TW201415284A - 保全應用程式中購買 - Google Patents

Abstract

在一實施例中，一唯一(或準唯一)識別符可由一應用程式商店或其他線上商店接收，且該商店可產生包括自該唯一識別符所要之資料的一經簽名之回條。此經簽名之回條接著傳輸至正執行自該線上商店所獲得之應用程式的一器件，且該器件可藉由自經簽名之回條導出該唯一(或準唯一)識別符且比較該所導出識別符與儲存於該器件上的器件識別符或指派至應用程式廠商的廠商識別符來核對該回條。

Description

保全應用程式中購買 對相關申請案的交叉參考

本申請案主張2012年7月19日申請之美國臨時申請案第61/673,413號的權利，且特此將此臨時申請案併入本文中。

應用程式中購買允許應用程式直接將用於購買應用程式特定資產之商店嵌入於應用程式內。舉例而言，諸如來自軟體開發者之遊戲應用程式的應用程式可自App Store(諸如，由Cupertino California之Apple Inc.提供的The iTunes App Store)購買，且接著彼應用程式之使用者在該應用程式安裝於器件上之後可直接自該應用程式內購買某物以供該應用程式使用(而不必返回至The App Store)。應用程式中購買通常使用各種架構來連接應用程式中商店與線上商店，以處理安全付款。該架構可提示應用程式之使用者授權針對資產之付款，且接著可通知容納應用程式中商店的應用程式，因此應用程式可提供使用者已購買之物品。應用程式中付款功能性可用以收集針對在應用程式內提供增強之功能性的資產或可由應用程式使用的額外內容之付款。

舉例而言，應用程式中購買可用以實施諸如以下之情境：在應用程式內部具有可用於購買之額外特級特徵的最初免費應用程式、允許使用者購買及下載新的書籍之書籍閱讀器應用程式或提供新的環境(等級)來探索之遊戲。另外，線上遊戲可提供允許玩家購買虛擬財產之應用程式中商店。

然而，應用程式中商店呈現必須克服以確保使用者資料保持安全且防止對使用者、應用程式開發者及服務提供者帶來風險的惡意探索之若干安全性問題。即使安全協定用於應用程式中商店伺服器與利用應用程式中商店之器件之間，若安全性系統之某些元件歸因於由使用者所進行之無意或有意動作或某一器件或系統故障而被停用或致使為不安全，則漏洞仍可存在。在一些情境下，以致使另外受信任網路系統不安全之方式強制使用者有意危害系統安全性係可能的。

所描述實施例係關於用於提供用於啟用應用程式中購買之分層或冗餘安全性系統的技術、方法及系統，該安全性系統使用多頻譜安全方法來加強交易以抵抗第三方之危害。舉例而言，在一實施例中，唯一(或準唯一)器件識別符可藉由應用程式商店或其他線上商店接收，且該商店可產生包括自唯一器件識別符所要之資料的經簽名之回條。此經簽名之回條可接著傳輸至正執行自線上商店獲得之應用程式的器件，且該器件可藉由自經簽名之回條導出唯一(或準唯一)器件識別符且比較所導出之器件識別符與儲存於該器件上之器件識別符來核對該回條。

在一實施例中，唯一(或準唯一)廠商識別符可指派至含有應用程式中商店之應用程式的廠商。當正執行含有應用程式中商店之應用程式的器件請求線上商店交易時，器件可將廠商識別符傳輸至線上商店。商店可產生包括自廠商識別符所要之資料的經簽名之回條。經簽名之回條可接著傳輸至正執行自線上商店獲得之應用程式的器件，且應用程式或作業系統可藉由以下操作而核對回條：自經簽名之回條導出唯一(或準唯一)器件識別符，及比較所導出之廠商識別符與應用程式廠商之廠商識別符。

本文所描述之各種實施例可以眾多方式實施，包括作為方法、 系統、器件及電腦可讀媒體。以上概述不包括本發明之所有態樣的詳盡清單。預期，本發明包括可自上文所概述之各種態樣的所有合適組合實踐之所有系統及方法，且亦包括揭示於下文之實施方式中的系統及方法。

