CN105103174A - 用于交易的系统、方法和装置 - Google Patents

Abstract

提供了用于交易的方法、系统和装置。在具有存储在其安全存储器中的基于移动的凭证并且具有关联别名的消费者的移动装置处进行的方法中，来自可远程访问服务器的对于所述基于移动的凭证的请求响应于请求者装置从所述消费者接收到所述别名而被接收到。所述基于移动的凭证被从所述安全存储器访问并且发送到所述可远程访问服务器。所述基于移动的凭证然后可在所述可远程访问服务器处与基于存储在那里的基于服务器的凭证相结合地用于获得在完成所述交易时可用的支付凭证。

Description

用于交易的系统、方法和装置

相关申请的交叉引用

本申请要求2013年4月5日提交的南非临时专利申请第2013/02456号和2013年8月20日提交的南非临时专利申请第2013/06248号的优先权并且通过引用并入。

技术领域

本申请涉及使用移动装置来进行交易(诸如金融交易)的领域。

背景技术

目前存在用于进行商务交易、电子商务(e-commerce)交易和移动商务(m-commerce)交易的多个支付方案。

一个这样的支付方案是基本四方模型。四方模型涉及通常为金融机构的发行者、由发行者发行支付凭证的消费者、商人以及通常为商人的金融机构的获取机构。当进行交易(诸如为商品或服务而付钱)时，消费者将支付凭证呈现给商人。商人然后捕获这些支付凭证并且将它们转发到其获取者。获取者和发行者经由支付处理网络(诸如)与彼此通信，并且获取者使用支付处理网络将支付凭证和由商人提供的其它交易信息(诸如交易价值)传送给发行者以便完成交易。

电子商务交易可以以类似方式工作，除了因为支付凭证通常由消费者从远程位置(诸如通过互联网或借助于电话呼叫)提供给商人。

虽然大多数支付方案包括被发行给消费者的静态支付凭证的呈现和使用，但是某些类型的m-commerce交易使用由消费者在请求时发送到消费者的移动电话的一次性支付凭证。然后可以将一次性支付凭证呈现给商人，商人然后将支付凭证转发到获取者以便完成交易。

虽然已经成功地实现并且广泛地使用了诸如这些的支付方案，但是它们遭受至少一些缺点。支付凭证通过发行者向消费者的发行通常“畅行无阻”完成。例如，可以通过未加密的短消息服务(SMS)消息来发送在m-commerce环境中发行的一次性支付凭证。在其它情况下，可以在诸如信用卡的物理卡上将静态支付凭证发行给消费者，其中那些支付凭证能够被查看卡或磁或电子地读取卡的任何人容易地读取。

支付凭证通过消费者向商人的呈现也通常畅行无阻。支付凭证可以由消费者通过电话提供给商人，或者可以被输入到网站中。虽然许多商人可能在保护支付凭证时极其小心，诸如通过满足支付卡行业(PCI)要求，但是支付凭证可能由不择手段的商人或第三方欺骗地获得。

发明内容

根据本发明的第一方面，提供了一种进行交易的方法，该方法在具有存储在其安全存储器中的基于移动的凭证并且具有关联别名的消费者的移动装置处进行，所述方法包括以下步骤：

从可远程访问服务器接收对于所述基于移动的凭证的请求，所述请求响应于请求者装置从所述消费者接收到所述别名而被接收到；

从所述安全存储器访问所述基于移动的凭证；以及，

将所述基于移动的凭证发送到所述可远程访问服务器，

其中，所述基于移动的凭证可在所述可远程访问服务器处与存储在所述可远程访问服务器的基于服务器的凭证相结合地用于获得在完成所述交易时可用的支付凭证。

本发明的另一个特征提供要作为加密的支付凭证或与加密的支付凭证对应的解密密钥中的一个的所述基于移动的凭证，并且提供要作为与加密的支付凭证对应的解密密钥或加密的支付凭证中的另一个的所述基于服务器的凭证。

再一个特征提供要包括具有安全存储元件和安全访问元件的密码模块的所述移动装置，提供要由所述安全存储元件提供的所述安全存储器，并且提供从所述安全存储元件访问所述基于移动的凭证以使用所述安全访问元件来通过经认证的通信接口从所述安全存储元件可证明地请求并且接收所述基于移动的凭证。

仍然另外的特征提供要存储在所述安全存储元件中的许多基于移动的凭证，并且提供从所述安全存储元件访问基于移动的凭证将包括以下步骤：在所述安全访问元件处接收所述消费者的基于移动的凭证选择；在所述安全访问元件处接收由所述消费者输入的针对所选择的基于移动的凭证的密码；通过所述经认证的通信接口将所接收到的密码从所述安全访问元件发送到所述安全存储元件；在所述安全存储元件处将所输入的密码与存储在所述安全存储元件中的所输入的密码的偏移相比较，并且如果所述密码对应于所述偏移，则通过所述经认证的通信接口将所选择的基于移动的凭证从所述安全存储元件发送到所述安全访问元件。

本发明的另外的特征提供要由用户经由所述移动装置的用户接口选择的所选择的解密密钥。

根据本发明的第二方面，提供了一种进行交易的方法，该方法在存储有基于服务器的凭证的可远程访问服务器处进行并且包括以下步骤：

响应于请求者装置从消费者接收到别名而从请求者装置接收别名；

标识与所述别名相关联的所述消费者的移动装置；

从所标识的移动装置请求基于移动的凭证；

从所述移动装置接收基于移动的凭证，所述基于移动的凭证已被从所述移动装置的安全存储器访问；以及，

与所述基于服务器的凭证相结合地使用所接收到的基于移动的凭证来获得在完成所述交易时可用的支付凭证。

本发明的另外的特征提供要作为加密的支付凭证或与加密的支付凭证对应的解密密钥中的一个的所述基于移动的凭证并且提供要作为与加密的支付凭证对应的解密密钥或加密的支付凭证中的另一个的所述基于服务器的凭证，并且提供与所述基于服务器的凭证相结合地使用所接收到的基于移动的凭证来获得支付凭证以使用所述解密密钥来对所述加密的支付凭证进行解密。

更进一步的特征提供从请求者装置接收别名将包括接收交易信息，提供所述交易信息以包括交易价值和交易产品细节中的一个或这两者，并且提供所述交易产品细节以包括库存单位信息。

仍然另外的特征提供所述方法以包括另外的步骤：区转化所获得的支付凭证以用于由金融机构的金融处理器处理；以及，将经区转化的支付凭证发送到所述金融机构的所述金融处理器以用于在完成所述交易时使用。

本发明的另外的特征提供区转化所获得的支付凭证的步骤将包括：将所获得的支付凭证格式化成由所述金融处理器期望的格式；以及，对经格式化的支付凭证进行再加密。

本发明的又一个特征提供要作为以下各项的组中的一个的所述金融机构：支付处理网络；获取金融机构；发行金融机构；或商人。

本发明的另外的特征提供标识与所述别名相关联的所述消费者的移动装置的步骤包括使用所述别名来查询数据库的步骤，所述数据库存储有用户简档，所述用户简档具有与其相关联的所述别名、移动装置、加密的支付凭证和解密密钥。

根据本发明的第三方面，提供了一种用于进行交易的系统，该系统包括具有关联别名并且包括以下各项的消费者的移动装置：

安全存储器，该安全存储器存储有基于移动的凭证；

请求接收组件，该请求接收组件用于从可远程访问服务器接收对于所述基于移动的凭证的请求，所述请求响应于请求者装置从所述消费者接收到所述别名而被接收到；

访问组件，该访问组件用于从所述安全存储器访问所述基于移动的凭证；以及，

发送组件，该发送组件用于将所述基于移动的凭证发送到所述可远程访问服务器，

其中，所述基于移动的凭证可在所述可远程访问服务器处与存储在那里的基于服务器的凭证相组合地用于获得在完成所述交易时可用的支付凭证。

本发明的另一个特征提供要作为加密的支付凭证或与加密的支付凭证对应的解密密钥中的一个的所述基于移动的凭证并且提供要作为与加密的支付凭证对应的解密密钥或加密的支付凭证中的另一个的所述基于服务器的凭证。

本发明的更进一步的特征提供要作为以下各项的组中的一个的所述别名：所述移动装置的移动订户综合服务数字网络号号(MSISDN)；由所述消费者注册的电子邮件地址；所述消费者的身份号码；由所述消费者注册的用户名；近场通信(NFC)或射频标识(RFID)可发送的别名；并且与所述消费者的所述移动装置相关联地提供已经由所述消费者向所述可远程访问服务器注册的所述别名。

本发明的仍然另外的特征提供要包括具有安全存储元件和安全访问元件的密码模块的所述移动装置，提供要由所述安全存储元件提供的所述安全存储器，并且提供用于通过经认证的通信接口从所述安全存储元件访问所述基于移动的凭证的所述安全访问元件。

本发明的另外的特征提供要由相应的安全集成电路(IC)提供的所述安全访问元件和所述安全存储元件，提供要逻辑上且物理上彼此分离的所述安全存储元件和所述安全访问元件，并且提供要由国际标准化组织(ISO)7816通信接口提供的所述经认证的通信接口。

更进一步的特征提供要进一步包括存储有基于服务器的凭证的可远程访问服务器的所述系统，所述可远程访问服务器包括：别名接收组件，该别名接收组件用于响应于请求者装置从所述消费者接收别名而从请求者装置接收别名；标识组件，该标识组件用于标识与所述别名对应的所述消费者的移动装置；请求组件，该请求组件用于从所标识的移动装置请求基于移动的凭证；凭证接收组件，该凭证接收组件用于从所述移动装置接收所述基于移动的凭证，所述基于移动的凭证已被从所述移动装置的安全存储器访问；以及，获得组件，该获得组件用于与所述基于服务器的凭证相结合地使用所接收到的基于移动的凭证来获得支付凭证。

本发明的又一个特征提供使用所接收到的基于移动的凭证和所述基于服务器的凭证来获得支付凭证以使用所述解密密钥来对经加密的支付凭证进行解密。

本发明的另一个特征提供要包括请求者装置的所述系统，所述请求者装置被配置为：从所述消费者接收别名；并且，将交易信息和所述别名发送到所述可远程访问服务器。

更进一步的特征提供要作为以下各项的组中的一个或更多个的所述请求者装置：销售点装置；商人的移动装置；商人的具有密码模块的移动装置；或商人的电子商务服务器；提供要包括交易价值和交易产品细节中的一个或这两者的所述交易信息；提供所述交易产品细节包括库存单位信息；并且提供要被配置为接收具有所述别名的所述交易信息的所述可远程访问服务器。

根据本发明的第四方面，提供了一种用于进行交易的密码模块，该密码模块包括：

安全存储元件，该安全存储元件用于可证明地存储基于移动的凭证；

安全访问元件，该安全访问元件用于执行合格凭证访问操作；以及

经认证的通信接口，该经认证的通信接口被配置为在所述安全存储元件与所述安全访问元件之间提供合格通信；

其中，所述安全访问元件被配置为：在所述安全访问元件处接收由所述消费者输入的密码；通过所述经认证的通信接口将所接收到的密码发送到所述安全存储元件；

其中，所述安全存储元件被配置为：通过所述经认证的通信接口从所述安全访问元件接收所输入的密码；将所输入的密码与存储在其中的所输入的密码的偏移相比较，并且如果所述密码对应于所述偏移，则通过所述经认证的通信接口将所述基于移动的凭证发送到所述安全访问元件以用于发送到可远程访问服务器，并且其中，所述基于移动的凭证可在所述可远程访问服务器处与存储在那里的基于服务器的凭证相结合地用于获得在完成所述交易时可用的支付凭证。

本发明的另一个特征提供要作为加密的支付凭证或与加密的支付凭证对应的解密密钥中的一个的所述基于移动的凭证并且提供要作为与加密的支付凭证对应的解密密钥或加密的支付凭证中的另一个的所述基于服务器的凭证。

本发明的更进一步的特征提供要耦接至移动装置并且与移动装置电通信的所述密码模块，提供要经由所述移动装置的消费者接口接收消费者输入的所述密码模块，并且提供要经由所述移动装置与所述可远程访问服务器进行通信的所述密码模块。

