CN107430657B - 通过代理的认证 - Google Patents

通过代理的认证 Download PDF

Info

Publication number
CN107430657B
CN107430657B CN201680011694.6A CN201680011694A CN107430657B CN 107430657 B CN107430657 B CN 107430657B CN 201680011694 A CN201680011694 A CN 201680011694A CN 107430657 B CN107430657 B CN 107430657B
Authority
CN
China
Prior art keywords
server
electronic device
authentication
payment
proxy server
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201680011694.6A
Other languages
English (en)
Other versions
CN107430657A (zh
Inventor
袁丁
刘仲宣
阿涅什·奈纳姆瓦拉皮尔
朴民石
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Samsung Electronics Co Ltd
Original Assignee
Samsung Electronics Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Samsung Electronics Co Ltd filed Critical Samsung Electronics Co Ltd
Publication of CN107430657A publication Critical patent/CN107430657A/zh
Application granted granted Critical
Publication of CN107430657B publication Critical patent/CN107430657B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G06Q20/401—Transaction verification
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • G06F21/445—Program or device authentication by mutual authentication, e.g. between devices or programs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/02—Payment architectures, schemes or protocols involving a neutral party, e.g. certification authority, notary or trusted third party [TTP]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/08—Payment architectures
    • G06Q20/085—Payment architectures involving remote charge determination or related payment systems
    • G06Q20/0855—Payment architectures involving remote charge determination or related payment systems involving a third party
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/22—Payment schemes or models
    • G06Q20/24—Credit schemes, i.e. "pay after"
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/32—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using wireless devices
    • G06Q20/322—Aspects of commerce using mobile devices [M-devices]
    • G06Q20/3226—Use of secure elements separate from M-devices
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/32—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using wireless devices
    • G06Q20/322—Aspects of commerce using mobile devices [M-devices]
    • G06Q20/3227—Aspects of commerce using mobile devices [M-devices] using secure elements embedded in M-devices
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/32—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using wireless devices
    • G06Q20/327—Short range or proximity payments by means of M-devices
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/34—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using cards, e.g. integrated circuit [IC] cards or magnetic cards
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/36—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using electronic wallets or electronic money safes
    • G06Q20/363—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using electronic wallets or electronic money safes with the personal data of a user
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/382—Payment protocols; Details thereof insuring higher security of transaction
    • G06Q20/3821—Electronic credentials
    • G06Q20/38215—Use of certificates or encrypted proofs of transaction rights
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/382—Payment protocols; Details thereof insuring higher security of transaction
    • G06Q20/3823—Payment protocols; Details thereof insuring higher security of transaction combining multiple encryption tools for a transaction
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/382—Payment protocols; Details thereof insuring higher security of transaction
    • G06Q20/3825—Use of electronic signatures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/382—Payment protocols; Details thereof insuring higher security of transaction
    • G06Q20/3829—Payment protocols; Details thereof insuring higher security of transaction involving key management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0884—Network architectures or network communication protocols for network security for authentication of entities by delegation of authentication, e.g. a proxy authenticates an entity to be authenticated on behalf of this entity vis-à-vis an authentication entity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q2220/00—Business processing using cryptography

Abstract

本公开的实施例提供了一种用于通过代理进行认证的方法和电子设备，该方法包括：由电子设备检索电子设备的安全设备数据；由电子设备使用代理服务器执行与认证服务器的认证，其中基于所述安全设备数据产生所述设备的验证结果；以及当验证结果被信任时，与应用服务器进行支付信息的传送。

