CN110462663A - 用于表示动态真实凭证的静态令牌系统和方法 - Google Patents

Abstract

提供了用于为第一设备预先供应令牌的系统和方法。可以使用第二设备上的应用程序来将所述第一设备上的所述令牌链接到任何真实凭证。因为可以使用所述第二设备来维护所述令牌，所以所述第一设备可以是“哑”设备，而所述第二设备是“智能”设备。可以在所述第二设备上更改和更新所述真实凭证，使得同一令牌在不同时间链接到不同的真实凭证。可以将标识符分配给所述第一设备，并将所述标识符与供应给所述第一设备的令牌相关联地存储在令牌库中。用户可以使用所述标识符来向所述第二设备上的应用程序注册和激活所述令牌。

Description

用于表示动态真实凭证的静态令牌系统和方法

相关申请的交叉引用

本申请要求2017年3月31日提交的第15/476,160号美国专利申请的权益，所述申请以全文引用的方式并入本文中。

背景技术

通常在资源提供商请求交易时由用户对交易进行认证。例如，卡持有者可以在销售点对购买进行认证。可以由用于实施交易的设备(例如，信用卡、移动设备、通信设备、安全设备等)传达用户的真实凭证，例如，主账号(PAN)、访问编号或者PIN编号。但是，用户可能出于安全方面的顾虑不想与资源提供商共享其真实凭证。

因此，需要一种安全并且有效率的系统和方法为更多的用户提供使用其设备实施交易同时又保持对资源提供商隐藏其真实凭证的能力。这样减少了真实凭证被传达到的各方的数量，因而既降低了资源提供商实施欺诈的风险，又降低了真实凭证被拦截和不当使用的风险。

为了实现这一点，可以将令牌供应到设备上，并将其用来代替真实凭证来与资源提供商实施交易。令牌可以用于用敏感信息替换敏感信息(即，真实凭证)，其中非敏感信息本身具有很少或没有价值。令牌可以充当通过令牌服务器映射回真实凭证的引用。令牌服务器可以是高度安全的，并且与诸如资源提供商之类的其他交易处理实体完全隔离，从而降低了未授权方欺诈和拦截真实凭证的风险。

通常，令牌被供应到增强功能设备上以用于进行交易。增强功能设备可以是能够访问因特网并且具有复杂用户界面的设备(例如，智能电话、平板电脑、计算机等)。增强功能设备可以用于请求与真实凭证相对应的令牌，并且实时地将令牌提供到设备上。增强功能设备可以存储与多个真实凭证相对应的多个令牌。

有限功能设备可以是不能直接访问因特网和/或不具有复杂(或任何)用户界面的设备(例如，可穿戴设备，例如健身手环、环、基本移动电话、密钥卡等)。可以给有限功能设备预先供应(即，制造)真实凭证，但是所供应的真实凭证通常是静态的，并且不能进一步改变。因此，用户可能无法用不同的真实凭证来替换预先供应的真实凭证。这可能在预先供应的真实凭证到期或被取消时，当获得新的真实凭证时，或者当需要使用不同的真实凭证时，给用户带来问题。如果用户期望具有多于一个供应的真实凭证，则可能需要多个有限功能设备，每个有限功能设备都预先供应有不同的真实凭证。

本发明的实施方案单独地和共同地解决此问题和其他问题。

发明内容

根据本发明的一些实施方案，提供了用于为第一设备预先供应令牌的系统和方法。可以使用第二设备上的应用程序来将第一设备上的令牌链接到任何真实凭证。因为可以使用第二设备来维护令牌，所以第一设备可以是有限功能设备，而第二设备是增强功能设备。可以在第二设备上更改和更新真实凭证，使得相同的令牌在不同时间链接到不同的真实凭证。可以将标识符分配给第一设备，并将所述标识符与供应给所述第一设备的令牌相关联地存储在令牌库中。用户可以使用该标识符来向第二设备上的应用程序注册和激活令牌。

根据本发明的一些实施方案，提供了一种方法。该方法包括由服务器计算机从第二设备接收与第一设备相关联的第一设备标识符。第一设备标识符与令牌相关联地存储。在第一设备中预先供应令牌。该方法还包括由服务器计算机从第二设备接收真实凭证。该方法还包括由服务器计算机链接真实凭证和令牌。该方法还包括由服务器计算机促进令牌的激活。此后，令牌由第一设备用于在交易中与访问设备进行交互。

本发明的实施方案还涉及一种包括处理器和非暂态计算机可读介质的服务器计算机。所述计算机可读介质可以包括可由处理器执行的用于实施文中所述方法中的任何方法的代码。

下文进一步详细描述本发明的这些和其他实施方案。

附图说明

图1示出了根据本发明的一些实施方案的用于处理表示动态真实凭证的静态令牌的交易系统的框图。

图2示出了根据本发明的一些实施方案的预先供应有静态令牌的第一设备的框图。

图3示出了根据本发明的一些实施方案的用于维护静态令牌的第二设备的框图。

图4示出了根据本发明的一些实施方案的应用程序提供商计算机的方框图。

图5示出了根据本发明的一些实施方案的令牌服务器的方框图。

图6示出了根据本发明的一些实施方案的用于处理表示动态真实凭证的静态令牌的交易方法的流程图。

图7示出了根据本发明的一些实施方案的建筑物访问系统的框图。

具体实施方式

根据本发明的一些实施方案，提供了允许用户使用预先供应有静态令牌的第一设备来执行交易的系统和方法，而不需要在第一设备上使用因特网或复杂的用户界面。第二设备可以用于维护预先供应的令牌，诸如注册令牌，将令牌与真实凭证相关联，和/或改变与令牌相关联的真实凭证。

在论述特定实施方案和实例之前，下文提供本文中所使用的术语的一些描述。

“访问设备”可以是提供对远程系统的访问的任何合适的设备。访问设备还可用于与商家计算机、交易处理计算机、认证计算机或任何其他合适的系统通信。访问设备通常可以位于任何合适的位置处，例如位于商家所在位置处。访问设备可以呈任何合适的形式。访问设备的一些实例包含POS或销售点设备(例如，POS终端)、蜂窝电话、PDA、个人计算机(PC)、平板PC、手持式专用读取器、机顶盒、电子现金出纳机(ECR)、自动柜员机(ATM)、虚拟现金出纳机(VCR)、营业亭、安全系统、访问系统等等。访问设备可使用任何合适的接触或非接触操作模式，以向用户移动设备发送或从其接收数据或者与用户移动设备相关联。在访问设备可包括POS终端的一些实施方案中，可以使用任何合适的POS终端，并且任何合适的POS终端可包含读取器、处理器和计算机可读介质。读取器可包含任何合适的接触式或非接触式操作模式。举例来说，示范性读卡器可包含射频(RF)天线、光学扫描仪、条形码读取器或磁条读取器，以与支付设备和/或移动设备交互。POS终端可以发起或者可以不发起对交易的处理。

“收单方”通常可以是与特定商家或其他实体具有商业关系的商业实体(例如，商业银行)。一些实体可执行发行方和收单方两者的功能。一些实施方案可涵盖此类单实体发行方-收单方。收单方可操作收单方计算机，其也可一般被称为“传送计算机”。

“授权请求消息”可以是发送给支付处理网络和/或支付卡的发行方以请求交易授权的电子消息。根据一些实施方案，授权请求消息可以符合(国际标准组织)ISO 8583，ISO8583是用于交换与消费者使用支付设备或支付账户进行的支付相关联的电子交易信息的系统的标准。授权请求消息可包含可与支付设备或支付账户相关联的发行方账户标识符。授权请求消息还可包括对应于“标识信息”的额外数据元素，包含(仅作为实例)：服务代码、CVV(卡验证值)、dCVV(动态卡验证值)、到期日期等。授权请求消息还可包括“交易信息”，例如与当前交易相关联的任何信息，例如交易金额、商家标识符、商家位置等等，以及可用于确定是否识别和/或授权交易的任何其他信息。

