[發(fā)明專利]用于安全憑證供應的方法

有效

• 申請?zhí)枺?/td>: 201680007305.2
• 申請日: 2016-01-27
• 公開（公告）號: CN107210914B
• 公開（公告）日: 2020-11-03
• 發(fā)明（設計）人: E·勒圣;S·巴塔察里亞
• 申請（專利權）人: 維薩國際服務協(xié)會
• 主分類號: H04L9/08
• 分類號: H04L9/08;H04L9/32
• 代理公司: 上海專利商標事務所有限公司 31100
• 代理人: 姬利永

各實施例可以提供用于安全地供應敏感憑證數(shù)據(jù)(例如使用受限密鑰(LUK))到用戶裝置上的方法。在一些實施例中，憑證數(shù)據(jù)可以使用單獨的存儲保護密鑰進行加密，并且僅在交易時被解密以生成交易密碼。因此，可以在憑證數(shù)據(jù)的傳送和存儲期間提供端到端保護，僅在需要憑證數(shù)據(jù)時限制憑證數(shù)據(jù)的暴露，從而降低憑證數(shù)據(jù)泄密的風險。

相關申請的交叉引用

本申請是2015年1月27日提交的美國臨時申請?zhí)?2/108,468(代理人案卷號：079900-0929835)的非臨時申請，并要求其優(yōu)先權，該申請出于所有目的以引用方式全文并入。本申請涉及2015年8月31日提交的美國申請14/841,589(代理人案卷號：079900-0945228)，該申請出于所有目的以引用方式全文并入。

背景技術

隨著用戶裝置，諸如實現(xiàn)NFC的移動電話和非接觸卡的普及程度持續(xù)增加，維持支付和其他交易的安全性一直是一個需要關注的問題。例如，為了執(zhí)行支付交易，通常需要認證用戶裝置。用于認證用戶裝置的一種方法是通過使用由裝置生成的密碼。密碼通常使用從服務器供應的敏感憑證數(shù)據(jù)生成。如果攻擊者獲得敏感憑證數(shù)據(jù)，其可能會偽造密碼。因此，憑證數(shù)據(jù)的安全性對于進行安全交易至關重要。然而，在發(fā)送和存儲期間提供對憑證數(shù)據(jù)的充分保護是一個挑戰(zhàn)，因為攻擊者可能會竊聽供應消息或破壞用戶裝置。

本發(fā)明的實施例單獨和一起解決了這些和其他問題。

發(fā)明內容

各實施例涉及用于安全地供應憑證數(shù)據(jù)的系統(tǒng)和方法。本文描述的技術可以在供應過程期間和之后提供對敏感憑證數(shù)據(jù)的端到端保護，以便最小化暴露憑證數(shù)據(jù)的風險。

根據(jù)一些實施例，提供了一種計算機實現(xiàn)的方法。一次性用戶或客戶端公鑰可以由用戶裝置來確定。用戶裝置可以向供應服務器計算機發(fā)送包括一次性用戶公鑰的供應請求消息。用戶裝置可以從供應服務器計算機接收加密的供應響應消息，該加密的供應響應消息包括加密的憑證數(shù)據(jù)。用戶裝置可以使用靜態(tài)服務器公鑰來確定響應共享秘密。用戶裝置可以從響應共享秘密確定響應會話密鑰，該響應會話密鑰可用于解密加密的供應響應消息。用戶裝置可以由用戶裝置使用響應會話密鑰解密加密的供應響應消息，以確定加密的憑證數(shù)據(jù)。可以從響應共享秘密確定存儲保護密鑰，存儲保護密鑰不同于響應會話密鑰，并且可用于解密加密的憑證數(shù)據(jù)。存儲保護密鑰可以使用密鑰加密密鑰來加密，以生成加密的存儲保護密鑰。加密的存儲保護密鑰可以被存儲。加密的憑證數(shù)據(jù)可以被存儲。

憑證數(shù)據(jù)可以包括使用受限密鑰(LUK)或一次性使用密鑰(SUK)的密鑰導出數(shù)據(jù)。加密的憑證數(shù)據(jù)可以存儲在遠程連接到用戶裝置的存儲服務器中，加密的存儲保護密鑰可以存儲在用戶裝置中。

響應于生成用于認證授權請求消息的密碼的指示，可以檢索加密的憑證數(shù)據(jù)。加密的存儲保護密鑰可以被檢索。加密的存儲保護密鑰可以使用密鑰加密密鑰來解密，以獲得存儲保護密鑰。可以使用存儲保護密鑰對加密的憑證數(shù)據(jù)進行解密以獲得憑證數(shù)據(jù)。并且可以使用憑證數(shù)據(jù)生成密碼。在一些實施例中，使用存儲保護密鑰解密該加密的憑證數(shù)據(jù)包括使用存儲保護密鑰和用于憑證加密密鑰的密鑰導出數(shù)據(jù)來導出憑證加密密鑰，密鑰導出數(shù)據(jù)包括用戶裝置專用的數(shù)據(jù)，以及使用憑證加密密鑰來解密該加密的憑證數(shù)據(jù)。在一些實施例中，使用從憑證數(shù)據(jù)導出的密碼密鑰來生成密碼。

用戶裝置可以使用與一次性用戶公鑰和靜態(tài)服務器公鑰相對應的用戶私鑰來生成請求共享秘密。使用請求共享秘密可以加密請求數(shù)據(jù)以獲得加密的請求數(shù)據(jù)，其中，供應請求消息包括該加密的請求數(shù)據(jù)。

供應響應消息可以包括盲化的靜態(tài)服務器公鑰，并且可以使用該盲化的靜態(tài)服務器公鑰來確定響應共享秘密。

確定一次性用戶公鑰可以包括生成包括臨時用戶私鑰和臨時用戶公鑰的臨時用戶密鑰對，其中臨時用戶公鑰被用作一次性用戶公鑰。可替代地，確定一次性用戶公鑰可以包括對靜態(tài)用戶公鑰進行盲化。