CN1666205A

CN1666205A - 在线接收的个人标识的验证

Info

Publication number: CN1666205A
Application number: CN028205383A
Authority: CN
Inventors: 萨尔·维尔夫; 施瓦特·谢克特
Original assignee: NPX TECHNOLOGIES Ltd
Current assignee: NPX TECHNOLOGIES Ltd
Priority date: 2001-10-17
Filing date: 2002-10-16
Publication date: 2005-09-07
Also published as: JP2005507106A; WO2003034633A3; IL161437A; IL161437A0; WO2003034633A2; US8650103B2; CA2463891C; US20140222690A1; EP1436746A2; NZ532258A; EP1436746A4; US20040243832A1; CA2463891A1; AU2002340207B2

Abstract

说明了一种用于验证在线接收的个人标识的系统和方法。该方法包括接收验证个人标识(PI1)的请求；并评估(a)PI1和另一个人标识(PI2)是否标识同一个人，(b)PI1的发送者和PI2的发送者是否为同一个人，以及(c)PI2是否标识PI2的发送者。

Description

在线接收的个人标识的验证

技术领域

本发明涉及用于验证从在线通讯中接收的个人标识的方法和系统，特别是用于识别合法的在线商业交易。

背景技术

许多在线服务需要收集其用户的识别信息(个人标识)。这些信息通常包括诸如用来收款的信用卡号、用于发送货物的姓名和地址、用于与用户联系的电话号码等条目。

由于种种原因，用于收集这些信息的主要途径是要求用户人工输入这些信息，这通常在在线表单中进行，比如HTML表单。因为这种方法完全取决于用户的善意，所以特别容易受到欺诈和手动错误的影响。在此不存在普通的方法来区分真实用户和获得了这些信息的恶意用户。例如，获得他人信用卡详细信息的任何人可以通过向在线购买表单中输入这些详情来以他的名义进行交易。

由于这种局限性，在线信用卡欺诈行为不合情理地膨胀着，而在线商务也不像它应有的那样普遍、可行。

为了克服这种局限性，提出了几种方法。其中一些要求用户在进行交易之前离线地表明自己的身份。这样的一种系统是Visa、MasterCard和其他团体发起的SET计划。它基于：银行离线地向其持卡人发放数字证书；在买方计算机上安装这些证书；以及在交易过程中验证这些证书。在实践中证明向数百万可能的买主发放证书过于复杂且昂贵，所以SET失败了。

最近Visa发起了称为“3-Domain Secure”或者“3D Secure”(在美国叫做“Verified by Visa”)的类似行动，它类似于SET，但是允许发卡行用密码来在线地鉴别其持卡人。通常在提供一些身份证明(比如，印在发往持卡人家里的信用卡对帐单上的密码)后在线地分配该密码。此系统显著地简化了买方的注册流程，但是还是需要很大的工作量。在PCT申请WO01/82246中说明了3D Secure。

防止欺诈的另一种方法基于模式识别和人工智能。一些产品，比如来自HNC Software公司的“Falcon Fraud Manager for Merchants”(以前叫eFalcon)(在美国专利5819226，以及可从HNC索要的“Falcon FraudManager for Merchants White Paper”中说明了其中的一些方面)，以及来自Cybersource公司的Internet Fraud Screen，试图检测欺诈性交易的一些典型参数。这些参数可包括：发货地址为国际邮政信箱(POB)地址、用同一信用卡频繁购买等。虽然这些系统可以在一定程度上减少欺诈，但是它们仅提供了部分解决方案并且可能导致合法交易被拒绝(此类失误被称为“误报”)。这是在线交易中仅有少量确定信息导致的结果，从而限制了这种分析的有效性。在此领域中可以找到许多发明，比如PCT申请WO01/33520、美国专利6029154、美国专利6254000、美国专利6095413以及PCT申请WO01/18718。

另一个常用的方法是由信用卡发行商运作的地址验证服务(AVS)。该服务将由买方提供的地址与发卡行用于寄送定期帐单并且与买方提供的信用卡号码相关联的地址相比较。匹配则表示欺诈的可能性较低。这种方法局限性在于得到买方的地址通常并不困难。商家可以选择仅将货物发送到验证过的地址，但是这就对其服务产生了限制。

掌握了有关用户的可靠非公开个人信息的公司可以在在线环境中通过向他提出关于这些信息的问题来验证用户的身份。例如，根据Equifax公司的美国专利6263447，信用局(credit bureau)向用户询问关于发放给他所声称为的那个人的贷款状况的信息。PCT申请WO01/41013说明了这种方法在在线拍卖环境中的应用。

来自伊利诺伊州芝加哥的Authentify Inc提供了一种用于验证在线提供的电话号码的方法。根据在PCT申请WO01/44940中说明的这种方法，用户在线提供其电话号码并收到一个密码。随后拨打该电话号码，用户应该在电话中提供该密码。这样就验证了该用户有权使用由该电话号码标识的电话线路。这种方法的局限在于需要拨打电话。而且还局限于仅能验证电话号码。

来自加利福尼亚州帕拉阿图的PayPal Inc利用另一种方法来验证互联网用户。在PCT申请WO02/05224中说明的这种方法基于提交信用卡交易，其中商家名称字段中包含密码。用户应该在看见其帐单上的费用(在线查看或者在纸上查看)时输入该密码。这样PayPal就可以验证用户具有访问该帐单的权利，而不仅是信用卡详细信息。这种方法的局限在于用户必须主动检查其信用卡帐户以得到密码，然后在线手动提供该密码。它还局限于验证过程通常需要几天或者几周。而且它还局限于仅能验证可支取帐户标识。

在专利申请WO02/08853和WO01/57609中说明了另一种用于验证互联网用户的方法。这种方法基于与网络接入服务提供商(NAP)的合作。NAP掌握着有关用户的识别信息并为他们分配网络地址。从而NAP可以通过用户的网络地址来验证他的识别信息。这种方法局限于验证个人标识需要与此人的NAP合作。这种局限性在互联网中尤为显著，因为每个用户都有一个NAP(他的网络服务提供商)，而NAP的总量极为庞大。

很迫切地需要一种能够实时准确地验证在线接收的个人标识真实性的方法，而不需要用户主动参与或者带有过量的配置要求。

发明内容

根据本发明，提供了一种验证第一个人标识(PI1)的方法，包括：接收包含第一个人标识的验证请求；以及评估验证条件是否为真，验证条件包括：(a)PI1和第二个人标识(PI2)满足同一人条件；(b)PI1的发送者与PI2的发送者满足同一发送者条件；以及(c)PI2识别了PI2的发送者。

优选地，该方法还包括根据评估结果发送验证报告的步骤，其中验证报告表示PI1是否标识了其发送者。

优选地，验证报告至少包括下列之一：(a)PI2；(b)与PI1相关的第一发送者指示符；(c)与PI2相关的第二发送者指示符；以及(d)PI2的验证信息。

优选地，评估还包括：(a)向至少一个个人标识-发送者指示符数据库发送至少一个查询；以及(b)接收对该查询的至少一个响应。

优选地，该查询为描述至少一个验证条件的条件查询。

优选地，评估还包括：评估对于该查询的响应是否满足除该查询中描述的验证条件之外的至少一个验证条件。

优选地，如果PI1和PI2具有以下同一人关系，则满足同一人条件，其中该同一人关系包括至少一个以下关系：(a)两个个人标识包含相同的部分；(b)除了拼写差异外，两个个人标识包含相同的部分；(c)两个个人标识中的一个包含这两个个人标识中另一个的缩写；(d)两个个人标识包含数字上接近的电话号码；(e)两个个人标识包含地理上接近的地理参数；(f)一个目录记录使一个与这两个个人标识中一个具有同一人关系的个人标识与另一个与这两个个人标识中另一个具有同一人关系的个人标识关联起来；以及(g)两个个人标识各与第三个人标识具有同一人关系。

优选地，如果包含PI1的消息和包含PI2的消息具有以下同一发送者关系，则满足同一发送者条件，其中该同一发送者关系包括下列第一消息和第二消息之间关系中的至少一种：(a)第一和第二消息是一个公共完整消息中的成员；(b)发送第一消息的时间和发送第二消息的时间之间的关系；(c)第一消息的发送者的可靠网络地址与第二消息的发送者的可靠网络地址之间的关系；(d)包含于第一消息中的第一秘密和包含于第二消息中的第二秘密为同一秘密的派生物；(e)发送给第一消息的发送者的第一秘密和包含于第二消息中的第二秘密为同一秘密的派生物；以及(f)各个消息均与第三消息具有同一发送者关系。

优选地，可靠网络地址之间的关系为下列关系之一：(a)各个可靠网络地址一致；(b)各个可靠网络地址是同一子网中的成员；(c)由同一机构使用这些可靠网络地址；(d)由两个相关的机构使用这些可靠网络地址；(e)由同一互联网服务提供商使用这些可靠网络地址；(f)由同一互联网服务提供商接入点使用这些可靠网络地址；以及(g)这些可靠网络地址与接近的地理位置相关联。

优选地，至少一个可靠网络地址是下列一种：IP地址、IP地址和UDP端口号、TCP对话句柄以及物理接口标识。

优选地，至少一个秘密是下列一种：由设备保持的秘密、秘密HTTPcookie、秘密HTTP安全cookie、SMTP报头、HTTP报头、硬件标识、安装于设备上的软件部件中保持的秘密、分配给一个人在线使用的秘密、用户名和口令、秘密URL、网络地址、IP地址、UDP端口号、以及TCP对话句柄。

优选地，如果下列至少一项为真，则PI2被认为标识其发送者：(a)使用验证个人标识的标准方法验证了PI2；(b)通过执行基于PI2的成功离线操作而验证了PI2；(c)通过成功地支取帐户而验证了PI2；(d)通过在线接收发给一个邮寄地址的代码而验证了PI2；(e)通过在线地接收在电话中发送的代码而验证了PI2；(f)通过在电话中接收在线发送的代码而验证了PI2；(g)在非欺诈特有的情况下接收到PI2；(h)在发送PI1之前或者之后的相当长时间发送的PI2；(i)向一个欺诈者没有动机实行欺诈的服务发送PI2；(j)PI2与合法用户特有的重大在线行为相关联；(k)PI2由PI2的发送者的可靠授权代理提供；以及(1)使用本发明验证了PI2。

优选地，利用至少一个下列方法来进行评估：(a)基于规则的逻辑；(b)自动学习技术；(c)神经网络；以及(d)概率分析。

优选地，验证报告包括至少下列一项：(a)肯定响应；(b)否定响应；(c)PI2；(d)与PI2相关的发送者指示符；(e)PI2的验证信息；(f)描述PI1和PI2满足同一人条件的可能性的分数；(g)描述PI1的发送者与PI2的发送者满足同一发送者条件的可能性的分数；(i)描述PI2标识PI2的发送者的可能性的分数；以及(j)描述PI1标识PI1发送者的可能性的分数。

优选地，描述PI1标识PI1的发送者的可能性的分数基于至少一个下列参数：(a)PI1和PI2满足同一人条件的可能性；(b)PI1的发送者和PI2的发送者满足同一人条件的可能性；(c)PI2标识PI2的发送者的可能性；(d)获得同一发送者条件所基于的秘密的难度；(e)PI1的发送者的地址的可靠性；(f)PI2的发送者的地址的可靠性；(g)在评估步骤中使用的外部数据源的准确性和可靠性；(h)PI1的普遍性；(i)PI2的普遍性；(j)人们改变其个人标识的倾向性；(k)发送PI1和PI2之间经历的时间；以及(1)从由PI2标识的帐户支取后经历的时间。

优选地，评估还包括：(a)向至少一个个人标识目录发送至少一个查询；以及(b)接收至少一个对于该查询的响应。

优选地，该方法还包括生成至少一个下列信息元素的一部分的哈希值(hash)的步骤：(a)PI1；(b)PI2；(c)与PI1相关的第一发送者指示符；以及(d)与PI2相关的第二发送者指示符。

优选地，该方法还包括基于至少一个下列考虑确定哈希值规格的步骤：(a)信息保密性；以及(b)错误验证的可接受程度。

优选地，从PI1的发送者接收PI1的实体不同于从PI2的发送者接收PI2的实体。

优选地，利用至少一个不同于PI2的个人标识来重复评估步骤。

优选地，该方法还包括从多个个人标识中选择出在评估步骤中作为PI2使用的个人标识的步骤。

优选地，该方法还包括从PI1的发送者中获得至少一个发送者指示符的步骤。

优选地，该方法还包括将评估结果与至少一种验证个人标识的其它方法的结果进行组合的步骤。

优选地，PI1或者PI2包括下列之一：全名、名、中间名、姓、姓名首字母、头衔、地址、国别、州名、城市、街道地址、房号、邮编、电话号码、电子邮件地址、财务账号、信用卡号、银行帐号、政府颁发标识、社会安全号码、驾驶证号码、国家ID号码、护照号、个人特征、身高、体重、性别、肤色、种族、以及头发颜色。

优选地，通过下列之一发送PI1：互联网、专用数据网络、CATV数据网络和移动数据网络。

根据本发明，提供了一种系统，包括：(a)接收器，用于接收包含PI1的验证请求；以及(b)验证评估器，用于评估PI1和PI2是否满足同一人条件，评估PI1的发送者和PI2的发送者是否满足同一发送者条件，以及评估PI2是否标识PI2的发送者。

优选地，该系统还包括报告器，用于根据验证评估器的输出来发送验证报告，以指示PI1是否标识PI1的发送者。

优选地，该系统还包括个人标识目录查询模块，用于向个人标识目录发送查询，并接收对该查询的响应，随后该响应被验证评估器使用。

优选地，该系统还包括至少一个个人标识目录。

优选地，该系统还包括个人标识-发送者指示符数据库查询模块，用于向至少一个个人标识-发送者指示符数据库发送查询，并接收对该查询的响应，随后该响应被验证评估器使用。

优选地，该系统还包括至少一个个人标识-发送者指示符数据库。

优选地，该系统还包括哈希值生成器，用于生成至少下列之一的哈希值：(a)PI1；(b)PI2；(c)与PI1相关的第一发送者指示符；以及(d)与PI2相关的第二发送者指示符。

可以理解，根据本发明的系统可以是一个适当编程的计算机。同样地，本发明考虑了一种计算机可读的计算机程序来执行本发明的方法。本发明还考虑了一种有形地实施可由机器执行的指令程序的机器可读存储器来执行本发明的方法。

本发明具有几个超越现有技术的优点。本系统和方法的第一个优点是通常不需要用户的主动参与，比如软件或者硬件的安装、注册、输入密码等。另一优点是本系统和方法通常不需要与一个特定实体合作来验证个人身份。另一优点是相对难于对该系统和方法进行欺诈，因为它通常依靠保存在用户设备上的秘密来验证其标识信息，这是未授权方难以得到的。

附图说明

为了理解本发明并了解如何在实践中实现本发明，现在将参照附图，仅以非限制性示例的方式，对优选实施例进行说明，图中：

图1说明了该系统的工作环境；

图2说明了实现个人标识验证的信息元素和实体之间的关系；

图3说明了根据本发明优选实施例的系统的部件；

图4说明了根据本发明优选实施例的典型验证流程。

具体实施方式

本发明开发了一种用于验证在线通讯中接收的个人标识的方法，这通过分析在线通讯中接收的另一个个人标识来实现。

缩写词表

本文中使用了以下缩写词：

AVS-地址验证服务

CATV-有线电视

CPU-中央处理器

DNS-域名系统

FPS-欺诈预测服务

FTP-文件传输协议

FVW-频繁访问网站

HTML-超文本标记语言

HTTP-超文本传输协议

HTTPS-HTTP安全

IMC-即时消息客户

IMS-即时消息服务

ISN-初始序号

ISP-互联网服务提供商

MAC-介质访问控制

MIME-多用途互联网邮件扩展

NAPT-网络地址端口转换

OBPS-在线帐单显示系统

OSP-在线服务提供商

PI-个人标识

PI2VI-PI2验证信息

PISIDB-PI-SI数据库

POP-接入点(point of presence)

PTC-PI2为真条件

RFC-请求审议(Request for Comments)

SI-发送者指示符

SMTP-简单邮件传输协议

SPC-同一人条件

SPR-同一人关系

SSC-同一发送者条件

SSN-社会安全号

SSO-单点登录服务(single sign-on)

SSR-同一发送者关系

TCP-传输控制协议

TLS-传输层安全性

UDP-用户数据报协议

URL-统一资源定位符

WBES-基于网络的电子邮件服务

环境

图1说明了该系统的工作环境。利用用户设备12将用户10连接到互联网20上。通常，许多其他用户也连接到互联网20上。用户10是利用用户设备10在互联网20上发送和接收消息的人。在本发明的情况下，术语“个人”也可指能够生成消息以进行发送和/或处理呼入消息的设备。用户设备12的类型示例为带调制解调器和浏览器的PC、交互式TV终端和带有微浏览器的移动电话。在线服务提供商14(OSP)也连接到互联网20上并为用户10提供服务。OSP 14可以是任何需要用户信息验证的实体，例如电子商务服务，如在线商家、拍卖网站、在线银行、在线信用卡发行商或支付服务提供商。

验证系统30是执行本发明并可访问OSP 14的系统。它也可以连接到互联网20上。在此使用的术语“互联网”也可指用户和OSP可在其上进行通讯的其他任何数据网络。

信息关系

信息元素和实体

图2说明了根据本发明的实现个人标识验证的信息元素和实体之间的关系。

PI1 100是由PI1的发送者104发出并由OSP 14接收的个人标识。个人标识(PI)是描述一些人区别于其他人的信息元素或者信息元素的集合。例如，姓名(名、中间名、姓、首字母、头衔等)，地址(国家、州、城市、街道地址、房号、邮政编码等)，电话号码、财务帐号(信用卡号码、银行帐号等)、政府颁发标识(社会安全号、驾驶证号、国家ID号、护照号等)、个人特征(身高、体重、性别、肤色、种族、头发颜色等)及其组合。PI还可以是如下所述的通过PI目录与PI相关联的任何信息元素。

OSP 14希望验证PI1 100。PI验证是评估PI是真还是假的处理。真PI是标识(即描述)其发送者的PI，而假PI是不标识其发送者的PI。

如果OSP 14怀疑PI1 100是由一个试图冒充由PI1 100所标识的个人的诈骗者发送的，或者如果OSP 14怀疑PI1 100包含无意的错误，则PI1 100需要验证。为简单起见，下面仅对诈骗的可能性进行说明。对本领域人员来说，扩展到无意错误是显而易见的。

例如，如果是在在线购物过程、在线银行服务注册、信用卡在线申请等情况下提供的PI1 100，则需要验证PI1 100。

PI2 102是由PI2的发送者106发送的另一PI。它可能已由OSP 14或者其它在线服务提供商接收。通常在接收PI1 100之前接收到PI2 102，但是也可能在PI1 100之后接收。

例如，可能已经在在线购物过程、软件安装、在线服务注册等过程中接收到了PI2 102。

如下所述，PI1的发送者104和PI2的发送者106可以是，也可以不是用户10。

在一些情况下，发送PI1 100或者PI2 102的实际过程可能不是直接由PI1的发送者104和PI2的发送者106进行的，而是由其授权代理进行的。例如，父母可向在线服务提供其孩子的详细信息来为该孩子注册该服务。在另一示例中，公司的系统管理员可向该公司的电子邮件服务器提供新员工的详细信息以使该员工能接收电子邮件。在这些情况下，我们认为发送者是提供了其PI的人，而不是技术上发送该PI的人，只要后者真正地被授权提供该PI。

验证条件

本发明通过检查下列项目来验证PI1 100：

1.PI1 100和PI2 102标识同一个人(同一人条件-SPC)。

2.PI1的发送者104和PI2的发送者106为同一人(同一发送者条件-SSC)。

3.PI2 102标识PI2的发送者106(PI2为真条件-PTC)。

当满足这些条件(‘验证条件’)时，PI1 100和PI2 102标识同一个人，PI2 102标识了PI2的发送者106，PI2的发送者106与PI1的发送者104为同一人。从而，PI1 100标识PI1的发送者104，这就表示PI1100为真。

提供他人个人标识的欺诈者要满足验证条件的难度应该远远大于提供其本人标识的人。从而验证条件应该按这样的方式来定义，即如下面详细说明的那样向欺诈者提出最大的困难而对普通人提出最小的困难。

验证条件的强度定义为其为真的可能性。从而它取决于对于欺诈者以满足该条件的方式来成功满足该验证条件的难度。

同一发送者条件

定义

成功的验证需要PI1的发送者104与PI2的发送者106是同一个人。这是同一发送者条件(SSC)。如果包含PI1 100的消息和包含PI2 102的消息具有同一发送者关系(SSR)，则满足SSC。在此，我们把消息定义为在通讯介质上发送的信息。存在多种方法来检查两个消息是否具有SSR。

完整消息——一种方法基于已知(或假设)作为一个完整消息的部分的两个消息具有一个发送者。完整消息是不能在传输中改变的消息(或者在传输中相对难以改变)。例如，在分组交换网络中，为了在传输中改变数据包，欺诈者需要接入分组传输路径上的网络设备，这通常是很困难的。从而，一个数据包中的所有信息可认为来自同一发送者。完整消息的另一示例为利用加密方法进行了签名以维护消息完整性的信息(比如，在RFC 2104中说明的HMAC算法，或者在专利4405829中说明的RSA签名)。

在此情况下，SSR的强度(它确定了SSC的强度)主要取决于在传输中改变完整消息的难度。

另一方法是两个信息元素之间关系的检查，这两个信息元素分别与两个消息相关。可用于判断两个消息是否由同一发送者发送的任何这种信息元素被称为发送者指示符(SI)。可在消息中(比如，作为同一完整消息的部分)或者在消息外(比如，说明如何接收该消息：从何种物理连接，在何时等)接收SI。与包含PI1 100的消息相关的SI被称为SI1，而与包含PI2 102的消息相关的SI被称为SI2。

相同秘密——在检查SI的一个示例中，如果两个消息包含相同的秘密，则该两个消息被认为来自同一发送者。秘密是公众(特别是欺诈者)不易得到的信息元素。在此情况下，SI为相同秘密(或如下所述为其派生物)的两次出现，并且SSR的强度主要取决于获知该秘密(比如，通过窃听，通过接入发送者的设备，通过猜测等)的难度。

值得注意的是，只要秘密的派生物不易为公众得到(不知道该秘密)，可以在两个消息之一或者两个消息中出现该相同秘密的派生物，而不是该秘密本身。在一个示例中，提供派生物而不是秘密，因为它还用于其它用途，比如TCP中的序号(说明如下)。在另一示例中，在第二通讯中发送秘密之前发送源对该秘密进行加密，以强化该方法以防窃听——窃听第一通讯的欺诈者将不能创建该派生物，因为他没有加密密匙。在此示例中，这种方法的实现需要用加密密匙来验证该派生物。

为了简单起见，术语‘秘密的派生物’也可以指秘密本身。

可靠地址——在另一示例中，如果为各个消息提供了发送者的可靠网络地址，并且该两个地址更有可能为同一发送者使用而不是两个随机地址，则两个消息具有SSR。如果欺诈者不能轻易地伪造一个地址，则认为该地址是可靠的。在此情况下，SI为两个可靠发送者地址，并且SSR的强度主要取决于地址的可靠性以及发送者和地址之间的相关性。

指定秘密——在另一示例中，如果一个秘密被发送给第一消息的发送者且在第二消息中接收到它(或其派生物)，则两个消息被认为是来自同一发送者。这种方法的使用通常取决于获得‘可靠地址’，以保证秘密被发送给消息的真正发送者(否则该秘密就可能泄密)。在此情况下，一个SI是发送给第一消息的发送者的秘密，而另一个SI是出现在第二消息中的秘密或者派生物。SSR的强度取决于获知该秘密的难度。由于该秘密被发送给一个地址，所以该难度也取决于地址的可靠性，以及窃听发送给该地址的消息的可能性。

值得注意的是，两个消息并不必由同一实体来接收。比如，在‘相同秘密’方法中，包含相同秘密的两个消息可发送给两个不同的实体。为了证明秘密匹配，这两个实体必须相互合作。比如说，一个实体将其接收到的秘密(或其派生物)发送给第二个实体，并且第二个实体将其与自己接收到的秘密进行比较。

一些与来自同一发送者的消息相关的SI可能随着时间发生变化(比如，用户的网络地址可发生变化；可能在不同的时间把相同的秘密指定给不同的用户)。在此情况下，SSR的强度取决于发送两个消息间经过的时间(更短的时间导致更强的关系)，从而知道在何时发送了各个消息是很有用的(通常假定为接收到的时间)。

PI1 100和PI2 102具有不止一个与其相关的SI，并且各个SI1可与各个SI2联合使用来检查两个消息是否具有SSR。此外，每对SI1和SI2以不止一种方式相关。例如，如下所述，SI1和SI2可能具有‘相同秘密’关系和‘可靠地址’关系。通常，给定PI1 100和PI2 102的SI1和SI2之间的各个附加关系的存在增强了它们的SSR。由多种关系指示的准确强度取决于它们之间的相关程度。

通常，如果SI更加普通(即，包含于更多人的消息中)，则SSR较弱，因为它增大了来自不同人的消息被认为是来自同一人的可能性。

作为SI使用的秘密应该在使用中以某种方式进行保持。该秘密通常保持在用户设备12或者由用户10记住。

以下为实现这些方法的示例：

IP地址

互联网协议(IP；参见RFC 791)数据报(或者分组)在各个数据报的‘源地址’字段中包含发送者的IP地址(‘源地址’)。因为对于欺诈者来说，通常不容易发现他想要冒充的人的地址，所以源地址可用作为秘密。即使发送者对此字段具有完全控制力，它也可以用作为‘可靠地址’，因为一些IP网络会拒绝传输疑为进行了欺骗的IP报文(即，源地址并没有被指定给它们的发送者的数据包)，使得欺诈者难以传输这样的数据包。由于并非所有网络都采取了这种措施，所以源地址是较弱的‘可靠地址’。

可以通过进行“秘密握手”来显著提高作为‘可靠地址’的IP地址的可靠性。‘秘密握手’是向一个地址发送秘密并回收该秘密(或者其派生物)的过程。在大多数IP环境中，难于窃听发送给另一用户的消息。从而，该过程表示秘密被发回的消息(以及包含在带有该秘密的完整消息中的任何消息)是由使用该秘密所发送到的IP地址的用户在该用户接收到该秘密时发送的。

与两个消息相关的两个IP地址之间关系的强度取决于指定IP地址以及在网络中使用该IP地址的方法。在互联网中，IP地址被指定给互联网服务提供商、公司和其它机构(‘所有者’)，它们将其指定给它们的用户。这样的指定通常是暂时的并且期限可变。在一些情况下，一个地址被指定并且由同一用户使用几个月或者几年，而在另一些情况下，它只被用上几分钟。从而，相同的地址可在不同时间用于不同的用户。同一地址也可以同时用于几个用户，如多用户计算机以及使用网络地址端口转换(NAPT，参见RFC 2663)与互联网连接的计算机的情况。估计使用相同地址的用户数量有益于关系强度的分析。

如果两个IP地址相同并且可靠，通常认为有很强的关系。关系的准确强度(两个消息由同一发送者发送的可能性)取决于发送这两个消息间经历的时间(更短的时间导致更强的关系)；IP地址所分配的时间(更长的时间导致更强的关系)；同时使用该IP地址的用户数量等。有时可以通过校验IP地址的所有者来得到该IP地址通常所分配的时间的很好的估算，IP地址的所有者可以通过执行反向域名系统查找(也被称为反向DNS查询，参见RFC1034和RFC1035)或者‘whois’查找(参见RFC954和荷兰阿姆斯特丹的RIPE，文件ripe-238)来得到。例如，与由服务于家庭用户的互联网服务提供商(ISP)所有的IP相比，由公司所有的IP通常会在较长的时间内分配给其用户(职员)。

IP地址之间的另一个关系基于即使为用户分配了不同的IP地址，该地址也是由同一实体分配的这一假设。例如，当在不同的场合进行连接时，用户通常使用相同的ISP，而且职员很可能会使用同一公司的网络。

从而，由相同ISP、ISP的相同接入点(POP)、相同组织、两个相关组织、或者属于相同子网使用的两个IP地址比不具有任何上述关系的两个IP地址更加可能指示相同的发送者。由于通常在一个或多个连续的块中分配多个IP地址，所以数字接近(具体而言，如果它们有足够多的高位相同)的IP地址同样具有这种关系。

此外，可以假定即使用户通过不同实体进行连接，这两个实体也位于接近的地理位置(比如，用户在家使用的ISP POP和在工作时使用的公司网络)。一些产品特别适于将地理位置与IP地址联系起来，如AkamaiTechnologies Inc的EdgeScape或者InfoSplit Inc的NetLocator。反向DNS查询和‘whois’查询(如上所述)同样有助于将地理位置与IP地址联系起来。

