在線交易驗證的制作方法
【專利說明】在線交易驗證
[0001]相關申請
[0002]本申請要求2013年3月15日提交的發明人為Christopher Wood等的臨時申請序列號61/789，417，題為“ONLINE SECURE TRANSACT1N VERIFICAT1N SYSTEM PROXY SERVERAND METHOD ”的優先權，該申請通過弓|用包含在此。
技術領域
[0003]本公開一般地涉及把用戶認證和交易驗證技術用于電子交易，例如(但不限于)產品購買、賬單支付、匯款、有價證券的購買或銷售、銀行交易或者需要安全驗證和/或用戶認證的任何其它交易。
【背景技術】
[0004]在防止攻擊者獲得用戶的重要資源或信息的努力中，重要的是在web瀏覽器中提供對惡意軟件的防范。增強認證(step-up authenticat1n)是用于計算設備的一種已知安全技術，它包括采用除主認證操作外的認證機制來保護操作、資源和信息。例如，網站可把用戶名/密碼認證操作作為主認證機制，不過，還可采用另外一級安全措施，例如第二級用戶認證(例如利用一次性密碼、網格卡(grid card)、其它基于權標的系統或者其它技術)，以提供用戶的另一級認證。
[0005]還已知其中例如web服務器(包括托管網站的后端基礎結構)接收用戶設備的交易請求，并且利用后端基礎結構的該web服務器調用基于風險的認證平臺，以增加增強認證和/或交易驗證的系統。例如，進行產生風險得分的風險評分或風險評估，以判定何時對諸如銀行交易或其它交易之類的在線交易應用增強認證。交易驗證可以采用例如利用額外的設備來驗證交易應被批準。在過程中利用額外的設備可為涉及重要信息的在線交易，或者對系統的重要資源的訪問增加額外的安全性。已知如果例如正在膝上型計算機上與web服務器進行交易，那么利用第二通道(也稱為背后通道)和相關設備(例如智能電話機)來獲得交易的追加確認的系統。不過，這種系統一般要求web服務器使其應用被修改，以調用利用額外的設備和帶外通道進行交易驗證操作的認證平臺。
[0006]交易驗證包括用戶在設備或系統上發起交易的行為，在交易被后端系統接受或處理之前，用戶在另一個設備或系統上接收交易的細節，并被賦予批準或拒絕該交易的機會。例如，已知交易驗證系統要求用戶在與用于發起在線交易的設備分離的設備上證實信息。在一個例子中，例如當較大的貨幣余額從一個賬戶轉移到另一個賬戶時，或者對于其它高風險交易，在用戶利用不同的設備在線以提供額外的安全性時，對于用戶的智能電話機的帶外通信請求在線交易的確認。不過，這種系統一般要求托管網站被修改，以調用基于風險的驗證平臺。網站上的軟件應用一般必須被修改，以強行調用認證平臺。這會導致代價極高的軟件修改，需要額外的測試，并增大推廣成本。
[0007]存在已知試圖按照不要求托管網站的平臺被修改以便提供帶外交易驗證的方式來保護網站服務器的驗證和交易(代理)服務器-帶外交易驗證網關。不過，這種系統一般不采用任何種類的交易風險評估，因而系統對它處理的所有交易都應用帶外驗證。對用戶來說，這會造成錯誤。
[0008]需要一種采用增強認證和/或改進的在線交易驗證的改進安全系統。
【附圖說明】
[0009]結合附圖，根據以下說明，更易于理解實施例，附圖中，相同的附圖標記表示相同的元件，其中:
[0010]圖1是圖解說明按照在本公開中闡述的一個例子的在線安全保護系統的一個例子的方框圖；
[0011]圖2是圖解說明按照在本公開中闡述的一個例子的用于提供在線保護的方法的一個例子的流程圖；
[0012]圖3是圖解說明按照在本公開中闡述的一個例子的用于提供在線安全保護的方法的一個例子的流程圖；
[0013]圖4是圖解說明按照在本公開中闡述的一個例子的用于為交易提供在線保護的方法的一個例子的流程圖；
[0014]圖5是圖解說明按照在本公開中闡述的一個例子的用于提供在線安全保護的方法的一個例子的流程圖；
[0015]圖6是圖解說明按照在本公開中闡述的一個例子的用于為交易提供在線安全保護的方法的一個例子的流程圖；
[0016]圖7是按照在本公開中闡述的一個例子的用于為在線交易提供安全保護的系統的一個例子的例示；
[0017]圖8是按照在本公開中闡述的一個例子的用于為在線交易提供安全保護的系統的一個例子的例示；
[0018]圖9是按照在本公開中闡述的一個例子的用于為在線交易提供安全保護的系統的一個例子的例示；
[0019]圖10是按照在本公開中闡述的一個例子，圖解說明增強認證的圖形用戶界面的例子；