本发明的仍然另外的特征提供要布置在标签中的所述密码模块，提供所述标签以包括：布置在其顶面上以用于对接至移动装置的第一组电接触部；布置在其底面上以用于对接至通信组件的第二组电接触部；以及耦接元件，该耦接元件被配置为将所述标签附着至所述通信组件，使得所述密码模块可以经由所述移动装置的消费者接口接收消费者输入并且经由所述移动装置与所述可远程访问服务器进行通信。

根据本发明的第五方面，提供了一种用于进行交易的计算机程序产品，该计算机程序产品包括已存储用于执行以下步骤的计算机可读程序代码的计算机可读介质：从可远程访问服务器接收对于基于移动的凭证的请求，所述请求响应于请求者装置从消费者接收到别名而被接收到；从安全存储器访问所述基于移动的凭证；以及，将所述基于移动的凭证发送到所述可远程访问服务器，其中，所述基于移动的凭证可在所述可远程访问服务器处与存储在那里的基于服务器的凭证相结合地用于获得在完成所述交易时可用的支付凭证。

本发明的另外的特征提供要作为非暂时性计算机可读介质的计算机可读介质并且提供要可由处理电路执行的所述计算机可读程序代码。

根据本发明的第六方面，提供了一种用于进行交易的计算机程序产品，该计算机程序产品包括已存储用于执行以下步骤的计算机可读程序代码的计算机可读介质：响应于请求者装置从消费者接收到别名而从请求者装置接收别名；标识与所述别名相关联的所述消费者的移动装置；从所标识的移动装置请求基于移动的凭证；从所述移动装置接收所述基于移动的凭证，所述基于移动的凭证已被从所述移动装置的安全存储器访问；以及，与基于服务器的凭证相结合地使用所接收到的基于移动的凭证来获得在完成所述交易时可用的支付凭证。

本发明的另外的特征提供要作为非暂时性计算机可读介质的计算机可读介质并且提供要可由处理电路执行的所述计算机可读程序代码。

附图说明

图1是例示了根据本发明的实施方式的用于交易的系统的框图；

图2A是例示了图1所例示的系统的实体在执行根据本发明的实施方式的方法时的角色和职责的泳道流程图；

图2B是例示了图1所例示的系统的实体在执行根据本发明的实施方式的方法时的角色和职责的泳道流程图；

图3A是例示了根据本发明的实施方式的在移动装置处进行交易的方法的流程图；

图3B是例示了其中基于移动的凭证是解密密钥的根据本发明的实施方式的在移动装置处进行的另一方法的流程图；

图3C是例示了其中基于移动的凭证包括支付凭证的根据本发明的实施方式的用于在移动装置处交易的方法的流程图；

图4A是例示了进行在其中存储有至少一个基于服务器的凭证的可远程访问服务器处进行的交易的方法的流程图；

图4B是例示了在可远程访问服务器处进行并且其中基于移动的凭证是解密密钥的根据本发明的实施方式的方法的流程图；

图4C是例示了在可远程访问服务器处进行并且其中基于移动的凭证包括支付凭证的根据本发明的实施方式的用于交易的方法的流程图；

图5是例示了根据本发明的实施方式的又一个方法的流程图；

图6是例示了根据本发明的实施方式的密码模块的框图；

图7A是根据本发明的实施方式的其中布置有密码模块的标签的三维视图；

图7B是例示了根据本发明的实施方式的其中布置有密码模块的标签的截面图的框图；

图8是例示了根据本发明的实施方式的密码模块的框图；

图9是例示了根据本发明的实施方式的用于进行交易的系统的框图；

图10是例示了根据本发明的一些实施方式的用于进行交易的密码模块的组件的示意图；

图11A是例示了根据本发明的实施方式的示例性发行流程的示意图；

图11B是例示了根据本发明的实施方式的示例性交易流程的示意图；

图12例示了其中可以实现本公开的各种实施方式的计算装置的示例；以及，

图13示出了可以在本公开的实施方式中使用的通信装置的框图。

具体实施方式

虽然一些移动装置包括还可以被称为安全元件或者在一些情况下称为硬件安全模块的密码模块，但是许多这些密码模块可能不满足由例如支付卡行业数据安全标准(PCIDSS)和其它控制机构或组织所强加于的用于存储支付凭证的严格要求。因此，将支付凭证存储在这样的密码模块中可能违反PCIDSS和其它规则。

本发明的实施方式针对包括其中可以存储多个基于服务器的凭证的可远程访问服务器的用于交易的系统、方法和装置。可以按照与PCIDSS兼容的方式存储基于服务器的凭证。各个基于服务器的凭证有单独地存储并且除基于服务器的凭证之外的对应的唯一基于移动的凭证。在优选实施方式中，基于移动的凭证被存储在消费者的移动装置的安全存储器中。在一些实施方式中，基于移动的凭证可以被存储在对应消费者的移动装置的密码模块或安全元件中，并且能够在消费者授权后被释放给可远程访问服务器以用于在获得消费者的对于交易的完成来说可能是需要的支付凭证时与所对应的基于服务器的凭证相结合地使用。

本发明的实施方式提供存储在可远程访问服务器处、要作为加密的支付凭证的基于服务器的凭证，并且提供存储在移动装置的安全存储器中、要作为与经加密的支付凭证对应并且在对经加密的支付凭证进行解密时可用的解密密钥的基于移动的凭证。在另选的实施方式中，存储在可远程访问服务器处的基于服务器的凭证可以是解密密钥，然而存储在移动装置的安全存储器中的基于移动的凭证是能够仅使用存储在服务器处的所对应的解密密钥来解密的加密的支付凭证。

本发明的实施方式预期消费者也许能选择他的或她的加密的支付凭证是基于移动的还是基于服务器的。因此可远程访问服务器可以具有存储在其中与多个消费者对应的多个基于服务器的凭证，其中的一些可以是解密密钥并且其中的其它凭证可以是加密的支付凭证。基于服务器的凭证和基于移动的凭证可彼此相结合地在可远程访问服务器处用于获得在完成交易时可用的支付凭证。

尽管基于移动的凭证被不时(例如当消费者交易时)从移动装置发送到可远程访问服务器，但是基于移动的凭证从不存储在可远程访问服务器处持续比所必需的更长。一旦基于移动的凭证已被与基于服务器的凭证相结合地使用于获得支付凭证，基于移动的凭证就可以被从可远程访问服务器中清除或者被可远程访问服务器遗忘。

因此本发明的实施方式假设，如果移动装置的安全存储器受不择手段的第三方连累，则将获得仅基于移动的凭证，其在不用访问基于服务器的凭证的情况下，对第三方而言将不再有用。类似地，赢得对可远程访问服务器的非授权访问的歹徒将仅能够获得基于服务器的凭证，其在没有它们对应的基于移动的凭证的情况下对于歹徒而言将不再有用。

本发明预期包括诸如静态路由信息(例如银行标识号码(BIN)、主帐号(PAN)、卡验证值(CVV1或CVV2、CVC等))、期满日期、卡持有人名字或服务代码或通常可以被包括在支付方法(例如，信用卡)中的任何其它这样的信息的信息的支付凭证。本发明的实施方式预期作为全磁迹2数据或磁迹2等效数据(其可以被称为EMV标记57数据)的支付凭证。此外，支付凭证可以包括诸如银行账户信息、优惠账户信息(例如，优惠帐号)、信用或借记卡号信息、账户结余信息的信息、诸如名字、生日和身份号码或社会安全号码的消费者信息或密码块或密码偏移。在本发明的一些实施方式中，支付凭证是例如可以被用于请求一次性PAN、令牌等或者可以被提供用于仅响应于通过消费者的请求的单一使用的移动货币支付凭证。在本发明的其它实施方式中，支付凭证可以包括磁迹1和/或磁迹3信息。因此支付凭证可以包括在进行金融时可用或适合于进行金融交易的任何信息。

此外，如本说明书中所使用的术语“消费者”包括利用根据本发明的实施方式的系统、方法和装置的消费者、支付者或任何其它用户。

如将在本说明书中所使用的术语“密码”意指可以被用于消费者认证和/或用于证明身份和/或用于访问准许和/或用于赢得对应该与那些不容许访问保持秘密的资源的访问的任何单词、字符串(例如ASCII字符集的那些)、数字串等。“密码”可以包括个人标识号码(PIN)、口令、令牌、密钥等。

图1例示了根据本发明的实施方式的用于交易的系统(100)。该系统包括多个移动装置(110)、多个请求者装置(120)、支付处理网络(106)和可远程访问服务器(108)。支付处理网络(106)还提供多个金融机构(132至138)，其中的每一个可以是获取金融机构或发行金融机构。金融机构(132至138)中的每一个还可以与可远程访问服务器(108)通信。金融机构(132至138)、可远程访问服务器(108)、多个移动装置(110)与多个请求者装置(120)之间的通信可以经由加密的通信接口，所述加密的通信接口例如可以由网际安全(IPSec)、安全套接字层(SSL)、传输层安全(TLS)、安全外壳(SSH)或其它这样的加密接口来提供。此外，可远程访问服务器可以被配置为仅与经授权的和/或可信的装置进行通信。

移动装置(110)可以是手机、智能电话、功能电话、平板计算机、个人数字助理或任何其它适当的移动装置。系统(100)中的多个移动装置(110)中的各个移动装置可由唯一别名识别并且可以包含其中可以存储一个或更多个基于移动的凭证的安全存储器。在一些实施方式中，安全存储器可以由软件级加密提供，然而在优选实施方式中，安全存储器由布置在移动装置中的密码模块(113、115、117)提供。

在一些实施方式中，密码模块(113、115、117)可以被布置在例如移动装置的母板上或以其它方式嵌入在移动装置中。在一些实施方式中，可以将密码模块(113、115、117)布置在附接至移动装置的通信组件的标签中。在仍然其它的实施方式中，可以将密码模块(113、115、117)布置在移动装置的通信组件中。通信组件例如可以是通用集成电路卡、订户身份模块(SIM)卡、存储器卡等，并且在前述实施方式中的任一个中，能够经由它被插入其中的移动装置的人类-装置接口与消费者进行通信。

密码模块可以是任何适当的行业标准密码模块、硬件安全模块、安全元件等。示例性嵌入式密码模块包括可以被内置或集成到诸如例如智能电话的移动装置中的NXPSemiconductorsGmbH、SamsungElectronics、STMicroelectronics、Atmel、INSIDEelectronics、InfineonTechnologiesAG嵌入式密码模块。移动装置的密码模块被配置为安全地存储可在可远程访问服务器(108)处与对应的基于服务器的凭证一起用于获得在完成交易时可用的支付凭证的一个或更多个基于移动的凭证。基于移动的凭证可以是加密的支付凭证或与加密的支付凭证对应的解密密钥。

在本发明的一些实施方式中，密码模块(113、115、117)包括安全存储元件(SSE)和安全访问元件(SAE)。安全存储元件和安全访问元件可以由可能彼此逻辑上且物理上分离的相应的安全集成电路(IC)提供。安全存储元件和安全访问元件可以通过经认证的通信接口与彼此通信。安全存储元件可以被配置为安全地存储基于移动的凭证，然而安全访问元件可以被配置为通过经认证的通信接口可证明地访问基于移动的凭证。在以下的说明书中更详细地描述了安全存储元件和安全访问元件。

多个移动装置(110)中的各个移动装置与可远程访问服务器(108)通信，这进而使得布置在其中并且耦接至其的密码模块能够经由该移动装置以及诸如移动数据网、移动电话网等的一个或更多个移动网络与可远程访问服务器(108)通信。

