计数器值、和/或挑战、和/或交易相关数据、或这些的任意组合)在密码学上相组合来生成动态安全值。在一些实施方式中，所述在密码学上相组合包括执行密码学算法。在一些实施方式中，所述密码学算法可以包括对称加密或解密算法例如DES、3DES或AES。在一些实施方式中，所述密码学算法可以包括哈希算法或带钥哈希算法例如SHA-1。
在一些实施方式中，认证设备还可以在生成动态安全值时使用应用识别数据元素，例如应用标识符。在一些实施方式中，认证设备将应用标识符与至少一个秘密值和可能的其他数据例如至少一个动态变量在密码学上相组合以生成动态安全值。
PIN处理
在一些实施方式中，认证设备适于接收由用户提供的PIN值或口令值。在一些实施方式中，认证设备适于将由用户提供的PIN值或口令值传递至第二安全设备(例如，智能卡)以进行验证。在一些实施方式中，认证设备适于：一旦已经对PIN值进行验证，则从认证设备的存储器中去除这样的PIN值的任何格式的任何复本。在一些实施方式中，认证设备已经适于在已经对PIN值进行验证之后主动地擦除或重写暂时地存储这样的PIN值的存储位置。在一些实施方式中，认证设备存储与期望由用户提供的PIN或口令的校正值在数学上相关的参考值，并且认证设备适于将由用户提供的PIN值或口令值与所述参考值相比较。在一些实施方式中，认证设备适于使用由用户提供的PIN值或口令值来生成秘密值。在一些实施方式中，认证设备对包括利用根据由用户提供的PIN值或口令值得出的加密钥进行加密的秘密值的值进行存储，并且认证设备适于根据由用户提供的PIN值或口令值来得出加密钥值，并且使用该加密钥值对经加密的秘密值进行解密，然后可以将所解密的经加密秘密值用于例如生成动态安全值。
通信接口
在一些实施方式中，可以对认证设备进行联网。在一些实施方式中，认证设备可以包括用于通过计算机网络来交换数据的数据通信接口。在一些实施方式中，通信接口可以包括例如用于与移动电话网络进行通信的无线通信接口。在一些实施方式中，认证设备可以适于通过计算机网络将认证相关数据发送至服务器和/或接收认证相关数据。在一些实施方式中，认证设备适于通过互联网来传送数据。在一些实施方式中，认证设备包括TCP/IP(传输控制协议/因特网协议)栈。在一些实施方式中，认证设备适于通过SSL(安全套接层)和/或TLS(传输层安全)连接来交换数据。在一些实施方式中，认证设备适于发送和/或接收HTTP(超文本传输协议)和/或HTTPS(超文本传输协议安全)消息。
认证发起消息
在一些实施方式中，认证设备可以适于接收认证发起消息。在本发明的一个实施方式中，认证发起消息可以包括挑战(例如，可以出于认证/验证目的进行处理的随机数或交易数据的哈希值)。在本发明的另一实施方式中，认证发起消息包括交易相关数据，所述交易相关数据包括交易值或交易上下文信息。在一些实施方式中，交易上下文信息可以包括交易数据标签和/或关于交易相关数据的意义的信息。在一些实施方式中，认证发起消息包括应用流相关信息。在一些实施方式中，应用流相关信息可以包括关于交易的类型的信息。在一些实施方式中，应用流相关信息可以相对于下述来引导认证设备：认证设备应当处理所接收到的交易相关数据的方式和/或认证设备应当如何处理用户交互流，例如应当将哪些数据呈现给用户来检查和/或批准以及用户是否应当被询问或给出机会以校正数据和/或手动地提供附加数据和/或应当将哪些消息呈现给用户。
在一些实施方式中，认证设备可以包括用于接收光信息的光学部件。在一些实施方式中，认证发起消息可以被编码为由用户的访问设备发射的光信号(例如，编码为访问设备的显示器上可见的动态图案或静态图案)并且由用户的认证设备来接收并且对其进行解码。在一些实施方式中，认证设备可以包括相机，并且认证发起消息可以被编码为显示在访问设备的显示器上并且由认证设备的相机所捕捉的一个或多个图片或图像。在一些实施方式中，认证发起消息可以被编码为QR码(快速响应码)，认证设备利用其相机来读取所述QR码且对其进行解码以获得实际认证发起消息。在一些实施方式中，可以使用多于一个的QR码来对认证发起消息进行编码。在一些实施方式中，认证发起消息可以包括或采取URL的形式。
服务器凭证
在一些实施方式中，认证发起消息可以包括已经由服务器(其可以为例如应用服务器或认证服务器)在密码学上生成的服务器凭证。在一些实施方式中，服务器已经使用与认证设备或与认证设备进行通信的第二安全设备进行共享的对称密码学钥或秘密钥来生成服务器凭证。在一些实施方式中，认证设备适于对服务器凭证进行验证。在一些实施方式中，认证设备适于与第二安全设备协作地验证服务器凭证。在一些实施方式中，使用对称密码学算法来完成对服务器凭证的验证，该对称密码学算法使用与服务器共享的秘密钥。在一些实施方式中，服务器凭证包括服务器一次性口令。在一些实施方式中，服务器凭证包括数据签名。在一些实施方式中，服务器凭证包括消息认证码(MAC)。在一些实施方式中，服务器凭证包括加密输入数据。在一些实施方式中，服务器凭证的目的在于对服务器或服务器应用进行认证。在一些实施方式中，服务器凭证的目的在于对由认证设备从服务器接收的输入数据(其可以包括在认证发起消息中)进行验证。在一些实施方式中，服务器凭证的目的在于保护由认证设备从服务器接收的输入数据(其可以包括在认证发起消息中)的完整性。在一些实施方式中，服务器凭证的目的在于保护由认证设备从服务器接收的输入数据(其可以包括在认证发起消息中)的机密性。在一些实施方式中，服务器凭证的目的在于将由认证设备从服务器接收的输入数据(其可以包括在认证发起消息中)在密码学上链接在一起。在一些实施方式中，由认证设备生成动态安全值可以以对服务器凭证的成功验证为条件。
认证会话标识符
在一些实施方式中，认证发起消息可以包括用于识别认证会话的数据元素，例如认证会话标识符。在一些实施方式中，这样的认证会话标识符或简称为会话ID可以包括序列号。在一些实施方式中，会话ID可以包括随机生成数。在一些实施方式中，可以由应用服务器生成所述会话ID。在一些实施方式中，可以由认证服务器生成所述会话ID。在一些实施方式中，可以由在动态安全值的生成中接收认证发起消息的认证设备来使用所述会话ID。
应用标识符
在一些实施方式中，认证发起消息可以包括用于识别应用或应用提供者的数据元素，例如应用标识符。在一些实施方式中，应用标识符可以对假设用户的认证设备针对其来生成动态安全码的应用或应用提供者进行识别。在一些实施方式中，认证设备适于在动态安全值的计算中使用与包括在认证发起消息中的应用标识符相关的值。在一些实施方式中，应用标识符包括用户可以识别为用于识别应用或应用提供者的应用或应用提供者的表示，并且认证设备适于将所述表示呈现给用户。在一些实施方式中，应用标识符包括数字数据元素，并且认证设备适于使用所述数字数据元素来检索用户可以识别为用于识别应用或应用提供者的应用提供者的应用的表示，并且认证设备适于将所述表示呈现给用户。在一些实施方式中，所述表示可以包括名称或标识。在一些实施方式中，所述表示可以包括声音(例如，用户可以使用其来识别应用或应用提供者的呈现名称的语音，或者用户可以将其与应用或应用提供者相关联的音乐识别曲调)。在一些实施方式中，认证设备可以通过使视觉数据可视化来在显示器上呈现所述表示。在一些实施方式中，认证设备可以通过发射包括例如语音或音乐的音频声音来将所述表示呈现给用户。
在一些实施方式中，认证设备适于在接收到认证发起消息时生成动态安全值。认证设备还可以适于从认证发起消息中提取应用标识符，并且将对应的应用或应用提供者表示呈现给用户，并且捕捉对是否生成所述应用或应用提供者的动态安全值的用户批准，并且在用户批准生成动态安全值的条件下来生成动态安全值。
目的地地址
在一些实施方式中，认证发起消息可以包括目的地地址。在一些实施方式中，目的地地址可以包括认证设备可以将数据或一个或多个消息发送至其的服务器的网络地址。在一些实施方式中，目的地地址可以为应用服务器的网络地址。在一些实施方式中，目的地地址可以为认证服务器的网络地址。在一些实施方式中，目的地地址可以包括IP地址。在一些实施方式中，目的地地址可以包括域名。在一些实施方式中，目的地地址可以包括URL(统一资源定位符)或URI(统一资源标识符)。在一些实施方式中，目的地地址可以包括认证设备可以将所生成的动态安全值发送至其的服务器的目的地地址。
响应消息
在一些实施方式中，认证设备适于在已经生成动态安全值之后生成响应消息。在一些实施方式中，响应消息可以包括动态安全值。在一些实施方式中，响应消息可以包括用于识别已经针对其生成动态安全值的应用或应用提供者的数据元素。所述用于识别应用或应用提供者的数据元素可以例如包括应用标识符，所述应用标识符包括在由认证设备接收的认证发起消息中。在一些实施方式中，响应消息可以包括用于识别认证设备的数据元素(例如，序列号)。在一些实施方式中，响应消息可以包括用于识别用户的数据元素，例如用户名称或用户ID(用户标识符)。在一些实施方式中，响应消息可以包括用于识别针对其来生成动态安全值的会话的数据元素。所述数据元素例如可以包括会话ID，所述会话ID包括在由认证设备接收的认证发起消息中。
在一些实施方式中，认证设备可以适于通过计算机网络将响应消息发送至服务器。在一些实施方式中，认证设备可以适于通过互联网将响应消息发送至服务器。在一些实施方式中，认证设备适于在IP消息中将响应消息发送至服务器。在一些实施方式中，认证设备可以适于在HTTP消息例如HTTP POST消息中将响应消息发送至服务器。在一些实施方式中，认证设备可以将响应消息发送至应用服务器。在一些实施方式中，认证设备可以将响应消息发送至认证服务器。在一些实施方式中，可以将认证设备需要将响应消息发送至其的服务器的目的地地址存储在认证设备中。在一些实施方式中，认证设备使用应用识别数据元素(例如，包括在由认证设备接收的认证发起消息中的应用标识符)来检索响应消息的目的地地址。在一些实施方式中，认证设备使用包括在由认证设备接收的认证发起消息中的目的地地址来检索响应消息的目的地地址。在一些实施方式中，认证设备在检索目的地地址时采用滤波器。在一些实施方式中，认证设备保持所允许的目的地地址的白名单并且将所检索出的目的地地址与所述白名单相比较，并且如果所检索出的目的地地址与所述白名单不相匹配则拒绝发送响应消息。例如，在一些实施方式中，认证发起消息包括将响应消息发送至其的服务器的域名，并且认证设备将所述域名与所允许的域名列表相比较。
认证服务器
在一些实施方式中，认证设备与认证服务器共享秘密钥。在一些实施方式中，认证服务器可以包括运行一个或多个软件应用的一个或多个服务器计算机。在一些实施方式中，认证服务器包括存储认证设备的秘密钥的值(或等同值)的数据库。在一些实施方式中，认证服务器存储一个或多个秘密。在一些实施方式中，将存储在数据库中的秘密值链接至相应认证设备的识别值(例如，序列号)或者将其链接至与相应认证设备相关联的用户的识别值(例如，用户名称)。在一些实施方式中，认证服务器存储主秘密并且适于使用主秘密和认证设备或与认证设备相关联的用户的识别值来重新生成或得出认证设备的秘密值。在一些实施方式中，认证服务器适于验证由认证设备生成的动态安全值。在一些实施方式中，认证服务器使用与认证设备相关联的秘密值(其可以从如上所述的存储或重新生成来检索)来验证假定已经利用认证设备生成的动态安全值。
在一些实施方式中，认证服务器可以包括用于存储数据的一个或多个数据库。在一些实施方式中，认证服务器可以使用和/或存储用户相关数据。在一些实施方式中，认证服务器可以使用和/或存储与认证设备相关的数据。在一些实施方式中，与用户或认证设备相关的数据包括一个或多个秘密钥。在一些实施方式中，这些秘密钥中的一个或多个可以与用户的认证设备进行共享。
本发明的又一方面包括一种用于确保正在由用户通过访问设备进行访问的基于远程服务器的应用的安全的方法，所述访问设备包括通过计算机网络例如互联网与应用服务器进行通信的计算设备，例如用户的PC或膝上型计算机。所述方法可以包括以下步骤。
–使如上所述的认证设备能够被用户得到。在一些实施方式中，该步骤包括分配包括专用硬件认证令牌的认证设备。在一些实施方式中，该步骤包括使认证软件应用能够被得到以便下载并且安装在手持移动电子客户设备例如智能电话或个人数字助理(PDA)上。在一些实施方式中，该步骤还包括利用个性化数据对认证设备进行个性化。在一些实施方式中，所述个性化数据可以包括秘密值。在一些实施方式中，所述个性化数据可以包括认证设备识别值例如序列号。在一些实施方式中，所述个性化包括在将令牌分配至用户之前将个性化数据加载至硬件强认证令牌中。在一些实施方式中，所述个性化包括认证设备与个性化服务器交换个性化消息。
–向认证服务器注册认证设备和/或用户。
–启用针对一个或多个用户的应用。
–组装认证发起消息以将其传输至所述认证设备。
在一些实施方式中，由认证服务器来组装认证发起消息。在一些实施方式中，由应用服务器来组装认证发起消息。在一些实施方式中，部分地由认证服务器以及部分地由应用服务器来组装认证发起消息。认证发起消息可以包括例如会话标识符、和/或挑战、和/或交易相关数据、和/或交易上下文相关数据、和/或应用标识符。在一些实施方式中，认证发起消息可以包括服务器凭证。为了获得服务器凭证，服务器可以可选地首先生成服务器凭证。在一些实施方式中，该服务器可以为应用服务器。在一些实施方式中，该服务器可以为认证服务器。服务器可以使用秘密钥和密码学算法来生成服务器凭证。密码学算法可以为对称密码学算法。在一些实施方式中，可以利用用户的认证令牌来对用于生成服务器凭证的秘密钥进行共享。
–将认证发起消息传输至用户的认证设备。
在一些实施方式中，该步骤包括将认证发起消息首先发送至用户的访问设备。用户的访问设备可以正在运行计算机应用例如网页浏览器。可以将认证发起消息嵌入基于服务器的应用提供至计算设备的浏览器的一个或多个网页中。然后，认证设备可以从用户的访问设备获得认证发起消息。在一些实施方式中，用户的访问设备的显示器发射对认证发起消息进行编码的光信号，由认证设备接收所述光信号并且对其进行解码。
在一些实施方式中，用户的访问设备显示对认证发起消息进行编码的QR码(其可以为URL形式)，并且用户的认证设备读取该QR码并且对该QR码进行解码。例如，用户的认证设备可以包括具有合适的认证应用的智能电话。用户开启所述认证应用，所述认证应用使用智能电话的相机来读取QR码，并且然后对所述QR码进行解码。
在一些实施方式中，认证设备在多步骤处理中接收认证发起消息。例如，认证设备可以接收第一消息，所述第一消息包含使认证设备能够与服务器联系并且请求实际的认证发起消息的信息(例如URL)。例如，在用户的访问设备上显示的应用服务器的网页可以显示对指向实际认证发起消息的URL进行编码的QR码，所述实际认证发起消息可以例如被定位在认证服务器上。
–从用户获取批准。
在一些实施方式中，认证设备可以适于在生成动态安全值之前和/或在发送包括所生成的动态安全值的响应消息之前寻求用户的批准。在一些实施方式中，该寻求用户的批准包括：认证设备向用户呈现应用或应用提供者的表示。该表示可以如上所述来获得并且呈现。在一些实施方式中，该寻求用户的批准包括：认证设备向用户呈现包括在认证发起消息中的数据。在一些实施方式中，该寻求用户的批准可以包括将交易相关数据呈现给用户。在一些实施方式中，用户可以通过使用OK按钮来指示他或她的批准。在一些实施方式中，用户可以通过输入有效PIN或口令来指示他或她的批准。在一些实施方式中，如果用户尚未指示他或她的批准，则认证设备不生成动态安全码。在一些实施方式中，如果用户尚未指示他或她的批准，则认证设备不将包括动态安全值的响应消息发送至服务器。
–生成动态安全值。
认证设备可以如前述段落中所述来生成动态安全值。在一些实施方式中，认证令牌对认证发起消息进行处理以生成动态安全值。在一些实施方式中，通过将动态变量与秘密钥在密码学上相组合来生成动态安全值。在一些实施方式中，所述在密码学上相组合包括使用对称密码学算法。在一些实施方式中，动态变量包括挑战。在一些实施方式中，动态变量包括交易相关数据。在一些实施方式中，动态变量包括时间相关值。在一些实施方式中，动态变量包括计数器。在一些实施方式中，动态变量包括数据元素，所述数据元素包括在从基于服务器的应用接收的认证发起消息中。在一些实施方式中，使用与基于服务器的应用所共享的钥来生成动态安全值。在一些实施方式中，输入数据包括服务器凭证，且认证设备在生成动态安全值之前验证服务器凭证。在一些实施方式中，认证设备使用具有与应用服务器所共享的秘密钥的对称密码学算法来验证服务器凭证。在一些实施方式中，认证设备在服务器凭证验证成功的条件下生成动态安全值。
在一些实施方式中，认证设备可以使用密码学算法来生成动态安全值，所述密码学算法还用作用于识别应用或应用提供者的输入数据元素。在一些实施方式中，该数据元素可以包括应用标识符，所述应用标识符包括在认证发起消息中。
–将所生成的动态值传送至认证服务器。
在一些实施方式中，认证令牌包括安全用户输出接口，并且使用所述安全用户输出接口将动态安全值输出至用户。在一些实施方式中，用户接收动态安全值并且在与基于服务器的应用相关的网页上输入所述动态安全值。
在一些实施方式中，认证设备对包括动态安全值的响应消息进行组装，并且将其发送至认证服务器。在一些实施方式中，认证设备对包括动态安全值的响应消息进行组装，并且将其发送至应用服务器，并且应用服务器将响应消息或响应消息的某部分转发至认证服务器。在一些实施方式中，响应消息可以包括其他数据元素——例如会话标识符、应用标识符、认证设备标识符、用户识别数据元素——和/或可以已经由用户批准和/或可以已经在动态安全值的生成中使用的其他数据，例如挑战或交易数据或时间或计数器同步数据。
–验证所接收到的动态安全值。在一些实施方式中，认证服务器可以验证所接收到的动态安全值的有效性。认证服务器可以使用密码学算法来验证所接收到的动态安全值。在一些实施方式中，认证服务器将参考动态变量与参考秘密钥在密码学上相组合，以验证所接收到的动态安全值。在一些实施方式中，认证服务器生成参考安全值，并且将所述参考安全值与所接收到的动态安全值相比较。在一些实施方式中，认证服务器通过将参考动态变量与参考秘密钥在密码学上相组合来计算参考安全值。在一些实施方式中，所述在密码学上相组合包括执行对称密码学算法。在一些实施方式中，秘密钥包括认证服务器与认证设备或者与可移除第二安全设备共享的秘密钥，用户的认证设备已经与所述可移除第二安全设备协作以生成动态安全值。
–对应用提供者的验证
在一些实施方式中，认证设备向用户呈现应用标识符。在一些实施方式中，认证服务器验证被请求验证动态安全值的应用服务器是否与被呈现给用户的应用标识符相匹配。在一些实施方式中，认证设备将被呈现给用户的应用标识符包括在响应消息中，并且认证服务器验证其接收的响应消息中的应用标识符是否与被请求验证动态安全值的应用服务器相匹配。
在一些实施方式中，认证设备向用户呈现应用标识符，并且在动态安全值的生成中使用该应用标识符。在一些实施方式中，服务器在动态安全值的验证中使用参考应用提供者标识符，以使得如果在动态安全值的生成中由认证设备使用的应用标识符与由认证服务器使用的参考应用提供者标识符不匹配，则该验证失败。在一些实施方式中，认证服务器从还包含待验证的动态安全值的响应消息中提取参考应用提供者标识符。在一些实施方式中，认证服务器根据应用服务器的身份来推导参考应用提供者标识符值，其中，服务器代表所述应用服务器的身份来验证动态安全值。
–向应用服务器通知验证结果
在一些实施方式中，在验证动态安全值的有效性时，认证服务器可以向应用服务器通知所述验证的结果。该通知可以包括通知所述验证是否成功。在所述验证失败的情况下，该通知可以包括错误码(例如，“密码验证失败”、“未知认证设备”、“未知会话ID”、“用户账号过期”、“应用提供者账号过期”，…)。
–向应用服务器通知用户身份。
在一些实施方式中，认证服务器还可以向应用服务器传递用户的身份的指示。在一些实施方式中，认证服务器可以向应用服务器传递独立于应用或应用提供者的通用用户名称。在一些实施方式中，认证服务器可以向应用服务器传递作为用户以及应用或应用提供者的函数的特定用户名称。在一些实施方式中，认证服务器保持数据库，所述数据库包含针对每对所注册用户和所启用应用的用户id，以在每个认证会话处向应用服务器传递用户id。
–向用户通知验证结果。
在一些实施方式中，接收到响应消息的服务器将包括动态安全值的验证结果的确认消息返回至认证设备。在失败的情况下，该消息可以包含错误码(例如，“密码验证失败”、“未知验证设备”、“未知会话id”、“用户账号过期”、“应用提供者账号过期”，…)。
–根据动态安全值的验证的结果来采取适当的动作。在一些实施方式中，该步骤可以包括：在验证成功情况下用户被允许访问应用服务器的应用，并且在验证不成功的情况下用户被拒绝访问。在一些实施方式中，该步骤可以包括如果验证成功则执行由用户提交的交易请求，并且如果验证不成功则不执行由用户提交的交易请求。
在一些实施方式中，应用服务器可以包括运行一个或多个软件应用的一个或多个服务器计算机。在一些实施方式中，应用服务器可以托管待由一个或多个用户远程访问的一个或多个应用。在一些实施方式中，应用服务器可以包括一个或多个网页服务器。在一些实施方式中，由应用服务器托管的一个或多个应用可以为基于网页的。
在一些实施方式中，用于访问由应用服务器托管的应用的用户的访问设备可以包括计算设备。在一些实施方式中，该计算设备可以包括PC或膝上型计算机。在一些实施方式中，该计算设备可以包括例如在公用互联网访问点中的互联网访问设备。在一些实施方式中，访问设备可以被联网。在一些实施方式中，访问设备可以适于通过计算机网络与应用服务器进行通信。在一些实施方式中，该计算机网络可以包括公用电信网络。在一些实施方式中，该计算机网络可以包括互联网。
附图说明
根据下述如附图中所示对本发明的实施方式的更特别描述，本发明的前述特征和优点以及其他特征和优点将明显。
图1示意性地示出了本发明的示例性实现。
图2示意性地示出了根据本发明的方面的系统的示例。
图3a和图3b示意性地示出了根据本发明的方面的用户认证设备的示例。
图4a和图4b示意性地示出了根据本发明的方面的用于确保远程可访问应用的安全的方法。
具体实施方式
下面讨论了本发明的一些实现。虽然讨论了特定实现，但是应当理解的是，上述仅出于示出目的来完成。相关领域技术人员将认识到的是，在不背离本发明的精神和范围的前提下，可以使用其他部件和配置。
图1示出了本发明的示例性实现。
用户使用访问设备(在附图上指示为“PC网页浏览器”)来访问远程应用(在附图上指示为“MDP”)。访问设备可以例如为PC或膝上型计算机。远程应用可以由应用服务器托管。用户的访问设备可以通过计算机网络例如互联网与应用服务器进行通信。应用可以为基于网页的，并且用户可以使用运行在用户的访问设备上的网页浏览器来访问基于网页的应用。
