云加密密钥中介设备、方法和系统与流程

此对专利证书公开文献的申请描述了针对各种新颖创新(在下文称为“公开内容”)的发明性方面，并且含有受到版权、屏蔽作品和/或其他知识产权保护的材料。此类知识产权的相应拥有者不反对任何人对本公开的传真复制，就像在公布的专利局文件/记录中那样，但另外保留所有权利。

优先权

此申请要求2015年2月17日提交且标题为“云加密密钥中介设备、方法和系统”的美国专利申请序列号62/117,080的优先权。前述申请的整个内容明确地以引用的方式并入本文中。

本创新一般涉及多方加密方法，且更具体来说，涉及云加密密钥中介设备、方法和系统或cekb。

背景技术：

鉴于最近的信用卡和个人信息泄漏，显然需要用于保护加密密钥的更安全的方法。在最近的突破中，在安全服务器上加密数据，但密钥与数据一起被盗，从而使得数据被暴露。

作为说明，这些突破涉及“安全”计算机，其中商家存储加密/解密密钥。当黑客突破所述安全计算机时，黑客盗取在访问商家的数据时所使用的密码操作所需的密钥。鉴于此情形和其他情形，可以改进与加密/解密操作相关联的安全方法。

附图说明

随附的附录和/或附图说明根据本描述的各个非限制性、示例性创新方面：

图式内的每个参考数字的前面的数字指示其中引入和/或详述那个参考数字的图。因此，将在图1中找到和/或引入对参考数字101的详细论述。在图2中引入参考数字201等。

图1是描绘云加密密钥中介系统的框图。

图2是描绘与云加密密钥中介系统相关联的密钥处理和安全相关操作的框图。

图3是说明涉及云加密密钥中介系统的操作情景的过程流程图。

图4至图6是描绘与云加密密钥中介系统相关联的安全相关操作和密钥处理操作的框图。

图7和图8是描绘云加密密钥中介系统可以在其内操作的额外的计算机相关环境的框图。

技术实现要素：

在本文公开了(例如)用于与密码操作一起使用的计算机实施的系统和方法。举例来说，公开了用于经由基于云的服务来与密码操作一起使用的处理器实施的系统和方法。基于云的服务安全地存储和传输加密/解密密钥的部分。拆分密钥处理可以包含将密钥拆分为二，并且将它们之一存储在远程安全服务器上。

作为另一实例，公开了用于密码操作的处理器实施的系统和方法。支付处理器提供将拆分密钥处理以及对请求的风险分析、ip封堵和访问规则约束进行组合以安全地存储和传输加密密钥的部分的云服务。

作为另一实例，公开了用于通过远程连网服务进行密码操作的处理器损伤系统和方法，在所述远程连网服务中存储密钥的第一部分。接收对检索密钥的第一部分的远程请求，且在请求之后执行安全性分析。在已经满足安全性分析标准之后向请求者传输密钥的第一部分。通过将密钥的第一部分与密钥的第二部分进行组合来产生完整密钥。使用完整密钥来执行密码操作。

具体实施方式

图1在100处示出cekb的示例性实施例。100处的cekb通过使用密钥中介系统106来防止盗窃加密/解密密钥。云加密密钥中介系统106以安全的方式存储在加密/解密操作中使用的密钥以帮助防止此类盗窃。举例来说，当消费者用户104经由商家应用112购买物品时，cekb提供额外的安全性。

商家应用112可能暴露于入侵、欺骗和其他安全威胁。因此，加密密钥中介系统106安全地存储加密/解密密钥，以防止可能在支付交易处理期间或以其他方式出现的潜在的恶意活动。然而，应理解，云加密密钥中介系统106不限于仅购买类型交易，而是可以用于金融/购买环境之外的许多其他类型的操作中。

消费者用户104可以直接地或者通过若干方式，例如经由一个或多个网络108来与云加密密钥中介系统106交互。可以通过网络108访问的服务器110可以操控系统106。一个或多个数据存储装置102可以存储将由系统106分析和处理的数据以及由系统106产生的任何中间或最终数据。

图2描绘其中支付处理器提供用于安全操作的云服务的另一示例性实施例。更具体来说，云服务安全地存储和传输加密/解密密钥的部分，如202处所示。拆分密钥处理可以包含将密钥拆分为二，并且将它们之一存储在远程安全服务器上。

作为说明，如果密钥是123456，那么所述密钥将被拆分为两个部分密钥：123和456。以此方式，黑客将必须突破商家的计算机以及绕过远程安全服务器的安全措施来得到对整个密钥的访问权。此方法防止黑客突破系统并且盗取密钥，其中商家已经将加密/解密密钥存储在安全计算机上。

云服务还可以经由处理204来组合额外的安全性。安全处理操作204可以包含用于检测网络侵入或其他类型的未授权的访问请求的技术。

图3示出涉及加密密钥中介系统的操作情景实例。在步骤300处，将密钥拆分为两个部分。应理解，所述系统还可以包含将密钥拆分为多于两个部分。在步骤302处，将密钥部分之一存储在远程服务器中。随后在步骤304处接收部分密钥请求。

在步骤306处在所述请求之后在此操作情景中执行安全性分析。步骤306处的此分析可以包含对请求的风险分析、ip封堵和访问规则约束的组合以安全地存储和传输加密/解密密钥的部分。举例来说，这可以包含在步骤306处使用人工智能进行侵入检测。还可以在步骤306内使用prim算法来用于安全操作。在标题为“用于防欺诈的风险评估规则集应用”的第8,924,270号美国专利中提供了对所述算法的描述，所述文献并入本文以用于所有目的。应理解，可以在所述请求之后针对恶意或未授权的活动的存在而执行许多其他类型的安全操作。

如果安全性分析未指示相对于所述请求的任何不适当的活动，那么在步骤308处向请求者提供部分密钥。在步骤310处，客户端侧处的软件工具接收所述部分密钥并且将其与一个或多个其他部分密钥进行组合以用于加密/解密操作中。

图4描绘400处的cekb的实施例，其中提供云服务以用于安全地存储和传输加密/解密密钥的部分。cekb400在410处远程地存储加密/解密密钥的部分。在此实施例中，可以检索这些密钥(例如，从远程数据库410)并且仅在客户端处在临时存储器402中使用。在其他实施例中，可以检索这些密钥并且在客户端处在存储器中和其他地方(例如，一种类型的安全存储器)使用。

提供执行加密/解密例程的被称为加密密钥中介404(ekb)的客户端工具。当开始时，ekb404向云406上的远程服务器召唤以提供使数据加密/解密密钥完整所需的部分。以加密的形式传输密钥部分。这些部分经过解密、组合且所得的数据密钥被存储在存储器402中。

图5描绘500处的cekb的实施例，其中由支付处理器或其他类型的公司提供云服务，所述云服务将对请求的风险分析、ip封堵和访问规则约束进行组合以安全地存储和传输加密/解密密钥的部分。cekb500还可以包含多层安全技术。举例来说，可以如506处所示来使用实时风险评分模型以评估每个请求并且产生风险得分以及ip检查502。

还如508处所示，合作伙伴可以界定集合规则，例如用于限制访问的日时或ip位置。510处的批风险模型跨所有合作伙伴寻找异常行为。无法检索在已知突破中涉及的密钥。

图6说明可以进一步扩展安全性分析操作。举例来说，如602处所示，记录并跟踪所有通信。这实现对识别突破的位置的快速响应。在图6中所描绘的情景中，可以在许多不同类型的情景中使用cekb，例如涉及远程交易和支付请求的情景。“远程交易”可以包含其中交易的一方与交易的另一方相隔某一距离和/或装置的交易。举例来说，远程交易可以包含“无卡交易”电子商务，或者通过两个或更多个装置之间的通信而执行的其他在线交易。例如，远程交易可以包含不存在于同一位置的装置或者其中两方(例如，商家和消费者)不使用同一装置来完成交易的多个装置。另外，远程交易可以包含店内交易，所述店内交易不是使用商家的销售点装置(即，访问装置)而完成，以及替代地是通过消费者使用他们的移动装置与被配置成处理远程交易的远程(或本地)商家服务器计算机通信来完成。传统上，远程交易具有更高的欺诈几率，这是因为远程交易不让收款人有识别付款人或以其他方式确保他们接收的支付是正当的机会，因为两方在交易期间不存在于同一位置(例如，在“无卡”或店内交易中)。本地、无卡、面对面或店内交易可以包含其中交易的两方或更多方存在于同一位置、使用同一交易装置或者是通过至少一个存在的个别或实体来认证付款人和/或收款人的身份而执行的交易。

“支付请求”可以包含具有处理或起始支付的请求的消息。举例来说，可以从与消费者相关联的移动装置发送关于与由商家提供的货物或服务相关联的购买交易的支付请求。所述支付请求可以包含任何与交易的相关信息，包含支付信息(例如，账户识别符、个人信息等)、交易信息(例如，商家信息、购买的物品等)、装置信息(例如，移动装置电话号码、安全元件识别符等)、路由信息(例如，目的地计算机的因特网协议(ip)地址、目的地计算机的识别符、银行识别号(bin)等)以及任何其他与支付交易相关的信息。举例来说，支付请求可以包含交易的经加密的支付信息并且可以被发送到第三方计算机，所述第三方计算机被配置成认证支付请求、验证公共密钥证书、对经加密的支付信息进行解密、从经过验证的证书提取公共密钥、对经解密的支付信息再加密，以及将再加密的支付信息发送到交易处理器以用于起始支付交易。因此，支付请求可以包含与用于将敏感数据传输到商家服务器以用于处理远程交易的安全过程相关的任何信息。

如本文所使用，“交易信息”可以包含与交易相关联的任何数据。举例来说，交易信息可以包含交易金额、交易时间、交易日期、商家信息(例如，所注册的商家识别符、地址、商家计算机ip地址等)、产品信息(例如，序列号、产品名称或其他识别符等)。可以在消费者通过商家应用起始支付交易之前或之后由商家服务器计算机向移动装置提供交易信息。在一些实施例中，可以使用所述交易信息以使用所述交易信息中包含的商家信息来识别与交易相关联的特定商家。

如本文所使用，“经加密的支付信息”可以包含让一些方无法理解的任何支付信息以防止对支付信息的未授权的访问。举例来说，接收方在不访问共享的秘密或访问指定的加密密钥的情况下可能读取不了经加密的支付信息。因此，通过可逆和可重复的过程让经加密的支付信息无法理解，使得两个实体可以使用共享的秘密或加密密钥来共享信息，而未授权的实体不能够理解敏感支付信息或支付信息内的敏感支付证书或者获得对其的访问权(除非他们获得对共享的秘密或加密密钥的访问权)。

图7和图8描绘用于与本文公开的操作一起使用的示例性系统。举例来说，图7描绘示例性系统700，其包含计算机架构，其中处理系统702(例如，位于给定计算机中或者位于可以彼此分离和不同的多个计算机中的一个或多个计算机处理器)包含在处理系统702上执行的cekb704。处理系统702具有对除了一个或多个数据存储装置708之外的计算机可读存储器707的访问权。一个或多个数据存储装置708可以包含用户偏好710。处理系统702可以是分布式并行计算环境，其可以用于处置非常大规模的数据集。

图8描绘包含客户端-服务器架构的系统720。一个或多个用户pc722经由一个或多个网络728访问在处理系统727上运行cekb系统737的一个或多个服务器724。一个或多个服务器724可以访问计算机可读存储器730以及一个或多个数据存储装置732。

在图7和图8中，计算机可读存储器(例如，在707处)或数据存储装置(例如，在708处)可以包含用于存储和关联在示例性系统中使用的各种数据的一个或多个数据结构。举例来说，可以使用存储在前述位置中的任一者的数据结构来存储包含用户偏好等的数据。

元件管理器、实时数据缓冲器、输送器、文件输入处理器、数据库索引共享访问存储器加载程序、参考数据缓冲器和数据管理器中的每一者可以包含存储在连接到磁盘控制器的磁盘驱动器、rom和/或ram中的一者或多者中的软件应用。处理器可以在需要时访问一个或多个组件。

显示器接口可以准许以音频、图形或字母数字的格式在显示器上显示来自总线的信息。可以任选地使用各种通信端口进行与外部装置的通信。

除了这些计算机类型组件之外，硬件还可以包含例如键盘等数据输入装置，或例如麦克风、遥控器、指针、鼠标和/或操纵杆等其他输入装置。

另外，可以通过包括可以由装置处理子系统执行的程序指令的程序代码在许多不同类型的处理装置上实施在本文所描述的方法和系统。软件程序指令可以包含源代码、目标代码、机器代码或可操作以致使处理系统执行在本文所描述的方法和操作并且可以通过任何合适的语言(例如，c、c++、java或任何其他合适的编程语言)提供的任何其他存储的数据。然而，还可以使用其他实施方案，例如被配置成执行在本文所描述的方法和系统的固件或甚至适当设计的硬件。

所述系统和方法的数据(例如，关联、映射、数据输入、数据输出、中间数据结果、最终数据结果等)可以存储和实施于一种或多种不同类型的计算机实施的数据存储装置中，例如不同类型的存储装置和编程构造(例如，ram、rom、快闪存储器、平面文件、数据库、编程数据结构、编程变量、if-then(或类似类型)声明构造等)。应注意，数据结构描述了用于对数据进行组织并且将数据存储在数据库、程序、存储器或其他计算机可读介质中以供计算机程序使用的格式。

在本文所描述的计算机组件、软件模块、功能、数据存储装置和数据结构可以彼此直接或间接连接，以便允许它们的操作所需的数据流动。还应注意，模块或处理器包含(但不限于)执行软件操作的代码单元，且可以实施为(例如)子例程代码单元或软件功能代码单元或对象(如在面向对象的范式中)或小程序或以计算机脚本语言实施，或者实施为另一类型的计算机代码。软件组件和/或功能性可以位于单个计算机上或者跨多个计算机而分布，其取决于即将发生的情形。虽然已经详细地并且参考本公开的特定实施例描述了本公开，但本领域技术人员将明白，可以在不脱离实施例的精神和范围的情况下作出各种改变和修改。因此，期望本公开涵盖对本公开的修改和变化。