CN106233315A

CN106233315A - 用于数据脱敏的系统和方法

Info

Publication number: CN106233315A
Application number: CN201580021637.1A
Authority: CN
Inventors: J-W·兰
Original assignee: Visa International Service Association
Current assignee: Visa International Service Association
Priority date: 2014-04-30
Filing date: 2015-04-29
Publication date: 2016-12-14
Also published as: RU2016146744A; US11416866B2; US20200151725A1; US10565595B2; WO2015168333A1; RU2691590C2; US20170186007A1; EP3138060A1; RU2016146744A3; EP3138060A4

Abstract

提供了通过安全读卡器识别支付数据并对支付数据脱敏的系统和方法。支付数据的脱敏可以包括用零或其它预定值替换诸如自选数据的敏感信息。脱敏还可以包括用诸如商家识别信息的欺诈检测数据替换敏感信息。支付数据的脱敏可以使某些支付数据保持完整以用于顾客跟踪或其它非支付相关目的。

Description

用于数据脱敏的系统和方法

相关申请交叉引用

根据美国法典第35卷第119(e)条，本申请要求于2014年4月30日申请的美国临时专利申请号61/986,558的权益，其公开内容出于所有目的通过引用被全部并入本文中。

背景技术

本发明涉及支付数据的脱敏(desensitization)。在一些市场上，商家可以使用单独的装置来获得支付交易及跟踪消费者数据的授权。例如，一些商家可以使用发行方(例如银行)提供的电子数据捕获终端从发行方获得支付交易的授权。单独的商家计算机可以用于跟踪消费者数据以用于会计或忠诚度(loyalty)目的。由于电子数据捕获终端和商家计算机不是集成的，所以这可能导致被称作“两次刷卡(double swiping)”的做法。两次刷卡可以指在第一次刷卡获得银行的初始授权之后在商家终端第二次刷支付卡。出于会计或忠诚度目的，一般进行二次刷卡以跟踪商家系统中的客户详细资料。二次刷卡可能会暴露支付卡的所有数据，并且二次刷卡常常是在较不安全的商家终端上进行的。这些较不安全的终端可能是黑客或窃听获得卡数据的目标。这可能破坏支付系统的完整性，降低消费者对商家业务的信任。

本发明的实施例单独地或共同地解决了这些和其它问题。

发明内容

本发明的实施例提供了通过安全读卡器识别支付数据并对支付数据脱敏的系统和方法。例如，消费者可以在商家销售点终端执行支付卡的第一次刷卡，以从发行方获得金融交易的授权。商家然后可以在安全读卡器执行支付卡的第二次刷卡，以用于跟踪消费者数据。根据本发明的一些实施例，安全读卡器可以识别支付数据，对支付数据脱敏，并将脱敏的数据提供给商家计算机。脱敏的数据可以包括可能与脱敏前的数据不同的支付数据部分。在一些实施例中，安全读卡器可以只脱敏支付数据的自选(discretionary)部分，以便防止篡改自选数据用于伪造目的。

根据一方面，提供了一种方法，包括由阅读器从支付装置接收装置数据；由所述阅读器识别所述装置数据的第一部分和所述装置数据的包括敏感信息的第二部分；由所述阅读器通过用欺诈检测数据替换所述敏感信息中的至少一些对所述装置数据的第二部分脱敏，以去掉所述敏感信息；以及由所述阅读器将所述装置数据的第一部分和所述装置数据的脱敏的第二部分提供给与所述阅读器通信耦连的商家计算机。

在一些实施例中，所述装置数据的第一部分可以包括主账号或与所述主账号关联的支付令牌。所述装置数据的第二部分可以包括自选数据。所述自选数据可以包括卡验证值(CVV)。所述欺诈检测数据可以指示与所述装置数据关联的商家、商家终端、位置或定时信息。

在一些实施例中，对所述装置数据的第二部分脱敏还包括用零替换所述装置数据的第二部分。

在一些实施例中，所述方法还包括基于所述装置数据生成授权请求消息，以及将所述授权请求消息发送到与所述阅读器通信耦连的收单方计算机。

根据另一方面，提供了一种方法，包括：由阅读器从支付装置接收装置数据；由所述阅读器识别包括主账号或与所述主账号关联的支付令牌的装置数据的第一部分和包括敏感信息的装置数据的第二部分；由所述阅读器对所述装置数据的第二部分脱敏，以去掉所述敏感信息；以及由所述阅读器将所述装置数据的第一部分和所述装置数据的脱敏的第二部分提供给与所述阅读器通信耦连的装置。

在一些实施例中，对所述装置数据的第二部分脱敏包括用零替换所述装置数据的第二部分中的至少一些。在一些实施例中，对所述装置数据的第二部分脱敏包括用欺诈检测数据替换所述敏感信息中的至少一些。所述欺诈检测数据可以包括商家标识符或装置标识符。在一些实施例中，所述敏感信息包括自选数据。

在一些实施例中，所述读卡器不被配置成发送支付授权请求。在一些实施例中，所述阅读器是商家终端、旅馆房门或航空公司登机亭中的至少一个的一部分。

根据另一方面，提供了一种安全阅读器，包括处理器和耦连到所述处理器的计算机可读介质，所述计算机可读介质包括代码，所述代码用于使所述处理器：从支付装置接收装置数据；识别包括主账号或与所述主账号关联的支付令牌的所述装置数据的第一部分和包括敏感信息的所述装置数据的第二部分；对所述装置数据的第二部分脱敏，以去掉所述敏感信息；以及将所述装置数据的第一部分和所述装置数据的脱敏的第二部分提供给与所述安全阅读器通信耦连的装置。

在一些实施例中，所述代码还使所述处理器：基于所述装置数据生成授权请求消息；以及将所述授权请求消息发送到与所述安全阅读器通信耦连的收单方计算机。

本发明的这些和其它实施例将在下文更详细地描述。

附图说明

图1图解说明根据实施例用于脱敏数据的示例性系统。

图2更加详细地图解说明根据实施例的安全读卡器和商家计算机。

图3图解说明根据实施例用于脱敏数据的另一示例性系统。

图4更加详细地图解说明根据实施例的集成的POS终端和商家计算机。

图5图解说明根据实施例用于脱敏支付数据的示例性过程。

图6图解说明根据实施例用于脱敏支付数据的另一示例性过程。

图7图解说明根据实施例用于脱敏支付数据的另一示例性过程。

图8图解说明根据实施例用于执行客户账户跟踪的示例性过程。

图9图解说明根据实施例的一个表，表中含有支付数据的一些部分的脱敏的示例。

图10描绘了一个框图，该框图图解说明根据本发明实施例的交易处理系统。

图11图解说明计算机设备的框图。

具体实施方式

本发明的实施例提供通过使用安全读卡器识别支付数据并对支付数据脱敏的系统和方法。例如，消费者可以在商家销售点终端执行支付卡的第一次刷卡，以从发行方获得金融业务的授权。商家然后可以在安全读卡器上执行支付卡的第二次刷卡以跟踪消费者数据。根据本发明的一些实施例，安全读卡器可以识别支付数据，脱敏支付数据，并将脱敏的数据提供给商家计算机。脱敏的数据可以包括可能与脱敏前的数据不一样的支付数据部分。在一些实施例中，安全读卡器可以只脱敏支付数据的自选部分，以便防止为伪造目的篡改自选数据。在一些实施例中，脱敏可以包括用诸如商家标识符或商家装置标识符的欺诈检测数据替换敏感信息，以便有利于检测欺诈。

在大多数执行两次刷卡的情况下，二次刷卡与交易的授权或结算无关，而是用来产生支持商家会计、报告或客户关系管理计划(例如忠诚度和奖赏)的二次记录。然而，支付卡的第二次刷卡可能将支付卡的磁条中编码的全部磁道数据暴露于泄密(compromise)。例如，全部磁道数据可以包括金融卡的磁道1和磁道2数据。磁道1数据可以包括主账号(PAN)、消费者姓名、到期日期、服务代码和自选数据，诸如卡验证值(CVV)或卡验证码(CVC)和任何其它相关数据。PAN可以遵循ISO 7812标准，包括发行方标识号(IIN)或银行标识号(BIN)部分和个人账号部分。磁道2数据可以包括PAN、到期日期、服务代码和像磁道1中的自选数据及任何其它相关数据。POS终端可以读磁道1数据和/或磁道2数据。例如，在大多数情况下，主账号可以与支付卡上印刷的信用卡号匹配，可以是19字符长。到期日期可以是4字符长，CVV或CVC可以是3字符长。对于易被篡改的较不安全的商家计算机，磁道数据可能出于诸如伪造支付卡的伪造欺诈目的而被泄密。

