CN107851259A - 使用生物特征验证进行交易的系统和方法 - Google Patents

Abstract

公开了一种生物特征验证系统。所述系统包括便携式装置，所述便携式装置存储生物特征参考模板和认证偏好。所述便携式装置可以与访问装置一起使用。所述访问装置可以针对生物特征样本来提示用户。所述访问装置可以从所述生物特征样本中创建生物特征样本模板，并且所述生物特征样本模板可以与所述生物特征参考模板进行比较以确定用户是否可信。

Description

使用生物特征验证进行交易的系统和方法

相关申请的交叉引用

本申请是2015年7月30日提交的美国临时专利申请号62/199,094的非临时申请并要求其提交日期的权益，该临时专利申请全文以引用方式并入本文。

背景技术

个体通常使用由银行、政府机构、医疗服务提供商或其他实体向他们发行的卡或其他便携式装置进行交易。诸如卡的便携式装置的发行方可以在卡上压印或存储凭证，使得用户可以获得诸如商品或服务的资源。希望确保使用诸如卡的便携式装置的交易是安全的。

可以在涉及便携式装置的交易中使用的一种用户验证方法是生物特征验证。在示例性生物特征验证过程中，使用诸如指纹、视网膜扫描等的独特的生物学特征来验证持卡人。在典型的生物特征过程中，终端可以获得个体生物特征的样本，将其与已经存储在数据库中的模板进行匹配，然后输出指示所获得的生物特征模板与存储的生物特征模板匹配或不匹配的响应。在这样的系统中，卡的发行方充当验证实体并验证生物特征。发行方是注册用户的生物特征作为注册过程的一部分的实体。然而，除了持卡人的生物特征注册之外，发行方对生物特征验证过程以及卡、与卡交互的终端和持卡人之间的交互影响甚微。在存在许多发行方和许多不同的资源提供商的交易处理系统中，这可能是个问题。例如，可能对一个发行方有用的数据可能对另一个发行方没有用；但是两个发行方都需要就是否批准利用便携式装置进行的交易作出明智的决定。

在此类常规系统和方法中，如果在所有商家和发行方中使用相同的验证过程，则发行方将需要创建和建立他们自己的系统和方法来补偿标准验证过程中的任何感知缺陷。说明性地，第一发行方可以确定标准验证过程是可接受的。另一方面，第二发行方可以确定需要附加认证，因为它可能感知到标准认证过程是不可靠的。在这种情况下，在可以对来自某些潜在欺诈用户的交易进行授权之前，第二发行方可以确定它需要执行附加认证或验证过程。由于第二方发行方不能够交互或影响由接收交易的数千个商家使用的行为或系统，因此在交易期间将需要分别联系用户以验证或认证它们。这可能涉及设置单独的警报系统，或者可能需要呼叫每个用户来验证他们的身份。这导致附加的数据处理和系统，并且对于用户和发行方而言是不方便且麻烦的。

本发明的实施方案单独地或共同地解决了这些和其他问题。

发明内容

本发明的实施方案通过允许交易处理系统中的每个发行方将验证偏好存储在诸如卡的便携式装置上来解决以上问题和其他问题。在一些实施方案中，便携式装置上的验证偏好可以指示便携式装置的发行方偏好哪种类型的生物特征。例如，验证偏好可以指示在特定认证会话期间允许个体尝试验证他或她的生物特征多少次。此外，如果第一次验证尝试失败，那么发行方可能想要允许持卡人验证不同的生物特征样本。在这种情境下，发行方可以设置关于以下的偏好：持卡人可以尝试验证多少个不同的样本，以及针对每种特定类型的生物特征样本允许他或她尝试的次数(例如，发行方可能偏好允许持卡人验证多达3个样本：顺序为右手拇指、左手拇指、右手食指，并且每个手指最多三次)。

本发明的实施方案还允许发行方随着时间的推移改进其生物特征认证系统。在本发明的实施方案中，发行方可以通过每次验证会话接收附加数据而随时间的推移来改进验证过程。附加数据通知发行方哪些生物特征更可靠和/或更容易验证。附加数据可以是匹配分数、可靠性指标或某种其他度量的形式。此外，如果通过现有的通信信道和消息传递系统发送附加数据，这将是有益的。因此，本发明的实施方案允许发行方偏好以及在交易验证过程中向发行方传送附加验证数据。

本发明的一个实施方案涉及一种方法，该方法包括：将包括生物特征验证小程序的便携式装置耦合到包括生物特征读取器的访问装置，所述生物特征验证小程序包括生物特征参考模板数据。生物特征参考模板数据包括便携式装置的用户的生物特征参考模板和验证实体偏好。验证实体偏好在下文详细地描述，但是可以包括但不限于期望的生物特征验证方法的类型(例如，指纹与视网膜扫描)以及如何执行生物特征验证方法(例如，生物特征扫描尝试的最大次数)。

该方法还可以包括：由便携式装置从访问装置接收使用便携式装置的用户的生物特征样本模板。该方法还包括：由便携式装置通过将生物特征样本模板与生物特征参考模板进行比较来验证生物特征样本模板；以及由便携式装置向访问装置提供生物特征样本模板的验证的验证结果。

本发明的另一个实施方案可以涉及一种被配置成执行上述方法的便携式装置。

本发明的另一个实施方案可以涉及一种方法，该方法包括：将包括生物特征验证小程序的便携式装置与包括生物特征读取器的访问装置耦合，所述生物特征验证小程序包括生物特征参考模板数据。生物特征参考模板数据包括便携式装置的用户的生物特征参考模板和验证实体偏好。该方法还包括：由访问装置的接口针对生物特征样本提供提示；从接口接收生物特征样本；以及由访问装置向便携式装置提供代表生物特征样本的生物特征样本模板。便携式装置将生物特征样本模板与生物特征参考模板进行比较并产生验证结果。该方法还包括由访问装置从便携式装置接收验证结果。

本发明的另一个实施方案可以涉及一种被配置成执行上述方法的访问装置。

本发明的这些和其他实施方案将在下文更详细地描述。

附图说明

图1示出根据本发明的实施方案的用于执行生物特征验证的系统的框图。

图2示出根据本发明的实施方案的用于进行交易的系统的框图。

图3示出根据本发明的实施方案的便携式装置的图示。

图4示出根据本发明的实施方案的访问装置的框图。

图5示出根据本发明的实施方案的用于在交易中对用户执行生物特征验证的方法的流程图。

图6示出展示根据本发明的实施方案的由访问装置执行的验证过程的流程图。

图7示出展示根据本发明的实施方案的由访问装置执行的示例性持卡人验证方法的流程图。

图8示出根据本发明的实施方案的由访问装置传输并由便携式装置执行的一组命令。

图9A和图9B示出根据本发明的实施方案的由便携式装置执行的生物特征验证的示例性方法。

具体实施方式

在讨论具体的实施方案和实例之前，以下提供本文使用的术语的一些描述。

“访问装置”(其可以是终端的实例)可以是用于访问远程系统或计算机的任何合适的装置。访问装置通常可以位于任何合适的位置，例如在商家的位置。访问装置可以是任何合适的形式。访问装置的一些实例包括POS装置、蜂窝电话、PDA、个人计算机(PC)、平板电脑、手持专用读取器、机顶盒、电子现金出纳机(ECR)、自动取款机(ATM)、虚拟现金出纳机(VCR)、营业亭、安全系统、访问系统、网站等。访问装置可以使用任何合适的接触或非接触式操作模式来从支付装置和/或用户移动装置发送或接收数据，或者与支付装置和/或与用户移动装置相关联。在访问装置可以包括POS终端的一些实施方案中，任何适当的POS终端可以被使用，并且其可以包括读取器、处理器和计算机可读介质。读取器可以包括任何适当的接触或非接触操作模式。例如，示例性读卡器可以包括射频(RF)天线、光学扫描器、条形码读取器或磁条读取器，以与支付装置和/或移动装置交互。访问装置可以是诸如POS终端的终端。在一些实施方案中，访问装置还可以包括能够捕获生物特征样本的生物特征读取器，在这种情况下，访问装置可以是“生物特征终端”。终端可以支持一种或多种持卡人验证方法，包括生物特征验证、PIN、签名等。

“生物特征样本”包括可用于基于一种或多种固有生理或行为特征来唯一地标识个体的数据。例如，生物特征样本可以包括视网膜扫描和跟踪数据(即，用户的眼睛聚焦情况下的眼球运动和跟踪)。生物特征样本的其他实例包括面部、指纹、声纹、掌纹、DNA、身体扫描等。

“生物特征样本模板”可以是获得的生物特征样本的数字表示。在一些实施方案中，生物特征样本模板可以代表一个或多个生物特征样本，包括与生物特征样本(诸如面部图像和声音样本)相关联的可变特征。

