CN114730334A - 使用网络认证来增强安全远程平台***的安全性 - Google Patents

使用网络认证来增强安全远程平台***的安全性 Download PDF

Info

Publication number
CN114730334A
CN114730334A CN202080078981.5A CN202080078981A CN114730334A CN 114730334 A CN114730334 A CN 114730334A CN 202080078981 A CN202080078981 A CN 202080078981A CN 114730334 A CN114730334 A CN 114730334A
Authority
CN
China
Prior art keywords
user
resource provider
computer
data
interaction
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202080078981.5A
Other languages
English (en)
Inventor
J·吉塔丽亚
G·申克
M·坎嫩巴斯
A·古普塔
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Visa International Service Association
Original Assignee
Visa International Service Association
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Visa International Service Association filed Critical Visa International Service Association
Publication of CN114730334A publication Critical patent/CN114730334A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/32—User authentication using biometric data, e.g. fingerprints, iris scans or voiceprints
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G06Q20/401—Transaction verification
    • G06Q20/4014—Identity check for transactions
    • G06Q20/40145—Biometric identity checks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0861—Network architectures or network communication protocols for network security for authentication of entities using biometrical features, e.g. fingerprint, retina-scan
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2115—Third party
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Business, Economics & Management (AREA)
  • Theoretical Computer Science (AREA)
  • Accounting & Taxation (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Biomedical Technology (AREA)
  • Finance (AREA)
  • Strategic Management (AREA)
  • General Business, Economics & Management (AREA)
  • Software Systems (AREA)
  • Information Transfer Between Computers (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)
  • Computer And Data Communications (AREA)

Abstract

一种方法包括由通用认证应用从资源提供商计算机接收用户凭证验证请求消息，所述用户凭证验证请求消息包括用户标识符、服务器计算机数据和用于交互的交互数据。所述通用认证应用向浏览器发送所述用户凭证验证请求消息，所述浏览器调用认证器来验证用户的生物特征信息。所述通用认证应用从所述认证器接收用户凭证验证响应消息。所述用户凭证验证响应消息包括已签名的交互数据。所述通用认证应用将所述用户凭证验证响应消息发送到所述资源提供商计算机。所述资源提供商计算机将至少所述已签名的交互数据提供到多个服务器计算机，以检取分别与所述多个服务器计算机相关联的多个便携式装置凭证。

