CN101796526A - 用于验证电子文档的***和方法 - Google Patents

Abstract

本发明涉及用于验证电子文档的***，包括第一设备，包括第一显示器、第一接口和用于在第一显示器上显示电子文档的第一显示程序，第二设备，包括第二显示器、第二接口和第二显示程序，在第一接口和第二接口之间的通信信道，其中第一设备和第二设备可操作以交换电子文档，以及其中该***包括选择功能，所述选择功能可操作用于选择电子文档的部分，产生电子文档的所选择部分的位置信息，其中所述第二显示程序可操作用于在与第一设备交换之后锁定电子文档，在第二显示器上显示电子文档的所选择部分。

Description

用于验证电子文档的***和方法

技术领域

本发明涉及用于验证电子文档的***。本发明还涉及相应方法和相应计算机程序。

背景技术

在电子商务中，常用情况之一是用户通过电子签名来以其私有密钥签署电子文档。例如，用户可以签署与服务提供者的合同或者银行的业务单。为了安全，这种应用要求用户可以经过可信设备来验证其签署的声明。

如果不通过可信设备进行这样的业务，则诸如病毒、特洛伊木马等的恶意软件可能操纵用户看到的信息或者实际签名的信息。因此，恶意软件或者最终恶意方可能参与针对用户的欺骗。

由于实践性原因，这种可信设备通常很小，例如USB密钥、智能卡或小型抗干扰读卡器。这些设备最好具有小用户接口和小屏幕。

这种小的可信用户设备通常对于示出用户实际签署的全部内容是不现实的。作为例子，不能在仅具有几平方厘米的显示器的可信设备上显示用户推想要签署的完整合同。这种小的可信设备的例子是EC读卡器的显示器。

本发明的目的是提供用于验证电子文档的其他方案。

本发明的进一步的目的是提供包含用于验证电子文档的方案的改进的***、改进的方法、和改进的计算机程序。

发明内容

本发明针对如独立权利要求中要求的***、方法和计算机程序。

在所附从属权利要求中提供了本发明的进一步实施例。

根据本发明的第一方面，提供了用于验证电子文档的***，包括

-第一设备，包括第一显示器、第一接口、和用于在第一显示器上显示电子文档的第一显示程序，

-第二设备，包括第二显示器、第二接口、和第二显示程序，

-在第一接口和第二接口之间的通信信道，其中第一设备和第二设备可操作以交换电子文档，以及其中该***包括选择功能，所述选择功能可操作用于

-选择电子文档的部分，

-产生电子文档的所选择部分的位置信息，

其中所述第二显示程序可操作用于

-在与第一设备交换之后锁定电子文档，

-基于所述位置信息和锁定的电子文档，在第二显示器上显示电子文档的所选择部分。

根据本发明的此方面的***包括两个显示器。第一显示器可以用于以普通方式显示电子文档。这可以包括逐页显示电子文档以及以不同的尺寸和放大率(augmentation)显示电子文档的各页。提供选择功能用于选择电子文档的部分以便在第二显示器上显示电子文档的该所选择的部分。为了便于在第二显示器上显示文档的所选择部分，选择功能产生电子文档的所选择部分的位置信息。该位置信息包括关于电子文档的所选择部分的位置的信息。换句话说，位置信息指示电子文档的哪部分已经被选择来用于显示在第二显示器上。

经由通信信道在第一和第二设备之间交换电子文档。这可以通过交换电子文档的数据文件完成。在交换之后，第二设备锁定电子文档。这可以通过将电子文档存储在第二设备的存储器中、特别是安全存储器中来完成。换句话说，在锁定之后，第一设备不再具有对于存储在第二设备中的电子文档的访问。这防止了可能运行在第一设备上的病毒、蠕虫或其他工具不再能改变存储在第二设备中的电子文档。

为了在第二显示器上显示电子文档的所选择部分，第二设备仅使用被锁定在第二设备中的电子文档和位置信息，而不使用存储在第一设备中的电子文档。这具有的优点是第一设备上的病毒、蠕虫或其他恶意活动不能影响在第二设备上所显示的。这允许验证电子文档。如果***的用户观察到在第二显示器上的所选择部分与在第一显示器上显示的相应部分之间存在差别，则用户得到第一设备未正当工作以及应该否定电子文档的验证的指示。如果***的用户观察到第二显示器上的所选择部分和第一显示器上显示的相应部分相同，则可以选择电子文档的另一部分用于验证。他可以对其感兴趣的电子文档的任何部分反复进行此过程。这允许验证全部电子文档。