100‧‧‧資料處理系統

105‧‧‧處理系統

110‧‧‧記憶體

120‧‧‧音訊輸入/輸出子系統

130‧‧‧顯示控制器及顯示器件

140‧‧‧相機器件

150‧‧‧輸入器件

160‧‧‧全球定位系統(GPS)器件

170‧‧‧無線收發器

200‧‧‧應用程式中購買模型

210‧‧‧器件

220‧‧‧應用程式

225‧‧‧請求

230‧‧‧商店套組架構/應用程式中購買API架構

235‧‧‧回應

237‧‧‧購買請求

240‧‧‧應用程式商店伺服器

242‧‧‧回條

300‧‧‧應用程式中購買安全性系統

310‧‧‧器件

315‧‧‧應用程式中買入/應用程式中買入請求

320‧‧‧應用程式商店伺服器/應用程式商店

321‧‧‧應用程式商店買入回應佇列/伺服器側買入回應佇列

325‧‧‧經簽名之回條

326‧‧‧增強型驗證安全鏈路/增強型驗證安全鏈路

327‧‧‧回條/回條資料

340‧‧‧安全回條驗證伺服器

345‧‧‧驗證回條

400‧‧‧簽名及交易核對/簽名及交易核對處理程序

500‧‧‧應用程式中購買安全性系統

510‧‧‧器件

515‧‧‧應用程式中買入請求/應用程式中買入

520‧‧‧應用程式商店伺服器

521‧‧‧伺服器側買入回應佇列

525‧‧‧經簽名之回條

526‧‧‧增強型驗證安全鏈路

527‧‧‧回條/中繼回條

530‧‧‧第三方伺服器

535‧‧‧第三方回條驗證請求/回條

540‧‧‧驗證伺服器/回條驗證伺服器

545‧‧‧驗證回條

555‧‧‧所購買內容

600‧‧‧回條驗證核對

604‧‧‧核對回條驗證伺服器憑證

700‧‧‧伺服器增強之應用程式中購買安全性系統

710‧‧‧器件

715‧‧‧應用程式中買入

720‧‧‧應用程式商店伺服器

721‧‧‧經簽名組態檔案/買入回應佇列

723‧‧‧經加密器件鏈路

725‧‧‧經簽名之回條

726‧‧‧增強型驗證安全鏈路

735‧‧‧回條

740‧‧‧經核對之回條驗證伺服器

745‧‧‧驗證回條

800‧‧‧安全伺服器輔助核對處理程序

910‧‧‧器件

920‧‧‧應用程式

925‧‧‧請求

927‧‧‧回應

930‧‧‧應用程式中購買API架構

931‧‧‧請求中繼

934‧‧‧回應中繼

935‧‧‧作業系統

936‧‧‧經加密器件鏈路

940‧‧‧應用程式商店伺服器/應用程式商店

1000‧‧‧應用程式回條

1010‧‧‧有效負載/資料有效負載

1020‧‧‧有效負載屬性

1021‧‧‧屬性類型

1022‧‧‧版本

1023‧‧‧值

1030A‧‧‧屬性

1030N‧‧‧屬性

1031A‧‧‧類型

1031N‧‧‧類型

1032A‧‧‧版本

1032N‧‧‧版本

1040A‧‧‧應用程式中購買回條

1040N‧‧‧應用程式中購買回條

1041N‧‧‧屬性

1049N‧‧‧屬性

1100‧‧‧廠商回條

1110‧‧‧廠商ID

1120‧‧‧版本

1130A‧‧‧應用程式回條

1130B‧‧‧第二應用程式回條

1130N‧‧‧應用程式回條

1131A‧‧‧應用程式中回條

1131B‧‧‧應用程式中回條

1131N‧‧‧應用程式中回條資料

1139A‧‧‧應用程式中回條

1139B‧‧‧應用程式中回條

1139N‧‧‧應用程式中回條資料

本發明係在隨附圖式之諸圖中藉由實例而非限制來說明，其中相似參考指示類似元件，且其中：圖1為適合於供所描述實施例使用之行動資料處理系統之一實施例的方塊圖；圖2為允許應用程式提供資產用於購買之應用程式中購買模型之一實施例的方塊圖；圖3為具有多層驗證及核對的應用程式中購買安全性模型之一實施例的方塊圖；圖4為表示簽名及交易核對之用戶端階段之一實施例的流程圖；圖5為涉及第三方伺服器之應用程式中購買安全性之一實施例的方塊圖；圖6為核對回條購買驗證之一實施例的流程圖；圖7為伺服器增強之應用程式中購買安全性之一實施例的方塊圖；圖8為安全伺服器輔助核對之一實施例的流程圖；圖9為具有作業系統管理回條之應用程式中購買模型之一實施例的方塊圖；圖10為具有一或多個應用程式中購買回條之應用程式回條之一實施例的方塊圖；及圖11為具有一或多個應用程式回條之廠商回條之一實施例的方塊圖，該一或多個應用程式回條各自含有一或多個應用程式中回條。

應用程式中購買安全性之各種實施例及態樣將參考下文所論述之細節來描述，且隨附圖式將說明各種實施例。以下描述及圖式說明本發明，且不應被解釋為限制本發明。眾多特定細節經描述，以提供對本發明之各種實施例的詳盡理解。然而，在某些情況下，熟知或習知細節並未被描述，以便提供本發明之實施例的簡潔論述。

在說明書中對「一實施例」之參考意謂，結合實施例描述之特定特徵、結構或特性可包括於本發明之至少一實施例中。短語「在一實施例中」在說明書中之各處的出現未必皆指代同一實施例。描繪於接著之諸圖中的處理程序由處理邏輯執行，該處理邏輯包含硬體(例如，電路、專用邏輯等)、軟體或兩者之組合。儘管處理程序在下文中依據一些順序操作來描述，但應瞭解，描述之操作中的一些可以不同次序來執行。此外，一些操作可並行地而非順序地執行。

圖1為行動資料處理系統之一實施例的方塊圖，實施應用程式中購買之應用程式可在該行動資料處理系統上執行。資料處理系統100包括具有一或多個微處理器之處理系統105。系統100亦包括用於儲存資料及供處理系統執行之程式的記憶體110。系統100另外包括音訊輸入/輸出子系統120，音訊輸入/輸出子系統120可包括麥克風及揚聲器，該揚聲器用於播放音樂或經由揚聲器及麥克風提供電話功能性。

顯示控制器及顯示器件130可用以為使用者提供圖形使用者介面，諸如，由諸如iPhone、iPad及iPod touch之iOS器件所提供的圖形使用者介面。另外，顯示及音訊功能性可經耦接，以提供視訊播放或視訊通信服務。無線收發器170可經由一或多種無線技術傳輸及接收資料，該一或多種無線技術諸如近場通信(NFC)、Wi-Fi、紅外線、藍芽或無線蜂巢式技術之一或多個變體。系統100之一實施例含有以前置及後置兩個組態組態的一或多個相機器件140，但各自具有前置相 機或無相機之類似組態系統可為許多最佳組態中的一者。資料處理系統100亦可包括允許使用者提供至系統之輸入的一或多個輸入器件150。輸入器件可包括小鍵盤或鍵盤(單獨地或與語音辨識系統一起)，或上覆於顯示器件130之觸控或多點觸控面板。另外，資料處理系統100之實施例亦可包括用於提供定位知悉服務之器件，諸如，全球定位系統(GPS)器件160或其等效物。

應注意，如圖1中所表示之資料處理系統100係以實例說明。未展示之一或多個匯流排或介面可用以互連各種組件，如此項技術中所熟知。又，未展示之額外組件在某些實施例中亦可為系統100之部分，且在某些實施例中，亦可使用少於圖1中所展示之組件。

