CN108898388B - 支付方法及装置 - Google Patents

Abstract

本公开是关于一种支付方法及装置，该方法包括：所述支付TA接收所述第三方支付应用发送的交易数据；所述支付TA在从所述身份认证TA中查询到所述交易数据对应的身份信息通过认证后，使用从所述代理程序获取的密钥对所述交易数据进行加密，得到密文和校验值；所述支付TA将所述密文和所述校验值发送给所述代理程序；所述代理程序在根据所述校验值确定所述密文是所述支付TA发送的后，对所述密文进行解密获取所述交易数据。该技术方案可以提高了交易数据传输时的安全性，增加了支付的安全系数。

Description

支付方法及装置

技术领域

本公开涉及移动支付领域，尤其涉及支付方法及装置。

背景技术

随着移动智能设备以及互联网移动支付的发展，去实体卡已经成为当下社会发展的一种趋势。移动智能设备如手机作为银行卡、公交卡、店铺会员卡也随着安全芯片、NFC(Near Field Communication，近距离无线通信技术)、移动设备的发展而走入了人们的生活。

终端支付是基于NFC和安全芯片技术，通过验证持卡人的卡信息，生成一张新的卡片，通过空发的形式发在终端的安全芯片内，最终实现终端作为银行卡，可以进行线上交易。

发明内容

本公开实施例提供支付方法及装置。所述技术方案如下：

根据本公开实施例的第一方面，提供一种支付方法，应用于终端，所述终端包括：第三方应用、安全芯片中的代理程序、运行在可信执行环境TEE中的身份认证可信应用TA和支付TA；

所述支付TA接收所述第三方支付应用发送的交易数据；

所述支付TA在从所述身份认证TA中查询到所述交易数据对应的身份信息通过认证后，使用从所述代理程序获取的密钥对所述交易数据进行加密，得到密文和校验值；

所述支付TA将所述密文和所述校验值发送给所述代理程序；

所述代理程序在根据所述校验值确定所述密文是所述支付TA发送的后，对所述密文进行解密获取所述交易数据。

在一个实施例中，所述支付TA使用从所述代理程序获取的密钥对所述交易数据进行加密，得到密文和校验值包括：

所述支付TA从所述代理程序获取第一会话密钥和第二会话密钥；

所述支付TA应用第一加密算法使用所述第一会话密钥对交易数据进行加密，生成密文，所述第一加密算法为所述支付TA与所述代理程序协商的加密算法；

所述支付TA应用第二加密算法根据所述第二会话密钥和所述密文计算校验值，所述第二加密算法为所述支付TA与所述代理程序协商的加密算法；

所述代理程序根据所述校验值确定所述密文是所述支付TA发送的，包括：

所述代理程序应用所述第二加密算法根据所述第二会话密钥和所述密文计算验证值；

所述代理程序在所述验证值与所述校验值相同时，确定所述密文是所述支付TA发送的。

在一个实施例中，所述支付TA从所述代理程序获取第一会话密钥和第二会话密钥，包括：

所述支付TA生成一对公钥和私钥；

所述支付TA将所述私钥发送给所述代理程序；

所述支付TA生成随机码并将所述随机码携带在所述会话密钥请求中发送给所述代理程序；

所述代理程序响应所述会话密钥请求，生成第一会话密钥和第二会话密钥；

所述代理程序使用所述私钥将所述第一会话密钥、所述第二会话密钥和所述随机码加密后发送给所述支付TA；

所述支付TA使用所述公钥解密出所述随机码后，使用所述公钥解密出所述第一会话密钥和所述第二会话密钥。

在一个实施例中，所述支付TA将所述私钥发送给所述安全芯片，包括：

所述支付TA将所述私钥用TEE出厂密钥签名后，发送安全服务器，以便所述安全服务器在验签通过后将所述私钥发送给所述代理程序；

所述代理程序通过安全通道接收所述安全服务器发送的所述私钥。

在一个实施例中，所述终端还包括安全芯片中的支付程序，所述方法还包括：

所述代理程序将所述交易数据发送给所述支付程序；

所述支付程序对所述交易数据进行加密，向所述第三方支付应用返回加密结果，使得所述第三方支付应用根据所述加密结果执行支付相关操作。

根据本公开实施例的第二方面，提供一种支付装置，应用于终端，所述装置包括：第三方应用、安全芯片中的代理程序、运行在可信执行环境TEE中的身份认证可信应用TA和支付TA，其中：

所述支付TA，用于接收所述第三方支付应用发送的交易数据；

所述支付TA，用于在从所述身份认证TA中查询到所述交易数据对应的身份信息通过认证后，使用从所述代理程序获取的密钥对所述交易数据进行加密，得到密文和校验值；

所述支付TA，用于将所述密文和所述校验值发送给所述代理程序；

所述代理程序，用于在根据所述校验值确定所述密文是所述支付TA发送的后，对所述密文进行解密获取所述交易数据。

在一个实施例中，所述支付TA，用于从所述代理程序获取第一会话密钥和第二会话密钥；

所述支付TA，用于应用第一加密算法使用所述第一会话密钥对交易数据进行加密，生成密文，所述第一加密算法为所述支付TA与所述代理程序协商的加密算法；

所述支付TA，用于应用第二加密算法根据所述第二会话密钥和所述密文计算校验值，所述第二加密算法为所述支付TA与所述代理程序协商的加密算法；

所述代理程序，用于根据所述校验值确定所述密文是所述支付TA发送的，包括：

所述代理程序，用于应用所述第二加密算法根据所述第二会话密钥和所述密文计算验证值；

所述代理程序，用于在所述验证值与所述校验值相同时，确定所述密文是所述支付TA发送的。

在一个实施例中，所述支付TA，用于生成一对公钥和私钥；

所述支付TA，用于将所述私钥发送给所述代理程序；

所述支付TA，用于生成随机码并将所述随机码携带在所述会话密钥请求中发送给所述代理程序；

所述代理程序，用于响应所述会话密钥请求，生成第一会话密钥和第二会话密钥；

所述代理程序，用于使用所述私钥将所述第一会话密钥、所述第二会话密钥和所述随机码加密后发送给所述支付TA；

所述支付TA，用于使用所述公钥解密出所述随机码后，使用所述公钥解密出所述第一会话密钥和所述第二会话密钥。

在一个实施例中，所述支付TA，用于将所述私钥用TEE出厂密钥签名后，发送安全服务器，以便所述安全服务器在验签通过后将所述私钥发送给所述代理程序；

所述代理程序，用于通过安全通道接收所述安全服务器发送的所述私钥。

在一个实施例中，所述终端还包括安全芯片中的支付程序，其中：

所述代理程序，用于将所述交易数据发送给所述支付程序；

所述支付程序，用于对所述交易数据进行加密，向所述第三方支付应用返回加密结果，使得所述第三方支付应用根据所述加密结果执行支付相关操作。

根据本公开实施例的第三方面，提供一种支付装置，所述装置包括：

第三方应用、安全芯片中的代理程序、运行在可信执行环境TEE中的身份认证可信应用TA和支付TA；

用于存储所述第三方应用、代理程序、身份认证TA和支付TA可执行指令的存储器；

其中，所述支付TA被配置为：

接收所述第三方支付应用发送的交易数据；

在从所述身份认证TA中查询到所述交易数据对应的身份信息通过认证后，使用从所述代理程序获取的密钥对所述交易数据进行加密，得到密文和校验值；

将所述密文和所述校验值发送给所述代理程序；

所述代理程序被配置为：

在根据所述校验值确定所述密文是所述支付TA发送的后，对所述密文进行解密获取所述交易数据。

根据本公开实施例的第四方面，提供一种计算机可读存储介质，存储有计算机指令，所述计算机指令被执行时实现上述方法中的步骤。

本公开的实施例提供的技术方案可以包括以下有益效果：本实施例可以由第三方支付应用可以将交易数据发送给运行在TEE中的支付TA，支付TA在从身份认证TA中查询到所述交易数据对应的身份信息通过认证后，使用从所述代理程序获取的密钥对所述交易数据进行加密，得到密文和校验值；所述支付TA将所述密文和所述校验值发送给所述安全芯片；所述代理程序在根据所述校验值确定所述密文是所述支付TA发送的后，对所述密文进行解密获取所述交易数据，如此，支付TA保证接收到的交易数据为用户信息认证通过的交易数据，而安全芯片中的代理程序通过验证校验值确定接收到的密文为支付TA发送的，解密后可以得到正确的用户信息认证通过的交易数据，提高了交易数据传输时的安全性，增加了支付的安全系数。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。

图1是根据一示例性实施例示出的一种支付方法的流程图。

图2是根据一示例性实施例示出的一种支付方法的流程图。

图3是根据一示例性实施例示出的一种支付装置的框图。

图4是根据一示例性实施例示出的一种支付装置的框图。

图5是根据一示例性实施例示出的一种支付装置的框图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本公开相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本公开的一些方面相一致的装置和方法的例子。

目前，第三方支付应用发起线上支付交易时，会在用户验证通过后，将交易数据按照约定的格式传给安全芯片；安全芯片将该交易数据加密后返回在送给第三支付应用，由该第三支付应用将加密后交易数据发送给服务器，由服务器进行支付操作；但是，第三方支付应用所在的安卓运行环境的数据是可以被篡改，是不安全的，安全芯片无法确定接收到的交易数据是用户验证通过的交易数据。

为了解决上述问题，本实施例中第三方支付应用可以将交易数据发送给运行在TEE(Trusted execution environment，可信执行环境)中的支付TA(TrustedApplication，可信应用)，支付TA在从身份认证TA中查询到所述交易数据对应的身份信息通过认证后，使用从所述代理程序获取的密钥对所述交易数据进行加密，得到密文和校验值；所述支付TA将所述密文和所述校验值发送给所述安全芯片；所述代理程序在根据所述校验值确定所述密文是所述支付TA发送的后，对所述密文进行解密获取所述交易数据，如此，支付TA保证接收到的交易数据为用户信息认证通过的交易数据，而安全芯片中的代理程序通过验证校验值确定接收到的密文为支付TA发送的，解密后可以得到正确的用户信息认证通过的交易数据，提高了交易数据传输时的安全性，增加了支付的安全系数。

图1是根据一示例性实施例示出的一种支付方法的流程图，如图1所示，该支付方法用于终端等设备中，该终端包括第三方应用、安全芯片中的代理程序、运行在可信执行环境TEE中的身份认证可信应用TA和支付TA；该支付方法包括以下步骤101-104：

在步骤101中，所述支付TA接收所述第三方支付应用发送的交易数据。

在步骤102中，所述支付TA在从所述身份认证TA中查询到所述交易数据对应的身份信息通过认证后，使用从所述代理程序获取的密钥对所述交易数据进行加密，得到密文和校验值。

在步骤103中，所述支付TA将所述密文和所述校验值发送给所述安全芯片。

在步骤104中，所述代理程序在根据所述校验值确定所述密文是所述支付TA发送的后，对所述密文进行解密获取所述交易数据。

这里，本公开提供的方法可以应用于移动终端内，移动终端可以为智能手机或平板电脑等移动设备，该终端内设置有安全芯片(SE，SecurityElement)，安全芯片是一种防篡改的芯片，它能确保数据存储在安全的地方，且信息仅对经授权的人员开放，它恰似最终用户个人和设备本身的身份证；本公开提供的移动终端采用SE来保证移动支付应用的安全性。随着移动终端的普及，用户通常会将移动终端随身携带，这为本公开提供的方法提供了非常好的应用环境。

这里，用户在使用终端进行刷卡交易之前，终端需要向服务器请求发卡，服务器可以采用空中发卡的方式，将该电子卡的数据下发到终端的安全芯片中，终端的安全芯片可以保证该电子卡数据的安全性；这样终端就可以根据安全芯片中存储的电子卡数据模拟出一个虚拟电子卡作为第三方支付应用，以进行线下银行销售点(Point of sale，POS)机交易以及线上交易。

这里，终端在使用该第三方支付应用进行线上交易，如在客户端的商城、电商等购物应用中购买东西时，该第三方支付应用可以从购物应用中获取到交易数据，如支付金额、收款方信息以及账单编号等数据；该第三方支付应用获取到该交易数据后，需要对该交易数据的用户进行身份认证，确定是该虚拟电子卡的用户在进行该交易，此时，第三方支付应用就会触发用户信息认证流程，如显示用户身份信息输入窗口供用户输入身份信息，该身份信息可以是键盘输入的密码信息，也可以是用户的生物信息如指纹信息、人脸信息、虹膜信息等；终端采集到用户的身份信息后会将用户的身份信息及信息ID发送至运行在TEE环境中的身份认证TA，该身份认证TA可以对该身份信息进行认证，若认证通过，该身份认证TA就可以将该信息ID对应的身份信息认证通过的消息通知给第三方支付应用，该第三方支付应用在用户的身份信息认证通过后，将该交易数据及其对应的身份信息的信息ID发送给支付TA。

这里，第三方支付应用在向支付TA发送交易数据时，可以携带有该交易数据对应的身份信息的信息ID，故支付TA在接收到第三方支付应用发送的交易数据后，可以向身份认证TA发送查询消息，该查询消息中携带有该交易数据对应的身份信息的信息ID，用于查询该信息ID对应的身份信息是否认证通过，若认证通过，则表明该支付TA接收到的交易数据为用户的身份信息认证通过的交易数据，即用户同意交易的交易数据。

这里，支付TA确定该交易数据为用户的身份信息认证通过的交易数据后，可以使用从代理程序获取的密钥对交易数据进行加密，得到密文和校验值，然后将密文和所述校验值发送给所述安全芯片中的代理程序；该代理程序接收到该校验值和密文后，先验证该校验值是否正确，若校验值正确，则表明该校验值和密文是从支付TA发送过来的，这样，该代理程序就可以对该密文进行解密得到交易数据。

本实施例可以由第三方支付应用可以将交易数据发送给运行在TEE中的支付TA，支付TA在从身份认证TA中查询到所述交易数据对应的身份信息通过认证后，使用从所述代理程序获取的密钥对所述交易数据进行加密，得到密文和校验值；所述支付TA将所述密文和所述校验值发送给所述安全芯片；所述代理程序在根据所述校验值确定所述密文是所述支付TA发送的后，对所述密文进行解密获取所述交易数据，如此，支付TA保证接收到的交易数据为用户信息认证通过的交易数据，而安全芯片中的代理程序通过验证校验值确定接收到的密文为支付TA发送的，解密后可以得到正确的用户信息认证通过的交易数据，提高了交易数据传输时的安全性，增加了支付的安全系数。

在一种可能的实施方式中，步骤102可以实施为以下步骤A1至A3，步骤104可以实施为步骤A4和步骤A5。

在步骤A1中，所述支付TA从所述代理程序获取第一会话密钥和第二会话密钥。

在步骤A2中，所述支付TA应用第一加密算法使用所述第一会话密钥对交易数据进行加密，生成密文，所述第一加密算法为所述支付TA与所述代理程序协商的加密算法。

在步骤A3中，所述支付TA应用第二加密算法根据所述第二会话密钥和所述密文计算校验值，所述第二加密算法为所述支付TA与所述代理程序协商的加密算法。

在步骤A4中，所述代理程序应用所述第二加密算法根据所述第二会话密钥和所述密文计算验证值。

在步骤A5中，所述代理程序在所述验证值与所述校验值相同时，确定所述密文是所述支付TA发送的。

这里，该支付TA可以与代理程序通信，从所述代理程序获取第一会话密钥和第二会话密钥，如通过GENERATION SESSION KEY(生成会话密钥)指令(GP规范)从代理程序获取第一会话密钥S-ENC session key(加密用会话密钥)，通过GENERATE SESSION KEY指令(GP规范)从所述代理程序获取第二会话密钥S-MAC session key(MAC值用会话密钥)；然后支付TA可以应用第一加密算法使用第一会话密钥S-ENC session key对交易数据进行加密生成密文EncryptData，加密时使用的第一加密算法是支付TA与代理程序协商好的加密算法；然后支付TA可以应用第二加密算法根据第二会话密钥S-MAC session key和密文(EncryptData)计算一个用来校验的校验值即MAC(Message Authentication Codes，消息确认码)值EncryptDataMac(可以是8个字符或16个字符)，计算MAC时用到的第二加密算法是支付TA与代理程序协商好的加密算法；然后支付TA就可以把密文EncryptData替换原来指令的data(数据)区，在指令的MAC区加上校验值EncryptDataMac，修改指令length(长度)区，形成新的指令发送到代理程序。

这里，代理程序接收到带有密文EncryptData和校验值EncryptDataMac的指令后，可以根据所述第二会话密钥和接收到密文EncryptData使用同样的第二加密算法计算出验证值，如果计算出的验证值与接收到的校验值相同，由于该代理程序只与该支付TA协商了该第二加密对算法，这就可以表明该密文EncryptData一定是支付TA发送的未篡改过的密文。

这里，代理程序在确定该密文是支付TA发送的后，就可以应用与该第一加密算法对应的解密算法，根据该第一会话密钥S-ENC session key对密文EncryptData进行解密，得到交易数据，该交易数据是支付TA发送的身份信息通过认证后交易数据，该交易数据在从支付TA传输到代理程序的过程是安全的。

这里需要说明的是，计算该MAC值的第一加密算法和第二加密算法可以是AES(Advanced Encryption Standard，高级加密算法)算法，也可以是DES(Data EncryptionStandard，数据加密标准)算法，也可以是其他加密算法，在此不做限制。

本实施例可以由支付TA从代理程序获取第一会话密钥和第二会话密钥对交易数据进行加密计算获取密文和校验值，加密是用到的第一加密算法和第二加密算法为支付TA与所述代理程序协商的加密算法，故代理程序应用所述第二加密算法根据所述第二会话密钥和所述密文计算验证值，在所述验证值与所述校验值相同时，由于该代理程序只与该支付TA协商了该第二加密对算法，故可以确定该密文是所述支付TA发送的，没有被篡改过的密文，保证该交易数据在从支付TA到代理程序的传输过程的安全性，实现简单。

在一种可能的实施方式中，上述方法中的步骤A1可以实施为以下步骤A11至A16。

在步骤A11中，所述支付TA生成一对公钥和私钥。

在步骤A12中，所述支付TA将所述私钥发送给所述代理程序。

在步骤A13中，所述支付TA生成随机码并将所述随机码携带在所述会话密钥请求中发送给所述代理程序。

在步骤A14中，所述代理程序响应所述会话密钥请求，生成第一会话密钥和第二会话密钥。

在步骤A15中，所述代理程序使用所述私钥将所述第一会话密钥、所述第二会话密钥和所述随机码加密后发送给所述支付TA。

在步骤A16中，所述支付TA使用所述公钥解密出所述随机码后，使用所述公钥解密出所述第一会话密钥和所述第二会话密钥。

这里，支付TA可以生成一对公钥和私钥，私钥自己存储使用，公钥发送给代理程序，这样支付TA在从代理程序获取第一会话密钥和第二会话密钥的时候，支付TA就可以先生成一个随机码，然后将该随机码携带在会话密钥请求中发送给代理程序，所述代理程序接收到该会话密钥请求后会响应该会话密钥请求，生成第一会话密钥和第二会话密钥，所述代理程序可以使用所述私钥将所述第一会话密钥、所述第二会话密钥和所述随机码加密后发送给所述支付TA，所述支付TA接收到加密信息后可以使用所述公钥解密，若支付TA可以解密出的付TA发给代理程序的随机码，则表明该加密信息是代理程序发送的，然后就可以使用公钥解密出所述第一会话密钥和所述第二会话密钥。

本实施例该支付TA可以生成一对公钥和私钥，这样在从代理程序获取第一会话密钥和第二会话密钥时可以使用该对公钥和私钥对第一会话密钥和第二会话密钥的传输进行加密，保证第一会话密钥和第二会话密钥传输过程中的安全性，进而提高交易数据从支付TA到代理程序的传输过程的安全性，实现简单。

在一种可能的实施方式中，上述方法中的步骤A11可以实施为以下步骤A111和A112。

在步骤A111中，所述支付TA将所述私钥用TEE出厂密钥签名后，发送安全服务器，以便所述安全服务器在验签通过后将所述私钥发送给所述代理程序。

在步骤A112中，所述代理程序通过安全通道接收所述安全服务器发送的所述私钥。

这里，支付TA在生成一对公钥和私钥，需要将该公钥发送给代理程序时，支付TA可以先将该公钥使用TEE出厂密钥签名，然后发送给安全服务器，该安全服务器为安全芯片对应的后台服务器，该安全服务器与TEE之间有协议，可以对TEE的密钥签名进行验签，该安全服务器对该签名验签通过后，确定该公钥是从支付TA发送的，就会通过终端上的客户端打开安全芯片中代理程序的安全通道，将公钥通过该安全通道发送给代理程序，代理程序就会保存该公钥。

本实施例可以由支付TA将私钥用TEE出厂密钥签名后，发送安全服务器，以便所述安全服务器在验签通过后将所述私钥发送给所述代理程序；所述代理程序通过安全通道接收所述安全服务器发送的所述私钥，保证该私钥在传输过程中的安全性，进而提高交易数据从支付TA到代理程序的传输过程的安全性，实现简单。

在一种可能的实施方式中，所述终端还包括安全芯片中的支付程序，上述支付方法还可以实现为以下步骤B1和B2。

在步骤B1中，所述代理程序将所述交易数据发送给所述支付程序。

在步骤B2中，所述支付程序对所述交易数据进行加密，向所述第三方支付应用返回加密结果，使得所述第三方支付应用将所述加密结果发送给服务器执行支付操作。

这里，代理程序在解密出交易数据后，可以将该交易数据发送给安全芯片里的支付程序，该支付程序内存储有电子卡的服务器下发的该电子卡数据，该支付程序可以根据与该电子卡数据对该交易数据进行加密，得到加密结果；然后将该加密结果发送给第三方支付应用，该第三方支付应用可以将该加密结果发送给该电子卡的服务器，该服务器接收到该加密结果，成功解密后，就可以执行支付操作，并在支付完成后，将支付结果发送给第三方支付应用。

本实施例可以由代理程序将交易数据发送给支付程序，由支付程序对所述交易数据进行加密，向所述第三方支付应用返回加密结果，使得所述第三方支付应用将所述加密结果发送给服务器执行支付操作，完成交易，实现简单。

下面通过几个实施例详细介绍实现过程。

图2是根据一示例性实施例示出的一种支付方法的流程图，如图2所示，该方法可以由终端等设备实现，所述终端包括：第三方应用21、安全芯片中的代理程序22和支付程序23、运行在可信执行环境TEE中的身份认证可信应用TA24和支付TA25；该支付方法包括以下步骤201至217。

在步骤201中，所述支付TA接收所述第三方支付应用发送的交易数据。

在步骤202中，所述支付TA从所述身份认证TA中查询到所述交易数据对应的身份信息通过认证。

在步骤203中，所述支付TA生成一对公钥和私钥。

在步骤204中，所述支付TA将所述私钥用TEE出厂密钥签名后，发送安全服务器，以便所述安全服务器在验签通过后将所述私钥发送给所述代理程序。

在步骤205中，所述代理程序通过安全通道接收所述安全服务器发送的所述私钥。

在步骤206中，所述支付TA生成随机码并将所述随机码携带在所述会话密钥请求中发送给所述代理程序。

在步骤207中，所述代理程序响应所述会话密钥请求，生成第一会话密钥和第二会话密钥。

在步骤208中，所述代理程序使用所述私钥将所述第一会话密钥、所述第二会话密钥和所述随机码加密后发送给所述支付TA。

在步骤209中，所述支付TA使用所述公钥解密出所述随机码后，使用所述公钥解密出所述第一会话密钥和所述第二会话密钥。

在步骤210中，所述支付TA应用第一加密算法使用所述第一会话密钥对交易数据进行加密，生成密文。

其中，所述第一加密算法为所述支付TA与所述代理程序协商的加密算法。

在步骤211中，所述支付TA应用第二加密算法根据所述第二会话密钥和所述密文计算校验值。

其中，所述第二加密算法为所述支付TA与所述代理程序协商的加密算法。

在步骤212中，所述支付TA将所述密文和所述校验值发送给所述代理程序。

在步骤213中，所述代理程序应用所述第二加密算法根据所述第二会话密钥和所述密文计算验证值。

在步骤214中，所述代理程序在所述验证值与所述校验值相同时，确定所述密文是所述支付TA发送的。

在步骤215中，所述代理程序对所述密文进行解密获取所述交易数据。

在步骤216中，所述代理程序将所述交易数据发送给所述支付程序。

在步骤217中，所述支付程序对所述交易数据进行加密，向所述第三方支付应用返回加密结果，使得所述第三方支付应用根据所述加密结果执行支付相关操作。

下述为本公开装置实施例，可以用于执行本公开方法实施例。

图3是根据一示例性实施例示出的一种支付装置的框图，该装置可以通过软件、硬件或者两者的结合实现成为电子设备的部分或者全部。如图3所示，该支付装置包括：安全芯片30中的代理程序301、运行在可信执行环境TEE31中的身份认证可信应用TA302和支付TA303，其中：

所述支付TA303，用于接收所述第三方支付应用发送的交易数据；

所述支付TA303，用于在从所述身份认证TA302中查询到所述交易数据对应的身份信息通过认证后，使用从所述代理程序获取的密钥对所述交易数据进行加密，得到密文和校验值；

所述支付TA303，用于将所述密文和所述校验值发送给所述代理程序301；

所述代理程序301，用于在根据所述校验值确定所述密文是所述支付TA发送的后，对所述密文进行解密获取所述交易数据。

作为一种可能的实施例，所述支付TA303，用于从所述代理程序获取第一会话密钥和第二会话密钥；所述支付TA303，用于应用第一加密算法使用所述第一会话密钥对交易数据进行加密，生成密文，所述第一加密算法为所述支付TA与所述代理程序协商的加密算法；所述支付TA303，用于应用第二加密算法根据所述第二会话密钥和所述密文计算校验值，所述第二加密算法为所述支付TA与所述代理程序协商的加密算法；所述代理程序301，用于应用所述第二加密算法根据所述第二会话密钥和所述密文计算验证值；所述代理程序301，用于在所述验证值与所述校验值相同时，确定所述密文是所述支付TA发送的。

作为一种可能的实施例，所述支付TA303，用于生成一对公钥和私钥；所述支付TA303，用于将所述私钥发送给所述代理程序301；所述支付TA303，用于生成随机码并将所述随机码携带在所述会话密钥请求中发送给所述代理程序301；所述代理程序301，用于响应所述会话密钥请求，生成第一会话密钥和第二会话密钥；所述代理程序301，用于使用所述私钥将所述第一会话密钥、所述第二会话密钥和所述随机码加密后发送给所述支付TA303；所述支付TA303，用于使用所述公钥解密出所述随机码后，使用所述公钥解密出所述第一会话密钥和所述第二会话密钥。

在一种可能的实施例，所述支付TA303，用于将所述私钥用TEE出厂密钥签名后，发送安全服务器，以便所述安全服务器在验签通过后将所述私钥发送给所述代理程序301；所述代理程序301，用于通过安全通道接收所述安全服务器发送的所述私钥。

作为一种可能的实施例，图4是根据一示例性实施例示出的一种支付装置的框图，如图4所示，上述公开的支付装置还可以包括安全芯片中的支付程序304，其中：

所述代理程序301，用于将所述交易数据发送给所述支付程序；

所述支付程序304，用于对所述交易数据进行加密，向所述第三方支付应用返回加密结果，使得所述第三方支付应用根据所述加密结果执行支付相关操作。

关于上述实施例中的装置，其中各个模块执行操作的具体方式已经在有关该方法的实施例中进行了详细描述，此处将不做详细阐述说明。

图5是根据一示例性实施例示出的一种支付装置的框图，该装置适用于终端设备。例如，装置500可以是移动电话，游戏控制台，电脑、平板设备，个人数字助理等。

装置500可以包括以下一个或多个组件：处理组件501，存储器502，电源组件503，多媒体组件504，音频组件505，输入/输出(I/O)接口506，传感器组件507，以及通信组件508。

处理组件501通常控制装置500的整体操作，诸如与显示，电话呼叫，数据通信，相机操作和记录操作相关联的操作。处理组件501可以包括一个或多个处理器820来执行指令，以完成上述的方法的全部或部分步骤。此外，处理组件501可以包括一个或多个模块，便于处理组件501和其他组件之间的交互。例如，处理组件501可以包括多媒体模块，以方便多媒体组件504和处理组件501之间的交互。

存储器502被配置为存储各种类型的数据以支持在装置500的操作。这些数据的示例包括用于在装置500上操作的任何应用程序或方法的指令，联系人数据，电话簿数据，消息，图片，视频等。存储器502可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，如静态随机存取存储器(SRAM)，电可擦除可编程只读存储器(EEPROM)，可擦除可编程只读存储器(EPROM)，可编程只读存储器(PROM)，只读存储器(ROM)，磁存储器，快闪存储器，磁盘或光盘。

电源组件503为装置500的各种组件提供电力。电源组件503可以包括电源管理系统，一个或多个电源，及其他与为装置500生成、管理和分配电力相关联的组件。

多媒体组件504包括在所述装置500和用户之间的提供一个输出接口的屏幕。在一些实施例中，屏幕可以包括液晶显示器(LCD)和触摸面板(TP)。如果屏幕包括触摸面板，屏幕可以被实现为触摸屏，以接收来自用户的输入信号。触摸面板包括一个或多个触摸传感器以感测触摸、滑动和触摸面板上的手势。所述触摸传感器可以不仅感测触摸或滑动动作的边界，而且还检测与所述触摸或滑动操作相关的持续时间和压力。在一些实施例中，多媒体组件504包括一个前置摄像头和/或后置摄像头。当装置500处于操作模式，如拍摄模式或视频模式时，前置摄像头和/或后置摄像头可以接收外部的多媒体数据。每个前置摄像头和后置摄像头可以是一个固定的光学透镜系统或具有焦距和光学变焦能力。

音频组件505被配置为输出和/或输入音频信号。例如，音频组件505包括一个麦克风(MIC)，当装置500处于操作模式，如呼叫模式、记录模式和语音识别模式时，麦克风被配置为接收外部音频信号。所接收的音频信号可以被进一步存储在存储器502或经由通信组件508发送。在一些实施例中，音频组件505还包括一个扬声器，用于输出音频信号。

I/O的接口506为处理组件501和外围接口模块之间提供接口，上述外围接口模块可以是键盘，点击轮，按钮等。这些按钮可包括但不限于：主页按钮、音量按钮、启动按钮和锁定按钮。

传感器组件507包括一个或多个传感器，用于为装置500提供各个方面的状态评估。例如，传感器组件507可以检测到装置500的打开/关闭状态，组件的相对定位，例如所述组件为装置500的显示器和小键盘，传感器组件507还可以检测装置500或装置500一个组件的位置改变，用户与装置500接触的存在或不存在，装置500方位或加速/减速和装置500的温度变化。传感器组件507可以包括接近传感器，被配置用来在没有任何的物理接触时检测附近物体的存在。传感器组件507还可以包括光传感器，如CMOS或CCD图像传感器，用于在成像应用中使用。在一些实施例中，该传感器组件507还可以包括加速度传感器，陀螺仪传感器，磁传感器，压力传感器或温度传感器。

通信组件508被配置为便于装置500和其他设备之间有线或无线方式的通信。装置500可以接入基于通信标准的无线网络，如WiFi，2G或3G，或它们的组合。在一个示例性实施例中，通信组件508经由广播信道接收来自外部广播管理系统的广播信号或广播相关信息。在一个示例性实施例中，所述通信组件508还包括近场通信(NFC)模块，以促进短程通信。例如，在NFC模块可基于射频识别(RFID)技术，红外数据协会(IrDA)技术，超宽带(UWB)技术，蓝牙(BT)技术和其他技术来实现。

在示例性实施例中，装置500可以被一个或多个应用专用集成电路(ASIC)、数字信号处理器(DSP)、数字信号处理设备(DSPD)、可编程逻辑器件(PLD)、现场可编程门阵列(FPGA)、控制器、微控制器、微处理器或其他电子元件实现，用于执行上述方法。

在示例性实施例中，还提供了一种包括指令的非临时性计算机可读存储介质，例如包括指令的存储器502，上述指令可由装置500的处理器820执行以完成上述方法。例如，所述非临时性计算机可读存储介质可以是ROM、随机存取存储器(RAM)、CD-ROM、磁带、软盘和光数据存储设备等。

本实施例提供了一种计算机可读存储介质，当所述存储介质中的指令由装置500执行时实现以下步骤：

所述支付TA接收所述第三方支付应用发送的交易数据；

所述支付TA在从所述身份认证TA中查询到所述交易数据对应的身份信息通过认证后，使用从所述代理程序获取的密钥对所述交易数据进行加密，得到密文和校验值；

所述支付TA将所述密文和所述校验值发送给所述代理程序；

所述代理程序在根据所述校验值确定所述密文是所述支付TA发送的后，对所述密文进行解密获取所述交易数据。

所述存储介质中的指令被处理器执行时还可以实现以下步骤：

所述支付TA使用从所述代理程序获取的密钥对所述交易数据进行加密，得到密文和校验值包括：

所述支付TA从所述代理程序获取第一会话密钥和第二会话密钥；

所述支付TA应用第一加密算法使用所述第一会话密钥对交易数据进行加密，生成密文，所述第一加密算法为所述支付TA与所述代理程序协商的加密算法；

所述支付TA应用第二加密算法根据所述第二会话密钥和所述密文计算校验值，所述第二加密算法为所述支付TA与所述代理程序协商的加密算法；

所述代理程序根据所述校验值确定所述密文是所述支付TA发送的，包括：

所述代理程序应用所述第二加密算法根据所述第二会话密钥和所述密文计算验证值；

所述代理程序在所述验证值与所述校验值相同时，确定所述密文是所述支付TA发送的。

所述存储介质中的指令被处理器执行时还可以实现以下步骤：

所述支付TA从所述代理程序获取第一会话密钥和第二会话密钥，包括：

所述支付TA生成一对公钥和私钥；

所述支付TA将所述私钥发送给所述代理程序；

所述支付TA生成随机码并将所述随机码携带在所述会话密钥请求中发送给所述代理程序；

所述代理程序响应所述会话密钥请求，生成第一会话密钥和第二会话密钥；

所述代理程序使用所述私钥将所述第一会话密钥、所述第二会话密钥和所述随机码加密后发送给所述支付TA；

所述支付TA使用所述公钥解密出所述随机码后，使用所述公钥解密出所述第一会话密钥和所述第二会话密钥。

所述存储介质中的指令被处理器执行时还可以实现以下步骤：

所述支付TA将所述私钥发送给所述安全芯片，包括：

所述支付TA将所述私钥用TEE出厂密钥签名后，发送安全服务器，以便所述安全服务器在验签通过后将所述私钥发送给所述代理程序；

所述代理程序通过安全通道接收所述安全服务器发送的所述私钥。

所述存储介质中的指令被处理器执行时还可以实现以下步骤：

所述终端还包括安全芯片中的支付程序，所述方法还包括：

所述代理程序将所述交易数据发送给所述支付程序；

所述支付程序对所述交易数据进行加密，向所述第三方支付应用返回加密结果，使得所述第三方支付应用根据所述加密结果执行支付相关操作。

本实施例还提供了一种支付装置，所述装置包括：第三方应用、安全芯片中的代理程序、运行在可信执行环境TEE中的身份认证可信应用TA和支付TA；

用于存储所述第三方应用、代理程序、身份认证TA和支付TA可执行指令的存储器；

其中，所述支付TA被配置为：

接收所述第三方支付应用发送的交易数据；

在从所述身份认证TA中查询到所述交易数据对应的身份信息通过认证后，使用从所述代理程序获取的密钥对所述交易数据进行加密，得到密文和校验值；

将所述密文和所述校验值发送给所述代理程序；

所述代理程序被配置为：

在根据所述校验值确定所述密文是所述支付TA发送的后，对所述密文进行解密获取所述交易数据。

在一个实施例中，所述支付TA被配置为：

使用从所述代理程序获取的密钥对所述交易数据进行加密，得到密文和校验值包括：

从所述代理程序获取第一会话密钥和第二会话密钥；

应用第一加密算法使用所述第一会话密钥对交易数据进行加密，生成密文，所述第一加密算法为所述支付TA与所述代理程序协商的加密算法；

应用第二加密算法根据所述第二会话密钥和所述密文计算校验值，所述第二加密算法为所述支付TA与所述代理程序协商的加密算法；

所述代理程序被配置为：

根据所述校验值确定所述密文是所述支付TA发送的，包括：

应用所述第二加密算法根据所述第二会话密钥和所述密文计算验证值；

在所述验证值与所述校验值相同时，确定所述密文是所述支付TA发送的。

在一个实施例中，所述支付TA被配置为：

生成一对公钥和私钥；

将所述私钥发送给所述代理程序；

生成随机码并将所述随机码携带在所述会话密钥请求中发送给所述代理程序；

所述代理程序被配置为：

响应所述会话密钥请求，生成第一会话密钥和第二会话密钥；

使用所述私钥将所述第一会话密钥、所述第二会话密钥和所述随机码加密后发送给所述支付TA；

所述支付TA被配置为：

使用所述公钥解密出所述随机码后，使用所述公钥解密出所述第一会话密钥和所述第二会话密钥。

在一个实施例中，所述支付TA被配置为：

将所述私钥用TEE出厂密钥签名后，发送安全服务器，以便所述安全服务器在验签通过后将所述私钥发送给所述代理程序；

所述代理程序被配置为：

通过安全通道接收所述安全服务器发送的所述私钥。

在一个实施例中，所述终端还包括安全芯片中的支付程序，所述代理程序被配置为：

将所述交易数据发送给所述支付程序；

所述支付程序被配置为：

对所述交易数据进行加密，向所述第三方支付应用返回加密结果，使得所述第三方支付应用根据所述加密结果执行支付相关操作。

本领域技术人员在考虑说明书及实践这里公开的公开后，将容易想到本公开的其它实施方案。本申请旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由下面的权利要求指出。

应当理解的是，本公开并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本公开的范围仅由所附的权利要求来限制。

Claims (12)

1.一种支付方法，其特征在于，应用于终端，所述终端包括：第三方应用、安全芯片中的代理程序、运行在可信执行环境TEE中的身份认证可信应用TA和支付TA；

所述支付TA接收所述第三方支付应用发送的交易数据；

所述支付TA在从所述身份认证TA中查询到所述交易数据对应的身份信息通过认证后，使用从所述代理程序获取的密钥对所述交易数据进行加密，得到密文和校验值；

所述支付TA将所述密文和所述校验值发送给所述代理程序；

所述代理程序在根据所述校验值确定所述密文是所述支付TA发送的后，对所述密文进行解密获取所述交易数据；

所述支付TA使用从所述代理程序获取的密钥对所述交易数据进行加密，得到密文和校验值包括：

所述支付TA从所述代理程序获取第一会话密钥和第二会话密钥；

所述支付TA应用第一加密算法使用所述第一会话密钥对交易数据进行加密，生成密文，所述第一加密算法为所述支付TA与所述代理程序协商的加密算法；

所述支付TA应用第二加密算法根据所述第二会话密钥和所述密文计算校验值，所述第二加密算法为所述支付TA与所述代理程序协商的加密算法。

2.根据权利要求1所述的方法，其特征在于，所述代理程序根据所述校验值确定所述密文是所述支付TA发送的，包括：

所述代理程序应用所述第二加密算法根据所述第二会话密钥和所述密文计算验证值；

所述代理程序在所述验证值与所述校验值相同时，确定所述密文是所述支付TA发送的。

3.根据权利要求2所述的方法，其特征在于，所述支付TA从所述代理程序获取第一会话密钥和第二会话密钥，包括：

所述支付TA生成一对公钥和私钥；

所述支付TA将所述私钥发送给所述代理程序；

所述支付TA生成随机码并将所述随机码携带在所述会话密钥请求中发送给所述代理程序；

所述代理程序响应所述会话密钥请求，生成第一会话密钥和第二会话密钥；

所述代理程序使用所述私钥将所述第一会话密钥、所述第二会话密钥和所述随机码加密后发送给所述支付TA；

所述支付TA使用所述公钥解密出所述随机码后，使用所述公钥解密出所述第一会话密钥和所述第二会话密钥。

4.根据权利要求3所述的方法，其特征在于，所述支付TA将所述私钥发送给所述安全芯片，包括：

所述支付TA将所述私钥用TEE出厂密钥签名后，发送安全服务器，以便所述安全服务器在验签通过后将所述私钥发送给所述代理程序；

所述代理程序通过安全通道接收所述安全服务器发送的所述私钥。

5.根据权利要求1所述的方法，其特征在于，所述终端还包括安全芯片中的支付程序，所述方法还包括：

所述代理程序将所述交易数据发送给所述支付程序；

所述支付程序对所述交易数据进行加密，向所述第三方支付应用返回加密结果，使得所述第三方支付应用根据所述加密结果执行支付相关操作。

6.一种支付装置，其特征在于，应用于终端，所述装置包括：安全芯片中的代理程序、运行在可信执行环境TEE中的身份认证可信应用TA和支付TA，其中：

所述支付TA，用于接收所述第三方支付应用发送的交易数据；

所述支付TA，用于在从所述身份认证TA中查询到所述交易数据对应的身份信息通过认证后，使用从所述代理程序获取的密钥对所述交易数据进行加密，得到密文和校验值；

所述支付TA，用于将所述密文和所述校验值发送给所述代理程序；

所述支付TA，用于从所述代理程序获取第一会话密钥和第二会话密钥；

所述支付TA，用于应用第一加密算法使用所述第一会话密钥对交易数据进行加密，生成密文，所述第一加密算法为所述支付TA与所述代理程序协商的加密算法；

所述支付TA，用于应用第二加密算法根据所述第二会话密钥和所述密文计算校验值，所述第二加密算法为所述支付TA与所述代理程序协商的加密算法；

所述代理程序，用于在根据所述校验值确定所述密文是所述支付TA发送的后，对所述密文进行解密获取所述交易数据。

7.根据权利要求6所述的装置，其特征在于，

所述代理程序，用于应用所述第二加密算法根据所述第二会话密钥和所述密文计算验证值；

所述代理程序，用于在所述验证值与所述校验值相同时，确定所述密文是所述支付TA发送的。

8.根据权利要求7所述的装置，其特征在于，

所述支付TA，用于生成一对公钥和私钥；

所述支付TA，用于将所述私钥发送给所述代理程序；

所述支付TA，用于生成随机码并将所述随机码携带在所述会话密钥请求中发送给所述代理程序；

所述代理程序，用于响应所述会话密钥请求，生成第一会话密钥和第二会话密钥；

所述代理程序，用于使用所述私钥将所述第一会话密钥、所述第二会话密钥和所述随机码加密后发送给所述支付TA；

所述支付TA，用于使用所述公钥解密出所述随机码后，使用所述公钥解密出所述第一会话密钥和所述第二会话密钥。

9.根据权利要求8所述的装置，其特征在于，

所述支付TA，用于将所述私钥用TEE出厂密钥签名后，发送安全服务器，以便所述安全服务器在验签通过后将所述私钥发送给所述代理程序；

所述代理程序，用于通过安全通道接收所述安全服务器发送的所述私钥。

10.根据权利要求6所述的装置，其特征在于，所述装置还包括安全芯片中的支付程序，其中：

所述代理程序，用于将所述交易数据发送给所述支付程序；

所述支付程序，用于对所述交易数据进行加密，向所述第三方支付应用返回加密结果，使得所述第三方支付应用根据所述加密结果执行支付相关操作。

11.一种支付装置，其特征在于，所述装置包括：

第三方应用、安全芯片中的代理程序、运行在可信执行环境TEE中的身份认证可信应用TA和支付TA；

用于存储所述第三方应用、代理程序、身份认证TA和支付TA可执行指令的存储器；

其中，所述支付TA被配置为：

接收所述第三方支付应用发送的交易数据；

在从所述身份认证TA中查询到所述交易数据对应的身份信息通过认证后，使用从所述代理程序获取的密钥对所述交易数据进行加密，得到密文和校验值；

将所述密文和所述校验值发送给所述代理程序；

所述使用从所述代理程序获取的密钥对所述交易数据进行加密，得到密文和校验值包括：

从所述代理程序获取第一会话密钥和第二会话密钥；

应用第一加密算法使用所述第一会话密钥对交易数据进行加密，生成密文，所述第一加密算法为所述支付TA与所述代理程序协商的加密算法；

应用第二加密算法根据所述第二会话密钥和所述密文计算校验值，所述第二加密算法为所述支付TA与所述代理程序协商的加密算法；

所述代理程序被配置为：

在根据所述校验值确定所述密文是所述支付TA发送的后，对所述密文进行解密获取所述交易数据。

12.一种计算机可读存储介质，存储有计算机指令，其特征在于，所述计算机指令被执行时实现权利要求1至5所述方法中的步骤。

Images