CN115315924A - 使用移动装置在访问控制服务器处进行用户认证 - Google Patents

使用移动装置在访问控制服务器处进行用户认证 Download PDF

Info

Publication number
CN115315924A
CN115315924A CN202180018775.XA CN202180018775A CN115315924A CN 115315924 A CN115315924 A CN 115315924A CN 202180018775 A CN202180018775 A CN 202180018775A CN 115315924 A CN115315924 A CN 115315924A
Authority
CN
China
Prior art keywords
control server
user
access control
access
authentication
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202180018775.XA
Other languages
English (en)
Inventor
C·阿艾拜
A·皮埃尔
P·赫罗博克
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Visa International Service Association
Original Assignee
Visa International Service Association
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Visa International Service Association filed Critical Visa International Service Association
Publication of CN115315924A publication Critical patent/CN115315924A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/34—User authentication involving the use of external additional devices, e.g. dongles or smart cards
    • G06F21/35—User authentication involving the use of external additional devices, e.g. dongles or smart cards communicating wirelessly
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/42—User authentication using separate channels for security data
    • G06F21/43—User authentication using separate channels for security data wireless channels
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/08—Payment architectures
    • G06Q20/18—Payment architectures involving self-service terminals [SST], vending machines, kiosks or multimedia terminals
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/08—Payment architectures
    • G06Q20/20—Point-of-sale [POS] network systems
    • G06Q20/204—Point-of-sale [POS] network systems comprising interface for record bearing medium or carrier for electronic funds transfer or payment credit
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G06Q20/401—Transaction verification
    • G06Q20/4014—Identity check for transactions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H04L63/0838—Network architectures or network communication protocols for network security for authentication of entities using passwords using one-time-passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/068—Authentication using credential vaults, e.g. password manager applications or one time password [OTP] applications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/69—Identity-dependent
    • H04W12/77—Graphical identity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/56—Financial cryptography, e.g. electronic payment or e-cash

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Business, Economics & Management (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • Accounting & Taxation (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Finance (AREA)
  • Strategic Management (AREA)
  • General Business, Economics & Management (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • Development Economics (AREA)
  • Economics (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)
  • Telephonic Communication Services (AREA)

Abstract

公开了一种方法。所述方法包括在访问装置从用户的便携式装置接收凭证或令牌之后，由访问控制服务器从所述访问装置接收包括所述凭证或所述令牌的认证请求消息。所述方法还包括响应于接收所述认证请求消息，由所述访问控制服务器将询问消息传输至与所述用户相关联的用户装置；由所述访问控制服务器生成认证指示符。所述方法还包括由所述访问控制服务器向所述访问装置传输包括所述认证指示符的认证响应消息。

