CN101395625A - 身份盗用的缓解 - Google Patents

身份盗用的缓解 Download PDF

Info

Publication number
CN101395625A
CN101395625A CNA2007800080076A CN200780008007A CN101395625A CN 101395625 A CN101395625 A CN 101395625A CN A2007800080076 A CNA2007800080076 A CN A2007800080076A CN 200780008007 A CN200780008007 A CN 200780008007A CN 101395625 A CN101395625 A CN 101395625A
Authority
CN
China
Prior art keywords
account
key
request
pki
authentication
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CNA2007800080076A
Other languages
English (en)
Inventor
M·圣菲尔德
C·艾利森
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Microsoft Corp
Original Assignee
Microsoft Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Microsoft Corp filed Critical Microsoft Corp
Publication of CN101395625A publication Critical patent/CN101395625A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/08—Payment architectures
    • G06Q20/12—Payment architectures specially adapted for electronic shopping systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/36—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using electronic wallets or electronic money safes
    • G06Q20/367—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using electronic wallets or electronic money safes involving electronic purses or money safes
    • G06Q20/3674—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using electronic wallets or electronic money safes involving electronic purses or money safes involving authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/382—Payment protocols; Details thereof insuring higher security of transaction
    • G06Q20/3823—Payment protocols; Details thereof insuring higher security of transaction combining multiple encryption tools for a transaction
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G06Q20/401—Transaction verification
    • G06Q20/4016—Transaction verification involving fraud or risk level assessment in transaction processing
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q40/00—Finance; Insurance; Tax strategies; Processing of corporate or income taxes
    • G06Q40/02—Banking, e.g. interest calculation or account maintenance
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless

Landscapes

  • Business, Economics & Management (AREA)
  • Engineering & Computer Science (AREA)
  • Accounting & Taxation (AREA)
  • Computer Security & Cryptography (AREA)
  • Finance (AREA)
  • Physics & Mathematics (AREA)
  • Strategic Management (AREA)
  • General Business, Economics & Management (AREA)
  • General Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Development Economics (AREA)
  • Economics (AREA)
  • Marketing (AREA)
  • Technology Law (AREA)
  • Storage Device Security (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

利用基于公钥密码技术的公钥认证来认证正在开立帐户的人。此人向诸如征信局等授权代理提供只使用公钥认证的声明以及他/她的公钥的副本。此人提供基于公钥认证向一商家开立帐户的经签署的请求。该商家向征信局请求信用报告，并将申请者的公钥提供给征信局。征信局使用该公钥来找到信用报告。除非该用户的私钥被偷，否则该信用报告极可能是该请求用户的信用报告。征信局然后可将所请求的信息提供给商家，该商家则能够基于其在信用报告中所读到的内容来向此人提供该帐户是否被授权的通告。

