CN115907757A - 数字身份认证系统和方法 - Google Patents

数字身份认证系统和方法 Download PDF

Info

Publication number
CN115907757A
CN115907757A CN202211017973.7A CN202211017973A CN115907757A CN 115907757 A CN115907757 A CN 115907757A CN 202211017973 A CN202211017973 A CN 202211017973A CN 115907757 A CN115907757 A CN 115907757A
Authority
CN
China
Prior art keywords
user
server computer
identity server
signed challenge
computer
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202211017973.7A
Other languages
English (en)
Inventor
R·K·普拉萨德
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Visa International Service Association
Original Assignee
Visa International Service Association
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Visa International Service Association filed Critical Visa International Service Association
Publication of CN115907757A publication Critical patent/CN115907757A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0807—Network architectures or network communication protocols for network security for authentication of entities using tickets, e.g. Kerberos
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06K—GRAPHICAL DATA READING; PRESENTATION OF DATA; RECORD CARRIERS; HANDLING RECORD CARRIERS
    • G06K19/00—Record carriers for use with machines and with at least a part designed to carry digital markings
    • G06K19/06—Record carriers for use with machines and with at least a part designed to carry digital markings characterised by the kind of the digital marking, e.g. shape, nature, code
    • G06K19/06009—Record carriers for use with machines and with at least a part designed to carry digital markings characterised by the kind of the digital marking, e.g. shape, nature, code with optically detectable marking
    • G06K19/06037—Record carriers for use with machines and with at least a part designed to carry digital markings characterised by the kind of the digital marking, e.g. shape, nature, code with optically detectable marking multi-dimensional coding
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/08—Payment architectures
    • G06Q20/20—Point-of-sale [POS] network systems
    • G06Q20/204—Point-of-sale [POS] network systems comprising interface for record bearing medium or carrier for electronic funds transfer or payment credit
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/32—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using wireless devices
    • G06Q20/327—Short range or proximity payments by means of M-devices
    • G06Q20/3278—RFID or NFC payments by means of M-devices
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/382—Payment protocols; Details thereof insuring higher security of transaction
    • G06Q20/3821—Electronic credentials
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G06Q20/401—Transaction verification
    • G06Q20/4014—Identity check for transactions
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G06Q20/409—Device specific authentication in transaction processing
    • G06Q20/4097—Device specific authentication in transaction processing using mutual authentication between devices and transaction partners
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H04L9/3231—Biological data, e.g. fingerprint, voice or retina
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3234—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving additional secure or trusted devices, e.g. TPM, smartcard, USB or software token
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/10—Integrity
    • H04W12/108—Source integrity

Abstract

公开了一种由身份服务器计算机执行的用户认证方法。所述方法包括由服务器从访问装置接收用户装置标识符。所述服务器将质询发送至由用户操作的移动装置，并且所述移动装置对所述质询进行签名。所述服务器接收并验证所述已签名的质询，然后将所述已签名的质询或其部分提供至访问装置，所述访问装置使用所述已签名的质询处理交易。

