用于账户验证的核实服务

本国际申请要求2018年10月23日提交的美国专利申请第62/749,304号的优先权，所述美国专利申请的公开内容出于所有目的以全文引用的方式并入本文中。

背景技术

实体经常保持用户的账户，由此用户可以保持与该实体的成员账户。成员账户可以允许用户参与实体(例如，零售公司、体育组织、娱乐主题公园等)提供的服务。保持成员账户的这些用户还可能保持与其他实体(例如，银行、数字货币交易所等)的不同账户，由此用户可以通过利用不同账户(例如，银行账户)来访问资源(例如，来自零售公司)。

在这些类型的交易中，通常采用涉及多于一个步骤的交易授权程序。例如，在典型的两步程序中，可能首先需要用户向第一实体(例如，零售公司)认证其账户凭证，例如，以确保其成员资格信誉良好。第二，在验证其成员凭证之后，用户可以使用其账户凭证向第二实体(例如，银行)请求授权以获得资源。然而，这种程序引入了若干挑战。例如，在很多用户排队等待获得资源的情况下，这种程序可能会显著降低交易处理吞吐量，从而对客户满意度产生负面影响。而且，通过要求用户输入多于一组凭证，通常在对于用户而言时间敏感的环境中，该程序增大了用户凭证被泄露的风险。因此，需要使这些类型的交易比常规程序更有效率和安全。

本发明的实施例涉及提高交易效率和安全性的方法和系统，其中在授权交易时可能涉及多于一个实体。本发明的实施例单独地以及共同地解决这些问题和其它问题。

发明内容

本发明的实施例涉及安全交易处理系统和方法。

本发明的一个实施例涉及一种方法，其包括：通过由资源提供方系统从便携式装置接收便携式装置标识符和密码来发起授权过程；由资源提供方系统验证密码；由资源提供方系统在验证密码之后获得认证响应指示符；由资源提供方系统且至少部分地基于认证响应指示符生成包括访问标识符的授权请求消息，其中便携式装置标识符和访问标识符具有不同的数据格式；由资源提供方系统将授权请求消息传送到处理计算机；以及由资源提供方系统从处理计算机接收包括授权响应指示符的授权响应消息，其中，授权过程是实时执行的，并且通过接收授权响应消息来完成。

本发明的另一实施例可以涉及一种资源提供方系统，其被配置成执行上述方法。

本发明的另一个实施例涉及一种方法，其包括：由处理计算机从资源提供方系统接收包括密码和便携式装置标识符的认证请求消息；由处理计算机确定密码是经认证的；由处理计算机将认证响应消息传送到资源提供方系统；由处理计算机从资源提供方系统接收包括访问标识符的授权请求消息，其中便携式装置标识符和访问标识符具有不同的数据格式；由处理计算机将包括访问标识符的第二授权请求消息传送到授权计算机；由处理计算机从授权计算机接收含有授权响应指示符的授权响应消息；以及由处理计算机向资源提供方系统传送包括授权响应指示符的第二授权响应消息，其中，所述授权过程是实时执行的。

本发明的另一个实施例可以涉及一种处理计算机，其被配置成执行上述方法。

在下文参考附图和具体实施方式进一步详细描述本发明的这些和其它实施例。

附图说明

图1A示出了根据本发明的实施例的授权过程的认证阶段的流程图。

图1B示出了根据本发明的实施例的授权过程的交易处理阶段的流程图。

图2示出了根据本发明的实施例的系统的便携式装置的框图。

图3示出了根据本发明的实施例的用于生成密码的加密过程的框图。

图4示出了根据本发明的实施例的系统的访问装置的框图。

图5示出了根据本发明的实施例的系统的资源提供方计算机的框图。

图6示出了根据本发明的实施例的系统的处理计算机的框图。

具体实施方式

本发明的实施例提供了使用用户的便携式装置(例如，移动电话、密钥卡等)授权安全交易的机制。在一些实施例中，授权过程可以包括两个阶段：1)认证阶段，以及2)交易处理阶段。在一些实施例中，可以实时执行授权过程。例如，在一些实施例中，实时授权过程可以包括在认证阶段完成后立即执行交易处理阶段，使得整个授权过程在少于一分钟、少于十秒或少于一秒内执行。

在一些实施例中，认证阶段可以由从用户的便携式装置接收密码的第一实体(例如，零售公司)的资源提供方系统执行。在一些实施例中，便携式装置(和/或便携式装置标识符)可以与第一实体保持的用户的用户账户相关联。然后，资源提供方系统通过验证密码来认证便携式装置。在一些实施例中，资源提供方系统可以将密码传送到处理网络(例如，诸如VisaNet

在认证阶段完成后，在一些实施例中，资源提供方系统可以通过首先从资源提供方系统的数据库检索与用户相关联并由第二实体(例如，发行方银行)保持的账户的访问标识符(例如，主账号(PAN))来执行交易处理阶段。在一些实施例中，访问标识符具有与便携式装置标识符不同的数据格式，但标识符在资源提供方系统的数据库中彼此相关联。资源提供方系统可以将包含访问标识符的授权请求消息传送到处理计算机。处理计算机可以处理授权请求消息并将其重新传送到第二实体的授权计算机以进行授权。在资源提供方系统从处理计算机接收到授权响应消息(例如，包括授权计算机确定的授权响应指示符)时，可以完成授权过程。

在一些实施例中，在认证阶段期间验证的密码可以至少部分地基于便携式装置的便携式装置标识符来生成。在一些实施例中，密码还可以至少部分地基于中间访问标识符来生成。在一些实施例中，中间访问标识符可以对应于具有与访问标识符相同的数据格式的虚拟PAN。在一些实施例中，尽管访问标识符可以由发行方发放并用于进行交易，但是中间访问标识符可以不用于进行交易。例如，中间访问标识符可以是由第三方(例如，独立于第二实体发行方)发放并许可给第一实体至少用于执行本公开的实施例的多个(例如，一定范围的)中间访问标识符中的一个。在一些实施例中，中间访问标识符可以对应于密钥导出参数，该密钥导出参数用于从主导出密钥(MDK)生成唯一导出密钥(UDK)。在一些实施例中，可以通过使用UDK加密一个或多个数据元(包括便携式装置标识符)来生成密码。在一些实施例中，可以在认证阶段期间将一个或多个数据元与密码一起传送到处理计算机，以验证密码(例如，便携式装置标识符、中间访问标识符等)。在一些实施例中，可以由处理计算机在认证阶段之前确定(例如，接收和/或导出)数据元中的一个或多个，以供稍后在认证阶段和/或交易处理阶段期间使用。

在一些实施例中，资源提供方系统可以包括访问装置和资源提供方计算机。资源提供方计算机可以(例如，通过公共网络或专用网络)通信地连接到访问装置。在一些实施例中，访问装置可以是销售点(POS)终端或包括读卡器的自动燃料分配器(AFD)。访问装置可以被配备成(例如，经由诸如近场通信(NFC)的非接触式通信)从便携式装置接收密码。在一些实施例中，访问装置可以被配备成在不需要与处理计算机接触的情况下验证密码。例如，访问装置可以配备有硬件安全模块(HSM)，该硬件安全模块加载有密码密钥，使得访问装置可以生成密码，并通过将生成的密码与从便携式装置接收的密码进行比较来验证所接收的密码。在另一示例中，访问装置可以没有加载了密码密钥以用于生成密码的HSM。在此示例中，访问装置可以从便携式装置接收密码(例如，数字签名)和数据元(例如，便携式装置标识符)，然后使用公钥基础设施(PKI)验证数字签名。例如，可以由便携式装置通过使用私有签名密钥来对消息摘要(例如，便携式装置标识符的散列)进行签名来生成数字签名。访问装置可以能够通过使用公共验证密钥(例如，使用诸如MD5的散列算法)计算便携式装置标识符的散列，然后(例如，通过逐位比较)确定该散列是否与数字签名匹配，来验证数字签名。在一些实施例中，公共验证密钥可以由证书机构(例如，经由数字证书)颁发，并且在接收密码之前由访问装置接收。在一些实施例中，访问装置可以不配备成验证密码。在这种情况下，访问装置可以将密码(和一个或多个数据元)(例如，经由资源提供方计算机)传送至处理计算机以进行验证。在一些实施例中，在处理计算机验证密码的情况下，处理计算机可以配备有HSM模块，类似于上文所述。在一些实施例中，可以在不使用HSM模块的情况下执行密码的验证。

本发明的实施例提供了若干技术优势。在一个非限制性示例中，使用常规技术，用户可能需要执行多个步骤以获得交易的授权。例如，在第一实体和第二实体可以是独立和/或非附属实体的情况下，可以首先要求用户例如通过刷成员组织识别(ID)卡、输入个人识别码(PIN)等向第一实体(例如，零售公司)认证其成员凭证。然后，在认证其成员凭证之后，用户可以使用与第二实体相关联的另一访问卡(例如，从发卡银行获得的借记卡或信用卡)从第二实体获得交易的授权。然而，如上所述，这些技术效率低下，并且降低了交易授权过程的安全性。例如，通过对于给定交易需要多个步骤，常规技术可能减慢交易处理管道，这可能在大量用户交易中显著地影响聚合系统性能。另外，涉及输入成员ID或PIN的常规技术可以容易地伪造，并且可能潜在地泄露用户凭证信息。

相比之下，本发明的实施例通过使用户能够执行单个步骤(例如，将便携式装置轻触访问装置)来获得授权，从而提供了更有效率的交易授权过程。例如，在资源提供方系统从便携式装置接收到密码后，资源提供方系统可以随后进行一系列操作(例如，跨越交易阶段和交易处理阶段两者)，而不需要进一步的用户输入，并且使得对便携式装置进行认证且对用户的访问卡凭证进行授权以实时进行交易。在优于常规技术的提高效率的另一示例中，本公开的实施例可以减少执行授权过程所需的操作数量。例如，通过利用中间访问标识符，处理计算机可以充当第二实体(例如，银行)的“替身”，从而不需要在认证阶段期间涉及第二实体的授权计算机。在一些情况下，处理计算机还可以在交易处理阶段充当替身，例如，基于访问标识符授权交易。在大量交易中，所需操作的这种减少可以大大节省处理资源，并降低网络带宽利用率。在另一技术优点中，通过使授权过程能够在单个步骤上执行并且利用安全密码(例如，用于执行认证阶段)，本公开的实施例降低了用户的访问凭证被泄露的风险。最后，可以利用现有基础设施(例如，包括用于处理支付交易的基础设施)来执行本公开的实施例。例如，用于认证(例如，由银行发行的)访问卡生成的密码的现有基础设施也可用于认证(例如，由零售公司发行的)便携式装置。

