CN107735999A - 基于设备功能和用户请求通过多个途径的认证 - Google Patents

Abstract

本发明提供了用于根据设备功能和用户请求通过多个途径进行认证的系统和方法。用户可能希望利用一些设备过程，诸如解锁和访问所述设备以利用所述设备的操作系统或访问和使用设备应用或其它模块(例如相机)。所述设备可受到认证配置文件的保护，所述认证配置文件包括一个或多个认证途径以认证所述用户使用那些过程。所述设备可使用设备部件收集用户数据，诸如生物识别、用户移动、环境因素或其它信息。所述设备可尝试通过所述认证途径中的一个来认证所述用户。如果所收集的用户数据对于一个途径不足，可使用另一个途径。如果根据任何途径认证所述用户，所述设备可提供对所述对应过程的访问。

Description

基于设备功能和用户请求通过多个途径的认证

相关专利申请的交叉引用

本申请是2015年6月3日提交的美国专利申请14/729,434的继续申请，并且要求其优先权，该文献全文以引用方式并入本文。

技术领域

本专利申请整体涉及利用设备的硬件功能来检测用户数据并授权设备的过程，并且更具体地涉及基于设备功能和用户请求通过多个途径进行认证。

背景技术

用户可利用设备，诸如手机、平板电脑或其它类型的计算设备。在设备使用期间，用户可能提供或利用将用户暴露于潜在欺诈的敏感信息或应用/过程。此外，用户可能希望保护设备和/或设备的过程以隐藏和保护敏感信息并且阻止未经授权访问和使用设备。为此，用户可针对设备的过程(例如访问设备和应用，或由设备执行的过程)设置认证方法。此类认证方法可包括访问过程的PIN和/或生物识别要求，并且可包括多因素认证。然而，这些认证方法需要了解认证密码或通过设备设置用户的生物识别。因此，如果用户希望允许其他用户将特定过程用于设备，但不希望让该用户使用所有过程，该用户可能需要让自己的设备受到损害或在场以允许访问和监视其它用户对设备的使用。另外，这些认证方法因此需要额外的时间以在每次使用过程时进行输入，从而导致设备使用期间出现更多不畅。此外，认证方法可仅需输入的信息而非使用所有设备功能来做出正确的决策，决定谁使用设备以及合适的安全级别以提供此类用户。

附图说明

图1是根据一个实施方案适于实现本文所述过程的联网系统的框图；

图2是根据一个实施方案的示例性设备，该设备具有用于确定用户数据的设备部件以及显示受保护的设备过程的用户界面，受保护的设备过程要求用户数据匹配一个或多个认证配置文件以便使用；

图3是根据一个实施方案的示例性设备数据库，该设备数据库在用户使用设备期间存储设备过程的认证配置文件以及确定的用户数据；

图4是根据一个实施方案的示例性过程的流程图，该过程通过取决于设备功能和用户请求的多个途径进行认证；

图5是根据一个实施方案适于实现图1中的一个或多个部件的计算机系统的框图；并且

图6A-6E是根据一个实施方案通过收集自设备部件的用户数据构建的示例性认证配置文件。

通过参考下述具体实施方式可以更好地理解本公开的实施方案及其优点。应当理解，类似的附图标记用于标识一个或多个附图中所示出的相似元件，图中所示内容是出于说明本公开的实施方案的目的，而不是为了限制本发明。

具体实施方式

本发明提供用于根据设备功能和用户请求通过多个途径进行认证的方法。本发明还提供适于实践本公开方法的系统。

设备可包括限制通信设备相关过程的使用并且需要匹配用户数据的一个或多个设备认证配置文件，以针对认证配置文件中的每一个对用户进行认证并且允许访问对应于认证配置文件中的每一个的过程。就这一点而言，可为通信设备的过程创建认证配置文件。通信设备的过程包括对于设备和/或设备操作系统的访问，以及对于设备和/或设备操作系统的特征和功能的访问。因此，设备的过程可允许解锁设备和操作设备。过程还可包括使用设备硬件和/或软件，诸如消息发送和通信模块(例如网络接口)、相机、设备应用(例如即时消息和/或支付应用)以及可由通信设备的硬件和/或软件执行的其它类型过程。在其它实施方案中，设备过程还可对应于与通信设备连接的设备，诸如远程传感器、数据库或其它存储资源等。

通信设备的一个或多个用户可能希望保护通信设备的过程免遭未授权的使用。因此，一个或多个用户可利用认证模块，该认证模块可建立一个或多个认证配置文件，这些认证配置文件阻止访问和使用与认证配置文件相关联的一个或多个过程，除非在通信设备的当前使用期间收集到的用户数据满足认证配置文件的要求。因此认证模块可为一个或多个过程创建认证配置文件，这些过程诸如解锁通信设备或利用通信设备的应用。认证配置文件还可特定于应用内的某些过程，例如通过允许访问和使用应用的一些特征，但阻止或限制使用其它特征。认证配置文件可对一个用户或一组用户允许访问和/或阻止访问。就这一点而言，示例性认证配置文件可与通信设备的支付模块相关联，并将支付模块的使用限制为某些用户以及对使用支付模块的支付/转账金额施加限制。

通信设备的用户(例如所有者、操作员和/或管理员)可请求认证模块为某些过程创建认证配置文件。因此，用户可指定需要认证方可使用的一个或多个过程。用户还可创建需要符合的用户数据以认证用户并允许访问一个或多个指定的过程。例如，用户可为需要符合的用户数据设置参数以利用过程。然而，在其它实施方案中，认证配置文件可确定需要哪些用户数据来符合认证配置文件并允许访问一个或多个设备过程。在此类实施方案中，认证模块可确定用户利用通信设备时用户的用户数据。认证模块可将该用户数据和特定用户关联。因此，当用户数据在将来被复制时，认证模块可针对匹配该用户数据的认证配置文件的过程识别用户并认证该用户。此外，通过要求不同的用户数据以认证在使用通信设备时希望访问一个或多个那些相关联过程的用户的身份，具有所需的用户数据来匹配认证配置文件并解锁一个或多个相关联过程的每个认证配置文件可具有多个认证途径。