“生物特征参考模板”可以是先前已经注册或存储的生物特征样本的数字表示。例如，生物特征参考模板可以是已经从一个或多个生物特征样本中提取的特性的数字表示，该一个或多个生物特征样本已经由持卡人向验证实体注册，使得可以在稍后的时间点验证持卡人。

“生物特征数据块”或BDB可以是包含一个或多个生物特征样本模板的任何数据，并且也可以包含与生物特征验证过程相关的附加信息。

“生物特征匹配对象”或BMO可以是包含一个或多个生物特征参考模板和生物特征程序的数据元素。BMO可以具有特定的生物特征类型和生物特征子类型，它们分别表示其包含的生物特征参考模板的类型(手指、手掌、虹膜、面部、声音等)和参考模板子类型(右手食指、左眼虹膜、左手中指等)。

“生物特征信息模板”或BIT可以是提供关于在便携式装置上支持的生物特征格式和生物特征过程的描述性信息的数据元素。

“生物特征程序”可以是在集成芯片卡与兼容的生物特征终端之间传送的一组指令。生物特征程序可以被标准化，并且能够执行生物特征程序的便携式装置和终端可以被证实以确保安全性和可靠性。

“生物特征解决方案ID”可以是确保由生物特征程序证实的生物特征卡仅对由相同生物特征程序证实的终端执行生物特征验证的数据元素。由相同程序证实的终端和卡可以被分配相同的生物特征解决方案ID。

“持卡人验证方法”或CVM可以是用于在交易中验证持卡人(或其他用户)的真实性的任何方法。例如，CVM可以是在线PIN验证、签名验证、离线PIN验证、生物特征验证(例如手指、手掌、虹膜、声音、面部等)等。“持卡人验证方法”通常可以称为“用户验证方法”。

“CVM列表”可以是可以验证持卡人的CVM列表，并且标识支付应用程序或支付小程序支持哪些持卡人验证方法。“CVM列表”通常可以称为“UVM列表”或“用户验证方法”。

“凭证”可以是充当价值、拥有权、身份或权力的可靠证据的任何合适的信息。“凭证”可以是一串数字、字母或任何其他合适的字符，以及可充当确认的任何对象或文件。凭证的实例包括价值凭证、身份证、公证文件、访问卡、密码、登录信息等。

“价值凭证”可以是与价值相关联的信息。价值凭证的实例包括支付凭证、优惠券标识符、获得促销优惠所需的信息等。

“支付凭证”可以包括与账户相关联的任何合适的信息(例如，支付账户和/或与账户相关联的支付装置)。这些信息可以与账户直接相关，或者可以从与账户相关的信息中推导出来。账户信息的实例可以包括PAN(主账号或“账号”)、用户姓名、有效日期、CVV(卡验证值)、dCVV(动态卡验证值)、CVV2(卡验证值2)、CVC3卡验证值等。支付凭证可以是标识支付账户或与支付账户相关联的任何信息。可以提供支付凭证以便从支付账户进行支付。支付凭证还可以包括用户名、有效日期、礼品卡号或代码以及任何其他合适的信息。

“应用程序”可以是存储在计算机可读介质(例如，存储器元件或安全元件)上的可由处理器执行以完成任务的计算机代码或其他数据。应用程序的实例包括生物特征样本应用程序、认证应用程序或处理网络应用程序。应用程序可以包括移动应用程序。应用程序也可以是执行一个或一组预先指定的功能的应用程序，并且被称为“小程序”。应用程序可以被设计为简化购买和支付过程或者用于访问安全区域或安全数据的过程。应用程序可以使用户能够发起与资源提供商或商家的交易并对该交易授权。

“令牌”可以是凭证的替代值。令牌可以是一串数字、字母或任何其他合适的字符。令牌的实例包括支付令牌、访问令牌、个人标识令牌等。

“支付令牌”可以包括支付账户的标识符，它是账户标识符的替代，诸如主账号(PAN)。例如，令牌可以包括可以用作原始账户标识符的替代的一连串字母数字字符。例如，令牌“4900 0000 0000 0001”可以代替PAN“4147 0900 0000 1234”使用。在一些实施方案中，令牌可以是“保留格式的”，并且可以具有与现有的交易处理网络中使用的账户标识符一致的数字格式(例如，ISO 8583金融交易消息格式)。在一些实施方案中，令牌可以代替PAN用来启动、授权、处理或解决支付交易，或者在通常将提供原始凭证的其他系统中表示原始凭证。在一些实施方案中，可以生成令牌值，使得由令牌值恢复原始PAN或其他账户标识符不可以由计算得到。此外，在一些实施方案中，令牌格式可以被配置成使接收令牌的实体将其标识为令牌，并识别发行令牌的实体。

“令牌化”是用替代数据代替敏感数据的过程。例如，可以通过用可能与支付账户标识符关联的替代号(例如，令牌)代替主账户标识符来将支付账户标识符(例如，主账号(PAN))令牌化。此外，令牌化可以应用于可以用替代值(即，令牌)代替的任何其他信息。令牌化可用于提高交易效率、提高交易安全性、提高服务透明度或提供第三方实现的方法。去令牌化是指令牌化的逆转，其中替代数据被敏感数据代替，使得交易可以被处理和/或授权。

“用户”可以包括个人。在一些实施方案中，用户可以与一个或多个个人账户和/或移动装置相关联。在一些实施方案中，用户也可以是持卡人、账户持有人或消费者。

“资源提供商”可以是可以提供诸如商品、服务、信息和/或访问的资源的实体。资源提供商的实例包括商家、数据提供商、交通部门、政府实体、场地和住宅运营商等。

“商家”通常可以是参与交易并且可以出售商品或服务，或提供对商品或服务的访问的实体。

“收单方”通常可以是与特定商家或其他实体有商业关系的商业实体(例如商业银行)。一些实体可以执行发行方和收单方功能。一些实施方案可以包括这样的单实体发行方-收单方。收单方可以操作收单方计算机，其也可以被统称为“传输计算机”。

“授权实体”可以是授权请求的实体。授权实体的实例可以是发行方、政府机构、文档库、访问管理员等。

“发行方”通常可以是维持用户账户的商业实体(例如，银行)。发行方也可以向消费者发行存储在用户装置(诸如蜂窝电话、智能卡、平板电脑或膝上型电脑)上的支付凭证。发行方也可以是验证用户的真实性并设置验证实体偏好的验证实体。

“授权系统”可以指能够授权交易或交易方面的系统。在一些实施方案中，授权系统可以利用信息来确定交易是欺诈的概率或可能性。

“授权请求消息”可以是发送给支付处理网络和/或支付卡的发行方以请求交易授权的电子消息。根据一些实施方案的授权请求消息可以符合ISO 8583，其是用于交换与由消费者使用支付装置或支付账户进行的支付相关联的电子交易信息的系统的标准。授权请求消息可以包括可以与支付装置或支付账户相关联的发行方账户标识符。授权请求消息还可以包括对应于“标识信息”的附加数据元素，包括(只作为实例)：服务代码、CVV(卡验证值)、dCVV(动态卡验证值)、有效日期等。授权请求消息还可以包括“交易信息”，例如与当前交易相关联的任何信息，诸如交易金额、商家标识符、商家位置等，以及可以用于确定是否标识和/或授权交易的任何其他信息。

“授权响应消息”可以是由发行金融机构或支付处理网络生成的对授权请求消息的电子消息应答。授权响应消息可以包括(只作为实例)以下状态指示符中的一个或多个：批准-交易被批准；拒绝-交易不被批准；或呼叫中心-响应未决的更多信息，商家必须呼叫免费授权电话号码。授权响应消息还可以包括授权代码，其可以是信用卡发行银行响应于电子消息中的授权请求消息(直接地或者通过支付处理网络)返回商家的访问装置(例如POS设备)的指示交易被批准的代码。代码可以用作授权的证据。如上所述，在一些实施方案中，支付处理网络可以生成或向商家转发授权响应消息。

“通信信道”可以指用于两个或更多个实体之间的通信的任何合适的路径。合适的通信信道可以直接存在于两个实体之间，诸如支付处理网络与商家或发行方计算机之间，或者可以包括许多不同实体。任何适当的通信协议可以用来生成通信信道。在一些情况下，通信信道可以包括可以用任何已知方式建立的“安全通信信道”，包括相互认证和会话密钥的使用以及SSL会话的建立。然而，可以使用创建安全信道的任何方法。通过建立安全信道，与支付装置相关的敏感信息(诸如账号、CVV值、有效日期等)可以在两个实体之间安全地传输以有利于交易。