圖2為允許應用程式提供資產以用於購買之應用程式中商店模型之一實施例的方塊圖。在應用程式中購買模型200中，應用程式中購買允許應用程式開發者直接將商店嵌入於在電子器件(例如，器件210)上執行之應用程式(例如，應用程式220)內。在一實施例中，執行表徵應用程式中購買模型200之應用程式220的器件210使用應用程式中購買API架構(例如，商店套組架構230)來代表應用程式220連接至應用程式商店伺服器240。在一實施例中，應用程式220可將請求225發送至應用程式中購買API架構230以代表應用程式220進行交易。在一實施例中，可經由應用程式中購買API架構230將在同一器件上跨多個應用程式之多個請求發送至應用程式中購買API 230處理程序，應用程式中購買API 230處理程序可將彼等查詢傳輸至應用程式商店伺服器240。在不執行用於線上商店之應用程式的情況下，在應用程式220正由使用者使用的同時(例如，當使用者正使用應用程式220作為最前部應用程式時)，此請求可自該使用者接收到。應用程式中購買API架構230及應用程式商店伺服器240可接著進行安全付款交易，以購買應用程式特定資產。在一實施例中，應用程式中購買API架構230 與器件作業系統互動以提示使用者授權付款，且將購買請求237發送至應用程式商店伺服器240。若請求為恰當的，則將回條242自應用程式商店伺服器240發送至器件，且應用程式中購買API架構可將回應235發送至應用程式220，使得應用程式220可提供使用者已購買之一或多個物品。使用應用程式中購買模型200，應用程式開發者可將財務交易委派給器件作業系統，而非必須針對每一應用程式實施單獨付款系統。應用程式開發者可接著提供以出售增強之應用程式中功能性，諸如，遊戲中之物品，或電子閱讀器應用程式中的書籍及雜誌。 在一實施例中，應用程式中購買模型200限於接受付款以交換購買，且應用程式開發者可提供添加之應用程式中資產或功能性，諸如，解除鎖定內建式特徵或自第三方伺服器下載內容。在一實施例中，核對與應用程式商店伺服器240之應用程式中購買API架構230交易成功地導致有效交易為應用程式開發者之責任。在此實施例中，若應用程式開發者不進行此，則應用程式將由於欺騙性或不成功之購買而提供內容係可能的。

圖3為具有多層驗證及核對的應用程式中購買安全性模型之一實施例的方塊圖。多層驗證及核對可加強應用程式中購買系統，以減少系統對系統中所使用之組件或伺服器之惡意破壞的漏洞。在一實施例中，應用程式中購買安全性系統300包括器件310，器件310執行具有應用程式中商店之應用程式，或如以其他方式實施之應用程式中購買模型。如圖2中所描述，應用程式可使用應用程式中購買API架構來代表應用程式與應用程式商店伺服器320通信。在一實施例中，應用程式使用應用程式中購買API架構自應用程式商店伺服器320接收關於可用於在應用程式內購買之產品的局域化資訊。應用程式可接著顯示此資訊，且允許用於在應用程式內使用之物品或資產的購買。當物品被購買時，器件310可將應用程式中買入315發出至含有唯一器件識別符 及產品識別符之應用程式商店伺服器320。在一實施例中，唯一(準唯一)識別符為用以個別地識別每一器件310之文數字編號。舉例而言，識別符可儲存於器件之安全唯讀記憶體(ROM)中，且可為器件之唯一序號，其用以產生安全及受信任的執行環境。準唯一識別符可用以產生安全執行環境之方式的一實例提供於公開之美國申請案US 2008/0165952中，該案被以引用的方式併入本文中。應注意，儘管在一實施例中，唯一識別符為準唯一器件識別符，但為了實例目的，識別符將大體被稱作唯一器件識別符。產品識別符識別應用程式正請求購買交易所針對之物品。在一實施例中，使用經加密通信方法之一或多項實施於器件310與應用程式商店伺服器320之間建立安全資料工作階段，該等方法諸如(但不限於)安全通訊端層(SSL)或輸送層安全性(TLS)。在一實施例中，應用程式商店320接收應用程式中買入315請求，且使用可由應用程式商店伺服器320存取之帳戶特定財務資訊處理財務交易。一旦應用程式商店伺服器320進行財務交易，則交易回條可由應用程式商店伺服器320產生且以密碼編譯方式簽名。在一實施例中，針對請求應用程式中買入315之器件，將經簽名之回條325置放於應用程式商店買入回應佇列321中。在一實施例中，應用程式商店伺服器320命令足夠的資源針對能夠存取應用程式商店之每一器件310(且可存在數百萬個此等器件)維持單獨的伺服器側買入回應佇列。器件310可週期性地檢查伺服器側買入回應佇列321且擷取針對交易之經簽名之回條325，經簽名之回條325含有(在各資料元素間)與器件310相關聯之唯一識別符、與所購買之應用程式中資產相關聯的廠商ID及產品ID(除與交易相關聯之交易ID之外)，及可記錄與應用程式中購買相關聯之伺服器、器件或全球通用時間的可選日期或時間戳記。

為了輔助維持應用程式中購買系統之完整性，應用程式開發者 可使用複數個可用方法中之一或多者核對經簽名之回條、與經簽名之回條相關聯的資訊以及回條自身。在一實施例中，已接收經簽名之回條之可用性之通知的應用程式可自買入回應佇列321擷取經簽名之回條325，且核對經簽名之回條之簽名的有效性。若簽名為無效的，則器件已以可將應用程式中買入315請求發送至偽裝為應用程式商店320伺服器之一或多個無效伺服器的方式被篡改或「中間人」型式攻擊已篡改買入回應之內容係可能的。當偵測到無效簽名時，應用程式可將回條拒收為無效的，且藉由(例如)拒絕提供虛擬貨物或觸發錯誤對話而注意到失敗。在一實施例中，應用程式可記錄重複之失敗，或將失敗交易報告至器件310上之作業系統。除回條簽名之外，器件310或器件310上之應用程式可核對交易之其他態樣以添加額外安全性層。在一實施例中，經簽名之回條含有器件之唯一識別符，且可用以核對將應用程式中買入請求315發送至應用程式商店伺服器320之器件為接收經簽名之回條325的同一器件。舉例而言，惡意使用者可試圖自第一器件俘獲經簽名之回條，且在第二器件上重新執行經簽名之回條的擷取。在一實施例中，若第一器件待進行應用程式中購買且自應用程式商店伺服器320接收經簽名之回條325，則經簽名之回條325將並非可操作以模擬在第二器件上之購買，此係因為器件310或應用程式將辨識唯一器件識別符差異。