为了创建认证配置文件，认证模块可剖析通信设备以确定什么设备部件可用于收集和确定用户数据。就这一点而言，认证模块可审核通信设备系统并确定什么设备部件可用于认证模块。设备部件可对应于一个或多个网络接口模块、与外部设备或外部传感器连接的通信模块、键盘、鼠标、触摸屏界面、相机、麦克风、加速度计、运动检测器、环境检测器(例如气压计、测高仪、GPS传感器等)和/或生物识别传感器。因此，由一个或多个设备部件确定的用户数据可包括以下方面的数据：用户对设备的使用(例如应用被访问/使用、电子邮件被发送、消息被发送等)、用户的输入动作(例如键入、滚动、鼠标动作、触摸屏移动等)、用户使用设备时的动作(例如用户握持设备所用的手、握持设备的角度、用户在行走或移动时是否使用设备等)、有关用户的信息(例如用户的高度、面部识别和/或成像、生物识别读取、用户衣着等)和/或使用设备的环境的真实/环境条件(例如位置、温度、湿度、一天中的时间、光级、噪声等)。认证配置文件因此可能需要通过设备部件收集和/或确定的用户数据以针对认证配置文件所需的用户数据匹配这些参数集中的一个，从而解锁和/或允许访问与认证配置文件相关联的一个或多个过程。此外，认证配置文件可能还需要通过所需的用户数据将密码添加至认证配置文件以符合该配置文件。

在设置针对认证配置文件需要符合的用户数据之后，在通信设备使用期间，认证模块可在用户使用通信设备期间主动和/或被动地收集和确定用户数据。根据使用通信设备的当前会话期间确定的用户数据，认证模块可执行该用户数据与认证配置文件的匹配，以确定用户数据(并因此使用设备的用户)是否匹配认证配置文件中的任一个。基于匹配一个或多个认证配置文件，认证模块可针对与一个或多个匹配的认证配置文件相关联的一个或多个设备过程自动(例如无需用户输入)认证用户并允许访问那些一个或多个过程。因此用户可无缝地基于其用户数据和该一个或多个匹配的认证配置文件使用该用户得到授权的此类过程。然而，如果用户的用户数据不正确或不足以符合相关联认证配置文件的要求，则可能阻止用户使用一个或多个设备过程。如果用户尝试使用一个或多个此类过程，可能通知用户缺少认证。在各种实施方案中，还可能告知用户如何满足认证配置文件的要求，诸如提供哪些其它用户输入以符合认证配置文件(例如，要求在生物识别读取中输入)。

此外，认证模块可无需请求创建认证配置文件的用户输入而为设备过程创建认证配置文件，以保护相关联的设备过程。例如，认证模块可在通信设备的操作系统后台执行，并且可通过确定的认证模块可用的设备部件以及收集有关用户过去对通信模块的使用的用户数据来剖析设备和设备用户。认证模块可将该过去的用户数据与用户当前通过用户数据使用的过程(例如在用户数据被收集、激活和/或为最新时使用的过程)相关联。因此，在未来使用通信设备和/或请求访问那些过程的期间，认证模块可能需要用户数据匹配所生成认证配置文件中的要求(例如需要的用户数据/参数)以让用户访问那些过程。就这一点而言，认证模块还可保护设备过程。

认证模块还可根据多个途径创建每个认证模块以基于可用的用户数据使用认证配置文件认证用户，从而提供对相关联过程的访问。每个途径可对应于认证配置文件中该途径所需的用户数据以认证用户，并且每个途径可要求不同的用户数据。例如，对于支付模块的访问可能需要认证配置文件中两个不同认证途径中的一个。第一认证途径可能需要用户指纹生物识别、用户的位置以及一天中的时间。然而，第二认证途径可能需要由用户执行的某些动作、检测用户对触摸屏的触摸输入、由用户访问某些应用以及在用户握持通信设备时检测到的用户或通信设备的高度。因此，基于可用的用户数据以及能够检测用户数据的设备部件，可使用一个以上的途径针对认证配置文件认证用户。在各种实施方案中，可能有两个以上的可用途径。此外，在设备发生故障和/或一个或多个设备部件发生故障的情况下可使用回退机制，以允许用户访问设备的过程。回退机制可对应于一般多因素认证。

因此，可使用不同的认证途径(或认证用户的方式)对尝试获得某些认证的用户提供访问或提供对不同认证级别的访问或进行访问。对于前者，如果第一认证途径或第一类型认证方法不成功(诸如由于输入PIN/密码有困难、传感器发生故障等)，可使用第二不同的认证途径或第二不同类型的认证，二者都用于访问相同级别或提供相同级别的认证。如果第二类型认证失败，则可使用第三类型。因此，用户设备能够利用设备可认证用户的不同方式以提供多种优势，包括用户更加灵活以及更多地控制设备访问。这促使处理器或其它计算设备更有效地工作，因为处理器可能不需要处理通过故障或效率低下的方法进行认证的多次尝试，而是可对此进行识别并提供一种或多种替代认证方法，这些替代认证方法可能允许更少的认证尝试并因此缩短处理认证请求的时间。

图1是根据一个实施方案适于实现本文所述过程的联网系统100的框图。如图所示，系统100可包括或实现多个设备、服务器和/或软件部件，它们通过操作来执行根据所述实施方案的各种方法。示例性设备和服务器可包括运行操作系统(诸如操作系统、操作系统、操作系统或其它基于合适设备和/或服务器的操作系统)的设备、单机和企业级服务器。可以理解，图1中所示的设备和/或服务器可以其它方式部署，并且由这些设备和/或服务器执行的操作和/或提供的服务可针对给定实施方案进行组合或分离，并且可由更多数量或更少数量的设备和/或服务器执行。一个或多个设备和/或服务器可由相同或不同的实体操作和/或维护。

系统100包括经由网络150通信的用户102、通信设备110、支付提供商服务器130和服务提供商服务器140。用户102可利用通信设备110来使用可用于通信设备110的各种特征。因此，用户102可能希望访问通信设备100的一个或多个过程，该设备可能受到保护并且需要认证方可访问过程。通信设备110可确定使用设备部件的用户102的用户数据。还可通过支付提供商服务器130和/或服务提供商服务器140确定此类用户数据。借助用户数据，通信设备110可确定用户数据是否匹配与一个或多个认证配置文件相关联的过程的认证所需的一种或多种用户数据。通信设备110可随后授权访问匹配的认证配置文件的相关联过程。在各种实施方案中，一个或多个过程可与支付提供商服务器130和/或服务提供商服务器140相关联，诸如使用通信设备110的支付模块进行支付。

