CN105938596B

CN105938596B - 用于方便交易的装置和方法

Info

Publication number: CN105938596B
Application number: CN201610116072.1A
Authority: CN
Inventors: 文森特·塞德里克·科尔诺; 哈维尔·纪尧姆·凯尔德尤克斯
Original assignee: NXP BV
Current assignee: NXP BV
Priority date: 2015-03-05
Filing date: 2016-03-01
Publication date: 2021-06-08
Anticipated expiration: 2036-03-01
Also published as: EP3065097A1; EP3065097B1; CN105938596A; US20160260073A1

Abstract

本发明公开了一种用于方便交易的装置，所述装置包括至少一个主机组件、通信控制器和安全元件，所述通信控制器以通信方式耦合到所述主机组件和所述安全元件，其中所述通信控制器被布置成与外部交易装置建立通信，并且其中所述通信控制器进一步被布置成以安全操作模式操作，在安全操作模式中所述通信控制器禁止所述主机组件与所述交易装置进行交易，而不禁止所述安全元件与所述交易装置进行交易。此外，本发明公开了一种用于方便交易的相应的方法。

Description

用于方便交易的装置和方法

技术领域

本发明涉及一种用于方便交易的装置。此外，本发明涉及一种用于方便交易的相应的方法和一种相应的计算机程序产品。

背景技术

现如今，安全性在许多电子装置和计算环境中发挥重要作用。例如，传统移动电子装置可以用于支付交易，这些支付交易要求在所述装置上输入和/或存储用户凭证等敏感的支付相关数据。此类移动电子装置可以例如配备有基于射频(RF)技术的近场通信(NFC)接口，以便与销售点(POS)处的终端装置交换支付相关数据。传统上，敏感的支付相关数据已经被并入到智能卡等专用安全性令牌中，在所述安全性令牌中数据根本上被限制于相对可信的环境。随着集成解决方案的出现，特别是在消费者装置中集成了所谓的安全元件(SE)，支付相关数据已经逐渐被并入到此类安全元件中。可替换的是，嵌入消费者装置中的所谓的仿真卡常被用于容纳支付相关数据。如上所述，卡或消费者装置视具体情况而定与POS处的终端装置交换支付相关数据。

发明内容

本发明公开了一种用于方便交易的装置，所述装置包括至少一个主机组件、通信控制器和安全元件，所述通信控制器以通信方式耦合到主机组件和安全元件，其中所述通信控制器被布置成与外部交易装置建立通信，并且其中所述通信控制器进一步被布置成以安全操作模式操作，在安全操作模式中通信控制器禁止主机组件与所述交易装置进行交易，而不禁止安全元件与所述交易装置进行交易。

在示意性实施例中，通信控制器在安全操作模式中被布置成阻止被引导至交易装置且源自主机组件的选择应用程序命令，由此禁止主机组件与所述交易装置进行交易。

在进一步的示意性实施例中，通信控制器在安全操作模式中进一步被布置成确定交易装置是否包含至少一个支付应用程序，如果交易装置包含所述支付应用程序则进入支付模式，并且只有通信控制器以支付模式操作时才阻止所述选择应用程序命令。

在进一步的示意性实施例中，通信控制器进一步被布置成只有销售点应用程序在安全元件中激活时才进入安全操作模式。

在进一步的示意性实施例中，通信控制器进一步被布置成以安全操作模式操作，直到销售点应用程序被停用。

在进一步的示意性实施例中，通信控制器进一步被布置成在安全元件与交易装置进行交易之前，在安全操作模式中验证主机组件是否已经选择了销售点应用程序。

在进一步的示意性实施例中，通信控制器进一步被布置成永久地以安全操作模式操作。

在进一步的示意性实施例中，通信控制器是用于控制无线通信的控制器。

在进一步的示意性实施例中，通信控制器是近场通信控制器。

在进一步的示意性实施例中，通信控制器是接触接口式控制器。

在进一步的示意性实施例中，所述装置是销售点装置。

在进一步的示意性实施例中，所述装置是消费者装置。

在进一步的示意性实施例中，所述装置是个人计算机、移动电话、平板电脑或机顶盒。

此外，公开了一种用于使用装置方便交易的方法，所述装置包括至少一个主机组件、通信控制器和安全元件，所述通信控制器以通信方式耦合到主机组件和安全元件，所述方法包括：所述通信控制器与外部交易装置建立通信；以及所述通信控制器以安全操作模式操作，在安全操作模式中通信控制器禁止主机组件与所述交易装置进行交易，而不禁止安全元件与所述交易装置进行交易。