本发明预期可以使用各种别名。示例性别名包括以下各项的组中的一个或更多个：其中布置了密码模块(113)的移动装置(例如112)的移动订户综合服务数字网络号码(MSISDN)；消费者(111)的电子邮件地址；消费者(111)的身份号码；消费者(111)的名字或用户名；国际移动订户身份(IMSI)；国际移动站设备身份(IMEI)；金融账号，例如主账号(PAN)；近场通信(NFC)或射频标识(RFID)可发送的别名等。例如，本发明预期别名使用诸如近场通信(NFC)或射频标识(RFID)注册服务(例如PayWave^TM或PayPass^TM装置等)的无接触智能卡来呈现。因此，可以通过将无接触智能卡呈现给商人(121)来提供别名。商人(121)可以使用适当的无接触智能卡阅读机来从无接触智能卡获得然后被连同任何其它相关信息一起传送给可远程访问服务器(108)以便完成交易的别名。

别名被与消费者简档相关联地与可远程访问服务器(108)注册在可远程访问服务器(108)的数据库中，使得当可远程访问服务器(108)接收到别名和对于支付凭证的请求时，它可以使用该别名来标识对应的移动装置(112)(例如消费者的移动电话)并且然后可以从移动装置(112)请求基于移动的凭证(其可以是解密密钥或加密的支付凭证)。别名作为消费者的加密的支付凭证存储的句柄(handle)并且可以由消费者随着时间的推移而改变，而不用改变支付凭证。类似地，如果给消费者注册了超过一个别名，则消费者可以选择要使用哪一个别名。例如，消费者可能希望有一个时候使用无接触智能卡别名，而另一个时候使用MSISDN别名。

本发明的实施方式提供要驻留在使得消费者(111)能够与其中的密码模块(113)接口对接的各个移动装置(例如112)上的移动软件应用。软件应用可以提供：用于便于将密码输入到密码模块(113)中的消费者接口；消费者能够从其中选择要释放哪一个基于移动的凭证的列表；基于移动的凭证请求的通知等。消费者接口可以包括能够从其发起这些通信中的至少一些的菜单。消费者接口还可以使得消费者能够设定有关授权的偏好。例如，消费者可能希望低于特定价值阈值的交易在没有他的或她的显式许可的情况下被自动地授权。本发明的实施方式还提供了要由SIM应用工具包协议(通常被称为STK协议)实施方式、应用、智能电话应用等提供的这样的接口。

多个请求者装置(120)中的各个请求者装置可以由商人操作并且与可远程访问服务器(108)通信，以及在一些实施方式中，与一个或更多个金融机构(132至138)和/或支付处理网络(106)通信。请求者装置(120)被配置为接收由消费者提供的别名并且向可远程访问服务器发送交易信息和别名。在一些实施方式中，请求者装置(120)可以被配置为在提供的别名方面从可远程访问服务器(108)请求支付凭证。提供给可远程访问服务器(108)的交易信息例如可以包括诸如库存单位(SKU)等的与正被购买的产品有关的信息。请求者装置(120)可以是商人的销售点(POS)终端、手持卡阅读机和/或PIN输入装置、移动电话或计算机、电子商务(e-commerce)支付服务器等。在本发明的一些实施方式中，请求者装置(例如126)可以是具有它们自己的密码模块(127)的移动装置。

可远程访问服务器(108)可以是任何适当的服务器计算机或分布式服务器计算机等并且经由一个或更多个适当的通信网络与多个移动装置(110)、多个请求者装置(120)和支付处理网络(106)通信。可远程访问服务器(108)可以包括其中可以存储基于服务器的凭证和/或其中可以对支付凭证进行加密、解密、区转化等的硬件安全模块(HSM)(109)。

例如，在一些实施方式中，经加密的支付凭证可以在HSM中使用对应的加密密钥来加密并且在离开HSM之前使用“目的地”密钥来再加密，使得可以在目的地处使用存储在那里的适当的密钥来对经再加密的支付凭证进行解密。此外，本发明的实施方式假设支付凭证以未加密形式在HSM外部绝不可用。

在本发明的一些实施方式中，基于服务器的凭证可以是消费者(111)的被存储加密的支付凭证。每组加密的支付凭证可以具有它自己的被作为基于移动的凭证存储在消费者的移动装置(112)的安全存储器中的唯一解密密钥。因此在这样的实施方式中，唯一解密密钥未被存储在HSM中也不在可远程访问服务器(108)处，而是相反被作为基于移动的凭证存储在对应消费者的移动装置的安全存储器或密码模块(113)中。因此特定消费者(例如111)可以具有存储加密在可远程访问服务器的HSM(109)中的至少一组支付凭证以及存储在消费者的移动装置(112)的密码模块(113)中的对应的解密密钥。

在其它实施方式中，基于服务器的凭证是用于存储在消费者的移动装置(112)的安全存储器中的对应加密的支付凭证的解密密钥。

示例性加密标准和协议在适用情况下包括但不限于高级加密标准(AES)、数据加密标准(DES)、三重数据加密标准/算法(TDES/TDEA)、Blowfish、Serpent、Twofish、国际数据加密算法(IDEA)、Rivest,Shamir,&Adleman(RSA)、数字签名算法(DSA)、微型加密算法(TEA)、扩展TEA(XTEA)。通过非限制性示例，示例性解密密钥包括可用于对已经通过公钥加密的数据进行解密的私钥。公钥在对经加密的数据进行解密时不可用。

可远程访问服务器(108)还可以包括数据库(107)，其中可以存储消费者简档并且其可以具有例如支付凭证标识符、基于服务器的凭证的指针、由消费者注册的别名、与其相关联的移动装置路由或寻址信息(例如MSISDN、IMSI或电子邮件地址)等。消费者简档还可以包括诸如账单地址、消费者分析、欺诈数据、消费者花费简档、消费者购买历史等的信息。

可远程访问服务器(108)可以被配置为从请求者装置中的任一个(例如122)接收别名、对于支付凭证的请求和交易信息，通过查询数据库(107)来标识与别名对应的移动装置(例如112)，从移动装置(112)请求基于移动的凭证并且从移动装置(112)接收基于移动的凭证。可远程访问服务器(108)还可以被配置为获得与基于移动的凭证对应的基于服务器的凭证并且配置为使用该基于移动的凭证和该基于服务器的凭证来获得在完成交易时可用的支付凭证。例如在一个实施方式中，作为加密的支付凭证的基于服务器的凭证使用作为解密密钥的对应的基于移动的凭证来解密以获得解密的支付凭证。在本发明的一些实施方式中，基于移动的凭证包括在标识所对应的基于服务器的凭证时可用的句柄或标识符。

在本发明的一些实施方式中，支付凭证和交易信息被传送给支付处理网络(106)、请求者装置(122)或获取金融机构(例如132)中的一个或更多个。在本发明的优选实施方式中，可远程访问服务器(108)的HSM(109)被配置为将支付凭证“区转化”成由多个请求者装置(120)中的一个或由支付处理网络(106)或任何可适用的金融机构(例如132)期望的格式。在看到交易直到完成时经区转化的支付凭证可以由可远程访问服务器(108)再加密并且传送给支付处理网络或多个请求者装置(120)中的一个或可适用的金融机构(例如消费者的发行金融机构或商人的获取金融机构)的金融处理器。

例如，可以在可远程访问服务器(108)的HSM(109)中使用获取金融机构的公钥来对经区转化的支付凭证进行加密。因此，仅获取金融机构能够使用该获取金融机构的私钥来对支付凭证进行解密。因此，本发明的实施方式假设决不在HSM外部畅行无阻发送支付凭证。

支付凭证可以由消费者的发行金融机构提供给可远程访问服务器(108)以用于加密。经加密的支付凭证然后可以被安全地存储在可远程访问服务器(108)处或者传送给消费者的移动装置以用于安全存储在那里。在其它实施方式中，支付凭证可以由发行金融机构以加密形式连同对应的解密密钥一起提供给可远程访问服务器。可远程访问服务器然后可以将经加密的支付凭证或解密密钥中的一个发送到移动装置以用于作为基于移动的凭证安全存储在那里。解密密钥或加密的支付凭证中的另一个可以被作为基于服务器的凭证安全地存储在可远程访问服务器处。一些实施方式还假设经加密的支付凭证或解密密钥中的一个被直接从发行金融机构发送到移动装置，而不用经过可远程访问服务器。

支付处理网络(106)可以是诸如例如的任何适当的支付处理网络，或另选地任何票据交换所等。金融机构(132至138)可以是维护多个请求者装置(120)的商人的获取者和/或操作移动装置(110)的消费者的发行者。

图2A是例示了图1所例示的系统(100)的各种装置、实体或各方的角色和/或职责的泳道流程图。单独的泳道表示相应实体或装置在实用场景中的角色。该图例示了根据本发明的实施方式的初始化和发行步骤。在第一初始化阶段(202)处，消费者(111)可以通过激活消费者的移动装置(112)中的密码模块(113)来加入系统。可以为他或她输入到移动装置(112)中的密码而提示消费者(111)。密码模块可以存储所输入的密码的偏移并且然后可以向可远程访问服务器(108)注册它本身。在下一个初始化阶段(204)处，可远程访问服务器(108)可以在数据库中创建消费者简档并且可以使移动装置(112)的可适用的路由或地址信息(例如MSISDN、IMSI、电子地址等)与消费者简档相关联。如果消费者希望哪一个然后将被与消费者简档相关联地存储，则消费者(111)可以注册别名。在一些实施方式中，别名也许能由可远程访问服务器用于将通信消息(例如对于基于移动的凭证的请求)转发到消费者的移动装置。在下一个步骤(206)处，可远程访问服务器(108)可以向移动装置(112)发送然后可以在最终初始化步骤(207)处在移动装置(111)处接收到的确认消息。

一旦已经初始化了移动装置(112)的密码模块，消费者(111)就可以使用消费者的移动装置来从消费者的金融机构(例如136)请求在第一发行阶段处提供的支付凭证(208)。响应于这个请求，在下一个发行阶段(210)处，发行金融机构(136)可以将支付凭证传送给可远程访问服务器(108)。在下一个发行阶段(212)处，可远程访问服务器(108)可以对支付凭证进行加密以产生基于移动的凭证和基于服务器的凭证。基于移动的凭证可以是经加密的支付凭证或与经加密的支付凭证对应的解密密钥中的任何一个，然而基于服务器的凭证可以是与经加密的支付凭证对应的解密密钥或经加密的支付凭证中的另一个。

可远程访问服务器可以将基于服务器的凭证存储在HSM(109)或其其它安全存储器中，从而在接着的步骤(213)中使所存储的基于服务器的凭证与消费者简档相关联。在下一个发行阶段(214)处，可远程访问服务器(108)将可与基于服务器的凭证相组合地用于获得支付凭证的基于移动的凭证传送给消费者的移动装置(112)，其中在最终发行阶段(216)中，可以将基于移动的凭证存储在移动装置(112)的密码模块中。

在本发明的其它实施方式中，可以以加密格式从发行金融机构(136)接收支付凭证。在这样的情况下，可远程访问服务器将不涉及到对支付凭证进行加密但是可以要么将经加密的支付凭证存储在那里要么将支付凭证发送到移动装置以便被存储在其安全存储器中。可以从发行金融机构直接向移动装置发送对应的解密密钥以用于存储在其安全存储器中或者另选地发送到可远程访问服务器以用于安全存储在那里，使得经加密的支付凭证和对应的解密密钥像已在上文所描述的那样被单独地存储并且彼此分开。

在接收到基于移动的凭证并且将它存储在他的或她的移动装置(112)的密码模块(113)中后，消费者然后将在适当位置以参与金融交易。

图2B是例示了图1所例示的系统(100)的各种装置、实体或各方的角色和/或职责的另一泳道流程图。图2B例示了示例性交易阶段的步骤，所述示例性交易阶段在所例示的实施方式中可以是在使用如以上参照图2A所描述的那样发行的支付凭证的实体零售环境中。消费者(111)可以类似地参与e-commerce或m-commerce交易。