Description

使用移动装置在访问控制服务器处进行用户认证
相关申请的交叉引用
本申请是2020年3月5日提交的美国临时专利申请号62/985,449的PCT申请并且要求其优先权，该临时申请的全部内容以引用方式并入本文。
背景技术
允许用户访问诸如安全位置、商品或服务或安全数据的资源的现有系统要求这些用户将敏感信息输入到诸如访问终端的访问装置中。在典型情况下，用户可能需要将机密，例如已知访问代码(例如，PIN代码)，输入到访问终端中，例如交通门、销售点终端或信息亭。常规访问装置通常位于资源提供商处，并且它们通常被制造成使得它们可以安全地处理输入到它们中的任何机密。
近年来，许多商用现成装置，例如手机，都被用作访问装置。这提出了安全问题，因为诸如移动电话和平板电脑的常规移动装置可能尚未被制造成专门接收和处理用户机密。因此，与为专用目的而制造的常规访问装置相比，商用现成装置更易受到黑客攻击和破坏。
此外，让用户将机密输入到访问装置中也会引入安全问题。例如，一些访问装置不安全，黑客和其他未经授权的人员可能会从访问装置窃取机密。此外，在一些情况下，在用户通过访问装置的键盘将机密输入到访问装置中之后，由用户的手指产生的热量可以留在键盘的键上。有些人使用红外装置来确定被人按下的键，并确定用户的机密。同样地，由于其它原因，将机密输入到访问装置中可能会有问题。
本发明的实施例分别解决了这些问题和其它问题。
发明内容
一个实施例包括一种方法，其包括：由访问装置从与交互中的用户相关联的便携式装置接收凭证或令牌；响应于从所述便携式装置接收所述凭证或所述令牌，由所述访问装置将包括所述凭证或所述令牌的认证请求消息传输至访问控制服务器，所述访问控制服务器将询问消息传输至与所述用户相关联的用户装置；由所述访问装置从所述访问控制服务器接收包括认证指示符的认证响应消息；并且由所述访问装置将包括所述认证指示符和所述凭证或所述令牌的授权请求消息传输至授权实体计算机。所述授权实体计算机可以使用所述凭证或所述令牌以及所述认证指示符确定是否授权交互。在一些实施例中，所述认证指示符可以是密码。
本发明的另一实施例包括一种访问装置，其包括：处理器；以及非瞬态计算机可读介质，所述非瞬态计算机可读介质包括指令，所述指令能由所述处理器执行以使所述访问装置：从与交互中的用户相关联的便携式装置接收凭证或令牌；响应于从所述便携式装置接收所述凭证或所述令牌，将包括所述凭证或所述令牌的认证请求消息传输至访问控制服务器，所述访问控制服务器将询问消息传输至与所述用户相关联的用户装置；从所述访问控制服务器接收包括认证指示符的认证响应消息；以及将包括所述认证指示符和所述凭证或所述令牌的授权请求消息传输至授权实体计算机。所述授权实体计算机可以使用所述凭证或所述令牌以及所述认证指示符确定是否授权交互。
本发明的另一实施例包括一种方法，其包括：在访问装置从用户的便携式装置接收凭证或令牌之后，由访问控制服务器从所述访问装置接收包括所述凭证或所述令牌的认证请求消息；响应于接收到所述认证请求消息，由所述访问控制服务器将询问消息传输至与所述用户相关联的用户装置；由所述访问控制服务器获得认证指示符；以及由所述访问控制服务器向所述访问装置传输包括所述认证指示符的认证响应消息。
本发明的另一实施例包括一种访问控制服务器，其包括处理器和耦合到所述处理器的计算机可读介质。所述计算机可读介质包括指令，所述指令在由所述处理器执行时使所述访问控制服务器：在访问装置从用户的便携式装置接收凭证或令牌之后，从所述访问装置接收包括所述凭证或所述令牌的认证请求消息；响应于接收到所述认证请求消息，将询问消息传输至与所述用户相关联的用户装置；获得认证指示符；并将包括所述认证指示符的认证响应消息传输至所述访问装置。
下文进一步详细描述本发明的这些和其它实施例。
附图说明
图1示出根据实施例的具有流程图的系统的框图。
图2示出根据另一实施例的具有另一流程图的另一系统的框图。
图3示出根据实施例的用户装置的框图。
图4示出根据实施例的访问装置的框图。
图5示出根据实施例的访问控制服务器的框图。
具体实施方式
在论述实施例之前，可以详细地描述一些术语。
“用户”可以包括个别或计算装置。在一些实施例中，用户可以与一个或多个个人账户和/或移动装置相关联。在一些实施例中，用户可以是持卡人、账户持有人或消费者。
“用户装置”可以是用户可以与(例如，支付卡或移动电话)交互的任何合适的装置。用户装置可采用任何合适的形式。用户装置的一些示例包括具有磁条或非接触式元件(例如，包括非接触式芯片和天线)的卡(例如，借记卡、信用卡和预付卡等支付卡)、蜂窝电话、PDA、个人计算机(PC)、平板计算机等。在用户装置是移动装置的一些实施例中，移动装置可以包括显示器、存储器、处理器、计算机可读介质和任何其它合适的组件。在一些实施例中，用户装置可以包括便携式装置。例如，用户装置可以是也可以执行诸如支付装置的便携式装置的功能的移动电话。
“移动装置”(有时被称作移动通信装置)可以包括用户可以运输或操作的任何电子装置，所述装置还可以提供与网络的远程通信能力。移动通信装置可以使用移动电话(无线)网络、无线数据网络(例如，3G、4G或类似网络)、Wi-Fi、蓝牙、低功耗蓝牙(BLE)、Wi-Max或可以提供对例如因特网或专用网络等网络的访问的任何其它通信介质来进行通信。移动装置的实例包括移动电话(例如，蜂窝电话)、PDA、平板计算机、上网本、膝上型计算机、可穿戴装置(例如手表)、例如汽车和摩托车之类的车辆、个人音乐播放器、手持式专用阅读器等。移动装置可以包括用于执行此类功能的任何合适的硬件和软件，并且还可以包括多个装置或组件(例如，当装置通过与另一装置进行网络共享(即，使用所述另一装置作为调制解调器)而远程访问网络时，一起使用的两个装置可以被认为是单个移动装置)。
“非接触式”通信可以是在两个装置之间交换数据而无需这两个装置物理耦合的通信。在不限制前述内容的一般性的情况下，“非接触式”通信可以包括通过近场通信(NFC)收发器、激光、射频、红外通信或其他射频或无线通信协议，诸如蓝牙、蓝牙低功耗(BLE)、Wi-Fi、iBeacon等进行的数据传输。
“应用程序”可以是用于特定目的的计算机程序。应用程序的示例可包括运输应用程序、安全数据访问应用程序、银行应用程序、数字钱包应用程序、赛事票务应用程序、忠诚度奖励应用程序等。在一些实施例中，应用程序可与由资源或服务提供商维护的用户账户(例如，银行账户、大众运输预付账户、建筑物访问账户等)相关联。
“访问装置”可以是用于提供对外部计算机系统的访问的任何合适的装置。访问装置可以呈任何合适的形式。访问装置的一些示例包括销售点(POS)装置、蜂窝电话、PDA、个人计算机(PC)、平板PC、手持式专用读取器、机顶盒、电子现金出纳机(ECR)、自动柜员机(ATM)、虚拟现金出纳机(VCR)、查询一体机、安全系统、访问系统、网站等等。访问装置可以使用任何合适的接触或非接触操作模式，以向移动装置发送或从其接收数据或与移动装置相关联。在访问装置可以包括POS终端的一些实施例中，可使用任何合适的POS终端并且其可以包括读取器、处理器和计算机可读介质。读取器可以包括任何合适的接触式或非接触式操作模式。例如，示例性读卡器可以包括射频(RF)天线、光学扫描仪、条形码读取器或磁条读取器，以与移动装置进行交互。
“访问数据”可以包括任何合适的数据，所述数据可以用于访问资源或创建可以访问资源的数据。在一些实施例中，访问数据可以是支付账户的账户信息。账户信息可以包括PAN、支付令牌、到期日期和验证值(例如，CVV、CVV2、dCVV、dCVV2)等。在其它实施例中，访问数据可以是可用于激活账户数据的数据。例如，在一些情况下，账户信息可以存储在移动装置上，但是可以直到移动装置接收到特定信息才被激活。在其它实施例中，访问数据可以包括可用于访问位置的数据。此类访问数据可以是赛事的票证信息、用于访问建筑物的数据、交通运输票证信息等。在其它实施例中，访问数据可以包括用于获得对敏感数据的访问权的数据。访问数据的示例可以包括服务器计算机准予访问敏感数据所需要的代码或其它数据。
“认证数据”可以包括适于认证用户或移动装置的任何数据。认证数据可以从用户或用户操作的装置获得。从用户获得的认证数据的实例可以包括机密，诸如个人标识号(PIN)、生物特征数据、口令等。可以从装置获得的认证数据的示例可以包括装置序列号、硬件安全元件标识符、装置指纹、电话号码、IMEI号等。
