DE69730864T2

DE69730864T2 - Beglaubigungsverfahren für überweisungen gegen betrügerisches aufladen

Info

Publication number: DE69730864T2
Application number: DE69730864T
Authority: DE
Inventors: H. Michelle WALLACE
Original assignee: MCI Communications Corp
Current assignee: MCI Communications Corp
Priority date: 1996-05-30
Filing date: 1997-05-30
Publication date: 2006-02-23
Anticipated expiration: 2017-05-31
Also published as: EP0953180A4; EP0953180A1; JP2000515273A; EP0953180B1; AU3151597A; DE69730864D1; CA2256468A1; WO1997045806A1; US5988497A

Description

Hintergrund der Erfindung
Gebiet der Erfindung
Die vorliegende Erfindung bezieht sich allgemein auf Verfahren zum Validieren von Transaktionen, und insbesondere ist die vorliegende Erfindung auf ein dynamisches Verfahren für Guthabenauthentifizierung gerichtet.
Verwandte Technik
Kreditkarten-, Telefonkarten- und Bankkartenbetrug kosten Unternehmen (und Verbraucher) jährlich Millionen von Dollar. Die gegenwärtigen Sicherheitsmechanismen sind nicht störungssicher, und Schutzmechanismen für Verbraucher und Unternehmen erfordern Verbesserung, um diese betrugsbezogenen Verluste einzudämmen.
Heutzutage ist die Validierung von Guthabentransaktionen bzw. Kredittransaktionen uneffektiv, um Personen, die beabsichtigen einen Betrug zu begehen, abzuschrecken. Zum Beispiel kann jeder mit einer Kreditkartennummer und einem Ablaufdatum das Konto belasten, wenn er mittels Telefon oder Computereinwahl bestellt. Dieses Problem wird weiter verschlimmert durch die Leichtigkeit, mit der Kreditkartennummern erhalten werden können. Man muss nur den Müll durchsuchen nach weggeworfenen Kontoauszügen, Quittungen und Durchschlägen, um gültige Kreditkartennummern zu erhalten.
Telefonkartentransaktionen weisen ähnliche Probleme auf. Zum Beispiel werden Telefonkartennummern routinemäßig an Flughäfen „gesurft" durch Leute, die über die Schultern von Kartenbenutzern schauen, wenn diese die Telefonkartennummer eintippen. Danach wird die Telefonkartennummer verteilt und zügelloser Betrug ist das Ergebnis.
Ein konventionelles Verfahren zum Bekämpfen von Betrug war die Bereitstellung von statischen persönlichen Identifikationsnummern (PINs). Typischerweise werden diese PINs vom Benutzer zum Widerspiegeln persönlicher Informationen (z. B. Geburtsdatum, Jahrestagdatum, etc.) definiert. Während die Personalisierung dieser PINs den Benutzer beim Erinnern dieser Nummern unterstützt, hilft sie auch einer Person beim Raten der PINs. Dieses Sicherheitsrisiko wächst, wenn Benutzer die gleichen PINs für mehrere Karten definieren.
Mehrere Versuche wurden vorgeschlagen, dieses Sicherheitsproblem zu überwinden. Z. B. enthüllt das Dokument US-A-4885778 (K. P. Weiss) ein dynamisches Validierungsverfahren zum Authentifizieren von Guthaben- bzw. Kredittransaktionen durch Benutzung dynamischer, nicht vorhersagbarer Codes parallel zum festen Code. Da dieses Verfahren immer die Benutzung von zwei parallelen Codes mit sich bringt, bringt es eine hohe Komplexität mit sich, die eine Vielfalt von Kosten erzeugt, z. B. Implementierung, Verwaltung, Ausbildung, Bequemlichkeit, etc.
Auf der anderen Seite enthüllt das Dokument US-A-4788418 (S. Tsukui) ein dynamisches Validierungsverfahren, in dem Kredittransaktionen direkt stattfinden, ohne den Benutzer nach seiner persönlichen Identifizierungsnummer zu fragen, was den Prozeß vereinfacht. Ein Hauptnachteil dieses Verfahrens ist, daß es die zuvor genannten Sicherheitsrisiken nicht genügend berücksichtigt. Ein weiterer Versuch ist im Dokument WO 95 19612 A offenbart, das ein Verfahren beschreibt, in dem bei gewissen Benutzungsgelegenheiten der Benutzer mehrere Untercodes eingibt, welche zusammen genommen eine gegebene Bedingung erfüllen.
Weiterhin enthüllt das Dokument WO 95 19612 ein Verfahren im Zusammenhang mit Verifizierung des Zugangs zu einem System, in dem ein autorisierter Benutzer einen Autorisierungscode eingeben muss. Bei bestimmten Benutzungsgelegenheiten gibt der Benutzer einen Untercode ein und bei der nächsten Benutzungsgelegenheit gibt der Benutzer einen komplementären Untercode ein, wobei bei dieser nächsten Gelegenheit dem Benutzer Zugang zum System gewährt wird, unter der Voraussetzung, daß die zwei Untercodes zusammen genommen eine gegebene Bedingung erfüllen, optional als eine Ergänzung zu zusätzlichen zugangsverifizierenden Maßnahmen, z. B. die Eingabe eines sogenannten PIN-Codes.