附图说明

将参考附图更详细地描述实施例，在附图中：

图1示出了支付系统的实例；

图2示出了消费者装置的示意性实施例；

图3示出了消费者装置的另外的示意性实施例；

图4示出了可以实施本发明所公开的方法的过程的实例；

图5示出了可以实施本发明所公开的方法的过程的另外的实例。

附图标记列表

100 消费者装置

102 主机处理器

104 支付终端应用程序

106 外部销售点装置

108 安全控制器

110 NFC控制器

112 NFC天线

114 销售点应用程序

116 支付卡

118 卡支付应用程序

200 消费者装置

202 主机处理器

204 支付终端应用程序

206 NFC控制器

208 安全元件

210 销售点应用程序

212 NFC天线

300 消费者装置

302 SIM卡

400 卡检测过程

402 初始化NFCC和SE

404 激活了POS应用程序？

406 设置安全模式

408 开始轮询循环(对主机)

410 打开无线电场

412 检测到卡？

414 安全模式？

416 向卡发送SELECT PPSE命令

418 检测到支付应用程序？

420 设置支付模式

422 发送命令

424 支付模式？

426 SELECT命令？

428 处理主机命令

430 停止轮询循环

432 关闭无线电场

500 支付交易过程

502 启动支付终端应用程序

504 停止轮询循环

506 关闭无线电场

508 开始轮询循环(对SE)

510 打开无线电场

512 选择POS应用程序

514 选择了POS应用程序？

516 检测到卡？

518 处理SE命令

520 交易结束？

522 清除数据缓冲区

524 停止轮询循环

526 关闭无线电场

缩略词列表

NFC 近场通信

NFFC NFC控制器

POS 销售点

PPSE 近距离支付系统环境

PSE 支付系统环境

SE 安全元件

具体实施方式

如上所述，本文公开了一种用于方便交易的装置。所述装置包括主机组件(例如，主机处理器)、通信控制器和安全元件。通信控制器以通信方式耦合到主机组件和安全元件。通信控制器被布置成与外部交易装置建立通信。此外，通信控制器被布置成以安全操作模式操作，在安全操作模式中通信控制器禁止主机组件与所述交易装置进行交易，并且在安全操作模式中通信控制器允许安全元件进行此类交易。用于方便交易的装置可以是例如消费者装置。

图1示出了支付系统的实例。该支付系统包括消费者装置100、外部销售点装置106和支付卡116。消费者装置100可以是例如智能电话。外部销售点装置106可以是根本上提供相对安全环境的专用装置。支付卡116可以是智能卡或其它消费者装置，其包括安全元件或仿真卡。此外，支付卡116可以包含具备嵌入的支付相关数据的至少一个卡支付应用程序118。消费者装置100包括主机处理器102，所述主机处理器可以被布置成执行支付终端应用程序104。外部销售点装置106可以包含安全控制器108，所述安全控制器以通信方式耦合到NFC控制器110。此外，外部销售点装置106可以包含天线112，所述天线可以由NFC控制器110控制，用于与支付卡116建立通信。外部销售点装置106可以是专用装置，其可以被视为相对安全的装置，即，不大可能对卡116中的支付相关数据进行未授权访问的装置。然而，相对新的趋势是，将例如个人计算机、电话、平板电脑等通用消费者装置用作POS处的终端装置。在此情况下，由于通用消费者装置可能易受例如恶意软件感染，因此支付相关数据的安全性可能存在风险。因此，一般来说，理想的是防止卡116中包含的支付相关数据暴露给通用处理单元或功能。

图2示出了消费者装置200的示意性实施例。消费者装置200包括主机组件(具体来说是主机处理器202)，所述主机组件以通信方式耦合到通信控制器(具体来说是NFC控制器206)。此外，消费者装置200包括安全元件208，所述安全元件以通信方式耦合到NFC控制器206。主机处理器202可以被布置成执行支付终端应用程序。安全元件可以被布置成执行销售点(POS)应用程序210。此外，消费者装置200包括天线212，所述天线可以由NFC控制器206控制，并且可以用来与支付卡116建立通信。支付卡116是所阐述的这类外部交易装置的实例。外部交易装置可以是物理智能卡，或嵌入到例如移动电话中的所谓的仿真卡。