Description

身份盗用的缓解
技术领域
本技术领域一般地涉及标识盗用，尤其涉及对“基于事实的认证”的各种替换方案。
背景
身份盗用正变得越来越普遍。许多类型的身份盗用是一个未授权的人(冒名顶替者)使用关于另一个人的事实来开立或访问此人合法名下的帐户的结果。通常，事实包括诸如社会保障号、母亲的婚前姓氏、地址、邮编、雇主姓名、驾驶证号等个人标识信息。冒名顶替者为了访问或开立一个帐户只需表明知道这些事实。知道足够的事实会授权该冒名顶替者访问和/或开立一个帐户。该过程可被称为“基于事实的认证”。防止身份盗用的尝试侧重于对这些事实保密。
通过保持对个人标识信息保密来尝试防止身份盗用的一个问题是因为除了出于认证的目的试图使用标识信息的各方之外的其他人知道该信息，所以标识信息并不是保密的，并且永远都不会是保密的。另外，个人标识信息通常可通过各种渠道来获取。因此，肆无忌惮的冒名顶替者能够在一个人不知道的情况下获取此人的标识信息。
概要
提供本概要以便用简化的形式介绍将在以下详细描述中进一步描述的一些概念。本概要并不旨在标识出所要求保护的主题的关键特征或必要特征，也不旨在用于帮助确定所要求保护的主题的范围。
如此处所描述的公钥认证缓解了身份盗用。一种公钥认证***基于知道公钥—私钥密钥对的私钥来确定认证，而不是基于知道诸如个人标识信息(例如，社会保障号、母亲的婚前姓氏、地址、邮编、雇主姓名、驾驶证号、银行帐号)等事实来确定认证。因为，部分地，公钥认证是在其中秘密跟着创立者不会离开的认证机制，所以它有助于保证冒名顶替者不能通过使用另一个人的身份来开立和/或访问一个帐户。
以下介绍了由一过程组成的一个示例性实施例，该过程有两部分：(1)向一中央信用信息存储库注册最终用户，该存储库可由任何机构通过提供最终用户信用来咨询，以及(2)由该最终用户向该机构开立一个帐户。这两部分中的每一部分都有以下所描述的两个选项：(1a)最终用户没有先前的信用历史并因此从信用信息存储库的观点来看是新的一个人，(1b)最终用户具有先前的信用历史并且需要向信用信息存储库认证他或她自己来将现有的关系改为拒绝基于事实的认证的关系，(2a)最终用户通过安装了软件以及修改了其业务流程来成为用于帐户创建的公钥认证***的一部分的一贷款机构来创建一个帐户，以及(2b)最终用户通过没有安装该软件并且仍旧依赖传统的、基于事实的认证的贷款机构来创建一个帐户。选项(2b)还覆盖了转换到公钥认证帐户开立的最终用户验证在该转换之前用基于事实的认证开立的帐户实际是有效的并且会被最终用户接受的情况。
在示例性实施例的情况(1a)中，对于没有先前的信用历史的一个人，此人首先向诸如征信局等的一个或多个中央存储库声明他/她没有信用历史并且想在其所有帐户创建中拒绝使用“基于事实的认证”。此人还根据公知的公钥密码技术来创建一密钥对。此人保留私钥秘密并且永远不需要泄露该私钥。此人将该声明和该公钥提供给诸如例如征信局等的另一个实体。此人然后向那些中央存储库中的每一个注册来开立一个帐户。为了注册，此人生成打开一个新数据库条目的数字请求。该请求由此人的私钥来签署，并且被传送到维护该数据库的实体(例如，征信局)。因为该注册用户没有先前的信用历史，所以无需将当前注册与任何先前的信用历史结合起来并因此无需证明此人的身份满足于该信用历史的持有者。在该注册中传达的唯一个人标识信息只是出于满足常规要求的目的而不是为了认证。该请求由公钥签名来认证。响应于该请求，此人通过该存储库得到一新的数据库条目并且该条目可被此人稍后可能希望向其创建赊购帐户、得到贷款、接收***等的任何银行或商家来参考。对应于个人的数据库条目类似于当前的信用历史数据库条目，不同之处在于还记录了此人的公钥。另外，数据库条目包含一由字段持有的秘密(只与个人进行通信)，该秘密是如果个人的密钥对丢失、毁坏或被偷以及个人需要注册一个新的公钥时则会被使用的一完全随机的、高熵的口令。
当个人选择向某一商家或银行或***发行者(以下被称为贷款方)来开立一个帐户时，该实体会自然地询问该申请者的信用历史(数据库条目)，其中该贷款方是个人会变成对其负债的某一实体，并且因此是身份窃贼可能于其开立使个人受害的帐户的某个实体。当接收到该信用报告时，贷款方会看见普通的信用报告信息，并且还会看见个人拒绝承担对于通过“基于事实的认证”开立的帐户的责任的通知(在报告中叙述了特定的例外)。个人改为选择在线地通过经公钥认证的交易来开立新的帐户。信用报告也可列出个人的公钥(或其密码散列)。在一个示例性实施例中，不管该人类可读信用报告是否列出了个人的公钥，可从保存个人的数据库条目的实体获得的在线版本都会包括该公钥。
一旦个人选择了使用公钥认证来向贷款方开立帐户，则有两个选项：(2a)在线地，例如通过web服务开立该帐户，或(2b)通过传统的笔和纸申请来开立该帐户。
在情况(2a)中，个人在其计算机上运行一应用程序(或web浏览器)，填写新帐户的申请表并数字地签署该申请表(或通过web浏览器客户端认证一SSL连接)，从而证明拥有个人的私钥。贷款方接收该申请，参照信用报告服务，发现该申请人所使用的公钥事实上就是已注册个人的公钥并因此对该申请人是已注册个人而不是身份盗贼有很高的确信度。
