CN101116114A - 改进的安全设备 - Google Patents

Abstract

包括利用生物测定数据鉴别实体的装置的安全设备，其特征在于具有备选利用诸如个人身份号码等安全代码鉴别所述实体的装置。同时，用于通过安全设备进行成功鉴别来授权许可的系统，其中，与利用生物测定数据鉴别后授权的许可相比，利用安全代码进行鉴别后授权的许可在范围上受到限制。

Description

改进的安全设备

本发明涉及包括利用生物测定数据鉴别实体的装置的安全设备。

就使用方便而言，利用生物测定进行识别或鉴别对用户具有很大的益处。出入卡或诸如密码或个人身份号码(PIN)等安全代码不需要密钥，可简单地通过进行生物测定的测量并将该测量结果与参考数据进行比较来鉴别实体。生物测定数据不会丢失或遗忘，并总是在要处理的实体所在的地方。通常实体是人，但是对动物或无生命体进行生物测定鉴别也是可能的。例如，光盘具有某种物理属性，该物理属性可以像人的指印或虹膜那样被测量。

利用生物测定进行鉴别的固有缺点是你无法容易地将该授权装置给予其他人。例如，如果一个人拥有一辆车，他可以简单地通过将钥匙交给另一个人而将车借给他。但是，如果钥匙只能在成功进行生物测定鉴别后才可使用，那么此人将无法使用钥匙，除非钥匙的主人陪同他进行鉴别。

国际专利申请WO 02/048973(代理卷号PHUS000377)公开了一种安全系统，在该安全系统中，利用生物测定数据鉴别账号的不同用户。对每名用户，记录独立的生物测定数据，使得可利用此生物测定数据鉴别每名用户。可为每名用户指定他或她自己的访问级别。该系统的缺点是应该可以使用该系统的新用户必须经过生物测定登记过程，用以确定生物测定数据。这是复杂易错的过程。

本发明的目的是提供根据导言的安全设备，利用该安全设备可以在不需要对其它实体进行生物测定鉴别的情况下，使另一实体被成功鉴别。

根据本发明，此目的可由安全设备实现，该安全设备的特征在于具有利用诸如个人身份号码等安全代码来作为替代鉴别实体的装置。

通过提供诸如密码或PIN等安全代码作为鉴别的备选选项，可以简单地通过告知另一个人安全代码是什么而允许此另一个人使用该安全设备。导言实例中的车主现在可以简单地将PIN告诉另一个人，而不再需要由他自己进行生物测定鉴别，以允许此另一人使用该车。

一个有益的应用是在安全设备的主人处于受迫的情况下。例如，强盗会强行获得ATM卡或安全设施的出入卡。采用传统的需要生物测定鉴别的安全卡，强盗也许会对主人造成身体上的伤害，以能够成功完成生物测定鉴别。然而，采用本发明，主人可以简单地告知安全代码，从而避免身体受伤。

本发明的另一益处是当例如因为指印传感器不工作，生物测定鉴别失效时，仍然可以使用安全设备。设备的主人仍然可以利用安全代码进行鉴别。

优选地，用于鉴别的两种装置利用单个存储秘值来确定鉴别是否成功。这可以由此实现：让利用生物测定数据进行鉴别的装置验证生物测定测量结果是否对应该单个存储秘值，以及让利用安全代码进行鉴别的装置验证键入的安全代码是否对应该单个存储秘值。

在实施例中，仅在利用生物测定数据成功鉴别后才激活备选鉴别。以这种方式，安全设备的主人可以自行决定是否允许该备选装置。在该实施例中，安全代码可作为用户输入被接收，如通过放在安全设备上或安全设备具有的数字键盘，或通过来自诸如个人计算机等另一设备的通讯。

备选鉴别装置可选地仅激活预定时间段或进行预定次数操作，该时间段或次数是用户可配置的。这给安全设备的主人提供了灵活性。例如，如果他将车借给另一个人，那么将时间段设定为一周，以迫使另一个人在这一周后还车。

