CN105556550A - 用于保护在线交易的验证步骤的方法 - Google Patents

用于保护在线交易的验证步骤的方法 Download PDF

Info

Publication number
CN105556550A
CN105556550A CN201480051230.9A CN201480051230A CN105556550A CN 105556550 A CN105556550 A CN 105556550A CN 201480051230 A CN201480051230 A CN 201480051230A CN 105556550 A CN105556550 A CN 105556550A
Authority
CN
China
Prior art keywords
mobile device
transaction
contactless
user
request message
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201480051230.9A
Other languages
English (en)
Inventor
V.阿纳尔德
J-M.德斯贾丁斯
M.蒂尔
铃木信太郎
S.格雷利尔
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Axalto SA
Thales DIS France SA
Original Assignee
Axalto SA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Axalto SA filed Critical Axalto SA
Publication of CN105556550A publication Critical patent/CN105556550A/zh
Pending legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/32—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using wireless devices
    • G06Q20/327—Short range or proximity payments by means of M-devices
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/08—Payment architectures
    • G06Q20/12—Payment architectures specially adapted for electronic shopping systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/32—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using wireless devices
    • G06Q20/322—Aspects of commerce using mobile devices [M-devices]
    • G06Q20/3226—Use of secure elements separate from M-devices
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/32—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using wireless devices
    • G06Q20/327—Short range or proximity payments by means of M-devices
    • G06Q20/3278—RFID or NFC payments by means of M-devices
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/34—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using cards, e.g. integrated circuit [IC] cards or magnetic cards
    • G06Q20/352—Contactless payments by cards
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/36—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using electronic wallets or electronic money safes
    • G06Q20/363—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using electronic wallets or electronic money safes with the personal data of a user
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G06Q20/401—Transaction verification
    • G06Q20/4012—Verifying personal identification numbers [PIN]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G06Q20/409—Device specific authentication in transaction processing
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q30/00—Commerce
    • G06Q30/06—Buying, selling or leasing transactions
    • G06Q30/0601—Electronic shopping [e-shopping]
    • G06Q30/0609—Buyer or seller confidence or verification
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07F—COIN-FREED OR LIKE APPARATUS
    • G07F7/00—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus
    • G07F7/08—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means
    • G07F7/0806—Details of the card
    • G07F7/0846—On-card display means
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07F—COIN-FREED OR LIKE APPARATUS
    • G07F7/00—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus
    • G07F7/08—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means
    • G07F7/0806—Details of the card
    • G07F7/0853—On-card keyboard means
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07F—COIN-FREED OR LIKE APPARATUS
    • G07F7/00—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus
    • G07F7/08—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means
    • G07F7/10—Mechanisms actuated by objects other than coins to free or to actuate vending, hiring, coin or paper currency dispensing or refunding apparatus by coded identity card or credit card or other personal identification means together with a coded signal, e.g. in the form of personal identification information, like personal identification number [PIN] or biometric data
    • G07F7/1008—Active credit-cards provided with means to personalise their use, e.g. with PIN-introduction/comparison system

Landscapes

  • Business, Economics & Management (AREA)
  • Engineering & Computer Science (AREA)
  • Accounting & Taxation (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • General Business, Economics & Management (AREA)
  • Strategic Management (AREA)
  • Finance (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Security & Cryptography (AREA)
  • Microelectronics & Electronic Packaging (AREA)
  • Development Economics (AREA)
  • Economics (AREA)
  • Marketing (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)

Abstract

本发明涉及用于保护在线支付交易的验证过程的系统和方法。在移动装置上的在线交易期间，其要求从非接触式显示卡进行非接触敲击(利用该移动装置中的NFC读取器模式)，以建立非接触交换会话。在此非接触交换会话期间，显示卡接收交易请求的金额和商户的身份。用户被邀请在显示卡的屏幕上检查金额和商户身份。当用户通过例如按压相应按钮而验证了交易时，显示卡创建授权消息，其包括关于该交易的加密的财务用户信息和数据。通过来自显示卡的第二敲击，所述移动装置接收该授权消息，其通过商户被传送到显示卡发行方，用于验证。