在情况(2b)中，贷款方并没有提供能够接受经公钥认证的在线申请的web服务或网站。申请人因此必须使用标准个人标识信息(PII)来填写一纸质表格。如果贷款方接受了该表并且关于那个人咨询了信用报告服务，则贷款方会看到所标识的个人拒绝用此方法创建的新帐户的通知—只列出了那些例外。如果在此情况下的申请人是身份盗贼，则其图谋将会失败。如果在此情况下的申请人是真实的个人，则那个人会首先在线地联系了信用报告服务，由公钥认证来认证并且将其想要以传统的PII方式在日期和时间窗Y(某预定的时间量)期间向贷款方X创建一个帐户的一条记录添加到其数据库记录中。或者，个人可开始与贷款方的申请过程，从贷款方得到一帐号，并且然后告知贷款方延后完成该申请过程直到该申请人能够连接到信用报告服务并且明确地分出该新帐户—按照帐号和贷款方名字来列出。一旦该申请人使用与信用报告服务的经公钥认证的交易修改了其数据库条目以包括该通知，则该申请人可任选地联系贷款方并告知其继续取回信用报告。在该报告中，贷款方会看到其自身作为拒绝基于事实的帐户开立的规则的一个例外来列出。
对于想要转换到公钥认证但有以基于事实认证为基础的一现有信用历史的人而言，过程(情况(1b))将会在以下更详细地描述。这个人仍将创建一密钥对并且向信用报告代理注册该密钥对，但将需要足够有力地证明其身份以使报告代理相信这个人就是现有数据库条目中所指的那个人以及足够有利地阻止身份盗贼以将身份盗用的问题降低到一不经常发生的问题而不是当今流行的问题。
附图简述
当结合附图进行阅读时，可以更好地理解上述概要以及以下详细描述。出于说明身份盗用缓解的目的，在附图中示出了其示例性构造；然而，缓解身份盗用不限于所公开的具体方法和手段。在附图中：
图1是描述使用公钥认证来开立帐户的一示例性事件序列的流程图；
图2是从用户的角度来看的为新帐户使用公钥认证的一示例性过程的流程图；
图3是对应于想要转换到对所有新帐户进行公钥认证的、具有现有信用历史的用户的过程的流程图；
图4是用一新的公钥来替换丢失的或被偷的公钥的示例性过程的流程图；
图5是一示例性公钥认证***的描述；以及
图6是用于实现公钥认证的一示例性处理器的示意图。
说明性实施例的详细描述
图1是描述对没有信用历史的个人使用公钥认证的一示例性事件序列的流程图。用户根据公知的公钥密码技术来生成一对密钥。公钥密码术使用了一对密钥。一个密钥用来加密，而另一个则是用来解密。知道公钥并不意味着知道私钥。私钥是保密的，但公钥能够被广泛地散布而不丧失安全性。在步骤12处，用户提供叙述其开始信用历史以及使用公钥认证来创建所有、从而除了明确指出的之外拒绝对于所有用传统方法创建的任何帐户的责任的意图的声明(用该用户的私钥签署)。该用户可向诸如例如征信局或用户的授权代理等任何合适的实体26提供该声明。
任何数字地签署的消息的一标准部分是用来验证该签名的公钥。在步骤12后，代理26具有该用户使用公钥认证来创建帐户的声明并且具有该用户的公钥。该声明还可包括该用户不会承担对于通过基于事实的认证***开立的帐户所产生的任何责任的免责声明。
在步骤16处，用户请求向一商家(或贷款方)建立一个帐户。可向诸如例如商家(例如，***公司、银行、零售商店、投资公司、汽车经销商等等)等任何合适的实体28提供该请求。即，用户可向该用户想向其开立帐户的实体提供公钥。例如，用户可将该声明和公钥发送到公知的征信局(例如，实体26)，并且向该用户希望与其开展业务的尽可能多的商家(例如，实体28)建立帐户。消费者会向所有的征信局进行注册并且可将一条记录输入到该用户的信用报告中来告知：“没有人可通过使用个人标识信息来认证我来为我开立一个帐户。用于开立新帐户的唯一可接受的认证是此处所提供的公钥。”该公钥可在由征信局维护的数据库中记录并且该公钥的散列可在打印的信用报告中列出。散列函数是公知的(例如，MD5和SHA-1)。散列函数从任何大小的输入中计算固定长度输出，该输出具有使得要找到会产生和现有输入一样的输出的任何其他输入在计算上是不可行的字符。因此，该用户的公钥的散列是该公钥的唯一标识符，而无需使用完全公钥的空间。
在一示例性实施例中，建立帐户的请求包括商家建立该帐户所需要的信息并且用该用户的私钥来签署。因为商家正使用通过公钥认证的在线帐户创建，所以可以意识到申请人采用了公钥帐户创建并且回避了传统的基于事实的帐户创建。为了验证上述内容，如果商家感兴趣的话，则关于该申请人的信用报告可包含该通知。
商家28在步骤18处验证该请求。在一示例性实施例中，商家28向征信局26请求对应于该用户的通过该用户的公钥(或其散列)来指示该用户的信用报告。征信局26使用该用户的公钥来索引该用户的数据库条目。在步骤20处，征信局26将拥有对应于该商家提供的公钥(或散列)的私钥的用户的信用报告发送到商家28。
当接收到所请求的信息时，商家28可确定是否为该用户开立一个帐户。在步骤22处，商家28提供授权状态的通告—开立了该帐户，或拒绝了该帐户。例如，该用户可能是合法的，但该用户的信用报告指示该用户呈现出高风险性。因此，商家28可拒绝该用户开立帐户的请求。