“便携式装置”可以包括便携的装置。便携式装置可以用于进行金融交易以支付商品或服务，并且可以是“支付装置”。支付装置可以是任何适当形式。例如，适当的支付装置可以是手持式且紧凑的，使得它们能够放到消费者的钱包和/或口袋中(例如口袋大小的)。它们可以包括智能卡、磁条卡、钥匙链装置(诸如可从Exxon-Mobil公司购买的SpeedpassTM)等。支付装置的其他实例包括蜂窝电话、个人数字助理(PDA)、寻呼机、支付卡、安全卡、访问卡、智能介质、应答器、电子或数字钱包等等。如果支付装置的形式是借记卡、信用卡或智能卡，则支付装置还可以可选地具有诸如磁条这样的特征。这样的装置可以以接触或非接触模式操作。便携式装置还可以包括诸如芯片或微芯片的集成电路，并且可以被称为集成电路卡或ICC。其他类型的支付装置可以包括可穿戴装置(例如，智能手表、戒指等)或具有远程通信能力的交通工具(例如汽车)。

“服务器计算机”通常是功能强大的计算机或计算机集群。例如，服务器计算机可以是大型主机、小型计算机集群或像单元一样工作的一组服务器。在一个实例中，服务器计算机可以是耦合到网络服务器的数据库服务器。

图1示出根据本发明的实施方案的用于执行生物特征验证的系统的框图。系统100包括生物特征终端120和卡110。尽管明确地示出了卡110，但是卡110也可以是任何合适的便携式装置。

生物特征终端120包括支付应用程序122。支付应用程序122可以包括用于处理支付交易的软件。支付应用程序122可以接受支付金额作为输入并返回交易结果作为输出。支付应用程序122可以在交易中使用支付内核124与卡110进行通信。支付内核124可以包括提供用于执行接触或非接触式交易的所有必要处理逻辑和数据的一组功能。示例性支付内核124可以是EMV(Europay、MasterCard和Visa)内核。支付内核124可以遵循支付系统的EMVICC(集成电路卡)规范，这形成所有符合EMV的终端的基础。

生物特征终端120还包括生物特征处理应用程序126，其可以与数据处理器一起处理由生物特征终端120中的生物特征读取器捕获的生物特征样本模板。在一个实施方案中，生物特征处理应用程序126被实现为生物特征终端120的集成部分。在另一个实施方案中，生物特征处理应用程序126是与生物特征终端120分开的组件。

生物特征处理应用程序126可以支持至少一种类型的生物特征样本和/或生物特征样本模板的处理。在一些实施方案中，如果生物特征处理应用程序126支持手指验证，则它也许能够支持属于一个用户的十个手指中的任一个的生物特征样本模板的处理，并且可以支持用户的多达全部十个手指的生物特征样本模板的处理。类似地，如果它支持手掌验证，则生物特征处理应用程序126可以支持属于用户的左手掌或右手掌或两个手掌的生物特征样本模板的处理。如果生物特征处理应用程序126支持虹膜验证，则它可以支持属于用户的任一左虹膜和右虹膜或这两者的生物特征样本模板的处理。生物特征处理应用程序126也许能够构建生物特征数据块(BDB)并且将BDB传送到支付应用程序122，所述BDB包括由生物特征读取器捕获的生物特征样本模板。在一个实施方案中，可以使用适当的加密密钥对BDB进行加密，使得持卡人的生物特征样本模板不能由不可信的一方获得。

卡110包括支付小程序112、API接口114和生物特征验证小程序116。在交易中，用户将卡110插入生物特征终端120的读卡器中，然后卡110可以使用支付小程序112与生物特征终端120进行通信。支付小程序112可以管理卡110与生物特征终端120之间的交互，包括生物特征验证尝试计数器、生物特征验证结果和生物特征相关的卡风险管理检查。示例性支付小程序112可以是Visa智能借记/信用(VSDC)小程序。为了支持生物特征验证，支付小程序112可以包含持卡人验证方法列表或CVM列表，其可以定义指示支持卡110上的生物特征验证类型的一组位。使用CVM列表，生物特征终端120可以学习卡110的能力，并且选择适当的CVM(即，适当类型的生物特征验证)以在交易中执行。

支付小程序112可以使用API接口114与生物特征验证小程序116通信。在一个实施方案中，API接口114可以是由Java Card 2.2.2提供的接口生物模板。在一个实施方案中，支付小程序112和生物特征验证小程序116可以被实现为组合两种功能的一个小程序。

生物特征验证小程序116可以包含一个或多个生物特征参考模板。生物特征验证小程序116还可以通过将生物特征样本模板与一个或多个生物特征参考模板进行比较来执行模板匹配。在将生物特征样本模板与一个或多个生物特征参考模板进行比较之后，它可以生成生物特征验证结果并将该结果发送到支付小程序112。

生物特征验证小程序116可以支持使用任何合适类型的生物特征样本的至少一种生物特征验证方法。在一些实施方案中，如果生物特征验证小程序116支持手指验证，则它也许能够支持属于一个用户的十个手指中的任一个的验证，并且可以支持用户的多达全部十个手指的验证。类似地，如果它支持手掌验证，则生物特征验证小程序可以支持属于用户的左手掌或右手掌或两个手掌的验证。如果生物特征验证小程序116支持虹膜验证，则它可以支持属于用户的任一左虹膜和右虹膜或这两者的验证。

根据本发明的实施方案，用户将他或她的生物特征参考模板注册在卡110上。在一个实施方案中，可以向卡110的发行方注册生物特征参考模板。当发行方发行卡110或其他便携式装置时或在发行后的任何时间，发行方可以向卡的最终用户请求生物特征样本，并且该生物特征样本可以被转换为参考生物特征模板并可以被存储在卡上。该请求可能在例如发行方的本地分行(例如，本地银行)发生，或者该请求可能通过远程通信网络(例如，通过互联网)发生。在后一种情况下，用户可以具有可以从用户获得生物特征样本的生物特征读取器，以及可以将任何生物特征参考模板写入他们的便携式装置的装置。

卡110的发行方也可以充当验证实体。验证实体还可以发行可以与生物特征参考模板一起存储在卡110上的验证实体偏好。验证实体偏好的实例可以包括待验证的优选生物特征类型或优选生物特征子类型和/或针对给定生物特征类型或生物特征子类型的优选重试次数。生物特征类型可以是特定类型的生物特征样本，诸如手指样本、手掌样本、虹膜样本、面部样本、声音样本等。生物特征子类型可以是特定类型的生物特征样本的特定方面。例如，指纹生物特征样本的子类型可以是右手食指、左眼虹膜、左手中指等)。

生物特征验证小程序116可以存储生物特征参考模板数据，所述生物特征参考模板数据包括呈生物特征匹配对象(BMO)形式的生物特征参考模板和验证实体偏好，每个BMO支持匹配机制。每个BMO可以包括由证实匹配机制的生物特征解决方案ID所标识的生物特征程序以及将由匹配机制执行的生物特征验证的类型。每个BMO可以指示其包含的生物特征参考模板的类型(手指、手掌、虹膜、面部、声音等)和参考模板子类型(右手食指、左眼虹膜、左手中指等)。生物特征子类型还可以指示BMO可以包含多个生物特征参考模板。例如，如果BMO包含多个生物特征参考模板，则BMO可以支持1:N匹配，其中生物特征样本模板可以与存储在BMO中的N个生物特征参考模板进行比较，并且如果生物特征样本模板匹配任何一个生物特征参考模板，则匹配可以被视作成功。

存储在卡上的生物特征参考模板可以包括完全标准化格式、完全专用格式或者部分标准化格式和部分专用格式的组合的模板。关于卡110上支持的生物特征格式和解决方案的信息可以存在于存储在支付小程序112上的生物特征信息模板(BIT)内。在一些实施方案中，BIT中的数据可以是标签长度值(TLV)。例如，BIT可以包含指示BIT中的数据符合特定文件交换格式的生物特征标头。另外，如果存储在卡上的生物特征参考模板是部分标准化格式和部分专用格式，则BIT中可以存在2级生物特征标头模板(BHT)1和BHT 2，这指示卡110上的生物特征解决方案的格式由格式所有者或卡制造商指定。

在验证会话中，生物特征验证小程序116可以向支付小程序112提供生物特征验证结果(成功或失败)。在一个实施方案中，也可以将附加数据与来自生物特征验证小程序116的生物特征验证结果一起发送到支付小程序112，所述附加数据包括出错消息、离线生物特征验证可靠性指标、错误接受率(FAR)、错误拒绝率(FRR)、匹配分数、匹配分数阈值和/或关于用户进行验证尝试的次数的任何数据。

