CN111756533B - 用于安全密码生成的系统、方法和存储介质 - Google Patents

Abstract

本发明的实施例介绍了用于由用户装置安全地生成密码并由服务器计算机校验该密码的高效方法。在一些实施例中，借助用户装置提供密码而无需用户装置永久性存储用来生成该密码的加密密钥或其它敏感数据，可以执行安全通信。例如，用户装置和服务器计算机能够相互认证并建立共享秘密。使用共享秘密，服务器计算机能够导出会话密钥，并向用户装置传送使用会话密钥加密的密钥导出参数。用户装置还能够使用共享秘密导出会话密钥，解密加密的密钥导出参数并存储密钥导出参数。密钥导出参数和共享秘密可以用来生成单次使用密码密钥。密码密钥可以用来生成密码以用于执行安全通信。

Description

用于安全密码生成的系统、方法和存储介质

本发明申请是国际申请号为PCT/US2015/047824，国际申请日为2015年8月31日，进入中国国家阶段的申请号为201580046148.1，名称为“用于安全密码生成的系统、方法和存储介质”的发明专利申请的分案申请。

相关申请交叉引用

本申请是2014年8月29日提交的美国临时申请62/044,172(律师案号：79900-914352-1068US01)的非临时申请并要求其优先权。上述申请的全部内容出于所有目的通过引用被全部并入本文中。

背景技术

随着用户装置，诸如实现NFC的移动电话和非接触卡的普及程度继续增加，维持支付和其它交易的安全性继续是一个关注问题。例如，为了执行支付交易，通常需要认证用户装置。用于认证用户装置的一种方法是通过使用由装置生成的密码。密码可以是加密的数据元素，其能够被可信实体，诸如支付网络或对交易(例如访问文件或建筑物)授权的其它实体校验真实性。然而，攻击者可能尝试窃听交易(例如通过执行中间人攻击)。因此，攻击者可能尝试拦截由用户发送的密码。如果确定，密码可能被用于非法目的。

进一步使问题复杂化的是用户装置本身的安全性。在一些情况下，用户装置可能是泄密的或另外不可信，使得不建议在装置上存储永久性安全凭证，诸如静态密码生成密钥。在这些情况下执行安全交易可能提出挑战。

本发明的实施例单独和一起解决了这些和其它问题。

发明内容

本发明的实施例涉及用于安全地生成密码的系统和方法。在一些实施例中，本文中描述的密码生成方法的实现可能对没有安全元件或针对秘密的特定硬件保护的装置是唯一的或具有有限范围。对于特定的被保护值，被相同地配置的装置和不具有保护秘密的硬件的装置都受到较高威胁。在一些实施例中，用户装置可以被配置成确定包括临时公钥和临时私钥的临时密钥对，使用临时私钥和静态服务器计算机公钥生成第一共享秘密，使用第一共享秘密加密请求数据以获得加密的请求数据，并向服务器计算机发送包括加密的请求数据和临时公钥的储备请求消息。

服务器计算机可以被配置成从用户装置接收包括加密的请求数据和临时公钥的储备请求消息，使用临时公钥和静态服务器计算机私钥生成第一共享秘密，使用第一共享秘密解密加密的请求数据以获得请求数据，使用盲化(blinded)静态服务器计算机私钥和临时公钥生成第二共享秘密，使用第二共享秘密加密凭证，以确定加密的响应数据，并向用户装置发送储备响应消息，储备响应消息包括加密的响应数据和盲化静态服务器计算机公钥。在一些实施例中，静态服务器计算机私钥不被盲化。实际上，可以使用静态服务器计算机私钥和盲化临时公钥生成第二共享秘密。

用户装置可以被配置成从服务器计算机接收包括凭证和盲化静态服务器计算机公钥的储备响应消息，使用临时私钥和盲化静态服务器计算机公钥确定第二共享秘密，并使用第二共享秘密解密加密的凭证，以确定凭证。在一些实施例中，可以使用从第二共享秘密导出的第二会话密钥加密或解密凭证。

有效载荷数据或凭证可以包括密钥导出参数，该密钥导出参数可以或可以不包括有限使用密钥(LUK)。密钥导出参数(其可以或可以不包括LUK)可以用来导出密码密钥，密码密钥可以用来生成用于执行交易的密码。

有效载荷数据或凭证还可以包括可以由用户装置使用的以基于之前的共享秘密生成更新的共享秘密的更新参数。在一些实施例中，密钥导出参数可以基本上与更新参数相同。在一些其它的实施例中，密钥导出参数可以与更新参数不同。密钥导出参数和/或更新参数可以对每个用户装置或每个用户装置组是唯一的，以便防止大量的离线攻击。

有效载荷数据或凭证还可以包括规定导出密码的方式(例如使用密码密钥)的密码导出参数。

密钥导出参数、密码导出参数和/或更新参数可以包括LUK、给定交易使用哪些交易参数的说明、用于执行导出的代码(或使用哪个导出程序的标识符)和/或与这些参数有关的其它信息。代码可以用个性化的导出方法实现，原因是其对于装置或装置组是唯一的，并且可以被随机地分配。代码可以由服务器或其它卖方签名，使得用户装置能够认证代码。

凭证还可以包括一个或多个附加共享秘密和/或与服务器计算机(例如储备服务器计算机和/或校验服务器)共享的密钥(诸如有限使用密钥(LUK))。这些共享秘密和/或密钥优选对特定用户装置或用户装置组是唯一的。

对于一些实施例，公开了一种方法，包括使用之前的共享秘密确定更新的共享秘密，使用更新的共享秘密导出密码密钥，对交易数据加密以生成交易密码，并向服务器计算机发送交易密码。

其它实施例涉及与本文中描述的方法关联的系统、便携式消费者装置和计算机可读介质。

参照下面的详细描述和附图可以获得对本发明的实施例的特性和优点的更好理解。

附图说明

图1示出根据一些实施例的示例性支付系统。

图2示出根据一些实施例的用户装置的示例。

图3示出根据一些实施例的服务器计算机的示例。

图4-5示出根据一些实施例用于安全地对服务器计算机认证和/或从服务器计算机获得响应数据的示例性过程或方法。

图6-7示出根据一些实施例用于安全地处理来自用户装置的储备请求消息并向用户装置提供储备响应消息的示例性过程或方法。

图8示出根据一些实施例用于给用户装置储备由服务器计算机生成的限制使用密钥的示例性登记过程或方法。

图9示出根据一些实施例用于给用户装置储备由服务器计算机生成的限制使用密钥的示例性登记过程或方法。

图10示出根据一些实施例的示例性登记过程的数据流程图。

图11示出根据一些实施例的示例性登记过程的框图。

图12示出根据一些实施例用于执行交易的示例性交易过程或方法。

图13示出根据一些实施例用于执行交易的示例性交易过程或方法。

图14示出根据一些实施例的交易过程的数据流程图。

图15示出根据一些实施例的交易过程的框图。

图16示出根据一些实施例用于续订用户装置在服务器计算机的登记的示例性续订过程或方法。

图17示出根据一些实施例用于续订用户装置在服务器计算机的登记的示例性续订过程或方法。

图18示出根据一些实施例的密钥续订过程的框图。

图19示出可以用来实现上文描述的任何实体或组件的计算机系统的高级框图。

术语

在讨论本发明的一些实施例之前，对一些术语的描述可能有助于理解本发明的实施例。

术语“服务器计算机”可以包括计算机或计算装置的集群。例如，服务器计算机可以是大的主机、小型计算机集群或像一个单元一样工作的一组服务器。在一个示例中，服务器计算机可以是耦连至网络服务器的数据库服务器。服务器计算机可以耦连到数据库并且可以包括用于服务于来自一个或多个客户端计算机(例如用户装置)的请求的任何硬件、软件、其它逻辑、或前述内容的组合。服务器计算机可以包括一个或多个计算设备并且可以使用各种计算结构、排列和编译中的任何一种来服务于来自一个或多个客户端计算机的请求。

术语“公/私钥对”可以包括由实体生成的一对关联加密密钥。公钥可以用于公共功能，诸如对要发送给实体的消息进行加密，或用于对应该由实体做出的数字签名进行验证。另一方面，私钥可以用于私用功能，诸如对接收到的消息解密或应用数字签名。公钥通常会由被称为证书机构(CA)的主体进行授权，证书机构将公钥存储在数据库中并将其分配给请求它的任何其它实体。私钥一般会被保持在安全存储介质中并且通常只有实体知道。然而，本文中描述的密码系统可以以用于恢复丢失的密钥并避免数据丢失的密钥恢复机制为特征。公钥和私钥可以是任何适当格式，包括基于RSA或椭圆曲线密码学(ECC)的格式。

“数字签名”可以指基于公/私钥对应用算法的结果，这种算法允许签名方显示，并且允许验证方验证文件的真实性和完整性。签名方借助于私钥起作用，验证方借助于公钥起作用。这个过程证明发送者的真实性、已签名文件的完整性和所称的不可否认性原则，所述原则不允许否认已经签名的内容。证书或包括签名方的数字签名的其它数据被称为是由签名方“签名的”。

“证书”或“数字证书”可以包括使用数字签名将公钥与关联身份的数据绑定的电子文件或数据文件。证书可以包括一个或多个数据字段，诸如身份的合法姓名、证书的序列号、证书的有效起止日期、证书相关的权限等。证书可以包含指示证书有效的第一天的“有效起始”日期，以及指示证书有效的最后一天的“有效截止”日期。证书还可以包含证书中包括数据字段的数据的散列。除非另外说明，每个证书都由证书机构签名。

“证书机构”(CA)可以包括可操作耦连以向实体发行证书的一个或多个服务器计算机。CA可以使用CA证书证明其身份，CA证书包括CA的公钥。可以用另一个CA的私钥或者可以用同一个CA的私钥对CA证书签名。后者被称为自签名证书。CA可以维护由CA发行的所有证书的数据库，并且还可以维护被撤销的证书的列表。

在一个典型过程中，证书机构从其身份已知的实体接收未签名的证书。未签名的证书包括公钥、一个或多个数据字段、以及证书中的数据的散列。CA用与CA证书上所包括的公钥相对应的私钥对证书进行签名。CA然后可以将签名的证书存储在数据库中，并将签名的证书发行给实体。

“密码随机数”可以包括任何数字、字符串、位序列、或旨在关联单个通信会话使用的其它数据值。在一些情况下，密码随机数可以是随机或伪随机生成的。例如，密码随机数可以是随机数。通常，密码随机数具有足够的长度以使多次独立生成同一随机数值的可能性不大。

“盲化密钥(blinded key)”，诸如“盲化公钥”可以包括通过与另一数据元素(如密码随机数)结合而被模糊化或以其它方式修改了其原始值的密钥。例如，在椭圆曲线密码学中，公钥可以乘以随机数从而生成“盲化公钥”。类似地，私钥可以乘以随机数从而生成“盲化私钥”。

“临时密钥对”可以包括为单次交易或其它通信会话使用而生成的公钥(即“临时公钥”)和私钥(即“临时私钥”)。临时密钥对可以是任何适当格式，诸如ECC或RSA。通常，一旦交易或通信会话已经结束，就可以删除临时密钥对。

“静态密钥对”可以包括在一段时间内被维护的公钥(即“静态公钥”)和私钥(即“静态私钥”)。通常但不一定，静态私钥可以被安全地存储在诸如硬件安全模块(HSM)或安全元件(SE)中。通常但不一定，静态公钥可以通过使用数字证书绑定到身份。静态密钥对可以是任何适当格式，诸如ECC或RSA。

“共享秘密”可以包括只对安全通信中的被授权方已知的任何数据值或其它信息。共享秘密可以以任何适当方式由任何适当数据生成。例如，可以使用基于Diffie-Hellman的算法，诸如椭圆曲线Diffie-Hellman(ECDH)，以由私钥和公钥生成共享秘密。在一些情况下，共享秘密可以用来生成会话密钥。

术语“识别数据”可以包括与用户或装置关联的任何数据或信息。识别数据的示例可以包括与装置关联的用户的姓名，与装置关联的组织，与装置关联的支付信息，诸如主账号(PAN)或令牌，PAN或令牌的到期日期，与装置关联的证书，装置的IMEI或序列号，等等。

术语“认证数据”可以包括适于认证用户或装置的任何数据或信息。认证数据的示例可以包括口令或口令短语，密码密钥(例如，私钥)、证书、与用户关联的生物测定数据(例如，指纹、声音、面部图像、虹膜/视网膜扫描)等等。

“识别因子”可以包括从识别数据和/或认证数据确定的任何数据或信息。通常但不一定，识别因子可以通过对识别数据和认证数据的组合求散列来生成。

“加密密钥”可以包括适用于用密码加密数据的任何数据值或其它信息。“解密密钥”可以包括适用于对已加密的数据进行解密的任何数据值或其它信息。在一些情况下，用于加密数据的同一密钥可以可操作以解密数据。这种密钥可以被称作对称加密密钥。

“会话密钥”可以包括用来加密或解密待被安全传送的数据的任何密钥。在一些情况下，会话密钥可以从发送实体和接收实体都知道的共享秘密生成。例如，会话密钥可以使用密钥导出函数和共享秘密被导出。会话密钥可以用来保护在请求或响应消息中包括的数据。在这些情况下，会话密钥还可以被称作消息保护密钥。

“限制使用密钥(LUK)”可以包括可以被使用有限次数的任何加密密钥或其它数据。LUK可以用于任何适当目的。例如，在一些实施例中，LUK可以用来生成用于交易的密码。

“一次使用密钥(SUK)”是只能够被使用一次的LUK。例如，SUK可以用来加密和/或解密与单次交易有关的数据。在一些实施例中，SUK可以从LUK导出。

“密码(cryptogram)”可以包括用来认证诸如装置或用户之类的实体的任何数据元素或其它信息。例如，密码可以包括静态(例如预定的)数据、动态数据或使用加密密钥(例如LUK)加密的静态和动态数据的组合。密码可以用在任何适当的上下文中。例如，“注册密码”可以包括被用来确认实体的注册的密码。“交易密码”可以包括被用来认证执行交易的实体的密码。

具体实施方式

本发明的实施例介绍了用于由用户装置安全地生成密码并由服务器计算机验证该密码的高效方法。在一些实施例中，能够执行交易，借此用户装置提供密码，无需用户装置永久性存储用来生成密码的加密密钥或其它敏感数据。例如，用户装置和服务器计算机能够相互认证并建立共享秘密。使用共享秘密，服务器计算机能够导出会话密钥，并向用户装置传送使用会话密钥加密的密钥导出参数。用户装置还能够使用共享秘密导出会话密钥，解密加密的密钥导出参数，并存储密钥导出参数。

在交易的时候，用户装置能够使用密钥导出参数和共享秘密生成单次使用密码密钥。密码密钥可以用来生成密码。密码可以用来执行交易。例如，密码可以包括在用于交易的授权请求消息中。在生成密码之后，被更新的共享秘密可以被确定，用来生成密码的共享秘密和密码密钥可以被删除。因此，在一些实施例中，在执行交易之后，密码可以是不可导出的。

在用户装置泄密或另外被认为不可信的不太可能的情况下，能够执行密钥续订(key renewal)过程。密钥续订过程可以包括第二相互认证过程。例如，用户装置可以提供使用密码密钥加密的数据和/或附加认证数据，诸如用户名、口令、一次性口令等。一旦用户装置已经重新认证，则新的共享秘密可以在用户装置和服务器计算机之间建立。此外，服务器计算机可以向用户装置提供新的密钥导出参数。在一些实施例中，用户装置能够通过向服务器计算机提供使用共享秘密生成的密码(即注册密码)确认注册。