在某个点处，用户可以明确或隐含地请求访问应用的访问保护部分(在附图上通过标记为“https://mydigipass.com”的箭头来指示)。
应用可以获得认证发起消息。应用可以通过将请求(在附图上通过标记为“请求QR码”的箭头来指示)发送至认证服务器(在附图上指示为“DPS”)来获得认证发起消息。认证服务器可以通过将认证发起消息的内容中的一部分或所有内容返回至应用来响应该请求。例如，认证服务器可以向应用发送包含域名的消息。该消息还可以包括会话ID。该消息还可以包括挑战。应用可以将包含认证发起消息的表示的网页发送至访问设备上的网页浏览器。例如，该网页可以包括QR码。该QR码可以对URL或URI进行编码。该URL/URI可以包括被包括在认证发起消息中的数据，例如域名和/或会话ID和/或挑战该数据。网页可以提示用户利用他或她的认证设备来读取QR码。
用户的认证设备(在附图上通过“移动应用”来指示)可以例如为包括相机且配备有认证应用的智能电话。在其他实施方式中，用户的认证设备可以包括专用硬件令牌。用户可以开启认证设备上的认证小应用或认证应用，并且指示该认证小应用或应用来获得由访问设备呈现的认证发起消息的表示。例如，用户可以使认证设备读取用户的访问设备的显示器上的QR码。在例如通过读取QR码(在附图上通过标记为“扫描QR码”和“QR码(会话)”来指示)获得由访问设备呈现的认证发起消息的表示时，认证小应用对QR进行解码以获得认证发起消息的内容。这些内容可以例如包括域名、和/或会话ID和/或挑战。
在一些实施方式中，认证小应用然后可以在不进行进一步的用户交互的情况下生成动态安全值。在其他实施方式中，认证小应用可以在继续进行之前向用户询问明确批准。认证小应用可以通过将其存储的秘密与一个或多个动态变量在密码学上相组合来生成一次性口令(在附图上指示为“使用会话作为挑战”)。一个或多个动态变量可以包括从认证发起消息中提取的挑战的值、和/或由认证设备上的时钟保持的时间的值、和/或由认证小应用保持的计数器的值(由此，认证小应用可以例如每次在其生成OTP时将计数器加1)。认证小应用可以例如使用密码学哈希算法例如SHA-1来生成一个或多个动态变量和秘密的组合的密码学哈希。认证小应用可以例如使用通过秘密进行参数化了的加密算法对动态变量的组合进行加密。
认证设备可以对响应消息进行组装。该响应消息可以包括所生成的OTP。该响应消息还可以包括从认证发起消息中提取的会话ID。该响应消息还可以包括认证设备的标识符例如由认证小应用存储的唯一的序列号。认证设备可以将该响应消息发送至由从认证发起消息中提取的域名指示的服务器。域名可以例如指示认证服务器。在发送响应消息之前，认证小应用可以对域名是否指示响应消息的所允许目的地进行验证。该认证设备可以例如将域名与所允许域名列表或所允许域名组型相比较。
认证设备可以将响应消息发送至例如认证服务器(通过标记为“认证请求(SN，OTP)”来指示)。响应消息可以例如包括HTTP POST消息。可以将该HTTP POST消息发送至在由QR码编码了的URL中所指示的服务器。
在接收到响应消息时，认证服务器可以对包括在响应消息中的OTP进行验证。为了验证OTP，认证服务器可以使用验证秘密。认证服务器可以通过使用包括在响应消息中的认证设备标识符(例如，序列号)来获得验证秘密。例如，认证服务器可以使用认证设备标识符在数据库中查找验证秘密，或者认证服务器可以根据认证设备标识符和主秘密来获得验证秘密。
在验证OTP之后，认证服务器可以向认证设备通知结果(在附图中通过标记为“ACK”的箭头来指示)。
在验证OTP之后，认证服务器可以向应用服务器通知验证的结果。例如，应用服务器可以正在针对与包括在认证发起消息中的会话ID相关联的OTP的验证的结果来轮询认证服务器。
认证服务器还可以将用户标识符(例如，用户名称)传递至应用服务器。为了获得用户标识符，认证服务器可以使用可以包括在响应消息中的认证设备标识符来搜索数据库。在一些实施方式中，数据库可以包括针对与给定认证设备相关联的相同用户的多于一个用户标识符。例如，认证服务器可以存储针对不同应用服务器的不同用户标识符，并且将相应用户标识符传递至应用服务器。在一些实施方式中，认证服务器可以存储针对相同用户和相同应用的多于一个用户标识符，并且认证服务器可以参与与认证设备的对话以使用户能够选择正确的用户标识符以传递至应用服务器。
用于确保远程应用的安全的系统
图2示意性地示出了根据本发明的方面的系统的示例。
系统(200)包括下述部件：应用服务器(210)、认证服务器(220)、多个访问设备(230)以及多个用户认证设备(240)。在一些实施方式中，可以存在多于一个应用服务器。
应用服务器(210)可以适于托管一个或多个远程可访问应用。应用服务器(210)例如可以托管网页服务器。应用服务器可以包括服务器计算机。应用服务器可以包括数据处理部件例如一个或多个微处理器。应用服务器可以包括用于存储数据和/或软件的存储部件。这些存储部件可以包括易失性存储器和/或非易失性存储器例如RAM和/或硬盘。应用服务器可以包括数据通信接口(例如以太网卡)，以将应用服务器连接至计算机网络(250)(例如互联网)，使得应用服务器可以与例如认证服务器和/或访问设备和/或用户认证设备传送和交换数据和消息。
可以由应用服务器托管的远程可访问应用的示例可以包括：网上银行应用、电子商务网站、网页邮件应用(例如Gmail)、社交网站(例如Facebook)以及其他基于网页、基于互联网或基于云的应用。
认证服务器(220)可以托管认证服务器应用，该认证服务器应用适于验证可以由用户认证设备生成的动态安全值，例如一次性口令或交易签名。在一些实施方式中，认证服务器可以用作可信方，该可信方代表可以代表在不同且不相关的应用提供者的控制下的可能多于一个应用服务器来验证动态安全值。认证服务器可以适于实现在一些实施方式中可能涉及对称和/或非对称密码学算法的密码计算。认证服务器可以包括安全硬件例如HSM(硬件安全模块)，以安全地执行可以涉及秘密钥的某些安全性敏感操作或计算。认证服务器可以包括服务器计算机。认证服务器可以包括数据处理处理部件例如一个或多个微处理器。认证服务器可以包括用于存储数据和/或软件的存储部件。这些存储部件可以包括易失性存储器和/或非易失性存储器例如RAM(随机存取存储器)和/或硬盘。
在一些实施方式中，存储部件可以包括数据库。在一些实施方式中，该存储部件可以用于存储针对多个用户中的每个用户的用户相关数据。在一些实施方式中，这些用户相关数据可以包括例如在一些实施方式中可以为应用特定的一个或多个用户相关秘密钥或用户配置文件数据。在一些实施方式中，这些用户相关数据可以包括例如可以与用户相关联的一个或多个用户认证设备的用户认证设备识别数据(例如序列号)。
在一些实施方式中，存储部件可以用于存储针对多个用户认证设备中的每个用户认证设备的用户认证设备相关数据。在一些实施方式中，这些用户认证设备相关数据可以包括例如在一些实施方式中可以为应用特定和/或用户特定的一个或多个用户认证设备相关秘密钥或用户认证设备配置数据。在一些实施方式中，这些用户认证设备相关数据可以包括例如可以与用户认证设备相关联的一个或多个用户的用户认证数据(例如用户名称或用户ID)。
认证服务器可以包括通信接口(例如以太网卡)，以将认证服务器连接至计算机网络(例如互联网)，使得认证服务器可以与例如应用服务器和/或用户认证设备和/或访问设备进行通信。
在一些实施方式中，单个服务器可以用作应用服务器和认证服务器二者。在其他实施方式中，应用服务器和认证服务器为通过经由计算机网络(例如互联网)来交换消息来远程交互的独立服务器。
访问设备(230)可以为适于连接至应用服务器并且使用户能够通过计算机网络与应用服务器远程交互的电子设备。该访问设备可以包括数据处理部件例如一个或多个微处理器。该访问设备可以包括用于存储数据和/或软件的存储部件。这些存储部件可以包括易失性存储器和/或非易失性存储器例如RAM和/或硬盘和/或固态驱动器(SSD)。访问设备可以包括通信接口(例如以太网卡)，以将访问设备连接至计算机网络(例如互联网)，使得访问设备可以与例如应用服务器和/或认证服务器进行通信。访问设备可以包括具有与用户(290)交互的用户输入接口和用户输入接口的用户接口。访问设备可以例如包括用于将输出呈现给用户的显示器和/或扬声器，并且可以例如包括用于从用户接收输入的键盘和/或触摸屏和/或鼠标。
访问设备可以例如包括计算设备，例如个人计算机(PC)、或膝上型计算机或平板计算机。访问设备可以被提供有计算机程序以使用户能够通过计算机网络例如互联网与远程应用进行交互。该计算机程序可以例如包括网页浏览器(例如Internet Explorer或Mozilla、Firefox)，并且远程应用可以例如包括基于网页的服务器应用。访问设备可以通过交换数据和消息来与由应用服务器托管的应用进行交互。该访问设备可以通过使用通信协议——例如IP(因特网协议)和/或SSL/TLS(安全套接层/传输层安全)——来交换消息例如HTTP(超文本传输协议)消息，以与由应用服务器托管的应用进行交互。
在一些实施方式中，访问设备可以适于从应用服务器接收与认证发起消息相关的数据，该数据使访问设备能够获得或生成认证发起消息的表示。例如，在一些实施方式中，访问设备适于从应用服务器接收认证发起消息的表示。例如，访问设备可以适于接收包含对认证发起消息进行编码的图像(例如，二维条码如QR码)或音频文件的网页。在一些实施方式中，访问设备适于从应用服务器接收一个或多个数据元素(例如，挑战和/或交易数据和/或应用标识符)，该一个或多个数据元素包括在认证发起消息中并且访问设备使用其生成认证发起消息的表示。例如，访问设备可以适于接收包含待包括在认证发起消息中的数据元素的网页，并且访问设备可以执行应用例如浏览器插件或小应用(其还可以包含在所接收到的网页中)以生成认证发起消息的表示(例如二维条码)。在一些实施方式中，访问设备适于从应用服务器接收数据元素，访问设备使用该数据元素从另一服务器中(例如认证服务器)检索出一个或多个数据元素，所述一个或多个数据元素包括在认证发起消息中并且访问设备使用其生成认证发起消息的表示。例如，访问设备可以适于接收包含指向某个服务器(例如认证服务器)上的数据元素的URL(统一资源定位符)或URI(统一资源标识符)的网页，访问设备可以使用该数据元素来生成认证发起消息的表示。该数据元素可以例如包括一个或多个数据元素(例如挑战)，该一个或多个数据元素包括在认证发起消息的内容中，或者该数据元素可以包括整个认证发起消息的表示，或者该数据元素可以包括对认证发起消息的来源进行认证的服务器凭证例如对认证发起消息的内容的签名或MAC(消息认证码)或认证发起消息的加密表示。
访问设备可以适于输出对认证发起消息的表示进行编码的信号。在一些实施方式中，访问设备适于使用其用户输出接口(例如，其音频扬声器或其显示器)来输出对认证发起消息的表示进行编码的信号。例如在一些实施方式中，访问设备可以适于通过其扬声器来播放包含音对认证发起消息的表示进行编码的音频信号的音频文件。在一些实施方式中，访问设备可以适于通过显示对认证发起消息的表示进行编码的时变光学图样来发射光信号。在一些实施方式中，访问设备可以适于显示对认证发起消息的表示进行编码的一个或多个图像(例如二维条码)。
将关于图3a和图3b来更详细地讨论用户认证设备(240)。
在一些实施方式中，访问设备和用户认证设备为物理上独立的设备。在一些实施方式中，用户认证设备可信实体，而访问设备为不可信实体。
系统适于对访问由应用服务器之一所托管的应用的用户进行认证和/或对由用户提交至由应用服务器之一所托管的应用的交易进行认证，并且可以例如利用关于图4所讨论的方法来使用该系统。
图3a和图3b示意性地示出了根据本发明的方面的装置的示例以及该示例的变型。该装置包括关于图2所讨论的系统的用户认证设备(240)的示例。
用户认证设备(240)包括适于响应于例如用于对用户或交易进行认证的认证发起消息来生成包括动态安全值的响应消息。用户认证设备可以包括数据处理部件(310)、用于存储数据和/或软件的存储部件(320)、用于将用户认证设备连接至计算机网络的数据通信接口(330)、用于与用户交互的用户接口(340,350)、用于捕捉正在由访问设备(例如，借助于访问设备的用户输出接口)输出的表示认证发起消息的信号的输入接口(360,370)以及用于提供时间相关值的实时时钟(380)。
数据处理部件(310)可以包括例如一个或多个微处理器。该数据处理部件可以适于执行用于生成动态安全值的算法。该数据处理部件可以适于执行密码操作，该密码操作可以包括执行对称密码学算法或非对称密码学算法。在一些实施方式中，数据处理部件可以包括微处理器和/或控制器和/或ASIC(专用集成电路)。
用户认证设备可以包括用于存储数据和/或软件的存储部件(320)。这些存储部件可以包括易失性存储器和/或非易失性存储器例如RAM和/或ROM(只读存储器)和/或闪存和/或硬盘和/或固态驱动器(SSD)。
用户认证设备可以包括数据通信接口(330)，以将用户认证设备连接至计算机网络(例如互联网)，使得该用户认证设备可以与例如应用服务器和/或认证服务器进行通信。数据通信接口可以包括例如无线数据通信接口(330)，以连接至无线通信网络例如移动电话网络如GSM(全球移动通信系统)网络或UMTS(通用移动通信系统)网络。在一些实施方式中，数据通信接口可以包括移动无线电接口和/或GSM网络接口。在一些实施方式中，数据通信接口可以包括天线。在一些实施方式中，无线数据通信接口可以适于使用公用无线数据通信网络将数据从用户认证设备发送至目的地服务器。在一些实施方式中，无线数据通信接口还可以适于使用公用无线数据通信网络从远程服务器(例如应用服务器或认证服务器)检索数据。
用户认证设备可以包括具有用于与用户交互的用户输入接口(350)和用户输出接口(340)的用户接口。用户认证设备可以包括用于将输出提供至用户的用户输出接口。用户输出接口可以例如包括将输出呈现给用户的显示器(340)和/或扬声器。用户认证设备可以包括用于从用户接收输入的用户输入接口。用户输入接口可以包括例如从用户接收输入的键盘(350)和/或触摸屏和/或麦克风。显示器可以包括图形显示器。显示器可以包括彩色显示器。显示器可以例如包括LCD(液晶显示器)显示器或TFT(薄膜晶体管)显示器或OLED(有机发光二极管)显示器。
用户认证设备可以包括输入接口，以捕捉正在由访问设备(例如，由访问设备的用户输出接口)输出的表示认证发起消息的信号。例如，在一些实施方式中，用户认证设备可以包括麦克风(370)，以捕捉由例如访问设备的扬声器发射并且被编码有认证发起消息的音频信号。在一些实施方式中，用户认证设备可以包括光学传感器，以捕捉由例如访问设备的显示器发射并且被编码有认证发起消息的光信号。在一些实施方式中，用户认证设备可以包括相机(360)，以捕捉在访问设备的显示器上显示并且对认证发起消息进行编码的一个或多个图像。在一些实施方式中，这些图像可以包括二维条码例如QR码。
用户认证设备可以包括计时机构例如实时时钟(380)，以提供用户认证设备可以用作密码学算法的输入以生成动态安全值的时间相关值。
用户认证设备可以适于通过对所捕捉的信号进行解码来获得认证发起消息。例如，用户认证设备可以适于对经调制的音频信号进行解码或者用户认证设备可以适于对一个或多个图像(例如QR码)进行解码，该经调制的音频信号对认证发起消息进行编码，该一个或多个图像对认证发起消息进行编码。
服务器凭证验证
在一些实施方式中，认证发起消息包括服务器凭证，并且用户认证设备可以适于对该凭证进行验证。在一些实施方式中，用户认证设备适于使用利用服务器凭证验证钥进行参数化了的密码学算法来验证服务器凭证，该服务器凭证验证钥可以存储在用户认证设备中，或者可以由用户认证设备通过使用存储在用户认证设备中的钥来获得。
在一些实施方式中，用户认证设备可以使用非对称加密算法来验证服务器凭证。在一些实施方式中，服务器凭证包括对认证发起消息中的至少一些数据元素的数字签名，并且对服务器凭证的验证可以包括对该签名的验证。在一些实施方式中，已经通过与可信服务器例如认证服务器相关联的公私钥对中的私钥来生成服务器凭证的签名，并且用户认证设备使用可以存储在用户认证设备中的相应公钥来验证该签名。
在一些实施方式中，用户认证设备可以使用对称密码学算法来验证服务器凭证。在一些实施方式中，对称密码学算法利用对称秘密服务器凭证钥进行参数化。在一些实施方式中，服务器凭证包括认证发起消息的经加密部分，用户认证设备通过如下方式来验证服务器凭证：对该加密部分进行解密并且验证在该解密部分中存在某些期望的结构性元素，例如解密部分中的针对某些数据元素的某些固定值(例如标签)或某些冗余项例如CRC码的值或者某些数据元素的值之间的某些强制的一致性例如某些数据域的长度(如通过长度域指示的)或者对某些数据域的值的可允许范围的限制。在一些实施方式中，服务器凭证包括对认证发起消息的一部分的MAC(消息认证码)或带钥哈希值，并且用户认证设备可以针对该MAC或带钥哈希值来计算参考值，并且将该参考值与所接收到的服务器凭证相比较。
在一些实施方式中，如果对服务器凭证的验证失败，则用户认证设备可以拒绝认证发起消息。
在一些实施方式中，可以对所解码的认证发起消息进行加密，并且用户认证设备可以适于对经加密的认证发起消息进行解密。
从认证发起消息中提取数据。
用户认证设备可以适于提取包括在认证发起消息中的一些数据元素。在一些实施方式中，包括在认证发起消息中并且由用户认证设备提取的数据元素可以包括以下中的一个或多个：挑战、交易相关数据、应用身份相关数据元素、会话id、随机数、服务器所生成动态安全值。
应用身份的指示和批准
在一些实施方式中，用户认证设备可以适于从认证发起消息中提取应用身份相关数据元素。用户认证设备可以适于使用该应用身份相关数据元素来获得或生成应用身份的表示。该应用身份的表示可以为由用户可解释且可识别的。在一些实施方式中，应用身份相关数据元素为应用身份的表示。例如，应用身份相关数据元素(以及应用身份的表示)可以仅为字母数字的应用名称。在一些实施方式中，应用身份相关数据元素可以包括用户认证设备可以使用以从内部数据库中检索应用身份的表示的索引。在一些实施方式中，用户认证设备可以适于在不使用(永久地)存储在用户认证设备中的任何应用特定数据元素的情况下根据认证发起消息中的应用身份相关数据元素来确定应用身份的表示。在一些实施方式中，用户认证设备可以适于根据认证发起消息中的应用身份相关数据元素以及用户认证设备从外部源中检索出的数据来确定应用身份的表示。在一些实施方式中，用户认证设备可以使用应用身份相关数据元素来从外部源检索应用特定数据并且使用所检索出的数据来获得应用身份的表示。在一些实施方式中，应用身份相关数据元素可以包括参考例如URL或URI，用户认证设备可以使用该参考以从外部源如远程服务器例如认证服务器或应用服务器中检索应用身份的表示。在一些实施方式中，应用身份的表示可以包括应用名称。在一些实施方式中，应用身份的表示可以包括图形化图像例如应用标识。在一些实施方式中，应用身份的表示可以包括特征声音序列。在一些实施方式中，应用身份的表示可以包括呈现应用名称的合成语音。
在一些实施方式中，应用身份的表示可以为由用户可解释或可识别的，并且用户认证设备可以适于作为处理的一部分将应用身份的表示呈现给用户认证设备的用户，以响应于认证发起消息来生成响应消息。例如在一些实施方式中，用户认证设备可以在其显示器上显示应用名称。在一些实施方式中，用户认证设备可以在其显示器上显示表示应用的图像例如应用标识。在一些实施方式中，用户认证设备可以通过其扬声器来输出表示应用的声音序列例如特征声音序列或呈现应用名称的合成语音。
在一些实施方式中，用户认证设备适于获得对用户认证设备呈现给用户的应用身份的表示的用户的隐含或明确的确认。在一些实施方式中，用户通过点击OK按钮来明确地确认应用身份的表示。在一些实施方式中，将对应用身份的表示的确认结合至整体确认中，其中，用户批准例如响应消息的生成并且从而以信号来发送他或她对于目前为止在处理期间用户认证设备呈现给用户的所有数据或消息(其除应用身份的表示之外可以包括必须由用户确认且包括在认证发起消息中的某些数据)的确认或批准以生成响应消息。在一些实施方式中，用户输入PIN或口令被用户认证设备视为隐含批准或确认。
在一些实施方式中，如果用户未确认应用身份的表示，则用户认证设备适于中止响应消息的生成。在一些实施方式中，如果用户未确认，然而用户认证设备可以继续响应消息的生成，但是作为替代，不使响应消息能够被用户或目的地服务器得到。
交易相关数据的批准。
在一些实施方式中，用户认证设备可以适于从认证发起消息中提取交易相关数据。在一些实施方式中，交易相关数据可以包括在认证发起消息的经加密部分中，并且可以将交易相关数据在密码学上链接(例如通过服务器凭证)至认证发起消息中的其他数据，例如服务器所生成动态安全值。这些交易相关数据可以包括针对用户已经提交至远程应用的交易的元素的值。例如，在转账交易的情况下，这些交易相关数据可以包括待转移的货币的量、货币代码和目的地账号。在股票买卖交易的情况下，交易相关数据可以包括例如待买卖的股票的代号、是否买或卖、每股的股价以及待买卖的股份的量。
在一些实施方式中，用户认证设备适于将这些交易相关数据呈现给用户，并且获得用户对用户认证设备呈现给用户的交易相关数据的隐含或明确的确认。在一些实施方式中，用户例如通过点击OK按钮来明确地确认交易相关数据的表示。在一些实施方式中，将对交易相关数据的确认结合至整体确认中，其中，用户批准例如响应消息的生成并且从而以信号来发送他或她对于目前为止在处理期间用户认证设备呈现给用户的所有数据或消息(其除交易相关数据之外可以例如包括必须由用户确认的应用身份的表示)的确认或批准以生成响应消息。在一些实施方式中，用户输入PIN或口令被用户认证设备视为隐含的批准或确认。
在一些实施方式中，如果用户未确认交易相关数据，则用户认证设备适于中止响应消息的生成。在一些实施方式中，如果用户未确认，然而用户认证设备可以继续响应消息的生成，但是作为替代，不使响应消息能够被用户或目的地服务器得到。
用户所提供数据的输入。
在一些实施方式中，用户认证设备可以适于提示用户输入针对某些数据元素的值。在一些实施方式中，用户认证设备可以在动态安全值的生成中和/或在响应消息的生成中使用这些值。
PIN输入和PIN使用。
在一些实施方式中，用户认证设备适于从用户获得PIN值或口令值。在一些实施方式中，用户可以通过使用用户认证设备的键盘或触摸屏来提供PIN值或口令值。在一些实施方式中，用户认证设备适于存储PIN参考值或口令参考值并且通过将由用户提供的PIN值或口令值与所存储的参考值相比较来验证由用户提供的PIN值或口令值。如果由用户提供的PIN值或口令值与所存储的参考值相匹配，则用户认证设备可以认为PIN或口令验证成功。在一些实施方式中，如果PIN或口令验证失败，则用户认证设备适于中止响应消息的生成。在一些实施方式中，如果PIN或口令验证失败，然而用户认证设备可以继续响应消息的生成，但是作为替代，不使响应消息能够被用户或目的地服务器得到。
