CN104732379A - 安全支付系统 - Google Patents

Abstract

本发明提供了用于发卡金融机构鉴别公用数据网的持卡用户的辨识信息的系统，包括：连接到公用数据网的安全数据输入设备；及连接到公用数据网和用于在金融机构之间传输消息的专用数据网的网关设备；其中安全数据输入设备包括用于用户输入发卡金融机构发行的卡的辨识信息的装置，及在公用数据网上以安全方式将辨识信息传送给网关设备的装置；及其中网关设备包括用于在专用数据网上将辨识信息传给发卡金融机构并从发卡金融机构接收认可响应的装置；藉此，认可响应提供发卡金融机构对辨识信息的鉴别。

Description

安全支付系统

本申请是申请号为200480040795.3、发明名称为“安全支付系统”、申请日期为2004年11月26日的中国专利申请的分案申请。

技术领域

本发明涉及为进行金融业务等目的而鉴别用户，特别是涉及两个物理上分开、通过公用数据网如因特网连接的交易方借助于其可进行安全交易的系统、方法和装置。

背景技术

在因特网上进行安全支付的系统自其最初在20世纪90年代中叶产生已来已有很大的改进，正相关的信用卡欺诈已实现与其它持卡人不在场(CNP)交易的欺诈的奇偶校验。然而，对这些方法缺少了解以及不同的媒体均关注发生的为数不多的欺诈案例已导致一向低水平的消费者信任。

通过保证付还有争议的CNP交易而试图增加客户对安全性的感知也不过是从其它方向使问题更严重。许多较小的在线商户已取消接受信用卡交易，因为他们不能支撑反复的货物不付款，所述不付款与或诚实或欺诈性地质疑交易的客户有关。

问题在于处理通过因特网支付的方法和约定的体系。客户被要求向商户提供其支付卡的所有有关细节-如主要账号(PAN)、期满日期等-这使商户继而能向该卡收取费用。这种支付结构包括商户向保存客户的银行存款的金融机构发送包括其支付详细资料的支付请求，或发送给帮助商户和其金融机构之间的联系的金融服务提供商。之后，商户的金融机构，称为收单银行，向发行支付卡的金融机构发送授权消息，其详细资料由客户提供。该消息通过银行间网络发送，该网络通常由第三方维护如较大的支付卡管理机构如MasterCard、VISA或其它提供商。发出支付卡的金融机构由支付卡号的前6位进行识别，其即为众所周知的发行行号(BIN)。

然而，没有办法确保由客户提供给商户的详细资料确实属于该客户，也不能确保其尚未被骗取。正是无力证实实际的卡所有人在场，导致高比例的“拒付”或大量客户拒绝参与的交易。传统上，如果客户对交易有争议且商户不能提供其授权证明-如签名-则钱将被退回给客户，而商户不得不承担该损失。

由于害怕其卡的详细资料被窃取，客户也丧失了使用因特网支付选择的权利。所述窃取可在交易本身期间发生，或由于商户的网上商店不安全而在交易之后发生。许多商户维护客户卡资料的数据库，表面上提高客户反复购买的效率，但这些数据库也是对犯罪分子有吸引力的犯罪目标。实际上，正是客户敏感信息的暂留是使许多客户受到惊吓的最主要原因。尽管因这样的“偷窃卡”导致的交易可向商户“拒付”，但这样做的不方便性及获取新卡的负担足以阻止许多客户。

如US6,098,053、US2002/0123972A1、US2003/0140004A1、US2002/0077978A1和US2003/0154139A1中所公开的系统和方法已试图提供解决该问题的解决方案，其通过将传统的EFTPOS功能组合到因特网支付平台中实现。这些文献中的方法包括使用EFTPOS设备，其由客户持有并保留以使在不害怕欺诈的情况下向商户进行安全支付。由于客户的支付资料未传给商户或仅以加密的形式传给商户，则在任何阶段都没有支付资料泄密的风险。然而，这些系统要求对客户、商户和金融机构之间的交互作用进行根本的改变。商户被要求改变其“网上商店”购买系统，商户及其让受人之间的关系被从交易中消除。然而，没有商户的支持，则客户没有动力参与到该系统中，实际上，没有商户支持，则没有客户参与的系统。相反，如果没有大量的客户基础能够使用这些变化，则商户没有改变其支付系统的动力。因此，任何这样的革命性的系统均面对在受控于选择范例的市场中获得动力的基本挑战，且该问题已阻止了这些系统的崛起。