Description

通过代理的认证
技术领域
本公开的实施例总体上涉及安全通信。更具体地，本公开的实施例涉及通过代理的认证。
背景技术
使用消费者电子设备作为支付交易的付款方式对于消费者而言是受欢迎和方便的。然而，当在电子设备上注册信用卡时，敏感的秘密信用卡支付信息工件(artifact)(例如，账号、令牌、密钥等)暴露给攻击者，因为这些工件在电子设备和卡网络令牌服务提供商(TSP)之间交换。认证是设备提供用可信密钥签名的设备测量数据的过程。在设备可能受到危害时，来自设备的设备测量数据在随机数创建之后的短时间内是可靠的。
发明内容
问题的解决方案
本公开的实施例提供了通过代理进行认证的示例。
本公开的第一实施例提供了一种通过代理进行认证的方法。所述方法包括：由电子设备检索电子设备的安全设备数据。所述方法还包括：由电子设备使用代理服务器执行与认证服务器的认证。基于所述安全设备数据产生所述设备的验证结果。所述方法还包括：当验证结果被信任时，与应用服务器进行支付信息的传送。
本公开的第二实施例提供了一种用于通过代理执行认证的电子设备。所述电子设备包括：至少一个处理器，被配置为由电子设备检索电子设备的安全设备数据。所述至少一个处理器还被配置为使用代理服务器执行与认证服务器的认证。基于所述安全设备数据产生电子设备的验证结果。所述至少一个处理器还被配置为当验证结果被信任时，与应用服务器进行支付信息的传送。
本公开的第三实施例提供了一种包含计算机可读程序代码的非暂时性计算机可读介质，所述计算机可读程序代码在被执行时使得移动设备的至少一个处理设备进行以下操作：由电子设备检索电子设备的安全设备数据。所述计算机可读程序代码还使得所述至少一个处理设备使用代理服务器执行与认证服务器的认证。基于所述安全设备数据产生电子设备的验证结果。当验证结果被信任时，所述计算机可读程序代码还使得所述至少一个处理设备与应用服务器进行支付信息的传送。
从下面的附图、描述和权利要求书中，其他技术特征对本领域技术人员来说会是清楚明白的。
术语“耦接”及其派生词是指两个或更多个元件之间的任何直接或间接通信，不管这些元件是否彼此物理接触。术语“发送”、“接收”和“通信”及其派生词包括直接通信和间接通信两者。术语“包含”和“包括”及其派生词意味着无限制的含括。术语“或”是包括性的，意味着和/或。短语“与……相关联”及其派生词意味着包括、被包括在……内、与……互连、包含、被包含在……内、连接到或与……连接、耦接到或与……耦接、可与……通信、与……协作、交织、并置、接近……、绑定到……或与……绑定、具有、具有……的属性、与……具有关系等。术语“控制器”意味着控制至少一个操作的任意设备、系统或其部件。可以用硬件、或硬件和软件和/或固件的组合来实现这样的控制器。与任意特定控制器相关联的功能可以是集中式或分布式的，无论本地还是远程。短语“……中的至少一个”当与项目列表一起使用时，意味着可以使用列出的项目中的一个或多个的不同组合，并且可能仅需要列表中的一个项目。例如，“A、B和C中的至少一个”包括以下组合中的任意一个：A、B、C、A和B、A和C、B和C、以及A和B和C。
此外，下面描述的各种功能可以由一个或多个计算机程序来实现或支持，每个计算机程序由计算机可读程序代码形成并体现在计算机可读介质中。术语“应用”和“程序”是指一个或多个计算机程序、软件组件、指令集、过程、功能、对象、类、实例、相关数据或其适用于在适当的计算机可读程序代码中实现的部分。短语“计算机可读程序代码”包括任意类型的计算机代码，其包括源代码、目标代码和可执行代码。短语“计算机可读介质”包括能够被计算机访问的任意类型的介质，诸如只读存储器(ROM)、随机存取存储器(RAM)、硬盘驱动器、紧凑盘(CD)、数字视频盘(DVD)或任意其他类型的存储器。“非暂时性”计算机可读介质不包括传输暂时电信号或其他信号的有线、无线、光学或其他通信链路。非暂时性计算机可读介质包括可以永久存储数据的介质以及可以存储数据并且稍后被重写的介质，诸如可重写光盘或可擦除存储器设备。
在整个本专利文档中提供了其他某些词语和短语的定义。本领域普通技术人员应该理解：在许多实例(如果不是大多数实例)中，这种定义适用于这样定义的词语和短语的现有以及将来使用。
附图说明
为了更全面理解本公开及其优点，现结合附图参考以下描述，附图中：
图1示出了根据本公开的示例计算系统；
图2和图3示出了根据本公开的计算系统中的示例设备；
图4示出了根据各种实施例的通过代理操作进行认证的流程图；
图5示出了根据本公开的用于通过代理进行认证的示例系统；
图6示出了根据本公开各种实施例的基于电子设备认证的令牌使用操作的流程图；
图7示出了根据各种实施例的在电子设备中基于电子设备认证的令牌使用操作的流程图；
图8示出了根据各种实施例的在电子设备中基于令牌认证的令牌更新操作的流程图；
图9示出了根据本公开各种实施例的通过电子设备的认证的处理；以及
图10是示出了根据本公开各种实施例的通过代理服务器的认证的处理。
具体实施方式
以下讨论的图1至图10和用于描述本专利文档中的本发明的原理的各种实施例仅仅是说明性的，而决不应以任何方式解释为限制本公开的范围。本领域的技术人员将理解，本公开的原理可在任意适当布置的设备或系统中实现。
图1示出了根据本公开的示例计算系统100。图1所示的计算系统100的实施例仅用于说明。在不脱离本公开的范围的情况下，可以使用计算系统100的其他实施例。
如图1所示，系统100包括网络102，其实现系统100中的各种组件之间的通信。例如，网络102可以在网络地址之间传送互联网协议(IP)分组、帧中继帧、异步传输模式(ATM)小区或其他信息。网络102可以包括一个或多个局域网(LAN)、城域网(MAN)、广域网(WAN)、诸如互联网的全球网络的全部或一部分、或一个或多个位置处的任意其他通信系统。
网络102实现各种服务器103和104与各种客户端设备106-114之间的通信。每个服务器104包括可以为一个或多个客户端设备提供计算服务的任意适当的计算或处理设备。例如，每个服务器104可以包括一个或多个处理设备、存储指令和数据的一个或多个存储器以及实现在网络102上进行通信的一个或多个网络接口。
每个客户端设备106-114表示通过网络102与至少一个服务器或其他计算设备交互的任意适当的计算或处理设备。在该示例中，客户端设备106-114包括台式计算机106、移动电话或智能电话108、个人数字助理(PDA)110、膝上型计算机112和平板计算机114。然而，可以在计算系统100中使用任意其他或另外的客户端设备。
在该示例中，一些客户端设备108-114间接地与网络102通信。例如，客户端设备108-110经由一个或多个基站116(例如，蜂窝基站或eNodeB)进行通信。此外，客户端设备112-114经由一个或多个无线接入点118(例如，IEEE 802.11无线接入点)进行通信。应注意，这些仅用于说明，并且每个客户端设备可以直接与网络102通信或通过任意适当的中间设备或网络间接地与网络102通信。
如下面更详细描述的，服务器103或104表示与参与实现基于可信区域的端到端安全性的客户端设备、CA服务器、金融服务器或令牌服务提供商(TSP)服务器中的一个或多个的制造商相关联的服务器。
虽然图1示出了计算系统100的一个示例，但是可以对图1进行各种改变。例如，系统100可以包括任意适当布置的任意数量的各个组件。通常，计算和通信系统具有各种各样的配置，图1不将本公开的范围限制于任意特定配置。尽管图1示出了可以使用本专利文档中公开的各种特征的一个操作环境，但是这些特征可以用于任意其他适当的系统中。
图2和图3示出了根据本公开的计算系统中的示例设备。具体地，图2示出了示例服务器200，图3示出了示例客户端设备300。服务器200可以表示图1中的服务器103或104，客户端设备300可以表示图1中的客户端设备106-114中的一个或多个。
如图2所示，服务器200包括总线系统205，其支持至少一个处理设备210、至少一个存储设备215、至少一个通信单元220和至少一个输入/输出(I/O)单元225之间的通信。
处理设备210执行可以加载到存储器230中的指令。处理设备210可以包括任意适当布置的任意适当数量和类型的处理器或其他设备。处理设备210的示例类型包括微处理器、微控制器、数字信号处理器、现场可编程门阵列、专用集成电路和分立电路。
存储器230和永久存储器235是表示能够存储信息和实现信息检索(例如，暂时或永久地，数据、程序代码和/或其他适当的信息)的任意结构的存储设备215的示例。存储器230可以表示随机存取存储器或任意其他适当的易失性或非易失性存储设备。永久存储器235可以包含支持长期存储数据的一个或多个组件或设备，例如只读存储器、硬盘驱动器、闪存或光盘。
通信单元220支持与其他系统或设备的通信。例如，通信单元220可以包括实现通过网络102通信的网络接口卡或无线收发器。通信单元220可以支持通过任意适当物理或无线通信链路的通信。
I/O单元225允许输入和输出数据。例如，I/O单元225可以通过键盘、鼠标、键区、触摸屏或其他适当的输入设备提供针对用户输入的连接。I/O单元225还可以向显示器、打印机或其他适当的输出设备发送输出。
应注意，尽管图2被描述为表示图1的服务器104，但是相同或相似的结构可以用于一个或多个客户端设备106-114中。例如，膝上型或台式计算机可以具有与图2所示相同或相似的结构。
图3示出了根据本公开各种实施例的示例电子设备300。图3示出的电子设备300的实施例仅用于说明，并且图1的客户端设备108-114可以具有相同或相似的配置。然而，电子设备具有各种各样的配置，图3不将本公开的范围限制于电子设备的任意特定实现。
如图3所示，电子设备300包括天线305、射频(RF)收发器310、发送(TX)处理电路315、麦克风320和接收(RX)处理电路325。电子设备300还包括扬声器330、处理器340、输入/输出(I/O)接口(IF)345、触摸屏350、显示器355、存储器360和一个或多个传感器365。存储器360包括操作系统(OS)361和一个或多个应用362。
RF收发器310从天线305接收由网络100的eNB发送的传入RF信号。RF收发器310对传入RF信号进行下变频以产生中频(IF)或基带信号。IF或基带信号被发送给RX处理电路325，RX处理电路325通过对基带或IF信号进行滤波、解码和/或数字化来产生处理后的基带信号。RX处理电路325将处理后的基带信号发送到扬声器330(例如，用于语音数据)或处理器340以进行进一步处理(例如，用于web浏览数据)。
TX处理电路315从麦克风320接收模拟或数字语音数据，或从处理器340接收其他传出基带数据(例如，web数据、电子邮件或交互式视频游戏数据)。TX处理电路315对传出基带数据进行编码、复用和/或数字化以产生处理后的基带或IF信号。RF收发器310从TX处理电路315接收处理后的传出基带或IF信号，并将基带或IF信号上变频为经由天线305发送的RF信号。
处理器340可以包括一个或多个处理器，并执行存储在存储器360中的OS程序361，以便控制电子设备300的总体操作。在一些实施例中，处理器340包括至少一个微处理器或微控制器。