Description

使用网络认证来增强安全远程平台***的安全性
相关申请交叉引用
本申请是于2019年11月13日提交的第62/934,988号美国临时申请的PCT申请并且要求其优先权，所述美国临时申请出于所有目的而以全文引用的方式并入本文中。
背景技术
例如安全远程交易(SRT)***等常规安全远程平台***使用浏览器cookie来认证用户的装置并检取不同卡的注册账户信息。这样做存在的一个问题是，存储在用户的装置上的浏览器cookie可能会被盗或可能会被不小心删除。还存在其它类型的认证。例如，网络认证(WebAuthn)的web标准提供了一种使用例如生物特征认证等其它类型的信息来认证web应用的用户的方法。
将WebAuthn与生物特征认证结合利用的一个缺点是，可能需要针对与用户相关联的每一账户凭证进行单独的生物特征验证。因此，当使用不同的SRT***检取账户信息以显示卡列表以供在交互期间进行交互选择时，可以针对每一SRT***请求单独的生物特征读取。这对用户和过程所涉及的装置来说都是繁重的。例如，用户需要多次输入其生物特征信息，以便允许多个SRT***提供要显示在卡列表中的账户凭证。这一过程对于装置来说更加繁重，因为需要在整个网络中进行大量通信，具体取决于有多少SRT***正请求用户的生物特征认证。另外，当用户装置一次仅能请求单次生物特征读取时，处理能力会出现障碍。这延长了处理交互的总时间。
本公开的实施例单独地以及共同地解决此问题和其它问题。
发明内容
实施例涉及用于安全认证的方法和***。
一个实施例涉及一种方法，包括：由通用认证应用从资源提供商计算机接收用户凭证验证请求消息，所述用户凭证验证请求消息包括用户标识符、服务器计算机数据和用于所述资源提供商计算机的资源提供商与用户装置的用户之间的交互的交互数据；由所述通用认证应用向网络浏览器发送所述用户凭证验证请求消息，所述网络浏览器调用认证器来验证所述用户的生物特征信息；由所述通用认证应用从所述认证器接收用户凭证验证响应消息，所述用户凭证验证响应消息包括已签名的交互数据；以及由所述通用认证应用向所述资源提供商计算机发送所述用户凭证验证响应消息，其中所述资源提供商计算机向多个服务器计算机提供至少所述已签名的交互数据，以检取分别与所述多个服务器计算机相关联的多个便携式装置凭证。
另一实施例涉及一种用户装置，包括：处理器；以及耦合到所述处理器的计算机可读介质，所述计算机可读介质包括可由所述处理器执行以用于实施以下方法的代码，所述方法包括：由所述用户装置的通用认证应用从资源提供商计算机接收用户凭证验证请求消息，所述用户凭证验证请求消息包括用户标识符、服务器计算机数据和用于所述资源提供商计算机的资源提供商与所述用户装置的用户之间的交互的交互数据；由所述通用认证应用向网络浏览器发送所述用户凭证验证请求消息，所述网络浏览器调用认证器来验证所述用户的生物特征信息；由所述通用认证应用从所述认证器接收用户凭证验证响应消息，所述用户凭证验证响应消息包括已签名的交互数据；以及由所述通用认证应用向所述资源提供商计算机发送所述用户凭证验证响应消息，其中所述资源提供商计算机向多个服务器计算机提供至少所述已签名的交互数据，以检取分别与所述多个服务器计算机相关联的多个便携式装置凭证。
一个实施例涉及一种方法，包括：由资源提供商计算机从用户装置接收包括识别标识符的交互请求消息；由所述资源提供商计算机将包括所述识别标识符的识别请求消息提供给多个服务器计算机；由所述资源提供商计算机从所述多个服务器计算机中的两个或更多个服务器计算机分别接收两个或更多个识别响应消息，每一识别响应消息包括用户标识符和服务器计算机数据；由所述资源提供商计算机选择一个或多个识别响应消息中的所选识别响应消息；由所述资源提供商计算机生成用户凭证验证请求消息，所述用户凭证验证请求消息包括所述用户标识符、所述所选识别响应消息的所述服务器计算机数据和交互数据；由所述资源提供商计算机向通用认证应用发送所述用户凭证验证请求消息，其中所述通用认证应用将所述用户凭证验证请求消息提供给网络浏览器，所述网络浏览器调用认证器来验证所述用户装置的用户的生物特征信息；以及由所述资源提供商计算机经由所述通用认证应用从所述认证器接收用户凭证验证响应消息，所述用户凭证验证响应消息包括已签名的交互数据。
关于本公开的实施例的另外的细节可以在具体实施方式和附图中找到。
附图说明
图1示出了根据实施例的安全交互***的框图。
图2示出了根据实施例的用户装置的组件的框图。
图3示出了说明根据实施例的用户装置与资源提供商计算机的首次使用的流程图。
图4示出了说明根据实施例的用户装置与资源提供商计算机的后续使用的流程图。
图5A和5B示出了说明根据各种实施例的将生物特征识别与WebAuthn结合使用的示例性用户体验的流程的用户界面。
具体实施方式
在论述本公开的实施例之前，可以进一步详细描述一些术语。
“授权请求消息”可以是请求对交互授权的电子消息。在一些实施例中，所述消息被发送到交易处理计算机和/或支付卡的发行方，以请求对交易进行授权。根据一些实施例，授权请求消息可遵守国际标准化组织(ISO)8583，它是针对交换与用户使用支付装置或支付账户进行的支付相关联的电子交易信息的***的标准。授权请求消息可以包括可以与支付装置或支付账户相关联的发行方账户标识符。授权请求消息还可以包括与“标识信息”对应的额外数据元素，包括(只作为示例)：服务代码、卡验证值(CVV)、动态卡验证值(dCVV)、主账号或“账号”(PAN)、支付令牌、用户名、到期日期等等。授权请求消息还可以包括“交易信息”，例如与当前交易相关联的任何信息，例如交易值、商家标识符、商家位置、收单方银行标识号(BIN)、卡片接受器ID、标识正购买的项目的信息等，以及可以用于确定是否标识和/或授权交易的任何其它信息。
“授权响应消息”可以是响应于授权请求的消息。在一些情况下，授权响应消息可以是由发行金融机构或交易处理计算机生成的对授权请求消息的电子消息应答。仅举例来说，授权响应消息可以包括以下状态指示符中的一个或多个：批准--交易被批准；拒绝--交易未被批准；或呼叫中心--响应未决的更多信息，商家必须呼叫免费授权电话号码。授权响应消息还可以包括授权代码，所述授权代码可以是***发行银行响应于电子消息中的授权请求消息(直接地或者通过交易处理计算机)返回给商家的访问装置(例如POS设备)的指示对交易的批准的代码。所述代码可充当授权的证据。
“授权实体”可以是授权请求的实体。授权实体的示例可以是发行方、政府机构、文件存储库、访问管理员等。授权实体可以操作授权实体计算机。“发行方”可以指发行并任选地维护用户账户的商业实体(例如，银行)。发行方还可以向用户，或在一些实施例中向便携式装置发行存储在用户装置上的支付凭证，所述用户装置例如蜂窝式电话、智能卡、平板计算机或膝上型计算机。
“结账元件”可以是发起交易的任何机制。例如，结账元件可以包括图形用户界面上的按钮，在选择所述按钮时，交易被发起。
“cookie”(又称“web cookie”、“因特网cookie”或“浏览器cookie”)可以是从web服务器发送并存储在用户计算机上的任何合适的数据片。当用户浏览由网络服务器维护的网站时，小数据文件可以由计算机的网络浏览器放置在用户计算机上。
“安全远程交易(SRT)平台”可以是能够以所描述的方式促进交易的任何实体。SRT平台能够与发起者、服务商和交易处理网络通信。在一些实施例中，SRT平台可包括SRT服务器、令牌提供商和交易处理网络。SRT平台可被配置成执行一个或多个过程，包括：从发起者接收交易请求；标识与交易相关联的账户；确定用于账户的适当服务商；使所确定的服务商认证与账户相关联的用户；生成要在交易中使用的令牌；以及向发起者提供令牌以完成交易。在一些实施方案中，SRT平台也可以被称为安全远程商务(SRT)平台。
术语“资源”通常是指可使用或消耗的任何内容。例如，资源可以是计算机资源(例如存储的数据或联网计算机账户)、物理资源(例如有形对象或物理位置)或其它电子资源或计算机之间的通信(例如与用于执行交易的账户对应的通信信号)。资源的一些非限制性实例可以是商品或服务、物理建筑物、计算机账户或文件或支付账户。
“资源提供商”可以是能够提供例如商品、服务、信息等资源和/或对此资源的访问的实体。资源提供商的实例包括商家、在线或其它电子零售商、访问装置、安全数据访问点等。“商家”通常可以是参与交易并且可出售商品或服务或提供对商品或服务的访问的实体。“资源提供商计算机”可以是由资源提供商操作的任何计算装置。
“交互”可以包括互惠作用或影响。“交互”可以包括各方、各装置和/或各实体之间的通信、联系或交换。示例交互包括两方之间的交易和两个装置之间的数据交换。在一些实施例中，交互可以包括用户请求访问安全数据(例如，安全数据交互)、用户请求访问安全网页(例如，安全网页交互)、用户请求访问安全位置(例如，安全位置交互)等。在其它实施例中，交互可以包括支付交易，在所述支付交易中，两个装置可以交互以促进支付。
“交互数据”可以是与交互相关联的数据。例如，交互可以是将数字资产从一方转移到另一方。在一些实施例中，交互可以包括用户与资源提供商之间的交易。例如，交互数据可以包括交易金额。在一些实施例中，交互数据可指示为交互一方的不同实体以及被交换的价值或信息。交互数据可以包括交互金额、与发送方相关联的信息(例如，令牌或账户信息、别名、装置标识符、联系地址等)、与接收方相关联的信息(例如，令牌或账户信息、别名、装置标识符、联系地址等)，一次性值(例如，随机值、临时数、时间戳、计数器等)和/或任何其它合适的信息。交互数据的实例可以是交易数据。
“用户”可以包括个人。在一些实施例中，用户可以与一个或多个个人账户和/或移动装置相关联。在一些实施例中，用户也可以被称为持卡人、账户持有人或消费者。
“用户装置”可以是由用户操作的装置。用户装置的实例可以包括移动电话、智能手机、卡、个人数字助理(PDA)、膝上型计算机、台式计算机、服务器计算机、车辆(诸如汽车)、精简客户端装置、平板式PC，等等。此外，用户装置可以是任何类型的可穿戴技术装置，例如手表、耳机、眼镜等。用户装置可包括能够处理用户输入的一个或多个处理器。用户装置还可包括用于接收用户输入的一个或多个输入传感器。如本领域中已知的，存在能够检测用户输入的多种输入传感器，诸如加速度计、相机、麦克风等。由输入传感器获得的用户输入可以来自多种数据输入类型，包括但不限于音频数据、视觉数据或生物特征数据。用户装置可以包括用户可以操作的任何电子装置，所述电子装置还可以提供与网络的远程通信能力。远程通信能力的实例包括使用移动电话(无线)网络、无线数据网络(例如，3G、4G或类似网络)、Wi-Fi、Wi-Max，或者可以提供对网络(诸如互联网或专用网络)的访问的任何其它通信介质。
“用户标识符”可以包括任何能够标识用户的数据片。用户标识符可以包括任何合适的字母数字字符串。在一些实施例中，用户标识符可以从用户标识信息中导出。用户标识符可以是通用唯一标识符(UUID)。UUID可以是任何合适的格式，例如32个十六进制数字、16个字母数字数码等。示例用户标识符可以是“123e4567-e89b-12d3-a456-426614174000”。
“认证器”可以包括用于认证的硬件和/或软件。认证器可以包括被配置成处理生物特征信息的生物特征读取器。认证器可以获得和处理生物特征信息以认证与生物特征信息相关联的个人(例如，用户)。认证器可以包括生物特征读取器。
“生物特征”可以是对于个人是唯一的任何人类特性。例如，生物特征可以是人的指纹、话音样本、面部、DNA、视网膜等。
“生物特征信息”可以包括与生物特征有关的数据。生物特征信息可以包括生物特征样本和/或生物特征模板。
“生物特征读取器”可以包括用于从个人的生物特征样本捕获数据的装置。生物特征读取器的实例可以包括指纹读取器、前向相机、麦克风和虹膜扫描仪。在一些实施例中，用户装置可以包括生物特征读取器(例如，认证器)。
“生物特征样本”可以包括由生物特征读取器获得的数据。所述数据可以是用户的生物特征信息的模拟或数字表示，是在确定匹配所需要的不同特征之前生成的。例如，用户面部的生物特征样本可以是图像数据。在另一示例中，用户语音的生物特征样本可以是音频数据。
“生物特征模板”或“生物特征样本模板”可以包括含有从生物特征样本提取的不同特性的文件，所述不同特性可以在生物特征认证过程期间使用。例如，生物特征模板可以是二进制数学文件，其表示执行个人的准确认证所需的个人的指纹、眼睛、手或语音的唯一特征。
“通用认证应用”可以包括为验证某物的身份而设计和编写的程序或软件。通用认证应用可以通过接收包括源自多个不同服务器计算机(例如，SRT***)的服务器计算机数据的用户凭证验证请求消息来充当通用应用。通用认证应用可以被配置成从资源提供商计算机接收用户凭证验证请求消息，然后将用户凭证验证请求消息提供到用户装置上的浏览器。
“通用认证应用标识符”可以包括可标识通用认证应用的任何数据片。通用认证应用标识符可以是唯一标识符。例如，通用认证应用标识符可以向浏览器标识通用认证应用。
“便携式装置”可以包括能够手动轻松传递或递送的装置。便携式装置可以是用于进行交互的。便携式装置可以包括用于存储与用户账户相关联的凭证或令牌的存储技术(例如，电子存储器、磁条等)。便携式交易装置可以采用上文关于便携式通信装置描述的任何形式，或者采用卡(例如，集成芯片卡、磁条卡)或挂件等形式。在一些实施例中，便携式交易装置和用户装置可以是相同的装置，并且不需要是单独的装置(例如，便携式装置凭证安全地存储在用户装置上等)。便携式装置的实例可以包括可穿戴装置、例如***、借记卡和预付卡等支付卡、具有远程通信能力的车辆等。
“便携式装置凭证”可以包括与便携式装置相关联的任何合适信息。便携式装置可以与账户相关联。便携式装置凭证可以与账户直接相关，或者可以从与所述账户相关的信息中导出。账户凭证的实例可包括PAN(主账号或“账号”)、用户名、有效日期、CVV(卡验证值)、dCVV(动态卡验证值)、CVV2(卡验证值2)、CVC3卡验证值等。
“服务器计算机”可以包括功能强大的计算机或计算机群集。例如，服务器计算机可以是大型主机、小型计算机集群，或者像单元一样工作的一组服务器。在一个示例中，服务器计算机可以是耦合到网络服务器的数据库服务器。服务器计算机可以包括一个或多个计算设备，并且可以使用多种计算结构、布置和编译中的任一种来服务于来自一个或多个客户端计算机的请求。在一些实施例中，SRT***可以被称为服务器计算机。
“服务器计算机数据”可以包括由服务器计算机存储的一组定性或定量变量值。在一些实施例中，服务器计算机数据可以包括与服务器计算机有关的数据。在一些实施例中，服务器计算机数据可以包括与经由便携式装置与服务器计算机相关联的用户和/或用户装置有关的数据。服务器计算机数据可以包括依赖方数据，其中依赖方是服务器计算机(例如，SRT***)的操作者。在一些实施例中，服务器计算机数据可以包括用户配置文件数据。例如，当服务器计算机是SRT***并且服务器计算机数据包括用户配置文件数据时，用户配置文件数据可以包括标识符，或者与用户相关联的便携式装置的身份、用户装置身份或用户身份以及用户的配置文件的参考。在一些实施例中，服务器计算机数据可以包括与便携式装置相关联的令牌号、用户装置数据、用户数据(例如，地址、电话号码等)以及先前的交互历史记录。
“识别标识符”可以包括用于从先前的遭遇或了解中标识人或事的一系列字符。识别标识符可以包括与用户和/或用户装置相关联的标识符。服务器计算机可以评估识别标识符以确定用户和/或用户装置是否被识别。当当前评估的识别标识符与先前评估、创建或存储的识别标识符匹配时，可以识别用户和/或用户装置。在一些实施例中，识别标识符可以是与用户装置相关联的唯一标识符。例如，识别标识符可以是用户装置标识符(例如，“123456ABCD”、“XYZABC”、“987654”等)。