“机密”可以是其他人不知晓或看不到的信息。机密可能只有用户知道。例如，PIN、口令、生物特征样本、生物特征模板或特定于用户和/或仅用户已知的其它数据可以是机秘。机密的衍生物可以是源自该机密的信息。例如，加密机密或与其它信息连接的机密可以是机密的衍生物。
“密钥”或“密码密钥”可以包括在密码算法中用于将数据转换成另一表示的一条信息。密码算法可以是将原始数据变换成替代表示的加密算法，或将加密信息变换回到原始数据的解密算法。密码算法的实例可包括三重数据加密标准(TDES)、数据加密标准(DES)、高级加密标准(AES)等。
“访问装置密钥”可以是访问装置在交互中使用的密码密钥。
“授权实体”可以是通常使用授权计算机来授权请求的实体。授权实体可以是发行方、政府机构、文件存储库、访问管理员等。“发行方”通常可以包括维护用户账户的商业实体(例如，银行)。发行方还可向用户发行存储在蜂窝电话、智能卡、平板电脑或笔记本电脑等用户装置上的支付凭证。
“交互”可以包括互惠作用或影响。“交互”可以包括各方、各装置和/或各实体之间的通信、联系或交换。示例交互包括两方之间的交易和两个装置之间的数据交换。在一些实施例中，交互可以包括用户请求访问安全数据、安全网页、安全位置等。在其它实施例中，交互可以包括支付交易，在所述支付交易中，两个装置可以交互以促进支付。
“交互数据”可以包括与交互相关的数据和/或在交互期间记录的数据。在一些实施例中，交互数据可以是网络数据的交易数据。交易数据可以包括具有数据值的多个数据元素。
“凭证”可以是充当价值、所有权、身份或权限的可靠证据的任何合适的信息。凭证可为可被呈现或者含于能够充当确认的任何对象或文档当中的一串数字、字母或任何其它合适的字符。
“价值凭证”可以是与价值相关联的信息。价值凭证的实例包括支付凭证、优惠券标识符、获得促销优惠所需的信息等。
“支付凭证”可包括与账户相关联的任何合适信息(例如，与账户相关联的支付账户和/或支付装置)。此类信息可以与账户直接相关，或可以源自与账户相关的信息。账户信息的实例可以包括PAN(主账号或“账号”)、用户名、到期日期、CVV(卡验证值)、dCVV(动态卡验证值)、CVV2(卡验证值2)、CVC3卡验证值等等。CVV2通常被理解为是与支付装置相关联的静态验证值。CVV2值通常对用户(例如，消费者)可见，而CVV和dCVV值通常嵌入存储器或授权请求消息中，用户不容易知道(尽管它们对发行方和支付处理器是已知的)。支付凭证可以是标识支付账户或与支付账户相关联的任何信息。可以提供支付凭证以便从支付账户进行支付。支付凭证还可以包括用户名、到期日期、礼品卡号或代码以及任何其它合适的信息。
“令牌”可以是凭证的替代值。令牌可以是一串数字、字母或任何其他合适的字符。令牌的实例包括访问令牌，例如支付令牌、可用于访问安全系统或位置的数据等。
“支付令牌”可包括支付账户的标识符，所述标识符是账户标识符的替代，例如主账号(PAN)和/或到期日期。例如，令牌可以包括可以用作原始账户标识符的替代的一系列字母数字字符。例如，令牌“4900 0000 00000001”可以用于代替PAN“4147 0900 00001234”。在一些实施例中，令牌可以是“保持格式的”，并可以具有与现有交易处理网络中使用的账户标识符一致的数字格式(例如ISO 8583金融交易消息格式)。在一些实施例中，令牌可以代替PAN用来发起、授权、处理或解决支付交易，或者在通常将提供原始凭证的其他系统中表示原始凭证。在一些实施例中，可生成令牌值，使得可能无法以计算方式从令牌值得到原始PAN或其他账户标识符的恢复。此外，在一些实施例中，令牌格式可以被配置成允许接收令牌的实体将其标识为令牌，并识别发行令牌的实体。
“令牌化”是用替代数据代替敏感数据的过程。例如，可以通过用可以与真实凭证相关联的替代号来代替真实账户标识符而使真实凭证(例如，主账号(PAN))令牌化。此外，可以对任何其他信息应用令牌化处理，从而以令牌替代隐含的信息。“令牌交换”或“去令牌化”可以是恢复在令牌化期间被替代的数据的过程。例如，令牌交换可以包括以和支付令牌相关联的主账号(PAN)代替支付令牌。此外，可以对任何其他信息应用去令牌化或者令牌交换，从而从令牌中取回受到替代的信息。在一些实施例中，可以通过交易消息(例如，ISO消息)、应用编程接口(API)或者其他类型的web接口(例如，web请求)实现令牌交换。
“令牌服务计算机”可包括提供令牌服务的系统。在一些实施例中，令牌服务计算机可促进请求、确定(例如，生成)和/或发行令牌，以及在存储库(例如，令牌库)中维持建立的令牌到主账号(PAN)的映射。在一些实施例中，令牌服务计算机可为给定的令牌建立令牌确保级别，以指示令牌与PAN绑定的置信级。令牌服务计算机可包括存储所生成令牌的令牌库或与所述令牌库通信。令牌服务计算机可通过使令牌去令牌化获得实际PAN来支持使用令牌提交的支付交易的令牌处理。
“授权请求消息”可以是请求对交互授权的消息。在一些实施例中，授权请求消息可以包括被发送给支付处理网络和/或支付卡的发行方来请求授权交易的电子消息。根据一些实施例的授权请求消息可以符合ISO 8583，这是针对交换与用户使用支付装置或支付账户进行的支付相关联的电子交易信息的系统的标准。授权请求消息可包括凭证，例如可与支付装置或支付账户相关联的主账号，或与主账号相关联的令牌。授权请求消息还可以包括对应于“标识信息”的额外数据元素，仅作为实例包括：服务代码、CVV(卡验证值)、dCVV(动态卡验证值)、到期日期等。授权请求消息还可包括“交易信息”，例如与当前交易相关联的任何信息，例如交易量、商家标识符、商家位置等，以及可用于确定是否标识和/或授权交易的任何其它信息。
“授权响应消息”可以是对授权请求消息的电子消息回复。在一些实施例中，授权响应消息可由发行金融机构或支付处理网络生成。仅举例来说，授权响应消息可以包括以下状态指示符中的一个或多个：批准-交易被批准；拒绝-交易未被批准；或呼叫中心-响应未决的更多信息，商家必须呼叫免费授权电话号码。授权响应消息还可以包括授权代码，其可以是信用卡发行银行响应于电子消息中的授权请求消息(直接地或通过支付处理网络)返回给商家的访问装置(例如，POS设备)的指示交易被批准的代码。所述代码可以用作授权的证据。
“服务器计算机”通常是功能强大的计算机或计算机集群。例如，服务器计算机可以是大型主机、小型计算机集群或充当单元的一组服务器。在一个示例中，服务器计算机可以是耦合到网络服务器的数据库服务器。
“处理器”可以包括任何合适的一个或多个数据计算装置。处理器可以包括一起工作以实现期望的功能的一个或多个微处理器。处理器可以包括CPU，所述CPU包括足以执行用于执行用户和/或系统生成的请求的程序组件的至少一个高速数据处理器。CPU可以是微处理器，例如AMD的Athlon、Duron和/或Opteron；IBM和/或摩托罗拉(Motorola)的PowerPC；IBM和索尼(Sony)的Cell处理器；英特尔(Intel)的Celeron、Itanium、Pentium、Xeon和/或XScale；和/或类似处理器。
“存储器”可以是可存储电子数据的任何合适的一个或多个装置。合适的存储器可包括非瞬态计算机可读介质，其存储可由处理器执行以实现所要方法的指令。存储器的实例可以包括一个或多个存储器芯片、磁盘驱动器等。此类存储器可使用任何合适的电气、光学和/或磁性操作模式来操作。
“资源提供商”可以是在交易期间提供资源(例如，商品、服务、对安全数据的访问、对位置的访问等)的任何合适的实体。例如，资源提供实体可以是商家、场所运营商、建筑物所有者、政府实体等。“商家”通常可以是参与交易且可以出售商品或服务或提供对商品或服务的取用的实体。
“便携式装置”可以是可以由用户携带的装置。便携式装置可以具有存储、处理和传送信息的能力。他们还可以存储诸如支付凭证的凭证。便携式装置可以具有生成和/或存储密码信息以增加安全性的方式。便携式装置的示例包括膝上型电脑、移动电话、支付卡和密钥卡。
“收单方”可以是与资源提供商相关联的金融机构。收单方通常为资源提供商提供银行账户，并且在一些情况下，还提供交易接受基础设施。一般来说，在交易获得授权后，作为结算过程的一部分，资金从发行方转移到收单方的资源提供商账户。收单方还可以与资源提供商沟通支付交易状态。收单方可以操作收单方计算机，其也可以笼统地称为“传输计算机”。
“发行方”可以是为账户持有人创建和维护金融账户的金融机构，例如银行。发行方或开证银行可以为消费者发行和维护金融账户。特定消费者账户的发行方可以确定是否批准或拒绝特定交易。如果交易被批准(例如，消费者的账户有足够可用的余额并且符合其它授权或认证标准)，则发行方可以对消费者进行认证并向收单方发放资金。
“支付处理网络”可以是用以支持和递送授权服务、异常文件服务以及清算和结算服务的数据处理子系统、网络和操作。示例性支付处理网络可以包括VisaNetTM。例如VisaNetTM之类的支付处理网络能够处理信用卡交易、借记卡交易和其它类型的商业交易。授权、结算和清算可同时进行(基本上同时进行，例如在几分钟或几小时内)，或可作为批次结算过程的部分(例如，在一天或一周结束时)进行。支付处理网络可包括服务器计算机。支付处理网络可使用任何合适的有线或无线网络，包括互联网。
“访问控制服务器”(ACS)可以是可以提供认证处理的服务器计算机。在一些实施例中，访问控制服务器可以在诸如远程或面对面购买交易的交易期间向发行方提供认证出示人(例如，消费者、用户)的能力。
“目录服务器”可用于在不同端点之间路由消息。在一些实施例中，目录服务器可以在访问装置中的商家插件(MPI)和发行方的ACS之间路由注册和认证信息。
在实施例中，“商家插件”(MPI)可以是在收单方域中操作的部件。在在线环境中，其代表商家或资源提供商执行各种认证功能。这些功能包括确定认证是否可供用于卡号，并且验证认证消息中的数字签名。
“认证指示符”可以包括已经执行认证的某种类型的信号。在一些实施例中，认证指示符可以是密码的形式。在其它实施例中，认证指示符可以是代码或某个二进制值，其指示诸如访问控制服务器或甚至用户装置的实体已认证交互的用户。
一个实施例包括一种方法。所述方法包括由访问装置从与交互中的用户相关联的便携式装置接收凭证或令牌。响应于从便携式装置接收凭证或令牌，访问装置将包括凭证或令牌的认证请求消息传输至访问控制服务器。访问控制服务器接着将询问消息传输至与用户相关联的用户装置。在一些实施例中，询问消息可包括临时代码，例如一次性口令。用户接收临时代码，并可以将其输入到访问装置中。在其它实施例中，询问消息可包括对用户向用户装置上的本地应用程序提供已知机密的请求。本地应用程序可以附属于访问控制服务器。在此类实施例中，访问控制服务器可以从访问装置接收临时代码，或者从用户装置上的本地应用程序接收机密。然后，访问控制服务器可以验证临时代码与传输至用户装置的代码相同。或者，访问控制服务器可以验证用户的机密。在这两种情况下，访问控制服务器可以验证用户是真实用户，然后将包括密码或其它类型的认证指示符的认证响应消息传输至访问装置。
在访问装置接收到认证响应消息之后，访问装置接着生成并向授权实体计算机传输包括认证指示符(例如，密码)和凭证或令牌的授权请求消息。然后，授权实体计算机使用凭证或令牌以及认证指示符来确定是否授权交互。
图1示出了根据实施例的交互处理系统，其中覆盖说明方法的流程图。图1的系统可包括与用户装置105(例如，智能手机、移动电话)和便携式装置115(例如，访问卡、信用卡、借记卡等)相关联的用户110。
用户110可以与操作访问装置120(例如，智能手机)的资源提供商进行交互。在一些实施例中，访问装置120可以是手机、销售点装置、门访问装置、信息亭等。访问装置120可包括提供交易处理功能的应用程序122和可从便携式装置115读取信息的读取器124(例如，非接触式接口，例如NFC接口)。在一些实施例中，应用程序122可以是商家插件(MPI)。
访问装置120又可以经由传输计算机130和处理网络计算机140与授权实体计算机150通信。在一些实施例中，传输计算机130可以是收单方计算机，处理网络计算机140可以是支付处理网络计算机，并且授权实体计算机150可以由诸如发行方的授权实体操作。
访问装置120还可以与目录服务器160和访问控制服务器170通信。目录服务器160可以包含将凭证或令牌的不同部分链接到不同访问控制服务器170的目录。例如，诸如主账号的凭证可以包含十六个字符，并且前六个字符可以指示特定的访问控制服务器170。就此而言，目录服务器160可在多个不同访问装置与多个不同访问控制服务器之间传送消息。
下文将更详细地描述访问控制服务器170。访问控制服务器170可以附属于授权实体计算机150。例如，在一些实施例中，访问控制服务器170和授权实体计算机150可以由同一发行方操作。
图1(以及图2)中的系统中的部件可以通过任何合适的通信信道或通信网络彼此进行操作性通信。合适的通信网络可以是下列中的任一个和/或组合：直接互连、互联网、局域网(LAN)、城域网(MAN)、作为互联网节点的运行任务(OMNI)、安全定制连接、广域网(WAN)、无线网络(例如，采用协议例如但不限于无线应用协议(WAP)、I-模式等)等。计算机、网络与装置之间的消息可使用安全通信协议发送，所述安全通信协议例如但不限于文件传输协议(FTP)；超文本传输协议(HTTP)；以及安全超文本传输协议(HTTPS)。
在步骤S102中，用户110可以使用其便携式装置115发起与访问装置120的交互(例如，交易)。信息可以经由读取器124从便携式装置115传递至访问装置120。例如，用户110可以对着访问装置120中的NFC阅读器轻触其便携式装置115。便携式装置115接着可以经由便携式装置115与访问装置120之间的无线连接将凭证(例如，支付凭证、访问标识符等)或令牌、验证码(例如，CVV、dCVV)以及可选的其他信息传输至访问装置120。然后，该信息可以由访问装置120上的应用程序122接收。
在步骤S104中，访问装置120可以生成认证请求消息并将其发送至目录服务器160。认证请求消息可以包括凭证或令牌、时间戳和潜在其他信息。在一些实施例中，应用程序122可以是提供访问装置120与目录服务器160之间的连接的商家插件。
在接收到认证请求消息之后，目录服务器160可识别适当的访问控制服务器170。例如，可以通过分析凭证或令牌的一部分来识别访问控制服务器170。凭证或令牌的部分可用于识别特定的访问控制服务器170。例如，在一些实施例中，如果凭证是主账号或PAN，则目录服务器160可以从PAN的银行识别号(BIN)(例如，前六位数字)识别访问控制服务器170。
在步骤S106中，在接收到认证请求消息并确定适当的访问控制服务器170之后，目录服务器160可以将认证请求消息传输至访问控制服务器170。在接收认证请求消息之后，访问控制服务器170可以解析认证请求消息。然后，访问控制服务器170可识别用户110。在一些实施例中，访问控制服务器170可以从认证请求消息中的凭证(例如，来自PAN或银行账号)或令牌识别用户110。在这方面，访问控制服务器170可以具有将用户的信息(例如，电话号码、电子邮件地址等)映射到一个或多个对应凭证或令牌的数据库。
在步骤S108中，在访问控制服务器170确定用户的用户装置105的地址(例如，电子邮件、电话号码、IP地址等)之后，访问控制服务器170可以将具有诸如一次性口令(OTP)的临时代码的询问消息发送至用户装置105。在一些实施例中，OTP可以是6位密码。在其它实施例中，OTP可以是任何长度的字母数字串或图像(例如，QR码或条形码)。在一些实施例中，OTP可以例如由访问控制服务器170作为SMS消息发送至用户装置105。在其它实施例中，OTP可以通过电子邮件、自动电话呼叫或推送通知发送。
在步骤S110中，用户110可以将在用户装置105处接收的OTP输入到访问装置120中。例如，用户110可以将OTP键入访问装置120中。在其它实施例中，OTP可以直接从用户装置105传递到访问装置120。例如，访问装置120可以扫描QR代码，其中OTP显示在用户装置105上。替代性地，访问装置120可以经由非接触式通信链路(例如，蓝牙或NFC)从用户装置105接收OTP。
在步骤S112中，在获得OTP之后，访问装置120可以经由目录服务器160将包括OTP的认证请求消息发送至访问控制服务器170。
在步骤S114中，在接收到包括OTP的认证请求消息之后，访问控制服务器170可以将来自认证请求消息的OTP与在步骤S108中发送至用户装置105的OTP进行比较。如果OTP匹配，则访问控制服务器170可以认证用户110和用户装置105。在确定用户110是真实的之后，访问控制服务器170还可以获得(例如，生成)认证指示符，例如指示用户110已被认证的密码。替代性地，如果OTP不匹配，则访问控制服务器170可以生成错误消息。
密码可以通过以加密方式更改数据来生成。例如，包括凭证或令牌的数据，以及诸如计数器或时间戳的可变数据元素，以及可选的关于访问装置的数据(例如，访问装置标识符)可以用密码密钥加密以形成密码。在一些实施例中，密码密钥可以是与授权实体计算机150共享的对称密钥。
