(57)【要約】      （修正有）【課題】トランザクションプロバイダにおいて、安全で、反射攻撃に耐性のある、ユーザトランザクションを承認する方法およびシステムを提供する。【解決手段】ａ）ユーザの変更不能なユーザ識別特徴およびトランザクション情報をトランザクションセンタへ、提供するステップと、ｂ）トランザクションプロバイダが、前記トランザクション情報に基づいて、チャレンジを提供するステップと、ｃ）ユーザが前記チャレンジを受信した後、該ユーザが、それぞれのユーザトランザクションキーで暗号化されたユーザ位置情報等のユーザメタデータを含むレスポンスを送信するステップと、ｄ）トランザクションセンタにおいて暗号化されたユーザメタデータを復号するステップと、ｅ）復号されたレスポンスの情報を、ステップａ）に従って提供された情報と照合するステップと、ｆ）照合後、ユーザトランザクションを承認するステップとを備える。【選択図】図１
2015109621.tif 000002
【特許請求の範囲】
【請求項１】
トランザクションプロバイダ（４）においてユーザトランザクションを承認する方法において、
ａ）ユーザの１つ以上の変更不能なユーザ識別特徴およびトランザクション情報を捕捉（８）し、トランザクションセンタ（５）へ、好ましくは前記トランザクションプロバイダ経由で、提供するステップと、
ｂ）前記トランザクションプロバイダ（４）が、前記トランザクション情報に基づいて、チャレンジを提供（９）し、好ましくはブロードキャストするステップと、
ｃ）１以上のユーザ（２）が前記チャレンジを受信した後、該ユーザ（２）の１以上が、それぞれのユーザトランザクションキーで暗号化されたユーザ位置情報等の対応するユーザメタデータを含むレスポンスを送信する（１３）ステップであって、前記ユーザトランザクションキーは、それぞれのユーザ（２）の１つ以上の変更不能なユーザ識別特徴と、好ましくは、前記トランザクションセンタ（５）に登録されており当該ユーザ（２）によって指定される１つ以上のトランザクション付随手段とに基づいて生成され提供された、レスポンスを送信するステップと、
ｄ）前記トランザクションセンタにおいて前記暗号化されたユーザメタデータを復号するステップと、
ｅ）前記復号されたレスポンスの情報を、ステップａ）に従って提供された情報と照合するステップと、
ｆ）照合後、前記ユーザトランザクションを承認するステップと
を備えたことを特徴とする、トランザクションプロバイダにおいてユーザトランザクションを承認する方法。
【請求項２】
前記トランザクションセンタ（５）と前記トランザクションプロバイダ（４）との間のデータ通信が暗号化されることを特徴とする請求項１に記載の方法。
【請求項３】
前記ユーザ識別特徴を提供するためにユーザ（２）の顔情報が捕捉されることを特徴とする請求項１または２に記載の方法。
【請求項４】
ユーザ（２）のユーザデバイス（３）と前記トランザクションプロバイダ（４）との間の通信のために短距離通信方法が使用され、好ましくは該短距離通信方法がＢｌｕｅｔｏｏｔｈに基づくことを特徴とする請求項１ないし３のいずれか１項に記載の方法。
【請求項５】
前記トランザクションセンタ（５）がステップａ）に従って前記１つ以上の変更不能なユーザ識別特徴およびトランザクション情報を受信した後、前記トランザクションプロバイダ（４）が、前記チャレンジを提供する（９）ように起動されることを特徴とする請求項１ないし４のいずれか１項に記載の方法。
【請求項６】
前記１つ以上の変更不能なユーザ識別特徴を提供するために、近距離記録手段（７）、好ましくはカメラ（７）が使用され、該カメラ（７）から所定距離内のユーザ（２）を撮影することを特徴とする請求項１ないし５のいずれか１項に記載の方法。
【請求項７】
ローカルな地理的位置情報および／またはローカルなモバイル通信ネットワーク情報および／またはタイミング情報が判定され、ステップｃ）による前記ユーザメタデータに含められることを特徴とする請求項１ないし６のいずれか１項に記載の方法。
【請求項８】
照合は、受信された復号されたレスポンスの情報とステップａ）に従って提供された情報とが、位置および／またはタイミング情報に対する所定しきい値の範囲内かどうかをチェックすることを含むことを特徴とする請求項１ないし７のいずれか１項に記載の方法。
【請求項９】
照合は、ステップｃ）で受信されたレスポンスに従ってユーザ候補リストを生成し、前記１以上のユーザ（２）の登録された情報に従って前記候補リストからユーザ（２）を識別することを含むことを特徴とする請求項１ないし８のいずれか１項に記載の方法。
【請求項１０】
ステップｃ）による前記レスポンスが前記トランザクションセンタ（５）へ直接に送信されることを特徴とする請求項１ないし９のいずれか１項に記載の方法。
【請求項１１】
前記ユーザ位置情報等のユーザメタデータを分析することにより、特にユーザ位置情報が利用不能な場合に、詐欺が判定されることを特徴とする請求項１ないし１０のいずれか１項に記載の方法。
【請求項１２】
トランザクションプロバイダ（４）においてユーザトランザクションを承認するシステムであって、好ましくは、請求項１ないし１１のいずれか１項に記載の方法を実行するシステムにおいて、
ユーザ（２）の１つ以上の変更不能なユーザ識別特徴およびトランザクション情報を捕捉し、トランザクションセンタ（５）へ、好ましくは前記トランザクションプロバイダ（４）経由で、提供するように動作可能な捕捉手段（７）と、
前記トランザクションプロバイダ（４）が、前記トランザクション情報に基づいて、チャレンジを提供し、好ましくはブロードキャストするように動作可能なチャレンジ手段（９ａ）と、
１以上のユーザが前記チャレンジを受信した後、該ユーザ（２）の１以上が、それぞれのユーザトランザクションキーで暗号化されたユーザ位置情報等の対応するユーザメタデータを含むレスポンスを送信するように動作可能なレスポンス手段（３）であって、前記ユーザトランザクションキーは、それぞれのユーザ（２）の１つ以上の変更不能なユーザ識別特徴と、好ましくは、前記トランザクションセンタ（４）に登録されており当該ユーザによって指定される１つ以上のトランザクション付随手段とに基づいて生成され提供された、レスポンス手段と、
前記トランザクションセンタ（５）において前記暗号化されたユーザ位置情報を復号するように動作可能な復号手段（５ａ）と、
前記復号されたレスポンスの情報を、前記捕捉手段（７）によって提供された情報と照合するように動作可能な照合手段（５ｂ）と、
照合後、前記ユーザトランザクションを承認するように動作可能な承認手段（５ｃ）と
を備えたことを特徴とする、トランザクションプロバイダにおいてユーザトランザクションを承認するシステム。
【請求項１３】
商店（４）でユーザ（２）の支払の承認を行うための、請求項１ないし１１のいずれか１項に記載の方法および／または請求項１２に記載のシステムの利用。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、トランザクションプロバイダにおいてユーザトランザクションを承認する方法に関する。
【０００２】
また、本発明は、トランザクションプロバイダにおいてユーザトランザクションを承認するシステムであって、好ましくは、請求項１ないし１１のいずれか１項に記載の方法を実行するシステムに関する。
【０００３】
また、本発明は、請求項１ないし１１のいずれか１項に記載の方法の利用に関する。
【背景技術】
【０００４】
本発明は、概して任意のユーザトランザクションに適用可能であるが、消費財に対する支払の形態のユーザトランザクションに関して説明する。
【０００５】
従来、消費財に対する支払は例えば現金またはクレジットカードで実行可能であり、現在では、消費財に対する支払のためにＮＦＣに対応した支払も使用されている。しかしこれはユーザインタラクションを必要とする。例えば、ユーザがクレジットカードを読取機に通し、署名等をしなければならない。例えばレストランでの食事や自動車の購入等の低速のサービス時間の状況においては、長時間のユーザインタラクションが容認されている。
【０００６】
しかし、例えば自動販売機での水のボトル１本の購入、地下鉄や列車の切符の購入、ガソリンスタンドでのガソリンの購入等の高速な処理時間の状況においてユーザが商品を購入したいとき、ユーザは、カードや財布を取り出し、ＰＩＮ番号や署名を提示する等の時間を損失する。さらなる問題として、ユーザは、商店にある汎用デバイスを信頼しない。というのは、そのようなデバイスは、もはや見慣れた信頼されている売場（ＰＯＳ）端末ではないからである。このようなデバイスは、公衆にさらされ、いつ誰によって侵入されるか知れない。さらにユーザプライバシーも侵害されるおそれがある。
【０００７】
バイオメトリクス（生体認証、生体情報）に基づく従来の支払方法（例えば非特許文献１、非特許文献２または非特許文献３参照）は高価であり、追加的なユーザインタラクションを必要とする。また、それらの方法は、反射攻撃（replay attack）に対して安全でない。
【先行技術文献】
【非特許文献】
【０００８】