本发明的实施例能够实现使用一次性使用密码密钥用来生成密码。根据实施例使用一次性密码密钥能够提供几个优点。例如，实施例能够缓解密码密钥的泄密风险。如果每个密码密钥是单次使用密钥，则使用密码密钥生成的第二密码能够被容易地确定为是无效的。因此，即便黑客能够偷窃密码密钥，黑客可以使用该密钥用于最多一次交易。

本发明的实施例能够提供把密钥导出参数与用户装置关联的进一步的优点。这可以提供附加安全层，使得即便一个装置的共享秘密泄密，没有相同的密钥导出参数，相应密码密钥可能在服务器计算机处不可导出。而且，由于不同的装置可能具有不同的密钥导出参数，即便攻击者用反向工程得到用户装置上的密钥导出算法，该知识也不可能有助于危害服务器计算机。

上面的示例只强调由本发明的实施例提供的几个优点。

I.系统

实施例用于各种授权系统，例如，支付系统、文件访问系统、建筑物访问系统等等。尽管描述了支付系统的示例，但实施例同样适用于其它授权系统。

A.支付系统

图1示出根据一些实施例的示例性支付系统100。所述系统包括可以操作用户装置101的用户(未示出)。用户可以使用用户装置101与访问装置102通信来执行支付交易。如本文中使用的“用户装置”可以包括桌面计算机、膝上型计算机、移动电话、平板电脑、信用卡、借记卡或任何适当计算装置。如本文中使用的“访问装置”可以包括适于与用户装置通信的任何计算装置，诸如销售点(POS)终端或网络服务器。在一些实施例中，访问装置102可以与用户装置101直接通信。在其它实施例中，访问装置102可以经由接口装置(诸如智能手表、智能眼镜或任何其它适当装置)与用户装置101通信。访问装置102可以连接至商家计算机103，商家计算机103可以连接至收单方计算机104。收单方计算机104可以经由支付处理网络105连接至发行方计算机106。用户装置101可以可选地与存储装置107通信，存储装置107可以可操作地连接至用户装置101。存储装置107可以包括或被包括在任何适当的本地或远程数据存储服务器、系统或由存储提供者提供的服务中。存储提供者可以不是提供装置101-106的相同实体。例如，存储装置107可以是由外部云存储提供者提供的基于云的存储服务的一部分。任何或所有装置101-107可以使用一个或多个计算装置(诸如服务器计算机)实现。

如本文中使用的“发行方(issuer)”通常可以指维护用户的金融账户并通常向用户发行或提供用户装置101，诸如信用或借记卡或移动装置的商业实体(例如银行)。“商家(merchant)”通常是参与交易并且能够出售商品或服务的实体。“收单方(acquirer)”通常是与特定商家或其它实体有商业关系的商业实体(例如商业银行)。一些实体能够执行发行方和收单方功能。一些实施例可以包括这种单实体发行方-收单方。每个实体可以包括一个或多个计算机设备(例如，访问装置102、商家计算机103、收单方计算机104、支付处理网络105和发行方计算机106)，以能够实现通信或执行本文中描述的一个或多个功能。

支付处理网络105可以包括数据处理子系统、网络和用来支持和传送证书机构服务、授权服务、异常文件服务、交易评分服务以及清算和结算服务的操作。示例性支付处理网络可以包括VisaNet^TM。诸如VisaNet^TM的支付处理网络能够处理信用卡交易、借记卡交易和其它类型的商业交易。VisaNet^TM具体包括处理授权请求的VIP系统(Visa集成支付系统)和执行清算和结算服务的BaSe II系统。

支付处理网络105可以包括一个或多个服务器计算机。服务器计算机通常是功能强大的计算机或计算机集群。例如，服务器计算机可以是大的主机、小型计算机集群或像一个单元一样工作的一组服务器。在一个示例中，服务器计算机可以是耦连至网络服务器的数据库服务器。支付处理网络105可以使用任何适当的有线或无线网络，包括互联网。

在一些支付交易中，用户在商家处使用用户装置101购买商品或服务。用户装置101能够在与商家计算机103关联的商家处与访问装置102交互。例如，用户可以对着访问装置102中的NFC阅读器轻拍用户装置101。替代性地，诸如在在线或电子商务交易中，用户可以通过计算机网络向商家指示支付细节。

用于交易的授权请求消息可以由访问装置102或商家计算机103生成，然后向收单方计算机104转发。在接收授权请求消息之后，收单方计算机104向支付处理网络105发送授权请求消息。支付处理网络105然后向与关联用户或用户装置101的发行方关联的相应发行方计算机106转发授权请求消息。

“授权请求消息”可以是向支付处理网络和/或发行方发送的请求对交易的授权的电子消息。根据一些实施例的授权请求消息可以符合ISO8583，ISO 8583是用于交换与用户使用支付装置或支付账户进行的支付关联的电子交易信息的系统的标准。授权请求消息可以包括可以与支付装置或支付账户关联的发行方账户标识符。授权请求消息还可以包括与“识别信息”对应的附加数据元素，包括(只作为示例)：服务代码、CVV(卡验证值)、dCVV(动态卡验证值)、到期日期等。授权请求消息还可以包括“交易信息”，诸如与当前交易关联的任何信息(诸如交易金额、商家标识符、商家位置等)以及可以在确定是否识别和/或授权交易时可以使用的任何其它信息。授权请求消息还可以包括其它信息，诸如识别生成授权请求消息的访问装置的信息，关于访问装置的位置的信息等。

在发行方计算机106接收授权请求消息之后，发行方计算机106向支付处理网络105发送回授权响应消息以指示是否授权(或不授权)当前交易。支付处理网络105然后向收单方计算机104转发授权响应消息。在一些实施例中，即便发行方计算机106已经授权交易，支付处理网络105也可以例如根据欺诈风险分数的值拒绝交易。收单方计算机104然后向商家计算机103发送回响应消息。

“授权响应消息”可以是针对由发行方计算机106和/或支付处理网络105生成的授权请求消息的电子消息应答。授权响应消息可以包括(只作为示例)以下状态指示符中的一个或多个：批准-交易被批准；拒绝-交易不被批准；或呼叫中心-响应未决的更多信息，商家必须呼叫免费授权电话号码。授权响应消息还可以包括授权代码，其可以是发行方响应于电子消息中的授权请求消息(直接地或者通过支付处理网络105)返回商家计算机103的指示交易被批准的代码。代码可以用作授权的证据。如上文指出的，在一些实施例中，支付处理网络105可以生成或通常经由收单方计算机104向商家转发授权响应消息。

在商家计算机103接收授权响应消息之后，商家计算机103然后可以为用户提供授权响应消息。响应消息可以由访问装置102显示，或者可以在物理收条上打印输出。替代性地，如果交易是在线交易，则商家可以提供网页或授权响应消息的其它指示，作为虚拟收条。收条可以包括交易的交易数据。

在一天结束时，常规的清算和结算处理可以由支付处理网络105进行。清算过程是在收单方和发行方之间交换财务细节的过程，以利于发布到顾客的支付账户，并核对用户的结算位置。

B.用户装置

图2示出根据一些实施例的用户装置200的示例。例如，用户装置200可以包括或被包括在图1中描述的用户装置101中。用户装置200的示例可以包括移动电话、平板电脑、桌面和膝上型计算机、可穿戴装置(例如，智能手表、健身手环、脚链、戒指、耳环等)或能够接收、存储和传输数据的任何其它计算装置。用户装置200可以被配置成直接或间接地与服务器计算机300通信，以实现本文中描述的方法。用户装置200可以包括通信耦连至网络接口202的处理器201、存储器203、计算机可读介质210以及可选地包括安全元件204。

处理器201可以包括一个或多个CPU，每个CPU可以包括可操作执行程序组件以用于执行用户和/或系统生成的请求的至少一个处理器核。CPU可以是微处理器，诸如AMD的Athlon、Duron和/或Opteron；IBM和/或Motorola的PowerPC；IBM的以及Sony的Cell处理器；Intel的Celeron、Itanium、Pentium、Xeon和/或XScale；和/或类似的(若干)处理器。CPU根据传统的数据处理技术通过传输通过传导导管的信号与存储器交互，以执行存储的信号程序代码。在一些情况下，诸如在分布式或集群计算系统中，处理器201可以包括通过网络耦连的多个CPU。

网络接口202可以被配置成允许计算装置200使用一个或多个通信网络与其它实体(诸如装置101-107、其它计算装置等)通信。网络接口可以接收、通信和/或连接至通信网络。网络接口可以使用连接协议，诸如但不限于：直连、以太网(粗的、细的、双绞线10/100/1000Base T等等)、令牌环网、无线连接(诸如IEEE 802.11a-x)、和/或其它。通信网络可以是以下的任何一个和/或组合：直接互连、互联网、局域网(LAN)、城域网(MAN)、安全定制连接、广域网(WAN)、无线网络(例如使用诸如但不限于无线应用协议(WAP)、I-模式等等的协议)和/或其它。

存储器203可以用来存储数据和代码。存储器203可以在内部或外部耦连至处理器201(例如基于云的数据存储)，并且可以包括易失性和/或非易失性存储器的任何组合，诸如RAM、DRAM、ROM、闪存或任何其它适当的存储器装置。

安全元件204可以包括能够安全地驻存敏感应用和/或数据的防篡改模块。这些应用和/或数据可以与支付应用、认证/授权、密码密钥管理等等有关。例如，凭证、密码密钥或密钥材料、密码、共享秘密、账户信息等的一些或所有部分可以提供到用户装置200的安全元件204上，以防止未授权的访问。在一些实施例中，安全元件204可以包括或被包括在基于软件的(诸如主机卡模拟或HCE)和/或基于硬件的(诸如硬件安全模块或HSM、智能卡或芯片卡)安全模块的任何组合中。

计算机可读介质210可以是存储器的形式(例如，闪存、ROM等)，并且可以包括可由处理器201执行的用于实现本文中描述的方法的代码。计算机可读介质210可以包括认证模块211、加密模块212和应用模块213。在各个实施例中，这些模块可以被配置成单独地或一起执行图4-5、8、11、12、15和18各自的方法400、800、1100、1200、1500、1600、1800的一些或全部。

认证模块211可以包括适于向另一计算装置认证计算装置200或在计算装置200处认证另一计算装置的任何程序、软件或其它代码。例如，认证模块211可以被配置成生成并向另一计算装置发送认证请求消息，接收并处理来自其它计算装置的认证响应消息。类似地，认证模块211可以被配置成接收并处理来自另一计算装置的认证请求消息，生成并向其它计算装置发送认证响应消息。

加密模块212可以包括适于执行与加密和/或解密有关的操作的任何程序、软件或其它代码。例如，加密模块可以被配置成诸如使用密钥协商协议(诸如Diffie-Hellman)生成共享秘密。加密模块212还可以被配置成诸如使用密钥导出函数(KDF)从共享秘密导出会话密钥。在一些实施例中，加密模块212可以被配置成存储一个或多个静态密钥，诸如静态用户装置私钥或静态服务器计算机私钥。在一些实施例中，加密模块212可以使用软件(诸如主机卡模拟或HCE)和硬件(诸如硬件安全模块或HSM)的任何组合实现。

应用模块213可以包括适于运行一个或多个应用的任何程序、软件或其它代码。例如，应用模块213可以包括可操作执行支付交易的支付应用。在一些实施例中，支付应用可以被配置成允许用户选择要购买的商品和服务，从支付账户的发行方获得安全凭证(例如密码密钥)和/或发起或执行支付交易(例如，使用安全凭证)。

要理解，本文中描述的组件只用于示意目的，不旨在是限制性的。在各个实施例中，可以提供比本文列出的更多或更少的组件。例如，在一个实施例中，用户装置200可以不包括安全元件204。在这样的实施例中，敏感或机密数据(例如密码密钥)可以(例如以加密形式)存储在可操作连接至用户装置200的存储装置107中和/或从其检索。在一些实施例中，用户装置200可以不包括应用模块213。

C.服务器计算机

图3示出根据一些实施例的服务器计算机300的示例。例如，服务器计算机300可以包括或被包括在图1中描述的任何装置102-106中。服务器计算机300的示例可以包括移动电话、平板电脑、桌面和膝上型计算机、主机计算机或适于接收、存储和传输数据的任何其它计算装置。服务器计算机300可以被配置成直接或间接地与用户装置200通信，以实现本文中描述的方法。服务器计算机300可以包括通信耦连至网络接口302的处理器301、存储器303、计算机可读介质310，以及可选地包括安全元件304。

处理器301、网络接口302、存储器303可以与用户装置200的处理器201、网络接口202和存储器203类似。计算机可读介质310可以是存储器的形式(例如，闪存、ROM等)，并且可以包括可由处理器301执行的用于实现本文中描述的方法的代码。计算机可读介质310可以包括认证模块311、加密模块312和应用模块313。在各个实施例中，这些模块可以被配置成单独地或一起执行图6-7、9、11、13、15、17和18各自的方法600、900、1100、1300、1500、1700、1800的一些或全部。

认证模块311可以包括适于向另一计算装置认证计算装置300或在计算装置300处认证另一计算装置的任何程序、软件或其它代码。例如，认证模块311可以被配置成生成并向另一计算装置发送认证请求消息，接收并处理来自其它计算装置的认证响应消息。类似地，认证模块311可以被配置成接收并处理来自另一计算装置的认证请求消息，生成并向其它计算装置发送认证响应消息。

加密模块312可以包括适于执行与加密和/或解密有关的操作的任何程序、软件或其它代码。例如，加密模块可以被配置成诸如使用密钥协商协议(诸如Diffie-Hellman)生成共享秘密。加密模块312还可以被配置成诸如使用密钥导出函数(KDF)从共享秘密导出会话密钥。在一些实施例中，加密模块312可以被配置成存储一个或多个静态密钥，诸如静态用户装置私钥或静态服务器计算机私钥。在一些实施例中，加密模块312可以使用软件(诸如主机卡模拟或HCE)和硬件(诸如硬件安全模块或HSM)的任何组合实现。

应用模块313可以包括可操作以为一个或多个计算装置处的支付应用提供服务的支付应用服务。在一些实施例中，支付应用服务可以被配置成允许用户选择要购买的商品和服务。应用模块313还可以包括用于登记或重新登记用户装置和/或与用户装置执行交易的服务。

要理解，本文中描述的组件只用于示意目的，不旨在是限制性的。在各个实施例中，可以提供比本文列出的更多或更少的组件。例如，在一个实施例中，服务器计算机300可以不包括安全元件304和/或应用模块313。

尽管使用了通用术语“服务器计算机”，但在一些实施例中，可以提供不同的服务器计算机以实现本发明的不同特征。例如，储备服务器(provisioning server)可以被配置成与用户装置建立(若干)共享秘密，并向用户装置提供凭证，包括令牌、密钥导出参数、更新参数、密码导出参数、交易参数和任何其它适当数据。注册服务器可以被配置成向用户装置提供注册数据，从用户装置接收注册密码，并使用由用户装置提供的注册数据校验注册密码。验证服务器可以被配置成使用基于之前的共享秘密确定的更新共享秘密校验由用户装置提供的交易密码。续订服务器可以被配置成可以在用户和服务器计算机之间建立新的共享秘密。此外，续订服务器可以被配置成提供新参数(例如，新密钥导出参数、新密码导出参数和/或新更新参数)，新参数可以被储备到用户装置上以用于生成密码和/或密码密钥。