在一些实施例中，认证指示符可以是指示访问控制服务器170认证用户110的代码或二进制值。
在步骤S116中，访问控制服务器170可以经由目录服务器160将包括密码(或其它认证指示符)的认证响应消息或错误消息发送至访问装置120。如果访问装置120接收到错误消息，则操作访问装置120的资源提供商可以结束交互。
在步骤S118中，在接收具有密码的认证响应消息之后，访问装置120可以生成包括认证指示符(例如，密码)、凭证或令牌、验证值、交互值(例如，交易金额)以及可能的其他信息的授权请求消息。在一些实施例中，可以在授权请求消息中包括指示执行用户的认证的位。此位可以在形式因子指示数据字段或其它数据字段中。访问装置120接着可以将授权请求消息传输至传输计算机130。在步骤S120和S122中，传输计算机130接着可经由处理网络计算机140将授权请求消息传输至授权实体计算机150。
如果授权请求消息包括诸如PAN的凭证，则处理网络计算机140可以从凭证确定授权实体计算机150，并且可以将其传输至授权实体计算机150。如果授权请求消息包括令牌，则处理网络计算机140可以联系令牌服务计算机(未示出)来获得与令牌相关联的真实凭证。
在步骤S122中，处理网络计算机140可以将授权请求消息发送至授权实体计算机150，该授权实体计算机可授权(或拒绝)交易，并生成授权响应消息。
在一些实施例中，对授权响应消息的批准可以取决于所接收的凭证(例如，主账号)的有效性和密码的验证。例如，授权实体计算机150可以使用与访问控制服务器170共享的密码密钥来解密密码，并且可以恢复各种数据元素。此类数据元素可包括与访问控制服务器170共享的值或计数器、凭证或可由授权实体计算机150访问的其它数据。对授权请求消息的批准还可以取决于与所接收的凭证相关联的账户中的信用或资金的金额。如果认证指示符是代码或二进制值，则授权实体计算机150可以在其对批准交互的决定中使用此代码或二进制值。
在步骤S124、S126、S128中，授权响应消息随后可以由授权实体计算机150经由处理网络计算机140和传输计算机130发送至访问装置120。
在稍晚时间点，传输计算机130、处理网络计算机140和授权实体计算机150可以完成交易的清算和结算过程。
图2示出另一实施例的系统和流程图。图2的系统的部件类似于图1中的部件，并且不需要重复描述。
然而，在此实施例中，用户装置105(例如，智能手机)可包括本地应用程序107，例如在线银行应用程序。例如，本地应用程序107可以是与授权实体计算机150和/或向用户110提供移动银行能力的访问控制服务器170相关联的移动应用程序。本地应用程序107可以另外或替代地充当移动钱包。
在步骤S202中，用户110可以使用其便携式装置115发起与访问装置120的交互(例如，交易)。信息可以经由读取器124从便携式装置115传递至访问装置120。例如，用户110可以对着访问装置120中的NFC阅读器轻触其便携式装置115。便携式装置115接着可以经由便携式装置115与访问装置120之间的无线连接将凭证(例如，支付凭证、访问标识符等)或令牌、验证码(例如，CVV、dCVV)以及可选的其他信息传输至访问装置120。然后，该信息可以由访问装置120上的应用程序122接收。
在步骤S204中，访问装置120可以生成认证请求消息并将其发送至目录服务器160。认证请求消息可以包括凭证或令牌、时间戳和潜在其他信息。在一些实施例中，应用程序122可以是提供访问装置120与目录服务器160之间的连接的商家插件。
在接收到认证请求消息之后，目录服务器160可识别适当的访问控制服务器170。例如，可以通过分析凭证或令牌的一部分来识别访问控制服务器170。凭证或令牌的部分可用于识别特定的访问控制服务器170。例如，在一些实施例中，如果凭证是PAN的主账号，则目录服务器160可以从PAN的银行识别号(BIN)(例如，前六位数字)识别访问控制服务器170。
在步骤S206中，在接收到认证请求消息并确定适当的访问控制服务器170之后，目录服务器160可以将认证请求消息传输至访问控制服务器170。在接收认证请求消息之后，访问控制服务器170可以解析认证请求消息。然后，访问控制服务器170可识别用户110。在一些实施例中，访问控制服务器170可以从认证请求消息中的凭证(例如，来自PAN或银行账号)或令牌识别用户110。在这方面，访问控制服务器170可以具有将用户的信息(例如，电话号码、电子邮件地址等)映射到一个或多个对应凭证或令牌的数据库。
在步骤S208中，访问控制服务器170可以向用户装置105的本地应用程序107发送包括带外认证请求的询问消息。询问消息可以使本地应用程序107提示用户110自我认证。例如，询问消息可以是请求用户使用包括用户名和口令(即，机密的实例)的已知登录凭证登录到本地应用程序107的SMS消息。
在步骤S210中，用户110可以对本地应用程序107认证自身。例如，用户110可以将口令或PIN或生物特征(例如，指纹、面部扫描)输入到本地应用程序107中。然后，本地应用程序107可以认证用户110。在一些实施例中，认证过程可以是用户110在正常操作下登录到本地应用程序107使用的相同过程。在其它实施例中，本地应用程序107可以呈现可以从用户接收机密的窗口。为了认证用户，可以将所接收的机密与存储在用户装置105中的本地应用程序107中的机密或者存储在应用程序服务器(例如访问控制服务器170或授权实体计算机150)中的机密进行比较。
在步骤S212中，在接收到机密之后，本地应用程序107可以将询问响应消息发送至访问控制服务器170。询问响应消息可以包括用户110被用户装置105成功地认证或未被认证的指示。在其它实施例中，询问响应消息可以包括由用户输入到本地应用程序107中的机密。随后可通过将所接收的机密与存储的机密进行比较，用访问控制服务器170验证机密。
在步骤S214中，访问控制服务器170可以验证用户110被本地应用程序107认证，或者可以验证由用户110输入到本地应用程序107中的机密。如果用户110被认证，则访问控制服务器170可以以与上文关于图1中的实施例描述的相同或不同的方式获得(例如，生成)密码(或其它认证指示符)。如果用户110未被成功认证，则访问控制服务器170可以生成错误消息。
在步骤S216中，在获得(例如，生成)密码之后，访问控制服务器170可以经由目录服务器160将包括密码(或其它认证指示符)的认证响应消息或错误消息发送至访问装置120。如果访问装置120接收到错误消息，则操作访问装置120的资源提供商可以结束交互。
在步骤S218中，在接收具有密码的认证响应消息之后，访问装置120可以生成包括密码(或其它认证指示符)、凭证或令牌、验证值、交互值(例如，交易金额)以及可能的其他信息的授权请求消息。在一些实施例中，认证指示符可以是可以在授权请求消息中包括的位，以指示已执行对用户的认证。此位可以在形式因子指示数据字段或其它数据字段中。访问装置120接着可以将授权请求消息传输至传输计算机130。传输计算机130接着可经由处理网络计算机140将授权请求消息传输至授权实体计算机150。
如果授权请求消息包括诸如PAN的凭证，则处理网络计算机140可以从凭证确定授权实体计算机150，并且可以将其传输至授权实体计算机150。如果授权请求消息包括令牌，则处理网络计算机140可以联系令牌服务计算机(未示出)来获得与令牌相关联的真实凭证。
在步骤S222中，处理网络计算机140可以将授权请求消息发送至授权实体计算机150，该授权实体计算机可授权(或拒绝)交易，并生成授权响应消息。
如上文所解释的，对授权响应消息的批准可以取决于所接收的凭证(例如，主账号)的有效性以及密码的验证。例如，授权实体计算机150可以使用与访问控制服务器170共享的密码密钥来解密密码，并且可以恢复各种数据元素。此类数据元素可包括与访问控制服务器170共享的值或计数器、凭证或可由授权实体计算机150访问的其它数据。对授权请求消息的批准还可以取决于与所接收的凭证相关联的账户中的信用或资金的金额。
在步骤S224、S226、S228中，授权响应消息随后可以由授权实体计算机150经由处理网络计算机140和传输计算机130发送至访问装置120。
在稍晚时间点，传输计算机130、处理网络计算机140和授权实体计算机150可以完成交易的清算和结算过程。