Description

用于保护在线交易的验证步骤的方法
技术领域
本发明一般涉及用于保护移动装置中的交易的系统和方法。更具体地，本发明涉及用于保护在线支付交易的验证过程的方法和系统。
背景技术
技术彻底改变了消费者购买商品的方式，并扩大了零售渠道的范围。确实，移动装置，如移动电话，在日常生活中起到越来越多作用。许多新的特征和服务正在开发中，试图扩大移动电话超越其传统的语音和消息传送的角色。这些新特征和服务中的一些对数据安全性要求比现有应用更严格。例如，移动电话进行购买的可行性取决于移动电话和服务提供商确保用户的私人信息针对各种安全威胁的安全性的能力，所述安全威胁包括移动电话的物理盗窃和/或移动电话的非法使用。对用户的移动电话的未经授权的占有可能会导致对用户的私有和敏感数据的危害。
要应对这个安全问题，一些移动装置服务提供商允许用户在网络级存储重要信息，如银行细节，使得服务提供商充当最终用户的数据代理。尽管这一做法方便，但用户信息结合网络存储的集中化容易受到黑客攻击。出于这个原因，很多消费者拒绝让在线服务提供商持有信用卡信息。
一些移动装置提供接口来捕获用户的指纹，以结合认证协议使用。该解决方案可能是脆弱，这是因为，指纹可能相对容易被捕捉，特别是在小偷占有用户的移动装置(其很可能会包含许多指纹)的情况下。
基于硬件的解决方案可以被用于保护移动装置所存储的用户数据。这些解决方案采用加密/解密技术来保护用户的敏感数据。这些解决方案利用的整个保护机制驻留在移动装置本身，从而使所保护的数据易于被具有足够的硬件知识、诊断设备和黑客能力的盗贼所攻击。
一次性密码(OTP)解决方案可以用在打击网络欺诈的斗争中。不同于依靠传统记忆的密码，消费者每当他们想要使用在线或手机银行界面来执行交易时，请求OTP。当接收到请求时，密码通过SMS被发送到用户的移动装置。一旦该密码已被使用或其计划的寿命已到，该密码便失效。此解决方案可能是脆弱的，这是因为，攻击者可得到OTP，尤其是在小偷已占有该用户的移动装置(其将接收OTP)的情况下。
此外，在移动支付交易期间，用户没有、或只有很少手段来检查移动输入和移动应用支付之间的通信是否被截获、以及交易数据是否在发送给商户之前被篡改。
安全通信解决方案可以被使用，并且可以通过已知的匿名密钥交换协议实现，其若无额外保障措施就很容易遭受欺诈行为，如中间人攻击。
存在这样的需要：在支付交易期间，保护通过移动装置经由网络发送到商户或财务机构的用于验证所述交易的信息，如银行细节。
发明内容
本发明的以下概要被提供，以便提供对本发明的一些方面和特征的基本理解。此概述不是本发明的广泛综述，因此它不旨在特别标识本发明的关键或重要元素、或描绘本发明的范围。其唯一目的在于以简化的形式呈现本发明的一些概念，作为下面给出的更详细的说明的前序。
本发明解决了上述缺点。本发明涉及系统和方法，用于允许保护包括非接触接口的移动装置中的支付交易。
根据本发明，提供了用于允许保护要在移动装置中进行的财务交易的服务。在交易的确认步骤期间，该服务涉及认证用户的身份，并通过非接触式显示装置完成交易。并且，在所述用户被认证的事件中，安排完成交易，而不会向该移动装置泄露用户的财务细节和/或其它个人细节。经由非接触式通信信道，从移动装置将交易数据传递到非接触式显示装置。
通过将验证步骤与移动装置中的交易处理分离，用户可被认证并被授权交易，而无需向移动装置提供该用户的财务细节。这提供了针对例如用户的借记卡或信用卡的误用的保护，否则它可能被损害。以这种方式，由于财务细节的侵占造成的欺诈和盗用可以被最小化。
本发明提供可信任的支付环境，其保护用户的财务细节，但允许他们被安全地认证，并安排交易履行，同时向其它方提供将完成交易的再保证。
示例实施例提供了非接触式显示装置的能力，其用来检查和处理卡内所有敏感的财务信息，然后发送加密的财务信息，以完成交易。
根据本发明的实施例，在移动装置上的在线交易期间，它被要求从非接触式显示卡进行非接触敲击(利用该移动装置中的NFC读取器模式)，以建立非接触交换会话。在此非接触交换会话期间，显示卡接收交易请求的金额(amount)和商户的身份。用户被邀请在显示卡的屏幕上检查金额和商户身份。当用户通过例如按压相应按钮而验证了交易时，然后可请求用户输入PIN。显示卡检查输入的PIN。显示卡创建授权消息，包括关于该交易的加密的财务用户信息和数据。通过来自显示卡的第二敲击(tap)，所述移动装置接收该授权消息，其通过商户被传送到显示卡发行方，用于验证。
