CN104980266A - 数据通信方法和系统 - Google Patents

Abstract

本发明公开一种安全性高的传送敏感信息的数据通信方法和系统，数据通信方法包括：产生敏感信息步骤：产生敏感信息；保护步骤：对所述敏感信息进行加密、运算认证信息和形成完整性保护以形成数字文件；和验证和解密步骤：验证所述数字文件中的所述认证信息和把所述数字文件中加密的信息解密成解密的敏感信息，并输出所述解密的敏感信息。

Description

数据通信方法和系统

技术领域

本发明涉及一种数据通信方法和系统，尤其涉及一种涉及敏感信息推送的安全的数据通信方法和系统。

背景技术

随着信息技术的发展，很多业务处理系统将敏感信息通过有线或者无线通信方式推送给用户。这里所说的敏感信息，包括业务信息（例如，包含当次交易各要素的交易信息）和与该业务信息对应的验证口令（例如，一个6位的数字串表达的动态口令。当然，也可以是其他位数，如4～10位，或者更多），这种对应是指一旦业务信息更改，或者相同内容的业务信息发送时间不同，验证口令也相应更改，即，一条业务信息对应于一个验证口令。当前，最为常用的敏感信息推送方式是以短信的方式推送。例如，当用户通过业务终端在因特网上进行某种业务操作（例如，支付和/或转账之类的交易、缴费、购买和/或赎回理财产品、查询各种历史记录、查询个人电子病历内容等）时，需要用户利用诸如动态口令之类的验证口令对该业务内容进行确认，以验证用户是否看到并确认了业务信息内容。对此常采用的方式之一是，业务服务器侧的系统针对当前的业务产生一个动态口令，然后将该业务信息及动态口令通过移动通信网络推送到用户的手机上。用户浏览手机上显示的该业务信息及动态口令，将看到的手机上显示的动态口令输入到业务终端，提交给业务服务器。业务服务器比较用户输入的动态口令与先前产生的动态口令是否一致，若一致，则判断当前业务操作得到了用户的认可，继续进行业务操作的后续步骤；若不一致，则终止当前业务操作或要求重新确认。

传统的利用短信推送含动态口令的敏感信息的方式如图1和2所示。

图1是示出了一种已有的业务处理系统的示意性方框图，该系统利用短信推送含动态口令的敏感信息的传统方式进行数据通信从而执行业务处理。

如图1所示，这种已有的业务处理系统包括业务终端102、业务服务器104、安全认证服务器105、通信服务器107和通信终端108。用户可以通过这种业务处理系统进行业务操作（例如，支付和/或转账之类的交易），例如，用户事先将自己的业务账户与手机号码绑定，在通过业务终端102提出一项业务请求给业务服务器104后，业务服务器104把据此业务请求产生的业务信息发送给安全认证服务器105，安全认证服务器105随后会通过通信服务器（例如，移动运营商的短信网关）107将业务信息和产生的动态口令打包成短信推送到用户的通信终端（例如，手机）108，然后用户把从通信终端108所获得的短信表达的动态口令经由业务终端102和业务服务器104提交给安全认证服务器105进行验证，例如，安全认证服务器105把从业务终端102收到的动态口令与先前产生的动态口令进行比较，如果两口令是一致的，则认证通过，进行正常的业务操作。

图2是示出了图1所示的已有业务处理系统进行业务处理的流程图。如图2所示，这种已有的利用短信推送含动态口令的敏感信息的传统方式进行数据通信从而执行业务处理的具体流程如下：

