CN117795505A - 用于非接触式卡通信和多设备密钥对加密认证的系统与方法 - Google Patents

用于非接触式卡通信和多设备密钥对加密认证的系统与方法 Download PDF

Info

Publication number
CN117795505A
CN117795505A CN202280055032.4A CN202280055032A CN117795505A CN 117795505 A CN117795505 A CN 117795505A CN 202280055032 A CN202280055032 A CN 202280055032A CN 117795505 A CN117795505 A CN 117795505A
Authority
CN
China
Prior art keywords
fido
key
authenticator
processor
authentication
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202280055032.4A
Other languages
English (en)
Inventor
杰弗里·鲁尔
凯文·奥斯本
韦恩·卢茨
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Capital One Services LLC
Original Assignee
Capital One Services LLC
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Capital One Services LLC filed Critical Capital One Services LLC
Publication of CN117795505A publication Critical patent/CN117795505A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0825—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H04L9/3231—Biological data, e.g. fingerprint, voice or retina
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3234—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving additional secure or trusted devices, e.g. TPM, smartcard, USB or software token
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2103—Challenge-response

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Health & Medical Sciences (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Biodiversity & Conservation Biology (AREA)
  • Biomedical Technology (AREA)
  • Health & Medical Sciences (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephonic Communication Services (AREA)
  • Telephone Function (AREA)

Abstract

用于认证的系统和方法可以包括认证器。该认证器可以包括处理器和存储器。处理器可以被配置为：接收一个或多个质询；生成第一指令，该第一指令包括用以检索第一线上快速身份验证(FIDO)密钥的请求；传送第一指令；接收第一FIDO密钥；使用第一FIDO密钥，对一个或多个质询进行签名；以及传送一个或多个经签名的质询以使用第二FIDO密钥进行验证。