本发明的实施例的方面一般涉及用于保护连接到网络的非接触式移动装置上的在线交易的验证步骤的方法，其中，在所述验证步骤期间，
-从所述网络接收所述在线交易的确认的请求，
-通过在移动装置和显示装置之间建立的第一非接触式通信，从所述移动装置向所述显示装置发送交易数据，该显示装置能够管理和维护用户的敏感数据，
-从交易数据创建授权请求消息，授权请求消息包括与确定是否应该许可在线交易相关的敏感的用户数据，
-通过在移动装置和显示装置之间建立的第二非接触式通信，将授权请求消息从显示装置发送到移动装置，
-将授权请求消息从移动装置发送到网络，用于在线交易的验证。
本发明的实施例的方面一般涉及用于保护通过非接触式移动装置和网络执行的在线交易的方法，其中，在开始所述交易的验证步骤时，
-操作网络，以从非接触式移动装置请求完成在线交易，所述请求包括交易数据，
-操作移动装置，以建立与非接触式显示装置的第一非接触式通信，显示装置能够管理和存储用户的敏感数据，
-操作所述移动装置，以通过第一非接触式通信向所述非接触式显示装置发送交易数据，
-操作该显示装置，以从交易数据和用户的敏感数据创建授权请求消息，授权请求消息包括用于网络的与确定是否应许可在线交易相关的敏感的用户数据，
-操作所述移动装置，以建立与所述非接触式显示装置的第二非接触式通信，
-操作该显示装置，以通过第二非接触式通信，将授权请求消息发送到移动装置，
-操作该显示装置，以在验证步骤期间禁止与除了所述移动装置之外的任何装置的任何其它通信，
-操作该移动装置，以将授权请求消息发送到网络，用于在线交易的验证。
在其他各种方法中，通过网络将授权请求消息从移动装置发送到提供在线交易的商户，然后到能够验证在线交易的显示装置的发行方。当发行方接收到授权请求消息时，然后它确定在线交易是否应被授权，并将授权响应消息发回到商户，以指示当前交易是否被授权。
在其他各种方法中，当显示卡认证用户成功时，由显示装置创建授权请求消息。
在其他各种方法中，敏感的用户数据包括磁条数据的内容、磁道(track)1、磁道2、卡校验值、财务信息信用卡和/或支付账号。授权请求消息至少包括对授权进行在线交易的请求、敏感的用户数据、货币代码、销售额、商户交易印花税、接受方城市、接受方州/国家。在优选实施例中，授权请求消息的敏感的用户数据是由显示装置进行加密的。
在其他各种方法中，显示装置是非接触式显示卡，包括IC卡，IC卡包括诸如安全元件的电路、非接触式接口、控制键和提供到IC卡的表面上的显示屏。
本发明还涉及系统，其包括非接触式移动装置，其被配置为通过网络与商户执行在线交易，所述移动装置被配置为通过非接触与显示卡进行通信，其中，所述在线交易是根据本发明的方法完成的。
附图说明
下面的详细说明将结合附图被更好地理解，其中：
图1示出在图2中示出的移动装置中的交易的处理流程中涉及的不同实体；
图2是根据本发明的示例实施例的在交易处理期间的逻辑流程图。
具体实施方式
现在将详细地对本发明的各种实施例。这些实施方式的例子在附图中示出。虽然本发明将在结合这些实施例来描述，但可以理解，它并不意在限制本发明到任何实施例。相反，它旨在覆盖替换，修改和如可以包括在由所附权利要求书所限定的本发明的精神和范围内的等同物。在下面的描述中，许多具体的细节以提供各种实施例的透彻理解阐述。然而，本发明可以在没有一些或全部这些具体细节的情况下实施。在其他实例中，公知的处理操作未被详细，以便不会不必要地混淆本发明。
相同的元件被指定具有在不同的附图中相同的参考标号。为了清楚起见，只有那些对本发明的理解有用的元素和步骤已经示出在附图中，并将进行说明。
此外，当事人和他们的环境之间的数据通信的机制未被详述，这里，本发明再次与常用机制兼容。
此外，在这里包含的各个附图中所示的连线意在表示各个元件之间的示例性功能关系和/或物理耦合。应该指出的是，许多替换或附加的功能关系或物理连接可以存在于实际的系统中。此外，图1中所示的移动装置和商户，可以使用任何适合的通信协议，经由任何合适的通信介质(包括互联网)进行通信。
此外，当动作被描述由终端执行时，它实际上是通过在所述终端上的程序存储器中记录的指令代码控制的该终端中的微处理器执行的。动作还归因于应用或软件。这意味着：组成应用或软件的指令代码的部分由微处理器执行。