在一些实施例中，在已经完成认证之后，认证的结果可以嵌入便携式装置115的发送至授权实体计算机150的芯片数据中。这可以由授权实体计算机150用于授权决策。替代性地，认证过程的记录可以存储在日志中，所述日志存储在目录服务器160和/或访问控制服务器170中。授权实体计算机150可以访问这些日志并检索关于认证的信息以用于授权或争议解决。
图3示出了根据实施例的用户装置300的框图。
用户装置300可以包括用于处理用户装置300的功能的处理器300A。用户装置300还可包括显示器300B和耦合到处理器300A的输入元件300C(例如，触摸屏、键盘、生物特征传感器等)。用户装置300还可包括易失性存储器300D(例如，RAM、DRAM、EEPROM等)、非瞬态计算机可读介质310和耦合到处理器300A的非接触式元件300E。
处理器300A可包括任何合适的一个或多个数据计算装置。处理器300A能够解译代码并执行存储在计算机可读介质310上的指令。处理器300A可包括在精简指令集上操作的中央处理单元(CPU)，并且可包括单核或多核处理器。处理器300A还可包括算术逻辑单元(ALU)和高速缓冲存储器。
在一些实施例中，非接触式元件300E可以具有相关联的无线传递(例如，数据传输)元件的半导体芯片(或其它数据存储元件)的形式实施，所述无线传递元件例如是天线。非接触式元件300E能够使用短程无线通信能力(例如，NFC)传送和接收数据。
计算机可读介质310可以包括可由处理器执行以用于实施实施例的方法的代码。例如，计算机可读介质310可以包括可由处理器300A执行的代码，以用于实施一种方法，所述方法包括：接收临时代码，或者接收询问消息，从用户接收机密，验证机密或将包括该机密的询问响应消息传输至访问控制服务器。
计算机可读介质310可以包含一个或多个访问应用程序310A(例如，数字钱包应用程序、由授权实体或支付处理网络维护的移动银行应用程序)。计算机可读介质310还可以包含多个功能模块，包括加密模块310B、通信模块310C和交互处理模块310C。
加密模块310B可包括可由处理器300A执行的用于执行加密服务的代码，包括对数据进行加密或解密(例如生成授权响应密码)、对数据进行数字签名(例如承诺交易)、执行密钥交换、加密发送至其它系统或装置的消息等。
通信模块310C可包括可由处理器300A执行以允许用户装置300与其它外部装置通信的代码。
交互处理模块310D可包括可由处理器300A执行以执行例如交易处理等交互处理的代码。它可以包括用于获得凭证或令牌，然后将所述凭证或令牌提供给非接触式元件以传输至访问装置的代码。
图4出了根据实施例的访问装置400的框图。
访问装置400包括处理器400A。访问装置还可以包括耦合到处理器400A的显示器400B和输入元件400C(例如，触摸屏、PIN板、麦克风、便携式装置读取器等)。访问装置400还可以包括耦合到处理器的网络接口400D、存储器400E、非接触式元件400F和计算机可读介质410。非接触式元件400F被配置成使用短程无线通信能力(例如，NFC)与用户装置300的非接触式元件300E通信(例如，发送和/或接收数据)。
网络接口400D可包括可以允许访问装置400与外部装置(例如，用户装置、处理计算机、收单方计算机)通信的接口。
计算机可读介质410可以包含多个模块以执行包括交互授权模块410A、加密模块410B、通信模块410C和应用程序410D的实施例的方法。
交互授权模块410A可包括可由处理器400A执行以执行交易授权功能的代码。此类功能可包括生成授权请求消息和接收授权响应消息。
加密模块410B和通信模块410C可以类似于加密模块310B和通信模块310C，并且其描述无需在此处重复。
应用程序410D可以是可由处理器400A执行的用于与目录服务器和访问控制服务器通信的代码。在一些实施例中，如果访问装置是销售点终端，则应用程序410D可以是MPI或商家插件。
计算机可读介质410可以包括指令，所述指令可由处理器执行以使所述访问装置：从与交互中的用户相关联的便携式装置接收凭证或令牌；响应于从所述便携式装置接收所述凭证或令牌，将包括所述凭证或令牌的认证请求消息传输至访问控制服务器，所述访问控制服务器向与所述用户相关联的用户装置传输询问消息；接收包括由所述访问控制服务器获得的认证指示符的认证响应消息；并将包括所述认证指示符以及所述凭证或所述令牌的授权请求消息传输至授权实体计算机，其中所述授权实体计算机使用所述凭证或所述令牌和所述认证指示符确定是否授权所述交互。
图5示出根据实施例的访问控制服务器500的框图。
访问控制服务器500包括处理器500A，以用于处理访问控制服务器500的功能。访问控制服务器500还可以包括耦合到处理器500A的数据存储器500B。访问控制服务器500还可以包括网络接口500C，该网络接口可以包括可以允许访问控制服务器500与外部装置(例如，访问装置、目录服务器计算机等)通信的接口，并且可以耦合到处理器500A。访问控制服务器500还可包括耦合到处理器的计算机可读介质510。
数据存储装置500B可以存储凭证或令牌与用户信息的映射。数据存储装置500B还可以存储临时代码(例如，一次性口令)以及真实用户的机密。数据存储装置500B还可以存储用于生成密码的各种密码密钥。
计算机可读介质510可以包含多个软件模块。该模块可包括数据检索模块510A、密码生成模块510B、通信模块510C、验证模块510D和代码生成模块510E。
数据检索模块510A可包括可由处理器500A执行以基于所接收的用户凭证或令牌在数据存储装置500B中查找用户信息的代码。
密码生成模块510B可包括可由处理器500A执行的如上文所述用于生成一个或多个密码的代码。
通信模块510C可包括可由处理器500A执行以允许访问控制服务器500与其它外部实体通信的代码。
验证模块510D可包括可由处理器500A执行以执行上述验证过程中的任一个的代码，所述验证过程包括机密、数字证书、用户凭证或令牌等的验证。例如，验证模块510和处理器500A可以将从用户接收的机密与存储的机密进行比较以确定用户是否真实。在另一实例中，验证模块510D和处理器500A可将所接收的临时代码与先前生成的临时代码进行比较。
代码生成模块510E可包括可由处理器500A执行以生成可用于上述过程的代码的代码。代码生成模块510E可包括用于随机数发生器的代码，该随机数发生器可用于生成临时代码，例如一次性口令。
计算机可读介质510可以包括代码，所述代码可由处理器500A执行以使得访问控制服务器500执行包括以下各项的方法：在访问装置从用户的便携式装置接收凭证或令牌之后，由访问控制服务器从所述访问装置接收包括所述凭证或所述令牌的认证请求消息；响应于接收到所述认证请求消息，由所述访问控制服务器向与所述用户相关联的用户装置传输询问消息；由所述访问控制服务器获得认证指示符；和由所述访问控制服务器将包括所述认证指示符的认证响应消息传输至所述访问装置。
本发明的实施例提供多个优势。实施例可以允许可能比销售点终端或其它专用访问装置更不专业的访问装置(诸如智能手机)安全地用于处理交易。在本发明的实施例中，用户的机密从不直接输入到可能不安全的访问装置中。在所描述的实施例中，可以将临时代码提供给用户并输入到访问装置中。此代码可以是黑客或诈骗者不能再次使用的一次性口令。在其它实施例中，用户不需要将任何内容输入到访问装置中，而是可以简单地将自己认证为由访问控制服务器在用户自己的用户装置上操作的本地应用程序。在这两种情况下，用户的机密都受到保护，用户可以使用访问装置来访问任何所需的资源。
本申请中描述的任何软件组件或功能可以使用例如常规的或面向对象的技术并且使用任何合适的计算机语言(例如，Java、C++或Perl)实现为由处理器执行的软件代码。软件代码可作为一系列指令或命令存储在计算机可读介质上，所述计算机可读介质例如随机存取存储器(RAM)、只读存储器(ROM)、例如硬盘驱动器等磁性介质或例如CD-ROM等光学介质。任何此类计算机可读介质可驻存在单个计算设备上或单个计算设备内，并且可以存在于系统或网络内的不同计算设备上或不同计算设备内。
以上描述是说明性的而非限制性的。本发明的许多变化在所属领域的技术人员查阅本公开后可变得显而易见。因此，本发明的范围可不参考以上描述来确定，而是可参考待决的权利要求以及其完整范围或等同物来确定。
在不脱离本发明的范围的情况下，任何实施例的一个或多个特征可与任何其它实施例的一个或多个特征组合。
除非具体地相反指示，否则“一(a/an)”或“所述(the)”的叙述打算意指“一个或多个”。
上文提及的所有专利、专利申请、公开案和描述都出于所有目的以全文引用的方式并入。并非承认它们是现有技术。

Claims (20)

1.一种方法，包括：
由访问装置从与交互中的用户相关联的便携式装置接收凭证或令牌；
响应于从所述便携式装置接收所述凭证或所述令牌，由所述访问装置将包括所述凭证或所述令牌的认证请求消息传输至访问控制服务器，所述访问控制服务器将询问消息传输至与所述用户相关联的用户装置；
由所述访问装置从所述访问控制服务器接收包括认证指示符的认证响应消息，以及
由所述访问装置将包括所述认证指示符和所述凭证或所述令牌的授权请求消息传输至授权实体计算机。
2.根据权利要求1所述的方法，其中所述询问消息包括一次性口令，并且所述方法还包括：
由所述访问装置从所述用户接收所述一次性口令；以及
由所述访问装置将所述一次性口令传输至所述访问控制服务器，其中所述访问控制服务器在验证所述一次性口令之后生成所述认证指示符。
3.根据权利要求1所述的方法，其中所述便携式装置包括本地应用程序，并且其中所述询问消息包括带外认证请求，所述带外认证请求请求所述用户将机密输入到所述本地应用程序中，所述机密接着由所述用户装置传输至所述访问控制服务器，所述访问控制服务器在所述访问控制服务器验证所述机密之后生成所述认证指示符。
4.根据权利要求1所述的方法，其中将所述认证请求消息传输至所述访问控制服务器包括经由目录服务器将所述认证请求消息传输至所述访问控制服务器。
5.根据权利要求1所述的方法，其中所述认证指示符是代码或二进制数据，并且其中所述便携式装置包括本地应用程序，并且其中所述询问消息包括带外认证请求，所述带外认证请求请求所述用户将机密输入到所述本地应用程序中，所述本地应用程序使用所述机密认证所述用户，生成所述认证指示符并且将所述认证指示符传输至所述访问控制服务器。
6.根据权利要求1所述的方法，由所述访问装置从与所述用户相关联的便携式装置接收所述凭证或所述令牌包括由所述访问装置从所述便携式装置接收所述凭证。
7.根据权利要求1所述的方法，其中所述便携式装置呈卡的形式，并且所述用户装置呈手机的形式。
8.根据权利要求1所述的方法，其中所述便携式装置在所述用户装置内。
9.根据权利要求1所述的方法，其中所述认证指示符是利用存储在所述访问控制服务器处的第一对称密钥生成的密码，并且使用存储在所述授权实体计算机处的第二对称密钥在所述授权实体计算机处验证所述密码。
10.根据权利要求1所述的方法，其中所述访问装置呈访问终端的形式，所述访问终端允许所述用户访问安全位置。
11.根据权利要求1所述的方法，其中所述认证指示符是代码或二进制数据。
12.根据权利要求11所述的方法，其中所述便携式装置包括非接触式元件，所述非接触式元件能够与所述访问装置中的RF读取器无线通信。
13.根据权利要求11所述的方法，其中所述认证指示符是密码，并且其中所述询问消息包括临时代码，并且所述方法还包括：
由所述访问装置从所述用户接收所述临时代码；以及
由所述访问装置将所述临时代码传输至所述访问控制服务器，其中所述访问控制服务器在验证所述临时代码之后生成所述密码。
14.根据权利要求1所述的方法，其中所述认证指示符是密码，并且其中所述询问消息包括一次性口令，并且所述方法还包括：
由所述访问装置经由无线通信信道从所述用户装置接收所述一次性口令；以及
由所述访问装置将所述一次性口令传输至所述访问控制服务器，其中所述访问控制服务器在验证所述一次性口令之后生成所述密码。
15.一种访问装置，包括：
处理器；以及
非瞬态计算机可读介质，所述非瞬态计算机可读介质包括指令，所述指令能由所述处理器执行以使所述访问装置：
从与交互中的用户相关联的便携式装置接收凭证或令牌；
响应于从所述便携式装置接收所述凭证或所述令牌，将包括所述凭证或所述令牌的认证请求消息传输至访问控制服务器，所述访问控制服务器将询问消息传输至与所述用户相关联的用户装置；
从所述访问控制服务器接收包括认证指示符的认证响应消息；以及
将包括所述认证指示符和所述凭证或所述令牌的授权请求消息传输至授权实体计算机。
16.一种方法，包括：
在访问装置从用户的便携式装置接收凭证或令牌之后，由访问控制服务器从所述访问装置接收包括所述凭证或所述令牌的认证请求消息；
响应于接收到所述认证请求消息，由所述访问控制服务器将询问消息传输至与所述用户相关联的用户装置；
由所述访问控制服务器获得认证指示符；以及
由所述访问控制服务器向所述访问装置传输包括所述认证指示符的认证响应消息。
17.根据权利要求16所述的方法，其中所述用户装置包括本地应用程序。
18.根据权利要求17所述的方法，其中所述认证指示符是密码，并且其中所述方法还包括：
由所述用户装置上的本地应用程序从所述用户接收机密，并且其中所述方法还包括：
由所述访问控制服务器在获得所述密码之前验证所述机密，其中获得所述认证指示符包括生成所述认证指示符。
19.根据权利要求17所述的方法，其中所述询问消息包括一次性口令。
20.根据权利要求19所述的方法，其中所述认证指示符是密码，并且其中所述方法还包括：
在生成所述密码之前，由所述访问控制服务器从所述访问装置接收所述一次性口令。
CN202180018775.XA 2020-03-05 2021-03-05 使用移动装置在访问控制服务器处进行用户认证 Pending CN115315924A (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US202062985449P 2020-03-05 2020-03-05
US62/985,449 2020-03-05
PCT/US2021/021044 WO2021178773A1 (en) 2020-03-05 2021-03-05 User authentication at access control server using mobile device

Publications (1)

Publication Number Publication Date
CN115315924A true CN115315924A (zh) 2022-11-08

Family

ID=77614250

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202180018775.XA Pending CN115315924A (zh) 2020-03-05 2021-03-05 使用移动装置在访问控制服务器处进行用户认证

Country Status (4)

Country Link
US (1) US20230062507A1 (zh)
EP (1) EP4115587A4 (zh)
CN (1) CN115315924A (zh)
WO (1) WO2021178773A1 (zh)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11216799B1 (en) * 2021-01-04 2022-01-04 Capital One Services, Llc Secure generation of one-time passcodes using a contactless card
US20220400103A1 (en) * 2021-06-10 2022-12-15 Uber Technologies, Inc. User authentication via telephonic communication
EP4402586A1 (en) * 2021-09-15 2024-07-24 Visa International Service Association Multiple interaction processing

Family Cites Families (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7707120B2 (en) * 2002-04-17 2010-04-27 Visa International Service Association Mobile account authentication service
US10255601B2 (en) * 2010-02-25 2019-04-09 Visa International Service Association Multifactor authentication using a directory server
WO2013043740A1 (en) * 2011-09-19 2013-03-28 Visa International Service Association Issuer trusted party system
US8868462B2 (en) * 2012-02-07 2014-10-21 Izettle Merchant Services Ab Hub and spokes pin verification
US9053304B2 (en) * 2012-07-13 2015-06-09 Securekey Technologies Inc. Methods and systems for using derived credentials to authenticate a device across multiple platforms
SG11201602093TA (en) * 2013-09-20 2016-04-28 Visa Int Service Ass Secure remote payment transaction processing including consumer authentication
US10210521B2 (en) * 2015-03-17 2019-02-19 Visa International Servicer Association Multi-device transaction verification
US20170186003A1 (en) * 2015-12-28 2017-06-29 Ncr Corporation Secondary authentication of network transactions
GB2599057B (en) * 2017-02-03 2022-09-21 Worldpay Ltd Terminal for conducting electronic transactions
US10491389B2 (en) * 2017-07-14 2019-11-26 Visa International Service Association Token provisioning utilizing a secure authentication system
US11475445B2 (en) * 2018-04-27 2022-10-18 Visa International Service Association Secure authentication system with token service
WO2020041594A1 (en) * 2018-08-22 2020-02-27 Visa International Service Association Method and system for token provisioning and processing
US20220156742A1 (en) * 2019-06-12 2022-05-19 Visa International Service Association System and method for authorizing a transaction
CN114245889A (zh) * 2019-08-07 2022-03-25 维萨国际服务协会 用于基于行为生物测定数据认证交易的系统、方法和计算机程序产品
US20210217005A1 (en) * 2020-01-13 2021-07-15 Mastercard International Incorporated Tokenization of contactless cards
US20220198440A1 (en) * 2020-12-18 2022-06-23 Visa International Service Association Method, System, and Computer Program Product for Generating a Token for a User Based on Another Token of Another User
WO2023033818A1 (en) * 2021-09-01 2023-03-09 Visa International Service Association System, method, and computer program product for dynamic passcode communication

Also Published As

Publication number Publication date
EP4115587A4 (en) 2023-05-31
EP4115587A1 (en) 2023-01-11
WO2021178773A1 (en) 2021-09-10
US20230062507A1 (en) 2023-03-02

Similar Documents

Publication Publication Date Title
US10515369B2 (en) Multi-device transaction verification
US12008088B2 (en) Recurring token transactions
US20210243029A1 (en) Biometric verification process using certification token
AU2017206119B2 (en) Systems and methods for device push provisioning
CN113507377B (zh) 用于使用基于交易特定信息的令牌和密码的交易处理的装置和方法
US11750368B2 (en) Provisioning method and system with message conversion
US20230062507A1 (en) User authentication at access control server using mobile device
US11202166B2 (en) Method and system for location-based resource access
US20220353253A1 (en) Secure and accurate provisioning system and method
WO2022159345A1 (en) Mobile user authentication system and method
US20240291812A1 (en) Token processing system and method
EP4142216A1 (en) Digital identity authentication system and method
CN112889241A (zh) 用于账户验证的核实服务
US12079807B2 (en) Validation service for account verification
US20230153800A1 (en) Token processing for access interactions
WO2023224735A1 (en) Efficient and secure token provisioning
WO2024168176A1 (en) Variable cross platform interaction continuity
EP4409831A1 (en) Remote identity interaction
WO2024077127A1 (en) Messaging flow for remote interactions using secure data

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination