CN1406025B - 动态可变安全协议 - Google Patents

Abstract

以允许安全负担可以被根据交易性质调整的方式实现电子交易。通过接收关于交易类型的信息(10)，系统(44)可以实现可变安全协议(20)。例如，交易的价值越高，则被实现的安全协议就越高。当然，在这种情况下，较高的安全协议将导致对于用户较大的开销或负担。在其它情况中，当交易的性质允许时，较低的安全负担可以被应用。

Description

动态可变安全协议

技术领域

本发明总体上涉及用于电子系统的安全协议。

背景技术

电子系统可以互相通信，通过有线和无线网络提供信息和服务。在许多情况中，在这种系统中需要安全。举一个例子，机密信息可能会通过网络在两个通信实体之间提供。再举一个例子，付费信息可能被提供，该信息如果被截取，则能够被用于欺骗两个实体之一。同样，在多个交易中，保证交易双方实际上知道他们正在与之交易的对方的身份是必需的。

由于所有这些原因，在许多电子通信中提供安全。这种安全的一个例子是鉴权协议，其使得一个用户能够获得关于另一个用户的身份的信息。鉴权是系统用来验证用户身份的过程，如用户登录信息。用户的姓名和其它信息可以与授权列表相比较，如果系统检测到匹配，则在对于用户的许可列表中规定的限度内，授权接入系统。许多鉴权系统是由登录口令控制的。

加密是对数据进行编码以便阻止尤其是在传输过程中非授权接入的过程。加密可以基于解码所必需的密钥。加密密钥是用于加密其它数据并且因此必须用于数据解密的数据序列。

另一种数字安全技术是数字签名的使用。数字签名是基于加密和安全授权码的用于签署电子文档的个人鉴权方法。在某些情况中，合法绑定的数字签名包括硬件安全，而不管被处理的交易的价值。

通常，一些类型的电子交易预先确定或者固定了安全协议。一种给定类型的协议通常涉及预定的安全类型，可以是数字签名、加密、鉴权或者它们的一些组合。此外，安全协议的繁琐也是固定的。一些情况可能需要指纹输入、口令输入、类似的第二口令输入，而其它交易或通信可能只涉及简单口令。

无论什么安全协议，通常都是预先确定和固定的。因此，在某些情况下，相对小价值的交易必须用为非常高价值的交易而设计的增强安全协议来进行。这使得用户无法从事日常交易。总之，为了便于完成大量交易，最高可能的安全协议可能在所有情况中被需要。

因此，需要使用相同的电子系统使得能够启动各种不同价值和类型的交易。

发明内容

本发明的一个目的是提供一种方法，包括：接收关于电子交易类型的信息；以及评定所述信息以便选择用于交易的安全等级。本发明的另一个目的是提供一种物品，包括存储有使得基于处理器的系统能够执行如下动作的指令的介质：接收关于电子交易类型的信息；以及评定所述信息以便选择用于交易的安全等级。本发明的再一个目的是提供一种系统，包括处理器及耦合到所述处理器的存储器，所述存储器存储使得处理器能够接收关于电子交易类型的信息以及评定该信息以便选择交易的安全等级的指令。

附图说明

图1是根据本发明一个实施例的系统的示意图；

图2是根据本发明一个实施例的软件流程图；以及

图3是根据本发明一个实施例的额外软件的流程图。

具体实施方式

讨论图1，系统44使得能够在服务器32和客户42之间通信。尽管用服务器/客户结构描述了一个实施例，但是任何其它通信结构都可以被使用，例如包括端对端、多播和广播类型的系统。

服务器32可以通过网络40与客户2通信。去往和来自网络的通信可以通过链路46和48。链路46和48可以是有线或无线链路。举几个例子，有射频链路或者红外线链路。

网络40可以是例如计算机或电话网。计算机网络包括例如互联网、局域网和城域网。

服务器32包括耦合到输入/输出端口34的处理器36，其可以提供对链路48的接口。处理器36还可以耦合到存储软件20和50的存储器38。

理想地，服务器32与客户42通信以从事一系列交易。这些交易包括例如金融交易、数据传输和提供服务。在每种情况下，在给定交易的类型和价值的情况下，都希望以最少的恰当的安全开销来完成交易。因此，涉及大量金钱的交易可能需要相对高的安全开销，而只下载一个脚本则涉及相对低的安全开销。根据本发明的实施例，安全开销的等级是可以以动态方式调整或可变的。这可以基于由交易的发起者提供的代码信息确定，或者可以在交易过程中动态推断。

参见图2，根据本发明的一个实施例，存储在图1的存储器38中的安全软件20由块10所示的接收交易类型信息而开始。类型信息指示交易的性质并且可以由发起者提供。例如，交易的发起者可以在图形用户界面中输入信息，其允许交易的类型被确定。可替代地，在另一个实施例中，各种信息可以被从发起者那里获得。作为另一个实施例，接收由发起者启动的交易的实体可以提供信息。交易的性质可以被指示到足以使得安全开销能够被动态调整的程度。

在本发明的一个实施例中，一旦如块10指示的，类型信息被接收，就在菱形12确定交易是否是低价值的交易。如果是，则在菱形14中的判定确定是否需要硬件加密。如果不是，则如块16所示，低价值安全资产可以被使用。这通过减少安全开销而便于交易的执行。在某些情况下，低价值安全资产基本上没有什么安全性，并且在其它情况下，低价值安全资产可以象口令一样简单。在其它情况中还可以使用另外的安全资产。例如，在某些情况下，相对低价值的交易可能对于需要某个重要安全等级足够有价值，而使用比其它情况中需要的更少的安全开销。如果如菱形14中的判定所示，需要硬件，则流程重复到安全软件20的另一个分支。

如果低价值交易不被涉及，则在菱形18中的检查根据接收的类型信息来确定一个更高价值或者中等价值的交易是否可确定。如果是，则在菱形20中的检查确定是否需要硬件。如果不是，则如块22所示，中等价值的安全资产可以被应用。这可能涉及例如某个鉴权或者较少时间消耗的加密。根据情况，各种其它安全资产可以被应用。

如果如在菱形20根据信息类型所确定的，需要硬件，或者在菱形14中需要硬件，则在菱形26中的检查确定高价值资产是否存在。如果高价值安全资产可获得，则如块28中所示，那些安全资产可以被实现，包括硬件加密。否则，如块30所示，交易不被允许。

最后，在菱形24中的检查确定交易是否被确定为高价值交易。在一个实施例中，如果不是，则交易是不可确定的并且不被允许。如果如菱形26中确定的，交易可确定为高价值交易并且高价值资产存在，则如块28所示，高价值安全资产可以被应用。在这种情况下，安全开销或负担可以被增强，但是在这种情况下将是适当的。

最后返回到图3，用于评定特定交易的价值的软件50可以被使用来动态确定交易的性质。在某些实施例中，软件50请求确定的一些条信息，以便进行所述评定。它可以逐渐地请求更多信息，直到它获得足够的信息用于确定。在其它情况中，在交易过程中被自然提供的信息足以进行评定。例如，在基于所涉及的钱数或者基于被使用的贷款类型的销售交易中，如果有，则评定可以由恰当的安全资产等级构成。

在一个实施例中，交易类型信息如块52所示被接收。这可以包括它是否是业务提供、下载的软件、在线销售等。信息可以存储在关于不同类型交易及其适当的安全协议的数据库中。

接下来，如块54所示，关于交易价值的信息可以被接收。该信息可以被从发起者请求或者可以被在接收交易信息的过程中自然接收。在一个例子中，交易价值可以只是在在线交易中被购买的资产的价格。

接下来，发起者的优先选择如块56所示被接收。在某些情况下，发起者可以选择承担较少的安全负担而在另外的情况中，较高的安全负担可能被需要。这样，发起者在评价适当的安全资产中，发起者自己的优先选择可能被放弃。最后，在块58中评定交易安全等级。

利用本发明的实施例，被应用的安全等级可以动态调整。其优点是使得能够有足够的安全，同时防止由过多的安全对给定交易施加的过多负担。

尽管关于有限数量的实施例描述了本发明，但是本领域技术人员应当理解从中的大量修改和变化。所附权利要求旨在覆盖落在本发明精神和范围之内的所有这种修改和变化。

Claims (19)

1.一种用于动态提供安全等级的方法，包括：

接收关于电子交易类型的信息；以及

电子地评定所述信息以便选择用于交易的安全等级；

其中所述电子地评定所述信息以便选择用于交易的安全等级的步骤包括：

确定所述电子交易的等级；

基于所确定的等级选择所述电子交易的对应安全等级。

2.如权利要求1所述的方法，包括确定所述电子交易的等级为低价值的交易、中等价值的交易和高价值交易其中之一。

3.如权利要求1所述的方法，包括考虑到电子交易类型而确定是否需要硬件来实现安全资产。

4.如权利要求1所述的方法，包括确定一个恰当的安全资产等级是否可获得。

5.如权利要求4所述的方法，包括如果恰当的安全资产等级不可获得，则阻止进行交易。

6.如权利要求1所述的方法，包括根据从交易的发起者接收的优先选择来设置交易的安全等级。

7.如权利要求1所述的方法，包括至少部分地基于关于交易价值的信息来设置交易的安全等级。

8.如权利要求1所述的方法，包括至少部分地基于关于交易类型的信息来设置交易的安全等级。

9.如权利要求1所述的方法，包括将交易的安全等级至少部分地基于关于发起者的安全优先选择的信息。

10.一种用于动态提供安全等级的系统，包括：

用于接收关于电子交易类型的信息的第一部件；以及

用于电子地评定所述信息以便选择用于交易的安全等级的第二部件；

其中所述第二部件：

确定所述电子交易的等级；

基于所确定的等级选择所述电子交易的对应安全等级。

11.如权利要求10的系统，其中所述系统是电话。

12.如权利要求10所述的系统，其中所述系统是蜂窝电话。

13.如权利要求10所述的系统，其中所述第一部件接收足以确定电子交易类型是否是至少两个预定交易类型之一的信息。

14.如权利要求10所述的系统，其中所述第二部件考虑到电子交易类型而确定是否需要硬件来实现安全资产。

15.如权利要求10所述的系统，其中所述第二部件根据从交易发起者接收的优先选择来设置交易的安全等级。

16.如权利要求10所述的系统，其中所述第二部件基于关于交易价值的信息来设置交易的安全等级。

17.如权利要求10所述的系统，其中所述第二部件根据关于交易类型的信息来设置交易的安全等级。

18.如权利要求10所述的系统，其中所述第二部件将交易的安全等级至少部分地基于关于发起者的安全优先选择的信息。

19.如权利要求10所述的系统，包括将所述系统接口到网络的一个接口。

Images