图1是示出根据本发明的实施例的、在图2中描述的过程中的参与方的框图。图1描绘系统的例子，其中实现了移动通信装置10、商户11和显示装置12。
移动装置10可包括安全元件、非接触式接口、以及能够使用任何合适的通信方案进行通信的天线。移动装置10可以是用于能够执行在线交易的非接触式装置的任何合适的形式。例如，合适的移动通信装置10可以是手持式和紧凑型的，使得它们能够放入用户的钱包和/或口袋(例如，口袋大小的)中。移动装置10典型地包括处理器、存储器、输入装置、输出装置和近场通信(NFC)装置，所有这些都操作性地耦接到处理器。移动通信装置10的具体示例可包括蜂窝或无线电话、平板电脑、智能电话、个人数字助理(PDA)、寻呼机、便携式计算机等。虽然在本申请中称为移动通信装置10，但本发明的实施例可以用能够与本文所述的实体进行通信的多个不同移动用户装置来实现。
在一个典型的实施例中，虽然如上所述，移动装置10是蜂窝电话，但本发明的实现方式并不限于本实施例，用作在线交易装置的移动装置可以采取消费者方便使用的任何合适形式。
显示装置12存储敏感的用户财务信息(如信用卡和/或其他支付账号、账单地址、磁条数据的内容、磁道1、磁道2，信用卡校验值等)和/或任何其他用户相关的财务信息。显示卡12由发行方17提供给用户。显示卡12提供管理和维护用户的支付信息的功能。
在优选实施例中，显示装置12是显示卡。显示卡是IC(集成电路)卡，包括诸如安全元件13的电路、存储器和用户界面。
显示卡12利用所述用户界面接口，用于用户交互(例如，输入和查看信息)。用户界面包括被提供到IC卡的表面上的控制键14和显示屏15。
安全元件13被显示卡12用于驻留和存储需要高度的安全性的数据和应用，如加密密钥或软件例程，以便执行加密或认证处理。
显示卡12是双接口智能卡。该智能卡被提供有接触式接口和远程通信接口。接触式接口例如符合ISO7816标准要求。远程通信接口例如是非接触式通信接口。这种非接触式通信接口可以例如符合ISO14443标准要求。集成微控制器被连接到所述两个通信接口来执行通信。
远程通信接口或非接触式接口可以指NFC收发器、非接触式读取器或无源RFID。显示卡的非接触式接口建立与所述移动装置的非接触式通信信道，以使用短程通信方法(例如近场通信(NFC)能力)交换数据。这样的NFC技术或类似短程通信技术的示例包括ISO标准14443、RFID或可以在将来被开发的其他近场通信，并如本文所述，被配置成允许用户与其他设备通过非接触式通信进行交互。
在本说明书中，非接触式通信信道是指使用NFC技术来交换信息，其需要通信装置被“敲击(tap)”，这意味着非接触式接口彼此在几厘米之内。
显示卡12可包括内部能量系统，如电池。在失去非接触电力之前，可启动内部能量系统，以允许保持在非接触式通信期间接收的信息。
显示装置12可以是任何包括显示器的物理非接触令牌，诸如USB棒，其具有用于存储诸如财务数据的用户敏感数据的适当存储器。在这里所示的实施例中，显示装置是显示卡。
如本文所用，术语“发行方(issuer)”可涵盖任意实体，其发行并维护财务账户(例如，信用卡、借记卡或预付卡)、以及与财务账户相关联的显示卡12。此外，发行方可能不会直接发行显示卡12，而是可以与另一方签订合同发行显示卡。
例如可以使用可由各种客户端装置经由网络16访问的一个或多个服务器和/或其它网络硬件实现商户11，网络16可以包括公共网络(例如因特网)、专用网络(如内联网)或它们的组合，可以利用现在可用的或以后开发的各种网络协议，包括但不限于基于TCP/IP的网络协议。具体地，商户由提供方管理的服务器所托管的。商户可以是提供Web服务的实体。商户的示例包括应用服务提供商(ASP)、存储服务提供商(SSP)、或互联网服务提供商(ISP)。
商户是驻留应用程序并提供服务的网站。
如本文所用，“服务器”是这样的计算装置，其可以被配置为与其他设备通过网络以自动方式进行交互，以提供内容和网页，发出对来自其他网络装置的通信的响应，以及响应来自其他网络装置的查询。
在此所示的实施例中，用户在其想要执行交易(例如，访问商户11的服务)时，在移动装置10上执行客户端应用，例如web浏览器。为完成此交易，移动装置10与显示卡12通过非接触式接口交互。