根据本发明的此方面的实施例，第一显示程序包括选择功能，并且该选择功能可操作用于向第二设备发送位置信息。

根据本发明的此实施例，选择功能可以使用可移动窗口、放大镜或用于选择的其他图形元素。***的用户可以使用该选择功能来选择电子文档的一个或多个部分用于验证。在锁定电子文档后，仅可将位置信息从第一设备发送到第二设备。由第二显示程序使用该位置信息以在第二显示器上显示电子文档的所选择部分。为了在第二显示器上显示电子文档的所选择部分，第二设备仅使用被锁定在第二设备中的电子文档和所接收的位置信息，而不使用存储在第一设备中的电子文档。如果***的用户观察到在第一显示器上的所选择部分与在第二显示器上的所选择部分之间存在差别，则用户得到第一设备未正当工作以及应该否定电子文档的验证的指示。如果***的用户观察到第一显示器上的所选择部分和第二显示器上的所选择部分相同，则他可以选择电子文档的另一部分用于验证。

根据本发明的此方面的另一实施例，第二显示程序包括选择功能并且该选择功能可操作用于通过用户接口向用户指示所选择部分的位置。本发明的此实施例具有的优点是不在第一设备和第二设备之间交换位置信息。而是，通过用户接口将电子文档的所选择部分的位置指示给用户。作为例子，第二设备的第二显示器可以用作可视化界面(visual interface)。此外，扬声器可以用作声音用户接口。用户可以例如通过查看第二显示器或者通过收听第二设备的扬声器，来从用户接口接收位置信息。然后用户可以通过显示在第一显示器上的相应位置信息来验证第一显示器上的相应的所选择部分。作为例子，选择功能可以产生行数和/或页数作为位置信息，并在第二显示器上显示该行数和/或页数的所选择部分。在第一显示器上显示的电子文档也包括行数和/或页数。这使得用户能够通过显示在第一显示器上的行数和/或页数来识别与所选择部分对应的第一显示器上的部分。

根据本发明的进一步实施例，选择功能可操作用于自动选择电子文档的一个或多个部分。

自动选择可以通过预定应该由选择功能选择的部分来实现。作为例子，可以预定应该由选择功能选择合同的具体条款。作为进一步的例子，可以预定应该由选择功能选择电子文档的具体字段。这可以通过解析器实现。选择功能可以按依次顺序自动选择预定的部分。在依次的选择步骤之间，可以向用户询问继续确认。

根据本发明的此方面的实施例，第二设备包括用于对电子文档执行电子签名的签名功能。

这提供了用于进行电子签名的改进设备。使得用户能够在签署之前验证电子文档，特别是特别重要的部分。

根据本发明的此方面的进一步实施例，签名功能可操作用于

-如果用户指示验证电子文档，则执行对电子文档的电子签名，

-如果用户否定验证电子文档，则拒绝执行电子签名。

这提供了用于进行电子签名的改进设备。用户可以验证电子文档并签署，或者如果其已经观察到在第一设备上显示的所选择部分与在第二设备上显示的所选择部分之间的不一致，则其可以避免签名。

根据本发明的此方面的进一步实施例，第二显示器的尺寸小于第一显示器的尺寸。

这是成本效率方案。其具有的优点是这使得用户能够利用相对小的显示器来验证相对大的文档、例如整个合同。具有较大的第一显示器的第一设备可以显示完整电子文档或者电子文档的各页。具有较小的第二显示器的第二设备可以显示电子文档的所选择部分。

根据本发明的此方面的进一步实施例，第二设备比第一设备更抗干扰。

这意味着对手操纵第二设备比操纵第一设备更难。特别是，对手将病毒或蠕虫或其他工具放在第二设备上比放在第一设备上更难。这可以通过限制将应用加载到第二设备上的可能性来实现。

由于抗干扰设备通常仅具有有限的显示工具和通常很小的显示器，因此根据本发明的此方面的***提供了在第一设备的大显示器上显示例如合同的大文档并同时通过第二设备的显示器验证电子文档的所选择部分的可能性。

根据本发明的此方面的进一步实施例，第二设备是可信设备。

可信设备被理解为用户已经选择信任的设备。可信设备通常具有相对小的显示器。根据本发明的此方面的***提供了在第一设备的大显示器上显示例如合同的大文档并同时通过可信设备的显示器来验证电子文档的所选择部分的可能性。

根据本发明的此方面的进一步实施例，第一和第二设备可操作用于交换位置参考信息。

这种位置参考信息便于第二显示程序准确显示电子文档的所选择部分。通过位置参考信息，第一显示程序和第二显示程序对于电子文档的所选择部分的位置在公共位置参考***上达成一致。作为例子，位置参考信息可以是2维或3维坐标***或者允许在第一和第二显示程序之间对电子文档的部分的位置的共同理解的任意其他参考***。

根据本发明的此方面的进一步实施例，通信信道是安全信道。

这提高了***的安全性。安全信道是抗窃听和/或干扰达预定程度的信道。安全信道可以例如通过安全套接层(SSL)协议或传输层安全(TLS)协议来建立。也可以使用其他非对称或对称的加密协议。

