CN103825744A - 非现场个人数字证书申请方法及系统 - Google Patents

Abstract

本发明提供一种非现场个人数字证书申请方法及系统。根据所述方法，所述系统获取用户的包含身份证信息的个人信息，并获取用户的脸部图像信息；根据所述身份证信息从全国公民身份信息库调取所对应的身份证的证件照信息；将所述脸部图像信息与所调取的证件照信息进行匹配，并根据匹配度来进行所述个人信息的实名认证；在通过实名认证后，生成对应于所述个人信息的密钥对，并根据所述个人信息和所述密钥对中的公钥签发数字证书；将签发的所述数字证书提供给所述用户。本发明能够避免用户现场办理数字证书所带来的时间消耗、效率低下等缺点。

Description

非现场个人数字证书申请方法及系统

技术领域

本发明涉及一种个人数字证书申请技术，特别是涉及一种非现场个人数字证书申请方法及系统。

背景技术

数字证书作为互联网通讯中标识通讯各方身份信息的一种证明方式，其应用范围涉及需要身份认证及数据安全的各个行业，包括工商、税务、社保、海关、质监、医疗、金融、证券、保险、旅游等网上业务系统和电子商务系统。

个人数字证书，主要用于标识数字证书自然人所有人的身份，包含了个人的身份信息及其公钥，如用户姓名、证件号码、邮箱地址等。通过合法的第三方电子认证服务机构签发的包含个人身份信息的证书，它用于标志自然人在进行信息交换、电子签名、电子政务、电子商务等网络活动中的身份，并且保障信息在传输中的安全性和完整性以及行为的不可抵赖性。

目前，个人申请数字证书需要申请者本人到第三方电子认证服务机构受理点现场填写个人身份资料，提交个人身份证明材料。目前我国大多数省级行政单位管辖范围内均设有依法成立的第三方电子认证服务机构，但这些服务机构的服务网点数量有限，覆盖地区亦有限，同时个人申请数字证书首先须到服务网点接受面对面的资料审核，因此个人申请数字证书时会耗费占用申请人大量的时间，严重阻碍了个人数字证书的发展和应用，迫切需要一种能够非现场识别申请者身份并为申请人发放数字证书的系统和方法。

发明内容

鉴于以上所述现有技术的缺点，本发明的目的在于提供一种非现场个人数字证书申请方法及系统，用于解决现有技术中个人数字证书必须现场办理，而导致办理过程效率低等问题。

为实现上述目的及其他相关目的，本发明提供一种非现场个人数字证书申请方法，包括：获取用户的包含身份证信息的个人信息，并获取用户的脸部图像信息；根据所述身份证信息从全国公民身份信息库调取所对应的身份证的证件照信息；将所述脸部图像信息与所调取的证件照信息进行匹配，并根据匹配度来进行所述个人信息的实名认证；在通过实名认证后，生成对应于所述个人信息的密钥对，并根据所述个人信息和所述密钥对中的公钥签发数字证书；将包含所述数字证书的封包提供给所述用户。

优选地，获取用户的脸部图像信息的方式包括：探测所述用户所使用的个人终端已开启摄像装置，并根据预设的人脸姿态规则从所述摄像装置所摄取的视频信息中选取一幅脸部图像信息。

优选地，在探测所述用户所使用的个人终端已开启摄像装置时，所述申请方法还包括：向所述用户发送随机的动作指令，提取所述用户根据所述动作指令所做的动作轨迹；根据所述动作指令所对应的轨迹范围确定所获取的动作轨迹是否在所述轨迹范围内，若是，则确定所述动作轨迹来自活体用户，若否，则不能判定所述用户为活体，并重新向所述用户发送随机的动作指令；以及根据预设的人脸姿态规则从所述摄像装置所摄取的用户跟随所述动作指令来做动作的视频信息中选取一幅脸部图像信息。

优选地，根据预设的人脸姿态规则从所述视频信息中选取一幅脸部图像信息的方式包括：从所述视频信息中提取多幅脸部图像信息，并根据所述人脸姿态规则对所提取的多幅脸部图像信息进行识别，选择识别结果最高者所对应的脸部图像信息。

优选地，根据匹配度来进行所述个人信息的实名认证的方式包括：所述匹配度高于第一阈值，则认证所述个人信息通过；所述匹配度低于第二阈值，则认证所述个人信息不予通过；所述匹配度在第一阈值和第二阈值之间，则将所述个人信息和所选取的脸部图像信息交由人工审核，并根据人工审核结果来认证所述个人信息是否通过。

优选地，在通过实名认证后，所述方法还包括：按照预设规则生成对应于所述数字证书的私钥保护密码；或者，向所述用户提供设定私钥保护密码的界面，以便由所述用户自行设定所述私钥保护密码。

基于上述目的，本发明还提供一种非现场个人数字证书申请系统，包括：获取单元，用于获取用户的包含身份证信息的个人信息，并获取用户的脸部图像信息；远程调取单元，用于根据所述身份证信息从全国公民身份信息库调取所对应的身份证的证件照信息；实名认证单元，用于将所述脸部图像信息与所调取的证件照信息进行匹配，并根据匹配度来进行所述个人信息的实名认证，在通过实名认证时输出实名认证成功指令；数字证书生成单元，用于在接收到所述实名认证成功指令时，生成对应于所述个人信息的密钥对，并根据所述个人信息和所述密钥对中的公钥签发数字证书，并输出包含所述数字证书的封包；数字证书发送单元，用于将包含所述数字证书的封包提供给所述用户。

优选地，所述获取单元包括：图像行为提取模块，用于探测所述用户所使用的个人终端已开启摄像装置，并根据预设的人脸姿态规则从所述摄像装置所摄取的视频信息中选取一幅脸部图像信息。

优选地，所述图像行为提取模块还包括：行为轨迹提取子模块，用于向所述用户发送随机的动作指令，提取所述用户根据所述动作指令所做的动作轨迹；行为轨迹确定子模块，用于根据所述动作指令所对应的轨迹范围确定所获取的动作轨迹是否在所述轨迹范围内，若是，则确定所述动作轨迹来自活体用户，若否，则不能判定所述用户为活体，并发送指令至所述行为轨迹提取子模块，以重新向所述用户发送随机的动作指令；以及脸部图像提取子模块，用于根据预设的人脸姿态规则从所述摄像装置所摄取的用户跟随所述动作指令来做动作的视频信息中选取一幅脸部图像信息。

优选地，所述图像行为提取模块用于从所述视频信息中提取多幅脸部图像信息，并根据所述人脸姿态规则对所提取的多幅脸部图像信息进行识别，选择识别结果最高者所对应的脸部图像信息。

优选地，所述实名认证单元还用于在确定所述匹配度高于第一阈值时，认证所述个人信息通过；在确定所述匹配度低于第二阈值时，认证所述个人信息不予通过；在确定所述匹配度在第一阈值和第二阈值之间时，将所述个人信息和所选取的脸部图像信息交由人工审核，并根据人工审核结果来认证所述个人信息是否通过。

优选地，所述数字证书生成单元还用于按照预设规则生成对应于所述数字证书的私钥保护密码；或者，用于向所述用户提供设定私钥保护密码的界面，以便由所述用户自行设定所述私钥保护密码。

如上所述，本发明的非现场个人数字证书申请方法及系统，具有以下有益效果：由用户提供个人信息和脸部图像信息，并将脸部图像信息与公安部所提供的全国公民身份信息库中所调取的证件照信息进行识别，以得到权威的、受法律认可的实名认证，能够避免用户现场办理数字证书所带来的时间消耗、效率低下等缺点。

附图说明

图1显示为本发明的非现场个人数字证书申请方法的流程图。

图2显示为本发明的非现场个人数字证书申请方法中一种优选方式的流程图。

图3显示为本发明的非现场个人数字证书申请方法中又一种优选方式的流程图。

图4显示为本发明的非现场个人数字证书申请系统的结构示意图。

元件标号说明

1                            非现场个人数字证书申请系统

11                           获取单元

12                           远程调取单元

13                           实名认证单元

14                           数字证书生成单元

15                           数字证书发送单元

S1～S4、S1’、S11、S12、S13  步骤

具体实施方式

以下通过特定的具体实例说明本发明的实施方式，本领域技术人员可由本说明书所揭露的内容轻易地了解本发明的其他优点与功效。本发明还可以通过另外不同的具体实施方式加以实施或应用，本说明书中的各项细节也可以基于不同观点与应用，在没有背离本发明的精神下进行各种修饰或改变。需说明的是，在不冲突的情况下，以下实施例及实施例中的特征可以相互组合。

请参阅图1、2，本发明提供一种非现场个人数字证书申请方法。所述申请方法通过远程获取人脸图像的方式来进行实名认证，并根据用户所提供的个人信息来制作数字证书。所述申请方法主要由申请系统来执行，其中，所述申请系统为安装在服务端的软件，所述服务端能够通过网络与用户的个人终端进行通信，且能够将部分运算过程推送至所述个人终端，由所述个人终端来处理，以便降低服务端的系统负担。所述服务端包括但不限于：服务器、基于云架构的服务器群、集群式服务器等。所述个人终端内置或外接摄像装置。所述个人终端包括但不限于：个人计算机、手机、平板电脑等。

在步骤S1中，所述申请系统获取用户的包含身份证信息的个人信息，并获取用户的脸部图像信息。其中，所述个人信息还包括：手机号码、社保卡号、邮箱地址、护照号码等。

具体地，用户在个人终端登录所述申请系统所提供的网页来输入所述个人信息和寸照电子版并提交，则所述申请系统获取所述个人信息和所述寸照电子版（即所述脸部图像信息）。

优选地，所述申请系统获取用户的脸部图像信息的方式除了直接获取寸照电子版之外，还可以由步骤S1’来执行：

在步骤S1’中，所述申请系统探测所述用户所使用的个人终端已开启摄像装置，并根据预设的人脸姿态规则从所述摄像装置所摄取的视频信息中选取一幅脸部图像信息。（如图2所示）

具体地，所述申请系统通过嵌入在所述认证网页中的脚本来探测所述个人终端的摄像装置是否开启，若未开启，则提示用户开启所述摄像装置或直接开启所述摄像装置，反之，则获取所述摄像装置所摄取的视频信息。同时仍利用嵌入在所述认证网页中的脚本中所设置的人脸姿态规则，从所摄取的视频信息中选取一幅脸部图像信息。其中，所述人脸姿态规则包括但不限于：由眼鼻口之间的位置关系所构成的各种参数。例如，左外眼角、右外眼角、鼻尖等特征点。

优选地，所述申请系统从所述视频信息中提取多幅图像信息，并利用预设的人脸的特征信息依次对所提取的多幅图像信息进行人脸识别，并从中选择至少一幅图像信息以进行人脸姿态的识别，根据所述人脸姿态规则依次对所选择的各幅图像信息进行人脸姿态识别，选择识别结果最高者所对应的图像信息为脸部图像信息，若经过人脸识别，未能从所提取的多幅图像信息中选出一幅图像信息，则认定所述视频信息中不包含人脸，则提示所述用户调整姿态，将面部对准所述摄像装置，以便重新摄取。

其中，在探测所述用户所使用的个人终端已开启摄像装置时，所述申请方法还包括：步骤S11、步骤S12、和步骤S13。如图3所示。

在步骤S11中，所述申请系统向所述用户发送随机的动作指令，提取所述用户根据所述动作指令所做的动作轨迹。其中，所述动作指令包括但不限于：眨动眼睛、张开嘴巴、转动头部等动作及组合动作指令。

具体地，所述申请系统从预存的动作指令中随机选取一个或一组动作指令，并通过网页发送给用户所在的个人终端，以提示用户跟随所述动作指令来做动作。其中，所述网页中还包括嵌入在认证页面中的用于提取运动轨迹的脚本，该脚本在被执行时，从所摄取的视频信息中将视频中的运动轨迹提取出来。

在步骤12中，所述申请系统根据所述动作指令所对应的轨迹范围确定所获取的动作轨迹是否在所述轨迹范围内，若是，则确定所述动作轨迹来自活体用户，若否，则不能判定所述用户为活体，并重新向所述用户发送随机的动作指令。

在确定所要认证的用户为活体用户时，所述申请系统按照人脸姿态规则，从所摄取的视频信息中选取一幅脸部图像信息。

在步骤S13中，所述申请系统根据预设的人脸姿态规则从所述摄像装置所摄取的用户跟随所述动作指令来做动作的视频信息中选取一幅脸部图像信息。

例如，所述申请系统向用户发送的动作指令为转动头部指令，则所述申请系统中位于所述用户的个人终端的部分一边将预设时间内所摄取的视频信息进行动作轨迹的提取，一边从所摄取的视频信息中选择一幅脸部图像信息，并将所提取的动作轨迹和脸部图像信息发送给所述申请系统中位于服务端的部分，则所述申请系统中位于服务端的部分根据所述转头指令所对应的转头轨迹范围来确定所获取的动作轨迹是否在所述转头轨迹范围内，若是，则确定所述动作轨迹来自活体用户，若否，则确认所述动作轨迹来自录像或图片或所述用户未按照动作指令来做动作，则返回步骤S11。进一步的，当在预设次数内，均无法确认所述动作轨迹来自活体用户，则不予进行实名认证。其中，所述预设时间应确保用户做完相应的动作的时间。

优选地，当所述申请系统无法从所述视频信息中选取一幅脸部图像信息时，重复执行步骤S11，提示所述用户重新摄取视频信息和/或向所述用户发送动作指令，并重新摄取视频信息。

需要说明的是，所述步骤S11、S12、S13并非一定按顺序执行，步骤S11和S13可同步执行，之后执行步骤S12。或者，根据设计需要先执行步骤S13，再执行步骤S11和S12。

在步骤S2中，所述申请系统根据所述身份证信息从全国公民身份信息库调取所对应的身份证的证件照信息。

具体地，所述申请系统通过与全国公民身份信息库的接口，将所获取的身份证信息提供给所述全国公民身份信息库，并获取所述全国公民身份信息库所反馈的所述身份证信息所对应的证件照信息。

需要说明的是，步骤S1、S2并非一定按顺序执行，也可以先执行步骤S1中的获取个人信息部分，再执行步骤S2，再返回执行步骤S1中的获取脸部图像信息。

在步骤S3中，所述申请系统将所选取的脸部图像信息与所调取的证件照信息进行匹配，并根据匹配度来进行所述个人信息的实名认证。

具体地，所述申请系统根据预设的匹配规则将所选取的脸部图像信息与所调取的证件照信息各自的特征信息进行匹配，当匹配度大于预设值时，则认定所述个人信息通过，反之，则不予通过。

优选地，所述申请系统预先设置第一阈值和第二阈值，当所述匹配度高于第一阈值，则认证所述个人信息通过；所述匹配度低于第二阈值，则认证所述个人信息不予通过；所述匹配度在第一阈值和第二阈值之间，则将所述个人信息和所选取的脸部图像信息交由人工审核，并根据人工审核结果来认证所述个人信息是否通过。

如此，用户在进行实名认证时，无需到营业厅等现场办理，只需在带有摄像装置的个人终端旁，即可通过所述申请系统进行实名认证。

在步骤S4中，所述申请系统在通过实名认证后，生成对应于所述个人信息的密钥对，并根据所述个人信息和所述密钥对中的公钥签发数字证书。

具体地，所述申请系统生成与所述个人信息对应匹配的密钥对；再根据所述个人信息和所述密钥对中的公钥制作数字证书，将所述数字证书和所述私钥按照步骤S5所述方式提供给所述用户。其中，所述数字证书包括但不限于：签名证书、加密证书中的至少一种。

优选地，所述申请系统还按照预设规则生成对应于所述数字证书的私钥保护密码。例如，所述申请系统先随机的或按照个人信息生成与所述数字证书唯一对应匹配的私钥保护密码。

或者，所述申请系统向所述用户提供设定私钥保护密码的界面，以便由所述用户自行设定所述私钥保护密码。

另外，上述数字证书制作过程可以由单个服务端来执行；也可以由多个服务端配合执行，以分担各服务端的系统负载。当所述申请系统由多个服务端配合执行数字证书的制作过程时，所述步骤S4还包括：步骤S41、S42、S43、S44、S45、S46、S47（均未予图示）。

步骤S41，由证书注册管理服务端接收所述实名认证成功指令，并基于所述实名认证成功指令生成对应于所述个人信息的签名密钥对，并将所述签名密码对中的签名公钥通过安全通道发送至证书签发管理服务端；

步骤S42，所述证书签发管理服务端验证证书注册管理服务端送来的签名公钥，并通过安全通道向密钥管理服务端申请加密密钥对（包括加密公钥和加密私钥）。

步骤S43，所述密钥管理服务端生成加密密钥对，并使用签名公钥将加密私钥打包到数字信封中，再通过安全通道将加密公钥以及打包在数字信封中的加密私钥返回给证书签发管理服务端。

步骤S44，所述证书签发管理服务端根据返回来的信息签发签名证书和加密证书，根据所签发的签名证书和加密证书生成私钥保护密码，并保存签名证书、加密证书、加密公钥以及打包在数字信封中的加密私钥。

步骤S45，所述证书注册管理服务端将各证书下载请求通过安全通道发送给证书签发管理服务端。

步骤S46，所述证书签发管理服务端验证各证书注册管理服务端证书下载请求，并将签名证书、加密证书、加密公钥以及打包在数字信封中的加密私钥通过安全信道传给证书注册管理服务端。

步骤S47，所述证书注册管理服务端调用所述签名私钥解开数字信封获取加密私钥，并保存签名证书、加密证书、签名密钥对以及加密密钥对。

需要说明的是，本领域技术人员应该理解，上述步骤S41-47中所生成的数字证书包含签名证书和加密证书仅为举例，而非对本发明的限制。实际上，所生成的数字证书的种类、数量和用途由认证机构根据规则自行确定。

在步骤S5中，所述申请系统将包含所述数字证书的封包提供给所述用户。

具体地，所述申请系统根据所述个人信息中所提供的邮箱、网盘、住址等联系信息，将包含所述数字证书的封包通过邮件、快递等方式发送所述用户。

优选地，所述申请系统将包含所述数字证书和所述密钥对中私钥的封包保存在USB存储设备中；并且所述私钥保护密码由所述申请系统设置而成，所述申请系统将所述私钥保护密码印制在密码信封中。所述申请系统按照所述个人信息中的地址信息将所述USB存储设备和所述密码信封一并邮寄给所述用户。其中，所述USB存储设备包括但不限于：USBKey智能密码钥匙。

如图4所示，本发明还提供一种非现场个人数字证书申请系统。所述申请系统为安装在服务端的软件，所述服务端能够通过网络与用户的个人终端进行通信，且能够将部分运算过程推送至所述个人终端，由所述个人终端来处理，以便降低服务端的系统负担。所述服务端包括但不限于：服务器、基于云架构的服务器群、集群式服务器等。所述个人终端内置或外接摄像装置。所述个人终端包括但不限于：个人计算机、手机、平板电脑等。

所述申请系统1包括：获取单元11、远程调取单元12、实名认证单元13、数字证书生成单元14和数字证书发送单元15。其中，所述远程调取单元12、实名认证单元13位于所述服务端。所述获取单元11可以为位于所述服务端，也可以被推送至所述个人终端，还可以部分的位于所述服务端、且部分的被推送至所述个人终端，由所述个人终端来执行。

所述获取单元11用于获取用户的包含身份证信息的个人信息，并获取用户的脸部图像信息。其中，所述个人信息还包括：手机号码、社保卡号、邮箱地址、护照号码等。

具体地，用户在个人终端登录所述获取单元11所提供的网页来输入所述个人信息和寸照电子版并提交，则所述获取单元11获取所述个人信息和所述寸照电子版（即所述脸部图像信息）。

优选地，所述获取单元11获取用户的脸部图像信息的方式除了直接获取寸照电子版之外，还可以由其中的图像行为提取模块通过安装在个人终端的摄像装置来获取。

所述图像行为提取模块用于探测所述用户所使用的个人终端已开启摄像装置，并根据预设的人脸姿态规则从所述摄像装置所摄取的视频信息中选取一幅脸部图像信息。

具体地，所述图像行为提取模块由嵌入在所述网页中的脚本来执行。在该脚本运行时探测所述个人终端的摄像装置是否开启，若未开启，则提示用户开启所述摄像装置或直接开启所述摄像装置，反之，则获取所述摄像装置所摄取的视频信息。同时，该脚本中还设置的人脸姿态规则，在运行时，所述获取单元11根据所述人脸姿态规则从所摄取的视频信息中选取一幅脸部图像信息。其中，所述人脸姿态规则包括但不限于：由眼鼻口之间的位置关系所构成的各种参数。例如，左外眼角、右外眼角、鼻尖等特征点。

优选地，所述图像行为提取模块从所述视频信息中提取多幅图像信息，并利用预设的人脸的特征信息依次对所提取的多幅图像信息进行人脸识别，并从中选择至少一幅图像信息以进行人脸姿态的识别，根据所述人脸姿态规则依次对所选择的各幅图像信息进行人脸姿态识别，选择识别结果最高者所对应的图像信息为脸部图像信息，若经过人脸识别，未能从所提取的多幅图像信息中选出一幅图像信息，则认定所述视频信息中不包含人脸，则提示所述用户调整姿态，将面部对准所述摄像装置，以便重新摄取。

其中，为了防止别有用心的人利用录像等视频来冒充，所述图像行为提取模块还包括：行为轨迹提取子模块、行为轨迹确定子模块和脸部图像提取子模块（均未予图示）。

所述行为轨迹提取子模块用于在探测所述用户所使用的个人终端已开启摄像装置时，向所述用户发送随机的动作指令，提取所述用户根据所述动作指令所做的动作轨迹。其中，所述动作指令包括但不限于：眨动眼睛、张开嘴巴、转动头部等动作指令。

具体地，所述行为轨迹提取子模块将预存的动作指令中随机选取一个或一组动作指令，并通过网页发送给用户所在的个人终端，以提示用户跟随所述动作指令来做动作。其中，所述网页中还包括嵌入在该网页中的用于提取运动轨迹的脚本，该脚本在被执行时，从所摄取的视频信息中将视频中的运动轨迹提取出来。

所述行为轨迹确定子模块用于根据所述动作指令所对应的轨迹范围确定所获取的动作轨迹是否在所述轨迹范围内，若是，则确定所述动作轨迹来自活体用户，若否，则不能判定所述用户为活体，并向所述行为轨迹提取子模块发出指令，以重新向所述用户发送随机的动作指令。