【非特許文献１】"Worlds' first face recognition payment system", 15 July 2013, http://uniqul.com/news/17-launch
【非特許文献２】"Discover trials Natural Security biometric payments", 5 November 2012, http://www.finextra.com/News/FullStory.aspx?newsitemid=24250
【非特許文献３】"UniCredit to roll out biometric payment system", 5 March 2013, http://www.fin-extra.com/News/FullStory.aspx?newitemid=24602
【発明の概要】
【発明が解決しようとする課題】
【０００９】
したがって、本発明の目的は、安全であって、反射攻撃に耐性のある、トランザクションプロバイダにおいてユーザトランザクションを承認する方法およびシステムを提供することである。
【００１０】
本発明のさらなる目的は、追加的なユーザインタラクションが不要な、または、最小限の追加的なユーザインタラクションしか必要としない、トランザクションプロバイダにおいてユーザトランザクションを承認する方法およびシステムを提供することである。
【００１１】
本発明のさらなる目的は、実施が容易で使いやすい、トランザクションプロバイダにおいてユーザトランザクションを承認する方法およびシステムを提供することである。
【００１２】
本発明のさらなる目的は、ユーザトランザクションの承認のためのサービス時間の高速化が可能な、トランザクションプロバイダにおいてユーザトランザクションを承認する方法およびシステムを提供することである。
【課題を解決するための手段】
【００１３】
上記の目的は、請求項１の方法および請求項１２のシステムによって達成される。
【００１４】
請求項１には、トランザクションプロバイダにおいてユーザトランザクションを承認する方法が規定される。
【００１５】
請求項１に記載の通り、本方法は、
ａ）ユーザの１つ以上の変更不能なユーザ識別特徴およびトランザクション情報を捕捉し、トランザクションセンタへ、好ましくは前記トランザクションプロバイダ経由で、提供するステップと、
ｂ）前記トランザクションプロバイダが、前記トランザクション情報に基づいて、チャレンジを提供し、好ましくはブロードキャストするステップと、
ｃ）１以上のユーザが前記チャレンジを受信した後、該ユーザの１以上が、それぞれのユーザトランザクションキーで暗号化されたユーザ位置情報等の対応するユーザメタデータを含むレスポンスを送信するステップであって、前記ユーザトランザクションキーは、それぞれのユーザの１つ以上の変更不能なユーザ識別特徴と、好ましくは、前記トランザクションセンタに登録されており当該ユーザによって指定される１つ以上のトランザクション付随手段とに基づいて生成され提供された、レスポンスを送信するステップと、
ｄ）前記トランザクションセンタにおいて前記暗号化されたユーザメタデータを復号するステップと、
ｅ）前記復号されたレスポンスの情報を、ステップａ）に従って提供された情報と照合するステップと、
ｆ）照合後、前記ユーザトランザクションを承認するステップと
を備えたことを特徴とする。
【００１６】
請求項１２には、トランザクションプロバイダにおいてユーザトランザクションを承認するシステムであって、好ましくは、請求項１ないし１１のいずれか１項に記載の方法を実行するシステムが規定される。
【００１７】
請求項１２に記載の通り、本システムは、
ユーザの１つ以上の変更不能なユーザ識別特徴およびトランザクション情報を捕捉し、トランザクションセンタへ、好ましくは前記トランザクションプロバイダ経由で、提供するように動作可能な捕捉手段と、
前記トランザクションプロバイダが、前記トランザクション情報に基づいて、チャレンジを提供し、好ましくはブロードキャストするように動作可能なチャレンジ手段と、
１以上のユーザが前記チャレンジを受信した後、該ユーザの１以上が、それぞれのユーザトランザクションキーで暗号化されたユーザ位置情報等の対応するユーザメタデータを含むレスポンスを送信するように動作可能なレスポンス手段であって、前記ユーザトランザクションキーは、それぞれのユーザの１つ以上の変更不能なユーザ識別特徴と、好ましくは、前記トランザクションセンタに登録されており当該ユーザによって指定される１つ以上のトランザクション付随手段とに基づいて生成され提供された、レスポンス手段と、
前記トランザクションセンタにおいて前記暗号化されたユーザ位置情報を復号するように動作可能な復号手段と、
前記復号されたレスポンスの情報を、前記捕捉手段によって提供された情報と照合するように動作可能な照合手段と、
照合後、前記ユーザトランザクションを承認するように動作可能な承認手段と
を備えたことを特徴とする。
【００１８】
請求項１３には、商店でユーザの支払の承認を行うための、請求項１ないし１１のいずれか１項に記載の方法および／または請求項１２に記載のシステムの利用が規定される。
【００１９】
本発明によって認識されたこととして、反射攻撃への耐性および汎用デバイスが危険にさらされることに対する耐性が得られる。
【００２０】
また、本発明によって認識されたこととして、バイオメトリクス、位置、トランザクション等のユーザ個人情報が第三者に漏洩しないため、プライバシーが保障される。
【００２１】
また、本発明によって認識されたこととして、ユーザのメタデータ情報を使用することにより、誤識別が回避され、あるいは少なくとも大幅に低減される。
【００２２】
また、本発明によって認識されたこととして、ユーザトランザクションを承認するためのユーザの識別が高速化される。
【００２３】
また、本発明によって認識されたこととして、煩雑で高価な暗号方式が不要なため、効率が向上する。
【００２４】
また、本発明によって認識されたこととして、エネルギー使用量が低減され、特に、例えばエネルギーが制限されたデバイスのバッテリが節約される。
【００２５】
また、本発明によって認識されたこととして、トランザクションプロセスにおいて最小限のユーザインタラクションしか必要でないため、使いやすさが得られる。また、高機能のモバイルデバイスを備えていないユーザも、本発明による方法およびシステムを利用することができる。
【００２６】
さらなる特徴、利点および好ましい実施形態は、後続の従属請求項に記載される。
【００２７】
好ましい実施形態によれば、前記トランザクションセンタと前記トランザクションプロバイダとの間のデータ通信が暗号化される。これにより、トランザクションセンタとトランザクションプロバイダとの間でデータを交換あるいは送信する際の安全性が向上する。
【００２８】
さらに好ましい実施形態によれば、前記ユーザ識別特徴を提供するためにユーザの顔情報が捕捉される。ユーザの顔の１つ以上の顔特徴を捕捉することにより、生体データが取得される。これにより、ユーザインタラクションが最小化される。というのは、顔情報は、例えばユーザが商店内の机の前等の位置に立っているときに受動的に取得可能だからである。この情報を提供するために署名等は不要である。したがって、使いやすさが得られる。顔生体情報は各ユーザに固有であるので、安全性も向上する。
【００２９】
さらに好ましい実施形態によれば、ユーザのユーザデバイスと前記トランザクションプロバイダとの間の通信のために短距離通信方法が使用され、好ましくはこの短距離通信方法はＢｌｕｅｔｏｏｔｈ（登録商標、以下同じ。)に基づく。短距離通信方法は、安全性の向上した、位置が限定された通信チャネルを提供する。すなわち、データ通信は、ユーザあるいはトランザクションプロバイダの位置の周りの近距離に限定される。また、短距離通信方法は、大規模なハードウェアを使用せず、高速で効率的な通信が可能である。特に、短距離通信方法をＢｌｕｅｔｏｏｔｈとした場合、スマートフォン等のほとんどのモバイルユーザデバイスは現在Ｂｌｕｅｔｏｏｔｈを装備しているので、この方法の広範囲で安全な使用が可能となる。
【００３０】
さらに好ましい実施形態によれば、前記トランザクションセンタがステップａ）に従って前記１つ以上の変更不能なユーザ識別特徴およびトランザクション情報を受信した後、前記トランザクションプロバイダが、前記チャレンジを提供するように起動される。これにより、トランザクションプロバイダによるチャレンジの提供をトランザクションセンタが開始させることが容易に可能となる。こうして、自動的で高速なチャレンジ送信が可能となる。
【００３１】
さらに好ましい実施形態によれば、前記１つ以上の変更不能なユーザ識別特徴を提供するために、近距離記録手段、好ましくはカメラが使用され、該カメラから所定距離内のユーザを撮影する。近距離記録手段は、例えば商店内の他のユーザのプライバシーを保障する。というのは、前記１つ以上の変更不能なユーザ識別特徴が、該近距離記録手段の周りの近距離内でのみ判定されるからである。すなわち、この近距離内のユーザのみが記録され、あるいは、そのユーザの顔が捕捉され、対応する１つ以上の変更不能なユーザ識別特徴が、トランザクションを承認するためにトランザクションセンタに提供される。周囲の他のユーザは記録されない。