“处理器”可以包括处理某事的装置。在一些实施例中，处理器可以包括任何合适的一个或多个数据计算装置。处理器可以包括一起工作以实现期望的功能的一个或多个微处理器。处理器可以包括CPU，所述CPU包括至少一个高速数据处理器，所述高速数据处理器足以执行用于执行用户和/或***生成的请求的程序成分。CPU可以是微处理器，例如AMD的Athlon、Duron和/或Opteron；IBM和/或Motorola的PowerPC；IBM和Sony的Cell处理器；Intel的Celeron、Itanium、Pentium、Xeon和/或XScale；和/或类似的处理器。
“存储器”可以是能够存储电子数据的任何合适的一个或多个装置。合适的存储器可包括非瞬态计算机可读介质，其存储可由处理器执行以实现所要方法的指令。存储器的实例可以包括一个或多个存储器芯片、磁盘驱动器等。此类存储器可使用任何合适的电、光和/或磁操作模式来操作。
采用安全远程交易(SRT)的常规平台使用浏览器cookie来认证用户的装置并检取不同卡的注册账户信息(例如，便携式装置凭证)。然而，存储在用户装置上的浏览器cookie可能会被盗或可能会被不小心删除。代替使用cookie，实施例可以将网络认证(WebAuthn)与SRT平台集成，以提供使用生物特征识别的更安全的认证机制。仅利用WebAuthn的一个缺点是，可能需要针对每一便携式装置凭证进行单独的生物特征验证。因此，当使用不同的服务器计算机(例如，SRT***)检取便携式装置凭证以向用户显示便携式装置凭证列表以供在交互期间进行选择时，可以针对每一服务器计算机请求单独的生物特征读取。
为了消除针对每一依赖方请求单独的生物特征识别的需要，实施例可以利用通用认证应用在单次生物特征验证后向资源提供商计算机提供可信证明(例如，已签名的公钥和/或已签名的交互数据)。资源提供商计算机接着可以使用可信证明从每一SRT***检取账户信息，而无需针对每一SRT***从用户请求单独的生物特征读取。
实施例可以解决的其它问题涉及1)用户认证和2)用户标识。例如，对于1)用户认证，实施例可以解决与依赖于电子邮件一次性密码(OTP)进行用户认证和验证的当前SRT体验有关的问题。电子邮件OTP容易受到拦截和网络钓鱼攻击。另外，对于2)用户标识，可以通过实施例解决以下问题：当前SRT依赖于web cookie进行用户标识，cookie的使用需要同意，通常与营销相关联，以及cookie被相当频繁地删除。
为了解决上述问题中的一个或多个问题或其它问题，实施例可以利用以下方式：1)大多数浏览器支持某些版本的WebAuthn API，以提供对被识别用户的强认证。例如，实施例可以利用用户装置生物特征识别，其可以满足强用户认证要求。2)实施例还可以提供利用例如WebAuthn在装置上安全地标识用户的手段。这可以允许实施例提供cookie的替代方案，并且在用户装置上是持久的，并且跨浏览器和应用工作。
图1示出了根据各种实施例的***100。***100包括用户装置102，资源提供商计算机104，包括第一SRT***106、第二SRT***108和第NSRT***的多个SRT***，以及包括第一授权实体计算机112、第二授权实体计算机114和第N授权实体计算机116的多个授权实体计算机。用户装置102可以包括浏览器102A(例如，网络浏览器)、认证器102B(例如，生物特征扫描器)和通用认证应用102C。在一些实施例中，多个SRT***可以被称为多个服务器计算机。因此，第一SRT***106可以是第一服务器计算机。
用户装置102可以与包括第一SRT***106、第二SRT***108和第NSRT***110的多个SRT***进行操作性通信。用户装置102可以与资源提供商计算机104进行操作性通信。资源提供商计算机104可以与包括第一SRT***106、第二SRT***108和第N SRT***110的多个SRT***进行操作性通信。包括第一SRT***106、第二SRT***108和第N SRT***110的多个SRT***可以分别与包括第一授权实体计算机112、第二授权实体计算机114和第N授权实体计算机116的多个授权实体计算机进行操作性通信。
为了简化说明，图1中示出一定数量的组件。然而，应当理解，本发明的实施例可以包括多于一个每种组件。此外，本发明的一些实施例可以包括比图1中所示的所有组件少或多的组件。
图1中的***100的装置之间的消息可以使用安全通信协议来发送，所述安全通信协议例如但不限于：文件传输协议(FTP)；超文本传输协议(HTTP)；安全超文本传输协议(HTTPS)、SSL、ISO(例如，ISO 8583)，和/或类似协议。通信网络可以包括以下中的任一个和/或组合：直接互连；因特网；局域网(LAN)；城域网(MAN)；作为因特网上节点的运行任务(OMNI)；安全定制连接；广域网(WAN)；无线网络(例如，采用例如但不限于无线应用协议(WAP)、I-模式等等的协议)；等等。通信网络可以使用任何合适的通信协议以生成一个或多个安全通信信道。在一些实例中，通信信道可以包括安全通信信道，安全通信信道可以任何已知方式建立，例如通过使用相互认证和会话密钥，以及建立安全套接层(SSL)会话。
用户装置102可以包括由用户操作的装置。例如，用户装置102可以包括智能手机。用户装置102可以被配置成发起与资源提供商计算机104的交互，以获得资源或对资源的访问。用户装置102可以使用浏览器102A连接到由资源提供商计算机104托管或与所述资源提供商计算机相关联的网页。
浏览器102A可以包括具有图形用户界面的计算机程序，所述图形用户界面用于在万维网上的网页之间进行显示和导航。当用户装置102的用户请求来自特定网站的网页(例如，资源提供商网页)时，浏览器102A从web服务器检取必需的内容，然后在用户装置102上显示所述页。
在一些实施例中，浏览器102A可以是用户装置102上的装置软件，所述用户装置是物联网装置(例如，智能汽车、智能冰箱、电视流式传输装置等)。在其它实施例中，浏览器102A可以是市场网站或应用(例如，消息传送应用、线上市场、具有市场的社交媒体网站等)。在又其它实施例中，浏览器102A可以是操作***(OS)接口(例如，提供到万维网的接口的windows应用、iOS、Android OS等)。
用户装置102可以被配置成向资源提供商计算机104发送数据，并且从资源提供商计算机104接收关于交互的数据。例如，用户装置102可以向资源提供商计算机104提供包括识别标识符和与交互相关联的任何交互数据的交互请求消息。
资源提供商计算机104可以由资源提供商(例如，商家、支付服务提供商、位置访问服务等)操作。资源提供商计算机104可以接收交互请求消息，然后向多个SRT***中的每一SRT***提供识别标识符。每一SRT***(例如，106、108和110)可以确定识别标识符是否与先前评估、创建和/或存储的识别标识符匹配(例如，确定用户和/或用户装置102是否被识别)。每一SRT***(例如，106、108和110)都可以向资源提供商计算机104提供识别响应消息，其指示用户和/或用户装置102被识别或指示用户和/或用户装置102未被识别。
在一些实施例中，每一识别响应消息包括用户标识符和服务器计算机数据。用户标识符可以标识用户装置102的用户。服务器计算机数据可以包括依赖方信息。服务器计算机数据可以包括对用户配置文件的身份参考(例如，对与用户装置102的用户相关联的配置文件的数字参考)。服务器计算机数据还可以包括与用户配置文件有关的任何合适数据(例如，发到用户的便携式装置的令牌号)、用户交互历史记录(例如，与先前执行的交互有关的交互数据)、与用户有关的数据(例如，电话号码、邮送地址、电子邮件地址、出生日期、邮政编码、人口统计信息等)，和/或描述用户和/或用户装置102的任何其它信息。在一些实施例中，所述服务器计算机数据可进一步包括与服务器计算机数据所存储于的服务器计算机(例如，SRT***)有关的数据。例如，服务器计算机数据可以包括服务器计算机IP地址、服务器计算机标识符、服务器计算机操作者的姓名、由证书授权中心发到服务器计算机的数字证书、服务器计算机公钥、和/或标识和/或提供与服务器计算机的通信的其它数据。
然后，资源提供商计算机104可以选择从多个SRT***接收到的一个或多个识别响应消息中的识别响应消息。例如，资源提供商计算机104可以被配置成选择首先接收到的识别响应消息，所述识别响应消息指示用户和/或用户装置102被识别。
资源提供商计算机104可进一步被配置成基于所选识别响应消息而生成用户凭证验证请求消息并将其发送到用户装置102的通用认证应用102C。用户凭证验证请求消息可以包括用户标识符、所选识别响应消息的服务器计算机数据和交互数据。
用户装置102可以被配置成经由通用认证应用102C从资源提供商计算机104接收数据。在一些实施例中，通用认证应用102C还可以接收用户凭证验证请求消息，而不考虑其中包括的服务器计算机数据。例如，通用认证应用102C被配置成接收包括源自第一SRT***106、第二SRT***108或第N SRT***110的服务器计算机数据的用户凭证验证请求消息。
通用认证应用102C可以向用户装置102的浏览器102A提供用户凭证验证请求消息。浏览器102A可以被配置成修改用户凭证验证请求消息以包括用户凭证验证请求消息的来源(例如，通用认证应用102C、SRT***等)。然后，浏览器102A向认证器102B提供用户凭证验证请求消息。
认证器102B可以被配置成评估用户凭证验证请求消息的来源。例如，认证器102B可以确定用户凭证验证请求消息是否源自可信实体、计算机等。然后，认证器102B可以获得用户生物特征信息以认证用户。例如，认证器102B可以包括生物特征扫描器，例如指纹扫描器。用户装置102可以提示用户在指纹扫描器上扫描他们的指纹。认证器102B可以获得生物特征样本并基于所述生物特征样本而生成生物特征模板。认证器102B可以进一步将生物特征模板与和用户装置102的用户相关联的先前存储的生物特征模板进行比较。如果所生成的生物特征模板与先前存储的生物特征模板匹配，则认证器102B确定用户是可信的。如果所生成的生物特征模板与先前存储的生物特征模板不匹配，则认证器102B确定用户是不可信的(例如，不是正确的用户)。
在一些实施例中，认证器102B可以利用任何合适的私钥对在用户凭证验证请求消息中接收到的交互数据进行签名(例如，以密码方式进行签名)。
在认证用户并对交互数据进行签名之后，认证器102B可以生成用户凭证验证响应消息并将其发送到通用认证应用308。用户凭证验证响应消息可以包括至少已签名的交互数据。
资源提供商计算机104可以被配置成与多个SRT***(例如，第一SRT***106、第二SRT***108和第N SRT***110)传送已签名的交互数据。每一SRT***可以使用对应于认证器102B所利用的私钥的先前存储的公钥来评估已签名的交互数据的签名。例如，公钥和私钥可以分别是用户装置公钥和用户装置私钥。如果SRT***确定签名有效，则SRT***可以向资源提供商计算机104提供配置文件(例如，包括便携式装置凭证的用户配置文件)。
资源提供商计算机104可以向用户装置102提供接收到的便携式装置凭证。用户装置102可以被配置成向用户显示便携式装置凭证。用户可以选择所选便携式装置凭证以在当前交互中利用。然后，用户装置102可以将所选便携式装置凭证传送到资源提供商计算机104。
资源提供商计算机104可以被配置成与和所选便携式装置凭证相关联的SRT***通信以完成交互。例如，资源提供商计算机104可以生成授权请求消息，所述授权请求消息可以被提供到相关的SRT***。
SRT***可以处理授权请求消息以确定是否授权交互。在一些实施例中，SRT***可以与授权实体计算机(例如，第一授权实体计算机112、第二授权实体计算机114和第N授权实体计算机116)一起处理授权请求消息。例如，在一些实施例中，第一授权实体计算机112可以被配置成授权任何合适的请求，包括对数据的访问、对位置的访问或对支付的批准。在一些实施例中，第一授权实体计算机112可以由账户发行方操作。通常，发行方是发行且维护用户的账户的实体(例如，银行)。账户可以是信用、借记、预付或任何其它类型的账户。
图2示出了根据实施例的用户装置200的框图。示例性用户装置200可以包括处理器204。处理器204可以耦合到存储器202、网络接口206、计算机可读介质208和认证器210。计算机可读介质208可以包括浏览器208A和通用认证应用208B。
存储器202可以用于存储数据和代码。存储器202可以在内部或在外部耦合到处理器204(例如，基于云的数据存储装置)，并且可以包括易失性和/或非易失性存储器(诸如RAM、DRAM、ROM、闪存存储器或任何其它合适的存储器装置)的任何组合。例如，存储器202可以存储识别标识符等。
计算机可读介质208可以包括代码，所述代码可由处理器204执行以用于执行一种方法，其包括：由通用认证应用从资源提供商计算机接收用户凭证验证请求消息，所述用户凭证验证请求消息包括用户标识符、服务器计算机数据和用于资源提供商计算机的资源提供商与用户装置的用户之间的交互的交互数据；由通用认证应用向网络浏览器发送用户凭证验证请求消息，所述网络浏览器调用认证器来验证用户的生物特征信息；由通用认证应用从认证器接收用户凭证验证响应消息，所述用户凭证验证响应消息包括已签名的交互数据；以及由通用认证应用向资源提供商计算机发送用户凭证验证响应消息，其中资源提供商计算机向多个服务器计算机提供至少已签名的交互数据，以检取分别与多个服务器计算机相关联的多个便携式装置凭证。
浏览器208A，也被称为网络浏览器，是用于在万维网上访问信息的软件应用。浏览器208A结合处理器204可以访问来自特定网站的网页。浏览器208A结合处理器204可以从web服务器检取内容，接着在用户装置200上显示所述页。例如，一旦检取到网页，浏览器208A的再现引擎就结合处理器204在用户装置200的显示器(例如，屏幕)上显示所述网页。在一些实施例中，浏览器208A结合处理器204可以利用网页资源的内部高速缓存来改善对同一页的后续访问的加载时间。所述高速缓存可以存储任何合适的数据，以使得可以无需再次从服务器下载所述数据。
通用认证应用208B可以包括为验证某物的身份而设计和编写的程序或软件。通用认证应用208B结合处理器204可以接收用户凭证验证请求消息，所述用户凭证验证请求消息包括源自多个不同的服务器计算机(例如，SRT***)的服务器计算机数据。通用认证应用208B结合处理器204可以从资源提供商计算机接收用户凭证验证请求消息，接着向用户装置200上的浏览器208A提供用户凭证验证请求消息。在一些实施例中，通用认证应用208B可以与通用认证应用标识符相关联。通用认证应用标识符可以向浏览器208A标识通用认证应用208B。
网络接口206可以包括可允许用户装置200与外部计算机通信的接口。网络接口206可以使得用户装置200能够将数据传送到另一装置(例如，资源提供商计算机等)并从所述另一装置传送数据。网络接口206的一些实例可以包括调制解调器、物理网络接口(例如以太网卡或其它网络接口卡(NIC))、虚拟网络接口、通信端口、个人计算机存储卡国际协会(PCMCIA)插槽和卡，等等。由网络接口206启用的无线协议可以包括Wi-FiTM。经由网络接口206传送的数据可以呈信号的形式，所述信号可以是电信号、电磁信号、光信号，或者能够由外部通信接口接收的任何其它信号(统称为“电子信号”或“电子消息”)。可以包括数据或指令的这些电子消息可以经由通信路径或信道在网络接口206与其它装置之间提供。如上所述，可以使用任何合适的通信路径或信道，诸如电线或电缆、光纤、电话线、蜂窝链路、射频(RF)链路、WAN或LAN网络、互联网，或任何其它合适的介质。
实施例可以使用本文所描述的***和设备来至少执行用户的安全认证。图3-5描述了此类方法的一些实例。
图3示出了说明根据实施例的用户装置与资源提供商计算机的首次使用的流程图。将在用户(例如，消费者)首次发起与资源提供商(例如，商家/支付服务提供商)的交互(例如，交易)的上下文中描述图3中说明的方法300，在发起交互期间，用户可以进行注册。然而，应理解，本发明可应用于其它情况(例如，用户首次请求访问安全网页等)。
