专利名称：安全服务网络的制作方法
技术领域：
本发明涉及安全的电子信息交换网络，它使用具有在参与者之间 提供私有双向安全的参与者网关的服务基础设施。身份鉴别、授权和 加密通过单一参与者网关，可选的是全球网关来管理，所述网关处理 与参与者和/或域相关联的唯一参与者标识符。
背景技术：
因特网的当前缺点包括缺少服务质量、冒名用户攻击(黑客)、 没有全球身份鉴别和授权的标准、缺少统辖所需的服务水平的实施和
工具、缺少标准的应用实施方案和报告，以及缺少担保传递和状态报 告，不一而足。因此需要有一种网络解决方案，提供因特网的益处， 比如灵活性、动态性和最终用户可控性，而没有上述缺点。
进一步需要建立公共服务基础设施，它集中针对现有因特网模型
中的不足，支持标准IP网络上更高级别的通用性，以便能够以性价比 和非限制性方式实现安全可靠的连通性(一对一； 一对多；多对一；
多对多)，
虽然存在着许多专用技术比如VPN、防火墙、身份鉴别和加密 协议，表面上提供了安全性，但是没有任何解决方案能够充分适于提 供针对现有因特网缺点的安全服务网络。本发明提供的安全服务网络 环境以当前不具备的方便方式支持信息共享。
发明内容
本发明的安全服务网络(SSN)提供的解决方案和处理框架，在 新的或现有的基于IP的网络基础设施之上的不同组参与者之间快速 简单地建立了受信任、被授权、私有和加密的连接。本发明表示共享
的多功能服务网络(SMFSN )和服务基础设施，能够支持任何私有或 >&共IP基础设施之上范围广泛的安全和私有行为。本发明通过在现有 或新的IP网络基础设施之上补充或添加服务层而提供SMFSN，以跨 越受信任和不受信任的网络连接提供安全实施的服务。
所述服务层在需要时包括完全的加密、身份鉴别、授权和参与者 隐私权。优点包括低成本、低复杂度、灵活性、用户友好和可控性； 公共网络基础设施上的安全服务使全部用户的所有权成本低廉。用户 包括数据供应商、数据请求者和网络供应商。基础设施建立的安全服 务网络包括完全的授权和身份鉴别支持，它们能够实施在或者企业层 次或者本地层次，从而将数据和服务的访问控制传递到所述数据的所 有者和/或中心统辖团体。
网络安全包括加密、隐私权、身份鉴别、服务访问授权、本地服 务访问控制和特权撤回。本发明支持全部形式的网络关系以及实时、 批量、询问和更新功能、服务优先化的质量以及企业和端点管理的安 全。技术设计中面向价值的服务项目提供了服务项目的简化扩展。
本发明提供的转换从固定的点对点专用EDI解决方案到共享的 安全服务网络，对>^共基础设施上的客户、供应商或合作商提供服务。 所述体系结构包括的公共框架用于商务基础设施以及报告、统辖、监 察、安全和记账。本发明在参与者之间提供了实时共享信息的利益， 其中信息的所有者保持着若干独特的能力并控制着所述信息，所述信 息的客户利用与信息价值直接有关的信息，而所述信息的传递者以低
成本收到增值功能。
在任何数量的服务域之间都支持服务定义；定义用户域的方式将 参与者的知识限制为给定域的用户。域建立了具有公共信任关系的用 户团体；在不需要分开的专用网络情况下为用户提供了保护参与者隐 私权的能力。结果，参与者能够定义无穷数量的域。用户可以知道域 成员但却不能知道每个成员能够访问的服务，除非所述服务的供应商 共享这种信息。以这种方式，所述网络的服务供应商就能够为给定域 中的 一名或许多用户公布服务。
域可以由父子关系组成，以便某些服务和参与者可以在全球域 中，而其他的则在全球域的若干子集中。若干域支持对一组用户和任 何数量服务进行合同关系的商业开发。例如，在仅有参与者的域中， 若干服务被定义为该域的域访问服务的一部分，那么这些服务仅有在
访问控制列表(ACL)中定义的域成员才可用。 一个域不能看到其他 域的参与者或服务；典型情况下ACL用于为参与者授权访问域内的 服务。
在按照附图考虑的优选实施例的以下说明中更全面地介绍了本 发明，其中
图1A、图1B和图1C显示了 SSN的一般基础设施，包括网络中 参与者其间的安全服务网关(SSG);
图2显示了适于金融机构的本发明实施例中SSN信息交换和事 务处理功能以及互动；
图3是SSN的示意图，显示了安全和服务网关(即节点)以及 若干下级网络；
图4是SSN实施中所定义关系的实例；
图5是本发明中链接的金融服务SSN实例的示意图6显示了 SSN用户和服务域之间的互动；
图7A显示了支持混合统辖模型的SSN，它以全球实施提供了本 地数据访问控制(在190显示的粗线连接中，基于对等式连接建立了 安全虚拟服务网络连接；纯信道即开放式连接由虚线191显示)；
图7B显示了替代SSN，它以中心故障保险实施支持强本地或分 布式统辖模型； -
图7C显示了 SSN的另一个实例，它以中心服务访问控制和全球 实施支持强中心统辖与实施模型；
图8显示了通向管理网络的SSG或全球安全服务网关(GSSG) 的网络即通信接口的逻辑表达，反映了至少一个SSN接口、 一个参与
者内部接口和一个带外接口，与ssn网络接口隔离。频带外接口用于 支持ssn的安全和管理活动；
图9a、图9b和图9c描绘了样本域和acl树层次，它们能够 实现为ssn中身份鉴别和/或授权协议的一部分；
图io描绘了在ssn实现中建立的安全的虛拟服务网络连接中参 与者之间在l卯的双向连接；
图11以190所示的粗线连接描绘了安全的虚拟服务网络连接， 由ssn在物理ip基础设施上基于对等网建立。安全连接是ssg到 ssg，与物理通道无关。在一个实施例中，仅仅在使用许可证官方所 签署的数字许可证的ssg之间的相互身份鉴别成功协商之后才建立 安全连接；
图12显示了本发明的实施例，其中具有ssg的个人收发器蜂窝 电话在安全的gssg管理的网络中工作，允许由收发器启动的销售点 安全支付，在具有虚拟安全网络连接的全部网络参与者节点处通过 gssg管理的ssg安全地管理。在网络中提供了对商户的商业银行中 借/货、支付、交换、管理和结算功能的互连。如果网络上的全部活动 都与由服务所定义的全部其他通信量隔离和分立，则启用smfsn。 这就允许多种支付类型、产品、服务、应用、用户和功能都运行在同 一物理网络连接上运行，但是为了所有通信量的安全、保密、记账、 sla和适应性需要而保持分立隔离。这也允许跨越汇合网络，隔离地 运行无限多种功能而不改变基础传送。结果是与载波供应商或载波类 型(有线或无线)无关的安全的多功能网络能力，包括横贯私有和包 含因特网的公共网络，具有绝对安全、监察能力以及端到端适应性报 告；
图13显示了体系结构互连的替代配置，展示了用户零售互连与， 商业网络到商业银行的连接之间的关系，从而捕捉、转换、监控、安 全地管理和解决任何零售支付类型或交易；
图14显示了进一步的替代方案，其中蜂窝电话收发器的用户发 起访问支票帐户的pos交易，并且通过与用户蜂窝电话互连的媒介实
施了生物识別和授权安全措施。全部网络交易都是分立、隔离和所述
交易的参与者专用的，正如由本发明的SSN或SMFSN网络上的l艮务 (可以是传统网络上的应用、网络服务或商业功能)所定义；
图15A和图15B描绘了本发明中实施的安全网络体系结构。所 述SSN是一种网络实施，创建和管理任何混合的物理网络上的虚拟安 全服务网络拓朴。以这种方式，所述SSN在任何网络或组合或网络部 件之间，以可信、可靠和可管理的方式保护了各方之间的数字信息交 换。此外在网络上运行的所有设备、应用程序或网络服务都继承了基 础的安全模型，允许在共享的物理网络连接之上创建安全的多功能网
络；
在典型的SSN中，GSSG通过用户接入点处的受管理SSG管理 一对一、 一对多等网络互连。全部管理服务对所有的SSN服务都坚持 相同的安全保护，以确保所有参与者的安全和隐私。正如我们在前面 应用中的定义，支持多个统辖模型。本发明唯一地提供了安全管理网 络服务的能力，上自范围广泛的供应商下到个别设备比如蜂窝电话。 以这种方式，所述网络促进了从与设备供应商无关的无线或便携式支 付设备到市场团体的支票交兑和访问。例如，终端用户可以在支票交 兑点从一列支付类型和支付供应商中挑选，以允许用户利用范围广泛 的供应商的最佳支付和结算机制进行购物以满足给定交易的需要。所 述的功能都能够在同 一物理网络连接上完成，同时保持每种交易类型 和服务的绝对安全，下至供应商特定的交易和服务。此外，所述SSN 允许商户向网络上的任一端点提供多种安全功能和支付类型。以这种 方式，商户或商户的财务供应商提供了绝对安全服务；
图16展示了不同网络之间的SSN管理；
图17显示了在借/货/支付记录或收集设施场所可选地实施的网 络结算体系结构中可用的实时监控实例。实时网络结算(NSS)是在
团体成员之间提供佘额和支付交换的实时观察的结算解决方案；
图18显示了在借/货/支付记录、收集设施场所可选地实施的支付 管理中心(PMC)、企业支付储存库，或者作为网络上的服务，传递
支付的总观察并提供全部的LOB或服务供应商之间全部支付和支付 类型的实时跟踪；
图19展示了支付交换网络的功能。所述支付交换epx是在单一 直通平台上处理、清偿和发送全部支付的支付交换解决方案。网络上 的参与者能够运行它，作为网络上的服务机构或作为网上服务，用于 其他支付和收款人的供应商，通过将多种服务組合成合成服务而允许 创建聚集服务，同时维护先前标识的全部安全要素；
图20展示了 SSN上交易的日志记录细节，尤其反映了为每项交 易所捕捉的信息。对SSN上的全部通信量都记录了通用标识符(UID )、 请求UID、始发者UID和相关UID，并且跟踪和捕捉了附加信息比如 经历时间、日期/时间、响应代码、参与者、第3层映射和消息大小。 该信息是服务和具体参与者所特有的，允许SSN上每名参与者所特有 的隐私和端到端的监察；
图21展示了来自网上服务SSN管理控制台的供应过程窗口，反 映了在任何组合的物理网络之间供应和管理范围广泛的服务、服务类 型、服务供应商和服务请求者的能力；
图22显示了使用本发明的账单支票交兑和支付体系结构实例；
图23展示了本发明提供的端到端支付解决方案。
具体实施例方式