在步骤S211，用户通过业务终端102向业务服务器104发起业务请求；

在步骤S212，业务服务器104根据业务请求产生业务信息（例如，交易信息）；

在步骤S213，业务服务器104将产生的业务信息发送给安全认证服务器105；

在步骤S214，安全认证服务器105产生关于业务的动态口令；

在步骤S215，安全认证服务器105将业务信息和动态口令发送给通信服务器107；

在步骤S216，通信服务器107将业务信息和动态口令打包成短信（例如，短消息）发送给通信终端108；

在步骤S217，通信终端108将短信展示给用户(例如，用户在手机收件箱中查看短信，获取动态口令)；

在步骤S218，用户将从展示的短信中得到的动态口令手动输入到业务终端102；

在步骤S219，业务终端102将该动态口令提交给业务服务器104；

在步骤S220，业务服务器104将该动态口令发送给安全认证服务器105；

安全认证服务器105在步骤S221验证该动态口令是否正确（即，比对该动态口令与先前产生的动态口令是否一致），并且在步骤S222将验证结果发送给业务服务器104；

如果在步骤S221验证的结果是正确的，即，两动态口令一致，则在步骤S223完成用户所请求的业务（例如，交易），否则终止当前操作。

利用推送含诸如动态口令之类验证口令的敏感信息来保证业务操作（例如，交易）安全的前提是推送过程必须是安全的，例如，所推送的敏感信息不能被窃听、修改或替换。然而，用短信的方式推送敏感信息存在很大的不安全问题，例如，短信在移动通信网络及空口（即，空中接口,Air Interface，是指基站与移动电话之间的接口）上是明文传送的，缺乏数据完整性的保护机制，短信内容在任何节点都有可能被窃取和/或被篡改（这些节点包括网络侧设备如短信网关、短信中心、基站到手机的空口传输过程），而用户无法感知，可能造成有效的恶意攻击。进一步，随着智能移动终端（例如，智能手机）的逐步普及，这种终端上如载有恶意软件，那么这种恶意软件截获并转发短信都很容易，进而更容易被他人获取，从而给恶意攻击提供了更方便的条件，使得以短信推送敏感信息愈发不安全；另外，智能移动终端上的安全软件有可能会劫持短信，使用户在收件箱中看不到短信，影响系统的可用性。而对于提供短信推送服务的业务处理系统而言，无法由业务处理系统本身改善上述不安全因素，因为移动通信网络及用户的移动终端（例如，智能手机）均不受业务处理系统自己的控制，业务处理系统只能根据经验评估业务风险，通过控制业务操作内容（例如，交易额度）来控制风险。随着终端不安全因素的增加，只能不断减小业务请求所涉及的业务操作内容（例如，降低交易额度），这显然大大限制了业务发展的需要和用户对业务内容的需求。还有，由于其他的免费消息推送平台等的安全性无法满足推送动态口令的需求，所以一般只能选择以短信方式推送动态口令，如此则因为运营商会对每条短信进行收费，从而会产生较高的运营成本。

因此，需要一种涉及敏感信息推送的安全的数据通信方法和系统。

发明内容

本发明能够克服现有技术存在的上述一个或者多个缺点。

根据本发明的一个方面，一种数据通信方法可以包括以下步骤：产生敏感信息步骤：根据业务请求产生敏感信息，所述敏感信息包括业务信息和与所述业务信息对应的验证口令；保护步骤：对所述敏感信息进行加密、运算认证信息和形成完整性保护以形成数字文件；和验证和解密步骤：验证所述数字文件中的所述认证信息和把所述数字文件中加密的信息解密成解密的敏感信息，并输出所述解密的敏感信息。

另外，在上述的数据通信方法中，所述保护步骤可以进一步包括调制步骤，所述调制步骤将所述数字文件调制形成调制的媒体文件，所述方法可以进一步包括解调步骤，所述解调步骤在所述验证和解密步骤之前，所述解调步骤将所述调制的媒体文件解调成报文，所述报文包括解调密文和解调认证信息，并且所述验证和解密步骤是验证所述解调认证信息和把所述解调密文解密成解密的敏感信息、并输出所述解密的敏感信息。

此外，在上述的数据通信方法中，在所述保护步骤中，对所述敏感信息进行加密、运算认证信息和形成完整性保护以形成数字文件可以包括：用第一密钥对所述敏感信息进行加密，以形成第一密文；用第二密钥对所述第一密文进行运算，以形成第一认证信息并且形成完整性保护；和将所述第一密文和所述第一认证信息形成所述数字文件。

再有，在上述的数据通信方法中，所述媒体文件可以是音频文件。

根据本发明的另一个方面，一种数据通信系统可以包括：业务服务器，所述业务服务器用于根据业务请求产生敏感信息，所述敏感信息包括业务信息和与所述业务信息对应的验证口令；安全通信服务器，所述安全通信服务器用于对所述敏感信息进行加密、运算认证信息和形成完整性保护以形成数字文件；和安全消息令牌，所述安全消息令牌用于验证所述数字文件中的所述认证信息和把所述数字文件中加密的信息解密成解密的敏感信息，并输出所述解密的敏感信息。

根据本发明的又一个方面，一种数据通信系统可以包括：业务服务器，所述业务服务器用于根据业务请求产生业务信息；安全认证服务器，所述安全认证服务器用于根据来自所述业务服务器的所述业务信息产生与所述业务信息对应的验证口令；安全通信服务器，所述安全通信服务器用于对包括所述业务信息和所述验证口令的敏感信息进行加密、运算认证信息和形成完整性保护以形成数字文件；和安全消息令牌，所述安全消息令牌用于验证所述数字文件中的所述认证信息和把所述数字文件中加密的信息解密成解密的敏感信息，并输出所述解密的敏感信息。

另外，在上述的数据通信系统中，所述数据通信系统还可以包括：业务终端，所述业务终端用于把所述数字文件从所述安全通信服务器提供给所述安全消息令牌；或者通信服务器和通信终端，所述通信服务器和通信终端用于替代所述业务终端把所述数字文件从所述安全通信服务器提供给所述安全消息令牌。

此外，在上述的数据通信系统中，所述安全通信服务器可以包括：通信单元，所述通信单元用于接收所述敏感信息，并且向外发送所述数字文件；和安全单元，所述安全单元用于用第一密钥对所述敏感信息进行加密以形成第一密文，用于用第二密钥对所述第一密文进行运算以形成第一认证信息并且形成完整性保护，和将所述第一密文和所述第一认证信息形成所述数字文件。

