CN106471786A - 用于传送凭证的系统及方法 - Google Patents

Abstract

一种用于执行交易的系统和方法，所述交易涉及在使连接于实体或个人(即，发布人)的凭证保持默契的同时向许可目的地(即，根据接受方的请求的网络端点(110))传送所述凭证。该系统包括与控制服务(101)通信的发布装置(108)和接受装置(109)。控制服务器接收来自发布装置和来自接受装置的通信消息，该通信消息除了包含个人或发布方、发布方标识符以及共享密钥码以外还包括保密密钥码，并且如果通信消息匹配，那么允许将特定针对发布方标识符的凭证发放给已知的网络端点。

Description

用于传送凭证的系统及方法

技术领域

本发明涉及信息和通信技术、被委托的数据交换的默契的信息和通信技术、以及保存并保护普遍存在于传送的凭证中的默契的信息和通信技术的领域。默契指的是拥有或参与关于实体或者关于联系实体和任何特定个体的任何凭证集合的任何信息。特别地，本发明涉及但不限于允许发布包括私人特定的且受控的凭证的集合的数据，关于凭证集合的一方可能出于各种目的期望同意并允许以受保护的且安全的方式进行秘密发布，同时确保对私人特定的且受控的凭证的机密性和隐私性进行不间断的保护和维护。受控凭证指的是用于联系受控凭证的所有者/发行者和受控凭证的持有者/拥有者的信息。

背景技术

在现代社会中，个体会与大量的个人数据相关联。这些个人数据的一些示例包括但不限于姓名、地址、出生年月、民族、社会保障号码、护照号、驾驶证号、会员号(针对给定的组织)、姓氏(如果适用)、婚前姓氏、雇主信息、银行账户号、信用卡号等。当个体与其他个体及组织进行交互时，会以多种方式使用该个人数据。这些交互中的许多交互很大程度上取决于数据集合的准确性，其对于个体来说是特有的，对于上述交互来说是必需的。相应地，由于每个这样的数据集合(下文用“凭证集合”来指代)对于个体来说是特有的，对于交互来说是必需的，因此期望在使敏感信息保持在默契状态。该信息是敏感的(且期望保持在默契状态)附加相关数据，例如有关附加安全特征的数据(例如与给定的仪器相关联的保密密钥码)。应理解的是，即使试图从记录中发布凭证集合，也需要确保永不发布相关联的数据，尤其是在该数据关于附加安全特征时。

通常以下列方式来填充此记录登记。将关于发布方的凭证集合提供给控制器，并对凭证集合进行验证和确认。凭证集合一经验证和确认，就生产仪器来承载该凭证集合，并将凭证集合提供给发布方。还将凭证集合输入到记录注册的新记录中，并通常补充有关于相对应的仪器的任意数据(例如序列号等)以及任何其它相关数据(例如包括但不限于生物统计学的附加安全特征数据等)。

方法已经发展到使凭证集合位于这样的定制仪器上。在历史上，可能已经将这样的数据印刷在、输入在或标记在发行的仪器上。然后，可能已经将这样的数据压花或刻或编码或嵌入至发行的仪器上。最近，已将机器可读介质(例如磁条或芯片)用作仪器，将相关的凭证集合电子存储在这样的介质上。许多仪器的格式(以及凭证集合存储于其中的格式)由国际标准化组织管理。例如，ISO 7501管理机读旅行证件的格式；ISO 7810和ISO 7811管理身份卡片的格式；以及ISO7812和ISO 7816管理不同发行者提供卡片的方式。

尽管提供了用于承载发布方凭证集合的仪器，但仍有欺诈的危险。仍需要验证具有包括凭证集合的仪器的发布方是否为合法的/真实的发布方(即验证该仪器没有被窃取或克隆并因此没有被欺诈使用)，并且需要验证所提供的包括凭证集合的仪器是否真的是真实的(即验证凭证是正确的且该仪器不完全是伪造品)。当这些仪器的承载者越来越频繁地发布他们的凭证集合时，这个问题就会被越来越多地关注。虽然最初在机密/私密的环境下在凭证集合的发布方者和其控制器之间持有凭证，但是每当在与第三方进行交换期间发布凭证集合时机密/私密的环境都会受到威胁。虽然安全发布凭证集合的方法的改进试图改进此机密/私密的环境，但是弱点仍然存在。

例如，即使出现了用于读取护照仪器的自动化系统，但当乘客将其护照交给任何查验人员或任何边境管制机构(以下简称“接受方”)时，在读取设备中捕获到受控凭证的前后发行的仪器上的受控凭证对于接受方来说是可见的并可被接受方处理的。如果违反了隐私权政策，则接受方会复制并共享所观察到的该凭证，而不是仅仅的捕获和处理，原来存在的护照仪器凭证的默契状态将会受到损害。针对其它的已为其开发出了自动凭证捕获系统的仪器(例如驾驶执照、积分/会员卡及支付卡)也存在类似的缺陷。

仍需要一种能以确保凭证集合的真实性以及承载有凭证集合的发布方的真实性的方式，使发布方在与其他个体或组织进行交换的期间提供凭证集合的改进的方法及系统。非常希望提供一种能够确保针对正在被公开的凭证集合的完全机密/私密的环境。强烈优选的是任何这样改进的方法及系统能够向后与现有常用的方法及系统相兼容，以顺利地且逐步地实施改进的方法及系统。因为其能消除对昂贵且费时的过渡到新系统及方法的需要，因此这将是非常有利的。这将进一步优选为待扩展的任何新的改进的方法及系统，以使它们能通过单一的系统及方法来提供多个不同的凭证集合。

发明内容

本发明的一个方面包括一种在使连接到发布方的受控凭证之间保持默契的同时允许将连接到发布方的至少一个受控凭证集合传送给网络端点的系统，其中，系统包括至少一个接受装置、至少一个发布装置、至少一个网络端点以及至少一个服务器，并且其中所述服务器中的一个服务器包括一个或多个记录。每个记录与给定的发布方相关，包括发布方标识符和绑定到每个发布方标识符的保密密钥码，并隶属于至少一个与连接到发布方的受控凭证集合相关的条目。每个条目与关联有所述给定的发布方的至少一个凭证集合相关。每个条目还可与至少一个别名相关，每个别名分别与所述凭证集合中的一个凭证集合相连。每个网络端点为一种类型的连接到发布方的受控凭证的指定收件方，所述网络端点为接受装置或者连接到接受装置的指定第三方的接受装置；其中，在发布交互人与接受交互人进行交互的情况下，执行允许传送连接到发布方的至少一个受控凭证集合；并且其中，与许可相关的凭证集合与发布交互人相关联。所述服务器中起控制服务器作用的一个服务器还被配置为：(a)接收来自接受装置的通信消息(以下称为接受装置通信消息)，所述通信消息包含与发布方相关的保密密钥码和一次性共享密钥码；(b)接收来自发布装置的通信消息(以下称为发布装置通信消息)，所述通信消息包含与发布方相关的发布方标识符和一次性共享密钥码；(c)寻求包含在接受装置通信消息中的一次性共享密钥码以及包含在发布装置通信消息中的对应的一次性共享密钥码之间的匹配；(d)通过将包含在所述接受装置通信消息中的保密密钥码和包含在所述发布装置通信消息中的发布方标识符进行链接来发起针对目标记录的搜索，其中两个所述通信消息均包含同一共享密钥码；(e)执行针对包括所述保密密钥码和所述发布方标识符的所述目标记录的搜索；(f)对隶属于所述目标记录的条目进行识别，所述条目与连接到发布方的受控凭证集合相关；(g)允许对与所述条目相关的所述凭证集合进行检索，并允许向所述网络端点发放所述凭证集合，所述端点为连接到所述发布方的受控凭证集合的经许可的收件方，并且所述端点为接受装置或者连接到接受装置的指定第三方的接受装置。