处理器340还能够执行驻留在存储器360中的其他处理或程序，例如接收、存储和及时指导视频显示器预防屏幕老化和减少管理之类的操作。在所执行的处理需要时，处理器340可以将数据移入和移出存储器360。在一些实施例中，处理器340被配置为执行多个应用362，例如用于使用金融账户进行安全支付的支付应用363。
处理器340可以基于OS程序361操作多个应用362。处理器340还耦接到I/O接口345，其向电子设备300提供连接到诸如膝上型计算机和手持计算机之类的其他设备的能力。I/O接口345是这些附件和处理器340之间的通信路径。例如，I/O接口345可以包括用于与例如支付设备进行近场通信以处理支付交易的近场通信(NFC)模块。
处理器340还耦接到触摸屏350和显示器355。电子设备300的操作者可以使用触摸屏350将数据输入电子设备300中。显示器355可以是液晶显示器、发光二极管(LED)显示器、光学LED(OLED)、有源矩阵OLED(AMOLED)或能够渲染诸如来自网站的文本和/或至少有限图形的其他显示器。
存储器360耦接到处理器340。存储器360的一部分可以包括随机存取存储器(RAM)，存储器360的另一部分可以包括闪存或其他只读存储器(ROM)。
电子设备300还包括一个或多个传感器365，其可以计量物理量或检测电子设备300的激活状态，并将计量或检测的信息转换为电信号。例如，传感器365可以包括用于触摸输入的一个或多个按钮、相机、手势传感器、陀螺仪或陀螺仪传感器、气压传感器、磁传感器或磁力计、加速度传感器或加速度计、握持传感器、接近传感器、颜色传感器365(例如，红绿蓝(RGB)传感器)、生物生理传感器、温度/湿度传感器、照明传感器365、紫外(UV)传感器、肌电图(EMG)传感器、脑电图(EEG)传感器、心电图(ECG)传感器、IR传感器、超声波传感器、虹膜传感器、指纹传感器等。传感器365还可以包括用于控制其中包括的至少一个传感器的控制电路。这些传感器365中的任意一个可以位于电子设备300内。
虽然图2和图3示出了通信系统中的设备的示例，但是可以对图2和图3进行各种改变。例如，根据具体需要，图2和图3中的各种组件可以被组合，被进一步细分，或被省略，并且可以添加附加组件。作为具体示例，处理器340可以划分成多个处理器，例如一个或多个中央处理单元(CPU)和一个或多个图形处理单元(GPU)。此外，尽管图3示出了被配置为移动电话或智能电话的电子设备300，但是电子设备可以被配置为操作为其他类型的移动或固定设备。另外，由于使用计算和通信网络，客户端设备和服务器可以具有各种各样的配置，图2和图3不将本公开限制于任何特定电子设备。
本公开的各种实施例提供的方法和系统确保支付工件只能在电子设备300的可信执行环境(TEE)中解密或由令牌服务提供商(TSP)解密，从而创建端到端安全性，而不管信息必须经过的任何中间平台，例如电子设备的常规操作系统、互联网以及为TSP处理消息的任何服务器。为了保护信用卡支付工件(例如，账号、令牌和密钥)的保密性，可以采取一种或多种预防措施。例如，在一些实施例中，实现加密方法，以确保只能在电子设备300的TEE中或由卡网络TSP对支付工件进行解密，从而由创建端到端安全性。
本公开的一个或多个实施例认识到并考虑到由SAMSUNG KNOXTM使用的认证有助于通过在设备内创建虚拟容器来保护企业应用和数据免受未经授权的访问。在创建容器之前，移动设备管理(MDM)服务器必须验证设备安全状态，以识别设备是否安全，以便创建容器。可以使用认证来验证设备的安全状态。认证是设备提供用仅在
Figure BDA0001386756540000081
可信区域
Figure BDA0001386756540000082
中可用的可信密钥签名的设备测量数据的处理。在设备可能受到危害时，来自设备的测量数据在随机数创建之后的短时间内是可靠的。
本公开的一个或多个实施例认识到并考虑到为了使用远程认证，通常需要应用服务器对其通信协议进行耗时的定制和修改，包括对服务器侧和设备侧组件的改变。在本公开中描述的通过代理进行认证的机制允许应用服务器在不修改服务器代码或其设备侧组件的情况下获得远程认证的好处。
一个或多个实施例提供了通过作为令牌请求方服务器的一部分的代理机制实现该认证，其中令牌请求方服务器代表作为卡网络的令牌服务提供商的应用服务器和银行卡网络的可信应用程序对设备执行远程认证的“代理”。
一个或多个实施例通过使用认证代理服务器作为虚拟专用网络(VPN)服务器，来通过代理机制实现该认证，这将有助于避免应用服务器每次与认证服务器对话。在该示例中，与认证相关的整个配置在VPN服务器上完成。可以在VPN服务器上配置与应用服务器相应工作的认证代理的整个配置。在其他实施例中，仅在VPN服务器上执行一些配置。该配置可以包括认证过程中执行的任意步骤或操作。类似地，还存在用于设备侧的VPN服务器(这里还称为VPN客户端)。由于VPN服务器执行许多或所有操作，设备应用现在将使用减少的处理量。
一个或多个实施例提供通过与在物联网(IOT)的概念中控制人们的车辆、电子设备和家用电器的设备配合使用，来通过代理机制实现该认证。在该示例中，由于移动电话将成为在IOT中控制其他设备的核心，因此设备安全性非常重要；许多应用服务器可以在通过任意请求进行处理之前先认证设备。一个或多个实施例提供代理服务器来替代进行对设备的所有认证，因此所有应用服务器可以简单地享受从代理服务器获得认证结果的好处。
图4示出了根据各种实施例的通过代理操作进行认证的流程图400。图4所示的流程图400的实施例仅用于说明。在不脱离本公开的范围的情况下，可以使用流程图400的其他实施例。
在图4中，系统包括图5所示的具有可信区域410、认证代理415和用于客户端侧的虚拟专用网络(VPN)420的电子设备505。系统还包括图5所示的认证服务器430、用于服务器侧的VPN 425和应用服务器535。认证服务器430和VPN服务器425可以是图1中的服务器103和104的示例。用于服务器侧的VPN 425可以是认证服务器430的一部分。认证服务器430可以产生验证结果550。验证结果可以用于验证电子设备505的安全性。换言之，验证结果可以指示电子设备505的安全性是否有效。
在本公开的实施例中，通过代理系统的认证使用VPN服务器425与认证服务器430对话。应用服务器将从VPN服务器425接收结果，因为整个配置在VPN服务器425处完成。因此，设备上的客户端侧也将使用VPN客户端420来响应认证请求并提供所需信息。
例如，当MDM服务器需要认证移动设备时，在普通认证过程中，其将被配置为连接到基于云的认证服务器以及需要进行认证处理的任意其他服务器(如令牌请求方服务器)以记住认证服务器信息。但是在通过代理的认证过程中，所有这些服务器只是等待VPN服务器为它们做所有工作。另一方面，通常，设备需要安装特定的API，如MDMAPI，这也将在通过代理的认证过程中避免。
在图4中，VPN客户端420与VPN服务器425建立安全且认证的连接。VPN客户端420向认证服务器430请求随机数(440)。随机数由认证服务器430产生并利用时间戳来存储，并被发送给VPN服务器425(445)。VPN服务器425通过将随机数发送给VPN客户端420来开始认证处理(450)。VPN客户端420将随机数传递给认证代理415(455)。认证代理415使用随机数向可信区域请求测量值(460)。可信区域410向认证代理415返回二进制大对象(blob)(465)。二进制大对象包含随机数、测量值、设备ID、签名和证书链。测量值可以是电子设备505的引导加载器和内核的加密测量值。二进制大对象被传递给认证代理415进而传递给VPN客户端420(470)，然后传递给VPN服务器425(475)。VPN服务器425请求认证服务器430解析二进制大对象，并执行签名和证书检查(480)。认证服务器430将测量结果和裁决(verdict)发送给VPN服务器425(485)。VPN服务器725检查认证服务器430返回的随机数、时间戳和裁决，并在将裁决发送给应用服务器之前执行必要的格式变换。一旦应用服务器信任电子设备，就接受即将到来的请求并按预期工作。
本公开的一个或多个实施例提供了通过代理的认证允许学习设备安全状态，帮助供应商知道设备是否包含原厂图像，检查设备上是否有任何改变，如果有，它会如何影响安全容器。可以在以下情况下执行认证：当需要对设备进行完整性检查时，在创建安全容器之前，当MDM供应商根据需要定期触发认证处理时，当设备在诸如SAMSUNG PAYTM之类的支付应用中注册并且需要与令牌请求方服务器对话时，以及在服务器需要知道设备的安全状态的任何时间。
图5示出了根据本公开的用于通过代理进行认证的示例系统500。图5所示的系统500的实施例仅用于说明。在不脱离本公开的范围的情况下，可以使用系统500的其他实施例。系统500可以是图1中的计算系统100的一个示例。
在图5中，系统500包括具有可信区域410、认证代理415和用于客户端侧的虚拟专用网络(VPN)420的电子设备505。系统400还包括认证服务器430、用于服务器侧的VPN 425和应用服务器435。认证服务器430和应用服务器535可以是图1中的服务器103和104的示例。用于服务器侧的VPN 425可以被包括为认证服务器430或应用服务器535的一部分。
电子设备505可以是图1中的客户端设备106-114的一个示例。电子设备505包括可信区域410和认证代理415。可信区域410可以是虚拟且安全的容器。可信区域410被配置为保护用可信密钥签名的测量数据。该可信密钥可以用于形成安全设备数据以供认证代理415使用。在一个示例中，安全设备数据可以是二进制大对象(BLOB)。
VPN 425和420被电子设备505用来与认证服务器430和应用服务器535通信。应用服务器535可以包括策略540和令牌545。令牌545可以被电子设备505用来进行电子支付。策略540可以包括用于根据特定卡网络或支付服务提供商完成认证的信息、要求和/或标准(例如，验证逻辑、认证规则等)。每个卡网络或支付服务提供商可以施加不同策略。策略540还可以指定卡网络或支付服务提供商可接受的认证结果的数据格式和/或数据内容。
在一个实施例中，系统500允许诸如VISATM、MASTER CARDTM和AMERICANEXPRESSTM之类的支付网络享受远程认证的好处，而不必对其服务器进行任何改变或要求用于电子设备的任何特殊设备组件。实施例提供了充当认证代理并代表卡网络执行认证的图6所示的支付服务器610。
在通过VPN服务器实现的实施例中，通过代理的认证实际上使用VPN服务器与认证服务器对话。当整个配置在VPN服务器处完成时，应用服务器可以从VPN服务器接收结果。因此，设备上的客户端服务器也可以使用VPN服务器来响应认证请求并提供所需信息。本公开的一个方面允许应用提供商(例如，金融机构)利用认证的优势，而不必对其软件的设备组件或服务器进行修改。
最初，认证用于通过在设备内创建虚拟安全容器来保护企业应用和数据免受未经授权的访问。在创建容器之前，移动设备管理(MDM)服务器必须验证设备安全状态，以识别设备是否安全，以便创建容器。可以使用认证来验证设备的安全状态。认证是设备提供用仅在安全容器(即，可信区域)中可用的可信密钥签名的设备测量数据的处理。在设备可能受到危害时，来自设备的测量数据在随机数创建之后的短时间内是可靠的。