NFC控制器206被布置成以上述安全操作模式操作。具体来说，NFC控制器206被布置成以NFC控制器206禁止主机处理器202与支付卡116进行交易的操作模式来操作。更具体地说，在安全操作模式中，NFC控制器206可以阻止由主机处理器202发送且被引导至支付卡116的选择应用程序命令。也就是说，支付卡116可以包含在进行支付交易之前必须选择的至少一个卡支付应用程序118。此类选择可以借助于一个或多个选择应用程序命令进行。例如，可以借助于由主机处理器202或安全元件208经由NFC控制器206发送到卡116的SELECTAID命令来选择卡支付应用程序118。应注意，SELECT AID命令是在全球EMV卡支付标准中规定的(AID是应用程序标识符)。此外，在发送SELECT AID命令之前，主机处理器202或安全元件208可以经由NFC控制器206向卡116发送SELECT PPSE命令(PPSE是近距离支付系统环境)。SELECT PPSE命令也可以被看作是所阐述的这类选择应用程序命令，SELECT PPSE命令传回卡116所支持的卡支付应用程序的标识符列表。在安全模式中，NFC控制器206可以阻止由主机处理器202发布的所有选择应用程序命令，但不阻止安全元件208所发送的命令；因此仅允许安全元件208发送选择应用程序命令并且因此与卡116进行交易。以此方式，卡116中包含的支付相关数据仅暴露给安全元件208。因此，在安全模式中，NFC控制器206不禁止安全元件208与卡116进行交易。

应注意，NFC控制器206可以通过嗅探主机处理器202发送的数据来检测选择应用程序命令是由主机处理器202发布的。如果NFC控制器206检测到由主机处理器202发布的选择应用程序命令，则所述NFC控制器206可以例如中止与卡116的通信，由此有效阻止所述选择应用程序命令。

此外，应注意，消费者装置200可以包含接触接口式控制器(未示出)代替NFC控制器206，在此情况下，接触接口式控制器可以阻止由主机处理器202发布的所有选择应用程序命令。在此情况下，可以由主机处理器202或安全元件208经由接触接口式控制器向卡116发送SELECT PSE命令(PSE是支付系统环境)。接触接口式控制器可以例如是符合ISO/IEC7816标准的接口控制器。

在示意性实施例中，NFC控制器206进一步被布置成在安全操作模式中确定检测到的卡116是否包含至少一个卡支付应用程序118。如果NFC控制器206确定卡116包含至少一个卡支付应用程序118，则所述NFC控制器206可以禁止主机处理器202与所述卡进行交易，特别是通过进入支付模式，在这种支付模式中NFC控制器206阻止由主机处理器202发送的选择应用程序命令。如果NFC控制器206确定卡116不包含卡支付应用程序118，则所述NFC控制器206可以允许主机处理器202与卡116进行交易。具体来说，如果NFC控制器206确定卡116不含卡支付应用程序118，则所述NFC控制器206可以不阻止由主机处理器202发送的选择应用程序命令。由此，可以将对主机处理器202的干扰降至最低。同时，由于NFC控制器206自主地验证卡116是否包含所述支付应用程序118，因此可以实现足够的安全级。因此，在此实施例中，只有NFC控制器206以支付模式以及以安全模式操作时，NFC控制器206才阻止由主机处理器202发送的选择应用程序命令(因为只有NFC控制器已经在安全模式中时，NFC控制器才可以进入支付模式)。

例如，NFC控制器206可以自主地向卡116发送选择应用程序命令，以便检测卡支付应用程序的存在。举例来说，NFC控制器206可以向卡116发送SELECT PPSE命令，如果卡116传回至少一个卡支付应用程序标识符，则NFC控制器206可以推断卡116包含卡支付应用程序118并进入支付操作模式。否则的话，所述NFC控制器206可以保持在正常操作模式中，即不阻止选择应用程序命令的模式，直到检测到新卡。可替换的但是非限制性的是，NFC控制器206可以向卡116发送一个或多个SELECT AID命令，如果SELECT AID命令成功，则NFC控制器206可以推断卡116包含卡支付应用程序118并进入支付操作模式。在此情况下，NFC控制器206可以使用例如已经预编程于NFC控制器206中的应用程序标识符列表来产生SELECTAID命令。在确定卡116是否包含卡支付应用程序之前，NFC控制器206将已经检测到卡116，即检测到RF场中存在该卡，已经选择所述卡用于通信并执行初始化过程，使得选择应用程序命令可以被发送到卡116并由所述卡来处理。