在一實施例中，核對經簽名之回條325之產品ID資料以防止一物品自應用程式中商店之購買經由俘獲及重新執行惡意探索而實現眾多其他物品自應用程式中商店的購買。在一實施例中，每一器件保留過去交易之記錄，且對照過去交易核對每一後繼交易。儘管搜尋時間可隨過去交易之數目增加而增加，但使用此方法之實施例可防止同一器件重新執行惡意探索。在一實施例中，交易識別符可含有單調增加之交易號碼，且應用程式可檢查此號碼嚴格地大於過去交易之號碼。

視情況，器件亦可檢查每一經簽名之回條325之時間戳記。在一實施例中，經簽名之回條325可含有追蹤應用程式中買入315交易之時間的時間戳記。在器件310上執行之應用程式或器件310之作業系統可接著拒收具有過遠地處於應用程式中買入315交易之一範圍外的時間戳記之回條。在一實施例中，時間戳記及原始購買時間戳記兩者經儲存。原始購買時間戳記可用以追蹤現在在經授權使用者正進行應用程式中購買之經授權還原的情況下隨後被還原的應用程式中買入315之原始購買日期。在此情況下，經簽名之回條325之時間戳記可能不匹配與原始應用程式中買入315相關聯之時間戳記，但原始購買日期將適當地與針對交易或回條所儲存的原始應用程式中買入315資料為同時的。

在上文所述之實施例中，實施應用程式中購買模型之應用程式可藉由檢查儲存於經簽名之回條之各種資料結構中的資料而驗證經簽名之回條325。在應用程式中購買安全性系統300之一實施例中，經簽名之回條325之資料結構對器件310上的應用程式而言為不透明的。在一實施例中，儲存於經簽名之回條325中之資料對於器件上之本端核對為可存取的，但一些或所有資料元素經受冗餘核對以增強安全性。在應用程式中購買安全性系統300之此等實施例中，提供安全回條驗證伺服器340以輔助應用程式開發者驗證來自應用程式商店伺服器320的經簽名之回條。回條驗證伺服器340可解碼在回條327內之各種資料結構內編碼的資料。回條327可為經簽名之回條325，或某一子集之回條資料。為了聯繫回條驗證伺服器340，器件310首先核對回條驗證伺服器存在於期望的網路位置處且器件正與實際回條驗證伺服器通信。此等核對方法幫助確保系統尚未被篡改而將回條核對重新導引至無效網路位址或至無效核對伺服器，其中之任一者可能將器件之使用者暴露於竊取或資料丟失。

在一實施例中，SSL或TLS可用以保全在器件310與回條驗證伺服器340之間的連接，如在器件310與應用程式商店伺服器320之間的連接之狀況下。當使用SSL時，器件310將試圖藉由首先藉由呈現其識別憑證請求伺服器識別自身而連接至伺服器，諸如，應用程式商店伺服器320或回條驗證伺服器340。伺服器可接著向器件310發送TLS憑證之複本，或某一其他以密碼編譯方式簽名的憑證。在一實施例中，憑證係由憑證機構簽名，該憑證機構藉由用其憑證機構金鑰對憑證籤名而擔保憑證持有者之身分識別。然而，在一實施例中，接受「自簽名」憑證，其為由其身分識別正被憑證之同一實體簽名的身分識別憑證。自簽名憑證不證明由憑證授權單位所簽名之憑證所提供的信任等級，且在一些情況下，可能不可靠。若器件310信任憑證，則其可通知伺服器器件310接受伺服器憑證，且伺服器及器件可建立經加密連接。然而，安全連接可歸因於不注意的或有意的器件篡改而變為不安全的係可能的。安全危害可自用(在一實例中)「詐騙攻擊」危害系統安全之嘗試引起，在「詐騙攻擊」中，一人、程式或伺服器藉由偽造資料而成功地偽裝為另一人、程式或伺服器。被稱為「SSL剝取」之額外漏洞為一類型之「中間人攻擊」，該「中間人攻擊」將使用者重新導引至實際上正使用偽造之憑證的推測起來安全的網站。

在一實施例中，器件可要求在應用程式中購買系統中所涉及之所有伺服器使用增強型驗證安全鏈路，諸如，增強型驗證安全鏈路326。增強型驗證安全鏈路326為應用程式中購買安全性系統300可藉以防止危害之器件310或危害之應用程式商店伺服器320或回條驗證伺服器340之使用的一方法。在一實施例中，可經由擴展驗證憑證(EV憑證)之使用建立增強型驗證安全鏈路326。EV憑證為經簽名憑證，其指示憑證授權單位已進行比標準CA簽名憑證高的等級之身分識別核對，且憑證授權單位已經受獨立稽核以核對(在各項中)授權單位之 身分識別核對及簽名處理程序及授權單位之簽名金鑰及憑證安全性措施。增強之身分識別核對及稽核證明比標準簽名高的信任值。因此，EV憑證將用以以高於其他安全鏈路之信賴等級建立增強型驗證安全鏈路726。在一實施例中，增強型驗證安全鏈路726亦可不允許使用自簽名金鑰之連接。一旦受信任及經加密通信建立於器件310與回條驗證伺服器340之間，則可發送回條資料327以用於驗證，且回條驗證伺服器可傳回指示回條驗證處理程序之成功或失敗的驗證回條345。

圖4為表示簽名及交易核對之用戶端階段之一實施例的流程圖。 在一實施例中，在使用諸如簽名及交易核對400之方法的遠端回條驗證之前抑或代替遠端回條驗證，器件或應用程式可進行本端回條驗證。此方法可開始於接收回條操作403，其中器件或應用程式自與器件相關聯之伺服器側買入回應佇列擷取經簽名之回條。在故障或惡意使用者觸發完成交易之假通知的情況下，實際回條之不存在將指示操作為不成功的。在操作406中，核對回條之簽名以確保供應回條之應用程式商店的合法性。回條之簽名為證實提供回條之實體之身分識別的數位聲明。在此狀況下，應用程式商店使用私用加密金鑰以數位方式簽名回條。可接著使用與應用程式商店相關聯之公用金鑰來核對簽名。