Description

数字身份认证系统和方法
相关申请交叉引用
无
背景技术
交易中的数据安全性是待解决的问题。当前保护交易(例如访问交易)安全的方法可以包括使用密码或生物特征来认证用户。此类密码或生物特征可以在访问装置处输入，并且如果输入的数据正确，则可准许用户对资源进行访问。然而，此类常规方法可能不安全并且可进行改进。例如，未经授权的人可能盗用和使用用户密码。此外，可能会侵入存储用户的生物特征的数据库并将其发送至访问装置，因此用户的生物特征可能无法完全有效地防止欺诈。
另外，许多常规方法需要用户与访问装置物理地交互以访问所需资源。与访问装置的物理交互可能是不合需要的，特别是在环境中存在例如COVID-19之类的病原体时。
本公开的实施例单独地以及共同地解决此问题和其它问题。
发明内容
本发明的一个实施例包括一种方法。所述方法包括：由身份服务器计算机在交易中从访问装置接收凭证或其衍生物；响应于接收到所述凭证或其衍生物，由所述身份服务器计算机将质询发送至由用户操作的移动装置；由所述身份服务器计算机接收已签名的质询，其中所述已签名的质询是使用所述移动装置上的私钥进行签名的；由所述身份服务器计算机使用与所述私钥相关联的公钥来验证所述已签名的质询；以及由所述身份服务器计算机将所述已签名的质询或其部分发送至所述访问装置，其中所述访问装置生成包括所述已签名的质询或其所述部分的授权请求消息。
本发明的另一实施例涉及一种身份服务器计算机。所述身份服务器计算机包括：处理器；和非瞬态计算机可读介质，其包括指令，所述指令能由所述处理器执行以执行包括以下各项的操作：由所述身份服务器计算机在交易中从访问装置接收凭证或其衍生物；响应于接收到所述凭证或其衍生物，由所述身份服务器计算机将质询发送至由用户操作的移动装置；由所述身份服务器计算机接收已签名的质询，其中所述已签名的质询是使用所述移动装置上的私钥进行签名的；由所述身份服务器计算机使用与所述私钥相关联的公钥来验证所述已签名的质询；以及由所述身份服务器计算机将所述已签名的质询或其部分发送至所述访问装置，其中所述访问装置生成包括所述已签名的质询或其所述部分的授权请求消息。
本发明的另一实施例包括一种方法。所述方法包括：由访问装置在交易中从用户的用户装置接收凭证或其衍生物；由所述访问装置将所述凭证或其衍生物发送至身份服务器计算机；由所述访问装置从所述身份服务器计算机接收已签名的质询，所述已签名的质询由用户的移动装置创建；由所述访问装置生成授权请求消息，所述授权请求消息包括所述已签名的质询；由所述访问装置将所述授权请求消息发送至处理网络计算机以进行所述交易的授权。
下文描述关于本发明的实施例的其它细节。
附图说明
图1示出根据本发明的实施例的认证系统的框图。
图2示出用于从现有账户发行数字身份账户的系统的框图，以及说明由系统执行的方法的过程流。
图3A和3B示出根据一些实施例的用于在用户与访问装置之间执行认证的泳道图。
图4示出根据实施例的移动装置的框图。
图5示出根据实施例的访问装置的框图。
图6示出根据实施例的身份服务器计算机的框图。
具体实施方式
在论述本公开的实施例之前，可以进一步详细描述一些术语。
“用户”可以包括个别或计算装置。在一些实施例中，用户可以与一个或多个个人账户、用户装置和/或移动装置相关联。在一些实施例中，用户可以是持卡人、账户持有人或消费者。
“用户装置”可以是用户可以与(例如，支付卡或移动电话)交互的任何合适的装置。用户装置可采用任何合适的形式。用户装置的一些示例包括具有磁条或非接触元件(例如，包括非接触芯片和天线)的卡(例如，借记卡、信用卡和预付卡等支付卡)、蜂窝电话、PDA、个人计算机(PC)、平板计算机等。在一些实施例中，移动装置可包括用户装置。
“移动装置”(有时被称作移动通信装置)可以包括用户可以运输或操作的任何电子装置，所述装置还可以提供与网络的远程通信能力。移动通信装置可以使用移动电话(无线)网络、无线数据网络(例如，3G、4G或类似网络)、Wi-Fi、蓝牙、低功耗蓝牙(BLE)、Wi-Max或可以提供对例如因特网或专用网络等网络的访问的任何其它通信介质来进行通信。移动装置的实例包括移动电话(例如，蜂窝电话)、PDA、平板计算机、上网本、膝上型计算机、可穿戴装置(例如手表)、例如汽车和摩托车之类的车辆、个人音乐播放器、手持式专用阅读器等。移动装置可以包括用于执行此类功能的任何合适的硬件和软件，并且还可以包括多个装置或组件(例如，当装置通过与另一装置进行网络共享(即，使用所述另一装置作为调制解调器)而远程访问网络时，一起使用的两个装置可以被认为是单个移动装置)。
“应用程序”可以是用于特定目的的计算机程序。应用程序的示例可包括运输应用程序、安全数据访问应用程序、银行应用程序、数字钱包应用程序、赛事票务应用程序、忠诚度奖励应用程序等。在一些实施例中，应用程序可与由身份服务器计算机维持的用户的账户相关联。
“资源提供商”可以是可以提供例如商品、服务、信息和/或访问等资源的实体。资源提供商的实例包括商家、数据提供商、交通部门、政府实体、场地和住宅运营商等。
“访问装置”可以是提供对远程系统和/或资源的访问的任何合适的装置。访问装置还可用于与商家计算机、交易处理计算机、认证计算机或任何其它计算机通信。访问装置通常可以位于任何合适的位置处，例如位于商家所在位置处。访问装置可以采用任何合适形式。访问装置的一些实例包括POS或销售点装置(例如，POS终端)、蜂窝电话、PDA、个人计算机(PC)、平板PC、手持式专用读取器、机顶盒、电子现金出纳机(ECR)、自动柜员机(ATM)、虚拟现金出纳机(VCR)、查询一体机、安全系统、访问系统等。访问装置可以使用任何合适的接触式或非接触式操作模式来从用户装置或移动装置发送或接收数据。在访问装置可以包括POS终端的一些实施例中，可使用任何合适的POS终端并且其可以包括读取器、处理器和计算机可读介质。读取器可以包括任何合适的接触或非接触操作模式。例如，示例性读卡器可以包括射频(RF)天线、光学扫描仪、条形码读取器或磁条读取器，以与支付装置和/或移动装置交互。
“密钥”或“加密密钥”可以包括用于加密算法中以将数据变换为另一表示的一条信息。密码算法可以是将原始数据变换成替代表示的加密算法，或将加密信息变换回到原始数据的解密算法。密码算法的实例可包括三重数据加密标准(TDES)、数据加密标准(DES)、高级加密标准(AES)等。
“授权实体”可以是对请求授权的实体。授权实体的实例可以是发行方、政府机构、文档存储库、访问管理员等。“发行方”通常可以指维护用户账户的商业实体(例如，银行)。发行方也可以向客户发行存储在例如蜂窝电话、智能卡、平板计算机或膝上型计算机之类的用户装置上的支付凭证。
“授权请求消息”可以是请求对交易的授权的电子消息。在一些实施例中，授权请求消息被发送给交易处理计算机和/或支付卡的发行方，以请求对交易授权。根据一些实施例的授权请求消息可符合ISO8583，这是针对交换与用户使用支付装置或支付账户进行的支付相关联的电子交易信息的系统的标准。授权请求消息可包括可与支付装置或支付账户相关联的发行方账户标识符。授权请求消息还可包括与“标识信息”对应的额外数据元素，仅举例来说，包括：服务代码、CVV(卡验证值)、dCVV(动态卡验证值)、PAN(主账号或“账号”)、支付令牌、用户名、到期日期等等。授权请求消息还可包括“交易信息”，例如与当前交易相关联的任何信息，例如交易金额、商家标识符、商家位置、收单方银行标识号(BIN)、卡片接受器ID、标识所购买的项目的信息等，以及可用以确定是否标识和/或授权交易的任何其它信息。
“授权响应消息”可以是由发行金融机构或支付处理网络生成的对授权请求消息的电子消息应答。仅作为实例，授权响应消息可以包括以下状态指示符中的一个或多个：批准-交易被批准；拒绝-交易未被批准；或呼叫中心-响应未决的更多信息，商家必须呼叫免费授权电话号码。授权响应消息还可以包括授权代码，其可以是信用卡发行银行响应于电子消息中的授权请求消息(直接地或通过支付处理网络)返回给商家的访问装置(例如，POS设备)的指示交易被批准的代码。所述代码可以用作授权的证据。如上所述，在一些实施例中，支付处理网络可向商家生成或转发授权响应消息。