根据本发明的此方面的进一步实施例，通信信道是无线信道。

这提供了灵活的***。无线信道可以是例如根据蓝牙或近场通信(NFC)标准的无线信道。

根据本发明的此方面的进一步实施例，第二设备是智能卡读卡器。

智能卡读卡器、也表示为芯片读卡器或集成电路读卡器，可以被定义为可以从智能卡读取信息的读取器。智能卡、也表示为芯片卡或集成电路卡，可以被定义为包括用于处理信息的一个或多个集成电路的任何口袋尺寸的卡。这种智能卡读卡器流传广泛并且可以用于电子支付、例如EC读卡器、电子签名或各种其他目的。这提供了有效灵活的***。

根据本发明的此方面的另一实施例，第二设备是移动电话。

这提供了有效灵活的***。

根据本发明的此方面的另一实施例，第二设备包括可信平台模块(TPM)或硬件令牌(hardware token)。

可信平台模块是符合可信计算组织(TCG)的可信平台模块规范的集成电路或电子芯片。可以在https://www.trustedcomputinggroup.org/groups/tpm/找到该规范的细节。

硬件令牌、也表示为安全令牌或加密令牌，是可以由计算机***的用户为了认证目的使用的电子设备。硬件令牌通常更小，使得其可以携带在用户的口袋中。硬件令牌可以存储允许进行电子签名的用户的签名密钥。

根据本发明的第二方面，提供了用于验证电子文档的方法，该方法包括步骤：

-交换步骤，用于在第一设备与第二设备之间交换电子文档，

-锁定步骤，用于在交换步骤之后在第二设备中锁定电子文档，

-选择步骤，用于选择电子文档的部分，

-位置信息产生步骤，用于产生电子文档的所选择部分的位置信息，

-显示步骤，用于通过第一显示程序在第一设备的第一显示器上显示电子文档，

-显示步骤，用于基于所述位置信息和锁定的电子文档，通过第二显示程序在第二设备的第二显示器上显示电子文档的所选择部分。

根据本发明的此方面的实施例，选择步骤和位置信息产生步骤由第一显示程序执行，以及该方法还包括位置信息发送步骤，用于从第一设备向第二设备发送所述位置信息。

根据本发明的此实施例的选择步骤可以涉及一些用户交互。作为例子，用户可以通过第一显示程序的选择功能来选择其特别感兴趣的电子文档的部分。

根据本发明的此方面的实施例，选择步骤和位置信息产生步骤由第二显示程序执行，以及所述方法还包括位置指示步骤，用于通过用户接口向用户指示所选择部分的位置。

这具有的优点是可以自动进行选择步骤而不用用户交互。

根据本发明的此方面的实施例，该方法还包括签名步骤，用于如果用户已经验证了电子文档，则签署该电子文档。

根据本发明的第三方面，提供了计算机程序，其包括用于实行根据本发明的第二方面的方法的各步骤的指令。

任何公开的实施例可以与所示/所述的其他实施例的一个或几个组合。这对于实施例的一个或多个特征也可以。

本发明的一个方面的任意特征可以应用于本发明的另一方面并且反之亦然。

附图说明

参考以下示意图，下面仅作为例子详细描述本发明的优选实施例。

图1示出了根据本发明的实施例的用于验证电子文档的***的框图的示意图示，

图2示出了在第一显示器上的示例视图和在较小的第二显示器上的相应视图的示意图示，

图3示出了用于验证电子文档的方法的流程图，

图4示出了根据本发明的实施例的用于验证电子文档的***的框图的示意图示，

图5示出了在第一显示器上的进一步示例视图以及在较小的第二显示器上的相应视图的示意图示，

图6示出了根据本发明的另一实施例的用于验证电子文档的方法的流程图。

提供附图仅为了图示的目的，并且不是必然按比例表示本发明的实践例子。在图中，使用相同的参考标记表示相同或类似的部分。

具体实施方式

图1示出了用于验证电子文档110的***100的示意图示。***100包括第一设备120。第一设备120包括第一显示器121、第一接口122和第一显示程序123。第一显示程序123被存储在存储器单元124中。此外，第一设备120包括处理单元125。第一设备120包括用于向第一设备120提供用户输入的键盘126和鼠标127。处理单元125、存储器单元124和第一接口122可以例如排列在桌面型个人计算机(PC)128中。作为另一例子，第一设备120可以是膝上型计算机。

***100包括第二设备130，该第二设备130包括第二显示器131、第二接口132和第二显示程序133。第二显示程序133被存储在存储器单元134中。此外，第二设备130包括处理单元135。

第一接口122和第二接口132是通过通信信道140连接的通信接口。通信信道140可以是有线或无线信道。无线信道可以是例如根据蓝牙或近场通信(NFC)标准的无线信道。有线信道可以通过网络电缆实现。通信信道140可以是安全信道，即抗窃听(interception)和/或干扰(tampering)达预定程度的信道。通信信道140的安全性可以例如通过安全套接层(SSL)协议、传输层安全(TLS)协议或其他非对称或对称的加密协议来实现。

第二设备130包括第三接口136和第四接口137。第三接口136可操作用于接收智能卡160。智能卡160可以包括用于签署诸如电子文档110之类的电子文档的签名密钥K。***100还包括签名接收实体150。签名接收实体150可以是例如银行、保险公司、因特网店或可以利用电子签名的任何其他实体。签名接收实体150通过通信信道170耦接到第四接口137。通信信道170可以是无线或有线信道。另外，第二设备130包括用于向第二设备130提供用户输入信息的输入板(input pad)138。