在一實施例中，應用程式或器件可實施操作408，操作408可核對與回條相關聯之準唯一ID。若回條中之唯一ID不同於器件之唯一ID，則回條可為交叉器件重新執行惡意探索之部分且被拒收。在一實施例中，應用程式或器件可實施操作410，操作410可核對交易購買日期，該交易購買日期可以與同應用程式中購買及回條之產生相關聯之時間及日期相關聯的時間戳記之若干形式中之一者體現。在一實施例中，器件或應用程式可針對每一交易維持交易識別符清單。在操作412中，可對照過去交易核對與每一回條相關聯之交易識別符，以確 保過去回條並未試圖偽裝為新的回條。在回條係針對器件或應用程式藉由匹配先前完成之交易的交易識別符接收的情況下，回條可因無效而被拒收。

在一實施例中，實施應用程式中購買模型之應用程式可直至購買方解除鎖定包含於應用程式內但不可用的某內容。在一實施例中，第三方伺服器將容納將遞送至器件以供在應用程式內使用之內容。在此狀況下，在操作414中，器件或應用程式將判定是否將聯繫第三方伺服器以繼續至應用程式中購買處理程序。在無第三方伺服器被需要之情況下，簽名及交易核對處理程序400將進行操作418，操作418將會將回條或回條資料發送至回條驗證處理程序，該處理程序可為本端處理程序，或涉及回條驗證伺服器，諸如，圖3之回條驗證伺服器340。或者，若第三方伺服器用以容納用於應用程式中商店之內容，則操作416可將回條發送至第三方伺服器以用於額外輪之驗證，或充當用以觸發內容遞送之購買的證據。在一實施例中，進行額外驗證之第三方伺服器及容納用於遞送之內容的第三方伺服器為同一伺服器。 在一實施例中，第三方驗證伺服器之使用獨立於第三方內容伺服器的使用。在一實施例中，在無第三方驗證伺服器的情況下，可使用第三方內容伺服器進行額外回條驗證。

圖5為涉及第三方伺服器之應用程式中購買安全性之一實施例的方塊圖。在一實施例中，應用程式中購買安全性系統500經調適以藉由第三方伺服器操作。如在圖3中，器件510藉由應用程式中購買模型之實施執行應用程式。將應用程式中買入請求515發送至應用程式商店伺服器520，應用程式商店伺服器520處理與購買相關聯之財務交易且在與器件510相關聯之伺服器側買入回應佇列521中載入經簽名之回條525。經簽名之回條525可為需要藉由用以解碼及解譯儲存於回條資料結構中之資料的資訊程式化之驗證伺服器540之使用的不透明資料 結構，或可含有以已知格式儲存的某些已知資訊，從而允許器件510或器件510上之應用程式進行本端驗證。

在一實施例中，將回條527或回條資料發送至可容納內容之第三方伺服器530。舉例而言，書籍及雜誌閱讀器應用程式可經由應用程式中購買模型向使用者提供用於購買之書籍或雜誌。一旦財務交易已由應用程式商店經由應用程式商店伺服器520代表應用程式進行，則應用程式可自第三方伺服器530獲取書籍或雜誌。回條527或回條之某一子集可中繼至第三方伺服器530，作為用於交易之購買的證據。在一實施例中，第三方伺服器可與驗證伺服器540通信以驗證中繼回條527。在此情境下，在第三方伺服器530與驗證伺服器之間的通信鏈路可假定為安全的，或第三方伺服器可預設為不受信任的，直至使用如在圖3之增強型驗證安全鏈路326中的EV信任機制建立增強型驗證安全鏈路526為止。

在任一情境下，當將中繼回條527傳輸至第三方伺服器530時，第三方伺服器可大部分以器件510之方式將第三方回條驗證請求535傳輸至驗證伺服器540。在檢驗來自第三方伺服器之回條535之後，回條驗證伺服器540可發出驗證回條545，該驗證回條545向第三方伺服器530指示第三方回條驗證請求535之成功或失敗。第三方伺服器530可接著將所購買內容555傳輸至器件510，以供在發出應用程式中買入515請求之應用程式內使用。在一實施例中，第三方伺服器530可在傳輸所購買內容555之前執行額外驗證，或可接受回條驗證伺服器540之結果。

圖6為核對回條購買驗證之一實施例的流程圖。儘管如此有上文所論述之眾多安全方法，但伺服器憑證金鑰或應用程式中購買安全性系統可仍歸因於不注意的或意外之動作或由惡意行動者使用攔截或重新導引回條驗證伺服器訊務之某一方法而變得有危害。因此，應用程 式或器件可希望啟用核對來自回條驗證伺服器之結果的方法。在一實施例中，應用程式或器件可啟用回條驗證核對600之一實施例。在操作604中，應用程式或器件可核對回條驗證伺服器憑證以確保回條驗證伺服器訊務尚未重新導引至不安全伺服器。在一實施例中，操作604進行EV信任檢查，以確保網路位置及伺服器名稱兩者恰當地對應於在EV憑證中所指定的位置及身分識別。操作606可提交已對照應用程式商店憑證預先檢查之簽名核對回條，如在圖4之操作406中。在操作608中，來自回條驗證伺服器之驗證回應可根據回條驗證伺服器上處於使用中的演算法指示回條是否有效。在操作614中，應用程式或器件可檢查所提交回條是否通過驗證，且若否，則操作616可退出購買處理程序且將失敗報告至器件作業系統、器件使用者或第三方廠商。在回條通過驗證之情況下，可進行額外檢查以便確保驗證伺服器之有效性。

在一實施例中，操作618可核對與回條相關聯之產品ID以防止重新執行攻擊，該等攻擊允許低價值應用程式中物品之購買以實現高價值應用程式中物品的假購買。操作620可核對交易ID以防止同一器件重新執行攻擊。若與產品ID及交易ID相關聯之回條資訊通過核對，則回條驗證核對600處理程序可在操作622中報告成功。

圖7為伺服器增強之應用程式中購買安全性之一實施例的方塊圖。在一實施例中，器件710之作業系統可實施伺服器增強之應用程式中購買安全性系統700，系統700代替上文所描述之方法或結合該等方法與應用程式商店伺服器720及經核對之回條驗證伺服器740一致地進行額外核對步驟。在一實施例中，器件710使用增強型加密演算法及工作階段安全機制建立加強之經加密器件鏈路723。在一實施例中，經加密器件鏈路723安全性係藉由允許伺服器及用戶端將簽名附加至每一受保護動作之訊息有效負載而增強，其可由有效負載之接收 者核對。應用程式商店伺服器720可接著含有經簽名組態檔案721，以在簽名及核對有效負載時組態伺服器及用戶端側動作。在一實施例中，器件710可在與伺服器建立通信之前取得組態檔案。器件710可接著檢查，以確保在建立用於交易之器件鏈路之前，最小組態版本在應用程式商店伺服器720上處於使用中。檢查版本號防止執行應用程式商店伺服器720或組態檔案之較舊或無效版本之伺服器的秘密取代，其不將任何交易指定為受保護的。

