KR20060070484A - 포맷된 데이터 구조를 사용하여 안전 결제 거래를 수행하는시스템 및 방법 - Google Patents

포맷된 데이터 구조를 사용하여 안전 결제 거래를 수행하는시스템 및 방법 Download PDF

Info

Publication number
KR20060070484A
KR20060070484A KR1020057023751A KR20057023751A KR20060070484A KR 20060070484 A KR20060070484 A KR 20060070484A KR 1020057023751 A KR1020057023751 A KR 1020057023751A KR 20057023751 A KR20057023751 A KR 20057023751A KR 20060070484 A KR20060070484 A KR 20060070484A
Authority
KR
South Korea
Prior art keywords
authentication
aav
mac
cardholder
byte
Prior art date
Application number
KR1020057023751A
Other languages
English (en)
Inventor
아서 디. 크랜즐리
스티븐 더블유. 오르페이
브루스 제이. 러더포드
마크 와이즈먼
Original Assignee
마스터카드 인터내셔날, 인코포레이티드
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from PCT/US2004/017756 external-priority patent/WO2005001618A2/en
Application filed by 마스터카드 인터내셔날, 인코포레이티드 filed Critical 마스터카드 인터내셔날, 인코포레이티드
Publication of KR20060070484A publication Critical patent/KR20060070484A/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/04—Payment circuits
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/02—Payment architectures, schemes or protocols involving a neutral party, e.g. certification authority, notary or trusted third party [TTP]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/02—Payment architectures, schemes or protocols involving a neutral party, e.g. certification authority, notary or trusted third party [TTP]
    • G06Q20/027—Payment architectures, schemes or protocols involving a neutral party, e.g. certification authority, notary or trusted third party [TTP] involving a payment switch or gateway
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/08—Payment architectures
    • G06Q20/10—Payment architectures specially adapted for electronic funds transfer [EFT] systems; specially adapted for home banking systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/08—Payment architectures
    • G06Q20/12—Payment architectures specially adapted for electronic shopping systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/36—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using electronic wallets or electronic money safes
    • G06Q20/367—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using electronic wallets or electronic money safes involving electronic purses or money safes
    • G06Q20/3674—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using electronic wallets or electronic money safes involving electronic purses or money safes involving authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/382—Payment protocols; Details thereof insuring higher security of transaction
    • G06Q20/3821—Electronic credentials
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/382—Payment protocols; Details thereof insuring higher security of transaction
    • G06Q20/3827—Use of message hashing
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G06Q20/401—Transaction verification
    • G06Q20/4014—Identity check for transactions
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q30/00—Commerce
    • G06Q30/04—Billing or invoicing
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q30/00—Commerce
    • G06Q30/06—Buying, selling or leasing transactions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3242—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving keyed hash functions, e.g. message authentication codes [MACs], CBC-MAC or HMAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/56—Financial cryptography, e.g. electronic payment or e-cash

Landscapes

  • Business, Economics & Management (AREA)
  • Engineering & Computer Science (AREA)
  • Accounting & Taxation (AREA)
  • General Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Finance (AREA)
  • Strategic Management (AREA)
  • Physics & Mathematics (AREA)
  • General Business, Economics & Management (AREA)
  • Computer Security & Cryptography (AREA)
  • Development Economics (AREA)
  • Economics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Marketing (AREA)
  • Signal Processing (AREA)
  • Power Engineering (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Storage Device Security (AREA)
  • Control Of Vending Devices And Auxiliary Devices For Vending Devices (AREA)

Abstract

카드 소유자의 온라인 거래를 인증하기 위해 사용되는 전자상거래(e-commerce) 인증 프로그램의 결과를 전달하기 위해 사용되는 포맷된 데이터 구조를 제공한다. 최대 20 바이트 길이인 이 데이터 구조는, 전자상거래에서 사용되는 3-D 메시지 프로토콜과 호환 가능하도록 설계된다. 이 데이터 구조는 판매자 명칭에 대한 해시(hash)를 포함하는, 인증 서비스 제공자를 식별하는, 사용된 인증 발명을 식별하는, 그리고 카드 소유자 정보를 상기 거래에 결합시키는 판매자 인증 코드를 포함하는, 지정된 필드들을 포함한다. 안전 결제 알고리즘(secure payment algorithm)이 원하는 포맷으로 인증 결과를 생성하기 위해 전자상거래 인증 프로그램에서 사용하도록 제공된다. 하나의 안전 결제 알고리즘에서는, 비밀키를 사용하여 카드 소유자의 계정 번호와 상기 데이터 구조의 지정된 필드들로부터의 정보를 결합(concatenation)한 것을 암호화한다. 다른 안전 결제 알고리즘에서는, 한 쌍의 비밀키를 사용하여 카드 소유자의 계정 번호, 카드 유효 기한 및 서비스 코드를 결합한 것을 암호화한다.
데이터 구조, 카드, 온라인, 인증, 전자상거래, 안전 결제, 암호화, 비밀키

