CN1930592A - 移动终端中的emv交易 - Google Patents

Abstract

实现了一种进行EMV交易的移动终端。在EMV读卡器终端中提供用于将移动终端连接到读卡器终端的无线接入节点。在读卡器终端中执行的EMV代理模块方便了移动终端与读卡器终端之间的通信。EMV代理模块使移动终端相对于读卡器终端以基本上与常规EMV芯片卡相同的方式起作用。读卡器终端然后可代表移动终端进行EMV交易而无需在EMV发卡行安装新软件和/或硬件。EMV数据以安全动态数据对象的形式存储在移动终端中。

Description

移动终端中的EMV交易

相关申请的交叉引用

本申请要求于2004年1月16日向美国专利商标局提交的题为“移动EMV交易的提议”(A Proposal for Mobile EMV Transaction)的美国临时申请60/537112的优先权，该申请由此通过引用结合于本文中。

发明领域

本发明一般涉及安全信用交易标准，并且具体而言涉及在移动终端中使用此类标准。

背景

EMV是用于信用/借记芯片卡和装置的支付系统规范，设计为使用这些芯片卡执行信用/借记交易。EMV规范由Europay国际组织、Mastercard国际组织和Visa国际组织(因而称为“EMV”)联合开发和维护。EMV规范的规定用途是确保芯片卡与信用/借记交易中使用的任一终端之间的全球互操作性。与基于磁条的信用/数据卡交易相比，EMV被大多数人认为是更安全的支付系统。有关EMV规范的更多信息，读者请参阅EMVco的EMV 2000手册1。

在典型的EMV交易中，主要涉及三方：作为持卡人的买方或用户、商人和作为EMV发卡行的银行或其它金融机构。简单地说，买方通过将符合EMV规范的芯片卡(或使用芯片卡的装置)插入商人的EMV支付终端而发起EMV交易。支付终端例如可以是配有芯片卡阅读器和EMV存取软件的销售点(Point of Sale，POS)终端。此支付终端获得用户和芯片卡信息，并将该信息发送到EMV发卡行以进行处理。EMV发卡行处理该信息并通过相应地记入商人帐户的贷方和记入买方帐户的借方而完成EMV交易。由于在芯片卡与EMV发卡行之间没有直接连接，因此，此类交易称为“本地”或“本地环境”交易。

但EMV规范的市场占有量一直以来相当低。这在一定程度上是由于商人及其POS终端供应商不愿升级其软件和硬件基础设施以支持EMV。然而，近来欧洲Visa和欧洲Mastercard已宣布自2005年1月起，交易的责任将从发卡行转移到商人。这意味着在2005年1月后不符合EMV规范的任一方将为通过其系统进行的欺诈性交易负责，而要是支持EMV，则可能防止此类交易。因此，预计商人和POS供应商对EMV规范的支持很快将出现大幅增长。

提高EMV规范的市场普及率的一个方式是使更多的装置进行EMV交易。特别是移动终端由于其广泛使用和方便的因素而可帮助加快EMV规范的接受。移动终端的示例包括智能卡、移动电话、个人数字助理、膝上型计算机及诸如此类。遗憾的是，当前现有的EMV支付协议设计为主要在“卡存在”的情况中使用，如通过读卡器。各种标准机构一直尝试为本地移动支付交易修改现有EMV规范，但这些尝试由于方法麻烦或者它们的商业价值不高因而市场接受程度很低。

发明内容

本发明涉及一种用于使移动终端能够进行EMV交易的方法和系统。本发明的方法和系统包括在EMV读卡器终端中用于将移动终端连接到读卡器终端的无线接入节点。在读卡器终端中执行的EMV代理模块方便了移动终端与读卡器终端之间的通信。EMV代理模块使移动终端相对于读卡器终端以基本上与常规EMV芯片卡相同的方式起作用。读卡器终端然后可代表移动终端进行EMV交易而无需在EMV发卡行安装新软件和/或硬件。EMV数据以安全动态数据对象的形式存储在移动终端中。

通常，在一个方面，本发明涉及一种使用移动终端在读卡器终端中进行电子交易的方法。该方法包括以下步骤：在移动终端与读卡器终端之间建立无线连接，以及在移动终端与读卡器终端之间通过无线连接传送交易数据。该方法还包括以下步骤：在读卡器终端中安装(host)代理代表移动终端行动，其中该代理使用交易数据代表移动终端进行电子交易。