“服务器计算机”可以包括功能强大的计算机或计算机集群。例如，服务器计算机可以是大型主机、小型计算机集群，或者像单元一样工作的一组服务器。在一个实例中，服务器计算机可以是耦合到Web服务器的数据库服务器。服务器计算机可以包括一个或多个计算设备，并且可以使用各种计算结构、布置和编译中的任一种来服务来自一个或多个客户端计算机的请求。
“处理器”可以包括任何合适的一个或多个数据计算装置。处理器可以包括一起工作以实现期望的功能的一个或多个微处理器。处理器可以包括CPU，所述CPU包括足以执行用于执行用户和/或系统生成的请求的程序组件的至少一个高速数据处理器。CPU可以是微处理器，例如AMD的Athlon、Duron和/或Opteron；IBM和/或摩托罗拉(Motorola)的PowerPC；IBM和索尼(Sony)的Cell处理器；英特尔(Intel)的Celeron、Itanium、Pentium、Xeon和/或XScale；和/或类似处理器。
“存储器”可以是可存储电子数据的任何合适的一个或多个装置。合适的存储器可包括非瞬态计算机可读介质，其存储可由处理器执行以实现所要方法的指令。存储器的实例可以包括一个或多个存储器芯片、磁盘驱动器等。此类存储器可使用任何合适的电、光和/或磁操作模式来操作。
图1示出根据本发明的实施例的认证系统100的框图。
在认证系统100中，用户102可以操作用户装置103和移动装置104。在一些实施例中，用户装置103可以是卡，例如由用户102持有的支付卡，而移动装置104可以是由用户102操作的智能手机。在一些实施例中，移动装置104可以包括用户装置103，并且可以由单个装置体现。例如，移动装置104可以是智能手机，并且用户装置103可以是用户装置103上的虚拟访问卡(例如，虚拟支付卡)。
用户装置102可以与访问装置106通信，通常通过短程通信机构，例如NFC(近场通信)、Wi-FiTM或BluetoothTM。
移动装置104可以通过例如Wi-FiTM或蜂窝网络之类的网络与远程定位的身份服务器计算机108通信。身份服务器计算机108可以与数字身份数据库110、访问装置106和处理网络计算机112通信。在一些实施例中，由例如发行方之类的授权实体操作的授权实体计算机114可以与处理网络计算机112通信。
图1(以及后续图式)中的系统中的组件可以通过任何合适的通信信道或通信网络彼此进行操作性通信。合适的通信网络可以是下列中的任一个和/或组合：直接互连、互联网、局域网(LAN)、城域网(MAN)、作为互联网节点的运行任务(OMNI)、安全定制连接、广域网(WAN)、无线网络(例如，采用协议例如但不限于无线应用协议(WAP)、I-模式等)等。计算机、网络与装置之间的消息可使用安全通信协议发送，所述安全通信协议例如但不限于文件传输协议(FTP)；超文本传输协议(HTTP)；以及安全超文本传输协议(HTTPS)。
下面将参照图3A-3B描述使用图1中的系统的认证过程。然而，在执行认证之前，可以创建用户装置标识符和对应的用户装置，并且可以绑定到用户的身份。下文将参照图2更详细地描述此过程。
图2示出系统200的框图，以及包括使用由操作授权实体计算机114的授权实体持有的用户的现有账户发布数字身份账户的方法的对应过程流。系统200包括图1中的许多组件，并且此处不需要重复完整描述。
图2示出与可以操作用户装置制造商计算机116的用户装置制造商通信的授权实体计算机114。授权实体计算机114还可以与移动装置104通信，所述移动装置可以由用户102操作。移动装置104可以与身份服务器计算机108通信，所述身份服务器计算机又可以与数字身份数据库110通信。
用户102可以具有由操作授权实体计算机114的授权实体管理的现有账户(例如，支付账户)。现有账户可以由例如主账号之类的主账户标识符来标识。在一些实施例中，现有账户或主账号也可由用户装置上的用户装置标识符(例如，卡标识符)标识。用户装置标识符可以链接到主账号。
在一些实施例中，用户102可能希望使用主账号将现有账户绑定到数字身份账户。数字身份账户可以是存储用户102的账户信息的账户。账户信息可以包括由移动装置104生成的公钥-私钥对中的公钥。公钥-私钥对中的私钥存储在移动装置104上的安全存储器中。在移动装置104认证用户102之后，移动装置104上的私钥可以由移动装置104中的处理器访问。在一些实施例中，可以在移动装置104生成公钥-私钥对之前或之后生成数字身份账户。
图2示出在用户102从操作授权实体计算机114的授权实体获得新用户装置的情况。用户102可以最初从授权实体计算机114请求用户装置，或者操作授权实体计算机114的授权实体可以在没有来自用户102的任何具体提示的情况下将用户装置提供给用户102。用户102最终获得的用户装置可以具有例如QR码之类的码，其可以链接到数字身份数据库110中的数字身份账户。所请求的用户装置可以是访问卡，例如访问标记、支付卡等。
在步骤S200A中，用户102可以将数据输入到移动装置104中，以使移动装置104创建绑定请求。绑定请求请求生成主账号与数字身份账户之间的绑定。如上所述，主账号可能已经由操作授权实体计算机114的授权实体预先发行给用户102。数字身份账户可以由身份服务器计算机108管理，并且与数字身份账户有关的数据可以存储在数字身份数据库110中。
在一些实施例中，绑定请求可以由安装在移动装置104上的授权实体应用程序(例如，银行应用程序或建筑物访问应用程序)生成。在此类实施例中，移动装置104上的授权实体应用程序可被特别设计成与授权实体计算机114通信。此外，为了生成绑定请求，用户102可能需要使用授权实体应用程序(例如，经由密码或生物特征)认证他自己。
绑定请求可包括例如链接到主账号卡标识符之类的用户装置标识符。用户装置标识符可以由用户102提供，或者其可能已经由移动装置104上的授权实体应用程序自动生成。在一些实施例中，用户装置标识符可以是与主账号分离的标识符。用户装置标识符可以具有与主账号相同的形式，或者可以具有不同的形式(例如，主账号和用户装置标识符可以具有不同数目的字符)。
在步骤S200B中，在生成绑定请求之后，移动装置104可以将绑定请求发送至授权实体计算机114。
在步骤S202中，在接收到绑定请求之后，授权实体计算机114可标识链接到操作移动装置104的用户的主账号。在一些实施例中，可以响应于用户将他自己认证到移动装置104上的授权实体应用程序而标识用户的主账号。然后，授权实体计算机114可以修改绑定请求以包括与主账号相关联的账户细节。示例性账户细节可以包括与主账号相关联的到期日期、用户102的名称、用户102的家庭地址、与移动装置104相关联的移动装置标识符(例如，电话号码、SIM卡号等)等。已修改的绑定请求可以包括主账号、用户装置标识符和账户细节。授权实体计算机114可以接着将已修改的绑定请求发送至身份服务器计算机108。
在接收到绑定请求之后，身份服务器计算机108可以基于绑定请求中的账户细节来标识用户102。例如，身份服务器计算机108可以使用例如用户102的名称之类的账户细节来标识与用户102相关联的数字身份账户(由数字身份账户标识符标识)。在此类实施例中，身份服务器计算机108可能先前已向用户102发行数字身份账户。用户102可能已经在身份服务器计算机108执行的先前注册过程中向身份服务器计算机108提供信息，例如他的姓名。
在用户的移动装置104与身份服务器计算机108之间的先前注册过程期间，用户可能已经将例如认证器应用程序之类的应用程序从身份服务器计算机108下载到移动装置104。认证器应用程序可能已生成公钥-私钥对，并且接着将私钥存储在移动装置104上的安全存储器(例如，安全元件)中。与身份服务器计算机108相关联的认证器应用程序可以接着将公钥-私钥对中的公钥发送至身份服务器计算机108以与数字身份账户相关联地存储。用户102还可以在注册过程期间将例如用户的家庭地址、移动装置104的移动装置标识符等信息提供到身份服务器计算机108。用户102还可以向认证应用程序提供认证数据，例如秘密或参考生物特征模板，使得所述认证数据可以存储在移动装置104上。