可以将用在至少一个鉴别中的秘值存储在安全设备中所包括的存储器中。来自生物测定测量或由用户键入的安全代码的输入与此秘值进行比较。以此方式，安全设备可以独立确定鉴别是否成功。或者，用在生物测定鉴别中的秘值和/或用在备选鉴别中的秘值可存储在远程位置。

与利用生物测定数据鉴别后许可的授权相比，配置为由本发明的安全设备成功鉴别后准许授权的系统，可以在范围上限制利用安全代码鉴别后准许的授权。因为安全代码通常比生物测定鉴别安全性要差，所以限制利用安全代码鉴别后允许什么是有意义的。

例如，如果安全设备是ATM终端，那么在生物测定鉴别后，可以许可查询相关银行账户的余额以及无限提款。在利用安全代码进行鉴别的情况中，只许可查询余额及提款至多100欧元。如果安全设备授权访问计算机系统，那么当利用安全代码鉴别时，将许可只读访问，而在生物测定鉴别后，将许可读/写访问。

参考附图中所示的示意实施例，本发明的这些和其它方面将是显而易见的，其中：

图1简要示出利用生物测定数据的登记和鉴别过程；

图2简要示出根据本发明的安全设备；

图3示出本发明的另一实施例；

图4示出包括安全设备和服务器的配置；以及

图5示出激活安全代码获取的本发明的实施例。

所有图中，相同的附图标记指相似或相应的特征。图中所使出的一些特征通常由软件实现，同样也代表软件实体，诸如软件模块或对象。

图1简要示出利用生物测定数据的登记和鉴别过程。在登记阶段100中，从相关实体取得参考生物测定测量结果X。该测量结果X在编码器101中获得秘值S以及辅助数据W。可以任意选择秘值S，例如采用用户输入。然后辅助数据被选为使得之后的生物测定测量结果能可靠地转换为秘值S，即使当该之后的生物测定测量结果与参考测量结果稍有不同。辅助数据W存储在数据库103中。

在散列模块102中，诸如SHA-1或MD5等密码散列函数F被应用于秘值S。结果F(S)也储存在数据库103中，并与辅助数据W关联。这样，秘值S(以及当给定S和W时可以重建的生物测定测量结果)不会被取得对数据库103非授权访问的攻击者获得。或者，秘值S被直接存储。

在授权阶段110期间，编码器111结合从数据库103获得的辅助数据W对生物测定测量结果Y进行转换，以取得秘值V。散列模块112将上述的密码散列函数F应用于V以取得F(V)。匹配模块113确定从数据库103获得的F(S)是否与F(V)匹配。如果是的话，那么生物测定鉴别成功。

在国际专利申请WO 04/104899(代理卷号PHNL030552)以及欧洲专利申请中序列号04102609.7(代理卷号PHNL040676)与04104386.0(代理卷号PHNL040985)中对该过程进行了更具体的讨论。

当然也可以采用其它生物测定鉴别机制。例如，测量结果X可以直接存储在数据库103中，而没有任何辅助数据W。要注意到，在一些情况中，进行生物测鉴别可以包括进行多个生物测定测量。例如，可以进行虹膜扫描以及指印扫描。这样做通常是为了提高生物测定鉴别机制的安全性和/或可靠性。尽管在以下的实例中，只使用单个生物测定测量结果，但是应该清楚也可以采用多个生物测定测量结果。

图2简要示出根据本发明的安全设备200。安全设备包括解码器111、散列模块112、匹配模块113以及数据库103。内置于终端或系统中的安全设备可与大数据库相连，该大数据库可存储辅助大量用户的数据W和散列值F(S)。另一方面，因为个人安全卡通常只有有限的存储量，所以只有少量结果F(S)可以存储在数据库103中。这并非问题，因为安全卡通常只用鉴别一个人。