【００３２】
さらに好ましい実施形態によれば、ローカルな地理的位置情報および／またはローカルなモバイル通信ネットワーク情報および／またはタイミング情報が判定され、ステップｃ）による前記ユーザメタデータに含められる。地理的位置情報および／またはローカルなモバイル通信ネットワーク情報および／またはタイミング情報は、前記１つ以上の変更不能なユーザ識別特徴に基づく複雑な生体ユーザ認識アルゴリズムを使用せずに、安全性や反射攻撃に対する耐性を容易に提供する。例えば、指紋生体情報を用いる際には複雑な生体認識を行わなければならないし、トランザクションが写真や仮面を用いて実行される可能性もある。また、指紋を提示するためには長時間のユーザインタラクションが必要であることはいうまでもない。
【００３３】
さらに好ましい実施形態によれば、照合は、受信された復号されたレスポンスの情報とステップａ）に従って提供された情報とが、位置および／またはタイミング情報に対する所定しきい値の範囲内かどうかをチェックすることを含む。この場合、トランザクションセンタは、照合ステップで非常に高速に、識別のための可能性のあるユーザ数を縮小することができ、ユーザトランザクションが承認されるか否かを決定するためのユーザの識別を高速かつ確実にすることができる。
【００３４】
さらに好ましい実施形態によれば、照合は、ステップｃ）で受信されたレスポンスに従ってユーザ候補リストを生成し、前記１以上のユーザの登録された情報に従って前記候補リストからユーザを識別することを含む。これにより、ユーザトランザクションの承認の容易な実施と、そのための容易かつ高速なユーザの識別が可能となる。
【００３５】
さらに好ましい実施形態によれば、ステップｃ）による前記レスポンスが前記トランザクションセンタへ直接に送信される。これにより、例えば共通の通信方法の欠如によりユーザデバイスからトランザクションプロバイダへの通信が不可能な場合であっても、トランザクションがトランザクションセンタによって承認されることが可能となる。したがって、フレキシビリティが向上する。
【００３６】
さらに好ましい実施形態によれば、前記ユーザ位置情報等のユーザメタデータを分析することにより、特にユーザ位置情報が利用不能な場合に、詐欺が判定される。これにより、詐欺を検出し判定することが容易に可能となる。
【００３７】
本発明を好ましい態様で実施するにはいくつもの可能性がある。このためには、一方で請求項１に従属する諸請求項を参照しつつ、他方で図面により例示された本発明の好ましい実施形態についての以下の説明を参照されたい。図面を用いて本発明の好ましい実施形態を説明する際には、本発明の教示による好ましい実施形態一般およびその変形例について説明する。
【図面の簡単な説明】
【００３８】
【図１】本発明の第１の実施形態によるシステムおよび方法を示す図である。
【図２】本発明の第２の実施形態による方法のステップを示す図である。
【図３】本発明の第３の実施形態による方法の上位ステップを示す図である。
【図４】本発明の第４の実施形態による方法のステップの一部を示す図である。
【図５】本発明の第５の実施形態による方法のステップの一部を示す図である。
【図６】本発明の第６の実施形態による方法のステップの一部を示す図である。
【発明を実施するための形態】
【００３９】
図１は、本発明の第１の実施形態によるシステムおよび方法を示している。
【００４０】
図１において、ユーザ２は、商人の商店４内のカメラ７の前に立っている。カメラ７は、ユーザ２の顔写真を撮影する（参照符号８）。すなわち、ユーザ２すなわち顧客は、所望のユーザトランザクションに対する同意を示して、カメラ７の前で生体情報を提示する。提示された生体情報が、特に後の識別のために、十分であるか否かをチェックするために、商店４内のディスプレイ６が使用されてもよい。十分でない場合、顧客すなわちユーザ２は、カメラ７の前で自己の生体情報を再び提示しなければならない。そして、商人は、ユーザ２が承認を希望するトランザクションのトランザクション情報とともに、捕捉した顔写真を含むメッセージＣｏｎｓｅｎｔを、支払センタ５へ送信する。メッセージＣｏｎｓｅｎｔは、さらに、商人識別情報と、商人の通信デバイスの署名とを含む。メッセージＣｏｎｓｅｎｔは、さらに、商人４と支払センタ５との間で共有されている共有キーＫｍで暗号化されたデータを含む。共有キーＫｍは、カメラ７で撮影したユーザ２の顔の画像、トランザクション細目、およびタイムスタンプを暗号化するために使用される。上記ですでに述べたように、このメッセージをＣｏｎｓｅｎｔと呼び、図１では参照符号１０で表している。一方で、商人４は、チャレンジ手段９ａにより、短距離（例えばＢｌｕｅｔｏｏｔｈ）通信デバイスの到達範囲内のユーザデバイス３へチャレンジをブロードキャスト（９）している。チャレンジは、特に、トランザクションＩＤを含む。トランザクションＩＤは、トランザクションデータのハッシュ値として定義されてもよい。
【００４１】
チャレンジ後、ユーザ２のモバイルデバイス３を含むユーザデバイスが、対応するユーザのクレデンシャルで暗号化された自己のローカル情報を商人４へ返送する。そして、このいわゆるビーコンあるいはビーコンメッセージ（参照符号１１で表す）は、好ましくは商人４経由で、Ｃｏｎｓｅｎｔ１０とともに支払センタ５へ転送される。ビーコン１１は、当該ユーザのユーザＩＤと、ユーザキーＫｕで暗号化された情報とを含む。ユーザキーＫｕは、ユーザ２と支払センタ５との間で共有されている。この情報は、ユーザＩＤ、ユーザの位置、対応するタイムスタンプおよび商人のチャレンジから取得されたトランザクションＩＤを含む。
【００４２】
そして、支払センタ５は、復号手段５ａにより、Ｃｏｎｓｅｎｔ１０と、トランザクションＩＤによって対にされた受信されたすべてのビーコン１１とを復号し、位置およびタイムスタンプが例えばメッセージＣｏｎｓｅｎｔ１０からの情報によるしきい値の範囲内にあるビーコン１１を選び出す。そして、受信された画像データに対する顔識別プロセスを実行するために、ユーザＩＤの候補リストが生成される。好ましくは、高々１つの有効な候補が求められ、トランザクション認証プロセスのために使用される。照合手段５ｂを使用することによってユーザＩＤを照合した後、支払センタ５における対応するユーザのアカウントが課金され、承認手段５ｃによって、トランザクション情報がそのユーザのユーザデバイス３に提供される（参照符号１２）。識別プロセスが失敗した場合、支払センタ５は、他の入力生体情報に一致するものを見つけるために、データベース全体を検索する。
【００４３】
位置情報を提供するビーコン１１は、トランザクションの安全性およびパフォーマンスを向上させる。すなわち、ビーコン１１により、トランザクションが行われる時に商店内に所在する選別された候補リストが得られる。したがって、識別プロセスは、まず候補リストに対して実行される。これは、データベース全体をチェックするよりもはるかに小さいデータセットである。さらに、トランザクションプロセス中のユーザの位置が存在しない場合には警告を発してもよい。これは、詐欺検出のために使用可能である。
【００４４】
図２は、本発明の第２の実施形態による方法のステップを示している。
【００４５】
図２において、第１のステップａ）は、１つ以上の変更不能なユーザ識別特徴およびトランザクション情報を捕捉し、トランザクションセンタへ、好ましくは前記トランザクションプロバイダ経由で、提供することにより実行される。
【００４６】
第２のステップｂ）は、前記トランザクションプロバイダが、前記トランザクション情報に基づいて、チャレンジを提供し、好ましくはブロードキャストすることにより実行される。
【００４７】
第３のステップｃ）は、１以上のユーザが前記チャレンジを受信した後、該ユーザの１以上が、それぞれのユーザトランザクションキーで暗号化されたユーザ位置情報等の対応するユーザメタデータを含むレスポンスを送信することにより実行される。前記ユーザトランザクションキーは、それぞれのユーザの１つ以上の変更不能なユーザ識別特徴と、好ましくは、前記トランザクションセンタに登録されており当該ユーザによって指定される１つ以上のトランザクション付随手段とに基づいて生成され提供されたものである。
【００４８】
第４のステップｄ）は、前記トランザクションセンタにおいて前記暗号化されたユーザメタデータを復号することにより実行される。
【００４９】
第５のステップｅ）は、前記復号されたレスポンスの情報を、ステップａ）に従って提供された情報と照合することにより実行される。
【００５０】
第６のステップｆ）は、照合後、前記ユーザトランザクションを承認することにより実行される。
【００５１】
図３は、本発明の第３の実施形態による方法の上位ステップを示している。
【００５２】
図３には、登録Ｒと、支払Ｐの形態のトランザクションとの上位ステップが示されている。
【００５３】