在各个实施例中，储备服务器、注册服务器和验证服务器可以由分开的服务器计算机或同一服务器计算机实现。例如，验证服务器可以由交易服务器实现，其被配置成与储备服务器和/或注册服务器分开地处理支付请求。储备服务器和注册服务器可以是同一服务器或分开的服务器。注册服务器和续订服务器可以是同一或分开的服务器。在由分开的服务器计算机实现时，储备服务器、注册服务器、续订服务器和/或验证服务器可以相互通信，以便访问解密和/或验证数据(例如，服务器私钥、共享秘密、密钥导出参数、密码导出参数、更新参数、密码、请求数据等)所需的信息。

II.凭证储备方法

实施例可以使用上文描述的系统和设备从服务器计算机向用户装置提供数据，诸如凭证。图4-7描述这些方法的一些示例。在一些实施例中，用户装置可以包括图1和2相应的用户装置101或200。服务器计算机可以包括图1和3各自的装置102、103、104、105、106或300。在一些实施例中，服务器计算机可以包括储备服务器计算机。

用户装置可以向服务器计算机传送使用识别数据生成的请求消息。通常，识别数据是加密或另外受保护的。在一些实施例中，请求消息可以通过不可信网络传输。服务器计算机能够处理请求消息以获得并验证识别数据。服务器计算机然后能够加密有效载荷数据，并在响应消息中向用户装置传送加密的有效载荷数据。用户装置然后能够处理响应消息以获得有效载荷数据。有效载荷数据可以包括支付凭证，诸如PAN、密码密钥(例如，加密密钥、LUK、盲化公钥)、密钥导出参数、证书链信息等等。

服务器计算机能够维护包括静态服务器计算机公钥和静态服务器计算机私钥的静态服务器计算机密钥对。类似地，用户装置能够维护包括静态用户装置公钥和静态用户装置私钥的静态用户装置密钥对。此外，用户装置和/或服务器计算机能够生成临时密钥对(即，分别是临时用户装置密钥对或临时服务器计算机密钥对)。这些密钥的一个或多个可以用来加密或解密请求消息和/或响应消息。

在各个实施例中，第一和服务器计算机之一或两者可以是装置、网络或计算机101-106的任何一个的一部分。例如，在一些实施例中，用户装置可以是用户装置101，服务器计算机可以是访问装置102、商家计算机103、收单方计算机104、支付处理网络计算机105、发行方计算机106或任何其它适当装置。在这些实施例中，当用户执行交易时，用户装置与服务器计算机通信。

A.用户装置

图4-5示出根据一些实施例用于从服务器计算机安全地储备(例如凭证)的示例性过程或方法400。过程400的各方面可以由用户装置(诸如用户装置101或200)执行。替代性地或另外，过程400的各方面可以由任何其它适当的实体执行。过程400(或本文中描述的任何其它过程或其变形和/或组合)的一些或所有方面可以在配置有可执行指令的一个或多个计算机/控制系统的控制下执行，并且可以由硬件或其组合实现为共同在一个或多个处理器上执行的代码(例如，可执行指令、一个或多个计算机程序或一个或多个应用)。代码可以存储在计算机可读存储介质上，例如以包括可由一个或多个处理器执行的多个指令的计算机程序的形式。计算机可读存储介质可以是非瞬态的。描述操作的顺序不旨在被解读为是限制，任何数目的被描述操作可以以任何顺序和/或并行地组合以执行过程。

在步骤401，确定临时密钥对。“临时密钥对”可以包括供单次交易或其它通信会话使用而生成的公钥(即“临时公钥”)和私钥(即“临时私钥”)。临时密钥对可以是任何适当格式，诸如ECC或RSA。通常，一旦使用临时密钥的通信会话已经结束，或者一旦已经使用临时密钥对生成一个或多个共享秘密，临时密钥对可以被删除。临时密钥对的这种去除可以降低泄密的风险。

在步骤402，使用识别数据和认证数据计算识别因子。识别数据可以包括与用户或用户装置关联的任何数据或信息。识别数据的示例可以包括与用户装置关联的用户的姓名、与用户装置关联的组织、与用户装置关联的支付信息(诸如主账号(PAN)或令牌)、与PAN或令牌关联的到期日期、与用户装置关联的证书、用户装置的IMEI或序列号等。认证数据可以包括适于认证用户或用户装置的任何数据或信息。认证数据的示例可以包括口令或口令短语、秘密密钥(例如私钥)等。识别因子可以包括从识别数据和/或认证数据确定的任何数据或信息。例如，在一些实施例中，可以通过对识别数据和认证数据的组合求散列生成识别因子。

在步骤403，把识别因子与临时公钥和临时私钥组合。结果，可以确定组合的临时公钥和组合的临时私钥。组合密钥可以包括通过与另一数据元素或值组合已经被模糊化或以其它方式修改其原始值的密钥。例如，组合的临时公钥可以是临时公钥和识别因子的组合。类似地，组合的临时私钥可以是临时私钥和识别因子的组合。在一些实施例中，把密钥与数据元素组合可以包括执行密钥和数据元素的点乘。在一些实施例中，步骤403是可选的。

在步骤404，使用组合的临时私钥和静态服务器计算机公钥生成第一共享秘密。第一共享秘密还可以被称作请求共享秘密，原因是它用来保护(例如加密和/或解密)请求消息，如下文讨论的。静态服务器计算机公钥可以包括由服务器计算机维护的静态公钥，诸如保存在安全元件中。在一些实施例中，静态服务器计算机公钥可以从服务器计算机的数字证书确定，数字证书之前已经由用户装置获得，并且可以由可信的证书机构签名。

可以使用任何适当方法从组合的临时私钥和静态服务器计算机公钥生成共享秘密。例如，在使用椭圆曲线密码学的实施例中，可以使用椭圆曲线Diffie-Hellman协议(ECDH)确定共享秘密。

在步骤405，使用第一共享秘密和第一补充数据生成第一会话密钥。第一补充数据可以包括用来生成第一会话密钥的任何其它数据。第一补充数据的示例可以包括服务器计算机标识符和/或截断的临时公钥。

会话密钥可以是任何适当格式(例如，AES、DES、Blowfish等)、任何适当长度，并且使用任何适当的密钥导出函数(KDF)生成。例如，在一个实施例中，会话密钥可以使用基于口令的密钥导出函数2(PBKDF2)算法生成。在一些实施例中，其它数据(诸如用户装置标识符)可以用作密钥导出函数的附加输入。

在步骤406，使用第一会话密钥加密临时公钥、识别数据和用户装置标识符，以生成加密的请求数据。第一会话密钥还可以被称作消息保护密钥。“用户装置标识符”可以包括适于识别用户装置的任何标识符。

在一些实施例中，请求数据可以包括装置或用户标识符和/或认证器信息(例如认证器标识符)。请求数据还可以包括客户端配置信息和/或服务的指令。在一些示例中，这些信息可以由不先验地包括用于强认证的手段的用户装置提供。

在步骤407，向服务器计算机发送包括组合的临时公钥和加密的请求数据的储备请求消息。在一些实施例中，储备请求消息在到达服务器计算机之前，可以通过一个或多个中间机构(例如不可信网络)传输。储备请求消息可以包括临时公钥，且不包括加密的请求数据。

继续图5的步骤408，从服务器计算机接收包括盲化静态服务器计算机公钥和加密的响应数据的储备响应消息。通常，盲化静态服务器计算机公钥可以是在步骤404使用的静态服务器计算机公钥的盲化形式，以生成第一共享秘密。在这些实施例中，第一共享秘密与下文讨论的第二共享秘密不同。在一些其它的实施例中，从服务器计算机接收的静态服务器计算机公钥可以不被盲化。在这些实施例中，第二共享秘密基本上与第一共享秘密相同。在静态服务器计算机公钥不被盲化时，可以提供密码随机数，作为响应数据的一部分，并用来计算密码。例如，来自服务器的密码随机数(熵)可以被使用或存储以用于进一步的推导，或者可以提供第二密码随机数，作为导出参数的一部分。在密码(例如，支付交易密码)的计算中使用来自服务器的熵是必不可少的。

在步骤409，使用临时私钥和静态服务器公钥确定第二共享秘密。在一些情况下，第二共享秘密可以被称作响应共享秘密，原因是它用于(例如加密和/或解密)响应消息，如下文讨论的。在一些实施例中，在步骤408，从服务器计算机接收盲化静态服务器计算机公钥。在一些其它的实施例中，在用户装置处从静态服务器公钥导出盲化密钥。可以使用可以作为储备响应消息的一部分提供的密码随机数导出盲化密钥。密码随机数可以是随机数。密码随机数还可以用来验证服务器计算机证书，如在别处讨论的。

在一些实施例中，可以使用任何适当方法，诸如ECDH从临时私钥和盲化静态服务器计算机公钥生成第二共享秘密。在其它实施例中，可以在没有盲化密钥的情况下确定第二共享秘密。在这些实施例中，储备响应消息(例如凭证)可以包括可以用来导出密码密钥的密码随机数。

在步骤410，使用第二共享秘密和第二补充数据生成第二会话密钥。第二补充数据可以包括用来生成第二会话密钥的任何其它数据。第二补充数据的示例可以包括服务器计算机标识符、用户装置标识符和/或截断的临时公钥。可以使用任何适当的KDF生成第二会话密钥。

在步骤411，使用第二会话密钥解密加密的响应数据以获得密码随机数、服务器计算机证书链和有效载荷数据。服务器计算机证书链可以包括从根CA证书到服务器计算机证书的一个或多个签名证书的链，从而该链确立服务器计算机证书的真实性。有效载荷数据可以包括任何适当数据。例如，有效载荷数据可以包括非凭证信息(诸如交易的确认、用户的账户余额等等)和凭证(诸如支付凭证)。有效载荷数据或支付凭证可以包括以下的任何一个或多个：PAN或令牌(例如PAN替代品)、可以用来执行另外的交易的有限使用密钥(LUK)和可以用来导出密码密钥的其它密钥导出参数、更新参数、交易参数等等。响应数据的一些或所有部分可以使用一个或多个加密密钥加密。

有效载荷数据或凭证可以包括密钥导出参数，该密钥导出参数可以或可以不包括有限使用密钥(LUK)。密钥导出参数(其可以或可以不包括LUK)可以用来生成用于执行交易的一个或多个密码。例如，LUK可以用来直接导出密码，或用来导出密码密钥，密码密钥然后用来生成密码。

有效载荷数据或凭证还可以包括更新参数，更新参数可以由用户装置使用以基于之前的共享秘密生成更新的共享秘密。在一些实施例中，密钥导出参数可以基本上与更新参数相同。在一些其它的实施例中，密钥导出参数可以与更新参数不同。密钥导出参数和/或更新参数可以是每个用户装置或每组用户装置唯一的，以便防止大规模离线攻击。

有效载荷数据或凭证可以包括密码导出参数，密码导出参数可以用来导出密码。

密钥导出参数、密码导出参数和/或更新参数可以包括LUK、给定交易使用哪些交易参数的说明、用于执行导出的代码(或使用哪个导出程序的标识符)和/或与这些参数有关的其它信息。在一些实施例中，密钥导出参数、密码导出参数和/或更新参数可以包括“假(dummy)的”或无效的参数以用于模糊化目的。代码可以是个性化的导出方法代码，原因是其对于装置或装置组是唯一的，并且可以被随机地分配。代码可以由服务器或其它卖方签名，使得用户装置能够认证代码。在一些实施例中，代码在被签名前被模糊化，因此使攻击者难以理解、绕过和/或反向工程得到该代码。

在步骤412，验证服务器计算机证书链。可以使用任何适当的在线或离线方法验证服务器计算机证书链。例如，对于链中的一个或多个证书中的每一个，可以使用已知的可信公钥(例如，证书机构的公钥或由CA适当授权的实体的公钥)验证证书的数字签名。例如，在一些实施例中，可以使用诸如椭圆曲线数字签名算法(ECDSA)的数字签名算法来验证证书。在一些实施例中，可以使用作为储备响应消息的一部分(例如凭证的一部分)提供的密码随机数验证服务器计算机证书。

在步骤413，使用服务器计算机证书和密码随机数验证盲化的静态服务器计算机公钥。验证盲化静态服务器计算机公钥可以包括确保盲化静态服务器计算机公钥与预期值匹配。例如，在一些情况下，可以使用在服务器计算机证书上包括的静态服务器计算机公钥和在步骤411解密的密码随机数生成第二盲化静态服务器计算机公钥。第二盲化静态服务器计算机公钥然后可以与在步骤408接收的盲化静态服务器计算机公钥比较，以确保密钥匹配。替代性地，在一些情况下，可以通过把在步骤408接收的盲化静态服务器计算机公钥与存储的盲化静态服务器计算机公钥比较来验证前者。如果密钥匹配，则可以认证服务器计算机。否则，认证可能失败。

应当注意，这种认证方法(即验证盲化静态公钥)能够提供这样的优点，即不需要以明码电文传输可能被认为是敏感(因为其可能揭示服务器计算机的身份)的静态服务器计算机公钥。因此，能够执行服务器计算机的认证，同时保护服务器计算机的身份不被捕获储备请求消息的偷听者获得。

在步骤414，使用有效载荷数据执行交易。在一些实施例中，有效载荷数据可以包括凭证(例如，令牌、密钥导出参数、更新参数、密码导出参数)。在这些实施例中，可以使用凭证执行交易。例如，可以使用提供的密钥导出参数从第二(响应)共享秘密生成密码密钥。可以使用可以作为有效载荷数据的一部分提供的密码随机数进一步导出密码密钥。密码密钥可以是可操作的，以生成密码。还可以使用作为有效载荷数据的一部分提供的密码导出参数生成密码。密码可以用在与校验服务器计算机的安全通信中。密码可以包括在授权请求消息中，并由校验服务器计算机验证。

在一些实施例中，第二(响应)共享秘密可以使用更新参数和包括更新参数的凭证被更新以确定更新的共享秘密。可以使用更新的共享秘密和密钥导出参数确定第二密码密钥。可以使用第二密码密钥生成第二密码。可以使用第二密码与校验服务器计算机执行第二安全通信。

在一些实施例中，第二安全通信可以是授权交易，其中，第二密码认证授权交易的至少一个元素。

在一些实施例中，可以为多个新安全通信的每一个生成新共享秘密，每个新共享秘密是使用之前的共享秘密和更新参数生成的。可以使用新共享秘密和密钥导出参数导出新密码密钥。可以使用新密码密钥生成新密码。可以使用新密码与校验服务器计算机执行新安全通信。

在一些实施例中，用户装置可以被配置成只存储响应(第二)共享秘密，而不存储第一(请求)共享秘密以降低暴露的风险。在一些情况下，一旦发送了请求，第一共享秘密将不再需要。响应共享秘密可以被存储，以便为后续的交易生成更新的共享秘密。在一些实施例中，用户装置可以被配置成只存储最新的一个或多个共享秘密(例如，最后一个共享秘密或最后几个共享秘密)以降低潜在泄密的损害。还可以存储来自响应数据的其它数据，诸如密钥导出参数、更新参数、密码导出参数、密码随机数等等。

B.服务器计算机

图6-7示出根据一些实施例用于向用户装置安全地储备数据(例如凭证)的示例性过程或方法600。过程600的各方面可以由服务器计算机(诸如服务器装置或计算机102、103、104、105、106或300)执行。例如，过程600可以由储备服务器执行。替代性地或者另外，过程600的各方面可以由任何其它适当的实体执行。

通常，在方法600之前，服务器计算机维护静态服务器计算机密钥对。静态服务器计算机密钥对可以包括公钥(即“静态服务器计算机公钥”)和私钥(即“静态服务器计算机私钥”)。服务器计算机还可以包括“服务器计算机证书”，服务器计算机证书包括静态服务器计算机公钥。服务器计算机证书可以由证书机构(诸如支付处理网络105或发行方计算机106)签名。

在步骤601，从用户装置接收包括组合的临时公钥和加密的请求数据的储备请求消息。通常，组合的临时公钥可以由用户装置使用临时公钥和识别因子(例如根据方法400的步骤403)生成。组合的临时密钥可以只是临时公钥，而不使用识别因子。储备请求消息可以包括临时公钥，而不包括加密的请求数据。在这样的实施方式中，本领域技术人员会理解可以不需要下文的某些步骤。

在步骤602，使用在步骤601接收的组合的临时公钥和静态服务器计算机私钥生成第一(请求)共享秘密。可以使用任何适当的方法(诸如ECDH)从组合的临时公钥和静态服务器计算机私钥生成共享秘密。

在步骤603，使用第一共享秘密和第一补充数据生成第一会话密钥。第一补充数据可以包括用来生成第一会话密钥的任何其它数据。通常，可以在步骤603使用用来在用户装置处(例如根据方法400的步骤405)生成第一会话密钥的相同数据。

在步骤604，使用第一会话密钥解密加密的请求数据，以获得包括临时公钥、用户装置标识符和识别数据的请求数据。临时公钥可以对应于在步骤601接收的组合的临时公钥。用户装置标识符可以包括适于识别用户装置的任何数据。识别数据可以包括与用户或用户装置关联的任何数据或信息。识别数据的示例可以包括与用户装置关联的用户的姓名、与用户装置关联的组织、与用户装置关联的支付信息(诸如主账号(PAN)或令牌)、与PAN或令牌关联的到期日期、与用户装置关联的证书、用户装置的IMEI或序列号等。

在步骤605，使用用户装置标识符验证识别数据。例如，在一些实施例中，用户装置标识符可以用来从装置数据库检索对应的识别数据。然后可以把解密的识别数据与接收的识别数据比较来验证解密的识别数据。

在步骤606，检索与用户装置标识符关联的认证数据和/或识别数据。认证数据可以包括适于认证用户或用户装置的任何数据或令牌。认证数据的示例可以包括口令或口令短语、秘密密钥(例如私钥)等。在一些实施例中，可以从装置数据库检索认证数据。

在步骤607，使用检索的认证数据和识别数据生成识别因子。识别因子可以包括从识别数据和/或认证数据确定的任何数据或信息。例如，在一些实施例中，可以通过对识别数据和认证数据的组合求散列生成识别因子。通常，以与在用户装置处的相同方式(例如根据步骤402)执行在步骤607生成的识别因子。

在步骤608，使用临时公钥和识别因子验证组合的临时公钥。验证组合的临时公钥可以包括确保组合的临时公钥与预期值匹配。例如，在一些情况下，可以使用在步骤604获得的临时公钥和在步骤607确定的识别因子生成第二组合的临时公钥。然后，可以把第二组合的临时公钥与在步骤601接收的组合的临时公钥比较，以确保密钥匹配。如果密钥匹配，则用户装置可以被认证。否则，认证可能失败。

应当注意，这种认证方法(即验证组合的临时密钥)提供这样的优点，即不需要以明文甚至以加密形式传输可能是敏感的认证数据。因此，即便静态服务器计算机私钥稍后泄密(不过是不可能的)，明文认证数据也不被暴露。而且，由于密钥的盲化通常是不可逆的，即便具有组合的临时公钥和临时公钥的知识，攻击者也不能导出识别因子，更不用说用来生成识别因子的认证数据。

继续图7的步骤609，生成密码随机数。密码随机数可以是使用任何适当方法生成的随机或伪随机数据值。

在步骤610，使用密码随机数和识别因子盲化静态服务器计算机公钥和静态服务器计算机私钥。结果，可以确定盲化静态服务器计算机公钥和/或盲化静态服务器计算机私钥。盲化密钥可以包括通过与一个或多个其它数据元素的组合已经被模糊化或以其它方式修改其原始值的密钥。例如，组合的临时公钥可以是临时公钥、密码随机数和识别因子的组合(例如点乘)。类似地，组合的临时私钥可以是临时私钥、密码随机数和识别因子的组合。

在步骤611，使用盲化的静态服务器计算机私钥和临时公钥生成第二共享秘密。在替代性实施例中，静态服务器计算机私钥不被盲化。而是，临时公钥被盲化。可以使用任何适当方法(诸如ECDH)从组合的临时公钥和静态服务器计算机私钥生成共享秘密。

在步骤612，使用第二共享秘密和第二补充数据生成第二会话密钥。第二补充数据可以包括用来生成第二会话密钥的任何其它数据。通常，在步骤612，可以使用用来在用户装置处生成(例如根据方法400的步骤410)第二会话密钥的相同数据。

在步骤613，使用第二会话密钥加密密码随机数、服务器计算机证书链和有效载荷的其它凭证，以生成加密的响应数据。服务器计算机证书链可以包括从根CA证书到服务器计算机证书的一个或多个签名证书的链，由此该链确立服务器计算机证书的真实性。有效载荷数据可以包括任何适当数据。例如，有效载荷数据可以包括交易的确认、用户的账户余额、可以用来执行另外的交易的有限使用密钥(LUK)等。有效载荷数据还可以包括密钥导出参数、密码导出参数、更新参数。密钥导出参数、密码导出参数和/或更新参数可以包括LUK、给定交易使用哪些交易参数的说明、用于执行导出的代码(或使用哪个导出程序的标识符)和/或与这些参数有关的其它信息。代码可以是个性化的导出方法代码，原因是其对于装置或装置组是唯一的，并且可以被随机地分配。代码可以由服务器或其它卖方签名，使得用户装置能够认证代码。

在一些实施例中，代码的用户团体被分成更小的组。每个组可以接收不同的代码，其中，代码的每次发布(例如每年发布)可以是不同的。有利的是，对用户装置中的一个成功反向工程的攻击者不会影响不在相同组中的任何用户装置。提供代码和密钥/密码导出参数的随机化过程能够使泄密的组更小并且是变化的，从而使过程对黑客的吸引力更小。

在步骤614，向用户装置发送包括加密的响应数据的储备响应消息。在一些实施例中，响应消息还可以包括静态服务器计算机公钥，其可以或可以不被盲化。储备响应消息在到达用户装置之前可以通过一个或多个中间机构(例如不可信网络)传输。

III.登记方法

本发明的实施例介绍了用于给装置安全地储备敏感数据(例如有限使用密钥(LUK)和/或其它凭证数据)以储备到用户装置上的高效方法，使得装置能够执行安全通信。登记过程可以可选地包括储备过程，其中，从服务器计算机向用户装置储备凭证、参数(例如密钥导出参数、更新参数、密码导出参数)和任何其它适当的数据。可选地，登记过程还可以包括注册过程，其中，用户装置使用储备的材料生成注册密码，注册密码然后由服务器计算机验证。

例如，在一个实施例中，用户装置能够生成包括临时公钥和临时私钥的临时密钥对。用户装置能够使用临时私钥和服务器计算机公钥导出第一会话密钥，并使用第一会话密钥加密认证因子(诸如用户凭证)。用户装置然后能够向服务器计算机(例如支付处理网络计算机)发送包括加密的认证因子和临时公钥的请求消息。

一旦接收请求消息，服务器计算机可以使用接收的临时公钥和服务器计算机私钥重新生成第一会话密钥。服务器计算机然后能够解密加密的认证因子并认证用户装置。如果用户装置被成功认证，则服务器计算机能够生成第二会话密钥、密钥导出参数以及可能还有LUK。服务器计算机可以使用第二会话密钥加密包括密钥导出参数的响应参数(可以或可以不包括LUK)以生成加密的有效载荷。服务器计算机然后能够向用户装置发送包括加密的有效载荷的响应消息。

在响应中，用户装置能够解密加密的有效载荷，以确定可以或可以不包括LUK的密钥导出参数。密钥导出参数能够用来生成密码密钥，密码密钥又可以用来生成用于执行交易的密码。

此外，一些实施例能够只使用两个消息把密钥导出参数(其可以或可以不包括LUK)储备到之前未认证的用户装置上，这两个消息是：来自用户装置的请求消息以及对于用户装置的响应消息。因此，实施例能够提供上面的好处，同时降低储备用户装置所需的时间和处理。

A.用户装置

图8示出根据一些实施例用于给用户装置(例如用户装置101)储备由服务器计算机(例如支付处理网络计算机105)生成的有限使用密钥的示例性登记过程或方法800。过程800的各方面可以由图1和2各自的用户装置101或200执行。服务器计算机可以包括储备服务器和/或注册服务器。

在步骤801，可以执行方法400的步骤401-413。具体地，用户装置能够确定包括临时公钥和临时私钥的临时密钥对。用户装置能够使用临时私钥和服务器计算机公钥导出第一会话密钥，并使用第一会话密钥加密认证因子(诸如用户凭证)。用户装置然后能够向服务器计算机发送包括加密的认证因子和临时公钥的储备请求消息。储备请求消息还可以象LUK请求消息一样工作。作为响应，可以从服务器计算机接收储备/LUK响应消息。响应消息可以包括盲化服务器计算机公钥和加密的响应数据。用户装置能够使用临时私钥和盲化服务器计算机公钥生成第二共享秘密。用户装置还能够使用第二共享秘密和第二补充数据生成第二会话密钥，第二补充数据诸如服务器计算机标识符、用户装置标识符和/或截断的临时公钥。可以使用第二会话密钥解密加密的响应数据以获得密码随机数、服务器计算机证书链和有效载荷数据。服务器计算机证书链和盲化服务器计算机公钥能够被验证或校验。对这些步骤的进一步描述可以参照方法400中的对应步骤找到。

在步骤802，可以从凭证获得密钥导出参数。密钥导出参数可以可选地包括有限使用密钥(LUK)。如在方法400的步骤411讨论的，来自服务器计算机的响应数据可以包括使用从第二共享秘密导出的第二会话密钥加密的有效载荷数据。可以通过使用在上面从第二密钥导出的第二会话密钥解密响应数据来检索有效载荷数据。有效载荷数据可以包括凭证及其它数据，凭证可以包括令牌、密钥导出参数、更新参数、密码导出参数等等。

在步骤808，可以从例如服务器计算机接收注册数据(例如一次性口令(OTP))。服务器计算机可以是注册服务器，其可以或可以不与上文讨论的储备服务器相同。可以使用与用来传送储备请求/响应消息的通信信道分开的通信信道向用户装置传送注册数据。例如，注册可以通过SMS、电子邮件、电话呼叫、在线聊天、传真、邮件等等传送，并由用户人工输入到用户装置中。在一些其它的实施例中，注册数据可以在与储备请求/响应消息相同的通信信道中提供。在这些实施例中，注册数据可以在储备响应消息或在不同的消息中提供。

在各个实施例中，注册数据可以包括代替OTP或除了OTP之外的其它数据。例如，注册数据可以包括非口令数据，诸如静态字符串、唯一的装置或用户标识符、假交易数据等等。任何其它注册数据只要是可验证的都可以被使用。

在步骤810，可以使用第二(响应)共享秘密和/或密钥导出参数生成密码。在一些实施例中，密钥导出参数可以可选地包括有限使用密钥(LUK)。例如，在图5图示的储备过程的步骤409，可以生成第二(响应)共享秘密。可以使用第二共享秘密、LUK和/或密钥导出参数的一些或全部生成密码密钥。例如，可以只使用单独的LUK、单独的第二共享秘密(例如使用从第二共享秘密导出的第二会话密钥)或者单独的密钥导出参数生成密码密钥。例如，密码密钥可以是LUK或第二会话密钥。在一些其它的实施例中，可以使用LUK和第二共享秘密，LUK和密钥导出参数或者第二共享秘密和密钥导出参数生成密码密钥。例如，可以使用LUK和第二会话密钥的组合生成密码密钥。在又一些其它的实施例中，可以使用第二共享秘密、LUK和密钥导出参数生成密码密钥。LUK可以被认为是导出参数。

在一些实施例中，本文中讨论的算法(例如密钥导出算法或函数)和参数(例如密钥导出参数和/或更新参数)的列表可以对特定装置或特定的装置组是唯一的，以便防止反向工程。装置间的不同可以基于装置上安装的软件开发套件(SDK)。在一些实施例中，用于导出特定密钥或共享秘密的精确算法和/或参数可以使用装置上存储的位图识别。位图的解释和位图到算法和/或参数的实际列表的映射可以根据装置特定的SDK变化。例如，在一个装置上，存储的算法列表可以是{alg1,alg2,...,alg8}，而在另一装置上，存储的算法列表可以是{alg3,alg5,…,alg1}。类似地，密钥导出参数和/或更新参数的列表还可以不同地存储在不同的装置上。在一些实施例中，算法和/或参数可以以随机方式列在装置的一些或全部上。位图可以指向要用于实际密钥生成的算法和/或参数的列表中的正确索引。在一些实施例中，由服务器计算机提供的响应数据可以包括指向要由用户装置生成密钥和/或共享秘密使用的适当算法和/或参数的位图。在一些情况下，可以基于算法和/或参数存储在用户装置上的顺序，专门为特定用户装置生成由服务器计算机提供的位图。

在一些实施例中，在响应消息被处理之后或者在交易或会话已经结束之后，密钥材料的一些或全部(诸如共享秘密、会话密钥等等)可以被破坏或另外被置于不可访问(例如加密的)。例如，在一些实施例中，只保留最新的(例如第二)共享秘密，而一些或所有之前的(第一)共享秘密从用户装置删除。在一些实施例中，通过利用用户装置上的硬件保护(例如使用安全元件)或白盒密码模块，响应共享秘密或任何其它机密信息可以被安全地存储在用户装置处。

在一些实施例中，存储在用户装置上的数据包括最后的共享秘密(响应共享秘密)和任何最后的参数(例如密钥导出参数、更新参数、密码参数、交易参数)，他们被用来导出下一共享秘密、下一密码密钥(例如LUK或SUK)、下一密码等等。用户装置上存储的数据还可以包括为服务器响应中的凭证数据的一部分的导出参数和/或对每个离线交易的更新值，包括(若干)新共享秘密、新交易数据等等。在一些实施例中，还可以存储包括新共享秘密或参数的对续订响应的更新值(例如，密钥导出参数、密码参数、更新参数、交易参数等)。

在步骤812，可以使用密码密钥加密接收的注册数据(例如OTP)以生成注册密码(RC)。另外或者替代性地，可以使用其它数据(诸如识别数据、认证数据、从凭证和/或响应消息提取的其它信息等)生成注册密码。在一个示例中，通过对OTP和用户装置的安全元件标识符(例如用户识别模块(SIM)ID)加密，生成注册密码。在一些实施例中，从(例如在方法400的步骤408)之前接收的凭证获得有限使用密钥(LUK)。LUK可以用来生成密码密钥。在一些实施例中，生成密码密钥还使用凭证中包括的密钥导出参数。

