认证系统及其方法
【专利摘要】公开了一种认证系统。该系统包括：用于接收与事务处理相关联的认证请求的装置，其中该请求包括用于识别与被授权执行该事务处理的用户相关联的通信设备的数据；用于响应于该认证请求而发送移动应用部分MAP协议请求消息的装置；用于响应于MAP协议请求而接收用于表示发送至通信设备的讯息是否将被转发至不同通信设备的数据的装置。在确定是否认证该事务处理时，使用所接收到的用于表示发送至通信设备的讯息是否将被转发至不同通信设备的数据。
【专利说明】认证系统及其方法
【技术领域】
[0001]本发明涉及一种用于检测移动电话的呼叫转移的方法和系统。更特别地，本发明涉及在电子商务特别是网上银行或移动银行应用中检测用于用户认证的移动电话的呼叫转移。
【背景技术】
[0002]随着针对电子商务特别是网上银行应用的欺诈攻击的数量以及复杂性的增加，已经迫使许多银行为这些应用采用更加安全的保护。
[0003]一种称为带外(Out-of-Band) (OOB)认证的这种形式的保护需要在OOB信道上执行用户的认证，以及可选地执行事务处理(transaction)内容的验证,该OOB信道与发送事务处理的因特网信道不同。OOB信道典型地是利用语音或SMS协议的移动或固定电话信道。典型地，通过由银行操作的基于电信的软件，例如外呼式交互语音应答(IVR)系统，来自动执行OOB认证。
[0004]由于仅能够选择在银行注册的电话号码，因此在认证过程中提供另外的认证步骤。认证过程通常需要某种形式的信息，例如用户名和密码的组合，来初始访问该系统。通常这些解决方案将会向用户提供用来完成事务处理的一次性密码。
[0005]然而，具有不良意图的人，例如欺诈者或黑客，可以通过利用技术来获得对已注册的移动电话的有效控制并且从而访问完成(欺诈的)在线事务处理所需的0ΤΡ，而试图危及这种形式的强认证的安全。这可以通过识别用户订制的移动网络运营商(ΜΝ0)、向MNO冒充订户、并且向MNO请求将针对该订户号码的所有呼叫转移至与欺诈者电话相关联的另一号码来完成。
[0006]因此，欺诈者从而能够利用之前获得的信息，例如用户名和密码的组合，来访问用户的在线银行账户，执行事务处理以获取资金，并且可能利用真实用户的移动电话号码来认证和完成事务处理。欺诈者简单地选择该电话来认证，并且呼叫被自动转移至欺诈者的电话，然后该事务处理被授权。真实用户通过与有关的MNO交谈以询问为何没有接收到呼叫，仅会得知电话被转移。然而，在此阶段，欺诈已经进行，资金已经被盗。
[0007]一种意图识别对于激活了呼叫转移的电话的呼叫的已知方法是通过利用ISDN卡的综合业务数字网(ISDN)信令，该ISDN卡支持这个级别的功能。ISDN允许语音、数据以及其他服务的同时传输。
[0008]然而，该方法具有许多限制，尤其是其依赖于通过它们的网络实际分发该信息的每个ΜΝ0。另外，即使在网络上存在该信息，仍然需要专用设备去访问它。
【发明内容】
[0009]在应参考的所附权利要求中限定本发明。代替于在电话呼叫本身的实际连接中使用ISDN信令信息，本发明的实施方式寻求通过向订户的MNO的归属位置寄存器(HLR)进行完全独立的移动应用部分(MAP)协议请求来解决以上所提及的问题。在进行任何试图以连接至移动电话之前执行该请求，并且该请求不依赖于任何类型的ISDN信令。欺诈者所使用的方法导致所谓的无条件呼叫转移(CFU)状态。包含在HLR内的是示出该状态为激活的指示符以及实际的呼叫终端电话号码。该信息总是存在于MNO的HLR内，而不管经由ISDN信令是否可访问其。通常，从应用，例如用于执行资金转移的网上银行应用，来接收该认证请求。
[0010]在已经识别到移动电话被设置为CFU时，基于移动电话的强认证系统然后可以防止成功的认证，并且从而也防止利用所涉及的移动电话号码进行授权。该系统也可以防止或避免将认证码发送至移动电话号码，或者可以防止将认证和授权码发送至移动电话号码。