本发明的另一个方面包括一种使与发布方相连的所述受控凭证之间保持默契的同时允许将连接到发布方的至少一个受控凭证集合从服务器传送给网络端点的方法；其中，所述服务器包括一个或多个记录，每个记录与发布方(在服务器上登记为发布方和/或接受方的给定参与者)相关，并且每个记录包括发布方标识符(和/或接受方标识符)和绑定到所述发布方标识符的(发布方和/或接受方)保密密钥码，并且每个记录隶属于与连接到所述发布方的受控凭证集合(与所述参与者相关联)相关的条目；所述方法包括：(a)在接受装置处生成对发布交互人/所述发布交互人可用的一次性共享密钥码；(b)在接受装置处接收与发布交互人相关的(发布方)保密密钥码，其中所述(发布方)保密密钥码是由发布交互人在接受装置处的输入；(c)在接受装置处向至少一个服务器传送接受装置通信消息，所述接受装置通信消息包含一次性共享密钥码和(发布方)保密密钥码；(d)在发布交互人的发布装置处接收一次性共享密钥码；(e)在发布装置处对来自位于发布装置上的存储器的、与发布交互人相关的发布方标识符进行检索；以及(f)在发布装置处向所述服务器传送发布装置通信消息，所述发布装置通信消息包含一次性共享密钥码和发布方标识符，其中(g)当接收到所述接受装置通信消息和所述发布装置通信消息时，在服务器处对通信消息进行处理，以确定是否允许传送连接到发布方的受控凭证集合，由此允许在服务器处进行检索，并且由此允许发放给网络端点，所述端点为经许可的收件方，并且所述端点为接受装置或连接到接受装置的指定第三方的接受装置。

在本发明的一个方面中，连接到发布方的所有凭证集合(或隶属于凭证集合的别名)可作为条目而被包括在所述记录中。

在本发明的另一个方面中，连接到发布方的所有凭证集合(以及隶属的别名)可作为独立条目而被包括在可与控制服务器通信的不同服务器上。可选地，一些连接到发布方的凭证集合以及隶属的别名可作为条目而被包括在所述记录中，而其它凭证集合可作为独立条目而被包括在所述服务器上或者可作为独立条目而被包括在不同服务器上。

可通过第一通信信道将接受装置通信消息传送给所述服务器，并且可通过第二通信信道将发布装置通信消息传送给所述服务器。

在本发明一个方面中，在发布交互人和/或发布装置使用所述一次性共享密钥码之前，可在服务器处生成一次性共享密钥码并将其传送给接受装置。

在本发明的另一个方面中，在发布交互人和/或发布装置使用所述一次性共享密钥码之前，可在接受装置处生成一次性共享密钥码。

可经由无线技术将一次性共享密钥码的副本从接受装置传送到发布装置，从包括Wifi、蓝牙、NFC或RFID的组合中随意地选择无线技术。

在本发明的一个方面中，将有效期分配给接受装置通信消息以及发布装置通信消息和/或共享密钥码。这使得如果接受装置通信消息与发布装置通信消息在一定时间(有效期)内不匹配(如下面所讨论地)的话，则该通信失效并被认为是失效渲染的进一步过程冗余。在通信失效并被认为是失效渲染的进一步过程冗余的情况下，关于通信的数据可被清除，从而释放用于处理进一步的通信的资源。当生成、发送或接收包含承载有有效期的共享密钥码的通信消息时，有效期可使得可使用更短、较不复杂的共享密钥码，因为共享密钥码的重复使用是相对可行的。当共享密钥码的有效期期满时，可在本方法的连续迭代中重复使用同一共享密钥码。

在本发明一个方面中，发布交互人和/或发布装置可经由包括在接受装置中的或包括在来自接受装置的打印输出上的屏幕来使用一次性共享密钥码的副本，其中，(a)以机器可读的字体格式(例如UTF-8)来使用一次性共享密钥码的副本，并且在发布外设处经由来自发布交互人和/或接受交互人或/和接受装置的输入来接收一次性共享密钥码的副本；或者(b)一次性共享密钥码的副本包括在QR码中，并且在发布装置处经由包括在发布装置中的、用于捕获快速响应码并抽取一次性共享密钥码的副本的拍照功能来接收一次性共享密钥码的副本。

接受装置通信消息还可进一步包含一个或多个预设辅助参数，并且发布装置通信消息还可进一步包含所述一个或多个预设辅助参数。在成功确证开启并执行针对任何目标记录的搜索之前还需随意地匹配这些辅助参数(如下面所述地)。在确证过程中的这种额外的匹配条件(即，依托并经由共享密钥码来达到)进一步加强了本方法，这是因为它将附加标准引入到寻求接受装置通信消息和发布装置通信消息之间的匹配的步骤中。预设辅助参数可以是接受交互人与发布交互人约定的代码或者关于发布交互人与接受交互人之间的交互的值，例如预期交易的值。

如果向一次性共享密钥码分配有效期，则所述共享密钥码在其有效期期间可以是唯一的。

本发明的另一个方面包括一种在使与发布方相连的受控凭证集合之间保持默契的同时允许在服务器处将连接到发布方的至少一个受控凭证集合传送给网络端点的方法，其中许可包括包含有共享密钥码和发布方保密密钥码的接受装置通信消息以及包含有共享密钥码和发布方标识符的发布装置通信消息，方法包括：(a)在服务器/所述服务器处接收接受装置通信消息；(b)在服务器/所述服务器处接收发布装置通信消息；(c)在服务器/所述服务器处寻求包含在接受装置通信消息中的一次性共享密钥码与包含在发布装置通信消息中的对应的一次性共享密钥码之间的匹配，(d)在服务器/所述服务器处通过将包含在接受装置通信消息中的(发布方)保密密钥码与包含在发布装置通信消息中的发布方标识符进行链接来发起针对目标记录的搜索，其中两个所述通信消息包含同一共享密钥码；(e)在服务器/所述服务器处进行针对包括有所述(发布方)保密密钥码和所述发布方标识符的目标记录的搜索；(f)如果识别到目标记录，则在服务器/所述服务器处对隶属于所述目标记录的条目进行标识，所述条目与连接到发布方的受控凭证相关；(g)在服务器/所述服务器处允许对由所述隶属于目标记录的条目标识的所述凭证集合进行检索，并允许向所述网络端点发放所述凭证集合，所述端点为连接到发布方的受控凭证集合的经许可的收件方，并且所述端点为接受装置或连接到接受装置的指定第三方的接受装置。

所述服务器处的目标记录还可进一步包括与关于连接到发布方的每个凭证集合的所述条目相关联的别名，并且发布装置通信消息可进一步包含选自列在发布装置处的别名名单中的别名的副本，其中对针对包括有同一发布方标识符和保密密钥码的目标记录进行搜索的步骤，还利用包含在发布装置通信消息中的别名的副本来对目标记录进行搜索，目标记录除了包括同一发布方标识符和保密密钥码之外还包括同一所述别名。

关于连接到发布方的凭证集合的条目还可包括在被配置为允许对连接到发布方的凭证集合进行检索和发放的所述控制服务器上的所述目标记录中，并且在被配置为允许对连接到发布方的凭证集合进行检索和发放的所述控制服务器处执行对连接到发布方的凭证集合进行检索并对连接到发布方的凭证集合进行发放的步骤。

连接到发布方的凭证集合可包括在并非为被配置为允许对连接到发布方的凭证集合进行检索和发放的所述控制服务器的不同服务器上的独立条目中，独立条目隶属于目标记录，其中，在被配置为允许对连接到发布方的凭证集合进行检索和发放的所述控制服务器处或者在并非为被配置为允许对连接到发布方的凭证集合进行检索和发放的控制服务器的所述不同服务器处，执行对凭证集合进行检索和发放的步骤。

可将有效期分配给接受装置通信消息和/或发布装置通信消息和/或包含在接受装置通信消息或/和发布装置通信消息中的共享密钥码，其中寻求包含在接受装置通信消息中的共享密钥码和包含在发布装置通信消息中的共享密钥码之间的匹配的步骤还包括确定有效期是否已经期满。这使得如果接受装置通信消息与发布装置通信消息在一定的时间(有效期)内不匹配(如下面所讨论地)的话，则该交互/通知/通信失效并被认为是失效渲染的进一步过程冗余。在任意有效期失效并被认为是失效渲染的进一步过程冗余的情况下，关于通信的数据可被清除，从而释放用于处理进一步的通信的资源。当生成/发送/接收任何通信消息并且通信消息包含承载有有效期的共享密钥码时，有效期可使得使用更短、较不复杂的共享密钥码，因为共享密钥码的重复使用是相对可行的。当共享密钥码的有效期期满时，可在本方法的连续迭代中重复使用同一共享密钥码。

如果向共享密钥码分配有效期，则所述共享密钥码在其有效期期间可以是唯一的。

接受装置通信消息可进一步包含一个或多个预设辅助参数，并且发布装置通信消息还可进一步包含所述一个或多个预设辅助参数，其中试图匹配共享密钥码的步骤还包括试图确证包含在接受装置通信消息中的预设辅助参数以及包含在发布装置通信消息中的预设辅助参数的步骤。

本发明的另一个方面包括一种在使与发布方相连的凭证之间保持默契的同时允许在服务器处将连接到发布方的至少一个受控凭证集合传送给网络端点的方法，根据上面所述的本发明的任何一个方面来做出/同意许可，方法包括：(a)在服务器/所述服务器处接收接受装置通信消息；(b)在服务器/所述服务器处接收发布装置通信消息；(c)在服务器/所述服务器处试图对包含在接受装置通信消息中的一次性共享密钥码与包含在发布交互人通信消息中的对应的一次性共享密钥码进行匹配，(并且由此对所述接受装置通信消息和所述发布装置通信消息进行匹配)；(d)在服务器/所述服务器处通过将包含在接受装置通信消息中的保密密钥码与包含在发布装置通信消息中的发布方标识符进行链接来发起针对目标记录的搜索；(e)在服务器/所述服务器处进行针对包括有所述保密密钥码和所述发布方标识符的目标记录的搜索；(f)如果识别到目标记录，则对关于连接到发布方的并与发布方相关联的凭证集合的条目进行标识；(g)如果识别到与发布方相连的凭证集合，则在服务器/所述服务器处允许对连接到发布方的凭证集合进行检索，并允许向所述网络端点发放所述连接到发布方的凭证集合，所述端点为连接到发布方的受控凭证集合的经许可的收件方，并且所述端点为接受装置或连接到接受装置的指定第三方的接受装置。

如果所述连接到发布方的凭证集合包括在被配置为允许对受控凭证进行检索和发放的所述控制服务器上的所述目标记录中，则在被配置为允许对受控凭证进行检索和发放的所述控制服务器处执行对连接到发布方的凭证集合进行检索并对连接到发布方的凭证集合进行传送的步骤。

如果所述连接到发布方的凭证集合包括在并非为被配置为允许对受控凭证进行检索和发放的所述控制服务器的不同服务器上的独立条目中，(可在并非为被配置为允许对受控凭证进行检索和发放的所述控制服务器的不同服务器处执行识别关于连接到发布方的凭证集合的条目的步骤)，在被配置为允许对连接到发布方的凭证集合进行检索和发放的控制服务器处或者在并非为被配置为允许对连接到发布方的凭证集合进行检索和发放的控制服务器的不同服务器处，执行对已连接的凭证集合进行检索并对已连接的凭证集合进行发放的步骤。

试图对共享密钥码进行匹配的步骤可进一步包括确定有效期是否已经期满。

试图对共享密钥码进行匹配的步骤可进一步包括试图对包含在接受装置通信消息中的预设辅助参数与包含在发布装置通信消息中的对应的预定辅助参数进行匹配。

如果向一次性共享密钥码分配有效期，则所述共享密钥码在其有效期期间可以是唯一的。

在本发明的另一个方面中，方法包括(a)接受装置生成对于发布交互人可用的一次性共享密钥码；(b)在接受装置处接收从属于发布交互人的发布方保密密钥码，其中所述发布方保密密钥码为发布交互人在终端处的输入；(c)将接受装置通信消息从接受装置传送给服务器，接受装置通信消息包括一次性共享密钥码和发布方保密密钥码；(d)发布装置接收一次性共享密钥码；(e)发布装置对来自位于发布外围设置或装置上的存储器的、从属于发布交互人的发布方标识符进行检索；以及(f)发布外设将发布装置通信消息传送给控制服务器，发布装置通信消息包括一次性共享密钥码和发布方标识符。

所述服务器处的目标记录还可进一步包括与关于连接到发布方的每个凭证集合的所述条目相关联的别名，并且发布装置通信消息可进一步包含选自列在发布装置处的别名名单中的别名的副本，其中对针对包括有同一发布方标识符和保密密钥码的目标记录进行搜索的步骤，还利用包含在发布装置通信消息中的别名的副本来对目标记录进行搜索，目标记录除了包括同一发布方标识符和保密密钥码以外还包括同一所述别名。

凭证集合可作为条目而被包括在被配置为允许对受控凭证进行检索和发放的所述控制服务器上的所述目标记录中，并且在被配置为允许对受控凭证进行检索和发放的所述控制服务器处执行对凭证集合进行检索以及对凭证集合进行发放的步骤。

凭证集合可作为在并非为被配置为允许对受控凭证进行检索和发放的所述控制服务器的不同服务器上的条目，独立条目隶属于目标记录，并且其中，在被配置为允许对受控凭证进行检索和发放的所述控制服务器处或者在并非为被配置为允许对受控凭证进行检索和发放的控制服务器的不同服务器处，执行对凭证集合进行的检索和发放的步骤。

本发明的另一个方面包括被配置为执行上述的一个或多个发布装置步骤的发布装置。

本发明的另一个方面包括被配置为执行上述的一个或多个接受装置步骤的接受装置。

本发明的另一方面包括被配置为执行上述的一个或多个所述服务器步骤的服务器。

本发明的再一个方面包括具有两个或两个以上发布装置、两个或两个以上接受装置以及被配置为执行上述的一个或多个实施例的所述控制服务器。

本发明的另一方面包括用于承载存储在其中的计算机程序的计算机可读存储介质，所述程序包括适于在由一个或多个处理模块执行时来实现上述的一个或多个方法步骤的计算机可执行指令。

具体实施方式

图1是示出了以同时便于允许将所存储的凭证集合发放给收件方的方式来保持默契的中央系统的视图，其中该收件方是经由凭证集合所属的参与方批准的。系统100是安全的，因为它保护凭证集合免于被未经授权的潜在收件方未经授权地访问，同时它还能防止凭证集合被那些欺诈性地将凭证集合据为己有的人所使用。在系统中登记的各方根据其在本发明方法中的作用以及他们与本发明系统进行交互的方式而被指定为“发布方”和“接受方”。在发布方与接受方的交互过程中，发布方有必要发放与他们二者相关联的凭证集合。积极参与这种交互活动的发布方和接受方分别被指定为“发布交互人”和“接受交互人”。应当理解，在本发明的许多实施例中，每个发布方均与对其呈唯一性的凭证集合相关联，由此使得发布方以“一对一”的形式与凭证集合相关。然而，本发明还设想那种在发布方与凭证集合之间呈“多对一”关系的方案，其中许多发布方与单个凭证集合相关联，并且仍然希望将该凭证集合保持在默契状态。

根据本发明的实施例，本发明的系统和方法可用于供发布交互人以维持凭证集合默契的方式向一个或多个指定收件方发放与该发布交互人相关联的凭证集合。根据本发明的其它实施例，本发明的系统和方法可用于供接受交互人在保持默契状态的同时向一个或多个指定收件方发放与该接受交互人相关联的凭证集合。本发明的其它实施例设想到同时发生情形，即发布方凭证集合和接受方凭证集合二者分别与发布交互人和接受交互人相关联。发布方和接受方二者合作，以便于从系统中发放此类凭证集合。指定收件方可以是接受交互人、发布交互人，或者可以是可信任的第三方。