Description

포맷된 데이터 구조를 사용하여 안전 결제 거래를 수행하는 시스템 및 방법 {SYSTEMS AND METHODS FOR CONDUCTING SECURE PAYMENT TRANSACTIONS USING A FORMATTED DATA STRUCTURE}
우선권 및 관련 출원에 대한 상호참조
본원은 2003년 6월 10일자로 출원된 미국 가출원 번호 제60/477,187호에 기초하여 우선권의 이익을 주장하여, 그 내용 전부는 본 명세서에서 인용됨으로써 본 명세서에 통합된다. 또한 본원은, 그 첫 번째 문단에 나타낸 바와 같이 몇몇의 선행 출원에 대해 우선권의 이익을 주장하는 "안전 결제 트랜잭션을 수행하는 시스템 및 방법(System and Method for conducting Secure Payment Transactions)"이라는 명칭으로 2002년 3월 11일자로 출원된 미국특허출원 제 10/096,271호뿐만 아니라, "전자상거래(E-Commerce) 트랜잭션에서의 고객 인증(Customer Authentication in E-Commerce Transactions)"이라는 명칭으로 2004년 6월 4일 출원된 국제특허출원 번호 PCT/US04117756와 관련이 있다. 상기한 출원은 모두 본 명세서에서 인용됨으로써 본 명세서에 통합된다.
본 발명은 인터넷과 같은 개방된 전자적 네트워크를 통하여 당사자들에 의하여 수행되는 거래를 인증하는 시스템 및 방법과 관련된다. 특히, 본 발명은 고객 들이 신용카드(payment card)를 포함하는 결제 카드로 지불을 청구하는 인터넷 거래의 인증에 관한 것이다.
전자상거래가 현재 인기를 모으고 있다. 인터넷과 같은 전자적 네트워크를 통하여 거래를 수행하는 것은 현재 편이성, 저 비용, 시장 접근, 및 선택의 편이성이 판매자(marchant) 및 고객 모두에게서 자주 언급되는 이점이 있다. 그러나, 상기 인터넷의 익명성은 상업적인 또는 소매 판매에 있어 기만 및 오용의 문제를 야기한다. 거래하는 판매자는 매매를 인증하고, 매매를 보증하고, 상기 매매의 이행 거절이 없음을 보증하고, 지급을 보증하고, 익명성을 제어하기를 원한다. 비슷하게, 구매자는 매매의 인증, 매매의 무결성, 악성 매매의 상환청구, 매매의 확정, 프라이버시 및 익명성을 제어하기를 원한다.
본 명세서에서 그 전체 내용이 인용됨으로써 본 명세서에 포함된 2002년 3월 11일자로 출원된 통상적으로 양도된 미국 특허출원 번호 제10/096,271호는, 사용자 단말기에서 하나 이상의 숨겨진 필드를 포함할 수 있는 웹페이지를 디스플레이하기 위하여 사용되는 웹페이지 데이터를 수신하는 사용자 소프트웨어를 이용하는 안전 결제 트랜잭션을 수행하는 시스템 및 방법을 기술한다. 상기 트랜잭션 및 카드 소유자 데이터를 가지는 웹 페이지는 구매 데이터로서 판매자에게 전송된다. 상기 판매자는, 예를 들면 발행자에게 결제 트랜잭션의 인증(authentication) 또는 권한부여(authorization)를 위하여 이 웹페이지 데이터를 전자적으로 제출할 수 있다.
카드 발행자 및 다른 금융기관들은 온라인 거래 성능을 향상시키고 전자상거래의 성장을 촉진시키기 위해, 현재 표준화된 인터넷 프로토콜을 제공 또는 사용하 고 있다. 몇몇의 표준화된 프로토콜(예: 비자 인터내셔널에 의하여 개발된 3-D SecureTM 프로토콜)을 사용하여 카드 발행자 또는 발행 은행은 기만 및 카드 소유자 비인증 거래에 따르는 책임인 지불거절(chargeback)의 가능성을 그에 의해 감소시키면서 거래를 인증할 수 있다. 인증된 거래가 존재함으로 인하여 온라인 구매 동안 카드 소유자를 인증하기 위한 노력에도 발생하는 기만에 대한 책임을 발행자가 지게 된다. 카드 발행자 또는 발행 은행은 판매자들에게 발행자-인증 거래에 대해 그들에게 지급될 것이라는 것을 보증할 수 있다.
상기 3-D SecureTM 프로토콜은 카드 발행자에 의하여 제공되어 인터넷과 연관된 것과 같은 원격 거래 동안 판매자를 위하여 구매자를 인증하도록 사용되는 인증 프로그램(예: Visa 또는 MasterCard SecureCodeTM 에 의해 조회됨 )과 일치하거나 상기 인증 프로그램의 기초가 된다. 상기 3-D Secure 프로토콜은 존재하는 SSL(Secure Socket layer, 보안 소켓 계층) 암호화 기능성(encryption fuctionality)에 영향을 주고 온라인 쇼핑 세션 동안 카드 소유자의 발행자 인증을 통하여 향상된 보안성을 제공한다. 판매자 플러그인(Merchant Plug In : MPI)이라 불리우는 소프트웨어가 카드 소유자와 그들의 카드 발행자들 사이에서 온라인 구매동안 인증 세션을 형성하기 위하여 관계되는 판매자에 의하여 사용되어 메시지를 교환하고, 정보를 전달하고, 관계자를 조사하도록 한다.
상기 3-D Secure 프로토콜 서비스는 발행자 영역, 매입자(acquirer) 영역, 및 상호연동(interoperability) 영역의 3개의 영역에 기초한다. 상기 발행자는 서비스에서 카드 소유자의 등록을 관리하고 온라인 거래 동안 카드 소유자를 인증하는 책임을 진다. 상기 매입자는 절차를 정의하여 인터넷 거래에 참여하는 판매자가 상기 매입자와의 협의하에서 운영하도록 하고 인증된 거래의 백 엔드(back end) 처리를 제공하는 책임을 가진다. 상호연동 영역은 공통 프로토콜을 가지는 다른 두 영역과 공유된 서비스 사이의 트랜잭션 교환을 진행한다. 카드 소유자 및 이들의 은행은 "매입자 영역"의 영향하에 있을 수 있다. 발행 및 매입 은행 내지 금융기관과 카드 발행자 기간시설 간의 통신은 "상호연동 영역"의 영향하에 있을 수 있다. 3-D Secure 규격의 은행 및 상임과 거래하는 동안, 소비자는 거래하는 당사자가 정말로 기록의 카드 소유자인지 아닌지를 결정하기 위하여 카드 소유자의 은행으로부터 분리된 인증 창 또는 팝업 창이 있다는 것을 제외하고는, 이전과 동일한 인터넷 쇼핑을 경험하게 될 것이다.
상기 프로토콜 하에서의 온라인 인터넷 구매 거래의 트랜잭션 흐름은 아래와 같다.
(1) 고객은 암호화된 보안 소켓 계층(SSL) 연결을 통해, 일반적인 방법으로 판매자의 웹 사이트에서 지급 데이터를 기입한다.
(2) 상기 판매자는 그후 차례로 카드 발행자를 질의하는, MPI를 통하여 디렉토리로 메시지를 전송하여 상기 고객이 3-D Secure 프로그램에 등록되어 있는지 여부를 조사하여 알아낸다.
(3) 상기 카드 발행자는 카드 소유자가 등록되어 있는지의 여부를 나타내는 메시지로 디렉토리에 응답하며, 등록되어 있다면, 웹 주소를 카드를 발행한 은행에 제공한다. 이 메시지는 그후 처리되어 응답이 판매자에게 전달된다.
(4) 상기 판매자는 그후 발행 은행에 메시지를 카드 소유자 기기를 통하여 전송하여 판매자 명칭 및 거래량과 같은 거래 세부 사항 역시 카드 소유자에게 확인을 위하여 제공될 수 있는 카드 소유자와 카드 발행자 간의 인증 세션을 개시한다.
(5) 발행 은행은 그후 인증 창을 판매자 이름과 수량, 개인 보안 메시지, 및 인증 세부 사항이 카드 소유자에 의하여 입력될 수 있는 응답 영역과 같은 거래와 관련된 카드 소유자 세부 정보로 채운다.
(6) 상기 고객은 발행 은행이 선택하여 운영하는 시스템에 따르는, 다양한 방법 중의 하나의 방법으로 거래를 승인하게 된다. 선택사항은 정적인 패스워드 또는 PIN의 입력에서부터 인증 토큰을 생성하는 스마트 카드 및 개인 카드 판독기(Personal Card Reader: PCR)까지 그 범위가 미칠 수 있다.
(7) 발행자는 인증을 위하여 거래 및 카드 소유자 정보를 처리할 수 있다. 인증이 유효하다면, 발행자는 인증이 성공적이었다는 것을 나타내는 메시지를 상기 판매자에게 전송한다. 상기 발행자는 또한 인증이 실패했는지 또는 완료될 수 없었는지 여부를 상기 판매자에게 통지한다. 상기 메시지는 인증 프로세스 결과를 인코딩하는 계정 소유자 권한부여 값(Accountholder Authorization Value: AAV)을 포함할 수 있다.
현재 전자적 거래에서의 지급을 위하여 신용 또는 직불 카드를 사용하는 고 객의 인증 시스템 및 방법을 향상하는 방법들이 고려되었다. 판매자에의 지급을 위해 고객 또는 카드를 안전하게 인증하기 위하여 사용되는 데이터 및 알고리즘이 주목되고 있다. 상기 솔루션은 바람직하게는 3-D Secure와 같은 공통 프로토콜의 산업상 구현 및 스마트 카드를 위한 EMV 표준과 같은 다른 산업 표준들과 호환 가능하여야 한다.
본 발명에 따르면, 3-D Secure 프로토콜과 호환 가능한 인증 프로그램이 온라인 카드 소유자 거래를 인증하기 위해 제공된다. 상기 인증 프로그램은 액세스 제어 서버(acess control server, ACS)를 이용하여 카드 소유자 거래를 인증한다. 안전 결제 알고리즘(secure payment algorithm, SPA)은 ACS에 의해 카드 소유자 및 거래 정보에 적용되어, 인증된 거래에 할당되는 암호화된 계정 소유자 인증 값(accontholder authentication value, AAV)을 생성한다. 생성된 AAV는 3-D Secure 프로토콜 메시지에 포함되기에 적당한 데이터 구조를 가진다.
//본 발명의 바람직한 실시예에서, 데이터 구조는 약 20 바이트 길이의 베이스 64 인코딩된 문자(Base 64 encoded character)를 가진다. 제1 바이트는 제어 바이트일 수 있고, 바이트 2-9는 판매자 명칭의 해시를 나타낼 수 있으며, 바이트 10은 카드 소유자의 거래를 인증한 ACS를 식별한다. 여러 가지 인증 방법(예를 들어, 패스워드 기반, 칩 기반, 또는 PC 식별 방법)이 카드 소유자 거래를 인증하는 데 ACS에 의해 사용될 수 있다. AAV 데이터 구조의 바이트 11은 상기 인증 방법과 상기 ACS가 판매자 인증 코드(merchant authentication code, MAC)를 생성하기 위해 사용하는 상기 비밀 암호화 키를 식별하며, AAV 데이터 구조의 바이트 12-15 는 상기 ACS에 의해 처리된 거래의 일련 번호를 식별하며, 바이트 16-20은 상기 MAC을 나타낸다.
SPA는 특정 거래에 대한 MAC 값을 생성하는 데 적당한 암호화 프로세스를 포함할 수 있다. 하나의 암호화 프로세스는 비밀키(secret key)를 사용하여 카드 소유자의 계정 번호와 AAV의 필드 1-6(또는 바이트 1-15)를 결합한 것을 암호화한다. 상기 암호화 결과의 처음 40 비트(또는 2진수 5 바이트)는 MAC 필드에 할당된다. 다른 암호화 프로세스에서는, 한 쌍의 DES(Data Encryption Standard) 키를 사용하여 카드 소유자의 계정 번호, 카드 유효 기한, 및 서비스 코드의 결합을 암호화하여 3자리 카드 소유자 조회 코드(CVC2)를 생성한다. 이 3자리 수는 이진화 십진수(binary coded decimal)로 변환된 다음, AAV 데이터 구조 내의 MAC 필드 중 일과 이분의 일(1½) 바이트를 채우는 데 사용된다. MAC 필드의 남은 삼과 이분의 일(3½) 바이트는 이진수 0(영)으로 메워지거나 채워질 수 있다.
AAV 데이터를 포함하는 3-D Secure 프로토콜 전자 메시지는 액세스 제어 서버(ACS)에 의해 디지털 서명될 수 있다. AAV 데이터를 포함하는 메시지를 수신하는 판매자는 AAV 데이터를 사용하기 전에 3-D Secure 프로토콜에 따라 디지털 서명의 확인을 요구받을 수 있다. 판매자는 AAV 데이터와 특히 MAC 데이터를 결제 허가 요구 메시지(payment authorization request messages)로 전송할 수 있다.