登録段階Ｒにおいて、ユーザ２は支払センタ５に登録を行う。ユーザ２は、支払センタ５に保存されて後で顔識別のために使用される自己の画像を提供する。このとき、ユーザ２は、自己のトランザクション細目（例えばクレジットカード細目や銀行口座細目）も登録し、支払センタ５との間で使用される共有暗号化キーを設定する。そして、ユーザ２は、自己のユーザデバイス３にインストールするアプリケーションをダウンロードしてもよい。これは、特に、設定された共有暗号化キーがあらかじめロードされている。さらに、ユーザ２は、トランザクションのために使用される、または、ある特定のトランザクションに限定される、特殊目的デバイス３を入手することも可能である。
【００５４】
トランザクション段階Ｐ（ここでは支払段階）において、ユーザ２は、支払に対する同意の一形態として、商店のカメラの付近に立つ。ユーザ２によって支払われるべき品目の商人は、ユーザ２によって実行されるトランザクションの細目をディスプレイ６（例えば、ドットマトリクスディスプレイやＬＣＤディスプレイ６）に表示してもよい。例えば、表示されるトランザクション細目あるいはトランザクション情報は、支払対象の数量、商人の識別情報、商品の情報等を含む。また、ユーザ２は、安全な形で位置情報を提供することにより、支払センタ５がこの情報を確認のために使用できるようにする。特に確認は、ユーザが自己のトランザクションを実行しようとするのと同時に、ユーザ２あるいはユーザデバイス３が商店内に所在することに基づく。位置情報は、ユーザインタラクションなしにユーザ２のモバイルデバイス３により、および／または、位置情報を送信する特殊目的デバイスを使用することにより、送信されることが可能である。
【００５５】
したがって、登録プロセスＲは以下のように実行可能である。
１）ユーザが支払センタへ行き、自己の顔生体情報および銀行口座情報を登録する。
２）各ユーザは、自己のモバイルデバイスにアプリケーションをインストールする。オプションとして、自己の電話機がＢｌｕｅｔｏｏｔｈを備えていない場合、Ｂｌｕｅｔｏｏｔｈ対応デバイスを入手することもできる。
３）支払センタは、カメラの至近距離でのみ、顔形を保存する。
４）ユーザと支払センタとの間の共有クレデンシャルが登録プロセス中に生成され、ユーザの仮名ユーザＩＤとともにユーザのデバイスにインストールされる。
【００５６】
また、トランザクションプロセスＰは以下のように実行可能である。
１）ユーザは、商店でトランザクションを承認したいとき、同意した場所に立ち、カメラが写真を撮影できるようにする。写真は、トランザクション情報とともに、Ｃｏｎｓｅｎｔとして支払センタへ送信される。
２）一方で、商人のＰＯＳが、短距離Ｂｌｕｅｔｏｏｔｈを用いて、到達距離内のユーザデバイスへチャレンジをブロードキャストするように起動される。
３）チャレンジ後、ユーザが保持しているデバイスが、自己の位置およびタイムスタンプであるビーコンを商人のＰＯＳへ返送する。ビーコンは、ユーザにあらかじめ割り当てられたクレデンシャルで暗号化されている。そして、ビーコンは、Ｃｏｎｓｅｎｔとともに支払センタへ転送される。
４）支払センタが、Ｃｏｎｓｅｎｔおよびビーコンのリストを復号し、候補リストを生成する。そして、ユーザが候補リストから識別され、それにより、識別されたユーザが課金される。
５）最後に、該当する場合、トランザクション情報が、識別されたユーザへ送信される。
【００５７】
図４は、本発明の第４の実施形態による方法のステップの一部を示している。
【００５８】
図４には、登録段階Ｒ中のステップが、より詳細に示されている。
【００５９】
第１のステップ１Ｒで、ユーザが支払センタ５へ行き、自己の顔生体情報および銀行口座情報を登録する。
【００６０】
第２のステップ２Ｒで、ユーザは、自己のモバイルデバイスにアプリケーションをインストールする。オプションとして、ユーザのモバイルデバイスがＢｌｕｅｔｏｏｔｈに対応していない場合、Ｂｌｕｅｔｏｏｔｈ対応デバイスを取得する。
【００６１】
第３のステップ３Ｒで、支払センタ５は、カメラ７の至近距離で、ユーザ２の顔形を保存する。すべてのクラシファイアおよび学習アルゴリズムは、各ユーザ２の顔形テンプレートを構築するために、このような近接した顔形に基づくことが可能である。これにより、支払時には、カメラ７に近い顔形のみが、支払センタ５によって受理されるようにすることが可能である。ユーザ２がこのような接写の顔写真の撮影に合意する場合、これは、ユーザが実行しようとしているトランザクションに対する承認とみなされると仮定する。このような写真は、ユーザ２が支払に合意した場合にのみ撮影することができる。
【００６２】
第４のステップ４Ｒで、ユーザ２と支払センタ５との間の共有キーＫｕが登録段階Ｒ中に生成され、ユーザの仮名ユーザ識別情報ｕｉｄとともにユーザのモバイルデバイス３にインストールされる。
【００６３】
登録段階Ｒが終了した後、ユーザ２は、商人に対して顔認証支払を行い、「顔で」支払をすることができる。以下、商人は、トランザクション情報を表示するためのディスプレイ６と、理想的には明確な写真撮影およびトランザクション承認のための明確な焦点を有するカメラ７とを備えたＰＯＳデバイスを有すると仮定する。特に、これは、ユーザ２が顔形捕捉および確認を指示することができるフロントカメラを備えたディスプレイ、または、完全な顔形捕捉のためにあごを載せる台を前方に備えたカメラの形態で提供されてもよい。また、ユーザは、ＧＰＳおよび／または他の位置決定方法と、Ｂｌｕｅｔｏｏｔｈ、ＷｉＦｉ、３Ｇ等の通信機能のような短距離通信または位置限定チャネルとに対応したモバイルデバイスを有すると仮定する。ユーザは、自己または他のモバイル事業者の位置決定サービスによって位置決定されてもよい。
【００６４】
例えば、短距離通信を提供する短距離通信インタフェースが、例えばモバイルデバイスのバッテリを節約するために常時オンではない場合、モバイルデバイスは、ユーザ２が顔認証支払に対応した商店の通信距離内に位置するとき（これは、商店のＷｉＦｉのＳＳＩＤをスキャンすることによって、またはＧＰＳおよび／または位置情報を用いて、判定することができる）にはいつでも、Ｂｌｕｅｔｏｏｔｈ等の短距離通信インタフェースが起動されてオンに切り替わり、通信のためにアクティブになるように設定可能である。
【００６５】
図５には、支払の形態で、詳細な支払トランザクションプロセスが示されている。
【００６６】
図５は、本発明の第５の実施形態による方法のステップの一部を示している。
【００６７】
第１のステップ１Ｐで、ユーザがトランザクションを承認したいとき、ユーザ２は、商店内の同意した場所に立ち、カメラ７が写真を撮影できるようにする。カメラ７の写真は、トランザクション情報とともに、次の形態で支払センタ５へ送信される。
Ｃｏｎｓｅｎｔ＝〈ｍｉｄ，ＥｎｃＫｍ（Ｉｍｇ，ＴｒａｎｓＤａｔａ，ｔｓｃ），Ｓｉｇｍ〉
ただし、ｍｉｄは商人ＩＤ、Ｋｍは商人と支払センタ５との間の共有キー、Ｉｍｇはカメラ７によって撮影された顔の画像、ＴｒａｎｓＤａｔａはトランザクション細目、ｔｓｃはタイムスタンプ、Ｓｉｇｍはメッセージに対する商人デバイス４の署名である。
【００６８】
第２のステップ２Ｐで、商人のＰＯＳが、Ｂｌｕｅｔｏｏｔｈ等の短距離通信方法を用いて、到達距離内、例えば、商店の大きさ等に対応する到達距離内のユーザデバイス３へチャレンジをブロードキャストするように起動される。チャレンジは次の形態で提供される。
チャレンジ＝ｔｉｄ＝Ｈ（ＴｒａｎｓＤａｔａ）
ただし、ｔｉｄはトランザクションデータのハッシュ値として定義されるトランザクションＩＤである。
【００６９】
第３のステップ３Ｐで、チャレンジ後、モバイルユーザデバイス３上の支払アプリケーションが、対応するユーザクレデンシャルで暗号化されたモバイルデバイス３の位置ビーコンを商人のＰＯＳ４へ返送する。そして、ビーコン１１は、Ｃｏｎｓｅｎｔ１０とともに支払センタ５へ転送される。ビーコン１１は次の形態で提供される。
ビーコン＝〈ｕｉｄ，ＥｎｃＫｍ（ｕｉｄ，ｌｏｃ，ｔｓ，ｔｉｄ）〉
ただし、ｌｏｃはユーザデバイス３の地理的位置、ｔｓはタイムスタンプである。
【００７０】
第４のステップ４Ｐで、支払センタ５が、Ｃｏｎｓｅｎｔメッセージ１０と、トランザクションＩＤによって対にされたビーコン１１のリストとを復号し、位置およびタイムスタンプｔｓが、Ｃｏｎｓｅｎｔメッセージ１０からの情報に基づくしきい値の範囲内にあるビーコン１１を選び出す。
【００７１】
そして、写真データＩｍｇに対する顔識別を実行するためにユーザＩＤの候補リスト（理想的には高々１つの有効な候補）を生成する。そして、認証プロセスを実行する。ユーザＩＤの照合後、支払センタ５における対応するユーザのアカウントが課金され、トランザクション情報がそのユーザのモバイルデバイス３へ送信される。識別プロセスが失敗した場合、支払センタ５は、写真に一致する入力生体情報を見つけるために、データベース全体を検索してもよい。
【００７２】
Ｂｌｕｅｔｏｏｔｈ、ＷｉＦｉ等の上記の短距離通信は、小電力対応のアクセスポイントを使用することによって提供されてもよい。例えば、このようなアクセスポイントは、到達距離が限定されていてもよいし、例えば商人４の商店の小さいエリア内でのみ短距離通信を提供してもよい。
【００７３】
図６は、本発明の第６の実施形態による方法のステップの一部を示している。
【００７４】
図６のステップは、短距離通信方法が利用可能でない場合に実行される。この場合、例えばユーザ２のモバイルネットワーク事業者経由で、支払センタ５への直接のチャネルを使用するオプションが提供される。
