專利名稱：基于寬帶網(wǎng)絡(luò)的安全支付控制系統(tǒng)和方法
技術(shù)領(lǐng)域：
本發(fā)明涉及網(wǎng)絡(luò)在線支付控制技術(shù)，特別是指一種基于寬帶網(wǎng)絡(luò)的 安全支付控制系統(tǒng)和方法。
背景技術(shù)：
隨著互聯(lián)網(wǎng)寬帶應(yīng)用的不斷發(fā)展，寬帶在線支付過程中出現(xiàn)了利用
網(wǎng)絡(luò)技術(shù)危害用戶利益的情況，主要包括帳號(hào)竊取、遠(yuǎn)程控制消費(fèi)和 木馬代理消費(fèi)等。
目前，針對(duì)帳號(hào)竊取情況，可以通過帳號(hào)與物理線路靜態(tài)綁定的方 式應(yīng)對(duì)，但是其缺陷是現(xiàn)有網(wǎng)絡(luò)精確綁定的實(shí)施難以一步到位。
對(duì)于遠(yuǎn)程控制消費(fèi)和木馬代理消費(fèi)情況，目前最為常見的是通過代 理型和遠(yuǎn)程控制型木馬程序盜用用戶帳戶資金。
通常，黑客使用代理型和遠(yuǎn)程控制型木馬進(jìn)行盜用的過程如下
1) 黑客通過使用端口掃描程序來對(duì)需要盜取的互聯(lián)網(wǎng)協(xié)議(IP, Internet Protocol)網(wǎng)段的進(jìn)4亍大范圍的漏洞掃描，試圖找到一臺(tái)存在 安全漏洞的互聯(lián)網(wǎng)用戶終端。
2) 在黑客成功找到一臺(tái)存在安全漏洞(例如存在管理員賬號(hào)弱口 令、系統(tǒng)安裝的SQLServer數(shù)據(jù)庫的管理員默認(rèn)空口令等安全漏洞) 的用戶終端后，黑客向用戶終端上傳相關(guān)的木馬或其他代理程序。
3) 黑客通過遠(yuǎn)程控制受害者的用戶終端，并運(yùn)行其上的木馬程 序， 一方面可以直接控制受害者機(jī)器進(jìn)行消費(fèi)，消費(fèi)的費(fèi)用被記在受害 者的賬戶上；另一方面也可僅啟動(dòng)代理，黑客將其本機(jī)瀏覽器的代理地 址設(shè)為受害者機(jī)器，然后黑客就可以通過受害者機(jī)器使用寬帶應(yīng)用帶來 的所有服務(wù)，并進(jìn)行消費(fèi)，這樣由于黑客的消費(fèi)IP為受害者機(jī)器的 IP,消費(fèi)的費(fèi)用被記在受害者的賬戶上。
現(xiàn)在針對(duì)代理型和遠(yuǎn)程控制型木馬，比較常見的方法是通過查殺木 馬工具、安全插件、軟鍵盤或物理鍵盤等方式進(jìn)行識(shí)別檢測(cè)，下面分別
對(duì)這些方法加以^說明
木馬查殺工具，通過查找用戶機(jī)器的應(yīng)用軟件的特征確定是否存在 可疑木馬，通過清除這些可疑木馬來確保支付應(yīng)用的安全。這種方法通 常不是僅針對(duì)支付安全的，并且木馬查殺工具只能識(shí)別常見的已知木 馬，很多未知木馬無法識(shí)別，因此不能從根本上抑制寬帶應(yīng)用上的木馬 盜用現(xiàn)象。
軟鍵盤，通過在用戶支付時(shí)由服務(wù)器或用戶機(jī)器上安裝的專用客戶 端軟件提供一個(gè)專用的支付帳號(hào)/密碼輸入框，在該密碼框內(nèi)輸入的信 息，這樣黑客很難通過鍵盤鉤子偷取用戶輸入的密碼，但該方式容易遭 黑客暴力破解。
物理鍵盤，只有用戶通過自己的物理鍵盤輸入的帳號(hào)和密碼才認(rèn)為 是可信的，而黑客通過網(wǎng)絡(luò)遠(yuǎn)程通過鼠標(biāo)點(diǎn)擊輸入的帳號(hào)和密碼是不可 信的，但目前服務(wù)器如何判斷是從物理鍵盤輸入的還是黑客從遠(yuǎn)程輸入 的，還沒有很好的解決辦法。
安全插件，在用戶機(jī)器上安裝一個(gè)客戶端軟件，在用戶支付時(shí)，通 過客戶端軟件收集用戶機(jī)器的網(wǎng)卡/硬盤/中央處理器(CPU)機(jī)器信 息、因特網(wǎng)瀏覽器(IE)設(shè)置和用戶IP地址等信息發(fā)送給支付服務(wù) 器，支付服務(wù)器根據(jù)這些信息判斷用戶是否存在代理或遠(yuǎn)程控制情形， 但該客戶端軟件和軟鍵盤一樣也存在能夠被黑客暴力破解的問題。
另外，目前大部分受害者的安全防范意識(shí)薄弱，僅靠用戶采取安全 措施效果十分有限。

發(fā)明內(nèi)容
有鑒于此，本發(fā)明提出一種基于寬帶網(wǎng)絡(luò)的安全支付控制系統(tǒng)和方 法，增加網(wǎng)絡(luò)對(duì)各種盜用行為的防范能力，提高用戶通過寬帶網(wǎng)絡(luò)進(jìn)行 在線支付的安全性。
基于上述目的本發(fā)明提供的一種基于寬帶網(wǎng)絡(luò)的安全支付控制系
統(tǒng)，包括
應(yīng)用支付平臺(tái)，用于接收用戶終端的支付請(qǐng)求后，收集該用戶終端 的用戶信息并發(fā)送至寬帶接入控制平臺(tái)BACP;
BACP，用于根據(jù)用戶信息驗(yàn)證用戶的接入帳號(hào)與接入物理線路是 否對(duì)應(yīng)，并在驗(yàn)證通過后，向用戶終端所屬的寬帶接入控制設(shè)備發(fā)送啟 動(dòng)訪問控制策略的請(qǐng)求；
寬帶接入控制設(shè)備，用于執(zhí)行所述訪問控制策略。