在替代实施例(未示出)中，数据库103在安全设备200的外部。安全设备200则包含通讯模块，该通讯模块询问外部数据库以获得F(S)，这样匹配模块113能确定F(S)是否匹配F(V)。

在该实施例中，用于获得生物测定测量结果Y的传感器作为指印传感器201包括在设备中。当然也可以采用其它类型的传感器，诸如虹膜扫描传感器。或者，传感器置于安全设备200的外部。安全设备200则包括通讯模块，该通讯模块从外部传感器接收测量结果Y。

在该实施例中，安全设备200取得生物测定测量结果Y，并如上所述确定生物测鉴别是否成功。将鉴别的结果送给服务器220，然后该服务器可以授权访问某个设施或服务，或允许进行一个或多个操作。例如，服务器220可以是自动柜员机(ATM)，该自动柜员机在成功的生物测定鉴别后允许从银行账户取钱。服务器220也可以用于在成功的生物测定鉴别后开门或开启其它进入方式，如授权实际进入如工厂或办公室、建筑物的受限区域、保险库内或车中等。可以考虑更多的实例。

要了解到，如图2中作为安全设备200的一部分所示的许多部件也可以是服务器220的一部分。例如，传感器201可以置于安全设备的外部，并与服务器220相连。匹配模块113不是安装在安全设备200中，而是安装在服务器220中。

根据本发明，安全设备200也可以包括数字键盘221，利用该数字键盘可以键入如该例中的个人身份号码等安全代码。或者，也可以采用字母数字键盘，以适用口令或短语。或者，还可以使用外部输入装置。例如，可以采用个人计算机键入安全代码。那么安全设备200则包括用于接收键入的安全代码的通讯模块装置。

键入的安全代码被提供给验证模块222，该验证模块确定键入的安全代码是否与存储在数据库103中的参考安全代码匹配。当然，参考安全代码也可以存储在不同的存储介质中，或者甚至存储在安全设备外部。在后一情形中，安全设备200则包括接收参考安全代码，并将其送给验证模块222用于所述确定的通讯模块。

优选地，不直接存储参考安全代码。而是存储参考安全代码的密码散列形式。验证模块222则计算键入的安全代码的密码散列形式，并确定其是否与参考安全代码的密码散列形式匹配。

参考安全代码可采用如数字键盘221等预先输入。也可以在形成或激活安全卡200时生成。

由验证模块222鉴别的结果被送给服务器220，然后服务器220可以授权访问某个设施或服务，或允许进行一个或多个操作。授权访问或许可操作可以与成功的生物测定鉴别后的授权或许可相同。或者，与利用生物测定数据鉴别后授权的许可相比，利用安全代码鉴别后授权的许可可以在范围上受到限制。

可选的，利用安全代码的备选鉴别默认没有开启。那么安全设备200像普通的安全设备利用生物测定鉴别工作。在需要时，安全设备200的主人可以开启备选鉴别。优选地，该备选鉴别只在利用生物测定数据鉴别后开启，以证明确实是主人希望开启备选鉴别。

为此目的，安全设备200具有主人能激活的开启模块223。该模块223可以包括用于实现开启的按钮或开关。或者，可以在显示224上给出菜单或选项，通过该菜单或选项能使备选鉴别开启。如果开启模块223从匹配模块113接收到生物测定鉴别是成功的指示，那么该开启模块223将开启备选鉴别。

如果备选鉴别被开启，则需要确定参考安全代码。优选地，安全代码由主人利用键盘221键入。后可以将其存储在数据库103或另一个存储器中。为了增加安全性，应该只存储参考安全代码的密码散列形式。

在另一个实施例中，开启模块223随机地或伪随机地产生参考安全代码并将其在显示224上显示。这将减小易被猜出的代码用作参考安全代码的机会。开启模块223可以拒绝任何易被猜出的代码。

在实施例中，备选鉴别只开启预定时间段。例如，该时间段可被选为一个星期。优选地，该时间段是用户可配置的。它可以由主人利用键盘221键入或从菜单选择。

在实施例中，备选鉴别只开启进行预定次数操作。例如，次数可为一次操作，以许可由另一个人使用一次。优选地，次数也是用户可配置的。它可以由主人利用键盘221键入或从菜单选择。

图3示出本发明的另一实施例。在该实施例中，生物测定鉴别和基于安全代码的鉴别被集成在一起。参考秘值S的散列形式F(S)被存储在数据库103中。可在生物测定鉴别的登记阶段获得该参考秘值S，这如上参考图1所述。或者，参考秘值S可以是安全代码。在此情形下，它可以由主人键入或在形成或激活安全卡200时被确定。

如果用户可以提供值V，且F(V)与F(S)匹配，则鉴别是成功的。这可以有两种方式。首先，生物测定测量结果Y能被转化为秘值V，且F(V)与F(S)匹配，或者键入的安全代码R可以被散列化以获得散列F(R)，其与F(S)匹配。这是有益的，因为即使采用两种鉴别机制，也只需要将单个散列存储在数据库103中。

在这些实施例中，备选鉴别的开启是可选的，这对并非任意确定秘值而是使其符合安全代码的规则来说，将是有益的。例如，如果采用4位的PIN，参考秘值S也应该被确定为4位数。当开启备选鉴别时，安全设备200在显示224上显示S以告知主人。

也可以使备选鉴别是可选的，且允许主人选择对应参考秘值S的任意安全代码。进行生物测定测量，使得解码器111能生成秘值V。如果确实是生物测定特征被测量的安全设备200的主人，那么该秘值V应该与参考秘值S匹配。

采用键盘键入任意选择的参考安全代码R。现在，计算又一个辅助数据Q，使得该又一个辅助数据X和参考安全代码R的结合产生秘值V。例如，可以采用XOR(异或)操作：Q＝R XOR V。利用该值Q，现在可以通过V＝RXORQ获得V。Q被存储在数据库103中。

当用户现在键入安全代码R来由此鉴别自己时，散列模块112接收该值R和值Q。利用这些值，计算V并将其散列以产生F(V)。该值F(V)可照常在匹配模块113中与F(S)匹配。

要注意到，当只给出该值Q时是不能恢复V(或S)的。然而，可以键入任何参考安全代码，且该参考安全代码可被转化为与预先存储的秘值S匹配的值。

在另一实施例中，主人不能选择安全代码。这可能是需要的，如害怕主人会选择易被猜出的安全代码，或者安全代码200没有配备键盘。现在，当开启备选鉴别正时，主人必须首先如上进行生物测定测量，如通过将他的手指放在指印传感器201上。假定测量的是主人的生物测定特性，则由解码器111获得的秘值V与S相同。

结果，现在V可用作安全代码。V的值可显示在显示224上，以告知主人安全代码已初始化为该值。主人则能通过向另一实体提供该安全代码，使另一实体采用该安全代码被鉴别。

可选地，在V的值被显示前，可以检查F(V)是否等于F(S)。这将证实确实是安全设备200的主人开启备选的基于安全代码的鉴别。

在以后当用户忘记安全代码的时候，可以进行相同的过程。因此，通过简单进行生物测定鉴别，他的安全代码被示出。同样可选地，在显示V的值之前，可以检查F(V)是否等于F(S)。这将证实确实是安全设备200的主人要求显示安全代码。

在实施例中，在获得V的值一次后，它被暂时保留在如安全设备200中的易失性存储器中。这意味着用户不需要出示其手指来恢复安全代码。他可以简单地如按一按钮、从菜单中选择选项或者要求特征，安全设备200将显示V的值。在某段时间后，或安全设备200失去激活时，或如果满足另一停止准则时，V的值从其暂时存储中擦除。