在本发明提供的安全服务网络中，有关系的至少两名参与者通过 安全服务网关连接到网络，并且共享位于一个或多个服务供应商处的 信息、数据、支付、图像等，这些服务供应商在建立了相互信任关系 的 一个或多个服务域内。对于高级别域分区使用信任关系确定信息访 问权限，而对于低级别授权则使用访问控制；在一个实施例中，在若 干域之内或之间设立若干信任关系之前设立了根证书机构(CA),它 签署一个或多个中间CA，后者又签署一个或多个从属的CA。这种体 系支持一对一、 一对多和多对多参与者域和服务定义。
对于给定的服务供应商和请求者或者参与者域，允许通过服务共
享信息的任何IP主干，本发明在其上设立安全虛拟服务网络(VSN) 连接。连接的持续时间是用户可配置的，并其范围可以从不确定到给 定服务请求及其相关联响应的寿命。在SSN的实施例中，为了建立连 接，请求者和服务供应商通过相互的SSL商议彼此进行身份鉴别；如 果身份鉴别失败，将不建立连接。 一旦验证了身份并建立了连接，就 会基于SSG、 GSSG或两者组合中的数据对这个特定请求实施授权。 作为替代，在建立SSN连接时，作为相互SSL协商的一部分，请求 者和服务供应商彼此进行身份鉴别和授权。然后执行该服务。
在一个实施例中，确定授权时首先确定请求者列在全球访问控制 列表(ACL)中，然后确定请求者列在本地ACL中，本地ACL只能 进一步限制全球访问列表。以实时、单传输、块文件或批量数据传递 共享信息，信息可以包括验证、身份识别、图像交换、基于网络的图 像调档。典型情况下网络参与者可以包括企业、政府部门、卫生保健 供应商、制造商、零售商、公用事业及其各自的顾客即客户。
例如，图1A描绘了金融服务的实施例，其中SSN中的参与者包 括银行4和银行7、票据交换所5 (clearing house)、商户6、归档1和 信息交换2以及服务供应商3。图1B描绘了安全服务网络堆栈和消息 构造，采用了标准网络服务协议堆栈，基于XML消息，使用HTTP 传输之上的SOAP。所述服务基础设施包括消息协议堆栈、消息说明、 内容、过程模型、路由、异常处理，以及提供XML、 SOAP、 HTTP/S 和TCP/IP管理的集成安全管理函数。图1C描绘了安全服务网关的若 千责任，它被逻辑地划分为若干子系统服务管理、日志(交易事件)、 安全(身份鉴别、加密、授权)、请求处理器、服务调用器、服务实 施、资源适配器以及数据访问。
在图2中，实例中使用了 SSN实例或全球SSN上的域——IP连 接200，其中SSN将机构的内部功能和数据210链接到外部市场220 作为通过SSG 10的若干服务和服务域。在银行节点的内部包括分行、 呼叫中心、ATM、网上银行和财政服务，提供了一种或多种支票确认、 帐户确认、身份确认、货款服务、充足资金、现金服务、远程支票接
收、网上结算、ACH、电^L服务和担保基金。SSN安全服务网关SSG 10允许机构通过展示现有的和新的商务功能而从这些资产中产生收 入，作为对外部顾客220服务的付费，比如银行到银行、银行到公司 客户、银行到零售客户、银行到小商家、银行到政府、银行到其他实 体等。为若干市场比如公司、对应的银行、小商家、网上结算、大银 行、小银行、联邦储备系统等创建了安全、可伸缩、可靠和灵活的数 字信息交换。
更确切地说，在图3显示的一般实例中，SSG 300a、 300b、 300c…300n包括安全代理360a、 360b、 360c…360n和月艮务接口 350a、 350b、 350c…350n，允许身份鉴别和/或加密，向服务370a、 370b、 370c…370n提供授权。在每个SSG处都保存着服务供应商和服务请 求者之间给定SSG的全部活动的日志。SSN 330上的参与者可以是经 过其SSG的请求者、服务供应商或双方。每个SSG都提供请求处理 器、服务调用器、服务实施、资源适配器、数据访问层和安全层作为 功能部件。SSG中处理的消息至少包括(1)由SSN向服务接口分配 的唯一名称标识符，(2)唯一标识来自SSG请求的请求通用标识符， 以及(3 )发起该请求参与者的唯一标识符。请求参与者与提供信息参 与者之间的策略可以可选地确定请求参与者对供应商的SSG以及结 果服务和数据的访问权限。
在金融系统的实施例中，安全地提供了若干服务，比如支票确认、 帐户确认、身份确认、货款服务、充足资金、现金服务、远程支票接 收、网上结算、ACH、电报服务和担保基金服务。SSN上的服务(l) 实时确认提取支票的帐户是否存在；(2)确定帐户状态和所有者；(3) 在一方可选地对参与者的子组授权传递支票金额；以及(4 )传递并存 档清偿和结算的一幅或多幅图像，从而实现支付。
图3的SSN 300中互连的全球安全服务网关(GSSG) 380除包 括全球服务代理之外，还包括(1)网络上可用服务的目录，(2 )创 建和存储有关参与者连接信息的记录系统；(3)服务统计的编辑；(4)
用于支付和验证的装置；(5)用于文档和/或图像交换的装置；(6)用于身份鉴别的装置；(7)事务处理监察和记录功能；以及(8)链 接到网络的活动记账功能。在SSN 300内，服务域可以包括无限组服 务和参与者，在IP基础设施之上向具有所定义的一对一、 一对多、多对多关系的参与者安全地提供信息。管理和/或支持功能比如监察、记 录跟踪和报告都是服务基础设施层的一部分，由参与者的SSG和一个 或多个GSSG实时地或在给定时间阶段中实施。
如图3所示，SSN330在每位参与者与该SSN和GSSG380的接 口处包括SSG300a…300n, —个或多个服务域，每个域都具有一种或 多种服务370a…370n，与安全、管理和支持功能连接以提供信息共享， 包括所拥有的信息、所使用的信息和所传递的信息。系统中所共享的 信息特征不受限制并可以实时地传递，作为单次传输、以块文件传输 或批量传输。简而言之，SSN是包括两位或更多参与者的网络，参与 者之一提供至少一种服务。若干参与者与其他参与者交流，比如一组 参与者与一组服务供应商和/或请求者交流。通过位于每位参与者处的
SSG建立与体系结构网络的连接。
图4中的椭圆410a…410n代表若干团体，比如提供服务的一位 或多位参与者("供应商")420a…420n，他们与网络中参与请求服 务的参与者("请求者")430具有共享的信任关系。多位请求者比 如430可以是网络中的参与者。请求者430也可以是供应商比如 420a…420n，反之亦然。供应商420向一位或多位请求者430提供商 务功能的服务。正如安全伞410所描述，请求者必须得到显式授权才 能访问服务；可以局部地和/或中心地管理授权。除了受到身份鉴别和 被授权使用网络中供应商的服务的参与者以外，所述商务功能对所有 其他参与者都保持不可见。参与者可选地发布该参与者在参与者域中 提供的若干公共服务。参与者可选地发布一位或多位请求者和/或域专 有的若干服务。所述参与者根据关系比如域中参与者与请求者之间的 安全伞410a…410n限制请求者访问若干Ji艮务。如图4所示，任何参与 者服务供应商420a. ..420n都与 一位或多位请求者430创建安全的唯一 关系410a…410n。参与者服务供应商420a不知晓其他供应商420n，
除非后者与请求者430具有的关系同意。
在图4的实例中，请求者A 430可以与服务供应商A 420a具有 唯一的关系，并且也与服务供应商B 420n具有唯一的关系。每位服务 供应商都不知晓另 一位供应商，除非后者与该请求者具有的关系同意； 任何一位服务供应商都能够与一位或多位请求者具有唯一的关系，使 得服务灵活，保护唯一关系和成本模型。例如，对服务请求者A，服 务供应商A可以提供区划的信息、操作警报和实时数据馈入。服务供 应商B例如可以提供恐怖分子名单验证、社会安全号验证、OFAC列 表、报警和其他服务。政府应用中的样本请求者和供应商包括FBI、 地方政府、国土安全部、DOE、 NAS、 INS、州当局等。
在概要中，SSN功能包括通过WDSL和若干对象的服务创建和 域管理、WSDL分配和一族基础设施服务、主ACL维护和ACL分配、 服务运行时的记录和域管理、PKI证书管理、请求者与供应商之间的 相互SSL证书验证、证书废除列表服务(CRL)、消息确认、XML 模式支持、主ACL及本地ACL角色和特权的管理、以及基于JCA 的记录系统集成。
SSN管理包括(1)服务等级报告本地和全球报告的管理服务、 SLA增强、使用和记账功能、争议的解决方案、实时状态、利用和规 划；(2)性能监控比如端到端的监察、用于每个主要部件的Hop等 级数据、SNMP集成、JMX、对传统系统进行监察的代理ID;以及(3) 安全报告和管理，包括安全代理日志积累，授权证书和密钥生成与分 配，证书废除列表服务(CRL)。在SSN的管理中，网关和域的活动 包括服务实施、安全代理、全部请求和响应的管理以及ACL增强和 组件的响应时间。全球活动包括来自每个SSG和GSSG的活动积累以 及端到端的报告和记账。
SSN GSSG管理包括发现服务参与者的登记和查询、记录系统的 连接性管理和服务统计，比如支付款项验证、文档/图象交换和身份鉴 别、交易监察日志和活动记账。
SSN网络安全由加密提供并包括(1)由相互身份鉴别的网络访
问权限和用户身份鉴别、PKI基础设施和私有密钥分配；(2)涉及本 地和/或中心ACL增强的服务访问授权(数据拥有者保持对访问权限 的完全控制)；以及(3)证书废除(CRL) 。 SSN还提供了可插入 的框架以支持XML证书、DES等。
在一个实施例中，通过SSN统辖增加服务时，各方约定标准化 的消息。该消息由XML模式定义；WSDL用于定义要交换的SOAP 对象；WSDL模式分配至参与者。此外，还分配了在参考平台中要部 署的JAVA对象。在WSDL中，分配了授权ACL信息；参与者负责 证实什么人能够访问什么服务；参与者然后在安全代理中加载已证实 的ACL。安全代理的管理可以转包和/或远程执行，与具体SSN实施 的需求保持一致。
