控制经由用户设备在资源的控制点处对资源功能的访问

摘要

控制访问资源功能。由资源访问管理器建立用于多个用户中的每一个的登记信息(e)。由访问管理器加密每个在对应用户的授权数据项目中接收的(e)。由访问管理器将每个授权数据项目发送给对应的用户设备。由资源控制点从用户设备接收访问资源的功能的请求，访问请求包括所接收的授权数据项目和验证信息(v)。由控制点解密接收到的授权数据项目以提取(e)。由控制点确定(v)和(e)之间的相似性度量。对于大于或等于阈值的确定的相似性度量，由控制点授权访问请求。对于小于阈值的确定的相似性度量，由控制点拒绝访问请求。

权利要求

1.一种用于控制对资源的功能的访问的计算机实现的方法，包括：由资源的访问管理器建立用于多个用户中的每一个的登记信息(e)；

由所述访问管理器将每个接收到的登记信息(e)加密在对应用户的授权数据项目中；

由所述访问管理器将每个授权数据项目发送给所述对应用户的用户计算设备；

由所述资源的控制点从已经接收到发送的授权数据项目的用户计算设备接收对所述资源的功能的访问请求，所述访问请求包括所接收的授权数据项目和验证信息(v)；

由所述控制点解密所接收的授权数据项目以提取登记信息(e)；

由所述控制点确定(v)和(e)之间的相似性度量；

对于大于或等于阈值的确定的相似性度量，由所述控制点授权所述访问请求；和对于小于所述阈值的确定的相似性度量，由所述控制点拒绝所述访问请求。

2.根据权利要求1所述的方法，其中所述登记信息(e)和所述验证信息(v)包括描述用户生物测定特性的信息。

3.根据权利要求2所述的方法，其中所述生物测定特性包括以下之一：指纹、声纹、眼部图案和面部图案。

4.根据权利要求1所述的方法，其中访问所述资源的功能包括以下中的至少一个：访问电子支付功能、访问账户、访问物理受限空间以及访问信息。

5.根据权利要求1所述的方法，其中所述相似性度量包括在由(v)和(e)的向量分量定义的公共空间中的余弦相似性度量。

6.根据权利要求1所述的方法，其中所述资源包括商户位置处的商户系统，并且所述控制点是所述商户系统的销售点(POS)设备。

7.根据权利要求6所述的方法，其中：

接收访问请求包括：

由所述商户系统向满足预定标准的多个用户设备中的每一个发送对授权数据项目的请求；

由所述商户系统接收来自所述多个用户设备中的每一个的授权数据项目(v)；

由所述商户系统，在接收到来自所述多个用户设备中的特定用户设备的授权数据项目之后，接收来自第一用户设备的验证信息(v)；

解密包括，由所述POS设备，解密每个接收到的授权数据项目以提取所述登记信息(e)；

和

确定(v)和(e)之间的相似性度量包括，由所述POS设备确定从第一用户设备接收到的验证信息(v)和每个提取的登记信息(e)之间的相似性度量。

8.一种计算机程序产品，包括：

非瞬态计算机可读存储设备，其上包含计算机可执行程序指令，当所述计算机可执行程序指令由计算机执行时，使所述计算机控制对资源的功能的访问，所述计算机可执行程序指令包括：计算机可执行程序指令，用于由所述资源的访问管理器建立用于多个用户中的每一个的登记信息(e)；

计算机可执行程序指令，用于由所述访问管理器将每个接收到的登记信息(e)加密在对应用户的授权数据项目中；

计算机可执行程序指令，用于由所述访问管理器将每个授权数据项目发送给所述对应用户的用户计算设备；

计算机可执行程序指令，用于由所述资源的控制点从已经接收到发送的授权数据项目的用户计算设备接收对所述资源的功能的访问请求，所述访问请求包括所接收的授权数据项目和验证信息(v)；

计算机可执行程序指令，用于由所述控制点解密所接收的授权数据项目以提取登记信息(e)；

计算机可执行程序指令，用于由所述控制点确定(v)和(e)之间的相似性度量；

计算机可执行程序指令，用于对于大于或等于阈值的确定的相似性度量，由所述控制点授权所述访问请求；和计算机可执行程序指令，用于对于小于所述阈值的确定的相似性度量，由控制点拒绝所述访问请求。