通信设备110、支付提供商服务器130和服务提供商服务器140可各自包括一个或多个处理器、存储器以及其它合适的部件，用于执行指令，诸如程序代码和/或存储在一个或多个计算机可读介质上的数据，以实现本文所述的各种应用、数据和步骤。例如，此类指令可存储在一个或多个计算机可读介质上，诸如系统100的各种部件内部和/或外部的存储器或数据存储设备，以及/或者可经由网络150访问的存储器或数据存储设备。

通信设备110可实现为可利用为与支付提供商服务器130和/或服务提供商服务器140之间的有线和/或无线通信配置的适当硬件和软件的通信设备。例如，在一个实施方案中，通信设备110可实现为个人计算机(PC)、智能手机、笔记本电脑/平板电脑、具有适当计算机硬件资源的腕表、具有适当计算机硬件的眼镜(例如GOOGLE)、其它类型的可穿戴计算设备、可植入的通信设备和/或能够传输和/或接收数据的其它类型计算设备，诸如得自的尽管示出了通信设备，但可通过任何合适的处理设备管理或控制通信设备。尽管仅示出了一个通信设备，但多个通信设备可类似地工作。

图1的通信设备110包括认证模块120、数据收集部件112、其它应用114、数据库116和通信模块118。认证模块120和其它应用114可通过相关联的硬件对应于可执行过程、程序和/或应用。在其它实施方案中，通信设备110可根据需要包括另外的或不同的硬件和软件。

认证模块120可对应于一个或多个过程以执行通信设备110的模块和相关设备，从而创建认证配置文件以阻止未经授权地访问通信设备110的过程，访问包括过去用户数据的确定用户数据以创建认证配置文件，在用户102利用通信设备110时确定是否有任何认证配置文件匹配当前用户数据，以及提供用户数据匹配的认证配置文件的对应过程的授权和访问。就这一点而言，认证模块120可对应于通信设备110利用的专用硬件和/或软件，以首先为通信设备110的过程创建认证配置文件。每个认证配置文件可与通信设备110的至少一个过程相关联，诸如访问通信设备110和/或通信设备110的操作系统、使用通信设备110的硬件部件或软件部件(例如光学相机、通信模块、数据库或存储器、电话模块、音频部件和/或相关联的应用以及应用特征，包括即时消息、支付和/或社交网络应用)。过程还可对应于主过程的特征和子过程，诸如应用内或与硬件部件相关联的访问和/或认证权限，例如即时消息权限、支付和转账限制、电话权限等。在创建受到一个或多个认证配置文件保护的过程时，通信设备110的用户102或另一所有者/管理员可选择要保护的过程。然而，在其它实施方案中，认证模块120可相反自动选择一个或多个过程以通过认证配置文件阻止未经授权使用。认证模块120可基于以下方面选择要保护的过程：过程的安全要求、与过程相关联的敏感资料(例如个人或财务信息)、过程的要求(例如为过程设置管理实体，诸如为支付模块设置支付提供商)、设备上可用的认证方法类型、或其它有关过程的已知信息。

一旦选择了要通过认证配置文件保护的一个或多个过程，认证模块120可随后设置认证用户和满足认证配置文件所需的参数，由此使得与此类参数相关联的用户可访问和利用受到认证配置文件保护的过程。参数可对应于通过认证配置文件认证用户(例如用户102)时必须符合的所需用户数据。在创建认证配置文件时，所需的用户数据可由通信设备110的用户102或所有者/管理员设置。例如，用户102可能需要生物识别、时间和位置，以访问支付应用和/或在支付应用中进行$100以上的支付。然而，在其它实施方案中，用户102或所有者/管理员可允许认证模块120选择所需的用户数据，诸如基于服务提供商认证/风险模型进行选择。此外，在认证模块120自动创建一个或多个认证配置文件以保护通信设备110的实施方案中，认证模块120还可设置所需的用户数据。在认证模块120选择认证配置文件的所需用户数据的实施方案中，认证模块120可在授权用户使用过程时选择收集和/或确定的用户数据所需的用户数据。例如，当授权用户利用支付应用时(例如非欺诈性地使用)，认证模块120可检测用户高度、位置、用户输入特性(例如用户键入、移动鼠标、利用触摸屏、在菜单中滚动等方式)和/或其它用户数据。认证模块120可能需要该用户数据以在将来使用支付应用。认证模块120可允许认证配置文件的不同认证途径，以允许使用对应的过程。例如，如果生物识别不可用于用户，认证模块120可允许一天中的时间以及位置来匹配授权用户的已知用户数据，以满足认证配置文件的所需用户数据。此外，认证模块120可随时间推移调整和更改所需用户数据，以适应变化的条件，诸如迁移至新地址、个人信息更改、过程的使用等。

一旦认证模块120创建了认证配置文件，通信设备110的相关联过程可能需要创建对应的认证配置文件以允许访问和使用那些过程。因此，能够阻止无法满足所需用户数据的未授权用户访问和利用此类过程。为了确定用户是否得到使用一个或多个过程的授权，认证模块120可在用户102使用通信设备110期间访问当前用户数据。就这一点而言，用户102可基于用户102对通信设备110的使用生成当前用户数据。因此，用户数据可包括生物识别、环境因素、用户信息、用户操作、用户输入等。例如，用户102使用的应用和/或应用内的操作以及用户102的当前生物识别可能包括在用户数据中。用户102握持或利用通信设备110或通信设备110的设备部件(例如鼠标、键盘、触摸界面等)的高度和/或位置可对应于用户数据。用户数据可包括环境光、噪声、位置、压力、湿度和/或其它环境信息。此外，可通过相机、酒精气息检测器、扫描仪或其它类型的传感器获取用户数据以确定用户数据(例如面部/身体识别)。