在图5所示的SSN中，SSN补充了由设备在网络的IP层次所提 供的额外安全措施，比如路由器51、交换机52和防火墙53 (如由图 中所附图例所示)以及其他VPN设备，包括硬件和软件的组合。本发 明集中了对多种安全设备的管理，并且集成了网络上的若干策略。本 发明包括共享的多功能服务网络中基于角色的安全和控制。基于角色 的安全根据参与者在SSN中的角色、活动和功能实施身份鉴别和授权 过滤。网络包括在SSN中互连的一个或多个SSG。 SSG或集成节点 由每个网络连接点处的安全层和服务接口组成。在图5中，每个SSG 555都进一步地连接到参与者的记录系统(SOR)510、 512和514。
SSG经由被逻辑分区为子系统或层的SSG将每名参与者都连接 到网络。所述子系统由若干链接组成，其中SSG基础设施为与SSG 互动的全部动作创建每个事件的日志和管理服务。这包括SSG方，也 包括将SSG方集成到参与者私有网络的集成方。所述层包括安全、请 求处理器、服务调用器、服务实施、资源适配器、数据访问和HTTP/SSL 代理。
SSG处的安全措施包括身份鉴别、加密和/或授权。在一个实施 例中，通过SSL、 SOAP之上的一种或多种轻量级目录访问协议 (LDAP)而提供ACL安全措施，使用了 SSL加密的、彼此相互身份
鉴别的会话(HTTPS )之上交换的超文本传输协议(HTTP ) 、 HTTP 之上的SOAP、 Java远程方法唤醒(RMI )、因特网ORB间协议(HOP )、 Java数据库连接(JDBC)等。安全层先在目录中进行授权检查，再 允许参与者访问网络并通过第二位参与者的内部防火墙进一步访问第 二位参与者的SSG。安全基础设施使用开放DAP、 LDAP和/或SSL 和开放SSL，经过PKI、数字证书和ACL支持ID和目录管理。
SSG的请求处理器对连接的参与者进行身份鉴别并确认该参与 者被授权可以执行给定的请求。如果确认成功，那么请求处理器便定 位与指定URL相关联的服务，并且允许参与者访问该服务。SSG的 服务调度者补充了参与者授权和访问的已定义类，以便控制请求者访 问数据的过滤。若干分层类被配置为确定处理环节。资源适配器将每 个节点都连接到网络参与者方。SSG的数据访问组件根据授权提供了 对网络中若干数据库的访问权限。
SSG的服务实施功能处理来自参与者所供应服务的事件，同时跟 踪支持功能。供应商能够与网络中供应商的请求者建立共享的信任关 系。请求者也可以是供应商，反之亦然。供应商向一名或多名请求者 提供信息或者供应交易即商务功能；请求者必须被显式地授权访问服 务。本发明支持安全通信和管理的多个统辖模型。除了对经身份鉴别 和授权使用SSN上的域中服务的参与者以外，信息或者交易即商务功 能保持不可见。SSG和GSSG的安全措施部分为安全性建立了公共基 础设施，它对网络上的服务实施是完全透明的。这种方案允许一致的 安全性，同时允许终端参与者对创建、定义和安全分配向任何和全体 参与者的服务保持完全控制。在图3中，网络包括一个或多个GSSG 380，连接到一个或多个SSG 300a...300n。 GSSG 380通过对功能应用 实施优先级，-为参与者提供了有效的网络管理，并且为传统数据创建 了安全的传统集成层。GSSG包括服务创建、服务运行时间、消息验 证以及基于记录系统接口的Java连接器架构(JCA)。这些功能包括 (1 )检索网络服务有关的资源描述以及登记参与者并进行查询的服务 目录；(2)创建和存储关于连接性信息的记录系统；(3)服务统计 的编辑，比如服务状态/通报、确认和完成的统计、事故状态通^L、关 闭统计和投诉统计；(4)支付和验证的装置；(5)文档和/或图像交 换的装置；(6)身份鉴别的装置；(7)交易监察日志功能；以及(8) 活动记帐功能。
SSN是对等式的安全服务基础设施，通过实施和管理过程支持范 围广泛的统辖模型。实例包括强中心统辖模型以及分布式模型，或者 二者的混合。这能够具有完全对等式网络操作的益处，而不将个别安 全控制让给中心统辖中心，它的实现是通过独特的SSN设计，以及全 部服务都分层在服务实施的不同安全设施之上的事实。因此安全措施 是基本基础设施的一部分，所以可以陈述为网络的一部分。SSN(l) 提供了公共的、 一致的实施，中心地和局部地都能够监控和管理；(2) 支持企业安全框架而不需要终端用户将其数据的安全交给第三方代 理；(3)需要时在服务实施层支持附加的安全措施；(4)在应用程 序或服务层中去除对安全的需要，以减少开发中出错的机会；以及(5) 提供公共的实施和增强，支持局部和企业报告和管理。安全措施对每 种服务定义不是必需的，也不是唯一的；安全措施被合并在整体服务 基础设施中，所以变为全部服务的网络定义的一部分而不是由个别服 务功能定义的个别服务。
以下描述了 SSN能够支持的许多统辖和管理模型中的三种。通 过在SSG和GSSG中配置和交换安全特征而实现了支持范围广泛的统 辖和管理模型的能力。
实例I
混合统辖图7A中显示了具有全球增强能力的本地服务和数据 访问控制。参与者节点包括分别具有服务模块700a的服务供应商A 70 和具有服务模块700b的服务供应商B 71，通过安全代理710a和安全 代理710b连接，在本地节点和用户的控制下。在GSSG级别75,包 括安全模块730、具有服务公用程序、主ACL和证书设施740的对应 安全代理720a和720b以及GSSG 380都在中心控制和强化下。这种 布局将绝对的本地数据访问控制给予服务供应商参与者A 70和服务
供应商参与者B 71 (即本地ACL管理和增强)，与中心主体无关。 以710a与720a之间、710b与720b之间、720a与720b之间、720a 与730之间以及720b与730之间的l卯所示的粗连接，都是基于对等 式建立的安全虚拟服务网络连接。纯信道即开放式连接由700a与710a 之间以及700b与710b之间的虚线191所示。在没有中心供应的情况 下不能添加新的服务和域。这确保了一致性和对爭^散整体统辖模型的 依赖性。为了增强它，对本地检查选项的授权存在着中心检查。本地 检查确保中心授权没有提供本地服务供应商不同意由特定用户或用户 域能够访问的服务的访问权限。这意味着本地ACL和中心ACL的检 查对要使用的服务必须是有效的。这种混合方案在本地级别产生了显 著的灵活性，同时增强了标准实施模式并与全球级别基础设施一致。
实例II
图7B显示了具有中心故障安全增强的强本地或分布式统辖以及 具有总本地ACL增强的本地数据访问控制。供应商A 70和供应商B 71在本地的控制下。在这个模型中，没有中心ACL增强；授权完全 由终端参与者管理。不过，在授权之前必须有由GSSG通过证书管理 控制的相互身份鉴别。因而通过证书特权和证书撤销以及域定义仍然 能够增强全球控制。正如在实例I中，A和B的功能、服务实施700a 和700b以及安全代理本地ACL控制720a和720b都在本地节点的控 制下，并且安全代理中心ACL控制730和GSSG 740都在GSSG 380 的中心控制下；不过，在GSSG级别75不存在A和B的对应代理。 安全信道190和纯信道191的互连由各自连线所示。结果，在假设域 存在时，本地用户能够向网络>^布服务，无需在中心ACL中供应。 域增强和身份鉴别仍然中心式地管理；因此，如果观察到了滥用，就 能够阻止滥用用户。
实例III
图7C显示了利用全球增强的中心服务访问控制的强中心统辖和 增强。A 70和B 71的J3艮务实施700a和700b都在本地节点和用户的 控制下；在级别75的安全代理730和中心ACL控制以及其他服务740
都保留在GSSG 380处。安全代理730和GSSG 740都在中心控制下。 安全信道190和纯信道191的互连由各自的连线所示。这个实施例除 了创建新服务和请求从中心授权供应的能力以外，对终端用户提供的 控制不多，或者没有，并且假设身份鉴别和授权受到中心式地管理和 增强。本地安全代理在中心管理和控制下。本地用户能够向中心授权 机构提交服务和域以便在网络上供应。
GSSG包括安全代理服务和基础设施功能并进行网络管理和操 作，比如部署服务、支持和记账。GSSG的管理特点包括参与者登记 和查询、记录系统连接、服务统计、交易监察日志、活动记账、支付 项验证以及文档和图像交换。GSSG管理包括服务级别报告性能监控、 基于开放源码的操作架构、Java管理扩展(JMX) 、 Java管理以及 监察/日志管理。在实施例中，GSSG执行端到端的监察，包括每个主 要部件的Hop级别数据、信息交换集成的简单网络管理协议(SNMP )、 Java管理扩展(JMX)以及用于监察、日志、追踪和跟踪传统系统的 代理ID。
本发明创建任何数量的参与者服务域。在实施例中，网络包括多 个私有服务域，它们允许参与者将若干独特的服务提供给指定的市场、 顾客、提供者和若干类或若千组的参与者。所述构架在任何IP基础设 施之上安全地实施无限组的服务域，同时跨越多种工业提供多元化用 途。服务域支持若干独特的私有关系，包括参与者之间的一对一、一 对多和多对多关系。关系可以是商家对商家、商家对顾客和顾客对顾 客。参与者仅仅知晓他们是其中成员的特定服务域中的参与者，非域 成员不能看到其他域或域通信。端点只能够看到所定义域中的参与者 并与其互动。
服务域包括一种或多种服务。SSN包括增加服务的装置。在SSN 统辖的一个实施例中，网络中连接的各方约定标准化的消息。消息由 XML模式定义。WSDL用于定义要被交换的SOAP对象。WSDL和 所述模式都被分配到参与者。在SSG中JN皮部署的Java对象以WSDL 和所述模式分配。
在图3所示的实例中，参与者通过作为网络中节点30、 31、 32、 33…的SSG 300a、 300b、 300c…300n链接到SSN网络330。连接到 网络的节点数目不受限制。每个SSG都可以可选地链接到系统之内的 其他网络，或者没有系统的网络。每个节点都可选地能够支持在内联 网或其他私有网络上建立的一个或多个子节点，比如310。内部子节 点或子网，比如与人力资源、法律、财务、金融等有关的这些子网可 以同样地需要适合于子网功能的安全措施。参与者可以是服务供应商 和/或服务消费者，并且可以既作为网络上的参与者，又作为一个或多 个服务域的成员。参与者可以是相似的或是混合的市场，并且使用相 同的或不同的应用程序，在公用IP网络基础设施上私有地和安全地活 动。使用本系统的参与者不一定是人员，因为自动的过程和处理也可 以适于在实施例中。