在示意性实施例中，NFC控制器206进一步被布置成只有POS应用程序210在安全元件208中激活时才进入安全操作模式，即，只有安全元件208中已经安装了POS应用程序210并且只有所述POS应用程序210已经被激活时(即，只有所述POS应用程序处于激活状态时)，NFC控制器206才进入安全操作模式。例如，NFC控制器206可以在被初始化时，通过搜索POS应用程序210的标识符，来检查安全元件208中是否安装了POS应用程序210。另外，如果存在POS应用程序210，则NFC控制器206可以检查POS应用程序210是否处于激活状态。NFC控制器206可以通过嗅探主机处理器202向安全元件208发送的命令来检查是否安装了POS应用程序210以及所述POS应用程序是否激活。如果POS应用程序210处于激活状态，则NFC控制器206可以进入安全操作模式。应注意，为了使NFC控制器206进入安全操作模式，可能并不需要特定POS应用程序是激活的。实际上，任意POS应用程序是激活的就足够了。此外，在示意性实施例中，NFC控制器206可以被布置成以安全操作模式操作直到POS应用程序210被停用。

如果NFC控制器206仅在POS应用程序激活时才启用安全操作模式，则主机处理器202可能仍有足够的时间用于与卡116进行交易。可替换的但是非限制性的是，可以永久地激活安全操作模式，这样可以进一步保护支付相关数据。

此外，在安全元件208与卡116进行交易之前，NFC控制器206可以在安全操作模式中检查是否已经由主机处理器202(特别是由支付终端应用程序204)选择了POS应用程序210。在此情况下，只有已经由主机处理器202选择了所述POS应用程序210才可以允许安全元件208与卡116进行交易，这样可以进一步保护支付相关数据。NFC控制器206可以通过嗅探主机处理器202向安全元件208发送的命令来进行检查，具体来说，通过查找POS应用程序210的标识符来进行检查。为了方便此过程，POS应用程序标识符可以包含唯一值。

图3示出了消费者装置300的另外的示意性实施例。除图2中示出的消费者装置的组件之外，消费者装置300还包含可拆装用户身份模块(SIM)卡302形式的另一安全元件。根据本发明，主机组件也可以被实施为消费者装置300的另一安全元件。在此情况下，NFC控制器206可以阻止由所述另一安全元件发送且被引导至支付卡116的选择应用程序命令。此外，NFC控制器206可以阻止由这两个主机组件(即，主机处理器202和SIM卡302)发送的选择应用程序命令。在多个主机组件的情况下，NFC控制器206可以阻止由所有主机组件发送的选择应用程序命令。

图4示出了可以实施本发明所公开的方法的过程400的实例。具体来说，图4示出了卡检测过程400的实例。过程400包括以下步骤。在402处，主机组件初始化NFC控制器和安全元件。接着，在404处，NFC控制器验证是否已经激活POS应用程序。如果已经激活，则在406处NFC控制器设置安全模式。如果尚未激活，则NFC控制器保持在正常模式中。随后，主机组件在NFC控制器的无线电接口与主机组件之间建立通信信道，并且在408处开始在NFC控制器上的轮询循环。轮询循环包括在410处打开无线电场以及在412处等待检测到卡。此外，如果NFC控制器已经检测到卡，则在414处检查NFC控制器是否以安全模式操作。如果是，前进到步骤416，其中NFC控制器向卡发送SELECT PPSE命令以便自主地确定卡是否包含至少一个卡支付应用程序。如果NFC控制器检测到其并非以安全模式操作，则NFC控制器将控制权返回给主机组件，主机组件继而在422处发送主机命令。如果在416处NFC控制器确定卡包含支付应用程序，则在420处NFC控制器进入支付模式并将控制权返回给主机组件。如果NFC控制器确定卡不包含支付应用程序，则NFC控制器在不进入支付模式的情况下将控制权返回给主机组件。在接收到主机命令之后，在424处NFC控制器检查其是否以支付模式操作。如果是，则在426处，NFC控制器检查主机命令是否是选择应用程序命令。如果是，则在430处通过主机组件停止轮询循环，并且在432处通过NFC控制器关闭无线电场。如果不是，则在428处可以向卡发送主机命令以用于进一步处理。在424处如果NFC控制器确定其并非以支付模式操作，则可以进行同样的步骤。

图5示出了可以实施本发明所公开的方法的过程500的另外的实例。具体来说，图5示出了支付交易过程500的实例。过程500包括以下步骤。在502处，主机组件启动支付终端应用程序。接着，在504处，主机组件在504处停止轮询循环(如果先前已开始)并且在506处NFC控制器关闭无线电场。随后，由于安全元件将进行支付交易，因此主机组件在NFC控制器的无线电接口与安全元件之间建立通信信道，并且在508处开始在NFC控制器上的轮询循环。这包括在510处打开无线电场。接着，在512处，主机组件选择安全元件中存在的POS应用程序。随后，在514处，NFC控制器检查主机组件是否确实已经选择了POS应用程序。如果是，则在516处NFC控制器等待检测到卡。此外，如果NFC控制器已经检测到卡，则在步骤518中NFC控制器处理源自安全元件并被引导至卡的一个或多个命令，重复所述步骤，直到在520处NFC控制器检测到安全元件已经结束交易。如果交易已经结束，则在522处NFC控制器清除其数据缓冲区，并且在524处主机组件停止轮询循环。最后，在526处，NFC控制器关闭无线电场。

本文中所描述的系统和方法可以通过一个计算机程序或多个计算机程序实施，所述计算机程序可以在单个计算机系统中或跨多个计算机系统以激活和停用两种状态以多种形式存在。例如，计算机程序的存在形式可以是由程序指令组成的软件程序，这些程序指令采用源代码、目标代码、可执行代码或其它格式，用于执行这些步骤中的一些。以上格式中的任一格式可以压缩或未压缩形式在计算机可读媒体上实施，计算机可读媒体可以包含存储装置和信号。

如本文所使用，术语“移动装置”是指任何类型的便携式电子装置，包含蜂窝式电话、个人数字助理(PDA)、智能电话、平板电脑等。此外，术语“计算机”是指包括处理器(例如，通用中央处理单元(CPU)、专用处理器或微控制器)的任何电子装置。计算机能够接收数据(输入)，能够对数据执行一系列预定操作，并且能够由此产生信息或信号形式的结果(输出)。根据上下文，术语“计算机”将意指(具体来说)处理器或(更一般地)与单个机箱或壳体内容纳的相关元件的组合相关联的处理器。

术语“处理器”是指数据处理电路，所述数据处理电路可以是微处理器、协同处理器、微控制器、微型计算机、中央处理单元、现场可编程门阵列(FPGA)、可编程逻辑电路和/或基于存储于存储器中的操作性指令操控信号(模拟信号或数字信号)的任何电路。术语“存储器”是指一个存储电路或多个存储电路，例如只读存储器、随机存取存储器、易失性存储器、非易失性存储器、静态存储器、动态存储器、快闪存储器、高速缓冲存储器和/或存储数字信息的任何电路。

如本文所使用，“计算机可读媒体”或“存储媒体”可以是能够容纳、存储、传达、传播或传输计算机程序以供指令执行系统、设备或装置使用或结合指令执行系统、设备或装置使用的任何装置。计算机可读媒体可以是例如(但不限于)电子的、磁性的、光学的、电磁的、红外线的或半导体的系统、设备、装置或传播媒体。计算机可读媒体的更多具体实例(非详尽列表)可以包含以下项：具有一个或多个电线的电连接、便携式计算机磁盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或快闪存储器)、光纤和便携式压缩光盘只读存储器(CDROM)。

应注意，已经参考不同主题描述了以上实施例。具体来说，一些实施例可能是参考方法类的权利要求来描述的，而其它实施例可能是参考设备类的权利要求来描述的。然而，本领域技术人员将从上述内容了解到，除非另有说明，否则除属于一种类型主题的特征的任意组合外，与不同主题相关的特征的任意组合，特别是方法类的权利要求的特征和设备类的权利要求的特征的组合，也视为与此文档一起被公开。

此外，应注意图式是示意性的。在不同图式中，用相同的附图标记表示类似或相同的元件。此外，应注意，为了提供示意性实施例的简洁描述，可能并未描述属于技术人员的习惯做法的实施细节。应了解，在任何此类实施方案的发展中，如在任何工程或设计项目中，必须制定大量实施方案特定的决策以便实现研发者的特定目标，例如遵守系统相关的和业务相关的约束条件，这可能在不同的实施方案中是不一样的。此外，应了解，此类发展工作可能又复杂又耗时，但只是本领域技术人员进行设计、制造和生产的例行任务而已。

最后，应注意，技术人员将能够在不脱离所附权利要求书的范围的情况下设计许多替代实施例。在权利要求书中，括号里的任何附图标记不应解释为限制权利要求。“包括”这个词不排除权利要求中列出的那些元件或步骤之外的元件或步骤的存在。元件前面的“一”或“一个”这个词不排除多个此类元件的存在。权利要求书中叙述的措施可以借助于包括若干独特元件的硬件和/或借助于适当编程的处理器来实施。在列出若干装置的装置权利要求中，可以通过硬件中的同一个物件实施若干这些装置。单凭在彼此不同的从属权利要求中叙述某些措施这一事实，并不表示不能使用这些措施的组合来获得优势。

Claims

1.一种用于方便交易的装置，其特征在于，包括至少一个主机组件、通信控制器和安全元件，所述通信控制器以通信方式耦合到所述主机组件和所述安全元件，

其中所述通信控制器被布置成与外部的交易装置建立通信，

并且其中所述通信控制器进一步被布置成以安全操作模式操作，在安全操作模式中所述通信控制器禁止所述主机组件与所述交易装置进行交易，而不禁止所述安全元件与所述交易装置进行交易。

2.根据权利要求1所述的装置，其特征在于，在所述安全操作模式中，所述通信控制器被布置成阻止被引导至所述交易装置且源自所述主机组件的选择应用程序命令，由此禁止所述主机组件与所述交易装置进行交易。

3.根据权利要求2所述的装置，其特征在于，在所述安全操作模式中，所述通信控制器进一步被布置成确定所述交易装置是否包含至少一个支付应用程序，如果所述交易装置包含所述支付应用程序则进入支付模式，并且只有所述通信控制器以所述支付模式操作时才阻止所述选择应用程序命令。

4.根据在前的任一项权利要求所述的装置，其特征在于，所述通信控制器进一步被布置成只有销售点应用程序在所述安全元件中激活时才进入所述安全操作模式。

5.根据权利要求4所述的装置，其特征在于，所述通信控制器进一步被布置成以所述安全操作模式操作，直到所述销售点应用程序被停用。

6.根据权利要求4所述的装置，其特征在于，所述通信控制器进一步被布置成在所述安全元件与所述交易装置进行交易之前，在所述安全操作模式中验证是否已经由所述主机组件选择了所述销售点应用程序。

7.根据权利要求1所述的装置，其特征在于，所述通信控制器进一步被布置成永久地以所述安全操作模式操作。

8.根据权利要求1所述的装置，其特征在于，所述通信控制器是用于控制无线通信的控制器。

9.根据权利要求8所述的装置，其特征在于，所述通信控制器是近场通信控制器。

10.根据权利要求1所述的装置，其特征在于，所述通信控制器是接触接口式控制器。

11.根据权利要求1所述的装置，其特征在于，所述装置为销售点装置。

12.根据权利要求1所述的装置，其特征在于，所述装置为消费者装置。

13.根据权利要求1所述的装置，其特征在于，所述装置为个人计算机、移动电话、平板电脑或机顶盒。

14.一种用于使用装置方便交易的方法，所述装置包括至少一个主机组件、通信控制器和安全元件，所述通信控制器以通信方式耦合到所述主机组件和所述安全元件，其特征在于，所述方法包括：

所述通信控制器与外部的交易装置建立通信，

所述通信控制器以安全操作模式操作，在安全操作模式中所述通信控制器禁止所述主机组件与所述交易装置进行交易，而不禁止所述安全元件与所述交易装置进行交易。