“授权响应消息”可以是由发行金融机构或支付处理网络产生的对授权请求消息的电子消息应答。授权响应消息可包含仅作为示例以下状态指示符中的一个或多个状态指示符：批准-交易被批准；拒绝-交易未被批准；或呼叫中心-挂起更多信息的响应，商家必须呼叫免费授权电话号码。授权响应消息还可以包含授权代码，其可以是信用卡发行银行响应于电子消息中的授权请求消息(直接地或通过支付处理网络)，返回给商家访问设备(例如，POS设备)的指示交易被批准的代码。所述代码可充当授权的证据。如上所述，在一些实施方案中，付款处理网络可以向商家生成或转发授权响应消息。

“授权实体”可以是授权请求的实体。授权实体的示例可以是发行方、政府机构、文档存储库、访问管理员等等。

“设备”可包括可由用户操作的任何合适的电子设备。在一些实施方案中，设备可以是有限功能设备。有限功能设备可以是不能访问因特网和/或不具有复杂用户界面(或根本没有用户界面)的设备。然而，有限功能设备可以具有除因特网能力之外的某些通信能力，例如通过蓝牙或近场通信。在一些实施方案中，设备可以是增强功能设备。增强功能设备可以是能够访问因特网和/或具有复杂用户界面(例如，触摸屏)的设备。设备可以包括通信设备。通信设备也可以提供与网络的远程通信能力。远程通信能力的实例包含使用移动电话(无线)网络、无线数据网络(例如，3G、4G或类似网络)、Wi-Fi、Wi-Max，或可提供对例如因特网或私用网络的网络的访问的任何其他通信介质。设备的示例包括移动电话(例如，蜂窝电话)、PDA、平板计算机、上网本、膝上型计算机、个人音乐播放器、手持式专用读取器、手表、健身手环、可穿戴设备、脚镯、戒指、耳环、密钥卡、实体钱包、眼镜、容器、咖啡杯、外卖容器等，以及具有远程通信能力的汽车。设备可以包括用于执行此类功能的任何合适的硬件和软件，且还可以包含多个设备或部件(例如，当设备通过系链到另一设备而远程访问网络时-即，使用另一设备作为调制解调器-两个设备一起被视为单个通信设备)。

“数字钱包”可以包括允许个人进行电子商务交易的电子应用或设备。电子钱包可以存储用户配置文件信息、支付凭证、银行账户信息、一个或多个数字钱包标识符等，并且可以用在各种交易中，这些交易诸如但不限于电子商务、社交网络、转账/个人支付、移动商务、接近支付、博彩等等，用于零售购买、数字商品购买、公用事业支付、在博彩网站或系统购买博彩或博彩点券、用户间转移资金等。数字钱包可以被设计来简化购买和付款过程。数字钱包可以允许用户将一个或多个付款卡加载到数字钱包上，以便进行付款而无需输入账号或出示实体卡。数字钱包还可以存储交易记录(例如，电子收据)。

“标识符”可以包括标识某种东西的字母、数字、符号和/或图像的任何组合。这些标识符的示例包括MAC地址、IP地址、序列号、QR码、条形码、密码、PIN号、名称等。标识符可以与设备相关联。例如，“设备标识符”可以是特定设备独有的标识符。

“发行方”通常可指代维护用户的账户的企业实体(例如，银行)。发行方还可以发布存储在通信设备上的支付凭证。

“供应”可以包括提供数据以供使用的过程。例如，提供可以包括在设备上供应、递交或者启用令牌。可以由交易系统内或者交易系统外的实体完成供应。例如，在一些实施方案中，可以由发行方或者交易处理网络将令牌供应到移动设备上。所供应的令牌可以具有存储并保持在令牌库或者令牌注册档内的对应令牌数据。在一些实施方案中，令牌库或者令牌注册档可以生成之后可以被供应或者递交给设备的令牌。“预先供应”可以包括在购买、使用和/或获得设备之前在设备上供应数据的过程。例如，预先供应可以包括在制造设备时在设备上、递送或启用令牌。

“真实凭证”可以包括权限(authority)、权利(right)或特权权利(entitlementto privilege)的任何证据。举例来说，访问凭证可以包括访问例如建筑物或文件的某些有形或无形资产的许可(permission)。在另一实例中，支付凭证可包含与账户(例如，支付账户和/或与所述账户相关联的支付设备)相关联和/或识别账户的任何合适信息。此类信息可以与账户直接有关，或可以源自与账户有关的信息。账户信息的实例可包含“账户识别符”，例如主账号或“账号”(PAN)、令牌、子令牌、礼品卡号或代码、预付卡号或代码、用户名、到期日期、卡验证值(CVV)、动态卡验证值(dCVV)、卡验证值2(CVV2)、CVC3卡验证值等等。PAN的实例是16位数字，例如“4147 0900 0000 1234”。在一些实施方案中，真实凭证可被视为敏感信息。

“资源提供商”可以是可以提供例如商品、服务、信息和/或访问的资源的实体。资源提供商的实例包含商家、访问设备、安全数据访问点等等。“商家”通常可以是参与交易并且可出售商品或服务或提供对商品或服务的访问的实体。

“服务器计算机”可包含功能强大的计算机或计算机集群。举例来说，服务器计算机可以是大型主机、小型计算机集群或像单元一样工作的一组服务器。在一个实例中，服务器计算机可以是耦合到网络服务器的数据库服务器。服务器计算机可耦合到数据库，且可包含用于服务来自一个或多个客户端计算机的请求的任何硬件、软件、其他逻辑或前述内容的组合。服务器计算机可包括一个或多个计算设备，且可使用各种计算结构、布置和编译中的任一种来服务来自一个或多个客户端计算机的请求。

“服务提供商”或“应用程序提供商”可以是可以提供服务或应用程序的实体。服务提供商的示例是数字钱包提供商。

“令牌”可包含某一信息的替代标识符。举例来说，支付令牌可包含支付账户的标识符，所述标识符是账户标识符的替代，例如主账号(PAN)。举例来说，令牌可包含可用作原始账户标识符的替代的一系列字母数字字符。举例来说，令牌“4900 0000 0000 0001”可用于代替PAN”4147 0900 0000 1234”。在一些实施方案中，令牌可以是“保留格式的”，并且可以具有与现有支付处理网络中使用的账户识别符一致的数字格式(例如，ISO 8583金融交易消息格式)。在一些实施方案中，令牌可用于代替PAN，以发起、授权、结算或解决支付交易。在通常提供原始凭证的其他系统中，令牌还可用于表示原始凭证。在一些实施方案中，可产生令牌值，使得可以不通过计算方式从令牌值导出原始PAN或其他账户识别符的恢复。另外，在一些实施方案中，令牌格式可配置成允许接收令牌的实体将其识别为令牌，并辨识发行令牌的实体。

“令牌化”是用替代数据代替敏感数据的过程。例如，可以通过用可以与真实凭证相关联的替代号来代替真实账户标识符而使真实凭证(例如，主账号(PAN))令牌化。例如，可以对任何其他信息应用令牌化处理，从而以令牌代替隐含的信息。“令牌交换”或者“去令牌化”是恢复在令牌化过程中受到替代的数据的过程。例如，令牌交换可以包括以和支付令牌相关联的主账号(PAN)代替支付令牌。此外，可以对任何其他信息应用去令牌化或者令牌交换，从而从令牌中取回受到替代的信息。在一些实施方案中，可以通过交易消息(例如，ISO消息)、应用编程接口(API)或者其他类型的web接口(例如，web请求)实现令牌交换。

“交易处理计算机”可以包括由能够对交易请求消息进行处理和路由的一个或多个设备构成的网络。示例性交易处理计算机可以包括用来支持和提供授权服务、异常文件服务、交易评分服务以及清算与结算服务的数据处理子系统、网络和操作。示例性交易处理系统可包含VisaNet^TM。例如VisaNet^TM等交易处理系统能够处理信用卡交易、借记卡交易和其他类型的商业交易。具体来说，VisaNet^TM可包含处理授权请求的VIP系统(Visa集成式支付系统)，和执行清算与结算服务的Base II系统。