该构架在创建和保护网络中的IP信息包时，是通过所定义的方 法指定要保护的通信、如何保护通信以及该通信向谁发送。使用WSDL 定义服务消息。消息内容类型以其自身名字空间在外部XML模式定 义中指定。将模式定义引入到WSDL服务定义之中。消息内容是字面 的XML。 XML内容是基于模式的，因此可适合于许多方言。服务实 施支持自描述接口的概念，其中SSG可在没有人员干预的情况下由机 器质询并自如地动作。服务可选性地包括一个或多个附件，其方式符 合万维网组织SOAP消息附件(SwA)的规范。这种实践能够符合网 络服务互操作性组织的基本框架推荐。
全部请求和响应消息至少包含三种标识符(1)由SSN向SSG 分配的唯一名称标识符，比如由程序DIGI-FITM所创建的，该程序是 Ohio州Columbus市Synoran LLC公司的产品；(2 )唯一标识来自 SSG请求的请求通用标识符(RqUID);以及(3)起始点通用标识 符点(PoUID)，它表示附加到SSG的参与者内部网络域内请求始发 者的唯一标识符，该SSG附着到SSN上的域。当消息中包含这三种 标识符时，它们唯一地标识着网络中的请求和响应对。这种信息的存 在也用于在整个SSN上的报告、管理、安全、记账、监察、攻击追踪、失败尝试等。从每个SSG记录和报告的信息都能够在GSSG处积累和 报告。这就能够有各种活动的全局观察，同时保持所有参与者的隐私。 服务基础实施包括消息协议堆栈、消息规格、内容、处理模型、 用于路由和意外处理的装置以及至少一种集成的安全和管理功能。协 议堆栈包括使用标准网络服务实施的消息构造。消息构造采用标准的 网络服务协议堆栈，基于HTTP传输之上SOAP中的XML消息。每 位参与者的服务族都使用WDSL和对象进行定义和创建。在一个实施 例中，在参与者是SSN上服务供应商时，授权留给每位参与者。在这
种情况下，参与者负责批准谁能够访问他们的各项服务。这就允许每 位参与者个别地控制对若干服务的访问，而不需要由所有参与者都必
须赞同的苛刻服务定义和实施过程。本实施例允许每位参与者创建、 开发和部署服务，与网络上的其他参与者无关。另外，允许每位服务 供应商定义若千域以及参与者对该供应商所提供服务的访问权限。每 位参与者然后在其SSG中加载已批准的ACL; SSG的管理能够内部 控制或外包。
在一项实施中，信息共享期间的会话以PKI证书管理，其中相 互的SSL身份鉴别在请求者与参与者服务供应商之间完成。该架构通 过CRL实施而撤销证书。支持分层证书管理和ACL管理以允许在同 一网络上的灵活服务和域定义。因此，本发明在公用网络基础设施上 提供了真正的多功能服务。可以有多个域、服务和参与者，都在同一 IP主干上。使用XML模式支持以验证消息。在一项实施中，主ACL 和/或本地ACL定义参与者的角色和/或特权。实施可以基于本地 ACL、主ACL或混合的ACL验证。进行验证时通过确i人允许了给定 的服务请求者经过在一个或多个ACL中定义的若干特权访问该服务。 本发明提供的能力在不对网络上的其他参与者引入安全风险的情况 下，提供了本地ACL增强和控制。
SSG和GSSG提供的集成层允许对新的或现有系统进行快速集 成。这包括经过若干公用标准的集成，如JCA、 Java消息服务(JMS)、 MQ、外部调用接口 (ECI)、远程方法启用(RMI) 、 JDBC、应用
程序接口 (API)等。样本服务包括但不限于确认、身份鉴别、图 像交换、基于网络的图像归档和检索以及远程图像捕捉。确认过程能 够进行信息实时验证、信息和图像处理以及确保降低电信成本、图像 一致和保证质量。该网络提供了多种类型图像的交换，其中串接了许 多过程。
为了满足隐私权的需要，该架构支持字面数据交换以及解释后的 数据交换。例如，支票验证服务可以包括帐户、帐户所有者、可用资 金等的详细查询。不过，因为隐私需要，网络上的应答可以包括也可 以不包括这种细节。应答可以只提供是或不是、得分、信用等级等。 本文介绍的架构因此保护了帐户所有者的隐私并满足了某些业界中保 密法律的需要，但却仍然传递了请求者做出决策所需的关键信息。另 外，能够为给定的活动集定义服务，并且这种服务的解释能够专用于 所述请求者和/或供应商或者这些参与者的唯一关系。
数据和处理流可以是上下文特定的，其中上下文定义超出了消息 中的数据。做到这一点可以根据供应商与请求者之间的关系，并且能 够构造为适应某域以及某域或域集中某给定角色的关系。此架构的独 特能力是定义某服务，它对SSN中用户团体公开，而从数据和处理流 的观点都能够作用不同。例如，请求者A (银行)对供应商B所提供 服务的请求可以依据数据进行不同的解释，所提供的处理流不同于从 请求者C(例如不同的银行或汽车经销商)向供应商B的相同服务请 求。这个特点允许对给定请求的服务解释是上下文特定的，其中上下 文需要的不止请求中的数据。
本发明可以取决于使用SSN安全层中的域选项以及角色选项在 至少二维度量中所定义的关系。这就允许在响应请求时服务供应商方 的处理环节灵活且随请求者特定。它也通过权衡对服务中数据或者由
来自特定请求者的服务实现和实行所定义关系允许做进一步解释的其 他统计数据，允许服务实行对与特定服务活动相关联的风险或成本特定。
通过建立SSN上的参与者身份和请求者能够请求身份服务的SSN上的服务，身份鉴别在范围广泛的环境中贡献了价值。根据SSN 上的参与者团体可用的数据，能够进行服务请求以确认身份。这就允 许参与者根据从SSN上或给定SSN域中的全部服务供应商的可用数 据验证身份。实例可能包括对照顾客在银行、联邦政府、州车管局、 法院记录等处的文件信息查证顾客信息。 一旦鉴别了参与者即个人， 就能够对该参与者实施某规则。这种规则包括为给定请求授予权限和 特权一—典型情况下包括根据每位参与者在网络中的权限对安全区域 和/或私有信息限制访问权限。鉴别参与者的身份确保了对服务的访问 资格并确保了参与者的隐私权。使用身份管理系统的参与者从包含身 份信息的网络上的一个或许多位置实时地查证信息。本架构为身份鉴 别可选地创建新的知识库。在本发明的身份鉴别功能下，利用了 XML 记录；XML记录足以灵活地应付各种各样的基于网络的身份解决方 案，包括驾照信息、生物信息捕捉和数据共享。连接本发明后，参与 者配置若千策略。SSN中的每位参与者都与该SSN具有已定义的关系， 它对于域、域组、各项服务或服务组可以是唯一的。
服务域以继承的信任关系划分为若千域等级。域划分是灵活的。 在一个实施例中，信任关系经由证书机构(CA)的等级确定。为了建 立信任关系，网络首先创建可信的根CA。域中信任关系由划分和使 用中间CA而确定，它们每一个都由所指派的根CA所签署。每位参 与者的起始于其域的数字证书都由中间CA签署。访问控制经由服务 ACL的等级实施。域参与者必须以签署的CA受到信任以得到对SSN 中信息的访问权限。所有的请求者都必须被ACL授权，它可以适用 于多项服务和多个供应商。实例IV介绍了参与者与服务域的互动。
实例IV
-如图6所示，在域610中，供应商650对请求者640和请求者670 具有可信的关系并提供一种或多种服务。在域630中，供应商660与 请求者670具有可信的关系并对其提供一种或多种服务。在域620中， 供应商650与请求者660具有可信的关系并对其提供一种或多种服务， 它们可以与向请求者640或请求者670提供的服务不同也可以相同。
参与者之间的信任关系经由CA的等级确定。创建根CA以签署所有 参与者的证书。在这个实例中，为域610创建中间CA，它由根CA 签署。域610中间CA为参与者640、 650和670签署CA。供应商650 与请求者640和请求者670之间的信任关系经由参与者域610和中间 根CA而建立。同样，域630的中间CA由根CA为该域签署。域630 中间CA为参与者670和660签署CA。为了一种或多种服务在供应 商660与请求者670之间的信任关系经由域630中间和根CA为该域 建立。
在域620中，由才艮CA所签署的域620中间CA为参与者650和 660签署CA。为了一种或多种服务(它们可以不同于提供给请求者 640和请求者670的服务)在供应商650与请求者660之间的信任关 系经由参与者、域620以及中间和根CA为该域建立。参与者之间的 访问权限由ACL确定。根CA签署所有参与者的证书。
在域610中，供应商650确定请求者640或670的真实性时通过 对比该请求者与供应商650与请求者640和请求者670为其具有关系 的服务的ACL。在这个实例中，请求者640和请求者670被列在所请 求服务的ACL上。
在域630中，供应商660确定请求者的真实性时通过对比该请求 者与具体服务的ACL。请求者670被列在具体服务的ACL上，而参 与者640却没有。在域620中，供应商650确定请求者的真实性时通 过对比该请求者与某服务的ACL，它不同于提供给请求者670的服务； 请求者660被列在该不同服务的ACL上；参与者670却没有。
SSN通过结合信任与访问控制而提供灵活性，并且对高层次域划 分使用信任关系，对低层次划分使用访问控制。本发明中通过结合全 球和本地控制而管理访问权限。这就提供了对等式网络解决方案的益 处而不损害安全和统辖。全球访问权限通过商务关系定义并经由服务 ACL确定。参考图3所示的SSN，全球或中心ACL存储在由系统管 理的GSSG 380中。本地访问权限由每种商务关系中的供应商定义， 并经由在安全模块360a...360n中每位参与者的SSG 300a…300n中存