所述脸部图像提取子模块用于根据预设的人脸姿态规则从所述摄像装置所摄取的用户跟随所述动作指令来做动作的视频信息中选取一幅脸部图像信息。

在确定所要认证的用户为活体用户时，所述脸部图像提取子模块按照人脸姿态规则，从所摄取的视频信息中选取一幅脸部图像信息。

例如，所述行为轨迹提取子模块将随机选取的转动头部指令推送至用户，并将预设时间内所摄取的视频信息进行动作轨迹的提取，并将所提取的动作轨迹和脸部图像信息发送给所述行为轨迹确定子模块，则所述行为轨迹确定子模块根据所述转头指令所对应的转头轨迹范围来确定所获取的动作轨迹是否在所述转头轨迹范围内，若是，则确定所述动作轨迹来自活体用户，若否，则确认所述动作轨迹来自录像或图片或所述用户未按照动作指令来做动作，则输出指令至所述行为轨迹提取子模块，以便所述行为轨迹提取子模块重新向所述用户发送随机的动作指令。进一步的，当在预设次数内，均无法确认所述动作轨迹来自活体用户，则不予进行实名认证；与此同时，所述脸部图像提取子模块还从所摄取的视频信息中选择一幅脸部图像信息。其中，所述预设时间应确保用户做完相应的动作的时间。

优选地，当所述脸部图像提取子模块无法从所述视频信息中选取一幅脸部图像信息时，提示所述用户重新摄取视频信息和/或向所述用户发送动作指令，并再次摄取视频信息。

需要说明的是，所述行为轨迹提取子模块、行为轨迹确定子模块、脸部图像提取子模块并非一定按顺序执行，所述行为轨迹提取子模块和脸部图像提取子模块可同步执行，之后执行行为轨迹确定子模块。或者，根据设计需要先执行脸部图像提取子模块，再执行行为轨迹提取子模块和行为轨迹确定子模块。

所述远程调取单元12与所述获取单元11相连，用于根据所述身份证信息从全国公民身份信息库调取所对应的身份证的证件照信息。

具体地，所述远程调取单元12通过与全国公民身份信息库的接口，将所获取的身份证信息提供给所述全国公民身份信息库，并获取所述全国公民身份信息库所反馈的所述身份证信息所对应的证件照信息。

需要说明的是，所述图像行为提取模块和远程调取单元12并非一定按顺序执行，也可以先执行远程调取单元12再执行图像行为提取模块，或者同时执行。

所述实名认证单元13与所述获取单元11和远程调取单元12相连，用于将所选取的脸部图像信息与所调取的证件照信息进行匹配，并根据匹配度来进行所述个人信息的实名认证，在通过实名认证时输出实名认证成功指令。

具体地，所述实名认证单元13根据预设的匹配规则将所选取的脸部图像信息与所调取的证件照信息各自的特征信息进行匹配，当匹配度大于预设值时，则认定所述个人信息通过，并输出实名认证成功指令，反之，则不予通过。

优选地，所述实名认证单元13预先设置第一阈值和第二阈值，当所述匹配度高于第一阈值，则认证所述个人信息通过；所述匹配度低于第二阈值，则认证所述个人信息不予通过；所述匹配度在第一阈值和第二阈值之间，则将所述个人信息和所选取的脸部图像信息交由人工审核，并根据人工审核结果来认证所述个人信息是否通过。若认定所述个人信息通过，则输出实名认证成功指令，反之，则不予通过。

所述数字证书生成单元14用于在接收到所述实名认证成功指令时，生成对应于所述个人信息的密钥对，再根据所述个人信息和所述密钥对中的公钥签发数字证书，并输出包含所述数字证书的封包。

具体地，所述数字证书生成单元14生成与所述个人信息对应匹配的密钥对；再根据所述个人信息和所述密钥对中的公钥制作数字证书，并将所述密钥对中的公钥保存在服务端，将包含所述数字证书的封包输至所述数字证书发送单元15。其中，所述数字证书包括但不限于：签名证书、加密证书中的至少一种。

优选地，所述数字证书生成单元14还按照预设规则生成对应于所述数字证书的私钥保护密码。例如，所述数字证书生成单元14随机的或按照个人信息生成与所述数字证书唯一对应匹配的私钥保护密码。

或者，所述数字证书生成单元14向所述用户提供设定私钥保护密码的界面，以便由所述用户自行设定所述私钥保护密码。

另外，上述数字证书制作过程可以由单个服务端来执行；也可以由多个服务端配合执行，以分担各服务端的系统负载。当所述数字证书生成单元14由多个服务端配合执行数字证书的制作过程时，所述数字证书生成单元14包括：位于证书注册管理服务端的证书注册管理模块、位于证书签发管理服务端的证书签发管理模块、以及位于密钥管理服务端的密钥管理模块（均未予图示）。

具体地，由所述证书注册管理模块接收所述实名认证成功指令，并基于所述实名认证成功指令生成对应于所述个人信息的签名密钥对，并将所述签名密码对中的签名公钥通过安全通道发送至证书签发管理模块；

所述证书签发管理模块验证证书注册管理模块送来的签名公钥，并通过安全通道向密钥管理模块申请加密密钥对（包括加密公钥和加密私钥）。

所述密钥管理模块生成加密密钥对，并使用签名公钥将加密私钥打包到数字信封中，再通过安全通道将加密公钥以及打包在数字信封中的加密私钥返回给证书签发管理模块。

所述证书签发管理模块根据返回来的信息签发签名证书和加密证书，根据所签发的签名证书和加密证书生成私钥保护密码，并保存签名证书、加密证书、加密公钥以及打包在数字信封中的加密私钥。

所述证书注册管理模块将证书下载请求通过安全通道发送给证书签发管理模块。

所述证书签发管理模块验证证书注册管理模块证书下载请求，并将数字签名证书、加密证书、加密公钥以及打包在数字信封中的加密私钥通过安全信道传给证书注册管理模块。

所述证书注册管理模块调用所述签名私钥解开数字信封获取加密私钥，并保存签名证书、加密证书、签名密钥对以及加密密钥对，并将所述私钥保护密码、签名证书、加密证书和所述私钥输至所述数字证书发送单元15，其中，所述私钥包括：签名私钥和加密私钥。

需要说明的是，本领域技术人员应该理解，上述所生成的数字证书包含签名证书和加密证书仅为举例，而非对本发明的限制。实际上，所生成的数字证书的种类、数量和用途由认证机构根据规则自行确定。

所述数字证书发送单元15用于将所接收到的包含所述数字证书的封包提供给所述用户。

具体地，所述数字证书发送单元15根据所述个人信息中所提供的邮箱、网盘、住址等联系信息，将包含所述数字证书的封包通过邮件、快递等方式发送所述用户。

优选地，所述数字证书发送单元15将包含所述数字证书和所述密钥对中私钥的封包保存在USB存储设备中；并且所述私钥保护密码由所述申请系统设置而成，所述数字证书发送单元15将所述私钥保护密码印制在密码信封中。所述数字证书发送单元15按照所述个人信息中的地址信息将所述USB存储设备和所述密码信封一并邮寄给所述用户。其中，所述USB存储设备包括但不限于：USBKey智能密码钥匙。

综上所述，本发明的非现场个人数字证书申请方法及系统，由用户提供个人信息和脸部图像信息，并将脸部图像信息与公安部所提供的全国公民身份信息库中所调取的证件照信息进行识别，以得到权威的、受法律认可的实名认证，能够避免用户现场办理数字证书所带来的时间消耗、效率低下等缺点；另外，利用用户的摄像装置所摄取的视频信息来选取脸部图像信息，能够有效解决非面对面个人网络身份鉴定的难题，并通过与全国公民身份信息库中身份证上的证件照信息进行比对来进行用户的实名认证，既能确保身份证的证件照信息来源可靠，又能通过自动比对来减少人工核实的工作量，让用户可以随时随地快速完成实名认证，同时由于不需要用户提供身份证电子版，能够有效防止身份证的冒用、盗用现象发生；另外，为了防止别有用心的人利用录像来冒用实名身份，本发明还要求用户跟着随机的动作指令来做动作，并根据所做动作的动作轨迹是否在动作指令所对应的轨迹范围内来进行识别。所以，本发明有效克服了现有技术中的种种缺点而具高度产业利用价值。

上述实施例仅例示性说明本发明的原理及其功效，而非用于限制本发明。任何熟悉此技术的人士皆可在不违背本发明的精神及范畴下，对上述实施例进行修饰或改变。因此，举凡所属技术领域中具有通常知识者在未脱离本发明所揭示的精神与技术思想下所完成的一切等效修饰或改变，仍应由本发明的权利要求所涵盖。

Claims (12)

1.一种非现场个人数字证书申请方法，其特征在于，包括：

获取用户的包含身份证信息的个人信息，并获取用户的脸部图像信息；

根据所述身份证信息从全国公民身份信息库调取所对应的身份证的证件照信息；

将所述脸部图像信息与所调取的证件照信息进行匹配，并根据匹配度来进行所述个人信息的实名认证；

在通过实名认证后，生成对应于所述个人信息的密钥对，并根据所述个人信息和所述密钥对中的公钥签发数字证书；

将包含所述数字证书的封包提供给所述用户。

2.根据权利要求1所述的非现场个人数字证书申请方法，其特征在于，获取用户的脸部图像信息的方式包括：

探测所述用户所使用的个人终端已开启摄像装置，并根据预设的人脸姿态规则从所述摄像装置所摄取的视频信息中选取一幅脸部图像信息。

3.根据权利要求2所述的非现场个人数字证书申请方法，其特征在于，在探测所述用户所使用的个人终端已开启摄像装置时，所述获取用户的脸部图像信息的方法还包括：

向所述用户发送随机的动作指令，提取所述用户根据所述动作指令所做的动作轨迹；

根据所述动作指令所对应的轨迹范围确定所获取的动作轨迹是否在所述轨迹范围内，若是，则确定所述动作轨迹来自活体用户，若否，则不能判定所述用户为活体，并重新向所述用户发送随机的动作指令；以及