如果秘值S等于主人的安全代码，且F(S)存储在其中的数据库103是可公开访问的，则需要额外的安全手段。通常给定F(S)，无法获得S，但如果安全代码是提出的4位个人身份号码(PIN)，那么由F(S)确定S将突然变为可能的。对4位PIN，用于从F(S)找回S的穷竭搜索在找到S前将需要平均10⁴除以2即大约5000次尝试。为了提高安全性，必须将S选择大得多，例如20位的量级以获得64位的安全性(最低要求)。显然地，20位PIN码是非用户友善的。

替代采用如此大的PIN来提供安全性，可以采用附加的秘密密钥K来获得合理的安全性，该秘密密钥K具有至少64位的长度。不是将F(S)存储在数据库中，而是存储F(K||S)。这里||表示与位关联。当主人鉴别自己时，其同时必须给出包含K的卡或设备。例如，K可以安全地直接存储在安全设备上。验证终端则能将K与由生物测定重构的秘值或由用户敲入的PIN关联，将它散列并与数据库中的F(K||S)比较。

要注意到，只是在由验证器使用的数据库是公开的时候，这些额外的安全手段(采用长PIN码，或采用储存在某个设备或卡中的附加密钥)才是必须的，因为F(S)存储在该数据库103中。如果F(S)存储在安全设备200中，而如果安全设备200受到保护而不会未经授权从数据库103中读出信息时，那么通常就足够了。

在替代实施例中，可以简单地直接将参考秘值S存储在数据库103中而不是存储F(S)。然而这是不安全的，因为S与W一起可以用于重构生物测量结果X。那意味着攻击者可以通过给出X来欺骗之后的生物测鉴别过程，例如通过给出具有正确(复制)指印的假手指。所以，在该实施例中，重要的是充分地保护避免对数据库103进行未经授权的读取。

在该实施例中，安全代码还可如上选为与S相等。现在不再需要首先进行生物测定测量以获得秘值V，因为(假定相等的)秘值S可以简单地从数据库103获取。结果，现在可以简单地将S作为他的新安全代码提供给主人。或者，如上所述计算又一个辅助数据Q，以允许任意选择的安全代码。

图2和图3中，安全设备200被示为智能卡，该智能卡可被用于授权对与服务器220相连的某个设施或服务进行一个或多个操作，或是访问它。这当然仅是示意实例。

在实施例中，安全设备200包括于汽车钥匙中。那么服务器220优选地安装在车内。如果生物测定或者备选鉴别是成功的，那么安全设备200将向服务器220发送该信号(优选地通过安全鉴别信道)，这将打开门并/或启动汽车引擎。

在另一个实施例中，服务器220是个人计算机。那么，安全设备200用于授权访问所述计算机和/或该计算机可用的网络服务。如果安全设备200作为个人计算机的一部分安装，则计算机的键盘和显示器可以替代键盘221和显示器224。然而，安全设备200也可以作为需要安装在计算机的一个插槽中或与计算机无线通信的独立卡或模块。

在另一实施例中，安全设备200包括在移动电话中，在此情形中，可以利用移动电话的键盘和显示。此外，在此情形中，可以利用移动电话的无线通信能力，如用于从外部数据库或其它位置获取数据。现在，可将两种鉴别机制用于授权激活移动电话并/或访问移动电话网络。

在另一实施例中，安全设备200用于授权在自动柜员机(ATM)上的财务操作。设备200的主人将卡出示给ATM并或者用生物测定或者用备选机制鉴别自己。用信号向ATM示出任一种鉴别结果，该ATM然后将允许取出一定量的钱或进行其他操作。在该实施例中，需要安全设备200与ATM间的安全和经鉴别的连接。或者，安全设备可以内置于ATM中，在此情形中，连接默认为是安全和可信的。

图4示出包括安全设备200和服务器220的配置替代实施例。在该实施例中，匹配模块113、验证模块222和数据库103是服务器220的一部分。现在安全设备200包括无线通讯模块310，安全设备200通过该无线通讯模块310与服务器220通讯。