[0020]圖11是按照在本公開中闡述的一個例子，依照用于提供安全在線交易的一個例子的圖形用戶界面的一個例子；
[0021]圖12是按照在本公開中闡述的一個例子，依照用于提供安全在線交易的一個例子的圖形用戶界面的一個例子；
[0022]圖13是按照在本公開中闡述的一個例子，依照用于提供安全在線交易的一個例子的圖形用戶界面的一個例子；
[0023]圖14圖解說明按照在本公開中闡述的一個例子，用于提供交易驗證的不同圖形用戶界面；
[0024]圖15是按照在本公開中闡述的一個例子，用于提供安全在線交易保護的圖形用戶界面的一個例子；
[0025]圖16是圖解說明按照在本公開中闡述的一個例子的包括規則數據的配置數據的一個例子的示圖。
【具體實施方式】
[0026]在一個例子中，代理服務器充當網站的網關，酌情更改用戶設備上的web瀏覽器和網站服務器之間的通信量(traffic)，以便除了提供在線交易信息(例如初始網頁)之夕卜，還通過提供增強認證和/或交易驗證，請求保護。當要求保護，但未發生保護(或者由于認證不正確，或者由于檢測到另一個問題)時，代理服務器阻止交易。
[0027]在一個例子中，代理服務器把一個或多個腳本注入從網站接收的對于用戶設備的HTTP響應中。所述一個或多個腳本在用戶的web瀏覽器中運行，從而允許代理服務器控制網站的操作，并與網站的操作交互作用，以便通過增加/強制執行增強認證和/或交易驗證，來保護站點。為了部署交易驗證或增強用戶認證能力，網站服務器把所有通信量導向代理服務器。因而，網站服務器的應用代碼不必被修改，改為利用代理服務器控制關于是否對在線交易使用基于每個會話的增強認證和/或交易驗證的判定。
[0028]在另一個實施例中，代理系統利用可在不改變托管網站的后端基礎結構情況下部署的以用戶設備進行的操作的風險評估為基礎的增強認證和/或交易驗證，保護網站。網站運營者可作出網絡級改變，以把最初預定給網站的所有通信量路由到代理服務器。代理服務器檢查預定給網站的通信量，并根據網站運營者的配置參數，把諸如圖形用戶界面信息和控制項元素之類的用戶界面信息注入將對于在線交易酌情請求增強認證和/或交易驗證的通信量中。在一個例子中，代理服務器處理與后端基于風險的認證引擎的所有通信，并且當要求增強認證和/或交易驗證，但增強認證和/或交易驗證未成功完成時，阻止交易Ο
[0029]這里討論的增強認證應包括除網站本身已實施的主認證操作外的任何認證機制。例如，網站可具有用戶名/密碼認證(主認證機制)，不過部署這里提出的系統，以增加另一種形式的認證(例如，網格卡、一次性密碼、基于知識的認證等)，以向特定操作(或一組操作)增加額外的保護；這種附加認證是增強認證。增強認證不限于任何特定的認證機制；它可是任何目前已知或者尚待開發的認證機制。
[0030]這里討論的交易驗證包括用戶在一個設備或系統上發起交易的行為，在交易被后端系統(第二設備)接受/處理之前，用戶在第三設備或系統上接收交易的細節并被賦予批準或拒絕在線交易的機會。
[0031]圖1圖解說明在線交易驗證系統100的一個例子，在線交易驗證系統100采用用戶設備102 (例如，第一設備)，服務器104 (例如，諸如web服務器或后端基礎結構組件之類的第二設備)，以及如果需要的話，交易驗證設備(第三設備)106，和這里也稱為交易保護器代理服務器的交易保護器108。支持基礎結構服務器110可以是交易保護器108和第三設備106的一部分，或者與交易保護器108和第三設備106通信。設備可通過任何適當的一個或多個網絡通信。系統100例如可以是任何適當的通信系統，不過為了舉例說明而不是對本發明的限制，被描述成基于web的系統，其中服務器104可以是操作上耦接到因特網和操作上耦接到有線和/或無線網絡的web服務器。服務器104例如可以是銀行機構、其他金融機構或者希望向第一設備102的用戶提供借助電子交易的服務的任何其他適當組織的web服務器(耦接到因特網的服務器)。
[0032]例如，用戶設備102可以是無線因特網設備、無線電電話機、膝上型計算機、平板設備或者用于進行電子交易的任何其它適當設備，在本例中，包括使基于web的金融交易或者與服務器104的任何其它適當交易更容易的web瀏覽器112。本領域中已知，設備102包括一個或多個處理器和相關聯的存儲器，所述存儲器保存當被執行時，使一個或多個處理器充當web瀏覽器和提供這里說明的其它操作的we