再有，在上述的数据通信系统中，所述通信单元可以是通过所述业务服务器将所述数字文件发送给所述业务终端的。

另外，在上述的数据通信系统中，所述安全通信服务器还可以包括调制单元，所述调制单元用于把所述数字文件调制成媒体文件，从所述安全通信服务器提供给所述安全消息令牌的是所述媒体文件而不是所述数字文件，所述安全消息令牌用于将所述媒体文件解调成报文，所述报文包括解调密文和解调认证信息，并且所述安全消息令牌还用于验证所述解调认证信息和把所述解调密文解密成解密的敏感信息、并输出所述解密的敏感信息。

此外，在上述的数据通信系统中，所述安全通信服务器还可以包括调制单元，所述调制单元用于把所述数字文件调制成媒体文件，从所述安全通信服务器提供给所述安全消息令牌的是所述媒体文件而不是所述数字文件，所述通信单元发送的是所述媒体文件而不是所述数字文件，所述安全消息令牌用于将所述媒体文件解调成报文，所述报文包括解调密文和解调认证信息，所述安全消息令牌还用于验证所述解调认证信息和把所述解调密文解密成解密的敏感信息、并输出所述解密的敏感信息。

对本领域的技术人员来说很显然的是，在上述内容的基础上可对它们做各种修改、变换或任意组合。

根据下面附图和详细描述，本发明的数据通信方法和系统以及相应的其他特征和优点对于本领域技术人员来说将变得显而易见。本申请意在使所有这些和其他方法、系统、特征和优点都包含在该描述中。应当理解，本文前面的一般性描述和下面的详细描述都是示例性的和解释性的，意在提供如对所要求保护的技术方案的进一步的理解，但没有任何东西应被视为是对所要求保护的技术方案的限制。

附图说明

以下，为更好地理解本发明，将结合附图详细描述本发明的各示例性的具体实施方式。

图1是示出了一种已有的业务处理系统的示意性方框图，该系统利用短信推送含动态口令的敏感信息的传统方式进行数据通信从而执行业务处理。

图2是示出了图1所示的已有业务处理系统进行业务处理的流程图。

图3是根据本发明一个示例性具体实施方式的一种数据通信系统的示意性方框图。

图4是示出了图3所示的数据通信系统进行数据推送的一种示例性流程图。

图5是根据本发明另一个示例性具体实施方式的另一种数据通信系统的示意性方框图。

图6是示出了图5所示的数据通信系统进行数据推送的一种示例性流程图。

图7是根据本发明又一个示例性具体实施方式的又一种数据通信系统的示意性方框图。

图8是示出了图7所示的数据通信系统进行数据推送的一种示例性流程图。

图9是根据本发明的一个示例性具体实施方式的安全消息令牌的示例性方框图。

图10是根据本发明的一个示例性具体实施方式的安全通信服务器的示例性方框图。

具体实施方式

现在将参照本文的各实施方式进行详细描述，附图中图解了其实例。为了将其思想传达给本领域普通技术人员，提供此后引入的这些实施方式作为实例。因此，这些实施方式可以以不同的形式实施，从而并不限于这里所述的这些实施方式。而且，在任何可能的地方，在整个说明书和附图中将使用相同的附图标记表示相同或相似的部件。

另外，本申请中使用了序数词词语“第一”、“第二”等来描述多个元件（或构成部分），用于对这多个元件（或构成部分）中的一个元件（或构成部分）与另一元件（或构成部分）进行区分，但这些词语“第一”、“第二”并没有对这些元件（或构成部分）有任何“顺序”上的限制。因此，将下面讨论的那些元件或构成部分的序数词相互变换也没有超出本发明的构思和范围。

图3是根据本发明一个示例性具体实施方式的一种数据通信系统的示意性方框图。

如图3所示，根据本发明一个示例性具体实施方式的一种数据通信系统可以包括安全消息令牌301、业务终端302、业务服务器304和安全通信服务器306。可选的是，在有第三方通信服务单元的情况下，该数据通信系统还可以包括（第三方）通信服务器307和通信终端（例如，手机）308。在此示例中，业务服务器304可以用于根据来自业务终端302的业务请求产生敏感信息（例如，包括业务信息和对应的动态口令）；安全通信服务器306可以用于对来自业务服务器304的需要展示给用户的敏感信息进行加密、运算认证信息并且形成完整性保护，然后将其形成调制的媒体文件，并将调制的媒体文件经由业务服务器304和业务终端302构成的通道C305提供给安全消息令牌301，或者经由通信服务器307和通信终端308构成的通道C309提供给安全消息令牌301；安全消息令牌301可以用于利用调制的媒体文件来解密敏感信息并且将解密的敏感信息展示给用户；并且业务终端302可以用于发送业务请求给业务服务器304、和把来自安全通信服务器306的调制的媒体文件提供给安全消息令牌301。通信服务器307和通信终端308是本领域技术人员熟知的通信设备，在此不再详述。

图9是根据本发明的一个示例性具体实施方式的安全消息令牌的示例性方框图，该令牌可作为图3中所示的令牌301的一个例子。图10是根据本发明的一个示例性具体实施方式的安全通信服务器的示例性方框图，该安全通信服务器可作为图3中所示的安全通信服务器306的一个例子。