在第一交易阶段(218)处，消费者将要购买的产品呈现给商人(121)，并且作为支付方法，给商人呈现已注册别名中的一个，出于此示例的目的，所述已注册别名可以是与消费者的移动装置(112)对应的MSISDN。在下一个交易阶段(220)处，商人将别名和产品信息输入到他的或她的请求者装置中，所述请求者装置在这种情况下是销售点(POS)终端(122)。产品信息可以包括产品价格以及可选地产品标识符，其例如可以是库存单位(SKU)、条形码等。在下一个交易阶段(222)处，POS终端(122)将别名、对于支付凭证的请求和产品信息传送给可远程访问服务器(108)以用于交易的处理。商人的POS终端(122)还可以存储由消费者提供的别名并且使它与存储在由该商人维护的数据库上的消费者简档相关联。每当他或她返回给商人使得可以收集对消费者的购物习惯的分析和/或使得可以通过POS终端(122)将优惠点或现金返还给予给消费者时，商人的POS终端(122)然后也许能“识别”消费者。

在接着的交易阶段(224)处，可远程访问服务器(108)从商人的POS终端(122)接收别名和产品信息并且使用该别名来通过查询数据库而标识消费者的包含密码模块和适当的路由信息的移动装置(112)。可远程访问服务器(108)然后可在下一个阶段(226)中操作来经由移动装置(112)从密码模块请求一个或更多个基于移动的凭证。对于基于移动的凭证的请求可以在下一个交易阶段(228)处在移动装置(112)处被接收并且由其中的密码模块解释。密码模块标识如已起源于可远程访问服务器(108)的请求并且通知消费者(111)已经接收到对于基于移动的凭证的请求。密码模块从消费者请求授权以继续进行交易。在一些实施方式中，授权可能和由用户选择的特定基于移动的凭证有关，并且类似地由消费者输入的密码可以对应于与该基于移动的凭证相关联地安全存储的密码偏移。

消费者可以通过在下一个交易阶段(230)中将密码输入到移动装置中来确认消费者希望继续，这然后由密码模块验证，并且，如果(231)密码模块将密码确定为正确的，则密码模块提示消费者选择要使用的支付凭证。

消费者可以选择他或她将想要用于当前交易的基于移动的凭证并且可能必须在下一个步骤(232)中输入特定于所选择的基于移动的凭证的密码。可以对应于可被消费者利用或由消费者注册的支付凭证的基于移动的凭证可以使用支付凭证描述(例如，“银行A金卡”、“当前账户”等)来标记。因此本发明的实施方式确保消费者决不能够看到他的或她的仅作为基于移动的凭证(其可以是加密的支付凭证或解密密钥)的支付凭证被存储在消费者的移动装置的安全存储器中。

在下一个交易阶段(234)中，所选择的基于移动的凭证被传送给可远程访问服务器(108)。基于移动的凭证可以在下一个交易阶段(236)处由可远程访问服务器接收并且可以被与基于服务器的凭证相结合地用于获得在完成交易时可用的支付凭证。例如，作为与加密的支付凭证对应的解密密钥的基于移动的凭证可以被用于对所对应的加密的支付凭证进行解密。

在以下交易阶段(238)中，可远程访问服务器(108)将支付凭证传送给商人的获取金融机构(例如132)。在本发明的其它实施方式中，可远程访问服务器(108)可以将支付凭证传送给请求者装置(122)，或给支付处理网络(106)以用于向前转发到任何可适用的金融机构(132至138)。本发明的实施方式视情况而定提供要格式化成由支付处理网络、金融机构或商人请求者装置的金融处理器期望的格式的支付凭证并且可以使用例如这样的金融处理器的公钥来再加密。

本发明的实施方式还提供了要被配置为标识能够应用于交易的适当的优惠券和份额的可远程访问服务器(108)并且还可以提供关于要由消费者选择的最适当的支付凭证的推荐。除此之外，针对商人(例如与商人的优惠程序对应)的优惠标识可以连同解密密钥一起被存储在密码模块上并且可以连同支付凭证一起被自动地呈现给商人。此外，本发明提供了要由可远程访问服务器(108)提供的个人定价动机并且还预期一个消费者能够直接支付另一消费者的“卡对卡”交易。例如，“接收者”消费者可以获取“支付者”消费者的别名(例如MSISDN号码)并且经由可远程访问服务器(108)从“支付者”请求资金。附加地，本发明的实施方式预期除实体交易场景之外的e-commerce以及m-commerce交易场景。

图3A是例示了根据本发明的实施方式的进行交易的方法的流程图。该方法在具有存储在其安全存储器中的基于移动的凭证并且具有向可远程访问服务器注册的关联别名的消费者的移动装置处进行。

该方法包括从可远程访问服务器接收对于基于移动的凭证的请求的第一步骤(302)。请求是在移动装置处响应于请求者装置从消费者接收到别名而接收到的。在接着的步骤(304)中，移动装置从安全存储器访问基于移动的凭证。

在本发明的一些实施方式中，移动装置包括具有提供安全存储器的安全存储元件和安全访问元件的密码模块。在这样的实施方式中，从安全存储元件访问基于移动的凭证的步骤(304)可以使用安全访问元件来通过经认证的通信接口从安全存储元件可证明地请求并且接收基于移动的凭证。

因此，从安全存储器访问基于移动的凭证的步骤(304)可以包括在安全访问元件处接收消费者的基于移动的凭证选择的初始步骤(306)，以及在下一个步骤(308)中，在安全访问元件处输入接收由消费者输入的针对所选择的基于移动的凭证的密码。在下一个步骤(310)中，安全访问元件可以通过经认证的通信接口将所接收到的密码从安全访问元件发送到安全存储元件。在接着的步骤(312)中，安全存储元件将所输入的密码与存储在其中的所输入的密码的偏移相比较，并且如果(314)密码对应于偏移，则安全存储元件在下一个步骤(316)中通过经认证的通信接口将所选择的基于移动的凭证发送到安全访问元件。

在初始步骤(318)中，基于移动的凭证被发送到可远程访问服务器。基于移动的凭证然后可在可远程访问服务器处与基于存储在那里的基于服务器的凭证相结合地用于获得在完成交易时可用的支付凭证。

基于移动的凭证可以是加密的支付凭证或与加密的支付凭证对应的解密密钥中的一个并且基于服务器的凭证可以是与加密的支付凭证对应的解密密钥或加密的支付凭证中的另一个。

图3B是例示了其中基于移动的凭证是在对对应的加密的支付凭证进行解密时可用的解密密钥并且基于服务器的凭证包括经加密的支付凭证的用于交易的方法的实施方式的流程图。该方法在移动装置处进行，但是可以在耦接至移动装置的密码模块处进行这些步骤中的一些或全部。

该方法始于从可远程访问服务器接收对于解密密钥的请求的第一步骤(322)。本发明的实施方式提供了要由密码模块经由通信网络耦接至的移动装置接收的请求。例如，请求可以由密码模块解释。

在下一个步骤(324)中，密码模块将请求标识为对于解密密钥的请求并且经由移动装置的消费者接口向消费者通知这样的请求的接收并且还提示消费者对该请求进行授权。在这样做时，密码模块可以提示消费者经由移动装置的消费者接口将密码输入到密码模块中。在接着的步骤(326)中，密码模块将所输入的密码与存储在该密码模块内的所输入的密码的偏移相比较。如果(328)由消费者输入的密码对应于偏移，则密码模块还可以提示消费者选择消费者希望利用哪些支付凭证，在此情况下密码模块还将接收消费者的选择作为输入。在最终步骤(330)中，密码模块将解密密钥传送给可远程访问服务器。

图3C是与图3A和图3B的那些流程图类似的流程图并且例示了其中基于移动的凭证包括加密的支付凭证的用于交易的方法的实施方式。该方法在具有安全存储元件(SSE)和安全访问元件(SAE)的密码模块处进行并且包括从可远程访问服务器接收对于支付凭证的请求的第一步骤(342)。

在下一个步骤(344)中，密码模块的SAE向消费者通知支付凭证的接收并且可以请求消费者对交易进行授权。在这样做时，密码模块可以提示消费者将密码输入到密码模块中。

在接着的步骤(346)中，密码模块的SAE将由消费者输入的密码与存储在密码模块的安全存储器中的输入的密码的偏移相比较。可以将密码存储在密码模块的SAE的安全存储器中或在密码模块的SSE的安全存储器中。

如果(348)由消费者输入的密码对应于存储在密码模块的安全存储器中的偏移，则解密模块的SAE在下一个步骤(350)中经由经认证的通信接口可证明地访问被可证明地存储在SAE的安全存储器内的支付凭证。然而，SSE可能在将支付凭证释放给SAE之前需要正确输入凭证特定密码，在此情况下密码模块可以在SSE将支付凭证释放给SAE之前提示消费者输入要对照存储在SSE的安全存储器内的偏移来检查的密码。

在最终步骤(352)中，SAE将它从SSE接收到的支付凭证传送给可远程访问服务器。SAE可以在将支付凭证传送给可远程访问服务器之前将支付凭证格式化成ISO8583标准格式化消息。

图4A至图4C是例示了进行交易的方法的流程图。这些方法在可以存储有至少一个基于服务器的凭证的可远程访问服务器处进行。

基于服务器的凭证可以是加密的支付凭证或与加密的支付凭证对应的解密密钥中的一个，然而基于移动的凭证可以是与加密的支付凭证对应的解密密钥或加密的支付凭证中的另一个，并且其中，与基于服务器的凭证相结合地使用所接收到的基于移动的凭证来获得支付凭证使用解密密钥来对经加密的支付凭证进行解密。

现在参照图4A，在第一步骤(402)中，响应于请求者装置从消费者接收到别名而从请求者装置接收别名。在一些实施方式中，这可以包括接收可以包括交易价值和交易产品细节中的一个或这两者的交易信息(例如库存单位信息)。

在接着的步骤(404)中，可远程访问服务器标识与别名相关联的消费者的移动装置，并且在下一个步骤(406)中，从所标识的移动装置请求基于移动的凭证。可远程访问服务器然后在下一个步骤(408)中从移动装置接收已被从移动装置的安全存储器访问的基于移动的凭证，并且在接着的步骤(410)中，与基于服务器的凭证相结合地使用所接收到的基于移动的凭证来获得在完成交易时可用的支付凭证。

在一些实施方式中，该方法可以包括区转化所获得的支付凭证以用于由金融机构的金融处理器进行处理的另一步骤(412)以及将经区转化的支付凭证发送到金融机构的金融处理器以用于在完成交易时使用的下一个步骤(414)。区转化所获得的支付凭证的步骤(412)可以包括将所获得的支付凭证格式化成由金融处理器期望的格式并且对经格式化的支付凭证进行再加密。金融机构可以是以下各项的组中的一个：支付处理网络；获取金融机构；发行金融机构；或商人。

图4B和图4C是例示了在可远程访问服务器处进行的方法的特定实施方式的流程图。在图4B中，基于移动的凭证是与加密的支付凭证对应的解密密钥并且基于服务器的凭证是所对应的加密的支付凭证。在图4C中，基于移动的凭证包括可以被加密的支付凭证。在一些实施方式中，提供了作为对应的加密的支付凭证的解密密钥的基于服务器的凭证，但是在其它实施方式不提供它。

图4B和图4C的流程图的初始步骤(422、424、442和444)是类似的。在第一步骤(422、442)中，可远程访问服务器从请求者装置接收别名、对于支付凭证的请求和交易信息。别名可能已由希望进行购买的消费者呈现给商人。接受别名作为支付方法的商人可能已将别名连同产品信息和其它交易信息一起输入到他的或她的请求者装置中，所述请求者装置然后将这个信息传送给可远程访问服务器。

在接下来的步骤(424、444)中，可远程访问服务器标识对应于从请求者装置接收到的别名的移动装置。这可能涉及使用别名来执行数据库查找以得到与该别名对应的消费者简档，并且提取可以被用于将通信从可远程访问服务器路由到所标识的先前已向可远程访问服务器注册的消费者的移动装置的消费者简档信息。这样的路由信息可以包括例如使得可远程访问服务器能够通过移动网络将通信路由到移动装置的MSISDN。

图4B和图4C的以下步骤不同。在图4B的流程图的以下步骤(426)中，可远程访问服务器从在先前步骤中标识了的移动装置请求用于支付凭证的解密密钥。可以通过移动网络(诸如蜂窝网络等)传送请求。在图4C的以下步骤(446)中，可远程访问服务器将对于支付凭证的请求转发到在先前步骤(444)中标识了的移动装置。可以通过移动网络(诸如蜂窝网络等)转发请求。