該系統(tǒng)所述BACP中還保存有用戶信息與寬帶接入控制設(shè)備對(duì)應(yīng) 表；BACP根據(jù)獲取的用戶信息，通過查詢用戶信息與寬帶接入控制設(shè) 備對(duì)應(yīng)表確定用戶所屬的寬帶接入控制設(shè)備。
該系統(tǒng)所述寬帶接入控制設(shè)備為寬帶接入服務(wù)器(BRAS)或業(yè)務(wù) 路由器(SR);在用戶上線時(shí)，BACP將用戶動(dòng)態(tài)獲取的IP地址與寬帶 接入服務(wù)器的對(duì)應(yīng)信息記錄在用戶信息與寬帶接入控制設(shè)備對(duì)應(yīng)表中； 或者
所述寬帶接入控制設(shè)備為用戶住宅設(shè)備(CPE)，所述用戶信息與 寬帶接入控制設(shè)備對(duì)應(yīng)表與綜合終端管理系統(tǒng)中的用戶IP與CPE對(duì)應(yīng) 表保持同步更新。
該系統(tǒng)所述BACP進(jìn)一步用于發(fā)送取消訪問控制策略請(qǐng)求消息至用 戶終端所屬的寬帶接入控制設(shè)備；寬帶接入控制設(shè)備停止執(zhí)行所述訪問 控制策略。
該系統(tǒng)所述BACP中進(jìn)一步設(shè)置定時(shí)器，在BACP發(fā)送啟動(dòng)訪問 控制策略請(qǐng)求后定時(shí)器開始計(jì)時(shí)，在計(jì)時(shí)結(jié)束后觸發(fā)BACP發(fā)送所述取 消訪問控制策略請(qǐng)求。
該系統(tǒng)所述BACP通過與寬帶接入控制設(shè)備的動(dòng)態(tài)策略控制接口向 寬帶接入控制設(shè)備發(fā)送信息。
該系統(tǒng)所述的寬帶接入控制設(shè)備執(zhí)行的所述訪問控制策略為保留當(dāng) 前用戶終端至支付頁面和/或用戶常用的邏輯通路，關(guān)閉其他邏輯通 路。
該系統(tǒng)所述的寬帶接入控制設(shè)備中還設(shè)置有白名單訪問控制列表，
應(yīng)用支付平臺(tái)的支付頁面和用戶常用的地址信息保存在該白名單訪問控
制列表中；
所述寬帶接入控制設(shè)備執(zhí)行的訪問控制策略為僅保留至所述白名單 訪問控制列表中所列地址的邏輯通路，關(guān)閉其他邏輯通路。
基于上述目的本發(fā)明還提供了一種基于寬帶網(wǎng)絡(luò)的安全支付控制方 法，包括
A. 應(yīng)用支付平臺(tái)收到用戶終端的在線支付請(qǐng)求后，收集該用戶終 端的用戶信息，將用戶信息發(fā)送給寬帶接入控制平臺(tái)BACP;
B. BACP根據(jù)用戶信息驗(yàn)證該用戶的接入帳號(hào)與接入物理線路是 否對(duì)應(yīng)，如果對(duì)應(yīng)，則執(zhí)行步驟C，否則，禁止該用戶終端訪問支付頁 面；
C. BACP向用戶終端所屬的寬帶接入控制設(shè)備下發(fā)啟動(dòng)訪問控制 策略請(qǐng)求；
D. 寬帶接入控制設(shè)備執(zhí)行所述訪問控制策略，用戶進(jìn)行在線支付。
該方法所述步驟B還包括BACP根據(jù)獲取的用戶信息，通過查詢 用戶信息與寬帶接入控制設(shè)備對(duì)應(yīng)表確定用戶所屬的寬帶接入控制設(shè) 備。
該方法所述寬帶接入控制設(shè)備為BRAS、或SR、或用戶住宅設(shè)備 CPE,所述用戶信息與寬帶接入控制設(shè)備對(duì)應(yīng)表中保存有用戶IP地址 與寬帶接入服務(wù)器的對(duì)應(yīng)信息。
該方法所述寬帶接入控制設(shè)備為BRAS或SR;在用戶上線時(shí)， BACP將用戶動(dòng)態(tài)獲取的IP地址與寬帶接入服務(wù)器的對(duì)應(yīng)信息記錄在 該對(duì)應(yīng)表中。
該方法所述寬帶接入控制設(shè)備為用戶住宅設(shè)備CPE;
所述用戶信息與寬帶接入控制設(shè)備對(duì)應(yīng)表保存在綜合終端管理系統(tǒng) 中，BACP根據(jù)用戶信息中的IP地址通過到綜合終端管理系統(tǒng)中查詢 所ii^"應(yīng)表確定用戶所屬的寬帶接入設(shè)備；
或者BACP在本地保存所述用戶信息與寬帶接入控制設(shè)備對(duì)應(yīng)表， 并保持與綜合終端管理系統(tǒng)中的用戶信息與寬帶接入控制設(shè)備對(duì)應(yīng)表同 步更新，BACP根據(jù)用戶信息中的IP地址通過查詢本地所述對(duì)應(yīng)表確 定用戶所屬的寬帶接入設(shè)備。
該方法步驟D后進(jìn)一步包括BACP發(fā)送取消訪問控制策略請(qǐng)求至 用戶終端所屬的寬帶接入控制設(shè)備；寬帶接入控制設(shè)備收到該請(qǐng)求后停 止執(zhí)行所述訪問控制策略。
該方法所述BACP發(fā)送取消安全支付控制的請(qǐng)求前進(jìn)一步包括用 戶支付完畢后支付頁面向BACP發(fā)送取消訪問控制策略請(qǐng)求；或者
BACP在發(fā)送完所述啟動(dòng)安全支付，用于安全支付控制的定時(shí)器到 時(shí)，觸發(fā)BACP發(fā)送取消訪問控制策略請(qǐng)求。
該方法步驟D所述的寬帶接入控制設(shè)備執(zhí)行所述訪問控制策略的過 程包括根據(jù)所述用戶信息生成訪問列表?xiàng)l目，僅保留當(dāng)前用戶終端至 所述支付頁面和/或用戶常用的邏輯通路，關(guān)閉其他邏輯通路。
該方法設(shè)置白名單訪問控制列表，將支付頁面和用戶常用的地址信 息加入該白名單訪問控制列表中；
步驟D所述的寬帶接入控制設(shè)備執(zhí)行所述訪問控制策略的過程包 括根據(jù)所述白名單訪問控制列表生成訪問列表?xiàng)l目，僅保留到所述白 名單訪問控制列表中所列地址的邏輯通路，關(guān)閉其他邏輯通路。
該方法白名單訪問控制列表中的內(nèi)容由用戶自行i殳置并動(dòng)態(tài)更新。
該方法步驟A所述用戶信息通過安全支付控制請(qǐng)求消息發(fā)送給寬帶 接入控制平臺(tái)BACP。
該方法所述用戶信息包括用戶IP、支付網(wǎng)關(guān)IP、 TCP/UDP、應(yīng) 用協(xié)議類型。
從上面所述可以看出，和現(xiàn)有技術(shù)相比本發(fā)明基于寬帶網(wǎng)絡(luò)的安 全支付控制實(shí)現(xiàn)系統(tǒng)和方法具有如下優(yōu)點(diǎn)和特點(diǎn)
現(xiàn)有的應(yīng)用支付平臺(tái)是直接驗(yàn)證用戶帳號(hào)的合法性來決定是否允 許支付，本發(fā)明實(shí)現(xiàn)的防止盜用的方法，是在應(yīng)用支付平臺(tái)支付時(shí)， 增加一個(gè)與運(yùn)營商的接入網(wǎng)絡(luò)控制平臺(tái)的交互流程啟動(dòng)網(wǎng)絡(luò)防范能力。由于在運(yùn)營商的接入網(wǎng)絡(luò)層面實(shí)施控制，無需用戶應(yīng)用終端(如
PC機(jī))配合，黑客很難破解，因此是一種最徹底、效果最好的解決方案。
現(xiàn)有防木馬病毒方法僅依靠用戶機(jī)器單個(gè)物理點(diǎn)檢測(cè)識(shí)別，并且 只能防止已知的木馬，本方法通過應(yīng)用支付平臺(tái)和寬帶接入控制平臺(tái)
動(dòng)態(tài)交互控制，可以從根本上有效防范基于木馬的盜用情況；另外，
本發(fā)明結(jié)合BRAS/SR的IP地址與接入物理線路的檢查，可以切斷 黑客與遠(yuǎn)程控制木馬之間的通信連接，因此能夠同時(shí)防止帳號(hào)竊取、 代理型和遠(yuǎn)程控制型木馬的盜用情況。
現(xiàn)有通過在用戶機(jī)器上安裝一個(gè)專用的安全支付軟件方式，容易 遭黑客暴力破解，本發(fā)明在運(yùn)營商控制的BACP平臺(tái)和寬帶接入服 務(wù)器之間進(jìn)行動(dòng)態(tài)訪問控制策略交互，對(duì)所有的用戶設(shè)置為網(wǎng)絡(luò)不可 到達(dá)，黑客不可能進(jìn)行攻擊。在用戶支付期間，BACP平臺(tái)和寬帶接 入服務(wù)器之間進(jìn)行動(dòng)態(tài)訪問控制策略交互，在支付期間僅保持用戶與 支付網(wǎng)關(guān)的通信，支付結(jié)束后則恢復(fù)用戶與其他應(yīng)用的正常通信。
綜上，本發(fā)明通過BACP和應(yīng)用支付平臺(tái)的交互，在黑客較難攻 擊的網(wǎng)絡(luò)層面實(shí)施控制，實(shí)現(xiàn)了對(duì)帳號(hào)竊取、遠(yuǎn)程控制型和代理型木 馬的盜用等情況的防范。


圖1為本發(fā)明實(shí)施例基于寬帶網(wǎng)絡(luò)的安全支付控制實(shí)現(xiàn)系統(tǒng)的結(jié)構(gòu) 示意圖2為本發(fā)明實(shí)施例基于寬帶網(wǎng)絡(luò)的安全支付控制實(shí)現(xiàn)方法流程示 意圖3為本發(fā)明實(shí)施例基于VNET平臺(tái)、寬帶接入控制平臺(tái)、寬帶 接入服務(wù)器的安全支付控制實(shí)現(xiàn)方法流程示意圖4為本發(fā)明實(shí)施例基于VNET平臺(tái)、綜合終端管理系統(tǒng)、CPE 終端的安全支付控制實(shí)現(xiàn)方法流程示意圖。
具體實(shí)施例方式
下面參照附圖對(duì)本發(fā)明進(jìn)行更全面的描述，其中說明本發(fā)明的示例 性實(shí)施例。
本發(fā)明基于寬帶網(wǎng)絡(luò)的安全支付控制系統(tǒng)的結(jié)構(gòu)，參見圖1所示，
主要包括應(yīng)用支付平臺(tái)102、寬帶接入控制平臺(tái)(BACP) 103和寬帶 接入控制設(shè)備。其中，
應(yīng)用支付平臺(tái)102，如支付服務(wù)器(Payment Server)，主要用 于通過支付頁面處理用戶終端101的在線支付，并且在本發(fā)明中應(yīng)用支 付臺(tái)在平收到用戶終端101的支付請(qǐng)求后，收集該用戶終端101的用戶 信息，并發(fā)送包含有用戶信息的安全支付控制請(qǐng)求至BACP103;
BACP 103，用于在收到安全支付控制請(qǐng)求后，驗(yàn)證用戶的接入帳
號(hào)與接入物理線路是否對(duì)應(yīng)，并在a通過后，向用戶終端101所屬的
寬帶接入控制設(shè)備下發(fā)訪問控制策略啟動(dòng)或取消請(qǐng)求；
寬帶接入控制設(shè)備，是指控制用戶終端寬帶接入的網(wǎng)絡(luò)設(shè)備，如寬 帶接入服務(wù)器(BRAS) 104、業(yè)務(wù)路由器(SR)、用戶住宅設(shè)備 (CPE) 105等，本發(fā)明中寬帶接入控制設(shè)備負(fù)責(zé)在收到BACP 103的 啟動(dòng)訪問控制策略請(qǐng)求后，在用戶支付期間執(zhí)行所述訪問控制策略，比 如除保證當(dāng)前用戶終端至支付頁面、以及視為安全的用戶常用邏輯通 路的正常連接外，關(guān)閉其他邏輯通路，阻止黑客的入侵。
基于上述系統(tǒng)結(jié)構(gòu)本發(fā)明安全支付控制實(shí)現(xiàn)方法的其較佳實(shí)施方案 描述如下，參見圖2所示。
( 一 )應(yīng)用支付平臺(tái)啟動(dòng)安全支付控制階^L,包括如下步驟
步驟201,用戶在本地通過瀏覽器訪問應(yīng)用支付平臺(tái)的支付頁面， 向支付頁面發(fā)送支付請(qǐng)求。
步驟202，支付頁面收到來自用戶終端的支付請(qǐng)求后，收集用戶接 入的IP地址、TCP/UDP端口和應(yīng)用協(xié)議類型等用戶信息。
步驟203,支付頁面向BACP發(fā)送啟動(dòng)安全支付控制的請(qǐng)求，并在 該請(qǐng)求消息中包含有上述的用戶信息。
(二)寬帶接入控制平臺(tái)的安全支付控制階段，包括如下步驟
步驟204， BACP根據(jù)獲取的用戶信息查詢用戶信息與寬帶接入控 制設(shè)備對(duì)應(yīng)表確定用戶所屬的寬帶接入控制設(shè)備。
其中，寬帶接入控制設(shè)備可以是BRAS、 SR、 CPE等。
如果是BRAS/SR，本發(fā)明在BACP中保存有用戶IP與BRAS/SR 的對(duì)應(yīng)表，在用戶上線時(shí)，BACP在該對(duì)應(yīng)表中記錄用戶動(dòng)態(tài)獲取的IP 與BRAS/SR的對(duì)應(yīng)信息。BACP才艮據(jù)獲取的用戶IP地址通過查詢用戶 IP與BRAS/SR對(duì)應(yīng)表確定該用戶所屬的BRAS/SR。
如果是CPE, BACP可以根據(jù)獲取的用戶IP地址信息查詢用戶IP 與用戶住宅設(shè)備(CPE)對(duì)應(yīng)表，確定用戶所屬的CPE。用戶IP與 CPE對(duì)應(yīng)表一般保存在綜合終端管理系統(tǒng)中，BACP可通過查詢綜合終 端管理系統(tǒng)荻取用戶IP與CPE的對(duì)應(yīng)關(guān)系信息。具體步驟為BACP向 綜合終端管理系統(tǒng)發(fā)送包含有該用戶IP地址的查詢請(qǐng)求；綜合終端管 理系統(tǒng)在本地用戶IP與CPE對(duì)應(yīng)表中查詢?cè)撚脩鬒P所屬的CPE,并 將查詢結(jié)果返回給BACP。另夕卜BACP也可自己存儲(chǔ)一份用戶IP與 CPE對(duì)應(yīng)表，并與綜合終端管理系統(tǒng)中的對(duì)應(yīng)表保持同步更新，這樣 BACP在本地查詢即可。
步驟205， BACP根據(jù)用戶接入帳號(hào)與物理線路的綁定信息， 用戶IP對(duì)應(yīng)的接入帳號(hào)是否與接入物理線路對(duì)應(yīng)，如果不對(duì)應(yīng)，則禁 止用戶訪問支付頁面；如果對(duì)應(yīng)，下發(fā)啟動(dòng)訪問控制策略請(qǐng)求給在步驟 204中確定的BRAS/SR或CPE設(shè)備。在所述啟動(dòng)訪問控制策略請(qǐng)求消 息中包括有用戶IP、支付網(wǎng)關(guān)IP、 TCP/UDP、應(yīng)用協(xié)議類型等動(dòng)態(tài)訪 問控制列表中所需的^lt (Access List )。
BACP可以利用與BRAS/SR或CPE設(shè)備的動(dòng)態(tài)策略控制接口 ，通 過動(dòng)態(tài)策略的形式，將所述啟動(dòng)訪問控制策略請(qǐng)求發(fā)送至BRAS/SR或 CPE設(shè)備。
其中，所述的用戶接入帳號(hào)與物理線路的綁定信息保存在運(yùn)營商的 綜合業(yè)務(wù)支撐系統(tǒng)(IBSS)中，BACP可以到IBSS中查詢獲得所述的 綁定信息；另外，BACP也可以在本地保存該綁定信息，在本地查詢即 可。
步驟206, BRAS/SR設(shè)備或CPE設(shè)備根據(jù)收到的啟動(dòng)訪問控制策 略請(qǐng)求執(zhí)行相應(yīng)的訪問控制策略，然后通知應(yīng)用支付平臺(tái)繼續(xù)完成與用 戶終端的在線支付流程。
其中，本發(fā)明根據(jù)不同需要可以制定多種訪問控制策略。比如可 以要求在用戶支付期間，只保持用戶終端至支付頁面的一條邏輯通路。
根據(jù)這一策略，BRAS/SR或CPE設(shè)備根據(jù)啟動(dòng)訪問控制策略請(qǐng)求 中提供的用戶IP、支付網(wǎng)關(guān)IP、 TCP/UDP、應(yīng)用協(xié)議類型等用戶信息 可生成一條訪問控制列表?xiàng)l目，關(guān)閉當(dāng)前用戶終端的其他邏輯連接，使 得在用戶支付期間僅保持用戶終端至支付頁面的一條邏輯通路。
