用于保护在消费者移动设备和计算装置上的个人识别号码输入隐私的系统和方法与流程
用于保护在消费者移动设备和计算装置上的个人识别号码输入隐私的系统和方法
1.本技术是申请日为2017年12月27日、申请号为2017800831878，以及发明名称为“用于保护在消费者移动设备和计算装置上的个人识别号码输入隐私的系统和方法”的中国发明专利申请的分案申请。
技术领域
2.本发明涉及一种用于在安全级别不足的设备(例如移动计算设备)上的安全的pin输入的系统和方法。
背景技术：
3.电子支付、转账和银行业务可以通过各种方式进行。通常，交易需要使用支付卡、银行卡或者移动设备上的虚拟卡。用户、卡持有者或账户持有者通常将支付卡与支付终端或atm机接口连接。最常见的安全形式是pin(personal identification number，个人识别号码)。pin是短的、数字型或α数字型字符串，并且由用户作为安全措施输入以验证其身份。这种输入通常被输入到支付终端上的机械或触摸屏小键盘(keypad)或者键盘上。可以使用磁条、直接电触点以及通过使用诸如rfid和nfc的短距离无线协议将支付卡与支付终端的读卡器接口连接。
4.典型的支付终端包括：用于pin输入的接口、用于与卡接口连接的一个或多个读卡器接口、用于与处理交易的金融机构进行通信的通信接口、用于处理交易流并且处理人与交易流交互的支付应用、以及提供用于用户交互的手段的用户接口(例如屏幕、小键盘或触摸面板等)。这种高成本的支付终端阻止小商户接受卡支付。
5.最近，智能手机和平板电脑变得非常常见，并且传统支付终端中的大部分功能可以在智能设备上实现。支付应用可以在智能设备上运行，并且这种智能设备提供各种通信方法来连接到交易处理实体。在这种情况下，支付终端的功能可以减小到两个基本功能：接受pin以及与卡接口连接。在大多数应用中，在支付终端上而不是在移动设备上接受pin，因为难以确保在不是为此目的设计的移动设备上的pin的隐私。
6.通过使用移动设备，支付终端的成本降低了，特别是对于不需要pin的卡交易，简单的读卡器可以与智能设备一起用于处理卡交易。然而，对于需要pin的交易，接受pin支付终端的成本对于较小的商户仍然太高。
7.为了增加使用普通消费者移动设备的pin输入的安全性，已经提出了许多改进。许多这些改进涉及保护pin和加密键。提出的一种改进是使用随机小键盘，该随机小键盘在每次输入pin时变化。另一种改进是具有两个设备：显示pin布局的第一设备以及输入pin的第二设备。pin布局可以是固定的(其是不变的)或者是随机的(其在每次要求用户输入pin时变化)。用于输入数据的第二设备可以仅显示框或可以显示空白屏幕。用户观察第一设备以确定键的布局，并通过按压或触摸键在第二设备上输入pin。第二设备上的用户输入被传输到第一设备并且第一设备获取该pin。然后，第一设备可以加密pin并发送到支付网络。这些
方法的一个缺点是pin布局和pin击键(也被称为pin令牌)出现在同一个设备上并且出现了单个的攻击点。
8.因此需要一种pin布局、pin令牌不一起存在于同一设备上的pin安全解决方案。此外，有利的是，任何加密键也不存在于与pin布局或pin令牌相同的设备上。
技术实现要素：
9.本发明的第一主要的实施例是一种用于接受pin的输入的系统，该系统包括：第一设备、第二设备和第三设备。第一设备从第四设备接收随机的pin布局。第四设备导出随机的pin布局，并且第一设备在第一设备的第一显示器上显示随机的pin布局。第二设备包括输入端，用于接受一系列键按压以生成指示该一系列键按压中的每一个的pin令牌。第三设备与第二设备通信。所述第三设备导出所述随机的pin布局并从所述第二设备接收所述pin令牌，而所述pin令牌不存在于所述第一设备上。所述第三设备组合所述pin布局和所述pin令牌，以生成用于对交易进行验证的pin。
10.在本发明的一些实施例中，所述第四设备与第三设备通信，第四设备和第三设备中的每一个存储共享秘密(shared secret)。所述共享秘密用于在所述第四设备和所述第三设备上独立地导出所述随机的pin布局。
11.在本发明的其他实施例中，第三设备远离所述第一设备和第二设备。
12.在进一步的实施例中，所述第一设备和所述第二设备包括交易验证系统，并且所述交易用于验证销售点终端的真实性(veracity)。在其他实施例中，所述交易验证系统用于接受来自客户支付设备的支付。
13.在一些实施例中，第一设备和第四设备是同一个设备。
14.本发明的第二主要的实施例是一种用于接受pin的输入的系统。该系统包括：第一设备、第二设备和第三设备。该第一设备从第四设备接收随机的pin布局。第四设备导出随机的pin布局。第一设备在第一设备的第一显示器上显示随机的pin布局。第二设备包括输入端，用于接受一系列键按压以生成pin令牌。pin令牌指示一系列键按压中的每一个。第三设备与第二设备和第四设备通信。所述第三设备从所述第四设备接收所述随机的pin布局，并且从所述第二设备接收所述pin令牌，而所述pin令牌不存在于所述第一设备上。第三设备组合pin布局和pin令牌，以生成用于对交易进行验证的pin。
15.本发明的第三主要的实施例是一种用于接受pin的输入的系统。所述系统包括：第一设备、第二设备和第三设备。第一设备从第三设备接收随机的pin布局，所述第三设备导出所述随机的pin布局。第一设备在第一设备的第一显示器上显示随机的pin布局。第二设备包括输入端，用于接受一系列键按压以生成指示所述一系列键按压中的每一个的pin令牌。第三设备与第二设备和第四设备通信。第三设备从第二设备接收pin令牌，而所述pin令牌不存在于第一设备上。第三设备组合pin布局和pin令牌，以生成用于对交易进行验证的pin。
16.本发明的第四主要的实施例是一种用于对销售点终端上的购买进行验证的方法。该方法包括：在第一设备上显示随机的pin布局。所述第一设备从第四设备接收所述随机的pin布局。所述第四设备导出所述随机的pin布局。所述第一设备在该第一设备的第一显示器上显示所述随机的pin布局。在第二设备上输入pin令牌。所述第二设备包括输入端，用于
接受一系列键按压以生成所述pin令牌。所述pin令牌指示了所述一系列键按压中的每一个。第三设备从第二设备接收所述pin令牌。所述pin令牌从不存在于所述第一设备上。所述第三设备导出所述随机的pin布局并且组合所述pin布局和所述pin令牌，以生成pin。所述pin用于验证交易。该交易可用于验证销售点终端的真实性。所述交易可用于对支付进行验证，以完成购买。
17.鉴于参照附图和下文提供的附图的简要说明进行的对各个实施例和/或方面的详细描述，本发明的上述和附加方面和实施例对于本领域普通技术人员来说将是明了的。
附图说明
18.通过阅读以下详细的描述并参考附图，本发明的上述和其它优点将变得明了。
19.图1示出了在第一设备上的随机的pin布局显示以及在第二设备上的没有显示数字的另一个小键盘。
20.图2示出了通过使用第一设备中的随机的pin小键盘在第二设备网格上按压以输入pin序列“1243”的位置顺序。
21.图3示出了在具有第一、第二和第三设备的系统中的pin的输入，其中，第一设备和第三设备具有共享秘密。
22.图4示出了在具有第一、第二、第三和第四设备的系统中的pin的输入，其中，第三设备和第四设备具有共享秘密。
23.图5示出了在具有第一、第二、第三和第四设备的系统中的pin的输入，其中，第四设备生成了用于第一和第三设备的pin键盘(pin pad)布局。
24.图6示出了在具有第一、第二和第三设备的系统中的pin的输入，其中，第三设备生成了用于第一设备的pin键盘布局。
25.图7示出了在具有第一、第二和第三设备的系统中的pin的输入，其中，第一设备生成了用于第三设备的pin键盘布局。
26.图8示出了系统初始化的过程。
27.图9示出了系统用于处理支付交易的过程。
28.虽然本发明易于进行各种修改和替代形式，但具体实施例或实现方式已通过示例的方式在附图中示出并且将在本文中进行详细的描述。然而，应当理解，本发明并不局限于所公开的特定形式。相反，本公开将覆盖落入到由所附权利要求所限定的本发明的精神和范围之内的所有修改、等同和替代方式。
具体实施方式
29.在本发明的示例性的实施例中，包括系统和方法，其以pin布局和pin令牌从不存在于同一设备上的方式，在第一设备上显示随机的pin布局，并且在第二设备上接受来自卡持有者或账户持有者的输入(pin令牌)。本发明的实施例可用于由商户利用金融服务供应商来验证商户的读卡器设备，或者用于由客户批准金融交易。
30.图1示出了使用单独的pin布局和pin令牌。第一设备100包括显示pin布局102的显示器101。所述第一设备可以是用于显示pin布局的专用设备，或者是可以显示pin布局的读卡器，或者是具有适当方法(例如特殊的应用)来显示pin布局的任何设备(包括移动设备)。
第一设备可以属于商户或账户持有者。第二设备200可以是属于商户或账户持有者的智能电话或移动设备。
31.在本发明的一些实施例中，第一设备100和第二设备200可以通过有线或无线连接耦合在一起，并且通过该连接彼此通信，从而在设备之间同步状态。例如，如果每次键按压都可能会改变pin小键盘布局，则必须同步第一设备和第二设备，以确保对于每个输入，pin小键盘都是固定的。在本发明的其他实施例中，第一设备和第二设备不需要彼此直接通信。第一设备100在屏幕上显示pin布局101，作为传统的数字输入小键盘。数字0到9的布置102可以是固定的，但优选地，对于每次交易或在每个键按压之后随机地生成。第一设备100还可以具有多个预定义的布局，为每次交易选择一个布局。第一设备还可以基于秘密值生成伪随机的布局，或者从系统中的另一设备接收布局。第二设备200显示空白键202的网格201，并且还可以显示其他的非数字字符，从而控制pin输入，例如ok和取消按钮203。在使用时，用户观察第一设备的pin布局102，其能够知道在第二设备的哪些方块202上按压以输入其pin。第一设备100显示pin布局，以及第二设备200接受pin令牌。作为传统的做法，当pin输入完成时，用户可以按下ok按钮，或者按取消按钮以中止pin输入。在本发明的实施例中，pin布局和pin令牌从不会存在于同一设备上。这种分离为pin输入过程增加了另一个安全层，并且有助于降低在移动第二设备200和外围第一设备100两者上的应用的设计的复杂度。
32.图2示出了基于显示在第一设备100上的pin布局，在第二设备200上输入pin令牌的逐步过程。在这个示例中，输入pin 1234。在该示例中，pin布局102在每次键按压之后不调换位置。然而，在其他示例中，pin布局102在每次键按压之后使所显示的数字的位置随机化。可以看出，第二设备200上的pin令牌输入表示了位置、键或虚拟键。对于pin中的每个数字、字符或符号，它指示按下了哪个键。在第一设备100上显示的pin布局表示在该时间点的每个位置、键或虚拟键的值。通过组合pin布局和pin令牌，可以确定pin。
33.图3示出了本发明的用于安全地接收pin输入的第一实施例。该系统包括：用于生成和显示pin布局的第一设备100、用于从用户获取pin令牌302的第二设备200、以及用于接收pin令牌并重建对交易进行验证所需的pin 303的第三设备300。
34.第一设备100可以与商户、银行或金融机构或卡持有者相关联，并且可以是读卡器、现金出纳机、自助结账柜台或者移动设备(例如智能电话)、或者用于此目的的专用设备。如果第一设备是智能电话设备，它将运行可以由智能电话制造商、金融机构、金融卡公司或其他第三方提供的支付应用。该第一设备还可以具有专用硬件或软件，以支持诸如pin布局映射101的敏感数据的加密和解密。第一设备还可以具有允许其从卡读取安全或非安全数据的加密狗(dongle)或卡读取接口。所述第一设备生成pin布局，该pin布局可以是随机的或者可以包括第一设备从中选择的有限数量的布局。通常为每个新交易生成新的pin布局101。第一设备具有在其上显示用于交易的pin布局的显示器。第一设备可以包括有线或无线通信接口，以与第二设备或第三设备300通信。第一设备存储共享秘密301，该共享秘密301也由第三设备存储。其使用该共享秘密作为种子来生成pin布局101。在交易期间不需要共享该共享秘密。可以在设备的初始设置期间定义共享秘密，或者周期性地交换共享秘密。该共享秘密可以是手动输入，也可以在制造期间被加载或硬编码到设备中。
35.第二设备200还可以与涉及金融交易的商户、银行或金融机构相关联。它通常是具
有接受触摸输入的lcd显示器的移动或手持电子设备(例如智能手机或平板电脑)、或销售点(point of sale，pos)终端、或具有显示器和硬件以接受pin输入的计算机系统。所述第二设备运行可以由智能手机制造商、金融机构、金融卡公司或其他第三方提供的支付应用。该第二设备还可以具有专用硬件或软件，以支持敏感数据(例如pin令牌302)的加密和解密。第二设备还可以具有允许其从卡读取数据的加密狗。第二设备显示小键盘201，用户可以在其上输入它们的pin码。小键盘201可以是空白的、具有未标记的矩形、包含图像、包含假的小键盘或者允许用户按下屏幕上的按钮202或区域的任何其他显示器。用户参考第一设备上的pin显示器101，以确定在何处按压第二设备的键、按钮或屏幕201，以输入其pin。键按压用于生成pin令牌302，该pin令牌302指示了哪些键或者屏幕201的哪些区域被按压。第二设备还包括有线或无线通信接口，以便与第三设备通信。第二设备以或者明文或者加密保护的形式向第三设备300发送pin令牌，而不通过第一设备100。此外，随机的pin布局101从不存在于第二设备200中，并且从不以任何形式(明文或加密形式)传送到或者通过第二设备。因此，随机的pin布局101和pin令牌302仅存在于两个单独的设备中，而不存在于其中另一个设备中。损害(compromise)了两者中任一个设备都不会损害pin的隐私。
36.第三设备300是安全的设备或者在安全位置的设备，例如位于安全位置或非现场(off site)的后端服务器。第三设备300可以是运行支付应用的专用设备或计算机服务器，该支付应用程序可以由智能手机制造商、金融机构、金融卡公司或其他第三方来提供。第三设备300存储与第一设备100相同的共享秘密301，并将共享秘密301用作种子，以生成与第一设备相同的pin布局101。以这种方式，pin布局101从不在设备之间传输。第三设备从第二设备200接收pin令牌302并将pin令牌302与pin布局101组合(该pin布局101使用共享秘密301生成)，以获取pin 303。通过使用pin令牌、基于在该pin令牌中编码的位置、键或虚拟键确定哪个键被按压，来获取pin。这与pin布局匹配以确定键的值。对于pin 303中的每个数字或字符重复这一过程。然后可以加密pin 303。然后使用pin或加密的pin来验证交易。
37.在本发明的一些实施例中，第一设备100可以是卡持有者的设备，以及第二设备200可以是商户的智能电话、终端或设备。在这种情况下，pin布局101被显示在卡持有者的设备100上，并且pin令牌302被输入到商户的设备200。在本发明的其他实施例中，第一设备100可以是商户的设备，以及第二设备200可以是卡持有者或账户持有者的设备。在本发明的进一步实施例中，第一设备100和第二设备200都是卡持有者的设备。在本发明的其他实施例中，第一设备100和第二设备200都是商户所有的。这些实施例替代了当前的支付系统，在当前的支付系统中，pin将存在或存储在合并了第一设备和第二设备的功能的终端中。
38.在本发明的实施例中，显示pin布局的第一设备100和输入pin的第二设备200必须彼此接近，使得输入pin的人可以在查看第一设备的同时操纵第二设备。对第三设备300和第四设备400的位置没有限制。第三设备和第四设备中的任何一个或两个可以位于与第一设备和第二设备相同的位置处，位于单独的房间或远程位置处。
39.图4示出了本发明的用于安全地接收pin输入的第二实施例。在该实施例中，第一设备100具有简化功能，以显示通过来自第四设备400的通信接口接收的pin布局101。随机的pin布局101由第四设备400使用与第三设备300共有的共享秘密301来生成。这允许第三设备和第四设备生成或导出相同的伪随机的键盘布局101，而不在它们之间传输pin布局。第二设备与第一实施例中提到的设备相同。如前所述，来自第二设备的pin令牌从不会以明
文或加密的形式通过第一设备。
40.图5示出了本发明的用于安全地接收pin输入的第三实施例。该实施例类似于图4中所示的第二实施例，然而，不存在与生成在第三设备300和第四设备400之间共享的pin布局101相关联的共享秘密301。相反，第四设备负责生成随机的pin布局101并自行生成它。然后，它通过有线或无线通信接口向第三设备300传输pin布局。pin布局可以在通过第四设备传输之前被加密。第三设备接收来自第四设备的加密的pin键盘布局并对其进行解密。第三设备还从第二设备接收pin令牌302并使用它们来构建pin 303。
41.图6示出了本发明的用于安全地接收pin输入的第四实施例。该实施例是如图3所示的第一实施例的变型。在该实施例中，第一设备100和第三设备300没有共享秘密。相反，第三设备负责生成随机的pin布局101并独立地生成它。然后，第三设备通过有线或无线通信接口向第一设备100传输pin布局。pin布局可以在通过第三设备300传输之前被加密。第一设备接收来自第三设备的加密的pin键盘布局101并对其进行解密。
42.图7示出了本发明的用于安全地接收pin输入的第五实施例。该实施例是如图3所示的第一实施例的另一种变型。在该实施例中，第一设备100和第三设备300没有共享秘密。相反，第一设备负责生成随机的pin布局101并独立地生成它。然后，它通过有线或无线通信接口向第三设备100传输pin布局。pin布局可以在通过第一设备300传输之前被加密。第三设备接收来自第一设备的加密的pin键盘布局101并对其进行解密。
43.对于本发明的实施例有许多没有详尽地列出的可能的变型。然而，在本发明的实施例中，pin布局101不显示在输入pin令牌302的设备上。此外，pin布局101和pin令牌302从不会同时存在于第一设备100或第二设备200上，第一设备100或第二设备200通常是在发生交易的位置处使用的设备。pin布局101和pin令牌302都仅存在于作为远程或安全服务器或设备的第三设备300上。这样，单独损害显示pin布局的设备或显示pin令牌的设备，入侵者将不能够确定用于智能卡、或卡持有者或账户持有者的移动设备的pin 303。
44.图8示出了根据本发明实施例的初始化系统的示例性的过程。为了初始化系统700，设备必须具有安装的任何专有软件、建立的用户账户、完成的配置以及将使用支付处理器、金融机构、公司服务器或任何其他验证或安全设备进行验证。对于需要共享秘密702的实施例，无论是将要导出pin布局的秘密，还是用于加密和解密其他数据的秘密，这都必须要配置。然后，商户将根据需要利用支付处理器、金融机构或公司服务器对商户的读卡器设备进行验证703，以确保该设备不受损害并且正以非欺诈方式使用。商户可以使用本发明的实施例在其设备上输入pin，以在单独的设备上生成单独的pin布局702和pin令牌704。pin在第三设备上生成707并用于使读卡器或销售点终端能够允许其处理金融交易708。
45.在图中9，当客户选择一组产品或服务并希望为此付费时，开始交易800。商户将计算产品的价格，并在现金出纳机或类似设备中输入金额801。客户表示他们希望使用电子支付方法(例如银行卡或移动钱包)进行支付。然后，商户开始在第一设备上生成pin布局。第一设备使用共享秘密生成pin布局并在其显示器上显示pin布局802。pin布局对于每个交易是随机的。然后，用户的实体卡、虚拟卡或钱包将被刷动、被轻拍或者被插入803，并且然后，pin输入过程将在第二设备上开始进行。这将使空白键盘连同控制键(例如ok键、取消键和空格键)一起显示在第二设备上。然后，用户将观察第一设备上的显示器，以知道第二设备上的小键盘的空白键的值，并且通过按压第二设备上的正确空白键来输入pin 804。第二设
备采用按压的键的位置来生成pin令牌805。一旦输入了pin，第二设备将向第三设备传输pin令牌，可选地，在传输之前对pin令牌进行加密。所述第三设备是在安全或非现场位置处的专用硬件设备或服务器，该第三设备接收所述pin令牌，并在必要时对其进行解密。第三设备还使用共享秘密来生成pin布局的本地副本806。然后，它将本地pin布局与pin令牌组合以生成pin 807。pin令牌提供按压的位置，以指示哪些按键被按压。pin布局用于确定pin的值。然后，pin用于对交易进行验证808。
46.虽然已经说明和描述了本发明的具体实现方式和应用，但应当理解的是，本发明并不限于电子支付和销售点终端验证的具体示例。涉及pin的安全输入的许多其它应用，或者涉及位置信息、令牌的其它输入，以及涉及数字、字符、符号、图片或其它类似的指示符的布局，均可以从本发明提供的改进的安全性的实施例中受益。
技术特征：
1.使用户能够输入pin以验证交易的多个设备，其中所述多个设备包括第一设备、第二设备、第三设备和第四设备，并且所述第一设备和所述第二设备基于所述交易验证销售点终端的真实性；其中所述第一设备从所述第四设备接收随机的pin布局，所述第四设备导出所述随机的pin布局，所述第一设备在该第一设备的第一显示器上显示所述随机的pin布局，以使得所述用户能够在所述第二设备上输入一系列键按压；其中所述第二设备包括输入端，用于接受来自所述用户的所述一系列键按压以生成pin令牌，所述pin令牌指示了所述一系列键按压中的每一个；和其中所述第三设备与所述第二设备通信，所述第三设备导出所述随机的pin布局并且从所述第二设备接收所述pin令牌，而所述pin令牌不存在于所述第一设备上，所述第三设备组合所述pin布局和所述pin令牌，以生成pin。2.根据权利要求1所述的多个设备，其中，所述第四设备与所述第三设备通信，所述第四设备和所述第三设备中的每一个存储共享秘密。3.根据权利要求2所述的多个设备，其中，所述共享秘密用于在所述第四设备和所述第三设备上独立地导出所述随机的pin布局。4.根据权利要求1所述的多个设备，其中，所述第三设备远离所述第一设备和所述第二设备。5.根据权利要求4所述的多个设备，其中，所述第一设备和所述第二设备用于接受来自客户支付设备的支付。6.根据权利要求1所述的多个设备，其中：所述第三设备通信地耦合至所述第四设备，和所述第四设备向所述第三设备传输所述随机的pin布局。7.根据权利要求6所述的多个设备，其中，所述随机的pin布局在通过所述第四设备传输之前被加密。8.根据权利要求7所述的多个设备，其中：所述第三设备接收加密的随机的pin布局；和所述第三设备对所接收的所述加密的随机的pin布局进行解密。9.根据权利要求1所述的多个设备，其中，在所述pin令牌传输到所述第三设备之前，由所述第二设备对所述pin令牌进行加密。10.根据权利要求1所述的多个设备，其中，所述pin令牌基于对应于所述一系列键按压的位置。11.使用户能够输入pin以验证交易的多个设备，其中所述多个设备包括第一设备、第二设备、第三设备和第四设备，并且所述第一设备和所述第二设备基于所述交易验证销售点终端的真实性；其中所述第一设备从所述第四设备接收随机的pin布局，所述第四设备导出所述随机的pin布局，并且所述第一设备在该第一设备的第一显示器上显示所述随机的pin布局，以使得所述用户能够在所述第二设备上输入一系列键按压；所述第二设备包括输入端，用于接受来自所述用户的所述一系列键按压以生成pin令牌，所述pin令牌指示了所述一系列键按压中的每一个；和
所述第三设备与所述第二设备和所述第四设备通信，所述第三设备从所述第四设备接收所述随机的pin布局并且从所述第二设备接收所述pin令牌，而所述pin令牌不存在于所述第一设备上，所述第三设备组合所述pin布局和所述pin令牌，以生成pin。12.根据权利要求11所述的多个设备，其中，所述第三设备远离所述第一设备和所述第二设备。13.根据权利要求11所述的多个设备，其中，所述第一设备和所述第二设备用于接受来自客户支付设备的支付。14.使用户能够输入pin以验证交易的多个设备，其中所述多个设备包括第一设备、第二设备、第三设备和第四设备，并且所述第一设备和所述第二设备基于所述交易验证销售点终端的真实性；其中所述第一设备从所述第三设备接收随机的pin布局，所述第三设备导出所述随机的pin布局，并且所述第一设备在该第一设备的第一显示器上显示所述随机的pin布局，以使得所述用户能够在所述第二设备上输入一系列键按压；其中所述第二设备包括输入端，用于接受来自所述用户的所述一系列键按压以生成pin令牌，所述pin令牌指示了所述一系列键按压中的每一个；和所述第三设备与所述第二设备通信，所述第三设备从所述第二设备接收所述pin令牌，而所述pin令牌不存在于所述第一设备上，所述第三设备组合所述pin布局和所述pin令牌，以生成pin。15.根据权利要求14所述的多个设备，其中，所述第三设备远离所述第一设备和所述第二设备。16.根据权利要求14所述的多个设备，其中，所述第一设备和所述第二设备用于接受来自客户支付设备的支付。17.一种用于使用多个设备对交易进行验证的方法，所述设备包括第一设备、第二设备、第三设备和第四设备，所述方法包括：在所述第一设备上显示随机的pin布局，所述第一设备从所述第四设备接收所述随机的pin布局，所述第四设备导出所述随机的pin布局，所述第一设备在该第一设备的第一显示器上显示所述随机的pin布局，以使得用户能够在所述第二设备上输入一系列键按压；在所述第二设备的输入端处接受一系列键按压；由所述第二设备基于所接受的所述一系列键按压生成pin令牌，所述pin令牌指示了所述一系列键按压中的每一个；和在所述第三设备处从所述第二设备接收所述pin令牌，而所述pin令牌不存在于所述第一设备上，所述第三设备导出所述随机的pin布局，所述第三设备组合所述pin布局和所述pin令牌，以生成pin，并且所述pin用于对交易进行验证，并且基于所述交易验证销售点终端的真实性。18.根据权利要求17所述的方法，其中，所述第四设备与所述第三设备通信，所述第四设备和所述第三设备中的每一个存储共享秘密。19.根据权利要求18所述的方法，其中，所述共享秘密用于在所述第四设备和所述第三设备上独立地导出所述随机的pin布局。20.根据权利要求17所述的方法，其中，所述第三设备远离所述第一设备和所述第二设
备。21.根据权利要求17所述的方法，其中，所述第一设备和所述第二设备用于接受来自客户支付设备的支付。22.根据权利要求17所述的方法，还包括：由所述第四设备向所述第三设备传输所述随机的pin布局。23.根据权利要求17所述的方法，还包括：在将所述随机的pin布局传输到所述第三设备之前，对所述随机的pin布局进行加密。24.根据权利要求23所述的方法，还包括：由所述第三设备接收加密的随机的pin布局；和由所述第三设备对所接收的所述加密的随机的pin布局进行解密。25.根据权利要求17所述的方法，还包括：在所述pin令牌传输到所述第三设备之前，由所述第二设备对所述pin令牌进行加密。26.根据权利要求17所述的方法，其中，所述pin令牌基于对应于所述一系列键按压的位置。
技术总结
本公开涉及用于保护在消费者移动设备和计算装置上的个人识别号码输入隐私的系统和方法，其中一种用于接受PI的输入的系统包括：第一设备，该第一设备接收在第四设备上导出的随机的PI布局。该随机的PI布局显示在所述第一设备的显示器上。第二设备包括输入端，用于接受一系列键按压以生成PI令牌。该PI令牌指示了所述一系列键按压中的每一个。第三设备与第二设备通信。所述第三设备导出随机的PI布局并从所述第二设备接收所述PI令牌，该PI令牌不存在于所述第一设备上。所述第三设备组合所述PI布局和所述PI令牌，以生成PI。PI用于验证交易。第四设备和第三设备中的每一个存储共享秘密，共享秘密用于在第四设备和第三设备上独立地导出所述随机的PI布局。备上独立地导出所述随机的PI布局。备上独立地导出所述随机的PI布局。