如图10所示，安全通信服务器1006可以包括通信单元10069、安全单元10062和调制单元10061。在此示例中，通信单元10069可以用于与如图3所示的业务服务器304进行通信（可选的是，还可以与业务终端进行通信；另外，在有安全认证服务器和/或第三方通信服务单元的情况下，还可以与安全认证服务器和/或第三方通信服务单元进行通信，这将于下文中予以说明）；安全单元10062可以用于对来自业务服务器304的敏感信息进行加密（在有安全认证服务器的情况下，敏感信息也可来自安全认证服务器，这将于下文中予以说明），并且可以用于进行认证信息的运算和形成完整性保护；并且调制单元10061可以用于把加密后的敏感信息和运算出的认证信息调制成媒体文件，以通过通信单元10069把调制的媒体文件经由如图3所示的业务服务器304提供给业务终端302，或者通过通信单元10069直接提供给业务终端302而不经过业务服务器304（例如，在互联网环境下，业务终端可以通过URL直接接收来自安全通信服务器的媒体文件）（在有第三方通信服务单元的情况下，可以把调制的媒体文件经由例如前述的通信服务器307提供给例如前述的通信终端308）。

如图9所示，安全消息令牌901可以包括解调单元9011、第一安全单元9012、用户交互单元9014、输出单元9015和电源单元9016。在此示例中，解调单元9011可以用于把调制后的媒体文件解调成包括密文和认证信息的报文；第一安全单元9012可以用于验证认证信息和把密文解密（例如，进行密码逆运算）成敏感信息；用户交互单元9014可以用于获取用户的交互指令，例如，上下翻页、浏览、查询历史和返回等；输出单元9015可以用于输出解密后的敏感信息；并且电源单元9016可以用于提供安全消息令牌901所需的电源。

这里，相对于以往推送明文敏感信息的方式相比，对敏感信息进行加密、消息源认证和完整性保护，提高了敏感信息推送的安全性。进一步地，媒体文件可以是视频文件、图片文件、二维码文件、字符流文件和/或者文本文件，这样，调制后的媒体文件需解调后才能进一步实现传统数字文件的作用，即，调制的媒体文件被令牌获取后被令牌解调、令牌验证认证信息并解密而得到敏感信息，从而进一步提高了敏感信息推送的安全性。在媒体文件是视频文件、图片文件、和/或二维码文件等的情况下，令牌可相应安装摄像头之类的装置，并将其对准例如终端屏幕，为此，优选的是，媒体文件可以是音频文件（例如，声音文件），从而无需安装对准终端屏幕的摄像头之类的装置，因为声波在空中是全方位传播的，使得令牌放在任何位置都易于捕获音频文件信号。再有，这里，对于捕获调制后的媒体文件信号的方式，例如，可以是解调单元本身具有信号捕获功能以捕获调制后的媒体文件信号；或者，令牌中可以单独设置信号捕获单元以捕获调制后的媒体文件信号，并将该调制后的媒体文件传输给解调单元；亦或可以在令牌外部设置信号捕获装置以捕获调制后的媒体文件信号，并将该调制后的媒体文件传输给令牌的解调单元。例如，令牌上可设有耳机插头接口，用于通过耳机插头与业务终端的耳机口连通以捕获音频文件信号。但本发明并不限于上面描述的捕获方式，只要是本领域技术人员在阅读本说明书后能够想到的任何可以实现的方式即可。另外，输出单元可以依据输出信息的格式设置，例如可以是显示单元或者是音频输出单元等，但本发明并不限于此，只要是本领域技术人员在阅读本说明书后能够想到的任何可以实现的方式即可。

图4是示出了图3所示的数据通信系统进行数据推送的一种示例性流程图。

如图4所示，根据本发明一个示例性具体实施方式的数据通信系统可以按照如下步骤进行数据推送：

首先，在步骤S411，用户通过业务终端302向业务服务器304发起业务请求。然后，业务服务器304在步骤S412根据业务请求产生敏感信息（例如，包括业务信息和对应的动态口令），并在步骤S413将该敏感信息发送给安全通信服务器306。

接着，安全通信服务器306在步骤S414对该敏感信息进行加密、运算认证信息并形成完整性保护，然后形成调制的媒体文件。该步骤S414例如可以包括以下步骤：用第一密钥对所述敏感信息进行加密，以形成第一密文；用第二密钥对第一密文进行运算，以形成第一认证信息并且形成完整性保护（例如，可以由消息鉴别码(MAC)运算一并实现认证和完整性保护）；和将第一密文与第一认证信息一起调制成调制的媒体文件。这里，若采用对称密钥机制，那么第一密钥采用与安全消息令牌301内对应的密钥相同的密钥，并且第二密钥也应是与令牌内对应的密钥相同的密钥，其中第一密钥与第二密钥是不同的。若采用非对称密钥机制，那么第一密钥采用与安全消息令牌301内的私钥所对应的公钥，而第二密钥采用安全通信服务器306自己的私钥，这种情况下，安全消息令牌301在逆运算时先采用与安全通信服务器306的第二密钥(私钥)所对应的公钥进行验证，再用自己的私钥进行解密。另外，在用公钥进行加密时，可以先生成一个对称密钥作为第一密钥，用该对称密钥来加密敏感信息，然后再用公钥加密该对称密钥，形成数字信封。由于这些使用对称密钥机制和非对称密钥机制进行加密的技术属于常用的加密技术，因此在此不再详述。