在一些实施方式中，用户认证设备可以使用所输入的PIN或口令值来获得或生成秘密钥的值。例如，用户认证设备可以将PIN值或口令值与主钥在密码学上相组合来得出另一钥，或者用户认证设备可以将PIN值或口令值用作钥来对经加密的钥值进行解密。
在一些实施方式中，用户认证设备适于将表示所输入的PIN值或口令值的值添加至响应消息。在一些实施方式中，用户认证设备适于对响应消息中的包括表示所输入的PIN值或口令值的值的部分进行加密。
在密码学上生成或获得动态安全值。
用户认证设备可以适于使用利用至少一个秘密钥进行参数化了的密码学算法来生成或获得动态安全值。
在一些实施方式中，用户认证设备使用以生成动态安全值的至少一个秘密钥与存储在用户认证设别的存储部件中的基秘密在数学上相关。在一些实施方式中，基秘密可以包括个性化数据元素。在该应用的上下文中，术语用户认证设备的“个性化数据元素”指代在多个用户认证设备中的每个用户认证设备中具有相同功能、但是在多个用户认证设备中的每个特定的单独设备中具有特定单独值的多个用户认证设备中所出现的数据元素。在其他实施方式中，基秘密可以包括在多个用户认证设备之间共享的主秘密。在一些实施方式中，用户认证设备适于根据存储在用户认证设备中的存储部件中的基秘密来得出至少一个动态安全值生成钥。在一些实施方式中，用户认证设备适于使用PIN或口令或由用户提供的其他秘密值来得出至少一个动态安全值生成钥。在一些实施方式中，至少一个动态安全值生成钥为基秘密。在一些实施方式中，至少一个动态安全值生成钥的值和/或个性化基秘密与特定用户或与特定用户认证设备相关联。在一些实施方式中，动态安全值生成钥可以包括对称钥例如对称加密或解密钥，对称钥的值被与认证服务器共享或者能够被认证服务器得到。在一些实施方式中，动态安全值生成钥可以包括待与非对称密码学算法一起使用的公/私钥对中的私钥。
在一些实施方式中，用户认证设备可以适于通过经由将输入值提交至利用至少一个动态安全值生成钥进行参数化了的密码学算法来将多个输入值与至少一个动态安全值生成钥在密码学上相组合来生成动态安全值。这些输入值可以包括例如：动态变量(例如由用户认证设备提供的时间相关值，和/或由用户认证设备提供的计数器相关值，和/或用户认证设备从认证发起消息中提取的挑战)，和/或用户认证设备从认证发起值中提取并且由用户确认的基于交易的数据，和/或用户认证设备从认证发起值中提取的会话标识符，和/或与用户认证设备从认证发起消息中提取的应用标识符相关或与被呈现给用户的应用标识符的表示相关并且可以由用户确认的数据元素。在一些实施方式中，输入值还可以包括由用户提供至用户认证设备的数据。
在一些实施方式中，用户认证设备可以适于使用个性化数据元素来生成动态安全值。在一些实施方式中，该个性化数据元素可以包括个性化钥。在一些实施方式中，该个性化数据元素可以包括用户认证设备标识符相关数据元素(例如，序列号)。在一些实施方式中，用户认证设备根据主秘密以及在一些实施方式中可以包括用户认证设备标识符相关数据元素(例如，序列号)的个性化数据元素来得出动态安全值生成钥。
在一些实施方式中，由用户认证设备使用以生成或获得动态安全值的密码学算法可以包括对称密码学算法。对称密码学算法的示例可以包括对称加密/解密算法，例如DES(数据加密标准)或AES(高级加密标准)、对称MAC(消息认证码)算法、带钥哈希算法例如HMAC(带钥哈希消息认证码)或SHA-1或MD5(由此，至少一个动态安全值生成钥哈希算法)。例如，在一些实施方式中，用户认证设备可以使用CBC(密码分组链接)模式的对称分组密码例如DES或AES来对输入值的连接进行加密，并且使用所产生的密文中的一部分(优选地为密文的最后一组中的一部分)。
在一些实施方式中，由用户认证设备使用以生成或获取动态安全值的密码学算法可以包括非对称密码学算法。对称密码学算法的示例可以包括例如RSA(Rivest-Shamir-Adleman)或DSA(数字签名算法)。在一些实施方式中，用户认证设备可以例如使用利用公私钥对中的私钥进行参数化了的非对称密码学算法对输入值生成数字签名。
在一些实施方式中，服务器所生成动态安全值可以包括在认证发起值消息的经加密部分中，并且用户认证设备可以适于通过对该经加密部分进行解密并且从所解密部分中提取服务器所生成动态安全值来获得该动态安全值。
可移除安全设备
在一些实施方式中，如图3b中所示，用户认证设备(240)可以包括可移除安全设备(395)和通信接口(390)，以与该可移除安全设备交换数据和/或消息和/或命令和响应。在一些实施方式中，可移除安全设备可以适于安全地存储和/或处理秘密钥和/或可以适于执行某些密码计算。在一些实施方式中，用户认证设备可以依赖于可移除安全设备以安全地存储和/或管理一些秘密(例如密码学钥和/或用户PIN值或口令值)。在一些实施方式中，用户认证设备可以将一些密码计算委派给可移除安全设备。在一些实施方式中，用户认证设备使用由可移除安全设备提供的数据元素来获得动态安全值生成钥的值。在一些实施方式中，用户认证设备将用于得出动态安全值生成钥的值的密码计算中一些的密码计算委派给以可移除安全设备。在一些实施方式中，用户认证设备将用于生成动态安全值的密码计算中的一些的密码计算委派给可移除安全设备。在一些实施方式中，可移除安全设备包括用户认证相关参考数据(例如，针对用户PIN或口令的参考值或者针对用户生物特征的参考模板)，并且用户认证设备使用可移除安全设备来对用户进行认证(例如通过使可移除安全设备来验证用户PIN或口令或用户相关生物特征)。
例如在一些实施方式中，用户认证设备(240)可以包括通信接口(390)，该通信接口包括智能读卡器(391)，并且可移除安全设备可以包括智能卡或SIM(用户身份识别卡)卡。在一些实施方式中，智能卡与用户认证设备之间的通信的一些方面可以通过ISO/IEC7816标准来指定。在一些实施方式中，智能卡可以包括由金融机构发放的卡。在一些实施方式中，智能卡可以包括EMV(Europay-Mastercard-Visa)卡。在一些实施方式中，用户认证设备可以部分地或完全地遵循CAP(芯片认证方案)标准。
生成响应消息。
用户认证设备可以适于生成包括至少所生成或所获得的动态安全值的响应消息。在一些实施方式中，响应消息还可以包括附加数据元素，例如用户认证设备已经从认证发起消息中提取的会话标识符，和/或用户认证设备标识符(例如，用户认证设备的序列号)和/或用户标识符(例如用户ID或用户名称)和/或应用标识符和/或随机数。在一些实施方式中，用户认证设备可以适于对响应消息进行完全地或部分地加密。
使响应消息能够被用户或认证服务器得到。
在一些实施方式中，用户认证设备可以适于使响应消息能够被用户得到，从而用户可以将响应消息转发至认证服务器(例如通过将响应消息复制至访问设备，该访问设备可以将该响应消息直接转发至认证服务器或者转发至应用服务器，该应用服务器可以在其作用时将响应消息转发至认证服务器)。在一些实施方式中，用户认证设备可以例如适于将响应消息显示为用户可以读取并且复制至访问设备的十进制数字串或十六进制数字串或字母数字串或字符串。在一些实施方式中，用户认证设备可以例如适于发射用户可以听到并且复制至访问设备的、表示十进制数字串或十六进制数字串或字母数字串或字符串的合成语音片段序列。
在一些实施方式中，用户认证设备可以适于将响应消息发送至目的地服务器。在一些实施方式中，用户认证设备可以适于通过使用其无线数据通信接口、通过无线通信网络(例如移动电话网)将响应消息发送至目的地服务器。在一些实施方式中，认证设备可以例如适于经由SMS(短消息服务)来发送响应消息，或者认证设备可以适于例如以HTTP Post消息的形式、通过无线IP连接来发送响应消息。
用户认证设备的类型
在一些实施方式中，用户认证设备可以为专用硬件安全设备。在本上下文中的专用硬件安全设备意指其主要功能在于接收并且处理认证发起消息并且生成动态安全值作为响应。此外，在本上下文中的专用硬件安全设备意指该设备包括适于安全地存储秘密例如密码学钥和/或PIN值的存储部件，并且意指其应用固件不能被改变或更新，或者其仅可以使用固件更新协议来进行改变或更新，固件更新协议使用密码机构以向该设备证明固件更新的真实性。
在其他实施方式中，用户认证设备可以包括下述设备：该设备的主要功能不在于接收并且处理认证发起消息并且生成动态安全值作为响应并且该设备可以使用户能够自由地添加或更新软件应用。例如，用户认证设备可以包括智能电话。
确保应用的安全的方法
图4a和图4b示出了用于确保正在由用户使用例如关于图2所讨论的系统来访问的远程可访问应用的安全的方法。
该方法包括以下步骤。
用户与应用的初始交互
在第一步骤中，由应用服务器托管的远程可访问应用通过与正在由用户使用以访问应用并且与应用交互的访问设备交换(410)数据和消息来与用户交互。例如，应用可以从访问设备接收访问请求，或者应用可以从访问设备接收(例如，交易请求消息中)由用户提交的交易数据。在一些实施方式中，应用为基于网页的应用，并且该应用例如通过交换HTTP消息来与访问设备上的网页浏览器进行交互。在某个点处，应用可以要求对用户或由用户提交的数据进行认证。在一些实施方式中，用户可以在认证处理开始之前将其(要求保护的或假设的)身份传送至应用。在其他实施方式中，应用在用户已经被识别之前开始认证处理。例如，在一些实施方式中，用户可以提交包括用户的名称或登录名称或账号的访问请求。在其他实施方式中，用户可以提交不包括用户身份的指示的匿名访问请求。
获得或生成认证发起消息(420)。
在下一步骤中，应用可以收集(421)多个数据元素并且将这些数据元素组装在认证发起消息中。应用可以例如收集挑战和/或待认证的交易数据(并且其可能需要由用户认证设备呈现给用户以进行批准)，和/或会话标识符，和/或应用标识符(其可以由用户使用以识别该应用并且可以由用户认证设备呈现给用户以进行批准)，和/或服务器凭证(其可以由用户认证设备来验证以对认证发起消息的来源和/或内容进行认证)，和/或响应或目的地地址(其可以在发送响应消息时由用户认证设备使用)，和/或随机数(其可以由用户认证设备使用以得出秘密密码学钥例如服务器凭证验证钥或动态安全值生成钥)，和/或用户标识符(例如用户在访问或登录请求主中所提供的用户名称)。这些数据元素中的一些数据元素或所有数据元素可以由应用生成。这些数据元素中的一些数据元素或所有数据元素可以由另一实体生成，并且可以由应用从该实体获得。该实体可以例如为被该应用所信任的认证服务器。可以由另一实体例如可信认证服务器生成并且提供至应用的数据元素的示例可以包括：挑战、和/或会话标识符、和/或服务器凭证、和/或随机数。在一些实施方式中，相同数据元素可以具有多于一个功能。例如，在一些实施方式中，单个数据元素可以兼备挑战、会话标识符和随机数的功能。
在一些实施方式中，收集数据元素和/或使用它们来生成认证发起消息可以完全地通过应用服务器上的应用来完成。在一些实施方式中，收集数据元素和/或使用它们来生成认证发起消息可以部分地通过应用服务器上的应用并且部分地在访问设备上的应用的控制下来完成(例如，通过小应用如java小应用或与该应用相关联的浏览器插件)。在一些实施方式中，收集数据元素和/或使用它们来生成认证发起消息可以完全地在访问设备上的应用的控制下完成(例如，通过小应用如java小应用或与该应用相关联的浏览器插件)。在一些实施方式中，可以由另一实体例如可信认证服务器生成整个认证发起消息并且提供至该应用(例如，通过将所生成的认证发起消息发送至托管应用的应用服务器或者通过将所生成的认证发起消息发送至应用服务器正在与其交互的访问设备)。例如在一些实施方式中，应用服务器可以收集所有数据元素并且生成认证发起消息，并且将该认证发起消息发送至访问设备。在一些实施方式中，应用服务器可以收集所有数据元素并且将它们发送至访问设备，在访问设备处使用这些数据元素生成认证发起消息(例如，通过小应用如java小应用或与该应用相关联的浏览器插件)。在一些实施方式中，应用服务器可以收集一些数据元素并且它们发送至访问设备，并且访问设备可以收集一些其他数据元素，并且在访问设备处使用这些数据元素生成认证发起消息(例如，通过小应用如java小应用或与该应用相关联的浏览器插件)。在一些实施方式中，另一实体例如认证服务器可以收集所有数据元素并且生成认证发起消息，并且将认证发起消息发送至应用服务器(其可以将认证发起消息转发至访问设备)或者将认证发起消息直接发送至访问设备。
生成服务器凭证(422)
在一些实施方式中，认证发起消息包括服务器凭证。在一些实施方式中，可以通过使用通过秘密钥进行参数化了的密码学算法来生成认证发起消息。在一些实施方式中，由认证服务器生成服务器凭证。该服务器凭证可以用于在密码学上绑定和/或认证包括在认证发起消息中的数据元素中的至少一些数据元素。例如在一些实施方式中，服务器凭证可以用于对包括在认证发起消息中的应用标识符和/或交易相关数据进行认证。在一些实施方式中，服务器凭证可以例如用于将例如包括在认证发起消息中的服务器所生成动态安全值在密码学上绑定至也包括在认证发起消息中的应用标识符和/或交易相关数据。在一些实施方式中，服务器凭证包括认证发起消息中的经加密部分。在实施方式中，服务器凭证包括整个经加密的认证发起消息。在一些实施方式中，服务器凭证包括认证发起消息中的经加密部分，该认证发起消息包括至少服务器所生成动态安全值。
在访问设备处发射(430)对认证发起消息的表示进行编码的信号。
如上较详细地描述的，访问设备可以获得认证发起消息或其表示。在已经获得认证发起消息或其表示之后，访问设备发射对认证发起消息进行编码的信号。如上较详细地描述的，访问设备可以来使用其用户输出接口发射该信号。
在用户认证设备处捕捉所发射的信号，并且对其进行解码以获得认证发起消息(435)。
当正在由访问设备发射对认证发起消息进行编码的信号时，如上较详细地描述的，可以由用户认证设备捕捉该信号。然后如上较详细地描述的，可以由用户认证设备从所捕捉的信号中对认证发起消息进行解码。
处理认证发起消息并且生成响应消息(440)。
一旦已经由用户认证设备获得认证发起消息，可以由用户认证设备来处理认证发起消息并且可以生成包括动态安全值的响应消息。
可以对认证发起消息进行处理以获得其内容，并且如果适用(例如，如果认证发起消息包括服务器凭证)，则如上较详细地描述的，对认证发起消息或其内容进行认证。
服务器凭证验证(441)
如果适用(例如，如果认证发起消息包括服务器凭证)，则如上较详细地描述的，可以对该认证发起消息进行处理以对其或其内容进行认证。在一些实施方式中，认证发起消息可以包括服务器凭证，并且如上较详细地描述的，可以由用户认证设备来验证该服务器凭证以例如对认证发起消息或其内容中的一些的来源进行认证。如果服务器凭证验证失败，则用户认证设备可以中止认证处理的其他步骤。在这样的情况下，用户认证设备可以向用户通知失败。
应用身份呈现(442)
在一些实施方式中，认证发起消息包括应用标识符，用户认证设备使用该应用标识符来获得应用身份的表示。可以借助于用户认证设备的用户输出接口向用户呈现应用身份的表示，并且可以由用户认证设备捕捉所呈现的应用身份的表示的用户批准。可以在认证处理的其他步骤中使用该批准。
在一些实施方式中，认证发起消息可以包括应用标识符以及服务器凭证，该服务器凭证对包括在认证发起消息中的至少应用标识符进行认证，由此，服务器凭证已由认证服务器生成，并且由此，认证服务器可能已验证了应用标识符与针对其认证服务器已经生成服务器凭证的应用的身份相匹配，从而用户可以确信认证发起消息确实源于与应用标识符相关联的应用。
交易数据呈现(443)
在一些实施方式中，认证发起消息可以包括一个或多个交易相关数据元素，可以由用户认证设备借助于其用户输出接口向用户呈现所述一个或多个交易相关数据元素以由用户检查和/或批准。可以由用户认证设备来捕捉所呈现的交易相关数据的用户批准。该批准可以在认证处理的其他步骤中使用。
PIN输入(444)
在一些实施方式中，可以由用户认证设备提示用户以提供PIN或口令，并且如上所述，用户认证设备可以捕捉用户提供的PIN或口令并且使用该PIN或口令。在一些实施方式中，将PIN或口令的用户输入用作隐含批准。该用户输入可以例如由用户认证设备视为对于到目前为止在认证处理中已经由用户认证设备呈现给用户的数据元素或消息(例如，表示应用身份或交易相关数据)的批准，或者该用户输入可以被视为对于由用户认证设备继续生成动态安全值和/或生成响应消息和/或将响应消息发送至目的地服务器的用户批准。
获得用户批准(445)
可以由用户认证设备要求一个或多个隐含或明确的用户批准(例如，对继续认证处理的批准，或对应用身份的批准或对交易相关数据的批准)。在一些实施方式中，用户认证设备明确地请求用户提供批准(例如，显示消息例如“你批准下述交易数据吗？”或“你现在想要访问下述应用吗？”)，并且向用户明确地呈现是否批准的选择或注释(例如：“是/否”或“继续/取消”)，并且用户可以通过做出选择并且向用户认证设备明确地指示适当选择来明确地提供批准。在一些实施方式中，用户以隐含的方式来指示批准。例如，通过当呈现待检查的某些数据或消息时仅继续(代替中止)普通用户交互的方式，或者通过例如当已经将某些数据或消息呈现给用户时输入PIN或口令的方式。
在认证处理中使用并且验证用户批准。
认证处理的继续可以取决于这些用户批准中的一个或多个用户批准，并且在如果用户未提供批准中的一个或多个批准或者如果用户未批准的某点处，可以中止认证处理。例如在一些实施方式中，如果用户批准已经失败，则可以中止动态安全值的生成和/或包括动态安全值的响应消息的生成。在一些实施方式中，如果尚未获得所要求的用户批准，则用户认证设备可以不将所生成的响应消息发送至目的地服务器或者可以将不向用户呈现响应消息。
在一些实施方式中，用户批准可以隐含在响应消息中，这是由于用户批准是用户认证设备生成动态安全值和/或响应消息或者用户认证设备将响应消息呈现给用户或将响应消息发送至目的地服务器的必要条件。在这样的实施方式中，验证动态安全值的认证服务器可以通过验证动态安全值来隐含地验证用户批准，这是由于如果用户尚未提供所要求的批准，则认证服务器不会接收到具有有效动态安全值的响应消息。
在一些实施方式中，用户认证设备在动态安全值的密码计算中包括指示用户批准(或缺乏用户批准)的数据元素，并且可以将这些数据元素包括在响应消息中或者可以将这些数据元素不包括在响应消息中。例如，用户认证设备可以使用包括指示用户是否被提示提供某个批准和/或用户是否确实提供了该批准的位标志的数据元素。在一些实施方式中，用户认证设备可以包括指示用户批准的这些数据元素作为密码学算法的输入以生成动态安全值，并且可以将这些数据元素还包括在响应消息的内容中。接收响应消息的验证服务器然后可以相对于用户的批准来验证这些数据元素是否指示符合要求的状态，并且可以在密码学上验证包括在相同响应消息中的动态安全值是否与这些数据元素的值相一致。在其他实施方式中，用户认证设备可以包括指示用户批准的这些数据元素作为密码学算法的输入以生成动态安全值，但是也可以不将这些数据元素还包括在响应消息的内容中。接收响应消息的验证服务器然后可以假定这些数据元素的针对待接受的响应消息所强制的某些值(例如，指示用户所提供的所有所要求批准的值)，并且可以在密码学上验证包括相同响应消息中的动态安全值是否与针对这些数据元素的这些假定值相一致。
生成动态安全值(449)
在用户认证设备已经获得生成动态安全值所要求的所有数据元素之后，如上所述可以生成动态安全值。
由用户认证设备生成动态安全值可以以某些验证和/或事件为条件。例如，其可以以包括在认证发起消息中的服务器凭证的成功验证为条件，或者其可以以用户提供某些所要求的批准为条件，或者其可以以由用户输入的PIN或口令的成功验证为条件。
生成响应消息(450)
如上所述，可以由用户认证设备生成包括动态安全值的响应消息。响应消息还可以包括其他数据元素，例如与应用身份相关的数据元素，和/或会话标识符，和/或用户标识符(其可以存储在用户认证设备中，或可以已经从认证发起消息中提取，或者可以已经由用户提供至用户认证设备)，和/或用户认证设备标识符(其可以存储在用户认证设备中，例如序列号)，和/或指示用户批准的标志。
由用户认证设备生成响应消息可以以某些验证和/或事件为条件。例如，其可以以包括在认证处理消息中的服务器凭证的成功验证为条件，或者其可以以用户提供某些所要求的批准为条件，或者其可以以由用户输入的PIN或口令的成功验证为条件。
使响应消息能够被验证服务器得到(460)
然后可以将所生成的响应消息传送至验证服务器例如认证服务器。
将响应消息呈现给用户(461)。
在一些实施方式中，由用户认证设备借助于用户输出接口将响应消息呈现给用户，之后，用户可以将响应消息复制至访问设备，访问设备又可以将响应消息直接发送至验证服务器例如认证服务器，或者可以将响应消息发送至应用服务器，应用服务器可以将该响应消息转发至验证服务器。
由用户认证设备将响应消息呈现给用户可以以某些验证和/或事件为条件。例如，其可以以包括在认证发起消息中的服务器凭证的成功验证为条件，或者其可以以用户提供某些所要求的批准为条件，或者其可以以由用户输入的PIN或口令的成功验证为条件。
将响应消息发送至目的地服务器(465)。
在一些实施方式中，由用户认证设备使用数据通信接口将响应消息发送至目的地服务器(其可以例如为应用服务器或认证服务器)。在一些实施方式中，该数据通信接口包括无线数据通信接口。在一些实施方式中，该无线数据通信接口包括用于通过公用移动通信网络例如GSM或UMTS网络发送数据消息的接口。
在一些实施方式中，将目的地服务器的目的地地址存储在用户认证设备中。在一些实施方式中，用户认证设备可以使用从认证发起消息中提取的目的地地址相关数据元素来确定目的地地址。在一些实施方式中，用户认证设备验证所确定的目的地地址是否为允许的。用户认证设备可以例如将所确定的目的地地址与禁止地址的黑名单或所允许地址的白名单相比较，或者用户认证设备可以验证所确定的目的地地址是否满足多个规则。
由用户认证设备将响应消息发送至由所确定的目的地地址指示的目的地服务器可以以某些验证和/或事件为条件。例如，其可以以包括在认证发起消息中的服务器凭证的成功验证为条件，或者其可以以用户提供某些所要求的批准为条件，或者其可以以由用户输入的PIN或口令的成功验证为条件。
响应消息的验证(470)
在已经在验证服务器处接收到响应消息之后，可以对响应消息进行验证。响应消息的验证可以包括各种步骤，并且验证的一部分可以由应用服务器来完成，并且验证的另一部分可以由认证服务器来完成。