尽管本文中使用的示例可以主要在燃料服务上下文(例如，使用AFD)内描述，但应当理解，本发明的技术优点适用于各种交易。在另一非限制性示例中，地铁运输公司可以运营地铁服务(例如，列车线路、公交车路线)。地铁运输公司可以向用户发行便携式装置(例如，交通卡)以用于由地铁运输公司运营的地铁服务。用户还可以将交通卡与特定发行方的用户账户(例如，用户的银行账户)相关联，使得当用户轻触该卡时，使用用户账户执行支付交易。地铁运输公司的公共交通站可能具有一个或多个入站口，从而每个入站口都连接到交通费用非接触式读取器(例如，访问装置)。交通费用非接触式读取器也可以连接到交通系统计算机(例如，资源提供方计算机)。在本公开的实施例中，并且类似于上文参考AFD示例所述，用户可以在AFD读取器上轻触其便携式装置(例如，地铁交通卡)，从而使便携式装置将密码传送到读取器。交通系统(例如，包括读取器和交通系统计算机)可以发起授权过程，所述授权过程使便携式装置被认证(例如，认证为由地铁运输公司发行的合法卡)。在认证该卡后，授权过程还可以包括自动将授权请求消息发送至发行方(例如，包含与用户的银行账户相关联的PAN)。在接收到授权后，可以完成交易，并且用户可以通过入站口。应理解，可以实时(例如，在数秒内)执行整个授权过程。还应理解，地铁运输公司和发卡银行可能没有预先存在的关系。例如，便携式装置的便携式装置标识符和用户账户的访问标识符(例如，PAN)可以具有不同的数据格式和/或彼此不相关。

在论述本发明的实施例之前，描述一些术语可有助于理解本发明的实施例。

“消费者”或“用户”可以是获得商品或服务的个人。在一些实施例中，消费者可以与一个或多个个人账户和/或便携式装置相关联。在一些实施例中，消费者也可以被称作持卡人或账户持有人。

“便携式装置”(或“移动装置”)可以是可以由用户携带的装置。便携式装置可以具有存储、处理和传送信息的能力。它们还可以存储凭证，例如，包括支付凭证、成员凭证或其它形式的标识。便携式装置可以具有生成和/或存储密码信息以增加安全性的方式。这可以包括但不限于利用安全元件。便携式装置的示例包括膝上型电脑、移动电话、支付卡和密钥卡。一些便携式装置可能能够进行接触式和/或非接触式通信。

“非接触式”通信可以是无需两个装置物理联接就在这两个装置之间交换数据的通信。在不限制前述内容的一般性的情况下，“非接触式”通信可以包括通过近场通信(NFC)收发器、激光、射频、红外通信或其它射频或无线通信协议，例如蓝牙、蓝牙低功耗(BLE)、Wi-Fi、iBeacon等进行的数据传输。

“安全元件”可以包括允许高级别安全性的软件和/或防篡改硬件。在一些示例中，安全元件可以包括微处理器芯片，其可以存储敏感数据并运行安全应用程序。这些应用程序和/或数据可以与支付应用、认证/授权、密码密钥管理等等有关。例如，凭证、密码密钥或密钥材料、密码、共享秘密、账户信息等中的一些或所有部分可以被提供到装置(例如，便携式装置)的安全元件上，以防止未经授权的访问。在一些实施例中，安全元件可以包括基于软件的(诸如，主机卡模拟或HCE)和/或基于硬件的(诸如，硬件安全模块(HSM)、智能卡或芯片卡)安全模块的任何组合或包括在其中。

“硬件安全模块”(HSM)可以是保护和管理数字密钥以进行强认证并提供加密处理的物理装置。在一些示例中，HSM可以是插件卡或直接附接到计算机或网络服务器的外部装置的形式。HSM可以包含一个或多个安全加密处理器芯片。

“便携式装置标识符”可以包括与便携式装置相关联的标识符。便携式装置标识符可以是由实体(例如，支付发行方、成员组织、政府组织、运输公司等)颁发的凭证。可以使用任何合适的格式，例如字母数字字符、字母字符、数值、基于文本等表示便携式装置标识符。在一些情况下，便携式装置标识符可以与单个用户的账户相关联。在其它情况下，便携式装置标识符可以与例如可共享成员账户的多个用户相关联。在一些实施例中，便携式装置标识符可以是成员组织ID(“成员ID”)、公共交通账号、建筑物访问标识符等。在其它实施例中，便携式装置标识符可以是与便携式装置直接相关联的凭证(例如，便携式装置序列号)。在这种情况下，便携式装置标识符可以稍后与数据库(例如，成员组织数据库)中的另一标识符(例如，成员ID)相关联(例如，链接)。在一些实施例中，便携式装置标识符可以存储在和/或嵌入便携式装置的硬件和/或软件部件中。便携式装置标识符还可以包括字段的组合，例如包括账号和电子邮件地址或其他用户标识符。在一些示例中，便携式装置标识符可以具有与另一类型的标识符(例如，访问标识符或中间访问标识符)不同的数据格式。例如，便携式装置标识符可以是10位数数字，而访问标识符可以是16、18或19位数PAN。在一些示例中，便携式装置标识符可以具有与另一类型的标识符相同的数据格式。

“收单方”可以是与特定商家或其他实体具有业务关系的业务实体(例如，金融机构)。一些实体可以执行发行方功能和收单方功能两者。一些实施例可以涵盖此类单个实体发行方-收单方。在支付交易上下文中，收单方通常向商家，并且在一些情况下向交易接受基础设施提供银行账户。一般说来，在交易获得授权后，作为结算过程的一部分，资金从发行方转移到商家在收单方处的账户。收单方还可以与商家沟通支付交易状态。收单方可以操作收单方计算机，其一般也可以称为“传输计算机”。

“支付处理网络”可以指用于接受、传送或处理支付装置针对资金、商品或服务进行的交易的电子支付系统。支付处理网络可以在发行方、收单方、商家和支付装置用户之间传输信息和资金。支付处理网络可以包括用以支持和递送授权服务、认证服务、异常文件服务以及清算和结算服务的数据处理子系统、网络和操作。示范性支付处理系统可以包括VisaNet

“授权过程”可以是使得对交易进行授权的过程。授权过程可以包括多于一个阶段。例如，授权过程可以包括认证阶段，在认证阶段，用户的一个或多个便携式装置被验证为有效。授权过程还可以包括交易处理阶段。在一些示例中，交易处理阶段可以在认证阶段成功完成之后继续。交易处理阶段可以包括在网络(例如，支付处理网络)中的一个或多个实体之间传送消息以处理交易。在一些示例中，可以基本上实时地执行整个授权过程。如本文所论述的，“实时”可以对应于在数毫秒或数秒内执行的过程，使得处理结果(例如，交易批准)可几乎立即用作反馈。例如，在一些实施例中，整个授权过程可以在少于五分钟、少于一分钟、少于十秒、少于五秒或少于一秒内执行。

“终端”可以是消费者将数据输入到计算机系统中所在的装置。销售点(POS)终端可以允许消费者输入其支付信息。可以通过包括小键盘、屏幕上的触控笔和非接触式界面的方式将信息输入到终端中。

“存档卡(card-on-file)交易”可以是服务提供方使用先前存储的来自消费者的支付凭证的交易。存档卡交易还可以被称作存档凭证(credential-on-file)交易。例如，为了分期付款或为了商家或消费者的便利，可以使用存档卡交易。

“预授权”可以是在交易授权之前执行的授权。预授权可以涉及对消费者账户中的余额的暂时冻结。在尚不知道交易的总金额时，例如在预订酒店或在自动泵处支付燃料费时，可以在提供资源前进行预授权以验证已提供了有效的支付凭证。当交易的授权和结算步骤之间出现延迟时，也可以使用预授权。

“认证请求消息”可以是为了请求对便携式装置和/或凭证进行认证而发送的消息。认证请求消息可以被发送至任何合适的实体以进行认证，所述任何合适的实体包括例如发行金融机构、支付处理网络、资源提供方系统、加密货币网络、支付处理器和/或自动清算所。在涉及支付处理网络的示例中，支付处理网络可以代表将便携式装置提供给用户的资源提供方接收认证请求消息并认证便携式装置。在一些情况下，例如，在中间访问标识符用于认证(例如，代替最初由支付卡的发行方发出的访问标识符)的情况下，支付处理网络在认证期间可以作为发行方的“替身”。在一些情况下，认证请求消息可以包含一个或多个数据元，包括但不限于密码(例如，授权请求密码(ARQC))、访问标识符、中间访问标识符、便携式装置标识符、认证数据、交易信息等。在一些示例中，资源提供方系统(例如，经由访问装置或资源提供方计算机)可以接收、传送和/或处理认证请求消息。

“认证响应消息”可以是对认证请求消息的消息应答。认证响应消息可以例如由发行金融机构、支付处理网络、资源提供方系统、加密货币网络、支付处理器和/或自动清算所生成。授权响应消息可以包括例如以下状态指示符中的一个或多个：批准—认证成功；拒绝—认证不成功。认证响应消息还可以包括认证结果代码，其可以是实体(例如，支付处理网络)响应于电子消息中的认证请求消息(直接地或通过支付处理网络)返回给商家的访问装置(例如，POS设备)的指示授权成功的代码。所述代码可以充当认证的证据。在一些情况下，还可以生成另一密码(例如，授权响应密码(ARPC))以充当认证的证据。