Description

用于非接触式卡通信和多设备密钥对加密认证的系统与方法
相关申请的交叉引用
本申请要求2021年6月18日提交的美国专利申请第17/352,181号的优先权，其公开内容通过引用整体并入本文。
技术领域
本公开涉及用于非接触式卡通信的系统和方法，更具体地，涉及用于使用多设备对非接触式卡进行密钥对加密认证的系统和方法。
背景技术
基于卡的操作经常涉及使用卡与服务器或其他设备进行通信。有必要保护这样的通信免受截获和未经授权的访问。然而，存在许多复杂的可能由黑客或其他欺诈行为者采用以进行数据截获的方法。
例如，没有加密或其他保护的数据传输易受中间人攻击、网络钓鱼攻击、重放攻击以及其他攻击的影响，并且可能面临其他漏洞，从而导致安全风险增加和账户或卡滥用的风险增加。这些风险可能通过使用通过无线方式与其他设备进行通信的非接触式卡而进一步增加，从而使数据在传输过程期间暴露于潜在的截获。
为解决安全风险而采取的措施(诸如加密)可能会消耗系统资源并且妨碍操作效率。对于大量操作，系统资源的消耗和操作效率的阻碍可能会增加，这可能导致无法执行操作或性能不尽人意。此外，可能存在对安全认证器设备的访问受限或访问不可用的情景，由此不利地影响安全加密、数据传输以及对安全注册和认证的访问，这可能导致可被用于发起欺诈性交易的受损账户或账户接管。
存在这些和其他缺陷。因此，需要以下一种用于认证的系统和方法，其通过以安全可靠的方式保护通信免受截获和未经授权的访问，同时有效地利用多设备密钥对加密认证并且安全快速地识别发起者并确定其真实性，从而克服这些缺陷。
发明内容
本公开的实施例提供了一种认证器。认证器可以包括处理器和存储器。处理器可以被配置为接收一个或多个质询。处理器可以被配置为生成第一指令，该第一指令包括用以检索第一线上快速身份验证(Fast Identity Online，FIDO)密钥的请求。处理器可以被配置为传送第一指令。处理器可以被配置为接收第一FIDO密钥。处理器可以被配置为使用第一FIDO密钥对一个或多个质询进行签名。处理器可以被配置为传送一个或多个签名的质询以使用第二FIDO密钥进行验证。
本公开的实施例提供了一种认证的方法。该方法可以包括在处理器处接收一个或多个质询。该方法可以包括由处理器生成第一指令，该第一指令包括用以检索第一线上快速身份验证(FIDO)密钥的请求。该方法可以包括由处理器传送第一指令。该方法可以包括接收第一FIDO密钥。该方法可以包括由处理器使用第一FIDO密钥对一个或多个质询进行签名。该方法可以包括由处理器传送一个或多个经签名的质询以使用第二FIDO密钥进行验证。
本公开的实施例提供了一种包括计算机可执行指令的计算机可读非暂时性介质，该指令当在处理器上实行时执行包括以下步骤的过程：接收一个或多个质询；生成第一指令，该第一指令包括用以检索第一线上快速身份验证(FIDO)密钥的请求；传送第一指令；接收第一FIDO密钥；使用第一FIDO密钥对一个或多个质询进行签名；以及传送一个或多个经签名的质询以使用第二FIDO密钥进行验证。
附图说明
本公开的各种实施例连同进一步的目的和优点可以通过参照以下结合附图的描述来最好地理解。
图1描绘了根据示例性实施例的认证系统。
图2A是根据示例性实施例的第一设备的图示。
图2B是根据示例性实施例的第一设备的接触垫的图示。
图3描绘了根据示例性实施例的认证方法。
图4描绘了根据示例性实施例的认证过程的时序图。
图5描绘了根据示例性实施例的认证方法。
图6描绘了根据示例性实施例的认证方法。
具体实施方式
以下实施例的描述提供了非限制性代表性示例附图标记，以具体地描述本发明的不同方面的特征和教导。所描述的实施例应被认为能够单独地实施或与来自实施例的描述的其他实施例组合地实施。审阅实施例的描述的本领域普通技术人员应该能够学习和理解本发明的不同描述的方面。实施例的描述应该促进对本发明的理解到这样的程度，以至于其他实施方式(尽管没有特别涵盖但在阅读过实施例的描述的本领域技术人员的知识范畴内)将被理解为与本发明的应用相一致。
本文中公开的系统和方法可以用于补充认证框架，包括但不限于：线上快速身份验证(FIDO)认证、线上快速身份验证2(FIDO2)认证、WebAuthn、客户端到认证器协议(Client to Authenticator Protocol，CTAP)FIDO、以及其他认证实施方式。本文中采用的系统和方法可以用分布式存储、基于云的存储和支持这种功能性的其他形式的存储来实施。本文中公开的系统和方法允许设备在浏览器中充当线上快速身份验证2(FIDO2)认证中的漫游认证器。如下文进一步解释的，用户可以使用所实施的系统和方法在无密码环境中以网站进行认证。为了登录网站，私钥可以在网站注册过程期间被存储在设备上。当用户期望再次登录网站时，该设备可以经由一个或多个手势(包括但不限于轻敲、滑动、挥动或类似)进入通信场，诸如移动设备的通信场。私钥然后可以从第一设备被传送到包括用于在移动设备(包括但不限于认证器)上执行的指令的应用。认证器可以被配置为使用私钥对由网站发布的质询(challenge)进行签名。一旦质询已经被签名，它就可以被传送到依赖方服务器，并且使用存储的公钥来验证。以这种方式，这种认证可以用作用户登录的主要认证。此外，这种认证还可以与移动设备上键入的次要因素认证(诸如生物识别或凭证)结合使用。
本文中公开的系统和方法的益处包括通过保护通信免受拦截和未经授权的访问以及安全且快速地识别发起者并确定其真实性而进行的改进认证。本文中公开的系统和方法允许避免中间人攻击和网络钓鱼攻击，防止重放攻击，提高认证器设备的可访问性和安全性，以及安全加密和数据传输，并且通过在实施有条件的多因素认证的同时使用但不限于在设备上执行的和/>作为浏览器(诸如膝上型电脑浏览器或平板电脑浏览器或桌上型电脑浏览器)中的FIDO2认证中的认证器而减少其他安全漏洞。
进一步地，与FIDO2框架和其他认证框架相关的关注点正建立寻求从事认证过程的用户的身份。本文中描述的系统和方法可以通过确认试图经由框架注册凭证并认证的用户是他或她声称的用户并且被授权执行认证过程来减少这种脆弱性。通过这样做，可以增加框架安全性和排除未经授权的用户的能力。因此，可以进一步减轻安全风险，并且可以进一步提高跨各种设备的兼容性和交易效率。在一些示例中，当指示第一设备检索或生成一个或多个FIDO密钥而不是在认证器中生成一个或多个FIDO密钥时，认证器的计算处理被减少。
这些特征可以在通过不给用户增加不必要的安全任务负担而降低用户体验的情况下来实施。进一步地，这些特征可以以考虑交易的时间效率性能的方式执行，以便符合用户期望和交易要求。
因此，本文中公开的系统和方法减少了欺诈活动的风险，诸如卡或与卡相关联的账户的滥用，同时也提高了对认证器设备和已加密的数据传输的安全访问。本文中公开的系统和方法改进了缺乏安全认证的实施方式。这些益处可以在促进系统效率，避免降低用户体验，并且促进跨众多设备的兼容性的同时来有利地实现。
图1示出了认证系统100。该系统100可以包括浏览器扩展(browser extension)101、第一设备105、认证器110或第二设备、网络115、依赖方或服务器120以及数据库125。虽然图1示出了系统100的部件的单个实例，但是系统100可以包括任意数量的部件。
系统100可以包括浏览器扩展101。浏览器扩展101可以包括Internet 或/>应当理解，可以利用除了浏览器扩展以外的软件应用，包括单机软件应用。非限制性地，认证请求(诸如网站注册)可以发生在任何设备上，包括但不限于与浏览器扩展101相关联的膝上型电脑或桌上型电脑。如下文进一步解释的，基于移动电话的浏览器扩展101、或基于平板电脑的浏览器扩展101、或基于膝上型电脑的浏览器扩展101、或基于桌上型电脑的浏览器扩展101可以被配置为传送和接收一个或多个请求。
系统100可以包括第一设备105。非限制性地，第一设备105可以包括非接触式卡、接触式卡、网络使能的计算机或本文中描述的其他设备。如本文中提及的，网络使能的计算机可以包括但不限于计算机设备或通信设备，包括例如服务器、网络家电、个人计算机、工作站、电话、手持PC、个人数字助理、非接触式卡、瘦客户端、胖客户端、互联网浏览器、信息亭、平板电脑、终端或其他设备。如下文在图2A-图2B中进一步解释的，第一设备105可以包括一个或多个处理器102和存储器104。存储器104可以包括一个或多个小应用程序106和一个或多个计数器108。每个计数器108可以包括计数器值。存储器104可以包括计数器值、传输数据和至少一个密钥。
第一设备105可以包括通信接口107。通信接口107可以包括与物理接口和非接触式接口的通信能力。例如，通信接口107可以被配置为与物理接口进行通信，诸如通过刷卡接口滑动或插入在自动柜员机(automated teller machine，ATM)或配置为通过物理接口进行通信的其他设备上找到的卡芯片读取器。在其他示例中，通信接口107可以被配置为经由短程无线通信方法与卡读取设备建立非接触式通信，诸如NFC、蓝牙、Wi-Fi、RFID和其他形式的非接触通信。如图1所示，通信接口107可以被配置为经由网络115直接与认证器110或第二设备、依赖方或服务器120和/或数据库125进行通信。
第一设备105可以与系统100的任意数量的部件进行数据通信。例如，第一设备105可以经由网络115向认证器110或第二设备和/或依赖方或服务器120传送数据。第一设备105可以经由网络115向数据库125传送数据。在一些示例中，第一设备105可以被配置为在进入任何设备的一个或多个通信场之后经由网络115传送数据。非限制性地，每次进入都可以与轻敲、滑动、挥动和/或它们的任何组合相关联。
系统100可以包括认证器110。认证器110可以包括对另一个客户端设备的漫游认证器(roaming authenticator)。在一些示例中，认证器110可以包括移动设备，该移动设备充当对膝上型电脑、桌上型电脑或平板电脑的漫游认证器。应当理解，客户端设备不限于这样的设备，并且其他客户端设备也在本发明的范围内。
举例而言，认证器110可以包括第二设备。认证器110可以包括一个或多个处理器112以及存储器114。存储器114可以包括一个或多个应用，包括但不限于应用116。认证器110可以与系统100的任意数量的部件进行数据通信。例如，认证器110可以经由网络115向服务器120传送数据。认证器110可以经由网络115向数据库125传送数据。非限制性地，认证器110可以是网络使能的计算机。如本文中提及的，网络使能的计算机可以包括但不限于计算机设备或通信设备，包括例如服务器、网络家电、个人计算机、工作站、电话、手持PC、个人数字助理、非接触式卡、瘦客户端、胖客户端、互联网浏览器、信息亭、平板电脑、终端或其他设备。认证器110也可以是移动设备；例如，移动设备可以包括来自苹果的iPhone、iPod、iPad或运行Apple的操作系统的任何其他移动设备、运行Microsoft的/>Mobile操作系统的任何设备、运行Google的/>操作系统的任何设备和/或任何其他智能手机、平板电脑或类似的可穿戴移动设备。
认证器110可以包括处理电路并且可以包含附加部件，包括如执行本文中描述的功能所必需的处理器、存储器、错误和奇偶校验/CRC校验器、数据编码器、防碰撞算法、控制器、命令解码器、安全原语和防篡改硬件。认证器110还可以包括显示器和输入设备。显示器可以是用于呈现视觉信息的任何类型的设备，诸如计算机监视器、平板显示器和移动设备屏幕，包括液晶显示器、发光二极管显示器、等离子面板和阴极射线管显示器。输入设备可以包括由用户设备可用和支持的用于将信息键入到用户设备中的任何设备，诸如触摸屏、键盘、鼠标、光标控制设备、触摸屏、麦克风、数码相机、录像机或摄像机。这些设备可以用于键入信息并且与本文中描述的软件和其他设备进行交互。
系统100可以包括网络115。在一些示例中，网络115可以是无线网络、有线网络、或无线网络和有线网络的任何组合中的一个或多个，并且可以被配置为连接到系统100的任何一个部件。例如，第一设备105可以被配置为经由网络115连接到依赖方或服务器120。在一些示例中，网络115可以包括以下中的一个或多个：光纤网络、无源光网络、电缆网络、互联网网络、卫星网络、无线局域网(local area network，LAN)、全球移动通信系统、个人通信服务、个人区域网、无线应用协议、多媒体消息服务、增强型消息服务、短消息服务、基于时分复用的系统、基于码分多址的系统、D-AMPS、Wi-Fi、固定无线数据、IEEE 802.11b、802.15.1、802.11n和802.11g、蓝牙、NFC、射频识别(Radio Frequency Identification，RFID)、Wi-Fi和/或类似物。
此外，网络115可以包括但不限于电话线、光纤、IEEE以太网902.3、广域网、无线个人区域网、LAN或全球网络诸如互联网。此外，网络115可以支持互联网网络、无线通信网络、蜂窝网络或类似网络、或者它们的任何组合。网络115还可以包括一个网络，或者任意数量的上面提到的示例性类型的网络，作为独立的网络或者相互协作地进行操作。网络115可以利用它们通信地耦合到的一个或多个网络元件的一个或多个协议。网络115可以将其他协议转化为网络设备的一个或多个协议，或者从其他协议转换为网络设备的一个或多个协议。尽管网络115被描绘为单个网络，但是应该理解，根据一个或多个示例，网络115可以包括多个互连的网络，诸如例如，互联网、服务提供商的网络、有线电视网络、公司网络(诸如信用卡协会网络)以及家庭网络。
系统100可以包括服务器120。例如，但不限于，服务器120可以包括依赖方(relying party)。在一些示例中，服务器120可以包括耦合到存储器124的一个或多个处理器122。非限制性地，服务器120可以包括基于云的认证器。服务器120可以被配置为中央系统、服务器或平台，以在不同时间控制和调用各种数据来执行多个工作流动作。服务器120可以被配置为连接到第一设备105。服务器120可以与小应用程序106和/或应用116进行数据通信。例如，服务器120可以经由一个或多个网络115与小应用程序106进行数据通信。第一设备105可以经由一个或多个网络115与一个或多个服务器120进行通信，并且可以作为相应的与服务器120的前端到后端配对进行操作。第一设备105可以例如从在其上执行的小应用程序106向服务器120传送一个或多个请求。一个或多个请求可以与从服务器120检索数据相关联。服务器120可以从第一设备105接收一个或多个请求。基于来自小应用程序106的一个或多个请求，服务器120可以被配置为检索所请求的数据。服务器120可以被配置为将接收到的数据传送到小应用程序106，其中接收到的数据响应于一个或多个请求。
在一些示例中，服务器120可以是专用服务器计算机，诸如刀片服务器，或者可以是个人计算机、膝上型计算机、笔记本式计算机、掌上型计算机、网络计算机、移动设备、可穿戴设备、或者能够支持系统100的任何处理器控制的设备。虽然图1示出了单个依赖方或服务器120，但是应当理解，其他实施例可以根据需要或期望使用多个服务器或多个计算机系统来支持用户，并且还可以使用备份或冗余服务器来防止在特定服务器发生故障的情况下的网络停机。
服务器120可以包括应用，该应用包括用于在其上执行的指令。例如，应用可以包括用于在服务器120上执行的指令。服务器120的应用可以与系统100的任何部件进行通信。例如，服务器120可以执行一个或多个应用，这些应用使能够例如与系统100的一个或多个部件进行网络和/或数据通信，并且传送和/或接收数据。非限制性地，服务器120可以是网络使能的计算机。如本文中提及的，网络使能的计算机可以包括但不限于计算机设备或通信设备，包括例如服务器、网络家电、个人计算机、工作站、电话、手持PC、个人数字助理、非接触式卡、瘦客户端、胖客户端、互联网浏览器或其他设备。服务器120也可以是移动设备；例如，移动设备可以包括来自的iPhone、iPod、iPad或运行/>的iOS操作系统的任何其他移动设备、运行Microsoft的/>Mobile操作系统的任何设备、运行Google的/>操作系统的任何设备和/或任何其他智能手机、平板电脑或类似的可穿戴移动设备。
服务器120可以包括处理电路并且可以包含附加部件，包括如执行本文中描述的功能所必需的处理器、存储器、错误和奇偶校验/CRC校验器、数据编码器、防碰撞算法、控制器、命令解码器、安全原语和防篡改硬件。服务器120还可以包括显示器和输入设备。显示器可以是用于呈现视觉信息的任何类型的设备，诸如计算机监视器、平板显示器和移动设备屏幕，包括液晶显示器、发光二极管显示器、等离子面板和阴极射线管显示器。输入设备可以包括由用户设备可用和支持的用于将信息键入到用户设备中的任何设备，诸如触摸屏、键盘、鼠标、光标控制设备、触摸屏、麦克风、数码相机、录像机或摄像机。这些设备可以用于键入信息并且与本文中描述的软件和其他设备进行交互。
系统100可以包括一个或多个数据库(database)125。数据库125可以包括关系数据库、非关系数据库、或其他数据库实施方式，以及它们的任何组合(包括多个关系数据库和非关系数据库)。在一些示例中，数据库125可以包括桌面数据库、移动数据库或内存数据库。进一步地，数据库125可以由系统100的任何部件(诸如第一设备105或服务器120)在内部托管，或者数据库125可以由基于云的平台在系统100的任何部件(诸如第一设备105或服务器120)的外部托管，或者在与第一设备105和服务器120进行数据通信的任何存储设备中托管。在一些示例中，数据库125可以与系统100的任意数量的部件进行数据通信。例如，服务器120可以被配置为从数据库125中检索由小应用程序106传送的所请求的数据。服务器120可以被配置为经由网络115将接收到的数据从数据库125传送到小应用程序106，其中接收到的数据响应于所传送的一个或多个请求。在其他示例中，小应用程序106可以被配置为经由网络115从数据库125传送针对所请求的数据的一个或多个请求。
在一些示例中，根据本文中描述的本公开的示例性过程可以由处理布置和/或计算布置(例如，计算机硬件布置)执行。这样的处理/计算装置可以是例如计算机/处理器的全部或一部分，或者包括但不限于计算机/处理器，该计算机/处理器可以包括例如一个或多个微处理器，并且使用存储在计算机可访问介质(例如，RAM、ROM、硬盘驱动器或其他存储设备)上的指令。例如，计算机可访问介质可以是第一设备105、认证器110、服务器120和/或数据库125或其他计算机硬件布置的存储器的一部分。
在一些示例中，计算机可访问介质(例如，如上面所描述的，存储设备诸如硬盘、软盘、记忆棒、CD-ROM、RAM、ROM等，或它们的集合)可以被提供(例如，与处理布置进行通信)。计算机可访问介质可以包含其上的可执行指令。另外地或可替选地，存储布置可以与计算机可访问介质分开提供，该存储布置可以向处理布置提供指令，以便将处理布置配置为执行如本文中描述的某些示例性程序、过程和方法。
服务器120的处理器122可以被配置为接收认证请求。例如，该认证请求可以从浏览器扩展101接收。在一些示例中，认证请求可以包括针对线上快速身份验证2(FIDO2)网站注册的请求。处理器122可以被配置为生成一个或多个质询。例如，处理器122可以被配置为生成第一质询。在一些示例中，处理器122可以被配置为对用于登录的认证器110进行质询。第一质询可以包括标识符，诸如用户标识符或站点标识符，其可用于选择适当的FIDO密钥对。第一质询还可以包括不可预测的数字，该数字可以由服务器120给出用于防止重放。例如，对于每个认证实例，将需要新的不可预测的数字，因此不可预测的数字每次都是不同的。以这种方式，避免了利用旧的不可预测数字的签名，而是将该数字用于即时认证会话。
认证器110(诸如移动设备的处理器112)可以被配置为提示第一设备105的一次或多次进入。例如，一次或多次进入可以包括选自轻敲、滑动、挥动或类似和/或它们的任何组合的组中的至少一个。因此，第一设备105的通信接口107可以进入认证器110的通信场(诸如移动设备的通信场)。第一设备105可以被配置为取决于从认证器110接收到的第一指令，生成或检索与特定用户或站点相关联的FIDO密钥对。所生成或检索的FIDO密钥对可以由认证器110读取。FIDO密钥对可以包括FIDO私钥，该FIDO私钥可以由认证器110从第一设备105读取，并且可以由认证器110使用以对第一质询进行签名，从而产生经签名的质询数据。FIDO私钥可以经由第一设备105的通信接口107进入通信场来检索。在一些示例中，FIDO私钥可以在其传递到认证器110前由第一设备105进行加密，在这种情况下，移动设备的处理器112可以被配置为对接收到的已加密的FIDO私钥进行解密。服务器120可以从认证器110(诸如移动设备的处理器112)接收经签名的质询数据。服务器120可以执行对经签名的质询数据的验证。例如，服务器120可以用当用户注册到站点时存储的FIDO公钥对经签名的质询数据进行验证。验证可以包括认证过程的结果，该认证过程包括签名验证。
在一些示例中，可以阻止FIDO私钥从第一设备105向认证器110的传输。例如，当第一设备105执行第一质询的签名时，避免FIDO私钥的空中(over the air，OTA)传输。因此，第一质询和站点或用户标识符信息从认证器被传送到第一设备105，由此经由代理协议通过近场通信(near field communication，NFC)将其计算结果分配给第一设备105。
在一些示例中，FIDO私钥可以使用一种或多种密码算法基于主密钥和与认证请求相关联的标识符来生成。例如，标识符可以包括站点标识符，并且与主密钥结合以产生另一个密钥对。第一设备105可以被配置为在存储器104中存储有限数量的密钥，以避免务必重新生成密钥。在其他示例中，来自认证器110的第一指令可以包括由第一设备105重新生成FIDO私钥(诸如作为公钥/私钥对的一部分的私钥)的请求。
在一些示例中，主密钥被存储在第一设备105上的存储器104中，并且主密钥可以与第一设备105上的站点标识符结合以生成FIDO私钥。在其他示例中，主密钥可以从第一设备105被传递到认证器110，其中主密钥和站点标识符的组合由认证器110执行以生成FIDO私钥。
在一些示例中，不是在第一设备105中生成或存储FIDO私钥，而是FIDO私钥可以在属于认证器110的安全元件中被生成或存储。例如，FIDO私钥可以被存储在由认证器110维护的安全元件中。在一些示例中，安全元件可以包括防篡改安全存储区域，在该区域中一个或多个密钥可以由服务器120安全地存储并检索。
在指令生成之后，认证器110可以被配置为向第一设备105传送第一指令。认证器110可以被配置为基于第一指令从第一设备105接收FIDO私钥。第一指令可以由认证器110传送到第一设备105的处理器102。例如，第一设备105的处理器102可以被配置为生成FIDO私钥。第一设备105的处理器102可以被配置为传送FIDO私钥。例如，第一设备105的处理器102可以被配置为将FIDO私钥传送到认证器110，诸如包括用于在认证器110上执行的指令的应用116。如上文先前解释的，认证器110可以是但不限于移动设备，诸如膝上型电脑或平板电脑或手机。在一些示例中，FIDO私钥可以经由一个或多个信道被传送和接收。例如，FIDO私钥可以经由带外信道被传送和接收。第一设备105的处理器102可以被配置为经由通信接口107进入认证器110的通信场中来将FIDO私钥传送到认证器110。在一些示例中，该进入可以与一个或多个手势相关联，包括但不限于一个或多个轻敲、滑动、挥动和/或它们的任何组合。认证器110可以被配置为将第一FIDO密钥传送到服务器120的处理器122以供验证，并且因此认证器110可以被配置为充当第一设备105与服务器120的处理器122之间的中介设备。
处理器122可以被配置为使用第二FIDO密钥诸如FIDO公钥(可以是如先前解释的公钥/私钥对的一部分)来验证从认证器110传送的经签名的质询数据。例如，包括了用于在认证器110上执行的指令的应用116可以被配置为使用FIDO私钥对由网站发布的第一质询进行签名。一旦该质询已经由认证器110签名，该质询就可以被传送到处理器122，以使用存储在服务器120的存储器124中的FIDO公钥进行验证。
处理器122可以被配置为生成第二指令。例如，第二指令可以包括用以传送输入数据的第二请求。在指令生成之后，处理器122可以被配置为传送第二指令。例如，处理器122可以被配置为向认证器110传送第二指令。在一些示例中，第二指令可以经由一个或多个推送通知由处理器122转发给应用116。在一些示例中，第二指令可以在处理器122和/或数据库125对一个或多个条件进行评估之后由处理器122传送。例如，一个或多个条件中的至少一个可以包括确定在预定时间段内的认证请求的阈值数量。例如，处理器122和/或数据库125可以被配置为确定在任意数量的秒、分、小时、天、周、月、年等内是否执行了异常数量的交易或请求。在另一个示例中，一个或多个条件中的至少一个可以包括确定是否发生了与账户和/或用户相关联的误用或欺诈。例如，处理器122和/或数据库125可以被配置为确定用户交易历史是否指示过量的购买或异常的位置。以这种方式，可以实施有条件的多因素认证以提高安全性，这可以触发用于接收输入数据的第二指令的传输。
处理器122可以被配置为基于第二指令接收输入数据。处理器122可以被配置为从认证器110接收输入数据，诸如从包括用于在第二设备上执行的指令的应用116接收输入数据。输入数据可以包括选自生物识别数据和凭证数据的组中的至少一个。例如，输入数据可以包括生物识别数据、凭证数据和/或它们的任何组合。非限制性地，生物识别数据可以包括选自指纹、面部扫描、视网膜扫描、语音识别和/或它们任何组合的组中的至少一个。在一些示例中，输入数据可以另外地和/或可替选地包括凭证数据。非限制性地，登录数据可以包括选自用户名、密码、账号、安全码、一次性口令、安全问题的答案和/或它们的任何组合的登入的组中的至少一个。
处理器122可以被配置为通过对输入数据进行认证来完成认证请求。例如，处理器122可以被配置为通过将接收到的输入数据与基准输入数据进行比较来生成一个或多个结果。在一些示例中，基准输入数据可以存储在服务器120的存储器124中。在其他示例中，基准输入数据可以由处理器122请求。例如，处理器122可以被配置为经由一个或多个请求接收基准输入数据，或者可替选地将输入数据传送到数据库125以与基准输入数据进行比较。例如，服务器120的处理器122可以被配置为：当基于接收到的输入数据与基准输入数据之间的比较而导致成功匹配时，生成指示成功认证的结果。在另一个示例中，服务器120的处理器122可以被配置为：当基于接收到的输入数据与基准输入数据之间的比较导致不成功匹配时，生成不成功的认证的结果。在确定认证不成功时，服务器120的处理器122可以被配置为在成功认证输入数据之前，重新认证输入数据直到并包括预定次数的尝试为止以便完成认证请求，或者中止认证请求的完成。以这种方式，系统100可以用分布式存储、基于云的存储以及支持前述功能的其他形式的存储来实现。
图2A示出了一个或多个第一设备200。如上文关于图1所解释的，第一设备200可以参照第一设备105的相同或相似部件。尽管图2A和图2B示出了第一设备200的部件的单个实例，但是可以利用任意数量的部件。
第一设备200可以被配置为与系统100的一个或多个部件通信。第一设备200可以包括接触式卡(例如，通过刷磁条或通过插入芯片读取器读取的卡)或非接触式卡，并且第一设备200可以包括由显示在第一设备200的正面或背面的服务提供商205发行的支付卡，诸如信用卡、借记卡或礼品卡。在一些示例中，第一设备200与支付卡无关，并且可以包括但不限于身份证、会员卡和交通卡。在一些示例中，支付卡可以包括双接口非接触式支付卡。
第一设备200可以包括基板210，该基板可以包括由塑料、金属和其他材料构成的单层或一个或多个层压层。示例性基板材料包括聚氯乙烯、聚氯乙烯醋酸酯、丙烯腈丁二烯苯乙烯、聚碳酸酯、聚酯、阳极化钛、钯、金、碳、纸和可生物降解材料。在一些示例中，第一设备200可以具备符合ISO/IEC 7810标准的ID-1格式的物理特性，并且第一设备200可以另外符合ISO/IEC 14443标准。然而，应当理解，根据本公开的第一设备200可以具备不同的特性，并且本公开不要求支付卡中的实施方式。
第一设备200还可以包括显示在卡的正面和/或背面的识别信息215，以及接触垫220。接触垫220可以被配置为建立与另一个通信设备(包括但不限于用户设备、智能手机、膝上型计算机、桌上型计算机或平板计算机)的接触。第一设备200还可以包括图2A中未示出的处理电路、天线和其他部件。这些部件可以位于接触垫220后面或基板210上的其他地方。第一设备200还可以包括磁条或磁带，其可以位于卡的背面(图2A中未示出)。
如图2B所示，图2A的接触垫220可以包括用于存储和处理信息的处理电路225，该处理电路包括诸如微处理器的处理器230和存储器235。应当理解的是，处理电路225可以包含附加部件，包括如执行本文中描述的功能所必需的处理器、存储器、错误和奇偶校验/CRC校验器、数据编码器、防碰撞算法、控制器、命令解码器、安全原语和防篡改硬件。
存储器235可以是只读存储器、一次写入多次读取存储器或读/写存储器，例如，RAM、ROM和EEPROM，并且第一设备200可以包括这些存储器中的一个或多个。只读存储器可以是厂商可编程为只读或一次性可编程的。一次性可编程性提供了一次写入然后多次读取的机会。一次写入/多次读取存储器可以在存储器芯片出厂后的某个时间点被编程。一旦存储器被编程，它就可能不会被重写，但是可以被多次读取。读/写存储器可以在出厂后被多次编程和重新编程。它也可以被多次读取。
存储器235可以被配置为存储一个或多个小应用程序240、一个或多个计数器245以及客户标识符250。一个或多个小应用程序240可以包括配置为在一个或多个接触式卡或非接触式卡上执行的一个或多个软件应用，诸如Java Card小应用程序。然而，应当理解，小应用程序240不限于Java Card小应用程序，而可以是可在接触式卡或非接触式卡或具有有限存储器的其他设备上操作的任何软件应用。一个或多个计数器245可以包括足以存储整数的数字计数器。客户标识符250可以包括分配给第一设备200的用户的唯一字母数字标识符，并且该标识符可以将非接触式卡的用户与其他非接触式卡用户区分开。在一些示例中，客户标识符250可以识别客户和分配给该客户的账户两者，并且可以进一步识别与客户账户相关联的非接触式卡。
参照接触垫描述了前述示例性实施例的处理器和存储器元件，但是本公开不限于此。应当理解，这些元件可以被实施在接触垫220之外或者与其完全分离，或者被实施为除了位于接触垫220内的处理器230和存储器235元件以外的其他元件。
在一些示例中，第一设备200可以包括一个或多个天线255。一个或多个天线255可以被放置在第一设备200内并且在接触垫220的处理电路225周围。例如，一个或多个天线255可以与处理电路225构成一体，并且一个或多个天线255可以与外部升压线圈一起使用。再例如，一个或多个天线255可以在接触垫220和处理电路225的外部。
在实施例中，第一设备200的线圈可以充当空芯变压器的次级。终端可以通过切断电力或振幅调制与第一设备200通信。第一设备200可以使用第一设备的电力连接中的间隙来推断从终端传送的数据，这可以通过一个或多个电容器在功能上维持。第一设备200可以通过切换第一设备线圈上的负载或负载调制进行返回通信。负载调制可以通过干扰在终端线圈中检测到。
图3描述了认证方法300。图3可以参照图1的系统100以及图2A和图2B的第一设备200的相同或相似部件。
在框305处，方法300可以包括：在处理器处接收一个或多个质询。例如，依赖方或服务器可以被配置为生成第一质询。在一些示例中，依赖方可以被配置为对认证器(诸如移动设备的处理器)进行质询以登录。第一质询可以包括标识符，诸如用户标识符或站点标识符，其可用于选择适当的FIDO密钥对。第一质询还可以包括不可预测的数字，该数字可以由依赖方给出用于防止重放。例如，对于每个认证实例，将需要新的不可预测的数字，因此不可预测的数字每次都是不同的。以这种方式，避免了利用旧的不可预测数字的签名，而是将该数字用于即时认证会话。
在一些示例中，第一请求可以包括认证请求。认证请求可以包括针对线上快速身份验证2(FIDO2)网站注册的请求。处理器可以被配置为生成一条或多条指令。例如，处理器可以被配置为生成第一指令。每条指令可以包括一个或多个请求。第一指令可以包括用以从第一设备的处理器中检索第一密钥的第一请求。该密钥可以包括FIDO密钥。第一密钥可以经由第一设备的通信接口进入通信场中来检索。在一些示例中，第一指令可以包括用以由第一设备的处理器生成第一密钥的请求。在其他示例中，第一指令可以包括用以由第一设备的处理器重新生成第一FIDO密钥(诸如作为公钥/私钥对的一部分的私钥)的请求。
在框310处，方法300可以包括：由处理器生成第一指令，该第一指令包括用以从第一设备中检索第一线上快速身份验证(FIDO)密钥的请求。例如，基于从依赖方接收到的第一质询，认证器(诸如移动设备的处理器)可以被配置为通过生成一条或多条指令来提示第一设备的一次或多次进入。例如，一次或多次进入可以包括选自轻敲、滑动、挥动或类似物、和/或它们的任何组合的组中的至少一个。第一指令可以包括用以由第一设备生成第一FIDO密钥的请求。在一些示例中，第一FIDO密钥可以使用一种或多种密码算法基于主密钥和与第一请求相关联的标识符来生成。例如，标识符可以包括站点标识符，并且与主密钥结合以产生密钥对。在一些示例中，主密钥被存储在第一设备上，并且主密钥可以与第一设备上的站点标识符结合以生成私钥。在其他示例中，主密钥可以从第一设备被传递到包括用于在第二设备上执行的指令的应用，其中主密钥和站点标识符的组合由第二设备的应用执行以生成私钥。在一些示例中，不是在第一设备中生成或存储FIDO私钥，而是第一FIDO密钥可以在属于第二设备的安全元件中被生成或存储。例如，FIDO私钥可以被存储在由第二设备维护的安全元件中。在一些示例中，安全元件可以包括防篡改安全存储区域，在该区域中一个或多个密钥可以由服务器安全地存储并检索。
在框315处，方法300可以包括：由处理器传送第一指令。例如，处理器可以被配置为向第一设备传送第一指令。在一些示例中，第一指令可以由认证器传送到第一设备的处理器。在指令生成之后，认证器可以被配置为向第一设备传送第一指令。
在框320处，方法300可以包括：接收第一FIDO密钥。例如，第一设备的通信接口可以进入认证器的通信场(诸如移动设备的通信场)以传递第一FIDO密钥。第一设备可以被配置为：取决于从认证器接收到的第一指令而生成或检索与特定用户或站点相关联的FIDO密钥对。所生成或检索的FIDO密钥对可以由认证器读取。FIDO密钥对可以包括FIDO私钥，该FIDO私钥可以由认证器从第一设备读取，并且可以由认证器使用以对第一质询进行签名，从而产生经签名的质询数据。FIDO私钥可以经由第一设备的通信接口进入通信场来检索。在一些示例中，FIDO私钥可以在其传递到认证器前由第一设备进行加密，在这种情况下，移动设备的处理器可以被配置为对接收到的已加密的FIDO私钥进行解密。
在一些示例中，FIDO私钥可以使用一种或多种密码算法基于主密钥和与认证请求相关联的标识符来生成。例如，标识符可以包括站点标识符，并且与主密钥结合以产生另一个密钥对。第一设备可以被配置为在其存储器中存储有限数量的密钥，以避免必须重新生成密钥。在其他示例中，来自认证器的第一指令可以包括用以由第一设备重新生成FIDO私钥(诸如作为公钥/私钥对的一部分的私钥)的请求。
在一些示例中，主密钥被存储在第一设备上的存储器中，并且主密钥可以与第一设备上的站点标识符结合以生成FIDO私钥。在其他示例中，主密钥可以从第一设备被传递到认证器，其中主密钥和站点标识符的组合由认证器执行以生成FIDO私钥。
在一些示例中，可以阻止FIDO私钥从第一设备向认证器的传输。例如，当第一设备执行第一质询的签名时避免FIDO私钥的空中(OTA)传输。因此，第一质询和站点或用户标识符信息从认证器被传送到第一设备，由此该认证器经由代理协议通过近场通信(NFC)将其计算结果分配给第一设备。
在一些示例中，不是在第一设备中生成或存储FIDO私钥，而是FIDO私钥可以在属于认证器的安全元件中被生成或存储。例如，FIDO私钥可以被存储在由第二设备维护的安全元件中。在一些示例中，安全元件可以包括防篡改安全存储区域，在该区域中一个或多个密钥可以由依赖方安全地存储并检索。
在一些示例中，第一设备的处理器可以被配置为生成FIDO私钥。第一设备的处理器可以被配置为传送FIDO私钥。例如，第一设备的处理器可以被配置为将FIDO私钥传送到认证器，诸如包括用于在第二设备上执行的指令的应用。如上文先前解释的，认证器可以是但不限于移动设备诸如膝上型电脑或平板电脑或手机。在一些示例中，FIDO私钥可以经由一个或多个信道被传送和接收。例如，FIDO私钥可以经由带外信道被传送和接收。第一设备的处理器可以被配置为经由第一设备的通信接口进入认证器的通信场来向认证器发送FIDO私钥。在一些示例中，该进入可以与一个或多个手势相关联，包括但不限于一个或多个轻敲、滑动、挥动和/或它们的任何组合。
例如，第一设备的处理器可以被配置为生成第一FIDO密钥。第一设备的处理器可以被配置为传送第一FIDO密钥。例如，第一设备的处理器可以被配置为将第一FIDO密钥传送到包括用于在第二设备上执行的指令的应用。如上文先前解释的，第二设备可以是但不限于移动设备，诸如膝上型电脑或平板电脑或手机。在一些示例中，第一FIDO密钥可以经由一个或多个信道被传送和接收。例如，第一FIDO密钥可以经由带外信道被传送和接收。第一设备的处理器可以被配置为经由通信接口进入第二设备的通信场来将第一FIDO密钥传送到第二设备的应用。在一些示例中，该进入可以与一个或多个手势相关联，包括但不限于一个或多个轻敲、滑动、挥动和/或它们的任何组合。第二设备的应用可以被配置为将第一FIDO密钥传送到服务器的处理器以供验证，并且因此第二设备可以被配置为充当第一设备与处理器之间的中介设备。
在框325处，方法300可以包括：由处理器使用第一FIDO密钥来对一个或多个质询进行签名。
在框330处，方法300可以包括：由处理器传送一个或多个经签名的质询以使用第二FIDO密钥进行验证。例如，处理器可以被配置为向依赖方传送一个或多个经签名的质询。依赖方可以从认证器(诸如移动设备的处理器)接收经签名的质询数据。依赖方可以执行对经签名的质询数据的验证。例如，依赖方可以用FIDO公钥对经签名的质询数据进行验证，该FIDO公钥是在用户注册到站点时存储的。验证可以包括认证过程的结果，该认证过程包括签名验证。认证器可以被配置为将第一FIDO密钥传送到依赖方的处理器以供验证，并且因此认证器可以被配置为充当第一设备与依赖方的处理器之间的中介设备。
依赖方可以被配置为经由网站FIDO服务来验证FIDO私钥。依赖方可以被配置为使用第二FIDO密钥(诸如FIDO公钥)来验证从认证器传送的经签名的质询数据，如先前解释的，该FIDO公钥可以是公钥/私钥对的一部分。例如，包括用于在第二设备上执行的指令的应用可以被配置为使用FIDO私钥来对由网站发布的第一质询进行签名。一旦该质询已经由认证器签名，该质询就可以被传送到处理器，以使用存储在服务器的存储器中的FIDO公钥进行验证。
依赖方可以被配置为生成第二指令。例如，第二指令可以包括用以传送输入数据的第二请求。在指令生成之后，依赖方可以被配置为传送第二指令。例如，依赖方可以被配置为向认证器传送第二指令。在一些示例中，第二指令可以经由一个或多个推送通知由依赖方转发给应用。在一些示例中，第二指令可以在由依赖方和/或数据库对一个或多个条件的评估之后由依赖方传送。例如，一个或多个条件中的至少一个可以包括确定在预定时间段内的认证请求的阈值数量。例如，依赖方和/或数据库可以被配置为确定在任意数量的秒、分、小时、天、周、月、年等内是否执行了异常数量的交易或请求。在另一个示例中，一个或多个条件中的至少一个可以包括确定是否发生了与账户和/或用户相关联的误用或欺诈。例如，依赖方和/或数据库可以被配置为确定用户交易历史是否指示过量的购买或异常位置。以这种方式，可以实施有条件的多因素认证以提高安全性，这可以触发用于接收输入数据的第二指令的传输。
依赖方可以被配置为基于第二指令来接收输入数据。依赖方可以被配置为接收来自认证器的输入数据，诸如来自包括用于在第二设备上执行的指令的应用的输入数据。输入数据可以包括选自生物识别数据和凭证数据的组中的至少一个。例如，输入数据可以包括生物识别数据、凭证数据和/或它们的任何组合。非限制性地，生物识别数据可以包括选自指纹、面部扫描、视网膜扫描、语音识别和/或它们的任何组合的组中的至少一个。在一些示例中，输入数据可以另外地和/或可替选地包括凭证数据。非限制性地，登录数据可以包括选自用户名、密码、账号、安全码、一次性口令、安全问题的答案和/或它们的任何组合的登入的组中选择的至少一个。