在各种实施方案中，用户数据还可对应于经由网络150接收的数据，例如来自支付提供商服务器130和/或服务提供商服务器140的数据。例如，用户数据可对应于用户102在服务提供商服务器140上的社交网络交互、使用支付提供商服务器130进行和/或接收的支付、或通过另一设备或服务器经由网络150进行的其它在线操作。在各种实施方案中，可使用例如近程无线通信(例如跟踪用户生物识别的计步器或其它可穿戴设备)通过连接至通信设备110的设备接收用户数据。通信设备110和连接的设备可经由近场通信、蓝牙、低功耗蓝牙、无线电、红外线、LTE Direct或其它通信协议通信。一旦由认证模块120访问当前用户数据，认证模块120可基于用户数据和认证配置文件确定用户102的授权，以允许用户102访问一个或多个过程。认证模块120可接收请求以在通信设备110的使用期间利用一个或多个过程，例如当用户102尝试访问那些过程时接收来自用户102的请求。然而，在其它实施方案中，认证模块120可持续处理当前用户数据以确定认证，从而允许用户102访问过程。

认证模块120可随后基于对应的认证配置文件确定用户102是否可访问和使用过程。如本文所述，可基于认证配置文件中的一个或多个途径针对过程认证用户102，从而提供回退机制，以允许用户102甚至在认证的一个途径所需的用户数据不可用或不正确时(例如设备故障、不同的用户数据但也是授权用户、导致新用户数据的环境变化等)访问过程。一旦针对认证配置文件进行了认证，认证模块120可允许用户102访问和使用认证配置文件的一个或多个对应过程。认证模块120可进一步继续跟踪用户数据，使得如果用户数据更改而不再符合认证配置文件，则认证模块120可锁定或阻止访问和使用认证配置文件的一个或多个过程，直至再次符合所需用户数据。

数据收集部件112可对应于通信设备110的一个或多个过程和/或专用硬件，以在用户102使用通信设备110期间收集和/或确定认证配置文件的授权用户的过去用户数据以及用户102的当前用户数据。就这一点而言，数据收集部件112可对应于专用硬件和/或软件，该专用硬件和/或软件可在通信设备110的使用会话期间，通过利用通信设备110的一个或多个设备部件来收集和/或确定用户数据。数据收集部件112可对应于一个或多个网络接口模块、与外部设备或外部传感器连接的通信模块、键盘、鼠标、触摸屏界面、相机、麦克风、加速度计、运动检测器、环境检测器(例如气压计、测高仪、GPS传感器等)和/或生物识别传感器。因此，由数据收集部件112确定的用户数据可包括以下方面的数据：用户102对通信设备110的使用(例如应用被访问/使用、电子邮件被发送、消息被发送等)、用户102的输入操作(例如键入、滚动、鼠标操作、触摸屏移动等)、用户102使用通信设备110时的动作(例如用户102握持通信设备110所用的手、握持通信设备110的角度、用户102在行走或移动时是否使用通信设备110等)、有关用户102的信息(例如用户102的高度、面部识别和/或成像、生物识别读取、用户102的衣着等)和/或使用通信设备110的环境的真实/环境条件(例如位置、温度、湿度、一天中的时间、光级、噪声等)。数据收集模块112可将确定的用户数据存储到数据库116中以便结合认证配置文件使用。

认证模块120可基于数据收集部件112的功能进一步确定通信设备110的设备配置文件，例如可使用数据收集部件112收集/确定什么用户数据。设备配置文件可用于确定认证配置文件的认证途径。因此，基于数据收集部件112的功能以及由数据收集部件112确定的用户数据，认证模块120可针对可用的认证机制，通过由数据收集部件112为该认证机制确定的所需用户数据，确定认证配置文件和设备配置文件。

在各种实施方案中，通信设备110包括在特定实施方案中可能需要的其它应用114以向通信设备110提供特征。例如，其它应用114可包括用于实现客户端安全特征的安全应用、用于经由网络150与适当的应用编程接口(API)进行交互的编程客户端应用、或其它类型的应用。其它应用114还可包括允许用户通过网络150收发电子邮件、呼叫、文本和其它通知的电子邮件、文本传送、语音和IM应用。在各种实施方案中，其它应用114可包括财务应用，诸如银行业、在线支付、资金转账或与支付提供商相关联的其它应用，诸如支付应用，这些应用在使用时可能受到要求通过用户数据进行认证方可使用各种过程的认证配置文件的限制。如之前所述，其它应用可包括社交网络应用和/或商家应用。其它应用114可包括设备界面以及可接收来自用户102的输入和/或将信息输出至用户102的其它显示模块。例如，其它应用114可能包含可由处理器执行的软件程序，包括被配置成向用户提供界面的图形用户界面(GUI)。

通信设备110还可包括存储到通信设备110的暂态和/或非暂态存储器中的数据库116，该通信设备可存储各种应用和数据并且可在执行通信设备110的各个模块期间利用。因此，数据库116可包括例如，标识符诸如操作系统注册表项、与认证模块120和/或其它应用114关联的cookie、与通信设备110的硬件关联的标识符、或其它适用的标识符诸如用于支付/用户/设备认证或身份证明的标识符。数据库116可包括认证配置文件以及认证配置文件数据，诸如受到认证配置文件保护的相关联过程，并且需要用户数据以执行配置文件的认证。另外，由数据收集部件112收集的用户数据可存储到数据库116中以便结合认证配置文件使用。

通信设备110包括适于与支付提供商服务器130和/或服务提供商服务器140通信的至少一个通信模块118。在各种实施方案中，通信模块118可包括DSL(例如，数字用户线)调制解调器、PSTN(公用交换电话网)调制解调器、以太网设备、宽带设备、卫星设备和/或各种其它类型的有线和/或无线网络通信设备，包括微波、射频、红外线、蓝牙和近场通信设备。通信模块118可使用近程通信直接与附近的设备通信，近程通信诸如低功耗蓝牙、LTEDirect、WiFi、射频、红外线、蓝牙和近场通信。

支付提供商服务器130可由例如可提供支付服务和/或代表用户处理财务交易的在线支付服务提供商维护。就这一点而言，支付提供商服务器130包括一个或多个处理应用，这些应用可被配置成与通信设备110、服务提供商服务器140和/或其它设备/服务器交互，以有利于交易的支付。在一个示例中，支付提供商服务器130可由美国加利福尼亚州圣何塞的公司(Inc.,San Jose,CA,USA)提供。然而在其它实施方案中，支付提供商服务器130可由以下提供商维护或包括以下提供商：信贷提供商、财务服务提供商、财务数据提供商和/或其它服务提供商，这些提供商可向用户102提供支付服务。

图1的支付提供商服务器130包括支付帐户模块132、其它应用144、数据库146和网络接口部件138。支付帐户模块132和其它应用144可通过相关联的硬件对应于可执行过程、程序和/或应用。在其它实施方案中，支付提供商服务器130可根据需要包括具有专用硬件和/或软件的另外或不同模块。

支付帐户模块132可对应于一个或多个过程以执行支付提供商服务器130的模块和相关联的专用硬件，从而通过通信设备110接收和/或传输信息，用于创建支付帐户以及处理和完成用户102使用支付帐户发起的一个或多个交易。就这一点而言，支付帐户模块132可对应于专用硬件和/或软件以创建支付帐户，这些支付帐户可用于发送和接收支付和现金转账以及参与其它财务交易。用户102可通过支付帐户模块132创建支付帐户，方法是向支付提供商服务器130提供个人和/或财务信息并且选择帐户登录名、密码和其它安全信息。可通过由通信设备110执行的浏览器应用和/或专用支付应用访问支付帐户。因此，如本文所述，通信设备110可使用认证配置文件保护和限制支付帐户或支付提供商服务器130提供的其它支付服务的使用。

支付模块132可进一步处理从通信设备110接收的交易，方法是通过交易支付的支付请求接收来自通信设备110的交易。支付请求可对应于支付令牌，包括支付手段和交易的标识，并且可在传输至支付帐户模块132之前加密以阻止未经授权接收支付手段。支付令牌可包括对应于用户标识符、用户财务信息/标识符、交易信息和/或其它标识符的信息。另外，支付令牌可包括交易的支付金额和支付条款。一旦收到用户102的支付帐户或财务信息(例如支付手段，诸如信用卡/借记卡、银行帐户等)，支付帐户模块132可利用该支付帐户或财务信息进行交易的支付。在某些实施方案中，支付帐户模块132可接收购买授权，并根据购买授权处理交易的支付。可使用支付手段以及支付请求的条款对商家设备或另一用户设备进行支付。另外，支付帐户模块132可将包括收据在内的交易历史记录提供给通信设备110。

在各种实施方案中，支付提供商服务器130包括在特定实施方案中可能需要的其它应用134以向支付提供商服务器134提供特征。例如，其它应用134可包括用于实现服务器端安全特征的安全应用、用于经由网络150与适当的应用编程接口(API)进行交互的编程客户端应用或其它类型的应用。其它应用134可能包含可由处理器执行的软件程序，包括被配置成在访问支付提供商服务器134时向用户102提供界面的图形用户界面(GUI)。在其它应用134不是由支付帐户模块132提供的各种实施方案中，该其它应用可包括可用于经由网络150发送信息的连接和/或通信应用。

另外，支付提供商服务器130包括数据库146。如之前所述，对应于商家位置130/商家服务器140的用户102和/或商家可通过支付提供商服务器130创建一个或多个支付帐户。数据库146中的支付帐户可包括用户/商家信息，诸如名称、地址、生日、支付/资金信息、其它用户财务信息和/或其它所需用户数据。用户102和/或商家可通过用户、商家和/或设备标识符链接到相应的支付帐户。因此，当将标识符例如从通信设备110传输到支付提供商服务器130、商家设备132和/或商家服务器140时，可找到属于用户102和/或商家的支付帐户。可从一个支付帐户扣除支付金额并支付给另一支付帐户。在其它实施方案中，用户102和/或商家可能没有之前创建的支付帐户并且可向支付提供商服务器130提供其它财务信息以完成财务交易，如之前所述。

在各种实施方案中，支付提供商服务器130包括适于经由网络150与通信设备110、商家设备132和/或商家服务器140通信的至少一个网络接口部件138。在各种实施方案中，网络接口部件138可包括DSL(例如，数字用户线)调制解调器、PSTN(公用交换电话网)调制解调器、以太网设备、宽带设备、卫星设备和/或各种其它类型的有线和/或无线网络通信设备，包括微波、射频(RF)和红外线(IR)通信设备。

服务提供商服务器140可由例如给用户102提供服务的服务提供商实体维护，该实体可提供数据和/或信息给通信设备110以通过通信设备110确定用户数据并授权用户102。就这一点而言，服务提供商服务器140包括一个或多个处理应用，这些应用可被配置成经由网络150与通信设备110和/或支付提供商服务器130交互，以向通信设备110提供信息。在一个示例中，服务提供商服务器140可由美国加利福尼亚州圣何塞的公司(Inc.,San Jose,CA,USA)和/或美国加利福尼亚州圣何塞的公司(Inc.,San Jose,CA,USA)提供。然而，在其它实施方案中，服务提供商服务器140可由其它类型的服务提供商维护或包括其它类型的服务提供商，诸如社交网络、即时消息、定位服务、旅行、生物识别分析和/或其它类型的服务提供商。

图1的服务提供商服务器140包括服务模块142、其它应用144、数据库146和通信模块148。服务模块142和其它应用144可通过相关联的硬件对应于可执行过程、程序和/或应用。在其它实施方案中，服务提供商服务器140可根据需要包括具有专用硬件和/或软件的另外或不同模块。

服务模块142可对应于一个或多个过程以执行服务提供商服务器140的模块和相关联的专用硬件，从而向用户102提供服务，该服务可能生成数据和/或信息，用于确定用户102的用户数据，并将此类信息提供给通信设备110。就这一点而言，服务模块142可对应于专用硬件和/或软件以托管服务和/或将服务提供给用户102，服务可包括或涉及日程、社交网络、即时消息、地图和旅行路线、位置、生物识别、购物和/或其它类型的服务。因此，服务模块142可托管提供前述服务的网站或通过可与通信设备(例如可通过网站/应用访问的电子邮件服务器、社交网络服务器等)一起使用的专用应用提供此类服务。服务模块142可促进用于确定用户102的用户数据的数据/信息的生成，方法是由用户102使用服务生成与操作相关的数据/信息。此类信息可包括交换的信息、购物操作、位置等。服务模块142还可由用户102使用服务提供操作和/或交互。用户102提供的地图、位置和/或旅行路线可用于确定用户102的位置。服务模块142还可提供用于确定用户数据的生物识别。例如，生物识别可用于确定用户102何时在锻炼、用户102何时在睡眠、用户的心率、用户的指纹或面部识别信息等。服务模块142还可提供可用于确定用户的一般操作的购物信息。

在各种实施方案中，服务提供商服务器140包括在特定实施方案中可能需要的其它应用144以向服务提供商服务器140提供特征。例如，其它应用144可包括用于实现服务器端安全特征的安全应用、用于经由网络150与适当的应用编程接口(API)进行交互的编程客户端应用、或其它类型的应用。其它应用144可能包含可由处理器执行的软件程序，包括被配置成在访问服务提供商服务器140时向用户102提供界面的图形用户界面(GUI)。在其它应用144不是由服务模块142提供的各种实施方案中，该其它应用可包括可用于经由网络150发送信息的连接和/或通信应用。

另外，服务提供商服务器140包括数据库146。可利用数据库146来存储由服务提供商服务器140的一个或多个模块和/或应用使用的信息，其中包括服务模块142和/或其它应用144。就这一点而言，数据库146可包括接收的和/或确定的信息，包括标识符和其它识别信息。信息和数据由用户102使用服务提供商服务器140生成，用于确定用户102的用户数据。

在各种实施方案中，服务提供商服务器140包括适于经由网络150与通信设备110和/或支付提供商服务器130通信的至少一个通信模块148。在各种实施方案中，通信模块148可包括DSL(例如，数字用户线)调制解调器、PSTN(公用交换电话网)调制解调器、以太网设备、宽带设备、卫星设备和/或各种其它类型的有线和/或无线网络通信设备，包括微波、射频(RF)和红外线(IR)通信设备。

网络150可被实现为单个网络或多个网络的组合。例如，在各种实施方案中，网络150可包括互联网或一个或多个内联网、有线网络、无线网络和/或其它适当类型的网络。因此，网络150可对应于小规模通信网络，诸如专用或局域网，或对应于大规模网络，诸如广域网或互联网，这些网络可通过系统100的各个部件访问。

图2是根据一个实施方案的示例性设备，该设备具有用于确定用户数据的设备部件以及用于显示受保护的设备过程的用户界面，受保护的设备过程需要用户数据以匹配一个或多个认证配置文件以便使用。环境200包括来自图1的环境100的通信设备110，该通信设备执行参考环境100所述的模块和过程。因此，通信设备110包括可用于显示一个或多个过程的设备界面1000，其中过程可受到一个或多个认证配置文件的保护以免受非授权使用。

设备界面1000可对应于显示界面，在显示界面中用户102可查看由通信设备110执行的过程并且通过用户输入与此类过程交互。因此，设备界面1000可包括设备操作系统1100，该设备操作系统可要求当前用户认证1102以在用户使用通信设备110时由该用户使用设备操作系统1100的各种过程。例如，设备操作系统1100可执行请求的设备过程1104，但要求当前用户认证匹配请求的设备过程1104所需的认证1106。就这一点而言，通信设备110可使用用户数据1110进行认证确定1108，用户数据可用于确定当前用户认证1102，当前用户认证可包括对用户请求的设备过程1104的授权。此外，基于用户数据1110，可基于通信设备110的功能和/或用户数据1110中的可用数据选择其它认证途径1112。

为了收集用户数据1110，通信设备110可利用一个或多个设备部件来收集和/或确定用户数据1110。因此，通信设备110可包括可收集来自使用通信设备110的用户的输入并将信息输出给用户的输入/输出模块1102，诸如鼠标、键盘、触摸屏界面等。此外，通信设备110可包括可检测用户的语音、语音输入和/或环境噪声的音频模块，诸如麦克风和扬声器。另外，通信设备110可通过生物识别传感器1006和/或加速度计1008检测用户数据，包括指纹、面部识别信息、心跳、动作、高度等。通信设备110可通过环境传感器1010检测环境光级、大气压力、湿度等。通信模块110还可经由网络连接或通过与使用通信模块1012的附近设备之间的短程无线通信接收用户数据。在各种实施方案中，通信设备110可包括另外或不同的传感器和设备部件。

图3是根据一个实施方案的示例性设备数据库，该设备数据库在用户使用设备期间存储设备过程的认证配置文件以及确定的用户数据。图3的环境300包括来自图1的环境100的通信设备110，该通信设备执行参考环境100所述的模块和过程。

通信设备310执行大致对应于专用硬件和/或软件模块以及参考图1的认证模块120所述的过程的签入模块320。就这一点而言，数据库116存储参考图1的环境100所述的信息，诸如认证配置文件1200和用户数据1300。

认证配置文件1200包括配置文件一1202、配置文件二1210、设备功能1218和回退机制1200。配置文件一1202可对应于认证配置文件，该认证配置文件在用户数据匹配配置文件一1202的要求时可允许访问和使用一个或多个过程。因此，配置文件一1202包括所需的用户数据1204，该所需的用户数据可包括根据配置文件一1202进行认证所需的用户数据。当用户数据1300匹配所需的用户数据1204时，通信设备110可允许访问被授权过程1206。在各种实施方案中，所需的用户数据1204可包括多于一个认证途径，根据配置文件一1202每个认证途径对于认证需要不同用户数据。配置文件一1202还可包括在创建配置文件一1202期间生成的创建信息1208，该创建信息可用于在所需的用户数据1204基于环境变化而更改时更新配置文件一1202。类似地，配置文件二1210还包括所需用户数据1212、被授权过程1214和创建信息1216。授权模块还可剖析通信设备以确定设备功能1218，这些功能可对应于可用设备部件，这些设备部件用于确定用户数据并根据配置文件一1202和/或配置文件二1210授权用户。此外，回退机制1220可用于在一个或多个设备部件有故障时授权用户。

数据库116还存储由通信设备110的设备部件确定的用户数据1300。用户数据1300可包括收集的数据1302，这些数据可能也需要在用户数据1300中进行处理和确定(例如用于确定用户高度的动作检测)。收集的数据1302包括从设备传感器部件(例如生物识别传感器、相机等)收集的传感器数据1304。收集的数据1302还可包括由通信设备110执行的应用确定的应用数据1306，以及由通信设备110经由网络连接接收的网络数据1308。在各种实施方案中，收集的数据1302还可包括从连接的设备1310接收的数据。

图4是根据一个实施方案的示例性过程的流程图，该过程通过取决于设备功能和用户请求的多个途径进行认证。需注意，本文所述的一个或多个步骤、过程和方法可能被省略、以不同顺序执行或根据需要或酌情组合。