另外，還可以設(shè)置一個(gè)白名單訪問控制列表，將支付頁面和用戶常 用的域名或IP等地址信息加入白名單訪問控制列表中，白名單訪問控 制列表中的內(nèi)容可以由用戶自行設(shè)置并動(dòng)態(tài)更新。訪問控制策略只允許 用戶訪問包括支付頁面在內(nèi)的白名單訪問控制列表。
BRAS/SR或CPE設(shè)備收到訪問策略啟動(dòng)請(qǐng)求后，根據(jù)白名單訪問 控制列表生成訪問控制列表?xiàng)l目，關(guān)閉白名單訪問控制列表以外的其他 邏輯連接，使得用戶終端在用戶支付期間只保持白名單訪問列表中所列 域名和IP地址之間的邏輯通路。
(三)應(yīng)用支付平臺(tái)取消安全支付控制階段，包括如下步驟
步驟207a，用戶支付完畢，支付頁面向BACP發(fā)送取消安全支付 控制的請(qǐng)求消息，請(qǐng)求取消安全支付控制；或者，
步驟207b， BACP安全支付控制的定時(shí)器觸發(fā)步驟208的取消安 全支付控制。
該定時(shí)器是本發(fā)明為增強(qiáng)系統(tǒng)智能而增加的，其作用就是保證在支 付請(qǐng)求頁面出現(xiàn)故障或支付請(qǐng)求頁面與BACP通信出現(xiàn)故障情況下，比 如支付頁面僅向BACP發(fā)了申請(qǐng)安全支付請(qǐng)求后，出現(xiàn)故障導(dǎo)致無法 向BACP發(fā)送取消安全支付請(qǐng)求，BACP可以在步驟204發(fā)送啟動(dòng)訪問 控制策略的請(qǐng)求后啟動(dòng)定時(shí)器開始計(jì)時(shí)，定時(shí)器計(jì)時(shí)結(jié)束后在定時(shí)器的 觸發(fā)下BACP向?qū)?yīng)的BRAS/SR或CPE發(fā)送取消安全支付控制，以 免長時(shí)間影響用戶的正常上網(wǎng)。
步驟208, BACP下發(fā)取消當(dāng)前訪問控制策略的請(qǐng)求至相應(yīng)的 BRAS/SR設(shè)備或CPE設(shè)備上。
其中，BACP仍然可以利用與BRAS/SR的動(dòng)態(tài)策略控制接口或與 CPE設(shè)備的動(dòng)態(tài)策略控制接口以動(dòng)態(tài)策略的形式將所述取消訪問控制策 略請(qǐng)求發(fā)送給BRAS/SR設(shè)備或CPE設(shè)備。
步驟209， BRAS/SR設(shè)備或CPE設(shè)備執(zhí)行該動(dòng)態(tài)策略，即與步驟 206相對(duì)應(yīng)，BRAS/SR或CPE設(shè)備恢復(fù)之前關(guān)閉的其他邏輯通路，或 者恢復(fù)白名單以外的其他邏輯通路。另外，還可以進(jìn)一步關(guān)閉當(dāng)前用戶 終端至支付頁面的邏輯通路。
以下分別以中國電信互聯(lián)星空(VNET)平臺(tái)、中國電信的 BACP、 BRAS/SR的交互；中國電信VNET平臺(tái)、中國電信的寬帶接 入控制平臺(tái)、綜合終端管理系統(tǒng)、CPE終端為例說明防止帳號(hào)竊取和木 馬代理的盜用支付的方法。
VNET平臺(tái)、寬帶接入控制平臺(tái)、BRAS/SR的交互實(shí)施例
步驟301，用戶在本地通過瀏覽器訪問VNET平臺(tái)的VNET支付 頁面，向VNET支付頁面發(fā)送支付請(qǐng)求消息。
步驟302， VNET支付頁面收到來自用戶終端的支付請(qǐng)求消息后， 收集用戶接入的IP地址、TCP/UDP端口和應(yīng)用協(xié)議類型等用戶信息。
步驟303， VNET支付頁面利用簡(jiǎn)單對(duì)象訪問協(xié)議(SOAP， Simple Object Access Protocol)向BACP發(fā)送啟動(dòng)安全支付控制的請(qǐng)求 消息，并在請(qǐng)求消息中包含有步驟302中所述的用戶信息。
步驟304， BACP根據(jù)獲取的用戶IP地址信息查詢用戶IP與 BRAS/SR對(duì)應(yīng)表，確定用戶所屬的BRAS/SR。
其中，在BACP中保存有用戶IP與BRAS/SR的對(duì)應(yīng)表，在用戶 上線時(shí)，BACP在該對(duì)應(yīng)表中記錄用戶動(dòng)態(tài)獲取的IP與BRAS/SR的對(duì) 應(yīng)信息。
步驟305， BACP向?qū)拵Ш笈_(tái)查詢用戶IP對(duì)應(yīng)的帳號(hào)與中國電信的 接入線路標(biāo)識(shí)的對(duì)應(yīng)表，驗(yàn)證用戶IP對(duì)應(yīng)的接入帳號(hào)是否與接入物理 線路對(duì)應(yīng)，如果不對(duì)應(yīng)，則禁止用戶訪問支付頁面；否則，利用與
BRAS/SR的動(dòng)態(tài)策略控制接口 ，通過CTC-COPS協(xié)議向BRAS/SR下 發(fā)啟動(dòng)訪問控制列表的動(dòng)態(tài)策略消息。
步驟306, BRAS/SR執(zhí)行相應(yīng)的訪問控制列表的動(dòng)態(tài)策略，然后通 知應(yīng)用支付平臺(tái)繼續(xù)完成與用戶終端的在線支付流程。
比如BRAS/SR根據(jù)所述啟動(dòng)訪問控制列表的動(dòng)態(tài)策略消息中提 供的用戶IP、支付網(wǎng)關(guān)IP、 TCP/UDP、應(yīng)用協(xié)議類型等用戶信息可生 成一條訪問控制列表?xiàng)l目，關(guān)閉當(dāng)前用戶終端的其他邏輯連接，使得在 用戶支付期間僅保持用戶終端至支付頁面的 一條邏輯通路；或者，
BRAS/SR關(guān)閉白名單訪問控制列表以外的其他邏輯連接，使得用 戶終端在用戶支付期間只保持白名單訪問列表中所列域名和IP地址之 間的邏輯通路。
步驟307a,用戶支付完畢，VNET支付頁面通過SOAP協(xié)議向 BACP發(fā)送取消安全支付控制的請(qǐng)求消息，請(qǐng)求取消安全支付控制；
或者，步驟307b， BACP安全支付控制的定時(shí)器觸發(fā)取消安全支 付控制。
步驟308, BACP利用與BRAS/SR的動(dòng)態(tài)策略控制接口，通過 CTC-COPS協(xié)議下發(fā)取消訪問控制列表請(qǐng)求的動(dòng)態(tài)策略消息至 BRAS。
步驟309, BRAS/SR根據(jù)收到的動(dòng)態(tài)策略消息恢復(fù)之前關(guān)閉的其他 邏輯通路，或者恢復(fù)白名單以外的其他邏輯通路。還可以進(jìn)一步關(guān)閉當(dāng) 前用戶終端至支付頁面的邏輯通路。
VNET平臺(tái)、BACP、綜合終端管理系統(tǒng)、CPE終端為例的交互實(shí) 施例。
步驟401,用戶在本地通過瀏覽器訪問VNET平臺(tái)的VNET支付 頁面，向支付頁面發(fā)送支付請(qǐng)求消息。
步驟402， VNET支付頁面收到來自用戶終端的支付請(qǐng)求消息后， 收集用戶接入的IP地址、TCP/UDP端口和應(yīng)用協(xié)議類型等用戶信息。
步驟403, VNET支付頁面利用SOAP協(xié)議向BACP發(fā)送啟動(dòng)安全 支付控制的請(qǐng)求，并在請(qǐng)求中包含步驟402中所述的用戶信息。
步驟404， BACP根據(jù)獲取的用戶IP地址信息查詢用戶IP與 CPE對(duì)應(yīng)表，確定用戶所屬的CPE,利用Web Service接口向綜合終 端管理系統(tǒng)請(qǐng)求控制用戶IP所對(duì)應(yīng)的CPE的消息。
其中，用戶IP與CPE對(duì)應(yīng)表一般保存在綜合終端管理系統(tǒng)中， BACP可通過查詢用戶住宅設(shè)備的遠(yuǎn)程管理平臺(tái)獲取用戶IP與CPE的 對(duì)應(yīng)關(guān)系信息；另外BACP也可自己存儲(chǔ)一份用戶IP與CPE對(duì)應(yīng)表， 并實(shí)時(shí)更新與綜合終端管理系統(tǒng)中的對(duì)應(yīng)表保持同步，這樣BACP在本 地查詢即可。
步驟405，綜合終端管理系統(tǒng)查詢用戶IP對(duì)應(yīng)的帳號(hào)與CPE終端 的對(duì)應(yīng)表，驗(yàn)證用戶IP對(duì)應(yīng)的接入帳號(hào)是否與接入物理線路對(duì)應(yīng)，如 果不對(duì)應(yīng)，則禁止用戶訪問支付頁面；否則，利用與CPE的動(dòng)態(tài)策略 控制接口 ，通過TR069協(xié)議向相應(yīng)的CPE下發(fā)啟動(dòng)訪問控制列表的動(dòng) 態(tài)策略消息。
步驟406, CPE執(zhí)行相應(yīng)的訪問控制列表的動(dòng)態(tài)策略，然后通知應(yīng) 用支付平臺(tái)繼續(xù)完成與用戶終端的在線支付流程。
比如CPE根據(jù)所述啟動(dòng)訪問控制列表的動(dòng)態(tài)策略消息中提供的用 戶IP、支付網(wǎng)關(guān)IP、 TCP/UDP、應(yīng)用協(xié)議類型等參數(shù)可生成一條訪問 控制列表?xiàng)l目，關(guān)閉當(dāng)前用戶終端的其他邏輯連接，使得在用戶支付期 間僅保持用戶終端至支付頁面的一條邏輯通路。
或者，CPE關(guān)閉白名單訪問控制列表以外的其他邏輯連接，使得用 戶終端在用戶支付期間只保持白名單訪問列表中所列域名和IP地址之 間的邏輯通路。
步驟407a，用戶支付完畢，VNET支付頁面通過SOAP協(xié)議向 BACP發(fā)送取消安全支付控制的請(qǐng)求消息，請(qǐng)求取消安全支付控制；
或者，步驟407b， BACP安全支付控制的定時(shí)器觸發(fā)取消安全支 付控制。
步驟408, BACP利用Web Service接口，下發(fā)取消控制用戶IP所 對(duì)應(yīng)的CPE的消息至綜合終端管理系統(tǒng)。
步驟409，綜合終端管理系統(tǒng)利用與CPE的動(dòng)態(tài)策略控制接口，通
過遠(yuǎn)程管理協(xié)議(如TR069協(xié)議)向相應(yīng)的CPE下發(fā)取消訪問控制列 表的動(dòng)態(tài)策略消息。
步驟410， CPE根據(jù)收到的動(dòng)態(tài)策略消息恢復(fù)之前關(guān)閉的其他邏輯 通路，或者恢復(fù)白名單以外的其他邏輯通路。并還可進(jìn)一步關(guān)閉當(dāng)前用 戶終端至支付頁面的邏輯通路。
本發(fā)明的描述是為了示例和描述起見而給出的，而并不是無遺漏的 或者將本發(fā)明限于所公開的形式。很多修改和變化對(duì)于本領(lǐng)域的普通技 術(shù)人員而言是顯然的。選擇和描述實(shí)施例是為了更好說明本發(fā)明的原理 和實(shí)際應(yīng)用，并且使本領(lǐng)域的普通技術(shù)人員能夠理解本發(fā)明從而設(shè)計(jì)適 于特定用途的帶有各種修改的各種實(shí)施例。
權(quán)利要求
1. 一種基于寬帶網(wǎng)絡(luò)的安全支付控制系統(tǒng)，其特征在于，包括:應(yīng)用支付平臺(tái)，用于接收用戶終端的支付請(qǐng)求后，收集該用戶終端的用戶信息并發(fā)送至寬帶接入控制平臺(tái)BACP；BACP，用于根據(jù)用戶信息驗(yàn)證用戶的接入帳號(hào)與接入物理線路是否對(duì)應(yīng)，并在驗(yàn)證通過后，向用戶終端所屬的寬帶接入控制設(shè)備發(fā)送啟動(dòng)訪問控制策略的請(qǐng)求；寬帶接入控制設(shè)備，用于執(zhí)行所述訪問控制策略。
2. 根據(jù)權(quán)利要求1所述的系統(tǒng)，其特征在于，所述BACP中還保 存有用戶信息與寬帶接入控制設(shè)備對(duì)應(yīng)表；BACP根據(jù)獲取的用戶信 息，通過查詢用戶信息與寬帶接入控制設(shè)備對(duì)應(yīng)表確定用戶所屬的寬帶 接入控制i殳備。
3. 根據(jù)權(quán)利要求2所述的系統(tǒng)，其特征在于，所述寬帶接入控制設(shè) 備為寬帶接入服務(wù)器BRAS或業(yè)務(wù)路由器SR;在用戶上線時(shí)，BACP 將用戶動(dòng)態(tài)獲取的IP地址與寬帶接入服務(wù)器的對(duì)應(yīng)信息記錄在用戶信 息與寬帶接入控制設(shè)備對(duì)應(yīng)表中；或者所述寬帶接入控制設(shè)備為用戶住宅設(shè)備CPE，所述用戶信息與寬帶 接入控制設(shè)備對(duì)應(yīng)表與綜合終端管理系統(tǒng)中的用戶IP與CPE對(duì)應(yīng)表保 持同步更新。
4. 根據(jù)權(quán)利要求1所述的系統(tǒng)，其特征在于，所述BACP進(jìn)一步 用于發(fā)送取消訪問控制策略請(qǐng)求至用戶終端所屬的寬帶接入控制設(shè)備； 寬帶接入控制設(shè)備停止執(zhí)行所述訪問控制策略。
5. 根據(jù)權(quán)利要求4所述的系統(tǒng)，其特征在于，所述BACP中進(jìn)一 步設(shè)置定時(shí)器，在BACP發(fā)送啟動(dòng)訪問控制策略請(qǐng)求后定時(shí)器開始計(jì) 時(shí)，在計(jì)時(shí)結(jié)束后觸發(fā)BACP發(fā)送所述取消訪問控制策略請(qǐng)求。
6. 根據(jù)權(quán)利要求1或4或5所述的系統(tǒng)，其特征在于，所述BACP 通過與寬帶接入控制設(shè)備的動(dòng)態(tài)策略控制接口向?qū)拵Ы尤肟刂圃O(shè)備發(fā)送4各息。
7. 根據(jù)權(quán)利要求l所述的系統(tǒng)，其特征在于，所述的寬帶接入控制 設(shè)備執(zhí)行的所述訪問控制策略為保留當(dāng)前用戶終端至支付頁面和/或用 戶常用的邏輯通路，關(guān)閉其他邏輯通路。
8. 根據(jù)權(quán)利要求7所述的系統(tǒng)，其特征在于，所述的寬帶接入控制 設(shè)備中還設(shè)置有白名單訪問控制列表，應(yīng)用支付平臺(tái)的支付頁面和用戶 常用的地址信息保存在該白名單訪問控制列表中；所述寬帶接入控制設(shè)備執(zhí)行的訪問控制策略為僅保留至所述白名單 訪問控制列表中所列地址的邏輯通路，關(guān)閉其他邏輯通路。
9. 一種基于寬帶網(wǎng)絡(luò)的安全支付控制方法，其特征在于，包括A. 應(yīng)用支付平臺(tái)收到用戶終端的在線支付請(qǐng)求后，收集該用戶終 端的用戶信息，將用戶信息發(fā)送給寬帶接入控制平臺(tái)BACP;B. BACP根據(jù)用戶信息驗(yàn)證該用戶的接入帳號(hào)與接入物理線路是 否對(duì)應(yīng)，如果對(duì)應(yīng)，則執(zhí)行步驟C,否則，禁止該用戶終端訪問支付頁 面；C. BACP向用戶終端所屬的寬帶接入控制設(shè)備下發(fā)啟動(dòng)訪問控制 策略請(qǐng)求；D. 寬帶接入控制設(shè)備執(zhí)行所述訪問控制策略，用戶進(jìn)行在線支付。
10. 根據(jù)權(quán)利要求9所述的方法，其特征在于，所述步驟B還包 括BACP根據(jù)獲取的用戶信息，通過查詢用戶信息與寬帶接入控制設(shè) 備對(duì)應(yīng)表確定用戶所屬的寬帶接入控制設(shè)備。
11. 根據(jù)權(quán)利要求10所述的方法，其特征在于，所述寬帶接入控制 設(shè)備為寬帶接入服務(wù)器BRAS、或業(yè)務(wù)路由器SR、或用戶住宅設(shè)備 CPE，所述用戶信息與寬帶接入控制設(shè)備對(duì)應(yīng)表中保存有用戶IP地址 與寬帶接入服務(wù)器的對(duì)應(yīng)信息。
12. 根據(jù)權(quán)利要求ll所述的方法，其特征在于，所述寬帶接入控制 設(shè)備為BRAS或SR;在用戶上線時(shí)，BACP將用戶動(dòng)態(tài)獲取的IP地址 與寬帶接入服務(wù)器的對(duì)應(yīng)信息記錄在該對(duì)應(yīng)表中。
13. 根據(jù)權(quán)利要求ll所述的方法，其特征在于，所述寬帶接入控制 設(shè)備為用戶住宅設(shè)備CPE;所述用戶信息與寬帶接入控制設(shè)備對(duì)應(yīng)表保存在綜合終端管理系統(tǒng) 中，BACP根據(jù)用戶信息中的IP地址通過到綜合終端管理系統(tǒng)中查詢 所述對(duì)應(yīng)表確定用戶所屬的寬帶接入設(shè)備；或者BACP在本地保存所述用戶信息與寬帶接入控制設(shè)備對(duì)應(yīng)表， 并保持與綜合終端管理系統(tǒng)中的用戶信息與寬帶接入控制設(shè)備對(duì)應(yīng)表同 步更新，BACP根據(jù)用戶信息中的IP地址通過查詢本地所述對(duì)應(yīng)表確 定用戶所屬的寬帶接入設(shè)備。
14. 根據(jù)權(quán)利要求9所述的方法，其特征在于，步驟D后進(jìn)一步包 括BACP發(fā)送取消訪問控制策略請(qǐng)求至用戶終端所屬的寬帶接入控制 設(shè)備；寬帶接入控制設(shè)備收到該請(qǐng)求后停止執(zhí)行所述訪問控制策略。
15. 根據(jù)權(quán)利要求14所述的方法，其特征在于，所述BACP發(fā)送 取消安全支付控制的請(qǐng)求前進(jìn)一步包括用戶支付完畢后支付頁面向 BACP發(fā)送取消訪問控制策略請(qǐng)求；或者BACP在發(fā)送完所述啟動(dòng)安全支付，用于安全支付控制的定時(shí)器到 時(shí)，觸發(fā)BACP發(fā)送取消訪問控制策略請(qǐng)求。
16. 根據(jù)權(quán)利要求9所述的方法，其特征在于，步驟D所述的寬帶 接入控制設(shè)備執(zhí)行所述訪問控制策略的過程包括根據(jù)所述用戶信息生 成訪問列表?xiàng)l目，僅保留當(dāng)前用戶終端至所述支付頁面和/或用戶常用 的邏輯通路，關(guān)閉其他邏輯通路。
17. 根據(jù)權(quán)利要求16所述的方法，其特征在于，設(shè)置白名單訪問控 制列表，將支付頁面和用戶常用的地址信息加入該白名單訪問控制列表 中；步驟D所述的寬帶接入控制設(shè)備執(zhí)行所述訪問控制策略的過程包 括根據(jù)所述白名單訪問控制列表生成訪問列表?xiàng)l目，僅保留到所述白 名單訪問控制列表中所列地址的邏輯通路，關(guān)閉其他邏輯通路。
18. 根據(jù)權(quán)利要求17所述的方法，其特征在于，白名單訪問控制 列表中的內(nèi)容由用戶自行設(shè)置并動(dòng)態(tài)更新。
19.根據(jù)權(quán)利要求9所述的方法，其特征在于，步驟A所述用戶信 息通過安全支付控制請(qǐng)求消息發(fā)送給寬帶接入控制平臺(tái)BACP。
20，根據(jù)權(quán)利要求9至18任意一項(xiàng)所述的方法，其特征在于，所 述用戶信息包括用戶IP、支付網(wǎng)關(guān)IP、 TCP/UDP、應(yīng)用協(xié)議類型。
21. —種計(jì)算機(jī)程序，當(dāng)由計(jì)算機(jī)執(zhí)行時(shí)能夠使計(jì)算機(jī)執(zhí)行權(quán)利要 求9 ~ 20所述的各種動(dòng)作。
22. —種記錄在至少一種計(jì)算機(jī)可讀介質(zhì)中的計(jì)算機(jī)程序產(chǎn)品， 包括當(dāng)計(jì)算機(jī)使用時(shí)，使計(jì)算機(jī)執(zhí)行權(quán)利要求9~19所述的方法步驟 的功能性描述素材。
全文摘要
本發(fā)明公開一種基于寬帶網(wǎng)絡(luò)的安全支付控制系統(tǒng)和方法，包括應(yīng)用支付平臺(tái)收到用戶終端的在線支付請(qǐng)求后，收集該用戶終端的用戶信息，并發(fā)送給寬帶接入控制平臺(tái)(BACP)；BACP根據(jù)用戶信息，驗(yàn)證該用戶的接入帳號(hào)與接入物理線路是否對(duì)應(yīng)，如果不對(duì)應(yīng)，禁止該用戶終端訪問支付頁面；否則，BACP向用戶終端所屬的寬帶接入控制設(shè)備下發(fā)啟動(dòng)訪問控制策略請(qǐng)求；寬帶接入控制設(shè)備執(zhí)行所述訪問控制策略，用戶進(jìn)行在線支付。本發(fā)明徹底解決了黑客盜用用戶帳號(hào)問題，提高了用戶在線支付的安全性。
文檔編號(hào)H04L9/00GK101378312SQ200710148338
公開日2009年3月4日 申請(qǐng)日期2007年8月31日 優(yōu)先權(quán)日2007年8月31日
發(fā)明者峣 何, 偉 劉, 盧燕青, 吳恒章, 榮 張, 張宇飛, 楊一鳴, 林有宏, 王朝暉, 立 陸 申請(qǐng)人:中國電信股份有限公司