在图4B的流程图的下一个步骤(428)中，可远程访问服务器接收从移动装置请求到的所请求的解密密钥。

类似地，可远程访问服务器在图4C的下一个步骤(448)中接收从移动装置请求了的支付凭证。根据本发明的实施方式支付凭证可能已被可证明地在移动装置上存储在SSE中并且在消费者认证时由SAE可证明地访问。可以在ISO8583标准格式化消息中接收支付凭证。在一些实施方式中，所接收到的支付凭证由作为加密的支付凭证的基于移动的凭证来提供，在此情况下作为与经加密的支付凭证对应的解密密钥的基于服务器的凭证被提供并且被与基于移动的凭证相结合地用于获得支付凭证。

在图4B的以下步骤(430)中，可远程访问服务器使用解密密钥来对存储在可远程访问服务器的HSM中的对应的支付凭证进行解密。除此之外，本发明的实施方式提供了要区转化成用于接收支付凭证的实体(例如，获取或发行金融机构、请求者装置、支付处理网络等)的区。

在图4B的最终步骤(432)中，可远程访问服务器将支付凭证传送给以下各项的组中的一个或更多个：请求者装置；获取金融机构；以及支付处理网络，使得交易可以完成。

因为图4C的实施方式提供未被加密的支付凭证，所以在最终步骤(450)中，可远程访问服务器将可以被封装在ISO8583标准格式化消息中的所接收到的支付凭证和交易信息传送给支付处理网络，使得交易可以完成。在其它实施方式中，支付凭证可以一直是加密的支付凭证，在此情况下还可以提供使用基于服务器的解密密钥来对经加密的支付凭证进行解密的步骤。

图5是例示了根据本发明的另一实施方式的方法的流程图。尽管该方法被描述为在移动装置处进行，但是情况可能是这样的，即这些步骤中的一些或的确全部事实上是在耦接至移动装置的密码模块处或甚至由该密码模块的安全访问元件和安全存储元件进行的。视情况而定，移动装置和/或密码模块可配置为在不同模式下操作。

在第一模式下，移动装置将向消费者呈现所接收到的所有基于移动的凭证请求。在第二模式下，移动装置将向消费者仅呈现起源于已知源(例如，可信的或预先授权的商人)的基于移动的凭证请求，并且在第三模式下，移动装置将自动地拒绝对于被接收到的基于移动的凭证的所有请求。该图例示了在第一步骤(502)中移动装置从可远程访问服务器接收对于基于移动的凭证的请求。在一些实施方式中，这个请求可以由密码模块接收，然而在其它实施方式中它可以由SAE接收。

如果(503)移动装置/密码模块/SAE处于第一模式，则在下一个步骤(504)中消费者被通知解密密钥请求的接收并且可以请求对交易进行授权。在这样做时，移动装置/密码模块/SAE可以提示消费者输入密码。

在下一个步骤(506)中，所输入的密码与所输入的密码的偏移相比较。可以将密码存储在密码模块的SAE的安全存储器中或在密码模块的SSE的安全存储器中。

如果(507)由消费者输入的密码对应于偏移，则在接着的步骤(508)中访问基于移动的凭证。在一些实施方式中SAE可以通过经认证的通信接口从SSE访问基于移动的凭证。在其它实施方式中，可以从移动装置的安全存储器访问基于移动的凭证。此外，在一些实施方式中，SSE可能在将基于移动的凭证释放给SAE之前需要正确输入密码，在此情况下可以提示消费者在SSE将基于移动的凭证释放给SAE之前输入要对照存储在SSE的安全存储器内的偏移来检查的密码。

在最终步骤(510)中，基于移动的凭证被传送给可远程访问服务器。SAE可以在将基于移动的凭证传送给可远程访问服务器之前将基于移动的凭证格式化成ISO8583标准格式化消息。

如果(503)移动装置/密码模块/SAE处于第二模式，则移动装置/密码模块/SAE可以首先对照请求者的准许列表来检查已从可远程访问服务器请求支付凭证的请求者，并且如果(511)请求起源于已知的或准许的请求者，则该请求被呈现给消费者并且遵循以上所描述的步骤(504至510)，使得可以将基于移动的凭证传送给可远程访问服务器。如果不是，则在下一个步骤(512)中移动装置自动地拒绝请求。如果移动装置处于第三模式，则拒绝由移动装置接收到的所有请求。

本发明的实施方式还提供密码模块，所述密码模块还可以被称为安全元件或硬件安全模块，并且所述密码模块可以耦接至移动装置。在优选实施方式中，密码模块有公用处理单元(PPU)和安全处理单元(SPU)。在更优选实施方式中，密码模块有可以为安全处理单元并且在下文中称为“安全存储元件(SSE)”的合格存储元件以及可以为公用处理单元并且在下文中称为“安全访问元件(SAE)”的合格访问元件。SSE提供安全存储器并且被配置为以证明方式存储一个或更多个基于移动的凭证等其它数据，然而SAE被配置为响应于接收到对于基于移动的凭证的请求而以合格方式访问解密密钥并且配置为将基于移动的凭证传送给可远程访问服务器以用于在获得在完成交易时可用的支付凭证时与基于服务器的凭证相结合地使用。

图6是例示包括SAE(602)和耦接至该SAE(602)的SSE(604)的根据本发明的实施方式的密码模块(600)的框图。应该注意，尽管SSE(604)耦接至SAE(602)，但是密码模块(600)在SSE(604)与SAE(602)之间提供逻辑和/或物理分离(606)。“物理分离”指代SSE(604)与SAE(602)之间的某种物理边界。例如，SSE(604)和SAE(602)能够利用单独的半导体裸片或单独地封装的半导体芯片加以实现并且作为单独的半导体裸片或单独地封装的半导体芯片被制造，并且裸片或芯片的物理边界能够用作物理分离。“逻辑分离”指代SSE(604)与SAE(602)之间的通信接口和存储存储器的分离。如图6所示，SAE(602)有移动装置接口(608)以及与SSE(604)的到SAE的通信接口(612)分离的到SSE的通信接口(610)。SAE(602)还有它自己的安全存储器614)，其与SSE(604)的安全存储器(622)分离。如将在下面所说明的，在SSE(604)与SAE(602)之间提供的逻辑和/或物理网络(606)在硬件角色上产生划分以保护SSE(604)和存储在其安全存储器(622)中的内容免于未授权访问。

根据一些实施方式，SAE(602)包括密码处理器(618)、安全存储器(614)、到移动装置的接口(608)以及SAE至SSE接口(610)。密码处理器(618)能够作为一个或更多个密码处理器、处理器或控制器被实现。密码处理器与通用处理器不同，因为密码处理器包括诸如被优化来执行计算密集密码功能的一个或更多个密码算术逻辑单元(ALU)(626)的专用电路和硬件。密码ALU(626)能够包括优化的流水线和更宽的数据总线以使得密码处理器(618)能够比通用处理器更快地且更高效地执行密码操作。

安全存储器(614)耦接至密码处理器(618)，并且提供存储部以存储数据和可执行代码，所述可执行代码当由密码处理器(618)执行时，使密码处理器(618)运行操作系统(OS)和/或应用以管理密码模块(600)的功能性和操作，并且以处理信息在SAE(602)的各种接口之间的交换。安全存储器(614)还可以包括例如可以存储个人标识号码(PIN)和/或口令和/或密码偏移的数据存储部(628)。

移动装置接口(608)耦接至与移动装置(例如，移动电话)接口对接的一组电接触部，并且提供能够包括时钟信号和一个或更多个数据输入/输出(I/O)信号的一组信号以在SAE(602)与移动装置之间发送和接收命令和信息。此外，本发明的实施方式提供要耦接至与诸如通信卡(例如，订户身份模块(SIM)卡)的通信组件接口对接的一组电接触部的移动装置接口(608)，并且提供能够包括时钟信号和一个或更多个数据输入/输出(I/O)信号的一组信号以在SAE(602)与通信组件之间发送和接收命令和信息。SAE至SSE接口(610)耦接至SSE(604)，并且提供能够包括时钟信号和一个或更多个数据输入/输出(I/O)信号的一组信号以向SSE(604)发送诸如基于移动的凭证请求或加密和解密请求的命令和信息，并且以从SSE(604)接收诸如基于移动的凭证或加密和解密结果的命令和信息。因为SSE(604)与SAE(602)之间的逻辑和物理分离(606)，SSE(604)仅被暴露于SAE(602)，并且除了通过SAE(602)之外，对于移动装置而言或对于通信组件而言不可访问。因此，SAE(602)能够用作防火墙或网关守卫以确保诸如黑客尝试的未授权的或不需要的通信未被发送到SSE(604)。

根据一些实施方式，SSE(604)包括密码处理器(620)、安全存储器(622)和SSE至SAE接口(612)。SSE(604)还能够包括篡改检测传感器(624)。如以上所提到的，SSE(604)仅可从SAE(602)访问，并且通过SSE至SAE接口(612)从SAE(602)接收命令和信息。SSE至SAE接口(612)提供能够包括时钟信号和一个或更多个数据输入/输出(I/O)信号的一组信号，耦接至SSE(604)能够用于与SAE(602)进行通信的SAE至SSE接口(610)。在一些实施方式中，SSE(604)将仅对通过SSE至SAE接口(612)接收到的来自SAE(602)的基于移动的凭证或加密和解密请求做出响应。

密码处理器(620)能够作为一个或更多个处理器、控制器或密码处理器被实现并且还可以包括密码ALU(628)，所述密码ALU(628)能够包括优化的流水线和更宽的数据总线以使得密码处理器(620)能够比通用处理器更快且更有效地执行密码操作。

安全存储器(622)耦接至密码处理器(620)，并且可以被分割为密码密钥存储部(630)和数据存储部(632)。数据存储部(632)能够由密码处理器(620)读取和写入，并且提供存储存储器以存储消费者数据，所述消费者数据可以被加密并且能够包括基于移动的凭证、以及在SSE至SAE接口(612)上从SAE(602)接收到的数据和通过SSE至SAE接口(612)发送到SAE(602)的加密和解密结果。密码密钥存储部(630)对于密码处理器(620)而言可能是只读的，并且可以被用于存储密码密钥、基于移动的凭证和加密算法。存储在密钥存储部(630)中的密码密钥可以包括能够被用于对传入消息或通知进行解密或者对传出消息或通知进行加密的密码密钥。存储在密码密钥存储部(630)中的密码密钥和算法可以在密码模块(600)的制造期间由制造商提供，并且在没有仅为制造商和/或诸如移动网络运营商或无线服务提供商的被授权提供密码模块(600)的授权方所知的主密钥的情况下不能够被外部源更改。另选地，根据本发明的实施方式基于移动的凭证可以由可远程访问服务器(例如，图1的可远程访问服务器(108))提供给SSE(604)。存储在密码密钥存储部(630)中的密码密钥和算法能够被提供来执行各种加密标准和协议，包括但不限于高级加密标准(AES)、数据加密标准(DES)、三重数据加密标准/算法(TDES/TDEA)、安全套接字层(SSL)、Blowfish、Serpent、Twofish、国际数据加密算法(IDEA)、Rivest,Shamir,&Adleman(RSA)、数字签名算法(DSA)、微型加密算法(TEA)、扩展TEA(XTEA)和/或其它加密算法或协议。

在一些实施方式中，SSE(604)还可以包括用于检测对密码模块(600)进行篡改的外部尝试的篡改检测传感器(624)。例如，篡改检测传感器(624)可以包括用于检测可以指示有人试图去焊接密码模块(600)的组件的温度的温度传感器，和/或用于感测可以指示有人试图解剖或切开密码模块(600)的对密码模块(600)的结构变化的机械传感器。篡改检测传感器(624)还可以包括用于感测可以指示有人试图探测密码模块(600)的组件的对密码模块(600)的电路的特定电压、电流或阻抗变化的电传感器，和/或用于感测可以指示有人试图检查密码模块(600)的诸如X射线的特定辐射的电磁传感器。在一些实施方式中，篡改检测传感器(624)可以包括能够响应于检测到对密码模块(600)进行篡改的尝试而擦除并且擦去安全存储器(622)的内容以致使SSE(604)和/或密码模块(600)不可用的电路。密码模块(600)还能够配置有能够被由篡改检测传感器(624)响应于检测到对密码模块(600)进行篡改的尝试而释放的溶剂溶解有机或可溶互连。在一些实施方式中，篡改检测传感器(624)可以被配置为对不正确的PIN/密码/口令输入的数量进行检测计数并且将该数量与预定阈值相比较。篡改检测传感器(624)可以被配置为万一达到了预定阈值则擦擦SSE(604)的安全存储器(622)。在其它实施方式中，密码模块可以进入“锁定”或不可用状态，或者万一不正确的PIN/密码/口令输入的数量达到预定阈值，可以擦净安全存储器。