在一个实施方案中，包含生物特征样本模板的BDB可以被加密，并且卡110可以包含可以用于对BDB进行解密的数据加密密钥。例如，当卡110在交易期间从生物特征终端120接收到加密的生物特征数据时，支付小程序112可以对加密的生物特征数据进行解密，以恢复由生物特征终端120捕获的生物特征样本模板。然后，支付小程序112可以确定如何将包含由生物特征终端120捕获的生物特征样本模板的BDB转发到生物特征验证小程序116以进行验证。在一些实施方案中，卡110的发行方或验证实体可以具有被称为数据加密主推导钥的特定数据加密密钥。在一个实施方案中，可以根据[ISO 18033-2]中定义的RSA-KEM算法来执行解密。

一旦支付小程序112已经从生物特征验证小程序116接收到生物特征验证结果和附加数据，它便可以将生物特征验证结果和附加数据提供给生物特征终端120，使得可以完成生物特征验证并且可以处理交易。在一个实施方案中，卡110的发行方或验证实体也可以用作对交易进行授权的授权实体，并且由生物特征终端120接收到的生物特征验证结果可以与附加数据一起以授权请求消息的形式转发给授权实体，使得交易可以被批准或拒绝。

通过将诸如出错消息、离线生物特征验证可靠性指标、错误接受率(FAR)、错误拒绝率(FRR)、匹配分数、匹配分数阈值和/或关于用户进行验证尝试的次数的任何数据的附加数据转发给诸如发行方的授权实体，发行方可以确定如何改进认证过程或修改欺诈检测过程。例如，发行方可以使用针对每种类型的生物特征的验证尝试次数来确定哪种类型的生物特征样本或其子类型在认证用户方面可能是最好的。如果许多合法用户使用视网膜扫描并且经常超过指定的验证尝试次数，则这可能指示该过程不如涉及其他生物特征样本的其他过程那样可靠。关于欺诈处理，尝试次数少可能指示欺诈可能性较低，而尝试次数多可能指示欺诈可能性较高。

图2示出根据本发明的实施方案的用于进行交易的系统的框图。系统200包括多个组件。系统200包括便携式装置215，其可以与用户210相关联并且也许能够将凭证提供给访问装置225。示例性便携式装置215可以是图1的卡110，并且示例性访问装置225可以是图1的生物特征终端120。系统200还包括资源提供商230、传输计算机240、交易处理计算机250和授权实体计算机260。访问装置225可以与资源提供商计算机230相关联并与之通信。此外，资源提供商计算机230、传输计算机240、交易处理计算机250和授权实体计算机260可以全部通过任何合适的通信信道或通信网络而彼此可操作地通信。合适的通信网络可以是下列中的任一个和/或组合：直接互连、互联网、局域网(LAN)、城域网(MAN)、作为互联网节点的运行任务(OMNI)、安全定制连接、广域网(WAN)、无线网络(例如，使用诸如但不限于无线应用协议(WAP)、I-模式等协议)等等。

计算机、网络与装置之间的消息可以使用安全通信协议来传输，这些安全通信协议诸如，但不限于，文件传输协议(FTP)；超文本传输协议(HTTP)；安全超文本传输协议(HTTPS)、安全套接层(SSL)、ISO(例如，ISO 8583)等。

用户210也许能够使用便携式装置215来与资源提供商进行交易，所述资源提供商与资源提供商计算机230相关联。便携式装置215可以存储与用户210和/或支付账户相关联的信息。例如，便携式装置215可以存储支付凭证以及个人信息，诸如用户210的姓名、地址、电子邮件地址、电话号码或任何其他合适的标识信息。便携式装置215还可以存储可以由访问装置225读取的生物特征数据。便携式装置215可以在交易期间将该信息提供给访问装置225。

图3示出呈卡形式的便携式装置215的实例。如图所示，便携式装置215包括塑料基板215(s)。磁条215(t)可以在塑料基板215(s)上。用户信息215(v)(诸如账号、有效日期和用户姓名)可以打印或压印在卡上。用于与访问装置连接的集成电路215(u)可以存在于塑料基板215(s)上或嵌入塑料基板215(s)中。集成电路215(u)可以包括用于执行编程指令的微处理器单元215(q)。集成电路215(u)还可以包括I/O控制器215(r)。I/O控制器215(r)管理微处理器单元215(q)与诸如销售点终端(例如访问装置225)的卡接受装置(CAD)之间的数据流。另外，集成电路215(u)可以包括只读存储器(ROM)215(x)、随机存取存储器(RAM)215(y)和应用程序存储器215(z)。ROM 215(x)可以是指令被硅制造商永久地烧入存储器中的地方。这些指令可以包括何时激活电源和芯片操作系统的其他基本指令。RAM 215(y)可以是存储器，该存储器用作诸如验证结果或任何其他输入/输出通信的结果的临时存储装置。应用程序存储器215(z)可以是由执行应用程序使用来将信息存储在便携式装置215上的存储器，并且可以被电子擦除和重写。执行应用程序的实例可以包括支付应用程序、验证应用程序等。应用程序存储器215(z)可以遵循国际标准，该国际标准规定应用程序存储器215(z)应当在没有电力的情况下保留数据长达10年，并且在便携式装置215的寿命期间应当支持至少10,000次读写动作。用户可以通过将便携式装置215耦合到访问装置225来发起与资源提供商计算机230的支付交易。在一个实施方案中，这通过将便携式装置215物理地耦合到访问装置225来完成。

图4示出根据本发明的实施方案的访问装置225的框图。访问装置225可以包括：可操作地耦合到计算机可读介质225(d)(例如，一个或多个存储器芯片等)的处理器225(c)；诸如按钮等的输入元件225(b)；一个或多个读卡器225(a)(例如，接触式芯片读取器、非接触式读取器、磁条读取器等)；用于采集用户的一个或多个生物特征样本(例如，手指、手掌、虹膜、声音和/或面部)的一个或多个生物特征读取器225(g)；输出装置225(e)(例如，显示器、扬声器等)；以及网络接口225(f)。外壳可以容纳这些组件中的一个或多个。

计算机可读介质225(d)可以包括可由处理器执行的指令或代码。指令可以包括用于在与便携式装置215接触时向该装置发送命令的指令，以及用于与便携式装置215进行通信以获得凭证并处理交易的指令。计算机可读介质225(d)还可以包括用于请求对与授权实体计算机260的交易进行授权的指令，以及用于如本文描述的任何其他合适功能的指令。例如，计算机可读介质225(d)可以包括支付应用程序和/或支付内核以及生物特征处理应用程序，所述生物特征处理应用程序包括用于在交易中执行生物特征验证的指令。

回到图2，资源提供商计算机230可以与资源提供商相关联。资源提供商可以参与交易、售卖商品或服务、或向用户210提供对商品或服务的访问。资源提供商可以接受多种支付形式(例如，便携式装置215)，并且可以使用多种工具来进行不同类型的交易。例如，资源提供商可以操作物理商店并且使用访问装置225来进行个人间交易。资源提供商还可以经由网站来售卖商品和/或服务，并且可以通过互联网来接受支付。

由资源提供商计算机230或访问装置225提交的授权请求可以发送到传输计算机240(其可以是收单方计算机)。传输计算机240可以与资源提供商计算机230相关联，并且可以代表资源提供商计算机230管理授权请求。

交易处理计算机250可以设置在传输计算机240与授权实体计算机260之间。交易处理计算机250可以包括数据处理子系统、网络以及用于支持和递送授权服务、异常文件服务及清算和结算服务的操作。例如，交易处理计算机250可以包括(例如，通过外部通信接口)耦合到网络接口的服务器和信息数据库。交易处理计算机250可以代表交易处理网络。示例性交易处理网络可以包括VisaNetTM。诸如VisaNetTM的交易处理网络能够处理信用卡交易、借记卡交易以及其他类型的商业交易。VisaNetTM具体包括处理授权请求的VIP系统(Visa集成支付系统)和执行清算与结算服务的Base II系统。交易处理计算机250可以使用任何合适的有线或无线网络，包括互联网。

交易处理计算机250、传输计算机240和授权实体计算机260可以操作合适的路径表，以使用支付凭证、支付令牌和/或其他合适标识符来传递授权请求消息。

授权实体计算机260可以发布并管理可以与便携式装置215相关联的用户210的支付账户。授权实体计算机260还可以代表验证实体，其可以选择使用特定验证方法(诸如通过生物特征验证或通过特定类型的生物特征验证)来验证用户210，这取决于所设置的偏好。授权实体计算机260也许能够对涉及支付账户的交易授权。在对交易授权之前，授权实体计算机260可以认证在授权请求中接收到的支付凭证，并且检查相关联的支付账户中是否存在可用的信用或资金。授权实体计算机260还可以接收和/或确定与交易相关联的风险水平，并且可以在决定是否授权交易时权衡风险。如果授权实体计算机260接收到包括支付令牌的授权请求，则授权实体计算机260也许能够对支付令牌进行去令牌化，以便获得相关联的支付凭证。授权实体计算机260也许能够批准或拒绝交易，并且可以生成传送交易的批准或拒绝的授权响应消息。授权响应消息可以经由交易处理计算机250、传输计算机240和资源提供商计算机230发送回到访问装置225。