依赖方可以被配置为通过对输入数据进行认证来完成认证请求。例如，依赖方可以被配置为通过将接收到的输入数据与基准输入数据进行比较来生成一个或多个结果。在一些示例中，基准输入数据可以存储在依赖方的存储器中。在其他示例中，基准输入数据可以由依赖方请求。例如，依赖方可以被配置为经由一个或多个请求来接收基准输入数据，或者可替选地将输入数据传送到数据库以与基准输入数据进行比较。例如，依赖方的处理器可以被配置为：当基于接收到的输入数据与基准输入数据之间的比较而导致成功匹配时，生成指示成功认证的结果。在另一个示例中，依赖方的处理器可以被配置为：当基于接收到的输入数据与基准输入数据之间的比较而导致不成功匹配时，生成不成功的认证的结果。在确定认证不成功时，依赖方的处理器可以被配置为在成功认证输入数据之前，重新认证输入数据直到并包括预定次数的尝试为止以便完成认证请求，或者中止认证请求的完成。以这种方式，认证系统可以用分布式存储、基于云的存储以及支持前述功能的其他形式的存储来实施。
图4描绘了根据示例性实施例的认证过程的时序图400。图4可以参照系统100、图2A和图2B的第一设备200以及图3的方法300的相同或相似部件。
在步骤405处，处理器可以被配置为接收认证请求。例如，处理器可以是依赖方或服务器的一部分。在一些示例中，认证请求可以包括针对线上快速身份验证2(FIDO2)网站注册的请求。例如，该请求可以从浏览器扩展被接收。
在步骤410处，处理器可以被配置为响应于认证请求而生成一个或多个质询。例如，处理器可以被配置为生成第一质询。在一些示例中，依赖方可以被配置为对认证器(诸如移动设备的处理器)进行质询以登录。第一质询可以包括标识符，诸如用户标识符或站点标识符，其可用于选择适当的FIDO密钥对。第一质询还可以包括不可预测的数字，该数字可以由依赖方给出用于防止重放。例如，对于每个认证实例，将需要新的不可预测的数字，因此不可预测的数字每次都是不同的。以这种方式，避免了利用旧的不可预测数字的签名，而是将该数字用于即时认证会话。
在步骤415处，处理器可以被配置为传送第一质询。例如，处理器可以被配置为将第一指令传送到认证器，诸如包括用于在设备(包括但不限于移动设备)上执行的指令的应用。
在步骤420处，第一指令可以被传送到第一设备。例如，该第一指令可以由认证器生成和/或传送到卡的处理器。处理器可以被配置为生成一条或多条指令。例如，处理器可以被配置为生成第一指令。每条指令可以包括一个或多个请求。第一指令可以包括用以从第一设备的处理器中检索第一密钥的第一请求。该密钥可以包括FIDO密钥。第一密钥可以经由第一设备的通信接口进入通信场(诸如认证器的通信场)来检索。在一些示例中，第一指令可以包括用以由第一设备的处理器生成第一密钥的请求。在其他示例中，第一指令可以包括用以由第一设备的处理器重新生成第一FIDO密钥(诸如作为公钥/私钥对的一部分的私钥)的请求。
例如，认证器(诸如移动设备的处理器)可以被配置为基于从依赖方接收到的第一质询，通过生成一条或多条指令来提示第一设备的一次或多次进入。例如，一次或多次进入可以包括选自轻敲、滑动、挥动或类似物、和/或它们的任何组合的组中的至少一个。第一指令可以包括用以由第一设备生成第一FIDO密钥的请求。在一些示例中，第一FIDO密钥可以使用一种或多种密码算法基于主密钥和与第一请求相关联的标识符来生成。例如，标识符可以包括站点标识符，并且与主密钥结合以产生密钥对。在一些示例中，主密钥被存储在第一设备上，并且主密钥可以与第一设备上的站点标识符结合以生成私钥。
在步骤425处，第一设备的处理器可以被配置为生成并且传送第一FIDO密钥。例如，第一设备的通信接口可以进入认证器的通信场(诸如移动设备的通信场)以传递第一FIDO密钥。第一设备可以被配置为取决于从认证器接收到的第一指令而生成或检索与特定用户或站点相关联的FIDO密钥对。所生成或检索的FIDO密钥可以由认证器读取。FIDO密钥对可以包括FIDO私钥，该FIDO私钥可以由认证器从第一设备读取，并且可以由认证器使用以对第一质询进行签名，从而产生经签名的质询数据。FIDO私钥可以经由第一设备的通信接口进入通信场来检索。在一些示例中，FIDO私钥可以在其传递到认证器前由第一设备进行加密，在这种情况下，移动设备的处理器可以被配置为对接收到的已加密的FIDO私钥进行解密。
在一些示例中，FIDO私钥可以使用一种或多种密码算法基于主密钥和与认证请求相关联的标识符来生成。例如，标识符可以包括站点标识符，并且与主密钥结合以产生另一个密钥对。第一设备可以被配置为在其存储器中存储有限数量的密钥，以避免必须重新生成密钥。在其他示例中，来自认证器的第一指令可以包括用以由第一设备重新生成FIDO私钥(诸如作为公钥/私钥对的一部分的私钥)的请求。
在一些示例中，主密钥被存储在第一设备上的存储器中，并且主密钥可以与第一设备上的站点标识符结合以生成FIDO私钥。在其他示例中，主密钥可以从第一设备被传递到认证器，其中主密钥和站点标识符的组合由认证器执行以生成FIDO私钥。
在一些示例中，可以阻止FIDO私钥从第一设备向认证器的传输。例如，当第一设备执行第一质询的签名时避免FIDO私钥的空中(OTA)传输。因此，第一质询和站点或用户标识符信息从认证器被传送到第一设备，由此该认证器经由代理协议通过近场通信(NFC)将其计算结果分配给第一设备。
在一些示例中，不是在第一设备中生成或存储FIDO私钥，而是FIDO私钥可以在属于认证器的安全元件中被生成或存储。例如，FIDO私钥可以被存储在由第二设备维护的安全元件中。在一些示例中，安全元件可以包括防篡改安全存储区域，在该区域中一个或多个密钥可以由依赖方安全地存储并检索。
在一些示例中，第一设备的处理器可以被配置为生成FIDO私钥。第一设备的处理器可以被配置为传送FIDO私钥。例如，第一设备的处理器可以被配置为将FIDO私钥传送到认证器，诸如包括用于在第二设备上执行的指令的应用。如上面先前解释的，认证器可以是但不限于移动设备诸如膝上型电脑或平板电脑或手机。在一些示例中，FIDO私钥可以经由一个或多个信道被传送和接收。例如，FIDO私钥可以经由带外信道被传送和接收。第一设备的处理器可以被配置为经由第一设备的通信接口进入认证器的通信场来向认证器发送FIDO私钥。在一些示例中，该进入可以与一个或多个手势相关联，包括但不限于一个或多个轻敲、滑动、挥动和/或它们的任何组合。
在步骤430处，认证器可以被配置为接收第一FIDO密钥。例如，第二设备的应用可以被配置为从第一设备的处理器接收第一FIDO私钥。认证器可以被配置为使用接收到的第一FIDO密钥而对第一质询进行签名。认证器可以被配置为将经签名的第一质询传送到依赖方以供验证。
在步骤435处，依赖方或服务器的处理器可以被配置为验证经签名的第一质询。例如，依赖方或服务器的处理器可以被配置为从认证器接收经签名的第一质询。例如，依赖方可以用FIDO公钥对经签名的质询数据进行验证，该公钥是在用户注册到站点时存储的。验证可以包括认证过程的结果，该认证过程包括签名验证。认证器可以被配置为将第一FIDO密钥传送到依赖方的处理器以供确认，并且因此认证器可以被配置为充当第一设备与依赖方的处理器之间的中介设备。
在步骤440处，依赖方或服务器的处理器可以被配置为生成第二指令。例如，第二指令可以包括用以传送输入数据的第二请求。在一些示例中，处理器可以被配置为评估一个或多个条件。例如，第二指令可以在对一个或多个条件的评估之后由处理器传送。例如，一个或多个条件中的至少一个可以包括确定在预定时间段内的认证请求的阈值数量。例如，处理器可以被配置为确定在任意数量的秒、分、小时、天、周、月、年等内是否执行了异常数量的交易或请求。在另一个示例中，一个或多个条件中的至少一个可以包括确定是否发生了与账户和/或用户相关联的误用或欺诈。例如，处理器可以被配置为确定用户交易历史是否指示过量的购买或异常位置。以这种方式，可以实施有条件的多因素认证以提高安全性，这可以触发用于接收输入数据的第二指令的传输。
在步骤445处，认证器可以被配置为接收第二指令。例如，移动设备的处理器可以被配置为在由依赖方或服务器对一个或多个条件的评估之后从依赖方或服务器的处理器接收第二指令。在一些示例中，第二指令可以由依赖方或服务器的处理器转发给认证器，诸如包括用于经由一个或多个推送通知来执行移动设备的指令的应用。
在步骤450处，认证器可以被配置为基于第二指令传送输入数据。例如，移动设备的处理器或应用可以被配置为将输入数据传送到依赖方，诸如服务器的处理器。输入数据可以包括选自生物识别数据和凭证数据的组中的至少一个。例如，输入数据可以包括生物识别数据、凭证数据和/或它们的任何组合。非限制性地，生物识别数据可以包括选自指纹、面部扫描、视网膜扫描、语音识别和/或它们的任何组合的组中的至少一个。在一些示例中，输入数据可以另外地和/或可替选地包括凭证数据。非限制性地，登录数据可以包括选自用户名、密码、账号、安全码、一次性口令、安全问题的答案、和/或它们的任何组合的登入的组中的至少一个。
在步骤455处，依赖方或服务器可以被配置为通过对输入数据进行认证来完成认证请求。例如，依赖方或服务器的处理器可以被配置为从认证器(诸如包括用于执行移动设备的指令的处理器或应用)接收输入数据。在一些示例中，依赖方或服务器的处理器可以被配置为通过将接收到的输入数据与基准输入数据进行比较来生成一个或多个结果。在一些示例中，基准输入数据可以由依赖方或服务器存储。在其他示例中，基准输入数据可以由依赖方或服务器请求。例如，依赖方或服务器的处理器可以被配置为经由一个或多个请求来接收基准输入数据，或者可替选地将输入数据传送到数据库以与基准输入数据进行比较。例如，依赖方或服务器可以被配置为：当基于接收到的输入数据与基准输入数据之间的比较而导致成功匹配时，生成指示成功认证的结果。在另一个示例中，依赖方或服务器可以被配置为：当基于接收到的输入数据与基准输入数据之间的比较导致不成功匹配时，生成不成功的认证的结果。在确定认证不成功时，依赖方或服务器可以被配置为在成功认证输入数据之前，重新认证输入数据直到并包括预定次数的尝试为止以便完成认证请求，或者中止认证请求的完成。以这种方式，认证过程的时序图400可以用分布式存储、基于云的存储以及支持前述功能的其他形式的存储来实施。
图5描绘了根据示例性实施例的认证方法500。图5可以参照系统100、图2A和图2B的第一设备200、图3的方法300以及图4的时序图400的相同或相似部件。
在框505处，方法500可以包括：在处理器处接收第一指令。处理器可以耦合到包括应用的存储器，该应用包括用于在第一设备(诸如卡)上执行的指令。在一些示例中，第一指令可以与认证请求的完成相关联。例如，认证请求可以包括针对线上快速身份验证2(FIDO2)网站注册的请求。第一指令可以是由认证器(诸如包括用于在第二设备(诸如客户端设备或移动设备)上执行的指令的应用)的处理器生成和/或传送的一条或多条指令的一部分。例如，认证器的处理器可以被配置为生成第一指令。每条指令可以包括一个或多个请求。第一指令可以包括用以从第一设备的处理器中生成或检索第一密钥的第一请求。密钥可以包括FIDO密钥，诸如FIDO私钥。
第一指令可以包括用以从第一设备中检索第一线上快速身份验证(FIDO)密钥的请求，该第一设备包括但不限于卡。第一指令可以包括用以由第一设备生成第一FIDO密钥的请求。在一些示例中，第一FIDO密钥可以使用一种或多种密码算法基于主密钥和与第一请求相关联的标识符来生成。例如，标识符可以包括站点标识符，并且与主密钥结合以产生密钥对。在一些示例中，主密钥被存储在第一设备上，并且主密钥可以与第一设备上的站点标识符结合以生成私钥。在一些示例中，不是在第一设备中生成或存储FIDO私钥，而是FIDO私钥可以在属于认证器或第二设备(诸如可包括移动设备的客户端设备)的安全元件中被生成或存储。例如，FIDO私钥可以被存储在由第二设备维护的安全元件中。在一些示例中，安全元件可以包括防篡改安全存储区域，在该区域中一个或多个密钥可以由认证器或依赖方服务器安全地存储并检索。例如，认证器可以被配置为向第一设备传送第一指令，使得认证器可以被配置为充当第一设备与依赖方或服务器之间的中介设备。
在框510处，方法500可以包括：生成第一密钥。例如，第一密钥可以经由第二设备的通信接口进入认证器或客户端设备(诸如移动设备)的通信场来检索。在一些示例中，第一指令可以包括用以由第一设备生成第一密钥的请求。在其他示例中，第一指令可以包括用以由第一设备重新生成第一FIDO密钥(诸如作为公钥/私钥对的一部分的私钥)的请求。认证器(诸如移动设备的处理器)可以被配置为提示第一设备的一次或多次进入。例如，一次或多次进入可以包括选自轻敲、滑动、挥动或类似、和/或它们的任何组合的组中的至少一个。因此，第一设备的通信接口可以进入认证器的通信场(诸如移动设备的通信场)。第一设备可以被配置为基于从认证器接收到的第一指令而生成或检索与特定用户或站点相关联的FIDO密钥对。第一设备的处理器可以被配置为经由第一设备的通信接口到认证器的通信场的第一次进入而从认证器接收第一指令，并且经由第一设备的通信接口到认证器的通信场的第二次进入而将FIDO私钥传送到认证器。在一些示例中，一次或多次进入可以与一个或多个手势相关联，包括但不限于一个或多个轻敲、滑动、挥动和/或它们的任何组合。
在一些示例中，FIDO私钥可以使用一种或多种密码算法基于主密钥和与认证请求相关联的标识符来生成。例如，标识符可以包括站点标识符，并且与主密钥结合以产生另一个密钥对。第一设备可以被配置为在其存储器中存储有限数量的密钥，以避免必须重新生成密钥。在其他示例中，来自认证器的第一指令可以包括由第一设备重新生成FIDO私钥(诸如作为公钥/私钥对的一部分的私钥)的请求。
在一些示例中，主密钥被存储在第一设备上的存储器中，并且主密钥可以与第一设备上的站点标识符结合以生成FIDO私钥。在其他示例中，主密钥可以从第一设备传送到认证器，其中主密钥和站点标识符的组合由认证器执行以生成FIDO私钥。
在一些示例中，不是在第一设备中生成或存储FIDO私钥，而是FIDO私钥可以在属于认证器的安全元件中被生成或存储。例如，FIDO私钥可以被存储在由第二设备维护的安全元件中。
在框515处，方法500可以包括：对第一密钥进行加密。例如，FIDO私钥可以在其传递到认证器前由第一设备进行加密。因此，移动设备的处理器可以被配置为在对一个或多个质询进行签名前对接收到的已加密的FIDO私钥进行解密。
在框520处，方法500可以包括：传送已加密的第一密钥以供验证。例如，第一设备的处理器可以被配置为将已加密的FIDO私钥传送到认证器以供验证。所生成或检索的FIDO密钥对可以由认证器读取，包括但不限于经由近场通信(NFC)。FIDO密钥对可以包括FIDO私钥，该FIDO私钥可以由认证器从第一设备读取。FIDO私钥可以经由第一设备的通信接口到认证器的通信场的一次或多次进入来检索。
在一些示例中，可以阻止已加密的FIDO私钥从第一设备向认证器的传输。例如，当第一设备被配置为执行对第一质询的签名时，避免FIDO私钥的空中(OTA)传输。因此，第一质询和站点或用户标识符信息从认证器被传送到第一设备，由此该认证器经由代理协议通过近场通信(NFC)将其计算结果分配给第一设备。
在一些示例中，FIDO私钥可以经由一个或多个信道被传送和接收。例如，FIDO私钥可以经由带外信道被传送和接收。在一些示例中，认证器可以被配置为经由带外信道从第一设备接收FIDO私钥。认证器可以被配置为将第一FIDO密钥传送到依赖方的处理器以供验证，并且因此认证器可以被配置为充当第一设备与依赖方的处理器之间的中介设备。
在一些示例中，依赖方可以被配置为生成和/或传送一个或多个第二指令。例如，第二指令可以包括用以传送输入数据的请求。认证器(诸如第二设备的处理器)可以被配置为接收第二指令。例如，第二设备的处理器可以被配置为从依赖方或服务器的处理器接收用以传送输入数据的请求。在一些示例中，第二指令可以经由一个或多个推送通知由依赖方或服务器的处理器转发给认证器(诸如第二设备的处理器)。在一些示例中，第二指令可以在依赖方或服务器评估一个或多个条件之后由认证器接收。例如，一个或多个条件中的至少一个可以包括确定在预定时间段内的认证请求的阈值数量。例如，依赖方可以被配置为确定在任意数量的秒、分、小时、天、周、月、年等内是否执行了异常数量的交易或请求。在另一个示例中，一个或多个条件中的至少一个可以包括确定是否发生了与账户和/或用户相关联的误用或欺诈。例如，依赖方可以被配置为确定用户交易历史是否指示过量的购买或异常位置。以这种方式，可以实施有条件的多因素认证以提高安全性，这可以触发用于接收输入数据的第二指令的传输。
图6描绘了根据示例性实施例的认证方法600。图6可以参照系统100的相同或相似部件、图2A和图2B的第一设备200、图3的方法300、图4的时序图400以及图5的方法500。
在框610处，方法600可以包括：在处理器处接收认证请求。例如，处理器可以属于依赖方或服务器。在一些示例中，认证请求可以包括针对线上快速身份验证2(FIDO2)网站注册的请求。
在框620处，方法600可以包括：由处理器传送第一质询。例如，处理器可以被配置为将第一质询传送到认证器，诸如包括用于在中介第二设备或客户端设备上执行的指令的应用。在一些示例中，处理器可以被配置为响应于认证请求而生成一个或多个质询。例如，处理器可以被配置为生成第一质询。在一些示例中，依赖方可以被配置为对认证器(诸如移动设备的处理器)进行质询以登录。第一质询可以包括标识符，诸如用户标识符或站点标识符，其可用于选择适当的FIDO密钥对。第一质询还可以包括不可预测的数字，该数字可以由依赖方给出用于防止重放。例如，对于每个认证实例，将需要新的不可预测的数字，因此不可预测的数字每次都是不同的。以这种方式，这避免了利用旧的不可预测数字的签名，而是将该数字用于即时认证会话。
在框630处，方法600可以包括：验证第一质询。例如，第一指令可以由认证器传送到第一设备。在一些示例中，第一指令可以由认证器生成和/或传送到卡的处理器。认证器(诸如移动设备的处理器)可以被配置为生成一条或多条指令。例如，移动设备的处理器可以被配置为生成第一指令。每条指令可以包括一个或多个请求。第一指令可以包括用以从第一设备(诸如卡)的处理器中检索第一密钥的第一请求。该密钥可以包括FIDO密钥。FIDO私钥可以经由第一设备的通信接口进入通信场(诸如认证器的通信场)来检索。在一些示例中，第一指令可以包括用以由第一设备的处理器生成FIDO私钥的请求。在其他示例中，第一指令可以包括用以由第一设备的处理器重新生成第一FIDO密钥(诸如作为公钥/私钥对的一部分的FIDO私钥)的请求。
例如，认证器可以被配置为基于从依赖方或服务器的处理器接收到的第一质询，通过生成一条或多条指令来提示第一设备的一次或多次进入。例如，一次或多次进入可以包括选自轻敲、滑动、挥动或类似、和/或它们的任何组合的组中的至少一个。第一指令可以包括用于由第一设备生成第一FIDO密钥的请求。在一些示例中，第一FIDO密钥可以使用一种或多种密码算法基于主密钥和与第一请求相关联的标识符来生成。例如，标识符可以包括站点标识符，并且与主密钥结合以产生密钥对。在一些示例中，主密钥被存储在第一设备上，并且主密钥可以与第一设备上的站点标识符结合以生成私钥。
例如，第一设备的处理器可以被配置为生成并传送第一FIDO密钥。例如，第一设备的通信接口可以进入认证器的通信场(诸如移动设备的通信场)以传递第一FIDO密钥。第一设备可以被配置为：取决于从认证器接收到的第一指令，而生成或检索与特定用户或站点相关联的FIDO密钥对。所生成或检索出的FIDO密钥对可以由认证器读取。FIDO密钥对可以包括FIDO私钥，该FIDO私钥可以由认证器从第一设备读取，并且可以由认证器使用以对第一质询进行签名，从而产生经签名的质询数据。FIDO私钥可以经由第一设备的通信接口进入通信场来检索。在一些示例中，FIDO私钥可以在其传递到认证器前由第一设备进行加密，在这种情况下，移动设备的处理器可以被配置为对接收到的已加密的FIDO私钥进行解密。
在一些示例中，FIDO私钥可以使用一种或多种密码算法基于主密钥和与认证请求相关联的标识符来生成。例如，标识符可以包括站点标识符，并且与主密钥结合以产生另一个密钥对。第一设备可以被配置为在其存储器中存储有限数量的密钥，以避免务必重新生成密钥。在其他示例中，来自认证器的第一指令可以包括用以由第一设备重新生成FIDO私钥(诸如作为公钥/私钥对的一部分的私钥)的请求。
在一些示例中，主密钥被存储在第一设备上的存储器中，并且主密钥可以与第一设备上的站点标识符结合以生成FIDO私钥。在其他示例中，主密钥可以从第一设备被传递到认证器，其中主密钥和站点标识符的组合由认证器执行以生成FIDO私钥。
在一些示例中，可以阻止FIDO私钥从第一设备向认证器的传输。例如，当第一设备执行第一质询的签名时避免FIDO私钥的空中(OTA)传输。因此，第一质询和站点或用户标识符信息从认证器被传送到第一设备，由此该认证器经由代理协议通过近场通信(NFC)将其计算结果分配给第一设备。
在一些示例中，不是在第一设备中生成或存储FIDO私钥，而是FIDO私钥可以在属于认证器的安全元件中被生成或存储。例如，FIDO私钥可以被存储在由第二设备维护的安全元件中。在一些示例中，安全元件可以包括防篡改安全存储区域，在该区域中一个或多个密钥可以由依赖方安全地存储并检索。
在一些示例中，第一设备的处理器可以被配置为生成FIDO私钥。第一设备的处理器可以被配置为传送FIDO私钥。例如，第一设备的处理器可以被配置为将FIDO私钥传送到认证器，诸如包括用于在第二设备上执行的指令的应用。如上面先前解释的，认证器可以是但不限于移动设备，诸如膝上型电脑、平板电脑或手机。在一些示例中，FIDO私钥可以经由一个或多个信道被传送和接收。例如，FIDO私钥可以经由带外信道被传送和接收。第一设备的处理器可以被配置为经由第一设备的通信接口进入认证器的通信场来将FIDO私钥传送到认证器。在一些示例中，该进入可以与一个或多个手势相关联，包括但不限于一个或多个轻敲、滑动、挥动和/或它们的任何组合。
在一些示例中，认证器可以被配置为接收第一FIDO密钥。例如，第二设备的应用可以被配置为从第一设备的处理器接收第一FIDO私钥。认证器可以被配置为使用接收到的第一FIDO密钥而对第一质询进行签名。认证器可以被配置为将经签名的第一质询传送到依赖方以供验证。依赖方或服务器的处理器可以被配置为验证经签名的第一质询。例如，依赖方或服务器的处理器可以被配置为从认证器接收经签名的第一质询。例如，依赖方可以用FIDO公钥对经签名的质询数据进行验证，该公钥是在用户注册到站点时存储的。验证可以包括认证过程的结果，该认证过程包括签名验证。认证器可以被配置为将第一FIDO密钥传送到依赖方的处理器以供验证，并且因此认证器可以被配置为充当第一设备与依赖方的处理器之间的中介设备。
在框640处，方法600可以包括：由处理器评估一个或多个条件。例如，一个或多个条件中的至少一个可以包括确定在预定时间段内的认证请求的阈值数量。例如，处理器可以被配置为确定在任意数量的秒、分、小时、天、周、月、年等内是否执行了异常数量的交易或请求。在另一个示例中，一个或多个条件中的至少一个可以包括确定是否发生了与账户和/或用户相关联的误用或欺诈。例如，处理器可以被配置为确定用户交易历史是否指示过量的购买或异常位置。以这种方式，可以实施有条件的多因素认证以提高安全性，这可以触发用于接收输入数据的第二质询的传输。
在框650处，方法600可以包括：由处理器传送第二质询。例如，依赖方或服务器的处理器可以被配置为生成第二质询。例如，第二质询可以包括用于传送输入数据的第二请求。在一些示例中，依赖方或服务器的处理器可以被配置为评估一个或多个条件，如先前解释的。在一些示例中，第二质询可以在评估一个或多个条件之后由处理器传送。
在一些示例中，认证器可以被配置为接收第二质询。例如，移动设备的处理器可以被配置为在由依赖方或服务器评估一个或多个条件之后，从依赖方或服务器的处理器接收第二质询。在一些示例中，第二质询可以由依赖方或服务器的处理器转发给认证器，诸如包括用于经由一个或多个推送通知来执行移动设备的指令的应用。
认证器可以被配置为基于第二质询来传送输入数据。例如，移动设备的处理器或应用可以被配置为将输入数据传送到依赖方，诸如服务器的处理器。输入数据可以包括选自生物识别数据和凭证数据的组中的至少一个。例如，输入数据可以包括生物识别数据、凭证数据和/或它们的任何组合。非限制性地，生物识别数据可以包括选自指纹、面部扫描、视网膜扫描、语音识别和/或它们的任何组合的组中的至少一个。在一些示例中，输入数据可以另外地和/或可替选地包括凭证数据。非限制性地，登录数据可以包括选自用户名、密码、账号、安全码、一次性口令、安全问题的答案、和/或它们的任何组合的进入的组中的至少一个。
在框660处，方法600可以包括：由处理器对接收到的输入数据进行认证。例如，依赖方或服务器的处理器可以被配置为通过对输入数据进行认证来完成认证请求。例如，依赖方或服务器的处理器可以被配置为从认证器(诸如包括用于移动设备的执行的指令的处理器或应用)接收输入数据。在一些示例中，依赖方或服务器的处理器可以被配置为通过将接收到的输入数据与基准输入数据进行比较来生成一个或多个结果。在一些示例中，基准输入数据可以由依赖方或服务器存储。在其他示例中，基准输入数据可以由依赖方或服务器请求。例如，依赖方或服务器的处理器可以被配置为经由一个或多个请求接收基准输入数据，或者可替选地将输入数据传送到数据库以与基准输入数据进行比较。例如，依赖方或服务器可以被配置为：当基于接收到的输入数据与基准输入数据之间的比较而导致成功匹配时，生成指示成功认证的结果。在另一个示例中，依赖方或服务器可以被配置为：当基于接收到的输入数据与基准输入数据之间的比较导致不成功匹配时，生成不成功的认证的结果。在确定认证不成功时，依赖方或服务器可以被配置为：在成功认证输入数据之前，重新认证输入数据直到并包括预定次数的尝试为止以便完成认证请求，或者中止认证请求的完成。以这种方式，认证过程的时序图400可以用分布式存储、基于云的存储以及支持前述功能的其他形式的存储来实施。
进一步地注意到，本文中描述的系统和方法可以有形地体现在一个或多个物理介质中，诸如但不限于光盘(compact disc，CD)、数字多功能盘(digital versatiledisc，DVD)、软盘、硬盘、只读存储器(read only memory，ROM)、随机存取存储器(random accessmemory，RAM)，以及其他能够进行数据存储的物理介质。例如，数据存储可能包括随机存取存储器(RAM)和只读存储器(ROM)，它们可以被配置为访问和存储数据、信息和计算机程序指令。数据存储也可以包括存储介质或其他合适类型的存储器(例如，诸如RAM、ROM、可编程只读存储器(PROM)、可擦可编程只读存储器(EPROM)、电可擦可编程只读存储器(EEPROM)、磁盘、光盘、软盘、硬盘、可移动磁带盒、闪存驱动器、任何类型的有形且非暂时性存储介质)，其中可以存储包括操作系统、应用程序(包括例如，web浏览器应用、电子邮件应用和/或其他应用)以及数据文件的文件。网络使能的计算机系统的数据存储可以包括以各种方式存储的电子信息、文件和文档，包括例如平面文件、索引文件、分层数据库、关系数据库(诸如用来自例如公司的软件创建和维护的数据库)、/>Excel文件、Access文件、以及固态存储设备(可以包括闪存阵列、混合阵列或服务器端产品)、企业存储(可以包括在线或云存储)或任何其他存储机制。此外，各图单独图示了各种部件(例如，服务器、计算机、处理器等)。描述为在各种部件处执行的功能可以在其他部件处被执行，并且各种部件可以被合并或分开。还可以进行其他修改。
在前面的说明书中，已经参照附图描述了各种实施例。然而，将显而易见的是，可以对其进行各种修改和改变，并且可以在不脱离如所附权利要求书中阐述的本发明的更广泛范围的情况下实施额外的实施例。因此，本说明书和附图应被视为说明性的而非限制性的。

Claims (20)

1.一种认证器，包括：
存储器和处理器，其中，所述处理器被配置为：
接收一个或多个质询；
生成第一指令，所述第一指令包括用以检索第一线上快速身份验证
(FIDO)密钥的请求；
传送所述第一指令；
接收第一FIDO密钥；
使用第一FIDO密钥对所述一个或多个质询进行签名；以及
传送一个或多个经签名的质询以使用第二FIDO密钥进行验证。
2.根据权利要求1所述的认证器，其中，所述第一指令包括用以生成所述第一FIDO密钥的请求。
3.根据权利要求2所述的认证器，其中，第一密钥使用一种或多种密码算法基于主密钥和与认证请求相关联的标识符来生成。
4.根据权利要求1所述的认证器，其中，所述第一FIDO密钥经由带外信道被传送。
5.根据权利要求1所述的认证器，其中，所述第一指令包括用以重新生成所述第一FIDO密钥的请求。
6.根据权利要求1所述的认证器，其中，所述一个或多个质询基于针对FIDO网站注册的认证请求被接收。
7.根据权利要求1所述的认证器，其中，所述处理器还被配置为接收输入数据，所述输入数据包括选自生物识别数据和凭证数据的组中的至少一个。
8.根据权利要求1所述的认证器，其中，所述第一FIDO密钥经由通信接口进入通信场中来检索。
9.根据权利要求7所述的认证器，其中，所述输入数据在确定一个或多个条件之后被传送。
10.一种认证方法，包括以下步骤：
在处理器处接收一个或多个质询；
由所述处理器生成第一指令，所述第一指令包括用以检索第一线上快速身份验证(FIDO)密钥的请求；
由所述处理器传送所述第一指令；
接收第一FIDO密钥；
由所述处理器使用第一FIDO密钥对所述一个或多个质询进行签名；以及
由所述处理器传送一个或多个经签名的质询以使用第二FIDO密钥进行验证。
11.根据权利要求10所述的方法，其中，所述第一指令包括用以生成所述第一FIDO密钥的请求。
12.根据权利要求11所述的方法，其中，第一FIDO密钥使用一种或多种密码算法基于第三密钥和与认证请求相关联的标识符来生成。
13.根据权利要求10所述的方法，还包括：经由带外信道传送所述第一FIDO密钥。
14.根据权利要求10所述的方法，其中，所述第一指令包括用以重新生成所述第一FIDO密钥的请求。
15.根据权利要求10所述的方法，其中，所述一个或多个质询基于针对FIDO网站注册的认证请求被接收。
16.根据权利要求10所述的方法，还包括：在所述处理器处接收输入数据，所述输入数据包括选自生物识别数据和凭证数据的组中的至少一个。
17.根据权利要求10所述的方法，其中，所述第一FIDO密钥经由通信接口进入通信场中来检索。
18.根据权利要求16所述的方法，其中，所述输入数据在确定一个或多个条件之后被传送。
19.根据权利要求18所述的方法，其中，至少一个条件包括确定在预定时间段内的认证请求的阈值数量。
20.一种计算机可读非暂时性介质，包括计算机可执行指令，所述指令当在处理器上实行时执行包括以下步骤的过程：
接收一个或多个质询；
生成第一指令，所述第一指令包括用以检索第一线上快速身份验证(FIDO)密钥的请求；
传送所述第一指令；
接收第一FIDO密钥；
使用第一FIDO密钥对所述一个或多个质询进行签名；以及
传送一个或多个经签名的质询以使用第二FIDO密钥进行验证。
CN202280055032.4A 2021-06-18 2022-06-16 用于非接触式卡通信和多设备密钥对加密认证的系统与方法 Pending CN117795505A (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US17/352,181 2021-06-18
US17/352,181 US20220407723A1 (en) 2021-06-18 2021-06-18 Systems and methods for contactless card communication and multi-device key pair cryptographic authentication
PCT/US2022/033724 WO2022266283A1 (en) 2021-06-18 2022-06-16 Systems and methods for contactless card communication and multi-device key pair cryptographic authentication

Publications (1)

Publication Number Publication Date
CN117795505A true CN117795505A (zh) 2024-03-29

Family

ID=82611093

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202280055032.4A Pending CN117795505A (zh) 2021-06-18 2022-06-16 用于非接触式卡通信和多设备密钥对加密认证的系统与方法

Country Status (8)

Country Link
US (1) US20220407723A1 (zh)
EP (1) EP4356269A1 (zh)
JP (1) JP2024527492A (zh)
KR (1) KR20240024112A (zh)
CN (1) CN117795505A (zh)
AU (1) AU2022292656A1 (zh)
CA (1) CA3222325A1 (zh)
WO (1) WO2022266283A1 (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
TWI838149B (zh) * 2023-03-06 2024-04-01 中華電信股份有限公司 企業認證的安全啟用系統及其方法
US20240303649A1 (en) * 2023-03-09 2024-09-12 Capital One Services, Llc Systems and methods for secure authentication through near field communication

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2013109932A1 (en) * 2012-01-18 2013-07-25 OneID Inc. Methods and systems for secure identity management
US10223549B2 (en) * 2015-01-21 2019-03-05 Onion ID Inc. Techniques for facilitating secure, credential-free user access to resources
DE102017000768A1 (de) * 2017-01-27 2018-08-02 Giesecke+Devrient Mobile Security Gmbh Verfahren zum Durchführen einer Zweifaktorauthentifizierung
WO2020072575A1 (en) * 2018-10-02 2020-04-09 Capital One Services, Llc Systems and methods for cryptographic authentication of contactless cards
FR3095528B1 (fr) * 2019-04-25 2021-05-21 CopSonic Jeton matériel d’authentification à validation déportée
EP4107926A4 (en) * 2020-04-17 2024-06-05 Trusona, Inc. SYSTEMS AND METHODS FOR CRYPTOGRAPHIC AUTHENTICATION
US20210352069A1 (en) * 2020-05-11 2021-11-11 Citrix Systems, Inc. Local authentication virtual authorization
US10848309B2 (en) * 2020-07-02 2020-11-24 BehavioSec Inc Fido authentication with behavior report to maintain secure data connection

Also Published As

Publication number Publication date
WO2022266283A1 (en) 2022-12-22
EP4356269A1 (en) 2024-04-24
US20220407723A1 (en) 2022-12-22
AU2022292656A1 (en) 2024-01-04
JP2024527492A (ja) 2024-07-25
KR20240024112A (ko) 2024-02-23
CA3222325A1 (en) 2022-12-22

Similar Documents

Publication Publication Date Title
US11665200B2 (en) System and method for second factor authentication to perform services
US11562358B2 (en) Systems and methods for near field contactless card communication and cryptographic authentication
CN117795505A (zh) 用于非接触式卡通信和多设备密钥对加密认证的系统与方法
US11637826B2 (en) Establishing authentication persistence
CN117837128A (zh) 用于对非接触式卡的可扩展的密码认证的系统与方法
US20230289801A1 (en) Systems and methods for authentication of access tokens
CN114631109A (zh) 用于交叉耦合风险分析和一次性口令的系统及方法
US20220405766A1 (en) Systems and methods for contactless card communication and key pair cryptographic authentication using distributed storage

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
REG Reference to a national code

Ref country code: HK

Ref legal event code: DE

Ref document number: 40102554

Country of ref document: HK

SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination