CN105243313A

CN105243313A - 用于对验证令牌的任何时候确认的方法

Info

Publication number: CN105243313A
Application number: CN201510683089.0A
Authority: CN
Inventors: S·赫里; A·哈玛德
Original assignee: Visa International Service Association
Current assignee: Visa International Service Association
Priority date: 2010-01-12
Filing date: 2011-01-12
Publication date: 2016-01-13
Anticipated expiration: 2031-01-12
Also published as: CA2786271A1; US20110173684A1; CA2786271C; AU2011205391A1; EP2524471A2; US8528067B2; CN105243313B; WO2011088109A3; US10586229B2; EP2524471B1; EP2524471A4; CA3045817A1; CN102713922B; ES2599985T3; WO2011088109A2; AU2011205391B2; EP2927836B1; BR112012017000A2; US20140019364A1; EP2927836A1

Abstract

公开了用于生产、确认和注册真实验证令牌的系统和方法。这样的系统和方法包括：生成验证令牌特有的密钥对。所述密钥对可以由验证令牌制造者主密钥或者公钥证书来签名以获得附加等级的真实性。还公开了用于认证和注册经授权验证令牌制造者的相关方法和系统。一旦验证令牌制造者被认证，就可以向其分配制造者特有的密钥对或者证书、并且在一些情况下将预定的一组序列号分配给其生产的验证令牌。每个序列号都可以用于生成相关联的验证令牌特有的密钥对。验证令牌密钥对的一个组件可以被存储到验证令牌。任选地，验证令牌密钥对的被存储到验证令牌的组件可以由制造者特有的主密钥或者证书、以及所存储的验证令牌公共证书来签名。

Description

用于对验证令牌的任何时候确认的方法

本申请是申请日为2011年1月12日申请号为201180005912.2、发明名称为“用于对验证令牌的任何时候确认的方法”的中国专利申请的分案申请。

相关申请的交叉引用

本申请基于并要求于2010年1月12日提交的名称为“AnytimeReaderDeviceValidationServiceforContactlessVerificationTokens”(用于无接触式验证令牌的任何时候读取器设备确认服务)的美国临时专利申请No.61/294,338的优先权，并且还与2009年5月15日提交的名称为“DynamicDataAuthentication”(动态数据认证)的美国临时申请No.61/178,636相关。这两个临时申请的全部内容为所有目的并入本申请。

背景

随着用于参与金融交易的方法和设备的增加，诸如欺诈和伪造的老问题持续存在。

欺诈的主要源头之一是撇取，这在信用卡行业中是普遍的。撇取指的是电子复制卡的电子存储数据以便创建伪造卡。一旦制作了伪造卡，就有可能的是，可不受惩罚地使用该卡，只要用户或签发实体未意识到或报告交易卡的信息已经被损害。这个问题在诸如在线购买和交易之类的卡不在场交易中是尤其普遍的，在所述交易中，不需要通过与盖印或存储在交易卡或其他便携式消费者设备上的信息相匹配的照片ID来标识出伪造者。

为了对抗这样的针对在线或其他传统卡不在场交易的伪造或其他未授权的使用，一些签发实体已经开始签发接触式和无接触式卡验证令牌(token)(亦称验证令牌)以供与用户的计算机结合使用。卡验证令牌可以验证：执行交易的用户在物理上持有该交易卡。这制止了欺诈者仅获得了信息而不是交易卡本身的潜在欺诈。然而，即使使用验证令牌仍然可能允许各种形式的欺诈。

一种这样的潜在欺诈方法是：伪造者或欺诈者制造他们自己版本的读卡器或者验证令牌，所述读卡器或者验证令牌物理上或操作上类似于经授权的版本以便不引起终端用户的怀疑。于是，欺诈者可以向用户分发这样的欺诈性读卡器设备或者验证令牌，所述读卡器设备或者验证令牌被配置为只要交易卡用于交易就从交易卡中撇取用户数据，并且让该数据被发送给伪造者运营的站点或服务器。因此，需要验证：读卡器设备或验证令牌是由受信源制造的经授权设备，而不是由伪造者或欺诈者制作并分发的欺诈性撇取设备。

本发明的实施例针对这些和其他问题的解决。

发明内容

本发明的实施例包括用于认证和注册验证令牌制造者的方法，所述方法包括：在服务器计算机处从验证令牌制造者接收注册请求；以及从数据库中检索与所述验证令牌制造者相关的信息；以及使用所述服务器计算机生成制造者特有的密钥对。其他实施例可以包括：基于与所述验证令牌制造者相关的信息来执行风险审查。

本发明的其他实施例包括用于确认、认证和注册验证令牌制造者的对称和非对称方法二者，所述方法包括：为所述验证令牌制造者(非对称)生成制造者特有的密钥对；或者生成主密钥(对称)。制造者特有的密钥对可以包括公共和私密组件。实施例还可以包括：通过使用支付方案证书机构(CA)来对制造者特有的密钥对的公共组件进行签名；以及将所述验证令牌制造者密钥对与经签名的公共组件一起发送给所述验证令牌制造者。这样的方法还可以包括：将制造者特有的密钥对、CA根公钥、以及制造者特有的密钥对的经签名的公共组件与验证令牌制造者标识符相关联；以及将相关联的读取器设备制造者标识符存储在数据库中。

本发明的各个其他实施例包括用于在将验证令牌用于发起交易之前确认所述验证令牌的方法。这样的方法可以包括：从验证令牌接收确认请求；以及基于所述确认请求来确定验证令牌序列号。这样的实施例可以包括：确定验证令牌序列号的注册状态；基于所述确认请求来确定验证令牌制造者标识符；以及基于所述验证令牌制造者标识符来确定制造者特有的密钥对的第一组件。这样的实施例还可以包括：基于所述验证令牌制造者标识符从数据库接收制造者特有的密钥的第二组件以及验证令牌制造者主密钥；以及执行与所述验证令牌的相互认证。实施例还可以包括：执行相互认证，所述相互认证包括基于所述验证令牌序列号和所述验证令牌制造者主密钥来确定验证令牌密钥以及基于所述验证令牌密钥来建立验证令牌密钥会话。建立验证令牌密钥会话还可以包括：基于所述验证令牌序列号和与所述服务器计算机相关联的主密钥来生成制造者特有的密钥的第三组件。

本发明的其他实施例包括用于生产真实的验证令牌的方法。这样的方法包括：为验证令牌生成序列号；生成密钥对，所述密钥对包括公共组件和私密组件；用制造者特有的私钥对所述密钥对的公共组件进行签名；将所述密钥对的经签名的公共组件与证书机构(CA)根密钥一起存储到所述验证令牌的存储器中；以及将所述序列号与所述密钥对、经签名的公共组件相关联。这样的实施例还可以包括：将所述序列号、制造者标识符、可以在处理器上执行的代码存储到所述验证令牌的存储器。该代码可以包括如下指令：所述指令用于供处理器使用所述验证令牌所连接到的计算机的通信设施通过通信会话来建立与验证服务器的连接。

附图简述

图1是可以在在线实施的支付卡交易的上下文中得益于本发明的各个实施例的系统的示意图。

图2示出可以实现本发明的各个实施例的示例性配置。

图3是根据本发明各个实施例的用于生产验证令牌的方法的示意图。

图4是根据本发明的实施例的用于确认和注册验证令牌制造者的方法的流程图。

图5是根据本发明的各个实施例的用于生产验证令牌的方法的流程图。

图6是根据本发明的各个实施例的用于确认验证令牌的系统的示意图。

图7是根据本发明的各个实施例的用于确认验证令牌的方法的流程图。

图8是根据本发明的各个实施例的用于确认验证令牌的系统的示意图。

图9是根据本发明的各个实施例的用于确认验证令牌的方法的流程图。

图10是根据本发明的各个实施例的用于确认验证令牌的方法的流程图。

图11是可用于实现本发明的各个实施例的计算机系统。

具体实施方式

本发明的实施例针对用于认证供用在交易系统中的交易卡读卡器设备或验证令牌的设备、系统和方法。如在此所使用的那样，术语“用户令牌读取器设备”、“令牌读取器设备”和“验证令牌”可以以可互换的方式用来指代可用于从便携式消费者设备、用户令牌或交易卡中读取信息并验证所述便携式消费者设备、用户令牌或交易卡的存在或真实性的任何设备。验证令牌可以包括适于读取、处理数据并将数据发送给便携式消费者设备和从便携式消费者设备接收数据的硬件、固件和软件的任何组合。验证令牌可以包括：嵌入式设备，比如内部组件；集成电路；以及计算机或通信设备或诸如USB设备或软件狗之类的外围设备中的计算机板，所述外围设备通过外围接口连接到计算或通信设备或与其通信。通信设备可以包括适于发送、接收和处理数据的任何设备、包括但不限于移动电话、智能电话、PDA等等。

便携式消费者设备、用户令牌或交易卡包括：持有或存储与用户向另一实体持有的账户有关的标识信息，所述另一实体通常是持有、延长价值项或将价值项计入用户(例如货币资金、信贷、债务等等)的实体。术语“便携式消费者设备”、“用户令牌”或“交易卡”可以以可互换的方式用来指代各种形式的信用卡、记账卡、借记卡、银行卡、预付费卡、赊购卡、安全卡以及标识出用户向另一实体持有的账户的其他卡。便携式消费者设备能够以无源形式(例如具有磁条或RFID组件的卡)和有源形式(例如集成电路卡、智能卡)二者存在，并且还包括整体或部分充当这样的卡的便携式电子设备。这样的便携式电子设备可以包括存储卡、账户令牌、钥匙扣、RFID设备、张贴物、蜂窝电话(包括近场通信电话)、钥匙链设备(比如Exxon-Mobil公司市售的Speedpass^TM或者从Visa公司市售的payWave^TM)、个人数字助理或者其他移动电子设备、收发器、智能介质以及寻呼机。

由便携式消费者设备持有(或嵌入在其上)的标识信息至少包括账号或其他标识符，比如账户名称或便携式消费者设备序列号。账号可以包括字母数字字符。标识信息还可以包括账户持有者(例如用户)的名称、卡的失效日期、服务码和任意数据。作为示例，标识信息可以包括存储在常规信用卡的磁条轨道(例如轨道1、轨道2和/或轨道3)上的常规“支付数据”。

便携式消费者设备的标识信息由读取器来读取，所述读取器是验证令牌的如下电子组件：该电子组件可以从便携式消费者设备读取标识信息并且将该标识信息提供给另一电子组件。读取器可以包括下列各项中的一个或多个：磁条读取器、接触式读卡器、无接触式读取器，其中后者通常被称为RFID读取器(RFID是射频识别的首字母缩写)。读取器主要位于商家的销售点位置。然而，读取器越来越多地被包括作为验证令牌的一部分，所述验证令牌被提供给用户以供用在个人计算机上以用在在线交易或其他活动中，其中签发、收单商家或其他实体不能亲自验证经授权用户的身份或便携式消费者设备的真实性。这种趋势向欺诈者提供了机会并且向用户、签发者和收单者提出了潜在欺诈的相应风险。

图1示出了一种示例性系统，该系统可以受益于本发明的各方面的并且被详细描述以提供各个实施例的上下文，但不应被认为是在任何方式进行限制。图1中的系统是在在线购买的上下文中示出和描述的。

使用便携式消费者设备的交易系统、比如图1所示的交易系统可能易受欺诈性制造者的影响，所述欺诈性制造者制作未经授权的验证令牌并将其引入到商业流中以从无怀疑的用户撇取用户信息，比如信用卡号。为了避免未经授权的制造者在利用未经授权的验证令牌执行交易期间撇取用户信息的可能性，所期望的是，在验证令牌的使用被许可完成任何交易以前预先认证或预先注册所述验证令牌。因此，各实施例提供了更加安全、并因此使用户更有可能使用便携式消费者设备进行在线交易。

图1中示出了用户1、便携式消费者设备5、通信设备7(比如手机)、计算机10、商家网站20、以及第一通信网络31的图标，所述商家网站31使得用户的计算机和商家的网站能够彼此通信。第一通信网络31可以包括因特网、电信网络(例如无线网络、蜂窝电话网络、电话网络、有线网络、或其任何组合)、广域网(WAN)、局域网(LAN)、耦合到上述网络中的一个或多个的家庭路由器或网关、或者上述各项的任何组合。图1中还示出了商家的收单银行50、便携式消费者设备5的签发银行60、支付处理网络70、以及第二通信网络32，所述第二通信网络32使得支付处理网络70能够与银行50和60中的每个通信。

第二通信网络32可以包括因特网(并且因此可以与第一通信网络31重合和共享设施)，或者可以包括一个或多个专用网络、或者一个或多个专用网络与因特网的组合。专用网络可以包括电信网络、广域网(WAN)、局域网(LAN)或其任何组合。在一些实例中，第一和第二通信网络31和32可以是相同的(比如将因特网用作主干的网络)。通信网络通常包括一个或多个通信链路和两个或更多节点的网络，所述节点将消息从网络的一部分传递给另一部分。每个节点都包括一件或多件电机，并且每个链路都可以包括下列各项中的一个或多个：光纤、光学链路、无线电链路以及电线。迄今为止所述的组件大部分是常规的并且是以常规方式安排的。

本发明的各个实施例可用于在首次被用在诸如图1所示的交易系统之类的交易系统中以前认证、注册或任选地更新嵌入式或外围验证令牌40。在一些实施例中，验证令牌的预先注册或预先认证可以在不输入、发送或以其他方式使用用户的便携式消费者设备(比如RFID卡)或者发布任何其他用户信息的情况下完成。在一些实施例中，验证令牌可以通过如下方式来认证：让验证令牌通过任何合适的通信介质与主服务器通信；以及实现对称或非对称的相互认证方案。然而，在这样的实施例中需要保证：验证令牌技术或认证方案不能被未经授权的制造者制造、复制和分发，使得欺诈性的验证令牌不能被引入到市场以撇取用户数据并将其传送给欺诈者。由于难以防止这样的技术和方案被侵入或复制，因此有利的是采取附加的防范措施。图1的各个其他方面将在下面参考本发明的实施例予以更详细的描述。

图2描述了可以用在本发明的各个实施例的实施方式中的计算机10、各个验证令牌40A、40B和40C、以及便携式消费者设备5的配置。计算机10可以包括用户接口设备，比如键盘250和显示器260。验证令牌40A、40B和40C可以具有USB接口或可以连接到计算机10上的外围接口16的其他外围接口。计算机10上的外围接口16可以被实现为适于将验证令牌连接到计算机10的各种标准或专有外围接口协议。通过预先认证或预先注册验证令牌制造者以及向那些制造者要求真实验证令牌的制造中的特定实践和协议，本发明的各个实施例提供了附加的安全等级来对抗潜在的欺诈者使用欺诈性、伪造或以其他方式未经授权的验证令牌撇取敏感的个人或其他用户账户信息。

验证令牌40A、40B和40C可以具有USB接口或可以连接到计算机10上的外围接口16的其他外围接口46。如图2所示，计算机10可以包括显示器260和输入设备250，譬如所示的键盘。

计算机10上的外围接口16可以被实现为适于将验证令牌连接到计算机10的各种标准或专有外围接口协议。这样的标准可以包括USB、USB2.0、Firewire^TM(IEEE1394)、并行和串行端口等等。例如，验证令牌40A可以是基于USB的接触式磁条读取器，验证令牌40B可以是基于USB或FireWire^TM的RFID读取器，而验证令牌40C可以是其他某种类型的无线便携式消费者设备读取器，该读取器被嵌入在硬件计算机10内或者内部地连接到主板或内部总线。

于是，用户可以将便携式消费者设备5呈现给兼容的验证令牌中的一个或多个以使用计算机10来发起、处理或以其他方式完成交易。然而，在实际交易或认证请求中使用验证令牌以前，认证或确认实体/服务器可要求验证令牌使用根据本发明的实施例的各种系统和方法来认证本身。用于认证验证令牌的系统和方法的基础可包括：用于验证令牌制造者的预先注册或预先认证以及验证令牌的实际制造和编程的过程、方法和系统，这将在下面予以更详细的描述。

如图1所示，计算机10可以包括台式计算机、膝上型计算机或者具有联网设施和用于与一个或多个外围设备通信的外围接口的任何便携式电子设备。计算机10具有：一个或多个处理器11；耦合到处理器11的存储指令代码(软件)的有形计算机可读介质12，所述指令代码引导处理器11并且存储供处理器11使用的数据；以及耦合到处理器11的用户接口13。联网设施14和外围接口16还可以耦合到处理器11，其中联网设备14还耦合到第一通信网络31。用户接口13包括一个或多个视频输出设备(例如显示器、屏幕)和一个或多个输入设备(例如键盘、鼠标、跟踪球等等)以供用户1从计算机10接收信息并且将输入提供给计算机10。

计算机可读介质12可以包括半导体存储器和诸如一个或多个盘驱动器和/或非易失性存储器之类的非易失性存储的组合。计算机可读介质12存储计算机10的操作系统，其使得过程和应用能够被处理器11运行。该操作系统向这些过程和应用提供服务，并且使得这些过程和应用能够访问用户接口13的组件、计算机可读介质12的各部分、联网设施14、外围接口16和计算机10的其他组件。该操作系统可以是复杂和全特性的、比如位于台式计算机上，或者为简化的，比如位于手机、PDA和许多其他类型的便携式电子设备上。

计算机10的联网设施14可以包括如下的软件和硬件：所述软件和硬件使得运行在计算机10上的过程能够与诸如通信网络31之类的通信网络通信以向耦合到该通信网络的一个或多个实体发送和接收消息、数据等等。设施14的硬件可以包括与处理器11分开的专用硬件或者对处理器11的共享使用、或者其组合。设施14的软件可以包括存储在计算机可读介质12或另一计算机可读介质中的固件、软件、操作系统的各部分或者前述项目中的任意项目的组合。

联网设施14优选为非独占性资源，从而允许由计算机10运行的其他过程和应用来访问通信网络。计算机10的外围接口16包括使得外围设备(其与计算机10分开)能够与计算机通信的有线和无线连接。常规的有线连接包括通用串行总线(USB)连接器(“USB端口”)、串行端口、并行端口和PCMCIA端口。常规的无线连接包括构建到计算机10内或者耦合到计算机10的外围接口的红外(IR)基站和Bluetooth^TM基站。

附加于读取器44和外围接口46，验证令牌40还包括：处理器41；耦合到处理器41的有形计算机可读介质42，所述计算机可读介质42保持引导处理器41的操作的数据和编码；安全模块43，所述安全模块43耦合到处理器41并且适于安全地存储一个或多个加密密钥以及对验证令牌40的数据进行加密和解密；读取器44，所述读取器44耦合到处理器41并且适于读取便携式消费者设备5；以及外围接口46，所述外围接口46耦合到处理器41并且适于借助于外围接口16与计算机10通信。

处理器41可以包括常规的微处理器，并且计算机可读介质42可以包括半导体存储器和诸如非易失性存储器之类的非易失性存储的组合。计算机可读介质42可以包括若干数据元素的存储、引导处理器41的操作的处理器代码、以及可被处理器41用于执行其任务的处理器存储器。回过来参考图1，安全模块43可以包括加密和解密电路(其可以包括一个或多个处理器)，并且可以包括存储在受保护的存储器中的一个或多个加密密钥。安全模块43还可以包括防火墙安全电路，所述防火墙安全电路保护验证令牌40免受由侵入者通过外围接口16实施的攻击。

读取器44可以包括常规读取器。外围接口46可以包括适于与计算机10的外围接口16通信的有线或无线连接。常规的有线连接包括通用串行总线连接器(“USB端口”)、串行端口、并行端口和PCMCIA端口。常规的无线连接可以包括红外和Bluetooth^TM远程站。当将常规有线连接与外围接口46一起使用时，验证令牌40可以可拆卸地在诸如USB端口连接器之类的外围接口16处耦合到计算机10。

验证令牌40还可以包括包含在计算机可读介质42上的各种代码，所述代码引导数据处理器41执行相应的动作。第一代码可以引导数据处理器41借助于外围接口46与计算机10通信，以便获得对计算机10的联网设施14的访问。第一代码可以包括引导数据处理器41将设备驱动程序发送给计算机10的代码、以及在计算机的操作系统中安装所述设备驱动程序的指令，其中所述设备驱动程序是要由计算机10运行的指令的集合，所述指令的集合使得计算机10能够识别验证令牌并且与验证令牌40通信，并且使得所述令牌的数据处理器41能够对计算机的操作系统的各个(API)进行函数调用，比如与联网和访问联网设备14相关的函数调用。

这样调用的“自安装”驱动程序是现有技术中已知的，并且可以在此使用。它们包括对计算机的操作系统的应用编程接口(API)(比如设备管理器的API)的一个或多个函数调用。第一代码可以被配置为与诸如Windows或SymbianOS之类的所选操作系统一起工作，并且可以被配置为与若干操作系统一起工作。在后一种情况下，第一代码可以包括用于各种操作系统的若干设备驱动程序、以及向计算机10查询其操作系统类型并选择(和安装)对计算机操作系统最合适的驱动程序的指令。设备驱动程序可以存储在计算机可读介质42的一部分(section)中。

验证令牌40的第二代码引导处理器41接收由读取器44从便携式消费者设备5读取的标识信息。第二代码可以包括如下的代码：该代码引导处理器41接收确认实体/服务器80的由读取器44从便携式消费者设备5读取的统一资源标识符(URID)。这些指令可以包括引导与读取器44的通信的常规I/O指令。不同的便携式消费者设备5可以存储不同的URID并将其提供给确认实体80。统一资源标识符(URID)可以包括统一资源定位器(URL)、因特网协议地址(IP地址)、或者可以标识出通信网络上的实体的任何其他类型的标识符。

如果便携式消费者设备5不向确认实体/服务器80提供URID，则验证令牌40可以将URID存储到缺省或制造者特有的确认实体/服务器80。在一些配置中，一些验证令牌40可以与相应的签发银行联名，并且仅仅对与相同签发银行联名的便携式消费者设备工作，并且每个签发银行都可以具有其自己的确认/实体服务器80，所述确认/实体服务器80具有其自己的URID。在这样的配置中，这些验证令牌40可以将URID存储到其相应的联名确认实体80。替代于或附加于该配置，一些验证令牌40可以与相应的支付处理网络70相关联，并且每个这样的网络都可以具有其自己的确认实体/服务器80。在这样的配置中，这些验证令牌40可以将URID存储到其相应的相关联的确认实体80。

因此，验证令牌40的第二代码还可以被配置为引导数据处理器41仅仅使用由验证令牌40存储的缺省URID或者在便携式消费者设备5不向确认实体/服务器80提供具有URID的验证令牌40的情况下使用缺省URID。作为又一实施方式，验证令牌40可以包括如下代码：所述代码引导处理器41基于在标识信息中提供或嵌入在账号中的银行号来选择存储在验证令牌40中的多个URID之一。上面的进一步引导和代码可以利用常规I/O指令、存储器存取指令和CPU逻辑和控制指令来实现。对确认实体的一个或多个URID可以被存储在计算机可读介质42中。

验证令牌40的第三代码引导数据处理器41使用计算机10的联网设施14来建立与确认实体/服务器80的通信。计算机10的操作系统包括在此被统称为“网络服务模块”的一个或多个软件模块和应用程序，所述网络服务模块可以访问联网设施14并且建立到通信网络31上的实体的通信会话。这样的网络服务模块包括微软的Windows通信基础(例如NET3.0、NET4.0等等)、Apple的CFNetwork框架、Unix和Linux操作系统内核的联网部分、Symbian操作系统的OS服务层和基础服务层、因特网浏览器等等。

这些网络服务模块中的每个都是非独占性的(例如能够服务于一个以上处理器和一个以上过程/应用)，并且提供到函数集合的应用编程接口(API)，所述函数集合可以由处理器使用相应的函数调用来访问。利用这些API设施，可以容易地构造函数调用的集合以供处理器执行，所述函数调用使得处理器能够与耦合到联网设施14的通信网络上的实体建立通信信道、以及与该实体交换消息和数据。

验证令牌40的第三代码包括对计算机10的网络服务的API的这样的函数调用的集合，包括为确认实体/服务器80提供统一资源标识符(URID)、以及建立与确认实体的会话的指令的一个或多个函数调用。所述会话可以是具有相互认证的安全套接字层(或者安全传输层)会话(例如SSL会话)。在一些实施方式中作为建立会话的一部分，验证令牌40的第三代码可以包括：引导数据处理器41向计算机的网络服务模块和确认实体/服务器80提供或致使提供令牌的网络地址。该网络地址可以是静态或动态的，其中后者可以通过对计算机的网络服务模块的API函数调用来获得。网络地址可以是IP地址。

如果验证令牌40被配置为将因特网浏览器用于网络服务模块，则其还可以包括对计算机的操作系统的API函数调用以发起浏览器的实例并且通过对浏览器实例的访问来提供该实例。在一些实施方式中、比如当验证实体40存储确认实体/服务器80的URID时，第三代码可以引导数据处理器41在用户1向读取器44呈现便携式消费者设备5很久以前建立与确认实体/服务器80的通信。验证40和确认80可以直到设备5被呈现给读取器44为止、以及在设备5被呈现给读取器44的时间之间通过间歇性地交换“心跳”消息来使通信会话保持为活动的。例如，验证令牌40可以周期性地、非周期性地或者随机地向确认实体/服务器80发送确认其在会话中存在的消息，并且确认实体/服务器80可以发送确认其在会话中存在的回复消息。

验证令牌40的第四代码引导数据处理器41借助于计算机10的联网设施14将标识信息的至少一部分传送给确认实体/服务器80，其中所述标识信息是以经加密的形式传送的。如果SSL会话已经建立，则第四代码可以引导数据处理器41使用对网络服务模块的API的合适函数调用来将标识信息传递给计算机的网络服务模块，并且标识信息可以在SSL会话中传送，其中所传送和所接收的数据是通过会话密钥加密的。针对附加的安全层，第四代码还可以包括如下的代码：所述代码引导处理器41在将标识信息提供给联网设施14以前借助于安全模块43使用存储在令牌40中的加密密钥对标识信息进行加密。这些指令可以包括常规I/O指令，所述I/O指令引导与安全模块43的通信以将标识信息传递给模块43并且接收回经加密的信息。用于此的加密密钥可以被存储在计算机可读介质42或安全模块43中。

对计算机10、其支持的模块、设施和其应用的操作系统的各个应用编程接口(API)的函数调用的使用是软件领域中已知的，并且本领域的普通技术人员能够鉴于本公开在没有过度试验的情况下构建指令和API函数调用来实现上述代码和任务。

图3是根据本发明的一个实施例的用于注册和认证验证令牌制造者的系统300的示意图。系统300可以包括连接到诸如第一通信网络31之类的通信网络的确认实体/服务器80。通过通信网络31，确认实体/服务器80也可以被耦合到数据库303、签发银行60以及多个验证令牌制造者305、307和309。确认实体/服务器80可以由签发者、收单者、商家或者诸如VisaNet^TM之类的支付处理网络70来运营。

确认实体/服务器80可以被配置和/或编程为要求希望制造真实或以其他方式受批准的验证令牌的验证令牌制造者提交注册或确认请求。在一些实施例中，确认实体/服务器80可以托管网站或其他用户界面，使得验证令牌制造者305、307或309可以下载关于确认实体/服务器80为了最终确认或注册验证令牌制造者所需的信息的合适表格和/或规范。

在动作1，验证令牌制造者可以收集所有必要的信息并且然后向确认实体/服务器80提交注册或确认请求。由确认实体/服务器80提供的表格、指令或规范可以要求：注册请求包括验证令牌制造者特有的信息，比如制造者名称、位置、业务参考或者可被确认实体/服务器80用于访问关于发出请求的验证令牌制造者的信息、或评估发出请求的验证令牌制造者的合法性的任何其他信息。确认实体/服务器80可以使用在注册请求中提交的信息来收集和评估关于发出请求的验证令牌制造者的信息以确定：发出请求的验证令牌制造者是否是可信任或合法的实体。

在一些实施例中，在动作2，对发出请求的验证令牌制造者的可信任度或合法性的确定可以基于运营确认实体/服务器80的实体的内部风险分析协议。例如，诸如信用卡支付处理网络之类的支付处理网络可以应用其自己的内部开发的风险和欺诈管理协议来评估每个发出请求的验证令牌制造者。在一些实施方式中，当确认实体/服务器80从验证令牌制造者接收到注册请求时，其可以从注册请求中解析信息以构造其自己的查询和/或请求以用于收集关于发出请求的验证令牌制造者的背景信息的目的。在一些实施例中，确认实体/服务器80可以向诸如数据库303之类的各个数据库查询关于发出请求的验证令牌制造者的背景信息。

在确认实体/服务器80由不具有自己的风险或欺诈管理协议的实体来运营的实施例中，在动作2，确认实体/服务器80可以向外部分析服务发送注册请求以获得来自该注册请求的信息，来确定是否注册或确认发出请求的验证令牌制造者。例如，确认实体/服务器80可以向数据库303发送注册请求信息或者包含注册请求信息的请求或询问，以确定发出请求的验证令牌制造者是否是以特定状态或指定列出的。

具体而言，数据库303可以是执法或行业运行的数据库，该数据库基于犯罪行为、消费者投诉或民事诉讼报告列出了已知的欺诈者或伪造者。可替代地，数据库303还可以基于下列各项来列出实体：它们的可信任度、信用分数、行业排名或评级、或者表明发出请求的验证令牌制造者很可能是可信任或合法制造者的其他证据指示。在另一些实施例中，数据库303可以由运行确认实体/服务器80的相同实体来构造、运行和维护。

在动作3，基于内部或外部欺诈或风险管理协议的结果，确认实体/服务器80可以确定：发出请求的验证令牌制造者是否将被认为是可信任的，并且因此被注册为受信的验证令牌制造者。在动作4，一旦对发出请求的验证令牌制造者是否将被注册为受信或合法制造者进行了确定，则确认实体/服务器80就可以将响应消息或注册消息发送给发出请求的验证令牌制造者。在确认实体/服务器80根据确认实体/服务器80、运营的银行、支付处理网络、签发者等等的风险容限确定：发出请求的验证令牌制造者不表示合适的风险，则确认实体/服务器80可以发送如下的响应消息：该响应消息包括表示注册请求已经被拒绝的指示。

在这样的实施例中，包括表示对拒绝的指示的响应消息还可以包括关于注册请求为何被拒绝的解释或其他指示。另外，确认实体/服务器80可以注册与作为之前或当前被拒绝的验证令牌制造者的被拒绝的验证令牌制造者相关联的标识符。在这样的实施例中，被拒绝的验证令牌制造者的列表可以被存储在表或数据库303中。这样的被拒绝的验证令牌制造者的列表还可以包括验证令牌制造者被拒绝的原因或缺陷。如果被拒绝的验证令牌制造者提交新的确认请求，则确认实体/服务器80可以附加于或替代于应用欺诈或风险管理协议来引用被拒绝的验证令牌制造者的列表。

在响应或注册消息包括对发出请求的验证令牌制造者的批准或确认的情况下，该响应或注册消息还可以包括关于经注册的或经确认的验证令牌的制造、标准和编程的附加信息。例如，注册消息可以包括验证令牌制造者标识符、验证令牌特有的密钥，该密钥可以包括对称密钥对、非对称密钥对、种子密钥、或者在制造和配置验证令牌时必须使用的码。在一些实施例中，非对称密钥对的组件、非对称密钥对、种子密钥或码可以由确认实体/服务器80、签发银行60或运营确认实体/服务器80的其他实体所持有的主认证证书来签名。例如，验证令牌制造者305可以接收如下的注册响应消息：该注册响应消息指示制造者特有的标识符、公共组件已经由确认实体/服务器80所持有的主证书签名的非对称密钥对。注册响应消息还可以包括验证令牌制造者可以向其制造的验证令牌分配的经批准的序列号的集合、范围或算法。

在另一些实施例中，注册或响应消息可以包括可被发出请求的验证令牌制造者用来访问或获得制造经授权验证令牌的要求和规范的指令、引导、URL或其他地址。所述要求、规范或指令可以是通用和适用于所有经授权验证令牌制造者的，或者可以是一个特定经授权验证令牌制造者所特有的。在其他实施例中，发送或以其他方式提供给经授权验证令牌制造者的要求、规范和指令可以是通用和特有要求、规范和指令的组合。

一旦经授权验证令牌制造者接收到经批准的注册响应消息并访问生产验证令牌的要求、规范和指令，则其可以开始制造验证令牌。例如，在动作5，验证令牌制造者305可以生产基于接触的磁条读取器验证令牌311。同样，验证令牌制造者307和309可以根据提供给每个单独的验证令牌制造者的特有要求、规范和指令来生产无接触式RFID验证令牌以及其他无线验证令牌313和315。

例如，可以要求每个验证令牌制造者在其生产的每个验证令牌中盖印、刻蚀、或以其他方式包括制造者特有的标识符。附加地，每个验证令牌都可以包括可从中导出或确定其他信息(比如加密信息)的序列号。在一些实施例中，特定验证令牌的序列号可以与特有的密码算法或密钥对相关联。验证令牌制造者可以与确认实体/服务器80共享这样的信息。在这样的实施例中，由验证令牌制造者生产的验证令牌和确认实体/服务器80可以共享用于使用密码信息生产、确定、彼此质询和响应的各种秘密信息。

当验证令牌被制造时，验证令牌可以被分发给用户以供与它们的兼容便携式消费者设备(比如信用卡、借记卡、钥匙扣等等)一起使用。

一旦被分发给用户，就可以要求在验证令牌与便携式消费者设备结合使用或用在任何类型的非确认交易中以前由确认实体/服务器80来认证验证令牌。可以在计算机可读介质42中包括用于提示用户或指示处理器11使用和认证验证令牌的代码。可以为基于纸或电子的指令可以引导用户将验证令牌耦合到用户的计算设备，比如膝上型计算机或台式计算机。一旦验证令牌被耦合到用户的个人计算设备，就可以由计算机10的处理器11来执行可以被包括在验证令牌40中的计算机可读介质42上的可执行代码。在其他实施例中，可执行代码可以被包括在单独的计算机可读介质上，比如与验证令牌一起递送的基于磁、光或快闪的驱动器。在另一些实施例中，可以从确认实体/服务器80或与确认实体/服务器80相关联的另一服务器下载可执行代码。在一些实施例中，下载站点可以由在确认实体/服务器80或与确认实体/服务器80相关联的另一服务器上托管的网站来提供。

在一些实施例中，可执行代码可以包括用于计算机10的联网设施14通过诸如因特网之类的一个或多个通信网络与确认实体/服务器80连接的指令。在这样的实施例中，可执行代码可以本地地在用户的计算设备上或者在诸如确认实体/服务器80之类的远程服务器上执行以完成一个或多个初始或随后的确认程序或协议。可执行代码可以包括完全自动化的确认协议或者需要各种用户输入或交互的协议。

例如，可执行代码可以包括提供用户界面的指令，所述用户界面提示用户输入用户或验证令牌特有的信息以用于提交给确认实体/服务器80。在其他实施例中，验证令牌可以在后台完成自动化的确认，而不需要用户交互、干预或输入。在任何这样的实施例中，用户的计算设备都可以根据确认实体/服务器80的要求发送和接收确认或信息以用于确认验证令牌。

图4是根据本发明的实施例的方法的流程图，该方法用于注册验证令牌制造者以减小或消除未经授权的验证令牌制造者在用户不知道的情况下从便携式消费者设备中撇取用户账户信息的可能性。未经授权的验证令牌的所有制造者，无论验证令牌是嵌入到计算或通信设备中还是作为诸如USB设备之类的外围设备被添加，都可以被要求将它们自己向在一个或多个交易系统内运行或者与其合作的确认实体/服务器80注册为制造者。该设置阶段和注册过程可以包括上面参考图3讨论的动作。

在图4所示方法400的动作410，确认实体/服务器80可以从验证令牌制造者接收向确认实体/服务器80或诸如支付处理网络70之类的交易系统运营商注册的请求。接着在动作420，确认实体/服务器80或交易系统运营商可以根据各种内部和外部风险协议对制造商执行风险审查。这样的审查可以包括引用内部数据库和外部数据库二者或者诸如信用报告局、欺诈报告局和执法机构之类的数据源。如果风险审查对于主服务器或交易系统运营商而言是令人满意的，则在动作430，可以将制造者特定的密钥对分配给每个制造者。在一些实施例中，验证令牌制造者可以生成制造者特有的密钥，而在其他实施例中，确认实体/服务器80或交易系统运营商可以生成制造商特有的密钥。制造商特有的密钥可以要么是对称密钥对、要么是非对称密钥对。

在动作440，确认实体/服务器80或交易系统运营商可以创建验证令牌制造者主密钥(KMC)，所述验证令牌制造者主密钥可以在注册期间在制造者与确认实体/服务器之间共享。在此所述的密钥或密钥对可以包括对称、非对称或其他密钥类型的密钥。

在动作450，确认实体/服务器80可以对验证令牌制造者密钥对的一个组件进行签名，以在与验证令牌通信时提供附加的验证等级。验证令牌制造者可以将制造者特有的密钥对的一部分、即密钥对的公共的一半发送给确认实体/服务器80以获得制造者特有的密钥或公钥证书以将密钥或公钥绑定到验证令牌制造者。该密钥或公钥证书可以包括各种制造者特有的信息。例如，该密钥或公钥证书可以包括制造者名称或标识符、地址、电话号码或可用于验证该密钥或公钥属于该制造者的任何其他信息。

在这样的实施例中，验证实体/服务器80或验证令牌制造者305、307或309或者验证令牌共享秘密。确认实体/服务器80于是可以将具有或不具有经签名组件的验证令牌制造者特有的密钥发送给经批准/经注册的验证令牌制造者。任选地，确认实体/服务器80可以将制造规范、要求或序列号发送给经注册的验证令牌制造者，根据所述规范、要求或序列号，经注册的验证令牌制造者可以生产验证令牌。

一旦制造者被注册，其就可以开始创建验证令牌。图5是根据本发明实施例的用于制作验证令牌的方法500的流程图。方法500可以由向确认实体/服务器注册或以其他方式经确认实体/服务器批准的验证令牌制造者执行。在动作510，针对每个验证令牌，验证令牌制造者都可以生成或产生序列号。在一些实施例中，可以从分配给验证令牌制造者的一组序列号中生成或以其他方式选择序列号。在这样的实施例中，该组序列号可以由有限的数集、用于产生随机或准随机数或用于产生可以与或不与验证令牌制造者相关联的序列号的其他方法来表示。在该组序列号与验证令牌制造者相关联的实施例中，确认实体/服务器80可以使用该验证令牌序列号来确定：验证令牌制造者和/或验证令牌特有的信息，比如验证令牌特有的密钥对或验证令牌制造者主密钥(KMC)；或者可用于对在验证令牌制造者与验证令牌之间发送的信息进行加密或解密的证书。

一些实施例可以使用PKCS标准证书要求，证书/签名可以包括(1)验证令牌序列号；以及(2)制造者名称或标识符。附加地，制造者可以基于KMC和验证令牌序列号导出密钥，并且这些项可以被存储在验证令牌上的计算机可读介质42中。验证令牌于是可以被送货和分发。

在动作520，验证令牌制造者可以为其制造或签发的每个验证令牌生成密钥对。该密钥对可以包括公共和私密组件。该密钥对可以要么是对称密钥对、要么是非对称密钥对。该密钥对可以是验证令牌特有的，并且对制作该验证令牌的验证令牌制造者是唯一的。在其他实施例中，特定验证令牌的密钥对可以与制作该验证令牌的验证令牌制造者无关地在所有验证令牌中都是唯一的。

针对附加的安全等级，被写入或存储在验证令牌上的验证令牌密钥对的每个组件都可以在动作530被主或CA证书或私钥签名，以创建验证令牌公共证书。具体而言，验证令牌公钥可以被验证令牌制造者的私钥签名。在这样的实施例中，验证令牌公共证书可以包括验证令牌序列号或其他标识符。

在一些实施例中，主或CA根密钥与验证令牌制造者相关联，而在其他实施例中，主或CA根密钥可以与确认实体/服务器相关联。在这样的实施例中，验证令牌密钥对的经主或CA根密钥签名的公共组件可以由确认实体/服务器来验证和/或解密。

一旦为验证令牌生成了密钥对、序列号和/或公钥证书，则所述密钥对的所有或一些组件、序列号和/或公钥证书可以在动作540被存储或写入到验证令牌中的存储器中。类似地，验证令牌公共证书和/或制造者公钥也可以被存储在验证令牌上。在一些实施例中，密钥对的仅仅一个组件被存储或写入在验证令牌上。在这样的实施例中有利的是，在保持私密组件为秘密的同时将密钥对的公共组件或经签名的公共组件写入和/或存储到验证令牌。将密钥对组件或其他信息存储到验证令牌可以包括：将信息存储到存储器或安全存储器。

一旦密钥对被生成并写入或存储到验证令牌，则密钥对的私密组件就可以在验证令牌制造者、确认实体/服务器或其他受信实体之间共享。在一些实施例中，共享的信息可以包括密钥对与序列号、验证制造者或验证令牌制造者标识符的关联。

任选地，可以在动作550将该序列号和制造者标识符存储/写入到验证令牌上的存储器。最后，在动作560，验证令牌制造者还可以将可执行确认软件和或认证确认服务器的web地址写入/存储到验证令牌的存储器或安全存储器。该可执行软件代码可以包括如下的指令：所述指令用于引导验证令牌可连接到的计算机中的处理器通过通信介质经由计算机通信设施发起每个通信会话以确认该验证令牌。

每当用户选择时、但特别在接收到新的验证令牌以后，他或她可以发起一个或多个过程来注册和/或确认该验证令牌。图6是可用于确认和/或认证验证令牌40的系统600的示意图。在便携式消费者设备5被呈现给验证令牌40以发起交易以前，用户可以被要求或选择首先向确认实体/服务器80确认和/或认证验证令牌。

在一些实施例中，为了确认验证令牌40，用户可以：(1)登录到由确认实体/服务器80运营的网站；(2)使用HTTPS或其他安全协议，该网站可以指示用户插入验证令牌(如果用户还未这样做)；(3)该网站可以请求验证令牌证书或密钥对/密钥对组件并使用制造者的密钥来确认该验证令牌证书或密钥对/密钥对组件；(4)然后，该网站可以生成随机数并且请求验证令牌分配该随机数；(5)该网站可以确认签名并且向用户显示表示该验证令牌为有效的消息；以及(6)该网站还可以显示验证令牌序列号，所述验证令牌序列号可以被刻蚀到验证令牌本身上。

在其他实施例中，可以指示用户去往确认网站。该提示可以以信件、电子邮件、SMS的形式或者通过存储在验证令牌上的可执行代码或静态文件出现。该指令可以包括或不包括到该网站的超链接。有利的是，该指令不包括超链接或URL而是简单地包括消息，该消息指示用户登录到受信网站，在该网站处，用户可能已经具有经注册的账户。导航到确认网站的该手动方面有助于防止欺诈者或欺诈性验证令牌的制作者将用户引导到假冒或欺诈性网站并且欺骗用户用假冒网站来“确认”该欺诈性验证令牌以撇取敏感的用户信息。在查看确认网站时，可以提示用户输入随机或半随机数。该随机数可以由确认服务器、该网站、用户的计算机、验证令牌来生成，或者简单地是用户选择的数字。

于是，该随机数可以被发送给验证令牌读取器并且被验证令牌的密钥之一、即私钥、签名。然后，读取器可以将经签名的数、读取器公共证书和制造者公钥证书返回给确认服务器/实体80。然后，确认服务器/实体80可以使用确认服务器/实体80的根或主密钥来确认制造者公钥证书。确认服务器/实体80还可以使用制造者公钥来提取和确认读取器公钥。然后，确认服务器/实体80可以针对经授权或经注册的验证令牌制造者的注册来确认序列号和制造者名称或标识符。最后，确认服务器/实体80可以使用验证令牌公钥来确认经签名的随机数。

在另一实施例中，用户可以通过外围接口将验证令牌40连接到计算机10。一旦被连接到计算机10，验证令牌40就可以自动或者在用户的提示下使用计算机10的处理器或者置入到验证令牌40中的处理器来发起可执行代码的一个或多个片段。在任一这样的实施例中，计算机10都可以在动作1使用其通信设施通过诸如因特网之类的通信介质向确认实体/服务器80发送确认请求。确认请求可以包括关于验证令牌40的各种公共和私密信息。例如，确认请求可以包括验证令牌40特有的密钥对的公共组件、验证令牌40的序列号、由验证令牌40或计算机10生成和或签名的随机数、或者质询询问。

确认实体/服务器80可以在动作2从计算机10接收确认请求。确认实体/服务器80可以通过连接计算机10确认实体/服务器80的任何合适的通信介质接收确认请求。在一些实施例中，确认实体/服务器80可以从确认请求中解析出各条信息。例如，确认实体/服务器80可以解析验证令牌40特有的密钥对的公共组件、验证令牌40的序列号、由验证令牌40或计算机10生成和或签名的随机数、或者质询询问。基于从确认请求中解析的信息，确认/服务器80可以检索或以其他方式产生与验证令牌40相关联的信息。

例如，确认实体/服务器80可以使用确认令牌40的序列号来产生、确定和/或检索与验证令牌40相关联的密钥对的私密组件。在其他实施例中，确认实体/服务器80可以使用从确认请求中解析的制造者标识符来确定：确认请求中的序列号是否与被分配给该验证令牌制造者和/或由该制造者产生的序列号一致。确认实体/服务器80可以使用从确认请求解析出的任何和全部信息来检索与特定验证令牌40、验证令牌制造者、或者同验证令牌40相关联的用户相关联的任何和全部信息。

在一些实施例中，确认实体/服务器80可以在动作2从确认请求中解析验证令牌40的验证令牌标识符或序列号。在动作3，确认实体/服务器80可以检查：所解析的验证令牌标识符或序列号是否之前已经被确认。在一些实施例中，如果所解析的验证令牌标识符或序列号之前已经被确认，则确认实体/服务器80可以在动作4将确认消息返回给计算机10，在此时，用户可以将便携式消费者设备5呈现给验证令牌40以发起交易。在其他实施例中，确认实体/服务器80可以与确认消息一起发送验证令牌信息更新指令。

在一些实施例中，验证令牌信息更新指令可以包括如下的计算机可读代码：所述计算机可读代码用于指示计算机10的处理器重写存储在验证令牌40上的信息中的一些或全部。例如，可以用新近与验证令牌40相关联的密钥对的新组件来替换与验证令牌40相关联的密钥对的一个或多个组件。仅当确认实体/服务器80可以建立安全的密钥会话通信会话时，才能允许对存储在验证令牌40上的验证令牌信息的更新或将其限制于确认实体/服务器80。

在一些实施例中，在动作3，确认实体/服务器80可以执行相互认证并建立与计算机10的密钥会话。计算机10与确认实体/服务器80之间的密钥会话可以通过如下方式来建立：由确认实体/服务器80生成随机数或其他质询消息；用与验证令牌40相关联的密钥对的组件对该随机数或质询消息进行签名；以及将经签名的信息发回给验证令牌40。验证令牌40可以使用存储在验证令牌40上的密钥对的组件来对经签名的信息进行解密并且根据该解密发回正确的响应。

在一些实施例中，由与验证令牌制造者或确认实体/服务器80相关联的主或CA根密钥来对存储在验证令牌40上的密钥对的组件进行签名。在这样的实施例中，从验证令牌40接收的经解密的响应必须使用主或CA根密钥被解密以进一步认证验证令牌40的真实性。在任一这样的实施例中，确认实体/服务器80都可以从验证令牌40接收响应。基于从验证令牌40接收的响应，确认实体/服务器80可以确定：验证令牌40是否是真实、有效或以其他方式由已经经历和接收到生产验证令牌的授权的受信验证令牌制造者生产的。如果验证令牌40被确定为有效的，则于是可以将其与便携式消费者设备5一起使用以发起交易。在动作4，可以将用于此的消息从确认实体/服务器80发送给计算机10以两次进一步激活验证令牌40或指示计算机10随后使用验证令牌40来发起交易。

在验证令牌40被确定为欺诈性或以其他方式无效的情况下，该验证令牌或与其相关联的任何信息、比如验证令牌序列号或ID都可以被列为可能为欺诈性的验证令牌，并且被阻塞以防止被用于交易。

在验证令牌40之前还未被确认实体/服务器80确认情况下，确认实体/服务器80可以在动作5将新近确认的验证令牌序列号或标识符存储到603的数据库中以供以后检索和确认之前对验证令牌40的确认。在一些实施例中，确认实体/服务器80可以在动作6向签发银行60通知：验证令牌40已经被确认实体/服务器80成功确认以用于使用便携式消费者设备5发起交易。可替代地，可以向签发银行60通知：可能为欺诈性的便携式验证令牌已经尝试被确认。

根据本发明的各实施例的方法、系统和服务器包括了与用于阻止或停止欺诈者将欺诈性验证令牌引入到商业流中以撇取敏感用户信息的现有手段相比的优点。本发明的各实施例包括多层或多部分确认方案以防止欺诈者生产和确认可能欺骗确认服务器/实体的欺诈性验证令牌，由此进一步降低了撇取用户信息的机会。例如，由确认服务器/实体产生并存储在验证令牌上的制造者公共证书可以有助于更好地保证：确认服务器/实体已经与特定验证令牌的制作者进行了之前的认证交互。然后，仅仅对制造者特定的主或CA根密钥或主或CA根证书具有访问的确认服务器/实体能够检索、解密或以其他方式使用制造者公钥从验证令牌公共证书中提取验证令牌公钥，所述制造者公钥是基于对制造者公钥证书的确认被检索/生成的。

制造者公钥证书或者用于生成制造者公钥证书的手段、即确认服务器/实体的主或CA根密钥或证书将不对未经认证的验证令牌制造者可用，并且因此，这样的欺诈性制造者不能生成可能被用于生成/确认可能与存储在验证令牌上的私钥匹配的真实验证令牌公共证书或验证令牌公钥的证书。在没有这样的信息的情况下，访问受信网站以确认验证令牌的用户不能被欺骗以确认欺诈性或以其他方式不真实的验证令牌。这些特性大大地增加了用于使用便携式消费者设备、即信用卡或借记卡实施财务和其他交易的验证令牌的安全性，其中所述交易是从位于与商家或可能以其他方式验证便携式消费者设备或用户的真实性的其他实体分开的位置处的用户终端发起的。这些特性可以通过如下方式被进一步增强：要求用户人工或以其他方式独立地导航到网站以发起确认过程，以便减少欺诈性验证令牌自动导航到欺诈性确认网站的可能性。

图7是用于对验证令牌执行首次使用或注册的方法700的流程图。在上述过程期间，确认实体/服务器可以检查验证令牌是否之前已经被确认。如果序列号未处于之前确认的验证令牌的数据库中，则可以在首次使用以前执行下列过程。

在动作710，确认实体/服务器可以使用在确认实体/服务器处针对该验证令牌制造者注册的序列号和主或CA根密钥来导出验证令牌的密钥。在动作720，确认实体/服务器可以使用所导出的验证令牌密钥、或者使用基于全球平台SCPOl或02或EMVco卡个人化标准的标准程序来执行相互认证并且建立会话密钥。接着在动作730，如果相互认证是成功的，则验证令牌可以允许读取、写入和更新访问。

在动作740，按照会话密钥，确认实体/服务器可以用使用验证令牌序列号和主密钥(MDK)导出的新密钥组件来替换存储在验证令牌上的现有密钥组件。任何其他所需数据可以在此刻被写入，并且用户可以任选地在此刻注册。在动作750，如果相互认证用新密钥组件进行，则验证令牌可以允许写入/更新访问。最后，在动作760，确认实体/服务器可以在验证令牌数据库中注册验证令牌序列号。

对初始或第一确认请求的响应可以是第一确认或注册测试以确认验证令牌40。为了发起确认或注册请求，验证令牌40可以将其序列号与被密钥加密的消息或确认请求一起发送给确认实体/服务器80，其中所述消息和密钥是在验证令牌40与确认实体/服务器80之间共享的秘密(即不是公知的)。在一些实施例中，该密钥可以唯一地与令牌的序列号相关联。该密钥可以是包括对称或非对称密钥对的加密密钥。

确认实体/服务器80可以对序列号的数据库和相关联的相应密钥或用于生成密钥的所存储的算法具有访问，并且可以确认：验证令牌40已经发送了该序列号的正确消息。为此，验证令牌40可以包括：包含在计算机可读介质或存储器中的序列号和唯一密钥，该唯一密钥对验证令牌40是唯一的；以及引导数据处理器41将被该唯一密钥加密的序列号和消息发送给确认实体/服务器80的代码。

该消息可以被预先存储在计算机可读介质上，或者可以从验证令牌40和确认实体/服务器80二者已知的信息中导出/确定，比如从应用于当前日期的算法、令牌40的序列号和/或令牌40与确认实体/服务器80之间的通信会话的会话密钥中导出的消息。通过这种方式，由令牌40发送给确认实体/服务器80的消息可以由确认实体/服务器80使用存储在确认实体处的信息来验证。用于上述任务的计算机可读介质或存储器可以位于计算机可读介质42和/或安全模块43中。上面的代码可以包括对安全模块43的I/O指令、以及对计算机的网络服务器模块的API的函数调用。

任选地，确认令牌40可以不时地将计算机10的机器唯一的一条或多条信息发送给确认实体/服务器80，所述确认实体/服务器80可以对照与已知欺诈者相关联的计算机信息的数据库来检查该信息。这样的机器唯一的信息可以包括计算机10的处理器、盘驱动器以及操作系统的序列号。验证令牌40可以包括如下的代码：该代码引导数据处理器41从计算机10获得一条或多条机器唯一的信息、以及将机器特有的信息发送给确认实体/服务器80。该代码可以包括对计算机的操作系统的API的用于获得该信息的函数调用、以及对计算机的网络服务模块的API的用于将该信息发送给确认实体/服务器80的函数调用。

作为另一种选择，验证令牌40可以被配置为向用户1提示口令以激活令牌40的一个或多个特性。该口令可以被存储在位于安全模块43中的计算机可读介质上或计算机可读介质42中。该口令可以在一张纸上由令牌40的验证令牌制造者、提供者或销售者提供给用户1。令牌40可以通过邮件由签发银行或代表签发银行发送给用户1，或者可以由用户1在商店中购买。令牌40可以被配置为要求每当用户希望呈现便携式消费者设备5时和/或每当令牌40被耦合到计算机10时输入口令。为此，验证令牌40还可以包括计算机可读介质42上包含的代码，所述代码引导数据处理器41提示用户在计算机10的键盘上输入口令、读取用户输入的口令、以及对照计算机可读介质上所包含的所存储口令对所输入的口令进行比较。该代码可以包括：对计算机10的操作系统的图形用户界面的API函数调用，其用于在用户界面13上打开显示框以从用户1请求和接收口令；I/O指令、存储器存取指令、以及CPU逻辑和控制指令。验证令牌40还可以包括下列各项中的一个或多个：

(1)包含在计算机可读介质42上的代码，该代码引导数据处理器41响应于与所存储口令匹配的所输入口令发起和/或允许与计算机10的上述通信；

(2)包含在计算机可读介质42上的代码，该代码引导数据处理器41响应于与所存储口令匹配的所输入口令发起和/或允许与确认实体/服务器80的上述通信；

(3)包含在计算机可读介质42上的代码，该代码引导数据处理器41响应于与所存储口令匹配的所输入口令激活读取器44和/或接受来自读取器44的标识信息；以及

(4)包含在计算机可读介质42上的代码，该代码引导数据处理器41响应于与所存储口令匹配的所输入口令发起和/或允许标识信息到确认实体/服务器80的上述传送。

这些代码可以包括I/O指令、存储器存取指令和CPU逻辑和控制指令。这些指令单独地或者在相组合的情况下防止了在所输入的口令与所存储的口令不同时将标识信息传送给确认实体/服务器80并且由此包括了计算机可读介质上包含的引导数据处理器这样做的代码。鉴于本公开，在没有过度试验的情况下，本领域的普通技术人员将能够构造指令和API函数调用来实现上述代码。作为进一步的保护，确认令牌40还可以包括计算机可读介质42上包含的如下代码：该代码引导数据处理器41通过如下方式为该令牌建立用户名：向用户1呈现对话框以接收指定用户名的输入；以及将该用户名存储在计算机可读介质42中。

用于处理口令的上面的代码还可以被扩充为包括：为令牌请求用户名并且将所接收的用户名与所存储的用户名相比较以获得匹配；以及包括匹配以作为在发起或允许要进行的各个动作的上面四个代码中的每个中都必须满足的条件。这些代码可以包括I/O指令、存储器存取指令和CPU逻辑和控制指令。

在此处所述的与验证令牌40有关的实施例中的每个中，验证令牌40都可以将与便携式消费者设备5有关的标识信息以多种形式发送给计算机10，所述形式包括：(1)未经改动的形式(“清楚形式”)；(2)经加密的形式；(3)经散列的形式(例如经编码的)；(4)经签名的形式；(5)或者这些形式的任何组合。这些形式可以由便携式消费者设备5、验证令牌40、计算机10或其任何组合来生成。另外，验证令牌40和确认实体/服务器80可以在验证令牌40发送标识信息以前执行相互认证过程。

在此处所述的与验证令牌40有关的每个实施例中，令牌40的上面的代码和由令牌40从设备5读取的标识信息可以与计算机10无关地存储，并且可以被保护以免受到在计算机10上运行的程序(包括间谍软件或其他恶意程序)的损害。在这样的实施方式中，标识信息在信息被提供给计算机10以前被验证令牌40置于安全形式(例如经加密、经散列、经签名或其组合)。

因此，保护该信息不取决于计算机10的安全性。可以将对称或非对称密钥用于加密和签名。验证令牌40的密钥可以相对于其他验证令牌而言是唯一的(也就是说，令牌的密钥可以对该令牌是唯一的)。令牌的密钥、尤其是对称密钥、可以基于为验证令牌唯一地分配的序列号，该序列号可以被该令牌在初始通信中传递给确认实体/服务器80。验证令牌和确认实体/服务器二者都可以具有关于如何从令牌的序列号中导出密钥(比如通过操纵和/或替换序列号的所选数字)的共享秘密。可以使用相应的共享秘密从唯一的序列号中导出多个密钥。因此，用在验证令牌与确认实体/服务器之间的相互认证过程中的质询和响应消息可以使用从验证令牌的序列号中导出的相应密钥被签名。

图8是用于更新存储在验证令牌40上的计算机可读介质或存储器中的信息的系统的示意图。在动作1，验证令牌40可以通过用户连接到计算机10。一旦验证令牌40通过外围接口或其他通信接口连接到计算机10，验证令牌40就可以建立与计算机10的通信链路。在一些实施例中，外围接口可以包括USB或FireWire^TM以及适于在验证令牌40与计算机10之间建立通信和传输信息的任何其他外围或内部总线接口。

使用验证令牌40与计算机10之间的通信链路，验证令牌40或其上包括的处理器可以指示计算机10在动作920使用计算机10的网络接口来建立验证令牌与确认实体/服务器之间的通信会话。在这样的实施例中，网络接口/设施计算机10可以通过诸如专用计算机网络或因特网之类的通信介质被连接。在这样的实施例中，验证令牌40可以包括如下的可执行代码：所述可执行代码包括用于供验证令牌40的处理器或计算机10的处理器使用计算机10的网络接口来建立通信的指令。在一些实施例中，该代码可以包括URL或用于联系由确认实体/服务器80运营的网站或其他服务的其他地址。

一旦建立了验证令牌40与确认实体/服务器80之间的通信链路，计算机10就可以从确认服务器实体80下载可执行代码，所述可执行代码包括用于在动作930在计算机10的显示器上向用户提供各种提示的指令。所述可执行代码可以包括HTML或者在使用web浏览器或其他基于web的通信应用的计算机上的其他可通用地执行的代码。对用户的提示可以包括用于供用户发起、继续或完成验证令牌40的确认请求的指令。例如，计算机10可以提示用户输入验证令牌40的印刷在验证令牌40的外部的序列号。在一些实施例中，印刷、刻蚀或雕刻在验证令牌40上的序列号与存储在验证令牌40上的计算机可读介质或存储器中的序列号相同。在其他实施例中，印刷、刻蚀或雕刻在验证令牌40上的序列号与存储在验证令牌40上的计算机可读介质或存储器中的序列号不同或者是该序列号的变型。

如果用户将合适的输入输入到所述提示并且该输入或该输入的经加密版本与存储在验证令牌40和/或确认实体/服务器80上的信息相匹配，则可以在验证令牌40与确认实体/服务器80之间建立密钥会话。在一些实施例中，响应于提示的输入可以包括：仅经授权用户和确认实体/服务器80知道的口令，而在其他实施例中，响应于提示的输入可以包括从验证令牌40的外部或存储器读取的序列号中的一些或全部。一旦建立了密钥会话，则在动作940，确认实体/服务器80就可以发起从验证令牌序列号和/或确认实体/服务器主密钥或证书中导出的现有或原始密钥的替换。如果在该密钥会话下，验证令牌40和确认实体/服务器80可以执行相互认证，则在动作950，验证令牌可以允许确认实体/服务器80用新密钥替换原始密钥。在一些实施例中，可以提示用户允许或拒绝用来自确认实体/服务器80的新密钥替换验证令牌40上的现有密钥。最后，在步骤960，确认实体/服务器80可以向验证令牌数据库注册验证令牌40的序列号以供未来引用，并且验证令牌40不时地提交另一确认请求。验证令牌数据库可以包括原始序列号、原始密钥之间的关联，并且每个迭代或替换密钥与验证令牌40相关联或已经与验证令牌40相关联。

图10是根据本发明的各实施例的用于使用确认实体/服务器80来确认验证令牌40的方法的方法1000的流程图。方法1000始于动作1010，在动作1010，确认实体/服务器80使用确认实体/服务器80的联网设施来建立与验证令牌的通信链路。在一些实施例中，该通信链路被建立在确认实体/服务器80与验证令牌40所连接到的计算机10之间。在一些实施例中，验证令牌40、确认实体/服务器80直接通过诸如下列物理连接或无线连接来连接：WiFi^TM、Bluetooth^TM、GSM、CDMA、3G、4G或其他无线数据链或通信协议。通过所建立的通信链路，确认实体/服务器80可以在动作1020接收由验证令牌40发送的经加密的标识信息和/或验证令牌信息。如上所述，经加密或未经加密的标识信息和/或验证令牌信息可以包括序列号、认证消息、验证令牌制造者标识符、以及可被确认实体/服务器80用于执行与验证令牌40的相互认证的任何其他信息。

在动作1030，确认实体/服务器80可以对所接收的标识信息和/或验证令牌信息进行解析或解密。为了解析所接收的信息，确认实体/服务器80可以使用与从中接收到所述信息的验证令牌相关联的信息。在一些实施例中，与验证令牌相关联的信息包括定界(delimitation)密钥，所述定界密钥向确认实体/服务器指示如何将所接收的信息解析成组分数据段。例如，相关联的信息可以包括组分数据段、定界符、以及数据表格(即以逗号定界的字符串表)的列表。在其他实施例中，与验证令牌相关联的信息可以包括存储在验证令牌上或从验证令牌发送的密钥的相应对称或非对称的配对密钥。相关联的信息还可以包括制造者特有的曾用于对存储在验证令牌上的密钥组件进行签名的主密钥。主密钥可以与同验证令牌相关联的未存储在该验证令牌上的相应密钥组件结合使用来对被存储在验证令牌上的密钥组件签名的任何信息进行解密。

在步骤1040，确认实体/服务器可以将上面所讨论的确认测试的至少之一应用于经解密的信息。基于一个或多个确认测试的结果，确认实体/服务器可以验证值/消息到验证令牌。如果所述测试通过或者以其他方式被认为是令人满意的，则验证值/消息可以向验证令牌指示：该确认实体/服务器是受信的，并且应当被允许访问以读取、写入或替换存储在验证令牌上的信息。在其他实施例中，验证值/消息可以包括可用于添加、修订或替换存储在验证令牌上的信息的信息。在各个实施例中，包括在验证令牌或其连接到计算机中的处理器可以发起对存储在验证令牌上的信息的读取、写入或替换。在这样的实施例中，信息可以包括替换或新密钥组件，该组件可以用于未来的交易和使用验证令牌发送的确认请求。在相应的实施例中，该替换或新密钥组件和相应的新密钥组件、即对称或非对称密钥对可以被存储以供未来在确认或交易请求中进行引用。

已经描述了验证令牌40的各个实施例和实施方式，现在描述确认实体/服务器的各个实施例和实施方式。确认实体/服务器80包括具有一个或多个服务器的系统，所述服务器耦合到通信网络，所述通信网络可以从验证令牌40接收请求以处理(例如确认)验证令牌信息以及该令牌从便携式消费者设备5读取的信息以及在标识信息通过了一个或多个确认测试的情况下将设备验证值(dCVV2)提供给令牌和支付处理网络70。

图1中示出了确认实体/服务器80的一个示例性服务器。该服务器包括一个或多个处理器81，所述处理器耦合到有形的计算机可读介质82、用户接口83、一个或多个数据库86、以及联网设施84中的每个，其中后者耦合到第一和第二通信网络31和32。用户接口83包括一个或多个视频输出设备(例如显示器、屏幕)和一个或多个输入设备(例如键盘、鼠标、跟踪球等等)，所述设备使得确认实体/服务器80的管理员能够从该服务器接收信息并且将输入提供给该服务器。计算机可读介质82可以包括半导体存储器和诸如一个或多个盘驱动器和/或非易失性存储器之类的非易失性存储的组合。

计算机可读介质82存储服务器的操作系统，该操作系统使得过程和应用能够被处理器81运行，并且使得用于引导处理器81的操作的代码能够被运行。该操作系统向这些过程和应用提供服务，并且使得这些过程和应用能够访问用户接口83的组件、计算机可读介质82的各部分、联网设施84、以及确认实体/服务器80的其他组件。

该操作系统可以是全特性的。具体而言，该操作系统提供一个或多个I/O通信模块，所述I/O通信模块使得处理器81能够与用户接口83和数据库86通信。每个I/O通信模块都具有应用编程接口(API)，所述应用编程接口(API)具有处理器81为了访问组件可调用的函数的集合。确认实体/服务器80的操作系统还可以包括一个或多个网络服务模块，所述网络服务模块可以访问联网设施84以及建立到通信网络31和32上的实体、以及与SMS中继服务器35的通信会话。

这样的网络服务模块包括微软的Windows通信基础(例如NET3.0、NET4.0等等)、Apple的CFNetwork框架、Unix和Linux操作系统内核的联网部分、以及Symbian^TM操作系统的OS服务层和基础服务层等等。这些网络服务模块中的每个都可以是非独占性的(例如能够服务于一个以上的处理器和一个以上的过程/应用)，并且每个都提供应用编程接口(API)，该应用编程接口具有可以被处理器81调用以便管理与另一实体的通信的函数集合。利用这些API设施，可以容易地构造API函数调用的集合以供处理器执行，所述函数调用使得处理器能够与耦合到联网设施84的通信网络上的实体建立通信信道、以及与该实体交换消息和数据。上面的操作系统、模块和API全部包括引导处理器81的操作的指令。

一个或多个数据库86可以被配置成数据库服务器，其中处理器81可以经由联网设施84通过图1中由虚线示出的专用通信网络87来访问所述数据库服务器。确认实体/服务器80常规而言具有用于跟踪各个应用的时间和日期的时钟88。时钟88可以是秒或其分数的可被处理器81通过I/O操作读取的简单计数器，或者可以包括硬件或固件的更复杂布置，其中所述硬件或固件可以提供可由处理器81通过执行一个或多个I/O操作读取的寄存器中的当前日期和时间(年、月、日、小时、分钟和秒)的各个组件。

确认实体/服务器80可以处理从多个不同验证令牌40(例如几百万个令牌)传送的标识信息，并且可以处理任何数目的由特定令牌40进行的传送。确认实体/服务器80将一个或多个确认测试应用于验证令牌40。针对这些任务，确认实体/服务器80可以包括包含在计算机可读介质82上的如下代码：所述代码引导数据处理器81使用联网设施84通过通信网络31与计算机10和验证令牌40通信。该代码可以包括：建立与计算机10的通信会话的指令，包括基于三重DES算法来建立具有相互认证和加密的SSL会话的选项；以及用于通过通信会话将消息发送给验证令牌40和接收消息的指令。

确认实体/服务器80还可以包括包含在计算机可读介质82上的引导数据处理器81接收由验证令牌40发送的经加密的标识信息的代码、以及引导数据处理器81对经加密的标识信息进行解密的代码。该标识信息可以由SSL会话的会话密钥或者由存储在验证令牌40中并且为确认实体/服务器80所知道的加密密钥来加密，或者可以由两个密钥双重地加密。后一个密钥可以被唯一地分配给令牌。确认实体/服务器80还可以包括包含在计算机可读介质82上的如下代码：该代码引导数据处理器81如先前上述那样应用一个或多个确认测试。数据处理器81可以在执行所述一个或多个确认测试时访问数据库86。因此，下面更详细地描述确认测试和代码。这些代码和下面所述的用于确认实体/服务器80的代码可以以任何数目的编程语言来实现。此外，鉴于本公开，在没有过度试验的情况下，本领域的普通技术人员能够容易地构造指令来实现这些代码。

如上所述，确认实体/服务器80可以应用的第一确认测试涉及验证：验证令牌40是真实的。为此，验证令牌40可以将其序列号与由加密密钥加密的测试消息一起发送给确认实体/服务器80，其中该测试消息和加密密钥是令牌40和确认实体/服务器80(但不是公众)所知道的，并且该加密密钥还被唯一地分配给令牌的序列号。

确认实体/服务器80可以访问令牌序列号数据库、以及数据库86之一中的相应的唯一关联的加密密钥，并且可以确定：验证令牌40是否已经发送了针对令牌所提供的序列号的正确测试消息。该测试消息可以是固定或可变的，在后一种情况下，其可以基于令牌40和确认实体/服务器80二者都知道的信息来生成。该测试消息可以通过三重DES算法来加密和解密，该算法可以通过多种公知的计算机指令集来实现。

如果所发送的测试消息是正确的，则第一确认测试可以被认为是已经通过。为此，确认实体/服务器80可以包括：包含在计算机可读介质82上的引导数据处理器81通过联网设施84从验证令牌40接收一个或多个消息的代码，所述消息具有令牌的序列号和经加密的测试消息；引导数据处理器81对经加密的测试消息进行解密的代码；引导数据处理器81从数据库86之一获得可作为正确的测试消息被接受的一个或多个可接受消息的代码；以及引导数据处理器81将经解密的测试消息与所述一个或多个可接受的消息相比较以确定第一确认测试是已经通过(在经解密测试消息与可接受消息匹配的情况下)还是已经失败(在没有这样的匹配的情况下)的代码。可接受的消息可以通过如下方式获得：直接从数据库86之一访问该消息；或者从存储在数据库86中的一个或多个中的信息来生成该消息。上面的代码可以利用常规的I/O指令、对数据库的API函数调用、存储器存取指令、CPU算数和逻辑指令、以及CPU控制指令来实现。鉴于本公开，所述代码可以由本领域的普通技术人员在没有过度试验的情况下实现。

作为第二确认测试，确认实体/服务器80可以具有数据库86中的数据库，该数据库跟踪已经用在欺诈性活动中的验证令牌的序列号，并且确认实体/服务器80可以对照该数据库来检查验证令牌40的序列号。如果该数据库的检查指示：验证令牌40还未牵涉到欺诈性活动，则第二确认测试可以被认为是已经通过。

为了实现第二确认测试，确认实体/服务器80可以包括：包含在计算机可读介质82上的引导数据处理器81通过联网设施从验证令牌40接收消息的代码，该消息具有该令牌的序列号；引导数据处理器81让所接收的序列号与存储在数据库86中的存储用在欺诈性交易中的令牌的序列号的数据库中的序列号相比较的代码，以确定第二确认测试是已经通过(没有欺诈性活动)还是已经失败(欺诈性活动)。上面的代码可以利用常规的I/O指令、对数据库的API函数调用、存储器存取指令、CPU逻辑指令、以及CPU控制指令来实现。鉴于本公开，所述代码可以由本领域的普通技术人员在没有过度试验的情况下实现。

作为第三确认测试，确认实体/服务器80可以向验证令牌40发送如下消息：该消息请求令牌40向其发送关于计算机10的一条或多条计算机特有的信息、比如下列各项中的一个或多个的序列号：计算机的处理器、计算机的盘驱动器中的一个或多个、计算机的操作系统。确认实体/服务器80可以接收该信息并对照存储已知牵涉欺诈性活动的计算机的计算机特有信息的数据库对所述信息进行检查。如果该数据库的检查指示：验证令牌40所使用的计算机10还未牵涉到欺诈性活动，则第三确认测试可以被认为是已经通过。

为了实现第三确认测试，确认实体/服务器80可以包括：包含在计算机可读介质82上的引导数据处理器81向验证令牌40发送请求计算机特有的信息的消息(如果验证令牌40还未在没有提示的情况下预先发送这样的信息)的代码；引导数据处理器81通过联网设施从验证令牌40接收一个或多个数据消息的代码，所述数据消息具有该令牌的序列号和该计算机特有信息；以及引导数据处理器81让所接收的计算机特有信息与存储在(数据库86的)存储用在欺诈性交易中的计算机的计算机特有信息的数据库中的计算机特有信息相比较的代码，以确定第三确认测试是已经通过(没有欺诈性活动)还是已经失败(欺诈性活动)。上面的代码可以利用常规的I/O指令、对数据库的API函数调用、存储器存取指令、CPU逻辑指令、以及CPU控制指令来实现。鉴于本公开，所述代码可以由本领域的普通技术人员在没有过度试验的情况下实现。

确认实体/服务器80可以包括用户1可访问的网站，该网站使得用户能够：(1)创建与令牌的序列号相关联的受口令保护的账户，所述序列号可以在原先与该令牌一起发送的纸片上提供；(2)关联把要用于上述提醒中的一个或多个的电子邮件地址；(3)关联用户的要用于上述提醒中的一个或多个的通信设备5的移动号码和/或URID(例如网络地址)；以及(4)选择上述提醒条件中的一个或多个。该网站还可以使得用户能够提供用户的设备5的一个或多个的账号并将该账号与受口令保护的账户相关联；并且还可以使得用户能够根据他们的账号将用于提醒的电子邮件和移动号码与特定设备5相关联。可以分配数据库86之一以保持用户的受口令保护的账户。当确认实体/服务器80从验证令牌40接收确认请求时，其可以查询该数据库以找出用户的受口令保护的账户(例如从令牌的序列号和/或在标识信息中发送的账号中标识出用户)，并且基于存储在受口令保护的账户中的参数来确定将要生成和发送什么文本消息提醒。上面的代码和动作可以利用HTML页代码(例如网页)、常规的I/O指令、存储器存取指令、数据库API函数调用、CPU算数指令、CPU逻辑指令、以及CPU控制指令来实现。鉴于本公开，所述代码可以由本领域的普通技术人员在没有过度试验的情况下实现。

能够理解，验证令牌40的一些实施方式可以被配置为与诸如由所选银行签发的设备之类的所选消费者支付设备5一起工作，或者被配置为与所选商家网站20一起工作。

在另一些实施方式中，验证令牌40可以包含确认实体/服务器80的URID，所述实体/服务器80处理针对若干不同的联名便携式消费者设备5的确认请求。另外，这些联名设备5中的每个都可以保持联名厂家的URID。商家URID由验证令牌40来读取，并且与设备的标识信息一起被提供给确认实体/服务器。确认实体/服务器80可以将经确认的标识信息发送给商家URID。

本发明各实施例不限于涉及交易的认证系统。相同的方案可以应用于其他认证系统。例如，实施例可以用于认证使用在线银行应用的用户。持卡人可以将他的用户ID输入到银行网站中。然后，持卡人可以将他或她的便携式消费者设备呈现给验证令牌。银行网站可以通过与确认实体通信来确认该用户ID和令牌凭证。

本发明的各实施例不限于上述各实施例。例如，尽管为签发者、支付处理系统、和收单者示出单独的功能框，但某些实体执行这些功能的全部并可被包括在本发明的各实施例中。

图11是典型计算机系统1100的框图，该计算机系统1100被配置为执行计算机可读代码以实现根据本发明的各个实施例的各种功能和动作。

系统1100代表能够实现本发明的计算机系统。该计算机系统可以存在或用于实现图1至10中的任何方法或计算机或服务器计算机实施例。许多其它硬件和软件配置适合于在本发明中使用对于本领域普通技术人员而言将是显而易见的。例如，计算机可以是桌面、便携式、支架、或写字板配置。另外，计算机可以是一系列联网的计算机。此外，构想了使用其他微处理器，比如Xeon^TM、Pentium^TM或Core^TM微处理器、来自AdvancedMicroDevices公司的Turion^TM64、Opteron^TM或者Athlon^TM微处理器等等。此外，构想了如来自微软公司的等、来自SunMicrosystems公司的Solaris、LINUX、UNIX,等的其它类型的操作系统。在另一些实施例中，在此所述的技术可以实现在芯片或辅助处理板上。各个实施例可以基于由daVinci、Pandora、SiliconColor或其他厂家提供的系统上。

在一个实施例中，计算机系统1100通常包括显示器1110、计算机1120、键盘1130、用户输入设备1140、通信或网络接口1150等等。在各个实施例中，显示器(监视器)1110可以体现为CRT显示器、LCD显示器、等离子显示器、直接投影或背投影DLP、微显示器等等。在各个实施例中，显示器1110可以用于显示用户界面和所呈递的图像。

在各个实施例中，用户输入设备1140通常体现为计算机鼠标、跟踪球、跟踪垫、操纵杆、无线遥控、绘画板、语音通信系统等等。用户输入设备1140通常允许用户通过诸如点击按钮等的命令来选择出现在监视器1111上的对象、图标、文字等。在各个实施例中还可以提供诸如磁条RFID收发器或智能卡读卡器之类的附加的专用用户输入设备1145。在其他实施例中，用户输入设备1145包括附加的计算机系统显示器(例如多个监视器)。另外的用户输入设备1145可以被实现为这样的显示器上的一个或多个图形用户界面。

计算机接口1150的实施例通常包括以太网卡、调制解调器(电话、卫星、电缆、ISDN)、(异步)数字用户线(DSL)单元、火线接口、USB接口等。例如，计算机接口1150可耦合到计算机网络或火线总线等。在其它实施例中，通信接口1150可以物理地集成在计算机1120的主板上，并且可以是如软DSL等的软件程序。

RAM1170和盘驱动器1180是计算机可读有形介质的是合理，所述介质被配置成存储诸如下列数据：用户账户和交易等级数据、所计算的聚合数据、超级密钥、子密钥以及其他可执行计算机代码、人类可读代码等等。其它类型的有形介质包括：磁存储介质，比如软盘、联网的硬盘、或可移除硬盘；光存储介质，比如CD-ROM、DVD；全息存储器或者条形码；半导体介质，比如闪存、只读存储器(ROM)、电池支持的易失性存储器、联网的存储设备等等。

在本实施例中，计算机系统1100还可包括实现如HTTP、TCP/IP、RTP/RTSP协议等的网络上的通信的软件。在本发明的替代实施例中，可使用例如IPX、UDP等的其它通信软件和传输协议。

在各个实施例中，计算机1120通常包括：熟悉的计算机组件，比如处理器1160；以及存储器存储设备，比如随机存取存储器(RAM)1170、盘驱动器1180；以及将上面的组件互连的系统总线1190。

在一些实施例中，计算机1100包括来自Intel的一个或多个Xeon微处理器。此外，在本实施例中，计算机1120通常包括如基于UNIX的操作系统。

应当理解，本发明的上述实施例可以以模块化或集成方式使用计算机软件以控制逻辑的形式来实现。基于本文提供的公开和示教，本领域普通技术人员会意识到使用硬件以及硬件和软件的组合来实现本发明的其它方式和/或方法。

本申请中所描述的任何软件组件或功能可被实现为由处理器使用例如常规或面向对象技术、使用例如Java、C++或Perl的任何合适的计算机语言来执行的软件代码。软件代码可作为一系列指令或命令被存储在诸如随机存取存储器(RAM)、只读存储器(ROM)、磁性介质(诸如硬驱动器或软盘)、或光学介质(诸如CD-ROM)之类的计算机可读介质上。任何这种计算机可读介质可驻留在单个计算装置之上或之内，并且可存在于系统或网络内的不同计算装置之上或之内。

以上描述是说明性而非限制性的。基于对本公开的查阅，本发明的许多变化对本领域技术人员将变得显而易见。因此，本发明的范围不应该参照以上描述来确定，相反应该参照所附权利要求及其全部范围或等效方案来确定。

来自任何实施例的一个或多个特征可与任何其它实施例的一个或多个特征结合而不背离本发明的范围。

对“一”、“一个”或“该”的引用旨在表示“一个或多个”，除非具体地指示了相反含义。

Claims

1.一种验证令牌，包括：

用于建立与计算机的通信链路的外围接口；以及

存储器，至少储存：

与验证令牌序列号相关联的验证令牌特有的密钥对的私密组件；以及

通过用提供给验证令牌制造者的验证令牌制造者主密钥对验证令牌特有的密钥对的公共组件签名所生成的公共证书，所述验证令牌制造者被注册为受信的验证令牌制造者，

其中所述验证令牌通过以下步骤来验证：

用所述验证令牌特有的密钥对的一组件将来自验证服务器的由所述验证服务器签名的质询消息解密，以及

向所述验证服务器发送响应，所述响应由所述验证服务器使用验证令牌制造者主密钥进一步解密来确认所述验证令牌。

2.如权利要求1所述的验证令牌，其特征在于，所述序列号被存储在所述验证令牌的存储器中。

3.如权利要求1所述的验证令牌，其特征在于，验证令牌制造者标识符被存储在所述验证令牌的存储器中。

4.如权利要求1所述的验证令牌，其特征在于，至少所述验证令牌特有的密钥对的私密组件及相关联的序列号被与用于确认所述验证令牌的所述验证服务器共享。

5.如权利要求1所述的验证令牌，其特征在于，所述验证令牌制造者基于对与所述验证令牌制造者相关的信息的风险审查被注册为受信的验证令牌制造者。

6.如权利要求1所述的验证令牌，其特征在于，所述验证令牌特有的密钥对是从所述序列号导出的。

7.如权利要求1所述的验证令牌，其特征在于，所述验证令牌的存储器进一步存储可在处理器上执行的代码以使用所述验证令牌所连接到的计算机的通信设施通过通信会话来建立与验证服务器的连接。

8.如权利要求1所述的验证令牌，其特征在于，所述验证令牌的存储器进一步存储可在处理器上执行的代码以在所述验证令牌所连接到的计算机上安装设备驱动程序，从而使所述计算机能够识别所述验证令牌。

9.如权利要求1所述的验证令牌，其特征在于，所述验证令牌的存储器进一步存储与所述验证服务器相对应的缺省统一资源标识符。

10.如权利要求1所述的验证令牌，其特征在于，所述验证令牌的存储器进一步存储可在处理器上执行的代码以指令所述处理器从存储在所述验证令牌上的统一资源标识符集合中选择一统一资源标识符。

11.如权利要求1所述的验证令牌，其特征在于，进一步包括从便携式消费设备读取信息的读取器。

12.如权利要求11所述的验证令牌，其特征在于，所述读取器包括磁条读取器、接触式读卡器、无接触式读取器中的至少一个。

13.如权利要求11所述的验证令牌，其特征在于，所述验证令牌的存储器进一步存储可在处理器上执行的代码以指令所述处理器接收从所述便携式消费设备读取的所述验证服务器的统一资源标识符。

14.如权利要求11所述的验证令牌，其特征在于，所述验证令牌的存储器进一步存储可在处理器上执行的代码以指令所述处理器向所述验证服务器传送从所述便携式消费设备读取的标识信息的至少一部分。

15.一种方法，包括：

从验证服务器接收经签名的质询消息以确认验证令牌，所述验证令牌包括存储器，至少储存：

用所述验证令牌特有的密钥对的一组件解密所述质询消息，以及

向所述验证服务器发送响应，其中所述响应由所述验证服务器使用验证令牌制造者主密钥进一步解密来确认所述验证令牌。

16.如权利要求15所述的方法，其特征在于，所述序列号被存储在所述验证令牌的存储器中。

17.如权利要求15所述的方法，其特征在于，验证令牌制造者标识符被存储在所述验证令牌的存储器中。

18.如权利要求15所述的方法，其特征在于，至少所述验证令牌特有的密钥对的私密组件及相关联的序列号被与用于确认所述验证令牌的所述验证服务器共享。

19.如权利要求15所述的方法，其特征在于，所述验证令牌制造者基于对与所述验证令牌制造者相关的信息的风险审查被注册为受信的验证令牌制造者。