在步骤S204中，身份服务器计算机108可以生成质询并将质询发送至移动装置104。质询可以是随机值或其它数据。
在步骤S206中，在接收到质询之后，移动装置104上的认证器应用程序可以请求用户102认证他自己。例如，用户102可能需要向认证器应用程序提供密码、生物特征或单独的认证装置以进行认证。认证用户102所需的数据将存储在移动装置104的安全存储器中，并且将可由认证器应用程序访问。例如，如果由认证器应用程序执行的认证过程是生物特征认证过程，则用户的生物特征模板(例如，视网膜扫描模板、指纹模板、面部模板等)将存储在移动装置104中。在一些实例中，认证可包括生物特征认证(例如，测量用于生成数字身份账户的相同生物特征)、密码认证(例如，输入用于生成数字身份账户的密码)、呈现认证密钥(例如，呈现USB认证密钥)等中的一个或多个。
在步骤S208中，用户102可以响应认证请求。例如，当认证请求包括生物特征认证时，用户102可以使用移动装置104中的生物特征传感器(例如，摄像机、指纹扫描器、麦克风等)来测量生物特征(例如，面部扫描、虹膜扫描、耳扫描、指纹、语音记录等)，并且根据生物特征测量创建候选生物特征模板。然后可以将生物特征模板与先前存储在移动装置104上的参考生物特征模板进行比较。如果两个生物特征模板匹配(例如，它们类似，之间的差在所允许的某一阈值差内)，则移动装置104可以访问与数字身份账户相关联的私钥。移动装置104可以使用私钥来对质询进行签名。
在步骤S210中，在生成已签名的质询之后，移动装置104可以将已签名的质询发送至身份服务器计算机108。
在步骤S212中，在接收到已签名的质询之后，身份服务器计算机108可以使用与数字身份账户相关联的公钥来验证已签名的质询。在验证已签名的质询之后，身份服务器计算机108可生成从授权实体计算机114接收到的主账号与由身份服务器计算机108管理的用户102的数字身份账户的绑定。身份服务器计算机108可以将从授权实体计算机114接收的数据(例如，账户信息、用户装置标识符等)连同用户的数字身份账户身份信息一起存储在数字身份数据库110中。
在步骤S214中，在使来自授权实体计算机114的数据与数字身份账户相关联之后，身份服务器计算机108可以用服务器密钥对中的服务器密钥对用户装置标识符进行加密。服务器密钥对可以包括对称密钥对。用户装置标识符可以是凭证的实例，并且加密的用户装置标识符可以是凭证的衍生物的实例。身份服务器计算机108可以接着将加密的用户装置标识符发送至授权实体计算机114。虽然需要对用户装置标识符进行加密以保护用户装置标识符，但在其它实施例中，用户装置标识符不需要加密并且可以作为明文发送。
在步骤S216中，在从身份服务器计算机108接收到加密的用户装置标识符和其它数据之后，授权实体计算机114可以将请求发送至用户装置制造商计算机116，以向用户102提供包括加密的卡标识符的用户装置。在一些实施例中，用户装置制造商计算机116可以生成具有对加密的卡标识符进行编码的存储器的卡，或对加密的卡标识符进行编码的QR码。在其它实施例中，加密的卡标识符可以简单地印刷在卡上。
在接收到供应用户装置的请求之后，用户装置制造商计算机116可以创建用户装置。用户装置可以包括加密的卡标识符。例如，用户装置制造商计算机116可以在存在于用户装置上的QR码中对加密的卡标识符进行编码。在创建用户装置之后，在步骤S218中，用户装置制造商计算机116可以将用户装置发送至用户102(例如，经由邮件或通过下载)。
在获得用户装置之后，用户102可以在例如金融交易、用于访问安全位置的交易等交易中使用用户装置。参考图3A-3B描述在此类交易的情况下执行的不同认证过程。
图3A和3B示出泳道图，所述泳道图示出了支付交易中的验证过程，例如在支付交易期间，例如操作例如销售点终端之类的访问装置的商家的资源提供商接近用户的支付交易。
用户102可能希望与操作访问装置106的资源提供商进行交易(例如，从其购买商品和/或服务)。例如，用户102可以具有他们希望从资源提供商购买的多个商品和/或服务。资源提供商可以确定与购买相关联的交易细节(例如，用户102希望购买的商品和/或服务的列表、交易金额、货币类型、资源提供商名称等)。处理网络计算机112或授权实体计算机114(未在图3A或3B中示出)可能需要用户102在交易被授权之前认证他自己。如果交易的情形超过某一预定风险阈值(例如，交易金额非常高)，则可能发生这种情况。
在步骤S300中，用户102可以通过向访问装置106呈现QR码来发起交易。QR码可以由用户装置103呈现。QR码可以对先前描述的用户装置标识符或加密的用户装置标识符进行编码。在图3的实例中，QR码对例如加密的用户装置标识符之类的凭证的衍生物进行编码。访问装置106可以扫描所呈现的QR码以接收加密的用户装置标识符。
在步骤S302中，在从用户102接收到加密的用户装置标识符之后，访问装置106可以确定交易需要认证。例如，访问装置106或与访问装置106相关联的资源提供商可以确定交易细节中包括的交易金额大于由处理网络计算机112或授权实体计算机114确定的阈值金额。如果交易金额大于阈值金额，则访问装置106可以将加密的用户装置标识符和交易细节发送至身份服务器计算机108。访问装置106还可以将会话标识符发送至身份服务器计算机108，使得可以将后续消息跟踪到当前交互。
在步骤S304中，在从访问装置106接收到加密的用户装置标识符之后，身份服务器计算机108可以使用服务器密钥(例如，在图2的步骤S214中描述的)来对加密的用户装置标识符进行解密，以获得用户装置标识符。如上所述，在其它实施例中，用户装置标识符可以是明文的，因此在此类实施例中将不需要解密。一旦获得用户装置标识符，身份服务器计算机108就可以接着访问具有用户装置标识符的数字身份数据库110，以确定与用户102相关联的数字身份账户。数字身份账户存储用户装置标识符、与用户装置标识符相关联的主账号、数字账户标识符等。
在步骤S306中，在确定与用户装置标识符相关联的数字身份账户以及确定与移动装置104相关联的移动装置标识符之后，身份服务器计算机108可以将包括交易细节(例如，资源提供商名称、交易金额、货币类型等)的交易确认消息发送至移动装置104上的认证器应用程序。
在步骤S308中，使用认证器应用程序，移动装置104可以将交易确认消息显示给用户102。用户102可以选择使用移动装置104(例如，通过按下移动装置104上显示的确认按钮)接受交易。
在步骤S310中，移动装置104可以接着将交易确认消息发送至身份服务器计算机108。
在从移动装置104接收到交易确认消息之后，身份服务器计算机108可以生成质询。在一些实施例中，质询可以包括各种数据元素，包括与交易相关联的一个或多个数据元素。此类数据元素可以包括来自一个或多个交易金额的数据、访问装置的标识符、资源提供商标识符、由访问装置生成的交易标识符等。所述质询可以包括连结在一起的一个或多个数据元素，或者如果形成的数据串太长，则可能被截断。在步骤S312中，身份服务器计算机108可以接着将质询发送至移动装置104。
在接收到质询之后，在步骤S314中，移动装置104中的认证应用程序可以请求用户102认证他自己。例如，移动装置104可以经由认证器应用程序显示用户102提供生物特征(例如，指纹、面部扫描、语音记录)或用户102已知或拥有的一些其它认证数据的请求。响应于所述请求，用户102可以将认证数据提供至移动装置104。