系统100包括至少一个服务器101，该服务器包括发布方记录的集合102。每个发布方记录隶属与已在服务器101上登记为发布方的给定参与者，并且每个所述记录包括一个或多个隶属于那个发布方的凭证集合。更具体地，每个发布方记录包括发布方标识符、发布方保密密钥码、与该发布方证相关联的至少一个凭证集合，以及至少一个别名，其中每个凭证集合分别与一个别名联系，因此发布方记录中的每个别名均可与该发布方记录中的其余别名区分开。发布方标识符是用于标识出发布方记录集合中的给定发布方记录的唯一性字符串。发布方保密密钥码是仅有发布方才知道的字符串。当发布方与系统进行交互以便向指定收件方(例如，发布方被称为“发布交互人”)发放发布方的凭证集合时，他们提供各自的发布方标识符，然后，在发放任何凭证集合之前利用他们的发布方保密密钥码来验证发布交互人。除了包括发布方标识符和发布方保密密钥码以外，每个发布方记录还包括至少一个凭证集合。如前面所描述的，每个凭证集合包括一组特定针对个人且针对给定的交互活动的必要的个人数据。每个凭证集合还与可区分开的别名相关联。通过说明的方式，名字叫“约翰·布朗”的个人可具有隶属于驾驶执照的第一凭证集合，以及隶属于商店积分卡的第二凭证集合。第一凭证集合可包含名称“约翰·布朗”、出生日期、驾驶执照号码和失效日期。第二凭证集合可包含名称“约翰·布朗”、地址和积分俱乐部会员编号。第一凭证集合可与别名“驾驶执照”相关联，而第二凭证集合可与别名“积分卡1”相关联。可以理解，本发明的实施例设想，每个发布方记录将只包括一个凭证集合，这样它发布方记录就不必进一步包括与每个凭证集合相连的别名。而在这种情况下，对与正在交互的发布方有关的记录进行识别将自动指示出所要发放的凭证集合。

此外，在本发明的一些实施例中，服务器101还包括独立的接受方记录的集合。每个接受方记录隶属于已在服务器上登记的个人或组织，并且包括一个或多个与该接受方相关联的凭证集合。每个接受方记录还包括接受方标识符和任选的接受方保密密钥码。接受方标识符是用于标识出接受方记录集合中的给定的接受方记录的唯一性字符串。接受方保密密钥码(如适用)是仅有接受方知道的字符串。当接受方与系统进行交互以便于向指定收件方(例如，接受方被称为“接受交互人”)发放与发布交互人相关联的发布方凭证集合时，提供该接受交互人的接受方标识符，然后，在公开任何凭证集合之前利用接受交互人的接受方保密密钥码(如果使用的话)来验证接受交互人。

应该理解的是，虽然在本发明的上述实施例中，发布方记录和接受方记录是不同的并且通常保持为单独的记录集合，但是在本发明的其它实施例中，服务器101可包括同时包含发布方记录和接受方记录的单个记录集合。此外，还应当理解，虽然在一个实施例中，接受方的凭证集合和/或发布方的凭证集合存储在服务器上，但是还可以设想多个服务器，其中每个服务器负责存储包含有一个或多个凭证集合类型的记录。

另外还设想，在本发明的一些实施例中，服务器101将单单包括发布方记录，并且将不包括接受方记录。优选地，在这样的实施例中，服务器101和潜在接受交互人将能够通过他们现有的软件系统来相互通信。本发明的这个实施例是有利的，这是因为这不需要接受方的预先登记，并且消除了在潜在接受交互人之间采用本发明系统和方法的障碍。因此，这改善了本发明系统和方法的易用性。

服务器101可经由通信信道与一个或多个装置108通信。应该理解的是，通信信道106可包括因特网、专有网络或二者的组合。装置108的位置可完全不同，并且可通过例如PSTN、以太网、DSL、ISDN、Wi-Fi、WiMax、2G、3G、LTE、4G等的一种或多种技术变型连接到通信信道106。装置108可以是任何种类的设备，包括台式个人计算机、笔记本电脑、平板个人计算机、个人数字助理、移动电话、智能电话等。装置108可备选地包括如同使用在各种工业(包括银行、金融、航空、旅游、国土安全、边境控制、能源、运输、零售和/或电信)中的那种定制式计算系统。因此，该装置可包括被配置为充当销售点装置的装置。在本发明的上下文中，这些装置将被称为“接受装置”。

服务器101还经由通信信道107与一个或多个装置109通信。这种装置例如可包括能经由无线基站或路由器与服务器101进行通信的无线装置。无线设备可包括任何形式的无线设备，包括笔记本电脑、平板个人计算机、个人数字助理、移动电话、智能电话等。这样的外围设备还可以包括能经由通信信道104通过有线连接来通信的设备，并因此可例如包括台式计算机以及如上所述的行业专用的定制计算系统，这包括但不限于销售点系统。在本发明的上下文中，这些外围设备将被称为“发布装置”。在实施例中，发布外围设备也可以经由保密密钥码保护或者需要来自发布方的附加权限来发起通信。在发布装置的位置可以完全不同，并且可以通过例如PSTN、以太网、DSL和ISDN的各种手段来经由通信信道107与服务器101通信。包括无线设备的发布装置可以通过例如Wi-Fi、WiMax、2G、3G、LTE、4G等的一种或多种无线通信技术来与路由器103进行通信。通信信道107可以包括因特网、专有网络或二者的组合。发布装置配置有能便于与服务器101通信的应用程序。由于接受装置109与服务器101之间的连接包括第一通信信道106而发布装置之间的连接包括第二通信信道107，因此该系统100在构成上可被认为是“多通道”。这在保持默契状态的同时还确保了能存储凭证集合和其它敏感数据并将它们发放到互联端点110中的更安全的机制。一些实施例中，网络端点110根据接受装置通信中的指定目标而可以是单独的装置或接受装置本身。

尽管在本实施例中已经描述了，凭证集合和连接别名包括在服务器上的发布方记录和/或接受方记录中，但是在本发明的其它实施例中可以预见，所述凭证集合和连接别名可以其它方式来附属于发布方记录和/或接受方记录。例如，凭证集合和附属别名可以被包括在与服务器上的记录集合相独立的、包括多个标识符和多个保密密钥码的一个或多个记录集合中。这些单独的记录集合可以被容纳在一个或多个不同的服务器上。在本发明的一些实施例中，容纳凭证集合的不同服务器由负责发行含有所述凭证集合的装置的控制器来管理。

图2是示出了根据本发明实施例的新的潜在申请人如何在服务器101上登记为发布方的流程图。在步骤200中，新发布方申请人访问由服务器101主管的网页，优选地使用他们的发布外围设备105、107和109来访问。在此步骤中，该网页被配置为使得新发布方申请人提供一般性登记详情，例如姓名、地址、电子邮件地址、住所的国家等，并将这些提交给服务器101。可以理解，虽然在本发明的一些实施例中将登记详情直接提供至服务器101，但是在其它实施例中，也可以间接地预先提供登记详情，以便将详情输入服务器101之前进行预先处理。可以经由针对此过程时段的安全连接来访问网页，或者，仅当传送敏感信息(例如，凭证集合或诸如发布方保密密钥码的附加数据)时才能使用安全连接。还应当理解，登记的备选方式例如还可以是以电子邮件、传真等来提交完整表格。

然后，在步骤202中，为发布方申请人在服务器101上创建新帐户。这是通过在发布方记录集合中生成新的发布方记录来完成的。在步骤200或步骤202中，均可提示新发布方申请人选择并输入新的发布方保密密钥码，然后该发布方保密密钥码被添加到新发布方申请人的发布纪录中。在本发明的备选实施例中，新的发布方记录可以自动地设置有临时发布方保密密钥码，此后该临时发布方保密密钥码可随后由发布方申请人更新为自定义发布方保密密钥码。这样的临时保密密钥码可通过网页的方式来提供，或者优选地通过第二通信信道的方式来提供，该第二通信信道可包括例如电子邮件、短信、电话呼叫或邮寄的任意通信形式。在本发明的一些实施例中，在原来的保密密钥码被遗忘的情况下，还存在例如用于提供替换保密密钥码的附加情形。这种替换保密密钥码同样可通过例如包括网站、电子邮件、短信、电话或邮寄的任意通信形式来提供。