經由經加密器件鏈路，器件710可傳遞含有應用程式中買入715資訊之資料，諸如，唯一ID及購買產品ID。應用程式商店伺服器720可接著簽名回條，且將回條置放於買入回應佇列721中。在一實施例中，應用程式將不能夠存取器件710之唯一器件識別符，此係因為唯一識別符資訊可允許應用程式開發者導出諸如器件710之序號的資訊。唯一器件識別符可為器件之作業系統已知，從而允許唯一器件識別符在建立經加密器件鏈路723時之使用，或允許作業系統的應用程式中購買API架構組件在應用程式中買入715請求中包括器件的唯一識別符。然而，應用程式可能不具有向器件710或器件710之作業系統請求此資訊的能力，此意謂應用程式不可使用唯一器件識別符來核對經簽名之回條725。在一實施例中，應用程式商店伺服器720可替代地編碼與經簽名之回條725中之應用程式相關聯的廠商ID，且在器件710上執行之應用程式可接著檢查經簽名之回條725之廠商ID，如與如在其他實施例中之唯一器件識別符相對。在一實施例中，針對給定器件710上之給定應用程式，廠商ID可為相同的，而在同一器件710上之兩個應用程式將被提供不同的廠商ID。此功能性可允許應用程式追蹤正使用該應用程式之每一器件710，而不允許應用程式開發者合併此資訊與來自不同應用程式的使用者追蹤資訊。因此，自基於唯一器件識別符之核對移至廠商ID核對可防止交叉應用程式使用者追蹤之一方 法。

在一實施例中，增強型驗證安全鏈路726針對不利用諸如器件710與應用程式商店伺服器720之間的經加密器件鏈路之鏈路的所有連接為強制的。在一實施例中，使用經核對之回條驗證伺服器740，其身分識別在建立增強型驗證安全鏈路時自動地核對，回條735資料係經由該增強型驗證安全鏈路傳遞。在一實施例中，回條735資料係藉由數位簽名簽名以核對真實性。在一實施例中，器件710之作業系統與經核對之回條驗證伺服器一致工作，以確保使用資料恰當地核對由經核對之回條驗證伺服器740所傳回之驗證回條745，該資料諸如(但不限於)產品ID、交易ID及交易之時間戳記。在一實施例中，應用程式廠商核對回條資料，且進行是否對使用者解除鎖定所購買內容之最終判定。

圖8為安全伺服器輔助核對之一實施例的流程圖。在一實施例中，安全伺服器輔助核對處理程序800由圖7中所說明之系統實施，以提供應用程式商店及回條驗證伺服器身分識別之自動核對。在一實施例中，若最小伺服器組態檔案版本不在使用中，則操作804將阻礙在器件與應用程式商店之間的交易。在操作806中，建立在器件與應用程式商店之間的專用經加密器件鏈路，以允許在器件與應用程式商店之間的經加強及加密之資料路徑。在購買資料及回條經交換之後，器件作業系統將進行操作808以核對回條之數位簽名且進行操作810以檢查回條的廠商ID。在操作812中，在回條驗證伺服器可被視為受信任及安全之前，向回條驗證伺服器請求諸如SSL擴展驗證憑證之增強型驗證憑證且核對該憑證。在一實施例中，在增強型驗證憑證存在且有效之情況下，在簽名之憑證鏈內的某點處，在將回條資料發送至回條驗證伺服器之前必須存在金鑰。舉例而言，在器件為來自Cupertino California之Apple Inc.的iPhone或iPad器件的情況下，Apple Inc.數位 憑證將在某點處於憑證金鑰鏈中，或應用程式商店伺服器可假定為不安全的。在操作814中，將在伺服器上之數位憑證的鏈中搜尋所需憑證，或不可建立安全連接。

在一實施例中，若回條驗證伺服器經核對為安全的，則可在操作816中將回條發送至伺服器，且在操作818中所接收之回條驗證回應可信任為有效的。

圖9展示應用程式中商店模型利用作業系統管理回條之一實施例的方塊圖。在一實施例中，器件910執行應用程式920，應用程式920與應用程式中購買API架構930通信以促進財務交易。在一實施例中，應用程式中購買API架構930接收來自應用程式920之請求925以執行用於應用程式中購買之財務交易。在一實施例中，應用程式中購買API架構930經由請求中繼931將請求925自應用程式920中繼至作業系統935。作業系統935可經由經加密器件鏈路936與應用程式商店伺服器940通信以執行財務交易，且儲存自應用程式商店伺服器940所傳回之交易回條以用於驗證。在一實施例中，作業系統可對自應用程式商店伺服器940所傳回之回條執行一套驗證技術，以確保回條抵抗(例如)攔截、取代或修改之完整性。作業系統935可接著將回應中繼934發送至應用程式中購買API架構930，應用程式中購買API架構930可接著將回應927發送至應用程式920。

在一實施例中，應用程式920接收回應927，回應927指示交易是否已成功完成及經由應用程式中購買模型所購買之資產是否可被遞送。在一實施例中，除經驗證之購買外，回條亦可遞送至應用程式920，使得應用程式920可執行優於及超越由作業系統935所執行之驗證技術的額外驗證技術。另外，作業系統935可維持如藉由應用程式商店940所傳輸的經簽名之回條，且應用程式中購買API架構930或應用程式920可重新請求回條之已知良好複本以不時地執行重新驗證， 或是否存在金鑰已受危害或金鑰重新執行攻擊在使用中的任何指示。或者，作業系統935可向應用程式商店伺服器940請求作業系統管理回條中之一或多者的更新以執行所儲存回條之週期性重新驗證，或是否存在金鑰已受危害之任何指示。