在一些实施方式中，响应消息的验证的一部分包括响应消息中的某些数据元素的值是否具有可接受的值。在一些实施方式中，响应消息的验证的一部分可以包括验证这些值的一些值在某个范围内。在一些实施方式中，其可以包括验证这些值的一些值具有有限数目的可允许值之一。例如，在一些实施方式中，响应消息可以包括指示用户是否已经批准某些数据元素的标志，并且验证的一部分可以包括验证指示用户确实已经提供某些批准的这些标志。在一些实施方式中，响应消息可以包括与已经被呈现给用户的应用标识符的表示相关的数据元素，并且响应消息的验证可以包括验证该数据元素中的值与假定用户已经检查的应用标识符的表示相对应。例如，在一些实施方式中，认证发起消息可以包括待由用户认证设备检索并且呈现给用户的、指向应用标识的URL。在这些实施方式中的一些实施方式中，认证发起消息和/或检索标识的过程未在密码学上确保安全，以使得其不可以排除将错误标识呈现给用户。为了检测是否将错误标识呈现给用户，在这样的实施方式中的用户认证设备可以将例如有效呈现给用户的标识的哈希值包括在响应消息中(以及可能还在动态安全值的计算中)。响应消息的验证然后可以包括该哈希值与假设被呈现给用户的标识相对应。在一些实施方式中，用户认证设备可以捕捉来自用户的一些输入，并且将其包括在响应消息中(以及可能还在动态安全值的计算中)。例如，在一些实施方式中，用户认证设备可以提供用户输入应用或认证服务器可能已知的PIN或口令，并且将表示PIN或口令的数据元素包括在响应消息中(可能在响应消息的经加密部分中)。响应消息的验证的一部分然后可以包括由适当服务器来验证该PIN或口令相关的数据元素的值。
响应消息的验证还可以包括动态安全值的验证(475)。
在一些实施方式中，认证发起消息可以包括服务器所生成动态安全值，并且响应消息中的动态安全值的验证可以包括将在响应消息中所接收到的动态安全值与服务器所生成动态安全值相比较。
在一些实施方式中，动态安全值的验证可以包括验证动态安全值的密码有效性。
在一些实施方式中，这包括确定针对假定已经由用户认证设备在动态安全值的计算中使用的数据元素的参考值。在一些实施方式中，这些数据元素中的一些的参考值的源可以为响应消息(例如，用户批准标志和/或应用身份相关数据)。在一些实施方式中，这些数据元素中的一些数据元素的参考值的源可以为应用服务器(例如，包括在认证发起消息中的挑战以及不包括在响应消息中但是用作计算动态安全值时的输入的挑战，或者例如交易相关数据)。在一些实施方式中，这些数据元素中的一些数据元素的参考值的源可以为认证服务器(例如，由认证服务器原始地提供的挑战的值)。在一些实施方式中，某些数据元素的参考值的确定可以基于假定。例如在一些实施方式，用户认证设备可以在动态安全值的计算中使用计数器相关值，并且认证服务器可以保持该计数器相关值的复本，并且使用同步算法来确定可以假定用户认证设备使用的值，或者用户认证设备在动态安全值的计算中使用时间相关值，并且认证服务器可以基于响应消息的接收时间来估算该时间相关值的值。
在一些实施方式中，动态安全值的密码有效性包括密码验证钥的检索。在一些实施方式中，该验证钥与用户认证设备相关联，并且可以使用包括在响应消息中的用户认证设备标识符对其进行检索。在一些实施方式中，该验证钥与用户相关联，并且可以使用包括在响应消息中的用户标识符对其进行检索。在一些实施方式中，检索验证钥可以包括使用用户标识符或用户认证设备标识符相关的数据元素作为搜索索引来在数据中进行查找。在一些实施方式中，检索验证钥可以包括使用用户标识符或用户认证设备标识符相关数据元素作为得出或得到种子来从主钥进行钥得出或得到。
在一些实施方式中，用在动态安全值的密码验证中的验证钥包括已经由用户认证设备在动态安全值的计算中使用的秘密对称钥。在一些实施方式中，用在动态安全值的密码验证中的验证钥包括其私钥已经由用户认证设备在动态安全值的计算中使用的公私钥对中的公钥。在一些实施方式中，所接收到的动态安全值的密码验证包括使用以上所提及的密码验证钥并且将该密码操作的结果与所接收到的动态安全值相比较来对以上所提及的参考值执行密码学算法。例如在一些实施方式中，所接收到的动态安全值的密码验证可以包括在以上所提及的参考值上计算带钥哈希值或MAC(其中，利用已经如上所述进行检索的秘密对称验证钥对带钥哈希算法或MAC算法进行参数化)。在一些实施方式中，所接收到的动态安全值的密码验证包括适应以上所提及的密码验证钥并且将该密码操作的结果与以上所提及的参考值相比较来对所接收到的动态安全值执行密码学算法。例如在一些实施方式中，所接收到的动态安全值的密码验证包括使用与由用户认证设备使用以生成动态安全值的私钥相对应的公钥、利用非对称解密算法对动态安全值进行解密，并且随后将所解密的值与以上所提及的参考值的哈希值相比较。
将验证结果传送至应用服务器(480)
在一些实施方式中，由可信认证服务器来完成响应消息的验证中的至少一部分，并且由可信认证服务器所完成的验证的结果被传送至应用服务器。在一些实施方式中，除验证结果之外的其他数据元素也被传送至应用服务器。例如在一些实施方式中，认证服务器可以将包括在响应消息中的数据元素传送至应用服务器，例如会话标识符或用户标识符或与被呈现给用户的应用身份的表示相关的数据元素或者已经由用户认证设备呈现给用户的其他数据元素(例如，交易相关数据)或已经由用户提供至用户认证设备的其他数据元素。接收会话标识符可以使应用服务器能够确定所传送的结果适用于哪个应用会话。接收用户标识符可以使应用服务器能够确定在用户无需将身份手动地提供至应用的情况下确定用户的身份，从而提高整体用户便利性。接收已经由用户认证设备呈现给用户的数据使应用服务器能够验证被呈现给用户的校正数据。
在一些实施方式中，可以确保应用服务器与认证服务器之间的通信的安全。例如在一些实施方式中，从认证服务器至应用服务器的消息可以被在密码学上认证以向应用服务器证实它们源于合法认证服务器。在一些实施方式中，从应用服务器至认证服务器的消息可以被在密码学上认证以证实它们源于合法应用服务器。在一些实施方式中，可以对一些消息进行加密以保证消息内容的机密性。在一些实施方式中，可以对一些消息进行在密码学上保护(例如，利用密码校验或签名)以保证消息内容的完整性。
在一些实施方式中，认证服务器可以确定应用服务器，并且将验证结果与可能的另外的数据一起发送至应用服务器。在一些实施方式中，另外的数据可以包括使应用服务器能够将由认证服务器提供的验证结果链接至应用会话的数据(例如会话标识符或用户标识符)。
在其他实施方式中，应用服务器可以针对验证结果来轮询认证服务器。应用服务器可以将认证服务器可以用于将轮询请求相匹配值其已经接收的响应消息中的正确的一个的数据包括在应用服务器发送至认证服务器的轮询请求消息中。这些数据可以例如包括例如可以相匹配响应消息中的相应数据元素的会话标识符或用户标识符的数据。在一些实施方式中，应用服务器还向认证服务器提供可以用于验证动态安全值所要求的数据，例如已经用在动态安全值的计算中的交易相关数据的值。
将另外的用户相关数据传送至应用服务器(499)。
在一些实施方式中，可信认证服务器可以存储并且管理并非用于验证响应消息所需并且可以为该应用的值的用户相关数据。这样的数据可以例如包括给定应用的用户的用户名称、个人信息(例如用户的真实名称、物理地址和/或电话号码)、金融信息(流入信用卡号)，和/或用户配置信息。在一些实施方式中，认证服务器可以将上述消息中的一些与验证结果的传送一起传递至应用。上述可以取决于动态安全值的成功验证。在一些实施方式中，上述可以受制于政策规则和用户配置文件信息。例如在一些实施方式中，认证服务器包括多个用户相关数据的情况下用户可以具有配置文件，并且用户可以能够对该配置文件进行配置以指示可以在何种条件下将何种数据传送至何种应用。在一些实施方式中，认证发起消息可以包括待由用户认证设备呈现给用户的请求，以批准认证服务器将某些数据传递至应用服务器(例如用户的电话号码或地址或信用卡号)。用户认证设备可以在动态安全值的计算中将该请求呈现给用户，并且可以将用户的响应包括在响应消息中。在响应消息的肯定验证时，认证服务器可以断定用户已经批准将所请求数据发放至应用，并且将所请求数据传送至应用服务器。
在一些实施方式中，应用可以将用于由用户提供某些数据的请求(例如应用特定口令)或用于向应用发放由认证服务器存储的数据的请求包括在认证发起消息中，由此，认证服务器可以在响应消息的成功验证时将所请求的数据(即，所输入或所发送的信息)传送至应用服务器。在这些实施方式中的一些实施方式中，由认证服务器将所请求的数据传送至应用服务器可以取决于认证服务器对用户认证设备向用户所呈现的、用户所批准的应用身份的成功验证，并且已经被呈现给用户并且由已经由用户批准的应用身份的表示确实与请求数据的应用的身份相匹配。在这些实施方式中的一些实施方式中，通过也包括在认证发起消息中的服务器凭证对认证发起消息中的应用标识符进行认证，以使得用户可以确信针对数据的请求确实来自所意指的应用。
在应用服务器处根据验证结果进行反应(490)。
取决于响应消息的验证的结果，应用可以采取适当动作。例如在成功验证的情况下，应用可以允许用户的访问或者可以执行所提交的交易(491)，并且在不成功验证的情况下，应用可以拒绝允许用户的访问或者拒绝执行所提交的交易(492)。
将应用标识符在密码学上链接至动态安全值。
在一些实施方式中，认证发起消息包括由认证用户设备使用以获得它呈现给用户的应用身份的表示的应用标识符。在一些实施方式中，该应用标识符或应用身份的对应表示可以在密码学上链接至用户认证设备可以生成的动态安全值。
在一些实施方式中，将应用标识符或应用身份的对应表示直接地链接至所生成的动态安全值。例如在一些实施方式中，应用标识符或应用的对应表示(或与应用标识符或应用的对应表示在数学上相关的数据元素)为针对由用户认证设备使用以生成动态安全值的输入数据元素之一。
在一些实施方式中，将应用标识符或应用身份的对应表示间接地连接至所生成的动态安全值。例如在一些实施方式中，包括在认证发起消息中的应用标识符在密码学上链接至认证发起消息中的其他数据元素(例如借助于服务器凭证)，所述其他数据元素可以由用户认证设备用作由用户认证设备使用以生成的动态安全值的输入数据元素。在一些实施方式中，可以由用户认证设别对应用标识符与包括在认证发起消息中的其他数据元素之间的加密链接进行验证。例如在一些实施方式中，通过服务器凭证(例如，对认证发起消息中的数据的服务器签名或带钥哈希值或MAC)将应用标识符在密码学上链接至认证发起消息中的其他数据元素(例如，挑战或会话标识符)，用户认证设备(在服务器凭证的成功验证之后)将用作用于生成动态安全值的密码学算法的输入。
在一些实施方式中，认证发起消息可以包括在密码学上链接(例如通过服务器凭证)的应用标识符和服务器所生成动态安全值，由此，用户认证设备可以将该服务器所生成动态安全值包括在响应消息中，由此该包括可以以由用户认证设备对认证发起消息中的应用标识符与服务器所生成动态安全值之间的加密链接的成功验证为条件。
实施方式
根据本发明的方法的一些实施方式
本发明的方法的实施方式的第一类包括一种用于确保由通过访问设备远程访问应用的用户与所述应用的交互的安全的方法，所述访问设备连接至托管所述应用的应用服务器，所述方法包括以下步骤：
在用户认证设备处，捕捉由所述访问设备发射的信号，所述信号被编码有认证发起消息，所述认证发起消息包括至少应用标识符，所述应用标识符与所述应用的身份相对应；
在所述用户认证设备处，对所述信号进行解码并且获得所述认证发起消息；
在所述用户认证设备处，从所述认证发起消息中检索出所述应用标识符；
在所述用户认证设备处，使用所述应用标识符来获得人类可解释的应用身份表示，并且使用所述用户认证设备的用户输出接口将所获得的应用身份表示呈现给所述用户；
在所述用户认证设备处，使用所述用户认证设备的用户输入接口从所述用户获得对于生成响应消息并且使所述响应消息能够被验证服务器得到的批准；
在所述用户认证设备处，使用利用密码学动态安全值生成钥进行参数化了的第一密码学算法并且使用与特定用户或特定用户认证设备相关联的至少一个个性化数据元素来生成动态安全值，其中，所生成的动态安全值在密码学上链接至被呈现给所述用户的所述应用身份；
在所述用户认证设备处，生成包括至少所生成的动态安全值的响应消息；
使所生成的响应消息能够被验证服务器得到；
在所述验证服务器处，接收所述响应消息；
验证所述响应消息，包括验证所述动态安全值的有效性；
将所述响应消息的所述验证的结果传送至所述应用。
本发明的方法的实施方式的第二类包括所述第一类的方法，其中，所述响应消息还包括指示所述用户的身份或所述用户认证设备的身份的数据元素，并且其中，指示所述用户身份或所述用户认证设备身份的所述数据元素被用来确定用户身份，并且其中，所述用户身份也被传送至所述应用。
本发明的方法的实施方式的第三类包括所述第一类和所述第二类的方法中的任何方法，其中，所述用户身份也根据所述应用身份来确定。
本发明的方法的实施方式的第四类包括所述第一类至所述第三类的方法中的任何方法，其中，被用来获得所述应用身份表示的所有应用相关数据由所述用户认证设备从在所述用户认证设备外部的源或者从所述认证发起消息获得。
本发明的方法的实施方式的第五类包括所述第一类至所述第四类的方法中的任何方法，还包括以下步骤：生成待包括在所述认证发起消息中的服务器凭证，所述生成使用了利用密码学服务器凭证生成钥进行参数化了的第二密码学算法；在所述用户认证设备处，从所述认证发起消息中检索出所包括的服务器凭证；以及在所述用户认证设备处，使用利用密码学服务器凭证验证钥进行参数化了的第三密码学算法来验证所述服务器凭证。
本发明的方法的实施方式的第六类包括所述第五类的方法中的任何方法，其中，包括在所述认证发起消息中的所述应用标识符在密码学上链接至所述服务器凭证。
本发明的方法的实施方式的第七类包括所述第一类至所述第六类的方法中的任何方法，其中，所述生成响应消息的步骤还包括：在所述用户认证设备处，将指示被呈现给所述用户的所述应用身份表示的数据元素包括在由所述用户认证设备生成的所述响应消息中。
本发明的方法的实施方式的第八类包括所述第七类的方法中的任何方法，还包括：在所述验证服务器处，验证指示被呈现给所述用户的所述应用身份表示的所述数据元素是否与由包括在所述认证发起消息中的所述应用标识符指示的所述应用身份相一致。
本发明的方法的实施方式的第九类包括所述第一类至所述第八类的方法中的任何方法，还包括以下步骤：在所述用户认证设备处，从所述认证发起消息中检索出包括在所述认证发起消息中的交易相关数据；在所述用户认证设备处，使用所述用户认证设备的用户输出接口来呈现所检索出的交易相关数据；其中，所生成的动态安全值在密码学上链接至所述交易相关数据
本发明的方法的实施方式的第十类包括所述第九类的方法中的任何方法，还包括以下步骤：生成待包括在所述认证发起消息中的服务器凭证，所述生成使用了利用密码学服务器凭证生成钥进行参数化了的第二密码学算法；在所述用户认证设备处，从所述认证发起消息中检索出所包括的服务器凭证；在所述用户认证设备处，使用利用密码学服务器凭证验证钥进行参数化了的第三密码学算法来验证所述服务器凭证；其中，所述服务器凭证在密码学上链接至所述交易相关数据。
本发明的方法的实施方式的第十一类包括所述第九类的方法中的任何方法，还包括以下步骤：在所述用户认证设备处，将指示被呈现给所述用户的所述交易相关数据的数据元素包括在由所述用户认证设备生成的所述响应消息中；以及在所述验证服务器处，验证指示被呈现给所述用户的所述交易相关数据的所述数据元素是否与包括在所述认证发起消息中的所述交易相关数据相一致。
本发明的方法的实施方式的第十二类包括所述第一类至所述第十一类的方法中的任何方法，其中，所述动态安全值生成钥包括秘密个性化钥；并且其中，所述用户认证设备通过将所述动态安全值生成钥与至少动态输入值在密码学上相组合来计算所述动态安全值；并且其中，所述动态输入值包括以下中的至少一个：由所述用户认证设备中的时间机构提供的时间相关值；由所述用户认证设备存储并且保持的计数器相关值；或者包括在所述认证发起消息中的挑战。
本发明的方式的实施方式的第十三类包括所述第十二类的方法中的任何方法，其中，所述用户认证设备通过将所述动态安全值生成钥也与指示被呈现给所述用户的所述应用身份表示的数据元素在密码学上相组合来计算所述动态安全值。
本发明的方法的实施方式的第十四类包括所述第十二类的方法中的任何方法，其中，所述用户认证设备从所述认证发起消息中检索出包括在所述认证发起消息中的交易相关数据、并且将这些交易相关数据呈现给所述用户；并且其中，所述用户认证设备通过将所述动态安全值生成钥也与指示被呈现给所述用户的所述交易相关数据的数据元素在密码学上相组合来计算所述动态安全值。
根据本发明的装置
本发明的设备的实施方式的第一类包括一种用于生成认证凭证的装置，所述装置包括处理部件、存储部件、用户接口部件以及数据输入接口，所述处理部件适于处理数据，所述存储部件用于存储数据，所述用户接口部件包括用于将输出呈现给用户的第一用户输出接口和用于从所述用户接收输入的用户输入接口，所述数据输入接口适于捕捉由访问设备的第二用户输出接口发射的信号，所述用户使用所述访问设备来通过计算机网络远程地访问应用，所述信号被编码有认证发起消息，所述认证发起消息包括至少应用标识符，所述应用标识符与所述应用的身份相对应；由此，所述装置适于：对所述信号进行解码并且获得所述认证发起消息；从所述认证发起消息中检索出所述应用标识符；使用所述应用标识符来获得人类可解释的应用身份表示，并且使用所述第一用户输出接口将所获得的应用身份表示呈现给所述用户；使用所述用户输入接口从所述用户获得对于生成响应消息并且使所述响应消息能够被验证服务器得到的批准；使用利用密码学动态安全值生成钥进行参数化了的第一密码学算法并且使用与所述用户或所述装置相关联的至少一个个性化数据元素来生成动态安全值，其中，所生成的动态安全值在密码学上链接至被呈现给所述用户的所述应用身份；以及生成包括至少所生成的动态安全值的响应消息。
本发明的设备的实施方式的第二类包括所述第一类装置的装置中的任何装置，还适于使用所述第一用户输出接口将所生成的响应消息呈现给所述用户。
本发明的设备的实施方式的第三类包括所述第一类装置的装置中的任何装置，还包括适于将所述响应消息传送至验证服务器的数据通信接口。
本发明的系统的实施方式包括一种用于确保由通过访问设备远程访问应用的用户与所述应用的交互的安全的系统，所述访问设备连接至托管所述应用的应用服务器，所述系统包括：多个如上所述的用户认证设备；以及验证服务器，所述验证服务器适于接收由所述多个用户认证设备中的任何用户认证设备生成的响应消息，并且适于验证所接收到的响应消息，包括验证包括在所述响应消息中的所述动态安全值的有效性，并且适于将所述响应消息的所述验证的结果传送至所述应用。
有利效果
上述本发明的优点包括如下：
真实的多应用支持。
信任模型
本发明适于具有下述信任模型的多应用环境。用户信任可信认证服务器，以对于多个应用来正确地处理它们的认证凭证并且依赖于由可信认证设备提供和/或控制的用户认证设备，并且在一定程度上正确地管理它们已经提供至可信认证服务器的某些数据。应用相对于认证凭证的验证(即，包括在响应消息中的动态安全值)来信任可信认证服务器。应用不需要彼此信任。更特别地，它们不需要与彼此共享任何秘密。用户仅在特定应用的范围和上下文内信任该特定应用，即，用户不信任在任何其他应用的范围和上下文中代表用户可靠地起作用的任何应用，因而用户不希望向应用提供它们可以用于代表用户来访问其他应用的凭证。
在本申请的一些实施方式中，动态安全值在密码学上链接至被呈现给用户、由用户检查并且由用户批准的应用标识符。该加密链接将所生成的响应消息的有效性有效地限制于特定应用，并且确保针对一个应用所生成的凭证不能针对另一应用循环利用。
支持附加应用的灵活性
由于用户认证设备不要求针对不同应用的不同密码学钥或不同配置数据(更特别地，用户认证设备不需要存储任何应用特定数据例如应用身份的表示)，所以可以容易地支持附加应用。支持附加应用所需的唯一条件在于：该附加应用与可信认证服务器构建信任关系。
高安全性
已经利用单独的密码学钥对用户认证设备进行个性化，以使得它们能够生成特定于任何特定用户认证设备并且因而(凭借与特定用户认证设备与其相关联用户之间的已知关联)特定于该认证设备的合法用户的动态安全值。因而由特定用户认证设备生成的任何凭证在密码学上链接至该特定用户认证设备(及其相关联用户)。
动态安全值的计算中的动态变量的使用(例如挑战或计数器相关值或时间相关值)确保所生成的动态安全值的不可预测性并且防范重放攻击。
应用身份的人类可解释且可识别表示的表示及其与动态安全值的加密链接防范由恶意应用得出有效凭证(例如，实时钓鱼攻击)以使用它们来访问其他应用。
可信用户认证设备上的交易数据的表示以及将所批准的交易数据包括在动态安全值的计算中防范MITM(中间人)攻击，由此，恶意方截取并且篡改正在由合法用户提交至应用的交易数据。
高用户便利性
用户不需要记住任何应用特定安全数据例如应用特定口令。本发明甚至使得能够由认证服务器针对应用进行自动用户识别，以使得用户无需再记住任何应用特定用户名称或用户id，但也无需再输入任何应用特定用户名称或用户id。本发明还用于将通常需要被提供至广泛范围的应用的其他数据(联系信息、地址或信用卡号)自动传送至应用，从而避免单调的手动数据输入。
由于本发明可以利用任何普通标准设备进行工作并且不需要任何特定的硬件或软件存在于访问设备上(即，与应用进行交互的标准网页浏览器和发射认证发起消息的普通用户输出接口是足够的)，所以本发明确保了非常高度的移动性和用户自主性。
成本效益
由于相同的用户认证设备可以用于潜在的无限数目的应用，所以本发明的解决方案非常有成本效益。而且，由于该解决方案对访问设备提出非常少的需求(除该访问设备应当具有用于发射对认证发起信息进行编码的信号的普通用户输出接口之外)，所以不存在通常与在访问设备上安装特定硬件和/或软件相关联的单调且昂贵的支持问题(例如，智能读卡器及其相关联驱动器)。
用户认证设备的一些实施方式仅依赖于对称密码术，并且不使用非对称密码术。这些实施方式具有下述优点：它们可以利用较短密文进行工作并且需要与依赖于非对称密码术的实施方式相比较少的处理能力。
已经描述了多个实现。然而，应理解，可以做出各种修改。例如，可以对一个或多个实现中的元件进行组合、删除、修改或增补以形成其他实现。因此，其他实现也在所附权利要求的范围内。另外，虽然可以相对于若干实现中的仅一个实现来公开本发明的特定特征，但是可以根据需要以及针对任何给定或特定应用的优点来将这样的特征与其他实现中的一个或多个其他特征组合。虽然以上已经描述了本发明的各种实施方式，但是应当理解的是，可以通过非限制性示例来示出本发明的各种实施方式。特别地，当然，出于描述所要求保护的主题的目的，不可能描述部件或方法的每个可想到的组合，但是本领域普通技术人员可以认识到，本发明的许多其他组合和排列也是可以的。因此，本发明的广度和范围不应当通过上述示例性实施方式中的任何实施方式来限制，而应当仅根据所附权利要求及其等同方案来限定。