可以使用各种系统来实现本文所述的处理静态令牌的方法。图1示出了根据本发明的一些实施方案的用于处理表示动态真实凭证的静态令牌的系统100的框图。系统100包括第一设备110、访问设备120、资源提供商计算机130、传输计算机140、交易处理计算机150、授权实体计算机160、令牌服务器170、应用程序提供商计算机180和第二设备190。这些系统和计算机中的每一个都可以彼此进行操作性通信。在一些实施方案中，第一设备110和第二设备190可以由同一用户(例如，真实凭证的授权用户)操作。在一些实施方案中，第一设备110和第二设备190可以由不同的用户操作(例如，第二设备190可以由父母操作以激活在第一设备110上为孩子供应的令牌)。

为了简化说明，图1中示出一定数量的部件。然而，应理解，本发明的实施方案可包含多于一个每种部件。另外，本发明的一些实施方案可包含比图1中所示的所有部件少或多的部件。另外，图1中的部件可以使用任何合适的通信协议经由任何合适的通信媒体(包含因特网)通信。

用户可以操作第二设备190以激活和管理在第一设备110上预先供应的令牌。第一设备110可以具有第一设备标识符(例如，序列号)。在一些实施方案中，第一设备标识符可能被包装覆盖或用刮开标签或其他可移除标签保护。用户可以揭示第一设备标识符，然后操作第二设备190以将与第一设备110相关联的第一设备标识符发送到应用程序提供商计算机180。用户可以进一步操作第二设备190以选择要与在第一设备110上预先供应的令牌相关联的真实凭证，并将选择发送到应用程序提供商计算机180。

第一设备110和第二设备190中的每一个都可以是适合于执行诸如金融交易之类的交易或任何其他附加的相关动作的任何设备。第一设备110和第二设备190中的一个或两个可以包括可以存储数字钱包应用程序或其他支付应用程序的存储器。可以向应用程序供应账户信息(例如，凭证或令牌)，以使每个设备能够进行交易(例如，发送和接收货币)。第一设备110和第二设备190中的每一个还可以包括可以以硬件和/或软件来实现的安全元件，其可以存储敏感账户或个人信息。

在一些实施方案中，第一设备110可以是有限功能设备，而第二设备190可以是增强功能设备。在一些实施方案中，第一设备110和第二设备190两者都可以是增强功能设备。增强功能设备可以是能够访问因特网和/或具有复杂用户界面的设备(例如，智能电话、平板电脑、计算机等)。有限功能设备可以是不能直接访问远程网络(例如，因特网)和/或不具有复杂(或任何)用户界面的设备(例如，可穿戴设备，诸如健身手环和戒指、基本移动电话、密钥卡、门禁卡，可编程卡等)。

应用程序提供商计算机180可以从第二设备190接收第一设备标识符和所选择的真实凭证。应用程序提供商计算机180可以从数据库中检索与第一设备标识符相对应的令牌，例如通过使用查找表。应用程序提供商计算机180可以将令牌和所选择的真实凭证转发到令牌服务器170。

应用程序提供商计算机180可由应用程序提供商操作或与应用程序提供商相关联。应用程序提供商可以是向通信设备提提供用程序以供用户使用的实体。在一些实施方案中，应用程序提供商可以是向通信设备提供数字钱包或支付应用程序的数字钱包提供商。应用程序提供商计算机180可为每个用户维护一个或多个数字钱包，且每个数字钱包都可与一个或多个支付账户的支付数据相关联。数字钱包的实例可包含Visa Checkout^TM或Google^TM Wallet等。

应用程序提供商计算机180可以包括服务器计算机。服务器计算机可以包括处理器和耦合到处理器的计算机可读介质，该计算机可读介质包括可由处理器执行以用于执行以下进一步详细描述的功能的代码。服务器计算机可以向存储在第一设备110和/或第二设备190上的数字钱包应用程序发送和接收空中(OTA)消息。

令牌服务器170可以从应用程序提供商计算机180接收令牌和真实凭证。令牌服务器170可以在数据库(例如令牌库)中将真实凭证和令牌链接。令牌服务器170可以促进令牌的激活，以便此后令牌可以由第一设备110在交易中使用。

令牌服务器170可以维护令牌和真实凭证之间存储的关联(例如，映射)，使得令牌交换模块能够将令牌“转换”回真实凭证。在一些实施方案中，令牌是通过数学方式从真实凭证导出的。在其他实施方案中，令牌是相对于真实凭证随机生成的，并且在数据表中简单地链接到真实凭证。不论令牌是如何从真实凭证生成的或反之，通过在交易期间使用令牌来替代真实凭证，能够提供增强的安全。令牌服务器170可以包括服务器计算机。服务器计算机可以包括处理器和耦合到处理器的计算机可读介质，该计算机可读介质包括可由处理器执行以用于执行以下进一步详细描述的功能的代码。

一旦令牌被令牌服务器170激活，令牌就可被第一设备110用来在交易中与访问设备120进行交互。例如，令牌可以由第一设备110呈现给访问设备120以发起交易。访问设备120可以将令牌和/或任何其他交易细节转发到资源提供商计算机130。资源提供商计算机130可以与资源提供商(例如商家、访问提供商和/或等)相关联。资源提供商计算机130可以使用令牌和交易细节来为交易生成授权请求消息。资源提供商计算机130可包括服务器计算机。服务器计算机可以包括处理器和耦合到处理器的计算机可读介质，该计算机可读介质包括可由处理器执行以用于执行以下进一步详细描述的功能的代码。

资源提供商计算机130可以与传输计算机140进行通信。传输计算机140通常是与另一实体(例如，与特定资源提供商计算机130相关联的银行)具有业务关系的实体的系统。传输计算机140可以经由交易处理计算机150将交易的授权请求消息路由到授权实体计算机160。传输计算机140可以包括服务器计算机。服务器计算机可以包括处理器和耦合到处理器的计算机可读介质，计算机可读介质包括可由处理器执行的用于执行本文所描述的功能的代码。

交易处理计算机150可以与一个或多个服务提供商相关联。交易处理计算机150可以包括提供令牌化和解除令牌服务的任何实体。在一些实施方案中，交易处理计算机150可以包括令牌服务器170。在这样的实施方案中，应用程序提供商计算机180可以利用应用程序编程接口(API)来与交易处理计算机150进行通信。交易处理计算机150可以包括服务器计算机。服务器计算机可以包括处理器和耦合到处理器的计算机可读介质，计算机可读介质包括可由处理器执行的用于执行本文所描述的功能的代码。

在一些实施方案中，授权实体计算机160可以与交易处理计算机450进行通信以便对交易进行授权。授权实体计算机160通常由商业实体(例如，银行)运行，该商业实体可能已经发行用于交易的真实凭证或令牌。一些系统可以执行授权实体计算机160和传输计算机140两者的功能。当交易涉及与授权实体计算机160相关联的真实凭证(例如，支付账户)时，授权实体计算机160可以验证账户，并且经由交易处理计算机150来利用授权响应消息对传输计算机140作出响应，该授权响应消息可以被转发到相应的访问设备120。授权实体计算机160可以包括服务器计算机。服务器计算机可以包括处理器和耦合到处理器的计算机可读介质，计算机可读介质包括可由处理器执行的用于执行本文所描述的功能的代码。

传输计算机140、交易处理计算机150和授权实体计算机160还被配置为在交易完成之后稍晚的时间(例如，在一天结束时)执行清算和结算处理。

图2示出了根据本发明的一些实施方案的预先供应有静态令牌的第一设备200的框图。例如，可以使用第一设备200来实现图1的第一设备110。第一设备200可包含耦合到存储器202的设备硬件204。设备硬件204可包含处理器205和本地通信子系统209。本地通信子系统209可以支持本地通信(例如，近场通信、蓝牙、蓝牙LE等)，但是在一些实施方案中可能不支持到因特网的连接。因此，本地通信子系统209可以包括一个或多个RF收发器和/或连接器，其可以由第一设备200用于与其他设备(例如，第二设备190和/或第二设备300)进行通信。在一些实施方案中，第一设备200可以包括保护本地通信子系统209的射频屏蔽套，以便可以防止对存储器202的未授权访问。