图2是从没有先前的信用历史的用户的角度来看的针对第一个帐户使用公钥认证的一示例性过程的流程图。在步骤30处，用户生成在此过程中使用的一密钥对(以及可任选地仔细备份该密钥对，以使其不会丢失)。在步骤32处，该用户声明开始信用历史并且在开立帐户时只使用公钥认证的意图。响应于此新信用历史的创建，该用户可从每个征信局或其他代理接收到如果该用户曾经需要替换已注册的公共密钥则将被使用的保密的口令。来自所有这些征信局或其他代理的口令都被安全地备份以使得(1)该用户总是能够得到那些口令的一个副本，并且(2)没有任何潜在的身份盗贼能得到任何副本。可利用任何合适的备份和恢复方法。
用户在步骤36处请求向诸如商家等实体建立一个帐户。如以上所描述的，该请求包括该商家开立该帐户所需要的经签署的信息以及该商家验证请求上的签名所需要的该用户的公钥。在步骤40处，该用户接收帐户授权状态的通告(例如，开立帐户的请求被准许或开立帐户的请求被拒绝)。
在一示例性实施例中，如果用户具有现有的信用历史，则不使用图1所描述的过程。该过程将给予身份盗贼偷取某人良好的信用历史的一相对容易的方法并使受害者容易受到侵害。对于具有现有信用历史的用户以及对于新用户必须用传统方法安全地认证的其他情况(例如，如果法律要求具有信用历史的每个人都应由地址或其他PII来标识的话)，则利用图3所描述的过程。该用户声明(在步骤42处)对所有新帐户使用公钥认证的意图。该声明过程类似于对于图1的步骤12所描述的声明过程。因为该信用记录中的更改也需要个人认证，所以该请求直到步骤46后才被认为是完成的。为了完成该过程，该用户的计算机打印包括该用户的公钥(或其散列)以及用来标识该用户(以及用基于事实的认证来认证他或她)的传统PII的表格。在步骤44处，该用户将此表格带到能够验证个人身份的实体(诸如银行或邮局等)。在实体处，用户的身份得到验证。身份验证实体还可创建增加了该用户的照片、从该用户采集的指纹等的该事件的监察记录。
一旦ID验证者24对该用户的身份是如打印的表格上所指示的感到满意，则该用户在该ID验证者面前签署那份表格。ID验证者24可对该表格进行公证并签署它以证实该用户的身份。ID验证者然后将纸质表格发送(例如，通过邮件)到代理(或征信局)26。当接收到该物理身份的验证时，代理(或征信局)能够将该用户与那个人的信用历史相匹配并将物理上验证的用户的报告的公钥与签署原始的改变请求的密钥相匹配，并且然后实现所请求的改变。一旦更改了该帐户，则在步骤48处，该用户被数字地通知该更改。在该交易期间，用户将接收并适当地备份所涉及的征信局或代理的保密口令，以在稍后替换该用户的公钥时使用。当在该用户的信用历史状态中成功地完成该更改时，该用户可被提示特别地批准所有现有的帐户或可自愿地指定一个或多个现有的或新的帐户来特别地批准(步骤50)。这是用户能够用公钥认证来批准在该用户转换到公钥认证之前创建的或在该转换之后但是向还不能够使用公钥认证来创建帐户的商家创建的帐户。
图4描述了用于在已注册公钥丢失或被偷的情况下用户替换在代理或征信局26处替换注册的公钥的过程。如果该用户的计算机损坏或故障，计算机的硬盘被擦除或因为各种其他原因，则可能发生丢失。如果私钥被不安全地保存，则可能发生私钥的盗用并且该盗用将通过盗贼成功地创建帐户来被发现。该帐户将需要被删除并且删除和替换被偷的私钥。在步骤56处，用户生成了一新的密钥对来替换丢失的或受损的密钥对。在步骤58处，该用户从备份存储恢复征信局或其他代理响应于帐户创建已返还给该用户的保密的、高熵的口令。在步骤60处，用户的计算机连接到每个代理并发送公钥更改消息，包括作为标识符的旧公钥和新公钥。该消息由使用高熵口令作为密钥的标准对称密钥签名算法(例如，SHA1-HMAC)来签署。响应于每个这样的消息，代理返回指示该请求是成功还是失败的响应。请求可能例如由于不正确的消息格式、内容、或签名而失败。
图5是使用公钥认证来实现帐户创建的一示例性***的描述。该***包括用户处理器74、代理处理器76、以及商家处理器78。处理器74、76和78中的每一个可包括任何合适的处理器。合适的示例性处理器包括通用处理器、专用处理器、台式计算机、膝上型计算机、个人数字助理(PDA)、手持式计算机、智能电话、服务器处理器、客户机处理器、或其组合。处理器74、76和78中的每一个可用诸如计算机等单个处理器、或多个处理器来实现。多个处理器可以是分布式的或集中定位的。多个处理器能够无线地、通过硬连线、或通过其组合来进行通信。每个处理器74、76、以及78的每个部分可通过多个分布式处理器、节点和/或数据库来实现。的处理器74、76和78用来进行通信以便在其间通信的接口可包括诸如无线接口、有线接口、或其组合等任何合适的接口。可利用包括公共和私有协议的各种通信协议中的任一种。协议的示例包括TCP/IP、IPX/SPX、以及NetBEUI。处理器74、76、78之间的通信可通过一个或多个网络。每个网络可包括有线网络或直接线连接。网络可包括公共部分(例如，因特网)以及私人部分(例如，住宅局域网(LAN))，或其组合。网络可使用包括有线和诸如声学、RF、红外和其它无线介质等无线介质的各种常规通信介质中的任何一种或多种来实现。