第二设备130可以是例如智能卡读卡器、移动电话、硬件令牌或具有显示器的智能卡。

签名接收实体150可操作用于向第二设备130发送电子文档110的数据文件111。电子文档110的数据文件111被存储在存储器单元134中。

第一设备120和第二设备130可操作以便于电子文档110的验证。为了验证电子文档110，第一设备120和第二设备130经由通信信道140分别交换电子文档110或电子文档110的拷贝。根据如关于图1所示的本发明的实施例，第二设备130向第一设备120发送电子文档110的数据文件112。数据文件112可以作为电子文档110的数据文件111的拷贝而产生。在接收时，第一设备120将电子文档110的数据文件112存储在存储器单元124中。在交换电子文档110后，存储在存储器单元134中的电子文档110的数据文件111被锁定。换句话说，直到解锁为止，不再能改变电子文档的数据文件111。

在操作时，第一显示程序123可以用于基于存储在存储器单元124中的数据文件112来在第一显示器121上显示电子文档110。第一显示程序123包括允许用户为了验证目的而选择电子文档110的部分115的选择功能。用户可以通过键盘126和/或鼠标127进行选择。在选择在第一显示器121上显示的电子文档110的部分115时，第一显示程序123产生电子文档110的选择部分115的位置信息P。位置信息P包括电子文档110的所选择部分115的位置的信息。第一设备120和第一显示程序123分别经由第一接口122和通信信道140向第二设备130发送该位置信息P。位置信息P指示第二设备130：电子文档110的所选择部分115已经由用户选择，并且应该显示在第二设备130的第二显示器131上。在接收位置信息P时，第二设备130的第二显示程序133可操作以在第二显示器131上显示电子文档110的所选择部分115。第二显示程序133仅利用和处理存储在存储器单元134中的电子文档110(也表示为锁定的电子文档110)的数据文件111以及从第一设备120接收的位置信息P。具体地，第一设备120不能影响电子文档110的数据文件111。在第一设备120和第二设备130之间交换电子文档110之后，即在已经发送了电子文档的数据文件112之后，直到完成验证为止，提供第一设备120和第二设备130仅用于交换位置信息P。因此，一旦电子文档110即在此例子中的电子文档110的数据文件111已经被第二设备130锁定，则第一设备110上的潜在恶意应用、例如第一设备120上的病毒或蠕虫就不能影响在第二显示器131上显示什么。通过显示程序123的选择功能，用户可以选择电子文档110的任意部分115，并验证第二显示器131示出该所选择部分115。由于用户选择并由此选定用于验证的电子文档110的部分115独立于第一设备120，因此用户可以选择电子文档110的重要部分115并验证它们是正确的。如果恶意软件正运行在第一设备120上并操纵第一显示器121上的电子文档110的视图，则用户可以观察到显示在第一显示器121上的所选择部分115和显示在第二显示器131上的所选择部分115之间的不一致或差别。

如果用户已经验证了电子文档110，则其可以签署电子文档110的数据文件111。为了执行在数据文件111上的签名，用户向第三接口136提供智能卡160。第二设备130从智能卡160读取用于签署电子文档110的签名密钥K，并通过该签名密钥K签署电子文档110的数据文件111。这造成包含电子签名114的电子文档110的数据文件113。数据文件113表示电子文档110的签署的版本。然后经由第四接口137和通信信道170将数据文件113发送到签名接收实体150。签名接收实体150可以存储和/或进一步处理数据文件113，该数据文件113也表示为签署的电子文档113。

在本发明的此示例实施例中，第二显示器131的尺寸小于第一显示器121的尺寸。用户可以使用第一显示器121来示出完整的电子文档110或者电子文档110的各页，而在第二显示器131上验证电子文档110的所选择部分。

第二设备130是可信设备并且比第一设备120更抗干扰。

图2图示在第一显示器121上的示例视图和在第二显示器131上的相应视图。在第一显示器121上，分别示出并显示了包括条款1、条款2、条款3、条款4和条款5五个条款的合同的页200。由第一显示程序123并基于存储在存储器单元124中的电子文档110的数据文件112产生第一显示器121上的视图。

换句话说，在此例子中，电子文档110是合同。如通过阴影框所示，用户已经通过第一显示程序123选择了电子文档110的部分201用于验证。所选择部分201仅由可能对于用户特别重要的条款3组成。从而，第一显示程序123已经产生了指示所选择部分201的位置的位置信息P。将位置信息P参考为位置参考信息PR。位置参考信息PR定义了用于第一显示程序123和第二显示程序133的公共位置参考***，以便在第二显示器131上显示电子文档110的所选择部分201。在此例子中，位置参考信息PR是包括X轴和Y轴的2维坐标***。位置信息P包括指示所选择部分201在Y轴上的下和上位置的位置点P1和P2、以及指示所选择部分201在X轴上的左和右位置的位置点P3和P4。

包括位置点P1、P2、P3和P4的位置信息P以及位置参考信息PR被从第一设备120发送到第二设备130。第二显示程序133基于存储在第二设备130的存储器单元134中的电子文档110的数据文件111来产生第二显示器131上的所选择部分201的视图。因此，在第二显示器131上仅分别示出并显示了电子文档110的页200的所选择部分201(条款3)。通过比较两视图并检查它们是否相同，用户可以验证电子文档110并确保没有恶意软件改变了第一显示器121上的视图。

根据本发明的另一示例实施例，第二显示程序133包括选择功能，并且选择功能可操作以向用户指示在第二显示器131上的所选择部分115的位置。选择功能可操作用于自动选择电子文档110的一个或多个所选择部分115。可以根据预定方案预选择所选择部分115。

这在示出了用于验证电子文档的另一***500的图5中更详细地图示。图5图示了***500的第一显示器121上的示例视图以及第二显示器131上的相应视图。在图5中，与图1相同的参考标记用于指示相同或类似的部分。

根据本发明的此示例实施例，位置信息P’由第二显示程序133产生并被显示在第二显示器131上。

在第二显示器131上分别示出并显示了包括作为所选择部分501的电子文档110的条款3的电子文档110的所选择部分501。电子文档110在此例子中是合同。所选择部分501(条款3)已经由第二显示程序133的选择功能自动选择。除了所选择部分501以外，第二显示程序133显示行数502作为位置信息P’，以便向用户指示所选择部分501的位置。位置信息P’还包括页数503。

第一并较大的显示器121上的视图示出了电子文档110的完整页，包括条款1、条款2、条款3、条款4和条款5五个条款。由第一显示程序123并基于存储在存储器单元124中的电子文档110的数据文件112产生第一显示器121上的视图。第一显示程序123可操作以在第一显示器121上显示位置信息P”。在此例子中，显示了行数512(行1到20)和页数513作为位置信息P”，以便使得用户能够识别与所选择部分501对应的相应部分510。

***500的用户可以通过检查显示在第二显示器131上的所选择部分501与显示在第一显示器121上的相应部分510是否相同来验证所选择部分501。该检查可以涉及通过键盘126和/或鼠标127的一些用户交互。用户可以通过键盘126和/或鼠标127滚动到相应部分510并将其与第二显示器131的所选择部分501相比较。此外，用户可以在第一显示器131上放大相应部分510。用户从第二显示器131上显示的位置信息502(行数)和位置信息503(页数)得到所选择部分501的位置。然后其可以通过显示在第一显示器121上的相应位置信息512(行数)和513(页数)、即在此例子中通过查看显示在第一显示器121上的电子文档110的相应行11-13来识别与所选择部分501相对应的相应部分510。如果所选择部分501和相应部分510相同，则用户可以例如通过输入板138向第二显示程序133给出相应指示(确认)。然后第二显示程序133可以自动选择另一部分501用于验证，并且用户可以通过将其与显示在第一显示器121上的相应部分510相比较来对其验证。这可以重复几次。可以预定由第二显示程序133自动选择的所选择部分501的数量。

根据如参考图5图示的本发明的实施例，不经由通信信道140交换位置信息P’和P”。而是，位置信息P’由第二显示程序133产生并通过在第二显示器131上示出该位置信息P’而被提供给用户。此外，相应位置信息P”由第一显示程序123显示。根据本发明的此示例实施例，仅经由通信信道140交换电子文档110的数据文件112。

图3示出了用于通过如参考图1所述的***来验证电子文档110的方法的流程图。方法以用于在第一设备120和第二设备130之间交换电子文档110的交换步骤305开始。在随后的锁定步骤310中，电子文档110被锁定在第二设备130中。这可以通过如下的提供来实现：在交换步骤305之后不能再由第一设备120改变或影响第二设备130中存储的电子文档110的版本或数据文件。

在显示步骤315，电子文档110显示在第一设备120的第一显示器121上。在选择步骤320，由用户选择电子文档的部分。在位置信息产生步骤325，产生电子文档110的所选择部分115的位置信息P。在位置信息发送步骤330中，将位置信息P从第一设备120发送到第二设备130。在进一步的显示步骤335，基于从第一设备120接收的位置信息P和锁定的电子文档110，来在第二设备130的第二显示器131上显示电子文档110的所选择部分115。

在决定步骤340，询问用户其是否想要选择电子文档110的另一部分。如果是，则方法从选择步骤320继续。选择步骤320、位置信息产生步骤325、位置信息发送步骤330和显示步骤335可以按循环的方式重复几次。如果用户指示其不想选择电子文档110的另一部分，则在决定步骤350中询问用户其是否想要验证电子文档110并签署电子文档110。如果是，则在签名步骤360中，第二设备130签署电子文档110的数据文件111，得到数据文件113。在签名发送步骤370，包含电子签名114的电子文档110的数据文件113被发送到签名接收实体150。如果用户不想验证并签署数据文件111，例如因为其已经识别了第一显示器121上的视图与第二显示器131上的视图之间的不一致，则在取消步骤380中取消验证和签署处理。在取消步骤380或签名发送步骤370之后，在步骤385解锁电子文档110的数据文件111，并在步骤390将其从存储器单元134中删除。

图4示出了用于验证电子文档410的***400的示意图示。***400包括第一设备420。第一设备420包括第一显示器421、第一接口422和第一显示程序423。第一显示程序423被存储在存储器单元424中。此外，第一设备420包括处理单元425。第一设备420包括诸如键盘和/或鼠标之类的用于向第一设备420提供用户输入的用户输入部件426。第一显示器421、第一接口422、存储器单元424、处理单元425和用户输入部件426通过总线***427耦接。

***400包括第二设备430，第二设备430包括第二显示器431、第二接口432和第二显示程序433。第二显示程序433被存储在存储器单元434中。提供存储器单元434进一步用于存储签名密钥K。此外，第二设备430包括处理单元435和诸如键盘或一个或多个按钮之类的输入部件436。第二显示器431、第二接口432、存储器单元434、处理单元435和输入部件436通过总线***437耦接。

第一设备420和第二设备430建立计算***490。计算***490可以例如实现为膝上型、笔记本或便携式计算机。计算***490可以排列在公共框架中或者作为例如桌面计算机***的单独部分。第二设备430可以是例如智能卡读卡器、移动电话、硬件令牌或具有显示器的智能卡。

第一接口422和第二接口432通过通信信道440连接。通信信道440可以是有线或无线信道。无线信道可以是例如根据蓝牙或近场通信(NFC)标准的无线信道。有线信道可以例如通过网络电缆或印刷电路板的印刷线实现。

第一设备420包括耦接到***总线427并经由通信信道460耦接到签名接收实体450的第三接口428。通信信道460可以是无线或有线信道。通信信道460可以是例如因特网连接。签名接收实体450可以是例如银行、保险公司、因特网店或可以利用电子签名的任何其他实体。签名接收实体450可操作以向第一设备420发送电子文档410的数据文件411。这可能在计算***490的用户的因特网会话期间发生。用户可能浏览签名接收实体450的因特网页并可能想要进行与签名接收实体450的业务。在响应时，签名接收实体450向第一设备420发送数据文件411。第二设备420将该数据文件411存储在存储器单元424中。在接下来的验证会话中，第一设备420和第二设备430可以帮助用户验证电子文档410。为了验证电子文档410，第一设备420例如通过制作数据文件411的拷贝并经由总线***427将该拷贝发送到第二设备430，来向第二设备430发送电子文档410的数据文件412。在接收时，第二设备430将电子文档410的数据文件412存储在存储器单元434中。在交换了电子文档410后，存储在存储器单元434中的电子文档410的数据文件412被锁定。换句话说，将不再能改变电子文档的数据文件412，直到其被解锁为止。

在操作中，第一显示程序423可以用于基于存储在存储器单元424中的数据文件411，来在第一显示器421上显示电子文档410。第一显示程序423包括允许用户选择电子文档410的部分415以用于验证目的的选择功能。用户可以通过输入部件426进行选择。在选择了显示在第一显示器421上的电子文档410的该部分415时，第一显示程序423产生电子文档410的所选择部分415的位置信息P。该位置信息P包括电子文档410的所选择部分415的位置的信息。第一设备420和第一显示程序423分别经由总线***427、第一接口422和通信信道440向第二设备430发送该位置信息P。位置信息P向第二设备430指示电子文档410的所选择部分415已经由用户选择并且应该显示在第二设备430的第二显示器431上。在接收到位置信息P时，第二设备430的第二显示程序433可操作以在第二显示器431上显示电子文档410的所选择部分415。第二显示程序433仅利用并处理存储在存储器单元434中的电子文档410(也表示为锁定的电子文档410)的数据文件412、以及从第一设备420接收的位置信息P。具体地，第一设备420不能影响电子文档410的数据文件412。在交换了电子文档410之后，即在此例子中在由第二设备430已经接收了数据文件412之后，提供第一设备420和第二设备430仅用于交换位置信息P，直到已经完成验证为止。因此，一旦电子文档410、即在此例子中电子文档410的数据文件412，已经被第二设备430锁定，则第一设备420上的潜在恶意应用、例如第一设备420上的病毒或蠕虫不能影响在第二显示器431上显示什么。通过显示程序423的选择功能，用户可以选择电子文档410的任意部分415，并验证第二显示器431示出该同一所选择部分415。由于用户选择并由此选定用于验证的电子文档410的部分415独立于第一设备420，因此用户可以选择电子文档410的重要部分415并验证其是正确的。如果恶意软件正运行在第一设备420上并且操纵在第一显示器421上的电子文档410的视图，则用户可以观察到在第一显示器421上显示的所选择部分415与在第二显示器431上显示的所选择部分415之间的不一致或差别。

如果用户已经验证了电子文档410，则其可以签署电子文档410的数据文件412。为了执行对数据文件412的签名，用户可以按动输入部件436的签名按钮。第二设备430从存储器单元434读取签名密钥K并通过签名密钥K签署电子文档410的数据文件412。这得到包含电子签名414的电子文档410的数据文件413。数据文件413表示电子文档410的签署的版本。然后经由第二接口432、通信信道440、第一接口422、总线***427、第三接口428和通信信道460将数据文件413发送到签名接收实体450。签名接收实体450可以存储和/或进一步处理数据文件413，该数据文件413也表示为签署的电子文档413。

第二设备430包括较高的安全级别，并且比第一设备420更抗干扰。此外，第二显示器431的尺寸小于第一显示器421的尺寸。用户可以使用第一显示器421来示出整个电子文档410或电子文档410的各页，而在第二显示器431上验证电子文档410的所选择部分。

图6示出了用于通过参考图5和图1描述的***来验证电子文档110的方法的流程图。该方法开始于用于在第一设备120和第二设备130之间交换电子文档110的交换步骤605。在随后的锁定步骤610，电子文档110被锁在第二设备130中。这可以通过如下的提供来实现：在交换步骤605之后不再能由第一设备120改变或影响存储在第二设备130中的电子文档110的版本或数据文件。在选择步骤620，由第二显示程序133自动选择电子文档110的部分。在位置信息产生步骤625，由第二显示程序133产生电子文档110的所选择部分501的位置信息P’。在显示和位置指示步骤630，所选择部分501和位置信息P’显示在第二显示器131上。在显示步骤635，基于存储在存储器单元124中的数据文件112，在第一显示器131上显示电子文档110。此外，在显示步骤635，在第一显示器131上显示位置信息P”。通过显示在第二显示器131上的位置信息P’和显示在第一显示器121上的位置信息P”，用户可以将所选择部分501与相应部分510相比较，并验证它们是相同的。在决定步骤640，询问用户其是否想要选择电子文档110的另一部分。如果是，则该方法从选择步骤620继续，即第二显示程序133自动选择另一所选择部分501，例如条款5。选择步骤620、位置信息产生步骤625、显示和位置指示步骤630以及显示步骤635可以按循环的方式重复几次。

如果用户指示其不想选择电子文档110的另一部分，则在决定步骤650中询问用户其是否想要验证电子文档110并签署电子文档110。如果是，则在签名步骤660中，第二设备130签署电子文档110的数据文件111，得到数据文件113。在签名发送步骤670中，包括电子签名114的电子文档110的数据文件113被发送到签名接收实体150。如果用户不想验证并签署数字文件111，例如因为其已经识别了第一显示器121上的视图与第二显示器131上的视图之间的不一致，则在取消步骤680中取消验证和签署处理。在取消步骤680或签名发送步骤670之后，在步骤685解锁电子文档110的数据文件111，并在步骤690中将其从存储器单元134中删除。

以上作为例子仅仅描述了本发明的示例实施例，并且在本发明的范围内可以做出细节的修改。

公开的任意实施例可以与示出和/或描述的其他实施例中的一个或几个组合。这对于实施例的一个或多个特征也是可以的。

另外的实施例细节

术语“某个实施例”、“一实施例”、“实施例”、“各实施例”、“该实施例”、“该各实施例”、“一个或多个实施例”、“一些实施例”和“一个实施例”意为一个或多个(但不是所有)实施例，除非另外特别指明。术语“包括”、“包含”、“具有”及其变化意为“包括但不限于”，除非另外特别指明。所列举的各项并不暗示这些项的任一或所有是相互排斥的，除非另外特别指明。术语“一个(a)”、“一个(an)”、和“该”意味着“一个或多个”，除非另外特别指明。

相互通信的设备不需要持续相互通信，除非另外特别指明。另外，相互通信的设备可以直接或通过一个或多个媒介间接通信。另外，具有相互通信的几个组件的实施例的描述并不暗示需要所有这样的组件。相反，描述了各种可选组件以例示宽泛的各种可能的实施例。

此外，尽管可能依次顺序地描述了处理步骤、方法步骤、算法等，但是这样的处理、方法和算法可以被配置为按交替的顺序工作。换句话说，可能描述的步骤的任何次序或顺序不是必然指示要求按该顺序执行各步骤。可以按任何实际的顺序执行在此所述的处理的各步骤。此外，可以同时、并行或者并发地执行一些步骤。

当在此描述单个设备或事物时，将很明显，可以使用多于一个的设备/事物(不论它们是否合作)来代替单个设备/事物。类似地，在此描述多于一个设备或事物的情况下(不论他们是否合作)，将很明显，可以使用单个设备/事物来代替多于一个设备或事物。可替换地，可以通过未被明确描述为具有这样的功能性/特征的一个或多个其他设备来体现该设备的该功能性和/或特征。因此，其他实施例不需要包括该设备本身。

本文中的计算机程序部件或者计算机程序意味意要致使具有信息处理能力的***直接或者在以下之一或两者之后执行具体功能的一组指令的以任意语言、代码或符号的任意表达：a)转换成另一语言、代码或符号；b)以不同的具体形式再现。

Claims (20)

1.一种用于验证电子文档(110，410)的***，包括

-第一设备(120，420)，包括第一显示器(121，421)、第一接口(122，422)、和用于在第一显示器(121，421)上显示电子文档(110，410)的第一显示程序(123，423)，

-第二设备(130，430)，包括第二显示器(131，431)、第二接口(132，432)、和第二显示程序(133，433)，

-在第一接口(122，422)和第二接口(132，432)之间的通信信道(140，440)，其中第一设备(120，420)和第二设备(130，430)可操作来交换电子文档(110，410)，以及其中该***包括选择功能，所述选择功能可操作用于

-选择电子文档(110，410)的部分(115，415，201，501)，

-产生电子文档(110，410)的所选择部分(115，415，201，501)的位置信息，

其中所述第二显示程序(133，433)可操作用于

-在与第一设备(120，420)交换之后锁定电子文档(110，410)，

-基于所述位置信息和锁定的电子文档(111，412)，在第二显示器(131，431)上显示电子文档(110，410)的所选择部分(115，415，201，501)。

2.根据权利要求1的***，其中所述第一显示程序(123，423)包括所述选择功能，并且所述选择功能可操作用于向第二设备(130，430)发送所述位置信息。

3.根据权利要求1的***，其中所述第二显示程序(133，433)包括所述选择功能，并且所述选择功能可操作用于通过用户接口向用户指示所选择部分(115，415，201，501)的位置。

4.根据权利要求3的***，其中所述选择功能可操作用于自动选择所述电子文档(110，410)的一个或多个部分(115，415，201，501)。

5.根据在前权利要求的任意一项的***，其中所述第二设备(130，430)包括用于执行对所述电子文档(110，410)的电子签名的签名功能。

6.根据在前权利要求的任意一项的***，其中签名功能可操作用于

-如果用户指示电子文档(110，410)的验证，则执行对电子文档(110，410)的电子签名，

-如果用户否定电子文档(110，410)的验证，则拒绝执行电子签名。

7.根据在前权利要求的任意一项的***，其中所述第二显示器(131，431)的尺寸小于第一显示器(121，421)的尺寸。

8.根据在前权利要求的任意一项的***，其中所述第二设备(130，430)比第一设备(120，420)更抗干扰。

9.根据在前权利要求的任意一项的***，其中所述第二设备(130，430)是可信设备。

10.根据在前权利要求的任意一项的***，其中所述第一设备(120，420)和第二设备(130，430)可操作用于交换位置参考信息。

11.根据在前权利要求的任意一项的***，其中所述通信信道(140，440)是安全信道。

12.根据在前权利要求的任意一项的***，其中所述通信信道(140，440)是无线信道。

13.根据在前权利要求的任意一项的***，其中所述第二设备(130，430)是智能卡读卡器。

14.根据在前权利要求的任意一项的***，其中所述第二设备(130，430)是移动电话。

15.根据在前权利要求的任意一项的***，其中所述第二设备(130，430)包括可信平台模块(TPM)或硬件令牌。

16.一种用于验证电子文档(110，410)的方法，该方法包括：

-交换步骤(305，605)，用于在第一设备(120，420)与第二设备(130，430)之间交换电子文档(110，410)，

-锁定步骤(310，610)，用于在交换步骤(305，605)之后在第二设备(130，430)中锁定电子文档(110，410)，

-选择步骤(320，620)，用于选择电子文档(110，410)的部分(115，415，201，501)，

-位置信息产生步骤(325，625)，用于产生电子文档(110，410)的所选择部分(115，415，201，501)的位置信息，

-显示步骤(315，635)，用于通过第一显示程序(123，423)在第一设备(120，420)的第一显示器(121，421)上显示电子文档(110，410)，

-显示步骤(335，630)，用于基于所述位置信息和锁定的电子文档(111，412)，通过第二显示程序(133，433)，在第二设备(130，430)的第二显示器(131，431)上显示电子文档(110，410)的所选择部分(115，415，201，501)。

17.根据权利要求16的方法，其中所述选择步骤(320)和位置信息产生步骤(325)由第一显示程序(123)执行，以及其中该方法还包括位置信息发送步骤(330)，用于从第一设备(120，420)向第二设备(130，430)发送所述位置信息。

18.根据权利要求16的方法，其中所述选择步骤(620)和位置信息产生步骤(625)由第二显示程序(133)执行，以及其中所述方法还包括位置指示步骤(630)，用于通过用户接口向用户指示所选择部分(115，415，201，501)的位置。

19.根据权利要求16到18的任意一项的方法，还包括

-签名步骤(360，660)，用于如果用户已经验证了电子文档(110，410)，则签署电子文档(110，410)。

20.一种计算机程序，包括用于执行根据权利要求16-19的任意一项的方法的步骤的指令。

Images