9.根据权利要求8所述的计算机程序产品，其中所述登记信息(e)和所述验证信息(v)包括描述用户生物测定特性的信息。

10.根据权利要求9所述的计算机程序产品，其中所述生物测定特性包括以下之一：指纹、声纹、眼部图案和面部图案。

11.根据权利要求8所述的计算机程序产品，其中访问所述资源的功能包括以下中的至少一个：访问电子支付功能、访问账户、访问物理受限空间以及访问信息。

12.根据权利要求8所述的计算机程序产品，其中所述相似性度量包括在由(v)和(e)的向量分量定义的公共空间中的余弦相似性度量。

13.根据权利要求8所述的计算机程序产品，其中所述资源包括商户位置处的商户系统，并且所述控制点是所述商户系统的销售点(POS)设备。

14.根据权利要求13所述的计算机程序产品，其中：用于接收访问请求的计算机可执行程序指令包括：

计算机可执行程序指令，用于由所述商户系统向满足预定标准的多个用户设备中的每一个发送对授权数据项目的请求；

计算机可执行程序指令，用于由所述商户系统接收来自所述多个用户设备中的每一个的授权数据项目(v)；

计算机可执行程序指令，用于由所述商户系统，在接收到来自所述多个用户设备中的特定用户设备的授权数据项目之后，接收来自第一用户设备的验证信息(v)；

用于解密的计算机可执行程序指令包括：计算机可执行程序指令，用于由所述POS设备，解密每个接收到的授权数据项目以提取所述登记信息(e)；和用于确定(v)和(e)之间的相似性度量的计算机可执行程序指令包括：计算机可执行程序指令，用于由所述POS设备确定从第一用户设备接收到的验证信息(v)和每个提取的登记信息(e)之间的相似性度量。

15.一种控制对资源功能的访问的系统，所述系统包括：存储设备；和

处理器，所述处理器通信地耦合到所述存储设备，其中所述处理器执行存储在所述存储设备中的应用代码指令，以使所述系统：由所述资源的访问管理器建立用于多个用户中的每一个的登记信息(e)；

由所述访问管理器将每个接收到的登记信息(e)加密在对应用户的授权数据项目中；

由所述访问管理器将每个授权数据项目发送给所述对应用户的用户计算设备；

由所述资源的控制点从已经接收到发送的授权数据项目的用户计算设备接收对所述资源的功能的访问请求，所述访问请求包括所接收的授权数据项目和验证信息(v)；

由所述控制点解密所接收的授权数据项目以提取登记信息(e)；

由所述控制点确定(v)和(e)之间的相似性度量；

对于大于或等于阈值的确定的相似性度量，由所述控制点授权所述访问请求；和对于小于所述阈值的确定的相似性度量，由控制点拒绝所述访问请求。

16.根据权利要求15所述的系统，其中所述登记信息(e)和所述验证信息(v)包括描述用户生物测定特性的信息。

17.根据权利要求16所述的系统，其中所述生物测定特性包括以下之一：指纹、声纹、眼部图案和面部图案。

18.根据权利要求15所述的系统，其中所述相似性度量包括在由(v)和(e)的向量分量定义的公共空间中的余弦相似性度量。

19.根据权利要求15所述的系统，其中所述资源包括商户位置处的商户系统，并且所述控制点是所述商户系统的销售点(POS)设备。

20.根据权利要求19所述的系统，其中：

使得所述系统接收访问请求的应用代码指令包括：

应用代码指令，使得所述系统由所述商户系统向满足预定标准的多个用户设备中的每一个发送对授权数据项目的请求；

应用代码指令，使得所述系统由所述商户系统接收来自所述多个用户设备中的每一个的授权数据项目(v)；

应用代码指令，使得所述系统由所述商户系统，在接收到来自所述多个用户设备中的特定用户设备的授权数据项目之后，接收来自第一用户设备的验证信息(v)；

使得所述系统解密的应用代码指令包括：应用代码指令，使得所述系统由所述POS设备，解密每个接收到的授权数据项目以提取所述登记信息(e)；和使得所述系统确定(v)和(e)之间的相似性度量的应用代码指令包括：应用代码指令，使得所述系统由所述POS设备确定从第一用户设备接收到的验证信息(v)和每个提取的登记信息(e)之间的相似性度量。

说明书

控制经由用户设备在资源的控制点处对资源功能的访问

技术领域

[0001] 本公开涉及控制使用用户设备在资源的控制点处对基于计算机的资源的功能的访问。某些实施例使用用户的生物测定特性来控制对资源功能的访问。

背景技术

[0002] 下述基于计算机的资源是已知的：其需要用户在控制点(例如建筑物安全系统中的访问控制点或移动电话中的解锁屏幕)处呈现身份验证信息，以作为确定用户是否被授权访问资源的一个或多个功能的部分而验证用户的身份。在这样的应用中，在请求该功能时与控制点通信的存储器维护授权用户的数据库和对应于每个用户的所需的验证信息-例如，存储在移动电话中的密码(用明码(in the clear)存储在移动电话中或移动电话的安全元件中)或存储在建筑物安全系统的中央数据库中的指纹。

发明内容

[0003] 本文公开的技术的实施例提供了用于控制经由用户设备在资源的控制点处对资源功能的访问的系统、方法和计算机程序产品。在这种方法中，资源的访问管理器为多个用户中的每一个建立登记信息(e)。访问管理器将每个接收到的登记信息(e)加密在对应用户的授权数据项目中。访问管理器将每个授权数据项目发送给对应用户的用户计算设备。资源的控制点从已经接收到传送的授权数据项目的用户计算设备接收对资源功能的访问请求。访问请求包括接收到的授权数据项目和验证信息(v)。控制点解密所接收的授权数据项目以提取登记信息(e)。控制点确定(v)和(e)之间的相似性度量。对于大于或等于阈值的确定的相似性度量，控制点授权访问请求。对于小于阈值的确定的相似性度量，控制点拒绝访问请求。