表述“交易”可取其最广泛的含义。即，它不能被局限于财务交易，而也可以覆盖任何互联网交易、通过电信网络发生的任何交易等。
图2示出本发明的示例性实施例的交易流程和验证流程的示意图。其中，利用被分配相应罗马数字的带标签箭头表示移动装置10、商户11、发行方17和显示卡12之间流动的处理。流程被理解为以从顶部到底部顺序执行，如通过增加的罗马数字所指示的。但是，应注意，可以有此协议的多个实例并行地、而以非指定顺序运行。
在步骤20中，在交易流程期间，移动装置10经由网络16连接到在线商户11。在线商户11在移动装置10上产生商品交易内容的表示。当用户希望从商户11在线购买产品(例如，商品和/或服务)时，启动购买交易。用户例如通过在触摸屏上点击购买或一组动作，选择在线购买产品。在步骤21，响应于从所述用户移动装置10接收的信号，在线商户11可以提供在线表单给所述移动装置10，并要求用户提供信息，以全部或部分完成表单。完成表单可为批准购买请求的必要条件。例如，在线表单可以请求消费者的姓名、邮寄地址、电子邮件地址、电话号码、财务信息(例如，信用卡和/或其他支付账号、帐单地址等)和/或任何其它用户相关信息。在任何方面，如本文中所提到的，“表单”可以包括对用户信息的任何请求。
在步骤22中，请求用户通过提供财务信息(例如，信用卡和/或其他支付账号、帐单地址等)完成交易。然后，启动验证流程。为此，请求(例如，提示)用户向移动装置10出示他的非接触式显示卡12。
在步骤23中，在显示卡12和移动装置10之间建立非接触式通信信道。作为使用非接触式接口帮助建立这种通信的一部分，可使用第一敲击操作来激活此通信。注意，在本发明的上下文中，敲击是指用户向移动装置出示其显示卡用于交换信息的过程。
在步骤24中，移动装置10向显示卡12发送交易数据(例如，购买额、商户标识、有关要购买的产品的信息等)和/或任何其它与交易相关的信息。交易数据可以被存储在显示卡12的缓冲器中。
在传送交易数据到显示卡12结束时，在移动装置10一侧的交易流程处于待机状态，并等待第二敲击操作。非接触式通信结束。
在交易数据的传送结束时，可设立显示卡12的接触式接口。在由显示卡12处理的验证步骤(例如输入并提供用户的财务细节)期间，所述显示卡12不与任何装置通信。这样，移动装置可以没有关于由持卡人提供到网络的用户敏感数据的提示。本发明可以保护用户隐私。
交易数据被显示在显示装置的屏幕上。在步骤25中，当用户验证显示在显示卡的屏幕上的交易时，例如按压“按钮OK”，可设立认证步骤。为了认证用户，需要通过控制键14输入授权数据来涉及该用户，该授权数据对该唯一用户和显示卡12已知。
授权数据是被适当地配置为允许认证访问的任何标识符/指示码。授权数据可以是个人识别码(或PIN)、保密数据、密码、口令、生物识别数据、数字证书、任何识别码和/或类似物。
接着，显示卡12分析所输入的授权数据是否是在所述显示卡内存储的预期数据。如果答案是肯定的，那么在步骤26中，显示卡12授权创建授权请求消息。如果答案是否定的，可重复步骤25，直到达到预定义的重复次数，一般在3次。通常情况下，当达到该预定义的次数时，显示装置12可被锁定或处于待机状态。
该“授权请求消息”可以包括对授权进行电子支付交易的请求、货币代码、销售额、商户交易印花税、接受方城市、接受方州/国家、以及与确定是否应许可交易验证请求有关的数据，如用户财务信息等。例如，敏感的用户财务数据可包括账户持有人的一个或多个支付账号。可以使用安全加密方法(例如，128位SSL或等效物)保护授权请求消息，以防止对账户或交易数据的未经授权的访问。继而，不将敏感的用户财务数据明文传送到移动装置，并且，在从移动装置到商户11的传输期间，它们不以明文传播。
在步骤27中，通过从显示卡12到移动装置10的第二敲击操作，授权请求消息被从显示卡12发送到移动装置10。典型地，在步骤28中，通过网络16，该授权请求消息从移动装置10被发送到商户11，然后到发行方17。
在接收到授权请求消息之后，发行方17处理所接收的消息，并在步骤29确定交易是否应被授权。在步骤30中，发行方17将授权响应消息发回商家11，以指示当前交易是否被授权。商家11由此获知发行方17是否已授权该交易，并因此交易是否可被完成。
在一个实施例中，本发明也适用于当所述移动装置是非接触式商户终端，如非接触式销售点(POS)终端或商户智能电话(关键点)。