根据各种实施例，一种用于通过代理执行认证的电子设备，所述电子设备包括至少一个收发器以及可操作地耦接到所述至少一个收发器的至少一个处理器。所述至少一个处理器被配置为通过代理服务器向认证服务器发送用于电子设备的安全设备数据，通过代理服务器从认证服务器接收指示电子设备的安全性有效的验证结果，并根据验证结果与应用服务器进行支付信息的传送，其中所述验证结果基于安全设备数据而产生。
根据各种实施例，由代理服务器获得与应用服务器相关联的策略，并且所述策略指示对应用服务器特定的验证逻辑，并指示所述验证结果可被应用服务器接受的数据格式。
根据各种实施例，所述策略是从应用服务器或默认策略之一获得的。
根据各种实施例，代理服务器包括虚拟专用网络(VPN)服务器，所述VPN服务器用于产生与电子设备的安全连接。
根据各种实施例，通过使用随机数和电子设备的设备测量值来产生安全设备数据，并且通过代理服务器从认证服务器接收所述随机数。
根据各种实施例，安全设备数据是通过使用从认证服务器接收的随机数和电子设备的设备测量值而产生的二进制大对象。
根据各种实施例，所述至少一个处理器还被配置为通过代理服务器从应用服务器接收用于支付的令牌。
根据各种实施例，一种包含计算机可读程序代码的非暂时性计算机可读介质，所述计算机可读程序代码在被执行时使得电子设备的至少一个处理器通过代理服务器向认证服务器发送用于电子设备的安全设备数据，通过代理服务器从认证服务器接收指示电子设备的安全性有效的验证结果，并根据验证结果与应用服务器进行支付信息的传送，其中所述验证结果基于安全设备数据而产生。
图6示出了根据本公开各种实施例的基于通过代理的电子设备认证的令牌使用操作的流程图600。图6所示的流程图600的实施例仅用于说明。在不脱离本公开的范围的情况下，可以使用流程图600的其他实施例。
在图6中，实线可以包括请求(例如，请求或调用)命令，虚线可以包括响应(例如，响应或返回)命令。根据实施例，支付系统可以包括电子设备605、支付服务器610(例如，可以包括支付服务服务器和/或令牌请求方服务器)和令牌服务器615(也称为令牌服务提供商)。电子设备可以包括例如支付应用620和/或支付管理器625。令牌服务器615可以发布或管理与支付相关的信息(如令牌)。令牌服务器615可以控制令牌的操作周期。
根据各种实施例，电子设备605可以使用与电子设备605功能连接的外部输入或传感器365(例如，相机传感器或光学字符读取器(OCR))来存储可用于支付的信息。例如，可用于支付的信息可以包括卡信息(例如，PAN)、有效期、CVV或用户名。在一个实施例中，电子设备605可以基于外部输入(例如，用户输入)执行包括在电子设备605中的应用(例如，支付应用620)。电子设备605可以通过外部输入(例如，触摸、双击、长按、触摸之后的向左/向右移动、手势或拖动和停止)或与电子设备605功能连接的传感器在包括在电子设备605中的支付应用620中存储可用于支付的信息。可用于支付的信息可以包括例如主账号(PAN)。PAN可以包括与金融服务器所产生的银行识别码(BIN)相关联的账号。
根据各种实施例，电子设备605可以在电子设备605或外部设备(例如，服务器)中存储与支付应用620相关联并且可用于支付的信息。例如，电子设备605可以在包括在电子设备605中的存储器(例如，图2的存储器230或图3的存储器360)中或外部设备(例如，图1的客户端设备106-114中的任意一个或服务器104)中存储与支付应用620相对应的可用于支付的信息。
根据各种实施例，电子设备605可以为可用于支付的信息提供界面。该界面可以包括可用于支付的信息，例如PAN的字母、图片、图标、通知或指示符。
根据各种实施例，电子设备605可以使用支付应用620注册PAN。例如，电子设备605可以将PAN传送给支付应用620。根据实施例，通过将PAN传送给支付管理器625，支付管理器625可以向用户提供通过与电子设备605功能连接的传感器输入的与PAN相关的信息(630)。
根据各种实施例，支付管理器625可以对PAN加密(633)。例如，支付管理器625可以使用安全应用中包括的密钥对PAN加密，以便保护PAN免受外部危害。此外，例如，可以在加密中使用从电子设备605或外部设备(例如，服务器或金融服务器)接收的信息。
根据各种实施例，支付管理器625可以在支付服务器610中注册加密的PAN(635)。例如，支付管理器625可以与支付服务器610功能连接以传送加密的PAN。加密的PAN可以通过保护信道传送，以免受外部危害。例如，支付管理器625可以使用预定命令(例如，POST(发布)/注册)在支付服务器610中注册PAN。此外，支付服务器610可以通过例如支付服务器610中包括的令牌请求方服务器来控制加密的PAN。下文中，加密的PAN可以被简称为PAN。
根据各种实施例，当支付管理器625请求支付服务器610提供用于卡注册的信号时，可以使用作为预定命令的POST/注册。POST/注册的参数可以包括例如类型、输入、令牌请求方ID、用户ID、应用ID、设备ID、卡参考ID、设备名称、设备简档、用于加密和签名的设备证书、设备配对、支付工具和演示模式之中的一个参数。卡类型可以包括例如支付卡名称(例如，支付账户品牌)。支付卡名称可以包括例如VISATM、MASTER CARDTM、AMERICANEXPRESSTM或DISCOVERYTM中的至少一个。输入可以包括例如卡输入方法。卡输入方法可以包括例如MANUAL、OCR、APP或FILE中的至少一种。设备简档可以包括例如电子设备605的类型(例如，普通电子设备605或可穿戴设备)。支付工具可以包括例如支付信息(例如，PAN、有效期或CVV)。演示模式可以包括例如用于支付的支付方法(例如，MST或NFC)。
根据各种实施例，作为预定命令的POST/注册可以包括用于检查支付服务器610是否需要认证电子设备605的命令，以便认证电子设备605。例如，支付服务器610可以向令牌服务器615发送具有在超文本传输协议(HTTP)中使用的“Expect：100-continue”请求报头的命令，以从令牌服务器615接收数据(例如，一次性随机数)。
根据各种实施例，支付服务器610可以对从支付管理器625接收的预定命令执行认证。例如，支付服务器610可以基于该预定命令或指定给支付服务器610的条件来执行电子设备605或支付管理器625的认证。
根据各种实施例，在不执行认证的情况下，支付服务器610可以执行令牌发行操作的至少一部分。根据各种实施例，在执行认证的情况下，支付服务器610可以产生一次性随机数(例如，随机数(nonce))(637)。一次性随机数可以例如由支付服务器610产生或从外部设备接收。此外，一次性随机数可以包括支付功能可用的有效时间或使用时间。
根据各种实施例，支付服务器610可以向支付管理器625传送用于执行与认证相关联的功能的指令(640)。例如，响应于预定命令(例如，POST/注册)，支付服务器610可以使用一次性随机数来传送该指令。例如，支付服务器610可以向支付管理器625发送包括作为与认证相关联的一次性随机数的认证-随机数在内的响应。
根据各种实施例，支付管理器625可以根据从支付服务器610接收的与认证相关联的响应来执行认证(643)。可以在例如作为电子设备605的安全区域的可信区域中执行认证。可信区域可以包括在例如TEE中。
根据各种实施例，可以使用包括(存储)在可信区域中的唯一电子设备密钥(例如，密钥或LUK)来执行认证。认证可以包括检查电子设备605的完整性或电子设备605执行支付功能的操作。在制造(处理)电子设备605时，可以将密钥包括在电子设备605中。
根据一个实施例，可以通过使用该密钥产生的另一密钥来执行认证。例如，基于该密钥，可以产生并使用TEE公钥或TEE私钥。
根据各种实施例，可以在例如电子设备605或电子设备605的操作时间点改变密钥。例如，当电子设备605或电子设备605未被正常引导时，密钥可被删除、修改或破坏。此外，当使用预定的修改文件(例如，图像)在电子设备605或电子设备605中使用该密钥时，密钥可被删除、修改或破坏。根据各种实施例，当存在从外部对可信区域(例如，TEE)的随机访问时，密钥可被删除、修改或破坏。
根据各种实施例，当电子设备605或电子设备605被正常引导时，包括在密钥中的信息可被改变。例如，密钥可以随机改变，并且可以在每当电子设备605被引导时被产生以包括新信息。
根据各种实施例，密钥可以包括在安全模块中。例如，密钥可以存储在与可信区域不同的安全模块中。安全模块可以包括例如安全区域，并且可以与电子设备605或电子设备605的元件(例如，支付应用620)物理地区分开。此外，该密钥可以与例如对应于安全模块的唯一密钥相同或相似。
根据各种实施例，支付管理器625可以向可信区域传送由支付服务器610接收的一次性随机数。可信区域可以使用例如一次性随机数执行认证，并产生与认证相关联的二进制大对象。
根据各种实施例，可信区域可以基于一次性随机数(例如，具有为其配置的使用时间或有效时间的一次性随机数)和该密钥来产生二进制大对象。根据各种实施例，支付管理器625可以从可信区域接收基于一次性随机数产生的二进制大对象。
根据各种实施例，支付管理器625可以向支付服务器610传送二进制大对象和/或PAN(645)。支付管理器625可以使用预定命令(例如，POST/注册w/认证-二进制大对象)进行该传送。支付管理器625可以向支付服务器610传送例如二进制大对象、二进制大对象和PAN、设备简档、用户ID或应用ID。
根据各种实施例，支付服务器610可以确定从支付管理器625接收的OTP值或数值的有效性(647)。例如，支付服务器610可以使用二进制大对象和由支付服务器610产生的一次性随机数来确定有效性。
根据各种实施例，当二进制大对象信息有效时，支付服务器610可以向令牌服务器615传送设备简档、用户ID和应用ID(650)。设备简档可以包括设备ID(例如，国际移动设备标识(IMEI))和/或支付手段(例如，近场通信(NFC)和/或磁安全传输(MSC))。此外，设备简档可以包括用于标识设备的标识符(例如，设备ID)。用户ID可以包括例如使用电子设备605的用户的名称。应用ID可以包括例如支付应用620的标识符(例如，SAMSUNGWALLETTM)。
根据各种实施例，当二进制大对象信息无效时，支付服务器610可以停止(中断)认证或卡注册操作。根据各种实施例，当二进制大对象信息无效时，支付服务器610可以向电子设备605(例如，支付管理器625)或另一电子设备605传送认证的结果(例如，认证失败)。
根据各种实施例，令牌服务器615可以响应于接收到用户信息而在支付服务器610和令牌服务器615之间产生通道(例如，会话)。该通道可以例如使用支付服务器610和令牌服务器615共享的共同(公共)密钥来对经由该通道发送或接收的信息(例如，数据)进行加密。根据各种实施例，支付服务器610可以使用支付服务器610和令牌服务器615之间产生的通道来向令牌服务器615传送PAN(例如，加密的PAN)。