在步骤402中，对于拥有通信设备的用户通过通信设备收集的用户数据由包括至少一个硬件处理器的通信设备的用户认证模块进行访问。用户数据可由设备部件收集，诸如一个或多个网络接口模块、与外部设备或外部传感器连接的通信模块、键盘、鼠标、触摸屏界面、相机、麦克风、加速度计、运动检测器、环境检测器和生物识别传感器。通信设备可使用通信设备应用进一步确定用户数据。例如，设备应用可包括以下应用之一：即时消息应用、社交网络应用、支付应用、购物应用、电子邮件应用、媒体共享或编辑应用以及与对应于通信设备的相机设备相关联的成像应用。

在步骤404中，用户认证模块访问了通信设备的多个认证配置文件，其中认证配置文件中的每一个允许访问由通信设备执行的至少一个过程。可基于用户操作确定认证配置文件。用户操作可包括在至少一次用户过去使用通信设备的期间，用户使用通信设备时的过去操作。通信设备可收集或确定在使用与至少一个匹配的配置文件相关联的至少一个过程期间的过去操作。用户操作可包括对通信设备的使用、通过通信设备进行输入操作、使用通信设备时的动作以及通信设备使用期间通信设备的真实环境条件中的至少一者。

在各种实施方案中，对于与每个认证配置文件相关联的至少一类的至少一个过程以及用户对与每个认证配置文件相关联的至少一个过程的使用，每个认证配置文件可以不同。对于至少一个过程的使用，可基于用户在至少一个过程中的请求来确定。至少一个过程可包括进行访问以利用通信设备或通信设备的操作系统。在其它实施方案中，至少一个过程可对应于由通信设备执行的应用。应用可包括利用支付提供商的通信设备的支付应用。

在步骤406中，通过用户认证模块使用用户数据以及多个认证配置文件确定至少一个的匹配的配置文件。与至少一个匹配的配置文件相关联的至少一个过程可对应于由通信设备执行的支付应用。支付应用的使用可受到至少一个匹配的配置文件的限制。在各种实施方案中，用户可基于针对设备和应用安全的要求确定认证配置文件。因此，在步骤408中，对于与至少一个匹配的配置文件相关联的至少一个过程的访问由用户认证模块进行授权。此外，可接收用户数据中的更改，并且授权可进一步确定用户数据中的更改是否符合与至少一个匹配的配置文件相关联并且当前由用户认证模块授权的至少一个过程。另外，授权模块可进一步确定更改是否进一步匹配认证配置文件中的另外配置文件。如果匹配，可授权访问与另外配置文件相关联的至少一个过程。

图5是根据一个实施方案适于实现图1中的一个或多个部件的计算机系统的框图。在各种实施方案中，通信设备可包括能够与网络通信的个人计算设备(例如，智能手机、计算平板电脑、个人电脑、笔记本电脑、可穿戴计算设备诸如眼镜或手表、蓝牙设备、密钥卡、身份卡等)。服务提供商可利用能够与网络通信的网络计算设备(例如，网络服务器)。应当理解，用户和服务提供商利用的每个设备可以如下方式实现为计算机系统500。

计算机系统500包括总线502或用于在计算机系统500的各个部件之间传输信息数据、信号和信息的其它通信机构。部件包括处理用户操作并且将对应的信号发送到总线502的输入/输出(I/O)部件504，用户操作诸如从小键盘/键盘选择键、选择一个或多个按钮、图像或链接，以及/或者移动一个或多个图像等。I/O部件504还可包括输出部件，诸如显示器511和光标控件513(诸如键盘、小键盘、鼠标等)。还可包括任选的音频输入/输出部件505以允许用户通过转换音频信号使用语音来输入信息。音频I/O部件505可允许用户收听音频。收发器或网络接口506经由网络150在计算机系统500与其它设备(诸如另一通信设备、服务设备或服务提供商服务器)之间发射和接收信号。在一个实施方案中，传输为无线形式，但其它传输介质和方法也可能是合适的。可为微控制器的、数字信号处理器(DSP)或其它处理部件的一个或多个处理器512处理这些各种信号，诸如用于在计算机系统500上显示或经由通信链路518传输到其它设备。一个或多个处理器512还可控制指向其它设备的信息诸如cookie或IP地址的传输。

计算机系统500的部件还包括系统存储器部件514(例如RAM)、静态存储部件516(例如ROM)和/或磁盘驱动器517。通过执行包含在系统存储器部件514中的一个或多个指令序列，计算机系统500利用一个或多个处理器512和其它部件执行特定运算。可将逻辑编码在计算机可读介质中，计算机可读介质可以指参与向一个或多个处理器512提供指令以用于执行的任何介质。此类介质可采取许多形式，包括但不限于非易失性介质、易失性介质和传输介质。在各种实施方案中，非易失性介质包括光盘或磁盘，易失性介质包括动态存储器诸如系统存储器部件514，并且传输介质包括同轴电缆、铜线和光纤，包括构成总线502的线材。在一个实施方案中，逻辑编程在非暂态计算机可读介质中。在一个示例中，传输介质可采取诸如在无线电波、光学和红外数据通信期间产生的声波或光波的形式。

一些常见形式的计算机可读介质包括例如软盘、可折叠盘、硬盘、磁带、任何其它磁介质、CD-ROM、任何其它光学介质、穿孔卡、纸带、任何其它具有图案的物理介质孔、RAM、PROM、EEPROM、FLASH-EEPROM、以及任何其它存储器芯片或盒式磁带或计算机能够读取的任何其它介质。

在本公开的各种实施方案中，执行指令序列来实践本公开可由计算机系统500执行。在本公开的各种其它实施方案中，由通信链路518耦接到网络(例如，诸如LAN、WLAN、PTSN和/或各种其它有线或无线网络，包括电信、移动和蜂窝电话网络)的多个计算机系统500可执行指令序列以彼此协调地实践本公开。

图6A-6E是根据一个实施方案通过收集自设备部件的用户数据构建的示例性认证配置文件。例如，图6A示出了具有认证所需的各种用户数据的多个认证配置文件。在图6B中，可基于数据的分析输出数据，以例如识别实体。图6C示出了可用于为设备构建认证配置文件的多个可用用户数据类型。在图6D中，示例性流程图示出了如何确定设备认证配置文件。此外，在图6E中，可构建认证配置文件链，从而基于可用的属性和认证配置文件(安全配置文件)跨各种设备认证用户。

在适用的情况下，本公开所提供的各种实施方案可使用硬件、软件或硬件和软件的组合来实现。此外，在适用的情况下，本文所阐述的各种硬件部件和/或软件部件在不脱离本公开的实质的情况下，可组合成包括软件、硬件和/或二者的复合部件。在适用的情况下，本文所阐述的各种硬件部件和/或软件部件在不脱离本公开的范围的情况下，可分为包括软件、硬件或二者的子部件。此外，在适用的情况下，预期软件部件可被实现为硬件部件，反之亦然。

根据本公开，软件诸如程序代码和/或数据可存储在一个或多个计算机可读介质上。还可以预期，本文所标识的软件可使用一个或多个通用目的或特定用途的计算机和/或联网和/或未联网的计算机系统来实现。在适用的情况下，可改变本文所描述的各种步骤的顺序、组合成复合步骤和/或分离成子步骤来提供本文所述的特征。

前述公开不旨在将本公开限制于所公开的确切形式或特定的应用领域。因此，根据本公开预期对本公开内容的各种替代实施方案和/或修改形式(无论是明确描述的或隐含的)是可能的。由此已经描述了本公开的实施方案，本领域普通技术人员将认识到，在不脱离本公开的范围的情况下，可在形式和细节上进行改变。因此，本公开仅受权利要求书限制。

Claims (20)

1.一种系统，包括：

通信设备的用户认证模块，所述通信设备包括至少一个硬件处理器，所述硬件处理器访问由所述通信设备为拥有所述通信设备的用户确定的用户数据，访问所述通信设备的认证配置文件，其中所述认证配置文件中的每一个允许访问由所述通信设备执行的至少一个过程，使用所述用户数据以及所述认证配置文件中的至少一个认证配置文件确定至少一个匹配的配置文件，以及提供对于与所述至少一个匹配的配置文件相关联的至少一个过程的访问；

存储到非暂态存储器的数据库，所述数据库存储所述认证配置文件和所述用户数据；和

确定所述用户数据的至少一个设备部件。

2.根据权利要求1所述的系统，其中所述设备部件包括网络接口模块、与外部设备或外部传感器连接的通信模块、键盘、鼠标、触摸屏界面、相机、麦克风、加速度计、运动检测器、环境检测器和生物识别传感器中的一者。

3.根据权利要求1所述的系统，其中所述通信设备还使用通信设备应用确定所述用户数据。

4.根据权利要求3所述的系统，其中所述设备应用包括即时消息应用、社交网络应用、支付应用、购物应用、电子邮件应用、媒体共享或编辑应用以及与对应于所述通信设备的相机设备相关联的成像应用中的一者。

5.根据权利要求1所述的系统，其中基于用户操作来确定所述认证配置文件。

6.根据权利要求5所述的系统，其中所述用户操作包括在所述用户至少一次过去使用所述通信设备期间所述用户使用所述通信设备时的过去操作。

7.根据权利要求6所述的系统，其中所述通信设备收集或确定在使用与所述至少一个匹配的配置文件相关联的至少一个过程期间的所述过去操作。

8.根据权利要求5所述的系统，其中所述用户操作包括对所述通信设备的使用、通过所述通信设备的输入操作、使用所述通信设备时的动作以及所述通信设备使用期间所述通信设备的真实环境条件中的至少一者。

9.根据权利要求1所述的系统，其中对于与所述认证配置文件中的每一个相关联的至少一类的至少一个过程以及用户对与所述认证配置文件中的每一个相关联的所述至少一个过程的使用，所述认证配置文件中的每一个不同。

10.根据权利要求9所述的系统，其中对所述至少一个过程的所述使用基于所述用户在所述至少一个过程中的请求来确定。

11.根据权利要求1所述的系统，其中所述至少一个过程包括进行访问以利用所述通信设备或所述通信设备的操作系统。

12.根据权利要求1所述的系统，其中所述至少一个过程对应于由所述通信设备执行的应用。

13.根据权利要求12所述的系统，其中所述应用包括所述通信设备的利用支付提供商的支付应用。

14.一种方法，包括：

由通信设备的用户认证模块接收通过所述通信设备来自用户的认证请求，所述通信设备包括至少一个硬件处理器；

由所述用户认证模块访问由所述用户在所述认证请求中提供的第一用户数据；

由所述用户认证模块访问与所述认证请求相关联的所述通信设备的认证配置文件，其中所述认证配置文件允许访问由所述通信设备执行的至少一个过程；

由所述用户认证模块确定所述用户不能使用所述第一用户数据进行认证；以及

由所述用户认证模块使用所述通信设备的至少一个设备部件确定所述用户的第二用户数据。

15.根据权利要求14所述的方法，其中所述第一用户数据不同于所述第二用户数据。

16.根据权利要求15所述的方法，还包括：

如果所述用户能够使用所述第二用户数据通过所述认证配置文件进行认证，则由所述用户认证模块授权访问与所述认证配置文件相关联的至少一个过程。

17.根据权利要求16所述的方法，其中所述认证配置文件包括多个认证途径，并且其中所述第二用户数据匹配所述多个认证途径中的一个。

18.根据权利要求16所述的方法，其中所述认证配置文件包括多个认证途径，并且其中所述第一用户数据不匹配所述认证途径中的任一个。

19.根据权利要求15所述的方法，其中所述第一用户数据包括生物识别、密码、PIN、音频或图像。

20.一种非暂态计算机可读介质，包括可执行模块，所述可执行模块响应于计算机系统的执行，使得所述计算机系统执行方法，所述方法包括：

由通信设备的用户认证模块访问所述通信设备为拥有所述通信设备的用户收集的用户数据，所述通信设备包括至少一个硬件处理器；

由所述用户认证模块访问所述通信设备的多个认证配置文件，其中所述认证配置文件中的每一个允许访问由所述通信设备执行的至少一个过程；

由所述用户认证模块使用所述用户数据和所述多个认证配置文件确定至少一个匹配的配置文件；以及

由所述用户认证模块授权访问与所述至少一个匹配的配置文件相关联的至少一个过程。