在步骤204中，提示新发布方申请人向新发布方申请人的新创建帐户中添加凭证集合。如前所述，这些凭证集合可包括多种个人数据，并且隶属于由不同的政府或商业监管机构发行的凭证集合承载工具。每个凭证集合被连接于对其父代发布方记录呈唯一性的别名(即，每个别名为“本地唯一”)。在一个实施例中，可以在步骤206中提示新发布方申请人为每个提供的凭证集合提供本唯一性别名。在另一实施例中，可以为每个凭证集合提供默认别名。在一个实施例中，别名可以是后续由发布方来编辑。在本发明的一些实施例中，在登记之后发布方记录可具有如下程度的可编辑性，即，可以编辑或删除现有的凭证集合及所连接的别名和/或可以添加新的凭证集合和所连接的别名。在本发明的一些实施例中，在登录之后发布交互人记录可具有如下程度的可编辑性，即，可以编辑或删除现有的凭证集合及所连接的别名，以及可以添加新的凭证集合和所连接的别名。

在步骤206中，新发布方申请人有机会设置：与处理相关的具体喜好、使用与特定政府或商业监管机构相关的凭证集合，以及他所涉及的交互类型。举例来说，对于隶属于航空积分会员制度的凭证集合而言，可按照发布方的喜好而给予他们设置附加喜好的选项，例如首选的飞机餐、座椅号码或当地机场。通过进一步举例的方式，对于隶属于信用卡的凭证集合而言，可以给予发布方激活功能的选项，例如卡的优先使用、直接货币转换、旅客的增值税退税，或者以多张卡拆分支付。

然后在步骤208中，提示新发布方申请人在他们的发布外围设备上安装定制式应用程序。定制式应用程序被配置为在允许处理服务器发放凭证集合的许可处理期间以及此类传送许可的认证处理期间，根据需要来促成与服务器的通信，下文将对上述处理做出更详细地描述。在安装定制式应用程序的过程中，该应用程序与保留在发布外围设备上的唯一性发布方标识符相关联。在优选的实施例中，发布方标识符由服务器来分配，并且该发布方标识符是在应用程序被安装到发布外围设备上之前、期间或之后嵌入到该应用程序中的。备选地，发布方标识符可以从发布外围设备自带的字符序列(例如IMEI号码或序列号)中衍生出来。这种字符序列可以被修改为以达到唯一性发布方标识符。除了保留的发布外围设备上以外，发布方标识符还可以被添加到位于服务器101上的发布方记录集合中的发布方记录中。在安装定制式应用程序的过程中，该应用程序还设有在步骤204中针对给定的发布方而存储的连接于凭证集合的别名。因此，当该应用程序被新的发布方使用在交互活动中时，它具有可供其支配的发布方标识符和连接于新发布方的凭证集合的别名，从而可以适当地将发布方标识符和别名传送至服务器101。

在优选的实施例中，最初可将应用程序的通用版本安装在新发布方申请人的发布外围设备上。继步骤200-208所述的过程之后，提示新发布方申请人示通过回复电子邮件来验证他们的帐户，和/或通过在针对服务器提示的回复中确认他们的发布方保密密钥码来来验证他们的帐户。继此验证之后，可以使用新发布方申请人的发布方标识符、连接于新发布方申请人的凭证集合的别名、以及在步骤206中配置的新发布方申请人的喜好，来对新发布方申请人的发布外围设备上的应用程序的通用版本进行自定义。该数据可以加密格式存储在新发布方申请人的发布外围设备中。图3是类似于图2的根据本发明实施例的流程图，其中描绘参与方在服务器’101上登录为接受方的步骤。如前所指出的那样，本发明设想出那种接受方必须主动登录服务器的实施例，以及那种不需要接受方登录服务器的实施例。此外，在本发明的其它实施例中，接受方的登录可以是“被动式”完成的，这将在下面进行更详细地描述。在步骤300中，参与方(以下称为“新接受方申请人”)访问由服务器101主管的网页，优选地使用接受装置111。以类似于图2的步骤200的方式，在此步骤中将网页配置为使得新接受方申请人提供一般性登记详情，例如个人姓名或组织名称、地址、电子邮件地址等，并将这些提交至服务器101。可以经由针对此过程时段的安全连接来访问网页，或者，仅当传送敏感信息(例如，接受方保密密钥码或接受方的凭证集合)时才能使用安全连接。可以进一步理解的是，新接受方申请人的登记可以通过例如经由电子邮件或传真的其它手段来进行。备选地，如果接受方操作由链接第三方远程控制的接受装置(例如，受让方使用的终端管理系统以管理卡支付销售点设备)，可由链接第三方来发起接受方的登记。在这样的情况下，接受方可能不必的提供其自身的任何信息。

在步骤302中，通过在接受方记录集合中生成新的接受方申请人记录，而在在服务器101上创建新帐户。

为了安排凭证集合的发布，必须如下所述地方式给出许可。在本发明的一个实施例中，从接受方发出的任何用于发放发布方凭证集合的许可都要求对接受方进行识别，因此，用于发放发布方凭证集合的任何许可都要求最初提供接受方凭证集合。因此，可以设想，正如发布方记录一样，针对接受方希望参与的交互类型，要求在接受方记录单中具有单独的接受方凭证集合。交互类型可以广泛地定义为—例如，发放驾驶执照工具和发放支付卡工具可看作是不同的交互类型。备选地，交互类型可以狭义地定义为—例如，发放不同的支付卡工具(例如万事达、Visa、借记卡)可看作是不同的交互类型。因此，虽然在一些实施例中，例如接受方凭证集合可普遍适用于所有支付卡，但是在其它实施例中，接受方可以针对由该接受方持有的每个不同的支付卡类型而具有不同的凭证集合。

在步骤306中，新接受方申请人有机会设置：与处理相关的具体喜好、使用与特定交互类型相关的凭证集合。举例来说，针对隶属于信用卡的凭证集合而言，一旦发放了接受方凭证集合，则可以给予新接受方申请人关于指示他们是否愿意提供与凭证集合相关联的下游功能的选项，例如直接货币兑换、旅客增值税退税、或以多张卡拆分付款。

然后，在步骤308中，接受装置被配置成可与服务器进行通信。这可以通过各种方式来完成。在那种接受装置由第三方远程控制的本发明实施例中，如果需要，第三方可以发起对接受装置的自动重新配置。在本发明的其它实施例中，新接受方申请人可以利用安装的定制式应用程序以类似于图2所述的方式来发起重新配置。

图4是示出了根据本发明实施例的在保持受控的凭证中的普遍默契的同时允许发放连接于发布方的至少一个受控凭证集合的方法的流程图。控制服务器接收包含有保密密钥码和一次性共享密钥码的接受装置通信消息，以及包含有发布方标识符和一次性共享密钥码的发布装置通信消息。在步骤403中，将通信消息进行比较。不成功的匹配会终止该方法，并且未完成交互指令。如果共享密钥码匹配，那么在步骤404中，通过链接保密密钥码和发布方标识符来在服务器上搜索目标记录。搜索出任何包含有与接受装置通信消息和发布装置通信消息中的相同的发布方标识符和保密密钥码相同的目标记录。如果找到目标记录，那么检索位于该目标记录的当前存储位置处的凭证集合，允许将该凭证集合发放给指定的目的地，即网络端点。

图5A和图5B公开了在接受装置执行的过程。一个曾经关闭共享密钥码是由接受装置产生的，并输送到所述发布装置。该接受装置进一步接收发布保密密钥码，并产生由101在图1中描绘的将被发送到控制服务器的通信。该通信包括发布方保密密钥码和一次性共享密钥码。