Claims (14)

1.用于保护通过非接触式移动装置和网络执行的在线交易的方法，其中，当所述交易的验证步骤被启动时，
-操作网络，以从所述非接触式移动装置请求完成所述在线交易，所述请求包括交易数据，
-操作所述移动装置，以建立与非接触式显示装置的第一非接触式通信，所述显示装置能够管理和存储用户的敏感数据，
-操作所述移动装置，以通过所述第一非接触式通信向所述非接触式显示装置发送所述交易数据，
-操作所述显示装置，以从所述交易数据和所述用户的敏感数据创建授权请求消息，所述授权请求消息包括与所述网络确定是否应许可所述在线交易相关的敏感用户数据，
-操作所述移动装置，以建立与所述非接触式显示装置的第二非接触式通信，
-操作所述显示装置，以通过所述第二非接触式通信，将所述授权请求消息发送到所述移动装置，
-操作所述显示装置，以在所述验证步骤期间禁止与除了所述移动装置之外的任何装置的任何其它通信，
-操作所述移动装置，以将所述授权请求消息发送到所述网络，用于所述在线交易的验证。
2.根据前述权利要求所述的方法，其中，通过所述网络将所述授权请求消息从所述移动装置发送到提供所述在线交易的商户，然后到能够验证所述在线交易的发行方。
3.根据前述权利要求所述的方法，其中，当所述发行方接收到所述授权请求消息时：
-确定所述在线交易是否应被授权，
-将授权响应消息发回到所述商户，以指示当前交易是否被授权。
4.根据任一前述权利要求所述的方法，其中，当所述显示卡对用户的认证成功时，创建所述授权请求消息。
5.根据任一前述权利要求所述的方法，其中，所述授权请求消息至少包括对授权进行所述在线交易的请求、敏感用户数据、货币代码、销售额、商户交易印花税、接受方城市、接受方州/国家。
6.根据任一前述权利要求所述的方法，其中，用户的敏感数据包括磁条数据的内容、磁道1、磁道2、卡校验值、财务信息信用卡和/或支付账号。
7.根据任一前述权利要求所述的方法，其中，至少所述授权请求消息的用户的敏感数据是被加密的。
8.根据任一前述权利要求所述的方法，其中，交易数据包括购买额、商户标识、有关要购买的产品的信息。
9.根据任一前述权利要求所述的方法，其中，通过所述移动装置和所述显示装置之间的敲击操作，建立所述非接触式通信。
10.根据任一前述权利要求所述的方法，其中，通过敲击操作，将所述授权请求消息从所述显示装置发送到所述移动装置。
11.根据任一前述权利要求所述的方法，其中，所述非接触式移动装置是蜂窝或无线电话、平板电脑、智能电话、个人数字助理(PDA)、寻呼机、便携式计算机、或非接触式商户终端，诸如非接触式销售点(POS)终端或商户智能电话。
12.根据任一前述权利要求所述的方法，其中，所述显示装置是包括IC卡的显示卡，所述IC卡包括诸如安全元件的电路、非接触式接口、控制键和提供到IC卡的表面上的显示屏。
13.根据权利要求2至12中的任一项所述的方法，其中，所述显示卡被所述发行方提供给所用户。
14.验证在线交易系统，包括非接触式移动装置，其被配置为通过网络与商户执行在线交易，所述移动装置被配置为通过非接触与非接触式显示装置进行通信，其中，根据任一前述权利要求完成所述在线交易。
CN201480051230.9A 2013-07-19 2014-07-11 用于保护在线交易的验证步骤的方法 Pending CN105556550A (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
EP13306035.0 2013-07-19
EP13306035.0A EP2827291A1 (en) 2013-07-19 2013-07-19 Method for securing a validation step of an online transaction
PCT/EP2014/064909 WO2015007637A1 (en) 2013-07-19 2014-07-11 Method for securing a validation step of an online transaction