根据本发明的实施例，安全读卡器能够识别从支付装置接收的支付卡数据(例如ISO 7813格式)，并且能够在支付数据提供给商家计算机之前对支付数据脱敏。例如，支付数据的一部分可以包括制造伪造卡可能需要的诸如CVV或CVC的自选数据。在一些实施例中，对数据脱敏可以包括将CVV或CVC的值变成特定的预定值，诸如零。通过脱敏由安全读卡器阅读的支付数据(诸如自选数据)，例如使用USB键盘记录器或恶意软件键盘记录器的攻击不可能产生全部磁道数据，因此防止使用此数据伪造支付卡。例如，获得脱敏数据的未授权实体只能够提取一些信息(例如个人账号或令牌)，而不是支付处理网络和/或发行方对支付交易授权需要的所有的必要信息(例如自选数据，诸如CVV)。而且，脱敏可以包括用欺诈检测数据，诸如商家标识符或商家装置标识符来替换敏感信息，以便有利于检测欺诈。例如，获得并使用这样的脱敏数据作为支付数据的未授权实体能够被容易地识别。脱敏数据可以提供给商家计算机，其可以被商家后台系统使用以用于与忠诚度计划、会计、退款(charge-back)监视等相关的处理。本发明的实施例可以与现有的POS装置一起使用，不用更新POS软件/硬件。

在讨论本发明的实施例之前，对一些术语进行描述可能有助于理解本发明的实施例。

“访问装置”可以是访问远程计算机的任何适当装置。在本发明的一些实施例中，访问装置可以与商家计算机或支付处理网络通信，并且可以与便携式装置、用户计算机设备和/或用户移动装置交互。访问装置通常可以位于任何适当位置，诸如在商家所在的位置。访问装置可以是任何适当形式。访问装置的一些示例包括销售点(POS)装置、读卡器、蜂窝电话、PDA、个人计算机(PC)、平板PC、手持专用阅读器、机顶盒、电子现金出纳机(ECR)、自动柜员机(ATM)、虚拟现金出纳机(VCR)、营业亭、安全系统、访问系统、网站等等。访问装置可以使用任何适当的接触或非接触操作模式以向便携式装置发送或从其接收数据或与便携式装置关联。在访问装置可以包括POS终端的一些实施例中，任何适当的POS终端可以被使用，并且其可以包括阅读器、处理器和计算机可读介质。阅读器可以包括任何适当的接触或非接触式操作模式。例如，示例性读卡器可以包括与便携式装置交互的射频(RF)天线、光学扫描器、条形码阅读器或磁条阅读器。

“脱敏(Desensitization)”可以包括去掉或改变敏感信息。例如，脱敏数据可以包括通过改变数据从数据中去掉敏感信息。在一些实施例中，从支付装置读取的全部磁道数据中的若干部分可以被脱敏。在一些实施例中，脱敏数据可以包括用预定值(诸如零或字母数字字符串)或可以用来单独地或结合地识别商家名称、位置、商家终端或日期和时间的标识符来替换数据的几部分。例如，在一些实施例中，脱敏数据可以包括与商家A对应的全部7个s或与商家B对应的全部5个s。在一些实施例中，脱敏数据可以包括标识符(例如字母数字字符串)，其包括商家标识符和商家位置处的终端标识符。在一些实施例中，脱敏的数据可以指已经被改变的支付数据的特定部分(例如，支付数据可以包括还没有被修改的第一部分和已经用预定值替换的脱敏部分)。在一些实施例中，脱敏的数据可以指其至少一部分数据被去掉或替换的任何支付数据。在一些情况下，一条数据的脱敏使该数据永久地被去掉或擦除。根据脱敏的数据，被去掉或擦除的数据是不可以恢复的。这种脱敏方法可以包括用与被替换数据没有关系的值(例如，零，随机值、商家标识符)替换数据或截断数据或加密数据并破坏加密密钥。在其它情况下，一项数据的脱敏使该数据对未被授权的实体不可访问，但对被授权实体可访问或可恢复。例如，数据可以使用只有被授权实体可访问的加密密钥加密。未授权实体没有加密密钥不能破译加密数据，而授权实体能够使用加密密钥解密数据，因此恢复数据。

“支付装置”可以指可以用来进行金融交易诸如向商家提供支付信息的任何装置。支付装置可以是任何适当形式。例如，适当的支付装置可以是手持的，紧凑的，这样其能够放到消费者的钱包和/或口袋中(例如口袋大小的)。其可以包括智能卡、磁条卡、密钥链装置(诸如可从Exxon-Mobil公司购买的Speedpass^TM)等。支付装置的其它示例包括蜂窝电话、个人数字助理(PDA)、寻呼机、支付卡、安全卡、访问卡、智能介质、应答器、2-D条形码、电子或数字钱包等等。如果支付装置的形式是借记、信用或智能卡，则支付装置还可以可选地具有诸如磁条这样的特征。这些装置可以以接触或非接触模式工作。装置数据可以指从支付装置获得的任何信息。

“支付数据”可以包括与支付交易关联的数据。支付数据可以(例如由发行方)用来批准或拒绝交易。支付数据包括从支付装置(例如信用卡或银行卡)和/或持卡人采集的装置数据。例如，支付数据可以包括编码于支付装置的磁条中的磁道数据。支付数据还可以包括由客户本身提供的认证数据，诸如签名、个人身份证号码(PIN)或安全代码(例如卡验证值2或CVV2)。在一个示例中，支付数据可以包括支付账号(PAN)、到期日期、消费者姓名、个人身份证号码、CVV或CVC值等等。在一些实施例中，数据的第一部分可以包括非自选数据，数据的第二部分可以包括自选数据。在一些实施例中，自选数据可以包括姓名、Pin验证密钥指示符(PVKI，1字符)、PIN验证值(PVV，4字符)、卡验证值或卡验证代码(CVV或CVC，3字符)。在一些实施例中，非自选数据可以包括支付账号(PAN)或令牌(下文描述)、忠诚度账号等。

“敏感支付数据”可以包括在被发送、存储和/或处理之前需要脱敏的支付数据的一部分。例如，敏感支付数据可以包括存储于磁道数据的自选数据字段中的敏感认证数据。这些敏感认证数据可以包括通常存储于支付卡的磁道1和/或磁道2中的PVKI、PVV和CVV或CVC。在一些其它情况下，敏感支付数据可以包括持卡人或账户的识别信息，诸如持卡人姓名。

“令牌”可以包括信息的替代标识符。例如，支付令牌可以包括支付账户的标识符，其是账户标识符的替代，诸如主账号(PAN)。例如，令牌可以包括可以用作原始账户标识符的替代的一连串字母数字字符。例如，令牌“4900 0000 0000 0001”可以代替PAN“41470900 0000 1234”使用。在一些实施例中，令牌可以是“保留格式的”，可以有与现有的支付处理网络中使用的账户标识符一致的数字格式(例如，ISO 8583金融交易消息格式)。在一些实施例中，令牌可以代替PAN使用，以发起、授权、结算或完成支付交易。在通常提供原始证书的其它系统中，令牌还可以用来表示原始证书。在一些实施例中，可以生成令牌值，使得由令牌值恢复原始PAN或其它账户标识符不可以由计算得到。进一步地，在一些实施例中，令牌格式可以被配置成使接收令牌的实体将其识别为令牌，并识别发行令牌的实体。

“欺诈检测数据”可以包括识别给定交易或过程中涉及的特定实体或步骤以便能够检测在特定实体或步骤的欺诈或泄密的任何数据。例如，欺诈检测数据可以包括识别给定数据操作何时和/或何地发生的信息。数据操作可以包括发送、接收、处理、存储或检索数据。数据操作可以包括如本文中讨论的数据脱敏。欺诈检测数据可以包括识别与给定数据操作关联的实体(例如商业实体和/或计算装置)的信息。这种实体识别信息可以包括例如唯一地标识商家的商家标识符(例如包含名称或标识符的字母数字字符串)、商家种类代码(MCC)、商家位置、唯一地标识终端或装置(例如商家POS终端)的装置或终端标识符，等等。欺诈检测数据还可以包括与特定的数据操作关联的位置和/或定时信息(例如时间戳)

“安全读卡器”可以包括用于读支付卡的安全装置。例如，在一些实施例中，安全读卡器可以是被配置成读来自支付装置的支付数据并对支付数据的一部分脱敏的装置。在一些实施例中，对支付数据的一部分脱敏可以包括改变支付数据的那部分的值。例如，那部分的值可以变成不同的值，例如全是零。安全读卡器可以被配置成用欺诈检测数据替换敏感支付数据的至少一部分。