“授权请求消息”可以是为了请求授权交易而发送的消息。例如，可以向支付处理网络、支付卡的发行方、支付处理器、加密货币网络和/或自动清算所发送授权请求消息。根据一些实施例的授权请求消息可以符合ISO8583，这是针对交换与用户使用支付装置或支付账户进行的支付相关联的电子交易信息的系统的标准。授权请求消息可以包括可与支付装置或支付账户相关联的访问标识符，例如，发行方账户标识符(例如，PAN)。授权请求消息还可以包括与“标识信息”对应的附加数据元，包括例如，服务代码、CVV(卡验证值)、dCVV(动态卡验证值)、到期日期等等。授权请求消息还可以包括“交易信息”，例如与当前交易相关联的任何信息(例如，交易金额、商家标识符、商家位置等)，以及可用于确定是否识别和/或授权交易的任何其它信息。这些数据元可以存储在授权请求消息的任何合适的数据字段中。例如，交易金额可以存储在设置为零或正数的值数据字段中。在一些实施例中，授权请求消息的数据元(例如，格式)可以与认证请求消息的数据元相似或相同(但每个数据元/字段的值可以不同)。

“授权响应消息”可以是对授权请求消息的消息应答。授权响应消息可以例如由发行金融机构、支付处理网络、加密货币网络、支付处理器和/或自动清算所生成。授权响应消息可以包括例如以下状态指示符中的一个或多个：批准—交易被批准；拒绝—交易未被批准；或呼叫中心—响应未决的更多信息，商家必须呼叫免费授权电话号码。授权响应消息还可以包括授权代码，其可以是信用卡发行银行响应于电子消息中的授权请求消息(直接地或通过支付处理网络)返回给商家的访问装置(例如，POS设备)的指示交易被批准的代码。该代码可以用作授权的证据。如上所述，在一些实施例中，支付处理网络可向商家生成或转发授权响应消息。

“服务器计算机”通常是功能强大的计算机或计算机集群。例如，服务器计算机可以是大型主机、小型计算机集群或充当单元的一组服务器。在一个示例中，服务器计算机可以是耦合到网络服务器的数据库服务器。服务器计算机可以包括一个或多个计算装置，并且可以使用各种计算结构、布置和编译中的任一种来服务来自一个或多个客户端计算机的请求。

“处理器”可以包括任何合适的一个或多个数据计算装置。处理器可以包括一起工作以实现期望的功能的一个或多个微处理器。处理器可以包括CPU，所述CPU包括足以执行用于执行用户和/或系统生成的请求的程序组件的至少一个高速数据处理器。CPU可以是微处理器，例如，AMD的Athlon、Duron和/或Opteron；IBM和/或摩托罗拉(Motorola)的PowerPC；IBM的Cell处理器和索尼(Sony)的Cell处理器；英特尔(Intel)的Celeron、Itanium、Pentium、Xeon和/或XScale；和/或类似处理器。

“存储器”可以是可存储电子数据的任何合适的一个或多个装置。合适的存储器可以包括非瞬态计算机可读介质，其存储可由处理器执行以实现期望方法的指令。存储器的示例可以包括一个或多个存储器芯片、磁盘驱动器等。此类存储器可使用任何合适的电气、光学和/或磁性操作模式来操作。

“资源提供方”可以是在交易期间提供资源(例如，商品、服务、对安全数据的访问、对位置的访问等)的任何合适的实体。例如，资源提供实体可以是商家、场所运营商、公共交通运营商、建筑物所有者、政府实体等。“商家”可以是参与交易并且可以出售商品或服务或提供对商品或服务的取用的实体。

“资源提供方系统”可以包括资源提供方的一个或多个计算设备。一个或多个计算设备可以(例如，通过网络)通信地连接在一起以执行系统的操作。在一些示例中，资源提供方系统可以包括连接到资源提供方计算机的一个或多个访问装置。资源提供方计算机可以是服务器计算机。可以任何合适的方式确定形成资源提供方系统的计算设备(例如，访问装置、资源提供方计算机)的组成和分布。例如，资源提供方系统可以包括执行访问装置和资源提供方计算机的功能的单个计算装置。在一些情况下，资源提供方系统(例如，系统的访问装置)可以具有在硬件和/或软件中实施的安全元件。安全元件可以用于生成和/或验证密码、存储密码密钥等。

“认证数据”可以包括适于认证用户或装置的任何数据。认证数据可以从用户或用户操作的装置获得。从用户获得的认证数据的示例可以包括PIN(个人标识号)、生物测度数据、口令等。可以从装置获得的认证数据的示例可以包括装置序列号、便携式装置标识符、硬件安全元件标识符、装置指纹、电话号码、国际移动设备识别(IMEI)码、密码等。

“访问数据”可以包括可以用于访问资源或创建可以访问资源的数据的任何合适的数据。在一些实施例中，访问数据可以是支付账户的账户信息。账户信息可以包括访问标识符(例如，PAN(主账号))、支付令牌、到期日期、验证值(例如，CVV、CVV2、dCVV、dCVV2)等。在其它实施例中，访问数据可以是可用于激活账户数据的数据。例如，在一些情况下，账户信息可以存储在移动装置上，但是可以直到移动装置接收到特定信息才被激活。在其它实施例中，访问数据可以包括可用于访问位置的数据。此类访问数据可以是赛事的票证信息、用于访问建筑物的数据、运输票证信息等。在其它实施例中，访问数据可以包括用于获得对敏感数据的访问权的数据。访问数据的示例可以包括服务器计算机准予访问敏感数据所需要的代码或其它数据。

“访问标识符”可以包括用户用来获得对资源的访问权的标识符。访问标识符可以是发行方实体发放的原始凭证。访问标识符可以是任何合适的格式，例如字母数字字符、字母字符、数值、基于文本等。在一些情况下，访问标识符可以与单个用户的账户相关联。在其它情况下，访问标识符可以与例如可能共享账户的多个用户相关联。访问标识符的示例可以包括原始PAN或令牌(例如，支付令牌)。其它示例可以包括公共交通账号、建筑物访问标识符等。访问标识符还可以包括字段的组合，例如包括电子邮件地址或其他用户标识符。

“中间访问标识符”可以包括可以用作过程中的中间方的标识符。例如，中间访问标识符可以用作输入以生成密码。中间访问标识符可以是任何合适的格式，例如字母数字字符、字母字符、数值、基于文本等。在一些情况下，中间访问标识符可与单个用户或与例如可能共享账户的多个用户相关联。在一些实施例中，中间访问标识符可以能够用于进行交易。在其它实施例中，中间访问标识符可能无法用于进行交易。例如，中间访问标识符可以包括映射到访问标识符(例如，PAN)的虚拟PAN。在一些情况下，中间访问标识符长16、18、或19位并且可以类似真的PAN，但不可以用于进行交易。在其它情况下，例如，在中间访问标识符是支付令牌(或映射到支付令牌)的情况下，中间访问标识符可以用于进行交易。在一些情况下，中间访问标识符可以具有与其它标识符(例如，便携式装置标识符和/或访问标识符)不同的数据格式。在一些情况下，中间访问标识符可以由任何合适的实体发放(例如，许可)给另一实体。例如，收单方实体可以将银行识别码(BIN)(或一系列唯一的BIN)许可给服务提供方实体。每个被许可的BIN可以对应于中间访问标识符，所述中间访问标识符继而可以被分配给用户。中间访问标识符最初也可以与其它标识符无关，然后随后变得与一个或多个其它标识符(例如，便携式装置标识符和/或访问标识符)相关联。

“访问请求”可以包括访问资源的请求。资源可以是物理资源(例如，商品)、数字资源(例如，电子文档、电子数据等)或服务。在一些情况下，可以通过传送包括访问请求数据的访问请求消息(例如，授权请求消息)来提交访问请求。通常，与请求者相关联的装置可以将访问请求消息传送到与资源提供方相关联的装置。

“访问请求数据”可以包括关于访问请求或与访问请求相关的任何信息。访问请求数据可以包括访问数据。访问请求数据可以包括可用于处理和/或验证访问请求的信息。例如，访问请求数据可以包括：与参与处理访问请求的实体(例如，资源提供方计算机、处理器服务器计算机、授权计算机等)相关联的细节，例如访问标识符、令牌、实体标识符(例如，名称等)；与实体相关联的位置信息；和指示实体类型的信息(例如，类别代码)。示范性访问请求数据可以包括指示访问请求量、访问请求位置、接收到的资源(例如，产品、文档等)、关于接收到的资源的信息(例如，大小、量、类型等)、资源提供实体数据(例如，资源提供方数据、文档所有者数据等)、用户数据、访问请求的日期和时间、用于进行访问请求的方法(例如，接触式、非接触式等)的信息，以及其它相关信息。访问请求数据还可以被称为访问请求信息、交易数据、交易信息等。

“访问装置”可以是用于提供对外部计算机系统的访问的任何合适的装置。访问装置可以采用任何合适形式。访问装置的一些示例包括销售点(POS)装置、蜂窝电话、PDA、个人计算机(PC)、平板PC、手持式专用阅读器、机顶盒、电子收款机(ECR)、自动燃料分配器(AFD)、自动柜员机(ATM)、虚拟收款机(VCR)、查询一体机、安全系统、访问系统、网站等。访问装置可以使用任何合适的接触式或非接触式操作模式向移动装置发送或从其接收数据，或与移动装置相关联。在访问装置可以包括POS终端的一些实施例中，可使用任何合适的POS终端并且其可以包括读取器、处理器和计算机可读介质。读取器可以包括任何合适的接触式或非接触式操作模式。例如，示范性读卡器可以包括射频(RF)天线、光学扫描仪、条形码读取器或磁条读取器，以与移动装置进行交互。

“应用程序”可以是用于特定目的的计算机程序。应用程序的示例可以包括交通应用程序、安全数据访问应用程序、银行业务应用程序、数字钱包应用程序等。

“电子钱包”或“数字钱包”可以包括允许个人进行电子商务交易的电子装置。数字钱包可以存储用户简档信息、凭证、银行账户信息、一个或多个数字钱包标识符等，并且可以用于各种交易中，例如但不限于电子商务交易、社交网络交易、转账/个人支付交易、移动商务交易、邻近支付交易、游戏交易等。数字钱包可以设计为简化购买和支付过程。数字钱包可以允许用户将一个或多个支付卡加载到数字钱包上，以便进行支付而无需输入账号或出示实体卡。