图6A和图6B公开了执行在发布装置上的过程。从存储器中检索出发布方标识符。一旦从接受装置中接收扫一次性共享密钥码，则将包含有发布方标识符和一次性共享密钥码的通信消息传送到控制服务器101。图7和图8是有关连接到发布方的受控凭证的条目表示。每个条目均与发布方标识符和保密密钥码相关联。图7A至7E代表那些将记录存储在控制服务器或凭证服务器101上的多种实施例。在一些实施例中，如在图7A和图7C中所描绘的那样，可使用查找列表来掩蔽并定位发布交互人的记录。还可以另一中实施例，即，每个发布交互人记录与别名相关联。

图9A和图9B公开了有关从发布交互人和接受交互人向控制服务器传送消息的过程，以及将受控凭证调度至允许目的地的过程的图形表示。图10是示出了根据本发明实施例给出许可过程的时序图，其中涉及到服务器1001、发布交互人1002、发布装置1003、网络端点1004以及接受装置1005，以便检索出存储在由发布交互人1002凭证所识别位置中的凭证集合，并将凭证集合发放给经该发布交互人1002许可的收件方设施。应当理解，给出许可以检索和发放发布方凭证集合也可以同时伴随着检索接受方凭证集合的请求，其中接受装置1005和发布装置1003仍然向服务器1001提交各自的通信消息。可以进一步认识到的是，在本发明的一些实施例中，发放凭证集合的许可具体来说是：向网络端点1004或者向接受装置1005发放(与发布交互人1002相关联的)发布方凭证集合。然而，在本发明的其它实施例中，许可将可以是：将接受方凭证集合或发布方凭证集合共享给链接到网络端点1004或接受装置1005的受信任第三方。例如，可以提交许可以便共享有关支付卡工具的发布方凭证集合；可以是，计划将支付卡凭证集合发送给受信任第三方的交易处理器。

在图10中，发布交互人1002(其拥有被配置成生成发布装置通信消息并将其传送至服务器1001的发布装置1003)对执行在接受交互人处的包括有网络端点1004和/或接受装置1005(其中，网络端点1004即是接受装置1005，或着网络端点1004被链接到接受装置1005)的设施进行识别，并由此将接受装置配置为生成接受装置通信消息并将其传送至服务器1001。发布交互人1002可以决定：为了允许将连接于发布交互人1002的凭证集合的读数发放至网络端点1004或接受装置1005，而在该设施设施上进行交互。接受交互人还可以决定：为了当网络端点1004或接受装置1005接收到连接于发布交互人的凭证集合时能够请求将连接于接受交互人的凭证集合的读数返回至网络端点1004或接受装置1005，而在该设施设施上进行交互。更具体地，在本发明的优选实施例中，要保持连接予发布交互人1002的凭证之间的默契状态，由此使得该接于发布交互人1002的凭证集合的读数对接受交互人是不可见的或不可访问的，并且也无法通过发布装置1003来传送，而是仅能秘密传送给网络端点1004或接受装置1005。

在图10中，在事件之前1010，将信号在网络端点1004或接受装置1005处传送至发布交互人1002，这表明本发明所设计所述方法是一种能够在发布交互人1002的网络端点1004或接受装置1005处获得的方法，因此网络端点1004上配备有此类接受装置1005，其中此类接受装置1005被配置为与服务器1001进行通信。实际上，本发明设计的所述方法是在用于从发布交互人1002那里获得凭证的网络端点1004处可获得的那些方法中的一个。

在图10中，在事件之前1011，发布交互人1002决定：根据本发明所设计的方法，通过利用发布装置1003(其配置为生成发布装置通信消息并将其传送至和服务器1001)并利用接受装置1005(其配置为生成接受装置通信消息并将其传送至和服务器1001)，来在执行予接受交互人处的设施上发起交互活动。实际上，发布交互人1002按照本发明所设计的方法选择了在接受交互人的设施上发起交互活动，而拒绝按照现有方法中的任何其它可用在网络端点1004处以便于从发布交互人1002那里获得凭证的过程，来在执行于接受交互人处的设施上发起交互活动。

在阶段1012中，通过激活接受装置1005来发起交互活动，该接受装置1005被配置为促成与服务器1001的接受装置通信。一旦在1012进行激活，则在接受装置1005处产生1012一次性共享密钥码。在一个实施例中，由服务器1001生成共享密钥码并传送至接受装置1005。在另一实施例中，在接受装置1005出生成共享密钥码。

在阶段1013中，通过激活发布装置1003来发起交互活动，该发布装置1003被配置为促成与服务器1001的发布装置通信。一旦在1012进行激活，则从发布装置1003的存储位置中检索出发布方标识符。在一些实施例中，还从发布装置1003的存储位置中检索出与连接于对应发布方标识符的发布交互人1002的凭证相关联的别名列表。在这样的实施例中，在发布周边设备1003上逐项列出这种与连接于发布交互人的凭证相关联的别名列表，以供发布交互人1002进行选择。

在阶段1014中，将在接受装置1005处获得的共享密钥码渲染到发布交互人1002和发布装置1003上。在阶段1014的一个实施例中，以人类可读的方式渲染在接受装置1005处。在阶段1014的另一实施例中，以机器可读的方式渲染在接受装置1005处。

在阶段1015中，相应地在发布装置1003处获得共享密钥码。在1015的一个实施例中，通过在接受装置1005上读取来获得共享密钥码，并将其输入到发布装置1003中。在1015的另一实施例中，通过在接受装置1005上扫描来获得共享密钥码，并将该共享密钥码捕获到发布装置1003上。在一个实施例中，接受装置1005向发布装置1003直接传送1014一次性共享密钥码，而在另一实施例中，接受装置1005使该共享密钥码可被发布交互人1002获得1014，该发布交互人在阶段1016将一次性共享密钥码输入到发布装置1003中。在本发明的一些实施例中，可以向共享密钥码分配有效期。这确保了：如果接收到接受装置通信消息和接收到的发布装置通信消息通过在一定的时间(有效期)内寻求与一次性共享密钥码匹配(如下面进一步讨论的那样)而未能在一定时间内得到确证，那么交互活动可能失效，并因此成为无效渲染进一步的过程冗余。根据共享密钥码的有效期届满日，相同的共享密钥码可相应重复使用在方法的后续迭代中。因此，有效期间可确保使用的是更短、较不复杂的保密密钥码，因为共享密钥码的重复使用是相对可行的。本发明实施例的优点在于，在需要发布交互人将共享密钥码输入到发布装置中的情况下，由于降低了密钥码的复杂性而使得本方法的实施例更易于管理。

在一些实施例中，发布装置也可以显示与连接于所述发布交互人的不同发布凭证集合有关的别名列表。然后，所述发布交互人选择与连接于发布交互人的凭证集合相关联的所需的别名。

在阶段1016中，接受装置通过提示发布交互人1002在接受装置1005上输入发布方的保密密钥码，来试图获得该保密密钥码。在一个实施例中，在阶段1012中接受装置1005可以向发布交互人1002附加地显示预设的辅助参数，从而进一步关联该交互活动并确证接受装置通信消息和发布装置通信消息。

在1017中，由接受装置1005来获取保密密钥码。在一个实施例中，发布交互人1002使用键盘来将保密密钥码输入到接受装置1005上。在另一实施例中，发布交互人1002可使用设备来将保密密钥码传送给接收装置1005。

然后，在阶段1019中，接受装置1005向服务器1001传送接受装置通信消息，允许向经发布交互人1002许可的受方设施发放连接于发布交互人1002的特定凭证集合。接受装置通信消息包含在阶段1017获得的发布方保密密钥码，以及在阶段1012产生的一次性共享密钥码。接受装置通信消息还可以包含遵从阶段1012而检索出的有关接受交互人的标识符，以及遵从阶段1012而捕捉到的任意的预设辅助参数。