处理器205可以被实施为一个或多个集成电路(例如，一个或多个单核或多核微处理器和/或微控制器)，并且用于控制第一设备200的操作。处理器205可以响应于存储在存储器202中的程序代码或计算机可读代码而执行各种程序，并且可以保持多个同时执行的程序或过程。

存储器202可以使用以下的任何组合实施：任何数目个非易失性存储器(例如，快闪存储器)和易失性存储器(例如，DRAM、SRAM)，或任何其他非暂时性存储媒体或其媒体组合。存储器202可以存储静态令牌215。静态令牌215可以在第一设备200上预先供应。例如，可以在第一设备200的制造期间在第一设备200上供应静态令牌215。静态令牌215可以是静态的，因为其值是预编程的，并且不能通过重新编程来改变。可以使用本地通信子系统209和处理器205来将静态令牌215提供给其他系统或设备。

图3示出了根据本发明的一些实施方案的用于维护静态令牌的第二设备300的框图。例如，第二设备300可用于实现图1的第二设备190。第二设备300可包含耦合到存储器302的设备硬件304。设备硬件304可以包括处理器305、通信子系统309和用户接口306。在一些实施方案中，设备硬件304可以包括显示器307(其可以是用户接口306的一部分)。

处理器305可以被实施为一个或多个集成电路(例如，一个或多个单核或多核微处理器和/或微控制器)，并且用于控制第二设备300的操作。处理器305可以响应于存储在存储器302中的程序代码或计算机可读代码而执行各种程序，并且可以保持多个同时执行的程序或过程。通信子系统309可以包括一个或多个RF收发器和/或连接器，其可以由第二设备300用于与其他设备(例如，第一设备110和/或第一设备200)进行通信和/或与外部网络连接(例如，连接到应用程序提供商计算机180和/或应用程序提供商计算机400)。用户接口306可以包括输入元件和输出元件的任何组合，以便允许用户与第二设备300进行交互并且调用该第二设备的功能。在一些实施方案中，用户接口306可以包括可用于输入功能和输出功能两者的部件(例如，显示器307)。

存储器302可以使用任何数量的非易失性存储器(例如，闪速存储器)和易失性存储器(例如，DRAM、SRAM)的任何组合、任何其他非暂态存储介质或者它们的组合介质来实现。存储器302可以存储操作系统(OS)320以及一个或多个应用(包括处理器305要执行的应用312)驻留在其中的应用环境310。存储器302可以存储真实凭证321。可以在第二设备300上供应真实凭证321。例如，可以向应用程序312注册真实凭证321。真实凭证321可以是动态的，因为其值可以通过重新编程来改变。可以使用通信子系统309和处理器305来将真实凭证321提供给其他系统或设备。

应用程序312可以是使用、访问和/或存储真实凭证或令牌(例如，真实凭证321)的应用程序。例如，应用程序312可以是钱包或支付应用程序，其使用真实凭证或令牌，通过第二设备300来进行交易。在另一实例中，应用程序312可以是钱包或支付应用程序，其使用真实凭证和设备标识符来促进令牌的激活。在一些实施方案中，用户对应用312的访问可以由用户认证数据(诸如口令、密码、PIN等)予以保护。例如，当用户尝试启动或执行应用312时，可以在用户能够访问应用312之前要求用户输入有效的用户认证数据。应用程序312可以包括下载管理器318、加密模块314、第一设备标识符模块316和真实凭证选择模块317。在一些实施方案中，这些部件中的一个或多个可以由不是应用312的一部分的另一个应用或部件提供。

下载管理器318可以被配置为与处理器305协作提供与和应用程序312相关联的应用程序提供商(例如，图1的应用程序提供商计算机180)进行通信从而经由所述应用程序提供商下载信息的功能。下载管理器318与处理器305协作可以请求或者以其他方式管理真实凭证和/或令牌的获取、激活和/或存储。例如，下载管理器318可以与处理器305协作，通过与应用程序312相关联的应用程序提供商来请求激活令牌。在激活时，令牌可以与所选择的真实凭证相关联。在一些实施方案中，可以通过加密形式来提供要被提供给应用程序提供商的真实凭证。例如，可以利用由第二设备300生成的会话密钥来加密真实凭证。下载管理器318还可以与处理器305协作，从应用程序提供商处接收对激活的确认。

加密模块314可以与处理器305协作为应用312提供加密功能。例如，加密模块314可以与处理器305协作使用诸如DES、AES或TDES/TDEA等的加密算法以及/或者如SHA等的散列函数为应用312实施并执行加密/解密操作。例如，在应用程序312访问存储器302内的数据存储以检索并使用存储于其内的真实凭证或令牌时，应用程序312可以调用加密模块314，从而与处理器305协作，对用于对所存储的真实凭证或令牌加密的会话密钥进行解密，之后使用解密后的会话密钥来对真实凭证或令牌进行解密。之后，解密后的真实凭证或令牌可以被应用程序312使用。

第一设备标识符模块316可以与处理器305协作，接收与第一设备相关联的标识符作为输入。第一设备标识符模块316可以根据任何方法来接收标识符。例如，第一设备标识符模块316可以从用户接口306上的键盘接收序列号作为输入。在另一实例中，第一设备标识符模块316可以与处理器305协作，从设备硬件304中的摄像头或其他光学扫描仪(未示出)接收数据，其可以扫描和解释代码(例如，QR码、条形码等)或将其转换成序列号或其他字母数字标识符。然后，第一设备标识符模块316可以与处理器305协作，将标识符发送给应用程序提供商(例如，应用程序提供商计算机180)。

真实凭证选择模块317可以与处理器305协作，在显示器307上显示向应用程序312注册的真实凭证。真实凭证选择模块317可另外与处理器305协作，经由用户接口306(例如，键盘)和/或通过显示器307(例如，触摸屏)，接收从所显示的真实凭证中选择的真实凭证。然后，真实凭证选择模块317可以将所选择的真实凭证发送给应用程序提供商(例如，应用程序提供商计算机180)。在一些实施方案中，第一设备标识符和所选择的真实凭证可以在单个数据包中从第二设备300发送到应用程序提供商。

图4示出了根据一些实施方案的与应用程序提供商相关联的应用程序提供商计算机400的框图。例如，应用程序提供商计算机400可以是图1的应用程序提供商计算机180，其为第二设备190提供软件应用程序或与应用程序相关联的服务。应用程序提供商计算机400可以包括耦合到网络接口402和计算机可读介质406的处理器401。在一些实施方案中，应用程序提供商计算机400还可以包括硬件安全模块(HSM)420。应用程序提供商计算机400还可以包含数据库403或以其他方式访问该数据库，该数据库可以在应用程序提供商计算机400内部或外部。

处理器401可以包括一个或多个微处理器，以运行用于执行应用程序提供商计算机400的令牌激活请求功能的程序部件。网络接口402可以被配置成连接到一个或多个通信网络，以便允许应用程序提供商计算机400与其他实体(诸如由用户操作的第二设备、令牌服务器等)进行通信。计算机可读介质406可以包括一个或多个易失性和/或非易失性存储器的任何组合，例如，所述易失性和/或非易失性存储器可以是RAM、DRAM、SRAM、ROM、闪存或任何其他合适的存储器部件。计算机可读介质406可以存储可由处理器401执行以用于实现应用程序提供商计算机400的令牌激活请求功能中的一些或全部功能的代码。例如，计算机可读介质406可以包括实现注册模块410、令牌识别模块408和令牌关联模块409的代码。在一些实施方案中，应用程序提供商计算机400还可以包括用以实施加密引擎422的硬件安全模块(HSM)420。