之后，安全通信服务器306在步骤S415将调制的媒体文件发送给业务服务器304，业务服务器304转而在步骤S416将调制的媒体文件发送给业务终端302，业务终端302再在步骤S417将调制的媒体文件提供给（例如，将调制的声音文件播放给）安全消息令牌301（这里，业务服务器304和业务终端302构成通道C305来传送调制的媒体文件）。可选的是，如果该数据通信系统可以通过无线网络进行工作，那么，安全通信服务器306也可以直接将调制的媒体文件发送给业务终端302而不必经由业务服务器304（这里，通道C305中可不必包括业务服务器304）。另外可选的是，安全通信服务器306或者可以将调制的媒体文件经由通信服务器307和通信终端308构成的通道C309提供给安全消息令牌301，例如安全通信服务器306在步骤S415将调制的媒体文件发送给通信服务器307，通信服务器307转而在步骤S416将调制的媒体文件发送给通信终端308，通信终端308再在步骤S417将调制的媒体文件提供给（例如，将调制的声音文件播放给）安全消息令牌301（图4中未示出这种方式）。这种可选的方式可用在业务终端不能播放媒体文件的情况下，例如，ATM、自动售货机作为业务终端时，可以通过用户自己的手机来播放媒体文件，更方便而且私密安全性更好。

随后，安全消息令牌301利用调制的媒体文件获取敏感信息。例如，安全消息令牌301可以通过以下步骤获取敏感信息：在步骤S418，把调制的媒体文件解调成报文，该报文包括解调密文和解调认证信息，然后利用相应的完整性保护机制验证解调认证信息，如果验证解调认证信息正确，则安全消息令牌301把解调密文解密成解密的敏感信息并通过输出单元输出展示该敏感信息给用户，否则不进行解密和展示。

之后，就可以利用安全消息令牌301展示的敏感信息进行后续的操作（例如，业务操作）。

图5是根据本发明另一个示例性具体实施方式的另一种数据通信系统的示意性方框图。

如图5所示，根据本发明另一个示例性具体实施方式的另一种数据通信系统可以包括安全消息令牌501、业务终端502、业务服务器504、安全认证服务器505和安全通信服务器506。在此示例中，业务服务器504可以用于根据来自业务终端502的业务请求产生业务信息（例如，交易信息）；安全认证服务器505可以用于根据来自业务服务器504的业务信息产生例如关于该业务的动态口令；安全通信服务器506可以用于对来自安全认证服务器505的包括业务信息和例如对应于该业务的动态口令的敏感信息进行加密、运算认证信息并形成完整性保护，形成调制的媒体文件，并经由业务服务器504和业务终端502将调制的媒体文件提供给安全消息令牌501，或者直接经由业务终端502而不经过业务服务器504将调制的媒体文件提供给安全消息令牌501（在有第三方通信服务单元的情况下，可以把调制的媒体文件经由第三方通信服务单元提供给安全消息令牌，这将于下文中予以说明）；安全消息令牌501可以用于利用调制的媒体文件解密敏感信息并且将解密的敏感信息展示给用户；并且业务终端502可以用于发送业务请求给业务服务器504、和把来自安全通信服务器506的调制的媒体文件提供给安全消息令牌501。

在本示例中，安全消息令牌501可以采用如图9所示的令牌，而安全通信服务器506可以采用如图10所示的安全通信服务器，它们的具体构成和功能是本领域的技术人员在阅读本说明书后能够显而易见实现的，因此在此不再详述。另外，就安全通信服务器而言，除了与前面所述的图10所示的安全通信服务器的其他功能相同之外，在本示例中，通信单元10069可以用于与如图5所示的安全认证服务器505进行通信，安全单元10062可以用于对来自安全认证服务器505的包括业务信息和例如对应的动态口令的敏感信息进行加密，并且可以用于进行认证信息的运算和形成完整性保护；并且调制单元10061可以用于把加密后的敏感信息及运算出的认证信息调制成媒体文件以把调制的媒体文件通过通信单元10069经由如图5所示的业务服务器504提供给业务终端502，或者直接提供给业务终端502而不经过业务服务器504（例如，在互联网环境下，业务终端可以通过URL直接接收来自安全通信服务器的媒体文件）（在有第三方通信服务单元的情况下，可以通过通信单元10069把调制的媒体文件提供给第三方通信服务单元，这将于下文中予以说明）。

同样的，相对于以往推送明文敏感信息的方式相比，对敏感信息进行加密、消息源认证和完整性保护，提高了敏感信息推送的安全性。进一步地，媒体文件可以是视频文件、图片文件、二维码文件、字符流文件和/或者文本文件，这样，调制后的媒体文件需解调后才能进一步实现传统数字文件的作用，即，调制的媒体文件被令牌获取后被令牌解调、令牌验证认证信息并解密而得到敏感信息，从而进一步提高了敏感信息推送的安全性。在媒体文件是视频文件、图片文件、和/或二维码文件等的情况下，令牌可相应安装摄像头之类的装置，并将其对准例如终端屏幕，为此，优选的是，媒体文件可以是音频文件（例如，声音文件），从而无需安装对准终端屏幕的摄像头之类的装置，因为声波在空中是全方位传播的，使得令牌放在任何位置都易于捕获音频文件信号。再有，这里，对于捕获调制后的媒体文件信号的方式，例如，可以是解调单元本身具有信号捕获功能以捕获调制后的媒体文件信号；或者，令牌中可以单独设置信号捕获单元以捕获调制后的媒体文件信号，并将该调制后的媒体文件传输给解调单元；亦或可以在令牌外部设置信号捕获装置以捕获调制后的媒体文件信号，并将该调制后的媒体文件传输给令牌的解调单元。例如，令牌上可设有耳机插头接口，用于通过耳机插头与业务终端的耳机口连通以捕获音频文件信号。但本发明并不限于上面描述的捕获方式，只要是本领域技术人员在阅读本说明书后能够想到的任何可以实现的方式即可。

图6是示出了图5所示的数据通信系统进行数据推送的一种示例性流程图。

如图6所示，根据本发明另一个示例性具体实施方式的另一种数据通信系统可以按照如下步骤进行数据推送：

首先，在步骤S611，用户通过业务终端502向业务服务器504发起业务请求。然后，业务服务器504在步骤S612根据业务请求产生业务信息（例如，交易信息），并在步骤S613将该业务信息发送给安全认证服务器505。

接着，安全认证服务器505在步骤S614根据业务信息生成例如动态口令，并在步骤S615将包括该业务信息和该动态口令的敏感信息发送给安全通信服务器506。

然后，安全通信服务器506在步骤S616对敏感信息进行加密、运算认证信息并形成完整性保护，然后形成调制的媒体文件。该步骤S616例如可以包括以下步骤：用第一密钥对所述敏感信息进行加密，以形成第一密文；用第二密钥对第一密文进行运算，以形成第一认证信息并且形成完整性保护（例如，可以由消息鉴别码(MAC)运算一并实现认证和完整性保护）；和将第一密文与第一认证信息一起调制成调制的媒体文件。这里，加密技术与如上关于步骤S414的相同或类似，因此在此不再详述。

之后，安全通信服务器506在步骤S617将调制的媒体文件发送给业务服务器504，业务服务器504转而在步骤S618将调制的媒体文件发送给业务终端502，业务终端502再在步骤S619将调制的媒体文件提供给（例如，将调制的声音文件播放给）安全消息令牌501。可选的是，如果该数据通信系统可以通过无线网络进行工作，那么，安全通信服务器506也可以直接将调制的媒体文件发送给业务终端502而不必经由业务服务器504。

随后，安全消息令牌501利用调制的媒体文件获取敏感信息。例如，安全消息令牌501可以通过以下步骤获取敏感信息：在步骤S620，把调制的媒体文件解调成报文，该报文包括解调密文和解调认证信息，然后利用相应的完整性保护机制验证解调认证信息，如果验证解调认证信息正确，则安全消息令牌501把解调密文解密成解密的敏感信息并通过输出单元输出展示该敏感信息给用户，否则不进行解密和展示。

之后，就可以利用安全消息令牌501展示的敏感信息进行后续的操作（例如，业务操作）。

例如，利用业务信息和动态口令进行如下业务操作：在步骤S621，用户将动态口令输入到业务终端502；在步骤S622，业务终端502将动态口令提交给业务服务器504；在步骤S623，业务服务器504发送动态口令给安全认证服务器505以用于验证；安全认证服务器505在步骤S624通过比较的方式用先前生成的动态口令验证接收的动态口令是否正确，并在步骤S625发送验证结果给业务服务器504；如果验证结果是正确的，则在步骤S626，业务服务器504完成业务终端502所请求的业务，否则终止当前操作。这里所说的“验证……是否正确”的方式，即，确定先前生成的动态口令与接收到的动态口令是否相同，或者说，确定二者是否完全一样，也可以是本领域普通技术人员在阅读本说明书后能够想到的其他方式。

在上述数据推送的流程中，媒体文件（例如，声音文件）在业务终端提供（例如，播放）并不是必须的。实际上，本领域普通技术人员在阅读本说明书后能够想到，媒体文件也可以通过任何其他通道提供给安全消息令牌。图7是根据本发明又一个示例性具体实施方式的又一种数据通信系统的示意性方框图。图8是示出了图7所示的数据通信系统进行数据推送的一种示例性流程图，其中示出了通过另一种通道来传递媒体文件的方式。

如图7所示，该又一种数据通信系统与图5和6所示的业务处理系统不同的是，增加了第三方通信服务单元，该第三方通信服务单元包括通信服务器707和通信终端（例如，手机）708。该数据通信系统所包括的业务终端702、业务服务器704、安全认证服务器705、安全通信服务器706和安全消息令牌701的结构和功能与图5所示的类似，本领域技术人员在阅读本说明书后就能理解，因此在此不再详述。

这种数据通信系统可以按照如图8所示的流程进行数据推送：

首先，在步骤S811，用户通过业务终端702向业务服务器704发起业务请求。然后，业务服务器704在步骤S812根据业务请求产生业务信息（例如，交易信息），并在步骤S813将该业务信息发送给安全认证服务器705。

接着，安全认证服务器705在步骤S814根据业务信息生成例如动态口令，并在步骤S815将包括该业务信息和该动态口令的敏感信息发送给安全通信服务器706。

然后，安全通信服务器706在步骤S816对敏感信息进行加密、运算认证信息并形成完整性保护，然后形成调制的媒体文件。该步骤S816例如可以包括以下步骤：用第一密钥对所述敏感信息进行加密，以形成第一密文；用第二密钥对第一密文进行运算，以形成第一认证信息并且形成完整性保护（例如，可以由消息鉴别码(MAC)运算一并实现认证和完整性保护）；和将第一密文与第一认证信息一起调制成调制的媒体文件。这里，加密技术与如上关于步骤S414的相同或类似，因此在此不再详述。

之后，安全通信服务器706在步骤S817将调制的媒体文件直接发送给通信服务器707，通信服务器707再在步骤S818将调制的媒体文件直接发送给通信终端708，然后通信终端708在步骤S819将调制的媒体文件提供给（例如，将调制的声音文件播放给）安全消息令牌701。

随后，安全消息令牌701利用调制的媒体文件获取敏感信息。例如，安全消息令牌701可以通过以下步骤获取敏感信息：在步骤S820，把调制的媒体文件解调成报文，该报文包括解调密文和解调认证信息，然后利用相应的完整性保护机制验证解调认证信息，如果验证解调认证信息正确，则安全消息令牌701把解调密文解密成解密的敏感信息并通过输出单元输出展示该敏感信息给用户，否则不进行解密和展示。

之后，就可以利用安全消息令牌701展示的敏感信息进行后续的操作（例如，业务操作）。

例如，利用业务信息和动态口令进行如下业务操作：在步骤S821，用户将动态口令输入到业务终端702；在步骤S822，业务终端702将动态口令提交给业务服务器704；在步骤S823，业务服务器704发送动态口令给安全认证服务器705以用于验证；安全认证服务器705在步骤S824通过比较的方式用先前生成的动态口令验证接收的动态口令是否正确，并在步骤S825发送验证结果给业务服务器704；如果验证结果是正确的，则在步骤S826，业务服务器704完成业务终端702所请求的业务，否则终止当前操作。这里所说的“验证……是否正确”的方式，即，确定先前生成的动态口令与接收到的动态口令是否相同，或者说，确定二者是否完全一样，也可以是本领域普通技术人员在阅读本说明书后能够想到的其他方式。

在本发明中，通信服务器例如可以是即时通信(例如，类似微信平台、飞信平台等这样的平台)设施、彩信网关设施、和/或呼叫中心等，通信终端例如可以是手机、座机电话、PC机、和/或平板电脑等。当然，上述设备也可以是本领域普通技术人员在阅读本说明书后能够想到的其他设备。

此外，在本发明中，认证信息可以是消息鉴别码或者数字签名。以消息鉴别码或者数字签名作为认证信息，能为本发明提供源认证和完整性保护功能，其中消息鉴别码是基于对称密钥机制实现的，数字签名是基于非对称密钥机制实现的。

再有，在本发明中，还有一种简化的实现方式，即，依靠业务终端（或第三方通信服务单元）与安全消息令牌之间的通信功能传递数字文件，则无需将密文和认证信息调制成媒体文件。换句话说，调制成媒体文件和解调媒体文件的步骤、以及相应的调制和解调装置（或单元）在本发明中并不是必须的，而是也可以将密文和认证信息形成为数字文件，相应地对该文件中的认证信息进行验证并把其中的密文解密。例如，业务终端（或第三方通信服务单元）具备与安全消息令牌进行诸如近场通信(Near Field Communication)、红外通信、蓝牙通信、和/或WiFi通信等的能力，系统只需对敏感信息进行加密和用认证信息实现完整性保护，然后将加密形成的密文和认证信息形成为数字文件，经由业务终端（或第三方通信服务单元）将该数字文件发送给安全消息令牌，安全消息令牌对数字文件中的认证信息进行验证，并在验证正确的情况下对密文进行解密即可得到被加密敏感信息的原文。

这里需要说明的是，在本发明中，将信息调制成音频或视频等传输信道上可以使用的音频或视频等的媒体文件的调制方法、相应的解调方法，可以采用通信领域的已知技术，例如，进行数据传输时所采用的标准FSK（频移键控）方法等，因此在此不再详述。

本发明通过密文传送敏感信息消息，该消息在加密的传输过程中不会被窃取，在终端侧转发也难以被窃取，因此使得敏感信息能够安全地到达用户端。

另外，本发明针对敏感信息采用了认证和完整性保护机制，消息不可伪造，也不会被篡改。

再有，本发明还可以利用当前网络或者免费的消息平台进行数据推送，不产生额外的通信费用，运营成本低。

前面结合本发明的典型实施方式和实例详细描述了本发明，但本领域的技术人员可以理解，这些典型实施方式和实例并不应作为对本发明的保护范围的限制，本领域的技术人员可以对它们做任何适当的修改和组合，并且那些对本领域的技术人员来说很明显的修改、变换和替换都应落在本发明的保护范围内。