[0004] 在考虑了所示示例性实施例的以下详细描述之后，示例实施例的这些和其它方面、目的、特征和优点对于本领域普通技术人员将变得显而易见。

附图说明

[0005] 图1是描绘根据某些示例实施例用于控制经由用户设备在控制点处对资源功能的访问的通信和处理架构的框图。

[0006] 图2是描绘根据某些示例实施例控制经由用户设备在控制点处对资源功能的访问的框图。

[0007] 图3是描绘根据某些示例实施例控制经由用户设备在控制点处对资源功能的访问的框图。

[0008] 图4是描绘根据某些示例实施例控制经由用户设备在控制点处对资源功能的访问的框图。

[0009] 图5是描绘根据某些示例实施例控制经由用户设备在控制点处对资源功能的访问的框图。

[0010] 图6是描绘根据某些示例实施例控制经由用户设备在控制点处对资源功能的访问的框图。

[0011] 图7是描绘根据某些示例实施例控制经由用户设备在控制点处对资源功能的访问的框图。

[0012] 图8是描绘根据所公开的技术的某些示例实施例的计算机器和模块的图。

具体实施方式

[0013] 现在转到附图，其中在所有附图中相同的数字表示相同(但不必须完全一致)的元件，详细描述了示例实施例。

[0014] 概述

[0015] 将用户身份的证据用明码(in the clear)存储在用于在资源的控制点处访问资源功能的用户设备上可能会暴露用户身份导致危害。在用户设备中使用安全元件显然要求用户设备配备有安全元件。在中央数据库中，远离控制点地存储用户身份的证据要求控制点在验证用户身份时具有与中央数据库的连接。

[0016] 本技术的实施例减轻了在用户设备上用明码(in the clear)将用户身份的证据存储在非易失性存储器中的风险，避免了在用户设备中对安全元件的需要，并且避免了在身份验证时对控制点与中央数据库之间的连接的需要。

[0017] 考虑用户建立登记信息(e)，例如基于诸如指纹的生物测定度量与建筑物安全系统的访问管理器计算系统建立登记信息(e)。访问管理器可以将登记信息(e)加密在授权数据项目中。授权数据项目还可以包括加密的或其他方式的信息，例如用户可以访问建筑物的时间。授权数据项目可以被传送到用户的计算设备，例如，传送到用户的装备有近场通信(NFC)的移动电话。

[0018] 控制点计算系统可以从用户设备接收对建筑物安全系统的功能的访问请求，例如，与控制点相邻的门被解锁。该请求可以包括：包含用户的加密的指纹数据的授权数据项目，和验证信息(v)，例如来自在控制点处扫描的指纹的指纹数据。

[0019] 控制点在授权请求时不需要访问建筑物安全系统的其余部分就可以1)解密授权数据项目的加密部分以获得(e)。然后，控制点可以比较(e)与(v)以确认用户的身份(在一些实施例中使用相似性度量和阈值)；和2)经由授权消息中包含的其他信息(例如访问时间)来确定所识别的用户的授权。对于被确定授权访问资源功能的已识别用户，在这种情况下解锁门，控制点使资源执行该功能。

[0020] 这种方法不要求用户设备包括安全元件。不要求控制点访问授权用户的数据库和多个授权用户中的每一个的登记信息(e)。不要求用户设备用明码(in the clear)存储验证信息(v)。

[0021] 这种方法解决了特别是如下中存在的技术难题：使用缺少安全元件的移动设备来验证用户身份，作为确定用户是否被授权访问计算机实现的资源的一些功能的一部分。如上所述，本技术可以用于以下情况中：在验证时没有因特网提供控制点与所有登记用户识别和授权信息的数据库之间的连接。本文公开的技术可以克服通常由缺少安全元件的用户设备向在身份验证时缺乏与身份验证和功能授权信息的数据库的连接性的控制点作出的对资源的功能的访问请求所触发的事件的常规序列。通过使用并依赖本文描述的技术，资源操作者(例如商户)和用户(例如消费者)都可以从改进的资源功能访问控制中受益，该改进的资源功能访问控制可以在不连接到诸如因特网等网络的情况下在身份验证时操作。因此，本文所公开的技术提供了一种技术解决方案，当在资源的控制点和需要保护的身份验证数据之间诸如因特网连接的网络连接不可用时，减轻电子支付系统中呈现的技术问题。

[0022] 示例架构

[0023] 图1是描绘根据某些示例实施例用于控制经由用户设备在控制点处对资源功能的访问的通信和处理架构100的框图。虽然架构中显示的一些服务器、系统和设备由服务器、系统或设备的一个实例表示，但可以使用每个的多个实例。此外，尽管本技术的某些操作方面在与图1有关的示例中呈现以便于实现要求保护的发明，但是本文其他地方公开了本技术的另外的特征，也有助于实现要求保护的发明。

[0024] 如图1所示，架构100包括网络设备110、120和130；其中的每个可以被配置为经由通信网络199彼此通信。在一些实施例中，与设备相关联的用户必须安装应用和/或进行特征选择以获得本文描述的技术的益处。

[0025] 网络199包括一个或多个有线或无线电信装置(wired  or  wireless telecommunications means)，网络设备可通过这些装置交换数据。例如，网络199可以包括以下中的一个或多个：局域网(LAN)、广域网(WAN)、内联网、因特网、存储区域网络(SAN)、个人区域网络(PAN)、城域网(MAN)、无线局域网(WLAN)、虚拟专用网(VPN)、蜂窝或其他移动通信网络、蓝牙无线技术连接、近场通信(NFC)连接，其任何组合以及有助于信号、数据和/或消息的通信的任何其它适当的架构或系统。在整个示例实施例的讨论中，应当理解，术语“数据”和“信息”在本文中可互换使用以指代可以存在于基于计算机的环境中的文本、图像、音频、视频或任何其他形式的信息。

[0026] 每个网络设备110、120和130可以包括能够通过网络199发送和接收数据的通信模块。例如，每个网络设备可以包括服务器、台式计算机、膝上型计算机、平板计算机、具有嵌入其中和/或耦合到其的一个或多个处理器的电视、智能电话、手持式计算机、个人数字助理(PDA)或任何其它有线或无线处理器驱动的设备。在图1所示的示例实施例中，诸如建筑安全管理员的资源操作者可以操作访问管理器110和控制点120；用户可以操作用户设备130。

[0027] 在示例实施例中，网络设备以及与此处呈现的技术相关联的任何其它计算机器可以是任何类型的计算机器，例如但不限于关于图8更详细讨论的那些计算机器。此外，与这些计算机器中的任一个相关联的任何模块，例如本文描述的模块或与本文呈现的技术相关联的任何其他模块(脚本、Web内容、软件、固件或硬件)可以是关于图8更详细地讨论的任何模块。本文讨论的计算机器可以通过一个或多个网络(例如通信网络199)彼此与另外一个进行通信以及与其他计算机机器或通信系统进行通信。通信网络199可以包括任何类型的数据或通信网络，包括关于图8讨论的任何网络技术。

[0028] 所示的网络连接是示例，并且可以使用在计算机和设备之间建立通信链路的其他手段。此外，受益于本公开的本领域普通技术人员将会理解图1所示的网络设备可以具有几种其它合适的计算机系统配置中的任一种。例如，用户设备130可以被实现为移动电话或手持计算机，并且可以不包括上述所有构件。

[0029] 示例过程

[0030] 下面关于示例通信和处理架构100的构件来描述图中所示的示例方法。示例方法也可以用其他系统和在其他环境中执行。关于任何附图描述的操作可以被实现为存储在计算机或机器可读非瞬态有形存储介质(例如，软盘、硬盘、ROM、EEPROM、非易失性RAM、CD-ROM等)上存储的可执行代码，其基于通过使用一个或多个集成电路实现的处理器电路执行代码而完成；这里描述的操作也可以被实现为在一个或多个非瞬态有形介质中编码以用于执行的可执行逻辑(例如，可编程逻辑阵列或设备、现场可编程门阵列、可编程阵列逻辑、专用集成电路等)。

[0031] 参考图2，示出了根据某些示例性实施例描绘用于控制经由移动用户设备在控制点处对资源功能的访问的方法200的方框流程图。在这种方法中，资源的访问管理器接收多个用户中的每一个的登记信息(e)-框210。作为持续示例的一部分，考虑基于计算机的建筑安全系统作为资源，以及指纹信息作为登记信息(e)。

[0032] 建筑安全系统可以包括诸如访问管理器110的访问管理器以及诸如控制点120的多个NFC使能的控制点。每个控制点120可以位于建筑的入口处，并且可以通过诸如通信网络199的通信网络连接到接入管理器。

[0033] 我们手指上的摩擦脊(friction ridges)帮助手来抓握物体，并且由于它们的图案基本上是独特且不可变的，所以它也可以用于人物识别。这些脊突然终止或分支的点被称为细节点(minutia points)。可以通过比较这些细节点的位置和方向来验证指纹。在使用指纹信息作为登记信息(e)的实施例中，访问管理器110可以从来自指纹传感器的指纹的灰度输入图像计算方向场(orientation field)和二进制图像。指纹传感器可以是访问管理器110的一部分，或者可以与访问管理器110分离。在一些实施例中，经由可信设备收集登记信息(e)，该可信设备可以与资源分开。在一些实施例中，用户设备130本身可以用于收集登记信息(e)。

[0034] 对于指纹图像的每个突然结束或分支线，访问管理器110创建细节点。访问管理器110将每个细节点与方向向量相关联。细节点及其方向向量组成指纹信息。

[0035] 接收登记信息的过程可以被返回以修改、更新或改变登记数据(e)。登记数据(e)的改变可以包括登记数据(e)的类型的改变，例如从指纹信息到PIN，反之亦然。

[0036] 访问管理器110可以将每个接收到的登记信息(e)加密在对应用户的授权数据项目中-框220。访问管理器110加密登记信息(e)，使得只有控制点将能够解密登记信息(e)。例如，这样的加密可以用对称加密(Symmetric Cryptography)来执行，其中秘密密钥在接入管理器110与控制点120(但不是用户设备130)之间共享，或者使用非对称加密，其中只有控制点120具有与用于加密登记信息(e)的公开密钥相对应的适当的私有密钥。授权数据项目还可以包含1)消息认证码，2)可用于确定正确识别的用户的授权的附加信息。作为继续示例中的附加信息的示例，考虑验证的个人被授权进入建筑物的时间。