Claims (18)

1.一种用于确保由通过访问设备远程访问应用的用户与所述应用的交互的安全的方法，所述访问设备连接至托管所述应用的应用服务器，所述方法包括以下步骤：
在用户认证设备处，捕捉由所述访问设备发射的信号，所述信号被编码有认证发起消息，所述认证发起消息包括至少应用标识符，所述应用标识符与所述应用的身份相对应；
在所述用户认证设备处，对所述信号进行解码并且获得所述认证发起消息；
在所述用户认证设备处，从所述认证发起消息中检索出所述应用标识符；
在所述用户认证设备处，使用所述应用标识符来获得人类可解释的应用身份表示，并且使用所述用户认证设备的用户输出接口将所获得的应用身份表示呈现给所述用户；
在所述用户认证设备处，使用所述用户认证设备的用户输入接口从所述用户获得对于生成响应消息并且使所述响应消息能够被验证服务器得到的批准；
在所述用户认证设备处，使用利用密码学动态安全值生成钥进行参数化了的第一密码学算法并且使用与特定用户或特定用户认证设备相关联的至少一个个性化数据元素来生成动态安全值，其中，所生成的动态安全值在密码学上链接至被呈现给所述用户的所述应用身份；
在所述用户认证设备处，生成包括至少所生成的动态安全值的响应消息；
使所生成的响应消息能够被验证服务器得到；
在所述验证服务器处，接收所述响应消息；
验证所述响应消息，包括验证所述动态安全值的有效性；
将所述响应消息的所述验证的结果传送至所述应用。
2.根据权利要求1所述的方法，其中，所述响应消息还包括指示所述用户的身份或所述用户认证设备的身份的数据元素，并且其中，指示所述用户身份或所述用户认证设备身份的所述数据元素被用来确定用户身份，并且其中，所述用户身份也被传送至所述应用。
3.根据权利要求2所述的方法，其中，所述用户身份也根据所述应用身份来确定。
4.根据权利要求1所述的方法，其中，被用来获得所述应用身份表示的所有应用相关数据由所述用户认证设备从在所述用户认证设备外部的源或者从所述认证发起消息获得。
5.根据权利要求1所述的方法，还包括以下步骤：
生成待包括在所述认证发起消息中的服务器凭证，所述生成使用了利用密码学服务器凭证生成钥进行参数化了的第二密码学算法；
在所述用户认证设备处，从所述认证发起消息中检索出所包括的服务器凭证；
在所述用户认证设备处，使用利用密码学服务器凭证验证钥进行参数化了的第三密码学算法来验证所述服务器凭证。
6.根据权利要求5所述的方法，其中，包括在所述认证发起消息中的所述应用标识符在密码学上链接至所述服务器凭证。
7.根据权利要求1所述的方法，其中，所述生成响应消息的步骤还包括：
在所述用户认证设备处，将指示被呈现给所述用户的所述应用身份表示的数据元素包括在由所述用户认证设备生成的所述响应消息中。
8.根据权利要求7所述的方法，还包括：
在所述验证服务器处，验证指示被呈现给所述用户的所述应用身份表示的所述数据元素是否与由包括在所述认证发起消息中的所述应用标识符指示的所述应用身份相一致。
9.根据权利要求1所述的方法，还包括以下步骤：
在所述用户认证设备处，从所述认证发起消息中检索出包括在所述认证发起消息中的交易相关数据；
在所述用户认证设备处，使用所述用户认证设备的用户输出接口来呈现所检索出的交易相关数据；并且
其中，所生成的动态安全值在密码学上链接至所述交易相关数据。
10.根据权利要求9所述的方法，还包括以下步骤：
生成待包括在所述认证发起消息中的服务器凭证，所述生成使用了利用密码学服务器凭证生成钥进行参数化了的第二密码学算法；
在所述用户认证设备处，从所述认证发起消息中检索出所包括的服务器凭证；
在所述用户认证设备处，使用利用密码学服务器凭证验证钥进行参数化了的第三密码学算法来验证所述服务器凭证；
其中，所述服务器凭证在密码学上链接至所述交易相关数据。
11.根据权利要求9所述的方法，还包括以下步骤：
在所述用户认证设备处，将指示被呈现给所述用户的所述交易相关数据的数据元素包括在由所述用户认证设备生成的所述响应消息中；以及
在所述验证服务器处，验证指示被呈现给所述用户的所述交易相关数据的所述数据元素是否与包括在所述认证发起消息中的所述交易相关数据相一致。
12.根据权利要求1所述的方法，其中，
所述动态安全值生成钥包括秘密个性化钥；并且其中，
所述用户认证设备通过将所述动态安全值生成钥与至少动态输入值在密码学上相组合来计算所述动态安全值；并且其中，
所述动态输入值包括以下中的至少一个：由所述用户认证设备中的时间机构提供的时间相关值；由所述用户认证设备存储并且保持的计数器相关值；或者包括在所述认证发起消息中的挑战。
13.根据权利要求12所述的方法，其中，所述用户认证设备通过将所述动态安全值生成钥也与指示被呈现给所述用户的所述应用身份表示的数据元素在密码学上相组合来计算所述动态安全值。
14.根据权利要求12所述的方法，其中，
所述用户认证设备从所述认证发起消息中检索出包括在所述认证发起消息中的交易相关数据、并且将这些交易相关数据呈现给所述用户；并且其中，
所述用户认证设备通过将所述动态安全值生成钥也与指示被呈现给所述用户的所述交易相关数据的数据元素在密码学上相组合来计算所述动态安全值。
15.一种用于生成认证凭证的装置，包括：
处理部件，所述处理部件适于处理数据；
存储部件，所述存储部件用于存储数据；
用户接口部件，所述用户接口部件包括用于将输出呈现给用户的第一用户输出接口和用于从所述用户接收输入的用户输入接口；以及
数据输入接口，所述数据输入接口适于捕捉由访问设备的第二用户输出接口发射的信号，所述用户使用所述访问设备来通过计算机网络远程地访问应用，所述信号被编码有认证发起消息，所述认证发起消息包括至少应用标识符，所述应用标识符与所述应用的身份相对应；由此，所述装置适于：
对所述信号进行解码并且获得所述认证发起消息；
从所述认证发起消息中检索出所述应用标识符；
使用所述应用标识符来获得人类可解释的应用身份表示，并且使用所述第一用户输出接口将所获得的应用身份表示呈现给所述用户；
使用所述用户输入接口从所述用户获得对于生成响应消息并且使所述响应消息能够被验证服务器得到的批准；
使用利用密码学动态安全值生成钥进行参数化了的第一密码学算法并且使用与所述用户或所述装置相关联的至少一个个性化数据元素来生成动态安全值，其中，所生成的动态安全值在密码学上链接至被呈现给所述用户的所述应用身份；以及
生成包括至少所生成的动态安全值的响应消息。
16.根据权利要求15所述的装置，还适于使用所述第一用户输出接口将所生成的响应消息呈现给所述用户。
17.根据权利要求15所述的装置，还包括适于将所述响应消息传送至验证服务器的数据通信接口。
18.一种用于确保由通过访问设备远程访问应用的用户与所述应用的交互的安全的系统，所述访问设备连接至托管所述应用的应用服务器，所述系统包括：
多个如权利要求15所述的用户认证设备；以及
验证服务器，所述验证服务器适于接收由所述多个用户认证设备中的任何用户认证设备生成的响应消息，并且适于验证所接收到的响应消息，包括验证包括在所述响应消息中的所述动态安全值的有效性，并且适于将所述响应消息的所述验证的结果传送至所述应用。
CN201380049938.6A 2012-08-03 2013-08-02 使用了移动认证应用的用户方便的认证方法和装置 Active CN104662864B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US201261679284P 2012-08-03 2012-08-03
US61/679,284 2012-08-03
PCT/US2013/053433 WO2014022778A1 (en) 2012-08-03 2013-08-02 User-convenient authentication method and apparatus using a mobile authentication application