본 발명의 다른 특징들, 그 본질 및 여러 가지 이점은 이하의 상세한 설명 및 첨부 도면으로부터 더욱 명백할 것이다.
도 1은 본 발명의 원리에 따라 결제 트랜잭션(payment transaction)을 위한 안전 결제 알고리즘(SPA)을 사용하여 계정 소유자 인증 값(AAV)을 생성하는 인증 프로그램의 일례를 개략적으로 나타낸 것이다.
도 2는 본 발명의 원리에 따라 도 1의 안전 결제 알고리즘(SPA)의 출력을 전송하는 데 사용되는 UCAF(Universal Cardholder Account Field)의 구조를 개략적으로 나타낸 것이다.
도 3은 본 발명의 원리에 따른, 일례의 결제 트랜잭션 인증 프로세스에 관련되는 실체들(entities) 간의 메시지 링크 및 단계를 일부 도시한 것이다.
도 4는 온라인 결제 트랜잭션의 인증(authentication) 및 권한부여(authorization)에 관련된 대표적인 인증 및 권한부여 실체들 간의 상호작용을 개략적으로 나타낸 것이다.
도면 전체에서 별도의 언급이 없는 한, 예시된 실시예의 동일한 특성, 요소, 성분 또는 부분을 나타내기 위해 동일한 도면 부호와 문자를 사용한다.
전자적인 거래에 있어 원격의 당사자들을 인증하는 솔루션을 제공한다. 특히, 이 솔루션은 원격으로 전자적인 거래에 참여하는 카드 소유자를 인증하는 데 사용되는 안전 결제 애플리케이션(예: 도 1의 SPA(135))과 관련이 있다. 이 솔루션은 전자상거래 플랫폼(e-commerce platform)을 준수하는 3-D Secure과 같은 업계 표준 전자상거래 플랫폼 상에서, 그리고 발행자가 카드 소유자를 인증하기 위해 인 증 토큰 또는 코드를 사용할 수 있는 우편 주문 및 전화 주문 또는 모바일 기기(mobile device)와 같은 비 전자상거래 환경에서 거래 인증을 위해 사용될 수 있다.
표 1은 여기서 사용되는 몇몇 용어, 두문자어(acronym) 또는 약어를 모은 것이다.
(표 1)
Figure 112005072201304-PCT00001
SPA(135)는 3-D Secure 메시지 포맷과 호환 가능한 포맷으로 카드 소유자 인 증 조회 값(Cardholder Authorization Verification Values, CAVV)을 생성하는 데 사용되는 암호 알고리즘(cryptography algorithm)(즉, "HMAC" 및 "CVC2" 알고리즘)을 포함할 수 있다.
SPA(135)는 카드 발행자가 그들의 카드 소유자를 인증하기 위해 선택 또는 구현할 수 있는 임의의 적당한 인증 프로그램에 통합될 수 있다. 인증 프로그램은 스마트 카드 기반 및 패스워드 기반 솔루션(예를 들어, 도 1의 칩 기반 인증 프로그램(141) 및 3-D Secure 패스워드 기반 인증 프로그램 (142))을 포함할 수 있다. 인증 프로그램은 또한, 예를 들어 PC 식별과 같은 다른 솔루션 기반을 포함할 수 있다.
본 발명의 안전 결제 애플리케이션(SPA(135))이 활용되는 인증 프로그램은 3-D Secure 프로토콜을 준수하는 전자상거래 플랫폼에서 수행되는 전자적인 거래를 안전하게 하는 솔루션 또는 프로그램일 수 있다. 이런 목적으로 SPA(135)는 3-D Secure 메시지에 쉽게 사용될 수 있는 데이터 포맷으로 인증 결과를 사용하고 생성하도록 설계된다. 특히, 규정된 필드와 바이트 길이를 갖는 포맷된 데이터 구조는 3-D Secure 메시지로 인증 결과의 전송을 촉진하는 데 사용될 수 있다.
SPA(135)의 응용예를 예시할 목적으로 대표적인 인증 프로그램(1000)(도 1)에서 SPA(135)의 응용예를 도시하기 위해, 카드 결제 트랜잭션이 여기서 대표적인 트랜잭션으로 사용된다. 카드 결제 트랜잭션의 관계자는 카드 소유자, 발행자, 판매자 및 매입자(acquirer)를 포함할 수 있다.
카드 소유자는 예를 들어 인증 프로그램(1000)의 인가된 회원(licensed member)에 의해 발행된 결제 카드의 공인된 사용자이다. 카드 소유자는 발행된 신용카드를 판매자와의 온라인 거래에 대한 지불에 사용할 수 있다. 인증 프로그램(1000)은, 예를 들어 카드 소유자의 신원과 존재가 거래의 완료 이전에 정확히 인증되는 것을 보증할 수 있는 제3자(예: 마스터카드(Mastercard))가 제공하는 인증 프로그램 또는 서비스의 일부일 수 있다.
발행자는 신용카드를 발행하는 회원(예: 금융기관)이고, 상표가 있는 것(예: MasterCard® 및/또는 Maestro® 카드)일 수 있다. 발행자는 신용카드 브랜드 규정 및 로컬 법령(local legislation)에 따라 공인된 거래에 대한 지불을 보증한다. 발행자는 인증 프로그램(100)에 참여하기 위한 카드 소유자의 자격을 결정하고, 또한 판매자 또는 다른 관계자에게 인증 서비스를 제공하는 데 책임이 있을 수 있다.
판매자는, 예를 들어 판매자 서명 계약(merchant subscription agreement)에 따라 발행자의 신용카드가 결제를 위해 정확히 제시되었을 때 그 신용카드를 받기로 동의한 소매 판매자 또는 다른 사람, 상사, 또는 법인이다.
인증 프로그램(1000)에 서명함으로써, 판매자는 카드 소유자에게 인증된 전자적 상호작용을 인터넷을 통해 제공할 수 있다. 신용카드를 받는 판매자는 나아가 매입자와 관계를 가질 수 있다. 인증 프로그램(1000)에 참여하는 판매자는 사기 행위 및 분쟁 비용 감소, 거래량 증가, 권한 없는 카드의 사용으로부터 보호, 및 발행자의 카드 베이스에의 액세스를 포함한 몇 가지 방식으로 이익을 얻을 수 있다.
매입자는 판매자와의 관계를 유지하고 판매자 또는 카드를 받은 자로부터 거 래에 관련된 자료를 수집하는 실체이다. 매입자는 인증 프로그램(1000)에 참여하기 위한 판매자의 자격을 결정하는 데 책임이 있다.
도 1에 도시된 바와 같이, 대표적인 인증 프로그램(100)은 다수의 계층화된(layered) 구성요소를 갖는 보안 전자상거래 장치(secure e-commerce arrangement) 또는 플랫폼(platform)으로 구현될 수 있다. 계층화된 구성요소는 데이터 전송 계층(100), 판매자 요건 계층(120), 인증 계층(130) 및 발행자 플랫폼(140)을 포함한다. 인증 계층(130)은 거래 또는 결제를 인증하기 위해 전개되는 안전 결제 애플리케이션(SPA)(135)과 관련이 있다.
데이터 전송 계층(100)은 카드 소유자, 발행자, 판매자 및 매입자 사이에 인증 정보 및 결과를 전달하기 위해 사용되는 데이터 수집 및 전송 기반(infrastructure)과 관련이 잇다. 데이터 전송은, 예를 들어 일반 카드 소유자 인증 필드(Universal Cardholder Authentication Field, UCAF)와 같은 표준 데이터 구조, 아키텍처 또는 메카니즘에 기초할 수 있다.
UCAF는 일반적으로 가변 길이, 다양한 발행자 보안 및 인증 접근에 대한 요구를 지원하기 위해 맞춤 가능한 플렉시블 데이터 구조를 갖는 32 문자 필드로 규정될 수 있다. 도 2는 UCAF의 일반적인 구조를 나타낸 것이다. UCAF의 첫 번째 제어 바이트는 각각의 보안 결제 애플리케이션 또는 측면(aspect)에 특유한 값을 포함한다. UCAF 내의 나머지 바이트는 애플리케이션 특정 데이터(specific data)를 포함할 수 있다. 인증 또는 공인 제공자는 UCAF 제어 바이트 값과 UCAF 애플리케이션 특정 데이터의 구조를 할당 및 관리하는 데 책임이 있을 수 있다.
대표적인 제어 바이트 정의는 다음과 같을 수 있다:
용법 처음 및 후속 거래을 위한 3-D Secure SPA AAV
베이스 64 인코딩된 값 j
16진 값 x'8C'
다른 대표적인 제어 바이트 정의는 다음과 같을 수 있다:'
용법 시도를 위한 3-D Secure SPA AAV
베이스 64 인코딩된 값 j
16진 값 x'86'
종래의 UCAF 구현에 있어서는, 애플리케이션 특정 데이터는 제어 바이트를 포함하는 최대 길이가 24 이진 바이트인 이진 데이터로 규정될 수 있다. 하지만, 몇몇 트랜잭션 권한부여(authorization) 네트워크는 권한부여 메시지 내의 이진 데이터의 전달을 제한한다. 따라서 인증 프로그램(1000)의 SPA(135)에 의해 생성된 모든 UCAF 데이터는 권한부여 메시지에 포함되기 이전에 베이스 64 인코딩된 것일 수 있다. 베이스 64 인코딩은 연관된 이진 데이터의 문자 표현(character representation)을 생성한다. 결과 문자 표현은 이진 동등물보다 대략 3분의 1 더 크다. 이런 이유로, UCAF 필드는 일반적으로 최대 길이 32 문자로 규정될 수 있다. 하지만 인증 프로그램(1000)에서의 3-D Secure 메시징과의 호환성을 위해, UCAF 필드는 길이가 28 문자로 제한된다.
계정 소유자 인증 값(Accountholder Authentication Value, AAV)은 SPA를 통합시키는 발행자 인증 플랫폼과 관련된 UCAF의 특수한 구현이다. AAV는 발행자에 의해 생성되고, 발행자에 의해 카드 소유자의 인증이 성공적일 때 (매입자에게) 거래 권한부여 요청(매입자에게)에서의 배치를 위해 판매자에게 제공될 수 있다. 지불 거절(chargeback) 또는 다른 잠재적인 분쟁을 처리하는 경우에, AAV는 거래와 연관된 처리 파라미터(processing parameter)를 식별하기 위해 사용될 수 있다. UCAF는 인증 프로세스 동안에 인증 목적으로 AAV를 판매자으로부터 발행자에게 전송하는 데 사용되는 메커니즘이다.
다시 도 1을 참조하면, 판매자 요건 계층(110)은 다른 계층 및 카드 소유자와 상호작용하는 판매자의 능력과 관련된다. 인증 프로그램(1000)에 참여하는 판매자는 3-D Secure 메시지를 처리할 수 있는 애플리케이션 소프트웨어 기능(software capability)(예: 판매자 플러그인(merchant plug-ins, MPI))를 실행할 수 있다. MPI는 3-D Secure 메시지의 처리를 위한 제어하는 애플리케이션으로 기능할 수 있다.
본 발명의 SPA(135)를 포함하는 인증 계층(130)은 카드 소유자 계정 소유권을 조회하는 인증 프로세스 또는 서비스(예: 발행자에 의해 제공되거나 계약된 것)를 나타낸다. 예를 들어 액세스 제어 서버(ACS)를 사용하는 발행자는 AAV 확인 서버/프로세스와 함께 인증 계층(130)/SPA(135)을 구현할 수 있다.
인증 프로세스에 관련되어 있는 대표적인 전자상거래 네트워크 구성요소 또는 실체는, 설명을 위해, 표 2에 나타낸 바와 같이 발행자, 매입자 또는 상호연동 영역(interoperability domain)에 속하는 것으로 구성될 수 있다.
[표 2]
Figure 112005072201304-PCT00002
표 2를 참조하면, 발행자 영역에서 제공하는 기능성(functionality)은 (매입자 영역의) MPI와 (발행자 영역)의 액세스 제어 서버 사이에 메시지를 도관(conduit)의 역할을 하는 카드 소유자 브라우저를 포함한다. 관련된 카드 소유자 소프트웨어는 예를 들어 스마트 카드의 사용을 지원하기 위한 선택적인 소프트웨어를 포함할 수 있다. 등록 서버는 인증 프로그램(1000) 하의 발행자의 3-D Secure의 실행을 위한 카드 소유자 등록 프로세스를 용이하게 한다. 서버는 리셋 및 3-D Secure 지불 이력 보기와 같은 관리상의 활동(administrative activity)은 물론 초기의 카드 소유자 인증을 수행하기 위해 사용될 수 있다.
