[發明專利]一種基于地理位置的可認證的二維碼支付方法

在審

• 申請號: 202011456138.4
• 申請日: 2020-12-10
• 公開（公告）號: CN112561517A
• 公開（公告）日: 2021-03-26
• 發明（設計）人: 方黎明;李明慧;李陽
• 申請（專利權）人: 南京航空航天大學
• 主分類號: G06Q20/32
• 分類號: G06Q20/32;G06Q20/38;G06Q20/40
• 代理公司: 南京經緯專利商標代理有限公司 32200
• 代理人: 姜慧勤

本發明公開了一種基于地理位置的可認證的二維碼支付方法，該方法可以生成含當前支付的位置信息的支付二維碼，并使用基于身份的簽名保證二維碼的可信度，以達到防止二維碼被盜用。當用戶使用二維碼支付時，移動端首先使用私鑰對由消費者賬戶、當前支付時間、當前支付地點組成的三元組進行基于身份的簽名，并根據該三元組生成二維碼。商家解碼并驗證簽名，當且僅當生成二維碼時間、地點和消費時間、地點在度量上彼此接近時，商家方可將支付信息發送給支付服務商。支付服務商分別驗證簽名、時間、地點，只有符合一定閾值才能交易成功。每個支付二維碼在生成時都和特定的位置和時間相關，因此可以抵抗攻擊者的惡意行為。

技術領域

本發明涉及一種基于地理位置的可認證的二維碼支付方法，屬于信息安全技術領域。

背景技術

隨著城市物聯網的發展，移動支付已經成為主流支付方式，在全球范圍內擁有9.6億用戶，較為常見的就是二維碼支付。為了保證二維碼支付的安全性，目前業界常用的是基于時間的一次令牌，支付令牌僅有一定的存活時間，這可以防止重放攻擊。然而，便捷的支付方式卻隱藏著不安全因素。由于二維碼只是一種數據的表達方式，攻擊者可以發起攻擊來嗅探截獲支付二維碼。攻擊者可以使用任何一款掃碼工具解碼出其中的包含的數字，然后再用任意一款二維碼生成器將數字恢復成可被POS機解碼的二維碼。因此，二維碼本身不具有加密功能，只是從視覺上隱藏了用戶的支付隨機數。一旦被攻擊者獲得，意味著他擁有某人的電子錢包用于支付費用，并且不能在限定時間內撤銷。出于攻擊成功的概率和隱蔽性的考慮，攻擊者往往更愿意將截獲的支付碼用于離受害者很遠的商家。在這種異地支付攻擊策略的模型下，攻擊者不僅僅可能是惡意第三方，還有可能是惡意商家。如果商家是惡意的，那么當商家獲得支付者的支付碼后宣稱該支付失敗，然后將該支付碼傳遞給他的同謀攻擊者使用該支付碼。因此急需一個改進方式來確保在該情況下二維碼支付的安全可靠性。

發明內容

本發明所要解決的技術問題是：提供一種基于地理位置的可認證的二維碼支付方法，每個支付二維碼在生成時都和特定的位置和時間相關，確保支付過程中的靈活性和安全性。

本發明為解決上述技術問題采用以下技術方案：

一種基于地理位置的可認證的二維碼支付方法，包括如下步驟：

步驟1，消費者在注冊時生成唯一消費者身份號AID，并根據消費者身份號AID生成消費者簽名私鑰sk_p，同時將消費者身份號AID上傳至支付服務商；

步驟2，商家在注冊時生成唯一商家身份號SID，并根據商家身份號SID生成商家簽名私鑰sk_s，同時將商家身份號SID、商家地理位置loc_save上傳至支付服務商；

步驟3，支付服務商對消費者身份號AID、商家身份號SID和商家地理位置loc_save進行保存；

步驟4，消費者在支付時獲取當前地理位置loc_p以及支付時間Time_p，根據步驟1生成的消費者簽名私鑰sk_p對由消費者身份號AID、當前地理位置loc_p、當前支付時間Time_p組成的三元組{AID,loc_p,Time_p}進行簽名，得到消費者簽名σ_p，并將{AID,loc_p,Time_p,σ_p}編碼成二維碼；

步驟5，商家通過POS機掃碼并解碼二維碼，通過解碼得到的AID驗證消費者簽名σ_p，當簽名驗證通過，且消費者支付時的地理位置loc_p與商家掃碼的地理位置loc_s、消費者支付時間Time_p與商家掃碼時間Time_s均滿足條件時，進入下一步，否則輸出錯誤符號，終止交易；