在步骤1，用户可以选择以特定方式与资源提供商计算机304交互。例如，用户可以在用户装置302上选择与SRT选项的交互。与SRT选项的交互可以是在显示资源提供商的网页的浏览器310上提供给用户的按钮。例如，当用户经由用户装置302上的浏览器310访问资源提供商计算机的网页时，用户可以选择使用SRT与资源提供商计算机304交互。用户装置302可以向资源提供商计算机304发送指示用户选择的消息。例如，用户装置302可以向资源提供商计算机304发送交互请求消息。交互请求消息可以包括在交互期间利用SRT的指示。交互请求消息还可以包括识别标识符、物品(例如，产品、数据等)的选择、日期、时间和/或与请求执行与资源提供商计算机304的交互的用户有关的任何其它信息。
交互请求消息包括交互数据。交互数据可以包括和用户装置302的用户与资源提供商计算机304的资源提供商之间的交互相关联的数据。例如，所述交互可以包括用户与资源提供商之间的交易。所述交互数据可以包括交易金额、资源提供商标识符和用户装置标识符。在一些实施例中，所述交互数据可指示为交互一方的不同实体以及被交换的价值或信息。在其它实施例中，所述交互数据可以进一步包括与发送方相关联的信息(例如，令牌或账户信息、别名、装置标识符、联系地址等)、与接收方相关联的信息(例如，令牌或账户信息、别名、装置标识符、联系地址等)、一次性值(例如，随机值、临时数、时间戳、计数器等)和/或任何其它合适的信息。
识别标识符可以包括与用户和/或用户装置302相关联的标识符。识别标识符可以唯一地分配给用户和/或用户装置302。当另一装置(例如，资源提供商计算机304、服务器计算机等)与用户装置302通信时，其它装置可以评估识别标识符以确定用户装置302是否被识别。如果其它装置先前遇到识别标识符，则可以识别用户装置302。例如，其它装置(例如，服务器计算机等)可以在登记用户装置302之后(例如，如在步骤15处执行)存储用户装置302的识别标识符。例如，在一些实施例中，识别标识符可以是用户装置标识符(例如，“123456ABCD”、“XYZABC”、“987654”等)。
在步骤2，在接收到交互请求消息之后，资源提供商计算机304可以生成对多个服务器计算机306(例如，一个或多个SRT***)的请求，以确定用户装置302的用户和/或在一些实施例中以确定用户装置302是否被一个或多个服务器计算机识别。例如，资源提供商计算机304可以确定交互请求消息包括要使用SRT处理交互的指示。然后，资源提供商计算机304可以生成包括识别标识符的识别请求消息。
在步骤3，在生成识别请求消息之后，资源提供商计算机304可以向多个服务器计算机306发送识别请求消息。
在步骤4，在接收到识别请求消息之后，多个服务器计算机306中的每一服务器计算机可以基于识别标识符而确定用户和/或用户装置302是否被识别。例如，服务器计算机可以确定接收到的识别标识符是否与先前存储的识别标识符匹配。对于图3中的实例，多个服务器计算机306中的每一服务器计算机可以确定识别标识符未被识别(例如，与先前存储的标识符匹配)。
在步骤5，多个服务器计算机306中的每一服务器计算机可以生成指示识别标识符是否被识别的识别响应消息。在一些实施例中，在每一服务器计算机处单独生成的识别响应消息可以包括识别标识符。
在步骤6，多个服务器计算机306中的每一服务器计算机都可以向资源提供商计算机304发送识别响应消息。例如，每一服务器计算机可以用户和/或用户装置302是否被识别的指示来响应于资源提供商计算机304。例如，在首次使用期间，用户可能未被识别。在这种情况下，例如，服务器计算机可以用“否”作出响应。
在步骤7，在接收到用户未被识别的指示之后，资源提供商计算机304可以请求用户输入便携式装置凭证。在一些实施例中，资源提供商计算机304可以经由浏览器310请求输入便携式装置凭证。在一些实施例中，资源提供商计算机304可以向用户装置302发送便携式装置凭证请求消息。
在步骤8，用户可以输入便携式装置凭证。便携式装置凭证可以包括与和用户账户相关联的便携式装置相关联的任何合适的信息。例如，便携式装置凭证可以与账户直接相关，或者可以从与所述账户相关的信息中导出。便携式装置凭证可以包括PAN(主账号或“账号”)、用户名、到期日期、CVV(卡验证值)、dCVV(动态卡验证值)、CVV2(卡验证值2)、CVC3卡验证值等的任何组合，上述各项可以任何方式连接在一起。用户装置302可以经由输入装置(例如，触摸屏、键盘等)接收便携式装置凭证。
在步骤9，在接收到便携式装置凭证之后，用户装置302可以将便携式装置凭证提供到资源提供商计算机304。便携式装置凭证可以任何合适的安全方式从用户装置302发送到资源提供商计算机304。例如，便携式装置凭证或包括便携式装置凭证的消息可以这样的方式进行加密，即使得资源提供商计算机304被配置成对便携式装置凭证或包括便携式装置凭证的消息进行解密。
在步骤10，在接收到便携式装置凭证之后，资源提供商计算机304可以生成授权请求消息。所述授权请求消息可以包括至少交互数据和便携式装置凭证。在一些实施例中，所述授权请求消息可进一步包括识别标识符，使得在步骤15处，所选服务器计算机可以在登记用户时存储所述识别标识符。
在步骤11，资源提供商计算机304可以向所选服务器计算机发送授权请求消息。所选服务器计算机可以是与便携式装置凭证相关联的服务器计算机。例如，便携式装置凭证的第一位数字、最后一位数字、前四位数字、中间两位数字等可以指示便携式装置凭证与哪一服务器计算机相关联。例如，便携式装置凭证可以包括以下数字作为前16位数字：“1234567890123456”。资源提供商计算机304可以确定所选服务器计算机是多个服务器计算机306中的第一服务器计算机，因为便携式装置凭证以数字“1”开始。
在步骤12，在从资源提供商计算机304接收到授权请求消息后，所选服务器计算机可以向用户装置302发送对配置文件数据的请求以供登记用户。对配置文件数据的请求可以包括对电子邮件地址、电话号码、邮送地址、出生日期和/或与用户有关的任何其它数据的请求。
在步骤13，在从多个服务器计算机306中的所选服务器计算机接收到对配置文件数据的请求后，用户装置302可以提示用户输入配置文件数据。用户可以将配置文件数据(例如，电子邮件地址、电话号码和/或可用于标识用户的任何其它合适的用户数据)提供到用户装置302。在其它实施例中，配置文件数据可能已存储在用户装置302中。在这种情况下，在步骤13，用户装置302可以从存储器检取配置文件数据。
在步骤14处，在获得配置文件数据之后，用户装置302可以将配置文件数据提供到所选服务器计算机。
在步骤15，在从用户装置302接收到配置文件数据之后，所选服务器计算机可以登记用户。例如，多个服务器计算机306中的所选服务器计算机可以将配置文件数据和识别标识符存储在数据库中(例如，配置文件数据库)。所选服务器计算机可以进一步使便携式装置凭证与配置文件数据和/或识别标识符相关联。
在步骤16，所选服务器计算机可以为用户生成用户标识符。所述用户标识符可以是通用唯一标识符(UUID)。在一些实施例中，例如，UUID可以包括128位数字。所选服务器计算机可以将用户标识符连同配置文件数据一起存储在数据库中。
此外，所选服务器计算机还可以生成服务器计算机数据或从存储器检取服务器计算机数据。服务器计算机数据可以包括与用户配置文件有关的任何合适数据、用户交互历史记录和/或与用户有关的数据。例如，用户配置文件可以包括发到用户的便携式装置的令牌号。用户交互历史记录可以包括与先前执行的交互有关的交互数据。与用户有关的数据可以包括电话号码、邮送地址、电子邮件地址、出生日期、邮政编码、人口统计信息和/或描述用户的任何其它信息。服务器计算机数据可进一步包括与存储服务器计算机数据的服务器计算机有关的数据。例如，服务器计算机数据可以包括服务器计算机IP地址、服务器计算机标识符、服务器计算机操作者的姓名、由证书授权中心发到服务器计算机的数字证书、服务器计算机公钥、和/或标识和/或提供与服务器计算机的通信的其它数据。所选服务器计算机可以从所选服务器计算机维护的服务器计算机数据数据库检取服务器计算机数据。
在步骤17，所选服务器计算机可以向通用认证应用308(其可以是认证抽象层的一部分)发送凭证创建请求。凭证创建请求可以是对用户装置302上的认证器312设置用户生物特征信息以供进行认证的请求。凭证创建请求包括用户标识符以及服务器计算机数据。
在一些实施例中，凭证创建请求还可以包括标识通用认证应用的通用认证应用标识符。例如，通用认证应用标识符可以是向浏览器310和/或认证器312唯一地标识通用认证应用的字母数字值。在一些实施例中，通用认证应用标识符可以包括数字签名、散列或其它密码安全标识符。通过使用通用认证应用标识符，浏览器310和/或认证器312了解请求来自可信源。还应注意，通用认证应用标识符也可以在图4中的对应过程步骤中。
在步骤18，在从所选服务器计算机接收到凭证创建请求之后，通用认证应用308可以将凭证创建请求转发到用户装置302的浏览器310。通用认证应用308可以是安装在用户装置302上的程序，并且可以将凭证创建请求路由到用户装置302内部的浏览器310。在一些实施例中，通用认证应用308可以验证凭证创建请求的有效性(例如，所述请求包括来自可信方的适当数字签名，所述请求包括用户标识符和服务器计算机数据等)。
在步骤19，浏览器310可以将凭证创建请求转发到用户装置302的认证器312。在一些实施例中，浏览器310可以修改凭证创建请求以形成认证器发出凭证请求，所述请求可以包括来源(例如，请求的来源)、用户标识符和服务器计算机数据。
在一些实施例中，如果凭证创建请求消息包括通用认证应用标识符，则浏览器310可以验证所述通用认证应用标识符。例如，浏览器310可以确定通用认证应用标识符是否与存储在可接受标识符列表(例如，白名单)中的标识符相同。作为另一实例，如果通用认证应用标识符是由通用认证应用308的私钥(或其它合适的密码密钥)形成的签名，则浏览器310可以使用通用认证应用308的公钥以密码方式验证所述签名。
在其它实施例中，浏览器310可以将通用认证应用标识符提供到认证器312，并调用认证器312来验证通用认证应用标识符。在接收到包括通用认证应用标识符的凭证创建请求消息之后，认证器312可以本文所描述的任何合适方式验证通用认证应用标识符。在一些实施例中，浏览器310和认证器312两者都可以验证通用认证应用标识符。
认证器312可以是安装在用户装置302上的组件，其可以接收和/或捕捉生物特征样本，将生物特征样本转换成生物特征模板，执行任何合适的验证密码过程(例如，用私钥对公钥进行签名)，和/或将数据中继到用户装置302的其它组件。
在步骤20，认证器312可以提示用户设置凭证(例如，生物特征信息)。在步骤21，用户装置302可以向用户显示来自认证器312的提示。然后，用户装置302可以从用户接收输入生物特征。在步骤22，用户装置302可以任何合适的方式将输入的生物特征信息提供到认证器312，所述方式可以取决于用户装置302的认证器的类型。例如，用户可以将他们的手指放在指纹扫描器上。
在步骤23，在从用户接收到生物特征信息之后，认证器312可以将生物特征信息(例如，作为生物特征模板)存储在安全存储器中。认证器312可以存储用户的与例如用户标识符相关联的生物特征信息。
在步骤24，在存储生物特征信息之后，认证器312可以用私钥对公钥进行签名。在一些实施例中，公钥和私钥可以是认证器公钥和认证器私钥。在其它实施例中，公钥和私钥可以是用户装置公钥和用户装置私钥。私钥可以存储在安全存储器中或存储在用户装置302上的软件(例如，主机卡仿真器(HCE))中。私钥可以与由证书授权中心发出的数字证书相关联。因此，所选服务器计算机可以验证传回证书授权中心的私钥的证书链。认证器312可以用私钥对公钥进行签名，以在已签名的公钥上形成数字签名。
在步骤25，在认证用户并对公钥进行签名之后，认证器312可以向通用认证应用308发送已签名的公钥。在一些实施例中，认证器312可以向浏览器310发送已签名的公钥，所述浏览器可以接着将已签名的公钥中继到通用认证应用308。
在步骤26，在接收到已签名的公钥之后，通用认证应用308可以向多个服务器计算机306中的所选服务器计算机发送已签名的公钥(以及在服务器计算机尚未具有公钥的情况下，发送所述公钥)。
在步骤27，所选服务器计算机可以验证已签名的公钥。如果所选服务器计算机确定已签名的公钥有效，则所选服务器计算机可以使已签名的公钥、认证器312、用户和/或与用户有关的接收到的数据彼此相关联。所选服务器计算机可以将已签名的公钥连同配置文件数据一起存储在数据库中。已签名的公钥可用于后续交互中以验证已签名的交互数据，如图4的步骤20，下文将进一步详细描述。
在步骤28，所选服务器计算机可以确定是否授权交互或是否处理交易以获得授权(例如，通过向授权实体计算机发送授权请求消息)。所选服务器计算机可以基于交互数据、用户装置302、资源提供商计算机304、便携式装置凭证而确定是否授权交互，确定欺诈率或规则，和/或可影响交互是否被授权的任何其它合适的信息。如果所选服务器计算机确定授权用户与资源提供商之间的交互，则所选服务器计算机可以生成授权交互的指示。如果所选服务器计算机确定未授权交互，则所选服务器计算机可以生成未授权交互的指示。
在步骤29，多个服务器计算机306中的所选服务器计算机可以生成授权响应消息或转发其从授权实体计算机接收到的授权响应消息。所述授权响应消息可以包括交互是否被授权的指示。在一些实施例中，所述授权响应消息可进一步包括用户标识符和/或任何其它装置标识信息。
在步骤30，所选服务器计算机可以随后向资源提供商计算机304发送授权响应消息。一旦资源提供商计算机304接收到授权响应消息(未示出)，资源提供商计算机304就可以评估授权响应消息。资源提供商计算机304可以确定授权响应消息是否指示交互被授权。如果交互被授权，则资源提供商计算机304可以向用户装置302提供指示交互被授权的交互响应消息。
资源提供商计算机304可以进一步将所请求的资源提供到用户装置302的用户。例如，资源提供商计算机304或由资源提供商计算机304提示的计算机可以向用户发布物理产品，提供用户装置302的数字文件，允许用户装置302访问安全网页，允许用户进入安全位置，下订单以递送到用户的位置，和/或进行完成交互的任何其它合适的动作。
图4示出了说明根据实施例的用户装置与资源提供商计算机的后续使用的流程图。将在用户(例如，消费者)在用户先前已向一个或多个服务器计算机(例如，SRT***)登记之后发起与资源提供商(例如，商家/支付服务提供商)的交互(例如，交易)的上下文中描述图4的方法400。然而，应理解，本发明可应用于其它情况(例如，用户请求访问安全网页、用户请求数据传送、用户请求访问安全位置等)。
在步骤1，用户可以使用用户装置402发起与资源提供商计算机404的交互，例如交易、安全位置访问请求、安全网页访问请求等。例如当经由用户装置402的浏览器410访问资源提供商计算机的网页时，例如用户可以选择使用SRT进行交互。用户装置402可以向资源提供商计算机404发送包括识别标识符的交互请求消息。识别标识符可以是与用户装置402相关联的唯一标识符。例如，所述识别标识符可以是用户装置标识符(例如，“123456ABCD”、“XYZABC”、“987654”等)。
交互请求消息可进一步包括用于用户装置402的用户与资源提供商计算机404的资源提供商之间的交互的交互数据。例如对于尝试访问安全位置(例如，锁定的建筑物、仅限员工的位置、政府建筑物等)的用户来说，交互数据可以是安全位置访问请求数据。交互数据可以包括门号码、位置地址和/或其它位置标识信息。用户可以具有允许访问不同位置的多个便携式装置。例如，用户可以具有允许访问其雇主的建筑物的第一便携式装置以及允许访问其住宅的第二便携式装置。第一便携式装置可以与第一服务器计算机相关联。第二便携式装置可以与第二便携式装置相关联。在其它实施例中，交互数据可以是与购买交易相关联的数据。
在步骤2，在从用户装置402接收到交互请求消息之后，资源提供商计算机404生成识别请求消息。识别请求消息可以包括识别标识符。识别请求消息可以是向服务器计算机查询用户装置402是否被识别的消息。
在步骤3，资源提供商计算机404可以将识别请求消息提供到多个服务器计算机406。例如，资源提供商计算机404可以向每一服务器计算机(例如，SRT***)发送相同的识别请求消息。
在步骤4，在接收到识别请求消息之后，多个服务器计算机406中的每一服务器计算机可以确定用户装置402是否被识别。例如，服务器计算机可以将接收到的识别标识符与标识符数据库中的多个所存储标识符进行比较。多个所存储标识符可以在登记步骤期间(例如，在图3的步骤15)存储在标识符数据库中。服务器计算机可以确定识别标识符是否与所存储标识符匹配。
在步骤5，多个服务器计算机406中的每一服务器计算机可以生成识别响应消息。例如，如果服务器计算机确定用户装置402未被识别(例如，识别标识符与所存储标识符不匹配)，则服务器计算机可以生成包括用户未被识别的指示的识别响应消息。
如果服务器计算机确定用户装置402被识别(例如，识别标识符与所存储标识符匹配)，则服务器计算机可以生成包括用户被识别的指示、用户标识符和服务器计算机数据的识别响应消息。用户标识符可以是标识用户的标识符，并且可以包括任何合适的字母数字字符串。在一些实施例中，用户标识符是通用唯一标识符(UUID)(例如，“123e4567-e89b-12d3-a456-426614174000”)。服务器计算机数据可以是依赖方信息，其中服务器计算机是依赖方。服务器计算机数据可以是对用户配置文件的身份参考(例如，对与用户装置402的用户相关联的配置文件的数字参考)。服务器计算机数据可以包括发到用户的便携式装置的令牌号、用户交互历史记录、与用户有关的数据(例如，电话号码、邮送地址、电子邮件地址、出生日期、邮政编码、人口统计信息等)，和/或描述用户和/或用户装置402的任何其它信息。服务器计算机数据还可以包括服务器计算机标识符。
在一些实施例中，指示用户装置402被识别的识别响应消息可进一步包括指示待执行的交互类型的令牌。例如，令牌可以具有等于“SRT-webAuthN”、“universal_auth”的类型或其它合适的类型，其指示资源提供商计算机404处理与通用认证应用408的交互。
在步骤6，在生成识别响应消息之后，多个服务器计算机406中的每一服务器计算机向资源提供商计算机404发送识别响应消息。例如，多个服务器计算机406可以包括三个不同的服务器计算机。第一服务器计算机可以确定用户装置402被识别，第二服务器计算机可以确定用户装置402被识别，并且第三服务器计算机可以确定用户装置402未被识别。每一服务器计算机向资源提供商计算机404发送分别生成的识别响应消息。例如，第一服务器计算机可以发送第一识别响应消息，所述第一识别响应消息包括用户被识别的指示、用户标识符和第一服务器计算机数据。第二服务器计算机可以发送第二识别响应消息，所述第二识别响应消息包括用户被识别的指示、用户标识符和第二服务器计算机数据。第三服务器计算机可以发送包括用户未被识别的指示的第三识别响应消息。在一些实施例中，由不同的服务器计算机提供的用户标识符可以是相同的用户标识符。在其它实施例中，由不同的服务器计算机提供的用户标识符可以不同。
在步骤7，在从多个服务器计算机406接收到多个识别响应消息之后，资源提供商计算机404可以选择多个识别响应消息中的识别响应消息(例如，所选识别响应消息)。例如，资源提供商计算机404可以从三个不同的服务器计算机接收三个识别响应消息。在一些实施例中，资源提供商计算机404可以选择首先接收到的识别响应消息。在其它实施例中，资源提供商计算机404可以选择包括用户装置402被识别的指示的首先接收到的识别响应消息。在又其它实施例中，资源提供商计算机404可以随机选择包括用户装置402被识别的指示的识别响应消息中的一个。例如，在步骤8-18期间，可以利用包括在所选识别响应消息中的数据。
在一些实施例中，资源提供商计算机404可以生成包括多个服务器计算机406中的服务器计算机的列表(或其它数据结构)，所述服务器计算机提供包括用户装置402被识别的指示的识别响应消息。例如，资源提供商计算机404可以创建参与服务器计算机的列表。
在选择所选识别响应消息之后，资源提供商计算机404可以生成用户凭证验证请求消息(例如，“credentials.get”命令)。用户凭证验证请求消息包括用户标识符、所选识别响应消息的服务器计算机数据和交互数据。
在步骤8，在选择所选识别响应消息之后，资源提供商计算机404可以向通用认证应用408发送用户凭证验证请求消息。
在一些实施例中，用户凭证验证请求消息还可以包括标识通用认证应用408的通用认证应用标识符。例如，通用认证应用标识符可以包括数字签名或散列值。在一些实施例中，资源提供商计算机404可以存储通用认证应用标识符，并且可以从存储器检取通用认证应用标识符以包括在用户凭证验证请求消息中。在其它实施例中，资源提供商计算机404可以从多个服务器计算机406中的一个或多个服务器计算机接收通用认证应用标识符。
在步骤9，在接收到用户凭证验证请求消息之后，通用认证应用408可以向用户装置402的浏览器410发送用户凭证验证请求消息。在一些实施例中，通用认证应用408可以安装在用户装置402上。例如，通用认证应用408可以将用户凭证验证请求消息转发到浏览器410，所述浏览器调用认证器412来验证用户的生物特征信息。
在步骤10，在接收到用户凭证验证请求消息之后，浏览器410可以将用户凭证验证请求消息提供到认证器412。
在一些实施例中，浏览器410可以修改用户凭证验证请求消息以形成修改后的用户凭证验证请求消息(例如，authenticatorGetCredential())。修改后的用户凭证验证请求消息可以包括用户标识符、服务器计算机数据和来源。所述来源可以指示消息来源于何处(例如，经由通用认证应用408来源于服务器计算机、来源于服务器计算机、通用认证应用408等)。然后，在步骤10，浏览器410可以将修改后的用户凭证验证请求消息提供到认证器412。
在一些实施例中，如果用户凭证验证请求消息包括通用认证应用标识符，则浏览器410可以验证所述通用认证应用标识符。例如，浏览器410可以确定通用认证应用标识符是否与存储在可接受标识符列表中的标识符相同。作为另一实例，如果通用认证应用标识符是由通用认证应用408的私钥(或其它合适的密码密钥)形成的签名，则浏览器410可以使用通用认证应用408的公钥以密码方式验证所述签名。
在其它实施例中，浏览器410可以将通用认证应用标识符提供到认证器412，并调用认证器412来验证通用认证应用标识符。在接收到包括通用认证应用标识符的凭证创建请求消息之后，认证器412可以本文所描述的任何合适方式验证通用认证应用标识符。在一些实施例中，浏览器410和认证器412两者都可以验证通用认证应用标识符。
图4的步骤11-13类似于图3的步骤20-22，并且在此不再详细重复。在步骤11，在接收到用户凭证验证请求消息之后，认证器412可以基于接收到的请求而请求用户验证用户凭证(例如，用户的生物特征信息)。例如，认证器412可以提示用户扫描指纹，或以其它方式捕捉合适的生物特征样本作为生物特征模板。作为说明性实例，认证器412可以提示用户装置402向用户(例如，在用户装置402的屏幕上)显示生物特征信息捕捉消息。在步骤12，用户装置402可以接收用户输入的生物特征信息。在步骤13，可以将生物特征信息提供到认证器412。
在步骤14，在接收到生物特征信息之后，认证器412可以验证生物特征信息与和用户相关联的先前存储的生物特征信息匹配。例如，先前存储的生物特征信息可以先前存储在图3的步骤23处。如果认证器412确定接收到的生物特征信息与先前存储的生物特征信息匹配，则认证器412可以进行到步骤15。如果认证器412确定接收到的生物特征信息与先前存储的生物特征信息不匹配，则认证器412可以重复步骤11，并且可以再次提示用户经由用户装置402输入生物特征信息。在一些实施例中，认证器412可以提示用户输入生物特征信息任何预定次数，直到输入的生物特征信息与所存储的生物特征信息匹配为止。在预定次数之后，由于太多次失败尝试，认证器412可能会停止从用户请求生物特征信息。认证器412可以经由通用认证应用408将认证失败消息(未示出)提供到资源提供商计算机404。
在步骤15，在认证用户之后，认证器412可以用私钥对交互数据进行签名。私钥可以是认证器私钥或用户装置私钥。在一些实施例中，私钥可以存储在安全硬件元件中或存储在软件中。
在步骤16，认证器412可以将已签名的交互数据提供到通用认证应用408。在一些实施例中，认证器412可以将已签名的交互数据提供到浏览器410，所述浏览器接着将已签名的交互数据路由到通用认证应用408。在其它实施例中，认证器412可以结合用户标识符或其它合适的数据来提供已签名的交互数据。
在步骤17，在接收到已签名的交互数据之后，通用认证应用408可以向资源提供商计算机404发送已签名的交互数据。
在步骤18处，在接收到已签名的交互数据之后，资源提供商计算机404可以确定资源提供商计算机404应向多个服务器计算机406中的哪些服务器计算机提供已签名的交互数据。例如，资源提供商计算机404可以通过将已签名的交互数据发送到参与服务器计算机列表中的每一服务器计算机来利用参与服务器计算机的列表。
在步骤19，资源提供商计算机404可以将已签名的交互数据提供到多个服务器计算机406。在一些实施例中，已签名的交互数据可以在配置文件请求消息(例如，getSRTProfile(已签名的交互数据))中提供到两个或更多个服务器计算机。在一些实施例中，资源提供商计算机404可以向每一服务器计算机发送已签名的交互数据，所述服务器计算机提供包括用户装置402在步骤7处被识别的指示的识别响应消息。
在步骤20，在接收到已签名的交互数据之后，多个服务器计算机406中的每一服务器计算机(例如，参与服务器计算机)可以验证已签名的交互数据。例如，每一参与服务器计算机可以验证已签名的交互数据的签名。可以使用对应于用于对交互数据进行签名的私钥的先前存储的公钥来验证签名。例如，所存储的公钥可以是在登记期间由参与服务器计算机从用户装置402接收的公钥。例如，参与服务器计算机可以在图3的在步骤26处接收用户装置402的公钥。
如果服务器计算机确定已签名的交互数据的签名有效，则服务器计算机可以进行到步骤21。如果服务器计算机确定已签名的交互数据的签名无效，则服务器计算机可以终止交互和/或向资源提供商计算机404提供无效的签名通知。
在步骤21，在验证已签名的交互数据的签名之后，每一参与服务器计算机都可以向资源提供商计算机404提供配置文件。在一些实施例中，配置文件可以包括与用户装置402的用户相关联的一个或多个配置文件。配置文件可以包括与用户相关联的便携式装置凭证(例如，支付卡数据)。例如，服务器计算机可以向资源提供商计算机404发送getSRTProfile响应(例如，便携式装置凭证列表)。每一参与服务器计算机都可以向资源提供商计算机404提供不同的便携式装置凭证。
在一些实施例中，服务器计算机可以屏蔽便携式装置凭证以形成被屏蔽便携式装置凭证。屏蔽便携式装置凭证可以进一步增强便携式装置凭证的安全性，使得便携式装置凭证本身不向资源提供商计算机404或拦截消息的潜在恶意方提供。服务器计算机可以任何合适的方式屏蔽便携式装置凭证。例如，服务器计算机可以删除便携式装置凭证的第一预定数字数目。多个服务器计算机306中的每一服务器计算机都可以将被屏蔽便携式装置凭证提供到资源提供商计算机304，而不是提供便携式装置凭证。资源提供商计算机404可以基于由认证器生成的已签名的交互数据而从不同的服务器计算机获得被屏蔽便携式装置凭证中的每一个。
作为说明性实例，资源提供商计算机404可以将已签名的交互数据提供到第一服务器计算机和第二服务器计算机(例如，参与服务器计算机)，但不将已签名的交互数据提供到第三服务器计算机(例如，未参与服务器计算机)。第一服务器计算机和第二服务器计算机都可以独立地验证已签名的交互数据的签名。在验证签名之后，第一服务器计算机和第二服务器计算机可以检取与公钥且因此与用户装置402相关联的便携式装置凭证。便携式装置凭证可以针对每一不同的服务器计算机存储在任何合适的数据库或存储器处。
例如，第一服务器计算机可以获得第一便携式装置凭证，所述第一便携式装置凭证可以允许用户访问其雇主的建筑物。第二服务器计算机可以获得第二便携式装置凭证，所述第二便携式装置凭证可以允许用户访问其住宅。第一便携式装置凭证可以针对第一便携式装置，而第二便携式装置凭证可以针对第二便携式装置。第一便携式装置可以不同于第二便携式装置。第一便携式装置和第二便携式装置都可以与用户装置402的用户相关联。
作为额外实例，第一服务器计算机可以获得第一便携式装置凭证，所述第一便携式装置凭证可以包括从第一授权实体计算机的第一授权实体发出的***信息(例如，PAN、CVV、到期日期等)。第二服务器计算机可以获得第二便携式装置凭证，所述第二便携式装置凭证可以包括从第二授权实体计算机的第二授权实体发出的借记卡信息。
第一服务器计算机可以将第一便携式装置凭证提供到资源提供商计算机404。第二服务器计算机可以将第二便携式装置凭证提供到资源提供商计算机404。
在一些实施例中，第一服务器计算机可以屏蔽第一便携式装置凭证以形成被屏蔽的第一便携式装置凭证，然后将被屏蔽的第一便携式装置凭证提供到资源提供商。第一服务器计算机可以任何合适的方式屏蔽第一便携式装置凭证。例如，第一服务器计算机可以通过从第一便携式装置凭证中删除第一预定数字数目、最后预定数字数目和/或中间预定数字数目来屏蔽第一便携式装置凭证。例如，第一便携式装置凭证可以包括账号“123456789123456”。第一服务器计算机可以屏蔽第一便携式装置凭证以形成“3456”、“***3456”、“1234”、“**56789**”等被屏蔽的第一便携式装置凭证。第二服务器计算机可以类似地屏蔽第二便携式装置凭证以形成被屏蔽的第二便携式装置凭证，然后将被屏蔽的第二便携式装置凭证提供到资源提供商计算机404。
在步骤22，在从一个或多个服务器计算机(例如，参与服务器计算机)接收到便携式装置凭证之后，资源提供商计算机404可以生成便携式装置凭证列表。所述便携式装置凭证列表可以是包括从每一服务器计算机接收到的便携式装置凭证的有序列表。在一些实施例中，资源提供商计算机可以任何合适的方式对卡列表中的卡进行排序。在一些实施例中，资源提供商计算机404可以使用接收到的被屏蔽便携式装置凭证而生成列表。
在步骤23，资源提供商计算机404可以将便携式装置凭证列表提供到用户装置402。
在步骤24，在接收到便携式装置凭证列表之后，用户装置402可以在任何合适的显示器(例如，屏幕)上显示便携式装置凭证列表，以将便携式装置凭证呈现给用户以供选择。用户可以选择便携式装置凭证列表的任何便携式装置凭证。用户装置402可以经由用户输入接收对便携式装置凭证的选择。
例如，用户装置402可以向用户呈现便携式装置凭证列表，所述便携式装置凭证列表包括允许用户访问其雇主的建筑物的第一便携式装置凭证以及允许用户访问其住宅的第二便携式装置凭证。用户可以选择利用哪一便携式装置凭证。例如，用户可以选择利用第二便携式装置凭证来访问其住宅。然而，应理解，在一些实施例中，特定便携式装置凭证可以不限于特定使用情况，例如位置。相反，在一些实施例中，用户可以选择任何呈现的便携式装置凭证来执行交互。例如，可以向用户呈现与两个不同的***相关联的两个不同的便携式装置凭证。用户可以选择利用哪一***进行当前交互(例如，交易)，其中交互的成功不取决于选择哪一便携式装置凭证。