[0011]根据本发明的一方面，一种用于认证事务处理的系统包括:用于接收认证请求的装置，其中该请求包括用于识别与被授权执行该事务处理的用户相关联的通信设备的数据；用于响应于该认证请求而发送移动应用部分MAP协议请求消息的装置；以及用于响应于MAP协议请求而接收用于表示发送至该通信设备的讯息是否将被转发至不同通信设备的数据的装置，其中根据所接收到的数据来授权该请求。
[0012]通常，通过认证服务器来认证事务处理。然而，认证服务器也可以执行事务处理的授权，但是可替代地，可以提供分立的认证服务器以及分立的授权服务器。
[0013]通常，用于接收认证请求的装置是无线连接或有线连接，例如因特网连接。用于发送MAP请求的装置通常是在通信上耦接至位置数据库(例如归属位置寄存器数据库)的服务器。接收装置通常是在通信上耦接至位置数据库的服务器。
【专利附图】
【附图说明】
[0014]现在仅通过示例并且参照附图来描述本发明的实施方式，在附图中:
[0015]图1是示出实施本发明的系统的主要功能部件的示意图；以及
[0016]图2是示出由本发明的实施方式执行的主要步骤的流程图。
【具体实施方式】
[0017]现在参照图1，图1是实施本发明的认证系统的主要部件的示意图。该系统包括在通信上耦接至电信服务器103的认证服务器或授权服务器或认证服务器和授权服务器两者101。系统可以包括可用于检测一个或更多个移动电话的无条件呼叫转移状态的远程归属位置寄存器(HLR) 105。由每个移动网络提供商来保持HLR数据库，并且HLR数据库包括与该提供商的永久订户和来访订户有关的信息。可以将归属位置寄存器存储在诸如随机存取存储器的存储器或其他存储器中。通常将归属位置寄存器存储在服务器上。HLR105在通信上耦接至授权服务器101。这通常通过无线装置实现，但是也可以使用有线连接，例如专用光纤链路。
[0018]电信服务器103控制到图1所示的用户电话121的连接。电信服务器103可以连接和断开呼叫、播放语音脚本、识别双音多频(DTMF)回复、向话音识别服务或语音验证服务传递语音应答、以及将这样的应答发送回授权服务器101以进行动作。电信服务器103可以被布置成经由一个或更多个ISDN卡107、109、111而连接至用户电话。ISDN卡可以经由载波或电信提供商使用专用El语音线路或数据线路或使用语音线路和数据线路两者113、115、117来与用户电话通信。也可以提供客户数据库119。该客户数据库通常由金融服务机构提供。该金融服务机构119可以例如是银行或住宅互助协会(building society)或信贷机构。
[0019]数据库119通常存储在服务器上。客户数据库119通常在通信上耦接至受保护的应用123。然而，受保护的应用不必与金融服务机构所提供的客户数据库直接通信。例如，授权服务器101可以被布置成通过将所尝试的事务处理的详情发送至金融服务机构来从金融服务机构接收电话号码。
[0020]数据库119通常存储在金融服务机构注册的多个客户的数据。该数据可以包括与客户想要用于认证的固定电话或移动电话相关联的唯一标识符。通常，该标识符是电话号码，例如移动站国际订户目录号(MSISDN)。通常，每个电话号码与客户标识符相关联。这样，当客户试图使用受保护的应用时，能够确定客户的身份，并且能够确定与特定客户标识符相关联的已注册的电话号码。电话号码不必存储在客户数据库119上，而是可以存储在任何存储装置中，只要该存储装置在通信上耦接至授权服务器。
[0021]优选地，电信服务器103或授权服务器101不存储与在金融服务机构注册的用户相关联的电话号码。其有利之处在于，需要存储在授权服务器上的数据量是最小的。这也意味着潜在的机密数据不需要被不必要地传递到金融服务机构之外的第三方。
[0022]在图1中还示出了以上所提及的受保护的应用或事务处理123。受保护的应用可以是支持网上银行资金转移的应用。受保护的应用或事务处理通常经由无线装置在通信上耦接至授权服务器101，但是也可以使用有线连接，例如专用光纤链路。类似地，受保护应用或事务处理还在通信上耦接至客户数据库119。
[0023]受保护的应用123可以访问由金融服务机构所保持的客户数据库119。通常受保护的应用123经由应用编程接口 API来访问金融服务数据库。该API可以是使得能够通过因特网来访问金融服务机构的客户数据库的网络API (web API)。
[0024]现在将参照附图中的图2所示的流程图来描述由本发明的实施方式所执行的主要步骤。这示出了根据本发明的实施方式用于OOB认证解决方案的典型处理流程，其中在用于认证目的的移动电话中检测CFU状态。这假设用户之前已经在金融服务机构119注册了他们想要用于认证的、与固定电话或移动电话相关联的电话号码。
[0025]用户初始地试图使用受保护的应用。例如，用户可以利用用户名和密码登录到网上银行网站。用户可以请求执行事务处理。响应于该事务处理请求，受保护的应用123通过发送请求到客户数据库119以从该数据库提取与被注册以使用该受保护应用的用户相关联的注册电话，来确定被注册或被授权使用该应用的用户的电话号码。可以发送所请求事务处理的详情，以使得能够提取该电话号码，然而可替换地，可以发送用户名或其他标识符以允许查找。
[0026]在步骤201处，受保护的应用或事务处理123，例如网上银行资金转移，将授权请求发送至授权服务器101。
[0027]作为授权请求的一部分，受保护的应用123将所确定的与被注册以使用该受保护应用的用户相关联的电话号码经由标准API传递至授权服务器101。
[0028]在步骤202处，授权服务器101确定待认证的电话号码是与移动电话相关联还是与固定电话相关联。授权服务器可以通过利用金融服务机构的客户数据库内的属性来确定该电话号码是与移动电话相关联还是与固定电话相关联。该属性可以用于区分与移动电话相关联的电话号码和与固定电话相关联的电话号码。从金融服务机构发送至受保护应用123的响应可以包括区分移动电话号码和固定电话号码的这个属性。如果在步骤202处确定电话号码是固定电话号码，则不执行步骤203和步骤204，并且不确定CFU的状态。相反，在步骤205处电信服务器加载正常脚本，而剩余步骤207、209、211和213将在下文进一步详细描述。或者，如下文所描述，如果错误地将该电话号码识别为移动电话号码，则从HLR查找接收错误消息，并且过程在步骤205处正常继续。
[0029]在步骤203处，如果授权服务器101已经确定所选择的认证设备是移动电话，则授权服务器101将移动应用部分(MAP)请求发送至归属位置寄存器105。归属位置寄存器可以由第三方在外部提供。在下面的表1中示出从本发明的实施方式所使用的归属位置寄存器中的提取。
[0030]
【权利要求】
1.一种用于认证事务处理的认证系统，包括: 用于接收与所述事务处理相关联的认证请求的装置，其中，所述请求包括用于识别与被授权执行所述事务处理的用户相关联的通信设备的数据； 用于响应于所述认证请求而发送移动应用部分MAP协议请求消息的装置； 用于响应于所述MAP协议请求而接收用于表示发送至所述通信设备的讯息是否将被转发至不同通信设备的数据的装置； 其中，在确定是否认证所述事务处理时，使用所述接收到的用于表示发送至所述通信设备的讯息是否将被转发至不同通信设备的数据。
2.根据权利要求1所述的认证系统，还包括用于根据所述接收到的数据来认证所述事务处理的认证服务器。
3.根据权利要求1或2所述的认证系统，还包括通信服务器，所述通信服务器用于将讯息发送至与被授权执行所述事务处理的用户相关联的通信设备。
4.根据权利要求3所述的认证系统，其中，所述通信服务器根据所述接收到的数据来发送所述讯息。
5.根据权利要求3或4所述的认证系统，其中，所述讯息包括用于认证所述事务处理的代码。
6.根据前述任一项权利要求所述的认证系统，其中，所述MAP协议请求包括用于识别与被授权执行所述事务处理的用户相关联的通信设备的数据。
7.根据前述任一项权利要求所述的认证系统，其中，用于识别通信设备的数据是与被授权执行所述事务处理的用户相关联的电话号码，并且特别地，所述通信设备是电话。
8.根据前述任一项权利要求所述的认证系统，其中，所述讯息是电话呼叫或消息，特别地是短消息服务(SMS)文本消息或多媒体消息服务(MMS)消息。
9.根据前述任一项权利要求所述的认证系统，其中，所述认证服务器将所述移动应用部分MAP协议请求发送至归属位置寄存器。
10.根据权利要求6至9中任一项所述的认证系统，其中，所述认证服务器确定所述电话号码是与移动电话相关联还是与固定电话相关联。
11.根据权利要求6或10中任一项所述的认证系统，其中，所述认证服务器使用所述电话号码作为查找关键字来搜索归属位置寄存器数据。
12.根据权利要求11所述的认证系统，其中，授权服务器确定所述归属位置寄存器中的电话号码，所述归属位置寄存器中的电话号码和与被授权使用受保护应用的用户相关联的电话号码相匹配。
13.根据权利要求6至12中任一项所述的认证系统，其中，所述认证服务器确定与归属位置寄存器中的电话号码相关联的呼叫转移状态，所述归属位置寄存器中的电话号码与被授权执行所述事务处理的用户的电话号码相匹配。
14.根据权利要求6至13中任一项所述的认证系统，其中，仅在所述认证服务器确定呼叫转移状态是未激活时授权所述事务处理，其中所述呼叫转移状态和与被授权使用受保护应用的用户的电话号码相匹配的移动电话相关联。
15.根据权利要求6至14中任一项所述的认证系统，还包括风险引擎，所述风险引擎被布置成接收用于表示发送至设备的讯息是否将被转发至不同通信设备的数据。
16.根据权利要求15所述的认证系统，其中，所述风险引擎根据所述接收到的用于表示发送至设备的讯息是否将被转发至不同通信设备的数据以及所述事务处理的规模，来确定是否授权所述事务处理。
17.根据权利要求6至16中任一项所述的认证系统，还包括用于确定电话呼叫正被转移到的电话号码的装置。
18.根据权利要求3至17中任一项所述的认证系统，其中，电信服务器能够连接至与被授权使用执行所述事务处理的用户相关联的通信设备。
19.根据权利要求3至18所述的认证系统，其中，在所述电信服务器连接至所述通信设备之前执行认证请求。
20.根据权利要求3至19中任一项所述的认证系统，其中，能够独立于所述电信服务器到所述通信设备的连接来发送所述MAP协议请求消息。
21.根据权利要求2至20中任一项所述的认证系统，其中，如果所述认证服务器确定呼叫转移是激活的，则所述认证服务器指示所述电信服务器从存储器播放用于表示所述认证不可以的脚本。
22.根据权利要求2至21中任一项所述的认证系统，其中，如果所述认证服务器确定呼叫转移是未激活的，则所述认证服务器指示所述电信服务器从存储器播放用于表示将进行所述认证的脚本。
23.根据前述任一项权利要求所述的认证系统`，其中，所述接收到的数据包括无条件呼叫转移数据。
24.根据前述任一项权利要求所述的认证系统，还包括用于运行受保护应用或用于执行事务处理的附加服务器。
25.一种用于认证事务处理的方法，包括: 接收与所述事务处理相关联的认证请求，其中，所述请求包括用于识别与被授权执行所述事务处理的用户相关联的通信设备的数据； 响应于所述认证请求，发送移动应用部分MAP协议请求消息； 响应于所述MAP协议请求，接收用于表示发送至所述通信设备的讯息是否将被转发至不同通信设备的数据； 其中，在确定是否认证所述事务处理时，使用所述接收到的用于表示发送至所述通信设备的讯息是否将被转发至不同通信设备的数据。
26.根据权利要求25所述的方法，还包括认证服务器根据所述接收到的数据来认证所述事务处理。
27.根据权利要求25或26所述的方法，还包括通信服务器将讯息发送至与被授权执行所述事务处理的用户相关联的通信设备。
28.根据权利要求27所述的认证方法，还包括根据所述接收到的数据来发送所述讯息的步骤。
29.根据权利要求27或28所述的方法，其中，所述讯息包括用于认证所述事务处理的代码。
30.根据权利要求25至29中任一项所述的方法，其中，所述MAP协议请求包括用于识别与被授权执行所述事务处理的用户相关联的通信设备的数据。
31.根据权利要求25至30中任一项所述的方法，其中，用于识别通信设备的数据是与被授权执行所述事务处理的用户相关联的电话号码，并且特别地，所述通信设备是电话。
32.根据权利要求25至31中任一项所述的方法，其中，所述讯息是电话呼叫或消息，特别地是短消息服务(SMS)文本消息或多媒体消息服务(MMS)消息。
33.根据权利要求25至32中任一项所述的方法，其中，所述认证服务器将所述移动应用部分MAP协议请求发送至归属位置寄存器。
34.根据权利要求26至33中任一项所述的方法，其中，所述认证服务器确定所述电话号码是与移动电话相关联还是与固定电话相关联。
35.根据权利要求26至34中任一项所述的方法，其中，所述认证服务器使用所述电话号码作为查找关键字来搜索归属位置寄存器数据。
36.根据权利要求35所述的方法，其中，授权服务器确定所述归属位置寄存器中的电话号码，所述归属位置寄存器中的电话号码和与被授权使用受保护应用的用户所相关联的电话号码相匹配。
37.根据权利要求26至36中任一项所述的方法，其中，所述认证服务器确定与归属位置寄存器中的电话号码相关联的呼叫转移状态，所述归属位置寄存器中的电话号码与被授权执行所述事务处理的用户的电话号码相匹配。
38.根据权利要求26至37中任一项所述的方法，其中，仅在所述认证服务器确定呼叫转移状态为未激活时授权所述事务处理，其中所述呼叫转移状态和与被授权使用受保护应用的用户的电话号码相匹配的移动电话相关联。
39.根据权利要求26至`38中任一项所述的方法，还包括风险引擎，所述风险引擎被布置成接收用于表示发送至设备的讯息是否将被转发至不同通信设备的数据。
40.根据权利要求39所述的方法，其中，所述风险引擎根据所述接收到的用于表示发送至设备的讯息是否将被转发至不同通信设备的数据以及所述事务处理的规模，来确定是否授权所述事务处理。
41.根据权利要求26至40中任一项所述的方法，还包括确定电话呼叫正被转移到的电话号码。
42.根据权利要求27至40中任一项所述的方法，其中，所述电信服务器能够连接至与被授权使用执行所述事务处理的用户相关联的通信设备。
43.根据权利要求27至42中任一项所述的方法，其中，在所述电信服务器连接至所述通信设备之前执行认证请求。
44.根据权利要求27至43中任一项所述的方法，其中，能够独立于所述电信服务器至所述通信设备的连接来发送所述MAP协议请求消息。
45.根据权利要求26至44中任一项所述的方法，其中，如果所述认证服务器确定呼叫转移是激活的，则所述认证服务器指示所述电信服务器从存储器播放用于表示所述认证不可以的脚本。
46.根据权利要求26至45中任一项所述的方法，其中，如果所述认证服务器确定呼叫转移是未激活的，则所述认证服务器指示所述电信服务器从存储器播放用于表示将进行所述认证的脚本。
47.根据权利要求25至46中任一项所述的方法，其中，所述接收到的数据包括无条件呼叫转移数据。
48.根据权利要求25至47中任一项所述的方法，包括用于运行受保护应用或用于执行事务处理的附加服务器。
49.一种基本上如本文中参照附图所描述的认证系统。
50.—种基本上如本文中 参照附图所描述的认证方法。
【文档编号】H04L29/06GK103782564SQ201280034915
【公开日】2014年5月7日 申请日期:2012年7月12日 优先权日:2011年7月15日
【发明者】约翰·彼得森, 帕特里克·卡罗尔, 乔纳森·马克·阿尔福, 丹尼尔·桑希尔 申请人:瓦里德索弗特英国有限公司