【００７５】
第１のステップ１′Ｐで、ユーザ２が顔認証対応の商店の通信範囲内に位置するとき、ユーザ２の対応するモバイルデバイス３が、支払センタ５に自己の最新の地理的位置を登録するために、次のビーコン１１を送信する。
ビーコン＝〈ｕｉｄ，ＥｎｃＫｍ（ｕｉｄ，ｌｏｃ，ｔｓ）〉
ただし、ｌｏｃは対応するユーザデバイス３の地理的位置、ｔｓはタイムスタンプである。別法として、位置ｌｏｃは、モバイルネットワーク事業者によって直接に支払センタ５に提供されることも可能である。
【００７６】
第２のステップ２′Ｐで、ユーザのうちの一人が、同意した場所に移動し、カメラ７に対して、ユーザトランザクションを承認するための写真を撮影するように指示する。写真は、トランザクション情報とともに、次のＣｏｎｓｅｎｔメッセージ１０の形態で支払センタ５へ送信される。
Ｃｏｎｓｅｎｔ＝〈ｍｉｄ，ＥｎｃＫｍ（Ｉｍｇ，ＴｒａｎｓＤａｔａ，ｔｓｃ），Ｓｉｇｍ〉
ただし、ｍｉｄは商人ＩＤ４、Ｋｍは商人と支払センタ５との間の共有キー、Ｉｍｇはカメラ７によって撮影された顔の画像、ＴｒａｎｓＤａｔａはトランザクション細目、ｔｓｃはタイムスタンプ、ＳｉｇｍはＣｏｎｓｅｎｔメッセージ１０に対する商人デバイス４の署名である。
【００７７】
第３のステップ３′Ｐで、支払センタ５が、Ｃｏｎｓｅｎｔメッセージ１０を復号し、ユーザが商店４の到達可能範囲内に所在することを位置ビーコン１１が示しているユーザ２を選び出す。そして、支払センタ５に提供された写真に対して顔識別プロセスを実行するために、ユーザＩＤの候補リストが生成される。ユーザＩＤ（ｕｉｄ）の照合後、対応するユーザのアカウントが課金され、トランザクション情報がそのユーザのモバイルデバイス３へ送信される。識別プロセスが失敗した場合、支払センタ５は、入力生体情報を照合するために、登録ユーザのデータベース全体を検索する。
【００７８】
位置情報を提供するビーコンは、安全性およびパフォーマンスの点で、支払センタ５に利点を提供する。すなわち、これにより、ユーザトランザクションが行われる時に商店内に所在する選別された候補リストが得られる。したがって、識別プロセスは、まず候補リストに対して実行される。これは、登録ユーザのデータベース全体よりもはるかに小さいデータセットである。さらに、トランザクションプロセス中のユーザの位置が存在しない場合には警告を発してもよい。これは、詐欺検出のために使用可能である。
【００７９】
要約すれば、本発明によれば、カメラへの近接性に従って顔形を分類することが可能となるため、近接した顔形のみが受理される。また、本発明は、生体識別チャレンジの新しさを保つために、ユーザが保持するデバイスの位置やタイムスタンプのようなメタデータ情報を利用することにより、安全で効率的なトランザクションを提供する。これは、トランザクションプロセスにおける長時間のユーザインタラクションを必要とせずに、反射攻撃を防止し、識別を高速化する。
【００８０】
また、本発明は、使いやすさによって安全性を損なうことはなく、すべてのサービス、特に、高速なサービス時間を有する（あるいは有するとみなされる）サービスに使用可能である。本発明は、トランザクション中のオーバーヘッド時間を最小限のみとすることが可能であり、実施が容易で配備は安価である。
【００８１】
上記の説明および添付図面の記載に基づいて、当業者は本発明の多くの変形例および他の実施形態に想到し得るであろう。したがって、本発明は、開示した具体的実施形態に限定されるものではなく、変形例および他の実施形態も、添付の特許請求の範囲内に含まれるものと解すべきである。本明細書では特定の用語を用いているが、それらは総称的・説明的意味でのみ用いられており、限定を目的としたものではない。
【図１】
2015109621.tif 000003
【図２】
2015109621.tif 000004
【図３】
2015109621.tif 000005
【図４】
2015109621.tif 000006
【図５】
2015109621.tif 000007
【図６】
2015109621.tif 000008
【外国語明細書】
METHOD AND SYSTEM FOR APPROVING A USER TRANSACTION 
The present invention relates to a method for approving a user transaction at a transaction provider. 
The present invention further relates to a system for approving a user transaction at a transaction provider, preferably for performing with a method according to one of the claims 1-11. 
The present invention even further relates to a use of a method according to one of the claims 1-11. 
Although applicable in general to any user transaction the present invention will be described with regard to a user transaction in form of paying for a consumer item. 
Conventionally payment for a consumer item can be performed for example in cash or via credit cards and nowadays also NFC-enabled payments are also used for payment of a consumer item. However, this requires user interactions, such as users have to swipe their credit cards, making signatures or the like. Extensive user interaction is tolerated in scenarios having a low service time, for example when dining in a restaurant or buying a car or the like. 
However, when users want to purchase goods in scenarios having a fast process time, for example buying a bottle of water from a vending machine, buying metro or train tickets, buying fuel at a fuel station or the like, users lose time when taking out their cards and wallets, providing a pin or a signature, etc.. A further problem is, that users do not trust on the commodity devices in the shops since they are no longer the familiar trusted point-of-sale terminals. These devices are exposed to public and could be hacked by anyone at anytime. Even further user privacy can be violated. 
Conventional payment methods, that rely on biometrics, see for example “Worlds' first face recognition payment system”, 15 July 2013, http://uniqul.com/news/17-launch, “Discover trials Natural Security biometric payments”, 5 November 2012, http://www.finextra.com/News/FullStory.aspx?newsitemid=24250 or “UniCredit to roll out biometric payment system”, 5 March 2013, http://www.fin-extra.com/News/FullStory.aspx?newitemid=24602, are expensive and require additional user interaction. Further they are unsecure in terms of replay attacks. 
