利用在线认证的安全远程令牌发布的制作方法

相关申请交叉引用

本申请要求2018年3月7日提交的标题为“利用在线认证的安全远程令牌发布(secureremotetokenreleasewithonlineauthentication)”的第62/639652号美国临时专利申请的权益和优先权，所述申请以引用的方式全面并入本文中。

背景技术：

随着用户可拥有的在线或计算机可访问账户数目不断增长，作为认证形式的用户名和密码已不足以保护用户账户。例如，记住许多站点的用户名和密码可能具有挑战性，而为多个账户设置相同的密码可能会增加一个账户受损时危害所有账户的可能性。密码管理器可能不方便，并且将所有用户密码存储在一个地方可能会有风险。密码还可能很容易地被恶意软件欺骗或捕获，而服务提供商处的数据外泄可能导致密码在暗网中扩散。

此外，虽然授权实体能够基于账户的信息来确定是否授权交易，但所说的这些授权实体无法认证用户装置的用户。因此，授权实体通常必须依赖资源提供商等另一实体来执行用户的认证。并非所有资源提供商都能提供相同的认证质量，而这会导致数据安全问题。

数据安全领域中要解决的另一个需要解决的问题是通过数据网络传送敏感凭证(例如，社会保障号、账号等)的问题。此类数据的传送可能会受到中间人的攻击。

本发明的各种实施例单独地以及共同地解决这些问题和其它问题。

技术实现要素：

本文描述一种用于认证用户而同时确保由合法装置执行认证的系统和技术。认证技术可包括通过通信装置注册用户的认证数据，例如生物特征数据。认证数据可链接到账户或服务提供商，并用于在访问账户时验证用户的身份。通信装置可与公钥/私钥对相关联，其中公钥存储在安全远程服务器上。当用户尝试访问账户或服务提供商时，用户可提供认证数据以向通信装置认证用户。此后，通信装置可使用私钥对认证指示符进行签名，并将认证指示符发送到安全远程服务器。在使用公钥验证签名后，安全远程服务器可例如通过发布令牌来准予用户的访问。

本公开的一个实施例涉及一种由安全远程交易服务器执行的方法，所述方法包括：从客户端装置接收登记账户的请求；验证所述客户端装置是否有权访问所述账户；将密码密钥对的至少公钥与所述账户关联存储，其中所述密码密钥对的至少私钥与所述账户相关联地存储在所述客户端装置上；以及生成与所述账户相关联的令牌，所述令牌与所述账户关联存储。在一些实施例中，所述方法还可包括：从访问装置接收完成与账户相关联的交易的请求，所述请求包括已签名认证指示符；使用与所述账户关联存储的公钥来验证所述认证指示符；以及在验证所述认证指示符后，将令牌提供给所述访问装置。

本公开的另一实施例涉及一种安全远程交易服务器，其包括处理器和存储器，所述存储器包括指令，所述指令在通过所述处理器执行时使所述安全远程交易服务器：从客户端装置至少接收登记账户的请求；验证所述客户端装置有权访问所述账户；将密码密钥对的至少公钥与所述账户关联存储，其中所述密码密钥对的至少私钥与所述账户相关联地存储在所述客户端装置上；以及生成与所述账户相关联的令牌，所述令牌与所述账户关联存储。在一些实施例中，所述指令还可使所述安全远程交易服务器：从访问装置接收完成与所述账户相关联的交易的请求，所述请求包括已签名认证指示符；使用与所述账户关联存储的公钥验证所述认证指示符；以及在验证所述认证指示符后，将令牌提供给所述访问装置。

本公开的又一实施例涉及一种由通信装置执行的方法，所述方法包括：接收注册用于与服务提供商相关联的账户的认证数据的请求；提示用户提供所述认证数据；从用户接收所述认证数据；将所述认证数据注册到所述通信装置上；获得密码密钥对的私钥；将所述私钥与所述账户和所述认证数据相关联，其中安全远程服务器将所述密码密钥对的公钥链接到与所述账户相关联的令牌。

在一些实施例中，上文所描述的方法还可包括：接收访问账户的请求；提示用户提供认证数据；从用户接收所述认证数据；将接收到的认证数据与注册的认证数据进行比较；确定接收到的认证数据匹配注册的认证数据；生成指示所述匹配的认证指示符；使用私钥对所述认证指示符进行签名；以及在访问请求中将已签名认证指示符发送到安全远程服务器，其中响应于使用公钥验证已签名认证指示符，所述安全远程服务器向服务提供商发布令牌以准予用户访问所述账户。

关于本发明的实施例的其它细节可参见具体实施方式和附图。

附图说明

图1描绘用于实施本公开的至少一些实施例的系统中可能涉及的数个部件；

图2描绘根据本公开的实施例的可被实施以提供安全远程交易的示例系统架构；

图3示出根据一些实施例的认证系统的注册过程；

图4描绘根据一些实施例的示例预配过程，由此用户能够手动添加其账户以由srt平台处理并且私钥和/或令牌可被预配到客户端装置上；

图5示出根据一些实施例的使用认证系统向服务提供商认证用户的过程；

图6示出根据一些实施例的使用多个装置向服务提供商认证用户的过程；

图7示出根据至少一些实施例的执行对用户的认证的过程的流程图；

图8示出根据至少一些实施例的注册认证数据的过程的流程图；以及

图9示出根据一些实施例的访问账户的过程的流程图。

具体实施方式

描述了不依赖密码的使用的增强型认证技术。在一些实施例中，可使用双因素认证方案，其中生物特征用于在通信装置上认证用户，而公钥/私钥密码术用于向远程服务器认证通信装置以准予用户访问与服务提供商相关联的账户、服务和/或功能。在一些实施例中，服务提供商可以是令牌服务提供商，并且双因素认证方案由系统用以从远程服务器发布令牌。接着，令牌可用于例如使用用户账户进行交易。本文所描述的各种实施例可在安全远程交易(srt)平台上实施。在2018年3月21日提交的第15/927754号美国专利申请中更详细地描述了上面可实施实施例的srt平台的示例，所述美国专利申请以引用的方式全面并入本文中。

在论述本发明的具体实施例之前，可详细描述一些术语。

“访问装置”可以是用于与商家计算机或交易处理网络通信并且用于与交易装置(例如，支付装置)、用户计算机设备和/或用户客户端装置交互的任何合适装置。访问装置通常可位于任何合适位置处，例如位于商家所在位置处。访问装置可呈任何合适的形式。访问装置的一些示例包括pos装置、蜂窝电话、pda、个人计算机(pc)、平板电脑、手持式专用读取器、机顶盒、电子收款机(ecr)、自动取款机(atm)、虚拟收款机(vcr)、查询一体机、安全系统、访问系统、网站等。访问装置可使用任何合适的接触或非接触式操作模式，以发送或接收来自便携式通信装置或与便携式通信装置相关联的数据。在访问装置可包括pos终端的一些实施例中，可使用任何合适的pos终端且其可包括读取器、处理器和计算机可读介质。读取器可包括任何合适的接触或非接触式操作模式。例如，示范性读卡器可包括与便携式通信装置交互的射频(rf)天线、光学扫描器、条形码读取器或磁条读取器。