在一示例性实施例中，可利用用户处理器74、代理处理器76、以及商家处理器78中的每一个来执行分别与用户、代理、以及商家相关联的上述功能。例如，用户处理器74将生成密钥对。用户处理器74将向合适的实体(或多个实体)提供公钥。用于处理器74将发送向一实体建立帐户的请求。用户处理器74将发送该用户将不会承担以基于事实的认证为基础开立的帐户上的任何交易所产生的责任的免责声明。并且用户处理器74将接收该帐户的授权状态的通告。而且，根据以上描述，代理处理器76和商家处理器78可以是单个实体的一部分，并且在一示例性实施例中构成单个处理器。
图6是用于实现公钥认证的示例性处理器80的示图。处理器80代表用户处理器92、代理处理器94、以及商家处理器78中的每一个。处理器80包括处理部分82、存储器部分84、以及输入/输出部分90。处理部分82、存储器部分84、以及输入/输出部分90耦合在一起(图1没有显示耦合)来允许其间的通信。处理部分82能够生成如以上所描述的公钥密钥。处理部分82还能够用私钥来签署(加密)信息/数据(例如，公钥、可任选信息)。存储器部分84能够存储诸如例如私钥、公钥、以及任何其他信息等以上所描述的所有参数。
输入/输出部分90能够提供和/或接收用来实现公钥认证的上述组件。输入/输出部分90能够提供和/或接收采用公钥认证***的声明。输入/输出部分90能够提供和/或接收公钥。输入/输出部分90能够提供和/或接收基于公钥认证来建立帐户的请求。输入/输出部分90能够提供和/或接收该帐户被授权以及没有授权的通告。输入/输出部分90能够提供和/或接收对于以基于事实的认证为基础进行的交易所产生的责任的免责声明。以及，输入/输出部分90能够提供和/或接收经签署的公钥。
处理器80可被实现为客户机处理器和/或服务器处理器。在一基本配置中，处理器80可包括至少一个处理器部分82和存储器部分84。取决于处理器的确切配置和类型，存储器部分84可以是易失性的(诸如RAM)86、非易失性的(诸如ROM、闪存等等)88或其组合。处理器80可具有额外的特征/功能。例如，处理器80可包括额外的存储(可移动存储92和/或不可移动存储94)，包括但不限于，磁盘或光盘、磁带、闪存、智能卡或其组合。诸如存储器部分84、86、88、92和94等计算机存储介质包括以用于存储诸如计算机可读指令、数据结构、程序模块或其它数据的信息的任意方法或技术来实现的易失性和非易失性、可移动和不可移动介质。计算机存储介质包括，但不限于，RAM、ROM、EEPROM、闪存或其他存储器技术、CD-ROM、数字多功能盘(DVD)或其他光学存储、磁带盒、磁带、磁盘存储或其他磁性存储设备、兼容通用串行总线(USB)的存储器、智能卡、或可用来存储所需信息并且可由处理器80访问的任何其他介质。任何这些计算机存储介质可以是处理器80的一部分。
处理器80还可包含允许处理器80与其他设备进行通信的通信连接100。通信连接100是通信介质的一个示例。通信介质通常以诸如载波或其它传输机制等已调制数据信号来体现计算机可读指令、数据结构、程序模块或其他数据，并包括任何信息传送介质。术语“已调制数据信号”是指一种以对信号中的信息进行编码的方式来设置或改变其一个或多个特性的信号。作为示例而非限制，通信介质包括诸如有线网络或直接线连接等有线介质，以及诸如声学、射频、红外线和其他无线介质等无线介质。此处所使用的术语计算机可读介质包括存储介质和通信介质两者。处理器80还可具有输入设备98，诸如键盘、鼠标、笔、语音输入设备、触摸式输入设备等等。还可包括输出设备96，诸如显示器、扬声器、打印机等等。
此处所描述的各种技术可使用硬件或软件、或在适当时以其组合来实现。因此，用于使用公钥认证或其特定方面或部分的方法和装置可采取包含在诸如软盘、CD-ROM、硬盘驱动器或任何其它机器可读存储介质等有形介质中的程序代码(即，指令)的形式，其中当该程序代码被加载到诸如计算机等机器内并由其执行时，该机器成为用于索引和搜索数值范围的装置。在程序代码在可编程计算机上执行的情形中，计算设备一般包括处理器、该处理器可读的存储介质(包括易失性和非易失性的存储器和/或存储元件)、至少一个输入设备以及至少一个输出设备。如果需要，程序可以使用汇编于语言或机器语言来实现。在任何情况中，该语言可以是编译或解释的语言，且与硬件实现相结合。
在程序代码在可编程计算机上执行的情形中，计算设备一般包括处理器、该处理器可读的存储介质(包括易失性和非易失性的存储器和/或存储元件)、至少一个输入设备以及至少一个输出设备。如果需要，程序可以使用汇编语言或机器语言来实现。在任何情况中，该语言可以是编译或解释的语言，且与硬件实现相结合。用于实现公钥认证的方法和装置也可通过以程序代码的形式具体化的通信来实现，该程序代码通过某种传输介质，比如通过电线或电缆、通过光纤或通过任何其它的传输形式来传输，其中，当该程序代码由诸如EPROM、门阵列、可编程逻辑器件(PLD)、客户计算机等机器接收、加载并执行时，该机器成为用于实现公钥认证的装置。当在通用处理器上实现时，该程序代码与处理器相结合以提供一种用于调用公钥认证的功能的独特装置。另外，结合公钥认证使用的任何存储技术可以一直是硬件和软件的组合。
尽管已结合各个附图的示例性实施例对实现公钥认证进行了描述，但是可以理解，可以使用其它类似的实施例，或可以对所述实施例进行修改或添加，来执行使用公钥认证的相同功能而不背离使用公钥认证。因此，如此处所描述的实现公钥认证不应限于任何单一实施例，而应根据所附权利要求书的宽度和范围来解释。

Claims (17)

1.一种认证方法，所述方法包括：
提供采用公钥认证来创建帐户的声明；
提供公钥—私钥密钥对的公钥；
请求基于所述公钥认证来建立帐户，其中，所述请求的至少一部分是用所述密钥对的私钥来签署的；
接收所述帐户发生了被授权和没有被授权中的一种的通告；以及
提供对于以基于事实的认证为基础进行的交易所产生的责任的免责声明。
2.如权利要求1所述的方法，其特征在于，所述请求的动作包括提供利用所述私钥来签署的所述公钥。
3.如权利要求1所述的方法，其特征在于：
所述声明和所述公钥被提供给第一实体；以及
所述请求的动作被执行来向第二实体建立帐户。
4.如权利要求5所述的方法，其特征在于：
所述第一实体包括征信局；以及
所述第二实体包括商家。
5.如权利要求1所述的方法，其特征在于，还包括对请求建立所述帐户的请求者的当面认证。
6.一种认证方法，所述方法包括：
接收采用公钥认证的声明；
接收公钥—私钥密钥对的公钥；
接收基于所述公钥认证来建立帐户的请求，其中，所述请求的至少一部分是用所述密钥对的私钥来签署的；
确定所述请求的真实性；
提供所述帐户发生了被授权和没有被授权中的一种的通告；以及
接收对于以基于事实的认证为基础进行的交易所产生的责任的免责声明。
7.如权利要求7所述的方法，其特征在于，还包括：
接收基于个人标识信息建立一备用帐户的请求；
接收通过所述密钥对认证的例外请求，其中，所述例外请求包括准许建立所述备用帐户，其中，准许建立所述备用帐户限于预定的时间量；
验证利用所述密钥对来建立所述备用帐户的所述请求以及所述经认证的例外请求的真实性；以及
提供所述备用帐户发生了被授权和没被授权中的一种的通告。
8.如权利要求7所述的方法，其特征在于，所述建立帐户的请求包括提供利用所述私钥来签署的所述公钥。
9.如权利要求7所述的方法，其特征在于：
所述声明和所述公钥是由第一实体接收的；以及
所述建立所述帐户的请求是针对第二实体的。
10.如权利要求11所述的方法，其特征在于：
所述第一实体包括征信局；以及
所述第二实体包括商家。
11.如权利要求7所述的方法，其特征在于，还包括对请求建立所述帐户的请求者的当面认证。
12.一种认证***，所述***包括：
处理器部分，用于：
生成包括公钥和私钥的公钥—私钥密钥对；
用于存储所述公钥和所述私钥的存储器部分；以及
输入/输出部分，用于：
提供采用公钥认证来创建帐户的声明；
提供公钥—私钥密钥对的所述公钥；
提供利用所述密钥对的所述私钥，基于所述公钥认证来建立帐户的请求；
接收所述帐户发生了被授权和没有被授权中的一种的通告；以及
提供对于以基于事实的认证为基础进行的交易所产生的责任的免责声明。
13.如权利要求14所述的***，其特征在于：
所述处理器部分利用所述私钥来签署所述公钥；以及
所述基于所述公钥认证来建立帐户的请求包括包含所述公钥的经签署的请求。
14.如权利要求14所述的***，其特征在于：
所述输入/输出部分向第一实体提供所述声明和所述公钥；以及
所述输入/输出部分向第二实体提供基于所述公钥认证来建立帐户的请求。
15.如权利要求17所述的***，其特征在于，所述第一实体包括征信局。
16.如权利要求17所述的***，其特征在于，所述第二实体包括商家。
17.如权利要求14所述的***，其特征在于，所述存储器部分包括硬盘存储器、闪存、便携式存储器、兼容通用串行总线(USB)的存储器、以及智能卡存储器中的至少一个。
CNA2007800080076A 2006-01-30 2007-01-18 身份盗用的缓解 Pending CN101395625A (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US11/342,447 US20070179903A1 (en) 2006-01-30 2006-01-30 Identity theft mitigation
US11/342,447 2006-01-30

Publications (1)

Publication Number Publication Date
CN101395625A true CN101395625A (zh) 2009-03-25

Family

ID=38323287

Family Applications (1)

Application Number Title Priority Date Filing Date
CNA2007800080076A Pending CN101395625A (zh) 2006-01-30 2007-01-18 身份盗用的缓解

Country Status (4)

Country Link
US (1) US20070179903A1 (zh)
KR (1) KR20080096757A (zh)
CN (1) CN101395625A (zh)
WO (1) WO2007089439A1 (zh)

Families Citing this family (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8359278B2 (en) 2006-10-25 2013-01-22 IndentityTruth, Inc. Identity protection
US10430604B2 (en) * 2008-02-05 2019-10-01 Equifax Inc. Systems and methods for securing data in electronic communications
US9800413B2 (en) * 2008-08-15 2017-10-24 Gm Global Technology Operations, Inc. System and method for performing an asymmetric key exchange between a vehicle and a remote device
US20100049683A1 (en) * 2008-08-22 2010-02-25 Carter Stephen R Collaborative debating techniques
US9652802B1 (en) 2010-03-24 2017-05-16 Consumerinfo.Com, Inc. Indirect monitoring and reporting of a user's credit data
US9235728B2 (en) 2011-02-18 2016-01-12 Csidentity Corporation System and methods for identifying compromised personally identifiable information on the internet
US8819793B2 (en) 2011-09-20 2014-08-26 Csidentity Corporation Systems and methods for secure and efficient enrollment into a federation which utilizes a biometric repository
US11030562B1 (en) 2011-10-31 2021-06-08 Consumerinfo.Com, Inc. Pre-data breach monitoring
US8812387B1 (en) 2013-03-14 2014-08-19 Csidentity Corporation System and method for identifying related credit inquiries
US20150142647A1 (en) * 2013-11-20 2015-05-21 Bank Of America Corporation Consumer Bill-Pay
US11270274B1 (en) 2014-05-20 2022-03-08 Wells Fargo Bank, N.A. Mobile wallet using math based currency systems and methods
US10339527B1 (en) 2014-10-31 2019-07-02 Experian Information Solutions, Inc. System and architecture for electronic fraud detection
US11151468B1 (en) 2015-07-02 2021-10-19 Experian Information Solutions, Inc. Behavior analysis using distributed representations of event data
US9565020B1 (en) * 2016-02-02 2017-02-07 International Business Machines Corporation System and method for generating a server-assisted strong password from a weak secret
US10699028B1 (en) 2017-09-28 2020-06-30 Csidentity Corporation Identity security architecture systems and methods
US10896472B1 (en) 2017-11-14 2021-01-19 Csidentity Corporation Security and identity verification system and architecture
WO2020006425A1 (en) * 2018-06-28 2020-01-02 Coinbase, Inc. Wallet recovery method

Family Cites Families (28)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2603043B1 (fr) * 1986-08-19 1988-11-10 Petrel Sarl Marquage de securite, matieres pourvus de marques de securite, appareil pour reveler la marque de securite
HU216231B (hu) * 1994-01-13 1999-05-28 Certco, Llc Eljárás titkosított kommunikáció létrehozására
US5619571A (en) * 1995-06-01 1997-04-08 Sandstrom; Brent B. Method for securely storing electronic records
US5638448A (en) * 1995-10-24 1997-06-10 Nguyen; Minhtam C. Network with secure communications sessions
US5689566A (en) * 1995-10-24 1997-11-18 Nguyen; Minhtam C. Network with secure communications sessions
EP0788080B1 (en) * 1996-01-31 2003-05-28 Canon Kabushiki Kaisha An accounting apparatus and an information distribution system using the accounting apparatus
US6038551A (en) * 1996-03-11 2000-03-14 Microsoft Corporation System and method for configuring and managing resources on a multi-purpose integrated circuit card using a personal computer
US6233565B1 (en) * 1998-02-13 2001-05-15 Saranac Software, Inc. Methods and apparatus for internet based financial transactions with evidence of payment
US6947908B1 (en) * 1998-08-27 2005-09-20 Citibank, N.A. System and use for correspondent banking
US6820202B1 (en) * 1998-11-09 2004-11-16 First Data Corporation Account authority digital signature (AADS) system
US7047416B2 (en) * 1998-11-09 2006-05-16 First Data Corporation Account-based digital signature (ABDS) system
US7742967B1 (en) * 1999-10-01 2010-06-22 Cardinalcommerce Corporation Secure and efficient payment processing system
US20030208445A1 (en) * 1999-12-29 2003-11-06 Craig Compiano Method and apparatus for mapping sources and uses of consumer funds
US20010032878A1 (en) * 2000-02-09 2001-10-25 Tsiounis Yiannis S. Method and system for making anonymous electronic payments on the world wide web
US6779115B1 (en) * 2000-02-18 2004-08-17 Digital5, Inc. Portable device using a smart card to receive and decrypt digital data
US20020046065A1 (en) * 2000-06-15 2002-04-18 Nighan Robert J. Method and system for insuring against loss in connection with an online financial transaction
US6978369B2 (en) * 2000-08-04 2005-12-20 First Data Corporation Person-centric account-based digital signature system
US7096354B2 (en) * 2000-08-04 2006-08-22 First Data Corporation Central key authority database in an ABDS system
JP2004506380A (ja) * 2000-08-04 2004-02-26 ファースト　データ　コーポレイション 人中心アカウントベースのデジタル署名システム
WO2002023796A1 (en) * 2000-09-11 2002-03-21 Sentrycom Ltd. A biometric-based system and method for enabling authentication of electronic messages sent over a network
US20030105887A1 (en) * 2001-12-03 2003-06-05 Cox Burke David Method and system for integration of software applications
US6865559B2 (en) * 2000-12-07 2005-03-08 International Business Machines Corporation Method and system in electronic commerce for inspection-service-based release of escrowed payments
US20020152086A1 (en) * 2001-02-15 2002-10-17 Smith Ned M. Method and apparatus for controlling a lifecycle of an electronic contract
US20030037261A1 (en) * 2001-03-26 2003-02-20 Ilumin Corporation Secured content delivery system and method
US7003497B2 (en) * 2001-05-23 2006-02-21 International Business Machines Corporation System and method for confirming electronic transactions
US20040199469A1 (en) * 2003-03-21 2004-10-07 Barillova Katrina A. Biometric transaction system and method
US7275159B2 (en) * 2003-08-11 2007-09-25 Ricoh Company, Ltd. Multimedia output device having embedded encryption functionality
US9542671B2 (en) * 2004-05-12 2017-01-10 Paypal, Inc. Method and system to facilitate securely processing a payment for an online transaction

Also Published As

Publication number Publication date
KR20080096757A (ko) 2008-11-03
WO2007089439A1 (en) 2007-08-09
US20070179903A1 (en) 2007-08-02

Similar Documents

Publication Publication Date Title
CN101395625A (zh) 身份盗用的缓解
US11664997B2 (en) Authentication in ubiquitous environment
US10829088B2 (en) Identity management for implementing vehicle access and operation management
CN108701276B (zh) 用于管理数字身份的***和方法
EP3073670B1 (en) A system and a method for personal identification and verification
US7676433B1 (en) Secure, confidential authentication with private data
US8959595B2 (en) Methods and systems for providing secure transactions
US20130219481A1 (en) Cyberspace Trusted Identity (CTI) Module
US8856507B2 (en) Secure identity and personal information storage and transfer
US11128604B2 (en) Anonymous communication system and method for subscribing to said communication system
US20090271321A1 (en) Method and system for verification of personal information
US20050044377A1 (en) Method of authenticating user access to network stations
US20080216172A1 (en) Systems, methods, and apparatus for secure transactions in trusted systems
WO2006018874A1 (ja) 管理サービス装置、バックアップサービス装置、通信端末装置及び記憶媒体
WO2020118262A1 (en) Computer method and graphical user interface for identity management using blockchain
JP2009048627A (ja) 委任されたトランザクションを実行するための方法及び装置
JP2004519874A (ja) 信頼された認証デジタル署名（ｔａｄｓ）システム
KR100375273B1 (ko) 인터넷상에서의 신원확인방법 및 시스템
KR20240015642A (ko) 검증 가능 클레임을 위한 신뢰성 있는 관리 연속성
US20210319116A1 (en) Systems and methods of access validation using distributed ledger identity management
US20020053028A1 (en) Process and apparatus for improving the security of digital signatures and public key infrastructures for real-world applications
EP4050923A1 (en) Systems and methods of access validation using distributed ledger identity management
EP4088237A1 (en) Systems and methods for compliance checks
JP2003050887A (ja) 電子証明書発行方法及び電子証明書発行システム
CA2613899C (en) Secure identity and personal information storage and transfer

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C02 Deemed withdrawal of patent application after publication (patent law 2001)
WD01 Invention patent application deemed withdrawn after publication

Open date: 20090325