注册模块410可以与处理器401协作以便向应用程序提供商计算机400注册用户。例如，可以通过向注册模块410提供以下信息而向应用程序提供商注册用户：用于标识用户的标识信息；设备信息，例如，与用户通信设备(其上安装有与应用程序提供商关联的应用)关联的设备标识符；账户信息，例如，与用户账户关联的账户标识符等。在一些实施方案中，用户可以通过注册模块410设置用户认证数据(例如，口令、密码、PIN等)。当用户通信设备上的应用与应用程序提供商计算机400通信时，应用程序提供商计算机400可以使用用户认证数据来认证用户。注册模块410可以与处理器401协作以便允许用户改变或更新用户认证数据。注册信息可以存储在数据库403中。在一些实施方案中，当用户首次下载用于安装在用户通信设备上的应用时，或者当用户首次启动并执行应用时，可以进行注册过程。

令牌识别模块408被配置为与处理器401协作，从第二设备接收第一设备标识符。在从第二设备接收到第一设备标识符时，令牌识别模块408可以与处理器401协作，从数据库403中检索相应的令牌(例如，通过使用查找表)。从数据库403检索到的令牌可以对应于预先供应给第一设备的令牌。令牌识别模块408可以将检索到的令牌提供给令牌关联模块409。

令牌关联模块409被配置为与处理器401协作，从第二设备接收所选择的真实凭证。在从第二设备接收到所选择的真实凭证时，令牌关联模块409可以将从令牌识别模块408接收到的令牌与所选择的真实凭证相关联。在一些实施方案中，令牌关联模块409还可以将关联存储在数据库403中。令牌关联模块409可以将所选择的真实凭证和令牌路由到令牌服务器，以便促进令牌的激活。

在一些实施方案中，令牌关联模块409被配置为与处理器401协作，在将所选择的真实凭证和令牌发送到令牌服务器之前执行认证过程。认证过程可以包括，例如，验证所选真实凭证的真实性，验证第二设备的真实性，和/或验证请求激活令牌的第二设备的用户的真实性。例如，令牌关联模块409可以与处理器401协作，通过对照存储在数据库403中的先前注册的信息来验证用户认证数据和第二设备标识符来认证用户、第二设备和/或真实凭证。一旦被认证，令牌关联模块409就可以将所选择的真实凭证和令牌路由到令牌服务器，以便促进令牌的激活。在一些实施方案中，令牌关联模块409可以包括指出用户、第二设备和/或真实凭证已被认证的标志或某种其他指示符。

加密引擎422可以与处理器401协作为应用程序提供商计算机400提供加密功能。在一些实施方案中，加密引擎422可以在HSM 420中实施，该HSM是用于执行加密操作以及管理加密密钥的专用硬件部件。加密引擎422可以与处理器401协作，以使用加密算法(诸如AES、DES、TDES/TDEA或使用任何长度(例如，56比特、128比特、169比特、192比特、256比特等)的加密密钥的其他合适加密算法)来实施和执行应用程序提供商计算机400的加密/解密操作。在一些实施方案中，加密引擎422还可以使用诸如安全散列算法(SHA)等的散列函数来执行散列计算。例如，当应用程序提供商计算机400从令牌服务器接收到用于对真实凭证或令牌进行加密的会话密钥时，应用程序提供商计算机400可以调用加密引擎422对所述会话密钥加密，从而使得所述会话密钥能够被以加密形式提供给通信设备上的应用程序。在一些实施方案中，可以使用散列值来加密会话密钥，通过与请求真实凭证或令牌的用户相关联的用户认证数据来计算散列值。

图5示出了根据本发明的一些实施方案的令牌服务器500(图1的令牌服务器170)的框图。令牌服务器500可以用于生成、激活、维护和管理要预先供应给第一设备的静态令牌，如本文进一步描述的。在一些实施方案中，可以使用一个或多个令牌服务器500来(例如)实现网络令牌系统。令牌服务器500可以包括耦合到网络接口502和计算机可读介质506的处理器501。在一些实施方案中，令牌服务器500还可以包括硬件安全模块(HSM)520。令牌服务器500还可以包括可以处于令牌服务器500内部或外部的令牌注册表504。

处理器501可以包括一个或多个微处理器，以运行用于执行令牌服务器500的令牌管理功能530的程序部件。网络接口502可以被配置成连接到一个或多个通信网络，以允许令牌服务器500与其他实体进行通信，其他实体例如是用户操作的通信设备、应用程序提供商计算机或令牌请求计算机、资源提供商计算机、传输计算机、交易处理计算机、授权实体计算机等。计算机可读介质506可以包括一个或多个易失性和/或非易失性存储器的任何组合，例如，所述易失性和/或非易失性存储器可以是RAM、DRAM、SRAM、ROM、闪存或任何其他合适的存储器部件。计算机可读介质506可以存储可由处理器501执行以用于实现本文中描述的令牌服务器500的令牌管理功能530中的一些或全部功能的代码。例如，计算机可读介质506可以包括：请求者注册模块508、用户注册模块510、令牌生成器512、验证和认证模块514、令牌交换和路由模块516、以及令牌寿命周期管理模块518。

请求者注册模块508可以与处理器501协作，向令牌注册表504注册令牌请求者实体(例如，应用程序提供商)，并且为经注册的实体生成令牌请求者标识符(ID)。每个经注册的实体可以使用其相应的令牌请求者ID作为令牌服务请求的一部分以促进所述实体的识别和确认。在一些实施方案中，令牌请求者实体可以向请求者注册模块508提供令牌请求者信息，诸如实体名称、联系信息、实体类型(例如，商家、钱包提供商、支付服务提供商、发行方、支付使能方、收单方等)。在令牌与交易有关的一些实施方案中，令牌请求者信息还可以包括令牌呈现模式(例如，扫描、非接触式、电子商务等)、令牌类型(例如，静态/动态、支付/非支付)、集成和连接性参数以及所订购服务(例如，令牌请求、认证和验证、寿命周期管理等)、以及用于板载过程的任何其他相关信息。

用户注册模块510可以与处理器501协作执行用户和用户账户的注册。在一些实施方案中，令牌服务器计算机500可允许经授权的实体代表用户向网络令牌系统注册消费者账户(例如，支付或金融账户)。例如，已注册令牌请求者可以提供：令牌请求者ID(例如，在注册时从请求者注册模块508接收的)、令牌可以替代的账户标识符或其他敏感信息或敏感信息标识符、消费者姓名和联系信息、消费者通信设备的设备标识符、令牌类型、以及个人账户注册或批量账户注册的任何其他相关信息。在一些实施方案中，用户注册模块510可以与处理器501协作，将账户细节和敏感信息存储在令牌注册表504中，以用于所有成功的激活和注册请求。在一些实施方案中，经授权的实体还可以通过向令牌服务器500提供必要信息来注销用户和账户。

令牌生成器512可以被编程为与处理器501协作，响应于与处理器501协作处理来自令牌请求者(例如，应用程序提供商)的令牌或真实凭证的请求，生成令牌或检索真实凭证。在一些实施方案中，令牌生成器512可以预先生成尚未与真实凭证相关联的令牌，以将其预先供应给第一设备，并且稍后由第二设备激活。此外，令牌生成器512还可以被编程为与处理器501协作，生成验证值，例如CVN和TAVV。在一些实施方案中，令牌生成器512可以接收令牌请求者ID和账户标识符或敏感信息标识符。在一些实施方案中，令牌生成器512还可以与处理器501协作，接收任选信息，诸如用户姓名、用户地址和邮政编码、所请求的令牌或敏感信息类型(例如，静态、动态、非支付等)、设备标识符和/或合适的信息。在一些实施方案中，令牌生成器512可以与处理器501协作，生成具有所请求的令牌或所请求的真实凭证、与令牌相关联的令牌有效日期和/或与令牌相关联的令牌确保等级的响应。在一些实施方案中，令牌生成器512可以与处理器501协作，确认令牌请求者ID并保持令牌、被令牌替代的敏感信息或账户标识符以及相关联的令牌请求者之间的相关性。在一些实施方案中，令牌生成器512可以与处理器501协作，在生成新的令牌之前判断在令牌注册表504中是否已经存在了针对某一令牌请求的令牌。在一些实施方案中，如果不能供应令牌，那么令牌响应可以包括对应的原因代码。在一些实施方案中，令牌生成器512还可以与处理器501协作，为令牌请求者提供提交批量令牌请求文件的界面。