另外，其它系统向客户提供以单次使用PAN，其仅可用于一个交易。这消除了与窃取客户的详细资料相关的风险，因为它们在客户已经执行的单次交易情境之外是无用的。该系统有价值，但可以看出其仅保护交易中的客户，同时证明对商户没有好处。如上所述，通过因特网商务产生的高水平的“拒付”是增加该领域的收入的关键问题，且任何不向商户提供好处的系统在进入市场时均将面对高壁垒。这些系统还要求发卡行必需改变其宿主系统以正确地识别和解释用以代替的PAN属于发起交易的客户。对这些银行系统进行改变由于必须满足的高质量确保和认证要求而成本高昂且耗时。另外，这些系统与一些商户购买软件(如“一次点击”系统)不兼容，其中希望客户将单一卡号用于许多交易。最后，客户被限于仅使用提供该替换PAN设施的卡用于其在因特网上进行的任何交易。这限制了消费者的购买和支付选择，因而降低了因特网商务对他们的吸引力。

美国专利申请2003/0195842A1公开了类似的系统，然而，其中描述的系统因迫使客户使用保存值的支付卡而进一步限制了其应用。

使因特网交易安全的另一方法在美国专利US2003/0097343A1中描述。该系统要求称为处理中心的中间方充作进行交易的渠道。通过减少客户的支付资料暴露的机会而提供客户安全性，即只暴露给单个可信方而不是暴露给多个商户。然而，类似地，该系统也需要在进行因特网支付的方法中进行全系统的范例转换。

美国专利5,809,143使用安全键盘用于因特网商务交易。该系统可安全输入持卡人信息如账号和PIN。然而，与商户交互的机制被再一次改变。另外，需要辅助通信装置也限制了该系统在目前环境中的应用。

因此，需要一种对所有有关方-客户、商户和金融机构-均有好处的系统，其可被立即部署和应用，而不会影响除使用该系统的客户之外的任何一方。

因此，本发明的目的在于提供鉴别用户通过公用数据网如因特网提供的辨识信息如账号和PIN的方法和系统，其减轻了现有技术中的前述问题。

本说明书中的任何文献、设备、步骤或知识的讨论均被包括以阐释本发明。其不应被视为对本发明优先权日期之前的现有技术的任何材料及相关领域的公知常识的认可。

发明内容

本发明的一方面提供用于发卡金融机构鉴别公用数据网的持卡用户的辨识信息的系统，包括：

连接到公用数据网的安全数据输入设备；及

连接到公用数据网和用于在金融机构之间传输消息的专用数据网的网关设备；

其中安全数据输入设备包括用于用户输入发卡金融机构发行的卡的辨识信息的装置，及在公用数据网上以安全方式将辨识信息传送给网关设备的装置；及

其中网关设备包括用于在专用数据网上将辨识信息传给发卡金融机构并从发卡金融机构接收认可响应的装置；

藉此，认可响应提供发卡金融机构对辨识信息的鉴别。

因此，该系统使位于远离任何销售点的购买点的持卡人的辨识信息能够由发卡金融机构在公用数据网上以安全方式进行验证。

优选地，公用数据网是因特网。安全数据输入设备可经用户的个人计算机连接到公用数据网。

专用数据网可以是用于传送电子交易数据的银行间网络。专用数据网可经仅用于进行这样的电子交易的专用网络提供。或者，专用数据网可以是经主公用数据网提供的虚拟专用网。主公用数据网可以是因特网。

安全数据输入设备最好包括读卡机以读取保存在用户的卡上的相应信息。读卡机能够读ISO 7816“智能卡”或ISO 7811“磁条”类型的卡，并最好能够读这两种类型的卡。

优选地，安全数据输入设备还包括小键盘以使用户能够将数据输入系统。用户输入的数据可包括与卡关联的个人标识号。

辨识信息最好包括下述的一个或多个：与卡关联的主要账号；卡的期满日期；及与卡关联的用户个人标识号。有利地是，通过使用户能够提供该信息以用于在远离任何销售点的购买点以安全方式进行鉴别，系统能够确认实际的卡所有人是否在购买点出现。

辨识信息可使用符合ISO 8583的标准交易消息格式进行传送。优选地，所使用的ISO 8583消息是下述之一：“0200”金融兑付消息；及“0104”授权消息。

网关设备最好还包括用于将认可响应传给安全数据输入设备的装置。在优选实施例中，安全数据输入设备还包括用于从认可响应导出可证实证明的装置，可证实证明为：客户的辨识信息已由发卡金融机构验证。证明可以是鉴别数据块，其由以安全方式从发自发卡银行的认可计算的数据组成。数据块可以是使用安全保存在安全数据输入设备内的加密密钥而得到的全部或被截加密认可消息。

有利地是，系统使安全数据输入设备能够从可证实证明导出实际的卡所有人是否在购买点出现，这可用于随后与具有验证该证明的能力的其它设备进行交易。

在特定优选实施例中，网关设备还包括基于从发卡机构接收的认可响应产生替换卡号的装置。替换卡号可在公用数据网上传给安全数据输入设备。其后，替换卡号可用于随后在公用数据网上进行的支付交易。有利地是，根据本发明，实际的卡资料永远也不会在网络上以不安全方式进行传送，或提供给商户或其它在线操作员，因而在系统中对卡资料提供了更大的安全性且增强了消费者信任。

替换卡号可被动态产生以仅用在单一交易中。或者，替换卡号可被保留并用于多个交易。

交易的补充资料，包括交易量和商户标识中的一个或多个，也可由安全数据输入设备传给网关设备。优选地，所述补充资料在携载辨识信息的交易消息中传给网关设备。

在特定优选实施例中，可选择替换卡号的银行标识号，使得在发送给发卡金融机构之前，支付交易通过专用数据网上的网关设备进行发送。或者，可选择替换卡号的银行标识号，使得通过将网关设备确定为替换卡号的发卡机构而在专用数据网上将支付交易直接送往网关设备。

优选地，网关设备还包括用于从专用数据网接收支付交易消息的装置、用于修改所接收的支付交易消息的装置、及用于将所述修改后的支付交易消息传给发卡金融机构的装置，其中网关设备能够在将所接收的支付交易消息传给发卡金融机构之前用实际的卡号替代替换卡号。

在特定优选实施例中，网关设备还包括替换卡号的数据库，其包括相应的实际卡号及补充交易资料。

另一方面，本发明提供了由发卡金融机构鉴别公用数据网的持卡用户的辨识信息的方法，包括步骤：

提供连接到公用数据网的安全数据输入设备；

提供连接到公用数据网和用于在金融机构之间传送消息的专用数据网的网关设备；

用户将发卡金融机构发行的卡的辨识信息输入安全数据输入设备；

在公用数据网上以安全方式将辨识信息传给网关设备；

将辨识信息传给发卡金融机构；及

在专用数据网上从发卡金融机构接收认可响应；

藉此，认可响应提供发卡金融机构对辨识信息的鉴别。

在另一方面，本发明提供用于发卡金融机构鉴别公用数据网的持卡用户的辨识信息的系统中的安全数据输入设备，包括：

用于连接到公用数据网的接口；

用于用户输入金融机构发行的卡的辨识信息的装置；

用于将辨识信息在公用数据网上以安全方式传给网关设备的装置，网关设备包括用于在专用数据网上将辨识信息传给发卡金融机构及从发卡金融机构接收认可响应的装置；

藉此，认可响应提供发卡金融机构对辨识信息的鉴别。

本发明还提供发卡金融机构鉴别公用数据网的持卡用户的辨识信息的方法，该方法包括步骤：

提供连接到公用数据网的安全数据输入设备；及

提供连接到公用数据网和用于在金融机构之间传送消息的专用数据网的网关设备；

在公用数据网上以安全方式将辨识信息传给网关设备；

将辨识信息传给发卡金融机构；及

在专用数据网上从发卡金融机构接收认可响应；

藉此，认可响应提供发卡金融机构对辨识信息的鉴别。

附图说明

本发明的进一步的好处和优点可从下面对本发明的优选实施例的描述中明显地看出，然而，其不应被视为是对本发明范围或任何在前陈述的限制。优选实施例将结合附图进行描述，其中：

图1是根据本发明的安全客户数据输入设备的实施例。

图2是图1的安全数据输入设备的原理框图。

图3是根据本发明的网关设备的实施例的框图。

图4是根据本发明的优选实施例，用于在客户和商户之间进行安全交易的系统。

图5是图4的系统内在交易期间执行的步骤的流程图。

具体实施方式

图1所示为安全数据输入设备的实施例，在此也被称为支付点或PoP设备。图2将该设备表示为其构成部件的逻辑框图。

PoP设备1是低成本的安全产品，其包括处理单元3、读卡机5、小键盘6、显示器4、及在设备和个人计算机8之间提供数据传输和电力的接口7。例如，接口7可以是标准外部接口如USB连接。

PoP设备1能够从客户安全地获取支付信息，如支付卡资料和个人标识号(PIN)，并加密这些资料以安全传输给远程设备。在优选实施例中，PoP设备使用的加密和消息格式符合ISO 8583。

处理单元3是电子组件，其提供设备的控制及电子存储需要，如控制小键盘、显示器、及读卡机，并提供加密密钥的安全存储。在优选实施例中，处理单元3是单一集成电路，但其可由物理上分开的集成电路组件或其它电子零件如晶体管和逻辑门组成。

读卡机5用于从客户的支付卡获取相应的标识信息，并可被构造成支持具有嵌入电子器件的卡，如那些符合ISO 7816“智能卡”标准的卡或仅在其一面或两面具有磁条以保存信息的卡如符合ISO7811的“磁条”卡。在优选实施例中，读卡机5既支持所述“智能卡”又支持所述“磁条”卡类型。

小键盘6用于用户与系统交互。其由允许用户执行输入数字、接受或取消输入等行动的多个键组成。小键盘6还可支持基于字符的输入，并可以确保用户输入的安全性和完整性的方式进行构造和扫描。小键盘6还支持使用另外的“功能”键，其功能由处理装置3运行的软件应用程序的状态和运行指示。

显示器4将关于设备状态及其功能的信息提供给用户。在优选实施例中，显示器由液晶显示器组成，其能够显示至少2行，每行8个字符。

PoP设备1的所有组件均被封装在外壳2内，外壳最好由便宜的塑料合金制成。安全措施如篡改证据、篡改检测及篡改响应均被结合到设备和外壳中以防止对组件如小键盘或处理装置的未授权访问。这样的安全措施是PoP设备必须连接到其的金融机构的要求，且对设备接受与客户卡关联的PIN也是必须的。所述PIN用于在交易期间鉴别持卡人。

图3所示为网关设备12的逻辑框图，其在此也被称为PoP网关，其连接到因特网10及用于在金融机构之间传送消息如交易消息的专用数据网15。网络15在此也被称为银行间网络。网关包括处理装置20如微处理器及相关联的存储器和其它外部硬件，其运行控制PoP网关12的运行的PoP应用程序17并连接到金融机构主交换机18和卡号数据库19。

处理装置20可以是允许运行编程的指令的任何系统，如个人、工业、或大型计算机。或者，处理装置20可以是单一集成电路，或许多物理上分开的集成电路或逻辑门的结合。

金融机构主交换机18是设计来提供关于金融机构的消息的传送和接收的应用程序，其包括但不限于由国际金融互换标准ISO 8583定义的消息。

卡号数据库19是已被分配给持卡人、用于一个或多个交易的“虚拟”卡号的数据库。

图4是根据本发明的优选实施例的整个交易系统的框图，其示出了可能包括在交易中的各方及它们之间的连接。概要地，系统包括具有连接到因特网10的安全数据输入设备(PoP设备)的客户9。如上所述，该连接可经客户的个人计算机(PC)提供。系统还包括商户11，其具有可经因特网10访问的虚拟商店，以及持有商户银行账户的收单金融机构16(商户让受人)。系统还包括发卡金融机构13(发卡人)，其持有客户的银行账户；及包括网关设备12(PoP网关)。

在优选实施例中，客户9是交易的发起人和支付人并拥有PoP设备1，其连接到与因特网10连接的个人计算机8。客户还拥有支付卡及相关联的PIN。

商户11是交易的接受者和收款人。商户拥有因特网站点，其使用标准支付系统用于处理因特网交易，且该系统通过因特网10或直接或通过支付服务提供商连接到商户的银行16，所述支付服务提供商通过连接商户和金融机构促进因特网商务。

商户的银行16，在此也被称为收单银行，是持有商户的银行账户并经因特网10直接或间接连接到商户的机构，银行间网络15用于传输电子交易数据。这样的网络的例子如由MasterCard维护的BankNet及由VISA维护的VISA Net。这些网络均是在物理上分开的金融机构之间传输交易的标准方法，且也为目前的因特网商务系统使用以发出授权及资金转账请求。

发卡行13是发行支付卡给客户的金融机构，其也被连接到银行间网络15。

PoP网关12既连接到因特网10又连接到银行间网络15，并涉及用于确认客户9的身份和资金的初始EFTPOS交易及经商户的收单银行16从商户11发送的标准授权/资金转账消息。多个支付网关在任一时间均可同时存在以防止因拥塞或可能的攻击如“拒绝服务”攻击而导致系统不能工作。另外，任意的PoP设备因其地理位置或契约安排可被要求连接到特定PoP网关。另外，PoP网关不必须是物理上分开的实体，实际上其可被结合到银行间网络中或由发卡行13作为其金融主系统的一部分进行部署和维护。

图5提供本发明优选实施例运行的流程图500。流程图500示出系统为了下述目的可获得与客户有关的金融资料的鉴别：

传送鉴别证明给另一方；

获取可在随后的远程购买中使用的替换卡号；或

获取可在当前正进行的购买中使用的替换卡号。

为执行上面总结的三种运行之一，在步骤502首先选择适当的工作方式。工作方式是下述之一：鉴别证明；动态卡号替换；或静态卡号替换。所需要的工作方式可通过客户交互进行选择，或由客户的个人计算机或PoP设备的处理装置自动选择。

在下一步骤504，在所有工作方式中，客户通过将其支付卡及PIN输入PoP设备而输入其卡的辨识信息。

为获得对客户的辨识信息的鉴别，在下一步骤506，PoP设备将辨识信息传给PoP网关。具体地，PoP设备1在因特网10上提供客户的支付资料到PoP网关12的安全传送。优选地，该安全性经加密信息提供，其使用保存在所述PoP设备1的安全外壳内的加密方案和加密密钥进行加密，使得客户的支付资料不能由PoP设备以外的任何一方或设备以未加密形式获得。在优选实施例中，用于传给所述PoP网关的加密和消息格式符合ISO 8583，具体地，支付资料被格式化为“0200”购买或“0104”授权交易。在该消息中由PoP设备提供指示以将所选择的目前交易的工作方式通知给PoP网关。

在随后的步骤508，PoP网关12解密并将该交易转发给发卡行13。这可包括PoP网关重新加密和/或重新格式化消息以传给发卡行13。如果发卡行13未指示认可该支付资料(如由于客户提供了不正确的PIN)，则将交易已被拒绝的指示返回给PoP设备，其在步骤510将失败信息通知给客户。

然而，如果支付资料被发卡行认可，则在步骤512在所选工作方式的基础上按所选择的准确操作执行另外的步骤。

在鉴别证明工作方式下，在步骤514，PoP网关将认可消息从发卡行传到PoP设备。其后，在步骤516，PoP设备使用该认可消息导出可证实的证明：客户的辨识信息已被验证。证明通常采取鉴别数据块的形式，由以安全方式从发自发卡行的认可消息导出的数据组成。例如，鉴别数据块可以认可消息的安全摘要的形式进行产生，如认可消息的全部或被截加密。这样的加密可使用安全保存在PoP设备内的秘密密钥进行。

认可消息连同鉴别数据块随后可用作发卡行的授权证明。接收设备能够通过确认由PoP设备提供给其的认可消息和鉴别数据块有效而验证该证明。如果使用对称的加密系统产生鉴别数据块，则接收设备需要与PoP设备在产生数据块时使用的秘密密钥一样的密钥用于验证。这样的秘密密钥可经本领域公知的多种安全密钥分发方法中的任何一种分发给那些需要它们的安全且可信的设备。或者，可使用非对称加密系统，在这种情况下，PoP设备使用私钥产生鉴别数据块，而接收设备能够使用相应的公钥验证证明，公钥不需要以安全方式进行保存或分发。

在静态卡号替换工作方式下，系统用于发给客户静态替换卡号，其使PoP设备将能够与使用支付系统的商户一起使用，支付系统保存客户的支付资料以用于随后的交易中。“一次点击”支付系统是这样的系统的例子。优选地，PoP网关保存该静态替换卡号，因而允许相同的替换卡号用于特定的支付卡，而与所使用的特定PoP设备无关。或者，PoP设备可保存静态替换卡号。

在静态卡号替换模式下，一旦已在来自发卡行的回复中指示认可消息，则在步骤534，PoP网关12建立关于PoP设备1的静态替换卡号。优选地，替换卡号的前6位(公知为银行标识号)被设定为特殊值，其指明该卡号由PoP网关12发出。这允许来自任何商户的银行16的交易在其通过银行间网络15传给发卡行14期间通过所述PoP网关12进行发送。优选地，在替换卡号中使用的银行标识号表明该卡由客户开证银行13发行，但交易在到达开证银行13之前必须通过PoP网关12进行发送。这样的特殊发送可在ISO 8583交易消息的字段33和100中指明，这些字段的值根据卡BIN进行设定。替换卡号的其余位可以是由或PoP设备1或网关12加密的原始主要账号、由网关随机产生的卡号、或从包含在卡号数据库19内的列表选择的卡号。如果使用加密版的原始客户支付卡号，对该加密值进行某些修改是必须的，以确保替换卡号符合任何需要的支付卡标准。

其后，静态替换卡号经PoP设备1传给用户，并可保存在设备1中，或保存在PoP网关12的卡号数据库19中。

为完成随后的购买，客户9向商户11提供静态替换卡号以代替他们的实际卡号，之后，依照将在下面关于动态卡号替换工作方式的讨论中详细描述的步骤520-532完成交易。

在动态卡号替换工作方式下，系统用于发给客户替换支付卡号，其可用于当前正跨因特网进行的交易中。客户9从商户11的网站选择货物/服务并以正常方式进行到支付“页”，在该页面向客户呈现商户11的支付信息表格。

在动态卡号替换模式下，一旦在来自发卡行的回复中已指明认可消息，则PoP网关12检查支付卡是否有分配给其的静态替换卡号，如果存在则使用该静态替换卡号。如果没有，PoP网关12在步骤518关于PoP设备1建立替换卡号，其将应用于与该商户的其余交易。银行标识号需要被设定为特殊值以表明该卡号由PoP网关12发给，从而允许来自商户的银行16的交易在其通过银行间网络15传给发卡银行14期间能够通过PoP网关12发送。优选地，用于替换卡号的银行标识号指明该卡由卡号的开证银行13发行，但交易在到达开证银行13之前必须通过PoP网关12发送。这样的特殊发送可在ISO 8583交易消息的字段33和100中指明，这些字段的值根据卡BIN进行设定。替换卡号的其余位可以是由或PoP设备1或网关12加密的原始主要账号、由网关随机产生的卡号、或从包含在卡号数据库19内的列表选择的卡号。如果使用加密版的原始客户支付卡号，对该加密值进行某些修改是必须的，以确保替换卡号符合任何需要的支付卡标准。

优选地，PoP网关12还获得关于进行中的购买的、与交易成本和商户标识有关的信息。

其后，PoP网关12还将替换卡号、原始卡号、及所获得的关于进行中的交易的任何其它信息保存在卡号数据库19中以在随后的交易中使用。或者，这些资料可在交易消息的特殊字段中传送给PoP网关12，而不需要卡号数据库。优选地，PoP网关12可支持这两种方法。

其后，PoP设备1通知驻留在客户的个人计算机上的PoP应用软件：已获得替换卡号。之后，在步骤520，该替换卡号被传给商户的因特网支付页，或通过自动确定卡号字段的位置的PoP PC应用程序的代理，或通过将卡号显示在PoP设备1的显示器4上以由客户9转录到该页面的适当区域中。

其后，商户11使用其标准支付系统进行交易，与任何正常交易使用的系统一样。例如，商户可具有其自己的支付处理系统，它们可将支付请求传给支付服务提供商，或它们可与保持商户的银行账户的金融机构直接通信。与该支付系统的实施方式无关，资金转账请求将最终发给商户的银行16。

之后，在步骤522，商户的银行16将资金转账消息经银行间网络15转发给由客户9提供的替换卡号的BIN所指示的金融机构。在本发明的优选实施例中，其为客户的发卡行13，然而，其也可以是PoP网关12。优选地，该消息将采取ISO 8583授权请求“0100”消息、金融兑付请求“0200”消息或金融兑付通知“0220”消息的形式。发送给所述客户发卡行的消息的类型、格式和数量取决于交易量及商户的银行16的政策。例如，发送多个消息，商户的银行16可发送授权请求消息以在最终与客户交易之前验证客户对购买行为的支付能力，之后，当完成交易时发送金融兑付请求。

在本发明的优选实施例中，资金转账消息经PoP网关12发送给客户的发卡行13。该发送由客户9提供的替换卡号的BIN确定。在交易的下一步骤524中，在PoP网关，PoP应用程序17在其卡号数据库19中确定替换卡号并继而复原客户的原始卡号。在初始授权交易期间提供的任何补充资料如支付额及商户资料也可在该阶段进行检查，如果这些值与保存在卡号数据库19中的值不匹配，则拒绝交易。如果所有所提供的补充资料均被发现是正确的，则准备传给客户的发卡行13的消息。如果PoP网关12在逻辑上远离客户的发卡行，则PoP应用程序还改变消息以确保对该消息的响应将在去往商户的银行16的路上通过PoP网关12送回。在ISO 8583消息中，这可通过改变消息中的让受人字段实现。

在随后的步骤526，客户的发卡行13从PoP网关12接收金融消息，并以正常的方式对其进行处理。在响应传给所述客户银行之前，如PoP应用程序所执行的对原始消息的改变所指示的，响应被发送回PoP网关12。在PoP网关12执行的步骤528中，客户的卡号被再次用替换卡号代替，且响应被转发给让受人，即商户的银行16。这可要求PoP应用程序保留所转发的金融消息的记录以使其能够将响应重新传回正确的金融机构。

在步骤530，在经PoP网关12接收所有发自客户的发卡行13的交易消息响应的基础上，商户银行16使交易完成。客户所请求的货物或服务被完全付款，在步骤532，交易结束。

根据前面的描述，本领域的技术人员根据本发明可容易地对安全支付系统和方法做出许多修改，并不限于在此描述的实施例。多个特征的多种组合已参考本发明的特定实施例及其组成部分进行描述，然而，对本领域技术人员而言，这些不同的特征可以其它方式进行结合，且落在所附权利要求确定的发明范围之内。

具体地，对本领域技术人员而言，在不背离本发明的精神和范围的情况下，可对PoP设备1进行许多修改，包括将设备与计算机键盘、移动电话、点击设备、或其它这样的计算机外部设备进行结合。此外，PoP网关12不必须是独立设备，其可被结合到PoP发行金融机构(PoP发行人)或银行间网络中。

在其它变化中，可由商户的网站提供对安全支付系统的另外的支持。例如，不是要求客户将其卡及PIN输入PoP设备1以激活PoP软件，而是包含在支付页内的特殊字段如未显示给客户9的HTML标志可使得软件被安装在个人计算机8上以激活PoP设备1，其继而提示客户1输入支付卡及资料。这样的特殊字段还可由PoP软件用于将客户的支付信息和运送资料传给商户。

因此，应理解的是，本发明可采取许多形式并用于许多不同的应用。所有这样的形式和应用均体现在本发明的精神和范围之内，其应被理解为不限于上述实施例的特定详细构造，而是延伸到本说明书及附图公开的或从其得出的每一新颖特征及特征组合。所有这些不同的组合构成本发明的各个方面。

还应理解的是，在本说明书中使用的术语“包括”(或其语法异体)等同于术语“包含”，且不应被视为排除其它元件或特征的存在。此外，无论使用在本发明的哪一地方，术语“包含”均不是限制术语，也不应被视为排除其它元件或特征的存在。

Claims (24)

1.用于发卡金融机构鉴别公用数据网的持卡用户的辨识信息的系统，包括：

经个人计算机连接到公用数据网的安全数据输入设备；及

连接到公用数据网和用于在金融机构之间传输消息的专用数据网的网关设备；

其中安全数据输入设备包括用于用户输入发卡金融机构发行的卡的辨识信息的装置，用于用户输入用户的个人标识号PIN的装置，用于加密辨识信息和PIN以便安全发送的装置，及通过数据输入设备和个人计算机之间的数据传输输出在公用数据网上以安全方式将辨识信息和PIN传送给网关设备的装置；及

其中网关设备包括用于在专用数据网上将辨识信息传给发卡金融机构并从发卡金融机构接收认可响应的装置；

藉此，认可响应提供发卡金融机构对辨识信息的鉴别，

其中，网关设备还包括基于从发卡机构接收的认可响应产生替换卡号的装置；及

可选择替换卡号的银行标识号，使得在发送给发卡金融机构之前，支付交易通过专用数据网上的网关设备进行发送。

2.用于发卡金融机构鉴别公用数据网的持卡用户的辨识信息的系统，包括：

经个人计算机连接到公用数据网的安全数据输入设备；及

连接到公用数据网和用于在金融机构之间传输消息的专用数据网的网关设备；

其中安全数据输入设备包括用于用户输入发卡金融机构发行的卡的辨识信息的装置，用于用户输入用户的个人标识号PIN的装置，用于加密辨识信息和PIN以便安全发送的装置，及通过数据输入设备和个人计算机之间的数据传输输出在公用数据网上以安全方式将辨识信息和PIN传送给网关设备的装置；及

其中网关设备包括用于在专用数据网上将辨识信息传给发卡金融机构并从发卡金融机构接收认可响应的装置；

藉此，认可响应提供发卡金融机构对辨识信息的鉴别，

其中，网关设备还包括基于从发卡机构接收的认可响应产生替换卡号的装置；及

替换卡号的银行标识号可被选择，使得通过将网关设备确定为替换卡号的发卡机构而在专用数据网上将支付交易直接送往网关设备。

3.根据权利要求1或2的系统，其中公用数据网是因特网。

4.根据权利要求1或2的系统，其中专用数据网是用于传输电子交易数据的银行间网络。

5.根据权利要求4的系统，其中专用数据网经仅用于进行电子金融交易的专用网络提供。

6.根据权利要求4的系统，其中专用数据网是用于经主公用数据网进行电子金融交易的虚拟专用网。

7.根据权利要求1或2的系统，其中安全数据输入设备还包括：具有数据传输输出的分立设备，以及用于读取保存在用户卡上的相应信息的读卡机；及使用户能够将数据输入系统的小键盘。

8.根据权利要求7的系统，其中读卡机能够读ISO 7816“智能卡”或ISO 7811“磁条”类型卡中的一种或两种。

9.根据权利要求1或2的系统，其中所述辨识信息包括下述的一个或多个：

与卡关联的主要账号；

卡的期满日期；及

与卡关联的用户个人标识号。

10.根据权利要求1或2的系统，其中辨识信息使用符合ISO 8583的标准交易消息格式进行传送。

11.根据权利要求10的系统，其中所使用的ISO 8583消息是下述之一：“0200”金融兑付消息；及“0104”授权消息。

12.根据权利要求1或2的系统，其中网关设备还包括用于将认可响应传给安全数据输入设备的装置。

13.根据权利要求12的系统，其中安全数据输入设备还包括用于从认可响应导出可证实证明的装置，可证实证明为：客户的辨识信息已由发卡金融机构验证。

14.根据权利要求13的系统，其中所述证明是鉴别数据块，其由以安全方式从发自发卡银行的认可计算的数据组成。

15.根据权利要求14的系统，其中数据块是使用安全保存在安全数据输入设备内的加密密钥而得到的全部或被截加密认可消息。

16.根据权利要求1或2的系统，其中替换卡号在公用数据网上传给安全数据输入设备。

17.根据权利要求1或2的系统，其中替换卡号被动态产生以仅用在单一交易中。

18.根据权利要求1或2的系统，其中替换卡号被保留并用于多个交易。

19.根据权利要求1或2所述的系统，其中交易的补充资料也由安全数据输入设备传给网关设备，且其中所述补充资料包括交易量和商户标识中的一个或多个。

20.根据权利要求19的系统，其中所述补充资料在携载辨识信息的交易消息中传给网关设备。

21.根据权利要求1或2所述的系统，其中网关设备还包括：

用于从专用数据网接收支付交易消息的装置；

用于修改所接收的支付交易消息的装置；及

用于将所述修改后的支付交易消息传给发卡金融机构的装置；

藉此，网关设备能够在将所接收的支付交易消息传给发卡金融机构之前用实际的卡号替代替换卡号。

22.根据权利要求1或2所述的系统，其中网关设备还包括替换卡号的数据库，其包括相应的实际卡号及补充交易资料。

23.根据权利要求1或2的系统，其中安全数据输入设备还包括：具有连接到公共数据网络的数据传输输出的分立设备。

24.根据权利要求1或2的系统，其中可选择替换卡号的银行标识号，使得在发送给发卡金融机构之前，支付交易通过专用数据网上的网关设备进行发送。