在从用户102接收到认证数据之后，移动装置104中的认证应用程序可以将认证数据与移动装置104中先前存储的认证数据进行比较。例如，由用户102提供的认证数据可以是面部扫描模板，并且这可以与存储在移动装置304上的面部扫描模板进行比较。如果所提供的认证数据和所存储的认证数据匹配，则移动装置104上的认证应用程序可以访问存储在移动装置104上的先前描述的私钥(例如，在图2的步骤S208中安全地存储在移动装置104上的私钥)。然后，移动装置104和认证应用程序可以使用私钥对所述质询进行签名，以生成已签名的质询。在步骤S316中，可以接着将已签名的质询发送至身份服务器计算机108。
在步骤S318中，在从移动装置104接收到已签名的质询之后，身份服务器计算机108可以使用与步骤S316的私钥相关联的公钥(例如，在步骤S210中存储的公钥)来验证已签名的质询。
在步骤S320中，在验证已签名的质询、身份服务器计算机108并确认移动装置104是真实移动装置以及用户102是真实用户之后，身份服务器计算机108可以访问数字身份数据库110(例如，使用步骤S304的数字身份账户标识符)以检取存储在数据库中的账户细节(例如，主账号、持卡人姓名、到期日期等)。这也可以使用先前获得的用户装置标识符来完成。
在步骤S322中，在检取到账户细节之后，身份服务器计算机108可以将包括主账号、到期日期等的账户细节以及已签名的质询发送至访问装置106。已签名的质询可以呈其原始形式，或者可以被截断，使得已签名的质询的一部分被发送至访问装置106，而不是整个已签名的质询。身份服务器计算机108还可以将已签名的质询存储在用户的数字身份账户中，以供稍后的交易验证。
响应于接收到账户信息和已签名的质询，访问装置106可以生成包括账户信息和已签名的质询(或其衍生物)的授权请求消息。用作密码的已签名的质询可用于证明经我们正确认证的交易。在步骤S324中，访问装置106接着可以将授权请求消息发送至处理网络计算机112。
在步骤S326中，在接收到授权请求消息之后，处理网络计算机112可以将包括账户信息(例如，主账号、到期日期等)和已签名的质询的验证请求发送至身份服务器计算机108。
在步骤S328中，在接收到验证请求后，身份服务器计算机108可以接着使用账户信息在数字身份数据库310中查找用户302的数字身份账户，并且可以定位与用户302相关联的公钥。然后，身份服务器计算机108可以使用与账户信息相关联的公钥来验证已签名的质询或密码。在其它实施例中，身份服务器计算机108先前存储了已签名的质询(或其一部分)，并且将所存储的已签名的质询与接收到的已签名的质询进行比较，以确定交易先前是否被认证。身份服务器计算机108还可以从数字身份数据库310检取额外账户信息(例如，到期日期)以用于进一步验证。
在步骤S330中，在验证已签名的质询或密码以及验证授权请求消息中的账户信息之后，身份服务器计算机108可以向处理网络计算机112通知交易被认证。在一些实施例中，身份服务器计算机108可以生成指示交易先前被认证的代码，并且可以将此代码提供至处理网络计算机312。
在步骤S332中，在接收到指示交易先前被认证的代码之后，处理网络计算机112可以修改授权请求消息以包括所述代码或通知，并且可以将其发送至授权实体计算机114，所述授权实体计算机授权(或拒绝)授权请求消息。授权实体计算机114可以在其授权决定过程中使用所述代码。如果指示身份服务器计算机108认证了交易的代码存在于授权请求消息中，则授权实体计算机114保证交易是有效的而不是欺诈性的。在步骤S334中，授权实体计算机114可以接着生成授权响应消息，可将所述授权响应消息发送至处理网络计算机112。
在步骤S336中，处理网络计算机112可以接着将授权响应消息发送至访问装置106。然后，访问装置106可以向用户102显示交易被成功授权的确认。
在一些实施例中，处理网络计算机112不需要将授权请求消息发送至授权实体计算机114。相反，处理网络计算机112可以针对授权实体计算机114自行作出授权决定。
本发明的实施例提供了许多优点。本发明的实施例可以允许用户在例如支付交易或用于访问安全位置的交易之类的交易期间被安全认证。如上所述，用户的移动装置可以存储任何其它装置不已知的私钥，并且仅在用户将他自己认证到其移动装置时使用。本发明的实施例提供一种用于在此类交易中执行多因素认证的安全且方便的方法。此外，在一些实施例中，用户的实际账户信息不存储在他的移动装置上，并且因此不容易通过非法侵入或其它手段获得。
另外，在本发明的实施例中，用户不需要为了执行认证而与访问装置本身接触。用户/移动装置、访问装置与身份服务器计算机之间的通信以非接触式方式执行。用户可以获得传统上将需要用户联系访问装置的访问资源(例如，将PIN输入到访问装置的键盘中以执行交易)。这可能是有益的，特别是在病毒和其它病原体的传播令人担忧时。另外，已签名的质询可在授权请求消息中使用。已签名的质询可以替换或补充常规授权请求消息中的其它数据。例如，已签名的质询可以代替交易中对常规密码的需要。
图4示出示例性移动装置400的框图。移动装置400可以由用户操作。移动装置400可以包括处理器402。处理器402可以耦合到存储器404、网络接口406、计算机可读介质408、生物特征传感器410(例如，指纹传感器、相机等)、输入元件412(例如，键盘、触摸板、麦克风等)以及显示器414。计算机可读介质408可以包括任何合适数目和类型的软件模块。
存储器404可用于存储数据和代码。存储器404可以在内部或在外部(例如，经由基于云的数据存储)耦合到处理器402，并且可以包括易失性和/或非易失性存储器的任何组合，例如RAM、DRAM、ROM、快闪或任何其它合适的存储器装置。在一些实施例中，存储器404可以安全地存储公用-私用加密密钥方案中的私钥。
网络接口406可以包括可允许用户装置400与外部计算机和/或装置通信的接口。网络接口406可以使用户装置400能够向例如访问装置、身份服务器计算机、授权计算机等另一装置或从所述另一装置传送数据。网络接口406的一些实例可以包括调制解调器、物理网络接口(例如以太网卡或其它网络接口卡(NIC))、虚拟网络接口、通信端口、个人计算机存储卡国际协会(PCMCIA)插槽和卡，等等。由网络接口406启用的无线协议可以包括Wi-Fi。经由网络接口406传输的数据可以呈信号的形式，所述信号可以是电学、电磁、光学或能够由外部通信接口接收的任何其它信号(统称为“电子信号”或“电子消息”)。可以包括数据或指令的这些电子消息可以经由通信路径或信道在网络接口406与其它装置之间提供。如上所述，可以使用任何合适的通信路径或信道，例如电线或电缆、光纤、电话线、蜂窝链路、射频(RF)链路、WAN或LAN网络、互联网，或任何其它合适的介质。
计算机可读介质408可以包括多个软件模块，包括但不限于认证模块408A、用户装置模块408B、加密模块408C和通信模块408D。
认证模块408A可以包括使处理器402生成并执行用户的认证的代码。认证模块408A可以访问生物特征传感器410和/或输入元件以接收认证数据。例如，认证模块408A可用于执行用户的多因素认证，包括生物特征认证(例如，面部扫描等)和密码认证(例如，将密码输入与存储的密码进行比较)。认证模块408A连同通信模块408D可以允许移动装置400直接与身份服务器计算机通信。
用户装置模块408B可以包括使处理器402模拟用户装置的代码。例如，用户装置模块408B可以使处理器402在显示器414上显示用户装置。用户装置模块408B可以额外执行与QR码有关的功能。例如，用户装置模块408B可以生成QR码，使得它可以在显示器414上显示。
加密模块408C可以包括使处理器402对数据进行加密和解密的代码。例如，加密模块408C可以允许移动装置400生成公用-私用加密密钥对。加密模块408C可以将密钥对中的私钥存储在存储器404中。加密模块408C可用于用私钥对质询进行签名。
通信模块408D结合处理器402可以生成消息、转发消息、重新格式化消息和/或以其它方式与其它实体通信。例如，通信模块408D可用于促进移动装置400与授权实体计算机、访问装置、身份服务器计算机等之间的通信。通信模块408D可以生成并验证移动装置400与外部装置之间的通信。