Zusammenfassung der Erfindung
Die wie durch Anspruch 1 definierte vorliegende Erfindung befriedigt die zuvor genannten Bedürfnisse durch Bereitstellung eines Validierungsverfahrens, das variable persönliche Identifizierungsnummern (PINs) benutzt. Diese variablen PINs werden von einer benutzergehaltenen Vorrichtung erzeugt, die die angezeigte Nummer periodisch (z. B. alle 60 Sekunden) ändert. Am Validierungsstandort oder einem Standort eines dritten Beteiligten kann ein System Referenz-PINs erzeugen, die sich in der gleichen Weise wie die auf der benutzergehaltenen Vorrichtung angezeigten PINs ändern. Der Erwerb der variablen PINs ist somit für einen potentiellen betrügerischen Benutzer nutzlos über die kurze Zeitperiode hinweg, während der die variable PIN auf der benutzergehaltenen Vorrichtung angezeigt wird.
Obwohl diese benutzergehaltenen Vorrichtungen potentiellen Betrug bei jeder Kartentransaktion reduzieren können, geht die Implementierung dieser neuen Technologie mit einer Vielfalt von Kosten einher (z. B. Implementierung, Verwaltung, Ausbildung, Bequemlichkeit, etc). Die gesamtwirtschaftliche Kombination dieser Kosten könnte die beabsichtigten Vorzüge, nach deren Erlangen gestrebt wird, überwiegen. Dementsprechend identifiziert die vorliegende Erfindung ein dynamisches Validierungsverfahren, das Kredittransaktionen in mehreren Stufen authentifiziert. In einer bevorzugten Ausführungsform weist das dynamische Validierungsverfahren zwei Stufen auf.
Auf der ersten Stufe des Validierungsverfahrens validiert das System die vorgeschlagenen Kredittransaktionen auf der Grundlage einer statischen Sequenz von PINs. Insbesondere stellt das System nach Erhalt einer PIN von einem Benutzer fest, ob die empfangene PIN einer in einer Datenbank gespeicherten, vordefinierten PIN entspricht. Wenn keine Entsprechung identifiziert wird, kann ein Invalidierungsergebnis zurückgegeben werden. Wenn eine Entsprechung idenfiziert wird, stellt das System fest, ob die Kredittransaktion eine zweite Stufe der Validierung erfordert.
Die Notwendigkeit einer zweiten Stufe der Validierung könnte durch zahlreiche Schwellenkriterien oder -bedingungen ausgelöst werden. Beispiel von Schwellenkriterien schließen Transaktionsbetrag, Guthabenlimit, Benutzungshäufigkeit oder dergleichen ein. Beispiele von Bedingungen schließen Änderungen im Kaufverhalten (z. B. Änderung der Versandadresse), geographische Beschränkungen oder dergleichen ein. Die Klasse der Bedingungen kann auch jegliche Boolesche Kombination von zwei oder mehr Schwellen oder Bedingungen einschließen. Diese Bedingungen können vom Dienstanbieter gesetzt werden oder individuell durch den Karteninhaber angepaßt werden. In jedem Fall können geeignete Szenarien definiert werden, in denen der Aufwand einer zweiten Stufe der Validierung gerechtfertigt ist.
Wenn keine Schwellenkiterien überschritten werden oder keine Bedingungen erfüllt werden, wird die Transaktion allein auf der ersten Stufe des Validierungsverfahrens authentifiziert, wenn für das Konto des Karteninhabers jedoch irgendeine aus einem Satz vordefinierter Schwellen überschritten wird oder irgendeine aus einem Satz vordefinierter Bedingungen erfüllt wird, wird die zweite Stufe der Validierung aufgerufen. In dieser zweiten Stufe der Validierung wird der Benutzer nach einer variablen PIN gefragt, die durch eine benutzergehaltene Vorrichtung erzeugt wird. Diese variable PIN wird mit einer synchron erzeugten variablen PIN verglichen. Das System, das eine variable PIN synchron erzeugt, kann am Validierungsstandort oder einem separaten Standort, der durch ein Netzwerk angeschlossen ist, vorhanden sein. Wenn eine Entsprechung auftritt, authentifiziert das dynamische Validierungsverfahren die Kredittransaktion.
Kurze Beschreibung der Figuren
Die vorhergehenden und weitere Merkmale und Vorteile der Erfindung werden ersichtlich aus der folgenden, eingehenderen Beschreibung einer bevorzugten Ausführungsform der Erfindung, wie sie in den beiliegenden Zeichnungen dargestellt ist. In den Zeichnungen bezeichnen ähnliche Bezugszeichen identische oder funktional ähnliche Elemente. Zusätzlich gibt die Ziffer ganz links eines Bezugszeichens die Zeichnung an, in der das Bezugszeichen zuerst auftaucht.
1 stellt eine bevorzugte Ausführungsform eines dynamischen Validierungsverfahrens dar.
2 stellt ein Blockdiagramm eines zur Implementierung von Elementen der vorliegenden Erfindung nützlichen Computers dar.
Detaillierte Beschreibung der bevorzugten Ausführungsformen
Optimale Lösungen, die auf das sich ausbreitende Betrugsproblem eingehen, erfordern die Betrachtung mehrerer Faktoren. Allgemein muss diese Analyse die Bedeutung des Problems, auf das eingegangen werden soll, relativ zu den Kosten der vorgeschlagenen Lösung bestimmen. Die mit einer jeden Lösung zusammenhängenden Kosten schließen die technischen Kosten des Betrugsverhinderungsmechanismus, die Verwaltungskosten zur Implementierung des neuen Systems, die Ausbildungskosten der Öffentlichkeit zur Benutzung des neuen Systems, etc. ein. Offensichtlich kann die Implementierung der vorgeschlagenen Lösung nicht gerechtfertigt werden, wenn die Kosten der vorgeschlagenen Lösung die erwartete Nutzung übersteigen.
Im Zusammenhang mit Telefonkarten, Kreditkarten und Bankkarten haben betrügerische Transaktionen abweichende Gefährdungen (oder Kosten). Z. B. kann Betrug bezüglich einer Telefonkarte auf der Grundlage einer Vielzahl von Tätigungen internationaler Anrufe mit Hunderten oder Tausenden von Dollar betrügerischer Gebühren über eine Zeitperiode erfolgen. Kreditkarten werden andererseits als kritischer angesehen als Telefonkarten und können potentiell Tausende von Dollar an Haftung auf der Grundlage einer einzigen Transaktion mit sich bringen. Dieses Gefährdungspotential hängt von dem Kreditrahmen der Kreditkarte ab. Schließlich kann betrügerische Benutzung von Bankkarten Hunderte oder Tausende von Dollar gefährden, abhängig vom Kontostand und irgendwelchen vordefinierten Abhebebeschränkungen. Es kann ohne weiteres eingesehen werden, daß diese transaktionsbasierten Dienste unterschiedliche Gefährdungen im Hinblick auf Betrug für Unternehmen und Privatpersonen bedeuten.
Das Eingehen auf diese Gefährdungen im Hinblick auf Betrug beginnt durch das Erkennen potentieller Schwachstellen in jeder Transaktion-Authentifizierung. Wie zuvor angemerkt, basiert Authentifizierung auf der Verifikation einer statischen Sequenz von identifizierenden Nummern. Z. B. kann eine Kreditkartentransaktion verifiziert werden durch das Ablaufdatum, eine Telefonkartentransaktion kann verifiziert werden durch die Telefonkartennummer, und eine Bankkarte kann verifiziert werden durch eine vordefinierte PIN. In jedem dieser Fälle kann, sobald die statische Sequenz identifizierender Nummern entdeckt oder erworben wurde, der Betrug unverzüglich beginnen. Die betrügerische Aktivität setzt sich fort, bis das Konto deaktiviert wird.
Um diese fundamentale Schwachstelle in konventionellen Authentifizierungssystemen zu vermeiden, benutzt die vorliegende Erfindung eine variable Sequenz von identifizierenden Nummern (oder variable PIN). Im Vergleich zu einer statisch vordefinierten PIN wird die variable PIN durch eine benutzergehaltene Einrichtung erzeugt als Teil einer Sequenz von zufällig erzeugten Nummern. Die variable PIN wird auf der benutzergehaltenen Einrichtung angezeigt und ändert sich periodisch (z. B. alle 60 Sekunden). Am entweder Validierungsstandort oder einem Standort eines dritten Beteiligten wird eine passende variable PIN synchron erzeugt. Die Authentifizierung geht weiter beim Vergleich der variablen PIN, die vom Karteninhaber bereitgestellt wird, und der synchron erzeugten variablen PIN, die am Validierungsstandort verfügbar ist. Ein Beispiel dieser Authentifizierungseinrichtung ist die SecurID Card, die von Security Dynamics, Cambridge, MA, produziert wird.
Wie anerkannt werden kann, verhindert die Benutzung einer variablen PIN zahlreiche betrügerische Aktivitäten. Da die variable PIN insbesondere nur für eine kurze Zeitperiode (z. B. 60 Sekunden) gültig ist, ist der tatsächliche Besitz der benutzergehaltenen Einrichtung, die die variable PIN erzeugt, erforderlich für den Beginn des Betrugs. Zum Beispiel wird der Fall des Telefonkartenbetrugs betrachtet. Wenn eine variable PIN zumindest einen Teil der Telefonkartennummer ersetzt, kann eine Person, die die Nummer stiehlt (z. B. durch Schauen über die Schulter), diese nur für eine kurze Zeitperiode, typischerweise weniger als 1 Minute, benutzen. Tatsächlich wird diese Betrugsklasse vollständig beseitigt. Ähnliche Effekte ergeben sich auch bei Kreditkarten- und Bankkartenbetrug.
Typischerweise halt das Erfordernis des tatsächlichen Besitzes der benutzergehaltenen Einrichtung von den meisten Fälle von „gelegentlichem" Betrug ab. In diesem Zusammenhang bezieht sich „gelegentlicher" Betrug auf solche Situationen, in denen keine Verbrechen direkt gegen den Karteninhaber begangen werden. Mit anderen Worten kann, abgesehen vom Diebstahl der benutzergehaltenen Einrichtung, Betrug nicht beginnen. Selbst falls dies für einen potentiellen betrügerischen Benutzer eine Option ist, kann Diebstahl der Geldbörse des Karteninhabers nicht ausreichend sein. In weiteren Ausführungsformen kann die benutzergehaltene Einrichtung in kompakter Form, wie einem Schlüsselanhänger, vorliegen. In diesem Fall müßte der potentielle betrügerische Benutzer eine Geldbörse und den Schlüsselanhänger stehlen. Auf dieser erhöhten Ebene von Betrugsaktivität überwiegen die Kosten der erhöhten persönlichen Sicherheit die angestrebten Vorzüge klar.
Weiterhin erfordern mit Bezug auf eine Kosten-Nutzen-Analyse die Benutzungskosten der variablen PIN selber eine Abwägung. In dieser neuen Anwendung von variabler PIN Technologie müssen die Kosten der benutzergetragenen variablen PIN Einrichtung, die Kosten der Aktualisierung existierender Validierungssysteme, die Kosten der Erziehung der Karteninhaber, etc. in Betracht gezogen werden. Nachdem die gesamtwirtschaftliche Summe dieser Kosten bestimmt ist, ist die variable PIN Technologie möglicherweise für bestimmte Anwendungen nicht gerechtfertigt. Genauer können manche Benutzungen innerhalb einer bestimmten Dienstklasse (d. h. Telefonkarte, Kreditkarte oder Bankkarte) die Benutzung der Technologie nicht rechtfertigen.
Eine ähnliche Kosten-Nutzen-Analyse wird auch vom Karteninhaber durchgeführt werden. Mögliche Abwägungen schließen die Erwerbskosten der Einrichtung, die Mitführungskosten der zusätzlichen Einrichtung, die Benutzungskosten der Einrichtung, etc. ein. Sowohl die Mitführungskosten der Einrichtung als auch die Benutzungskosten der Einrichtung sind größtenteils solche der Bequemlichkeit. Die Karteninhaber könnten daher die Benutzung einer wertvollen Technologie wegen der empfundenen Unbequemlichkeit im Vergleich zum zu erwartenden Nutzen ablehnen.
Angesichts dieser Abwägungen sieht die vorliegende Erfindung ein dynamisches Validierungsverfahren vor, das sensibel für die Bedürfnisse von sowohl den die Kartendienste bereitstellenden Unternehmen als auch von den Einzelpersonen, die diese Kartendienste benutzen, ist. In diesem dynamischen Validierungsverfahren wird die variable PIN Technologie automatisch aufgerufen als eine zweite Stufe einer Validierung auf der Grundlage der Erfüllung vordefinierter Bedingungen. Zahlreiche mögliche Alternativen beim Spezifizieren vordefinierter Bedingungen existieren. Die folgenden Darstellungen sind lediglich beispielhaft und repräsentieren keine vollständige Liste möglicher Benutzungen.
Zunächst wird die Perspektive eines Kartenausgebers betrachtet. In vielen Fällen werden Kartenausgeber die Haftung für entstandene betrügerische Gebühren übernehmen. Somit hat der Kartenausgeber einen direkten finanziellen Nutzen von der Beseitigung betrügerischer Benutzungen. Diese finanziellen Nutzen sind jedoch direkt proportional zum Betrugsgrad, welcher von Hunderten bis zu Tausenden Dollars reichen kann. Bei der Betrachtung einer Kosten-Nutzen-Analyse können Kartenausgeber es leichter rechtfertigen, höhere Betrugsgrade zuerst zu beseitigen. Diese höheren Betrugsgrade können durch verschiedene Indizien gekennzeichnet werden, die einer bestimmten Transaktion zugeordnet sind.
Zum Beispiel kann die Verhinderung einer betrügerischen Transaktion für einen Betrag oberhalb einer gegebenen Schwelle (z. B. $500) im Vergleich leichter gerechtfertigt werden als die Verhinderung einer betrügerischen Transaktion von $30. Als eine Alternative die Werte individueller Transaktionen anzuvisieren kann der Kartenausgeber es auch wollen, Transaktionen auf spezifischen Karten anzuvisieren. Z. B. kann der Kartenausgeber eine zweite Stufe der Validierung (d. h. variable PIN) nur für Transaktionen auf Kreditkarten mit einem Kreditlimit oberhalb einer vordefinierten Schwelle (z. B. $5.000) fordern. Dieses Beispiel könnte aus einer Möglichkeit entstehen, daß betrügerische Aktivität sich hauptsächlich auf Goldkarten konzentriert. Natürlich könnte der Kartenausgeber eine Kombination von Schwellenkriterien (z. B. Kreditlimit über $5.000 und Transaktion über $1.000) spezifizieren. Anstelle die Überwachung auf eine einzelne Transaktion zu beschränken, könnte der Kartenausgeber sogar die vergangene Kartennutzung beobachten. Wenn z. B. die durchschnittliche Belastung unter $100 liegt, könnte eine Kette von Belastungen zu $300 die zweite Stufe der Validierung auslösen.
Zusätzlich kann ein Kartenausgeber es wünschen, auf Transaktionen abzuzielen, die wahrscheinlicher sind, betrügerisch oder vermutlich betrügerisch zu sein. Z. B. kann der Kartenausgeber automatisch eine zweite Stufe der Validierung initiieren, wenn eine Transaktion, die ein Kreditlimit überschreitet, versucht wurde. In einem anderen Beispiel kann der Kartenausgeber eine zweite Stufe der Validierung automatisch initiieren, wenn eine Transaktion, die einer Karte zugeordnet ist, die zuvor als verloren, aber noch nicht deaktiviert identifiziert wurde, versucht wird. In diesem Szenario könnte ein Zugriff auf eine Datenbank den Zustand eines Feldes in einem Datenbankdatensatz, der dieser Karte zugeordnet ist, identifizieren.
Die Perspektiven eines Karteninhabers betrachtend, können weitere Modifikationen des Validierungsverfahrens resultieren. Z. B. kann der Karteninhaber bestimmen, ob der Dienst überhaupt erwünscht ist. Wenn der Karteninhaber für alle betrügerischen Benutzungen haftbar ist, wird die Benutzung einer variablen PIN Technologie zu einer Form der Versicherung. Einige Benutzer mögen den zusätzlichen Dienst auf Grundlage von Ausgabenstufen rechtfertigen, während andere Benutzer dies nicht tun. Das System könnte daher bestimmen, basierend auf einem Feld in einem Datenbankdatensatz, der dieser Karte zugeordnet ist, ob die zweite Stufe der Validierung vom Karteninhaber ausgewählt wurde.
Der Karteninhaber kann weiterhin das dynamisch definierte Validierungsverfahren durch Spezifizieren eines beliebigen Satzes von Bedingungen steuern. Diese Bedingungen können auf einer Kombination von Bequemlichkeit und möglicher Haftung basieren. Z. B. kann ein Karteninhaber spezifizieren, daß nur Transaktionen über $100 die zweite Stufe der Validierung initiieren würden. In diesem Fall mag der Karteninhaber annehmen, daß der Großteil seiner Transaktionen unterhalb dieser Schwelle sein wird, und dadurch die Notwendigkeit der Beschäftigung mit der zweiten Stufe der Validierung beseitigen.
Im Zusammenhang mit Bankkarten könnte der Karteninhaber eine geographische Bedingung spezifizieren. Z. B. könnte der Karteninhaber spezifizieren, daß die zweite Stufe der Validierung nur initiiert werden sollte, wenn ein Geldautomat außerhalb eines vordefinierten Satzes von Geldautomaten benutzt wird. Alle Benutzungen innerhalb des vordefinierten Satzes von Geldautomaten würden die zweite Stufe der Validierung umgehen und dadurch die Benutzungsbequemlichkeit erhöhen. Wenn somit die Bankkarte mit Kenntnis der statischen PIN gestohlen wird, würde der betrügerische Benutzer von der Benutzung der Karte an Standorten außerhalb des vordefinierten Satzes ausgeschlossen sein.
Hinsichtlich der Bequemlichkeit könnte der Karteninhaber spezifizieren, daß die zweite Stufe der Validierung periodisch aufgerufen werden sollte. Z. B. könnte die zweite Stufe der Validierung automatisch aufgerufen werden bei jeder fünften Transaktion. Auf diese Weise könnte nur eine beschränkte Anzahl von betrügerischen Benutzungen auftreten, bevor eine variable PIN bereit gestellt werden muss. Wenn der betrügerische Benutzer die variable PIN nicht bereitstellen kann bei der vordefinierten periodischen Transaktion, würden alle folgen den Transaktionen gleichermaßen die zweite Stufe der Validierung erfordern. Dieser Mechanismus würde die betrügerische Benutzung dieser Karte effektiv beenden.
Zusätzlich zur Verhinderung betrügerischer Aktivitäten könnte die variable PIN auch benutzt werden, um spezielle Transaktionen zu authentifizieren. Wenn z. B. ein vordefiniertes Geldautomatenlimit $200 ist, der Benutzer jedoch $500 benötigt, könnte die variable PIN benutzt werden, um das zuvor definierte Limit zu umgehen.
Wie ohne weiteres einzusehen ist, gibt es zahlreiche weitere Beispiele. Darüber hinaus könnte eine beliebige Boole'sche Kombination von Bedingungen benutzt werden, um zu spezifizieren, wann die zweite Stufe der Validierung aufgerufen wird. Dieses dynamische Validierungsverfahren wird durch das Flußdiagramm von 1 beschrieben.
In 1 beginnt das zweistufige Validierungsverfahren in Schritt 102, wo das System eine Kartennummer von einem Karteninhaber empfängt. Als nächstes fragt das System in Schritt 104 den Karteninhaber nach einer statischen vordefinierten PIN. Im Zusammenhang mit Telefonkarten kann die statisch vordefinierte PIN als ein Teil der Kartennummer selber existieren, die dem System zur Verfügung gestellt wird. Nachdem die statische PIN empfangen wurde, bestimmt das System in Schritt 106, ob die statische PIN der in einer Datenbank für diese Kontonummer gespeicherten PIN entspricht. Wenn die PINs sich nicht entsprechen, wird die vorgeschlagene Transaktion in Schritt 108 ungültig gemacht. Alternativ könnten dem Karteninhaber zusätzliche Chancen zur Eingabe einer korrekten PIN gegeben werden.
Wenn das System in Schritt 106 feststellt, daß die PINs einander entsprechen, ist die initiale Validierungsphase zufriedengestellt. Diese initiale Validierungsphase repräsentiert die minimalen Anforderungen zur Authentifizierung der Transaktion. Wie zuvor bemerkt, sind diese minimalen Anforderungen häufig unzufriedenstellend. Dementsprechend sieht die vorliegende Erfindung die Benutzung einer zweiten Stufe der Validierung vor. Der Aufruf dieser zweiten Stufe basiert auf einer Vielfalt von Abwägungen, beispielhaft durch die zuvor diskutierten gezeigt. Die Kriterien zum Aufruf zusätzlicher Validierung können maßgeblich auf Definitionen des Dienstanbieters und/oder des Karteninhabers basieren. Dieses Definitionsverfahren ermöglicht es dem dynamischen Validierungsverfahren, kundenangepaßt zu werden auf der Grundlage eines oder mehrerer beliebiger Parameter, die sich auf eine bestimmte Transaktion oder eine Abfolge von Transaktionen beziehen. Diese allgemeinen Benutzungsabwägungen können beliebige vordefinierte generische Schwellwert- oder Konditionsklassen einschließen.
Wenn eine oder mehrere Schwellen überschritten werden (oder Bedingungen erfüllt werden), wie sie durch die Feststellung in Schritt 110 identifiziert werden, fragt das System den Karteninhaber nach einer variablen PIN in Schritt 112. In verschiedenen Ausführungsformen wird der Karteninhaber durch eine Sprachausgabeeinheit (VRU) zur Computerbestellung oder Telefonkartenbenutzung gefragt, durch einen Geldautomaten (ATM) für ATM-Abhebungen, durch ein Computerprogramm, wenn finanzielle Transaktionen über ein Computernetzwerk (z. B. Internet) ausgeführt werden, etc. In jedem Fall kann eine Nummer auf allen gegenwärtigen Authentifizierungseinrichtungen (z. B. Telefontastenfeld, Computertastatur, etc.) eingegeben werden, die die Eingabe eines Transaktionsbetrags erfordern.
Bei Empfang bestimmt das System, ob die empfangene variable PIN einer gleichzeitig erzeugten PIN entspricht, die an dem Validierungsstandort oder einem Standort eines dritten Beteiligten produziert wurde. Wenn in Schritt 114 festgestellt wird, daß die variablen PINs einander nicht entsprechen, wird die Transaktion in Schritt 116 ungültig gemacht. Alternativ könnten dem Karteninhaber zusätzliche Chancen gegeben werden, eine korrekte variable PIN bereit zu stellen. Allgemein könnte die Ungültigmachung der Transaktion in Schritt 116 auch von einer Aktion begleitet werden, die diese bestimmte Karte als vermutlich betrügerisch kennzeichnet. Diese Kennzeichnung wird durch die Aktualisierung eines Datenbankdatensatzes geleistet, der der bestimmten Karte zugeordnet ist. Nachdem sie als vermutlich betrügerisch gekennzeichnet ist, wird jede nachfolgende Transaktion, die auf dieser Karte basiert, die zweite Stufe der Validierung erfordern. Wenn der Karteninhaber in der unmittelbaren Nähe ist, könnte die Karte auch konfisziert werden.
Wenn das System in Schritt 114 schließlich feststellt, daß die zweite Stufe der Validierung erfüllt ist, ist die Transaktion in Schritt 118 authentifiziert. Wenn das System in Schritt 110 alternativ feststellt, daß die erste Stufe der Validierung erfüllt ist und die zweite Stufe der Validierung nicht erforderlich ist, wird das System die Transaktion auch validieren. Dieser letztere Fall repräsentiert die dynamische Natur des Validierungsverfahrens, das kundenangepaßt werden kann auf der Grundlage der zuvor beschriebenen allgemeinen Abwägungen hinsicht lich der Kosten-Nutzen-Analyse. Wie ebenfalls zuvor bemerkt, können diese Abwägungen aus der Perspektive von entweder dem Dienstanbieter oder dem Karteninhaber gesehen werden.
In einer Ausführungsform ist die Erfindung auch ein Computersystem, das wie hierin diskutiert, arbeitet. Ein beispielhaftes Computersystem 202 ist in 2 gezeigt. Das Computersystem 202 schließt einen oder mehrere Prozessoren ein, wie beispielsweise Prozessor 204. Der Prozessor 204 ist an einen Kommunikationsbus 206 angebunden.
Das Computersystem 202 schließt auch einen Hauptspeicher 208, vorzugsweise Direktzugriffsspeicher (RAM), und einen Sekundärspeicher 210 ein. Der Sekundärspeicher 210 schließt z. B. ein Festplattenlaufwerk 212 und/oder ein Wechselspeicherlaufwerk 214, ein Diskettenlaufwerk, ein Magnetbandlaufwerk, ein Compaktdisklaufwerk, etc. repräsentierend, ein. Das Wechselspeicherlaufwerk 214 liest von und/oder schreibt auf einer Wechselspeichereinheit 218 in bekannter Weise.
Die Wechselspeichereinheit 218, auch Programmspeichereinrichtung oder Computerprogrammprodukt genannt, repräsentiert eine Diskette, Magnetband, Compaktdisk, etc. Wie anerkannt werden wird, schließt die Wechselspeichereinheit 218 ein computerbenutzbares Speichermedium ein mit darauf gespeicherter Computersoftware und/oder -daten.
Computerprogramme (auch Computerkontroll-Logik genannt) werden im Hauptspeicher und/oder dem Sekundärspeicher 210 gespeichert. Wenn ausgeführt, befähigen derartige Computerprogramme das Computersytem 202, die Merkmale der vorliegenden Erfindung, wie sie hierin diskutiert ist, auszuführen. Insbesondere befähigen die Computerprogramme, wenn ausgeführt, den Prozessor 204, die Merkmale der vorliegenden Erfindung auszuführen. Dementsprechend repräsentieren derartige Computerprogramme Steuerungen des Computersystems 202.
In einer anderen Ausführungsform ist die Erfindung auf ein Computerprodukt gerichtet, das ein computerlesbares Medium mit darauf gespeicherter Kontroll-Logik (Computersoftware), umfaßt. Wenn sie durch den Prozessor 204 ausgeführt wird, veranlaßt die Kontroll-Logik den Prozessor 204, die Funktionen der Erfindung, wie sie hierin beschrieben ist, auszuführen.
In einer anderen Ausführungsform ist die Erfindung hauptsächlich in Hardware implementiert, z. B. eine Hardware-Zustandsmaschine benutzend. Implementierung der Hardware-Zustandsmaschinen, so daß sie die hierin beschriebenen Funktionen ausführt, wird für die Fachleute des relevanten Gebiets offensichtlich sein.

Claims

Dynamisches Validierungsverfahren zur Authentifizierung von Kredittransaktionen, wobei das Verfahren die Schritte umfasst: (1) Empfangen einer Kontonummer für eine Kredittransaktion von einem Benutzer (102); (2) Abfragen einer persönlichen Identifizierungsnummer (104) bei dem Benutzer; (3) Empfangen einer persönlichen Identifizierungsnummer vom Benutzer; (4) Feststellen, ob die empfangene persönliche Identifizierungsnummer mit einer vordefinierten, in einer Datenbank gespeicherten persönlichen Identifizierungsnummer übereinstimmt (106); (5) im Falle der Identifizierung einer Übereinstimmung in Schritt (4) (106), Feststellen, ob die Kredittransaktion eine sekundäre Validierung durch den Benutzer erfordert (110), wobei die Feststellung einen Vergleich von einem oder mehrerer Parameter der Kredittransaktion mit wenigstens einer vordefinierten Schwelle oder Bedingung einschließt; (6) falls Schritt (5) ergibt, dass eine sekundäre Validierung erforderlich ist, Abfragen einer ersten variablen persönlichen Identifizierungsnummer (112) bei dem Benutzer; (7) Empfangen der ersten variablen persönlichen Identifizierungsnummer vom Benutzer; und (8) Authentifizieren der Kredittransaktion (118), falls die erste variable persönliche Identifizierungsnummer mit einer zweiten variablen persönlichen Identifizierungsnummer, die gleichzeitig durch einen Dienstleister erzeugt wird (114), übereinstimmt, dadurch gekennzeichnet, dass Schritt (5) (110) den Schritt des Definierens der vordefinierten Schwelle oder Bedingung durch einen Dienstleister umfasst.
Verfahren nach Anspruch 1, wobei der Schritt (5) (110) den Schritt der Feststellung umfasst, ob ein Geld-Wert der Kredittransaktion einen Geld-Schwellwert überschreitet.
Verfahren nach Anspruch 1, wobei der Schritt (5) (110) den Schritt der Feststellung, ob ein Kreditlimit überschritten wurde, umfasst.
Verfahren nach Anspruch 1, wobei der Schritt (5) (110) den Schritt der Feststellung, ob eine Kreditkarte ein Kreditlimit über einem bestimmten Betrags hat, umfasst.
Verfahren nach Anspruch 1, wobei der Schritt (5) (110) den Schritt der Feststellung, ob ein der Kontonummer zugeordneter Datenbank-Datensatz anzeigt, dass die sekundäre Validierung erforderlich ist, umfasst.
Verfahren nach Anspruch 1, wobei der Schritt (5) den Schritt der Feststellung, ob ein Schwellwert periodischer Benutzung überschritten wurde, umfasst.
Verfahren nach Anspruch 1, wobei der Schritt (5) (110) den Schritt der Feststellung, ob eine geografische Beschränkung verletzt wurde, umfasst.
Verfahren nach Anspruch 1, wobei der Schritt (5) (110) den Schritt der Feststellung, ob eine signifikante Änderung im Kaufmuster aufgetreten ist, umfasst.
Dynamisches Validierungssystem zur Authentifizierung von Kredittransaktionen, umfassend: Ein Authentifizierungssystem für variable persönliche Identifizierungsnummern, welches fähig ist, variable persönliche Identifizierungsnummern zu erzeugen gleichzeitig mit den Änderungen an einer variablen persönlichen Identifizierungsnummer, die auf einer Benutzer-gehaltenen Einrichtung angezeigt wird; ein Erststufenvalidierungssystem, das eine erste statische persönliche Identifizierungsnummer von einem Benutzer empfängt und die erste statische persönliche Identifizie rungsnummer mit einer in einer Datenbank gespeicherten zweiten statischen persönlichen Identifizierungsnummer vergleicht; und ein Zweitstufenvalidierungssystem, das eine erste variable persönliche Identifizierungsnummer vom Benutzer empfängt und die erste variable persönliche Identifizierungsnummer mit einer zweiten variablen persönlichen Identifizierungsnummer, die durch das Authentifizierungssystem für variable persönliche Identifizierungsnummern erzeugt wird, vergleicht, wobei das Zweitstufenvalidierungssystem aufgrund eines Vergleichs von einem oder mehrerer Parameter von Kredittransaktionen mit wenigstens einer vordefinierten Schwelle oder Bedingung aktiviert wird, dadurch gekennzeichnet, dass die vordefinierte Schwelle durch einen Dienstleister definiert wird.
System nach Anspruch 9, wobei das Zweitstufenvalidierungssystem feststellt, ob ein Geld-Wert der Kredittransaktion einen Geld-Schwellwert überschreitet.
System nach Anspruch 9, wobei das Zweitstufenvalidierungssystem feststellt, ob ein Kreditlimit überschritten wurde.
System nach Anspruch 9, wobei das Zweitstufenvalidierungssystem feststellt, ob eine Kreditkarte ein Kreditlimit über einem bestimmten Betrages hat.
System nach Anspruch 9, wobei das Zweitstufenvalidierungssystem feststellt, ob ein der Kontonummer zugeordneter Datenbank-Datensatz anzeigt, dass die sekundäre Validierung erforderlich ist.
System nach Anspruch 9, wobei das Zweitstufenvalidierungssystem feststellt, ob ein Schwellwert periodischer Benutzung überschritten wurde.
System nach Anspruch 9, wobei das Zweitstufenvalidierungssystem feststellt, ob eine geografische Beschränkung verletzt wurde.
System nach Anspruch 9, wobei das Zweitstufenvalidierungssystem feststellt, ob eine signifikante Änderung beim Kaufmuster aufgetreten ist.
Computerprogrammprodukt, umfassend: Ein Computer-benutzbares Medium mit auf dem Medium verkörperten Computerlesbaren Programmcodemitteln, ein dynamisches Validierungssystem für die Authentifizierung von Kredittransaktionen bereitstellend, wobei die Computer-lesbare Programmcodemittel umfassen: erste Computer-lesbare Programmcodemittel zum Veranlassen eines Computers, variable persönliche Identifizierungsnummern gleichzeitig mit den Änderungen in einer variablen persönlichen Identifizierungsnummer, die auf einer Benutzer-gehaltenen Einrichtung angezeigt werden, zu erzeugen; zweite Computer-lesbare Progammcodemittel zum Veranlassen eines Computers, eine erste statische persönliche Identifizierungsnummer, empfangen von einem Benutzer, und eine zweite statische persönliche Identifizierungsnummer, gespeichert in einer Datenbank, zu vergleichen; dritte Computer-lesbare Programmcodemittel zum Veranlassen eines Computers, eine erste variable persönliche Identifizierungsnummer, empfangen vom Benutzer, und eine zweite variable persönliche Identifizierungsnummer, die durch das erste Computerlesbare Programmcodemittel erzeugt wird, zu vergleichen, wobei die dritten Computerlesbare Programmcodemittel aufgrund eines Vergleichs von einem oder mehrerer Parameter einer Kredittransaktion mit wenigstens einer vordefinierten Schwelle oder Bedingung aktiviert werden; dadurch gekennzeichnet, dass die vordefinierte Schwelle durch einen Dienstleister definiert ist oder wird.