根据本发明的实施方案，可以在涉及系统200的交易中使用生物特征验证来认证用户210。一旦用户210已经被认证，交易便可以被处理并且最终由授权实体计算机260授权。在一天结束时或在资源提供商计算机230所代表的资源提供商接收到授权响应消息之后的任何其他合适的时间段，在传输计算机240所代表的收单方、交易处理计算机250所代表的交易处理网络、与授权实体计算机260所代表的授权实体之间执行清算和结算过程。

图5示出根据本发明的实施方案的用于对用户执行生物特征验证的系统和方法。该系统涉及用户510、便携式装置515和访问装置525。在步骤S502中，用户510想要进行交易并且呈现他或她的包含生物特征参考模板数据的便携式装置515。生物特征参考模板数据可以包括生物特征参考模板和验证实体偏好，诸如优选的生物特征验证类型或子类型和/或每种类型的生物特征验证的优选尝试次数。在步骤S504中，便携式装置515耦合到访问装置525并且发起与访问装置525的会话，其中在交易中可以使用生物特征验证对用户510进行认证。根据一个实施方案，用户510通过将便携式装置515物理地耦合到访问装置525来发起会话。在其他实施方案中，便携式装置515与访问装置525的耦合可以通过诸如蓝牙(传统或BLE)、Wi-Fi或NFC(近场通信)的无线链路发生。

在步骤S506中，访问装置525认识到生物特征验证是可用的，并且读取生物特征验证所需的存储在便携式装置515上的任何其他信息。

在步骤S508中，访问装置525向用户510要他或她的生物特征样本，如由从便携式装置515接收到的验证实体偏好所指示。访问装置525可以包括用户界面，其可以提示用户510他或她的生物特征样本。可以通过在显示屏上显示消息或通过提供请求用户提供他或她的生物特征样本的音频信号来进行提示。

在步骤S510中，用户510将他或她的生物特征样本输入或提供到访问装置525中。在步骤S512中，访问装置525创建从用户510捕获的生物特征样本的生物特征样本模板。在步骤S514中，访问装置525以由便携式装置515上的支付小程序接收的生物特征数据块(BDB)的形式将生物特征样本模板发送到便携式装置515。在步骤S516中，经由API接口将包含生物特征样本模板的BDB传输到生物特征验证小程序以用于模板匹配，即，生物特征验证。

在步骤S518中，便携式装置515上的生物特征验证小程序将从访问装置525接收到的生物特征样本模板与存储在便携式装置515上的生物特征参考模板进行比较。

在步骤S520中，生物特征验证小程序将比较结果(即，验证结果)发送到支付小程序，使得它可以将验证结果传送到访问装置525。

在步骤S522中，便携式装置515上的支付小程序将验证结果发送到访问装置525。如果验证失败，则系统500可以再次从S506开始重复相同的过程，这取决于验证实体偏好。例如，验证实体偏好可以指定用户510可以尝试验证他或她的食指样本多达三次(即，三次尝试)，和/或如果他或她验证他或她的食指样本失败，则验证实体偏好可以指定用户510可以尝试验证他或她的拇指样本。相反地，访问装置525可以确定用户510已经达到他或她的最大验证尝试次数，并且一旦访问装置525已经确定生物特征验证失败，则可以终止会话(并且因此终止交易)。如果验证结果包含生物特征验证成功的指示，则访问装置可以生成授权请求消息，所述授权请求消息包含验证结果以及与验证生物特征样本的过程相关的附加数据，诸如，用户510进行验证尝试的次数。

在步骤S524中，将包括验证结果和附加数据的授权请求消息沿着通信信道发送到发布验证实体偏好的验证实体，使得交易可以被处理。以上描述了关于使用授权请求消息的授权过程的进一步细节，在此不需要重复。

图6示出根据本发明的实施方案的由诸如终端的访问装置执行的示例性验证过程的流程图。终端可以是能够执行持卡人验证的任何装置，诸如图1的生物特征终端120、图2和图4的访问装置225，或图5的访问装置525。终端可以接受诸如金额的输入并且可以返回诸如终端验证结果或“TVR”的输出。通过将诸如卡的便携式装置耦合到终端来发起过程600，由此发起会话，其中可以在交易中对用户(即，持卡人)进行生物特征验证。卡可以是图1的卡110、图2和图3的便携式装置215(例如，集成电路卡或ICC)和/或图5的便携式装置515。经生物特征验证的持卡人可以是图2的用户210和/或图5的用户510。

一旦已经发起会话，便可以开始CVM列表处理，使得可以对持卡人进行生物特征验证。在步骤S601中，终端读取应用交换简档或AIP以确定卡与终端的兼容性。AIP是卡上的一个数据元素，其指示卡在诸如CVM处理的应用中支持特定功能的能力。如果终端确定卡不支持CVM处理，则在该过程中终端执行步骤S601a。在步骤S601a中，终端将CVM结果设置为‘不执行CVM’，并且终止会话。相反地，如果终端在步骤S601中确定卡确实支持CVM处理，则终端转到步骤S602。

在步骤S602中，终端读取卡上的CVM列表，并且确定CVM列表是否包含持卡人验证(CV)规则。CVM列表可以是以二进制编码的数据字段的有序列表，其指示卡支持的CVM类型、应用每个CVM的条件以及它们的优选顺序。持卡人验证规则可以是指示可以在哪些条件下执行特定CVM的规则。例如，CV规则可以由2个字节组成。第一字节可以指示待使用的CVM类型(例如，生物特征、PIN等)，而第二字节可以指定(例如，仅在现金返还交易中，仅用于特定美元金额等)在哪个条件下将应用该CVM。

如果终端确定卡上包含的CVM列表中不包含CV规则，则终端执行步骤S602a。在步骤S602a中，终端将TVR设置为‘ICC数据缺失’，其指示集成电路卡缺少处理CVM所需的数据。然后，终端在终止会话之前执行步骤S601a。

如果终端在步骤S602中确定存在CV规则，则终端执行步骤S602b并选择CVM列表中的第一CV规则。在步骤S603中，终端确定所选择的CV规则是不是指示始终可以应用CVM的“CVM条件＝‘始终’”，在这种情况下，终端转到下面讨论的步骤S608。否则，终端启动步骤S604。在步骤S604中，终端确定所选择的CV规则是不是“CVM条件＝‘在终端支持CVM时’”，在这种情况下，终端启动步骤S605，其中终端确定终端是否支持卡上的CVM代码，使得终端可以转到执行CVM(即，生物特征验证)。例如，终端可以尝试将终端的生物特征解决方案ID与卡的生物特征解决方案ID进行匹配，以确定卡和终端支持相同的生物特征程序。如果支持CVM代码，则终端可以执行CVM。否则，终端转到下面讨论的步骤S607。

如果在步骤S604处，所选择的CV规则不是“CVM条件＝‘在终端支持CVM时’”，则终端启动步骤S606。在步骤S606中，终端确定是否满足所选择的CV规则。如果不满足所选择的CV规则，则终端转到步骤S607以确定是否存在任何更多的CVM条目。如果CVM列表中存在更多的CVM条目，则在步骤S602b处，终端可以利用CVM列表中的下一个CV规则来重复相同过程。如果CVM列表中不存在更多的CVM条目，则持卡人验证将被视为失败，并且CVM结果设置为‘失败’。

如果在步骤S606处满足所选择的CV规则，则终端转到步骤S608。在步骤S608中，终端确定CVM是否由于任何其他格式错误而失败。例如，终端可以确定缺少CVM规则所需的特定数据，诸如应用货币代码或交易金额。如果CVM没有失败，则终端启动步骤S609。在步骤S609中，终端确定是否识别卡上的CVM，在这种情况下，终端转到步骤S610。否则，终端执行步骤S609a，并且将TVR(终端验证结果)设置为‘未被识别的CVM’。

在步骤S610中，终端确定卡上的CVM代码是否被终端支持。如果卡上的CVM代码不被终端支持，则终端转到步骤S610b，并且执行与‘不支持CVM’的验证结果对应的逻辑。在执行该逻辑之后，终端转到步骤S611。步骤S611在特定CVM失败时确定终端是否可以尝试CVM列表上的下一个CVM，在这种情况下，终端返回到步骤S607。否则，终端在步骤S611a中将CVM结果设置为‘失败’，然后在步骤S611b中将TVR设置为‘持卡人验证未成功’。

如果在步骤S610处终端确定卡上的CVM代码被终端支持，则终端然后可以执行步骤S610a并执行CVM。例如，终端可以认识到在卡上读取的CVM是指纹验证，然后可以执行适当的算法。一旦CVM被执行并且在步骤S612中确定CVM没有失败，则终端在步骤S612a中将交易状态信息(TSI)设置为‘已执行持卡人验证’，并且结束过程。