“凭证”可以是充当价值、所有权、身份或权限的可靠证据的任何合适的信息。凭证可以是一串数字、字母或任何其它合适的字符，以及可用作确认的任何对象或文件。凭证的示例包括价值凭证、标识卡、认证文件、通行卡、口令和其它登录信息等。凭证的其它示例包括PAN(主账号)、PII(个人可识别信息)，例如姓名、地址和电话号码等。

“授权实体”可以是授权请求的实体，通常使用授权计算机来授权请求。授权实体可以是发行方、政府机构、文件存储库、访问管理员等。

“发行方”通常可以包括保持用户的账户的商业实体(例如，银行、数字货币交易所等)。发行方还可以向用户发放存储在用户装置或便携式装置(例如，蜂窝电话、智能卡、平板电脑或膝上型电脑)上的支付凭证。特定消费者账户的发行方可以确定是否批准或拒绝特定交易。如果交易获得批准(例如，消费者的账户有足够的可用余额并且满足授权或认证的其它标准)，发行方可以认证消费者并将资金释放给收单方。

“服务提供方”可以是可以通常通过服务提供方计算机提供例如商品、服务、信息和/或访问的资源的实体。服务提供方的示例包括商家、数字钱包、支付处理器等。

“令牌”可以是凭证的替代值。令牌可以是一串数字、字母或任何其它合适的字符。令牌的示例包括支付令牌、访问令牌、个人标识令牌等。

“支付令牌”可以包括替代诸如主账号(PAN)的访问标识符的支付账户的标识符。例如，令牌可以包括可以用作原始账户标识符的替代的一系列字母数字字符。例如，令牌“4900 0000 0000 0001”可以用于代替PAN“4147 0900 0000 1234”。在一些实施例中，令牌可以是“保持格式的”，并可以具有与现有交易处理网络中使用的账户标识符一致的数字格式(例如ISO 8583金融交易消息格式)。在一些实施例中，令牌可以代替PAN用来发起、授权、处理或解决支付交易，或者在通常将提供原始凭证的其它系统中表示原始凭证。在一些实施例中，可生成令牌值，使得可能无法以计算方式从令牌值得到原始PAN或其它账户标识符的恢复。此外，在一些实施例中，令牌格式可以被配置成允许接收令牌的实体将其标识为令牌，并识别发行令牌的实体。

“密钥”可以包括在密码算法中用于将数据变换成另一表示的一条信息。密码算法可以是将原始数据变换成替代表示的加密算法，或将加密信息变换回到原始数据的解密算法。密码算法的示例可以包括三重数据加密标准(TDES)、数据加密标准(DES)、高级加密标准(AES)，RSA不对称加密等。“加密密钥”可以包括适合于用密码加密数据的任何数据值或其它信息。“解密密钥”可以包括适于对加密数据进行解密的任何数据值或其它信息。在一些情况下，用于加密数据的同一密钥可以可操作以解密数据。这种密钥可以被称为对称加密密钥。

“唯一导出密钥”(UDK)可以包括用来加密或解密待被安全传送的数据的任何密钥。在一些情况下，UDK可以从发送实体和接收实体两者都知道的共享秘密生成。在一些情况下，共享秘密可以是主导出密钥(MDK)，其接着用于导出UDK。例如，可以使用密钥导出函数(KDF)和输入到KDF的一个或多个密钥导出参数从MDK导出UDK。一个或多个密钥导出参数可以包括例如静态数据元(例如，访问标识符、便携式装置标识符等)和/或动态数据元(例如，随机生成的数字、应用交易计数器(ATC)等)。密钥导出参数还可以包括例如用于由KDF组合数据元以生成UDK的指令(或算法)。在一些情况下，UDK可以对应于可以用来生成密码的密码密钥。在一些情况下，UDK可以对应于使用受限密钥(LUK)，而在其它情况下，UDK可以对应于一次使用密钥(SUK)。

“使用受限密钥(LUK)”可以包括可以被使用有限次数的任何加密密钥或其他数据。LUK可以用于任何适当目的。例如，在一些实施例中，LUK可以用来生成用于交易的密码。

“一次使用密钥(SUK)”是只能够被使用一次的LUK。例如，SUK可以用来加密和/或解密与单次交易有关的数据。在一些实施例中，SUK可以从LUK导出。

“密码”可以包括用来认证诸如装置或用户的实体的任何数据元或其他信息。例如，密码可以包括静态(例如预定的)数据、动态数据或使用加密密钥(例如LUK)加密的静态和动态数据的组合。密码可以用在任何适当的上下文中。例如，密码可以用来认证由实体(例如，发行方、成员组织等)发放的便携式装置。在一些实施例中，密码也可以在交易处理阶段期间使用(例如，以验证访问卡)。在一些示例中，密码可以用于认证分别对应于多于一个实体的多于一个凭证(例如，访问标识符和便携式装置标识符)。

“证书机构”(CA)可以是颁发和/或管理数字证书的实体。数字证书可以证明证书的指定主体对公钥的所有权。证书机构可以充当可信第三方，该可信第三方被证书的主体和依赖于该证书的一方所信任。

“公钥基础设施”(PKI)可以是创建、管理、分发、使用、存储和/或撤销数字证书和管理公钥加密所需的角色、策略、硬件、软件和程序的集合。PKI可以包括一个或多个实体，包括例如证书机构、注册机构、中央目录、证书管理系统和证书策略。PKI可以(例如，使用X.509标准)管理用于验证特定公钥属于某个实体的数字证书。例如，访问装置可以使用PKI来验证可用于验证从便携式装置接收的密码(例如，数字签名)的公共验证密钥是与便携式装置的发行方相关联的有效公共验证密钥。

图1A和1B分别描绘了根据本发明的实施例的交易的授权过程的不同阶段。图1A示出了描绘授权过程的认证阶段的系统图和方法，而图2A示出了描绘成功完成认证阶段之后的授权过程的交易处理阶段的系统图和方法。

转到图1A，描绘了用于认证便携式装置的系统100的框图。系统100包括便携式装置102、访问装置104、资源提供方计算机106、处理计算机108、硬件安全模块110和资源提供方数据库112。便携式装置102包含密码生成模块102A，其可以用于生成密码以用于认证便携式装置102。

在一些实施例中，图1A和1B的每个元件可以通过任何合适的通信信道或通信网络彼此可操作地通信。合适的通信网络可以是以下各项中的任一者和/或组合：直接互连、因特网、局域网(LAN)、城域网(MAN)、作为因特网上的节点的运行任务(OMNI)、安全定制连接、广域网(WAN)、无线网络(例如，采用协议诸如但不限于无线应用协议(WAP)、I-模式等)等等。计算机、网络与装置之间的消息可以使用安全通信协议来传送，这些安全通信协议诸如，但不限于，文件传送协议(FTP)；超文本传送协议(HTTP)；安全超文本传送协议(HTTPS)、安全套接层(SSL)、ISO(例如，ISO 8583)等。而且，在一些实施例中，便携式装置102可以通过非接触式通信与访问装置104和/或资源提供方计算机106可操作地通信。

在一些实施例中，便携式装置102可以对应于任何合适的装置(例如，密钥卡或移动电话)。例如，考虑资源提供方是向订阅该组织的成员提供服务和/或商品的零售组织的情况。便携式装置102可以对应于物理装置，例如提供给零售组织的成员以用于执行交易的密钥卡。便携式装置102可以包括密码生成模块102A，其可以用于生成密码，下文参考图3进一步论述。在一些实施例中，密码生成模块102A可以在便携式装置102的安全元件内执行。在其它实施例中，密码生成模块102A可以与便携式装置102是否具有安全元件无关地生成密码。在一些实施例中，便携式装置102可以对应于移动电话。在这种情形下，零售组织可以将便携式装置标识符(和/或相关联令牌)提供至便携式装置102以用于执行本公开的实施例，而不是将实际硬件装置提供给用户。例如，令牌可以由手机上的数字钱包应用程序存储，并且用于生成密码以认证移动电话。

在一些实施例中，访问装置104和资源提供方计算机106可以是资源提供方的资源提供方系统的部件。继续上述示例，零售组织的服务之一可以包括向希望在燃料分配器(例如，AFD)处为其车辆服务的成员提供燃料。在这种情形下，每个AFD可以对应于图1的访问装置104。另外，每个AFD可以(例如，通过公共或专用网络)连接到服务器计算机，所述服务器计算机位于与AFD不同的位置(例如，组织的总部)，并且可以对应于资源提供方计算机106。在一些实施例中，资源提供方计算机106和访问装置104的功能可以包括在对应于资源提供方系统的单个计算单元内。例如，资源提供方计算机106可以存储在小型杂货店的本地，并且还可以提供访问装置104的功能。如本文所述，尽管特定功能归于访问装置104(例如，图4)或资源提供方106(例如，图5)，但应当理解，至少部分地基于合适的上下文，这些功能中的一个或多个可以由这些装置中的任一个或两个执行。

在一些实施例中，资源提供方系统的访问装置104可以从便携式装置102接收密码。在一些实施例中，访问装置104可以在本地(例如，在安全元件内)验证密码。在其它实施例中，访问装置104(例如，经由资源提供方计算机106)可以在认证请求消息内将密码连同一个或多个数据元一起传送到处理计算机108以进行验证。处理计算机108可以是作为支付处理网络的一部分的服务器计算机。在一些实施例中，作为认证阶段的一部分，处理计算机108可以执行密码验证并认证便携式装置102。如图1中所示，处理计算机108可以连接到硬件安全模块110，所述硬件安全模块可以充当执行密码验证的安全元件。在验证密码之后，处理计算机108可以将认证响应消息返回到资源提供方计算机106。认证响应消息可以包含认证响应指示符，所述认证响应指示符指示认证成功(或者在验证不成功的情况下，指示认证被拒绝)。在一些实施例中，认证响应消息还可以包括充当认证的证据的代码。

在一些实施例中，资源提供方数据库112可以是连接到资源提供方计算机106的数据库服务器。在一些实施例中，资源提供方数据库112可以直接耦合到资源提供方计算机106和/或耦合到Web服务器。资源提供方数据库112可以将一个或多个数据元之间的映射存储在数据库中。例如，资源提供方数据库112可以存储便携式装置标识符(例如，成员ID)、访问标识符、中间访问标识符和/或任何其它合适的标识符或凭证之间的映射。如下所述，这些映射可以用于执行认证过程和交易处理阶段。