It is therefore an objective of the present invention to provide a method and a system for approving a user transaction at a transaction provider which are secure and provide resistance against replay attacks. 
It is a further objective of the present invention to provide a method and a system for approving a user transaction at a transaction provider which require no additional or only minimal additional user interaction. 
It is an even further objective of the present invention to provide a method and a system for approving user transaction at a transaction provider which are easy to implement and user-friendly. 
It is an even further objective of the present invention to provide a method and a system for approving a user transaction at a transaction provider which enable a fast service time for approval of a user transaction. 
The aforementioned objectives are accomplished by a method of claim 1 and a system of claim 12. 
In claim 1 a method for approving a user transaction at a transaction provider is defined. 
According to claim 1 the method is characterized by the steps of 
a)    capturing and providing one or more unchangeable user identification features of a user and transaction information, preferably via the transaction provider, to a transaction center,
b)    providing, preferably broadcasting, a challenge by the transaction provider based on the transaction information,
c)    upon receiving the challenge by one or more users sending a response by one or more of the users including corresponding user meta-data like user location information encrypted with a respective user transaction key, wherein the corresponding user transaction key was generated and provided based on one or more unchangeable user identification features of the respective user and preferably one or more transaction accompanying means specified by the corresponding user, which have been registered at the transaction center,
d)    decrypting the encrypted user meta-data at the transaction center,
e)    matching the information of the decrypted responses with the information provided according to step a) and 
f)    upon matching approving the user transaction.
In claim 12 a system for approving a user transaction at a transaction provider is defined, preferably for performing with a method according to one of the claims 1-11. 
According to claim 12 the system is characterized by 
Capturing means operable to capture and provide one or more unchangeable user identification features of a user and transaction information, preferably via the transaction provider, to a transaction center,
Challenging means operable to provide, preferably broadcasting, a challenge by the transaction provider based on the transaction information,
Response means operable to send a response by one or more of the users upon receiving the challenge by one or more users including corresponding user meta-data like user location information encrypted with a respective user transaction key, wherein the corresponding user transaction key was generated and provided based on one or more unchangeable user identification features of the respective user and preferably one or more transaction accompanying means specified by the corresponding user, which have been registered at the transaction center, 
Decrypting means operable to decrypt the encrypted user location information at the transaction center,
Matching means operable to match the information of the decrypted responses with the information provided by the capturing means and 
Approving means operable to approve the user transaction upon matching.
In claim 13 the use of the method according to one of the claims 1-11 and/or of the system according to claim 12 for providing approval of a payment of a user at a shop is defined. 
According to the invention it has been recognized that resilience to replay attacks and resilience to commodity devices from being compromised is enabled. 
According to the invention it has been further recognized that user personal information like biometrics, location, transaction, etc. are not leaked to third entities, thus ensuring privacy. 
According to the invention it has been further recognized that by using meta-data information of a user false identifications are avoided respectively are at least significantly reduced. 
According to the invention it has been further recognized that the identification of a user for approving a user transaction is sped up. 
According to the invention it has been further recognized that the efficiency is enhanced since cumbersome and expensive cryptography is not needed. 
According to the invention it has been further recognized that energy usage is reduced, in particular for instance batteries of energy-limited devices are conserved. 
According to the invention it has been further recognized that user friendliness is enabled since no respectively only minimal user interaction in the transaction process is needed. Further also users can use the method and the system according to the invention who are not equipped with high technology mobile devices. 
Further features, advantages and preferred embodiments are described in the following subclaims. 
According to a preferred embodiment the data communication between the transaction center and the transaction provider is encrypted. This enhances further the security when exchanging or transmitting data between the transaction center and the transaction provider. 
According to a further preferred embodiment facial information of the user is captured for providing the user identification features. By capturing one or more facial features of the user face biometrical data is obtained. This minimizes user interaction since facial information can be passively obtained, for example when the user stands in front of a desk or at a certain location within a shop. No signature or the like is needed to provide this information. Thus user friendliness is provided. Security is also enhanced, since facial biometrics are unique to each user. 
According to a further preferred embodiment a short range communication method is used for communicating between a user device of the user and the transaction provider, preferably wherein this short range communication method is based on Bluetooth. A short range communication method provides a location-limited communication channel enhancing security: Data communication is limited to a close distance around the location of the user respectively the transaction provider. Further short range communication methods do not use extensive hardware respectively allow a fast and efficient communication. In particular in case of Bluetooth as a short range communication method most mobile user devices like smartphones, etc. are nowadays equipped with Bluetooth, therefore enable a wide-spread and secure use of the method. 
According to a further preferred embodiment the transaction provider is triggered for providing the challenge upon receiving the one ore more unchangeable user identification features and transaction information according to step a) by the transaction center. This enables in an easy way to initiate the transaction provider to provide the challenge by the transaction center. Thus, an automatic and fast challenging is enabled. 
According to a further preferred embodiment for providing the one or more unchangeable user identification features close-distance-recording means are used, preferably a camera taking pictures of users within a predetermined distance from the camera. Close-distance-recording means ensure privacy of other users for example in a shop since the one or more unchangeable user identification features are only determined within a close distance around the close-distance-recording means: Only users within this close distance are recorded respectively their face is captured and their corresponding one or more unchangeable user identification features are provided to the transaction center for approving the transaction. Other users around are not recorded. 
According to a further preferred embodiment local geographic location information and/or local mobile communication network information and/or timing information are determined and included in the user meta-data according to step c). Geographic location information and/or local mobile communication network information and/or timing information provide in an easy way security respectively resilience against replay attacks instead of using complicated liveness-user recognition algorithms based on the one or more unchangeable user identification features. For example, when using a biometrical finger print complicated liveness recognition has to be provided, otherwise the transaction may also be performed with a picture or mask. Not to mention the requirement of extensive user interaction for providing the fingerprint. 
According to a further preferred embodiment matching includes checking whether information of the received decrypted responses and the information provided according to step a) fulfill predetermined thresholds for location and/or timing information. The transaction center can then shrink the number of potential users for identification very fast within the matching step allowing a fast and reliable identification of a user for deciding whether the user transaction is approved or not. 
According to a further preferred embodiment matching includes generating of a user candidate list according to the received responses in step c) and identifying a user out of the candidate list according to the registered information for the one or more users. This allows an easy implementation and an easy and fast identification of a user for approving the user transaction. 
According to a further preferred embodiment the response according to step c) is sent directly to the transaction center. This ensures that even in case a communication from the user device to the transaction provider is not possible, for example due to a lack of a common communication method, the transaction can be approved by the transaction center. Thus, flexibility is enhanced. 
According to a further preferred embodiment fraud is determined by analyzing the user meta-data like user location information, in particular in case user location information is unavailable. This enables in an easy way to detect and determine fraud. 
There are several ways how to design and further develop the teaching of the present invention in an advantageous way. To this end it is to be referred to the patent claims subordinate to patent claim 1 on the one hand and to the following explanation of preferred embodiments of the invention by way of example, illustrated by the figure on the other hand. In connection with the explanation of the preferred embodiments of the invention by the aid of the figure, generally preferred embodiments and further developments of the teaching will be explained. In the drawings 
Fig. 1    shows a system and a method according to a first embodiment of the present invention; 
Fig. 2    shows steps of a method according to a second embodiment of the present invention; 
Fig. 3    shows higher level steps of a method according to a third embodiment of the present invention; 
Fig. 4    shows part of the steps of a method according to a fourth embodiment of the present invention; 
Fig. 5    shows part of the steps of a method according to a fifth embodiment of the present invention; and 
Fig. 6    shows part of the steps of a method according to a sixth embodiment of the present invention.
Fig. 1 shows a system and a method according to a first embodiment of the present invention. 
In Fig. 1 a user 2 stands in front of a camera 7 in a shop 4 of a merchant. The camera 7 takes (reference sign 8) a facial picture of the user 2, i.e. the user 2 or customer provides biometrics information in front of the camera 7 indicating his consent for a desired user transaction. A display 6 in the merchant shop 4 may be used for checking, whether the provided biometrics information is sufficient or not in particular for later identification. Otherwise the customer or user 2 has to provide again his biometrics information in front of the camera 7. The merchant then sends a message Consent to the payment center 5 including the picture of the captured face along with transaction information for the transaction the user 2 wishes to approve consent to a payment center 5. The message Consent further includes a merchant identification and a signature of the merchant’s respective communication device. The message Consent even further includes data encrypted with a shared key Km shared among the merchant 4 and the payment center 5, wherein the shared key Km is used to encrypt the image of the face of the user 2 taken by the camera 7, the transaction details, and a timestamp. This message is called - as already mentioned above - Consent and is denoted with reference sign 10 in Fig. 1. The merchant 4 is meanwhile broadcasting 9 a challenge with challenging means 9a to any user device 3 within reach of his short range, i.e. Bluetooth, communication device, wherein the challenge includes in particular a transaction ID, which may be defined as a hash value of the transaction data. 
Upon challenge any user device 3 including the mobile device 3 of the user 2 sends back to the merchant 4 its local information encrypted with the corresponding user's credential. This so-called Beacons or Beacon messages, denoted with reference sign 11 are then forwarded preferably via the merchant 4 to the payment center 5 together with the Consent 10. The Beacon 11 includes a user ID of the respective user and information encrypted with a user key Ku, which is shared between the user 2 and the payment center 5, including the user ID, the user's location, the corresponding timestamp and the transaction ID obtained from the challenge of the merchant. 
The payment center 5 then decrypts the Consent 10 and all of the received Beacons 11, paired by the transaction ID with decrypting means 5a and picks out those Beacons 11 whose location and timestamp is for example within a threshold according to the information from the message Consent 10. Then a candidate list of user ID's is generated to run a face identification process on the received image data, preferably at most one valid candidate is found and used for the transaction authentication process. Upon a matched user ID by using matching means 5b the corresponding user's account at the payment center 5 will then be charged and the transaction information will be provided (reference sign 12) to his user device 3 by approving means 5c. If the identification process fails the payment center 5 will go through the whole database to match other input biometrics.
The Beacons 11 that provide location information enhance security and performance of the transaction: The Beacons 11 result in a filtered candidate list that is within the merchant's shop at the time when the transaction takes place. Therefore, the identification process will be carried out on the candidate list first which is a much smaller data set than checking the whole database. In addition in absence of a user's location may lift up a warning during the transaction process, which can be used for fraud detection. 
Fig. 2 shows steps of a method according to a second embodiment of the present invention.
In Fig. 2 a first step a) is performed by capturing and providing one or more unchangeable user identification features and transaction information, preferably via the transaction provider, to a transaction center. 
A second step b) is performed by providing, preferably broadcasting, a challenge by the transaction provider based on the transaction information. 
A third step c) is performed by sending a response by one or more of the users upon receiving the challenge by one or more users including corresponding user meta-data like user location information encrypted with a respective user transaction key, wherein the corresponding user transaction key was generated and provided based on one or more unchangeable user identification features of the respective user and preferably one or more transaction accompanying means specified by the corresponding user, which have been registered at the transaction center. 
A fourth step d) is performed by decrypting the encrypted user meta-data at the transaction center. 
A fifth step e) is performed by matching the information of the decrypted responses with the information provided according to step a).
A sixth step f) is performed by approving the user transaction upon matching.
Fig. 3 shows higher level steps of a method according to a third embodiment of the present invention.
In Fig. 3 the high-level steps of a registration R and a transaction in form of a payment P are shown. 
In the registration phase R the user 2 registers at the payment center 5. The user 2 provides a picture of himself to be stored within the payment center 5 which is subsequently used for facial identification. At this time the user 2 also registers his transaction details, for example credit card details or bank account details and sets a shared encryption key to be used with the payment center 5. The user 2 then may download an application to be installed on his user device 3 which is in particular preloaded with the established shared encryption key. Additionally the user 2 can also acquire a specific purpose device 3 to be used for transactions or limited to a certain transaction. 
In the transaction phase P, here in the payment phase, the user 2 stands in the nearby vicinity of a vendor camera as a form of consent for payment. The merchant of the consumer item to be paid by the user 2 may display details of the transaction performed by the user 2 on a display 6, for example a dot-matrix display or a LCD display 6. For example the displayed transaction details respectively transaction information include the amount to be paid, the identification of the merchant, the information of the product or the like. Further the user 2 provides in a secure way location information, so that the payment center 5 can use this information for verification. Verification in particular is based on that the user 2 respectively the user device 3 is within the shop at the same time that the user would like to have his transaction to be performed. The location information can be sent by the mobile device 3 of the user 2 without any user interaction and/or by using a specific purpose device transmitting location information. 
Therefore the registration process R may be performed as follows: 
1)  A user goes to a payment center to register his face biometrics and bank account information. 
2)  Each user will have an application installed on their mobile device, and optionally they could get a Bluetooth-enabled device if their phone does not have Bluetooth. 
3)  The payment center will only store faces with a very close distance to cameras. 
4)  A shared credential between the user and the payment center is generated during the registration process and is installed on the user’s device along with his pseudonym user ID.
Further the transaction process P may be performed as follows: 
1)  When a user wants to approve a transaction in a merchant shop, he will stand at a consented place so that the camera can take a picture. The picture along with the transaction information is sent to the payment center as a Consent.
2)  Meanwhile, the merchant POS is triggered to broadcast a challenge to the user devices using short range Bluetooth within range. 
3)  Upon challenge, the user-carried devices send back to the merchant POS their location and timestamp Beacon which is encrypted by their pre-assigned respective credentials. The Beacons are then forwarded to payment center together with the Consent.
4)  The payment center decrypts the Consent and the list of Beacons and yields a candidate list. Then the user is identified over the candidate list and the identified user is charged accordingly. 
5)  The transaction information is finally sent to the identified user if applicable.
Fig. 4 shows part of the steps of a method according to a fourth embodiment of the present invention. 
In Fig. 4 in more detail steps in the registration phase R are shown. 
In a first step 1R the user goes to the payment center 5 to register his/her face biometrics and bank account information. 
In a second step 2R the user installs an application on his/her mobile device and optionally obtain a Bluetooth-enabled device, if the user's mobile device does not have Bluetooth support. 
In a third step 3R the payment center 5 will store faces of the users 2 with a very close distance to cameras 7. All classifiers and learning algorithms may rely on such close faces to build facial templates for the respective users 2. This enables that at the payment time only faces that are close to the camera 7 can be accepted by the payment center 5. It is assumed that when the user 2 agrees to take such a close-up face picture then this is regarded as approval for a transaction the user wants to perform. Such a picture can only be taken if the user 2 agrees to pay. 
In a fourth step 4R a shared key Ku between the user 2 and the payment center 5 is generated during the registration phase R and is installed on the user's mobile device 3 along with his pseudonym user identification uid. 
After the registration phase R is finished the user 2 is able to make a face-payment to merchants and pay "by his face". In the following it is assumed that the merchant has a point-of-sale device including a display 6 to show transaction information and a camera 7 ideally with an explicit focal point for explicit picture capture and transaction approval. In particular this may be provided in form of a display with a front camera that the user 2 can instruct face capture and confirmation or a camera with a support in front to place the chin for a perfect face capture. Further it is assumed that the user has a mobile device featuring GPS and/or other location methods and short range communication or a location limited channel like a Bluetooth, WIFI, 3G or other communication functions. The user might also be located by location services of his or another mobile operator.  
If for example the short range communication interface for providing short range communication is not always on e.g. to save battery on the mobile device, the mobile or device may be configured so that whenever the user 2 is located within the range of a face-payment enabled shop which can be determined by scanning the SSID of the WIFI of the shop, or using GPS and/or location information, the short range communication interface, like Bluetooth or the like, is triggered to be switched on so that it is active for communication. 
In Fig. 5 the detailed payment transaction process in form of a payment is shown.
Fig. 5 shows part of the steps of a method according to a fifth embodiment of the present invention. 
In a first step 1P the user 2 stands at a consented place in a merchant shop when the user wants to approve a transaction, so that the camera 7 can take a picture. The picture of the camera 7 along with the transaction information is sent to the payment center 5 in the following form: 
Consent = < mid, EncKm (Img, TransData, tsc), Sigm >, 
where mid is the merchant ID, Km is the shared key among the merchant and the payment center 5, Img is the image of the face taken by the camera 7, TransData is the transaction details, tsc is the timestamp, and Sigm is the signature of the merchant device 4 on the message.
In a second step 2P the merchant point-of-sale is triggered to broadcast a challenge to user devices 3 using short range communication methods like Bluetooth or the like within range, e.g. within range corresponding to the merchants shop size or the like. The challenge is provided in the following form: 
Challgene = tid = H(TransData), 
where tid is the transaction ID defined as the hash value of the transaction data. 
In a third step 3P upon challenge a payment application on the mobile user device 3 sends back to the merchant point-of-sale 4 a location Beacon of the mobile device 3 which is encrypted by the corresponding user credential. The Beacon 11 is then forwarded to the payment center 5 together with the Consent 10. The Beacon 11 is provided in the following form:
Beacon= < uid, EncKm(uid, loc, ts, tid) >,
where loc is the geographic location of the user device 3, and ts is the timestamp. 