在一些实施例中，注册数据(例如一次性口令)被输入到用户装置上安装的电子钱包账户中。加密的注册数据(例如注册密码)可以与账户关联，并存储在用户装置上。

在步骤814，可以向服务器计算机(例如注册服务器)发送注册密码以用于验证。在一些实施例中，向服务器计算机发送注册密码包括使用第二(响应)共享秘密加密注册密码。服务器计算机使用注册密码认证用户装置。在发送注册密码之前，可以使用第二会话密钥或另一密钥(例如LUK、服务器计算机的公钥或共享秘密密钥)加密注册密码。

在步骤817，可以执行方法400的步骤414。具体地，凭证可以用来执行支付交易。例如，凭证中包括的支付令牌、LUK和/或密钥导出参数可以用来直接或间接地生成用来认证未来交易的交易密码，诸如在图12-15中讨论的。

B.服务器计算机

图9示出根据一些实施例用于给用户装置(例如用户装置101)储备敏感数据，诸如由服务器计算机(例如支付处理网络计算机105)生成的有限使用密钥的示例性登记过程或方法900。过程900的各方面可以由图1和3各自的服务器装置102-106或300的任何一个执行。例如，过程900可以由本文中讨论的储备服务器和/或注册服务器执行。在一个实施例中，步骤901-911由储备服务器执行，步骤912-916由注册服务器执行。在一个实施例中，储备服务器是注册服务器。

在步骤901，可以执行方法600的步骤601-612。具体地，可以从用户装置接收包括组合的临时公钥和加密的请求数据的储备请求消息。可以使用组合的临时公钥和静态服务器计算机私钥生成第一共享秘密。可以使用第一共享秘密和第一补充数据生成第一会话密钥。可以使用第一会话密钥解密加密的请求数据以获得包括临时公钥、用户装置标识符和识别数据的请求数据。识别数据可以被验证。与用户装置标识符关联的认证数据和识别数据可以被检索。可以使用认证数据和识别数据生成识别因子。可以使用临时公钥和识别因子验证组合的临时公钥。可以生成密码随机数。可以使用密码随机数和识别因子盲化静态服务器计算机公钥和/或静态服务器计算机私钥。可以使用盲化静态服务器计算机私钥和用户装置的临时公钥生成第二共享秘密。替代性地，可以使用静态服务器计算机私钥和用户装置的盲化临时公钥生成第二共享秘密。可以使用第二共享秘密和第二补充数据生成第二会话密钥。这些步骤的进一步描述可以参照方法600中的相应步骤找到。

在步骤908，可以确定密钥导出参数。密钥导出参数可以与密钥导出函数(KDF)一起使用以生成或导出密钥，诸如密码密钥、第二会话密钥等等。在一些实施例中，密钥导出参数可以包括获得其它密钥导出参数的方式的指令。在一些实施例中，密钥导出参数可以包括可以用来导出其它密钥的LUK。

在一些实施例中，可以可选地确定有限使用密钥(LUK)。在一些实施例中，可以基于共享秘密(例如第一共享秘密或第二共享秘密)和/或密钥导出函数(KDF)生成LUK。在一些实施例中，服务器计算机可以维护指示PAN/TOKEN范围的主导出密钥(MDK)的数据库，并且确定LUK包括从支付交易或者从注册请求基于MDK和PAN/TOKEN导出LUK。

在步骤910，可以在凭证中包括密钥导出参数(其可以包括LUK)。在一些实施例中，其它凭证可以包括密码导出参数、更新参数和任何其它适当数据。

在步骤911，可以执行方法600的步骤613和614。具体地，可以使用第二密钥加密密码随机数、服务器计算机证书链和凭证，以生成加密的响应数据。可以向用户装置发送包括盲化静态服务器计算机公钥和加密的响应数据的储备响应消息。在一些实施例中，储备响应消息在到达用户装置之前可以通过一个或多个中间机构(例如不可信网络)传输。

在一些实施例中，当本地不再需要密钥材料(诸如共享秘密、会话密钥等等)时，密钥材料可以在服务器计算机和/或用户装置处被破坏或以其它方式被置于不可访问(例如加密的)。优选地，破坏动作会在密钥材料变成不需要之后立即或不久之后发生。例如，一发送完请求消息，第一共享秘密可以从用户装置移除。举另一示例，在来自用户装置的请求消息被处理之后不久，第一共享秘密可以从服务器计算机移除。

在步骤912，可以向用户装置提供注册数据(例如一次性口令(OTP))。服务器计算机可以是注册服务器，其可以或可以不与上文讨论的储备服务器相同。可以使用与用来传送储备请求/响应消息的通信信道不同的分开的通信信道向用户装置传送注册数据。例如，注册可以通过SMS、电子邮件、电话呼叫、在线聊天、传真、邮件等等传送，并由用户人工输入到用户装置中。在一些其它的实施例中，注册数据可以在与储备请求/响应消息相同的通信信道中提供。在这些实施例中，注册数据可以在储备响应消息或在不同的消息中提供。

在步骤914，可以从用户装置接收注册密码。注册密码可以由用户装置在与储备请求/请求消息相同的通信信道中或者在分开的通信信道中(诸如SMS、电子邮件、电话呼叫、在线聊天、传真、邮件等)提供。

在步骤916，可以使用注册密码认证用户装置。在一个示例中，可以使用第二共享秘密和密钥导出参数生成密码密钥。密码密钥可以用来加密向用户装置提供的注册数据。产生的加密注册数据可以与接收的注册密码比较以确定是否匹配。如果匹配，则可以认证用户装置。在一些实施例中，可以执行附加的认证步骤。如果不存在匹配，则不认证用户装置。在一些实施例中，校验注册密码可以包括把接收的注册密码与和用户装置关联的并由服务器计算机存储的注册密码比较。

在一些实施例中，服务器计算机可以被配置成使用与用户装置关联的有限使用密钥(LUK)生成密码密钥。服务器计算机还可以被配置成使用密码密钥解密接收的注册密码以确定解密值。解密值可以与向用户装置提供的注册数据比较。如果解密的注册密码与注册数据匹配，则注册密码被验证。

C.数据流图

图10示出根据一些实施例的示例性登记过程1000的数据流图。如图10中显示，用户装置1002可以生成临时移动公/私密钥对(ePubM/ePrivM)。临时移动公/私密钥对可以被盲化。用户装置1002可以向服务器计算机1004提供临时移动公钥(ePubM)。服务器计算机可以使用椭圆曲线Diffie-Hellman函数(ECDH)使用临时移动公钥(ePubM)和服务器私钥(PrivS)生成共享秘密(Z⁰)。共享秘密可以由在安全信道的两端的用户装置和服务器计算机已知。共享秘密可以基于服务器协商参数、算法和/或服务器证书选择。在一些实施例中，共享秘密(Z⁰)可以包括本文中讨论的第二(响应)共享秘密。共享秘密用来产生每个后续交易的新的再现共享秘密(Zⁿ或下一个Z)。在一些实施例中，可以使用协商密钥导出函数(例如AES)用静态已知的但随机化、模糊化或白盒密码保护的参数导出下一共享秘密。

共享秘密(Z⁰)和密钥导出数据参数(导出数据)可以用来导出单次使用密钥(SUK)。单次使用密钥可以用于认证加密(AE)算法以加密数据，诸如服务器证书(CertS)和密钥导出数据(Deriv.Data)。此外，参数的随机化和算法选择配置(随机配置(RandomConfig))可以用作AES KDF函数的输入。随机化配置可以用来模糊化密钥导出参数和/或针对用户装置的一条软件代码(VIP)的部署。软件代码可以包括与支付应用(例如电子钱包应用)有关的软件开发套件(SDK)。代码可以由服务器或其它卖方签名，使得用户装置能够认证代码。在部署过程中，软件代码可以针对特定用户装置或用户装置组被个性化或随机化(例如基于随机化配置)，使得不同的用户装置不呈现一致的密钥行为模式。在一些实施例中，在服务器侧上提供至少两级模糊化。在第一级，服务器能够基于使用的属性、使用的属性的顺序和要被使用的代码中的代码路径的组合相对随机地分配不同的方式以计算密钥导出和密码。在一些情况下，在服务器已经随机选择密钥导出的属性集合之后，可以生成包含这些指令的属性的排序和/或密码算法的代码路径、位图以在加密的响应数据中被传送到用户装置上。因此，对于每个用户装置或每组用户装置和/或对于每次注册或重新同步，使用的属性、使用的属性的顺序和要被使用的代码中的代码路径的组合可以是不同的。此方法使得骗子更难对软件代码进行反向工程或从盗取参数导出密钥。在第二级，不同的代码集合可以被发布到不同的装置团体，诸如组织(例如，发行方银行)、地理区域或针对组织的特定应用。因此，反向工程可能针对的团体的规模可能从接收某些PAN的所有应用到该团体的子集变化。通过改变用户装置的不同团体的软件，此方法限制攻击者构建在不同装置上可再使用的恶意软件(例如恶意程序)的能力，因此限制潜在安全性违反的损害。在一些实施例中，应用的每次发布可以使用新代码集合，但新代码集合的团体的规模优选足够大以被签名并在在线应用商店(例如Google Play商店或等同物)内可见。

随机化配置、数据(例如与密钥导出、更新参数和/或密码导出有关的)和服务器证书(CertS)连同任何其它适当的信息可以被加密，以生成加密的响应数据。例如，加密的响应数据可以包括加密的服务器证书(CertS*)和加密的数据(Data*)。数据(例如密钥导出参数)可以在被加密之前使用随机配置被模糊化。如上文讨论的，数据可以包括位图，位图包括要传送到用户装置的关于密钥导出的随机选择的属性集合、属性的排序和/或用于密码算法的代码路径的指令。位图可以包括在加密的响应数据中。加密的响应数据可以向用户装置1002提供。

用户装置1002可以使用临时移动私钥(ePrivM)和服务器公钥(PubS)确定共享秘密(Z)，服务器公钥可以由服务器计算机1004提供。用户装置1002能够使用共享秘密(Z⁰)和导出数据生成单次使用密钥(SUK)。导出数据可以包括之前储备的密钥导出参数、密码导出参数等等。单次使用密钥(SUK)可以用来解密加密的响应数据(包括加密的数据(Data*)、加密的服务器证书(CertS*))以获得解密值。可以使用证书机构公钥(PubCA)和椭圆曲线数字签名算法(ECDSA)验证服务器证书(CertS)。在一些情况下，解密的数据的一些或全部(诸如包括上文讨论的位图)还可以被模糊化(Data Config*)以用于存储(例如使用白盒密码技术)。

SUK可以用来确定密码密钥(CK)，密码密钥用来加密由服务器计算机1004生成的并通过第二信道向用户装置1002传送的注册数据(例如一次性口令(OTP))。第二信道可以与用于在用户装置1002和服务器计算机1004之间传送请求和响应消息的安全信道分开。加密的注册数据(Encrypt OTP)然后可以向服务器计算机1004提供，服务器计算机1004能够使用密码密钥解密加密的注册数据(例如OTP)以验证注册密码的有效性。

D.示例性登记流

图11示出根据一些实施例的示例性登记过程1100的框图。如图11中显示，在用户装置1102(例如用户装置101)和服务器计算机1104(例如支付处理网络计算机105或发行方计算机106)之间可以交换四个消息，作为用于装置的登记的识别和密钥导出过程的一部分。

在第一消息中，用户装置1102可以向服务器计算机提供与用户装置1102和/或与用户装置1102关联的用户有关的识别数据。例如，识别信息可以包括认证凭证，诸如用户名和口令。此外，用户装置1102可以生成临时公/私密钥对，并向支付处理网络105提供临时公钥。在一些实施例中，第一消息可以通过安全通信信道传送。例如，第一消息可以使用从共享秘密(Z₀)导出的会话密钥加密，共享秘密(Z₀)从与服务器计算机1104关联的公钥和临时私钥(EK)确定。

在第二消息中，服务器计算机1104向用户装置1102传送注册数据(例如一次性口令)。通常，注册数据(例如一次性口令)可以使用分开的通信信道向用户装置1102传送。例如，注册数据(例如一次性口令)可以通过SMS、电子邮件等传送并由用户人工输入用户101中。

在从服务器计算机1104向用户装置1102发送第三消息之前，服务器计算机1104可以使用从用户装置1102接收的临时公钥和与服务器计算机1104关联的私钥(PK)导出与用户装置1102关联的共享秘密(Z₀)。共享秘密可以用来生成会话密钥。服务器计算机1104还可以确定用户装置1102的密钥导出参数。“密钥导出参数”可以包括用来确定密钥导出的方法的任何信息，诸如密钥导出算法、算法使用的参数等。例如，在一个实施例中，密钥导出参数可以包括位图，位图识别在用户装置1102上导出密钥时要使用的一个或多个密钥导出算法。一旦密钥导出参数被确定，服务器计算机1104可以使用会话密钥加密密钥导出参数，并向用户装置1102提供加密的密钥导出参数。在一些实施例中，第三消息还可以包括令牌(例如支付令牌)，令牌可以使用会话密钥被加密。

在一些实施例中，本文讨论的算法(例如密钥导出算法或函数)和参数(例如密钥导出参数和/或更新参数)的列表可以对特定的装置或特定的装置组是唯一的，以便防止反向工程。装置间的不同可以基于装置上安装的软件开发套件(SDK)。在一些实施例中，可以使用装置上存储的位图识别用于导出具体密钥或共享秘密的精确算法和/或参数。位图的解释和位图到算法和/或参数的实际列表的映射可以根据装置特定的SDK变化。例如，在一个装置上，存储的算法列表可以是{alg1,alg2,...,alg8}，而在另一装置上，存储的算法列表可以是{alg3,alg5,…,alg1}。类似地，密钥导出参数和/或更新参数的列表还可以不同地存储在不同的装置上。在一些实施例中，算法和/或参数可以以随机方式在装置的一些或全部上列出。位图可以指向要用于实际密钥生成的算法和/或参数的列表中的正确索引。在一些实施例中，由服务器计算机提供的响应数据可以包括指向要由用户装置生成密钥和/或共享秘密使用的适当算法和/或参数的位图。在一些情况下，可以基于算法和/或参数存储在用户装置上的顺序，专门为特定用户装置生成由服务器计算机提供的位图。

在一些实施例中，密钥导出算法和/或参数可以以随机方式在装置的一些或全部上列出。位图可以指向要被用于实际密钥生成的密钥导出算法和/参数的列表中的正确索引。位图可以存储在服务器计算机1104和/或用户装置1102上。在一些实施例中，位图可以包括在从用户装置1102到服务器计算机1104的消息中，或者包括在从服务器计算机1104到用户装置1102的消息中。位图可以指向由接收装置生成或导出各个密钥使用的适当算法和/或参数。在一些实施例中，如上文讨论的，由于算法和/或参数存储在用户装置上的顺序可能变化，可以专门为接收装置生成位图。

在从用户装置1102向服务器计算机1104发送第四消息之前，用户装置1102可以使用会话密钥解密加密的密钥导出参数。用户装置1102然后可以使用密钥导出参数和共享秘密导出密码密钥(CK)。用户装置1102能够使用密码密钥加密在第二消息中接收的注册数据(例如一次性口令)以确定注册密码(RC)。用户装置1102然后通过安全信道发送包括注册密码的第四消息。服务器计算机1104还可以导出密码密钥，并生成注册密码。如果接收的和生成的密码匹配，则向用户装置1102提供的令牌可以被激活，用户装置1102的登记可以被确认。在一些实施例中，用户装置1102和服务器计算机1104都能够存储注册密码以用于未来使用。