本发明的实施方式提供要作为诸如可以在“芯片和PIN”信用卡或智能卡上找到的那些的安全集成电路(IC)的SSE(604)。示例性SSE可以包括由NXPSemiconductorsGmbH、Samsung、STMicroelectronics、Atmel、INSIDEelectronics、InfineonTechnologiesAG等制造的那些，其已经由EMVCo作为用于在Europay-Mastercard-Visa(EMV)信用卡中使用的准许产品被列举。另选地，SSE(604)可以相当于用于在EMV信用卡中使用而准许的IC，因为它们满足如由EMVCo或任何其它可适用的标准组织规划的类似的安全要求。

类似地，本发明提供SAE(602)以及它对接至SSE(604)的方式，以满足由EMVCo为终端型准许提供的规范。SAE(602)可以是与SSE(604)相同类型的安全集成电路或者可以是类似类型的安全集成电路。SAE(602)以及SAE(602)与SSE(604)之间的接口可以满足EMVCo级别1或级别2类型准许规范。

此外，SAE至SSE接口(610)与SSE至SAE接口(612)之间的通信接口(634)可以是ISO7816经认证的通信接口。例如，可以根据在ISO7816-3标准和组织中规划的指南来实现SAE至SSE接口(610)与SSE至SAE接口(612)之间的电接口和传输协议，可以根据在ISO7816-4标准中规划的指南来实现用于SAE至SSE接口(610)与SSE至SAE接口(612)之间的交换的安全和命令。经认证的通信接口(634)可以是应用协议数据单元(APDU)或其实施方式。此外，密码模块(600)可以被实现为使得可以满足FIPS140-4证书或任何其它可适用的和/或等效的证书。

图7A例示了本发明的另选的实施方式，其中密码模块(700)(其与图6的密码模块类似)被布置在能够附着至移动装置的通信组件的标签(702)中。示例性通信组件包括SIM卡、智能卡或存储器卡。示例性移动装置包括移动电话、平板计算机、膝上型计算机、个人数字助理等。在所例示的实施方式中，通信组件是小型SIM卡(704)。图7B示出了图7A的标签(702)的截面图。图7B示出了包括布置在标签(702)的顶面上以用于对接至移动装置的第一组电接触部(706)以及布置在标签(702)的底面上以用于对接至SIM卡(704)的电接触部(708)的第二组电接触部(710)。本发明的实施方式还可以假设密码模块(700)被限制用于在一个SIM卡(704)上使用。例如，密码模块(700)可以与具有特定ICCID或IMSI号码的SIM卡(704)兼容。这将意味着标签(702)不能够被从其SIM卡(704)去除并且放置在另一SIM卡上。另选地，密码模块(700)可能局限于特定移动网络运营商的SIM卡，或者可能限于与特定MSISDN对应的SIM卡。在本发明的一些实施方式中，密码模块(700)可以被直接布置在诸如SIM卡(704)的通信组件中，从而避免对于标签(702)的需要。

图8例示了根据图7A和图7B所例示的实施方式的密码模块(800)。图8示出了包括连接至电接触部(842)以用于对接至移动装置的通信组件阅读机的电接触部的移动装置接口(808)以及连接至电接触部(840)以用于对接至移动装置的通信组件的通信接口(809)。图7A、图7B和图8所例示的标签的电接触部因此使得密码模块能够经由移动装置的消费者接口来接收消费者输入、经由移动装置通过移动网络从可远程访问服务器接收对于基于移动的凭证(其例如可以是支付凭证或解密密钥)的请求并且经由移动装置通过移动网络与支付处理网络进行通信。

本发明的实施方式还可以被扩展至其中提供了一次性或一次支付凭证的用于交易的系统、方法和装置。在这样的实施方式中，消费者可以像已经在前面描述中所描述的那样使从发行实体向可远程访问服务器发行的静态支付凭证被存储在可远程访问服务器的HSM中或在消费者的装置的密码模块中。根据前面描述，消费者然后在购买时将别名提供给然后使用他的或她的请求者装置来请求支付凭证的商人。接收到这个请求的可远程访问服务器可以在适当情况下从移动装置请求作为支付凭证或解密密钥的基于移动的凭证。响应于视情况而定接收到解密密钥或静态支付凭证，可远程访问服务器请求由消费者的发行者生成的一次性支付凭证。消费者的发行者将这样的一次性支付凭证供应给然后可以将所述一次性支付凭证传送给以下各项的组中的一个或更多个的可远程访问服务器：消费者的移动装置；商人的请求者装置；以及商人的获取金融机构。以这种方式，消费者的静态支付凭证决不被传送给商人或获取金融机构。替代地，商人或获取金融机构接收静态支付凭证，所述静态支付凭证然后能够被路由回到发行实体以取代静态支付凭证。

图9是例示了根据本发明的实施方式的用于进行交易的系统(900)的示意图。该示意图例示了系统(900)的移动装置(901)、请求者装置(930)和可远程访问服务器(950)的组件。可远程访问服务器(950)可以经由一个或更多个通信网络(924)与移动装置(901)和请求者装置(930)通信。应当了解，尽管示出了仅一个移动装置(901)和一个请求者装置(930)，但是系统(900)的实际实施方式可以包括多个这些中的每一个。

消费者(920)的移动装置(901)有使至少一个基于移动的凭证存储在其中的安全存储器(902)以及用于从可远程访问服务器(950)接收对于至少一个基于移动的凭证的请求的请求接收组件(904)。请求是响应于请求者装置(930)从消费者接收到别名而被接收到。移动装置还包括用于从安全存储器访问至少一个基于移动的凭证的访问组件(906)以及用于将该至少一个基于移动的凭证发送到可远程访问服务器(950)的发送组件(908)。至少一个基于移动的凭证然后在可远程访问服务器(950)处与存储在那里的基于服务器的凭证相组合地用于获得在完成交易时可用的支付凭证。

本发明的实施方式提供要作为加密的支付凭证或与加密的支付凭证对应的解密密钥中的一个的至少一个基于移动的凭证并且提供要作为与加密的支付凭证对应的解密密钥或加密的支付凭证中的另一个的基于服务器的凭证。

别名可以是以下各项的组中的一个：移动装置的移动订户综合服务数字网络号码(MSISDN)；由消费者注册的电子邮件地址；消费者的身份号码；由消费者注册的用户名；近场通信(NFC)或射频标识(RFID)可发送的别名。

在本发明的一些实施方式中，移动装置(901)包括如已经在上文描述并且有安全存储元件和安全访问元件的密码模块。安全存储器可以由安全存储元件提供并且安全访问元件可以被配置为通过经认证的通信接口从安全存储元件访问基于移动的凭证。此外，在一些实施方式中，安全访问元件和安全存储元件由相应的安全集成电路(IC)提供并且逻辑上且物理上彼此分开。经认证的通信接口可以由国际标准化组织(ISO)7816通信接口提供。此外，可以将基于移动的凭证包括在从移动装置向可远程访问服务器发送的ISO8583消息中。

可远程访问服务器(950)可以存储有至少一个基于服务器的凭证并且包括用于响应于请求者装置从消费者接收到别名而从请求者装置(930)接收别名的别名接收组件(952)。可远程访问服务器(950)还包括用于标识对应于别名的消费者的移动装置(901)的标识组件(954)。如用于从移动装置(901)接收基于移动的凭证的凭证接收组件(958)一样，请求组件(956)还被提供用于从所标识的移动装置(901)请求基于移动的凭证。可远程访问服务器(950)还包括用于与至少一个基于服务器的凭证相组合地使用所接收到的基于移动的凭证来获得在完成交易时可用的支付凭证的获得组件(960)。

因为基于移动的凭证是加密的支付凭证或与加密的支付凭证对应的解密密钥中的一个并且对于基于服务器的凭证来说是与加密的支付凭证对应的解密密钥或加密的支付凭证中的另一个，所以可远程访问服务器(950)可以被配置为通过使用解密密钥对经加密的支付凭证进行解密来获得支付凭证。

商人(922)的请求者装置(930)可以包括用于从消费者接收别名的输入组件(932)以及用于向可远程访问服务器发送交易信息和别名的数据发送组件(934)。请求者装置(930)可以是以下各项的组中的一个或更多个：销售点装置；商人(922)的移动装置；商人的具有密码模块的移动装置；或商人(922)的电子商务支付服务器。交易信息可以包括交易价值和交易产品细节中的一个或这两者，并且交易产品细节可以包括库存单位信息。在一些实施方式中，可远程访问服务器被配置为接收具有别名的交易信息。

图10是例示了根据本发明的一些实施方式的用于进行交易的密码模块(1000)的组件的示意图。密码模块(1000)包括用于可证明地存储至少一个基于移动的凭证的安全存储元件(1010)、用于执行合格凭证访问操作的安全访问元件(1020)以及被配置为在安全存储元件与安全访问元件之间提供合格通信的经认证的通信接口(1030)。

安全访问元件(1020)被配置为接收由消费者输入到安全访问元件(1020)中的密码并且配置为通过经认证的通信接口(1030)将所接收到的密码发送到安全存储元件(1010)。安全存储元件(1010)被配置为通过经认证的通信接口(1030)从安全访问元件(1020)接收所输入的密码并且配置为将所输入的密码与存储在其中的所输入的密码的偏移相比较。如果密码对应于偏移，则安全存储元件(1010)被配置为通过经认证的通信接口(1030)将所选择的基于移动的凭证发送到安全访问元件(1020)以用于发送到可远程访问服务器。基于移动的凭证在可远程访问服务器处与存储在那里的基于服务器的凭证相组合地用于获得在完成交易时可用的支付凭证。

在本发明的一些实施方式中，安全存储元件可以模拟多个EMV或“芯片和PIN”、信用卡或银行卡，然而安全访问元件模拟EMV读卡器和PIN输入装置。经认证的通信接口模拟EMV信用卡与EMV读卡器之间的触点和通信接口。消费者因此也许能在与多个EMV信用卡对应的基于移动的凭证之间选择。安全访问元件以模拟读取EMV卡的EMV读卡器的方式访问支付凭证。

在所例示的实施方式中并且如已经在前面说明书中所公开的，密码模块(1000)被布置在标签中并且提供布置在其顶面上以用于对接至移动装置的第一组电接触部(1022)以及布置在其底面上以用于对接至通信组件的第二组电接触部(1024)。标签还可以提供被配置为将标签附着至通信组件的耦接元件，使得密码模块可以经由移动装置的消费者接口接收消费者输入。电接触部(1022、1024)分别可以是用于对接至移动装置的SIM卡的ID000电接触部和移动装置的SIM卡触点。

在本发明的其它实施方式中，密码模块可以耦接至移动装置并且与移动装置电通信，并且能够经由移动装置的消费者接口接收消费者输入以及经由移动装置与可远程访问服务器进行通信。

图11A和图11B是分别例示了根据本发明的实施方式的示例性发行流程和交易流程的示意图。这些图示出了发行金融机构(1102)、可远程访问服务器(1104)、消费者(1106)、商人(1108)、获取金融机构(1110)和支付处理网络(1112)。

消费者(1106)可以已经向可远程访问服务器(1104)注册了消费者的移动装置，意味着该可远程访问服务器能够接收消费者的注册别名并且能够标识与该别名对应的消费者的移动装置。