액세스 제어 서버는 온라인 구매 과정 중에 적어도 두 개의 기본적인 기능을 제공한다. 첫째, ACS는 주어진 카드 소유자 계정 번호가 프로그램(1000)에 등록되어 있는지 여부를 조회할 것이다. 둘째, ACS는 카드 소유자 신원확인을 위한 인증 프로세스를 수행할 것이다. 이를 위해, ACS는 AAV 확인 서버/프로세스와 함께 동작하거나 이를 포함할 수 있다. 이 AAV 확인 서버/프로세스는 또한 판매자 또는 매입자로부터 수신한 카드소유자 인증 데이터를 확인하기 위해 사용될 수도 있다.
매입자 영역에서의 기능성은 판매자 플러그인(Merchant Plug-in, MPI)과 서명 확인 서버의 기능을 포함할 수 있다. MPI는 결제자 인증 메시지를 생성하여 처리한 다음, 추가적인 인증 처리를 위해 판매자 소프트웨어로 제어를 넘겨준다. MPI 인증 프로세스는 카드 소유자가 결제에 사용될 계정 번호를 포함하여 구매 요청을 제출한 후에 시작될 수도 있지만, 구매에 대한 인증을 취득하기 이전에 시작될 수도 있다. 서명 확인 서버는 발행자에 의해 성공적으로 인증된 구매 요정에 대한 디지털 서명을 확인하기 위해 사용될 수 있다.
상호연동 영역(interoperability domain)에서의 기능성은 디렉토리 서버를 포함할 수 있다. 디렉토리 서버(directory server)는 인증 프로그램(1000)에 등록된 판매자에게 집중 방식의 의사 결정 기능(centralized decision making capabilities)을 제공하는 전역 디렉토리 서버일 수 있다. 판매자 조회 요청 메시지에 포함된 계정 번호에 기초하여, 디렉토리는 카드 번호가 참여하는 카드 발행자의 카드 레인지(card range)의 일부인지 여부를 먼저 결정할 수 있다. 그런 다음, 추가적인 처리를 위해 적절한 발행자의 ACS로 적합 요청을 보낼 수 있다. 상호연동 영역은 또한 모든 사적인 계층 최종 실체(private hierarchy end-entity)와 하위 인증서(subordinate certificate)를 생성하고, 필요에 따라 3개 영역 전체의 여러 구성요소에 그리고 다른 하위 인증 기관들에 배포하고 적합한 인증 기관(certificate authority)을 포함할 수 있다.
인증 프로그램(1000) 내의 카드 소유자 인증 프로세스는 3개 영역 전체에 걸친 메시지 및 데이터의 교환을 포함한다. 다음의 대표적인 3-D Secure 영역내 메시지(inter domain message)는 인증 프로세스에서 차례로 사용될 수 있다:
(1) 조회 요청/응답
메시지 쌍: VEReq/VERes
인증 프로세스의 첫 번째 단계는 카드 소유자의 계정 번호가 인증 프로그램(1000)에 참여하는 발행자의 카드 레인지의 일부인지를 조사 또는 확인하는 것이다. 이를 위해, 조회 요청 메시지 VEReq가 카드 레인지 적격성(eligibility)을 조사하기 위해 MPI에서 디렉토리로 전송된다. 특정한 계정 번호가 디렉토리의 적격의 카드 레인지 내에 포함되어 있으면, 이 메시지는 특정한 계정 번호가 인증 프로그램(1000)의 참여자인 발행자에 의해 등록 및/또는 활성화된 것이면 추가적인 조사를 위해 디렉토리에서 발행자의 ACS로 전달될 수 있다.
MPI는 각각의 참여하는 발행자에 의해 국부적으로 캐시 카드 레인지에 대한 선택적인 기능(capability)를 가질 수 있다. 이 경우에, 카드 레인지 요청/응답 메시지가 MPI에 의해 디렉토리의 카드 레인지 캐시에 대한 갱신을 요청하기 위해 사용될 수 있다. 캐시 카드 레인지의 판매자의 경우, 로컬 캐시가 발행자가 인증 프로그램(1000)에 등록되어 있지 않음을 나타내면, VEReq/VERes 메시지는 활용되지 않을 수 있다.
(2) 결제자 인증 요청/응답
메시지 쌍: PAReq/PARes
일단, 카드 소유자가 발행자에 의해 등록되어 있거나 인증 프로그램(1000)에 활성 참여자인 것으로 판정되었으면, 특정한 카드 소유자의 인증 프로세스는 또한 그 특정한 카드 발행자를 관련시킨다. 결제자 인증 요청/응답 메시지는 MPI에서 그 특정한 카드 발행자의 ACS로 인증을 수행하기 위해 전송될 수 있다. 인증 프로그램(1000)의 인증 프로세스의 이 단계에서, 카드 소유자에게 인증 창(authentication window)이 표시될 수 있다. 인증 창은 카드 소유자 브라우저 상에 표시될 수 있으며 발행자에 의해 관련 정보로 채워질 수 있다. 카드 소유자는 표시된 인증 창을 통해 개인 신분 확인 또는 인증을 위한 패스워드, 코드 또는 토큰의 입력을 요청받을 수 있다. 그러면 그 특정한 카드 발행자의 ACS는, 예를 들어 SPA(135)를 사용하여 수집되거나 입력된 정보를 인증하고, 그에 따라 계정 소유자 인증 값(Accountholder Authentication Value, AAV)를 생성한다. AAV는 UCAF의 지정된 카드 소유자 인증 조회 값(Cardholder Authentication Verification Value, CAVV) 필드의 3-D Secure PARes(Payer Authentication Response, 결제자 인증 응답) 메시지로 전송된다.
CAAV는 발행자에 의해 요청한 판매자에게 반환되는 메시지 쌍 PAReq/PARes의 응답 부분의 데이터 필드 중 하나이다. 발행자는 자신들의 응답에 적합한 디지털 서명을 할 수 있다. 판매자는 매입자에 대한 수신된 AAV를 결제/거래 인증 요청의 일부로서 발행자에게 전달하기 위해 더 포함할 수 있다(예: 도 4 참조).
도 3은 인증 프로그램(1000) 하에서의 카드 소유자에 대한 대표적인 카드 인증 프로세스(300)를 개략적으로 나타낸 것이다. 설명을 위해, 프로세스(300)의 설명은 카드 소유자(310)가 인증 프로그램(1000)에서 발행자에 의해 등록되어 있고, 참여하는 판매자에게서 온라인 쇼핑하면서 사용할 패스워드 또는 코드를 발행자로부터 취득하였다고 가정한다. 프로세스(300)는 또한 구성요소 간의 모든 통신 채널(예: 카드 소유자(310), MPI(320), 및 발행자 ACS(340))가 SSL(Secure Socket Layer protocol) 링크(예: SSL-1, SSL-2, SSL-3, SSL-4, SSL-5 및 SSL- 6)를 사용하여 적절하게 확보되었다고 가정한다.
프로세스(300)의 단계 351에서, 카드 소유자(310)는 판매자의 웹사이트에서 쇼핑할할 수 있으며, 계산할 준비가 되었을 때, 링크 SSL-1을 통해 결제 카드 정보(예: 계정 번호)와 기타 정보(예: 배송 정보)를 입력한다. 일단 결제 및 배송 정보가 모두 입력되면, 판매자는 주문을 내기 전에 구매를 재검토할 기회를 카드 소유자(310)에 줄 수 있다.
다음 단계 352에서, MPI(320)는 조회 요청 메시지 VEReq를 사용하여 특정 발행자와 함께 카드 소유자(310)의 등록을 조회하기 위해 링크 SSL-2를 통해 디렉토리(330)에 질의한다. 단계 352는 선택적으로 로컬 카드 디렉토리 캐시를 통해 MPI(320)에서 지역적으로 수행될 수 있다. VEReq 메시지에 응답하여 디렉토리(330)는 특정한 발행자가 참여하고 있는지를 판정할 수 있으며, 그에 따른 결과를 링크 SSL-3을 통해 그 특정한 발행자의 ACS(340)로 카드 소유자(310)의 현재 등록 상태를 조사하기 위해 전달할 수 있다. 결과 응답은 동일한 링크(예: SSL-3 및 SSL-2)를 거쳐 MPI(320)로 다시 흘러갈 수 있다. ACS(340)가 카드 소유자(310)가 인증 프로그램(1000)에 등록되어 있음을 나타내면, MPI(320)는 결제자 인증 요청 메시지를 생성하여 단계 354에서 링크 SSL-4를 통해 카드 소유자의 브라우저로 전 송할 수 있다. 다음 단계 355에서, 카드 소유자의 브라우저는 카드 소유자 인증을 개시하도록 그 메시지를 적절한 발행자의 ACS(340)로 다시 보낼 수 있다. ACS(340)가 결제자 인증 요청 메시지를 수신하면, 사용자 인증 다이얼로그를 시작할 수 있다. 사용자 인증 다이얼로그의 일부로서, ACS(340)는 카드 소유자 패스워드, 코드 또는 다른 데이터 입력을 용이하도록, 개별 대화(interactive) 인증창이 카드 소유자(310)에게 표시되도록 할 수 있다.
단계 356에서, ACS(340)(SPA(135) 사용)는 카드 소유자(310)가 입력한 패스워드 또는 코드를 인증할 수 있다. ACS(340)는 3-D Secure의 인증 프로그램 제공자의 실행에 따라 SPA AAV를 구성할 수 있다. ACS(340)는 적절한 결제자 인증 응답 메시지를 만들어 디지털 서명할 수 있다. 결제자 인증 응답 메시지는 그 후 (링크 SSL-6을 통해) MPI(320)에 반환된다. 카드 소유자(310)에게 표시된 인증창은 이 시점에서 사라질 수 있다.
카드 인증 프로세스(300)가 완료된 후, 판매자는 수신한 SPA AAV를 인증 메시지 내의 UCAF 필드를 통해 매입자에 전달할 것을 요청받을 수 있다. SPA AAV는 그런 다음 일반적인 인증 메시지 처리의 일부로서 매입자로부터 발행자에게 전달될 수 있다. 발행자에 의해 수신된 경우, AAV는 인증 요청 처리의 일부로서 확인될 수 있으며, 나중에 발생할 수 있는 모든 카드 소유자의 분쟁의 해결에 사용하기 위해 아카이브에 수록된다(archived).
표준 3-D Secure 버전 1.0.2 메시지 포멧 및 데이터 포맷은 관련된 당사자들(involved parties) 또는 실체들 사이의 모든 데이터 통신에 사용될 수 있다. 특 히, ACS(340)가 생성하여 UCAF 메시지에 포함시키도록 판매자에게 반환한 SPA AAV는 28 문자 길이이고 베이스 64 인코딩으로 3-D Secure에 대해 규정된 20 바이트의 필드를 포함한다. 표 3은 20 바이트 SPA AAV의 대표적인 데이터 구조 또는 포맷을 나타낸 것이다.
[표 3]
Figure 112005072201304-PCT00003
현존 PC 식별 또는 3-D Secure 솔루션에 더해 다른 인증 솔루션(예: 도 1)을 모두 제공하는 발행자는, 그들이 상이한 인증 솔루션으로부터 수신하는 대응하는 인증 메시지 내의 AAV 값들 간을 식별할 수 있다. 3-D Secure 호환 가능한 인증 프로그램(1000)로부터 얻은 20 바이트 AAV(예: 표 2)는 다음과 같은 점에서 보통의 28 바이트 AAV 구조(즉, 비 3-D Secure 프로그램)와 상이하다: 거래량 및 통화 코드(currency code)는 서명된 PARes 메시지에 포함되기 때문에 20 바이트 AAV에 포함되지 않는다; 판매자 트랜잭션 스탬프(merchant transaction stamp, MTS)는 트랜잭션 식별자(XID)로서 포함되지 않고, 서명된 PARes 메시지에 포함되며 동일한 기능성을 제공할 수 있다. 또한 판매자 명칭 필드의 해시는 확장된다. 그 결과, 이제 판매자 명칭에 대한 최소한 편집이 SHA-1 해시를 생성하기 이전에 요구될 수 있다.
판매자는 후속하는 인증을 위해(예: 분리 배송) 제어 바이트를 수정할 수 없을 수 있다. 분리 배송의 경우, 판매자는 인증 프로그램(1000)의 3-D Secure을 준수하여 실행함으로써 생성된 원래의 AAV를 재전송할 수 있다.
20 바이트 SPA AAV의 제어 바이트 값은 카드 소유자 인증 요청(PAReq)의 결과에 기초한다. 이 결과는 결제자 인증 응답(PARes) 메시지의 트랜잭션 상태 필드에 표시될 수 있다.
[표 4]
Figure 112005072201304-PCT00004