圖10展示具有一或多個應用程式中購買回條之應用程式回條之一實施例的方塊圖。除應用程式回條與應用程式中購買回條分開來發出及維持之實施例之外，圖10中之應用程式回條1000亦說明回條之實施例，其中每一應用程式中購買回條(例如，應用程式中購買回條1040A)儲存於與針對原始應用程式之回條(例如，應用程式回條1000)相同的回條資料結構中。在一實施例中，由應用程式中購買交易所產生之每一個應用程式中購買回條可儲存於應用程式回條1000的有效負載1010內以用於表徵應用程式中購買模型之應用程式，使得每一單獨的應用程式中交易以及原始應用程式購買可易於由作業系統或應用程式核對。

舉例而言，在一實施例中，應用程式回條1000可為由作業系統(諸如，圖9之作業系統935)管理的以密碼編譯方式簽名或編碼之容器。在一實施例中，應用程式回條1000含有資料有效負載1010及有效負載屬性1020。有效負載屬性1020可含有定義屬性類型1021、版本1022及值1023之資料結構，其可含有與應用程式回條1000之一態樣或另一態樣相關的若干類別之資料。在一實施例中，諸如屬性1030A之屬性可攜載於應用程式回條1000之有效負載1010中。屬性1030A可含有若干個值，每一者指示用於屬性資料之不同目的。諸如屬性1030A之額外屬性資料結構可含有一或多個資料結構，諸如，可含有與應用程式中購買回條1040A相關之資訊的類型1031A及版本1032A資料結構。

除用於應用程式回條1000之資料之外，在一實施例中，屬性 1030A亦可含有指示屬性資料結構含有應用程式中購買回條資料(諸如，應用程式中購買回條1040A)的值。在一實施例中，有效負載1010可含有眾多屬性資料結構，使得針對所進行之每一應用程式中購買，自屬性1030A至屬性1030N之額外屬性可附加至有效負載1010，且每一屬性可含有類型及版本資料，諸如用於應用程式中購買回條1040N的類型1031N及版本1032N資料。另外，每一後續應用程式中購買回條1040N可含有若干內部屬性，諸如屬性1041N至1049N。應注意，在應用程式中購買回條屬性或含有應用程式中購買回條之屬性中不存在上限。所說明之任何此等限制純粹用於實例目的，且不欲以限制方式使用。在一實施例中，由應用程式中交易所產生之每一個應用程式中購買回條可儲存於應用程式回條1000的有效負載1010內以用於表徵應用程式中購買模型之應用程式，使得每一單獨的應用程式中交易以及自應用程式商店之應用程式購買可易於由作業系統或應用程式核對。

在一實施例中，來自同一廠商之多個應用程式可具有用於迅速回條核對的鏈接或組合之作業系統管理回條。圖11為一或多個應用程式商店應用程式回條可儲存於單一作業系統管理回條中之廠商回條1100之一實施例的方塊圖，每一應用程式回條含有一或多個應用程式中回條。在實施例中，廠商回條1100可含有資料結構，諸如，廠商ID1110資料結構，或指示所討論之廠商及廠商回條1100之版本的版本1120資料結構。在一實施例中，版本1120可指示廠商回條1100自身之修訂編號，或可指示廠商回條1100資料結構之版本號碼。或者，版本1120資料結構可含有混合版本號碼，該混合版本號碼向廠商回條1100資料結構之版本及個別廠商回條之修訂本兩者提供指示。在一實施例中，廠商回條1100為經加密且經囊封之資料結構。或者，廠商回條1100可為皆儲存於作業系統記憶體中之經編碼或經加密資料結構的鏈接清單。

在一實施例中，廠商回條1100可含有應用程式回條1130A，其為針對來自由廠商ID 1110所指示之廠商的若干應用程式中之一者的應用程式商店回條。針對每一應用程式回條1130A，可儲存來自應用程式中商店購買之回條，諸如，應用程式中回條1131A。每一後續應用程式中回條至(作為一實例且非限制)應用程式中回條1139A可儲存於應用程式回條1130A內。

在一實施例中，來自同一廠商之一個以上應用程式經自應用程式商店購買。在此狀況下，第二應用程式回條1130B可儲存於廠商回條1100中，且此應用程式回條1130B可針對自應用程式內所購買之每一資產含有應用程式中回條1131B至(例如)1139B。

在一實施例中，多個應用程式回條至實例應用程式回條1130N儲存或鏈接至廠商回條1100。每一應用程式回條含有其相關聯之應用程式中回條資料1131N至(例如)1139N。由於針對回條儲存所分配之本端資源變得受約束，因此在一實施例中，回條資料係以雲端儲存服務之某一方式儲存，諸如，線上分散式儲存網路。在一實施例中，廠商回條1100、應用程式回條1130A至1130N及每一應用程式中回條皆儲存於雲端儲存服務中，從而允許應用程式、作業系統及雲端層級回條核對。

在前述說明書中，已參考本發明之特定例示性實施例描述本發明。將顯然，在不脫離如以下申請專利範圍中所闡述的本發明之更廣泛精神及範疇的情況下，可對本發明進行各種修改。因此，應以說明性意義而非限制性意義來看待說明書及圖式。各種態樣、實施例、實施或實施例之特徵可單獨地或以任何組合使用。軟體、硬體或硬體與軟體兩者之組合可用以實施所描述實施例。

所描述實施例亦可體現為非暫時性電腦可讀媒體上之電腦可讀程式碼。除針對傳播暫時性信號特定地設計之媒體以外，非暫時性電 腦可讀媒體亦為可儲存可此後由電腦系統讀取之資料的任何資料儲存器件。非暫時性電腦可讀媒體之實例包括軟性磁碟、快閃記憶體器件、光碟、CDROM及磁光碟片、唯讀記憶體(ROM)、隨機存取記憶體(RAM)、可抹除可程式化ROM(EPROM)、電可抹除可程式化ROM(EEPROM)、磁性或光學卡，或適合於儲存電子指令的任何類型之媒體。在各種實施例中，儲存於機器可讀儲存媒體上之軟體指令可結合固線式電路用以實施本發明。因此，技術不限於硬體電路與軟體之任何特定組合，或不限於用於由資料處理系統所執行之指令的任何特定源，該資料處理系統與用於執行本文所描述之操作中之一或多者的裝置相關聯。