如图11A所例示的，发行金融机构(1102)可以通过在第一步骤(1122)中向可远程访问服务器(1104)发送支付凭证来给消费者(1106)发行支付凭证。可远程访问服务器然后可以对支付凭证进行加密，使得可以仅使用对应的唯一解密密钥来对支付凭证进行加密。可远程访问服务器然后可以标识与消费者(1106)对应的移动装置，并且在下一个步骤(1124)中，向消费者的移动装置发送作为经加密的支付凭证或解密密钥中的一个的基于移动的凭证以用于存储在其安全存储器中。可远程访问服务器(1104)与例如消费者简档相关联地存储作为解密密钥或加密的支付凭证中的另一个的基于服务器的凭证。一旦基于移动的凭证已被安全地存储在移动装置的安全存储器中，发行过程就完成并且消费者(1106)能够使用所发行的支付凭证来进行交易。

图11B例示了根据本发明的实施方式的示例性交易流程。例如可能希望从商人(1108)购买产品的消费者(1106)通过在第一步骤(1132)中给商人(1108)提供消费者的别名来发起交易。商人(1108)在下一个步骤(1134)中将别名连同其它交易信息一起发送到可远程访问服务器(1104)。可远程访问服务器(1104)接收别名，标识消费者(1106)的对应移动装置1并且在接着的步骤(136)中向移动装置发送对于支付凭证的请求。消费者(1106)通过移动装置通知了对于支付凭证的请求，并且如果消费者希望允许交易，则在下一个步骤(1138)中使基于移动的凭证被从移动装置的安全存储器发送(例如通过输入密码以对消费者进行认证并且对交易进行授权)到可远程访问服务器(1104)。在接收到基于移动的凭证后，可远程访问服务器与所对应的基于服务器的凭证相结合地使用基于移动的凭证来获得在完成交易时可用的支付凭证。

可以以各种方式将支付凭证从可远程访问服务器(1104)发送到发行金融机构(1102)。在第一情况(1140)下，可远程访问服务器可以将支付凭证发送到商人(1108)以用于向前发送到商人的获取金融机构(1110)，并且从那里，可能经由支付处理网络(1112)发送到消费者(1106)的发行金融机构(1102)。在第二情况(1142)下，可以可能经由支付处理网络(1112)将支付凭证直接从可远程访问服务器(1104)发送到获取金融机构以用于传送给发行金融机构(1102)。在第三情况(1146)下，可以将支付凭证发送到支付处理网络(1112)以用于从那里发送到发行金融机构(1102)。在第四情况(1148)下，可以将支付凭证从可远程访问服务器直接发送到发行金融机构(1102)。一旦支付凭证已经由发行金融机构接收到，就可以按照将由本领域普通技术人员所了解的方式像通常那样处理交易。

在前述情况中的任一个下，可远程访问服务器(1104)可以被配置为将支付凭证区转化成由它们正被发送到的机构所期望的格式。此外，经区转化的支付凭证可以被再加密和/或通过加密通道来发送。

在本发明的一些实施方式中，可远程访问服务器或移动装置可以被配置为视情况而定将除支付凭证之外的个人凭证作为基于移动的凭证或基于服务器的凭证进行存储。例如，个人凭证可以包括由消费者用于国际旅行的消费者的护照。在这个实施方式中，请求者装置可能由更宽岗位人员维护。根据本发明的实施方式，利用根据本发明的这个实施方式的系统的消费者然后可能给更宽岗位人员提供他的或她的别名。更宽岗位人员然后将这个别名输入到请求者装置中，所述请求者装置向可远程访问服务器传送对于个人凭证的请求。将请求者装置识别为可信的更宽岗位请求者装置的可远程访问服务器然后请求可与基于服务器的凭证相结合地用于从消费者的移动装置获得个人凭证的基于移动的凭证。密码模块解释由根据本发明的实施方式的移动装置接收到的请求，并且响应于消费者输入，密码模块将所请求的基于移动的凭证传送给可远程访问服务器。基于移动的凭证可在可远程访问服务器处与对应的基于服务器的凭证相结合地使用，使得个人凭证可以被解密并且传送给请求者装置。更宽岗位人员然后能够查看个人凭证(在这种情况下为护照信息)。类似地，个人凭证可以包括生日证书、驾驶员驾照、身份簿、医疗记录、处方或任何其它这样的个人文档。请求者装置可以由诸如执法人员、医疗官或实习者、公务员等的任何适当的人员操作并且可以向可远程访问服务器预先注册。与支付凭证的情况类似，个人凭证可以由适当的管理局直接提供给可远程访问服务器。以这种方式，与以上所描述的支付凭证使用情况一样，个人凭证决不可“畅行无阻”使用。此外，电子火车通行凭证(诸如卡的电子火车通行凭证)例如还可以被存储在可远程访问服务器处。

因此以上所公开的本发明的实施方式提供了用于交易的系统、方法和装置。本发明提供被配置为可证明地存储基于移动的凭证并且响应于接收到对于基于移动的凭证的请求而可证明地访问所存储的基于移动的凭证并且将它传送给可远程访问服务器以用于与基于服务器的凭证相结合地用于获得在完成交易时可用的支付凭证。

图12例示了其中可以实现本公开的各种方面的计算装置(1200)的示例。计算装置(1200)可能适合于存储和执行计算机程序代码。先前描述的系统图中的各种参与者和元件可以使用计算装置(1200)的任何适合数量的子系统或组件来便于本文所描述的功能。

计算装置(1200)可以包括经由通信基础设施(1205)(例如，通信总线、交叉条装置或网络)互连的子系统或组件。计算装置(1200)可以包括至少一个中央处理器(1210)以及形式为计算机可读媒体的至少一个存储器组件。

存储器组件可以包括系统存储器(1215)，其可以包括只读存储器(ROM)和随机存取存储器(RAM)。可以将基本输入/输出系统(BIOS)存储在ROM中。可以将系统软件存储在包括操作系统软件的系统存储器(1215)中。

存储器组件还可以包括辅助存储器(1220)。辅助存储器(1220)可以包括固定盘(1221)(诸如硬盘驱动器)，并且可选地包括用于可移动存储组件(1223)的一个或更多个可移动存储接口(1222)。

可移动存储接口(1222)可以形式为用于对应的可移动存储组件(例如，磁带、光盘、软盘等)的可移动存储驱动器(例如，磁带驱动器、光盘驱动器、软盘驱动器等)，所述对应的可移动存储组件可以被写入可移动存储驱动器并且由可移动存储驱动器读取。

可移动存储接口(1222)还可以形式为用于与诸如闪速存储器驱动器、外部硬盘或可移动存储器芯片等的其它形式的可移动存储组件(1223)接口对接的端口或插口。

计算装置(1200)可以包括用于在使得能够在多个计算装置(1200)之间转移数据的联网环境中操作计算装置(1200)的外部通信接口(1230)。经由外部通信接口(1230)转移的数据可以形式为信号，所述信号可以是电子信号、电磁信号、光学信号、无线电信号或其它类型的信号。

外部通信接口(1230)可以使得能够在计算装置(1200)与包括服务器和外部存储设施的其它计算装置之间传送数据。Web服务也许可由计算装置(1200)经由通信接口(1230)访问。

外部通信接口(1230)还可以使得能实现去往和来自计算装置(1200)的其它形式的通信，包括语音通信、近场通信、蓝牙等。

形式为各种存储器组件的计算机可读媒体可以提供计算机可执行指令、数据结构、程序模块和其它数据的存储。计算机程序产品可以由已存储可由外部处理器(1210)执行的计算机可读程序代码的计算机可读介质来提供。

计算机程序产品可以由非暂时性计算机可读介质提供，或者可以经由通信接口(1230)经由信号或其它暂时手段来提供。

经由通信基础设施(1205)的互连使得中央处理器(1210)能够与各个子系统或组件进行通信并且控制来自存储器组件的指令的执行以及信息在子系统或组件之间的交换。

外围设备(诸如打印机、扫描器、相机等)和输入/输出(I/O)装置(诸如鼠标、触摸板、键盘、麦克风、游戏杆等)可以直接地或经由I/O控制器(1235)耦接至计算装置(1200)。这些组件可以通过本领域已知的任何数量的手段(诸如串行端口)连接至计算装置(1200)。

一个或更多个监视器(1245)可以经由显示或视频适配器(1240)耦接至计算装置(1200)。

图13示出了可以在本发明的实施方式中使用的通信装置(1300)的框图。通信装置(1300)可以是手机、功能电话、智能电话、卫星电话或具有电话能力的计算装置。

通信装置(1300)可以包括用于处理通信装置(1300)的功能的处理器(1305)(例如，微处理器)以及用于使得消费者能够看到电话号码以及其它信息和消息的显示器(1320)。通信装置(1300)还可以包括用于使得消费者能够将信息输入到装置中的输入元件(1325)(例如，输入按钮、触摸屏等)、用于使得消费者能够听到语音通信、音乐等的扬声器(1330)以及用于使得消费者能够通过通信装置(1300)来发送他的或她的语音的麦克风(1335)。

通信装置(1300)的处理器(1310)可以连接至存储器(1315)。存储器(1315)可以形式为存储数据并且可选地存储计算机可执行指令的计算机可读介质。

通信装置(1300)还可以包括用于连接至通信通道(例如，蜂窝电话网、数据传输网、Wi-Fi网络、卫星电话网、互联网网络、卫星互联网网络等)的通信元件(1340)。通信元件(1340)可以包括关联的无线传递元件，诸如天线。

通信元件(1340)可以包括形式为存储用于使用通信装置(1300)来对订户进行标识和认证的国际移动订户身份和相关密钥的集成电路的订户身份模块(SIM)。一个或更多个订户身份模块也许可从通信装置(1300)去除或者嵌入在通信装置(1300)中。

通信装置(1300)还可以包括无接触元件(1350)，其通常以具有关联的无线转移元件(诸如天线)的半导体芯片(或其它数据存储元件)的形式加以实现。无接触元件(1350)可以与通信装置(1300)相关联(例如，嵌入在通信装置(1300)内)并且经由蜂窝网络发送的数据和控制指令可以借助于无接触元件接口(未示出)施加到无接触元件(1350)。无接触元件接口可以用来许可在移动装置电路(并且因此蜂窝网络)与无接触元件(1350)之间交换数据和/或控制指令。

无接触元件(1350)也许能通常根据标准化协议或数据转移机制(例如，ISO14443/NFC)使用近场通信(NFC)能力(或近场通信介质)来传送和接收数据。近场通信能力是短距离通信能力，诸如射频标识(RFID)、蓝牙、红外线，或能够被用于在通信装置(1300)与询问装置之间交换数据的其它数据转移能力。因此，通信装置(1300)也许能经由蜂窝网络和近场通信能力这二者传送并且转移数据和/或控制指令。

存储在存储器(1315)中的数据可以包括：与通信装置(1300)的操作有关的操作数据、个人数据(例如，名字、生日、标识号码等)、金融数据(例如，银行账户信息、银行标识号码(BIN)、信用或借记卡号信息、账户结余信息、期满日期、优惠提供商账号等)、转换信息(例如，如在地铁或列车通行中一样)、访问信息(例如，如在门禁中一样)等。消费者可以将这个数据从通信装置(1300)发送到选择的接收器。

通信装置(1300)还可以是能够接收警报消息和访问报告的通知装置、能够被用于发送标识要应用的折扣的控制数据的便携式商人装置以及能够被用于进行支付的便携式消费者装置。

已经出于例示的目的呈现了本发明的实施方式的前面描述；它不旨在为详尽的或者将本发明限于所公开的精确形式。本领域技术人员能够了解，许多修改和变化鉴于上述公开是可能的。

本说明书的一些部分在对信息的操作的算法和符号表示方面描述本发明的实施方式。这些算术描述和表示通常由数据处理技术人员用于将它们的工作的本质有效地传达给本领域技术人员。这些操作虽然被在功能上、计算上或逻辑上描述，但是被理解为由计算机程序或等效电路、微码等实现。所描述的操作可以用软件、固件、硬件或其任何组合加以具体实现。