转向图1B，示出了描绘交易处理阶段的系统100的框图。图1B中的系统100包括访问装置104、资源提供方计算机106、传输计算机114、处理计算机108、资源提供方数据库112和授权计算机116。虽然图1B中未描绘图1A中的一些元件(例如，便携式装置102、硬件安全模块110)，但应理解，这仅是为了说明清楚(例如，以描绘正在给定阶段内使用的元件)。包括两个阶段的授权过程可以实时发生，因此，所有元件都可以在授权过程期间存在。

如图1B所示且在完成图1A的认证阶段之后，资源提供方计算机106可以从资源提供方数据库112检索访问标识符，以将其包括在授权请求消息中。在一系列消息传输中，可以将授权请求消息发送至向用户提供访问标识符的发行方的授权计算机116。在图1B中所示的实施例中，可以将授权请求消息传送至传输计算机114，该传输计算机可以与资源提供方的收单方(例如，银行)相关联。传输计算机114还可以将授权请求消息传送至(例如，与收单方相关联的支付处理网络的)处理计算机108。处理计算机108可以进一步将授权请求消息(例如，第二授权请求消息)传送至授权计算机116，所述授权计算机可以至少部分地基于访问标识符对交易进行授权。在一些实施例中，除了访问标识符(例如，交易信息)之外，授权请求消息还可以包含其它数据元。在一些实施例中，授权请求消息可以被加密。在授权后，授权计算机116可以将授权响应消息传送至资源提供方系统(例如，访问装置104)。在授权成功后，可以执行交易。

在讨论图1A和1B中所描绘的相应方法之前，对系统的部件的更详细描述可能有助于理解本发明的实施例。

图2示出了根据本发明的实施例的系统的便携式装置102的框图。在一些实施例中，便携式装置102可以是可用于进行支付的通信装置(例如，移动电话或密钥卡)或可允许用户获得对某一位置的访问权的装置。示范性便携式装置102可以包括可以存在于移动装置102的主体250内的计算机可读介质240和存储器210。主体250可以呈塑料基板、外壳或其它结构的形式。在一些情况下，存储器210可以是安全元件，和/或还可以存储诸如访问数据的信息，该访问数据诸如是访问标识符(例如，PAN)、中间访问标识符、便携式装置标识符、票证等。存储器102-C中的信息可以由便携式装置102使用天线(未示出)或非接触式元件220传送到另一装置。

在一些实施例中，非接触式元件220可以具有相关联的无线传递(例如，数据传输)元件的半导体芯片(或其它数据存储元件)的形式实施，所述无线传递元件例如是天线。经由蜂窝网络传送的数据或控制指令可以借助于非接触式元件接口(未示出)应用于非接触式元件220。非接触式元件220可以能够使用短程无线通信能力(例如，近场通信、蓝牙技术)传输和接收数据。因此，便携式装置102可以能够经由蜂窝网络(或任何其它合适的无线网络，例如因特网或其它数据网络)和短程通信两者来传送和传输数据或控制指令。

便携式装置102还可以包括处理器230(例如，微处理器)，以用于处理便携式装置102的功能。在一些实施例中，例如，在移动电话的情况下，便携式装置102可以包括用以允许用户查看信息的显示器。便携式装置102还可以包括输入元件(例如，触摸屏、键盘、触控板、诸如生物测度传感器的传感器等)、扬声器和麦克风。

计算机可读介质240可以包括一个或多个模块，所述一个或多个模块可由处理器执行以实施根据实施例的方法。密码生成模块240A可以包括使处理器生成密码的代码。在一些实施例中，可以在便携式装置102的安全元件内执行密码生成模块240A的一些部分或全部。例如，安全元件可以存储一个或多个密码密钥，以用于生成密码。安全元件也可以用于生成密码。在一些实施例中，密码生成模块240A可以类似于图1A中的密码生成模块102A。

在一些实施例中，可以如图3所示执行密码生成模块240A的功能。图3示出了根据一个实施例的便携式装置102生成密码的过程的流程图。尽管下文在便携式装置102生成密码的上下文中描述了生成密码的处理，但应理解，系统的其它装置可以利用类似过程来生成密码。例如，处理计算机108可以使用可以用来验证便携式装置102生成的密码的类似过程来生成密码。还应当理解，尽管图3的密码生成过程描述了生成密码的一个实施例，但是可以使用任何合适的方法来生成密码。例如，可以按照EMV(Europay-MasterCard-Visa)4.3，《支付系统的集成电路卡规范(Integrated Circuit Card Specifications forPayment Systems)》第2册第8节中所述来生成密码。

在一些实施例中，密码生成过程300可以开始于便携式装置102使用便携式装置102上的第一密码密钥(例如，第一加密密钥302)，使用加密函数306加密静态数据元304来生成第二加密密钥308。在一些实施例中，第一加密密钥302可以对应于主导出密钥。第一加密密钥302可以是在便携式装置102和处理计算机108(例如，如果访问装置104执行密码的验证，则和/或潜在地也在访问装置104)处保持的共享秘密密钥。在一些实施例中，第一加密密钥302可以由发行方、收单方或与资源提供方相关联的其它金融机构提供。

在一些实施例中，第一加密密钥302可以与一定范围的PAN相关联。例如，一定范围的PAN可以由资源提供方从相关联实体(例如，收单方银行)获得许可。收单方银行可以具有包括在收单方银行发放的PAN内的唯一BIN，因此，PAN的许可范围在其他资源提供方中可以是唯一的。在一些实施例中，这些PAN可以是中间访问标识符(例如，虚拟PAN)，其不可操作以用于直接进行交易，而是可以用于促进密码验证过程。例如，资源提供方可能已经与支付处理网络具有预先存在的关系，由此支付处理网络处理针对资源提供方的交易。另外，支付处理网络可能已经具有用于使用与发卡银行的用户账户相关联的访问标识符(例如，PAN)生成密码的现有基础设施。这些密码可以用来例如认证访问卡。然而，在一些实施例中，便携式装置102的认证可能不需要发行方参与该过程，因为便携式装置102可以独立于用户在发卡银行的账户而(例如，由资源提供方)提供给用户。因此，资源提供方可以许可具有与访问标识符相同的数据格式(例如，16位数PAN)但以其他方式与发卡银行无关的一定范围的中间访问标识符，由此现有基础设施可以用于便携式装置102的密码生成和认证。以此方式，支付处理网络(例如，处理计算机108)可以执行“替身”处理(STIP)以通过验证密码来认证便携式装置，而不需要涉及发卡银行的消息交换。如上所述，这可能使得在处理器资源、网络带宽利用率和整体交易处理效率方面显著地提高效率。在一些实施例中，资源提供方提供给用户的每个便携式装置102可以与资源提供方许可的中间访问标识符相关联。应当理解，尽管本文中描述的实施例将访问标识符和/或中间访问标识符描述为具有PAN格式，但本公开的实施例不应被解释为如此限制性。还应理解，在一些实施例中，中间访问标识符可以用于进行交易。例如，中间访问标识符可以是与访问标识符(例如，PAN)相关联的支付令牌。支付令牌可以由第三方(例如，支付处理网络的处理计算机108)代表发行方(例如，授权计算机116)颁发和/或管理。在此示例中，中间访问标识符可以适合既用于对要在认证阶段期间验证的密码进行替身验证，又用于在交易处理阶段期间对交易进行替身授权。

在一些实施例中，静态数据元304可以包括存储在便携式装置102上(例如，安全元件和/或存储器210内)的信息，例如，中间访问标识符(例如，如上所述的虚拟PAN)、便携式装置标识符和/或应用程序交换配置文件(AIP)。应当理解，静态数据元304中的一个或多个可以对应于Visa集成电路卡规范(VIS)的特定密码版本号(CVN)(例如，编号18)的数据元。在一些实施例中，便携式装置标识符可以具有与中间访问标识符和/或访问标识符不同的数据格式。例如，便携式装置标识符可以是由资源提供方确定的10位数数值。便携式装置标识符可以由资源提供方在内部管理，并且可以被标注为发行方应用程序数据(IAD)。在一些实施例中，静态数据元304还可以包括用户账户识别信息，例如令牌或访问标识符。在一些实施例中，静态数据元304可以包括便携式装置102从访问装置104接收的用于生成密码的信息，包括但不限于交易金额、终端国家代码、终端验证结果(TVR)、交易货币代码、交易数据、交易类型、不可预测(例如，随机)数字等。在一些实施例中，由于在通过密码认证便携式装置时没有执行实际交易，所以静态数据元304中的一个或多个可以具有设置为零或空的值数据字段(例如，交易金额)。

在一些实施例中，静态数据元304可以充当密钥导出参数，并且可以用作加密函数306的输入。加密函数306可以用作密钥导出函数，以用于生成第二加密密钥308(例如，唯一导出密钥)。例如，中间访问标识符(例如，与便携式装置102相关联并存储在其上)可以对应于输入到加密函数306的密钥导出参数。在一些实施例中，静态数据元304的任何合适布置都可以用作密钥导出函数的输入。例如，中间访问标识符可以与其它账户识别信息和/或用户识别信息级联。在一些实施例中，可以将级联的倒置版本输入到密钥导出函数。

在一些实施例中，从静态数据元304生成的第二加密密钥308可以包括均由静态数据元304的不同变型生成的多个部分。例如，第二加密密钥308可以分为两个部分。第二加密密钥308的第一部分可以通过使用第一加密密钥302加密静态数据元304来生成。第二加密密钥308的第二部分可以通过使静态数据元304倒置并使用第一加密密钥302加密倒置信息来生成。用于生成第二加密密钥308的加密函数306可以是例如三重数据加密标准(TDES)或其他合适的加密算法，且可以使用二进制零的初始链式矢量(chaining vector)。如上所述，在一些实施例中，从静态数据元304生成的第二加密密钥308可以对应于账户的唯一导出密钥。