根据各种实施例，令牌服务器615可以注册从支付服务器610接收的PAN。注册处理可以包括使用用户ID、应用ID、设备ID或卡参考ID中的至少一个ID来检查是否可以发行令牌的过程。例如，令牌服务器615可以执行使用卡参考ID检查是否可发行用于卡的令牌的处理。根据另一实施例，由注册用户使用设备ID和用户ID来检查设备是否已经被注册。根据一个实施例，令牌服务器615可以注册从支付服务器610接收的PAN，并向支付服务器610传送对注册的响应(例如，卡参考ID)(655)。对注册的响应可以包括例如卡参考ID、合同条件、卡元数据或发行商元数据中的至少一个。
根据各种实施例，支付服务器610可以向支付管理器625传送从令牌服务器615接收的信息(例如，对注册的响应)(660)，并且支付管理器625可以向支付应用620传送该信息。对注册的响应可以包括例如卡参考ID、合同条件、卡元数据或发行商元数据中的至少一个。
根据各种实施例，对PAN的注册(例如，POST/注册)的响应的至少一部分可以是存储在支付服务器610或支付管理器625中的信息，并且可以根据预定条件而改变(例如，产生、修改或移除)。根据各种实施例，支付应用620可以向外部、向用户输出对从支付管理器625接收的注册的响应的至少一部分。例如，支付应用620可以显示响应中包括的合同条件。
根据各种实施例，用于执行认证的信息可以存储在外部设备中。例如，为了执行认证，可以将一次性随机数、二进制大对象、密钥、设备简档、用户ID、应用ID或公共(开放)密钥存储在电子设备605的内部或外部。外部设备可以包括例如认证服务器。
图7示出了根据各种实施例的在电子设备605中基于电子设备认证的令牌使用操作的流程图700。图7所示的流程图700的实施例仅用于说明。在不脱离本公开的范围的情况下，可以使用流程图700的其他实施例。
在图7中，实线可以包括请求(例如，请求或调用)命令，虚线可以包括响应(例如，响应或返回)命令。根据实施例，支付系统可以包括电子设备605、支付服务器610或令牌服务器615。电子设备605可以包括例如支付应用620和/或支付管理器625。
根据各种实施例，令牌服务器615可以向支付服务器610传送与认证(验证)相关联的信息(705)。认证可以包括例如服务器认证。服务器认证可以包括例如使用认证机构(CA)的认证。
根据各种实施例，电子设备605可以使用与电子设备605功能连接的外部输入或传感器365(例如，相机传感器或光学字符读取器(OCR))来存储可用于支付的信息。例如，可用于支付的信息可以包括卡信息(例如，PAN)、有效期、CVV或用户名。根据实施例，电子设备605可以基于外部输入(例如，用户输入)执行包括在电子设备605中的应用(例如，支付应用620)。电子设备605可以通过外部输入(例如，触摸、双击、长按、触摸之后的向左/向右移动、手势或拖动和停止)或与电子设备605功能连接的传感器在包括在电子设备605中的支付应用620中存储可用于支付的信息。可用于支付的信息可以包括例如主账号(PAN)。PAN可以包括与金融服务器所产生的银行识别码(BIN)相关联的账号。
根据各种实施例，电子设备605可以在电子设备605或外部设备(例如，服务器)中存储与支付应用620相关联并且可用于支付的信息。例如，电子设备605可以在包括在电子设备605中的存储器(例如，图2的存储器230或图3的存储器360)中或外部设备(例如，图1的客户端设备106-114中的任意一个或服务器104)中存储与支付应用620相对应的可用于支付的信息。
根据各种实施例，电子设备605可以为可用于支付的信息提供界面。该界面可以包括可用于支付的信息，例如PAN的字母、图片、图标、通知或指示符。
根据各种实施例，电子设备605可以使用支付应用620注册PAN。例如，电子设备605可以将PAN传送给支付应用620。根据实施例，通过将PAN传送给支付管理器625，支付管理器625可以向用户提供通过与电子设备605功能连接的传感器输入的与PAN相关的信息(710)。
根据各种实施例，支付管理器625可以对PAN加密(714)。例如，支付管理器625可以产生设备证书(713)。支付管理器625可以使用安全应用中包括的密钥对PAN加密，以便保护PAN免受外部危害(714)。此外，例如，可以在加密中使用从电子设备605或外部设备(例如，服务器或金融服务器)接收的信息。
根据各种实施例，支付管理器625可以在支付服务器610中注册加密的PAN(715)。例如，支付管理器625可以与支付服务器610功能连接以传送加密的PAN。加密的PAN可以通过保护信道传送，以免受外部危害。例如，支付管理器625可以使用预定命令(例如，POST/注册)在支付服务器610中注册PAN。此外，支付服务器610可以通过例如支付服务器610中包括的令牌请求方服务器来控制加密的PAN。下文中，加密的PAN可以被简称为PAN。
根据各种实施例，当支付管理器625请求支付服务器610提供用于卡注册的信号时，可以使用作为预定命令的POST/注册。POST/注册的参数可以包括例如类型、输入、令牌请求方ID、用户ID、应用ID、设备ID、卡参考ID、设备名称、设备简档、加密和签名的设备证书、设备配对、支付工具或演示模式之中的一个参数。卡类型可以包括例如支付卡名称(例如，支付账户品牌)。支付卡名称可以包括例如VISATM、MASTER CARDTM、AMERICAN EXPRESSTM或DISCOVERYTM中的至少一个。输入可以包括例如卡输入方法。卡输入方法可以包括例如MANUAL、OCR、APP或FILE中的至少一种。设备简档可以包括例如电子设备605的类型(例如，普通电子设备605或可穿戴设备)。支付工具可以包括例如支付信息(例如，PAN、有效期或CVV)。演示模式可以包括例如用于支付的支付方法(例如，MST或NFC)。
根据各种实施例，作为预定命令的POST/注册可以包括用于检查支付服务器610是否需要认证电子设备605的命令，以便认证电子设备605。例如，支付服务器610可以向令牌服务器615发送具有在超文本传输协议(HTTP)中使用的“Expect：100-continue”请求报头的命令，以从令牌服务器615接收数据(例如，一次性随机数)。
根据各种实施例，支付服务器610可以基于从支付管理器625接收的预定命令来执行认证。例如，支付服务器610可以基于该预定命令或指定给支付服务器610的条件来执行电子设备605或支付管理器625的认证。根据各种实施例，在不执行认证的情况下，支付服务器610可以执行令牌发行操作的至少一部分。
根据各种实施例，在不执行认证的情况下，支付服务器610可以产生一次性随机数(717)。一次性随机数可以例如由支付服务器610产生或从外部设备接收。此外，一次性随机数可以包括支付功能可用的有效时间或使用时间。
根据各种实施例，支付服务器610可以向支付管理器625传送用于执行与认证相关联的功能的指令(720)。例如，响应于预定命令，支付服务器610可以使用一次性随机数来传送该指令。例如，支付服务器610可以向支付管理器625发送包括作为与认证相关联的一次性随机数的认证-随机数在内的响应。
根据各种实施例，支付管理器625可以根据从支付服务器610接收的与认证相关联的响应来执行认证(723)。可以在例如作为电子设备605的安全区域的可信区域中执行认证。可信区域可以包括在例如TEE中。
根据各种实施例，可以使用包括(存储)在可信区域中的密钥来执行认证。认证可以包括检查电子设备605的完整性或电子设备605执行支付功能的操作。在制造(处理)电子设备605时，可以将密钥包括在电子设备605中。根据一个实施例，可以通过使用上述密钥产生的另一密钥来执行认证。例如，基于上述密钥，可以产生并使用TEE公钥或TEE私钥。
与呼叫中心方法相关联的通知可以包括例如电子设备605或电子设备605的号码。例如，当电子设备605或电子设备605未被正常引导时，密钥可被删除、修改或破坏。此外，当使用预定的修改文件(例如，图像)在电子设备605或电子设备605中使用该密钥时，密钥可被删除、修改或破坏。根据各种实施例，当存在从外部对可信区域(例如，TEE)的随机访问时，密钥可被删除、修改或破坏。根据各种实施例，当电子设备605或电子设备605被正常引导时，包括在密钥中的信息可被改变。例如，密钥可以随机改变，并且可以在每当电子设备605被引导时被产生以包括新信息。
根据各种实施例，密钥可以包括在安全模块中。例如，密钥可以存储在与可信区域不同的安全模块中。安全模块可以包括例如安全区域，并且可以与电子设备605或电子设备605的元件(例如，支付应用620)物理地区分开。此外，该密钥可以与例如对应于安全模块的唯一密钥相同或相似。
根据各种实施例，支付管理器625可以向可信区域传送由支付服务器610接收的一次性随机数。可信区域可以使用例如一次性随机数执行认证，并产生与认证相关联的二进制大对象。
根据各种实施例，可信区域可以基于一次性随机数(例如，具有为其配置的使用时间或有效时间的一次性随机数)和该密钥来产生二进制大对象。根据各种实施例，支付管理器625可以从可信区域接收基于一次性随机数产生的二进制大对象。
根据各种实施例，支付管理器625可以向支付服务器610传送二进制大对象和/或PAN(725)。支付管理器625可以使用预定命令(例如，POST/注册w/认证-二进制大对象)进行该传送。支付管理器625可以向支付服务器610传送例如二进制大对象、二进制大对象和PAN、设备简档、用户ID或应用ID。
根据各种实施例，支付服务器610可以确定从支付管理器625接收的二进制大对象的有效性(727)。例如，支付服务器610可以使用二进制大对象和由支付服务器610产生的一次性随机数来确定有效性。
根据各种实施例，当二进制大对象信息有效时，支付服务器610可以向令牌服务器615传送设备简档、用户ID和应用ID(730)。设备简档可以包括设备ID(例如，国际移动设备标识(IMEI))和/或支付手段(例如，近场通信(NFC)和/或磁安全传输(MSC))。此外，设备简档可以包括用于标识设备的标识符(例如，设备ID)。用户ID可以包括例如使用电子设备605的用户的名称。应用ID可以包括例如支付应用620的标识符(例如，SAMSUNG WALLETTM)。
根据各种实施例，当二进制大对象信息无效时，支付服务器610可以停止(中断)认证或卡注册操作。根据各种实施例，当二进制大对象信息无效时，支付服务器610可以向电子设备605(例如，支付管理器625)或另一电子设备605传送认证的结果(例如，认证失败)。
根据各种实施例，令牌服务器615可以响应于接收到用户信息而在支付服务器610和令牌服务器615之间产生通道(例如，会话)。该通道可以例如使用支付服务器610和令牌服务器615共享的共同(公共)密钥来对经由该通道发送或接收的信息(例如，数据)进行加密。根据各种实施例，支付服务器610可以使用支付服务器610和令牌服务器615之间产生的通道来向令牌服务器615传送PAN(例如，加密的PAN)。
根据各种实施例，令牌服务器615可以注册从支付服务器610接收的PAN。注册处理可以包括使用用户ID、应用ID、设备ID或卡参考ID中的至少一个ID来检查是否可以发行令牌的过程。例如，令牌服务器615可以执行使用卡参考ID检查是否可发行用于卡的令牌的处理。根据另一实施例，由已使用设备ID和用户ID注册的用户检查已被注册的设备是否正确。根据一个实施例，令牌服务器615可以注册从支付服务器610接收的PAN，并向支付服务器610传送对注册的响应(例如，卡参考ID)(730)。对注册的响应可以包括例如卡参考ID、合同条件、卡元数据或发行商元数据中的至少一个。
根据各种实施例，支付服务器610可以向支付管理器625传送从令牌服务器615接收的信息(例如，对注册的响应)(740)，并且支付管理器625可以向支付应用620传送该信息(745)。对注册的响应可以包括例如卡参考ID、合同条件、卡元数据或发行商元数据中的至少一个。
根据各种实施例，对PAN的注册(例如，POST/注册)的响应的至少一部分可以是存储在支付服务器610或支付管理器625中的信息，并且可以根据预定条件而改变(例如，产生、修改或移除)。
根据各种实施例，支付应用620可以向外部、向用户输出对从支付管理器625接收的注册的响应的至少一部分。例如，支付应用620可以向用户提供对注册的响应中所包括的合同条件。
根据各种实施例，用于执行认证的信息可以存储在外部设备中。例如，可以将用于认证的一次性随机数、二进制大对象、密钥、设备简档、用户ID、应用ID或共同(公共)密钥存储在电子设备605中或电子设备605的外部。外部设备可以包括例如认证服务器。
图8示出了根据各种实施例的在电子设备605中基于令牌认证的令牌更新操作的流程图800。图8所示的流程图800的实施例仅用于说明。在不脱离本公开的范围的情况下，可以使用流程图800的其他实施例。
在图8中，实线可以包括请求(例如，请求或调用)命令，虚线可以包括响应(例如，响应或返回)命令。根据实施例，支付系统可以包括电子设备605、支付服务器610或令牌服务器615。电子设备605可以包括例如支付应用620和/或支付管理器625。
根据各种实施例，支付管理器625可以更新(补充)令牌(803)。例如，支付管理器625可以执行作为支付管理器625的内部操作的令牌更新。可以基于预定命令(例如，补充令牌)执行令牌更新。
根据各种实施例，支付管理器625可以执行与令牌更新相关联的令牌认证。例如，支付管理器625可以执行令牌认证以启用令牌。可以例如通过支付管理器625的内部操作或基于外部输入(例如，用户输入或外部设备输入)来执行令牌认证。
根据各种实施例，支付管理器625可以向支付服务器610传送与令牌认证相关联的命令(805)。可以使用例如预定命令(例如，POST/随机数)来执行与令牌认证相关联的命令。根据各种实施例，支付服务器610可以向支付管理器625传送对应于与令牌认证相关联的命令的响应(例如，随机数)(810)。
根据各种实施例，支付管理器625可以向支付服务器610传送与令牌认证相关联的结果(815)。可以使用例如预定命令(例如，POST/裁决)来执行与令牌认证相关联的结果。
根据各种实施例，支付服务器610可以向支付管理器625传送对应于与令牌认证相关联的结果的响应(例如，OK)(820)。根据一个实施例，支付管理器625可以基于对应于与令牌认证相关联的结果的响应来执行令牌更新。
根据各种实施例，支付管理器625可以基于令牌认证来执行令牌更新。例如，支付管理器625可以请求支付服务器610执行令牌更新(825)。可以使用预定命令(例如，POST/令牌/{id})来做出与令牌更新相关联的请求。
根据各种实施例，可以在支付管理器625相对于令牌服务器615执行令牌更新的操作中使用POST/令牌/{id}。例如，POST/令牌命令可以包括令牌ID或当传送该命令时与令牌ID相关联的密钥(例如，令牌密钥)中的至少一个。基于令牌ID，令牌服务器615可以更新令牌。支付服务器610可以将令牌参考或密钥转发给令牌服务器615(830)并接收包括令牌的POST/通知命令(835)。支付服务器610可以向支付管理器625发送PUSH(推送)令牌{id}命令(840)并接收返回的GET(获得)/令牌/{id}命令(845)。支付管理器625可以从支付服务器610接收例如与POST/令牌/{id}相对应的响应，所述与POST/令牌/{id}相对应的响应可以包括密钥信息(850)。此外，POST/令牌命令可以包括例如资源ID。资源ID可以包括可以以统一资源定位符(URL)的形式配置的注册(登记)资源的标识符。此外，资源ID可以包括例如存储与令牌ID或令牌参考相关的信息的参考信息，并且可以包括将令牌ID或令牌参考存储在支付服务器610中的地址。
根据各种实施例，支付服务器610可以向支付管理器625传送令牌状态、令牌和令牌使用密钥。根据各种实施例，支付管理器625可以向支付应用620传送与密钥相关联的通知或事件(855)。例如，支付管理器625可以使用预定命令(例如，补充的通知)将与密钥相关联的通知或事件传送给支付应用620。根据各种实施例，支付管理器625可以将从支付服务器610接收的信息(例如，密钥)存储在可信区域中(853)。支付管理器625可以将例如新的令牌使用密钥存储在电子设备605中所包括的安全应用中。
根据各种实施例，支付应用620可以向支付管理器625传送与和密钥相关联的事件或通知相对应的通知(860)。例如，支付应用620可以向支付管理器625传送指示执行了与密钥相关联的事件或通知的信息(例如，补充的确认)。指示执行了与密钥相关联的事件或通知的信息可以包括例如确认类型。与和密钥相关联的事件或通知相对应的通知可以包括例如令牌更新(补充)，并且令牌更新可以指示例如包括在电子设备605中的PAN已被改变为允许支付功能的状态。例如，可以使用新的令牌使用密钥来完成与PAN相对应的密钥的更新。
根据各种实施例，支付管理器625可以向支付服务器610传送令牌更新操作(865)。例如，支付管理器625可以使用预定命令(例如，POST/报告)向支付服务器610传送执行了令牌更新操作的报告。支付管理器625可以传送例如表明PAN已改变为允许执行支付功能的状态的报告。根据实施例，支付管理器625可以执行与支付服务器610的状态同步。根据各种实施例，支付服务器610可以向令牌服务器615传送令牌更新操作(870)。例如，支付服务器610可以向令牌服务器615发送响应(例如，补充的确认或令牌参考)。
图6至图8示出了电子设备认证的流程图的示例。图6至图8讨论了支付服务器610和令牌服务器615的使用。在本公开的一个或多个实施例中，支付服务器610可以是代理服务器的一个示例。在一个示例中，支付服务器610可以是图5中的VPN服务器425、VPN客户端420、认证服务器430或其组合。令牌服务器615可以是应用服务器的一个示例，例如图5中的应用服务器535。此外，可以进行各种改变，例如，虽然示出为一系列步骤，但是在一个或多个实施例中，每个图中的各个步骤可以重叠，并行发生，以不同的顺序发生，多次发生，或不执行。
图9示出了根据本公开各种实施例的通过电子设备605的认证的处理900。例如，图9所示的处理900可以由图3中的电子设备300执行。图9所示的处理900的实施例仅用于说明。在不脱离本公开的范围的情况下，可以使用处理900的其他实施例。
参考图9，在操作905中，电子设备605(例如，终端或便携式电话)可以从电子设备605的外部电子设备获取例如与电子设备605相对应的认证信息。根据实施例，在操作905中，电子设备605可以获取认证信息(也称为设备数据)，作为用于确定电子设备605的完整性的请求。认证信息可以包括例如一次性随机数(随机数)。
在操作910中，电子设备605可以基于认证信息执行例如电子设备605的认证。认证可以包括识别电子设备605的安全性的功能。认证可以包括识别电子设备605的完整性的功能。
在操作915中，电子设备605可以例如将认证的结果发送给外部电子设备或另一电子设备605。例如，可以基于包括在电子设备605中的一次性随机数(随机数)和/或安全信息来确定或产生认证的结果(例如，二进制大对象或安全性)。所述另一电子设备605可以包括例如令牌服务器615、第三方服务器、可穿戴设备或云服务器。云服务器可以包括例如个人云或公共云。
虽然图9示出了认证过程的示例，但是可以对图9进行各种改变。例如，虽然示出为一系列步骤，但是在一个或多个实施例中，每个图中的各个步骤可以重叠，并行发生，以不同的顺序发生，多次发生，或不执行。
图10是示出了根据本公开各种实施例的通过代理服务器的认证的处理1000。例如，图10所示的处理1000可以由图2中的服务器200执行。图10所示的处理1000的实施例仅用于说明。在不脱离本公开的范围的情况下，可以使用处理1000的其他实施例。
参考图10，在操作1005中，代理服务器(例如，VPN服务器)可以向认证服务器430请求认证信息。根据实施例，在操作1005中，代理服务器可以获取认证信息，作为用于确定电子设备505的完整性的请求。认证信息可以包括例如一次性随机数(随机数)。
在操作1010中，代理服务器可以通过向认证代理415发送认证信息来触发通过认证代理415的认证。认证代理415可以使用认证信息向可信区域410请求测量。可信区域410向认证代理415返回安全设备数据(例如，以BLOB的形式)。
在操作1015中，代理服务器接收安全设备数据。在操作1020中，代理服务器请求认证服务器430解析安全设备数据并根据策略540执行签名和证书检查。在操作1025中，代理服务器从认证服务器430接收验证结果。当验证结果是电子设备被信任时，代理服务器可以通知应用服务器535信任电子设备505。或者代理服务器可以根据策略540使得验证结果格式化和/或使得数据内容更新，并将格式化和/或更新的验证结果发送给应用服务器。
虽然图10示出了认证过程的示例，但是可以对图10进行各种改变。例如，虽然示出为一系列步骤，但是在一个或多个实施例中，每个图中的各个步骤可以重叠，并行发生，以不同的顺序发生，多次发生，或不执行。尽管已经利用示例实施例描述了本公开，但是本领域技术人员可以明了各种变化和修改。本公开意在包括落在所附权利要求范围内的这些变化和修改。
根据各种实施例，一种用于通过代理进行认证的方法，所述方法包括：通过代理服务器向认证服务器发送用于电子设备的安全设备数据，通过代理服务器从认证服务器接收指示电子设备的安全性有效的验证结果，并根据验证结果与应用服务器进行支付信息的传送，其中所述验证结果基于安全设备数据而产生。
根据各种实施例，由代理服务器获得与应用服务器相关联的策略，并且所述策略指示对应用服务器特定的验证逻辑，并指示所述验证结果可被应用服务器接受的数据格式。
根据各种实施例，所述策略是从应用服务器或默认策略之一获得的。
根据各种实施例，其中代理服务器包括虚拟专用网络(VPN)服务器，所述VPN服务器用于产生与电子设备的安全连接。
根据各种实施例，通过使用随机数和电子设备的设备测量值来产生安全设备数据，并且通过代理服务器从认证服务器接收所述随机数。
根据各种实施例，安全设备数据是通过使用从认证服务器接收的随机数和电子设备的设备测量值而产生的二进制大对象。
根据各种实施例，与应用服务器进行支付信息的传送包括：通过代理服务器从应用服务器接收用于支付的令牌。
本申请中的描述不应被视为暗示任意特定的元件、步骤或功能是必须包含在权利要求范围内的基本要素。专利主题的范围仅由权利要求限定。此外，权利要求不意在援引35U.S.C.§112(f)，除非具体的词语“用于……的装置”后面是分词。

Claims (13)

1.一种操作代理服务器以进行认证的方法，所述方法包括：
在代理服务器处从与所述代理服务器连接的认证服务器接收随机数；
向认证服务器发送用于与所述代理服务器建立了安全连接的电子设备的安全设备数据，其中所述安全设备数据是由所述电子设备基于所述随机数和所述电子设备的设备测量数据产生的；
从认证服务器接收指示所述电子设备的安全性是否有效的验证结果，所述验证结果是基于所述安全设备数据产生的；以及
如果所述验证结果指示所述电子设备的安全性有效，则向应用服务器提供在所述电子设备中注册的支付信息。
2.根据权利要求1所述的方法，
其中由代理服务器获得与应用服务器相关联的策略，以及
其中所述策略指示对应用服务器特定的验证逻辑，并指示所述验证结果能够被应用服务器接受的数据格式。
3.根据权利要求2所述的方法，其中所述策略是从应用服务器或默认策略之一获得的。
4.根据权利要求1所述的方法，
其中代理服务器包括虚拟专用网络VPN服务器。
5.根据权利要求1所述的方法，
其中所述安全设备数据是通过使用从认证服务器接收的随机数和电子设备的设备测量数据而产生的二进制大对象。
6.根据权利要求1所述的方法，其中向应用服务器提供所述支付信息包括：
从应用服务器接收用于支付的令牌。
7.一种用于执行针对电子设备的认证的代理服务器，所述电子设备与所述代理服务器建立了安全连接，所述代理服务器包括：
至少一个收发器；以及
至少一个处理器，与所述至少一个收发器操作性耦接，
其中所述至少一个处理器被配置为：
在代理服务器处从与所述代理服务器连接的认证服务器接收随机数；
向认证服务器发送用于所述电子设备的安全设备数据，其中所述安全设备数据是由所述电子设备基于所述随机数和所述电子设备的设备测量数据产生的；
从认证服务器接收指示所述电子设备的安全性是否有效的验证结果，所述验证结果是基于所述安全设备数据产生的；以及
如果所述验证结果指示所述电子设备的安全性有效，则向应用服务器提供在所述电子设备中注册的支付信息。
8.根据权利要求7所述的代理服务器，其中所述至少一个处理器还被配置为：
获得与应用服务器相关联的策略，以及
其中所述策略指示对应用服务器特定的验证逻辑，并指示所述验证结果能够被应用服务器接受的数据格式。
9.根据权利要求8所述的代理服务器，其中所述策略是从应用服务器或默认策略之一获得的。
10.根据权利要求7所述的代理服务器，
其中代理服务器包括虚拟专用网络VPN服务器。
11.根据权利要求7所述的代理服务器，
其中所述安全设备数据是通过使用从认证服务器接收的随机数和电子设备的设备测量数据而产生的二进制大对象。
12.根据权利要求7所述的代理服务器，其中所述至少一个处理器还被配置为：
从应用服务器接收用于支付的令牌。
13.一种包含计算机可读程序代码的非暂时性计算机可读介质，所述计算机可读程序代码在被执行时使得代理服务器的至少一个处理设备进行以下操作：
在代理服务器处接收从与所述代理服务器连接的认证服务器接收随机数；
向认证服务器发送用于与所述代理服务器建立了安全连接的电子设备的安全设备数据，其中所述安全设备数据是由所述电子设备基于所述随机数和所述电子设备的设备测量数据产生的；
从认证服务器接收指示电子设备的安全性是否有效的验证结果，所述验证结果是基于所述安全设备数据产生的；以及
如果所述验证结果指示所述电子设备的安全性有效，则向应用服务器提供在所述电子设备中注册的支付信息。
CN201680011694.6A 2015-02-27 2016-02-29 通过代理的认证 Active CN107430657B (zh)

Applications Claiming Priority (7)

Application Number Priority Date Filing Date Title
US201562126121P 2015-02-27 2015-02-27
US62/126,121 2015-02-27
US201562208359P 2015-08-21 2015-08-21
US62/208,359 2015-08-21
US15/055,314 US20160253664A1 (en) 2015-02-27 2016-02-26 Attestation by proxy
US15/055,314 2016-02-26
PCT/KR2016/002020 WO2016137307A1 (en) 2015-02-27 2016-02-29 Attestation by proxy

Publications (2)

Publication Number Publication Date
CN107430657A CN107430657A (zh) 2017-12-01
CN107430657B true CN107430657B (zh) 2022-01-25

Family

ID=56789716

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201680011694.6A Active CN107430657B (zh) 2015-02-27 2016-02-29 通过代理的认证

Country Status (4)

Country Link
US (1) US20160253664A1 (zh)
EP (1) EP3262814A4 (zh)
CN (1) CN107430657B (zh)
WO (1) WO2016137307A1 (zh)

Families Citing this family (22)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9749294B1 (en) * 2015-09-08 2017-08-29 Sprint Communications Company L.P. System and method of establishing trusted operability between networks in a network functions virtualization environment
CN110502887B (zh) * 2015-09-11 2023-07-18 创新先进技术有限公司 电子支付方法和装置
US10542115B1 (en) 2015-10-01 2020-01-21 Sprint Communications Company L.P. Securing communications in a network function virtualization (NFV) core network
US9781016B1 (en) 2015-11-02 2017-10-03 Sprint Communications Company L.P. Dynamic addition of network function services
US10250498B1 (en) 2016-10-03 2019-04-02 Sprint Communications Company L.P. Session aggregator brokering of data stream communication
KR20180055572A (ko) * 2016-11-17 2018-05-25 삼성전자주식회사 전자 장치 및 전자 장치의 송금 방법
US10382203B1 (en) * 2016-11-22 2019-08-13 Amazon Technologies, Inc. Associating applications with Internet-of-things (IoT) devices using three-way handshake
KR102591683B1 (ko) 2016-12-07 2023-10-20 삼성전자주식회사 보안 엘리먼트 관리 방법 및 이를 수행하는 전자 장치
US10831894B2 (en) * 2017-01-11 2020-11-10 Morgan State University Decentralized root-of-trust framework for heterogeneous networks
GB201703864D0 (en) * 2017-03-10 2017-04-26 Irdeto Bv Secured system operation
US10075440B1 (en) 2017-05-17 2018-09-11 International Business Machines Corporation Multi-party secure global attestation
TWI643148B (zh) * 2017-06-02 2018-12-01 中華電信股份有限公司 Mobile device, method, computer program product, and distribution system thereof for configuring ticket co-branded credit card based on coding technology
US10348488B1 (en) 2017-08-25 2019-07-09 Sprint Communications Company L.P. Tiered distributed ledger technology (DLT) in a network function virtualization (NFV) core network
US11126699B2 (en) * 2018-02-07 2021-09-21 Nec Corporation Replica trusted execution environment: enabling seamless replication of trusted execution environment (TEE)-based enclaves in the cloud
CN108540523B (zh) * 2018-02-08 2022-03-22 苏州乐轩科技有限公司 物连网装置管理装置、通讯系统及通讯方法
US10602353B1 (en) * 2018-12-31 2020-03-24 Microsoft Technology Licensing, Llc Extensible device identity attestation
US20220255916A1 (en) * 2019-09-30 2022-08-11 Intel Corporation Methods and apparatus to attest objects in edge computing environments
CN111729293B (zh) * 2020-08-28 2020-12-22 腾讯科技（深圳）有限公司 一种数据处理方法、装置及存储介质
US11266911B1 (en) * 2020-09-21 2022-03-08 Nintendo Co., Ltd. Systems and method for identifying modified program data
US11818102B2 (en) * 2021-04-16 2023-11-14 Nokia Technologies Oy Security enhancement on inter-network communication
CN113489763B (zh) * 2021-06-18 2023-11-21 深圳软牛科技有限公司 关闭查找我的手机功能的方法、装置、设备及存储介质
US20220006637A1 (en) * 2021-09-16 2022-01-06 Intel Corporation File system supporting remote attestation-based secrets

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101155030A (zh) * 2006-09-29 2008-04-02 维豪信息技术有限公司 基于注册鉴权的网络资源整合访问方法

Family Cites Families (26)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2824407B1 (fr) * 2001-05-07 2003-07-25 Cegetel Procede de securisation d'un paiement d'un client a un commercant, centre de localisation et systeme correspondant
JP4039632B2 (ja) * 2003-08-14 2008-01-30 インターナショナル・ビジネス・マシーンズ・コーポレーション 認証システム、サーバおよび認証方法並びにプログラム
US7213766B2 (en) * 2003-11-17 2007-05-08 Dpd Patent Trust Ltd Multi-interface compact personal token apparatus and methods of use
KR100636318B1 (ko) * 2004-09-07 2006-10-18 삼성전자주식회사 ＣｏＡ 바인딩 프로토콜을 이용한 어드레스 오너쉽인증방법 및 그 시스템
CN101467421A (zh) * 2006-06-16 2009-06-24 诺基亚有限公司 用于在认证请求中包括会话控制服务器的操作模式指示的基于随机数的认证方案的方法、装置和计算机介质
KR100851976B1 (ko) * 2006-11-14 2008-08-12 삼성전자주식회사 신뢰할 수 있는 장치를 사용하여 개인정보를 전송하는 방법및 장치
US7783849B2 (en) * 2007-01-05 2010-08-24 International Business Machines Corporation Using trusted user space pages as kernel data pages
US8064909B2 (en) * 2007-10-25 2011-11-22 Cisco Technology, Inc. Interworking gateway for mobile nodes
US20090171836A1 (en) * 2007-12-28 2009-07-02 Ebay Inc. System and method for identification verification over a financial network
US8806601B2 (en) * 2008-02-29 2014-08-12 International Business Machines Corporation Non-interactive entity application proxy method and system
US9734496B2 (en) * 2009-05-29 2017-08-15 Paypal, Inc. Trusted remote attestation agent (TRAA)
US8566944B2 (en) * 2010-04-27 2013-10-22 Microsoft Corporation Malware investigation by analyzing computer memory
WO2012112833A2 (en) * 2011-02-17 2012-08-23 Taasera, Inc. System and method for application attestation
US10089612B2 (en) * 2011-03-15 2018-10-02 Capital One Services, Llc Systems and methods for performing ATM fund transfer using active authentication
US20130226812A1 (en) * 2012-02-24 2013-08-29 Mads Landrok Cloud proxy secured mobile payments
US9756036B2 (en) * 2012-06-15 2017-09-05 Nokia Technologies Oy Mechanisms for certificate revocation status verification on constrained devices
US9317689B2 (en) * 2012-06-15 2016-04-19 Visa International Service Association Method and apparatus for secure application execution
US9565180B2 (en) * 2012-09-28 2017-02-07 Symantec Corporation Exchange of digital certificates in a client-proxy-server network configuration
US9280655B2 (en) * 2013-03-13 2016-03-08 Samsung Electronics Co., Ltd Application authentication method and electronic device supporting the same
US10177915B2 (en) * 2013-03-15 2019-01-08 Ologn Technologies Ag Systems, methods and apparatuses for device attestation based on speed of computation
US9401954B2 (en) * 2013-11-06 2016-07-26 International Business Machines Corporation Scaling a trusted computing model in a globally distributed cloud environment
WO2015094261A1 (en) * 2013-12-19 2015-06-25 Intel Corporation Policy-based trusted inspection of rights managed content
US9602508B1 (en) * 2013-12-26 2017-03-21 Lookout, Inc. System and method for performing an action based upon two-party authorization
US9712491B2 (en) * 2014-03-03 2017-07-18 Qualcomm Connected Experiences, Inc. Access control lists for private networks of system agnostic connected devices
US9736154B2 (en) * 2014-09-16 2017-08-15 Nok Nok Labs, Inc. System and method for integrating an authentication service within a network architecture
US11107071B2 (en) * 2016-02-01 2021-08-31 Apple Inc. Validating online access to secure device functionality

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101155030A (zh) * 2006-09-29 2008-04-02 维豪信息技术有限公司 基于注册鉴权的网络资源整合访问方法

Also Published As

Publication number Publication date
WO2016137307A1 (en) 2016-09-01
US20160253664A1 (en) 2016-09-01
EP3262814A4 (en) 2018-02-28
CN107430657A (zh) 2017-12-01
EP3262814A1 (en) 2018-01-03

Similar Documents

Publication Publication Date Title
CN107430657B (zh) 通过代理的认证
US10803452B2 (en) Method and apparatus for performing payment
US11798072B1 (en) System and method for programmatically accessing data
US10873573B2 (en) Authenticating a user and registering a wearable device
US10387873B2 (en) Systems, methods, and computer program products for integrating third party services with a mobile wallet
US10735427B2 (en) Method and apparatus for managing program of electronic device
KR102576809B1 (ko) 결제 수단 운용 지원 방법 및 이를 지원하는 전자 장치
KR102530888B1 (ko) 결제 거래를 수행하는 방법 및 장치
US20170061419A1 (en) Payment information processing method and apparatus of electronic device
KR20200085798A (ko) 블록체인에 기반한 트랜잭션을 실행하기 위한 방법, 장치, 및 전자 디바이스
US20170083882A1 (en) Secure payment method and electronic device adapted thereto
CN107077671B (zh) 使用安全模块的支付装置和方法
CN110692073B (zh) 基于通知的卡账户的配置
CN107203878B (zh) 支付交易方法及其电子设备
CN111512618B (zh) 发送和接收包括表情符号的消息的电子设备以其控制方法
CN108469962B (zh) 基于手机盾的移动终端及手机盾管理方法
US20170243023A1 (en) Electronic device and operating method thereof
US10873849B1 (en) System and method for universal mobile device lock using blockchain
CN115668180A (zh) 移动操作系统中基于应用的销售点系统
EP3125183A1 (en) Methods and systems for financial account access management
JP5770354B1 (ja) サーバシステム及びリクエスト実行制御方法
US10846580B2 (en) IC chip support terminal, IC chip setting method, and program
KR20230015257A (ko) 분산 키 생성 및 임계 서명 과정

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant