CN101201887A

CN101201887A - 身份证在身份识别系统中的应用方法

Info

Publication number: CN101201887A
Application number: CNA2006101657514A
Authority: CN
Inventors: 王耀
Original assignee: Individual
Current assignee: Individual
Priority date: 2006-12-15
Filing date: 2006-12-15
Publication date: 2008-06-18

Abstract

身份证在身份识别系统中的应用方法，使用身份证的射频芯片中可以自由使用的内部认证密钥，加密运算生成用户身份信息，在所述的身份识别系统中生成、存储和比较用户身份信息，实现用户身份识别、账户管理和其他系统服务。技术方案包括下列步骤：(1)注册：所述的身份识别系统对身份证的射频芯片发送内部认证命令，使用其内部认证密钥，对所述身份识别系统定义的输入数据加密运算，生成和存储用户注册身份信息Y；(2)使用：所述的身份识别系统对用户身份证进行操作，按照与用户注册过程相同的方法生成用户当前身份信息X；(3)认证：所述的身份识别系统搜寻和比较用户注册身份信息Y和用户当前身份信息X的一致性，识别用户的合法身份。

Description

身份证在身份识别系统中的应用方法

技术领域

本发明属于第二代身份证的身份识别应用领域，尤其是指第二代身份证在身份识别系统中的应用方法。具体是指使用我国第二代身份证的射频芯片中可以自由使用的内部认证密钥，执行内部认证命令加密运算生成用户身份信息，在身份识别系统中存储和比较用户身份信息，确认用户身份的合法性，对于合法的用户提供账户管理等功能服务。

背景技术

我们知道，IC卡最重要的应用功能是身份认证和电子支付，在包括门禁控制(Access Control)、考勤、计算机登录、食堂售饭、学生和员工管理、社保等联机或脱机的应用系统中，通常使用接触或非接触IC卡来实现用户身份认证。在众多的应用系统中独立发行IC卡，一方面会增加系统投资，在一定程度上造成了社会资源的浪费，另一方面也会因为需要携带和使用多张IC卡给持卡人带来不便。

我国第二代身份证的换发于2004年全面启动，到2005年底，公安部门共为居民制发了1.02亿张第二代身份证，预计到2008年底基本完成全国换发第二代身份证的工作。如果能在不同的应用设备和系统中使用由国家公安机关颁发的、具有最广泛的持有人群的第二代身份证的电子信息来识别用户身份，则可以在保证数据安全的同时，降低系统成本，方便用户使用。本发明就是基于这样的愿望和现实出发点提出的。

第二代身份证的核心技术是使用我国自主研发的符合ISO14443 Type B标准的专用射频芯片。其典型的应用模式是基于国家公安部颁布的GA467-2004标准，在阅读设备中使用射频模块和专用的SAM_V安全模块读取第二代身份证射频芯片内所存储的文字和图像等安全信息，包括与持证/卡人身份相关的固定信息和追加信息。

在200420103550.8实用新型专利中，提出了一种在门禁考勤系统中兼容第二代身份证的智能卡读卡器，读卡器的控制器包括编制有程序能够读取身份证芯片序列号的可编程器件。由于第二代身份证的射频接口符合ISO14443Type B标准，其通讯时序和协议属于已知和公开的技术，缺乏新颖性和创造性；该专利申请仅限于使用第二代身份证的芯片序列号信息，在严格意义上不能保证数据的安全性和唯一性，除了可以在安全性要求不高的应用领域，例如特定应用范围的门禁考勤系统中使用之外，不具有广泛的实用性；该专利申请仅限于应用在门禁考勤应用，不具有普遍的应用价值。

在200510033195.0和200510033202.7发明专利中，仍然提出了第二代身份证管理号和序列号的读取设备和方法，以及第二代身份证的管理号和序列号的设置及应用方法。同样，对于第二代身份证芯片的射频接口和阅读方法是ISO14443 Type B标准定义的，属于公开和已知的技术，缺乏新颖性和创造性。而且，由于第二代身份证芯片管理号和序列号是可以自由读取的信息，尽管具有唯一性，但在理论上是可以使用空白芯片进行复制的，用这些数据或其组合后的信息来识别用户身份，显然难以保证较高的数据安全要求，同样不具有广泛意义上的实用性。

发明内容

本发明的主要目的是提供一种兼顾经济性和安全性，具体地是指第二代居民身份证在身份识别系统中的使用方法，使用第二代身份证的射频芯片中可以自由使用的内部认证密钥，通过内部认证命令加密运算生成用户身份信息，所述的身份识别系统通过生成、存储和比较这些信息来识别用户身份，实现用户账户管理或其他系统服务功能。

为了实现以上目的，下面具体分析和说明实现以上发明目的的技术方案的可行性。

第一，我国第二代身份证的射频芯片与阅读设备之间的通讯协议符合ISO14443 Type B标准，但是，在专用的第二代身份证阅读设备中需要同时使用射频模块和专用的SAM_V安全模块，一方面是通过SAM_V安全模块对第二代身份证的射频芯片进行外部认证，获取包括姓名、住址、身份证号码和照片在内的文字、图像固定信息和追加信息文件的阅读权限；另一方面是对所读取的固定信息和追加信息进行解密运算。

第二，在第二代身份证的射频芯片中的内部认证密钥不需要SAM_V安全模块进行安全认证即可自由使用。这样，在所述的身份识别系统可以使用标准的非接触IC卡接口设备，使用第二代身份证的射频芯片中的内部认证密钥进行加密运算，生成用户身份信息，不需要知道具体的密钥值和加密算法即可建立与用户身份的唯一对应关系。

第三，在所述的身份识别系统中使用以上用户身份信息，不需使用用户姓名、住址、身份证号和照片等具体的信息来识别用户身份，这样，仅需要在所述的身份识别系统中配置标准的非接触IC卡接口即可实现本发明的技术方案，不需要使用在常规第二代身份证阅读设备中必须使用的SAM_V安全模块，极大地简化了网络系统的硬件配置。

第四，以上所述的用户身份信息，是经过第二代身份证发行方写入的内部认证密钥进行加密运算得到的，对于芯片厂商和第二代身份证发行方之外的其他方而言是难以复制的，可以保证在所述的身份识别系统中使用这些信息的唯一性和安全性。

第五，以上所述的用户身份信息仅供所述的身份识别系统内部使用，不需关注这些信息的具体含义，不会对第二代身份证的寿命和数据安全构成任何损害。

根据以上分析，在所述的身份识别系统中通过符合ISO14443 Type B标准的非接触IC卡接口，使用第二代身份证的射频芯片的内部认证密钥加密运算生成的用户身份信息来识别用户身份，实现用户身份识别和账户管理的方法是切实可行的，据此，本发明给出使用身份证的射频芯片的内部认证密钥加密运算后的结果识别用户身份的步骤，技术方案如下：

(1)注册：在用户使用所述的身份识别系统之前，需要先做用户注册，所述的身份识别系统按照″寻卡″、″选卡″和″内部认证″的命令过程生成用户身份信息Y，存储在所述的身份识别系统中，在此称之为用户注册身份信息；

(2)使用：对于已注册的用户，在用户使用所述的身份识别系统时，由所述的身份识别系统同样按照(1)中描述的命令过程生成用户身份信息，在此称之为用户当前身份信息X；

(3)认证：所述的身份识别系统将用户当前身份信息X与用户注册身份信息Y进行比较，如果存在与用户当前身份信息X一致的用户注册身份信息Y，则确认当前用户的合法身份，提供相应的系统功能服务；如果没有与X一致的Y，则拒绝当前用户的合法身份，停止后续的系统功能服务，结束本次身份认证过程。

以下具体分析相关技术实现过程。为了简化起见，没有考虑在射频工作范围内存在两张或多张身份证时的抗碰撞(Anti-collision)处理，在命令码后省略了需要附加的2个字节的CRC校验码。所述的身份识别系统通过ISO14443Type B标准的非接触IC卡接口设备向身份证的射频芯片发送如下命令：

a)寻卡命令，命令码为0x05 0x00 0x00，正确的命令应答返回包括应答前缀标志、虚拟唯一序列号和协议信息。例如某一张真实的身份证卡返回的数据为0x50 0x00 0x00 0x00 0x00 0xD1 0x03 0x00 0x81 0x00 0x70 0xC0，0x表示后面的数据是16进制数据。

b)选卡命令，命令码为0x1D 0x00 0x00 0x00 0x00 0x00 0x08 0x01 0x08，正确的命令应答为0x08；

c)内部认证命令，命令码为0x00 0x88 0x00 0x42 0x0A Data1，正确的命令应答为Data2 0x90 0x00，其中Data1为10个字节的16进制数据，是由所述的设备或系统定义的，Data1针对某一应用是固定不变的，或者使用身份证射频芯片的序列号或管理号组成变化的Data1数据，Data2是8字节的16进制加密运算结果，0x90 0x00是命令正确执行的SW1和SW2状态字。

例如某一张真实的身份证在执行″内部认证″命令0x00 0x88 0x00 0x420x0A 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00 0x00时(其中10个字节的0x00假设是所述设备或系统定义的Data1数据)，命令正确执行返回的数据为0xC1 0x70 0x8D 0xFC 0xB0 0xFF 0x13 0x65 0x90 0x00。其中，前8个字节的返回数据就是本发明给出的用来识别用户身份的信息Data2，后面的0x900x00是命令正确执行的SW1和SW2状态字。

以上命令中的″寻卡″和″选卡″命令操作非接触IC卡的通用操作，不是身份证专用的，不构成专利保护的内容。在″寻卡″和″选卡″之后，是具体应用中用到的命令。事实上，在″选卡″命令之后，正常的身份证操作还包括执行″选择文件″(Select File)(命令码为0x00 0xA4 0x00 0x00 0x02 0x60 0x02)和″读二进制″(Read Binary)(命令码为0x00 0xB0 0x00 0x00 0x20的命令，读取32字节的卡体号和数据号。事实上，专利申请200510033202.7即是利用这些数据作为身份证的识别信息。然而，这些数据是自由可读的，难以有效地保证这些数据不被复制，并不是高度安全、可靠的身份识别信息。

本发明的身份识别方法，是在″寻卡″(REQB)和″选卡″(ATTRIB)标准命令之后，跳过″选择文件″和″读二进制″命令，直接执行″内部认证″(InternalAuthentication)命令，这里的内部认证密钥是身份证专用的，命令码中的参数P1(0x00)和P2(0x42)是身份证自定义的，在此使用″内部认证″命令是具体应用自定义的，而且，我们尽管不知道内部认证的算法和具体密钥值，但是我们知道其密钥值对于每个身份证来说应该是分散的(Diversified)，即使使用相同的命令数据Data1，不同的身份证的内部认证运算结果Data2也是不同的，所以使用内部认证的运算结果Data2作为用户身份识别信息是本发明独有的。当然，在″寻卡″和″选卡″标准命令之后，也可以执行″选择文件″和″读二进制″命令，可以用命令返回的数据组成后续″内部认证″命令的Data1数据，这样，不同的身份证可以使用不同的Data1。在此，我们不是直接使用Data1作为用户身份识别信息，因为Data1是可能复制的，而Data2则是不可复制的，是可以唯一、安全地代表用户身份的信息。

本发明所述的身份识别系统中不需要具有身份证的密码算法和内部认证密钥，而常规的身份证阅读设备则需使用SAM_V安全模块每次随机产生的Data1对身份证进行内部认证，SAM_V安全模块和身份证具有相同的密码算法并可以临时生成与身份证内部认证密钥相同的密钥，其目的也不是存储Data2作为用户注册身份信息，在下次使用时对相同的Data1进行内部认证，通过比较Data2的一致性来识别用户身份。其后的命令包括″外部认证″(External Authentication)，需要SAM_V安全模块计算认证数据才能正确执行，在″外部认证″正确执行后，才能读取包括文字、图像在内的身份证信息，这些已不是本发明所关注的内容了。

所述的身份识别系统中直接生成和存储一个或多个所述的用户注册身份信息，或者在其他设备或系统中生成这些信息，然后再录入到所述的身份识别系统中；所述的用户注册身份信息存储在所述的身份识别系统的终端或后台；所述的用户当前身份信息和所述的用户注册身份信息的比较在所述的身份识别系统的终端或后台完成；所述的用户注册身份信息在所述的身份识别系统，例如医院医疗保险系统中长期存储和使用，或者在所述的身份识别系统，例如酒店的门禁系统中临时存储和使用；多个所述的身份识别系统中存储同一张身份证射频芯片生成的相同或不同的用户身份信息，多个所述的身份识别系统相互关联的或相互独立的，实现″一卡多用″的应用效果。

在所述的身份识别系统中使用第二代身份证的可以自由使用的内部认证密钥加密运算生成的用户身份信息来识别持证人的身份，可广泛应用于目前使用磁卡、光卡、条码卡以及各种接触或非接触式IC卡识别持卡人身份的应用领域，在这些应用领域中取代原有的身份识别卡或与其兼容使用，所述的身份识别系统可以只支持使用身份证，还可以同时支持使用磁卡、条码卡、接触或非接触IC卡等身份认证介质。

本发明的新颖性、创造性和实用性主要体现在以下几方面：

首先，本发明的新颖性和创造性在于：忽略了身份证的射频芯片中所存储的包括持证人姓名、住址和照片在内的安全信息，也不是简单地利用身份证的射频芯片所存储的管理号、序列号等可以自由读取的信息来识别用户身份，而是巧妙地利用了身份证的射频芯片的可以自由使用的内部认证密钥，加密运算生成的用户身份信息来识别用户的合法身份，利用这些信息建立与用户身份的唯一对应关系，所述的身份识别系统不需要了解内部认证密钥值和密码算法，在安全实现用户合法身份识别的同时不涉及用户其他信息，也不对身份证发行方构成任何威胁和损害，是本发明方案与已有技术方案的本质区别。

其次，本发明的实用性体现在：以低廉的系统配置实现安全的用户身份识别，不需要在所述的身份识别系统中使用专用的SAM_V安全模块，仅在所述的身份识别系统中使用通用的射频读卡器或嵌入式射频接口就可以使用身份证的射频芯片的内部认证密钥加密运算生成用户身份信息，在不增加所述的身份识别系统成本的同时，降低了用户IC卡方面的投资，也节省了卡片的发行成本。

再次，本发明的实用性还体现在：我国第二代身份证具有最为广泛的、现成的持证/卡人群，是人们需要经常携带和使用的身份证件，扩展第二代身份证的应用领域和应用范围具有成本低廉和使用方便的特点，使第二代身份证在人们的在日常生活和工作中发挥更大的作用。

下面结合附图和实施例对本发明做进一步的说明。

附图说明

图1是使用身份证的网络身份识别系统结构示意图；

图2是使用身份证识别用户身份的应用方法流程图。

具体实施方式

图1所示是使用身份证识别用户身份的网络系统结构示意图，作为本发明所述的身份识别系统的一种典型结构。该系统由后台管理系统11和131至13n多个阅读终端系统通过网络连接系统12连接构成。每个阅读终端系统分别配置141至14n多个射频读卡器，射频读卡器具有符合ISO14443 Type B标准的非接触IC卡接口，每个射频读卡器分别操作在所述的身份识别系统中注册和使用的多张身份证，如图中151到15n所示。其中网络连接系统12是专用或公用的局域或广域网，阅读终端系统131至13n配置独立的射频读卡器151至15n，或者将射频功能集成在阅读终端设备中，构成一体的阅读终端设备。

除了图1所示的网络系统结构之外，所述身份识别系统的另外一种结构是非联网的单机设备或系统。此时，不需要后台管理系统11和网络连接系统12，只由其中的一个阅读终端系统例如131构成单机身份识别系统，或者将射频读卡功能集成在阅读终端设备中，构成单机身份识别设备。

图2所示是使用身份证识别用户身份的应用方法流程图。在图1所示一个或多个阅读终端系统141至14n分别对身份证的射频芯片进行操作，生成如前文所述Data2或者将Data2做另外的组合、变换后的信息作为用户身份信息。在此，将阅读终端系统预先采集生成的用户身份信息称为用户注册身份信息，用Y表示，将Y存储在阅读终端系统或后台管理系统中，根据系统注册用户的数量，Y可以是一组数，也可以是多组数。类似地，对于已经在系统中注册的用户，在识别其用户身份时，按照同样的操作生成用户当前身份信息，用X表示，阅读终端系统或后台管理系统搜寻存储用户注册身份信息Y的数据库，比较是否存在与用户当前身份信息X一样的用户注册身份信息Y。

图2中省略了生成和存储用户注册身份信息Y的″注册″过程，假设在所述的身份识别中已预先存有一个或多个用户注册身份信息Y。图2只给出了身份证在所述的身份识别系统中的″使用″和″认证″步骤如下：

步骤21是寻卡操作，所述的身份识别系统通过射频接口反复搜寻在其工作距离范围内是否存在可以识别的身份证的″寻卡″命令，命令代码为0x050x00 0x00，如果有可以识别的身份证/卡存在，则返回相关的卡片信息，例如0x50 0x00 0x00 0x00 0x00 0xD1 0x03 0x00 0x81 0x00 0x70 0xC0。

步骤22是对于所寻找到的身份证/卡发送″选卡″命令，命令码为0x1D 0x000x00 0x00 0x00 0x00 0x08 0x01 0x08，正确″选卡″后身份证/卡返回0x08应答数据。为了描述方便起见，省略了可能在射频工作范围存在多张可以识别的身份证/卡的情况，这种情况需要相应的″抗碰撞″(Anti-collision)处理。

″选卡″命令正确执行后，可以跳过身份证常规操作需要的″选择文件″和″读二进制″命令，直接使用所述设备或系统定义的10个字节的输入数据Data1，执行步骤23的″内部认证″命令，命令码为内部认证0x00 0x88 0x000x42 0x0A Data1，在此假设Data1为0x00 0x01 0x02 0x03 0x04 0x05 0x06 0x070x08 0x09。步骤23正确执行后，身份证返回内部认证密钥的加密运算结果Data2 0x90 0x00。例如对于上面假设的Data1数据，某一张身份证返回的加密运算结果和命令执行状态字为0x75 0xB3 0x4C 0x01 0x8A 0xB7 0xC0 0x980x90 0x00，其中前8个字节即为16进制的Data2数据。直接使用Data2或将Data2另做其他的组合、变换，生成用户身份信息，在此用X表示。

得到用户当前身份信息X之后，阅读终端系统或后台管理系统执行步骤24，搜寻预先存储的用户注册身份信息数据库，执行步骤25比较判断是否有与用户当前身份信息X一致的用户注册身份信息Y；如果存在Y与X一致的情况，则执行步骤26确认用户的合法身份，继续执行后续步骤27为用户提供账户管理和其他系统功能服务，然后结束本次身份认证过程；如果不存在用户注册身份信息Y与当前用户身份信息X一致的情况，则执行步骤28，拒绝用户的合法身份，停止为用户提供相应的服务，结束本次身份认证过程。