令牌生成器512可以与处理器501协作，确定用于分配令牌的令牌范围。令牌范围可以基于是授权实体供应令牌(例如，发行方分配的令牌范围)还是交易处理计算机代表授权实体供应令牌(例如，交易处理网络分配的令牌范围)来分配。作为示例，如果交易处理网络分配的令牌范围包括“442400000-442400250”，那么可以分配“4424000000005382”作为令牌值。令牌注册表504可以与处理器501协作，存储令牌范围与账户标识符的关系，并且可以记录令牌添加记录。在一些实施方案中，令牌生成器512可以与处理器501协作，在分配令牌之前考虑与账户标识符范围关联的令牌范围列表。

验证和认证模块514可以被配置为与处理器501协作，执行消费者验证和认证过程，并且基于验证和认证过程的结果来确定令牌确保等级。例如，验证和认证模块514可以通过所配置的认证方案来执行消费者认证和验证。在一些实施方案中，认证方案可以包括基于存储在与交易处理网络关联的数据库中的客户信息来验证账户标识符、验证值和有效日期。在一些实施方案中，认证方案可以包括发行方使用其在线银行系统的消费者凭证来直接验证消费者。

在一些实施方案中，认证方案可以包括通过发行方ACS(访问控制服务器)验证消费者凭证。例如，发行方ACS服务可以是如给出的3-D安全协议的认证协议的部分。ACS服务器可以与可以包括注册消费者账户和访问信息的发行方相关联。所述ACS可以为发行方赋予在在线购买过程中对消费者进行认证的能力，由此降低消费者账户受到欺骗性使用的可能性。例如，ACS可以确认消费者已注册，在交易时执行消费者验证，并向商家提供经过数字签名的响应。在一些实施方案中，认证方案可以包括使用交易处理网络消费者认证服务(例如，Visa^TM消费者认证服务(VCAS))验证账户。例如，VCAS服务可以在授权过程之前代表发行方对消费者进行认证。

在一些实施方案中，用户注册、令牌生成以及验证和认证可以作为单个令牌请求过程的处理的一部分来执行。在一些实施方案中，对于批量请求，可以通过处理来自令牌请求者的批量文件来执行用户注册和令牌生成。在此类实施方案中，可以在单独的步骤中执行消费者验证和认证。在一些实施方案中，令牌请求者可以请求针对特定账户独立地多次执行认证和验证过程，以便反映令牌的确保等级随时间推移的任何改变。

令牌交换和路由模块516可以与处理器501协作，处理对与给定令牌相关联的任何基础真实凭证(例如，账户标识符)的请求。例如，交易处理计算机、收单方，发行方等可以在交易处理期间发出对令牌交换的请求。令牌交换和路由模块516可以与处理器501协作确认请求实体有权发出对令牌交换的请求。在一些实施方案中，令牌交换和路由模块516可以与处理器501协作，基于交易时间戳和令牌到期时间戳来确认真实凭证(或者其他敏感信息)到令牌的映射以及呈现模式。令牌交换和路由模块516可以与处理器501协作，从令牌注册表504中检索账户标识符(或者其他真实凭证)，并将其连同确保等级一起提供给请求实体。在一些实施方案中，如果所述账户标识符(或者其他敏感信息)到令牌的映射对于所述交易时间戳和呈现模式而言是无效的，那么可以提供错误消息。

令牌寿命周期管理模块518可以与处理器501协作，对由令牌服务器500管理的令牌执行寿命周期操作。寿命周期操作可以包括取消令牌、对令牌激活或去激活、更新令牌属性、用新的有效日期更新令牌等。例如，令牌寿命周期管理模块518可以与处理器501协作，激活在第一设备上预先供应的静态令牌。激活静态令牌可以包括从应用程序提供商接收令牌和所选择的真实凭证，以及将令牌与真实凭证相关联地存储在令牌注册表504中，以供令牌交换和路由模块516稍后交换。在一些实施方案中，如果标志或其他指示符指出用户、第二设备和/或真实凭证已经由应用程序提供商或另一实体认证，则令牌寿命周期管理模块518可仅激活令牌。

在一些实施方案中，令牌请求者实体可以向令牌服务器500提供令牌请求者ID、令牌号码、寿命周期操作标识符以及一个或多个令牌属性，以对给定令牌执行所请求的寿命周期操作。令牌寿命周期管理模块518可以与处理器501协作基于令牌注册档504内的信息验证令牌请求者ID和令牌关联。令牌寿命周期管理模块518可以与处理器501协作对既定令牌执行所请求的寿命周期操作并更新令牌注册档504内的对应关联。寿命周期操作的示例可以包括用以激活不活动、暂停或暂时锁定的令牌及其关联的令牌激活操作；用以暂时锁定或暂停令牌的令牌去激活操作；用以将凭证及其关联永久地标记为已删除，以防止任何未来的交易的取消令牌操作等。在一些实施方案中，如果使用相同的令牌来提交对应的原始交易，则可以在返回/退款期间使用已删除的令牌。

根据一些实施方案，令牌服务器500可以包括HSM 520以执行安全功能，例如，加密和解密操作以及用于加密和解密操作的加密密钥的生成。例如，HSM 520可以包括加密引擎522，以执行加密算法，例如，AES、DES、TDES/TDEA或使用任何长度(例如，56比特、128比特、169比特、192比特、256比特等)的加密密钥的其他合适加密算法。HSM 520还可以实现会话密钥生成器524，从而为令牌服务器500处理的每一令牌或真实凭证请求生成会话密钥。所生成的会话密钥可以用于对针对请求生成或检索到的令牌或真实凭证进行加密，并且令牌或真实凭证可以按照加密形式提供给令牌请求者。例如，对于令牌服务器500接收和处理的每个请求，会话密钥生成器524可以生成对于从特定令牌请求者接收到的每个请求而言唯一的会话密钥，或对于与特定用户或账户相关联的每个请求而言唯一的会话密钥。在一些实施方案中，会话密钥可以与用于在令牌请求者和令牌服务器500之间建立安全通信信道(例如，TLS、SSL等)的加密密钥相同或不同。令牌生成器512可以生成或者以其他方式检索用以满足所述请求的令牌或真实凭证。加密引擎522可以使用会话密钥，利用加密算法对该令牌加密，并且可以将加密后的令牌或真实凭证提供给令牌请求者。在一些实施方案中，所生成的会话密钥也将与加密后的令牌或真实凭证一起被提供给令牌请求者。

尽管令牌服务器500和应用程序提供商计算机400是在HSM仅实现其功能中的一些的情况下描述的，但是应当理解，各计算机的其他功能(例如，令牌生成、存储和激活)也可以在HSM内实现。此外，各HSM功能中的一些或全部也可以在HSM外部实现。

图6示出了根据本发明的一些实施方案的用于处理表示动态真实凭证的静态令牌的交易方法的流程图。图6的方法可以由第一设备110、访问设备120、资源提供商计算机130、传输计算机140、交易处理计算机150、授权实体计算机160、令牌服务器170、应用程序提供商计算机180和第二设备190来实现。第一设备110可以预先供应有令牌，并且可以包括可在第一设备110上显示或与第一设备一起显示的第一设备标识符，例如序列号。在一些实施方案中，序列号可能会被刮开标签或其他标签覆盖，以保护该值不被未授权方滥用。

在步骤S605，第二设备190可以用于读取与第一设备110相关联的第一设备标识符。可以以任何合适的方式将第一设备标识符输入到第二设备190中。例如，可以使用键盘将第一设备标识符输入到第二设备190中(例如，如果第一设备标识符是序列号或其他字母数字代码)。在另一实例中，可以使用摄像头或其他光学扫描仪将第一设备标识符输入到第二设备190中(例如，如果第一设备标识符以QR码、条形码或其他非字母数字代码编码)。在又一实例中，可以使用本地通信(例如，近场通信、蓝牙、蓝牙LE等)来将第一设备标识符从第一设备110发送到第二设备190。在又一实例中，可以通过将第一设备标识符读入麦克风并使用语音识别技术解释语音来将第一设备标识符输入到第二设备190中。