在阶段1018中，发布装置1003向服务器1001传送发布装置通信消息，这能够在发布交互人1002所识别位置的存储中检索出连接于发布交互人1002的特定凭证集合。发布装置通讯消息包含在1013中检索出的发布方标识符，以及在1015中获得的一次性共享密钥码。发布装置通信消息还可以包含在1013中逐项列出的与所选凭证集合相关联的别名，以及遵从1016而捕获到的任意的预设辅助参数。

在1020中，服务器1001通过寻求包含在接受装置通信消息中的一次性共享密钥码与包含在发布装置通信消息中的一次性共享密钥码的匹配，来试图将所接收到的接受装置通信消息与所接收到的发布装置通信消息相匹配。在1020的一些实施例中，可以对接受装置通信消息和/或发布装置通信消息分配有效期。如果接受装置通信消息和发布装置通信消息在指定的有效期内不匹配，那么交互活动失效，并被认为是无效渲染的进一步过程冗余。在交互活动失效并被认为是无效渲染的进一步过程冗余的情况下，可将与交互活动有关的数据(即，交互通信)的数据从系统中清除，释放出资源来处理后续接收的许可。在1020的其它实施例中，接受装置通信消息1019和发布装置通信消息1018中可能已经包含了某个值或预设辅助参数。如果是这样，则在1020中将该值用作于预设辅助参数来补充共享密钥码，以便寻求接受装置通信消息与发布装置通信消息的匹配。

在阶段1021中，并且是在1020中发现匹配的情况下，服务器1001通过将包含在发布装置通信消息中的发布方标识符与包含在接受装置通信消息中的保密密钥码链接起来1021，而发起搜索，其中根据1020来看，包含在发布装置通信消息中的共享密钥码与包含在发布装置通信消息中的共享密钥码相同。如果在1020中没有发现匹配，那么该方法不执行阶段1021，并且服务器1001根据接受装置1005或发布装置1003返回一个消息。

在阶段1022中，服务器1001针对发布方记录集合内的目标记录执行搜索，该目标记录包括了包含于已匹配的发布装置通信消息中的发布方标识符和包含于已匹配的接受装置通信消息中的保密密钥码。在1022的一个实施例中，并且在1022的情况下，根据1018来看，与发布方标识符相关联的别名包含在发布装置通信消息中，该别名还用于确定1022那种除了包括发布交互人1002的发布方标识符和保密密钥码之外还包括别名的目标记录。

在阶段1023中，并且是在1022中定位到包括了发布方标识符和发布方保密密钥码的记录的情况下，通过识别出1023隶属于在1022中定位到的目标记录的条目而继续搜索，其中该条目与连接于发布交互人1002的凭证集合有关。(在一个实施例中，相关的凭证集合可以那种与在步骤1022中由发布交互人1002所选的别名相连接的凭证集合)。在一个实施例中，所识别的条目中包含读数，该读数包括连接于发布交互人1002的那些凭证。在另一实施例中，所识别的条目包含指针，该指针定位了连接于发布交互人1002的那些凭证。当步骤1022中未定位出包括了发布方标识符和发布方保密密钥码该的记录的情况下，该方法不执行阶段1023，并且服务器1001可根据接受装置1005和/或发布装置1003而返回消息。

在1024中，通过允许在1023中所识别位置的存储中检索与发布交互人1002相连接的凭证的读数，并且通过允许向经发布交互人1002许可的收件方设施发放与该发布交互人相连接的凭证的读输，来完成搜索。

在阶段1025中，从发布交互人1002所指示位置的存储中检索读数。在一个实施例中，在被配置用于执行1020至1024所设计的方法的控制服务器中存储并检索1025读数。在另一实施例中，在不同于控制服务器(被配置用于执行1020至1024所设计的方法)的另一服务器中存储并检索1025读数。

在阶段1026中，向经发布交互人1002许可的收件方设施发放1026凭证的读数。在1026的一个实施例中，将该读数发放并调度至网络端点1004。在1026的另一实施例中，将该读数发放并调度至接收装置1005。

在图10中，1027和1028之后的事件是，服务器1001向发布交互人1002的发布装置1003返回一个消息，指示读数是否已由发布交互人1002识别后被检索出来并且经发布交互人1002许可后被发放；在这样的补充性实施例中，将记录保留在服务器1001中，罗列出1020和1024之间发生的事件，并且该记录在发布装置1003对发布交互人1002是可查看的。

参照附图来描述的本发明实施例包括计算机设备和/或执行于计算机设备中的方法。然而，本发明还扩展至计算机程序，特别是存储在适于将本发明付诸实践的载体上/中的计算机程序。该程序可以是源代码、目标代码或代码中间源与目标代码的形式，例如呈现为部分编译的形式或适于在根据本发明来实施方法时使用的任何其它形式。该载体可以包括存储介质，例如ROM、CD-ROM，或者磁记录介质，例如软盘或硬盘。该载体可以是可通过电缆或光缆或通过无线电或其它手段传送的电信号或光信号。

参考本发明，当词语“包括/包含”和“具有/含有”使用在本文中时，它们用于阐述的特征、整数、步骤或组件的存在状态，但不排除存在或添加一个或多个其它特征、整数、步骤、组件或它们的组合。

应当理解，那些为清楚起见而被描述在单独实施例行文中的某些本发明特征也可以组合的形式提供在单个实施例中。相反，那些为简洁起见而被描述在单个实施例行文中的多个本发明特征也可以单独地提供，或以任何合适的子组合来提供。

Claims (34)

1.一种在使连接到发布方的受控凭证之间保持默契的同时允许对至少一个连接到发布方的受控凭证的集合进行传送的系统，所述系统包括：

至少一个网络端点，其作为连接到发布方的一种受控凭证的指定收件方；

至少一个接受装置，其配置为发送接受装置通信消息，所述接受装置通信消息包含与发布方有关的保密密钥码，以及一次性共享密钥码；

至少一个发布装置，其配置为发送发布装置通信消息，所述发布装置通信消息包含与发布方有关的发布方标识符，以及一次性共享密钥码；

至少一个服务器，其还包括处理器，至少一个通信接口和存储器，所述存储器存储与所述连接到发布方的受控凭证有关的至少一个条目；

其中，每个条目隶属于至少一个记录，所述记录与任意一个发布方有关并且包括发布方标识符和绑定于所述发布方标识符的保密密钥码；并且

所述服务器中的一个是控制服务器，其配置为：

a)接收所述接受装置通信消息；

b)接收所述发布装置通信消息；

c)寻求包含在所述接受装置通信消息中的一次性共享密钥码与包含在所述发布装置通信消息中的一次性共享密钥码之间的匹配；

d)通过将所述接受装置通信消息中的保密密钥码与所述发布装置通信消息中的发布方标识符进行链接，发起对目标记录的搜索，其中上述两个通信消息包含相同的一次性共享密钥码；

e)执行对所述目标记录的搜索，所述目标记录包括所述保密密钥码和所述发布方标识符；

f)识别隶属于所述目标记录的条目；

g)允许对与所述条目有关的凭证集合进行检索，并且允许向所述网络端点发放所述凭证集合，所述网络端点是连接到所述发布方的凭证集合的经许可的收件方。

2.根据权利要求1所述的系统，其中，所有的所述服务器、网络端点和装置还分别包括处理器、通信接口、存储器、输入操作台或/和输出操作台。

3.根据权利要求1或2所述的系统，其中，所述系统可操作在通信网络上。

4.根据权利要求3所述的系统，其中，被配置为执行如权利要求1所述的步骤的所述控制服务器控制服务器进一步配置为：生成所述共享密钥码，并使其能在接受装置处被获得。

5.根据权利要求3所述的系统，其中，所述接受装置进一步配置为：生成所述共享密钥码，从所述发布方接收所述保密密钥码，并且向所述控制服务器传送所述接受装置通信消息。

6.根据权利要求3所述的系统，其中，所述发布装置进一步配置为：从接受装置接收所述共享密钥码，从其存储器检索所述发布方标识符，并且向所述控制服务器传送所述发布装置通信消息。

