[發明專利]針對web應用的用戶和設備認證

在審

• 申請號: 201780063051.0
• 申請日: 2017-10-03
• 公開（公告）號: CN109804376A
• 公開（公告）日: 2019-05-24
• 發明（設計）人: M·B·皮蘇特四世;J·L·庫特勒;M·W·斯塔克
• 申請（專利權）人: 微軟技術許可有限責任公司
• 主分類號: G06F21/32
• 分類號: G06F21/32;G06Q20/10;G06Q20/40;H04L29/06;G06Q20/32;G06Q20/36
• 代理公司: 北京市金杜律師事務所 11256
• 代理人: 王茂華;辛鳴

計算設備支持web認證(WebAuthN)應用程序接口(API)，該API被配置為暴露可以替代在針對使用如借記卡和信用卡的、包括嵌入式計算機芯片的智能支付工具的事務的EMV(Europay、Mastercard和Visa)標準中被利用的功能的功能。兼容WebAuthN的計算設備的功能類似于傳統芯片中的物理卡和PIN(個人識別號碼)，其中芯片用作支付設備的證明，并且PIN用作支付賬戶持有者的證明。

背景技術

諸如智能電話、平板計算機、可穿戴計算設備和個人計算機的計算設備的用戶通常需要以如下方式與web應用和其他在線資源交互：在該方式中用戶被認證以增強安全性并且使針對諸如假冒和欺詐的問題的機會最小化。

發明內容

計算設備支持web認證(WebAuthN)應用程序接口(API)，該API被配置為暴露可以替代針對在使用如借記卡和信用卡的、包括嵌入式計算機芯片的智能支付工具的事務的EMV(Europay，Mastercard和Visa)標準中被利用的功能的功能。兼容WebAuthN的計算設備的功能類似于傳統芯片中的物理卡和PIN(個人識別號碼)，其中芯片用作支付設備的證明，并且PIN用作支付賬戶持有者的證明。

WebAuthN API與以前被稱為FIDO 2.0(快速身份在線)的web認證協議的部分兼容，該協議描述了使用跨web瀏覽器應用的生物計量設備執行在線認證的可互操作方式。當WebAuthN被配置為EMV替代時，它的能力被利用以執行個性化過程以將計算設備加密地綁定到設備用戶(即，支付賬戶持有者)。個性化過程與ID和驗證(ID&V)的EMV活動相似，并且可以在由諸如銀行的金融機構支持的WebAuthN實現中被執行。銀行的WebAuthN實現被配置為支持認證工作流和授權工作流兩者。

在認證中，銀行使用例如雙因素認證來建立支付賬戶持有者的存在。WebAuthN在與WebAuthN兼容的計算設備上實現makeCredential工作流，其中密鑰對的私有部分受設備保護并且公共部分被遞送給銀行以用于后續驗證。因此，WebAuthN密鑰可以充當針對EMV物理卡密鑰(例如，有限使用密鑰(LUK)、單用戶密鑰(SUK)和卡主密鑰(CMK))的替代。證明可以由WebAuthN使用getAttestation工作流實現證明以進一步加強計算設備與用戶之間的綁定。

在事務期間，例如利用基于web的商家(即，收款人)，當與WebAuthN兼容的計算設備用戶發信號通知支付意圖時，設備基本上用作收款人的EMV終端。與網站/收款人相關聯的主機向與WebAuthN兼容的計算設備發出生成應用密碼(AC)命令，該命令發起利用銀行的認證。可以利用現有的WebAuthN密鑰對，或者可以進行新的個性化過程以建立信任關系。makeCredential/getAttestation工作流使得與WebAuthN兼容的計算設備在簽署由銀行所需要的事務細節和/或其他專有信息時向用戶挑戰存在的證據。這種挑戰模仿用戶錄入PIN或提供簽名的傳統EMV終端請求。

如果認證成功，則與WebAuthN兼容的計算設備通過WebAuthN向主機生成支付密碼，該支付密碼模擬在傳統EMV過程中支持芯片的卡簽署事務細節的方式。支付密碼可以由收款人用于支付授權以接收資金。備選地，與WebAuthN兼容的設備可以將支付密碼直接地遞送給銀行，以由此模擬EMV終端的操作。

可以定制和定做給定的WebAuthN實現以滿足特定需求。例如，金融機構可以動態地或自動地施加特定的安全措施，諸如某些加密方法，并且執行發起事務的計算設備的分析。與EMV標準相比，WebAuthN還可以支持更高的安全性。例如，由于嵌入式芯片的存儲器和處理限制，傳統的信用卡或借記卡通常是受限的。相反，WebAuthN API可以在具有用于安全性的專用硬件(例如，密碼處理器)的完全配備的計算設備上被實現，并且可以通過網絡而被更新。WebAuthN因此支持與EMV的功能同等，同時跨多個電子商務場景提供更多靈活性和安全性。