所描述實施例之許多特徵及優點自書面描述顯而易見，且因此，希望所附申請專利範圍涵蓋實施例的所有此等特徵及優點。另外，由於熟習此項技術者將易於想到眾多修改及改變，因此所描述實施例不應限於如所說明及描述的確切構造及操作。因此，可採用屬於實施例之範疇的所有合適的修改及等效物。

300‧‧‧應用程式中購買安全性系統

310‧‧‧器件

315‧‧‧應用程式中買入/應用程式中買入請求

320‧‧‧應用程式商店伺服器/應用程式商店

321‧‧‧應用程式商店買入回應佇列/伺服器側買入回應佇列

325‧‧‧經簽名之回條

326‧‧‧增強型驗證安全鏈路

327‧‧‧回條/回條資料

340‧‧‧安全回條驗證伺服器

345‧‧‧驗證回條

Claims (22)

1. 一種提供透過自一線上商店所購買之一應用程式進行購買之方法，該方法包含：在一器件處接收該應用程式內的購買一資產以供該應用程式使用之一請求；將該請求及一器件識別符傳輸至該線上商店；自該線上商店接收一經簽名之回條，該經簽名之回條包括自該器件識別符所導出之資料，該經簽名之回條由該線上商店之一經營者簽名；藉由比較自該經簽名之回條所獲得之一器件識別符與該器件之器件識別符而核對該經簽名之回條。
2. 如請求項1之方法，其中核對該經簽名之回條係由一回條核對伺服器進行。
3. 如請求項2之方法，其中核對該應用程式中購買回條之該回條資料係經由一第三方伺服器進行。
4. 如請求項1之方法，其進一步包含藉由比較自該經簽名之回條所獲得之一產品ID與該所請求資產之產品ID而核對該經簽名之回條。
5. 如請求項1之方法，其進一步包含藉由比較自該經簽名之回條所獲得之一交易ID與來自一先前交易之一交易ID而核對該經簽名之回條。
6. 如請求項1之方法，其進一步包含核對經簽名之回條時間戳記以確認與一交易同時地加簽名於該回條。
7. 一種具有儲存於其上之程式碼之非暫時性機器可讀媒體，該程式碼當由一計算器件執行時使該計算器件執行操作以提供透過 自一線上商店所購買之一應用程式進行購買，該等操作包含：在一器件處接收該應用程式內的購買一資產以供該應用程式使用之一請求；將該請求及一器件識別符傳輸至該線上商店；自該線上商店接收一經簽名之回條，該經簽名之回條包括自該器件識別符所導出之資料，該經簽名之回條由該線上商店之一經營者簽名；藉由比較自該經簽名之回條所獲得之一器件識別符與該器件之器件識別符而核對該經簽名之回條。
8. 如請求項7之機器可讀媒體，其中核對該經簽名之回條係由一回條核對伺服器進行。
9. 如請求項8之機器可讀媒體，其中核對該應用程式中購買回條之該回條資料係經由一第三方伺服器進行。
10. 如請求項7之機器可讀媒體，其進一步包含藉由比較自該經簽名之回條所獲得之一產品ID與該所請求資產之產品ID而核對該經簽名之回條。
11. 如請求項7之機器可讀媒體，其進一步包含藉由比較自該經簽名之回條所獲得之一交易ID與來自一先前交易之一交易ID而核對該經簽名之回條。
12. 如請求項7之機器可讀媒體，其進一步包含核對經簽名之回條簽名時間戳記與一交易時間戳記為同時的。
13. 一種提供透過自一線上商店所購買之一應用程式進行購買之方法，該方法包含：在一器件處接收該應用程式內的購買一資產以供該應用程式使用之一請求；將該請求及與廠商相關聯之一廠商識別符傳輸至該線上商 店；自該線上商店接收一經簽名之回條，該經簽名之回條包括自該廠商識別符所導出之資料，該經簽名之回條由該線上商店之一經營者簽名；藉由比較自該經簽名之回條所獲得之一廠商識別符與該應用程式廠商之該廠商識別符而核對該經簽名之回條。
14. 如請求項13之方法，其中核對該經簽名之回條係由一回條核對伺服器進行。
15. 如請求項14之方法，其中核對該應用程式中購買回條之該回條資料係經由一第三方伺服器進行。
16. 如請求項13之方法，其進一步包含藉由比較自該經簽名之回條所獲得之一產品ID與該所請求資產之產品ID而核對該經簽名之回條。
17. 如請求項13之方法，其進一步包含藉由比較自該經簽名之回條所獲得之一交易ID與來自一先前交易之一交易ID而核對該經簽名之回條。
18. 如請求項13之方法，其進一步包含藉由檢查與一交易同時地加簽名於該經簽名之該回條而核對該經簽名之回條之時間戳記。
19. 一種具有儲存於其上之程式碼之非暫時性機器可讀媒體，該程式碼當由一計算器件執行時使該計算器件執行操作以提供透過自一線上商店所購買之一應用程式進行購買，該等操作包含：在一器件處接收該應用程式內的購買一資產以供該應用程式使用之一請求；將該請求及與廠商相關聯之一廠商識別符傳輸至該線上商店；自該線上商店接收一經簽名之回條，該經簽名之回條包括自 該廠商識別符所導出之資料，該經簽名之回條由該線上商店之一經營者簽名；藉由比較自該經簽名之回條所獲得之一廠商識別符與該應用程式廠商之該廠商識別符而核對該經簽名之回條。
20. 一種儲存用於由一資料處理系統上之一處理器存取的資料之非暫時性機器可讀媒體，該資料包含：一線上商店應用程式交易回條，以記錄用於一應用程式之一線上商店交易，該應用程式回條包含一或多個應用程式中交易回條，以記錄自該應用程式之一應用程式中商店的一交易，其中該應用程式回條及該一或多個應用程式中交易回條包括與應用程式廠商相關聯之一廠商識別。
21. 如請求項20之機器可讀媒體，其中該線上商店應用程式交易回條記錄用於與一廠商相關聯之多個應用程式的多個線上商店交易。
22. 如請求項21之機器可讀媒體，其中該線上商店應用程式交易回條儲存於一分散式網路儲存服務上。