自然地，指示同一发送者的多个IP地址间关系导致SSR变弱，因为它表示欺诈者有更多的机会来发送与其受害者的消息具有SSR的消息。比如说，与多个IP地址具有同一所有者的关系相比，多个IP地址相同的关系更难以受到威胁。

值得注意的是，通过将相关的IP地址分配给同一用户，将地址分配给用户的实体可以协助检测IP地址间的关系。比如说，ISP可以识别使用用户名和密码的用户(通常利用RFC 1334中说明的密码验证协议或者竞争握手验证协议来进行)并为其分配IP地址，该IP地址在数字上接近于以前分配给他的IP地址。在另一示例中，组织的动态主机配置协议(DHCP，参见RFC2131)服务器可以识别使用其以太网介质访问控制地址(MAC，如IEEE802.11标准中所述)的个人计算机，为其分配IP地址，然后更新该组织的DNS服务器，从而对分配给该计算机的IP地址进行反向DNS查询将得到相关结果(在RFC2136中说明了动态DNS更新)。

物理接口标识

在利用几个物理通讯接口来接收消息并且通常在同一接口(例如，如果各个接口连接到网络中的不同地理区域)上接收来自同一发送者的消息的情况下，物理接口标识可用作为指示‘可靠地址’的SI。值得注意的是在此情况下SI不包含在被接收的消息中，而是本地产生并与各个消息相关联。

UDP端口号

用户数据报协议(UDP；参见RFC768)通常用于诸如互联网的IP网络上的通讯。UDP数据报在各个数据报的‘源端口’字段中包含发送者的UDP端口号。因为对于欺诈者来说，通常不容易发现他想要冒充的人的端口号，所以UDP源端口号可以用作为秘密。通常，UDP源端口号与同一数据报的IP源地址联合使用，因为端口号的意义包含于特定IP地址中。

TCP对话句柄

传输控制协议(TCP；参见RFC793)也经常用于诸如互联网的IP网络中的通讯。

TCP实现了‘指定秘密’、‘相同秘密’和‘可靠地址’方法。它包括秘密握手机制，其中每台主机在连接建立期间发送给其它主机的初始序号(ISN)中存储了秘密，然后从该连接上的其它主机发送的每个TCP段(TCP segment)在其应答号(ACKNUM)字段中包含该ISN的派生物。从而，(a)TCP对话的所有段都被认为来自同一发送者(它们包括一个完整消息中相同秘密的派生物)，(b)发送者的IP地址被认为是可靠的(因为由秘密握手验证)，以及(c)假定所有发出的TCP段都到达呼入TCP段的发送者(因为用于发送它们的IP地址是可靠的)。

值得注意的是不同操作系统(以及各个操作系统的不同版本)使用不同机制来生成ISN。一些机制强于另一些(即，所生成的ISN更不可预测，从而是一个好的秘密)。这就影响了SSR的强度。

TCP对话由‘TCP对话句柄’来标识，‘TCP对话句柄’包括源IP、目标IP、源TCP端口以及目标TCP端口。该句柄允许一个具有一个IP地址的主机同时管理几个TCP对话。在多个用户使用同一IP地址的情况下(比如，NAPT)，不同用户可具有相同的源IP但是不同的TCP对话句柄。从而，与在原始IP分组(raw IP packet)中对消息的源IP地址进行的响应相比，在TCP对话上对消息进行的响应更有可能仅到达该消息的发送者。

使用TCP的协议(比如，超文本传输协议；HTTP；参见RFC2616)可将来自几个发送者的消息聚合为一个TCP对话(比如，当HTTP代理处理从几个用户到一个HTTP服务器的请求时)。在此情况下，各个在对话中接收的响应必须与相应的请求相匹配。例如，HTTP服务器需要在给定的TCP对话上按其接收请求的次序发送其响应。

加密协议

诸如传输层安全(TLS；参见RFC2246)的加密通讯协议实现了‘相同秘密’方法。在此情况下，加密被定义为将消息与秘密结合在一起的过程。从而，用相同(或者相关)加密密匙加密的两个消息被认为是来自同一发送者。

HTTP Cookie

HTTP Cookie机制(如美国专利5774670和RFC2109中所述)允许接收到HTTP请求的主机使发送者应各个满足特定条件的请求发送特定的信息元素(Cookie)。从而，cookie可用作为一种实现‘相同秘密’和‘指定秘密’方法的机制。具体而言，当在HTTP响应中分配包含秘密的cookie(‘秘密cookie’)时，包含相同秘密cookie的所有随后HTTP请求被认为是来自该秘密cookie所发送到的同一发送者。

一些cookie(被称为‘安全cookie’)只能在发送HTTP请求的通讯信道安全的情况下才能传输，如HTTP安全(HTTPS；参见RFC2818)连接。安全cookie与常规cookie相比能提供更好的安全性，因为它们不以明文传输，从而更不易于受窃听。此外，当使用安全通讯信道时，客户通常会利用服务器证书来鉴别服务器的身份(证书的解释参见RFC2459)，所以将得到cookie被发送给合法服务器的很高的置信度。

用户名和密码

在互联网上经常使用用户名和密码来限制使用某些服务。用户名和密码可以由用户选择或者在线分配给用户。HTTP基本验证方案(参见RFC2069)是在HTTP对话中请求和发送用户名及密码的方法。用户名和密码也可利用在线表单来获取，如超文本标记语言表单(HTML；参见RFCl866)，文件传输协议(FTP；参见RFC959)，Telnet(参见RFC854)及其他服务也包含用于获取用户名和密码的机制。

用户名和密码可作为‘相同秘密’和‘指定秘密’方法的一种实施方式。具体而言，包含相同用户名和密码的任何消息被认为来自同一发送者。如果用户名和密码是指定的(不是由用户选择的)，则包含用户名和密码的消息被认为是来自该用户名和密码所分配给的同一发送者。

值得注意的是，在许多情况下，用户名和密码的使用是自动的。例如，对于HTML浏览器来说，为用户提供用户名和密码保存并且当需要它们时自动提供它们是很普通的。

软件客户端

当与在线服务提供商进行通讯时，安装在用户设备上的一些软件客户端会报告唯一的标识。为了为客户端的所有者提供个性化服务，这种唯一标识允许在线服务提供商识别客户端的所有者。这种标识应该是秘密的(以防止冒充)，从而这些客户端可实现‘相同秘密’和‘指定秘密’方法。

这种常用软件客户端的一个示例为即时消息客户端(IMC)，如ICQ、AOL Instant Messenger、MSN Messenger以及Yahoo！Messenger，可分别在www.icq.com、www.aol.com/aim、messenger.msn.com以及messenger.yahoo.com中找到它们。只要用户连接到即时消息服务(IMS)，这些IMC就会报告该唯一标识(可以是用户选择的用户名和密码，分配给客户端的大随机数等)。

硬件标识

硬件标识可用作为软件客户端的唯一标识，例如当软件客户端需要该唯一标识与运行它的设备关联时。硬件标识的示例为Intel PentiumIII处理器的序列号(根据Intel的专利申请WO00/51036)，以及全球唯一的以太网MAC地址。

可以无需使用软件而报告一些硬件标识并用于实现‘相同秘密’方法，如以太网MAC地址，它通常与各个以太网数据包一起发送。

秘密URL

统一资源定位符(URL；参见RFC1738)也可用于实现‘相同秘密’和‘指定秘密’方法。例如，浏览HTML站点的用户接收包含链接到其他HTML网页、图像、声音等的URL的HTML网页。提供这些HTML网页的主机可在各个这些URL(‘秘密URLs’)中设置秘密。任何包含这种秘密URL的HTTP请求被认为是来自该HTML网页所发送给的同一发送者。

如下面详述中说明的那样，也可在获得SI的过程中使用秘密URL。

Email报头

基于简单邮件传输协议(SMTP；参见RFC821)的电子邮件消息包含数个SI。大多数的这种SI是由用户的电子邮件软件自动提供的项目，如发送者的姓名和Email地址(SMTP中的“From：”报头或者SMTP中的“MAILFROM：”命令)、发送者的组织(STMP中的“Organization”报头)、发送者的设备标识(SMTP中的“HELO”命令或者SMTP中的“Received：”报头)、发送者设备上的时间和时区(RFC822中说明的“Date：”报头)、以及在消息主体中用户的个人签名(为了简单起见，签名同样被认为是“Email报头”)。这些SI(由用户或设备)在用户的设备上生成一次，然后与所有电子邮件消息一起发送。从而它们实现了‘相同秘密’方法。

许多用户在基于网络的电子邮件服务(WBES)上管理他们的电子邮件帐户。WBES站点为可通过网络接口访问电子邮件服务的用户提供了电子邮件服务(HTML over HTTP)。由Microsoft(www.hotmail.com)所有的Hotmail和Yahoo(mail.yahoo.com)的Yahoo Mail为两个流行的WBES的示例。在这些情况下，SI被存储在服务器上而并非存储在用户设备上。

值得注意的是，大多数这样的SI并非强秘密，因为它们并不难以预测，并且暴露于发自用户的电子邮件的所有收件人。

此外，如下面详述中说明的那样，许多SI与用户的PI紧密相关，并且应该据此来进行处理。

在电子邮件消息中发现的另一SI为用户IP地址，该IP地址是在用户设备和其电子邮件服务器间的通讯中获得的，并且通常在SMTP“Received：”报头中报告。此连接通常是TCP的(用于SMTP和HTTP中)，从而该IP地址为‘可靠地址’。然而，由于IP地址通常由用户的电子邮件服务器来报告(并非直接从用户处获得)，从而地址的可靠性就取决于用户电子邮件服务器的可靠性。

HTTP报头

类似于电子邮件消息，HTTP请求包含数个实现‘相同秘密’方法的SI。例如，在HTTP“User-Agent”报头中提供了操作系统的类型和版本及HTTP客户端；在HTTP“Accept：”、“Accept-Encoding：”和“Accept-Language：”报头中提供了HTTP客户端接受的文件类型、编码和语言。

包含在HTTP标准中的‘HTTP确认模型(HTTP validation model)’定义了可用于实现‘相同秘密’和‘指定秘密’方法的多个报头。这些报头的内容通常被储存在用户设备(即HTTP客户端)高速缓存中，并和一些请求一起被发送给HTTP服务器。例如，当响应给定URL的请求时，HTTP服务器可在‘Last-Modified：’报头中为各个HTTP客户端提供不同的时间戳(time stamp)。然后，包含在同一URL的随后请求中的‘If-Modified-Since’报头将包含由该服务器发送的客户端特定时间戳。在类似示例中，HTTP服务器可在‘Etag’报头中为各个HTTP客户端提供不同的实体标签(entity tag)，并且这些客户端将使用‘If-None-Match’报头来在随后的请求中提供这些实体标签。

消息时间戳

由于各种原因，发自同一发送者的消息在时间上不是平均分布的(例如，当用户睡觉或者没有连上网络时，他们不发送消息)。此外，许多发送者的行为是周期性的(例如，每个下午或者每个周末)。从而在相关时间(例如，在短的时间范围内，不同日期的相似时间，不同星期的同一天)发送的消息更有可能是从同一发送者发出的。

SI获取

在一些情况下，为了获取特定的SI需要特殊的处理。

例如，cookie仅随HTTP请求一起被发往特定域和URL路径。为了获得来自用户设备12的cookie，就必须向特定域和URL路径发送HTTP请求。当作为发往一个在线服务提供商(OSPA)的消息的结果而启用本发明，而要获得的cookie是由另一在线服务提供商(OSPB)发出时，这一点尤为相关。

由于OSPA和OSPB通常使用不同的域名，所以用户设备12不会把cookie和HTTP请求一起发送给OSPA。从而，应该使用户设备12利用相关的路径向OSPB的域中的主机名(例如，si-obtainer.ospb.com)发送HTTP请求。这将导致发送cookie。接收该请求的部件为如下所述的SI获取器42。当用于发出cookie的主机名处于OSPB的域中，SI获取器42不必由OSPB控制——OSPB仅需要在它的域中定义一个指向SI获取器42的主机名或者IP地址的主机名。

通常OSPA不知道需要什么域和路径来发布OSPB的cookie，而SI获取器42具有这些信息(例如，因为它是由与OSPB合作的公司运营的)。如上所述，在此情况下，OSPA将使用户设备向指向SI获取器42的已知主机名(例如，si-obtainer.com)发送HTTP请求，而SI获取器42将使用户设备向OSPB的域发送HTTP请求。

如果要获取的cookie是安全cookie，则会调用相同的过程，除了要使用户设备发出安全请求，例如通过在请求URL中指定‘https’协议标识。此外，为了允许客户端鉴别处理该请求的服务器的身份，会向SI获取器42颁发表明OSPB的域下的主机名的服务器证书，该证书将出示给客户端。

在另一示例中，需要从用户或者其设备中获取用户名和密码。在此情况下，向用户设备发出输入用户名和密码的请求。这可以是HTTP基本验证(HTTP Basic Authentication)的验证请求或者用于输入用户名和密码的在线表单。这就使得用户输入其用户名和密码，或者调用提供这些详细信息的自动机制。为了调用此类自动机制，必须使用户设备以与获得cookie的情况类似的方式向特定的URL和路径发送HTTP请求。

在另一示例中，需要特殊处理来获取用户设备的IP地址。如果来自用户设备的通讯要经过HTTP代理服务器或者网络地址转换(NAT；参见RFC2663)，则这一点是必须的。在PCT申请WO01/13289中说明了在此情况下用于获取IP地址的方法。

在另一示例中，由提供给用户设备的软件客户端获得SI。由于在用户设备上运行的软件通常比在线服务具有更高的优先级，所以它可以直接访问存储在用户设备上的SI(比如，HTTP cookie、软件标识、硬件标识、所保存的用户名和密码等)并将它们发送给SI获取器42。

上述一些方法需要使用户设备12发出特殊请求。对此一种方法是利用HTTP重定向(HTTP Redirection)机制。另一方法是在发送给用户设备的HTML页面中嵌入对诸如图像(也称为“web beacon”)或者弹出窗口等网络对象的链接，从而它可以发送所要求的请求，以提取该网络对象。诸如JavaScript(对JavaScript的解释参见Netscape开发者网站developer.netscape.com)的客户端脚本语言可用于创建无用户干预的弹出窗口。然而另一方法要求安装在用户设备12上的软件客户端发送所需的请求，例如通过该软件客户端所理解的专用协议，或者通过与之相关的MIME类型(对MIME类型的解释参见RFC2046)调用软件客户端。

暴露SI的请求必须与由同一用户发送的先前消息具有SSR。这是必须的，从而来自不同用户的并行请求将不会被混淆，也可以防止欺诈者发送请求并接管其他用户的对话。这通常使用‘指定秘密’方法和秘密URL来进行。

如果由于某种原因，OPSA已经使得用户设备发出了要求OSPA外部服务的请求，比如电子钱包、单点登录服务、交易验证服务、或者在线广告网络，可与上述任何方法相配合地使用这类服务，以发出任何所需的请求，而对OPSA带来最小的改变或没有改变。当几个在线服务提供商使得用户设备发出对同一外部服务的请求时，为此使用这种外部服务的益处将更加显著。电子钱包和单点登录服务的示例为MicrosoftPassport、AOL Quick Checkout和Yahoo Wallet。交易验证服务的示例为‘3D Secure’。在线广告网络的示例为来自纽约的24/7 Real Media。

SSR链

SSR也可基于SSR链。如果消息A与消息B具有SSR，并且消息B与消息C具有SSR，则消息A和消息C也具有SSR(由于所有这三个消息为来自同一发送者)。

自然，与消息B和消息C之间的SSR相比较，消息A和消息B之间的SSR可为不同类型，并且各个SSR也可基于与消息B相关的不同SI。例如，当与IMS(消息B)相连时，IMC可在TCP对话中发送唯一标识，并且消息A可具有与消息B(由TCP‘秘密握手’验证)一样的IP地址，而消息C将包含相同的唯一标识。在另一示例中，两个SSR基于与秘密URL和秘密cookie之间的‘相同秘密’关系，其中秘密URL和秘密cookie均包含于同一HTTP请求中。在另一示例中，一个SSR是与HTTP请求中的秘密cookie成为‘相同秘密’，而另一个基于具有相关的IP地址(‘可靠地址’)。

当与来自同一用户的消息相关的SI随时间发生变化时，SSR链尤为有用。例如，如上所述，互联网用户使用的IP地址随时间发生变化，从而由同一用户发送的两个消息的源IP地址可能仅具有很弱的SSR，或者根本没有SSR。在此情况下，从该用户发送的其它消息可用于找寻两个消息之间的SSR链。一些在线服务提供商更可能接收此类消息。一个示例为从大量不同用户处接收到HTTP请求的频繁访问网站(FVW)，其中各个请求包含一个IP地址和一个秘密cookie。另一示例为IMS，每当用户连上互联网时，IMS接收到来自用户的登录消息，其中各个登录消息包含一个IP地址和一个唯一标识。另一示例为从大量用户处接收到电子邮件的在线服务提供商，其中，如上所示，各个电子邮件在其电子邮件报头中包含一个IP地址和几个秘密。

基于SSR链的SSR为欺诈者进行攻击(任何链接均可受到攻击)提供了更大的可能性，从而相对更弱。

在SSR链的另一示例中，在来自IP地址D的HTTP请求D中接收到消息D，并且当IMC在来自IP地址E的TCP中与IMS相连时，发送消息E。反向DNS查询显示出IP地址D和IP地址E已分配给了同一公司。

在此情况下的SSR链如下：(a)消息D包含于HTTP请求D中(一个TCP对话中的相同HTTP请求)；(b)HTTP请求D是从IP地址D(在TCP对话中显示的IP地址)发出的：(c)IP地址D和IP地址E被分配给了同一公司(‘可靠地址’)；以及(d)消息E是从IP地址E(在TCP对话中出现的IP地址)发送到IMS。

从而消息D和消息E被认为源自同一发送者。

在SSR链的另一示例中，在来自IP地址A的HTTP请求A中接收到消息A。在接近于发送消息A的时刻从IP地址A发送的HTTP请求B包含消息B和秘密cookie，并在FVW中被接收。在FVW中接收的HTTP请求C包含消息C和与HTTP请求B相同的秘密cookie。

在此情况下的SSR链如下：(a)消息A包含于HTTP请求A中(一个TCP对话中的同一HTTP请求)；(b)HTTP请求A是从IP地址A(在该TCP对话中出现的IP地址)发出的；(c)HTTP请求A和HTTP请求B均源自IP地址A并在相近的时刻被发送(‘可靠地址’)；(d)HTTP请求B和HTTP请求C包含相同的秘密cookie(‘相同秘密’)；以及(g)消息C包含于HTTP请求C中(一个TCP对话中的同一HTTP请求)。

从而消息A和消息C被认为源自同一发送者。

在SSR链的另一示例中，在HTTPS请求F中接收到消息F。响应于消息F，一个安全秘密cookie被指定为限于域“f.com”。在HTTP请求G中接收到消息G。响应于消息G，用户设备被重定向到域“f.com”中的秘密HTTPS URL，使其发送秘密cookie。

在此情况下的SSR链如下：(a)消息F包含于HTTPS请求F中(由加密方法实现的‘完整消息’)；(b)随秘密HTTPS URL一起发送的安全秘密cookie是响应于HTTPS请求F而分配的同一cookie(‘指定秘密’)；(c)秘密HTTPS URL是发送给HTTP请求G的发送者的URL的同一秘密URL(‘指定秘密’)；以及(d)消息G包含于HTTP请求G中(一个TCP对话中的相同HTTP请求)。

从而消息F和消息G被认为源自同一发送者。

在SSR链的另一示例中，在来自IP地址H的HTTP请求H中接收到消息H。电子邮件消息I是在接近于发送HTTP请求H的时间从IP地址H发出的。电子邮件消息J从IP地址J发出，并与电子消息I具有相同的发送者姓名、发送者设备标识、时区和个人签名。HTTP请求K是在接近于发送电子邮件消息J的时刻从IP地址J发出的，并包含秘密cookie。HTTP请求L包含消息L，以及与HTTP请求K相同的秘密cookie。

在此情况下的SSR链如下：(a)消息H包含于HTTP请求H中(一个TCP对话中的相同HTTP请求)；(b)HTTP请求H是从IP地址H(在该TCP对话中出现的IP地址)发出的；(c)HTTP请求H和电子邮件消息I均源自IP地址H并在相近的时刻发出(‘可靠地址’)；(d)如上所述，电子邮件消息I和电子邮件消息J具有相同的SI(‘相同秘密’)；(e)HTTP请求K和电子邮件消息J均源自IP地址J并在相近的时刻发出(‘可靠地址’)；(f)HTTP请求L和HTTP请求K包含相同的秘密cookie(‘相同秘密’)；以及(g)消息L包含于HTTP请求L中(一个TCP对话中的相同HTTP请求)。

从而消息H和消息L被认为源自同一发送者。

同一人条件

定义

成功的验证需要PI1 100和PI2 102标识同一人。这就是同一人条件(SPC)。如果PI1 100和PI2 102具有同一人关系(SPR)，则满足SPC。SPR强度(决定SPC的强度)是可变的并取决于若干因素。通常，如果PI1 100和PI2 102更不特殊(即，与更多的人相关)，则SPR更弱，因为这产生了更多的不同人会被视为同一人的情况。例如，PI2 102可为信用卡号码的后4位数，并且PI1 100为以该4位数结尾的卡号。在此情况下，即使PI1 100实际上可能是与生成PI2 102的卡号不同的卡号，PI1 100和PI2 102也被视为标识同一人。这就给予欺诈者更多的机会，因为他可使用任何与PI2 102的后4位一致的卡。当PI2 102变为更不特殊(例如，包含更少数字)，就更易于找到匹配的卡，使得更加容易攻击并且SPR更弱。

当评估PI1 100或者PI2 102有多么特殊时，使用描述各种个人标识在相关人群中的普遍性的数据库是有益的。例如，如果PI2 102包含姓名，则各种姓名的普遍性的描述有助于评估PI2 102有多么特殊。

人们有时可能会改变他们的一些PI(例如，一个人的街道地址可能会改变；一个人的信用卡号码可能会改变)。在此情况下，SPR的强度取决于发送两个PI之间经历的时间以及人们改变这些PI的倾向性。

评估PI1 100和PI2 102是否标识同一人的一种方法为，通过检查它们是否包含相同部分来对它们进行文字相似性检查。例如，PI1 100和PI2 102可以是完全相同(例如，相同的全名)。在另一示例中，PI2 102包含全部或者部分PI1 100(例如，PI2 102包含一个信用卡号码，而PI1100包含该号码的后4位数)。在另一示例中，PI1 100包含全部或者部分PI2 102。通常，如果PI1 100和PI2 102的相同部分更大且在统计上更突出，则SPR更强。

在一些情况下，需要更复杂的处理来找到PI1 100和PI2 102之间表示它们具有SPR的关系。例如，PI1 100和PI2 102可以具有带有合理拼写差异的相同部分(比如，‘第四十二街’和‘第42街’)。在另一示例中，PI1 100可以包含PI2 102的简写或者反过来(例如，电子邮件‘jhdoe2002@mail.com’和姓名‘John Henry Doe’)。在另一示例中，PI1 100和PI2 102包含数字接近的电话号码(即，仅在最后几位不同的号码，如555-1280和555-1281)，与两个随机号码相比，这更可能标识同一人(因为电话公司经常分配连续电话号码给同一客户)。在另一示例中，PI1 100和PI2 102包含地理上接近的地理参数，与两个随机地理参数相比，则更有可能标识同一人，因为人们更可能到附近地点(比如，邻居家、附近的网吧、他的工作地点等)而不是很远的地点。这些参数的示例是同一街道上的连续房号或者通过几何计算得到的接近的两个经度/纬度坐标。

使用PI目录

在一些情况下，需要使用PI目录来检测SPR。

PI目录是一个包含记录的数据库，各个记录与两个或者更多PI相关，其中至少存在一个人由同一记录中的每个PI标识。在此，数据库是可以应答有关记录内容查询的任何系统或者系统的组合。

例如，各个白页(white page)目录中的记录与由特定姓名、地址和电话号码标识的个人相关。

另一示例为信用卡发行银行的数据库，其中各个记录与由姓名、信用卡号码和帐单地址(寄送信用卡帐单的地址)标识的个人相关。

另一示例为将地址与地理参数(例如，经度和纬度)，或者将移动电话号码与移动电话的当前地理位置关联起来的地理目录。

另一示例为将各个电子邮件地址与使用该电子邮件地址的个人姓名关联起来的电子邮件目录。可通过分析电子邮件消息来自动生成电子邮件目录，因为该地址字段(From、To和CC)通常包含收件人或者发件人的姓名及其电子邮件地址。在此情况下，应该验证电子邮件消息是否来自于可信来源以防止在该目录中添加错误或欺骗记录。

其他PI目录可能更不特别，比如描述姓名和国别之间关系(特定国家中特定姓名的普遍性)的目录。这类PI目录中的各个记录描述特定国家中具有特定姓名的人的数量(或比例)。

一些PI目录与相同类型但是不同时间的PI相关。例如，地址变更数据库中的各个记录包含同一人(或者家庭)在不同时期的地址。

一些PI目录是为在线标识目的专门创建的。例如，在下面描述的向用户邮寄地址发送代码的情况下，创建PI目录以将各个代码与它所发往的姓名和地址关联起来。在另一示例中，上面描述的PayPal系统使用了将各个信用卡号码与支取信用卡时使用的密码关联起来的PI目录。

值得注意的是，通过使一个信息元素与PI目录中的一个PI相关联，该信息就变成了一个PI。例如，当分配ID号码给各个公民(例如，由其全名、出生日期和父母姓名标识)而创立政府数据库时，各个此种ID号码就变成了PI。

当使用PI目录时，如果记录使一个与PI1 100具有SPR的PI和另一个与PI2 102具有SPR的PI相关联，则PI1 100和PI2 102具有SPR。

可以通过以下两种方法访问PI目录：在第一种方法中，一些(但并非全部)PI作为查找相关的一个或多个记录(包含与查询中的PI具有SPR的PI的记录)的查询，并且如果找到，则提取并发送该一个或多个记录作为响应。为了最小化数据传输或者保持信息保密性，也可以限制在响应中发送的记录的数量(例如，仅发送最近的记录)，或者从各个记录发出的PI(例如，不发送已经出现在查询中的PI)。

例如，如果PI1 100为电话号码，且PI2 102为全名和地址，则向白页目录发送包含PI2 102的查询以查找包含与PI2 102具有SPR(比如，带有拼写差异的相同姓名和地址)的PI的记录，并且响应包含所有与该姓名和地址相关的电话号码。如上所述，随后检查所提取的号码是否与PI1 100具有SPR。在另一白页示例中，查询是一个电话号码并且响应包含相关的姓名和地址(通常称为‘反向电话查询’)。

在第二种方法中，至少给出两个PI作为查询，并且响应描述了是否存在相关记录，表示是否存在由这些PI标识的个人(或者存在多少这样的个人)。例如，如果PI1 100包含信用卡号码，PI2 102包含地址，则向上述的AVS服务发送包含PI1 100和PI2 102两者的查询，响应为是/否，表示是否存在卡号与PI1 100具有SPR(即与PI1 100相同)并且地址与PI2 102具有SPR的记录。找到这种记录通常表示PI2 102是由PI1100标识的信用卡帐户的所有者的帐单地址。

当然，两种方法的任何组合也是可能的。例如，查询可以包含两个PI，并且响应描述是否存在这样的记录，如果存在，则包括来自同一记录的第三个PI。

在一些情况下，不明确提供针对查询的响应，而是在另一动作中暗示出来。例如，提交交易的在线商家可包含地址信息，并且只有该地址通过了AVS校验才批准该交易。在此情况下，成功的交易授权表示AVS匹配。

在一些情况下，没有针对PI目录的明确的查询，而是作为另一动作的结果而接收到响应。例如，作为在线购物过程的一部分，OSP 14可从用户10处接收到电子邮件。这个邮件包含了用户10的姓名和电子邮件地址之间的关联，从而相当于来自电子邮件目录的响应。

值得注意的是，可在任何可用平台上进行PI目录的访问。例如，一个人可以手动向发卡银行拨打声讯电话来验证信用卡号码和持卡人姓名之间的匹配。

值得注意的是，PI目录的使用可能会弱化PI1 100和PI2 102之间的SPR，尤其是当使用没有描述一对一关系的PI目录时。这类目录增加了将不同人识别为同一个人的情况。具体而言，当一种类型的PI(例如，SSN)被另一类型的目录关联PI(例如，具有SSN的个人的地址)所替代时，被标识的组增加为所有具有与第二PI目录关联的第一种类型PI的人(例如，所有与该个人居住在同一地址的人)，并且无法区分他们。

PI目录可用于找到由PI2 102、PI1 100或者这两者标识的人的总数(或者比例)。如上所述，这些数量有助于评估SPR的强度。

在一个示例中，PI1 100为社会安全号码(SSN)，PI2 102为信用卡号码。信用卡发行商数据库用作将信用卡号码和SSN关联起来的PI目录。该PI目录可显示仅有一个人具有该SSN和信用卡号码，表示该卡发给了一个人。这通常表示强SPR。

在另一示例中，PI2 102为公寓楼的地址，PI1 100为全名。白页目录显示具有该姓名的一个人居住在该地址。然而，它也显示几个其他的人居住在该地址。从而SPR不如前一情况那么强。

在另一示例中，PI2 102是名字，PI1 100是国家。描述不同国家中名字普遍性的PI目录显示在该国许多人具有该名字，而在该国之外较少有人是这个名字。这就表示存在SPR，但是不如前一情况那么强。

也值得注意的是，PI目录的准确性和可靠性也可影响SPR的强度。当评估SPR时，需要考虑PI目录中遗漏、过期或者错误记录的可能性。

SPR链

SPR也可基于SPR链。如果PI A与PI B具有SPR，并且PI B和PIC具有SPR，那么PI A和PI C也具有SPR(因为所有三个PI标识同一人)。各个SPR可为不同类型并基于PI目录。

例如，PI2 102为姓名，PI1 100为信用卡号码。使用白页目录来查找与该姓名关联的一个或多个地址。然后，用AVS服务来验证该地址(或者这些地址之一)是针对PI2 102中信用卡号码的帐单地址。这显示PI1100和经由第三PI(地址)的PI2 102之间的SPR。

SPR链或者多个PI目录的使用更加弱化了SPR(与上述使用一个PI目录相比)。在最后的示例中，相关组增大为任何具有相同姓名的人，这些人具有与该卡相关的地址相同的地址。

此外，当使用SPR链时，在评估SPR强度中，只考虑该个人标识的匹配部分。例如，PI‘john2002’包含PI‘John Doe’的一部分，其中PI‘John Doe’包含PI‘bobdoe’的一部分。然而，由于每对PI的相同部分完全不同(第一对中的‘john’，和第二对中‘doe’)，所以在‘john2002’和‘bobdoe’之间没有明显的SPR。

在针对PI目录查询的响应包含大量在另一查询(比如，如下所述，发往另一PI目录或者PISIDB)中使用的PI的情况下，为了减少查询的数量，可由OSP 14提供附加PI。在上面给出的AVS示例中，用户地址可随其姓名一起提供。不是利用所有与白页目录中姓名相关的地址进行AVS查询，而是进行一个查询以验证该姓名与所提供的地址相关，并且进行AVS查询以验证所提供的地址与该卡相关

PI2为真条件

成功的验证需要PI2 102标识PI2的发送者106。这就是PI2为真条件(PTC)。PI2为真的可能性(称为PI2验证级别)是可变的并取决于若干因素。具体而言，考虑到用于验证该PI2 102为真的方法及欺诈的可能性。存在若干此类方法：

已有的验证方法

PI2 102可利用任何用于验证个人标识的已有方法进行验证。例如，如果PI2 102包含欺诈者通常不易得到的信息(例如，有效的信用卡号码或者银行帐号)或者如果这样的信息随PI2 102一起提供(如与银行帐号匹配的PIN，或者上述Equifax问卷的正确响应)，则PI2 102被视为真。

成功离线行为

验证PI2 102的另一种方法是基于PI2 102执行成功离线行为。

例如，如果PI2 102为在线购物过程中接收的信用卡号码，为所购产品对该卡进行支取并且没有接收到争议，则核实了PI2 102。

值得注意的是，由于争议通常不是立即报告的，在PI2 102可被认为是真之前，要在支取后经历相当长的时间(通常几个月)。

可以通过跟踪有争议的交易并相应标记PI2 102来检测是否发生了争议。可选择地，可以在经历了足够长的时间后将帐户验证为有效(例如，通过发送信用卡授权交易)。由于在无授权使用后，帐户通常被冻结，这就保证了无争议发生。

在通过离线行为进行验证的另一示例中，向邮件地址发送唯一的秘密代码，并且收件人需要在线地提交该代码。该唯一秘密代码标识了用户并在本发明中用作PI2 102。发送代码的一方创建将其发送的各个代码与其发往地址关联起来的PI目录。在其中提交了该代码的通讯标识了发送者，并从而验证了PI2 102。这通常表示发送者为与PI目录中该代码相关的地址的居民。挂号信或者其它安全信件服务的使用可提高这种方法的强度。用户可以在线手动提供该代码(例如，在表单中输入)，或者该代码可包含于计算机可读介质中并自动提供。

以类似方式，可在电话中把代码发送给特定电话号码。其中送回了该代码的通讯表明其发送者为有权使用该电话号码者。在语音通讯或者数据通讯对话(例如，使用调制解调器)中可在电话上提供该代码。

可选择地，响应于包含电话号码(PI2 102)的通讯而在线显示该代码。随后，用户在电话中向(或从)该号码提供该代码，如上述验证系统中所述。只要该代码的发送者确定该代码没有被未授权人接收到，则这可以核实PI2 102。

非欺诈特有的使用模式

用于验证PI2 102的另一方法为分析其接收条件是否不是欺诈所特有。

一种此类方法为分析PI1 100和PI2 102发送时的时间戳。由于在线身份欺诈攻击通常发生在较短的时期内(比如，盗取信用卡和其被冻结之间的时期)，可以假定如果PI2 102在PI1 100被发送之前或者之后相当长的时期后被发送，并假定SPC和SSC为真，那么PI2 102为真(从而也可核实PI1 100)。否则，将表示欺诈者在很长的时期上两次冒充了同一人，这是非典型的(也就是说，可表示他预先知道其受害者的身份或者他在获得该信息和利用其进行欺诈之间等待了相当长的时期等)。从而，‘相当长时间’为显著长于对一个受害者进行典型欺诈攻击的时间期限。

在另一方法中，如果PI2 102是提供给一种欺诈者没有欺诈动机的服务，则PI2 102被认为是真。例如，获取了他人信用卡详细信息的欺诈者将没有理由用注册在卡上的姓名去注册免费在线约会服务。从而，在免费在线约会服务中接收到的PI2 102(例如，在注册过程中)可被认为是真。

在另一方法中，如果PI2 102与合法用户所特有的重大在线活动有关，则PI2 102被认为是真。由于欺诈者仅为欺诈的目的去冒充一个受害者，‘重大在线活动’定义为在欺诈目的之外使用被盗的身份。例如，如果PI2 102在注册过程中被提供给基于网络的电子邮件服务，并且相关电子邮件帐户显示为从其他合法用户处发送和接收了大量有意义的消息，那么PI2 102可被认为是真。

在另一方法中，当由PI2的发送者106使用的设备没有显示出已清除了cookies和其它独特信息元素时，PI2 102被认为是真。这可用于验证PI2 102，因为在实施欺诈前，欺诈者倾向于在他们的设备中清除这些信息元素，以使将来的欺诈调查复杂化。可以使用上述获得SI的方法(尤其是获得cookie或者用户名和密码的方法)来检查设备是否被清除，其中不能获得任何SI表示设备已被清除。

值得注意的是，执行本发明改变了恶意用户在被认为是非欺诈所特有的条件下发送PI2 102所获得的利益。具体而言，通过这样做，会增加他们基于PI1 100的不正确验证而被接受的欺诈交易的可能性。

可以预期，当欺诈者得知本发明时，他们将试图模仿这些条件，从而使得它们不再‘非欺诈所特有’。从而，当评估是否在非欺诈所特有的条件下接收到PI2 102时，应该考虑到在发送PI2 102时得知本发明的欺诈者的数量。

可信授权代理

在另一方法中，如果PI2 102是由PI2的发送者106(如上所还)的授权代理提供的，并且已知该授权代理是可信的，则PI2 102被认为是真。例如，当在大型公司的电子邮件服务器上注册新员工时，该公司的系统管理员可被信任来提供真实详细信息。假定只有系统管理员才可以进行注册，则在注册过程中向公司电子邮件服务器发送的PI2 102被认为是真。

递归

另一种选择是递归地利用本发明来验证PI2 102。在此情况下，用另一PI(PI3)来核实PI2 102满足验证条件：PI2 102和PI3应该表示同一人，PI2的发送者106和PI3的发送者应该是同一人，并且PI3应该为真。

这有效地创建了验证链，其中PI1 100由PI2 102来验证，而PI2 102由PI3验证等等。

系统

图3描述了验证系统30的组成部件。

接收器32负责接收验证请求60，报告器34用于发送验证报告62。

如上详细描述地，验证评估器36负责评估验证条件是否为真。

验证系统30可选地包括PI目录查询模块54，用于向至少一个PI目录56发送查询。验证系统30可选地包括一个或者更多PI目录56。

如上详细描述地，PI目录查询模块54和PI目录56协助验证评估器36来检查SPC。

验证系统30可选地包括PI-SI数据库(PISIDB)查询模块50，用于查询至少一个PISIDB 52。

验证系统30可选地包含一个或者更多PISIDB 52。PISIDB 52是一个数据库，包含PI-SI记录。各个PI-SI记录包含在评估验证条件时可用作PI2 102和SI2的PI和SI。各个这样的SI是在同一记录中PI的发送者的指示。各个记录可选地包括附加的此类SI。各个记录可选地包括PI2验证信息(PI2VI)。PI2VI是用于验证PI2是否为真的相关信息。例如，PI2VI可包含标准在线验证过程的结果、PI2的发送(接收)时间、利用本发明验证PI2的结果等。可以省略PI2VI，例如，当已知PISIDB 52仅包含具有已验证的PI的记录时，当由于其内容PI被认为是真时等。

通常，PISIDB 52是标准的关系数据库，从而使得SI和PI之间的关系简单明了。在其它情况下，PISIDB 52可为文本日志文件，在此情况下，关系可为相关的SI和PI被记录在两个随后的文本分界符之间(例如，它们位于同一行，或者不同行但是在两个随后的空行之间等)。

PISIDB 52的一个示例为数据库，其中各个记录包含一个信用卡号码(PI2 102)和IP地址(SI2)，从该IP地址中接收到该号码。另一示例为一个数据库，其中各个记录包含在通讯中接收到的姓名和家庭住址(PI2 102)、发往该通讯的发送者的独特cookie、以及接收到该姓名和地址的时间(PI2VI)。另一示例为一个由IMS所有的数据库，其中各个记录包含当用户注册服务时接收到的姓名和年龄(PI2 102)、在注册中分配给用户的IMC的唯一标识(SI2)以及注册的时间(PI2VI)。

验证系统30可选地包括哈希值生成器40，如上面详细描述地，用于生成PI和其它信息元素的哈希值。

验证系统30可选地包含SI获取器42，如上面详细描述地，用于获取SI。

验证系统30可以物理地位于任何地点，包括在OSP 14或者独立运营商处。验证系统30的元件可以分布在几个不同地点之间。例如，如果PISIDB 52由在线服务提供商所有，需要其位于其驻地上，那么除了PISIDB 52之外，验证系统30的所有元件可以位于任何地方，而PIDIDB52将保留于在线服务提供商处，并且PISID查询模块50将通过数据网络与之通讯。

当验证系统30的两个元件位于同一设备上或者地理接近的设备上时，它们可以分别在内部数据总线上或者局域网上进行通讯。当它们相隔更远时，它们可以在任何可用的广域网上进行通讯，例如互联网、专用数据网络、CATV数据网络以及移动数据网络。可选择地，这两个元件可为两个在同一中央处理器(CPU)上运行的软件部件，或者一个软件部件的两个部分，在此情况下它们利用CPU的内部元件进行通讯。优选地，任何公共网络上的通讯是利用安全验证通讯信道进行的，如传输层安全(TLS；参见RFC2246)协议。同样的通讯选项可应用于与验证系统30进行通讯的实体(例如，用户设备12和OSP 14)。

使用安全通讯信道几乎总是有益的，比如，用于用户设备12和OSP14之间通讯的HTTPS。例如，如果OSP 14利用与用户设备12的非安全连接来接收PI1 100和SI1，且SI1为秘密，则欺诈者可通过窃听来获得PI1和相关SI1，然后使用它们来冒充用户10。与用户设备12的安全连接将使得这种攻击相当困难。

流程

图4描述了根据本发明优选实施例的典型验证过程。

当OSP 14想要验证其所接收的PI1 100时，它向验证系统30的接收器32发送验证请求60(步骤202)。验证请求60包含PI1 100并且其可选地包含SI1和/或PI2 102和/或SI2和/或PI2VI。它还可包含任何其它信息，这可以协助验证系统30完成它的任务(例如，如上所述，用于限制PI目录查询的PI)。

接下来，验证评估器36评估各个验证条件是否为真(步骤204)。如上面详细描述地，这通常是通过检查信息元素PI1 100、PI2 102、SI1、SI2，有时还有PI2VI来进行的。如果所有所需的信息元素可用，则验证评估器36可直接检查验证条件。

如果缺少一些信息元素，则验证评估器36可利用PISIDB查询模块50来检查与所缺少的信息元素相关的验证条件。这可以通过提取这些信息元素、查询是否存在满足相关验证条件的信息元素(条件查询)、或者通过两者的结合来进行。具体而言，验证评估器36可指示PISIDB查询模块50来查询满足一些验证条件的PI-SI记录，随后从该记录(或者这些记录)中提取检查剩余验证条件所需的元素。

然后，验证评估器36可进入验证条件检查，通过检查：(a)在验证请求60中提供的信息元素；(b)由PISIDB查询模块50提取的信息元素；以及(c)条件查询的结果。值得注意的是，在本发明的情况下，对条件查询结果的检查被认为等同于评估相关条件是否为真。

例如，PISIDB查询模块52提取一个记录，其中PI2 102与PI1 100标识同一个人且PI2VI表示PI2 102已被核实，然后验证评估器36检查所提取的记录中的SI2和SI1是否表示PI1的发送者104和PI2的发送者106为同一人。在另一示例中，PISIDB查询模块50提取一个记录，其中SI2和SI1表示PI1的发送者104和PI2的发送者106为同一人，然后验证评估器36检查所提取的记录中的PI2 102和PI1 100是否标识同一人，并检查所提取的记录中的PI2VI是否表示PI2 102已被核实。在另一示例中，PISIDB查询模块50仅检查是否存在满足所有验证条件的记录，而不从该记录中提取任何信息。

在一些情况下，PI2 102和/或其相关PI2VI被保留在用户设备12中。例如，用户10的全名和提供该全名的时间被保留在cookie中，该cookie可以使用上述任何方法得到。在另一示例中，姓名和时间由安装在用户设备12上的软件客户端保留，当接收到一些专用协议的身份鉴别请求时，软件客户端会发送它们。当直接从用户设备12(或者其它非可靠源)处接收PI2 102或者PI2VI时，应该以某种方式对数据进行保护，因为欺诈者可轻易地编造这些数据并欺骗系统。数据保护方法的示例为HMAC算法或者RSA签名。当使用这些方法时，验证系统30应该请求数据的所有者(即保护数据的一方)来验证数据的真实性。可选择地，数据所有者可以向验证系统30提供数据保护方法的所需详细信息(如相关密码关键字)，从而可以验证数据的真实性。

最后，报告器34向OSP 14发送验证报告62(步骤206)，如同验证评估器36评估的那样，表示PI1 100是否为真。

如果满足所有验证条件，则验证报告器62提供肯定响应。如果并非满足所有条件，则提供否定响应。它也可提供描述PI1 100为真的可能性的分数。下面将对确定发送何种响应的方法以及如何计算该分数进行说明。

验证报告62还可包含更多来自验证处理的信息，如该处理中使用的信息元素(例如，PI2 102、SI2、PI2VI)、SPR强度、SSR强度或者PI2验证等级。

如果PI1 100是PI的集合(比如，姓名和地址)，则验证报告62可为PI1 100的各个子集或者一些子集(比如，如果PI2 102仅与一个PI相匹配)提供单独的结果。

在一些情况下，多次查询PISIDB 52是有利的。例如，如果SSR基于IP地址相似性，则只有在OSP 14发出验证请求60后，FVW才可从用户10处接收包含其姓名(PI2 102)和现有IP地址(SI2)的消息。在此情况下，在发出验证请求60之后创建PISIDB 52中的相关记录，并且在找到这个记录时发送验证报告62(即使已经发送了另一个验证报告62)。可选择地，PISIDB 52可发送这样的更新信息而不需从PISIDB查询模块50接收到另一个查询。

PI1验证等级

由本发明达到的验证等级并非绝对的，从而假的PI1 100可能会被认为是真的，而真的PI1 100可能会被认为是假的。这种失误的可能性是可变的并取决于很多因素。

OSP 14应该确定其验证等级要求。设定这样的要求限制了被欺骗(‘误漏’)，也限制了拒绝真PI1 100的可能性(‘误报’)。这种要求通常根据相关的风险和利益来设定。例如，与运送高利润的廉价货物(比如，软件产品)相比，运送低利润的昂贵货物(比如，电视机)的在线商家需要更高的验证等级。

由于本发明取决于三个验证条件，PI1 100的验证等级取决于SSR强度、SPR强度以及PI2 102的验证等级。当它们更高时，PI1 100的验证等级更高。

在评估PI1 100的验证等级中，应该考虑所有可能的欺诈情节，以及它们对于欺诈者的难度。由于几乎所有欺诈攻击取决于破坏至少一个这些关系，假的PI1 100被认为是真的可能性取决于这些关系被破坏的可能性。

在验证过程中使用的外部数据源的准确性和可靠性也可影响PI1100的验证等级。PI目录56、PISIDB 52、DNS和‘whois’均为这些数据源的示例。

存在若干用于评估PI1 100的验证等级和设定验证等级要求的方法。

一种方法是使用基于规则的逻辑来定义什么情况接受、什么情况拒绝。例如，该系统可配置为仅在下列情况下提供肯定报告：(a)PI1 100是卡号，(b)从用户设备12处获得了安全cookie，(c)cookie与PISIDB52中的姓名(PI2 102)相关，(d)该姓名与发卡行处的和PI1 100相关的持卡人姓名一致，以及(e)在PI1 100之前至少六个月提供的PI2 102。

另一方法利用自动学习技术，比如神经网络。例如，神经网络可接收所有相关参数作为输入(例如，如何验证PI2 102、SSR的方法、SPR的强度等)并且生成PI1 100为真还是为假的评估。利用上述技术的系统需要训练阶段，其中相应地提供输入和预期响应，系统调整自己从而在将来为输入生成正确的响应。

另一种方法利用概率分析。在此方法中，检查所有相关信息作为支持各个可能假设的证据(真PI1 100或者假PI1 100)。使用标准条件概率计算(比如，贝氏定理(Bayes’s Theorem))，可计算PI1 100为假的可能性。该可能性与表示最大可接受风险的阈值相比较，如果可能性高于该阈值，则PI1 100被认为是假的。

PI-SI关联性

当使用秘密作为SI时，应该考虑欺诈者通常知晓其受害者的身份的事实来检查SI的强度。这就致使与通过PI1 100标识的个人的PI相关的秘密更弱。

例如，用户名、电子邮件地址或者‘From：’SMTP报头中的姓名都可能包含发送者的姓名或者其一些派生物(例如，John Smith的用户名可能为johnsmith、john_smith、jsmith、johns等)。从而，它们不被认为是强秘密，因为如果欺诈者知道受害者姓名他可以更容易地猜测到它们。

在另一示例中，知道受害者家庭地址的欺诈者连接与该地址接近的ISP POP，并从该POP中分配到一个IP地址。这就增加了本发明发现该IP地址与受害者过去用于提供PI2 102的IP地址相关的可能性。这降低了作为秘密而不是‘可靠地址’(例如，受害者可能具有一个指定的IP地址，他的ISP不会将其分配给其他用户，从而即使欺诈者知道该地址他也不能使用该特定的IP地址)的IP地址的强度。

影响秘密强度的另一关系是可能冒充用户的人和能够得到用作为该用户的SI的秘密的人之间的关系。当这种关系强时，秘密就更弱。

例如，学生可能从他教师那里盗用信用卡，并使用它从学校图书馆的计算机进行在线购买。该计算机可能先前被该教师使用过并包含分配给该教师的秘密cookie。由于能够使用该计算机的学生比随机欺诈者更可能冒充该教师，所以该秘密更弱并且应该以此来对待。

同样，孩子可能使用其父母的信用卡从其父母的计算机上进行在线购买。

值得注意的是，即使当PI2 102不是标识同一人时，这种关系也可导致正确地验证PI1 100。如果由于两个用户都由同一个PI标识从而一个用户可以得到另一个用户的秘密时，这就可能会发生。例如，父母使用过家里的计算机来注册在线服务，在其中他提供了其姓(PI2 102)并接收了一个秘密cookie。孩子使用同一计算机来注册另一在线服务，发送其全名(PI1 100)。得到该秘密cookie，从中提取出PI2 102并发现与PI1 100匹配(相同的姓)。在此情况下，即使PI1 100和PI2 102由不同发送者发送并标识不同的人，但是同一计算机由具有相同姓的人使用的事实允许PI1 100的正确验证。

其它

哈希处理

在OSP 14不控制验证系统30的所有部件的情况下，可能要求OSP 14不向验证系统30透露用户10的重要标识信息。在这些情况下，在验证请求60中发送给验证系统30之前，对PI1 100(或者它的一部分)进行哈希处理。在此情况下，我们定义哈希处理为按以下方式将一个信息集(源)映射为另一信息集(哈希值)的方法：(a)相同的源信息总是生成相同的哈希值，以及(b)难于从哈希值中推导出源信息。一种通用的哈希处理方法是MD5消息摘要算法(MD5；参见RFC1321)。

当接收到哈希值PI1 100时，在可以比较PI1 100和PI2 102之前，验证系统30应该以与哈希值PI1 100相同的方式对PI2 102(或者来自PI目录的PI)进行哈希处理。由于相同信息总是生成相同的哈希值，PI1100依然可以显示为与PI2 102相同，并且因为难于从哈希值中推导出原始信息，所以保持了信息的保密性。

值得注意的是，不能利用经过哈希处理的PI进行部分比较或者需要复杂处理的比较，因为两个相似但不同的信息元素在哈希处理后通常不保持相似。如果仅有部分PI1 100和PI2 102进行了哈希处理(例如，仅仅是电话号码的最后几位)，或者如果它们在哈希处理之前进行了处理(例如，按限定的拼写方法重新拼写单词，以防止拼写差异)，这些比较依然可以进行。

如果PISIDB 52位于验证系统30的外部，也可以要求不将来自PISIDB 52的PI2 102透露给验证系统30。在此情况下，可以在响应于PISIDB查询模块50发送信息之前先按照相同的方式对该信息进行哈希处理。

也可能要求不将PI1 100透露给PISIDB 52的所有者(假定验证系统30接收到未被哈希处理的PI1 100)。在此情况下，在针对PISIDB 52的查询中发送PI1 100之前，验证系统30先对PI1 100进行哈希处理，并且在将PI-SI记录中的PI与PI1 100比较之前，PISIDB 52先对PI-SI记录中的PI进行哈希处理。

值得注意的是，如果源信息集相对较小，就可能从哈希值中检测到源信息。例如，由于在北美有少于100亿的有效电话号码，通过遍历所有可能电话的哈希值就可以从其哈希值中推导出一个电话号码。在这些情况下，减少哈希值规格是有益的，从而对于各个哈希值将有许多可能的源信息实例(比如，如果有100亿个电话号码并且使用3位十进制数字的哈希值规格，则平均每个哈希值可以是1000万个电话号码中任意一个的哈希值)。然而，这增加了两个不同信息实例被认为相同的可能性。从而，应该设定哈希值的规格以产生信息保密性和错误验证的可接受等级之间的最佳均衡。

还值得注意的是，类似过程可用于SI1和SI2，或者其它任何信息元素。

用多个PI验证

PI1 100的更佳验证可以通过用附加PI(而不是PI2 102)检查验证条件来实现。通常，这包含找出SI1和与附加PI相关的附加SI(而不是SI2)之间的关系。

例如，两次发现从与SI1近似的IP地址提供了与PI1 100相同的信用卡号码并且成功地进行了支取与只发现一次相比可提高PI1 100的验证级别。

各个附加PI可能已经被发送给了相同实体或者不同实体，并且可从相同PISIDB 52或者不同的PISIDB 52中提取。

此外，允许验证系统30访问多于一个PISIDB 52将增加找到相关PI-SI记录的可能性，从而增加了成功使用验证系统30的情况的数量。

性能和经济考虑可能要求仅使用可访问的PISIDB 52的子集、各个PISIDB 52中记录的子集、或者可由SI获取器42获取的SI的子集。类似考虑也可能要求按特定顺序使用所选择的元素。

确定使用哪个子集及以何种顺序可基于OSP 14和PISIDB 52的所有者之间的关系(例如，已知一个OSP 14的用户更有可能在特定PISIDB 52上注册)，或者基于在先前类似的验证处理中已知哪个SI被证明有用，或者基于其它适合的因素。

例如，如果验证系统30倾向于试图从用户设备12处获得几个cookie，它并不总是可以并行地获得它们，因为各个cookie的获取需要用户设备12发送不同请求，各个请求会给用户设备12及其与互联网的连接带来负载。从而首先获得更可能产生肯定验证结果的cookie将更为有效。

对PISIDB 52的查询可用于确定获得哪个SI。例如，如果验证系统30可以访问几个PISIDB 52，其中SI为cookie，并且不同PISIDB 52的cookie被限制在不同的域中，那么首先为与PI1 100匹配的PI2 102查询各个PISIDB 52是有益的，然后仅获取PISIDB 52的提供肯定响应的cookie。这样可以显著减少与用户设备12之间的交互。

验证报告62可表述这样的事实，在验证处理中使用了多于一个PI。例如，通过为各个所使用的PI提供单独的响应，或者通过提供所使用的PI(和SI)的列表，可在描述PI1 100验证等级的分数中得以表述。

与其它方法联合

虽然本发明的方法提供了验证个人标识的其它方法的替代，它也可以与这些方法相结合。例如，本发明的方法的结果可与基于模式识别的欺诈预测模型的结果相结合，生成表示PI1 100为真的可能性的分数。这种结合通常可以使用条件概率计算来进行，如贝氏定理。

多个OSP

上述系统和方法假定为单个OSP 14。然而，假设有大量在线服务提供商将使用该服务更为合理。在这种情况下主要的不同在于验证系统30应保证验证报告62被发送给匹配的验证请求60的发送者。本领域人员将意识到进行这种变化是很简单的。

适用环境

虽然本发明主要讨论了有关互联网的方面，本领域人员可认识到它可容易地扩展到任何可以确定来自同一发送者的两个消息是来自同一发送者的环境。

示例

上面已描述了用于运行本发明的几个选择。为了帮助理解各种选择，下面提供了本发明的几个综合示例。

在线商家合作

商家A是在线商家。他通过HTTPS连接从用户处接收购货订单。这个订单包含支付细节，包括信用卡号码和卡上的姓名。

然后，商家A创建该支付细节的24位哈希值，并在验证请求60中将其发送给验证系统30的接收器32，商家A也在指向验证系统30的SI获取器42的HTML网页中为用户提供嵌入图像。PISIDB查询模块50创建包含该哈希值的查询并将其发送给商家B、C和D。检查各个商家的PISIDB52是否包含具有来自先前购买的与该给定哈希值相匹配的支付细节的记录。商家B和商家C向PISIDB查询模块50发出响应：他们有这样的记录。SI获取器42决定获取商家C的cookie，并且将用户重定向到商家C的域中的SI获取器42的另一个地址。

用户设备向SI获取器42发送商家C的cookie，PISIDB查询模块50向商家C发送包含该哈希值和cookie的查询。

商家C向PISIDB查询模块50发出响应：存在与该哈希值和cookie相匹配的记录，并且在10个月前成功地支取过该记录中的信用卡帐号。

验证评估器36利用基于规则的逻辑确定支付细节为真，报告器34向商家A发送包含肯定响应的验证报告62。

商家A决定向该用户提供商品。

在此示例中实现了以下选项：

OSP 14是在线商家。

PI1 100是提供给商家A的信用卡号码及该卡上的姓名。

PI2 102是提供给商家C的信用卡号码及该卡上的姓名。

PISIDB 52是商家C的交易数据库。

PI2VI是接收到PI2 102后进行的交易的结果和时间。

SPR基于PI1 100和PI2 102相同。

SSR基于(a)在HTTPS请求包含PI1 100；(b)向该HTTPS请求的发送者发送了秘密URL；(c)与该秘密URL一起接收到了秘密cookie；以及(d)由商家C向提供PI2 102的用户分配了相同的秘密cookie。

PTC基于商家C支取PI2 102中的信用卡帐户，并且10个月内没有接收到争议。

哈希值被用于防止PI1 100透露给没有这些信息的实体。

为了确定获取哪个cookie，向几个PISIDB 52的所有者发送了PI1100的哈希值。

使用基于规则的逻辑来确定提供肯定还是否定的验证报告62。

Messenger-Fraud服务

一个在线商家通过HTTPS连接从用户处接收到购货订单。这个订单包含支付细节，包括信用卡号码和帐单地址(该卡在信用卡发行商处注册的地址)。随后，商家在验证请求60中向欺诈预测服务(FPS)发送该用户的支付细节和IP(来自HTTPS连接)。

FPS通过检查诸如帐单地址是否与该卡匹配，以及该地址是否位于许多欺诈事件发生地的详细情况来评估交易是否为欺诈。FPS运行验证系统30并利用其验证它的其它方法认为是高风险的交易。FPS确定当前交易为高风险，并把验证请求60转发给验证系统30的接收器32。

验证系统30通过其PISIDB查询模块50向IMS发出一个包含IP地址的查询。IMS发现有IMC近期在该IP上登录过(发送其唯一标识)。IMS检查该用户注册该IMS(并被分配该唯一标识)时提供了什么姓名，并且用该姓名和提供该姓名的时间来响应PISIDB查询模块50。

PI目录查询模块54(a)通过检查用户信息数据库目录，检查叫该姓名的人是否居住在特定的帐单地址；以及(b)通过使用AVS服务，检查该帐单地址是否与该信用卡号码相匹配。

然后，验证评估器36向神经网络提供有关该姓名普遍性的信息、在该帐单地址居住的人口数量、向IMS提供该姓名的时间、FPS对该交易的欺诈可能性的预先估计，等等。

然后，基于在其训练阶段中接收到的信息集，该神经网络提供0和1之间的分数，来表示该交易为欺诈(即该信用卡号码不属于提供它的用户)的可能性的更新评估。

报告器34向商家发送包含该分数的验证报告62。

商家确定该风险为可接受的并向该用户提供产品。

在此示例中实现了以下选项：

OSP 14是在线商家。

PI1 100是提供给商家的信用卡号码。提供了帐单地址以帮助使用用户信息数据库目录和AVS。

PI2 102是在向IMS注册时提供的全名。

PISIDB 52是注册用户的IMS数据库，使得他们的IMC的唯一标识与他们的姓名相关联。

PI2VI是描述在何时接收到PI2 102的时间戳。

SPR基于两个PI目录。一个使该姓名与该帐单地址(用户信息数据库)相关联，一个使帐单地址和信用卡号码(可通过AVS访问的信用卡发行商帐单地址目录)相关联。

SSR基于(a)在HTTPS请求包含PI1 100；(b)来自HTTPS对话的IP地址与来自从IMC发往IMS的登录消息中的IP地址相同；(c)登录消息包含唯一的标识；以及(d)该唯一标识被分配给了提供PI2 102的用户。

PTC基于在PI1 100之前相当长的时间接收到的PI2 102。

利用神经网络来分析该数据并评估PI1 100为真的可能性。

神经网络也将验证系统30的结果与FPS的预先结果结合起来。

匿名Messenger-Fraud服务

除了IMS为匿名服务并且在注册时不向用户提供任何PI之外，该示例类似于上述Messenger-Fraud服务示例。然而，当连接时IMS报告唯一的秘密标识。

在此情况下，FPS保持所有先前成功交易的PISIDB 52，包括执行交易的卡号和IP地址。

在先前的示例中，IMS记录不是作为PISIDB 52来使用的，而是用来关联不同时间的属于同一用户的两个IP地址。具体而言，IMS发现在为当前交易而报告的IP地址(IPA)登录的IMC已经早先于另一个IP地址(IPB)登录过。

随后，PISIDB查询模块50将从PISIDB 52中提取与IPB相关的卡号，验证评估器36将其与商家报告的卡号进行比较。

如果它们一致，则报告器34向该商家发送包含肯定响应的验证报告62，该商家决定向该用户提供该产品。

在此示例中实现了以下选项：

OSP 14是在线商家。

PI1 100是卡号。

PI2 102是卡号。

PISIDB 52是先前交易和相关IP地址的FPS数据库。

由于PISIDB 52仅包含成功交易，所以不直接发送PI2VI。

SPR基于PI1 100和PI2 102相同。

SSR基于(a)在HTTPS请求包含PI1 100；(b)来自HTTPS对话的IP地址与来自从IMC发往IMS的登录消息中的IP地址相同；(c)在IMC登录消息中报告的唯一标识与先前登录消息中报告的标识相同；以及(d)来自先前登录消息的IP地址与包含PI2 102的先前交易的IP地址相同。

PTC基于在PI2 102基础上的成功交易。

基于网络的电子邮件服务(WBES)

由于大多数用户频繁访问其电子邮件帐户，WBES网站(如上面所述)为频繁访问网站(如上面所述)并且它们知道许多它们用户的当前IP地址。此外，它们通过分析进入的电子邮件可以获得有关这些和其他用户的当前和过去IP地址的信息。在这两种情况下，如上面详细描述地，它们具有如同在注册过程中或者在收到的电子邮件中提供的用户全名。

WBES可利用此信息来创建PIDIDB 52，以由验证系统30使用。在许多情况下，拥有WBES的公司与许多其它用途的在线商家(例如，Microsoft提供的Passport服务，或者Yahoo提供的Yahoo Shopping)有联系，这可以扩展该用途。

在此示例中，一个在线商家通过HTTPS连接从用户处接收购货订单。这个订单包含用于发送货物的运输细节。该运输细节包括姓名和地址。随后，商家在验证请求60中把该运输细节和用户的IP(来自HTTPS连接)发送给由WBES运营的验证系统30的接收器32。

PISIDB查询模块50检查叫该姓名的用户是否已经登录到该WBES上以及是否接收到了来自叫该姓名的用户的电子邮件。它发现在从该用户向在线商家发送购物订单之前18个月就收到了一个来自该姓名的电子邮件的记录。

验证评估器36发现来自该电子邮件的IP地址和验证请求60中的IP地址相同。通过检查用户信息数据库目录，PI目录查询模块54发现叫该姓名的人居住在所指定的发货地址。由于该电子邮件是在购物订单之前相当长的时间发送的，所以该发货地址被认为是要求产品的用户的真实发货地址。通常，这还表示交易是合法的(因为大多数欺诈者不会将偷来的货物发送到他们的真实地址)。

报告器34向商家发送包含肯定响应的验证报告62，商家确定向该用户提供该产品。

在此示例中实现了下列选项：

OSP 14是在线商家。

PI1 100是发货地址。提供全名来限定对PISIDB 52的查询数量，而不是查询居住在该发货地址的所有姓名。

PI2 102是全名。

PISIDB 52是先前登录和收到的电子邮件的WBES数据库，它使姓名和IP地址相关联。

PI2VI是收到该电子邮件的时间。

SPR基于用户信息数据库目录。

SSR基于(a)在HTTPS请求包含PI1 100；(b)来自HTTPS对话的IP地址与来自电子邮件消息的IP地址相同；以及(c)在电子邮件消息中包含PI2 102。

PTC基于在PI1 100之前18个月接收到PI2 102。

使用了基于规则的逻辑来确定提供肯定还是否定的验证报告62。

单点登录服务

单点登录服务(SSO)允许用户利用单个用户名和密码来登录多个在线服务或验证他们自己。SSO服务保持了一个PISIDB 52，其中各个记录包含作为SI的用户名和密码，以及在注册该服务时提供的用户PI(如，他的全名、地址、电话号码和信用卡详情)。在一些情况下，用户名还可以用作为PI(例如，如果用户名是由用户姓名派生出来的，如‘john_doe’)。

SSO的示例包括Microsoft.NET Passport(www.Passport.com)、AOL SreenName(my.sreenname.aol.com)以及Liberty Alliance(www.projectliberty.org)。

在此示例中，在线商家通过HTTPS连接从用户处接收购货订单。这个订单包含支付细节，这包括信用卡号码。

商家将用户重定向到SSO以利用秘密URL进行验证。该SSO利用验证系统30的SI获取器42来收集用户姓名和密码。如果用户成功地通过了验证，则PISIDB查询模块50从PISIDB 52中提取出与该用户名和密码相关的全名以及向SSO提供该全名的时间戳。然后，把该全名、时间戳和来自该秘密URL的秘密发送给商家。

然后，商家在验证请求60中把该信用卡号码、全名和时间戳发送给验证系统30的接收器32。

验证评估器36利用PI目录查询模块54来检查该全名是否与信用卡发行商数据库中与该信用卡号码关联的持卡人姓名一致。它也利用时间戳来检查该全名是否是在购物订单之前相当长的时间提供的。

如果两个条件均满足，则报告器34向商家发送包含肯定响应的验证报告62，该商家确定向该用户提供该产品。

在此示例中实现了下列选项：

OSP 14是在线商家。

PI1 100是信用卡号码。

PI2 102是全名。

PISIDB 52是注册用户的SSO数据库，它使用户名和密码与用户的PI相关联。

PI2VI是向SSO提供全名的时间。

SPR基于信用卡发行商数据库。

SSR基于(a)在HTTPS请求包含PI1 100；(b)向HTTPS请求的发送者发送秘密URL；(c)随同一秘密URL一起接收到用户名和密码；以及(d)随同一用户名和密码一起接收到PI2 102。

PTC基于在PI1 100之前相当长的时间接收到PI2 102。

公司电子邮件验证

公司电子邮件系统使用户可以利用用户名和密码来访问其邮箱。该系统保持了一个PISIDB 52，其中各个记录包含作为SI的用户名和密码。通过将用户名与公司域名组合来创建用户的电子邮件地址(例如，‘john_deo@acme.com’，John Doe为Acme Inc.工作)，用户名也可用作为PI。

在此示例中，一个在线商家通过HTTPS连接从用户处接收购货订单。这个订单包含支付细节，包括信用卡号码、持卡人姓名和电子邮件地址。

商家向提供支付细节的用户分配安全秘密cookie。然后，该商家向用户提供的电子邮件地址发送一封包含对该商家的HTTPS链接和秘密URL的电子邮件。为了访问该邮件，用户向公司电子邮件系统提供其用户名和密码。通过点击该链接，用户将该秘密URL随安全秘密cookie一起发送给商家。这就证明了提供支付细节的用户可以访问他提供的电子邮件地址。

然后，商家向验证系统30的接收器32发送一个包含该信用卡号码、持卡人姓名、电子邮件地址和表示随安全秘密cookie一起接收到该秘密URL的标志的验证请求60。

验证评估器36发现该电子邮件地址类似于持卡人姓名(换句话说，PI目录查询模块54可发现该电子邮件地址与电子邮件目录中的持卡人姓名相关联)。验证评估器36确定该电子邮件地址属于可信的公司(比如，通过检查与电子邮件域相关的‘whois’信息、查询商业数据库、离线与该公司联系等)。作为一个公司电子邮件地址，可以假定它是由用户的可信授权代理创建的(例如电子邮件服务器的系统管理员)，从而是用户真实姓名的可靠表示。然后，通过查询信用卡发行商的数据库，PI目录查询模块54发现持卡人姓名与信用卡号码相匹配。

报告器34向商家发送包含肯定响应的验证报告62，该商家确定向该用户提供该产品。

在此示例中实现了下列选择：

OSP 14是在线商家。

PI1 100是信用卡号码。提供持卡人姓名以使验证评估器36即使在无法从电子邮件地址中看出用户姓名的情况下(例如，‘jdoe@mail.com’可为John Doe、Jane Doe、Jeff Doe等中的任意一个)也可以检查SPC。提供电子邮件地址以使商家可以向该用户发送电子邮件，从而使得验证处理可以进行。

PI2 102是在公司电子邮件服务器上分配给用户的电子邮箱地址。

PISIDB 52是公司电子邮件服务器的用户名-密码数据库。

PI2VI是电子邮件地址的域，表示电子邮件服务器是属于可信的公司。

SPR基于电子邮件地址类似于持卡人姓名(或者在电子邮件目录中与其相关联)，以及在信用卡发行商数据库中持卡人姓名与信用卡号码相匹配。

SSR基于(a)在HTTPS请求包含PI1 100；(b)向HTTPS请求的发送者发送安全秘密cookie；(c)电子邮件服务器接收到用户名和密码；(d)从电子邮件服务器向该用户名和密码的发送者发送秘密URL；(e)在同一HTTPS请求中接收到安全秘密cookie和秘密URL；(f)当电子邮件服务器的系统管理员注册用户时，随同一用户名和密码一起接收到PI2101。

PTC基于PI2 102是从用户的可信授权代理接收到的。

公共电子邮件验证

在此示例中，除了电子邮件服务器为公共的(例如，WBES)且从而PI2 102(所选的电子邮件地址)不是由可信授权代理提供的之外，使用了与上述公司电子邮件验证方法相同的方法。不过，通过访问描述向电子邮件服务器提供PI2 102的时间的数据库来检查PTC。此类数据库可由电子邮件服务器的运营商提供、或者是由表示在过去某些时间该电子邮件是可达的指示(假定废弃电子邮件地址不被循环利用并分配给其他用户)派生出来的。这种指示包括发送给该电子邮件地址的电子邮件消息或者发现该电子邮件地址包含在直销数据库中。

在此示例中实现了下列选择：

OSP 14是在线商家。

PI1 100是信用卡号码。提供持卡人姓名以使验证评估器36即使在无法由电子邮件地址看出用户姓名的情况下也可以检查SPC。提供电子邮件地址以使商家可以向该用户发送电子邮件，从而使得验证处理可以进行。

PI2 102是在公共电子邮件服务器上由用户选择的电子邮箱地址。

PISIDB 52是公共电子邮件服务器的用户名-密码数据库。

PI2VI是表示该电子邮件帐户是在购买订单之前相当长的时间创建的指示。

SSR基于(a)在HTTPS请求包含PI1 100；(b)向HTTPS请求的发送者发送了安全秘密cookie；(c)电子邮件服务器接收到了用户名和密码；(d)从电子邮件服务器向该用户名和密码的发送者发送了秘密URL；(e)安全秘密cookie和秘密URL是在同一HTTPS请求中接收到的；(f)PI2 102是在公共电子邮件服务器上注册用户时随同一用户名和密码一起接收到的。

PTC基于PI2 102是在PI1 100之前相当长的时间接收到的。

发卡方验证

在线信用卡交易过程中，信用卡发行商被视为最适合于验证买主的一方。在由信用卡组织(例如，Visa和MasterCard的SET，及上述Visa的‘3D secure’)提供的支付方案中，发行商负责用户的在线验证。

在这些支付方案中，本发明可用作为验证方法，例如，通过使用发行商的在线帐单显示系统(OBPS；允许发行商的客户在线查看其帐户状态的系统)。当用户访问OBPS时，他们需要提供一些身份的证明(比如，他们的信用卡号码、有效期和在每月对帐单上打印的代码)。如果身份确认成功，就向该用户发给安全秘密cookie，并在PISIDB 52中将其与他的帐户标识(即信用卡号码)相关联。

在‘3D secure’的情况下，在线商家通过HTTPS连接从用户处接收购货订单。这个订单包含信用卡号码。通过打开一个弹出窗口，用户向验证系统30(集成在发行商的‘3D Secure’服务器中，并使用它的域)的SI获取器42发送HTTPS请求。该商家也在验证请求60中向验证系统30的接收器32发送该信用卡号码。如上所述，验证请求60和HTTP请求均包含相同的秘密，以允许验证系统30使它们关联。

由于用户在安全连接上向发行商的域发送HTTPS请求，由发行商的OBPS颁发的安全秘密cookie就被透露出去(如果由3D Secure服务器使用的域不同于OBPS使用的域，可能导致用户设备连接到OBPS域)。该cookie中的标识被PISIDB查询模块50用作密匙来从PISIDB 52中提取相关的信用卡号码。然后，验证评估器36将其与验证请求60中报告的信用卡号码相比较。

如果匹配，则报告器34向商家发送包含肯定响应的验证报告62，该商家确定向该用户提供该产品。

在此示例中实现了下列选择：

OSP 14是在线商家。

PI1 100是向该商家提供的信用卡号码。

PI2 102是向OBPS注册时提供的信用卡号码。

PISIDB 52是将用户cookie与其信用卡号码关联起来的OBPS数据库。

由于已知PISIDB 52仅包含经核实的记录，所以不直接发送PI2VI。

SPR基于PI1 100和PI2 102一致。

SSR基于(a)在对商家的HTTPS请求中包含PI1 100；(b)向HTTPS请求的发送者发送了安全秘密cookie；(c)同秘密URL一起发送了安全秘密cookie；以及(d)当用户提供PI2 102时，由OBPS分配相同的秘密cookie。

PTC基于在用户向OBPS注册时(例如，他提供每月对帐单中的代码)执行的验证过程。

Claims

1.一种验证第一个人标识的方法，包括：

a.接收包含所述第一个人标识的验证请求；以及

b.评估包含下列各项的验证条件是否为真：

i.所述第一个人标识和第二个人标识满足同一人条件，

ii.所述第一个人标识的发送者和所述第二个人标识的发送者满足同一发送者条件，以及

iii.所述第二个人标识标识了所述第二个人标识的所述发送者。

2.根据权利要求1所述的方法，还包括发送指示所述第一个人标识是否标识了所述第一个人标识的所述发送者的验证报告的步骤，所述验证报告基于所述评估的结果。

3.根据权利要求1所述的方法，其中所述的验证报告还包括从以下各项构成的组中选择的至少一个信息元素：

a.所述第二个人标识；

b.与所述第一个人标识相关的第一发送者指示符；

c.与所述第二个人标识相关的第二发送者指示符；以及

d.所述第二个人标识的验证信息。

4.根据权利要求1所述的方法，其中所述的评估还包括：

a.向至少一个个人标识-发送者指示符数据库发送至少一个查询；以及

b.接收对所述至少一个查询的至少一个响应。

5.根据权利要求4所述的方法，其中至少一个所述至少一个查询是描述至少一个所述验证条件的条件查询。

6.根据权利要求5所述的方法，其中所述评估还包括评估对于所述至少一个查询的所述至少一个响应是否满足除所述至少一个查询中描述的所述至少一个验证条件之外的至少一个所述验证条件。

7.根据权利要求1所述的方法，其中如果所述第一个人标识和所述第二个人标识具有以下的同一人关系，则满足所述同一人条件，该同一人关系包括从以下各项构成的组中选择的至少一种两个个人标识间的关系，该组包括：

a.所述两个个人标识包含相同部分；

b.除拼写差异外所述两个个人标识包含相同的部分；

c.所述两个个人标识中的第一个包含所述两个个人标识中的第二个的缩写；

d.所述两个个人标识包含数字上接近的电话号码；

e.所述两个个人标识包含地理上接近的地理参数；

f.有一个目录记录使和所述两个个人标识中的第一个具有同一人关系的个人标识与和所述两个个人标识中的第二个具有同一人关系的另一个人标识关联起来；以及

g.所述两个个人标识各与第三个人标识具有同一人关系。

8.根据权利要求1所述的方法，其中如果包含所述第一个人标识的消息与包含所述第二个人标识的消息具有以下的同一发送者关系，则满足所述同一发送者条件，该同一发送者关系包括从以下各项构成的组中选择的至少一种第一消息和第二消息之间的关系，该组包括：

a.所述第一消息和所述第二消息是一个共同的整体消息中的成员；

b.发送所述第一消息的时间和发送所述第二消息的时间之间的关系；

c.所述第一消息的发送者的可靠网络地址与所述第二消息的发送者的可靠网络地址之间的关系；

d.包含于所述第一消息中的第一秘密与包含于所述第二消息中的第二秘密是一个共同秘密的派生物；

e.发送给所述第一消息的发送者的第一秘密与包含于所述第二消息中的第二秘密是一个共同秘密的派生物；以及

f.各个所述消息分别与第三消息具有同一发送者关系。

9.根据权利要求8所述的方法，其中所述第一消息的所述发送者的所述可靠网络地址与所述第二消息的所述发送者的所述可靠网络地址之间的所述关系包括从以下各项构成的组中选择的至少一种关系：

a.所述第一消息的所述发送者的所述可靠网络地址和所述第二消息的所述发送者的所述可靠网络地址是一致的；

b.所述第一消息的所述发送者的所述可靠网络地址与所述第二消息的所述发送者的所述可靠网络地址是一个公共子网中的成员；

c.由共同的组织使用所述第一消息的所述发送者的所述可靠网络地址与所述第二消息的所述发送者的所述可靠网络地址；

d.由两个相关的组织使用所述第一消息的所述发送者的所述可靠网络地址与所述第二消息的所述发送者的所述可靠网络地址；

e.由共同的互联网服务提供商使用所述第一消息的所述发送者的所述可靠网络地址与所述第二消息的所述发送者的所述可靠网络地址；

f.由共同的互联网服务提供商接入点使用所述第一消息的所述发送者的所述可靠网络地址与所述第二消息的所述发送者的所述可靠网络地址；以及

g.所述第一消息的所述发送者的所述可靠网络地址与所述第二消息的所述发送者的所述可靠网络地址和接近的地理位置相关联。

10.根据权利要求8所述的方法，其中至少一个所述的可靠网络地址是从以下各项构成的组中选择的可靠网络地址：IP地址、带UDP端口号的IP地址、TCP对话句柄以及物理接口标识。

11.根据权利要求8所述的方法，其中所述第一秘密和第二秘密中的至少一个是从以下各项构成的组中选择的秘密：由设备保留的秘密、秘密HTTP cookie、秘密HTTP安全cookie、SMTP报头、HTTP报头、硬件标识、保留在安装于所述设备上的软件部件中的秘密、分配给个人在线使用的秘密、用户名和密码、秘密URL、网络地址、IP地址、UDP端口号以及TCP对话句柄。

12.根据权利要求1所述的方法，其中如果至少一个第二个人标识条件为真，则所述第二个人标识被认为标识了所述第二个人标识的所述发送者，所述第二个人标识条件是从以下各项构成的组中选择的：

a.利用验证个人标识的标准方法核实了所述第二个人标识；

b.通过基于所述第二个人标识进行成功的离线操作而核实了所述第二个人标识；

c.通过成功地支取帐户而核实了所述第二个人标识；

d.通过在线接收发送到一个邮寄地址的代码而核实了所述第二个人标识；

e.通过在线接收在电话中发送的代码而核实了所述第二个人标识；

f.通过在电话中接收在线发送的代码而核实了所述第二个人标识；

g.在非诈骗特有的条件下接收到所述第二个人标识；

h.在发送所述第一个人标识之前相当长的时间发送的所述第二个人标识；

i.在发送所述第一个人标识之后相当长的时间发送的所述第二个人标识；

j.所述第二个人标识是发送给诈骗者缺乏诈骗动机的服务；

k.所述第二个人标识与合法用户特有的重大在线活动相关联；

l.所述第二个人标识是由所述第二个人标识的所述发送者的可信授权代理提供的；以及

m.利用本发明核实了所述第二个人标识。

13.根据权利要求1所述的方法，其中利用从以下各项构成的组中选择的至少一种评估方法来进行所述评估：

a.基于规则的逻辑；

b.自动学习技术；

c.神经网络；以及

d.概率分析。

14.根据权利要求2所述的方法，其中所述验证报告包括从以下各项构成的组中选择的至少一个信息元素：

a.肯定响应；

b.否定响应；

c.所述第二个人标识；

d.与所述第二个人标识相关的发送者指示符；

e.所述第二个人标识的验证信息；

f.描述所述第一个人标识和所述第二个人标识满足同一人条件的可能性的分数；

g.描述所述第一个人标识的所述发送者和所述第二个人标识的所述发送者满足同一发送者条件的可能性的分数；

h.描述所述第二个人标识标识所述第二个人标识的所述发送者的可能性的分数；以及

i.描述所述第一个人标识标识所述第一个人标识的所述发送者的可能性的分数。

15.根据权利要求14所述的方法，其中所述描述第一个人标识标识所述第一个人标识的所述发送者的可能性的分数是基于从以下各项构成的组中选择的至少一个参数：

a.所述第一个人标识和所述第二个人标识满足同一人条件的可能性；

b.所述第一个人标识的所述发送者和所述第二个人标识的所述发送者满足同一发送者条件的可能性；

c.所述第二个人标识标识所述第二个人标识的所述发送者的可能性；

d.获得所述同一发送者条件所基于的秘密的难度；

e.所述第一个人标识的所述发送者的地址的可靠性；

f.所述第二个人标识的所述发送者的地址的可靠性；

g.在所述评估步骤中使用的外部数据源的准确性和可靠性；

h.所述第一个人标识的普遍性；

i.所述第二个人标识的普遍性；

j.人们改变个人标识的倾向性；

k.在发送所述第一个人标识和发送所述第二个人标识之间经历的时间；以及

l.从支取由所述第二个人标识标识的帐户开始经历的时间。

16.根据权利要求1所述的方法，其中所述评估还包括：

a.向至少一个个人标识目录发送至少一个查询；以及

b.接收对于所述至少一个查询的至少一个响应。

17.根据权利要求1所述的方法，还包括生成从由以下各项构成的组中选择的至少一个信息元素的至少一部分的至少一个哈希值的步骤，该组包括：

a.所述第一个人标识；

b.所述第二个人标识；

c.与所述第一个人标识相关的第一发送者指示符；以及

d.与所述第二个人标识相关的第二发送者指示符。

18.根据权利要求17所述的方法，还包括根据从由以下各项构成的组中选择的至少一个考虑来确定所述至少一个哈希值的规格的步骤，该组包括：

a.信息保密性；以及

b.错误验证的可接受等级。

19.根据权利要求1所述的方法，其中从所述第一个人标识的所述发送者处接收所述第一个人标识的实体不同于从所述第二个人标识的所述发送者处接收所述第二个人标识的实体。

20.根据权利要求1所述的方法，其中利用不同于所述第二个人标识的至少一个个人标识来重复所述评估步骤。

21.根据权利要求1所述的方法，还包括从多个个人标识中选择一个个人标识来在所述评估步骤中用作所述第二个人标识的步骤。

22.根据权利要求1所述的方法，还包括从第一个人标识的所述发送者处获取至少一个发送者指示符的步骤。

23.根据权利要求1所述的方法，还包括组合所述评估的结果与至少一种其它验证个人标识的方法的结果的步骤。

24.根据权利要求1所述的方法，其中从包含所述第一个人标识和所述第二个人标识的组中选择的至少一个个人标识包括从以下组中选择的至少一个信息元素：全名、名、中间名、姓、姓名首字母、头衔、地址、国家、州、城市、街道地址、房号、邮政编码、电话号码、电子邮件地址、财务帐号、信用卡号、银行帐号、政府颁发标识、社会安全号码、驾驶证号码、国家ID号码、护照号、个人特征、身高、体重、性别、肤色、种族以及头发颜色。

25.根据权利要求1所述的方法，其中通过从以下组中选择的网络来发送所述第一个人标识，该组包括：互联网、专用数据网络、CATV数据网络以及移动数据网络。

26.一种用于验证第一个人标识的系统，包括：

a.接收器，用于接收包含所述第一个人标识的验证请求；以及

b.验证评估器，用于评估所述第一个人标识和第二个人标识是否满足同一人条件，评估第一个人标识的发送者和所述第二个人标识的发送者是否满足同一发送者条件，以及评估所述第二个人标识是否标识了所述第二个人标识的所述发送者。

27.根据权利要求26所述的系统，还包括报告器，用于发送指示所述第一个人标识是否标识了所述第一个人标识的所述发送者的验证报告，所述验证报告基于所述验证评估器的输出。

28.根据权利要求26所述的系统，还包括个人标识目录查询模块，用于向个人标识目录发送查询并接收对于所述查询的响应，随后由所述验证评估器使用所述响应。

29.根据权利要求28所述的系统，还包括至少一个所述个人标识目录。

30.根据权利要求26所述的系统，还包括个人标识-发送者指示符数据库查询模块，用于向至少一个个人标识-发送者指示符数据库发送查询并接收对于所述查询的响应，随后由所述验证评估器使用所述响应。

31.根据权利要求30所述的系统，还包括至少一个个人标识-发送者指示符数据库。

32.根据权利要求26所述的系统，还包括哈希值生成器，用于生成从以下组中选择的至少一个信息元素的至少一部分的至少一个哈希值，该组包括：

a.所述第一个人标识；

b.所述第二个人标识；

c.与所述第一个人标识相关的第一发送者指示符；以及

d.与所述第二个人标识相关的第二发送者指示符。