PAReq 메시지에 포함된 판매자 명칭은 판매자 명칭 해시를 생성하기 이전에 편집될 수있다. 이 편집은 특별히 UTF-8(Universal Transformation Format) 인코딩을 처리할 수 있지만 다른 인코딩 타입을 위해 유니코드(Unicode)를 참조할 수 있다.
편집에서 유니코드 표현을 가지지 않는 임의의 UTF-8 바이트 시퀀스를 삭제할 수 있다. 이러한 편집은 이진수 1111로 시작하는 임의의 UTF-8 바이트와 이진수 10으로 시작으로 모든 후속 바이트를 삭제할 수 있다.
다른 편집에서는 다음의 유니코드 표현을 갖는 임의의 UTF-8 바이트 시퀀스 또는 바이트 시퀀스를 삭제할 수 있다:
0000 내지 001F (ASCI 제어 문자);
007F 내지 OOAO (DEL 및 Cl 제어 문자);
OOAD (소프트 하이픈); 및
2000 내지 206F (일반 구두점).
이러한 편집은 다음의 URF-8 바이트를 삭제할 TNDLt다
Hex 00 내지 IF
Hex 7F
Hex C2 80 내지 C2 AO
Hex C2 AD
Hex E2 80 내지 E281 AF
또 다른 편집에서는 임의의 앞 또는 뒤에 붙은 공백(leading or trailing spaces)을 제거할 수 있다(예: UTF-8 바이트 선도하는 다른 또는 Hex 20).
지불 거절의 경우 또는 다른 잠재적인 분쟁을 처리하는 경우에, 20 바이트 AAV는 거래와 관련된 처리 파라미터를 식별하기 위해 사용될 수 있다. 다른 것들 중에서, AAV 필드 값은 이하의 것을 식별할 수 있다:
- 거래가 처리되었던 물리적 장소.
- 그 위치에서의 모든 거래 내에서 그 거래를 명확하게 식별하기 위해 상용될 수 있는 일련번호.
- MAC을 생성하는 데 사용된 비밀 키, 이것은 AAV 데이터 무결성을 보증하지 않을 뿐만아니라 전체 AAV 구조를 3-D Secure의 실행을 위해 특정한 PAN과 묶는다.
AAV 내의 필드 의존성은 처리 파라미터의 적절한 식별을 보증하기 위해 설정될 수 잇다. 이 필드 의존성은 발행자 ACS 설치를 구축 또는 구성할 때 고려될 수 있다. 모든 ACS에 대해 동일한 ACS 식별자로 구성되었다:
- BIN 키 식별자 필드는 식별된 ACS에 의해 처리되는 각각의 BIN 레인지에 대해 고유하여야 한다. 대부분의 발행자는 자신들의 대부분 또는 모든 BIN 레인지에 대해 공통의 키 세트를 사용할 수 있다. 하지만, 이 구성은 개별의 키 세트를 사용을 지원하는 소프트웨어 벤더(vender)의 선택 또는 개별의 키 세트의 사용을 요구하는 발행자에게 유통성을 제공한다.
- 거래 일련 번호 필드는 지불 거절이 발생할 수 있는 시간 이내에 식별된 ACS에 의해 생성된 각각의 AAV에 고유하여야 한다.
BIN 키 및 복수의 로컬 설치 또는 물리적인 기계 전체에서 거래 일련 번호의 공통 세트를 공유하는 기능을 가지는 ACS 설치는, 동일한 ACS 식별자를 사용하도록 구성하는 데 유리할 수 있다. 다르게는, 개별 ACS 식별자 또는 ACS 식별자 세트가 각각의 설치에서 요구될 수 있다. 하나의 ACS 기능(facility)이 다수의 발행자에게 제공되는 경우, 하나 이상의 발행자는 ACS 식별자를 공유할 있다. 이 경우에, 관련된 거래의 BIN 필드 값은 필드 내용 위치(field content location)를 해석에 있어 결정 인자(determining facto)가 될 수 있다.
특정한 알고리즘이 판매자 인증 코드(MAC) 값을 생성하기 위해 SPA(135)에서 사용할 수 있다. 예를 들어, "HMAC" 알고리즘 또는 "CVC2" 알고리즘은 ACS 식별자 서브필드에 의해 식별된 ACS에 의해 MAC 값을 생성하기 위해 사용될 수 있다.
HMAC 알고리즘은 BIN 키 식별자 서브필드에 의해 식별된 비밀키에 암호적으로 기초하여 MAC 값을 생성한다. 이 비밀 키는 발행자와 공유되며 카드 소유자 계정 번호를 다음의 데이터를 결합하여 AAV에 묶는다(bind):
- ACS가 수신한, 현재의 결제자 인증 요청(PAReq) 메시지에 대응하는 조회 요청(VEReq) 메시지 내의 계정 번호. 이 계정 번호는 이진화 십진수(binary-coded decimal)로 표현될 수 있으며, 왼쪽 맞춤(left justified)되고, 오른쪽에 16진수 'F'가 20 자리수 길이(총 10 바이트)로 채워질 수 있다.
- 구성되어 있는 AAV의 가장 왼쪽 15 바이트, 필드 1 내지 6.
비밀 키 길이는 최소 128 비트(16 바이트)와 최대 192 비트(24 바이트) 되도록 임의로 선택도리 수 있다. 임의의 삽입 키(intervening key) 크기(예: 160)를 받아들일 수 있다. 사용된 실제 키 길이 크기는 각각의 구현예에 의해 독립적으로 선택될 수 있다. 3-D Secure 인증 프로그램(예: 인증 프로그램(1000))에서 규정된 SPA AAV 내의 MAC 필드를, 알고리즘 HMAC를 사용하여 얻은 암호화 결과의 가장 왼쪽의 40 비트(이진 5 바이트)로 채울 수 있다.
예 1 및 예 2는 각각 20 바이트 키와 16 바이트 키를 사용하여 SPA AAV 값을 생성하는 HMAC 알고리즘의 응용예를 나타낸 것이다.
예 1: (20 바이트 키)
가정된 계정 번호: 5432 109876543210
가정된 판매자 명칭: SPA Merchant, Inc(모두 아스키 문자가고 편집 불요)
가정된 AAV 제어 바이트 = 8C
처음 8 바이트, 판매자 명칭의 SHA-I 해시 = 7CA7 FBB6 058B 5114
가정된 ACS Id =01
가정된 인증 방법 = 1 (패스워드)
가정된 BIN 키 Id = I
가정된 거래 일련번호 = 0000002F
가정된 키(20 바이트) =OBOBOBOBOBOBOBOBOBOBOBOBOBOBOBOBOBOBOBOB
따라서, SHA-1 HMAC는
5432 109876543210 FFFF 8C 7CA7FBB6058B5114 0111 0000002F에 기초한다.
이것은 그 처음 5 바이트가 다음과 같은 MAC를 생성한다:
3547 BAIEFF
따라서, 완전한 AAV는 16진수로 다음과 같다:
8C 7CA7FBB6058B5114 0111 0000002F 3547BAIEFF
베이스 64 인코딩 후 이것은 다음과 같다:
jHyn+7YFiIEUAREAAvAvNUe6Hv8=
예 2 :(16 바이트 키)
가정된 계정 번호: 5432 109876543210
가정된 판매자 명칭: SPA Merchant, Incc. (모두 아스키 문자가고 편집 불v필요)
가정된 AAV 제어 바이트 = 8C
처음 8 바이트, 판매자 명칭의 SHA-I 해시 = 7CA7 FBB6 058B 5114
가정된 ACS Id =01
가정된 인증 방법 = 1 (패스워드)
가정된 BIN 키 Id = I
가정된 거래 일련번호 = 0000002F
가정된 키(16 바이트) = 00112233445566778899AABBCCDDEEFF
따라서, SHA-1 HMAC는
5432109876543210 FFFF 8C 7CA7FBB6058B5114 0111 0000002F에 기초한다.
이것은 그 처음 5 바이트가 다음과 같은 MAC를 생성한다:
EB27 FC7F AB
따라서, 완전한 AAV는 16진수로 다음과 같다:
8C7CA7FBB6058B5114 0111 0000002F EB27FC7FAB
베이스 64 인코딩 후 이것은 다음과 같다:
jHyn+7YFil EUAREAAAAv6yf8f6s=
CVC2 알고리즘은 또한 MAC 필드 값을 암호적으로 생성한다. 하나의 키를 ㅅ사용하는 AC 알고리즘과는 달리, CVC2 알고리즘은 BIN 키 식별자 서브필드에 의해 식별된 두 개의 64 비트 DES 키를 사용한다. CVC2 알고리즘에서, 모든 암호화 및 암호해독 단계는 DES의 ECB(Electronic Code Book) 형식을 사용할 수 있다.
CVC2 알고리즘은 세자릿수의 3자리 CVC2 값을 생성한다. 이 세자릿수의 3자리 CVC2 값을 생성하기 위해 CVC2 알고리즘에 의해처리되는 입력 데이터를 표 5에 나타내었다.
[표 5]
Figure 112005072201304-PCT00005
결과로 얻은 세자릿수 CVC2 값은 이진화 십진수 형태로 변환되어,MAC 서브필드의 가장 왼쪽 2 바이트에 미사용의 처음 1/2 바이트를 채우기 위해 사용된 리딩(leading) 이진 0과 함께 채워진다. MAC 서브필드의 나머지 3 바이트는 이진 0로 채울 수 있다. 예를 들어, CVC2 MAC 서브필드= 0123000000 (총 10 자리).
예 3 및 표 6은 CVC2 알고리즘의 애플리케이션과 SPA AAV 값을 생성하기 위해 이 알고리즘의 애플리케이션에 포함된 프로세스 단계를 나타낸 것이다.
예 3
가정된 계정 번호: 5432109876543210
가정된 판매자 명칭: SPA Merchant, Inc.(모두 아스키 문자가고 편집 불필요)
가정된 AAV 제어 바이트 = 8C
처음 8 바이트, 판매자 명칭의 SHA-1 해시= 7CA7 FBB6058B 5114
가정된 ACS Id = 7
가정된 인증 방법 = 1 (패스워드)
가정된 BIN 키 Id = 1
가정된 거래 일련번호 = 0000002F
키 A = 0011223344556677 키 B = 8899AABBCCDDEEFF
따라서, CVC2 알고리즘 계산은
계정 번호 = 5432109876543210
유효 기한 = 0047
서비스 코드 = 140에 기초한다.
이것은 CVC2 세자리 값 = 439를 생성한다(표 6의 계산 참조).
계산된 CVC2 값에 기초하여, MAC 필드 = 0439000000
따라서, 완전한 AAV는 16진수로 다음과 있다:
8C7CA7FBB6058B5114 0111 0000002F 0439000000
이것을 베이스 64 인코딩하면:
jHyn+7YFil EUAREAAAAvBDkAAAA=
예 3에서 사용된 처리 또는 계산 단계를 표 6에 나타냈다.
[표 6]
Figure 112005072201304-PCT00006
3-D Secure 프로토콜에 의해 규정된 바와 같이, 판매자에 반환된 모든 PAReq 메시지는 관련된 카드 소유자의 발행자 ACS에 의해 디지털 서명된다. 판매자는 수 집자에게 전송되는 인증 요청에 포함시키기 위해 PAReq 메시지로부터 SPA AAV를 추출하기 이전에 디지털 서명을 확인하도록 요구받을 수 있다. 발행자가 3-D Secure 또는 다른 인증 플랫폼(예: PC 인증 플랫폼)의 실행 모두를 지원하면, 권한부여 요청 메시지를 처리하는 동안에 두 개의 인증 플랫폼을 구별할 필요가 있다. 이것은 다음의 두 가지 방식으로 달성될 수 있다:
1. 먼저 베이스 64 인코딩된 문자는
a. 3-D Secure의 규정된 실행 내에서 SPA AAV의 "j" 또는 "h"
b. PC 인증 SPA AAV의 "g" 또는 "A"
2. 이진수로 변환된 제어 바이트는
a. 마스터카드(MasterCard)의 3-D Secure 실행을 위해 규정된 AAV의 16진 18C 또는 16진 86
b. PC 인증 SPA AAV의 16진 82 또는 16진 02
인증 프로그램(1000)에 참여하는 발행자 각각은
ACS 식별자 서브필드가 MAC를 생성하는 사용된 알고리즘을 나타내도록 적절히 설정되어 있는지를 보증할 수 있다. 이 지시자를 정확하게 설정하는 것에 실패하면 거래/결제 권한부여 프로세스 동안에 부적절한 확인을 초래할 수 있다.
본 발명은 특정한 대표적인 실시예와 관련하여 설명하였지만, 이 기술분야의 당업자라면 본 발명의 사상 및 범위를 벗어나지 않고 개시된 실시예에 대한 다양한 변경, 대체, 및 개조가 가능함은 물론이다.