“账户凭证”可包括与账户相关联的任何合适的信息(例如，账户和/或与账户相关联的便携式装置)。此类信息可与账户直接相关，或可源自与账户相关的信息。账户凭证的示例可包括pan(主账号或“账号”)、用户名、有效日期、cvv(卡验证值)、dcvv(动态卡验证值)、cvv2(卡验证值2)、cvc3卡验证值等。

“收单方”通常可以是与特定商家或其它实体有业务关系的业务实体(例如，商业银行)。一些实体可执行发行方和收单方功能两者。一些实施例可涵盖此类单个实体发行方-收单方。

“认证(authentication或authenticating)”可以是证明或验证某些信息和/或验证所述信息的来源的身份的过程。例如，用户可提供对于用户来说唯一的或仅用户知晓的认证数据以证明用户的身份。不同类型的认证数据的示例可包括生物特征(例如指纹、掌纹、面部识别、虹膜和/或视网膜识别、语音识别、步态或其它人类特性)、密码、pin、密保问题回答、对质询的密码响应、人类和/或装置签名等。

“授权实体”可以是授权请求的实体。授权实体的示例可以是发行方、政府机构、文件存储库、访问管理员等。“发行方”通常可指维护与客户端装置相关联的用户账户——例如在安装于客户端装置上的移动应用程序中登记的账户——的业务实体(例如银行)。授权实体还可将与账户相关联的账户参数发到客户端装置。授权实体可与主机系统相关联，所述主机系统代表授权实体来执行发行方的一些或全部功能。

“授权请求消息”可以是被发送来请求对交易的授权的电子消息。授权请求消息可被发送到交易处理网络和/或交易卡(例如，支付卡)的发行方。根据一些实施例的授权请求消息可符合iso8583，iso8583是用于交换与用户使用交易装置或交易账户进行的交易相关联的电子交易信息的系统的标准。授权请求消息可包括可用于标识账户的信息。授权请求消息还可包括额外数据元素，例如，服务代码、有效日期等中的一个或多个。授权请求消息还可包括交易信息，例如与当前交易相关联的任何信息，例如交易金额、商家标识符、商家位置等，以及可用于确定是否标识和/或授权交易的任何其它信息。授权请求消息还可包括其它信息，例如，标识生成授权请求消息的访问装置的信息、关于访问装置的位置的信息等。

“授权响应消息”可以是对授权请求消息的电子消息应答。授权响应消息可由发行金融结构或交易处理网络生成。仅作为举例，授权响应消息可包括以下状态指示符中的一个或多个：批准--交易被批准；拒绝--交易未被批准；或呼叫中心--响应未决的更多信息，商家必须呼叫免费授权电话号码。授权响应消息还可包括授权代码，所述授权代码可以是信用卡发卡银行响应于电子消息中的授权请求消息(直接地或通过交易处理网络)返回给商家计算机的指示批准交易的代码。所述代码可充当授权的证据。如上所指出，在一些实施例中，交易处理网络可向商家生成或转发授权响应消息。

“通信装置”可以是包括可与另一装置或实体通信的一个或多个电子部件(例如，集成芯片)的装置。例如，通信装置可以是包括耦合到存储器的至少一个处理器的计算装置，所述存储器存储用于由处理器执行的指令或代码，并且所述通信装置可包括允许通信装置与其它实体交互的通信接口。通信装置可以是可由用户运输和操作的便携式通信装置，并且可包括一个或多个电子部件(例如，集成芯片)。便携式通信装置可提供与网络的远程通信能力。便携式通信装置可被配置成将数据或通信传送到其它装置以及从其它装置接收数据或通信。便携式通信装置可呈客户端装置形式，例如移动电话(例如，智能电话、蜂窝电话等)、平板电脑、便携式媒体播放器、个人数字助理装置(pda)、可穿戴装置(例如，手表、例如健身跟踪器的健康监测装置等)、电子读取器装置等，或呈卡片(例如，智能卡)或挂件等形式。便携式通信装置的示例还可包括便携式计算装置(例如，笔记本电脑、上网本、超级本等)。便携式通信装置还可呈车辆(例如，汽车)的形式，或集成为车辆的部分(例如，车辆的信息系统)。通信装置的其它示例可包括iot装置、智能设备和电子件等。

“服务商”可以是能够认证客户端装置的用户的任何实体。服务商可包括客户端侧应用程序(例如服务商应用程序)以及能够支持客户端侧应用程序的后端服务器(例如服务商服务器)。在一些情况下，在从服务商服务器接收到认证客户端装置的用户的指令后，就可执行服务商应用程序。服务商应用程序可使上面安装有所述服务商应用程序的客户端装置获得用户特定数据。接着，可由客户端装置上的服务商应用程序或由服务商服务器将此用户特定数据与预期用户特定数据进行比较，以确定所获得的用户特定数据是否与预期用户特定数据匹配。在一些实施例中，服务商可以是电子钱包提供商(例如applepay)。应注意，服务商可与srt平台和/或发起者无关。

“发起者”可以是能够促进资源提供商与一个或多个srt平台之间的通信的任何实体。发起者可操作提供本文所描述的至少一部分功能的数个服务器。在一些情况下，发起者可从一个或多个srt平台获得批准和/或认可，以便结合那些srt平台而操作。资源提供商可向发起者进行登记，以便获得对本文所描述的至少一部分过程的取用。发起者可为向其登记的每个资源提供商提供嵌入在结账元件内的链接。所述链接在由希望与资源提供商交易的用户激活时可发起本文中所描述的过程，以便促进用户与资源提供商之间的交易。应注意，发起者可与srt平台和/或服务商无关。

“发行方”通常可指维护与便携式通信装置相关联的用户账户--例如在安装于便携式通信装置上的移动应用程序中登记的账户--的业务实体(例如银行)。发行方还可将与账户相关联的账户参数发到便携式通信装置。发行方可与主机系统相关联，所述主机系统代表发行方来执行发行方的一些或全部功能。

“密钥”可指在密码算法中用以将输入数据变换成另一表示的一条信息。密码算法可以是将原始数据变换成替代表示的加密算法，或将加密信息变换回到原始数据的解密算法。密码算法的示例可包括三重数据加密标准(tdes)、数据加密标准(des)、高级加密标准(aes)等。

“商家”通常可以是参与交易且可出售商品或服务或提供对商品或服务的取用的实体。

“实账户标识符”可指与账户相关联的原始账户标识符。例如，实账户标识符可以是由发行方针对卡账户(例如，信用卡、借记卡等)发行的主账号(pan)。例如，在一些实施例中，实账户标识符可包括十六位数值，例如，“4147090000001234”。实账户标识符的前六个数字(例如，“414709”)可表示可标识与实账户标识符相关联的发行方的实际发行方标识符(bin)。