生物特征传感器410和输入元件412可用于从用户接收数据。生物特征传感器410的实例可以是相机、麦克风、指纹传感器等。输入元件412可以是触摸屏、键盘、麦克风等。
显示器414可用于显示交易确认和认证请求。显示器414可以是显示屏幕，例如OLED显示器、视频显示器等。
图5示出访问装置500的框图。访问装置500可以由例如商家、票证供应商、建筑物安全人员等资源提供商操作。访问装置500可以包括处理器502。处理器502可以耦合到存储器504、网络接口506、计算机可读介质508和输入元件510。计算机可读介质508可以包括任何合适数目和类型的软件模块。
存储器504可用于存储数据和代码。存储器504可以在内部或在外部(例如，经由基于云的数据存储)耦合到处理器502，并且可以包括易失性和/或非易失性存储器的任何组合，例如RAM、DRAM、ROM、快闪或任何其它合适的存储器装置。在一些实施例中，存储器504可以存储数据，例如交易细节、已签名的质询、账户细节等。
网络接口506可以具有与先前描述的网络接口406相同或不同的特征。
计算机可读介质508可以包括可由处理器502执行的用于方法的代码，所述方法包括：由访问装置在交易中从用户的用户装置接收凭证或其衍生物；由访问装置将所述凭证或其衍生物发送至身份服务器计算机；由访问装置从身份服务器计算机接收已签名的质询，所述已签名的质询由用户的移动装置创建；由访问装置生成授权请求消息，所述授权请求消息包括已签名的质询；由访问装置将授权请求消息发送至处理网络计算机以进行所述交易的授权。
计算机可读介质508可以包括多个软件模块，包括但不限于QR码模块508A、授权模块508B和通信模块508C。
QR码模块508A可以包括使处理器402扫描QR码并对其进行解码的代码。例如，QR码模块508A可以与输入元件510通信以扫描QR码并对嵌入的信息进行解码。QR码模块508A可用于扫描用户装置上的QR码以接收可能加密的卡标识符。
授权模块508B可以包括代码，所述代码可使处理器402生成授权请求消息并对所述处理授权请求消息作出响应。例如，授权模块508B可用于生成包括账户细节和已签名的质询的授权请求消息。授权模块508B可额外标识交易是否需要进一步认证。例如，在接收到交易数据时，授权请求模块可以确定交易数据中的交易金额超过限制，并且使用交易数据生成认证请求。
通信模块508C结合处理器502可以生成消息、转发消息、重新格式化消息和/或以其它方式与其它实体通信。例如，通信模块508C可用于促进访问装置500与移动装置、身份服务器计算机、处理网络计算机等之间的通信。通信模块508C可以生成并验证访问装置500与外部装置之间的通信。
输入元件510可用于完成认证、交易等。输入元件510可包括键盘、相机等。例如，输入元件510中的相机可用于扫描QR码。
图6示出身份服务器计算机600的框图。身份服务器计算机600可以由认证实体、例如支付处理网络之类的处理网络操作。身份服务器计算机600可以包括处理器602。处理器602可耦合到存储器604、网络接口606、计算机可读介质608和数据库610。计算机可读介质608可以包括任何合适数目和类型的软件模块。
存储器604可用于存储数据和代码。存储器604可以在内部或在外部(例如，经由基于云的数据存储)耦合到处理器602，并且可以包括易失性和/或非易失性存储器的任何组合，例如RAM、DRAM、ROM、快闪或任何其它合适的存储器装置。在一些实施例中，存储器604可以存储加密密钥，例如服务器私用加密密钥。
网络接口606可以具有与先前描述的网络接口406相同或不同的特征。
计算机可读介质608可以包括可由处理器602执行用于执行方法的代码，所述方法包括：由身份服务器计算机在交易中从访问装置接收凭证或其衍生物；响应于接收到所述凭证或其衍生物，由所述身份服务器计算机将质询发送至由用户操作的移动装置；由所述身份服务器计算机接收已签名的质询，其中所述已签名的质询是使用所述移动装置上的私钥进行签名的；由所述身份服务器计算机使用与所述私钥相关联的公钥来验证所述已签名的质询；以及由所述身份服务器计算机将所述已签名的质询或其部分发送至所述访问装置，其中所述访问装置生成包括所述已签名的质询或其所述部分的授权请求消息。
计算机可读介质608可以包括多个软件模块，包括但不限于数字身份模块608A、认证模块608B、加密模块608C和通信模块608D。
数字身份模块608A可以包括使处理器602管理多个用户的数字身份账户的代码。数字身份模块608A可以访问数据库610以管理与数字身份账户有关的数据。例如，数字身份模块608A可以将账户细节、主账号和公钥添加到数据库610中或从所述数据库删除。数字身份模块608A可以使用数字身份账户标识符访问数据库610。
认证模块608B可以包括使处理器602完成认证请求的代码。例如，认证模块608B可以从访问装置接收认证请求并将认证提示发送至移动装置。认证模块608B可以根据认证请求中的数据(例如，交易细节、访问细节)生成质询，并且使用存储在数据库610中的公钥来验证已签名的质询。
加密模块608C可以包括使处理器602对数据进行加密和解密的代码。例如，加密模块608C可允许身份服务器计算机600生成服务器密钥对。加密模块608C可以将服务器密钥对存储在存储器604中。加密模块608C可以访问数据库610，以使用数字身份账户中的公钥来验证已签名的质询。
通信模块608D结合处理器602可以生成消息、转发消息、重新格式化消息和/或以其它方式与其它实体通信。例如，通信模块608D可用于促进身份服务器计算机600与移动装置、访问装置、处理网络计算机等之间的通信。通信模块608D可以生成并验证访问装置800与外部装置之间的通信。
数据库610可以是数字身份数据库。例如，数据库610可以存储多个用户的多个数字账户的数据。数据可以包括数字身份账户标识符、账户细节、主账号、公用加密密钥等。数据库610可以是或可以不是身份服务器计算机600本身的一部分，或者可以直接链接到身份服务器计算机600(例如，经由云或直接有线连接)。
本申请中描述的任何软件组件或功能可实施为使用例如Java、C、C++、C#、Objective-C、Swift的任何合适的计算机语言或例如Perl或Python的脚本语言使用例如常规的或面向对象的技术由处理器执行的软件代码。所述软件代码可以作为一系列指令或命令存储在计算机可读介质上以供存储和/或传输，合适的介质包括随机存取存储器(RAM)、只读存储器(ROM)、磁性介质(例如硬盘驱动器或软盘)，或者光学介质(例如光盘(CD)或数字通用光盘(DVD))、快闪存储器，等等。计算机可读介质可以是此类存储装置或传输装置的任何组合。
此类程序还可以使用适合于经由包括互联网在内的符合多种协议的有线网络、光学网络和/或无线网络进行传输的载波信号来编码和发送。因此，根据本发明的一个实施例的计算机可读介质可以使用以此类程序编码的数据信号来创建。以程序代码编码的计算机可读介质可以与兼容装置一起封装或者与其它装置分开提供(例如，经由互联网下载)。任何此类计算机可读介质可以驻存在单个计算机产品(例如，硬盘驱动器，CD或整个计算机系统)之上或其内部，并且可以存在于系统或网络内的不同计算机产品上或其内部。计算机系统可以包括监视器、打印机，或者用于向用户提供本文所提及的任何结果的其它合适的显示器。
以上描述是说明性的并且不是限制性的。在阅读了本公开之后，本发明的许多变型形式对于本领域的技术人员将变得显而易见。因此，本发明的范围不应当参考上面的描述来确定，而是应当参考未决的权利要求连同其完整范围或等同物来确定。
在不偏离本发明范围的情况下，来自任何实施例的一个或多个特征可以与任何其它实施例的一个或多个特征组合。
如本文所用，除非明确指示有相反的意思，否则使用“一个”、“一种”或“所述”旨在意指“至少一个/种”。