Claims (22)

  1. 전자적 네트워크에서 판매자와 거래하는 카드 소유자를 인증하는 시스템으로서,
    적어도 하나의 3-D Secure 인증 프로그램을 포함하는 발행자 플랫폼 계층;
    판매자 플러그인(mechant plug-in, MPI);
    안전 결제 알고리즘(secure payment algorithm, SPA); 및
    데이터 전송 계층
    을 포함하고,
    상기 발행자 플랫폼은, 상기 SPA를 사용하여 인증 방법에 의한 인증을 위해 카드 소유자의 정보와 거래를 처리하고 계정 소유자 인증 값(accountholder authentication valule, AAV)를 생성하며, 상기 AAV를 상기 데이터 전송 계층을 통해 상기 MPI에 전달하는 액세스 제어 서버(access control server, ACS)를 포함하며,
    상기 AAV는 3-D Secure 메시지 프로토콜과 호환 가능한 포맷된 데이터 구조이며,
    상기 포맷된 데이터 구조는 판매자 의 이름의 해시를 식별하는 바이트, 상기 ACS를 식별하는 바이트, 상기 인증 방법을 식별하는 바이트, 비밀 암호 키(cryptographic key)를 식별하는 바이트, 및 판매자 인증 코드(merchant authentication code, MAC)를 포함하는 바이트를 포함하여 길이가 최대 20 바이트 인
    인증 시스템.
  2. 제1항에 있어서,
    상기 AAV는 베이스 64(Base 64)로 인코딩되는 것을 특징으로 하는 인증 시스템.
  3. 제1항에 있어서,
    상기 SPA는 상기 MAC를 생성하기 위한 암호화 알고리즘(encryption algorithm)을 포함하며,
    상기 암호화 알고리즘은 상기 AAV에서 식별된 비밀키를 사용하여 카드 소유자의 계정 번호와 상기 MAC를 나타내는 바이트를 제외한 상기 AAV의 바이트들의 복수의 필드를 결합한 것을 암호화하고,
    상기 암호화 결과의 일부분이 상기 AAV 내의 상기 MAC 바이트를 형성하는 것을 특징으로 하는 인증 시스템.
  4. 제1항에 있어서,
    상기 SPA는 상기 MAC를 생성하기 위한 암호화 알고리즘을 포함하고,
    상기 암호화 알고리즘은 상기 AAV에서 식별된 한 쌍의 비밀키 A 및 B를 사용하여 카드 소유자의 계정 번호, 카드 유효 기한, 및 서비스 코드를 결합한 것을 암 호화하여 3자리(three-digit) CVC2 필드를 생성하며, 그 결과를 사용하여 상기 MAC의 2 바이트를 채우는(populate) 것을 특징으로 하는 인증 시스템.
  5. 제4항에 있어서,
    상기 한 쌍의 비밀키 A 및 B는 64 비트 DES(Data Encryption Standard) 키인 것을 특징으로 하는 인증 시스템.
  6. 제1항에 있어서,
    상기 ACS는 상기 MPI로부터의 결제 인증 요구 메시지에 응답하여 AAV를 생성하도록 구성되어 있는 것을 특징으로 하는 인증 시스템.
  7. 제1항에 있어서,
    상기 ACS로부터의 결제 인증 응답 메시지 내에 상기 AAV를 넣어서 전송하도록 구성되어 있는 것을 특징으로 하는 인증 시스템.
  8. 제7항에 있어서,
    상기 ACS는 상기 결제 인증 응답 메시지에 디지털 서명을 부가하도록 구성되어 있는 것을 특징으로 하는 인증 시스템.
  9. 제1항에 있어서,
    상기 MPI는 수신된 결제 인증 응답 메시지의 상기 디지털 서명을 조회하도록 구성되어 있는 것을 특징으로 하는 인증 시스템.
  10. 제1항에 있어서,
    상기 MPI는 상기 ACS로부터의 결제 인증 응답 메시지에 포함된 MAC 필드를 추출하고, 상기 추출된 MAC를 제3자에 대한 결제 인증 요청 메시지에 부가하도록 구성되어 있는 것을 특징으로 하는 인증 시스템.
  11. 3-D Secure 환경에서 이해 관계자(stakeholder) 사이에 카드 소유자의 거래 인증 정보를 전달하기 위한 데이터 구조로서,
    베이스 64 인코딩된 20 바이트의 문자를 포함하되,
    제1 바이트는 제어 바이트이고,
    제2-9 바이트는 판매자 명칭의 해시를 나타내며,
    제10 바이트는 인증 방법에 의해 상기 카드 소유자의 거래를 인증하는 액세스 제어 서버(ACS)를 식별하기 위한 것이고,
    제11 바이트는 상기 인증 방법과 상기 ACS가 판매자 인증 코드(MAC)를 생성하기 위해 사용하는 상기 비밀 암호화 키를 식별하기 위한 것이며,
    제12-15 바이트는 상기 ACS에 의해 처리된 거래 번호를 식별하는 거래 일련 번호를 나타내며,
    제16-20 바이트는 상기 MAC를 나타내는
    데이터 구조.
  12. 제11항에 있어서,
    상기 MAC은 카드 소유자의 계정 번호와 상기 데이터 구조의 제1-15 바이트의 복수 필드를 결합한 것의 암호화 부분을 포함하며, 제11 바이트에서 식별된 단일 키가 암호화에 사용되는 것을 특징으로 하는 데이터 구조.
  13. 제11항에 있어서,
    상기 MAC는 카드 소유자의 계정 번호, 카드 유효 기한, 및 서비스 코드를 결합한 것의 암호화 부분을 포함하며, 제11 바이트에서 식별된 한 쌍의 키 A 및 B가 암호화에 사용되는 것을 특징으로 하는 데이터 구조.
  14. 제13항에 있어서,
    3자리 암호화 결과는 제16-20 바이트의 상기 MAC 바이트 중 2 바이트를 채우는 데 사용되는 것을 특징으로 하는 데이터 구조.
  15. 제13항에 있어서,
    상기 비밀키 쌍 A 및 B는 64비트 DES 키인 것을 특징으로 하는 데이터 구조.
  16. 3-D Secure 환경에서 전자적 네트워크 상에서 판매자와 거래하는 카드 소유 자를 인증하는 방법으로서,
    액세스 제어 서버(ACS)를 사용하여, 카드 소유자 및 거래 정보를 처리하여 인증 방법에 의해 카드 소유자를 인증하는 단계;
    안전 결제 알고리즘(SPA)을 전개하여 인증 결과를 나타내는 계정 소유자 인증 값(AAV)를 생성하는 단계; 및
    상기 AAV를 3-D Secure 메시지로 상기 판매자에게 전달하는 단계
    를 포함하며,
    상기 계정 소유자 인증 값(AAV)은 판매자의 명칭의 해시를 식별하는 복수의 바이트, 상기 액세스 제어 서버를 식별하는 바이트, 상기 인증 방법을 식별하는 바이트, 판매자 인증 코드(MAC)를 포함하는 바이트, 및 상기 안전 결제 알고리즘(SPA)이 MAC를 생성하기 위해 사용하는 비밀 암호 키를 식별하는 바이트를 포함하는 최대 20 바이트 길이의 포맷된 데이터 구조인
    인증 방법.
  17. 제16항에 있어서,
    상기 AAV는 베이스 64 인코딩된 포맷된 데이터 구조인 것을 특징으로 하는 인증 방법.
  18. 제16항에 있어서,
    상기 SPA의 전개는
    상기 AAV에서 식별된 비밀키를 사용하여, 상기 카드 소유자의 계정 번호와 상기 MAC를 제외한 상기 AAV의 바이트 중 적어도 일부를 결합한 것을 암호화하는 단계; 및
    상기 암호화 결과의 일부분을 상기 AAV의 상기 MAC 바이트에 할당하는 단계
    를 포함하는 것을 특징으로 하는 인증 방법.
  19. 제16항에 있어서,
    상기 SPA의 전개는
    상기 AAV에서 식별된 한 쌍의 비밀키 A 및 B를 사용하여 상기 카드 소유자의 계정 번호, 카드 유효 기간, 및 서비스 코드를 결합한 것을 암호화하여 3자리 CVC2 필드를 생성하는 단계; 및
    상기 결과를 상기 MAC의 2 바이트를 채우기 위해 할당하는 단계
    를 포함하는 것을 특징으로 하는 인증 방법.
  20. 제17항에 있어서,
    상기 비밀키 쌍 A 및 B는 64 비트 DES 키인 것을 특징으로 하는 인증 방법.
  21. 제16항에 있어서,
    상기 AAV를 3-D Secure 메시지로 상기 판매자에 전달하는 단계는, 상기 AAV를 상기 ACS가 디지털 서명한 지불 인증 응답 메시지로 전달하는 단계를 포함하는 인증 방법
  22. 제21항에 있어서,
    먼저, 수신된 결제 인증 응답 메시지 상의 상기 디지털 서명의 상기 판매자를 조회하는 단계; 및
    이어서, 상기 수신된 결제 인증 응답 메시지로부터 상기 MAC 필드를 추출하는 것을 더 포함하는 인증 방법.
KR1020057023751A 2003-06-10 2004-06-10 포맷된 데이터 구조를 사용하여 안전 결제 거래를 수행하는시스템 및 방법 KR20060070484A (ko)