“授权请求消息”可以是发送给支付处理网络和/或支付卡的发行方以请求交易授权的电子消息。根据一些实施例的授权请求消息可以符合ISO 8583，ISO 8583是用于交换与消费者使用支付装置或支付账户进行的支付关联的电子交易信息的系统标准。授权请求消息可以包括发行方账户标识符，其可以与支付装置或支付账户关联。授权请求消息还可以包括与“识别信息”对应的附加数据元素，只作为示例包括：服务代码、CVV(卡验证值)、dCVV(动态卡验证值)、PAN(主账号或“账号”)、令牌(例如PAN替代)、用户姓名、到期日期等等。授权请求消息还可以包括“交易信息”，诸如与当前交易关联的任何信息，诸如交易金额、商家标识符、商家位置、收单银行(acquirer bank)标识号(BIN)、卡接受者ID等，以及可以用来确定是否识别和/或授权交易的任何其它信息。

“授权响应消息”可以是针对通过发行金融机构或支付处理网络生成的授权请求消息的电子消息应答。授权响应消息可以包括(只作为示例)以下状态指示符中的一个或多个：批准-交易被批准；拒绝-交易不被批准；或呼叫中心-响应未决的更多信息，商家必须呼叫免费授权电话号码。授权响应消息还可以包括授权代码，其可以是信用卡发行银行响应于电子消息中的授权请求消息(直接地或者通过支付处理网络)返回商家的访问装置(例如POS设备)的指示交易被批准的代码。代码可以用作授权的证据。

下文参照各个实施例介绍各个其它应用、功能和优点。应当理解，说明书和附图提供了几个示例，但可能落入各个实施例的范围内的替代方式和变形没有被完全描述。不过，根据本文中包含的教导和建议，替代方式和变形对本领域技术人员是显然的。

图1图解说明根据实施例用于脱敏数据的示例性系统100。系统100可以包括支付装置102、销售点(POS)终端104、收单方计算机106、支付处理网络108、发行方计算机110、安全读卡器112和商家计算机114。

支付装置102可以被消费者用来进行金融交易。支付装置102的形式可以是支付卡(例如借记卡、信用卡、忠诚卡(loyalty card)、预付卡等)或移动装置(例如蜂窝电话、笔记本电脑、平板电脑、个人数字助理(PDA)、密钥链装置等)。在一些实施例中，支付装置102可以被配置成与一个或多个无线网络(例如蜂窝网络、Wi-Fi等)通信。例如，如果支付装置102是移动电话，则其可以被配置成与移动网络通信。

在本发明的一些实施例中，支付装置102可以是基于芯片的支付装置，例如EMV(Europay、和)芯片卡。例如，支付装置102可以包括除标准磁条之外还具有嵌入微处理器的支付卡。嵌入的芯片可以保护和存储持卡人的数据。消费者(例如持卡人)可以使用其芯片卡用PIN或签名进行认证以完成交易。

销售点(POS)终端104可以被配置成接收使用支付装置，诸如支付装置102进行的支付。例如，POS终端104可以是电子数据捕获(EDC)终端，其能够阅读基于EMV芯片的支付卡中编码的信息，并将该信息发送到支付处理网络/发行方以认证和/或结算交易。在一些实施例中，POS终端104的形式可以是非接触阅读器，其能够在消费者在其附近轻拍或摇动支付装置时读支付装置上的EMV芯片数据。POS终端104可以包括计算机，该计算机可以被配置成使用一个或多个通信网络与一个或多个实体通信，以授权和结算交易。例如，当消费者在POS终端104上刷或插入支付装置102时，POS终端104可以生成授权请求消息，并通过收单方计算机106将授权请求消息发送到支付处理网络108。要理解，在各个实施例中，可以使用各种类型的访问装置，包括但不限于POS终端。

收单方(acquirer)通常是管理特定商家或其它实体的账户的实体系统(例如银行)。收单方计算机106可以将交易的授权请求消息通过支付处理网络108路由到发行方计算机110。

支付处理网络108可以包括数据处理子系统、网络和用来支持和传送授权服务以及清算和结算业务的操作。支付处理网络108的示例包括由运营的支付处理网络108可以包括有线或无线网络，包括互联网。支付处理网络108可以将授权请求消息转发到发行方110。

发行方(issuer)通常是可能已经发行支付卡(例如信用或借记)、账号或交易使用的支付令牌的商业实体(例如银行)。一些系统可以执行发行和收单功能。当交易涉及与发行方计算机110关联的支付账户时，发行方计算机110可以验证账户，用授权响应消息通过支付处理网络108对收单方计算机106进行响应，支付处理网络108可以将授权响应消息转发到POS终端104。授权响应消息可以包括描述交易是被批准还是拒绝的标识符。POS终端104可以基于授权响应消息将授权的结果传送到消费者。

稍后时间(例如在一天结束时)，清算和结算过程可以在收单方计算机106、支付处理网络108和发行方计算机110之间进行。

如图1所示，POS终端104和商家计算机114不是集成的，或不被配置成相互通信。因此，商家可能必须借助不同系统执行与支付装置102的多个交互，从而从支付装置102检索这些系统可能使用的相关信息。读取支付装置102的每个附加装置呈现潜在目标，如果泄露的话，可能暴露支付装置102中编码的磁道数据。例如，在一些实施例中，在POS终端104上进行第一次刷卡之后，可以在安全读卡器112上执行支付装置102的第二次刷卡。例如，支付卡的第二次刷卡可以是在安全读卡器112上刷磁条。第二次刷卡可能与授权/结算不相关，可以被商家后台系统利用进行会计、退款监视、忠诚度计划等。支付装置102的第二次刷卡能够使安全读卡器112捕获与消费者账户关联的支付数据。例如，支付数据可以包括支付装置102的磁条中编码的全部磁道数据。在一些实施例中，支付装置102的第二次刷卡可以捕获具有或不具有与消费者的账户关联的全部磁道数据的忠诚度数据。在一些实施例中，忠诚度数据可以根据全部磁道数据(例如PAN)的一些部分来确定。要理解，磁条数据可以包括与消费者的金融账户、忠诚度账户、个人身份账户和任何其它适当数据单独地或结合关联的可以用来跟踪消费者账户的编码数据。

根据本发明的一些实施例，安全读卡器112可以被配置或编程为不发送支付授权请求。而是，安全读卡器112可以被配置成使用本文中描述的方法将支付数据的一部分进行脱敏。安全读卡器112可以被配置成识别支付数据的第一部分和支付数据的第二部分。例如，支付数据的第一部分可以包括支付账号或与支付账号关联的支付令牌、忠诚度数据、个人标识符或任何其它非自选数据，这些数据本身可能不足以制造伪造卡，但可以由商家计算机114使用以用于会计、报告或顾客关系管理计划。在一些实施例中，支付数据的第二部分可以包括自选数据，诸如消费者姓名、CVV或CVC或任何其它敏感数据。安全读卡器112可以被配置成将支付数据的第二部分脱敏，并将脱敏的支付数据的第二部分连同支付数据的第一部分提供给商家计算机114。替代性地或者另外，脱敏的支付数据的第二部分连同支付数据的第一部分可以提供给可操作地连接到安全读卡器112和/或商家计算机114的数据存储(未显示)。在一些实施例中，脱敏的支付数据的第二部分可以包括与由安全读卡器112从支付装置102捕获的数据不同的数据。例如，脱敏的支付数据的第二部分可以包括预定值(例如零)或随机值。举另一示例，脱敏的支付数据的第二部分可以包括欺诈检测数据，诸如商家标识符、装置标识符、时间戳、位置信息等等，以便实现欺诈活动的检测和/或跟踪。

在一些实施例中，安全读卡器112可以被配置为即插即用装置，其可以耦连到商家计算机，不需要对商家计算机系统或POS终端进行任何更新。例如，安全读卡器112可以不需要对接口进行任何改变更换现有的读卡器。在一些实施例中，安全读卡器112可以使用现有的USB连接连接到商家计算机114，不需要对数据格式进行任何改变就能与商家计算机114进行通信。

商家计算机114可以被配置成与安全读卡器112通过有线或无线连接通信。商家计算机114可以接收支付数据，支付数据可以包括对伪造目的不可能有用的脱敏部分。商家计算机114可以使用由安全读卡器112提供的支付数据的第一部分用于会计和忠诚度计划。应当理解，在各个实施例中，任何适当装置(例如存储装置、主机计算机、服务器计算机、便携式装置等等)可以用于代替商家计算机或除商家计算机之外另外使用，以从安全读卡器接收脱敏信息。接收脱敏信息的装置可以由或可以不由与安全读卡器的提供者相同的实体提供。

图2更加详细地图解说明根据实施例的如图1中所示的安全读卡器112和商家计算机114。

在一些实施例中，安全读卡器112可以包括插槽202，在此消费者可以插入或刷支付装置102的磁条。在一些实施例中，安全读卡器112可以包括被配置成读磁条数据的磁阅读头。在一些实施例中，移动装置102可以在安全读卡器112的附近摇动或轻拍。例如，安全读卡器112可以被配置成使用无线电波或近场通信(NFC)技术与支付装置102通信。安全读卡器112还可以包括处理器和耦连到处理器的计算机可读介质，其中，计算机可读介质可以包括用于使处理器执行根据本发明实施例的方法的代码。例如，计算机可读介质可以包括用于从支付装置(例如支付装置102)接收支付数据，识别支付数据的第一部分和支付数据的第二部分，脱敏支付数据的第二部分并将支付数据的第一部分和脱敏的支付数据的第二部分提供给与安全读卡器112通信耦连的商家计算机114的代码。要理解，在各个实施例中，各种类型的访问装置可以包括安全读卡器或被包括于安全读卡器中。

图1-2中讨论的系统配置可以被配置成以成本有效的方式给现有的商家交易系统提供数据安全。安全读卡器112的成本可能相对较低。另外，只需对现有组件进行很少改动或不进行任何改动，安全读卡器112可以集成到现有的商家系统中。例如，安全读卡器可以配置为即插即用装置，其可以耦连到商家计算机，不需要对商家计算机系统或POS终端进行任何更新。

图3图解说明根据实施例用于脱敏数据的另一示例性系统300。系统300与图1中讨论的系统100相似，不同是提供单个集成式POS终端105，其合并了图1的POS终端104和安全读卡器112的功能。例如，集成式POS终端105可以是EDC终端，其被配置成捕获用于授权和结算的支付数据。支付数据的某些字段(例如全部磁道数据)可以被剥离以对数据脱敏。脱敏的数据，诸如账号可以不暴露全部磁道数据被发送到现金出纳机以用于会计目的。要理解，在各个实施例中，各种类型的访问装置可以包括集成式POS终端或可以包括于集成式POS终端中。

集成式POS终端105可以被配置成与图1中讨论的POS终端104相似地处理支付交易。例如，集成式POS终端105可以被配置成从支付装置102(通过在集成式POS终端105上刷卡或插入支付装置102)接收支付数据(例如全部磁道数据)，生成授权请求消息，将授权请求消息通过收单方计算机106发送到支付处理网络108，从收单方计算机106接收授权响应消息，将授权结果传送到用户或商家计算机114。

集成式POS终端105还可以被配置成与图1中讨论的安全读卡器112相似将脱敏支付数据提供给商家计算机。例如，集成式POS终端105可以被配置成识别需要脱敏的支付数据部分。在一个实施例中，要脱敏的支付数据部分不包括PAN或与PAN关联的支付令牌。商家可能在更下游需要或要求PAN或令牌，用于退款、会计或跟踪目的。在另一实施例中，PAN的至少一部分(例如PAN的某些位)可以被脱敏。集成式POS终端105可以被配置成通过至少部分地用欺诈检测数据替换数据部分来脱敏识别的数据部分。欺诈检测数据可以包括识别与支付数据的处理关联的商家、商家位置、装置(例如集成式POS终端)、时间戳等的信息。替代性地或者另外，集成式POS终端105可以被配置成通过用零或其它预定值替换数据部分来对识别的数据部分脱敏。集成式POS终端105可以被配置成向商家计算机114提供脱敏的支付数据。脱敏的支付数据可以包括不被脱敏的支付数据部分(例如PAN或令牌)和已被脱敏的支付数据部分(例如已经用零或欺诈检测数据替换的磁道数据的自选数据)。在敏感信息被去除或截断的一些情况下，提供给商家计算机114的脱敏支付数据可以只包括不被脱敏的支付数据部分。替代性地或者另外，脱敏的支付数据可以提供给操作地连接到集成式POS终端105和/或商家计算机114的数据存储(未显示)或任何适当装置。

在各个实施例中，支付数据的脱敏可以与支付授权基本同时或在其之前或之后进行。例如，一旦接收支付数据，授权请求的生成可以与支付数据的脱敏独立地进行。在另一示例中，授权请求的生成可以出现在支付数据的脱敏之前或之后。

应当理解，在各个实施例中，任何适当装置(例如存储装置、主机计算机、服务器计算机、便携式装置等等)可以用于代替商家计算机或除商家计算机之外另外使用，以从集成式POS终端接收脱敏信息。接收脱敏信息的装置可以由或者可以不由与集成式POS终端的提供者相同的实体提供。

图4更加详细地图解说明根据实施例如图3中所示的集成式POS终端105和商家计算机114。

在一些实施例中，集成式POS终端105可以包括插槽302，在此消费者可以插入或刷支付装置102的磁条。在一些实施例中，集成式POS终端105可以包括被配置成读磁条数据的磁阅读头。在一些实施例中，移动装置102可以在集成式POS终端105附近摇动或轻拍。例如，集成式POS终端105可以被配置成使用无线电波或近场通信(NFC)技术与支付装置102通信。集成式POS终端105还可以包括处理器和耦连到处理器的计算机可读介质，其中，计算机可读介质可以包括用于使处理器执行根据本发明的实施例的方法的代码。例如，计算机可读介质可以包括用于从支付装置(例如支付装置102)接收支付数据，生成并发送授权请求消息，识别支付数据的第一部分和支付数据的第二部分，脱敏支付数据的第二部分并将支付数据的第一部分和经脱敏的支付数据的第二部分提供给与安全读卡器112通信耦连的商家计算机114的代码。

图3-4中讨论的系统配置可以被配置成不需要多次访问支付装置(例如多次刷卡)就提供交易授权和数据脱敏。具体地，支付装置只需要被双用途集成式POS终端访问一次，以进行支付授权和账户跟踪。减少暴露磁道数据可以降低交易错误或破坏敏感信息的风险。而且，集成方法可以缩短整个处理时间(例如结账时间)。

根据一些实施例，本文中描述的技术可以应用到含有敏感信息的支付装置用于非支付相关目的的各种系统或与其集成。例如，本文中描述的方法可以由访问控制装置执行，以在不泄露支付装置上的敏感信息的情况下识别或认证持卡人，访问控制装置诸如机场或旅馆的登机亭或终端，旅馆房间门锁等等。具体地，支付数据中包含的信息可以根据需要知道时选择性提供，使得只有访问控制需要的信息(例如PAN或与PAN关联的令牌或忠诚度数值)被提取并且提供给访问控制系统，同时剩余信息被脱敏(例如去掉或用其它非敏感信息替换)。

图5图解说明根据实施例用于脱敏支付数据的示例性过程500。具体地，脱敏支付数据可以包括用欺诈检测数据替换一些敏感数据。在一些实施例中，过程500的各方面可以被图1-2中讨论的安全读卡器112或图3-4中的集成式POS终端105执行。过程500中的一些或所有方面(或本文中描述的任何其它过程或其变形和/或组合)可以在用可执行指令配置的一个或多个计算机/控制系统的控制下执行，可以实现为通过硬件或其组合在一个或多个处理器上共同执行的代码(例如可执行指令，一个或多个计算机程序或一个或多个应用)。代码例如可以以包括多个由一个或多个处理器执行的指令的计算机程序的形式存储于计算机可读存储介质上。计算机可读存储介质可以是非瞬态的。描述操作的顺序不旨在解读为限制，任何数量的所描述的操作可以以任何顺序和/或并行地组合以执行过程。

过程500可以包括从支付装置接收502支付数据。例如，支付数据可以在参照图2的支付装置102被刷或插入安全读卡器112的插槽202时由安全读卡器112接收。在一些实施例中，刷支付装置102可以是在POS终端104上第一次刷卡以执行金融交易之后在安全读卡器112上第二次刷支付装置102。在一些其它的实施例中，安全读卡器112可以集成或操作地耦连到登机亭或其它访问控制系统，使得刷支付装置可以用来识别和/或认证持卡人。在另一示例中，支付数据可以在参照图4的支付装置102刷或插入集成式POS终端105的插槽302时被集成式POS终端105接收。

支付数据可以包括来自支付装置的磁道数据。磁道数据可以包括给定格式(例如ISO 7813)的一个或多个磁道。例如，磁道1数据可以包括非自选数据和自选数据。非自选数据可以包括PAN或与PAN关联的令牌、到期日期、持卡人姓名和服务代码。自选数据可以包括敏感的认证数据，诸如PVKI、PVV、CVV或CVC。磁道2数据可以包括PAN或与PAN关联的令牌、到期日期、服务代码和与磁道1相似的自选数据。在一些实施例中，磁道数据可以可选地包括磁道3数据，磁道3数据可以包括自选和/或非自选数据。例如，磁道3数据可以包括忠诚度信息或用于跟踪顾客的账户的其它信息。

过程500可以包括识别504支付数据的第一部分和包括敏感信息的支付数据的第二部分。识别支付数据的第一部分和第二部分可以包括根据特定的数据格式(例如ISO7813)解析支付数据，以便检索支付数据的预定部分或字段。例如，第一部分可以包括非自选数据(例如PAN或令牌)，支付数据的第二部分可以包括为防止篡改可能需要被脱敏的自选数据。在另一实施例中，第二部分还可以包括一些非自选数据(例如PAN或令牌、姓名、到期日期或服务代码)。

已经被识别的第二部分可以通过用欺诈检测数据替换第二部分中的至少一些来被脱敏506。在一些情况下，第二部分的剩余部分(如果有)可以被原样保留，用零或其它预定值替换，或去除。在一些其它情况下，欺诈检测数据可以扩展到超出第二部分。如上文讨论的，欺诈检测数据可以包括识别给定交易或过程中涉及的具体实体或步骤的任何数据，以便能够检测在具体实体或步骤的欺诈或泄露。例如，欺诈检测数据可以包括识别给定数据操作何时和/或何地发生的信息。数据操作可以包括发送、接收、处理、存储或检索数据。数据操作可以包括如本文中讨论的数据脱敏。欺诈检测数据可以包括识别与给定的数据操作关联的实体(例如商业实体和/或计算装置)的信息。这些实体识别信息可以包括例如唯一地标识商家的商家标识符，唯一地标识终端或装置的装置或终端标识符等等。这些装置标识符可以由制造商、商家服务提供者、商家、收单方或任何适当实体提供或生成。装置标识符的示例可以包括终端身份标识符(TID)或分配给POS终端或工作站的终端身份号(TIN)、互联网协议(IP)地址、介质访问控制(MAC)地址等等。在一些情况下，装置标识符可以基于由装置标识符标识的装置的一个或多个硬件和/或软件参数来导出。欺诈检测数据还可以包括与某些数据操作关联的位置和/或定时信息(例如时间戳)。欺诈检测数据还可以包括识别由实体处理的数据的信息诸如摘要或数字签名。欺诈检测数据还可以包括诸如交易信息的其它信息，包括交易标识符、交易金额等等。

在一些实施例中，欺诈检测数据可以替换支付数据的PAN的至少一部分作为脱敏过程的一部分。在一些实施例中，用来替换PAN的欺诈检测数据可以是保留格式的，使得产生的脱敏PAN的格式类似典型的PAN。例如，支付数据的脱敏前的PAN部分和脱敏后PAN部分可以包含相同或相似的位数(例如16、17、18或19位)。在一个示例中，欺诈检测数据可以替换不包括PAN的IIN或BIN和/或PAN的最后四位的PAN部分。保留格式的脱敏数据可以对未授权实体表现为真实的，未授权实体然后可以尝试使用脱敏数据来进行欺诈。当这种情况发生时，欺诈检测数据可以用来快速地识别数据破坏的来源。例如，真正的PAN可以是“4000123456789010”，其中前六位(“400012”)代表IIN，剩余的十位(“3456789010”)代表个人账号。脱敏的PAN可以是“4000122323239010”，而欺诈检测数据“232323”用来替换不包括IIN或个人账号的后四位的PAN部分。欺诈检测数据可以识别特定的商家或数据源。一旦授权计算机诸如支付处理计算机或发行方计算机在支付交易中接收此数字，则授权计算机可以自动地确定交易是欺诈性的，同时能够基于欺诈检测数据快速地识别潜在数据破坏的来源。然后可以采取纠正措施来确保潜在破坏数据源的数据，或调查数据破坏如何和何时出现。

在一些实施例中，欺诈检测数据可以是例如在硬件或固件中硬编码的。例如，装置标识符可以存储于制造商提供的POS终端或读卡器的可编程只读存储器(PROM)中。在一些其它实施例中，欺诈检测数据可以被动态地生成。例如，欺诈检测数据可以包括基于支付数据的至少一部分动态生成的数字签名。举另一示例，欺诈检测数据可以包括随机生成的数字，更新的计数器值或时间戳。在又一些其它实施例中，欺诈检测数据可以从其它来源获得，诸如从远程或本地数据存储、传感器(例如全球定位系统(GPS)传感器)、远程控制装置等等获得。用欺诈检测数据替换数据的几个示例参照图9的表示出。

可以提供508包括第一未脱敏部分和第二脱敏部分的经脱敏的支付数据。在各个实施例中，经脱敏的支付数据可以提供给任何适当装置或系统以用于显示、存储或处理。例如，经脱敏的支付数据可以提供给通信耦连到安全读卡器的商家计算机或访问控制系统。在一个示例中，第一未脱敏部分可以包括未被更改的PAN或令牌，而第二脱敏部分可以包括替换第二部分中包括的至少一部分敏感信息的欺诈检测数据。在另一示例中，第二部分可以包括PAN或令牌的一部分，而且PAN或令牌的一部分可以用欺诈检测数据替换。被欺诈检测数据替换的敏感信息不被提供。脱敏数据可以用于会计、忠诚度计划或访问控制目的，而不会暴露可能用于伪造目的的全部磁道数据。而且，至少部分地用欺诈检测数据替换敏感信息充分利用支付数据中已经分配的空间，因此使得用较少的数据量表示更多的信息。

在一些实施例中，脱敏数据可以提供给授权计算机或欺诈检测系统，以用于检测客户账户上的欺诈活动。脱敏数据中包括的欺诈检测数据可以用来快速地识别潜在数据破坏的来源(例如商家)，从而防止和/或缓解潜在的欺诈。例如，获得包括一些欺诈检测数据的脱敏PAN数据的未授权实体可能没有意识到数据已经脱敏，仍想使用脱敏数据作为支付数据进行欺诈。当这些脱敏数据被授权计算机(诸如支付处理计算机或发行方计算机)接收时，授权计算机可以自动地确定交易是欺诈性的，并且同时能够基于欺诈检测数据快速地识别潜在数据破坏的来源。然后可以采取纠正措施来确保潜在破坏的数据来源处的数据，或调查数据破坏如何和何时发生。例如，客户账户可以由商家或发行方标记为可能泄露的。标记的客户账户可以被监视和/或分析欺诈活动。举另一示例，欺诈检测数据识别的商家可以被列入黑名单或阻止进行以后的交易。在一些情况下，欺诈检测数据可以与指示已知欺诈商家或泄露的商家终端的已知欺诈数据进行比较，以便检测欺诈。

图6图解说明根据实施例用于脱敏支付数据的另一示例性过程600。具体地，支付数据的PAN或令牌可以排除于脱敏之外。在一些实施例中，过程500的各方面可以由图1-2中讨论的安全读卡器112或图3-4中的集成式POS终端105执行。

过程600可以包括以与方法500的步骤502讨论的类似方式从支付装置接收602支付数据。

过程600可以包括识别604支付数据的包括PAN或令牌的第一部分和第二部分。识别支付数据的第一部分和第二部分可以包括根据特定的数据格式(例如ISO 7813)解析支付数据，以便检索支付数据的预定部分。例如，PAN或令牌部分可以标识为：磁道1数据中紧跟开始标记“％”和格式代码“B”之后并在分隔符“^”之前，磁道2数据中紧跟开始标记“；”之后并在分隔符“＝”之前。第二部分可以包括在PAN或令牌部分之后的一些或所有信息。例如，第二部分可以包括姓名、到期日期、服务代码和/或自选数据。

过程600包括对第二部分脱敏606，而不对第一部分脱敏。第一部分和第二部分出于几个原因可以被不同地对待。在一些情况下，第一部分可以不被脱敏的原因是第一部分中包含的信息出于有效的商业原因需要被保留。例如，诸如PAN或令牌的账户标识符通常在下游需要(例如由商家计算机)以用于退款，会计或跟踪目的。对PAN或令牌脱敏会使这些任务变得困难。在一些其它情况下，第一部分可以不被脱敏的原因是第一部分中包含的信息不如第二部分中的信息那样敏感。例如，第一部分可以包括只是用于PAN的替代标识符的令牌。令牌的暴露不会导致下面PAN的暴露。在一些其它情况下，第一部分可以不被脱敏的原因是关于数据安全的强制要求可能对第一部分不象对第二部分那样严格。例如，符合支付卡工业数据安全标准(PCI DSS)要求在交易授权之后的任何情况下敏感认证数据(例如CVV)不被存储，而如果加密或另外保护的话，则允许存储PAN。

第二部分的脱敏可以包括使第二部分中的信息永久不可访问。使数据永久性不可访问可以有效地防止数据不遭到潜在篡改。而且，第二部分中的数据可以被永久性去掉，原因是对于非支付相关处理在进一步的下游操作(例如与PAN不同)中通常不需要这些数据。例如，诸如CVV的认证数据通常只有交易授权需要，对退款、会计、跟踪、访问控制或身份目的不需要。在一些实施例中，使信息永久性不可访问可以包括用无用数据(例如零或任何其它字符)覆盖第二部分的至少一部分，用有用数据(例如欺诈检测数据)覆盖第二部分的至少一部分，截断第二部分的至少一部分，加密第二部分的至少一部分并“扔掉”或破坏加密密钥，或上面的任何组合。数据脱敏的几个示例参照图9中的表示出。

例如，可以将包括未脱敏的第一部分和脱敏的第二部分的脱敏支付数据提供608给商家计算机、本地或远程数据存储或任何其它计算装置或系统。通常，可以提供经脱敏的支付数据，以用于显示、存储、处理或另外由任何适当装置或系统使用。在一些实施例中，脱敏数据可以提供给授权计算机或欺诈检测系统，以用于检测客户账户上的欺诈活动。例如，当未授权实体使用脱敏数据作为支付数据进行欺诈时，脱敏数据可以被授权计算机分析以检测欺诈。例如，脱敏数据中只出现零(或其它无效值)而不是有效值可以指示数据被未授权实体出于违法目的被滥用。一旦基于脱敏数据检测到欺诈，可以采取纠正措施来防止或缓解欺诈。例如，商家计算机或授权计算机可以将客户账户标记为高危或泄露的，可以使标记账户经过进一步分析或监视。替代性地或者另外，脱敏数据可以包括识别数据破坏的来源(例如商家)的欺诈检测数据，这还有利于检测和/或防止欺诈。例如，只存在欺诈检测数据可以指示欺诈，与出现零或其它无效值相似。例如，脱敏数据的自选数据字段可以根据授权需要包含欺诈检测数据而不是CVV。另外，欺诈检测数据可以识别发起支付交易的商家或商家终端。识别的商家或商家终端可以被列入黑名单或被阻止(例如由支付处理系统或发行方)进行以后的交易，作为可能采取的防止未来欺诈的纠正措施的一部分。

图7图解说明根据实施例用于脱敏支付数据的示例性过程700。在一些实施例中，过程700的各方面可以由图3-4中的集成式POS终端105或图1中的系统100实现。

过程700可以包括以与过程500的步骤502中讨论的方式类似接收702支付数据。例如，消费者可以在POS终端上进行第一次刷其支付卡，或者可以在非接触阅读器上摇动或轻拍其支付装置以发起金融交易。

可以生成704并发送706(例如向收单方计算机)授权请求消息。在一些实施例中，授权请求消息可以包括支付数据和交易数据。例如，交易数据可以包括交易金额、商家标识符、项目数、交易的日期和时间以及任何其它相关信息。授权请求消息可以被转发(例如通过收单方计算机)到支付处理网络，支付处理网络可以将授权请求消息转发到发行方计算机以进行授权。发行方计算机可以处理授权请求消息以确定交易是被批准还是被拒绝。发行方计算机可以生成带授权结果的授权响应消息，将授权响应消息通过支付处理网络和收单方计算机发送到集成式POS终端。

支付数据可以被脱敏708并提供710(例如到商家计算机、数据存储或任何其它计算装置)以用于会计、跟踪、识别、访问控制和/或欺诈检测目的。在一些实施例中，步骤708和710可以以与上文提到的图5的步骤506和508或图6的步骤606和608类似的方式执行。例如，偏离有效支付数据但被滥用为支付数据的脱敏数据可以被商家计算机或授权计算机(例如支付处理网络或发行方计算机)检测，以识别未授权实体。而且，当脱敏数据包括欺诈检测数据时，欺诈检测数据可以用来进一步加快例如具有商家识别信息的欺诈检测过程。一旦基于脱敏数据检测到欺诈，任何适当实体可以采取任何纠正措施。例如，账户可以被分析、监视、列入黑名单或另外被商家、收单方、支付处理器或发行方采取行动。

描述操作的顺序并不旨在解读为限制，所描述的许多操作可以以任何顺序和/或并行地组合以执行过程700。例如，在一些实施例中，步骤708和/或710可以与步骤704和/或706并行执行。换言之，支付数据的脱敏可以与支付授权过程并行地执行。在其它实施例中，步骤708和/或710可以在步骤704和/或706之前或之后执行。

图8图解说明根据实施例用于执行客户账户跟踪的示例性过程800。客户账户跟踪可以基于诸如本文中描述的脱敏支付数据执行。在一些实施例中，过程800的各方面可以由图1和图3中的商家计算机114执行。

过程800可以包括接收802诸如由图1-2的安全读卡器112或图3-4的集成式POS终端105提供的脱敏支付数据。支付数据可以已经使用本文中描述的方法被脱敏(例如在图5-7中)。

过程800可以包括基于经脱敏的支付数据获得804PAN。经脱敏的支付数据可以包括未被脱敏的第一部分和被脱敏的第二部分。经脱敏的支付数据的第一部分可以包括PAN或令牌。当经脱敏的支付数据的第一部分中出现PAN时，PAN可以被提取出来。当第一部分中出现令牌而不是PAN时，可以基于令牌获得PAN。例如，令牌可以从经脱敏的支付数据的第一部分提取，并用来基于存储令牌和相应的PAN之间的映射的图或其它数据结构查询相应的PAN。这种映射可以存储于由诸如图10讨论的令牌发行方维持的令牌库中。商家计算机可以与令牌发行方通信以获得与令牌对应的PAN。在替代性实施例中，令牌可以从经脱敏的支付数据的第一部分提取，并原样用于客户账户跟踪目的而不是使用下面PAN。

在经脱敏的支付数据通过用欺诈检测数据替换敏感信息(诸如图5中讨论的)生成时，过程800可以可选地包括基于经脱敏的支付数据获得806欺诈检测数据。例如，欺诈检测数据可以从经脱敏的支付数据的预定部分(例如自选数据部分)提取。欺诈检测数据可以包括商家标识符、装置标识符、位置标识符、时间戳等等或其任何组合。

至少部分基于经脱敏的支付数据，可以更新808客户账户信息。在一些实施例中，客户账户信息可以由PAN或与客户账户关联的支付令牌标识或检索。客户账户信息可以用欺诈检测数据(例如商家标识符、商家装置标识符等)更新。在一些实施例中，经脱敏的支付数据可以包括其它未脱敏信息，其可以被提取并用来更新客户账户信息。例如，这些未脱敏数据可以包括忠诚计划号、交易细节(例如交易金额)等等。在一些情况下，从经脱敏的支付数据中提取的欺诈检测数据可以用来确定客户账户是否应当被标记、暂停使用、监视或采取其它动作。例如，欺诈检测数据可以与指示已知欺诈商家或泄露的商家终端的已知欺诈数据相比较。如果匹配，则客户账户可以被标记为可能泄露，暂停使用和/或被监视欺诈活动。在一些示例中，已知欺诈数据可以从数据存储或欺诈检测系统获得，数据存储或欺诈检测系统可以通信耦连到接收脱敏数据的装置。

图9图解说明根据实施例的一个表900，该表具有支付数据的一些部分被脱敏的示例。

表项902和904图解说明脱敏之前和之后包括磁道1和磁道2数据的示例性支付数据。如表项902所示，脱敏前磁道1数据为：“％B4000123456789010^SMITH/JOHN^16071021473810559010203？”，其中，“4000123456789010”是PAN或令牌，“^”是分隔符，“SMITH/JOHN”是持卡人姓名，“1607”是到期日期(2016年7月)，“102”是服务代码，“1473810559010203”是自选数据。脱敏前磁道2数据是“；4000123456789010＝160710212423468？”，其中，“4000123456789010”是PAN或令牌，“＝”是分隔符，“1607”是到期日期(2016年7月)，“102”是服务代码，“12423468”是自选数据。示例性脱敏后数据示于表项904。未脱敏的磁道数据的第一部分可以包括PAN或令牌(“4000123456789010”)，被脱敏的第二部分可以包括剩余的数据部分(例如，姓名、到期数据、服务代码、自选数据)。如所示，脱敏可以包括将要被脱敏的数据归零。在一些实施例中，脱敏数据可以包括其它值。

表项906和908图解说明脱敏之前和之后包括磁道1、磁道2和磁道3数据的示例性支付数据。如表项906所示，磁道1和磁道2数据可以与表项902中所示的磁道1和磁道2数据相似。磁道3数据可以包括用于跟踪忠诚度计划的忠诚度数据(例如“81293812”)。如表项908所示，磁道1和磁道2数据可以与在上面的示例中磁道1和磁道2数据的脱敏相似地被脱敏。不过，磁道3数据可以不进行脱敏，原因是其并不包括敏感信息。因此，在此示例中，脱敏后数据只包括PAN或令牌和忠诚度数据，在商家计算机成为键盘记录器或黑客的目标的情况下，其可能不足以用于伪造目的。

表项910图解说明脱敏后的示例性磁道1和磁道2数据，其中，敏感信息用欺诈检测数据替换。欺诈检测数据可以包括商家标识符“93787221”。欺诈检测数据可以用来在任何适当位置替换脱敏数据。例如，如所示，商家标识符提供于磁道1数据的脱敏部分中。敏感数据的其余部分可以与表项904类似地脱敏(例如归零)。

表项912图解说明脱敏后的更多的示例性磁道1和磁道2数据，其中，敏感信息用欺诈检测数据替换。欺诈检测数据可以包括商家标识符“93787221”以及终端标识符“7263859264725928”(例如与POS终端关联)。商家标识符可以放入磁道2的脱敏部分中，而终端标识符可以放入磁道1的脱敏部分中。在各个实施例中，欺诈检测数据可以用来识别商家、终端或位置，使其更易于识别被黑客攻击的商家终端。

表项914图解说明脱敏后更多的示例性磁道1和磁道2数据，其中，敏感信息用欺诈检测数据替换。在此示例中，欺诈检测数据“232323”替换PAN或令牌的一部分。欺诈检测数据替换不包括PAN或令牌的IIN或BIN和/或PAN或令牌的后四位的PAN或令牌部分，使得PAN或令牌的IIN或BIN和/或后四位仍然可以从脱敏数据提取，例如用于识别或跟踪目的。

表项916图解说明脱敏后更多的示例性磁道1和磁道2数据，其中，敏感信息用欺诈检测数据替换。在此示例中，欺诈检测数据“23232323”替换PAN或令牌的包括原始PAN或令牌的IIN或BIN部分(“400012”)但使PAN或令牌的后四位未被修改的那部分，使得PAN或令牌的后四位可以从脱敏数据中提取，例如用于识别或跟踪目的。在又一些其它实施例中，欺诈检测数据可以替换原始PAN或令牌的后四位的一部分，或替换原始PAN或令牌的IIN部分和后四位。

在一些实施例中，脱敏数据可以保留格式。即，产生的脱敏数据可以保持与原始脱敏前数据相同的格式(例如各部分的位数)。这种格式保留脱敏数据可能对试图使用脱敏数据作为支付数据以实施欺诈交易的未授权实体是不显然的。当这种情况发生时，脱敏数据中包括的欺诈检测数据可以用来快速地识别破坏源，防止或缓解可能的数据破坏。

本发明的实施例针对能够自动地将自选数据归零的安全读卡器，所以如果商家终端泄密，则不从支付卡获得全部磁道数据。另外，安全读卡器可以用一些信息替换自选数据，这些信息可以标识商家、商家终端或位置，使其更容易识别受黑客攻击的终端。通过对自选数据脱敏，例如使用USB键盘记录器或恶意软件键盘记录器的攻击可能在商家终端被置于不成功，原因是全部磁道数据可能对制造伪造卡是不可用的。脱敏数据可以提供给商家后台系统以用于在不泄露全部磁道数据下与忠诚度计划、会计、退款监视等相关的处理。

图10描绘根据本发明的实施例图解说明交易处理系统1000的框图。为了图示简单，在图10中示出一些组件。不过要理解，对于每种组件本发明的实施例可以包括多于一个。此外，本发明的一些实施例可以包括比图10所示的所有组件更少的组件。此外，图10的组件可以通过任何适当通信介质(包括互联网)使用任何适当的通信协议进行通信。

交易处理系统1000可以包括账户持有人1010，其可以使用令牌请求装置1020请求支付令牌。尽管令牌请求装置1020在图10中由账户持有人1010操作，但其可以由任何其它适当实体操作，包括商家、收单方等。如图10中所示，令牌请求装置1020可以与商家计算机1030和令牌发行计算机系统1060通信。令牌发行计算机系统1060、商家计算机1030、收单方计算机、支付网络计算机1050和发行方计算机1070全部可以相互通信。各实体能够通过任何适当网络连接或包括互联网和/或任何蜂窝电话网络的通信系统进行通信。

令牌发行计算机系统1060可以包括令牌发行服务器计算机1060A和令牌库1060B以及耦连到令牌发行计算机1060A的规则数据库1060C。在一些实施例中，令牌发行计算机系统1060可以以令牌发行方和令牌验证方为特征。在其它实施例中，令牌发行方和令牌验证方可以是单独实体，其中，令牌发行方能够生成令牌，而令牌验证方能够校验或验证由令牌发行方发行的令牌。

交易处理系统1000还可以包括收单方计算机1040、支付网络计算机1050和发行方计算机1070。令牌请求装置1020可以被配置成与商家计算机1030、收单方计算机1040、支付网络计算机1050和发行方计算机1070通过交易信道1080通信。交易信道1080可以包括令牌请求装置1020、商家计算机1030、收单方计算机1040、支付网络计算机1050和发行方计算机1070中的一个或多个之间的通信路径。交易信道1080可以是通信信道，其允许在电子支付交易过程中与发行方计算机1070通信。

交易信道1080可以包括一个或多个子信道。可以提供令牌请求装置1020和商家计算机10之间的通信的子信道1080A可以包括商家计算机1030和令牌请求装置1020之间的非接触或接触通信子信道。其还可以包括商家计算机1030和令牌请求装置1020之间利用诸如互联网的通信网络的通信子信道。

账户持有人1010可以是便携式消费装置(例如信用卡)的用户。账户持有人1010在一些背景下还可以称为“消费者”。账户持有人1010可以利用通信装置(例如移动电话)，其可以在与商家的交易过程中用作令牌请求装置1020。

令牌请求装置1020可以是可以请求支付令牌的装置。在一些实施例中，其可以与账户持有人1010的支付账户关联。令牌请求装置1020可以是(但不局限于)移动装置，诸如移动电话、平板计算机、PDA、笔记本电脑、密钥卡或任何适当装置。在其它实施例中，令牌请求装置1020可以是静止装置，诸如桌面计算机。在一些实施例中，令牌请求装置1020可以包括可以与账户持有人1010的一个或多个支付账户关联的数字或移动钱包和/或支付应用。在一些实施例中，令牌请求装置1020可以被配置成显示机器可读代码，诸如OR代码或条形码。令牌请求装置1020还可以包括能够扫描机器可读代码的照相机或扫描装置。

尽管图10中没有显示，但在一些实施例中，账户持有人1010可以使用令牌请求装置1020与可以通过远程计算机(例如移动钱包提供者)等提供的令牌请求器交互。相应地，账户持有人1010可以使用令牌请求装置1020获得由移动钱包提供者操作的远程服务器计算机存储的令牌，移动钱包提供者之前已经从令牌发行计算机系统1060获得支付令牌。相应地，在一些实施例中，可以有多个令牌请求装置和/或账户持有人1010的通信装置(例如移动装置、膝上型计算机、桌面计算机)，通信装置可以用来将之前请求的令牌提供给商家计算机1030。

商家计算机1030可以与商家关联。商家计算机1030可以是访问装置，诸如在商家位置的POS终端，与商家的访问装置耦连的计算机或作为由商家运营的网站主机和/或操作由商家运营的网站的远程服务器计算机。在一些实施例中，操作商家计算机1030的商家可以是卡存档(card-on-file，简称COF)商家。卡存档商家可以在远程数据库中存储账户持有人1010的账户信息以进行未来支付(例如循环或周期性支付)。商家计算机1030可以被配置成生成由账户持有人1010发起的交易的授权请求消息。

收单方计算机1040可以由收单方操作。收单方通常是与特定商家、钱包提供者或另一实体有商业关系的实体系统(例如银行)。收单方计算机1040可以通信耦连到商家计算机1030和支付网络计算机1050，其可以发行并管理商家的账户。在一些实施例中，收单方计算机1040在交易过程中可以将授权请求消息转发到支付网络计算机1050，将授权请求消息转发到商家计算机1030以确认支付交易的处理。

支付网络计算机1050可以被配置成提供支付交易的授权服务、清算与结算服务。支付网络计算机1050可以包括数据处理子系统、网络和用来支持并传送授权服务、异常文件服务及清算和结算服务的操作。示例性支付处理网络可以包括VisaNet^TM。诸如VisaNet^TM的支付处理网络能够处理信用卡交易、借记卡交易和其它类型的商业交易。VisaNet^TM具体包括处理授权请求的Visa集成支付(VIP)系统和执行清算和结算服务的Base II系统。而且，支付处理网络可以包括服务器计算机，并且可以使用任何适当有线或无线远程通信网络，包括互联网。在一些实施例中，支付网络计算机1050可以将从收单方计算机1040接收的授权请求通过通信信道转发到发行方计算机1070。支付网络计算机1050还可以将从发行方计算机1070接收的授权响应消息转发到收单方计算机1040。

发行方计算机1070可以由账户发行方操作。通常，账户发行方是发行并维护账户持有人1010的账户的实体(例如银行)。账户可以是信用、借记、预付或任何其它类型的账户。

在一些实施例中，发行方计算机1070可以是包括处理器和耦连到处理器的有形非瞬态计算机可读介质的计算机。有形非瞬态计算机可读介质可以包括由处理器执行的用于实现一种方法的代码。所述方法包括从令牌发行计算机接收用户接口，用于提供参数集合以生成支付令牌请求规则。所述方法还包括生成参数集合并将该参数集合发送到令牌发行计算机。

令牌发行计算机系统1060可以是独立实体或可以耦连、集成至图10中所示的任一实体和/或由图10中所示的任一实体操作或管理。令牌发行计算机系统1060可以发行令牌，可以验证令牌的状态。在这种情况下，令牌发行计算机系统1060可以替代性地被称作令牌验证器或令牌发行器。此外，在一些实施例中，令牌发行器和令牌验证器可以包括单独的实体和/或系统，其可以被配置成发行或生成令牌，校验或验证令牌。

这些子系统或组件的示例示于图11中。图11中所示的任何子系统或组件可以包括于之前描述的任何装置、设备或系统中。图11所示的子系统通过系统总线1100互连。另外的子系统，诸如打印机1108、键盘1114、固定磁盘1116(或包括计算机可读介质的其它存储器)、耦连到显示适配器1110的监视器1120及其它也示出。耦连到I/O控制器1102(可以是处理器或任何适当控制器)的外设和输入/输出(I/O)装置可以通过任何本领域已知的手段(诸如串行端口1112)连接到计算机系统。例如，串行端口1112或外部接口1118可以用来将计算机设备连接到诸如互联网的广域网、鼠标输入装置或扫描器。通过系统总线的互连使中央处理器1106能够与每个子系统通信，并控制来自系统存储器1104或固定磁盘1116的指令的执行以及信息在子系统之间的交换。系统存储器1104和/或固定磁盘1116可以体现计算机可读介质。

而且，尽管已经使用形式为控制逻辑和编程代码和指令的硬件和软件的特定组合描述了本发明，但应当认识到硬件和软件的其它组合也在本发明的范围内。本发明可以只由硬件或者只由软件或使用其组合来实现。

本申请中描述的软件组件或功能可以实现为使用任何适当计算机语言(比方说例如Java,C++或Perl)，使用例如传统的或面向对象的技术由一个或多个处理器执行的软件代码。软件代码可以存储为计算机可读介质(诸如随机存取存储器(RAM)、只读存储器(ROM)、磁介质(诸如硬盘或软盘)或光介质(诸如CD-ROM))上的一系列指令或命令。任何这种计算机可读介质还可以驻存在单个运算设备上或驻存在单个运算设备内，可以位于系统或网络中的不同运算设备或在系统或网络中的不同运算设备上。

本发明可以以软件或硬件或两者的结合采用控制逻辑的形式实现。控制逻辑可以存储于信息存储介质中，作为适于指挥信息处理装置执行本发明的实施例中公开的一组步骤的多个指令。基于本文中提供的公开内容和教导，本领域技术人员会认识到实现本发明的其它方式和/或方法。

以上描述是示意性的不是限制性的。本领域技术人员在阅读本公开后，会明白技术的许多变形。因此，技术范围应当不参照上文描述确定，而是应当参照所附权利要求连同其全部范围或等同物确定。

在一些实施例中，本文中描述的任何实体可以由执行所公开的任何或全部功能和步骤的计算机实现。

在不偏离技术的范围下，任何实施例的一个或多个特征可以与任何其它实施例的一个或多个特征组合。

除非明确指示有相反的意思，“一(a)”、“一(an)”、“所述(the)”的叙述旨在表示“一个或多个”。

上文提到的所有专利、专利申请、公开和描述出于所有目的通过引用被并入本文中。不承认其为现有技术。

Claims

1.一种方法，包括：

由阅读器从支付装置接收装置数据；

由所述阅读器识别所述装置数据的第一部分和所述装置数据的第二部分，所述装置数据的第二部分包括敏感信息；

由所述阅读器通过用欺诈检测数据替换所述敏感信息中的至少一些对所述装置数据的第二部分脱敏，以去掉所述敏感信息；以及

由所述阅读器将所述装置数据的第一部分和所述装置数据的脱敏的第二部分提供给与所述阅读器通信耦连的主机计算机。

2.根据权利要求1所述的方法，其中，所述装置数据的第一部分包括主账号或与所述主账号关联的支付令牌。

3.根据权利要求1所述的方法，其中，所述装置数据的第二部分包括自选数据。

4.根据权利要求3所述的方法，其中，所述自选数据包括卡验证值(CVV)。

5.根据权利要求1所述的方法，其中，对所述装置数据的第二部分脱敏还包括用零替换所述装置数据的第二部分。

6.根据权利要求1所述的方法，其中，所述欺诈检测数据指示与所述装置数据关联的商家、商家终端、位置或定时信息。

7.根据权利要求1所述的方法，还包括基于所述装置数据生成授权请求消息，以及将所述授权请求消息发送到与所述阅读器通信耦连的收单方计算机。

8.一种方法，包括：

由阅读器从支付装置接收装置数据；

由所述阅读器识别所述装置数据的第一部分和所述装置数据的第二部分，所述装置数据的第一部分包括主账号或与所述主账号关联的支付令牌，所述装置数据的第二部分包括敏感信息；

由所述阅读器对所述装置数据的第二部分脱敏，以去掉所述敏感信息；以及

由所述阅读器将所述装置数据的第一部分和所述装置数据的脱敏的第二部分提供给与所述阅读器通信耦连的装置。

9.根据权利要求8所述的方法，其中，对所述装置数据的第二部分脱敏包括用零替换所述装置数据的第二部分中的至少一些。

10.根据权利要求8所述的方法，其中，对所述装置数据的第二部分脱敏包括用欺诈检测数据替换所述敏感信息中的至少一些。

11.根据权利要求10所述的方法，其中，所述欺诈检测数据包括商家标识符或装置标识符。

12.根据权利要求8所述的方法，其中，所述敏感信息包括自选数据。

13.根据权利要求8所述的方法，其中，所述阅读器不被配置成发送支付授权请求。

14.根据权利要求8所述的方法，其中，所述阅读器是商家终端、旅馆房门或航空公司登机亭中的至少一个的一部分。

15.一种安全阅读器，包括处理器和耦连到所述处理器的计算机可读介质，所述计算机可读介质包括代码，所述代码用于使所述处理器：

从支付装置接收装置数据；

识别所述装置数据的第一部分和所述装置数据的第二部分，所述装置数据的第一部分包括主账号或与所述主账号关联的支付令牌，所述装置数据的第二部分包括敏感信息；

对所述装置数据的第二部分脱敏，以去掉所述敏感信息；以及

将所述装置数据的第一部分和所述装置数据的脱敏的第二部分提供给与所述安全阅读器通信耦连的装置。

16.根据权利要求15所述的安全阅读器，其中，对所述装置数据的第二部分脱敏包括用零替换所述装置数据的第二部分中的至少一些。

17.根据权利要求15所述的安全阅读器，其中，对所述装置数据的第二部分脱敏包括用欺诈检测数据替换所述敏感信息中的至少一些。

18.根据权利要求17所述的安全阅读器，其中，所述欺诈检测数据包括商家标识符或装置标识符。

19.根据权利要求15所述的安全阅读器，其中，所述敏感信息包括自选数据。

20.根据权利要求15所述的安全阅读器，其中，所述代码还使所述处理器：

基于所述装置数据生成授权请求消息；以及

将所述授权请求消息发送到与所述安全阅读器通信耦连的收单方计算机。