Claims

1.身份证在身份识别系统中的应用方法，所述的身份识别系统配置了符合ISO14443 Type B标准的非接触IC卡接口设备，其特征是包括下列步骤：

(1)注册：所述的身份识别系统对一个或多个用户使用的第二代身份证的射频芯片发送″内部认证″命令，使用第二代身份证射频芯片的内部认证密钥，加密运算生成一个或多个用户注册身份信息Y并存储在所述的身份识别系统中；

(2)使用：所述的身份识别系统对某一个用户使用的第二代身份证的射频芯片进行操作，按照步骤(1)中所述的与生成用户注册身份信息Y相同的方法生成用户当前身份信息X；

(3)认证：所述的身份识别系统搜寻用户注册信息Y，比较是否存在与用户当前身份信息X一致的用户注册身份信息Y，如果存在则确认用户的合法身份，为用户提供账户管理或其他系统功能服务，如果不存在，则拒绝用户的合法身份，拒绝账户管理或其他系统功能服务。

2.根据权利要求1所述的身份证在身份识别系统中的应用方法，其特征在于：所述的身份识别系统对其射频工作距离内的身份证射频芯片发送如下命令，此处省略了命令码后2字节的CRC校验码：

(1)寻卡，命令码为0x05 0x00 0x00，命令正确执行后的应答返回包括应答前缀标志、虚拟唯一序列号和协议信息；

(2)选卡，命令码为0x1D 0x00 0x00 0x00 0x00 0x00 0x08 0x01 0x08，命令正确执行后的应答为0x08；

(3)内部认证，命令码为0x00 0x88 0x00 0x42 0x0A Data1，命令正确后的应答为Data2 0x90 0x00，其中Data1为所述身份识别系统定义的10字节的16进制输入数据，由所述的身份识别系统自定义的固定数据或者使用身份证射频芯片的序列号或管理号相关的数据组成变化的Data1输入数据；Data2是8字节的16进制加密运算结果，0x90 0x00是命令正确执行的SW1和SW2状态字；内部认证密钥对于不同的身份证是分散的，且只能使用、不能读取，密码算法也是保密的，因而Data2在理论上具有安全性和唯一性的特征。

3.根据权利要求1或2所述的身份证在身份识别系统中的应用方法，其特征在于：在″选卡″命令之后直接执行″内部认证″命令对Data1输入数据进行加密运算得到Data2运算结果。

4.根据权利要求3所述的身份证在身份识别系统中的应用方法，其特征在于：在所述的身份识别系统中使用Data2或将Data2进行组合、变换、运算处理生成用户注册身份信息Y或用户当前身份信息X；在所述的身份识别系统中直接生成和存储所述的用户注册身份信息Y，或者在其他设备或系统中生成所述的用户注册身份信息Y，再转存到所述的身份识别系统中；在所述的身份识别系统的终端或后台存储或比较用户注册身份信息Y和用户当前身份信息X的一致性。

5.根据权利要求4所述的身份证在身份识别系统中的应用方法，其特征在于：所述的身份识别系统是网络系统、单机系统或设备，所述的射频IC卡接口设备是与计算机联机使用的射频读卡器，或者是具有射频IC卡接口的包括门禁或考勤系统在内的专用设备。

6.根据权利要求5所述的身份证在身份识别系统中的应用方法，其特征在于：所述的用户身份信息可以在所述的身份识别系统，例如联网的医疗保险系统中生成、长期存储和使用，也可以在所述的身份识别系统，例如酒店门禁系统中临时生成、存储和使用。

7.根据权利要求6所述的身份证在身份识别系统中的应用方法，其特征在于：在一个或多个所述的身份识别系统中使用相同的身份证；多个所述的身份识别系统中使用相同或不同的Data1输入数据，生成、存储和比较相同或不同的用户身份信息；多个所述的身份识别系统是相互关联或相互独立的，实现了″一卡多用″的应用效果。