[0037] 访问管理器110将每个授权数据项目发送到对应用户的用户计算设备130-框230。在继续示例中，访问管理器110通过通信网络199将每个授权数据项目发送到被授权进入建筑的每个用户的有NFC能力的移动电话130。在一些实施例中，授权数据项目可以嵌入在用户设备130的硬件中。在每种情况下，缺少适当密钥的用户设备不能容易地解密已被加密在授权消息中的登记信息(e)。

[0038] 控制点120从用户设备130-具体地从已经从接入管理器110接收到发送的授权数据项目的用户设备130-接收对资源的功能的访问请求-框240。访问请求包括接收到的授权数据项目和验证信息(v)两者。在继续示例中，在经由在控制点120和用户设备130之间打开的安全NFC信道将指纹信息作为验证信息(v)发送到控制点120之前，用户设备130从用户获取指纹图像并且从指纹图像导出指纹信息。在一些实施例中，采集诸如指纹图像的原始数据，将原始数据转换为验证信息(v)以及继续处理所需的任何其他处理中的每个、一些或全部可以在用户设备130或控制点120处发生。

[0039] 控制点120可以解密接收的授权数据项目以提取登记信息(e)-框250。控制点120可以确定验证信息(v)和登记信息(e)之间的相似性度量-框260。在继续示例中，控制点120将在登记期间收集的指纹信息与结合访问请求收集的指纹信息进行比较。

[0040] 控制点120不必确定登记信息(e)和验证信息(v)之间的严格一致性。控制点120可以使用相似性阈值-框270。

[0041] 通常，为了确定登记信息(e)和验证信息(v)之间的相似性度量，控制点120评估函数f(e，v)。函数f(e，v)是特定于正在使用的(e)和(v)的特定类型。对于在继续示例中使用的指纹信息，每个细节点与其最相似的对应物配对。控制点120执行对准以补偿平移(panning)和缩放(scaling)效果。控制点120基于诸如匹配细节的数量、两个指纹的重叠区域中的匹配细节的百分比以及匹配细节之间的脊数的一致性的因素来计算相似性得分以反映两个指纹之间的匹配程度。

[0042] 对于大于或等于阈值的确定的相似性度量(来自框270的“是”路径)，控制点可以授权访问请求-框280。对于小于阈值的确定的相似性度量(来自框270的“否”路径)，控制点可以拒绝访问请求-框290。

[0043] 在一些实施例中，控制点120包括安全元件。安全元件可以存储解密密钥，执行解密，并将验证信息(v)与登记信息(e)进行比较。在这样的实施例中，攻击者不能获得解密密钥，攻击者无法获得解密的登记信息(e)，可以节流(throttle)授权请求以减轻暴力攻击的风险。

[0044] 参考图3，并且继续参考用于上下文的前面的附图，示出了描绘根据某些示例实施例用于控制经由移动用户设备在控制点处对资源功能的访问的方法的框图300。在这样的实施例中，如结合图2所描述的那样执行框220、框230、框250、框260-框290。在这样的实施例中，登记信息(e)包括描述用户生物测定特性的信息(框310)，并且验证信息(v)包括相同类型的用户生物测定特性(框340)。特别地，生物测定特性包括以下之一：指纹(如结合图2所述的实施例中)、声纹、眼部图案、面部图案、手写签名和键入模式。

[0045] 关于声纹，虽然语音识别(speech recognition)的目的是理解所说的内容并忽略诸如口音(accent)、音调(pitch)、语调(intonation)、速度等的语音特征，但是声音(voice)(或说话者:speaker)识别旨在比较这些声音特征，而忽略说了什么。在典型的声音识别应用中，获得声音样本，但是它本事不被存储，而是存储样本的谱分析的一些分量，通常称为“特征”。声音生物测定样本被未加工地发送到控制点120，控制点120然后导出生物测定特性验证数据(v)，或者用户设备130导出生物测定登记数据(e)并将其发送到控制点120。

[0046] 在眼部图案识别中，可以使用视网膜图案或虹膜图案。人类视网膜是由复杂的毛细血管结构形成的，所述复杂的毛细血管结构为视网膜提供血液，暴露出独特的图案。虹膜也暴露了独特而稳定的复杂随机图案。此外，虹膜通常比视网膜更容易扫描。面部识别比较区别性特征，例如嘴的轮廓、颊骨周围的区域、眼窝和鼻和眼睛的位置。

[0047] 个人的签名被认为是难以伪造的。通过还考虑动态，可以使得签名验证变得更强。这可以通过比较控制点120处的签名中的诸如各个点处的笔压力和写入速度的特征来完成。类似于比较手写动态，键入模式识别比较键盘上的用户键入的动态，例如，击键之间的间隔和整体速度和模式。

[0048] 参考图4，并且继续参考用于上下文的前面附图，示出了描绘根据某些示例实施例用于控制经由移动用户设备130在控制点120处对资源功能的访问的方法的框图400。在这样的实施例中，如结合图2所描述的那样执行框210-框250和框270-框290。在这样的实施例中，登记信息(e)和验证信息(v)之间的相似性度量包括由(v)和(e)的向量分量定义的公共空间中的余弦相似性度量-框460。在继续的实施例中，使用余弦度量来比较跨(v)和(e)的每个细节点的方向向量的相似性。

[0049] 参考图5，并且继续参考用于上下文的前面附图，示出了描绘根据某些示例实施例控制经由移动用户设备在控制点处对资源功能的访问的框图500。在这样的实施例中，如结合图2所述，执行框210-框230和框250-框290。在这样的实施例中，对资源的功能的访问包括以下中的至少一个：访问电子支付功能、访问账户、访问物理受限的空间(如在继续示例中)以及访问信息-框540。

[0050] 参考图6，并且继续参考用于上下文的前面附图，示出了描绘根据某些示例实施例控制经由移动用户设备在控制点处对资源功能的访问的框图600。在这样的实施例中，如结合图2所描述的那样执行框210-框230、框280和框290。在这样的实施例中，资源是在商户位置处的商户系统，并且控制点是销售点(point-of-sale:POS)系统。在一些这样的实施例中，用户在与访问管理器110建立诸如声纹的登记信息(e)之后，在用户的NFC使能的移动设备130上接收授权数据项目。当用户希望在商户位置处发起购买时，用户在商户位置的POS控制点120处轻触NFC使能的移动设备130并且对用户设备说话。在移动设备130和POS设备120之间建立安全通信信道199，通过该安全通信信道199，包含加密的登记信息(e)的授权数据项目和作为验证信息(v)的声纹待由POS设备120接收-框640。POS设备120可以解密所接收的授权数据项目以提取登记信息(e)-框650。然后，POS设备120可以确定登记信息(e)和验证信息(v)之间的相似性度量，例如本文中其他地方讨论的余弦相似性度量-框660。如结合图2描述的方法200中那样，对于大于或等于阈值的确定的相似性度量(来自框270的“是”路径)，控制点可以授权访问请求-框280。对于小于阈值的确定的相似性度量(来自框
270的“否”路径)，控制点可以拒绝访问请求-框290。

[0051] 参考图7，并且继续参考用于上下文的前面附图，示出了描绘根据某些示例性实施例控制经由移动用户设备在控制点处对资源功能的访问的框图700。在这样的实施例中，如结合图2所描述的那样执行框210-框230和框270-框290。在这样的实施例中，接收访问请求(框240)包括由商户系统向符合预定标准的多个用户设备中的每一个发送对授权数据项目的请求-框742。例如，控制点120可以发送进入商户的商店的每个用户设备130提供与用户设备130相对应的授权数据项目的请求。该请求可以规则地、不规则地发送，或由外部事件触发(例如，当用户设备进入商户位置时，当为了信息用户设备被用于扫描商户位置处的项目时)。在任何这些情况下，发送授权请求可以从发起购买的用户和从验证信息的要求(v)中去耦合。以这种方式，为了授权数据项目，可以轮询商店中的用户设备130(近邻度量)。

[0052] 在一些实施例中，不需要来自商户系统对某些用户设备130的授权数据项目的请求。在这样的实施例中，用户设备130可以将其授权数据项目发送到商户系统，而不必以规则的间隔，随机地或以某种其他方式提示。

[0053] 响应于对授权项目的请求，商户系统(经由POS设备120或作为商户系统的一部分的与POS设备120通信的其他设备)可以从多个用户设备中的每一个接收授权数据项目(v)-框744。

[0054] 商户系统(经由POS设备120或作为商户系统的一部分与POS设备120通信的其他设备)可以从第一用户设备130接收验证信息(v)(框746)，然后解密每个接收到的授权数据项目以提取登记信息(e)-框750。注意，每个授权数据项目被解密以提取对应于每个用户设备130的登记信息(e)，但是只接收希望发起交易的用户的用户设备130的验证信息(v)。

[0055] 商户系统(经由POS设备120或作为商户系统的一部分的与POS设备120通信的其他设备)可以确定来自第一用户设备的接收到的验证信息(v)和每个提取的登记信息(e)之间的相似性度量-框760。如果验证信息(v)是等于或大于预定阈值地相似于仅一个提取的登记信息(e)，则授权访问。如果需要区分的验证信息(v)形成登记信息(e)的整个群体，则将登记信息(e)的可能范围减少到只有靠近商户位置的那些可以允许使用，相比于否则会有效的情形，较低阈值相似性。

[0056] 虽然在与图7相关的示例中使用位置/邻近度以定义从其中请求授权数据项目的用户设备集合，但是可以使用单独或组合的其他标准。例如，该技术可以轮询在给定时间段内访问过资源位置的所有用户设备，而不管设备当前是否在该位置。作为另一个示例，该技术只能在位置处轮询先前同意被轮询的用户设备的子集。

[0057] 其他示例实施例

[0058] 图8描绘了根据某些示例实施例的计算机器2000和模块2050。计算机器2000可以对应于本文呈现的各种计算机、服务器、移动设备、嵌入式系统或计算系统中的任一个。模块2050可以包括配置成便于计算机器2000执行本文呈现的各种方法和处理功能的一个或多个硬件或软件元素。计算机器2000可以包括各种内部或附接的构件，例如处理器2010、系统总线2020、系统存储器2030、存储介质2040、输入/输出接口2060和用于与网络2080进行通信的网络接口2070。

[0059] 计算机器2000可以被实现为常规计算机系统、嵌入式控制器、膝上型计算机、服务器、移动设备、智能电话、机顶盒、自助服务机(kiosk)、车载信息系统(vehicular information system)、与电视相关联的一个或多个处理器、定制机器、任何其他硬件平台或其任何组合或多个组合。计算机器2000可以是配置为使用经由数据网络或总线系统互连的多个计算机器起作用的分布式系统。

[0060] 处理器2010可以被配置为执行代码或指令以执行本文描述的操作和功能，管理请求流和地址映射，以及执行计算和生成命令。处理器2010可以被配置为监视和控制计算机器2000中的构件的操作。处理器2010可以是通用处理器、处理器核心、多处理器、可重构处理器、微控制器、数字信号处理器(DSP)、专用集成电路(ASIC)、图形处理单元(GPU)、现场可编程门阵列(FPGA)、可编程逻辑器件(PLD)、控制器、状态机、门控逻辑、分立硬件构件、任何其他处理单元，或其的任何组合或多个。处理器2010可以是单个处理单元、多个处理单元、单个处理核心、多个处理核心、专用处理核心、协处理器或其任何组合。根据某些实施例，处理器2010与计算机器2000的其他构件一起可以是在一个或多个其它计算机器内执行的虚拟化计算机器。

[0061] 系统存储器2030可以包括非易失性存储器，例如只读存储器(ROM)、可编程只读存储器(PROM)、可擦除可编程只读存储器(EPROM)、闪速存储器、或任何其它能够有或无施加电力地存储程序指令或数据的设备。系统存储器2030还可以包括易失性存储器，例如随机存取存储器(RAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)和同步动态随机存取存储器(SDRAM)。也可以使用其他类型的RAM来实现系统存储器2030。系统存储器2030可以使用单个存储器模块或多个存储器模块来实现。虽然系统存储器2030被描绘为计算机器2000的一部分，但是本领域技术人员将认识到，系统存储器2030可以与计算机器
2000分离，而不脱离本技术的范围。还应当理解，系统存储器2030可以包括非易失性存储设备(例如，存储介质2040)或与非易失性存储设备(例如，存储介质2040)结合操作。

[0062] 存储介质2040可以包括硬盘、软盘、光盘只读存储器(CD-ROM)、数字通用盘(DVD)、蓝光盘、磁带、闪存、其他非易失性存储器件、固态驱动器(SSD)、任何磁存储器件、任何光存储器件、任何电存储器件、任何半导体存储器件、任何物理存储器件、任何其它数据存储器件或其任何组合或多个。存储介质2040可以存储一个或多个操作系统、应用程序和程序模块，例如模块2050、数据或任何其它信息。存储介质2040可以是计算机器2000的一部分或连接到计算机器2000。存储介质2040还可以是与计算机器2000通信的一个或多个其他计算机的一部分，例如服务器、数据库服务器、云存储、网络连接存储等。

[0063] 模块2050可以包括一个或多个硬件或软件元素，其配置为便于计算机器2000执行本文呈现的各种方法和处理功能。模块2050可以包括与系统存储器2030、存储介质2040或两者相关联地存储为软件或固件的一个或多个指令。因此，存储介质2040可以代表可以在其上存储指令或代码以供处理器2010执行的机器或计算机可读介质的示例。机器或计算机可读介质通常可以指用于向处理器2010提供指令的任何单个介质或多个介质。与模块2050相关联的这种机器或计算机可读介质可以包括计算机软件产品。应当理解，包括模块2050的计算机软件产品还可以与用于经由网络2080、任何信号承载介质或任何其它通信或传递技术将模块2050递送到计算机器2000的一个或多个过程或方法相关联。模块2050还可以包括硬件电路或用于配置硬件电路的信息，例如用于FPGA或其他PLD的微代码或配置信息。

[0064] 输入/输出(I/O)接口2060可以被配置为耦合到一个或多个外部设备，以从一个或多个外部设备接收数据，并将数据发送到一个或多个外部设备。这样的外部设备连同各种内部设备也可以被称为外围设备。I/O接口2060可以包括用于将各种外围设备可操作地耦合到计算机器2000或处理器2010的电和物理连接。I/O接口2060可以被配置为在外围设备、计算机器2000或处理器2010之间传送数据、地址和控制信号。I/O接口2060可以被配置为实现任何标准接口，例如小型计算机系统接口(SCSI)、串行连接SCSI(SAS)、光纤信道、外围构件互连(PCI)、PCI Express(PCIe)、串行总线、并行总线、附加先进技术(ATA)、串行ATA(SATA)、通用串行总线(USB)，Thunderbolt、FireWire、各种视频总线等。I/O接口2060可以被配置为仅实现一个接口或总线技术。或者，I/O接口2060可以被配置为实现多个接口或总线技术。I/O接口2060可以被配置为系统总线2020的一部分或全部，或者与系统总线2020一起操作。I/O接口2060可以包括用于缓冲一个或多个外部设备、内部设备、计算机器2000或处理器2010之间的传输的一个或多个缓冲器。

[0065] I/O接口2060可以将计算机器2000耦合到各种输入设备，所述各种输入设备包括鼠标、触摸屏、扫描仪、电子数字化仪、传感器、接收器、触摸板、轨迹球、照相机、麦克风、键盘、任何其它指示设备，或其任何组合。I/O接口2060可以将计算机器2000耦合到各种输出设备，所述各种输出设备包括视频显示器、扬声器、打印机、投影仪、触觉反馈设备、自动化控制、机器人构件、致动器、马达、风扇、螺线管、阀、泵、信号发射器、灯等。

[0066] 计算机器2000可以使用通过网络接口2070跨越网络2080到一个或多个其他系统或计算机器的逻辑连接而在网络化环境中操作。网络2080可以包括广域网(WAN)、局域网(LAN)、内联网、因特网、，无线接入网络、有线网络、移动网络、电话网络、光网络或其组合。网络2080可以是任何拓扑的分组交换、电路交换，并且可以使用任何通信协议。网络2080内的通信链路可以涉及各种数字或模拟通信介质，例如光纤光缆、自由空间光学器件、波导、电导体、无线链路、天线、射频通信等。

[0067] 处理器2010可以通过系统总线2020连接到计算机器2000的其他元件或本文所讨论的各种外围设备。应当理解，系统总线2020可处于处理器2010外部或处理器2010内部或两者。根据一些实施例，任何处理器2010、计算机器2000的其他元件或本文讨论的各种外围设备可以集成到单个设备中，例如片上系统(SOC：system on chip)、系统级封装(SOP：system on package))或ASIC设备。

[0068] 在这里讨论的技术收集关于用户的个人信息或可以利用个人信息的情况下，可以向用户提供用于控制程序或特征是否收集用户信息(例如，关于用户社交网络、社会行为或活动、专业、用户偏好或用户的当前位置的信息)的机会，或者控制是否和/或如何从内容服务器接收可能与用户更相关的内容。此外，某些数据可以在被存储或使用之前以一种或多种方式处理，以便消除个人识别信息(personally identifiable information)。例如，可以对用户的身份进行处理，使得不能对该用户确定个人识别信息，或者可以在获得位置信息(例如，城市，邮政编码或州级)的情况下将用户的地理位置概括一般化，使得不能确定用户的特定位置。因此，用户可以控制信息如何关于用户而被收集和由内容服务器使用。

[0069] 实施例可以包括体现本文所描述和示出的功能的计算机程序，其中计算机程序在包括存储在机器可读介质中的指令和执行指令的处理器的计算机系统中实现。然而，显而易见的是，在计算机程序设计中可能有许多实现实施例的不同方式，并且实施例不应被解释为限于任何一组计算机程序指令。此外，熟练的程序员将能够编写这样的计算机程序，以基于附加的流程图和申请文本中的相关描述来实现所公开的实施例的实施例。因此，对于一组特定的程序代码指令的公开不被认为是充分理解如何制作和使用实施例的必要条件。此外，本领域技术人员将理解，本文描述的实施例的一个或多个方面可以由硬件、软件或其组合来执行，如可以在一个或多个计算系统中体现的。此外，对于由计算机执行的动作的任何引用不应被解释为由单个计算机执行，因为多于一个计算机可以执行该动作。

[0070] 本文描述的示例实施例可以与执行前述方法和处理功能的计算机硬件和软件一起使用。本文描述的系统、方法和过程可以体现在可编程计算机、计算机可执行软件或数字电路中。该软件可以存储在计算机可读介质上。例如，计算机可读介质可以包括软盘、RAM、ROM、硬盘、可移动介质、闪速存储器、记忆棒、光学介质、磁光介质、CD-ROM等。数字电路可以包括集成电路、门阵列、构建块逻辑、现场可编程门阵列(FPGA)等。

[0071] 先前提出的实施例中描述的示例系统、方法和动作是示例性的，并且在替代实施例中，可以以不同的顺序、彼此并行地、完全省略、和/或在不同的示例性实施例中组合执行某些动作，和/或可以执行某些附加动作，而不脱离各种实施例的范围和精神。因此，这些替代实施例被包括在本文所述的技术中。例如，在图7描述的实施例中，由POS设备120解密接收的授权信息，可以在从用户设备130接收验证信息(v)之前进行。

[0072] 虽然上面已经详细描述了具体实施例，但是描述仅仅是为了说明的目的。因此，应当理解，除非另有明确说明，否则上述许多方面不旨在作为必需或必要的要素。除了上述描述之外，对应于示例实施例的公开方面的修改以及等效构件或动作可以由本领域普通技术人员在不脱离在所附权利要求中所限定的实施例的精神和范围的情况下得益于本公开而作出，权利要求的范围将被赋予最宽泛的解释以包含这样的修改和等效结构。