IV.使用更新的共享秘密的进行中的校验

实施例能够使用上文描述的系统和设备在服务器计算机和用户装置之间执行支付交易。具体地，对于特定交易(或其它安全通信)，可以基于之前的共享秘密生成更新的/滚动的共享秘密。基于更新的共享秘密和之前储备的有限使用密钥(LUK)，新密码密钥可以被生成并用来生成交易密码，交易密码又用来认证交易。

图12-15描述这些方法的一些示例。在一些实施例中，用户装置可以包括图1和2各自的用户装置101或200。服务器计算机可以包括图1和3各自的装置102、103、104、105、106或300。

A.用户装置

图12示出根据一些实施例用于在用户装置和服务器计算机之间执行交易的示例性交易过程或方法1200。过程1200的各方面可以由图1和2各自的用户装置101或200执行。

在步骤1202，可选地更新共享秘密。在一些实施例中，共享秘密可以是作为(例如如上文描述的)储备过程的一部分提供的共享秘密。储备过程可以作为交易的初始部分出现，或者可以在较早时间执行。更新共享秘密可以以任何适当方式执行。例如，可以根据之前的共享秘密和其它信息(诸如装置标识符)的函数，生成更新的共享秘密。例如，在一个实施例中，更新的共享秘密可以是对之前的共享秘密和其它数据求散列的结果。在一些实施例中，可以使用更新参数(诸如装置和账户参数和配置信息)确定下一共享秘密。在一些实施例中，更新参数可以对特定用户装置或特定的用户装置组是唯一的。用于确定更新共享秘密的一个或多个更新参数可以与在之前的响应消息(例如储备响应消息)中接收的密钥导出参数相似或不同。在一些实施例中，更新参数可以与之前的响应消息中的密钥导出参数一起提供。在一些其它的实施例中，更新参数可以在与包含密钥导出参数的消息不同的分开的消息中提供。

在一些实施例中，可以可选地确定LUK。LUK可能已经在储备过程中(诸如图8-11中讨论的)储备到用户装置。在一些实施例中，LUK可能已经被加密(例如使用会话密钥)，确定LUK可以包括解密加密的LUK。在一些实施例中，步骤1206可以省略，LUK不被确定。

在步骤1208，可以使用更新的共享秘密和密钥导出参数生成密码密钥。密钥导出参数可以包括在来自服务器计算机的之前的响应消息(例如储备响应消息或认证响应消息)中指示的密钥导出数据和/或密钥导出算法。例如，LUK和/或更新的共享秘密可以作为输入连同特定的密钥导出数据提供到密钥导出函数中，以产生密码密钥。举另一示例，LUK可以被用作密码密钥。在一些实施例中，LUK和/或使用LUK生成的密码密钥是单次使用密钥(SUK)，其只对一个单次交易有效。在其它实施例中，LUK和/或使用LUK生成的密码密钥可以被重复使用超过一次交易。

在步骤1210，可以使用密码密钥生成交易密码。在一些实施例中，还基于作为初始储备过程的一部分发送的密码导出参数使用交易数据生成交易密码。在一些实施例中，交易密码还可以包括使用密码密钥加密的交易数据(例如交易金额、交易日期等)和用户/账户细节(例如支付令牌、账户到期日期等)。

在步骤1212，交易密码可以用来执行交易(或其它安全通信)。通常，交易密码认证交易。例如，在一些实施例中，用户装置可以向访问装置或商家计算机提供支付令牌或PAN以及交易密码，访问装置或商家计算机然后可以生成针对交易的授权请求消息。授权请求消息可以包括交易密码。交易密码可以由接收授权请求消息的实体(例如支付处理网络计算机105、发行方计算机106、校验服务器)验证，以便确定是否批准或拒绝交易。

在一些实施例中，交易密码用来与校验服务器执行第二安全通信。第二安全通信可以是授权交易，其中，第二密码认证授权交易的至少一个元素。

在一些实施例中，可以为多个新安全通信的每一个生成新共享秘密，每个新共享秘密是使用之前的共享秘密和更新参数生成的。可以使用新共享秘密和密钥导出参数导出新密码密钥。可以使用新密码密钥生成新密码。新安全通信可以由校验服务器计算机使用新密码执行。

B.服务器计算机

图13示出根据一些实施例用于在用户装置和服务器计算机之间执行交易的示例性交易过程或方法1300。过程1300的各方面可以由图1和3各自的服务器计算机102、103、104、105、106或200执行。在一些实施例中，过程1300由可以被配置成处理支付交易的校验服务器执行。

在步骤1302，可以接收针对交易的交易密码。交易密码可能已经由用户装置使用上文讨论的方法1200生成。

在步骤1304，可以可选地更新共享秘密。在一些实施例中，共享秘密可以是作为较早的储备过程(例如如上文描述的)的一部分确定的共享秘密。在其它实施例中，授权交易(例如为了访问资源，诸如文件或计算机)可以与储备过程同时出现。更新共享秘密可以以任何适当方式执行。例如，可以根据之前的共享秘密和其它信息(诸如装置标识符)的函数生成更新的共享秘密。存储的共享秘密可以被更新以确定更新的共享秘密。例如，在一个实施例中，更新的共享秘密可以是对之前的共享秘密和其它数据求散列的结果。在一些实施例中，可以使用更新参数(诸如装置和账户参数以及配置信息)确定下一共享秘密。在一些实施例中，更新参数可以对特定用户装置或特定的用户装置组是唯一的。连同共享秘密一起，其它信息(包括密钥导出参数、计数器、随机数、交易数据等)可以被更新(例如，使用更新参数)以准备下一SUK生成。在一些情况下，更新密钥和/或任何其它必需信息的这种生成可以在装置离线时执行。如上文讨论的，本地不再需要的任何信息(例如之前的(若干)共享秘密、之前的导出参数、交易数据等)可以优选在这些信息不再被需要之后立即或不久之后被删除、移除或另外被置于不可访问。

在步骤1306，可以使用更新的共享秘密和/或与用户装置关联的密钥导出参数生成更新的密码密钥。在一些实施例中，密钥导出参数可以从数据库检索。

在步骤1308，可以使用更新的密码密钥解密交易密码。在一些实施例中，交易密码已经由用户装置使用交易数据基于作为初始储备过程的一部分发送的密码导出参数生成。在一些实施例中，交易密码还可以包括使用密码密钥加密的交易数据(例如交易金额、交易日期等)和用户/账户细节(例如支付令牌、账户到期日期等)。

在步骤1310，可以校验密码。例如，校验密码可以包括验证解密的密码包括用来执行交易的令牌或PAN。密码的校验还可以包括验证解密的密码中包括的交易数据。校验密码还可以包括验证密码和/或密码密钥没有被重复使用超过允许极限。例如，如果密码密钥是单次使用密钥(SUK)，则被使用两次的同一密码密钥可以指示共享秘密已经泄密。此外，在一些情况下，如果密码不能够相对下一预期密码密钥被校验，则可以相对预定次数(例如5次或更少)的未来密码密钥被校验。这可以允许校验过程容忍小的同步问题(例如，如果两个或更多个支付交易以与其曾被执行的不同的顺序处理，或者如果在生成交易的密码之后但在交易被提交到服务器计算机之前交易被取消)。

在一些实施例中，校验交易密码可以包括把接收的交易密码与和用户装置关联的并由服务器计算机存储的交易密码比较。

如果密码无效，则交易可以被拒绝。否则，交易的处理可以继续(例如，交易的授权请求可以向下一服务器计算机转发(例如从支付处理网络计算机105向发行方计算机106转发))。

C.数据流图

图14示出根据一些实施例的交易过程1400的数据流图。如图14中显示，用户装置1402可以确定共享秘密(Z)，并使用共享秘密(Z)连同其它密钥导出参数(例如装置和账户参数和/或配置信息)作为密钥导出函数(AES KDF)的输入以确定更新的共享秘密(NextZ)。LUK、更新的共享秘密、装置和账户参数、配置信息、交易参数(例如令牌、交易金额、时间戳、随机数等)和其它信息可以用作密钥导出函数(AES KDF)的输入以确定密码密钥(CK)。在一些实施例中，AES是用于在交易时生成下一共享秘密和/或LUK(例如SUK)的优选密码算法，原因是其相对其它方法(例如求散列或椭圆曲线(EC)操作)的更快速性能。LUK可能之前已经储备到用户装置1402上(例如在储备过程中)。被用来确定密码密钥的密钥导出函数可以或可以不与被用来确定更新的共享秘密的密钥导出函数相同。密码密钥可以是有限使用密钥。在一个示例中，密码密钥是只对单次交易有效的单次使用密钥(SUK)。密码密钥然后可以用来生成密码以用在交易中。例如，通过使用密码密钥加密交易参数(例如交易金额、交易时间戳、随机数等)可以生成密码。

一旦接收交易密码，服务器计算机1404能够以与上文描述的用户装置1402的相似方式导出密码密钥。可以使用密码密钥解密密码，并且解密的密码可以与上文在图13中的方法1300的步骤1310中描述的相似方式被校验。

D.示例性交易流

图15示出根据一些实施例的交易过程1500的框图。在一些实施例中，图15中示出的框图可以允许支付交易被离线执行(即，使得用户装置不需要与互联网或其它广域网(WAN)的网络连接)。

如图15中显示，在用户装置1502(例如图1的用户装置101)中运行的移动应用可以用来执行支付交易。例如，用户装置1502可以物理地呈现给商家(例如在NFC交易中)，或者可以向商家计算机103通过网络诸如互联网发送交易细节。

为了执行交易，用户装置1502可以首先更新装置上存储的共享秘密(Z_n-1)。更新共享秘密可以以任何适当方式执行。例如，可以根据之前的共享秘密(Z_n-1)和其它信息(诸如装置标识符)的函数生成更新的共享秘密(Z_n)。

一旦确定更新的共享秘密(Z_n)，更新的共享秘密可以用来生成密码密钥(CK)。密码密钥可以是有限使用密钥(LUK)。在一些情况下，密码密钥可以是单次使用密钥(SUK)。密码密钥可以用来生成由用户装置1502传送的交易密码。交易密码可以以任何适当方式生成。例如，在一些实施例中，交易密码可以是使用密码密钥加密的交易细节(例如交易金额、交易日期等)和用户/账户细节(例如支付令牌、账户到期日期等)的组合。

在一些实施例中，可以使用之前已经储备到用户装置1502上的LUK生成密码密钥。LUK可能已经使用在图8-15中描述的安全储备方法以加密形式被储备。

交易密码可以经由POS装置102和收单方计算机104向服务器计算机1504(例如支付处理网络计算机105或发行方计算机106)发送。在一些实施例中，交易密码可以包括在授权请求消息中。服务器计算机1504然后可以更新与用户装置1502关联的共享秘密，基于更新的共享秘密确定与装置关联的密码密钥，并使用密码密钥来解密接收的交易密码。如果交易密码被确定为是有效的，则服务器计算机1504可以授权交易或引起交易的进一步处理(例如欺诈分析)。否则，如果交易密码被确定为是无效的，则服务器计算机1504可以拒绝交易。

V.密钥续订(key renewal)方法

实施例能够使用上文描述的系统和设备以续订用户装置在服务器计算机的登记。具体地，在续订过程中，新共享秘密可以在用户和服务器计算机之间建立。另外，新参数(例如新密钥导出参数、新密码导出参数和/或新更新参数)可以被储备到用户装置上，以用于生成密码和/或密码密钥。

图16-18描述这些方法的一些示例。在一些实施例中，用户装置可以包括图1和2各自的用户装置101或200。服务器计算机可以包括图1和3各自的装置102、103、104、105、106或300。

A.用户装置

图16示出根据一些实施例用于续订用户装置在服务器计算机的登记或注册的示例性续订过程或方法1600。过程1600的各方面可以由图1和2各自的用户装置101或200执行。在一些实施例中，密钥续订过程可以在已经执行许多次交易之后，当密码密钥被怀疑泄密等情况以预定的时间间隔被发起。

在步骤1602，可以接收第二注册数据(例如，第二一次性口令)。第一注册数据可能已经在之前的注册过程(诸如在图8的步骤808)接收。在各个实施例中，注册数据可以包括代替或除了OTP之外的其它数据。例如，注册数据可以包括非口令数据，诸如静态字符串、唯一的装置或用户标识符、假交易数据等。任何其它注册数据只要是可验证的都可以被使用。

在一些实施例中，可以响应于对从用户装置(例如由在用户装置上运行的支付应用)发送的第二注册数据的请求，发送第二注册数据。

在一些实施例中，第二注册数据可以通过与用于登记和/或交易请求/响应消息的通信信道分开的第二通信信道向用户装置传送。例如，第二注册数据可以包括在文本消息、电子邮件、电话呼叫、在线聊天、传真、邮件等中。在一些实施例中，第二注册数据可以向另一装置发送并由用户输入到用户装置中。例如，如果用户装置是用户的移动电话，则注册数据(例如一次性口令)可以向用户的桌面计算机发送并由用户输入到用户装置中。

在步骤1604，可以生成第二临时公/私密钥对。第一临时公/私密钥对可能已经在上一储备/续订过程中生成。在一些实施例中，第二临时公/私密钥对的生成可以类似于第一临时公/私密钥对的生成。

在步骤1606，可以向服务器计算机发送续订请求消息。续订请求消息可以包括注册密码。在一些实施例中，注册密码可以是在初始登记过程中(诸如在方法800的步骤812)确定的密码。注册密码可能已经存储在用户装置上。续订请求消息还可以包括第二注册数据和用户装置的第二临时公钥的散列。续订请求消息还可以包括与初始登记/储备请求中包括的数据相似的其它数据，诸如装置或用户标识符信息、客户端配置信息或服务指令。

在一些实施例中，可以使用从共享秘密导出的消息保护密钥(例如会话密钥)加密续订请求消息。例如，可以基于第二临时私钥和服务器计算机公钥生成新共享秘密。新共享秘密可以用来生成会话密钥，会话密钥可以用来加密续订请求消息中包括的一些或所有数据。

在步骤1608，可以从服务器计算机接收续订响应消息。续订响应消息可以包括用于生成密码密钥的第二密钥导出参数。例如，续订响应消息可以可选地包括用户装置的第二有限使用密钥(LUK)。续订响应消息还可以包括服务器计算机公钥(其可以或可以不被盲化)。在一些实施例中，续订响应消息可以包括其它数据，诸如第二更新参数、第二密码导出参数等等。

在一些实施例中，可以使用基于新共享秘密生成的第一会话密钥加密续订响应消息。在这些实施例中，第一会话密钥可以用来解密续订响应消息。在一些其它的实施例中，可以至少部分基于用户装置的第二临时私钥、服务器计算机公钥和第二密钥导出参数生成第二共享秘密。在这些实施例中，第二共享秘密可以用来生成第二会话密钥，第二会话密钥可以用来解密续订响应消息。

在步骤1610，可以使用用户装置的第二临时私钥、服务器计算机公钥和/或第二密钥导出参数导出第二密码密钥。第一密码密钥可能之前已经在储备过程(例如在方法800的步骤810)生成。在一些实施例中，可以基于用户装置的第二临时私钥和/或服务器计算机公钥确定新共享秘密。新共享秘密和第二密钥导出参数(其可以或可以不包括第二LUK)可以用来生成第二密码密钥。在一些其它的实施例中，可以使用用户装置的第二临时私钥、服务器计算机公钥(其可以或者可以不被盲化)和/或第二密钥导出参数生成第二共享秘密。

在步骤1612，可以使用第二密码密钥(RC)生成第二注册密码。可以通过使用第二密码密钥对第二注册数据加密生成第二注册密码。另外或者替代性地，可以使用其它数据(诸如识别数据、认证数据、从凭证和/或响应消息提取的其它信息等)生成注册密码。