术语“资源”通常是指可使用或消耗的任何资产。例如，资源可以是计算机资源(例如，存储的数据或联网计算机账户)、物理资源(例如，有形对象或物理位置)，或计算机之间的其它电子资源或通信(例如，对应于用于执行交易的账户的通信信号)。资源的一些非限制性示例可以是商品或服务、物理建筑物、计算机账户或文件，或支付帐户。在一些实施例中，资源可指金融产品，例如贷款或信用额度。

“资源提供商”可以是能够提供例如商品、服务、信息的资源和/或对此类资源的访问的实体。资源提供商的示例包括商家、在线或其它电子零售商、访问装置、安全数据访问点等。“商家”通常可以是参与交易且可出售商品或服务或提供对商品或服务的访问的实体。“资源提供商计算机”可以是由资源提供商操作的任何计算装置。

“安全远程交易(srt)平台”可以是能够以所描述的方式促进交易的任何实体。srt平台能够与发起者、服务商和交易处理网络通信。在一些实施例中，srt平台可包括srt服务器、令牌提供商和交易处理网络。srt平台可被配置成执行一个或多个过程，包括：从发起者接收交易请求；标识与交易相关联的账户；确定用于账户的适当服务商；使所确定的服务商认证与账户相关联的用户；生成要在交易中使用的令牌；以及向发起者提供令牌以完成交易。

“服务器计算机”可包括功能强大的计算机或计算机集群。例如，服务器计算机可以是大型主机、小型计算机集群或作为一个单元运作的一组服务器。在一个示例中，服务器计算机可以是耦合到web服务器的数据库服务器。服务器计算机可耦合到数据库，并且可包括用于服务来自一个或多个客户端计算机的请求的任何硬件、软件、其它逻辑或前述内容的组合。服务器计算机可包括一个或多个计算设备，并且可使用各种计算结构、布置和编译中的任一种来服务来自一个或多个客户端计算机的请求。

“令牌”可指一些信息的取代标识符。例如，交易令牌可包括交易账户的标识符，所述标识符取代主账号(pan)等账户标识符。例如，令牌可包括可用作原始账户标识符的取代的一系列字母数字字符。例如，令牌“4900000000000001”可用于代替pan“4147090000001234”。在一些实施例中，令牌可以是“保留格式的”，并且可具有与现有交易处理网络中使用的账户标识符一致的数值格式(例如，iso8583金融交易消息格式)。在一些实施例中，令牌可以是随机字符串。在一些实施例中，令牌可用于代替pan，以发起、授权、结算或解决交易。在通常提供原始凭证的其它系统中，令牌还可用于表示原始凭证。在一些实施例中，可生成令牌值，使得可能无法以计算方式从令牌值得到原始pan或其它账户标识符的恢复。此外，在一些实施例中，令牌格式可被配置成允许接收令牌的实体将其标识为令牌并辨识发行令牌的实体。

“令牌化”可指用取代数据替换数据的过程。例如，可通过用与账户标识符相关联的取代数字(例如，令牌)替换账户标识符来将账户标识符(例如，主账号(pan))令牌化。此外，令牌化可应用于可用取代值替换的其它信息。令牌化可用于提高交易效率、提高交易安全性、提高服务透明度或提供第三方实现的方法。

“令牌服务提供商”可指包括生成、处理和维护令牌的一个或多个服务器计算机的实体。令牌服务提供商可包括令牌库或与令牌库通信，所述令牌库中存储生成的令牌。具体地说，令牌库可维护令牌与由令牌表示的数据(例如实账户标识符)之间的一对一映射。令牌服务提供商可将报告或数据输出提供给有关被批准、待决和/或被拒绝的令牌请求的报告工具。令牌服务提供商可将与基于令牌的交易相关的数据输出提供给报告工具和应用程序，并且在报告输出中适当地呈现令牌和/或由令牌取代的数据(例如，实账户标识符)。

“令牌库”可指维护已建立的令牌到pan映射的存储库。根据各种实施例，令牌库还可维护令牌请求者的其它属性，所述属性可在注册时被确定，并且可由令牌srt服务器用以在交易处理期间施加域限制或其它控制。令牌库可以是令牌服务系统的一部分。在一些实施例中，令牌库可被提供为令牌srt服务器的一部分。或者，令牌库可以是令牌srt服务器可访问的远程存储库。令牌库因其中存储和管理的数据映射的敏感性质而可受到强大的基础物理和逻辑安全性的保护。

“交易”可以是两方或更多方之间的任何交互或交换。例如，交易可包括第一实体从第二实体请求资源。在此示例中，当向第一实体提供资源或交易被拒绝时，交易完成。

“交易处理网络”或“处理网络”可指用于接受、传送或处理由支付装置针对资金、商品或服务进行的交易的电子支付系统。处理网络可在授权实体(例如发行方)、收单方、商家和支付装置用户之间传输信息和资金。

图1描绘用于实施本公开的至少一些实施例的系统中可涉及的数个部件；在图1中，客户端装置102可通过网络连接(无线的或物理的)与数个远程实体通信。例如，客户端装置102可用于访问由资源提供商服务器104或授权实体服务器106(例如通过浏览器应用程序)维护的网站。在此示例中，网站可嵌入结账元件，所述结帐元件被配置成使客户端装置102发起与发起者服务器108的通信。发起者服务器108继而可与多个安全远程交易(srt)平台110通信。

在一些实施例中，客户端装置102可在其上安装数个服务商应用程序112。服务商应用程序可被配置成使客户端装置102与数个服务商应用程序服务器114通信，以便认证客户端装置102的用户。在一些实施例中，客户端装置102可在其存储器中存储一个或多个密码密钥以与安装在客户端装置102上的服务商和/或客户端装置102本身相关联。

在本发明的一些实施例中，客户端装置102可以是移动装置(例如移动电话)。所述移动装置能够与手机信号塔(例如通过gsm、lte、4g等蜂窝通信)和无线路由器(例如通过wifi)通信。所述移动装置可存储用户账户凭证，例如pan(主账号)、令牌、名称、地址、cvv、有效日期和任何其它合适的信息。所述移动装置还可存储与移动装置本身或在移动装置上安装的应用程序相关联的一个或多个私人密码密钥。可通过硬件(例如安全元件)或软件安全地存储此类数据。

在一些实施例中，资源提供商服务器104可与具有电子目录的在线零售商或另一合适的资源提供商相关。资源提供商服务器104可向安装在客户端装置102上的浏览器提供资源提供商网站的一个或多个页面。在一些实施例中，提供给浏览器应用程序的网站可含有在使用浏览器应用程序访问时发起与发起者服务器108的通信的门户网站或链接。

在本发明的一些实施例中，授权实体服务器106可以是被配置成确定是否批准交易由特定用户进行的任何计算装置。授权实体服务器106可维护数个账户，其中一个或多个账户与特定用户相关联。每个账户可与某个量的资源(例如，余额)相关联，对交易的授权可基于所述资源。然而，虽然授权实体服务器106能够确定是否授权用户的交易，但授权实体服务器106可能因其处于所述用户的远程位置而无法认证用户。因此，授权实体服务器106可被配置成使用本文所描述的系统的实施例来认证用户。在一些实施例中，在成功地将用户登记到本文所描述的系统中之后，授权实体服务器106可生成令牌以与用户相关联，并且可将令牌提供到srt平台110以连同一对密码密钥一起绑定到客户端装置102。

发起者服务器108可以是被配置成标识用户、标识所述用户的账户、接收对那些账户中的一个账户的选择、将所选账户传达到与所述账户相关联的srt平台110并使用所选账户完成交易的任何合适的计算装置。在一些实施例中，发起者服务器108还可被配置成验证从客户端装置102接收到的已签名数据。例如，发起者服务器可在从客户端装置102接收到数据时使用与客户端装置102或安装在客户端装置102上的应用程序相关联的公用密码密钥来验证所述数据。

在一些实施例中，可跨一个或多个srt平台110实施所述系统。srt平台可各自与交易处理网络相关联。每个srt平台可包括srt服务器(或多个服务器)110(a)、令牌数据110(b)和处理网络110(c)的某个组合。多个账户可与单个srt平台相关联。例如，用户可与各自与不同认证实体相关联的两个不同账户相关联，而两个账户都能够使用单个srt平台处理。srt服务器110(a)可被配置成标识与账户相关联的一个或多个服务商应用程序112，并且使得使用那些服务商应用程序112中的一个服务商应用程序来认证用户。这可涉及将认证请求传达到与特定服务商应用程序112相关联的服务商应用程序服务器114。

另外，一旦用户已被认证，则客户端装置102或srt服务器110(a)可被配置成生成要与特定客户端装置102绑定(或以其它方式相关联)的密码密钥和/或令牌，所述密码密钥和/或令牌被存储在相应令牌数据110(b)中，使得可使用存储的公钥验证从所述客户端装置102接收到的数据。在接收到客户端装置102已由授权实体服务器106验证的指示时，令牌和密码密钥可绑定到客户端装置102。在一些实施例中，srt服务器110(a)可将与客户端装置102相关联的公钥传递到发起者服务器208，其可验证从客户端装置102接收到的数据并生成包括要用于交易的令牌的交易信息。令牌与交易之间的映射可由srt服务器110(a)在其相应令牌数据中维护。在一些实施例中，srt服务器110(a)可从各种授权实体接收数个文件，每个文件可包括电子邮件地址与各种pan之间的映射。以此方式，srt服务器110(a)可维护用户标识符信息与账户之间的映射。

服务商应用程序112可以是安装在客户端装置102上的任何合适的计算机可执行指令集，所述计算机可执行指令集在被执行时使客户端装置102执行认证过程。在一些实施例中，认证过程可涉及与客户端装置102的用户相关联的生物特征信息的集合。例如，服务商应用程序112可获得要用于认证用户的声纹或指纹数据。服务商应用程序可与安装在客户端装置102上的硬件相联系。服务商应用程序112的示例可包括指纹、视网膜或语音扫描应用程序。与那些应用程序相关联的硬件可包括指纹、视网膜或语音扫描硬件，例如指纹传感器、视网膜传感器或语音传感器。其它类型的服务商应用程序112还可包括pin和密码服务商应用程序。在一些实施例中，服务商应用程序112可以是钱包srt服务器。

服务商应用程序服务器114可以是为服务商应用程序112提供支持的任何合适的计算装置。在一些实施例中，服务商应用程序服务器114可代表服务商应用程序112执行认证处理。例如，服务商应用程序112可使客户端装置102从客户端装置102的用户获得认证数据。一旦获得认证数据，就可将所述认证数据传送给对应于用于收集认证数据的服务商应用程序的服务商应用程序服务器114。接着，可由服务商应用程序服务器114将认证数据与所述用户的已记录认证数据进行比较。一旦用户已被认证，服务商应用程序服务器114和/或服务商应用程序112就可生成指示用户已被认证的认证结果。客户端装置102可使用特定于客户端装置102并由客户端装置102存储的私钥来对接收到的认证结果进行签名。

对于本公开的至少一些实施例的说明性示例，设想用户希望登记到本文所描述的系统中并进行交易的情境。在此情境中，用户可请求向特定授权实体服务器106登记。可使所述请求与由所述授权实体服务器106维护的特定账户(例如，由银行机构维护的信用卡账户)相关。授权实体服务器106可引用与特定账户相关联的账户数据，以便标识联系信息。一旦标识，授权实体服务器106就可通过存储的联系信息向用户传送验证消息。在一些实施例中，验证消息可包括可要求用户通过要验证的客户端装置102输入的一次性密码(otp)或其它动态验证数据。一旦验证，授权实体服务器106就可将客户端装置102的指示提供给srt平台110。可由授权实体服务器106、客户端装置102或srt平台110为客户端装置102生成令牌和密码密钥。一旦生成，令牌和密码密钥对中的至少私人密码密钥就可被传送到客户端装置102。

在使用上文说明性情境登记客户端装置102后，用户可访问商家(资源提供商104)网站以完成交易(例如，进行购买)。在此情境中，在选择用于交易的多个项目后，用户可被提供商家网站的结账页面。结账页面可包括项目、价格、数量或任何其它合适的交易相关信息的列表。另外，结账页面可包括可被选择以发起交易的结账元件。一旦已选择结账元件，用户就能够选择与授权实体服务器106相关联的账户以用于完成交易。

在接收到与授权实体服务器106相关联的账户的选择后，srt平台110可使服务商应用程序112被执行以便认证用户。接着，服务商应用程序112可执行认证过程，并在完成认证过程后可返回指示用户是否已向客户端装置102进行认证的认证指示符。在此情境中，客户端装置102接着可通过使用密码密钥对的私人密码密钥针对认证指示符执行密码算法来对认证指示符进行签名。已签名认证指示符可通过发起者应用程序服务器108提供到srt平台110。

在验证认证指示符并确认用户经过认证后，srt平台110可将与客户端装置102相关联的令牌提供回到发起者应用程序服务器108。发起者服务器108随后可使用接收到的令牌来完成所请求的交易。

为了清晰起见，图1中示出特定数目的部件。然而，应理解，对于每种部件，本发明的实施例可包括不止一个。另外，本发明的一些实施例可包括比图1中所示的所有部件少或多的部件。另外，图1中的部件可使用任何合适的通信协议通过任何合适的通信媒体(包括互联网)通信。

图2描绘根据本公开的实施例的可被实施以提供安全远程交易的示例系统架构。在图2中，srt服务器202可通过网络连接208与数个客户端装置204和授权实体服务器206通信。网络连接208可包括至少一交易处理网络。在一些实施例中，srt服务器202可以是图1的示例srt服务器110。

在至少一些实施例中，srt服务器202可包括至少一个存储器214和一个或多个处理单元(或处理器)216。处理器216可在适当时以硬件、计算机可执行指令、固件或其组合进行实施。处理器216的计算机可执行指令或固件实施例可包括以任何合适的编程语言编写的用于执行所描述的各种功能的计算机可执行指令或机器可执行指令。

存储器214可存储可在处理器216上加载和执行的程序指令，以及在这些程序的执行期间生成的数据。取决于srt服务器202的配置和类型，存储器214可以是易失性的(例如随机存取存储器(ram))和/或非易失性的(例如只读存储器(rom)、快闪存储器等)。srt服务器202还可包括额外存储装置218，例如可移除存储装置或不可移除存储装置，包括但不限于磁性存储装置、光盘和/或磁带存储装置。磁盘驱动器和其相关联的计算机可读介质可提供计算机可读指令、数据结构、程序模块和用于srt服务器202的其它数据的非易失性存储。在一些实施例中，存储器214可包括多种不同类型的存储器，例如静态随机存取存储器(sram)、动态随机存取存储器(dram)或rom。

更详细地转向存储器214的内容，存储器214可包括操作系统和用于实施本文公开的特征的一个或多个应用程序或服务，所述存储器包括用于将账户绑定到令牌和/或密码密钥的至少一模块(账户绑定模块220)。存储器214还可包括：账户数据222，其提供与用户账户关联存储的数据；密码密钥数据224，其提供与客户端装置204关联存储的公用密码密钥的至少一列表；和/或令牌数据220，其提供生成的令牌与交易或账户之间的映射。

在一些实施例中，账户绑定模块220可结合处理器216被配置成从授权实体服务器206接收客户端装置204要相对于特定账户进行登记的指示。在一些实施例中，所述指示可包括客户端装置204的装置标识符(例如，电话号码)以及账号(例如，主账号(pan))。在一些实施例中，在接收到指示后，账户绑定模块220可生成要与客户端装置204相关联的令牌。令牌可由srt服务器202存储在与客户端装置204相关的令牌库(例如，令牌数据226)内。另外，账户绑定模块220可生成与客户端装置204和账号相关联的密码密钥对。密码密钥对中的一个密钥可被指派为私钥234，而另一密钥可被指派为公钥238。被指派为私钥234的密码密钥可使用已知安全密钥递送协议输送到客户端装置204。在一些实施例中，可通过由srt服务器202传送到客户端装置204的消息(例如，通过接收到的装置标识符)将私钥234预配到客户端装置204上。在一些实施例中，可通过由授权实体服务器206传送到客户端装置204的消息将私钥234预配到客户端装置204上。在一些实施例中，可将公钥238传送给授权实体服务器206。在一些实施例中，账户绑定模块220可被配置成验证由客户端装置204使用私钥234签名的认证指示符的真实性。

在一些实施例中，账户绑定模块220还可被配置成在接收到从客户端装置204接收的认证指示符已被验证的指示后生成令牌。在一些实施例中，令牌可以是仅被授权与相关的特定交易一起使用的一次性使用令牌。在一些实施例中，令牌可特定于客户端装置204和资源提供商两者，因为令牌可由资源提供商针对所述客户端装置204多次使用(例如“存档卡”令牌)。例如，在首次与特定客户端装置204进行操作时，资源提供商可接收以本文所描述的方式生成的令牌。接着，资源提供商可将令牌存储在存储器中以结合客户端装置204一起使用，直到与所述令牌相关联的有效日期(或某一其它合适的期满条件)为止。账户映射模块220可将生成的令牌存储在令牌库(例如令牌数据226)中，所述令牌库具有到账户的映射，令牌针对所述账户而生成。在接收到包括令牌的授权请求消息后，srt服务器202可查询令牌库以标识与令牌相关联的账户。接着，srt服务器202可使用所标识的账户信息继续进行授权请求消息的交易。

srt服务器202还可含有使srt服务器202能够与存储的数据库、另一计算装置或服务器、一个或多个远程装置、其它应用程序服务器和/或任何其它合适的电子装置通信的通信接口228。在一些实施例中，通信接口228可使srt服务器202能够与网络上(例如专用网络上)的其它电子装置通信。srt服务器202还可包括输入/输出(i/o)装置和/或端口230，例如用于实现与键盘、鼠标、笔、语音输入装置、触摸输入装置、显示器、扬声器、打印机等的连接。

客户端装置204可以是能够与其它电子装置通信的任何电子装置。例如，客户端装置204可以是能够与数个其它电子装置进行无线通信的移动电话。在一些实施例中，客户端装置204可以是图1中描绘的客户端装置102的示例。客户端装置204可在其上安装数个软件模块，包括认证应用程序231和至少一个服务商应用程序232。在一些实施例中，客户端装置还可在其存储器中包括至少一个私钥234。在一些实施例中，认证应用程序231可包括使客户端装置204执行本文所描述的至少一部分功能的计算机可执行指令。例如，在一些实施例中，客户端装置204的认证应用程序231可被配置成响应于验证接收到的认证数据而生成私钥234(和相关公钥238)。

在一些实施例中，服务商应用程序232可以是安装在客户端装置204上并从所述客户端装置执行的移动应用程序。根据至少一些实施例，服务商应用程序232可被配置成认证用户并生成指示用户是否已被认证的认证指示符。接着，客户端装置204的认证应用程序231可被配置成通过使用私人密码密钥234对认证指示符执行密码算法来对认证指示符进行签名，所述私人密码密钥由上文所描述的账户绑定模块220提供到客户端装置。应注意，存在所属领域的技术人员可能已知的用于以此方式对数据进行签名的数种技术。在一些实施例中，客户端装置204可存储由上文所描述的账户绑定模块220生成的令牌。然而，应注意，在至少一些实施例中，不需要向客户端装置提供令牌。

在一些实施例中，授权实体206可以是图1中描绘的授权实体服务器106的示例，其可被配置成确定是否应授权特定交易。授权实体206可维护数个账户，其中至少一个账户可与客户端装置204相关联。在一些实施例中，授权实体206可维护数个令牌236，所述令牌被映射到由授权实体维护的账户。在一些实施例中，授权实体206可维护与特定客户端装置204相关联的一个或多个公钥238。应注意，在一些实施例中，授权实体206可能不存储令牌数据236或公钥238(例如，数据可存储在srt服务器202上)。

图3示出根据一些实施例的认证系统300的注册过程。认证系统300可包括由用户操作的通信装置，例如客户端装置310，以及安全远程服务器320。在系统300用于认证要进行交易的用户的一些实施例中，系统300还可包括与用户账户相关联的发行方330(授权实体的示例)。客户端装置310可在其中安装认证应用程序。认证应用程序可例如从应用程序商店下载或被预安装在客户端装置310上。在一些实施例中，认证应用程序可与多个服务提供商兼容，并且可用于在不同服务提供商的情况下认证用户。安全远程服务器320可安全地存储与用户账户相关联的凭证，并且可被配置成在向安全远程服务器320成功认证客户端装置310后发布用户的凭证。在一些实施例中，安全远程服务器320可与令牌服务提供商相关联或由令牌服务提供商操作。