根据预设的人脸姿态规则从所述摄像装置所摄取的用户跟随所述动作指令来做动作的视频信息中选取一幅脸部图像信息。

4.根据权利要求2或3所述的非现场个人数字证书申请方法，其特征在于，根据预设的人脸姿态规则从所述视频信息中选取一幅脸部图像信息的方式包括：从所述视频信息中提取多幅脸部图像信息，并根据所述人脸姿态规则对所提取的多幅脸部图像信息进行识别，选择识别结果最高者所对应的脸部图像信息。

5.根据权利要求1所述的非现场个人数字证书申请方法，其特征在于，根据匹配度来进行所述个人信息的实名认证的方式包括：所述匹配度高于第一阈值，则认证所述个人信息通过；所述匹配度低于第二阈值，则认证所述个人信息不予通过；所述匹配度在第一阈值和第二阈值之间，则将所述个人信息和所选取的脸部图像信息交由人工审核，并根据人工审核结果来认证所述个人信息是否通过。

6.根据权利要求1所述的非现场个人数字证书申请方法，其特征在于，在通过实名认证后，所述方法还包括：按照预设规则生成对应于所述数字证书的私钥保护密码；或者，向所述用户提供设定所述私钥保护密码的界面，以便由所述用户自行保存所设定的私钥保护密码。

7.一种非现场个人数字证书申请系统，其特征在于，包括：

获取单元，用于获取用户的包含身份证信息的个人信息，并获取用户的脸部图像信息；

远程调取单元，用于根据所述身份证信息从全国公民身份信息库调取所对应的身份证的证件照信息；

实名认证单元，用于将所述脸部图像信息与所调取的证件照信息进行匹配，并根据匹配度来进行所述个人信息的实名认证，在通过实名认证时输出实名认证成功指令；

数字证书生成单元，用于在接收到所述实名认证成功指令时，生成对应于所述个人信息的密钥对，并根据所述个人信息和所述密钥对中的公钥签发数字证书，并输出包含所述数字证书的封包；

数字证书发送单元，用于将所接收到的所述数字证书的封包提供给所述用户。

8.根据权利要求7所述的非现场个人数字证书申请系统，其特征在于，所述获取单元包括：

图像行为提取模块，用于探测所述用户所使用的个人终端已开启摄像装置，并根据预设的人脸姿态规则从所述摄像装置所摄取的视频信息中选取一幅脸部图像信息。

9.根据权利要求8所述的非现场个人数字证书申请系统，其特征在于，所述图像行为提取模块还包括：

行为轨迹提取子模块，用于向所述用户发送随机的动作指令，提取所述用户根据所述动作指令所做的动作轨迹；

行为轨迹确定子模块，用于根据所述动作指令所对应的轨迹范围确定所获取的动作轨迹是否在所述轨迹范围内，若是，则确定所述动作轨迹来自活体用户，若否，则不能判定所述用户为活体，并发送指令至所述行为轨迹提取子模块，以重新向所述用户发送随机的动作指令；以及

脸部图像提取子模块，用于根据预设的人脸姿态规则从所述摄像装置所摄取的用户跟随所述动作指令来做动作的视频信息中选取一幅脸部图像信息。

10.根据权利要求8或9所述的非现场个人数字证书申请系统，其特征在于，所述图像行为提取模块用于从所述视频信息中提取多幅脸部图像信息，并根据所述人脸姿态规则对所提取的多幅脸部图像信息进行识别，选择识别结果最高者所对应的脸部图像信息。

11.根据权利要求7所述的非现场个人数字证书申请系统，其特征在于，所述实名认证单元还用于在确定所述匹配度高于第一阈值时，认证所述个人信息通过；在确定所述匹配度低于第二阈值时，认证所述个人信息不予通过；在确定所述匹配度在第一阈值和第二阈值之间时，将所述个人信息和所选取的脸部图像信息交由人工审核，并根据人工审核结果来认证所述个人信息是否通过。

12.根据权利要求7所述的非现场个人数字证书申请系统，其特征在于，所述数字证书生成单元还用于按照预设规则生成对应于所述数字证书的私钥保护密码；或者，用于向所述用户提供设定私钥保护密码的界面，以便由所述用户自行设定所述私钥保护密码。

Images