在步骤S610，第二设备190可以显示向第二设备190上的应用程序注册的真实凭证的列表，接收从列表中对真实凭证的选择，然后可以从存储器中检索所选择的真实凭证。或者，在步骤S610，第二设备190可以接收未预先注册的真实凭证(例如，账号、有效期和/或验证值)。在步骤S615，第二设备190可以将第一设备标识符和真实凭证发送到应用程序提供商计算机180。

应用程序提供商计算机180可以存储设备标识符与其对应的预先供应的令牌的关联。在一些实施方案中，应用程序提供商计算机180可以是预先供应的令牌的请求者。因此，在步骤S635，应用程序提供商计算机180可以使用第一设备标识符来检索相应的预先供应的令牌。应用程序提供商计算机180可以将检索到的令牌与所选择的真实凭证链接。在步骤S640，应用程序提供商计算机180可以将令牌和真实凭证传输到令牌服务器170。

在一些实施方案中，在将令牌和真实凭证传输到令牌服务器170之前，应用程序提供商计算机180可以认证通过第二设备190请求激活令牌的用户、第二设备190和/或所选择的真实凭证。应用程序提供商计算机180可以通过将从第二设备190接收到的信息与向应用程序提供商计算机180注册的信息进行比较来执行该认证。在一些实施方案中，应用程序提供商计算机180可以联系第三方以执行一个或多个认证过程。例如，应用程序提供商计算机180可以将真实凭证(例如，账号、验证值和到期日期)传输到授权实体计算机160，以验证真实凭证是有效的。一旦执行了认证，在步骤S640，应用程序提供商计算机180就可以在将令牌和真实凭证传输到令牌服务器170时，包括指出已经认证了用户、设备和/或真实凭证的标志或其他指示符。

在步骤S642，令牌服务器170可以激活令牌。为了激活令牌，令牌服务器170可以从应用程序提供商计算机180接收令牌和真实凭证，并且将令牌与真实凭证相关联地存储在令牌注册表中。一旦存储在令牌注册表中，就可以在处理使用令牌的交易期间将令牌交换为真实凭证。在一些实施方案中，如果标志或其他指示符指出用户、第二设备和/或真实凭证已经由应用程序提供商计算机180或另一实体(例如，授权实体计算机160)认证，则令牌服务器170可以仅激活令牌。

在步骤S644，令牌服务器170可以将激活令牌的确认发送到应用程序提供商计算机180。在步骤S645，应用程序提供商计算机180可以向第二设备190发送激活令牌的确认。

一旦被激活，在第一设备110中预先供应的令牌可以用在交易中。例如，在步骤S650，第一设备110可以在交易中与访问设备120进行交互。例如，第一设备110可以使用本地通信(例如，近场通信、蓝牙等)来将令牌传送到访问设备120。在步骤S652，访问设备120可以将从第一设备110接收到的令牌以及任何交易细节(例如，时间、日期、金额等)传输到资源提供商计算机130。资源提供商计算机130可以使用令牌和交易细节来生成包括令牌的授权请求消息，然后在步骤S654将授权请求消息传输到传输计算机140。在步骤S656，传输计算机140可以向交易处理计算机150传输包括令牌的授权请求消息。

在步骤S658，交易处理计算机150接收包括令牌的授权请求消息，从授权请求消息中提取令牌，并将令牌传输到令牌服务器170。在步骤S660，令牌服务器170从令牌库或令牌注册表中检索对应于令牌的真实凭证。真实凭证可以与令牌相关联地存储，例如，存储在查找表中。在步骤S662，令牌服务器170将真实凭证返回到交易处理计算机150。在步骤S664，交易处理计算机150用授权请求消息中的真实凭证来替换令牌。在步骤S668，交易处理计算机150向授权实体计算机160传输包括真实凭证的授权请求消息。

在步骤S670，授权实体计算机160可以对授权请求消息做出授权决定。例如，授权实体计算机160可以基于真实凭证是否有效来确定是否对交易进行授权和/或在支付交易的情况下，确定是否有足够的可用资金用于交易。授权实体计算机160可以生成包括真实凭证和授权决定的授权响应消息。在步骤S672，授权实体计算机160可以向交易处理计算机150传输包括真实凭证的授权响应消息。

在步骤S674，交易处理计算机150可以接收包括真实凭证的授权响应消息，并用授权响应消息中的令牌来替换真实凭证。因此，真实凭证可能不会暴露给先前不能访问真实凭证的下游实体(例如，传输计算机140、资源提供商计算机130和/或访问设备120)。在步骤S676，交易处理计算机150向传输计算机140传输包括令牌的授权响应消息。在步骤S678，传输计算机140向资源提供商计算机130传输包括令牌的授权响应消息。在步骤S680，资源提供商计算机130向访问设备120传输包括令牌(和/或某种其他授权指示)的授权响应消息。

在一天结束时或在另一个合适的时间，传输计算机140、交易处理计算机150和授权实体计算机160可以在交易完成后执行清算和结算过程。

在一些实施方案中，可以动态地改变与静态令牌相关联的真实凭证。换句话说，在使用激活的令牌进行交易之前或之后的任何时间，第二设备190可以用于选择不同的真实凭证来与激活的令牌相关联。在一些实施方案中，在新选择的真实凭证可以在交易中使用之前，可以执行认证过程，如本文进一步描述的。

文中描述的系统和方法可以在各种各样的背景下实施。例如，在支付交易中，令牌可以是在第一设备上预先供应的支付令牌。由第二设备选择的真实凭证可以对应于主账号(PAN)，例如银行账号，信用卡号等。令牌可以通过本地通信(例如，近场通信、蓝牙等)传输到访问设备以发起交易或在支付交易期间(例如，购买商品和/或服务时)传输。

文中描述的系统和方法还可以用到访问交易当中。例如，图7示出了根据本发明的一些实施方案的建筑物访问系统的框图。用户706可以操作具有预先供应的令牌的第一设备710(例如，图1的第一设备110和/或图2的第一设备200)。令牌可能先前已与真实凭证相关联，并且在第二设备(未示出)的帮助下被激活。第一设备710可以与访问设备715进行交互以将令牌传输到访问设备715。

访问设备715可以与位于远程的服务器计算机(未示出)进行通信。位于远程的服务器计算机可以将令牌交换成相关联的真实凭证，以确定是否应该授予对建筑物770访问权，并且可以将指示这一点的信号传输回访问设备715。之后，访问设备715可以根据所述敏感信息，允许或拒绝用户706对建筑物770的访问。

这里描述的系统和方法提供了许多优点。例如，在第一设备内使用令牌进行交易，对资源提供商隐藏了真实凭证，增强了交易的安全性。例如，这不仅降低了资源提供商的欺诈风险，而且通过减少真实凭证所传达到的各方的数量，最小化了对真实凭证的拦截和滥用。此外，从令牌到真实凭证的映射仅限于令牌服务器。令牌服务器可以是高度安全的，并且与其他交易处理实体完全隔离，进一步降低了未授权方进行欺诈和拦截真实凭证的风险。

此外，根据一些实施方案，可以将令牌预先供应到或制造到任何设备中，包括有限功能设备。换句话说，这里描述的系统和方法不要求被预先供应了令牌的设备能够访问因特网(或其他远程网络能力)，和/或具有复杂的用户界面。

尽管预先供应给有限功能设备的令牌可以是静态的，但是可以使用第二设备(例如，增强功能设备)动态地改变与静态令牌相关联的真实凭证。因此，可以更新或替换与静态令牌相关联的真实凭证，例如，在先前真实凭证到期或取消时，当获得新的真实凭证时，或者当期望使用不同的真实凭证时。可以在任何时间(例如，在每个交易之间)改变与静态令牌相关联的真实凭证，从而不需要多个不同的有限功能设备，每个有限功能设备都对应于不同的真实凭证。

