用于中继攻击检测的方法和系统技术方案

公开了一种防止第一设备与第二设备之间的中继攻击的方法。所述方法包括由第一设备提供命令消息，接收请求消息并向第二设备提供响应消息。将接收到所述命令消息与所述第一设备发送所述响应消息之间的时间段与发送所述命令消息与所述第二设备接收到所述响应消息之间的另一时间段进行比较。如果这些时间段基本上匹配，则所述第一设备可以确保没有发生中继攻击。

Methods and systems for relay attack detection

A method for preventing relay attacks between a first device and a second device is disclosed. The method comprises providing a command message by the first device, receiving a request message and providing a response message to the second device. The time period between receiving the command message and sending the response message by the first device is compared with another time period between sending the command message and receiving the response message by the second device. If these time periods basically match, the first device can ensure that no relay attack occurs.

【技术实现步骤摘要】
【国外来华专利技术】用于中继攻击检测的方法和系统相关申请的交叉引用不适用。
技术介绍
在诸如支付交易的接触访问交易和非接触访问交易中，可能有中继攻击。例如，图1示出了受害者的非接触卡40，其可以相对于在诸如商家的资源提供商处的非接触终端10远程地定位。虽然非接触卡40和非接触终端10在本示例中相隔很远，但攻击者(例如，两个人合作以窃取信息或欺诈合法用户)可以使用两部启用NFC(近场通信)的电话20、30和启用NFC的电话20、30上的两个智能手机应用程序20A、30A进行中继攻击。在典型的中继攻击中，攻击者使用具有NFC读取器模式应用程序的电话A30来轻触受害者口袋中的非接触卡40并与之通信。攻击者可以使用具有应用程序20A的电话B20来轻触在商家或其他资源提供商处的非接触终端10并与之通信。两部电话20、30上的两个应用程序20A、30A通过移动互联网50连接。非接触终端10发出的命令消息从电话B20中继至电话A30，然后由受害者的非接触卡40接收。受害者的非接触卡40接着响应命令消息。然后，访问卡40上的信息(例如，诸如主账号(PAN)的支付信息)可以从电话A30中继至电话B20，接着再中继至非接触终端10。通过执行此类中继攻击，攻击者可以使用受害者的非接触卡40来执行访问交易(例如，购买交易)，而无需将受害者的卡40据为己有。虽然这个特定示例涉及商家，但是应该理解，在需要访问资源的其他情况下(例如，尝试进入建筑物或尝试访问计算机内部的数据)，这个问题可能存在。如上所示，两个合法设备(非接触终端10和非接触卡40)之间的数据不会发生任何变化(或者最小改变)地被传输。需要一种能够解决此问题的攻击识别机制，优选地基本上不改变现有的访问交易基础架构。本专利技术的实施方案解决了这些和其他问题。
技术实现思路
本专利技术的实施方案涉及可以防止便携式设备和访问设备之间的中继攻击的方法和系统，从而防止攻击者访问他们未被授权访问的数据。本专利技术的一个实施方案涉及一种方法。该方法包括在第一设备与第二设备之间进行的交易中由第一设备生成命令消息并将其发送到第二设备。在一些实施方案中，第一设备可以是诸如POS终端之类的访问设备，而第二设备可以是诸如支付卡之类的卡。此后，第二设备生成第一请求消息，并将第一请求消息发送到第一设备。然后，第一设备接收第一请求消息并生成第一响应消息，并将其发送到第二设备。第一请求消息可以是第一等待时间延长请求消息。在某个时间点，当第二设备准备好响应命令消息时，数据消息由第二设备生成并发送到第一设备。该数据消息包括加密值，该加密值包括加密的第一时间段。第一时间段可以由第二设备确定，并且可以与命令消息、第一请求消息和/或第一响应消息相关联。例如，第一时间段可以是从第二设备接收到命令消息的时间与第二设备向第一设备发送第一请求消息的时间之间测得的。该方法还包括解密加密值以确定第一时间段，然后将第一时间段与由第一设备确定的第二时间段进行比较。第二时间段可以与命令消息、第一请求和/或第一响应相关联。例如，第二时间段可以是从第一设备向第二设备发送命令消息的时间与第一设备接收到第一请求消息的时间之间测得的。如果第一时间段和第二时间段不在预定阈值内，则第二设备可以记录第一时间段和第二时间段不在预定阈值内，并且可以可选地启动交易的拒绝。在一些实施方案中，访问设备可以停止交易或者可以显示错误消息。如果第一时间段和第二时间段在预定阈值内，则第一设备可以允许交易继续进行。本专利技术的另一实施方案涉及被配置为执行上述方法的第一设备。本专利技术的另一个实施方案涉及一种方法，包括：由第二设备接收来自第一设备的命令消息，然后生成第一请求消息。然后，第二设备将第一请求消息发送到第一设备。第二设备随后生成数据消息。数据消息可以是命令消息响应消息，并且可以包括加密值。加密值可以包括由第二设备确定的第一时间段。第一时间段可以与命令消息、第一请求消息和/或第一响应消息相关联。例如，第一时间段可以是从第二设备接收到命令消息的时间与第二设备向第一设备发送第一请求消息的时间之间测得的。一旦生成数据消息，就可以将其发送到第一设备。在接收到数据消息之后，第一设备将第一时间段与第一设备确定的第二时间段进行比较。第二时间段可以与命令消息、第一请求消息和/或第一响应消息相关联。例如，第二时间段可以是从第一设备向第二设备发送命令消息的时间与第一设备接收到第一请求消息的时间之间测得的。本专利技术的另一实施方案涉及被配置为执行上述方法的第二设备。下面参考附图和“具体实施方式”对本专利技术的这些和其他实施方案进行更详细的描述。附图说明图1是示出了中继攻击的系统图。图2示出了包括访问设备和便携式设备的系统的框图，以及可在图示系统中执行的方法。图3示出了包括访问设备和便携式设备的系统的框图，以及对可在访问设备与便携式设备之间传输的示例性命令消息和响应的描述。图4示出根据本专利技术的实施方案的便携式设备的框图。图5示出了根据本专利技术的实施方案的访问设备的框图。图6示出了包括访问设备和建筑物的系统图。图7示出了对支付处理系统图示的系统图。具体实施方式本专利技术的一个实施方案涉及一种方法。该方法包括在第一设备与第二设备之间进行的交易中由第一设备生成命令消息并将其发送到第二设备。在一些实施方案中，第一设备可以是诸如POS终端之类的访问设备，而第二设备可以是诸如支付卡之类的卡。注意，术语“第一”、“第二”等不是限制性的，而是可以用作表示不同设备或对象的标签。此后，第二设备生成第一请求消息，并将第一请求消息发送到第一设备。然后，第一设备接收第一请求消息并生成第一响应消息，并将其发送到第二设备。第一请求消息可以是等待时间延长请求消息。在某个时间点，当第二设备准备好响应时，从第二设备向第一设备发送数据消息。该数据消息包括加密值，该加密值包括加密的第一时间段。第一时间段可以由第二设备确定，并且可以是从第二设备接收到命令消息的时间与第二设备向第一设备发送第一请求消息的时间之间测得的。该方法还包括解密加密值以确定第一时间段，并将第一时间段与由第一设备确定的第二时间段进行比较。第二时间段可以是从第一设备向第二设备发送命令消息的时间与第一设备接收到第一请求消息的时间之间测得的。如果第一时间段和第二时间段不在预定阈值内，则第二设备可以记录第一时间段和第二时间段不在预定阈值内，并且可以可选地拒绝交易。如果第一时间段和第二时间段在预定阈值内，则第一设备可以记录第一时间段和第二时间段在预定阈值内，并且可以可选地允许交易继续进行。第一设备还可以在数据消息中解密加密的不可预测数字和第二设备发送的多个请求消息。在本专利技术的实施方案中，阈值的量可以变化，但是超过阈值可能表示潜在的中继攻击。例如，如果第一时间段和第二时间段之间的差异大于例如或者第一时间段和第二时间段的任一值的10％、20％、30％。例如，分别为15.00毫秒和15.02毫秒的第一时间段和第二时间段足以接近，因此它们在阈值内。相反，如果第一时间段和第二时间段分别是15和20毫秒，那么这可能超过阈值。本专利技术的特定实施方案可以包括便携式设备发送具有签名和保护的特定特征的SWTX(等待时间延长)消息数据。在发送之前，外部观察者(攻击者)不知道SWTX数据。这些特征可以包括(i)未知数量的SWTX请求，(本文档来自技高网...

【技术保护点】
1.一种方法，包括：在第一设备与第二设备之间进行的交易中，由所述第一设备生成命令并将其发送到所述第二设备，其中所述第二设备此后生成第一请求消息并将所述第一请求消息发送给所述第一设备；由所述第一设备接收所述第一请求消息；由所述第一设备生成第一响应消息；由所述第一设备将所述第一响应消息发送给所述第二设备；由所述第一设备接收来自所述第二设备的数据消息，所述数据消息包括加密值，所述加密值包括加密形式的第一时间段，所述第一时间段由所述第二设备确定，并且与所述命令消息、所述第一请求消息和/或所述第一响应消息相关联；由所述第一设备解密所述加密值以确定所述第一时间段；由所述第一设备将所述第一时间段与所述第一设备确定的第二时间段进行比较，所述第二时间段与所述命令消息、所述第一请求消息和/或所述第一响应消息相关联；如果所述第一时间段和所述第二时间段不在预定阈值内，则记录所述第一时间段和第二时间段不在所述预定阈值内，并且可选地启动所述交易的拒绝；以及如果所述第一时间段和所述第二时间段在预定阈值内，则记录所述第一时间段和第二时间段在所述预定阈值内，并且可选地允许所述交易继续进行。

【技术特征摘要】
【国外来华专利技术】1.一种方法，包括：在第一设备与第二设备之间进行的交易中，由所述第一设备生成命令并将其发送到所述第二设备，其中所述第二设备此后生成第一请求消息并将所述第一请求消息发送给所述第一设备；由所述第一设备接收所述第一请求消息；由所述第一设备生成第一响应消息；由所述第一设备将所述第一响应消息发送给所述第二设备；由所述第一设备接收来自所述第二设备的数据消息，所述数据消息包括加密值，所述加密值包括加密形式的第一时间段，所述第一时间段由所述第二设备确定，并且与所述命令消息、所述第一请求消息和/或所述第一响应消息相关联；由所述第一设备解密所述加密值以确定所述第一时间段；由所述第一设备将所述第一时间段与所述第一设备确定的第二时间段进行比较，所述第二时间段与所述命令消息、所述第一请求消息和/或所述第一响应消息相关联；如果所述第一时间段和所述第二时间段不在预定阈值内，则记录所述第一时间段和第二时间段不在所述预定阈值内，并且可选地启动所述交易的拒绝；以及如果所述第一时间段和所述第二时间段在预定阈值内，则记录所述第一时间段和第二时间段在所述预定阈值内，并且可选地允许所述交易继续进行。2.如权利要求1所述的方法，其中所述第一请求消息是时间延长请求消息，并且所述第一响应消息是时间延长响应消息，并且其中所述第一时间段是从所述第二设备接收到所述命令消息的时间与所述第二设备向所述第一设备发送所述第一请求消息的时间之间测得的，以及所述第二时间段是从所述第一设备向所述第二设备发送所述命令消息的时间与所述第一设备接收到所述第一请求消息的时间之间测得的。3.如权利要求2所述的方法，还包括在发送所述第一响应消息之后并且在接收到所述数据消息之前：由所述第一设备接收来自所述第二设备的第二请求消息；由所述第一设备生成第二响应消息；由所述第一设备将所述第二响应消息发送给所述第二设备；并且其中所述数据消息还包括加密形式的第三时间段，所述第三时间段由所述第二设备确定并且是从所述第二设备接收到所述第一响应消息的时间与所述第二请求消息由所述第二设备发送给所述第一设备的时间之间测得的；并且其中所述方法还包括：解密所述加密的第三时间段；由所述第一设备将所述第三时间段与第四时间段进行比较，所述第四时间段由所述第一设备确定并且是从所述第一响应消息被发送到所述第二设备的时间与所述第二请求消息被所述第一设备接收到的时间之间测得的；如果所述第三时间段和所述第四时间段不在预定阈值内，则记录所述第三时间段和所述第四时间段不在所述预定阈值内，并可选地启动所述交易的拒绝；以及如果所述第三时间段和所述第四时间段在预定阈值内，则记录所述第三时间段和所述第四时间段在所述预定阈值内，并且可选地允许所述交易继续进行。4.如权利要求3所述的方法，其中所述第一请求消息是第一时间延长请求消息，所述第一响应消息是第一时间延长响应消息，所述第二请求消息是第二时间延长请求消息，并且所述第二响应消息是第二时间延长响应消息。5.如权利要求3所述的方法，其中所述第一时间段和所述第三时间段是不同的。6.如权利要求1所述的方法，其中所述第一设备是访问设备，并且所述第二设备是便携式设备。7.如权利要求1所述的方法，其中所述加密值包含已经以加密形式从所述第二设备发送到所述第一设备的多个请求消息。8.如权利要求1所述的方法，其中所述第一请求消息包括不可预测的数字，并且其中所述加密值包含加密形式的所述不可预测的数字。9.一种第一设备，所述第一设备包括：处理器；以及非瞬态计算机可读介质，所述非瞬态计算机可读介质包括：在第一设备与第二设备之间进行的交易中生成命令消息并将其发送到第二设备，其中所述第二设备此后生成第一请求消息并将所述第一请求消息发送给所述第一设备；接收所述第一请求消息；生成第一响应消息；将所述第一响应消息发送给所述第二设备；接收来自所述第二设备的数据消息，所述数据消息包括加密值，所述加密值包括加密形式的第一时间段，所述第一时间段由所述第二设备确定，并且与所述命令消息、所述第一请求消息和/或所述第一响应消息相关联；解密所述加密值以确定所述第一时间段；将所述第一时间段与所述第一设备确定的第二时间段进行比较，所述第二时间段与...

【专利技术属性】
技术研发人员：M·托普，Y·陈，
申请(专利权)人：维萨国际服务协会，
类型：发明
国别省市：美国,US