具体而言，现在由解码器111和散列模块112生成的值F(V)与服务器220通讯，以通过匹配模块113与存储在数据库103中的参考值F(S)匹配。类似地，当主人键入安全代码时，键入的安全代码被传输至服务器220，以通过验证模块222与存储在数据库103中的参考安全代码相比验证。

该实施例提供了一些增加的安全性，因为现在参考安全代码安全地存储在服务器200中。然而，也有一些危险。如果安全设备200输出指示设备200的主人或用户已经被成功鉴别的信号，攻击者可以记录该信号并在之后重复它。然后服务器220将错误地对攻击者授权。

然而，应该注意保护从安全设备200到服务器220的无线通讯，特别是注意保护键入的安全代码。该传递能被记录并也能在之后重复(重放)。应该建立如采用加密等安全连接。

当然数据库103可以存储在再一个位置，使得服务器220通过网络与它联系，以获取参考值F(S)。

图5示出本发明的能获取安全代码的实施例。该设备500包括数据库103、指纹传感器201、解码器111以及显示224。当一个人将他或她的手指放在传感器201上时，解码器111如前所述利用从数据库103获取的辅助数据W计算秘值V。该秘值V被呈现在显示224上。因此，该设备500能向希望利用安全设备200鉴别自己的人提供帮助。此人可简单地通过将他的手指放在传感器201上恢复他的安全代码，然后在安全设备200上的键盘上键入该安全代码。

此外，要注意到，对设备500中的数据库103来说，不需要存储S或H(S)，因为在设备500上没有进行鉴别。只在显示器上示出安全代码V，随后将在设备200上检查它是否是正确的。所以鉴别在设备200上进行。

要注意到，上述的实施例只是用于示意本发明，而非限制本发明，在不背离所附的权利要求限制的范围的情况下，本领域的技术人员可以设计大量的替代实施例。例如，不用显示器，而是可以采用声音输出。显示器224可以在安全设备200的外部。

在权利要求中，圆括号间的任何参考符号不应被视为限制权利要求。“包括”一词并不排除在权利要求中所列的这些之外存在其它的元件或步骤。元件前的词“一个”并不排除存在若干这种元件。可通过包括几种不同元件的硬件并通过适当编程的计算机执行本发明。

在列举几个模块的系统权利要求中，这些模块中的几个可以由同一种硬件实施。在相互不同的附加权利要求中所述的手段并不意味着这些手段的组合不是有益的。

Claims (8)

1.包括利用生物测定数据鉴别实体的装置的安全设备，其特征为利用诸如个人身份号码等安全代码鉴别所述实体的备选装置，其中用于鉴别的两个装置都用单个存储的秘值来确定所述鉴别是否成功，其特征在于：所述生物测定数据包括辅助数据，所述辅助数据用于确定生物测定测量结果是否对应存储在所述安全设备中的秘值；以及

其中，所述秘值包括所述安全代码的密码散列版本。

2.如权利要求1所述的安全设备，进一步包括：用于只在利用所述生物测定数据成功鉴别后才激活所述备选鉴别的装置。

3.如权利要求2所述的安全设备，其中，用于激活所述备选鉴别的所述装置包括用于接收作为用户输入的所述安全代码的装置。

4.如权利要求7所述的安全设备，其中，用于激活所述备选鉴别的所述装置用于从所述生物测定数据的至少一部分导出所述安全代码，并在输出上给出所述安全代码。

5.如权利要求2所述的安全设备，其中，用于备选鉴别的所述装置只激活预定的时间段或进行预定次数操作。

6.如前一权利要求所述的安全设备，其中，所述预定时间段或所述预定次数是用户可配置的。

7.如前述权利要求中任意一项所述的安全设备，其中，在所述鉴别中的至少一个中使用的所述秘值被储存在包括在所述安全设备中的存储器中。

8.系统，用于在根据权利要求1所述的安全设备成功鉴别后许可授权，其中，与利用所述生物测定数据进行所述鉴别后准许的授权相比，利用所述安全代码进行所述鉴别后准许的授权在范围上受到限制。

Images