计算机系统可用于实施上文所描述的实体或部件中的任一个。计算机系统的子系统可通过系统总线互连。可使用另外的子系统，例如打印机、键盘、固定磁盘(或包括计算机可读媒体的其他存储器)、耦合到显示适配器的监视器及其他。耦合到输入/输出(I/O)控制器(其可以是处理器或其他合适的控制器)的外围设备和I/O设备可通过所属领域已知的任何数目的设备，例如串行端口连接到计算机系统。例如，串行端口或外部接口可用于将计算机装置连接到例如互联网的广域网、鼠标输入设备或扫描仪。经由系统总线的互连允许中央处理器与每个子系统通信，并控制来自系统存储器或固定磁盘的指令的执行，以及子系统之间的信息交换。系统存储器和/或固定磁盘可体现计算机可读介质。在一些实施方案中，监视器可以是触敏显示屏。

计算机系统可以包含例如通过外部接口或通过内部接口连接在一起的多个相同部件或子系统。在一些实施方案中，计算机系统、子系统或设备可以通过网络通信。在此类情况下，一个计算机可视为客户端，且另一计算机可视为服务器，其中每台计算机可以是同一计算机系统的一部分。客户端和服务器可以各自包含多个系统、子系统或部件。

应理解，本发明的任何实施方案都可以使用硬件(例如专用集成电路或现场可编程门阵列)和/或使用计算机软件以控制逻辑的形式实施，其中通用可编程处理器是模块化的或集成的。如本文中所使用，处理器包含单核处理器、在同一集成芯片上的多核处理器，或在单个电路板上或网络化的多个处理单元。基于本公开和本文中所提供的教示，本领域的普通技术人员将知道并且了解使用硬件和硬件与软件的组合来实施本发明的实施方案的其他方式和/或方法。

本申请中所描述的任何软件部件或功能可被实施为要使用例如Java、C、C++、C#、Objective-C、Swift的任何合适计算机语言或例如Perl或Python的脚本语言，使用例如常规的或面向对象的技术由处理器执行的软件代码。软件代码可作为一系列指令或命令存储在计算机可读介质上以供存储和/或传递，合适的介质包含随机存取存储器(RAM)、只读存储器(ROM)、例如硬盘驱动器或软盘的磁性介质，或例如光盘(CD)或数字通用盘(DVD)的光学介质、闪存存储器等等。计算机可读介质可以是此类存储或传输设备的任何组合。

此类程序还可以使用适应于经由包含因特网的符合多种协议的有线、光学和/或无线网络进行传输的载波信号来编码和传输。因此，根据本发明的实施方案的计算机可读介质可以使用以此类程序编码的数据信号来创建。以程序代码编码的计算机可读介质可与兼容设备一起封装或与其他设备分开地提供(例如，经由因特网下载)。任何此类计算机可读介质可以驻留于单个计算机产品(例如，硬盘驱动器、CD或整个计算机系统)上或内，且可存在于系统或网络内的不同计算机产品上或内。计算机系统可以包含用于将本文中所提及的任何结果提供给用户的监视器、打印机或其他合适的显示器。

以上描述是说明性的而不是限制性的。在所属领域的技术人员阅读了本公开后，本发明的许多变化将变得显而易见。因此，本发明的范围不应参考以上描述来确定，而是应参考待决的权利要求以及其完整范围或等效物来确定。

在不脱离本发明的范围的情况下，任何实施方案的一个或多个特征可与任何其他实施方案的一个或多个特征组合。

除非明确指示有相反的意思，否则“一个/种”或“该/所述”的叙述旨在表示“一个/种或多个/种”。

在各附图中始终使用类似的附图标记表示类似的要素。

Claims (20)

1.一种方法，所述方法包括：

由服务器计算机从第二设备接收与第一设备相关联的第一设备标识符，其中所述第一设备标识符与令牌相关联地存储，并且其中在所述第一设备中预先供应所述令牌；

由所述服务器计算机从所述第二设备接收真实凭证；

由所述服务器计算机链接所述真实凭证和所述令牌；以及

由所述服务器计算机促进所述令牌的激活，其中所述令牌此后由所述第一设备用于在交易中与访问设备进行交互。

2.如权利要求1所述的方法，其中所述真实凭证是第一真实凭证，其中所述交易是第一交易，其中所述访问设备是第一访问设备，并且其中所述方法还包括：

由所述服务器计算机从所述第二设备接收第二真实凭证；以及

由所述服务器计算机用所述第二真实凭证替换所述第一真实凭证，其中所述第二真实凭证与所述令牌链接，并且其中所述令牌此后由所述第一设备用于在第二交易中与第二访问设备进行交互。

3.如权利要求1所述的方法，还包括在促进所述令牌的激活之前：

由所述服务器计算机促进认证过程。

4.如权利要求3所述的方法，其中所述认证过程包括验证所述真实凭证或验证所述第二设备的用户中的至少一项。

5.如权利要求1所述的方法，其中所述第一设备是有限功能设备，并且其中所述第二设备是增强功能设备。

6.如权利要求1所述的方法，其中所述令牌被制造在所述第一设备中。

7.如权利要求1所述的方法，其中在所述交易期间，所述令牌被交换为所述真实凭证。

8.如权利要求1所述的方法，其中所述第一设备的至少一部分由射频屏蔽套保护。

9.如权利要求1所述的方法，其中所述交易是访问交易。

10.一种服务器计算机，所述服务器计算机包括：

处理器；以及

耦合至所述处理器的存储器，所述存储器存储指令，所述指令在由所述处理器执行时使所述服务器计算机执行操作，所述操作包括：

从第二设备接收与第一设备相关联的第一设备标识符，其中所述第一设备标识符与令牌相关联地存储，并且其中在所述第一设备中预先供应所述令牌；

从所述第二设备接收真实凭证；

链接所述真实凭证和所述令牌；以及

促进所述令牌的激活，其中所述令牌此后由所述第一设备用于在交易中与访问设备进行交互。

11.如权利要求10所述的服务器计算机，其中所述真实凭证是第一真实凭证，其中所述交易是第一交易，其中所述访问设备是第一访问设备，并且其中所述操作还包括：

从所述第二设备接收第二真实凭证；以及

用所述第二真实凭证替换所述第一真实凭证，其中所述第二真实凭证与所述令牌链接，并且其中所述令牌此后由所述第一设备用于在第二交易中与第二访问设备进行交互。

12.如权利要求10所述的服务器计算机，其中所述操作还包括在促进所述令牌的激活之前：

由所述服务器计算机促进认证过程。

13.如权利要求12所述的服务器计算机，其中所述认证过程包括验证所述真实凭证或验证所述第二设备的用户中的至少一项。

14.如权利要求10所述的服务器计算机，其中所述第一设备是有限功能设备，并且其中所述第二设备是增强功能设备。

15.如权利要求10所述的服务器计算机，其中服务器计算机远离所述第一设备，并且其中所述第一设备不能与所述服务器计算机进行通信。

16.如权利要求10所述的服务器计算机，其中所述令牌被制造在所述第一设备中。

17.如权利要求10所述的服务器计算机，其中在所述交易期间，所述令牌被交换为所述真实凭证。

18.如权利要求9所述的服务器计算机，其中所述第一设备的至少一部分由射频屏蔽套保护。

19.如权利要求9所述的服务器计算机，其中所述交易是访问交易。

20.一种方法，所述方法包括：

在第二设备处接收对应于与第一设备相关联的第一设备标识符的输入，其中在所述第一设备中预先供应令牌，并且其中服务器计算机将所述第一设备标识符与所述令牌相关联地存储；

在所述第二设备处接收对在所述第二设备上供应的真实凭证的选择；

由所述第二设备将所述第一设备标识符和所述真实凭证传输给所述服务器计算机，其中所述服务器计算机检索与所述第一设备标识符相关联的所述令牌，将所述真实凭证链接到所述令牌，并促进所述令牌的激活，并且其中所述令牌随后由所述第一设备用于在交易中与访问设备进行交互。