在步骤1614，可以在续订响应消息中向服务器计算机(例如，注册服务器)发送第二注册密码以用于验证。第二注册密码可以用来认证用户装置。在发送第二注册密码之前，可以使用会话密钥(例如第一会话密钥或第二会话密钥)或另一密钥(例如LUK、服务器计算机的公钥或共享秘密密钥)加密第二注册密码。如果接收的注册密码被验证，则用户装置可以被成功地重新登记。

在一些实施例中，可以使用根据新共享秘密导出的密钥用原始存储的注册数据(例如第一注册数据)加密第二注册数据和可选的安全元件标识符(例如SIM ID)。加密值然后向服务器发送以用于校验。这些实施例提供附加的安全性，原因是加密值的校验确保请求者(例如用户装置)知道第一和第二注册数据以及新协商的共享秘密。

B.服务器计算机

图17示出根据一些实施例用于续订用户装置在服务器计算机的登记的示例性续订过程或方法1700。过程1700的各方面可以由服务器计算机(诸如服务器装置或计算机102、103、104、105、106或300)执行。例如，过程1700可以由本文中讨论的注册服务器实现。另外或者替代性地，过程1700的各方面可以由任何其它适当的实体执行。

在步骤1702，可以向用户装置发送第二注册数据(例如第二一次性口令(OTP))。在一些实施例中，第二注册数据可以通过与用于登记和/或交易请求/响应消息的通信信道分开的第二通信信道向用户装置传送。例如，第二注册数据可以包括在文本消息、电子邮件、电话呼叫、在线聊天、传真、邮件等等中。

在一些实施例中，注册数据(例如第一注册数据或第二注册数据)可以使用从共享秘密导出的密钥(例如会话密钥)被加密或以其它方式被保护。因此，注册数据可以用来在注册或更新(例如续订)时校验用户和用户装置的物主身份。在一些实施例中，多因子认证可以代替注册数据或除了注册数据之外使用。

在步骤1704，可以从用户装置接收续订请求消息。续订请求消息可以包括注册密码。在一些实施例中，注册密码可以是在初始登记过程(诸如在方法800的步骤812)中确定的密码。续订请求消息可以可选地包括第二注册数据和用户装置的第二临时公钥的散列。续订请求消息还可以包括第二注册数据和用户装置的第二临时公钥的散列。续订请求消息还可以包括与初始登记/储备请求中包括的数据类似的其它数据，诸如装置或用户标识符信息、客户端配置信息或服务指令。

在一些实施例中，服务器计算机可以使用至少用户装置的第二临时公钥、服务器的私钥和/或与用户装置关联的密钥导出参数生成新共享秘密。新共享秘密可以用来生成第一会话密钥，第一会话密钥可以用来解密续订请求消息。

在步骤1706，可以校验注册密码。在一些实施例中，第二注册数据(例如一次性口令)的散列可以可选地被校验。校验注册密码可以包括把接收的注册密码与和用户装置关联的并由服务器计算机存储的注册密码比较。校验第二注册数据(例如一次性口令)散列可以包括把接收的第二注册数据(例如一次性口令)散列与已经向用户装置提供的第二注册数据(例如一次性口令)的散列比较，以确定是否存在匹配。

在步骤1708，如果注册密码和/或第二注册数据(例如一次性口令)散列被校验，则可以生成续订响应消息并向用户装置发送。续订响应消息可以包括用户装置的第二密钥导出参数。续订响应消息还可以包括服务器计算机公钥(可以或可以不被盲化)、第二密码随机数、第二密码导出参数、第二更新参数和/或任何其它适当数据。

在一些实施例中，可以使用基于新共享秘密生成的第一会话密钥加密续订响应消息。在这些实施例中，第一会话密钥可以用来解密续订响应消息。在一些其它的实施例中，可以至少部分基于用户装置的第二临时私钥、服务器计算机公钥和第二密钥导出参数生成第二共享秘密。在这些实施例中，第二共享秘密可以用来生成第二会话密钥，第二会话密钥可以用来解密续订响应消息。

在步骤1710，可以从用户装置接收第二注册密码。可以使用会话密钥(例如第一会话密钥或第二会话密钥)或另一密钥(例如LUK、服务器计算机的公钥或共享秘密密钥)加密第二注册密码。如果接收的注册密码被验证，则用户装置可以被成功地重新登记。

在一些实施例中，可以使用第二临时公钥、服务器计算机私钥和第二密钥导出参数在1712校验第二注册密码。例如，在一些实施例中，校验第二注册密码可以包括使用第二临时公钥、服务器计算机私钥和/或第二密钥导出参数生成第二密码密钥。可以使用共享秘密生成密码密钥，共享秘密是使用第二临时公钥、服务器计算机私钥和/或第二密钥导出参数生成的。密码密钥可以可选地基于已经向用户装置提供的第二LUK生成。密码密钥可以用来解密接收的注册密码。在通过使用密码密钥加密第二一次性口令生成第二注册密码的情况下，接收的第二注册密码可以被解密以确定解密的密码是否与已经向用户装置提供的第二注册数据(例如一次性口令)匹配。在一些实施例中，不是解密接收的注册密码，而是可以把接收的注册密码与和用户装置关联的存储的注册密码比较。

在一些实施例中，可以使用根据新共享秘密导出的密钥用原始存储的注册数据(例如第一注册数据)加密第二注册数据和可选的安全元件标识符(例如SIM ID)。加密值然后向服务器发送以用于校验。校验可以包括使用新共享秘密解密加密值并校验解密值中的原始(第一)注册数据和新的(第二)注册数据。这种校验提供附加保证—请求者(例如用户装置)知道第一和第二注册数据以及新协商的共享秘密。

C.示例性密钥续订流

图18示出根据一些实施例的密钥续订过程1800的框图。如图18中显示，可以在用户装置1802(例如用户装置101)和服务器计算机1804(例如支付处理网络计算机105或发行方计算机106)之间交换四个消息，作为密钥续订过程的一部分。

在第一消息中，服务器计算机1804可以向用户装置1802提供第二注册数据(例如一次性口令)。在一些实施例中，可以使用替代的通信介质(诸如SMS或电子邮件)提供注册数据(例如一次性口令)。

在第二消息中，用户装置可以向服务器计算机1804提供注册密码(RC)、新临时公/私密钥对的公钥和接收的注册数据(例如一次性口令)的散列。注册密码(RC)可能已经在初始登记过程(例如根据方法800)中获得。服务器计算机1804可以验证注册密码和注册数据(例如一次性口令)散列以认证用户装置1802。

在第三消息中，如果用户装置1802被认证，则服务器计算机1804可以向用户装置1102提供新密钥导出参数。在一些实施例中，服务器计算机1804可以可选地向用户装置1802储备新有限使用密钥(LUK)，作为密钥导出参数的一部分。有限使用密钥可以用来生成新密码密钥和/或新密码(例如注册密码和/或交易密码)。

在发送第四消息之前，用户装置可以使用新临时私钥(EK)和服务器计算机公钥导出新共享秘密(新Z₀)，并使用新共享秘密(Z₀)和新密钥导出参数确定新密码密钥(新CK)。在一些实施例中，在新LUK由服务器计算机1804储备时，还可以基于LUK生成新密码密钥。新密码密钥然后可以用来生成新注册密码(新RC)。例如，新密码可以用来加密在第一消息中向用户装置1802发送的注册数据(例如一次性口令)。用户装置1802然后可以向服务器计算机1804发送新注册密码(新RC)。如果新密码(新RC)被校验，则可以成功地完成密钥续订。

VI.同步

本文中描述的技术的潜在问题是大量的被中断交易的可能性，导致许多失去同步的情况，其中，用户装置和服务器计算机具有或期望不同的共享秘密。例如，访问装置(例如NFC终端)有时不能继续授权，即便用户装置或其上的支付应用已经成功地完成NFC交易通信。举另一示例，有时根本不清楚QR代码是否已经被成功扫描。

通过允许服务器校验密码以接受下一密码密钥(SUK)或一旦拒绝下一密码密钥接收下n(其中，n＝1，2，3…)个密码密钥(例如SUK)，可以至少部分地在服务器侧缓解此失去同步问题。例如，如果使用更新的密码密钥生成的密码的校验失败，则服务器可以尝试使用下一个+1密码密钥(由下一个+1共享秘密导出)、下一个+2密码密钥(从下一个+2共享秘密导出)等等校验密码。

另外或者替代性地，用户装置可以被配置成以下面的方式检查相对服务器的同步。当装置下次在线时并且在生成账户的第二或随后的新共享秘密之后，最后的共享秘密会向服务器计算机发送。如果由用户装置和/或服务器计算机通知服务器每个新的交易事件，则服务器能够计算或接收最后的共享秘密。在一些实施例中，用户装置和服务器都需要存储用于计算密钥和密码的方法位图和/或用于计算(若干)下一共享秘密和(若干)下一密码的最后的(若干)共享秘密。在一些实施例中，敏感数据的一些或全部(诸如方法位图和/或最后的(若干)共享秘密)可以存储在令牌库中，令牌库被配置成安全地存储用于交易的支付令牌。由于每次交易要查询令牌库，所以在令牌库中存储敏感数据可能是优选的，以便提高效率(例如加速查询时间)。在这些实施例中，可以对照令牌库检查最后的共享秘密。在一些其它的实施例中，敏感数据可以存储在不是令牌库的另一数据存储装置中。

服务器计算机能够维护来自最后的同步的共享秘密的列表以识别失去同步的条件是后向的还是前向的。装置账户失去同步(前向)条件可以用来触发自动的重新同步，无需检查注册数据，原因是前向条件可以由生成新的共享秘密的不完全的装置交易引起。前向同步问题可能在用户装置生成下一密钥而不实际生成交易时发生。后向同步可能在服务器领先用户装置时发生。例如，在交易实际上发生时，一些商家实际上没有向支付处理器发送授权请求。实际上商家批处理授权请求并稍后发送。这意味着在之前的授权请求已经被发送之前，消费者可能已经使用其装置用于另一交易。结果，在使用后一秘密的授权请求已经由服务器处理之后，服务器可以接收使用之前的秘密对交易的授权请求。为了应对该问题，在一些实施例中，服务器可以维护当前秘密和未使用的之前秘密的移动窗口。服务器然后能够向前看，原因是交易可能是使用未来的秘密而不是下一秘密。窗口越大，需要的重新同步越少。折衷可以是服务器能够处理交易的速率较慢。在一些实施例中，后向条件可以作为可能的攻击而触发警报，原因是相同的共享秘密可能被使用超过一次。

VII.其它类型的交易

在一些实施例中，本文中描述的技术能够用来认证与支付无关的交易。例如，用户装置可以与服务器计算机通信，以便访问一个或多个非支付交易中的一个或多个资源。服务器计算机可以被配置成使用本文中描述的技术认证用户装置。服务器计算机还可以被配置成基于认证结果提供对一个或多个资源的访问。

例如，用户装置和服务器计算机可以在储备过程中向用户装置传送储备凭证(例如LUK)。通信可以以与上面在图4-12中讨论的相同的方式执行。

储备的凭证可以在后续的交易中使用以允许用户装置访问由服务器计算机提供的资源。服务器计算机可以是登记用户装置的相同的服务器计算机或不同的服务器计算机。通信可以以与上文在图16-19中讨论的相同方式执行。例如，储备的凭证(例如LUK和/或其它密钥导出参数)可以用来生成密码密钥，密码密钥可以用来生成密码，密码用来在交易过程中认证用户装置。还可以基于为每次交易更新的共享秘密(例如滚动共享秘密)生成密码密钥。在这些实施例中，生成的密码密钥是只对单次交易有效的单次使用密钥。

凭证可以在诸如本文中讨论的续订过程中被续订。具体地，新凭证(例如新LUK)可以被储备到用户装置上以用于生成密码和/或密码密钥。通信可以以与上文在图16-18中讨论的相同方式执行。在一些实施例中，新LUK以与登记过程中LUK的储备相似的安全方式被储备。

在各个实施例中，资源可以包括可由计算装置访问的计算资源。这些计算资源可以包括数据对象、计算装置或其硬件/软件组件(例如CPU、存储器、应用)、服务(例如网络服务)、虚拟计算机系统、数据存储或管理、网络连接和接口等等。例如，资源可以包括一个或多个计算装置(例如桌面计算机、膝上计算机、平板电脑、移动电话)、存储在计算装置中的文件或其它数据、与计算装置关联的存储器或数据存储装置、计算装置上安装的应用、与计算装置关联的外围设备，诸如输入/输出装置(例如键盘、鼠标、麦克风、触摸屏、打印机)、网络接口、由计算装置提供的服务等等。计算资源可以包括在线或基于云的服务或由服务提供者提供的功能。计算资源可以包括一个或多个存储装置、节点、系统或其一部分，诸如分区、卷、扇区等等。计算资源还可以包括数据对象，诸如凭证(例如用户名、口令、密码密钥、数字证书)。在这种情况下，访问这些凭证可能需要主凭证。资源可以包括有形和/或无形资源。有形资源可以包括装置、建筑物和物理对象。无形资源可以包括例如服务和时间。

VIII.计算机设备

图19示出可以用来实现上文描述的任何实体或组件的计算机系统的高级框图。图19中所示的子系统经由系统总线1975互连。附加子系统包括打印机1903、键盘1906、固定磁盘1907和监视器1909，监视器1909耦连至显示适配器1904。外围设备和输入/输出(I/O)装置耦连至I/O控制器1900，并且可以通过本领域已知的许多手段中的任何一种(诸如串行端口)连接到计算机系统。例如，串行端口1905或外部接口1908能够用来将计算机设备连接至广域网(诸如互联网)、鼠标输入装置或扫描器。经由系统总线1975的互连允许中央处理器1902与每个子系统通信，并控制来自系统存储器1901或固定磁盘1907的指令的执行以及信息在子系统之间的交换。系统存储器1901和/或固定磁盘可以体现计算机可读介质。

用于包含代码或代码部分的存储介质和计算机可读介质可以包括本领域已知或使用的任何适当介质，包括存储介质和通信介质，诸如但不限于在用于存储和/或传输信息(诸如计算机可读指令、数据结构、程序模块或其它数据)的任何方法或技术中实现的易失性和非易失性、可移动和不可移动介质，包括RAM、ROM、EEPROM、闪存或其它存储器技术、CD-ROM、数字通用盘(DVD)或其它光存储、磁带盒、磁带、磁盘存储或其它磁存储装置、数据信号、数据传输或可以用来存储或传送期望信息并且可以由计算机访问的任何其它介质。基于本文中提供的公开和教导，本领域技术人员会认识到实现各实施例的其它方式和/或方法。

以上描述是示意性的不是限制性的。本领域技术人员在阅读本公开后，会明白本发明的许多变形。因此，本发明的范围可以不参照上文的描述确定，而是可以参照所附权利要求连同其全部范围或等同物确定。

应当理解，本发明的任何实施例可以使用硬件(例如专用集成电路或现场可编程门阵列)和/或使用计算机软件以控制逻辑的形式借助通用可编程处理器以模块化或集成方式实现。如本文中描述的，处理器包括同一集成芯片上的单核处理器、多核处理器或单个电路板上的或联网的多个处理单元。基于本文中提供的公开和教导，本领域技术人员会知道并意识到使用硬件及硬件和软件的组合实现本发明的实施例的其它方式和/或方法。

本申请中描述的任何软件组件或功能可以实现为使用任何适当计算机语言(比方说例如Java、C、C++、C#、Objective-C、Swift)或脚本语言(诸如Perl或Python)，使用例如传统的或面向对象的技术由处理器执行的软件代码。软件代码可以存储为计算机可读介质上的一系列指令或命令以用于存储和/或传输。适合的非瞬态计算机可读介质可以包括随机存取存储器(RAM)、只读存储器(ROM)、磁介质(诸如硬盘或软盘)或光介质(诸如光盘(CD)或DVD(数字通用盘))、闪存等等。计算机可读介质可以是这些存储或传输装置的任何组合。

还可以使用载波信号编码和传输这些程序，载波信号适于经由符合各种协议(包括互联网)的有线、光和/或无线网络传输。因此，根据本发明的实施例的计算机可读介质可以使用用这些程序编码的数据信号创建。用程序代码编码的计算机可读介质可以与可兼容装置一起打包或从其它装置单独地提供(例如通过互联网下载)。任何这种计算机可读介质可以驻存在单个计算机产品(例如硬盘、CD或整个计算机系统)之上或之内，并且可以出现在系统或网络内的不同计算机产品之上或之内。计算机系统可以包括监视器、打印机或用于向用户提供本文中提到的任何结果的其它适当显示器。

本文中描述的任何方法可以完全地或部分地用包括可以被配置成执行这些步骤的一个或多个处理器的计算机系统执行。因此，实施例可以涉及被配置成执行本文中描述的任何方法的步骤、可能具有执行相应步骤或相应步骤组的不同组件的计算机系统。尽管呈现为编号步骤，但本文中的方法的步骤可以同时或以不同顺序被执行。另外，这些步骤的一部分可以与来自其它方法的其它步骤的一部分一起使用。同样，一个步骤的全部或部分可以是可选的。另外，任何方法的任何步骤可以用模块、单元、电路或用于执行这些步骤的其它手段来执行。

在不偏离本发明的实施例的精神和范围下，具体实施例的特定细节可以以任何适当方式组合。不过，本发明的其它实施例可以涉及与每个单独的方面有关的特定实施例，或者这些单独的方面的特定组合。

上文对本发明的示例性实施例的描述已经出于图示和描述的目的呈现。不旨在是详尽的，或将本发明局限到描述的精确形式，根据上文的教导许多修改和变形是可能的。

除非明确指示有相反的意思，“一(a)”、“一(an)”或“所述(the)”的叙述旨在表示“一个或多个”。除非明确指示有相反的意思，“或”的使用旨在表示是“包括性的或”，而不是“排他性的或”。

本文中提到的所有专利、专利申请、公开和描述出于所有目的通过引用被全部并入本文中。不承认他们为现有技术。

Claims (40)

1.一种由用户装置执行的方法，包括：

确定包括第一公钥和第一私钥的密钥对；

使用所述第一私钥和静态服务器公钥生成请求共享秘密；

使用所述请求共享秘密加密识别数据以获得加密的识别数据，所述识别数据标识所述用户装置和/或所述用户装置的用户；

通过安全通信信道向服务器计算机发送包括所述第一公钥和加密的识别数据的请求消息；

通过与所述安全通信信道分开的第二通信信道从所述服务器计算机接收第一注册数据；

从所述服务器计算机接收包括第一盲化服务器公钥的响应消息；

使用所述第一私钥和所述第一盲化服务器公钥确定第一响应共享秘密；

使用所述第一响应共享秘密生成第一密码密钥；

使用所述第一密码密钥加密所述第一注册数据来生成第一注册密码；以及

向所述服务器计算机发送所述第一注册密码，其中所述服务器计算机使用所述第一注册密码认证所述用户装置。

2.如权利要求1所述的方法，其特征在于，所述识别数据包括所述用户装置的所述用户的认证凭证。

3.如权利要求1所述的方法，还包括：

使用所述用户的所述识别数据和认证数据生成识别因子；以及

使用所述第一私钥和所述识别因子生成组合的私钥，其中使用所述第一私钥和所述第一盲化服务器公钥确定所述第一响应共享秘密使用所述组合的私钥。

4.如权利要求1所述的方法，其特征在于，所述第二通信信道包括SMS、电子邮件、电话呼叫、在线聊天、传真或邮件。

5.如权利要求1所述的方法，其特征在于，所述第一注册数据是一次性口令。

6.如权利要求1所述的方法，还包括：

由所述用户装置存储所述第一响应共享秘密，并且其中向所述服务器计算机发送所述第一注册密码包括使用所述第一响应共享秘密对所述第一注册密码进行加密。

7.如权利要求1所述的方法，还包括由所述用户装置执行以下步骤：

接收第二注册数据；

生成包括第二公钥和第二私钥的第二密钥对；

向所述服务器计算机发送包括所述第一注册密码和所述第二公钥的续订请求消息；

使用所述第二私钥和所述第二注册数据生成第二注册密码；以及

向所述服务器计算机发送所述第二注册密码。

8.如权利要求7所述的方法，还包括由所述用户装置执行以下步骤：

接收包括第二盲化服务器公钥的续订响应消息；以及

使用所述第二私钥和所述第二盲化服务器公钥导出第二密码密钥，

其中，通过将所述第二密码密钥应用于所述第二注册数据来生成所述第二注册密码。

9.如权利要求8所述的方法，其特征在于，使用所述第二私钥和所述第二盲化服务器公钥来导出所述第二密码密钥包括：

使用所述第二私钥和所述第二盲化服务器公钥确定第二响应共享秘密；以及

使用密钥导出参数和所述第二响应共享秘密生成所述第二密码密钥。

10.如权利要求7所述的方法，其特征在于，所述续订请求消息包括所述第二注册数据的散列。

11.如权利要求1所述的方法，其特征在于，所述第一公钥和所述第一私钥是临时密钥。

12.一种由服务器计算机执行的方法，包括：

通过安全通信信道从用户装置接收储备请求消息，所述储备请求消息包括第一公钥以及加密的请求数据，所述加密的请求数据包括加密的识别数据；

由所述服务器计算机使用所述第一公钥和静态服务器私钥确定请求共享秘密；

使用所述请求共享秘密对所述加密的请求数据进行解密以便获得包括识别数据的请求数据；

验证对应于所述用户装置的所述识别数据；

通过与所述安全通信信道分开的第二通信信道向所述用户装置发送第一注册数据；

向所述用户装置发送包括由静态服务器公钥使用第一密码随机数生成的第一盲化服务器公钥的响应消息；

从所述用户装置接收用户注册密码；

使用所述第一密码随机数和对应于所述静态服务器公钥的服务器私钥生成响应共享秘密；

使用所述响应共享秘密生成第一密码密钥；

使用所述第一密码密钥加密所述第一注册数据来生成第一注册密码；以及

由所述服务器计算机通过把所述用户注册密码与所述第一注册密码比较来验证所述用户注册密码，其中，如果所述第一注册密码被验证，则所述用户装置被认证。

13.如权利要求12所述的方法，其特征在于，所述加密的请求数据包括被解密以便获得用户标识符的加密的用户标识符，并且

其中，通过使用所述用户标识符从装置数据库导出被与所述识别数据比较的对应的识别数据来验证所述识别数据。

14.如权利要求12所述的方法，其特征在于，所述第一公钥是组合的公钥，并且其中所述请求数据包括用于生成所述组合的公钥的用户装置公钥，所述方法还包括：

导出与所述识别数据相关联的认证数据；

使用所述识别数据和所述认证数据生成识别因子；以及

使用所述用户装置公钥和所述识别因子验证所述组合的公钥。

15.如权利要求12所述的方法，其特征在于，所述响应共享秘密还使用所述第一公钥生成。

16.如权利要求12所述的方法，其特征在于，连同所述用户注册密码接收第二公钥，并且其中所述响应共享秘密还使用所述第二公钥生成。

17.如权利要求12所述的方法，还包括：

在验证所述用户注册密码之前使用所述响应共享秘密对所述用户注册密码进行解密。

18.如权利要求12所述的方法，还包括由所述服务器计算机执行以下步骤：

存储所述用户注册密码；

向所述用户装置发送第二注册数据；

从所述用户装置接收包括所述用户注册密码和第二公钥的续订请求消息；

通过把所接收到的用户注册密码与所存储的用户注册密码相比较来验证所述用户注册密码；

从所述用户装置接收第二注册密码；以及

使用服务器计算机密钥、所述第二公钥和所述第二注册数据验证所述第二注册密码。

19.如权利要求18所述的方法，还包括由所述服务器计算机执行以下步骤：

向所述用户装置发送包括通过使用第二密码随机数盲化所述静态服务器公钥而产生的第二盲化服务器公钥的续订响应消息，

其中，验证所述第二注册密码使用第二密码密钥，所述第二密码密钥通过使用所述服务器私钥、所述第二密码随机数和所述第二公钥来导出。

20.如权利要求19所述的方法，其特征在于，所述续订请求消息包括接收到的所述第二注册数据的散列，所述方法还包括：

通过与所存储的所述第二注册数据的散列相比较来验证所接收的散列，其中，响应于所接收的散列与所存储的散列相匹配而发送所述续订响应消息。

21.一种计算机实现的方法，包括：

由用户装置确定包括公钥和私钥的密钥对；

由所述用户装置向服务器计算机发送包括所述公钥的储备请求消息；

由所述用户装置从所述服务器计算机接收包括加密的凭证的储备响应消息；

由所述用户装置使用所述私钥和静态服务器公钥确定响应共享秘密；

由所述用户装置使用所述响应共享秘密对所述加密的凭证进行解密来确定凭证；

从所述凭证获取密钥导出参数；

使用所述密钥导出参数确定第一密码密钥；

使用所述第一密码密钥生成第一密码；以及

向第二计算机发送所述第一密码。

22.如权利要求21所述的计算机实现的方法，其特征在于，所述密钥导出参数是限制使用密钥，该限制使用密钥能操作以供使用有限次数。

23.如权利要求22所述的计算机实现的方法，其特征在于，所述第一密码密钥的所述确定包括：由所述用户装置使用所述限制使用密钥和密钥导出函数来导出所述第一密码密钥。

24.如权利要求21所述的计算机实现的方法，其特征在于，所述公钥是临时公钥，并且其中所述私钥是临时私钥。

25.如权利要求21所述的计算机实现的方法，其特征在于，所述第一密码密钥能操作来生成第一密码，所述第一密码用在与校验计算机的第一安全通信中。

26.如权利要求21所述的计算机实现的方法，其特征在于，所述第一密码密钥的所述确定进一步在所述密钥导出参数之外还使用所述响应共享秘密。

27.如权利要求21所述的计算机实现的方法，其特征在于，所述第一密码用在与校验所述第一密码的所述第二计算机的第一安全通信中。

28.如权利要求21所述的计算机实现的方法，还包括：

由所述用户装置使用所述私钥和所述静态服务器公钥生成请求共享秘密；以及

由所述用户装置使用所述请求共享秘密加密请求数据，以获得加密的请求数据，其中，所述储备请求消息包括所述加密的请求数据。

29.如权利要求21所述的计算机实现的方法，其特征在于，所述响应共享秘密是使用从所述静态服务器公钥导出的盲化密钥确定的，从而使用所述静态服务器公钥以确定所述响应共享秘密，并且其中，所述储备响应消息还包括所述盲化密钥。

30.如权利要求21所述的计算机实现的方法，其特征在于，所述响应共享秘密是在没有盲化密钥的情况下确定的，其中，所述凭证包括密码随机数，并且其中，所述第一密码密钥还使用所述密码随机数被导出。

31.如权利要求21所述的计算机实现的方法，还包括：

由所述用户装置使用更新参数更新所述响应共享秘密以确定更新的共享秘密，所述凭证包括所述更新参数；

由所述用户装置使用所述更新的共享秘密和所述密钥导出参数确定第二密码密钥；

由所述用户装置使用所述第二密码密钥生成第二密码；以及

由所述用户装置使用所述第二密码与校验计算机执行第二安全通信。

32.如权利要求31所述的计算机实现的方法，还包括：

由所述用户装置生成多个新安全通信的每个的新共享秘密，每个新共享秘密是使用之前的共享秘密和所述更新参数生成的；

由所述用户装置使用所述新共享秘密和所述密钥导出参数确定新密码密钥；

由所述用户装置使用所述新密码密钥生成新密码；

由所述用户装置使用所述新密码与所述校验计算机执行所述新安全通信。

33.如权利要求31所述的计算机实现的方法，其特征在于，所述第二密码还使用基于所述凭证中包括的密码导出参数的数据生成，并且其中，所述第二安全通信是授权请求，其中，所述第二密码认证所述授权请求的至少一个元素。

34.如权利要求31所述的计算机实现的方法，还包括：

由所述用户装置接收第一注册数据；

由所述用户装置使用所述第一密码密钥加密所述第一注册数据，以生成第一密码，所述第一密码是注册密码；

由所述用户装置存储所述响应共享秘密；

由所述用户装置使用所述响应共享秘密对所述注册密码进行解密；以及

由所述用户装置向注册服务器计算机发送所述注册密码，其中，所述注册服务器计算机使用所述注册密码认证所述用户装置。

35.一种计算机实现的方法，包括：

由服务器计算机从用户装置接收储备请求消息，所述储备请求消息包括装置公钥；

由所述服务器计算机使用所述装置公钥和静态服务器私钥确定请求共享秘密；

由所述服务器计算机使用所述静态服务器私钥和所述装置公钥生成响应共享秘密；

从所述响应共享秘密获得用于确定第一密码密钥的密钥导出参数；

由所述服务器计算机使用所述响应共享秘密加密凭证，以确定加密的响应数据，所述凭证包括所述密钥导出参数；以及

由所述服务器计算机向所述用户装置发送包括所述加密的响应数据的储备响应消息。

36.如权利要求35所述的计算机实现的方法，还包括：

由所述服务器计算机从所述用户装置接收用于校验安全通信的用户密码；

使用所述密钥导出参数确定第一密码密钥；

使用所述第一密码密钥和密码导出参数生成第一密码，所述凭证包括所述密码导出参数；以及

由所述服务器计算机通过把所述用户密码与所述第一密码比较来校验用户密码。

37.如权利要求36所述的计算机实现的方法，还包括：

由所述服务器计算机更新所述响应共享秘密以确定更新的共享秘密；

由所述服务器计算机从所述用户装置接收用于校验新安全通信的新密码；

使用所述密钥导出参数从所述更新的共享秘密确定第二密码密钥；

使用所述第二密码密钥和所述密码导出参数生成第二密码；以及

由所述服务器计算机通过把所述新密码和所述第二密码比较来校验所述新密码。

38.如权利要求35所述的计算机实现的方法，还包括：

由所述服务器计算机向所述用户装置提供第一注册数据；

由所述服务器计算机从所述用户装置接收用户注册密码；

使用所述密钥导出参数确定第一密码密钥；

由所述服务器计算机使用所述第一密码密钥加密所述第一注册数据以生成第一注册密码；以及

由所述服务器计算机通过把所述用户注册密码与所述第一注册密码比较来验证所述用户注册密码，其中，如果所述第一注册密码被验证，则所述用户装置被认证。

39.如权利要求38所述的计算机实现的方法，其特征在于，所述第一注册数据包括一次性口令，并且其中所述用户注册密码基于所述一次性口令。

40.一种计算机系统，包括：

存储器，存储计算机可执行指令；以及

处理器，被配制成用于访问所述存储器并执行所述计算机可执行指令以便执行如权利要求1-39中任一项所述的方法。

Images