Claims (20)

1.一种方法，包括：
由身份服务器计算机从访问装置接收凭证或其衍生物；
响应于接收到所述凭证或其衍生物，由所述身份服务器计算机将质询发送至由用户操作的移动装置；
由所述身份服务器计算机接收已签名的质询，其中所述已签名的质询是使用所述移动装置上的私钥进行签名的；
由所述身份服务器计算机使用与所述私钥相关联的公钥来验证所述已签名的质询；以及
由所述身份服务器计算机将所述已签名的质询或其部分发送至所述访问装置，其中所述访问装置生成包括所述已签名的质询或其所述部分的授权请求消息。
2.根据权利要求1所述的方法，其中所述凭证或其衍生物由所述访问装置从与用户相关联的用户装置接收，并且其中所述用户装置是卡，并且其中所述凭证或其衍生物以所述卡上的QR码编码。
3.根据权利要求1所述的方法，其中所述凭证或其衍生物是标识用户装置的用户装置标识符。
4.根据权利要求1所述的方法，其中所述质询包括交易的细节。
5.根据权利要求1所述的方法，其中所述访问装置将所述授权请求消息发送至处理网络计算机，所述方法还包括：
由所述身份服务器计算机从所述处理网络计算机接收主账号和已签名的质询或其部分；
由所述身份服务器计算机验证所述已签名的质询；以及
向所述处理网络计算机提供所述已签名的质询有效的通知。
6.根据权利要求1所述的方法，其中所述访问装置将所述授权请求消息发送至处理网络计算机，并且所述方法还包括：
由所述身份服务器计算机从所述处理网络计算机接收主账号和已签名的质询或其部分；
由所述身份服务器计算机使用所述主账号从数据库检取存储的已签名的质询或其部分；
由所述身份服务器计算机验证来自所述处理网络计算机的所述已签名的质询或其所述部分与来自数据库的所述存储的已签名的质询或其所述部分匹配；以及
向所述处理网络计算机提供从所述处理网络计算机接收到的所述已签名的质询或其部分有效的通知。
7.根据权利要求1所述的方法，其中所述移动装置是移动电话。
8.根据权利要求1所述的方法，其中所述访问装置提供对安全位置的访问。
9.根据权利要求1所述的方法，其中由所述身份服务器计算机将所述已签名的质询或其所述部分发送至所述访问装置包括：由所述身份服务器计算机将所述已签名的质询发送至所述访问装置。
10.根据权利要求1所述的方法，其中在接收到所述已签名的质询之前，所述用户由所述移动装置认证。
11.根据权利要求1所述的方法，其中在接收到所述已签名的质询之前，所述用户由所述移动装置使用存储在所述移动装置中的生物特征模板来认证。
12.根据权利要求1所述的方法，其中在接收到所述已签名的质询之前，所述用户由所述移动装置使用存储在所述移动装置中的秘密来认证。
13.根据权利要求1所述的方法，其中所述凭证或其衍生物是标识用户装置的加密用户装置标识符。
14.根据权利要求13所述的方法，其中所述加密用户装置标识符由所述身份服务器计算机形成，所述身份服务器计算机加密与用户装置相关联的用户装置标识符，其中所述用户装置是卡。
15.一种身份服务器计算机，包括：
处理器；和
非瞬态计算机可读介质，其包括指令，所述指令能由所述处理器执行以执行包括以下各项的操作：
由所述身份服务器计算机从访问装置接收凭证或其衍生物；
响应于接收到所述凭证或其衍生物，由所述身份服务器计算机将质询发送至由用户操作的移动装置；
由所述身份服务器计算机接收已签名的质询，其中所述已签名的质询是使用所述移动装置上的私钥进行签名的；
由所述身份服务器计算机使用与所述私钥相关联的公钥来验证所述已签名的质询；以及
由所述身份服务器计算机将所述已签名的质询或其部分发送至所述访问装置，其中所述访问装置生成包括所述已签名的质询或其所述部分的授权请求消息。
16.根据权利要求15所述的身份服务器计算机，其中所述访问装置将所述授权请求消息发送至处理网络计算机，并且其中所述操作还包括：
由所述身份服务器计算机从所述处理网络计算机接收主账号和已签名的质询或其部分；
由所述身份服务器计算机验证所述已签名的质询；以及
向所述处理网络计算机提供所述已签名的质询有效的通知。
17.一种方法，包括：
由访问装置从用户的用户装置接收凭证或其衍生物；
由所述访问装置将所述凭证或其衍生物发送至身份服务器计算机；
由所述访问装置从所述身份服务器计算机接收已签名的质询，所述已签名的质询由用户的移动装置创建；
由所述访问装置生成授权请求消息，所述授权请求消息包括所述已签名的质询；
由所述访问装置将所述授权请求消息发送至处理网络计算机以进行授权。
18.根据权利要求17所述的方法，还包括：
从所述处理网络计算机接收授权响应消息。
19.根据权利要求17所述的方法，其中所述授权请求消息还包括主账户标识符。
20.根据权利要求17所述的方法，其中在所述移动装置使用存储在所述移动装置中的认证数据认证所述用户之后，由所述移动装置创建所述已签名的质询。
CN202211017973.7A 2021-08-25 2022-08-24 数字身份认证系统和方法 Pending CN115907757A (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US17/411,273 2021-08-25
US17/411,273 US20230066754A1 (en) 2021-08-25 2021-08-25 Digital identity authentication system and method

Publications (1)

Publication Number Publication Date
CN115907757A true CN115907757A (zh) 2023-04-04

Family

ID=83115379

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202211017973.7A Pending CN115907757A (zh) 2021-08-25 2022-08-24 数字身份认证系统和方法

Country Status (3)

Country Link
US (1) US20230066754A1 (zh)
EP (1) EP4142216A1 (zh)
CN (1) CN115907757A (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20230368179A1 (en) * 2022-05-10 2023-11-16 Capital One Services, Llc System and method for providing temporary virtual payment card

Family Cites Families (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20110238573A1 (en) * 2010-03-25 2011-09-29 Computer Associates Think, Inc. Cardless atm transaction method and system
US11824991B2 (en) * 2012-03-05 2023-11-21 Biogy, Inc. Securing transactions with a blockchain network
US20150032617A1 (en) * 2013-07-23 2015-01-29 Amadeus Sas Secure Channel Payment Processing System and Method
CN113420281A (zh) * 2015-04-13 2021-09-21 维萨国际服务协会 基于二次装置交互的增强认证
US10304048B2 (en) * 2015-06-30 2019-05-28 Paypal, Inc. Limited use authentication on detection of non-operational device
US10453060B2 (en) * 2016-05-27 2019-10-22 Mastercard International Incorporated Systems and methods for authenticating a requestor at an ATM
US11095449B2 (en) * 2016-12-16 2021-08-17 Visa International Service Association System and method for securely processing an electronic identity
US11438317B2 (en) * 2017-01-31 2022-09-06 Hewlett Packard Enterprise Development Lp Device identification encryption
WO2019031717A1 (ko) * 2017-08-09 2019-02-14 주식회사 센스톤 매장 내부통신망 기반의 결제시스템, 매장 내부통신망 기반의 결제기능을 포함하는 이동단말기, 매장 내부통신망 기반의 결제서비스 제공방법, 및 이를 수행하는 프로그램
US11251964B2 (en) * 2017-08-11 2022-02-15 Secure Open Systems, Inc. Hash contract generation and verification system
US20190303928A1 (en) * 2018-03-29 2019-10-03 Ca, Inc. User authentication in transactions
EP3864601A4 (en) * 2018-10-08 2021-11-17 Visa International Service Association TECHNIQUES FOR TOKEN PROXIMITY TRANSACTIONS
US11051164B2 (en) * 2018-11-01 2021-06-29 Paypal, Inc. Systems, methods, and computer program products for providing user authentication for a voice-based communication session
US10922396B2 (en) * 2019-04-22 2021-02-16 Bank Of America Corporation Signals-based authentication
US20210004811A1 (en) * 2019-07-01 2021-01-07 Advanced New Technologies Co., Ltd. Facial recognition payment
US10789353B1 (en) * 2019-08-20 2020-09-29 Capital One Services, Llc System and method for augmented reality authentication of a user
EP4014141A4 (en) * 2019-09-17 2023-08-16 Plaid Inc. SYSTEM AND PROCEDURES FOR LINKING ACCOUNTS USING CREDENTIALS-LESS AUTHENTICATION
US11217049B2 (en) * 2019-11-07 2022-01-04 Afero, Inc. Secure wireless key system and method with dynamically adjustable modulation

Also Published As

Publication number Publication date
EP4142216A1 (en) 2023-03-01
US20230066754A1 (en) 2023-03-02

Similar Documents

Publication Publication Date Title
AU2017206119B2 (en) Systems and methods for device push provisioning
CN113507377B (zh) 用于使用基于交易特定信息的令牌和密码的交易处理的装置和方法
US20220060889A1 (en) Provisioning initiated from a contactless device
US11750368B2 (en) Provisioning method and system with message conversion
US11797650B2 (en) Data value routing system and method
CN116233836A (zh) 用于中继攻击检测的方法和系统
US20230062507A1 (en) User authentication at access control server using mobile device
US20220291979A1 (en) Mobile application integration
EP4142216A1 (en) Digital identity authentication system and method
US11711217B2 (en) Token processing with selective de-tokenization for proximity based access device interactions
US20230308278A1 (en) Tokenizing transactions using supplemental data
CA3167592A1 (en) Efficient interaction processing using secret
WO2023055562A1 (en) Remote identity interaction

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication