特表 2024-526117 分散ストレージを使用した非接触カード通信および鍵ペア暗号化認証のシステムおよび方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2024-07-17

(54)【発明の名称】分散ストレージを使用した非接触カード通信および鍵ペア暗号化認証のシステムおよび方法

(51)【国際特許分類】

   H04L 9/32 20060101AFI20240709BHJP

   G06F 21/31 20130101ALI20240709BHJP

   G06F 21/32 20130101ALI20240709BHJP

【ＦＩ】

H04L9/32 200B

H04L9/32 200F

G06F21/31

G06F21/32

【審査請求】未請求

【予備審査請求】未請求

(21)【出願番号】P 2023577711

(86)(22)【出願日】2022-06-15

(85)【翻訳文提出日】2024-02-15

(86)【国際出願番号】 US2022033593

(87)【国際公開番号】W WO2022266199

(87)【国際公開日】2022-12-22

(31)【優先権主張番号】17/352,143

(32)【優先日】2021-06-18

(33)【優先権主張国・地域又は機関】US

(81)【指定国・地域】

【公序良俗違反の表示】

（特許庁注：以下のものは登録商標）

１．ＢＬＵＥＴＯＯＴＨ

２．ＪＡＶＡ

(71)【出願人】

【識別番号】519111877

【氏名又は名称】キャピタル・ワン・サービシーズ・リミテッド・ライアビリティ・カンパニー

【氏名又は名称原語表記】Ｃａｐｉｔａｌ Ｏｎｅ Ｓｅｒｖｉｃｅｓ， ＬＬＣ

(74)【代理人】

【識別番号】100145403

【弁理士】

【氏名又は名称】山尾 憲人

(74)【代理人】

【識別番号】100135703

【弁理士】

【氏名又は名称】岡部 英隆

(74)【代理人】

【識別番号】100163902

【弁理士】

【氏名又は名称】市川 奈月

(72)【発明者】

【氏名】ルール，ジェフリー

(72)【発明者】

【氏名】ルッツ，ウェイン

(57)【要約】

認証のシステムおよび方法は、認証サーバを含む。認証サーバは、プロセッサおよびメモリを含み得る。プロセッサは、認証要求を受信し得る。プロセッサは、通知を送信し得る。プロセッサは、通知に応答したレスポンスであって、暗号文および入力データを含む、レスポンスを受信し得る。プロセッサは、ＦＩＤＯ（Ｆａｓｔ Ｉｄｅｎｔｉｔｙ Ｏｎｌｉｎｅ）公開鍵およびＦＩＤＯ秘密鍵を含むＦＩＤＯ鍵ペアを生成し得る。プロセッサは、ＦＩＤＯ秘密鍵を使用してチャレンジを暗号化し得る。プロセッサは、チャレンジを復号して認証要求を完了するＦＩＤＯ公開鍵を送信し得る。

【特許請求の範囲】

【請求項1】

プロセッサと、
メモリと
を備える、認証サーバであって、
前記プロセッサが、
認証要求を受信し、
通知を送信し、
前記通知に応答したレスポンスを受信し、前記レスポンスが暗号文および入力データを含み、
ＦＩＤＯ（Ｆａｓｔ Ｉｄｅｎｔｉｔｙ Ｏｎｌｉｎｅ）公開鍵およびＦＩＤＯ秘密鍵を含むＦＩＤＯ鍵ペアを生成し、
前記ＦＩＤＯ秘密鍵を使用してチャレンジを暗号化し、
前記チャレンジを復号して前記認証要求を完了するために前記ＦＩＤＯ公開鍵を送信する
認証サーバ。

【請求項2】

前記認証要求がブラウザ拡張機能からリダイレクトされる、請求項１に記載の認証サーバ。

【請求項3】

前記入力データが、生体認証データおよびログインデータの群より選択された少なくとも１つを含む、請求項１に記載の認証サーバ。

【請求項4】

前記プロセッサが、前記ＦＩＤＯ秘密鍵をセキュアエレメントに記憶する、請求項１に記載の認証サーバ。

【請求項5】

前記プロセッサが、ブラウザ拡張機能から前記チャレンジを受信する、請求項１に記載の認証サーバ。

【請求項6】

前記認証要求が、ＦＩＤＯウェブサイト登録を求める要求を含む、請求項１に記載の認証サーバ。

【請求項7】

クラウドベースのオーセンティケータを備える、請求項１に記載の認証サーバ。

【請求項8】

前記認証要求が、アプリケーションを起動するよう求める要求を含む、請求項１に記載の認証サーバ。

【請求項9】

前記暗号文が、近距離無線通信データ交換フォーマット（ＮＤＥＦ）読み出しを介して取得される、請求項１に記載の認証サーバ。

【請求項10】

認証方法であって、
プロセッサによって、第１の要求を受信するステップと、
前記プロセッサによって、第２の要求を送信するステップと、
前記プロセッサによって、前記第２の要求に応答した第１のレスポンスを受信するステップであって、前記第１のレスポンスが暗号文を含む、ステップと、
前記プロセッサによって、ＦＩＤＯ（Ｆａｓｔ Ｉｄｅｎｔｉｔｙ Ｏｎｌｉｎｅ）公開鍵およびＦＩＤＯ秘密鍵を含むＦＩＤＯ鍵ペアを生成するステップと、
前記プロセッサによって、前記ＦＩＤＯ秘密鍵を使用してチャレンジを暗号化するステップと、
前記プロセッサによって、前記チャレンジを復号して前記第１の要求を完了するためにＦＩＤＯ公開鍵を送信するステップと
を含む、方法。

【請求項11】

前記第１の要求がブラウザ拡張機能からリダイレクトされる、請求項１０に記載の方法。

【請求項12】

前記プロセッサによって、第３の要求を送信することをさらに含む、請求項１０に記載の方法。

【請求項13】

前記プロセッサによって、前記第３の要求に応答した第２のレスポンスを受信することであって、前記第２のレスポンスが入力データを含む、受信することをさらに含む、請求項１２に記載の方法。

【請求項14】

前記入力データが、生体認証データおよびログインデータの群より選択された少なくとも１つを含む、請求項１３に記載の方法。

【請求項15】

前記プロセッサによって、前記ＦＩＤＯ秘密鍵をセキュアエレメントに記憶することをさらに含む、請求項１０に記載の方法。

【請求項16】

前記プロセッサによって、ブラウザ拡張機能から前記チャレンジを受信することをさらに含む、請求項１０に記載の方法。

【請求項17】

前記第１の要求が、ＦＩＤＯウェブサイト登録を求める要求を含む、請求項１０に記載の方法。

【請求項18】

前記第１の要求が、アプリケーションを起動するよう求める要求を含む、請求項１０に記載の方法。

【請求項19】

前記暗号文が、近距離無線通信データ交換フォーマット（ＮＤＥＦ）読み出しを介して取得される、請求項１０に記載の方法。

【請求項20】

プロセッサ上で実行されると、
認証要求を受信するステップと、
通知を送信するステップと、
前記通知に応答したレスポンスを受信するステップであって、前記レスポンスが暗号文および入力データを含む、ステップと、
ＦＩＤＯ（Ｆａｓｔ Ｉｄｅｎｔｉｔｙ Ｏｎｌｉｎｅ）公開鍵およびＦＩＤＯ秘密鍵を含むＦＩＤＯ鍵ペアを生成するステップと、
前記ＦＩＤＯ秘密鍵を使用してチャレンジを暗号化するステップと、
前記チャレンジを復号して前記認証要求を完了するために前記ＦＩＤＯ公開鍵を送信するステップと
を含む手順を行うコンピュータ実行可能命令を含む非一時的コンピュータ可読媒体。

【発明の詳細な説明】

【技術分野】

【0001】

本出願は、２０２１年６月１８日に出願された米国特許出願第１７／３５２１４３号の優先権を主張し、その開示は、その全体が参照により本明細書に引用される。

【0002】

本開示は、非接触カード通信のシステムおよび方法、より具体的には、分散ストレージを使用した非接触カードの鍵ペア暗号化認証のシステムおよび方法に関する。

【背景技術】

【0003】

カードベースの動作は、多くの場合、サーバまたは他のデバイスと通信するカードの使用を伴う。そのような通信を傍受および不正アクセスから保護する必要がある。しかしながら、ハッカーまたは他の不正行為者によって使用され得るデータを傍受する多数の巧妙な方法がある。

【0004】

例えば、暗号化または他の保護がないデータの送信は、中間者攻撃、フィッシング攻撃、リプレイ攻撃、および他の攻撃を受けやすく、他の脆弱性を招く可能性があり、その結果、セキュリティリスクが増加し、アカウントまたはカードの乱用のリスクが増加する。これらのリスクは、他のデバイスと無線で通信し、よって送信中にデータを潜在的な傍受にさらす非接触カードの使用によってさらに増加し得る。

【0005】

暗号化などの、セキュリティリスクに対処するために講じられる対策は、システムリソースを消費し、動作効率を妨げる可能性がある。多数の動作の場合、システムリソースの消費および動作効率の妨げが増加する可能性があり、その結果、動作を行うことができないか、または不満足な性能をもたらす可能性がある。

【0006】

上記その他の欠陥が存在する。したがって、安全かつ確実な方法で通信を傍受および不正アクセスから保護することによってこれらの欠陥を克服する認証のシステムおよび方法が必要とされている。

【発明の概要】

【0007】

本開示の実施形態は、認証サーバを提供する。認証サーバは、プロセッサおよびメモリを含み得る。プロセッサは、認証要求を受信し得る。プロセッサは、通知を送信し得る。プロセッサは、通知に応答したレスポンスであって、暗号文および入力データを含む、レスポンスを受信し得る。プロセッサは、ＦＩＤＯ（Ｆａｓｔ Ｉｄｅｎｔｉｔｙ Ｏｎｌｉｎｅ）公開鍵およびＦＩＤＯ秘密鍵を含むＦＩＤＯ鍵ペアを生成し得る。プロセッサは、ＦＩＤＯ秘密鍵を使用してチャレンジを暗号化し得る。プロセッサは、チャレンジを復号して認証要求を完了するＦＩＤＯ公開鍵を送信し得る。

【0008】

本開示の実施形態は、認証方法を提供する。方法は、プロセッサによって、第１の要求を受信することを含み得る。方法は、プロセッサによって、第２の要求を送信することを含み得る。方法は、プロセッサによって、第２の要求に応答した第１のレスポンスを受信することであって、第１のレスポンスが暗号文を含む、ことを含み得る。方法は、プロセッサによって、ＦＩＤＯ（Ｆａｓｔ Ｉｄｅｎｔｉｔｙ Ｏｎｌｉｎｅ）公開鍵およびＦＩＤＯ秘密鍵を含むＦＩＤＯ鍵ペアを生成することを含み得る。方法は、プロセッサによって、ＦＩＤＯ秘密鍵を使用してチャレンジを暗号化することを含み得る。方法は、プロセッサによって、チャレンジを復号して第１の要求を完了するＦＩＤＯ公開鍵を送信することを含み得る。

【0009】

本開示の実施形態は、プロセッサ上で実行されると、認証要求を受信するステップと、通知を送信するステップと、通知に応答したレスポンスを受信するステップであって、レスポンスが暗号文および入力データを含む、ステップと、ＦＩＤＯ（Ｆａｓｔ Ｉｄｅｎｔｉｔｙ Ｏｎｌｉｎｅ）公開鍵およびＦＩＤＯ秘密鍵を含むＦＩＤＯ鍵ペアを生成するステップと、ＦＩＤＯ秘密鍵を使用してチャレンジを暗号化するステップと、チャレンジを復号して認証要求を完了するＦＩＤＯ公開鍵を送信するステップとを含む手順を行うコンピュータ実行可能命令を含むコンピュータ可読の非一時的な媒体を提供する。

【0010】

本開示の様々な実施形態は、さらなる目的および利点と共に、以下の説明を添付の図面と併せて参照することによって最もよく理解され得る。

【図面の簡単な説明】

【0011】

【図1】例示的な実施形態による認証システムを示す。

【図2A】例示的な実施形態による第１のデバイスの図である。

【図2B】例示的な実施形態による第１のデバイスのコンタクトパッドの図である。

【図3】例示的な実施形態による認証方法を示す。

【図4】例示的な実施形態による認証プロセスのシーケンス図を示す。

【図5】例示的な実施形態による認証方法を示す。

【図6】例示的な実施形態による認証方法を示す。

【発明を実施するための形態】

【0012】

以下の実施形態の説明は、本発明の異なる態様の特徴および教示を特に説明するために符号を参照して非限定的な代表例を提供する。説明される実施形態は、別々に実施することもでき、またはそれらの実施形態の説明からの他の実施形態と組み合わせて実施することもできるとものとして認識されるであろう。当業者は、実施形態の説明を考察すれば、本発明の異なる記載の態様を知り、理解することができるであろう。実施形態の説明は、具体的に網羅されてはいないが実施形態の説明を読んだ当業者の知識の範囲内にある他の実施態様が本発明の適用と一致することが理解される程度まで本発明の理解を容易にするであろう。

【0013】

本明細書で開示されるシステムおよび方法は、ＦＩＤＯ（Ｆａｓｔ Ｉｄｅｎｔｉｔｙ Ｏｎｌｉｎｅ）認証、ＦＩＤＯ２（Ｆａｓｔ Ｉｄｅｎｔｉｔｙ Ｏｎｌｉｎｅ ２）認証、ＷｅｂＡｕｔｈｎ、ＣＴＡＰ（Ｃｌｉｅｎｔ ｔｏ Ａｕｔｈｅｎｔｉｃａｔｏｒ Ｐｒｏｔｏｃｏｌ）ＦＩＤＯ、他の認証実施態様を含むがこれらに限定されない認証フレームワークの補完に使用され得る。本明細書で使用されるシステムおよび方法は、分散ストレージ、クラウドベースのストレージ、およびこの機能をサポートする他の形態のストレージを用いて実施され得る。様々な認証プロセスが実施され、第１の認証プロセスは、特定のレスポンスデータを必要とするデバイスのアプリケーションに送信され、第２の認証プロセスは、特定の入力データを必要とするアプリケーションに送信され得る。レスポンスおよび入力データがクラウドベースのオーセンティケータ（authenticator）によって認証されると、鍵ペアが生成されてもよく、鍵のうちの１つはセキュアエレメントに記憶され、鍵のうちの１つはチャレンジに署名して認証要求を完了するブラウザ拡張機能に送信される。限定されないが、サーバは、クラウドベースのオーセンティケータとして、および／または分散ストレージを使用して実施されるものとして、を含めて、オーセンティケータを備えてもよい。

【0014】

本明細書で開示されるシステムおよび方法の利点は、通信を傍受および不正アクセスから保護することによる認証の改善を含む。本明細書で開示されるシステムおよび方法は、中間者攻撃およびフィッシング攻撃の回避、リプレイ攻撃の防止、ならびに他のセキュリティ脆弱性の低減を可能にする。

【0015】

さらに、ＦＩＤＯ２フレームワークおよび他の認証フレームワークに対する懸念は、認証プロセスに着手しようとしているユーザの識別情報を確立することである。本明細書で説明されるシステムおよび方法は、フレームワークを介して資格情報を登録し、認証しようと試みるユーザが、そのように主張している、認証プロセスを行う権限を与えられたユーザであることを確認することによって、この脆弱性を低減し得る。そうすることによって、フレームワークのセキュリティおよび権限のないユーザを排除する能力が高められ得る。

【0016】

加えて、多数の認証プロセスが行われてもよく、認証を改善するために通知へのレスポンスを介してカスタマイズされたクエリが送信されてもよい。そうすることによって、チャレンジに署名しようと試みるときに、鍵にアクセスするか、または紛失したり、盗まれたり、置き忘れたりした鍵を回収するために、物理的デバイス（例えば、ハードウェアドングル）が不要になる。したがって、セキュリティリスクがさらに軽減され、様々なデバイス間の互換性およびトランザクション効率が改善され得る。

【0017】

これらの特徴は、ユーザに不必要なセキュリティタスクを負わせることによってユーザ体験を低下させることなく実施され得る。さらに、これらの特徴は、ユーザの期待およびトランザクション要件に応じるために、トランザクションの時間効率的な遂行を可能にするように行われ得る。

【0018】

したがって、本明細書で開示されるシステムおよび方法は、カードまたはカードと関連付けられたアカウントの乱用などの不正行為のリスクを低減する。本明細書で開示されるシステムおよび方法は、セキュアな認証を欠く実施態様を改善する。これらの利点は、システム効率を促進し、ユーザ体験の低下を回避し、多数のデバイス間の互換性を促進しながら、有利に達成され得る。

【0019】

図１は、認証システム１００を示している。システム１００は、ブラウザ拡張機能１０１と、第１のデバイス１０５と、第２のデバイス１１０と、ネットワーク１１５と、サーバ１２０と、データベース１２５とを備え得る。図１はシステム１００の構成要素の単一の例を示しているが、システム１００は任意の数の構成要素を含んでもよい。

【0020】

システム１００は、ブラウザ拡張機能１０１を含み得る。ブラウザ拡張機能１０１は、Ｃｈｒｏｍｅ（登録商標）、Ｉｎｔｅｒｎｅｔ Ｅｘｐｌｏｒｅｒ（登録商標）、Ｆｉｒｅｆｏｘ（登録商標）、またはＳａｆａｒｉ（登録商標）を含んでもよい。スタンドアロンのソフトウェアアプリケーションを含む、ブラウザ拡張機能以外のソフトウェアアプリケーションが利用され得ることが理解される。限定されないが、ウェブサイト登録やアプリケーションの起動などの認証要求は、ブラウザ拡張機能１０１と関連付けられたラップトップやデスクトップを含むがこれらに限定されない任意のデバイス上で行われてもよい。モバイルベースのブラウザ１０１、またはデスクトップベースのブラウザ１０１は、以下でさらに説明するように、１つまたは複数の要求を送信および受信し得る。

【0021】

システム１００は、第１のデバイス１０５を含み得る。限定されないが、第１のデバイス１０５は、非接触カード、接触ベースのカード、ネットワーク対応コンピュータ、または本明細書で説明される他のデバイスを備えてもよい。本明細書で言及するように、ネットワーク対応コンピュータは、これらに限定されないが、例えば、サーバ、ネットワーク家電機器、パーソナルコンピュータ、ワークステーション、電話、ハンドヘルドＰＣ、携帯情報端末、非接触カード、シンクライアント、ファットクライアント、インターネットブラウザ、キオスク、タブレット、端末、または他のデバイスを含むコンピュータデバイス、または通信デバイスを含んでもよい。以下の図２Ａ～図２Ｂでさらに説明するように、第１のデバイス１０５は、１つまたは複数のプロセッサ１０２およびメモリ１０４を含み得る。メモリ１０４は、１つまたは複数のアプレット１０６および１つまたは複数のカウンタ１０８を含み得る。各カウンタ１０８は、カウンタ値を含み得る。メモリ１０４は、カウンタ値、送信データ、および少なくとも１つの鍵を含み得る。

【0022】

第１のデバイス１０５は、通信インターフェース１０７を含み得る。通信インターフェース１０７は、物理インターフェースおよび非接触インターフェースとの通信能力を備え得る。例えば、通信インターフェース１０７は、カードスワイプインターフェースを通してスワイプすることや、現金自動預払機（ＡＴＭ）もしくは物理インターフェースを介して通信する他のデバイス上にあるカードチップリーダに挿入することなどによって、物理インターフェースと通信してもよい。他の例では、通信インターフェース１０７は、ＮＦＣ、Ｂｌｕｅｔｏｏｔｈ、Ｗｉ－Ｆｉ、ＲＦＩＤ、および他の形態の非接触通信などの短距離無線通信方法を介してカード読み出しデバイスとの非接触通信を確立し得る。図１に示すように、通信インターフェース１０７は、ネットワーク１１５を介して第２のデバイス１１０、サーバ１２０、および／またはデータベース１２５と直接通信し得る。

【0023】

第１のデバイス１０５は、システム１００の任意の数の構成要素とデータ通信し得る。例えば、第１のデバイス１０５は、ネットワーク１１５を介して第２のデバイス１１０および／またはサーバ１２０にデータを送信してもよい。第１のデバイス１０５は、ネットワーク１１５を介してデータベース１２５にデータを送信してもよい。いくつかの例では、第１のデバイス１０５は、任意のデバイスの１つまたは複数の通信フィールドにエントリした後にネットワーク１１５を介してデータを送信し得る。限定されないが、各エントリは、タップ、スワイプ、ウェイブ、および／またはそれらの任意の組合せと関連付けられてもよい。

【0024】

システム１００は、第２のデバイス１１０を含み得る。第２のデバイス１１０は、１つまたは複数のプロセッサ１１２およびメモリ１１４を含み得る。メモリ１１４は、アプリケーション１１６を含むがこれに限定されない、１つまたは複数のアプリケーションを含み得る。第２のデバイス１１０は、システム１００の任意の数の構成要素とデータ通信し得る。例えば、第２のデバイス１１０は、ネットワーク１１５を介してサーバ１２０にデータを送信してもよい。第２のデバイス１１０は、ネットワーク１１５を介してデータベース１２５にデータを送信してもよい。限定されないが、第２のデバイス１１０は、ネットワーク対応コンピュータであってもよい。本明細書で言及するように、ネットワーク対応コンピュータは、これらに限定されないが、例えば、サーバ、ネットワーク家電機器、パーソナルコンピュータ、ワークステーション、電話、ハンドヘルドＰＣ、携帯情報端末、非接触カード、シンクライアント、ファットクライアント、インターネットブラウザ、キオスク、タブレット、端末、または他のデバイスを含むコンピュータデバイス、または通信デバイスを含んでもよい。第２のデバイス１１０はまた、モバイルデバイスであってもよく、例えば、モバイルデバイスは、Ａｐｐｌｅ（登録商標）製のｉＰｈｏｎｅ、ｉＰｏｄ、ｉＰａｄ、もしくはＡｐｐｌｅのｉＯＳ（登録商標）オペレーティングシステムを実行する任意の他のモバイルデバイス、ＭｉｃｒｏｓｏｆｔのＷｉｎｄｏｗｓ（登録商標）Ｍｏｂｉｌｅオペレーティングシステムを実行する任意のデバイス、Ｇｏｏｇｌｅ（登録商標）のＡｎｄｒｏｉｄ（登録商標）オペレーティングシステムを実行する任意のデバイス、および／または任意の他のスマートフォン、タブレット、もしくは同様のウェアラブルモバイルデバイスを含んでもよい。

【0025】

第２のデバイス１１０は、処理回路を含んでもよく、本明細書で説明される機能を行うため必要に応じて、プロセッサ、メモリ、エラーおよびパリティ／ＣＲＣチェッカ、データエンコーダ、衝突防止アルゴリズム、コントローラ、コマンドデコーダ、セキュリティプリミティブおよび改ざん防止ハードウェアを含む追加の構成要素を含んでもよい。第２のデバイス１１０は、ディスプレイおよび入力デバイスをさらに含み得る。ディスプレイは、液晶ディスプレイ、発光ダイオードディスプレイ、プラズマパネル、および陰極線管ディスプレイを含む、コンピュータモニタ、フラットパネルディスプレイ、およびモバイルデバイス画面などの視覚情報を提示する任意の種類のデバイスであってもよい。入力デバイスは、タッチスクリーン、キーボード、マウス、カーソル制御デバイス、タッチスクリーン、マイクロフォン、デジタルカメラ、ビデオレコーダまたはカムコーダなど、ユーザのデバイスによって利用可能であり、サポートされている、ユーザのデバイスに情報を入力する任意のデバイスを含んでもよい。これらのデバイスは、情報を入力し、本明細書で説明されるソフトウェアおよび他のデバイスとの対話に使用され得る。

【0026】

システム１００は、ネットワーク１１５を含み得る。いくつかの例では、ネットワーク１１５は、無線ネットワーク、有線ネットワーク、または無線ネットワークと有線ネットワークとの任意の組合せのうちの１つまたは複数であってもよく、システム１００の構成要素のいずれかに接続し得る。例えば、第１のデバイス１０５は、ネットワーク１１５を介してサーバ１２０に接続してもよい。いくつかの例では、ネットワーク１１５は、光ファイバネットワーク、パッシブ光ネットワーク、ケーブルネットワーク、インターネットネットワーク、衛星ネットワーク、無線ローカルエリアネットワーク（ＬＡＮ）、グローバル移動体通信システム、パーソナル通信サービス、パーソナルエリアネットワーク、ワイヤレスアプリケーションプロトコル、マルチメディアメッセージングサービス、拡張メッセージングサービス、ショートメッセージサービス、時分割多重化ベースのシステム、符号分割多元接続ベースのシステム、Ｄ－ＡＭＰＳ、Ｗｉ－Ｆｉ、固定無線データ、ＩＥＥＥ８０２．１１ｂ、８０２．１５．１、８０２．１１ｎおよび８０２．１１ｇ、Ｂｌｕｅｔｏｏｔｈ、ＮＦＣ、無線周波数識別（ＲＦＩＤ）、Ｗｉ－Ｆｉなどうちの１つまたは複数を含み得る。

【0027】

加えて、ネットワーク１１５は、限定されないが、電話回線、光ファイバ、ＩＥＥＥイーサネット９０２．３、広域ネットワーク、無線パーソナルエリアネットワーク、ＬＡＮ、またはインターネットなどのグローバルネットワークを含んでもよい。加えて、ネットワーク１１５は、インターネットネットワーク、無線通信ネットワーク、セルラーネットワークなど、またはそれらの任意の組合せをサポートしてもよい。ネットワーク１１５は、スタンドアロンネットワークとして、または互いに協働して動作する、１つのネットワーク、または任意の数の上記の例示的な種類のネットワークをさらに含んでもよい。ネットワーク１１５は、ネットワークが通信可能に結合されている１つまたは複数のネットワーク要素の１つまたは複数のプロトコルを利用してもよい。ネットワーク１１５は、他のプロトコルに、または他のプロトコルからネットワークデバイスの１つまたは複数のプロトコルに変換してもよい。ネットワーク１１５は単一のネットワークとして示されているが、１つまたは複数の例によれば、ネットワーク１１５は、例えば、インターネット、サービスプロバイダのネットワーク、ケーブルテレビネットワーク、クレジットカード協会ネットワークなどの企業ネットワーク、およびホームネットワークなどの複数の相互接続されたネットワークを含み得ることが理解されるであろう。

【0028】

システム１００は、１つまたは複数のサーバ１２０を含み得る。いくつかの例では、サーバ１２０は、メモリ１２４に結合された１つまたは複数のプロセッサ１２２を含み得る。限定されないが、サーバ１２０は、クラウドベースのオーセンティケータを備えてもよい。サーバ１２０は、中央システム、サーバまたはプラットフォームとして、複数のワークフロー動作を実行するために異なる時間に様々なデータを制御し、呼び出し得る。サーバ１２０は、第１のデバイス１０５に接続し得る。サーバ１２０は、アプレット１０６および／またはアプリケーション１１６とデータ通信し得る。例えば、サーバ１２０は、１つまたは複数のネットワーク１１５を介してアプレット１０６とデータ通信してもよい。第１のデバイス１０５は、１つまたは複数のネットワーク１１５を介して１つまたは複数のサーバ１２０と通信してもよく、サーバ１２０とのそれぞれのフロントエンドからバックエンドのペアとして動作してもよい。第１のデバイス１０５は、例えば、その上で実行されているアプレット１０６から、サーバ１２０に１つまたは複数の要求を送信し得る。１つまたは複数の要求は、サーバ１２０からデータを取り出すことと関連付けられてもよい。サーバ１２０は、第１のデバイス１０５から１つまたは複数の要求を受信し得る。サーバ１２０は、アプレット１０６からの１つまたは複数の要求に基づいて、要求されたデータを取り出し得る。サーバ１２０は、１つまたは複数の要求に応答したものである受信データを、アプレット１０６に送信し得る。

【0029】

いくつかの例では、サーバ１２０は、ブレード型サーバなどの専用サーバコンピュータとすることもできるし、またはパーソナルコンピュータ、ラップトップコンピュータ、ノートブックコンピュータ、パームトップコンピュータ、ネットワークコンピュータ、モバイルデバイス、ウェアラブルデバイス、もしくはシステム１００をサポートすることができる任意のプロセッサ制御デバイスとすることもできる。図１は単一のサーバ１２０を示しているが、他の実施形態は、ユーザのサポートに必要な、または望ましい複数のサーバまたは複数のコンピュータシステムを使用することができ、特定のサーバの障害が発生した場合にネットワークのダウンタイムを防止するバックアップサーバまたは冗長サーバを使用することもできることが理解される。

【0030】

サーバ１２０は、その上で実行する命令を含むアプリケーションを含み得る。例えば、アプリケーションは、サーバ１２０上で実行する命令を含んでもよい。サーバ１２０のアプリケーションは、システム１００の任意の構成要素と通信し得る。例えば、サーバ１２０は、例えば、システム１００の１つまたは複数の構成要素とのネットワークおよび／またはデータ通信を可能にし、データを送信および／または受信する１つまたは複数のアプリケーションを実行してもよい。限定されないが、サーバ１２０は、ネットワーク対応コンピュータであってもよい。本明細書で言及するように、ネットワーク対応コンピュータは、これらに限定されないが、例えば、サーバ、ネットワーク家電機器、パーソナルコンピュータ、ワークステーション、電話、ハンドヘルドＰＣ、携帯情報端末、非接触カード、シンクライアント、ファットクライアント、インターネットブラウザ、または他のデバイスを含むコンピュータデバイス、または通信デバイスを含んでもよい。サーバ１２０はまた、モバイルデバイスであってもよく、例えば、モバイルデバイスは、Ａｐｐｌｅ（登録商標）製のｉＰｈｏｎｅ、ｉＰｏｄ、ｉＰａｄ、もしくはＡｐｐｌｅのｉＯＳ（登録商標）オペレーティングシステムを実行する任意の他のモバイルデバイス、ＭｉｃｒｏｓｏｆｔのＷｉｎｄｏｗｓ（登録商標）Ｍｏｂｉｌｅオペレーティングシステムを実行する任意のデバイス、ＧｏｏｇｌｅのＡｎｄｒｏｉｄ（登録商標）オペレーティングシステムを実行する任意のデバイス、および／または任意の他のスマートフォン、タブレット、もしくは同様のウェアラブルモバイルデバイスを含んでもよい。

【0031】

サーバ１２０は、処理回路を含んでもよく、本明細書で説明される機能を行う必要に応じて、プロセッサ、メモリ、エラーおよびパリティ／ＣＲＣチェッカ、データエンコーダ、衝突防止アルゴリズム、コントローラ、コマンドデコーダ、セキュリティプリミティブおよび改ざん防止ハードウェアを含む追加の構成要素を含んでもよい。サーバ１２０は、ディスプレイおよび入力デバイスをさらに含み得る。ディスプレイは、液晶ディスプレイ、発光ダイオードディスプレイ、プラズマパネル、および陰極線管ディスプレイを含む、コンピュータモニタ、フラットパネルディスプレイ、およびモバイルデバイス画面などの視覚情報を提示する任意の種類のデバイスであってもよい。入力デバイスは、タッチスクリーン、キーボード、マウス、カーソル制御デバイス、タッチスクリーン、マイクロフォン、デジタルカメラ、ビデオレコーダまたはカムコーダなど、ユーザのデバイスによって利用可能であり、サポートされている、ユーザのデバイスに情報を入力する任意のデバイスを含んでもよい。これらのデバイスは、情報を入力し、本明細書で説明されるソフトウェアおよび他のデバイスとの対話に使用され得る。

【0032】

システム１００は、１つまたは複数のデータベース１２５を含み得る。データベース１２５は、リレーショナルデータベース、非リレーショナルデータベース、または他のデータベース実施態様、ならびに複数のリレーショナルデータベースおよび非リレーショナルデータベースを含むそれらの任意の組合せを備え得る。いくつかの例では、データベース１２５は、デスクトップデータベース、モバイルデータベース、またはインメモリデータベースを備え得る。さらに、データベース１２５は、第１のデバイス１０５やサーバ１２０などのシステム１００の任意の構成要素によって内部でホストされてもよいし、またはデータベース１２５は、クラウドベースのプラットフォームによって、または第１のデバイス１０５およびサーバ１２０とデータ通信している任意の記憶デバイス内でなど、第１のデバイス１０５やサーバ１２０などのシステム１００の任意の構成要素の外部でホストされてもよい。いくつかの例では、データベース１２５は、システム１００の任意の数の構成要素とデータ通信し得る。例えば、サーバ１２０は、データベース１２５から、アプレット１０６によって送信された要求データを取り出してもよい。サーバ１２０は、ネットワーク１１５を介してデータベース１２５からアプレット１０６に、送信された１つまたは複数の要求に応答した受信データを送信し得る。他の例では、アプレット１０６は、ネットワーク１１５を介してデータベース１２５からの要求データを求める１つまたは複数の要求を送信し得る。

【0033】

いくつかの例では、本明細書で説明される本開示による例示的な手順は、処理装置および／またはコンピューティング装置（例えば、コンピュータハードウェア装置）によって行うことができる。そのような処理装置／コンピューティング装置は、例えば、これに限定されないが、例えば、１つまたは複数のマイクロプロセッサを含み、コンピュータアクセス可能媒体（例えば、ＲＡＭ、ＲＯＭ、ハードドライブ、または他の記憶デバイス）に記憶された命令を使用することができるコンピュータ／プロセッサの全体、またはその一部であり得るか、またはそれらを含むことができる。例えば、コンピュータアクセス可能媒体は、第１のデバイス１０５、第２のデバイス１１０、サーバ１２０、および／またはデータベース１２５、または他のコンピュータハードウェア装置のメモリの一部とすることができる。

【0034】

いくつかの例では、コンピュータアクセス可能媒体（例えば、本明細書で上述したような、ハードディスク、フロッピーディスク、メモリスティック、ＣＤ－ＲＯＭ、ＲＡＭ、ＲＯＭなどの記憶デバイス、またはそれらの集合体）を設けることができる（例えば、処理装置と通信する）。コンピュータアクセス可能媒体は、その上に実行可能命令を含むことができる。加えて、または代替的に、コンピュータアクセス可能媒体とは別個に記憶装置を設けることもでき、記憶装置は、例えば、本明細書で上述したように、特定の例示的な手順、プロセス、および方法を実行するように処理装置を構成するために処理装置に命令を提供することができる。

【0035】

プロセッサ１２２は、認証要求を受信し得る。いくつかの例では、認証要求は、ウェブサイト登録を求める要求を含み得る。例えば、認証要求は、ＦＩＤＯ（Ｆａｓｔ Ｉｄｅｎｔｉｔｙ Ｏｎｌｉｎｅ）ウェブサイト登録を求める要求を含んでもよい。プロセッサ１２２は、複数の要求を取り扱うこととができる。要求のうちの少なくとも１つは、ＦＩＤＯ登録要求を含み得る。さらに、要求のうちの少なくとも１つは、ＦＩＤＯ認証要求を含み得る。複数の要求は、アプリケーション１１６や実行する命令を含む別のアプリケーションなどのアプリケーションを起動するためにデバイス１１０に送信されるプッシュ通知などの通知をもたらし得る。他の例では、認証要求は、任意のデバイス上でアプリケーションを起動するよう求める要求を含み得る。

【0036】

認証要求はリダイレクトされ得る。例えば、認証要求はブラウザ拡張機能１０１からリダイレクトされてもよい。いくつかの例では、ブラウザ拡張機能１０１は、ＦＩＤＯウェブサイト登録を傍受し、それをクラウドベースのオーセンティケータサーバ１２０のプロセッサ１２２にリダイレクトし得る。ブラウザ拡張機能１０１は、Ｃｈｒｏｍｅ（登録商標）ブラウザ、Ｉｎｔｅｒｎｅｔ Ｅｘｐｌｏｒｅｒ（登録商標ブラウザ）、Ｆｉｒｅｆｏｘ（登録商標）ブラウザ、および／またはＳａｆａｒｉ（登録商標）ブラウザ用の拡張機能を含み得る。他のブラウザ拡張機能１０１が利用されてもよいことが理解され、スタンドアロンのソフトウェアアプリケーションが使用されてもよいことがさらに理解される。限定されないが、ＦＩＤＯウェブサイト登録は、ラップトップまたはデスクトップを含むがこれらに限定されない任意のデバイス上で行われてもよい。モバイルベースのブラウザ１０１、またはデスクトップベースのブラウザ１０１は、ＦＩＤＯウェブサイト登録を傍受し、それをサーバ１２０のプロセッサ１２２に送信し得る。例えば、ウェブサイトは、これに限定されないが、ハイパーテキスト転送プロトコルセキュア（ＨＴＴＰＳ）を含むプロトコルを介してチャレンジを発行してもよい。ブラウザ拡張機能１０１は、ＦＩＤＯ２対応デバイスを有するデバイス上でローカルにこれに応答する代わりに、このトラフィックをプロセッサ１２２などのサーバ１２０にリダイレクトし得る。以下でさらに説明するように、サーバ１２０のプロセッサ１２２は、第１のデバイス１０５のプロセッサ１０２を使用してチャレンジに署名するデバイス１１０のアプリケーション１１６にチャレンジをリダイレクトしてもよく、署名されたチャレンジは元のデバイスに返送され、ログインのためにウェブサイトに返される。別の例では、デバイス１１０のアプリケーション１１６は、以下でさらに説明するように、ユーザを認証してもよく、その際デバイス１１０のアプリケーション１１６は、受信した暗号文をサーバ１２０のプロセッサ１２２に送信してもよく、次いで、サーバは、受信した暗号文からユーザの識別情報を検証し、次いで、サーバ１２０のプロセッサ１２２は、登録プロセス中に生成されたＦＩＤＯ秘密鍵を使用してチャレンジに署名する。そのような実施態様は、ウェブサイト登録および／またはアプリケーションの起動に適用可能であり得る。例えば、アプリケーションは、要求がサーバ１２０のプロセッサ１２２にリダイレクトされていることを認識してもよい。デバイス１１０のアプリケーション１１６は、サーバ１２０のプロセッサ１２２からプッシュ通知を受信したときに起動してもよく、第１のデバイス１０５からの暗号文を受信してサーバ１２０のプロセッサ１２２に送信する。

【0037】

プロセッサ１２２は、１つまたは複数の通知を送信し得る。いくつかの例では、プロセッサ１２２は、識別情報の検証を必要とする通知を送信し得る。例えば、プロセッサ１２２から第２のデバイスなどのデバイス１１０のアプリケーション１１６に、識別情報検証を要求する少なくとも１つの通知が送信されてもよい。１つまたは複数の通知は、プロセッサ１２２によってアプリケーション１１６に送信され、アプリケーション１１６による１つまたは複数のレスポンスを必要とし得る。プロセッサ１２２は、１つまたは複数の通知を生成して送信し得る。限定されないが、１つまたは複数の通知は、プロセッサ１２２からデバイス１１０のアプリケーション１１６に転送されたプッシュ通知を含んでもよい。

【0038】

プロセッサ１２２は、１つまたは複数の通知に応答した１つまたは複数のレスポンスを受信し得る。いくつかの例では、レスポンスは、暗号文、クリプトグラム、または他の暗号結果、および入力データを含み得る。プロセッサ１２２は、カードなどの第１のデバイス１０５のプロセッサ１０２から１つまたは複数のレスポンスを受信し得る。例えば、カードのプロセッサ１０２は、少なくとも１つの鍵およびカウンタ値を使用して暗号文を作成してもよい。暗号文は、カウンタ値を含み得る。第１のデバイス１０５のプロセッサ１０２は、通信インターフェース１０７を介してデバイス１１０のアプリケーション１１６に暗号文を送信してもよく、デバイス１１０は、暗号文および入力データを含む任意のデータを送信するためにプロセッサ１２２と第１のデバイス１０５との間の仲介デバイスとして機能し得る。例えば、カードのプロセッサ１０２は、暗号文をプロセッサ１２２に送信してもよい。第１のデバイス１０５のプロセッサ１０２は、暗号文の送信後にカウンタ値を更新し得る。暗号文は、これに限定されないが、１回または複数回の近距離無線通信データ交換フォーマット（ＮＤＥＦ）読み出しを含む１回または複数回の読み出しを介して取得され得る。デバイス１１０のアプリケーション１１６は、第１のデバイス１０５の近距離無線通信（ＮＦＣ）タグなどのタグの１回または複数回の読み出しを行い得る。例えば、カードのプロセッサ１０２は、デバイスの通信フィールドへの１回または複数回のエントリの後に、暗号文を送信してもよい。限定されないが、各エントリは、タップ、スワイプ、ウェイブ、および／またはそれらの任意の組合せと関連付けられてもよい。

【0039】

プロセッサ１２２は、第１のレスポンスを必要とする第１の通知を送信し得る。第１のレスポンスは暗号文を含み得る。プロセッサ１２２は、デバイス１１０のアプリケーション１１６から第１のレスポンスを受信し得る。プロセッサ１２２は、暗号文を検証し得る。例えば、デバイス１１０のアプリケーション１１６からサーバ１２０のプロセッサ１２２への送信前に暗号化され得る暗号文を復号することによる、暗号文の検証後、プロセッサ１２２は、第２のレスポンスを必要とする第２の通知をアプリケーション１１６に送信し得る。第２のレスポンスは、入力データを含み得る。プロセッサ１２２は、第２のレスポンスの入力データを受信し得る。プロセッサ１２２は、参照入力データをアプリケーション１１６からの送信入力データと比較することによって入力データを検証し得る。参照入力データは、サーバ１２０によってメモリ１２４などに記憶され得る。他の例では、参照入力データは、例えばデータベース１２５を介してサーバ１２０によって取り出され得る。例えば、サーバ１２０は、データベース１２５に参照入力データの取得を求める要求を送信してもよく、データベース１２５は、要求を受信し、サーバ１２０によって送信された要求に応答して参照入力データを送信してもよい。他の例では、別個のレスポンスを必要とする別個の通知を送信する代わりに、単一の通知がプロセッサ１２２によってアプリケーション１１６に送信され、単一のレスポンスを介して暗号文と入力データの両方を要求し得る。さらに、入力データは、第１の通知に対する第１のレスポンスを介して、第２の通知に対する第２のレスポンスの前に要求されてもよい。他の例では、入力データは、第２の通知に対する第２のレスポンスを介して、第１の通知に対する第１のレスポンスの後に要求され得る。

【0040】

いくつかの例では、入力データは、生体認証データを含み得る。限定されないが、生体認証データは、指紋、顔スキャン、網膜スキャン、音声認識、および／またはそれらの任意の組合せの群より選択された少なくとも１つを含んでもよい。いくつかの例では、入力データは、追加的および／または代替的にログインデータを含み得る。限定されないが、ログインデータは、ユーザ名、パスワード、アカウント番号、セキュリティコード、ワンタイムパスコード、セキュリティ質問に対する回答、および／またはそれらの任意の組合せのエントリの群より選択された少なくとも１つを含んでもよい。入力データは、生体認証データおよびログインデータの群より選択された少なくとも１つを含み得る。入力データは、生体認証データ、ログインデータ、および／またはそれらの任意の組合せを含んでもよい。

【0041】

暗号文と入力データの両方を含む識別情報検証の後、プロセッサ１２２は鍵ペアを生成し得る。例えば、プロセッサ１２２は、ＦＩＤＯ鍵ペアを生成してもよい。鍵ペアは、１組の鍵を含み得る。いくつかの例では、ＦＩＤＯ鍵ペアは、秘密鍵および公開鍵を含み得る。例えば、ＦＩＤＯ鍵ペアは、ＦＩＤＯ秘密鍵およびＦＩＤＯ公開鍵を含んでもよい。プロセッサ１２２は、１つまたは複数の鍵を記憶し得る。例えば、プロセッサは、ＦＩＤＯ秘密鍵をセキュアエレメントに記憶してもよい。ＦＩＤＯ秘密鍵を第１のデバイス１０５に記憶するのではなく、ＦＩＤＯ秘密鍵は、サーバ１２０に属するセキュアエレメントに記憶され得る。ＦＩＤＯ秘密鍵は、サーバ１２０などのクラウドベースのオーセンティケータによって維持されるセキュアエレメントに記憶され得る。セキュアエレメントは、クラウド内でホストされてもよく、１つまたは複数の鍵がセキュアに記憶され、取り出され得る耐タンパ性のセキュアストレージ領域を備え得る。いくつかの例では、セキュアエレメントへのアクセスは、プロセッサ１２２のみによるアクセスなどに、制限され得る。プロセッサ１２２は、セキュアエレメントからＦＩＤＯ秘密鍵を取り出し得る。他の例では、セキュアエレメントへのアクセスは制限されなくてもよく、それによって鍵を取り出しのために専用デバイス上に記憶しない。初期ＦＩＤＯ登録時に、ウェブサイトは、ウェブサイトおよび／またはユーザを一意に識別する識別子を送信し得る。ＦＩＤＯ秘密鍵などの鍵が生成されると、クラウド内のサーバ１２０は、識別子を使用してこの鍵をセキュアエレメントに記憶し得る。その後のＦＩＤＯ認証要求時に、ウェブサイトは、チャレンジと共に識別子を送信し得る。チャレンジに署名する時点で、次いで、ＦＩＤＯ秘密鍵は、識別子を使用してセキュアエレメントから検索され、取り出される。このように、鍵ペアが紛失したり、置き忘れられたり、盗まれたりした場合、クラウドベースのオーセンティケータなどのサーバ１２０は、鍵を含む物理的デバイスを必要とせずに、ＦＩＤＯ公開鍵などの鍵を生成して送信し得る。

【0042】

プロセッサ１２２は、鍵ペアからの鍵のうちの少なくとも一方を使用して、１つまたは複数のチャレンジを暗号化し得る。例えば、プロセッサ１２２は、ブラウザ拡張機能１０１からチャレンジを受信してもよい。いくつかの例では、サーバ１２０のプロセッサ１２２は、ＦＩＤＯ秘密鍵を使用してチャレンジを暗号化し得る。鍵のうちの少なくとも１つは、チャレンジの復号に使用され得る。例えば、プロセッサ１２２は、チャレンジを復号して認証要求の完了にＦＩＤＯ公開鍵を送信してもよい。いくつかの例では、ウェブサイトが署名されたチャレンジを確認し、ウェブサイトへのアクセスを許可する認証要求の完了は、ＦＩＤＯ公開鍵によって確認され得る。例えば、チャレンジは、結果が元のチャレンジと一致するかどうかを判定してそれがデジタル署名されたことを検証するために、ブラウザ拡張機能１０１によって受信したＦＩＤＯ公開鍵で復号されてもよい。いくつかの例では、ブラウザ拡張機能１０１は、チャレンジを復号して認証要求を処理するために、これらに限定されないが、別個のサーバまたはデータベースを含む任意のデバイスに公開鍵を送信し得る。このように、システム１００は、分散ストレージ、クラウドベースのストレージ、および前述の機能をサポートする他の形態のストレージを用いて実施し得る。

【0043】

図２Ａは、１つまたは複数の第１のデバイス２００を示している。第１のデバイス２００は、図１に関して上述したように、第１のデバイス１０５と同じかまたは同様の構成要素を参照し得る。図２Ａおよび図２Ｂは、第１のデバイス２００の構成要素の単一の例を示しているが、任意の数の構成要素が利用されてもよい。

【0044】

第１のデバイス２００は、システム１００の１つまたは複数の構成要素と通信し得る。第１のデバイス２００は、接触ベースのカード（例えば、磁気ストライプのスワイプやチップリーダへの挿入によって読み出されるカード）または非接触カードを構成してもよく、第１のデバイス２００は、第１のデバイス２００の前面または背面に表示されたサービスプロバイダ２０５によって発行されたクレジットカード、デビットカード、またはギフトカードなどの支払いカードを構成してもよい。いくつかの例では、第１のデバイス２００は支払いカードに関連せず、限定されないが、身分証明書、会員証、および交通カードを構成してもよい。いくつかの例では、支払いカードは、デュアルインターフェース非接触支払いカードを含み得る。

【0045】

第１のデバイス２００は基材２１０を含んでもよく、基材２１０は、プラスチック、金属、および他の材料から構成された単一層または１つもしくは複数の積層を含み得る。例示的な基材材料としては、ポリ塩化ビニル、ポリ塩化ビニルアセテート、アクリロニトリルブタジエンスチレン、ポリカーボネート、ポリエステル、陽極酸化チタン、パラジウム、金、炭素、紙、および生分解性材料が挙げられる。いくつかの例では、第１のデバイス２００はＩＳＯ／ＩＥＣ７８１０規格のＩＤ－１フォーマットに準拠した物理的特性を有してもよく、第１のデバイス２００はそうではなく、ＩＳＯ／ＩＥＣ１４４４３規格に準拠していてもよい。しかしながら、本開示による第１のデバイス２００は異なる特性を有してもよく、本開示は支払いカードにおける実施を必要としないことが理解される。

【0046】

第１のデバイス２００はまた、カードの前面および／または背面に表示された識別情報２１５、ならびにコンタクトパッド２２０も含み得る。コンタクトパッド２２０は、ユーザデバイス、スマートフォン、ラップトップ、デスクトップ、またはタブレットコンピュータを含むがこれらに限定されない別の通信デバイスとのコンタクトを確立し得る。第１のデバイス２００はまた、図２Ａに示されていない処理回路、アンテナおよび他の構成要素を含んでもよい。これらの構成要素は、コンタクトパッド２２０の背後に、または基材２１０上の他の場所に配置されてもよい。第１のデバイス２００はまた、カードの背面に配置され得る磁気ストリップまたはテープ（図２Ａには示されていない）を含んでもよい。

【0047】

図２Ｂに示すように、図２Ａのコンタクトパッド２２０は、マイクロプロセッサなどのプロセッサ２３０と、メモリ２３５とを含み、情報を記憶し、処理する処理回路２２５を含み得る。処理回路２２５は、本明細書で説明される機能を行うため必要に応じて、プロセッサ、メモリ、エラーおよびパリティ／ＣＲＣチェッカ、データエンコーダ、衝突防止アルゴリズム、コントローラ、コマンドデコーダ、セキュリティプリミティブおよび改ざん防止ハードウェアを含む追加の構成要素を含み得ることが理解される。

【0048】

メモリ２３５は、読み出し専用メモリ、ライトワンス・リードマルチプルメモリ、または読み出し／書き込みメモリ、例えば、ＲＡＭ、ＲＯＭ、およびＥＥＰＲＯＭであってもよく、第１のデバイス２００は、これらのメモリのうちの１つまたは複数を含んでもよい。読み出し専用メモリは、読み出し専用または１回のみプログラム可能として工場でプログラム可能であってもよい。１回のみプログラム可能であることは、１回書き込んだ後に何度も読み出す機会を提供する。ライトワンス・リードマルチプルメモリは、メモリチップが工場を出た後の時点にプログラムされ得る。メモリがプログラムされると、メモリは書き換えられなくなるが、何度も読み出され得る。読み出し／書き込みメモリは、工場を出た後に何度もプログラムされ、再プログラムされ得る。読み出し／書き込みメモリはまた、何度も読み出され得る。

【0049】

メモリ２３５は、１つまたは複数のアプレット２４０、１つまたは複数のカウンタ２４５、および顧客識別子２５０を記憶し得る。１つまたは複数のアプレット２４０は、Ｊａｖａ Ｃａｒｄアプレットなどの１つまたは複数の接触ベースのカードまたは非接触カード上で実行する１つまたは複数のソフトウェアアプリケーションを含み得る。しかしながら、アプレット２４０は、Ｊａｖａ Ｃａｒｄアプレットに限定されないが、代わりに、接触ベースのカードもしくは非接触カードまたは限られたメモリを有する他のデバイス上で動作可能な任意のソフトウェアアプリケーションであってもよいことが理解される。１つまたは複数のカウンタ２４５は、整数を記憶するのに十分な数値カウンタを含み得る。顧客識別子２５０は、第１のデバイス２００のユーザに割り当てられた一意の英数字識別子を含んでもよく、識別子は、非接触カードのユーザを他の非接触カードユーザから区別し得る。いくつかの例では、顧客識別子２５０は、顧客とその顧客に割り当てられたアカウントの両方を識別してもよく、顧客のアカウントと関連付けられた非接触カードをさらに識別し得る。

【0050】

前述の例示的な実施形態のプロセッサおよびメモリ要素は、コンタクトパッドを参照して説明されているが、本開示はこれに限定されない。これらの要素は、コンタクトパッド２２０の外側に、またはコンタクトパッド２２０から完全に分離して、またはコンタクトパッド内に配置されたプロセッサ２３０およびメモリ２３５要素に加えてさらなる要素として実施されてもよいことが理解される。

【0051】

いくつかの例では、第１のデバイス２００は１つまたは複数のアンテナ２５５を含み得る。１つまたは複数のアンテナ２５５は、第１のデバイス２００内の、コンタクトパッド２２０の処理回路２２５の周囲に配置され得る。例えば、１つまたは複数のアンテナ２５５は、処理回路２２５と一体であってもよく、１つまたは複数のアンテナ２５５は外部ブースタコイルと共に使用されてもよい。別の例では、１つまたは複数のアンテナ２５５は、コンタクトパッド２２０および処理回路２２５の外部にあってもよい。

【0052】

一実施形態では、第１のデバイス２００のコイルは、空芯変圧器の二次として機能し得る。端末は、切断電力または振幅変調によって第１のデバイス２００と通信し得る。第１のデバイス２００は、１つまたは複数のコンデンサを介して機能的に維持され得る第１のデバイスの電力接続におけるギャップを使用して端末から送信されたデータを推測し得る。第１のデバイス２００は、第１のデバイスのコイルの負荷または負荷変調を切り替えることによって返信し得る。負荷変調は、干渉によって端末のコイルで検出され得る。

【0053】

図３は、登録プロセスおよび／またはアプリケーション起動プロセスを含み得る認証方法３００を示している。図３は、システム１００、ならびに図２Ａおよび図２Ｂの第１のデバイス２００と同じかまたは同様の構成要素を参照し得る。

【0054】

ブロック３１０で、方法３００は、プロセッサによって、第１の要求を受信することを含み得る。例えば、プロセッサは、サーバに属し得る。第１の要求は、認証要求を含み得る。プロセッサは、認証要求を受信するように構成され得る。いくつかの例では、認証要求は、ウェブサイト登録を求める要求を含み得る。例えば、認証要求は、ＦＩＤＯウェブサイト登録を求める要求を含んでもよい。他の例では、認証要求は、任意のデバイス上でアプリケーションを起動するよう求める要求を含み得る。他の例では、認証要求は、他の動作を含んでもよい。

【0055】

認証要求はリダイレクトされ得る。例えば、認証要求はブラウザ拡張機能からリダイレクトされてもよい。いくつかの例では、ブラウザ拡張機能は、ＦＩＤＯウェブサイト登録を傍受し、それをクラウドベースのオーセンティケータサーバにリダイレクトし得る。ブラウザ拡張機能は、Ｃｈｒｏｍｅ（登録商標）ブラウザ、Ｉｎｔｅｒｎｅｔ Ｅｘｐｌｏｒｅｒ（登録商標ブラウザ）、Ｆｉｒｅｆｏｘ（登録商標）ブラウザ、および／またはＳａｆａｒｉ（登録商標）ブラウザ用の拡張機能を含み得る。他のブラウザ拡張機能が利用されてもよいことが理解され、スタンドアロンのソフトウェアアプリケーションが使用されてもよいことがさらに理解される。限定されないが、ＦＩＤＯウェブサイト登録は、モバイルデバイス、タブレット、ラップトップ、またはデスクトップを含むがこれらに限定されない任意のデバイス上で行われてもよい。モバイルベースのブラウザ、タブレットベースのブラウザ、ラップトップベースのブラウザ、またはデスクトップベースのブラウザは、ＦＩＤＯウェブサイト登録を傍受し、それをサーバに送信し得る。例えば、ウェブサイトは、これに限定されないが、ハイパーテキスト転送プロトコルセキュア（ＨＴＴＰＳ）を含むプロトコルを介してチャレンジを発行してもよい。ブラウザ拡張機能は、ローカルのＦＩＤＯ２対応デバイスでデバイスに直接応答する代わりに、このトラフィックをサーバにリダイレクトし得る。以下でさらに説明するように、サーバは、第１のデバイスのプロセッサを使用してチャレンジに署名するデバイスのアプリケーションにチャレンジをリダイレクトしてもよく、署名されたチャレンジは元のデバイスに返送され、ログインのためにウェブサイトに返される。別の例では、デバイスのアプリケーションは、以下でさらに説明するように、ユーザを認証してもよく、その際デバイスのアプリケーションは、受信した暗号文をサーバに送信してもよく、サーバは、受信した暗号文からユーザの識別情報を検証する。サーバのプロセッサは、登録プロセス中に生成されたＦＩＤＯ秘密鍵を使用してチャレンジに署名し得る。そのような実施態様は、ウェブサイト登録および／またはアプリケーションの起動に適用可能であり得る。例えば、アプリケーションは、要求がリダイレクトされていることを認識してもよい。デバイスのアプリケーションは、サーバのプロセッサからプッシュ通知を受信したときに起動してもよく、第１のデバイスから暗号文を受信してサーバに送信する。

【0056】

ブロック３２０で、方法３００は、プロセッサによって、第２の要求を送信することを含み得る。例えば、第２の要求は通知を含んでもよい。プロセッサは、１つまたは複数の通知を送信し得る。いくつかの例では、プロセッサは、識別情報の検証を必要とする通知を送信し得る。例えば、プロセッサからデバイスのアプリケーションに、識別情報検証を要求する少なくとも１つの通知が送信されてもよい。１つまたは複数の通知は、プロセッサによってアプリケーションに送信され、アプリケーションによる１つまたは複数のレスポンスを必要とし得る。プロセッサは、１つまたは複数の通知を生成して送信し得る。限定されないが、１つまたは複数の通知は、プロセッサからアプリケーションに転送されたプッシュ通知を含んでもよい。

【0057】

ブロック３３０で、方法３００は、プロセッサによって、第２の要求に応答した第１のレスポンスを受信することであって、第１のレスポンスが暗号文を含む、ことを含み得る。例えば、プロセッサは、１つまたは複数の通知を含む、第２の要求に応答した１つまたは複数のレスポンスを受信してもよい。いくつかの例では、レスポンスは、クリプトグラムや暗号結果などの暗号文、および入力データを含み得る。プロセッサは、カードのプロセッサから１つまたは複数のレスポンスを受信し得る。例えば、カードのプロセッサは、少なくとも１つの鍵およびカウンタ値を使用して暗号文を作成してもよい。暗号文は、カウンタ値を含み得る。カードのプロセッサは、通信インターフェースを介してデバイスのアプリケーションに暗号文を送信してもよく、デバイスは、暗号文および入力データを含む任意のデータを送信するためにプロセッサとカードとの間の仲介デバイスとして機能し得る。例えば、カードのプロセッサは、暗号文をプロセッサに送信してもよい。カードのプロセッサは、暗号文の送信後にカウンタ値を更新し得る。暗号文は、これに限定されないが、１回または複数回の近距離無線通信データ交換フォーマット（ＮＤＥＦ）読み出しを含む１回または複数回の読み出しを介して取得され得る。デバイスのアプリケーションは、カードの近距離無線通信（ＮＦＣ）タグなどのタグの１回または複数回の読み出しを行い得る。例えば、カードは、デバイスの通信フィールドへの１回または複数回のエントリの後に、暗号文を送信してもよい。限定されないが、各エントリは、タップ、スワイプ、ウェイブ、および／またはそれらの任意の組合せと関連付けられてもよい。

【0058】

プロセッサは、第１のレスポンスを必要とする第１の通知を送信し得る。第１のレスポンスは暗号文を含み得る。プロセッサは、アプリケーションから第１のレスポンスを受信し得る。プロセッサは、暗号文を検証し得る。例えば、アプリケーションからプロセッサへの送信前に暗号化され得る暗号文を復号することによる、暗号文の検証後、プロセッサは、第２のレスポンスを必要とする第２の通知をアプリケーションに送信し得る。第２のレスポンスは、入力データを含み得る。プロセッサは、第２のレスポンスの入力データを受信し得る。プロセッサは、参照入力データをアプリケーションからの送信入力データと比較することによって入力データを検証し得る。参照入力データは、サーバによって記憶され得る。他の例では、参照入力データは、例えばデータベースを介してサーバによって取り出され得る。例えば、サーバは、データベースに参照入力データの取得を求める要求を送信してもよく、データベースは、要求を受信し、サーバによって送信された要求に応答して参照入力データを送信してもよい。他の例では、別個のレスポンスを必要とする別個の通知を送信する代わりに、単一の通知がプロセッサによってアプリケーションに送信され、単一のレスポンスを介して暗号文と入力データの両方を要求し得る。さらに、入力データは、第１の通知に対する第１のレスポンスを介して、第２の通知に対する第２のレスポンスの前に要求されてもよい。他の例では、入力データは、第２の通知に対する第２のレスポンスを介して、第１の通知に対する第１のレスポンスの後に要求され得る。

【0059】

いくつかの例では、入力データは、生体認証データを含み得る。限定されないが、生体認証データは、指紋、顔スキャン、網膜スキャン、音声認識、および／またはそれらの任意の組合せの群より選択された少なくとも１つを含んでもよい。いくつかの例では、入力データは、追加的および／または代替的にログインデータを含み得る。限定されないが、ログインデータは、ユーザ名、パスワード、アカウント番号、セキュリティコード、ワンタイムパスコード、セキュリティ質問に対する回答、および／またはそれらの任意の組合せのエントリの群より選択された少なくとも１つを含んでもよい。入力データは、生体認証データおよびログインデータの群より選択された少なくとも１つを含み得る。入力データは、生体認証データ、ログインデータ、および／またはそれらの任意の組合せを含んでもよい。

【0060】

ブロック３４０で、方法３００は、プロセッサによって、ＦＩＤＯ（Ｆａｓｔ Ｉｄｅｎｔｉｔｙ Ｏｎｌｉｎｅ）鍵ペアを生成することを含み得る。識別情報検証の後、プロセッサは鍵ペアを生成し得る。鍵ペアは、１組の鍵を含み得る。いくつかの例では、ＦＩＤＯ鍵ペアは、秘密鍵および公開鍵を含み得る。例えば、ＦＩＤＯ鍵ペアは、ＦＩＤＯ秘密鍵およびＦＩＤＯ公開鍵を含んでもよい。プロセッサは、１つまたは複数の鍵を記憶し得る。例えば、プロセッサは、ＦＩＤＯ秘密鍵をセキュアエレメントに記憶してもよい。ＦＩＤＯ秘密鍵をカードに記憶するのではなく、ＦＩＤＯ秘密鍵は、サーバに属するセキュアエレメントに記憶され得る。ＦＩＤＯ秘密鍵は、クラウドベースのオーセンティケータによって維持されるセキュアエレメントに記憶され得る。セキュアエレメントは、クラウド内でホストされてもよく、１つまたは複数の鍵がセキュアに記憶され、取り出され得る耐タンパ性のセキュアストレージ領域を備え得る。いくつかの例では、セキュアエレメントへのアクセスは、プロセッサのみによるなど、制限され得る。プロセッサは、セキュアエレメントからＦＩＤＯ秘密鍵を取り出し得る。他の例では、セキュアエレメントへのアクセスは制限されなくてもよく、それによって鍵を取り出しのために専用デバイス上に記憶しない。初期ＦＩＤＯ登録時に、ウェブサイトは、ウェブサイトおよび／またはユーザを一意に識別する識別子を送信し得る。ＦＩＤＯ秘密鍵などの鍵が生成されると、クラウド内のサーバは、識別子を使用してこの鍵をセキュアエレメントに記憶するように構成し得る。その後のＦＩＤＯ認証要求時に、ウェブサイトは、チャレンジと共に識別子を送信し得る。チャレンジに署名する時点で、サーバは、識別子を使用してセキュアエレメントからＦＩＤＯ秘密鍵を検索し、取り出し得る。このように、鍵ペアが紛失したり、置き忘れられたり、盗まれたりした場合、クラウドベースのオーセンティケータは、鍵を記憶した物理的デバイスを必要とせずに、ＦＩＤＯ公開鍵などの鍵を生成して送信し得る。

【0061】

ブロック３５０で、方法３００は、プロセッサによって、ＦＩＤＯ秘密鍵を使用してチャレンジを暗号化することを含み得る。例えば、プロセッサは、鍵ペアからの鍵のうちの少なくとも一方を使用して、１つまたは複数のチャレンジを暗号化してもよい。例えば、プロセッサは、ブラウザ拡張機能からチャレンジを受信してもよい。いくつかの例では、プロセッサは、ＦＩＤＯ秘密鍵を使用してチャレンジを暗号化し得る。

【0062】

ブロック３６０で、方法３００は、プロセッサによって、チャレンジを復号して第１の要求を完了するためにＦＩＤＯ公開鍵を送信することを含み得る。例えば、プロセッサは、チャレンジを復号して認証要求を完了するためにＦＩＤＯ公開鍵を送信してもよい。鍵のうちの少なくとも１つは、チャレンジの復号に使用され得る。いくつかの例では、ウェブサイトが署名されたチャレンジを確認し、ウェブサイトへのアクセスを許可する認証要求の完了は、ＦＩＤＯ公開鍵によって確認され得る。例えば、チャレンジは、結果が元のチャレンジと一致するかどうかを判定してそれがデジタル署名されたことの検証に、受信したＦＩＤＯ公開鍵で復号されてもよい。このように、方法３００は、分散ストレージ、クラウドベースのストレージ、および前述の機能をサポートする他の形態のストレージを用いて実施し得る。

【0063】

図４は、例示的な実施形態による認証プロセスのシーケンス図４００を示している。方法４００は、登録プロセスを含み得る。図４は、システム１００、図２Ａおよび図２Ｂの第１のデバイス２００、ならびに図３の方法３００と同じかまたは同様の構成要素を参照し得る。

【0064】

ステップ４１０で、ユーザは、ウェブサイトによって登録するように促され得る。例えば、ユーザは、ブラウザ拡張機能を介して、ＦＩＤＯウェブサイト登録を促されてもよい。限定されないが、ブラウザ拡張機能は、Ｃｈｒｏｍｅ（登録商標）、Ｉｎｔｅｒｎｅｔ Ｅｘｐｌｏｒｅｒ（登録商標）、Ｆｉｒｅｆｏｘ（登録商標）、またはＳａｆａｒｉ（登録商標）を含み得る。ブラウザ拡張機能以外のソフトウェアアプリケーション、例えばスタンドアロンのソフトウェアアプリケーションが使用されてもよいことが理解される。さらに、ユーザは、ラップトップ、デスクトップ、または任意の他のデバイスを含むがこれらに限定されないデバイス上で実行する命令を含むアプリケーションによって促されてもよい。

【0065】

ステップ４２０で、ブラウザ拡張機能は、ＦＩＤＯウェブサイト登録を傍受し、この要求をクラウドベースのオーセンティケータなどのオーセンティケータにリダイレクトし得る。いくつかの例では、サーバはクラウドベースのオーセンティケータを含み得る。いくつかの例では、ブラウザ拡張機能は、ＦＩＤＯウェブサイト登録を開始し得る。限定されないが、ＦＩＤＯウェブサイト登録は、ラップトップまたはデスクトップを含むがこれらに限定されない任意のデバイス上で行われてもよい。モバイルベースのブラウザ、またはデスクトップベースのブラウザは、ＦＩＤＯウェブサイト登録を傍受し、それをクラウドベースのオーセンティケータに送信し得る。

【0066】

いくつかの例では、要求は認証要求を含み得る。クラウドベースのオーセンティケータは、認証要求を受信し得る。いくつかの例では、認証要求は、ウェブサイト登録を求める要求を含み得る。例えば、認証要求は、ＦＩＤＯ（Ｆａｓｔ Ｉｄｅｎｔｉｔｙ Ｏｎｌｉｎｅ）ウェブサイト登録を求める要求を含んでもよい。他の例では、認証要求は、任意のデバイス上でアプリケーションを起動するよう求める要求を含み得る。

【0067】

認証要求はリダイレクトされ得る。例えば、認証要求はブラウザ拡張機能からリダイレクトされてもよい。いくつかの例では、ブラウザ拡張機能は、ＦＩＤＯウェブサイト登録を傍受し、それをクラウドベースのオーセンティケータサーバにリダイレクトし得る。例えば、ウェブサイトは、これに限定されないが、ハイパーテキスト転送プロトコルセキュア（ＨＴＴＰＳ）を含むプロトコルを介してチャレンジを発行してもよい。ブラウザ拡張機能は、ローカルのＦＩＤＯ２対応デバイスでデバイスに直接応答する代わりに、このトラフィックをクラウドベースのオーセンティケータサーバにリダイレクトし得る。以下でさらに説明するように、クラウドベースのオーセンティケータサーバは、第１のデバイスのプロセッサを使用してチャレンジに署名するデバイスのアプリケーションにチャレンジをリダイレクトしてもよく、署名されたチャレンジは元のデバイスに返送され、ログインのためにウェブサイトに返される。別の例では、デバイスのアプリケーションは、以下でさらに説明するように、ユーザを認証してもよく、その際デバイスのアプリケーションは、受信した暗号文をクラウドベースのオーセンティケータサーバのプロセッサに送信してもよく、サーバは、受信した暗号文からユーザの識別情報を検証し得る。クラウドベースのオーセンティケータサーバのプロセッサは、登録プロセス中に生成されたＦＩＤＯ秘密鍵を使用してチャレンジに署名し得る。そのような実施態様は、ウェブサイト登録および／またはアプリケーションの起動に適用可能であり得る。例えば、アプリケーションは、要求がリダイレクトされていることを認識してもよい。デバイスのアプリケーションは、クラウドベースのオーセンティケータサーバのプロセッサからプッシュ通知を受信したときに起動してもよく、第１のデバイスから暗号文を受信してクラウドベースのオーセンティケータサーバに送信する。

【0068】

ステップ４３０で、クラウドベースのオーセンティケータは、識別情報検証プロセスを行い得る。例えば、クラウドベースのオーセンティケータは、デバイス上で実行する命令を含む１つまたは複数の通知を生成してアプリケーションに送信することによって識別情報検証プロセスを行ってもよい。例えば、クラウドベースのオーセンティケータは、１つまたは複数の通知を送信してもよい。いくつかの例では、クラウドベースのオーセンティケータは、識別情報の検証を必要とする通知を送信し得る。例えば、クラウドベースのオーセンティケータからアプリケーションに少なくとも１つの通知が送信されてもよい。１つまたは複数の通知は、クラウドベースのオーセンティケータによってアプリケーションに送信され、アプリケーションによる１つまたは複数のレスポンスを必要とし得る。クラウドベースのオーセンティケータは、１つまたは複数の通知を生成し、送信し得る。限定されないが、１つまたは複数の通知は、クラウドベースのオーセンティケータからアプリケーションに転送されたプッシュ通知を含んでもよい。

【0069】

ステップ４４０で、デバイスのアプリケーションは、クラウドベースのオーセンティケータによって送信された１つまたは複数の通知を受信し得る。１つまたは複数の通知に応答して、デバイスのアプリケーションは、カードの１回または複数回の読み出しを実行し得る。暗号文は、これに限定されないが、１回または複数回の近距離無線通信データ交換フォーマット（ＮＤＥＦ）読み出しを含む１回または複数回の読み出しを介して取得され得る。デバイスのアプリケーションは、カードの近距離無線通信（ＮＦＣ）タグなどのタグの１回または複数回の読み出しを実行し得る。例えば、カードは、デバイスの通信フィールドへの１回または複数回のエントリの後に、暗号文を送信してもよい。限定されないが、各エントリは、タップ、スワイプ、ウェイブ、および／またはそれらの任意の組合せと関連付けられてもよい。例えば、カードのプロセッサは、少なくとも１つの鍵およびカウンタ値を使用して暗号文を作成してもよい。暗号文は、カウンタ値を含み得る。

【0070】

ステップ４５０で、カードのプロセッサは、通信インターフェースを介してデバイスのアプリケーションに暗号文を送信してもよく、デバイスは、暗号文および入力データを含む任意のデータを送信するためにクラウドベースのオーセンティケータとカードとの間の仲介デバイスとして機能し得る。例えば、カードのプロセッサは、暗号文をクラウドベースのオーセンティケータに送信してもよい。カードのプロセッサは、暗号文の送信後にカウンタ値を更新し得る。

【0071】

ステップ４６０で、デバイスのアプリケーションは、クラウドベースのオーセンティケータによって送信された１つまたは複数の通知に応答した１つまたは複数のレスポンスを送信し得る。１つまたは複数の通知に応答して、デバイスのアプリケーションは、デバイスの通信フィールドへのカードのエントリを促し得る。例えば、デバイスのアプリケーションは、クラウドベースのオーセンティケータからの１つまたは複数の通知に応答した第１のレスポンスであって、暗号文を含む、第１のレスポンスを送信してもよい。いくつかの例では、レスポンスは、クリプトグラムや暗号結果などの暗号文、および入力データを含み得る。例えば、カードのプロセッサは、少なくとも１つの鍵およびカウンタ値を使用して暗号文を作成してもよい。暗号文は、カウンタ値を含み得る。カードのプロセッサは、通信インターフェースを介してデバイスのアプリケーションに暗号文を送信してもよく、デバイスは、暗号文および入力データを含む任意のデータを送信するためにクラウドベースのオーセンティケータとカードとの間の仲介デバイスとして機能し得る。例えば、カードのプロセッサは、暗号文をクラウドベースのオーセンティケータに送信してもよい。

【0072】

いくつかの例では、入力データは、生体認証データを含み得る。限定されないが、生体認証データは、指紋、顔スキャン、網膜スキャン、音声認識、および／またはそれらの任意の組合せの群より選択された少なくとも１つを含んでもよい。いくつかの例では、入力データは、追加的および／または代替的にログインデータを含み得る。限定されないが、ログインデータは、ユーザ名、パスワード、アカウント番号、セキュリティコード、ワンタイムパスコード、セキュリティ質問に対する回答、および／またはそれらの任意の組合せのエントリの群より選択された少なくとも１つを含んでもよい。入力データは、生体認証データおよびログインデータの群より選択された少なくとも１つを含み得る。入力データは、生体認証データ、ログインデータ、および／またはそれらの任意の組合せを含んでもよい。このように、暗号文と入力データの両方の認証後に識別情報検証が完了され得る。

【0073】

ステップ４７０で、クラウドベースのオーセンティケータは、デバイスのアプリケーションによって送信された１つまたは複数のレスポンスを受信し得る。いくつかの例では、クラウドベースのオーセンティケータは、カードから１つまたは複数のレスポンスを受信し得る。クラウドベースのオーセンティケータは、識別情報検証プロセスを介して、受信した１つまたは複数のレスポンスを検証し得る。クラウドベースのオーセンティケータは、アプリケーションから第１のレスポンスを受信して認証し得る。クラウドベースのオーセンティケータは、暗号文を検証し得る。例えば、アプリケーションからクラウドベースのオーセンティケータへの送信前に暗号化され得る暗号文を復号することによる、暗号文の検証後、クラウドベースのオーセンティケータは、第２のレスポンスを必要とする第２の通知をアプリケーションに送信し得る。第２のレスポンスは、入力データを含み得る。クラウドベースのオーセンティケータは、第２のレスポンスの入力データを受信し得る。クラウドベースのオーセンティケータは、参照入力データをアプリケーションからの送信入力データと比較することによって入力データを検証し得る。参照入力データは、クラウドベースのオーセンティケータによって記憶され得る。他の例では、参照入力データは、例えばデータベースを介してクラウドベースのオーセンティケータによって取り出され得る。例えば、クラウドベースのオーセンティケータは、データベースに参照入力データの取得を求める要求を送信してもよく、データベースは、要求を受信し、サーバによって送信された要求に応答して参照入力データを送信してもよい。他の例では、別個のレスポンスを必要とする別個の通知を送信する代わりに、単一の通知がクラウドベースのオーセンティケータによってアプリケーションに送信され、単一のレスポンスを介して暗号文と入力データの両方を要求し得る。さらに、入力データは、第１の通知に対する第１のレスポンスを介して、第２の通知に対する第２のレスポンスの前に要求されてもよい。他の例では、入力データは、第２の通知に対する第２のレスポンスを介して、第１の通知に対する第１のレスポンスの後に要求され得る。

【0074】

ステップ４８０で、クラウドベースのオーセンティケータは、ユーザに固有の鍵ペアを生成し得る。例えば、識別情報検証の後、クラウドベースのオーセンティケータは鍵ペアを生成してもよい。ＦＩＤＯ鍵ペアなどの鍵ペアは、１組の鍵を含み得る。いくつかの例では、ＦＩＤＯ鍵ペアは、秘密鍵および公開鍵を含み得る。例えば、ＦＩＤＯ鍵ペアは、ＦＩＤＯ秘密鍵およびＦＩＤＯ公開鍵を含んでもよい。クラウドベースのオーセンティケータは、１つまたは複数の鍵を記憶し得る。例えば、クラウドベースのオーセンティケータは、ＦＩＤＯ秘密鍵をセキュアエレメントに記憶してもよい。ＦＩＤＯ秘密鍵をカードに記憶するのではなく、ＦＩＤＯ秘密鍵は、クラウドベースのオーセンティケータに属するセキュアエレメントに記憶され得る。ＦＩＤＯ秘密鍵は、クラウドベースのオーセンティケータによって維持されるセキュアエレメントに記憶され得る。セキュアエレメントは、クラウド内でホストされてもよく、１つまたは複数の鍵がセキュアに記憶され、取り出され得る耐タンパ性のセキュアストレージ領域を備え得る。いくつかの例では、セキュアエレメントへのアクセスは、クラウドベースのオーセンティケータのみによるなど、制限され得る。クラウドベースのオーセンティケータは、セキュアエレメントからＦＩＤＯ秘密鍵を取り出し得る。他の例では、セキュアエレメントへのアクセスは制限されなくてもよく、それによって鍵を取り出しのために専用デバイス上に記憶しない。初期ＦＩＤＯ登録時に、ウェブサイトは、ウェブサイトおよび／またはユーザを一意に識別する識別子を送信し得る。ＦＩＤＯ秘密鍵などの鍵が生成されると、クラウド内のクラウドベースのオーセンティケータは、識別子を使用してこの鍵をセキュアエレメントに記憶し得る。その後のＦＩＤＯ認証要求時に、ウェブサイトは、チャレンジと共に識別子を送信し得る。チャレンジに署名する時点で、サーバは、識別子を使用してセキュアエレメントからＦＩＤＯ秘密鍵を検索し、取り出し得る。このように、鍵ペアが紛失したり、置き忘れられたり、盗まれたりした場合、クラウドベースのオーセンティケータは、鍵を記憶した物理的デバイスを必要とせずに、ＦＩＤＯ公開鍵などの鍵を生成して送信し得る。

【0075】

クラウドベースのオーセンティケータは、鍵のうちの１つをブラウザ拡張機能に送信し得る。例えば、クラウドベースのオーセンティケータは、チャレンジを暗号化するために使用され得るＦＩＤＯ秘密鍵を送信してもよい。いくつかの例では、クラウドベースのオーセンティケータは、鍵ペアからの鍵のうちの少なくとも一方を使用して、１つまたは複数のチャレンジを暗号化し得る。例えば、クラウドベースのオーセンティケータは、ブラウザ拡張機能からチャレンジを受信してもよい。いくつかの例では、クラウドベースのオーセンティケータは、ＦＩＤＯ秘密鍵を使用してチャレンジを暗号化し得る。

【0076】

ステップ４９０で、ブラウザ拡張機能は、クラウドベースのオーセンティケータによって送信された鍵のうちの１つを受信し得る。例えば、ブラウザ拡張機能は、チャレンジを復号して認証要求を完了するために、データベースなど、ＦＩＤＯ公開鍵を受信および送信してもよい。いくつかの例では、ウェブサイトが署名されたチャレンジを確認し、ウェブサイトへのアクセスを許可する認証要求の完了は、ＦＩＤＯ公開鍵によって確認され得る。例えば、チャレンジは、結果が元のチャレンジと一致するかどうかを判定してそれがデジタル署名されたことを検証するために、クラウドベースのオーセンティケータからの受信したＦＩＤＯ公開鍵で復号されてもよい。このように、認証プロセスのシーケンス図４００は、分散ストレージ、クラウドベースのストレージ、および前述の機能をサポートする他の形態のストレージを用いて実施し得る。

【0077】

図５は、例示的な実施形態による認証方法５００を示している。方法５００は、登録プロセスを含み得る。図５は、システム１００、図２Ａおよび図２Ｂの第１のデバイス２００、図３の方法３００、ならびに図４のシーケンス図４００と同じかまたは同様の構成要素を参照し得る。

【0078】

ブロック５１０で、方法５００は、要求をリダイレクトすることを含み得る。例えば、要求は認証要求を含んでもよい。サーバのプロセッサは、認証要求を受信し得る。いくつかの例では、認証要求は、ウェブサイト登録を求める要求を含み得る。例えば、認証要求は、ＦＩＤＯ（Ｆａｓｔ Ｉｄｅｎｔｉｔｙ Ｏｎｌｉｎｅ）ウェブサイト登録を求める要求を含んでもよい。他の例では、認証要求は、任意のデバイス上でアプリケーションを起動するよう求める要求を含み得る。

【0079】

認証要求はリダイレクトされ得る。例えば、認証要求はブラウザ拡張機能からリダイレクトされてもよい。いくつかの例では、ブラウザ拡張機能は、ＦＩＤＯウェブサイト登録を傍受し、それをクラウドベースのオーセンティケータサーバにリダイレクトし得る。ブラウザ拡張機能１０１は、Ｃｈｒｏｍｅ（登録商標）ブラウザ、Ｉｎｔｅｒｎｅｔ Ｅｘｐｌｏｒｅｒ（登録商標ブラウザ）、Ｆｉｒｅｆｏｘ（登録商標）ブラウザ、および／またはＳａｆａｒｉ（登録商標）ブラウザ用の拡張機能を含み得る。他のブラウザ拡張機能１０１が利用されてもよいことが理解され、スタンドアロンのソフトウェアアプリケーションが使用されてもよいことがさらに理解される。限定されないが、ＦＩＤＯウェブサイト登録は、ラップトップまたはデスクトップを含むがこれらに限定されない任意のデバイス上で行われてもよい。モバイルベースのブラウザ、またはデスクトップベースのブラウザは、ＦＩＤＯウェブサイト登録を傍受し、それをサーバに送信し得る。例えば、ウェブサイトは、これに限定されないが、ハイパーテキスト転送プロトコルセキュア（ＨＴＴＰＳ）を含むプロトコルを介してチャレンジを発行してもよい。ブラウザ拡張機能は、ローカルのＦＩＤＯ２対応デバイスでデバイスに直接応答する代わりに、このトラフィックをサーバにリダイレクトし得る。以下でさらに説明するように、サーバは、第１のデバイスのプロセッサを使用してチャレンジに署名するデバイスのアプリケーションにチャレンジをリダイレクトしてもよく、署名されたチャレンジは元のデバイスに返送され、ログインのためにウェブサイトに返される。別の例では、デバイスのアプリケーションは、以下でさらに説明するように、ユーザを認証してもよく、その際デバイスのアプリケーションは、受信した暗号文をサーバに送信してもよく、サーバは、受信した暗号文からユーザの識別情報を検証し得る。サーバは次いで、登録プロセス中に生成されたＦＩＤＯ秘密鍵を使用してチャレンジに署名し得る。そのような実施態様は、ウェブサイト登録および／またはアプリケーションの起動に適用可能であり得る。例えば、アプリケーションは、要求がリダイレクトされていることを認識されてもよい。デバイスのアプリケーションは、サーバのプロセッサからプッシュ通知を受信したときに起動してもよく、第１のデバイスから暗号文を受信してサーバに送信する。

【0080】

ブロック５２０で、方法５００は、プッシュ通知を送信することを含み得る。例えば、プッシュ通知は、プロセッサによって送信されてもよい。いくつかの例では、プロセッサは、通知を送信することによって識別情報検証を行い得る。例えば、プロセッサからデバイスのアプリケーションに、識別情報検証を要求する少なくとも１つの通知が送信されてもよい。１つまたは複数の通知は、プロセッサによってアプリケーションに送信され、アプリケーションによる１つまたは複数のレスポンスを必要とし得る。プロセッサは、１つまたは複数の通知を生成して送信し得る。限定されないが、１つまたは複数の通知は、プロセッサからアプリケーションに転送されたプッシュ通知を含んでもよい。

【0081】

ブロック５３０で、方法５００は、レスポンスを認証することを含み得る。例えば、プロセッサは、デバイスのアプリケーションによって送信された、プッシュ通知に応答した１つまたは複数のレスポンスを認証してもよい。いくつかの例では、レスポンスは、クリプトグラムや暗号結果などの暗号文、および入力データを含み得る。プロセッサは、カードのプロセッサから１つまたは複数のレスポンスを受信し得る。例えば、カードのプロセッサは、少なくとも１つの鍵およびカウンタ値を使用して暗号文を作成してもよい。暗号文は、カウンタ値を含み得る。カードのプロセッサは、通信インターフェースを介してデバイスのアプリケーションに暗号文を送信してもよく、デバイスは、暗号文および入力データを含む任意のデータを送信するためにプロセッサとカードとの間の仲介デバイスとして機能し得る。例えば、カードのプロセッサは、暗号文をプロセッサに送信してもよい。カードのプロセッサは、暗号文の送信後にカウンタ値を更新し得る。暗号文は、これに限定されないが、１回または複数回の近距離無線通信データ交換フォーマット（ＮＤＥＦ）読み出しを含む１回または複数回の読み出しを介して取得され得る。デバイスのアプリケーションは、カードの近距離無線通信（ＮＦＣ）タグなどのタグの１回または複数回の読み出しを実行し得る。例えば、カードは、デバイスの通信フィールドへの１回または複数回のエントリの後に、暗号文を送信してもよい。限定されないが、各エントリは、タップ、スワイプ、ウェイブ、および／またはそれらの任意の組合せと関連付けられてもよい。

【0082】

プロセッサは、第１のレスポンスを必要とする第１の通知を送信し得る。第１のレスポンスは暗号文を含み得る。プロセッサは、アプリケーションから第１のレスポンスを受信し得る。プロセッサは、暗号文を検証し得る。例えば、アプリケーションからプロセッサへの送信前に暗号化され得る暗号文を復号することによる、暗号文の検証後、プロセッサは、第２のレスポンスを必要とする第２の通知をアプリケーションに送信し得る。第２のレスポンスは、入力データを含み得る。プロセッサは、第２のレスポンスの入力データを受信し得る。プロセッサは、参照入力データをアプリケーションからの送信入力データと比較することによって入力データを検証し得る。参照入力データは、サーバによって記憶され得る。他の例では、参照入力データは、例えばデータベースを介してサーバによって取り出され得る。例えば、サーバは、データベースに参照入力データの取得を求める要求を送信してもよく、データベースは、要求を受信し、サーバによって送信された要求に応答して参照入力データを送信してもよい。他の例では、別個のレスポンスを必要とする別個の通知を送信する代わりに、単一の通知がプロセッサによってアプリケーションに送信され、単一のレスポンスを介して暗号文と入力データの両方を要求し得る。さらに、入力データは、第１の通知に対する第１のレスポンスを介して、第２の通知に対する第２のレスポンスの前に要求されてもよい。他の例では、入力データは、第２の通知に対する第２のレスポンスを介して、第１の通知に対する第１のレスポンスの後に要求され得る。

【0083】

いくつかの例では、入力データは、生体認証データを含み得る。限定されないが、生体認証データは、指紋、顔スキャン、網膜スキャン、音声認識、および／またはそれらの任意の組合せの群より選択された少なくとも１つを含んでもよい。いくつかの例では、入力データは、追加的および／または代替的にログインデータを含み得る。限定されないが、ログインデータは、ユーザ名、パスワード、アカウント番号、セキュリティコード、ワンタイムパスコード、セキュリティ質問に対する回答、および／またはそれらの任意の組合せのエントリの群より選択された少なくとも１つを含んでもよい。入力データは、生体認証データおよびログインデータの群より選択された少なくとも１つを含み得る。入力データは、生体認証データ、ログインデータ、および／またはそれらの任意の組合せを含んでもよい。

【0084】

ブロック５４０で、方法５００は、鍵ペアを生成することを含み得る。例えば、プロセッサは、ＦＩＤＯ鍵ペアを生成してもよい。識別情報検証の後、プロセッサは鍵ペアを生成し得る。鍵ペアは、１組の鍵を含み得る。いくつかの例では、ＦＩＤＯ鍵ペアは、秘密鍵および公開鍵を含み得る。例えば、ＦＩＤＯ鍵ペアは、ＦＩＤＯ秘密鍵およびＦＩＤＯ公開鍵を含んでもよい。プロセッサは、１つまたは複数の鍵を記憶し得る。例えば、プロセッサは、ＦＩＤＯ秘密鍵をセキュアエレメントに記憶してもよい。ＦＩＤＯ秘密鍵をカードに記憶するのではなく、ＦＩＤＯ秘密鍵は、サーバに属するセキュアエレメントに記憶され得る。ＦＩＤＯ秘密鍵は、サーバのプロセッサによって維持されるセキュアエレメントに記憶され得る。セキュアエレメントは、クラウド内でホストされてもよく、１つまたは複数の鍵がセキュアに記憶され、取り出され得る耐タンパ性のセキュアストレージ領域を備え得る。いくつかの例では、セキュアエレメントへのアクセスは、プロセッサのみによるなど、制限され得る。プロセッサは、セキュアエレメントからＦＩＤＯ秘密鍵を取り出し得る。他の例では、セキュアエレメントへのアクセスは制限されなくてもよく、それによって鍵を取り出しのために専用デバイス上に記憶しない。初期ＦＩＤＯ登録時に、ウェブサイトは、ウェブサイトおよび／またはユーザを一意に識別する識別子を送信し得る。ＦＩＤＯ秘密鍵などの鍵が生成されると、クラウド内のサーバは、識別子を使用してこの鍵をセキュアエレメントに記憶し得る。その後のＦＩＤＯ認証要求時に、ウェブサイトは、チャレンジと共に識別子を送信し得る。チャレンジに署名する時点で、次いで、ＦＩＤＯ秘密鍵は、識別子を使用してセキュアエレメントから検索され、取り出される。このように、鍵ペアが紛失したり、置き忘れられたり、盗まれたりした場合、クラウドベースのオーセンティケータは、鍵を含む物理的デバイスを必要とせずに、ＦＩＤＯ公開鍵などの鍵を生成して送信し得る。

【0085】

ブロック５５０で、方法５００は、復号の鍵を送信することを含み得る。例えば、ＦＩＤＯ秘密鍵などの鍵のうちの１つは、プロセッサによってチャレンジを暗号化してもよく、プロセッサはまた、チャレンジを復号するＦＩＤＯ公開鍵を送信してもよい。例えば、プロセッサは、チャレンジを復号して認証要求を完了するためにＦＩＤＯ公開鍵を送信してもよい。鍵のうちの少なくとも１つは、チャレンジの復号に使用され得る。いくつかの例では、ウェブサイトが署名されたチャレンジを確認し、ウェブサイトへのアクセスを許可する認証要求の完了は、ＦＩＤＯ公開鍵によって確認され得る。例えば、チャレンジは、結果が元のチャレンジと一致するかどうかを判定してそれがデジタル署名されたことを検証するために、受信したＦＩＤＯ公開鍵で復号されてもよい。このように、方法５００は、分散ストレージ、クラウドベースのストレージ、および前述の機能をサポートする他の形態のストレージを用いて実施し得る。

【0086】

図６は、例示的な実施形態による認証方法６００を示している。方法６００は、登録プロセスを含み得る。図６は、システム１００、図２Ａおよび図２Ｂの第１のデバイス２００、図３の方法３００、図４のシーケンス図４００、ならびに図５の方法５００と同じかまたは同様の構成要素を参照し得る。

【0087】

ブロック６１０で、方法６００は、暗号文を生成することを含み得る。例えば、カードのプロセッサは、暗号文を生成してもよい。いくつかの例では、カードのプロセッサは、少なくとも１つの鍵およびカウンタ値を使用して暗号文を作成し得る。暗号文は、カウンタ値を含み得る。暗号文は、これらに限定されないが、デバイスによる１回または複数回の近距離無線通信データ交換フォーマット（ＮＤＥＦ）読み出しを含む１回または複数回の読み出しを介して取得され得る。デバイスのアプリケーションは、カードの近距離無線通信（ＮＦＣ）タグなどのタグの１回または複数回の読み出しを実行し得る。例えば、カードは、デバイスの通信フィールドへの１回または複数回のエントリの後に、暗号文を送信してもよい。限定されないが、各エントリは、タップ、スワイプ、ウェイブ、および／またはそれらの任意の組合せと関連付けられてもよい。

【0088】

ブロック６２０で、方法６００は、暗号文を暗号化することを含み得る。例えば、カードのプロセッサは、１つまたは複数の暗号化アルゴリズムを使用して暗号文を暗号化してもよい。

【0089】

ブロック６３０で、方法６００は、チャレンジに署名する鍵ペアの生成をトリガするために認証の暗号文を送信することを含み得る。例えば、カードのプロセッサは、通信インターフェースを介してデバイスのアプリケーションに暗号文を送信してもよく、デバイスは、暗号文を含む任意のデータを送信するためにサーバとカードとの間の仲介デバイスとして機能してもよい。いくつかの例では、暗号文は、１つまたは複数の暗号アルゴリズムを介して、認証のためにデバイスのアプリケーションによって復号され得る。暗号文の復号の成功に基づいて、デバイスのアプリケーションは、暗号化または復号された形式のいずれかでカードのプロセッサによって生成された暗号文を含むレスポンスをサーバに送信し得る。サーバによる暗号化または復号された暗号文を含むレスポンスの検証時に、サーバによって鍵ペアが生成されてもよく、秘密鍵のうちの１つはチャレンジの暗号化に使用され、公開鍵のうちの１つはチャレンジを復号するために送信される。公開鍵を使用したチャレンジの復号に成功すると、ウェブサイト登録やアプリケーションの起動などの認証要求は正常に処理され得る。

【0090】

ブロック６４０で、方法６００は、カウンタ値を更新することを含み得る。例えば、カードのプロセッサは、暗号文の送信後にカウンタ値を更新してもよい。他の例では、カードのプロセッサは、デバイス上で実行する命令を含むアプリケーションによる、またはサーバによる暗号文の送信および復号の成功後に、カウンタ値を更新し得る。他の例では、カードのプロセッサは、ウェブサイト登録のアプリケーションの起動の成功を可能にするチャレンジの復号の成功後に、カウンタ値を更新し得る。このように、方法６００は、分散ストレージ、クラウドベースのストレージ、および前述の機能をサポートする他の形態のストレージを用いて実施し得る。

【0091】

本明細書で説明されるシステムおよび方法は、これらに限定されないが、コンパクトディスク（ＣＤ）、デジタル多用途ディスク（ＤＶＤ）、フロッピーディスク、ハードドライブ、読み出し専用メモリ（ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）、およびデータストレージの能力がある他の物理媒体などのより多くの物理媒体のうちの１つで有形に具現化され得ることにさらに留意する。例えば、データストレージは、データおよび情報およびコンピュータプログラム命令にアクセスして記憶し得る、ランダムアクセスメモリ（ＲＡＭ）および読み出し専用メモリ（ＲＯＭ）を含んでもよい。データストレージはまた、記憶媒体または他の適切な種類のメモリ（例えば、ＲＡＭ、ＲＯＭ、プログラマブル読み出し専用メモリ（ＰＲＯＭ）、消去可能プログラマブル読み出し専用メモリ（ＥＰＲＯＭ）、電気的消去可能プログラマブル読み出し専用メモリ（ＥＥＰＲＯＭ）、磁気ディスク、光ディスク、フロッピーディスク、ハードディスク、リムーバブルカートリッジ、フラッシュドライブ、任意の種類の有形の非一時的な記憶媒体など）を含んでもよく、オペレーティングシステム、例えばウェブブラウザアプリケーション、電子メールアプリケーションおよび／または他のアプリケーションを含むアプリケーションプログラムを含むファイル、ならびにデータファイルが記憶され得る。ネットワーク対応コンピュータシステムのデータストレージは、例えば、フラットファイル、インデックス付きファイル、階層型データベース、例えば、Ｏｒａｃｌｅ（登録商標）Ｃｏｒｐｏｒａｔｉｏｎ、Ｍｉｃｒｏｓｏｆｔ（登録商標）Ｅｘｃｅｌファイル、Ｍｉｃｒｏｓｏｆｔ（登録商標）Ａｃｃｅｓｓファイルからのソフトウェアで作成および維持されるデータベースなどのリレーショナルデータベース、フラッシュアレイ、ハイブリッドアレイ、もしくはサーバ側製品を含み得るソリッドステート記憶デバイス、オンラインまたはクラウドストレージを含み得るエンタープライズストレージ、または任意の他の記憶機構を含む、様々な方法で記憶された電子情報、ファイル、および文書を含み得る。さらに、図は、様々な構成要素（例えば、サーバ、コンピュータ、プロセッサなど）を別々に示している。様々な構成要素で行われるものとして説明された機能は、他の構成要素で行われてもよく、様々な構成要素は組み合わされても分離されてもよい。他の修正が行われてもよい。

【0092】

上記の明細書では、添付の図面を参照して様々な実施形態を説明した。しかしながら、添付の特許請求の範囲に記載される本発明のより広い範囲から逸脱することなく、様々な修正および変更が行われてもよく、追加の実施形態が実施され得ることは明らかであろう。したがって、本明細書および図面は、限定的な意味ではなく例示的な意味とみなされるであろう。

【図1】

【図2A】

【図2B】

【図3】

【図4】

【図5】

【図6】

【国際調査報告】