Claims (12)

1.一种数据通信方法，所述方法包括：

产生敏感信息步骤：根据业务请求产生敏感信息，所述敏感信息包括业务信息和与所述业务信息对应的验证口令；

保护步骤：对所述敏感信息进行加密、运算认证信息和形成完整性保护以形成数字文件；和

验证和解密步骤：验证所述数字文件中的所述认证信息和把所述数字文件中加密的信息解密成解密的敏感信息，并输出所述解密的敏感信息。

2.如权利要求1所述的数据通信方法，其中所述保护步骤进一步包括调制步骤，所述调制步骤将所述数字文件调制形成调制的媒体文件，所述方法进一步包括解调步骤，所述解调步骤在所述验证和解密步骤之前，所述解调步骤将所述调制的媒体文件解调成报文，所述报文包括解调密文和解调认证信息，并且所述验证和解密步骤是验证所述解调认证信息和把所述解调密文解密成解密的敏感信息、并输出所述解密的敏感信息。

3.如权利要求2所述的数据通信方法，其中在所述保护步骤中，对所述敏感信息进行加密、运算认证信息和形成完整性保护以形成数字文件包括：

用第一密钥对所述敏感信息进行加密，以形成第一密文；

用第二密钥对所述第一密文进行运算，以形成第一认证信息并且形成完整性保护；和

将所述第一密文和所述第一认证信息形成所述数字文件。

4.如权利要求2或3所述的数据通信方法，其中所述媒体文件是音频文件。

5.一种数据通信系统，所述系统包括：

业务服务器，所述业务服务器用于根据业务请求产生敏感信息，所述敏感信息包括业务信息和与所述业务信息对应的验证口令；

安全通信服务器，所述安全通信服务器用于对所述敏感信息进行加密、运算认证信息和形成完整性保护以形成数字文件；和

安全消息令牌，所述安全消息令牌用于验证所述数字文件中的所述认证信息和把所述数字文件中加密的信息解密成解密的敏感信息，并输出所述解密的敏感信息。

6.一种数据通信系统，所述系统包括：

业务服务器，所述业务服务器用于根据业务请求产生业务信息；

安全认证服务器，所述安全认证服务器用于根据来自所述业务服务器的所述业务信息产生与所述业务信息对应的验证口令；

安全通信服务器，所述安全通信服务器用于对包括所述业务信息和所述验证口令的敏感信息进行加密、运算认证信息和形成完整性保护以形成数字文件；和

安全消息令牌，所述安全消息令牌用于验证所述数字文件中的所述认证信息和把所述数字文件中加密的信息解密成解密的敏感信息，并输出所述解密的敏感信息。

7.如权利要求5或6所述数据通信系统，其中所述数据通信系统还包括：

业务终端，所述业务终端用于把所述数字文件从所述安全通信服务器提供给所述安全消息令牌；或者

通信服务器和通信终端，所述通信服务器和通信终端用于替代所述业务终端把所述数字文件从所述安全通信服务器提供给所述安全消息令牌。

8.如权利要求5至7任一所述的数据通信系统，其中所述安全通信服务器包括：

通信单元，所述通信单元用于接收所述敏感信息，并且向外发送所述数字文件；和

安全单元，所述安全单元用于用第一密钥对所述敏感信息进行加密以形成第一密文，用于用第二密钥对所述第一密文进行运算以形成第一认证信息并且形成完整性保护，和将所述第一密文和所述第一认证信息形成所述数字文件。

9.如权利要求8所述的数据通信系统，其中所述通信单元是通过所述业务服务器将所述数字文件发送给所述业务终端的。

10.如权利要求5至7任一所述的数据通信系统，其中所述安全通信服务器还包括调制单元，所述调制单元用于把所述数字文件调制成媒体文件，从所述安全通信服务器提供给所述安全消息令牌的是所述媒体文件而不是所述数字文件，所述安全消息令牌用于将所述媒体文件解调成报文，所述报文包括解调密文和解调认证信息，并且所述安全消息令牌还用于验证所述解调认证信息和把所述解调密文解密成解密的敏感信息、并输出所述解密的敏感信息。

11.如权利要求8至9任一所述的数据通信系统，其中所述安全通信服务器还包括调制单元，所述调制单元用于把所述数字文件调制成媒体文件，从所述安全通信服务器提供给所述安全消息令牌的是所述媒体文件而不是所述数字文件，所述通信单元发送的是所述媒体文件而不是所述数字文件，所述安全消息令牌用于将所述媒体文件解调成报文，所述报文包括解调密文和解调认证信息，所述安全消息令牌还用于验证所述解调认证信息和把所述解调密文解密成解密的敏感信息、并输出所述解密的敏感信息。

12.如权利要求10或11所述的数据通信系统，其中所述媒体文件是音频文件。