[发明专利]一种实现WAP手机银行交易安全控制的系统及方法

说明书

技术领域

本发明涉及手机银行技术领域，尤其涉及一种实现WAP手机银行交 易安全控制的系统及方法。

背景技术

目前的WAP手机银行，其实现过程一般如下：银行提供WAP站点接 入地址，客户根据该接入地址利用手机通过GPRS或者WAP接入WAP手 机银行网站，浏览网站信息或进行相关交易。

一般的WAP手机银行网站，对于接入方是否是真正的手机，并没有 严格的控制，而且目前有很多浏览器，支持用户通过互联网访问WAP手 机银行网站，例如：Opera。

WAP手机银行的目标客户是手机用户，限于手机厂商、型号的多样 性，手机操作的复杂性和现有手机网络的局限性，现有WAP手机银行网 站的安全措施要求比较低。比如：页面上的密码输入框是没有控件加密的， 页面提交上来的数据包中，密码是以明文的方式存在的。

如果对于通过互联网的访问不作限制，电脑操作的方便性和互联网的 普及性，势必造成WAP手机银行网站的重要安全信息存在很大的被非法 盗取(截取页面上送包信息等手段)的可能性。

所以，迫切需要提供一种安全控制方法，屏蔽通过互联网的访问WAP 手机银行网站，限制客户只能通过手机访问WAP手机银行，从而保证客 户个人资产信息的安全。

发明内容

(一)要解决的技术问题

有鉴于此，本发明的主要目的在于提供一种实现WAP手机银行交易 安全控制的系统及方法，以防止客户通过互联网访问WAP手机银行，有 效提高访问手机银行的安全性。

(二)技术方案

为达到上述目的，本发明采用的技术方案如下：

一种实现WAP手机银行交易安全控制的系统，该系统包括：

客户终端；

WEB服务器，用于提供域名地址服务，将接收自客户终端的交易请 求转发至WAP门户服务器；

WAP门户服务器，用于在接收到WEB服务器转发的交易请求后获取 客户终端的手机号码，并根据运营商手机号绑定关系生成手机令牌，然后 将该手机令牌与交易请求发送给WAP交易服务器；

WAP交易服务器，用于在接收到手机令牌与交易请求后，验证手机 令牌的合法性，即验证手机令牌的验证串是否正确，如果验证串正确则检 查客户与运营商之间的绑定信息与令牌信息是否一致，一致继续交易，不 一致拒绝交易；如果验证串不正确则拒绝交易；

移动通讯运营商系统设备，用于提供接口给WAP门户服务器，WAP 门户服务器通过与移动通讯运营商系统设备通讯，获取客户终端的手机号 码。

上述方案中，所述客户终端是客户访问WAP手机银行的载体。所述 客户访问WAP手机银行的载体是手机。

上述方案中，对于直接输入域名访问WAP手机银行的客户终端，所 述WAP门户服务器提供给客户终端选择运营商页面，根据运营商手机号 绑定关系参数，通过与运营商协定的通讯接口，从移动通讯运营商系统设 备获取客户终端的手机号码，根据绑定关系和是否获得手机号信息，根据 相应的算法，生成手机令牌。对于通过运营商页面链接访问WAP手机银 行的客户终端，所述WAP门户服务器从交易请求中获取手机号码和运营 商信息，并根据运营商手机号绑定关系参数生成手机令牌。

上述方案中，所述WAP交易服务器在验证手机令牌的合法性后，如 果合法，则根据是否绑定手机号码向客户终端提供不同的登录页面，客户 终端登录后，根据客户终端注册时预留的手机号码信息，检查客户与运营 商之间的绑定信息与令牌信息是否一致；如果WAP交易服务器验证手机 令牌不合法，则拒绝交易。

上述方案中，在WAP交易服务器检查客户与运营商之间的绑定信息 与令牌信息不一致或者验证手机令牌的不合法而拒绝交易时，客户终端能 够浏览简单的信息页面，无法进行交易。

一种实现WAP手机银行交易安全控制的方法，该方法包括：

客户终端向WEB服务器提出交易请求，WEB服务器将该交易请求转 发至WAP门户服务器；

WAP门户服务器在接收到WEB服务器转发的交易请求后，获取客户 终端的手机号码，并根据运营商手机号绑定关系生成手机令牌，然后将该 手机令牌与交易请求发送给WAP交易服务器；