图7示出根据本发明的实施方案的由耦合到卡的终端执行的示例性持卡人验证方法。图7所示的CVM对应于指纹验证。应当理解，针对持卡人的手掌、虹膜、声音、面部或任何其他生物特征样本的验证，可以遵循相同或相似的方法。

所示的CVM可以由在终端与卡之间发送的一组命令和响应来描述，该组命令和响应传送与生物特征验证相关的数据，诸如优选尝试次数、剩余尝试次数、验证结果等。数据可以由终端和卡可以理解的预定值来指示。例如，卡可以使用被标记为‘SW1SW2’的值向终端传送匹配和/或验证结果，这可以由下表1定义：

表1.验证结果

如图6所描述，在一组CVM列表处理步骤完成之后，可以指示终端执行CVM。例如，终端可以首先启动图6的步骤S605或步骤S610，以在尝试执行CVM之前确定终端是否支持卡上的CVM代码。一旦终端已经确定支持所呈现的卡上的CVM代码，则过程700可以开始。在步骤S701中，终端确定是否需要向卡发布命令以便从卡中检索生物特征尝试计数器。生物特征尝试计数器可以是存储在卡上的设定值，该设定值在每次持卡人尝试验证不同的生物特征样本时减少。例如，验证实体可以将卡上的指纹尝试计数器设置为值‘5’，并且在交易期间，每次尝试验证用户的手指之一时卡将使该值减少。在步骤S702中，终端将命令传输给卡，卡然后将响应返回给终端。

图8a示出来自终端的检索生物特征尝试计数器的命令如何启动由卡执行的方法。在步骤S801中，由卡接收该命令。在步骤S802中，卡确定用于生物特征类型的生物特征尝试计数器是否等于0，由此指示已超过生物特征尝试限值。如果步骤S802的答案为“是”，则在转到步骤S802b之前，卡将CVR(卡验证结果)以及存储在卡上的IAD(发行方应用数据)中的对应位设置为‘超过了生物特征尝试限值’。CVR可以由卡使用来在匹配会话期间将验证结果传送给终端，并且IAD可以用于包含生物特征验证结果并且可以被传输给发行方或验证实体。否则，卡直接转到步骤S802b。在步骤S802b中，卡在响应中插入生物特征尝试计数器模板。在步骤S802c中，返回响应并将其发送回终端。

回到图7，一旦在响应中已经成功地从卡中检索到生物特征尝试计数器，则终端启动步骤S703。在步骤S703中，终端读取响应，并且如果生物特征尝试计数器等于0，则终端将TVR设置为‘超过生物特征尝试限值’，认为生物特征验证未成功并终止CVM。否则，终端执行步骤S703a。在步骤S703a中，终端发布从卡中检索卡BIT组模板的命令。

卡BIT组模板可以是标识卡上的生物特征信息模板或BIT的数量以及请求不同的生物特征子类型以供验证的序列的数据。终端可以使用卡BIT组模板中列出的BIT序列来确定终端可能要求用户呈现哪种生物特征子类型以供验证。终端还可以读取优选尝试模板，其可以是由验证实体设置的值，该值指示对于给定的生物特征类型，允许使用单个BIT验证多少次验证尝试。例如，指纹优选尝试可以被配置为3，并且卡BIT组模板可以被配置如下：

·BIT 1–右手食指

·BIT 2–右手中指

然后，如果终端选择指纹作为CVM，则终端可能会要求用户先呈现他或她的右手食指，因为它在列表中为第一位。如果在3次尝试之后右手食指的验证失败，并且指纹尝试计数器不为零，则终端可以转到列表中的下一根手指并且要求用户呈现右手中指，最多进行3次尝试。该过程可以继续，直到ICC返回成功匹配或者直到指纹尝试计数器减少到零。

在步骤S704中，终端确定是否已经检索到卡BIT组模板。如果没有检索到卡BIT组模板，则终端执行步骤S704a并且将TVR设置为‘没有返回BIT组模板’，并且生物特征验证被视作未成功。如果已经检索到BIT组，则终端启动步骤S705。在步骤S705中，终端确定终端是否支持存储在卡上的验证方法的格式和算法。如果终端不支持格式和算法，则终端执行步骤S705a，并且将TVR设置为‘不支持生物特征模板格式或匹配算法’。如果终端支持格式和算法，则终端执行步骤S705b并且读取BIT组模板中的第一BIT，并且从卡中检索到对应的优选尝试模板。

一旦读取了第一生物特征，终端便在步骤S705c中向卡传输用于检索优选尝试模板的命令。图8B示出用于检索优选尝试模板的命令。在步骤S804中，卡从终端接收命令。在步骤S804a中，卡在响应中返回优选尝试模板，并将该响应传输给终端。

回到图7，在步骤S706中，终端确定是否已经从卡中检索到优选尝试模板。如果已经检索到优选尝试模板，则终端执行步骤S706a，并且在执行步骤S706b之前将模板尝试计数器设置为优选尝试模板中所包含的值。否则，终端直接跳到步骤S706b。在步骤S706b中，终端使用存储在卡上的BIT中所包含的生物特征类型和子类型来确定要求持卡人呈现哪个手指或哪个生物特征样本，如由下表2和表3中所示的值所指示。

表2.生物特征类型

生物特征类型的名称	值
		面部特征	‘02’
指纹	‘08’
		虹膜	‘10’
掌纹	‘020000’
		语音	‘04’

表3.生物特征子类型

在步骤S706c中，终端要求持卡人的特定指纹或生物特征样本，这些将使用生物特征读取器来捕获。持卡人然后可以将生物特征样本呈现给终端的生物特征读取器以供捕获。在步骤S707中，终端确定生物特征读取器是否发生故障。如果生物特征读取器发生故障，则终端执行步骤S707a，其中终端将TVR设置为‘需要生物特征录入，但是捕获装置不存在或不工作’，并且终端认为CVM未成功。如果生物特征读取器没有发生故障，则终端启动步骤S708。

在步骤S708中，终端确定是否绕过指纹录入或生物特征样本的捕获。例如，用户可能已经错过了生物特征读取器允许用户呈现他或她的生物特征样本的设置时间帧。如果已经绕过了指纹录入或生物特征样本的捕获，则终端执行步骤S708a，并且将TVR设置为‘需要生物特征录入，但是未捕获到生物特征’，并且终端认为CVM未成功。如果尚未绕过指纹录入或生物特征样本的捕获，则终端执行步骤S708b。在步骤S708b中，终端恢复对所捕获的生物特征样本的生物特征样本模板进行加密所需的数据加密密钥。在步骤S709中，终端确定是否成功恢复了数据加密密钥。如果终端没有成功恢复数据加密密钥，则终端认为CVM未成功，并且终止生物特征验证过程。否则，终端执行步骤S709a。

在步骤S709a中，如图8c所示，终端通过将命令传输到卡来获得不可预测的数字以在加密期间使用。参见图8c，在步骤S806中，卡接收来自终端的命令以生成并发送不可预测的数字。在步骤S806中，卡生成不可预测的数字并在响应中返回不可预测的数字，并且将该响应发送回终端。

回到图7，在步骤S710中，终端确定是否从卡接收到不可预测的数字。如果步骤S710中的确定为“否”，则终端认为CVM未成功。否则，终端执行步骤S710a。在步骤S710a中，终端对生物特征样本模板进行加密。在步骤S710b中，终端以验证命令将加密的生物特征样本模板发送给卡，如图9所示，这将在下文进一步描述。

在步骤S710c中，终端将卡中的模板尝试计数器减去1。模板尝试计数器可以是每次卡验证给定生物特征子类型的生物特征样本模板时终端减去的卡上的值。例如，持卡人可以尝试多次向终端验证他或她的右手拇指的生物特征样本，并且在每次尝试之后，终端将模板尝试计数器减去1，直到模板尝试计数器达到零。

在步骤S711中，终端确定存储在卡上被标识为SW1SW2的值是否等于63Cx，其中x大于0。如果确定为“是”，则终端在步骤S712中确定是否已经设置模板尝试计数器，在这种情况下，终端启动步骤S713。否则，终端返回到步骤S706c。在步骤S713中，终端确定模板尝试计数器是否大于0，在这种情况下，终端返回到步骤S706c。否则，终端执行步骤S713a。在步骤S713a中，终端将模板尝试计数器重置为存储在优选尝试模板中的值，并且通过返回到步骤S706b来读取卡BIT组模板中的下一个指纹。如果在步骤S711中终端确定SW1SW2不等于63Cx，其中x大于0，则终端启动步骤S714。

在步骤S714中，终端确定SW1SW2是否等于指示验证成功的‘9000’。如果在步骤S714处，终端确定SW1SW2不等于‘9000’，则终端启动步骤S715。在步骤S715中，终端确定SW1SW2是否等于63C0、6983或6984。如果SW1SW2不等于这些值中的任何一个，则终端在步骤S715a中终止交易。然而，如果SW1SW2等于任何一个值，则终端在步骤S715b中将TVR设置为‘超过生物特征尝试限值’。在步骤S715c中，终端认为CVM未成功，并且结束CVM过程。

如果在步骤S714处，终端确定验证成功，则终端执行步骤S714a。在步骤S714a中，终端将TVR设置为‘执行生物特征并且成功’。在步骤S714b中，终端认为CVM成功。在步骤S714c中，终端将CVM结果设置为‘成功’，并且完成生物特征验证过程。

图9A和图9B示出根据本发明的实施方案的由诸如卡的便携式装置执行的示例性生物特征验证过程的流程图。卡可以是图1的卡110、图2和图3的便携式装置215或图5的便携式装置515。为了由便携式装置执行生物特征验证，可以使用以下数据元素和对应值：

表4.数据元素

在步骤S901中由卡从终端接收到的验证命令启动过程900，该终端包含卡将验证的加密的生物特征样本模板数据。在步骤S901a中，卡将CVR设置为‘执行离线生物特征’。

在步骤S902中，卡确定是否超过生物特征尝试限值。生物特征尝试限值可以是存储在卡中的值，其确定持卡人可以在认证会话中验证特定生物特征类型的生物特征样本的最大次数。例如，手指尝试限值可以被设置为‘5’，表明不管每次呈现哪个手指，持卡人仅可以尝试验证持卡人手指的多达五个生物特征样本。如果已经超过了生物特征尝试限值，则卡执行步骤S902a。在步骤S902a中，卡将CVR设置为‘超过生物特征尝试限值’，并且将IAD的离线生物特征结果中的适当位设置为‘真’。在步骤S902b中，卡将IAD的离线生物特征最后的尝试结果设置为‘超过尝试限值’，并且将离线生物特征最后的尝试模板设置为‘由于超过尝试限值或解密失败而没有验证模板’。在步骤S902c中，卡将被标识为SW1SW2的值设置为‘6984’，并且将包含验证结果的验证响应提交给终端。

如果在步骤S902中确定没有超过生物特征尝试限值，则卡启动步骤S902d。在步骤S902d中，卡将生物特征尝试计数器减去1。在步骤S902e中，卡对在验证命令中接收到的加密的生物特征样本数据进行解密。

在一个实施方案中，可以根据[ISO 18033-2]中定义的RSA-KEM算法对加密的生物特征样本数据进行解密。解密过程可以执行如下：

1.卡恢复用于生物特征数据加密/解密的私钥。密钥具有指数D和模数N。

2.在恢复私钥的情况下，卡可以使用[ISO 18033-2]中定义的RSA-KEM算法以如下方式对加密的生物特征数据进行解密：

a.卡对加密的生物特征密钥种子C进行解密：R＝RSATransform(C,D,N)，如[ISO18033-2]中定义。

b.卡使用K＝KDF(R,48)来生成两个TDES密钥。K的16个最高有效字节是生物特征加密密钥BEK，并且K的32个最低有效字节是生物特征MAC密钥BMK。

c.卡利用生物特征MAC密钥BMK来验证HMAC，如[ISO/IEC 9797-2]中定义。

d.卡使用[ISO 18033-2]中定义的DEM1机制、利用在步骤b中生成的生物特征加密密钥BEK来对加密的生物特征数据进行解密。

如果以上任何一个步骤失败，则CVM失败。

3.卡可以验证从加密的生物特征数据恢复的ICC不可预测的数字是否等于由卡生成的ICC不可预测的数字。如果它们不一样，则离线生物特征CVM失败。

4.卡应验证从加密的生物特征数据恢复的数据标头是否等于‘7F’。如果它们不一样，则离线生物特征CVM失败。

5.卡应验证从加密的生物特征数据恢复的生物特征解决方案ID是否等于从终端接收到的生物特征解决方案ID。如果它们不一样，则离线生物特征CVM失败。

6.卡可以验证从加密的生物特征数据恢复的生物特征类型是否等于从终端接收到的生物特征类型。如果它们不一样，则离线生物特征CVM失败。

7.卡可以在加密的生物特征数据上生成HMAC，如[ISO/IEC 9797-2]中定义。如果所生成的值与从终端接收到的MAC不相同，则离线生物特征CVM失败。

在步骤S903中，卡确定解密是否成功。如果解密不成功，则卡执行步骤S903a。在步骤S903a中，卡将CVR设置为‘离线生物特征失败’，并且将IAD的离线生物特征结果中的适当位设置为‘真’。在步骤S903b中，卡将IAD的离线生物特征最后的尝试结果设置为‘解密失败’，并且将离线生物特征最后的尝试模板设置为‘由于超过尝试限值或解密失败而没有验证模板’，并且转到在向终端发出验证响应之前，检查生物特征类型的尝试计数是否为零。

如果在步骤S903处确定解密成功，则卡执行步骤S903c。在步骤S903c中，卡将IAD的“离线生物特征最后的尝试模板”设置为有待验证的生物特征样本模板的特定生物特征子类型。在步骤S904中，卡确定是否支持1:1匹配。如果卡支持1:1匹配，则卡执行步骤S904a。在步骤S904a中，卡查找映射到与生物特征样本模板相同的生物特征类型和生物特征子类型的生物特征匹配对象(BMO)。在步骤S905中，确定是否找到BMO。如果没有找到BMO，则卡在过程中跳到步骤S906f。如果找到BMO或者如果在S904中确定卡不支持1:1匹配，则卡启动步骤S905a。

在步骤S905a中，卡调用匹配函数以将解密的生物特征样本数据转发到卡上的生物特征验证小程序以进行匹配。卡生物特征验证小程序将接收到的生物特征样本模板与BMO中的生物特征参考模板进行比较。在步骤S906中，卡确定匹配函数是否返回大于成功匹配所需的预设最小阈值的匹配分数。如果匹配分数大于阈值，则卡执行步骤S906a。在步骤S906a中，卡将生物特征尝试计数器重置为其由验证实体偏好设置的初始值。在步骤S906b中，卡将CVR中的‘离线生物特征失败’位设置为‘假’(指示生物特征验证未失败并且生物特征样本被验证)。在步骤S906c中，卡将IAD的离线生物特征最后的尝试结果设置为‘匹配成功’。在步骤S906d中，卡设置IAD的附加数据，该附加数据可以包括生物特征验证可靠性指标或某种其他度量或关于用户进行验证尝试的次数的数据。在步骤S906e中，卡将被标识为SW1SW2的值设置为表示生物特征样本模板被验证(即，生物特征样本模板匹配生物特征参考模板)的‘9000’，并且将包含验证结果的验证响应发送回终端。

如果在步骤S906处确定匹配分数低于阈值，则卡启动步骤S906f。在步骤S906f中，卡将CVR设置为‘离线生物特征失败’。在步骤S907中，卡确定匹配分数是否大于0但小于阈值。如果在步骤S907中作出的确定为“是”，则卡执行步骤S907a。在步骤S907a中，卡将IAD的离线生物特征最后的尝试结果设置为‘匹配失败’。在步骤S907b中，卡将IAD中的数据设置为离线生物特征验证可靠性指标和/或与用户进行验证尝试的次数相关的其他度量的值。

如果在步骤S907处作出的确定为“否”，则卡启动步骤S908。在步骤S908中，卡确定匹配函数是否返回‘无效数据’的输出。如果返回‘无效数据’的输出，则卡执行步骤S908a，并且将IAD的离线生物特征最后的尝试结果设置为‘不支持模板格式’。否则，卡启动步骤S909。在步骤S909中，卡确定匹配函数是否返回‘未注册’的输出，在这种情况下，卡执行步骤S909a，并且将IAD的离线生物特征最后的尝试结果设置为‘没有注册的模板’。否则，卡启动步骤S910。在步骤S910中，卡确定匹配函数是否返回‘非法使用’的输出，在这种情况下，卡在步骤S910a中将IAD的离线生物特征最后的尝试结果设置为‘在匹配会话之外使用的模板’。否则，卡启动步骤S911。在步骤S911中，卡确定匹配函数是否返回表示需要更多数据以执行匹配的输出，在这种情况下，卡在步骤S911a中将IAD的离线生物特征最后的尝试结果设置为‘匹配需要更多数据’。否则，卡执行步骤S911b。在步骤S911b中，卡将IAD的离线生物特征最后的尝试结果设置为‘未知错误’。

在步骤S912中，卡确定生物特征类型的尝试计数器是否为零。如果生物特征类型的尝试计数器为零，则卡执行步骤S912a。在步骤S912a中，卡将CVR设置为‘超过生物特征尝试限值’。在步骤S912b中，卡将SW1SW2设置为等于‘63C0’，并且将包含验证结果的验证响应返回给终端。如果在步骤S912中卡确定生物特征类型的尝试计数器不为零，则在将包含验证结果的验证响应发送回终端之前，卡执行步骤S912c。在步骤S912c中，卡设置SW1SW2＝‘63Cx’，这表示剩余“x”次尝试。然后，持卡人可以使用不同的生物特征样本来尝试验证过程‘x’次，或直到他或她被成功验证。

本发明的实施方案具有多个优点。通过在用于进行交易的便携式装置上提供多个验证实体偏好，可以在相对于验证实体位于远处的访问装置处执行特定验证过程。因此，验证实体不需要实施或创建附加系统和程序来适应可能在所有验证实体中被标准化的生物特征认证过程。本发明的这个实施方案可以导致改进的生物特征验证处理，同时最小化或消除为每个验证实体创建定制系统的需要。另外，本发明的一些实施方案可以允许便携式装置或访问装置在发送给授权实体的授权请求消息中提供关于生物特征验证过程的附加数据。如上所述，这有助于授权实体改进其欺诈检测过程，从而将改进其授权处理。这样的附加数据还可以允许授权实体通过获得关于生物特征验证过程如何工作的数据来改进他们的生物特征认证过程。

本申请中描述的任何软件组件或功能中可以实现为使用任何适当计算机语言(诸如，例如Java、C、C++、C#、Objective-C、Swift)或脚本语言(诸如Perl或Python)使用例如传统的或面向对象的技术由处理器执行的软件代码。软件代码可以作为一系列指令或命令存储在用于存储和/或传输的计算机可读介质上，合适的介质包括随机存取存储器(RAM)、只读存储器(ROM)、诸如硬盘驱动器或软盘的磁介质或诸如光盘(CD)或DVD(数字通用盘)的光学介质、闪存等。计算机可读介质可以是这些存储或传输装置的任何组合。

也可以使用适于通过符合各种协议(包括互联网)的有线、光学、和/或无线网络传输的载波信号来编码和传输这样的程序。因此，根据本发明的实施方案的计算机可读介质可以使用用这种程序编码的数据信号来创建。利用程序代码编码的计算机可读介质可以利用兼容的装置来封装，或与其他装置可分开地提供(例如通过互联网下载)。任何这样的计算机可读介质都可以驻留在单个计算机产品(例如硬盘驱动器，CD或整个计算机系统)上或内部，并且可以存在于系统或网络内的不同计算机产品上或内部。计算机系统可包括监视器、打印机，或用于向用户提供本文所提及的任何结果的其他合适的显示器。

以上描述是示意性的不是限制性的。在本领域技术人员阅读了本公开之后，本发明的许多变体对于他们会变得显而易见。因此，本发明的范围不应该参考上面的描述来确定，而是应该参考待决的权利要求及其完整范围或等同物来确定。

在不偏离本发明的范围的情况下，任何实施方案的一个或多个特征可以与任何其他实施方案的一个或多个特征组合。

除非明确指示有相反的意思，否则“一个”、“一种”或“该/所述”的叙述旨在表示“一个或多个”。

上文提到的所有专利、专利申请、公开和描述出于所有目的以其全文引用的方式并入本文中。不承认它们为现有技术。

Claims (20)

1.一种方法，其包括：

将包括生物特征验证小程序的便携式装置耦合到包括生物特征读取器的访问装置，所述生物特征验证小程序包括生物特征参考模板数据，其中所述生物特征参考模板数据包括所述便携式装置的用户的生物特征参考模板和验证实体偏好；

由所述便携式装置从所述访问装置接收使用所述便携式装置的所述用户的生物特征样本模板；

由所述便携式装置通过将所述生物特征样本模板与所述生物特征参考模板进行比较来验证所述生物特征样本模板；以及

由所述便携式装置向所述访问装置提供所述生物特征样本模板的所述验证的验证结果。

2.根据权利要求1所述的方法，其还包括：

由所述便携式装置提供与验证所述生物特征样本的过程相关的附加数据。

3.根据权利要求2所述的方法，其中在接收到所述验证结果之后，所述访问装置将具有所述验证结果和所述附加数据的授权请求消息传输到发布所述验证实体偏好的验证实体。

4.根据权利要求3所述的方法，其中所述附加数据包括关于所述用户进行验证尝试的次数的数据。

5.根据权利要求3所述的方法，其中所述验证实体是所述便携式装置的发行方，并且所述验证实体偏好包括待验证的生物特征样本的第一优选类型或子类型、在无法验证生物特征样本的所述第一优选类型之后待验证的生物特征样本的第二优选类型或子类型，以及授予用户的优选的验证尝试次数。

6.根据权利要求3所述的方法，其中将所述便携式装置耦合到所述访问装置包括将所述便携式装置物理地耦合到所述访问装置。

7.一种便携式装置，其包括：

处理器；以及

计算机可读介质，所述计算机可读介质包括代码，所述代码可由所述处理器执行以实现一种方法，所述方法包括：

由所述便携式装置从访问装置接收使用所述便携式装置的用户的生物特征样本模板，所述便携式装置耦合到包括生物特征读取器的访问装置，所述便携式装置包括生物特征验证小程序，所述生物特征验证小程序包括生物特征参考模板数据，其中所述生物特征参考模板数据包括所述便携式装置的用户的生物特征参考模板和验证实体偏好；

由所述便携式装置通过将所述生物特征样本模板与所述生物特征参考模板进行比较来验证所述生物特征样本模板；以及

由所述便携式装置向所述访问装置提供所述生物特征样本模板的所述验证的验证结果。

8.根据权利要求7所述的便携式装置，其还包括：

由所述便携式装置提供与验证所述生物特征样本模板的过程相关的附加数据。

9.根据权利要求7所述的便携式装置，其中在接收到所述验证结果之后，所述访问装置将具有所述验证结果和所述附加数据的授权请求消息传输到发布所述验证实体偏好的验证实体。

10.根据权利要求7所述的便携式装置，其中所述附加数据包括关于所述用户进行验证尝试的次数的数据。

11.根据权利要求7所述的便携式装置，其中所述验证实体是所述便携式装置的发行方，并且所述验证实体偏好包括待验证的生物特征样本的第一优选类型或子类型、在无法验证生物特征样本的所述第一优选类型之后待验证的生物特征样本的第二优选类型或子类型，以及授予用户的优选的验证尝试次数。

12.根据权利要求7所述的便携式装置，其中将所述便携式装置耦合到所述访问装置包括将所述便携式装置物理地耦合到所述访问装置。

13.一种方法，其包括：

将包括生物特征验证小程序的便携式装置与包括生物特征读取器的访问装置耦合，所述生物特征验证小程序包括生物特征参考模板数据，其中所述生物特征参考模板数据包括所述便携式装置的用户的生物特征参考模板和验证实体偏好；

由所述访问装置的接口针对生物特征样本提供提示；

从所述接口接收所述生物特征样本；

由所述访问装置向所述便携式装置提供代表所述生物特征样本的生物特征样本模板，其中所述便携式装置将所述生物特征样本模板与所述生物特征参考模板进行比较并产生验证结果；以及

由所述访问装置从所述便携式装置接收所述验证结果。

14.根据权利要求13所述的方法，其还包括：

由所述访问装置接收与验证所述生物特征样本的过程相关的附加数据。

15.根据权利要求14所述的方法，其中在接收到所述验证结果之后，所述访问装置将具有所述验证结果和所述附加数据的授权请求消息传输到发布所述验证实体偏好的验证实体。

16.根据权利要求15所述的方法，其中所述附加数据包括关于所述用户进行验证尝试的次数的数据。

17.根据权利要求15所述的方法，其中所述验证实体是所述便携式装置的发行方。

18.一种访问装置，其包括：

处理器；

生物特征读取器；以及

计算机可读介质，所述计算机可读介质包括代码，所述代码可由所述处理器执行以实现一种方法，所述方法包括：

从耦合到所述访问装置的便携式装置接收验证实体偏好；

从所述生物特征读取器接收生物特征样本模板；

向所述便携式装置发送所述生物特征样本模板；

从所述便携式装置接收验证结果和附加数据，其中所述验证结果指示所述生物特征样本模板是否匹配所述便携式装置上的生物特征参考模板；以及

生成包括所述验证结果和所述附加数据的授权请求消息。

19.根据权利要求18所述的访问装置，其中所述附加数据包括关于用户进行验证尝试的次数的数据。

20.根据权利要求18所述的访问装置，其中由所述代码实现的所述方法还包括：

将所述授权请求消息发送给发布所述验证实体偏好的验证实体。