通常，在另一方面，本发明涉及一种配置为与移动终端进行电子交易的读卡器终端。读卡器终端包括：用于在移动终端与读卡器终端之间建立无线连接的无线接入节点；配置为在上面存储计算机可读代码的存储单元，计算机可读代码包括移动终端的代理；以及连接到存储单元的微处理器，微处理器能够在读卡器终端上执行代理。代理配置为在移动终端与读卡器终端之间通过无线连接传送交易数据，并使用交易数据代表移动终端进行电子交易。

应强调的是，术语“包括”在本说明书中使用时用于指明规定特性、整体、步骤或组件的存在，而不排除存在或添加一个或多个其它特性、整体、步骤、组件或其组合。

附图简要说明

通过下面的详细说明并参照附图，将明白本发明的上述和其它优点，其中：

图1示出根据本发明实施例的示范EMV实施的模型100；

图2示出根据本发明实施例的示范数据对象；

图3示出还可用于根据本发明实施例的EMV交易的常规EMV交易的流程图；以及

图4A-4C示出根据本发明实施例的示范EMV交易的时序图。

示范实施例的详细说明

本发明的实施例提供一种用于使移动终端能够进行EMV交易的系统和方法。此类移动终端将在下文称为个人受信任装置(PersonalTrusted Device，PTD)，并可包括智能卡、移动电话、个人数字助理、膝上型计算机及诸如此类。另外，根据本发明实施例使用个人受信任装置的EMV交易将在下文称为移动-EMV，而涉及常规集成芯片卡(ICC)的EMV交易将在下文称为ICC-EMV。此外，发卡银行或其它金融机构用于处理EMV交易的软件和/或硬件将在下文称为EMV发卡行后台系统(back office)。

图1示出根据本发明实施例的一个示范EMV实施的概念模型100。模型100包括EMV读卡器终端102，该终端通过EMV接口106连接到EMV发卡行后台系统104并与其通信。EMV发卡行后台系统104、EMV接口106和为此的各种支持结构为本领域的一般技术人员所熟知，因此此处将不进行描述。另一方面，EMV读卡器终端102是新的EMV读卡器终端102，能够处理常规ICC-EMV交易及新的移动-EMV交易。为此，EMV读卡器终端102包括熟知的数据处理和程序执行能力及数据和程序存储能力(例如，微处理器、存储器、存储单元、显示器、输入/输出单元等)。

为处理常规ICC-EMV交易，EMV读卡器终端102配有物理读卡器(未明确示出)和用于操作该物理读卡器的EMV存取模块108。物理读卡器基本上在EMV读卡器终端102与EMV芯片卡110之间提供硬件接口(即，物理连接)。另一方面，EMV存取模块108在EMV芯片卡110与EMV读卡器终端102之间执行数据传送协议(即，电子信号交换)。物理读卡器和EMV存取模块108均为本领域的一般技术人员所熟知，因此此处将不进行描述。

为处理新的移动-EMV交易，根据本发明的实施例，EMV读卡器终端102还配有无线接入节点112和EMV代理模块114。无线接入节点112基本上在个人受信任装置118与EMV读卡器终端102之间提供空中接口116。EMV代理模块114在个人受信任装置118与EMV读卡器终端102之间执行数据传送协议。在一些实施例中，无线接入节点112可以是基于例如蓝牙无线协议的安全短程无线接入节点112。有关蓝牙无线协议的更多信息，读者请访问www.bluetooth.com。在不脱离本发明范围的情况下，还可使用其它类型的无线接口(例如，红外(IR)、近场通信(NFC))。

EMV存取模块108和EMV代理模块114均链接到在EMV读卡器终端102中运行的EMV终端模块120。EMV终端模块120的功能是实施控制如何进行EMV交易的EMV规范。因此，例如，EMV终端模块120可从个人受信任装置118或EMV芯片卡110请求进行EMV交易所需的某此数据类型，如用户身份证明、支付授权及诸如此类。由于EMV终端模块120无需知道个人受信任装置118或EMV芯片卡110在使用的通信协议，因此，在EMV终端模块120与个人受信任装置118或EMV芯片卡110之间的实际数据交换可通过使用任一合适协议的EMV代理模块114和EMV存取模块108进行。然后通过EMV接口106将EMV终端模块120获得的数据转发到EMV发卡行后台系统104以完成EMV交易。这样，EMV发卡行后台系统104中无需任何更改就适应个人受信任装置118，因此，现有的EMV发卡行后台系统104软件/硬件可得以保持。然而，在一些实施例中，可对EMV发卡行后台系统104进行一些更改以优化EMV交易。

要注意的是，虽然EMV存取模块108、EMV代理模块114和EMV终端模块120在此处示为单独的模块，但本领域的一般技术人员将理解所有三个模块可组合成在EMV读卡器终端102上运行的单个软件包。

如上所述，EMV代理模块114的任务之一是在个人受信任装置118与EMV读卡器终端102之间执行通信协议。此任务的一个方面是确保用户鉴定。也就是说，EMV代理模块114应能够验证用户提供的身份证明与个人受信任装置118中存储的身份证明相符。优选是EMV代理模块114执行的通信协议具有专门为验证用户身份而内置的一个或多个功能。此类通信协议的一个示例是MeT有限公司公布的移动电子交易(Mobile electronic Transaction，MeT)标准(www.mobiletransactions.org)。具体而言，MeT标准具有若干核心授权函数，包括WMLScript、ECMAScript和crypto signText()函数。有关MeT标准的更多信息，读者请参阅MeT有限公司的MeT核心规范(MeT Core Specification)的最新版本。根据本发明的实施例，EMV代理模块114可采用这些熟知的授权函数以鉴定用户及捕获支付授权。

EMV代理模块114的另一方面是确保用户数据的安全性，这是因为一旦用户通过验证，机密用户数据可在个人受信任装置118与EMV代理模块114之间传送。在一些实施例中，机密用户数据的安全性可通过使用安全数据对象传送数据而得以实现。优选是数据对象是动态的，使得数据可根据EVM规范在需要时进行修改。此类安全动态数据204对象的一个示例是如在MeT有限公司的MeT票务规范(MeT Ticketing Specification)中所说明的、在Met票务安全处理框架(MeT Ticketing Secure Handling Framework)中使用的MeT票证。根据本发明的实施例，EMV代理模块114可采用这些熟知的MeT票证在个人受信任装置118与EMV代理模块114之间传送机密用户数据。

要注意的是，验证EMV读卡器终端102的身份不是必需的，这是因为终端102设计为防篡改并因此受到EMV发卡行后台系统104的绝对信任。但建议至少应在传送机密用户数据到EMV代理模块114前验证其身份。在一些实施例中，EMV代理模块114的身份可通过设置WTLS/TLS第2类连接而进行验证。因此，在用户和EMV代理模块114均成功鉴定后，EMV代理模块114可代表用户发起与商人(EMV读卡器终端102)和EMV发卡行的正常EMV交易。

为使EMV发卡行后台系统104处理任一EMV交易，必须先创建持卡人帐户。持卡人帐户的创建涉及以下步骤：EMV服务证书的生成和供应，EMV票证200的生成和供应，以及EMV对称密钥的生成和供应。在下面按照目前在ICC-EMV中如何执行这些步骤对它们进行了描述，以解释在移动-EMV中可如何执行它们。

关于EMV服务证书的生成和供应，在一些实施例中，EMV服务证书的生成和供应可通过使用与MeT核心规范中描述的MeT证书登记进程类似的进程而得以实现。服务证书或服务证书的URL然后可存储在个人受信任装置118中。有关设置MeT服务证书的进程的更多信息，读者请参阅MeT有限公司的MeT CUE规范(MeT CUESpecification)。

EMV票证200的生成和供应可按如下实现。常规集成芯片卡110存储用户特定数据的某些项，其中，一部分是签名及未签名的静态数据202，以及一部分是在EMV交易期间更新的动态数据204。在移动-EMV中，此数据可存储在个人受信任装置118的安全数据对象中。在一些实施例中，数据对象可以是电子票证，如EMV票证200。EMV票证200由EVM发卡行发出，并可在个人受信任装置118中安全供应。供应可通过物理接口实现，或者它可通过空中接口116完成。如上所述，EMV票证200可以是符合MeT有限公司的MeT票务规范的MeT票证。用于安全处理存储数据对象的票务框架包括防止恶意个人受信任装置118所有者和第三方窃听者的复制保护，可以是由MeT有限公司当前在开发的Met票务安全处理框架。

还可使用安全票证处理系统的其它实施，如Nils Rydbeck和Santanu Dutta在2001年11月13日提交的题为“安全处理储值电子票证的提议”(A Proposal for Secure Handling for Stored ValueElectronicTickets)的美国专利申请10/008174中和Santanu Dutta在2002年3月21日提交的部分继续申请10/103502中所述的实施。这两个申请均通过引用结合于本文中。

图2示出根据本发明实施例的EMV票证200的数据结构。此类EMV票证200可由EMV发卡行生成并在持卡人帐户创建/登记时传送到个人受信任装置118。正如可看到的一样，EMV票证200数据结构包括签名的静态数据202、未签名的动态数据204和未签名的EMV数据206。在一些实施例中，EMV票证200中未签名的动态数据204可以是任选的。在大多数实施例中，未签名的EMV数据206是必备的。

关于签名的静态数据202，作为解释，在ICC-EMV中，静态数据202鉴定由读卡器终端102执行。静态数据202通过EMV发卡行的私有密钥签名，并且读卡器终端102使用基于公共密钥加密技术的数字签名方案确认ICC常驻静态数据202的合法性。此布置允许检测在个性化后未经授权的数据变化。有关ICC-EMV中静态数据202鉴定的更多信息，读者请参阅EMVco的EMV规范-EMV 2000手册2。

类似地，对于移动-EMV，EMV票证200也可包含上述EMV签名的静态数据202。签名的静态数据202还可包含EMV发卡行的公共密钥(包含在证书中)，该密钥对应于用于在静态数据202上生成签名的EMV发卡行的私有密钥。EMV读卡器终端102可使用此证书验证静态数据202的签名。如在ICC-EMV的情况中一样，EMV读卡器终端102可包含EMV发卡行的公共密钥连接到的公共密钥证书授权机构(Certificate Authority，CA)根证书。

在一些实施例中，签名的静态数据202中包括的数据类型包括应用数据。此类应用数据的一个示例可以是说明ICC支持的应用功能的应用交换简档(Application Interchange Profile，AIP)。因此，AIP中包含的一些信息确定：是否支持离线静态数据202鉴定；是否支持离线动态数据204鉴定；是否支持持卡人验证；是否需要执行终端风险管理以及是否支持EMV发卡行鉴定。在EMVco的EMV 2000手册3附录C.1第90页提供有更完整的API列表。

对于未签名的动态数据204，如程序计数器及诸如此类，理解目前可离线或在线完成EMV交易是有用的。离线意味着EMV读卡器终端102不需连接到EMV发卡行就接收交易授权，而在线意味着EMV读卡器终端102必须连接到EMV发卡行以获得交易授权。EMV交易在线完成时，EMV发卡行可向EMV读卡器终端102提供要输送到集成芯片卡110的命令脚本。命令脚本执行不一定与当前交易有关、但对于应用在集成芯片卡110中继续运行是重要的功能。提供命令脚本处理以考虑在EMV规范的范围外并可由各种发卡行或支付系统以不同方式完成的功能。此类功能的示例可包括离线PIN的解除阻塞、交易计数器的更新等。

根据本发明的实施例，移动-EMV还提供数据的动态更新。EMV票证200的动态数据204部分可包含例如EMV发卡行在EMV交易完成后需要更新的数据。因此，在交易在线完成时，EMV发卡行可发送更新数据的命令脚本到EMV代理。由于EMV代理拥有用户的EMV票证200，因此，它可更新EMV票证200中的动态数据204。然而，如在ICC-EMV交易的情况中一样，EMV票证200中的动态数据204未签名。

使用未签名的EMV数据206时，目前ICC-EMV要求某些必备和任选的信息存储在集成芯片卡110中。下面的表1到表3示出根据EMV规范需要在集成芯片卡110中存在的数据类型的示例。然而，对于移动-EMV，此数据(即，表1到表3中包含的数据)可改为存储在个人受信任装置118中的EMV票证200中。

标记	值	存在状态
			′5F24′	应用截止日期	M
′5A′	应用主帐号(PAN)	M
			′8C′	卡风险管理数据对象列表1	M
′8D′	卡风险管理数据对象列表2	M

                     表1

表1列出在使用READ RECORD命令读取的某些文件中必须在集成芯片卡110中存在的数据对象。EMV规范中定义为常驻在这些文件中的所有其它数据对象是任选的。为在个人受信任装置118的EMV票证200中存储这些相同的数据对象，必须采取保护性措施以防止它们被改变或误用。因此，在本发明的一些实施例中，未示出表1中的任何数据对象给用户查看。在另一方案中，表1中的数据对象(或其敏感部分)可进行加密，使得用户只能够查看识别EMV票证200的标签。在一个优选实施例中，敏感数据无论是否加密均不向用户显示。

下面的表2列出离线静态数据202鉴定所需的数据对象(参阅例如EMV 2000手册3第30页)。为支持离线动态数据204鉴定通常需要存在此数据(参阅例如EMV 2000手册3第31页)。然而，在本发明的一些实施例中，个人受信任装置118可省略离线动态数据204鉴定的功能。因此，在这些实施例中，表2中的数据对象不存储在个人受信任装置118中。

标记	值
		′8F′	认证授权机构公共密钥索引
′90′	EMV发卡行公共密钥证书
		′93′	签名的静态应用数据
′92′	EMV发卡行公共密钥余部
		′9F32′	EMV发卡行公共密钥指数

                     表2

下面的表3列出EMV读卡器终端102可通过使用GET DATA命令而不是READ RECORD命令检索的数据对象。

标记	值	存在状态
			′9F36′	应用交易计数器(ATC)	M
′9F17′	PIN尝试计数器	O
			′9F13′	上次在线ATC寄存器	O

                    表3

通常，EMV票证200中关键信息的存在要求在从EMV发卡行104到个人受信任装置118、从个人受信任装置118到EMV代理114及从EMV代理114返回个人受信任装置118的传输期间提供安全处理、存储和复制保护。因此，根据本发明的实施例，个人受信任装置118可携带(a)EMV发卡行的EVM特定服务证书以及(b)如上关于EMV票证200所述的EMV数据206对象。然而，不要求个人受信任装置118携带如EMV规范要求的完整EMV应用，这是因为应用执行的功能已委托给EMV代理。

关于EMV票证200的供应，各种机制可用于将EMV票证200从EMV发卡行104传送到个人受信任装置118。这些机制可包括：通过将个人受信任装置118插入在EMV发卡行的物理设施的对接站而下载；经EMV发卡行的物理设施中的本地无线信道(例如蓝牙、红外线)而下载；以智能卡的形式(无接触或以其它方式)给予用户；以及使用MeT票务下载框架的空中(OTA)下载(参阅例如MeT有限公司的MeT票务规范)。在成功下载后，EMV票证200可如MeT票务规范中所述存储在票证数据库中，并且MeT票证数据库可存储在个人受信任装置118中的安全钱包内。

最后，关于EMV对称密钥的生成和供应，在ICC-EMV交易中，对称密钥存储在集成芯片卡110中。对称密钥然后用于生成包括消息鉴定码(Message Authentication Code，MAC)的EMV应用密文。MAC基本上是外加秘密密钥的单向散列函数。散列值是数据和密钥的函数，并且只有具有密钥的人才可验证散列值。在移动-EMV中，EMV对称密钥可由EMV发卡行生成并输送到个人受信任装置118以存储和随后生成EMV应用密文。在一些实施例中，EMV发卡行将EMV对称密钥嵌在EMV票证200内输送到个人受信任装置118。

在其它实施例中，可在空中(OTA)输送期间将对称密钥加密并输送到个人受信任装置118。在OTA输送期间，可使用用户的公共密钥将嵌在EMV票证200中的EMV对称密钥加密。然后，只有用户的私有密钥可将EMV对称密钥解密。EMV发卡行可通过若干方式获得用户的公共密钥。

包含EMV对称密钥的EMV票证200的本地传送也可以是可能的，这种情况下，视传送密钥的承载而定，可能不需要加密。

图3示出如EMV规范所说明的典型ICC-EMV交易的基本流程300。移动-EMV交易遵循类似的步骤，因此，在此处提供流程300作为这些步骤的示例。流程300假设集成芯片卡/个人受信任装置例如通过物理接口已经连接到EMV读卡器终端。正如可看到的一样，交易从步骤302开始，在该步骤中，集成芯片卡/个人受信任装置发起应用，如支付应用。在步骤304，集成芯片卡/个人受信任装置从EMV票证中存储的数据读取应用的数据。在步骤306，集成芯片卡/个人受信任装置鉴定应用的数据。在步骤308处理任何对交易的限制。在步骤310，验证持卡人/用户。集成芯片卡/个人受信任装置还在步骤312执行与步骤306-310并行的终端风险管理。终端风险管理保护收单行、发卡行和整个系统免于欺诈。它为高价值交易提供肯定的发卡行授权，并确保EMV交易定期在线进行以防止在离线环境中可能无法检测到的威胁。

然后，集成芯片卡/个人受信任装置在步骤314执行终端动作分析。在终端动作分析期间，ICC-EMV中的持卡人系统要求交易的在线授权。卡确定是拒绝离线交易还是请求在线授权。在步骤316，集成芯片卡/个人受信任装置执行卡动作分析。卡动作分析是在EMV规范的范围外，因此在此将不进行描述。在步骤318确定交易是在线还是离线。如果交易是离线交易，则集成芯片卡/个人受信任装置在步骤320结束交易。另一方面，如果交易是在线交易，则在步骤322，集成芯片卡/个人受信任装置将交易的数据发送到EMV发卡行后台系统(经EMV读卡器终端)。在步骤324，由集成芯片卡/个人受信任装置处理来自EMV发卡行后台系统的命令脚本。之后，在步骤320结束交易。

图4A-4C示出根据本发明实施例的示范移动-EMV交易的时序图400。在时序图400采用与ICC-EMV交易中现有步骤相同或类似的步骤的地方，将使用“(ICC-EMV)”指示符指示相似性。此外，整个图4A-4C中，虚线用于指示任选的步骤或动作，而实线用于指示必备的步骤或动作。

正如可看到的一样，移动-EMV交易从步骤402开始，在该步骤中，用户通过其个人受信任装置向EMV读卡器终端中的EMV代理模块指示其希望进行MeT-EMV支付。在步骤404，EMV代理模块和个人受信任装置在它们之间建立安全无线连接(例如，TLS/SSL连接)。在步骤406，EMV代理模块将支付合同传递到个人受信任装置。在步骤408，个人受信任装置向用户呈送(例如，显示)支付合同。在步骤410，用户读取支付合同，并在步骤412，用户输入其个人识别号码(PIN)以指示其接受支付合同。通过输入PIN，用户将其EMV签名私有密钥解除锁定(unlock)。如果PIN有效，则存储在个人受信任装置中的对称密钥被解除锁定并用于在EMV交易期间生成密文。

在步骤414，个人受信任装置检查PIN，并在PIN有效时生成数字签名并将对称密钥解除锁定。在步骤416，个人受信任装置将已签名支付合同发送到EMV代理模块。在步骤418，EMV代理模块检查已签名支付合同的签名。如果EMV代理模块确定已签名支付合同上的签名有效，则在步骤420，EMV代理模块向个人受信任装置请求具有专用MIME类型的EMV票证。在步骤422，个人受信任装置检索EMV票证并在步骤424将EMV票证发送到EMV代理模块。在步骤426，EMV代理模块将EMV票证存储在代理，并在步骤428，发起与EMV读卡器终端模块的EMV交易。

在步骤430，EMV读卡器终端模块发起对应的EMV应用，并在步骤432，它将确认发送到EMV代理模块。在步骤434，EMV代理模块接收确认，并在步骤436发送适当的响应。在步骤438，EMV读卡器终端模块处理来自EMV代理模块的响应，并在步骤440，EMV读卡器终端将对应用数据的请求发送到EMV代理模块。在步骤442，EMV代理模块读取在EMV票证中存储的应用数据，并在步骤444将适当的响应发送到EMV读卡器终端模块。在步骤446，EMV读卡器终端模块向EMV代理模块请求鉴定应用数据。在步骤448，EMV代理模块从EMV票证的静态数据部分读取应用数据，并在步骤450，将应用数据发送到EMV读卡器终端模块。在步骤452，EMV读卡器终端模块基于应用数据处理任何对用户的限制。在步骤454，EMV读卡器终端模块验证静态数据的签名，并在步骤456，发送适当的验证确认。

在步骤458，EMV代理模块将持卡人验证结果呈送到EMV读卡器终端模块。迄今只执行了离线验证。在步骤460，EMV读卡器终端模块执行终端风险管理，并在步骤462，执行终端动作分析。在步骤464，新应用密文(Application Cryptogram，AC)由EMV读卡器终端模块生成并发送到EMV代理模块。在步骤466，EMV代理模块执行卡动作分析并生成新AC，在步骤468将该新AC转发到个人受信任装置。在步骤470，个人受信任装置使用对称密钥计算其自己的AC，并在步骤472，将此AC发送到EMV代理模块。在步骤474，EMV代理模块将AC转发到EMV读卡器终端模块，视交易是在线交易还是离线交易而定，EMV读卡器终端模块可能又将AC转发到EMV发卡行后台系统。在此处所示的示例中，基于生成的密文类型，交易是在线交易。在步骤476，EMV读卡器终端模块将AC转发到EMV发卡行后台系统。

在步骤478，EMV发卡行后台系统处理在线交易并发出交易授权。在步骤480，EMV发卡行后台系统可生成用于个人受信任装置的命令脚本。在步骤482，EMV发卡行后台系统将命令脚本输送到EMV代理模块(经EMV读卡器一般模型100)。在步骤484，EMV代理模块根据命令脚本更新其EMV票证副本，并在步骤486，将命令脚本处理的结果发送到EMV发卡行后台系统。之后，在步骤488，EMV代理模块将更新的EMV票证发送到个人受信任装置，并在步骤490删除其EMV票证的副本。EMV发卡行后台系统在收到命令脚本处理的确认后，在步骤494将完成消息发送到EMV代理模块(经EMV读卡器终端模块)。在步骤496，EMV代理模块又将完成消息发送到个人受信任装置，在步骤498，个人受信任装置将完成消息呈送到用户。

应用密文的生成已在前面叙述，并可按如下实施。如上所述，存储在EMV芯片卡中的对称密钥用于在ICC-EMV交易中生成应用密文。如EMV规范中说明的下面的表4提供用于应用密文生成的推荐的数据元素最小集合。用于ICC-EMV中生成应用密文的算法已在EMV 2000手册2中提供。在一些实施例，移动-EMV可使用相同的算法生成应用密文。

值	源
		金额，已授权	终端
其它金额(数值)	终端
		终端国家代码	终端
终端验证结果	终端
		交易货币代码	终端
交易日期	终端
		交易类型	终端
不可预见的数	终端
		应用交换简档	ICC
应用交易计数器	ICC

                         表4

相应地，EMV对称密钥可以(a)从个人受信任装置传送到EMV代理以让EMV代理代表用户生成密文，或者(b)存储在个人受信任装置中，密文将在该装置中生成。选项(a)要求对EMV代理及对将EMV对称密钥从个人受信任装置安全传送到EMV代理的机制有足够的信任，如果缺乏上述信任，则将使它成为有更高风险的方案。为此，在本发明的一些实施例中，选项(b)(即，EMV对称密钥在个人受信任装置中)是优选的。

在ICC-EMV中，在制造集成芯片卡时由EMV发卡行后台系统将对称密钥供应到卡中。在移动-EMV体系结构中，从安全角度而言，存储EMV对称密钥的最合乎逻辑的位置会是SE。然而，由WAP为开放移动联盟规范开发并由该规范维护的当前无线身份模块(WirelessIdentity Module，WIM)不支持对称密钥运算。另外，可能存在与发行后供应EMV对称密钥到SWIM卡中有关的商业和技术问题，SWIM卡是SIM卡与WIM卡的组合。不过，根据本发明的实施例，如下所述，对称密钥存储位置可以是上述任一位置(例如，智能卡、移动设备等)。

在一些实施例中，安全锁箱的概念可用于EMV对称密钥的存储和EMV应用密文的生成。此类安全存款箱在此处称为Sym-Locker(对称密钥锁定器)。对称密钥锁定器可在基于智能卡的安全元件(即，SWIM卡)、如标准SIM卡的无安全元件的智能卡(SIM卡提供对称密钥功能)中或在读卡器终端硬件中实施。无论如何实施它，下面是对称密钥锁定器的一些要求。

对称密钥锁定器应为安全供应EMV对称密钥到锁定器中提供API。视实施对称密钥锁定器的地方而定，API需要允许在发行智能卡或个人受信任装置后供应对称密钥。此外，需要以使得检索、篡改或复制对称密钥十分困难的方式安全存储密钥。此外，EMV对称密钥应从不离开对称密钥锁定器。EMV应用密文应在对称密钥锁定器内部生成。对称密钥锁定器应提供API以允许生成EMV密文。

除EMV代理模块的鉴定外，不应要求用户向对称密钥锁定器鉴定，因为它会是不必要的并可能导致损害用户体验。对称密钥锁定器应能够使用EMV代理模块的用户鉴定的结果，以生成和发布用于移动-EMV交易的密文。对称密钥锁定器应能够保存多个EMV对称密钥，每个密钥对应于由一个或多个金融机构发行的单独集成芯片卡。用户不可浏览对称密钥锁定器密钥的内容。EMV票证将提供在一个或多个金融机构接纳用户的指示。最后，对称密钥锁定器应提供删除在锁定器中存储的EMV对称密钥的规定。

虽然已参照一个或多个特殊实施例对本发明进行了描述，但本领域的技术人员将认识到，在不脱离本发明精神和范围的情况下，可对其进行许多修改。这些实施例及其显而易见的变化中的每个视为在随附权利要求书中所述的要求保护的本发明的精神和范围内。

Claims (20)

1.一种使用移动终端在读卡器终端中进行电子交易的方法，包括：

在所述移动终端与所述读卡器终端之间建立无线连接；

在所述移动终端与所述读卡器终端之间通过所述无线连接传送交易数据；

在所述读卡器终端中安装代理代表所述移动终端行动；以及

其中所述代理使用所述交易数据代表所述移动终端进行所述电子交易。

2.如权利要求1所述的方法，其中所述电子交易是Europay、Mastercard和Visa(EMV)交易。

3.如权利要求1所述的方法，还包括向所述代理鉴定所述移动终端的用户。

4.如权利要求3所述的方法，其中向所述代理鉴定用户的步骤涉及执行一个或多个移动电子交易(MeT)鉴定功能。

5.如权利要求1所述的方法，还包括为所述移动终端设置在传送所述交易数据中使用的对称密钥。

6.如权利要求5所述的方法，其中传送所述交易数据的步骤包括传送安全动态数据对象。

7.如权利要求6所述的方法，其中所述安全动态数据对象包括移动电子交易(MeT)票证。

8.如权利要求6所述的方法，还包括在所述电子交易完成时更新所述安全动态数据对象。

9.如权利要求1所述的方法，其中建立无线连接的步骤包括建立蓝牙无线连接。

10.如权利要求1所述的方法，还包括将所述读卡器终端连接到金融机构以完成所述交易，其中在所述金融机构未进行更改就适应所述移动终端。

11.一种配置为与移动终端进行电子交易的读卡器终端，包括：

用于在所述移动终端与所述读卡器终端之间建立无线连接的无线接入节点；

配置为在上面存储计算机可读代码的存储单元，所述计算机可读代码包括所述移动终端的代理；以及

连接到存储单元的微处理器，所述微处理器能够在所述读卡器终端上执行所述代理，所述代理配置为：

在所述移动终端与所述读卡器终端之间通过所述无线连接传送交易数据；以及

使用所述交易数据代表所述移动终端进行所述电子交易。

12.如权利要求11所述的读卡器，其中所述电子交易是Europay、Mastercard和Visa(EMV)交易。

13.如权利要求11所述的读卡器，其中所述代理还配置为鉴定所述移动终端的用户。

14.如权利要求13所述的读卡器，其中所述代理通过执行一个或多个移动电子交易(MeT)鉴定功能而鉴定所述用户。

15.如权利要求11所述的读卡器，其中所述交易数据的传送包括安全动态数据对象的传送。

16.如权利要求15所述的读卡器，其中所述安全动态数据对象的传送包括移动电子交易(MeT)票证的传送。

17.如权利要求16所述的读卡器，其中所述代理还配置为在所述电子交易完成时更新所述安全动态数据对象。

18.如权利要求11所述的读卡器，其中所述无线接入节点包括蓝牙无线接入节点。

19.如权利要求11所述的读卡器，其中所述存储单元还包括用于配置为代表所述移动终端将所述代理连接到金融机构的读卡器终端模块的计算机可读代码。

20.如权利要求20所述的读卡器，其中在所述金融机构未进行更改就适应所述移动终端。

Images