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
US47718703P 2003-06-10 2003-06-10
US60/477,187 2003-06-10
PCT/US2004/017756 WO2005001618A2 (en) 2003-06-04 2004-06-04 Customer authentication in e-commerce transactions
USPCT/US04/17756 2004-06-04

Publications (1)

Publication Number Publication Date
KR20060070484A true KR20060070484A (ko) 2006-06-23

Family

ID=35985301

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020057023751A KR20060070484A (ko) 2003-06-10 2004-06-10 포맷된 데이터 구조를 사용하여 안전 결제 거래를 수행하는시스템 및 방법

Country Status (19)

Country Link
US (1) US7801825B2 (ko)
EP (1) EP1636680B1 (ko)
JP (1) JP2007517272A (ko)
KR (1) KR20060070484A (ko)
CN (1) CN1926567A (ko)
AU (2) AU2004252882A1 (ko)
BR (1) BRPI0411286B1 (ko)
CA (1) CA2529011A1 (ko)
CY (1) CY1117808T1 (ko)
DK (1) DK1636680T3 (ko)
ES (1) ES2581236T3 (ko)
HK (1) HK1090143A1 (ko)
HU (1) HUE029807T2 (ko)
MX (1) MXPA05013422A (ko)
PL (1) PL1636680T3 (ko)
PT (1) PT1636680T (ko)
SI (1) SI1636680T1 (ko)
WO (1) WO2005001635A2 (ko)
ZA (1) ZA200600211B (ko)

Families Citing this family (72)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7239226B2 (en) 2001-07-10 2007-07-03 American Express Travel Related Services Company, Inc. System and method for payment using radio frequency identification in contact and contactless transactions
US7249112B2 (en) 2002-07-09 2007-07-24 American Express Travel Related Services Company, Inc. System and method for assigning a funding source for a radio frequency identification device
US7493288B2 (en) 2001-07-10 2009-02-17 Xatra Fund Mx, Llc RF payment via a mobile device
US7360694B2 (en) * 2003-01-23 2008-04-22 Mastercard International Incorporated System and method for secure telephone and computer transactions using voice authentication
US7761374B2 (en) * 2003-08-18 2010-07-20 Visa International Service Association Method and system for generating a dynamic verification value
US7740168B2 (en) 2003-08-18 2010-06-22 Visa U.S.A. Inc. Method and system for generating a dynamic verification value
US20050279827A1 (en) * 2004-04-28 2005-12-22 First Data Corporation Methods and systems for providing guaranteed merchant transactions
JP4843208B2 (ja) * 2004-09-30 2011-12-21 株式会社東芝 デジタルコンテンツ編集装置、デジタルコンテンツ編集方法、デジタルコンテンツ編集プログラムおよびデジタルコンテンツ編集プログラムを記録した記録媒体
WO2007061946A2 (en) * 2005-11-18 2007-05-31 Lu Larry L Promoting interoperability of presence-based systems through the use of ubiquitous online identities
JP4564464B2 (ja) * 2006-01-05 2010-10-20 株式会社東芝 デジタルコンテンツ再生装置、方法およびプログラム
BRPI0708276A2 (pt) 2006-03-02 2011-05-24 Visa Int Service Ass métodos para efetuar autenticação de transação em um pedido por correio eletrÈnico e pedido por telefone e para efetuar autenticação em uma transação de pagamento on-line
US9065643B2 (en) 2006-04-05 2015-06-23 Visa U.S.A. Inc. System and method for account identifier obfuscation
US7818264B2 (en) 2006-06-19 2010-10-19 Visa U.S.A. Inc. Track data encryption
JP4913530B2 (ja) * 2006-10-16 2012-04-11 株式会社野村総合研究所 暗号処理装置、暗号処理方法および暗号処理プログラム
US7823774B2 (en) * 2007-03-26 2010-11-02 International Business Machines Corporation Method, apparatus, and article of manufacture for automatic verification of transactions made over an insecure network
US8423479B2 (en) * 2007-05-07 2013-04-16 Yahoo! Inc. Trusted third party clearing house for lead tracking
US8121942B2 (en) 2007-06-25 2012-02-21 Visa U.S.A. Inc. Systems and methods for secure and transparent cardless transactions
WO2009001317A1 (en) * 2007-06-27 2008-12-31 Koninklijke Philips Electronics N.V. Secure authentication of electronic prescriptions
US9589152B2 (en) * 2007-09-19 2017-03-07 Visa U.S.A. Inc. System and method for sensitive data field hashing
WO2009044226A1 (en) * 2007-10-03 2009-04-09 Gmx Sas System and method for secure management of transactions
US20100027786A1 (en) * 2008-02-14 2010-02-04 Patrick Faith Dynamic encryption authentication
US8935528B2 (en) * 2008-06-26 2015-01-13 Microsoft Corporation Techniques for ensuring authentication and integrity of communications
AU2009311303B2 (en) 2008-11-06 2015-09-10 Visa International Service Association Online challenge-response
US8826397B2 (en) * 2009-01-15 2014-09-02 Visa International Service Association Secure remote authentication through an untrusted network
US8317090B2 (en) * 2009-03-27 2012-11-27 Mastercard International Incorporated Methods and systems for performing a financial transaction
US8261977B2 (en) * 2009-03-27 2012-09-11 Mastercard International Incorporated Methods and systems for using an interface and protocol extensions to perform a financial transaction
EP2430112B1 (en) 2009-04-23 2018-09-12 The University of Chicago Materials and methods for the preparation of nanocomposites
US9715681B2 (en) 2009-04-28 2017-07-25 Visa International Service Association Verification of portable consumer devices
US10846683B2 (en) 2009-05-15 2020-11-24 Visa International Service Association Integration of verification tokens with mobile communication devices
US8534564B2 (en) 2009-05-15 2013-09-17 Ayman Hammad Integration of verification tokens with mobile communication devices
US8893967B2 (en) 2009-05-15 2014-11-25 Visa International Service Association Secure Communication of payment information to merchants using a verification token
US9105027B2 (en) 2009-05-15 2015-08-11 Visa International Service Association Verification of portable consumer device for secure services
US9038886B2 (en) 2009-05-15 2015-05-26 Visa International Service Association Verification of portable consumer devices
RU2012122806A (ru) * 2009-11-04 2013-12-10 Виза Интернэшнл Сервис Ассосиэйшн Проверка подлинности портативных бытовых устройств для реализирующих принцип трехдоменной защиты услуг
US8706556B2 (en) * 2009-11-06 2014-04-22 Mastercard International Incorporated Methods for risk management in payment-enabled mobile device
WO2011136730A1 (en) * 2010-04-28 2011-11-03 Show & Pay Ab A method and an apparatus for improved electronic transaction security
SG187832A1 (en) * 2010-08-12 2013-03-28 Mastercard International Inc Multi-commerce channel wallet for authenticated transactions
US20120072346A1 (en) * 2010-09-16 2012-03-22 Yomir Sp System and method for securing and authenticating purchase transactions
EP2681701A4 (en) 2011-03-04 2014-08-20 Visa Int Service Ass INTEGRATION OF PAYMENT OPTIONS IN SAFE ITEMS OF COMPUTERS
WO2012142045A2 (en) * 2011-04-11 2012-10-18 Visa International Service Association Multiple tokenization for authentication
US10282724B2 (en) 2012-03-06 2019-05-07 Visa International Service Association Security system incorporating mobile device
US9576279B2 (en) * 2012-06-05 2017-02-21 Autoscribe Corporation System and method for registering financial accounts
US10304047B2 (en) * 2012-12-07 2019-05-28 Visa International Service Association Token generating component
US20150039506A1 (en) * 2013-08-05 2015-02-05 Mastercard International Incorporated Methods and systems for providing 3-d secure service on-behalf-of merchants
GB2517723A (en) * 2013-08-29 2015-03-04 Belegin Ltd Token verification
US9471913B1 (en) * 2013-10-23 2016-10-18 Compass Plus US, Corp. Method and system for cardless processing of E-invoicing
CN103561115B (zh) * 2013-11-19 2016-09-28 北京奇虎科技有限公司 实时获取电子码的方法、开放平台及系统
JP6438027B2 (ja) * 2013-12-02 2018-12-12 マスターカード インターナショナル インコーポレーテッド セキュアエレメントを用いずに移動装置に対する遠隔通知サービスメッセージをセキュアに送信するための方法およびシステム
FR3018378A1 (fr) * 2014-03-12 2015-09-11 Enrico Maim Systeme et procede transactionnels a architecture repartie fondees sur des transactions de transferts d'unites de compte entre adresses
US20150317630A1 (en) * 2014-04-30 2015-11-05 MasterCard Incorporated International Method and system for authentication token generation
US11282082B2 (en) 2014-07-30 2022-03-22 Visa International Service Association Authentication system with message conversion
US9906367B2 (en) * 2014-08-05 2018-02-27 Sap Se End-to-end tamper protection in presence of cloud integration
US9999924B2 (en) 2014-08-22 2018-06-19 Sigma Labs, Inc. Method and system for monitoring additive manufacturing processes
SG10201406521TA (en) * 2014-10-10 2016-05-30 Mastercard Asia Pacific Pte Ltd Methods and systems for secure online payment
US10891622B2 (en) * 2014-11-13 2021-01-12 Mastercard International Incorporated Providing online cardholder authentication services on-behalf-of issuers
US10786948B2 (en) 2014-11-18 2020-09-29 Sigma Labs, Inc. Multi-sensor quality inference and control for additive manufacturing processes
CN105825371A (zh) * 2015-01-07 2016-08-03 阿里巴巴集团控股有限公司 业务处理方法和装置
WO2016115284A1 (en) 2015-01-13 2016-07-21 Sigma Labs, Inc. Material qualification system and methodology
EP3257192B1 (en) * 2015-02-14 2020-08-12 Valimail Inc. Secure and delegated distribution of private keys via domain name service
US9825946B2 (en) * 2015-08-27 2017-11-21 Mastercard International Incorporated Method and system for enhanced validation of cryptograms in cloud-based systems
GB201516617D0 (en) * 2015-09-18 2015-11-04 Mastercard International Inc Verification for payment transations
US10207489B2 (en) 2015-09-30 2019-02-19 Sigma Labs, Inc. Systems and methods for additive manufacturing operations
US20170109752A1 (en) * 2015-10-15 2017-04-20 Mastercard International Incorporated Utilizing enhanced cardholder authentication token
GB201601796D0 (en) * 2016-02-01 2016-03-16 Comcarde Ltd Payment handling apparatus and method
CA3018326A1 (en) * 2016-03-21 2017-09-28 Mastercard International Incorporated Method and system for recording point to point transaction processing
EP3440823B1 (en) * 2016-04-05 2020-09-02 Zamna Technologies Limited Method and system for managing personal information within independent computer systems and digital networks
RU2716042C1 (ru) * 2016-07-15 2020-03-05 Кардиналкоммерс Корпорейшн Мост между аутентификацией и авторизацией с использованием расширенных сообщений
US11080697B2 (en) 2017-10-05 2021-08-03 Mastercard International Incorporated Systems and methods for use in authenticating users in connection with network transactions
BR112020020332A2 (pt) * 2018-04-05 2021-01-05 Nokia Technologies Oy Gerenciamento de identificador de assinatura unificada em sistemas de comunicação
WO2020068587A1 (en) * 2018-09-28 2020-04-02 Jpmorgan Chase Bank, N.A. Methods for improved security for personal identification number (pin) transactions and devices thereof
US11283621B1 (en) * 2019-11-13 2022-03-22 Worldpay, Llc Methods and systems for enhanced endpoint identity validation in electronic transactions
US11722500B2 (en) * 2020-04-01 2023-08-08 Paypal, Inc. Secure identity verification marketplace using hashed data and forward hashing search functions

Family Cites Families (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6044205A (en) * 1996-02-29 2000-03-28 Intermind Corporation Communications system for transferring information between memories according to processes transferred with the information
US6157721A (en) * 1996-08-12 2000-12-05 Intertrust Technologies Corp. Systems and methods using cryptography to protect secure computing environments
US7133845B1 (en) * 1995-02-13 2006-11-07 Intertrust Technologies Corp. System and methods for secure transaction management and electronic rights protection
US5809144A (en) * 1995-08-24 1998-09-15 Carnegie Mellon University Method and apparatus for purchasing and delivering digital goods over a network
US5748740A (en) * 1995-09-29 1998-05-05 Dallas Semiconductor Corporation Method, apparatus, system and firmware for secure transactions
US6138107A (en) * 1996-01-04 2000-10-24 Netscape Communications Corporation Method and apparatus for providing electronic accounts over a public network
US6038551A (en) * 1996-03-11 2000-03-14 Microsoft Corporation System and method for configuring and managing resources on a multi-purpose integrated circuit card using a personal computer
US6029150A (en) * 1996-10-04 2000-02-22 Certco, Llc Payment and transactions in electronic commerce system
US6590588B2 (en) * 1998-05-29 2003-07-08 Palm, Inc. Wireless, radio-frequency communications using a handheld computer
US7047416B2 (en) * 1998-11-09 2006-05-16 First Data Corporation Account-based digital signature (ABDS) system
FR2787273B1 (fr) * 1998-12-14 2001-02-16 Sagem Procede de paiement securise
US6529885B1 (en) * 1999-03-18 2003-03-04 Oracle Corporation Methods and systems for carrying out directory-authenticated electronic transactions including contingency-dependent payments via secure electronic bank drafts
US7249097B2 (en) * 1999-06-18 2007-07-24 Echarge Corporation Method for ordering goods, services, and content over an internetwork using a virtual payment account
US20010032154A1 (en) * 1999-12-17 2001-10-18 Eric Schummer Internet communications and e-commerce platform
WO2001082246A2 (en) * 2000-04-24 2001-11-01 Visa International Service Association Online payer authentication service
JP2004506361A (ja) * 2000-08-04 2004-02-26 ファースト　データ　コーポレイション デバイスの検証ステータスを提供することによる電子通信におけるエンティティ認証
US6915279B2 (en) * 2001-03-09 2005-07-05 Mastercard International Incorporated System and method for conducting secure payment transactions
AU2002254513B8 (en) 2001-04-02 2008-02-21 Mastercard International Incorporated System and method for conducting secure payment transactions
US7707120B2 (en) * 2002-04-17 2010-04-27 Visa International Service Association Mobile account authentication service
US7349871B2 (en) * 2002-08-08 2008-03-25 Fujitsu Limited Methods for purchasing of goods and services

Also Published As

Publication number Publication date
CA2529011A1 (en) 2005-01-06
US20070143227A1 (en) 2007-06-21
ZA200600211B (en) 2007-04-25
BRPI0411286B1 (pt) 2016-12-20
MXPA05013422A (es) 2006-03-17
AU2004252882A1 (en) 2005-01-06
ES2581236T3 (es) 2016-09-02
EP1636680A2 (en) 2006-03-22
JP2007517272A (ja) 2007-06-28
HUE029807T2 (en) 2017-03-28
WO2005001635A3 (en) 2006-10-12
AU2011201884A1 (en) 2011-05-19
WO2005001635A2 (en) 2005-01-06
EP1636680B1 (en) 2016-04-13
US7801825B2 (en) 2010-09-21
EP1636680A4 (en) 2013-03-13
PT1636680T (pt) 2016-07-15
CN1926567A (zh) 2007-03-07
BRPI0411286A (pt) 2006-08-01
PL1636680T3 (pl) 2016-10-31
DK1636680T3 (en) 2016-07-18
AU2011201884B2 (en) 2011-09-08
SI1636680T1 (sl) 2016-08-31
HK1090143A1 (zh) 2006-12-15
CY1117808T1 (el) 2017-05-17

Similar Documents

Publication Publication Date Title
DK1636680T3 (en) Systems and methods for carrying out secure payment transactions using a formatted data structure
US20200273032A1 (en) Unique Code For Token Verification
AU2015214271B2 (en) Token verification using limited use certificates
US20020152180A1 (en) System and method for performing secure remote real-time financial transactions over a public communications infrastructure with strong authentication
CN110692214A (zh) 用于使用区块链的所有权验证的方法和系统
US20070277013A1 (en) Method for transmitting protected information to a plurality of recipients
CN109716373B (zh) 密码认证和令牌化的交易
CN105027153A (zh) 用于安全配置、传送和验证支付数据的方法、装置和系统
CN101686225A (zh) 一种用于网上支付的数据加密和密钥生成方法
KR20170114905A (ko) Id 기반 공개 키 암호화를 이용한 전자 지불 방법 및 전자 디바이스
TWI748630B (zh) 基於手機名片的二維條碼支付方法及其支付系統、電腦可讀儲存媒介及電腦設備
KR100458526B1 (ko) 유·무선 복합 전자 결제 방법 및 시스템
AU2011239307B2 (en) Systems and methods for conducting secure payment transactions using a formatted data structure
EP3690782A1 (en) Secure and confidential payment
TWI229999B (en) Online parallel shopping registration and certification application method with consistent security and device thereof
AU2008254851B2 (en) Method and system for payment authorization and card presentation using pre-issued identities
SET to use secure sockets layer (SSL), but perhaps SET is only hibernating, awaiting an elusive market catalyst. Background Early in the 1990s, banks were refusing to accept or pro-cess charges originating on the Internet and required mer
KR20030027358A (ko) 전자서명과 전자봉투를 이용한 전자상품권의 발급 및유통방법

Legal Events

Date Code Title Description
WITN Application deemed withdrawn, e.g. because no request for examination was filed or no examination fee was paid