Publications (1)

Publication Number Publication Date
CN105556550A true CN105556550A (zh) 2016-05-04

Family

ID=48949098

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201480051230.9A Pending CN105556550A (zh) 2013-07-19 2014-07-11 用于保护在线交易的验证步骤的方法

Country Status (6)

Country Link
US (1) US20160155111A1 (zh)
EP (2) EP2827291A1 (zh)
JP (1) JP6498192B2 (zh)
KR (2) KR101986471B1 (zh)
CN (1) CN105556550A (zh)
WO (1) WO2015007637A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110992054A (zh) * 2019-10-29 2020-04-10 深圳市龙岳科技有限公司 一种支付辅助确认方法

Families Citing this family (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7886962B2 (en) * 2006-08-17 2011-02-15 Verizon Patent And Licensing Inc. Multi-function transaction device
EP3965042A1 (en) 2012-02-29 2022-03-09 Apple Inc. Method, device and secure element for conducting a secured financial transaction on a device
US10373149B1 (en) 2012-11-12 2019-08-06 Square, Inc. Secure data entry using a card reader with minimal display and input capabilities having a display
US9613353B1 (en) 2013-12-26 2017-04-04 Square, Inc. Passcode entry through motion sensing
US9508071B2 (en) * 2015-03-03 2016-11-29 Mastercard International Incorporated User authentication method and device for credentials back-up service to mobile devices
US20170055146A1 (en) * 2015-08-19 2017-02-23 Hajoon Ko User authentication and/or online payment using near wireless communication with a host computer
DE102016109209A1 (de) * 2016-05-19 2017-11-23 Rubean AG Verfahren und Anordnung zur Übermittlung von Transaktionsdaten unter Nutzung eines öffentlichen Datennetzes
US11234235B2 (en) 2019-04-30 2022-01-25 Bank Of America Corporation Resource distribution hub generation on a mobile device
US11196737B2 (en) * 2019-04-30 2021-12-07 Bank Of America Corporation System for secondary authentication via contactless distribution of dynamic resources
US11599871B1 (en) 2019-09-18 2023-03-07 Wells Fargo Bank, N.A. Systems and methods for a transaction card having a cryptographic key
GB2595205A (en) * 2020-03-24 2021-11-24 Bubbles Online Services Ltd Electronic device control

Citations (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1737829A (zh) * 2005-08-01 2006-02-22 上海中策工贸有限公司 存取汇款电子标签系统
CN1877627A (zh) * 2005-06-10 2006-12-13 中国科学院软件研究所 在线交易的电子支付系统和方法
US20070278291A1 (en) * 2005-12-22 2007-12-06 Rans Jean-Paul E Methods and Systems for Two-Factor Authentication Using Contactless Chip Cards or Devices and Mobile Devices or Dedicated Personal Readers
US20080051059A1 (en) * 2005-12-31 2008-02-28 Mobile Candy Dish, Inc. Method and system for adapting a wireless mobile communication device for wireless transactions
CN201638249U (zh) * 2010-03-25 2010-11-17 北京银达润和科技发展有限公司 一种可实现手机支付的无线智能卡
EP2254077A1 (fr) * 2009-05-19 2010-11-24 Gemalto SA Dispositif pour carte à puce conventionnelle permettant une transaction électronique à travers un réseau
CN102118394A (zh) * 2011-01-24 2011-07-06 郑州信大捷安信息技术有限公司 基于双界面安全智能卡的网上银行远程支付的安全认证方法
US20110270757A1 (en) * 2010-04-09 2011-11-03 Ayman Hammad System and method for securely validating transactions
CN102257541A (zh) * 2008-12-19 2011-11-23 金雅拓股份有限公司 非接触式银行智能卡交易之前的安全激活
CN102710611A (zh) * 2012-05-11 2012-10-03 福建联迪商用设备有限公司 网络安全身份认证方法和系统
CN102754115A (zh) * 2010-01-19 2012-10-24 维萨国际服务协会 远程可变认证处理
CN103136664A (zh) * 2013-03-06 2013-06-05 天地融科技股份有限公司 具有电子签名功能的智能卡交易系统及方法

Family Cites Families (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6776332B2 (en) * 2002-12-26 2004-08-17 Micropin Technologies Inc. System and method for validating and operating an access card
AU2004252824B2 (en) * 2003-06-04 2011-03-17 Mastercard International Incorporated Customer authentication in e-commerce transactions
US20050269401A1 (en) * 2004-06-03 2005-12-08 Tyfone, Inc. System and method for securing financial transactions
JP5181589B2 (ja) * 2007-09-11 2013-04-10 大日本印刷株式会社 広告データの表示管理方法、システムおよびｉｃカード
JP2009099080A (ja) * 2007-10-19 2009-05-07 Cmd:Kk 安全性の高い決済システム
WO2010030362A1 (en) * 2008-09-09 2010-03-18 Mastercard International Incorporated Authentication arrangement and method for use with financial transaction
US20100078471A1 (en) * 2008-09-30 2010-04-01 Apple Inc. System and method for processing peer-to-peer financial transactions
US8320962B2 (en) * 2009-06-05 2012-11-27 Visa International Service Association Contactless disablement
US20110147451A1 (en) * 2009-12-23 2011-06-23 Sanjay Bakshi Near field communication secure transactions
JP2012252665A (ja) * 2011-06-07 2012-12-20 Kotaro Anzai 決済処理システム、決済処理方法およびプログラム
WO2013034681A1 (en) * 2011-09-08 2013-03-14 Ehrensvaerd Jakob Devices and methods for identification, authentication and signing purposes
US20130080238A1 (en) * 2011-09-22 2013-03-28 Bryan Kelly Method and System for Operating a Customer or Player Loyalty System Including a Portable Device Such as a Smartcard
EP2579199A1 (fr) * 2011-10-06 2013-04-10 Gemalto SA Procédé de paiement d'un produit ou d'un service sur un site marchand par l'intermédiaire d'une connexion Internet et terminal correspondant
US9697452B2 (en) * 2012-07-24 2017-07-04 On Track Innovations Ltd. Adapter for personal electronic devices and methods of use thereof

Patent Citations (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1877627A (zh) * 2005-06-10 2006-12-13 中国科学院软件研究所 在线交易的电子支付系统和方法
CN1737829A (zh) * 2005-08-01 2006-02-22 上海中策工贸有限公司 存取汇款电子标签系统
US20070278291A1 (en) * 2005-12-22 2007-12-06 Rans Jean-Paul E Methods and Systems for Two-Factor Authentication Using Contactless Chip Cards or Devices and Mobile Devices or Dedicated Personal Readers
US20080051059A1 (en) * 2005-12-31 2008-02-28 Mobile Candy Dish, Inc. Method and system for adapting a wireless mobile communication device for wireless transactions
CN102257541A (zh) * 2008-12-19 2011-11-23 金雅拓股份有限公司 非接触式银行智能卡交易之前的安全激活
EP2254077A1 (fr) * 2009-05-19 2010-11-24 Gemalto SA Dispositif pour carte à puce conventionnelle permettant une transaction électronique à travers un réseau
CN102754115A (zh) * 2010-01-19 2012-10-24 维萨国际服务协会 远程可变认证处理
CN201638249U (zh) * 2010-03-25 2010-11-17 北京银达润和科技发展有限公司 一种可实现手机支付的无线智能卡
US20110270757A1 (en) * 2010-04-09 2011-11-03 Ayman Hammad System and method for securely validating transactions
CN102118394A (zh) * 2011-01-24 2011-07-06 郑州信大捷安信息技术有限公司 基于双界面安全智能卡的网上银行远程支付的安全认证方法
CN102710611A (zh) * 2012-05-11 2012-10-03 福建联迪商用设备有限公司 网络安全身份认证方法和系统
CN103136664A (zh) * 2013-03-06 2013-06-05 天地融科技股份有限公司 具有电子签名功能的智能卡交易系统及方法

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110992054A (zh) * 2019-10-29 2020-04-10 深圳市龙岳科技有限公司 一种支付辅助确认方法
CN110992054B (zh) * 2019-10-29 2023-05-12 深圳市龙岳科技有限公司 一种支付辅助确认方法

Also Published As

Publication number Publication date
JP2016528613A (ja) 2016-09-15
JP6498192B2 (ja) 2019-04-10
KR20180059947A (ko) 2018-06-05
KR101986471B1 (ko) 2019-09-27
WO2015007637A1 (en) 2015-01-22
US20160155111A1 (en) 2016-06-02
EP3022693A1 (en) 2016-05-25
EP2827291A1 (en) 2015-01-21
KR20160021292A (ko) 2016-02-24

Similar Documents

Publication Publication Date Title
CN1307594C (zh) 付款方法
CN105556550A (zh) 用于保护在线交易的验证步骤的方法
RU2520392C2 (ru) Система электронных платежей и способ авторизации платежа
US9208634B2 (en) Enhanced smart card usage
RU2651245C2 (ru) Защищенный электронный блок для санкционирования транзакции
US10270587B1 (en) Methods and systems for electronic transactions using multifactor authentication
US20110103586A1 (en) System, Method and Device To Authenticate Relationships By Electronic Means
US20060016878A1 (en) Wireless payment processing system
CN106462843A (zh) 用于安全远程支付处理的主小应用程序
JP2016522925A (ja) ネットワークに頼らない携帯装置による不正検出
CN103123708A (zh) 安全支付方法、移动装置及安全支付系统
CA2738038A1 (en) Apparatus and method for preventing unauthorized access to payment application installed in contactless payment device
KR20140125449A (ko) 거래 프로세싱 시스템 및 방법
WO2005073934A1 (en) Method and system for authenticating credit transactions
Kanimozhi et al. Security aspects of mobile based E wallet
WO2014062623A1 (en) System and method for secure remote access and remote payment using a mobile device and a powered display card
KR101384846B1 (ko) 모바일 단말기를 이용한 간편결제방법
KR102574524B1 (ko) 원격 거래 시스템, 방법 및 포스단말기
US20020095580A1 (en) Secure transactions using cryptographic processes
US7707119B2 (en) System and method for identity protected secured purchasing
CN114207578A (zh) 移动应用程序集成
TW200917140A (en) A wireless communication transaction system and method using a wireless card reader
EP4020360A1 (en) Secure contactless credential exchange
KR101162194B1 (ko) 부정사용 방지 카드 및 이를 이용한 금융거래시스템
Cao et al. SafePay: Protecting against credit card forgery with existing magnetic card readers

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
WD01 Invention patent application deemed withdrawn after publication

Application publication date: 20160504

WD01 Invention patent application deemed withdrawn after publication