注册过程可通过用户在客户端装置310上启动认证应用程序而开始。用户可选择生物特征服务商以向认证应用程序注册。生物特征服务商的示例可包括被配置成使客户端装置310获得指纹、视网膜扫描、面部识别、语音识别或可由客户端装置310检测到的其它独特人类特性的服务商应用程序。在一些实施例中，耦合到或接近客户端装置310的次级装置的存在可用作替代服务商。用户可向认证应用程序注册多种类型的服务商，并且只需要将每个特定服务商注册一次。接着，可选择已注册服务商来用于向一个或多个可兼容服务提供商认证用户。

接下来，用户可选择可兼容服务提供商，并配置哪个服务商将用于向服务提供商认证用户。可针对特定服务提供商选择一个或多个服务商。在一些实施例中，不同服务商或服务商的不同组合可用于不同的服务提供商。当针对特定服务提供商选择多个服务商时，可在已验证所有所述多个服务商时或在已验证所述多个服务商中的一个服务商时认证用户。在一些实施例中，可对服务商进行优先级排序，使得首先请求更高优先级服务商，并且在预定数目的不成功尝试之后可请求较低优先级服务商。在一些实施例中，用户还可任选地向服务提供商注册客户端装置310的电话号码或其它装置标识符。

在将所选服务商链接到特定服务提供商时，认证应用程序可生成公钥/私钥对，并将所述公钥/私钥对与服务提供商相关联。接着，公钥可被发送到与服务提供商相关联的安全远程服务器320以进行存储。在一些实施例中，也可任选地将公钥发送到发行方330，而发行方330可生成一次性密码(otp)并将otp发送到客户端装置310以进行验证。客户端装置310可将otp发送回到安全远程服务器320以验证客户端装置320是用户的有效装置，发行方330和/或安全远程服务器320接着可为用户账户预配令牌，并将令牌与所选服务商和公钥相关联。在一些实施例中，令牌不需要存储在客户端装置310上。替代地，令牌可存储在安全远程服务器320处，并在向安全远程服务器320认证用户和客户端装置310后由安全远程服务器320发布。这可增强系统的安全性，因为令牌不驻存在客户端装置310上，因此不可能受到客户端装置310上的恶意软件的损害。

图4描绘根据一些实施例的示例预配过程，由此用户能够手动添加其账户以由srt平台处理并且私钥和/或令牌可被预配到客户端装置上。

在此示例预配过程中，用户可向srt平台提供与用户相关联的一个或多个账户的指示。在一些实施例中，srt平台可标识并联系与所指示账户相关联的授权实体(例如发行方)。例如，srt平台可基于提供的账户信息内的指示符来标识与由用户指示的特定账户相关联的授权实体。srt服务器继而可与所述授权实体通信以验证账户。与账户相关联的授权实体接着可验证用户与账户相关联。接着，可如本文所描述执行认证过程。

在一些实施例中，此过程可涉及在404处需要用户通过输入区域402提供至少一个账号。接着，srt平台可基于提供的账号来确定与账户相关联的交易处理网络和/或授权实体。应注意，至少一些账户标识符可包括可用于将交易处理网络和授权实体均标识为账号的一部分的银行标识号(bin)。接着，srt平台可和与所标识的交易处理网络相关联的所标识的授权实体通信。

在一些实施例中，与所标识的交易处理网络相关联的所标识的授权实体可标识与账户的用户相关联的一个或多个通信渠道。例如，在向授权实体开立账户时，用户可与特定的通信渠道相关联。可在406处向用户呈现一个或多个通信渠道，或至少是那些通信渠道的模糊版本，以使用户能够通过那些通信渠道验证他或她对账户的所有权。在一些实施例中，可向用户呈现多个通信渠道以供其选择。在一些实施例中，可选择默认通信渠道以用来与用户通信。

一旦标识出适当的通信渠道，授权实体或srt平台就可通过所标识的通信渠道向用户传送验证明细。在一些实施例中，验证明细可包括代码或pin。接着，在408处可要求用户提供那些验证明细回来，以便验证用户至少可以利用所述通信渠道。

在一些实施例中，一旦已使用图4中所描绘的技术将用户验证为账户的所有者，就可将私人密码密钥预配到发起所述过程的客户端装置上。私人密码密钥可由srt服务器生成，并且可由客户端装置用于在将来对认证指示符进行签名。

作为所说明示例，如图4中所描绘，在404处可提示用户输入要与他自己或她自己相关的账户。在此示例中，授权实体一旦被联系就可发起验证过程。例如，授权实体可将验证明细(例如一次性代码)提供到已知与用户相关联的通信渠道。为此，在406处，授权实体可向用户提供对验证明细将被传送到的通信渠道的选择。接着，在408处，可要求用户检取验证明细以便验证用户是真实的。如果由用户提供的验证明细与通过所选通信渠道发送的验证明细匹配，则在410处可将账户验证为与用户相关联，并且可将私钥预配到客户端装置上。应注意，本文所描述的验证过程可与其它处所描述的认证过程分开。在一些实施例中，即使用户以图4所描述的方式验证了其对账户的所有权，仍然可使用本文中所描述的其它技术认证用户。在使用本文所描述的技术进行认证时，可使用预配的私钥对因所述认证而生成的认证指示符进行签名。

图5示出根据一些实施例的使用认证系统向服务提供商认证用户的过程。当用户打算访问与服务提供商相关联的账户、服务或功能时，用户可启动与客户端装置510上的服务提供商相关联的应用程序。所述应用程序可以是用于注册用户的服务商的相同认证应用程序、由服务提供商提供或与服务提供商相关联的专用应用程序(例如移动钱包、移动支付应用程序、商家应用程序等)，或可以是用户可借以访问服务提供商的网页或登录页面的网页浏览器。应用程序可确定先前链接到用户尝试访问的服务提供商的一个或多个服务商，并请求用户提供与服务提供商相关联的所述一个或多个服务商。在一些实施例中，应用程序可在服务商的组合被使用的情况下请求用户提供所有服务商，或可根据优先级排序次序请求服务商。接着，用户可向客户端装置510提供服务商。在验证用户提供的服务商与先前注册的服务商匹配后，客户端装置510可使用通过服务提供商链接到用户账户的私钥来对认证指示符进行签名。

接着，包括已签名认证指示符的访问请求被发送到安全远程服务器520，以向安全远程服务器520指示用户已被成功地认证到客户端装置510。在一些实施例中，访问请求可包括表示服务商的数据，或指示用户提供了哪个(哪些)服务商的指示符。接着，安全远程服务器520可通过使用链接到与服务提供商相关联的用户账户的存储的公钥验证签名。在验证签名后，安全远程服务器520可准予用户访问服务提供商。

在安全远程服务器520与令牌服务提供商相关联的实施例中，安全远程服务器520可将与用户账户相关联的令牌发布到商家540，以使得用户能够与商家540进行交易。在一些实施例中，访问请求还可包括交易的交易明细，而安全远程服务器520可生成交易认证验证值并且提供所述交易认证验证值和令牌。例如，交易认证验证值可以是基于交易明细和/或令牌生成的密码。接着，商家540可在授权请求消息中提供令牌或令牌以及交易认证验证值以请求对交易的授权。

在一些情境中，用户可使用与用于注册用户的服务商的通信装置不同的装置访问服务提供商。由此，用户正在用以访问服务提供商的装置可能没有先前存储的认证用户所必要的服务商或传感器硬件。例如，用户可使用台式计算机而非用户的客户端装置来访问商家网站，而台式计算机可能没有指纹读取器或无权访问用户先前存储的指纹数据以正确认证用户。在此类情境中，可使用跨装置认证方案。

图6示出根据一些实施例的使用多个装置向服务提供商认证用户的过程。当用户尝试从不同装置访问服务提供商时，例如使用装置650上不具有先前存储的服务商的网页浏览器访问服务提供商的网站时，用户可输入电话号码或ip地址等装置标识符，所述装置标识符与确实具有所述装置标识符的通信装置610相关联。接着，装置650可向通信装置610推送认证请求。作为响应，通信装置610可请求用户提供与服务提供商相关联的服务商。接着，用户可向客户端装置610提供服务商。在验证用户提供的服务商与先前注册的服务商匹配后，通信装置310可使用通过服务提供商链接到用户账户的私钥对认证指示符进行签名。

接着，包括已签名认证指示符的访问请求被发送到安全远程服务器620，以向安全远程服务器620指示用户已被成功地认证到通信装置610。在一些实施例中，访问请求可包括表示服务商的数据，或指示用户提供了哪个(哪些)服务商的指示符。接着，安全远程服务器320可使用链接到与服务提供商相关联的用户账户的存储的公钥来验证签名。在验证签名后，安全远程服务器620可准予用户访问服务提供商。

在安全远程服务器620与令牌服务提供商相关联的实施例中，安全远程服务器620可将与用户账户相关联的令牌发布商家640，用户在装置350上访问所述商家的网站以使用户能够与商家640进行交易。在一些实施例中，访问请求还可包括交易的交易明细，而安全远程服务器620可生成交易认证验证值并且结合令牌提供所述交易认证验证值。例如，交易认证验证值可以是基于交易明细和/或令牌生成的密码。交易认证验证值可在授权请求消息中伴随令牌，并且可充当证据证明令牌被用在合适的对应交易渠道或模式(例如，物理销售点与电子商务)中。接着，商家640可在授权请求消息中提供令牌或令牌以及交易认证验证值以请求对交易的授权。

图7示出根据至少一些实施例的执行对用户的认证的过程700的流程图。过程700可在图2中描绘的安全远程交易服务器202上执行。

过程700可在702处开始，其中接收到向本文所描述的系统登记账户的请求。在一些实施例中，请求可由客户端装置的用户通过安装在所述移动装置上的移动应用程序提交。在一些实施例中，请求可从授权实体输送到安全远程交易服务器。例如，在提交将账户登记到用户描述的系统中的请求后，所述请求可被传送到授权实体。接着，授权实体可将请求转发到安全远程交易服务器。在此示例中，在请求被转发到安全远程交易服务器之前或之后，授权实体可确定客户端装置的用户是否被授权访问账户。

在704处，所述过程可涉及确定用户被授权访问账户。在一些实施例中，这可涉及安全远程交易服务器或与账户相关联的授权实体通过所存储的关于账户的通信渠道联系用户。例如，在创建账户时，用户可能需要通过了解客户(例如，kyc)过程提供将与账户相关联的通信渠道(例如，电子邮件地址或电话号码)。在此示例中，可通过在账户创建期间提供的通信渠道来联系用户。在一些实施例中，确定用户被授权访问账户可涉及通过通信渠道向用户传送一次性密码以及使客户端装置提示用户输入一次性密码。在这些实施例中，在确定由用户输入的一次性密码与传送的一次性密码匹配后，可确定用户被授权访问账户。

在706处，可生成与账户相关的密码密钥对。至少密码密钥对的公钥可被存储在安全远程交易服务器上。至少密码密钥对的私钥可被存储在客户端装置上。在一些实施例中，密码密钥对可由客户端装置生成。例如，客户端装置可生成密码密钥对并且随后可将公钥传送到安全远程交易服务器。在一些实施例中，安全远程交易服务器可生成密码密钥对。例如，安全远程交易服务器可生成密码密钥对并且随后可将私钥传送到客户端装置。在一些实施例中，除了存储公钥之外，安全远程交易服务器还可将公钥转发到与登记的账户相关联的授权实体。

在708处，过程可涉及生成与账户相关联的令牌。在一些实施例中，令牌可由安全远程交易服务器生成。在一些实施例中，令牌可由授权实体服务器生成并被传送到安全远程交易服务器。接着，生成的令牌可与账户关联存储。

在710处，过程可涉及接收完成交易的请求。在一些实施例中，可在安全远程交易服务器处从管理对一个或多个资源的访问的访问装置接收请求。所述请求可包括与所请求的交易以及已签名认证指示符相关的各种明细。例如，在发起所请求的交易后，可提示用户提供一个或多个生物特征样本。由用户提供的生物特征样本可由客户端装置上的服务商应用程序处理，以确定用户的真实性。一旦确定，服务商应用程序就可生成认证指示符，所述认证指示符指示请求交易的用户是登记到账户中的用户的可能性。接着，客户端装置可通过使用在706处生成并存储在客户端装置上的私钥来对认证指示符执行密码操作而对此认证指示符进行签名。已签名认证指示符可在710处接收到的请求内被提供到安全远程交易服务器。

在712处，在接收到已签名认证指示符后，安全远程交易服务器可通过使用在706处生成并存储在安全远程交易服务器处的公钥来对已签名认证指示符执行第二密码操作而验证已签名认证指示符。在此过程中，第二密码操作可引起认证指示符的未签名版本的创建，所述未签名版本可接着被处理以确定用户是否被认证。在一些实施例中，认证指示符的未签名版本可与预期认证指示符结果进行比较。在一些实施例中，认证指示符的未签名版本中的可能性值可与可接受风险阈值进行比较，以确定是否应进行交易。例如，所生成的认证指示符的未签名版本可包括请求交易的用户是登记到账户中的用户的可能性。在此示例中，所述可能性可与预定阈值进行比较。如果可能性大于预定阈值，则可验证已签名认证指示符。在验证已签名认证指示符后，过程可涉及在714处发起所请求的交易。这可涉及将在708处与账户关联存储的令牌提供到访问装置，在710处从所述访问装置接收请求。

图8示出根据至少一些实施例的注册认证数据的过程800的流程图。过程800可在由用户操作的通信装置上执行，所述通信装置可以是图1中描绘的客户端装置102的示例。

过程800可在框802处开始，接收注册用于与服务提供商相关联的账户的认证数据的请求。在一些实施例中，用户可指示要注册的一个或多个账户。例如，用户可选择一个或多个信用卡号或银行账号以登记到系统中。

在框804处，可提示用户提供认证数据。在一些实施例中，用户可选择要提供的认证数据类型以及用于认证用户的应用程序(例如，生物特征服务商)。在一些实施例中，系统可自动选择应用程序来认证用户。应注意，执行所述认证的应用程序(例如服务商应用程序)可不同于用于请求向系统注册的应用程序。

在框806处，例如通过通信装置上的传感器从用户接收认证数据。例如，用户可向客户端装置提供生物特征样本，其包括指纹、声纹、面部图像或其它合适的生物特征信息。在框808处，接收到的认证数据可被注册并存储到通信装置上或在支持通信装置上安装的服务商应用程序的远程服务器(例如服务商应用程序服务器)上。接着，可处理认证数据以认证通信装置的用户。例如，服务商应用程序可生成指示用户是否已被认证的认证指示符。

在框810处，通信装置可获得公钥和私钥对。在一些实施例中，至少一私钥可由通信装置从安全远程服务器(例如，srt服务器)接收。例如，通信装置可将认证指示符连同登记数据一起发送到安全远程服务器，并且可接收由安全远程服务器生成的私钥。在一些实施例中，密码密钥对中的公钥和私钥对可由通信装置生成。在一些实施例中，可使用从安全远程服务器获得的信息和/或与通信装置相关的信息来生成密码密钥对。例如，通信装置可从安全远程服务器接收基础密钥对，并且可使用利用来自通信装置的信息修改基础密钥对的某种算法来生成密码密钥对。在框812处，私钥与账户和认证数据相关联，并存储在通信装置上。

在框814处，将生成的公钥发送到安全远程服务器，并且安全远程服务器将公钥链接到与账户相关联的令牌。在一些实施例中，令牌可被用户用于访问与账户相关联的服务，并且可充当账户的实账户标识符的取代。

图9示出根据一些实施例的访问账户的过程900的流程图。根据至少一些实施例，过程900可在通信装置上执行，所述通信装置可以是图1中描绘的客户端装置102的示例。

过程900可在框902处开始，从用户通信装置接收访问账户的请求。在框904处，可提示用户提供先前针对账户注册的认证数据。在一些实施例中，可提示用户通过安装在通信装置上的移动应用程序(例如，服务商应用程序)提供认证数据，所述移动应用程序与用户借以请求访问账户的移动应用程序分开。

在框906处，例如通过通信装置上的传感器从用户接收认证数据。在框908处，接收到的认证数据与注册的认证数据进行比较。在框910处，确定接收到的认证数据与注册的认证数据匹配。在一些实施例中，注册的认证数据可被存储在支持生物特征服务商应用程序的远程服务器上，并且此步骤可涉及向所述远程服务器提供接收到的认证数据以供验证。在一些实施例中，注册的认证数据可存储在通信装置上并且在通信装置上验证。

在框912处，响应于确定匹配，生成认证指示符以指示用户已被验证。在框914处，生成的认证指示符可使用存储在与账户相关的通信装置上的私钥进行签名。

在框916处，已签名认证指示符可在访问请求内发送到安全远程服务器。安全远程服务器可使用与账户相关联的公钥验证已签名认证指示符，并响应于确定认证指示符被验证，将与账户相关联的令牌发布到服务提供商以准予用户访问账户。在一些实施例中，认证指示符的验证可涉及使用引起认证指示符的未签名版本的生成的公钥对已签名认证指示符执行密码操作。接着，可将认证指示符的未签名版本与认证指示符的预期未签名版本进行比较。

本公开的实施例提供优于常规系统的数个技术优势。例如，本公开的实施例通过利用移动装置上的现有服务商应用程序来实现对用户的认证，同时使srt平台和授权实体能够确保所述认证由合法的客户端装置执行。由于授权实体目前在常规系统中无法获得此保障，因此这表示对此类系统的技术改进(因为这些系统不包括提供此功能的技术方法)。此外，如上文所描述的过程流程所指示，本发明的实施例可用于在进行远程交易时安全地认证装置和所述装置的用户，而不需要用户输入pin或密码。此外，由于在本发明的实施例中使用令牌和交易认证验证值，因此例如账号、pii(个人可识别信息)等敏感数据可在传输中受到保护。

虽然上文描述的一些示例是在安全远程商务交易的背景下描述的，但应理解，本发明的实施例可用在其中存在认证和数据安全问题的其它背景中。例如，本发明的实施例可用于获得对安全数据(例如，医疗记录、例如税务记录的个人数据等)的访问权，或可用于用户可能希望获得对建筑物或运输站等安全位置的访问权的情况。

现将描述可用于实施本文所描述的任一实体或部件的计算机系统。计算机系统中的子系统通过系统总线互连。额外子系统包括打印机、键盘、固定磁盘和监视器，监视器可耦合到显示适配器。外围装置和可耦合到输入/输出(1/0)控制器的1/0装置可通过所属领域中已知的任何数目的构件--例如串行端口--连接到计算机系统。例如，串行端口或外部接口可用于将计算机设备连接到例如互联网的广域网、鼠标输入装置或扫描仪。通过系统总线的互连允许中央处理器与每个子系统通信，并且控制来自系统存储器或固定磁盘的指令的执行以及子系统之间的信息交换。系统存储器和/或固定磁盘可体现计算机可读介质。

本文中所描述的技术可涉及实施一个或多个功能、过程、操作或方法步骤。在一些实施例中，所述功能、过程、操作或方法步骤可实施为由适当地被编程的计算装置、微处理器、数据处理器等执行指令集或软件代码的结果。指令集或软件代码可存储在由计算装置、微处理器等存取的存储器或其它形式的数据存储元件中。在其它实施例中，所述功能、过程、操作或方法步骤可由固件或专用处理器、集成电路等实施。

本申请中描述的任何软件部件或功能可使用任何合适的计算机语言实施为由处理器执行的软件代码，所述计算机语言例如使用常规的或面向对象的技术的java、c++或perl。软件代码可作为一系列指令或命令存储在计算机可读介质上，例如随机存取存储器(ram)、只读存储器(rom)、例如硬盘驱动器的磁介质或软盘、或例如cd-rom的光学介质。任何此类计算机可读介质可驻存在单个计算设备上或内部，并且可存在于系统或网络内的不同计算设备上或内部。

虽然已详细描述并在附图中示出某些示范性实施例，但应理解，此类实施例仅仅是对本发明的说明而非限制，并且本发明不限于所示和描述的具体布置和构造，因为所属领域的一般技术人员可想到各种其它修改。

如本文所使用，除非明确指示为相反情况，否则“一”或“所述”的使用旨在意指“至少一个”。