In a fourth step 4P the payment center 5 decrypts the Consent message 10 and the list of Beacons 11 paired by the transaction ID and picks out those Beacons 11 whose location and timestamps ts are within a threshold which is based according to the information from the Consent message 10. 
Then a candidate list of user ID's is generated to run a face identification on the picture data Img, ideally at most one valid candidate and run an authentication process is provided. Upon matching of a user ID the corresponding user’s account at the payment center 5 will be charged and the transaction information will be sent to his mobile device 3. In case the identification process failed the payment center 5 may search through the whole database to match the input biometrics matching to the picture. 
The short range communication mentioned above like Bluetooth, WIFI or the like may also be provided by using a small power enabled directed access point. For example these access points may be limited in their range respectively providing a short range communication for example only within a small area of the shop of the merchant 4. 
Fig. 6 shows part of the steps of a method according to a sixth embodiment of the present invention.
In Fig. 6 the steps are performed if a short range communication method is not available. Then an option using a channel directly to the payment center 5 for example via a mobile network operator of the user 2 is provided. 
In a first step 1'P when users 2 are located within a range of a face-payment-enabled shop the corresponding mobile device 3 of the users 2 send a Beacon 11 to register their latest geographic location to the payment center 5: 
Beacon= < uid, EncKm(uid, loc, ts) >, 
where loc is the geographic location of the corresponding user device 3 and ts is the timestamp. Alternatively the location loc can be provided directly by the mobile network operator to the payment center 5. 
In a second step 2'P one of the users moves to a consented place and instructs a camera 7 to take a picture to approve a user transaction. The picture along with the transaction information is sent to the payment center 5 in form of a Consent message 10: 
Consent = < mid, EncKm(Img, TransData, tsc), Sigm >,
where mid is the merchant ID 4, Km is the shared key among the merchant and the payment center 5, Img is the image of the face taken by the camera 7, TransData is the transaction details, tsc is the timestamp and Sigm is the signature of the merchant device 4 on the Consent message 10.
In a third step 3'P the payment center 5 decrypts the Consent message 10 and picks out the users 2 whose location Beacons 11 indicate that they are within the reachable range of the merchant shop 4. Then a candidate list of user ID's is generated to run a face identification process on the picture provided to the payment center 5. Upon a matched user ID uid the corresponding user's account is charged and the transaction information is sent to his mobile device 3. If the identification process failed the payment center 5 searches the whole data base of the registered users to match the input biometrics. 
The Beacon providing location information provide an advantage to the payment center 5 in security as well as performance aspects: This results in a filtered candidate list that is within the merchant shop at the time when the user transaction is to take place. Therefore the identification will first be carried out on the candidate list which is a much smaller data set than the whole database of the registered users. Additionally, the absence of a user's location may initiate a warning during the transaction process which can be used for fraud detection. 
In summary the present invention enables faces to be classified according to the closeness to the camera, so that only close faces will be accepted. Further the present invention provides a secure and efficient transaction by leveraging meta-data information such as location and timestamp of a user-carried device to provide freshness for the biometric identification challenge. This prevents replay attacks and speeds up the identification without requiring any extensive user interaction in the transaction process. 
The present invention does further not compromise security with user-friendlyness and can be used for all services in particular those having or are regarded to have fast service time. The present invention enables only a minimal overhead in time during transactions and is easy to implement and cost-effective to deploy. 
Many modifications and other embodiments of the invention set forth herein will come to mind the one skilled in the art to which the invention pertains having the benefit of the teachings presented in the foregoing description and the associated drawings. Therefore, it is to be understood that the invention is not to be limited to the specific embodiments disclosed and that modifications and other embodiments are intended to be included within the scope of the appended claims. Although specific terms are employed herein, they are used in a generic and descriptive sense only and not for purposes of limitation.
1.  A method for approving a user transaction at a transaction provider (4), characterized by the steps 
a)    capturing (8) and providing one or more unchangeable user identification features of a user and transaction information, preferably via the transaction provider, to a transaction center (5),
b)    providing (9), preferably broadcasting, a challenge by the transaction provider (4) based on the transaction information,
c)    upon receiving the challenge by one or more users (2) sending (13) a response by one or more of the users (2) including corresponding user meta-data like user location information encrypted with a respective user transaction key, wherein the corresponding user transaction key was generated and provided based on one or more unchangeable user identification features of the respective user (2) and preferably one or more transaction accompanying means specified by the corresponding user (2), which have been registered at the transaction center (5), 
d)    decrypting the encrypted user meta-data at the transaction center,
e)    matching the information of the decrypted responses with the information provided according to step a) and 
f)    upon matching approving the user transaction.
2.    The method according to claim 1, characterized in that the data communication between the transaction center (5) and the transaction provider (4) is encrypted.
3.    The method according to one of the claims 1-2, characterized in that facial information of the user (2) is captured for providing the user identification features.
4.    The method according to one of the claims 1-3, characterized in that a short-range communication method is used for communicating between a user device (3) of a user (2) and the transaction provider (4), preferably wherein the short-range communication method is based on Bluetooth.
5.    The method according to one of the claims 1-4, characterized in that the transaction provider (4) is triggered for providing (9) the challenge upon receiving the one or more unchangeable user identification features and transaction information according to step a) by the transaction center (5).
6.    The method according to one of the claims 1-5, characterized in that for providing the one or more unchangeable user identification features close-distance-recording means (7) are used, preferably a camera (7) taking pictures of users (2) within a predetermined distance from the camera (7).
7.    The method according to one of the claims 1-6, characterized in that local  geographic location information and/or local mobile communication network information and/or timing information are determined and included in the user meta-data according to step c).
8.    The method according to one of the claims 1-7, characterized in that matching includes checking whether information of the received decrypted responses and the information provided according to step a) fulfill predetermined thresholds for location and/or timing information.
9.    The method according to one of the claims 1-8, characterized in that matching includes generating of a user candidate list according to the received responses in step c) and identifying a user (2) out of the candidate list according to the registered information for the one or more users (2).
10.   The method according to one of the claims 1-9, characterized in that the response according to step c) is sent directly to the transaction center (5).
11.   The method according to one of the claims 1-10, characterized in that fraud is determined by analyzing the user meta-data like user location information, in particular in case user location information is unavailable.
12.   A system for approving a user transaction at a transaction provider (4), preferably for performing with a method according to one of the claims 1-11, characterized by 
Capturing means (7) operable to capture and provide one or more unchangeable user identification features of a user (2) and transaction information, preferably via the transaction provider (4), to a transaction center (5),
Challenging means (9a) operable to provide, preferably broadcasting, a challenge by the transaction provider (4) based on the transaction information,
Response means (3) operable to send a response by one or more of the users (2) upon receiving the challenge by one or more users including corresponding user meta-data like user location information encrypted with a respective user transaction key, wherein the corresponding user transaction key was generated and provided based on one or more unchangeable user identification features of the respective user (2) and preferably one or more transaction accompanying means specified by the corresponding user, which have been registered at the transaction center (4), 
Decrypting means (5a) operable to decrypt the encrypted user location information at the transaction center (5),      
Matching means (5b) operable to match the information of the decrypted responses with the information provided by the capturing means (7) and 
Approving means (5c) operable to approve the user transaction upon matching.
13.   Use of the method according to one of the claims 1-11 and/or of the system according to claim 12 for providing approval of a payment of a user (2) at a shop (4).
The present invention relates to a method for approving a user transaction at a transaction provider, comprising the steps of 
a)    capturing and providing one or more unchangeable user identification features of a user and transaction information, preferably via the transaction provider, to a transaction center,
b)    providing, preferably broadcasting, a challenge by the transaction provider based on the transaction information,
c)    upon receiving the challenge by one or more users sending a response by one or more of the users including corresponding user meta-data like user location information encrypted with a respective user transaction key, wherein the corresponding user transaction key was generated and provided based on one or more unchangeable user identification features of the respective user and preferably one or more transaction accompanying means specified by the corresponding user, which have been registered at the transaction center, 
d)    decrypting the encrypted user meta-data at the transaction center,
e)    matching the information of the decrypted responses with the information provided according to step a)
f)    upon matching approving the user transaction.
The present invention further relates to a system for approving a user transaction. 
(Fig. 1)
2015109621.tif 000009
2015109621.tif 000010
2015109621.tif 000011
2015109621.tif 000012
2015109621.tif 000013
2015109621.tif 000014