在步骤25处，在从用户接收到对所选便携式装置凭证的选择之后，用户装置402可以向资源提供商计算机404发送所选便携式装置凭证。在一些实施例中，如果便携式装置凭证先前被服务器计算机屏蔽，则用户可以选择被屏蔽便携式装置凭证，然后用户装置402可以将所述被屏蔽便携式装置凭证发送到资源提供商计算机404。
在步骤26，在接收到所选便携式装置凭证之后，资源提供商计算机404可以生成包括至少所选便携式装置凭证的授权请求消息。
在步骤27，在生成授权请求消息之后，资源提供商计算机404可以向与所选便携式装置凭证相关联的服务器计算机发送授权请求消息。
在步骤28，在接收到授权请求消息之后，服务器计算机可以确定是否授权交互。服务器计算机可以基于服务器计算机已知的任何合适的数据(例如，交互数据、服务器计算机数据等)而确定是否授权交互。服务器计算机可以生成交互是否被授权的指示。例如，如果服务器计算机确定授权交互，则服务器计算机可以生成授权交互的指示。如果服务器计算机确定未授权交互，则服务器计算机可以生成未授权交互的指示。在一些实施例中，服务器计算机可以向授权实体计算机发送授权请求消息以获得对交易的授权。
另外，在步骤28期间，在确定是否授权交互之后，服务器计算机可以响应于授权请求消息而生成授权响应消息。所述授权响应消息可以包括交互是否被授权的指示。在其它实施例中，服务器计算机可以从授权实体计算机接收授权响应消息。
在步骤29，在已生成或接收到授权响应消息之后，服务器计算机可以向资源提供商计算机404发送授权响应消息。一旦资源提供商计算机404接收到授权响应消息(未示出)，资源提供商计算机404就可以评估授权响应消息。资源提供商计算机404可以确定授权响应消息是否指示交互被授权。如果交互被授权，则资源提供商计算机404可以向用户装置402提供指示交互被授权的交互响应消息。资源提供商计算机404可以进一步将所请求的资源提供到用户装置402的用户。例如，资源提供商计算机404或由资源提供商计算机404提示的计算机可以向用户发布物理产品，提供用户装置402的数字文件，允许用户装置402访问安全网页，允许用户进入安全位置，下订单以递送到用户的位置，和/或进行完成交互的任何其它合适的动作。
在其它实施例中，在步骤24之后，当用户选择被屏蔽便携式装置凭证列表中的被屏蔽便携式装置凭证时，用户装置402可以确定与所选的被屏蔽便携式装置凭证相关联的令牌参考标识符。令牌参考标识符可以先前存储在用户装置402上。每一被屏蔽便携式装置凭证可以对应于不同的令牌参考标识符。例如，用户可以与两个被屏蔽便携式装置凭证相关联。第一被屏蔽便携式装置凭证可以对应于第一令牌参考标识符。第二被屏蔽便携式装置凭证可以对应于第二令牌参考标识符。在一些实施例中，令牌参考标识符可以包括唯一的字母数字标识符。每一便携式装置凭证可以对应于令牌参考标识符。
一旦用户装置402确定对应于所选的被屏蔽便携式装置凭证的令牌参考标识符，用户装置402就可以将令牌参考标识符提供到资源提供商计算机404(例如，在步骤25)。在一些实施例中，用户装置402可以将令牌参考标识符和所选的被屏蔽便携式装置凭证提供到资源提供商计算机404。在又其它实施例中，与所选的被屏蔽便携式装置凭证相关联的令牌参考标识符可以提供到多个服务器计算机406中的服务器计算机。然后，服务器计算机可以使用令牌参考标识符来获得所存储的令牌。这一令牌接着可用于进行交易。所述令牌可以直接提供到资源提供商计算机404或经由用户装置402提供到所述资源提供商计算机，并且资源提供商计算机404可以生成并发送包括令牌的授权请求消息。在其它实施例中，在从资源提供商计算机404接收到任何交互数据(例如，交易数据)之后，服务器计算机可以生成包括令牌的授权请求消息。
资源提供商和/或服务器计算机接着可以向传输计算机(未示出)发送包括所述令牌和所述交互数据的授权请求消息。传输计算机可以由收单方操作，所述收单方通常是与特定商家、钱包提供商或另一实体有商业关系的实体(例如，银行)的***。
在接收到授权请求消息之后，传输计算机将授权请求消息转发到处理网络计算机(未示出)。处理网络计算机可以被配置成提供授权服务以及用于支付交易的清算和结算服务。处理网络计算机可以包括用于支持和递送授权服务、异常文件服务以及清算和结算服务的数据处理子***、网络和操作。处理网络计算机可以经由通信信道将从传输计算机接收到的授权请求转发到授权实体计算机。
在一些实施例中，处理网络计算机可以修改授权请求消息以用便携式装置凭证替换令牌。处理网络计算机可以结合令牌提供商计算机(未示出)修改授权请求消息。例如，在接收到授权请求消息之后，处理网络计算机可以在便携式装置凭证请求消息中将授权请求消息的令牌提供到令牌提供商计算机。
令牌提供商计算机可以是为令牌提供服务的***。在一些实施例中，令牌提供商计算机可以促进请求、确定(例如，生成)和/或发出令牌，以及在存储库(例如，令牌库)中维持建立的令牌到主账号(PAN)和/或其它便携式装置凭证的映射。在一些实施例中，令牌提供商计算机可针对给定令牌建立令牌保障级别，以指示令牌-PAN绑定的置信度级别。令牌提供商计算机可以包括令牌库或与令牌库通信，所述令牌库中存储生成的令牌。令牌提供商计算机可以通过使令牌去令牌化获得便携式装置凭证来支持使用令牌提交的支付交易的令牌处理。在确定与令牌相关联的便携式装置凭证之后，令牌提供商计算机可以将包括便携式装置凭证的便携式装置凭证响应消息提供到处理网络计算机。
在接收到便携式装置凭证响应消息之后，处理网络计算机可以修改授权请求消息以用便携式装置凭证替换令牌。在一些实施例中，处理网络计算机可以将便携式装置凭证添加到授权请求消息，使得所述授权请求消息包括令牌、交互数据和便携式装置凭证。然后，处理网络计算机向授权实体计算机(未示出)发送授权请求消息。
授权实体计算机可以由发出并维护用户装置402的用户账户的账户发行方操作。例如，授权实体计算机可以是由第一授权实体操作的第一授权实体计算机，所述第一授权实体发出所选的便携式装置凭证并维护与所选的便携式装置凭证相关联的账户。授权实体计算机可以基于授权实体计算机所存储的交互数据、令牌、便携式装置凭证和/或与用户和/或用户装置402相关联的数据而确定是否授权交互。授权实体计算机可以生成交互是否被授权的指示。授权实体计算机可以生成包括交互是否被授权的指示的授权响应消息。在一些实施例中，授权响应消息可进一步包括便携式装置凭证和/或交互数据。在一些实施例中，授权响应消息可进一步包括令牌。在生成授权响应消息之后，授权实体计算机可以向处理网络计算机发送授权响应消息。
在接收到授权响应消息之后，在一些实施例中，处理网络计算机可以修改授权响应消息以用令牌替换便携式装置凭证。然后，处理网络计算机可以将授权响应消息提供到传输计算机。
在从处理网络计算机接收到授权响应消息之后，传输计算机可以在从资源提供商计算机404接收到授权请求消息的情况下将授权响应消息提供到资源提供商计算机404，或可以在从多个服务器计算机406中的服务器计算机接收到授权请求消息的情况下将授权响应消息提供到服务器计算机。
在一些实施例中，用户装置402可以执行第二交互。例如，前述交互请求消息可以是第一交互请求消息，识别请求消息可以是第一识别请求消息，一个或多个识别响应消息可以是一个或多个第一识别响应消息，服务器计算机数据可以是第一服务器计算机数据，识别响应消息可以是第一识别响应消息，用户凭证验证请求消息可以是第一用户凭证验证请求消息，服务器计算机数据可以是第一服务器计算机数据，交互数据可以是第一交互数据，交互可以是第一交互，用户凭证验证响应消息可以是第一用户凭证验证响应消息，已签名的交互数据可以是第一已签名的交互数据，并且多个便携式装置凭证可以是多个第一便携式装置凭证。
用户装置402可以发起与资源提供商计算机404或另一资源提供商计算机的第二交互。用户装置402可以提供包括识别标识符的第二交互请求消息。在资源提供商计算机404或其它资源提供商计算机接收到识别标识符之后，资源提供商计算机404或其它资源提供商计算机可以将包括第二识别标识符的第二识别请求消息提供到多个服务器计算机。
每一服务器计算机都可以确定识别标识符是否被识别，如本文中所描述，接着生成第二识别响应消息。每一服务器计算机都可以将第二识别响应消息提供到资源提供商计算机404或其它资源提供商计算机。
资源提供商计算机404或其它资源提供商计算机可以分别从多个服务器计算机中的一个或多个服务器计算机接收一个或多个第二识别响应消息。每一第二识别响应消息包括用户标识符和第二服务器计算机数据(与第一交互的第一服务器计算机数据相比)。然而，应理解，每一服务器计算机提供不同的服务器计算机数据。在这一实例中，第一和第二的利用是为了区分第一交互与第二交互。
然后，资源提供商计算机404或其它资源提供商计算机可以选择一个或多个识别响应消息中的第二所选识别响应消息。第二识别响应消息是从与接收到第一识别响应消息的服务器计算机不同的服务器计算机接收到的。
在选择第二所选识别响应消息之后，资源提供商计算机404或其它资源提供商计算机可以生成第二用户凭证验证请求消息，所述第二用户凭证验证请求消息包括用户标识符、第二所选识别响应消息的第二服务器计算机数据和第二交互数据。然后，资源提供商计算机404或其它资源提供商计算机向通用认证应用发送第二用户凭证验证请求消息。
然后，通用认证应用接收第二用户凭证验证请求消息，所述第二用户凭证验证请求消息包括用户标识符、第二服务器计算机数据以及用于资源提供商计算机的资源提供商或其它资源提供商计算机的另一资源提供商与用户装置402的用户之间的第二交互的第二交互数据。第一服务器计算机数据可以源自第一服务器计算机，并且第二服务器计算机数据源自第二服务器计算机。
然后，通用认证应用可以向网络浏览器发送第二用户凭证验证请求消息，所述网络浏览器调用认证器来验证用户的生物特征信息。在认证器认证用户之后，如本文中所描述，通用认证应用从认证器接收第二用户凭证验证响应消息。第二用户凭证验证响应消息包括第二已签名的交互数据。
然后，通用认证应用将第二用户凭证验证响应消息发送到其它资源提供商计算机中的资源提供商计算机404。然后，资源提供商计算机404或其它资源提供商计算机经由通用认证应用从认证器接收第二用户凭证验证响应消息。然后，在服务器计算机验证第二已签名的交互数据的签名的情况下，资源提供商计算机404或其它资源提供商计算机可以将第二已签名的交互数据提供到多个服务器计算机406，以获得与用户相关联的便携式装置凭证或被屏蔽便携式装置凭证。然后，资源提供商计算机404或其它资源提供商计算机和***的其它装置可以执行类似于第二交互的步骤22-29的过程。
图5A和5B示出了说明根据各种实施例的将生物特征识别与WebAuthn结合使用的示例性用户体验的流程的用户界面。图5A和5B中包括用户装置的显示器的各种图像(例如，帧)。每一帧可以对应于图3-4中的步骤。例如，在帧510处，用户可以选择资源(例如，一双鞋)并且继续在由资源提供商计算机维护的网页上结账。
在帧520处，在用户选择结账之后，用户装置可以提示用户验证其身份(例如，通过提供生物特征信息)。然后，用户可以将其生物特征信息输入到用户装置的认证器。例如，用户可以在用户装置上扫描其指纹、面纹等。然后，用户装置的认证器可以基于输入的生物特征信息来认证用户。如果用户输入的生物特征信息与所存储的生物特征信息匹配，则用户装置可以从530开始显示。
在帧530处，用户装置可以显示用户指纹已识别(例如，用户经过认证)的指示。
在帧540处，在用户装置接收到便携式装置凭证列表(如上文所描述)之后，用户装置可以提示用户选择便携式装置列表中呈现的便携式装置凭证。例如，用户可以与多个便携式装置凭证相关联，所述多个便携式装置凭证显示给用户以供选择用于交互。用户可以选择至少一个便携式装置凭证(例如，卡账户)。
在帧550处，在已选择便携式装置凭证之后，用户装置可以提示用户确认交互。在用户利用所选便携式装置凭证确认交互之后，用户装置可以将所选便携式装置凭证提供到资源提供商计算机。
在帧560处，在资源提供商就交互的授权与服务器计算机通信之后，用户装置可以向用户显示确认消息。确认消息可以显示交互是否被授权的指示，从而结束用户装置的用户与资源提供商计算机的资源提供商之间的交互。
本公开的实施例具有许多优点。例如SRT***等常规安全远程平台***使用浏览器cookie来认证用户的装置并检取不同卡的注册账户信息。这样做存在的一个问题是，存储在用户的装置上的浏览器cookie可能会被盗或可能会被不小心删除。实施例提供浏览器cookie无需存储在用户装置上的优点。因此，增强用户数据的安全性并降低用户装置的数据存储要求。
本公开的实施例进一步提供了相对于仅利用网络认证(WebAuthn)的优点，所述网络认证提供了一种使用例如生物特征认证等其它类型的信息来认证web应用的用户的方法。将WebAuthn与生物特征认证结合利用的一个缺点是，可能需要针对与用户相关联的每一账户凭证进行单独的生物特征验证。因此，当使用不同的SRT***检取账户信息以显示卡列表以供在交互期间进行交互选择时，可以针对每一SRT***请求单独的生物特征读取。
这对用户和过程所涉及的装置来说都是繁重的。例如，用户需要多次输入其生物特征信息，以便允许多个SRT***提供要显示在卡列表中的便携式装置凭证。实施例提供了即使在多个SRT***在提供便携式装置凭证之前等待用户的认证时也能一次性地请求生物特征信息的优点。此外，实施例提供了减少***中进行通信的次数的优点。例如，如果涉及三个SRT***，则按照惯例，每一SRT***都需要与用户装置通信以请求生物特征认证。然而，根据各种实施例，可以将单个用户凭证验证请求提供到用户装置上的通用认证应用，从而将与用户装置的通信次数减少66％(在此实例中)。
实施例提供了额外优点。在常规方法(例如，仅利用WebAuthn)中，当用户装置一次仅能请求单次生物特征读取时，处理能力会出现障碍。这延长了处理交互的总时间。实施例提供了这样的优点，即由于仅需要发生单次生物特征认证过程，因此处理交互的时间更短。
尽管以特定顺序示出或描述了上述流程图和过程流程中的步骤，但应理解，本发明的实施例可以包括具有呈不同顺序的步骤的方法。另外，可以省略或添加步骤，且它们仍可以在本发明的实施例中。
本申请中描述的任何软件组件或功能可实施为使用例如Java、C、C++、C#、Objective-C、Swift的任何合适的计算机语言或例如Perl或Python的脚本语言使用例如常规的或面向对象的技术由处理器执行的软件代码。所述软件代码可以作为一系列指令或命令存储在计算机可读介质上以供存储和/或传输，合适的介质包括随机存取存储器(RAM)、只读存储器(ROM)、磁性介质(例如硬盘驱动器或软盘)，或者光学介质(例如光盘(CD)或数字通用光盘(DVD))、闪存存储器，等等。计算机可读介质可以是此类存储装置或传输装置的任何组合。
此类程序还可以使用适合于经由包括互联网在内的符合多种协议的有线网络、光学网络和/或无线网络进行传输的载波信号来编码和发送。因此，根据本发明的一个实施例的计算机可读介质可以使用以此类程序编码的数据信号来创建。以程序代码编码的计算机可读介质可以与兼容装置一起封装或者与其它装置分开提供(例如，经由互联网下载)。任何此类计算机可读介质可以驻存在单个计算机产品(例如，硬盘驱动器，CD或整个计算机***)之上或其内部，并且可以存在于***或网络内的不同计算机产品上或其内部。计算机***可以包括监视器、打印机，或者用于向用户提供本文所提及的任何结果的其它合适的显示器。
以上描述是说明性的并且不是限制性的。在阅读了本公开之后，本发明的许多变型形式对于本领域的技术人员将变得显而易见。因此，本发明的范围不应当参考上面的描述来确定，而是应当参考未决的权利要求连同其完整范围或等同物来确定。
在不偏离本发明范围的情况下，来自任何实施例的一个或多个特征可以与任何其它实施例的一个或多个特征组合。
如本文所用，除非明确指示有相反的意思，否则使用“一个”、“一种”或“所述”旨在意指“至少一个/种”。

Claims (20)

1.一种方法，包括：
由通用认证应用从资源提供商计算机接收用户凭证验证请求消息，所述用户凭证验证请求消息包括用户标识符、服务器计算机数据和用于所述资源提供商计算机的资源提供商与用户装置的用户之间的交互的交互数据；
由所述通用认证应用向网络浏览器发送所述用户凭证验证请求消息，所述网络浏览器调用认证器来验证所述用户的生物特征信息；
由所述通用认证应用从所述认证器接收用户凭证验证响应消息，所述用户凭证验证响应消息包括已签名的交互数据；以及
由所述通用认证应用向所述资源提供商计算机发送所述用户凭证验证响应消息，其中所述资源提供商计算机向多个服务器计算机提供至少所述已签名的交互数据，以检取分别与所述多个服务器计算机相关联的多个便携式装置凭证。
2.根据权利要求1所述的方法，其中所述通用认证应用是所述用户装置上的组件。
3.根据权利要求2所述的方法，其中所述用户装置进一步包括所述认证器。
4.根据权利要求1所述的方法，其中所述服务器计算机数据是第一服务器计算机数据，并且其中在接收到所述用户凭证验证请求消息之前，所述资源提供商计算机进行以下操作：a)从所述用户装置接收包括识别标识符的交互请求消息，b)将包括所述识别标识符的识别请求消息提供给所述多个服务器计算机，c)分别从所述多个服务器计算机中的一个或多个服务器计算机接收一个或多个识别响应消息，每一识别响应消息包括所述用户标识符和与每一相应服务器计算机有关的所述服务器计算机数据，d)选择所述一个或多个识别响应消息中的所选识别响应消息，并且e)生成所述用户凭证验证请求消息，所述用户凭证验证请求消息包括所述用户标识符、所述所选识别响应消息的所述第一服务器计算机数据和所述交互数据。
5.根据权利要求4所述的方法，其中所述通用认证应用向所述网络浏览器提供一个用户凭证验证请求消息以用于所述交互，其中所述通用认证应用从所述资源提供商计算机接收所述用户凭证验证请求消息，而不管所述多个服务器计算机中的哪一服务器计算机与所述所选识别响应消息相关联。
6.根据权利要求1所述的方法，其中所述服务器计算机数据源自所述多个服务器计算机中的任一服务器计算机。
7.根据权利要求1所述的方法，其中所述认证器至少基于所述服务器计算机数据而确定是否验证所述用户的所述生物特征信息。
8.根据权利要求7所述的方法，其中所述多个便携式装置凭证是多个被屏蔽便携式装置凭证，其中所述资源提供商计算机基于由所述认证器生成的所述已签名的交互数据而从不同的服务器计算机获得所述被屏蔽便携式装置凭证中的每一个。
9.根据权利要求1所述的方法，其中所述用户凭证验证请求消息是第一用户凭证验证请求消息，所述服务器计算机数据是第一服务器计算机数据，所述交互数据是第一交互数据，所述交互是第一交互，所述用户凭证验证响应消息是第一用户凭证验证响应消息，所述已签名的交互数据是第一已签名的交互数据，所述多个便携式装置凭证是多个第一便携式装置凭证，
其中所述方法进一步包括：
由所述通用认证应用从所述资源提供商计算机或另一资源提供商计算机接收第二用户凭证验证请求消息，所述第二用户凭证验证请求消息包括所述用户标识符、第二服务器计算机数据和用于所述资源提供商计算机的所述资源提供商与所述用户装置的所述用户之间的第二交互的第二交互数据，其中所述第一服务器计算机数据源自第一服务器计算机且所述第二服务器计算机数据源自第二服务器计算机；
由所述通用认证应用向所述网络浏览器发送所述第二用户凭证验证请求消息，所述网络浏览器调用所述认证器来验证所述用户的所述生物特征信息；
由所述通用认证应用从所述认证器接收第二用户凭证验证响应消息，所述第二用户凭证验证响应消息包括第二已签名的交互数据；以及
由所述通用认证应用向所述资源提供商计算机发送所述第二用户凭证验证响应消息，其中所述资源提供商计算机向所述多个服务器计算机中的至少一个提供至少所述第二已签名的交互数据，以检取分别与所述多个服务器计算机相关联的所述多个便携式装置凭证。
10.一种用户装置，包括：
处理器；以及
耦合到所述处理器的计算机可读介质，所述计算机可读介质包括可由所述处理器执行以用于实施以下方法的代码，所述方法包括：
由所述用户装置的通用认证应用从资源提供商计算机接收用户凭证验证请求消息，所述用户凭证验证请求消息包括用户标识符、服务器计算机数据和用于所述资源提供商计算机的资源提供商与所述用户装置的用户之间的交互的交互数据；
由所述通用认证应用向网络浏览器发送所述用户凭证验证请求消息，所述网络浏览器调用认证器来验证所述用户的生物特征信息；
由所述通用认证应用从所述认证器接收用户凭证验证响应消息，所述用户凭证验证响应消息包括已签名的交互数据；以及
由所述通用认证应用向所述资源提供商计算机发送所述用户凭证验证响应消息，其中所述资源提供商计算机向多个服务器计算机提供至少所述已签名的交互数据，以检取分别与所述多个服务器计算机相关联的多个便携式装置凭证。
11.根据权利要求10所述的用户装置，其中在所述认证器验证所述用户的所述生物特征信息之后，所述认证器利用私钥对所述交互数据进行签名。
12.根据权利要求10所述的用户装置，其中所述用户标识符是通用唯一标识符。
13.根据权利要求10所述的用户装置，其中所述用户凭证验证请求消息是第一用户凭证验证请求消息，所述服务器计算机数据是第一服务器计算机数据，所述交互数据是第一交互数据，所述交互是第一交互，所述用户凭证验证响应消息是第一用户凭证验证响应消息，所述已签名的交互数据是第一已签名的交互数据，所述多个便携式装置凭证是多个第一便携式装置凭证，
其中所述方法进一步包括：
由所述通用认证应用从所述资源提供商计算机或另一资源提供商计算机接收第二用户凭证验证请求消息，所述第二用户凭证验证请求消息包括所述用户标识符、第二服务器计算机数据和用于所述资源提供商计算机的所述资源提供商与所述用户装置的所述用户之间的第二交互的第二交互数据，其中所述第一服务器计算机数据源自第一服务器计算机且所述第二服务器计算机数据源自第二服务器计算机；
由所述通用认证应用向所述网络浏览器发送所述第二用户凭证验证请求消息，所述网络浏览器调用所述认证器来验证所述用户的所述生物特征信息；
由所述通用认证应用从所述认证器接收第二用户凭证验证响应消息，所述第二用户凭证验证响应消息包括第二已签名的交互数据；以及
由所述通用认证应用向所述资源提供商计算机发送所述第二用户凭证验证响应消息，其中所述资源提供商计算机向所述多个服务器计算机中的至少一个提供至少所述第二已签名的交互数据，以检取分别与所述多个服务器计算机相关联的所述多个便携式装置凭证。
14.根据权利要求10所述的用户装置，其中所述交互是安全数据交互、安全网页交互或安全位置交互。
15.一种方法，包括：
由资源提供商计算机从用户装置接收包括识别标识符的交互请求消息；
由所述资源提供商计算机将包括所述识别标识符的识别请求消息提供给多个服务器计算机；
由所述资源提供商计算机从所述多个服务器计算机中的两个或更多个服务器计算机分别接收两个或更多个识别响应消息，每一识别响应消息包括用户标识符和服务器计算机数据；
由所述资源提供商计算机选择一个或多个识别响应消息中的所选识别响应消息；
由所述资源提供商计算机生成用户凭证验证请求消息，所述用户凭证验证请求消息包括所述用户标识符、所述所选识别响应消息的所述服务器计算机数据和交互数据；
由所述资源提供商计算机向通用认证应用发送所述用户凭证验证请求消息，其中所述通用认证应用将所述用户凭证验证请求消息提供给网络浏览器，所述网络浏览器调用认证器来验证所述用户装置的用户的生物特征信息；以及
由所述资源提供商计算机经由所述通用认证应用从所述认证器接收用户凭证验证响应消息，所述用户凭证验证响应消息包括已签名的交互数据。
16.根据权利要求15所述的方法，其进一步包括：
由所述资源提供商计算机将所述已签名的交互数据提供给所述多个服务器计算机，其中所述多个服务器计算机中的每一服务器计算机验证所述已签名的交互数据的签名；以及
由所述资源提供商计算机从所述一个或多个服务器计算机接收便携式装置凭证。
17.根据权利要求16所述的方法，其进一步包括：
由所述资源提供商计算机生成所述便携式装置凭证的有序列表；
由所述资源提供商计算机将所述便携式装置凭证的所述有序列表提供给所述用户装置，其中所述用户装置向所述用户装置的所述用户显示所述便携式装置凭证的所述有序列表，从所述有序列表接收对便携式装置凭证的选择，并且将所述对便携式装置凭证的选择提供给所述资源提供商计算机；以及
由所述资源提供商计算机从所述用户装置接收所述对便携式装置凭证的选择。
18.根据权利要求17所述的方法，其进一步包括：
由所述资源提供商计算机生成包括至少所述对便携式装置凭证的选择的授权请求消息；
由所述资源提供商计算机将所述授权请求消息提供给所述服务器计算机，其中所述服务器计算机确定是否授权与所述已签名的交互数据以及所述便携式装置凭证相关联的交互，并且生成包括至少所述交互是否被授权的指示的授权响应消息；以及
由所述资源提供商计算机从所述服务器计算机接收所述授权响应消息。
19.根据权利要求15所述的方法，其中所述交互请求消息是第一交互请求消息，所述识别请求消息是第一识别请求消息，所述一个或多个识别响应消息是一个或多个第一识别响应消息，所述服务器计算机数据是第一服务器计算机数据，所述识别响应消息是第一识别响应消息，所述用户凭证验证请求消息是第一用户凭证验证请求消息，所述交互数据是第一交互数据，所述用户凭证验证响应消息是第一用户凭证验证响应消息，并且所述已签名的交互数据是第一已签名的交互数据，
其中所述方法进一步包括：
由所述资源提供商计算机从所述用户装置接收包括识别标识符的第二交互请求消息；
由所述资源提供商计算机将包括所述识别标识符的第二识别请求消息提供给所述多个服务器计算机；
由所述资源提供商计算机从所述多个服务器计算机中的一个或多个服务器计算机分别接收一个或多个第二识别响应消息，每一第二识别响应消息包括所述用户标识符和第二服务器计算机数据；
由所述资源提供商计算机选择所述一个或多个识别响应消息中的第二所选识别响应消息，其中所述第二识别响应消息是从与接收到所述第一识别响应消息的服务器计算机不同的服务器计算机接收到的；
由所述资源提供商计算机生成第二用户凭证验证请求消息，所述第二用户凭证验证请求消息包括所述用户标识符、所述第二所选识别响应消息的所述第二服务器计算机数据和第二交互数据；
由所述资源提供商计算机向所述通用认证应用发送所述第二用户凭证验证请求消息，其中所述通用认证应用将所述第二用户凭证验证请求消息提供给所述网络浏览器，所述网络浏览器调用所述认证器来验证所述用户装置的所述用户的所述生物特征信息；以及
由所述资源提供商计算机经由所述通用认证应用从所述认证器接收第二用户凭证验证响应消息，所述第二用户凭证验证响应消息包括第二已签名的交互数据。
20.根据权利要求15所述的方法，其中选择所述一个或多个识别响应消息中的所述识别响应消息进一步包括：
由所述资源提供商计算机选择所述一个或多个识别响应消息中首先接收到的识别响应消息，其中所述首先接收到的识别响应消息是所述所选识别响应消息。
CN202080078981.5A 2019-11-13 2020-11-12 使用网络认证来增强安全远程平台***的安全性 Pending CN114730334A (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US201962934988P 2019-11-13 2019-11-13
US62/934,988 2019-11-13
PCT/US2020/060287 WO2021097130A1 (en) 2019-11-13 2020-11-12 Use of web authentication to enhance security of secure remote platform systems

Publications (1)

Publication Number Publication Date
CN114730334A true CN114730334A (zh) 2022-07-08

Family

ID=75912887

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202080078981.5A Pending CN114730334A (zh) 2019-11-13 2020-11-12 使用网络认证来增强安全远程平台***的安全性

Country Status (4)

Country Link
US (1) US20230022797A1 (zh)
EP (1) EP4058913A4 (zh)
CN (1) CN114730334A (zh)
WO (1) WO2021097130A1 (zh)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2013082329A1 (en) * 2011-11-29 2013-06-06 Bruce Ross Layered security for age verification and transaction authorization
US11900370B2 (en) * 2021-01-04 2024-02-13 Mastercard International Incorporated Methods and systems of using sub-domains to federate device credentials scoped to a common domain
US20230362154A1 (en) * 2022-05-09 2023-11-09 Bank Of America Corporation System and method for providing data authentication for long range communications

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20130080333A1 (en) * 2011-09-27 2013-03-28 Oleksandr Kamotskyy Electronic wallet using allocation of funds
KR20140046830A (ko) * 2012-10-11 2014-04-21 와이엠디(주) 결제 중개 시스템 및 방법
US9785940B2 (en) * 2014-03-27 2017-10-10 Bank of the Ozarks System and method for distributed real time authorization of payment transactions
WO2017165576A1 (en) * 2016-03-22 2017-09-28 Visa International Service Association Adaptable authentication processing
SG10201705321SA (en) * 2017-06-28 2019-01-30 Mastercard International Inc Method and system for facilitating payment card based financial transactions
SG10201708525QA (en) * 2017-10-16 2019-05-30 Mastercard International Inc Computer system and computer-implemented method for processing a payment transaction

Also Published As

Publication number Publication date
EP4058913A1 (en) 2022-09-21
EP4058913A4 (en) 2022-12-07
WO2021097130A1 (en) 2021-05-20
US20230022797A1 (en) 2023-01-26

Similar Documents

Publication Publication Date Title
AU2021200521B2 (en) Systems and methods for device push provisioning
US20210243029A1 (en) Biometric verification process using certification token
US20200336315A1 (en) Validation cryptogram for transaction
CN107251595B (zh) 用户和移动装置的安全认证
KR102358546B1 (ko) 장치에 대해 클라이언트를 인증하기 위한 시스템 및 방법
CN111819555A (zh) 利用在线认证的安全远程令牌发布
CN112805737A (zh) 用于令牌邻近交易的技术
US20220407709A1 (en) Biometric sensor on portable device
US20230022797A1 (en) Use of web authentication to enhance security of secure remote platform systems
US20230216844A1 (en) Authentication with offline device
US11797650B2 (en) Data value routing system and method
CN112823368A (zh) 通过云生物特征标识和认证实现的令牌化非接触式交易
US20230062507A1 (en) User authentication at access control server using mobile device
CN112840337B (zh) 身份认证***和方法
US11574310B2 (en) Secure authentication system and method

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination