[發明專利]對驗證令牌的任何時候確認

有效

• 申請號: 201180005912.2
• 申請日: 2011-01-12
• 公開（公告）號: CN102713922A
• 公開（公告）日: 2012-10-03
• 發明（設計）人: S·赫里;A·哈瑪德
• 申請（專利權）人: 維薩國際服務協會
• 主分類號: G06F21/00
• 分類號: G06F21/00
• 代理公司: 上海專利商標事務所有限公司 31100
• 代理人: 胡利鳴

相關申請的交叉引用

本申請基于并要求于2010年1月12日提交的名稱為“Anytime?Reader?Device?Validation?Service?for?Contactless?Verification?Tokens”（用于無接觸式驗證令牌的任何時候讀取器設備確認服務）的美國臨時專利申請No.61/294,338的優先權，并且還與2009年5月15日提交的名稱為“Dynamic?Data?Authentication”（動態數據認證）的美國臨時申請No.61/178,636相關。這兩個臨時申請的全部內容為所有目的并入本申請。

背景

隨著用于參與金融交易的方法和設備的增加，諸如欺詐和偽造的老問題持續存在。

欺詐的主要源頭之一是撇取，這在信用卡行業中是普遍的。撇取指的是電子復制卡的電子存儲數據以便創建偽造卡。一旦制作了偽造卡，就有可能的是，可不受懲罰地使用該卡，只要用戶或簽發實體未意識到或報告交易卡的信息已經被損害。這個問題在諸如在線購買和交易之類的卡不在場交易中是尤其普遍的，在所述交易中，不需要通過與蓋印或存儲在交易卡或其他便攜式消費者設備上的信息相匹配的照片ID來標識出偽造者。

為了對抗這樣的針對在線或其他傳統卡不在場交易的偽造或其他未授權的使用，一些簽發實體已經開始簽發接觸式和無接觸式卡驗證令牌（token）（亦稱驗證令牌）以供與用戶的計算機結合使用。卡驗證令牌可以驗證：執行交易的用戶在物理上持有該交易卡。這制止了欺詐者僅獲得了信息而不是交易卡本身的潛在欺詐。然而，即使使用驗證令牌仍然可能允許各種形式的欺詐。

一種這樣的潛在欺詐方法是：偽造者或欺詐者制造他們自己版本的讀卡器或者驗證令牌，所述讀卡器或者驗證令牌物理上或操作上類似于經授權的版本以便不引起終端用戶的懷疑。于是，欺詐者可以向用戶分發這樣的欺詐性讀卡器設備或者驗證令牌，所述讀卡器設備或者驗證令牌被配置為只要交易卡用于交易就從交易卡中撇取用戶數據，并且讓該數據被發送給偽造者運營的站點或服務器。因此，需要驗證：讀卡器設備或驗證令牌是由受信源制造的經授權設備，而不是由偽造者或欺詐者制作并分發的欺詐性撇取設備。

本發明的實施例針對這些和其他問題的解決。

發明內容

本發明的實施例包括用于認證和注冊驗證令牌制造者的方法，所述方法包括：在服務器計算機處從驗證令牌制造者接收注冊請求；以及從數據庫中檢索與所述驗證令牌制造者相關的信息；以及使用所述服務器計算機生成制造者特有的密鑰對。其他實施例可以包括：基于與所述驗證令牌制造者相關的信息來執行風險審查。

本發明的其他實施例包括用于確認、認證和注冊驗證令牌制造者的對稱和非對稱方法二者，所述方法包括：為所述驗證令牌制造者（非對稱）生成制造者特有的密鑰對；或者生成主密鑰（對稱）。制造者特有的密鑰對可以包括公共和私密組件。實施例還可以包括：通過使用支付方案證書機構（CA）來對制造者特有的密鑰對的公共組件進行簽名；以及將所述驗證令牌制造者密鑰對與經簽名的公共組件一起發送給所述驗證令牌制造者。這樣的方法還可以包括：將制造者特有的密鑰對、CA根公鑰、以及制造者特有的密鑰對的經簽名的公共組件與驗證令牌制造者標識符相關聯；以及將相關聯的讀取器設備制造者標識符存儲在數據庫中。

本發明的各個其他實施例包括用于在將驗證令牌用于發起交易之前確認所述驗證令牌的方法。這樣的方法可以包括：從驗證令牌接收確認請求；以及基于所述確認請求來確定驗證令牌序列號。這樣的實施例可以包括：確定驗證令牌序列號的注冊狀態；基于所述確認請求來確定驗證令牌制造者標識符；以及基于所述驗證令牌制造者標識符來確定制造者特有的密鑰對的第一組件。這樣的實施例還可以包括：基于所述驗證令牌制造者標識符從數據庫接收制造者特有的密鑰的第二組件以及驗證令牌制造者主密鑰；以及執行與所述驗證令牌的相互認證。實施例還可以包括：執行相互認證，所述相互認證包括基于所述驗證令牌序列號和所述驗證令牌制造者主密鑰來確定驗證令牌密鑰以及基于所述驗證令牌密鑰來建立驗證令牌密鑰會話。建立驗證令牌密鑰會話還可以包括：基于所述驗證令牌序列號和與所述服務器計算機相關聯的主密鑰來生成制造者特有的密鑰的第三組件。