7.根据权利要求3所述的系统，其中，包括有所述发布方标识符和保密密钥码的记录还包括：与所述发布方标识符相关联且隶属于所述条目的别名，所述条目与所述连接到发布方的受控凭证有关。

8.根据权利要求7所述的系统，其中，所述发布装置通信消息还包含与所述发布方标识符相关联且隶属于所述与连接到发布方的受控凭证有关的所述条目的别名，其中，对所述目标记录的搜索进一步使用包含在所述发布装置通信消息中的所述别名来搜索所述目标记录，所述目标记录除了包括所述发布方标识符和所述保密密钥码以外还包括所述别名。

9.根据权利要求7所述的系统，其中，作为接受装置的所述网络端点被配置作为是一种或多种连接到发布方的受控凭证的指定收件方。

10.根据权利要求7所述的系统，其中，链接到所述接受装置上的所述网络端点被配置作为是一种或多种连接到发布方的受控凭证的指定收件方。

11.根据权利要求10所述的系统，其中，所述凭证集合作为条目而被包括在所述控制服务器上的所述目标记录中。

12.根据权利要求10所述的系统，其中，所述凭证集合作为其它服务器中的一个服务器上的条目，并且隶属于所述控制服务器上所述目标记录。

13.根据权利要求10所述的系统，其中，对所述接受装置通信消息和/或所述发布装置通信消息或/和所述共享密钥码分配有效期，其中，上述寻求匹配的步骤还包括：确立所述有效期是否期满。

14.根据权利要求13所述的系统，其中，对所述共享密钥码分配有效期，其中所述共享密钥码在其有效期时段内是唯一的。

15.根据前述任一项权利要求所述的系统，其中，所述接受装置通信消息还包含一个或多个预设辅助参数，并且所述发布装置通信消息同样也包括所述一个或多个预设辅助参数。

16.根据权利要求1或15所述的系统，其中，上述寻求匹配的做法还包括：试图将来自所述发布装置通信消息的所述预设辅助参数中的至少一项与来自所述接收装置通信消息的对应预设辅助参数进行匹配。

17.根据前述任一项权利要求所述的系统，其中，如果所述凭证集合作为条目而被包括在所述控制服务器上的所述记录中，那么执行：对已连接的凭证集合的搜索，在所述服务器上检索所述已连接的凭证集合，并且从所述服务器上传送所述已连接的凭证集合。

18.根据前述任一项权利要求所述的系统，其中，如果任意的所述凭证集合作为独立条目而被包括在并非所述控制服务器的不同服务器上，那么执行对已连接的凭证集合的搜索，在所述服务器上或者在所述不同的服务器上检索所述已连接的凭证集合，并且从所述服务器或者从所述不同的服务器传送所述已连接的凭证集合。

19.根据前述任一项权利要求所述的系统，其中，所述控制服务器进一步配置为：记录发生的事件的状态或/和将这种状态中转至所述接受装置和/或发布外设。

20.根据前述任一项权利要求所述的系统，其中，如果在所述控制服务器上没有发现所述接受装置通信消息与所述发布装置通信消息之间的匹配，那么所述服务器终止其它的设定行动，并且所述服务器配置为：在所述服务器上记录这种状态或/和将这种状态中转至所述接受装置或/和发布外设。

21.根据前述任一项权利要求所述的系统，其中，如果在被配置用于执行如权利要求1(e)所述的步骤的所述控制服务器上没有发现目标记录，那么所述服务器终止其它设定行动，并且所述服务器被配置为：在所述服务器上记录这种状态或/和将这种状态中转至所述接受装置或/和发布外设。

22.一种在使连接到发布方的受控凭证之间保持默契的同时允许对至少一个连接到发布方的所述受控凭证的集合进行传送的方法，所述方法包括：

(a)服务器接收接受装置通信消息，所述接受装置通信消息包含与发布方有关的保密密钥码，以及一次性共享密钥码：

(b)服务器接收发布装置通信消息，所述发布装置通信消息包含与发布方有关的发布方标识符，以及一次性共享密钥码；

(c)服务器寻求包含在所述接受装置通信消息中的一次性共享密钥码与包含在所述发布装置通信消息中的一次性共享密钥码之间的匹配；

(d)服务器通过将所述接受装置通信消息中的保密密钥码与所述发布装置通信消息中的发布方标识符进行链接来发起对目标记录的搜索，其中上述两个通信消息包含相同的一次性共享密钥码；

(e)服务器执行对所述目标记录的搜索，所述目标记录包括所述保密密钥码和所述发布方标识符；

(f)服务器识别隶属于所述目标记录的条目，所述条目与所述连接到发布方的受控凭证有关；

(g)服务器允许对与所述条目有关的凭证集合进行检索，并且允许向网络端点发放所述凭证集合，所述网络端点是所述连接到发布方的凭证集合的经许可的收件方。

23.根据权利要求22所述的方法，其中，包括有所述发布方标识符和保密密钥码的记录还包括：与所述发布方标识符相关联且隶属于与所述连接到发布方的受控凭证有关的所述条目的别名，其中所述发布装置通信消息还包含与所述发布方标识符相关联且隶属于与连接到发布方的受控凭证有关的所述条目的别名。

24.根据权利要求22所述的方法，其中，所述凭证集合作为条目而被包括在不同的服务器上，所述条目隶属于所述目标记录。

25.根据权利要求22所述的方法，其中，识别凭证集合的步骤执行在所述不同的服务器上，并且其中检索并发放所述凭证集合的步骤执行在所述服务器或所述不同的服务器上。

26.根据权利要求22所述的方法，其中，对所述接受装置通信消息和/或所述发布装置通信消息分配有效期，其中，上述寻求匹配的步骤还包括：确立所述有效期是否期满。

27.根据权利要求22所述的方法，其中，对所述共享密钥码分配有效期，其中所述共享密钥码在其有效期时段内是唯一的。

28.根据权利要求22所述的方法，其中，所述发布装置通信消息还包含一个或多个预设辅助参数，其中上述寻求匹配的步骤还包括：寻求所述发布装置通信消息的所述预设辅助参数中的至少一项与所述接收装置通信消息中的对应预设辅助参数之间的匹配。

29.根据权利要求22所述的方法，其中，如果所述凭证集合作为条目而被包括在所述服务器上的所述记录中，那么执行以下步骤：识别已连接的凭证集合，在所述服务器上检索所述已连接的凭证集合，并且从所述服务器传送所述已连接的凭证集合。

30.根据权利要求22所述的方法，其中，如果所述凭证集合作为独立条目而被包括在不同的服务器上，那么执行在所述不同的服务器上搜索已连接的凭证集合的步骤，并且执行在所述不同的服务器上检索所述已连接的凭证集合的步骤，以及和从所述服务器或者从所述不同的服务器发放所述已连接的凭证集合的步骤。

31.根据权利要求22所述的方法，其中，如果所述凭证集合作为独立条目而被包括在不同的服务器上，那么执行在所述不同的服务器上识别已连接的凭证集合的步骤，并且执行从所述服务器或者从所述不同的服务器上检索所述已连接的凭证集合的步骤以及发放所述已连接的凭证集合的步骤。

32.根据权利要求22所述的方法，其中，所述控制服务器还记录事件的状态或/和将这种状态中转至所述接受装置和/或发布外设。

33.根据权利要求22所述的方法，其中，如果在所述控制服务器上没有发现所述接受装置通信消息与所述发布装置通信消息之间的匹配，那么所述服务器终止其它的设定行动，并且所述服务器被配置为：在所述服务器上记录这种状态或/和将这种状态中转至所述接受装置或/和发布外设。

34.根据权利要求22所述的方法，其中，如果在被配置用于执行如权利要求1(e)所述的步骤的所述控制服务器上没有发现目标记录，那么所述服务器终止其它设定行动，并且所述服务器被配置为：在所述服务器上记录这种状态或/和将这种状态中转至所述接受装置或/和发布外设。