在一些实施例中，密码生成过程300可以通过输入待使用加密函数314使用第二加密密钥308加密的至少两个动态数据元310、312而继续。用于生成密码316的加密函数314可以是例如三重数据加密标准(TDES)或其他合适的加密算法。通过使用至少两个(或更多)动态数据元来创建密码，盗用者(skimmer)可以确定密码的可能性极低。在一些实施例中，动态数据元的示例可以包括应用程序交易计数器(ATC)(例如，来自便携式装置102的输入)、从访问装置104接收的动态数据元(例如，随机数)、一天中的时间等。动态数据元在这样的意义上是动态的：它们频繁变化，例如随着每笔交易或几乎每笔交易，或以频繁的时间间隔(例如，每天或每几天)频繁变化。应当理解，尽管在一些示范性实施例中，使用至少两个动态数据元作为输入以形成密码，但在一些实施例中，可以仅使用一个动态数据元作为输入。

在一些实施例中，静态数据元318(例如，预定长度的数字串)也可以用作加密函数314的输入。在一些实施例中，静态数据元318可以从上文参考静态数据元304(例如，便携式装置标识符)描述的一个或多个元生成。在示例中，可以通过将第一动态数据元310(例如，ATC)与便携式装置标识符的最左边数字级联来生成静态数据元318。此数字串可进一步在右侧与第二动态数据元312(例如，从访问装置104接收的随机产生的数字)级联以产生级联值。如果必要，在级联值的右侧级联填充字符，以形成具有预定固定长度的数字串。此数字串可以通过使用第二加密密钥308由加密函数314加密。在一些实施例中，此数字串可以二等分成两个块。而且，在一些实施例中，加密/解密函数314可以进一步涵盖一系列子步骤(未示出)。在这些子步骤中，由二等分数字串所得的两个块可以各自使用分割的第二加密密钥308的一个或两个部分加密和/或解密，和/或与所得块进行异或(XOR)。在一些实施例中，一个或多个子步骤还可以包括例如根据密钥导出参数截断来自数字串的一个或多个数字。此系列子步骤可以产生密码316。

图4示出了根据本发明的实施例的资源提供方系统的访问装置104的框图400。访问装置104可以包括处理器402，所述处理器可以耦合到系统存储器404和外部通信接口406。计算机可读介质408也可以可操作地耦合到处理器402。

计算机可读介质408可以包括数个模块，包括通信模块408A、加密模块408B和认证模块408C。

通信模块408A可以包括代码，所述代码使处理器402产生消息、转发消息、重新格式化消息和/或以其他方式与其他实体通信。例如，通信模块408A可以负责与便携式装置102通信，包括传送可以由便携式装置102用于生成密码的数据元。另外，通信模块408A可以负责从资源提供方计算机106传送和/或接收消息(例如，传送认证请求消息，接收授权响应消息)。

在本发明的实施例中，加密模块408B可以包括代码，所述代码包括用于加密数据的任何合适的加密算法。合适的数据加密算法可以包括DES、三重DES、AES等。其还可以存储加密密钥，这些加密密钥可以与此类加密算法一起使用。加密模块408B可以利用对称或不对称加密技术来加密和/或验证数据。在一些实施例中，加密模块408B的一个或多个部件可以存储在访问装置的安全元件内和/或在其内执行。在一些实施例中，可以调用加密模块408B来加密/解密消息。例如，加密模块408B可以加密传送至资源提供方计算机106的认证请求消息的元，包括例如便携式装置标识符、中间访问标识符等。在一些实施例中，例如，当生成密码以与从便携式装置102接收的密码进行比较时，加密模块408B还可以用于执行在生成密码中使用的一种或多种加密函数(例如，加密/解密函数306、314)。在一些实施例中，加密模块408B还可以用于解密消息(例如，认证响应消息、授权响应消息)。在一些实施例中，加密模块408B可以用于与证书机构通信以接收一个或多个数字证书。数字证书可以认证证书的指定主体(例如，支付处理网络、资源提供方或其它合适的实体)对公钥(例如，公共验证密钥)的所有权。

认证模块408C可以包括根据本发明的实施例的执行密码的验证的代码。在一些实施例中，例如，在处理计算机108负责生成密码并代表资源提供方系统执行验证的情况下，认证模块408C可以在从便携式装置102接收到密码后将认证请求消息传送至另一计算机(例如，传送至资源提供方计算机106)。认证请求消息可以包含密码和一个或多个其它数据元。在非限制性示例中，数据元可以包含便携式装置标识符、中间访问标识符和从便携式装置接收的ATC。数据元还可以包含其它交易相关信息(例如，交易金额等)。在一些实施例中，即使每个数据字段的值可能不同，认证请求消息也可以利用相似或相同数据字段作为用于交易处理的后续授权请求消息(下文进一步描述)。例如，认证请求消息可以包括中间访问标识符(例如，虚拟PAN)，而后续授权请求消息可以包括访问标识符(例如，与支付账户相关联的PAN)。而且，认证请求消息中的交易金额可以是零值，而后续授权请求消息中的交易金额可以是非零金额。以此方式，如上所述，本公开的实施例可以利用现有基础设施来执行授权过程。例如，虽然常规技术可以利用授权请求消息的数据格式来授权交易(例如，执行交易处理阶段)，但本公开的实施例也可以利用授权请求消息的数据格式来(例如，在认证阶段期间)验证便携式装置。对于两个不同阶段，这种利用相同消息格式还提供了促进更有效的授权过程的技术优势。例如，通常可以处理支付交易的支付处理网络的处理计算机108也可以用于认证便携式装置。在一些情况下，这可以减少被传送的消息的数量，这可以在大量交易中实现处理资源和/或网络带宽利用率的显著累计节省。

在一些实施例中，例如，在访问装置104配备成生成密码(例如，包含具有密码密钥的硬件安全模块)的情况下，认证模块408C可以执行与参考图3所述的那些基本类似的操作。例如，认证模块408C可以从便携式装置102接收密码以及一个或多个数据元(例如，便携式装置标识符、中间访问标识符、ATC等)。在一些实施例中，认证模块408C接着可以使用所接收的数据元生成密码，而不是将密码和其它数据元发送至另一装置进行验证。在访问装置104生成密码的实施例中，访问装置104可以存储主导出密钥，所述主导出密钥用于经由密钥导出参数生成唯一导出密钥，如上文所述。主导出密钥可以由合适的实体，例如支付处理网络确定，并存储在硬件安全模块中。一旦生成密码(例如，“第二密码”)，就可以将第二密码与便携式装置102生成的密码进行比较，以(例如，执行逐位比较)确定它们是否匹配。在完成验证后，认证模块408C可以向资源提供方计算机106返回认证响应消息(例如，包括授权响应指示符)。

在一些实施例中，认证模块408C可以在不接触处理计算机108且不需要生成密码的情况下验证密码。例如，认证模块408C可以从便携式装置102接收可以对应于数字签名的密码。认证模块408C还可以接收一个或多个数据元(例如，便携式装置标识符)。认证模块408C接着可以利用公钥基础设施来验证数字签名。例如，认证模块408C可以利用加密模块408B通过使用公共验证密钥来确定便携式装置标识符的散列。公共验证密钥可能先前已被合适的实体(例如，可信证书机构)接收。认证模块408C接着可以通过例如通过执行逐位比较来确定所确定的(例如，计算出的)散列是否与数字签名匹配，来验证密码。

图5示出了根据本发明的实施例的资源提供方系统的资源提供方计算机106的框图500。资源提供方计算机106可以包括处理器502，其可以耦合到系统存储器504和外部通信接口506。计算机可读介质508也可以可操作地耦合到处理器502。

资源提供方计算机106可以耦合到资源提供方数据库112，由此资源提供方计算机106存储标识符之间的映射。例如，数据库可以存储便携式装置标识符(例如，成员ID)、访问标识符和中间访问标识符中的一者或多者之间的映射。在一些实施例中，如下所述，这些映射可以在认证阶段之前的“设置阶段”内确定。例如，资源提供方可以将成员ID分配给用户。资源提供方随后可以将便携式装置提供给用户，然后将成员ID分配为便携式装置的便携式装置标识符的值。在一些实施例中，便携式装置标识符可以存储在便携式装置上的安全元件中。如上所述，资源提供方还可以获得中间访问标识符(例如，虚拟PAN)，并将中间访问标识符分配给便携式装置(例如，存储在安全元件中)。一旦用户接收到便携式装置102，用户可以将其支付凭证(例如，诸如PAN的访问标识符)与其成员账户相关联，使得支付凭证在资源提供方“存档(on-file)”，从而存储在数据库112中。这可以例如亲自、通过电话或在资源提供方的网站上完成。以此方式，设置阶段可以有助于实现一步授权过程。

计算机可读介质508可以包括数个模块，包括通信模块508A、加密模块508B、认证模块508C和授权模块508D。

通信模块508A可以包括代码，所述代码使处理器502产生消息、转发消息、重新格式化消息和/或以其他方式与其他实体通信。例如，通信模块508A可以负责与访问装置104通信，包括接收认证请求消息和/或认证响应消息、传送授权响应消息等。通信模块508A还可以从处理计算机108传送/接收消息，如下文进一步描述。

在本发明的实施例中，加密模块508B可以包括代码，所述代码包括用于加密数据的任何合适的加密算法。合适的数据加密算法可以包括DES、三重DES、AES等。其还可以存储加密密钥，这些加密密钥可以与此类加密算法一起使用。加密模块508B可以利用对称或不对称加密技术来加密和/或验证数据。在一些实施例中，可以调用加密模块508B来加密/解密消息。例如，加密模块508B可以加密传送至处理计算机108的认证请求消息的元，包括例如便携式装置标识符、中间访问标识符等。在一些实施例中，加密模块508B还可以用于解密消息(例如，认证响应消息、授权响应消息)。

认证模块508C可以包括根据本发明的实施例的执行密码的验证的代码。在一些实施例中，此模块用作接收密码以及一个或多个数据元，然后将它们传送至处理计算机108以进行验证的渠道。在一些实施例中，认证模块508C可以另外将其它元发送至处理计算机108以进行验证(例如，与便携式装置标识符相关联的访问标识符)。在一些实施例中，在从处理计算机108接收到认证响应消息(例如，验证密码验证成功的认证代码或指示符)后，认证模块508C可以使用便携式装置标识符(例如，成员ID)从资源提供方数据库112检索用户的成员账户信息。认证模块508C接着可以验证用户账户符合资源提供方系统的一个或多个规则(例如，验证成员特权尚未失效)。在一些实施例中，在将密码发送至处理计算机108以进行验证之前，资源提供方计算机106可以对用户在资源提供方的账户执行验证。例如，资源提供方计算机106可以从访问装置104接收密码以及便携式装置标识符，并且在重新传送密码以进行验证之前，可以使用便携式装置标识符来查找用户的账户信息。在验证在资源提供方的账户信誉良好后，资源提供方计算机106可以重新传送密码，以便由处理计算机108认证便携式装置。

授权模块508D可以包括执行授权过程的交易处理阶段的一部分的代码。在一些实施例中，在(例如，从访问装置104或处理计算机108)接收到确认成功验证了密码的认证响应指示符后，授权模块508D可以发起存档卡交易。例如，授权模块508D可以利用便携式装置标识符(或其它会话标识符)来检索用户的支付凭证(例如，诸如PAN的访问标识符、到期日期和其它相关交易信息)。授权模块508D可以接着生成包括访问标识符的授权请求消息，然后将授权请求消息传送至处理计算机108。在一些实施例中，授权请求消息可以包括与参考图3的静态数据元304所述相似的元(例如，交易金额、终端国家代码、终端验证结果(TVR)、交易货币代码、交易数据、交易类型、不可预测(例如，随机)数字等)。在一些实施例中，授权请求消息可以包括认证指示符(例如，用作认证的证据的代码)，所述认证指示符可以由处理计算机108和/或116授权计算机116用于执行交易的授权。在授权成功后，授权模块508D可以接收包括授权响应指示符的授权响应消息。在一些实施例中，授权模块508D还可以将授权响应指示符传送到访问装置104(例如，AFD)，该访问装置继而可以向用户提供资源(例如，解锁燃料分配器)。

在一些实施例中，作为交易处理阶段的一部分，可以传送和/或接收一个或多个授权请求消息。例如，在用户请求为其车辆购买燃料的情况下。用户可能事先不知道他们需要购买多少燃料。因此，在认证便携式装置之后，可以将预授权请求消息(例如，一种类型的授权请求消息)传送至处理计算机108以进行预授权。预授权请求消息还可以包括对应于用户在支付卡发行方的账户的访问标识符。然而，可以将与交易金额对应的值数据字段设置为零。随后，在从处理计算机108接收到预授权响应消息并确定最终交易金额之后，可以传送包含实际交易金额(即，非零数字)的第二授权请求消息以进行授权。

应当理解，在从便携式装置接收到初始密码之后，授权模块508D的操作可以不需要来自便携式装置的任何进一步输入。以此方式，本公开的实施例可以减少用户为执行交易而采取的步骤的数量。如上所述，这可以提高处理交易的效率，并且还可以通过利用密码来认证便携式装置(例如，而不是用户在潜在开放空间中输入凭证)来提高安全性。

图6示出了根据本发明的实施例的系统的处理计算机108的框图。处理计算机108可以包括处理器602，其可以耦合到系统存储器604和外部通信接口606。计算机可读介质608也可以可操作地耦合到处理器602。

计算机可读介质608可以包括数个模块，包括通信模块608A、加密模块608B、认证模块608C和授权模块608D。

通信模块608A可以包括代码，所述代码使处理器602产生消息、转发消息、重新格式化消息和/或以其他方式与其他实体通信。例如，通信模块608A可以负责与资源提供方计算机106通信，包括接收认证请求消息和/或授权请求消息。在其它示例中，通信模块608A可以负责处理计算机108与授权计算机116之间的通信。

在本发明的实施例中，加密模块608B可以包括代码，所述代码包括用于加密数据的任何合适的加密算法。合适的数据加密算法可以包括DES、三重DES、AES等。其还可以存储加密密钥，这些加密密钥可以与此类加密算法一起使用。加密模块608B可以利用对称或不对称加密技术来加密和/或验证数据。在一些实施例中，加密模块608B的一个或多个部件可以存储在处理计算机108的安全元件内和/或在其内执行。例如，安全元件可以至少部分地由连接到处理计算机108的硬件安全模块110实施。在一些实施例中，可以调用加密模块608B来加密/解密消息。例如，加密模块608B可以解密传送至处理计算机108的认证请求消息的元，包括例如便携式装置标识符、中间访问标识符等。在一些实施例中，例如，当生成第二密码以与便携式装置102生成的密码进行比较时，加密模块608B还可以用于执行在生成密码中使用的一种或多种加密函数(例如，加密/解密函数306、314)。在一些实施例中，加密模块608B还可以用于加密/解密从授权计算机116发送和/或接收的消息(或消息的元)(例如，授权请求消息)。

认证模块608C可以包括根据本发明的实施例的执行密码的验证的代码。在一些实施例中，在处理计算机108负责生成密码并代表资源提供方系统执行验证的情况下，认证模块608C可以从资源提供方计算机106接收认证请求消息。认证模块608C可以接着执行与参考图3所述的那些基本类似的操作。例如，认证模块408C可以从便携式装置102接收密码以及一个或多个数据元(例如，便携式装置标识符、中间访问标识符、ATC等)。在一些实施例中，处理计算机108可能在授权过程之前已经接收到一个或多个数据元。例如，资源提供方计算机106可以传送便携式装置标识符与中间访问标识符之间的映射，并且处理计算机108可以在授权过程之前存储所述映射。在该示例中，授权请求消息可以包含便携式装置标识符而没有中间访问标识符，然后处理计算机108可以使用该便携式装置标识符来(例如，从处理计算机的数据库)检索中间访问标识符，以进行输入以生成密码。在一些实施例中，一旦处理计算机108接收到所需的数据元，认证模块608C接着就可以生成密码。在实施例中，处理计算机108可以存储主导出密钥，所述主导出密钥用于经由密钥导出参数生成唯一导出密钥，如上所述。主导出密钥可以由诸如支付处理网络的合适实体确定，并且存储在安全元件(例如，硬件安全模块110)中。一旦生成密码(例如，“第二密码”)，就可以将第二密码与便携式装置102生成的密码进行比较，以(例如，执行逐位比较)确定它们是否匹配。在完成验证后，认证模块408C可以向资源提供方计算机106返回认证响应消息(例如，包括授权响应指示符)。

授权模块608D可以包括执行授权过程的交易处理阶段的一部分的代码。在一些实施例中，授权模块608D可以从资源提供方系统(例如，资源提供方计算机106)接收授权请求消息。在一些实施例中，授权请求消息可以至少包含访问标识符，所述访问标识符与由(例如，与授权计算机116相关联的)发行方实体代表用户保持的账户(例如，借记账户)相关联。在一些实施例中，授权请求消息可以包含其他元。例如，如参考资源提供方计算机106的授权模块508D所述，授权请求消息还可以包括授权代码或指示符，该授权代码或指示符用作在认证阶段期间执行的便携式装置的先前认证的证据。在接收到授权请求消息后，授权模块608D可以将第二授权请求消息传送至授权计算机116。在一些实施例中，第二授权请求消息可以包括来自从资源提供方计算机106接收的授权请求消息的附加(和/或修改的元)。例如，处理计算机108可以使用访问标识符执行一次或多次核实(例如，基于使用该访问标识符的先前交易确定欺诈风险)。在将第二授权消息传送到授权计算机116之后，处理计算机108可以从授权计算机116接收包含授权响应指示符的授权响应消息，所述授权响应指示符可以用作授权的证据。处理计算机108可以接着将包括授权响应指示符的第二授权响应消息传送到资源提供方系统。如上所述，在一些实施例中，处理计算机108还可以对资源提供方106执行“替身”处理以授权交易(例如，支付交易)。例如，发行方(例如，授权计算机116)可以将包括交易的授权的任务委托给处理计算机108，使得处理计算机108能够代表发行方授权交易。例如，处理计算机108可以发放和/或管理分别映射到由发行方发放的访问标识符的支付令牌，并且从而执行支付令牌的替身处理以授权交易。因此，应当理解，处理计算机108可以被配备成针对授权过程的任一个或两个阶段执行替身处理。

现在继续参考图1A和1B并且如上所述，每幅图分别描绘了一种用于执行本发明的实施例的方法。图1A示出了描绘授权过程的认证阶段的方法，而图2A示出了描绘在完成认证阶段之后的授权过程的交易处理阶段的方法。在这两个阶段之前，(例如，与资源提供方计算机106相关联的)资源提供方可能已经向用户提供了便携式装置102和/或便携式装置标识符。例如，在便携式装置102本身(例如，密钥卡、成员卡等)由资源提供方提供给用户的一些实施例中，便携式装置可以具有储存在便携式装置102上(例如，安全元件上)的便携式装置标识符。在其它实施例中，例如，当便携式装置102是用户的移动电话时，资源提供方可以提供便携式装置标识符以存储在移动装置上。在一些实施例中，也可以在便携式装置102上提供任何合适的信息(例如，包括中间访问标识符)。另外，如前所述，一旦用户接收到便携式装置102，用户可以将其支付凭证(例如，诸如PAN的访问标识符)与其成员组织账户相关联，使得支付凭证在资源提供方“存档”(例如，存储在资源提供方数据库112中)。

在图1A所示的流程中，在步骤S101中，授权过程可以由资源提供方系统从便携式装置102接收到便携式装置标识符和密码而发起。在一些实施例中，用户可以通过使便携式装置102轻触访问装置104(例如，AFD)上的非接触式接口来发起与资源提供方系统的交易。在发起交易时，便携式装置可以将包括便携式装置标识符和密码(例如，授权请求密码(ARQC))的消息发送至访问装置104。可以通过用存储在便携式装置102上和/或从便携式装置上的数据导出的一个或多个密码密钥来加密各种数据来生成密码，例如，如参考图3所述。此类数据可以包括便携式装置标识符、中间访问标识符、交易信息、便携式装置信息等。如上所述，在一些实施例中，便携式装置102的密码生成模块102A可以执行密码生成，这可以类似于图2的密码生成模块240A。

在步骤S102中，资源提供方系统可以验证密码。在一些实施例中，密码的验证可以通过资源提供方系统的访问装置104生成包括便携式装置标识符和密码的认证请求消息而继续进行。在此示例中，访问装置104可以将认证请求消息传送至资源提供方计算机106(例如，和/或请求资源提供方计算机106生成认证请求消息)，并且资源提供方计算机106继而可以将认证请求消息传送至处理计算机108以进行验证。在一些实施例中，这可以遵循已制定的非接触式支付协议，例如EMV来完成。在一些实施例中，授权请求消息还可以包含包括零或为空的值数据字段(例如，交易金额)，因为认证阶段可以在交易处理阶段之前。在一些实施例中，一个或多个中间实体可以参与处理认证请求消息(例如，收单方计算机114)。

在步骤S103-S105中，支付处理网络(例如，处理计算机108)可以从资源提供方计算机106接收包括密码和便携式装置标识符的认证请求消息，然后确定密码是经认证的。在步骤S103中，在一些实施例中，处理计算机108可以将消息发送至安全元件(例如，硬件安全模块110)以进行认证。在一些实施例中，处理计算机108可以在不使用安全元件的情况下执行步骤S103-S105。

在步骤S104中，处理计算机108的硬件安全模块110可以验证密码。在一些实施例中，硬件安全模块110验证密码可以涉及硬件安全模块110至少部分地基于便携式装置标识符生成第二密码。在一些实施例中，也可以部分地基于中间访问标识符或可以与便携式装置标识符相关联的任何合适的数据(例如，交易信息、便携式装置信息等)来生成第二密码。在一些实施例中，硬件安全模块110可以使用类似于参考图3描绘的方法并且如参考图6的认证模块608C所述来生成密码。在生成第二密码后，硬件安全模块110可以将第二密码与该密码进行比较以(例如，执行逐位比较)确定它们是否匹配。如果确定密码匹配，则对便携式装置进行认证。

在步骤S105中，硬件安全模块110可以向处理计算机108发送包括认证响应指示符，例如授权响应密码(ARPC)或ARQC认证结果代码的认证响应消息，指示该密码已经被验证。然后，支付处理网络可以生成包括便携式装置标识符和认证响应指示符的授权响应消息并将其发送至资源提供方计算机106，指示便携式装置102是否已被认证。

应当理解，在一些实施例中，验证密码的步骤S102可以在不将认证请求消息传送到支付处理网络(例如，处理计算机108)的情况下执行。在这种情况下，步骤S103-S105可能是不必要的。例如，在一些实施例中，资源提供方系统(例如，访问装置104)可以至少部分地基于便携式装置标识符生成第二密码。在一些实施例中，资源提供方系统可以使用类似于参考图3描绘的方法并且如参考图4的认证模块408C所述来生成第二密码。在生成第二密码后，资源提供方系统可以将第二密码与该密码进行比较以(例如，执行逐位比较)确定它们是否匹配。如果确定密码匹配，则对便携式装置进行认证。

在其它实施例中，资源提供方系统(例如，访问装置104)可以在不联系处理计算机108并且不生成第二密码的情况下验证密码。例如，如上所述，访问装置104可以从便携式装置102接收密码(例如，数字签名)以及便携式装置标识符。访问装置104可以利用公钥基础设施来接收公共验证密钥。在一些实施例中，可以在授权过程开始之前接收公共验证密钥。访问装置104可以使用公共验证密钥确定(例如，计算)便携式装置标识符的散列。然后，访问装置104可以通过确定散列是否与数字签名匹配来验证密码。

在访问装置104在不联系处理计算机108(例如，不执行步骤S103-S105)的情况下验证密码的实施例中，访问装置104接着可以生成包括便携式装置标识符和认证响应指示符的授权响应消息并将其发送至资源提供方计算机106，指示便携式装置102是否已被认证。在任何情况下，无论访问装置104验证密码和/或处理计算机108验证密码，在验证密码后，资源提供方系统都可以在验证密码之后获得认证响应指示符。

在步骤S106中，资源提供方系统(例如，资源提供方计算机106)可以利用与便携式装置102相关联的用户的成员ID来从资源提供方数据库112检索用户的成员账户信息，如参考图5所述。例如，资源提供方可以使用成员ID来验证用户在资源提供方的账户信誉良好。如上所述，在一些实施例中，可以在验证密码(例如，步骤S102-S105)之前执行步骤S106。

现在转到授权过程的交易处理阶段，图1B描绘了接收到肯定认证响应指示符之后的后续存档卡交易的流程图。应当理解，交易处理阶段可以紧跟在认证阶段之后，使得可以实时执行授权过程。

在步骤S107中，资源提供方计算机106可以搜索资源提供方数据库112并检索访问标识符(例如，PAN)。在其它实施例中，如果便携式装置不具有中间访问标识符，则资源提供方计算机106可以检索中间访问标识符。此检索可以使用便携式装置标识符或其它合适的查找密钥完成。在一些实施例中，访问标识符和/或中间访问标识符可以具有与便携式装置标识符不同的数据格式。在一些实施例中，访问标识符可以具有与上文参考图1A所述的中间访问标识符相同或不同的数据格式。在一些实施例中，在访问标识符和中间访问标识符具有相同的数据格式时，但可以具有不同的值。

在步骤S108中，继续其中使用访问标识符执行交易处理阶段的实施例，资源提供方系统可以至少部分地基于指示便携式装置102已经被认证的认证响应指示符来生成包括访问标识符(或中间访问标识符)的第一授权请求消息。资源提供方系统接着可以将第一授权请求消息传送至处理计算机108。在一些实施例中，此步骤可以由资源提供方计算机106的授权模块508D执行。在一些实施例中，如下文步骤S109中所述，可以首先将第一授权请求消息发送至中间实体(例如，传输计算机114，其可以是资源提供方的收单方)。在一些实施例中，第一授权请求消息可以采用预授权请求的形式，所述预授权请求包括用户的交易信息(例如，交易金额)和其它合适的信息。在预授权请求的情况下，预授权请求可以请求对某一金额进行预授权。例如，预授权请求消息可以请求对100美元的燃料交易进行授权，因为在交互时不知道消费者将购买多少燃料。一旦得到授权，就可以在账户上暂时冻结100美元。在确定待购买燃料的最终金额之后，资源提供方计算机106可以随后发送具有实际金额的后续授权请求消息，并且可以释放100美元冻结。交易标识符可以与预授权请求消息及其对应的后续授权请求消息相关联。应当理解，在授权请求消息是预授权请求的情况下，可以执行步骤S108-S113两次，两者均基于上述先前完成的认证阶段。

在步骤S109中，传输计算机114可以将第一授权请求消息传送到可以处于支付处理网络中的处理计算机108。如果授权请求消息包括中间访问标识符而不是访问标识符，则处理计算机108可以将访问标识符(例如，真实PAN)交换为中间访问标识符(例如，令牌)。处理计算机108可以接着将包括访问标识符的第二授权请求消息传送到与(与访问标识符相关联的)账户的发行方相关联的授权计算机116。在一些实施例中，此步骤可以由处理计算机108的授权模块608D执行。在一些实施例中，处理计算机108可以不将第二授权请求消息传送至授权计算机116。例如，处理计算机108可以负责代表授权计算机116执行替身处理。在这种情况下，处理计算机108可以另外执行类似于参考图6描述的授权计算机116的功能，因此，步骤S110-S111中的一个或多个可以由处理计算机108执行。

在步骤S110中，授权计算机116可以授权所述交易。在一些实施例中，授权计算机116可以至少部分地基于访问标识符来授权交易。在授权后，可以生成授权响应指示符(例如，授权代码)，其可以是授权的证据。在一些实施例中，如果交易被授权，则授权计算机116可以对消费者的账户进行预授权暂时冻结，直到接收到后续授权请求消息(例如，包含非零交易金额)。

在步骤S111中，处理计算机108可以从授权计算机116接收包含授权响应指示符和访问标识符的第一授权响应消息。

在步骤S112中，处理计算机108可以将包括授权响应指示符的第二授权响应消息发送至资源提供方系统(例如，资源提供方计算机106)。在一些实施例中，处理计算机108可以首先将第二授权响应消息传送至中间方(例如，传输计算机114)，该中间方可以在之后将第二授权响应消息传送至资源提供方系统。在一些实施例中，如果在授权过程中使用了中间访问标识符，则处理计算机108可以将授权请求消息中的访问标识符与中间访问标识符交换。

在步骤S113中，资源提供方计算机106可以将第二授权响应消息(包括访问标识符或中间访问标识符)发送至访问装置104，以将交易状态呈现给消费者和/或向用户提供资源(例如，解锁燃料分配器)。在一些实施例中，步骤S113可以是任选的，例如，当访问装置104和资源提供方计算机106包括在与资源提供方系统对应的单个物理单元内时。在一些实施例中，在资源提供方系统从处理计算机接收到包括授权响应指示符的授权响应消息(例如，第二授权响应消息)后，可以完成授权过程。在一些实施例中，在完成授权过程之后，可以执行其它合适的交易授权后步骤(例如，一个或多个金融机构之间的清算过程以结算交易)。

本申请中描述的任何软件部件或功能可以使用例如常规的或面向对象的技术并且使用任何合适的计算机语言(例如，Java、C++或Perl)实施为由处理器执行的软件代码。软件代码可以存储为例如随机存取存储器(RAM)、只读存储器(ROM)、例如硬盘驱动器或软盘的磁性介质或例如CD-ROM的光学介质的计算机可读介质上的一系列指令或命令。任何此类计算机可读介质可驻存在单个计算设备上或单个计算设备内，并且可以存在于系统或网络内的不同计算装置上或不同计算装置内。

以上描述是说明性的而非限制性的。本发明的许多变化在所属领域的技术人员查阅本公开后可变得显而易见。因此，本发明的范围可不参考以上描述来确定，而是可参考待决的权利要求以及其完整范围或等同物来确定。

在不脱离本发明的范围的情况下，任何实施例的一个或多个特征可与任何其它实施例的一个或多个特征组合。

除非明确指示有相反的意思，否则“一”或“所述”的叙述旨在表示“一个或多个”。

上文提及的所有专利、专利申请、公开案和描述都出于所有目的以全文引用的方式并入。并非承认它们是现有技术。