储的服务ACL确定，根据所期望的统辖模型进行本地和/或中心管理。 授权是全球式的，然后是本地式的或者是两者的任何组合。请求者必 须列在GSSG 380里所保持的全球ACL中以及模块360a...360n内所 示的SSG 300a…300n中所保持的本地ACL中，以4更获得通过接口 350a…350n访问供应商的服务370a…370n的权限。本地ACL可以可 选地进一步限制GSSG中的全球访问列表，结果为本地服务供应商提 供了对其服务和数据进行访问的绝对控制。
本发明可用于若干应用的多种市场，比如金融服务、政府(包括 国土防卫、国家安全、战场)、卫生保健、制造业、零售业、多种商 家对商家和商家对顾客社团、商业公司、具有复杂组合结构的大公司、 小商家、供应商、消费者等。在实施例中，本发明能够为单一最终用 户实施为独立设备，比如调制解调器，如同到网络连接的接口。典型 情况下，参与者是供应商，在基于IP基础设施的网络上出售服务。随 着对安全和身份欺诈的关注日益增长，SSN能够实施在单一计算机用 户处，用于一对一、 一对多或多对多方式的安全信息交换。
供应商可选地对交付销售、调度和操作支持提供机构管理。供应 商可选地是商品信息或金融服务的提供者。在实施例中，供应商使用 了该架构实现指定业界内的SSN。供应商的服务可选地产生点击收入， 其中最终用户根据使用每项服务而支付。服务驱动了对商品的需求， 并且又增加了供应商的产量和收入。作为替代，供应商可以基于消费 而产生收入，方式为基本费用加上消费费用、统售价格费用、非现金 服务交换等。
SSN的益处是能够允许参与者以安全的方式定义、建立和开展服 务而商业功能却完全自由，允许参与者轻松地引入新的服务和用户团 体以支持商务关系的快速低成本扩展。服务的请求者可以基于使用而. 得到对数据的访问权限而不需要大的预先成本或投资。如此，SSN启 用了独特的商务模型，它具有因特网的灵活性而克服了现有技术安全 性和可靠性缺陷的特定缺点。
在图1A和图2描绘的金融服务实施例中，参与者包括所有类型
的金融机构、商户、消费者、顺应实体等。图1A描绘了在SSN中通 过每位参与者处的中间SSG 10交换敏感的金融信息。在连接到SSN 的节点之间交换信息，比如显示为图像归档1的服务供应商、信息交 换2和其他服务供应商3、银行4和银行7、票据交换所5以及商户6。 本文使用的"银行"包括全部类型的金融机构和金融服务、支付供应 商； 一般来说，发起和参与金融交易或支付过程的任何公司或机构。 互动包括银行对银行；银行对法人顾客；银行对零售顾客；银行对小 商家；银行对政府实体；银行对其他；等等。共享的信息可以包括批 量或实时模式的支票图像、图像更换文件(IRD)和MICR数据。
在图2中，全球SSN 200上的SSN或域用于若干金融服务，其 中通过陈列为SSN内的服务和服务域而将机构的内部功能210和业务 分支211链接到外部市场220。如图2所示，外部市场参与者220包 括公司、对应的银行、小商家、网上结算供应商、大银行、小银行、 政府实体比如联邦储备局、FBI等。为了访问服务，服务供应商必须 授予请求者或请求者域的访问权限。这就允许请求者以非常少的投资 或无需预先成本而得到对新数据源的访问权限，并且它允许服务供应 商陈列在市信息场中独特差异化的新服务。通过在SSG和GSSG处可 用的报告和管理，能够陈列这些服务并按使用情况记账。
SSG陈列了参与者的预存在商务功能，例如，正如210中所示， 作为对例如在220所标识的类别中外部消费者的"补偿"服务。参与 者——比如图2中描述的银行——的内部商务功能包括但不限于支票 确认、帐户确认、身份确认、货款服务、充足资金、现金服务、远程 支票接收、网上结算、ACH、电报服务以及担保基金。如先前所述， 服务不必对每项请求都返回字面数据；这种数据的解释或变化将保护 顾客的隐私。另外，对于相同的服务能够改变服务供应商方的处理环 节，从请求者的角度却不改变服务。这就对支持多种记账和服务模型 提供了灵活性。一种实例可以是为了确认支票而请求的支票确认服务; 服务供应商可以根据请求者和支票金额而在内部执行不同的处理环 节。以这种方式，服务供应商就能够将例如以供应商愿意承受交易风
险的费用或努力程度或者交易价值确定的处理总量链接在一起。这是
在SSN的范围中本发明的独特优点。
例如，低价值的支票需要的数据可能仅仅涉及顾客已经与银行交 往的持续时间以及该帐户处于有效持续期。相反，对于高价值的支票， 服务供应商可能附加确认在帐户中有充足资金足以支付该支票。服务 供应商甚至会可选地控制着这些资金。能够做到这一点而不改变从请 求者角度的服务实施是SSN所实现的强大而独特的功能。所提供服务 的成本和价值可以个别地定制以容忍风险。
图5描绘了 SSN在金融服务领域的实施。若干参与者——银行A 501和4艮行B 502、网络结算服务供应商503以及以配备了安全代理 506和具有管理服务模块508的服务接口 507的GSSG 555都由来自 SSN的SSG 555连接在SSN域中。SSG可以可选地具有子网，比如 银行分行520，它可以可选地由支付出纳员521或同事522进行访问， 正如图5中对银行5的描绘。子网可以是内联网或单一源。除了 SSN 提供的安全层以外，每位参与者还由连接中的防火墙所保护。SSN中 的参与者中间的每个SSG都包括安全代理和在每个网络连接点处的 服务接口。 SSN域中的每个SSG又进一步地连接到参与者的记录系 统对银行A,是支付企业服务器510;对银行B，是记录系统服务 器512;对网络结算供应商，是网络结算服务器514。
4艮行A和银行B安全地共享可以可选地通过若千子节点得到的 信息，以便(l)通过支付银行出纳员确认帐户、支票书写人的身份以 及帐户是否包含充足的资金；以及(2)进行货款服务、现金服务、远 程金融文书接收等。图5中描绘的网上结算供应商可以广义地定义为 票证服务(treasury service )。银行A 500a与银行B 500b以票证服 务互动以实现电子资金传递，比如网上结算、支付和清偿、ACH传递、 电报传递以及资金担保。ACH传递可以包括直接存入薪金总额、社会 保险、政府津贴、退税、直接支付顾客票据，比如抵押、货款、公用 事业票据、保险费、商家对商家的支付、电子支票、电子商务支付、 联邦政府、州和地方税收支付等。
使用双方信任关系安全选项的适宜变化，银行通过创建安全的代
用可协商文书(IRD),可以确认金融文书和顾客的身份、担保支付 以及支票21中的参与者、便于进行支票舍位的法律，从而允许银行对 原始支票舍位并对支票信息进行电子处理。使用系统确认可协商文书 比如支票的参与者，(1)实时地证实制定所述文书的帐户存在；(2) 确认帐户的所有者和状态；(3)可选地对参与者子组授权文书金额的 传递，比如"on-we，，处理，其中若干银行相互同意在托收银行对金融 文书舍位(truncate) 。 4吏用支票21处理系统的参与者传递金融文书 的图像以进行清偿和结算。
应当通过缩短支票交兑、清偿与结算之间的时间滞后而减少支票 舞弊。因此，本发明SSN服务提供的独特和灵活机制支持金融服务中 的直通处理，通过允许金融机构以实时或近乎实时的结算和清偿提供 远程支票接收，向公司顾客提供了显著的商业价值。SSN为金融机构 提供了低成本的灵活、私密、安全机制，将这种功能传递给范围广泛 的顾客。相反，现有技术的传统方式要求支票专用网络或点到点专用 网络。SSN提供的对等式SSN能够执行多种多样的功能，在网络上展 示为若干服务。
金融实施例中的服务包括确认、身份鉴别、舍位的支票图像交换、 基于网络图像归档等。交易确认允许实时地确认交易信息，比如(l) 将活期存款帐户(DDA)的帐户信息链接到银行出纳员和零售环境的 能力，(2)在支票交兑的银行出纳员和零售点处呈现商业票据的能力， 以及(3)筒化商户/银行出纳员参与的能力。在所述金融实施例中， SSN提供了多种类型的图像交换，简化了舍位过程中的商户参与；身
份鉴别预防了舞弊的支付交易和身份盗用，同时限制了对安全区域和/ 或私有信息的访问。
在参与者是政府实体的实施例中，所述架构用于(l)遵守用 于国土安全的国家安全规范，比如支持基础设施和网络安全的区域联 盟(RAINS)和信息共享的开放规范(OSIS)，以及利用容易集成到 现有传统系统的安全网络服务族的其他新兴规范；(2)军事用途，比
如命令和控制以及情报收集、评估和传播；(3)敏感分类信息的共享 和交换，比如情报和特殊军事行动；(4)本地和区域政府信息的上传
和共享，包括执法和国土安全部；以及其他政府信息和服务。
卫生保健用途包括(l)患者安全，可选地适于生物测定数据， 包括患者确认以及过程和处置确认；(2)设备监控和远程监控；(3) 受控物质供应链证明；(4)记账、支付、结算、清偿，以及便利保险 索赔和支付；(5)对患者记录的访问权限；(6)远程卫生保健；以 及(7)图像交换。
保险业的用途可以包括(l)顾客、订约人、保险商等的索赔 报告和更新；(2)记账、支付、结算和清偿；以及(3)顺应事项。
在零售应用中，该架构用于(1)支票交兑点接收和端到端的 电子支票处理；(2)让受方服务，包括提供单源解决方案，用于传递 商户信用卡和签帐卡的若干服务，比如信用卡、签帐卡和支票的综合 授权网络；(3)电子数据接收，合并了零售商的与软件组合的授权构 架的若干能力，以使整个传输都能够电子化地接收并且能够传输增值 信息；(4)因特网支付和处理服务；(5)允许零售商记录若干活动 的结算帐目系统；(6)意外处理，包括销售票据的检索和费用返回决 议；(7)欺诈监控；(8)为零售商定制的增值应用，比如餐馆、寄 宿和直接市场；以及(9)身份确认。
公共事业，比如电力、电话、天然气和电报供应商可以使用该架 构等用于(l)在销售设施、产生设施、供应者、贸易伙伴、顾客和 政府调控者之间进行本地和区域的信息共享；(2)安全措施；以及(3) 顺应性。
因此，本发明可选地为已定义的空间提供安全的交易网络，比如 使用现有基础设施之上分层机构的大都市区域。在大都市的金融网络 中，SSN可以提供交易确认、身份鉴别、图像交换、代理银行处理、 "on-we，，清偿和结算。大都市交易网络的实施例包括一个或多个供应 商，它们在SSN中链接到SSG、到GSSG以及经由一个或多个参与 者的顾客站点处顾客的SSG或若干SSG链接到每个顾客。对网络的
每个连接都经过包括服务、管理和安全功能的SSG。 GSSG进一步地 包括网络中的服务目录以及实施者可能希望通过中心统辖而管理的活 动的SSN总积累点。顾客可以是进一步连接到SSN或SSN域中的单 SSG或多SSG。
有许多实施SSG的方式，范围从大的集群硬件环境到通过软件 或具有类似配置的装置如硬件设备的个别用户。对于大的高吞吐量应 用，使用了集群服务器以提供可扩缩性和冗余度。对于个别装置，用 户可以在SSG设备上安装SSG软件，如PC或服务器中的卡或如附 加的盒，类似于DSL或电缆宽带连接所用的个人宽带路由器。随着技 术成熟，小型化的单芯片实施可能在硬件实施例中出现。基础实施支 持SSN网络接口以及内部用户拥有的网络接口。除了这些SSN接口 外，还支持用于远程管理和安全管理以及^L告的几种带外通信选项接 口，比如USB、火线、以太网、千兆位以太网和无线网。
实例V
图8所示的SSG 10与参与者的内部网络801和商务功能810互 连。SSG包括参与者接口 802、服务实施803、安全代理控制器和SSN 网络接口 804。在SSG中还包括用于其他选项840的带外通信控制器 805以及用于日志和报告806的管理模块。SSG的尺寸可选地适合网 络和参与者。低成本的网关是SSN上交易的POS单功能端点，包括 具有参考平台技术堆栈的一个CPU或装置覆盖区。用于公司访问具有 全功能的小型网关是例如两个CPU的覆盖区。具有显著吞吐量和高利 用率/失效备援的中型网关实例是六个CPU的覆盖区。GSSG将很可 能需要完全高利用率/失效备援的存档组件和扩展存储器。例如，具有 大容量和高利用率/失效备援的GSSG是十个CPU的覆盖区。当涉及 重要的金融交易历史和数据时需要扩展存储器。
该架构监察、跟踪和报告，并且可适于所有类型安全信息交换的 私有或公共网络。该架构包括日志和报告功能以支持探测、许可故障、
请求参数等。报告功能既包括本地报告又包括企业报告；本地报告在
SSG进行；企业报告在所述一个或多个GSSG的任一处发生。报告支
持记账目的的用途判断，需要服务等级协定和统辖，提供记账和争论 决议中的证据等。报告可实时地创建，也可以在一段时间内创建。报 告对参与者利用和计划是有用的。该架构提供的安全报告包括安全日
志积累、授权证书和密钥的产生和分配，以及CTL。
基于每项请求和已提供的服务，记录和报告了参与者服务用途。 SSG和GSSG管理者可以观看交易历史、错误、使用和有关SSN情 况和状态的其他报告。报告提供了整体中涉及的所有服务的端到端观 察，包括参与者防火墙背后的情况。该架构的报告特征允许节点和 GSSG管理者观看和理解整个SSN上的错误。该架构通过网关和域、 服务实施和安全层创建若干活动的日志。系统的日志包括但不限于全 部请求和响应、全部ACL实施、组件的响应时间、全球活动，比如 来自每个SSG和GSSG的活动累计、端到端的报告和记账。其他功能 包括服务质量(QOS)支持，以根据传输速率、支票图像、实时支付、 数字文件、欺诈数据、共享服务等确定吞吐量。
为了既提供灵活性又提供增强的安全，对SSN、 SSG和GSSG 的物理和逻辑设计进行了分层。全部的主要安全功能都在安全层执行， 结果，安全基础设施固有地是网络上任何服务实施的一部分。在如此 做时，能够为了增强的安全物理地隔离该架构的若干部分。例如，安 全措施可以位于DMZ中，而服务实施位于用户内部网络的内部信任 方。多个安全层可以使用在链中，在SSN实施中既提供本地控制点又 提供中心控制点。这些层的每一层都能够物理地位于一个硬件平台上 也能够划分在多个平台上。这就提供了故障恢复和隔离的等级以增强 性能和安全性并支持从单一小型装置到大型服务器场的实施模式。支 持基础设施的若千主要层和组件之间的基于IP的防火墙的能力，允许 易于集成到当前网络并支持在基础服务实施的安全基础设施之上的附 加安全措施。SSN的组件包括1)安全服务网关(SSG) 。 SSG是 SSN的接入点并为SSN之上运行的所有服务建立嵌入式安全措施。2 ) 全球安全服务网关(GSSG) SSN管理设施。GSSG是具有用于整个 SSN实施的记录系统、管理设施、供应和域模型的SSG。 3)服务知
识库是管理设施的要素。SSN服务知识库驻留在GSSG上或在SSN网 络中，并且是由网络上参与者创建和供应的所有服务所用的知识库。4 ) PKI基础设施包括由GSSG为SSN实例所收藏和管理的SSN证书机 构(CA)，并且它实施CA生命周期、访问控制列表(ACL)和证书 废除列表(CRL)的管理。需要时可以用外部CA替代。5) SSN管 理控制台(域模型)是驻留在GSSG上的SSN组件，它包括用于SSN 实施的全部数据层和管理设施。SSN管理控制台提供了用于在SSN实 施上进行供应和报告的管理屏，包括报价、报告、供应和服务关系。6) 网络服务SDK允许参与者创建他们自己的服务。SDK创建了所有的 组件分支，包括允许用户在他们期望时创建和测试新服务的测试装备。 7)来自SSN实施的运行报告包括配置屏和报告选项以及运行数据库。 运行报告还包括企业基础设施服务，用于收集来自网络参与者的信息， 典型情况下驻留在GSSG上。8)预建立的服务(商务、基础设施和 管理)包括用于SSN的预建立服务系列，包括管理服务、基础设施服 务和商务服务。
参考图9A，在图9B和图9C中还展示了例如典型树形层次模版， y轴列90将用户一般地排列为公司卯l、商家位置902、产品903、顾 客904和用户905的垂直范畴。而在垂直轴范畴内的每个垂直轴参与 者又被分配了在x轴分支(水平的)90中排列的更窄的(即更具体的) 特征，比如在公司范畴中的4艮行A907,而零售908、贸易909、小商 家910和交易912也都显示在水平层中。产品层次卯3包括用于支票 913、 CD 914、货款915和信用卡916的帐户。顾客层次904包括家 庭经济917、公司918和个人919的范畴。在用户范畴卯5中，显示 了个人920。
在若干分层参与者之内和之间的选中安全通信以粗线显示；未选 中的参与者在虛线框中。在子层次中，可以把访问权限精细地调整到 个人或局部，或者在层次之内另外的任何其他参与者个人或组，正如 由图9B和图9C中穿过分层层次的垂直箭头所示。虽然图9A、图9B 和图9C中显示了水平的垂直层次，所述表达仅仅是展示性的，因为
授权和安全等级的任何层次或矩阵都可以在本发明的SSN中定义。
SSG的整体架构支持频带内和频带外的密钥分发和管理，并且它 可适合于任何PKI基础设施，其中管理和分发与数字证书使用相关联 的私有(秘密)密钥的能力至关重要。图10和图11以190所示的粗 线连接，描绘了由SSN在物理IP基础设施之上对等式建立的虚拟安 全服务网络连接。安全连接是参与者SSG到参与者SSG的连接，与 物理通道无关。在几乎所有情况下，出于安全原因将优选带外分发和 管理。分发的形式包括(1)经由安全网络通信身份鉴别和下载的分 发，通过登陆到安全网站，在SSN基础设施的带外完成，其中使用了 附加凭证确认新私有密钥的下载；(2)经由物理媒介；(3)电话、 电缆或无线的家庭调制解调器连接、身份鉴别和下载；或者(4)作为 SSN上部分服务的带内分发。
在实施例中，每种SSN服务都首先以标准的网络服务描述语言 (WSDL )定义。SSN WSDL服务定义使用XML模式说明消息内容。 一般来说，任何SSN服务都能够由一系列XML文件完整地说明(1) 输入和输出消息的XML模式说明；(2)说明服务细节的WSDL绑 定；或者(3) WSDL服务端点说明。使用XML允许若干服务补充自 说明数据的上下文，它允许架构至机器的若干解释接口和服务跨越 SSN。围绕每种服务的安全措施都在SSG的单独层中实施；不过，在 条件需要时，安全措施也可以置于服务中。
授权可以中心管理也可以本地管理。本地ACL可以比全球ACL 限制性更强，但是它却永远也不能够启动不在该请求者或服务供应商 的全球ACL中的特权，除非统辖禁止了全球ACL实施。这就确保由 整体统辖当局松散地管理所有用户，但却不需要网络上的用户或数据 供应商对第三方信任限制对其数据进行访问的安全措施。以绝对的安 全性支持松散统辖的这种唯一特点是只有SSN才有的能力。提高了安 全性，同时降低了添加新服务的复杂性。用户能够自行决断建立服务， 而不必有全体用户或甚至用户子组的全体同意即一致同意。
在另一个实施例中，通过包括数字证书的安全公钥基础设施
(PKI)身份鉴别。网络上的所有用户都具有由主证书当局中证书定 义所签署的证书。主证书管理机构包括的层次支持多个域，用于一个 或多个签署机构。同样地，对于据信必要的任何用户组都能够建立服 务域。只有被定义为是这种服务域中 一部分的用户才能够彼此连接。 一旦连接后，相互身份鉴别与在该请求者和供应商的ACL中所定义 的用户角色的组合便实施请求者所能够看到的内容和供应商将服务的 内容。对于给定的请求，请求者和供应商必须属于由GSSG和/或SSG 所定义的共同域。为了确认这种双边关联，每个参与者(服务请求者 和服务供应商)的证书必须由主证书当局为该域签署。当这是真实情 况时，则建立彼此相互身份鉴别的安全会话。
一旦完成了双边信任验证，供应商就能够对照本地和/或主ACL 进行授权，以确认对该请求者授权请求这种服务。在一个实施例中， SSN证书机构(CA)创建了已签署的成员证书，并且可以在任何时间 使用证书废除列表(CRL)废除成员证书。这种功能由GSSG管理并 在GSSG和/或本地SSG的级别执行。对于SSN上的所有通信都支持 完全的SSL加密。通过可插入框架能够实现其他的加密方案。在要求 监察和认可的服务中，支持覆盖SSN全部要素的多级别日志，包括全 部分布的SSG以及一个或多个GSSG。