本申请中描述的软件组件或功能可以作为要由一个或更多个处理器使用例如常规或面向对象技术来利用诸如例如Java、C++或Perl的任何适合的计算机语言来执行的软件代码被实现。软件代码可以作为一系列指令或命令被存储在诸如随机存取存储器(RAM)、只读存储器(ROM)的非暂时性计算机可读介质、诸如硬盘或软盘的磁介质或诸如CD-ROM的光学介质上。任何这样的计算机可读介质还可以驻留在单个计算设备上或内，并且可以存在于系统或网络内的不同计算设备上或内。

本文所描述的步骤、操作或过程中的任一个可以单独或与其它装置相结合地用一个或更多个硬件或软件模块加以执行或实现。在一个实施方式中，软件模块用包括包含计算机程序代码的非暂时性计算机可读介质的计算机程序产品实现，所述计算机程序代码能够由计算机处理器执行以便执行所描述的步骤、操作或过程中的任一个或全部。

最后，本说明书中使用的语言已被主要选择用于可读性和指示目的，并且它可能尚未被选择为刻划或限定本发明主题。因此本发明的范围旨在不受此详细描述限制，而是相反受在基于此的申请上发行的任何权利要求限制。因此，本发明的实施方式的公开旨在为例示性的，而不限制在所附权利要求中阐述的本发明的范围。

Claims (25)

1.一种进行交易的方法，所述方法在具有存储在其安全存储器中的基于移动的凭证并且具有关联别名的消费者的移动装置处进行，所述方法包括以下步骤：

从可远程访问服务器接收对于所述基于移动的凭证的请求，所述请求响应于请求者装置从所述消费者接收到所述别名而被接收到；

从所述安全存储器访问所述基于移动的凭证；以及，

将所述基于移动的凭证发送到所述可远程访问服务器，

其中，所述基于移动的凭证能够在所述可远程访问服务器处与存储在所述可远程访问服务器的基于服务器的凭证相组合地用于获得在完成所述交易时可用的支付凭证。

2.根据权利要求1所述的方法，其中，所述基于移动的凭证是加密的支付凭证或与加密的支付凭证对应的解密密钥中的一个，并且所述基于服务器的凭证是与加密的支付凭证对应的解密密钥或加密的支付凭证中的另一个。

3.根据权利要求1或权利要求2中的任一项所述的方法，其中，所述移动装置包括具有安全存储元件和安全访问元件的密码模块，其中，所述安全存储器由所述安全存储元件提供，并且其中，从所述安全存储元件访问所述基于移动的凭证使用所述安全访问元件通过经认证的通信接口从所述安全存储元件可证明地请求并且接收所述基于移动的凭证。

4.根据权利要求3所述的方法，其中，许多基于移动的凭证被存储在所述安全存储元件中，并且其中，从所述安全存储元件访问基于移动的凭证包括以下步骤：

在所述安全访问元件处接收所述消费者的基于移动的凭证选择；

在所述安全访问元件处接收由所述消费者输入的针对所选择的基于移动的凭证的密码；

通过所述经认证的通信接口将所接收到的密码从所述安全访问元件发送到所述安全存储元件；

在所述安全存储元件处将所输入的密码与存储在所述安全存储元件中的所输入的密码的偏移相比较，并且

如果所述密码对应于所述偏移，则通过所述经认证的通信接口将所选择的基于移动的凭证从所述安全存储元件发送到所述安全访问元件。

5.一种进行交易的方法，该方法在存储有基于服务器的凭证的可远程访问服务器处进行并且包括以下步骤：

响应于请求者装置从消费者接收到别名而从所述请求者装置接收所述别名；

标识与所述别名相关联的所述消费者的移动装置；

从所标识的移动装置请求基于移动的凭证；

从所述移动装置接收基于移动的凭证，所述基于移动的凭证已被从所述移动装置的安全存储器访问；以及

与所述基于服务器的凭证相结合地使用所接收到的基于移动的凭证来获得在完成所述交易时可用的支付凭证。

6.根据权利要求5所述的方法，其中，所述基于移动的凭证是加密的支付凭证或与加密的支付凭证对应的解密密钥中的一个，并且所述基于服务器的凭证是与加密的支付凭证对应的解密密钥或加密的支付凭证中的另一个，并且其中，与所述基于服务器的凭证相结合地使用所接收到的基于移动的凭证来获得支付凭证的步骤使用所述解密密钥来对所述加密的支付凭证进行解密。

7.根据权利要求5或权利要求6中的任一项所述的方法，其中，从请求者装置接收别名包括接收交易信息，其中，所述交易信息包括交易价值和交易产品细节中的一个或这两者，并且其中，所述交易产品细节包括库存单位信息。

8.根据权利要求5至7中的任一项所述的方法，其中，所述方法还包括以下步骤：

区转化所获得的支付凭证以用于由金融机构的金融处理器处理；以及

将经区转化的支付凭证发送到所述金融机构的所述金融处理器以用于在完成所述交易时使用。

9.根据权利要求8所述的方法，其中，区转化所获得的支付凭证的步骤包括以下步骤：

将所获得的支付凭证格式化成由所述金融处理器期望的格式；以及，

对经格式化的支付凭证进行再加密。

10.根据权利要求9所述的方法，其中，所述金融机构是以下各项的组中的一个：支付处理网络；获取金融机构；发行金融机构；或商人。

11.一种用于进行交易的系统，该系统包括具有关联别名的消费者的移动装置并且包括：

安全存储器，所述安全存储器存储有基于移动的凭证；

请求接收组件，所述请求接收组件用于从可远程访问服务器接收对于所述基于移动的凭证的请求，所述请求响应于请求者装置从所述消费者接收到所述别名而被接收到；

访问组件，所述访问组件用于从所述安全存储器访问所述基于移动的凭证；以及

发送组件，所述发送组件用于将所述基于移动的凭证发送到所述可远程访问服务器，

其中，所述基于移动的凭证能够在所述可远程访问服务器处与存储在所述可远程访问服务器的基于服务器的凭证相组合地用于获得在完成所述交易时可用的支付凭证。

12.根据权利要求11所述的系统，其中，所述基于移动的凭证是加密的支付凭证或与加密的支付凭证对应的解密密钥中的一个，并且所述基于服务器的凭证是与加密的支付凭证对应的解密密钥或加密的支付凭证中的另一个。

13.根据权利要求11或权利要求12中的任一项所述的系统，其中，所述别名是以下各项的组中的一个：所述移动装置的移动订户综合服务数字网络号码(MSISDN)；由所述消费者注册的电子邮件地址；所述消费者的身份号码；由所述消费者注册的用户名；近场通信(NFC)或射频标识(RFID)可发送的别名。

14.根据权利要求11至13中的任一项所述的系统，其中，所述移动装置包括具有安全存储元件和安全访问元件的密码模块，其中，所述安全存储器由所述安全存储元件提供，并且其中，所述安全访问元件通过经认证的通信接口从所述安全存储元件访问所述基于移动的凭证。

15.根据权利要求14所述的系统，其中，所述安全访问元件和所述安全存储元件由相应的安全集成电路(IC)提供，其中，所述安全存储元件和所述安全访问元件逻辑上且物理上彼此分离，并且其中，所述经认证的通信接口由国际标准化组织(ISO)7816通信接口提供。

16.根据权利要求11至15中的任一项所述的系统，其中，所述系统还包括存储有基于服务器的凭证的可远程访问服务器，所述可远程访问服务器包括：

别名接收组件，所述别名接收组件用于响应于请求者装置从所述消费者接收到别名而从所述请求者装置接收所述别名；

标识组件，所述标识组件用于标识与所述别名对应的所述消费者的移动装置；

请求组件，所述请求组件用于从所标识的移动装置请求所述基于移动的凭证；

凭证接收组件，所述凭证接收组件用于从所述移动装置接收所述基于移动的凭证，所述基于移动的凭证已被从所述移动装置的安全存储器访问；以及

获得组件，所述获得组件用于与所述基于服务器的凭证相结合地使用所接收到的基于移动的凭证来获得支付凭证。

17.根据权利要求16所述的系统，其中，使用所接收到的基于移动的凭证和所述基于服务器的凭证来获得支付凭证的操作使用所述解密密钥来对所述加密的支付凭证进行解密。

18.根据权利要求11至17中的任一项所述的系统，其中，所述系统还包括请求者装置，所述请求者装置被配置为：

从所述消费者接收别名；并且，

将交易信息和所述别名发送到所述可远程访问服务器。

19.根据权利要求18所述的系统，其中，所述请求者装置是以下各项的组中的一个或更多个：销售点装置；商人的移动装置；商人的具有密码模块的移动装置；或商人的电子商务服务器，其中，所述交易信息包括交易价值和交易产品细节中的一个或这两者；其中，所述交易产品细节包括库存单位信息；并且其中，所述可远程访问服务器被配置为接收具有所述别名的所述交易信息。

20.一种用于进行交易的密码模块，所述密码模块包括：

安全存储元件，所述安全存储元件用于可证明地存储基于移动的凭证；

安全访问元件，所述安全访问元件用于执行合格凭证访问操作；以及

经认证的通信接口，所述经认证的通信接口被配置为在所述安全存储元件与所述安全访问元件之间提供合格通信；

其中，所述安全访问元件被配置为：

在所述安全访问元件处接收由所述消费者输入的密码；

通过所述经认证的通信接口将所接收到的密码发送到所述安全存储元件；

其中，所述安全存储元件被配置为：

通过所述经认证的通信接口从所述安全访问元件接收所输入的密码；

将所输入的密码与存储在所述安全存储元件中的所输入的密码的偏移相比较，并且

如果所述密码对应于所述偏移，则通过所述经认证的通信接口将所述基于移动的凭证发送到所述安全访问元件以用于发送到可远程访问服务器，

并且其中，所述基于移动的凭证能够在所述可远程访问服务器处与存储在所述可远程访问服务器的基于服务器的凭证相结合地用于获得在完成所述交易时可用的支付凭证。

21.根据权利要求20所述的密码模块，其中，所述基于移动的凭证是加密的支付凭证或与加密的支付凭证对应的解密密钥中的一个，并且所述基于服务器的凭证是与加密的支付凭证对应的解密密钥或加密的支付凭证中的另一个。

22.根据权利要求20或权利要求21中的任一项所述的密码模块，其中，所述密码模块耦接至移动装置并且与所述移动装置电通信，其中，所述密码模块经由所述移动装置的消费者接口接收消费者输入，并且其中，所述密码模块经由所述移动装置与所述可远程访问服务器进行通信。

23.根据权利要求20或权利要求21中的任一项所述的密码模块，其中，所述密码模块被布置在标签中，其中，所述标签包括：布置在所述标签的顶面上以用于对接至移动装置的第一组电接触部；布置在所述标签的底面上以用于对接至通信组件的第二组电接触部；以及耦接元件，所述耦接元件被配置为将所述标签附着至所述通信组件，使得所述密码模块能够经由所述移动装置的消费者接口接收消费者输入并且经由所述移动装置与所述可远程访问服务器进行通信。

24.一种用于进行交易的计算机程序产品，该计算机程序产品包括存储有用于执行以下步骤的计算机可读程序代码的计算机可读介质：

从可远程访问服务器接收对于基于移动的凭证的请求，所述请求响应于请求者装置从消费者接收到别名而被接收到；

从安全存储器访问所述基于移动的凭证；以及

将所述基于移动的凭证发送到所述可远程访问服务器，

其中，所述基于移动的凭证能够在所述可远程访问服务器处与存储在所述可远程访问服务器的基于服务器的凭证相组合地用于获得在完成所述交易时可用的支付凭证。

25.一种用于进行交易的计算机程序产品，该计算机程序产品包括存储有用于执行以下步骤的计算机可读程序代码的计算机可读介质：

响应于请求者装置从消费者接收到别名而从所述请求者装置接收所述别名；

标识与所述别名相关联的所述消费者的移动装置；

从所标识的移动装置请求基于移动的凭证；

从所述移动装置接收基于移动的凭证，所述基于移动的凭证已被从所述移动装置的安全存储器访问；以及

与基于服务器的凭证相结合地使用所接收到的基于移动的凭证来获得在完成所述交易时可用的支付凭证。