Publications (2)

Publication Number Publication Date
CN104662864A CN104662864A (zh) 2015-05-27
CN104662864B true CN104662864B (zh) 2018-03-09

Family

ID=48985857

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201380049938.6A Active CN104662864B (zh) 2012-08-03 2013-08-02 使用了移动认证应用的用户方便的认证方法和装置

Country Status (9)

Country Link
US (1) US9710634B2 (zh)
EP (1) EP2885904B1 (zh)
CN (1) CN104662864B (zh)
DK (1) DK2885904T3 (zh)
ES (1) ES2680152T3 (zh)
IN (1) IN2015KN00466A (zh)
PL (1) PL2885904T3 (zh)
TR (1) TR201810238T4 (zh)
WO (1) WO2014022778A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11847199B2 (en) 2016-08-23 2023-12-19 Visa International Service Association Remote usage of locally stored biometric authentication data

Families Citing this family (321)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20140019352A1 (en) 2011-02-22 2014-01-16 Visa International Service Association Multi-purpose virtual card transaction apparatuses, methods and systems
US8762263B2 (en) 2005-09-06 2014-06-24 Visa U.S.A. Inc. System and method for secured account numbers in proximity devices
US7739169B2 (en) 2007-06-25 2010-06-15 Visa U.S.A. Inc. Restricting access to compromised account information
US8121942B2 (en) 2007-06-25 2012-02-21 Visa U.S.A. Inc. Systems and methods for secure and transparent cardless transactions
US7937324B2 (en) 2007-09-13 2011-05-03 Visa U.S.A. Inc. Account permanence
US9456054B2 (en) 2008-05-16 2016-09-27 Palo Alto Research Center Incorporated Controlling the spread of interests and content in a content centric network
US8219489B2 (en) 2008-07-29 2012-07-10 Visa U.S.A. Inc. Transaction processing using a global unique identifier
BRPI0921124A2 (pt) 2008-11-06 2016-09-13 Visa Int Service Ass sistema para autenticar um consumidor, método implementado por computador, meio legível por computador, e, computador servidor.
US9715681B2 (en) 2009-04-28 2017-07-25 Visa International Service Association Verification of portable consumer devices
US8534564B2 (en) 2009-05-15 2013-09-17 Ayman Hammad Integration of verification tokens with mobile communication devices
US9105027B2 (en) 2009-05-15 2015-08-11 Visa International Service Association Verification of portable consumer device for secure services
US9038886B2 (en) 2009-05-15 2015-05-26 Visa International Service Association Verification of portable consumer devices
US7891560B2 (en) * 2009-05-15 2011-02-22 Visa International Service Assocation Verification of portable consumer devices
US8893967B2 (en) 2009-05-15 2014-11-25 Visa International Service Association Secure Communication of payment information to merchants using a verification token
US10846683B2 (en) 2009-05-15 2020-11-24 Visa International Service Association Integration of verification tokens with mobile communication devices
US8602293B2 (en) 2009-05-15 2013-12-10 Visa International Service Association Integration of verification tokens with portable computing devices
US10140598B2 (en) 2009-05-20 2018-11-27 Visa International Service Association Device including encrypted data for expiration date and verification value creation
US8923293B2 (en) 2009-10-21 2014-12-30 Palo Alto Research Center Incorporated Adaptive multi-interface use for content networking
US10255591B2 (en) 2009-12-18 2019-04-09 Visa International Service Association Payment channel returning limited use proxy dynamic value
BR112012017000A2 (pt) 2010-01-12 2016-04-05 Visa Int Service Ass método
US10255601B2 (en) 2010-02-25 2019-04-09 Visa International Service Association Multifactor authentication using a directory server
US9245267B2 (en) 2010-03-03 2016-01-26 Visa International Service Association Portable account number for consumer payment account
US9342832B2 (en) 2010-08-12 2016-05-17 Visa International Service Association Securing external systems with account token substitution
CN103765453B (zh) 2011-02-16 2018-08-14 维萨国际服务协会 快拍移动支付装置，方法和系统
US10586227B2 (en) 2011-02-16 2020-03-10 Visa International Service Association Snap mobile payment apparatuses, methods and systems
BR112013021057A2 (pt) 2011-02-22 2020-11-10 Visa International Service Association aparelhos, métodos e sistemas de pagamento eletrônico universal
AU2012225684B2 (en) 2011-03-04 2016-11-10 Visa International Service Association Integration of payment capability into secure elements of computers
WO2012142045A2 (en) 2011-04-11 2012-10-18 Visa International Service Association Multiple tokenization for authentication
US9582598B2 (en) 2011-07-05 2017-02-28 Visa International Service Association Hybrid applications utilizing distributed models and views apparatuses, methods and systems
US9355393B2 (en) 2011-08-18 2016-05-31 Visa International Service Association Multi-directional wallet connector apparatuses, methods and systems
AU2012278963B2 (en) 2011-07-05 2017-02-23 Visa International Service Association Electronic wallet checkout platform apparatuses, methods and systems
WO2013019567A2 (en) 2011-07-29 2013-02-07 Visa International Service Association Passing payment tokens through an hop/sop
US10242358B2 (en) 2011-08-18 2019-03-26 Visa International Service Association Remote decoupled application persistent state apparatuses, methods and systems
US10825001B2 (en) 2011-08-18 2020-11-03 Visa International Service Association Multi-directional wallet connector apparatuses, methods and systems
US9710807B2 (en) 2011-08-18 2017-07-18 Visa International Service Association Third-party value added wallet features and interfaces apparatuses, methods and systems
US9165294B2 (en) 2011-08-24 2015-10-20 Visa International Service Association Method for using barcodes and mobile devices to conduct payment transactions
US10223730B2 (en) 2011-09-23 2019-03-05 Visa International Service Association E-wallet store injection search apparatuses, methods and systems
EP3770839A1 (en) 2012-01-05 2021-01-27 Visa International Service Association Data protection with translation
US10223710B2 (en) 2013-01-04 2019-03-05 Visa International Service Association Wearable intelligent vision device apparatuses, methods and systems
WO2013113004A1 (en) 2012-01-26 2013-08-01 Visa International Service Association System and method of providing tokenization as a service
AU2013214801B2 (en) 2012-02-02 2018-06-21 Visa International Service Association Multi-source, multi-dimensional, cross-entity, multimedia database platform apparatuses, methods and systems
US10282724B2 (en) 2012-03-06 2019-05-07 Visa International Service Association Security system incorporating mobile device
WO2013166501A1 (en) 2012-05-04 2013-11-07 Visa International Service Association System and method for local data conversion
US9524501B2 (en) 2012-06-06 2016-12-20 Visa International Service Association Method and system for correlating diverse transaction data
WO2014008403A1 (en) 2012-07-03 2014-01-09 Visa International Service Association Data protection hub
US9846861B2 (en) 2012-07-25 2017-12-19 Visa International Service Association Upstream and downstream data conversion
US9256871B2 (en) 2012-07-26 2016-02-09 Visa U.S.A. Inc. Configurable payment tokens
US9665722B2 (en) 2012-08-10 2017-05-30 Visa International Service Association Privacy firewall
WO2014043278A1 (en) 2012-09-11 2014-03-20 Visa International Service Association Cloud-based virtual wallet nfc apparatuses, methods and systems
WO2014066559A1 (en) 2012-10-23 2014-05-01 Visa International Service Association Transaction initiation determination system utilizing transaction data elements
US9911118B2 (en) * 2012-11-21 2018-03-06 Visa International Service Association Device pairing via trusted intermediary
WO2014087381A1 (en) 2012-12-07 2014-06-12 Visa International Service Association A token generating component
EP2929671B1 (en) * 2012-12-07 2017-02-22 Microsec Szamitastechnikai Fejlesztö Zrt. Method and system for authenticating a user using a mobile device and by means of certificates
CN103049320B (zh) 2012-12-17 2016-05-04 广州市动景计算机科技有限公司 在浏览器中启动外部应用程序的方法和装置
US9741051B2 (en) 2013-01-02 2017-08-22 Visa International Service Association Tokenization and third-party interaction
US10740731B2 (en) 2013-01-02 2020-08-11 Visa International Service Association Third party settlement
US9130929B2 (en) * 2013-03-15 2015-09-08 Aol Inc. Systems and methods for using imaging to authenticate online users
US11055710B2 (en) 2013-05-02 2021-07-06 Visa International Service Association Systems and methods for verifying and processing transactions using virtual currency
SG10201709411RA (en) 2013-05-15 2018-01-30 Visa Int Service Ass Mobile tokenization hub
US10878422B2 (en) 2013-06-17 2020-12-29 Visa International Service Association System and method using merchant token
CN112116344A (zh) 2013-07-15 2020-12-22 维萨国际服务协会 安全的远程支付交易处理
CN115567273A (zh) 2013-07-24 2023-01-03 维萨国际服务协会 用于可互操作的网络令牌处理的系统和方法
WO2015011655A1 (en) 2013-07-26 2015-01-29 Visa International Service Association Provisioning payment credentials to a consumer
US11605070B2 (en) 2013-07-29 2023-03-14 The Toronto-Dominion Bank Cloud-based electronic payment processing
WO2015021420A1 (en) 2013-08-08 2015-02-12 Visa International Service Association Methods and systems for provisioning mobile devices with payment credentials
US10496986B2 (en) 2013-08-08 2019-12-03 Visa International Service Association Multi-network tokenization processing
KR102428897B1 (ko) 2013-08-15 2022-08-04 비자 인터네셔널 서비스 어소시에이션 보안 요소를 이용한 보안 원격 지불 거래 처리
US9350550B2 (en) 2013-09-10 2016-05-24 M2M And Iot Technologies, Llc Power management and security for wireless modules in “machine-to-machine” communications
US9100175B2 (en) 2013-11-19 2015-08-04 M2M And Iot Technologies, Llc Embedded universal integrated circuit card supporting two-factor authentication
CA2924683A1 (en) 2013-09-20 2015-03-26 Visa International Service Association Secure remote payment transaction processing including consumer authentication
US10498530B2 (en) 2013-09-27 2019-12-03 Network-1 Technologies, Inc. Secure PKI communications for “machine-to-machine” modules, including key derivation by modules and authenticating public keys
CN106464492B (zh) 2013-10-11 2020-02-07 维萨国际服务协会 网络令牌系统
US9978094B2 (en) 2013-10-11 2018-05-22 Visa International Service Association Tokenization revocation list
US10515358B2 (en) 2013-10-18 2019-12-24 Visa International Service Association Contextual transaction token methods and systems
US10489779B2 (en) 2013-10-21 2019-11-26 Visa International Service Association Multi-network token bin routing with defined verification parameters
US10491587B2 (en) * 2013-10-28 2019-11-26 Singou Technology Ltd. Method and device for information system access authentication
US10366387B2 (en) 2013-10-29 2019-07-30 Visa International Service Association Digital wallet system and method
US10700856B2 (en) 2013-11-19 2020-06-30 Network-1 Technologies, Inc. Key derivation for a module using an embedded universal integrated circuit card
AU2014353151B2 (en) 2013-11-19 2018-03-08 Visa International Service Association Automated account provisioning
IN2013MU03727A (zh) * 2013-11-27 2015-07-31 Tata Consultancy Services Ltd
US10325282B2 (en) * 2013-11-27 2019-06-18 At&T Intellectual Property I, L.P. Dynamic machine-readable codes
KR101444305B1 (ko) * 2013-12-13 2014-09-26 (주)세이퍼존 다중 otp를 사용한 보안키, 보안 서비스 장치 및 보안 시스템
US10841297B2 (en) 2013-12-16 2020-11-17 Amazon Technologies, Inc. Providing multi-factor authentication credentials via device notifications
US9473491B1 (en) 2014-12-16 2016-10-18 Amazon Technologies, Inc. Computing device with integrated authentication token
US10866711B1 (en) 2013-12-16 2020-12-15 Amazon Technologies, Inc. Providing account information to applications
US10362026B2 (en) 2013-12-16 2019-07-23 Amazon Technologies, Inc. Providing multi-factor authentication credentials via device notifications
US9922322B2 (en) 2013-12-19 2018-03-20 Visa International Service Association Cloud-based transactions with magnetic secure transmission
CN105830107A (zh) 2013-12-19 2016-08-03 维萨国际服务协会 基于云的交易方法和系统
FR3015824A1 (fr) * 2013-12-23 2015-06-26 Orange Obtention de donnees de connexion a un equipement via un reseau
ES2812541T3 (es) * 2013-12-30 2021-03-17 Onespan Int Gmbh Aparato de autenticación con interfaz Bluetooth
US10433128B2 (en) 2014-01-07 2019-10-01 Visa International Service Association Methods and systems for provisioning multiple devices
US9846878B2 (en) 2014-01-14 2017-12-19 Visa International Service Association Payment account identifier system
US10098051B2 (en) 2014-01-22 2018-10-09 Cisco Technology, Inc. Gateways and routing in software-defined manets
US9531679B2 (en) * 2014-02-06 2016-12-27 Palo Alto Research Center Incorporated Content-based transport security for distributed producers
US9954678B2 (en) 2014-02-06 2018-04-24 Cisco Technology, Inc. Content-based transport security
US9836540B2 (en) 2014-03-04 2017-12-05 Cisco Technology, Inc. System and method for direct storage access in a content-centric network
US9626413B2 (en) 2014-03-10 2017-04-18 Cisco Systems, Inc. System and method for ranking content popularity in a content-centric network
JP6331528B2 (ja) * 2014-03-17 2018-05-30 株式会社リコー 認証システムおよび認証方法
US9716622B2 (en) 2014-04-01 2017-07-25 Cisco Technology, Inc. System and method for dynamic name configuration in content-centric networks
US9473576B2 (en) 2014-04-07 2016-10-18 Palo Alto Research Center Incorporated Service discovery using collection synchronization with exact names
US10026087B2 (en) 2014-04-08 2018-07-17 Visa International Service Association Data passed in an interaction
AU2015243174A1 (en) * 2014-04-11 2016-11-03 Diro, Inc. Dynamic contextual device networks
US9860241B2 (en) 2014-04-15 2018-01-02 Level 3 Communications, Llc Device registration, authentication, and authorization system and method
US9942043B2 (en) 2014-04-23 2018-04-10 Visa International Service Association Token security on a communication device
CA2946150A1 (en) 2014-05-01 2015-11-05 Visa International Service Association Data verification using access device
US9992281B2 (en) 2014-05-01 2018-06-05 Cisco Technology, Inc. Accountable content stores for information centric networks
US9848052B2 (en) 2014-05-05 2017-12-19 Visa International Service Association System and method for token domain control
GB2558789B (en) 2014-05-09 2019-01-09 Smartglyph Ltd Method of authentication
AU2015264124B2 (en) 2014-05-21 2019-05-09 Visa International Service Association Offline authentication
US9609014B2 (en) 2014-05-22 2017-03-28 Cisco Systems, Inc. Method and apparatus for preventing insertion of malicious content at a named data network router
CN104378344B (zh) 2014-05-26 2016-03-09 腾讯科技（深圳）有限公司 登录信息传输方法、扫码方法及装置、后台服务器
CA3030129C (en) * 2014-06-02 2021-11-23 Schlage Lock Company Llc Electronic credential management system
US11023890B2 (en) 2014-06-05 2021-06-01 Visa International Service Association Identification and verification for provisioning mobile application
CN104065652B (zh) * 2014-06-09 2015-10-14 北京石盾科技有限公司 一种身份验证方法、装置、系统及相关设备
US9699198B2 (en) 2014-07-07 2017-07-04 Cisco Technology, Inc. System and method for parallel secure content bootstrapping in content-centric networks
US9621354B2 (en) 2014-07-17 2017-04-11 Cisco Systems, Inc. Reconstructable content objects
US9590887B2 (en) 2014-07-18 2017-03-07 Cisco Systems, Inc. Method and system for keeping interest alive in a content centric network
US9729616B2 (en) 2014-07-18 2017-08-08 Cisco Technology, Inc. Reputation-based strategy for forwarding and responding to interests over a content centric network
US9780953B2 (en) 2014-07-23 2017-10-03 Visa International Service Association Systems and methods for secure detokenization
US10484345B2 (en) 2014-07-31 2019-11-19 Visa International Service Association System and method for identity verification across mobile applications
US9430630B2 (en) * 2014-07-31 2016-08-30 Textpower, Inc. Credential-free identification and authentication
US9882964B2 (en) 2014-08-08 2018-01-30 Cisco Technology, Inc. Explicit strategy feedback in name-based forwarding
US9729662B2 (en) 2014-08-11 2017-08-08 Cisco Technology, Inc. Probabilistic lazy-forwarding technique without validation in a content centric network
US9800637B2 (en) 2014-08-19 2017-10-24 Cisco Technology, Inc. System and method for all-in-one content stream in content-centric networks
US9775029B2 (en) 2014-08-22 2017-09-26 Visa International Service Association Embedding cloud-based functionalities in a communication device
CN104158816A (zh) * 2014-08-25 2014-11-19 中国科学院声学研究所 认证方法、装置和服务器
CN105488869A (zh) * 2014-09-16 2016-04-13 深圳富泰宏精密工业有限公司 密码锁开锁系统及方法
US10140615B2 (en) 2014-09-22 2018-11-27 Visa International Service Association Secure mobile device credential provisioning using risk decision non-overrides
US9805182B1 (en) * 2014-09-26 2017-10-31 EMC IP Holding Company LLC Authentication using a client device and a mobile device
RU2019124722A (ru) 2014-09-26 2019-10-01 Виза Интернэшнл Сервис Ассосиэйшн Система и способы предоставления зашифрованных данных удаленного сервера
US11257074B2 (en) 2014-09-29 2022-02-22 Visa International Service Association Transaction risk based token
EP3210364B8 (en) 2014-10-21 2021-03-10 Proofpoint, Inc. Systems and methods for application security analysis
US10015147B2 (en) 2014-10-22 2018-07-03 Visa International Service Association Token enrollment system and method
US10069933B2 (en) 2014-10-23 2018-09-04 Cisco Technology, Inc. System and method for creating virtual interfaces based on network characteristics
GB201419016D0 (en) 2014-10-24 2014-12-10 Visa Europe Ltd Transaction Messaging
EP3761194B1 (en) 2014-10-31 2023-05-10 Proofpoint, Inc. Systems and methods for privately performing application security analysis
ES2953529T3 (es) * 2014-10-31 2023-11-14 Onespan Int Gmbh Testigo de autenticación fuerte multiusuario
US10325261B2 (en) 2014-11-25 2019-06-18 Visa International Service Association Systems communications with non-sensitive identifiers
WO2016086154A1 (en) 2014-11-26 2016-06-02 Visa International Service Association Tokenization request via access device
GB2533095A (en) * 2014-12-08 2016-06-15 Cryptomathic Ltd System and method
CN113114743B (zh) 2014-12-08 2023-06-02 创新先进技术有限公司 一种显示访问内容的方法及服务器
US11580519B2 (en) 2014-12-12 2023-02-14 Visa International Service Association Provisioning platform for machine-to-machine devices
US10257185B2 (en) 2014-12-12 2019-04-09 Visa International Service Association Automated access data provisioning
US9590948B2 (en) 2014-12-15 2017-03-07 Cisco Systems, Inc. CCN routing using hardware-assisted hash tables
US10237189B2 (en) 2014-12-16 2019-03-19 Cisco Technology, Inc. System and method for distance-based interest forwarding
US10003520B2 (en) 2014-12-22 2018-06-19 Cisco Technology, Inc. System and method for efficient name-based content routing using link-state information in information-centric networks
US9660825B2 (en) 2014-12-24 2017-05-23 Cisco Technology, Inc. System and method for multi-source multicasting in content-centric networks
CN104579681B (zh) * 2014-12-29 2018-04-20 华中师范大学 互信应用系统间身份认证系统
CN104539430B (zh) * 2014-12-30 2018-11-30 飞天诚信科技股份有限公司 一种基于卡片的动态口令生成方法及设备
US11615199B1 (en) * 2014-12-31 2023-03-28 Idemia Identity & Security USA LLC User authentication for digital identifications
US10187363B2 (en) 2014-12-31 2019-01-22 Visa International Service Association Hybrid integration of software development kit with secure execution environment
US9916457B2 (en) 2015-01-12 2018-03-13 Cisco Technology, Inc. Decoupled name security binding for CCN objects
US9832291B2 (en) 2015-01-12 2017-11-28 Cisco Technology, Inc. Auto-configurable transport stack
US9946743B2 (en) 2015-01-12 2018-04-17 Cisco Technology, Inc. Order encoded manifests in a content centric network
US9954795B2 (en) 2015-01-12 2018-04-24 Cisco Technology, Inc. Resource allocation using CCN manifests
US10096009B2 (en) 2015-01-20 2018-10-09 Visa International Service Association Secure payment processing using authorization request
JP6403583B2 (ja) * 2015-01-21 2018-10-10 キヤノン株式会社 アップデートされたアプリケーションを配信する配信管理サーバーおよび配信管理方法
US9853977B1 (en) 2015-01-26 2017-12-26 Winklevoss Ip, Llc System, method, and program product for processing secure transactions within a cloud computing system
US11250391B2 (en) 2015-01-30 2022-02-15 Visa International Service Association Token check offline
US11176554B2 (en) 2015-02-03 2021-11-16 Visa International Service Association Validation identity tokens for transactions
US10333840B2 (en) 2015-02-06 2019-06-25 Cisco Technology, Inc. System and method for on-demand content exchange with adaptive naming in information-centric networks
US10977657B2 (en) 2015-02-09 2021-04-13 Visa International Service Association Token processing utilizing multiple authorizations
KR101652625B1 (ko) 2015-02-11 2016-08-30 주식회사 이베이코리아 온라인 웹사이트의 회원 로그인을 위한 보안인증 시스템 및 그 방법
US11526885B2 (en) 2015-03-04 2022-12-13 Trusona, Inc. Systems and methods for user identification using graphical barcode and payment card authentication read data
US10164996B2 (en) 2015-03-12 2018-12-25 Visa International Service Association Methods and systems for providing a low value token buffer
US10075401B2 (en) 2015-03-18 2018-09-11 Cisco Technology, Inc. Pending interest table behavior
US10333921B2 (en) 2015-04-10 2019-06-25 Visa International Service Association Browser integration with Cryptogram
US9998978B2 (en) 2015-04-16 2018-06-12 Visa International Service Association Systems and methods for processing dormant virtual access devices
US10552834B2 (en) 2015-04-30 2020-02-04 Visa International Service Association Tokenization capable authentication framework
US9781090B2 (en) * 2015-05-11 2017-10-03 Citrix Systems, Inc. Enterprise computing environment with continuous user authentication
US10075402B2 (en) 2015-06-24 2018-09-11 Cisco Technology, Inc. Flexible command and control in content centric networks
EP3407565B1 (en) 2015-06-24 2019-12-18 Accenture Global Services Limited Device authentication
CZ2015474A3 (cs) * 2015-07-07 2017-02-08 Aducid S.R.O. Způsob autentizace komunikace autentizačního zařízení a alespoň jednoho autentizačního serveru pomocí lokálního faktoru
CN106341372A (zh) * 2015-07-08 2017-01-18 阿里巴巴集团控股有限公司 终端的认证处理、认证方法及装置、系统
JP2017027207A (ja) * 2015-07-17 2017-02-02 ソフトバンク株式会社 認証システム
US10097546B2 (en) * 2015-07-22 2018-10-09 Verizon Patent And Licensing Inc. Authentication of a user device using traffic flow information
US9864852B2 (en) 2015-07-27 2018-01-09 Amazon Technologies, Inc. Approaches for providing multi-factor authentication credentials
US10701038B2 (en) 2015-07-27 2020-06-30 Cisco Technology, Inc. Content negotiation in a content centric network
CN108141434B (zh) * 2015-07-27 2021-08-20 亚马逊科技公司 经由设备通知提供多因素认证凭证
US9986034B2 (en) 2015-08-03 2018-05-29 Cisco Technology, Inc. Transferring state in content centric network stacks
CN105162774B (zh) * 2015-08-05 2018-08-24 深圳市方迪融信科技有限公司 虚拟机登录方法、用于终端的虚拟机登录方法及装置
CN106487774B (zh) 2015-09-01 2019-06-25 阿里巴巴集团控股有限公司 一种云主机服务权限控制方法、装置和系统
US9832123B2 (en) 2015-09-11 2017-11-28 Cisco Technology, Inc. Network named fragments in a content centric network
CN105281913B (zh) * 2015-09-17 2019-01-15 杭州猿人数据科技有限公司 用于电子签名的电子证据处理方法、系统及动态码服务系统
RU2018114639A (ru) * 2015-09-21 2019-10-23 УанСпэн Интернэшнл ГмбХ Многопользовательский строгий аутентификационный маркер
US10355999B2 (en) 2015-09-23 2019-07-16 Cisco Technology, Inc. Flow control with network named fragments
US10313227B2 (en) 2015-09-24 2019-06-04 Cisco Technology, Inc. System and method for eliminating undetected interest looping in information-centric networks
US9977809B2 (en) 2015-09-24 2018-05-22 Cisco Technology, Inc. Information and data framework in a content centric network
US10454820B2 (en) 2015-09-29 2019-10-22 Cisco Technology, Inc. System and method for stateless information-centric networking
WO2017066792A1 (en) 2015-10-15 2017-04-20 Visa International Service Association Instant token issuance system
US10263965B2 (en) 2015-10-16 2019-04-16 Cisco Technology, Inc. Encrypted CCNx
US9794238B2 (en) 2015-10-29 2017-10-17 Cisco Technology, Inc. System for key exchange in a content centric network
US9807205B2 (en) 2015-11-02 2017-10-31 Cisco Technology, Inc. Header compression for CCN messages using dictionary
US20170148009A1 (en) * 2015-11-20 2017-05-25 Afirma Consulting & Technologies, S.L. Dynamic multilayer security for internet mobile-related transactions
US9912776B2 (en) 2015-12-02 2018-03-06 Cisco Technology, Inc. Explicit content deletion commands in a content centric network
CN108370319B (zh) 2015-12-04 2021-08-17 维萨国际服务协会 用于令牌验证的方法及计算机
US10097346B2 (en) 2015-12-09 2018-10-09 Cisco Technology, Inc. Key catalogs in a content centric network
US10078062B2 (en) 2015-12-15 2018-09-18 Palo Alto Research Center Incorporated Device health estimation by combining contextual information with sensor data
KR101772553B1 (ko) * 2015-12-29 2017-08-30 주식회사 코인플러그 파일에 대한 공증 및 검증을 수행하는 방법 및 서버
JP6927981B2 (ja) * 2015-12-30 2021-09-01 ワンスパン インターナショナル ゲゼルシャフト ミット ベシュレンクテル ハフツング パスコード検証のためのフォワードセキュア型暗号技術を使用した方法、システム、及び装置。
CA3009659C (en) 2016-01-07 2022-12-13 Visa International Service Association Systems and methods for device push provisioning
US10257271B2 (en) 2016-01-11 2019-04-09 Cisco Technology, Inc. Chandra-Toueg consensus in a content centric network
US9949301B2 (en) 2016-01-20 2018-04-17 Palo Alto Research Center Incorporated Methods for fast, secure and privacy-friendly internet connection discovery in wireless networks
US10305864B2 (en) 2016-01-25 2019-05-28 Cisco Technology, Inc. Method and system for interest encryption in a content centric network
US11080696B2 (en) 2016-02-01 2021-08-03 Visa International Service Association Systems and methods for code display and use
US11501288B2 (en) 2016-02-09 2022-11-15 Visa International Service Association Resource provider account token provisioning and processing
GB2547472A (en) * 2016-02-19 2017-08-23 Intercede Ltd Method and system for authentication
US10043016B2 (en) 2016-02-29 2018-08-07 Cisco Technology, Inc. Method and system for name encryption agreement in a content centric network
US10003507B2 (en) 2016-03-04 2018-06-19 Cisco Technology, Inc. Transport session state protocol
US10051071B2 (en) 2016-03-04 2018-08-14 Cisco Technology, Inc. Method and system for collecting historical network information in a content centric network
US10742596B2 (en) 2016-03-04 2020-08-11 Cisco Technology, Inc. Method and system for reducing a collision probability of hash-based names using a publisher identifier
US10038633B2 (en) 2016-03-04 2018-07-31 Cisco Technology, Inc. Protocol to query for historical network information in a content centric network
US9832116B2 (en) 2016-03-14 2017-11-28 Cisco Technology, Inc. Adjusting entries in a forwarding information base in a content centric network
US10212196B2 (en) 2016-03-16 2019-02-19 Cisco Technology, Inc. Interface discovery and authentication in a name-based network
US10067948B2 (en) 2016-03-18 2018-09-04 Cisco Technology, Inc. Data deduping in content centric networking manifests
MA45323A (fr) * 2016-03-18 2019-01-23 Forticode Ltd Procédé et système d'authentification d'utilisateur à sécurité améliorée
US11436656B2 (en) 2016-03-18 2022-09-06 Palo Alto Research Center Incorporated System and method for a real-time egocentric collaborative filter on large datasets
US10091330B2 (en) 2016-03-23 2018-10-02 Cisco Technology, Inc. Interest scheduling by an information and data framework in a content centric network
US10033639B2 (en) 2016-03-25 2018-07-24 Cisco Technology, Inc. System and method for routing packets in a content centric network using anonymous datagrams
EP3437026A4 (en) * 2016-03-29 2019-11-06 Trusona, Inc. SYSTEMS AND METHODS FOR IDENTIFYING A USER USING GRAPHIC BAR-CODE AUTHENTICATION READING DATA AND PAYMENT CARD
US10050963B2 (en) 2016-03-29 2018-08-14 Microsoft Technology Licensing, Llc Securing remote authentication
CN107294721B (zh) * 2016-03-30 2019-06-18 阿里巴巴集团控股有限公司 基于生物特征的身份注册、认证的方法和装置
US10320760B2 (en) 2016-04-01 2019-06-11 Cisco Technology, Inc. Method and system for mutating and caching content in a content centric network
US9930146B2 (en) 2016-04-04 2018-03-27 Cisco Technology, Inc. System and method for compressing content centric networking messages
US10091007B2 (en) * 2016-04-04 2018-10-02 Mastercard International Incorporated Systems and methods for device to device authentication
US10425503B2 (en) 2016-04-07 2019-09-24 Cisco Technology, Inc. Shared pending interest table in a content centric network
US10313321B2 (en) 2016-04-07 2019-06-04 Visa International Service Association Tokenization of co-network accounts
US10027578B2 (en) 2016-04-11 2018-07-17 Cisco Technology, Inc. Method and system for routable prefix queries in a content centric network
WO2017184121A1 (en) 2016-04-19 2017-10-26 Visa International Service Association Systems and methods for performing push transactions
US10404450B2 (en) 2016-05-02 2019-09-03 Cisco Technology, Inc. Schematized access control in a content centric network
US10320675B2 (en) 2016-05-04 2019-06-11 Cisco Technology, Inc. System and method for routing packets in a stateless content centric network
US10547589B2 (en) 2016-05-09 2020-01-28 Cisco Technology, Inc. System for implementing a small computer systems interface protocol over a content centric network
US10084764B2 (en) 2016-05-13 2018-09-25 Cisco Technology, Inc. System for a secure encryption proxy in a content centric network
US10063414B2 (en) 2016-05-13 2018-08-28 Cisco Technology, Inc. Updating a transport stack in a content centric network
US11250424B2 (en) 2016-05-19 2022-02-15 Visa International Service Association Systems and methods for creating subtokens using primary tokens
RU2018144220A (ru) 2016-06-03 2020-07-09 Виза Интернэшнл Сервис Ассосиэйшн Система управления субтокенами для подключенных устройств
US10103989B2 (en) 2016-06-13 2018-10-16 Cisco Technology, Inc. Content object return messages in a content centric network
US11068899B2 (en) 2016-06-17 2021-07-20 Visa International Service Association Token aggregation for multi-party transactions
FR3052894A1 (fr) * 2016-06-20 2017-12-22 Orange Procede d'authentification
US10305865B2 (en) 2016-06-21 2019-05-28 Cisco Technology, Inc. Permutation-based content encryption with manifests in a content centric network
CA3021357A1 (en) 2016-06-24 2017-12-28 Visa International Service Association Unique token authentication cryptogram
US10148572B2 (en) 2016-06-27 2018-12-04 Cisco Technology, Inc. Method and system for interest groups in a content centric network
GB2566402A (en) 2016-07-01 2019-03-13 American Express Travel Related Services Co Inc Systems and methods for validating transmissions over communication channels
US10009266B2 (en) 2016-07-05 2018-06-26 Cisco Technology, Inc. Method and system for reference counted pending interest tables in a content centric network
US9992097B2 (en) 2016-07-11 2018-06-05 Cisco Technology, Inc. System and method for piggybacking routing information in interests in a content centric network
CN116471105A (zh) 2016-07-11 2023-07-21 维萨国际服务协会 使用访问装置的加密密钥交换过程
CN116739570A (zh) 2016-07-19 2023-09-12 维萨国际服务协会 分发令牌和管理令牌关系的方法
US10122624B2 (en) 2016-07-25 2018-11-06 Cisco Technology, Inc. System and method for ephemeral entries in a forwarding information base in a content centric network
ES2912594T3 (es) * 2016-08-02 2022-05-26 Idemia France Código de seguridad dinámico para una transacción de tarjeta
ES2912188T3 (es) * 2016-08-02 2022-05-24 Idemia France Código de seguridad dinámico para una transacción de tarjeta
US10069729B2 (en) 2016-08-08 2018-09-04 Cisco Technology, Inc. System and method for throttling traffic based on a forwarding information base in a content centric network
US10956412B2 (en) 2016-08-09 2021-03-23 Cisco Technology, Inc. Method and system for conjunctive normal form attribute matching in a content centric network
US10509779B2 (en) 2016-09-14 2019-12-17 Visa International Service Association Self-cleaning token vault
US10033642B2 (en) 2016-09-19 2018-07-24 Cisco Technology, Inc. System and method for making optimal routing decisions based on device-specific parameters in a content centric network
JP6693368B2 (ja) * 2016-09-21 2020-05-13 株式会社オートネットワーク技術研究所 通信システム、中継装置及び通信方法
US11030618B1 (en) * 2016-09-30 2021-06-08 Winkk, Inc. Authentication and personal data sharing for partner services using out-of-band optical mark recognition
US10212248B2 (en) 2016-10-03 2019-02-19 Cisco Technology, Inc. Cache management on high availability routers in a content centric network
US10447805B2 (en) 2016-10-10 2019-10-15 Cisco Technology, Inc. Distributed consensus in a content centric network
US11625506B1 (en) 2016-10-18 2023-04-11 Headspin, Inc. Secure enclosure for devices used to test remote connectivity
US11159416B1 (en) 2016-10-18 2021-10-26 Headspin, Inc. Systems and methods of testing virtual private network communications using remote connectivity
US10135948B2 (en) 2016-10-31 2018-11-20 Cisco Technology, Inc. System and method for process migration in a content centric network
US10243851B2 (en) 2016-11-21 2019-03-26 Cisco Technology, Inc. System and method for forwarder connection information in a content centric network
US11323443B2 (en) 2016-11-28 2022-05-03 Visa International Service Association Access identifier provisioning to application
WO2018111858A1 (en) 2016-12-12 2018-06-21 Trusona, Inc. Methods and systems for network-enabled account creation using optical detection
CN110663040B (zh) * 2016-12-21 2023-08-22 奥恩全球运营有限公司,新加坡分公司 用于将仪表板安全嵌入内容管理系统的方法及系统
US10915899B2 (en) 2017-03-17 2021-02-09 Visa International Service Association Replacing token on a multi-token user device
US11372744B1 (en) * 2017-03-31 2022-06-28 Headspin, Inc. System for identifying issues during testing of applications
US10116635B1 (en) * 2017-04-27 2018-10-30 Otis Elevator Company Mobile-based equipment service system using encrypted code offloading
US10902418B2 (en) 2017-05-02 2021-01-26 Visa International Service Association System and method using interaction token
US20180322273A1 (en) * 2017-05-04 2018-11-08 GM Global Technology Operations LLC Method and apparatus for limited starting authorization
US11494765B2 (en) 2017-05-11 2022-11-08 Visa International Service Association Secure remote transaction system using mobile devices
US10491389B2 (en) 2017-07-14 2019-11-26 Visa International Service Association Token provisioning utilizing a secure authentication system
US11716331B2 (en) * 2017-07-14 2023-08-01 Offpad As Authentication method, an authentication device and a system comprising the authentication device
US10445487B2 (en) * 2017-07-20 2019-10-15 Singou Technology (Macau) Ltd. Methods and apparatus for authentication of joint account login
US11019129B1 (en) 2017-08-11 2021-05-25 Headspin, Inc. System for controlling transfer of data to a connected device
USD942469S1 (en) 2017-09-30 2022-02-01 Asim Abdullah Display screen or portion thereof with a graphical user interface
US11348116B2 (en) * 2017-11-07 2022-05-31 Mastercard International Incorporated Systems and methods for enhancing online user authentication using a personal cloud platform
CN108090181A (zh) * 2017-12-15 2018-05-29 深圳忠信信息技术有限公司 个人信息推送方法及系统
FR3077175A1 (fr) * 2018-01-19 2019-07-26 Orange Technique de determination d'une cle destinee a securiser une communication entre un equipement utilisateur et un serveur applicatif
CN111819555A (zh) 2018-03-07 2020-10-23 维萨国际服务协会 利用在线认证的安全远程令牌发布
US11134071B2 (en) * 2018-04-23 2021-09-28 Oracle International Corporation Data exchange during multi factor authentication
US11093653B2 (en) * 2018-05-24 2021-08-17 Texas Instruments Incorporated Secure message routing
US11256789B2 (en) 2018-06-18 2022-02-22 Visa International Service Association Recurring token transactions
WO2020018454A1 (en) 2018-07-16 2020-01-23 Islamov Rustam Cryptography operations for secure post-quantum communications
CN108989441A (zh) * 2018-07-27 2018-12-11 京东方科技集团股份有限公司 一种信息交互系统及方法
EP3841498A4 (en) 2018-08-22 2021-10-13 Visa International Service Association PROCEDURE AND SYSTEM FOR TOKEN PROVISION AND PROCESSING
US11206257B1 (en) * 2018-09-18 2021-12-21 West Corporation Attendance tracking configuration for a mobile device
EP3864601A4 (en) * 2018-10-08 2021-11-17 Visa International Service Association TECHNIQUES FOR TOKEN PROXIMITY TRANSACTIONS
EP3881258A4 (en) 2018-11-14 2022-01-12 Visa International Service Association SUPPLY OF TOKENS IN THE CLOUD OF MULTIPLE TOKENS
US20220060889A1 (en) * 2018-12-12 2022-02-24 Visa International Service Association Provisioning initiated from a contactless device
US11019047B2 (en) * 2019-02-01 2021-05-25 Microsoft Technology Licensing, Llc Credential loss prevention
JP2022523959A (ja) * 2019-03-04 2022-04-27 シール・ネットワーク・ベー・フェー 電子認証手段を伴うプレイングカード
CN111726320B (zh) 2019-03-19 2022-08-30 阿里巴巴集团控股有限公司 数据处理方法、装置及设备
WO2020236135A1 (en) 2019-05-17 2020-11-26 Visa International Service Association Virtual access credential interaction system and method
EP3758322A1 (fr) * 2019-06-25 2020-12-30 Gemalto Sa Procédé et système de génération de clés de chiffrement pour données de transaction ou de connexion
US11347411B2 (en) 2019-07-17 2022-05-31 Ubs Business Solutions Ag Secure storing and processing of data
KR102196365B1 (ko) * 2019-10-07 2020-12-30 주식회사 로그 알앤디 모바일 단말기용 개인정보 보안 디바이스
US11936787B2 (en) 2019-12-10 2024-03-19 Winkk, Inc. User identification proofing using a combination of user responses to system turing tests using biometric methods
US11928193B2 (en) 2019-12-10 2024-03-12 Winkk, Inc. Multi-factor authentication using behavior and machine learning
US11563582B2 (en) 2019-12-10 2023-01-24 Winkk, Inc. Method and apparatus for optical encryption communication using a multitude of hardware configurations
US11657140B2 (en) 2019-12-10 2023-05-23 Winkk, Inc. Device handoff identification proofing using behavioral analytics
US11553337B2 (en) 2019-12-10 2023-01-10 Winkk, Inc. Method and apparatus for encryption key exchange with enhanced security through opti-encryption channel
US11574045B2 (en) 2019-12-10 2023-02-07 Winkk, Inc. Automated ID proofing using a random multitude of real-time behavioral biometric samplings
US11588794B2 (en) 2019-12-10 2023-02-21 Winkk, Inc. Method and apparatus for secure application framework and platform
US11652815B2 (en) 2019-12-10 2023-05-16 Winkk, Inc. Security platform architecture
US11328042B2 (en) 2019-12-10 2022-05-10 Winkk, Inc. Automated transparent login without saved credentials or passwords
CN111031074B (zh) * 2020-01-09 2022-03-01 中国信息通信研究院 一种认证方法、服务器和客户端
US11438454B2 (en) * 2020-03-31 2022-09-06 International Business Machines Corporation Authentication and authorization via vocal track frequency channel
US11323263B2 (en) * 2020-05-07 2022-05-03 International Business Machines Corporation Sharing of secret information for accessing a wireless computing network
US20240089249A1 (en) * 2020-07-03 2024-03-14 Bankvault Pty Ltd Method and system for verification of identify of a user
CN113973299B (zh) * 2020-07-22 2023-09-29 中国石油化工股份有限公司 具有身份认证功能的无线传感器以及身份认证方法
US11706621B2 (en) 2020-08-04 2023-07-18 Seagate Technology Llc Device registration to management domain
US11386663B1 (en) 2020-08-28 2022-07-12 Headspin, Inc. Reference-free system for determining quality of video data
US11165586B1 (en) * 2020-10-30 2021-11-02 Capital One Services, Llc Call center web-based authentication using a contactless card
US11611631B2 (en) 2021-02-18 2023-03-21 Panduit Corp. Secure remotely controlled system, device, and method
CN113141351B (zh) * 2021-03-23 2022-09-20 重庆扬成大数据科技有限公司 政务大数据多部门联合审核认证工作方法
US11706224B2 (en) * 2021-04-14 2023-07-18 Microsoft Technology Licensing, Llc Entity authentication for pre-authenticated links
US11843943B2 (en) 2021-06-04 2023-12-12 Winkk, Inc. Dynamic key exchange for moving target
US11824999B2 (en) 2021-08-13 2023-11-21 Winkk, Inc. Chosen-plaintext secure cryptosystem and authentication
CN113676468B (zh) * 2021-08-17 2023-06-06 北京计算机技术及应用研究所 一种基于消息验证技术的三方增强认证系统设计方法
CN114465806A (zh) * 2022-02-21 2022-05-10 深圳市世强元件网络有限公司 多方数据接入安全管理方法及系统

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101911584A (zh) * 2007-10-22 2010-12-08 米高纳科技有限公司 用于发送安全访问信号的发送器
CN101999132A (zh) * 2008-03-11 2011-03-30 威斯科数据安全国际有限公司 在服务器凭证验证时生成一次性口令和签名的强认证令牌

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3361661B2 (ja) * 1995-09-08 2003-01-07 株式会社キャディックス ネットワーク上の認証方法
JP2002169784A (ja) * 2000-11-30 2002-06-14 Sony Corp 情報処理装置および方法、並びにプログラム格納媒体
CA2577333C (en) * 2004-08-18 2016-05-17 Mastercard International Incorporated Method and system for authorizing a transaction using a dynamic authorization code
US7379921B1 (en) * 2004-11-08 2008-05-27 Pisafe, Inc. Method and apparatus for providing authentication
US20080140660A1 (en) * 2006-12-08 2008-06-12 Casdex, Inc. System and Method for File Authentication and Versioning Using Unique Content Identifiers
ITBS20080031A1 (it) * 2008-02-11 2009-08-12 Alberto Gasparini Metodo e telefono mobile per registrare e autenticare un utente presso un service provider
PT2166697E (pt) * 2008-09-17 2011-11-21 Gmv Soluciones Globales Internet S A Método e sistema de autenticação de um utilizador através de um dispositivo móvel
US20100125516A1 (en) * 2008-11-14 2010-05-20 Wankmueller John R Methods and systems for secure mobile device initiated payments
ES2381293B1 (es) * 2009-04-20 2012-11-07 Alter Core, S.L. Sistema y método de acreditación personal mediante dispositivo móvil.
US8607043B2 (en) * 2012-01-30 2013-12-10 Cellco Partnership Use of application identifier and encrypted password for application service access

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101911584A (zh) * 2007-10-22 2010-12-08 米高纳科技有限公司 用于发送安全访问信号的发送器
CN101999132A (zh) * 2008-03-11 2011-03-30 威斯科数据安全国际有限公司 在服务器凭证验证时生成一次性口令和签名的强认证令牌

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11847199B2 (en) 2016-08-23 2023-12-19 Visa International Service Association Remote usage of locally stored biometric authentication data

Also Published As

Publication number Publication date
EP2885904A1 (en) 2015-06-24
US20140040628A1 (en) 2014-02-06
PL2885904T3 (pl) 2018-09-28
US9710634B2 (en) 2017-07-18
ES2680152T3 (es) 2018-09-04
EP2885904B1 (en) 2018-04-25
TR201810238T4 (tr) 2018-08-27
IN2015KN00466A (zh) 2015-07-17
DK2885904T3 (en) 2018-08-06
WO2014022778A1 (en) 2014-02-06
CN104662864A (zh) 2015-05-27

Similar Documents

Publication Publication Date Title
CN104662864B (zh) 使用了移动认证应用的用户方便的认证方法和装置
US20180295121A1 (en) Secure element authentication
US9124433B2 (en) Remote authentication and transaction signatures
JP6586446B2 (ja) 通信端末および関連システムのユーザーの識別情報を確認するための方法
US7775427B2 (en) System and method for binding a smartcard and a smartcard reader
KR101019458B1 (ko) 확장된 일회용 암호 방법 및 장치
US8171531B2 (en) Universal authentication token
US10237072B2 (en) Signatures for near field communications
CN107113175A (zh) 多用户强认证令牌
US9124571B1 (en) Network authentication method for secure user identity verification
CN104125064A (zh) 一种动态密码认证方法、客户端及认证系统
US10938808B2 (en) Account access
EP2916509B1 (en) Network authentication method for secure user identity verification

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
EXSB Decision made by sipo to initiate substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
CP03 Change of name, title or address
CP03 Change of name, title or address

Address after: Zurich

Patentee after: VASCO DATA SECURTY, Inc.

Address before: Swiss Glatt Brygge

Patentee before: VASCO DATA SECURITY, Inc.