SSN允许服务供应商提供的服务可以包括来自它自己的数据或 功能，以及来自与它有关系的其他服务供应商的服务。以这种方式， 服务供应商提供的服务项目可以是它具有从其他供应商进行访问和/ 或消费权限的若干服务和/或数据的集合。以这种方式，作为服务供应 商收到的要求它提供服务的请求的结果，它可能变为服务请求者。作 为请求者它能够为原始请求者不具有的访问权限或不知道的服务提供 访问权限。在一个域内部以及跨越服务供应商是成员的任何域都支持 集合。结果，即使服务供应商仅仅代理来自其他服务供应商的数据， 该供应商也能够提供范围广泛的服务。以不需要来自原始服务请求者 的附加身份鉴别或授权的安全方式做到这一点，是SSN的独有能力。 以这种方式，SSN提供了当今尚没有的传递身份鉴别和授权的级别。
SSN以对终端请求者是匿名的方式提供身份鉴别和授权。这就允 许服务供应商代理其他服务而不对原始请求者揭示其来源或商务关 系。通过PoUID (它是是核心SSN的一部分)提供了用于集合服务的 完全监察和日志。PoUID标识了原始请求的起始点并能够用于将全部 派生请求的日志约束在一起，以达到对活动的端到端监察。
实例VI
如前所指，本发明将身份鉴别和授权功能集成在具有支持多种统 辖模型的综合嵌入式安全管理功能的交易支付系统中。本架构包括开 关和确认装置、用户、服务和多层次的安全措施，允许用户注册、加 密、身份鉴别、授权、活动认可、SLA管理、基于记账的消费、对话 存取、数据和图像文件的交易处理，从接收到结算、支票处理在全部 级别都具有质量对比和安全措施。从接收到结算，在金融交易处理的 每个或任何阶段都可以包括质量保证算法，并且由跨越广泛用户社团 的服务网关所管理的、具有独特监察和起始点标识符的安全服务网络 与物理网络传输供应商无关。
本实施例满足了在提供对资金的访问权限以及购买和支付交易 处理方面的需要，集成了无线网络的收发器，或者在某实例中的个人 蜂窝电话，具有以上架构和SMFSN作为无线、移动和安全交易处理 的接口，跨越了任何物理IP网络，与载波传输无关。
在图12、图13和图14所示的实例中，提供了收发器设备中的功 能，比如蜂窝电话、智能电话或其他电话网络收发器，以便在销售点 (POS)站点选择、聚集、启动、处理和实现安全交易。收发器通过 通过SSG通过SMFSN互连到由GSSG所管理的网络，其中有对该设 备是可用的支付服务社区。收发器配备着SSG;在用户站点的SSG也 由电话用户和商户是其成员的网络的GSSG所管理。为了绘图清楚起 见，GSSG与用户站点比如销售点终端、ATM、收发器用户等之间的 管理互连并非总被显示，不过，却隐含在整个GSSG/SSG的安全协议 中。连接可以是对等式或星型，取决于实现的统辖模型。相互和多因 素身份鉴别提供为网络的默认功能，利用了也支持服务授权的可选
PKI证书。作为支付服务的实例，该设备的用户被标识为具有唯一标 识符、数字地址、电话号码或等效标识的帐户持有者。电话中的附加 安全措施，比如PIN、生物测定、保密短语、数字证书都可以集成在 本系统中。
本发明允许在任何物理网络基础设施上来自一个或多个供应商 社团的范围广泛的安全支付服务可用，其中收发器由个人用户通过安 全共享的多功能服务网络(SSN)在销售点处与多种服务供应商(资 金源)互连，所述网络互连着所述收发器、与所述收发器相关联的资 金源和销售点以及用于管理收发器、资金源和销售点之间互连安全措 施的SSN设施。从用户的观点观察，使用收发器系统实现了安全多功 能服务网络上的多种交易类型。能够由个人用户与销售点的资金源实 现互连的蜂窝电话、智能电话或者其他网络收发器发起该交易。安全 服务网络互连着所述收发器、与所述收发器和销售点相关联的资金源 以及全球安全服务网关，它管理收发器、资金源和销售点之间的物质 供应和服务互连。
身份鉴别和授权机制提供为服务网络的功能，以确保在网络内进 行安全确认，收发器的用户是收发器的真正用户以及资金源的真正所 有者。用户能够在安全网络上关于销售点从资金源借或向资金源货。 网络包括相互的身份鉴别和多因素的身份鉴别，作为附加在和实现网 络上连接的任何服务即应用的功能。可以加入生物测定用户识别。资 金源可以与支付网络互连，以允许由用户从可以是现金帐户也可以是 信用帐户的资金源中存取的资金的借、货、支付和结算。
在本实例中，由按钮、触摸屏、生物测定读出器或其組合所起动 的信号激活虚拟服务连接(VSC)。可能需要只有用户才知道的PIN 或其他形式的附加个人识别r作为登陆条件(1)到安全网络以及(2) 到安全网络上的互连到实现交易POS位置。图2A和图2B所示的SSN 是软件(或者等效硬件)，它能够在任何物理网络基础设施上创建安 全共享的多功能服务网络和网络服务社区。SSN包括若干安全网关
(SSG)和一个网络管理设施(GSSG)，前者连接SSN的接入点，
后者能够跨越SSNVSC的布局启用报告、策略、顺应、记账和隐私管 理。若干功能与GSSG和SSG的结合允许实现对多统辖模型的支持。 SSN与使用WS-I规范的若干网络服务(HTTP、 SOAP、 WSDL )、 本地HTTP应用程序(网络浏览器应用程序)以及传统应用程序和协 议(通过集成或隧道效应)合作。另外，SSN还支持集中在网络会聚 和多媒体服务的许多附加协议。这些包括用于VOIP的SIP或IAX、 UDP以及在TCP标准之下定义的许多其他协议，用于传统OSI网络 模型中第2层和第3层之上的协议支持。
在许多配置中SSN都经过修改，以便使用随处可见的移动蜂窝 电话在各种销售点实现安全支付交易。图16展示了 SSN实现的实例。 在由GSSG 680管理的连接中，每个都配有SSG的成员682和681在 网络690中互连。GSSG 680又与网络月良务供应商685互连，以管理 一对一或一对多或多对多的安全网络连接并提供事件分析日志分析、 事件跟踪、记账分析和SLA分析。处理器管理站684提供布局管理 服务知识库管理、网络组织管理、服务实施管理、访问控制列表管理、 终端用户管理、安全代理管理以及访问控制列表服务。服务模块683 提供了 PKI和身份鉴别证书的管理作为第三方仲裁PKI、签署安全 代理请求、废除证书和提供证书废除列表。安全服务网络成员682通 过网络访问安全服务网络成员681，通过SSG连接双方。在网络上可 以使用身份鉴别服务，以促进比基础SSG或连接到网络的应用程序所 提供的用户身份鉴别更高级别的用户身份鉴别。以这种方式，用户身 份鉴别能够链接到网络上服务供应商内部存储的信用知识库，其访问 权限由供应商或供应商的代理控制。
成员682提供的请求是为了身份鉴别、登录以及并入到在成员 681处可用的企业系统。在一种统辖模型中，在GSSG 680和其上的 SSN组件685、 684和693处对请求进行处理，成员681收到访问的批 准后，就相应地提供身份鉴别服务、本地和/或中心授权、登录以及并 入到企业系统，允许成员682通过受管理的SSG对请求的商务服务实 施进行安全的一对一访问。对于SSN上的每个服务供应商都可以做到
这一点，以使市场社区对POS和无线设备的用户可用，进行包括方法
选择和方法确认的实时支付决策。在网络中，所提供的若干服务可以
来自单一供应商也可以是由SSN实施上多个供应商的若干服务的聚 集组合。实现和支持来自收发器的网络上交易或活动的必要安全要素 在基本级别提供为网络功能；网络上基本级别的安全要素可以包括相 互身份鉴别、授权、有效负载加密、与传输无关的加密、隐私、端到 端的监察以及认可顺应报告。
交易的有效负载可以进行与传输无关的加密，并且支付可以是交 易的参与者专用的；所存储的数据经过静止加密并只能由该交易的一
位或多位参与者访问。创建和管理由网络实现的每次交易的唯一交易 UID是网络的功能。在某变型中，网络上一系列服务事件的专用相关 UID建立了传递信任作为网络功能，并且在交易专用文件中接收和保 持了跟踪和再创建多服务交易事件的能力，以允许重建与交易相关联 的事件。端到端的交易认可在本系统中唯一地提供。原始UID可以由 收发器、用户或连接到SSN的应用程序所填充，以便能够支持、跟踪 和实施端到端的登录和传递身份鉴别；创建和管理UID是网络的功 能。对给定服务或功能在网络上支持进一步授权或进一步身份鉴别的 附加安全要素，可以作为网络功能创建和管理；若干实例是WS-S、 SAML、 XML证书、OLDAP、活动目录、LDAP和其他有关凭证的 装置。安全多功能服务网络作为网络服务提供；网络应用程序可以作 为通过收发器使用的服务访问。网络上的服务定义链接在来自 一个或 多个供应商的网络服务与来自SSN实施上的一个或多个供应商的应 用程序之间，以便实现网络上的聚集服务。
实现安全支付交易时使用了收发器蜂窝电话、智能电话或者能够 由个人用户与销售点资金源实现互连的其他收发器。安全服务网络互 连着收发器、与收发器相关联的资金源和销售点。全球安全服务网关 管理收发器、资金源和销售点之间的互连安全。在身份鉴别和授权后， 收发器的用户被安全地确认为收发器的真正用户和资金源的所有者。 用户能够在安全网络上关于销售点从资金源借或向资金源货；在SSN
网络中，用户被确认为支票帐户的真正所有者。生物测定用户识别可 以固有地配置在收发器中。用户资金源、分支银行或信用卡系统都可 以与支付网络进行互连，它允许由用户从资金源中存取的资金的借、
货、支付和结算至少其一。因此，销售点交易的多功能网络由GSSG 管理，在本地、个人SSG处具有安全保持的接入点。
使用能够互连的蜂窝电话、智能电话或者其他有线或无线收发 器，能够在安全多功能服务网络上使用收发器系统进行多种类型的交 易。在销售点的支付发起者(商户)起动与用户的交易。SSN互连着 收发器、与收发器相关联的资金源和销售点，而GSSG管理收发器、 资金源和销售点之间的物质供应和SSG服务互连。
实例VII
如图12和图13所示，图中显示了能够进行无线网络通信的无线 设备、蜂窝电话、智能电话或等效的收发器媒介。收发器单元与集成 处理器可互连，后者包括使SSN能够接收和存储信息的SSG，并且可 选地提供跟踪、财务和其他金融功能。通过在由GSSG管理的许多替 代互连中可以配置的SSN，如图15和图16所示，可以从顾客的分支 银行向收发器设备加载预定金额的现金。蜂窝电话与销售点，比如食 品杂货店、商业街商户、ATM或其他场所(POS场所)之间的网络 互连，允许该服务和该交易参与者专用的、SSN创建的VSC之上，通 过SSN经过收发器到POS进行货币交易。
在POS场所和蜂窝电话上的SSG确保商户实现对顾客蜂窝电话 的安全连接，并且对电话充入资金，或者作为替代，通过蜂窝电话物 理网络，可以实时地将蜂窝电话用户的银行现金或信用帐户(也是SSN 和SSN服务供应商的成员)借入商户帐户。作为替代，电话或其他 收发器的安全互连允许进行实时交易，而不向该电话充入用户资金储 备。例如，可以进行了购买并可以将未付的借款通过安全网络传输到 蜂窝电话持有者的分支银行，在此可以依照购买金额将现金或信用帐 户记入借方。于是，购买金额在商业银行被计入商户帐户的货方。
利用SSN，通信是安全的，身份鉴别是相互和多因素的，实现电
话授权时可以通过在电话键盘或电话上其他人工界面中输入只有电话
帐户持有者才知道的编码的PIN号，它作为SSN上的服务经过了本地 或外部地确认，其中证书确认是网络上的服务，可以是蜂窝电话供应 商或服务供应商专用的，也可以不是。在本文中，"销售点"可以是 与蜂窝电话、无线设备、计算机、自助终端、自动贩卖机可互连的任 何SSN站点，其中资金可以借记或货记到用户帐户、由SSN上参与 者所持有的帐户，或者由网络上非参与者所持有的帐户，其中帐户访 问在SSN实施的带外完成。
图13显示了系统中用于处理支票的零售与商业网络的替代互连。 在描绘的图中，显然SSN中用户可以在GSSG管理的一个或多个网络 中互连。用户和POS供应商也可以在一个或多个SSN中互连例如， 使商业银行与分支银行互连的SSN、使帐户持有者与分支银行互连的 顾客SSN以及SSN商业网络比如Visa⑧和其他网络。作为替代，分开 的SSN可能对于参与者是其成员的每个网络都需要由GSSG所管理的 分开的SSG。
在处理了用户借款或货款后，SSN可以同时地与商业银行互连， 并且通过商业银行的设施关于商业帐户处理交易。典型的这些设施是 网络结算、支付管理和/或支付交换的系统，通过利用NSS、 PMC和 epx系统的商业银行网络进行访问和执行，正如图17、图18和图19 所示。这些系统也可以提供为SSN实施上的若干服务，其中参与者可 以访问这些服务或聚集这些服务以实现交易。NSS、 PMC和epx是 Ohio州Columbus市Synoran LLC公司的产品。
实例VIII
在图13中，网络SSG配置为直接与蜂窝电话用户的分支银行互 连。在实现网络连接之前，可以在收发器层次实施附加的SSN安全措 施，比如生物测定语音、指紋和视网膜读取。与用户激活同时，商户 通过SSN网络连接了用户和商户的银行，于是可以实现交易。进入交 易后，就识别帐户、付款人、收款人、付款人的银行、收款人的银行， 传送交易信息，对用户的借方帐户或信货帐户记入借方，并且对商户
的帐户记入货方。在商业银行通过epx、 PMC和/或NSS处理支付信 息，允许代表与用户和商户相关联银行以及在商业银行的商户帐户， 关于其他银行和商户的顾客进行实时地监控和结算。尽管图中显示了 ePx、 PMC和NSS，但是具有同样功能的应用程序可以包括在实施中。 以这种方式，不要求参与者^f吏用ePx、 PMC、 NSS实现交易，因为SSN 允许在网络上定义的服务不依赖于最终完成这种服务的应用程序。服 务供应商为供应商在网络上提供的所有服务确定处理流程。
实例IX
在图14中，在实现网络连接之前，在蜂窝电话层次实施安全措 施，比如生物测定语音、指紋和视网膜读取。正如在前述实例中，在 用户通过SSN网络激活时，用户就连接到商户，商户连接着用户并连 接着商户的银行，于是可以授权和实现交易。在这个实例中，身份识 别和授权在支票帐户的交易中安全地完成、记录和确认，与用户直接
存取资金或用户银行的借方业务无关。
实例X
图22展示了本发明的结构，适于安全的账单交兑和支付应用， 其中结算和支付在顾客付款人和商户收款人之间实现，他们都是银行 和支付域的成员。
实例XI
图23显示的端到端支付解决方案展示了 SSN的整体适应性。基 于网络化SSN的服务标识在图23中，其中SSN解决方案由SSGA、 SSG B和全球SSG表示。该实例显示了两个参与者银行和第三方服务 供应商的实例，第三方服务供应商提供网上结算和支票图像归档服务。 SSN授予了这个实例的若干变化，比如公司财务服务处理、经费管理 服务和跨行业的服务代理。
+++
已经详细地如此介绍了本发明后，本领域技术人员将认识到，给 出了本公开，可以对本发明进行若干修改而不脱离本文介绍的本发明 概念的实质。因此，不表明本发明的范围限于所介绍的具体和优选的 实施例展示。相反，本发明的范围意在由附带的权利要求书所确定。
权利要求
1.一种安全服务网络(SSN)，包括安全服务网关(SSG)，包括安全代理和服务接口，所述安全代理用于执行身份鉴别和加密协议以向网络参与者批准允许访问站点的授权，并用于创建每个站点访问实例的日志，所述服务接口包括请求处理器、服务调用器、服务实施、资源适配器、数据访问链接和所述安全代理与所述网络参与者中间的HTTP/SSL代理；起始点通用标识符(PoUID)，用于为参与者的内部网络域内的参与者提供唯一标识符；以及所述SSN内SSG的互连，其中，所述互连是由一个网络参与者到创建双向安全对等式服务连接的另一个网络参与者的对所述SSN的参与者访问的前提。
2. 根据权利要求1的SSN，其中，两个或更多参与者每个都通 过SSG或通过可选的GSSG连接到所述网络，所述SSG或GSSG以 它们为所述SSN上所有服务、域和参与者定义的网络参与者访问特权 管理一个或不止一个用户域或服务域。
3. 根据权利要求1的SSN，包括由SSG和可选的GSSG组成的 基础设施，与参与者的服务实施独立且不同，被配置为参与者网络架 构之上的覆盖系统架构，用于管理参与者和服务，使得所述网络之上 安全环境中的服务部署在所有参与者服务之间一致地建立。
4. 根据权利要求1或权利要求3的SSN，其中，参与者对站点 的访问在SSG从参与者收到消息后通过所述SSG实现，所述消息至 少包含1)由SSN向所述服务接口分配的唯一名称标识符，2)唯一 地标识对所述SSG的请求的请求标识符，以及3 )发起所述请求的参 与者的PoUID，其中由参与者进行站点访问的请求的起始点源自所迷 SSG和一个或多个SSG之后的系统之一。
5. 根据权利要求1的SSN，包括用于管理所述SSN的GSSG, 其中，所述GSSG包括l)所述SSN上的服务目录；2)创建和存储 关于参与者连接性信息的记录系统；3)服务统计数据的编辑；4)用 于支付和验证的装置；5)用于文档和/或图像交换的装置；6)用于身 份鉴别的装置；7)交易监察日志功能；以及8)活动记账功能。
6. 根据权利要求1或权利要求2或权利要求5的SSN，其中， 按照分层授权系统确定参与者对站点的访问，所述分层授权系统向指 定的参与者分配预定级别的访问特权，所述预定级别的访问特权是按 照由SSG或GSSG向参与者分配的层次内位置预定的。
7. 根据权利要求6的SSN，其中，参与者通过所述SSG或GSSG 对所述网络的访问由所述SSG的或GSSG对访问控制列表(ACL) 上所述参与者身份的确认和身份鉴别证书(CA)管理协议来实现。
8. 根据权利要求6或权利要求7的SSN，其中，1)参与者的所 述身份鉴别根据由GSSG管理的PKI证书层次利用相互身份鉴别，以 及2 )与参与者相关联的SSG彼此相互身份鉴别作为授权的先决条件。
9. 根据权利要求8的SSN,其中，与所述PKI基础设施相关联 的私有密钥在带内或带外分发。
10. 根据权利要求1的SSN,包括在参与者或全球级别过滤的防火^"。
11. 根据权利要求1或权利要求3的SSN，包括^t艮据参与者的 PoUID记账和^L告参与者活动的装置。
12. —种网络，包括:收发器，能够由在销售点具有资金源的个别用户实现的互连； SSN，使所述收发器、与所述收发器相关联的资金源和所述销售 点互连；以及全球安全服务网关，管理所述收发器、资金源和销售点之间的供 应和服务互连，以及身份鉴别和授权机制，作为所述服务网络的功能，在所述网络内 提供所述收发器用户为所述收发器真实用户和所述资金源真实拥有者 的安全验证。
13. 根据权利要求12的网络，其中，l)创建和管理由所述网络 实现的每项交易的唯一交易标识符(UID)作为所述网络的功能；2) 所述UID是所述网络上预定服务事件所特定的并建立参与者之间的 传递信任作为所述网络的功能；以及3)在服务事件交易专用文件中 接收并保持跟踪和再创建多服务交易事件的能力，使得与交易相关联 的事件可以重建。
14. 一种网络网关，包括安全代理和服务接口，所述安全代理用 于执行身份鉴别和加密协议以向网络参与者批准允许访问站点的授 权，并用于创建每个站点访问实例的日志，所述服务接口包括请求处 理器、服务调用器、服务实施、资源适配器、数据访问链接和所述安 全代理与所述网络参与者中间的HTTP/SSL代理；以及起始点通用标 识符(PoUID)，用于为参与者的内部网络域内的参与者提供唯一标 识符。
全文摘要
参与者之间的IP网络基础设施，其中1)所述网络中一个参与者对另一个参与者的访问受到安全服务网关(SSG)控制，起始点通用标识符表示参与者的内部网络域内参与者的唯一标识符，以及2)所述网络内网关的互连是创建双向安全对等式服务连接的访问的前提。所述网络中的参与者可以是服务供应商、服务请求者或者既是服务供应商又是服务请求者；网络连接可以是一对一、一对多和多对多。在基础设施中可以提供全球安全服务网关(GSSG)作为中心访问当局和管理服务。
文档编号H04L9/00GK101356762SQ200680039602
公开日2009年1月28日 申请日期2006年1月24日 优先权日2005年12月9日
发明者R·E·奥基斯, W·M·兰德尔 申请人:Wmr E-Pin有限责任公司